2026年最-新网络工程师(中级)考试(下午题)试题与答案

2026年最新网络工程师(中级)考试(下午题)试题与答案试题一（15分）某中型智能制造企业2026年启动总部+3个异地分支（华东、华南、西南）的组网升级项目，需求如下：1.全网支持IPv4/IPv6双栈，总部私网IPv4地址段为/16，IPv6公网分配前缀为2409:8a12:100::/48；2.总部出口配置2条运营商专线（1000M主用、500M备用），分支各配置1条500M专线+1条500M互联网链路，采用SD-WAN实现跨站点智能选路；3.生产业务端到端时延≤20ms、丢包率≤0.1%，优先保障生产带宽。问题1（6分）按最小粒度完成地址规划：（1）总部划分4个业务段：核心生产段、办公网段、运维管理段、DMZ段，每个业务段可用IP数不低于200个，写出各段IPv4CIDR地址；（2）3个分支各分配1个IPv4/24地址段、1个IPv6/56地址段，写出3个分支的IPv4地址段及对应IPv6前缀。问题2（5分）给出核心层、接入层、出口网关三类设备的核心功能要求，每类至少列2项。问题3（4分）简述SD-WAN场景下生产、办公、上网三类流量的QoS调度策略。试题一参考答案问题1（每小点0.75分，共6分）（1）IPv4地址规划：核心生产段：/24，可用IP254个；办公网段：/24，可用IP254个；运维管理段：/24，可用IP254个；DMZ段：/24，可用IP254个。（2）分支地址规划：华东分支：IPv4/24，IPv6前缀2409:8a12:100:100::/56；华南分支：IPv4/24，IPv6前缀2409:8a12:100:200::/56；西南分支：IPv4/24，IPv6前缀2409:8a12:100:300::/56。问题2（共5分）1.出口网关（2分）：支持SD-WANOverlay隧道封装、IPsec加密、双栈NAT、智能选路功能；支持链路质量实时探测，可根据时延、丢包率自动切换流量路径。2.核心层交换机（2分）：支持VXLAN、BGPEVPN协议，支持三层线速转发，交换容量≥12.8Tbps，支持双电源双主控冗余。3.接入层交换机（1分）：支持PoE+供电、802.1x身份认证、IPv6ACL，支持端口限速、广播风暴抑制功能。问题3（共4分）1.生产流量：映射为DSCPEF（快速转发）等级，预留总带宽的40%，优先级最高，优先选择时延最低的专线链路传输，链路质量不达标时秒级切换到备用链路；2.办公流量：映射为DSCPAF41等级，预留总带宽的30%，优先级次之，选择链路负载最低的路径传输；3.上网流量：映射为DSCPBE等级，占用剩余带宽，优先级最低，优先走互联网链路传输，带宽不足时先限制上网流量速率。试题二（15分）某企业核心层采用两台框式交换机S1、S2做CSS集群，下联接入层交换机，上联SD-WAN出口网关R1；全网采用OSPFv3实现底层网络路由互通，核心层与R1之间部署BGPEVPN实现跨站点VXLAN二层互通，核心层配置VRRPv6为终端提供默认网关冗余。问题1（5分）补全S1的OSPFv3核心配置，括号内为需填写内容。```sysnameS1ipv6//全局开启IPv6功能ospfv31router-id(1)//配置OSPFv3进程1的RouterID为vlanbatch102030interfaceVlanif10ipv6enableipv6address2409:8a12:100:1::1/64ospfv31area(2)//核心业务段划入骨干区域ospfv3network-typebroadcastinterfaceGigabitEthernet0/0/21//连接西南分支的接口ipv6enableipv6address2409:8a12:100:ff::1/64ospfv31area1ospfv3(3)//配置该接口为静默接口，禁止向下游终端发送OSPF报文ospfv31area1(4)//区域1配置为末梢区域，减少分支路由条目数量default-cost(5)//下发的默认路由开销为10```问题2（6分）补全S1的BGPEVPN及VRRPv6配置，括号内为需填写内容。```routerbgp65001peeras-number65001//对等体为R1的Loopback地址peerconnect-interfaceLoopBack0address-family(6)//进入EVPN地址族视图peerenableadvertisel2vpnevpninterfaceVlanif10ipv6address2409:8a12:100:1::2/64vrrp6vrid10virtual-ip(7)link-local//配置虚拟链路本地地址vrrp6vrid10virtual-ip2409:8a12:100:1::1vrrp6vrid10priority(8)//配置S1的VRRP优先级为120，高于S2的100成为主设备vrrp6vrid10trackinterfaceGigabitEthernet0/0/20reduced30//跟踪上联R1的接口，故障时优先级降30```问题3（4分）简述OSPFv3相对于OSPFv2的核心差异，至少列4点。试题二参考答案问题1（每空1分，共5分）（1）（2）（或0）（3）silent-interface（4）stub（5）10问题2（每空2分，共6分）（6）evpn（7）fe80::a00:1（任意合法fe80::/10段地址即可）（8）120问题3（每点1分，共4分）1.基于IPv6协议栈运行，支持IPv6路由发布，OSPFv2仅支持IPv4；2.采用链路本地地址作为邻居协商的源地址，同一链路上的设备无需配置全局IPv6地址即可建立邻居；3.移除了地址类LSA，新增LSA类型支持IPv6前缀发布，路由计算逻辑更简洁；4.支持实例化部署，同一接口下可运行多个OSPFv3实例，实现不同业务的路由隔离。试题三（15分）某金融企业2026年开展等保2.0三级合规改造，同时部署零信任访问体系替代传统VPN，实现终端、用户、应用的全链路访问管控。问题1（5分）列出等保2.0三级要求中网络和通信安全的5个核心控制点，每个控制点简要说明要求。问题2（6分）（1）写出零信任架构的4个核心组件名称；（2）简述零信任的访问授权流程。问题3（4分）该企业要求对IPv6网络边界做安全加固，列出4项核心加固措施。试题三参考答案问题1（每点1分，共5分）1.网络架构：网络分区明确，核心层、汇聚层、接入层层级清晰，关键链路和设备实现冗余，带宽满足业务峰值需求；2.通信传输：核心业务数据传输采用国密级加密算法，支持完整性校验，IPv4/IPv6双栈场景下均需实现传输加密；3.访问控制：基于最小权限原则配置访问控制规则，禁止默认允许所有访问，跨区域访问需经过ACL过滤；4.入侵防范：边界部署入侵防御系统（IPS），可识别并阻断漏洞利用、暴力破解等攻击行为，攻击日志留存≥6个月；5.集中管控：部署网络安全管理平台，实现全网设备、安全事件的统一监控、分析和处置。问题2（共6分）（1）核心组件（2分，每个0.5分）：策略决策点（PDP）、策略执行点（PEP）、策略信息点（PIP）、策略管理点（PRP）。（2）访问流程（4分）：①用户/终端发起应用访问请求，流量先被PEP（零信任网关）拦截；②PEP将访问请求、用户身份、终端环境信息提交给PDP做权限判定；③PDP调用PIP存储的用户权限、终端安全基线、应用访问策略等数据，按照最小权限原则做决策；④若符合访问要求，PEP放行并下发细粒度访问策略，仅开放该用户所需的应用端口和权限；若不符合则直接拦截请求。问题3（每点1分，共4分）1.部署RAGuard功能，禁止非法路由器发送路由通告报文，防止终端获取错误的IPv6网关地址；2.配置DHCPv6Snooping，过滤非法DHCPv6服务器报文，防止终端获取错误的IPv6地址和DNS服务器地址；3.配置IPv6ACL，禁止外部网络主动访问内部私网地址段，仅放行已建立会话的回包；4.开启IPv6源地址验证功能，防止IPv6地址欺骗攻击。试题四（15分）某互联网企业2026年部署Wi-Fi7网络覆盖3000㎡高密办公区和2000㎡生产测试区，同时采用Python+Zabbix实现网络自动化运维。问题1（5分）（1）列出Wi-Fi7的3项核心技术特性；（2）给出高密办公区和生产测试区的AP部署要求，每个区域至少2项。问题2（6分）企业采用Python基于Netmiko库编写交换机巡检脚本，要求：登录核心交换机采集CPU利用率，若CPU利用率连续3次超过85%则发送钉钉告警。补全脚本空缺内容。```pythonfromnetmikoimportConnectHandlerimportrequestsimporttimedev={'device_type':'huawei_vrpv8','host':'0','username':'admin','password':'xxx','port':22,}defget_cpu_usage():conn=ConnectHandler(dev)output=conn.send_command((1))importreres=re.search(r'5minutes\s+:\s+(\d+)%',output)ifres:returnint(res.group(1))conn.disconnect()defsend_alert(msg):webhook="/robot/send?access_token=xxx"data={"msgtype":"text","text":{"content":f"网络告警：{msg}"}}requests.post((2),json=data,headers={"Content-Type":"application/json"})if__name__=="__main__":count=0foriinrange(3):cpu=get_cpu_usage()ifcpu>85:count+=1(3)#每次采集间隔1分钟ifcount==3:send_alert(f"核心交换机CPU利用率连续3次超过85%，当前值：{cpu}%")```问题3（4分）简述Zabbix监控IPv6接口连通性的配置流程。试题四参考答案问题1（共5分）（1）核心特性（3分，每点1分）：320MHz超大带宽、4096-QAM调制、多链路聚合（MLO）、多资源单元（Multi-RU）调度（任选3项即可）。（2）部署要求（2分）：高密办公区：采用内置智能天线的吸顶AP，支持频段导航，引导5GHz/6GHz终端优先接入更高频段，开启智能漫游，终端信号强度低于-75dBm时强制漫游到最近AP；生产测试区：采用IP67防护等级的宽温AP，开启频谱分析功能，实时识别并规避工业信号干扰。问题2（每空2分，共6分）（1）'displaycpu-usage'（2）webhook（3）time.sleep(60)问题3（共4分）1.配置被监控设备的IPv6地址，开启ICMPv6权限，允许Zabbix服务器的IPv6地址发送ping请求；2.在Zabbix控制台添加被监控设备的IPv6接口，绑定ICMPv6监控模板；3.配置监控项：类型选择“外部检查”，键值为“icmping6[{HOST.IP6},1000,3]”，即每次发送3个ICMPv6报文，超时时间1000ms；4.配置触发器：当监控项返回的丢包率≥30%时触发告警，告警级别设置为严重。试题五（15分）某零售企业2026年采用“私有云+公有云”的混合云架构，核心交易系统部署在本地私有云，线上商城部署在阿里云、腾讯云两个公有云节点，要求实现多云互联和流量智能调度。问题1（5分）该企业选择SD-WAN作为多云互联方案，简述该方案相比传统云专线、IPsecVPN的优势，至少列3点。问题2（6分）该企业公有云环境采用Kubernetes部署线上商城，回答以下问题：（1）简述Kubernetes中ClusterIP、NodePort、LoadBalancer三类Service的适用场景；（2）写出Ingress资源配置的核心字段，实现将域名映射到集群内的shop-svc服务的80端口。问题3（4分）简述多云场景下流量智能调度的实现逻辑。试题五参考答案问题1（共5分）1.成本优势：相比云专线，SD-WAN可复用互联网链路实现多云互联，专线成本降低40%以上；2.智能选路：支持根据链路质量、业务类型自动选择最优路径，核心交易业务走低时延专线，静态资源访问走互联网链路，资源利用率提升60%；3.快速开通：相比云专线开通周期≥7天，SD-WAN支持零配置部署，新的云节点接入仅需1-2小时；4.安全可靠：支持IPsec加密传输、威胁检测功能，相比传统IPsecVPN可实现端到端的流量可视化和故障自动切换，可用性达9