2025年网络工程师下午真题试卷(附答案)

2025年网络工程师下午真题试卷(附答案)试题一（20分）阅读以下说明，回答问题1至问题4，将解答填入答题纸对应的解答栏内。【说明】某职业教育园区新建信息化基础设施，包含3栋教学楼、1栋实训楼、1栋图书馆、1栋行政办公楼，共有终端接入点位3200个，出口对接联通、电信两家运营商，要求整网实现7*24小时高可用，核心层设备实现双机热备，汇聚层、接入层链路实现冗余，实训区需单独划分安全域，与办公区、教学区逻辑隔离。网络拓扑采用三层架构设计，核心层部署2台框式核心交换机S12700E，汇聚层每栋楼部署2台盒式汇聚交换机S5735S-H，接入层部署POE交换机S5735-L-PWR，同时部署AC6800控制器统一管理全园1200台WiFi6AP。【问题1】（6分）1.本次网络采用三层架构设计，请分别写出核心层、汇聚层、接入层的核心功能定位，每点不超过20字。2.本次核心层采用双机虚拟化集群技术，该技术的官方名称是（1），相比传统VRRP冗余方案，其核心优势是（2）、（3）。【问题2】（5分）园区IP地址规划采用/8私网地址段，按楼宇划分地址块，要求每个VLAN可容纳最大终端数250台，采用VLAN聚合方式节省地址资源：1.请计算每个VLAN的子网掩码为（4），每个子网可用IP地址数量为（5）。2.教学区1号楼共有30个VLAN，需分配连续的地址块，最少需要分配（6）位的子网前缀作为该楼宇的汇总地址段。3.实训区属于高安全域，要求禁止与其他区域主动通信，仅允许其他区域访问实训区的3台实验服务器，实现该需求最经济的技术是（7），若需实现物理隔离需部署（8）设备。【问题3】（5分）整网生成树协议采用MSTP，要求VLAN1-100走核心S1为主根，VLAN101-200走核心S2为主根，实现流量负载分担：1.MSTP相对于RSTP的核心优势是（9）。2.请写出将S1配置为VLAN1-100主根的命令（10），将S2配置为VLAN1-100备根的命令（11）。3.接入层连接终端的端口需配置为边缘端口，该配置的作用是（12），配置边缘端口后默认是否开启BPDU保护（13）（填是/否）。【问题4】（4分）园区无线网络要求划分3个SSID，分别为教学专用SSID、办公SSID、访客SSID：1.访客SSID要求仅能访问互联网，不能访问园区内网资源，实现该需求的技术是（14）。2.为避免相邻AP同频干扰，2.4G频段的三个互不干扰的信道编号为（15）、（16）、（17）。【试题一答案】【问题1答案】1.核心层：高速跨域数据转发，实现全网互联互通；汇聚层：路由聚合、策略管控、域间隔离；接入层：终端接入、端口安全、POE供电。（每点1分，共3分）2.（1）CSS2（集群交换机系统）（1分）；（2）网关切换零时延，业务无中断（1分）；（3）简化拓扑，无需额外配置VRRP/MSTP冗余协议（1分）【问题2答案】（4）（1分）；（5）253（扣除网关、广播地址，1分）；（6）19（30个/24子网需32个地址块，前缀为24-5=19，1分）；（7）ACL访问控制列表（1分）；（8）正向隔离装置/网闸（1分）【问题3答案】（9）支持多生成树实例，可实现VLAN级流量负载分担（1分）；（10）stpvlan1to100rootprimary（或绑定实例后配置instance主根，1分）；（11）stpvlan1to100rootsecondary（1分）；（12）端口无需协商直接进入转发状态，减少终端接入等待时长（1分）；（13）否（1分）【问题4答案】（14）用户组隔离/ACL流量管控（1分）；（15）1（1分）；（16）6（1分）；（17）11（1分）试题二（20分）【说明】某企业总部出口部署2台AR6300路由器，分别对接电信、联通运营商，总部内网网段为/16，与省外分支通过IPSecVPN打通，出口要求实现电信地址段访问走电信出口，联通地址段访问走联通出口，地址池分别为电信分配的公网地址段/28、联通分配的公网地址段/28，内部WEB服务器对外提供服务，映射公网地址为。【问题1】（6分）基础配置：1.路由器R1（电信出口）GE0/0/1接内网，IP地址为/30，GE0/0/0接电信运营商，IP地址为/28，请写出对应的接口配置命令（1）、（2）。2.要求内网用户访问公网时进行NAPT转换，地址池为-4，请写出配置NAPT地址池的命令（3），配置ACL匹配/16网段的命令（4），配置NAPToutbound绑定的命令（5）。3.配置WEB服务器的静态NAT映射，命令为（6）。【问题2】（6分）路由配置：1.电信出口配置默认路由，下一跳为电信网关4，命令为（7）；联通出口默认路由下一跳为4，配置优先级为70，命令为（8）。2.内网运行OSPF协议，进程号1，区域0，将/16网段宣告进OSPF的命令为（9），为避免内网学习到公网路由，需在出口路由器OSPF进程下配置（10）功能。3.为实现联通目标地址段访问走联通出口，采用策略路由实现，匹配ACL中联通目标地址段的流量，下一跳指定为4，策略路由需应用在（11）（填接口名称及方向），其转发优先级比静态路由（12）（填高/低）。【问题3】（4分）IPSecVPN配置：1.IPSecVPN的两个核心协议为AH和ESP，其中支持数据加密的是（13），IKE协商的两个阶段分别为（14）、（15）。2.本次IPSecVPN要求实现总部/16与分支/16网段互通，需配置感兴趣流ACL，匹配规则为（16）。【问题4】（4分）故障排错：1.内网用户反馈无法访问公网，经排查接口状态正常，NAT配置正确，运营商链路正常，可能的原因是（17）、（18）（写出2种即可）。2.外网用户反馈无法访问内部WEB服务器，经排查NATserver配置正确，运营商链路正常，可能的原因是（19）、（20）（写出2种即可）。【试题二答案】【问题1答案】（1）interfaceGigabitEthernet0/0/0ipaddress40（1分）（2）interfaceGigabitEthernet0/0/1ipaddress52（1分）（3）nataddress-group14（1分）（4）aclnumber2000rulepermitsource55（1分）（5）interfaceGigabitEthernet0/0/0natoutbound2000address-group1（1分）（6）natserverprotocoltcpglobalwwwinside0www（内网服务器地址合理即可，1分）【问题2答案】（7）iproute-static4（1分）（8）iproute-static4preference70（1分）（9）ospf1area0network55（1分）（10）静默接口（silent-interface）/路由过滤（1分）（11）GE0/0/1入方向（1分）（12）高（1分）【问题3答案】（13）ESP（1分）（14）主模式（协商IKESA）（1分）（15）快速模式（协商IPSecSA）（1分）（16）rulepermitipsource55destination55（1分）【问题4答案】（17）未配置指向运营商的默认路由（1分）（18）内网到出口路由器的路由不可达/ACL未匹配内网网段（1分，合理即可）（19）出口防火墙未开放80/443端口入方向权限（1分）（20）服务器自身防火墙拦截公网访问/服务器未开启WEB服务（1分，合理即可）试题三（20分）【说明】某楼宇汇聚交换机为S5735，下联12台接入交换机，对应教学区VLAN10-30、办公区VLAN40-50，核心交换机双机部署，VRRP虚拟网关地址为172.16.x.254，其中VLAN10的主网关为核心S1，优先级120，备网关为核心S2，优先级100。【问题1】（5分）端口配置：1.汇聚交换机上联核心的端口为GE0/0/1、GE0/0/2，需配置为Trunk端口，允许所有VLAN通过，配置命令为（1）、（2）。2.下联接入交换机的端口为GE0/0/3-GE0/0/14，需配置为Trunk端口，仅允许VLAN10-50通过，禁止VLAN1通过，配置命令为（3）、（4）。3.接入层连接终端的端口需配置端口安全，最大允许接入2台终端，违例后关闭端口，配置命令为（5）。【问题2】（6分）VRRP配置：1.核心S1配置VLAN10的VRRP，虚拟网关为54，优先级120，开启抢占模式，配置命令为（6）、（7）、（8）。2.要求S1的上联运营商端口断开后，VRRP优先级自动降低30，需配置（9）功能，该功能的作用是（10）。3.若VRRP配置后，两台核心的VRRP状态均为Master，可能的原因是（11）。【问题3】（4分）DHCP配置：1.核心交换机作为DHCP服务器，VLAN10的地址段为/24，网关为54，DNS地址为，地址池排除-0，配置VLAN10的DHCP地址池命令为（12）、（13）、（14）、（15）。【问题4】（5分）802.1X配置：1.办公区采用802.1X认证，仅允许授权用户接入网络，802.1X的三个组件分别为（16）、（17）、（18）。2.若用户接入后始终无法弹出认证页面，可能的原因是（19）、（20）（写出2种即可）。【试题三答案】【问题1答案】（1）portlink-typetrunk（1分）（2）porttrunkallow-passvlanall（1分）（3）porttrunkallow-passvlan10to50（1分）（4）undoporttrunkallow-passvlan1（1分）（5）port-securityenable;port-securitymax-mac-num2;port-securityprotect-actionshutdown（核心命令正确即可，1分）【问题2答案】（6）interfaceVlanif10ipaddress53（1分）（7）vrrpvrid10virtual-ip54（1分）（8）vrrpvrid10priority120;vrrpvrid10preempt-modeenable（1分）（9）VRRP接口跟踪（1分）（10）上行链路故障时自动降低优先级，触发主备切换，避免业务中断（1分）（11）两台核心之间VRRP报文被拦截/VRRPvrid、认证参数配置不一致（1分，合理即可）【问题3答案】（12）ippoolvlan10networkmask（1分）（13）gateway-list54（1分）（14）dns-list（1分）（15）excluded-ip-address0（1分）【问题4答案】（16）申请者（Supplicant）（1分）（17）认证者（Authenticator）（1分）（18）认证服务器（AuthenticationServer）（1分）（19）终端未开启802.1X认证服务（1分）（20）接入交换机未配置RADIUS服务器参数/到认证服务器链路不通（1分，合理即可）试题四（20分）【说明】某企业按照等保2.0三级要求部署安全防护体系，出口部署USG6000系列防火墙，串联部署入侵防御系统IPS，旁路部署IDS、日志审计系统、漏洞扫描系统，数据中心部署数据库审计系统，终端部署EDR客户端。【问题1】（6分）防火墙配置：1.防火墙默认的三个安全区域为（1）、（2）、（3），安全优先级分别为（4）、（5）、（6）。【问题2】（6分）安全策略配置：1.要求内网Trust区域访问公网Untrust区域全部允许，配置安全策略的匹配条件为源区域Trust、目的区域Untrust、动作（7）。2.要求公网仅能访问DMZ区域的WEB服务器的80、443端口，配置安全策略的匹配条件为源区域Untrust、目的区域DMZ、目的地址为WEB服务器公网地址、目的端口80/443、动作（8），其余访问DMZ的流量动作（9）。3.NAT策略配置要求内网用户访问公网进行源NAT转换，转换为出接口地址，该NAT类型为（10）；公网用户访问DMZ服务器的流量进行目的NAT转换，该NAT类型为（11）。4.安全策略的匹配顺序为（12）。【问题3】（4分）安全设备功能：1.IPS和IDS的核心区别是（13），其中可实现主动拦截攻击的是（14）。2.日志审计系统需满足等保2.0要求，日志存储时长不少于（15）个月；漏洞扫描系统可识别的三类常见漏洞为（16）（写出3种即可）。【问题4】（4分）等保合规：1.等保2.0的五个核心环节为（17）、备案、（18）、监督检查、整改。2.三级等保要求的核心技术管控措施包含（19）、（20）（写出2种即可）。【试题四答案】【问题1答案】（1）Trust（信任区域）（1分）（2）DMZ（非军事区）（1分）（3）Untrust（非信任区域）（1分）（4）85（1分）（5）50（1分）（6）5（1分）【问题2答案】（7）允许（permit）（1分）（8）允许（permit）（1分）（9）拒绝（deny）（1分）（10）EasyIP（1分）（11）NATServer（1分）（12）从上到下按序匹配，匹配即停止（1分）【问题3答案】（13）IPS为串联部署，可实时阻断攻击；IDS为旁路部署，仅做检测告警（1分）（14）IPS（1分）（15）6（1分）（16）SQL注入、XSS跨站脚本、缓冲区溢出（1分，合理即可）【问题4答案】（17）定级（1分）（18）测评（1分）（19）身份鉴别、访问控制、入侵防范、数据传输加密（2分，每点1分，合理即可）试题五（20分）【说明】某企业部署IPv6网络，同时采用SD-WAN技术实现多分支互联，无线网络采用AC+FITAP架构，运维采用Zabbix实现全网络设备监控。【问题1】（6分）IPv6配置：1.IPv6的链路本地地址前缀为（1），可聚合全球单播地址前缀为（2），本地唯一地址前缀为（3）。2.路由器接口配置IPv6地址2408:8000::1/64的命令为（4），开启IPv6报文转发功能的命令为（5）。3.IPv6的ND协议对应IPv4的（6）协议。【问题2】（6分）SD-WAN配置：1.SD-WAN的核心优势为（7）、（8）、（9）（写出3点即可）。2.SD-WAN的智能选路功能可根据（10）、（1