2026年网络规划设计师历年案例真题及答案

2026年网络规划设计师历年案例真题及答案一、网络规划与需求分析（共20分）阅读以下说明，回答问题1至问题3。某大型制造企业计划建设新总部园区网络，地上10层、地下2层，员工约3000人，高峰期并发在线约2400人。业务系统包括ERP、CRM、高清视频会议（1080p，每路约4Mbps）、IP语音（每路约100kbps）以及普通办公上网。网络设计需支持核心冗余、关键业务链路冗余和IPv6，未来5年用户量预计增长30%。1.计算园区互联网出口总带宽需求，写出估算过程。（6分）假设普通办公每用户平均带宽为1Mbps，业务系统叠加流量为800Mbps，冗余系数取1.2。答案：B=(2400解析：出口带宽先按并发用户数与单用户平均带宽计算基础流量，叠加视频会议、ERP等业务系统流量后，乘以冗余系数以应对突发流量，最后按用户增长比例预留扩容空间。实际申请带宽可取整为5Gbps，避免频繁升级。2.说明核心层交换机冗余设计应考虑哪些方面。（8分）答案：(1)引擎冗余：采用双主控，主备切换；(2)电源与风扇冗余：双电源、多风扇模块；(3)设备级冗余：通过堆叠、虚拟集群（如VSS、IRF）实现双机热备；(4)链路冗余：跨设备链路聚合（MLAG/M-LAG）或生成树多路径，避免单点链路故障；(5)路由冗余：运行VRRP/HSRP或动态路由协议（OSPF/IS-IS）提供快速收敛和等价多路径；(6)关键业务板卡冗余：重要的接口板卡采用N+1或1+1冗余。解析：核心层是全网转发中心，冗余设计需涵盖设备、链路、控制平面和数据平面，任何单一故障都不能导致业务中断。堆叠/虚拟集群可简化管理，同时提高链路利用率；动态路由协议与网关冗余协议结合共同保证三层冗余。3.针对视频会议和语音业务，简述应采用哪些QoS策略保障业务质量。（6分）答案：(1)分类与标记：根据DSCP值区分语音、视频、数据流量；(2)队列调度：语音放入严格优先级队列（PQ/LLQ），视频使用保证带宽队列（CBWFQ）；(3)带宽保证：为语音预留固定带宽，视频分配最低保证带宽并允许突发；(4)拥塞避免：对视频流量启用WRED，避免尾部丢弃导致抖动；(5)接入限速：在接入交换机对普通数据限速，防止其挤占语音视频带宽；(6)策略联动：结合802.1p和IPDSCP，实现端到端QoS。解析：语音对时延、抖动、丢包高度敏感，需绝对优先队列；视频需要高带宽和低丢包率。通过分类标记和分级队列，保证关键业务在拥塞时优先转发。二、网络设计与设备选型（共20分）阅读以下说明，回答问题1至问题3。某企业总部下辖20个分支机构，需建设广域网互联。总部核心采用三层网络架构，分支通过MSTP专线和InternetVPN双链路接入，关键业务优先走专线，VPN作为备份。核心交换机需支持48个10GE接口，交换容量不低于2.56Tbps，包转发率不低于1440Mpps。1.在总部与分支之间应选择OSPF还是BGP作为路由协议？简述理由。（6分）答案：可选用OSPF多区域或BGP。若企业全网自主管理且网络拓扑较简单，推荐OSPF，划分Area0为总部核心，各分支区域为普通区域，收敛快、配置简单。若分支机构多、路由策略复杂，或需要与运营商VPN网络对接并传递大量路由，可采用BGP（iBGP内部交换，eBGP与运营商对接），通过路由属性和策略控制实现路径优选。解析：OSPF是链路状态协议，适合企业内网络，分层设计有利于路由汇总；BGP是路径矢量协议，适合大规模、多出口、强策略环境。本案例中关键业务需优先走专线，BGP可结合本地优先级、MED等属性灵活控制主备路径，但配置和维护更复杂。2.若要求分支通过双链路实现主备切换，专线故障时自动切换至VPN，请设计故障检测与切换机制。（8分）答案：(1)部署BFD（双向转发检测）与OSPF/BGP联动，实现毫秒级链路故障检测；(2)使用IPSLA（或NQA）持续探测专线，当专线不可达时自动切换；(3)配置静态路由或策略路由，主用专线链路admindistance小，备份VPN链路admindistance大，或通过策略路由指定下一跳；(4)若运行BGP，可通过AS-path、local-preference等属性控制主备路径，专线故障后自动选路至VPN；(5)在边界设备上配置双向NAT和隧道保活，切换后保证VPN隧道快速建立。解析：主备切换的关键是故障检测速度快、路由收敛及时。BFD提供毫秒级检测，IPSLA可持续监测链路质量，结合路由协议优先级实现自动切换，无需人工干预。3.根据核心交换机参数，计算每10GE端口的平均交换容量和包转发率是否满足线速要求，并说明选型依据。（6分）答案：10GE端口线速包转发率P=10×109解析：包转发率按最小以太网帧长（64字节）加上前导码和帧间隙计算最严苛条件。交换容量计算公式为端口数×速率×2（全双工）。选型时需保留至少20%余量以应对突发流量和未来扩展。三、网络安全设计（共20分）阅读以下说明，回答问题1至问题3。某政务云平台按照等级保护2.0三级要求进行网络安全设计，划分安全域：互联网接入域、核心交换域、服务器域、运维管理域。需部署防火墙、入侵检测系统、日志审计系统等安全设备，实现访问控制、入侵防范和安全审计。1.请给出各安全域之间的访问控制策略（至少4条）并说明理由。（8分）答案：(1)互联网接入域仅允许访问服务器域中指定的Web服务器（HTTP/HTTPS），禁止直接访问数据库及核心交换域管理地址；(2)运维管理域仅允许通过堡垒机访问服务器域和核心交换域，禁止运维终端直连服务器；(3)服务器域内部按业务系统划分VLAN/子网，数据库服务器仅允许应用服务器访问，禁止跨业务直接互访；(4)核心交换域禁止接收来自互联网接入域的管理协议（如SSH/Telnet/SNMP），管理流量仅允许来自运维管理域；(5)各安全域之间的默认策略为“拒绝所有”，仅放行明确允许的访问，遵循最小权限原则。解析：安全域划分目的是隔离不同信任级别区域，缩小攻击面。访问控制策略应基于业务需求最小化开放端口和源地址，防御横向移动。运维管理域通过堡垒机集中审计，避免直接暴露服务器端口。2.解释NAT技术和反向代理在安全防护中的作用。（6分）答案：NAT将内部私有地址映射为外部公有地址，隐藏内部网络结构，同时可节省公网地址；外部用户无法直接获知内部服务器真实地址，降低攻击风险。反向代理位于服务器前端，接收外部请求并转发给内部服务器，可隐藏真实服务器地址，过滤恶意请求、进行SSL卸载、负载均衡、缓存静态内容，还能在应用层检测SQL注入、XSS等攻击。解析：NAT主要提供网络层地址隐藏，反向代理工作在应用层，提供应用层安全防护和性能优化。两者结合可实现纵深防御。3.安全审计应记录哪些主要信息？如何保证日志的不可抵赖性？（6分）答案：审计记录应包含时间戳、源/目的IP地址、源/目的端口、用户身份、操作类型、操作结果、会话标识等。保证不可抵赖性措施：(1)日志集中采集并实时备份至独立存储；(2)对日志文件做哈希校验和数字签名，防止篡改；(3)使用时间戳服务/时间同步（NTP）确保时间可信；(4)设置严格的日志访问权限，仅审计管理员可查看；(5)采用WORM（一次写入多次读取）存储介质或专用日志归档系统。解析：等保2.0三级要求对重要用户行为、安全事件进行审计，日志需完整、可追溯。哈希和数字签名可验证日志未被修改，时间同步保证时间一致性，访问控制防止内部篡改。四、网络存储与虚拟化（共20分）阅读以下说明，回答问题1至问题3。某单位建设虚拟化服务器集群，需要部署共享存储。现有FCSAN和iSCSISAN两种方案。服务器共20台，运行数据库和虚拟桌面，要求存储高可用、低延迟。1.比较FCSAN与iSCSISAN的优缺点，并给出选型建议。（8分）答案：FCSAN优点是性能高、延迟低、可靠性强、专用存储网络流量隔离好；缺点是成本高、需专用HBA和交换机、管理复杂。iSCSISAN优点是基于标准以太网、成本低、部署简单、易扩展；缺点是性能受网络拥塞影响、延迟较高、依赖TCP/IP协议开销。选型建议：数据库等对IOPS和延迟要求高的业务采用FCSAN；虚拟桌面等普通业务可采用iSCSISAN或混合方案，核心存储网络使用万兆以太网，配置独立VLAN和交换机。解析：FCSAN采用光纤通道协议，带宽通常16/32Gbps，适合关键应用；iSCSI利用现有IP网络，成本较低，但性能受限于网络。实际可结合预算和性能要求分层部署。2.为保证存储链路高可用，应如何设计存储网络拓扑？（6分）答案：(1)双SAN交换机：两台FC或以太网交换机互连，避免单点故障；(2)主机双HBA：每台服务器配置两块HBA或网卡，分别连接两台交换机；(3)存储双控制器：存储阵列配置双控制器，分别连接两台交换机；(4)启用多路径软件（MPIO），实现链路负载均衡和故障切换；(5)链路聚合：IPSAN中采用LACP聚合多个网口提供冗余和带宽；(6)避免交叉连接错误，保证任意一条链路或一台交换机故障时仍可访问存储。解析：高可用存储网络要求从主机到存储的每一层都有冗余，多路径软件负责路径管理和自动切换，避免因单点故障导致存储中断。3.在虚拟化环境中，如何实现虚拟机流量的隔离和网络策略？（6分）答案：(1)使用VLAN或VXLAN在二层隔离不同业务虚拟机的流量；(2)部署分布式虚拟交换机（如vDS），统一管理端口组和安全策略；(3)配置安全组或者微分段策略，限制虚拟机之间东西向流量；(4)对关键业务虚拟机启用流量整形和限速，避免资源争抢；(5)使用PVLAN隔离同一VLAN内虚拟机，减少广播和横向攻击面。解析：虚拟化环境的网络隔离需要在虚拟层和物理层配合实现。VXLAN适合大规模跨主机隔离；分布式交换机提供集中策略；微分段基于虚拟机粒度实现更精细的安全控制。五、网络性能优化与故障排除（共20分）阅读以下说明，回答问题1至问题3。某企业用户反映分支机构访问总部ERP系统响应缓慢，远程桌面频繁掉线。网络管理员检查发现总部与分支之间使用MPLSVPN互联，链路带宽50Mbps，ping测试延迟40ms，但传输大文件时吞吐量只有10Mbps，且存在少量丢包。1.分析可能造成吞吐量低的原因（至少4个）。（8分）答案：(1)链路拥塞或实际可用带宽不足；(2)MTU不匹配导致路由器分片，增加开销并降低效率；(3)TCP窗口大小未调整，高延迟链路吞吐量受带宽时延积限制；(4)链路质量差，存在丢包导致TCP频繁重传；(5)设备性能瓶颈或QoS策略限制，如队列带宽分配过小；(6)运营商网络保障级别不足，MPLS队列拥塞。解析：高延迟链路中，TCP吞吐量受带宽时延积BDP=2.说明如何通过调整MTU和TCP参数优化性能。（6分）答案：MTU调整：使用ping-f-l或tracepath检测路径最大MTU，将端到端MTU设置为路径最小值；在路由器接口配置iptcpadjust-mss，使TCPMSS自动适配，避免分片。TCP参数优化：开启TCP窗口缩放（RFC1323），增大发送和接收缓冲区，设置tcp_window_scaling、tcp_rmem、tcp_wmem；启用选择确认（SACK）快速恢复丢包；适当增大初始拥塞窗口。解析：减少分片可降低路由器和终端的CPU开销，减少丢包和重传。增加TCP窗口大小使发送方可连续发送更多数据，适配高延迟链路，提升吞吐量。3.给出故障排查步骤和使用的命令/工具。（6分）答案：(1)使用ping、traceroute检查连通性和路径节点，确认延迟和丢包位置；(2)使用pathping或mtr持续监测路径各跳丢包率，定位是本地、广域网还是对端问题；(3)使用iperf或iperf3测试链路