2026年软考-网络工程师考试真题(完整版)

2026年软考-网络工程师考试真题(完整版)一、上午题——基础知识（单选题，每题1分，共75分）第1-5题：计算机硬件与操作系统基础1.计算机中负责解释和执行指令的部件是（）。A.运算器B.控制器C.存储器D.输入设备答案B解析控制器是计算机的指挥中心，负责从存储器取出指令、分析指令并发出控制信号，协调各部件执行指令。运算器只负责算术和逻辑运算。2.在操作系统中，进程从运行状态进入就绪状态的原因通常是（）。A.等待某一事件发生B.时间片用完C.被更高优先级进程抢占D.等待输入输出操作完成答案B解析时间片用完时，正在运行的进程被操作系统剥夺CPU，从运行态转为就绪态，等待下一次调度。等待事件或I/O完成是从运行态转为阻塞态。3.下列存储器中，访问速度最快的是（）。A.寄存器B.CacheC.内存D.固态硬盘答案A解析寄存器位于CPU内部，访问速度最快；其次是Cache（高速缓存），再次是内存（主存），最后是外存（如固态硬盘、机械硬盘）。4.采用DMA方式在内存与外设之间传输数据时，不需要CPU干预的阶段是（）。A.传输前预处理B.数据传输过程中C.传输结束后的中断处理D.DMA控制器初始化答案B解析DMA（直接存储器访问）方式在数据传输过程中由DMA控制器接管总线，直接在外设与内存之间传送数据，不需要CPU逐字节干预。传输前需要CPU初始化DMA控制器，传输结束后通过中断通知CPU。5.某计算机内存容量为4GB，按字节编址，其地址空间范围是（）。A.0B.0C.0D.0答案A解析4GB=4×230字节第6-10题：数据通信基础6.在数据通信中，将数字信号转换为模拟信号的过程称为（）。A.编码B.调制C.解调D.复用答案B解析调制是将数字信号转换为适合在模拟信道上传输的模拟信号的过程；解调是逆过程。编码通常指数字信号到数字信号的变换。7.在曼彻斯特编码中，每个比特的中间跳变的作用是（）。A.表示数据"0"或"1"B.提供同步时钟C.降低信号频率D.增加传输距离答案B解析曼彻斯特编码每个比特中间都有一次电平跳变，该跳变既用于表示数据（如高到低表示1，低到高表示0），也作为接收端的同步时钟信号。8.在CDMA系统中，不同用户使用不同的（）来区分信号。A.频率B.时隙C.码序列D.波长答案C解析CDMA（码分多址）利用相互正交的码序列区分不同用户，所有用户共享同一频率和时间，通过码分实现信道复用。9.海明码是一种常用的差错控制编码，若信息位为4位，要纠正1位错误，至少需要增加的校验位数为（）。A.2B.3C.4D.5答案B解析海明码校验位r需满足2r≥m+r+110.在T1载波中，每一帧包含24个信道，每个信道采样8位，加上1位帧同步位，其总传输速率是（）。A.1.544MbpsB.2.048MbpsC.6.312MbpsD.44.736Mbps答案A解析T1载波帧长为24×8+第11-15题：局域网与以太网11.以太网交换机在收到一个目的MAC地址未知的数据帧时，会执行的操作是（）。A.丢弃该帧B.向除接收端口外的所有端口转发该帧C.向所有端口转发该帧D.向接收端口回送确认帧答案B解析交换机MAC地址表中没有目的MAC地址对应的条目时，会进行泛洪（Flooding），即向除接收端口以外的所有端口转发该帧，以保证数据能够到达目的设备。12.在IEEE802.3标准中，1000BASE-SX使用的传输介质是（）。A.单模光纤B.多模光纤C.同轴电缆D.超五类双绞线答案B解析1000BASE-SX使用多模光纤，波长为850nm，传输距离约220-550米；1000BASE-LX使用单模光纤，波长1310nm，传输距离可达5公里以上。13.VLAN的划分方式中，最灵活、最常用的是基于（）划分。A.端口B.MAC地址C.IP地址D.协议类型答案A解析基于端口划分VLAN是最常用、最灵活的方式，配置简单，直接指定交换机端口属于哪个VLAN。基于MAC地址划分适用于移动终端较多的场景，但管理复杂。14.在生成树协议（STP）中，根桥选举的依据是（）。A.交换机端口数量B.交换机MAC地址与优先级C.交换机IP地址D.交换机转发速率答案B解析STP通过交换BPDU（网桥协议数据单元）选举根桥，根桥的选举依据是桥ID（BridgeID），由优先级（2字节）和MAC地址（6字节）组成。优先级数值越小越优先，优先级相同则MAC地址越小越优先。15.以太网帧中，前导码（Preamble）的作用是（）。A.标识帧的开始B.使收发双方的时钟同步C.校验数据传输错误D.指示帧的长度答案B解析前导码由7个字节的10101010比特序列组成，用于使接收端与发送端时钟同步。帧起始定界符（SFD）才标识帧的开始。第16-20题：TCP/IP协议族16.IPv4数据报首部中，总长度字段占16位，则IPv4数据报的最大长度为（）字节。A.65535B.65536C.32767D.1500答案A解析总长度字段占16位，最大值为21617.TCP协议中，用于建立连接的三次握手过程，第三次握手报文段的标志位是（）。A.SYNB.ACKC.FIND.RST答案B解析三次握手过程：第一次客户端发送SYN；第二次服务器回复SYN+ACK；第三次客户端发送ACK。第三次握手的报文段只设置ACK标志位，用于确认服务器的SYN。18.在TCP的拥塞控制算法中，当拥塞窗口cwnd达到慢启动门限ssthresh后，进入（）阶段。A.慢启动B.拥塞避免C.快速重传D.快速恢复答案B解析TCP拥塞控制包含四个阶段：慢启动、拥塞避免、快速重传、快速恢复。当cwnd<ssthresh时执行慢启动，cwnd指数增长；当cwnd≥ssthresh时进入拥塞避免阶段，cwnd线性增长。19.ARP协议的功能是（）。A.将域名解析为IP地址B.将IP地址解析为MAC地址C.将MAC地址解析为IP地址D.将IP地址解析为端口号答案B解析ARP（地址解析协议）用于根据已知的IP地址获取同一局域网内主机的MAC地址。RARP则相反，用于将MAC地址解析为IP地址。20.DNS服务器中，用于将域名解析为IPv6地址的记录类型是（）。A.AB.CNAMEC.MXD.AAAA答案D解析A记录将域名解析为IPv4地址；AAAA记录将域名解析为IPv6地址；CNAME记录用于域名别名；MX记录用于邮件服务器。第21-25题：IPv6与路由协议21.IPv6地址的长度是（）位。A.32B.64C.128D.256答案C解析IPv6地址长度为128位，采用冒号十六进制表示法，分为8组，每组16位。22.在IPv6中，地址类型FF00::/8表示（）。A.单播地址B.组播地址C.任播地址D.环回地址答案B解析IPv6地址中，FF00::/8是组播地址前缀。单播地址包括全球单播地址（2000::/3）、链路本地地址（FE80::/10）、环回地址（::1）等。23.RIP路由协议使用（）作为度量值。A.带宽B.时延C.跳数D.开销答案C解析RIP（路由信息协议）以跳数（HopCount）作为度量标准，最大跳数为15，16跳视为不可达，适用于小型网络。24.OSPF协议中，用于选举指定路由器（DR）和备份指定路由器（BDR）的网络类型是（）。A.点到点网络B.广播多路访问网络C.非广播多路访问网络D.点到多点网络答案B解析在广播多路访问网络（如以太网）中，OSPF通过选举DR和BDR来减少邻接关系数量和LSA泛洪。点到点网络中不需要选举DR/BDR。25.BGP协议运行在（）之上。A.UDPB.TCPC.IPD.ICMP答案B解析BGP（边界网关协议）使用TCP端口179作为传输层协议，利用TCP的可靠传输保证路由信息的完整性和有序性。RIP使用UDP520，OSPF直接运行在IP之上（协议号89）。第26-30题：广域网与接入网26.PPP协议中，用于建立和配置链路连接的协议是（）。A.IPCPB.LCPC.NCPD.PAP答案B解析PPP协议包含三个组成部分：LCP（链路控制协议）用于建立、配置和测试数据链路连接；NCP（网络控制协议）用于协商网络层协议参数，如IPCP用于协商IP参数；PAP/CHAP是认证协议。27.在ADSL接入技术中，上行信道和下行信道（）。A.使用相同频段B.使用不同频段C.使用相同带宽D.不能同时工作答案B解析ADSL（非对称数字用户线）采用频分复用技术，上行信道与下行信道使用不同的频段，上行速率低于下行速率，可以同时工作。28.在光纤接入技术中，EPON采用（）实现上行多址接入。A.TDMAB.FDMAC.CDMAD.WDMA答案A解析EPON（以太网无源光网络）下行采用广播方式，上行采用TDMA（时分多址）方式，各ONU在不同的时隙发送数据，避免冲突。29.帧中继网络中，用于标识虚电路连接的是（）。A.VPI/VCIB.DLCIC.MAC地址D.IP地址答案B解析帧中继使用DLCI（数据链路连接标识符）标识虚电路。VPI/VCI是ATM网络中的标识符，用于标识ATM虚电路。30.MPLS网络中，数据包转发所依据的标签通过（）协议分发。A.RSVPB.LDPC.BGPD.OSPF答案B解析MPLS（多协议标签交换）使用LDP（标签分发协议）在LSR之间分发标签，建立标签交换路径（LSP）。RSVP也可用于标签分发（RSVP-TE），但LDP是MPLS中最基本的标签分发协议。第31-35题：网络安全基础31.在对称加密算法中，加密和解密使用的密钥关系是（）。A.相同B.不同且不相关C.不同但相关D.一个公开一个保密答案A解析对称加密算法（如DES、AES）中，加密和解密使用相同的密钥。非对称加密算法（如RSA）使用公钥加密、私钥解密，两者不同。32.数字签名技术主要用于保证信息的（）。A.机密性B.完整性C.真实性D.可用性答案C解析数字签名通过发送方使用私钥对消息摘要进行加密，接收方使用发送方公钥验证签名，主要用于保证信息的真实性（身份认证）和不可否认性。完整性通常由消息摘要保证。33.在IPSecVPN中，用于提供数据机密性、完整性和源认证的协议是（）。A.AHB.ESPC.IKED.L2TP答案B解析ESP（封装安全载荷）提供机密性（加密）、完整性和源认证。AH（认证头）只提供完整性和源认证，不提供机密性。IKE用于密钥协商。34.防火墙中，能够检测网络层和传输层信息并基于状态进行过滤的技术是（）。A.包过滤防火墙B.状态检测防火墙C.应用层网关D.代理服务器答案B解析状态检测防火墙不仅检查单个数据包的首部信息，还维护连接状态表，根据连接的状态动态决定是否允许数据包通过，安全性高于静态包过滤防火墙。35.下列端口号中，HTTPS服务默认使用的端口是（）。A.80B.443C.8080D.8443答案B解析HTTPS默认使用TCP端口443。HTTP默认使用80端口。8080和8443常作为代理服务器或Web应用的替代端口。第36-40题：网络管理36.SNMP协议中，管理站向代理发送的用于获取单个对象值的操作是（）。A.GetB.GetNextC.SetD.Trap答案A解析SNMP提供了四种基本操作：Get（获取对象值）、GetNext（获取下一个对象值）、Set（设置对象值）、Trap（代理主动向管理站发送告警）。其中Trap是代理发起的操作。37.SNMPv3新增的安全机制不包括（）。A.认证B.加密C.访问控制D.数据压缩答案D解析SNMPv3增加了基于用户的安全模型（USM），提供认证、加密和访问控制三种安全功能，但不包含数据压缩功能。38.在Linux系统中，查看当前主机路由表的命令是（）。A.ifconfigB.netstat-rC.pingD.nslookup答案B解析netstat-r用于显示路由表信息。ifconfig用于配置和查看网络接口信息，ping用于测试连通性，nslookup用于DNS查询。39.网络管理系统中，被管理设备中的管理信息库（MIB）的作用是（）。A.存储被管理对象的状态和参数B.存储网络管理员的账户信息C.存储历史告警记录D.存储网络拓扑结构答案A解析MIB（管理信息库）是被管理设备中管理对象的集合，以树形结构组织，存储了设备的各种状态和参数信息，SNMP管理站通过读写MIB中的对象实现对设备的管理。40.使用Wireshark抓包分析时，若要过滤出所有TCP协议的报文，正确的显示过滤器表达式是（）。A.tcpB.protocol==tcpC.tcp.portD.to==tcp答案A解析Wireshark显示过滤器直接输入协议名称即可，如tcp、udp、ip、arp等。tcp.port是过滤特定TCP端口的写法，需配合端口值使用。第41-45题：网络规划与设计41.在层次化网络设计模型中，通常由三层结构组成，其中（）负责高速数据转发。A.接入层B.汇聚层C.核心层D.分布层答案C解析层次化网络设计分为核心层、汇聚层（分布层）、接入层。核心层负责高速数据转发，汇聚层提供策略控制和路由聚合，接入层负责用户接入。42.在综合布线系统中，连接楼层配线间与设备间的干线子系统采用的线缆通常是（）。A.水平双绞线B.光缆或大对数双绞线C.同轴电缆D.电话线答案B解析干线子系统（垂直子系统）连接各楼层配线间与设备间，通常采用光缆或大对数双绞线，以支持较大的带宽和多路信号传输。43.网络规划中，VLSM（可变长子网掩码）的主要作用是（）。A.减少IP地址浪费B.提高网络传输速度C.简化网络管理D.增强网络安全性答案A解析VLSM允许在不同子网中使用不同长度的子网掩码，根据每个子网的主机数量合理分配IP地址，从而减少IP地址的浪费。44.某公司需要将一个/24网段划分为4个子网，每个子网可容纳的主机数最多为（）。A.30B.62C.126D.254答案B解析将/24划分为4个子网，需要借用2位主机位，子网掩码变为/26。每个子网的主机位为6位，可容纳主机数为2645.在网络设计方案中，采用冗余链路和负载均衡技术的主要目的是（）。A.提高网络可靠性B.降低网络成本C.简化网络配置D.提高网络速度答案A解析冗余链路和负载均衡通过提供多条可用路径，在单条链路故障时自动切换或分流流量，提高网络的可靠性和可用性。第46-50题：存储与容灾46.RAID0与RAID1相比，RAID0的主要优点是（）。A.更高的可靠性B.更高的磁盘利用率C.更好的容错能力D.更低的成本答案B解析RAID0将数据分散写入多块磁盘，没有冗余，磁盘利用率为100%，但任何一块磁盘故障都会导致数据丢失。RAID1采用镜像方式，磁盘利用率为50%，可靠性更高。47.在NAS存储架构中，文件共享通常采用的协议是（）。A.iSCSIB.FCC.NFS/CIFSD.SCSI答案C解析NAS（网络附加存储）通过网络提供文件级数据访问，常用的文件共享协议是NFS（Unix/Linux环境）和CIFS/SMB（Windows环境）。iSCSI和FC是SAN（存储区域网络）使用的协议。48.在存储网络中，采用iSCSI技术构建的SAN网络，其底层传输网络基于（）。A.光纤通道B.以太网C.InfiniBandD.令牌环网答案B解析iSCSI（Internet小型计算机系统接口）将SCSI命令封装在TCP/IP协议中传输，因此其底层传输网络是基于以太网的IP网络。49.数据容灾技术中，RPO（恢复点目标）是指（）。A.从灾难发生到系统恢复所需的时间B.可容忍的最大数据丢失量C.数据备份的周期D.灾难发生的概率答案B解析RPO（RecoveryPointObjective）指灾难发生时允许丢失的数据量，通常用时间表示，如RPO=15分钟表示最多丢失15分钟的数据。RTO（恢复时间目标）指从灾难发生到系统恢复所需的时间。50.在数据备份策略中，完全备份、增量备份和差异备份相比，恢复速度最快的是（）。A.完全备份B.增量备份C.差异备份D.三者相同答案A解析完全备份将所有数据完整备份，恢复时只需加载最后一次完全备份即可，恢复速度最快。增量备份和差异备份需要结合完全备份进行多次恢复操作。第51-55题：服务器配置51.在Linux系统中，用于配置网卡IP地址的图形化或命令行工具是（）。A.routeB.ifconfig/ipC.hostnameD.netstat答案B解析ifconfig和ip命令是Linux中最常用的网络接口配置工具，可以配置IP地址、子网掩码、MAC地址等参数。route用于配置路由，netstat用于查看网络状态。52.WindowsServer中，DHCP服务器分配的IP地址租约默认有效期为（）。A.1天B.4天C.7天D.8天答案D解析WindowsServer中DHCP默认租约期为8天。客户端在租约期过半（第4天）时开始尝试续租。53.在Linux系统中，DNS客户端解析域名时首先查询的配置文件是（）。A./etc/hostsB./etc/resolv.confC./etc/nsswitch.confD./etc/sysconfig/network答案C解析/etc/nsswitch.conf定义了域名解析的查询顺序（如hosts:filesdns），决定了先查/etc/hosts还是DNS服务器。/etc/resolv.conf指定DNS服务器地址，/etc/hosts是本地主机名映射文件。54.在Linux中，ApacheHTTP服务默认监听端口为80，其主配置文件是（）。A./etc/httpd/conf/httpd.confB./etc/apache2/ports.confC./etc/sysconfig/httpdD./etc/httpd/conf.d/ssl.conf答案A解析在基于RPM的Linux发行版（如CentOS/RHEL）中，Apache主配置文件位于/etc/httpd/conf/httpd.conf。在基于Debian的发行版中，主配置文件为/etc/apache2/apache2.conf。55.Windows环境中，远程桌面服务默认使用的TCP端口是（）。A.23B.3389C.5900D.8080答案B解析Windows远程桌面（RDP）默认使用TCP端口3389。23是Telnet端口，5900是VNC端口。第56-60题：网络新技术56.SDN（软件定义网络）的核心思想是（）。A.将控制平面与数据平面分离B.将网络设备虚拟化C.使用光交换技术D.采用分布式控制答案A解析SDN的核心思想是控制平面与数据平面分离，由集中的控制器统一管理网络策略，底层交换机只负责数据转发。SDN南向接口常用OpenFlow协议。57.在NFV（网络功能虚拟化）架构中，虚拟网络功能（VNF）运行在（）之上。A.专用硬件设备B.通用服务器上的虚拟化平台C.网络交换机D.存储阵列答案B解析NFV通过虚拟化技术将网络功能（如防火墙、负载均衡器、路由器）以软件形式运行在通用服务器上的虚拟化平台（如KVM、VMware）中，替代传统的专用硬件设备。58.在云计算中，为用户提供开发平台和运行环境服务的模式是（）。A.IaaSB.PaaSC.SaaSD.DaaS答案B解析云计算三种服务模式：IaaS（基础设施即服务）提供计算、存储、网络等基础设施资源；PaaS（平台即服务）提供开发平台和运行环境；SaaS（软件即服务）提供完整应用软件。59.物联网感知层常用的短距离无线通信技术不包括（）。A.ZigBeeB.LoRaC.BluetoothD.NFC答案B解析ZigBee、Bluetooth、NFC均为短距离无线通信技术，适用于物联网感知层。LoRa属于低功耗广域网（LPWAN）技术，传输距离可达数公里，通常用于物联网网络层或接入层。60.5G网络中，用于支持超可靠低时延通信（URLLC）场景的关键技术是（）。A.大规模MIMOB.网络切片C.毫米波通信D.D2D通信答案B解析5G三大应用场景：eMBB（增强移动宽带）、URLLC（超可靠低时延通信）、mMTC（海量机器类通信）。网络切片通过将物理网络划分为多个虚拟网络，为不同场景提供定制化服务，是支撑URLLC的关键技术之一。第61-65题：综合应用61.某企业网络工程师使用tracert命令诊断网络故障，输出结果中某跳显示***，可能的原因是（）。A.该路由器不支持TTL超时回复B.目标主机已关机C.本地网卡故障D.DNS解析失败答案A解析tracert利用递增TTL探测路径上的路由器。如果某跳路由器丢弃超时数据包但不回复ICMP超时消息（出于安全策略屏蔽），则显示***。这并不代表链路故障。62.某公司网络使用NAT技术使内网主机访问互联网，若内网主机0访问外网服务器时被映射为公网地址:12345，则此转换方式属于（）。A.静态NATB.动态NATC.PAT（端口地址转换）D.双向NAT答案C解析PAT将多个内网地址映射到同一个公网IP的不同端口，通过端口号区分不同内网主机。题目中公网地址附带端口号12345，说明采用的是PAT方式。63.在交换机上配置VLAN间路由，常用的方式是（）。A.在交换机上配置静态路由B.使用单臂路由或三层交换机C.使用集线器连接D.配置STP协议答案B解析VLAN间路由需要三层转发能力，常用两种方式：一是使用路由器单臂路由（子接口方式），二是使用三层交换机配置VLANIF接口（SVI）实现VLAN间路由。64.某无线网络采用WPA2-PSK加密，其使用的认证方式属于（）。A.开放系统认证B.共享密钥认证C.预共享密钥（PSK）认证D.802.1X认证答案C解析WPA2-PSK（预共享密钥）模式使用预先设置的密码短语进行认证，适用于家庭和小型办公网络。企业级WPA2-Enterprise才使用802.1X认证。65.某网站HTTPS证书过期后，用户访问该网站时浏览器会（）。A.正常访问，无任何提示B.自动更新证书C.显示安全警告，用户可选择继续访问D.完全阻止访问答案C解析浏览器在检测到HTTPS证书过期时，会显示安全警告页面，用户可以选择忽略警告继续访问（存在安全风险），也可以选择退出访问。浏览器无法自动更新服务器证书。第66-70题：法律法规与标准化66.我国《网络安全法》自（）起施行。A.2016年11月7日B.2017年6月1日C.2018年1月1日D.2017年12月1日答案B解析《中华人民共和国网络安全法》于2016年11月7日由全国人大常委会通过，自2017年6月1日起施行。67.《网络安全法》规定，网络运营者应当采取技术措施和其他必要措施，保障网络安全、稳定运行，有效应对网络安全事件，防范网络违法犯罪活动，维护网络数据的（）、完整性和保密性。A.真实性B.可用性C.可靠性D.一致性答案B解析《网络安全法》第十条明确要求维护网络数据的完整性、保密性和可用性，这是网络安全的基本目标（CIA三元组）。68.在计算机软件著作权保护中，下列受法律保护的是（）。A.软件的算法思想B.软件的程序代码C.软件的操作界面风格D.软件开发方法答案B解析计算机软件著作权保护的是软件的程序代码（源程序和目标程序）及相关文档。算法思想、开发方法、操作界面风格等不受著作权法保护。69.我国国家标准代号中，强制性国家标准的代号是（）。A.GB/TB.GBC.GB/ZD.JB答案B解析强制性国家标准代号为GB，推荐性国家标准代号为GB/T，国家标准化指导性技术文件代号为GB/Z。JB是机械行业标准代号。70.根据《信息安全等级保护管理办法》，信息系统的安全保护等级分为（）级。A.3B.4C.5D.6答案C解析我国信息安全等级保护分为五级，第一级到第五级保护能力逐级增强。第五级为最高级别，适用于涉及国家安全的重要信息系统。第71-75题：专业英语71.TheprocessofhidingtheinternalIPaddressesfromtheexternalnetworkiscalled______.A.NATB.DHCPC.DNSD.ARP答案A解析NAT（NetworkAddressTranslation，网络地址转换）用于隐藏内部网络IP地址，实现私有地址与公网地址之间的映射。72.Whichofthefollowingprotocolsisusedtosecurelytransferfilesoveranetwork?A.FTPB.TFTPC.SFTPD.HTTP答案C解析SFTP（SSHFileTransferProtocol）通过SSH加密通道传输文件，提供安全传输。FTP和TFTP为明文传输，HTTP不用于文件传输。73.IntheOSIreferencemodel,the______layerisresponsibleforroutingandforwardingdatapackets.A.datalinkB.networkC.transportD.session答案B解析OSI参考模型中，网络层（NetworkLayer）负责路由选择和数据包转发。74.______isanetworksecuritydevicethatmonitorsandcontrolsincomingandoutgoingnetworktrafficbasedonpredeterminedsecurityrules.A.FirewallB.SwitchC.RouterD.Hub答案A解析防火墙（Firewall）根据预定安全规则监控和控制进出网络的流量，是网络安全的基础设备。75.The______commandisusedtotestthereachabilityofahostonanIPnetwork.A.pingB.tracerouteC.netstatD.nslookup答案A解析ping命令通过发送ICMP回显请求测试目标主机的可达性。traceroute用于跟踪路由路径，netstat用于查看网络状态，nslookup用于DNS查询。二、下午题——应用技术（共5题，每题15分，共75分）试题一：网络规划与IP地址规划（15分）某公司新建办公网络，申请到公网IP地址段/24，内网使用私有地址段/24。公司共有4个部门，各部门主机数量如下：市场部100台、技术部50台、财务部25台、行政部10台。网络拓扑为：核心交换机→接入交换机→终端主机，出口通过路由器连接互联网。问题1（4分）：采用VLSM技术对/24进行子网划分，为每个部门分配满足需求的子网，写出每个部门的子网地址、子网掩码和可用IP地址范围。答案：从主机数量最多的部门开始分配。-市场部（100台）：需要2n−2≥100，取n=-技术部（50台）：需要2n−2≥50，取n=-财务部（25台）：需要2n−2≥25，取n=-行政部（10台）：需要2n−2≥10，取n=解析：VLSM划分原则是先满足主机数量多的子网，从大到小依次分配。每个子网的主机位为n，可用主机数为2n−2（减去网络地址和广播地址）。最后一个子网24/28问题2（3分）：写出路由器连接互联网接口（公网侧）的IP地址、子网掩码和默认网关（假设互联网出口网关为54）。答案：路由器公网接口IP地址可配置为，子网掩码（/24），默认网关为54。解析：公网接口需与上级运营商设备处于同一网段/24内，运营商网关为54，路由器接口可取该网段中一个可用地址，如。问题3（4分）：为使内网主机能够访问互联网，需要在路由器上配置NAT。写出配置动态NAT（PAT，使用公网接口地址）的关键配置命令（以华为AR系列路由器为例）。答案：aclnumber2000

rule5permitsource55

interfaceGigabitEthernet0/0/0

natoutbound2000解析：ACL2000定义需要做NAT的内网网段，在公网接口GigabitEthernet0/0/0上调用natoutbound2000，将匹配的内网地址转换为公网接口地址进行PAT。若需指定公网地址池，则使用nataddress-group和natoutbound2000address-group1。问题4（4分）：如果内网中有一台Web服务器0需要对外提供HTTP服务，而公网只有一个接口地址，应如何配置NAT实现外网用户访问该服务器？写出配置命令。答案：interfaceGigabitEthernet0/0/0

natserverprotocoltcpglobal80inside080解析：使用NAT服务器映射（端口映射），将公网接口地址的TCP80端口映射到内网Web服务器的80端口。外网用户访问时，路由器将流量转发给内网0:80。试题二：交换机配置（15分）某企业网络使用两台华为S5700交换机，核心交换机为SW1，接入交换机为SW2。网络规划如下：-VLAN10：技术部，网段/24-VLAN20：市场部，网段/24-SW1与SW2之间通过GE0/0/1和GE0/0/2链路相连，配置链路聚合-SW1为三层交换机，需实现VLAN间路由问题1（4分）：在SW1上创建VLAN10和VLAN20，并配置VLANIF接口实现VLAN间路由。写出关键配置命令。答案：vlanbatch1020

interfaceVlanif10

ipaddress54

interfaceVlanif20

ipaddress54解析：先创建VLAN，再创建VLANIF接口并配置IP地址。各VLAN内主机的网关分别指向对应的VLANIF地址，三层交换机自动实现VLAN间路由。问题2（4分）：在SW1和SW2上配置Eth-Trunk链路聚合，将GE0/0/1和GE0/0/2捆绑为一个逻辑接口，并配置为Trunk模式允许VLAN10和20通过。写出两端的配置命令。答案：SW1配置：interfaceEth-Trunk1

portlink-typetrunk

porttrunkallow-passvlan1020

interfaceGigabitEthernet0/0/1

eth-trunk1

interfaceGigabitEthernet0/0/2

eth-trunk1SW2配置（与SW1相同）：interfaceEth-Trunk1

portlink-typetrunk

porttrunkallow-passvlan1020

interfaceGigabitEthernet0/0/1

eth-trunk1

interfaceGigabitEthernet0/0/2

eth-trunk1解析：Eth-Trunk将多条物理链路捆绑为一个逻辑链路，提高带宽并实现链路冗余。两端需配置一致的Trunk属性，物理接口加入Eth-Trunk后不再单独配置。默认Eth-Trunk工作在手工负载均衡模式。问题3（4分）：SW2的GE0/0/10接口连接技术部主机，GE0/0/20接口连接市场部主机。写出将这两个接口分别划入VLAN10和VLAN20的配置命令。答案：interfaceGigabitEthernet0/0/10

portlink-typeaccess

portdefaultvlan10

interfaceGigabitEthernet0/0/20

portlink-typeaccess

portdefaultvlan20解析：Access接口用于连接终端主机，portdefaultvlan将接口划入指定VLAN。Access接口只允许一个VLAN通过，通常用于连接主机或打印机等终端设备。问题4（3分）：为防止环路，在两台交换机之间只有一条Eth-Trunk逻辑链路的情况下，是否需要启用STP？说明理由。答案：需要启用STP。虽然当前只有一条逻辑链路，但网络中如果存在其他冗余连接（如后续扩展或误接线），可能形成环路，导致广播风暴。STP能够在检测到环路时自动阻塞冗余端口，保障网络正常运行。解析：STP是交换网络的必备功能。即使当前拓扑无环，开启STP也是一种安全防护措施。华为交换机默认开启STP。试题三：路由器配置与网络安全（15分）某企业网络拓扑如下：内部局域网/24通过路由器R1连接互联网。R1的接口IP如下：GE0/0/0为54/24（内网），GE0/0/1为/24（公网）。内部有一台服务器0提供Web服务，管理员需要通过远程方式管理R1。问题1（4分）：配置R1的默认静态路由，使内网主机能够访问互联网。写出配置命令。答案：iproute-static54解析：默认静态路由/0匹配所有目的地址，下一跳指向运营商网关54。内网主机访问互联网时，数据包经R1转发至运营商网关。问题2（4分）：为R1配置SSH远程管理功能，创建用户admin，密码为Admin@2026，并配置VTY线路只允许SSH登录。写出关键配置命令。答案：rsalocal-key-paircreate

aaa

local-useradminpasswordcipherAdmin@2026

local-useradminprivilegelevel15

local-useradminservice-typessh

interfaceVty04

authentication-modeaaa

protocolinboundssh

stelnetserverenable解析：SSH配置步骤：生成RSA密钥对→创建AAA用户→配置VTY认证方式为AAA→指定VTY只允许SSH协议接入→开启SSH服务。privilegelevel15赋予管理员权限。问题3（4分）：为保证内网安全，在R1上配置ACL，禁止外网主机访问内网/24网段，但允许外网用户访问Web服务器0的80端口。写出在公网接口上应用的ACL配置命令。答案：aclnumber3000

rule5permittcpdestination0destination-porteq80

rule10denyipdestination55

interfaceGigabitEthernet0/0/1

traffic-filterinboundacl3000解析：在公网接口入方向应用高级ACL。规则匹配顺序为从上到下，先允许访问Web服务器的80端口，再拒绝访问内网网段的所有流量。注意ACL规则的先后顺序，允许规则必须在拒绝规则之前，否则Web访问会被拒绝。问题4（3分）：R1上开启防火墙功能后，默认安全策略为拒绝所有流量。为使内网主机能够正常访问互联网，需要配置什么安全策略？写出策略要点。答案：需要配置安全策略允许内网→外网（untrust区域）的流量通过，并允许回程流量。具体为：security-policy

rulenametrust_to_untrust

source-zonetrust

destination-zoneuntrust

actionpermit解析：防火墙默认拒绝跨区域流量。配置trust_to_untrust策略允许内网（trust区域）访问外网（untrust区域），防火墙会自动处理回程流量，无需单独配置反向策略。如果需要外网访问内网Web服务器，则需额外配置untrust_to_trust策略并限定目的地址和端口。试题四：网络故障排查（15分）某企业网络管理员接到用户报修：技术部部分主机无法访问互联网，但能访问内部服务器。网络拓扑：核心交换机SW1连接路由器R1（网关54），技术部主机通过接入交换机SW2接入核心交换机。技术部网段为/24。问题1（4分）：管理员在故障主机上执行ipconfig命令，输出如下：IPv4Address...........:8

SubnetMask...........:

DefaultGateway.........:54该主机网络配置是否正确？说明判断依据。答案：配置正确。IP地址8属于技术部网段/24，子网掩码为，默认网关为54，与规划一致。解析：检查主机网络配置需验证三个要素：IP地址是否在正确网段、子网掩码是否一致、网关地址是否正确。三者均正确。问题2（4分）：管理员在故障主机上执行ping54成功，但ping（R1公网接口）失败。该结果说明故障可能出在哪个环节？答案：说明主机到网关（SW1/R1内网侧）的链路正常，故障可能出在路由器R1的路由配置、NAT配置或运营商链路。解析：ping通网关说明二层链路和网关接口正常；ping不通公网接口地址，说明数据包可能未到达公网接口或回程路由缺失。常见原因：R1缺少默认路由、NAT未配置或配置错误、运营商侧链路故障、ACL阻断等。问题3（4分）：管理员在R1上执行displaynatsessionall，未看到任何NAT会话记录。请分析可能的原因。答案：可能原因有：1.NAT配置错误或未在公网接口上调用NAT策略2.ACL未正确匹配内网网段3.数据包未到达R1（但问题2已排除此可能）4.路由器上存在ACL阻断内网访问外网的流量解析NAT会话是由通过路由器转发并匹配NAT规则的流量产生的。没有会话记录说明流量没有经过NAT转换，需要逐项排查：检查