2025网络工程师笔试题及答案

2025网络工程师笔试题及答案一、单项选择题（共15题，每题2分，共30分）1.SRv6是IPv6场景下的核心分段路由技术，其SID（段标识）的默认长度为？A.32bitB.64bitC.128bitD.256bit正确答案：C解析：SRv6基于IPv6原生架构设计，SID封装在IPv6地址字段中，默认长度为128bit，由Locator（路由定位位）、Function（功能位）、Argument（参数位）三部分组成，可实现路由转发、功能编排等多维度能力。2.零信任网络访问（ZTNA）的核心设计原则不包含以下哪项？A.永不信任，始终验证B.最小权限授权C.默认网络可达D.持续上下文校验正确答案：C解析：零信任核心原则为“永不信任、始终验证”，推翻了传统网络“内部默认可信”的设计逻辑，所有访问主体无论处于内网还是外网，均需完成身份、设备、环境的多重校验后，仅授予最小必要的访问权限，全程持续校验访问上下文，默认禁止所有未授权的网络可达。3.云原生网络中，Calico插件的BGP模式下，若需实现跨节点Pod路由的大规模部署，通常采用什么组件减少BGP邻居数量？A.路由反射器（RR）B.边界网关C.服务网格D.核心交换机正确答案：A解析：CalicoBGP模式下，若节点规模超过50台，全互联BGP邻居的复杂度会指数级上升，部署路由反射器（RR）可让所有节点仅与RR建立BGP邻居，由RR统一反射Pod路由，将邻居数量从O(n²)降至O(n)，大幅提升可扩展性。4.OSPFv3中，用于发布域内IPv6前缀的LSA类型是？A.RouterLSA（Type1）B.NetworkLSA（Type2）C.Inter-AreaPrefixLSA（Type3）D.Intra-AreaPrefixLSA（Type9）正确答案：D解析：OSPFv3将拓扑信息和前缀信息分离，Type1、Type2LSA仅发布拓扑节点信息，域内IPv6前缀由Type9（Intra-AreaPrefixLSA）发布，域间前缀由Type3LSA发布，自治系统外部前缀由Type5LSA发布。5.以下SD-WAN智能选路的参考指标中，不属于SLA类指标的是？A.链路时延B.链路丢包率C.链路带宽成本D.链路抖动正确答案：C解析：SD-WANSLA类指标用于衡量链路的传输质量，包含时延、丢包率、抖动、可用率等，链路带宽成本属于运营成本类指标，用于选路时的成本优化参考，不属于SLA质量指标。6.算力网络中，用于标识算力服务属性、实现算力路由的核心扩展字段承载在以下哪种协议中？A.BGPEVPNB.SRv6C.OSPFv3D.VXLAN正确答案：B解析：SRv6SID的Argument字段可扩展承载算力标识、算力资源利用率、SLA要求等参数，算力路由节点可基于SRv6扩展字段实现“网络+算力”的联合调度，是2025年算力网络落地的核心承载协议。7.TCPBBRv3是2025年主流的拥塞控制算法，其相比BBRv1的核心优化不包含以下哪项？A.降低排队时延，适配高带宽低时延场景B.提升与CUBIC算法的共存公平性C.支持无线链路（5G/WiFi）的自适应调整D.基于丢包判断拥塞正确答案：D解析：BBR系列算法均基于带宽和时延探测判断拥塞，而非传统CUBIC算法基于丢包判断拥塞。BBRv3的优化包含：降低排队时延、提升与CUBIC流的公平性、适配无线链路的抖动场景、弱网下吞吐量提升20%以上。8.工业互联网场景下的网络切片要求端到端硬隔离，以下哪种技术可实现链路层的时隙硬隔离？A.VXLANB.FlexEC.SRv6D.VLAN正确答案：B解析：FlexE（灵活以太网）基于时隙划分实现链路层硬隔离，不同切片的流量占用独立的时隙资源，互不干扰，时延抖动可控制在1ms以内，是工业控制、远程医疗等低时延高可靠场景的核心隔离技术，VXLAN、VLAN、SRv6均属于逻辑隔离技术，无法实现硬隔离。9.WPA3是当前企业无线网络的主流加密协议，其SAE（同时对等认证）握手机制可有效防范以下哪种攻击？A.KRACK攻击B.DDoS攻击C.暴力破解密码攻击D.ARP欺骗攻击正确答案：A解析：WPA3的SAE握手机制替代了WPA2的四次握手，从协议层面修复了KRACK攻击的漏洞，同时可抵御离线字典暴力破解攻击，大幅提升无线网络的安全性。10.eBPF是2025年网络可观测性的核心技术，其相比传统流量镜像的优势不包含以下哪项？A.无侵入式采集，无需修改业务配置B.采集精度可达微秒级C.支持内核层的流量处理和过滤D.仅支持TCP流量采集正确答案：D解析：eBPF可运行在内核虚拟机中，无需修改业务代码或网络配置即可实现全协议（TCP/UDP/ICMP等）流量的采集、过滤和分析，采集精度可达微秒级，资源消耗仅为传统镜像方案的20%，适用于云原生、数据中心等复杂网络场景的可观测性建设。11.以下IPv6过渡技术中，属于有状态过渡技术的是？A.双栈B.无状态NAT64C.DS-LiteD.6to4正确答案：C解析：DS-Lite需要在AFTR设备上维护NAT映射表，属于有状态过渡技术，双栈、6to4、无状态NAT64均无需维护会话映射表。12.BGPEVPN作为数据中心的主流控制平面，其哪种路由类型用于实现ARPsuppression，减少广播风暴？A.Type1B.Type2C.Type3D.Type5正确答案：B解析：Type2路由携带MAC/IP地址信息，交换机可基于Type2路由生成ARP代答表，直接响应ARP请求，无需泛洪广播，减少广播风暴。13.5G承载网中，实现端到端亚微秒级时间同步的技术是？A.NTPB.PTPv2（1588v2）C.SyncED.GPS正确答案：B解析：PTPv2（1588v2）可实现端到端亚微秒级时间同步，SyncE仅实现频率同步，NTP精度为毫秒级，GPS成本较高不适用于整网部署。14.云原生服务网格Istio中，负责流量治理、策略执行的核心组件是？A.istiodB.sidecar（envoy）C.ingressgatewayD.egressgateway正确答案：B解析：sidecar（envoy）以旁挂形式部署在业务Pod旁，负责执行所有流量的转发、熔断、限流、权限校验等策略，istiod负责策略下发和治理。15.以下哪种技术可实现数据中心跨地域DCI互联的长距离传输优化？A.VXLANB.TCP加速C.ROADMD.以上都是正确答案：D解析：VXLAN可实现跨数据中心的二层互联，TCP加速可优化长距离传输的吞吐量，ROADM可实现光层的灵活调度，均为DCI互联的常用优化技术。二、多项选择题（共10题，每题3分，共30分，多选、少选、错选均不得分）1.以下属于SRv6的核心应用场景的是？A.跨云多云互联B.算力网络调度C.网络切片承载D.工业互联网低时延传输正确答案：ABCD解析：SRv6具备原生IPv6兼容、可编程、端到端路径编排等能力，以上场景均为2025年SRv6的主流落地场景。2.零信任架构的核心组件包含以下哪些？A.策略决策点（PDP）B.策略执行点（PEP）C.身份提供商（IdP）D.安全审计平台正确答案：ABCD解析：零信任架构由PDP（策略引擎）、PEP（网关/sidecar等执行点）、IdP（身份认证）、安全审计、威胁情报等核心组件组成。3.以下属于BGPEVPN相比传统VXLAN静态控制平面的优势的是？A.支持ARPsuppression，减少广播风暴B.支持多活网关，流量负载均衡C.支持VM迁移时的路径快速收敛D.无需维护MAC地址表正确答案：ABC解析：BGPEVPN作为控制平面可实现ARP代答、多活网关、VM迁移时的路由自动更新，收敛时间从秒级降至毫秒级，仍需维护MAC/IP路由表，D选项错误。4.云原生东西向流量安全管控的常用方案包含？A.Calico网络策略B.Istio服务网格授权策略C.分布式微隔离防火墙D.边界下一代防火墙正确答案：ABC解析：边界防火墙主要管控南北向流量，东西向流量内部互访不经过边界防火墙，需采用Calico、服务网格、分布式防火墙等方案实现管控。5.SD-WAN的智能选路策略可基于以下哪些维度配置？A.业务SLA要求B.链路成本C.时间段D.应用类型正确答案：ABCD解析：SD-WAN支持基于应用类型、SLA阈值、链路成本、时间段、用户组等多维度的灵活选路策略，满足不同业务的需求。6.以下属于等保2.0三级要求中网络安全的必选要求的是？A.通信传输加密B.访问控制最小权限C.安全日志留存6个月以上D.入侵检测正确答案：ABCD解析：等保2.0三级网络安全要求包含通信加密、最小权限访问控制、日志留存不少于6个月、入侵检测、恶意代码防范等多项必选要求。7.以下IPv6安全防护技术中，用于防范接入层攻击的是？A.RAGuardB.DHCPv6GuardC.SAVI（源地址验证改进）D.IPv6IPSec正确答案：ABC解析：RAGuard防范伪造路由器通告攻击，DHCPv6Guard防范伪造DHCPv6服务器攻击，SAVI防范IPv6源地址伪造，均为接入层防护技术，IPSec属于传输层加密技术。8.网络遥测（Telemetry）相比传统SNMP监控的优势包含？A.数据推送模式，采集时延<1sB.采集精度更高，支持端口级、流级的指标采集C.资源消耗更低D.支持自定义采集指标正确答案：ABCD解析：Telemetry采用设备主动推送模式，采集频率可达毫秒级，远高于SNMP的秒级轮询，支持丰富的自定义指标，资源消耗更低，是2025年网络运维的核心监控技术。9.以下属于服务网格Istio的核心功能的是？A.灰度发布B.流量熔断限流C.服务可观测性D.分布式追踪正确答案：ABCD解析：Istio提供全栈的服务治理能力，包含灰度发布、熔断限流、流量染色、可观测性、分布式追踪、安全授权等功能，无需业务代码改造即可实现。10.工业互联网网络的核心SLA要求包含？A.端到端时延<10msB.抖动<1msC.可用率≥99.999%D.丢包率<0.01%正确答案：ABCD解析：工业控制类业务对网络可靠性要求极高，以上指标均为工业互联网场景的典型SLA要求。三、简答题（共4题，每题5分，共20分）1.简述2025年企业部署SRv6相比传统MPLSVPN的核心优势。答案：①原生IPv6兼容：SRv6基于IPv6地址封装，无需维护MPLS标签表，可与现有IPv6网络无缝融合，跨域互联时无需多运营商协商标签分配，部署效率提升60%以上；②可编程能力：SRv6SID可扩展承载算力、安全、SLA等参数，支持“网络+算力+安全”的联合编排，适配算力网络、云边端一体化等新型场景；③端到端SLA保障：可基于业务需求编排任意端到端路径，支持硬隔离切片、时延保障等能力，SLA达标率可达99.995%；④简化OAM：SRv6集成原生OAM能力，支持随路检测，故障定位精度可达微秒级，故障排查时间从小时级降至分钟级；⑤开放性：SRv6为IETF标准协议，多厂商兼容性强，无需绑定专有硬件，降低厂商锁定风险。2.简述零信任架构在远程办公场景下的核心流程，相比传统VPN的优势。答案：核心流程：①访问主体（员工/设备）发起访问请求，首先由身份提供商完成多因子身份认证、设备健康校验（系统版本、病毒库版本、是否越狱等）；②校验通过后，策略决策点基于用户角色、业务属性、环境上下文授予最小必要的访问权限，仅允许访问授权的业务系统，默认禁止所有其他网络访问；③访问过程中持续校验上下文，若出现异常操作（如异地登录、越权访问）则实时中断权限；④全流程操作日志留存，用于审计和溯源。相比传统VPN的优势：①最小权限授权，避免传统VPN接入后可访问整个内网的风险；②持续校验，而非一次性认证，适配移动办公的动态场景；③适配SaaS、多云业务的访问，无需将所有业务流量回传总部，访问时延降低40%以上；④可与EDR、DLP等安全产品联动，构建一体化安全防护体系。3.简述云原生场景下，eBPF技术在网络运维中的核心应用场景。答案：①全链路可观测：无侵入采集Pod、服务、节点的全流量数据，生成服务调用拓扑、时延分布、丢包统计等指标，无需修改业务代码或配置流量镜像，资源消耗仅为传统方案的20%；②故障快速定位：可在内核层追踪数据包的全生命周期，精确识别丢包节点、时延瓶颈点，故障定位时间从小时级降至分钟级；③安全威胁检测：可实时检测内核层的异常流量、恶意代码调用、端口扫描等攻击行为，实现无侵入的运行时安全防护；④流量优化：可在内核层实现TCP拥塞控制优化、负载均衡、流量染色等能力，无需通过用户态代理转发，转发性能提升50%以上。4.简述数据中心BGPEVPN网络中路由震荡的常见根因及优化方案。答案：常见根因：①链路闪断导致BGP邻居频繁震荡，holdtime配置过短导致邻居快速断开；②ARP老化时间与EVPNType2路由老化时间不匹配，触发大量ARP广播，导致路由频繁更新；③控制平面未配置保护，BGP协议报文被数据流量抢占，CPU利用率过高导致协议报文丢弃，邻居断开；④路由反射器配置错误，重复发布路由，导致路由表频繁更新。优化方案：①调整BGP参数，holdtime设置为30s，keepalive设置为10s，联动BFD检测，故障感知时间<1s，避免链路闪断导致的邻居震荡；②配置ARPsuppression，减少广播报文，将ARP老化时间设置为30min，与EVPN路由老化时间对齐；③配置控制平面保护（CoPP），将BGP等协议报文的优先级设为最高，限制数据报文的CPU占用率，阈值设置为70%，超过即告警；④部署路由震荡抑制机制，当单条路由更新频率超过阈值时自动抑制，避免全网路由震荡；⑤定期开展故障演练，模拟路由震荡场景，验证网络稳定性。四、实操题（共1题，10分）题目：某企业跨3个站点部署SD-WAN，站点A（上海）访问站点B（深圳）的ERP系统时延从正常的20ms升高到200ms，丢包率15%，站点A访问其他站点（北京）正常，站点B访问其他站点（北京）正常，请写出完整的排错思路及修复方案。答案：排错步骤：1.基础链路校验：①登录SD-WAN控制器查看A到B的两条链路（电信专线、互联网）的SLA监控数据，确认是单条链路故障还是两条链路均出现质量问题；②登录两端CPE设备查看物理接口的光功率、CRC错误统计，确认是否存在物理层故障，若光功率低于阈值则更换光模块或光纤；③用mtr、icmptimestamp工具测试端到端链路的丢包节点，定位是运营商中间链路故障还是CPE设备故障。2.选路策略校验：①查看ERP流量的智能选路策略，确认是否配置了错误的SLA阈值，导致流量被调度到劣质链路，若策略配置错误则调整选路阈值，强制ERP流量优先走电信专线；②查看QoS配置，确认ERP流量的DSCP标记是否被修改，是否被加入低优先级队列导致拥塞丢包，若配置错误则重新标记DSCP，将ERP流量加入最高优先级队列，预留30%的带宽保障。3.路由与安全校验：①查看两端CPE的路由表，确认A到B的路由是否为最优路径，是否存在路由次优导致绕路，若存在次优路由则调整路由优先级；②查看两端防火墙、IPS的日志，确认是否存在误拦截、限流配置导致的丢包，若存在误拦截则添加ERP流量的白名单。修复方案总结：若为运营商链路故障，切换流量到备用链路，同步通知运营商修复链路；若为配置错误，修正选路、QoS、路由配置；若为硬件故障，更换光模块或CPE设备。修复后需测试ERP访问时延、丢包率恢复到正常范围，模拟链路故障验证选路切换正常，SLA符合要求。五、综合分析题（共1题，10分）题目：某中型企业2025年要构建云-边-端一体化网络，现有3个公有云VPC（阿里云、腾讯云、华为云）、2个边缘计算节点（用于门店智能分析）、10个线下门店、2000名远程办公员工，要求网络可用率≥99.99%，业务访问时延<50ms，符合等保2.0三级要求，写出整体架构设计方案。答案：整体架构分为承载层、控制层、安全层、运维层四个