2025年软考中级网络工程师应用题参考答案

2025年软考中级网络工程师应用题参考答案一、单项选择题（每题2分，共20分）1.在设计企业核心交换网络时，若要求网络具备高可用性，以下哪种冗余技术最适合用于连接核心层与汇聚层之间的链路？A.生成树协议（STP）B.链路聚合（LinkAggregation）C.VRRP（虚拟路由冗余协议）D.HSRP（热备份路由协议）解析：链路聚合（LinkAggregation）通过将多条物理链路捆绑成一条逻辑链路，可显著提升带宽和可靠性。STP主要用于消除二层环路，VRRP和HSRP用于路由器冗余，均不直接提升链路带宽。2.某公司采用OSPF协议划分了多个区域，若某台路由器位于ABR（区域边界路由器）上，以下哪种情况会导致该路由器产生路由黑洞？A.区域间存在类型1重分发B.区域间存在类型2重分发C.ASBR（自治系统边界路由器）宣告了不存在的网络D.区域间存在类型3重分发解析：路由黑洞通常因路由信息缺失或错误导致。类型1重分发（默认路由）可能引入不兼容信息，但类型2重分发（外部路由）若配置不当会删除内部路由，类型3重分发（内部路由发布为外部路由）本身不直接导致黑洞。3.在配置NAT（网络地址转换）时，若要求内部网络访问外部网络时隐藏源IP地址，应采用哪种NAT类型？A.静态NATB.动态NATC.NATOverload（PAT）D.NATTUNNEL解析：NATOverload（端口地址转换）通过将内部源IP与源端口组合映射到外部IP，可同时转换多个内部请求，实现地址复用。静态NAT一对一映射，动态NAT使用池地址随机分配，NATTUNNEL用于VPN场景。4.在部署无线网络时，若要求不同部门使用不同SSID且相互隔离，以下哪种安全机制最符合该需求？A.WEPB.WPA2-PSKC.WPA3-EnterpriseD.WPA2-TKIP解析：WPA3-Enterprise通过802.1X认证和RADIUS服务器实现多SSID隔离，每个用户或设备可分配不同SSID。WEP和WPA2-PSK仅支持单一SSID，WPA2-TKIP虽支持多SSID但隔离性较弱。5.在配置防火墙时，若要求允许特定IP段访问内部服务器，同时阻止其他所有访问，应采用哪种安全策略？A.允许所有流量，拒绝特定IPB.拒绝所有流量，允许特定IPC.允许特定端口，拒绝其他所有端口D.允许特定协议，拒绝其他所有协议解析：最小权限原则要求默认拒绝所有流量，仅开放必要访问。选项B符合该原则，其他选项均存在安全风险。6.在设计数据中心网络时，若要求服务器间实现低延迟高带宽通信，以下哪种网络架构最适合？A.树型架构B.网状架构C.星型架构D.环型架构解析：网状架构通过全连接或部分连接提供冗余和负载均衡，延迟低且带宽高。树型架构存在单点故障，星型架构带宽受限，环型架构延迟不可控。7.在配置VPN时，若要求远程用户通过互联网安全访问公司内部资源，以下哪种协议最适合？A.IPsecB.SSLVPNC.OpenVPND.L2TP解析：IPsec适用于站点到站点或用户到站点，SSLVPN支持Web浏览器访问，OpenVPN需客户端安装，L2TP安全性较弱。企业场景优先选择IPsec或SSLVPN。8.在配置DHCP服务时，若要求同一子网内部分设备使用静态IP，其余设备动态获取，应采用哪种配置方式？A.DHCP保留（Reserved）B.DHCP选项（Options）C.DHCP排除（Exclusion）D.DHCP超时（Timeout）解析：DHCP保留功能可将MAC地址与特定IP绑定，实现静态分配。其他选项分别用于配置全局参数、排除特定IP范围和调整租期。9.在配置交换机时，若要求不同VLAN间实现路由功能，以下哪种配置最符合需求？A.VLANTrunkingB.VLANTaggingC.VLANRoutingD.VLANInter-SwitchLink解析：VLAN路由通过三层交换机或路由器实现VLAN间路由，需配置SVI（虚拟接口）。其他选项分别用于链路封装、端口标记和跨交换机传输。10.在监控网络性能时，若发现某链路流量突然下降，以下哪种工具最适合排查原因？A.NetFlowB.SNMPC.WiresharkD.Ping解析：NetFlow可分析流量数据，定位异常流量模式。SNMP用于设备状态监控，Wireshark用于抓包分析，Ping仅测试连通性。二、填空题（每空2分，共20分）1.在配置交换机端口安全时，若要求端口最多允许5个MAC地址，且当第6个MAC地址接入时自动丢弃流量，应将端口模式配置为__________。参考答案：PortSecurity解析：端口安全通过MAC地址绑定限制接入设备，需启用PortSecurity功能并设置最大MAC数。2.在配置VPN时，若使用IPsec协议，通常需要配置两种密钥交换协议，分别是__________和__________。参考答案：IKEv1、IKEv2解析：IPsec使用IKE（InternetKeyExchange）协议进行密钥协商，IKEv1和IKEv2是两种版本，后者更安全。3.在配置防火墙时，若要求允许HTTP（端口80）和HTTPS（端口443）流量通过，同时阻止其他所有TCP流量，应配置__________安全策略。参考答案：状态检测解析：状态检测防火墙会跟踪连接状态，仅允许合法会话通过，需明确开放80和443端口。4.在配置DHCP服务时，若要求所有DHCP请求必须通过DHCP中继代理转发，应在客户端网络配置__________选项。参考答案：Option82解析：Option82可记录中继代理信息，用于区分不同客户端的请求来源。5.在配置交换机时，若要求端口自动协商速度和双工模式，应将端口模式配置为__________。参考答案：AutoNegotiation解析：AutoNegotiation允许端口自动协商1000M/100M速度和全双工/半双工模式。6.在配置无线网络时，若要求客户端必须使用预共享密钥（PSK）连接，应选择__________认证方式。参考答案：WPA2-PSK解析：WPA2-PSK使用预共享密钥进行认证，适合小型企业。7.在配置VPN时，若使用SSLVPN，通常需要配置__________协议进行加密传输。参考答案：TLS解析：SSLVPN基于HTTPS协议，使用TLS（传输层安全）协议进行加密。8.在配置交换机时，若要求端口优先处理语音流量，应配置__________功能。参考答案：QoS（QualityofService）解析：QoS通过优先级标记（如802.1p）或DSCP值区分流量类型，保障语音质量。9.在配置防火墙时，若要求阻止所有来自特定IP段（如/24）的流量，应配置__________安全策略。参考答案：源地址过滤解析：通过设置源地址范围，可精确控制流量准入。10.在配置交换机时，若要求端口在连接设备后自动学习MAC地址，应启用__________功能。参考答案：DynamicARPInspection（DAI）解析：DAI通过验证ARP报文合法性，防止ARP欺骗。三、判断题（每题2分，共20分）1.在配置交换机时，若启用端口镜像（PortMirroring），所有端口流量都会被复制到监控端口，可能导致网络性能下降。参考答案：正确解析：端口镜像会复制所有流量到监控端口，增加CPU负载，需合理设置镜像比例。2.在配置VPN时，若使用IPsec协议，必须配置预共享密钥，不能使用证书认证。参考答案：错误解析：IPsec支持预共享密钥和证书两种认证方式。3.在配置防火墙时，若启用状态检测功能，所有TCP流量都会被允许通过，无需额外配置。参考答案：错误解析：状态检测仅允许合法会话通过，需明确开放必要端口（如80、443）。4.在配置DHCP服务时，若客户端无法获取IP地址，首先应检查DHCP服务器的租期设置是否合理。参考答案：错误解析：应先检查DHCP服务是否运行、网络连接是否正常、DHCP选项配置是否正确。5.在配置交换机时，若启用VLANTrunking，所有VLAN流量都会通过该链路传输。参考答案：正确解析：Trunk链路可传输多个VLAN流量，需配置VLANTagging进行区分。6.在配置无线网络时，若使用WPA3认证，客户端必须支持AES加密算法。参考答案：正确解析：WPA3强制使用AES-CCMP加密，不支持旧算法。7.在配置VPN时，若使用SSLVPN，客户端无需安装专用软件，可直接使用浏览器访问。参考答案：正确解析：SSLVPN基于HTTPS，兼容浏览器，无需客户端软件。8.在配置交换机时，若启用端口安全，当达到最大MAC地址数时，新设备会自动被丢弃，无需人工干预。参考答案：错误解析：需配置丢弃动作（如Restrict或Shutdown），否则新设备会触发风暴攻击。9.在配置防火墙时，若启用NATOverload，所有内部流量都会共享同一个公网IP地址。参考答案：正确解析：NATOverload通过源端口随机化实现地址复用，多个内部请求映射到同一公网IP。10.在配置交换机时，若启用VLANRouting，所有VLAN流量都会通过三层交换机转发，导致延迟增加。参考答案：正确解析：VLAN路由需通过IP转发，相比二层转发延迟更高，需优化路由表。四、简答题（每题2分，共16分）1.简述OSPF协议中DR（DesignatedRouter）和BDR（BackupDesignatedRouter）的作用。参考答案：DR和BDR是ABR或区域内的选举结果，作用如下：-DR负责收集所有直连路由信息，向其他路由器转发，减少广播流量；-BDR作为备份，当DR失效时接替其工作；-DR和BDR之间建立全连接，其他路由器仅与DR建立点对点连接。2.简述NATOverload（PAT）的工作原理。参考答案：NATOverload通过将内部源IP与源端口组合映射到外部IP实现复用，原理如下：-内部设备发起请求时，将源IP+端口组合转换为EIP+EIP+随机端口；-服务器响应时，根据EIP+EIP+端口组合反向解析，将目标端口映射回内部源端口；-支持多个内部设备共享单个公网IP，需配置端口池和随机化算法。3.简述WPA3认证的两种主要方式。参考答案：WPA3提供两种认证方式：-PEAP（ProtectedExtensibleAuthenticationProtocol）：客户端与AC（认证服务器）建立TLS隧道，内嵌802.1X认证；-EAP-TLS（ExtensibleAuthenticationProtocol-TLS）：客户端使用证书与AC直接认证，无需RADIUS支持。4.简述交换机端口安全的三种配置模式。参考答案：端口安全有三种模式：-Static：固定绑定MAC地址，不允许多设备接入；-Dynamic：从池中随机分配IP，支持少量设备接入；-Sticky：自动学习MAC地址并保存到配置文件，支持动态接入但需重启生效。5.简述防火墙状态检测的工作原理。参考答案：状态检测通过维护连接状态表实现，原理如下：-检测入站流量时，若状态表存在匹配会话，允许通过；否则拒绝；-出站流量先建立会话，入站流量再匹配；-支持TCP、UDP等协议，需配置默认策略（允许/拒绝）。6.简述DHCP中继代理的工作原理。参考答案：DHCP中继代理转发客户端请求到DHCP服务器，原理如下：-客户端发送广播请求，中继代理捕获并封装为单播发送；-代理不直接分配IP，仅传递请求和响应；-需配置Option82记录中继信息，用于服务器识别客户端来源。7.简述无线网络中SSID隐藏的作用。参考答案：SSID隐藏通过禁用广播名称，防止客户端自动发现网络，作用如下：-增加安全性，防止未授权设备接入；-适用于需要手动配置的设备（如打印机）；-需客户端手动输入SSID和密码连接。8.简述VLANTrunking的两种封装方式。参考答案：VLANTrunking有三种封装方式：-802.1Q：使用VLANID（1-4094）标记流量；-ISL（Inter-SwitchLink）：使用26字节标签封装，兼容老设备；-NativeVLAN：未标记的流量（默认VLAN），需配置为相同值。五、应用题（每题4分，共24分）1.某公司网络拓扑如下：核心层使用两台路由器（R1、R2）做HSRP冗余，汇聚层有3台交换机（S1、S2、S3），通过链路聚合连接核心层。现要求S1-S3间实现VLAN10和VLAN20互通，但VLAN30隔离。请简述配置步骤。参考答案：配置步骤：2.核心层HSRP配置：```R1：interfaceGigabitEthernet0/0standby1ipstandby1priority100standby1preemptR2：interfaceGigabitEthernet0/0standby1ipstandby1priority90standby1preempt```3.汇聚层链路聚合：```S1：interfacePort-channel1switchportmodetrunkswitchporttrunkallowedvlan10,20,30S2：interfacePort-channel1switchportmodetrunkswitchporttrunkallowedvlan10,20,30S3：interfacePort-channel1switchportmodetrunkswitchporttrunkallowedvlan10,20,30```4.VLAN配置：```S1：vlan10nameSalesvlan20nameEngineeringvlan30nameManagement```5.互通配置：-在核心层配置SVI：```R1：interfaceVlan10ipaddressinterfaceVlan20ipaddress```-在汇聚层配置VLAN间路由：```S1：iprouting```6.某公司部署SSLVPN，要求远程用户只能访问内部Web服务器（00），其他资源禁止访问。请简述配置步骤。参考答案：配置步骤：7.SSLVPN网关配置：```configwebvpnenabletunnel-groupWebServertyperemote-accesstunnel-groupWebServerauthenticationmethoddefaultwebvpnenable```8.访问控制策略：```configfirewallpolicynameAllow-WebServersourcezoneOutsidedestinationzoneInsideactionacceptserviceobjectserviceWebsourceaddressobjectuserdestinationaddressobjectserver```9.服务对象配置：```configserviceobjectnameWebtypeapplicationdisplayname"HTTP/HTTPS"protocoltcpport80,443configaddress-objectnameusertypeusermember"VPNUsers"configaddress-objectnameservertypehostvalue00```10.某公司网络存在安全风险，要求：-所有员工流量必须经过防火墙；-仅允许HTTP（80）、HTTPS（443）和DNS（53）流量通过；-外部攻击者无法通过IP扫描发现内部服务器。请简述配置方案。参考答案：配置方案：11.防火墙部署：-在互联网出口部署状态检测防火墙，配置双机热备；-在DMZ区部署Web应用防火墙，隔离Web服务器。12.安全策略：```configfirewallpolicynameAllow-Web-AccesssourcezoneOutsidedestinationzoneInsideactionacceptserviceobjectserviceWebsourceaddressobjectanydestinationaddressobjectanyconfigfirewallpolicynameAllow-DNSsourcezoneOutsidedestinationzoneInsideactionacceptserviceobjectserviceDNSsourceaddressobjectanydestinationaddressobjectany```13.隐藏服务器：-在防火墙配置NATOverload，将所有内网流量映射到公网IP；-在Web服务器配置HTTPS，使用非标准端口（如443）；-在防火墙配置默认拒绝策略，仅开放必要端口。14.某公司网络拓扑如下：核心层使用两台路由器（R1、R2）做OSPF区域划分，区域0连接ISP，区域1连接部门A，区域2连接部门B。现要求部门A和部门B之间实现路由，但部门B的财务流量必须绕过部门A。请简述配置步骤。参考答案：配置步骤：15.OSPF区域划分：```R1：routerospf1areanetwork55areanetwork55areanetwork55R2：routerospf1areanetwork55areanetwork55areanetwork55```16.路由重分发：-在部门B路由器配置重分发，绕过部门A：```R2（部门B）：routerospf1redistributeeigrp100subnetsnoexportsubnets55```-在部门A路由器配置重分发，允许部门B访问：```R1（部门A）：routerospf1redistributeeigrp100subnets```17.EIGRP配置：```R2（部门B）：routereigrp100network55noauto-summary```-确保EIGRP与OSPF路由表同步，实现跨区域路由。18.某公司部署无线网络，要求：-不同部门使用不同SSID；-管理员使用802.1X认证，普通用户使用WPA2-PSK；-无线流量必须经过AC（认证服务器）控制。请简述配置方案。参考答案：配置方案：19.无线控制器配置：```configwlcap-groupDefaultauthenticationmethod802.1xauthenticationorder802.1x,pskpsk"Secure123"```20.SSID配置：```configssidAdminauthenticationmethod802.1xauthenticationorder802.1xconfigssidUserauthenticationmethodpskpsk"Secure456"```21.AC配置：```configacauthenticationserver-groupDefaultauthenticationprotocolradiusradiusserverDefaultaddress00auth-port1812acct-port1813```-确保RADIUS服务器配置用户数据库和策略。22.某公司网络存在安全风险，要求：-所有员工流量必须经过防火墙；-仅允许HTTP（80）、HTTPS（443）和DNS（53）流量通过；-外部攻击者无法通过IP扫描发现内部服务器。请简述配置方案。参考答案：配置方案：23.防火墙部署：-在互联网出口部署状态检测防火墙，配置双机热备；-在DMZ区部署Web应用防火墙，隔离Web服务器。24.安全策略：```configfirewallpolicynameAllow-Web-AccesssourcezoneOutsidedestinationzoneInsideactionacceptserviceobjectserviceWebsourceaddressobjectanydestinationaddressobjectanyconfigfirewallpolicynameAllow-DNSsourcezoneOutsidedestinationzoneInsideactionacceptserviceobjectserviceDNSsourceaddressobjectanydestinationaddressobjectany```25.隐藏服务器：-在防火墙配置NATOverload，将所有内网流量映射到公网IP；-在Web服务器配置HTTPS，使用非标准端口（如443）；-在防火墙配置默认拒绝策略，仅开放必要端口。标准答案及解析一、单项选择题1.B2.C3.C4.C5.B6.B7.B8.A9.D10.A解析：2.链路聚合（LinkAggregation）通过捆绑链路提升带宽和可靠性，最适合连接核心层与汇聚层。3.ASBR宣告不存在的网络会导致路由黑洞，类型1重分发可能引入不兼容信息但非直接原因。4.NATOverload（PAT）通过源端口随机化实现地址复用，适合企业场景。5.WPA3-Enterprise通过802.1X认证实现多SSID隔离，其他选项仅支持单一SSID。6.状态检测防火墙需明确开放必要端口，默认拒绝所有流量。7.网状架构通过全连接提供高可用性和带宽，最适合数据中心。8.IPsec支持预共享密钥和证书认证，SSLVPN需客户端软件。9.DHCP保留（Reserved）可将MAC地址与IP绑定，实现静态分配。10.WPA2-PSK使用预共享密钥进行认证，适合小型企业。11.NetFlow可分析流量数据，定位异常流量模式，Ping仅测试连通性。二、填空题1.PortSecurity2.IKEv1、IKEv23.状态检测4.Option822.AutoNegotiation6.WPA2-PSK7.TLS8.QoS3.源地址过滤10.DynamicARPInspection（DAI）解析：4.端口安全通过MAC地址绑定限制接入设备，需启用PortSecurity功能。5.IPsec使用IKE（InternetKeyExchange）协议进行密钥协商，IKEv1和IKEv2是两种版本。6.状态检测防火墙会跟踪连接状态，仅允许合法会话通过，需明确开放必要端口。7.Option82可记录中继代理信息，用于区分不同客户端的请求来源。8.AutoNegotiation允许端口自动协商速度和双工模式。9.WPA2-PSK使用预共享密钥进行认证，适合小型企业。10.SSLVPN基于HTTPS协议，使用TLS（传输层安全）协议进行加密。11.QoS通过优先级标记（如802.1p）或DSCP值区分流量类型，保障语音质量。12.通过设置源地址范围，可精确控制流量准入。13.DAI通过验证ARP报文合法性，防止ARP欺骗。三、判断题1.√2.×3.×4.×5.√6.√7.√8.×9.√10.√解析：2.端口镜像会复制所有流量到监控端口，增加CPU负载，需合理设置镜像比例。3.IPsec支持预共享密钥和证书两种认证方式。4.状态检测仅允许合法会话通过，需明确开放必要端口（如80、443）。5.应先检查DHCP服务是否运行、网络连接是否正常、DHCP选项配置是否正确。6.Trunk链路可传输多个VLAN流量，需配置VLANTagging进行区分。7.WPA3强制使用AES-CCMP加密，不支持旧算法。8.SSLVPN基于HTTPS，兼容浏览器，无需客户端软件。9.端口安全需配置丢弃动作（如Restrict或Shutdown），否则新设备会触发风暴攻击。10.NATOverload通过源端口随机化实现地址复用，多个内部请求映射到同一公网IP。11.VLAN路由需通过IP转发，相比二层转发延迟更高，需优化路由表。四、简答题1.DR（DesignatedRouter）负责收集所有直连路由信息，向其他路由器转发，减少广播流量；BDR（BackupDesignatedRouter）作为备份，当DR失效时接替其工作。DR和BDR之间建立全连接，其他路由器仅与DR建立点对点连接。2.NATOverload通过将内部源IP与源端口组合映射到外部IP实现复用，原理如下：内部设备发起请求时，将源IP+端口组合转换为EIP+EIP+随机端口；服务器响应时，根据EIP+EIP+端口组合反向解析，将目标端口映射回内部源端口；支持多个内部设备共享单个公网IP，需配置端口池和随机化算法。3.WPA3提供两种认证方式：PEAP（ProtectedExtensibleAuthenticationProtocol）：客户端与AC（认证服务器）建立TLS隧道，内嵌802.1X认证；EAP-TLS（ExtensibleAuthenticationProtocol-TLS）：客户端使用证书与AC直接认证，无需RADIUS支持。4.端口安全有三种模式：Static：固定绑定MAC地址，不允许多设备接入；Dynamic：从池中随机分配IP，支持少量设备接入；Sticky：自动学习MAC地址并保存到配置文件，支持动态接入但需重启生效。5.防火墙状态检测通过维护连接状态表实现，原理如下：检测入站流量时，若状态表存在匹配会话，允许通过；否则拒绝；出站流量先建立会话，入站流量再匹配；支持TCP、UDP等协议，需配置默认策略（允许/拒绝）。6.DHCP中继代理转发客户端请求到DHCP服务器，原理如下：客户端发送广播请求，中继代理捕获并封装为单播发送；代理不直接分配IP，仅传递请求和响应；需配置Option82记录中继信息，用于服务器识别客户端来源。7.无线网络中SSID隐藏通过禁用广播名称，防止客户端自动发现网络，作用如下：增加安全性，防止未授权设备接入；适用于需要手动配置的设备（如打印机）；需客户端手动输入SSID和密码连接。8.VLANTrunking有三种封装方式：802.1Q：使用VLANID（1-4094）标记流量；ISL（Inter-SwitchLink）：使用26字节标签封装，兼容老设备；NativeVLAN：未标记的流量（默认VLAN），需配置为相同值。五、应用题1.核心层HSRP配置：```R1：interfaceGigabitEthernet0/0standby1ipstandby1priority100standby1preemptR2：interfaceGigabitEthernet0/0standby1ipstandby1priority90standby1preempt```汇聚层链路聚合：```S1：interfacePort-channel1switchportmodetrunkswitchporttrunkallowedvlan10,20,30S2：interfacePort-channel1switchportmodetrunkswitchporttrunkallowedvlan10,20,30S3：interfacePort-channel1switchportmodetrunkswitchporttrunkallowedvlan10,20,30```VLAN配置：```S1：vlan10nameSalesvlan20nameEngineeringvlan30nameManagement```互通配置：```R1：interfaceVlan10ipaddressinterfaceVlan20ipaddress```在汇聚层配置VLAN间路由：```S1：iprouting```解析：-HSRP通过优先级和抢占机制实现冗余，需配置主备路由器IP和优先级。-链路聚合（Port-channel）需配置Trunk模式并允许所需VLAN通过。-VLAN配置需定义名称和ID，VLAN间路由需启用IP路由功能。2.SSLVPN网关配置：```configwebvpnenabletunnel-groupWebServertyperemote-accesstunnel-groupWebServerauthenticationmethoddefaultwebvpnenable```访问控制策略：```configfirewallpolicynameAllow-WebServersourcezoneOutsidedestinationzoneInsideactionacceptserviceobjectserviceWebsourceaddressobjectuserdestinationaddressobjectserver```服务对象配置：```configserviceobjectnameWebtypeapplicationdisplayname"HTTP/HTTPS"