2025上半年软考网络工程师考试案例分析真题含答案

2025上半年软考网络工程师考试案例分析真题含答案试题一（20分）某省政务服务中心于2025年启动内网升级改造项目，构建覆盖省本级、12个地市、132个区县办事网点的一体化政务服务网络，项目需求如下：1.网络采用三层架构设计，核心层、汇聚层、接入层均采用冗余部署，核心层单节点故障时业务中断时长不超过1s；2.支持IPv4/IPv6双栈运行，政务业务、内部办公业务、公众服务业务三类流量逻辑隔离，互访需经过防火墙访问控制；3.公众服务区共部署2000台办事终端，单终端峰值带宽需求为10Mbps，业务并发率为70%，接入层到汇聚层的带宽超售比为10:1；4.出口部署两台下一代防火墙，分别对接互联网、省政务专网，实现边界访问控制和地址转换。问题：1.（6分）（1）本项目采用的三层组网架构相比扁平二层架构的核心优势是什么？（2）三类业务实现逻辑隔离可采用哪些技术（至少写出3种）？（3）IPv4/IPv6双栈部署的核心配置要点有哪些？2.（8分）（1）核心层采用双机冗余部署，为实现网关冗余可采用哪些协议？若要求故障切换时长小于50ms，需额外搭配哪些技术实现？（2）核心层与汇聚层之间采用跨设备链路聚合实现链路冗余，该技术的名称是什么？相比传统链路聚合的优势是什么？（3）结合题干需求，计算公众服务区每台汇聚交换机上联核心的最小带宽要求，写出计算过程。3.（6分）本项目需对接12个地市的办事网点专线，若要实现地市网点仅能访问省本级政务业务网段，禁止访问办公网段，可在边界路由器上采用哪些访问控制技术？若地市网点之间需要实现互访隔离，可采用哪种VPN技术实现？参考答案：1.（1）三层架构优势：①网络层次清晰，各层功能解耦，便于运维管理；②抑制广播域范围，减少广播风暴影响范围；③三层转发支持路由等价负载分担，提升转发效率；④扩展性更强，后续新增业务区域无需调整核心架构。（2分，答出2点即可满分）（2）逻辑隔离技术：VLAN（二层隔离）、VXLAN（大二层隔离）、VRF（三层路由隔离）、MPLSVPN（跨广域网隔离）、防火墙安全域隔离。（2分，答出3种即可满分）（3）双栈配置要点：①核心、汇聚、接入三层设备全局开启IPv4/IPv6转发功能；②三层接口同时配置IPv4地址和IPv6全局单播地址，启用ND协议（IPv6）和ARP协议（IPv4）；③路由协议同时部署IPv4路由（OSPFv2、BGP4）和IPv6路由（OSPFv3、BGP4+）；④DHCP服务同时部署DHCPv4和DHCPv6服务器，为终端分配双栈地址。（2分，答出2点即可满分）2.（1）网关冗余协议：VRRPv2（IPv4场景）、VRRPv3（支持IPv4/IPv6）。实现50ms以内切换需搭配BFD（双向转发检测）技术联动VRRP，或部署FRR（快速重路由）技术。（3分）（2）跨设备链路聚合技术为M-LAG（多机箱链路聚合），优势：①可实现两台核心设备同时承担流量转发，避免传统VRRP模式下备设备链路闲置的问题，带宽利用率提升100%；②故障切换时无需等待协议收敛，切换时长小于100ms，可靠性更高；③对接入层/汇聚层设备无特殊要求，兼容普通链路聚合配置。（3分）（3）计算过程：单汇聚下挂终端总峰值带宽=终端数量×单终端峰值带宽×并发率=2000×10Mbps×70%=14000Mbps上联带宽需求=总峰值带宽/超售比=14000Mbps/10=1400Mbps≈1.4Gbps由于常规接口带宽为1Gbps、10Gbps，1Gbps无法满足1.4Gbps的带宽需求，因此最小上联带宽为10Gbps。（2分）3.访问控制技术：可采用ACL（访问控制列表）、前缀列表、路由策略、防火墙安全策略实现访问控制。（3分）地市网点互访隔离可采用MPLSL3VPN技术，为每个地市分配独立的VPN实例，默认禁止不同VPN实例之间的路由互访，仅允许各地市VPN实例与省政务业务VPN实例互通。（3分）试题二（20分）接试题一背景，项目采用华为数通设备组网，核心交换机为两台S12700E，命名为SW1、SW2，出口防火墙为两台USG6600E，命名为FW1、FW2。部分组网参数如下：政务业务VLAN100，IPv4网段：/24，IPv6网段：2409:80F0:1001:100::/64，VRRP虚拟网关IPv4为54，IPv6为2409:80F0:1001:100::FE；公众服务VLAN200，IPv4网段：/24，公网地址段为/28，其中可用公网地址范围为~4；政务服务网站内网地址为0/24，需对外提供HTTP/HTTPS服务，对外映射公网地址为。问题：1.（8分）补全SW1的VRRP相关配置，SW1为VRRP主设备，优先级为120，抢占时延为20秒。```[SW1]interfaceVlanif100[SW1-Vlanif100]ipaddress5224[SW1-Vlanif100]ipv6address2409:80F0:1001:100::FC/64//配置IPv4VRRP[SW1-Vlanif100]（1）[SW1-Vlanif100]（2）[SW1-Vlanif100]vrrpvrid10preempt-modetimerdelay20//配置IPv6VRRP[SW1-Vlanif100]（3）[SW1-Vlanif100]vrrp6vrid110priority120[SW1-Vlanif100]（4）```2.（6分）补全FW1的NAT相关配置，要求VLAN200网段用户访问互联网时采用NAPT方式转换地址，政务服务网站对外发布采用服务器映射。```[FW1]nataddress-group14[FW1]nat-policy[FW1-policy-nat]rulenamenat_public[FW1-policy-nat-rule-nat_public]source-zonetrust[FW1-policy-nat-rule-nat_public]destination-zoneuntrust[FW1-policy-nat-rule-nat_public]source-address/24[FW1-policy-nat-rule-nat_public]action（5）//配置政务网站服务器映射[FW1]natserverpolicy_webprotocoltcpglobal（6）www443inside（7）www443```3.（6分）SW1与SW2之间配置M-LAG实现双活，写出M-LAG的核心配置步骤（无需写出具体命令），并说明M-LAG场景下peer-link链路的作用。参考答案：1.（每空2分，共8分）（1）vrrpvrid10virtual-ip54（2）vrrpvrid10priority120（3）vrrp6vrid110virtual-ip2409:80F0:1001:100::FE（4）vrrp6vrid110preempt-modetimerdelay20（2）顺序可互换，（3）（4）顺序可互换）2.（每空2分，共6分）（5）source-nataddress-group1（6）（7）03.（6分）M-LAG核心配置步骤：①两台核心交换机分别创建相同ID的DFS（分布式交换系统）组，配置双主检测（DAD）链路，避免脑裂；②配置peer-link链路，采用跨设备Eth-Trunk绑定，用于同步两台设备的MAC地址、ARP/ND表项、M-LAG状态信息；③配置成员端口，将核心交换机对接汇聚层的接口加入M-LAG成员组，绑定相同的M-LAGID。（4分，答出2点即可满分）peer-link链路作用：同步两台M-LAG设备的控制平面信息和数据平面流量，当其中一台设备上联链路故障时，流量可通过peer-link链路转发到另一台设备，保证业务不中断。（2分）试题三（20分）该政务网络上线运行3个月后，运维人员收到多起故障反馈，具体故障场景如下：故障1：公众服务区部分终端无法获取IP地址，抓包发现终端发送DHCPDiscover报文后，收到多个DHCPOffer报文，最终地址分配失败。故障2：某市网点访问省政务业务系统时断时续，ping测试丢包率为32%，登录省端对接路由器查看端口统计信息，发现存在大量CRC错误帧。故障3：IPv6政务业务访问中断，终端可正常获取IPv6地址，但ping网关丢包率为100%，抓包发现网络中存在大量伪造的网关NA（邻居通告）报文。故障4：核心交换机SW1电源故障恢复后，VRRP组未抢占回主角色，流量长期由SW2转发，存在单点故障风险。问题：1.（5分）分析故障1的产生原因，写出2种解决方案。2.（5分）分析故障2的可能原因，写出排查流程。3.（5分）分析故障3的产生原因，写出具体的防护措施。4.（5分）分析故障4的产生原因，写出修复方法。参考答案：1.（5分）故障原因：公众服务区存在私接的非法DHCP服务器，终端同时收到合法DHCP服务器和非法DHCP服务器的Offer报文，部分终端选择非法DHCP服务器分配的不可用地址，导致网络访问失败。（2分）解决方案：①在接入交换机全局开启DHCPSnooping功能，将对接核心/汇聚的上联端口配置为信任端口，其余接入侧端口配置为非信任端口，非信任端口仅允许发送DHCP请求报文，禁止发送DHCPOffer、DHCPACK等服务器响应报文；②部署IPSG（IP源防护）功能，绑定终端的IP、MAC、端口、VLAN信息，禁止非法地址的报文转发；③部署DAI（动态ARP检测）功能，验证ARP报文的合法性，拦截ARP欺骗报文。（3分，答出2种即可满分）2.（5分）可能原因：①光纤链路损耗过大，收发光功率超出光模块的正常工作阈值；②光模块故障，存在收发光异常；③两端端口协商模式不匹配，一端为强制全双工，一端为自协商，导致协商出错；④光纤接头污染，导致信号传输错误。（2分，答出2点即可满分）排查流程：①登录两端设备查看端口配置，确认端口速率、双工模式、协商模式是否一致，若不一致调整为相同配置；②用光功率计测试两端光模块的收发光功率，确认是否在模块标称的接收灵敏度和过载功率范围内，若功率过低则排查光纤是否弯折、接头是否污染，更换纤芯测试；③更换两端的光模块，测试是否仍存在CRC错误帧，若故障消失则判定为光模块故障。（3分）3.（5分）故障原因：网络中存在ND欺骗攻击，攻击者伪造网关的NA报文，将终端的网关ND表项修改为攻击者的MAC地址，导致终端的IPv6流量被劫持，无法正常访问网关。（2分）防护措施：①在接入交换机全局开启NDSnooping功能，将上联端口配置为信任端口，接入侧端口配置为非信任端口，仅允许信任端口发送RA（路由器通告）、NA等网关报文；②配置NDDetection功能，将合法的网关IPv6地址、MAC地址、端口、VLAN信息绑定到ND静态表项，验证ND报文的合法性，拦截伪造的ND报文；③配置ND限速功能，限制非信任端口的ND报文发送速率，避免ND洪水攻击。（3分，答出2点即可满分）4.（5分）可能原因：①SW1的VRRP配置未开启抢占模式，故障恢复后无法抢占回主角色；②抢占时延配置过长，未达到抢占触发时间；③SW1的VRRP优先级调整后低于SW2的优先级，无法触发抢占；④VRRP联动的上行链路BFD检测未恢复，导致SW1优先级自动降低，无法抢占。（3分，答出3点即可满分）修复方法：①检查SW1的VRRP配置，开启抢占模式，配置合理的抢占时延（建议10~30秒，避免网络震荡导致的频繁切换）；②确认SW1的VRRP优先级高于SW2，调整优先级确保SW1为主设备；③检查BFD联动配置，确认上行链路恢复后BFD状态为Up，SW1优先级恢复为配置值。（2分，答出2点即可满分）试题四（20分）该政务服务大厅同步部署Wi-Fi6E无线网络，满足办事群众和工作人员的上网需求，具体需求如下：1.工作人员SSID为Gov_Work，采用802.1X认证对接政务AD域，仅内部工作人员可接入，支持跨AP无缝漫游，漫游切换时长小于50ms；2.群众SSID为Gov_Public，采用短信验证码认证，接入后自动推送政务服务宣传页面，终端之间实现二层隔离，禁止互访；3.无线网络并发接入终端数不低于5000台，单终端平均速率不低于20Mbps。问题：1.（6分）本项目采用瘦AP+AC的组网架构，相比胖AP组网的优势是什么？Wi-Fi6E相比Wi-Fi6的技术优势有哪些？2.（6分）补全AC的相关配置：（1）配置Gov_Work的安全策略为802.1X认证，对接RADIUS服务器地址为0，共享密钥为Admin@2025；（2）配置Gov_Public的二层用户隔离功能。3.（4分）为实现工作人员终端跨AP无缝漫游，采用802.11r快速漫游协议，说明802.11r的核心技术原理。若需实现跨AC的三层漫游，需要配置什么功能？4.（4分）运维人员测试发现大厅角落区域信号强度为-78dBm，终端上网速率不足5Mbps，写出3种优化措施。参考答案：1.（6分）瘦AP+AC组网优势：①集中管控，AC可统一配置、管理所有AP，无需逐台配置AP，运维效率更高；②支持漫游、负载均衡、射频优化等高级功能，用户体验更好；③安全性更高，认证策略、加密策略可统一部署，避免胖AP本地配置的安全风险；④扩展性更强，新增AP可即插即用，自动从AC获取配置。（3分，答出2点即可满分）Wi-Fi6E技术优势：①新增6GHz免授权频段，相比2.4G、5G频段干扰更少，信噪比更高；②支持连续160MHz大频宽，单终端峰值速率提升1倍；③6GHz频段可划分更多非重叠信道，并发接入终端数提升40%以上，时延降低至20ms以内。（3分）2.（6分）```//配置RADIUS服务器模板[AC]radius-servertemplateradius_gov[AC-radius-radius_gov]radius-serverauthentication01812[AC-radius-radius_gov]radius-servershared-keycipherAdmin@2025//配置802.1X安全模板[AC]security-profilenamework_sec[AC-security-work_sec]securitydot1x[AC-security-work_sec]dot1xauthentication-serverradius_gov//绑定到Gov_Work的VAP模板[AC]vap-profilenamework_vap[AC-vap-work_vap]security-profilework_sec//配置群众SSID的用户隔离[AC]vap-profilenamepublic_vap[AC-vap-public_vap]user-isolatelayer2enable```（配置逻辑正确即可得分，共6分）3.（4分）802.11r核心原理：通过PMKID缓存和FT（快速切换）机制，终端首次关联AP时完成802.1X认证，生成PMK（主密钥）并同步到漫游组内的所有AP，后续漫游到新AP时无需重新进行802.1X认证，仅需完成一次FT握手即可接入，漫游切换时长可降低至20ms以内，满足语音、视频等实时业务的漫游需求。（2分）跨AC三层漫游需要配置漫游组功能，将多台AC加入同一个漫游组，AC之间建立漫游隧道，同步用户的PMK、认证信息、转发策略等，保证用户跨AC漫游时IP地址不变，业务不中断。（2分）4.（4分）优化措施：①调整邻近AP的天线方位角和下倾角，优化弱覆盖区域的信号强度；②在弱覆盖区域补放Wi-Fi6EAP，增加信号覆盖；③调整AP的发射功率，适当提升弱覆盖区域AP的发射功率；④优化信道规划，避免弱覆盖区域的AP与邻近AP同频干扰；⑤开启频段导航功能，引导终端连接干扰更小的5G/6G频段，提升接入速率。（4分，答出3点即可满分）试题五（20分）该政务网络需满足网络安全等级保护2.0三级要求，同步部署安全防护体系，实现全流量监控、入侵防御、运维审计等安全能力。问题：1.（6分）等保2.0三级要求中，网络和通信安全层面的核心要求有哪些（至少写出4点）？2.（5分）本项目在出口部署入侵防御系统（IPS），说明IPS的部署位置，以及IPS与IDS的核心区别。3.（4分）运维人员远程运维需采用零信任架构，说明零信任的核心原则。为实现运维操作的全程审计，需要部署什么安全设备？4.（5分）全流量分析系统检测到政务网站服务器持续向外发送大量SYN报文，目标为随机公网IP地址，判断该安全事件类型，写出应急处置流程。参考答案：1.（6分）核心要求：①应划分不同的网络区域，按照安全等级划分安全域，不同安全域之间部署边界防护设备；②应启用访问控制功能，基于源地址、目的地址、端口、协议等维度配置访问控制策略，默认拒绝所有未明确允许的访问；③应采用密码技术保证通信过程中数据的完整性和保密性，重要业务传输需采用SSL/TLS、IPsec等加密协议；④应在关键网络节点部署入侵防御设备，检测并阻断网络攻击行为；⑤应启用网络流量监控功能，记录网络访问日志，日志留存时间不少于6个月；⑥应实现通信双方的身份鉴别，重要业务系统访问需采用双因子