2026年网络工程师考试下午试题及答案详解

2026年网络工程师考试下午试题及答案详解一、试题一（15分）某中型制造企业新建园区网络，包含行政楼、研发楼、生产楼3栋建筑，企业申请到的公网IPv4地址段为/24，内网规划使用/8私有地址段。网络拓扑为核心层-汇聚层-接入层三层结构，每栋楼设置1台汇聚交换机，核心层部署2台核心交换机做冗余。请回答以下问题：1.（3分）若生产楼有1200台终端，研发楼有800台终端，行政楼有300台终端，采用VLSM对/16进行子网划分，为每栋楼分配一个满足终端数量需求的最小子网，请写出每个子网的网络地址、子网掩码（点分十进制格式）和可用主机数。2.（4分）核心交换机与3台汇聚交换机之间的互联链路采用/30子网，从/24中划分，请写出第1条到第3条互联链路的子网地址（按顺序分配）。若核心层两台核心交换机之间也需要1条互联链路，该链路的子网地址为多少？3.（4分）企业需要将内网服务器区（/24）、办公区（/22）、生产区（/21）三个网段的路由汇总后发布到公网出口，请写出汇总后的网络地址和前缀长度，并说明路由汇总的两个主要优点。4.（4分）企业计划同时部署IPv6网络，申请到的IPv6前缀为2408:8000:1234::/48，若为每栋楼分配一个/64的子网前缀，共可分配多少个这样的子网？若生产楼需要为每个车间单独划分子网，每个车间分配/72的前缀，该楼最多可划分多少个车间子网？二、试题二（15分）某企业交换网络采用双核心架构：2台核心交换机（SW1、SW2）通过千兆链路互联，3台接入交换机（SW3、SW4、SW5）分别双上行到SW1和SW2。网络中部署MSTP实现二层冗余与负载分担，同时部署VRRP实现三层网关冗余。VLAN规划：VLAN10（行政部）、VLAN20（研发部）、VLAN30（生产部）。请回答以下问题：1.（3分）相比传统STP，MSTP的主要优势有哪些？请列举3点。2.（4分）请补充下面SW1的MSTP配置命令（华为VRP系统）。SW1(config)#①//进入MST域配置视图

SW1(config-mst)#nameMST_Zone1//配置MST域名为MST_Zone1

SW1(config-mst)#②//配置MSTP修订级别为10

SW1(config-mst)#instance1vlan1030//将VLAN10、30映射到实例1

SW1(config-mst)#instance2vlan20//将VLAN20映射到实例2

SW1(config-mst)#③//激活MST域配置

SW1(config)#spanning-treemst1rootprimary//④

SW1(config)#spanning-treemst2rootsecondary3.（4分）VLAN10的虚拟网关为，SW1为VLAN10的VRRP主设备（优先级120），SW2为备用设备（默认优先级）。请补充SW2的VRRP配置命令，并回答后续问题。SW2(config)#interfaceVlanif10

SW2(config-if-Vlanif10)#ipaddress

SW2(config-if-Vlanif10)#①//创建VRRP备份组1，虚拟IP为

SW2(config-if-Vlanif10)#②//配置备份组1的优先级为默认值100

SW2(config-if-Vlanif10)#vrrpvrid1preempt-modetimerdelay20//③若SW1的上行链路故障时需自动降低优先级，让SW2成为新的主设备，需要配置什么功能？简述其作用。4.（4分）SW3的G0/0/1端口连接研发部办公终端，需配置为Access端口且属于VLAN20，同时开启端口安全功能：最多允许2个终端接入，违规时关闭端口。请补充配置命令。SW3(config)#interfaceGigabitEthernet0/0/1

SW3(config-if-GigabitEthernet0/0/1)#①//配置端口为Access模式

SW3(config-if-GigabitEthernet0/0/1)#②//将端口加入VLAN20

SW3(config-if-GigabitEthernet0/0/1)#port-securityenable

SW3(config-if-GigabitEthernet0/0/1)#③//配置端口最大安全MAC地址数为2

SW3(config-if-GigabitEthernet0/0/1)#④//配置违规动作为shutdown答案：1.（1）支持多生成树实例，可将不同VLAN映射到不同实例，实现链路负载分担；（2）兼容STP和RSTP，支持快速收敛机制；（3）多VLAN共享生成树实例，节省设备资源开销。（合理即可）2.①spanning-treemstconfiguration；②revision-level10；③active；④配置SW1为MST实例1的主根桥。3.①vrrpvrid1virtual-ip；②vrrpvrid1priority100；③配置VRRP抢占延迟时间为20秒；需配置VRRP接口跟踪（监视接口）功能，作用是当主设备上行链路故障时，自动降低自身优先级，触发主备切换，保证流量正常转发。4.①portlink-typeaccess；②portdefaultvlan20；③port-securitymax-mac-num2；④port-securityprotect-actionshutdown。三、试题三（15分）某企业网络拓扑如下：R1为出口路由器，连接ISP；R2为核心路由器，连接R1和内部的R3、R4；R3连接办公区，R4连接生产区。网络运行OSPF协议，其中R1、R2属于区域0，R3属于区域1，R4属于区域2。R1公网地址为/24，ISP对端地址为/24。请回答以下问题：1.（3分）OSPF的Stub区域与NSSA区域的核心区别是什么？区域1为办公区，仅需访问内网和公网，不允许引入外部路由，适合配置为哪种区域类型？2.（4分）请补充R3的OSPF基本配置命令（华为VRP系统）。已知R3的Loopback0地址为/32，GE0/0/0接口（连接R2，地址/24）属于区域1，GE0/0/1接口（连接办公区/24）属于区域1。R3(config)#routerospf1

R3(config-router)#①//配置路由器ID为

R3(config-router)#area1②//配置区域1为Stub区域

R3(config)#interfaceGigabitEthernet0/0/0

R3(config-if-GigabitEthernet0/0/0)#ipospf1area③

R3(config)#interfaceGigabitEthernet0/0/1

R3(config-if-GigabitEthernet0/0/1)#ipospf1area13.（4分）企业需在R1上配置默认路由指向ISP，同时将默认路由引入OSPF域内，使内网所有设备可访问公网。请补充相关配置，并回答后续问题。R1(config)#iproute①//配置静态默认路由

R1(config)#routerospf1

R1(config-router)#②//将默认路由引入OSPF

R1(config-router)#default-informationoriginate③//配置默认路由度量值为10若需禁止生产区/24访问公网，需在R1出方向部署标准ACL进行过滤，请写出对应的ACL规则，以及应用该ACL的接口和方向。4.（4分）若R2与R3之间链路带宽为100Mbps，R2与R4之间链路带宽为10Mbps，OSPF默认情况下如何计算接口Cost值？100Mbps接口的默认Cost为多少？若需将10Mbps接口的Cost调整为100，需在接口下配置什么命令？四、试题四（15分）某企业采用CentOS7系统的Linux服务器部署DHCP、DNS和Web服务，服务器IP地址为0/24，网关为。请回答以下问题：1.（4分）DHCP服务配置文件为dhcpd.conf，需为办公区VLAN10（/24）分配地址池，地址范围为00~00，网关为，DNS服务器为0，租期为3天。请补充配置片段，并回答后续问题。subnetnetmask{

①0000;

optionrouters②;

optiondomain-name-servers③;

default-lease-time④;

}若某台打印机需固定使用0的IP地址，其MAC地址为00:11:22:33:44:55，需添加什么配置段？2.（5分）DNS服务采用BIND软件部署，需配置正向解析区域example：www.example对应Web服务器0，mail.example对应邮件服务器0，MX记录优先级为10。请补充正向区域配置文件内容，并回答后续问题。$TTL86400

@INSOAns1.example.admin.example.(

2026010101;序列号

3600;刷新时间

1800;重试时间

604800;过期时间

86400);最小TTL

@INNSns1.example.

ns1INA①

wwwINA0

mailINA②

@INMX③mail.example.若客户端执行nslookupwww.example返回的是服务器IPv6地址，可能的原因是什么？如何在BIND中禁用IPv6解析？3.（6分）Web服务采用Apachehttpd部署，需配置基于域名的虚拟主机：www.example对应网站根目录/var/www/example，shop.example对应根目录/var/www/shop。请补充配置片段，并回答后续问题。<VirtualHost*:80>

①www.example

DocumentRoot②

<Directory"/var/www/example">

OptionsIndexesFollowSymLinks

AllowOverrideAll

Requireallgranted

</Directory>

</VirtualHost>

<VirtualHost*:80>

ServerName③

DocumentRoot/var/www/shop

<Directory"/var/www/shop">

OptionsIndexesFollowSymLinks

AllowOverrideAll

Requireallgranted

</Directory>

</VirtualHost>若访问shop.example时显示的是www.example的页面，可能的原因有哪些？请列举2种。若需为Web服务配置HTTPS，需使用什么协议？默认端口是多少？需部署什么文件实现加密？答案：1.①range；②；③0；④259200；固定IP配置段：hostprinter{

hardwareethernet00:11:22:33:44:55;

fixed-address0;

}2.①0；②0；③10；原因：DNS服务器配置了www.example的AAAA记录（IPv6解析记录），或BIND默认启用IPv6监听且服务器有IPv6地址。禁用方法：在named.conf主配置中设置listen-on-v6{none;};，或删除对应域名的AAAA记录。3.①ServerName；②/var/www/example；③shop.example；可能原因：（1）shop.example的虚拟主机配置未生效（如配置文件未启用、语法错误）；（2）Apache未匹配到shop.example对应的ServerName，默认返回第一个虚拟主机的内容；（3）客户端DNS解析错误，shop.example指向了其他服务器。（合理即可）HTTPS使用TLS（传输层安全协议，或SSL协议），默认端口为443，需部署SSL数字证书（含公钥）和私钥文件。五、试题五（15分）某企业在网络出口部署下一代防火墙（NGFW），连接内网、DMZ区和公网。DMZ区部署Web服务器（0）和邮件服务器（0），内网网段为/16。企业同时部署IPsecVPN实现分支办公点与总部的互联。请回答以下问题：1.（3分）防火墙的安全区域通常分为Trust（受信区域）、DMZ（非军事化区域）、Untrust（非受信区域），请将内网、DMZ服务器区、公网分别对应到上述三个安全区域，并按安全级别从高到低排序。2.（4分）需配置安全策略实现以下需求：允许内网用户访问公网的Web服务（HTTP/HTTPS）；允许公网用户访问DMZ区的Web服务器（仅HTTPS）。请补充安全策略规则（默认动作为拒绝，规则按顺序匹配）。•规则1：源区域①，目的区域Untrust，目的端口80、443，协议TCP，动作②。•规则2：源区域Untrust，目的区域③，目的地址0，目的端口④，协议TCP，动作允许。3.（4分）IPsecVPN的两个核心协议是什么？分别简述其作用。隧道模式与传输模式的主要区别是什么？4.（4分）网络运维中常用SNMP协议实现设备监控，请回答以下问题：（1）SNMPv1、SNMPv2c、SNMPv3三个版本中，哪个版本支持基于用户的身份认证和数据加密？（2）若需监控核心交换机的CPU使用率，需在交换机上开启什么功能？（3）运维工程师ping核心交换机地址时，发现延迟正常但丢包率为20%，可能的原因有哪些？请列举2种。参考答案与解析一、试题一4.答案：1.生产楼：网络地址/21，子网掩码，可用主机数2046；研发楼：网络地址/22，子网掩码，可用主机数1022；行政楼：网络地址/23，子网掩码，可用主机数510。（分配顺序可调整，只要满足最小子网要求即可）2.第1条：/30；第2条：/30；第3条：/30；核心互联链路：2/30。3.汇总地址：/20；优点：（1）减少路由表条目，降低路由器转发开销；（2）增强网络稳定性，局部子网故障不会引发全网路由震荡。4.可分配/64子网数为216=65536解析：1.VLSM划分需遵循“最小子网”原则，即主机位数量需满足“终端数+2（网络地址和广播地址）”。生产楼1200台终端需要至少11位主机位（211−2=20462./30子网包含4个IP地址（2个可用主机地址），专门用于点到点互联链路。从/24开始依次分配时，每段子网的网络地址递增4，因此前3段为0、4、8，第4段为12。3.路由汇总需找到包含所有目标网段的最小共同前缀。三个网段的范围分别为：~55（/22）、~55（/24）、~55（/21），三者前20位网络前缀完全一致（第一段8位+第二段8位+第三段前4位），因此汇总地址为/20。4.IPv6子网划分的可用子网数为2前缀差。/48到/64的前缀差为16，因此子网数为2二、试题二4.解析：1.STP所有VLAN共享一棵生成树，链路利用率低且收敛慢；MSTP基于实例实现多生成树，既解决了环路问题，又能实现负载均衡，同时继承了RSTP的快速收敛特性。2.MSTP配置中，域名、修订级别、VLAN与实例的映射关系必须在同一域内所有设备上保持一致，配置完成后需通过active命令激活才能生效。3.VRRP默认优先级为100，数值越大优先级越高。抢占延迟的作用是避免链路不稳定导致的频繁主备切换。接口跟踪功能会检测上行链路状态，故障时主动降低优先级，让备用设备抢占成为新主。4.端口安全通过绑定MAC地址限制接入终端数量，违规动作包括shutdown（关闭端口）、restrict（丢弃违规报文并告警）、protect（丢弃违规报文不告警）三种。---三、试题三4.答案：1.核心区别：Stub区域不允许引入AS外部路由（Type5LSA），仅通过ABR发布的默认路由访问外部网络；NSSA区域允许引入少量外部路由，以Type7LSA形式存在，在ABR上转换为Type5LSA发布到其他区域。区域1适合配置为Stub区域。2.①router-id；②stub；③13.①；②default-informationoriginate；③metric10；ACL规则：access-list1deny55、access-list1permitany；应用在R1连接ISP的公网接口的出方向。4.默认计算公式：接口Cost=100Mbps/接口实际带宽；100Mbps接口默认Cost为1；调整命令：ipospfcost100（接口视图下）。解析：1.Stub区域用于减少区域内的LSA数量，降低设备负载，适合仅有单一出口的末端区域；NSSA在Stub的基础上支持引入外部路由，适用于需要接入少量外部网络的末端区域。2.OSPF路由器ID是设备在OSPF域内的唯一标识，建议手动配置为Loopback接口地址。Stub区域内所有路由器都需配置stub命令，否则无法建立邻接关系。3.标准ACL仅匹配源IP地址，因此需部署在靠近目的端的出方向，避免影响内网之间的正常访问。通配符掩码中0表示匹配对应位，1表示忽略对应位。4.OSPF默认参考带宽为100Mbps，当链路带宽超过100Mbps时，所有高速接口Cost均为1，无法区分带宽差异，此时可通过ospfbandwidth-reference命令调整参考带宽。---四、试题四3.解析：1.DHCP租期的单位为秒，3天换算为秒是3×24×2.SOA记录中的@代表当前区域名，NS记录指定域名服务器，MX记录的数值越小优先级越高。BIND默认同时支持IPv4和IPv6解析，可通过listen-on-v6参数关闭IPv6监听。3.基于域名的虚拟主机通过ServerName区分不同站点，若请求的域名无法匹配任何虚拟主机，Apache会返回第一个加载的虚拟主机内容。HTTPS通过TLS协议对HTTP报文加密