2026年最-新网络工程师职业考试试题与答案

2026年最新网络工程师职业考试试题与答案一、单项选择题（每题1分，共20分）1.某企业计划部署面向多分支互联的广域网，要求能够根据业务优先级动态调整路径带宽、降低专线成本，同时支持多云接入，以下技术方案中最符合需求的是（）A.传统MPLSVPNB.SD-WANC.互联网VPND.MPLSSRv6答案：B解析：传统MPLSVPN专线部署成本高、扩容周期长，灵活性不足；互联网VPN安全性和服务质量无法保障；SRv6是基于IPv6的段路由协议，用于实现路由转发与业务调度，不是面向广域网接入的整体方案；SD-WAN即软件定义广域网，原生支持多链路混合组网，可基于业务类型动态调度带宽资源，大幅降低组网成本，原生支持多云接入，完全匹配题干需求。2.零信任架构遵循“永不信任，始终验证”的核心原则，以下不属于零信任默认安全配置规则的是（）A.默认所有网络流量都是不可信的B.对所有访问请求进行最小权限分配C.仅验证身份一次，后续访问无需重复验证D.持续监控并评估用户访问行为风险答案：C解析：零信任架构核心要求持续信任评估，不存在一次认证终身有效的访问权限，所有访问请求无论来自内网还是外网，都需要持续进行身份、权限、环境的安全验证，因此C选项不属于零信任规则。3.IPv6地址中，可用于全球单播路由的地址前缀范围是（）A.2000::/3B.FC00::/7C.FE80::/10D.FF00::/8答案：A解析：FC00::/7为唯一本地单播地址，仅用于内网通信，不可全球路由；FE80::/10为链路本地单播地址，仅用于同一链路的节点通信；FF00::/8为组播地址；2000::/3是IANA分配的全球单播地址前缀，可用于公网路由，因此选A。4.基于人工智能的网络运维（AIOps）中，以下哪项功能主要用于提前发现潜在网络故障，降低业务中断概率（）A.故障根因自动定位B.异常预测C.流量调度优化D.配置自动生成答案：B解析：故障根因自动定位是故障发生后快速定位故障点的功能，属于事后处理；异常预测是基于历史运行数据训练AI模型，实时识别网络运行的异常特征，提前预判潜在故障，属于事前预防，符合题干需求；流量调度优化是优化网络资源利用率的功能，配置自动生成是提升配置效率的功能，因此选B。5.OSPFv3中，用于标识一个OSPFv3实例的是（）A.区域IDB.实例IDC.路由器IDD.链路本地地址答案：B解析：OSPFv3基于链路运行，支持同一物理链路上部署多个独立的OSPFv3实例，通过实例ID区分不同实例，区域ID用于标识OSPF区域，路由器ID用于标识一台OSPF设备，因此选B。6.配置VLAN聚合时，SuperVLAN和SubVLAN的关系，以下描述正确的是（）A.SuperVLAN分配物理端口，SubVLAN实现三层转发B.SubVLAN只建立广播域，不配置三层接口C.同一SuperVLAN下的不同SubVLAN共享同一个网段和网关D.不同SubVLAN之间无需三层设备即可直接二层通信答案：C解析：VLAN聚合技术中，SuperVLAN不绑定物理端口，仅配置三层网关接口，实现三层转发；SubVLAN绑定物理端口，划分不同广播域，不单独配置三层接口；同一SuperVLAN下的所有SubVLAN共享同一个IP网段和网关，达到节省IP地址的目的；不同SubVLAN属于不同广播域，默认二层隔离，必须通过SuperVLAN的三层接口实现互通，因此只有C选项描述正确。7.相较于传统的基于丢包的TCP拥塞控制算法（如CUBIC），Google提出的BBR拥塞控制算法的核心特点是（）A.以丢包作为拥塞信号，降低发送速率B.基于带宽和延迟模型，最大化链路利用率同时降低排队延迟C.更适合高延迟低丢包的网络环境，对移动网络场景支持差D.发送窗口固定，不会出现全局同步问题答案：B解析：BBR是基于模型的拥塞控制算法，核心是实时探测链路的瓶颈带宽和最小传播延迟，以此调整发送速率，不将丢包作为拥塞信号，能够有效减少链路排队延迟，提升链路利用率，在长肥管道网络、移动网络场景下的表现远优于传统基于丢包的算法，因此只有B选项描述正确。8.Docker容器网络默认网桥模式下，以下描述正确的是（）A.默认网桥模式下，同主机不同容器默认无法直接互通B.默认网桥模式下，同主机容器通过docker0网桥实现二层互通C.容器要对外提供服务，必须使用host网络模式D.不同主机上的Docker容器默认可以直接通过IP互通，无需额外配置答案：B解析：Docker默认网络模式为桥接模式，会在主机创建docker0虚拟网桥，同主机创建的容器都会虚拟网卡连接到docker0网桥上，通过docker0实现二层互通；容器对外提供服务可以通过端口映射实现，不需要使用host网络模式；不同主机的Docker容器默认二层隔离，需要借助flannel、calico等覆盖网络才能实现跨主机互通，因此只有B选项正确。9.SNMPv3提供了三个安全级别，以下不属于SNMPv3安全级别的是（）A.noAuthNoPrivB.authNoPrivC.authPrivD.authEncrypt答案：D解析：SNMPv3定义的三个安全级别分别为：不认证不加密（noAuthNoPriv）、认证不加密（authNoPriv）、认证加密（authPriv），不存在authEncrypt这个安全级别，因此选D。10.RSTP协议中，当指定端口收到更优的BPDU后，会转变为哪种端口角色（）A.根端口B.替代端口C.备份端口D.禁用端口答案：B解析：RSTP中，替代端口用于替代根端口，作为根端口的备份，当原有指定端口收到比自身更优的BPDU后，会意识到网络存在更优的桥接路径，因此转变为替代端口；备份端口是指定端口的备份，用于备份指定指定端口的转发路径，因此选B。11.以下哪种加密算法属于非对称加密算法（）A.AES-256B.RSAC.3DESD.SM4答案：B解析：AES-256、3DES、SM4都属于对称加密算法，加密解密使用同一密钥，RSA属于典型的非对称加密算法，使用公钥私钥对完成加密解密，因此选B。12.5G承载网中，用于实现边缘计算业务低时延转发的核心架构设计是（）A.核心网云化部署B.网络切片C.下沉MEC边缘节点D.承载网SRv6调优答案：C解析：MEC即多接入边缘计算，核心是将业务计算节点、转发节点下沉到网络边缘，靠近用户侧，减少数据传输的中转环节，降低端到端延迟，是实现边缘计算低时延业务的核心架构，因此选C。13.华为路由器设备中，用于查看OSPF邻居状态的命令是（）A.displayiprouting-tableB.displayospfpeerC.displayinterfaceD.displayospfroute答案：B解析：displayiprouting-table用于查看全局路由表，displayinterface用于查看接口状态与统计信息，displayospfroute用于查看OSPF学习到的路由信息，displayospfpeer用于查看OSPF邻居的状态信息，因此选B。14.BGP协议默认使用的端口号是（）A.89B.179C.520D.161答案：B解析：OSPF协议协议号89，RIP端口号520，SNMP端口号161，BGP默认端口号179，因此选B。15.网络运维中，能够同时探测路径信息和路径中每个节点的延迟、丢包率的命令工具是（）A.pingB.tracertC.mtrD.nslookup答案：C解析：ping仅能测试端到端的连通性和平均延迟，tracert仅能探测从源到目的的转发路径，nslookup用于域名解析测试，mtr结合了traceroute和ping的功能，能够输出路径中每个节点的丢包率、平均延迟、抖动信息，因此选C。二、多项选择题（每题2分，共10分）1.以下属于软件定义网络（SDN）核心特点的有（）A.控制平面与数据平面分离B.网络能力开放可编程C.分布式控制平面D.逻辑上集中的控制视图答案：ABD解析：SDN的三大核心特征为：转控分离（控制平面与数据平面分离）、集中控制（逻辑上集中的控制视图，统一管理网络资源）、开放可编程（控制面开放API，支持上层应用自定义网络功能），分布式控制平面不是SDN的核心特点，因此选ABD。2.零信任架构的核心组件包括以下哪些（）A.策略决策点（PDP）B.策略执行点（PEP）C.持续信任评估引擎D.身份管理与访问控制（IAM）答案：ABCD解析：零信任架构的核心组件包括：以IAM为基础的统一身份管理体系，负责管理所有用户、设备、服务的身份信息；策略执行点（PEP）部署在所有访问入口，负责拦截所有访问请求并转发给决策端；策略决策点（PDP）结合信任评估结果判断是否允许访问；持续信任评估引擎基于多维度数据实时评估访问请求的信任等级，因此四个选项均属于零信任核心组件。3.以下关于SRv6技术的描述，正确的有（）A.SRv6基于IPv6报文扩展头实现段路由功能B.SRv6不需要单独的信令协议，兼容原生IPv6网络C.SRv6支持可编程，能够实现灵活的网络业务调度D.SRv6只能用于运营商骨干网，无法用于企业接入场景答案：ABC解析：SRv6是基于IPv6扩展头的段路由技术，原生继承IPv6的属性，不需要单独部署信令协议，兼容现有IPv6网络，支持通过分段标识实现网络可编程，灵活调度业务路径，当前SRv6已经广泛应用于运营商骨干网、企业接入、云网互联、边云协同等多个场景，因此D选项错误，正确选项为ABC。4.Kubernetes容器编排系统中，Service的官方标准类型包括以下哪些（）A.ClusterIPB.NodePortC.LoadBalancerD.Ingress答案：ABC解析：Kubernetes中Service的标准类型包括ClusterIP（集群内部访问）、NodePort（节点端口访问）、LoadBalancer（云负载均衡访问）、ExternalName（外部服务映射）四种，Ingress是七层HTTP路由接入组件，不属于Service类型，因此选ABC。5.以下属于流量型DDoS攻击类型的有（）A.TCPSYN洪水攻击B.DNS反射放大攻击C.SQL注入攻击D.UDP洪水攻击答案：ABD解析：SQL注入是应用层入侵攻击，目的是窃取数据，不属于DDoS攻击，TCPSYN洪水、DNS反射放大、UDP洪水都属于消耗网络带宽或设备资源的DDoS攻击类型，因此选ABD。三、案例分析题（共70分）案例一：某国内中型零售企业，共有1个总部，35个线下门店分支，1个公有云数据中心，现有业务需求如下：①总部需要实时访问门店的销售数据、监控系统，门店需要访问总部的ERP系统和云数据中心的电商平台，所有核心业务要求低延迟、99.99%以上的可用性；②原有网络采用传统MPLS专线组网，专线租金成本年耗超过200万，新开门店部署周期需要10天以上，无法灵活适配电商大促期间的带宽突发需求；③要求完成IPv6改造，满足国家监管要求，同时实现不同部门业务的安全隔离，支撑外部合作伙伴、移动用户的安全访问。问题1（10分）：结合该企业需求，给出推荐的广域网组网方案，并说明方案的核心优势。参考答案：推荐部署基于SD-WAN的混合广域网组网方案，核心优势如下：（1）成本与部署效率优势：SD-WAN支持MPLS专线、互联网宽带、5G等多链路混合接入，可将非核心业务流量调度到低成本互联网链路，整体专线成本可降低40%-60%，匹配企业成本控制需求；SD-WAN支持零配置CPE，新开门店仅需1天即可完成部署开通，部署周期远短于传统MPLS专线，适配企业快速拓店的需求。（2）业务适配能力优势：SD-WAN支持基于业务优先级的智能链路调度，大促等带宽突发场景下，可自动为电商平台、ERP等核心业务预留带宽，非核心业务弹性占用剩余带宽，既保障核心业务的低延迟，又满足突发带宽需求；支持链路故障自动切换，切换时间小于1秒，保障业务可用性达到99.99%以上。（3）技术适配优势：SD-WAN原生支持IPv4/IPv6双栈，可直接满足企业IPv6改造的需求，不需要额外改造网络架构；原生支持对接公有云，实现分支、总部、云的高效互联，适配企业云化转型的需求。（4）运维与安全优势：SD-WAN支持集中化管控平台，可远程监控所有分支设备状态、配置下发，大幅降低运维成本；原生集成安全能力，支持分支访问的安全隔离，匹配企业安全需求。问题2（8分）：该企业计划引入零信任架构实现移动用户、外部合作伙伴的安全访问控制，简述零信任改造的核心实施步骤。参考答案：零信任改造核心步骤如下：（1）资产与访问关系梳理：全量梳理企业总部、分支、云侧的所有业务资产，梳理不同角色用户（内部员工、外部合作伙伴、移动用户）的访问需求，明确每个角色的最小访问范围。（2）基础架构搭建：部署统一身份管理与访问控制（IAM）系统，统一管理所有用户、设备、服务的身份，实现身份源的统一；在所有访问入口（总部出口、云接入入口、公网入口）部署策略执行点，搭建集中化的策略决策中心。（3）访问规则配置：基于最小权限原则，为每个身份配置对应业务所需的最小访问权限，禁止过度授权，实现权限的细粒度管控。（4）持续信任评估体系部署：基于用户身份、设备状态、访问环境、行为特征等多维度数据，搭建实时信任评估模型，动态调整访问权限，对高风险访问请求实时阻断。（5）持续优化：基于运行过程中产生的访问日志、安全事件，不断优化信任评估模型和访问规则，提升防护效率。问题3（7分）：该企业部署IPv6后，要求所有内网节点不配置公网IPv6地址，仅通过网关实现公网访问，计划采用NAT66技术，简述NAT66的工作原理，以及NAT66和NAT64的核心区别。参考答案：NAT66工作原理：NAT66是针对IPv6地址的网络地址转换技术，通过在网关设备上维护地址转换表，将内网节点使用的私有IPv6源地址转换为网关的公网IPv6地址，实现多个内网节点共享公网IPv6地址访问公网，同时隐藏内网拓扑，提升内网安全性，转换前后的报文均为IPv6报文。核心区别：①转换对象不同：NAT66是IPv6到IPv6的地址转换，转换前后报文均为IPv6格式；NAT64是IPv6到IPv4的地址转换，实现IPv6节点访问IPv4资源，转换后报文从IPv6转换为IPv4格式。②应用场景不同：NAT66主要用于IPv6内网的地址复用、拓扑隐藏，满足内网不使用公网IPv6地址的需求；NAT64主要用于IPv6过渡阶段，解决IPv6孤岛无法访问IPv4资源的问题。案例二：某互联网创业公司的核心电商业务部署在公有云，运维团队发现突发业务访问中断，大量用户反馈无法打开页面，经排查，核心出口带宽利用率达到99%，核心负载均衡的CPU利用率超过95%，判断为遭遇DDoS攻击，本次攻击峰值流量达到30Gbps，攻击流量为大量伪造源IP的UDP报文。问题1（15分）：本次攻击属于哪种DDoS攻击类型？简述该攻击的原理与危害。参考答案：本次攻击属于UDP洪水攻击，是典型的流量型DDoS攻击。攻击原理：攻击者控制大量僵尸主机，向目标业务网络发送大量伪造源IP地址的UDP报文，这些报文占用大量的链路带宽和网络设备的处理资源，目标网络设备需要持续处理这些无用报文，导致合法用户的请求无法得到处理，最终造成业务中断。危害：①耗尽链路带宽资源：大量攻击流量占满整个出口带宽，合法用户的业务流量无法正常传输，导致用户无法访问业务；②耗尽网络设备与服务器资源：大量攻击报文需要网络设备、服务器CPU和内存处理，会导致设备资源耗尽宕机，造成整个网络瘫痪；③造成直接经济损失：电商业务中断会直接导致订单流失，损害品牌信誉，严重情况下还会面临用户索赔等问题。问题2（15分）：结合本次场景，列出三种常用的DDoS防护手段，并说明适用的防护方案。参考答案：常用的DDoS防护手段有以下三种：（1）流量清洗：流量清洗是通过引流、清洗、回注的流程，将所有去往被攻击IP的流量牵引到清洗中心，清洗中心过滤掉攻击流量后，将合法流量回注到目标网络，保障业务正常运行，适合大流量流量型DDoS攻击的防护，是当前最常用的DDoS防护手段。（2）近源清洗：近源清洗是联动运营商，在运营商网络边缘就对攻击流量进行过滤，避免攻击流