2025年上半年网络工程师案例分析真题答案解析

2025年上半年网络工程师案例分析真题答案解析试题一（20分）某制造企业2025年启动园区网升级项目，网络拓扑采用核心层、汇聚层、接入层三层架构，核心层部署2台华为S12700E交换机做堆叠，汇聚层每区域部署2台S5735-S交换机做M-LAG，接入层采用S5735-L交换机，出口部署2台USG6000E防火墙主备部署，对接2条运营商链路（联通1000M，公网IP段/29，网关；电信500M，公网IP段4/29，网关5），同时需对接3个异地分支通过IPsecVPN接入。请回答以下问题：问题1（6分）请分别说明三层架构各层的核心功能，以及核心堆叠、汇聚M-LAG的技术优势。答案：1.三层架构功能：核心层：作为整网路由转发核心，实现跨区域、跨VLAN的高速无阻塞转发，部署冗余机制保障整网可靠性，不配置复杂策略避免增加转发延迟。汇聚层：汇聚接入层流量，实现VLAN间路由、访问控制、QoS调度、流量统计功能，隔离接入层故障避免扩散到核心。接入层：为终端提供二层接入能力，部署VLAN划分、端口安全、PoE供电、802.1X认证功能，实现终端准入控制。2.技术优势：核心堆叠：将2台物理核心虚拟为1台逻辑设备，消除二层环路，简化网络管理，设备间故障倒换时间<50ms，转发带宽可实现链路聚合倍增，无带宽浪费。汇聚M-LAG：实现接入层双归到2台汇聚设备的跨设备链路聚合，无需依赖MSTP破环，链路利用率达100%，单台汇聚故障时流量无中断，可靠性远高于传统VRRP+MSTP方案。解析：本题得分点为三层架构各层核心定位、两种虚拟化技术的核心优势，需明确堆叠和M-LAG是当前园区网主流冗余方案，淘汰了传统STP+VRRP的低利用率架构，倒换时间、链路利用率为核心判分点。问题2（7分）企业内部采用/8私网地址段，办公区有1200个终端，研发区800个终端，生产区2500个终端，管理区（设备管理）300个终端，要求按区域划分连续地址段，每个区域预留20%的扩容空间，计算各区域最小子网掩码，并给出连续分配的网络地址段。答案：计算逻辑：单区域所需最小可用地址数=终端数×1.2，取大于该值的最小2的n次方（n为主机位数量），子网掩码=32-n。1.生产区：所需地址数=2500×1.2=3000，2^12-2=4094≥3000，主机位12位，掩码/20（），地址段/20（范围-55）。2.办公区：所需地址数=1200×1.2=1440，2^11-2=2046≥1440，主机位11位，掩码/21（），地址段/21（范围-55）。3.研发区：所需地址数=800×1.2=960，2^10-2=1022≥960，主机位10位，掩码/22（），地址段/22（范围-55）。4.管理区：所需地址数=300×1.2=360，2^9-2=510≥360，主机位9位，掩码/23（），地址段/23（范围-55）。解析：本题需注意可用地址数需减去网络地址和广播地址，预留20%扩容空间为强制要求，地址段连续分配可简化后续路由聚合，减少核心路由表条目。问题3（7分）出口路由要求：联通链路作为主用，电信作为备用，访问国内资源走联通，访问海外资源走电信，请写出配置思路及主备倒换触发条件。答案：1.配置思路：配置2条默认静态路由，优先级10指向联通网关，优先级60指向电信网关5（华为防火墙默认静态路由优先级为60，值越小优先级越高），实现默认路由主备。导入国内IP地址段汇总路由表，下一跳指向联通网关，优先级20；导入海外IP地址段汇总路由表，下一跳指向电信网关，优先级20，明细路由优先级高于默认路由，实现分运营商分流。两条出口链路均配置BFD检测，检测间隔100ms，3次未收到应答判定链路故障，联动路由快速切换。2.主备倒换触发条件：联通链路物理端口Down；BFD检测到联通网关不可达；配置智能路由策略时，联通链路带宽利用率持续10分钟超过95%自动切流。解析：本题得分点为静态路由优先级配置、明细路由分流逻辑、BFD联动快速倒换，BFD倒换时间<1s，可满足企业业务无感知切换要求。试题二（20分）某企业核心交换机为SwitchA，汇聚交换机为SwitchB、SwitchC，接入交换机为SwitchD，配置要求如下：1、SwitchA与SwitchB、SwitchC之间运行OSPF协议，区域0，SwitchA的RouterID为，SwitchB为，SwitchC为；2、SwitchB下挂VLAN10（办公，/24）、VLAN20（研发，/24），SwitchC下挂VLAN30（生产，/24）、VLAN40（服务器，/24）；3、研发区只能访问服务器区的80、443端口，不能访问办公区，办公区可访问所有区域；4、SwitchD下挂终端采用802.1X认证，认证服务器为0，端口采用MAC旁路认证，认证服务器故障时终端自动放行到访客VLAN50。问题1（6分）写出SwitchB的OSPF基础配置命令，要求宣告所有直连网段到区域0，且禁止VLAN20收发OSPF报文。答案：```<Huawei>system-view[Huawei]sysnameSwitchB[SwitchB]routerid[SwitchB]ospf1[SwitchB-ospf-1]area0[SwitchB-ospf-1-area-]network55[SwitchB-ospf-1-area-]network55[SwitchB-ospf-1-area-]network//SwitchB与SwitchA互联段[SwitchB-ospf-1-area-]quit[SwitchB-ospf-1]silent-interfaceVlanif20[SwitchB-ospf-1]quit```解析：silent-interface命令仅禁止接口收发OSPF报文，对应网段仍会宣告到OSPF域，若采用undonetwork命令会导致VLAN20网段无法被其他OSPF设备学习，不符合需求，为本题核心判分点。问题2（7分）写出SwitchB上访问控制策略的配置命令，满足研发区访问控制要求。答案：```//配置高级ACL匹配流量[SwitchB]acl3001[SwitchB-acl-adv-3001]rulepermittcpsource55destination55destination-porteq80[SwitchB-acl-adv-3001]rulepermittcpsource55destination55destination-porteq443[SwitchB-acl-adv-3001]ruledenyipsource55destination55[SwitchB-acl-adv-3001]rulepermitipanyany[SwitchB-acl-adv-3001]quit//配置流策略[SwitchB]trafficclassifierc1operatorand[SwitchB-classifier-c1]if-matchacl3001[SwitchB-classifier-c1]quit[SwitchB]trafficbehaviorb1[SwitchB-behavior-b1]permit[SwitchB-behavior-b1]quit[SwitchB]trafficpolicyp1[SwitchB-trafficpolicy-p1]classifierc1behaviorb1[SwitchB-trafficpolicy-p1]quit//应用到VLAN20入方向[SwitchB]interfaceVlanif20[SwitchB-Vlanif20]traffic-policyp1inbound[SwitchB-Vlanif20]quit```解析：高级ACL（3000-3999）可匹配源目地址、端口号、协议类型，规则需按精确到宽泛的顺序配置，避免宽规则先匹配导致精确规则失效，流策略应用在VLANIF入方向可在研发流量进入网络时就完成过滤，减少无效带宽占用。问题3（7分）写出SwitchD的802.1X配置命令，满足终端认证要求。答案：```//全局开启802.1X[SwitchD]dot1xenable[SwitchD]dot1xauthentication-methodeap//配置RADIUS模板对接认证服务器[SwitchD]radius-servertemplaters1[SwitchD-radius-rs1]radius-serverauthentication01812[SwitchD-radius-rs1]radius-servershared-keycipherHuawei@2025[SwitchD-radius-rs1]quit//配置AAA认证方案[SwitchD]aaa[SwitchD-aaa]authentication-schemeauth1[SwitchD-aaa-authen-auth1]authentication-moderadius[SwitchD-aaa-authen-auth1]quit[SwitchD-aaa]domaindefault[SwitchD-aaa-domain-default]authentication-schemeauth1[SwitchD-aaa-domain-default]radius-serverrs1[SwitchD-aaa-domain-default]quit//端口配置802.1X[SwitchD]interfaceGigabitEthernet0/0/1[SwitchD-GigabitEthernet0/0/1]dot1xenable[SwitchD-GigabitEthernet0/0/1]dot1xmac-bypass//开启MAC旁路认证[SwitchD-GigabitEthernet0/0/1]dot1xport-controlauto[SwitchD-GigabitEthernet0/0/1]dot1xcritical-vlan50//配置认证逃生VLAN[SwitchD-GigabitEthernet0/0/1]quit//配置认证参数[SwitchD]dot1xtimertx-period10[SwitchD]dot1xretry3```解析：RADIUS认证默认端口为1812，计费端口为1813，不可混淆；MAC旁路认证可适配打印机、摄像头等无802.1X客户端的哑终端，critical-vlan（逃生VLAN）可在认证服务器故障时保障终端基础网络连通性，为常考知识点。试题三（20分）某商场部署WiFi6无线网络，采用AC+FitAP架构，AC为华为AC6805，AP为AirEngine6760-X1，共部署200台AP覆盖全商场，要求：1、SSID分为“Mall_Public”（访客网络，Portal认证）和“Mall_Staff”（员工网络，WPA3-Enterprise认证）；2、每个AP的2.4G射频功率不超过20dBm，5G射频功率不超过25dBm，相邻AP同频信道间隔不小于20MHz；3、部署IPS防护SQL注入、XSS跨站、勒索病毒攻击。问题1（6分）写出AC的基础无线配置命令，要求AP自动上线，“Mall_Public”绑定VLAN100，“Mall_Staff”绑定VLAN200。答案：```[AC]wlan//配置域模板（必须配置国家码否则AP无法上线）[AC-wlan-view]regulatory-domain-profilenamedomain1[AC-wlan-regulate-domain-domain1]country-codeCN[AC-wlan-regulate-domain-domain1]quit//配置安全模板[AC-wlan-view]security-profilenamepublic_sec[AC-wlan-sec-prof-public_sec]securityopen[AC-wlan-sec-prof-public_sec]quit[AC-wlan-view]security-profilenamestaff_sec[AC-wlan-sec-prof-staff_sec]securitywpa3enterpriseaes[AC-wlan-sec-prof-staff_sec]quit//配置SSID模板[AC-wlan-view]ssid-profilenamepublic_ssid[AC-wlan-ssid-prof-public_ssid]ssidMall_Public[AC-wlan-ssid-prof-public_ssid]quit[AC-wlan-view]ssid-profilenamestaff_ssid[AC-wlan-ssid-prof-staff_ssid]ssidMall_Staff[AC-wlan-ssid-prof-staff_ssid]quit//配置VAP模板[AC-wlan-view]vap-profilenamepublic_vap[AC-wlan-vap-prof-public_vap]forward-modetunnel[AC-wlan-vap-prof-public_vap]service-vlanvlan-id100[AC-wlan-vap-prof-public_vap]ssid-profilepublic_ssid[AC-wlan-vap-prof-public_vap]security-profilepublic_sec[AC-wlan-vap-prof-public_vap]quit[AC-wlan-view]vap-profilenamestaff_vap[AC-wlan-vap-prof-staff_vap]forward-modetunnel[AC-wlan-vap-prof-staff_vap]service-vlanvlan-id200[AC-wlan-vap-prof-staff_vap]ssid-profilestaff_ssid[AC-wlan-vap-prof-staff_vap]security-profilestaff_sec[AC-wlan-vap-prof-staff_vap]quit//绑定到AP组[AC-wlan-view]ap-groupnameap-group1[AC-wlan-ap-group-ap-group1]regulatory-domain-profiledomain1[AC-wlan-ap-group-ap-group1]vap-profilepublic_vapwlan1[AC-wlan-ap-group-ap-group1]vap-profilestaff_vapwlan2[AC-wlan-ap-group-ap-group1]quit```解析：FitAP默认零配置上线，只要与AC路由可达即可自动注册到AC，AP组配置可批量下发所有AP的参数，无需单独配置每台AP，大幅降低运维工作量。问题2（7分）说明射频优化的配置思路及同频干扰的规避措施。答案：1.配置思路：2.4G频段：配置1、6、11三个非重叠信道，信道宽度20MHz，自动信道调整间隔24小时，功率上限20dBm，关闭1/2/5.5/11Mbps低速率发送。5G频段：配置36/40/44/48/149/153/157/161/165非重叠信道，信道宽度80MHz，自动信道调整间隔24小时，功率上限25dBm。开启智能漫游：终端RSSI低于-75dBm时强制漫游到信号更好的AP，开启频段导航引导双频终端优先接入5G频段。2.同频干扰规避措施：合理规划信道，相邻AP使用非重叠信道，同信道AP部署间距不小于20米；动态调整AP发射功率，避免信号溢出产生跨区域干扰；开启广播Probe应答抑制，减少无用报文开销；高密区域增加AP部署密度，降低单AP用户负载和信道占用率。解析：2.4G频段仅存在1、6、11三个非重叠信道，若采用40MHz信道宽度会占用两个信道，大幅提升干扰概率，因此仅能配置20MHz宽度；5G频段可用信道多、干扰小，优先引导终端接入可有效提升整体无线网络性能。问题3（7分）说明IPS的部署位置、配置思路及三类攻击的防护原理。答案：1.部署位置：串行部署在核心交换机与出口防火墙之间，所有南北向流量、跨区域流量均经过IPS检测。2.配置思路：IPS工作模式设置为防护模式（而非仅告警模式），命中规则直接阻断；开启Web攻击防护规则组，匹配SQL注入、XSS跨站特征，命中即阻断；开启恶意文件检测规则组，匹配勒索病毒文件HASH特征、行为特征，命中后阻断并告警；开启每周自动更新IPS特征库，保障防护规则有效性。3.防护原理：SQL注入：检测HTTP请求中的恶意SQL关键字拼接特征（如union/select/droptable等），识别注入请求后直接阻断；XSS跨站：检测HTTP请求/响应中的恶意脚本标签（如<script>/<iframe>等），过滤或阻断恶意流量；勒索病毒：一方面匹配文件HASH特征识别已知病毒，另一方面检测异常行为（短时间批量加密文件、修改后缀名、访问C2服务器），阻断异常终端网络连接避免扩散。解析：IPS必须串行部署，旁路部署仅能告警无法阻断流量；特征库更新是IPS防护有效性的核心，未及时更新的特征库无法防护新型攻击。试题四（15分）某企业将业务迁移到华为云，采用VPC部署，VPC网段为/16，下挂两个子网：子网1（/24，Web服务器区）、子网2（/24，数据库区），Web服务器绑定弹性公网IP对外提供服务，要求：1、Web服务器仅对外暴露80、443端口，数据库仅被Web服务器访问3306端口；2、采用云专线打通本地网络（/16）与云VPC；3、每天凌晨2点备份服务器数据，保留周期30天。问题1（5分）写出安全组和网络ACL的配置规则，满足访问控制要求。答案：1.安全组配置（云服务器级有状态访问控制）：Web服务器安全组：入方向允许任意源IP访问80、443端口，允许/16访问22端口（远程管理），出方向允许所有流量。数据库服务器安全组：入方向允许/24访问3306端口，允许/16访问22端口，出方向允许所有流量。2.网络ACL配置（子网级无状态访问控制）：子网1关联ACL：入方向允许80、443、22端口访问，出方向允许访问3306端口和互联网。子网2关联ACL：入方向允许/24访问3306端口，允许/16访问22端口，出方向允许所有流量。解析：安全组为有状态控制，请求的返回流量自动放行，网络ACL为无状态控制，需双向配置规则，两者结合实现双层访问控制，提升云网络安全性。问题2（5分）说明云专线的配置流程及互通实现逻辑。答案：配置流程：1、华为云控制台申请云专线服务，选择接入点、带宽，获取专线VLANID、互联地址段；2、联系运营商完成本地机房到华为云接入点的物理链路部署；3、本地核心路由器配置子接口封装VLAN，配置互联地址，配置静态/BGP路由，将/16的下一跳指向云侧互联地址；4、华为云控制台配置虚拟网关关联VPC，配置虚拟接口绑定专线，添加本地网段/16的路由；5、本地ping云服务器私网IP验证连通性。互通逻辑：云专线为物理二层专线，本地与云侧通过路由宣告实现私网地址直达，无公网传输，延迟<10ms，可靠性远高于IPsecVPN。问题3（5分）说明云备份的配置思路及数据恢复流程。答案：1.配置思路：开通云备份服务，创建存储库绑定Web和数据库服务器的云硬盘；创建备份策略，备份时间设置为每天凌晨2:00，全量备份周期7天，增量备份周期1天，保留周期30天；开启备份加密保障数据安全，配置备份失败告警通知管理员。2.恢复流程：单文件恢复时挂载对应时间点的备份快照到临时服务器，拷贝所需文件到目标服务器；整系统恢复时直接用备份快照创建新云服务器或回滚原服务器云硬盘；恢复完成后测试业务可用性确认恢复成功。试题五（25分）某企业网络出现