网络工程师（中级）考前冲刺（配套答案）

网络工程师（中级）考前冲刺（配套答案）一、单项选择题（每题2分，共20分）1.在设计企业级网络时，若需确保关键业务流量在主备链路故障时自动切换，最适合采用的协议是（）。A.OSPFB.BGPC.HSRPD.STP解析：HSRP（HotStandbyRouterProtocol）是一种二层虚拟路由协议，通过抢占式或非抢占式优先级机制实现主备路由器自动切换，满足关键业务链路高可用需求。OSPF和BGP为路由协议，STP为二层交换机环路避免协议，均无法直接实现链路自动切换功能。2.当企业网络采用VLAN技术隔离广播域时，若某台PC需要访问不同VLAN的服务器，以下哪种设备必须部署在路径上？（）A.路由器B.交换机C.防火墙D.网桥解析：VLAN基于交换机端口划分广播域，不同VLAN间通信需要三层设备实现路由转发。路由器作为三层设备，能够根据IP地址转发不同VLAN间的流量。防火墙主要实现安全策略，网桥是早期设备，现代网络已不采用。3.在配置思科交换机时，若需限制特定端口的最大连接数，应使用哪种命令？（）A.switchportmodetrunkB.spanning-treeportfastC.switchportport-securitymaximum5D.ipaccess-listextended解析：port-securitymaximum命令用于限制端口最大连接数，例如switchportport-securitymaximum5表示限制为5个MAC地址。其他选项中，trunk模式用于配置链路类型，portfast禁用STP快速收敛，access-list为访问控制列表。4.当企业采用SDN架构时，控制器与交换机之间的通信协议通常使用？（）A.STPB.BGPC.OpenFlowD.OSPF解析：OpenFlow是SDN的核心协议，允许控制器直接下发流表规则到交换机，实现网络流量的灵活控制。STP为二层环路避免协议，BGP为三层路由协议，OSPF为内部网关协议。5.在配置无线网络时，若需实现不同SSID间的用户隔离，应采用哪种安全机制？（）A.WEPB.WPA2-PSKC.WPA3-EnterpriseD.MAC地址过滤解析：WPA3-Enterprise采用802.1X认证和EAP协议，支持不同SSID间用户隔离，实现多SSID统一认证。WEP为过时加密方式，WPA2-PSK为预共享密钥，MAC地址过滤仅能限制物理设备接入。6.在配置VPN时，若需实现站点到站点的安全连接，最适合采用的协议是？（）A.L2TPB.PPTPC.IPsecD.GRE解析：IPsec（InternetProtocolSecurity）通过加密和认证实现站点间端到端安全传输，是目前最主流的VPN协议。L2TP和PPTP为过时协议，存在严重安全漏洞，GRE为隧道协议但本身不提供安全功能。7.在配置NAT时，若需实现内部私网地址到公网地址的转换，应使用哪种类型？（）A.NAT-OverloadB.NAT-TunnelC.StaticNATD.DynamicNAT解析：NAT-Overload（PAT）允许多个内部主机共享一个公网IP，通过端口映射实现。StaticNAT为固定地址转换，DynamicNAT使用地址池动态分配，NAT-Tunnel为隧道型NAT，不适用于普通场景。8.在配置交换机时，若需实现不同VLAN间的路由功能，应启用哪种模式？（）A.VLANTrunkingB.SVI（SwitchedVirtualInterface）C.VLANMembershipD.Router-on-a-Stick解析：SVI（SwitchedVirtualInterface）即三层交换机虚拟接口，通过配置SVI实现不同VLAN间的路由。VLANTrunking为链路封装协议，VLANMembership为端口成员关系，Router-on-a-Stick为早期路由方式。9.在配置防火墙时，若需限制特定IP地址的访问，应使用哪种策略？（）A.NATPolicyB.StatefulInspectionC.ACL（AccessControlList）D.QualityofService解析：ACL（访问控制列表）通过匹配源/目的IP、端口等字段实现访问控制，是最常用的防火墙策略。NAT为地址转换，StatefulInspection为状态检测，QoS为服务质量。10.在配置无线控制器时，若需实现无线接入点自动配置，应使用哪种协议？（）A.CAPWAPB.LLDPC.SNMPD.DNS解析：CAPWAP（ControlAndProvisioningofWirelessAccessPoints）通过隧道传输控制消息，实现AP自动配置和状态监控。LLDP为链路层发现协议，SNMP为网络管理协议，DNS为域名解析。二、判断题（每题2分，共20分）1.在配置交换机时，若端口配置为Access模式，则该端口只能属于一个VLAN。（正确）解析：Access端口为接入端口，只能属于一个VLAN，用于连接终端设备。Trunk端口可承载多个VLAN，Hybrid端口混合了Access和Trunk特性。2.在配置VPN时，IPsec和SSLVPN都能实现站点到站点和远程访问两种模式。（正确）解析：IPsec主要用于站点到站点，SSLVPN（如VPNClient）支持远程访问。两者技术原理不同，但功能覆盖范围相似。3.在配置防火墙时，StatefulInspection会跟踪所有会话状态，但不会影响性能。（错误）解析：StatefulInspection通过维护会话状态表实现智能放行，但会消耗CPU资源，在高流量场景可能导致性能瓶颈。4.在配置无线网络时，WPA3-Enterprise比WPA2-Enterprise更易部署。（错误）解析：WPA3-Enterprise需要支持802.1X的认证设备和RADIUS服务器，部署复杂度高于WPA2-Enterprise。5.在配置NAT时，NAT-Overload会导致内部主机无法同时访问多个外部服务器。（正确）解析：PAT通过端口复用实现多主机共享IP，但单个主机同时连接多个外部服务器时，相同目的端口会导致冲突。6.在配置交换机时，若启用PortFast，则该端口不会进入Listening状态。（正确）解析：PortFast用于跳过STP的Listening和Learning状态，直接进入Forwarding状态，适用于接入层端口。7.在配置无线控制器时，CAPWAP隧道默认使用UDP5246端口。（正确）解析：CAPWAP协议规定控制隧道使用UDP5246端口，管理隧道使用UDP5247端口。8.在配置防火墙时，ACL可以基于应用层协议进行匹配。（正确）解析：高级ACL支持检测应用层协议（如HTTP、FTP），实现精细访问控制。基本ACL仅支持三层四层匹配。9.在配置VPN时，GRE隧道可以封装IPsec流量。（正确）解析：GRE（GenericRoutingEncapsulation）作为隧道协议，可以封装各种网络层流量，包括IPsec数据包。10.在配置交换机时，若启用SpanningTreeProtocol，则所有端口都会处于Blocking状态。（错误）解析：STP通过端口角色（根端口、指定端口、非指定端口、备用端口）实现环路避免，部分端口处于Forwarding或Blocking状态。三、填空题（每题2分，共20分）1.在配置交换机时，若需实现不同VLAN间的路由，需要在交换机上启用__________功能。参考答案：三层交换解析：三层交换机具备路由功能，通过SVI虚拟接口实现VLAN间路由，无需部署路由器。2.在配置无线网络时，若需实现不同SSID间的用户隔离，应采用__________认证方式。参考答案：802.1X解析：802.1X认证支持多SSID统一认证，通过EAP协议验证用户身份，实现隔离。3.在配置VPN时，若需实现站点到站点的安全连接，最适合采用的协议是__________。参考答案：IPsec解析：IPsec通过加密和认证实现站点间端到端安全传输，是目前最主流的VPN协议。4.在配置防火墙时，若需限制特定IP地址的访问，应使用__________策略。参考答案：ACL（访问控制列表）解析：ACL通过匹配源/目的IP、端口等字段实现访问控制，是最常用的防火墙策略。5.在配置交换机时，若端口配置为Trunk模式，则该端口可以承载__________个VLAN。参考答案：多个解析：Trunk端口通过802.1Q封装实现多个VLAN的传输，支持所有VLAN。6.在配置无线控制器时，若需实现无线接入点自动配置，应使用__________协议。参考答案：CAPWAP解析：CAPWAP通过隧道传输控制消息，实现AP自动配置和状态监控。7.在配置NAT时，若需实现内部私网地址到公网地址的转换，应使用__________类型。参考答案：NAT-Overload解析：NAT-Overload（PAT）允许多个内部主机共享一个公网IP，通过端口映射实现。8.在配置交换机时，若需限制端口最大连接数，应使用__________命令。参考答案：switchportport-securitymaximum解析：port-securitymaximum命令用于限制端口最大连接数，例如switchportport-securitymaximum5表示限制为5个MAC地址。9.在配置防火墙时，__________会跟踪所有会话状态，但不会影响性能。参考答案：StatefulInspection解析：StatefulInspection通过维护会话状态表实现智能放行，但会消耗CPU资源。10.在配置VPN时，__________隧道可以封装IPsec流量。参考答案：GRE解析：GRE（GenericRoutingEncapsulation）作为隧道协议，可以封装各种网络层流量，包括IPsec数据包。四、简答题（每题2分，共16分）1.简述VLAN技术的工作原理及其主要优势。参考答案：VLAN（VirtualLocalAreaNetwork）通过交换机硬件或软件划分广播域，将不同VLAN的流量隔离。工作原理基于MAC地址和端口配置，交换机根据VLANID转发数据。主要优势包括：隔离广播域减少广播风暴、增强安全性、简化网络管理、提高网络灵活性。2.简述CAPWAP协议的主要功能及其在SDN中的应用。参考答案：CAPWAP（ControlAndProvisioningofWirelessAccessPoints）通过隧道传输控制消息，实现无线接入点自动配置和状态监控。主要功能包括：集中管理AP、配置SSID、监控状态、故障诊断。在SDN中，CAPWAP使控制器能够直接控制交换机，实现网络自动化。3.简述NAT-Overload（PAT）的工作原理及其适用场景。参考答案：NAT-Overload通过端口复用实现多主机共享一个公网IP。工作原理：内部主机访问外部服务器时，使用源端口+目标IP+目标端口组合唯一标识会话，返回流量通过端口映射找到对应主机。适用场景：中小型企业网络、出口带宽有限、需要连接互联网的内部主机数量超过可用公网IP数量。4.简述StatefulInspection的工作原理及其主要优势。参考答案：StatefulInspection通过维护会话状态表跟踪所有连接状态，仅放行合法会话流量。工作原理：记录源/目的IP、端口、协议等信息，根据状态表判断流量是否属于合法会话。主要优势包括：增强安全性（防止IP欺骗）、简化配置（无需逐条规则）、提高性能（智能放行合法流量）。5.简述WPA3-Enterprise认证流程的主要步骤。参考答案：WPA3-Enterprise认证流程如下：（1）用户通过无线客户端发起连接请求；（2）AP将请求转发到RADIUS服务器；（3）RADIUS服务器验证用户凭据（如用户名密码）；（4）RADIUS服务器下发Access-Accept消息，包含EAPOL-Key密钥；（5）AP将密钥传递给客户端，建立加密连接。支持的认证方式包括：PEAP、EAP-TLS等。6.简述配置交换机PortFast的主要作用。参考答案：PortFast用于跳过STP的Listening和Learning状态，直接进入Forwarding状态。主要作用包括：（1）加快接入层端口收敛速度；（2）避免接入层端口成为STP根端口或指定端口；（3）适用于接入层交换机端口，无需参与环路避免。7.简述配置防火墙ACL的主要原则。参考答案：配置防火墙ACL的主要原则包括：（1）最小权限原则：仅允许必要流量通过；（2）自底向上原则：先配置默认拒绝规则，再配置允许规则；（3）精确匹配原则：基于源/目的IP、端口、协议等字段精确匹配；（4）可读性原则：规则编号和描述清晰易懂。8.简述配置VPN时选择协议的主要考虑因素。参考答案：选择VPN协议的主要考虑因素包括：（1）安全需求：IPsec提供强加密和认证，SSLVPN适合远程访问；（2）性能需求：GRE隧道开销小，IPsec可能影响性能；（3）兼容性需求：确保客户端和服务器支持协议；（4）管理需求：集中管理（如VPN网关）或分散管理（如SSLVPN）。五、应用题（每题4分，共24分）1.案例背景：某企业网络采用三层交换机实现VLAN间路由，现有需求如下：-VLAN10为办公区，VLAN20为服务器区，VLAN30为访客区；-办公区用户需访问服务器区，访客区用户需访问办公区，但禁止访客访问服务器区；-需配置SVI虚拟接口实现路由，并配置ACL控制访问。问题：请给出完整的配置步骤及ACL规则。参考答案：（1）配置VLAN：```vlan10nameOfficevlan20nameServervlan30nameGuest```（2）配置SVI：```interfaceVlan10ipaddressnoshutdowninterfaceVlan20ipaddressnoshutdowninterfaceVlan30ipaddressnoshutdown```（3）配置ACL：```access-list100permitip5555access-list101permitip5555access-list102denyip5555```（4）应用ACL：```interfaceVlan10ipaccess-group100outinterfaceVlan20ipaccess-group101outinterfaceVlan30ipaccess-group102out```2.案例背景：某企业网络采用NAT-Overload实现出口流量转换，现有需求如下：-内部私网地址为/24，公网IP为；-需配置NAT-Overload，并测试内网主机访问外部网站；-需配置静态NAT实现特定服务器（00）解析为公网IP。问题：请给出完整的配置步骤及测试命令。参考答案：（1）配置NAT-Overload：```ipnatinsidesourcelist1interfaceGigabitEthernet0/1overloadinterfaceGigabitEthernet0/1ipaddress52ipnatinside```（2）配置ACL：```access-list1permitip55any```（3）配置静态NAT：```ipnatinsidesourcestatic00```（4）测试命令：```-内网主机：pingping-外网主机：ping```3.案例背景：某企业网络部署无线网络，现有需求如下：-需配置两个SSID：Office（办公区）和Guest（访客区）；-OfficeSSID采用WPA2-Enterprise认证，访客SSID采用WPA2-PSK认证；-OfficeSSID需要与内部网络隔离，访客SSID需要限制并发用户数为10。问题：请给出完整的配置步骤及关键参数设置。参考答案：（1）配置SSID：```wlanOfficessidOfficewlanGuestssidGuest```（2）配置OfficeSSID：```authenticationopenauthenticationmethod802.1xeapmethodpeap```（3）配置访客SSID：```authenticationopenauthenticationmethodwpa-pskwpa-pre-shared-keyascii1234567890abcdef1234567890abcdefmax-user-count10```（4）配置VLAN隔离：```interfaceVlan10switchportmodeaccessswitchportaccessvlan10```（5）配置用户隔离：```dot1xport-controlautodot1xmabtimeout300```4.案例背景：某企业网络部署防火墙，现有需求如下：-需配置默认拒绝所有流量，允许内部网络访问互联网；-需允许办公区用户访问HTTP（80端口）和HTTPS（443端口）；-需允许服务器区用户访问FTP（20端口和21端口）。问题：请给出完整的配置步骤及ACL规则。参考答案：（1）配置默认拒绝：```access-list99denyipanyany```（2）允许办公区访问HTTP/HTTPS：```access-list100permittcp55anyeq80access-list100permittcp55anyeq443```（3）允许服务器区访问FTP：```access-list101permittcp55anyeq20access-list101permittcp55anyeq21```（4）应用ACL：```interfaceGigabitEthernet0/1ipaccess-group99inipaccess-group100outipaccess-group101out```5.案例背景：某企业网络部署VPN，现有需求如下：-需配置站点到站点VPN，连接总部和分部；-总部网络为/24，分部网络为/24；-需使用IPsec协议，并配置预共享密钥；-需实现NAT穿越功能。问题：请给出完整的配置步骤及关键参数设置。参考答案：（1）配置总部VPN：```interfaceTunnel0ipaddress52tunnelsourceGigabitEthernet0/1tunneldestinationisakmpenableisakmpkey123456addressipsectransform-setMYSETesp-aes256esp-hmacshaipsecprofileMYPROFILEtunnelprotectionipsectransform-setMYSETtunnelprotectionnat-t```（2）配置分部VPN：```interfaceTunnel0ipaddress52tunnelsourceGigabitEthernet0/1tunneldestinationisakmpenableisakmpkey123456addressipsectransform-setMYSETesp-aes256esp-hmacshaipsecprofileMYPROFILEtunnelprotectionipsectransform-setMYSETtunnelprotectionnat-t```（3）配置NAT穿越：```nat-tenable```6.案例背景：某企业网络部署无线控制器，现有需求如下：-需配置80个无线接入点，采用CAPWAP协议与控制器通信；-控制器IP为，AP管理VLAN为VLAN50；-需实现AP自动配置和状态监控；-需配置AP分组，对不同分组采用不同SSID。问题：请给出完整的配置步骤及关键参数设置。参考答案：（1）配置控制器：```capwapcontrol-planevrfCTRinterfaceVlan50ipaddress```（2）配置AP自动配置：```apauto-configenableapauto-configkey12345678```（3）配置AP分组：```ap-groupOfficeap-groupGuest```（4）配置SSID：```wlanOfficessidOfficeap-groupOfficeauthenticationopenauthenticationmethodwpa2``````wlanGuestssidGuestap-groupGuestauthenticationopenauthenticationmethodwpa2```（5）配置AP分组分配：```ap-groupOfficeap1-80slot1-4ap-groupGuestap81-80slot5-8```【标准答案及解析】一、单项选择题1.C解析：HSRP实现主备路由器自动切换，满足链路高可用需求。2.A解析：VLAN隔离广播域，跨VLAN通信需要三层设备（路由器）。3.C解析：switchportport-securitymaximum命令限制端口最大连接数。4.C解析：OpenFlow是SDN核心协议，实现控制器与交换机通信。5.C解析：WPA3-Enterprise支持多SSID统一认证，实现隔离。6.C解析：IPsec是主流VPN协议，支持站点到站点安全连接。7.C解析：StaticNAT为固定地址转换，适合服务器映射。8.B解析：SVI（三层交换机虚拟接口）实现VLAN间路由。9.C解析：ACL（访问控制列表）实现基于多种字段的访问控制。10.A解析：CAPWAP通过隧道传输控制消息，实现AP自动配置。二、判断题1.√解析：Access端口只能属于一个VLAN。2.√解析：IPsec和SSLVPN均支持站点到站点和远程访问。3.×解析：StatefulInspection会消耗CPU资源，影响性能。4.×解析：WPA3-Enterprise部署复杂度高于WPA2-Enterprise。5.√解析：PAT通过端口复用实现多主机共享IP，但存在冲突风险。6.√解析：PortFast跳过STP的Listening和Learning状态。7.√解析：CAPWAP默认使用UDP5246端口。8.√解析：高级ACL支持检测应用层协议（如HTTP、FTP）。9.√解析：GRE隧道可以封装IPsec流量。10.×解析：STP部分端口处于Forwarding或Blocking状态。三、填空题1.三层交换2.802.1X3.IPsec4.ACL（访问控制列表）5.多个6.CAPWAP7.NAT-Overload8.switchportport-securitymaximum9.StatefulInspection10.GRE四、简答题1.参考答案：VLAN通过交换机硬件或软件划分广播域，隔离不同VLAN流量。主要优势包括：隔离广播域减少广播风暴、增强安全性、简化网络管理、提高网络灵活性。2.参考答案：CAPWAP通过隧道传输控制消息，实现无线接入点自动配置和状态监控。主要功能包括：集中管理AP、配置SSID、监控状态、故障诊断。在SDN中，CAPWAP使控制器能够直接控制交换机，实现网络自动化。3.参考答案：NAT-Overload通过端口复用实现多主机共享一个公网IP。工作原理：内部主机访问外部服务器时，使用源端口+目标IP+目标端口组合唯一标识会话，返回流量通过端口映射找到对应主机。适用场景：中小型企业网络、出口带宽有限、需要连接互联网的内部主机数量超过可用公网IP数量。4.参考答案：StatefulInspection通过维护会话状态表跟踪所有连接状态，仅放行合法会话流量。工作原理：记录源/目的IP、端口、协议等信息，根据状态表判断流量是否属于合法会话。主要优势包括：增强安全性（防止IP欺骗）、简化配置（无需逐条规则）、提高性能（智能放行合法流量）。5.参考答案：WPA3-Enterprise认证流程如下：（1）用户通过无线客户端发起连接请求；（2）AP将请求转发到RADIUS服务器；（3）RADIUS服务器验证用户凭据（如用户名密码）；（4）RADIUS服务器下发Access-Accept消息，包含EAPOL-Key密钥；（5）AP将密钥传递给客户端，建立加密连接。支持的认证方式包括：PEAP、EAP-TLS等。6.参考答案：PortFast用于跳过STP的Listening和Learning状态，直接进入Forwarding状态。主要作用包括：（1）加快接入层端口收敛速度；（2）避免接入层端口成为STP根端口或指定端口；（3）适用于接入层交换机端口，无需参与环路避免。7.参考答案：配置防火墙ACL的主要原则包括：（1）最小权限原则：仅允许必要流量通过；（2）自底向上原则：先配置默认拒绝规则，再配置允许规则；（3）精确匹配原则：基于源/目的IP、端口、协议等字段精确匹配；（4）可读性原则：规则编号和描述清晰易懂。8.参考答案：选择VPN协议的主要考虑因素包括：（1）安全需求：IPsec提供强加密和认证，SSLVPN适合远程访问；（2）性能需求：GRE隧道开销小，IPsec可能影响性能；（3）兼容性需求：确保客户端和服务器支持协议；（4）管理需求：集中管理（如VPN网关）或分散管理（如SSLVPN）。五、应用题1.参考答案：（1）配置VLAN：```vlan10nameOfficevlan20nameServervlan30nameGuest```（2）配置SVI：```interfaceVlan10ipaddressnoshutdowninterfaceVlan20ipaddressnoshutdowninterfaceVlan30ipaddressnoshutdown```（3）配置ACL：```access-list100permitip5555access-list101permitip5555access-list102denyip5555```（4）应用ACL：```interfaceVlan10ipaccess-group100outinterfaceVlan20ipaccess-group101outinterfaceVlan30ipaccess-group102out```解析：通过SVI实现VLAN间路由，ACL控制访问权限，满足隔离需求。2.参考答案：（1）配置NAT-Overload：```ipnatinsidesourcelist1interfaceGigabitEthernet0/1overloadinterfaceGigabitEthernet0/1ipaddress52ipnatinside```（2）配置ACL：```access-list1permitip55any```（3）配置静态NAT：```ipnatinsidesourcestatic00```（4）测试命令：```-内网主机：pingping-外网主机：ping```解析：NAT-Overload实现多主机共享IP，静态NAT实现服务器映射，测试命令验证配置正确性。3.参考答案：（1）配置SSID：```wlanOfficessidOfficewlanGuestssidGuest```（2）配置OfficeSSID：```authenticationopenauthenticationmethod802.1xeapmethodpeap```（3）配置访客SSID：```authenticationopenauthenticationmethodwpa-pskwpa-pre-shared-keyascii1234567890abcdef1234567890abcdefmax-user-count10```（4）配置VLAN隔离：```interfaceVlan10switchportmodeaccessswitchportaccessvlan10```（5）配置用户隔离：```dot1xport-controlautodot1xmabtimeout300```解析：通过SSID和认证方式区分办公区和访客区，访客区限制并发用户数，实现隔离和限流。4.参考答案：（1）配置默认拒绝：```access-list99denyipanyany```（2）允许办公区访问HTTP/HTTPS：```access-list100permittcp55anyeq80access-list100permittcp55anyeq443```（3）允许服务器区访问FTP：```access-list101permittcp55anyeq20access-list101per