2025年下半年软考中级网络工程师真题及答案解析汇-总

2025年下半年软考中级网络工程师真题及答案解析汇总1.2025年国内运营商骨干算网承载网络已全面规模部署基于IPv6转发平面的分段路由技术，以下关于SRv6标识段SID的描述，正确的是______A.SID总长度固定为32位，兼容传统IPv4转发逻辑B.SID总长度固定为64位，可直接映射MPLS标签栈C.SID总长度固定为128位，原生兼容IPv6转发规范D.SID总长度固定为256位，为扩展加密字段预留空间【答案】C【解析】SRv6是IETF定义的面向算网融合的新一代分段路由标准，基于IPv6原生架构设计，所有SID标识长度均为128位，无需对现有IPv6转发设备做硬件改造即可完成部署，可实现跨广域的算力路径动态调度。选项A描述的是SRv4的标签长度，B、D的长度定义均不存在官方标准支撑。2.依据2024年修订发布的《网络安全等级保护2.0三级测评扩展要求》，针对政务云场景的零信任持续验证机制，核心设计逻辑是______A.内网边界内的默认可信主体无需每次访问校验B.永不信任、始终验证，所有访问请求全流程动态鉴权C.仅对跨区域访问的外部用户做身份校验，内部用户默认放行D.仅针对涉密数据访问触发鉴权，普通业务访问豁免校验【答案】B【解析】2025年落地的等保2.0第三级扩展要求明确将零信任作为政务云、工业互联网场景的强制准入条件，核心逻辑是取消传统内网外网的边界信任差异，所有主体的每一次资源访问都要完成身份、权限、环境状态的动态校验，避免传统边界防护的横向渗透风险。其余三个选项均属于传统边界安全架构的设计逻辑，不符合最新测评规范。3.IEEE802.11be即Wi-Fi7标准已在2025年完成全产业链商用落地，单条空间流最高传输速率突破4Gbps，在16流MIMO配置、320MHz带宽、4096QAM调制模式下，单AP的最大理论传输速率为______A.20GbpsB.30GbpsC.54GbpsD.96Gbps【答案】C【解析】Wi-Fi7的物理层速率计算公式为：单流速率=带宽*调制系数*编码效率，320MHz带宽下单流速率为4096QAM对应的4096位/符号，结合1/1编码效率，单流速率为4Gbps，16流叠加后总理论峰值为54Gbps，是Wi-Fi6标准最高速率9.6Gbps的5倍以上。4.以下关于OSPFv3协议的功能特性描述，错误的是______A.OSPFv3直接运行在链路上，不再基于IP子网划分邻居关系B.OSPFv3新增16位实例ID字段，支持同一链路下多个独立OSPF实例共存C.OSPFv3的RouterID长度扩展为128位，可直接使用IPv6地址作为标识D.OSPFv3的链路状态通告LSA去除了地址语义，支持IPv6前缀的单独发布【答案】C【解析】OSPFv3为了兼容现有运维习惯，RouterID仍然保持32位长度，格式和OSPFv2完全一致，不能直接使用128位IPv6地址作为标识，其余三个选项均为OSPFv3相对OSPFv2的核心改进特性。5.以下IPv6地址中，属于唯一本地地址（ULA）范畴的是______A.2001:0db8::1001B.fe80::aabb:ccdd:eeffC.fc00:1234:5678::1D.ff02::1【答案】C【解析】唯一本地地址是IPv6体系中用于替代IPv4私网地址的地址段，标识前缀为fc00::/7，仅能在企业内部私网路由域内发布，不能在公网路由层面转发。选项A属于公网可聚合全球单播地址，选项B属于链路本地地址，选项D属于IPv6组播地址。6.RIPng作为IPv6场景下的距离矢量路由协议，使用的传输层协议及端口号是______A.TCP520B.UDP521C.TCP179D.UDP520【答案】B【解析】RIPng在RIPv2的基础上适配IPv6架构，传输层仍然采用UDP封装，端口号从传统RIPv2的520调整为521，最大有效跳数保持15跳，跳数达到16时判定路由不可达。7.DNS新增的HTTPS资源记录类型，核心作用是______A.记录DNS服务本身的加密证书指纹，防止DNS劫持B.直接返回域名对应的HTTPS服务端口、加密套件、访问优先级参数，减少客户端多次探测交互C.为HTTPS站点提供域名到IPv6地址的映射，替代传统A记录和AAAA记录D.实时监测HTTPS站点的证书有效期，提前推送过期预警【答案】B【解析】HTTPS记录是IETF2022年正式发布的DNS标准扩展记录，2025年已完成国内主流浏览器和域名服务商的全量适配，用户发起域名解析请求时，DNS服务器可直接通过HTTPS记录返回服务端配置的端口、ALPN协议列表、加密策略等参数，避免客户端完成TCP三次握手、TLS建链后再协商参数，可将HTTPS首包时间降低40%以上。其余选项均不属于HTTPS记录的标准定义范畴。8.某企业部署IPv4/IPv6双栈网络后，出现内网用户无法访问IPv6站点的故障，排查发现防火墙默认全局拦截所有ICMPv6报文，该故障的核心原因是______A.IPv6的TCP协议握手流程必须通过ICMPv6报文传递协商参数B.IPv6没有定义ARP协议，邻居地址发现功能完全依赖ICMPv6报文实现C.IPv6的DHCPv6服务必须通过ICMPv6报文分配地址D.IPv6的路由更新报文全部封装在ICMPv6协议内【答案】B【解析】IPv6架构中取消了传统IPv4的ARP协议，所有同一链路下的邻居地址解析、地址冲突检测、前缀通告功能都基于ICMPv6报文实现，如果全局拦截ICMPv6报文，内网节点无法完成邻居地址发现，自然无法生成二层到三层的地址映射，导致IPv6访问完全中断，因此IPv6场景下的防火墙必须按需放通ND协议对应的ICMPv6报文。9.以下关于BGP4+协议扩展支持IPv6的描述，正确的是______A.BGP4+使用新的TCP端口1790实现和传统BGP的隔离B.BGP4+通过新增的多协议扩展属性，可同时承载IPv6单播、IPv6组播路由前缀C.BGP4+的路由下一跳字段长度扩展为64位，同时支持IPv4和IPv6地址D.BGP4+不再支持AS路径属性，改用SRv6SID传递路由路径【答案】B【解析】BGP4+为传统BGP-4的多协议扩展版本，仍然沿用TCP179端口完成建连，通过新增的地址族标识AFI字段区分不同的地址类型，可同时承载IPv4、IPv6、组播、EVPN等多种路由业务，路由下一跳字段长度扩展为128位适配IPv6地址，传统AS路径等核心路由属性完全保留。10.基于生成树协议的改进技术中，快速生成树协议RSTP相对于STP的优化特性不包括______A.新增边缘端口状态，直接跳过生成树协商进入转发状态B.新增Alternate和Backup端口角色，实现链路故障的秒级倒换C.取消端口的监听状态，将端口状态简化为转发、学习、丢弃三类D.支持VLAN实例化划分，不同VLAN流量运行独立的生成树拓扑【答案】D【解析】选项D描述的是多生成树协议MSTP的特性，RSTP本身没有VLAN感知能力，所有VLAN共享同一棵生成树拓扑。其余三个选项均为RSTP相对STP的核心改进，可将拓扑收敛时间从STP的50秒降低到1秒以内。11.某单位部署网络存储系统，要求存储数据块直接通过光纤通道网络访问，存储设备和服务器之间完全独占存储带宽，不占用现有以太网业务链路，该存储组网模式属于______A.DAS直连存储B.NAS网络接入存储C.SAN区域网络存储D.SDS软件定义存储【答案】C【解析】SAN存储通过独立的光纤交换机搭建专用存储网络，服务器通过HBA卡访问存储块设备，完全独立于业务以太网，读写性能和安全性都远高于NAS存储，是当前核心业务系统的主流存储部署方案。12.以下关于VxLAN虚拟扩展局域网技术的描述，错误的是______A.VxLAN采用MACinUDP的封装模式，外层UDP端口号默认4789B.VxLAN的VNI标识长度为24位，最多支持1600万以上的虚拟二层网段C.VxLAN仅能在IPv6网络的转发平面上运行，无法适配传统IPv4承载网D.VxLAN可实现跨三层网络的虚拟机二层迁移，是数据中心云网协同的核心技术【答案】C【解析】VxLAN封装的外层传输协议可同时支持IPv4和IPv6，当前主流商用场景下90%以上的VxLAN部署都是基于现有IPv4骨干承载网实现的，无需改造底层网络即可完成大二层扩展。13.某运营商给企业分配的IPv6地址段为2409:8800:1234::/48，企业管理员需要划分出16个独立的子网段，每个子网段支持的主机地址数量不低于65536个，以下子网划分方式正确的是______A.子网前缀长度调整为/52，每个子网地址段为::/52B.子网前缀长度调整为/64，每个子网地址段为::/64C.子网前缀长度调整为/56，每个子网地址段为::/56D.子网前缀长度调整为/72，每个子网地址段为::/72【答案】A【解析】IPv6地址剩余主机位长度为128减去前缀长度，要保证每个子网主机地址数不少于65536，要求剩余主机位长度不少于16位，即前缀长度不能超过/112？不对，计算子网位：总前缀是/48，要划分16个子网需要4位子网位，所以子网前缀是48+4=52，剩余主机位128-52=76位，远大于16位，完全满足65536个地址的需求。前缀长度调整为/56的话，仅能划分8个子网，不符合16个子网的要求；前缀长度/64的话能划分256个子网，也超出需求但每个子网主机位64也足够，但是最合理的是/52，刚好满足16个子网的划分要求。14.以下加密算法中，属于非对称加密算法范畴的是______A.AES-256B.SM4C.ECCD.RC4【答案】C【解析】ECC椭圆曲线加密算法属于非对称加密体系，其余三个选项AES、SM4、RC4均为对称加密算法。15.网络管理协议SNMPv3相对于v1、v2版本的核心改进是______A.支持64位计数器，适配大流量端口统计需求B.新增身份认证、数据加密、访问控制机制，解决传输安全问题C.支持TLS传输层封装，适配IPv6网络D.新增Trap告警主动上报功能，提升故障响应效率【答案】B【解析】SNMPv2c版本已经实现了64位计数器扩展，Trap告警功能在v1版本就已经支持，SNMPv3的核心改进是新增USM安全模型，提供身份校验、报文加密、权限分级能力，彻底解决前两个版本明文传输、无鉴权的安全漏洞。案例分析题（共4题，总分75分）案例一（20分）某汽车零部件制造企业原有组网为IPv4单栈架构，部署双运营商出口，分别对接联通1000M政务外网专线、电信1000M公网宽带，2025年启动IPv6改造项目，要求实现所有内网用户可同时访问IPv4公网、IPv6公网和政务外网专网，内网部署3台业务服务器：OA系统0/24，视频会议MCU0/24，生产MES系统0/24，要求外部用户可通过公网IP映射访问OA系统，视频会议MCU配置端口镜像实现互联网用户的视频流直连。问题1（6分）：出口路由器部署双栈静态路由，补全以下空白配置命令：IPv4全局默认路由：iproute______（联通专线下一跳IPv4地址为）IPv6全局默认路由：ipv6route______2001:da8:100::1（电信IPv6公网关地址）指定访问政务外网/8网段的静态路由：iproute【答案】第一空，第二空::/0【解析】IPv6的默认路由前缀是全0，对应网段为::/0，和IPv4的/0一一对应，配置逻辑和IPv4完全对齐。问题2（7分）：部署NATServer功能映射内网OA服务器，要求公网用户访问出口路由器公网地址12的TCP80和443端口时直接转发到内网0的对应端口，以下配置命令正确的是哪一项，同时说明其余三个选项的错误点。A.natserverprotocoltcpglobal1280443inside080443B.natserverprotocoltcpglobal080443inside1280443C.natenableglobal12inside0D.natstaticprotocoltcpglobal12inside0【答案】选项A正确；选项B错误将公网地址和内网地址配置颠倒，导致NAT映射失效；选项C为NAT地址池的配置命令，不属于端口映射配置；选项D为1对1全地址静态NAT配置，会占用所有端口，不符合仅开放80、443端口的最小权限要求。问题3（7分）：改造完成后出现部分内网用户访问IPv6公网时延波动大的故障，运维排查发现出口设备配置了IPv6的PMTUd路径最大传输单元发现功能拦截策略，导致大尺寸报文被丢弃，说明该故障的根因及修复方案。【答案】IPv6网络默认不支持报文分片，所有长度超过链路MTU1500字节的报文如果设置了禁止分片标记，必须通过PMTUd机制探测路径最小MTU，由源节点调整报文大小再发送，如果拦截ICMPv6类型为“报文过大”的差错报文，源节点无法获知链路MTU阈值，会持续发送1500字节以上的大包被路由器丢弃，最终出现访问丢包时延高的故障。修复方案为在出口防火墙放通ICMPv6的类型2“报文过长”差错报文，保证PMTUd机制正常运行，即可彻底解决IPv6大流量访问丢包问题。案例二（20分）某省5G承载网全面部署SRv6和网络切片技术，为不同业务场景提供物理隔离的转发平面，其中切片A面向工业控制业务，要求端到端传输时延小于10ms，丢包率小于10^-5；切片B面向普通公众互联网业务，对时延和丢包没有严格要求。问题1（6分）：写出以下SRv6SID标识的对应功能定义：EndSID、End.DT4SID、End.DT6SID【答案】EndSID是段终点标识，用于标识网络中的特定节点，收到报文后根据SID栈信息继续处理，不进行IP报文头的解密操作；End.DT4SID是面向IPv4的终端解封装标识，节点收到该类报文后弹出外层SRv6封装头，直接查找IPv4路由表转发内层报文；End.DT6SID是面向IPv6的终端解封装标识，节点收到该类报文后弹出外层SRv6封装头，直接查找IPv6路由表转发内层报文。问题2（7分）：运行过程中发现工业控制切片A的时延指标持续超标，多次测试平均时延达到35ms，远高于要求的10ms阈值，拓扑排查所有物理链路均无错包、误码，试分析最可能的故障原因及排查定位流程。【答案】故障根因大概率是SRv6切片转发面调度异常，工业控制切片的专属业务板卡硬件队列拥塞，或者部分节点的切片流量被错误调度到了公共业务板卡的共享转发队列中，共享队列下的大流量互联网业务挤占缓存资源，导致工业控制报文出现排队时延超标。排查流程：1.逐台检查承载切片A流量的所有节点的端口队列统计，确认专属队列的带宽配置是否达到规划要求；2.检查各节点的SRv6切片SID路由引流配置，确认工业控制流量是否全部导入专属切片转发面；3.采集节点级的报文排队时延监控数据，定位出引入额外时延的故障节点；4.调整故障节点的队列调度参数，为工业控制流量配置绝对优先级调度队列，保障报文无需排队即可转发，时延可降低到10ms以内。问题3（7分）：SRv6切片部署场景下，为了进一步提升可靠性，要求部署端到端电信级保护倒换，故障发生时可在50ms内完成流量切换，无需等待路由协议收敛，该保护技术的名称和实现原理是什么？【答案】该技术为SRv6TI-MFA段路由微秒级保护，核心原理是提前为所有工作路径配置端到端的保护路径，将主路径和备用路径的SID栈提前绑定到转发芯片底层，当链路故障信号上报到转发面后，无需控制层运算，直接由芯片层面将流量切换到备用SID路径，倒换时延可控制在50ms以内，完全满足工业控制、金融交易等低时延业务的可靠性要求。案例三（20分）某政务单位开展等保2.0第三级测评整改，原有网络部署了传统防火墙、入侵检测系统，2025年新增零信任接入网关，实现远程办公用户的身份动态校验。测评规则规定：单个测评项完全符合要求得1分，部分符合要求得0.5分，不符合要求得0分，三级测评合格要求整体得分率不低于70%。本次测评共设置100个测评项，其中安全物理环境测评项10个，得7分；安全通信网络测评项20个，得17分；安全区域边界测评项30个，得22分；安全计算环境测评项25个，得18分；安全管理中心测评项15个，得分11分。问题1（6分）：计算本次测评的总得分和得分率，判断该单位是否达到等保2.0第三级合格要求，写出计算过程。【答案】总得分=7+17+22+18+11=75分，得分率=75/100*100%=75%，75%大于要求的70%阈值，因此该单位本次测评达到等保2.0第三级的合格要求。问题2（7分）：测评过程中发现原有入侵检测系统仅支持IPv4流量攻击检测，无法识别IPv6流量的攻击特征，给出对应的整改解决方案。【答案】将入侵检测系统的特征库升级到最新支持IPv6攻击特征的版本，开启IPv6流量检测引擎，同时调整镜像端口策略，将链路中的IPv6双向流量全部镜像到检测设备的分析端口，配置针对IPv6场景的攻击防护规则，包括ND欺骗攻击、IPv6报文分片攻击、DHCPv6前缀劫持攻击等特征库，实现IPv4和IPv6流量的一体化威胁检测。问题3（7分）：零信任网关部署完成后