2025年网络工程师考试下午试题及答案详解

2025年网络工程师考试下午试题及答案详解一、企业网络规划与IP地址设计（15分）某中型企业新建办公园区，包含研发部120人、行政部60人、市场部50人、财务部30人，服务器区部署20台业务服务器。企业内网规划使用/22私有地址段，申请到的公网地址段为/24。网络采用三层架构设计，要求每个部门独立子网，每个子网预留至少1个网关地址。1.请按部门人数从多到少的顺序为各部门及服务器区划分子网，写出每个子网的网络地址、前缀长度、可用主机数（含网关地址）。（6分）答案：（1）研发部：网络地址，前缀长度/25，可用主机数126（2）行政部：网络地址28，前缀长度/26，可用主机数62（3）市场部：网络地址92，前缀长度/26，可用主机数62（4）财务部：网络地址，前缀长度/26，可用主机数62（5）服务器区：网络地址4，前缀长度/27，可用主机数30解析：子网可用主机数计算公式为2n−2，其中n为主机位位数，减2是扣除网络地址和广播地址。根据需求：-研发部120人+1个网关共需121个可用地址，需7位主机位（27−2.该网络采用核心层、汇聚层、接入层的三层架构，请分别说明三层架构中各层的主要功能。（5分）答案：（1）核心层：作为网络主干，负责高速、可靠的数据转发，提供冗余链路与高可用性，实现骨干网络的高速交换。（2）汇聚层：负责汇聚接入层的流量，执行路由聚合、访问控制、VLAN间路由、流量策略控制等功能。（3）接入层：为终端用户提供网络接入服务，负责端口安全、VLAN划分、用户认证等边缘接入功能。3.为保障研发部数据安全，要求实现研发部与其他部门的二层隔离，且其他部门无法主动访问研发部终端，请写出两种可实现该需求的技术。（4分）答案：（1）VLAN（虚拟局域网）技术：将研发部划分到独立VLAN，实现二层广播域隔离，默认VLAN间无法直接二层通信。（2）ACL（访问控制列表）：在三层设备上配置ACL规则，禁止其他部门子网访问研发部子网的流量。（或答PVLAN、防火墙策略、VRF隔离等合理答案均可得分，写出两种即得满分）二、交换机配置与局域网技术（15分）某企业局域网采用两层架构，核心交换机为SwitchA，接入交换机为SwitchB、SwitchC，所有交换机均采用CiscoIOS系统。SwitchB下接行政部（VLAN10）和财务部（VLAN20），SwitchC下接市场部（VLAN30）和研发部（VLAN40）。网络需实现VLAN划分、Trunk链路、链路聚合与MSTP多生成树功能。1.请补全SwitchB的VLAN配置命令，将FastEthernet0/1端口划分到VLAN10，FastEthernet0/2端口划分到VLAN20。（4分）SwitchB>enable

SwitchB#configureterminal

SwitchB(config)#______（创建VLAN10并进入VLAN配置模式）

SwitchB(config-vlan)#nameAdmin

SwitchB(config-vlan)#exit

SwitchB(config)#vlan20

SwitchB(config-vlan)#nameFinance

SwitchB(config-vlan)#exit

SwitchB(config)#interfacefastethernet0/1

SwitchB(config-if)#______（设置端口为接入模式）

SwitchB(config-if)#______（将端口加入VLAN10）

SwitchB(config-if)#exit答案：第一空：vlan10第二空：switchportmodeaccess第三空：switchportaccessvlan10解析：VLAN创建命令为vlan<vlan-id>，可直接进入VLAN配置模式；接入端口需先设置模式为access，再绑定对应VLAN。2.SwitchB与SwitchA之间的上行链路为Trunk链路，要求仅允许VLAN10、VLAN20通过，请补全Trunk配置命令。（3分）SwitchB(config)#interfacegigabitethernet0/1

SwitchB(config-if)#switchportmodetrunk

SwitchB(config-if)#______（允许指定VLAN通过Trunk链路）

SwitchB(config-if)#exit答案：switchporttrunkallowedvlan10,20解析：switchporttrunkallowedvlan命令用于配置Trunk链路允许通过的VLAN列表，多个VLAN用逗号分隔。3.为提高上行链路带宽与冗余性，SwitchA与SwitchB之间的两条千兆链路通过LACP协议聚合为EthChannel组1，请补全SwitchA侧的链路聚合配置，并简述链路聚合的主要作用。（4分）SwitchA(config)#interfacerangegigabitethernet0/1-2

SwitchA(config-if-range)#channel-group1mode______（配置LACP主动模式）

SwitchA(config-if-range)#exit

SwitchA(config)#interfaceport-channel1

SwitchA(config-if)#switchportmodetrunk

SwitchA(config-if)#switchporttrunkallowedvlan10,20答案：第一空：active链路聚合主要作用：（1）增加链路带宽，实现多链路负载分担；（2）提高链路冗余性，单条链路故障时流量自动切换到其他链路，不中断业务。解析：LACP协议有两种模式：active（主动模式，主动发起LACP协商）和passive（被动模式，仅响应LACP协商）。链路聚合通过将多条物理链路逻辑绑定为一条逻辑链路，实现带宽叠加与冗余备份。4.网络中部署MSTP实现VLAN流量负载分担，请简述MSTP相比传统STP的优势。（4分）答案：（1）STP所有VLAN共享一棵生成树，无法实现流量负载分担，链路利用率低；MSTP可将多个VLAN映射到同一棵生成树实例，不同实例可走不同链路，实现负载分担。（2）MSTP兼容STP、RSTP协议，具备更快的收敛速度。（3）MSTP可减少生成树实例数量，降低设备资源消耗。（4）MSTP支持区域划分，大规模网络中可实现分层部署，扩展性更好。三、路由器配置与路由技术（15分）某企业网络拓扑如下：出口路由器R1连接公网与核心路由器R2，R2连接各部门内网。内网采用OSPF动态路由协议，出口路由器配置PAT实现内网用户上网，同时配置访问控制策略保障财务部安全。所有路由器均采用CiscoIOS系统。1.请补全R2上的OSPF配置命令，将研发部子网/25、行政部子网28/26宣告到OSPF进程1的区域0中。（4分）R2(config)#routerospf1

R2(config-router)#______（宣告研发部子网到区域0）

R2(config-router)#network283area0

R2(config-router)#exit答案：network27area0解析：OSPF的network命令使用反掩码（wildcardmask）匹配接口IP地址，/25子网的掩码为28，对应反掩码为27。2.出口路由器R1配置PAT（端口地址转换）实现内网用户访问公网，公网地址池为00~20，内网地址段为/22，请补全NAT配置命令。（5分）R1(config)#access-list1permit______（匹配内网地址段的反掩码）

R1(config)#ipnatpoolNATPOOL0020netmask

R1(config)#ipnatinsidesourcelist1poolNATPOOL______（启用端口地址转换）

R1(config)#interfacefastethernet0/0

R1(config-if)#ipnatinside

R1(config-if)#exit

R1(config)#interfaceserial0/0/0

R1(config-if)#ipnat______（设置为NAT外部接口）答案：第一空：55第二空：overload第三空：outside解析：-/22子网的掩码为，对应反掩码为55-PAT配置需在ipnatinsidesource命令后加overload参数，实现多内网地址复用少公网地址-NAT配置需分别指定inside（内网侧）和outside（公网侧）接口3.为保障财务部安全，禁止研发部子网访问财务部子网的FTP服务（TCP端口21），需在R2的研发部接入接口的入方向配置扩展ACL实现该需求，请补全配置命令。（6分）R2(config)#access-list100deny______273eq21

R2(config)#access-list100permitipanyany

R2(config)#interfacefastethernet0/0

R2(config-if)#ipaccess-group100______答案：第一空：tcp第二空：in解析：-扩展ACL编号范围为100~199，语法为access-list<编号><动作><协议><源地址><源反掩码><目的地址><目的反掩码>[操作端口]。FTP基于TCP协议，因此协议字段为tcp。-扩展ACL应尽量靠近源地址部署，本题要求在研发部接口入方向应用，因此方向为in。四、Linux网络服务配置（15分）某企业采用CentOS7系统部署DHCP、DNS、Web三类网络服务，服务器IP地址为0，负责为行政部（VLAN10）终端分配IP地址，同时提供内部域名解析与企业官网访问服务。1.请回答以下关于DHCP服务的问题：（1）DHCP服务（dhcpd）的主配置文件路径是______。（1分）（2）补全行政部子网的DHCP配置片段，要求地址池范围为30~90，网关为29，DNS服务器为0，默认租期为1天（86400秒）。（4分）subnet28netmask92{

range____________;

optionrouters______;

optiondomain-name-servers______;

default-lease-time86400;

max-lease-time172800;

}答案：（1）/etc/dhcp/dhcpd.conf（2）第一空：30；第二空：90；第三空：29；第四空：0解析：CentOS7中DHCP服务主配置文件为/etc/dhcp/dhcpd.conf；range指令定义地址池范围，optionrouters指定网关地址，optiondomain-name-servers指定DNS服务器地址。2.请回答以下关于BINDDNS服务的问题：（1）BIND服务的主配置文件路径是______。（1分）（2）正向解析中，将域名www.example指向IP地址0的记录类型是____记录；将域名mail.example对应到邮件服务器的记录类型是____记录。（2分）（3）若要配置反向解析，将0解析为www.example，请写出反向区域配置文件中的记录内容。（2分）答案：（1）/etc/named.conf（2）第一空：A（地址）；第二空：MX（邮件交换）（3）10INPTRwww.example.（或等价格式）解析：-BIND服务主配置文件为/etc/named.conf；A记录用于正向域名到IP的解析，MX记录用于指定邮件服务器；反向解析使用PTR记录，格式为「主机位INPTR域名.」，末尾点不可省略，表示域名结束。3.请回答以下关于NginxWeb服务的问题：（1）Nginx服务的主配置文件路径是____；默认HTTP服务监听端口为__；默认HTTPS服务监听端口为____。（3分）（2）简述配置基于域名的虚拟主机的主要思路。（2分）答案：（1）/etc/nginx/nginx.conf；80；443（2）在Nginx配置文件中添加多个server块，每个server块通过server_name指令指定对应域名，root指令指定对应网站根目录，监听相同端口即可实现基于域名的虚拟主机。五、网络安全与故障排查（15分）某企业出口部署下一代防火墙，内网用户反馈无法访问公网Web服务，管理员进行故障排查。同时企业需部署IPsecVPN实现总部与分支机构的安全互联。1.已知内网终端可以正常访问内网服务器，但无法访问公网Web服务器（公网IP为0，域名为www.example）。请按由近及远的故障排查原则，写出至少5步排查步骤。（5分）答案：（1）检查终端的IP地址、子网掩码、默认网关、DNS服务器配置是否正确。（2）ping终端所在子网网关，检查终端到网关的二层、三层连通性。（3）ping核心交换机或出口路由器内网接口地址，检查内网端到端连通性。（4）ping公网DNS服务器地址，检查DNS解析是否正常，或使用nslookup命令测试域名解析。（5）检查防火墙安全策略是否允许内网到公网的HTTP/HTTPS流量。（6）检查出口路由器/防火墙的NAT配置是否正确，内网地址是否能正常转换为公网地址。（7）检查公网出口链路状态，ping公网网关或公网测试地址，检