网络规划设计师高级综合试卷（完整版）

网络规划设计师高级综合试卷（完整版）一、判断题（每题2分，共20分）1.OSPFStub区域允许区域内路由器引入AS外部路由并在区域内泛洪。2.软件定义网络（SDN）的核心架构特征是控制平面与数据平面解耦，控制逻辑集中部署。3.IPv6网络中，地址解析功能由邻居发现协议（NDP）实现，无需使用ARP协议。4.IPSecVPN的传输模式封装的是整个IP数据包，适合站点到站点的VPN部署场景。5.Spine-Leaf数据中心网络架构中，Leaf节点负责接入服务器，Spine节点负责Leaf之间的流量转发，任意两个服务器之间的转发路径最多经过3台网络设备。6.零信任架构的核心原则是“默认不信任，始终验证”，仅对通过身份认证的用户授予全部网络资源访问权限。7.BGP路由反射器的客户端之间需要建立全连接才能正常反射路由。8.DiffServ区分服务模型中，DSCP字段位于IP报文的首部，共6比特，可标识64种不同的服务等级。9.5G网络切片可在同一物理基础设施上隔离出多个逻辑网络，不同切片的带宽、时延等SLA要求相互独立。10.802.11k/v协议可实现无线网络的快速漫游，漫游过程中客户端无需重新进行802.1X身份认证。二、单选题（每题2分，共20分）1.下列OSPFLSA类型中，属于ASBRSummaryLSA的是？A.Type3LSAB.Type4LSAC.Type5LSAD.Type7LSA2.下列选项中，不属于SD-WAN核心功能的是？A.链路智能选路B.集中策略管控C.硬件转发性能提升D.应用级QoS保障3.下列IPv6地址中，属于链路本地地址的是？A.2001::1/128B.FE80::2E0:FCFF:FE12:3456/10C.FC00::/7D.FF02::1/84.VXLAN协议中用于标识二层广播域的VNI字段长度为？A.12比特B.24比特C.32比特D.48比特5.网络安全等级保护2.0标准中，最高防护等级为？A.第三级B.第四级C.第五级D.第六级6.下列BGP路由属性中，属于公认必遵属性的是？A.AS_PATHB.LOCAL_PREFC.MEDD.Community7.下列物联网通信技术中，属于低功耗广域网（LPWA）技术的是？A.Wi-Fi6B.Bluetooth5.2C.NB-IoTD.Zigbee8.当网络中TCP重传率过高时，应优先排查下列哪项指标？A.链路丢包率B.服务器CPU使用率C.客户端内存使用率D.DNS解析时延9.下列协议中，无法实现三层网关冗余功能的是？A.VRRPB.HSRPC.GLBPD.STP10.云计算环境中弹性网卡的核心作用不包括下列哪项？A.实现虚拟机的多网卡接入B.支持网卡热插拔提升业务可用性C.提升虚拟机的计算性能D.实现跨子网的灵活流量调度三、多选题（每题2分，共20分，多选、少选、错选均不得分）1.下列选项中，属于OSPF特殊区域的有？A.Stub区域B.NSSA区域C.TotallyStub区域D.Backbone区域2.关于IDS与IPS的技术特征，下列说法正确的有？A.IDS采用旁路部署模式，不会对业务流量转发造成影响B.IPS采用串接部署模式，可直接阻断检测到的攻击流量C.IDS可独立完成攻击流量的主动拦截与响应D.IPS的流量处理时延普遍高于同规格的IDS设备3.下列选项中，属于5G网络定义的三大应用场景的有？A.eMBB（增强移动宽带）B.uRLLC（超高可靠低时延通信）C.mMTC（海量机器类通信）D.V2X（车联网通信）4.下列选项中，属于常见VLAN划分方式的有？A.基于端口划分B.基于MAC地址划分C.基于IP地址划分D.基于应用协议划分5.下列协议中，属于SDN南向接口协议的有？A.OpenFlowB.NETCONFC.RESTCONFD.BGP-LS6.下列选项中，属于常见存储网络协议的有？A.FC（光纤通道）B.iSCSIC.NVMe-oFD.OSPF7.网络规划设计全流程中，包含下列哪些阶段？A.需求调研与分析B.逻辑网络设计C.物理网络设计D.网络测试与验收8.下列选项中，属于IPv6过渡技术的有？A.双栈技术B.隧道技术C.NAT64翻译技术D.OSPFv3路由协议9.针对WLAN覆盖盲区问题，可采用的优化手段有？A.增加AP部署点位B.调整AP发射功率C.更换高增益天线D.调整信道宽度10.下列QoS技术中，属于拥塞避免技术的有？A.RED（随机早期检测）B.WRED（加权随机早期检测）C.PQ（优先级队列）D.CBQ（基于类别队列）四、案例分析题（每题6分，共18分）1.案例背景：某企业总部位于北京，上海、广州各设1个分公司，当前采用IPSecVPN实现三地网络互联，承载OA、ERP等内部业务系统。近期业务部门反馈跨地域访问内部系统时延高、偶发丢包，经运维人员排查，三地公网接入均为普通家庭宽带，忙时链路带宽利用率达95%，跨运营商链路往返抖动最高超过200ms。问题：请列出3种可优化该企业跨地域访问体验的技术方案，并简述各自的适用场景。2.案例背景：某政务云数据中心采用Spine-Leaf二层架构部署，所有服务器均通过10G以太网接入Leaf节点，Spine与Leaf之间采用10G链路互联。近期上线一批民生服务系统后，运维人员发现跨Leaf节点的虚拟机互访带宽最高仅能达到3G，无法跑满10G链路，经检查物理链路无故障、接口无错误包统计，交换机端口队列无拥塞记录。问题：请分析该故障可能的3种原因。3.案例背景：某高校新校区计划部署全覆盖无线网络，覆盖范围包含教学楼、学生宿舍、室外操场三个区域，要求所有学生统一通过校园账号认证上网，跨区域漫游无需重复认证，且教学区无线网络禁止访问游戏、视频类娱乐网站。问题：请列出该无线网络设计的3个核心功能要点，并简述作用。五、论述题（每题11分，共22分）1.零信任架构已成为当前企业网络安全升级的主流方向，替代传统的边界式安全防护模式。请论述企业在现有传统边界网络基础上升级为零信任架构的核心实施步骤，以及落地过程中需要注意的关键问题。2.某中型企业当前所有业务部署在本地自建IDC，为降低运维成本、提升业务弹性，计划在1年内将70%的业务逐步迁移至公有云，需要设计混合云网络架构，要求实现云下IDC与云上VPC的低时延互通、业务迁移过程无感知、云上云下安全策略统一管控。请论述该混合云网络架构的设计方案，以及核心技术的选型依据。参考答案及解析一、判断题答案及解析1.参考答案：错误。解析：OSPFStub区域禁止Type5LSA（AS外部路由）在区域内泛洪，区域内路由器也不能作为ASBR引入外部路由，仅可通过区域边界路由器的默认路由访问外部网络。2.参考答案：正确。解析：SDN的核心特征就是控制平面与数据平面解耦，原本分布在各转发设备上的控制逻辑集中到SDN控制器部署，实现全局流量的灵活调度。3.参考答案：正确。解析：IPv6取消了ARP协议，地址解析、邻居可达性检测等功能均由NDP（邻居发现协议）通过ICMPv6报文实现。4.参考答案：错误。解析：IPSec传输模式仅封装IP报文的传输层部分，适合端到端的VPN场景；隧道模式封装整个IP报文，适合站点到站点的VPN部署。5.参考答案：错误。解析：Spine-Leaf架构中，任意两个服务器之间的转发路径为“Leaf1→Spine→Leaf2”，最多经过2台网络设备，不存在3台设备的转发路径。6.参考答案：错误。解析：零信任架构遵循最小权限原则，对通过认证的用户仅授予其业务所需的最小范围资源访问权限，而非全部网络资源权限。7.参考答案：错误。解析：BGP路由反射器的作用就是减少AS内部IBGP的全连接需求，路由反射器的客户端之间无需建立全连接，路由由反射器统一反射。8.参考答案：正确。解析：DSCP字段位于IPv4首部TOS字段或IPv6首部流量类字段的前6比特，共可标识64种不同的服务等级，是DiffServ模型的核心标识。9.参考答案：正确。解析：5G网络切片是基于NFV、SDN技术实现的逻辑隔离网络，可在同一物理基础设施上为不同业务提供独立的带宽、时延、可靠性等SLA保障。10.参考答案：错误。解析：802.11k用于无线邻居测量、802.11v用于无线网络负载均衡，实现快速漫游无需重新认证的协议为802.11r。二、单选题答案及解析1.参考答案：B。解析：Type3LSA为网络汇总LSA，由ABR发布；Type4LSA为ASBR汇总LSA，由ABR发布，用于告知区域内路由器ASBR的位置；Type5LSA为AS外部LSA，由ASBR发布；Type7LSA为NSSA外部LSA，仅在NSSA区域内泛洪。2.参考答案：C。解析：SD-WAN的核心功能包括多链路聚合、智能选路、集中管控、应用识别与QoS、安全集成等，硬件转发性能提升属于硬件设备的特性，不属于SD-WAN的核心功能范畴。3.参考答案：B。解析：选项A为全球单播地址，选项B为链路本地地址（前缀FE80::/10），选项C为唯一本地地址，选项D为组播地址。4.参考答案：B。解析：VXLAN的VNI字段长度为24比特，最多可支持16777216个二层广播域，解决了传统VLAN12比特字段仅支持4094个广播域的限制。5.参考答案：C。解析：等保2.0将网络安全防护等级分为五级，从第一级到第五级防护要求逐步提升，第五级为最高等级，适用于涉及国家核心机密的信息系统。6.参考答案：A。解析：BGP公认必遵属性包括ORIGIN、AS_PATH、NEXT_HOP三类，所有BGP设备都必须支持并传递这些属性；LOCAL_PREF、MED、Community均为可选属性。7.参考答案：C。解析：Wi-Fi6、蓝牙5.2、Zigbee均为短距离无线通信技术，NB-IoT属于低功耗广域网技术，适用于低功耗、广覆盖、大连接的物联网场景。8.参考答案：A。解析：TCP重传的核心原因是报文丢失，因此出现重传率过高问题时应优先排查链路丢包率，服务器CPU、客户端内存、DNS时延均不是TCP重传的核心诱因。9.参考答案：D。解析：VRRP、HSRP、GLBP均为三层网关冗余协议，可实现多台网关设备的冗余备份；STP为二层生成树协议，用于解决二层环路问题，无法实现三层网关冗余。10.参考答案：C。解析：弹性网卡是云计算环境中的虚拟网络设备，可实现多网卡接入、热插拔、跨子网流量调度等网络层面的功能，无法提升虚拟机的计算性能。三、多选题答案及解析1.参考答案：ABC。解析：OSPF特殊区域包括Stub、TotallyStub、NSSA、TotallyNSSA四类，Backbone区域（区域0）为OSPF的骨干区域，不属于特殊区域。2.参考答案：ABD。解析：IDS采用旁路部署，仅对镜像流量进行检测，无法直接拦截攻击流量，需要联动防火墙等设备才能实现拦截，因此选项C错误，其余选项表述均正确。3.参考答案：ABC。解析：5G三大应用场景为eMBB、uRLLC、mMTC，V2X是uRLLC场景下的典型应用，不属于三大基础场景。4.参考答案：ABCD。解析：常见的VLAN划分方式包括基于端口、基于MAC地址、基于IP地址、基于协议、基于策略等多种，四个选项均属于合法的划分方式。5.参考答案：ABCD。解析：SDN南向接口是控制器与转发设备之间的通信接口，OpenFlow、NETCONF、RESTCONF、BGP-LS均属于常用的南向接口协议。6.参考答案：ABC。解析：FC、iSCSI、NVMe-oF均为存储网络协议，用于服务器与存储设备之间的通信；OSPF为路由协议，不属于存储网络协议。7.参考答案：ABCD。解析：网络规划设计全流程包括需求调研与分析、逻辑网络设计、物理网络设计、网络部署实施、网络测试与验收、运维优化等阶段，四个选项均属于规划设计阶段的内容。8.参考答案：ABC。解析：IPv6过渡技术包括双栈、隧道、翻译三大类，OSPFv3是IPv6网络的路由协议，不属于过渡技术范畴。9.参考答案：ABC。解析：增加AP点位、调高发射功率、更换高增益天线均可提升无线覆盖范围，解决覆盖盲区问题；调整信道宽度主要用于提升无线网络容量，无法解决覆盖盲区问题。10.参考答案：AB。解析：RED和WRED属于拥塞避免技术，通过提前丢弃部分报文避免队列拥塞；PQ和CBQ属于队列调度技术，用于拥塞发生时不同流量的转发优先级调度。四、案例分析题参考答案及评分标准（1）SD-WAN方案：适用场景为企业多链路接入场景，可将现有宽带与新增的专线进行聚合，基于应用类型智能选择最优链路，降低跨运营商访问的时延与丢包，同时保留IPSecVPN的安全能力。（2）MPLSVPN专线方案：适用场景为企业预算充足，业务对稳定性要求极高的场景，运营商提供的MPLSVPN可实现三地的低时延、低抖动私网互联，带宽有SLA保障。（3）多云接入点POP方案：适用场景为企业已有部分业务部署在云端的场景，通过就近接入运营商的POP节点，依托运营商的骨干网实现跨地域流量的转发，降低公网链路抖动的影响。（4）链路扩容+QoS调度方案：适用场景为预算有限的场景，将现有家庭宽带替换为企业专线提升带宽，同时在出口设备上配置QoS策略，优先保障OA、ERP等核心业务的带宽。评分标准：答案合理即可酌情给分，未说明适用场景每点扣1分。（1）虚拟机的网卡配置限制：虚拟机的虚拟网卡配置的带宽上限为3G，导致跨节点互访带宽无法超过配置阈值。（2）Leaf交换机的路由转发性能限制：Leaf交换机采用三层网关部署时，三层转发性能不足，无法达到线速10G转发。（3）VXLAN封装开销导致：若网络采用VXLAN封装，VXLAN头部额外占用50字节左右的开销，10G物理链路的实际可用业务带宽约为9G左右，若同时存在其他流量占用，会导致单流带宽受限。（4）网卡卸载功能未开启：服务器或交换机的VXLAN、TCP校验和等硬件卸载功能未开启，CPU转发性能不足导致带宽跑不满。（5）流量哈希算法不均：Spine与Leaf之间的ECMP哈希算法配置不合理，跨Leaf的流量被哈希到同一条链路，导致链路带宽不足。评分标准：答案合理即可酌情给分，故障原因与场景不符不得分。（1）802.1X认证+Portal认证结合：学生在宿舍、教学区采用802.1X认证，室外区域采用Portal认证，认证系统对接校园账号体系，实现统一身份管理。（2）802.11r快速漫游：部署快速漫游功能，学生跨AP、跨区域移动时无需重新进行身份认证，保障业务连续性。（3）基于用户组的访问控制：将教学区和宿舍区的用户划分为不同用户组，在AC或出口防火墙上配置策略，禁止教学区用户组访问游戏、视频类网站。（4）分层的无线资源管理：针对不同区域配置不同的AP功率、信道、接入用户数限制，教学楼保障高并发接入，宿舍区保障高带宽，室外区域保障广覆盖。评分标准：答案合理即可酌情给分，未说明作用每点扣1分。五、论述题参考答案及评分标准1.答题要点（共11分，其中实施步骤5分，关键问题6分）：①资产梳理与需求调研：梳理企业现有网络架构、业务系统、用户群体、访问关系，明确零信任建设的核心保护对象与合规要求。②身份体系建设：构建统一的身份管理平台，覆盖用户、设备、应用三类身份，实现身份的全生命周期管理。③可信访问代理部署：在业务系统前端部署零信任可信访问代理，所有访问流量都需要经过代理的身份校验与权限校验。④最小权限授权：基于业务访问需求，梳理最小的访问权限矩阵，每个身份仅授予完成工作所需的最小资源访问权限。⑤持续信任评估：构建信任评估体系，基于用户的身份、设备环境、访问行为、时间位置等多维度因素持续计算信任值，动态调整访问权限。⑥对接现有安全系统：将零信任系统与现有防火墙、EDR、SOC等安全系统对接，实现威胁的联动响应。⑦灰度上线与优化：先试点非核心业务，再逐步推广到核心业务，持续优化权限策略与信任评估模型。①业务兼容性问题：需要充分评估零信任代理对现有业务系统的兼容性，避免因代理拦截导致业务不可用，对老旧系统可采用API网关对接等兼容方案。②用户体验问题：避免过度的身份校验影响用户访问体验，可采用自适应认证策略，低风险访问采用单因子认证，高风险访问采用多因子认证。③性能瓶颈问题：可信访问代理作为所有流量的入口，需要具备高可用、高并发处理能力，避免成为业务访问的性能瓶颈。④权限治理复杂度问题：随着业务迭代，权限矩阵会持续膨胀，需要建立定期的权限审计与清理机制，避免权限过度授予。评分标准