2025年全国计算机应用水平考试NIT网络技术高级真题模拟考试及解答

2025年全国计算机应用水平考试NIT网络技术高级真题模拟考试及解答一、单项选择题（共20题，每题1分，满分20分）1.SRv6（段路由IPv6）作为2025年我国运营商骨干网核心部署技术，其段标识（SID）的标准长度为（）A.32位B.64位C.128位D.48位答案：C解析：SRv6的SID采用原生IPv6地址格式，标准长度为128位，可直接在现有IPv6网络中转发，无需额外封装。2.下列不属于SD-WAN核心技术特征的是（）A.集中化控制器统一管理B.基于SLA的智能流量调度C.依赖专用物理转发芯片实现高性能D.内置零信任接入能力答案：C解析：SD-WAN核心是软件定义广域网，支持通用x86架构设备部署，不依赖专用物理转发芯片，A、B、D均为其核心特征。3.零信任架构的核心原则是“永不信任、始终验证”，下列配置不符合该原则的是（）A.默认允许企业内网终端直接访问ERP系统B.每次访问内部系统均需完成多因素身份认证C.按照最小权限原则为用户分配系统访问权限D.持续监控访问行为，异常时触发二次认证答案：A解析：零信任架构取消了传统网络“内网默认可信”的假设，所有访问主体无论处于内网还是外网，均需经过验证后才能获得授权，A选项不符合要求。4.某企业采用华为VRP系统交换机实现VLAN10、VLAN20跨交换机传输，下列Trunk口配置命令正确的是（）A.porttrunkallow-passvlan1020B.portaccessvlan1020C.porttrunkpvidvlan10D.porthybridtaggedvlan10答案：A解析：Trunk口允许指定VLAN通过的命令为`porttrunkallow-passvlan[vlan-id]`，B选项为Access口配置命令，C为配置Trunk口默认VLAN，D为Hybrid口tagged配置，均不符合需求。5.HTTP/3协议采用的传输层协议是（）A.TCPB.UDPC.QUICD.SCTP答案：C解析：QUIC是基于UDP封装的新型传输层协议，具备低握手时延、连接迁移、丢包重传优化等特性，是HTTP/3的标准传输层协议。6.按照网络安全等级保护2.0要求，三级等保系统的日志留存时长不得少于（）A.30天B.90天C.180天D.365天答案：C解析：等保2.0标准明确要求，三级及以上网络安全保护等级的系统，日志留存时间不得少于6个月（180天）。7.下列IPv6地址中，属于全球单播地址的是（）A.FE80::1/10B.FD00::1/8C.2409:8080::1/32D.FF02::1/12答案：C解析：IPv6全球单播地址前缀为2000::/3，C选项符合要求；A为链路本地地址，B为唯一本地地址，D为组播地址。8.OSPFv3协议中，链路状态公告（LSA）的作用是（）A.传递邻居发现信息B.同步网络拓扑和路由信息C.完成IPv6地址自动配置D.实现链路负载均衡答案：B解析：OSPFv3作为IPv6网络的链路状态路由协议，LSA的核心作用是在区域内同步网络拓扑和路由前缀信息，所有路由器基于一致的拓扑计算路由。9.某企业出口带宽为1Gbps，要实现每秒10万次HTTP请求的处理能力，出口负载均衡设备的会话新建能力至少应达到（）A.1万CPSB.10万CPSC.100万CPSD.1000万CPS答案：B解析：CPS（每秒新建连接数）是负载均衡设备的核心指标，对应每秒HTTP请求的处理能力，需求为10万次/秒，因此CPS至少应达到10万。10.工业互联网场景下，满足生产控制类业务低时延、低抖动需求的网络技术是（）A.以太网交换B.TSN（时间敏感网络）C.SD-WAND.Wi-Fi6答案：B解析：TSN通过时间同步、流量调度、确定性转发等技术，可实现端到端时延<10ms、抖动<1ms的传输能力，是工业控制场景的核心网络技术。11.下列IPv6过渡技术中，可实现IPv6终端访问IPv4服务器的是（）A.双栈技术B.6to4隧道C.NAT64D.GRE隧道答案：C解析：NAT64技术通过地址翻译实现IPv6和IPv4网络的互访，A选项双栈是设备同时支持两种协议，B、D为隧道技术，仅实现同协议跨网络传输。12.BGP协议的私有AS号范围是（）A.1-64511B.64512-65535C.0-1023D.1024-65535答案：B解析：BGP的AS号中，1-64511为公有AS号，64512-65535为私有AS号，可用于企业内部网络部署。13.TCP连接断开的四次挥手过程中，主动断开方进入TIME_WAIT状态的时长为（）A.1个MSLB.2个MSLC.3个MSLD.4个MSL答案：B解析：主动断开方进入TIME_WAIT状态的时长为2倍MSL（最大报文生存时间），确保被动断开方能收到最后一个ACK报文，避免连接残留。14.Wi-Fi6技术支持的最大频段带宽是（）A.20MHzB.40MHzC.80MHzD.160MHz答案：D解析：Wi-Fi6（802.11ax）支持2.4GHz和5GHz频段，最大可配置160MHz带宽，单流速率可达1200Mbps。15.下列VPN技术中，属于三层VPN的是（）A.IPsecVPNB.L2TPVPNC.PPTPVPND.SSLVPN答案：A解析：IPsecVPN工作在网络层，属于三层VPN；L2TP、PPTP属于二层VPN，SSLVPN工作在应用层。16.入侵防御系统（IPS）和入侵检测系统（IDS）的核心区别是（）A.是否能识别攻击行为B.是否能主动阻断攻击C.是否能留存攻击日志D.是否支持IPv6流量解析答案：B解析：IDS为旁路部署，仅能检测和告警攻击行为；IPS为串接部署，可主动阻断识别到的攻击行为，这是二者的核心区别。17.DNS协议中，用于解析IPv6地址的资源记录类型是（）A.A记录B.AAAA记录C.MX记录D.CNAME记录答案：B解析：A记录用于解析IPv4地址，AAAA记录用于解析IPv6地址，MX记录用于解析邮件服务器地址，CNAME记录为别名记录。18.以太网链路聚合（LACP）协议支持的最大活动端口数是（）A.4B.8C.16D.32答案：B解析：标准LACP协议支持的最大活动端口数为8，可实现链路带宽叠加和冗余备份。19.QoS技术中，流量整形的核心作用是（）A.提高高优先级流量的转发优先级B.限制突发流量，使流量输出速率平稳C.丢弃低优先级流量，避免网络拥塞D.标记流量的DSCP优先级答案：B解析：流量整形通过缓存突发流量，使输出速率保持平稳，避免突发流量导致的网络拥塞；A为优先级调度的作用，C为流量监管的作用，D为流量标记的作用。20.灾备指标中，RPO（恢复点目标）指的是（）A.故障发生后业务恢复可用的最长时间B.故障发生后允许丢失的最长数据时长C.灾备系统的年可用率D.灾备数据的同步频率答案：B解析：RPO指灾难发生后，系统能够恢复到的最近数据备份点的时间，即允许丢失的最长数据时长；A为RTO（恢复时间目标）的定义。二、多项选择题（共10题，每题2分，满分20分，多选、少选、错选均不得分）1.SRv6的典型应用场景包括（）A.跨域数据中心互联B.5G承载网流量调度C.运营商骨干网路由优化D.家庭宽带终端接入答案：ABC解析：SRv6具备灵活的流量调度能力，广泛应用于DC互联、5G承载、骨干网优化等场景；家庭宽带终端接入多采用PPPoE、DHCPv6等协议，无需部署SRv6。2.零信任架构的核心组件包括（）A.身份提供商（IdP）B.策略决策点（PDP）C.策略执行点（PEP）D.传统边界防火墙答案：ABC解析：零信任架构以身份为核心，IdP负责身份管理和认证，PDP负责基于上下文做出访问决策，PEP负责执行访问策略；传统边界防火墙是网络边界安全的组件，不属于零信任核心组件。3.某企业内网终端无法访问公网，可能的原因有（）A.核心交换机默认路由缺失B.出口防火墙NAT配置错误C.运营商链路中断D.内网DNS服务器故障答案：ABCD解析：A选项默认路由缺失会导致内网流量无法转发到出口；B选项NAT配置错误会导致内网地址无法转换为公网地址；C选项运营商链路中断会导致公网连通性失效；D选项DNS故障会导致域名无法解析，无法访问公网业务。4.下列属于IPv6过渡技术的有（）A.双栈技术B.隧道技术C.NAT64翻译技术D.OSPFv3路由技术答案：ABC解析：IPv6过渡技术包括双栈、隧道、翻译三类，OSPFv3是IPv6网络的内部路由协议，不属于过渡技术。5.工业互联网网络安全防护要求包括（）A.工业协议深度解析B.生产区与办公区严格隔离C.设备接入白名单控制D.操作行为全审计答案：ABCD解析：工业互联网安全需覆盖协议识别、区域隔离、准入控制、行为审计等维度，四个选项均符合《工业互联网安全防护要求》标准。6.Wi-Fi6相比Wi-Fi5的技术优势包括（）A.支持多用户MIMO（MU-MIMO）上下行传输B.采用OFDMA技术提升多终端接入效率C.最高支持160MHz带宽，单终端速率更高D.支持TWT技术降低终端功耗答案：ABCD解析：四个选项均为Wi-Fi6对比Wi-Fi5的核心技术升级，可大幅提升多终端接入场景的网络体验。7.下列属于SD-WAN流量调度策略依据的有（）A.链路SLA指标（时延、丢包、抖动）B.应用类型C.用户身份D.链路带宽利用率答案：ABCD解析：SD-WAN可基于链路SLA、应用类型、用户身份、带宽利用率等多维度因素制定流量调度策略，实现最优路径转发。8.等保2.0三级系统的网络通信安全要求包括（）A.通信传输完整性校验B.通信传输保密性加密C.拒绝服务攻击防护D.网络区域边界访问控制答案：ABCD解析：四个选项均为等保2.0三级系统网络安全的强制要求。9.下列关于BGP路由协议的说法正确的有（）A.BGP是路径矢量路由协议，用于跨AS的路由传递B.BGP的路由优选原则中，本地优先级越高路由越优C.BGP仅支持IPv4路由传递，不支持IPv6路由D.BGP可通过路由策略实现灵活的流量调度答案：ABD解析：BGP支持MP-BGP扩展，可传递IPv6、VPN等多种类型的路由，C选项错误，其余选项均正确。10.数据中心网络的Spine-Leaf架构的优势包括（）A.缩短转发路径，降低端到端时延B.支持横向扩展，提升网络接入能力C.便于部署ECMP实现流量负载均衡D.减少核心层设备压力，降低建设成本答案：ABCD解析：Spine-Leaf是现代数据中心的标准网络架构，四个选项均为其相比传统三层架构的核心优势。三、实操题（共3题，每题10分，满分30分）实操题1：IPv6地址配置与连通性验证需求：某企业采用华为VRP系统路由器接入IPv6公网，要求：（1）GE0/0/1口配置IPv6静态地址2409:8080:1001::1/64，启用链路本地地址自动生成；（2）配置IPv6静态默认路由，下一跳为运营商网关2409:8080:1001::ffff；（3）验证直连终端（地址2409:8080:1001::2/64）与网关的连通性，以及到公网IPv6DNS地址2400:3200:2001::114的连通性。配置及解答：1.基础配置（4分）```<Huawei>system-view[Huawei]sysnameR1[R1]ipv6//全局开启IPv6转发功能[R1]interfaceGigabitEthernet0/0/1[R1-GigabitEthernet0/0/1]ipv6enable//接口开启IPv6功能[R1-GigabitEthernet0/0/1]ipv6address2409:8080:1001::1/64//配置静态全球单播地址[R1-GigabitEthernet0/0/1]ipv6addressautolink-local//自动生成链路本地地址[R1-GigabitEthernet0/0/1]quit```2.路由配置（3分）```[R1]ipv6route-static::02409:8080:1001::ffff//配置IPv6静态默认路由，下一跳指向运营商网关```3.验证操作（3分）①查看接口地址配置：执行`displayipv6interfaceGigabitEthernet0/0/1`，确认静态地址和链路本地地址已生效；②直连连通性验证：执行`pingipv62409:8080:1001::2`，收到回包说明直连连通性正常；③公网连通性验证：执行`pingipv62400:3200:2001::114`，收到回包说明公网路由配置正确。故障排查要点：若ping公网失败，优先检查接口物理状态、下一跳网关可达性、运营商IPv6路由是否开通。实操题2：SD-WAN流量调度策略配置需求：某企业有上海总部、广州分支、成都分支三个站点，各站点均有MPLS专线和互联网两条链路，要求：（1）分支访问总部ERP系统（网段/24）的流量优先走MPLS链路，当MPLS链路时延>50ms或丢包率>1%时自动切换到互联网VPN隧道；（2）分支访问互联网的流量直接从本地出口转发，不绕行总部。配置及解答：1.集中控制器基础配置（3分）登录SD-WAN集中控制器，导入三个站点的设备信息，分别配置各站点MPLS链路和互联网链路的SLA阈值：MPLS链路合格阈值为时延≤50ms、丢包率≤1%，互联网链路合格阈值为时延≤100ms、丢包率≤3%。2.ERP流量调度策略配置（4分）①自定义应用组：将目的地址为/24的流量定义为ERP应用组；②配置路径偏好：为ERP应用组指定路径优先级，第一优先级为MPLS链路，第二优先级为互联网IPsecVPN隧道；③配置故障切换触发条件：当MPLS链路SLA连续3个检测周期不达标时，自动切换到第二优先级路径，当MPLS链路SLA恢复达标并保持1分钟后，切回MPLS链路。3.本地互联网breakout策略配置（2分）配置全局流量策略：匹配目的地址为非企业内网网段（/8、/12、/16）的流量，执行本地转发动作，直接从分支的互联网出口转发，无需绕行总部。4.验证操作（1分）在广州分支终端执行`tracert0`（ERP服务器地址），确认第一跳为MPLS网关；执行`tracert`，确认第一跳为本地互联网网关，说明策略生效。实操题3：防火墙暴力破解攻击防护配置需求：某企业部署华为USG6000系列防火墙，要求配置规则拦截针对DMZ区RDP服务器（地址0）的暴力破解攻击，1分钟内连续5次登录失败则拉黑源IP24小时，运维IP112.xx.xx.xx为例外，不做拦截。配置及解答：1.全局开启IPS功能（2分）```<USG>system-view[USG]ipsenable//全局开启入侵防御功能```2.自定义IPS规则模板（5分）```[USG]profiletypeipsnamerdp_brute_force[USG-profile-ips-rdp_brute_force]signature-setnamerdp_protect[USG-profile-ips-rdp_brute_force-signature-set-rdp_protect]rulenamerdp_login_fail[USG-profile-ips-rdp_brute_force-signature-set-rdp_protect-rule-rdp_login_fail]protocoltcp[USG-profile-ips-rdp_brute_force-signature-set-rdp_protect-rule-rdp_login_fail]destination-porteq3389[USG-profile-ips-rdp_brute_force-signature-set-rdp_protect-rule-rdp_login_fail]count5time60//60秒内累计检测[USG-profile-ips-rdp_brute_force-signature-set-rdp_protect-rule-rdp_login_fail]threshold5//触发阈值为5次[USG-profile-ips-rdp_brute_force-signature-set-rdp_protect-rule-rdp_login_fail]actionblocksource-ip1440//拉黑源IP24小时（1440分钟）[USG-profile-ips-rdp_brute_force-signature-set-rdp_protect-rule-rdp_login_fail]exceptionsource-ip112.xx.xx.xx32//运维IP例外[USG-profile-ips-rdp_brute_force-signature-set-rdp_protect-rule-rdp_login_fail]quit[USG-profile-ips-rdp_brute_force]quit```3.绑定安全策略（2分）```[USG]security-policy[USG-policy-security]rulenameallow_rdp[USG-policy-security-rule-allow_rdp]source-zoneuntrust[USG-policy-security-rule-allow_rdp]destination-zonedmz[USG-policy-security-rule-allow_rdp]destination-address032[USG-policy-security-rule-allow_rdp]servicerdp[USG-policy-security-rule-allow_rdp]profileipsrdp_brute_force//绑定自定义IPS模板[USG-policy-security-rule-allow_rdp]actionpermit```4.验证操作（1分）攻击触发后执行`displayfirewallblacklist`，可看到攻击源IP已被加入黑名单，有效期24小时；运维IP访问时不会被拦截，说明配置生效。四、综合案例分析题（满分30分）场景：2025年某中型制造企业启动网络升级项目，覆盖办公区、生产区、数据中心三个区域，需求如下：1.办公区共1200个终端，采用IPv4/IPv6双栈接入，Wi-Fi6全覆盖，漫游无感知，支持零信任接入；2.生产区共600台工业设备（PLC、机器人、传感器等），网络与办公区严格隔离，传输时延≤10ms，丢包率≤0.1%，禁止非授权设备接入；3.数据中心部署ERP、MES、PLM三套核心业务系统，要求异地灾备，RPO≤5分钟，RTO≤30分钟；4.运营商分配的IPv6前缀为2409:8080:2000::/48，要求按照区域划分地址段，预留50%以上的扩展空间。问题：1.请设计该企业网络的整体架构，说明各层级的核心功能（10分）2.请给出生产区网络的安全防护方案（7分）3.请计算该企业可分配的/64IPv6网段总数，并给出具体的地址分配方案（8分）4.请说明零信任架构在该场景下的部署要点（5分）解答：1.整体架构设计（10分）采用标准四层网络架构，各层功能如下：①接入层（3分）：办公区部署PoE交换机+Wi-Fi6AP，支持双栈接入、802.11r快速漫游，满足终端无缝接入需求；生产区部署工业TSN交换机，支持工业协议识别、确定性转发，满足低时延、低丢包要求；数据中心部署万兆TOR交换机，接入服务器和存储设备。②汇聚层（2分）：办公区、生产区、数据中心分别部署汇聚交换机，实现VLAN聚合、访问控制列表配置、区域内流量转发，隔离不同区域的横向流量。③核心层（3分）：部署双核心万兆交换机，开启SRv6功能，实现跨区域流量调度、路由快速收敛，连接汇聚层和出口层，双机冗余避免单点故障。④出口层（2分）：部署下一代防火墙、SD-WAN网关、IPS/IDS、上网行为管理设备，双运营商链路冗余，实现公网接入、异地灾备链路互联、边界安全防护。2.生产区安全防护方案（7分）①区域隔离（2分）：生产区与办公区之间通过防火墙做三层隔离，仅放开MES系统服务器、指定运维IP访问生产区的权限，其余流量默认阻断；生产区内部按照设备类型划分独立VLAN，不同VLAN之间默认禁止通信，仅开通业务必需的访问规则。②准入控制（2分）：生产区所有设备接入启用MAC+IP绑定白名单，非白名单设备接入时直接阻断；工业设备采用802.1X认证，未安装工业安全代理的设备禁止接入网络。③协议防护（2分）：部署工业防火墙，深度解析Modbus、S7、Profinet等工业协议，禁止非法控制指令传输，拦截针对工业设备的漏洞利用攻击。④审