2026年软考网络工程师经典案例试题及答案

2026年软考网络工程师经典案例试题及答案一、网络规划与IP地址设计（共15分）某企业网络拓扑中，三层交换机S1上连路由器，下接二层交换机S2、S3。部门A、B、C分别接入S2、S3。给定地址段/24，要求按部门划分三个子网。部门A有60台终端，部门B有30台终端，部门C有20台终端。1.（4分）请给出各VLAN的编号、网段、子网掩码、网关地址及可用IP范围。2.（4分）写出S1与S2之间Trunk链路的配置命令。3.（4分）写出S1上为VLAN10配置网关IP的命令。4.（3分）写出S2上将FastEthernet0/5加入VLAN10的配置命令。答案：1.VLAN10部门A：网段/26，子网掩码92，网关，可用IP范围~2（排除网关）。VLAN20部门B：网段4/27，子网掩码24，网关5，可用IP范围6~4（排除网关）。VLAN30部门C：网段6/27，子网掩码24，网关7，可用IP范围8~26（排除网关）。2.S1侧配置：S1(config)#interfacegigabitethernet0/1

S1(config-if)#switchporttrunkencapsulationdot1q

S1(config-if)#switchportmodetrunk

S1(config-if)#switchporttrunkallowedvlan10,20,30S2侧配置相同。3.S1上配置：S1(config)#interfacevlan10

S1(config-if)#ipaddress92

S1(config-if)#noshutdown4.S2上配置：S2(config)#interfacefastethernet0/5

S2(config-if)#switchportmodeaccess

S2(config-if)#switchportaccessvlan10解析：子网划分依据主机数确定主机位。部门A需要60台终端，加上网关共需61个地址，所以主机位至少6位，掩码为/26；部门B和C分别需要30和20台终端，加上网关后主机位至少5位，掩码为/27。Trunk链路用于在交换机之间传递多个VLAN的帧，需要将端口配置为Trunk模式并允许相关VLAN通过。三层交换机通过VLAN接口实现不同VLAN间的路由。二、路由、ACL与NAT配置（共15分）某公司出口路由器R1的接口F0/0连接内网交换机，S0/0连接ISP。内网网段为/24，公网接口IP为/30，下一跳为。要求内网用户可以访问Internet，但禁止访问外部服务器0。1.（4分）写出R1的F0/0和S0/0接口IP配置命令。2.（3分）配置一条默认路由，下一跳为。3.（4分）配置PAT，使内网用户共享公网IP。4.（3分）配置扩展ACL，禁止/24访问0，并应用到S0/0出方向。5.（1分）如果内网用户可以ping通但无法浏览网页，最可能的原因是什么？答案：1.接口配置：R1(config)#interfacef0/0

R1(config-if)#ipaddress

R1(config-if)#noshutdown

R1(config-if)#interfaces0/0

R1(config-if)#ipaddress52

R1(config-if)#noshutdown2.默认路由：R1(config)#iproute3.PAT配置：R1(config)#access-list1permit55

R1(config)#ipnatinsidesourcelist1interfaces0/0overload

R1(config)#interfacef0/0

R1(config-if)#ipnatinside

R1(config-if)#interfaces0/0

R1(config-if)#ipnatoutside4.扩展ACL配置：R1(config)#access-list101denyip55host0

R1(config)#access-list101permitipanyany

R1(config)#interfaces0/0

R1(config-if)#ipaccess-group101out5.最可能原因是DNS解析故障。能ping通公网IP说明网络层可达，但浏览器访问通常需要域名解析，DNS失效会导致无法浏览网页。解析：PAT通过overload参数实现端口地址转换，使多个内网地址共享一个公网IP。扩展ACL需先配置deny语句禁止访问目标服务器，再配置permit语句放行其他流量，最后应用到接口出方向。ping通公网IP说明路由和NAT基本正常，浏览网页失败应优先检查DNS。三、STP与链路聚合（共15分）某企业为提高网络可靠性，在核心交换机S1和接入交换机S2之间部署双链路冗余，同时配置STP防止环路。现需将两条千兆链路Gi0/1、Gi0/2聚合为一条逻辑链路。1.（4分）简述STP的作用及根桥选举规则。2.（4分）写出在S1和S2上将Gi0/1、Gi0/2加入链路聚合组1的配置命令。3.（3分）若需要将S1指定为根桥，写出命令。4.（4分）如果S1与S2之间的两条链路速率不同，一条100Mbps，一条1000Mbps，STP会如何选路？链路聚合对成员端口速率有何要求？答案：1.STP的作用：消除二层环路，防止广播风暴、MAC地址表不稳定和重复帧问题，同时提供链路冗余备份。根桥选举规则：比较桥优先级，数值越小越优；优先级相同时比较MAC地址，MAC地址最小者成为根桥。2.在S1和S2上配置：S1(config)#interfacerangegigabitethernet0/1-2

S1(config-if-range)#channel-group1modeonS2配置相同。3.将S1指定为根桥：S1(config)#spanning-treevlan1rootprimary或设置更小优先级：S1(config)#spanning-treevlan1priority40964.STP根据端口开销选路，带宽越大开销越小。千兆链路开销为4，百兆链路开销为19，因此STP会选择千兆链路作为转发链路，百兆链路处于阻塞状态作为备份。链路聚合要求成员端口具有相同的速率和双工模式，因此100Mbps和1000Mbps端口不能加入同一聚合组。解析：STP通过BPDU报文选举根桥，并通过端口开销选出无环路径。链路聚合将多条物理链路捆绑为一条逻辑链路，既增加带宽又提供冗余，但要求成员端口属性一致，包括速率、双工模式等。设置根桥时应注意优先级需要是4096的倍数。四、DHCP与DNS服务器配置（共15分）某企业内网使用/24，网关为，DNS服务器为。现使用Linux服务器配置DHCP和DNS服务。1.（5分）写出/etc/dhcp/dhcpd.conf中的基本配置，要求地址范围为00~00，默认租约3600秒，最大租约7200秒。2.（3分）写出启动或重启DHCP服务的命令，任选一种Linux发行版。3.（4分）在内网DNS正向解析区域company中，需要添加哪些资源记录以解析wwwpany到？写出DNS区域文件片段。4.（3分）客户端无法获取IP地址，可能有哪些原因？请列举两点。答案：1.DHCP配置文件内容：subnetnetmask{

range0000;

optionrouters;

optiondomain-name-servers;

default-lease-time3600;

max-lease-time7200;

}网关地址和DNS服务器地址不在range范围内，无需单独排除。2.systemd系统使用：systemctlrestartdhcpd旧版Linux可使用：servicedhcpdrestart3.DNS区域文件片段：$TTL86400

@INSOAns1pany.adminpany.(

2026010101;serial

3600;refresh

1800;retry

604800;expire

86400);minimum

INNSns1pany.

ns1INA

wwwINA4.可能原因：•DHCP服务未启动或配置错误；•客户端与DHCP服务器之间二层链路不通或VLAN未放通；•地址池耗尽；•防火墙拦截了DHCP报文，DHCP使用UDP67和68端口。解析：DHCP配置中租约时间单位为秒。DNS正向解析区域需要SOA记录、NS记录以及主机A记录。DHCP故障排查应从服务状态、网络连通性、地址池容量和安全策略等方面进行。五、防火墙策略与故障排查（共15分）某企业网络采用防火墙连接内网trust区、DMZ区和外网untrust区。DMZ区Web服务器IP为0，内网网段为/24。安全策略要求：外网只能访问DMZWeb服务器的80端口；内网可以访问外网；外网不能主动访问内网。1.（5分）请按“方向、源地址、目标地址、服务、动作”格式，写出三条防火墙安全策略。2.（4分）外网用户无法访问DMZWeb服务器，请列出两条可能原因及排查思路。3.（3分）某内网主机无法获取IP地址但其他主机正常，请分析可能原因。4.（3分）某内网主机能ping通网关但无法ping通外网IP，请分析两条可能原因。答案：1.防火墙安全策略：方向源地址目标地址服务动作untrust→DMZany0HTTP(80)permittrust→untrust/24anyanypermituntrust→trustany/24anydeny防火墙默认拒绝未明确允许的流量，因此第三条策略也可以由默认策略实现。2.可能原因及排查思路：•未配置NAT或端口映射。外网访问DMZ通常需要将公网IP的80端口映射到0。排查时应检查防火墙的NAT/servermapping配置。•安全策略未放行untrust→DMZ方向的HTTP流量。检查防火墙安全策略是否正确允许该方向的服务。•Web服务器自身防火墙或HTTP服务未启动。登录服务器查看服务监听状态。•防火墙到DMZ区的路由配置错误，导致回应流量无法返回。3.该主机无法获取IP地址而其他主机正常，可能原因：•该主机连接的交换机端口配置了错误的VLAN或启用了端口隔离；•该主机网卡物理连接或网线故障；•该主机MAC地址被DHCP服务器过滤或加入黑名单；•D