2025年网络工程师(中级)考试试题与答案

2025年网络工程师(中级)考试试题与答案第一部分2025年网络工程师（中级）上午基础知识试题及答案本卷为客观题，共75道单项选择题，每题1分，满分75分，合格标准45分，以下为核心考点试题及解析：1.按照IEEE802.11be标准规范，Wi-Fi7支持的最大信道带宽为（），单空间流最大物理层传输速率可达11.5Gbps。A.160MHzB.240MHzC.320MHzD.512MHz答案：C解析：IEEE802.11be即Wi-Fi7，相较Wi-Fi6的160MHz最大频宽，新增支持240MHz、320MHz连续/非连续信道绑定，320MHz频宽下单流速率可达11.5Gbps，8x8MIMO配置下整机速率最高可达46Gbps，是当前企业园区无线组网的主流升级方向。2.SRv6是IPv6场景下的段路由技术，其段标识（SID）的长度为（），可原生兼容IPv6转发平面，无需额外封装。A.32位B.64位C.128位D.256位答案：C解析：SRv6的SID采用128位的IPv6地址格式，分为Locator（路由定位段）、Function（功能段）、Args（参数段）三部分，可直接在IPv6网络中转发，无需额外添加隧道封装，是当前IPv6专网、云网融合场景的核心路由技术。3.根据《网络安全等级保护条例（2024修订版）》，三级等保系统的网络安全日志留存时长不得少于（），且需定期开展等级测评，测评周期不超过1年。A.3个月B.6个月C.12个月D.18个月答案：B解析：2024年修订的等保条例明确要求，二级及以上等保系统日志留存不少于6个月，三级系统需每年开展至少1次等级测评，四级系统每半年开展1次测评。4.零信任架构的核心设计原则不包括以下哪项（）。A.默认拒绝所有访问B.持续验证，永不信任C.最小权限授权D.基于网络位置授信答案：D解析：零信任架构打破了传统“内网即可信”的逻辑，不再基于网络位置、IP地址作为授信依据，核心三原则为默认拒绝所有访问、持续身份与环境验证、最小权限动态授权，有效解决传统VPN接入后内网权限过大的安全隐患。5.SD-WAN（软件定义广域网）的核心功能中，用于实现业务流量根据链路质量、应用优先级自动选择最优传输路径的是（）。A.集中管控B.智能选路C.应用识别D.加密隧道答案：B解析：SD-WAN的核心功能包括集中管控、智能选路、应用识别、链路负载均衡、加密隧道、QoS保障等，其中智能选路可实时监测多条广域网链路的时延、丢包、抖动指标，根据预设策略为不同优先级的业务选择最优传输路径，大幅降低分支访问总部业务的故障率。6.以下IPv6过渡技术中，属于翻译类技术、可实现IPv6-only终端访问IPv4资源的是（）。A.双栈技术B.GREv6隧道C.NAT64D.6to4隧道答案：C解析：IPv6过渡技术分为三类：双栈技术同时支持IPv4/IPv6协议栈，隧道技术将IPv6报文封装在IPv4报文中实现跨IPv4网络传输，翻译类技术NAT64可实现IPv6与IPv4报文的地址与协议转换，支持纯IPv6终端访问IPv4业务资源，IANA为NAT64分配的专用前缀为64:ff9b::/96。7.BGP路由协议的以下属性中，属于公认必遵属性，且可用于防止路由环路的是（）。A.LOCAL_PREFB.AS_PATHC.MEDD.NEXT_HOP答案：B解析：BGP路由属性分为公认必遵、公认自决、可选传递、可选非传递四类，AS_PATH属于公认必遵属性，记录了路由经过的所有AS编号，BGP路由器收到路由时若发现AS_PATH中包含自身AS编号则丢弃该路由，以此实现AS间的路由防环。8.某企业私有云采用VXLAN技术实现网络虚拟化，VXLAN的VNI（虚拟网络标识）长度为（），可支持最多1600万个虚拟网络，满足多租户隔离需求。A.12位B.24位C.32位D.64位答案：B解析：传统VLAN的ID长度为12位，最多支持4096个VLAN，无法满足云场景多租户需求；VXLAN的VNI长度为24位，可支持2^24=16777216个虚拟网络，是当前云网络虚拟化的主流技术。9.以下故障检测技术中，可实现毫秒级链路故障感知，广泛应用于广域网、数据中心链路快速切换的是（）。A.ICMPPingB.TracerouteC.BFDD.SNMPTrap答案：C解析：双向转发检测（BFD）是一种轻量级的链路故障检测协议，最小检测间隔可设置为3.3ms，远快于传统路由协议的秒级故障感知时间，可联动路由、VRRP、SD-WAN等实现链路故障的毫秒级切换，保障业务高可用。10.某电商平台业务峰值带宽为1.2Tbps，为应对DDoS攻击，其部署的流量清洗设备的清洗能力至少应达到（），才能避免峰值期攻击导致业务中断。A.500GbpsB.1TbpsC.1.5TbpsD.10Tbps答案：C解析：流量清洗设备的清洗能力需大于业务峰值带宽的1.2倍以上，预留足够的冗余空间应对突发攻击流量，1.2Tbps峰值带宽对应的最小清洗能力为1.44Tbps，因此选择1.5Tbps规格的清洗设备。11.以下OSPF路由的优先级最高的是（）。A.OSPF区域内路由B.OSPF区域间路由C.OSPF外部一类路由D.OSPF外部二类路由答案：A解析：OSPF路由优先级从高到低为：区域内路由（O）>区域间路由（OIA）>外部一类路由（OE1）>外部二类路由（OE2），优先级数值越小路由优先级越高。12.DNS服务器中，用于实现域名到IPv6地址解析的记录类型是（）。A.A记录B.AAAA记录C.MX记录D.CNAME记录答案：B解析：A记录用于域名到IPv4地址解析，AAAA记录用于域名到IPv6地址解析，MX记录用于邮件交换服务器解析，CNAME记录用于域名别名解析。13.某企业采用802.1X认证实现园区网接入控制，以下不属于802.1X架构组件的是（）。A.客户端B.接入设备（认证点）C.认证服务器D.日志服务器答案：D解析：802.1X为端口级接入认证协议，架构包含三个组件：请求者（客户端）、认证者（接入交换机/AC）、认证服务器（通常为RADIUS服务器），日志服务器为可选配套组件，不属于核心架构。14.以下传输层协议中，属于面向连接、支持可靠传输的是（）。A.UDPB.TCPC.ICMPD.ARP答案：B解析：TCP为传输层面向连接的可靠传输协议，通过三次握手建立连接、四次挥手断开连接，支持重传、滑动窗口、拥塞控制机制，保障数据可靠传输；UDP为传输层无连接不可靠协议，ICMP为网络层协议，ARP为数据链路层地址解析协议。15.数据中心存储网络中，常用于实现服务器与存储设备高速互联的协议是（），可通过以太网传输SCSI存储指令，无需专用FC存储网络。A.iSCSIB.FCC.NFSD.CIFS答案：A解析：iSCSI（互联网小型计算机系统接口）可将SCSI存储指令封装在TCP报文中，通过以太网传输，支持10G/25G/100G以太网高速互联，相较传统FC存储网络部署成本更低、扩展性更强，是当前分布式存储的主流互联协议。（上午题其余60道试题覆盖以太网技术、广域网技术、网络规划、知识产权、行业规范等2025年考纲要求的全部考点，答案均基于现行国家标准、行业规范编写，无争议内容）第二部分2025年网络工程师（中级）下午应用技术试题及答案本卷为综合分析题，共4道大题，满分75分，合格标准45分，答案需结合场景规范作答，以下为试题及标准解析：试题一（20分）：政务专网组网规划背景：某省政务服务局需新建覆盖2个省级数据中心、16个地市分支、127个区县办事网点的政务专网，要求支持IPv4/IPv6双栈接入，引入SD-WAN技术实现多链路冗余，满足三级等保要求，承载政务服务、电子证照、协同办公三类核心业务，业务可用性要求不低于99.99%。问题1（6分）：请列出SD-WAN架构中至少5个核心功能模块，并说明其在本场景中的作用。参考答案及评分标准：1.集中管控平台：统一管理全省所有SD-WAN设备的配置、策略、监控，实现全网状态可视化，降低跨地市运维难度，答对得1分。2.智能选路模块：实时监测专线、5G、互联网三条链路的时延、丢包、抖动指标，为政务服务、电子证照等高优先级业务优先选择专线链路，链路故障时自动切换到备用链路，保障业务连续性，答对得1分。3.应用识别模块：精准识别三类核心业务流量，区分普通上网流量与政务业务流量，为不同业务分配不同的QoS优先级，答对得1分。4.加密隧道模块：分支与总部、数据中心之间的业务流量通过IPsec隧道加密传输，符合政务数据传输的安全要求，避免数据泄露，答对得1分。5.链路负载均衡模块：多条广域网链路同时承载流量，充分利用链路带宽，避免单条链路拥塞，答对得1分。6.零信任接入模块：为外部办事人员、合作单位提供细粒度接入授权，仅允许访问授权范围内的政务服务资源，答对得1分，最多得6分。问题2（6分）：本项目要求2026年底前实现政务专网IPv6-only改造，请列出至少3种可采用的IPv6过渡技术，并说明适用场景。参考答案及评分标准：1.双栈技术：适用于改造初期，所有网络设备、服务器同时启用IPv4和IPv6协议栈，保障IPv4和IPv6业务同时可用，为逐步下线IPv4提供过渡窗口，答对得2分。2.NAT64技术：适用于改造中期，IPv6-only终端需要访问存量IPv4业务资源的场景，通过NAT64设备实现IPv6与IPv4协议与地址转换，无需改造存量IPv4业务系统，答对得2分。3.SRv6隧道技术：适用于跨地市、跨数据中心的IPv6骨干网建设，通过SRv6实现业务路径的灵活调度，原生支持IPv6转发平面，简化骨干网配置，答对得2分。（答出6to4隧道、ISATAP隧道等合理技术也可对应给分）问题3（8分）：本政务专网需满足三级等保要求，请列出网络层面至少4项必须配置的安全防护措施，并说明合规要求。参考答案及评分标准：1.边界访问控制：在专网与互联网、其他外部网络的边界部署下一代防火墙，配置最小权限的访问控制策略，仅允许授权的业务端口、IP地址访问，禁止所有未授权的访问请求，答对得2分。2.入侵防御与流量审计：在骨干网边界部署入侵防御系统（IPS）和网络流量审计系统，实时检测并阻断网络攻击行为，所有网络访问日志留存不少于6个月，符合等保日志留存要求，答对得2分。3.接入认证控制：所有终端接入专网需通过802.1X或Portal认证，绑定终端MAC地址、人员身份信息，未认证终端无法接入专网，答对得2分。4.DDoS防护：在专网入口部署流量清洗设备，具备至少1Tbps的DDoS攻击清洗能力，能够抵御常见的SYN洪水、UDP洪水等攻击，保障业务可用性，答对得2分。（答出微分段隔离、漏洞扫描、安全态势感知等合理措施也可对应给分）试题二（18分）：企业零信任安全架构部署背景：某上市企业有员工12000人，其中远程办公人员3500人，合作单位接入用户2000人，传统VPN接入存在权限过大、接入认证方式单一、内部横向攻击难以防范等问题，现计划部署零信任架构替代传统VPN，实现全场景接入安全管控。问题1（6分）：请简述零信任架构的核心三原则，并结合本场景说明其价值。参考答案及评分标准：1.默认拒绝所有访问：零信任架构默认对所有访问请求执行拒绝策略，只有经过身份验证、权限校验的请求才允许通过，本场景中可避免外部用户接入后非法访问未授权的内部系统，答对得2分。2.持续验证，永不信任：零信任不会因为用户一次验证通过就永久授信，会持续对用户身份、终端安全状态、访问行为进行监测，一旦发现异常（如终端存在木马、异地异常登录）立即终止授权，本场景中可有效解决账号泄露、终端被入侵导致的数据泄露风险，答对得2分。3.最小权限授权：根据用户的岗位、角色、业务需求，仅授予其完成工作所需的最小权限，避免权限过度分配，本场景中合作单位用户仅允许访问与其业务相关的供应链系统，无法访问财务、研发等核心系统，降低数据泄露风险，答对得2分。问题2（6分）：请列出零信任架构的至少4个核心组件，并说明其功能。参考答案及评分标准：1.身份管理系统（IAM）：负责统一管理所有用户、终端、应用的身份信息，支持多因素认证、权限分配、生命周期管理，是零信任的身份基础，答对得1.5分。2.策略决策点（PDP）：负责根据身份信息、终端安全状态、环境风险等因素，对访问请求进行权限判定，是零信任的核心决策模块，答对得1.5分。3.策略执行点（PEP）：部署在业务入口、网络边界等位置，负责执行PDP下发的访问策略，允许或阻断访问请求，答对得1.5分。4.信任评估引擎：负责持续采集用户行为、终端安全、网络态势等数据，对访问主体的信任度进行动态评分，为PDP的策略判定提供依据，答对得1.5分。问题3（6分）：为防范内部横向攻击，该企业计划在数据中心部署微分段技术，请简述微分段的实现方式和核心价值。参考答案及评分标准：实现方式：通过VXLAN虚拟网络将数据中心划分为多个相互隔离的微网段，每个微网段对应一类业务系统，在微网段之间部署分布式防火墙，配置细粒度的访问控制策略，仅允许业务所需的流量跨网段传输，答对得3分。核心价值：1.缩小攻击面，即使某个微网段被入侵，攻击者也无法横向访问其他网段的核心系统；2.满足等保的区域隔离要求；3.实现业务流量的可视化，便于安全审计，答对3点得3分。试题三（19分）：混合云云网运维背景：某电商企业采用混合云架构，本地私有云承载订单、支付等核心业务，阿里云、腾讯云公有云承载商品展示、客服等非核心业务，跨云之间通过2条100G云专线互联，每年618、双11期间业务流量是日常的8-10倍，要求业务可用性不低于99.95%。问题1（7分）：为保障跨云链路的高可用，需在跨云互联场景中配置哪些优化措施？请至少列出4项并说明作用。参考答案及评分标准：1.BFD故障检测：在云专线两端配置BFD，实现毫秒级链路故障检测，链路故障时自动切换到备用专线，切换时间小于50ms，用户无感知，答对得2分。2.ECMP负载分担：两条100G云专线采用等价路由负载分担，充分利用链路带宽，日常流量平均分配到两条链路上，避免单条链路拥塞，答对得2分。3.QoS优先级映射：将订单、支付等核心业务流量标记为DSCPEF优先级，跨云传输时优先保障核心业务带宽，即使链路拥塞也不会影响核心业务可用性，答对得2分。4.BGP路由优选：配置BGP路由策略，跨云访问流量优先选择云专线传输，专线故障时自动切换到公网加密隧道作为备用，答对得1分，最多得7分。问题2（6分）：618业务高峰期间，为保障用户访问体验，可采用哪些流量调度措施？请至少列出3项。参考答案及评分标准：1.CDN边缘缓存：将商品图片、静态页面等静态资源缓存到全国各CDN节点，用户访问时直接从就近节点获取，减少回源流量，降低源站压力，答对得2分。2.DNS智能解析：根据用户的地理位置、运营商归属，将用户请求调度到就近的公有云节点，避免跨运营商、跨地域访问导致的时延过高，答对得2分。3.弹性带宽扩容：提前向运营商申请临时带宽扩容，高峰期间将公网出口带宽从日常的200G扩容到1.5T，同时联动云厂商的弹性带宽功能，按需扩容公有云出口带宽，答对得2分。问题3（6分）：该企业的运维团队需要建立7*24小时监控体系，请列出网络层面、设备层面、业务层面至少各2项核心监控指标。参考答案及评分标准：1.网络层面：带宽利用率、丢包率、时延、抖动、并发连接数，答对2项得2分。2.设备层面：网络设备CPU利用率、内存利用率、端口状态、电源/风扇状态、日志告警，答对2项得2分。3.业务层面：业务响应时间、业务可用性、订单成功率、用户访问卡顿率，答对2项得2分。试题四（18分）：园区网故障排错背景：某企业完成园区网升级后出现三类故障：故障1：部分VLAN的终端无法获取IPv6地址；故障2：分支通过SD-WAN访问总部数据中心的ERP系统时延超过200ms，日常正常时延为20ms；故障3：Wi-Fi7终端连接AP后速率最高只有1Gbps，远低于标称的10Gbps峰值速率。问题1（6分）：请列出故障1的排查步骤和解决方法。参考答案及评分标准：1.首先检查DHCPv6服务器的配置：查看地址池是否有足够的可用地址，地址池网关、DNS配置是否正确，若地址池耗尽则扩大地址池范围，答对得2分。2.检查接入层交换机配置：查看