2026年网络工程师考试题（含答案）

2026年网络工程师考试题（含答案）一、单项选择题（共10题，每题3分，共30分）1.2026年运营商广泛部署的SRv6网络中，某个End.DT4行为的核心作用是？A.对IPv4报文进行路由查表并转发B.解封装外层IPv6头后查找IPv4VPN实例转发表转发C.终结SRv6SID并执行VTEP封装D.匹配SRH中的下一个SID执行转发答案：B解析：End.DT4是SRv6中面向IPv4VPN的终结类SID，当报文携带该SID到达节点后，节点会剥离外层IPv6头与SRH，根据绑定的VPN实例查找IPv4转发表完成内层报文转发。2.某企业采用零信任网络架构（ZTA）部署办公网，以下哪个组件是零信任访问流程中负责动态评估访问主体可信等级的核心？A.身份提供商（IdP）B.策略执行点（PEP）C.策略决策点（PDP）D.持续信任评估引擎（CTE）答案：D解析：持续信任评估引擎（CTE）会持续采集用户行为、终端安全状态、访问上下文等多维度数据，动态计算主体可信等级，为PDP的策略决策提供核心依据。3.以下关于云原生网络中CiliumCNI的eBPF特性描述，错误的是？A.可在内核态直接完成Service负载均衡转发，无需经过用户态代理B.可实现基于进程粒度的网络访问控制，替代传统基于端口的ACLC.eBPF程序加载后需重启主机内核才能生效，无法热更新D.可对容器网络流量进行无侵入式的可观测性采集，无需修改业务代码答案：C解析：eBPF程序支持内核热加载，无需重启内核即可完成更新、卸载，不影响主机上运行的业务。4.某企业部署SD-WAN实现多分支互联，要求核心业务流量优先走5G链路，非核心业务走MPLS链路，当5G链路丢包率超过2%时自动切换到MPLS，该需求属于SD-WAN的哪项核心功能？A.智能路径选择B.应用识别C.广域网优化D.零信任接入答案：A解析：智能路径选择可基于应用SLA要求、链路质量（时延、丢包、抖动）等参数，动态为业务流量选择最优传输链路。5.IPv6过渡技术中，以下哪项是面向2026年纯IPv6骨干网场景下，可兼容存量IPv4业务的无状态过渡技术？A.NAT64B.464XLATC.MAP-TD.DS-Lite答案：C解析：MAP-T是无状态IPv4/IPv6转换技术，无需维护会话表，可实现大规模、高并发的IPv4业务在纯IPv6骨干网的透明传输，适合运营商骨干网部署场景。6.某数据中心采用400GDCI链路互联，为了降低链路传输的比特差错率，同时提升传输距离，以下哪种纠错技术是当前400G/800G光模块的标配？A.传统FECB.KP4FECC.CFECD.OpenFEC答案：B解析：KP4FEC是IEEE802.3bs标准定义的400G以太网标配纠错技术，可在不显著增加时延的前提下，将传输误码率从1e-6降低到1e-15，传输距离提升30%以上。7.以下关于AIOps在网络故障排查中的应用，描述正确的是？A.AIOps可完全替代人工完成所有网络故障的定位与修复B.基于大语言模型训练的AI运维助手可结合历史告警、拓扑数据自动推导故障根因C.AIOps的故障预测准确率不受训练数据质量的影响D.AIOps仅能处理网络设备硬件故障，无法处理路由协议、配置类故障答案：B解析：大语言模型结合网络运维知识图谱训练后，可关联多源运维数据，自动推理故障根因并给出修复建议，大幅提升故障排查效率，目前仅作为人工辅助工具，无法完全替代人工。8.某企业部署量子加密VPN链路保障核心数据传输安全，以下关于量子密钥分发（QKD）与VPN结合的描述正确的是？A.QKD生成的密钥可直接替换IPsecVPN中的预共享密钥，实现一次一密加密B.QKD的密钥传输依赖公共网络信道，容易被窃听破解C.量子加密VPN仅支持点到点链路部署，无法实现多点互联D.QKD的密钥生成速率不受传输距离的影响答案：A解析：基于量子不可克隆原理，任何对量子密钥的窃听都会改变量子态，被通信双方感知，QKD生成的真随机密钥可周期性替换IPsec的加密密钥，实现一次一密，安全性远高于传统预共享密钥。9.以下哪项是Wi-Fi7网络相比于Wi-Fi6的核心提升，可实现在高密度接入场景下单用户平均速率提升3倍以上？A.OFDMAB.320MHz超宽信道C.TWTD.MLO（多链路聚合）答案：D解析：MLO多链路聚合是Wi-Fi7的独有特性，支持终端同时在2.4G、5G、6G多个频段的多条链路并行传输数据，可大幅提升高密度场景下的单用户速率与传输可靠性。10.某网络采用BGPFlowspec技术实现流量清洗，以下哪个Flowspec匹配规则可实现对特定源IP发起的ICMPFlood攻击的精准拦截？A.匹配源IP前缀+ICMP类型+目的端口B.匹配源IP前缀+IP协议号（1）+ICMP代码C.匹配目的IP前缀+TCP标志位+报文长度D.匹配源端口+UDP协议号+DSCP值答案：B解析：ICMP的IP协议号为1，结合源IP前缀、ICMP代码的匹配规则可精准识别特定源发起的ICMP攻击流量，实现精准拦截。二、多项选择题（共10题，每题4分，共40分，多选、少选、错选均不得分）1.以下属于IPv6+技术体系核心特性的是？A.SRv6B.网络切片C.随路检测（iFIT）D.传统OSPF路由协议E.BIER（比特索引显式复制）答案：ABCE解析：IPv6+是基于IPv6的网络增强技术体系，SRv6、网络切片、iFIT、BIER均属于其核心特性，传统OSPF属于IGP路由协议，不属于IPv6+专属特性。2.某企业部署零信任办公网，以下哪些属于零信任“永不信任、始终验证”原则的落地要求？A.所有访问请求必须经过身份认证与权限校验B.仅对来自外网的访问请求进行验证，内网访问无需校验C.持续采集终端安全状态、用户行为特征数据，动态调整访问权限D.默认拒绝所有未明确授权的访问流量E.仅需对用户身份进行一次校验，会话有效期内无需重新验证答案：ACD解析：零信任不区分内外网，所有访问都需要持续校验，会话有效期内会根据主体可信状态动态调整权限，B、E不符合零信任核心原则。3.以下关于2026年主流数据中心Spine-Leaf架构的设计要点，描述正确的是？A.Leaf层作为服务器网关，同时承担VXLANVTEP功能B.Spine层仅负责三层路由转发，不参与VXLAN封装解封装C.单Spine节点下行带宽总和应大于等于所有Leaf节点上行带宽总和，避免收敛比过高D.为了降低时延，Spine与Leaf之间采用三层ECMP路由，不启用STP协议E.所有Leaf节点必须部署在同一物理机房，不可跨机房部署答案：ABCD解析：分布式Leaf架构支持Leaf节点跨机房部署，E错误，其余选项均为当前Spine-Leaf主流设计规范。4.以下关于SD-WAN的广域网优化技术，可用于提升跨地域办公访问体验的是？A.TCP代理与报文压缩B.重复数据删除（Deduplication）C.FQDN智能解析D.前向纠错（FEC）与丢包重传优化E.应用层缓存答案：ABDE解析：FQDN智能解析属于DNS优化范畴，不属于SD-WAN广域网优化核心功能，其余选项均可有效降低广域网传输时延、减少丢包。5.以下属于容器网络常见安全风险的是？A.容器逃逸导致的横向渗透B.ServiceNodePort端口暴露带来的未授权访问C.容器之间默认无网络隔离，恶意容器可扫描同节点其他容器端口D.CNI插件配置错误导致容器流量绕过防火墙E.容器网络流量采用明文传输，未加密答案：ABCDE解析：所有选项均为容器网络的常见安全风险，需通过微隔离、流量加密、端口管控等措施防护。6.Wi-Fi7网络部署中，以下哪些措施可有效降低高密度场景下的同频干扰？A.启用6GHz频段的SR（空间复用）技术B.动态调整AP的发射功率与信道宽度C.启用BSS着色机制D.关闭OFDMA功能，改用传统CSMA/CA机制E.部署智能天线，定向发送信号答案：ABCE解析：OFDMA是提升高密度接入性能的核心技术，关闭会反而会加剧干扰与冲突，D错误。7.AIOps在网络运维中的典型应用场景包括？A.网络流量异常检测与DDoS攻击预警B.配置变更自动校验与回滚C.故障根因自动定位与修复建议生成D.网络容量预测与带宽扩容规划E.设备硬件寿命预测与提前更换答案：ABCDE解析：所有选项均为AIOps的成熟落地场景，可有效降低运维工作量、提升运维效率。8.以下关于量子保密通信网络的描述，正确的是？A.量子密钥分发基于量子不可克隆原理，密钥被窃听会被通信双方感知B.QKD网络可与现有IP网络融合部署，无需替换现有光传输链路C.量子加密可替代所有传统加密算法，无需再部署IPsec、TLS等加密技术D.量子密钥可定期更新，大幅提升加密通信的安全性E.当前QKD技术已可实现无中继千公里级别的密钥传输答案：ABD解析：量子加密目前作为传统加密的增强方案，无法完全替代IPsec、TLS等技术，C错误；当前无中继QKD的最大传输距离约为500公里，千公里级别需要部署可信中继，E错误。9.以下关于BGPEVPN作为数据中心overlay路由协议的优势，描述正确的是？A.可同时支持二层和三层VPN业务，无需单独部署VPLS等协议B.支持ARP/ND代答，减少广播域泛洪C.可实现虚拟机迁移时的路由快速收敛，业务中断时间小于50msD.仅支持IPv4underlay网络，无法适配IPv6underlayE.支持多活网关，消除传统VRRP的单点故障风险答案：ABCE解析：BGPEVPN同时支持IPv4、IPv6underlay网络，D错误。10.2026年我国《网络安全法》《数据安全法》要求网络运营者必须落实的网络安全措施包括？A.对核心数据传输采用加密存储与传输措施B.留存网络日志不少于6个月C.定期开展网络安全等级保护测评D.所有网络设备必须采用国产设备E.建立网络安全事件应急响应预案，定期开展演练答案：ABCE解析：法规要求关键信息基础设施优先采购国产设备，而非所有网络设备必须采用国产设备，D错误。三、实操题（共2题，每题15分，共30分）实操题1某企业总部与3个分支部署SRv6骨干网，拓扑如下：总部核心路由器R1（SRv6SID前缀：2001:db8:1::/48）、分支1路由器R2（2001:db8:2::/48）、分支2路由器R3（2001:db8:3::/48）、分支3路由器R4（2001:db8:4::/48），所有路由器之间运行IS-IS作为IGP，已启用SRv6功能。需求：1.配置R1的End.DT4SID，绑定VPN实例“OA”，实现分支的OA业务IPv4流量访问总部OA服务器（10.1.0.0/24）；2.配置R1的流量调度策略，当R1到R2的链路丢包率超过1.5%时，R2访问OA的流量自动切换到R3作为中转路径；3.配置iFIT随路检测，对OA业务流量的端到端时延、丢包率进行实时监控，阈值设为时延>50ms、丢包率>1%时上报告警。参考答案（以华为路由器为例）：1.VPN实例与End.DT4SID配置```R1配置VPN实例ipvpn-instanceOAipv4-familyroute-distinguisher100:1vpn-target100:1both配置SRv6Locator与End.DT4SIDsegment-routingipv6locatorOA_LOCipv6-prefix2001:db8:1:1::/64opcode1end-dt4vpn-instanceOA引入OA网段路由到IS-ISisis1segment-routingipv6locatorOA_LOC```2.智能流量调度配置```定义OA流量特征traffic-profilerprofileOA_TRAFFICmatchipv4destination10.1.0.0255.255.255.0配置SRv6Policy，主路径为R1-R2直连，备路径为R1-R3-R2segment-routingipv6policySRv6_POLICY_R2_OAcolor20end-point2001:db8:2::1candidate-pathpreference100segment-listR1_TO_R2index10sid2001:db8:1:2::1candidate-pathpreference50segment-listR1_TO_R3_TO_R2index10sid2001:db8:1:3::1index20sid2001:db8:3:2::1binding-sid2001:db8:1:10::1配置链路质量联动，丢包率超过1.5%时切换路径performance-measureinstanceR1_R2_LINKlink-destination2001:db8:1:2::1thresholdlossupper1.5actiontrigger-sr-policyswitchover```3.iFIT检测配置```ifitinstanceOA_FLOW_MONITORflowmatchsourcevpn-instanceOAdestination10.1.0.0/24measurementitemdelaylossthresholddelayupper50lossupper1alarmenable```验证：R2上访问10.1.0.0/24网段的流量优先走直连链路，模拟链路丢包率超过1.5%后，流量自动切换到中转路径，iFIT监控页面可查看到实时时延、丢包数据，超过阈值时会生成告警。实操题2某K8s集群采用CiliumCNI部署，现有业务需求：1.配置网络策略，仅允许标签为app=web的容器访问标签为app=db的容器的3306端口，禁止其他所有容器访问db容器；2.配置eBPF加速，实现Service的本地负载均衡，无需经过kube-proxy；3.配置流量采集，将所有进出标签为app=payment的容器的流量镜像到安全分析容器（标签app=sec-analyzer）进行威胁检测。参考答案：1.微隔离网络策略配置```yamlapiVersion:cilium.io/v2kind:CiliumNetworkPolicymetadata:name:db-access-controlspec:endpointSelector:matchLabels:app:dbingress:fromEndpoints:matchLabels:app:webtoPorts:ports:port:"3306"protocol:TCPingressDeny:fromEntities:all```执行`kubectlapply-fdb-policy.yaml`生效。2.eBPF本地负载均衡配置```bash替换kube-proxy为CiliumeBPF实现kubectlpatchconfigmapcilium-config-nkube-system--typemerge\p'{"data":{"kubeProxyReplacement":"strict","enableServiceTopology":"true","bpf-lb-sock-hostns-only":"true"}}'重启CiliumDaemonSet生效kubectlrolloutrestartdaemonsetcilium-nkube-system```验证：执行`ciliumstatus|grep"Kube-ProxyReplacement"`，返回`strict`即配置成功。3.流量镜像配置```yamlapiVersion:cilium.io/v2kind:CiliumClusterwideNetworkPolicymetadata:name:payment-traffic-mirrorspec:endpointSelector:matchLabels:app:paymentegress:toEntities:allmirror:destination:endpointSelector:matchLabels:app:sec-analyzeringress:fromEntities:allmirror:destination:endpointSelector:matchLabels:app:sec-analyzer```执行`kubectlapply-fmirror-policy.yaml`生效，验证：在sec-analyzer容器中执行tcpdump，可捕获到payment容器的所有进出流量。四、案例分析题（共2题，每题25分，共50分）案例分析1某电商企业2026年双11活动前，运维团队发现核心交易区访问时延突增，用户下单失败率上升至1.2%。经初步排查：1.核心交易区采用Spine-Leaf架构，Leaf节点为万兆接入，Spine节点为100G互联，收敛比3:1；2.监控显示部分Leaf节点上行带宽利用率达95%，存在大量TCP重传报文；3.AIOps告警显示存在多组源IP为容器段的异常流量，持续向核心交易服务器发送大量64字节小报文，报文长度均为64字节；4.零信任系统显示部分访问核心交易的终端可信评分降至30分（满分100），属于低可信终端。问题1：分析本次故障的可能根因（10分）问题2：给出短期应急处置方案与长期优化方案（15分）参考答案：问题1根因：1.核心根因为低可信容器被攻陷后发起CC攻击：攻击者通过容器逃逸获得容器段权限，控制大量低可信容器向核心交易服务器发送64字节小报文，消耗Leaf上行带宽，导致正常业务流量拥塞、丢包重传，时延上升；2.现有零信任策略未做动态权限联动，低可信终端/容器可直接访问核心交易区，攻击流量无拦截；3.Spine-Leaf收敛比过高，3:1的收敛比无法应对突发流量，进一步加剧了带宽拥塞。问题2解决方案：短期应急处置：1.立即通过BGPFlowspec下发拦截规则，阻断源IP对应异常容器段的64字节TCP报文，同时在零信任系统中临时封禁可信评分低于60分的终端/容器的核心业务访问权限，10分钟内攻击流量即可清零；2.临时扩容Leaf节点上行链路为25G，将收敛比降至1.5:1，缓解带宽拥塞，下单失败率可降至0.1%以下；3.启用WAF的CC防护规则，对核心交易接口的单IP请求频率限制为10次/秒，拦截异常请求。长期优化方案：1.零信任策略优化：配置动态权限规则，当终端/容器可信评分低于60分时，默认拒绝访问核心业务区，评分低于40分时自动隔离；2.网络架构升级：将Leaf上行链路全部升级为25G，调整Spine-Leaf收敛比为1:1，消除带宽瓶颈；3.AIOps能力升级：新增小报文CC攻击特征库，优化异常流量检测模型，将攻击识别响应时间从当前的5分钟缩短至10秒以内；4.容器网络安全加固：部署Cilium微隔离策略，限制容器网段仅允许指定业务服务访问核心交易区，禁止容器之间的非必要通信。案例分析2某运营商2026年部署5GtoB专网，为某制造企业提供厂区内的AGV调度、工业传感器数据采集业务，要求端到端时延<2