2026年网络工程师考试下午试题及答案详解

2026年网络工程师考试下午试题及答案详解一、网络拓扑与IP地址规划（共15分）某企业园区网采用层次化结构，核心层、汇聚层、接入层各司其职。现规划使用私有网段192.168.0.0/16进行子网划分。1.（3分）若要求每个子网最多容纳500台主机，请写出子网掩码及每个子网的可用主机地址数。2.（4分）现需为三栋建筑分配子网：A栋需200台主机，B栋需60台主机，C栋需25台主机。请按VLSM方式从192.168.0.0/16中划分子网，写出各网段及掩码。3.（4分）说明私有地址与公网地址的主要区别，并列出三块RFC1918规定的私有地址范围。4.（4分）该公司内部使用上述私有地址访问互联网，简述NAT（网络地址转换）的工作过程。二、交换与VLAN配置（共20分）某公司设有行政、研发、财务三个部门，需要实现广播域隔离。核心交换机通过聚合链路与各接入交换机相连，接入交换机连接终端。1.（3分）简述VLAN在网络中的作用。2.（6分）请写出在Cisco交换机上创建VLAN10（行政）、VLAN20（研发）、VLAN30（财务），并将端口FastEthernet0/1～8划分到VLAN10的基本配置命令。Switch#configureterminal

Switch(config)#vlan10

Switch(config-vlan)#nameadmin

Switch(config-vlan)#exit

Switch(config)#vlan20

Switch(config-vlan)#namernd

Switch(config-vlan)#exit

Switch(config)#vlan30

Switch(config-vlan)#namefinance

Switch(config-vlan)#exit

Switch(config)#interfacerangefastethernet0/1-8

Switch(config-if-range)#switchportmodeaccess

Switch(config-if-range)#switchportaccessvlan10

Switch(config-if-range)#end解析：VLAN名称通常使用英文字符，此处用admin、rnd、finance分别表示行政、研发、财务。端口需先设置为access模式，再划入对应VLAN。3.（5分）写出将Cisco交换机的GigabitEthernet0/1接口配置为Trunk，并允许VLAN10、20、30通过的配置命令。Switch#configureterminal

Switch(config)#interfacegigabitethernet0/1

Switch(config-if)#switchportmodetrunk

Switch(config-if)#switchporttrunkallowedvlan10,20,30

Switch(config-if)#end4.（6分）什么是VTP？说明VTP的三种工作模式及其作用。三、OSPF路由与故障排除（共20分）某企业网络由三台路由器R1、R2、R3组成，互连网段分别为10.0.0.0/30、10.0.0.4/30，运行OSPF动态路由协议，所有网段均划分在区域0中。1.（4分）简述OSPF协议的主要特点。2.（6分）在R1上配置OSPF进程100，将直连网段192.168.1.0/24和10.0.0.0/30发布到区域0，请写出Cisco配置命令。R1#configureterminal

R1(config)#routerospf100

R1(config-router)#network192.168.1.00.0.0.255area0

R1(config-router)#network10.0.0.00.0.0.3area0

R1(config-router)#end解析：OSPFnetwork语句中需使用通配符掩码，/24对应0.0.0.255，/30对应0.0.0.3。3.（6分）某主机无法ping通远端网络，请写出至少4步分层故障排除步骤。4.（4分）列举OSPF邻居关系无法达到FULL状态的至少3种可能原因。四、网络安全与访问控制（共20分）某公司网络边界部署防火墙，内部划分为服务器区DMZ、办公区和访客区，要求严格控制访问。1.（4分）简述防火墙的主要分类及其对应的工作层级。2.（6分）在出口路由器上配置扩展ACL，实现仅允许192.168.10.0/24网段访问服务器192.168.20.5的TCP80端口，其他访问全部禁止。请写出CiscoACL及接口应用命令。Router#configureterminal

Router(config)#access-list101permittcp192.168.10.00.0.0.255host192.168.20.5eq80

Router(config)#access-list101denyipanyany

Router(config)#interfacegigabitethernet0/0

Router(config-if)#ipaccess-group101in

Router(config-if)#end解析：ACL编号101属于扩展ACL，可以匹配源/目的地址和端口。第一条允许指定网段到指定服务器的80端口流量，第二条拒绝所有IP流量。接口应用时应选择靠近源主机的入方向，以减少无效流量。3.（3分）什么是DMZ？将对外服务器部署在DMZ中有什么意义？4.（4分）简述IPSecVPN中AH和ESP两个安全协议的作用。5.（3分）若内部用户无法访问互联网，请列出至少3项需要检查的内容。参考答案与解析一、网络拓扑与IP地址规划1.答案：子网掩码为255.255.254.0（/23）；每个子网可用主机地址数为510。解析：500台主机需要主机位至少9位，因为29−2=5102.答案：A栋：192.168.0.0/24（掩码255.255.255.0）；B栋：192.168.1.0/26（掩码255.255.255.192）；C栋：192.168.1.64/27（掩码255.255.255.224）。解析：VLSM按需分配主机位数。A栋需200台，主机位8位（28−2=2543.答案：私有地址仅在内部网络使用，不可在公网路由器上直接路由，需经NAT转换才能访问互联网；公网地址是全球唯一、可直接在Internet上路由的地址。三块私有地址范围为：10.0.0.0/8、172.16.0.0/12、192.168.0.0/16。4.答案：内部主机发送报文到NAT设备时，NAT设备将源IP从私有地址转换为公网地址（或同时转换端口，即PAT），并建立映射表；转发到Internet后，对端回包时NAT设备根据映射表将目的公网地址还原为对应私有地址，再转发给内部主机。二、交换与VLAN配置1.答案：VLAN可隔离广播域，减少广播流量，提高安全性，增强网络管理的灵活性，允许按逻辑划分工作组，不受物理位置限制。4.答案：VTP（VLANTrunkingProtocol）是Cisco私有协议，用于在同一VTP域内的交换机之间同步VLAN配置信息。三种模式：服务器模式（Server）可创建、修改、删除VLAN并通告给域内其他交换机；客户端模式（Client）接收并同步VTP通告，但不能创建、修改VLAN；透明模式（Transparent）不参与VTP同步，但会转发VTP消息，可本地创建自己的VLAN。三、OSPF路由与故障排除1.答案：OSPF是一种链路状态路由协议，基于DijkstraSPF算法计算最短路径，支持区域划分、VLSM和CIDR，收敛速度快，无环路，通过LSA洪泛维护全网拓扑，支持等价负载均衡和认证。3.答案：(1)检查本机IP、掩码、网关配置是否正确；(2)检查本机到网关的连通性，如ping网关、检查ARP表；(3)检查网关路由器的路由表是否有到达目标网段的路由；(4)用traceroute/tracert逐跳定位故障点；(5)检查沿途ACL、防火墙规则是否阻断ICMP或业务流量；(6)检查目标主机或网络状态。4.答案：(1)区域号不一致；(2)hello或dead计时器不匹配；(3)接口认证配置不一致；(4)接口网络类型不一致；(5)MTU不匹配；(6)接口被配置为被动接口（passive-interface）。四、网络安全与访问控制1.答案：包过滤防火墙主要工作在网络层和传输层；状态检测防火墙工作在网络层和传输层，并维护会话状态；应用代理防火墙工作在应用层，代理应用协议通信；下一代防火墙还融合了应用识别、IPS等功能。3.答案：DMZ（非军事区）是处于内部网络和外部网络之间的一个独立区域，通常部署对外提供服务的服务器。意义：外部用户可以访问DMZ中的服务，但不能直接访问内部网络；即使DMZ服务器被攻破，也