2026年软考网络工程师实务与试题及答案

2026年软考网络工程师实务与试题及答案一、案例分析题（每题15分，共75分）1.某公司总部有研发部、行政部、财务部3个部门，现申请到地址块/24。要求每个部门独立子网，每个子网最多容纳30台主机，并预留1个管理子网（管理子网主机数不超过14台）。管理子网不参与路由汇总计算。（1）请为3个部门及管理子网划分子网，写出每个子网的子网地址、子网掩码、可用IP地址范围。（9分）（2）将3个部门的子网地址进行路由汇总，写出汇总地址及子网掩码。（3分）（3）请指出在该网络规划中存在的两个安全隐患，并提出对应的改进措施。（3分）答案：（1）主机数30，需要2n−2≥30，得n从/24地址块开始划分：-研发部：子网地址/27，可用范围-0-行政部：子网地址2/27，可用范围3-2-财务部：子网地址4/27，可用范围5-4-管理子网：子网地址6/28，可用范围7-10（2）三个部门子网地址分别为/27、2/27、4/27。三个网段第三字节前1位均为0，可合并为/25，子网掩码28。该汇总覆盖-27，包含部分未分配地址，但由于管理子网6/28有更精确路由，最长前缀匹配优先，不会产生冲突。汇总地址：/25，子网掩码28。（3）安全隐患与改进措施（任答两个）：-三个部门间无访问控制，财务部数据可能被其他部门随意访问。改进：在汇聚层交换机或路由器上配置ACL，按部门划分VLAN，实施VLAN间访问控制。-无冗余设备与链路，单点故障风险高。改进：核心设备采用双机热备，关键链路使用链路聚合或冗余连接。-管理子网与业务子网未隔离。改进：将管理子网单独划分VLAN，限制设备管理接口仅允许管理子网访问。解析：子网划分依据主机位计算：当需要30台主机时，2n−2≥30，n2.某企业核心交换机采用三层交换机实现VLAN间路由，接入交换机Access端口连接终端，Trunk口上行至核心。网络管理员需完成VLAN10（研发）、VLAN20（行政）、VLAN30（财务）的配置。（1）写出在核心交换机上创建VLAN10、VLAN20、VLAN30并命名（Name分别为RD、XZ、CW）的配置命令。（4分）（2）写出将接入交换机端口FastEthernet0/1加入VLAN10，并将接口FastEthernet0/24配置为Trunk的命令。（6分）（3）写出在核心交换机上启用RSTP，并将连接终端的端口配置为边缘端口的命令。（5分）答案：（1）核心交换机创建VLAN命令（以CiscoIOS为例）：Switch>enable

Switch#configureterminal

Switch(config)#vlan10

Switch(config-vlan)#nameRD

Switch(config-vlan)#exit

Switch(config)#vlan20

Switch(config-vlan)#nameXZ

Switch(config-vlan)#exit

Switch(config)#vlan30

Switch(config-vlan)#nameCW

Switch(config-vlan)#end（2）接入交换机Access与Trunk配置：Switch#configureterminal

Switch(config)#interfaceFastEthernet0/1

Switch(config-if)#switchportmodeaccess

Switch(config-if)#switchportaccessvlan10

Switch(config-if)#exit

Switch(config)#interfaceFastEthernet0/24

Switch(config-if)#switchportmodetrunk

Switch(config-if)#switchporttrunkallowedvlan10,20,30

Switch(config-if)#end（3）核心交换机启用RSTP并配置边缘端口：Switch#configureterminal

Switch(config)#spanning-treemoderapid-pvst

Switch(config)#interfacerangeFastEthernet0/1-24

Switch(config-if-range)#spanning-treeportfast

Switch(config-if-range)#spanning-treebpduguardenable

Switch(config-if-range)#end解析：VLAN配置是交换技术基础。Access端口用于连接终端设备，必须指定所属VLAN；Trunk端口用于交换机间互联，承载多个VLAN流量，需允许相应VLAN通过。RSTP使用rapid-pvst模式。边缘端口（PortFast）可让终端接入快速进入转发状态，同时配合BPDUGuard防止非法交换机接入，提高网络收敛速度和安全性。3.某公司内网使用私有地址/24，通过路由器R1连接ISP。R1的局域网接口FastEthernet0/0地址为54/24，广域网接口Serial0/0/0地址为/30，对端ISP地址为/30。公司内网运行OSPF进程1，区域0。（1）写出在R1上启用OSPF进程1并通告内网网段和广域网接口的命令。（4分）（2）写出在R1上配置动态PAT（NAPT），使内网全部主机可以通过Serial0/0/0访问Internet的命令。（5分）（3）写出在R1上配置默认路由指向ISP，并将其重分发到OSPF的命令。（3分）（4）写出查看NAT转换表及查看OSPF邻居表的命令。（3分）答案：（1）OSPF配置：R1(config)#routerospf1

R1(config-router)#network55area0

R1(config-router)#networkarea0

R1(config-router)#end（2）动态PAT（NAPT）配置：R1(config)#interfaceFastEthernet0/0

R1(config-if)#ipnatinside

R1(config-if)#exit

R1(config)#interfaceSerial0/0/0

R1(config-if)#ipnatoutside

R1(config-if)#exit

R1(config)#access-list1permit55

R1(config)#ipnatinsidesourcelist1interfaceSerial0/0/0overload

R1(config)#end（3）默认路由与重分发：R1(config)#iprouteSerial0/0/0

R1(config)#routerospf1

R1(config-router)#default-informationoriginate

R1(config-router)#end（4）查看命令：-查看NAT转换表：showipnattranslations-查看OSPF邻居表：showipospfneighbor解析：OSPF使用通配符掩码通告网段，network命令中55表示通告/24。NAPT通过overload实现多对一地址转换，内网所有主机共享Serial0/0/0的公网地址。默认路由静态配置需指定出接口和下一跳，default-informationoriginate将默认路由注入OSPF，使内网其他路由器获知出口路径。4.某企业总部网络为/24，DMZ区有一台Web服务器/24。总部需与分支机构建立IPsecVPN隧道，同时需要在边界路由器上配置ACL控制访问。（1）写出扩展ACL，允许总部网络/24的用户访问Web服务器的HTTP（TCP80），并拒绝其它所有流量。（5分）（2）配置IPsecVPN时，需要协商哪些主要参数？请列出至少5项，并简要说明作用。（5分）（3）简述状态检测防火墙与包过滤防火墙的区别。（5分）答案：（1）扩展ACL配置（以CiscoIOS为例）：Router(config)#access-list100permittcp55hosteq80

Router(config)#access-list100denyipanyany

Router(config)#interfaceFastEthernet0/0

Router(config-if)#ipaccess-group100in

Router(config-if)#end（2）IPsecVPN主要协商参数（任答5项）：-IKE版本：如IKEv1或IKEv2，决定密钥交换协议。-预共享密钥或证书：用于双方身份认证。-加密算法：如AES、3DES，保护数据机密性。-完整性算法：如SHA2-256、MD5，验证数据完整性。-Diffie-Hellman组：如Group14、Group19，用于密钥交换。-SA生存周期：决定安全联盟的有效时间或流量。-本端与对端标识：IP地址或FQDN。（3）状态检测防火墙与包过滤防火墙的区别：-包过滤防火墙仅检查单个数据包的源/目的IP、端口、协议等头部信息，按静态规则决定转发或丢弃，不关心会话状态。优点是速度快，但安全性较低，无法有效处理动态端口协议。-状态检测防火墙在包过滤基础上建立并维护连接状态表，能跟踪TCP三次握手、动态协商端口等信息，允许返回流量基于已建立连接自动放行。安全性更高，但实现复杂、资源消耗较大。解析：ACL规则按顺序匹配，将允许规则放在前面，拒绝规则置后，通常最后隐含denyanyany。IPsecVPN参数协商围绕加密、认证、密钥交换三方面展开。防火墙对比重点在于会话状态跟踪能力，状态检测能识别流量是否属于合法会话，从而提升安全性。5.某公司用户主机PC1（IP0/24，网关）可以访问公司内部服务器（0），但无法访问Internet。网络管理员需要排障。（1）请写出至少4步合理的排障步骤，并说明使用的命令或方法。（8分）（2）若在路由器上ping显示成功，但PC1仍无法访问Internet，请分析可能的原因。（4分）（3）若PC1可以ping通公网IP，但无法通过域名访问网站，可能的原因是什么？（3分）答案：（1）排障步骤（按顺序，任选4步）：-检查PC1网络配置：执行ipconfig/all，确认IP地址、子网掩码、默认网关、DNS服务器配置是否正确。-检查到网关的连通性：执行ping，验证PC1与网关之间的链路及VLAN是否正常。-检查网关到Internet的连通性：在路由器上执行ping，验证默认路由和公网链路是否正常。-检查DNS解析：在PC1上执行nslookupwww.qq，验证DNS服务器是否可达、解析是否正常。-检查NAT配置：在路由器上执行showipnattranslations，确认内网地址转换是否生效。-检查ACL及路由表：执行showaccess-lists、showiproute，排查是否存在错误过滤规则或缺省路由。（2）路由器能ping通公网IP，但PC1无法访问Internet的可能原因：-路由器未配置NAT或NAT匹配列表错误，内网私有地址无法被转换。-路由器上ACL阻止了内网网段出站流量。-PC1的默认网关配置错误，或二层链路虽通但三层被拦