2026年网络管理员《网络维护基础》练习题及答案

2026年网络管理员《网络维护基础》练习题及答案一、单选题1.在OSI参考模型中，负责在两个相邻节点间透明地传输比特流，确定电气规范、机械规范、功能规范和规程规范的层级是（）。A.物理层B.数据链路层C.网络层D.传输层2.在TCP/IP协议簇中，负责提供可靠的、面向连接的字节流服务的传输层协议是（）。A.UDPB.IPC.TCPD.ICMP3.某公司网络的IP地址为/24，若需要将其划分为4个子网，每个子网包含尽可能多的主机，则子网掩码应设置为（）。A.92B.24C.40D.484.在以太网中，MAC地址由48位二进制数组成，通常表示为（）。A.12位的十六进制字符串B.6位的十六进制字符串C.4位的八进制字符串D.16位的二进制字符串5.下列关于双绞线线序标准的描述中，正确的是（）。A.T568A标准的线序为：白绿、绿、白橙、蓝、白蓝、橙、白棕、棕B.T568B标准的线序为：白绿、绿、白橙、蓝、白蓝、橙、白棕、棕C.直通线两端均采用T568A标准D.交叉线两端均采用T568B标准6.在Windows操作系统中，用于测试网络连通性的命令是（）。A.ipconfigB.pingC.tracertD.netstat7.RIP协议是一种基于（）的路由选择协议。A.链路状态算法B.距离矢量算法C.路径矢量算法D.最短路径优先算法8.在VLAN（虚拟局域网）中，IEEE802.1Q标准定义的帧标记技术是在以太网帧中插入（）字节的标签。A.2B.4C.8D.169.下列IP地址中，属于私有IP地址的是（）。A.B.C.D.10.在网络维护中，若发现某台主机无法访问网络，且其IP地址自动获取为169.254.x.x，这通常意味着（）。A.网络连接正常，DHCP服务器无法响应B.网卡损坏C.DNS服务器故障D.网关设置错误11.OSPF协议通过（）报文来发现和维护邻居关系。A.HelloB.DBDescriptionC.LSRequestD.LSUpdate12.在IPv6地址中，地址“::1”表示（）。A.全网广播地址B.未指定地址C.环回地址D.任播地址13.下列设备中，工作在网络层的是（）。A.集线器B.二层交换机C.路由器D.中继器14.在网络安全中，防火墙的主要功能是（）。A.防止病毒感染B.控制网络进出的数据流C.加密数据传输D.查找系统漏洞15.如果子网掩码是，IP地址是00，则该主机所在子网的广播地址是（）。A.B.00C.55D.5516.在CSMA/CD（载波监听多路访问/冲突检测）机制中，当检测到冲突时，发送站会（）。A.立即重发B.等待一段随机时间后重发C.放弃发送D.通知接收方出错17.下列关于DNS（域名）的描述中，错误的是（）。A.DNS负责将域名解析为IP地址B.DNS查询主要使用UDP协议C.根域名服务器是DNS体系的最高层D.DNS只能进行正向解析，不能进行反向解析18.在Windows系统中，用于显示当前TCP/IP网络配置参数的命令是（）。A.pingB.netstatC.ipconfig/allD.nslookup19.交换机通过（）表来决定数据帧转发到哪个端口。A.路由B.MAC地址C.ARPD.CAM20.在网络布线标准中，CAT6（六类线）支持的带宽最高为（）。A.100MHzB.155MHzC.250MHzD.600MHz21.FTP协议默认使用（）端口进行控制连接。A.20B.21C.22D.2322.下列关于静态路由和动态路由的描述，正确的是（）。A.静态路由由网络管理员手动配置，适合网络拓扑结构频繁变化的环境B.动态路由协议能够自动适应网络拓扑的变化C.静态路由在网络中优先级低于动态路由D.动态路由不需要占用网络带宽23.在三层交换技术中，主要利用（）技术来实现高速路由。A.一次路由，多次交换B.存储转发C.直通转发D.碎片隔离24.在VLAN间通信的实现方式中，不需要外接路由器，通过在交换机内部实现路由功能的方式是（）。A.单臂路由B.三层交换C.路由器子接口D.外部路由器25.下列协议中，用于自动分配IP地址的是（）。A.ARPB.RARPC.DHCPD.SNMP26.在网络故障排查中，使用tracert命令（Windows）或traceroute命令（Linux）的主要目的是（）。A.测试本地TCP/IP协议栈是否正常B.查看本机路由表C.探测到达目的主机所经过的路径D.测试DNS解析是否正常27.在光纤通信中，单模光纤相比于多模光纤，其主要特点是（）。A.传输距离较短，成本较低B.传输距离较远，允许传输带宽更高C.只能传输一路信号D.连接器更复杂28.ACL（访问控制列表）中，若要拒绝来自/24网段的所有流量访问Web服务器（TCP端口80），正确的通配符掩码是（）。A.55B.C.55D.29.在网络管理中，SNMP（简单网络管理协议）使用的默认端口是（）。A.161和162B.80和443C.23和25D.53和6730.当两台主机直接通过网线连接，且均支持自动MDIX功能时，可以使用（）。A.仅直通线B.仅交叉线C.直通线或交叉线均可D.全反线二、多选题1.下列属于OSI参考模型中网络层功能的是（）。A.路由选择B.拥塞控制C.流量控制D.逻辑寻址E.帧同步2.常见的网络拓扑结构包括（）。A.总线型B.星型C.环型D.树型E.网状型3.在Windows系统中，命令`netstat-an`可以显示的信息包括（）。A.协议类型B.本地地址和端口C.远程地址和端口D.连接状态E.进程ID4.下列关于子网划分的描述，正确的有（）。A.子网划分可以节省IP地址资源B.子网划分能够隔离广播域C.借用主机位作为子网位会减少可用的主机数量D.VLSM（可变长子网掩码）允许在同一网络中使用不同长度的子网掩码E.CIDR（无类域间路由）打破了传统的A、B、C类地址界限5.导致网络无法连通的物理层故障原因可能包括（）。A.网线断裂B.RJ-45接头接触不良C.设备电源未开启D.IP地址配置错误E.交换机端口损坏6.下列协议中，属于应用层协议的有（）。A.HTTPB.SMTPC.TelnetD.FTPE.OSPF7.路由器在数据转发过程中，主要依据（）来决定数据包的下一跳。A.源IP地址B.目的IP地址C.路由表D.MAC地址表E.TTL值8.在交换机网络中，为了防止环路，通常会运行（）协议。A.STP（生成树协议）B.RSTP（快速生成树协议）C.MSTP（多生成树协议）D.VLANE.VTP9.下列关于IPv6的描述，正确的有（）。A.地址长度为128位B.不支持广播地址，使用组播代替C.地址配置支持即插即用D.头部格式比IPv4更复杂E.内置了IPSec安全协议10.网络管理员在进行日常维护时，应重点关注的安全措施包括（）。A.定期更换设备登录密码B.及时更新系统固件和软件补丁C.关闭不必要的服务和端口D.配置详细的日志记录E.将设备管理界面直接暴露在公网11.下列关于TCP协议三次握手的描述，正确的有（）。A.第一次握手由客户端发送SYN包B.第二次握手由服务器发送SYN+ACK包C.第三次握手由客户端发送ACK包D.三次握手的主要目的是防止已失效的连接请求报文段突然又传送到了服务端E.建立连接后，双方都可以主动发送数据12.在配置VLAN时，将交换机端口划入VLAN的模式包括（）。A.Access模式B.Trunk模式C.Hybrid模式D.Promiscuous模式E.Normal模式13.常用的网络传输介质包括（）。A.双绞线B.同轴电缆C.光纤D.无线电波E.红外线14.DHCP服务器分配IP地址时，可以分配的信息包括（）。A.IP地址B.子网掩码C.默认网关D.DNS服务器地址E.WINS服务器地址15.防火墙的工作模式包括（）。A.包过滤B.应用层代理C.状态检测D.电路层网关E.内容转换三、填空题1.在OSI七层模型中，位于传输层之上，为应用程序提供网络服务接口的层是______层。2.IP地址属于______类IP地址，其默认子网掩码为______。3.在以太网中，数据链路层通过______协议将IP地址解析为MAC地址。4.二进制数10110101对应的十进制数是______。5.在TCP/IP协议栈中，Ping命令使用的是ICMP协议，其请求回显报文的类型号为______。6.交换机的一种主要技术是______，它允许在同一台交换机上同时传输多个数据帧，从而提高网络带宽。7.RIP协议的最大跳数限制为______，以此防止路由环路。8.在Linux系统中，用于查看网络接口配置信息的命令是______。9.标准的HTTP服务使用TCP的______端口。10.在VLANTrunk链路中，Cisco设备私有封装协议称为______，而IEEE标准协议称为802.1Q。11.子网掩码52转化为二进制时，表示网络号的位数有______位。12.IPv6地址通常由______组十六进制数表示，每组16位。13.在网络安全中，______攻击通过向目标服务器发送大量伪造的源IP地址的数据包，耗尽服务器资源。14.路由器的工作原理基于______表，当收到一个数据包时，它会查找该表以确定输出端口。15.在Windows命令行中，用于刷新DNS解析器缓存的命令是______。16.常见的双绞线连接器RJ-45有______对线芯。17.在网络层协议中，______协议负责IP数据包的分片与重组。18.STP（生成树协议）通过阻塞冗余链路上的端口来防止二层环路，被阻塞的端口状态为______。19.DHCP租约更新过程中，当租期达到50%时，客户端会向服务器发送______报文请求更新。20.在无线局域网（WLAN）中，______标准定义了5GHz频段的通信规范。四、简答题1.简述OSI参考模型中各层的主要功能（从物理层到应用层）。2.请详细描述TCP协议建立连接的三次握手过程，并说明为什么需要三次握手而不是两次。3.某公司分配到一个C类IP地址块/24。公司网络管理员需要将其划分为4个子网，分别用于研发部、市场部、财务部和人事部。请计算出每个子网的子网掩码、网络地址、可用的IP地址范围和广播地址。4.简述交换机与路由器在工作原理上的主要区别。5.在网络维护中，如果某用户反映无法访问互联网，作为网络管理员，请列出基本的排查步骤（至少5步）。6.简述VLAN（虚拟局域网）的主要优点及其划分方法。五、应用题1.子网规划与计算应用某企业网络申请到了一个CIDR地址块/16。网络管理员计划将此地址块用于以下部门：部门A：需要500个主机IP地址部门B：需要200个主机IP地址部门C：需要100个主机IP地址部门D：需要2个主机IP地址（用于点对点链路）请使用VLSM（可变长子网掩码）技术进行子网规划，要求地址利用率最高且无重叠。请列出每个部门的子网地址、子网掩码（CIDR格式）及可用主机范围。2.网络故障分析与排查某公司局域网拓扑结构如下：PC1与PC2分别连接在交换机Switch1的端口1和端口2，Switch1通过端口3（Trunk）连接到核心交换机Switch2，核心交换机连接路由器Router1（网关）。所有VLAN均已正确配置，DHCP服务器位于Switch2后。故障现象：PC1无法获取IP地址，而PC2可以正常获取并上网。PC1更换网线后故障依旧。请根据以下命令输出结果分析故障原因，并给出解决方案。(1)在Switch1上查看端口1状态：`FastEthernet0/1isdown,lineprotocolisdown`(2)在Switch1上查看端口2状态：`FastEthernet0/2isup,lineprotocolisup`(3)在Switch1上查看VLAN数据库：`VLAN10:nameStaff``Ports:Fa0/2,Fa0/3`(4)在Switch1上查看配置：```interfaceFastEthernet0/1switchportmodeaccessswitchportaccessvlan10```3.综合配置分析某网络环境如下图所示（文字描述）：路由器R1的LAN接口IP为/24，连接PC1（网关指向）。路由器R1的WAN接口IP为/30。路由器R2的WAN接口IP为/30。路由器R2的LAN接口IP为/24，连接服务器Server（IP:00）。现需要在R1上配置ACL（访问控制列表），实现以下需求：允许内部网络/24访问互联网（所有流量）。禁止外部网络（/30以外）主动访问内部网络。仅允许外部网络访问Server的Web服务（TCP80）和FTP服务（TCP20,21）。请写出在R1上应用在WAN接口入方向的标准或扩展ACL配置命令（假设设备为Cisco系列）。4.路由协议分析某网络运行OSPF协议，包含Area0（骨干区域）和Area1（普通区域）。路由器R1连接Area0和Area1，作为ABR（区域边界路由器）。R1的部分配置如下：```routerospf1network55area0network55area1```问题：(1)OSPF协议中，DR（指定路由器）和BDR（备份指定路由器）的选举是基于什么接口参数进行的？优先级相同时如何决定？(2)如果在Area1中引入了外部路由（如RIP路由），R1上需要配置什么命令才能将这些路由通告到Area0？(3)简述OSPF协议中LSA（链路状态通告）类型1、类型2和类型3的主要作用。参考答案与解析一、单选题1.A解析：物理层是OSI模型的最低层，它传输透明的比特流，定义了电压、线缆规范等电气、机械特性。2.C解析：TCP（传输控制协议）提供可靠的、面向连接的服务；UDP提供无连接的、不可靠的服务。3.A解析：划分4个子网，需要借用主机位2位（=44.A解析：MAC地址48位，通常用12位十六进制数表示，例如00-1A-2B-3C-4D-5E。5.A解析：T568B标准最常用：白橙、橙、白绿、蓝、白蓝、绿、白棕、棕。T568A将T568B的橙绿对调。直通线两头相同，交叉线两头不同（一头T568A一头T568B）。选项A描述的是T568A，正确。选项B描述的是T568A，选项C错误（直通线通常两头T568B或两头T568A），选项D错误。6.B解析：ping用于测试连通性；ipconfig查看配置；tracert跟踪路由；netstat查看端口状态。7.B解析：RIP基于距离矢量算法；OSPF基于链路状态算法。8.B解析：IEEE802.1Q在帧头插入4字节的Tag，包含TPID（标签协议标识符）和TCI（标签控制信息）。9.B解析：私有地址范围：A类-55；B类-55；C类-55。属于B类私有地址。10.A解析：169.254.x.x是Windows系统在DHCP请求失败且未配置静态IP时，APIPA（自动专用IP寻址）分配的链路本地地址。11.A解析：OSPF使用Hello报文发现邻居、维持邻居关系。12.C解析：::1是IPv6的环回地址，相当于IPv4的。::是未指定地址。13.C解析：集线器（物理层）、二层交换机（数据链路层）、路由器（网络层）。14.B解析：防火墙主要用于访问控制，过滤进出网络的数据包。防病毒是杀毒软件的功能。15.C解析：子网掩码说明最后一段是主机位。主机位全1即为广播地址，即55。16.B解析：CSMA/CD检测到冲突后，发送停止，发送干扰信号，然后等待二进制指数退避算法计算出的随机时间后再尝试重发。17.D解析：DNS支持正向解析（域名->IP）和反向解析（IP->域名）。18.**C`查看详细配置。19.B解析：交换机维护MAC地址表（CAM表），根据帧中的目的MAC地址转发数据。20.C解析：五类线100MHz，超五类线100MHz，六类线250MHz，七类线600MHz。21.B解析：FTP控制连接21，数据连接20。22.B解析：静态路由需手动配置，适用于小型、稳定网络；动态路由自动适应变化。静态路由优先级通常高于动态路由（除非管理距离被修改）。动态路由需占用协议开销。23.A解析：三层交换机利用“一次路由，多次交换”技术，通过硬件ASIC芯片实现高速转发。24.B解析：单臂路由是用路由器的一个物理接口通过子接口实现VLAN间路由；三层交换机是利用内置路由引擎实现。25.C解析：DHCP（动态主机配置协议）用于自动分配IP。RARP是早期将MAC转为IP的协议，现已被DHCP取代。26.C解析：tracert用于探测路径，利用TTL字段逐跳增加。27.B解析：单模光纤纤芯细，传输距离远，带宽高，使用激光；多模光纤传输距离近，使用LED或VCSEL。28.A解析：ACL中通配符掩码，0表示需匹配，1表示不关心。匹配/24，即前24位匹配，后8位不关心，通配符为55。29.A解析：SNMPTrap端口162，查询端口161。30.C解析：现代网卡和交换机大多支持Auto-MDIX（自动交叉），能自动识别线序，因此直通线和交叉线均可。二、多选题1.ABD解析：网络层负责逻辑寻址、路由选择、拥塞控制。流量控制是传输层（和数据链路层）的功能。帧同步是数据链路层功能。2.ABCDE解析：常见拓扑包括总线、星型、环型、树型、网状及混合型。3.ABCD解析：`netstat-an`显示协议、本地/远程地址端口、状态。要显示进程ID需加`-b`（Windows）。4.ABCDE解析：子网划分能隔离广播（第二层隔离），节省地址（通过VLSM），减少主机数（借位），CIDR和VLSM是相关技术。5.ABCE解析：物理层故障涉及硬件介质和信号。IP地址错误属于网络层问题。6.ABCD解析：HTTP,SMTP,Telnet,FTP均为应用层协议。OSPF是网络层协议。7.BC解析：路由器依据目的IP地址查找路由表进行转发。MAC地址表是交换机用的。8.ABC解析：STP,RSTP,MSTP都是生成树协议，用于防环。VLAN用于隔离广播，VTP用于VLAN配置同步。9.ABCE解析：IPv6地址128位，无广播（用组播），支持即插即用（无状态自动配置），头部简化（固定40字节），内置IPSec。10.ABCD解析：将管理界面暴露在公网是极不安全的做法，应通过VPN或受控访问。11.ABCDE解析：三次握手标准流程：ClientSYN->ServerSYN+ACK->ClientACK。目的是同步序列号并防止失效连接请求。12.ABC解析：交换机端口模式主要有Access（接入）、Trunk（干道）、Hybrid（混合，华为/华三常用）。13.ABCDE解析：双绞线、同轴电缆、光纤、无线电波、红外线都是传输介质。14.ABCDE解析：DHCP除了IP、掩码、网关、DNS，还可以分配WINS、BootServer等选项。15.ABCD解析：防火墙技术包括包过滤、应用代理、状态检测、电路层网关。三、填空题1.应用2.B；解析：B类范围128-191。3.ARP（地址解析协议）4.181解析：128+5.8解析：ICMPEchoRequest类型为8。6.VLAN（虚拟局域网）或微网段解析：此处VLAN隔离冲突域是最主要的扩容技术。7.158.ifconfig或ipaddr9.8010.ISL11.30解析：252对应二进制11111100，前30位为1。12.813.DDoS（分布式拒绝服务）或DoS14.路由15.ipconfig/flushdns16.417.IP（网际协议）18.Blocking（阻塞）19.DHCPREQUEST20.802.11a四、简答题1.答：物理层：传输比特流，定义电气、机械、功能、规程特性（如网线、集线器）。数据链路层：成帧、差错控制、流量控制、MAC寻址（如交换机、MAC地址）。网络层：逻辑寻址、路由选择、拥塞控制（如IP、路由器）。传输层：端到端连接、可靠/不可靠传输、流量控制、复用（如TCP、UDP）。会话层：建立、管理、终止会话。表示层：数据格式化、加密解密、压缩解压。应用层：为应用程序提供网络服务接口（如HTTP,FTP,SMTP）。2.答：三次握手过程：1.第一次握手：客户端发送SYN包（seq=x）给服务器，进入SYN_SENT状态，请求建立连接。2.第二次握手：服务器收到SYN包，确认客户的SYN（ACK=x+1），同时自己也发送一个SYN包（seq=y），即SYN+ACK包，进入SYN_RCVD状态。3.第三次握手：客户端收到SYN+ACK包，向服务器发送确认包ACK（ack=y+1），此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手。为什么需要三次握手：主要目的是防止失效的连接请求报文段突然又传送到了服务端，因而产生错误。如果是两次握手，服务端只要发出确认连接就建立，此时假设客户端的连接请求失效并在网络中滞留，延迟到达服务端，服务端误以为是新连接并确认，连接建立并等待数据，浪费资源。三次握手可以确认双方的发送和接收能力都是正常的。3.答：C类地址默认掩码/24。划分4个子网，需借用主机位2位（=4新子网掩码：/26即92。块大小：256−子网1（研发部）：网络地址：可用IP范围：-2广播地址：3子网2（市场部）：网络地址：4可用IP范围：5-26广播地址：27子网3（财务部）：网络地址：28可用IP范围：29-90广播地址：91子网4（人事部）：网络地址：92可用IP范围：93-54广播地址：554.答：工作层级：交换机主要工作在数据链路层（二层交换机），部分工作在网络层（三层交换机）；路由器工作在网络层。转发依据：交换机依据MAC地址表转发数据帧；路由器依据路由表转发数据包。功能：交换机用于分割冲突域，连接局域网内部设备，实现VLAN；路由器用于连接不同网段（广域网、局域网），实现路由选择、NAT、ACL等。广播转发：交换机限制广播域（VLAN内泛洪）；路由器默认隔离广播域（不转发广播包）。5.答：1.检查物理连接：确认网线是否插好，网卡指示灯是否亮，设备是否通电。2.检查本地IP配置：使用`ipconfig`查看是否获取到正确的IP、子网掩码、网关、DNS。如果是169.254.x.x，说明DHCP故障。3.测试本地回环：Ping，检查TCP/IP协议栈是否正常。4.测试网关连通性：Ping默认网关地址。如果不通，说明到网关链路有问题。5.测试DNS解析：Ping一个公网域名（如www.baidu）。如果PingIP通但Ping域名不通，说明DNS配置有问题。6.检查防火墙设置：确认本地或网络防火墙是否阻止了访问。6.答：优点：控制广播风暴：限制广播帧的传播范围，提升网络性能。提高网络安全性：不同VLAN间无法直接通信，需通过路由或ACL控制。简化网络管理：不受物理位置限制，可根据部门、功能灵活划分工作组。提高网络效率：缩小冲突域（在二层交换机环境中）。划分方法：基于端口：将交换机端口分配给VLAN（最常用、最简单）。基于MAC地址：根据主机MAC地址划分，移动设备时无需重新配置端口。基于网络层协议：根据协议类型（如IP/IPX）划分。基于IP子网组：根据IP网段划分。基于策略：根据用户策略（如认证用户身份）动态划分。五、应用题1.答：使用VLSM，应从需求最大的部门开始分配，以避免地址碎片。总地址：/16。(1)部门A（500主机）：需要主机位：=512子网地址：/23子网掩码：可用范围：-54下一个起始地址：(2)部门B（200主机）：需要主机位：=256子网地址：/24子网掩码：可用范围：-54下一个起始地址：(3)部门C（100主机）：需要主机位：=128子网地址：/25子网掩码：28可用范围：-26下一个起始地址：28(4)部门D（2主机）：需要主机位：=4子网地址：28/30子网掩码：52可用范围：29-302.答：故障分析：1.根据Switch1端口1状态`isdown,lineprotocolisdown`，说明物理层链路不通。2.PC2正常，说明交换机整体及VLAN10、DHCP服务、Trunk链路均无问题。3.PC1更换网线无效，排除了网线断裂的可能。4.查看VLAN数据库，发现VLAN10包含的端口是`Fa0/2,Fa0/3`，不包含Fa0/1。5.虽然接口配置下写了`switchportaccessvlan10`，但VLAN数据库显示端口未生效或未加入。或者可能是端口被shutdown，但状态显示down可能是物理down。主要原因：端口Fa0/1虽然配置了命令，但实际状态为Down，且VLAN数据库显示其未在VLAN10中。最可能的原因是端口被管理员手动关闭（shutdown），或者端口安全违规导致shutdown，或者物理连接问题（如网卡损坏、墙面板模块故障）。鉴于更换网线无效，且协议down，重点怀疑端口被shutdown或PC网卡故障。解决方案：1.检查PC1网卡是否开启，尝试更换PC测试。2.在交换机Switch1上进入接口模式：```Switch1(config)#interfacefastEthernet0/1Switch1(config-if)#noshutdown```3.检查是否有端口安全配置导致违例关闭，如有需重新激活并清理安全违例计数。4.确认VLAN分配，虽然配置命令存在，但需再次确认运行配置生效：```Switch1(config-if)#switchportaccessvlan10```3.答：需求分析：允许/24出网（ACL隐含拒绝所有，所以需显式允许）。禁止外部主动访问内部（除了Server的特定服务）。允许外部访问Server（00）的Web(80)和FTP(20,21)。配置思路：使用扩展ACL。应用在R1的WAN接口（假设为接口S0/0）的入方向（in），因为这是外部流量进入内部网络的入口。配置命令：```!创建扩展ACL，假设编号为100access-list100permittcphost00eq80anyaccess-list100permittcphost00eq20anyaccess-list100permittcphost00eq21any!注意：FTP数据连接20需要特殊处理，通常还需检查related/established状态，但在基础ACL中按上述配置。!如果还要允许内部网络回包，通常路由器会自动处理已建立连接的回包，或者需要配置inspect。!题目主要要求“禁止外部主动访问”，但允许特定服务。!由于ACL是顺序执行，且末尾隐含denyall。!上述三条允许了特定流量。!题目提到“允许内部网络访问互联网”，这通常是内部发出的请求，回包通过路由表或