2025年最-新网络工程师中级职称考试试题与答案

2025年最新网络工程师中级职称考试试题与答案一、单项选择题（共20题，每题1分，共20分。每题只有1个正确答案）1.根据工信部2024年印发的《IPv6流量提升三年专项行动计划（2024-2026年）》要求，2025年末我国骨干网IPv6流量占比目标为（）A.50%B.60%C.70%D.80%答案：C解析：该行动计划明确2025年末骨干网IPv6流量占比不低于70%，移动网络IPv6流量占比不低于75%，是2025年考试新增的政策类核心考点。2.某企业部署服务器时要求启用UEFISecureBoot功能，该功能的核心作用是（）A.禁止未签名的驱动/操作系统加载，防范rootkit恶意程序B.加密系统磁盘数据，防范数据窃取C.限制BIOS修改权限，防范硬件配置篡改D.开启硬件级防火墙，防范网络入侵答案：A解析：UEFISecureBoot通过校验固件、驱动、操作系统引导程序的数字签名，禁止未授权的程序启动，是防范底层恶意程序的核心硬件安全机制，加密磁盘属于BitLocker等功能的作用，限制BIOS修改权限属于BIOS密码功能，硬件防火墙属于独立网络设备。3.支持HTTP/3协议的QUIC协议，在OSI参考模型中属于（）A.应用层B.传输层C.网络层D.数据链路层答案：B解析：QUIC基于UDP实现，具备传输层的流控、拥塞控制、可靠传输能力，是HTTP/3的底层传输协议，2025版考纲已将HTTP/3、QUIC纳入核心考点。4.运营商网络中部署QinQ技术实现用户VLAN隔离，其外层服务VLAN标签的默认TPID值为（）A.0x8100B.0x88A8C.0x0800D.0x86DD答案：B解析：0x8100是普通802.1Q标签的TPID，0x88A8是IEEE规定的QinQ外层标签默认TPID，0x0800是IPv4报文类型，0x86DD是IPv6报文类型。5.工业以太网场景下常用的ERPS（以太网环保护交换）技术，其理论链路故障倒换时间最大不超过（）A.10msB.50msC.100msD.1s答案：B解析：ERPS是ITU-TG.8032标准定义的环网保护技术，相比STP/RSTP/MSTP收敛速度更快，故障倒换时间≤50ms，满足工业控制、运营商承载网的高可用要求。6.某运营商采用BGPFlowspec技术实现DDoS流量的动态清洗，该技术的核心作用是（）A.优化BGP路由选路，缩短路由收敛时间B.传递流量过滤规则，实现精细化流量管控C.加密BGP报文，防范路由劫持D.扩展BGP邻居容量，支持百万级路由条目答案：B解析：BGPFlowspec是BGP的扩展应用，可在AS之间传递流量匹配、过滤、限速等规则，无需逐设备配置ACL，广泛用于DDoS流量清洗、流量调度场景。7.IPv6地址中，唯一本地地址（ULA）的地址前缀范围是（）A.fe80::/10B.fc00::/7C.2000::/3D.ff00::/8答案：B解析：fe80::/10是链路本地地址，fc00::/7是唯一本地地址（相当于IPv4的私网地址），2000::/3是全球单播地址，ff00::/8是组播地址。8.零信任网络架构的核心设计原则不包括以下哪项（）A.永不信任，始终验证B.最小权限访问C.默认信任内网用户D.持续安全评估答案：C解析：零信任架构打破了传统“内网即可信”的安全假设，对所有访问主体无论内外网均需进行身份验证、权限校验和持续安全评估，最小权限分配访问资源。9.VXLAN技术作为云计算数据中心的核心overlay技术，其虚拟网络标识VNI的位数为（）A.12位B.24位C.32位D.64位答案：B解析：VNI长度为24位，可支持最多16777216个虚拟网络，满足大规模云数据中心多租户隔离需求，相比传统VLAN的12位4096个租户容量大幅提升。10.某企业运维团队采用eBPF技术实现网络性能可观测，该技术的核心优势不包括（）A.无需修改内核代码即可实现网络数据的采集分析B.性能损耗远低于传统的tcpdump、iptables等工具C.支持内核态、用户态的全链路性能追踪D.可直接替换操作系统内核，提升网络吞吐量答案：D解析：eBPF是运行在内核沙箱中的扩展技术，无需修改内核或加载内核模块即可实现网络、系统的可观测与管控，性能损耗低，但不能直接替换操作系统内核。11.Wi-Fi7（IEEE802.11be）作为最新一代无线局域网标准，其单链路最高理论传输速率可达（）A.9.6GbpsB.11.5GbpsC.30GbpsD.100Gbps答案：C解析：Wi-Fi7采用320MHz信道带宽、4096QAM调制、多链路聚合等技术，单链路最高速率达30Gbps，相比Wi-Fi6的9.6Gbps提升3倍以上。12.某企业进行IPv6改造时采用NAT64技术，该技术的核心作用是（）A.实现IPv6私网地址到IPv6公网地址的转换B.实现IPv6网络与IPv4网络的双向互访C.实现IPv6报文的加密传输D.实现IPv6路由的动态学习答案：B解析：NAT64是IPv6过渡技术的一种，通过地址映射实现IPv6客户端访问IPv4资源，或IPv4客户端访问IPv6资源，是IPv6改造的常用过渡技术。13.NVMeoverRoCEv2协议作为数据中心存储网络的主流技术，其传输层封装基于以下哪种协议（）A.TCPB.UDPC.ICMPD.SCTP答案：B解析：RoCEv2是RDMAoverConvergedEthernetv2的缩写，传输层封装在UDP协议上，支持三层路由转发，相比RoCEv1仅支持二层转发的适用场景更广，时延远低于TCP封装的NVMeoverTCP。14.根据网络安全等级保护2.0标准，第三级网络系统的网络运行日志、安全审计日志的留存时间至少不低于（）A.1个月B.3个月C.6个月D.12个月答案：C解析：等保2.0明确要求三级系统日志留存≥6个月，四级系统≥12个月。15.某网络工程师配置route-policy时设置了10、20、30三个节点，默认情况下路由匹配的顺序是（）A.从大到小依次匹配，匹配到对应节点后停止B.从小到大依次匹配，匹配到对应节点后停止C.所有节点全部匹配后执行最优策略D.随机匹配节点，优先执行permit动作答案：B解析：route-policy默认按节点号从小到大依次匹配，路由条目匹配对应节点的规则后即执行该节点的动作，不再继续匹配后续节点。16.SDN（软件定义网络）架构中，控制器与转发设备之间的通信采用的标准南向接口协议是（）A.NETCONFB.OpenFlowC.RESTCONFD.BGP答案：B解析：OpenFlow是SDN架构定义的标准南向接口协议，用于控制器向转发设备下发流表规则；NETCONF、RESTCONF是网络设备配置的管理接口协议。17.SNMPv3协议中，安全级别最高的模式是（）A.noAuthNoPrivB.authNoPrivC.authPrivD.authEncrypt答案：C解析：noAuthNoPriv为无认证无加密，authNoPriv为认证不加密，authPriv为既认证又加密，是SNMPv3最高安全级别。18.SRv6（分段路由IPv6）作为最新的广域网调度技术，其分段标识SID的长度为（）A.32位B.64位C.128位D.256位答案：C解析：SRv6的SID采用IPv6地址格式，长度为128位，可携带路由、服务链、调度等信息，实现广域网流量的精细化调度。19.综合布线系统中，六类非屏蔽双绞线（CAT6）的支持最高带宽为（）A.100MHzB.250MHzC.500MHzD.1000MHz答案：B解析：CAT5e为100MHz，CAT6为250MHz，CAT6A为500MHz，CAT7为600MHz。20.根据2024年修订的《中华人民共和国网络安全法》，关键信息基础设施运营者在境内运营中收集和产生的核心数据，出境前需完成的流程不包括（）A.数据安全评估B.行业主管部门审批C.网信部门审批D.第三方机构公证答案：D解析：核心数据出境需经过数据安全评估、主管部门和网信部门审批，无需第三方机构公证。二、多项选择题（共10题，每题2分，共20分。多选、少选、错选均不得分）1.以下属于OSPFv3相比OSPFv2的改进点的有（）A.支持IPv6路由前缀B.取消了区域边界路由器（ABR）的角色C.支持同一链路上多个实例运行D.采用LSA的链路本地范围扩散优化收敛E.支持MD5和SHA256两种认证方式答案：ACD解析：OSPFv3保留了ABR、ASBR的角色，认证功能移到IPv6报文头的AH/ESP扩展头实现，本身不再自带认证机制，B、E错误，其余为OSPFv3的改进点。2.以下属于零信任架构核心组件的有（）A.身份提供者（IdP）B.策略决策点（PDP）C.策略执行点（PEP）D.边界防火墙E.持续信任评估引擎答案：ABCE解析：零信任架构无需依赖传统边界防火墙作为核心安全控制点，其余四个均为核心组件。3.某企业数据中心部署EVPN-VXLAN架构，EVPN的优点包括（）A.控制面采用MP-BGP传递路由信息，抑制广播风暴B.支持ARP广播抑制，减少网络泛洪C.支持多活网关，提升网络可靠性D.仅支持二层虚拟网络，不支持三层虚拟网络E.支持虚拟机迁移时的IP地址不变，保障业务不中断答案：ABCE解析：EVPN既支持二层虚拟网络也支持三层虚拟网络，可实现跨子网的租户互通，D错误。4.以下IPv6过渡技术中，属于双栈技术范畴的有（）A.NAT64B.DS-LiteC.双栈主机D.6in4隧道E.静态双栈路由器答案：CE解析：NAT64是翻译技术，DS-Lite、6in4是隧道技术，双栈主机和静态双栈路由器属于双栈技术，同时支持IPv4和IPv6协议栈。5.网络故障排查中，以下属于数据链路层常见故障的有（）A.VLAN划分错误B.端口协商模式不匹配C.路由条目缺失D.MAC地址漂移E.IP地址冲突答案：ABD解析：路由条目缺失属于网络层故障，IP地址冲突属于网络层故障，其余为数据链路层故障。6.以下关于Wi-Fi6（802.11ax）相比Wi-Fi5（802.11ac）的优势，说法正确的有（）A.支持OFDMA技术，提升多用户并发接入能力B.支持1024QAM调制，提升单用户传输速率C.工作频段仅支持5GHzD.支持TWT技术，降低终端功耗E.最大信道带宽为160MHz答案：ABDE解析：Wi-Fi6同时支持2.4GHz和5GHz频段，C错误，其余均为Wi-Fi6的优势。7.以下属于BGP的公认必遵属性的有（）A.ORIGINB.AS_PATHC.NEXT_HOPD.LOCAL_PREFE.MED答案：ABC解析：公认必遵属性包括ORIGIN、AS_PATH、NEXT_HOP，LOCAL_PREF是公认自由决定属性，MED是可选过渡属性。8.等保2.0三级系统的网络安全要求中，属于访问控制要求的有（）A.对登录用户进行身份鉴别B.限制用户的访问权限，遵循最小权限原则C.对重要资源的访问设置访问控制列表D.对网络攻击行为进行实时告警E.对远程访问的用户进行二次身份认证答案：BCE解析：A属于身份鉴别要求，D属于入侵检测要求，其余为访问控制要求。9.以下关于eMBB、uRLLC、mMTC三大5G应用场景的说法，正确的有（）A.eMBB主要用于大带宽移动互联网业务，比如4K/8K视频直播B.uRLLC主要用于低时延高可靠业务，比如工业控制、自动驾驶C.mMTC主要用于大规模物联网业务，比如智能抄表、环境监测D.uRLLC的端到端时延要求不超过100msE.mMTC的连接密度要求可达100万连接/平方公里答案：ABCE解析：uRLLC的端到端时延要求不超过1ms，D错误，其余均正确。10.网络运维中，以下属于容量管理范畴的工作有（）A.监控链路带宽利用率，及时扩容超负载链路B.监控服务器CPU、内存利用率，优化资源分配C.排查网络故障，恢复业务正常运行D.评估未来6个月的业务增长需求，提前规划网络资源E.定期进行安全漏洞扫描，修复高危漏洞答案：ABD解析：C属于故障管理范畴，E属于安全管理范畴，其余为容量管理工作。三、案例分析题（共3题，每题20分，共60分）案例一（20分）某企业进行IPv6改造，网络拓扑如下：出口两台防火墙做双机热备，下联两台核心交换机，核心交换机下联接入交换机，接入下联终端和服务器。该企业现有IPv4公网地址段112.xx.xx.0/24，申请到IPv6公网前缀240e:xx:xx::/48，要求实现以下需求：1.所有终端和服务器都分配IPv6地址，支持IPv4/IPv6双栈访问；2.服务器区对外提供的Web、邮件服务同时支持IPv4和IPv6访问；3.保障IPv6网络的安全性，防范常见的IPv6网络攻击。问题1（6分）：该企业的IPv6地址规划方案如下，请补充完整：（1）服务器区采用子网前缀/64，可分配的子网数量为______（2分）；（2）终端接入区采用有状态DHCPv6分配地址，相比无状态地址自动配置（SLAAC）的优势是______（2分）；（3）出口防火墙的IPv6默认路由下一跳为运营商网关的______地址（2分）。答案：（1）2^(64-48)=65536个；（2）可集中管控地址分配，支持地址租期管理、访问审计溯源，可统一推送DNS、NTP等配置信息；（3）链路本地（fe80::/10开头的）问题2（8分）：为实现服务器同时支持IPv4和IPv6对外访问，工程师采用DNS双栈解析+NAT64的方案，请回答以下问题：（1）DNS服务器需要为对外服务的域名配置哪两类解析记录？（2分）（2）NAT64部署在出口防火墙上，请说明NAT64的配置要点（4分）；（3）该方案中如果IPv6用户访问服务器的IPv6地址，是否需要经过NAT64转换？为什么？（2分）答案：（1）A记录（IPv4解析）和AAAA记录（IPv6解析）；（2）配置NAT64前缀（通用默认前缀为64:ff9b::/96），配置IPv6公网地址到服务器IPv6私网地址的静态映射，配置NAT64安全策略允许外部IPv6用户访问服务器开放端口，配置IPv6到IPv4的地址转换规则供内部IPv6用户访问IPv4资源；（3）不需要，因为服务器本身已配置可路由的公网IPv6地址，IPv6用户可直接访问，无需地址转换。问题3（6分）：为保障IPv6网络的安全，需要配置哪些安全策略？请列举至少3项并说明作用。答案：1.配置ICMPv6报文过滤规则，禁止外部网络发送的路由器通告（RA）报文进入内网，防范RA欺骗攻击导致终端网关被篡改；2.配置IPv6访问控制列表，限制外部网络只能访问服务器开放的80、443、25等业务端口，禁止访问其他未授权端口；3.启用IPv6安全审计功能，记录所有访问日志留存不少于6个月，满足等保2.0三级系统要求，支持攻击溯源；4.部署IPv6入侵防御系统（IPS），识别并阻断DDoS、端口扫描、漏洞利用等攻击行为。（任意3项即可，每项2分）案例二（20分）某企业数据中心部署EVPN-VXLAN架构，采用Spine-Leaf两层架构，共4台Spine交换机，8台Leaf交换机，其中2台Leaf作为服务节点连接防火墙、负载均衡等服务设备，其余6台Leaf作为接入节点连接服务器。要求实现多租户隔离，租户之间默认不能互访，租户内的服务器可以跨Leaf节点互通。问题1（6分）：请解释Spine-Leaf架构相比传统三层核心-汇聚-接入架构的优势（至少3项）答案：1.低时延：所有服务器之间的流量最多经过Spine、Leaf两级转发，转发时延固定，避免传统三层架构多层转发的高时延问题；2.高带宽：Spine和Leaf之间采用全互联结构，每台Leaf与所有Spine之间都有链路，带宽可按需水平扩展，无传统架构的上行链路带宽瓶颈；3.易扩展：当接入服务器数量不足时，只需新增Leaf节点并与所有Spine互联即可；当Spine带宽不足时，新增Spine节点并与所有Leaf互联即可，扩展难度低、对业务影响小；4.支持大二层：结合EVPN-VXLAN技术可实现跨数据中心的大二层网络，满足虚拟机跨数据中心迁移时IP不变、业务不中断的需求。（任意3项，每项2分）问题2（8分）：EVPN-VXLAN架构中，采用了ARP抑制功能，请回答：（1）ARP抑制的作用是什么？（3分）（2）ARP抑制的实现原理是什么？（5分）答案：（1）大幅减少ARP广播报文在VXLAN网络中的泛洪范围，降低网络带宽占用，减少广播报文对服务器的干扰，提升网络稳定性。（2）Leaf交换机收到终端发送的ARP请求后，首先查询本地的ARP缓存表和EVPN路由表，如果存在对应IP的MAC地址条目，则直接向终端回复ARP应答，无需将ARP请求泛洪到整个VXLAN网络；如果本地没有对应ARP表项，才会通过EVPN控制面向其他Leaf节点发送ARP请求，其他Leaf节点查询本地表项后通过单播回复，避免全网广播泛洪。问题3（6分）：要求租户之间默认不能互访，仅允许租户A的Web服务器访问租户B的数据库服务器的3306端口，请说明配置方案。答案：1.每个租户分配独立的VNI和专属VRF，不同VRF之间路由默认隔离，实现租户之间默认不能互访；2.配置VRF路由泄露，将租户A的Web服务器所在子网路由、租户B的数据库服务器所在子网路由泄露到服务节点的公共VRF中；3.在服务节点连接的防火墙上配置访问控制策略，仅允许租户A的Web服务器IP访问租户B的数据库服务器IP的3306端口，禁止所有其他跨租户的访问流量。案例三（20分）某运营商的城域网采用SRv6技术实现流量调度，要求实现以下需求：1.普通家庭用户的上网流量走最短路径转发；2.企业专线用户的流量走低时延的专用路径，优先保障带宽；3.所有流量都支持故障快速倒换，倒换时间小于50ms。问题1（7分）：请解释SRv6相比传统MPLSVPN的优势（至少3项）答案：1.控制面简化：无需部署LDP、RSVP-TE