2025年下半年网络工程师案例分析真题及答案解析

2025年下半年网络工程师案例分析真题及答案解析试题一（20分）【场景】某中型企业2025年新建园区网络，覆盖3栋办公楼、1个数据机房，终端规模如下：行政部终端117台、研发部终端252台、市场部终端174台、访客终端最大并发80台、服务器区业务服务器共29台、网络设备管理地址预留30个。网络出口配置电信、联通两条1Gbps专线，内网核心采用双机堆叠架构，接入层交换机支持POE+供电，所有终端采用DHCP方式获取IP地址，要求不同部门终端二层隔离，研发部终端禁止访问互联网仅可访问服务器区研发业务系统。【问题1】（6分）请根据终端规模完成以下IP地址规划，采用/16私网地址段，要求每个VLAN的地址段满足终端规模且尽可能减少地址浪费，填写表1-1空缺项。表1-1地址规划表区域终端规模子网掩码网络地址可用地址范围研发部252（1）（2）市场部174（3）~54行政部117（4）~26访客区8028（5）（6）该网络核心交换机配置DHCPServer功能，完成以下配置命令补全（交换机采用华为VRP8.X操作系统）。1.开启DHCP服务：<Core>system-view[Core]（7）2.配置研发部VLANIF10的DHCP地址池，绑定网关，配置DNS地址为，禁止该地址池分配的IP访问互联网：[Core]vlanbatch10203040[Core]interfaceVlanif10[Core-Vlanif10]ipaddress[Core-Vlanif10]dhcpselectglobal[Core-Vlanif10]quit[Core]ippoolR&D[Core-ip-pool-R&D]networkmask[Core-ip-pool-R&D]gateway-list（8）[Core-ip-pool-R&D]dns-list[Core-ip-pool-R&D]excluded-ip-address5054//预留静态地址[Core-ip-pool-R&D]leaseday7hour0minute0[Core-ip-pool-R&D]quit//配置策略路由禁止研发部上网[Core]aclnumber3000[Core-acl-adv-3000]ruledenyipsource55destination（9）0[Core-acl-adv-3000]rulepermitipsource55destination55//允许访问服务器区[Core-acl-adv-3000]quit【问题3】（7分）该企业出口部署两台防火墙做主备冗余，采用静态路由结合NQA实现链路故障自动切换，完成以下描述补全。1.电信链路的默认路由优先级配置为60，联通链路默认路由优先级配置为（10），实现电信为主链路、联通为备链路。2.NQA测试实例需要检测电信网关的连通性，当连续（11）次检测失败后判定链路故障，自动切换到联通链路，NQA测试的发包间隔默认是（12）毫秒。3.出口防火墙需要配置源NAT实现内网用户上网，若要求所有内网用户访问互联网时统一转换为电信链路的公网地址3、联通链路转换为公网地址8，该NAT类型属于（13），若需要将服务器区的OA服务器0的80端口映射到公网4的8080端口供外部访问，该NAT类型属于（14），配置该映射时需要在防火墙的域间策略中放行（15）域到（16）域的访问流量。【试题一参考答案及解析】问题1：（1）解析：252台终端需要至少254个可用地址，/24网段可用地址254，刚好满足，掩码为（2）~54解析：/24网段网络地址为，广播地址55，可用地址为首尾之间的地址（3）解析：市场部掩码24位，按顺序分配网段（4）28解析：117台终端需要至少126个可用地址，/25网段可用地址126，掩码为28（5）28解析：行政部用了/25，访客区80台终端需/25网段，按顺序分配28/25（6）29~54解析：28/25的广播地址为55，可用地址范围为129到254问题2：（7）dhcpenable解析：VRP系统开启DHCP服务的全局命令为dhcpenable（8）解析：VLANIF10的IP地址为研发部网关，需绑定到地址池的gateway-list（9）解析：ACL规则deny研发部访问所有公网地址，目的地址填，通配符0代表任意地址问题3：（10）70解析：静态路由默认优先级为60，备链路优先级需高于主链路（数值越大优先级越低），设置为70即可实现主备切换（11）3解析：NQA默认连续3次检测失败判定链路故障，可根据需求调整（12）1000解析：VRP系统NQAICMP测试实例默认发包间隔为1000毫秒（1秒）（13）源NAT解析：内网访问外网时转换源IP的NAT类型为源NAT，绑定不同出接口公网地址属于多出口源NAT（14）端口地址转换（PAT/目的NAT）解析：将公网地址端口映射到内网服务器地址端口的NAT类型为目的NAT的端口映射场景（15）untrust（16）trust解析：外部用户属于untrust域，服务器属于trust域，需放行untrust到trust的流量。试题二（20分）【场景】某跨区域企业核心层部署3台OSPF路由器，分别为R1（总部核心）、R2（北京分支核心）、R3（上海分支核心），OSPF域划分area0（骨干域）、area1（北京分支域）、area2（上海分支域），R1同时属于area0、area1、area2，R2属于area1，R3属于area2，总部接入层部署两台接入交换机SW1、SW2，和核心交换机SW3组成MSTP组网，实现链路冗余和负载分担。【问题1】（8分）完成OSPF相关配置及原理问题补全。1.R1的GE0/0/1接口IP为/24，属于area0，GE0/0/2接口IP为/24，属于area1，GE0/0/3接口IP为/24，属于area2，补全R1的OSPF配置：<R1>system-view[R1]routerid（17）[R1]ospf1[R1-ospf-1]area0[R1-ospf-1-area-]network（18）55[R1-ospf-1-area-]quit[R1-ospf-1]area1[R1-ospf-1-area-]network55[R1-ospf-1-area-]（19）//配置area1为末梢区域，减少LSA泛洪[R1-ospf-1-area-]quit2.若area2需要引入公网静态路由发布到OSPF域，不能配置为末梢区域，需配置为（20）区域，该区域可以引入本区域的外部路由，但不会接收其他区域的外部路由。3.OSPF协议中，（21）类LSA用于描述区域内的网段和掩码，由区域内的DR产生；（22）类LSA用于描述区域间的路由，由ABR产生；（23）类LSA用于描述AS外部路由，由ASBR产生；若R2需要和R1建立OSPF邻居，两台设备的（24）参数必须一致（至少写1项）。【问题2】（7分）MSTP组网配置如下，SW1为实例1的主根、实例2的备根，SW2为实例2的主根、实例1的备根，VLAN10映射到实例1，VLAN20映射到实例2，补全配置。[SW1]stpregion-configuration[SW1-mst-region]region-nameHUAWEI[SW1-mst-region]revision-level1[SW1-mst-region]instance1vlan10[SW1-mst-region]instance2vlan20[SW1-mst-region]（25）//激活MSTP配置[SW1-mst-region]quit[SW1]stpinstance1rootprimary[SW1]stpinstance2root（26）[SW2]stpregion-configuration[SW2-mst-region]region-nameHUAWEI[SW2-mst-region]revision-level1[SW2-mst-region]instance1vlan10[SW2-mst-region]instance2vlan20[SW2-mst-region]active[SW2-mst-region]quit[SW2]stpinstance2rootprimary[SW2]stpinstance1rootsecondary//配置SW3和SW1、SW2之间的链路为Trunk，允许VLAN10、20通过[SW3]interfaceGigabitEthernet0/0/1[SW3-GigabitEthernet0/0/1]portlink-type（27）[SW3-GigabitEthernet0/0/1]porttrunkallow-passvlan1020[SW3-GigabitEthernet0/0/1]quit4.若SW1和SW2之间的互联链路故障，MSTP的收敛时间为（28）毫秒，相比STP的30秒收敛速度大幅提升，MSTP中处于转发状态的端口可以参与（29）计算，同时转发用户流量。【问题3】（5分）该企业为减少IP地址浪费，在核心交换机配置VLAN聚合，SuperVLAN100包含SubVLAN10、20，SuperVLANIF的IP为/24，SubVLAN10、20属于同一网段，不同SubVLAN二层隔离，三层互通，补全以下描述：1.配置VLAN聚合需要开启SuperVLANIF接口的（30）功能，实现不同SubVLAN之间的三层通信。2.若SubVLAN10的用户需要访问互联网，核心交换机需要配置（31）路由，将网段/24的流量转发到出口防火墙。3.VLAN聚合相比普通VLAN规划的优势为（32）（答2点即可）。【试题二参考答案及解析】问题1：（17）解析：OSPFRouterID要求全网唯一，推荐使用核心接口IP或环回口地址。（18）解析：GE0/0/1接口属于/24网段，area0下宣告该网段。（19）stub解析：stub（末梢）区域不会接收AS外部LSA，减少路由表规模。（20）NSSA解析：NSSA（非完全末梢区域）允许引入本区域的外部路由，不会接收其他区域的外部路由，符合题干需求。（21）2解析：OSPF2类LSA为网络LSA，由DR产生，描述本网段的所有路由器接口。（22）3解析：3类LSA为网络汇总LSA，由ABR产生，描述区域间的路由条目。（23）5解析：5类LSA为AS外部LSA，由ASBR产生，描述到AS外部的路由。（24）区域号/Hello时间/Dead时间/认证密码（任意1项即可）解析：OSPF邻居建立的必要条件包括区域号一致、Hello/Dead间隔一致、认证信息一致等。问题2：（25）active解析：MSTP区域配置完成后需要执行active命令激活配置，否则配置不生效。（26）secondary解析：SW1为实例2的备根，配置命令为stpinstance2rootsecondary。（27）trunk解析：交换机之间互联链路需要透传多个VLAN，配置为Trunk类型。（28）200解析：MSTP采用快速收敛机制，链路故障后的收敛时间为200毫秒。（29）生成树解析：MSTP转发状态的端口既参与生成树计算，也转发用户流量。问题3：（30）本地ARP代理解析：SuperVLAN下不同SubVLAN属于同一网段，二层隔离，需要开启本地ARP代理实现三层互通。（31）默认解析：访问互联网的未知路由需要通过默认路由转发到出口设备。（32）减少IP地址浪费、简化VLAN规划、减少路由表条目（任意2点即可）解析：VLAN聚合将多个VLAN合并到同一网段，避免每个VLAN单独分配网段造成的地址浪费，同时减少路由表条目数量。试题三（20分）【场景】某企业总部和深圳分支需要建立IPsecVPN实现内网业务互访，同时为移动办公员工部署SSLVPN实现远程访问内网资源，出口采用华为USG6000系列防火墙，总部内网网段为/24，分支内网网段为/24，总部公网地址为0，分支公网地址为2。【问题1】（9分）完成IPsecVPN的配置及原理补全。1.IPsecVPN采用IKEv2协议建立隧道，相比IKEv1的优势为（33）（答2点即可）。2.总部防火墙配置ACL定义感兴趣流：[USG]aclnumber3001[USG-acl-adv-3001]rulepermitipsource55destination（34）553.配置IKE安全提议，采用预共享密钥认证，加密算法为AES-256，哈希算法为SHA2-256：[USG]ikeproposal10[USG-ike-proposal-10]authentication-methodpre-share[USG-ike-proposal-10]encryption-algorithmaes-256[USG-ike-proposal-10]authentication-algorithm（35）[USG-ike-proposal-10]quit4.IPsec安全协议采用ESP，封装模式为隧道模式，ESP的加密算法为AES-256，认证算法为SHA2-256：[USG]ipsecproposal10[USG-ipsec-proposal-10]transformesp[USG-ipsec-proposal-10]espencryption-algorithmaes-256[USG-ipsec-proposal-10]espauthentication-algorithmsha2-256[USG-ipsec-proposal-10]encapsulation-mode（36）[USG-ipsec-proposal-10]quit5.IPsecSA的生存时间默认是（37）秒，到期后会自动协商新的SA，若要实现分支IP动态变化时也能建立VPN隧道，IKE协商模式需配置为（38）模式。6.隧道建立后，若要实现分支用户访问互联网流量直接从本地出口转发，不需要走总部隧道，该技术称为（39），配置该技术后需要在分支的感兴趣流ACL中配置（40）规则，拒绝内网访问互联网的流量进入VPN隧道。【问题2】（7分）完成SSLVPN的配置及原理补全。1.SSLVPN工作在OSI模型的（41）层，相比IPsecVPN的优势为（42）（答2点即可）。2.该企业SSLVPN采用Web代理、TCP代理、IP全通三种接入方式，员工仅需要访问内网OA系统的Web页面，采用（43）接入方式即可；员工需要访问内网的远程桌面服务器（3389端口），采用（44）接入方式即可；员工需要访问内网所有业务系统，采用（45）接入方式。3.SSLVPN的用户认证采用用户名+密码+短信验证码的方式，该认证方式属于（46）认证，安全等级高于单因素认证。【问题3】（4分）该企业防火墙配置入侵防御系统（IPS）实现威胁防护，补全以下描述：1.IPS工作在（47）模式，能够实时阻断攻击流量，相比IDS的旁路模式具备主动防御能力。2.若要防护针对服务器的SQL注入、XSS跨站脚本攻击，需要开启IPS的（48）特征库的检测规则；若要防护勒索软件攻击，需要开启（49）特征库的检测规则。3.防火墙的特征库需要定期（50），确保能够检测到最新的攻击行为。【试题三参考答案及解析】问题1：（33）协商速度更快、支持NAT穿越、支持更多认证方式（任意2点即可）解析：IKEv2相比IKEv1减少了协商报文数量，协商速度提升，原生支持NAT穿越，安全性更高。（34）解析：感兴趣流为总部到分支的内网流量，目的地址为分支内网网段/24。（35）sha2-256解析：题干要求哈希算法为SHA2-256，authentication-algorithm后配置sha2-256。（36）tunnel解析：跨公网的IPsecVPN常规采用隧道模式封装，将原始IP报文封装到新的IP报文中传输。（37）3600解析：华为USG防火墙IPsecSA默认生存时间为3600秒（1小时）。（38）野蛮解析：IKEv1的野蛮模式支持对端IP动态变化的场景，IKEv2默认支持动态IP。（39）分离隧道解析：分离隧道技术将访问内网的流量引入VPN隧道，访问互联网的流量直接从本地出口转发，节省总部带宽。（40）deny解析：ACL中需要先deny内网到互联网的流量，再permit内网到总部的流量，确保互联网流量不进入隧道。问题2：（41）应用解析：SSLVPN基于TCP443端口传输，工作在应用层。（42）无需安装客户端、支持终端类型更多、穿越NAT能力强（任意2点即可）解析：SSLVPN支持Web方式接入，无需安装专用客户端，适合移动办公场景。（43）Web代理解析：仅访问Web页面的场景采用Web代理方式，无需安装客户端，直接通过浏览器访问。（44）TCP代理（端口转发）解析：访问特定TCP端口的业务系统采用TCP代理（端口转发）方式即可。（45）IP全通（网络扩展）解析：需要访问内网所有资源的场景采用IP全通（网络扩展）方式，为终端分配内网IP，访问体验和内网一致。（46）多因素解析：两种及以上认证方式结合属于多因素认证，安全等级更高。问题3：（47）串接（Inline）解析：IPS采用串接模式部署在网络链路中，能够实时检测并阻断攻击流量。（48）Web应用防护解析：SQL注入、XSS属于Web应用层攻击，需要开启Web应用防护特征库检测。（49）恶意代码解析：勒索软件属于恶意代码，需要开启恶意代码特征库检测。（50）升级（更新）解析：特征库需要定期升级到最新版本，才能检测到最新的攻击手段。试题四（15分）【场景】某企业办公楼部署Wi-Fi6无线网络，采用华为AC6800+AP7060DN的瘦AP架构，AC部署在核心机房，AP通过POE交换机供电，所有AP采用CAPWAP隧道和AC通信，要求员工接入采用WPA3-Enterprise认证，访客接入采用短信认证，SSID隐藏不广播。【问题1】（6分）完成无线网络规划补全。1.Wi-Fi6对应的IEEE标准为（51），相比Wi-Fi5的核心技术提升为（52）（答2点即可），单条空间流的最高协商速率为（53）Mbps。2.该办公楼共有8个AP，所有AP工作在2.4G和5G双频段，2.4G频段的非重叠信道为（54）（写出3个即可），相邻AP的信道需要错开，避免同频干扰。3.AP的供电采用802.3af标准，单AP的最大功率为15.4W，若POE交换机的单端口供电功率最大为30W，该标准为（55），可以满足更高功率的AP需求。4.若AP和AC之间跨三层网络，AP需要通过（56）协议发现AC的IP地址，完成CAPWAP隧道建立。【问题2】（5分）完成AC的配置补全。1.配置员工SSID，采用WPA3-Enterprise认证，绑定RADIUS服务器做认证：[AC]wlan[AC-wlan-view]ssid-profilenameemployee[AC-wlan-ssid-employee]ssidEmployee_WiFi[AC-wlan-ssid-employee]ssid-hideenable//隐藏SSID[AC-wlan-ssid-employee]quit[AC-wlan-view]security-profilenameemployee[AC-wlan-sec-employee]securitywpa3enterpriseaes[AC-wlan-sec-employee]authentication-method（57）//绑定RADIUS认证[AC-wlan-sec-employee]quit2.配置访客SSID，采用短信认证，访客的认证页面由AC推送，该页面称为（58）页面，访客认证通过后默认的上网时长为（59）小时，到期后需要重新认证。3.若要实现AP的射频功率自动调整，避免同频干扰，需要开启AC的（60）功能；若要实现无线用户在不同AP之间移动时不中断网络，需要开启（61）功能。【问题3】（4分）无线网络故障排查：1.某员工终端无法搜索到员工SSID，其他终端可以正常搜索，最可能的原因为（62）；若所有终端都无法搜索到SSID，最可能的原因为（63）。2.某区域的无线用户上网卡顿，测试信号强度为-75dBm，协商速率为10Mbps，最可能的原因为（64），优化方式为（65）。【试题四参考答案及解析】问题1：（51）802.11ax解析：Wi-Fi6对应的IEEE标准为802.11ax，Wi-Fi5为802.11ac。（52）OFDMA正交频分多址、1024QAM调制、上下行MU-MIMO（任意2点即可）解析：Wi-Fi6的核心技术包括OFDMA、MU-MIMO等，大幅提升多用户场景下的接入能力和速率。（53）1201解析：Wi-Fi6单条5G空间流的最高协商速率为1201Mbps，Wi-Fi5为867Mbps。（54）1、6、11解析：2.4G频段的非重叠信道为1、6、11，相邻AP配置不同信道避免干扰。（55）802.3at（PoE+）解析：802.3at标准（PoE+）的单端口最高供电功率为30W，满足高功率AP的需求。（56）DHCPOption43解析：跨三层场景下，AP通过DHCPOption43字段获取AC的IP地址，完成CAPWAP隧道建立。问题2：（57）802.1x解析：WPA3-Enterprise采用802.1x认证，结合RADIUS服务器实现用户身份认证。（58）Portal（认证门户）解析：访客认证推送的页面为Portal页面，用户输入账号密码或验证码完成认证。（59）8解析：访客认证默认的有效期为8小时，到期后需要重新认证。（60）射频资源管理（RRM）解析：AC的RRM功能可以自动调整AP的信道和功率，降低干扰。（61）快速漫游（802.11r）解析：802.11r快速漫游功能实现无线用户在AP之间移动时无感知切换，不中断业务。问题3：（62）该终端不支持WPA3认证/终端无线功能未开启解析：个别终端无法搜索到SSID，大概率为终端本身的问题，比如不支持WPA3或者无线功能关闭。（63）AP故障/AC配置错误导致SSID未下发解析：所有终端都无法搜索到SSID，说明SSID未正常广播，可能是AP故障或者AC配置错误未下发SSID。（64）同频干扰严重/AP接入用户过多解析：信号强度正常但协商速率低，大概率为同频干扰或者AP接入用户数量超过负载。（65）调整相邻AP的信道/扩容增加AP覆盖解析：针对同频干扰可以调整AP信道，用户过多则需要增加AP数量分担负载。试题五（25分）【场景】某企业将业务系统部署在阿里云ECS服务器上，操作系统为CentOS7.9，服务器部署在VPC/16网段，公网IP为4，需要配置网络参数、防火墙、Docker容器环境，同时配置VPC的安全组、路由表实现访问控制。【问题1】（8分）完成CentOS服务器的网络配置补全。1.服务器的网卡名为eth0，配置静态IP为0/24，网关为54，DNS为，修改网卡配置文件/etc/sysconfig/network-scripts/ifcfg-eth0的参数：TYPE=EthernetBOOTPROTO=（66）NAME=eth0DEVICE=eth0ONBOOT=yesIPADDR=0PREFIX=24GATEWAY=（67）DNS1=2.修改完成后，执行（68）命令重启网络服务，使配置生效；执行（69）命令查看当前的路由表信息；执行（70）命令测试服务器到公网的连通性。3.若要实现服务器开机自动启动sshd服务，执行（71）命令；若要开放22、80、443端口，需要配置firewalld防火墙，执行（72）命令永久开放80端口，执行（73）命令重新加载防火墙配置使规则生效。【问题2】（7分）完成Docker容器的网络配置补全。1.Docker的默认网络模式有bridge、host、none、container四种，其中（74）模式的容器和宿主机共享网络命名空间，网络性能最高；（75）模式的容器没有任何网络接口，安全性最高。2.部署Nginx容器，将容器的80端口映射到宿主机的8080端口，启动命令为dockerrun-d-p（76）--namenginxnginx:latest；若要让容器和宿主机的VPC网段互通，需要创建（77）网络模式的Docker网络，指定网段为/16。3.若要查看容器的IP地址，执行（78）命令；若要测试容器和宿主机的连通性，进入容器后执行（79）命令测试；若要实现容器的跨主机通信，采用（80）技术（例如Flannel、Calico）实现。【问题3】（10分）完成VPC的配置及原理补全。1.阿里云VPC的核心组件包括交换机、路由表、安全组、EIP、NAT网关等，其中（81）用于实现VPC内的子网划分，（82）是云服务器的状态防火墙，实现端口级的访问控制，（83）用于实现内网服务器访问互联网，（84）用于实现公网用户访问内网服务器。2.该企业有两个VPC，VPC-A（/16）和VPC-B（/16），需要实现两个VPC之间的内网互通，采用（85）技术实现；若要实现VPC和线下IDC的内网互通，采用（86）专线或IPsecVPN实现。3.安全组的规则默认采用（87）（白名单/黑名单）机制，默认拒绝所有入方向流量，允许所有出方向流量；若要允许公网所有IP访问ECS的80端口，安全组入方向规则的源地址为（88），目的端口为80，协议为TCP。4.若ECS服务器的公网IP被DDoS攻击，阿里云的（89）服务可以清洗攻击流量，保障业务正常运行；若要实现HTTPS访问的加速和防护，需要配置（90）服务，将静态资源缓存到边缘节点，提升用户访问速度。【试题五参考答案及解析】问题1：（66）static解析：配置静态IP需要将BOOTPROTO设置为static，dhcp为动态获取IP。（67）54解析：题干给出网关为54，填写到GATEWAY参数。（68）systemctlrestartnetwork