2025年最-新计算机等级考试四级网络工程师试题与答案

2025年最新计算机等级考试四级网络工程师试题与答案一、选择题（共40题，每题1分，共40分。下列各题A、B、C、D四个选项中，只有一个选项是正确的）1.2025年我国东数西算工程进入规模化落地阶段，某算力枢纽节点规划建设跨区域数据传输网络，以下不属于网络系统设计核心原则的是（）A.可用性：核心链路冗余度不低于99.99%，年故障时长不超过53分钟B.扩展性：核心路由器槽位利用率预留不低于40%，支持IPv4/IPv6双栈平滑演进C.经济性：优先采用低价低质民用光纤链路，核心设备采用白盒设备降低采购成本D.安全性：符合等保2.0三级要求，部署跨区域流量加密、异常流量清洗能力答案：C解析：网络系统设计的经济性原则是在满足性能、可靠性要求的前提下控制成本，不得为降低成本牺牲核心链路质量和核心设备可靠性。东数西算跨区域传输网络需采用运营商一级干线光纤，核心设备需满足电信级可靠性要求，C选项错误。2.某连锁企业计划2025年升级全国2000家门店的广域网，以下关于SD-WAN技术特征的描述错误的是（）A.支持混合链路接入，可同时绑定互联网专线、5G、MPLS链路实现负载均衡B.基于应用识别实现智能选路，核心业务优先走低时延MPLS链路，非核心业务走互联网链路C.支持零配置部署，门店设备上电后可自动与控制器建立连接下载配置D.不支持IPv6流量调度，需额外部署IPv6转换器实现双栈流量传输答案：D解析：2023年之后主流SD-WAN设备均原生支持IPv4/IPv6双栈流量调度、加密传输，无需额外部署转换器，D选项不符合当前技术现状，错误。3.以下IPv6地址中，属于唯一本地地址（ULA）的是（）A.FE80::2E0:FCFF:FE12:3456B.FD00:1234:5678::1C.2409:8000::1D.FF02::1答案：B解析：唯一本地地址前缀为FC00::/7，FD开头属于该范围，为私网IPv6地址，相当于IPv4的10.0.0.0/8等私网段；A选项为链路本地地址（前缀FE80::/10），C选项为全球单播地址，D选项为组播地址。4.某运营商骨干网采用OSPFv3作为IGP协议，以下关于OSPFv3的描述正确的是（）A.OSPFv3的RouterID必须采用32位IPv6地址格式B.OSPFv3支持在同一链路上部署多个实例，适用于多租户场景C.OSPFv3的邻居发现机制依赖IPv4的ARP协议D.OSPFv3不支持对LSA进行加密认证，需额外部署IPsec答案：B解析：OSPFv3的RouterID仍为32位数值，无需采用IPv6格式，A错误；OSPFv3新增实例ID字段，支持同一链路多实例部署，B正确；OSPFv3邻居发现依赖IPv6的ND协议，无需ARP，C错误；OSPFv3原生支持报文头部认证，可直接配置认证策略，D错误。5.某企业部署零信任网络架构，以下不属于零信任核心原则的是（）A.永不信任，始终验证：所有访问请求无论来自内部还是外部，均需完成身份认证和授权B.最小权限：仅给用户分配完成工作所需的最小权限，默认拒绝所有未明确允许的访问C.默认信任内部网络：内部终端无需认证即可直接访问核心业务系统D.持续信任评估：实时监测终端健康状态、访问行为，发现异常立即撤销权限答案：C解析：零信任架构打破了传统的“默认信任内部网络”的边界防护逻辑，所有访问主体无论位于网络内外，都需要经过持续认证和授权，C选项错误。6.以下关于WiFi6E技术的描述错误的是（）A.工作在6GHz频段，相比WiFi6的2.4G/5G频段干扰更小，带宽更高B.单AP最大接入终端数可达1024个，适用于高密接入场景C.不支持IPv6地址分配，需额外配置IPv6转换器D.理论最大传输速率可达9.6Gbps，时延低至2ms答案：C解析：WiFi6E原生支持IPv6协议栈，可通过SLAAC或DHCPv6为终端分配IPv6地址，无需额外转换设备，C选项错误。7.某交换机配置MSTP协议实现二层环路避免，以下关于MSTP的描述正确的是（）A.MSTP只能将一个VLAN映射到一个生成树实例B.MSTP不同实例之间可以实现负载均衡，提高链路利用率C.MSTP不支持与RSTP、STP协议兼容D.MSTP的域边界端口只能作为根端口存在答案：B解析：MSTP支持将多个VLAN映射到同一个生成树实例，A错误；MSTP可通过不同实例绑定不同VLAN，实现流量在多条链路之间负载均衡，B正确；MSTP向下兼容RSTP、STP协议，C错误；MSTP域边界端口可根据拓扑角色为根端口、指定端口或边缘端口，D错误。8.某企业出口配置NAPT实现私网用户访问互联网，以下关于NAPT的描述正确的是（）A.NAPT只能实现公网地址和私网地址的一对一映射B.NAPT通过端口号区分不同私网用户的连接，可实现多个私网用户共用一个公网地址C.NAPT支持所有网络层协议的地址转换，包括ICMP、IPsec、OSPFD.NAPT会提高网络转发性能，降低设备CPU负载答案：B解析：一对一地址映射为静态NAT的特征，NAPT为端口级地址转换，支持多对一映射，A错误；NAPT通过传输层端口号区分不同连接，可实现多个私网用户共用少量公网地址，B正确；NAPT无法直接封装IPsec的AH报文等网络层加密协议，需要额外配置NAT穿越，C错误；NAPT需要设备对报文进行头部修改、会话表维护，会增加CPU负载，降低转发性能，D错误。9.等保2.0三级要求网络系统的日志留存时间不低于（）A.30天B.90天C.6个月D.1年答案：C解析：根据《网络安全等级保护基本要求》，三级系统的网络流量日志、操作日志、安全事件日志留存时间不低于6个月，C选项正确。10.以下关于BGP4+协议的描述错误的是（）A.BGP4+是支持IPv6的边界网关协议，用于跨自治系统的路由交换B.BGP4+的邻居建立必须依赖IPv4地址，无法通过IPv6地址建立邻居C.BGP4+支持路由聚合、路由策略、AS路径过滤等功能D.BGP4+的报文封装在TCP协议之上，端口号为179答案：B解析：BGP4+支持通过IPv6地址建立邻居关系，仅需在配置时指定邻居的IPv6地址即可，B选项错误。二、综合题（共4题，每题10分，共40分）综合题1：IP地址规划与计算某企业获得IPv4地址块116.205.128.0/19，同时获得IPv6前缀2409:8080:2025::/48，按要求完成以下计算：（1）将IPv4地址块划分为8个相同大小的子网，每个子网可容纳的主机数不低于1000台，计算每个子网的子网掩码、第一个子网的网络地址、广播地址、可用主机地址范围。（6分）（2）将IPv6前缀划分为16个/52的子网，计算第3个子网（子网序号从0开始计数）的前缀、可分配给终端的地址数量。（4分）参考答案：（1）IPv4计算部分：原地址块前缀为/19，网络位19位，主机位13位。需划分8个子网，需借用3位主机位作为子网位（2^3=8），新子网前缀为19+3=22位，子网掩码为255.255.252.0（2分）。第一个子网的网络地址为116.205.128.0/22（1分），广播地址为子网段最后一个地址，即116.205.131.255（1分），可用主机地址范围需排除网络地址和广播地址，为116.205.128.1~116.205.131.254（2分）。（2）IPv6计算部分：原前缀为/48，要划分16个/52的子网，需借用4位子网位（52-48=4），第3个子网的子网位取值为0011，对应第4个16位段的前4位为0011，因此前缀为2409:8080:2025:3000::/52（2分）。IPv6无网络地址和广播地址的预留要求，可分配地址数量为2^(128-52)=2^76个（2分）。综合题2：路由器配置题某企业出口路由器采用华为VRP8系统，部署IPv4/IPv6双栈，OSPFv2承载IPv4业务，OSPFv3承载IPv6业务，出口配置NAT和ACL实现内部用户访问互联网，按要求补全以下配置命令：（1）配置路由器GigabitEthernet0/0/1接口的IPv4地址192.168.10.1/24，IPv6地址2409:8080:2025:10::1/64，开启OSPFv2进程1区域0，OSPFv3进程1区域0。（4分）（2）配置高级ACL3000，允许192.168.0.0/16网段访问互联网，禁止其他私网地址访问，配置NAPT实现地址转换，公网地址段为116.205.128.10~116.205.128.20，出接口为GigabitEthernet0/0/0。（3分）（3）配置IPv6高级ACL编号3001，禁止2409:8080:2025:20::/64网段访问外部IPv6游戏端口UDP3478，允许其他IPv6流量通过，配置在出口出方向生效。（3分）参考答案：（1）接口配置：system-view[Router]interfaceGigabitEthernet0/0/1[Router-GigabitEthernet0/0/1]ipaddress192.168.10.1255.255.255.0[Router-GigabitEthernet0/0/1]ipv6enable[Router-GigabitEthernet0/0/1]ipv6address2409:8080:2025:10::1/64[Router-GigabitEthernet0/0/1]ospfenable1area0[Router-GigabitEthernet0/0/1]ospfv31area0[Router-GigabitEthernet0/0/1]quit（评分说明：每配置对1项得1分，满分4分）（2）IPv4NAT与ACL配置：[Router]aclnumber3000[Router-acl-adv-3000]rulepermitipsource192.168.0.00.0.255.255[Router-acl-adv-3000]ruledenyipsource10.0.0.00.255.255.255[Router-acl-adv-3000]ruledenyipsource172.16.0.00.15.255.255[Router-acl-adv-3000]quit[Router]nataddress-group1116.205.128.10116.205.128.20[Router]interfaceGigabitEthernet0/0/0[Router-GigabitEthernet0/0/0]natoutbound3000address-group1[Router-GigabitEthernet0/0/0]quit（评分说明：ACL配置正确得1分，NAT地址组配置正确得1分，接口NAT绑定正确得1分，满分3分）（3）IPv6ACL配置：[Router]aclipv6number3001[Router-acl6-adv-3001]ruledenyudpsource2409:8080:2025:20::/64destination-porteq3478[Router-acl6-adv-3001]rulepermitipv6[Router-acl6-adv-3001]quit[Router]interfaceGigabitEthernet0/0/0[Router-GigabitEthernet0/0/0]ipv6traffic-filter3001outbound[Router-GigabitEthernet0/0/0]quit（评分说明：IPv6ACL规则配置正确得2分，接口绑定正确得1分，满分3分）综合题3：交换机配置题某数据中心接入交换机采用MSTP+VXLAN部署，实现多租户二层互通，按要求补全配置：（1）配置交换机VLAN10为租户A业务VLAN，VLAN20为租户B业务VLAN，配置GigabitEthernet0/0/1为接入端口，接入VLAN10，开启端口安全，最大接入MAC地址数为2，违规后自动关闭端口。（4分）（2）配置MSTP实例1绑定VLAN10，实例2绑定VLAN20，配置交换机为实例1的根桥，实例2的备份根桥。（3分）（3）配置VXLANBridge-Domain10绑定VLAN10，VNI10010，实现VXLAN二层封装。（3分）参考答案：（1）端口与VLAN配置：system-view[Switch]vlanbatch1020[Switch]interfaceGigabitEthernet0/0/1[Switch-GigabitEthernet0/0/1]portlink-typeaccess[Switch-GigabitEthernet0/0/1]portdefaultvlan10[Switch-GigabitEthernet0/0/1]port-securityenable[Switch-GigabitEthernet0/0/1]port-securitymax-mac-num2[Switch-GigabitEthernet0/0/1]port-securityprotect-actionshutdown[Switch-GigabitEthernet0/0/1]quit（评分说明：VLAN创建正确得1分，端口接入配置正确得1分，端口安全配置正确得2分，满分4分）（2）MSTP配置：[Switch]stpregion-configuration[Switch-mst-region]region-nameDC1[Switch-mst-region]instance1vlan10[Switch-mst-region]instance2vlan20[Switch-mst-region]activeregion-configuration[Switch-mst-region]quit[Switch]stpinstance1rootprimary[Switch]stpinstance2rootsecondary（评分说明：实例绑定正确得1分，根桥配置正确得2分，满分3分）（3）VXLAN配置：[Switch]bridge-domain10[Switch-bd10]vxlanvni10010[Switch-bd10]quit[Switch]vlan10[Switch-vlan10]bridge-domain10[Switch-vlan10]quit（评分说明：BD创建与VNI绑定正确得2分，VLAN与BD绑定正确得1分，满分3分）综合题4：故障排查题某用户终端接入企业网络后，可正常访问IPv4互联网，但无法访问IPv6站点，终端获取的IPv6地址仅为FE80::2AA:FF:FE12:3456/64，无全球单播地址，按步骤排查故障，说明每一步的排查要点和可能原因。参考答案：排查步骤1：终端配置核查（2分）排查要点：查看终端网络配置，确认IPv6地址获取方式为自动获取（SLAAC或DHCPv6），若为手动配置则校验地址、网关、IPv6DNS参数是否正确。可能原因：终端手动配置错误的IPv6参数，或未开启IPv6自动获取功能，仅生成链路本地地址。排查步骤2：接入交换机配置核查（3分）排查要点：登录接入交换机，查看端口是否开启IPv6功能、是否配置IPv6前缀广播、是否开启DHCPv6中继，是否存在ACL拦截ND、DHCPv6报文。可能原因：接入交换机端口未开启IPv6功能，未下放IPv6前缀，或ACL拦截了IPv6控制报文，导致终端无法获取全球单播地址。排查步骤3：DHCPv6服务器状态核查（2分）排查要点：查看DHCPv6服务器的地址池利用率、服务运行状态，确认该接入网段是否在允许分配的地址池范围内，是否配置了静态绑定限制。可能原因：DHCPv6地址池耗尽，或服务进程故障，无法响应终端的地址申请请求。排查步骤4：核心层与出口配置核查（3分）排查要点：查看核心路由器是否配置IPv6默认路由、是否与运营商建立正常的BGP4+邻居、出口是否配置ACL拦截IPv6流量。可能原因：核心路由器IPv6路由中断，或出口设备配置了禁止IPv6流量的规则，导致终端获取地址后也无法连通外部网络。三、应用题（共20分）某中型制造企业2025年计划升级企业网络，架构为总部+3个异地分支机构，总部员工1200人，每个分支机构员工200人，要求满足以下需求：1.全网支持IPv4/IPv6双栈，核心业务端到端时延不超过50ms，网络可用率不低于99.99%；2.分支机构与总部之间采用SD-WAN互联，核心生产数据走加密MPLS链路，办公流量走互联网链路；3.全网部署零信任终端准入，未认证终端不得访问内部业务系统；4.总部数据中心部署双核心冗余，核心业务系统做异地备份。按要求完成以下设计：（1）绘制网络逻辑拓扑框架，说明各节点的设备选型与功能定位。（8分）（2）计算总部与各分支机构的广域网带宽需求，说明带宽分配策略。（5分）（3）设计核心安全防护策略，覆盖准入、传输、数据中心三个层面。（7分）参考答案：（1）拓扑框架与设备定位：网络采用层级化冗余设计，分为核心层、汇聚层、接入层、广域网互联层、数据中心层五个层级：①总部核心层：部署2台华为NetEngine8000系列电信级核心路由器，配置冗余电源、冗余主控板，作为双核心节点，两台核心之间采用400G链路聚合实现冗余，负责全网双栈路由转发、流量调度，单点故障不影响全网运行。（2分）②总部汇聚层：部署2台华为S6730-H系列万兆汇聚交换机，每台汇聚交换机分别双归到两台核心路由器，负责VLAN聚合、ACL策略部署、MSTP根桥配置，下联接入层采用10G链路聚合。（1分）③接入层：总部每楼层部署2台S5735-L系列千兆接入交换机，支持PoE+供电，为终端、AP、摄像头提供接入，开启端口安全、802.1X认证；每个分支机构部署1台S5735-L作为接入交换机，满足200人终端接入需求。（1分）④广域网互联层：总部与3个分支机构分别部署华为AR6500系列SD-WAN网关，总部网关绑定1条100MMPLS专线、1条2G互联网专线，每个分支机构网关绑定1条10MMPLS专线、1条300M互联网专线、1条100M5G备份链路，SD-WAN网关统一接入总部控制器，实现智能选路、流量加密。（2分）⑤数据中心层：部署2台华为CE6865系列25G数据中心交换机，双归到核心路由器，承载ERP、MES等核心生产业务系统，配置VXLAN实现不同业务域隔离，核心数据每日同步到分支机构备份节点。（1分）⑥无线接入层：全网部署WiFi6EAP，采用AC6800系列无线控制器集中管理，支持双栈接入，无线用户之间配置二层隔离，防范横向攻击。（1分）（2）带宽需求与分配策略：带宽需