2026年上半年软考网络工程师上下午试题及答案解析

2026年上半年软考网络工程师上下午试题及答案解析2026年上半年网络工程师综合知识（上午）试题及解析：1、计算机CPU中，用于存放当前正在执行的指令的寄存器是（）。A.程序计数器PCB.指令寄存器IRC.地址寄存器ARD.状态寄存器PSW答案：B解析：程序计数器PC存储下一条要执行的指令的地址，指令寄存器IR存放当前正在执行的指令，地址寄存器AR存放当前CPU访问的内存单元地址，状态寄存器PSW存放运算结果的状态标志，因此B选项正确。2、以下关于RISC-V架构的描述，错误的是（）。A.是开源精简指令集架构B.支持模块化扩展C.所有指令长度固定D.指令数量多，寻址方式灵活复杂答案：D解析：RISC-V是开源精简指令集，核心特点是指令长度固定、指令数量少、寻址方式简单、支持模块化扩展，适合嵌入式、云计算等场景，D选项是CISC架构的特点，因此描述错误，本题选D。3、某计算机内存按字节编址，地址区间为30000H~AFFFFH，总容量为（）KB，若用16K×8bit的存储芯片构成该内存，共需要（）片。(1)A.320B.448C.512D.640(2)A.14B.28C.32D.64答案：(1)C(2)C解析：计算地址区间容量：AFFFFH-30000H+1=80000H，转换为十进制为8×16^4=2^19字节，转换为KB单位为2^19÷2^10=512KB；单块16K×8bit芯片的容量为16KB，总芯片需求为512÷16=32片，因此两问分别选C、C。4、操作系统进程三态模型中，不可能发生的状态转换是（）。A.就绪→运行B.运行→就绪C.就绪→阻塞D.阻塞→运行答案：C解析：进程调度仅会将就绪态进程调度为运行态，阻塞态进程需要等待IO完成后先转换为就绪态，才能被调度为运行态，不可能直接从阻塞态转换为运行态；就绪态进程不会直接进入阻塞，也不存在就绪→阻塞的转换，因此C选项不可能发生。5、OSI七层模型中，负责路由选择、跨网段转发、区域拥塞控制的层次是（）。A.数据链路层B.网络层C.传输层D.应用层答案：B解析：OSI各层核心功能：物理层处理比特流物理传输，数据链路层处理帧封装、介质访问、本地链路差错检测，网络层负责分组转发、路由选择、跨网段拥塞控制，传输层负责端到端连接管理、流量控制，应用层面向用户提供业务服务，因此本题选B。6、TCP三次握手流程中，第二次握手发送的报文标志位正确的是（）。A.SYN=1,ACK=0B.SYN=1,ACK=1C.SYN=0,ACK=1D.SYN=0,ACK=0答案：B解析：第一次握手：客户端发送SYN=1，seq=x，请求建立连接；第二次握手：服务器确认客户端的连接请求，同时发送自身的SYN请求，因此报文标志位为SYN=1，ACK=1，seq=y，ack=x+1；第三次握手：客户端发送ACK=1，确认服务器的SYN请求，完成连接建立，因此本题选B。7、以下不属于零信任架构核心原则的是（）。A.永不信任，始终验证B.基于最小权限分配访问权限C.默认所有流量都不可信D.基于网络边界划分信任域答案：D解析：零信任架构打破了传统安全基于网络边界划分信任域的思路，核心原则为永不信任始终验证、最小权限访问、持续身份验证，默认所有主体和流量都不可信，因此D选项是传统边界安全的思路，不属于零信任核心原则，本题选D。8、IPv6地址2001:0DB8:0000:0000:0AA0:0000:00C2:C200，经过标准压缩后的正确格式是（）。A.2001:DB8::AA0::C2:C200B.2001:DB8::AA0:0:0C2:C200C.2001:DB8::AA0:0:C2:C200D.2001:DB8:0:0:AA0::C2:C200答案：C解析：IPv6地址压缩规则为：连续多个全零段可以用::代替，且一个地址中只能使用一次::；每个非全零段可以去掉前导零，保留末尾非零值。A选项使用了两次::，不符合规则；B选项将00C2写为0C2，错误，去掉前导零后应为C2；D选项压缩了末尾的全零段，保留了开头两个连续全零段，压缩优先级低于连续全零段，格式不标准，因此C选项正确。9、OSPF协议中，区域间路由信息的泛洪范围是（），BDR选举通过（）报文完成。(1)A.仅本区域泛洪B.仅在ABR之间泛洪C.向所有OSPF区域泛洪D.向整个AS外部泛洪(2)A.HELLOB.DBDC.LSRD.LSAck答案：(1)C(2)A解析：OSPF协议中不同类型LSA的泛洪范围不同：一类、二类LSA在本区域内泛洪，三类LSA是ABR生成的区域间路由，会向所有OSPF区域泛洪，五类、七类LSA是AS外部路由，泛洪到整个AS域内；DR/BDR选举通过接口周期性发送的HELLO报文完成，通过接口优先级选举，优先级最高的成为DR，次高成为BDR，因此两问分别选C、A。10、SDN三层架构中，负责按照流表规则转发数据平面分组的是（）。A.控制层B.数据层C.应用层D.编排层答案：B解析：SDN标准三层架构：应用层由各类北向业务应用组成，通过北向接口和控制层通信；控制层负责拓扑计算、路由生成，向下通过南向接口下发流表给数据层；数据层由SDN交换机组成，负责按照下发的流表规则转发数据分组，因此本题选B。11、DNS查询过程中，攻击者篡改DNS服务器的缓存记录，使得目标域名解析到攻击者指定的恶意IP，引导用户访问钓鱼网站，这种攻击是（）。A.DNS缓存中毒B.DNS放大攻击C.DDoS攻击D.ARP欺骗答案：A解析：DNS缓存中毒是攻击者通过注入虚假DNS记录，篡改递归DNS服务器的缓存，使得域名解析到错误IP，符合题干描述；DNS放大攻击是攻击者冒充目标IP向开放DNS服务器发送大量查询，利用DNS响应远大于查询的特点放大流量，对目标发动DDoS攻击，不符合题干；ARP欺骗是二层链路层的地址欺骗，和DNS无关，因此本题选A。12、SNMPv3中，同时提供身份认证和数据加密功能的安全级别是（）。A.noAuthNoPrivB.authNoPrivC.authPrivD.noAuthPriv答案：C解析：SNMPv3定义了三种安全级别：noAuthNoPriv不认证也不加密，authNoPriv仅做身份认证不加密，authPriv既做身份认证又做数据加密，安全性最高，因此本题选C。13、IEEE802.11ax（Wi-Fi6）的单设备最大理论吞吐量接近（）。A.1GbpsB.10GbpsC.100GbpsD.10Mbps答案：B解析：Wi-Fi6（802.11ax）通过OFDMA、1024QAM、MU-MIMO等技术，理论最大单设备吞吐量可达9.6Gbps，接近10Gbps，因此本题选B。14、DHCP协议中，客户端在租期过半时发送（）报文请求地址续租。A.DHCPDISCOVERB.DHCPREQUESTC.DHCPOFFERD.DHCPACK答案：B解析：DHCP客户端在租期达到50%时，会单播发送DHCPREQUEST报文给原DHCP服务器请求续租；DISCOVER是客户端首次获取地址时发送的广播报文，OFFER是服务器返回的可分配地址报文，ACK是服务器确认地址分配的报文，因此本题选B。15、BGP协议中，用于交换路由更新信息的报文类型是（）。A.OPEN报文B.UPDATE报文C.NOTIFICATION报文D.KEEPALIVE报文答案：B解析：BGP报文分为四类：OPEN报文用于建立BGP邻居会话，协商邻居参数；UPDATE报文用于交换路由更新信息，发布可达路由、撤销不可达路由；KEEPALIVE报文用于周期性保活邻居连接；NOTIFICATION报文用于通知错误，中断邻居连接，因此本题选B。16、以下属于非对称加密算法的是（）。A.AESB.DESC.RSAD.SHA-2答案：C解析：AES、DES属于对称加密算法，SHA-2属于哈希散列算法，RSA是典型的非对称加密算法，因此本题选C。17、基于端口划分VLAN的特点描述正确的是（）。A.用户移动位置后不需要重新配置VLANB.适合移动终端较多的场景C.转发效率高，是目前最常用的VLAN划分方式D.可以根据用户身份自动分配VLAN答案：C解析：基于端口划分VLAN是目前最常用的VLAN划分方式，配置简单，转发效率高，缺点是用户移动到新端口后需要重新配置VLAN，不适合移动终端较多的场景；基于身份自动分配VLAN是基于MAC或用户认证划分VLAN的特点，因此本题选C。18、HTTPS协议默认使用的端口是（）。A.80B.443C.8080D.8443答案：B解析：HTTP默认端口为80，HTTPS默认端口为443，8080是HTTP常用的替代端口，8443是HTTPS常用的替代端口，因此本题选B。19、按照网络安全等级保护2.0要求，三级信息系统需要至少每（）做一次等级测评。A.半年B.一年C.两年D.三年答案：B解析：等保2.0明确规定，三级信息系统每年至少开展一次等级测评，二级信息系统每两年至少开展一次，因此本题选B。20、云原生架构中，目前应用最广泛的容器编排系统是（）。A.DockerB.KubernetesC.ETCDD.Harbor答案：B解析：Docker是容器运行时环境，负责容器的运行，Kubernetes（简称K8s）是目前最主流的容器编排系统，负责容器的部署、调度、扩缩容、自愈等，ETCD是K8s存储集群状态的键值存储组件，Harbor是私有容器镜像仓库，因此本题选B。2026年上半年网络工程师案例分析（下午）试题及解析：试题一（20分）某企业升级园区核心网络，拓扑结构为：总部出口路由器RouterA连接运营商，核心交换机S1连接接入交换机A1~A5，出口部署防火墙FW做访问控制，总部和分支机构通过IPSecVPN实现互联，所有接入交换机通过千兆链路聚合连接到核心S1，内网划分多个业务VLAN。问题1（6分）请补全核心交换机S1和接入交换机A1的链路聚合配置，已知A1的Gi1/0/1和Gi1/0/2加入聚合组1，Cisco体系配置如下：S1(config)#interface(1)//进入聚合组1接口S1(config-if)#switchportmode(2)//设置为Trunk模式，允许各VLAN通行S1(config-if)#switchporttrunk(3)vlanall//配置允许所有VLAN通过S1(config-if)#exitS1(config)#interfacerangeGi1/0/1-2S1(config-if-range)#channel-protocollacpS1(config-if-range)#channel-group(4)mode(5)//配置LACP模式聚合请回答：链路聚合的作用不包括（6）。供选答案：(1)A.aggregate1B.Po1C.channel1D.group1(2)A.accessB.trunkC.dynamicD.vlan(5)A.activeB.passiveC.onD.auto(6)A.增加链路带宽B.实现流量负载分担C.提供链路冗余备份D.降低单包转发时延答案：(1)B(2)B(3)allowed(4)1(5)A(6)D解析：Cisco体系中聚合接口的命名为Port-channel，简称Po，因此聚合组1接口为Po1；Trunk模式用于交换机之间互联，允许多个VLAN通过，命令格式为switchporttrunkallowedvlanxxx；LACP模式下，active为主动发送LACP报文，是聚合组两端常用的配置模式；链路聚合的作用包括增加总链路带宽、实现流量负载分担、单链路故障后自动切换到其他链路提供冗余，无法降低单包的转发时延，因此作用不包括D。问题2（6分）企业内网采用OSPF实现路由互通，RouterA的S0/0接口连接运营商，地址为/30，Gi0/0接口连接内网，地址为54/24，要求内网路由发布进OSPF，且不对运营商发送OSPF报文，避免内网路由泄露，补全配置：RouterA(config)#routerospf1RouterA(config-router)#network55area(7)RouterA(config-router)#network(8)area0RouterA(config-router)#(9)//配置静默接口，不发送OSPF报文请回答：OSPF中ABR指的是（10），骨干区域编号为（11）。答案：(7)0(8)(9)passive-interface(10)区域边界路由器，指连接多个OSPF区域，至少一个接口位于骨干区域的路由器(11)0解析：passive-interface命令将指定接口设置为静默接口，停止发送OSPFHello报文，无法建立邻居，因此不会将内网路由发布给运营商，符合需求。问题3（8分）企业配置IPSecVPN实现总部和分支互联，IKE第一阶段采用主模式，加密算法AES-256，散列算法SHA2-256，预共享密钥认证，DH14组，第二阶段采用ESP协议，感兴趣流为总部/16对应分支/16，请回答：1、IKE第一阶段的核心作用是什么？2、ESP协议的功能是什么？为什么IPSecVPN安全性高于GREVPN？答案：1、IKE第一阶段的核心作用是协商IKE安全联盟（SA）参数，完成对等体身份认证，协商生成共享密钥，为第二阶段IPSecSA的协商提供安全保护，避免第二阶段协商被窃听篡改。2、ESP（封装安全载荷）是IPSec的核心协议，提供数据加密、数据源身份认证、数据完整性校验、抗重放攻击四项核心功能；GREVPN仅提供三层报文封装功能，原生不支持加密和认证，流量明文传输，而IPSec提供完整的加密认证机制，可以保障VPN流量的保密性和完整性，因此安全性远高于GREVPN。试题二（20分）某企业上线新的核心办公系统，部署多层安全防护，规划引入零信任架构保护核心业务数据安全。问题1（6分）企业门户网站部署WAF（Web应用防火墙）提供防护，请列举三种WAF可以防护的攻击类型（1）（2）（3）；近期网站收到大量不同IP发起的慢速HTTP连接攻击，攻击者缓慢发送碎片HTTP请求，长期占用服务端连接资源，导致正常用户无法建立连接，这种攻击是（4），WAF通过什么机制防护该攻击（5）。答案：(1)SQL注入(2)XSS跨站脚本(3)CC攻击（也可填写CSRF、命令注入、网页挂马等，任意符合Web攻击的类型即可）(4)Slowloris慢速连接攻击(5)WAF通过限制单个IP的最大并发连接数，设置连接空闲超时时间，及时断开超时的空闲连接，同时识别异常慢速请求进行拦截，可有效防护该类攻击。问题2（8分）企业采用RBAC（基于角色的访问控制）配置核心系统权限，角色分为普通员工、部门经理、系统管理员三类：普通员工仅可访问本岗位业务数据，部门经理可访问本部门所有员工数据、拥有审批权限，系统管理员仅拥有系统配置权限，不可访问任何业务数据，符合最小权限原则。请回答：1、RBAC中用户、角色、权限三者的关系是什么？2、简述最小权限原则，题干配置是否符合最小权限原则？3、零信任架构中访问控制的核心依据是什么？答案：1、RBAC中，用户被分配到对应角色，权限被绑定到角色，用户通过所属角色获得对应的访问权限；一个用户可以拥有多个角色，一个角色可以分配给多个用户，通过角色实现用户和权限的解耦，简化大规模网络的授权管理。2、最小权限原则指仅给访问主体分配完成其工作职责所必须的最小权限集合，避免过度授权带来的越权访问、数据泄露风险；题干中不同角色仅获得完成自身工作所需的权限，系统管理员未授予业务数据访问权限，完全符合最小权限原则。3、零信任架构打破了传统基于网络边界的信任模型，访问控制的核心依据是主体身份，对用户、设备、服务等所有主体持续进行身份验证和授权，不再默认内网主体可信。问题3（6分）企业内网检测到ARP欺骗攻击，简述ARP欺骗的原理，以及常用的防护措施。答案：ARP协议是无状态的地址解析协议，不对ARP报文的来源和内容做认证，攻击者可以发送虚假的ARP报文，修改网关或主机ARP表中目标IP对应的MAC地址，使得流量被转发到攻击者的MAC地址，攻击者可以窃听流量、篡改数据或发起中间人攻击，这就是ARP欺骗的原理。常用防护措施：1、交换机配置静态ARP绑定，将核心IP和MAC地址静态绑定；2、开启交换机ARP欺骗检测功能，自动识别非法ARP报文并丢弃；3、终端部署ARP防火墙，检测并告警ARP欺骗；4、采用DHCPSnooping技术，仅允许合法DHCP分配的ARP条目通过，过滤非法ARP。试题三（20分）某企业将核心业务迁移到公有云，规划部署VPC网络，面向用户的业务部署在公有子网，核心数据库部署在私有子网，配置弹性负载均衡分发用户流量。问题1（6分）请说明公有云VPC的定义，以及VPC中私有子网和公有子网的核心区别。答案：VPC即虚拟私有云，是公有云厂商为用户提供的逻辑隔离的私有网络空间，用户可以自主规划网段、子网、路由、访问控制策略，不同用户的VPC之间默认逻辑隔离，安全性远高于共享网络。核心区别：公有子网的路由表配置了指向公网网关的默认路由，子网内资源可以被公网主动访问，也可以主动访问公网；私有子网没有指向公网网关的默认路由，默认无法被公网主动访问，需要通过NAT网关主动访问公网，核心业务部署在私有子网可以避免被公网直接攻击，安全性更高。问题2（8分）弹性负载均衡分为四层负载均衡和七层负载均衡，请分别说明二者的工作层次、支持协议和适用场景。答案：1、四层负载均衡工作在OSI模型的传输层，基于IP地址和端口号完成流量分发，支持TCP、UDP协议，转发性能高、转发延迟低，适合对性能要求高的长连接业务、非HTTP业务，比如数据库集群转发、流媒体业务等场景。2、七层负载均衡工作在OSI模型的应用层，基于域名、URL路径等应用层信息完成流量分发，支持HTTP、HTTPS协议，可以实现SSL卸载、Cookie会话保持、基于路径/域名的转发等功能，适合Web业务、微服务架构等需要灵活调度的场景。问题3（6分）VPC中的网络访问控制列表（ACL）和安全组都是访问控制机制，请说明二者的核心区别。答案：二者核心区别如下：1、作用层级不同：ACL是子网级访问控制，作用于子网内所有资源，安全组是云实例级访问控制，仅作用于绑定了安全组的云实例；2、状态不同：ACL是无状态访问控制，进出流量的规则需要分别配置，安全组是有状态访问控制，允许出站流量后，对应的入站响应流量会自动允许；3、规则支持不同：ACL同时支持允许规则和拒绝规则，按顺序匹配规则，安全组默认仅允许明确开放的流量，默认拒绝所有未允许的入站流量，所有规则都是允许或拒绝，默认允许所有出站流量。试题四（20分）某运营商园区完成IPv6双栈升级，所有终端和服务器都分配公网IPv6地址，部署NAT64解决纯IPv6节点访问IPv4资源的需求。问题1（6分）IPv6地址分为哪三类？请简述IPv6无状态地址自动配置（SLAAC）的流程。答案：IPv6地址分为单播地址、组播地址、任播地址三类。无状态地址自动配置