2025下半年软考(中级)网络工程师真题(含答案)

2025下半年软考(中级)网络工程师真题(含答案)1.2024年发布的《算力网络总体技术要求》中，算力感知路由属于（）层的核心技术。A.算网基础设施层B.算网服务层C.算网编排管理层D.算网应用层答案：C，解析：算力感知路由属于算网编排管理层的核心技术，负责根据算力资源分布、网络链路状态动态调整流量路径，实现算网资源最优调度。2.某国产化服务器搭载银河麒麟高级服务器操作系统V10，若要永久配置静态IP地址，需修改以下哪个配置文件（）。A./etc/sysconfig/network-scripts/ifcfg-eth0B./etc/netplan/00-installer-config.yamlC./etc/NetworkManager/system-connections/eth0.nmconnectionD./etc/network/interfaces答案：C，解析：银河麒麟V10默认使用NetworkManager管理网络，永久静态IP配置文件存放在/etc/NetworkManager/system-connections/目录下，后缀为.nmconnection；选项A为CentOS7及之前版本配置路径，B为Ubuntu系Netplan配置路径，D为Debian旧版网络配置路径。3.Wi-Fi7标准中引入的320MHz连续信道主要工作在以下哪个频段（）。A.2.4GHzB.5GHzC.6GHzD.60GHz答案：C，解析：Wi-Fi7（IEEE802.11be）支持2.4GHz、5GHz、6GHz三个频段，其中6GHz频段可提供最大320MHz连续信道带宽，5GHz频段最大支持160MHz，2.4GHz频段最大支持40MHz，60GHz为WiGig标准频段。4.以下关于零信任网络访问（ZTNA）的描述，错误的是（）。A.核心原则为“永不信任、始终验证”B.需先完成身份认证再分配网络访问权限C.默认信任内部网络的所有终端D.支持基于用户、终端、环境的多因素认证答案：C，解析：零信任打破了传统的“内网即可信”的假设，对所有访问请求无论来自内网还是外网，都需要进行身份认证和权限校验，不存在默认可信的网络区域。5.某TCP报文段的序号为1000，携带的数据长度为200字节，若接收方正确接收该报文段，返回的确认序号为（）。A.1000B.1199C.1200D.1201答案：C，解析：TCP确认序号为期望接收的下一个报文段的第一个字节的序号，1000+200=1200，因此确认序号为1200。6.以下哪种路由协议的度量值是基于带宽、延迟、可靠性、负载、MTU综合计算的（）。A.RIPB.OSPFC.BGPD.EIGRP答案：D，解析：EIGRP的度量值默认基于带宽和延迟计算，可扩展支持可靠性、负载、MTU作为计算因子；RIP度量值为跳数，OSPF度量值为开销（默认基于带宽计算），BGP度量值为属性集（AS路径、MED等）。7.等保2.0三级要求中，网络设备的日志至少需要留存（）个月。A.1B.3C.6D.12答案：C，解析：等保2.0所有等级的日志留存要求均不低于6个月，三级及以上系统建议留存12个月以上。8.以下属于IPv6链路本地地址前缀的是（）。A.2000::/3B.fc00::/7C.fe80::/10D.ff00::/8答案：C，解析：fe80::/10为链路本地地址前缀，仅在同一广播域内生效；2000::/3为全球单播地址前缀，fc00::/7为唯一本地地址前缀，ff00::/8为组播地址前缀。9.某交换机的Access端口属于VLAN10，该端口收到一个不带VLAN标签的报文时，会（）。A.丢弃报文B.给报文打上VLAN10的标签后转发C.打上默认VLAN1的标签后转发D.直接转发答案：B，解析：Access端口收到不带标签的报文时，会打上端口所属VLAN的标签后转发；发送报文时会剥离VLAN标签。10.以下关于SD-WAN智能选路的描述，错误的是（）。A.可根据应用的SLA要求选择最优链路B.支持MPLS、互联网、5G多链路的负载均衡C.仅能基于目的IP地址进行选路D.可实时检测链路的延迟、丢包、抖动指标答案：C，解析：SD-WAN支持基于应用类型、用户角色、SLA指标、链路状态等多维度进行智能选路，并非仅基于目的IP选路。11.某网络的子网掩码为24，该子网最多可容纳的可用主机数为（）。A.14B.30C.62D.126答案：B，解析：24对应的前缀长度为/27，主机位长度为5位，可用主机数为2^5-2=30（减去网络地址和广播地址）。12.SRv6是IPv6+的核心技术，其报文转发是基于（）实现的。A.IPv6扩展头中的段标识列表B.MPLS标签C.GRE封装D.VXLAN封装答案：A，解析：SRv6（分段路由IPv6）通过IPv6扩展头携带段标识列表，指导报文在网络中按照指定路径转发，无需依赖MPLS标签。13.以下哪种DNS记录类型用于实现域名到IPv6地址的解析（）。A.A记录B.MX记录C.AAAA记录D.PTR记录答案：C，解析：AAAA记录用于域名到IPv6地址的解析，A记录用于域名到IPv4地址的解析，MX记录用于邮件服务器地址解析，PTR记录用于反向地址解析。14.某企业部署了RAID5存储系统，由4块1TB硬盘组成，该RAID的可用容量为（）。A.1TBB.2TBC.3TBD.4TB答案：C，解析：RAID5的可用容量为（n-1）*单盘容量，n为硬盘数量，因此4块盘的可用容量为3*1TB=3TB，剩余1块盘的容量用于存储校验信息。15.以下关于HTTPS协议的描述，错误的是（）。A.基于TCP443端口工作B.采用TLS/SSL协议对传输内容加密C.仅需要服务器端配置数字证书D.传输的HTTP报文为明文答案：D，解析：HTTPS会对HTTP报文进行加密后传输，防止中间人窃听和篡改，传输内容为密文。16.OSPF协议中，DR/BDR的选举是在以下哪种网络类型下进行的（）。A.点到点网络B.广播型网络C.点到多点网络D.虚链路答案：B，解析：OSPF仅在广播型、NBMA网络类型下选举DR和BDR，减少邻接关系数量，降低LSA泛洪开销。17.以下属于网络层攻击的是（）。A.SQL注入B.SYNFloodC.DNS劫持D.ARP欺骗答案：B，解析：SYNFlood属于网络层/传输层攻击，SQL注入属于应用层攻击，DNS劫持属于应用层攻击，ARP欺骗属于数据链路层攻击。18.某5GSA网络的端到端时延要求为10ms，适合承载以下哪种业务（）。A.高清视频直播B.远程医疗手术C.网页浏览D.邮件发送答案：B，解析：远程医疗手术属于低时延高可靠业务，要求端到端时延≤10ms，其余业务对时延要求较低。19.VXLAN的VNI字段长度为24位，最多可支持的虚拟网络数量为（）。A.4096B.16万C.1600万D.42亿答案：C，解析：24位的VNI字段可支持2^24=16777216个虚拟网络，约1600万，远高于VLAN的4096个上限。20.以下命令中，可在Linux系统中查看路由表的是（）。A.ipaddrB.iprouteC.ifconfigD.netstat-an答案：B，解析：iproute用于查看路由表，ipaddr用于查看接口地址，ifconfig用于查看接口配置，netstat-an用于查看端口连接信息。21.交换机配置MSTP时，若要将某端口设置为边缘端口，需执行以下哪条命令（华为VRP系统）（）。A.stpedged-portenableB.stprootprimaryC.stpbpdu-protectionenableD.stploop-protectionenable答案：A，解析：stpedged-portenable用于将端口设置为边缘端口，边缘端口直接进入转发状态，不参与MSTP计算，适用于连接终端的端口。22.以下OSPF区域中，不允许引入外部路由的是（）。A.骨干区域（Area0）B.标准区域C.Stub区域D.NSSA区域答案：C，解析：Stub区域不允许类型5的外部LSA泛洪，仅允许区域内路由和默认路由，减少区域内路由器的路由表规模；NSSA区域允许引入本区域的外部路由。23.BGP协议中，以下哪个属性用于判断流量离开本AS的最优出口（）。A.AS路径B.MEDC.LocalPreferenceD.Origin答案：C，解析：LocalPreference（本地优先级）用于AS内部判断离开AS的最优路径，值越高优先级越高；MED用于AS之间判断进入本AS的最优路径，值越低优先级越高。24.某网络配置NAT地址池为-0，若要实现内部多个地址共享公网地址，需配置以下哪种NAT类型（）。A.静态NATB.动态NATC.NAPTD.NATServer答案：C，解析：NAPT（网络地址端口转换）可实现多个私网地址共享少量公网地址，通过端口号区分不同会话；动态NAT仅实现地址一对一动态映射，无法共享地址。25.以下关于防火墙安全区域的描述，错误的是（）。A.安全区域的优先级越高，安全级别越高B.同一安全区域内的流量默认允许通行C.不同安全区域之间的流量默认禁止通行D.Local区域的优先级为85答案：D，解析：华为防火墙中Local区域优先级为100，Trust区域优先级为85，DMZ区域优先级为50，Untrust区域优先级为5。26.Wi-Fi7中引入的Multi-LinkAggregation（MLA）技术的作用是（）。A.支持多个频段同时传输数据，提升总带宽B.支持更多用户同时接入C.提升传输距离D.降低功耗答案：A，解析：MLA（多链路聚合）允许终端同时连接2.4GHz、5GHz、6GHz多个频段的链路，并行传输数据，大幅提升单终端的传输带宽。27.某企业采用VPN实现远程办公，以下哪种VPN技术属于三层VPN（）。A.PPTPVPNB.L2TPVPNC.IPsecVPND.SSLVPN答案：C，解析：IPsecVPN属于三层VPN，工作在网络层；PPTP、L2TP属于二层VPN，SSLVPN属于应用层VPN。28.以下哪种传输层协议适合承载对丢包敏感、对延迟不敏感的业务（）。A.TCPB.UDPC.ICMPD.IGMP答案：A，解析：TCP支持超时重传、确认机制，可靠性高，适合对丢包敏感的业务；UDP无确认机制，延迟低，适合对延迟敏感、允许少量丢包的业务。29.OSPFv3中，链路本地地址作为OSPF报文的源地址，其作用是（）。A.实现跨区域路由转发B.实现同一链路上的OSPF邻居发现和报文交互C.作为外部路由的下一跳地址D.用于管理设备远程登录答案：B，解析：OSPFv3的邻居发现、Hello报文、LSA交互均基于链路本地地址完成，无需依赖全球单播地址。30.以下关于DHCPv6PD（前缀委托）的描述，正确的是（）。A.用于为家庭路由器分配WAN侧IPv6地址B.用于为家庭路由器分配LAN侧IPv6前缀C.用于为终端分配IPv6地址D.用于为终端分配DNS服务器地址答案：B，解析：DHCPv6PD用于运营商为用户侧路由器分配LAN侧的IPv6前缀，路由器可将该前缀划分为多个子网分配给下联终端。31.交换机堆叠中，若要配置主交换机的优先级为200，需执行以下哪条命令（华为VRP系统）（）。A.stackpriority200B.stackmember1priority200C.stppriority200D.vrrpvrid1priority200答案：B，解析：stackmember<成员ID>priority<优先级>用于配置指定堆叠成员的优先级，优先级越高越容易被选举为主交换机。32.以下哪种攻击属于中间人攻击（）。A.DDoS攻击B.ARP欺骗C.暴力破解密码D.SQL注入答案：B，解析：ARP欺骗通过伪造ARP报文，将攻击者的MAC地址伪装成网关MAC，劫持终端的流量，属于典型的中间人攻击。33.某企业的域名是，若要配置泛域名解析，以下记录配置正确的是（）。A.*A14B.@A14C.wwwA14D.mailA14答案：A，解析：*代表泛域名，匹配所有子域名，@代表根域名。34.以下关于QoS的DSCP标记的描述，错误的是（）。A.DSCP占用IP报文头的ToS字段的前6位B.EF（加速转发）等级的DSCP值为46C.CS（类别选择）等级共分为8类D.DSCP值越高，优先级越低答案：D，解析：DSCP值越高，优先级越高，转发时会优先调度。35.以下哪种设备工作在数据链路层，能够隔离冲突域（）。A.集线器B.交换机C.路由器D.防火墙答案：B，解析：交换机的每个端口属于独立的冲突域，能够隔离冲突域；集线器所有端口属于同一个冲突域；路由器能够隔离广播域。36.某网络的IPv6前缀为240e:1234:5678::/48，若要划分16个/52的子网，第一个子网的前缀为（）。A.240e:1234:5678::/52B.240e:1234:5678:1000::/52C.240e:1234:5678:0001::/52D.240e:1234:5678:00f0::/52答案：A，解析：/48到/52借用了4位作为子网位，第一个子网的子网位全为0，因此前缀为240e:1234:5678::/52。37.BGP协议建立邻居关系时，需使用以下哪个端口（）。A.TCP179B.UDP179C.TCP169D.UDP169答案：A，解析：BGP基于TCP179端口建立邻居连接，确保报文传输可靠。38.以下关于VLAN聚合（SuperVLAN）的描述，正确的是（）。A.多个SubVLAN共享同一个SuperVLAN的三层网关B.不同SubVLAN的终端属于同一个广播域C.SuperVLAN可以包含物理端口D.SubVLAN可以配置三层IP地址答案：A，解析：SuperVLAN不包含物理端口，多个SubVLAN共享SuperVLAN的IP网段和三层网关，不同SubVLAN属于不同的广播域，SubVLAN不能配置三层IP地址，可节省IP地址资源。39.运维人员要排查某终端到服务器的路径故障，以下哪个命令可查看数据包经过的所有节点（）。A.pingB.tracertC.netstatD.nslookup答案：B，解析：tracert（Windows）/traceroute（Linux）用于追踪数据包从源到目的经过的所有三层节点，排查路径故障。40.以下关于零信任的持续信任评估的描述，错误的是（）。A.仅在用户登录时进行一次身份校验B.会持续监测终端的安全状态C.发现终端存在风险时会自动回收访问权限D.评估维度包括用户行为、终端环境、访问时间等答案：A，解析：零信任采用持续信任评估机制，并非仅在登录时校验，会在整个访问生命周期内持续评估风险。41.某企业配置VRRP，虚拟IP为54，Master路由器的优先级为120，Backup路由器的优先级为100，若Master路由器的上行链路故障，优先级降低30，此时（）。A.原Master路由器继续担任MasterB.Backup路由器切换为MasterC.两台路由器同时担任Master，出现地址冲突D.VRRP组失效答案：B，解析：原Master故障后优先级变为120-30=90，低于Backup的100，Backup会切换为新的Master。42.以下哪种加密算法属于非对称加密算法（）。A.AESB.DESC.RSAD.SM4答案：C，解析：RSA属于非对称加密算法，公钥和私钥分离；AES、DES、SM4属于对称加密算法，加密和解密使用相同密钥。43.以下关于Wi-Fi6的OFDMA技术的描述，正确的是（）。A.允许同一时间多个用户共享同一个信道B.仅支持单用户同时传输C.提升了单用户的最高带宽D.降低了传输距离答案：A，解析：OFDMA（正交频分多址）将信道划分为多个子载波，同一时间可分配给多个用户同时传输，大幅提升多用户接入场景下的吞吐量，降低延迟。44.某服务器的SSH服务无法登录，以下排查步骤错误的是（）。A.检查服务器22端口是否被防火墙拦截B.检查SSH服务是否正常启动C.检查服务器是否配置了正确的DNS服务器D.检查登录用户是否具有SSH登录权限答案：C，解析：SSH登录基于IP地址和端口，与DNS服务器配置无关。45.以下属于等保2.0“一个中心，三重防护”架构中“三重防护”的是（）。A.安全通信网络、安全区域边界、安全计算环境B.安全管理中心、安全通信网络、安全区域边界C.安全管理中心、安全区域边界、安全计算环境D.安全管理制度、安全管理人员、安全运维流程答案：A，解析：“一个中心”指安全管理中心，“三重防护”指安全通信网络、安全区域边界、安全计算环境。46.以下关于IPv6无状态地址自动配置（SLAAC）的描述，错误的是（）。A.终端通过接收路由器发送的RA报文获取前缀B.接口ID由终端自动生成，可基于MAC地址生成C.需要DHCPv6服务器分配地址D.支持IPv6地址的重复地址检测答案：C，解析：SLAAC无需DHCPv6服务器参与，终端可自动生成IPv6地址，适用于小型网络场景。47.交换机配置端口镜像时，以下说法正确的是（）。A.观察端口可以同时接入终端上网B.一个镜像端口只能映射到一个观察端口C.镜像端口的流量会完整复制到观察端口D.端口镜像会影响镜像端口的正常转发答案：C，解析：端口镜像会将镜像端口的入向、出向或双向流量完整复制到观察端口，用于抓包分析；观察端口仅用于接收镜像流量，不能接入普通终端；一个镜像端口可映射到多个观察端口，镜像过程不影响镜像端口的正常转发。48.以下哪种路由属于静态路由的默认路由（）。A./0B./8C./8D.55/32答案：A，解析：/0为IPv4默认路由，::/0为IPv6默认路由，当路由表中没有匹配的具体路由时，会匹配默认路由转发。49.以下关于5GLAN技术的描述，错误的是（）。A.可实现跨地域的终端二层组网B.支持局域网内的组播、广播报文传输C.依赖公网IP地址实现终端互通D.适用于工业互联网、远程办公等场景答案：C，解析：5GLAN可实现终端之间基于二层地址互通，无需配置公网IP地址，降低网络配置复杂度。50.某企业部署了IPS设备，其主要作用是（）。A.隔离不同安全区域的流量B.检测并阻断入侵行为C.实现地址转换D.实现负载均衡答案：B，解析：IPS（入侵防御系统）可实时检测流量中的入侵行为，发现攻击后直接阻断；防火墙主要用于区域隔离和访问控制。51.以下SMTP协议的作用是（）。A.发送邮件B.接收邮件C.浏览网页D.文件传输答案：A，解析：SMTP用于发送邮件，POP3/IMAP用于接收邮件，HTTP用于浏览网页，FTP用于文件传输。52.某RAID1阵列由2块2TB硬盘组成，其可用容量为（）。A.1TBB.2TBC.3TBD.4TB答案：B，解析：RAID1为镜像阵列，两块硬盘存储完全相同的数据，可用容量等于单盘容量，可靠性高。53.OSPF协议中，Hello报文的作用不包括（）。A.发现邻居B.维持邻居关系C.选举DR/BDRD.同步LSDB答案：D，解析：同步LSDB通过DD报文、LSR报文、LSU报文完成，不属于Hello报文的作用。54.以下关于VXLAN网关的描述，正确的是（）。A.二层VXLAN网关用于实现同一VXLAN网段内的终端互通B.三层VXLAN网关用于实现不同VXLAN网段之间的互通C.VXLAN网关可实现VXLAN与传统VLAN网络的互通D.以上都对答案：D，解析：二层VXLAN网关负责同网段VXLAN终端的二层转发，三层VXLAN网关负责跨VXLAN网段的三层转发，同时支持VXLAN与传统VLAN网络的互通。55.某终端的IP地址为0/24，网关为，若要测试与网关的连通性，以下命令正确的是（）。A.pingB.tracertC.netstatD.nslookup答案：A，解析：ping命令用于测试端到端的连通性。56.以下哪种安全技术可用于防止Web页面被篡改（）。A.网页防篡改系统B.防火墙C.IPSD.防病毒软件答案：A，解析：网页防篡改系统专门用于监测和恢复Web服务器的页面文件，防止被恶意篡改。57.以下关于BGP反射器的描述，正确的是（）。A.用于解决IBGP邻居全连接的问题B.会将收到的IBGP路由反射给其他所有IBGP邻居C.反射器的客户机之间需要建立全连接D.反射器不能发布自己的路由答案：A，解析：BGP路由反射器允许将IBGP路由反射给客户机，无需IBGP邻居全连接，大幅减少IBGP邻居数量。58.某企业配置NATServer，将公网地址的80端口映射到私网服务器00的8080端口，以下配置正确的是（华为VRP系统）（）。A.natserverprotocoltcpglobal80inside008080B.natserverprotocoltcpglobal008080inside80C.natstaticglobalinside00D.nataddress-group1答案：A，解析：natserver配置格式为natserverprotocol<协议>global<公网地址><公网端口>inside<私网地址><私网端口>。59.以下关于TCP滑动窗口的描述，错误的是（）。A.用于实现流量控制B.窗口大小由发送方决定C.窗口大小表示接收方当前可接收的最大数据量D.窗口大小可动态调整答案：B，解析：TCP滑动窗口大小由接收方决定，通过TCP报文头的窗口字段通知发送方，避免发送方发送的数据超过接收方的处理能力。60.等保2.0三级要求中，用户登录口令的长度至少为（）位。A.6B.8C.10D.12答案：B，解析：等保2.0三级要求用户口令长度不少于8位，包含大小写字母、数字、特殊字符中的三类及以上，定期更换。61.WhichofthefollowingisthecoretechnologyofWi-Fi7?（）A.MU-MIMOB.OFDMAC.320MHzchannelbandwidthD.WPA3答案：C，解析：320MHz信道带宽是Wi-Fi7独有的核心技术，MU-MIMO、OFDMA是Wi-Fi6已支持的技术，WPA3是Wi-Fi6引入的安全标准。62.SD-WANcanintelligentlyselectlinksaccordingtothe()ofapplications.A.SLArequirementsB.sizeC.sourceIPD.destinationIP答案：A，解析：SD-WAN根据应用的SLA（服务水平协议）要求（延迟、丢包率、抖动等）智能选择链路。63.ThecorefunctionofIPv6SRv6is().A.addresstranslationB.segmentroutingbasedonIPv6headerC.multicastforwardingD.accesscontrol答案：B，解析：SRv6（分段路由IPv6）的核心功能是基于IPv6扩展头实现分段路由，实现流量的灵活调度。64.Whichofthefollowingbelongstothedatalinklayerdevice?()A.RouterB.SwitchC.FirewallD.Repeater答案：B，解析：交换机属于数据链路层设备，路由器属于网络层，防火墙一般工作在三层及以上，中继器属于物理层。65.TheminimumlengthofanIPv6addressprefixassignedtoasingleendusersubnetisgenerally().A./32B./48C./56D./64答案：D，解析：单个终端子网的IPv6前缀长度最小为/64，符合SLAAC（无状态地址自动配置）的要求。66.Whichofthefollowingprotocolsisusedfordynamicrouting?()A.DHCPB.OSPFC.DNSD.FTP答案：B，解析：OSPF是动态内部网关路由协议，DHCP用于地址分配，DNS用于域名解析，FTP用于文件传输。67.ThedefaultportofHTTPSprotocolis().A.80B.443C.22D.21答案：B，解析：HTTPS默认使用TCP443端口，HTTP默认使用TCP80端口，SSH默认使用22端口，FTP默认使用21端口。68.WhichofthefollowingattacksbelongstoDDoSattack?()A.SQLinjectionB.SYNFloodC.ARPspoofingD.Phishing答案：B，解析：SYNFlood属于典型的DDoS攻击，通过发送大量伪造的SYN报文耗尽服务器资源，导致正常请求无法处理。69.The()layerofOSImodelisresponsibleforend-to-enddatatransmission.A.networklayerB.transportlayerC.sessionlayerD.applicationlayer答案：B，解析：OSI模型的传输层负责端到端的可靠数据传输，网络层负责寻址和路径选择。70.WhichofthefollowingRAIDlevelshasthehighestreliability?()A.RAID0B.RAID1C.RAID5D.RAID6答案：D，解析：RAID6允许最多2块硬盘同时故障，可靠性高于RAID5（允许1块硬盘故障）、RAID1（允许1块硬盘故障）、RAID0（无冗余能力）。71.ThefunctionofVLANistoisolate().A.collisiondomainB.broadcastdomainC.routingdomainD.securitydomain答案：B，解析：VLAN的核心作用是隔离广播域，同一个VLAN属于同一个广播域，不同VLAN之间的广播报文无法互通。72.WhichofthefollowingisusedtoresolveMACaddressfromIPaddress?()A.ARPB.RARPC.DNSD.DHCP答案：A，解析：ARP协议用于根据IP地址解析对应的MAC地址，RARP用于根据MAC地址解析IP地址。73.ThemetricofRIPprotocolis().A.bandwidthB.delayC.hopcountD.cost答案：C，解析：RIP协议的度量值为跳数，最大跳数为15，跳数16表示不可达。74.WhichofthefollowingistheprivateIPaddressrangeofClassA?()A./8B./12C./16D./4答案：A，解析：/8是A类私网地址段，/12是B类私网地址段，/16是C类私网地址段。75.ZeroTrustNetworkAccessfollowstheprincipleof().A.nevertrust,alwaysverifyB.trusttheinternalnetworkbydefaultC.verifyonce,accessforeverD.allowallaccessbydefault答案：A，解析：零信任网络访问遵循“永不信任、始终验证”的核心原则。下午应用技术科目（共4道综合题，满分75分）试题一（20分）某中型连锁企业在全国有1个总部、3个区域中心、27个门店，2025年计划将原有MPLSVPN组网替换为SD-WAN组网，同时接入零信任访问体系保障移动办公安全。请回答以下问题：1.（6分）该企业SD-WAN组网需覆盖总部、区域中心、门店三类节点，其中门店节点带宽要求为上下行对称100Mbps，支持4G/5G链路备份，单门店最大并发接入终端数为30台，请给出三类节点的SD-WANCPE设备选型建议，说明理由。答案：（1）总部节点：选型高端机架式SD-WANCPE，支持万兆光口上行，内置防火墙、IPS功能。理由：总部需承载所有区域中心、门店的流量汇聚，同时对接内部数据中心，需具备高转发性能、安全防护能力，支持与多云资源POP点对接。（2）区域中心节点：选型中端机架式SD-WANCPE，支持千兆光口上行，支持IPSecVPN加密。理由：区域中心承载本地门店流量的就近转发，需具备链路负载均衡能力，满足本地业务访问的低延迟要求。（3）门店节点：选型低端桌面式SD-WANCPE，支持千兆电口、4G/5G模块扩展，支持零部署上线。理由：门店终端数量少，带宽要求较低，需支持即插即用降低运维成本，无线链路备份保障业务不中断。2.（8分）该企业零信任访问体系采用“终端-代理-控制中心-资源”的架构，请补充以下配置要点：（1）终端侧需安装______，完成终端身份、安全状态的持续校验；（2）控制中心需配置______策略，实现最小权限访问，仅允许用户访问授权范围内的业务资源；（3）针对门店POS终端这类无代理设备，需采用______方式完成身份认证，纳入零信任管理体系；（4）SD-WAN与零信任体系联动时，需将______作为流量调度的依据之一，实现高风险终端流量的自动阻断。答案：（1）零信任终端代理（ZTNAAgent）；（2）最小权限授权（或RBAC结合ABAC的细粒度访问控制）；（3）硬件特征码+IP/MAC绑定认证；（4）终端安全评分（或风险等级）。3.（6分）该企业SD-WAN配置应用级QoS策略，其中视频会议业务要求单向延迟≤150ms、丢包率≤0.1%，收银业务要求丢包率为0，请给出两类业务的QoS配置思路。答案：（1）视频会议业务：标记DSCP值为EF（加速转发），配置带宽预留，占总链路带宽的20%，启用前向纠错（FEC）、丢包重传机制，当链路延迟超过120ms时自动切换到低延迟链路；（2）收银业务：标记DSCP值为CS7，配置最高优先级队列，带宽独占，启用双向链路检测，当主链路丢包率超过0.05%时自动切换到备用链路，保障业务无中断。试题二（20分）某园区网采用三层架构，核心层两台交换机S1、S2做堆叠，汇聚层每台汇聚交换机双上行到核心，接入层采用SVF（纵向虚拟化）纳入核心层统一管理，全网配置MSTP+VRRP实现二层冗余和三层网关冗余。请回答以下问题：1.（6分）核心交换机S1、S2配置堆叠，已知S1优先级为150，S2优先级为100，堆叠建立后______为堆叠主交换机，若S1发生故障重启，重启后______为堆叠主交换机（假设未配置堆叠抢占），请说明堆叠相对于VRRP+MSTP的三层冗余方案的优势。答案：第一空：S1；第二空：S2；优势：①堆叠后两台设备逻辑上为一台，无需配置MSTP、VRRP，大幅降低配置复杂度；②跨设备链路聚合实现流量负载均衡，无链路阻塞，带宽利用率提升100%；③故障切换时间<50ms，远高于VRRP的1s切换时间，业务无感知。2.（8分）接入层交换机通过SVF接入核心，以下是核心侧的部分配置代码（华为VRP系统），请补充空缺内容：```[Core]______[Core]port-groupfabric[Core-port-group-fabric]group-memberGigabitEthernet1/0/1[Core-port-group-fabric]group-memberGigabitEthernet1/0/2[Core-port-group-fabric]______//配置端口为Fabric端口[Core-port-group-fabric]quit[Core]______auto-upgradeenable[Core]asmanagement-vlan4000```答案：第一空：svfenable；第二空：portmodefabric；第三空：as。3.（6分）全网配置MSTP，创建实例1映射VLAN1-1000，实例2映射VLAN1001-2000，配置S1为实例1的根桥，S2为实例2的根桥，请说明该配置的作用。答案：实现VLAN流量的负载分担：VLAN1-1000的流量经过S1转发，VLAN1001-2000的流量经过S2转发，充分利用两台核心交换机的带宽资源；同时当其中一台核心故障时，另一台可承担所有实例的转发任务，实现冗余备份。试题三（20分）某运营商IPv6+网络采用OSPFv3作为IGP协议，BGP4+