2026年软考网络工程师下午真题试卷解析版

2026年软考网络工程师下午真题试卷解析版试题一：企业网络规划与设计【背景说明】某大型制造企业为提升生产效率与管理水平，计划对现有园区网络进行全面升级改造。该企业主要部门包括生产部（600台终端）、研发部（300台终端）、市场部（120台终端）以及服务器群（约50台服务器）。网络核心层采用两台高性能三层交换机Core-SW1和Core-SW2组成双核心架构，接入层采用二层交换机连接各终端。ISP分配给企业的公网地址段为/28。内部网络规划使用私有地址，要求各VLAN间互通，且各部门VLAN需按照部门规模进行子网划分，以节省IP地址。网络拓扑中还包括边界路由器Router-ISP用于连接互联网，以及防火墙FW用于安全防护。内部网络出口部署NAT以实现公网访问。DHCP服务器部署在DMZ区域，为各部门终端自动分配IP地址。【问题1】（8分）根据网络需求，请为各部门规划IP地址。假设生产部、研发部、市场部分别对应VLAN10、VLAN20、VLAN30，核心设备与服务器互联使用VLAN100。请将合适的子网地址或掩码填入下表（1）~（5）处。部门/VLAN终端数量分配的网段（网络地址）子网掩码（长格式）可用IP范围举例生产部(VLAN10)600（1）~54研发部(VLAN20)300（2）~54市场部(VLAN30)120/25~26设备互联(VLAN100)-（3）-（1）~（3）请补充子网掩码长度或具体的子网掩码格式。此外，若核心交换机作为VLAN10的网关，其对应的接口IP地址通常配置为该网段的（4）地址（请填写“第一个”或“最后一个”可用地址）。【问题2】（6分）为了提高网络可靠性，核心层Core-SW1与Core-SW2之间运行MSTP（多生成树协议）来实现负载分担。现要求VLAN10和VLAN20的数据流量以Core-SW1为根桥转发，VLAN30的数据流量以Core-SW2为根桥转发。请在Core-SW1上补充相关配置命令。```bash[Core-SW1]stpmodemst[Core-SW1]stpregion-configuration[Core-SW1-mst-region]region-nameRG1[Core-SW1-mst-region]instance1vlan1020[Core-SW1-mst-region]instance2vlan30[Core-SW1-mst-region]activeregion-configuration[Core-SW1-mst-region]quit[Core-SW1]（5）[Core-SW1]（6）```（5）和（6）请补充完整的配置命令。【问题3】（5分）DHCP服务器部署在DMZ区域，配置作用域为各部门分配IP。核心交换机配置为DHCP中继。请写出在核心交换机上开启DHCP中继功能的命令，以VLAN10接口为例，指向DHCP服务器IP（假设为0）。```bash[Core-SW1]dhcpenable[Core-SW1]interfaceVlanif10[Core-SW1-Vlanif10]ipaddress[Core-SW1-Vlanif10]（7）```若客户端PC无法获取IP地址，在排错过程中，使用命令`displaydhcprelayinterfacevlanif10`查看状态，发现报文计数为0，可能的原因是（8）和（9）（请列举两个原因）。【问题4】（6分）企业边界防火墙部署了NAT策略，允许内部所有主机访问互联网。公网地址池为~4。配置EasyIP模式或NAPT。请补充防火墙或出口路由器上的NAT配置命令（以华为设备语法为例）：```bash[Router]acl2000[Router-acl-basic-2000]rulepermitsource55[Router-acl-basic-2000]quit[Router]interfaceGigabitEthernet0/0/1//连接ISP[Router-GigabitEthernet0/0/1]natoutbound2000```若配置如下，则该配置实现的功能是（10）：```bash[Router-GigabitEthernet0/0/1]natserverprotocoltcpglobal80inside08080```【答案与解析】【问题1】（1）/22或解析：生产部有600台终端，需要主机数N>600。主机位位数n满足−2≥600，取n=9(−（2）/23或解析：研发部300台终端，需要n满足−2≥300。n=8(254不够)，n（3）/24或解析：设备互联VLAN通常主机较少，使用标准C类网段/24即可。（4）第一个解析：网关地址通常配置为网段的第一个可用IP地址。【问题2】（5）stpinstance1priority4096（6）stpinstance2priority8192解析：MSTP可以让不同VLAN的流量通过不同的实例进行负载均衡。默认优先级为32768，数值越小优先级越高。要求VLAN10/20（实例1）以Core-SW1为根，需将Core-SW1实例1的优先级设低；要求VLAN30（实例2）以Core-SW2为根，则Core-SW1在实例2上的优先级应保持默认或设高，Core-SW2需设低。此处题目要求在Core-SW1上配置，故设置实例1优先级为4096使其成为根，实例2优先级设为8192（相对低于Core-SW2的预设值，通常Core-SW2会配置实例2为4096）。【问题3】（7）dhcpselectrelay（7）dhcprelayserver-ip0解析：在华为设备上，接口下配置中继需要先开启中继模式，然后指定DHCP服务器IP。（8）DHCP中继未配置正确的DHCP服务器IP地址（9）DHCP服务器未开启或服务故障（其他可能答案：核心交换机到DHCP服务器路由不可达；客户端与交换机之间的链路故障；DHCPSnooping配置错误阻断了信任端口）【问题4】（10）实现公网IP的80端口映射到内部服务器0的8080端口（NATServer）解析：`natserverprotocoltcpglobal<global-ip><global-port>inside<local-ip><local-port>`用于配置静态端口映射（服务器映射）。试题二：Windows/Linux服务器配置与管理【背景说明】某公司搭建了企业内部服务平台，服务器操作系统包括WindowsServer2019和CentOS8。网络环境如试题一所述。1.DNS服务器（WindowsServer2019）：负责解析公司域名`company`及其子域名。2.Web服务器（CentOS8）：基于Apache搭建，提供公司内部OA系统访问，域名为`oapany`。3.FTP服务器（WindowsServer2019）：用于文件共享，支持用户隔离。【问题1】（5分）在WindowsServer2019上安装DNS服务。创建名为`company`的主要区域。管理员需要在DNS管理器中新建主机（A）记录。将Web服务器IP地址5映射到域名`wwwpany`。在新建主机记录时，需要在“名称”栏填写（1），在“IP地址”栏填写（2）。若要实现反向解析，即通过IP地址查找域名，需要创建（3）区域。【问题2】（5分）Web服务器IP为5。管理员在CentOS上配置Apache服务，主配置文件为`/etc/httpd/conf/httpd.conf`。为了设置默认网站首页为`index.php`和`index.html`，需要修改配置指令`DirectoryIndex`。请补全配置：（4）index.phpindex.html为了启用基于域名的虚拟主机，管理员添加了如下配置段：```apache<VirtualHost*:80>ServerName（5）DocumentRoot"/var/www/oa"ErrorLoglogs/oa-error_logCustomLoglogs/oa-access_logcommon</VirtualHost>```此外，必须确保主配置文件中包含`NameVirtualHost*:80`指令（在Apache2.4版本中，该指令通常省略，但在旧版本或特定配置下需要）。【问题3】（6分）公司配置了FTP服务器，要求使用SSL加密传输（FTPS）。在WindowsServer2019的IIS中，配置FTP站点并要求SSL。首先需要为服务器安装（6）证书，否则无法启用SSL。在FTPSSL设置中，若选择“要求SSL连接”，则客户端无法使用普通FTP（明文）连接。若允许部分客户端明文连接，应选择“允许SSL连接”。在Linux服务器上，若要使用vsftpd搭建FTP服务，配置文件`/etc/vsftpd/vsftpd.conf`中，禁用匿名用户登录的配置指令是（7）。限制本地用户只能访问其主目录（chroot）的配置指令是（8）。【问题4】（4分）为了保障服务器安全，管理员配置了防火墙规则。在CentOS8上使用`firewalld`管理防火墙。若要开放HTTP服务（默认端口80），需执行的命令如下：```bash[root@centos~]#firewall-cmd--zone=public--add-service=http--permanent[root@centos~]#（9）```若要仅允许特定网段（如/16）访问MySQL数据库端口3306，应使用`--add-rich-rule`选项。请写出具体规则：```bash[root@centos~]#firewall-cmd--zone=public--add-rich-rule='rulefamily="ipv4"sourceaddress="/16"portprotocol="tcp"port="3306"（10）'--permanent```【答案与解析】【问题1】（1）www解析：A记录用于将主机名映射到IP地址。在`company`区域下，创建名称为`www`的记录即代表`wwwpany`。（2）5解析：Web服务器的实际IP地址。（3）反向查找解析：DNS反向解析区域用于IP到域名的映射，通常名称为。【问题2】（4）DirectoryIndex解析：Apache配置指令，定义默认索引文件的列表。（5）oapany解析：虚拟主机的域名标识，必须与DNS解析的域名一致。【问题3】（6）服务器解析：启用SSL/TLS服务需要服务器证书，可以是自签名证书或向CA购买的证书。（7）anonymous_enable=NO解析：vsftpd配置文件中，`anonymous_enable=YES`允许匿名，故设为NO禁用。（8）chroot_local_user=YES解析：该指令用于将所有本地用户限制在其家目录中，防止浏览系统其他目录。【问题4】（9）firewall-cmd--reload解析：`--permanent`表示永久生效，但需要执行`--reload`重载防火墙配置使规则立即生效。（10）accept解析：富语言规则的动作为accept（接受），表示允许符合条件的流量。试题三：网络设备配置与路由协议【背景说明】某网络拓扑结构如下图所示（文字描述）：R1、R2、R3为路由器。R1（Loopback0:/32）连接局域网LAN1（/24）。R2（Loopback0:/32）连接局域网LAN2（/24）。R3（Loopback0:/32）连接ISP。R1与R2之间通过串行链路相连，网段/24。R2与R3之间通过以太网链路相连，网段/24。内部IGP协议使用OSPF，外部连接使用静态路由。【问题1】（6分）在R1、R2、R3上配置OSPF，实现互通。所有设备属于Area0。请在R1上补充配置命令（华为设备语法）：```bash[R1]ospf1router-id[R1-ospf-1]area0[R1-ospf-1-area-]network[R1-ospf-1-area-]network55[R1-ospf-1-area-]（1）```（1）处应填入`network55`。配置完成后，R1的路由表中，目的地址为的路由项，其协议类型为（2），优先级为（3）。【问题2】（5分）为了减少路由条目，在R2上将LAN1和LAN2的网段进行路由聚合。R2的OSPF配置中，关于聚合的命令如下：```bash[R2]ospf1[R2-ospf-1]area0[R2-ospf-1-area-]abr-summary```该命令的作用是（4）。若在R3上查看路由表，能否看到具体的/24和/24路由？（5）（能/不能）。【问题3】（5分）R3作为边界路由器，配置默认路由指向ISP（下一跳IP为）。同时需要将此默认路由引入OSPF，以便R1和R2能够访问互联网。R3上的配置如下：```bash[R3]iproute-static[R3]ospf1[R3-ospf-1]default-route-advertisealways```命令`default-route-advertisealways`中的`always`关键字的作用是：（6）。若在R1上ping（外网地址），需要配置（7）技术，才能保证数据包能够返回。【问题4】（4分）网络中配置了VRRP（虚拟路由冗余协议）以提高网关的可靠性。R1和R2的LAN接口（连接交换机）配置VRRP组10，虚拟IP为54。要求R1作为Master，R2作为Backup。R1配置如下：```bash[R1]interfaceGigabitEthernet0/0/1[R1-GigabitEthernet0/0/1]vrrpvrid10virtual-ip54[R1-GigabitEthernet0/0/1]vrrpvrid10priority120[R1-GigabitEthernet0/0/1]（8）```（8）处通常配置`vrrpvrid10trackinterfaceGigabitEthernet0/0/0reduced30`。该命令的含义是：（9）。【答案与解析】【问题1】（1）network55解析：宣告R1与R2之间的互联网段，使OSPF邻居建立。（2）O_OSPF解析：OSPF路由的标识。（3）10解析：OSPF协议的优先级（华为设备上）默认为10。【问题2】（4）将Area0内的路由（/24和/24）聚合成一条/16路由发送给其他区域（如果有）或在本区域内优化路由表。（注意：命令`abr-summary`是ABR（区域边界路由器）用于向其他区域发送聚合路由。若题目背景仅涉及单区域Area0，通常使用`asbr-summary`或者在redistributed中配置。但在华为OSPF中，如果在ABR上配置`abr-summary`，是对区域间路由进行聚合。假设题目暗示有其他区域或者这是一种概念性配置。若仅单区域，通常不产生Type3LSA聚合。但根据出题惯例，此处考察聚合命令的意义。）（5）不能解析：路由聚合后，R3（作为其他区域或ABR下游）只能收到聚合后的路由条目，收不到明细路由。【问题3】（6）即使本地路由表中没有激活的默认路由，也向OSPF邻居下发Type3LSA默认路由。解析：不带`always`时，只有本地存在有效默认路由才会发布；带`always`时，无条件发布默认路由，用于确保网络有出口路径。（7）NAT（网络地址转换）解析：内网IP访问公网，回包无法路由回私网地址，必须在出口路由器配置NAT，将私网IP转换为公网IP。【问题4】（8）vrrpvrid10trackinterfaceGigabitEthernet0/0/0reduced30（注：题目已给命令，只需填空，此处为配合解析。实际题目空位可能是要求填写track相关配置）（9）监视上行接口G0/0/0的状态，如果该接口Down掉，则将VRRP优先级降低30。解析：Track功能用于实现链路备份。当主设备的上行链路故障时，自动降低优先级，使Backup设备接管Master角色。试题四：网络安全与VPN技术【背景说明】某公司总部与分支机构之间通过IPSecVPN实现安全通信。总部网络：/16，出口网关FortiGate-1（公网IP：）。分支机构网络：/16，出口网关FortiGate-2（公网IP：）。采用IKEv1协议，主模式，预共享密钥认证，ESP协议传输数据。【问题1】（6分）IPSecVPN主要由两个协议组成：AH（AuthenticationHeader）和ESP（EncapsulatingSecurityPayload）。AH协议提供数据完整性校验和起源认证，但（1）（提供/不提供）数据加密功能。ESP协议提供数据加密、认证和（2）功能。在IPSec建立安全关联（SA）的过程中，定义了两个数据库：安全策略数据库（SPD）和安全关联数据库（SAD）。SPD的主要作用是（3）。【问题2】（6分）IPSecVPN建立过程分为两个阶段。第一阶段（IKEPhase1）的目的是建立（4）信道，用于保护后续的IKE消息。该阶段主要协商的参数包括：加密算法、Hash算法、认证方法、Diffie-Hellman组和（5）。第二阶段（IKEPhase2）的目的是建立（6），用于保护具体的数据流。【问题3】（5分）在防火墙配置界面中，配置IPSecVPNPhase2Proposal。选择加密算法为AES-256，认证算法为SHA256。若要仅保护总部子网/16到分支子网/16的流量，需要在“本地子网”填写（7），在“远端子网”填写（8）。在配置完成后，可以通过（9）命令（Linux系统或网络设备通用命令）查看IPSecSA的协商状态和详细信息。【问题4】（3分）除了IPSecVPN，SSLVPN也是常用的远程接入技术。与IPSecVPN相比，SSLVPN的主要优势在于：无需安装客户端软件（通过浏览器访问）、穿越NAT/防火墙能力强（基于（10）协议）以及细粒度的访问控制。【答案与解析】【问题1】（1）不提供解析：AH不加密数据载荷，只保护头部和数据不被篡改。（2）抗重放解析：ESP提供加密、认证和抗重放保护。（3）指定IP报文的处理策略（丢弃、绕过、应用IPSec）解析：SPD存储了所有IP流的处理策略，决定哪些流量需要进入IPSec处理。【问题2】（4）ISAKMP/IKESA解析：第一阶段建立管理连接，即IKESA（ISAKMPSA）。（5）SA生存时间解析：IKEv1主模式协商参数包括加密、Hash、认证、DH组、SA生命周期。（6）IPSecSA解析：第二阶段建立数据连接，即IPSecSA，用于加密用户数据。【问题3】（7）/16（8）/16（9）displayikesa或displayipsecsa解析：根据设备厂商不同，命令略有差异，华为/H3C通常用`display`，思科用`show`。此处填通用含义即可。【问题4】（10）HTTPS(HTTPoverSSL/TLS)解析：SSLVPN通常使用HTTPS协议（TCP443端口），天然能穿越大多数防火墙和NAT设备。试题五：网络故障分析与排错【背景说明】某单位网络拓扑如下图所示（文字描述）：核心交换机SW-Core，接入交换机SW-1，汇聚交换机SW-Agg。服务器区：文件服务器FileSrv（），网关（在Core上）。用户PC1接在SW-1上，IP地址0/24，网关（在Core上）。故障现象：PC1无法访问FileSrv上的共享文件，Ping不通。网络管理员进行了一系列排查。【问题1】（6分）管理员在PC1上执行`ipconfig/all`，显示IP地址和网关均正确。执行`ping`，结果正常。这说明本机TCP/IP协议栈（1）（正常/异常）。执行`ping`（网关），结果RequestTimedOut。这表明故障可能出现在（2）之间。管理员检查SW-1，发现连接PC1的端口状态为UP，但连接SW-Agg的上行端口被配置为Access模式，且属于VLAN1。而核心交换机上VLAN20的网关接口已创建。请问SW-1上行端口应该配置为（3）模式，并允许（4）通过。【问题2】（5分）修复链路配置后，PC1Ping网关成功，但Ping仍然失败。在Core交换机上查看路由表，有直连路由/24和/24。Core交换机Ping成功。管理员在Core交换机上开启ARP调试，发现PC1请求的ARP请求包到达了Core，但Core没有回复（假设Core作为网关需要代答或转发）。实际上，PC1与FileSrv在不同网段，通信必须经过（5）。管理员检查Core交换机的VLANIF接口配置，发现VLANIF20接口下配置了`arp-proxyenable`（ARP代理），但VLANIF10接口下未配置。此时，PC1发出的ARP请求是询问（6）的MAC地址。若要让PC1访问FileSrv，需要在Core的VLANIF10接口下配置（7）（ARP代理/子网代理）或者路由器做ARP代理。【问题3】（4分）假设网络层已连通。但PC1仍然无法访问FileSrv的文件共享服务，只能Ping通IP。管理员在PC1上使用`telnet445`测试，发现端口无法连接。可能的原因是FileSrv的（8）阻止了入站连接，或者（9）服务未启动。【问题4】（5分）网络中部署了ACL（访问控制列表）。Core交换机的接口G0/0/1（连接服务器区）应用了入方向ACL3000。ACL3000配置如下：```aclnumber3000rule5denytcpsource55destination0rule10permitip```该ACL的作用是：（10）。若要禁止PC1（0）访问服务器区所有IP的Web服务（TCP80），但允许访问其他服务，请在ACL中补充一条规则：（11）【答案与解析】【问题1】（1）正常解析：