2026年网络规划设计师历年案例真题及答案

2026年网络规划设计师历年案例真题及答案2023年下半年网络规划设计师案例分析真题案例背景某省政务云平台二期扩容项目，政务云当前承载32个省直部门的127个业务系统，一期采用“两地三中心”架构，主中心位于省会A市，同城灾备中心距主中心12km，异地灾备中心位于距A市320km的B市。一期核心交换机采用华为CE12808，链路负载均衡采用F5BIG-IPi5800，出口带宽主链路为运营商100GOTN专线，备用链路为50GMPLSVPN专线。二期扩容需求包括：1.新增承载17个地市政务数据回流业务，单地市峰值上行带宽2.5G，要求端到端时延≤20ms，丢包率≤0.01%；2.新增政务外网IPv6改造，要求双栈兼容，IPv6路由收敛时间≤1s；3.新增零信任访问体系，覆盖所有内部运维人员和外部企业办事用户，并发访问量峰值1.2万。问题1.（10分）（1）请计算二期扩容后主中心出口所需的最小带宽，并说明计算依据。（2）请给出IPv6改造后核心层路由协议的选型方案，并说明路由收敛时间满足要求的技术实现要点。2.（12分）项目组拟采用SFP+光模块实现地市上行链路接入，已知单模光纤的衰减系数为0.22dB/km，光模块发射功率为-3~+5dBm，接收灵敏度为-18dBm，链路熔接损耗每处0.1dB，法兰损耗每处0.3dB，地市到主中心的光缆路由最长为78km，共12处熔接点、4处法兰连接，请通过计算说明该光模块是否满足链路传输要求，如不满足请给出优化方案。3.（8分）请给出该政务云零信任体系的核心架构组件，以及针对外部办事用户的访问控制流程。参考答案1.（1）最小带宽计算：一期现有业务峰值带宽经实测为47G，17个地市数据回流总带宽为17×2.5G=42.5G，零信任1.2万并发用户按单用户峰值1Mbps计算所需带宽为1.2×10000×1Mbps=12Gbps=1.2G，三类业务总带宽需求为47G+42.5G+1.2G=90.7G，考虑10%的冗余预留，主中心出口最小带宽需≥100G，现有100GOTN主链路可满足要求，50G备用链路可承担峰值溢出流量或主链路故障时的业务兜底。（2）核心层路由协议选型为IS-ISv6，技术实现要点：①采用分层IS-IS架构，核心节点为Level2角色，汇聚节点为Level1-2角色，实现路由聚合，减少核心路由表条目；②开启IS-IS快速重路由（FRR）与无环备用路径（LFA）功能，链路故障时可实现50ms级切换；③调整IS-ISHello报文间隔为100ms，Dead间隔为400ms，加快故障感知速度；④配置前缀优先级，对政务核心业务路由设置高优先级，优先收敛，整体路由收敛时间可控制在500ms以内，满足≤1s的要求。2.链路总损耗计算：光纤传输损耗=78km×0.22dB/km=17.16dB，熔接总损耗=12×0.1dB=1.2dB，法兰总损耗=4×0.3dB=1.2dB，预留老化、温度波动余量3dB，总链路损耗=17.16+1.2+1.2+3=22.56dB。该SFP+光模块的最大允许链路损耗=最小发射功率-接收灵敏度=（-3dBm）-（-18dBm）=15dB，22.56dB＞15dB，因此不满足传输要求。优化方案：①更换为长距SFP+光模块，发射功率≥0dBm，接收灵敏度≤-28dBm，最大允许链路损耗可达28dB，可覆盖总损耗需求；②若不更换光模块，可在链路中段部署增益≥10dB的EDFA光放大器，补偿链路损耗；③优化光缆路由，减少冗余路由长度与熔接点数量，降低链路总损耗。3.零信任核心架构组件包括：信任评估引擎、策略管理中心、身份访问网关、终端安全代理、日志审计平台。外部办事用户访问控制流程：①用户发起业务访问请求，身份访问网关拦截请求，引导用户完成“用户名密码+短信验证码+人脸核验”三因素身份认证；②终端安全代理上报终端环境信息（系统版本、杀毒软件状态、漏洞风险情况）；③信任评估引擎结合用户身份、终端风险、访问IP、访问时间等多维度进行风险评分，评分≥80分则流转至策略管理中心；④策略管理中心匹配用户最小访问权限，仅开放对应业务系统的必要端口与资源，禁止越权访问；⑤访问过程中持续进行信任评估，一旦检测到异地登录、越权操作等异常行为，立即中断会话并触发告警，所有访问日志留存≥6个月满足合规要求。2024年上半年网络规划设计师案例分析真题案例背景某大型制造企业工业互联网改造项目，企业现有办公网、生产网两张独立网络，办公网用户1200人，生产网包含15条产线的PLC设备、230台工业机器人、12台SCADA服务器，当前生产网为封闭网络，和办公网物理隔离，改造需求：1.实现生产数据实时采集到工业云平台，单条产线每秒产生的采集数据量为12MB，要求数据采集端到端时延≤10ms；2.实现办公网用户可安全访问生产网的SCADA系统进行数据查询，访问控制粒度到用户级别；3.实现生产网的漏洞扫描、威胁检测，误报率≤0.5%。问题1.（10分）项目组拟采用TSN（时间敏感网络）实现生产网改造，请说明TSN相较于传统以太网在该场景下的优势，以及TSN部署的核心技术要点。2.（12分）请设计生产网和办公网的边界安全架构，给出所需的安全设备及对应的功能，说明办公网用户访问SCADA系统的全流程安全控制机制。3.（8分）已知工业云平台的存储系统采用三副本冗余机制，数据块大小为64MB，网络带宽预留系数为1.2，请计算生产网到云平台的上行链路最小带宽，若采用裸光纤直连，光模块采用25GCPRI光模块，是否满足传输要求，说明依据。参考答案1.TSN相较于传统以太网的优势：①时间同步精度可达亚微秒级，端到端时延抖动≤1ms，可满足工业数据实时采集、控制指令传输的低时延高可靠要求，传统以太网时延抖动可达数十毫秒，易导致生产控制指令延迟引发产线故障；②支持带宽预留与优先级流量调度，可实现不同类型工业流量的隔离传输，避免流量拥塞导致的丢包；③兼容现有工业以太网协议，无需大规模替换原有PLC、工业机器人等终端，改造成本低。TSN部署核心要点：①部署IEEE1588v2PTP时间同步协议，采用边界时钟架构，核心交换机为Grandmaster主时钟，全网时间同步精度≤1μs；②配置IEEE802.1Qbv时间感知调度器，将产线控制流量划分为最高优先级，预留30%带宽，生产采集数据划分为次高优先级，预留50%带宽，其余管理流量占用剩余20%带宽；③开启IEEE802.1Qbu帧抢占功能，高优先级控制流量可抢占低优先级流量的传输资源，保障控制指令时延≤2ms；④部署IEEE802.1CB无缝冗余协议，实现链路故障时零丢包切换，提升网络可靠性。2.边界安全架构采用“单向隔离+访问代理+全流程审计”三层架构，所需安全设备及功能：①工业单向光闸：部署在生产网到工业云平台的边界，仅允许生产采集数据单向上传到云平台，禁止任何下行流量，防范云侧攻击渗透到生产网；②工业防火墙：部署在办公网与生产网的边界，支持Modbus、S7、Profinet等工业协议的深度解析，可识别指令级攻击，默认拒绝所有访问，仅开放SCADA系统的查询端口；③零信任访问代理：部署在生产网侧，作为办公网用户访问生产资源的唯一入口，实现权限粒度到用户的访问控制；④工业IDS/IPS：部署在边界镜像端口，内置工业威胁特征库，实现生产流量的实时威胁检测，误报率≤0.3%；⑤日志审计平台：留存所有边界访问日志、操作日志，留存期≥6个月。办公网用户访问SCADA流程：①用户发起访问请求，首先经过办公网统一身份认证系统完成身份核验，仅授权用户可发起访问；②流量经过工业防火墙，匹配访问控制策略，仅允许指定IP的用户流量进入生产网；③流量到达零信任访问代理，代理再次核验用户身份与权限，对用户操作指令进行深度解析，仅允许查询类指令通过，禁止修改、控制类指令上传；④访问过程中工业IDS实时检测流量，发现异常操作立即阻断，所有操作日志同步到审计平台，实现全流程可溯源。3.上行链路最小带宽计算：单条产线每秒采集数据量为12MB，转换为带宽为12MB×8=96Mbps，15条产线总采集带宽为15×96Mbps=1440Mbps；三副本冗余机制要求同一份数据上传3份存储，因此总带宽需求为1440Mbps×3=4320Mbps；考虑1.2的带宽预留系数，最小上行带宽为4320Mbps×1.2=5184Mbps=5.184Gbps。25GCPRI光模块的带宽为25Gbps，远大于5.184Gbps的带宽需求，且裸光纤直连情况下端到端传输时延≤2ms，远低于≤10ms的时延要求，因此完全满足传输要求。2024年下半年网络规划设计师案例分析真题案例背景某高校智慧校园IPv6-only改造项目，学校现有校园网用户3.2万人，有线接入点1.8万个，无线AP2.3万个，当前为双栈架构，IPv4地址采用NAT44实现公网访问，存在地址冲突、溯源困难等问题，改造需求：1.全网切换为IPv6-only架构，仅保留少量NAT64节点实现对存量IPv4资源的访问；2.实现终端无感知接入，认证成功率≥99.9%；3.实现IPv6流量的精细化管控，可识别1200+应用，流量控制粒度到单终端，精度≥100Kbps。问题1.（10分）请给出该校园网IPv6-only的地址规划方案，包括地址类型选择、子网划分规则、地址分配方式，说明该方案的优势。2.（12分）项目组拟采用NAT64+DNS64实现IPv4资源访问，已知NAT64设备的会话并发能力为200万，单用户峰值并发会话数为12个，请问该设备是否满足用户峰值并发需求，如不满足请给出扩容方案，同时说明NAT64部署的核心优化要点，避免访问IPv4资源的时延过高问题。3.（8分）请给出IPv6-only架构下的终端无感知认证方案，以及对应的溯源机制，满足《网络安全法》要求的日志留存6个月以上的规定。参考答案1.地址规划方案：①地址类型选择：向运营商申请/32的全球单播IPv6地址段，用于终端公网访问；同时配置/48的ULA（唯一本地地址）段作为内部管理地址，用于设备运维、内部业务互访；链路本地地址用于设备二层邻居发现、协议交互。②子网划分规则：采用分层划分方式，每个楼宇分配/48前缀，每个楼层分配/56前缀，每个接入交换机端口分配/64前缀，符合IPv6子网划分规范，便于路由聚合。③地址分配方式：有线终端采用SLAAC（无状态地址自动配置）+RA报文实现地址分配，提升接入效率；无线终端采用DHCPv6有状态分配，便于地址管理；服务器、网络设备采用静态IPv6地址配置。方案优势：①全球单播地址实现端到端访问，无需NAT转换，解决IPv4地址溯源困难的问题；②ULA地址用于内部管理，避免管理地址暴露在公网，提升网络安全性；③分层子网划分实现路由聚合，核心路由表条目可减少70%以上，提升路由转发效率；④SLAAC与DHCPv6结合，兼顾终端接入便捷性与管理可控性。2.并发需求计算：3.2万用户单用户峰值并发会话12个，总峰值并发会话数为32000×12=38.4万，NAT64设备会话并发能力为200万，远大于38.4万的需求，因此满足并发要求。NAT64部署优化要点：①采用旁挂部署模式，通过策略路由仅将访问IPv4资源的流量引流到NAT64设备，其余IPv6流量直接转发，避免所有流量绕行NAT64导致的时延增加；②配置NAT64知名前缀64:ff9b::/96，与DNS64配合实现存量IPv4域名的自动解析，无需修改终端配置；③开启NAT64硬件加速功能，转发时延可控制在1ms以内，大幅降低访问IPv4资源的时延；④开启会话保持功能，同一用户的同一业务流量分配到同一个公网IPv4地址与端口，避免业务中断；⑤部署2台NAT64设备形成主备集群，采用ECMP实现负载分担，单台故障时流量自动切换，业务无感知。3.无感知认证方案：采用“MAC地址+IPv6地址+身份信息”三元绑定机制，用户首次接入时输入学号/工号与密码完成802.1X身份认证，系统自动将用户的终端MAC地址、分配的IPv6地址、身份信息进行绑定，后续接入时系统自动识别MAC与IPv6的绑定关系，无需再次输入密码，实现无感知接入，认证成功率可达99.95%。溯源机制：①接入交换机记录每个端口的MAC地址、IPv6地址、接入时间、VLAN信息，每5分钟上传一次到日志服务器，留存期≥12个月；②DHCPv6服务器记录每个IPv6地址对应的MAC地址、分配时间、租期信息，留存期≥12个月；③出口防火墙记录每个IPv6地址的公网访问日志，包括访问时间、目的地址、端口、流量大小，留存期≥6个月；④所有日志统一同步到学校安全运营中心，发生网络安全事件时，可通过IPv6地址反向查询对应的用户身份信息，实现精准溯源，满足《网络安全法》的合规要求。2025年上半年网络规划设计师案例分析真题案例背景某运营商算力网络骨干节点建设项目，该节点为省一级算力调度枢纽，接入8个边缘算力节点、3个中心云算力节点，总算力规模为1200PFlops，建设需求：1.实现算力感知的路由调度，可根据算力节点的负载、时延、带宽等参数自动选择最优的算力路由，端到端调度时延≤50ms；2.实现SRv6和EVPN结合的承载网架构，支持算力资源的灵活调度；3.实现网络切片，为AI训练、自动驾驶、政务服务三类业务提供独立的切片资源，切片之间的隔离度≥99.999%。问题1.（10分）请给出算力感知路由的核心实现架构，说明SRv6在算力调度场景下的技术优势，以及算力路由的调度流程。2.（12分）请设计三类业务的网络切片方案，包括切片的带宽预留、SLA指标、隔离机制，说明切片的性能监测方案，保障SLA达标。3.（8分）已知AI训练业务的单节点算力带宽需求为100Gbps，共32个AI训练节点，采用Clos架构建设数据中心网络，叶脊比为1:4，请问脊层交换机的总交换容量最小需要多少，给出计算依据。参考答案1.算力感知路由核心架构分为三层：①算力感知层：部署在算力节点出口的算力网关，实时采集算力节点的CPU/GPU利用率、内存使用率、存储吞吐量、剩余算力配额等算力信息，以及链路时延、丢包率、可用带宽等网络信息，定期上报给算力控制层；②算力控制层：部署算力调度平台与SRv6控制器，汇总全网算力与网络信息，构建统一的算力资源视图，生成算力路由表，将转发规则下发到转发层；③转发层：由支持SRv6的核心、汇聚路由器组成，根据SRv6SegmentList实现算力路由的转发。SRv6的技术优势：①基于IPv6扩展头实现，可自定义携带算力标识、SLA要求等信息，无需新增协议，兼容现有IPv6网络，改造成本低；②支持显式路径规划，可根据算力调度需求自定义转发路径，保障端到端SLA；③支持分段SID，算力节点故障时可快速切换路径，无需重新计算全路径，调度效率提升80%以上。算力路由调度流程：①用户发起算力服务请求，携带算力需求（如GPU显存≥24G、端到端时延≤20ms）；②算力调度平台筛选符合要求的算力节点，结合网络状态选择综合成本最低的最优节点，生成对应的SRv6转发路径；③SRv6控制器将路径的SegmentList下发到用户接入的边缘路由器；④边缘路由器将用户流量封装SRv6头，按照指定路径转发到最优算力节点；⑤转发过程中持续监测路径SLA，不满足要求时自动切换到备用路径，保障业务稳定性。2.三类