2026年计算机网络工程师资格考试卷及答案

2026年计算机网络工程师资格考试卷及答案一、上午考试（基础知识，客观题）本部分共60道单项选择题，每题1分，满分60分1.在CPU指令系统架构中，RISC架构相较于CISC架构的典型特点，下列描述错误的是（）A.指令长度固定，指令格式规整B.支持的寻址方式种类更多C.绝大多数指令单周期即可完成执行D.控制器多采用硬布线方式实现答案：B解析：RISC（精简指令集计算机）的核心特点是精简指令数量、统一指令格式、固定指令长度，寻址方式种类少，多采用硬布线控制器，单周期执行；CISC（复杂指令集计算机）指令数量多、长度不一、寻址方式丰富，因此B选项错误。2.某计算机主存容量为16GB，按字节编址，一级缓存容量为1MB，每个缓存块大小为32B，采用4路组相联映射机制，则主存地址划分中标记（Tag）字段的位数是（）A.16B.18C.20D.22答案：A解析：主存容量16GB=2^34B，按字节编址因此主存地址总位数为34位；缓存块大小32B=2^5B，因此块内偏移字段占5位；缓存总容量1MB=2^20B，组数=缓存总容量/(块大小×路数)=2^20/(2^5×2^2)=2^13，因此组索引字段占13位；Tag字段位数=总地址位数-块内偏移位数-组索引位数=34-5-13=16，因此A选项正确。3.某操作系统采用银行家算法处理死锁避免，当前系统资源与进程分配情况如下：系统总资源为A类9个、B类12个；已分配资源情况为：进程P1分配A3个、B2个，进程P2分配A2个、B4个，进程P3分配A2个、B3个；进程剩余资源需求为：P1还需要A2个、B2个，P2还需要A2个、B2个，P3还需要A3个、B1个；当前系统剩余可用资源为A2个、B3个。下列序列中，不属于安全序列的是（）A.P1→P2→P3B.P1→P3→P2C.P3→P1→P2D.P3→P2→P1答案：C解析：当前剩余资源A2、B3，P1需求A2、B2，可满足P1执行，P1执行完成后释放已分配资源，剩余资源变为(2+3)A、(3+2)B=A5、B5；此时P2需求A2、B2、P3需求A3、B1均可满足，因此P1开头的序列均为安全序列。若先执行P3，P3需求A3、B1，当前剩余仅A2，无法满足P3需求，因此P3开头的序列均不安全，C选项正确。4.零信任网络访问架构（ZTNA）的核心设计原则不包含下列哪项（）A.永不信任，始终验证B.基于网络边界划分隐式信任C.最小权限访问控制D.假定内部环境已经被攻破答案：B解析：零信任架构打破了传统基于网络边界的信任模型，默认不区分内部外部网络，不存在基于边界的隐式信任，所有访问请求都需要经过验证授权，因此B选项不属于零信任核心原则。5.软件定义网络（SDN）的标准三层架构不包含下列哪一层（）A.数据转发层B.逻辑控制层C.应用层D.会话层答案：D解析：SDN标准架构分为三层：底层数据转发层（基础设施层）、中心逻辑控制层、上层应用层，会话层是OSI参考模型的分层，不属于SDN架构，因此D选项正确。6.IPv6邻居发现协议（NDP）中，用于重复地址检测（DAD），确认拟使用的IPv6地址未发生冲突的报文类型是（）A.邻居请求（NS）报文B.邻居公告（NA）报文C.路由器请求（RS）报文D.路由器公告（RA）报文答案：A解析：IPv6地址无状态自动配置过程中，主机发送邻居请求报文，目标地址为待检测地址对应的Solicited-node组播地址，若没有收到回应则说明地址未冲突，完成DAD过程，因此A选项正确。7.下列关于TCP拥塞控制机制的描述，错误的是（）A.慢启动阶段拥塞窗口cwnd初始小于ssthresh，每经过一个RTTcwnd翻倍增长B.拥塞避免阶段cwnd超过ssthresh后，每个RTTcwnd增加1个MSSC.快重传触发后，ssthresh设置为原cwnd的一半，cwnd设置为ssthresh，进入慢启动阶段D.快恢复机制中，收到3个冗余ACK后才会触发拥塞处理，不会直接进入慢启动答案：C解析：传统TCP拥塞控制中，若发生超时重传，才会将ssthresh设为原cwnd的一半，cwnd设为1，进入慢启动；快重传触发后，若采用快恢复机制，ssthresh设为原cwnd一半，cwnd设为ssthresh，进入拥塞避免，因此C选项描述错误。8.某公司总部与分支机构通过IPsecVPN建立加密隧道，若采用传输模式而非隧道模式，下列说法正确的是（）A.传输模式会封装整个IP报文，新IP头会隐藏原IP地址信息B.传输模式仅加密保护传输层payload，原IP头明文传输，适合站点到站点VPN场景C.传输模式的封装开销大于隧道模式D.传输模式通常用于终端到网关的远程访问VPN场景答案：D解析：IPsec传输模式仅加密传输层数据，不封装新的公网IP头，原IP头保留，因此仅适合终端到网关的远程访问场景；隧道模式封装整个原IP报文，添加新公网IP头，可隐藏内部地址，适合站点到站点VPN，封装开销大于传输模式，因此D选项正确。9.云原生环境中，用于解决容器集群内服务发现与负载均衡的核心组件是（）A.etcdB.CoreDNSC.kube-proxyD.Ingress答案：C解析：kube-proxy是Kubernetes集群中负责实现服务发现与负载均衡的核心组件，维护集群内的网络规则，将对Service的请求转发到对应的Pod；CoreDNS负责域名解析，etcd负责存储集群状态，Ingress负责集群外部访问入口，因此C选项正确。10.OSPF协议中，下列哪种LSA类型是由ASBR生成，用于描述AS外部路由信息（）A.Type1LSAB.Type2LSAC.Type3LSAD.Type5LSA答案：D解析：OSPF中，Type1是路由器LSA，区域内泛洪；Type2是网络LSA，DR生成；Type3是汇总LSA，ABR生成，描述区域间路由；Type5是AS外部LSA，ASBR生成，整个AS泛洪，描述外部路由，因此D选项正确。11.下列路由协议中，属于路径矢量路由协议的是（）A.RIPB.OSPFC.BGPD.IS-IS答案：C解析：RIP是距离矢量协议，OSPF和IS-IS是链路状态协议，BGP是路径矢量协议，因此C选项正确。12.802.11ax标准（Wi-Fi6）支持的最大理论带宽（单160MHz频宽）约为（）A.300MbpsB.1.2GbpsC.9.6GbpsD.16Gbps答案：C解析：802.11ax采用1024QAM调制，单流160MHz频宽速率约为1.2Gbps，最大支持8流，总理论带宽约为9.6Gbps，因此C选项正确。13.域名系统DNS中，用于将IPv6地址解析为域名的资源记录类型是（）A.AAAAB.PTRC.CNAMED.NS答案：B解析：A记录是IPv4地址映射，AAAA是IPv4域名到地址的映射，PTR是反向地址解析，用于地址到域名的映射，支持IPv4和IPv6，因此B选项正确。14.传统三层网络架构中，汇聚层的核心作用是（）A.提供终端接入端口B.实现高速数据转发C.实现路由聚合、访问控制和路由过滤D.连接运营商出口答案：C解析：传统三层园区网架构中，接入层负责终端接入，汇聚层负责路由聚合、访问控制、路由过滤，核心层负责高速数据转发，因此C选项正确。15.下列加密算法中，不属于非对称加密算法的是（）A.RSAB.ECCC.AESD.DH答案：C解析：AES是对称分组加密算法，RSA、ECC、DH都属于非对称加密算法，因此C选项正确。上午选择题1-15答案汇总：1.B2.A3.C4.B5.D6.A7.C8.D9.C10.D11.C12.C13.B14.C15.C二、下午考试（综合技能，主观题）本部分共4道案例题，每题15分，满分60分案例题1（15分）某大型企业集团计划升级现有园区网络，原有网络为传统三层架构，存在资源调度不灵活、安全边界模糊、新业务上线慢等问题，集团决定引入SDN重构园区网络，需求如下：①集团总部员工共1200人，分为研发部（320人）、市场部（240人）、行政部（160人）、财务部（160人）四个部门，每个部门划分独立VLAN使用独立公网地址段做NAT转换，财务部和研发部禁止互访，所有部门均可访问总部服务器群，互联网出口带宽为10G；②支持移动办公员工接入，接入用户自动分配对应部门网段VLAN，支持访客临时接入网络；③核心网络采用SDN架构实现业务弹性编排，用户访问控制策略随用户位置迁移自动同步。请结合上述需求，回答下列问题：【问题1】（4分）该集团总部分配到公网地址段为/24，采用可变长子网掩码划分，满足四个部门的公网地址需求，给出地址浪费最少的划分方案，写出每个部门的地址段和子网掩码。【问题2】（3分）SDN架构中，若要实现用户访问策略随用户位置迁移自动同步，依赖SDN控制器的什么核心机制？请简要说明该机制的作用。【问题3】（4分）该集团计划在财务部部署零信任访问控制，替代传统基于VLAN隔离的访问控制方案，请说明相较于传统方案，零信任方案的优势。【问题4】（4分）为保障园区互联网出口的可用性与负载能力，集团部署了两台出口路由器，共享同一个虚拟IP作为所有内网用户的默认网关，需要实现两台路由器同时分担流量，当其中一台故障时，另一台自动接管所有流量。请回答，相较于VRRP协议，哪种协议可以满足该需求？说明该协议的优势。案例题1参考答案：【问题1】（4分，每个部门1分）研发部（320个用户，需要至少32个可用公网地址，对应子网掩码/27）：/27，子网掩码24市场部（240个用户，需要至少24个可用公网地址，最小对应子网掩码/27）：2/27，子网掩码24财务部（160个用户，需要16个可用公网地址，对应子网掩码/28）：4/28，子网掩码40行政部（160个用户，需要16个可用公网地址，对应子网掩码/28）：0/28，子网掩码40【问题2】（3分）依赖SDN控制器的身份与位置解耦的统一策略下发机制（1分）。作用：SDN控制器将访问控制策略与用户身份绑定，而非与传统端口、IP地址绑定，当用户位置发生迁移、IP地址变化后，控制器可以根据用户身份，自动将对应的访问策略同步下发到新接入位置的转发设备，实现策略随人动，无需手动修改配置，适配移动办公场景（2分）。【问题3】（4分）相较于传统VLAN隔离方案，零信任方案的优势包括：1.传统VLAN隔离基于网络边界建立隐式信任，财务部内部一旦被突破，攻击者可自由访问所有内部资源；零信任默认不信任任何访问，每一次访问都需要身份验证和授权，有效阻止攻击者入侵后的横向移动（1分）；2.零信任实现细粒度的访问控制，可基于用户身份、终端状态、访问时间、业务类型等多维度控制访问权限，传统VLAN仅能实现部门粗粒度隔离，无法控制单个用户、单个业务的访问范围（1分）；3.支持移动办公、跨区域访问场景，用户无论在园区内部还是外部，访问权限控制规则一致，传统VLAN依赖物理位置划分，移动用户接入需要重新分配VLAN，配置复杂，容易出错（1分）；4.适配云化业务场景，财务部业务迁移到私有云后，零信任控制规则可以无缝迁移，传统基于网络边界的隔离方案无法适配云业务的动态变化，需要重新划分边界，调整配置（1分）。【问题4】（4分）可以满足需求的协议是网关负载均衡协议（GLBP）（1分）。GLBP相较于VRRP的优势：VRRP同一广播域内同一虚拟网关仅允许一个活跃转发网关，其余为备份网关，只能实现冗余不能实现负载分担，若要实现负载分担需要配置多个VRRP组，配置复杂，带宽利用率低；GLBP支持多个活跃网关同时转发流量，自动实现负载分担，无需配置多个虚拟网关组，配置更简单，充分利用两台出口路由器的带宽资源，提升出口资源利用率，同时天生支持冗余备份，任意一台网关故障，另一台自动接管所有流量，满足高可用需求（3分）。案例题2（15分）某企业多区域网络采用OSPF实现内网路由互联，网络拓扑如下：Area0为骨干区域，包含ABR1（连接Area0和Area1）、ABR2（连接Area0和Area2）、ASBR（连接Area0和外部运营商网络）；Area1为财务部区域，Area2为研发部区域，所有内网需要访问运营商的默认路由/0由ASBR注入OSPF。网络管理员配置完成后发现以下故障：Area1内的终端访问互联网，部分流量会经过Area2转发，产生额外延迟，且ASBR重启后，Area1用户需要30分钟以上才能恢复互联网访问。请回答下列问题：【问题1】（6分）请分析Area1流量绕转Area2的故障原因，给出故障解决办法。【问题2】（4分）请分析ASBR重启后恢复慢的故障原因，给出解决办法。【问题3】（5分）写出OSPF协议中默认的链路开销计算方式，若需要修改华为VRP系统中百兆接口的OSPF开销为10，写出完整配置命令。案例题2参考答案：【问题1】（6分）故障原因：该网络存在两个区域边界路由器ABR，Area1的外部默认路由会分别通过ABR1和ABR2发布到Area1，由于OSPF路由开销计算默认基于接口带宽，若未手动调整开销，ABR2发布的默认路由开销小于ABR1发布的默认路由开销，因此Area1内流量会优先选ABR2转发，绕经Area2到骨干Area0再到ASBR，产生次优路径，增加延迟（3分）。解决办法：手动调整ABR1发布到Area1的默认路由开销，将其设置为小于ABR2发布的默认路由开销，确保Area1流量优先走ABR1转发；或在Area1内配置静态默认路由指向ABR1，过滤掉ABR2发布的默认路由，从根源避免次优路径（3分）。【问题2】（4分）故障原因：OSPF中AS外部LSA（Type5LSA）的默认最大老化时间为3600秒（1小时），ASBR重启后，原来ASBR生成的Type5LSA没有被及时清除，需要等待其自然老化，最长等待时间可达1小时，因此会导致路由长时间不可用，用户访问恢复慢（2分）。解决办法：开启OSPF的LSA主动刷新功能，当ASBR重启后，会重新生成相同LSA覆盖网络中残留的旧LSA，无需等待老化；或配置OSPFGR（平滑重启），保证ASBR重启过程中网络中路由不中断，用户访问不会受到影响（2分）。【问题3】（5分）OSPF默认链路开销计算公式为：接口开销=参考带宽(单位：Mbps)/接口实际带宽(单位：Mbps)，OSPF默认参考带宽为100Mbps（2分）。华为VRP系统完整配置命令：```<Huawei>system-view//进入系统视图（1分）[Huawei]interfaceGigabitEthernet0/0/1//进入对应百兆接口视图（1分）[Huawei-GigabitEthernet0/0/1]ospfcost10//配置接口OSPF开销为10（1分）```案例题3（15分）某电商平台的Web服务部署在DMZ区，后端数据库部署在内网核心区域，通过防火墙做访问控制，仅允许DMZ区的Web服务器访问数据库的3306端口，近期平台遭到多次web攻击，出现用户数据泄露事件，安全管理员排查后发现，攻击者通过SQL注入获取了Web服务器权限，进而横向渗透窃取了数据库数据。请结合该场景回答下列问题：【问题1】（5分）请说明SQL注入攻击的原理，列出两种常见的SQL注入防护手段。【问题2】（4分）该企业计划在DMZ区Web服务器前端部署WAF，WAF部署模式采用透明代理模式部署，请说明透明代理模式的优势，以及该模式需要对现有网络做什么修改。【问题3】（6分）为防止攻击者入侵Web服务器后横向渗透窃取数据库数据，企业计划在Web服务器和数据库之间部署零信任微隔离访问控制，结合该场景说明微隔离的实现方式和优势。案例题3参考答案：【问题1】（5分）SQL注入攻击原理：Web应用程序对用户输入的数据没有做合法性过滤校验，攻击者将构造的恶意SQL语句插入到HTTP请求的参数中，提交给后端数据库执行，攻击者可以通过恶意SQL语句窃取、篡改甚至删除数据库中的敏感数据，甚至获取服务器的管理权限（3分）。常见防护手段：①对用户输入做参数化处理，使用预编译SQL语句，避免将用户输入直接拼接到SQL语句中；②对用户输入的特殊字符（如单引号、注释符、union关键字等）做转义和过滤；③最小化数据库用户权限，禁止Web应用使用高权限数据库账号连接数据库；④部署WAF拦截SQL注入攻击请求（任意答对两种即可得2分）。【问题2】（4分）透明代理模式的优势：WAF串联在客户端和Web服务器之间，不需要修改现有网络的路由配置，也不需要修改Web服务器的IP地址配置，对现有网络改动小，部署灵活；WAF可以直接获取客户端真实源IP地址，无需做额外的地址转换配置，便于日志审计和访问控制（2分）。需要做的网络修改：仅需要将原来交换机连接客户端和Web服务器的链路断开，分别接入WAF的进、出两个接口，WAF工作在二层做透明转发即可，无需修改现有网络的IP和路由配置（2分）。【问题3】（6分）零信任模型下微隔离的实现方式：在该场景中，将访问控制粒度下沉到单个业务实例级别，每一个Web服务器、每一个数据库实例都作为独立的访问控制主体，基于身份标识而非IP地址配置访问规则，仅允许符合规则的流量在主体之间互通，默认拒绝所有未授权的流量；本场景中仅允许Web服务器的指定Web服务进程访问数据库的3306端口，其余所有访问默认拒绝（3分）。优势：①实现细粒度的访问控制，仅允许合法业务流量访问数据库，即使攻击者入侵了Web服务器，也无法越过微隔离访问控制规则访问数据库，避免数据泄露；②控制规则不依赖IP地址和网络拓扑，当业务动态迁移、弹性扩容时，规则可以自动同步，适配云化、容器化的业务场景；③可以有效阻止攻击者入侵后的横向移动，缩小攻击面，相较于传统基于防火墙、VLAN的粗粒度隔离，防护能力提升了一个等级（3分）。案例题4（15分）某企业将业务全部迁移到私有云，基于Kubernetes搭建容器集群，所有容器业务通过Ingress暴露给外部用户访问，集群节点网段为/16，Pod网段为/12，Service网段为/16。请回答下列问题：【问题1】（4分）该容器集群采用Calico实现容器网络，Calico支持BGP模式和IPIP模式两种数据转发方案，若集群所有节点都在同一个三层可路由的物理网络，说明两种模式的优缺点，该场景适合选择哪种模式？【问题2】（5分）说明Kubernetes中IngressController的作用，对比直接使用NodePort方式暴露服务，Ingress方式的优势是什么？【问题3】（6分）该企业计划对容器集群开启NetworkPolicy网络策略，实现不同Pod之间的访问控制，需求如下：默认拒绝default命名空间所有入站流量；仅允许default命名空间中标签为app=web的Pod访问default命名空间中标签为app=db的Pod的TCP3306端口；允许kube-system命名空间的所有Pod访问default命名空间的所有Pod。请写出对应NetworkPolicy配置的核心内容（yaml格式）。案例题4参考答案：【问题1】（4分）BGP模式的优缺点：BGP模式没有额外的IPIP封装开销，转发性能高，Pod地址在物理网络中可直接路由，网络拓扑清晰，排查故障方便；缺点是需要底层物理网络支持BGP协议，对底层网络改造要求较高（1分）。IPIP模式的优缺点：IPIP模式将Pod报文封装在节点IP报文中转发，不要求底层物理网络路由可达Pod网段，底层网络无需任何改动，适配各种底层网络环境；缺点是额外增加了封装开销，转发性能低于BGP模式（1分）。该场景所有节点都在同一个三层可路由物理网络，适合选择BGP模式，可以获得更高的转发性能（2分）。【问题2】（5分）IngressController的作用：IngressController是Kubernetes中处理外部用户访问请求的入口组件，它会持续监听APIServer中Ingress资源