网络工程师（中级）真题解析（核心考点）

网络工程师（中级）真题解析（核心考点）一、单项选择题（本大题共10小题，每小题2分，共20分。在每小题列出的四个选项中，只有一项是最符合题目要求的，请将正确选项的字母填在题后的括号内）1.在设计企业级网络拓扑时，以下哪种架构模式最能体现高可用性和冗余备份特性？（）A.星型拓扑B.环型拓扑C.树型拓扑D.全连接网状拓扑解析：全连接网状拓扑（D选项）通过所有节点之间建立物理链路，可实现完全冗余备份，当任意链路或节点故障时，数据仍可通过其他路径传输。星型拓扑（A）中心节点故障会导致整个分支失效，环型拓扑（B）存在单点故障且故障检测复杂，树型拓扑（C）虽然分层但底层节点仍存在单链路依赖。企业级网络对可靠性要求极高，全连接网状拓扑最符合高可用性设计原则，尽管成本较高，但在关键业务场景中是首选方案。2.以下关于OSPF协议的描述，哪项是正确的？（）A.OSPF支持VLSM和CIDR，但只能使用固定长子子网掩码B.OSPF区域内的路由器必须拥有完全相同的拓扑信息C.OSPF的默认度量值只考虑带宽因素，不考虑延迟D.OSPF协议使用ICMP协议进行邻居发现解析：正确答案是B。OSPF通过区域划分实现路由汇总，同一区域内所有路由器通过交换LSA（链路状态通告）建立一致的网络拓扑视图，确保路由信息的一致性。A选项错误，OSPF原生支持VLSM和CIDR动态路由汇总。C选项错误，OSPF默认度量值综合考虑带宽、延迟、负载、可靠性等多种因素。D选项错误，OSPF使用专门的多路广播地址（）进行邻居发现，而非ICMP。3.在配置BGP协议时，以下哪个命令用于设置AS-PATH长度限制？（）A.bgpas-path-length4B.bgpmaximum-as-path4C.routerbgpas-path-length4D.bgpas-path-prepend4解析：正确答案是B。BGP协议使用命令"bgpmaximum-as-path<数值>"限制AS路径长度，防止AS路径循环。AS路径长度超过255字节会导致路由丢弃。A选项命令格式错误，AS-PATH长度限制命令不带"bgp"前缀。C选项命令格式错误，AS-PATH长度限制命令不带"routerbgp"前缀。D选项"bgpas-path-prepend"用于向AS路径添加本地AS号，非长度限制功能。4.在配置交换机端口安全时，以下哪种模式允许动态学习MAC地址，但限制最大MAC条目数量？（）A.StaticModeB.DynamicModeC.PortSecurityModeD.SecurePortMode解析：正确答案是B。动态模式（DynamicMode）是端口安全的一种工作模式，交换机通过自学习方式动态添加MAC地址到MAC地址表，当达到最大条目数时，新MAC地址会覆盖最早学习到的MAC地址。A选项静态模式（StaticMode）需要手动配置固定MAC地址。C选项端口安全模式（PortSecurityMode）是交换机端口安全功能的总称。D选项安全端口模式（SecurePortMode）不存在此术语。5.在配置NAT协议时，以下哪个命令用于创建内部网络到外部网络的地址映射？（）A.ipnatinsidesourcelist1interfacegigabitEthernet0/1B.ipnatoutsidesourcelist1interfacegigabitEthernet0/1C.ipnatinsidedestinationlist1interfacegigabitEthernet0/1D.ipnatoutsidedestinationlist1interfacegigabitEthernet0/1解析：正确答案是A。NAT地址映射配置分为内部网络（inside）和外部网络（outside）接口设置。命令"ipnatinsidesourcelist<ACL编号>interface<外部接口>"用于创建内部源IP地址到外部IP地址的转换。B选项错误，ipnatoutside命令用于配置外部网络地址转换。C选项错误，ipnatdestination命令用于配置静态NAT。D选项错误，ipnatoutsidedestination命令格式错误。6.在配置VPN时，以下哪种协议主要用于建立站点到站点的安全连接？（）A.IPsecVPNB.SSLVPNC.L2TPVPND.GREoverIPsec解析：正确答案是A。IPsec（InternetProtocolSecurity）协议族专门用于建立端到端或站点到站点的安全网络隧道，通过AH（AuthenticationHeader）和ESP（EncapsulatingSecurityPayload）协议提供数据完整性、机密性和身份验证。B选项SSLVPN主要用于远程访问，非站点到站点连接。C选项L2TP（Layer2TunnelingProtocol）本身不提供加密，需与IPsec结合使用。D选项GREoverIPsec是技术组合而非独立协议。7.在配置无线网络时，以下哪种认证方式结合了预共享密钥和证书验证？（）A.PEAPB.EAP-TLSC.WPA2-PersonalD.WPA2-Enterprise解析：正确答案是A。PEAP（ProtectedExtensibleAuthenticationProtocol）认证协议通过TLS（TransportLayerSecurity）隧道传输预共享密钥，同时支持后续使用证书进行身份验证，兼具易用性和安全性。B选项EAP-TLS使用证书进行双向认证，无需预共享密钥。C选项WPA2-Personal仅使用预共享密钥，不涉及证书。D选项WPA2-Enterprise使用802.1X/EAP进行认证，可结合多种认证方式。8.在配置负载均衡时，以下哪种算法主要用于按会话保持客户端连接？（）A.RoundRobinB.LeastConnectionC.IPHashD.WeightedRoundRobin解析：正确答案是C。IPHash算法通过计算客户端IP地址的哈希值确定持久连接，确保同一客户端的请求始终被转发到同一后端服务器，适用于需要会话保持的应用场景。A选项轮询算法（RoundRobin）按顺序分配请求，不保持会话。B选项最少连接算法（LeastConnection）按后端服务器连接数分配，不保持会话。D选项加权轮询算法（WeightedRoundRobin）按权重分配请求，仍不保持会话。9.在配置防火墙时，以下哪种技术主要用于检测网络流量中的恶意代码？（）A.StatefulInspectionB.DeepPacketInspectionC.ApplicationLayerGatewayD.PortKnocking解析：正确答案是B。深度包检测（DeepPacketInspection）技术通过分析数据包内容，识别恶意代码、病毒、入侵行为等，比状态检测（A）更深入。C选项应用层网关（ApplicationLayerGateway）针对特定应用进行过滤。D选项端口敲击（PortKnocking）是隐式端口扫描技术，非恶意代码检测。10.在配置SDN控制器时，以下哪种协议用于控制器与交换机之间的通信？（）A.BGPB.OSPFC.OpenFlowD.EIGRP解析：正确答案是C。OpenFlow是SDN（Software-DefinedNetworking）的核心协议，定义了控制器与交换机之间的通信机制，使网络控制与转发分离。A选项BGP（BorderGatewayProtocol）是路由协议。B选项OSPF（OpenShortestPathFirst）是内部网关协议。D选项EIGRP（EnhancedInteriorGatewayRoutingProtocol）是Cisco专有路由协议。二、填空题（本大题共10小题，每小题2分，共20分。请将答案填写在横线上）1.在配置交换机端口安全时，命令"switchportport-securitymaximum-mac-address5"用于设置该端口允许的最大MAC地址数为______个。2.BGP协议通过______属性防止路由环路，该属性记录了路由经过的所有AS号。3.在配置NAT协议时，命令"ipnatinside"用于指定______接口为内部网络接口。4.VPN（VirtualPrivateNetwork）通过使用______协议在公网上建立安全的私有网络连接。5.WPA2-Enterprise认证需要与______协议配合使用，实现基于用户身份的访问控制。6.负载均衡算法中，______算法会根据后端服务器的负载情况动态分配请求，提高资源利用率。7.防火墙的______技术能够检测并阻止网络流量中的病毒、木马等恶意代码。8.SDN（Software-DefinedNetworking）的核心思想是将网络控制平面与______平面分离。9.在配置OSPF协议时，命令"routerospf1"用于启动______进程，并指定进程ID为1。10.在配置VLAN时，命令"switchportmodeaccess"用于将端口配置为______模式，仅允许一个VLAN的流量通过。三、判断题（本大题共10小题，每小题2分，共20分。请判断下列叙述的正误，正确的填"√"，错误的填"×"）1.在配置交换机端口安全时，如果端口配置了动态学习和静态MAC地址，当达到最大MAC条目数时，静态MAC地址会被移除。（）2.BGP协议默认使用EBGP（ExternalBGP）进行AS之间的路由交换。（）3.在配置NAT协议时，"ipnatoutside"命令必须配置在公网接口上。（）4.VPN（VirtualPrivateNetwork）技术只能用于远程访问，不能用于构建站点到站点连接。（）5.WPA2-Enterprise认证需要配置RADIUS服务器进行用户认证。（）6.负载均衡算法中，最少连接算法（LeastConnection）适用于长连接应用，如HTTP会话。（）7.防火墙的深度包检测（DeepPacketInspection）技术会修改原始数据包内容。（）8.SDN（Software-DefinedNetworking）架构中，控制器负责所有交换机的路由决策。（）9.在配置OSPF协议时，区域（Area）编号可以是1到4294967295之间的任意数值。（）10.在配置VLAN时，如果端口被配置为"switchportmodetrunk"，则该端口可以传输多个VLAN的流量。（）四、简答题（本大题共8小题，每小题2分，共16分。请简要回答下列问题）1.简述OSPF协议中区域（Area）的概念及其作用。2.解释NAT协议中"overload"功能的原理及其适用场景。3.描述WPA2-Enterprise认证流程的主要步骤。4.比较轮询（RoundRobin）和最少连接（LeastConnection）两种负载均衡算法的优缺点。5.说明防火墙状态检测（StatefulInspection）技术的工作原理。6.简述SDN（Software-DefinedNetworking）架构的主要组成部分及其功能。7.解释VLAN（VirtualLocalAreaNetwork）技术的基本原理及其优势。8.描述BGP协议中AS-PATH属性的作用及其常见取值。五、应用题（本大题共8小题，每小题4分，共24分。请根据以下场景完成相关配置）1.某企业网络拓扑如下图所示，要求配置路由器R1和R2实现内部网络/24与/24的互通。请给出R1和R2的配置命令。```R1--/24|R2|R3--/24```2.某企业需要配置VPN实现总部与分支机构的secureconnectivity，要求使用IPsecVPN，总部网段为/16，分支机构网段为/16。请给出VPN配置的主要步骤和关键命令。3.某企业需要配置交换机端口安全，要求端口FastEthernet0/1允许最多5个MAC地址，超过后触发保护动作。请给出配置命令。4.某企业需要配置负载均衡，要求将HTTP流量均匀分配到3台后端服务器，并保持会话持久性。请给出负载均衡配置的主要命令。5.某企业需要配置防火墙，要求允许内部网络访问外部Web服务器（IP:0），拒绝所有其他外部访问。请给出防火墙配置命令。6.某企业需要配置SDN，要求使用OpenFlow协议连接交换机与控制器，交换机支持流表条目数为1000。请给出交换机配置命令。7.某企业需要配置VLAN，要求将交换机端口FastEthernet0/1配置为VLAN10，端口FastEthernet0/2配置为VLAN20，并使端口FastEthernet0/3成为Trunk端口。请给出配置命令。8.某企业需要配置BGP协议，要求R1和R2之间交换路由信息，AS号为65000。请给出R1和R2的配置命令。【标准答案及解析】一、单项选择题答案1.D2.B3.B4.B5.A6.A7.A8.C9.B10.C二、填空题答案1.512.AS-PATH13.内部网络14.IPsec15.802.1X/EAP16.最少连接17.深度包检测18.转发19.OSPF20.接入三、判断题答案1.×22.×23.√24.×25.√26.√27.×28.×29.×30.√四、简答题答案及解析1.区域（Area）是OSPF协议中用于分割大型网络的结构单元，通过将网络划分为多个区域，可以减少路由器之间交换的LSA（链路状态通告）数量，提高路由效率。区域之间通过ABR（AreaBorderRouter）进行路由汇总，区域内的路由器只维护本区域的拓扑信息，不包含其他区域信息。区域的作用包括：①降低路由计算复杂度；②提高网络可扩展性；③增强网络可靠性；④实现路由汇总。2.NAT协议的"overload"功能（也称为PAT，PortAddressTranslation）通过使用动态端口将内部私有IP地址映射到外部公网IP地址的不同端口上，实现多个内部主机共享一个公网IP地址。原理是当内部主机发起出站连接时，NAT设备记录其私有IP地址和端口号，并将该连接的源IP地址转换为公网IP地址的一个随机可用端口；当外部主机响应时，NAT设备根据会话表将响应流量正确转换回内部主机。适用场景包括：①IP地址短缺；②隐藏内部网络结构；③简化网络管理。缺点是会话跟踪复杂，且某些应用（如某些P2P软件）可能无法正常工作。3.WPA2-Enterprise认证流程主要步骤：①用户通过无线客户端连接到接入点（AP）；②AP将用户请求转发给认证服务器（通常是RADIUS服务器）；③RADIUS服务器向用户发送挑战（Challenge）和EAP（ExtensibleAuthenticationProtocol）请求；④用户使用用户名和密码（或其他认证方式）通过EAP协议与RADIUS服务器进行认证；⑤RADIUS服务器验证用户身份，如果成功则发送Access-Accept响应，否则发送Access-Reject响应；⑥AP根据RADIUS响应允许或拒绝用户接入。该认证方式基于用户身份，可结合多种认证方式（如PEAP、EAP-TLS），安全性高。4.轮询（RoundRobin）算法按顺序将请求分配给后端服务器，实现简单但不考虑服务器实际负载，可能导致部分服务器过载。最少连接（LeastConnection）算法根据后端服务器的当前连接数分配请求，能更均衡地利用资源，特别适用于长连接应用。优点：①轮询算法实现简单，负载均衡均匀；②最少连接算法能动态适应服务器负载变化，资源利用率高。缺点：①轮询算法不考虑服务器性能差异；②最少连接算法需要实时监控连接数，增加系统复杂度。5.防火墙状态检测（StatefulInspection）技术通过维护一个会话状态表跟踪所有活跃连接的状态，只允许与已知合法会话相关的流量通过。工作原理是：①防火墙记录每个连接的源/目标IP地址、端口号、协议类型等关键信息；②当新数据包到达时，系统检查数据包是否属于已建立的合法会话；③如果是已知会话的响应流量，则允许通过；如果是新请求流量，则验证其合法性；④会话结束后自动从状态表中删除。相比静态包过滤，状态检测能智能识别连接状态，提高安全性同时减少规则数量。6.SDN（Software-DefinedNetworking）架构主要组成部分：①控制器（Controller）：作为网络大脑，负责全局路由决策、策略制定和设备管理；②交换机（Switch）：负责数据转发，通过OpenFlow等协议接收控制器指令；③北向接口（NorthboundInterface）：提供API供网络管理应用与控制器交互；④南向接口（SouthboundInterface）：控制器与交换机之间的通信协议（如OpenFlow）；⑤数据平面（DataPlane）：负责高速数据转发。功能：将网络控制平面与转发平面分离，实现网络虚拟化、自动化和可编程性。7.VLAN（VirtualLocalAreaNetwork）技术通过将交换机端口划分到不同逻辑广播域，使不同VLAN的设备如同在同一物理网段一样工作。基本原理是交换机根据MAC地址或端口配置决定数据包属于哪个VLAN，并通过VLANID标记数据包。优势包括：①隔离广播域，提高网络性能；②简化网络管理；③增强安全性；④支持网络迁移。与传统网桥相比，VLAN在交换机层面实现，速度更快且支持更复杂功能。8.BGP协议中AS-PATH属性记录路由经过的所有AS号（自治系统编号），用于防止路由环路。当路由从ASi到达ASj时，ASj会在AS-PATH中添加自己的AS号。作用：①检测路由环路：如果路由回原AS，AS-PATH会包含连续的AS号；②路径选择：BGP选择AS-PATH最短（经过AS数量最少）的路由；③AS路径限制：某些企业政策可能限制与特定AS的连接。常见取值包括：①正常路由：AS-PATH包含中间AS号，如"100200300"；②本地AS：AS-PATH为空；③AS路径环路：如"100200100"。五、应用题答案及解析1.R1配置：```interfacegigabitEthernet0/0ipaddressnoshutdown!interfacegigabitEthernet0/1ipaddress52noshutdown!routerospf1network55area0network55area0!routereigrp100network55noauto-summary!```R2配置：```interfacegigabitEthernet0/0ipaddress52noshutdown!interfacegigabitEthernet0/1ipaddressnoshutdown!routerospf1network55area0network55area1!routereigrp100network55noauto-summary!```解析：通过配置OSPF协议在R1和R2之间建立直连路由，使用不同的区域划分实现路由汇总。R1将/24和/24划入区域0，R2将/24和/24分别划入区域0和区域1，通过ABR进行区域间路由汇总。2.VPN配置步骤：①在R1和R2上配置接口IP地址②配置IKEv1或IKEv2策略③配置IPsec变换集和策略④配置IPsec隧道接口⑤配置NAT转换（可选）命令示例：```cryptoisakmppolicy10encryptionaes256authenticationpre-shared-keysecretcisco123group2!cryptoipsectransform-setMYSETesp-aes256esp-hmacsha-256!cryptoipsecprofileMYPROFILEsettransform-setMYSETsetpfsgroup2!interfacetunnel0ipaddress52tunnelmodeipsecipv4tunnelsourcegigabitEthernet0/1tunneldestinationisakmppolicy10ipsecprofileMYPROFILE!```解析：配置IKE策略定义加密算法、认证方式和密钥交换参数；配置IPsec变换集定义加密和完整性算法；配置IPsec策略关联变换集和PFS（PerfectForwardSecrecy）；配置隧道接口并关联IKE策略和IPsec策略。NAT转换可选用于隐藏内部网络结构。3.端口安全配置：```interfacefastethernet0/1switchportmodeaccessswitchportport-securityswitchportport-securitymaximum-mac-address5switchportport-securityviolationprotect```解析：配置端口工作在接入模式；启用端口安全功能；设置最大MAC地址数为5；配置违规动作为保护（Protect），即超过限制时触发保护动作（如丢弃数据包）。4.负载均衡配置：```iphttpload-balancingsession-persistenceiphttpload-balancingmethodsourceiphttpload-balancingtrackinterfacegigabitEthernet0/1!interfacegigabitEthernet0/0load-balancinggroup1!interfacegigabitEthernet0/1load-balancinggroup1!```解析：配置HTTP会话持久性；设置负载均衡算法为源IP地址；跟踪接口状态（如接口0/1故障时自动切换）；将后端服务器加入负载均衡组。该配置确保同一客户端