2026年计算机技术与软件专业技术资格水平评价考试网络工程师真题

2026年计算机技术与软件专业技术资格水平评价考试网络工程师真题一、网络规划与设计（15分）某企业新建园区网络，园区内有研发部（约200台主机）、行政部（约80台主机）、财务部（约40台主机），另有服务器区（约20台主机）。企业申请到一个网段10.10.0.0/22，要求合理划分子网，满足各部门需求并留有余量。网络采用三层架构，核心层、汇聚层、接入层。路由协议拟采用OSPF。1.（4分）请为研发部、行政部、财务部、服务器区各规划一个子网，写出子网地址、子网掩码（或前缀长度）、可用主机范围、网关地址。要求每个子网满足至少20%的地址余量。答案网段10.10.0.0/22共有1024个地址。各部门需求及规划如下（按需求从大到小）：•研发部：需200台，余量20%即至少240个地址，选择子网大小512（/23），子网地址10.10.0.0/23，可用主机范围10.10.0.1~10.10.1.254，网关10.10.0.1。•行政部：需80台，余量20%即至少96个地址，选择子网大小128（/25），子网地址10.10.2.0/25，可用主机范围10.10.2.1~10.10.2.126，网关10.10.2.1。•财务部：需40台，余量20%即至少48个地址，选择子网大小64（/26），子网地址10.10.2.128/26，可用主机范围10.10.2.129~10.10.2.190，网关10.10.2.129。•服务器区：需20台，余量20%即至少24个地址，选择子网大小32（/27），子网地址10.10.2.192/27，可用主机范围10.10.2.193~10.10.2.222，网关10.10.2.193。解析子网划分时需考虑地址块连续性。剩余地址10.10.2.224/27~10.10.3.255可预留用于未来扩展。上述划分满足需求且留有20%以上余量。2.（4分）简述三层网络架构中各层的主要功能，并说明核心层交换机应具备哪些关键特性。答案接入层负责终端设备的接入，提供端口安全、VLAN划分等功能；汇聚层负责将接入层流量汇聚，实施策略（如路由策略、ACL）、VLAN间路由（也可由核心层完成），并进行流量收敛；核心层负责高速转发全网流量，提供高可靠性和冗余性。核心层交换机应具备高交换容量、高转发速率、支持冗余电源和冗余引擎、支持链路聚合、热插拔模块、低延迟、高可靠性等特性。解析核心层是网络骨干，通常采用双机热备、链路冗余。3.（4分）在园区网中，OSPF区域应如何划分？请给出合理建议，并说明OSPF中DR/BDR选举的作用。答案园区网可采用单区域或多区域设计。若网络规模较小（如本园区），可使用单区域OSPF（Area0），简化配置；若规模大，建议划分多个区域，所有区域必须连接Area0，骨干区域负责区域间路由。DR/BDR选举用于广播网络（如以太网）中减少邻接关系数量，DR作为中心交换链路状态信息，BDR作为备份，避免所有路由器之间建立全互联邻接关系，从而减少协议流量和链路状态数据库大小。解析DR/BDR在广播网络中选举，选举优先级默认1，可通过命令修改。4.（3分）如果要求服务器区对外提供服务，且需要从公网访问，应在网络边界配置什么技术？请写出两种常见技术。答案NAT（网络地址转换，如静态NAT、端口映射）和防火墙安全策略。常见技术还有端口映射（PAT）和反向代理。在出口路由器或防火墙上配置NAT将公网IP映射到服务器内网IP，并放行相应服务端口。解析服务器区通常通过映射公网IP的特定端口提供服务，同时防火墙限制访问来源。二、网络设备配置与调试（15分）某企业网络拓扑如下图所示：核心交换机SW1与接入交换机SW2、SW3相连，SW2下接VLAN10（技术部），SW3下接VLAN20（市场部）。三层网关部署在核心交换机SW1上。要求配置VLAN、Trunk、VLAN间路由及DHCP服务。设备为华为S5700系列交换机。1.（4分）在SW1上创建VLAN10和VLAN20，并配置VLANIF接口IP地址（VLAN10网关192.168.10.1/24，VLAN20网关192.168.20.1/24）。请写出配置命令。[SW1]vlanbatch1020

[SW1]interfaceVlanif10

[SW1-Vlanif10]ipaddress192.168.10.1255.255.255.0

[SW1]interfaceVlanif20

[SW1-Vlanif20]ipaddress192.168.20.1255.255.255.0解析：vlanbatch可一次性创建多个VLAN；VLANIF接口为三层接口，配置IP作为网关。2.（4分）在SW1与SW2之间的链路配置Trunk口，允许VLAN10和20通过。假设接口为GigabitEthernet0/0/1。请写出配置命令。[SW1]interfaceGigabitEthernet0/0/1

[SW1-GigabitEthernet0/0/1]portlink-typetrunk

[SW1-GigabitEthernet0/0/1]porttrunkallow-passvlan1020解析：Trunk端口需设置允许通过的VLAN列表。默认只允许VLAN1，需显式放行。3.（4分）在SW1上配置DHCP服务，为VLAN10分配地址池192.168.10.0/24，网关为192.168.10.1，DNS为114.114.114.114。请写出完整配置命令。[SW1]dhcpenable

[SW1]ippoolvlan10

[SW1-ip-pool-vlan10]network192.168.10.0mask255.255.255.0

[SW1-ip-pool-vlan10]gateway-list192.168.10.1

[SW1-ip-pool-vlan10]dns-list114.114.114.114

[SW1-ip-pool-vlan10]quit

[SW1]interfaceVlanif10

[SW1-Vlanif10]dhcpselectglobal解析：需先全局启用DHCP，创建地址池，然后在VLANIF接口上启用DHCP选择全局地址池。4.（3分）接入交换机SW2下联端口应配置为什么端口类型？如果某员工电脑需要同时访问VLAN10和VLAN20的资源，该下联端口能否直接实现？请说明原因。答案接入交换机下联端口应配置为Access端口，只属于一个VLAN。不能直接实现同时访问VLAN10和VLAN20的资源，因为Access端口只能承载一个VLAN的流量，VLAN间通信需通过三层网关（SW1）路由转发。若要同时访问多个VLAN，需使用Trunk端口并配合VLAN间路由（但普通终端通常不需要同时属于多个VLAN）。解析Access端口用于连接终端，Trunk用于交换机之间。三、网络安全配置（15分）某企业网络出口部署了防火墙，内网使用私有地址192.168.1.0/24，公网接口地址为202.100.10.1/30。要求：禁止内网192.168.1.0/24访问外部某游戏服务器202.100.20.5；允许内网用户通过NAT访问互联网；为远程办公员工配置IPsecVPN。1.（5分）在防火墙上配置安全策略，禁止内网192.168.1.0/24访问主机202.100.20.5的任何服务。请写出华为防火墙的配置命令。[FW]security-policy

[FW-policy-security]rulenamedeny_game

[FW-policy-security-rule-deny_game]source-address192.168.1.024

[FW-policy-security-rule-deny_game]destination-address202.100.20.532

[FW-policy-security-rule-deny_game]actiondeny解析：安全策略通过匹配源地址和目的地址实现访问控制，规则名称可自定义。2.（5分）配置源NAT，使内网192.168.1.0/24访问互联网时自动转换为公网接口地址。请写出两种方式：EasyIP和地址池NAT，并说明区别。•EasyIP：[FW]nat-policy

[FW-policy-nat]rulenameeasy_ip

[FW-policy-nat-rule-easy_ip]source-address192.168.1.024

[FW-policy-nat-rule-easy_ip]actionsource-nateasy-ip-地址池NAT（假设公网地址池202.100.10.2~202.100.10.3）：[FW]nataddress-group1

[FW-address-group-1]section0202.100.10.2202.100.10.3

[FW]nat-policy

[FW-policy-nat]rulenamenat_pool

[FW-policy-nat-rule-nat_pool]source-address192.168.1.024

[FW-policy-nat-rule-nat_pool]actionsource-nataddress-group1-区别：EasyIP直接使用出接口的IP地址作为转换后的源地址，适用于单公网IP；地址池NAT使用配置的公网地址池，可提供多个公网IP，支持更多的并发连接，便于端口映射等。解析：NAT策略需要指定源地址、动作。3.（5分）简述配置IPsecVPN的主要步骤（至少4步），并说明IKE协商的两个阶段。答案配置IPsecVPN的主要步骤：（1）定义需要保护的数据流（ACL）；（2）配置IKE提议（加密算法、认证算法、DH组等）；（3）配置IPsec提议（安全协议、封装模式等）；（4）创建安全策略并应用到接口；（5）配置预共享密钥等认证参数。IKE协商分为两个阶段：第一阶段协商建立IKESA（安全关联），用于保护第二阶段协商；第二阶段在IKESA的保护下协商建立IPsecSA，用于实际数据加密传输。解析第一阶段有主模式/野蛮模式，第二阶段使用快速模式。四、网络故障排查（15分）某公司员工反馈无法访问位于同一园区内的服务器（IP地址192.168.10.100）。网络拓扑为：终端PC通过接入交换机连接到核心交换机，服务器也直接连接在核心交换机上。PC的IP地址为192.168.10.20/24，网关192.168.10.1。请根据以下问题进行分析。1.（4分）从终端PC出发，列出常用的故障排查命令及其作用（至少3条）。•ping127.0.0.1：验证本地TCP/IP协议栈是否正常。•ipconfig（或ifconfig）：查看本地IP地址、网关、DNS配置是否正确。•ping192.168.10.1：验证到网关的连通性。•ping192.168.10.100：验证到服务器的连通性。•tracert192.168.10.100：查看数据包经过的路径，定位故障点。•arp-a：查看ARP缓存，检查IP地址到MAC地址的解析是否正常。解析采用从近到远的排查顺序。2.（5分）假设PC能够ping通网关192.168.10.1，但ping不通服务器192.168.10.100。请列举至少三种可能的故障原因，并说明如何用命令进一步定位。•服务器未开机或服务未运行：在PC上ping服务器IP无响应，可通过在核心交换机上ping服务器IP判断，若交换机也ping不通，则问题在服务器或链路。•服务器防火墙阻止了ICMP请求：可在交换机上ping服务器，若通而PC不通，可能是PC与服务器间存在ACL限制或服务器防火墙规则。•核心交换机与服务器之间链路故障或端口配置错误：检查交换机连接服务器的端口状态，使用displayinterface或displayport查看。•服务器IP地址配置错误或冲突：在交换机上执行displayarp查看服务器IP对应的MAC地址，与服务器实际MAC比对。•核心交换机上配置了ACL禁止访问：检查交换机上的ACL规则。解析需分层排查，从物理层到应用层。3.（3分）如果PC和服务器都不在同一VLAN，而是通过VLAN间路由通信，且PC能ping通网关，但ping不通服务器。请分析可能的原因，并重点检查什么配置？答案可能的原因包括：服务器所在VLAN的网关配置错误、核心交换机上对应VLANIF接口未启用或未配置IP、路由不可达、ACL阻止跨VLAN访问等。应重点检查核心交换机上的VLAN配置、VLANIF接口IP是否正确、路由表是否正常（displayiprouting-table）、以及是否配置了安全策略。解析VLAN间路由依赖三层接口，网关必须配置正确。4.（3分）如果使用tracert命令发现数据包到达192.168.10.1后没有后续响应，可能的原因是什么？答案可能原因：•核心交换机上配置了ACL过滤了ICMP或丢弃了后续数据包；•核心交换机到服务器之间的路由缺失或链路故障；•服务器防火墙丢弃了来自其他网段的包；•交换机未开启ICMP响应（但通常不影响转发）；•目标服务器不可达导致无响应。解析tracert显示网关后无响应，说明网关之后的路径存在问题。五、网络管理与新技术应用（15分）某企业需要部署网络管理系统，要求对全网设备进行统一监控、配置管理和日志审计。同时，企业计划引入IPv6和SDN技术逐步改造网络。1.（4分）请比较SNMPv1、v2c、v3的主要区别，并说明在网络管理实践中应优先选择哪个版本及原因。•SNMPv1：第一版，安全性弱，使用团体字（communitystring）认证，功能简单。•SNMPv2c：增强性能（如批量GetBulk），但安全性仍基于团体字，存在安全隐患。•SNMPv3：提供基于用户的安全模型（USM），支持认证、加密和访问控制，安全性高。实践应优先选择SNMPv3，因为其安全性更强，可防止非法访问和篡改