2026年上半年网络工程师案例分析真题含答案解析

2026年上半年网络工程师案例分析真题含答案解析一、网络规划与IP地址分配（15分）1.（8分）某企业总部有市场部（120台主机）、研发部（60台主机）、财务部（30台主机）、行政部（20台主机）和服务器区（10台服务器）。内部使用私有地址/16进行规划，要求按主机数量从大到小连续分配子网，请填写下表中的网络地址、子网掩码、可用主机地址范围和广播地址。部门网络地址子网掩码可用主机地址范围广播地址市场部（1）（2）（3）（4）研发部（5）（6）（7）（8）财务部（9）（10）（11）（12）行政部（13）（14）（15）（16）服务器区（17）（18）（19）（20）2.（2分）总部核心交换机与出口路由器互联使用网段/30，请写出两端接口可配置的IP地址和子网掩码。3.（5分）若总部需要将上述内部子网通告到OSPF中，为减少路由条目，请给出最优的汇总路由及子网掩码。二、交换网络配置（15分）某公司网络包含核心交换机SwitchA与接入交换机SwitchB、SwitchC，需要配置VLAN、Trunk、RSTP与链路聚合。1.（5分）在核心交换机SwitchA上启用RSTP，将其设置为根桥，并将连接终端设备的端口设为边缘端口。请补充配置命令。[Huawei]stpmoderstp

[Huawei]stprootprimary

[Huawei]interfaceGigabitEthernet0/0/2

[Huawei-GigabitEthernet0/0/2]stpedged-portenable解析：stpmoderstp启用快速生成树协议；stprootprimary将该交换机指定为根桥；在连接终端的接口下执行stpedged-portenable可将端口设为边缘端口，使其快速进入转发状态，减少终端接入延迟。2.（5分）简述RSTP的端口角色有哪些？端口状态有哪些？其中Discarding状态相当于STP中的哪些状态？3.（5分）在两台核心交换机之间配置Eth-Trunk链路聚合，要求使用LACP模式，并允许所有VLAN通过。请写出关键配置命令。[Huawei]interfaceEth-Trunk1

[Huawei-Eth-Trunk1]modelacp

[Huawei-Eth-Trunk1]portlink-typetrunk

[Huawei-Eth-Trunk1]porttrunkallow-passvlanall

[Huawei-Eth-Trunk1]trunkportGigabitEthernet0/0/3to0/0/4解析：创建Eth-Trunk逻辑接口，模式选择LACP实现动态链路聚合；将Eth-Trunk接口配置为Trunk并允许所有VLAN通过；最后将物理成员端口加入Eth-Trunk。三、路由与NAT配置（15分）某企业内网使用/24和/24，出口路由器R1通过Serial1/0连接ISP，接口IP为/30，对端ISP路由器接口IP为/30。企业申请了公网地址池~0用于NAT。1.（4分）写出在R1上配置默认路由指向ISP的命令。[R1]iproute-static解析：默认路由用于匹配所有未知目的网络，下一跳为ISP侧接口地址，使内网访问Internet的流量能够正确转发到ISP。2.（5分）配置NAPT，使内网/24和/24用户可以访问Internet，使用地址池~0，请补充配置。[R1]nataddress-group10

[R1]aclnumber2000

[R1-acl-basic-2000]rule5permitsource55

[R1-acl-basic-2000]rule10permitsource55

[R1-acl-basic-2000]quit

[R1]interfaceSerial1/0

[R1-Serial1/0]natoutbound2000address-group1解析：先定义NAT地址池，再用基本ACL匹配允许转换的内网源地址，最后在出接口Serial1/0上应用NAT策略，实现多对一地址转换。3.（3分）若要求内网服务器0同时向外部提供Web服务（80端口），公网IP使用，写出NATServer配置。[R1]interfaceSerial1/0

[R1-Serial1/0]natserverprotocoltcpglobal80inside080解析：NATServer用于将公网IP的特定端口映射到内网服务器的相应端口，使外部用户能够通过公网地址访问内网服务。4.（3分）某内网用户报告无法访问外网，在路由器上排查时应重点检查哪些方面？四、网络服务配置（15分）某公司在Linux服务器上配置DHCP、DNS和Web服务。内网网段为/24，网关为，DNS服务器为，Web服务器为。要求DHCP分配地址范围为00~00，租期为12小时，并正确下发网关和DNS。1.（6分）写出DHCP配置文件/etc/dhcp/dhcpd.conf的关键配置内容。subnetnetmask{

range0000;

optionrouters;

optiondomain-name-servers;

default-lease-time43200;

max-lease-time43200;

}解析：subnet声明作用域；range指定可分配地址池；optionrouters和optiondomain-name-servers分别下发默认网关和DNS；default-lease-time与max-lease-time设置租约时长，单位为秒，12小时对应43200秒。2.（4分）在DNS服务器上配置正向解析，使www.example解析到，请写出区域文件的关键记录。$TTL86400

@INSOAns.example.admin.example.(

2026060701;serial

3600;refresh

1800;retry

604800;expire

86400);minimum

INNSns.example.

nsINA

wwwINA解析：区域文件以SOA记录开头，指定权威域名服务器和管理员邮箱；NS记录声明域名服务器；A记录将主机名映射到IPv4地址。序列号用于从服务器判断区域是否有更新。3.（5分）用户执行nslookupwww.example返回Non-existentdomain，但直接用IP访问Web服务正常，请分析可能原因及排查步骤。五、网络安全与故障排除（15分）某企业分支与总部通过IPsecVPN互联。总部出口路由器R1公网IP为，分支出口路由器R2公网IP为；总部内网为/24，分支内网为/24。配置IPsecVPN后发现隧道无法建立。1.（5分）IPsec隧道建立前需要确保哪些前置条件？2.（5分）在R1上查看IKE和IPsecSA状态的命令是什么？若IKESA建立正常但IPsecSA未建立，可能是什么原因？displayikesa

displayipsecsa可能原因：(1)两端感兴趣流（ACL）不匹配；(2)IPsec安全提议参数不一致；(3)安全策略未正确应用或优先级错误；(4)ACL未正确关联到IPsec策略。解析：IKESA正常说明第一阶段协商完成，但第二阶段失败通常与数据流定义或IPsec参数有关。通过对比两端配置可快速定位。3.（5分）分支机构用户反映VPN建立后可以ping通总部服务器，但无法访问总部Web服务（TCP80端口），请给出排查思路。参考答案与解析一、网络规划与IP地址分配1.答案：（1）/25；（2）28；（3）~26；（4）27；（5）28/26；（6）92；（7）29~90；（8）91；（9）92/27；（10）24；（11）93~22；（12）23；（13）24/27；（14）24；（15）25~54；（16）55；（17）/28；（18）40；（19）~4；（20）5。解析：根据主机数量确定主机位长度，满足2n−2≥主机数。市场部120台需n=7，即/25；研发部60台需n=6，即/26；财务部30台需n=5，即/27；行政部20台需2.答案：核心交换机接口/30，出口路由器接口/30；子网掩码均为52。两端地址可互换。解析：/30网段包含4个地址，其中1个网络地址、1个广播地址，剩余2个可用主机地址，适用于点对点互联链路。3.答案：汇总路由为/23，子网掩码。解析：已分配子网从/25到/28，覆盖的地址范围为~5。通过CIDR汇总，/23可覆盖~55，虽然包含部分未使用地址，但能最大程度减少路由条目。若要求精确匹配不包含未用地址，则需通告/24与/28两条路由。二、交换网络配置2.答案：RSTP端口角色：根端口（RootPort）、指定端口（DesignatedPort）、替代端口（AlternatePort）、备份端口（BackupPort）、禁用端口（DisabledPort）。RSTP端口状态：Discarding、Learning、Forwarding。Discarding状态相当于STP中的Blocking和Listening状态。解析：RSTP在STP基础上进行了精简与改进，将Blocking、Listening和Disabled合并为Discarding，减少了端口收敛过程，同时增加了AlternatePort和BackupPort等快速切换角色。三、路由与NAT配置4.答案：应重点检查：(1)内网主机网关配置是否正确；(2)ACL规则是否错误阻止了内网地址；(3)NAT地址池是否已耗尽；(4)默认路由下一跳是否可达；(5)外网链路及ISP侧连通性；(6)路由器接口状态和NAT会话表项。解析：网络故障排查通常从终端配置、设备策略、链路状态、地址资源等层次逐级定位，NAT地址池耗尽和ACL过滤是常见原因。四、网络服务配置3.答案：可能原因：(1)DNS服务器未加载该正向区域；(2)区域文件存在语法错误；(3)named.conf中未正确声明区域；(4)客户端配置的DNS服务器地址错误；(5)DNS服务未监听或防火墙阻断53端口。排查步骤：(1)确认客户端DNS设置为；(2)在服务器上执行systemctlstatusnamed或systemctlstatusbind9检查服务状态；(3)使用named-checkconf检查主配置文件；(4)使用named-checkzoneexample/var/named/example.zone检查区域文件；(5)检查/etc/named.conf中是否包含zone"example"配置；(6)使用dig@www.example直接查询测试。解析：Non-existentdomain表明DNS服务器返回了NXDOMAIN，而不是解析到错误IP，通常与区域加载失败有关。按层级检查服务状态、配置文件和区域数据可定位问题。五、网络安全与故障排除1.答案：(1)两端公网接口之间路由可达；(2)IKE策略参数一致，包括认证方式、加密算法、DH组、哈希算法；(3)预共享密钥一致；(4)两端保护的数据流（ACL）互为镜像匹配；(5)IPsec安全协议及加密、认证算法一致；(6)两端安全策略已正确应用到接口。解析：IPsecVPN建立分两阶段，第一阶段IKE协商要求公网连通和IKE参数一致，第二阶段IPsec协商要求保护数据流和IPsec参数一致。任何参数不匹配都会导致隧道建立失败。2.答案：查看