2025年中级网络管理员配置实操题库及答案解析

2025年中级网络管理员配置实操题库及答案解析本题库基于华为eNSPV1.3.00.100版本仿真环境，匹配2025年全国计算机技术与软件专业技术资格（水平）考试中级网络管理员实操考核大纲，所有配置命令兼容华为S5700系列交换机、AR2200系列路由器实机运行环境，核心考点覆盖基础设备配置、二层交换配置、三层路由配置、网络服务配置、安全访问控制、故障排查6大类，所有试题均为2025年考核核心高频题型，具体试题及答案解析如下：实操题1：交换机基础安全配置【题干】拓扑：1台S5700交换机、1台运维PC，PC通过串口线连接交换机Console口。要求：1.修改交换机设备名称为SW-Core-01；2.关闭闲置接口GE0/0/2至GE0/0/24，配置接口描述为“Unused_Port”，配置接口闲置检测时长为300秒，超时自动执行shutdown操作；3.配置Console口登录认证密码为Admin@2025，登录会话超时时间为15分钟，登录失败3次后锁定账户10分钟；4.配置VTY0-4线路支持SSH远程登录，仅允许管理主机192.168.1.10/24访问VTY线路，登录用户名为admin，密码为Admin@2025，用户权限级别为3级；5.配置交换机管理VLANIF100的IP地址为192.168.1.2/24，全局默认网关为192.168.1.1。【配置步骤答案】```<Huawei>system-view[Huawei]sysnameSW-Core-01//批量配置闲置端口[SW-Core-01]port-groupunuse-port[SW-Core-01-port-group-unuse-port]group-memberGigabitEthernet0/0/2toGigabitEthernet0/0/24[SW-Core-01-port-group-unuse-port]descriptionUnused_Port[SW-Core-01-port-group-unuse-port]shutdown[SW-Core-01-port-group-unuse-port]idle-timeout300[SW-Core-01-port-group-unuse-port]quit//配置Console口安全[SW-Core-01]user-interfaceconsole0[SW-Core-01-ui-console0]authentication-modepassword[SW-Core-01-ui-console0]setauthenticationpasswordcipherAdmin@2025[SW-Core-01-ui-console0]idle-timeout15[SW-Core-01-ui-console0]lock[SW-Core-01-ui-console0]retry-interval10retry-times3lock-time10[SW-Core-01-ui-console0]quit//配置SSH远程登录[SW-Core-01]rsalocal-key-paircreate[SW-Core-01]user-interfacevty04[SW-Core-01-ui-vty0-4]protocolinboundssh[SW-Core-01-ui-vty0-4]acl2000inbound[SW-Core-01-ui-vty0-4]authentication-modeaaa[SW-Core-01-ui-vty0-4]userprivilegelevel3[SW-Core-01-ui-vty0-4]quit[SW-Core-01]aclnumber2000[SW-Core-01-acl-basic-2000]rulepermitsource192.168.1.100[SW-Core-01-acl-basic-2000]ruledeny[SW-Core-01-acl-basic-2000]quit[SW-Core-01]aaa[SW-Core-01-aaa]local-useradminpasswordcipherAdmin@2025[SW-Core-01-aaa]local-useradminprivilegelevel3[SW-Core-01-aaa]local-useradminservice-typessh[SW-Core-01-aaa]quit//配置管理地址与默认网关[SW-Core-01]vlan100[SW-Core-01-vlan100]quit[SW-Core-01]interfaceVlanif100[SW-Core-01-Vlanif100]ipaddress192.168.1.2255.255.255.0[SW-Core-01-Vlanif100]quit[SW-Core-01]iproute-static0.0.0.00192.168.1.1```【答案解析】1.端口组配置可批量处理多接口属性，减少重复配置工作量，闲置端口关闭、超时检测符合网络安全基线要求，可防范非法设备接入内网；2.Console口登录失败锁定规则匹配等保2.0三级身份鉴别要求，可有效防范暴力破解登录密码的攻击行为；3.SSH采用加密传输模式，相较于Telnet明文传输安全性更高，通过基础ACL限制VTY线路的访问源IP，可阻断未授权主机的远程登录尝试；4.管理VLAN需单独划分，避免与业务VLAN共用，降低管理流量被嗅探、篡改的风险，默认静态路由实现跨网段访问管理设备。实操题2：VLAN划分与Trunk链路配置【题干】拓扑：2台S5700交换机（SW1、SW2）、4台PC，PC1/PC2连接SW1的GE0/0/1、GE0/0/2接口，PC3/PC4连接SW2的GE0/0/1、GE0/0/2接口，SW1GE0/0/24与SW2GE0/0/24互联。要求：1.按部门划分VLAN：行政部VLAN10（网段192.168.10.0/24）、研发部VLAN20（网段192.168.20.0/24），PC1/PC3属于行政部，PC2/PC4属于研发部；2.交换机互联接口配置为Trunk模式，仅允许VLAN10、VLAN20、VLAN100（管理VLAN）通过，禁止默认VLAN1通过；3.配置SW1为VTPServer，SW2为VTPClient，域名为Corp-Net，密码为Vlan@2025，实现VLAN信息统一管理；4.验证同VLAN跨交换机PC可正常ping通，不同VLANPC默认不可互通。【配置步骤答案】SW1配置：```<Huawei>system-view[Huawei]sysnameSW1//配置VTP参数[SW1]vtpmodeserver[SW1]vtpdomainCorp-Net[SW1]vtppasswordcipherVlan@2025//创建业务VLAN[SW1]vlanbatch1020100//配置接入端口[SW1]interfaceGigabitEthernet0/0/1[SW1-GigabitEthernet0/0/1]portlink-typeaccess[SW1-GigabitEthernet0/0/1]portdefaultvlan10[SW1-GigabitEthernet0/0/1]quit[SW1]interfaceGigabitEthernet0/0/2[SW1-GigabitEthernet0/0/2]portlink-typeaccess[SW1-GigabitEthernet0/0/2]portdefaultvlan20[SW1-GigabitEthernet0/0/2]quit//配置Trunk互联端口[SW1]interfaceGigabitEthernet0/0/24[SW1-GigabitEthernet0/0/24]portlink-typetrunk[SW1-GigabitEthernet0/0/24]porttrunkallow-passvlan1020100[SW1-GigabitEthernet0/0/24]porttrunkallow-passvlanremove1[SW1-GigabitEthernet0/0/24]quit```SW2配置：```<Huawei>system-view[Huawei]sysnameSW2//配置VTP参数[SW2]vtpmodeclient[SW2]vtpdomainCorp-Net[SW2]vtppasswordcipherVlan@2025//配置接入端口[SW2]interfaceGigabitEthernet0/0/1[SW2-GigabitEthernet0/0/1]portlink-typeaccess[SW2-GigabitEthernet0/0/1]portdefaultvlan10[SW2-GigabitEthernet0/0/1]quit[SW2]interfaceGigabitEthernet0/0/2[SW2-GigabitEthernet0/0/2]portlink-typeaccess[SW2-GigabitEthernet0/0/2]portdefaultvlan20[SW2-GigabitEthernet0/0/2]quit//配置Trunk互联端口[SW2]interfaceGigabitEthernet0/0/24[SW2-GigabitEthernet0/0/24]portlink-typetrunk[SW2-GigabitEthernet0/0/24]porttrunkallow-passvlan1020100[SW2-GigabitEthernet0/0/24]porttrunkallow-passvlanremove1[SW2-GigabitEthernet0/0/24]quit```【答案解析】1.VLAN（虚拟局域网）可实现二层广播域隔离，减少广播风暴风险，同时实现不同部门的逻辑隔离；2.Trunk端口通过标签识别不同VLAN的流量，仅允许必要VLAN通过符合最小权限原则，禁止VLAN1通过可防范默认VLAN的非法访问风险；3.VTP（VLAN中继协议）可实现多交换机VLAN信息的统一管理，Server端可创建、修改、删除VLAN，Client端自动同步VLAN信息，避免多设备重复配置的失误；4.不同VLAN属于不同广播域，默认无三层转发设备的情况下不可互通，符合网络隔离要求。实操题3：静态路由与浮动静态路由配置【题干】拓扑：2台AR2200路由器（R1、R2），R1连接192.168.1.0/24、192.168.2.0/24两个内网网段，R2连接192.168.3.0/24内网网段，R1GE0/0/0与R2GE0/0/0为主互联链路，网段10.0.0.0/30，R1地址10.0.0.1/30，R2地址10.0.0.2/30；R1GE0/0/1与R2GE0/0/1为备份互联链路，网段10.0.0.4/30，R1地址10.0.0.5/30，R2地址10.0.0.6/30。要求：1.完成所有设备接口IP地址配置，接口描述按“对端设备名_接口名”格式配置；2.配置静态路由实现所有网段三层互通，要求路由条目最少；3.配置浮动静态路由，主链路优先级为60，备份链路优先级为100，主链路中断时自动切换到备份链路；4.验证链路切换时业务中断时间小于1s。【配置步骤答案】R1配置：```<Huawei>system-view[Huawei]sysnameR1//配置业务接口[R1]interfaceGigabitEthernet0/0/0[R1-GigabitEthernet0/0/0]descriptionR2_GE0/0/0[R1-GigabitEthernet0/0/0]ipaddress10.0.0.1255.255.255.252[R1-GigabitEthernet0/0/0]quit[R1]interfaceGigabitEthernet0/0/1[R1-GigabitEthernet0/0/1]descriptionR2_GE0/0/1[R1-GigabitEthernet0/0/1]ipaddress10.0.0.5255.255.255.252[R1-GigabitEthernet0/0/1]quit[R1]interfaceGigabitEthernet0/0/2[R1-GigabitEthernet0/0/2]ipaddress192.168.1.1255.255.255.0[R1-GigabitEthernet0/0/2]quit[R1]interfaceGigabitEthernet0/0/3[R1-GigabitEthernet0/0/3]ipaddress192.168.2.1255.255.255.0[R1-GigabitEthernet0/0/3]quit//配置静态路由[R1]iproute-static192.168.3.0255.255.255.010.0.0.2preference60[R1]iproute-static192.168.3.0255.255.255.010.0.0.6preference100```R2配置：```<Huawei>system-view[Huawei]sysnameR2//配置业务接口[R2]interfaceGigabitEthernet0/0/0[R2-GigabitEthernet0/0/0]descriptionR1_GE0/0/0[R2-GigabitEthernet0/0/0]ipaddress10.0.0.2255.255.255.252[R2-GigabitEthernet0/0/0]quit[R2]interfaceGigabitEthernet0/0/1[R2-GigabitEthernet0/0/1]descriptionR1_GE0/0/1[R2-GigabitEthernet0/0/1]ipaddress10.0.0.6255.255.255.252[R2-GigabitEthernet0/0/1]quit[R2]interfaceGigabitEthernet0/0/2[R2-GigabitEthernet0/0/2]ipaddress192.168.3.1255.255.255.0[R2-GigabitEthernet0/0/2]quit//配置静态路由[R2]iproute-static192.168.1.0255.255.255.010.0.0.1preference60[R2]iproute-static192.168.1.0255.255.255.010.0.0.5preference100[R2]iproute-static192.168.2.0255.255.255.010.0.0.1preference60[R2]iproute-static192.168.2.0255.255.255.010.0.0.5preference100```【答案解析】1.静态路由由管理员手动配置，优先级高、转发稳定，适合小型网络的路由部署，接口添加描述可快速定位链路拓扑，降低运维难度；2.浮动静态路由通过调整路由优先级（preference值越小优先级越高）实现链路备份，主链路正常时备份路由不进入路由表，主链路失效后备份路由自动激活，实现业务无感知切换；3.可通过`displayiprouting-table`查看路由表条目，主链路正常时仅优先级60的路由存在，手动shutdown主接口后可验证备份路由自动生效。实操题4：ACL访问控制配置【题干】拓扑：1台AR2200路由器作为出口网关，内网包含3个网段：行政部192.168.10.0/24、研发部192.168.20.0/24、服务器区192.168.30.0/24（含DNS服务器192.168.30.10、文件服务器192.168.30.20、Web服务器192.168.30.30），出口公网地址为202.103.0.2/29。要求：1.禁止研发部网段访问行政部网段，仅允许行政部访问研发部的TCP80、443端口服务；2.禁止所有内网网段访问文件服务器192.168.30.20，仅允许行政部管理员主机192.168.10.10访问；3.禁止内网主机在工作日9:00-18:00访问公网的游戏端口TCP/UDP8000-9000；4.仅允许公网用户访问Web服务器的80、443端口，其他公网入站流量全部拒绝。【配置步骤答案】```[R1]time-rangeworkday9:00to18:00working-day//配置内网访问控制ACL[R1]aclnumber3000[R1-acl-adv-3000]ruledenyipsource192.168.20.00.0.0.255destination192.168.10.00.0.0.255[R1-acl-adv-3000]rulepermittcpsource192.168.10.00.0.0.255destination192.168.20.00.0.0.255destination-porteq80[R1-acl-adv-3000]rulepermittcpsource192.168.10.00.0.0.255destination192.168.20.00.0.0.255destination-porteq443[R1-acl-adv-3000]rulepermitipsource192.168.10.100destination192.168.30.200[R1-acl-adv-3000]ruledenyipsourceanydestination192.168.30.200[R1-acl-adv-3000]ruledenytcpsource192.168.0.00.0.255.255destination-portrange80009000time-rangeworkday[R1-acl-adv-3000]ruledenyudpsource192.168.0.00.0.255.255destination-portrange80009000time-rangeworkday[R1-acl-adv-3000]rulepermitip[R1-acl-adv-3000]quit//配置公网入站控制ACL[R1]aclnumber3001[R1-acl-adv-3001]rulepermittcpsourceanydestination192.168.30.300destination-porteq80[R1-acl-adv-3001]rulepermittcpsourceanydestination192.168.30.300destination-porteq443[R1-acl-adv-3001]ruledenyip[R1-acl-adv-3001]quit//应用ACL到对应接口[R1]interfaceGigabitEthernet0/0/0//内网核心接口[R1-GigabitEthernet0/0/0]traffic-filterinboundacl3000[R1-GigabitEthernet0/0/0]quit[R1]interfaceGigabitEthernet0/0/1//公网出口接口[R1-GigabitEthernet0/0/1]traffic-filterinboundacl3001[R1-GigabitEthernet0/0/1]quit```【答案解析】1.高级ACL（编号3000-3999）可基于源IP、目的IP、端口号、时间范围等多维度匹配流量，规则匹配顺序为从上到下，因此需将高优先级的精确规则放置在前面，避免被通用规则覆盖；2.时间范围ACL可实现基于时间段的流量控制，符合企业办公时段的行为管理需求；3.ACL应用方向需根据流量路径判断，控制内网入站流量时应用在内网接口的inbound方向，控制公网入站流量时应用在公网接口的inbound方向，可减少无效流量的转发开销。实操题5：网络故障排查【题干】故障现象：某企业行