2025年网络工程师中级考试真题解析试卷及答案

2025年网络工程师中级考试真题解析试卷及答案2025年全国计算机技术与软件专业技术资格（水平）考试网络工程师（中级）真题分为上午卷《基础知识》、下午卷《应用技术》两部分，以下为完整真题、参考答案及详细解析。上午卷·基础知识（满分75分，75道单项选择题，每题1分，45分合格）本次上午卷考点覆盖计算机系统基础、数据通信原理、TCP/IP协议簇、局域网/广域网技术、路由交换技术、IPv6技术、网络安全、SDN/SD-WAN、云计算网络、网络运维管理、知识产权与标准化11个模块，各模块分值占比分别为7%、8%、15%、10%、18%、12%、12%、7%、5%、4%、2%，与2025年版考试大纲要求完全匹配。以下为核心真题解析：1.计算机系统中，采用DMA方式实现高速外设与内存之间的数据传输时，数据传输过程的控制权属于（）A.CPUB.DMA控制器C.外设控制器D.操作系统内核参考答案：B解析：DMA（直接存储器访问）的核心逻辑是在批量数据传输期间，CPU临时将总线控制权交给DMA控制器，由DMA控制器直接控制数据在内存与外设之间的传输，无需CPU介入每一步操作，仅在传输前的参数配置、传输结束后的中断处理环节由CPU参与，可大幅提升高速外设的传输效率。2.某企业云平台采用全闪NVMe存储集群，其存储总线与CPU通信采用的协议是（）A.SATA3.0B.SAS4.0C.PCIe4.0/5.0D.USB3.2参考答案：C解析：NVMe（非易失性内存主机控制器接口规范）是专门为闪存介质设计的传输协议，基于PCIe总线实现与CPU的直接通信，2025年主流企业级NVMe存储普遍采用PCIe4.0（单通道速率2GB/s）或PCIe5.0（单通道速率4GB/s）标准，相比SATA、SAS协议可降低70%以上的存储I/O延迟，并发性能提升3-5倍。3.若某数字信道的信噪比为30dB，带宽为100MHz，根据香农定理，该信道的最大理论传输速率约为（）A.100MbpsB.300MbpsC.1GbpsD.10Gbps参考答案：C解析：香农定理公式为`C=B*log₂(1+S/N)`，其中信噪比与dB的转换公式为`dB=10*log₁₀(S/N)`，30dB对应`S/N=10^(30/10)=1000`，代入公式得`C=100MHz*log₂(1001)≈100MHz*10=1000Mbps=1Gbps`。4.以下TCP报文段标志位中，用于释放连接时通知对方本方数据已发送完毕的是（）A.SYNB.ACKC.FIND.RST参考答案：C解析：SYN用于连接建立时同步序号，ACK用于确认报文有效，FIN用于连接释放时指示发送端数据已全部传输完成，RST用于异常中断连接。5.IPv4报文头中可选字段“记录路由”的最大可记录路由跳数为（）A.9B.15C.31D.63参考答案：A解析：IPv4报文头长度最小20字节，最大60字节，可选字段最大长度为40字节；记录路由选项中，1字节用于标识选项类型、1字节用于标识选项长度、1字节用于标识偏移量，剩余37字节用于存储IP地址，每个IPv4地址占4字节，`37/4≈9.25`，因此最多可记录9个路由跳数的IP地址。6.某企业分支机构采用SD-WAN技术实现与总部的互联，以下关于SD-WAN核心功能的描述错误的是（）A.支持MPLS、互联网、5G多链路混合接入B.可基于应用类型实现智能选路C.必须依赖MPLS专线实现数据加密传输D.支持零接触部署分支机构设备参考答案：C解析：SD-WAN的核心优势是兼容多种广域网链路，无需依赖专用MPLS专线即可通过IPsec、TLS等协议实现传输加密，A、B、D均为SD-WAN标准功能。7.零信任网络架构的核心原则是“永不信任，始终验证”，以下不属于零信任核心组件的是（）A.信任引擎B.策略执行点C.边界防火墙D.身份管理系统参考答案：C解析：零信任架构打破传统基于物理边界的信任模型，核心组件包括负责身份和权限校验的信任引擎、负责访问控制的策略执行点、负责全量身份生命周期管理的身份管理系统；传统边界防火墙是基于边界信任模型的核心设备，不属于零信任核心组件。8.以下IPv6地址中，可用于全局公网路由的是（）A.fe80::20c:29ff:fe1a:3b4cB.fd00::1234:abcdC.2001:db8:1234::/48D.ff02::1参考答案：C解析：A选项为链路本地地址，仅在同一广播域内有效，不可公网路由；B选项为唯一本地地址，相当于IPv4的私网地址，仅在内网路由，不可公网转发；C选项为全球单播地址段，属于公网可路由地址；D选项为链路本地所有节点组播地址，仅用于本地网段组播通信。9.OSPFv3与OSPFv2的对比描述，正确的是（）A.OSPFv3基于IPv6运行，报文中携带IPv6前缀信息，支持对IPv6路由的计算B.OSPFv3与OSPFv2的区域划分规则完全不同C.OSPFv3取消了DR/BDR选举机制D.OSPFv3的报文认证依赖OSPF自身的认证字段，不依赖IPv6扩展头参考答案：A解析：OSPFv3是专为IPv6设计的路由协议，核心区域划分、DR/BDR选举、路由计算逻辑与OSPFv2保持一致，仅在报文结构、前缀承载方式上存在差异；OSPFv3取消了自身的认证字段，认证功能依赖IPv6的AH/ESP扩展头实现，因此B、C、D错误。10.某企业核心交换机CPU利用率长期维持在90%以上，经排查发现存在大量ICMP报文定向到交换机本身，以下解决措施最合理的是（）A.在交换机上行接口配置ACL禁止所有ICMP报文B.配置交换机的ControlPlanePolicing（CPP）限制上送CPU的ICMP报文速率C.关闭交换机的ICMP响应功能D.增加交换机的内存容量参考答案：B解析：A选项禁止所有ICMP报文会导致网络诊断功能失效；C选项关闭ICMP响应会影响网络运维排查；D选项CPU利用率高与内存容量无直接关联；CPP（控制平面限速）可针对上送CPU的协议报文进行速率限制，在不影响正常运维的前提下避免恶意报文攻击导致CPU过载，是最优解决方案。11.某工程师在任职期间利用公司资源开发了一款网络自动化运维工具，该软件的著作权属于（）A.工程师本人B.公司C.工程师与公司共同所有D.双方约定的所属方参考答案：B解析：根据《计算机软件保护条例》，公民在单位任职期间，针对本职工作中明确指定的开发目标所开发的软件，或主要利用单位的物质技术条件开发并由单位承担责任的软件，著作权属于单位。下午卷·应用技术（满分75分，4道综合题，45分合格）试题一（20分）某中型企业计划对现有网络进行IPv6改造，网络拓扑如下：核心层部署两台冗余核心交换机SW1、SW2，接入层部署8台接入交换机，出口部署两台防火墙FW1、FW2，运营商分配的IPv6前缀为`240e:1234:5678::/48`，内网划分为办公区（/52）、服务器区（/52）、访客区（/52）3个网段，要求实现内网IPv6用户可访问公网IPv6资源，服务器区对外提供IPv6的Web、DNS服务。问题1（6分）请计算该企业可分配的/64子网数量，以及每个/64子网的可用主机地址数。参考答案：可分配/64子网数量为`2^(64-48)=65536`个；每个/64子网的可用主机地址数为`2^64-2`（排除网络地址和子网路由器任播地址，实际生产中可视为近似无限）。解析：IPv6全球单播地址的子网划分通常采用/48前缀作为企业分配段，/64作为末端子网前缀，子网位为16位，因此子网数为`2^16=65536`；每个/64子网的主机位为64位，排除子网路由器任播地址（全0主机位）和保留地址，可用地址为`2^64-2`。问题2（7分）该企业采用无状态地址自动配置（SLAAC）为办公区用户分配IPv6地址，请简述SLAAC的工作流程，以及需在核心交换机上配置的相关参数。参考答案：SLAAC工作流程：1.主机接入网络后发送RS（路由器请求）报文，源地址为`::`，目的地址为`FF02::2`（所有路由器组播地址）；2.本地网段路由器收到RS后，回复RA（路由器通告）报文，报文中携带本网段IPv6前缀、前缀长度、默认网关、MTU等信息；3.主机收到RA后，结合RA中的前缀和自身的EUI-64标识生成IPv6全局单播地址，完成地址配置。核心交换机需配置的参数：1.全局开启IPv6路由转发功能；2.在办公区VLAN接口下配置`240e:1234:5678:1::/64`前缀；3.开启RA通告功能，设置前缀有效生命周期、优先生命周期，允许SLAAC地址分配。解析：SLAAC是IPv6原生支持的地址分配方式，无需DHCPv6服务器即可实现地址自动分配，适用于终端数量多的办公场景，核心配置需确保路由器开启RA通告，且前缀长度为/64（SLAAC要求固定/64前缀）。问题3（7分）该企业服务器区的Web服务器IPv6地址为`240e:1234:5678:100::10/64`，要求对外提供IPv6访问服务，请写出防火墙需配置的核心安全策略。参考答案：1.入方向策略：允许公网任意IPv6地址访问服务器`240e:1234:5678:100::10`的TCP80、443端口（Web服务），以及UDP53端口（DNS服务），其余端口默认拒绝；2.出方向策略：允许该服务器访问公网的TCP443、UDP53端口，用于服务器更新、域名解析，其余对外访问默认拒绝；3.配套配置IPv6邻居发现防护，防止DAD攻击，确保服务器地址不被抢占。解析：对外提供服务的IPv6服务器安全策略需遵循最小权限原则，仅开放必要的端口和协议，避免暴露不必要的服务端口，同时需配置ND防护保障IPv6地址的唯一性。试题二（20分）某连锁零售企业计划部署SD-WAN实现全国200家门店与总部数据中心的互联，门店采用5G+互联网双链路接入，总部采用MPLS专线+千兆互联网双链路接入，要求实现门店访问总部OA系统走MPLS专线，访问互联网资源走5G链路，链路故障时自动切换。问题1（6分）请简述SD-WAN的智能选路核心实现逻辑，以及需要采集的链路状态参数。参考答案：智能选路实现逻辑：SD-WAN控制器基于预配置的应用SLA策略，实时采集各链路的质量参数，当链路质量满足应用SLA要求时选择最优链路传输，当链路质量不满足SLA要求时自动切换到备用链路，切换过程无需终端感知，丢包率低于0.1%。需采集的链路状态参数：时延、抖动、丢包率、带宽利用率、链路在线状态。解析：SD-WAN的智能选路是核心功能，通过对链路质量的实时监测和应用SLA的匹配，实现链路资源的最优利用；零售场景中OA系统对稳定性要求高，因此优先选择低丢包的MPLS链路，互联网访问对成本敏感，优先选择5G/互联网链路。问题2（7分）为保障门店与总部之间的传输安全，SD-WAN采用IPsec隧道实现数据加密，请写出IPsec隧道模式下ESP协议的封装结构，以及ESP协议提供的安全功能。解析：IPsec是SD-WAN的标准加密技术，隧道模式适用于站点到站点的互联，ESP协议相比AH协议支持数据加密，是目前主流的IPsec封装协议。问题3（7分）该企业要求门店的SD-WANCPE设备实现零接触部署，请简述零接触部署的实现流程。参考答案：零接触部署流程：1.预先在SD-WAN控制器中录入所有CPE设备的SN号、归属门店、配置模板信息；2.CPE设备上电后，通过DHCP获取互联网地址，自动向SD-WAN控制器的注册地址发起注册请求，请求报文中携带自身SN号；3.控制器校验SN号是否在预配置列表中，校验通过后将对应门店的配置模板下发到CPE设备；4.CPE设备自动加载配置，建立与总部的IPsec隧道，完成部署，全程无需运维人员上门配置。解析：零接触部署是SD-WAN的核心优势之一，针对门店数量多、分布广的场景，可降低80%以上的部署成本和运维难度，是2025年网工考试的核心新增考点。试题三（20分）某企业数据中心采用SPINE-LEAF两层架构部署，共有2台SPINE交换机、8台LEAF交换机，服务器采用双上联到两台LEAF交换机实现冗余，要求部署EVPN-VXLAN实现大二层网络，满足虚拟机跨主机迁移的需求。问题1（6分）请简述EVPN-VXLAN相比传统VXLAN的优势。参考答案：1.控制层面采用BGPEVPN协议，替代传统VXLAN的数据平面学习机制，可减少70%以上的广播泛洪，提升网络效率；2.支持ARP抑制，减少ARP广播报文在VXLANFabric中的泛洪，降低网络带宽消耗；3.支持同一VNI的多活网关，虚拟机跨LEAF迁移时无需变更网关，切换时延小于50ms；4.支持VXLAN隧道的自动发现，无需手动配置隧道，降低运维复杂度。解析：EVPN-VXLAN是当前数据中心大二层网络的主流技术，2025年考试大纲明确将其纳入核心考点，相比传统静态VXLAN，EVPN引入控制平面的路由学习机制，大幅提升了大二层网络的扩展性和可靠性。问题2（7分）该数据中心的VXLANVNI范围为10000-10100，对应VLAN范围为100-200，请写出LEAF交换机连接服务器的接入端口的核心配置命令（以华为交换机为例）。参考答案：```interfaceGigabitEthernet0/0/1portlink-typeaccessportdefaultvlan100bridge-domain10vxlanvni10000l2bindingvlan100evpnroute-distinguisher10:1vpn-target10:1export-extcommunityvpn-target10:1import-extcommunity```解析：华为交换机的EVPN-VXLAN配置采用Bridge-domain作为二层转发域，需将VLAN与BD绑定，再将BD与VNI绑定，同时配置EVPN的RD和RT值实现路由的发布和接收。问题3（7分）该企业要求虚拟机跨LEAF迁移时，业务不中断，请简述EVPN-VXLAN实现虚拟机无感知迁移的核心机制。参考答案：核心机制包括：1.EVPN的MAC/IP路由发布机制：当虚拟机迁移到新的LEAF交换机后，新LEAF会通过BGPEVPN发布该虚拟机的MAC/IP路由，所有SPINE和其他LEAF交换机会自动更新该虚拟机的