2025年下半年网络工程师案例分析真题模拟试题及答案

2025年下半年网络工程师案例分析真题模拟试题及答案(2)试题一（20分）某中型零售企业2025年启动全国仓储分支组网建设，总部位于杭州，原有出口配置中国电信1000M专线、中国联通500M专线，核心交换机采用华为S12700E，SD-WAN控制器部署在总部私有云资源池。本次新建3个省级仓储分支，单分支配置中国电信500M互联网专线、中国联通500M互联网专线、中国电信5G备份链路，分支出口采用华为AR6300-S集成路由器。组网要求如下：1.总分互联采用IPsecVPN加密，支持IPv4/IPv6双栈；2.分支访问总部库存、ERP等核心业务优先走有线专线，链路故障时自动切换到5G链路；3.分支访问互联网流量采用本地Breakout模式，无需绕行总部；4.核心业务端到端时延≤200ms、丢包率≤1%。请结合场景回答下列问题：【问题1】（4分）总部核心交换机为分支分配IPv6前缀，配置片段如下：```ipv6route-static2001:db8:2c::/48NULL0preference60dhcpv6serverpoolBRANCH_IPV6_POOLprefix-delegation2001:db8:2c::/4856dns-server2001:db8:2c::102001:db8:2c::11domain-name```（1）请计算该地址池可支持多少个分支的前缀分配？每个分支最多可划分多少个/64的业务子网？（2）若每个分支需要为办公、仓储、监控、运维等8个VLAN分配独立/64子网，该地址分配方案是否满足要求？【问题2】（4分）分支5G备份链路配置片段如下：```interfaceCellular0/0/0dialerenable-circularapn-nameretail-5g-specialpppauthentication-modechapuserbranch001passwordcipherRetail@5G2025ipaddressppp-negotiateipv6addressautoiproute-static0Cellular0/0/0preference[1]ipv6route-static::0Cellular0/0/0preference[2]```（1）已知有线专线的静态路由优先级为60，请填写[1][2]处的数值，确保5G链路作为备份。（2）SD-WAN控制器南向管理分支设备需要放通哪些协议端口？请列举3个核心端口及对应协议。【问题3】（4分）该企业要求库存管理系统（TCP8080、UDP9090）流量优先级最高，走电信专线；监控视频流量（UDP10000-20000）走联通专线；互联网访问流量本地转发。（1）请描述SD-WAN应用调度的配置思路。（2）为保障核心业务QoS，库存管理系统和监控流量应分别标记为什么DSCP值？【问题4】（4分）为实现链路故障快速切换，要求链路丢包率≥5%、单向时延≥200ms时自动切换链路。（1）应采用什么技术实现链路质量的毫秒级检测？（2）若配置该技术的最小发送间隔为10ms、最小接收间隔为10ms、检测倍数为3，请计算最快可在多长时间内检测到链路故障？【问题5】（4分）总分IPsecVPN采用IKEv2协议协商，预共享密钥为Retail@IPsec2025。（1）相比IKEv1，IKEv2有哪些核心优势？请列举3项。（2）若分支位于NAT网络环境下，IKEv2需要放通哪些端口保障正常协商？试题一参考答案【问题1】（1）地址池总前缀为/48，分配给单分支的前缀为/56，可分配分支数为2^(56-48)=256个；单分支/56前缀可划分的/64子网数为2^(64-56)=256个。（2）单分支最多可划分256个/64子网，远高于8个的需求，该方案满足要求。【问题2】（1）[1]、[2]均应填写大于60的数值，常规配置为100，确保静态路由优先级低于有线链路。（2）核心端口包括：NETCONF协议830端口、IPsecIKE协商500/4500端口、OpenFlow协议6653端口、BFD协议3784端口（任选3项即可）。【问题3】（1）配置思路：①自定义应用识别规则，匹配库存系统、监控流量的端口/IP特征；②配置SLA策略，为电信、联通、5G链路设置优先级，电信链路优先级最高，联通次之，5G最低；③配置应用调度策略，库存系统流量绑定电信链路，监控流量绑定联通链路，其余流量匹配本地Breakout规则；④配置链路故障切换规则，链路质量不满足阈值时自动切换到次优先级链路。（2）库存管理系统属于关键业务低时延流量，标记为EF（DSCP值46）；监控视频属于高带宽保障流量，标记为AF41（DSCP值34）。【问题4】（1）采用BFD（双向转发检测）技术实现毫秒级链路质量检测。（2）故障检测时间=最小接收间隔*检测倍数=10ms*3=30ms。【问题5】（1）核心优势：①协商效率更高，IKEv2仅需1次往返即可完成SA协商，IKEv1主模式需要6次报文交互；②原生支持NAT穿越、EAP认证，适配移动办公、分支NAT场景；③抗DoS攻击能力更强，支持Cookie校验，避免伪造请求消耗设备资源；④支持多SA复用，减少加密开销（任选3项即可）。（2）需要放通UDP500（IKE协商）、UDP4500（NAT穿越下的IPsec报文封装）端口。试题二（20分）某双一流高校2025年启动新校区校园网改造，采用有线无线一体化架构，核心层部署两台华为CE12800交换机作为EVPN-VXLAN三层网关，接入层部署S5735-S交换机作为VXLAN二层接入节点，无线侧采用WiFi6EAP，支持2.4GHz、5GHz、6GHz三频段。组网要求如下：1.不同院系业务部署在独立VXLAN广播域，实现二层隔离；2.跨楼栋漫游切换时延≤50ms，业务不中断；3.全网支持IPv4/IPv6双栈，无线终端采用SLAAC方式自动获取IPv6地址；4.接入层防私接、防环路，网络可用性≥99.99%。请结合场景回答下列问题：【问题1】（5分）核心层EVPN实例配置片段如下：```evpn-overlayenableipvpn-instanceCS_COLLEGEipv6-familyevpnroute-distinguisher100:1vpn-target100:1export-extcommunityvpn-target100:1import-extcommunityipvpn-instanceLIT_COLLEGEipv6-familyevpnroute-distinguisher100:2vpn-target100:2export-extcommunityvpn-target100:2import-extcommunity```（1）请说明RD（路由标识符）和RT（路由目标）的核心作用。（2）若要求跨校区的计算机学院业务子网二层互通，RT应如何调整？【问题2】（5分）本次无线部署采用WiFi6E技术，单AP最大并发接入用户数限制为60人，新校区食堂、体育馆等高密场景用户并发数峰值可达1200人。（1）相比2.4GHz、5GHz频段，6GHz频段有哪些核心优势？（2）请列举3项高密场景下的WiFi优化措施，保障用户接入体验。（3）部分区域无线终端出现IPv6SLAAC地址获取失败的问题，请列举2项可能的原因。【问题3】（4分）该校要求跨三层网关漫游时业务不中断，采用EVPN分布式漫游技术。（1）请说明二层漫游和三层漫游的核心区别。（2）请列举2项降低漫游切换时延的配置措施。【问题4】（3分）接入层存在学生私接家用交换机导致环路的风险，需配置防环策略。（1）除STP/RSTP/MSTP协议外，请列举2种接入层防环技术。（2）若配置端口环路检测后，要求环路消除后端口自动恢复，需开启什么功能？【问题5】（3分）该校当前采用集中式VXLAN三层网关架构，后续计划升级为分布式三层网关。请说明集中式网关和分布式网关的核心优缺点。试题二参考答案【问题1】（1）RD的作用：在EVPN-VXLAN网络中区分不同VPN实例的相同前缀，避免不同VPN的地址冲突，RD具有全局唯一性。RT的作用：控制EVPN路由的导入和导出，实现不同VPN实例之间的路由隔离或互通，RT可以根据业务需求灵活配置。（2）跨校区的计算机学院EVPN实例配置相同的导入导出RT值，例如两个校区的计算机学院EVPN实例均配置exportRT100:1、importRT100:1，即可实现跨校区同院系的二层互通。【问题2】（1）6GHz频段核心优势：①频谱资源更丰富，国内开放1200MHz连续频谱，支持多个160MHz宽信道，带宽更高；②无家用WiFi、蓝牙等设备干扰，信道纯净，丢包率更低；③支持最新的WiFi6E特性，端到端时延更低，适合高密、低时延场景。（2）高密优化措施：①开启BSS着色技术，降低同频干扰；②关闭1Mbps、2Mbps等低速率，提升频谱利用率；③开启OFDMA多用户接入技术，支持多用户同时传输；④动态调整AP发射功率和信道，避免信号重叠；⑤配置用户数限制，单AP接入用户数超过阈值后拒绝低信号质量用户接入（任选3项即可）。（3）SLAAC地址获取失败原因：①接入交换机未配置RAGuard信任端口，RA广播报文被拦截；②DHCPv6服务器配置了Managed位为1，要求终端采用DHCPv6获取地址，与SLAAC模式冲突；③接入端口配置了IPv6源地址校验，拦截了终端的RS报文（任选2项即可）。【问题3】（1）二层漫游：终端漫游前后关联的AP属于同一VLAN/同一VXLAN广播域，终端IP地址不变，转发路径不需要调整，切换时延低。三层漫游：终端漫游前后关联的AP属于不同的三层网段，终端IP地址不变，需要通过VXLAN隧道将流量转发到原网关，切换时延更高。（2）降低漫游时延措施：①开启PMK缓存和802.11r快速漫游功能，减少密钥协商时间；②开启EVPNARP广播抑制，减少广播报文消耗；③配置预漫游功能，终端信号低于阈值时提前触发漫游协商（任选2项即可）。【问题4】（1）接入层防环技术包括：SEP（智能以太保护协议）、RRPP（快速环网保护协议）、端口环路检测、EAPS（以太网自动保护切换）（任选2项即可）。（2）需开启error-down自动恢复功能，配置自动恢复定时器，环路消除后端口自动Up。【问题5】集中式网关优点：配置简单，运维成本低，所有三层流量统一经过核心网关，便于策略控制；缺点：三层转发路径非最优，跨子网流量需要绕行核心，核心交换机转发压力大，网络扩容难度高。分布式网关优点：三层转发在接入交换机完成，转发路径最优，核心压力小，支持弹性扩容；缺点：配置复杂度高，运维难度大，需要接入交换机支持三层VXLAN功能，硬件成本更高。试题三（20分）某省级政务服务单位2025年开展等保三级合规整改，网络分为互联网区、政务外网区、政务内网区，三区物理隔离。互联网区部署WAF、IPS、零信任访问网关，政务外网区部署数据库审计系统、全流量回溯系统、日志审计平台，政务内网区部署数据防泄漏（DLP）系统。整改要求如下：1.所有互联网用户访问政务服务业务必须经过零信任网关认证；2.日志留存时间≥6个月；3.敏感政务数据禁止未授权外传；4.IPv6环境下的安全防护覆盖率100%。请结合场景回答下列问题：【问题1】（4分）该单位采用零信任架构实现互联网访问管控，遵循“永不信任、始终验证”的原则。（1）请列举零信任架构的3个核心组件。（2）请描述用户从互联网访问政务外网业务的零信任访问流程。【问题2】（5分）该单位日志审计平台日均产生5TB日志，采用RAID6存储架构，配置8TBSATA硬盘，硬盘格式化后可用容量为标称容量的90%。（1）请计算满足6个月日志留存需求，至少需要配置多少块8TB硬盘？请写出计算过程（1个月按30天计算）。（2）等保三级要求安全审计应覆盖到哪些层面？请列举3项。【问题3】（4分）该单位全网已完成IPv6改造，需针对IPv6特性配置安全防护策略。（1）相比IPv4，IPv6网络存在哪些特有的安全风险？请列举3项。（2）针对ICMPv6RA报文欺骗攻击，应采用什么技术防护？【问题4】（4分）该单位部署DLP系统防止政务敏感数据泄露，要求身份证号、统一社会信用代码等敏感数据禁止未授权外传。（1）请列举3种DLP敏感数据识别技术。（2）若用户通过邮件外发包含100条以上身份证号的附件，DLP应配置什么策略实现拦截和审计？【问题5】（3分）等保三级物理安全要求中，除门禁、视频监控、消防系统外，还需要满足哪些核心要求？请列举3项。试题三参考答案【问题1】（1）零信任核心组件包括：IAM（身份认证与访问管理）、PDP（策略决策点）、PEP（策略执行点）、SDP（软件定义边界）、可信计算平台（任选3项即可）。（2）访问流程：①用户终端发起业务访问请求，首先被零信任PEP拦截，重定向到IAM系统进行身份认证，支持账号密码、短信、生物识别等多因子认证；②认证通过后，PDP对终端的安全状态进行校验，包括是否安装杀毒软件、是否存在系统漏洞、是否为合规终端；③校验通过后，PDP根据用户权限下发最小访问授权，仅允许用户访问授权的业务资源；④PEP建立用户终端到业务系统的加密隧道，全程审计访问行为，若用户行为异常及时中断访问。【问题2】（1）计算过程：①6个月总日志量=5TB/天*30天/月*6个月=900TB；②RAID6存储架构需要2块校验盘，单块8TB硬盘格式化后可用容量为8TB*90%=7.2TB；③设数据盘数量为N，则N*7.2TB≥900TB，计算得N≥125，总硬盘数=数据盘+校验盘=125+2=127块。（2）安全审计覆盖层面包括：网络设备、安全设备、服务器、操作系统、数据库、业务应用（任选3项即可）。【问题3】（1）IPv6特有安全风险：①ICMPv6RA/DHCPv6欺骗攻击，攻击者伪造RA报文篡改终端网关和DNS配置；②IPv6扩展头攻击，利用逐跳选项、目的选项等扩展头绕过安全设备检测；③IPv6地址扫描难度大，传统IPv4扫描方式不适用于IPv6，攻击者隐蔽性更强；④IPv6原生支持端到端加密，安全设备无法解密检测流量内容（任选3项即可）。（2）采用RAGuard技术，在接入层端口配置RAGuard信任规则，仅允许合法网关端口发送RA报文，拦截其他端口的RA报文。【问题4】（1）DLP敏感数据识别技术包括：关键字匹配、正则表达式匹配、文件指纹识别、数据标识符识别、机器学习识别（任选3项即可）。（2）配置策略：①创建敏感数据规则，通过正则表达式匹配身份证号特征；②配置外发通道策略，匹配邮件外发场景；③设置规则阈值，附件中身份证号数量≥100时触发动作；④配置动作为拦截、记录日志、触发告警通知管理员。【问题5】等保三级物理安全核心要求还包括：①UPS备用电源供电时间≥4小时；②机房温湿度控制在国家标准范围内（温度18-27℃，相对湿度35%-75%）；③防雷接地系统符合国家标准，防雷击、防静电；④介质管理规范，存储介质带出机房需审批；⑤机房物理访问控制，双人双锁管理（任选3项即可）。试题四（20分）某电商企业2025年完成混合云改造，业务系统部署在本地IDC私有云和阿里云公有云，本地IDC与公有云之间采用2条10G专线互联，采用SRv6技术实现跨云流量智能调度，运维侧采用AIOps智能运维平台，要求故障平均响应时间≤5分钟，业务可用性≥99.99%。请结合场景回答下列问题：【问题1】（4分）本地IDC与公有云专线采用BGP协议实现路由互通，要求两条专线等价负载分担，链路故障时切换时间≤1s。（1）请描述BGP等价路由的配置思路。（2）采用什么技术实现BGP与链路故障检测联动，满足切换时间要求？【问题2】（5分）跨云流量调度采用SRv6技术，SRv6SID格式为Locator+Function+Args。（1）请分别说明Locator、Function、Args三个字段的作用。（2）相比传统MPLSVPN，SRv6有哪些核心优势？请列举3项。【问题3】（4分）AIOps智能运维平台要求故障根因定位准确率≥90%，实现常见故障自动自愈。（1）AIOps平台需要采集哪些维度的运维数据？请列举3项。（2）请列举2种常见故障的自动自愈场景。【问题4】（4分）该企业业务可用性要求为99.99%，核心业务由3个模块组成，模块A可用性99.99%，模块B可用性99.995%，模块C可用性99.99%，三个模块串行工作。（1）请计算99.99%可用性对应的年允许停机时间（1年按365天计算）。（2）请计算该核心业务的整体可用性，保留3位小数。【问题5】（3分）该企业私有云内部仍有部分IPv4存量业务，需要与公有云IPv6业务互通，采用NAT64+DNS64过渡技术。（1）请说明NAT64技术的作用。（2）相比双栈技术，NAT64有哪些优缺点？试题四参考答案【问题1】（1）配置思路：①本地IDC和公有云侧的BGP路由器均配置两条专线的BGP邻居，通告各自的业务路由；②配置BGP路由属性，确保两条专线的BGP路由的AS_PATH、Local_Preference、MED等属性完全相同，形成等价路由；③开启BGP等价负载分担功能，流量按照五元组哈希均匀分布在两条专线上。（2）采用BFDforBGP技术，将BFD与BGP联动，BFD检测到链路故障后立即通知BGP撤销对应路由，实现毫秒级切换。【问题2】（1）字段作用：①Locator：路由定位字段，在SRv6网络中全局唯一，用于标识节点的位置，支持路由最长匹配转发；②Functio