2025年下半年软考(中级)网络工程师真题+答案及解析解析下午案例

2025年下半年软考(中级)网络工程师真题+答案及解析解析下午案例试题一（20分）【场景】某中型制造企业2025年启动新园区网络建设项目，网络覆盖总部园区12栋建筑（含3栋生产车间、2栋研发办公楼、1栋行政办公楼、4栋员工宿舍、2栋动力机房），另有2个异地分支机构，员工总人数3200人，生产终端1800台。项目需求如下：1.核心层要求99.999%可用性，核心设备故障切换时间≤50ms；2.生产区业务要求端到端时延≤10ms，抖动≤2ms，丢包率≤0.01%；3.DMZ区部署ERP对外服务系统、供应商门户、邮件网关，要求满足等保2.0三级防护要求；4.分支机构与总部通过专线+互联网链路双备份，业务访问优先级高于办公上网流量；5.全网支持IPv4/IPv6双栈运行，预留5G接入能力，适配5G工业应用场景。【问题1】（6分）请给出该网络核心层、汇聚层、接入层的三层架构设计要点，以及核心层实现50ms故障切换的技术选型。【参考答案】1.三层架构设计要点：（1）核心层：采用双核心虚拟化集群部署，承载全网路由转发、5G流量调度、核心业务网关功能，配置双电源、双主控冗余，上联出口防火墙、下联各区域汇聚交换机，所有链路采用万兆/25G链路互联，核心层不配置访问控制策略，仅做高速转发。（2）汇聚层：按区域部署汇聚交换机，生产区、研发区、办公区、DMZ区各部署2台汇聚交换机做堆叠，实现本区域VLAN聚合、访问控制、QoS标记、POE供电（对接5G皮站/宏站接入）功能，上联核心采用双上行链路捆绑，下联接入采用千兆/万兆链路互联。（3）接入层：生产车间接入交换机支持工业级宽温、防电磁干扰，配置POE+端口对接5G小站、5G工业网关，员工区域接入交换机支持802.1X认证、IPv4/IPv6双栈接入，所有接入交换机配置端口隔离，禁止同接入端口下终端直接互访。2.核心层50ms故障切换技术选型：采用CSS2（集群交换机系统）+BFD（双向转发检测）+静态路由/IGP快速收敛组合方案，CSS2集群故障切换时间≤30ms，BFD检测间隔配置为10ms、3次超时判定，故障检测时间≤30ms，配合IGP快速收敛可实现端到端故障切换≤50ms，满足可用性要求。【解析】核心层虚拟化集群是当前企业园区网高可用的主流方案，CSS2相比传统VRRP可消除单设备故障点，且切换时间远低于VRRP的秒级切换；BFD作为轻量级故障检测协议，可实现链路、设备故障的毫秒级检测，配合IGP的快速收敛特性，可满足99.999%可用性对应的故障切换指标要求。接入层针对生产车间的5G部署需求配置POE+端口，可直接为5G小站供电，减少5G部署的布线成本，适配5G灵活部署的要求。【问题2】（5分）请结合需求划分该网络的安全域，说明每个安全域的核心防护要求。【参考答案】共划分为5个安全域：1.生产域：包含5G工业终端、生产控制服务器、5G网关，核心防护要求：禁止非授权访问，仅允许5G终端与生产控制服务器的指定端口通信，配置5G业务与办公业务的二层隔离，部署工业防火墙阻断5G网络的非生产流量。2.办公域：包含员工终端、办公服务器，核心防护要求：配置身份认证、准入控制，禁止办公终端访问生产域核心资源，部署杀毒网关、上网行为管理设备。3.研发域：包含研发终端、代码服务器，核心防护要求：配置数据防泄漏DLP，禁止研发终端外发核心数据，配置和生产域、办公域的逻辑隔离，仅允许指定运维人员跨域访问。4.DMZ域：包含对外服务系统，核心防护要求：部署WAF、IPS、抗DDoS设备，配置南北向访问控制策略，仅开放对外服务的必要端口，定期做漏洞扫描。5.5G边界域：包含5G核心网UPF、5G网关、5G基站，核心防护要求：配置5G接入认证、5G切片隔离，部署5G安全网关过滤5G空口异常流量，禁止5G流量直接穿越到其他安全域。【解析】安全域划分需遵循业务同属性、风险同等级的原则，新增5G边界域是适配5G接入的核心要求，5G网络本身具备空口加密、用户面隔离特性，但企业部署5G时需单独划分5G边界域，避免5G网络的安全风险传导到现有IT/OT网络。等保2.0三级要求中明确要求不同安全域之间需配置访问控制策略，核心生产域需配置强制访问控制，因此生产域和其他域之间需部署独立的工业防火墙实现隔离。【问题3】（4分）请给出该网络QoS部署的优先级排序，以及生产区5G相关业务的QoS保障措施。【参考答案】1.QoS优先级从高到低排序：5G工业控制业务>5GAGV调度业务>生产数据采集业务>ERP业务>办公邮件业务>员工上网流量。2.5G业务QoS保障措施：（1）5G空口侧配置5GQoS流标识（QFI），为5G工业控制业务配置5QI=5的URLLC承载，保障空口时延≤2ms；（2）5GUPF到核心交换机的管道侧配置DSCP标记，5G工业控制业务DSCP标记为EF，核心网络为EF流量配置严格优先级（SP）调度，预留30%的带宽给5G核心业务；（3）跨域流量配置流量整形，避免突发流量挤占5G业务带宽。【解析】QoS优先级排序需根据业务的重要性、时延敏感程度排序，5G工业控制业务属于高可靠低时延业务，优先级最高。5GQoS机制中5QI=5对应的是URLLC业务承载，可满足5G空口侧的低时延要求，而DSCP标记是IP网络的QoS标识，通过端到端的DSCP标记和优先级调度，可实现5G业务从空口到IP网络的端到端QoS保障，满足生产区业务的时延、丢包要求。【问题4】（5分）请给出该网络5G接入的部署方案要点，说明5G业务与现有办公网络的隔离方式。【参考答案】1.5G接入部署要点：（1）在生产车间部署5G分布式皮站，在园区室外部署5G宏站，覆盖5G室外作业场景，5G核心网采用园区本地化部署的UPF（用户面功能），5G流量本地卸载，无需绕行运营商5G核心网；（2）5G网关部署在核心机房，对接5GUPF和核心交换机，5G网关支持5G流量的VLAN划分、QoS标记、访问控制功能；（3）预留5G核心网网元的部署位置，预留5G和TSN融合的接口，适配5G工业控制、5G智能运维的业务需求。2.隔离方式：采用VLAN+VXLAN+防火墙三层隔离，5G业务划分独立VLAN，通过VXLAN实现5G业务和办公业务的二层隔离，在5G边界域和办公域之间部署防火墙，配置访问控制策略，仅允许授权的5G终端访问办公资源，禁止办公终端直接访问5G网络资源。【解析】园区5G部署采用本地UPF可实现5G流量本地转发，降低5G业务的端到端时延，同时避免5G数据出园区，满足数据安全要求。5G和现有网络的隔离需做到二层、三层的双重隔离，避免5G网络的安全风险扩散，同时通过防火墙的访问控制策略实现按需互通，符合等保2.0的最小权限原则。试题二（20分）【场景】该企业核心层采用2台华为S12700E交换机部署CSS2集群，核心交换机同时作为5G业务的三层网关，出口采用2台USG6600F防火墙部署双机热备，5G网关采用华为AR6300-S集成5G模块，对接5GUPF和核心交换机。以下为核心交换机、防火墙、5G网关的部分配置，请补全空缺内容。【配置片段1：核心交换机配置】system-view[HUAWEI]sysnameCoreSwitch[CoreSwitch]setcssmodecss2[CoreSwitch]setcssid1priority____(1)____//配置主设备优先级为200，高于备设备的100[CoreSwitch]cssenable[CoreSwitch]vlanbatch100200300//VLAN100为5G工业控制业务，VLAN200为办公业务，VLAN300为DMZ业务[CoreSwitch]bfd[CoreSwitch-bfd]quit[CoreSwitch]bfdcore_to_5g_gwbindpeer-ipinterfaceXGigabitEthernet1/0/1[CoreSwitch-bfd-session-core_to_5g_gw]min-tx-interval10[CoreSwitch-bfd-session-core_to_5g_gw]min-rx-interval10[CoreSwitch-bfd-session-core_to_5g_gw]detect-multiplier____(2)____//配置3次超时判定，故障检测时间30ms[CoreSwitch-bfd-session-core_to_5g_gw]quit[CoreSwitch]ospf1router-id[CoreSwitch-ospf-1]area0[CoreSwitch-ospf-1-area-]network55[CoreSwitch-ospf-1-area-]____(3)____//开启OSPF和BFD联动【配置片段2：防火墙配置】system-view[HUAWEI]sysnameFW[FW]firewallzone5g[FW-zone-5g]setpriority85[FW-zone-5g]addinterfaceGigabitEthernet1/0/3[FW-zone-5g]quit[FW]security-policy[FW-policy-security]rulenameallow_5g_to_production[FW-policy-security-rule-allow_5g_to_production]source-zone5g[FW-policy-security-rule-allow_5g_to_production]destination-zoneproduction[FW-policy-security-rule-allow_5g_to_production]destination-address032[FW-policy-security-rule-allow_5g_to_production]service____(4)____//允许TCP80、443端口访问ERP服务[FW-policy-security-rule-allow_5g_to_production]actionpermit[FW-policy-security-rule-allow_5g_to_production]quit[FW]nat-policy[FW-policy-nat]rulenamenat_5g_to_internet[FW-policy-nat-rule-nat_5g_to_internet]source-zone5g[FW-policy-nat-rule-nat_5g_to_internet]destination-zoneuntrust[FW-policy-nat-rule-nat_5g_to_internet]actionsource-nateasy-ip[FW]qoscar5g_urllccir____(5)____//配置5GURLLC业务承诺速率为1Gbps，峰值速率2Gbps【配置片段3：5G网关配置】[AR6300]interfaceCellular0/0/0[AR6300-Cellular0/0/0]ipaddressdhcp[AR6300-Cellular0/0/0]service-domain5g[AR6300-Cellular0/0/0]quit[AR6300]dhcpenable[AR6300]interfaceVlanif100[AR6300-Vlanif100]dhcpselectrelay[AR6300-Vlanif100]dhcprelayserver-ip____(6)____//核心交换机的DHCP服务器地址为【问题】请补全上述配置中（1）到（6）的空缺内容。【参考答案】（1）200（2）3（3）bfdall-interfacesenable（4）tcpdestination-porteq80tcpdestination-porteq443（5）1000000pir2000000（6）【解析】（1）CSS2集群中优先级数值越大，设备成为主设备的概率越高，主设备优先级配置为200高于备设备的100，可保证主设备优先抢占。（2）BFD的检测时间=min-rx-interval*detect-multiplier，min-rx-interval为10ms，detect-multiplier配置为3时，检测时间为30ms，满足毫秒级故障检测要求。（3）ospf视图下配置bfdall-interfacesenable可开启OSPF所有接口的BFD联动，当BFD检测到链路故障时，OSPF可在30ms内完成路由收敛，实现快速切换。（4）安全策略的service字段需指定允许的端口类型，ERP服务通常开放HTTP（80）和HTTPS（443）端口，因此配置对应TCP端口即可。（5）QoSCAR的cir单位为kbps，1Gbps=1000000kbps，pir为峰值速率，2Gbps对应2000000kbps。（6）DHCP中继需指定DHCP服务器的IP地址，本题中核心交换机作为DHCP服务器，地址为，因此填入该地址即可。试题三（20分）【场景】该企业5G网络部署完成后，运维人员在测试过程中发现三类故障：故障1：部署在生产车间的5G工业终端开机后无法获取IP地址，无法访问生产区的MES系统；故障2：分支机构通过5G互联网链路访问总部ERP系统时卡顿严重，平均时延达210ms，丢包率达3%，不符合业务要求；故障3：5G工业终端在两个5G皮站之间漫游时，业务中断时间达3.2s，无法满足5G工业控制业务中断时间≤50ms的要求。【问题1】（6分）请列出故障1的排查步骤。【参考答案】1.终端侧排查：检查5G终端的SIM卡是否正常注册到5G网络，5G信号强度是否≥-75dBm，终端的DHCP功能是否开启，是否配置静态IP冲突。2.5G接入侧排查：检查5G皮站的运行状态，是否有告警，5G皮站到5G网关的链路是否正常，VLAN配置是否正确，是否允许VLAN100的流量通过。3.5G网关侧排查：检查5G网关的DHCP中继配置是否正确，DHCP服务器地址是否指向核心交换机，5G网关到核心交换机的链路是否正常，是否有ACL拦截DHCP报文。4.核心侧排查：检查核心交换机的DHCP服务器配置是否正常，VLAN100的地址池是否有剩余地址，是否配置DHCP黑名单拦截5G终端的MAC地址，BFD会话是否正常，路由是否可达。【解析】5G终端无法获取IP地址的排查需遵循从终端到核心的分层排查原则，依次排查5G空口、接入侧、网关侧、核心侧的配置和运行状态，其中5G信号强度低于-80dBm时会导致5G终端注册失败，无法发送DHCP请求，是常见的故障原因。【问题2】（7分）请分析故障2的可能原因，给出解决方案。【参考答案】可能原因：1.5G链路的QoS未配置，分支机构的5G上网流量挤占了5G业务流量的带宽，导致ERP访问卡顿；2.5G互联网链路的路由未配置策略路由，业务流量未走优先级更高的专线链路，而是走了丢包率更高的互联网链路；3.5GUPF未配置本地卸载，分支机构的5G流量绕行运营商5G核心网，导致端到端时延过高；4.防火墙的安全策略配置错误，对5G业务流量做了深度检测，导致时延增加。解决方案：1.在分支机构的5G网关上配置QoS，为ERP业务标记最高优先级，预留20%的带宽给ERP业务，限制办公上网流量的带宽；2.在分支机构的出口设备上配置策略路由，ERP业务流量优先走专线链路，专线故障时切换到5G互联网链路；3.协调运营商配置5GUPF本地卸载，分支机构的5G访问总部的流量直接通过本地专线转发，无需绕行运营商核心网；4.调整防火墙的安全策略，关闭对ERP业务流量的不必要深度检测，开启5G流量的快速转发功能。【解析】5G互联网链路本身的带宽不稳定，优先级低于专线，因此需通过策略路由实现业务流量的路径优选，同时配置QoS保障核心业务的带宽。5G本地UPF部署是降低5G业务时延的核心措施，可将端到端时延从200ms以上降低到20ms以内，满足业务要求。【问题3】（7分）请分析故障3的5G漫游中断的核心原因，给出优化方案。【参考答案】核心原因：当前5G漫游采用的是传统的重选切换机制，终端在切换皮站时需要重新进行身份认证、IP地址重新分配、路由重新收敛，导致业务中断时间长达秒级，不符合低时延要求。优化方案：1.采用5G无缝切换技术，开启5G双连接功能，终端在切换前预先和目标皮站建立连接，再断开原皮站的连接，切换中断时间≤10ms；2.配置5G移动性管理优化，开启5G预认证功能，终端切换时无需重新做身份认证，减少认证耗时；3.核心交换机配置5G业务的IP地址不变动，终端漫游时无需重新获取IP地址，减少IP地址分配耗时；4.开启核心网络的快速路由收敛，配置BFD+SRv6，实现路由切换时间≤10ms，避免路由收敛导致的业务中断。【解析】传统5G切换的中断时间通常在1s到3s之间，无法满足工业控制、AGV调度等5G低时延业务的要求，通过双连接、预认证、IP保持等技术可实现5G无缝漫游，中断时间控制在10ms以内，符合5GURLLC业务的要求。试题四（20分）【场景】该企业后续计划部署5G+AGV智能调度、5G远程设备运维、5G工业数据采集三类5G应用，要求5G网络与现有OT网络、IT网络安全互通，同时满足等保2.0三级防护要求，适配5G确定性业务传输需求。【问题1】（7分）请给出5GAGV系统的5G网络部署方案，说明5G网络如何保障AGV的低时延高可靠要求。【参考答案】部署方案：1.在AGV作业的生产车间部署5G分布式皮站，实现5G信号100%覆盖，信号强度≥-70dBm，部署5G本地UPF，AGV流量本地卸载，不绕行运营商核心网；2.AGV终端采用工业级5G模组，支持5GURLLC承载，配置专属5G切片，和其他5G业务隔离；3.5G网关对接AGV调度服务器所在的生产域，配置访问控制策略，仅允许AGV终端访问AGV调度服务器的指定端口。保障措施：1.空口侧：配置5GQFI对应5QI=5的URLLC承载，采用5Gmini时隙调度，空口时延≤2ms，空口冗余传输，丢包率≤0.001%；2.传输侧：配置5G到生产域的链路采用SP优先级调度，预留30%的带宽给AGV业务，配置BFD故障检测，链路故障切换时间≤30ms；3.业务侧：配置AGV业务的5G切片专属承载，和其他5G业务硬隔离，避免其他业务挤占AGV业务的带宽。【解析】AGV调度业务要求端到端时延≤10ms，中断时间≤50ms，通过5GURLLC承载、本地UPF、切片隔离三层保障，可满足AGV业务的高可靠低时延要求，5Gmini时隙调度可将空口调度周期从1ms缩短到0.125ms，大幅降低空口时延。【问题2】（6分）请说明5G远程运维系统的5G接入安全防护方案，符合等保2.0三级要求。【参考答案】1.接入认证：5G远程运维终端采用5GAKA双向认证+二次身份认证，终端需插入专用SIM卡，同时通过802.1X认证