2025年最-新网络工程师(中级)试题与答案

2025年最新网络工程师(中级)试题与答案一、单项选择题（共25题，每题1分，共25分。每题只有1个正确答案）1.国产飞腾腾锐D2000处理器采用的指令集架构是（）A.x86B.ARMv8C.LoongArchD.RISC-V答案：B解析：飞腾系列CPU基于ARMv8架构开发，龙芯采用自主LoongArch架构，海光采用x86架构，申威采用RISC架构。2.HTTP/3底层采用的QUIC协议所属的OSI层级是（）A.传输层B.会话层C.应用层D.网络层答案：A解析：QUIC基于UDP实现可靠传输、拥塞控制等传输层能力，替代TCP作为HTTP/3的传输层协议。3.IPv6SLAAC无状态地址自动配置过程中，路由器用于向下游终端发布地址前缀的ICMPv6报文类型是（）A.路由器请求（RS）B.路由器通告（RA）C.邻居请求（NS）D.邻居通告（NA）答案：B解析：终端主动发送RS请求前缀，路由器回复RA报文携带网段前缀、有效生命周期等参数，终端基于前缀自动生成IPv6单播地址。4.802.1QVLAN标签中的TPID字段默认值为（）A.0x0800B.0x8100C.0x86DDD.0x88A8答案：B解析：0x0800是IPv4报文类型标识，0x86DD是IPv6报文类型标识，0x88A8是QinQ外层标签的默认TPID值。5.MSTP协议中，IST域根是指（）A.MST域内实例0的优先级最高的桥设备B.整个MST网络的CST根桥C.单个MSTI的根桥D.域边缘桥设备答案：A解析：IST即内部生成树，对应MSTP的实例0，IST域根是单个MST域内实例0的根桥，CST根是整个MST网络实例0的根桥。6.OSPFv3协议的RouterID长度为（）A.32位B.64位C.128位D.可变长度答案：A解析：OSPFv3虽适配IPv6协议，但RouterID仍保留32位IPv4格式的设计，与OSPFv2一致。7.BGPOPEN报文中的HoldTime字段默认协商值为（）A.30sB.60sC.180sD.300s答案：C解析：BGP邻居协商时取两端HoldTime的最小值，默认配置为180s，Keepalive报文默认发送间隔为60s，即HoldTime的1/3。8.SD-WAN零接触部署（ZTP）过程中，CPE设备自动获取控制器地址的方式不包括（）A.DHCPOption字段推送B.DNS域名解析查询C.PPP拨号扩展字段推送D.静态预配置答案：D解析：零接触部署的核心是无需人工配置即可完成上线，静态预配置属于人工介入的配置方式，不属于ZTP的自动获取范畴。9.零信任架构的核心原则不包括（）A.永不信任，始终验证B.基于边界的默认信任C.最小权限授权D.持续信任评估答案：B解析：零信任打破传统网络基于内外网边界的默认信任逻辑，无论访问来源位于内网还是外网，都需要完成身份验证和权限校验后才能访问资源。10.国产openEuler欧拉操作系统的默认包管理工具是（）A.dnf/rpmB.apt/dpkgC.pacmanD.pkg答案：A解析：欧拉属于红帽系衍生发行版，采用rpm作为包格式，dnf作为默认包管理器；Debian/Ubuntu系列采用apt/dpkg，Arch系列采用pacman，BSD系列采用pkg。11.Wi-Fi7的最高理论传输速率为（）A.9.6GbpsB.30GbpsC.46GbpsD.100Gbps答案：C解析：Wi-Fi7通过320MHz带宽、4096QAM调制、多链路聚合等技术，最高理论速率可达46Gbps，是Wi-Fi6（9.6Gbps）的4.8倍。12.数据中心Spine-Leaf架构中，Leaf层的功能不包括（）A.服务器接入B.安全策略编排C.跨Leaf节点流量转发D.本地路由转发答案：C解析：跨Leaf节点的流量需要通过Spine层转发，Leaf层仅负责服务器接入、本地路由、端口级安全策略配置。13.Prometheus监控服务的默认服务端口是（）A.9090B.9100C.3000D.8080答案：A解析：9100是node_exporter（主机指标采集）的默认端口，3000是Grafana可视化平台的默认端口，8080是通用Web服务默认端口。14.FCSAN网络中，用于为HBA卡分配24位FC地址的服务是（）A.FLOGIB.FSPFC.ZONED.NPIV答案：A解析：FLOGI即光纤通道登录，是HBA卡接入FCSAN时的注册流程，FC交换机为注册成功的HBA卡分配唯一的FC地址；FSPF是FC网络的路由协议，ZONE是FC网络的访问控制机制，NPIV是单物理端口复用多虚拟FC地址的技术。15.以下IPv6过渡技术中属于双栈范畴的是（）A.DS-LiteB.NAT64C.6in4隧道D.IVI翻译答案：A解析：DS-Lite即精简双栈技术，用户侧CPE保留双栈能力，运营商骨干网仅部署IPv6，通过隧道封装IPv4流量传输；NAT64、IVI属于协议翻译技术，6in4属于隧道技术。16.华为设备中高级ACL的编号范围是（）A.2000-2999B.3000-3999C.4000-4999D.5000-5999答案：B解析：2000-2999为基本ACL（仅基于源IP匹配），3000-3999为高级ACL（可基于源目IP、端口、协议类型匹配），4000-4999为二层ACL，5000+为用户自定义ACL。17.以下属于三层VPN的是（）A.IPsecVPNB.L2TPVPNC.PPTPVPND.MPLSL2VPN答案：A解析：L2TP、PPTP、MPLSL2VPN均工作在数据链路层，属于二层VPN；IPsecVPN工作在网络层，封装IP报文实现跨公网的三层互联。18.以下国密算法中属于非对称加密算法的是（）A.SM2B.SM3C.SM4D.ZUC答案：A解析：SM2为非对称加密算法，SM3为哈希算法，SM4为对称加密算法，ZUC为流加密算法，均为我国自主可控的商用密码算法。19.VRRP协议的虚拟MAC地址前缀为（）A.00-00-5E-00-01B.00-00-5E-00-02C.00-0C-29-00-01D.00-11-22-00-01答案：A解析：VRRP虚拟MAC地址格式为00-00-5E-00-01-XX，最后1位为VRID的十六进制值。20.Python中用于实现网络设备SSH登录的常用第三方库是（）A.ParamikoB.RequestsC.ScapyD.Pandas答案：A解析：Requests用于HTTP请求发送，Scapy用于报文构造与分析，Pandas用于数据处理，Paramiko是SSH协议的Python实现，可用于网络设备的远程登录与配置下发。21.以下属于TCP流量控制机制的是（）A.慢启动B.滑动窗口C.快重传D.快恢复答案：B解析：慢启动、拥塞避免、快重传、快恢复均属于TCP拥塞控制机制，滑动窗口是流量控制机制，用于避免发送方发送速率超过接收方处理能力。22.以下IPv6地址类型中，作用范围仅限于同一广播域的是（）A.链路本地地址B.唯一本地地址C.全球单播地址D.组播地址答案：A解析：链路本地地址前缀为FE80::/10，仅在同一二层广播域内有效，不可跨三层转发。23.OSPF特殊区域中，仅允许存在域内路由和默认路由的是（）A.完全末节区域B.末节区域C.NSSA区域D.完全NSSA区域答案：A解析：完全末节区域过滤三类、四类、五类LSA，仅保留域内路由和默认路由；末节区域过滤四类、五类LSA，保留三类路由；NSSA区域允许引入外部路由，以七类LSA形式存在。24.等保2.0中，第三级网络系统的安全审计日志留存时间至少为（）A.30天B.90天C.6个月D.1年答案：C解析：等保2.0明确要求三级系统的审计日志留存不少于6个月，四级系统不少于1年。25.以下链路聚合技术中属于IEEE标准协议的是（）A.LACPB.Eth-TrunkC.PAgPD.Port-Channel答案：A解析：LACP即链路聚合控制协议，是IEEE802.3ad定义的标准链路聚合协议；Eth-Trunk是华为私有的链路聚合技术，PAgP是思科私有的链路聚合协议。二、多项选择题（共20题，每题2分，共40分。每题有2-5个正确答案，多选、少选、错选均不得分）1.以下属于TCP拥塞控制算法的有（）A.慢启动B.拥塞避免C.快重传D.快恢复E.BBR答案：ABCDE解析：除经典的慢启动、拥塞避免、快重传、快恢复外，BBR是谷歌提出的基于带宽和时延探测的新型拥塞控制算法，目前已广泛应用于广域网传输场景。2.以下IPv6地址前缀中属于私有地址范畴的有（）A.FE80::/10B.FC00::/7C.2001::/32D.FD00::/8E.FF00::/8答案：BD解析：FC00::/7是唯一本地地址的总前缀，其中FD00::/8是可用户自主分配的私有IPv6地址段，FE80::/10是链路本地地址，2001::/32是全球单播地址段，FF00::/8是组播地址段。3.以下关于OSPF区域规则的说法正确的有（）A.骨干区域必须为Area0B.虚链路不能穿越末节区域C.末节区域不能接收AS外部路由D.NSSA区域的外部路由以七类LSA形式存在E.完全末节区域仅允许默认路由和域内路由答案：ABCDE解析：所有选项均符合OSPF协议规范：骨干区域固定为Area0，所有非骨干区域必须与骨干区域直接相连，否则需要部署虚链路；虚链路只能穿越普通区域，不能穿越任何特殊区域；末节区域过滤五类LSA（AS外部路由），完全末节区域额外过滤三类LSA（域间路由），仅保留默认路由；NSSA区域引入的外部路由为七类LSA，传递到骨干区域后转换为五类LSA。4.SDN标准三层架构包括（）A.数据平面B.控制平面C.应用平面D.管理平面E.运维平面答案：ABC解析：SDN核心架构分为三层：基础设施层（即数据/转发平面，负责报文转发）、控制层（即控制平面，负责全网路由计算、策略下发）、应用平面（即应用层，基于控制层开放的API实现各类网络业务）。5.以下属于等保2.0核心技术要求的有（）A.身份鉴别B.访问控制C.安全审计D.数据加密E.入侵检测答案：ABCDE解析：等保2.0的核心技术要求包括物理安全、网络安全、主机安全、应用安全、数据安全五个维度，所有选项均属于网络和应用安全的强制要求。6.Wi-Fi6相比Wi-Fi5的技术优势包括（）A.支持OFDMA多用户并行传输B.支持1024QAM调制，传输效率提升25%C.支持TWT目标唤醒时间，终端功耗降低30%以上D.双频段支持（2.4GHz+5GHz）E.单流最高速率可达1.2Gbps答案：ABCDE解析：所有选项均为Wi-Fi6的技术优势，Wi-Fi5仅支持5GHz频段，Wi-Fi6同时支持2.4GHz和5GHz频段，覆盖场景更广泛。7.以下属于国产网络设备厂商的有（）A.华为B.中兴C.新华三D.锐捷E.思科答案：ABCD解析：思科为美国厂商，其余均为国内自主可控的网络设备厂商。8.可观测性的三大核心数据支柱包括（）A.指标（Metrics）B.日志（Logs）C.链路追踪（Trace）D.配置文件E.硬件序列号答案：ABC解析：可观测性通过三类数据实现系统运行状态的全面感知：指标为结构化的数值型统计数据，日志为离散的事件记录，链路追踪为分布式系统中的请求流转路径数据。9.以下BGP路由属性中属于公认必遵属性的有（）A.OriginB.AS_PATHC.Next_HopD.Local_PrefE.MED答案：ABC解析：Origin、AS_PATH、Next_Hop属于公认必遵属性，所有BGP实现必须支持；Local_Pref属于公认任意属性，仅在IBGP邻居之间传递；MED属于可选非传递属性，用于AS之间的路由优先级调整。10.以下属于IPv6扩展报文头的有（）A.逐跳选项头B.路由头C.分片头D.认证头（AH）E.封装安全载荷头（ESP）答案：ABCDE解析：IPv6采用扩展头实现可选功能，除上述五类外还包括目的选项头，可根据业务需求灵活扩展。11.以下关于VLAN技术的说法正确的有（）A.解决广播域过大导致的广播风暴问题B.实现不同部门的逻辑隔离C.802.1Q标签会增加4字节的报文长度D.Access端口收到带标签的报文时会直接丢弃E.Trunk端口默认允许所有VLAN通过答案：ABCDE解析：所有选项均符合VLAN技术规范：VLAN通过划分广播域提升网络稳定性，实现逻辑隔离；802.1Q标签在以太网帧头和IP头之间插入4字节的标签字段；Access端口仅允许所属VLAN的不带标签报文通过，收到带标签的非本VLAN报文时直接丢弃；Trunk端口默认允许所有VLAN的带标签报文通过。12.以下属于高可用性技术的有（）A.VRRPB.BFDC.ECMPD.LACPE.STP答案：ABCDE解析：VRRP实现网关冗余，BFD实现毫秒级故障检测，ECMP实现链路冗余负载分担，LACP实现链路聚合冗余，STP实现二层环路避免与链路冗余，均属于高可用性技术范畴。13.SD-WAN的智能选路可基于以下哪些维度实现（）A.链路时延、丢包率、抖动B.应用优先级C.带宽利用率D.链路成本E.用户归属区域答案：ABCDE解析：SD-WAN控制器可采集上述所有维度的信息，结合自定义策略实现动态选路，保障关键业务的传输质量。14.以下属于国密算法应用场景的有（）A.SM2用于HTTPS证书身份认证B.SM3用于文件完整性校验C.SM4用于数据库存储加密D.ZUC用于5G空口加密E.SM2用于SSH登录身份认证答案：ABCDE解析：所有选项均为当前国密算法的主流应用场景，符合等保2.0的密码合规要求。15.以下关于MPLSVPN的说法正确的有（）A.MPLS标签长度为32位B.PE设备负责VPN标签的添加与移除C.P设备仅根据公网标签转发报文D.同一VPN的不同站点使用相同的RD值E.RT值用于控制VPN路由的导入导出答案：ABCE解析：同一VPN的不同站点可以使用不同的RD值，RD用于区分不同VPN的重叠地址，RT用于控制路由的传递范围，其余选项均正确。16.网络运维中常用的故障排查工具包括（）A.pingB.tracerouteC.tcpdumpD.WiresharkE.telnet/ssh答案：ABCDE解析：ping用于检测三层连通性，traceroute用于排查转发路径故障，tcpdump/Wireshark用于报文捕获分析，telnet/ssh用于检测端口连通性和设备登录，均为常用故障排查工具。17.以下关于DHCP协议的说法正确的有（）A.客户端发送的DISCOVER报文为广播报文B.服务器回复的OFFER报文为单播报文C.DHCP请求报文使用UDP67端口D.DHCP回复报文使用UDP68端口E.DHCPSnooping用于防范私设DHCP服务器攻击答案：AE解析：OFFER报文通常为广播报文，DHCP客户端用68端口，服务端用67端口，其余选项正确。18.数据中心常用的存储网络类型包括（）A.FCSANB.IPSAN（iSCSI）C.NASD.对象存储E.分布式块存储答案：ABCDE解析：所有选项均为数据中心主流存储网络类型，FCSAN适用于高并发低延迟的数据库场景，IPSAN成本更低，NAS适用于文件共享场景，对象存储适用于非结构化数据存储场景。19.以下关于零信任的说法正确的有（）A.访问主体的信任度是动态变化的B.权限分配遵循最小权限原则C.所有访问行为都需要审计D.仅对外部访问请求进行验证E.结合多因素认证提升身份安全性答案：ABCE解析：零信任对所有访问请求（包括内网访问）都进行验证，因此D选项错误，其余选项正确。20.Python网络自动化运维常用的库包括（）A.NetmikoB.NAPALMC.AnsibleD.Jinja2E.Requests答案：ABCDE解析：Netmiko是多厂商网络设备SSH登录库，NAPALM是多厂商设备配置管理库，Ansible是批量配置工具，Jinja2是配置模板生成库，Requests用于调用RESTAPI，均为网络自动化常用工具。三、案例分析题（共3题，每题20分，共60分）案例一：某企业园区网改造项目场景：企业现有员工2000人，有线终端1800台，无线终端3000台，本次改造要求支持IPv4/IPv6双栈，无线网络升级到Wi-Fi6，核心层采用双机热备，接入层支持PoE为AP供电，同时满足等保二级要求。1.核心层采用VRRPv3实现双机热备，请问VRRPv3相比VRRPv2的核心改进有哪些？（6分）参考答案：①支持IPv6环境，VRRPv2仅支持IPv4；②取消明文认证方式，仅支持IPsec加密认证，安全性大幅提升；③VRID范围从1-255扩展到1-4095，可支持更多虚拟网关；④报文发送间隔支持毫秒级配置，故障切换时间可缩短至100ms以内；⑤支持认证扩展字段，可适配国密算法认证。（答对任意3点即可得满分，每点2分）2.无线网络采用瘦AP+AC架构，AC旁挂于核心交换机，部署后发现部分区域AP无法注册到AC，请列出可能的故障原因。（8分）参考答案：①AP与AC之间三层网络不通，AP无法访问AC的管理地址；②DHCP服务器未配置Option43字段，AP无法自动发现AC地址；③AC上未录入该AP的SN序列号，准入规则未放行；④AP固件版本与AC版本不兼容，注册报文被拒绝；⑤中间网络配置ACL拦截了CAPWAP隧道的控制报文（UDP5246端口）和数据报文（UDP5247端口）；⑥AC的License数量不足，无法接纳新的AP接入；⑦AP所在VLAN未配置IPv4/IPv6地址，无法与AC通信。（答对任意4点即可得满分，每点2分）3.要求接入层端口仅允许授权终端接入，防范私接路由、非法终端接入，可采用哪些技术实现？（6分）参考答案：①部署802.1X身份认证，仅通过账号密码/证书验证的终端可接入网络；②配置端口安全，限制端口最大MAC地址学习数量，超过阈值则关闭端口或丢弃非法报文；③部署DHCPSnooping，仅信任连接DHCP服务器的端口，防范私设DHCP服务器攻击；④配置ARPInspection，拦截非法ARP报文，防范ARP欺骗；⑤部署IP+MAC+端口绑定，仅允许绑定的终端接入对应端口。（答对任意3点即可得满分，每点2分）案例二：某政务云SD-WAN与零信任建设项目场景：政务云现有120个区县分支，要求采用SD-WAN替代传统MPLS专线实现分支与云端的互联，同时部署零信任网关实现政务人员远程访问，所有设备采用国产硬件，满足等保三级要求。1.SD-WAN相比传统MPLSVPN的优势有哪些？（7分）参考答案：①成本更低：可采用普通互联网、5G链路替代高价MPLS专线，带宽成本降低60%以上；②智能选路：可根据链路质量、应用优先级动态选择最优路径，保障政务办公、视频会议等关键业务的传输质量；③零接触部署：分支CPE支持ZTP，无需专业运维人员现场配置，上线时间从7天缩短至1小时以内；④集中管控：通过控制器统一管理所有分支设备，配置下发、故障排查、流量监控效率提升80%以上；⑤安全内置：集成国密加密、防火墙、入侵检测等安全能力，无需额外部署分支安全设备；⑥多云互联：支持快速对接政务云、公有云资源，实现云访问加速；⑦弹性扩容：带宽可按需调整，无需提前申请固定带宽，应对突发业务时灵活性更高。（每点1分，答对7点得满分）2.零信任网关部署在政务云接入侧，请说明零信任访问的核心流程。（7分）参考答案：①用户发起访问请求，首先被零信任网关拦截，网关提示用户提交身份凭证；②用户提交账号密码+短信令牌/USBKey等多因素认证信息，发送到身份管理系统校验；③身份校验通过后，网关根据用户的角色、岗位，结合最小权限原则分配对应的资源访问权限；④网关对用户的所有访问流量进行持续信任评估，检测越权访问、恶意文件上传等异常行为；⑤所有访问行为全程记录到审计系统，日志留存不少于6个月，满足等保审计要求；⑥当用户信任评估得分低于阈值、访问时间超出允许范围时，网关自动断开连接，回收访问权限；⑦用户退出登录时，网关清除所有会话信息，避免会话被劫持。（每点1分，答对7点得满分）3.政务云存储区采用FCSAN架构，某业务服务器无法访问存储卷，请列出可能的故障原因。（6分）参考答案：①服务器HBA卡硬件故障或驱动异常，无法识别FC链路；②FC交换机端口故障、光模块/光纤损坏，物理层连通性中断；③FC交换机ZONE配置错误，服务器HBA卡的WWN地址未加入对应存储端口的ZONE；④存储阵列LUN映射配置错误，未将对应LUN分配给该服务器的HBA卡；⑤FCSAN网络存在FC地址冲突，FLOGI注册失败；⑥存储阵列硬件故障，对应LUN处于离线状态。（答对任意3点即可得满分，每点2分）案例三：某企业自动化运维建设项目场景：企业现有网络设