2026上半年网络工程师应用技术真题及答案

2026上半年网络工程师应用技术真题及答案一、园区网规划与交换配置题（共20分）（8分）某高新技术企业新建园区网络，采用“核心-汇聚-接入”三层架构，核心层部署2台交换机通过M-LAG实现双活，在核心交换机上部署DHCP服务为研发部VLAN10终端自动分配IP地址。地址规划如下：VLAN10网段为/24，网关地址，可动态分配地址范围为~50，预留51~53为网络打印机固定地址，地址租约为1天，内网DNS服务器地址为0。请补全核心交换机（VRP操作系统）的DHCP配置片段：<Core>system-view[Core]dhcpenable[Core]ippoolvlan10[Core-ip-pool-vlan10]network(1)mask[Core-ip-pool-vlan10]gateway-list(2)[Core-ip-pool-vlan10]dns-list0[Core-ip-pool-vlan10]excluded-ip-address(3)[Core-ip-pool-vlan10]lease(4)答案：(1)(2)(3)5153(4)day1（或100）解析：VRP系统DHCP地址池配置中，network命令指定地址池所属网段；gateway-list指定终端网关地址；excluded-ip-address指定不参与动态分配的预留地址段，连续地址段通过起始地址+结束地址指定；lease命令配置地址租约，day1代表租约1天。（6分）园区网通过M-LAG技术实现核心层双活，接入层部署安全防护机制，请回答以下问题：M-LAG属于（）层次的可靠性技术，两台核心交换机之间需要部署（）链路用于控制面信息同步与数据备份；接入交换机双归接入两台核心交换机时，互联链路需要配置为（）模式，无需运行STP即可实现二层无环；为防止用户私接非法DHCP服务器导致终端地址获取错误，接入交换机连接终端的端口需要开启（）功能，仅信任合法DHCP服务器的报文；研发部终端采用802.1X身份认证接入网络，未通过认证的终端仅能访问隔离区域资源，该接入控制技术属于（）体系。答案：(1)数据链路层（或二层）；peer-link（对等体链路）(2)LACP动态链路聚合（或Eth-Trunk）(3)DHCPSnooping（DHCP侦听）(4)NAC（网络接入控制）解析：M-LAG是跨设备链路聚合技术，属于二层可靠性范畴，两台设备通过peer-link同步表项，对外呈现为单一逻辑交换机，接入侧通过链路聚合双归接入时不存在环路，收敛速度远高于STP。DHCPSnooping是二层接入场景下防范非法DHCP服务器的标准技术；802.1X认证属于NAC网络接入控制体系的核心技术。（6分）园区网配置STP防止二层环路，管理员规划Core1为根桥、Core2为备份根桥，请回答以下问题：STP协议中根桥的选举依据是（）；若通过直接配置优先级的方式将Core1设置为根桥，需要在Core1上配置stppriority数值为（）；接入交换机连接终端PC的端口，为加快收敛速度应配置为（）端口，端口Up后直接进入转发状态，无需经历监听、学习阶段；STP协议中端口从阻塞状态迁移到转发状态的默认转发时延为（）秒。答案：(1)桥ID（BridgeID，由2字节桥优先级+6字节设备MAC地址组成，优先级和MAC数值越小越优先）(2)0(3)边缘（EdgePort）(4)15解析：STP根桥选举先比较桥优先级，默认优先级为32768，步长4096，优先级数值越小越优先；边缘端口用于连接终端，不参与STP计算，可实现秒级收敛；STP默认转发时延为15秒，用于防止临时环路。二、路由与广域网互联配置题（共20分）（8分）某企业总部位于北京，在上海、广州设分支，总部与分支通过SD-WAN组网互联，内网采用OSPF作为IGP协议，全网BGPAS编号为65001，设备环回口地址如下：总部R1环回口/32、上海R2环回口/32、广州R3环回口/32，环回口均属于OSPFArea0。请补全总部R1的路由配置：<R1>system-view[R1]routerid[R1]ospf10[R1-ospf-10]area0[R1-ospf-10-area-]network(1)//宣告本地环回口进入OSPF[R1-ospf-10-area-]network55//宣告内网业务网段[R1-ospf-10]default-route-advertisealways//该命令的作用是(2)[R1-ospf-10]quit[R1]bgp65001[R1-bgp]router-id[R1-bgp]peeras-number(3)[R1-bgp]peerconnect-interface(4)//指定环回口为BGP邻居更新源[R1-bgp]peeras-number65001[R1-bgp]peerconnect-interfaceLoopBack0答案：(1)(2)无论本地路由表中是否存在默认路由，都向OSPF域内下发默认路由，指导内网流量转发到出口(3)65001(4)LoopBack0（或环回口0）解析：OSPFnetwork命令采用反掩码匹配接口，环回口主机地址反掩码为；default-route-advertisealways为强制下发默认路由命令；同AS内的BGP邻居为IBGP邻居，AS号与本地一致，使用环回口建邻居时需指定更新源接口，提升邻居稳定性。（6分）总部R1通过G0/0/1接口连接互联网（公网地址/24），G0/0/0连接内网核心交换机，要求内网/16网段通过PAT方式访问互联网，同时内网Web服务器0的80、443端口映射为公网地址0对应端口。请补全NAT配置：[R1]aclnumber2000[R1-acl-basic-2000]rulepermitsource(1)[R1-acl-basic-2000]quit[R1]interfaceGigabitEthernet0/0/1[R1-GigabitEthernet0/0/1]natoutbound(2)//配置EasyIP形式的PAT[R1-GigabitEthernet0/0/1]natserverprotocoltcpglobal0wwwinside(3)www[R1-GigabitEthernet0/0/1]natserverprotocoltcpglobal0443inside0443答案：(1)55(2)2000(3)0解析：基本ACL使用反掩码匹配源地址，/16对应的反掩码为55；natoutbound2000表示匹配ACL2000的流量在出接口做地址端口转换，使用出接口公网地址；natserver配置静态端口映射，指定公网地址端口与内网服务器地址端口的对应关系。（6分）请回答以下路由与广域网相关问题：下列选项中属于SD-WAN技术核心优势的有（）A.基于应用优先级的智能选路B.Underlay原生流量加密C.分支设备零接触部署（ZTP）D.Overlay隧道灵活组网企业部署IPv6时采用NAT64技术实现IPv6用户访问IPv4互联网资源，NAT64属于（）类IPv6过渡技术；BGP协议中Local_Pref（本地优先级）属性的传递范围是（）。答案：(1)ACD(2)有状态地址翻译(3)本地AS内部（仅在IBGP邻居之间传递，不会通告给EBGP邻居）解析：SD-WAN是Overlay组网技术，加密逻辑在Overlay隧道实现，Underlay为底层承载网络不提供原生加密，因此B选项错误。NAT64是有状态的协议翻译技术，维护IPv6与IPv4地址端口的映射表项；Local_Pref是AS内部选路属性，数值越大路径优先级越高，不会传出本AS。三、无线局域网与网络安全配置题（共15分）（6分）企业办公楼部署Wi-Fi6无线网络，采用AC+FITAP架构，AC旁挂核心交换机，规划员工SSID为Office-WiFi，采用WPA2-PSK-AES加密，业务VLAN为VLAN20，流量通过AC集中转发。请补全AC上的WLAN配置片段：[AC]wlan[AC-wlan-view]ap-groupnameoffice-group[AC-wlan-ap-group-office-group]quit[AC-wlan-view]ssid-profilenameoffice-ssid[AC-wlan-ssid-prof-office-ssid]ssid(1)[AC-wlan-ssid-prof-office-ssid]quit[AC-wlan-view]security-profilenameoffice-sec[AC-wlan-sec-prof-office-sec]securitywpa2pskpass-phraseAdmin@2026aes//该配置的认证加密方式为(2)[AC-wlan-sec-prof-office-sec]quit[AC-wlan-view]vap-profilenameoffice-vap[AC-wlan-vap-prof-office-vap]forward-mode(3)[AC-wlan-vap-prof-office-vap]service-vlanvlan-id20[AC-wlan-vap-prof-office-vap]ssid-profileoffice-ssid[AC-wlan-vap-prof-office-vap]security-profileoffice-sec答案：(1)Office-WiFi(2)WPA2个人版预共享密钥认证，AES-CCMP加密(3)tunnel（隧道/集中转发）解析：SSIDProfile中配置无线网络的广播名称；WPA2-PSK为个人级认证，采用预共享密钥，AES为加密算法；VAP模板下forward-modetunnel表示隧道转发，业务流量封装进CAPWAP隧道由AC集中转发。（5分）无线与安全基础配置相关问题：本次部署的Wi-Fi6AP为双射频设备，单射频最大功耗22W，需要接入交换机通过PoE供电，满足该供电需求的正式标准为IEEE（）；访客无线网络要求访客接入后无法互相二层访问，需要在AP或接入交换机上开启（）功能；出口下一代防火墙默认划分三个安全区域，其中Trust区域的默认安全优先级为（），DMZ区域的默认安全优先级为（），Untrust区域默认优先级为5。答案：(1)802.3at（PoE+）(2)用户隔离（或端口隔离、二层隔离）(3)85；50解析：IEEE802.3af标准最大供电功率15.4W，无法满足22W设备需求；802.3at（PoE+）最大端口输出功率25.5W，可满足Wi-Fi6AP供电需求。防火墙默认区域优先级：Local（100）>Trust（85）>DMZ（50）>Untrust（5）。（4分）网络安全防护配置相关问题：为防范互联网发起的SYNFlood攻击，防火墙需要配置TCP半连接攻击防范，SYNFlood攻击属于TCP/IP模型中（）层的攻击；防火墙配置ACL禁止内网访问财务服务器的3389端口，3389端口默认对应（）服务；为防范内网ARP欺骗攻击导致用户断网、流量劫持，接入交换机需要开启（）功能，结合DHCPSnooping绑定表校验ARP报文合法性。答案：(1)传输(2)Windows远程桌面（RDP）(3)DAI（动态ARP检测）解析：SYNFlood利用TCP三次握手机制缺陷耗尽服务器半连接队列，属于传输层攻击；3389是RDP远程桌面服务默认端口；动态ARP检测（DAI）是接入层防范ARP欺骗的标准技术。四、网络服务部署与故障排错题（共20分）（8分）企业数据中心部署业务服务集群，包含DNS服务器（主：0、备：1）、4台Web服务器（0~3）、邮件服务器（4），对外提供服务。请回答以下问题：要求用户访问www.example时，通过DNS轮询方式将流量分配到4台Web服务器，需要在DNS服务器上为该域名添加4条（）类型的资源记录；为防止外部主机伪造企业域名发送垃圾邮件，需要在DNS服务器上配置（）记录，声明合法的外发邮件服务器地址范围；为提升Web服务承载能力，采用DR模式（直接路由）部署负载均衡，该模式要求负载均衡器与后端Web服务器必须在同一个（）（二层网段/三层网段），后端Web服务器（）（需要/不需要）在环回口配置服务VIP地址。答案：(1)A（IPv4地址）(2)SPF（或TXT，用于存放SPF反伪造策略）(3)二层网段；需要解析：DNS轮询通过为同一域名配置多条A记录，在解析时按顺序返回不同服务器地址实现简单负载；SPF记录以TXT记录形式存储，用于验证邮件发送源的合法性；DR模式负载均衡中，后端服务器需配置VIP以直接响应客户端请求，响应流量不经过负载均衡器，要求设备位于同一二层域。（6分）企业部署SSLVPN允许出差员工通过互联网访问内网资源，请回答以下问题：SSLVPN基于TLS协议实现安全通信，TLS协议工作在TCP/IP模型的（）层，默认服务端口为TCP（）；常见的SSLVPN接入模式包括Web代理、端口转发、（）三种，其中最后一种模式可为终端分配虚拟内网IP，实现全内网资源访问；TLS握手阶段首先协商（）（协议版本、加密算法组合），再完成证书身份验证，最后协商生成对称会话密钥用于后续流量加密。答案：(1)传输；443(2)网络扩展（全网接入模式）(3)加密套件解析：TLS/SSL位于传输层之上、应用层之下，在软考体系中归为传输层安全协议，默认使用443端口；网络扩展模式为SSLVPN的最高权限接入模式，获得虚拟网卡和内网IP，可访问所有内网资源。（6分）运维过程中遇到以下三类故障，请根据现象判断故障原因：故障一：内网用户ping公网IP地址正常，但部分网站域名解析超时、无法访问，最可能的故障原因是（）A.出口路由配置错误B.接口MTU值过小C.DNS服务器响应异常D.防火墙拦截ICMP报文故障二：员工