2025年网络工程师考试下午真题与答案

2025年网络工程师考试下午真题与答案(11)试题一：组网规划设计（20分）题干某省政务服务中心2025年新建政务云边缘节点，服务下辖12个地市办事窗口，需同时接入政务内网、政务外网、互联网，满足《网络安全等级保护2.0》三级要求。核心层到地市政务内网链路带宽10G，政务外网链路带宽1G，互联网出口总带宽20G；办公区实现Wi-Fi7全覆盖，偏远区县办事点采用SD-WAN方式接入，全网部署IPv4/IPv6双栈，省级节点分配IPv6前缀为2409:8a76:1f03::/48。问题（6分）该网络采用三层架构设计，分别说明核心层、汇聚层、接入层的核心功能，以及双核心集群部署的2个关键设计要点。（4分）基于给定IPv6前缀，需划分16个/52子网分配给12个地市、剩余4个作为预留，写出前3个地市的子网前缀，以及每个子网可分配的单播地址数量。（5分）与传统MPLSVPN专线接入相比，列举SD-WAN接入的3个核心优势，以及零信任网络接入的3个核心组件。（5分）写出该网络满足等保2.0三级要求的5项网络侧强制性配置要求。参考答案三层架构功能：①核心层：负责全网高速数据转发，实现跨区域、跨网络的路由调度，配置冗余设备与链路避免单点故障；②汇聚层：负责接入层流量聚合，实现VLAN间路由、访问控制、QoS策略调度；③接入层：负责终端设备接入，配置端口安全、VLAN划分、准入控制等功能。双核心设计要点：配置CSS2集群技术实现两台核心设备逻辑化统一，配置VRRP双活网关实现网关冗余，故障切换时间小于50ms。前3个地市子网前缀：①第一个地市：2409:8a76:1f03::/52；②第二个地市：2409:8a76:1f03:1000::/52；③第三个地市：2409:8a76:1f03:2000::/52。每个子网可分配单播地址数量为2^76-2（IPv6无广播地址，扣除网络前缀与子网任意播地址）。SD-WAN核心优势：①成本优势：可复用公共互联网链路替代部分高价MPLS专线，专线成本降低40%以上；②智能选路：基于链路延迟、丢包率、带宽利用率动态调度业务流量，核心业务优先走高质量链路；③集中管控：省级控制器可统一管理所有地市SD-WAN设备，配置下发、故障排查效率提升80%以上。零信任核心组件：信任评估引擎、策略决策引擎、访问代理。等保三级配置要求：①边界部署下一代防火墙与入侵防御系统，禁止未授权访问核心业务网段；②政务业务传输采用SM2/3/4国密算法加密，敏感数据传输全程不落地；③网络设备、安全设备日志留存不少于6个月，日志不可篡改；④核心设备、链路实现冗余备份，单点故障恢复时间小于1分钟，业务中断时长小于5分钟；⑤部署网络准入控制（NAC）系统，未授权设备无法接入政务内网。试题二：交换机与Wi-Fi7组网配置（20分）题干该政务中心接入层采用华为S5735-S交换机，核心层采用S12700E交换机部署CSS集群，无线侧采用AirEngine8771-X1TWi-Fi7AP，AC采用AirEngine9700-X实现有线无线统一管理。VLAN规划如下：办公区VLAN10（/24）、办事服务区VLAN20（/24）、网管VLAN99（/24）；无线SSID分为两类：内部办公SSID（仅员工接入，802.1X认证）、群众办事SSID（Web认证，二层用户隔离）。问题（6分）补全核心交换机集群配置命令（华为VRP系统）：

[Core]sysnameCore_Master

[Core]____//开启集群功能

[Core]csspriority____//配置主核心优先级为150（备核心优先级为100）

[Core]interfaceVlanif10

[Core-Vlanif10]ipaddress54

[Core-Vlanif10]____//配置VRRP虚拟网关为，优先级120（6分）补全接入交换机端口配置、AC侧AP上线配置：

//接入交换机接办公PC端口配置

[Access]interfaceGigabitEthernet0/0/1

[Access-GigabitEthernet0/0/1]portlink-type____

[Access-GigabitEthernet0/0/1]portdefaultvlan10

[Access-GigabitEthernet0/0/1]port-securityenable

[Access-GigabitEthernet0/0/1]port-securitymax-mac-num1

[Access-GigabitEthernet0/0/1]port-securityprotect-action____//违规后端口关闭

//AC侧CAPWAP隧道配置

[AC]capwapsourceinterface____//绑定网管VLANIF接口作为CAPWAP源接口（4分）写出群众办事SSID的用户隔离配置命令，以及内部办公SSID的802.1X认证绑定逻辑。（4分）列举Wi-Fi7的3项核心技术，以及相比Wi-Fi6的性能提升点。参考答案配置命令依次为：cssenable、150、vrrpvrid10virtual-ippriority120配置命令依次为：access、shutdown、Vlanif99用户隔离配置：进入SSID模板视图后执行user-isolatel2enable，实现同一SSID下用户二层流量不可互访，仅可与网关通信。802.1X绑定逻辑：创建802.1X认证模板绑定RADIUS服务器地址、共享密钥，创建安全模板绑定802.1X认证模板，最后将安全模板绑定到办公SSID模板。Wi-Fi7核心技术：①多链路聚合（MLO）：支持终端同时在2.4GHz、5GHz、6GHz三个频段建立多条链路传输数据，抗干扰能力提升100%；②4096QAM调制：相比Wi-Fi6的1024QAM，单载波数据承载量提升20%，相同带宽下吞吐量更高；③320MHz超大带宽：在6GHz频段支持320MHz连续带宽，单流最高速率达11.5Gbps，是Wi-Fi6的2倍。试题三：路由器与SD-WAN配置（20分）题干地市办事点采用华为AR6700系列SD-WAN路由器，同时接入政务内网专线（接口G0/0/0，IP：/30）、互联网专线（接口G0/0/1，IP：2/24）。省级BGPAS号为100，地市AS号为65001，省级核心BGP邻居地址为；要求政务业务（目的端口为TCP8080）优先走政务内网链路，其余流量走互联网链路，偏远网点流量采用SM4国密算法IPsecVPN加密传输。问题（6分）补全地市路由器BGP双栈配置命令：

[AR]bgp65001

[AR-bgp]router-id

[AR-bgp]peeras-number____

[AR-bgp]ipv4-familyunicast

[AR-bgp-af-ipv4]network

[AR-bgp-af-ipv4]peerenable

[AR-bgp-af-ipv4]quit

[AR-bgp]ipv6-familyunicast

[AR-bgp-af-ipv6]network____//宣告地市IPv6子网2409:8a76:1f03:1000::/52

[AR-bgp-af-ipv6]peerenable（6分）补全SD-WAN智能选路流量策略配置：

[AR]acl3000

[AR-acl-adv-3000]rulepermittcpdestination-porteq8080

[AR-acl-adv-3000]quit

[AR]trafficclassifiergov

[AR-classifier-gov]if-matchacl3000

[AR-classifier-gov]quit

[AR]trafficbehaviorgov

[AR-behavior-gov]redirectinterface____//重定向到政务内网接口

[AR-behavior-gov]quit

[AR]trafficbehaviorinternet

[AR-behavior-internet]redirectinterfaceGigabitEthernet0/0/1

[AR-behavior-internet]quit

[AR]trafficpolicypath_select

[AR-trafficpolicy-path_select]classifiergovbehaviorgov

[AR-trafficpolicy-path_select]classifierdefaultbehaviorinternet

[AR-trafficpolicy-path_select]quit

[AR]interfaceGigabitEthernet0/0/2//下联地市办公区接口

[AR-GigabitEthernet0/0/2]traffic-policypath_select____//入方向应用策略（4分）写出IPsecVPN配置的核心步骤，要求加密算法SM4、认证算法SM3、预共享密钥为Admin@2025。（4分）该地市办公区同一VLAN下部署了两个IPv6前缀的终端，若要实现两类终端的跨前缀通信，需要在网关开启ND代理，说明其工作原理。参考答案配置命令依次为：100、2409:8a76:1f03:1000::52配置命令依次为：GigabitEthernet0/0/0、inbound核心配置步骤：①创建IPsec安全提议，配置ESP协议加密算法为SM4、认证算法为SM3；②创建IKE安全提议，配置加密算法SM4、认证算法SM3、预共享密钥Admin@2025；③创建IPsec安全策略，绑定对端公网地址、IKE提议、IPsec安全提议；④将IPsec安全策略应用到互联网出接口G0/0/1。工作原理：IPv6默认禁止同一广播域内不同前缀的终端直接通信，终端发送NS（邻居请求）报文查询目标地址的MAC地址时，若目标地址与源地址不属于同一前缀，终端不会直接发送报文到目标；网关开启ND代理后，收到NS报文后会校验目标地址是否属于自身可达网段，若可达则代答NS报文，将自身MAC地址返回给源终端，引导源终端将流量发送到网关，再由网关转发到目标终端，实现跨前缀同VLAN通信。试题四：Linux系统与服务配置（20分）题干政务中心部署CentOSStream9服务器作为DNS、NTP、政务Web服务器，采用Nginx作为Web服务容器，要求支持双栈访问，HTTPS采用国密SM2证书，日志定期备份。服务器网卡为ens192，IPv4地址为0/24、网关，IPv6地址为2409:8a76:1f03::10/64、网关2409:8a76:1f03::1。问题（5分）写出/etc/NetworkManager/system-connections/ens192.nmconnection配置文件的核心参数，实现上述IP地址配置。（5分）该服务器部署Bind9.16作为DNS服务器，配置正向解析区域，添加A记录www对应0、AAAA记录对应2409:8a76:1f03::10，写出named.conf核心配置与区域文件内容。（6分）补全Nginx配置，实现80端口自动跳转443端口，国密证书路径为/etc/nginx/cert/sm2.crt、私钥路径为/etc/nginx/cert/sm2.key。

server{

listen80;

listen[::]:80;

server_name;

____//跳转至HTTPS

}

server{

listen443sslhttp2;

listen[::]:443sslhttp2;

server_name;

ssl_certificate____;

ssl_certificate_key____;

ssl_ciphersECC-SM2-SM4-CBC-SM3;

root/usr/share/nginx/html;

indexindex.htmlindex.php;

}（4分）写出crontab配置项，实现每天凌晨2点自动备份/var/log/nginx目录到/backup目录，压缩为tar.gz格式，文件名包含备份日期。参考答案核心配置参数：

[ethernet]

device=ens192

type=ethernet

[ipv4]

method=manual

addresses=0/24,

dns=;14;

[ipv6]

method=manual

addresses=2409:8a76:1f03::10/64,2409:8a76:1f03::1

dns=2400:3200::1;2400:3200:baba::1;named.conf核心配置：

options{

listen-onport53{any;};

listen-on-v6port53{any;};

allow-query{any;};

recursionyes;

};

zone""IN{

typemaster;

file".zone";

allow-update{none;};

};区域文件/var/named/.zone内容：

$TTL86400

@INSOA..(

2025060101;序列号

3600;刷新时间

1800;重试时间

604800;过期时间

86400;最小TTL

)

@INNS.

ns1INA0

wwwINA0

wwwINAAAA2409:8a76:1f03::10配置参数依次为：return301https://$host$request_uri;、/etc/nginx/cert/sm2.crt、/etc/nginx/cert/sm2.keycrontab配置项：02***/usr/bin/tarzcf/backup/nginx_log_$(date+\\%Y\\%m\\%d).tar.gz/var/log/nginx>/dev/null2>\&1试题五：网络故障排查与安全整改（20分）题干该政务网络运行过程中出现三类故障，等保测评过程中也发现多项安全隐患，要求完成故障排查与安全整改。问题（6分）故障1：办事群众连接公共SSID时无法获取IP地址，排查发现AC上的DHCP地址池（/24）已耗尽，写出2个可能的原因，以及对应的3项解决措施。（6分）故障2：地市网点访问省级政务系统延迟超过200ms，排查发现政务业务流量未按策略走内网专线，而是走了互联网链路，写出4个排查步骤。（4分）故障3：用户访问政务Web系统时出现403Forbidden错误，排查发现Nginx站点目录权限配置错误，写出具体整改命令。（4分）等保测评发现核心交换机存在弱口令、未关闭Telnet服务、日志仅本地留存三个安全隐患，写出对应的3项整改措施。参考答案可能原因：①DHCP地址池掩码过小，可分配地址仅252个，办事高峰时段用户量超过地址池容量；②未开启DHCPSnooping，存在非法DHCP服务器占用地址池资源，或ARP欺骗导致地址池异常耗尽。解决措施：①调整DHCP地址池为/22，可分配地址提升到1022个，满足高峰