2025年下半年软考(中级)网络工程师真题解析

2025年下半年软考(中级)网络工程师真题解析2025年下半年网络工程师上午卷共75道单项选择题，每题1分，满分75分，合格线45分，考点覆盖考纲全部模块，其中新技术类考点占比提升至18%，符合近年软考贴合产业实践的命题趋势。以下为核心考点真题解析：上午题核心真题解析1.计算机基础模块真题1：某数据中心采用RAID5阵列，由8块2TBSATA磁盘组成，其中1块为热备盘，该阵列的有效存储容量为（）。A.12TBB.14TBC.16TBD.10TB答案：A解析：RAID5的校验数据分布式存储在不同磁盘，有效容量为（n-1）×单盘容量，n为参与数据块+校验块存储的磁盘数。本题中8块磁盘含1块热备盘，热备盘不参与常规存储，仅在阵列磁盘故障时自动替换，不计入有效容量，实际参与RAID5组的磁盘数为7，因此有效容量为（7-1）×2TB=12TB。真题2：以下属于CPU中算术逻辑单元（ALU）功能的是（）。A.保存程序计数器B.执行与或非逻辑运算C.进行指令译码D.存储运算中间结果答案：B解析：ALU核心功能为执行算术运算（加减乘除、移位）和逻辑运算（与或非、异或、比较）；A选项程序计数器属于控制器，C选项指令译码由控制器的译码器完成，D选项存储运算中间结果属于寄存器组功能。2.网络体系结构模块真题3：以下关于OSPFv3和OSPFv2的区别，说法错误的是（）。A.OSPFv3必须基于接口IPv4地址自动生成RouterID，不支持手动配置B.OSPFv3支持IPv6路由，支持同一链路上多个实例运行C.OSPFv3的报文头部去除了认证字段，认证依赖IPv6的AH/ESP扩展头D.OSPFv3的LSA类型新增了链路LSA和区域内前缀LSA答案：A解析：OSPFv3的RouterID仍为32位长度，可手动配置，无需依赖接口IPv4地址，即便设备仅部署IPv6协议栈也可手动指定32位格式的RouterID，A选项说法错误；其余选项均符合OSPFv3标准特性：同一广播链路支持多OSPF实例适用于多租户场景，认证功能下沉到IPv6安全扩展头，新增两类LSA适配IPv6地址体系。3.局域网与无线技术模块真题4：某企业采用802.11be（Wi-Fi7）部署办公无线网络，单AP支持16条空间流，以下说法错误的是（）。A.支持320MHz超宽信道，单AP理论吞吐量可达46GbpsB.支持多链路聚合（MLR），可同时在2.4GHz、5GHz、6GHz三个频段传输数据C.支持4096-QAM调制，相同信道带宽下比Wi-Fi6的1024-QAM传输效率提升20%左右D.仅支持下行MU-MIMO，上行不支持多用户同时传输答案：D解析：Wi-Fi7同时支持上下行MU-MIMO，上行最多支持16条空间流的多用户并行传输，D选项说法错误；其余选项均符合802.11be标准特性。真题5：某网络的地址块为/12，要划分成最多60个规模相同的子网，且每个子网可容纳的主机数尽可能多，每个子网的子网掩码为（），可容纳的最大可用主机数为（）。第一空答案：；第二空答案：16382解析：IPv4地址总长度为32位，原地址块/12的前缀长度为12位，主机位长度为20位；要划分60个规模相同的子网，需占用6位主机位作为子网标识位（2^6=64≥60，满足数量要求），因此划分后子网的前缀长度为12+6=18位，对应的子网掩码为；每个子网的剩余主机位长度为32-18=14位，去除网络地址和广播地址两个不可用地址，最大可用主机数为2^14-2=16382。4.广域网与安全模块真题6：某企业总部与分支采用SD-WAN组网，以下不属于SD-WAN核心功能的是（）。A.链路智能选路B.零接触部署C.广域网优化D.物理层线路纠错答案：D解析：SD-WAN核心功能包括链路质量探测与智能选路、CPE零接触部署、广域网流量优化（重复数据删除、压缩）、安全策略统一编排等，物理层线路纠错属于传输层或物理层协议（如RS编码、FEC）的功能，不属于SD-WAN的核心功能范畴。真题7：以下关于零信任网络架构的核心原则，说法正确的是（）。A.默认信任内部网络所有用户，仅对外部访问做身份校验B.采用“验证一次，永久放行”的访问控制策略C.核心逻辑为“永不信任，始终验证”，最小权限授予D.仅需对用户身份做认证，无需对终端、应用做校验答案：C解析：零信任架构摒弃了传统边界安全“默认内部可信”的逻辑，核心原则为永不信任、始终验证，对每一次访问请求都需对用户、终端、应用、环境多维度做身份核验，基于最小权限原则授予访问权限，A、B、D选项均为传统边界安全的逻辑。5.知识产权与标准化模块真题8：某机构将2025年下半年软考网络工程师真题整理后印刷售卖，该行为侵犯了（）的著作权。A.考生B.人力资源和社会保障部人事考试中心C.整理机构D.国家知识产权局答案：B解析：软考真题属于国家人事考试中心组织创作的法人作品，著作权归人事考试中心所有，未经授权印刷售卖属于侵权行为。2025年下半年网络工程师下午卷共5道案例分析题，每题15分，满分75分，合格线45分，命题侧重企业真实组网场景，融入SD-WAN、零信任、Wi-Fi7等2024-2025年主流产业技术，实操性较强。以下为全卷真题解析：下午题真题解析试题一（15分网络规划设计）题干：某中型企业计划升级总部网络，原有网络核心为2台千兆交换机，接入层为百兆交换机，用户数约800人，新增需求如下：1.全网有线升级到千兆接入，万兆上联，核心升级为十万兆吞吐量；2.部署Wi-Fi7无线网络，覆盖办公区、会议室、公共区域，要求满足200个无线终端同时高带宽传输；3.总部与3个分支采用SD-WAN组网，分支访问总部业务系统的延迟≤50ms，丢包率≤0.1%；4.采用零信任架构实现内外网访问统一身份认证。问题1（4分）：请计算核心交换机的最小背板带宽和包转发率，给出计算过程。答案：①背板带宽：核心交换机需配置至少24个万兆端口（用于接入层上联、无线控制器上联、出口路由器互联）、4个40G端口（用于核心堆叠），总带宽为24×10G+4×40G=400G，交换机背板带宽需满足双向转发需求，因此最小背板带宽≥800G；②包转发率：万兆端口线速包转发率为14.88Mpps（按最小帧长64字节计算），40G端口线速包转发率为59.52Mpps，总包转发率=24×14.88+4×59.52≈595.2Mpps，因此最小包转发率≥600Mpps。解析：线速转发是交换机选型的核心指标，避免出现性能瓶颈，核心设备需预留30%以上的性能冗余满足未来扩容需求。问题2（6分）：请给出无线网络的选型方案，包括AP、无线控制器的配置要求。答案：①AP选型：采用室内三频Wi-Fi7吸顶AP，单AP支持320MHz信道，至少4条空间流，单AP吞吐量≥11Gbps，办公区按每100平方米1台部署，会议室按每50平方米1台部署，总部署量约35台；②无线控制器（AC）选型：支持Wi-Fi7终端管理，最大可管理AP数≥128台，支持漫游切换时延≤20ms，支持与零信任系统对接实现无线用户身份认证。解析：三频AP可同时工作在2.4GHz（广覆盖）、5GHz（高带宽）、6GHz（低干扰）三个频段，配合Wi-Fi7多链路聚合功能，可保障视频会议、云桌面等大带宽业务的稳定性。问题3（5分）：请给出SD-WAN组网的核心功能配置要求。答案：①总部部署SD-WAN控制器，统一管理3个分支的CPE设备；②每个分支配置至少两条上行链路（1条互联网专线、1条5G链路），控制器基于链路质量（延迟、丢包、抖动）智能选路，业务系统流量优先走延迟更低的专线链路，当专线丢包率超过0.1%时自动切换到5G链路；③配置广域网优化功能，对重复数据做删除处理，降低传输带宽占用；④支持零接触部署，分支CPE上电后自动连接控制器下载配置，无需现场调试。试题二（15分交换配置）题干：某企业交换网络拓扑如下：核心交换机SW1、SW2做堆叠，接入交换机SW3、SW4分别双上行到SW1、SW2，SW3下连接用户终端VLAN10（办公区）、VLAN20（服务区），SW4下连接VLAN30（研发区），配置MSTP实现二层环路避免，配置链路聚合实现上行链路冗余。问题1（4分）：补全SW1的MSTP域配置。```sysnameSW1stpregion-configurationregion-nameNETA（1）revision-level1instance1vlan1020instance2vlan30（2）activestpinstance1rootprimarystpinstance2rootsecondary```答案：（1）revision-level1；（2）active解析：MSTP同一域内的域名、修订级别、VLAN-实例映射关系必须完全一致，否则设备不属于同一个MST域；active命令用于激活MSTP域配置；将不同VLAN的根桥部署在不同核心交换机上，可实现上行流量的负载分担。问题2（6分）：SW3的上行链路配置为链路聚合组1，模式为LACP静态模式，补全配置。```interfaceEth-Trunk1（1）modelacp-static（2）portlink-typetrunk（3）porttrunkallow-passvlan1020interfaceGigabitEthernet0/0/1eth-trunk1interfaceGigabitEthernet0/0/2eth-trunk1```答案：（1）modelacp-static；（2）portlink-typetrunk；（3）porttrunkallow-passvlan1020解析：LACP静态模式比手工负载分担模式可靠性更高，支持链路故障自动切换；链路聚合组的所有成员端口配置必须保持一致（链路类型、允许通过的VLAN均相同），否则聚合组无法正常工作。问题3（5分）：为了防止用户私接交换机，在SW3的接入端口配置端口安全，要求每个端口最多允许2个MAC地址接入，违规后端口自动关闭，补全配置。```interfaceGigabitEthernet0/0/3port-securityenable（1）port-securitymax-mac-num2（2）port-securityprotect-actionshutdown（3）stpedged-portenable```答案：（1）port-securitymax-mac-num2；（2）port-securityprotect-actionshutdown；（3）stpedged-portenable解析：边缘端口配置可加快终端接入的STP收敛速度，避免终端获取地址超时；端口安全功能可限制接入终端数量，防止私接小交换机导致的环路或安全风险。试题三（15分路由与VPN配置）题干：企业总部与分支通过OSPF+IPSecVPN组网，总部出口路由器R1的公网地址为/24，分支出口路由器R2的公网地址为/24，总部内网网段为/16，分支内网网段为/12，要求两端内网通过IPSecVPN加密传输。问题1（5分）：补全R1的IKE阶段配置。```ikeproposal10encryption-algorithmaes-256authentication-algorithmsha2-256ikepeerPEER1pre-shared-keysimpleTest@1234（1）remote-address（2）ike-proposal10```答案：（1）remote-address；（2）ike-proposal10解析：IKE阶段1用于协商安全参数、建立IKESA，采用预共享密钥认证方式，加密算法采用AES-256、哈希算法采用SHA2-256符合等保2.0的安全要求，禁止使用DES、MD5等弱加密算法。问题2（5分）：补全IPSec安全策略配置。```aclnumber3000rulepermitipsource55destination55ipsecproposalPRO1espauthentication-algorithmsha2-256espencryption-algorithmaes-256ipsecpolicyPOL110isakmpsecurityacl3000（1）proposalPRO1（2）ike-peerPEER1interfaceGigabitEthernet0/0/0（公网接口）ipsecpolicyPOL1```答案：（1）proposalPRO1；（2）ike-peerPEER1解析：ACL用于定义需要加密的感兴趣流，只有匹配ACL的流量才会走IPSecVPN加密传输；ESP协议用于对数据报文做加密和认证，保障传输过程中的机密性和完整性。问题3（5分）：为了防止公网路由震荡影响内网OSPF，要求R1的OSPF仅发布内网网段，不发布公网路由，补全配置。```ospf1router-idarea0network55（1）silent-interfaceGigabitEthernet0/0/0```答案：（1）silent-interfaceGigabitEthernet0/0/0解析：静默接口配置后，该接口不会发送和接收OSPF报文，避免公网接口的路由信息进入内网OSPF域，同时减少不必要的协议报文交互。试题四（15分网络安全）题干：某企业部署零信任访问系统，包括身份认证网关、终端检测与响应（EDR）、权限管理平台，要求实现：1.所有用户访问业务系统必须先经过身份认证；2.仅允许安装了EDR且安全评分≥80分的终端访问核心业务系统；3.每个用户仅能访问自身岗位对应的业务系统，权限最小化。问题1（4分）：零信任的核心逻辑中，“持续验证”的维度包括哪些？答案：包括4个核心维度：①用户身份（账号、角色、权限范围）；②终端环境（EDR安装状态、安全评分、是否存在病毒/高危漏洞）；③访问环境（IP地址、地理位置、登录时间、是否为常用设备）；④应用权限（岗位对应的系统访问范围、操作权限）。问题2（6分）：请给出访问核心业务系统的访问控制策略配置。答案：①身份校验：用户必须通过多因素认证（密码+短信验证码/生物特征），禁止单因素密码认证；②终端校验：终端必须安装企业指定的EDR客户端，且最近一次安全扫描评分≥80分，不存在高危漏洞；③环境校验：访问IP地址必须为企业常用办公网段，或经过VPN认证的异地办公地址，非常用地理位置访问需要管理员二次核验；④权限校验：用户所属岗位有访问该核心业务系统的权限，且访问操作在允许的工作时间范围内。问题3（5分）：为了防止数据泄露，在核心业务系统前端部署数据防泄漏（DLP）系统，请给出DLP的核心配置要求。答案：①配置敏感数据识别规则，精准识别身份证号、银行卡号、企业核心技术文档、财务数据等敏感信息；②配置外发控制策略，禁止敏感数据通过邮件、即时通讯工具、网盘、USB存储等渠道外发，特殊场景外发需要部门负责人审批；③配置敏感操作审计，所有访问、下载、修改敏感数据的操作都要记录日志，日志留存至少6个月，满足等保2.0的审计要求。试题五（15分Linux网络配置）题干：某企业部署一台Linux服务器作为DNS服务器，操作系统为CentOSStream9，IP地址为0/24，网关为，DNS为，采用bind9提供域名解析服务。问题1（4分）：补全网卡配置文件（/etc/NetworkManager/system-connections/ens33.nmconnection）的内容。```[ipv4]method=manualaddresses=（1）0/24gateway=（2）dns=（3）```答案：（1）0/24；（2）；（3）解析：C