2025年上半年网络工程师下午真题及答案解析

2025年上半年网络工程师下午真题及答案解析试题一（20分）【题干】某省级行政单位计划2025年完成新园区办公网络建设，园区包含3栋行政办公楼（每栋可容纳终端1800台）、1栋数据中心机房（承载内部业务系统20套、对外公共服务系统8套），网络出口对接联通、电信两家运营商专线，要求网络满足等保2.0三级防护要求，支持有线无线一体化接入，峰值带宽不低于10G，核心节点故障自愈时间小于50ms。网络采用三层架构设计：接入层部署在每栋楼的楼层弱电间，汇聚层部署在每栋楼的主机房，核心层部署在数据中心机房核心机柜，出口部署下一代防火墙对接运营商链路。前期规划分配私网地址段为/16，要求按业务类型划分子网，业务类型包含：办公终端有线网、办公终端无线网、物联网设备（门禁、监控）、服务器业务区、运维管理区，共5类业务，每类业务预留2个可扩展子网。【问题1】（6分）结合层次化网络设计要求，分别简述核心层、汇聚层、接入层的核心功能及设备选型要点。【问题2】（5分）结合给定的/16地址段，完成IP地址规划，要求每个子网可容纳终端数不低于2000台，给出每个业务子网的网络地址、子网掩码、可用地址范围。【问题3】（4分）该网络规划按业务类型划分VLAN，其中办公有线VLAN段为10-29、办公无线VLAN段为30-49、物联网VLAN段为50-69、服务器区VLAN段为70-89、运维管理VLAN段为90-109。简述按业务划分VLAN的优势，以及接入层端口VLAN的配置模式。

【问题4】（5分）为满足核心节点故障自愈要求，网络核心层采用两台核心交换机堆叠部署，汇聚层到核心层采用双链路上联，出口部署两台防火墙主备集群。写出该网络涉及的3种可靠性技术，并分别说明其作用。【参考答案及解析】问题1：（1）核心层：核心功能为高速数据转发，实现跨汇聚层业务的互通、出口路由的统一调度，不得在核心层配置策略类规则降低转发效率。选型要点：支持100G以上端口密度、支持CLOS交换架构、转发性能不低于40Tbps、支持冗余电源/引擎、支持SDN/IPv6+特性。（2）汇聚层：核心功能为接入层流量的聚合、VLAN间路由、安全策略（ACL、QoS）部署、用户认证管控。选型要点：支持万兆上行端口、支持三层路由功能、支持端口聚合/VRRP等可靠性特性、支持POE供电（适配无线AP/物联网设备）。（3）接入层：核心功能为终端的直接接入、端口安全管控、VLAN标签划分。选型要点：千兆电口密度满足楼层终端接入需求、支持802.1X认证、支持端口隔离、支持POE供电（可选）。（每部分2分，共6分）问题2：要求单子网容纳终端不低于2000台，所需主机位为11位（2^11-2=2046≥2000），因此子网掩码为（/21），每个子网块大小为8。共需5类业务×2个预留子网=10个子网，规划如下：

1.办公有线网：/21，可用地址-54，预留子网/21办公无线网：/21，可用地址-54，预留子网/21物联网设备：/21，可用地址-54，预留子网/21服务器业务区：/21，可用地址-54，预留子网/21运维管理区：/21，可用地址-54，预留子网/21

（子网掩码计算正确2分，每个业务子网规划正确0.6分，共5分）问题3：按业务划分VLAN的优势：（1）同一业务的终端可部署在不同物理位置，不受接入位置限制；（2）便于统一部署安全策略、QoS策略，实现业务流量的精准管控；（3）降低广播域范围，减少广播风暴影响范围；（4）便于后续业务扩容，新增同类业务直接划入对应VLAN即可。（2分，答出2点即可）接入层端口VLAN配置模式：终端接入端口配置为Access模式，属于单个业务VLAN，接入AP/摄像头等需透传多VLAN的设备时配置为Trunk模式，放行对应业务VLAN。（2分）问题4：堆叠技术：两台核心交换机虚拟化为一台逻辑设备，简化管理配置，提升核心转发性能，单台设备故障时另一台可无缝接管业务，故障切换时间小于50ms。（2分）链路聚合技术：汇聚层到核心层的两条物理链路绑定为一条逻辑链路，提升链路带宽，单条链路故障时流量自动切换到另一条链路，不中断业务。（1.5分）防火墙主备集群（HRP）：两台防火墙同步配置与会话表，主设备故障时备设备自动接管流量，实现出口链路的高可用。（1.5分）（其他合理答案如VRRP、BFD也可酌情给分）试题二（20分）【题干】针对试题一的园区网络，采用华为数通设备进行配置，核心交换机为S12704堆叠（命名为Core），1号楼汇聚交换机为S5735-S（命名为Agg1），接入交换机为S5735-L（命名为Acc1），部分拓扑参数如下：Acc1的GE0/0/1-GE0/0/24为办公有线终端接入端口，GE0/0/25为上联Agg1的GE0/0/1端口，GE0/0/26接入楼层AP，放行VLAN30（无线业务VLAN）、VLAN99（AP管理VLAN）Agg1到Core的两条上行链路为GE0/0/2、GE0/0/3，绑定为Eth-Trunk1，放行所有业务VLAN全网采用OSPF路由协议，核心层为区域0，汇聚层接入区域1，Loopback0接口作为OSPF的RouterIDVLAN10为办公有线网关段，Core主设备的Vlanif10地址为/21，备设备的Vlanif10地址为/21，VRRP虚拟网关为/21【问题1】（6分）补全接入交换机Acc1的配置命令。system-view[HUAWEI]sysnameAcc1[Acc1]vlanbatch103099[Acc1]port-group1[Acc1-port-group-1]group-memberGigabitEthernet0/0/1toGigabitEthernet0/0/24[Acc1-port-group-1]portlink-type(1)[Acc1-port-group-1]portdefaultvlan(2)[Acc1-port-group-1]port-securityenable[Acc1-port-group-1]port-securitymax-mac-num1[Acc1-port-group-1]quit[Acc1]interfaceGigabitEthernet0/0/26[Acc1-GigabitEthernet0/0/26]portlink-type(3)[Acc1-GigabitEthernet0/0/26]porttrunkpvidvlan99[Acc1-GigabitEthernet0/0/26]porttrunkallow-passvlan3099[Acc1-GigabitEthernet0/0/26]quit[Acc1]interfaceGigabitEthernet0/0/25[Acc1-GigabitEthernet0/0/25]portlink-typetrunk[Acc1-GigabitEthernet0/0/25]porttrunkallow-passvlan103099【问题2】（5分）补全汇聚交换机Agg1的链路聚合与OSPF配置命令。[Agg1]interfaceEth-Trunk1[Agg1-Eth-Trunk1]portlink-typetrunk[Agg1-Eth-Trunk1]porttrunkallow-passvlanall[Agg1-Eth-Trunk1]mode(4)//配置为静态LACP模式，提升可靠性[Agg1-Eth-Trunk1]quit[Agg1]interfaceGigabitEthernet0/0/2[Agg1-GigabitEthernet0/0/2]eth-trunk1[Agg1-GigabitEthernet0/0/2]quit[Agg1]interfaceGigabitEthernet0/0/3[Agg1-GigabitEthernet0/0/3]eth-trunk1[Agg1-GigabitEthernet0/0/3]quit[Agg1]ospf1router-id(5)//配置Loopback0地址/32为RouterID[Agg1-ospf-1]area(6)[Agg1-ospf-1-area-]network55//宣告所有业务网段[Agg1-ospf-1-area-]network【问题3】（4分）补全核心交换机Core的VRRP配置命令，并回答问题。[Core]interfaceVlanif10[Core-Vlanif10]ipaddress[Core-Vlanif10]vrrpvrid10virtual-ip[Core-Vlanif10]vrrpvrid10priority(7)//配置优先级为120，使Core为主设备[Core-Vlanif10]vrrpvrid10preempt-modetimerdelay20//该命令的作用是_(8)_【问题4】（5分）为限制办公网段访问服务器区的高危端口，要求在核心层配置ACL，禁止/21网段访问服务器区/21的TCP22、3389端口，写出对应的ACL配置规则，并说明ACL应部署在哪个接口的哪个方向。【参考答案及解析】问题1：access//终端接入端口为Access模式，仅属于单个VLAN10//办公有线终端属于VLAN10trunk//AP接入端口需透传业务VLAN和管理VLAN，配置为Trunk模式（每空2分，共6分）问题2：lacp-static//静态LACP模式支持链路健康检测，比手工模式可靠性更高//RouterID需为Loopback0接口地址，全网唯一//汇聚层属于OSPF区域1，即area1（每空1分，配置说明2分，共5分）问题3：120//VRRP默认优先级为100，配置更高优先级即可成为主设备配置VRRP抢占延迟为20秒，避免核心设备重启后路由未收敛就抢占主角色导致流量中断（每空2分，共4分）问题4：ACL配置规则：[Core]acl3000[Core-acl-adv-3000]ruledenytcpsource55destination55destination-porteq22[Core-acl-adv-3000]ruledenytcpsource55destination55destination-porteq3389[Core-acl-adv-3000]rulepermitipanyany（3分）部署位置：核心交换机连接服务器区的Vlanif70接口的入方向，或办公网段Vlanif10接口的出方向（推荐前者，提前阻断非法流量，节省带宽）。（2分）试题三（20分）【题干】该园区网络完成基础组网后，按等保2.0三级要求开展安全整改，整改内容包括：1.出口防火墙配置安全区域与NAT策略，联通运营商分配公网地址段为/29，电信运营商分配公网地址段为/29；2.在DMZ区部署WAF防护对外公共服务系统，在核心交换机旁挂IPS设备，在数据中心部署日志审计平台、EDR终端管理平台；3.开展漏洞扫描工作，发现的高危漏洞包括：3台Windows2012服务器存在永恒之蓝漏洞、2台Web服务器存在Log4j2远程代码执行漏洞、15台办公终端存在SSH弱口令。【问题1】（5分）简述防火墙的Trust、Untrust、DMZ三个安全区域的定义、优先级，以及每个区域对应放置的设备类型。【问题2】（6分）补全防火墙的NAT策略配置要求：（1）内网所有终端访问互联网时，采用端口地址转换（PAT）方式，共用联通公网地址；（2）DMZ区的对外Web服务器（私网地址0）对外提供服务时，映射为公网地址的80、443端口。分别写出对应的NAT策略类型、配置要点。【问题3】（4分）分别说明WAF、IPS、EDR、日志审计平台的核心功能。【问题4】（5分）针对漏洞扫描发现的三类高危漏洞，分别给出具体的整改方案，并说明漏洞整改的优先级排序依据。【参考答案及解析】问题1：Trust区域：优先级85，为信任区域，放置内网核心交换机、内部业务服务器、办公终端等内部受信任的设备。Untrust区域：优先级5，为非信任区域，对接互联网运营商链路，属于外部不可信网络。DMZ区域：优先级50，为非军事区，放置对外提供公共服务的服务器、WAF等需要被外网访问同时需要防护的设备。（每个区域1分，优先级2分，共5分）问题2：（1）内网访问互联网的NAT策略：类型为源NAT（EasyIP/PAT），配置要点：匹配条件为源地址为内网所有私网段、目的地址为Untrust区域；动作转换源地址为，启用端口转换，绑定联通出口链路。（3分）（2）对外Web服务器的NAT策略：类型为目的NAT（端口映射），配置要点：匹配条件为源地址为Untrust区域、目的地址为、目的端口为80/443；动作转换目的地址为0，端口保持不变，放行Untrust到DMZ区域的对应流量策略。（3分）问题3：WAF（Web应用防火墙）：针对HTTP/HTTPS流量进行防护，拦截SQL注入、XSS跨站、命令执行等Web层攻击，保护Web业务系统安全。IPS（入侵防御系统）：对网络流量进行深度检测，实时阻断漏洞利用、木马通信、端口扫描等网络层攻击，支持攻击特征库在线更新。EDR（终端检测与响应）：部署在终端设备上，实现终端病毒查杀、漏洞修复、行为管控、入侵事件响应等终端安全防护。日志审计平台：采集网络设备、安全设备、服务器、业务系统的所有日志，进行存储、关联分析，满足等保的日志留存（不少于6个月）、安全事件追溯要求。（每个1分，共4分）问题4：整改方案：永恒之蓝漏洞：下载安装微软官方MS17-010补丁，关闭服务器不必要的445、139端口，配置防火墙禁止外网访问这些端口。Log4j2漏洞：升级Log4j2组件到最新安全版本，配置WAF规则拦截包含JNDI注入特征的请求，临时设置jvm参数禁用lookup功能。SSH弱口令：修改所有存在弱口令的终端密码，要求密码长度不低于12位，包含大小写字母、数字、特殊字符，配置密码定期更新策略，启用SSH登录失败锁定功能。（3分）优先级排序：Log4j2漏洞>永恒之蓝漏洞>SSH弱口令，依据：漏洞的危害程度、可利用难度、影响范围，Log4j2漏洞影响对外业务，容易被黑客利用直接获取服务器权限，优先级最高；永恒之蓝漏洞影响内部服务器，次之；弱口令属于配置类漏洞，优先级最低。（2分）试题四（20分）【题干】园区数据中心部署CentOSStream9服务器，为内部用户提供DNS、Web、FTP、邮件服务，相关配置要求如下：1.DNS服务器域名为，负责解析内部所有业务域名，转发外部域名请求到公共DNS；2.Web服务器部署Nginx，配置两个虚拟主机，分别支撑内部办公系统（）和对外公共服务系统（）；3.FTP服务器部署vsftpd，仅允许本地用户访问，禁止匿名用户登录，限制用户只能访问自己的家目录。【问题1】（5分）补全DNS服务（bind）的主配置文件named.conf的空缺内容。options{listen-onport53{___(1)___;};//监听所有地址的53端口

allow-query{___(2)___;};//允许所有内部网段和本地地址查询

forwarders{___(3)___;};//配置外部DNS转发地址

recursionyes;};zone“”IN{type___(4)___;//配置为主域名服务器

file".zone";

allow-update{none;};};【问题2】（6分）补全Nginx虚拟主机的配置内容。内部办公系统虚拟主机server{listen80;

server_name___(5)___;

root/var/www/oa;

indexindex.htmlindex.php;

#配置PHP解析

location~\.php${

root/var/www/oa;

fastcgi_pass___(6)___;//PHP-FPM监听地址为:9000

fastcgi_indexindex.php;

fastcgi_paramSCRIPT_FILENAME$document_root$fastcgi_script_name;

includefastcgi_params;

}

#配置访问限制，仅允许内网/16网段访问

allow___(7)___;

denyall;}对外公共服务系统虚拟主机server{listen443ssl;

server_name;

root/var/www/public;

indexindex.html;

ssl_certificate/etc/nginx/ssl/public.crt;

ssl_certificate_key/etc/nginx/ssl/public.key;

ssl_protocolsTLSv1.2TLSv1.3;}【问题3】（4分）补全vsftpd的配置文件vsftpd.conf的空缺内容，并说明配置作用。anonymous_enable=(8)//禁止匿名用户登录local_enable=YESchroot_local_user=(9)//限制用户只能访问家目录allow_writeable_chroot=YES【问题4】（5分）用户反馈无法访问对外公共服务系统，简述故障排查的流程。【参考答案及解析】问题1：any//监听所有网卡的53端口，接收DNS查询请求;/16;//仅允许本地和内网网段查询，避免被滥用为公共DNS;//外部域名查询转发到阿里云公共DNSmaster//该域名服务器为的主域名服务器，负责权威解析（每空1分，配置说明1分，共5分）问题2：//内部办公系统的域名:9000//Nginx将PHP请求转发给PHP-FPM进程处理/16//仅允许内网网段访问内部办公系统，避免外网访问（每空2分，共6分）问题3：NO//禁用匿名用户登录FTP，提升安全性YES//启用chroot限制，用户登录后只能访问自己的家目录，无法越权访问其他目录（每空2分，共4分）问题4：故障排查流程：检查客户端网络连通性：ping网关地址，确认客户端自身网络正常；检查DNS解析是否正常：执行nslookup，确认解析到的公网IP地址是否正确，若解析失败检查DNS服务器配置；检查网络连通性：telnet公网IP443端口，确认端口可达，若不可达检查防火墙策略是否放行443端口、NAT映射是否配置正确；检查Web服务器状态：登录服务器查看Nginx服务状态，执行systemctlstatusnginx确认服务正常运行，查看错误日志/var/log/nginx/error.log排查配置错误；检查证书与页面文件：确认SSL证书有效期正常，站点根目录下的页面文件存在且权限正确。（每步1分，共5分，合理即可）试题五（20分）【题干】该园区为提升无线接入体验，2025年同步完成WiFi6无线网络部署，采用AC+FITAP架构，共部署AP320台，同时完成网络IPv6改造，要求核心层、汇聚层支持IPv6单栈转发，接入层采用IPv4/IPv6双栈模式，过渡阶段采用NAT64技术实现IPv6终端访问IPv4业务资源。【问题1】（5分）简述WiFi6相比WiFi5的3个核心技术优势，并说明AC+FITAP架构的转发模式。【问题2】（6分）补全IPv6相关配置命令：（1）核心交换机Vlanif10的IPv6地址配置为2409:8a32:100:10::1/64，采用有状态DHCPv6分配地址；（2）核心交换机配置OSPFv3，区域0，RouterID为。[Core]ipv6//全局开启IPv6转发[Core]interfaceVlanif10[Core-Vlanif10]ipv6enable[Core-Vlanif10]ipv6address(10)[Core-Vlanif10]dhcpv6(11)//配置为DHCPv6服务器模式[Core-Vlanif10]ipv6ndautoconfigmanaged-address-flag[Core-Vlanif10]ipv6ndautoconfigother-flag[Core-Vlanif10]quit[Core]ospfv31[Core-ospfv3-1]router-id(12)

[Core-ospfv3-1]area0

[Core-ospfv3-1-area-]quit

[Core]interfaceVlanif10[Core-Vlanif10]ospfv31area0【问题3】（4分）简述有状态DHCPv6与无状态DHCP