2026年华为认证练习题及参考答案详解

2026年华为认证练习题及参考答案详解一、单项选择题（每题2分，共20分）1.某企业部署OSPFv3网络，区域A为普通区域，区域B为NSSA区域。关于两台区域边界路由器（ABR）的LSA泛洪规则，正确的是：A.ABR从区域A向骨干区域发送Type5LSAB.ABR从区域B向骨干区域发送Type7LSAC.ABR从骨干区域向区域A泛洪Type3LSAD.ABR从骨干区域向区域B泛洪Type5LSA答案：C解析：OSPFv3中，普通区域（如区域A）的ABR会将骨干区域的Type3LSA（网络汇总LSA）泛洪至本区域；NSSA区域（区域B）的ABR会将本区域的Type7LSA转换为Type5LSA后发送至骨干区域，而骨干区域不会向NSSA区域泛洪Type5LSA（避免环路）。因此选项C正确，其他选项违反OSPFv3区域间LSA传播规则。2.某运营商网络中，AS65100与AS65200通过eBGP互联，AS65100的路由器R1向AS65200发布/24路由时，需确保AS65200的路由器R2在收到该路由后，仅将其传递给AS65300，不能回传给AS65100。最优的实现方式是：A.在R1的eBGP出方向应用团体属性NO_EXPORTB.在R2的eBGP入方向应用团体属性NO_ADVERTISEC.在R1的eBGP出方向应用团体属性NO_ADVERTISED.在R2的eBGP出方向应用团体属性NO_EXPORT答案：A解析：BGP团体属性中，NO_EXPORT表示接收该路由的AS不能将其广告给其他AS（仅在本AS内传递）；NO_ADVERTISE表示接收该路由的路由器不能将其广告给任何BGP邻居。本题要求AS65200的R2可将路由传递给AS65300（跨AS），但不能回传给AS65100（原AS），因此需在R1的出方向（向AS65200发布时）标记NO_EXPORT，使AS65200接收后不会将该路由再广告回原AS（符合eBGP防环机制）。选项A正确。3.某企业核心交换机S1运行STP（802.1D），连接终端的接入交换机S2、S3通过两条链路（G0/0/1和G0/0/2）与S1相连。当S1的G0/0/1接口故障时，S2的端口状态变化顺序应为：A.Blocking→Listening→Learning→ForwardingB.Alternate→Listening→Learning→ForwardingC.Backup→Learning→Listening→ForwardingD.Designated→Blocking→Forwarding答案：B解析：STP中，当主链路（根端口）故障时，原Alternate端口（备份根端口）会经历状态转换。初始状态下，S2连接S1的两条链路中，一条为根端口（Forwarding），另一条为Alternate端口（Blocking）。当根端口故障，Alternate端口会先进入Listening状态（选举角色），再进入Learning状态（构建MAC表），最终进入Forwarding状态。因此选项B正确（Alternate是Blocking状态的子角色，对应STP端口角色）。4.某IPv6网络中，路由器R1配置了如下ACL：rule5permiticmpv6source2001:db8:1::/64destination2001:db8:2::/64rule10denytcpsource2001:db8:3::/64destination2001:db8:4::/64destination-porteq80若流量为源2001:db8:1::1、目的2001:db8:2::2的ICMPv6EchoRequest，该流量的处理结果是：A.匹配rule5，允许通过B.匹配rule10，拒绝通过C.未匹配任何规则，默认拒绝D.未匹配任何规则，默认允许答案：A解析：IPv6ACL按规则序号从小到大匹配，首先检查rule5：源地址2001:db8:1::/64（包含2001:db8:1::1），目的地址2001:db8:2::/64（包含2001:db8:2::2），协议为ICMPv6，完全匹配，因此允许通过。选项A正确。5.某企业采用MPLSL3VPN方案连接总部与分支，PE1（总部）与PE2（分支）通过公网建立MPLSLSP。关于VPN路由的传递过程，错误的是：A.PE1将用户路由（私网路由）转换为VPN-IPv4路由，添加RD和RT属性B.PE1通过MP-BGP将VPN-IPv4路由发送给PE2C.PE2根据RT属性过滤接收的VPN-IPv4路由，仅保留允许的路由D.PE2将接收的VPN-IPv4路由直接发布到用户侧接口，无需转换答案：D解析：PE设备收到对端PE通过MP-BGP发送的VPN-IPv4路由后，会根据RT属性判断是否导入本地VPN实例，然后将VPN-IPv4路由转换为私网路由（去除RD），再发布到用户侧接口。因此选项D错误，其他选项均符合MPLSL3VPN路由传递流程。6.某园区网部署802.1X认证，接入交换机S1配置端口认证模式为“端口认证”，当终端A（支持802.1X）和终端B（不支持802.1X）接入同一接口的不同PC时，正确的行为是：A.终端A完成认证后，终端B自动获得访问权限B.终端A未认证时，终端B无法访问网络C.终端A认证成功后，终端B仍需单独认证D.终端B因不支持802.1X，始终无法访问网络答案：B解析：802.1X端口认证模式下，整个物理端口的认证状态由第一个接入的终端决定。若端口下接多台终端（如Hub连接），当任意终端未认证时，端口处于未认证状态，所有终端均无法访问网络；仅当至少一个终端认证成功，端口才开放。本题中终端B不支持认证，因此即使终端A认证成功，由于端口下存在未认证终端（B），端口仍保持未认证状态（部分设备支持“单端口多用户”模式，但默认端口认证模式下不支持）。因此选项B正确。7.某企业网络使用VRRP实现网关冗余，主路由器R1优先级120（抢占模式），备路由器R2优先级100。当R1的G0/0/0接口故障（但设备存活）时，正确的切换过程是：A.R1因接口故障，主动降低优先级至0，R2成为MasterB.R2检测到R1的Hello报文超时（3倍Hello间隔），宣布成为MasterC.R1的G0/0/0接口故障后，VRRP实例状态保持Master，R2仍为BackupD.R1因接口故障，VRRP实例状态变为Initialize，R2重新选举为Master答案：B解析：VRRP中，Master设备通过发送Hello报文（默认1秒）通知Backup设备自身状态。当Master的接口故障（但设备存活），其VRRP实例不再发送Hello报文，Backup设备在等待3倍Hello间隔（默认3秒）后，认为Master失效，宣布自己成为Master。选项B正确；选项A错误，VRRP不会主动将优先级降为0；选项C错误，接口故障会导致VRRP实例无法发送Hello，但设备存活时实例状态不会立即改变；选项D错误，Initialize状态仅在实例启动时出现。8.某数据中心网络部署iMasterNCE-Campus智能管理系统，关于其核心功能，错误的是：A.支持基于意图的网络自动化部署（IBN）B.实现物理网络与虚拟网络的融合管理C.仅支持华为设备，不兼容第三方厂商设备D.提供网络流量分析与故障根因定位答案：C解析：iMasterNCE-Campus是华为的智能园区网络管理中心，支持多厂商设备接入（通过开放API和协议兼容），并非仅支持华为设备。因此选项C错误，其他选项均为其核心功能。9.某企业广域网采用SD-WAN方案，分支路由器BR1通过两条链路（运营商A的50Mbps专线、运营商B的100Mbps互联网）接入总部。关于SD-WAN流量调度策略，正确的配置是：A.将ERP业务流量标记为高优先级，仅通过运营商A专线传输B.将视频会议流量标记为低优先级，通过运营商B互联网传输C.对所有流量启用负载均衡，按链路带宽比例分配（专线:互联网=1:2）D.对HTTP流量启用智能选路，优先选择延迟更低的链路答案：D解析：SD-WAN的核心是基于应用优先级和链路质量动态选路。ERP（关键业务）应优先使用高可靠性链路（专线），但“仅通过”可能浪费资源（若专线故障需切换），因此更合理的是“优先”而非“仅”；视频会议（实时性要求高）应优先低延迟链路；负载均衡需结合应用需求，关键业务不应简单按带宽比例分配；HTTP（非实时）可根据链路延迟、丢包等动态选择。选项D正确。10.某网络管理员在配置BGP路由反射器时，将路由器R1设置为RR（路由反射器），客户端为R2、R3，非客户端为R4。关于路由反射规则，错误的是：A.R1从客户端R2收到的路由，会反射给其他客户端R3和非客户端R4B.R1从非客户端R4收到的路由，会反射给客户端R2、R3C.R1从EBGP邻居收到的路由，会反射给所有客户端和非客户端D.R1从IBGP非客户端收到的路由，不会反射给其他非客户端答案：A解析：BGP路由反射规则：RR从客户端收到的路由，会反射给其他客户端和非客户端；从非客户端收到的路由，仅反射给客户端；从EBGP邻居收到的路由，反射给所有客户端和非客户端；从IBGP非客户端收到的路由，不反射给其他非客户端（避免IBGP全连接）。因此选项A错误（R1从客户端R2收到的路由应反射给其他客户端和非客户端，而非“其他客户端和非客户端”表述正确，但需确认是否包含自身。实际规则中，RR不会将路由反射回原客户端，因此若R2是客户端，R1不会将R2的路由反射给R2，但会反射给R3和R4。选项A描述不严谨，但其他选项中B、C、D均正确，故本题选A）。二、判断题（每题1分，共10分）1.OSPFv3中，Link-LSA（Type8）仅在本地链路泛洪，用于描述接口的IPv6地址信息。（）答案：√解析：OSPFv3的Link-LSA（Type8）用于在广播或点到点链路上泛洪，携带接口的IPv6地址和链路本地地址，仅在本地链路范围内传播。2.静态路由的优先级（Preference）值越小，路由优先级越高。华为设备中默认静态路由优先级为60。（）答案：√解析：华为设备中，路由协议的优先级（Preference）是数值越小越优先，静态路由默认优先级为60（直连路由优先级0，OSPF为10）。3.VLAN间路由可以通过单臂路由（路由器子接口）或三层交换机实现，其中三层交换机的转发性能通常高于单臂路由。（）答案：√解析：单臂路由通过路由器的一个物理接口的子接口处理VLAN间通信，所有流量需经过路由器的CPU转发；三层交换机通过硬件ASIC实现二层/三层交换，转发性能更高。4.BGP的MED（Multi-ExitDiscriminator）属性用于在AS间比较不同入口的优先级，MED值越大，优先级越高。（）答案：×解析：MED属性用于向对端AS推荐进入本AS的最优路径，MED值越小，优先级越高（默认比较仅在同AS的邻居间进行）。5.802.1Q帧的VLANTag字段长度为4字节，其中包含12位的VLANID（范围0-4095），但可用VLANID为1-4094。（）答案：√解析：802.1QTag中的VID（VLANID）占12位，0用于识别帧优先级，4095为保留（用于扩展），因此可用范围是1-4094。6.IPv6的ICMPv6协议中，RouterSolicitation（RS）报文由主机发送，用于请求路由器发送RouterAdvertisement（RA）报文。（）答案：√解析：IPv6主机启动时发送RS报文（目的地址为All-Routers多播地址FF02::2），本地路由器收到后回复RA报文，包含网络前缀、默认网关等信息。7.MPLS的LSP（LabelSwitchedPath）分为显式路径和动态路径，其中动态路径通过LDP或RSVP-TE协议自动建立。（）答案：√解析：动态LSP通过标签分发协议（如LDP）或流量工程协议（RSVP-TE）自动建立；显式路径由管理员手动指定路径节点。8.网络管理员在交换机上配置了端口安全（PortSecurity），并设置最大连接数为2。当第三个终端接入该端口时，交换机会根据配置的违例模式（如shutdown、protect、restrict）进行处理。（）答案：√解析：端口安全通过绑定MAC地址限制接入终端数量，当超过最大连接数时，触发违例动作（默认shutdown，关闭端口）。9.在华为eNSP模拟器中，AR系列路由器默认不支持直接运行IS-IS协议，需通过升级软件版本或启用相关功能模块。（）答案：×解析：华为AR系列路由器（如AR2200）默认支持IS-IS协议，无需额外升级，可通过命令直接配置（如isisenable）。10.网络切片（NetworkSlicing）是5G网络的关键技术，通过将物理网络划分为多个逻辑独立的虚拟网络，满足不同业务（如eMBB、URLLC、mMTC）的差异化需求。（）答案：√解析：网络切片通过虚拟化技术隔离资源，为不同业务提供定制化的网络特性（如带宽、延迟、可靠性）。三、填空题（每题2分，共10分）1.OSPF协议中，DR（指定路由器）的选举基于接口的________值，默认情况下，该值越大，优先级越高；若优先级相同，则比较________地址。答案：优先级（Priority）、RouterID2.BGP路由表中，标记为“i”的路由表示该路由通过________（协议类型）学习，标记为“?”的路由表示该路由为________（路由类型）。答案：IBGP（内部BGP）、本地注入路由（如network、import引入）3.STP协议中，根桥（RootBridge）的选举基于________，该值由________和桥MAC地址组成，数值越小优先级越高。答案：桥ID（BridgeID）、优先级（BridgePriority）4.IPv6地址2001:db8:abcd::1/64的网络前缀长度为________，其接口ID部分为________（用十六进制表示）。答案：64位、0:0:0:1（或::1）5.华为设备中，DHCPSnooping功能默认在________（接口类型）上开启信任状态，其他接口为非信任状态；通过________（命令）可查看DHCPSnooping绑定表。答案：上行接口（如连接DHCP服务器的接口）、displaydhcpsnoopingbinding四、综合题（共60分）（一）企业网络规划与配置（30分）某企业总部网络拓扑如下：核心层部署两台三层交换机S1、S2（互为备份），接入层部署S3、S4（分别连接办公区A和办公区B）。办公区A划分VLAN10（/24），办公区B划分VLAN20（/24）。要求实现：1.核心层与接入层通过双链路连接（S1-S3：G0/0/1，S2-S3：G0/0/2；S1-S4：G0/0/3，S2-S4：G0/0/4），需配置链路聚合（LACP）提高带宽并实现冗余。2.核心层S1、S2通过VRRP实现网关冗余，虚拟IP为54（VLAN10）和54（VLAN20），S1为主用（优先级120），S2为备用（优先级100），启用抢占模式。3.接入层交换机S3、S4需禁止未授权终端接入，配置端口安全，限制每个接口最多连接2个MAC地址，违例模式为shutdown。请根据需求完成以下任务：1.写出核心层S1与接入层S3之间链路聚合的配置命令（假设聚合组为1，模式LACP）。（5分）答案：S1配置：interfaceEth-Trunk1modelacp-statictrunkportgigabitethernet0/0/1lacppriority100（可选，设置S1为主动端）undoshutdownS3配置：interfaceEth-Trunk1modelacp-statictrunkportgigabitethernet0/0/1lacppriority200（可选，S3为被动端）undoshutdown（需在两端配置相同聚合组号和模式，Trunkport绑定物理接口）2.写出S1上VRRP的配置命令（仅针对VLAN10）。（5分）答案：interfaceVlanif10ipaddressvrrpvrid1virtual-ip54vrrpvrid1priority120vrrpvrid1preempt-modetimerdelay5（配置抢占延迟5秒）vrrpvrid1trackinterfaceGigabitEthernet0/0/1reduced30（可选，跟踪上行接口，故障时优先级降低30）3.写出S3接入端口（如G0/0/5连接终端）的端口安全配置命令。（5分）答案：interfaceGigabitEthernet0/0/5portlink-typeaccessportdefaultvlan10port-securityenableport-securitymax-mac-num2port-securityviolationshutdown4.若办公区A的终端无法访问互联网（核心层已配置正确默认路由），请列出可能的故障排查步骤。（15分）答案：①检查终端IP配置：确认IP地址、子网掩码、默认网关（54）是否正确，可通过ipconfig（Windows）或ifconfig（Linux）查看。②检查接入层S3的端口状态：使用displayinterfaceGigabitEthernet0/0/5查看端口是否Up，是否因端口安全违例被Shutdown（状态为Down，Reason可能为Securityviolation）。③检查链路聚合状态：在S1和S3上执行displayeth-trunk1，确认聚合组状态为Up，物理接口是否均处于Selected状态（LACP协商成功）。④检查VRRP状态：在S1上执行displayvrrp，确认VLAN10的VRRP实例状态为Master，S2为Backup，且虚拟IP正常。⑤检查三层连通性：从终端ping核心层S1的VLAN10接口IP（），若不通，检查VLAN间路由配置（S1是否开启三层转发，Vlanif10接口是否Up）；若通但无法访问互联网，检查核心层的默认路由是否正确（displayiprouting-table），是否存在ACL过滤互联网流量（displayaclall）。⑥检查DHCP服务（若终端使用动态获取）：确认DHCP服务器是否正常，S3是否开启DHCPSnooping且信任正确接口（displaydhcpsnooping）。（二）网络故障排查与优化（30分）某企业分支网络通过IPSecVPN接入总部，拓扑如下：分支路由器BR1（公网IP：）与总部路由器HR1（公网IP：）建立IPSecVPN，保护分支内网/24与总部内网/24的通信。近期用户反馈VPN连接不稳定，频繁断开。网络管理员收集到以下信息：BR1的IPSec日志：“IKE_SAbr1_hr1[1]establishedbetween[500]and[500]”HR1的IPSec日志：“IKE_SAhr1_br1[1]established,butnoCHILD_SAcreated”BR1执行displayipsecsa，输出为空请分析可能的故障原因，并给出排查步骤和解决方法。答案：1.故障分析：IKE_SA（第一阶段）已成功建立，但CHILD_SA（第二阶段，IPSecSA）未创建，导致IPSecVPN无法加密流量。可能原因包括：①第二阶段策略（IPSecProposal）不匹配（如加密/认证算法、模式等）；②感兴趣流（匹配的内网网段）配置不一致（BR1和HR1定义的保护子网不同）；③NAT穿越（NAT-T）配置问题（若公网侧存在NAT设备，未启用NAT-T）；④访问控制列表（ACL）未正确允许感兴趣流通过；⑤第二阶段的生存周期（SPI生存时间）配置过短，导致SA频繁过期。2.排查步骤与解决方法：（1）检查IPSecProposal配置：在BR1和HR1上执行displayipsecproposal，对比双方的加密算法（如AES-128、3DES）、