2026年网络工程师考试《网络工程师》试题及答案

2026年网络工程师考试《网络工程师》试题及答案（1）在CPU架构中，RISC-V架构相较于x86、ARM架构，其核心特点不包括以下哪项？A.完全开源免费B.指令集模块化可扩展C.适合定制化芯片设计D.支持高性能复杂指令集答案：D解析：RISC-V是基于精简指令集（RISC）设计的开源架构，核心特点包括完全开源免费、指令集模块化可裁剪扩展，能够根据应用场景定制芯片指令集，因此在物联网、AI芯片等领域得到广泛应用。复杂指令集（CISC）是x86架构的核心特点，并非RISC-V的特点，因此选择D选项。（2）某企业搭建存储系统，采用RAID5技术使用4块1TB容量的磁盘构建冗余阵列，该阵列的可用存储容量为？A.1TBB.2TBC.3TBD.4TB答案：C解析：RAID5采用分布式校验技术，n块磁盘组成的RAID5阵列，需要占用1块磁盘的容量存储校验信息，因此可用容量为(n-1)*单盘容量，本题中n=4，可用容量为(4-1)*1TB=3TB，因此选择C选项。（3）TCP协议三次握手过程中，第二次握手发送的报文段，标志位的正确状态是？A.SYN=1，ACK=0B.SYN=1，ACK=1C.SYN=0，ACK=1D.SYN=0，ACK=0答案：B解析：TCP三次握手流程为：第一次握手由客户端向服务器发送SYN同步请求报文，标志位为SYN=1，ACK=0；第二次握手由服务器回应客户端，确认客户端的同步请求，同时发送自身的同步请求，因此标志位为SYN=1，ACK=1；第三次握手由客户端确认服务器的同步请求，标志位为SYN=0，ACK=1。因此第二次握手的标志位状态为SYN=1，ACK=1，选择B选项。（4）以下IPv6地址类型中，属于可聚合全球单播地址的是？A.FE80::1B.FF02::2C.2001:3CA1:010F:001D::12/64D.FC00::1:1234答案：C解析：IPv6地址类型划分规则为：可聚合全球单播地址的前缀范围为2000::/3，是公网可路由的单播地址；链路本地单播地址前缀为FE80::/10，仅用于本地链路通信，不可公网路由；唯一本地单播地址前缀为FC00::/7，用于内网私有地址，类似IPv4的私网地址；组播地址前缀为FF00::/8。因此本题中A选项为链路本地单播，B选项为组播地址，D选项为唯一本地单播，C选项符合可聚合全球单播地址规则，选择C选项。（5）OSPF协议中，下列不属于OSPF协议报文类型的是？A.Hello报文B.LSR报文C.LSA报文D.LSU报文答案：C解析：OSPF协议定义了5种报文类型，分别为：Hello报文（用于邻居发现和保活）、DD报文（数据库描述报文）、LSR报文（链路状态请求）、LSU报文（链路状态更新）、LSAck报文（链路状态确认）。LSA（链路状态通告）是描述网络拓扑信息的数据单元，封装在LSU报文中传输，不属于OSPF的顶层报文类型，因此选择C选项。（6）VLAN聚合（SuperVLAN）技术的核心优势是？A.增加广播域数量B.节约IP地址，减少ARP广播流量C.提升网络带宽D.实现不同VLAN三层隔离答案：B解析：VLAN聚合技术的核心原理是多个从VLAN（SecondaryVLAN）共享同一个主VLAN（SuperVLAN）的IP网段，主VLAN作为三层网关，不需要每个VLAN单独分配一个网段，因此可以节约IP地址，避免大量IP地址浪费，同时减少了不同网段的ARP广播流量，因此选择B选项。（7）Wi-Fi6（802.11ax）引入的OFDMA技术的主要作用是？A.提升单用户最大传输速率B.支持多用户并行传输，提升信道整体利用率C.增加信号覆盖范围D.降低终端设备功耗答案：B解析：OFDMA（正交频分多址）技术将整个无线信道划分为多个子信道，允许多个用户同时在不同子信道传输数据，解决了传统Wi-Fi同一时间只能一个用户占用信道的问题，大幅提升多用户并发场景下的信道利用率和整体吞吐量。提升单用户速率主要依靠更高阶调制（如1024QAM），降低功耗依靠TWT（目标唤醒时间）技术，因此本题选择B选项。（8）零信任安全架构的核心设计原则不包括以下哪项？A.永不信任，始终验证B.默认取消基于网络位置的隐式信任C.最小权限访问D.以网络边界为核心划分信任域答案：D解析：零信任架构颠覆了传统“内网可信、外网不可信”的边界安全模型，核心原则为：永不信任，始终验证，默认所有访问无论来自内网还是外网都不可信，需要全程验证；遵循最小权限分配原则，给每个访问主体分配完成业务所需的最小权限；通过微隔离、全程加密控制访问范围。“以网络边界为核心划分信任域”是传统边界安全模型的核心原则，不是零信任的设计原则，因此选择D选项。（9）下列攻击类型中，属于应用层DDoS攻击的是？A.SYN洪水攻击B.HTTP慢速连接攻击C.UDP洪水攻击D.DNS放大攻击答案：B解析：SYN洪水攻击、UDP洪水攻击属于传输层DDoS攻击，DNS放大攻击属于反射型DDoS攻击，针对网络层和传输层；HTTP慢速连接攻击是针对Web应用的应用层攻击，攻击者通过建立HTTP连接后慢速发送请求，占用服务器连接资源，最终导致服务器无法响应正常请求，属于典型的应用层DDoS攻击，因此选择B选项。（10）SDN（软件定义网络）架构中，负责数据转发的平面是？A.数据平面B.控制平面C.应用平面D.管理平面答案：A解析：SDN采用管控分离架构，分为三层：数据平面（转发平面）由交换机等转发设备组成，负责按照控制平面下发的流规则进行数据转发；控制平面由SDN控制器组成，负责拓扑计算、流规则生成下发；应用平面由各类SDN应用组成，负责提供业务功能。因此负责数据转发的是数据平面，选择A选项。（11）SRv6（分段路由IPv6）技术中，关于SegmentID（SID）的存储方式，正确的是？A.只有源节点存储全网所有SIDB.每个节点仅存储本地的SIDC.所有节点存储全网所有SIDD.SID全部存储在集中控制器，转发时实时下发答案：B解析：SRv6是基于IPv6的分段路由技术，每个网络节点仅需要维护自身本地的SID，不需要全网泛洪所有SID信息，源节点只需要在报文中按顺序排列要经过的SID，即可实现源路由转发，大幅降低了路由协议的开销，因此本题选择B选项。（12）某网络使用RIPng协议，RIPng的最大有效跳数限制是？A.15B.16C.128D.255答案：A解析：RIPng是IPv6版本的RIP协议，继承了RIP的距离矢量算法，最大有效跳数为15，跳数16代表不可达，因此本题选择A选项。（13）下列域名系统记录中，用于指定域名对应的邮件服务器的是？A.A记录B.AAAA记录C.MX记录D.PTR记录答案：C解析：A记录用于域名到IPv4地址的映射，AAAA记录用于域名到IPv6地址的映射，MX记录用于指定邮件服务器，PTR记录用于IP地址到域名的反向解析，因此本题选择C选项。（14）SNMPv3相比于SNMPv1、SNMPv2c的核心优势是？A.支持更多的管理对象B.提升了安全性，支持身份验证和加密C.报文格式更简单D.支持主动Trap答案：B解析：SNMPv1和SNMPv2c的安全性较差，团体字采用明文传输，容易被窃听和伪造，SNMPv3新增了安全模型，支持身份验证和数据加密，大幅提升了SNMP协议的安全性，因此核心优势是安全性，选择B选项。（15）VPN技术中，IPSecVPN工作在哪一层？A.数据链路层B.网络层C.传输层D.应用层答案：B解析：IPSec是网络层安全协议，工作在IP层，对IP数据包进行加密和认证，SSLVPN工作在应用层/传输层，PPTP工作在数据链路层，因此本题选择B选项。试题一（20分）某企业新建园区网，采用核心-汇聚-接入三层架构，核心层部署两台高性能路由器，全网运行OSPF协议，核心所在区域为骨干区域Area0，两栋办公楼的汇聚层分别属于Area1和Area2，企业需求为：接入层按部门划分VLAN，汇聚层配置三层网关，核心通过VRRP实现网关冗余，要求禁止Area1的路由发布到Area2，避免Area2终端访问Area1业务。请回答以下问题：问题1（6分，每空2分）完成接入层交换机Sw1的基础VLAN配置，填写命令空缺：```Sw1(config)#interfacerangefastEthernet0/1-10Sw1(config-if-range)#switchport____(1)____//设置接口为二层接入模式Sw1(config-if-range)#switchport____(2)____//将接口加入VLAN10Sw1(config)#vtp____(3)____//设置为VTP客户端，从服务器同步VLAN信息```答案：(1)modeaccess(2)accessvlan10(3)modeclient解析：思科交换机配置中，二层接入接口需要先配置模式为access，再绑定对应VLAN；VTP客户端模式用于从VTP服务器同步VLAN信息，不需要本地手动创建VLAN，适合接入层交换机配置。问题2（6分，每空2分）汇聚层交换机Agg1配置VLAN10的VRRP，虚拟网关地址为54/24，Agg1作为主网关，优先级设置为150，开启抢占模式，完成配置空缺：```Agg1(config)#interfacevlan10Agg1(config-if)#ipaddress52Agg1(config-if)#vrrp1ip____(4)____Agg1(config-if)#vrrp1priority____(5)____Agg1(config-if)#vrrp1____(6)____```答案：(4)54(5)150(6)preempt解析：VRRP配置中，首先声明虚拟网关IP地址，然后配置本设备优先级，抢占模式默认关闭，需要手动开启，当本设备优先级高于当前活动网关时，抢占成为新的主网关，保证高优先级设备承担流量转发。问题3（8分）请回答以下两个问题：1.OSPF协议中骨干区域Area0的作用是什么？如果全网没有配置Area0会产生什么问题？（4分）答案：OSPF协议规定，所有非骨干区域必须直接与骨干区域Area0连接，Area0的核心作用是负责在不同非骨干区域之间分发路由信息，同时通过区域层级设计避免OSPF域内产生路由环路。如果全网没有配置Area0，非骨干区域之间传递路由信息时无法防止环路产生，路由器会计算出错误的路由，导致网络不可达或路由震荡。2.针对本题“禁止Area1的路由发布到Area2”的需求，说明应该在哪个设备上配置，采用什么方式实现。（4分）答案：本题中核心层路由器作为ABR（区域边界路由器），同时连接Area0、Area1和Area2，因此需要在核心ABR上配置。实现方式为：通过前缀列表匹配Area1发布的所有路由前缀，然后在OSPF协议中针对Area2配置出方向路由过滤，禁止Area1的路由发布到Area2区域，使得Area2内所有路由器不存在Area1的路由条目，满足需求。试题二（20分）某企业对外提供Web服务，Web服务器部署在DMZ区，最近频繁受到网络攻击，出现服务中断、首页被篡改等问题，企业计划升级安全防护体系，部署防火墙、WAF、零信任访问控制，保障业务安全。请回答以下问题：问题1（6分，每空2分）企业公网出口地址为0，Web服务器私网地址为0，需要配置NAT端口映射，对外开放HTTP（80端口）和HTTPS（443端口）服务，完成防火墙配置空缺：```firewall(config)#natserverprotocoltcpglobal____(1)____80inside____(2)____80firewall(config)#natserverprotocoltcpglobal0____(3)____inside0443```答案：(1)0(2)0(3)443解析：目的NAT（端口映射）配置中，global指定公网地址和公网端口，inside指定内网服务器私网地址和私网端口，因此对应位置填写对应地址和端口即可。问题2（6分）企业已经部署了防火墙，为什么还需要额外部署WAF？请说明防火墙和WAF的区别。答案：防火墙是网络层/传输层安全防护设备，核心功能是基于IP地址、端口、协议进行访问控制，只能过滤网络层和传输层的攻击，无法解析HTTP/HTTPS等应用层协议内容，无法识别SQL注入、XSS跨站脚本、WebShell上传、CC攻击等针对Web应用的应用层攻击，也无法防护Web业务的逻辑漏洞。WAF是专门的Web应用防火墙，工作在应用层，能够完整解析HTTP/HTTPS协议内容，识别各类针对Web应用的攻击，弥补防火墙对应用层攻击防护不足的缺陷。因此企业即便部署了防火墙，仍然需要部署WAF防护Web业务安全。问题3（8分）攻击者攻破Web服务器后，通过内网横向渗透获取了核心数据库服务器权限，窃取了企业用户数据。请回答：1.什么是横向渗透？2.基于零信任理念，说明可以采取哪些措施防止攻击者横向渗透。答案：1.横向渗透是指攻击者攻破边缘节点（如本题中Web服务器）后，利用内网的隐式信任关系、弱口令、未修复漏洞等，从已经控制的节点向内网其他敏感节点移动，获取更多节点权限，最终窃取核心数据的攻击过程，是当前网络攻击中常见的攻击链路环节。2.基于零信任理念的防护措施包括：①取消内网隐式信任：默认所有访问无论来自内网还是外网都不可信，对所有访问内网敏感资源的请求都进行身份验证，不存在默认可信的内网访问；②部署微隔离：对不同业务区域、不同服务器进行细粒度的访问控制，只开放业务必要的访问权限，限制被攻破节点对敏感节点的访问，即使一台节点被控制，攻击也无法扩散；③遵循最小权限原则：给每个用户、每个服务分配完成业务所需的最小访问权限，避免过度授权给攻击者提供便利；④全程监控审计：对所有内网访问流量进行监控，对异常访问行为（如异常端口扫描、异常批量登录）进行实时告警，及时发现横向渗透行为；⑤强化身份认证：对所有访问敏感资源的请求采用多因素身份认证，避免攻击者通过窃取口令或身份凭证横向移动。试题三（20分）某企业计划升级现有网络全面支持IPv6，ISP分配给企业的IPv6前缀为2400:1234:ABCD::/48，企业有12个分支机构，每个分支机构最多容纳1000台终端，要求每个终端都能正常获取IPv6地址访问公网，同时企业部署SD-WAN实现总部和分支机构互联。请回答以下问题：问题1（6分）从节约地址和满足需求的角度，说明给每个分支机构分配的IPv6子网最合适的前缀长度是多少？说明原因。答案：最合适的前缀长度是/58。原因：IPv6网络中，为了满足无状态地址自动配置（SLAAC）要求，终端所在的子网一般使用/64前缀（接口ID固定为64位），一个/64子网可以容纳2^64个终端，满足单个VLAN的终端容量需求；每个分支机构容纳1000台终端，需要划分多个VLAN，每个VLAN对应一个/64子网，按每个VLAN最多容纳250台终端计算，至少需要4个/64子网，加上预留扩展空间，共需要最多64个/64子网；64个/64子网对应的总前缀长度为64-6=58，从/48总前缀拆分，每个分支机构分配/58，既可以满足分支机构的容量需求和扩展需求，又不会造成地址浪费，是最合适的选择。问题2（6分）请区分有状态DHCPv6和无状态DHCPv6，分别说明二者的适用场景。答案：①无状态DHCPv6：无状态DHCPv6不负责给终端分配IPv6地址，只给终端分发DNS服务器、域名后缀等配置信息，终端的IPv6地址通过SLAAC无状态地址自动生成，终端根据网关发布的前缀自行生成接口ID得到完整地址，服务器不需要维护地址分配状态。适用场景：企业办公网等终端数量大、不需要