2026年上半年网络工程师下午模拟试题及答案解析

2026年上半年网络工程师下午模拟试题及答案解析一、网络规划与设计题（20分）某中型制造企业拟新建园区网络，覆盖办公区（约300台终端）、生产区（约200台终端）、内部服务区（约50台服务器）、DMZ区（约20台对外服务器）。网络采用三层架构设计，同时部署Wi-Fi7无线覆盖。企业申请到公网IPv4地址段/24，内网私网地址段为/8。1.请从网络功能角度，分别简述三层架构中核心层、汇聚层、接入层的典型职责，每层至少列出3项。（6分）•核心层：高速数据转发、冗余备份、路由表维护、广域网互联（答出3项即可）•汇聚层：路由聚合、VLAN间路由、访问控制、流量收敛、负载均衡（答出3项即可）•接入层：终端接入、VLAN划分、端口安全、PoE供电、用户认证（答出3项即可）解析：三层架构是园区网的经典设计模型，核心层专注于高速转发与可靠性，汇聚层负责策略控制与流量聚合，接入层负责终端接入与边缘安全，每层职责清晰，便于扩展与运维。2.请结合内网各区域终端数量，用/8段为各区域规划IP子网，要求尽可能节省地址空间，给出每个区域的网络地址、子网掩码、可用主机数。（8分）区域网络地址子网掩码可用主机数办公区/23510生产区/24254服务区/269262DMZ区4/272430（答案不唯一，合理即可）解析：子网规划需根据终端数量计算最小主机位，可用主机数公式为2n−2（n为主机位位数，减2是减去网络地址和广播地址）。-办公区300台终端：需至少9位主机位（29−2=3.该企业计划采用Wi-Fi7标准部署无线网络，相比Wi-Fi6标准，Wi-Fi7有哪些核心技术提升？请列出4项。（6分）答案：Wi-Fi7的核心技术提升包括（答出4项即可）：1.支持最大320MHz信道带宽，单链路传输速率翻倍2.采用4KQAM调制技术，频谱效率提升约20%3.多链路聚合（MLO）技术，可同时利用多个频段传输数据，降低时延4.多RU资源调度，提升密集场景下的多用户接入效率5.增强型目标唤醒时间（eTWT），进一步降低终端功耗6.协同多输入多输出（CMIMO），提升多设备并发性能解析：Wi-Fi7即IEEE802.11be标准，相比Wi-Fi6（802.11ax）在带宽、调制方式、多链路传输等方面有显著提升，可满足8K视频、云办公、工业物联网等高带宽、低时延场景的需求。二、路由与交换配置题（15分）某企业办公网络采用双核心双链路架构，接入层交换机通过千兆链路双上行到两台核心交换机，网络运行MSTP协议实现二层环路避免与负载分担，三层运行OSPF单区域协议实现路由互通，设备采用华为VRP系统。1.请补全接入交换机SW1上将GigabitEthernet0/0/1端口配置为接入端口并加入VLAN10的命令。（5分）<SW1>system-view

[SW1]vlan10

[SW1-vlan10]quit

[SW1]interfaceGigabitEthernet0/0/1

[SW1-GigabitEthernet0/0/1]portlink-typeaccess

[SW1-GigabitEthernet0/0/1]portdefaultvlan10（命令顺序正确即可，接口可简写为Gi0/0/1）解析：华为VRP系统中，配置接入端口加入VLAN需先创建VLAN，再进入接口视图，配置端口模式为access，最后指定端口所属VLAN。若端口已配置为trunk或hybrid模式，需先切换为access模式。2.请简述MSTP协议相比STP、RSTP协议的主要优势。（4分）答案：MSTP相比STP、RSTP的主要优势有：1.继承RSTP的快速收敛特性，解决了STP收敛速度慢的问题2.引入多生成树实例，可将多个VLAN映射到不同的生成树，实现链路负载分担，解决了RSTP所有VLAN共享一棵生成树、带宽利用率低的问题3.每个生成树实例独立运行，故障隔离性好4.兼容STP和RSTP协议，可与不同厂商设备互通（答出3项即可得满分）解析：STP仅支持单生成树，收敛时间长达30-50秒；RSTP将收敛时间缩短到秒级，但仍只有一棵生成树，所有VLAN共享同一条链路，无法实现负载均衡；MSTP通过实例与VLAN的映射，兼顾了收敛速度和带宽利用率，是当前园区网二层环路防护的主流协议。3.核心路由器R1的RouterID为，需要将直连网段/24、/24宣告进OSPF1的骨干区域，请补全相关配置命令。（6分）[R1]ospf1router-id

[R1-ospf-1]area0

[R1-ospf-1-area-]network55

[R1-ospf-1-area-]network55解析：华为VRP中配置OSPF需先开启OSPF进程并指定RouterID（RouterID建议手动配置，避免自动选举的不稳定），再进入区域视图，使用network命令宣告网段。network命令后需跟反掩码（通配符掩码），即子网掩码的反码，0表示匹配该位，1表示不匹配。三、网络服务器配置题（15分）某企业采用CentOS7操作系统部署业务服务器，提供DNS解析、Web访问与FTP文件传输服务，服务端软件分别为BIND9、Apache2.4、vsftpd。1.请写出BIND服务的主配置文件完整路径，以及正向/反向解析区域文件的默认存放目录。（3分）•主配置文件完整路径：/etc/named.conf•区域文件默认存放目录：/var/named/解析：BIND是Linux系统中最常用的DNS服务软件，主配置文件named.conf定义了全局参数和区域引用，正向解析区域文件用于存储域名到IP的映射，反向解析区域文件用于存储IP到域名的映射，默认均存放在/var/named/目录下。2.需在Apache上配置基于域名的虚拟主机，域名为www.example，网站根目录为/var/www/example，默认首页为index.html，且允许所有用户访问。请写出核心配置段内容。（6分）答案：核心配置段如下：<VirtualHost*:80>

ServerNamewww.example

DocumentRoot/var/www/example

DirectoryIndexindex.html

<Directory/var/www/example>

OptionsIndexesFollowSymLinks

AllowOverrideNone

Requireallgranted

</Directory>

</VirtualHost>解析：基于域名的虚拟主机通过HTTP请求中的Host字段区分不同网站，是最常用的虚拟主机类型。其中ServerName指定虚拟主机的域名，DocumentRoot指定网站根目录，<Directory>段配置目录的访问权限，Requireallgranted表示允许所有用户访问，是Apache2.4版本的授权语法（2.2版本使用Allowfromall）。3.为保障FTP服务安全，需禁止匿名用户登录，且限制所有本地用户只能访问自身家目录。请写出需要修改的vsftpd配置项及对应值。（6分）答案：1.禁止匿名用户登录：anonymous_enable=NO2.限制本地用户只能访问自身家目录：chroot_local_user=YES（注：部分版本需额外配置allow_writeable_chroot=YES避免用户登录时报错，答出核心两项即可得分）解析：vsftpd是轻量级、高安全性的FTP服务软件，anonymous_enable控制匿名用户的访问权限，默认值为YES；chroot_local_user控制是否将本地用户禁锢在自己的家目录中，默认值为NO，开启后可防止用户越权访问服务器其他目录，提升FTP服务的安全性。四、网络安全技术题（15分）某企业在网络边界部署下一代防火墙，外网接口为GigabitEthernet1/0/1（Untrust区域），内网接口为GigabitEthernet1/0/2（Trust区域），DMZ区接口为GigabitEthernet1/0/3（DMZ区域），DMZ区部署有Web服务器（IP地址0），对外提供HTTP和HTTPS服务。1.需配置高级ACL（编号3000）允许外网用户访问DMZ区Web服务器的80、443端口，并将ACL应用到外网接口的入方向。请补全华为防火墙的配置命令。（6分）[FW]acl3000

[FW-acl-adv-3000]rulepermittcpdestination00destination-porteq80

[FW-acl-adv-3000]rulepermittcpdestination00destination-porteq443

[FW-acl-adv-3000]ruledenyip

[FW-acl-adv-3000]quit

[FW]interfaceGigabitEthernet1/0/1

[FW-GigabitEthernet1/0/1]traffic-filterinboundacl3000解析：高级ACL（编号3000-3999）可基于源/目的IP、源/目的端口、协议类型等五元组信息过滤流量，是边界防火墙最常用的访问控制手段。本题中需允许外网访问DMZ服务器的80和443端口，因此配置两条permit规则放行对应流量，最后加一条denyip规则拒绝所有其他流量，再将ACL应用到外网接口的入方向，实现对进入网络流量的过滤。2.企业分支机构拟通过IPsecVPN与总部互联，请简述IPsec协议簇中AH协议与ESP协议的核心区别，至少列出3点。（5分）答案：AH与ESP的核心区别包括（答出3项即可）：1.功能不同：AH仅提供数据源认证、数据完整性校验和抗重放攻击，不提供数据加密；ESP同时提供数据加密、源认证、完整性校验和抗重放攻击。2.协议号不同：AH的IP协议号为51，ESP的IP协议号为50。3.NAT穿越支持不同：AH会校验整个IP首部，NAT修改IP地址会导致校验失败，因此无法穿越NAT设备；ESP仅校验ESP首部和数据载荷，可通过NAT-T技术实现NAT穿越。4.保护范围不同：传输模式下，AH保护整个IP首部和传输层数据，ESP仅保护传输层及以上数据；隧道模式下两者均保护整个原始IP报文。解析：AH（AuthenticationHeader，认证头）和ESP（EncapsulatingSecurityPayload，封装安全载荷）是IPsec的两个核心协议，实际组网中通常使用ESP协议，兼顾数据保密性和兼容性；对安全性要求极高、不需要NAT穿越的场景可单独使用AH，或同时使用AH和ESP。3.该企业计划升级安全架构为零信任模型，相比传统基于边界的安全模型，零信任的核心原则有哪些？请列出3项。（4分）答案：零信任的核心原则包括（答出3项即可）：1.永不信任，始终验证：不对任何用户、设备、流量默认信任，所有访问请求都需要经过严格的身份认证和授权校验。2.最小权限原则：仅授予用户完成当前工作所需的最小权限，减少权限滥用和横向移动的风险。3.假设breach：默认网络已经被攻破，持续进行威胁检测和响应，而非仅依赖边界防护阻止攻击。4.持续验证，动态授权：基于用户身份、设备安全状态、访问上下文等因素动态调整访问权限，而非一次授权永久有效。解析：传统边界安全模型假设内网用户都是可信的，通过防火墙等边界设备阻止外网攻击，但无法防范内网威胁和越权访问；零信任模型打破了内外网边界，以身份为中心，对所有访问进行持续验证，适应当前云化、移动化、远程办公普及的新场景。五、网络运维与新技术题（10分）某企业采用SD-WAN技术实现总部与10个分支机构的组网，同时全网支持IPv4/IPv6双栈。运维人员在日常巡检中发现部分终端存在网络访问故障。1.相比传统MPLSVPN组网，SD-WAN组网的主要优势有哪些？请列出4项。（4分）答案：SD-WAN相比传统MPLSVPN的优势包括（答出4项即可）：1.组网成本低：可使用互联网、4G/5G等廉价链路替代昂贵的MPLS专线，显著降低广域网带宽成本。2.智能选路：可根据应用类型、链路时延、丢包率等指标动态选择最优传输路径，提升关键业务的访问体验。3.集中管控：通过控制器统一管理所有分支设备，配置批量下发、故障远程排查，降低运维成本和难度。4.快速部署：分支设备支持零配置上线，无需专业技术人员到场，大幅缩短分支组网周期。5.云接入优化：可直接就近接入云服务，无需将流量回传总部，提升云应用的访问速度。6.应用级QoS：可深度识别数百种应用，提供差异化的带宽保障和优先级调度。解析：SD-WAN（软件定义广域网）是SDN技术在广域网场景的应用，解决了传统MPLSVPN成本高、部署慢、运维复杂、云接入体验差等问题，是当前企业广域网组网的主流技术方向。2.某服务器的IPv6地址为2409:8a10:1234:00ab:0000:0000:0cde:0001，请写出其