2026下半年软考网络工程师《应用技术》真题及答案解析（试题二）

2026下半年软考网络工程师《应用技术》真题及答案解析（试题二）一、试题一（15分）阅读以下说明，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某公司办公楼共3层，每层预计部署70台终端，另设有服务器区。网络选用/23地址段进行IP规划，核心交换机Core-Switch与接入交换机Switch-A、Switch-B互联。三层交换机负责VLAN间路由，出口路由器R连接Internet。规划要求：VLAN10、20、30分别对应第1、2、3层办公终端，VLAN100为服务器区；服务器连接在Switch-B上。1.问题1（4分）请将/23等分为4个地址块，为VLAN10、20、30、100分配子网，写出各子网的网络地址、前缀长度、可用主机地址范围；并写出VLAN10的网关地址。答案：每个地址块大小为128，对应前缀长度为/25。•VLAN10：/25，可用地址～26，网关•VLAN20：28/25，可用地址29～54，网关29•VLAN30：/25，可用地址～26，网关•VLAN100：28/25，可用地址29～54，网关29解析：由于/23共有29=5122.问题2（5分）要求在三层核心交换机上为各VLAN配置VLANIF作为网关，并在Switch-B上将连接服务器的接口放入VLAN100，将Switch-B上联核心交换机接口配置为Trunk且允许VLAN30、100通过。请以华为交换机命令格式写出上述主要配置命令。答案：核心交换机配置：system-view

vlanbatch102030100

interfaceVlanif10

ipaddress28

interfaceVlanif20

ipaddress2928

interfaceVlanif30

ipaddress28

interfaceVlanif100

ipaddress2928Switch-B配置：system-view

vlanbatch30100

interfaceGigabitEthernet0/0/24

portlink-typeaccess

portdefaultvlan100

interfaceGigabitEthernet0/0/1

portlink-typetrunk

porttrunkallow-passvlan30100解析：VLANIF是三层接口，其配置地址即对应VLAN的网关地址。服务器所接端口应设为access模式并指定默认VLAN；上联端口必须配置为Trunk并放行服务器所在VLAN，否则服务器流量无法穿越交换机。3.问题3（6分）配置完成后，VLAN10的一台PC能ping通外网，也能ping通VLAN30的PC，但无法ping通位于Switch-B上的VLAN100服务器。请分析可能的原因（至少3条），并给出对应的排查方法。答案：（1）Switch-B上联核心交换机的Trunk口未放行VLAN100，核心交换机发送给服务器的数据帧无法到达Switch-B。可在Switch-B上执行displayportvlan查看上联口允许通过的VLAN，并补充配置porttrunkallow-passvlan100。（2）连接服务器的端口默认VLAN不是100，或该端口被配置为Trunk，导致服务器发出的帧被错误标记。应检查接入端口配置，将端口设为access模式并执行portdefaultvlan100。（3）服务器自身网络参数配置错误，如IP地址不在28/25网段内，或网关未设为29，或服务器防火墙禁止ICMP。可在服务器上执行ipconfig或ifconfig，并ping网关进行排查。（4）核心交换机上Vlanif100未正确配置地址或处于down状态，或存在ACL阻止VLAN10到VLAN100的访问。可在核心交换机上执行displayinterfaceVlanif100和displaycurrent-configuration检查。解析：PC能访问外网和VLAN30，说明VLAN10的三层接口及进出核心交换机的路径正常，故障应集中在VLAN100的链路或服务器本身。排查时先测试PC到网关29的连通性，再测试到服务器IP的连通性，可有效定位故障层次。二、试题二（15分）阅读以下说明，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某企业OSPF网络拓扑如下：R1、R2、R3通过同一台二层交换机接入，构成广播域/24；R3通过串行链路连接R4，互联网段/30。R1连接内网用户/24，R4连接分支用户/24。OSPF区域划分：/24和/24属于Area0；/30和/24属于Area1。各路由器Router-ID分别为、、、，接口OSPF优先级均为默认值。1.问题1（4分）在/24广播域中，DR和BDR分别是谁？如果把R3在该广播域接口的OSPF优先级改为0，DR和BDR会发生什么变化？答案：DR为R3（Router-ID），BDR为R2（Router-ID）。R3的优先级改为0后，R3不参与DR/BDR选举，此时DR变为R2（），BDR变为R1（）。解析：OSPF在广播型网络中通过Hello报文选举DR/BDR，优先级数值大者优先；若优先级相同，则Router-ID大者优先。R1、R2、R3的默认优先级均为1，因此按Router-ID比较：>>。优先级为0的路由器只作为DROther，不参与DR/BDR选举。2.问题2（6分）请以CiscoIOS命令为例，写出R1和R3的OSPF配置命令。要求设置Router-ID，且所有直连网段都宣告到相应区域。答案：R1配置：routerospf1

router-id

network55area0

network55area0R3配置：routerospf1

router-id

network55area0

networkarea1解析：R3同时连接Area0（/24）和Area1（/30），因此R3是ABR。network命令中的反掩码用于匹配接口地址，宣告后OSPF会在此接口发送Hello报文并发布相应网段路由。3.问题3（5分）某维护人员将R1与R2互联接口的MTU分别设为1500和1400，随后发现R1与R2的OSPF邻居状态一直停留在ExStart/Exchange状态，无法进入Full。请说明原因，并给出两种解决方法。答案：原因：两端接口MTU不一致。OSPF的DBD报文携带接口MTU信息，发送方使用自身MTU发送DBD报文，MTU较小的接口收到超过其MTU的DBD报文后丢弃，导致双方无法完成数据库描述报文的交换，邻居状态停滞在ExStart/Exchange。解决方法：（1）将互联接口的MTU统一配置为相同值；（2）在接口上配置MTU一致性忽略，Cisco命令为ipospfmtu-ignore，华为命令为ospfmtu-ignoring。解析：OSPF建立邻居过程中，ExStart状态完成Router-ID和主从关系协商，Exchange状态交换DBD摘要。MTU不一致是导致该阶段卡住的常见原因之一。三、试题三（15分）阅读以下说明，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某公司内网使用/24网段。出口路由器R的G0/0接口连接核心交换机，地址为/24；G0/1接口连接运营商，地址为/30，运营商侧网关为。公司内网共有250台主机需访问Internet，但只申请到1个公网地址。同时，为安全需要，禁止财务会计部所在网段4/26的用户访问外部网络的WWW服务（TCP80端口），但不影响其访问Internet的其他应用。1.问题1（4分）该公司能否使用普通动态NAT实现250台主机同时上网？应采用哪种转换方式？简述该方式的基本原理。答案：不能。普通动态NAT将一个公网地址与一个私网地址一对一映射，只有1个公网地址时，同一时刻只能有1台主机上网。应采用基于端口的多路复用NAT（NAPT/PAT，Cisco中称为overload）。PAT将多个私网地址转换到同一个公网IP，通过TCP/UDP端口号标识不同内部主机；对ICMP等协议，使用IP标识等字段区分，从而实现多台主机共享一个公网地址。解析：PAT的NAT表项中记录内部地址、端口与外部地址、端口的映射关系，只要端口号不冲突，即可复用同一公网IP。2.问题2（6分）请以CiscoIOS命令为例，写出路由器R实现上述PAT功能的主要配置命令，包括默认路由、定义内部地址、配置NAT转换和应用到接口。iproute

access-list1permit55

ipnatinsidesourcelist1interfaceGigabitEthernet0/1overload

interfaceGigabitEthernet0/0

ipnatinside

interfaceGigabitEthernet0/1

ipnatoutside解析：access-list1匹配需要转换的内网地址范围；interface...overload表示借用G0/1的接口公网地址做多路复用转换。ipnatinside和ipnatoutside分别标记内、外网接口，NAT处理时需据此判断转换方向。3.问题3（5分）请写出禁止财务会计部网段访问外部网络WWW服务的扩展ACL配置，并说明该ACL应应用在哪个接口的哪个方向，以及为什么。access-list101denytcp43anyeq80

access-list101permitipanyany

interfaceGigabitEthernet0/0

ipaccess-group101in该ACL应应用在内部接口G0/0的入方向。解析：财务会计部网段为4/26，反掩码为3。ACL必须放在NAT之前的入方向，因为在入方向数据包的源地址仍是内网私有地址4/26；如果放在外网接口的出方向，数据包经过NAT后源地址已变为公网地址，ACL将无法根据原始内网地址进行过滤。permitipanyany用于放行其它流量。四、试题四（15分）阅读以下说明，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某企业总部与分支机构通过Internet互联，需在两侧出口路由器上配置IPSecVPN。总部内网网段为/16，分支内网网段为/16。总部路由器公网接口地址为，分支路由器公网接口地址为。两端使用预共享密钥"Huawei@2026"进行IKE认证，IKE协商参数为AES-128、SHA1、DHGroup2，IPSec封装采用隧道模式。1.问题1（4分）IPSec协议族中AH和ESP分别提供哪些安全服务？站点间VPN一般选用哪一种？为什么？答案：AH提供数据完整性、源身份认证和防重放服务，但不提供机密性（不加密数据）。ESP提供机密性（加密）、数据完整性、源身份认证和防重放服务。站点间VPN一般选用ESP。因为ESP可以加密数据，而AH不加密；且AH的完整性校验覆盖IP头中的不变字段，在NAT环境中容易导致校验失败，ESP配合NAT-T穿越NAT时适应性更好。解析：AH在NAT环境中对源或目的IP地址变化敏感，因此站点间VPN通常选择ESP，并配合NAT-T使用。2.问题2（5分）总部路由器上保护数据流（感兴趣流量）的ACL配置为：permitipsource55destination55分支路由器上若将保护数据流配置为：permitipsource55destinationany请判断这种配置能否建立IPSec隧道？请说明原因。答案：不可以建立IPSec隧道。IPSec第二阶段协商需要协商两端感兴趣流量（TrafficSelector，即ProxyID），两侧的源和目的网段必须相互匹配。分支路由器的目的网段为any，与总部要求的目的网段/16不一致，导致Phase2协商失败，IPSecSA无法建立。分支路由器上应配置：permitipsource55destination55解析：第一阶段IKESA只负责保护身份和密钥协商过程；只有第二阶段的感兴趣流量匹配成功后，才能建立真正加密业务数据的IPSecSA。流量选择器不一致是站点间VPN常见的排错点。3.问题3（6分）隧道建立后，总部内网主机可以ping通分支内网主机，但大包ping（如1500字节）不通，且应用下载速率明显偏低。请分析原因并给出解决措施。答案：原因是IPSec隧道模式封装带来的MTU开销。隧道模式会在原始IP包外增加新的IP头、ESP头/尾及认证数据，封装后总长度超过物理链路MTU（通常为1500字节）。若原始IP包设置了不分片（DF）位，超大包会被丢弃；未设DF位时会产生分片与重组，从而造成大量重传和速率下降。解决措施：（1）在VPN两端接口或隧道接口上降低IPMTU，例如设置为1400字节；（2）对经过VPN的TCP流量启用MSS钳制（例如Ciscoiptcpadjust-mss1360），使TCP段加封装开销后不超过物理MTU；（3）检查链路两端MTU一致性，避免封装路径上出现二次分片。解析：IPSecESP隧道模式典型额外开销约为50～60字节。因此1500字节的IP包封装后可达1550～1560字节，超过普通以太网MTU。MTU问题不一定会让小包不通，但会明显影响大包和TCP大流量传输。五、试题五（15分）阅读以下说明，回答问题1至问题3，将解答填入答题纸的对应栏内。【说明】某单位局域网使用核心交换机作为DHCP服务器，为VLAN10和VLAN20的主机动态分配IP地址。VLAN10使用/24，VLAN20使用/24。核心交换机上Vlanif10、Vlanif20分别为两个VLAN的网关。出口路由器连接Internet，与核心交换机之间运行静态路由。1.问题1（4分）简述DHCP客户端从申请到获得IP地址的报文交互过程。若DHCP服务器与客户端不在同一广播域，应启用什么功能？答案：客户端依次发送和接收4种报文：（1）DHCPDiscover（发现报文，广播）；（2）DHCPOffer（服务器提供报文）；（3）DHCPRequest（请求报文，广播）；（4）DHCPACK（确认报文）。当DHCP服务器与客户端不在同一广播域时，需要在客户端所在VLAN的三层接口上配置DHCP中继（DHCPRelay/iphelper-address），将DHCP广播报文转换为单播报文转发给DHCP服务器。解析：DHCPDiscover和Request通常是广播报文，路由器默认不转发广播，因此跨网段时必须借助DHCP中继代理。2.问题2（6分）以华为交换机为例，写出在核心交换机上为VLAN10创建地址池并应用的主要配置命令。要求：地址池名为pool10，网段为/24，保留～0作为静态地址，网关为，DNS为14，租期为1天，并在Vlanif10上启用全局地址池。system-view

dhcpenable

ippoolpoo