2026年最-新计算机网络工程师考试试题与答案

2026年最新计算机网络工程师考试试题与答案一、单项选择题（共10题，每题2分，共20分）1.某企业部署零信任架构，遵循“永不信任，始终验证”原则，零信任架构中默认将以下哪一项作为网络风险边界？A.企业内网边界B.单个访问主体与资源C.园区网边界D.云租户边界答案：B解析：传统网络架构基于网络位置划分信任边界，默认内网可信、外网不可信，零信任架构完全取消了该逻辑，默认所有访问主体都不可信，将信任边界缩小到单个访问主体与单个业务资源层面，每一次访问都需要重新完成身份验证与授权，因此正确答案为B。2.IPv6协议定义了多种扩展头部，以下哪种扩展头部用于支持源节点对IPv6报文进行端到端的完整性校验与身份认证，可有效防范地址欺骗攻击？A.路由扩展头部B.认证头部（AH）C.封装安全载荷扩展头部（ESP）D.逐跳选项扩展头部答案：B解析：IPv6的AH扩展头部核心作用是提供报文的数据源身份认证和完整性校验，不提供加密功能；ESP扩展头部提供加密功能，可附带可选的认证功能；路由扩展头部用于实现源路由，逐跳选项扩展头部用于存储转发路径中每个节点都需要处理的选项。题目要求仅实现完整性校验与身份认证，因此正确答案为B。3.SDN（软件定义网络）标准架构中，负责收集网络拓扑信息、流量统计信息，向上层应用开放北向接口的是哪一层？A.数据转发层B.控制层C.应用层D.基础设施层答案：B解析：SDN标准三层架构从上到下依次为应用层、控制层、基础设施层（数据转发层）。其中应用层承载各类网络业务应用，通过北向接口对接控制层获取网络数据；控制层由集中控制器组成，负责计算网络拓扑、下发流表，向上提供北向接口对接应用，向下通过南向接口控制基础设施层转发设备；基础设施层负责实际数据报文转发。因此正确答案为B。4.某公有云厂商为用户提供虚拟私有云（VPC）服务，用户需要将VPC内的多个不同业务子网进行网络隔离，满足不同业务部门的访问控制需求，以下方案最合理的是？A.通过路由表配置不同网段的访问控制B.通过网络ACL配置子网级的访问控制策略C.通过安全组配置实例级的访问控制D.通过物理交换机划分VLAN隔离答案：B解析：VPC是云上的逻辑私有网络，不需要物理交换机划分VLAN，排除D选项；路由表仅负责控制流量的转发路径，不实现访问隔离，排除A选项；安全组是云平台提供的实例级（云服务器/弹性网卡级）访问控制组件，网络ACL是子网级的访问控制组件，题目要求隔离不同业务子网，因此子网级的网络ACL是最合理的方案，正确答案为B。5.Wi-Fi7（IEEE802.11be）协议相较于Wi-Fi6（IEEE802.11ax），新增的关键技术不包括以下哪一项？A.320MHz超大带宽B.多AP协作MIMOC.1024-QAM调制D.多链路聚合（MLA）答案：C解析：Wi-Fi6最高支持1024-QAM调制方式，单流带宽最高约600Mbps；Wi-Fi7升级为4096-QAM调制，进一步提升了频谱利用率，其余选项的320MHz超大带宽、多AP协作MIMO、多链路聚合都是Wi-Fi7新增的核心技术，因此正确答案为C。6.OSPF路由协议中，关于区域边界路由器（ABR）的描述，正确的是哪一项？A.ABR只能连接一个骨干区域和一个非骨干区域B.ABR产生的三类LSA用于描述区域间的网段路由C.所有ABR都不会产生四类LSAD.ABR必须位于非骨干区域答案：B解析：ABR定义为同时连接骨干区域（Area0）和非骨干区域的路由器，可同时连接多个非骨干区域，至少有一个接口属于骨干区域，因此A、D选项错误；三类LSA（网络汇总LSA）是由ABR产生，用于将非骨干区域的网段路由汇总后发布到骨干区域，再传递给其他非骨干区域，B选项正确；四类LSA（ASBR汇总LSA）是由ABR产生，用于描述ASBR的路由信息，因此C选项错误，正确答案为B。7.TCP三次握手建立连接过程中，客户端初始序列号ISN_c=100，服务器初始序列号ISN_s=200，客户端收到服务器发送的SYN+ACK报文后，回复的ACK报文的确认号是？A.101B.200C.201D.100答案：C解析：TCP协议中，SYN和FIN报文都会消耗一个序列号，服务器发送的SYN+报文中SYN位为1，序列号为ISN_s=200，因此客户端回复的确认号为ISN_s+1=201，正确答案为C。8.某用户在Linux系统中使用nslookup查询域名，得到的结果中权威DNS服务器返回码是REFUSED，说明以下哪一种情况？A.域名不存在B.授权DNS服务器拒绝了本次查询请求C.本地DNS服务器缓存超时D.域名对应的IP地址不存在答案：B解析：DNS返回码中，NXDOMAIN表示域名不存在，REFUSED表示权威DNS服务器拒绝处理本次查询请求，SERVFAIL表示服务器故障，因此正确答案为B。9.基于AIOps（智能运维）的园区网络运维体系中，以下哪一项功能主要依托机器学习算法对历史告警数据进行训练，实现多故障的关联分析，压缩告警风暴，提升故障排查效率？A.故障根因分析B.流量异常检测C.带宽流量预测D.智能流量调度答案：A解析：故障根因分析的核心是对大量关联告警进行聚类分析，从海量告警中定位引发告警风暴的根本故障，减少无效告警干扰，符合题目描述；流量异常检测用于识别异常流量攻击，流量预测用于提前预判带宽需求，智能流量调度用于调整流量转发路径，因此正确答案为A。10.以下哪一种攻击方式是ARP欺骗的典型衍生应用，攻击者通过伪造网关ARP响应，可窃取局域网内所有用户的上网流量数据？A.DDoS攻击B.中间人攻击C.端口扫描D.缓冲区溢出攻击答案：B解析：攻击者通过ARP欺骗将自己的MAC地址伪造成网关的MAC地址，使局域网用户的流量都发送到攻击者主机，攻击者成为流量中间人，可窃听、篡改所有用户的上网流量，属于典型的中间人攻击，因此正确答案为B。二、案例分析题案例一（共20分）某企业计划进行新一代园区网升级改造，核心需求如下：1.企业总部有员工2000人，分为办公区、生产区、研发区三个功能区域，各区域需要实现二层网络逻辑隔离；2.企业部署私有云平台承载核心研发业务，需要支持总部、分支终端安全访问私有云资源；3.支持未来三年业务扩容，实现有线无线网络融合，支持Wi-Fi7接入，要求核心节点无单点故障；4.部署零信任安全架构，实现内外网访问的动态权限管控。设计方案采用核心-汇聚-接入三层架构，核心层采用两台高端核心交换机做虚拟化部署，汇聚层按功能区域划分，每个区域部署两台汇聚交换机，接入层采用有线无线一体化接入交换机，无线AP分布式部署，所有接入交换机双上联到本区域两台汇聚交换机，汇聚交换机双上联到两台核心交换机。问题1（6分）：该方案核心层采用交换机虚拟化技术，请列举2种常见的交换机虚拟化技术，并说明核心虚拟化的优势。问题2（6分）：要求三个功能区域实现二层逻辑隔离，在现有三层架构下，请列举两种可行的实现技术，并分别说明技术特点。问题3（8分）：企业部署零信任安全架构，请说明零信任的核心组件及各组件的作用。参考答案：问题1：常见的交换机虚拟化技术：①IRF（智能弹性架构）；②VSS（虚拟交换系统）；③M-LAG（跨设备链路聚合组），任意列举2种即可。核心虚拟化优势：1.将两台物理核心交换机虚拟为一台逻辑设备，简化网络拓扑，减少路由协议条目，降低运维管理复杂度；2.实现核心层设备冗余，当一台物理核心故障时，另一台可无缝承接所有业务，避免单点故障，提升网络整体可靠性；3.支持双核心负载分担，提升核心层转发带宽，满足大流量业务的转发需求。问题2：可行技术及特点：1.VLAN划分：通过在交换机上为不同功能区域的接入接口划分不同VLAN，实现二层逻辑隔离，不同VLAN默认二层不通，需要三层设备路由转发才能通信，技术实现简单，部署成本低，是传统园区网隔离的主流方案。2.VXLAN（虚拟扩展局域网）：采用MACinUDP封装技术，将二层报文封装在IP报文中转发，通过VXLANID（VNI）实现不同业务区域的逻辑隔离，支持跨物理设备的大二层网络，可容纳千万级别的隔离网段，适合大规模园区网未来扩容需求，是新一代园区网隔离的主流技术。问题3：零信任核心组件及作用：1.统一身份管理组件：负责对所有访问主体（员工账号、终端设备、应用服务）进行全生命周期的身份管理，完成多因素身份认证，是零信任信任评估的基础。2.动态信任评估引擎：基于访问主体身份、终端环境健康度、访问时间、访问地点、业务敏感等级等多维度数据进行动态信任评分，按照最小权限原则授予访问权限，实现细粒度访问控制。3.零信任安全网关：负责拦截所有访问请求，仅转发通过验证授权的合法请求，隐藏后端业务资源，避免业务资源直接暴露在网络中。4.安全审计与数据分析组件：对所有访问行为进行全链路日志记录，通过大数据分析识别异常访问行为，持续优化信任评估模型，满足合规审计要求。案例二（共20分）某企业跨AS组网，网络参数如下：路由器R1属于AS100，接口S1/0地址为/30，对端连接R2的S1/0接口；R2属于AS200，S1/0地址为/30，S1/1地址为/30，对端连接R3的S1/0接口；R3属于AS300，S1/0地址为/30，内网接口地址为54/24，内网网段为/16。要求R1通过BGP协议学习到/16的路由。问题1（6分）：请补全华为设备R1的BGP配置空项：[R1]bgp【1】[R1-bgp]router-id【2】（给出一个合理值即可）[R1-bgp]peer【3】as-number200问题2（4分）：R2需要将从R3学习到的/16路由发布给R1，以华为命令格式为例，需要添加什么配置命令？问题3（4分）：R1要求仅允许源地址属于/24的流量访问内网/8网段的服务器，需要在R1入接口部署什么技术实现需求？说明配置思路。问题4（6分）：R3公网接口存在大量SYN洪水攻击，大量半连接占用R3资源，导致内网用户访问互联网速度变慢，请列举两种可行的防范技术，并说明原理。参考答案：问题1：【1】100（BGP进程号后填写本地AS号，R1属于AS100，因此填100）【2】（任意R1的合法单播地址即可，格式正确即可得分）【3】（邻居R2的接口IP地址）问题2：配置命令：network16（或import-routebgp，将从R3学习到的BGP路由引入并发布给R1）问题3：部署技术：高级访问控制列表（ACL）。配置思路：1.创建高级ACL，添加规则允许源网段/24访问目的网段/8，拒绝其他所有源访问/8；2.将ACL绑定到R1连接R2的入接口，对入方向流量进行过滤，即可实现需求。问题4：可行防护技术及原理：1.SYNCookie技术：原理：路由器收到SYN请求时，不立即分配全连接资源，而是通过SYNCookie算法计算出确认号回复SYN+ACK，只有收到合法的ACK报文后才分配全连接资源，可避免半连接队列被恶意SYN报文占满，有效防范SYN洪水攻击。2.SYN代理技术：原理：由防火墙或网关代替内网服务器完成TCP三次握手，验证连接合法后才将连接转发给服务器，避免服务器直接受到SYN洪水攻击，消耗资源。（或限流限速技术：对单位时间内收到的SYN请求数量设置阈值，超过阈值后丢弃后续SYN请求，避免设备资源被耗尽）案例三（共20分）某企业计划全网部署IPv6，企业申请到的IPv6总前缀为2409:XXXX:1234::/48，要求内网纯IPv6终端可通过NAT64访问IPv4资源，内网分为办公、研发、生产三个子网，每个子网至少需要容纳2000台终端。问题1（6分）：计算每个子网需要的最小IPv6前缀长度，说明计算过程。问题2（6分）：说明NAT64技术的工作原理，以及NAT64需要DNS64配合的原因。问题3（8分）：部署IPv6后，发现终端私设无状态自动配置地址，存在非法访问风险，请列举几种可行的管控技术。参考答案：问题1：每个子网的最小前缀长度为/64。计算过程：IPv6地址总长度为128位，为了支持无状态地址自动配置，终端接口标识（主机位）固定为64位，可提供2^64个终端地址，远大于2000台的需求，因此每个子网的前缀长度为64位；若仅从容量计算，容纳2000台终端需要至少11位主机位（2^11=2048>2000），前缀长度为128-11=117，实际部署中为兼容无状态自动配置，最小前缀长度为/64。问题2：NAT64工作原理：NAT64是实现IPv6终端访问IPv4资源的地址转换技术，NAT64网关维护IPv6地址与IPv4地址的映射表，将IPv6终端发起的IPv6报文转换为IPv4报文转发到IPv4网络，再将IPv4网络返回的IPv4报文转换为IPv6报文返回给终端，实现互通。需要DNS64配合的原因：当IPv6终端访问仅拥有IPv4地址的域名时，DNS查询默认仅返回A记录（IPv4地址），没有AAAA记录（IPv6地址），DNS64会将A记录中的IPv4地址，结合NAT64前缀合成为符合NAT64规则的IPv6地址返回给终端，终端使用该合成地址发起访问，NAT64网关才能识别出该访问需要转换为IPv4，因此必须配合DNS64使用。问题3：可行管控技术：1.DHCPv6Snooping：开启DHCPv6Snooping功能后，交换机会监听DHCPv6地址分配过程，记录合法分配的IPv6地址，仅允许合法地址转发流量，丢弃无合法分配记录的私设地址。2.RAGuard：RAGuard（路由宣告保护）会过滤网络中的非法RA报文，防止非法路由器向终端发布错误的IPv6前缀，避免终端生成非法的无状态地址。3.ACL+前缀列表过滤：在接入交换机配置ACL，仅允许企业合法分配的IPv6前缀的地址转发，丢弃其他前缀的非法地址报文。4.802.1X接入认证：对接入终端进行身份认证，只有通过认证的终端才能转发流量，未通过认证的终端即使私设地址也无法访问网络。案例四（共20分）某企业有1个总部15个分支，原有组网采用传统MPLSVPN，存在专线成本高、分支开通慢、运维难度大的问题，计划升级为SD-WAN架构，要求实现分支快速接入、智能流量调度、降低组网成本。问题1（6分）：说明SD-WAN对比传统MPLSVPN的核心优势。问题2（6分）：说明SD-WAN分支网关零配置上线（ZTP）的流程。问题3（8分）：说明SD-WAN智能选路的实现原理，以及常用的选路策略。参考答案：问题1：SD-WAN对比传统MPLSVPN的核心优势：1.成本更低：支持利用公网互联网线路作为转发链路，可替代部分高价MPLS专线，降低企业年专线租赁