2026年最-新网络工程师(中级软考)考试试题与答案

2026年最新网络工程师(中级软考)考试试题与答案按照《网络安全等级保护条例》现行规范，三级信息系统的安全测评最低周期为（）？A.半年B.1年C.2年D.3年答案：B解析：根据等保2.0配套法规要求，第三级及以上信息系统每年至少开展一次等级测评，二级信息系统每两年至少开展一次等级测评，本题对应三级系统，因此选B。关于SRv6SID的结构，以下说法错误的是（）？A.SRv6SID采用128位IPv6地址格式B.Locator字段具备路由可聚合性C.Function字段用于标识设备转发动作D.Argument字段长度固定为32位答案：D解析：SRv6SID由Locator（可变长度，通常32-64位，可路由聚合）、Function（通常16-32位，标识转发动作）、Argument（可选可变长度字段，用于携带流标识、服务等级等参数）三部分组成，Argument字段无固定长度要求，D选项错误。

3.3块容量为2TB的机械硬盘组建RAID5阵列，剔除校验开销后的可用存储容量为（）？A.2TBB.4TBC.6TBD.3TB答案：B解析：RAID5的可用容量计算公式为（n-1）单盘容量，n为硬盘数量，本题n=3，因此可用容量为（3-1）2TB=4TB。

4.以下属于传输层协议的是（）？A.QUICB.HTTP/3C.VXLAND.SRv6答案：A解析：QUIC是基于UDP封装的新一代传输层协议，具备低时延、多路复用、连接迁移等特性，是HTTP/3的承载协议；HTTP/3属于应用层，VXLAN属于数据链路层，SRv6属于网络层，因此选A。TCP拥塞控制算法中，基于链路带宽和时延测算实现拥塞控制的是（）？A.RenoB.CUBICC.BBRD.Vegas答案：C解析：BBR（BottleneckBandwidthandRTT）算法通过探测链路的最大带宽和最小RTT计算最优发送速率，无需依赖丢包判断拥塞，适合长距离大带宽链路，因此选C。IPv6无状态地址自动配置（SLAAC）过程中，主机通过接收哪种报文获取前缀信息（）？A.路由器请求（RS）B.路由器通告（RA）C.邻居请求（NS）D.邻居通告（NA）答案：B解析：SLAAC流程中，主机发送RS报文请求前缀，路由器回应RA报文携带IPv6前缀、前缀长度、有效生存期等信息，主机据此生成全局IPv6地址，因此选B。OSPFv3协议中，以下哪个区域不能引入外部路由（）？A.骨干区域（Area0）B.Stub区域C.NSSA区域D.普通非骨干区域答案：B解析：Stub区域为了减少区域内的LSA数量，禁止类型5的外部LSA泛洪，同时不允许区域内的设备引入外部路由；NSSA区域允许引入外部路由，以类型7LSA在区域内泛洪，因此选B。SD-WAN组网的核心组件中，负责流量识别、选路执行、隧道封装的是（）？A.编排器B.控制器C.边缘CPED.云网关答案：C解析：边缘CPE部署在用户侧出口，是SD-WAN的执行层组件，负责链路探测、流量识别、选路执行、IPsec隧道加密封装等功能；控制器负责策略下发、状态监控，编排器负责跨域资源调度，云网关负责打通云网连接，因此选C。零信任架构的核心原则是（）？A.默认信任内部网络用户B.永不信任、始终验证C.仅对外部访问做身份核验D.以防火墙作为唯一安全边界答案：B解析：零信任架构打破传统的边界信任模型，默认不信任任何网络位置的用户、设备、流量，所有访问请求都需要经过身份核验、权限校验、风险评估后才能放行，核心原则为“永不信任、始终验证”，因此选B。CentOSStream9中默认替代iptables的新一代防火墙框架是（）？A.pfB.ipfwC.nftablesD.firewalld答案：C解析：nftables是Linux内核3.13版本后推出的新一代数据包过滤框架，替代传统的iptables、ip6tables、arptables等工具，CentOSStream9默认使用nftables作为底层防火墙框架，firewalld是运行在用户态的防火墙管理工具，依赖底层框架实现规则配置，因此选C。Docker网络模式中，容器与宿主机共享网络命名空间的是（）？A.bridge模式B.host模式C.overlay模式D.macvlan模式答案：B解析：host模式下容器直接使用宿主机的IP地址、端口范围，与宿主机共享网络命名空间，网络性能最高但隔离性最差；bridge模式是默认模式，容器使用独立网络命名空间，通过Docker网桥与宿主机通信；overlay模式用于跨主机容器通信；macvlan模式为容器分配独立MAC地址，直接接入物理网络，因此选B。KubernetesService类型中，可实现集群外部用户通过公网IP访问的是（）？A.ClusterIPB.NodePortC.LoadBalancerD.ExternalName答案：C解析：LoadBalancer类型的Service会调用云服务商的负载均衡接口分配公网IP，外部用户可直接通过该公网IP访问服务；ClusterIP仅支持集群内部访问，NodePort通过宿主机端口对外暴露服务，ExternalName用于将服务映射到外部域名，因此选C。5G承载网中实现网络切片硬隔离的核心技术是（）？A.VXLANB.FlexEC.GRED.IPsec答案：B解析：FlexE（灵活以太网）通过对物理链路的时隙进行划分，为不同切片分配专属时隙，实现物理层面的硬隔离，隔离度接近专用物理链路，是5G切片的核心承载技术；VXLAN、GRE、IPsec均为逻辑隔离技术，隔离度低于硬隔离，因此选B。等保2.0三级要求中，用户身份鉴别需采用多因素认证，以下不属于多因素认证组合的是（）？A.密码+短信验证码B.密码+UKeyC.指纹+人脸识别D.密码+动态令牌答案：C解析：多因素认证要求组合两种及以上不同类型的鉴别因素，包括所知（密码、验证码）、所有（UKey、动态令牌）、所是（指纹、人脸）；指纹和人脸识别均属于“所是”类因素，属于同类型，不属于多因素认证组合，因此选C。数字孪生网络（DTN）的核心功能不包括（）？A.网络状态实时映射B.故障预判与仿真C.业务自动开发D.网络优化推演答案：C解析：数字孪生网络通过构建物理网络的虚拟镜像，实现网络状态的实时映射、故障预判、优化方案仿真推演等功能，提升网络运维效率；业务自动开发不属于数字孪生网络的核心功能，因此选C。以下IPv6前缀中，可与2408:8000:1001::/48、2408:8000:1002::/48、2408:8000:1003::/48聚合为最长前缀的是（）？A.2408:8000::/32B.2408:8000:1000::/46C.2408:8000:1000::/47D.2408:8000:1000::/45答案：B解析：三个前缀的前46位完全一致，因此最长聚合前缀为2408:8000:1000::/46，因此选B。VXLAN的VNI字段长度为24位，可支持的最大租户数量为（）？A.4096B.16万C.1600万D.42亿答案：C解析：24位VNI可表示的数值范围为0~2^24-1=16777215，即约1600万，因此选C。

18.BGP的以下属性中，属于公认必遵属性的是（）？A.本地优先级（LocalPreference）B.AS路径（AS_Path）C.团体属性（Community）D.多出口区分（MED）答案：B解析：BGP公认必遵属性包括Origin、AS_Path、Next_Hop，所有BGP路由器都必须识别并携带这些属性；本地优先级、MED属于可选非过渡属性，团体属性属于可选过渡属性，因此选B。某网站的域名为，该域名的顶级域是（）？A.wwwB.exampleC.govD.cn答案：D解析：域名的层级从右到左依次升高，最右侧为顶级域，本题中cn为国家顶级域，gov为二级域，example为三级域，www为主机名，因此选D。以下加密算法中，属于我国自主研发的非对称加密算法的是（）？A.AESB.RSAC.SM2D.SM3答案：C解析：SM2是我国自主研发的椭圆曲线非对称加密算法，SM3是国密哈希算法，AES、RSA均为国外研发的加密算法，因此选C。（基础知识科目剩余55道试题覆盖计算机系统基础、网络协议原理、路由交换配置、广域网技术、网络安全、云网融合、运维管理、法律法规、专业英语等考点，核心考点覆盖率100%）

案例分析试题

试题一（20分）

某企业总部位于北京，在上海、广州、成都各设1个分支，原有MPLSVPN专线年运维成本达120万元，现计划改造为“SD-WAN+互联网专线”混合组网架构，要求满足以下需求：1.关键业务（OA、ERP）优先走MPLS专线，端到端时延≤50ms，丢包率≤0.1%；2.非关键业务（员工上网、视频会议）走互联网专线，降低链路成本；3.支持IPv4/IPv6双栈接入，核心业务部署于阿里云杭州Region，分支可通过SD-WAN就近访问云资源；4.启用SRv6作为承载层协议，实现端到端可编程转发。

问题1（6分）

请列出该SD-WAN组网的4个核心组件，并分别简述其功能。参考答案：边缘CPE：部署于各分支、总部出口及阿里云POP点，负责链路状态探测、流量深度识别、选路策略执行、IPsec加密隧道建立；网络控制器：部署于总部核心机房，负责全网拓扑收集、链路状态实时监控、选路策略统一配置下发；业务编排器：对接云服务商开放接口，负责跨域资源调度、云VPC与SD-WAN网络打通、业务生命周期管理；云网关：部署于阿里云POP点，负责SD-WAN隧道与云VPC网络的转换，实现分支用户就近访问云资源，避免绕行总部。问题2（8分）请补全总部核心路由器（华为VRP8.5版本）的SRv6及流量调度配置片段。

#配置IPv6转发能力

[Router]____(1)____

#进入SRv6配置视图

[Router]segment-routingipv6

#配置Locator前缀，静态SID长度为24位

[Router-segment-routing-ipv6]locatorTO_HQipv6-prefix2408:8000:10::/64____(2)____24

#进入OSPFv3视图，使能SRv6

[Router]ospfv31

[Router-ospfv3\-1]router-id

[Router-ospfv3\-1]area0

[Router-ospfv3\-1-area-]segment-routingipv6locatorTO_HQ

#配置ACL匹配ERP业务流量（源地址为分支网段，目的地址为ERP服务器网段/24）

[Router]aclnumber3000

[Router-acl-adv-3000]rulepermitipsource55destination55

#配置流行为，指定优先走MPLS链路

[Router]trafficbehaviorERP_BH

[Router-behavior-ERP_BH]____(3)____nexthop//指定MPLS链路下一跳，优先级为5

#配置流分类，绑定ACL

[Router]trafficclassifierERP_CL

[Router-classifier-ERP_CL]if-matchacl3000

#配置流策略，绑定流分类和流行为

[Router]trafficpolicyERP_POL

[Router-trafficpolicy-ERP_POL]classifierERP_CLbehaviorERP_BH

#在总部出口接口应用流策略

[Router]interfaceGigabitEthernet0/0/1

[Router-GigabitEthernet0/0/1]traffic-policyERP_POL____(4)____//在入方向应用流策略参考答案：ipv6staticiproute-staticpreference5inbound问题3（6分）为保障关键业务的SLA达标，请列出3种可采用的技术手段并简述其原理。参考答案：FlexE硬切片隔离：将MPLS链路的物理时隙划分为专属硬切片给关键业务，实现与非关键业务的物理层带宽隔离，不受其他流量突发影响；智能选路动态调整：CPE实时探测各链路的时延、丢包、抖动参数，当MPLS链路SLA不达阈值时，自动将关键业务切换到备用互联网专线，保障业务连续性；FEC前向纠错：对关键业务报文添加纠错冗余码，传输过程中出现少量丢包时可通过冗余码直接恢复，无需重传，降低端到端丢包率。试题二（18分）某互联网企业使用CentOSStream9云服务器部署业务，采用Nginx作为反向代理服务器，后端对接3台Tomcat应用服务器，使用Docker部署Redis7.0缓存服务，自建Bind9提供域名解析服务，要求实现HTTPS加密访问、会话保持、负载均衡。问题1（5分）请补全Nginx的核心配置片段。

#配置Tomcat负载均衡池

upstreamtomcat_cluster{

server0:8080weight=3;

server1:8080weight=2;

server2:8080weight=1;

____(1)____;#开启会话保持，同一IP的请求转发到同一后端服务器

}

server{

listen443____(2)____;#监听443端口并启用SSL

server_name;

ssl_certificate____(3)____;#证书文件路径为/etc/nginx/cert/fullchain.pem

ssl_certificate_key/etc/nginx/cert/privkey.pem;

ssl_protocolsTLSv1.2TLSv1.3;#禁用不安全的TLS版本

location/{

____(4)____http://tomcat_cluster;#转发请求到负载均衡池

proxy_set_headerHost$host;

proxy_set_headerX-Real-IP$remote_addr;

}

}参考答案：ip_hashssl/etc/nginx/cert/fullchain.pemproxy_pass问题2（6分）该企业需要创建自定义Docker桥接网络，网段为/16，网关为，要求Redis容器使用该网络，固定IP为0，端口映射为宿主机6379对应容器6379，访问密码设置为Test@2026，开机自启动。请写出对应的Docker命令。参考答案：创建自定义桥接网络：

dockernetworkcreate--subnet=/16--gateway=redis_net启动Redis容器：

dockerrun-d--nameredis_server--networkredis_net--ip0-p6379:6379--restart=alwaysredis:7.0--requirepass"Test@2026"问题3（7分）请简述Bind9中A记录、AAAA记录、CNAME记录的作用，并写出将映射到IPv4地址的A记录配置片段。参考答案：作用说明：A记录：将域名映射到IPv4地址，是最常用的域名解析记录类型；AAAA记录：将域名映射到IPv6地址，用于IPv6网络的域名解析；CNAME记录：将域名映射到另一个域名，实现域名别名跳转，常用于CDN、负载均衡场景。A记录配置片段（位于正向解析zone文件中）：

wwwINA试题三（18分）某省级政务系统按照等保2.0三级要求建设，现需部署零信任安全架构，要求实现：1.所有接入终端需经过多因素认证；2.业务访问遵循最小权限原则；3.异常流量实时检测告警；4.数据传输全程采用国密算法加密。问题1（6分）请列出零信任架构的三大核心组件，并分别简述其功能。参考答案：身份管理系统（IAM）：负责用户、终端、应用的全生命周期身份管理，提供多因素认证、权限赋值、身份审计能力，是零信任的身份基础；策略引擎（PE）：负责收集身份属性、终端安全状态、环境风险等多维度数据，基于最小权限原则生成动态访问控制策略，是零信任的决策核心；策略执行点（PEP）：部署在业务入口、终端、网络边界，负责执行策略引擎下发的访问控制规则，拦截未授权访问请求，是零信任的执行层组件。问题2（6分）等保2.0三级的网络和通信安全要求中，明确要求保障通信传输的保密性和完整性，请列出3种符合国密要求的实现技术，并说明适用场景。参考答案：SM2/SM4加密的TLS协议：替换传统的RSA/AES加密算法，用于Web业务、API接口的传输加密，保障客户端到服务器的应用层通信保密性；SM2加密的IPsecVPN：用于跨区域分支、移动办公用户接入内网的网络层通信加密，保障跨公网传输的安全性；SM3哈希校验：对传输报文添加SM3哈希值，接收端校验哈希值是否一致，防止报文被篡改，保障通信传输完整性，适用于所有业务的传输校验场景。问题3（6分）该政务系统要求每周开展一次漏洞扫描，每月开展一次渗透测试，请列出漏洞扫描的3个核心流程，以及渗透测试中禁止使用的2种攻击手段。参考答案：漏洞扫描核心流程：资产梳理：明确扫描范围，梳理所有服务器、网络设备、应用系统、数据库的IP/域名清单，避免漏扫；漏洞探测：使用符合等保要求的商用漏洞扫描工具，加载最新漏洞规则库，开展全端口、全维度漏洞探测；漏洞验证与定级：对扫描出的漏洞进行人工验证，按照CVSS3.1标准定级，给出对应的补丁升级、配置优化建议。禁止使用的攻击手段：拒绝服务类攻击（DDoS、CC攻击）：避免导致业务中断，影响政务服务正常运行；数据窃取、删改操作：防止泄露政务敏感数据，破坏业务数据的完整性和可用性。试题四（19分）某制造企业建设5G工业互联网网络，部署3个网络切片分别用于PLC控制、工业视觉检测、办公数据回传，近期出现PLC控制切片时延过高、丢包率超标的问题，导致生产线频繁停机。已知该5G承载网采用SPN架构