2025年网络工程师考试真题与答案

2025年网络工程师考试真题与答案1.以下关于RISC-V开源指令集架构的特点描述，错误的是（）A.指令集长度固定，指令格式精简B.支持模块化扩展，可根据场景定制指令集C.架构完全闭源，需支付专利授权费才可使用D.适合物联网、工业控制、边缘计算等多场景部署参考答案：C解析：RISC-V是基于精简指令集（RISC）原则的开源指令集架构，完全开放开源，企业或个人可免费使用无需支付专利费用，因此C选项错误。其余选项均为RISC-V的核心特点：A选项对应RISC架构通用特性，指令长度固定、译码逻辑简单，运行效率相较于CISC架构提升15%-30%；B选项的模块化扩展是RISC-V的核心优势，可通过I（整数）、M（乘法除法）、A（原子操作）、F（单精度浮点）、D（双精度浮点）等标准扩展，以及定制化扩展指令集支持AI计算、加密计算等场景需求；D选项的多场景适配性是目前RISC-V产业落地的核心方向，截至2024年底，国内已有超过60%的物联网设备采用RISC-V架构芯片。2.某企业存储系统采用RAID6架构部署，以下关于RAID6的说法正确的是（）A.最小需要3块磁盘组建，允许最多1块磁盘故障不丢数B.最小需要4块磁盘组建，允许最多2块磁盘故障不丢数C.最小需要5块磁盘组建，允许最多2块磁盘故障不丢数D.最小需要2块磁盘组建，允许最多1块磁盘故障不丢数参考答案：B解析：RAID6采用双奇偶校验机制，校验数据分散存储在不同磁盘中，最小磁盘需求量为4块，可同时容忍2块磁盘故障不丢失数据，磁盘利用率为(n-2)/n，n为磁盘总数，适合对数据可靠性要求极高的企业存储场景。A选项为RAID5的特性，C选项为RAID50的最小磁盘需求，D选项为RAID1的特性。3.以下关于操作系统虚拟存储技术的缺页中断处理流程，排序正确的是（）①操作系统查询页表，判断该页是否在内存中②CPU执行指令时访问逻辑地址，MMU转换地址时发现页缺失③若内存已满，按照页面置换算法淘汰访问频率最低的页面④从外存交换区调入缺失的页面到内存，更新页表⑤恢复CPU执行被中断的指令A.①②③④⑤B.②①③④⑤C.②①④③⑤D.①②④③⑤参考答案：B解析：缺页中断的完整处理流程为：首先CPU访问逻辑地址时MMU检测到页缺失触发中断，随后操作系统查询页表确认页不在内存中，若内存有空闲块直接调入，若内存已满则先按置换算法淘汰页面，之后从外存调入目标页更新页表，最后恢复CPU执行指令，因此排序为②①③④⑤。4.400G以太网作为当前企业核心网主流传输技术，采用的编码方式是（）A.NRZ编码B.PAM4编码C.曼彻斯特编码D.QAM64编码参考答案：B解析：400G以太网采用PAM4（四阶脉冲幅度调制）编码，每个符号可携带2比特信息，相较于传统NRZ编码的1比特/符号，传输效率提升一倍，可在相同波特率下实现两倍的传输速率，同时支持前向纠错（FEC）技术降低误码率，是当前100G、400G、800G以太网的通用编码标准。曼彻斯特编码多用于10M以太网，QAM64编码多用于无线通信场景。5.IPv6报文头中的流标签字段长度为（），用于标记同一数据流的报文，保障QoS调度优先级。A.8位B.16位C.20位D.24位参考答案：C解析：IPv6基本报文头长度为40字节，其中流标签字段长度为20位，源节点可通过该字段标记需要特殊处理的数据流（如语音、视频会议等低时延业务），中间转发设备可根据流标签直接识别业务优先级，无需解析传输层端口，提升转发效率。6.以下关于HTTP/3采用的QUIC协议的特点描述，错误的是（）A.基于UDP传输，无需TCP三次握手，连接建立时延更低B.支持多路复用，同一连接下的不同流独立传输，不会出现队头阻塞C.内置TLS1.3加密机制，传输安全性更高D.端口号固定为443，可直接穿透所有防火墙参考答案：D解析：QUIC协议默认使用UDP443端口，但并未强制固定端口，且部分未更新规则的防火墙会屏蔽未知UDP流量，因此D选项错误。其余选项均为QUIC的核心优势：A选项连接建立仅需1-RTT甚至0-RTT，相较于TCP+TLS的3-RTT握手时延降低60%以上；B选项的多路复用无队头阻塞特性解决了HTTP/2的核心缺陷，弱网环境下传输速率提升30%以上；C选项内置TLS1.3加密，默认实现传输加密，无需额外部署SSL层。7.OSPFv3用于发布自治系统外部路由的LSA类型是（），可泛洪到整个AS的所有非末梢区域。A.RouterLSA（类型1）B.NetworkLSA（类型2）C.Inter-AreaPrefixLSA（类型3）D.ASExternalLSA（类型5）参考答案：D解析：OSPFv3的LSA类型中，类型5AS外部LSA由ASBR生成，用于发布AS外部的路由信息，可泛洪到整个AS的所有普通区域，末梢区域、完全末梢区域、NSSA区域不允许泛洪类型5LSA。类型1、2LSA仅在区域内泛洪，类型3LSA由ABR生成，用于发布区域间路由。8.等保2.0《网络安全等级保护基本要求》中，第三级网络系统的安全测评周期最长不超过（）A.半年B.1年C.2年D.3年参考答案：B解析：等保2.0明确要求，第三级及以上网络系统应当每年至少开展一次等级测评，第二级网络系统每两年至少开展一次等级测评，第一级网络系统无需强制测评。9.零信任架构的核心访问控制原则是（）A.默认信任内部网络所有用户，仅对外部访问做身份校验B.默认不信任任何访问主体，始终对访问主体、访问对象做身份验证和授权校验C.基于网络位置判定访问权限，内部网络用户拥有最高访问权限D.仅需做一次身份认证，后续访问无需重复校验参考答案：B解析：零信任架构以“永不信任、始终验证”为核心原则，打破传统基于网络边界的信任模型，无论访问主体位于内部还是外部网络，每次访问都需要进行身份认证、权限校验、环境风险评估，仅授予最小必要访问权限，有效应对内部越权访问、边界被突破后的横向移动攻击。10.Wi-Fi7（IEEE802.11be）的最高理论传输速率可达（）A.9.6GbpsB.46GbpsC.100GbpsD.1Tbps参考答案：B解析：Wi-Fi7通过320MHz信道带宽、4096-QAM调制、多链路聚合（MLA）、多用户MIMO等技术，最高理论传输速率可达46Gbps，相较于Wi-Fi6的9.6Gbps提升4倍以上，单用户实际接入速率可达10Gbps以上，可满足8K视频、云VR/AR、工业无线控制等高带宽低时延业务需求。（上午卷剩余55道题目考点覆盖：计算机系统可靠性计算、操作系统进程调度算法、光纤通信色散类型、TCP滑动窗口拥塞控制机制、IPv6邻居发现协议NDP功能、BGP路由选路规则、SDN控制器核心功能、SD-WAN零接触部署技术、数据分类分级标准、入侵防御系统IPS工作原理、Wi-Fi7漫游机制、SNMPv3安全特性、网络故障排查流程、知识产权软件著作权归属、国标GB/T22239-2019核心要求等，所有题目答案均符合现行国家网络技术标准与产业规范，合格线为45分。）二、下午卷·案例分析（满分75分，考试时间150分钟，共5道试题，每道15分，合格线45分）试题一（15分）某中型制造企业2025年新建园区网络，整体架构采用“核心层-汇聚层-接入层”三层架构，核心层部署两台框式交换机做冗余，接入层全部采用POE交换机连接IP话机、Wi-Fi7AP、安防摄像头等终端，同时部署SD-WAN网关连接全国3个异地分支，租用运营商云专线连接企业公有云资源池，网络要求支持IPv4/IPv6双栈运行，满足等保2.0三级防护要求。请根据要求回答以下问题：【问题1】（4分）该企业核心层采用双核心冗余部署，可采用哪些技术实现核心层的高可用？请分别说明技术原理。参考答案：1.交换机集群技术（如华为CSS、华三IRF2、思科VSS）：将两台物理核心交换机虚拟化为一台逻辑交换机，两台设备实时同步配置表、MAC地址表、路由转发表，跨设备链路聚合实现流量负载均衡，单台设备故障时流量无缝切换，切换时间低于50ms，无路由收敛过程，可靠性更高，适合同厂商设备部署场景。2.冗余网关协议（如VRRP、HSRP、GLBP）：将多台核心交换机组成一个虚拟网关组，对外提供同一个虚拟IP地址，正常情况下主设备负责转发流量，主设备故障时备用设备通过心跳检测机制自动接管虚拟IP，切换时间在1-3s左右，适用于异构设备或无法部署集群的场景。【问题2】（3分）该企业接入层POE交换机连接的Wi-Fi7AP单台最大功耗为28W，IP话机功耗为7W，安防摄像头功耗为12W，请写出三类设备对应的POE供电IEEE标准及单端口最大供电功率。参考答案：1.Wi-Fi7AP采用IEEE802.3at（PoE+）标准，单端口最大供电功率30W，可满足28W的供电需求；2.IP话机、安防摄像头采用IEEE802.3af标准，单端口最大供电功率15.4W，可满足两类设备的供电需求；3.若后续接入更高功耗的智能工业设备，可采用IEEE802.3bt（PoE++）标准，单端口最大供电功率可达90W。【问题3】（4分）该企业SD-WAN部署要求：ERP、MES等核心生产业务优先走MPLS专线链路，视频会议、办公上网等非核心业务优先走互联网链路，链路故障时可自动切换到备用链路，请说明SD-WAN实现该调度策略的核心技术流程。参考答案：1.业务识别与标记：通过端口号、DSCP标记、深度包检测（DPI）应用特征库识别核心生产业务和非核心业务，对不同业务配置对应的SLA等级（核心业务要求时延<20ms、丢包率<0.1%，非核心业务要求时延<100ms、丢包率<1%）；2.链路质量探测：SD-WAN网关定期向两条链路发送ICMP、TWAMP探测报文，实时采集链路的时延、抖动、丢包率、可用带宽指标；3.调度策略配置：核心业务绑定MPLS专线作为主链路，互联网为备链路，当MPLS专线的SLA指标低于设定阈值时，自动将核心业务切换到互联网链路，链路恢复后自动切回；非核心业务默认走互联网链路，互联网链路故障时切换到MPLS专线的剩余带宽资源；4.QoS优先级保障：核心业务的DSCP标记优先级高于非核心业务，链路拥塞时通过队列调度机制优先保障核心业务的带宽资源，避免非核心业务占用核心业务带宽。【问题4】（4分）该企业IPv6内网采用唯一本地地址（ULA）规划，分配的站点前缀为fd12:3456:789a::/48，要求为16个二级部门分别划分独立的子网，每个子网可容纳的终端数不低于1000台，请计算每个子网的前缀长度，并写出第一个和最后一个子网的前缀。参考答案：1.子网前缀长度计算：站点前缀为/48，需要划分16个子网，需要借用4位比特位作为子网位（2^4=16），因此子网前缀长度为48+4=52位；每个子网的主机位为128-52=76位，可容纳的终端数为2^76-2，远大于1000台终端的需求（仅需10位主机位即可容纳1022台终端），满足规划要求。2.第一个子网前缀：fd12:3456:789a::/523.最后一个子网前缀：fd12:3456:789a:f000::/52试题二（15分）某企业网络拓扑如下图所示：出口路由器AR1连接运营商ISP，公网IP地址为/24，网关为；核心交换机SW1（三层）下联接入交换机SW2，SW2下联研发区（/24）、财务区（/24）、办公区（/24）三个网段，全网运行OSPF动态路由协议，所有设备采用华为VRP操作系统。请根据配置要求回答以下问题：【问题1】（3分）请写出AR1上配置IPv4静态默认路由指向ISP的命令，以及配置IPv6静态默认路由指向ISPIPv6网关240e:3f:12::1的命令。参考答案：1.IPv4静态默认路由配置命令：iproute-static2.IPv6静态默认路由配置命令：ipv6route-static::/0240e:3f:12::1解析：静态默认路由是所有未匹配到具体路由的报文的转发出口，IPv4默认路由的目标网段为/0，IPv6默认路由的目标网段为::/0。【问题2】（4分）OSPF规划中，AR1为ASBR，SW1为ABR，SW2所在区域为Area1，要求将Area1配置为末梢区域（Stub），请写出SW2上配置Stub区域的命令，并说明Stub区域的特性。参考答案：1.配置命令：system-viewospf1area1stub2.Stub区域特性：不允许泛洪AS外部LSA（类型5LSA），ABR向区域内发布默认路由（类型3LSA），区域内路由器的路由表规模大幅减小，设备资源占用降低，仅允许区域内路由、区域间路由和默认路由存在，适合末梢区域部署。【问题3】（4分）要求禁止研发区/24访问财务区/24的TCP445端口，防止勒索病毒横向传播，请写出对应的ACL配置命令，以及应用位置。参考答案：1.配置高级ACL3000：system-viewaclnumber3000ruledenytcpsource55destination55destination-porteq445rulepermitipsourceanydestinationany2.应用位置：在SW2连接研发区的接口入方向应用该ACL，或在SW1连接SW2的接口入方向应用该ACL，优先在靠近源地址的位置应用，减少无效流量转发。【问题4】（4分）要求在AR1上配置NAPT，实现所有内网网段访问互联网，内网地址段为/16，请写出对应的配置命令。参考答案：1.定义允许NAT转换的内网地址段：aclnumber2000rulepermitsource55ruledenysourceany2.在公网接口（假设为GigabitEthernet0/0/1）应用NAT：interfaceGigabitEthernet0/0/1natoutbound2000解析：NAPT（网络地址端口转换）可实现多个内网地址共享同一个公网IP地址访问互联网，通过端口号区分不同内网主机的连接，是目前企业出口最常用的NAT技术。试题三（15分）某企业2025年开展等保2.0三级整改，同步部署零信任架构提升网络安全防护能力，期间发现Web业务系统存在SQL注入、XSS跨站脚本攻击等漏洞，且存在内部员工越权访问核心数据的风险。请根据要求回答以下问题：【问题1】（4分）该企业网络边界需要部署哪些核心安全设备？分别说明其功能。参考答案：1.下一代防火墙（NGFW）：实现访问控制、NAT、入侵防御、病毒查杀、VPN等功能，是网络边界的核心防护设备；2.Web应用防火墙（WAF）：部署在Web业务系统前端，防护SQL注入、XSS、命令注入、网页篡改等Web层攻击；3.入侵防御系统（IPS）：实时检测并阻断网络层、应用层的入侵行为，如漏洞利用、木马通信、暴力破解等；4.数据泄露防护（DLP）系统：检测并阻断敏感数据的违规外发行为，防止核心数据泄露。【问题2】（3分）零信任架构的三大核心组件是什么？分别说明其作用。参考答案：1.身份提供商（IdP）：负责用户身份的全生命周期管理，实现身份认证、多因子认证、身份信息同步等功能；2.策略决策点（PDP）：负责根据身份信息、访问环境、访问对象的安全状态，按照预设的访问控制策略做出授权决策；3.策略执行点（PEP）：部署在业务系统入口，负责接收PDP的决策结果，执行允许、拒绝、限流等访问控制动作。【问题3】（4分）针对该企业Web系统存在的SQL注入漏洞，请写出对应的防护方案。参考答案：1.代码层防护：开发人员对所有用户输入参数做合法性校验，采用预编译SQL语句，禁止动态拼接SQL，数据库账号采用最小权限原则，仅授予业务必要的读写权限，禁止DML、DDL等高级权限；2.网络层防护：部署WAF设备，配置SQL注入攻击防护规则，对包含SQL注入特征的请求直接阻断；3.安全运维：定期开展Web漏洞扫描、渗透测试，及时修复SQL注入漏洞，对数据库操作做全量日志审计，异常操作实时告警；4.数据防护：对核心业务数据做加密存储，即使被拖库也无法直接获取明文数据。【问题4】（4分）等保2.0三级的核心安全通用要求中，网络和通信安全层面的要求有哪些？参考答案：1.应采用校验技术或密码技术保证通信过程中数据的完整性；2.应采用密码技术保证通信过程中数据的保密性；3.应在网络边界或区域之间根据访问控制策略设置访问控制规则，默认情况下除允许通信外受控接口拒绝所有通信；4.应能对非授权设备私自联到内部网络的行为进行检查或限制；5.应能对内部用户非授权联到外部网络的行为进行检查或限制。试题四（15分）某企业2025年完成混合云架构部署，本地IDC通过云专线连接阿里云、腾讯云公有云资源池，采用容器云平台部署业务系统，日常运维要求实现网络故障快速排查、配置自动化批量下发。请根据要求回答以下问题：【问题1】（3分）云专线和IPsecVPN作为连接本地IDC和公有云的两种技术，请分别说明其适用场景。参考答案：1.云专线：是运营商提供的物理专用链路，时延低、抖动小、带宽稳定、安全性高，适合核心业务系统、大流量数据备份、低时延业务的跨云传输，成本较高；2.IPsecVPN：基于公网传输，通过加密隧道实现数据安全传输，部署快、成本低，适合非核心业务、小流量分支的跨云连接，受公网质量影响较大，时延、抖动较高。【问题2】（4分）容器网络CNI的常用插件有哪些？分别说明其特点。参考答案：1.Flannel：轻量级CNI插件，采用VXLAN封装实现跨节点容器通信，配置简单、稳定性高，不支持网络策略，适合小规模容器集群；2.Calico：采用BGP路由协议实现三层网络，无需VXLAN封装，转发效率高，支持网络策略、ACL、QoS等功能，适合中大规模容器集群；3.Cilium：基于eBPF技术实现，可提供细粒度的流量观测、安全策略控制，性能相较于传统CNI插件提升20%以上，适合对安全性、可观测性要求高的大规模容器集群。【问题3】（4分）某用户反馈访问公有云服务器业务卡顿、丢包，请写出排查流程。参考答案：1.本地网络排查：用户端ping本地网关，检查内网是否存在丢包、时延过高问题，测试访问其他公网业务是否正常，排除用户端内网故障；2.链路质量排查：采用mtr工具跟踪用户到云服务器的公网链路，定位丢包节点，若为运营商公网节点丢包，联系运营商排查修复；3.云侧配置排查：检查云服务器的安全组、网络ACL是否存在限流、丢包规则，检查云服务器的带宽峰值是否超限，云专线带宽是否存在拥塞；4.云服务器系统排查：登录云服务器检查CPU、内存、网卡负载是否过高，网卡队列是否存在丢包，系统是否存在病毒、恶意进程占用带宽。【问题4】（4分）网络自动化运维的常用工具有哪些？分别说明其适用场景。参考答案：1.Ansible：基于SSH协议实现网络设备批量配置下发、巡检，无Agent部署，配置简单，适合中小规模网络的自动化运维；2.SaltStack：基于Master-Agent架构，执行效率高于Ansible，支持大规模网络设备的批量配置、故障自愈，适合大规模网络的自动化运维；3.Terraform：基础设施即代码（IaC）工具，可实现网络设备、云资源的批量部署、生命周期管理，适合混合云架构的资源统一编排；4.Prometheus+Grafana：开源监控工具，可实现网络设备、服务器、业务系统的全链路监控、告警、可视化，适合全栈运维监控。试题五（15分）某高校2025年新建无线校园网，采用Wi-Fi7技术，覆盖所有教学楼、宿舍、操场，支持师生802.1X认证、访客Portal认证，同时部署NB-IoT