2026网络工程师应用技术考试真题及答案

2026网络工程师应用技术考试真题及答案案例分析题（共5大题，每题20分，总计100分）试题一（20分）某中型制造企业2025年启动园区网升级项目，覆盖3栋办公楼、2个生产车间，全网终端规模1200台，项目要求：全网支持IPv4/IPv6双栈运行，接入层采用POE设备为WiFi6AP、监控摄像头供电，核心层部署VXLAN实现办公域、生产域、物联网域的三层逻辑隔离与跨楼宇大二层互通，所有设备纳入统一运维平台管理。请结合场景回答以下问题：1.（4分）该项目接入层交换机选用支持POE++标准的盒式设备，单台接入交换机下联端口配置为：18个端口接WiFi6AP（单AP满载功耗22W），8个端口接4K监控摄像头（单摄像头满载功耗15W），剩余2个万兆端口作为上联口，交换机自身运行功耗为45W。请计算该接入交换机的POE供电模块额定功率至少需要选配多大？同时说明POE++对应的IEEE标准及单端口最大供电能力。2.（6分）项目组选用VXLAN技术实现业务域隔离，而非传统VLAN技术，请说明VXLAN报文中VNID字段的作用，以及该场景下选择VXLAN替代VLAN的核心原因。3.（6分）该企业IPv6部署采用SLAAC无状态地址自动配置方案，上线后有30%的Windows终端反馈无法获取IPv6全局单播地址，经排查为接入交换机默认开启RA报文拦截功能导致。请说明RA报文属于ICMPv6的哪种类型？需要在接入交换机端口配置什么规则实现RA报文放通？同时对比SLAAC与DHCPv6的适用场景差异。4.（4分）该项目核心交换机采用双机冗余部署，两台核心设备的转发性能为480Gbps，已知全网终端平均带宽需求为200Mbps，流量过载比按1:4计算，请判断该核心交换机性能是否满足需求，写出计算过程。试题一参考答案1.功率计算与标准说明：（1）下联POE终端总满载功耗：18×22W+8×15W=396W+120W=516W；按照通信网络设备供电冗余要求，POE供电模块需预留至少15%的冗余量，因此所需额定功率为516W×1.15≈593.4W，需选配额定功率不低于600W的POE供电模块。（2）POE++对应的IEEE标准为802.3bt，单端口最大供电能力为90W，受电端最大可用功率为71W。2.VNID作用与VXLAN优势：（1）VNID是VXLAN的网络标识字段，长度为24bit，用于区分不同的VXLAN网段，相同VNID的终端属于同一个二层广播域，实现业务域的逻辑隔离。（2）选择VXLAN替代VLAN的核心原因包括：①VLAN的TAG字段长度为12bit，最多支持4096个VLAN，无法满足未来业务域扩展（比如后续新增供应链域、研发测试域等）的需求，而VNID最多支持1677万个网段，扩展能力强；②传统VLAN只能在二层网络中部署，无法跨三层实现大二层互通，该企业跨楼宇的生产业务需要二层联通，VXLAN基于三层IP网络封装二层报文，可实现跨路由的大二层部署；③VXLAN可与SDN控制器联动，实现业务域的灵活编排，无需调整物理网络配置，适配制造企业业务迭代快的需求。3.IPv6相关问题解答：（1）RA（路由公告）报文属于ICMPv6类型134的报文。（2）主流厂商设备放通规则：华为设备需在接入端口配置`undondraguardenable`或`ndrapermit`命令；思科设备需配置`ipv6ndraguardattach-policypermit_ra`并在策略中允许RA报文转发。（3）适用场景差异：SLAAC无需额外部署服务器，配置简单，适合终端规模大、流动性强的办公域、访客网络等场景；DHCPv6可实现地址的统一分配、台账管理、DNS等选项推送，适合需要精准管控终端地址的生产域、服务器域等场景。4.核心性能校验：全网终端总带宽需求为1200台×200Mbps=240000Mbps=240Gbps；按照1:4的过载比计算，核心交换机所需转发性能为240Gbps/4=60Gbps，当前核心设备转发性能为480Gbps，远大于60Gbps，满足性能需求。试题二（20分）某连锁零售企业全国有320家线下门店，此前采用100MMPLS专线实现门店与总部的互联，年专线成本超过700万元，且带宽无法满足视频监控回传、线上直播带货等新业务需求。2025年企业启动SD-WAN改造项目，要求：每家门店同时接入500M家庭宽带和20MMPLS专线，POS收银、库存上传等核心业务优先走MPLS专线，非核心业务走宽带，链路故障自动切换，门店设备支持零配置上线。请结合场景回答以下问题：1.（5分）该项目要求门店CPE设备支持ZTP零配置部署，无需运维人员到场调试，简述SD-WANCPE的ZTP上线全流程。2.（5分）该企业要求POS业务端到端时延≤50ms、丢包率≤0.1%，说明SD-WAN的智能流量调度机制如何满足该SLA要求。3.（6分）项目上线后出现部分门店访问总部OA系统时快时慢的问题，经排查为流量调度策略未配置应用亲和性，OA流量被调度到了跨运营商的公共宽带上，说明该问题的优化方案。4.（4分）已知改造前单门店100MMPLS专线成本为2000元/月，改造后单门店20MMPLS专线成本为300元/月、500M家庭宽带成本为100元/月、SD-WAN控制器License费用为50元/月/门店，计算改造后企业年专线成本较改造前降低了多少，写出计算过程。试题二参考答案1.ZTP上线流程：（1）门店CPE设备开箱上电后，WAN口通过DHCP获取公共网络IP地址，同时自动向预设的ZTP服务器地址发送注册请求，请求报文携带设备SN号、硬件型号等标识信息；（2）ZTP服务器校验设备SN号是否在预先录入的合法设备清单内，校验通过后向CPE下发对应的配置模版，包括WAN链路参数、IPsecVPN加密规则、流量调度策略、控制器地址等配置；（3）CPE加载配置后，主动与总部SD-WAN控制器建立加密控制通道，上报设备运行状态，控制器同步更新全网拓扑，CPE完成上线。2.SLA保障机制：（1）在CPE上配置双向SLA探针，实时检测MPLS专线和宽带链路的时延、丢包率、抖动指标，探测周期配置为100ms；（2）将POS业务通过五元组、DSCP标记（标记为EF）识别为最高优先级业务，配置流量调度策略绑定MPLS专线作为主链路；（3）当SLA探针检测到MPLS专线的时延超过50ms或丢包率超过0.1%时，自动将POS业务切换到宽带链路，同时开启FEC前向纠错功能，通过报文冗余传输将宽带链路丢包率降低到0.1%以内，当MPLS链路SLA指标恢复正常后自动切回主链路。3.优化方案：（1）开启SD-WAN的应用识别功能，通过OA系统的域名、IP段、特征库将OA流量标记为关键办公业务；（2）配置链路亲和性规则，关键办公业务优先选择与总部线路同运营商的宽带链路，避免跨运营商网络转发导致的时延升高；（3）配置QoS带宽预留规则，为OA业务预留单链路30%的带宽，避免非核心业务抢占带宽；（4）启用多链路捆绑传输功能，当OA系统大文件传输导致单链路带宽不足时，自动将流量分担到两条链路上，提升传输速率。4.成本计算：改造前年总成本：320家×2000元/月/家×12月=7680000元=768万元改造后年总成本：320家×(300+100+50)元/月/家×12月=320×450×12=1728000元=172.8万元年成本降低额：768万元-172.8万元=595.2万元试题三（20分）某互联网企业业务部署在阿里云、腾讯云两个公有云平台，本地自建IDC机房部署核心数据库，2025年启动混合云建设项目，要求实现本地IDC与两个公有云的内网低时延互通，核心业务容灾RPO≤10分钟、RTO≤4小时。请结合场景回答以下问题：1.（5分）该企业核心业务链路选用云专线连接本地IDC与公有云，备用链路选用IPsecVPN，对比云专线与IPsecVPN的优缺点及适用场景。2.（5分）混合云路由采用BGP协议实现，本地IDC的AS号为65001，阿里云AS号为45102，腾讯云AS号为132203，要求本地IDC访问阿里云的流量优先走云专线，备用走IPsecVPN，说明BGP路由策略的配置方案。3.（6分）该企业要求实现阿里云业务到腾讯云的跨云容灾，RPO≤10分钟，说明采用的存储复制技术方案，以及阿里云发生故障时的流量自动切换机制。4.（4分）项目上线后出现本地IDC访问阿里云OSS存储的速率仅为10Mbps的问题，经排查为云专线边界路由器的QoS限速配置错误，云专线签约带宽为100M，原限速规则为`cir10240kbps`，说明该问题的整改方案。试题三参考答案1.两种技术对比：（1）云专线优点：端到端专属链路，时延低、抖动小、带宽有保障，传输加密，安全性高；缺点：部署周期长（通常15-30天）、成本高，适合核心业务生产链路、大流量数据备份场景。（2）IPsecVPN优点：部署快（当天即可开通）、成本低，仅需支付公网带宽费用；缺点：带宽受公网质量影响，时延高、丢包率波动大，安全性弱于专线，适合非核心业务传输、灾备备用链路场景。2.BGP路由策略配置：（1）在本地IDC边界路由器上配置路由属性：对于从云专线邻居收到的阿里云路由，将LocalPreference值设置为200；对于从IPsecVPN邻居收到的阿里云路由，将LocalPreference值设置为100。由于BGP路由优选LocalPreference值更高的路由，因此会优先选择云专线链路。（2）备用策略：也可对VPN收到的阿里云路由配置AS路径前置，在AS路径中添加2次本地AS号65001，拉长AS路径长度，BGP会优选AS路径更短的专线路由。3.容灾方案：（1）存储复制技术选用异步复制：同步复制要求端到端时延≤10ms，跨云场景难以满足，异步复制仅需将存储增量日志定期同步到灾备端，RPO可控制在5-10分钟，满足需求。（2）流量切换机制：部署全局负载均衡（GSLB）系统，实时探测阿里云业务节点的可用性，当检测到阿里云业务故障时，自动将域名解析记录切换到腾讯云的灾备业务节点，同时通过BGP协议撤回阿里云侧的业务地址路由前缀，全网流量在5分钟内即可切换到灾备站点，RTO可控制在30分钟以内，远低于要求的4小时。4.整改方案：（1）将边界路由器的QoS限速规则调整为`cir102400kbps`（即100Mbps），解除带宽限制；（2）配置QoS优先级规则，将OSS存储备份流量的DSCP标记为AF41，预留40%的专线带宽，避免其他业务抢占备份带宽；（3）开启专线链路的流量压缩功能，可将存储备份的传输效率提升30%以上。试题四（20分）某省直事业单位2025年启动等保2.0三级整改项目，要求实现边界防护、入侵检测、运维审计、数据加密，所有网络日志留存不少于6个月。请结合场景回答以下问题：1.（4分）该项目在网络边界部署下一代防火墙（NGFW），说明NGFW与传统包过滤防火墙的核心区别。2.（5分）项目要求所有运维人员远程管理网络设备、服务器必须通过堡垒机，说明堡垒机的核心功能，以及禁止直接通过公网SSH管理设备的原因。3.（6分）整改前该单位内网曾发生勒索病毒攻击事件，病毒通过钓鱼邮件侵入终端后横向移动感染了3台核心业务服务器，说明内网安全的优化方案。4.（5分）该单位共有200台网络设备、50台服务器、30台安全设备，经测算日均产生日志量为80GB，按等保要求留存6个月，日志存储需预留30%的冗余空间，计算需要配置的最小存储容量，写出计算过程。试题四参考答案1.NGFW与传统防火墙的核心区别：传统包过滤防火墙仅工作在网络层和传输层，基于IP地址、端口、协议五元组实现访问控制，无法识别七层应用；NGFW集成了入侵防御（IPS）、应用识别、URL过滤、病毒查杀、沙箱检测等功能，可识别微信、钉钉、SQL查询等七层应用，实现基于应用的精细访问控制，同时具备威胁防护能力，适合等保三级的边界防护要求。2.堡垒机相关问题解答：（1）堡垒机核心功能：支持多因素身份认证（密码+短信/人脸/USBKey），实现运维人员的身份鉴权；支持细粒度权限管控，可按角色分配不同设备的操作权限；支持操作全流程审计，可回放运维人员的所有操作记录；支持日志留存，满足等保审计要求。（2）禁止公网直接SSH管理的原因：公网暴露SSH端口易遭到暴力破解攻击，一旦设备存在SSH漏洞会被攻击者直接入侵；直接SSH管理没有操作审计，出现故障无法追溯操作责任人；权限无法精细管控，易出现误操作风险。3.内网安全优化方案：（1）部署内网微分段：通过VXLAN或ACL将终端域、服务器域、物联网域实现逻辑隔离，限制域之间的访问权限，仅放开必要的业务端口；（2）限制横向移动：在接入交换机端口配置ACL规则，禁止终端之间访问445、3389、22等高危端口，阻断勒索病毒的横向传播路径；（3）终端与服务器防护：所有终端和服务器部署EDR终端检测与响应系统，实时拦截病毒、木马攻击，定期自动打系统补丁；（4）边界邮件防护：部署邮件安全网关，过滤钓鱼邮件、带毒附件，从入口阻断病毒入侵路径。4.存储容量计算：6个月按180天计算，无冗余情况下所需存储容量为：80GB/天×180天=14400GB=14.4TB预留30%冗余后所需最小容量为：14.4TB×1.3=18.72TB，需配置至少20TB的专属日志存储容量。试题五（20分）某省级运营商骨干网共有1200台路由器、交换机设备，此前采用人工配置方式，配置出错率为15%，10名运维人员日均仅能完成20台设备的配置变更，效率极低。2025年启动网络自动化运维平台建设，采用Ansible、Python、Telemetry等技术实现批量配置、实时监控、自动告警。请结合场景回答以下问题：1.（4分）简述采用Ansible批量配置网络设备的核心流程。2.（5分）该平台需要实时采集所有设备的端口流量、CPU、内存、温度等运行指标，说明采用的采集协议与数据可视化、告警方案。3.（6分）请编写Python代码实现批量检测192.168.1.0/24网段内所有IP的22端口（SSH）是否开放，要求采用多线程提升检测效率，代码可直接运行。4.（5分）自动化平台上线后，配置出错率降至0.2%，10名运维人员日均可完成500台设备的配置变更，计算运维效率较之前提升了多少倍，写出计算过程。试题五参考答案1.Ansible批量配置流程：（1）在Ansible控制端编写设备清单（Inventory），录入所有网络设备的IP地址、SSH用户名、密码、设备类型等信息；（2）编写AnsiblePlaybook，定义需要下发的配置任务，比如端口配置、VLAN创建、路由发布等，支持按设备角色、区域下发不同配置；（3）运行Playbook，Ansible通过SSH或NETCONF协议批量连接目标设备，下发配置并校验配置是否生效，最后生成执行报告，标记配置失败的设备供运维人员排查。2.采集与监控方案：（1）采集协议选用Telemetry（遥测）协议，相比传统SNMP协议，Telemetry采用推模式主动上报设备指标，采集精度可达秒级，对设备CPU占用率更低，适合大规模网络的实时监控；（2）采集到的指标数据存入Prometheus时序数据库，采用