2026年网络工程师《网络软件》应用能力测试试卷（附答案）

2026年网络工程师《网络软件》应用能力测试试卷（附答案）考试时间：______分钟总分：______分姓名：______一、选择题1.在TCP/IP协议栈中，负责提供端到端可靠数据传输的协议是？A.IPB.TCPC.UDPD.ICMP2.以下关于OSPF协议的说法，正确的是？A.是一种距离向量路由协议B.使用路由汇总可以减少LSA泛洪范围C.DR（DesignatedRouter）和BDR（BackupDesignatedRouter）只在直连网络中选举D.默认情况下，OSPF区域间的路由信息传播使用路由重发布3.在网络交换机中，用于防止二层环路、实现冗余路径互斥访问的协议是？A.VRRPB.HSRPC.STPD.GLBP4.DNS服务器将域名解析为IP地址的过程中，如果本地缓存未命中，通常会查询哪类DNS服务器？A.边缘DNS服务器B.根DNS服务器C.TLD（顶级域名）DNS服务器D.主DNS服务器5.DHCP服务器为客户端分配IP地址时，如果客户端请求的IP地址已被占用，通常会将哪个选项返回给客户端？A.新的可用IP地址B.无可用地址的提示C.请求的IP地址（保留）D.默认网关地址6.SNMP协议中，管理站（Manager）与代理（Agent）之间建立通信连接所使用的协议是？A.TCPB.UDPC.HTTPD.SMTP7.防火墙实现网络访问控制的主要机制是？A.网络地址转换（NAT）B.路由选择C.数据包过滤D.VPN加密8.在VPN技术中，IPSec协议工作在OSI模型的哪一层？A.应用层B.表示层C.会话层D.网络层9.以下关于WPA2安全协议的说法，正确的是？A.使用RC4加密算法B.免密钥认证方式C.提供企业级的强认证D.只支持802.1x认证10.负载均衡器（LoadBalancer）的主要功能是？A.提供网络地址转换B.增强网络安全防护C.在多个服务器间分配网络流量D.自动发现网络设备11.在网络监控系统中，用于发现网络中物理或逻辑设备缺失的协议是？A.SNMPv1B.SNMPv2cC.ICMPD.LLDP12.以下哪种技术可以用于在不同的网络区域之间隐藏内部网络结构？A.VLANB.NATC.VPND.STP13.在Linux系统中，用于配置和显示IP路由表的命令是？A.ifconfigB.netstatC.iprouteD.route14.防火墙中的“状态检测”（StatefulInspection）技术主要记录了什么信息？A.访问控制策略B.数据包的源/目的IP和端口C.用户登录凭证D.防病毒特征库15.在无线网络中，用于管理多个无线接入点（AP）的设备称为？A.无线终端B.无线接入点控制器（WAPC）C.无线局域网控制器（WLC）D.无线网关16.当网络管理员需要为内部服务器提供从外部网络访问的固定公网IP地址时，通常使用哪种技术？A.DNSB.DHCPC.NATD.负载均衡17.在网络故障排查中，使用`ping`命令主要目的是检测什么？A.目标主机的应用服务是否正常B.目标主机的网络连接是否可达C.目标主机的IP地址配置是否正确D.目标主机的防火墙规则是否允许ICMP请求18.以下关于ACL（访问控制列表）的说法，正确的是？A.ACL可以工作在网络层和传输层B.命令行配置的ACL默认是拒绝所有流量C.standardACL只根据源IP地址进行匹配D.extendedACL可以同时匹配源和目的IP地址及端口19.在网络管理中，用于收集设备运行状态和性能数据的协议是？A.SNMPB.SyslogC.NETCONFD.BGP20.以下哪种技术可以使得内部私有IP地址设备能够访问外部公共互联网？A.VLANB.NATC.VPND.DHCP21.DNS中，负责存储特定域名权威信息的服务器是？A.边缘DNS服务器B.根DNS服务器C.TLDDNS服务器D.主DNS服务器22.在使用NAT进行地址转换时，内部私有IP主机访问外部网络，其发出的数据包源IP地址是？A.内部私有IP地址B.内部私有IP地址+端口C.公网IP地址D.保留的NAT地址23.无线网络中，WPA3相比WPA2的主要安全增强包括？A.支持更低的加密强度B.引入“企业级保护”和“个人级保护”两种模式C.放宽了对客户端设备的能力要求D.不支持802.1x认证24.在网络监控系统中，用于对网络设备运行状态进行主动轮询的机制属于SNMP的哪个PDU（协议数据单元）？A.GETRequestB.GETResponseC.SETRequestD.TRAP25.以下关于容器网络软件的说法，正确的是？A.DockerSwarm和Kubernetes都是单一Master架构B.CNI（ContainerNetworkInterface）标准定义了容器与底层网络之间的接口C.所有容器网络软件都原生支持IPv6D.容器网络通常不需要考虑网络隔离和安全问题二、多项选择题26.以下哪些协议属于TCP/IP网络层的协议？A.TCPB.UDPC.ICMPD.HTTP27.配置OSPF时，影响路由选择的因素包括？A.路由带宽B.路由延迟C.路由管理距离D.路由跳数28.防火墙的NAT技术主要实现的功能有？A.隐藏内部网络结构B.扩展IP地址空间C.提供网络地址转换服务D.增加网络出口带宽29.在进行网络监控时，SNMP协议中常用的MIB（管理信息库）对象类型包括？A.路由器接口状态B.交换机端口流量计数器C.设备运行时间D.管理员登录密码30.无线局域网（WLAN）中，常见的认证方式包括？A.开放系统认证B.WEP加密认证C.802.1x认证D.PSK（预共享密钥）认证31.防火墙实现访问控制可以通过以下哪些方式？A.基于IP地址的过滤B.基于端口的过滤C.基于应用协议的过滤D.基于用户身份的过滤32.在配置DHCP服务器时，通常需要配置哪些关键参数？A.可用IP地址池B.子网掩码C.默认网关地址D.DNS服务器地址33.负载均衡器常用的工作模式包括？A.轮询（RoundRobin）B.最少连接（LeastConnections）C.基于源IP的哈希（SourceIPHash）D.最小响应时间（LeastResponseTime）34.网络管理系统中，SNMP协议的版本包括？A.SNMPv1B.SNMPv2cC.SNMPv3D.SNMPv435.在进行网络故障排查时，可以使用哪些工具或命令？A.`ping`B.`traceroute`或`tracert`C.`netstat`D.`nslookup`或`dig`36.VLAN（虚拟局域网）的主要作用有？A.隔离广播域B.增加网络带宽C.逻辑划分网络D.提高网络安全性37.IPSecVPN通常包含哪些关键组件？A.安全关联（SA）B.IKE（InternetKeyExchange）协议C.ESP（EncapsulatingSecurityPayload）协议D.NATTraversal38.配置和管理交换机时，常用的命令行接口（CLI）模式包括？A.用户模式（UserEXECMode）B.特权模式（PrivilegedEXECMode）C.配置模式（GlobalConfigurationMode）D.接口配置模式（InterfaceConfigurationMode）39.网络监控系统中，管理站（Manager）需要具备的功能包括？A.发送SNMPGet请求获取信息B.接收SNMPTrap通知C.配置监控策略D.生成管理报表40.在无线网络中，影响信号覆盖和质量的因素包括？A.AP的数量和位置B.无线信道宽度C.物理障碍物D.频率干扰三、简答题41.请简述TCP连接建立的三次握手过程。42.解释什么是VLAN，并说明使用VLAN的主要优势。43.简述防火墙实现NAT（网络地址转换）的基本原理。44.描述SNMP协议中管理站（Manager）和代理（Agent）之间通信的基本流程。45.什么是VPN？请列举两种常见的VPN类型及其工作原理简述。46.当网络出现性能下降时，从网络工程师的角度，可以采取哪些初步的排查步骤？四、案例分析题47.某公司网络拓扑如下图所示（此处无图，请自行想象或描述），内部员工需要访问互联网。公司网络地址为/24，ISP分配的公网IP地址为。要求：a)请设计一个防火墙访问控制策略，允许内部员工访问HTTP（端口80）和HTTPS（端口443）服务，拒绝访问其他所有外部服务。b)如果内部有两台服务器（ServerA:00,ServerB:01）需要对外提供HTTP服务，并希望外部用户访问时使用统一的公网IP地址（如），请简述如何实现（无需具体配置命令，说明原理和涉及技术即可）。48.某办公区域部署了无线网络，用户反映部分区域信号弱，连接不稳定。作为网络工程师，你被要求排查此问题。请简述你将采取哪些步骤来定位并可能解决此问题？（可以包括现场勘查、工具使用、配置检查等方面）试卷答案一、选择题1.B解析：TCP协议工作在网络层，提供面向连接、可靠的字节流传输服务。2.B解析：OSPF使用链路状态路由算法，支持路由汇总，可以减少LSA泛洪范围，DR/BDR选举仅在非骨干区域内的非广播网络中选举，OSPF区域间路由传播使用路由重发布。3.C解析：STP（SpanningTreeProtocol）用于防止二层网络环路，实现冗余路径的互斥访问。4.B解析：DNS解析过程通常是先查询本地DNS缓存，未命中则查询根DNS服务器，再查询TLDDNS服务器，最后查询权威DNS服务器。5.C解析：DHCP服务器为客户端分配IP地址时，如果地址池已空或请求的地址已被占用，会将原分配给客户端的地址（保留）返回给客户端。6.B解析：SNMP协议使用UDP协议在管理站和代理之间建立通信连接。7.C解析：数据包过滤是防火墙最核心的访问控制机制，通过检查数据包头部信息（源/目的IP、端口、协议等）来决定是否允许通过。8.D解析：IPSec协议工作在网络层（OSI模型第三层），对IP数据包进行加密和/或认证。9.C解析：WPA2（IEEE802.11i）提供企业级的强认证（如802.1x）和加密（CCMP），使用AES加密算法。10.C解析：负载均衡器的主要功能是在多个服务器（资源）之间分配网络流量，以提高性能和可靠性。11.C解析：ICMP协议用于网络层的错误报告和查询，如`ping`命令使用的就是ICMPEcho请求和应答。在监控系统中发现设备缺失时，常利用ICMP不可达消息或特定探测机制。12.B解析：NAT（NetworkAddressTranslation）用于在不同网络区域间隐藏内部网络结构，将私有IP地址转换为公网IP地址。13.C解析：`iproute`命令在Linux系统中用于查看和配置IP路由表。14.B解析：状态检测防火墙会跟踪所有流经其的数据包状态（连接状态），只允许符合已建立连接状态的数据包通过。15.C解析：WLC（WirelessLANController）是用于集中管理多个无线接入点（AP）的设备。16.C解析：NAT（NetworkAddressTranslation）技术允许内部服务器使用从外部网络获取或由管理员指定的一个或少数几个公网IP地址访问外部网络。17.B解析：`ping`命令通过发送ICMPEcho请求并接收Echo应答来检测目标主机的网络连接是否可达。18.A,C,D解析：ACL可以工作在网络层（IPACL）和传输层（TCP/UDPACL），命令行配置的标准ACL默认拒绝所有流量，扩展ACL可以基于源/目的IP、端口、协议等多条件进行匹配。19.A解析：SNMP（SimpleNetworkManagementProtocol）是用于网络管理和监控的标准协议，用于收集设备运行状态和性能数据。20.B解析：NAT（NetworkAddressTranslation）使得内部使用私有IP地址的设备能够访问外部公共互联网。21.D解析：主DNS服务器（AuthoritativeDNSServer）负责存储特定域名的权威信息。22.C解析：在使用NAT进行地址转换时，内部私有IP主机访问外部网络，其发出的数据包源IP地址会被转换为公网IP地址。23.B解析：WPA3引入了“企业级保护”（WPA3Enterprise，基于802.1x和EAP）和“个人级保护”（WPA3Personal，增强的WPA2-PSK）两种模式，并提供了更强的加密和防护。24.A解析：SNMP管理站向代理发送GET请求来主动轮询获取信息，TRAP是代理主动向管理站发送的通知。25.B解析：CNI（ContainerNetworkInterface）是定义了容器与底层网络之间的标准接口，允许不同的容器网络软件与不同的网络实现进行交互。DockerSwarm和Kubernetes都是分布式容器编排平台，包含网络管理功能，但架构各异。容器网络通常需要考虑隔离（如使用CNI插件实现）和安全（如网络策略）。二、多项选择题26.A,B,C解析：TCP（传输控制协议）、UDP（用户数据报协议）、ICMP（InternetControlMessageProtocol）都属于TCP/IP网络层协议。HTTP（超文本传输协议）属于应用层协议。27.A,B,D解析：OSPF路由选择依据成本（带宽的倒数、延迟、负载、MTU等）和跳数。路由管理距离（AdminDistance）是衡量路由可信度的值，不是路由选择因素，而是路由优先级。28.A,B,C解析：NAT的主要功能是隐藏内部网络结构、扩展IP地址空间（缓解IPv4地址短缺）、提供网络地址转换服务。增加网络出口带宽不是NAT的功能。29.A,B,C解析：SNMPMIB对象可以表示路由器接口状态（如up/down）、交换机端口流量计数器（如bytesreceived/transmitted）、设备运行时间（uptime）等。管理员的登录密码通常不在MIB中公开，出于安全考虑。30.A,C,D解析：开放系统认证是最基本的认证方式。WEP已被认为不安全，通常不使用。802.1x提供基于可信赖认证基础设施（如AD）的强认证。PSK（预共享密钥）是WPA/WPA2常用的简便认证方式。31.A,B,C解析：防火墙可以通过基于IP地址（源/目的）、端口（协议类型）、应用（如HTTP,FTP）等进行过滤，实现访问控制。基于用户身份的过滤通常需要结合认证机制（如RADIUS）实现，不是所有防火墙的内置基本功能。32.A,B,C,D解析：配置DHCP服务器需要定义IP地址池（可用IP范围）、子网掩码、默认网关地址、DNS服务器地址等关键参数。33.A,B,C,D解析：轮询、最少连接、基于源IP哈希、最小响应时间都是负载均衡器常用的工作模式或算法。34.A,B,C解析：SNMP有v1,v2c,v3三个主要版本。v4是草案阶段，未成为正式标准。35.A,B,C,D解析：`ping`用于连通性测试，`traceroute`/`tracert`用于路径跟踪，`netstat`用于显示网络连接和路由表，`nslookup`/`dig`用于DNS查询。这些都是常用的网络故障排查工具。36.A,C,D解析：VLAN通过逻辑划分将广播域分割，每个VLAN内的设备可以通信，不同VLAN之间隔离。这有助于提高安全性、优化网络性能、简化网络管理。VLAN不直接增加物理带宽。37.A,B,C解析：IPSecVPN的核心组件包括安全关联（SA）定义加密、认证算法和密钥，IKE协议负责安全密钥交换，ESP协议负责对数据包进行封装、加密和认证。NATTraversal是用于在NAT设备存在的情况下使IPSecVPN能工作的技术，是常用组件但不是最基本核心。38.A,B,C,D解析：配置和管理交换机时，CLI模式通常包括用户模式、特权模式、全局配置模式、接口配置模式等。39.A,B,C,D解析：网络监控系统的管理站需要能发送请求（Get,GetNext,Set）获取/修改信息，接收通知（Trap,Inform），配置监控策略，并生成分析报表。40.A,B,C,D解析：AP的数量、位置影响覆盖范围；信道宽度（20/40/80MHz等）影响传输速率和信道干扰；物理障碍物（墙壁、金属等）会衰减信号；频率干扰（同频或邻频干扰）会降低信号质量。三、简答题41.TCP三次握手过程如下：1.SYN（SynchronizeSequenceNumbers）：客户端向服务器发送一个SYN报文段，其中包含一个初始序列号（ISN），请求建立连接。此时客户端处于SYN_SENT状态。2.SYN-ACK（Synchronize-Acknowledgment）：服务器收到SYN报文段后，如果同意连接，会向客户端发送一个SYN-ACK报文段。该报文段包含服务器的初始序列号（ISN）和客户端SYN报文段的确认号（ISN+1）。此时服务器处于SYN_RCVD状态。3.ACK（Acknowledgment）：客户端收到SYN-ACK报文段后，向服务器发送一个ACK报文段，其中包含客户端的确认号（服务器的ISN+1）。此时客户端进入ESTABLISHED状态。服务器收到ACK报文段后，也进入ESTABLISHED状态。连接建立成功。42.VLAN（VirtualLocalAreaNetwork，虚拟局域网）是一种通过逻辑方式划分交换网络的技术，将一个物理上的交换网络划分为多个广播域。主要优势包括：*隔离广播域：VLAN内的广播流量只转发到该VLAN内的其他成员，不同VLAN之间广播互不干扰，有效减少了广播风暴。*提高安全性：可以将不同安全级别的用户或设备划分到不同的VLAN中，限制广播范围，提高网络安全性。*简化网络管理：可以根据部门、功能等逻辑关系配置VLAN，而不是物理位置，使得网络管理更加灵活方便。*优化网络性能：减少了广播流量，降低了交换机的处理负担，提高了网络整体性能。43.防火墙实现NAT（网络地址转换）的基本原理是：防火墙作为内部网络和外部网络之间的网关，当内部主机发起访问外部网络的请求时：1.防火墙检查该连接请求，如果允许，将请求数据包的源IP地址和源端口替换为防火墙自己持有的一个公网IP地址和（可能变化的）端口。2.防火墙在内部维护一个状态表（StateTable），记录下这个连接的映射关系（内部私有IP:端口->外部公网IP:端口）以及连接状态。3.转发修改后的数据包到外部网络。当外部网络响应此请求时，响应数据包的目标IP地址和端口是防火墙的公网IP和之前分配的端口。4.防火墙收到响应包后，查找状态表中对应的映射关系，将目标IP地址和端口替换回原始的内部私有IP地址和端口。5.将数据包转发给内部相应的主机。通过这种方式，防火墙使用有限的公网IP地址代表整个内部网络访问外部网络，并隐藏内部网络的结构。44.SNMP管理站（Manager）和代理（Agent）之间通信的基本流程通常涉及以下步骤和PDU（协议数据单元）：1.建立UDP连接：管理站和代理通常使用UDP端口161（GET请求/响应）或162（TRAP）建立通信连接。管理站主动发起连接。2.认证（SNMPv3）：如果使用SNMPv3，管理站首先使用用户名和认证密码（USM）向代理进行认证，代理返回认证响应。如果认证成功，代理再向管理站进行认证。3.获取信息（Get/GetNext）：管理站为了获取代理上的MIB对象信息，向代理发送一个或多个`GetRequest`PDU，指定要获取的OID（对象标识符）。代理收到请求后，根据OID查找MIB树，将对象值封装在`GetResponse`PDU中返回给管理站。4.设置信息（Set）：管理站如果需要修改代理上的MIB对象值，向代理发送`SetRequest`PDU，包含OID和新的值。代理执行修改操作，并返回`SetResponse`PDU确认成功或失败。5.接收通知（Trap/Inform）：当代理端发生特定事件（如设备Down、配置更改）时，会主动向管理站发送`Trap`PDU（SNMPv1/v2c）或`Inform`PDU（SNMPv3）进行通知。PDU中包含事件类型和相关变量绑定（VarBinds）。管理站收到Trap/Inform后进行处理。45.VPN（VirtualPrivateNetwork，虚拟专用网络）是在公共网络（如互联网）上建立加密的通信通道，使得远程用户或分支机构能够像在私有网络内部一样安全地访问内部资源。常见的VPN类型及其工作原理简述：*IPSecVPN（基于IPSec）：在IP层对数据包进行加密和认证。通常使用IKE协议进行安全策略（SA）的协商和密钥交换。根据传输模式（TunnelMode）或隧道模式（TransportMode）工作。TunnelMode对整个IP数据包进行封装和加密，适用于站点到站点（Site-to-Site）或远程访问（RemoteAccess）。原理是创建一个加密的IP隧道。*SSL/TLSVPN（基于SSL/TLS）：利用SSL（SecureSocketsLayer）或其继任者TLS（TransportLayerSecurity）协议在应用层（通常是HTTPS）建立安全的连接通道。通常提供更灵活的访问控制（如基于用户名/密码、证书）和更好的用户体验。原理是在客户端和服务器之间建立加密的会话层通道。46.当网络出现性能下降时，网络工程师可以采取的初步排查步骤包括：1.确认问题：验证性能下降是否真实存在，是普遍现象还是个别现象？持续时间？影响范围？收集用户反馈或使用监控工具确认。2.观察症状：观察具体表现，是延迟增加、带宽不足、丢包率升高，还是特定应用响应缓慢？区分是网络层问题还是应用层问题。3.检查监控数据：查看网络设备（交换机、路由器、防火墙）的CPU、内存利用率，接口收发速率、错误包率、丢包率，链路负载等关键指标。4.分层排查（自底向上或自顶向下）：*接入层：检查用户端设备（电脑、交换机端口）状态，检查接入交换机端口状态和负载。*汇聚/核心层：检查核心交换机/路由器关键链路状态，CPU/内存利用率，路由表，队列长度。*广域网链路：检查运营商链路状态，使用`traceroute`/`tracert`分析路径，检查链路带宽和延迟。*出口设备：检查防火墙、负载均衡器等出口设备的CPU/内存、队列、连接数等。5.应用层检查：如果怀疑是特定应用问题，检查应用服务器资源使用情况，数据库连接等。6.近期变更：回顾近期是否有网络配置、设备升级、应用变更等操作，可能引入问题。7.使用工具：使用`ping`,`traceroute`,`iperf`,`mtr`等工具进行连通性、带宽、路径质量测试。四、案例分析题47.(a)防火墙访问控制策略设计（允许HTTP/HTTPS，拒绝其他）：*策略应优先匹配允许规则，然后应用默认拒绝规则。*规则1（允许HTTP）：动作=允许，源=内部网络（/24），目的=任何，协议=TCP，目的端口=80。*规则2（允许HTTPS）：动作=允许，源=内部网络（/24），目的=任何，协议=TCP，目的端口=443。*默认规则（拒绝）：动作=拒绝，源=任何，目的=任何，协议=任何，目的端口=任何。（或者，如果系统允许，可以在规则顶部设置一条默