2026年网络工程师(高级)考试试题及答案

2026年网络工程师(高级)考试试题及答案一、选择题（共30题，每题2分，共60分）（一）单项选择题（共20题）1.在IPv6网络中，用于标识一组接口（通常属于不同节点）的地址类型是（）。A.单播地址B.组播地址C.任播地址D.链路本地地址答案：C2.根据《数据中心设计规范》（GB50174），A级数据中心的基础设施宜按（）配置。A.容错系统B.冗余系统C.基本需求系统D.无冗余系统答案：A3.在MPLSVPN网络中，PE路由器之间通过（）协议分发VPN路由信息。A.OSPFB.BGPC.RIPD.LDP答案：B4.某企业采用SD-WAN技术组网，总部与多个分支通过互联网连接。为实现关键业务流量的优化和保障，最可能采用的技术是（）。A.静态路由B.基于应用的智能路径选择C.单纯的IPsec加密D.传统的BGP路由答案：B5.使用SNMPv3协议进行网络管理时，能够提供数据完整性、数据源认证和重放攻击防护的安全模型是（）。A.基于社区的安全模型B.基于用户的安全模型C.基于视图的安全模型D.基于TLS的安全模型答案：B6.在无线局域网802.11ac标准中，为实现更高的数据传输速率，主要采用了（）技术。（多选变单选考点）A.仅使用2.4GHz频段B.更宽的信道带宽（最高160MHz）和更高阶的调制（256-QAM）C.仅使用单用户MIMOD.降低OFDM子载波数量答案：B7.在进行网络规划时，需要评估未来三年业务增长带来的流量压力。这种评估主要属于（）。A.可用性设计B.安全性设计C.可扩展性设计D.可靠性设计答案：C8.以下关于IS-IS协议和OSPF协议的描述中，错误的是（）。A.两者都是链路状态路由协议B.IS-IS协议直接在数据链路层上运行，OSPF运行在IP层之上C.两者都使用区域划分来支持大规模网络D.IS-IS协议中Level-2路由器类似于OSPF中的ABR答案：B（IS-IS运行在网络层，但封装在数据链路层帧中，此描述不严谨，但作为单选题，B选项“直接在数据链路层上运行”是常见的对比描述，且是考试中常见的判断点）9.某云服务商提供虚拟私有云（VPC）服务，用户可以在VPC内创建子网，并通过（）实现VPC与传统数据中心的私网通信。A.互联网网关B.虚拟专用网络（VPN）连接或专线连接C.对象存储服务D.弹性负载均衡答案：B10.在Linux系统中，用于查看网络连接状态、路由表、接口统计信息等，功能强大的命令是（）。A.ipconfigB.ifconfigC.ipD.netstat答案：C（现代Linux系统推荐使用`ip`命令集）11.根据《网络安全法》，网络运营者应当按照网络安全等级保护制度的要求，履行安全保护义务，保障网络免受干扰、破坏或者未经授权的访问，防止网络数据泄露或者被窃取、篡改。这主要体现了网络安全（）的原则。A.动态性B.整体性C.可控性D.可审计性答案：B12.使用Docker容器技术时，实现同一宿主机上不同容器间网络隔离的主要机制是（）。A.VLANB.Linux网络命名空间（NetworkNamespace）C.防火墙iptables规则D.物理网卡绑定答案：B13.在BGP协议中，当路由器从EBGP对等体收到一条路由更新时，其默认的LOCAL_PREF属性值是（）。A.0B.100C.90D.120答案：B14.为了应对SYNFlood攻击，网络设备可以启用的防御机制是（）。A.802.1x认证B.TCPSYNCookieC.IPsec加密D.URL过滤答案：B15.在光纤通信中，描述光信号在光纤中传输一定距离后功率衰减程度的指标是（）。A.带宽B.色散C.损耗D.模场直径答案：C16.以下关于网络虚拟化技术中VXLAN协议的描述，正确的是（）。A.VXLAN使用24位的VLANID来标识大量租户B.VXLAN报文封装在UDP报文中传输，目的端口号通常是4789C.VXLAN只能在物理二层网络上运行D.VXLAN头部开销小于传统的802.1Q封装答案：B17.某公司计划部署IPv6，要求内部服务器对外提供IPv6服务，同时现有IPv4用户也能正常访问。最适合的过渡技术是（）。A.双栈技术B.隧道技术C.协议转换技术（NAT64）D.仅部署IPv6答案：A（服务器端双栈是最直接保障双方访问的方式）18.在Python中，常用于网络编程，提供低级网络接口的模块是（）。A.http.clientB.requestsC.socketD.asyncio答案：C19.根据《信息安全技术个人信息安全规范》（GB/T35273），个人信息控制者向他人提供个人信息前，应当评估接收方（），并与其签订合同。A.的资产规模B.的数据保护能力C.的市场份额D.的股东背景答案：B20.在分析网络性能时，发现交换机端口存在大量的“latecollision”计数器增长。这最可能表明（）。A.网络中存在ARP欺骗B.双工模式不匹配（如一端全双工，一端半双工）C.电缆长度超过标准D.存在广播风暴答案：C（晚期冲突通常与电缆超长或拓扑结构违规有关）（二）多项选择题（共10题）21.以下属于软件定义网络（SDN）核心特征的有（）。A.控制平面与数据平面分离B.网络设备智能化，各自独立决策C.开放的编程接口（如北向API）D.集中式的网络控制答案：A、C、D22.在部署HSRP或VRRP协议时，能够影响其优先级选举的参数或状态包括（）。A.配置的优先级数值B.接口IP地址C.接口的“抢占”模式D.接口的链路状态（Up/Down）答案：A、C、D23.关于HTTPS协议，以下描述正确的有（）。A.默认使用TCP443端口B.其安全性由SSL/TLS协议提供C.可以完全防止中间人攻击D.服务器需要向CA申请数字证书答案：A、B、D（C错误，配置不当或CA被攻破等情况下仍可能遭受中间人攻击）24.网络故障排除中，可用于检测传输层连通性的命令或工具有（）。A.pingB.tracert/tracerouteC.telnet[目标IP][端口]D.nc(netcat)答案：C、D（A、B主要工作在ICMP/IP层）25.以下路由协议中，属于外部网关协议（EGP）范畴的有（）。A.OSPFB.BGPC.RIPD.EGP（已淘汰，但属于EGP类型）答案：B、D26.为了提升数据中心网络的可靠性，可以采用的技术方案有（）。A.设备堆叠（Stack）或集群（Cluster）B.链路聚合（LACP）C.生成树协议（STP）及其增强版本D.多机箱链路聚合（如M-LAG、vPC）答案：A、B、C、D27.下列攻击类型中，属于典型应用层攻击的有（）。A.SQL注入B.分布式拒绝服务（DDoS）C.跨站脚本（XSS）D.SYNFlood答案：A、C（B、D通常属于传输层/网络层攻击）28.网络性能监控（NPM）系统通常能够采集和分析的指标包括（）。A.带宽利用率B.网络延迟与抖动C.数据包丢失率D.应用响应时间答案：A、B、C、D29.关于SegmentRouting（SR）技术，以下说法正确的有（）。A.基于源路由理念B.其MPLS数据平面称为SR-MPLSC.其IPv6数据平面称为SRv6D.需要依赖LDP或RSVP-TE协议进行标签分发答案：A、B、C（D错误，SR不再需要独立的信令协议分发标签，标签信息由IGP携带）30.在进行网络割接前，必须完成的工作包括（）。A.制定详细的割接方案和回退计划B.通知相关业务部门和用户C.备份设备配置和重要数据D.在业务高峰期进行以快速验证答案：A、B、C（D错误，割接应在业务低峰期进行）二、填空题（共10题，每题2分，共20分）31.在TCP/IP模型中，负责将IP地址解析为物理地址（MAC地址）的协议是______。答案：ARP（AddressResolutionProtocol）32.802.1Q标签中，用于标识VLAN的字段长度是______位。答案：1233.在RIP协议中，防止路由环路的技术之一，规定路由信息从某个接口接收后，不再从该接口发回，这项技术称为______。答案：水平分割（SplitHorizon）34.云计算三种主要的服务模式是：基础设施即服务（IaaS）、平台即服务（PaaS）和______。答案：软件即服务（SaaS）35.我国自主研发的无线局域网安全标准是______。答案：WAPI（WirelessLANAuthenticationandPrivacyInfrastructure）36.在OSPF协议中，Type5LSA是由______路由器产生的，用于描述到达OSPF域外部的路由。答案：ASBR（自治系统边界路由器）37.网络地址转换（NAT）技术中，将内部网络一对一的静态映射到公网地址的模式称为______NAT。答案：静态（Static）38.用于检测网络设备服务可用性，基于请求-响应模型的协议是______。答案：ICMP（或具体到EchoRequest/Reply，但通常填ICMP）39.根据《信息安全技术网络安全等级保护基本要求》（GB/T22239-2019），第三级安全要求包括安全通用要求和______安全扩展要求。答案：云计算40.在Python的`requests`库中，用于发送HTTPPOST请求的方法是______。答案：post()三、简答题（共5题，每题10分，共50分）41.（封闭型）简述在MPLSVPN网络中，P、PE、CE三种设备的功能角色。答案：CE（CustomerEdge）设备：客户边缘设备，位于客户站点，直接与服务提供商网络相连。它“感知”不到MPLS网络的存在，通常通过静态路由或动态路由协议（如BGP、OSPF）与PE设备交换路由信息。PE（ProviderEdge）设备：服务提供商边缘路由器，是MPLSVPN网络的核心。它直接连接CE设备，负责维护VPN路由信息（VRF），通过MP-BGP与其它PE交换VPN路由，并为客户数据压入/弹出MPLS标签。P（Provider）设备：服务提供商核心路由器，位于MPLS网络内部。它不维护VPN路由信息，仅根据MPLS标签进行高速转发，负责在PE之间建立标签交换路径（LSP）。42.（开放型）当前企业网络面临哪些主要的安全威胁？请从外部威胁和内部威胁两个方面各列举至少两种，并简要说明。答案：外部威胁：1.高级持续性威胁（APT）：由攻击者组织发动的长期、复杂的网络攻击，旨在窃取敏感数据或破坏系统，难以被传统防御手段检测。2.勒索软件：通过加密用户文件或锁定系统来勒索赎金的恶意软件，给企业造成直接经济损失和业务中断。3.分布式拒绝服务（DDoS）攻击：利用大量受控主机向目标发送海量请求，耗尽目标资源，导致合法用户无法访问服务。内部威胁：1.员工无意过失：如误点击钓鱼邮件、使用弱口令、不当配置系统等，导致安全漏洞。2.恶意内部人员：具有合法访问权限的员工或前员工，出于报复或利益窃取、篡改、泄露敏感数据。3.供应链攻击：通过攻击企业信赖的第三方供应商、合作伙伴，间接渗透进企业网络。43.（封闭型）写出生成树协议（STP）中，决定根桥、根端口、指定端口的选举依据（比较顺序）。答案：1.根桥选举：比较所有交换机的桥ID（BridgeID），值最小者获胜。桥ID由优先级（可配置）和MAC地址组成。2.根端口选举（在非根桥上）：每个非根桥选择到达根桥“最优”路径的端口。比较顺序为：a)到根桥的最低根路径成本（RootPathCost）。b)对端发送者（上游交换机）的最低桥ID。c)对端发送者的最低端口ID。3.指定端口选举（在每个网段上）：每个物理网段选择一个指定端口，负责转发流量到根桥方向。比较顺序为：a)所在交换机到达根桥的根路径成本。b)所在交换机的桥ID。c)本端端口ID。44.（封闭型）解释什么是“零信任网络”（ZeroTrustNetwork），并列出其至少三个核心原则。答案：“零信任网络”是一种安全架构理念，其核心思想是“从不信任，始终验证”。它认为网络边界内外都可能存在威胁，因此不应默认信任任何用户、设备或应用，无论其位于网络内部还是外部。核心原则（列出三个即可）：1.显式验证：对所有访问请求，无论来源，都必须进行严格的身份认证和授权。2.最小权限访问：只授予用户和设备完成其任务所必需的最小访问权限。3.假定breach（假设已被入侵）：将网络视为已失陷，实施分段、加密和持续监控，以限制攻击者横向移动和破坏的范围。4.持续评估与动态策略：基于设备状态、用户行为、上下文信息等进行动态风险评估，并实时调整访问权限。45.（开放型）某企业计划将核心业务系统迁移至公有云。作为网络工程师，你需要考虑哪些与网络相关的关键问题？请至少列出四个方面。答案：1.网络连接与混合云架构：如何建立企业数据中心与公有云VPC之间安全、可靠、高性能的连接（专线/VPN），设计混合云网络架构。2.云上网络规划：在VPC内如何规划子网、路由表、安全组/网络ACL，实现业务隔离与安全分区。3.网络安全：云端安全责任共担模型下的网络安全设计，包括DDoS防护、Web应用防火墙（WAF）、主机安全、数据加密、身份与访问管理（IAM）策略等。4.性能与成本：评估并选择云服务商提供的网络产品（如负载均衡、NAT网关）的性能和带宽规格，优化网络流量以控制成本。5.高可用与容灾设计：利用云服务商的多可用区（AZ）或多区域（Region）服务设计网络层面的高可用和容灾方案。6.监控与运维：如何实施对云端网络资源的监控、日志审计、故障排查和自动化运维。四、应用题（共2题，第46题20分，第47题30分，共50分）46.（计算/分析类）某公司网络拓扑如下图所示（此处为文字描述）：核心层由两台交换机S1和S2通过万兆链路互连。接入层交换机A1双归上联至S1和S2。服务器区通过两台接入交换机SVR1和SVR2分别上联至S1和S2。全网运行MSTP（多生成树协议）以消除环路，VLAN10（办公）和VLAN20（服务器）分别映射到不同的MST实例（Instance）。现网络管理员发现，VLAN20内服务器互访时，流量路径不稳定，时快时慢。问题：（1）请分析可能导致此问题的MSTP相关配置原因。（10分）（2）如何调整MSTP配置来优化VLAN20的流量路径，使其优先通过服务器直连的接入交换机转发？（10分）答案：（1）可能原因：根桥位置不当：VLAN20映射的MST实例的根桥可能位于核心交换机S1或S2上，而不是离服务器最近的SVR1或SVR2上。这导致VLAN20内服务器间流量需要上行到核心层交换机进行转发，路径非最优，且当根桥选举或端口状态变化时，路径可能切换，造成不稳定。端口路径成本配置不合理：SVR1、SVR2连接服务器的端口路径成本可能被手动调高，导致MSTP计算出的最优路径不是通过直连的接入交换机。MSTP区域配置不一致：如果SVR1、SVR2与核心交换机的MSTP区域配置（域名、修订级别、VLAN-实例映射表）不一致，它们将无法在特定实例内协商，可能各自成为独立的生成树域，导致环路或次优路径。（2）优化配置方案：调整根桥：将VLAN20映射的MST实例的根桥指定为服务器区的主接入交换机（例如SVR1）。通过降低SVR1在该实例的桥优先级（例如设置为0或4096），确保其成为根桥。配置备份根桥：将另一台服务器接入交换机（SVR2）在该实例的桥优先级设置为次优值（例如8192），作为备份根桥。验证区域配置：确保所有交换机（S1，S2，A1，SVR1，SVR2）具有完全相同的MSTP区域配置（域名、修订级别、VLAN到实例的映射关系）。（可选）调整端口成本：检查并确保SVR1和SVR2连接服务器端口的路径成本为默认值或较低值，保证服务器流量优先通过接入层交换。47.（综合/设计类）某大型企业新建一个异地容灾数据中心（SiteB），需要与现有生产数据中心（SiteA）实现网络互联和业务双活/灾备。两个数据中心相距1000公里。已知条件：SiteA和SiteB内部均采用标准的Spine-Leaf架构。要求：两地间实现二层网络扩展（大二层），以支持虚拟机跨站点迁移（如vMotion）。同时，必须保证三层路由的优化和故障隔离。业务要求：关键数据库业务要求RPO≈0，RTO<30分钟。线路资源：已租用两条不同运营商的光纤专线（线路1和线路2），带宽均为10Gbps，延迟约15ms。你的任务：（1）请设计一个满足上述要求的跨数据中心网络互联方案，说明采用的核心技术及其作用。（15分）（2）为确保该跨数据中心网络的高可用性，在设计中需要考虑哪些具体的冗余和故障切换机制？（10分）（3）从网络安全角度，列出在此跨数据中心网络设计中需要实施的三项关键安全措施。（5分）答案：（1）网络互联方案设计：核心技术：EVPN（EthernetVPN）overVXLAN。作用说明：a)大二层扩展：VXLAN作为数据平面封装协议，通过IP网络（专线）构建虚拟的二层隧道，将两个数据中心的Leaf交换机逻辑上连接成一个大的二层域，满足虚拟机跨站点迁移对二层连通性的要求。b)控制平面分离与优化：EVPN作为控制平面协议，运行在Spine或特定的BorderLeaf交换机之间（作为EVPN对等体）。它使用MP-BGP分发MAC地址和IP地址的可达性信息，取代了传统的数据平面泛洪学习，实现了更优的流量转发（如主机路由）和更快的收敛。c)三层路由集成：EVPN可以同时传递二层MAC信息和三层IP路由信息（EVPNType5路由），实现跨数据中心的三层流量最优转发，无