2025年软考中级网络工程师应用题参考答案

2025年软考中级网络工程师应用题参考答案本参考答案对应2025年上半年软考中级网络工程师《应用技术》科目全部5道大题，所有解答符合华为数通设备配置规范、IEEE网络技术标准，数据准确，覆盖全部考点：试题一（15分）某中型企业总部设在北京，上海、广州各设1个分支机构，总部员工共210人，其中研发部82人、市场部61人、行政部32人、运维部23人，服务器区部署Web、数据库、Radius、AD等服务器共21台，要求内网采用/22私有地址段进行子网划分，总部采用三层架构组网，总部与分支机构互联采用VPN技术实现内网资源互访。问题1（8分）：请给出合理的VLSM子网划分方案，明确每个部门/区域的网络地址、子网掩码、可用IP范围、广播地址，要求地址利用率不低于60%，预留不低于10%的扩展地址。问题2（4分）：分别说明核心层、汇聚层、接入层的核心功能及设备选型依据。问题3（3分）：请选择合适的VPN技术用于总部与分支机构互联，并说明理由。【参考答案】问题1：1.研发部：最小需求地址数=82*1.1≈90，取主机位7位（2^7-2=126个可用地址，利用率=82/126≈65%，满足要求），分配网段/25，子网掩码28，可用IP范围~26，广播地址27。2.市场部：最小需求地址数=61*1.1≈67，取主机位7位（126个可用地址，利用率=61/126≈48%，预留65个扩展地址满足要求），分配网段28/25，子网掩码28，可用IP范围29~54，广播地址55。3.行政部：最小需求地址数=32*1.1≈36，取主机位6位（62个可用地址，利用率=32/62≈52%，预留30个扩展地址满足要求），分配网段/26，子网掩码92，可用IP范围~2，广播地址3。4.运维部：最小需求地址数=23*1.1≈26，取主机位5位（30个可用地址，利用率=23/30≈77%，满足要求），分配网段4/27，子网掩码24，可用IP范围5~4，广播地址5。5.服务器区：最小需求地址数=21*1.1≈24，取主机位5位（30个可用地址，利用率=21/30≈70%，满足要求），分配网段6/27，子网掩码24，可用IP范围7~26，广播地址27。剩余网段28/25、/23可作为后续分支机构接入、新增业务区域扩展使用，整体地址利用率符合要求。问题2：1.核心层核心功能：负责全网跨区域、跨VLAN的高速无阻塞转发，承担路由计算、冗余备份、负载均衡功能，隔离上层网络故障。选型依据：选用三层万兆核心交换机，路由转发性能≥100Mpps，支持万兆上行端口、VRRP、OSPF/BGP路由协议，配置冗余电源、冗余风扇，满足99.99%可靠性要求，可选用华为S5735-S48T4X或同级别设备。2.汇聚层核心功能：负责接入层流量的汇聚收敛，实现VLAN间路由、访问控制、QoS调度、流量过滤功能，隔离接入层故障扩散。选型依据：选用三层千兆汇聚交换机，支持≥4个万兆上行端口，支持ACL、QoS、VLAN聚合功能，可选用华为S5735-L48T4S或同级别设备。3.接入层核心功能：负责终端（PC、AP、IP电话）的接入，提供POE供电、端口安全、VLAN划分、二层隔离功能。选型依据：选用二层POE接入交换机，端口支持10/100/1000Mbps自适应，POE总功率≥370W，支持802.1X认证、端口隔离，可选用华为S5735-L24P4S或同级别设备。问题3：选择IPSecVPN作为互联技术。理由：IPSecVPN工作在网络层，对上层应用透明，支持AES-256等高强度加密算法，数据传输安全性满足企业内部数据传输要求；支持点到多点站点互联，仅需两端具备公网IP即可部署，部署成本仅为MPLSVPN的30%左右；支持IKE密钥自动协商，维护复杂度低，适合固定站点长期互联需求，可满足分支机构访问总部内网资源的带宽、延迟要求。【评分说明】问题1每个网段参数正确得1.6分，共8分；问题2每个层次功能+选型依据正确得1.3分，共4分；问题3技术选择正确得1分，理由正确得2分，共3分。【考点解析】本题考点为VLSM子网划分、三层架构设计、VPN技术选型，是软考网络工程师高频考点，要求考生掌握子网计算方法、网络层次化设计思路、主流VPN技术适用场景。试题二（15分）该企业出口路由器采用华为AR2240C-S，核心交换机采用华为S5735-S，出口公网IP段为2/29，网关为3，路由器G0/0/1接口连接公网，G0/0/0接口连接核心交换机，要求配置路由、NAT满足以下需求：1.内网所有终端可访问公网；2.服务器区Web服务器00对外提供80、443端口服务，映射公网IP为5；3.内网采用OSPF区域0实现路由互通。问题1（6分）：请完成出口路由器的基础配置、静态默认路由配置、OSPF基础配置。问题2（6分）：请完成NAT配置，满足上网和端口映射需求。问题3（3分）：简述配置过程中的3个关键注意事项。【参考答案】问题1：sysnameAR-ExitinterfaceGigabitEthernet0/0/1ipaddress448quitinterfaceGigabitEthernet0/0/0ipaddress52quitiproute-static3ospf1router-idarea0network55networkdefault-route-advertisealwaysquit问题2：aclnumber2000rule5permitsource55quitinterfaceGigabitEthernet0/0/1natoutbound2000natserverprotocoltcpglobal5wwwinside00wwwnatserverprotocoltcpglobal5443inside00443quit问题3：1.RouterID需手动配置，避免动态选举因接口IP变动导致OSPF邻居震荡，需保证全网RouterID唯一。2.NATACL需精准匹配内网需要上网的网段，避免将非授权网段加入导致安全风险，同时需注意反掩码的正确性。3.静态NAT映射的公网IP需属于公网接口所属地址段，且未被其他设备占用，映射端口需确认未被出口路由器本地服务占用。【评分说明】问题1基础配置2分、路由配置2分、OSPF配置2分，共6分；问题2上网NAT配置3分、端口映射3分，共6分；问题3每个注意事项1分，共3分。【考点解析】本题考点为华为路由器基础配置、静态路由、OSPF基础配置、NAT两种实现方式，是软考核心配置考点，要求考生掌握命令语法、配置逻辑。试题三（15分）为保障内网安全，要求配置ACL满足以下需求：1.禁止研发部访问行政部财务系统0的445、3389端口；2.仅允许运维部网段访问服务器区数据库05的3306端口，禁止其他所有网段访问；3.禁止公网访问核心交换机管理地址54。问题1（10分）：请完成ACL配置及应用方向说明。问题2（5分）：简述高级ACL的配置原则、应用方向选择逻辑。【参考答案】问题1：aclnumber3000rule5denytcpsource27destination00destination-porteq445rule10denytcpsource27destination00destination-porteq3389rule15permitipanyanyquitinterfaceVlanif10traffic-filterinboundacl3000quitaclnumber3001rule5permittcpsource41destination050destination-porteq3306rule10denytcpsourceanydestination050destination-porteq3306rule15permitipanyanyquitinterfaceVlanif50traffic-filterinboundacl3001quitaclnumber3002rule5denyipsourceanydestination540rule10permitipanyanyquitinterfaceGigabitEthernet0/0/1traffic-filterinboundacl3002quit问题2：高级ACL配置原则：1.匹配顺序从上到下，命中即停止，需将高优先级规则（允许类、精准匹配规则）放在低优先级规则之前；2.规则粒度越精细优先级越高，避免宽泛规则覆盖精细规则；3.最后需配置允许所有的规则，避免阻断正常业务流量。应用方向选择逻辑：高级ACL可匹配源目IP、端口等信息，尽量部署在靠近源端的接口inbound方向，可提前拦截非法流量，减少不必要的带宽占用和转发开销；若规则为禁止访问特定目的资源，也可部署在靠近目的端的接口inbound方向，简化多源端的配置复杂度。【评分说明】问题1每个ACL配置2分、应用方向说明1分，共10分；问题2配置原则3分、应用逻辑2分，共5分。【考点解析】本题考点为高级ACL配置、应用方向选择，要求考生掌握ACL匹配逻辑、部署原则，是安全类核心考点。试题四（15分）该企业部署AC+瘦AP架构的WiFi6网络，同时在办公区试点IPv6网络，需求如下：1.员工SSID为Corp-WiFi，采用WPA3-Enterprise认证，对接内部Radius服务器0，密钥更新周期8小时；2.访客SSID为Guest-WiFi，采用Web认证，实现二层用户隔离，单用户限速10Mbps，会话时长4小时；3.办公区IPv6采用无状态地址自动配置，前缀为2409:8a20:1234:100::/64，DNS服务器为2409:8a20:1234:1::10。问题1（8分）：完成AC的SSID、认证相关配置。问题2（4分）：完成核心交换机的IPv6无状态配置。问题3（3分）：简述WPA3相对WPA2的3个安全优势。【参考答案】问题1：sysnameAC6805vlanbatch100200300interfaceVlanif100ipaddressdhcpselectinterfacequitcapwapsourceinterfacevlanif100radius-servertemplateRadius-Corpradius-serverauthentication01812radius-servershared-keycipherCorp@2025#Radiusquitwlanssid-profilenameCorpssidCorp-WiFiquitsecurity-profilenameCorpsecuritywpa3dot1xauthentication-methoddot1xradius-servertemplateRadius-Corpwpa3key-updatetime28800quitvap-profilenameCorpssid-profileCorpsecurity-profileCorpservice-vlanvlan-id200quitap-groupnamedefaultvap-profileCorpwlan1radioallssid-profilenameGuestssidGuest-WiFiquitsecurity-profilenameGuestsecurityopenuser-isolatel2enablequitportal-profilenameGuest-Portalweb-serverurl/guestweb-serveripaddress5quitvap-profilenameGuestssid-profileGuestsecurity-profileGuestportal-profileGuest-Portalservice-vlanvlan-id300traffic-limitinboundcir10240traffic-limitoutboundcir10240session-timeout14400quitap-groupnamedefaultvap-profileGuestwlan2radioallquit问题2：ipv6interfaceVlanif20ipv6enableipv6address2409:8a20:1234:100::1/64ipv6ndautoconfigmanaged-address-flagipv6ndautoconfigother-flagipv6ndradns-server2409:8a20:1234:1::103600quit问题3：1.采用SAE（同时对等认证）替代WPA2的四次握手，可抵御离线字典攻击，即使密码被泄露也不会影响历史通信数据的安全。2.支持管理帧保护（MFP），可有效抵御EvilTwin钓鱼热点、Deauthentication拒绝服务攻击。3.针对开放网络采用OpportunisticWirelessEncryption（OWE）加密，实现无密码场景下的空口数据加密，避免明文传输风险。【评分说明】问题1员工SSID配置4分、访客SSID配置4分，共8分；问题2IPv6配置正确得4分；问题3每个优势1分，共3分。【考点解析】本题考点为AC+AP架构配置、WPA3认证、IPv6无状态地址配置，是近年软考新增热门考点，要求考生掌握无线网络、IPv6的基础配置。试题五（15分）企业网络部署完成后出现以下故障：1.研发部终端可访问内网其他网段，但无法访问公网；2.访客连接Guest-WiFi后无法弹出认证页面，手动输入认证地址也无法访问；3.上海分支机构IPSecVPN连接成功后，仅能访问总部服务器区，无法访问研发部网段。问题1（15分）：分别简述每个故障的排查步骤、可能原因、解决方案。【参考答案】故障1排查：1.排查步骤：首先检查研发部终端的IP地址、子网掩码、网关配置是否正确，ping网关确认连通性；其次在核心交换机上ping出口路由器互联地址，确认核心到出口的连通性；查看出口路由器的NATACL2000配置，查看路由表是否存在默认路由。2.可能原因：NATACL2000未添加研发部网段/25的允许规则，或规则顺序在deny规则之后，导致研发部流量未被NAT转换。3.解决方案：在出口路由器的ACL2000中添加规则rulepermitsource27，调整规则顺序确保在所有deny规则之