2026上半年5月23日软考网络工程师案例分析真题及答案汇-总

2026上半年5月23日软考网络工程师案例分析真题及答案汇总试题一（20分）背景：某制造企业计划升级原有总部园区网络，新网络要求支持办公区、生产区、研发区三个区域的业务隔离，支持万兆核心、千兆到桌面，同时接入企业现有私有云平台，对外提供Web、ERP两类对外服务，出口采用双链路连接运营商网络。网络拓扑核心层采用两台核心交换机S1、S2做冗余，汇聚层按三个业务区域各设置两台汇聚交换机，接入层为各区域接入交换机，出口部署两台防火墙做冗余，分别连接1000M电信链路和500M联通链路，核心旁联入侵防御系统IPS和日志审计服务器，DMZ区部署Web服务器、ERP服务器各两台，做负载均衡。问题1（6分）：该企业网络划分VLAN，要求不同业务区域不同VLAN，每个VLAN不超过800台终端，结合需求回答以下问题：（1）若采用172.16.0.0/16私有地址段进行划分，采用变长子网掩码，每个VLAN可用主机数最少满足需求，请问最小子网掩码是多少？（2）研发区共有5个VLAN，生产区共有8个VLAN，办公区共有12个VLAN，DMZ区需要2个VLAN，请问一共需要多少个可用子网？划分后剩余多少个可用子网？问题2（6分）：为了实现双出口负载均衡和冗余备份，运营商给企业分配了固定公网地址段202.102.120.0/24，电信链路对应ISP1，联通对应ISP2，要求：①内网用户访问公网时，根据运营商链路权重分流，电信承载70%流量，联通30%；②公网用户访问DMZ区服务器走对应运营商链路，请问：（1）该场景下应采用哪种路由接入方式？（备选：静态路由、策略路由、RIP、OSPF）（2）防火墙需要配置哪种NAT方式实现内网用户访问公网，对比两种常用NAT方式说明选择理由？（3）DMZ区服务器需要对公网提供服务，应配置哪种DNS实现不同运营商用户的智能解析？问题3（4分）：该企业要求核心交换机实现跨区域VLAN路由转发，同时要求实现网关冗余，避免单网关故障，请问应采用什么协议类型实现该需求？列举常用的该类协议至少2种。问题4（4分）：该企业生产区核心设备采用工业以太网交换机，和普通商用交换机比，工业交换机有哪些特殊特性？请列举4个并简要说明。试题一参考答案问题1：（1）若要满足单个VLAN最多容纳800台终端，设主机位为n，可得公式`2^n-2≥800`，计算得：2^9=512，512-2=510<800，不满足要求；2^10=1024，1024-2=1022≥800，满足要求，因此主机位为10位，网络位为32-10=22位，对应子网掩码为`255.255.252.0`。（3分）（2）总计需要VLAN数量为5+8+12+2=27个，即需要27个子网。原地址段为172.16.0.0/16，原网络位为16位，划分后子网位为22-16=6位，总子网数为2^6=64个，扣除全0全1两个不可用子网，可用子网共62个，因此剩余可用子网数量为62-27=35个。（3分）问题2：（1）应选择策略路由。策略路由可以基于源地址、入接口、业务类型自定义转发规则，能够灵活实现多出口分流、入站链路匹配的需求，符合本题场景要求。（2分）（2）本场景适合选择PAT（端口地址转换，又称NAPT）。常用的两类NAT为动态NAT和PAT：动态NAT将内网地址转换为公网地址池中的地址，每个连接临时占用一个公网地址，公网地址数量等于最大并发连接数，公网地址利用率低；PAT是端口复用型动态NAT，多个内网主机可以共用同一个公网IP，通过不同的传输层端口区分不同连接，能够大幅节省公网IP地址，满足大量内网用户同时访问公网的需求，因此本场景选择PAT。（2分）（3）应配置智能DNS。智能DNS可以根据访问者所属的运营商，返回对应运营商的服务器公网地址，实现不同运营商用户访问走对应链路，降低延迟。（2分）问题3：应采用冗余网关协议实现网关冗余，常用协议包括：VRRP（虚拟路由器冗余协议）、HSRP（热备份路由器协议）、GLBP（网关负载均衡协议），答对任意2种即可得分。（4分）问题4：工业交换机相比商用交换机的特殊特性包括：①宽温适应能力：工业交换机工作温度范围一般为-40℃~85℃，远宽于商用交换机的0℃~40℃，可适应生产现场高低温大幅变化的环境；②强抗电磁干扰能力：工业生产现场存在电机、变频器等大量强电磁干扰源，工业交换机符合工业四级EMC防护标准，可抵御强干扰，避免丢包宕机；③环网冗余快速自愈：工业场景对业务可用性要求高，工业交换机普遍支持ERPS等工业环网协议，可实现50ms以内的链路故障自愈，保证业务不中断；④高防护等级：工业现场多粉尘、潮湿，工业交换机防护等级一般为IP30以上，室外型可达IP67，可防尘防水，延长设备使用寿命；⑤无风扇散热设计：采用外壳自然散热替代风扇，减少故障点，避免风扇吸入粉尘造成设备损坏，答对任意4个即可得分。（4分）试题二（20分）背景：某企业内网中路由器R1连接核心交换机，公网侧下一跳为防火墙地址202.102.120.254，R1的GE0/0/0接口IP为192.168.10.1/24，连接核心交换机，Loopback0接口地址为10.0.0.1/32，规划R1参与内网OSPF进程，要求手工指定RouterID为10.0.0.1，R1和核心交换机对接的OSPF接口Hello报文间隔为10秒，死亡间隔为40秒，仅发布内网网段和Loopback0接口到OSPF区域，禁止修改RouterID后需要重启设备生效，配置片段如下，补充空缺配置。```<R1>system-view[R1]interfaceGigabitEthernet0/0/0[R1-GigabitEthernet0/0/0]ipaddress192.168.10.1255.255.255.0[R1-GigabitEthernet0/0/0]ospftimerhello____(1)____[R1-GigabitEthernet0/0/0]ospftimerdead____(2)____[R1-GigabitEthernet0/0/0]quit[R1]interfaceLoopBack0[R1-LoopBack0]ipaddress10.0.0.1255.255.255.255[R1-LoopBack0]quit[R1]routerid____(3)____[R1]ospf1[R1-ospf-1]area0[R1-ospf-1-area-0.0.0.0]____(4)____192.168.10.00.0.0.255[R1-ospf-1-area-0.0.0.0]____(5)____10.0.0.10.0.0.0[R1-ospf-1-area-0.0.0.0]quit[R1-ospf-1]____(6)____```问题1（12分）：补充上述配置空缺，每空2分。问题2（4分）：配置完成后，R1无法和核心交换机建立OSPF邻居关系，排查发现R1的Hello间隔为10秒，核心交换机对应接口死亡间隔为30秒，请问能否建立邻居关系？说明原因。问题3（4分）：请写出R1配置静态默认路由指向防火墙的命令（华为VRP系统），如果同时配置了OSPF发布的默认路由和静态默认路由，默认情况下哪条路由会优先生效？说明原因。试题二参考答案问题1：(1)`10`（2分），需求要求Hello间隔为10秒，因此填10。(2)`40`（2分），需求要求死亡间隔为40秒，因此填40。(3)`10.0.0.1`（2分），手工指定RouterID为10.0.0.1，因此填该地址。(4)`network`（2分），OSPF中发布网段使用network命令配合反掩码匹配接口，因此填network。(5)`network`（2分），同(4)，发布Loopback0接口网段。(6)`router-idpreserve`（2分），该命令作用是保存手工配置的RouterID，接口地址变化后不会自动修改RouterID，无需重启设备生效，符合需求。问题2：不能建立OSPF邻居关系。（1分）OSPF协议规范要求，直连对接的两个OSPF接口的Hello间隔、死亡间隔、区域ID、认证类型、区域类型等参数必须完全一致，才能完成邻居关系建立；本场景中两端死亡间隔参数不匹配，因此无法建立邻居关系。（3分）问题3：华为VRP系统中静态默认路由配置命令为：`iproute-static0.0.0.00202.102.120.254`（2分）。默认情况下静态默认路由会优先生效，原因：华为系统中静态路由默认优先级为60，OSPF默认发布的外部路由优先级为150，路由优先级数值越小优先级越高，因此静态默认路由优先级更高，会被优选。（2分）试题三（20分）背景：某单位园区网络近期出现大量用户上网卡顿，部分用户无法打开网页，管理员排查发现：出口带宽峰值利用率达到95%，DMZ区Web服务器存在异常流量，核心交换机ARP表存在大量虚假ARP条目，部分用户网关MAC地址被篡改。问题1（6分）：排查发现内网大量用户使用P2P下载工具，占用了70%以上的出口带宽，请问可以采用什么技术管控P2P带宽，限制P2P流量占比？该技术通过什么维度识别管控P2P流量？如果需要为研发、办公不同部门用户分配不同的带宽上限，研发用户单用户最高100M，办公用户单用户最高20M，应采用什么技术实现？问题2（6分）：排查发现Web服务器收到大量来自不同源IP的访问请求，请求量远超过服务器处理能力，导致服务器资源耗尽无法响应正常请求，该攻击类型是什么？说明该攻击的核心特征，列举两种防护方法。问题3（4分）：核心交换机存在大量虚假ARP条目，网关MAC被篡改，用户流量被劫持，该攻击类型是什么？列举两种防护技术。问题4（4分）：单位计划升级全网接入控制，要求所有终端接入网络前必须完成身份认证，同时检查终端是否安装杀毒软件、是否符合系统安全策略，符合要求才能接入网络，常用的802.1X准入控制采用什么架构？包含哪三个核心组成部分？试题三参考答案问题1：（1）可以采用QoS（服务质量）流量监管技术管控P2P流量，先通过应用识别识别出P2P流量，再对P2P流量的总带宽进行限制，避免P2P占用过多出口带宽。（2分）（2）该技术一般通过应用层协议特征识别P2P流量，结合五元组（源IP、目的IP、源端口、目的端口、传输层协议）对流量进行分类，针对分类后的P2P流量执行带宽限制策略。（2分）（3）可以采用基于用户角色的QoS限速技术，将不同部门用户划分到不同的用户组，为每个用户组绑定不同的带宽限速模板，实现差异化带宽管控，常用CAR（承诺访问速率）或分层令牌桶技术实现该需求。（2分）问题2：该攻击类型是分布式拒绝服务攻击（DDoS攻击）。（1分）核心特征：攻击者控制大量僵尸主机，从多个源IP向目标服务器发送大量访问请求，要么占满目标服务器的出口带宽，要么耗尽目标服务器的CPU、内存、连接数等系统资源，导致目标服务器无法响应合法用户的正常访问请求。（2分）防护方法：①部署DDoS流量清洗，将异常流量牵引到清洗中心，过滤攻击流量后将正常流量回注到网络；②配置防火墙单源速率限制，限制单个源IP的访问请求频率，过滤非法源IP；③购买运营商DDoS高防服务，实现近源清洗，防护大流量攻击；④采用负载均衡集群，分摊攻击流量，避免单节点被打垮，答对任意两种即可得3分，总分6分。问题3：该攻击是ARP欺骗攻击（又称ARP缓存投毒攻击），攻击者发送虚假ARP报文，修改交换机和终端的ARP缓存，将网关IP对应的MAC修改为攻击者的MAC，劫持用户流量。（1分）防护技术：①静态ARP绑定，在交换机和终端上静态绑定网关IP和MAC地址，禁止动态ARP修改；②DAI（动态ARP检测），交换机对接入的ARP报文进行合法性检查，丢弃IP和MAC对应关系不合法的ARP报文；③ARP防网关欺骗，交换机开启ARP防欺骗功能，限制端口发送ARP报文的速率，过滤非法ARP报文，答对任意两种即可得3分，总分4分。问题4：802.1X准入控制采用客户端/服务器认证架构，三个核心组成部分为：①客户端：用户接入终端，运行802.1X客户端程序，负责发起认证请求，提交身份凭证；②认证系统：接入交换机或无线AC等网络接入设备，负责转发认证报文，根据认证结果打开或关闭端口转发权限；③认证服务器：一般为RADIUS服务器，负责存储用户身份信息，验证客户端身份凭证的合法性，返回认证结果给认证系统，答对三个组成部分即可得4分。试题四（40分）背景：某单位新建办公区无线网络，要求实现全覆盖，支持802.11ax协议，双频并发，支持用户无缝漫游，身份认证采用Portal认证，规划业务VLAN为100，管理VLAN为101，AC采用旁挂模式组网，AP为FitAP，由AC统一管理配置。问题1（8分）：本次组网采用802.11ax（WiFi6）协议，对比802.11ac（WiFi5），802.11ax有哪些核心优势？列举3个并简要说明。用户接入无线后，需要自动跳转到Portal认证页面，无需用户手动输入认证地址，该功能名称是什么？问题2（8分）：FitAP需要自动发现AC完成注册，列举三种常见的AP自动发现AC的方式。用户漫游过程中要求IP地址保持不变，连接不中断，需要配置什么技术实现？问题3（12分）：部署完成后，部分区域AP无法被AC发现，排查确认AP无法获取IP地址，请列举四种可能的故障原因。问题4（12分）：部分区域用户反映无线信号满格但是上网卡顿，速率很慢，请列举五种可能的故障原因。试题四参考答案问题1：802.11ax对比802.11ac的核心优势：①支持更高并发：采用OFDMA（正交频分多址）技术，可同时为多个终端传输数据，单AP可支持的并发终端数量是802.11ac的4倍以上，适合高密度接入场景；②更高的传输速率：采用1024QAM调制技术，单流带宽更高，理论最大速率远超802.11ac；③更低的延迟：优化了信道接入机制，降低传输延迟，适合语音、视频等低延迟业务；④支持上下行MU-MIMO：802.11ac仅支持下行MU-MIMO，802.11ax支持上下行MU-MIMO，上下行传输效率都大幅提升；⑤更省电：采用TWT（目标唤醒时间）技术，移动终端可以更长时间休眠，提升续航，答对任意3个即可得6分。该自动跳转认证页面的功能叫做强制Portal重定向，简称强制Portal，答对即可得2分，总分8分。问题2：常见的AP自动发现AC的方式：①DHCPOption43发现：DHCP服务器为AP分配IP地址时，通过Option43字段携带AC的IP地址，AP获取IP后直接通过该地址发现AC；②DHCPOption150发现：和Option43原理类似，部分厂商设备使用Option150携带AC地址；③DNS发现：AP通过预设的AC域名，解析得到AC的IP地址完成发现；④二层广播发现：AP在二层网络中发送广播发现报文，AC收到后直接回应完成发现；⑤静态指定发现：AP上手工配置AC的IP地址，主动发起连接，答对任意三种即可得6分。要实现漫游过程中IP不变、连接不中断，同VLAN漫游需要配置二层快速漫游，跨VLAN漫游需要配置802.11r快速漫游技术，实现漫游过程中快速完成认证，保持IP和连接不中断，答对即可得2分，总分8分。问题3：AP无法获取IP地址的常见原因：①AP上联交