2025上半年网络规划设计师真题及解析

2025上半年网络规划设计师真题及解析一、综合知识（75道单选题，每题1分，共75分）1.模拟信号数字化通常包括采样、量化、编码三个步骤，其中将连续变化的信号幅度取值为离散电平的步骤是：A.采样B.量化C.编码D.调制2.我国采用的E1载波标准的数据传输速率为：A.1.544MbpsB.2.048MbpsC.6.312MbpsD.44.736Mbps3.光纤通信中，色散对传输质量的主要影响表现为：A.使光信号功率急剧衰减B.使光脉冲展宽，产生码间干扰C.使激光器波长发生偏移D.使接收机灵敏度提高4.下列编码方式中，具有自同步能力且不含直流分量的是：A.NRZ编码B.归零码C.曼彻斯特编码D.4B/5B5.下列多路复用方式中，将信道按时间片轮流分配给多个用户使用的是：A.频分复用（FDM）B.时分复用（TDM）C.波分复用（WDM）D.码分复用（CDM）6.PPP协议中，负责建立、配置和测试数据链路连接的协议是：A.LCPB.NCPC.PAPD.CHAP7.HDLC协议中，用于链路建立、拆除和模式设置等链路管理功能的帧类型是：A.信息帧（I帧）B.监控帧（S帧）C.无编号帧（U帧）D.扩展帧8.某终端从交换机的一个端口迁移到另一个端口，若交换机MAC地址表中原表项未及时老化，终端通信时交换机将：A.把帧广播到所有端口B.仍从原端口转发帧，导致通信异常C.自动重启端口D.丢弃所有数据帧9.IEEE802.1Q标准中，VLAN标记中的VLANID字段长度为：A.4bitB.8bitC.12bitD.16bit10.在STP生成树协议中，选举根桥（RootBridge）所依据的主要参数是：A.端口优先级B.网桥ID（优先级+MAC地址）C.端口路径开销D.端口MAC地址11.关于RSTP（802.1w）相对STP的改进，下列说法不正确的是：A.端口状态由5种缩减为3种B.引入指定端口、备份端口等端口角色C.实现了更快的收敛速度D.支持链路负载均衡12.将多条物理链路捆绑为一条逻辑链路以提高带宽和可靠性的技术是：A.链路聚合B.端口镜像C.流量整形D.VLAN中继13.下列以太网交换机转发方式中，转发时延最小的是：A.存储转发B.直通转发C.无碎片转发D.自适应转发14.某部门分配到的网段为4/27，该网段可分配给主机使用的IP地址数为：A.30B.31C.32D.6215.使用VLSM技术划分网段，要求某一子网容纳50台主机，则该子网的子网掩码应为：A.28B.92C.24D.4016.将/24、/24、/24、/24四个网段聚合后的网络地址为：A./21B./22C./21D./2217.某园区网需要在一个广播域内容纳1200台主机，为其分配的子网掩码至少应为：A.（/21）B.（/22）C.（/23）D.（/24）18.IPv6地址书写中，双冒号（::）的作用是：A.表示一组或多组连续的0位组B.表示组播地址前缀C.表示未指定地址D.表示环回地址19.下列IPv6地址前缀中，属于组播地址的是：A.2000::/3B.FC00::/7C.FF00::/8D.FE80::/1020.下列技术中，属于IPv4/IPv6翻译过渡技术的是：A.6to4隧道B.ISATAPC.NAT64D.双协议栈21.OSPF广播型网络中，当各路由器接口的DR优先级相同时，选举DR所依据的参数是：A.接口IP地址大小B.路由器ID大小C.OSPF进程号大小D.区域号大小22.OSPF协议中，在单个区域内洪泛，描述路由器自身接口状态与邻居关系的一类LSA是：A.RouterLSA（Type1）B.NetworkLSA（Type2）C.SummaryLSA（Type3）D.NSSAExternalLSA（Type7）23.BGP协议基于TCP传输，使用的TCP端口号是：A.179B.110C.161D.44324.BGP协议中，用于防止AS间路由环路的主要机制是：A.水平分割B.AS-Path路径属性检查C.毒性逆转D.触发更新25.IS-IS协议中，Level-2路由器的主要作用是：A.只完成本区域内的路由计算B.实现不同Level-1区域之间的路由互通C.只负责主机接入D.负责终端IP地址分配26.在MPLS网络中，标签交换路由器转发报文时依据的是：A.IP最长前缀匹配B.标签查找C.源MAC地址D.二层VLANID27.MPLSL3VPN中，PE路由器之间传递VPN-IPv4路由所使用的协议是：A.MP-BGPB.OSPFC.IS-ISD.RIP28.下列路由协议中，属于链路状态路由协议的是：A.RIPv2B.OSPFC.EIGRPD.BGP29.EIGRP计算路由度量值时，不作为计算依据的参数是：A.带宽B.延迟C.跳数D.可靠性30.TCP三次握手中，第二次握手报文段的标志位组合为：A.SYNB.SYN+ACKC.ACKD.FIN31.TCP拥塞控制的慢启动阶段，若无丢包发生，拥塞窗口cwnd的增长方式为：A.每个RTT线性加1B.每个RTT翻倍C.保持不变D.每个RTT减半32.下列应用层协议中，默认基于UDP传输的是：A.FTPB.SMTPC.DNSD.HTTP33.同一网段内，主机A向主机B发送IP数据报，若A的ARP缓存中无B的MAC地址，A首先会：A.发送ARP请求广播报文B.将该数据报丢弃C.向默认网关发送ARP请求D.发送ICMP重定向报文34.traceroute命令实现网络路径探测的基本原理是：A.逐跳增大IP报文TTL值，利用路由器返回的ICMP超时报文获取路径B.逐跳发送ARP广播获取链路信息C.通过DNS迭代查询记录每一跳D.利用TCP三次握手逐跳建连35.根据已知IP地址反查对应的域名时，应使用DNS中的（）记录。A.AB.CNAMEC.PTRD.MX36.DHCP客户端获取IP地址的四个交互报文中，最后一个报文是：A.DHCPDISCOVERB.DHCPOFFERC.DHCPREQUESTD.DHCPACK37.FTP协议默认使用的控制连接端口号为：A.20B.21C.22D.2538.与HTTP/1.1相比，HTTP/2的重要改进是：A.在一个连接上实现请求与响应的多路复用B.不再需要TCP作为传输层协议C.默认以明文方式传输D.只支持静态网页内容39.DDoS攻击的主要特征是：A.利用大量请求或流量耗尽目标系统资源，造成服务不可用B.篡改网页内容C.窃取用户数据库口令D.在主机上植入病毒木马40.下列加密算法中，属于非对称加密算法的是：A.AESB.DESC.RSAD.SM441.国密算法SM3生成的杂凑值（摘要）长度为：A.128bitB.160bitC.256bitD.512bit42.IPSec协议族中，负责对IP报文进行加密，提供机密性保护的协议是：A.AHB.ESPC.IKED.ISAKMP43.关于IPSec传输模式与隧道模式，下列说法正确的是：A.传输模式保护整个IP数据包，隧道模式只保护上层负载B.传输模式只保护上层负载，隧道模式保护整个IP数据包C.两种模式的保护范围完全相同D.传输模式仅适用于两端均为NAT网关的场景44.SSL/TLS握手过程中，用于协商会话密钥的算法是：A.DH或RSAB.DES或3DESC.MD5或SHA-1D.CBC或ECB45.状态检测防火墙与传统包过滤防火墙相比，最核心的区别是：A.维护连接状态表，动态判断报文是否属于合法连接B.对所有流量进行应用层代理C.仅基于五元组做静态匹配D.不需要配置任何安全规则46.入侵检测系统（IDS）与防火墙相比，主要区别在于：A.IDS以旁路方式被动监测，防火墙串联在线阻断B.IDS串联在线阻断，防火墙旁路被动监测C.两者均为串联部署且功能完全相同D.两者均只处理加密流量47.网络准入控制（NAC）技术的核心目标是：A.终端在接入网络前进行身份认证与安全状态检查B.提高核心交换机转发速率C.替代防火墙进行深度包检测D.实现服务器集群负载均衡48.WPA3相比WPA2在个人版（WPA3-Personal）中的关键安全改进是：A.取消数据加密B.采用SAE握手协议，抵御离线字典攻击C.使用更短的预共享密钥D.取消SSID广播功能49.依据网络安全等级保护2.0标准，网络安全保护等级共划分为：A.3级B.4级C.5级D.6级50.IEEE802.11ax（Wi-Fi6）与802.11ac相比，采用的多址接入关键技术是：A.OFDMB.OFDMAC.FHSSD.TDMA51.5G网络切片技术主要依托于：A.SDN与NFVB.MPLS与ATMC.PPP与HDLCD.NAT与DHCP52.SDN架构中，控制平面与转发平面之间的标准南向接口协议是：A.OpenFlowB.NETCONFC.SNMPD.BGP-LS53.NFV中，VNF的全称及含义是：A.NetworkFunctionsVirtualisation，即网络功能虚拟化B.VirtualisedNetworkFunction，即虚拟网络功能C.VirtualNetworkFunctionInfrastructure，即虚拟网络功能基础设施D.VirtualNetworkManager，即虚拟网络管理器54.数据中心网络中，FCoE技术用于在以太网上承载：A.IP语音流量B.光纤通道（FC）存储流量C.视频监控流量D.网络管理流量55.下列存储访问技术中，通过TCP/IP网络为服务器提供块级存储访问的是：A.NFSB.iSCSIC.CIFSD.FTP56.某企业租用云平台提供的弹性虚拟机、云硬盘等基础设施资源，自行安装操作系统和中间件，该服务模式属于：A.IaaSB.PaaSC.SaaSD.DaaS57.网络规划设计的需求分析阶段，首要工作是：A.确定网络设备品牌B.收集业务需求、技术需求与约束条件C.绘制详细逻辑拓扑图D.制定网络割接方案58.层次化网络设计模型中，核心层的主要职责是：A.高速、可靠的数据转发B.用户终端接入C.本地VLAN间路由D.数据包深度检测与过滤59.在园区网接入层交换机上，通常重点部署的功能是：A.全网路由计算B.用户终端接入、VLAN划分与端口安全C.NAT地址转换D.骨干网流量调度60.VRRP（虚拟路由冗余协议）的主要作用是：A.实现网关设备的冗余备份B.实现服务器负载均衡C.扩展链路带宽D.对流量进行加密61.MSTP相比RSTP的主要优势是：A.收敛速度更快B.支持将多个VLAN映射到不同生成树实例，实现负载均衡C.简化了BPDU报文格式D.不需要选举根桥62.网络设计方案中，IP地址与VLAN规划属于（）阶段的工作。A.需求分析B.逻辑设计C.物理设计D.网络测试63.项目管理中，关键路径是指项目网络图中：A.人力资源投入最大的路径B.工期最长的路径C.使用设备数量最多的路径D.风险等级最高的路径64.网络工程项目中，配置管理的主要任务是：A.识别配置项并严格控制其变更B.优化网络传输性能C.组织用户培训D.负责设备采购与到货验收65.网络割接实施前，必须完成的一项重要工作是：A.备份现网设备配置并制定回退方案B.拆除所有旧设备C.清空网络设备日志D.停止所有业务系统66.下列选项中，不属于网络管理功能域（FCAPS）的是：A.故障管理B.配置管理C.性能管理D.域名管理67.SNMPv3相比SNMPv1/v2c新增的主要安全机制是：A.团体名认证B.基于USM的认证与加密C.GETNEXT操作D.Trap告警机制68.NetFlow/sFlow技术主要用于：A.网络流量分析与统计B.数据链路加密C.无线信号优化D.IP地址自动分配69.使用ping命令进行网络测试，主要验证的是：A.IP层的连通性与往返时延B.链路实际带宽C.应用层响应时间D.设备CPU利用率70.SFP+光模块的典型传输速率为：A.1GbpsB.10GbpsC.40GbpsD.400Gbps71.万兆以太网标准10GBASE-LR使用的传输介质及典型传输距离为：A.多模光纤，300mB.单模光纤，10kmC.六类双绞线，100mD.同轴电缆，500m72.WhichprotocolisusedtoautomaticallyassignIPaddressestohostsonanetwork?A.DNSB.ARPC.DHCPD.ICMP73.InOSPF,arouterthatconnectsoneormorenon-backboneareastothebackboneareaiscalleda(n)______.A.ABRB.ASBRC.DRD.BDR74.IntheOSIreferencemodel,thelayerresponsibleforend-to-endcommunication,flowcontrolanderrorrecoveryisthe______layer.A.networkB.sessionC.transportD.presentation75.A______isanetworksecuritydevicethatmonitorsandcontrolsincomingandoutgoingnetworktrafficbasedonpredefinedsecurityrules.A.hubB.firewallC.repeaterD.modem二、案例分析（4道大题，共75分）1.试题一（25分）【场景描述】某集团总部新建园区网络。园区内有A、B、C三栋办公楼，每栋6层，每层约40个信息点；另有一栋数据中心机房和一座会议中心。总部通过运营商专线与两个异地分支机构互联，移动办公人员需通过VPN远程接入。集团要求网络具备高可靠性、易扩展性和可管理性，内部网络使用/16地址段，同时申请了公网地址4/26。(1)请给出该园区网的层次化拓扑设计方案，说明各层设备部署位置及承担的职能。（8分）(2)请给出VLAN规划方案，并基于VLSM为办公区、数据中心区和设备管理网段设计IP地址分配方案，至少写出6个子网。（10分）(3)核心层与汇聚层、汇聚层与接入层之间应如何设计链路以保证带宽与可靠性？说明理由。（7分）2.试题二（20分）3.试题三（15分）4.试题四（15分）三、论文（2题选1，共75分）1.请以“论高可靠性网络系统的设计”为题，结合你参与过的实际项目，写一篇论文。2.请以“论网络系统安全防护体系的设计”为题，结合你参与过的实际项目，写一篇论文。写作要求：•摘要不超过300字，应概括项目背景、主要工作与实施效果；•正文应包括项目背景与需求分析、方案设计或关键技术、实施过程与应用效果、经验总结；•正文2000～2500字，层次清晰，结合本人实际工作，不得凭空虚构。答案（以试题一为例）：论高可靠性网络系统的设计摘要：本文以某三甲医院新院区信息网络建设项目为背景，论述了高可靠性网络系统的设计过程。笔者作为网络规划负责人，参与完成了网络需求分析、总体架构设计、冗余方案制定与实施调优。项目以消除单点故障、实现故障快速收敛为核心目标，综合运用设备虚拟化、链路聚合、VRRP网关冗余、OSPF+BFD快速收敛及双出口冗余接入等关键技术，将核心网络可用性从99.9%提升至99.99%，为HIS、PACS等关键业务提供了高可靠的网络承载平台。文章最后总结了高可靠性网络设计的经验与体会。一、项目背景与需求分析某三甲医院原有网络采用单核心、单链路的简单二层组网，存在明显的单点故障隐患，曾因核心交换机故障导致全院信息系统中断两小时，严重影响医疗业务。在新院区建设中，院方明确提出：核心业务系统需全天候不间断运行，网络整体可用性不低于99.99%；PACS医学影像系统并发高、流量大，主干链路带宽须达到10Gbps并可平滑扩展；网络须满足网络安全等级保护三级要求，并具备良好的可管理性与可扩展性。这些需求对网络架构的冗余性、收敛速度和可维护性提出了很高要求。二、高可靠性设计总体思路高可靠性设计不是简单堆叠冗余设备，而是系统工程。项目遵循“消除单点、快速收敛、分层防御、运维配套”的总体思路，将可靠性划分为四个层面：设备级可靠性，通过虚拟化实现主备无缝切换；链路级可靠性，通过双归接入与链路聚合消除链路单点；路由级可靠性，通过动态路由协议与快速检测机制实现毫秒级收敛；运维级可靠性，通过统一监控与常态化切换演练保障冗余机制持续可用。三、关键技术方案（1）设备冗余与虚拟化。核心层部署两台高端交换机，采用集群虚拟化技术将其虚拟为一台逻辑设备，主备设备之间业务倒换时间控制在50ms以内；汇聚层按楼宇双机部署，与核心形成双归连接。（2）链路冗余与负载分担。核心与汇聚之间采用两条10GE链路实施LACP动态链路聚合，既扩展了带宽又实现故障自动收敛；接入层交换机双上联至两台汇聚交换机，配合MSTP多实例使业务流量均衡分布在两条上行链路上，避免单链路拥塞。（3）路由快速收敛。全网运行OSPF，按功能区划分多个区域；在关键链路上启用BFD快速检测机制，将故障感知时间从秒级压缩到毫秒级，配合OSPF快速收敛特性，实现链路切换对业务无感知。（4）网关冗余。各业务VLAN的网关部署在汇聚层，两台汇聚交换机运行VRRP，并通过Track功能跟踪上行链路状态，链路故障时网关自动切换，保证终端网关不中断。（5）出口冗余。园区出口租用两条不同运营商的专线，采用BGP接入加静态浮动路由互为备份，正常情况下业务流量按策略分流，任一条链路中断时流量自动切换到另一条链路。（6）运维保障。部署统一网管平台与流量分析系统，对设备状态、链路质量、关键业务流量进行全天候监控；每季度开展一次主备切换应急演练，确保冗余机制随时可用。四、实施效果与经验体会项目实施完成后，通过压力测试与专项演练验证：单台核心设备或单条链路故障时业务不中断，切换时间小于1秒，网络可用性达到99.99%，顺利通过等保三级测评，系统运行至今稳定可靠。主要体会有三点：第一，高可靠性设计必须从业务连续性出发，先梳理关键业务流程，再确定冗余等级与技术方案；第二，冗余机制的有效性依赖常态化演练，只有定期验证的备用路径才是真正可靠的路径；第三，可靠性设计应与性能、成本统筹平衡，避免过度设计造成资源浪费。参考答案与解析一、综合知识1.答案：B2.答案：B3.答案：B解析：光纤色散使不同波长（频率）成分的传播速度不同，导致脉冲展宽，当展宽超过一个码元周期时即产生码间干扰。4.答案：C解析：曼彻斯特编码在每个比特中间有一次电平跳变，既提供了时钟同步信号，又使正负电平时间相等，无直流分量。5.答案：B6.答案：A7.答案：C8.答案：B解析：MAC地址表项老化之前，交换机仍按旧表项将帧转发到原端口；表项老化时间过长或终端频繁迁移时会出现此类问题。9.答案：C解析：802.1QTag共4字节，其中VLANID占12bit，取值范围0～4095，可用VLAN数为4094个。10.答案：B11.答案：D解析：RSTP加快了收敛，但本身不提供负载均衡；多实例负载均衡是MSTP的特性。12.答案：A13.答案：B解析：直通转发在接收到帧的目的MAC地址后即开始转发，几乎不缓存，时延最小，但无法过滤CRC错误的帧。14.答案：A解析：/27表示主机位为5位，可用主机数为2515.答案：B解析：容纳50台主机至少需要6个主机位，2616.答案：B解析：第三段12～15的二进制为00001100～00001111，前22位完全相同，故聚合为/22。17.答案：A解析：1200台主机需要11个主机位，21118.答案：A19.答案：C20.答案：C解析：隧道和双栈属于互通过渡技术，NAT64通过地址与协议转换实现IPv6网络与IPv4网络的互访。21.答案：B22.答案：A23.答案：A24.答案：B25.答案：B26.答案：B27.答案：A28.答案：B29.答案：C解析：EIGRP度量由带宽、延迟、可靠性、负载及MTU计算得出，跳数是RIP的度量依据。30.答案：B31.答案：B32.答案：C解析：DNS默认使用UDP53端口完成域名解析，仅在区域传送等场景使用TCP。33.答案：A34.答案：A35.答案：C36.答案：D37.答案：B解析：FTP控制连接使用TCP21端口，数据连接默认使用TCP20端口。38.答案：A39.答案：A40.答案：C41.答案：C42.答案：B43.答案：B44.答案：A45.答案：A46.答案：A47.答案：A48.答案：B49.答案：C50.答案：B解析：OFDMA将信道划分为多个子载波组，允许多用户在同一时刻并行传输，显著提升了密集用户场景下的频谱效率。51.答案：A52.答案：A53.答案：B54.答案：B55.答案：B解析：NFS与CIFS属于文件级网络存储协议，iSCSI将SCSI命令封装在TCP/IP中，提供块级访问。56.答案：A57.答案：B58.答案：A59.答案：B60.答案：A61.答案：B62.答案：B63.答案：B64.答案：A65.答案：A66.答案：D67.答案：B68.答案：A69.答案：A70.答案：B71.答案：B72.答案：C解析：DHCP（DynamicHostConfigurationProtocol）用于自动分配IP地址及相关网络参数。73.答案：A74.答案：C75.答案：B二、案例分析1.答案：(1)采用“核心层—汇聚层—接入层”三层树形架构。•核心层：在数据中心机房部署2台核心交换机，双机通过40GE/100GE链路互联，可采用虚拟化集群技术虚拟为一台逻辑设备。核心层只负责高速、可靠的数据转发，不部署ACL、QoS等消耗转发性能的策略。•汇聚层：每栋楼部署2台汇聚交换机，与核心交换机按“四角”方式全互联。汇聚层是策略实施点，承担VLAN间路由（网关）、ACL安全策略、QoS标记、组播控制等功能。•接入层：每层楼部署1～2台接入交换机，双上行分别连接本楼栋的两台汇聚交换机。接入层负责终端接入、VLAN划分、端口安全（802.1X、MAC绑定）与生成树防环。•可靠性设计上，核心与汇聚、汇聚与接入均为双链路冗余，任意单台设备或单条链路故障不影响业务。(2)VLAN规划按“楼宇+功能”划分，办公区按楼层聚合，服务器区、管理区、互联区单独规划。基于/16的VLSM分配方案示例如下：•VLAN10：A楼1～3层办公区，网段/24•VLAN20：A楼4～6层办公区，网段/24•VLAN30：B楼办公区，网段/22（内部再细分/24网段）•VLAN40：C楼办公区，网段/22（内部再细分/24网段）•VLAN50：数据中心服务器区，网段/24（可按业务再细分为/26，如数据库区/26、应用区4/26）•VLAN60：网络设备管理网段，网段/24•VLAN70：核心设备互联网段，网段/30、/30等每栋楼整体分配一个/22网段（可用地址1022个），可根据楼层和部门进一步做VLSM细分。公网地址4/26用于服务器映射与互联网出口NAT转换。(3)链路设计及理由：•核心—汇聚：采用两条10GE链路做LACP动态链路聚合，两条链路既互为备份又共同承载流量，提高带宽利用率；同时汇聚交换机双归属到两台核心交换机，消除单台核心故障导致的断网风险。核心交换机间通过40GE/100GE互联，保证跨核心流量低时延转发。•汇聚—接入：采用千兆双上联，分别连接本楼栋的两台汇聚交换机；接入交换机启用MSTP/RSTP防止环路，MSTP多实例可让不同VLAN的流量分布在两条上行链路上，实现负载均衡。•理由：单链路存在带宽瓶颈和单点故障；链路聚合兼得带宽扩展与冗余保护；双上联配合生成树多实例可兼顾环路防护与利用率。解析：本题重点考查层次化网络设计、VLSM地址规划及链路冗余设计。评分时关注：三层模型是否完整、各层职能是否正确；VLAN划分是否按业务/位置逻辑清晰；IP子网大小与终端数量是否匹配（估算每栋楼约240个信息点，用/24或/25均可，楼层多则用/22再细分）；链路设计是否同时考虑了带宽与冗余，双上联是否结合了生成树防环。2.【场景描述】某企业内网运行OSPF协议。两台出口路由器R1、R2分别通过两条专线接入运营商ISP-A与ISP-B；R1、R2与各自ISP之间运行EBGP。内网部署有对外提供服务的Web服务器，内网用户也需要访问互联网。(1)双出口接入可采用“主备方式”与“负载分担方式”，请分别说明两种方式的实现方法及优缺点。（8分）(2)如何利用BGP属性分别控制“出方向”和“入方向”的流量？请写出应调整的BGP属性及设置原则。（8分）(3)R1、R2应如何向内部OSPF网络注入默认路由？需要注意什么问题？（4分）2.答案：(1)主备方式：•实现方法：正常情况下全部业务流量走主链路（如R1—ISP-A），备用链路仅保持连接不承载业务。可通过BGP路由策略实现——只让主链路向内部通告完整路由，备用链路通告较少或不通告路由；也可在出口配置浮动静态默认路由，通过路由优先级实现主备切换，并配合BFD实现快速检测。•优点：实现简单、维护方便、路径可控，业务路由清晰稳定。•缺点：备用链路带宽长期闲置，资源利用率低，且切换依赖检测机制的可靠性。负载分担方式：•实现方法：两条链路同时承载业务流量。常用方法包括：在R1、R2上同时向内部OSPF发布默认路由，形成等价多路径（ECMP），使内网流量按负载均衡算法分摊到两条出口链路；或基于策略路由将不同业务（如访问ISP-A的用户、访问ISP-B的用户）分流至不同出口；也可部署链路负载均衡设备进行智能调度。•优点：带宽利用率高，链路互为备份，整体可靠性更好。•缺点：实现复杂，需要精细的路由策略与持续监控，处理不当可能产生次优路由或流量路径震荡。(2)出方向流量控制（决定“内网访问互联网”走哪条链路）：•使用LocalPreference（本地优先级）属性，数值越大越优先。•例：在R1上对来自ISP-A的路由设置较高的本地优先级，在R2上对来自ISP-B的路由设置较低的本地优先级，则内网访问互联网的流量优先经R1从ISP-A转发；反向设置即可实现主备倒换或按运营商分流。入方向流量控制（决定“互联网访问内网服务器”从哪条链路进入）：•使用MED（多出口区分度量）属性，MED越小路径越优。在向ISP通告前缀时，通过route-policy对R1、R2通告的路由分别设置不同的MED，引导对端ISP优先选择指定链路。•使用AS-Path追加（AS-PathPrepending）技术：在EBGP通告路由时多次追加本自治系统AS号，使某条链路路径变长，从而将入流量引导至另一条链路。•注意：入方向控制的效果取决于对端ISP是否采纳本地通告的MED等属性，需与运营商协商确认策略生效。(3)默认路由注入：•在R1、R2上分别配置指向各自ISP的默认路由（/0），再通过OSPF的默认路由通告功能（如default-route-advertise）向内部网络注入默认路由；也可将静态默认路由引入OSPF。•需要注意：两台出口路由器同时注入默认路由时，应通过设置不同的外部路由Metric实现主备或负载分担；同时要配置路由过滤与环路防护，避免内部路由环路，并保证BFD或路由优先级与切换策略联动，实现故障时的快速收敛。解析：本题考查双出口组网与BGP策略控制。核心得分点：LocalPreference控制出方向，MED/AS-Path控制入方向；主备与负载分担在实现、带宽利用和复杂度上的差异；默认路由注入要说明防环与切换联动。注意AS-Path和MED都是影响对端选路的属性，属于入方向控制手段。3.【场景描述】某单位总部与3个分支机构之间需要通过互联网实现安全互访，同时有大量移动办公人员需要远程访问总部的OA、ERP等业务系统。单位要求所有远程访问必须加密，并且整个系统需满足网络安全等级保护2.0三级要求。(1)请对比分析IPSecVPN与SSLVPN的特点，为该单位选择适合的远程接入方案并说明理由。（8分）(2)该单位在总部网络边界应部署哪些安全设备？请说明部署位置及各自作用。（7分）3.答案：(1)两种VPN技术对比：•IPSecVPN：工作在网络层，对整个IP数据包进行加密与封装。支持网关到网关、端到端、端到网关等模式。优点是透明性好、支持所有上层应用、加密由网关或终端处理，性能较高，适合分支机构与总部之间的固定点对点互联。缺点是远程移动用户需要安装客户端软件，配置较复杂，对NAT穿越依赖NAT-T支持。•SSLVPN：工作在应用层，基于HTTPS（443端口）建立安全隧道，用户通过浏览器即可接入，无需安装专用客户端。优点是部署简单、易用性好，可对应用资源做细粒度授权（例如仅允许访问OA、ERP系统的特定资源），天然支持NAT穿越，适合大量分散的移动办公用户。缺点是对非Web应用的支持需要额外组件，SSL加解密处理对设备性能要求较高。选型建议：•分支机构与总部之间：采用IPSecVPN建立网关到网关的安全隧道，提供高可靠的站点间加密互联。•移动办公人员远程接入：采用SSLVPN方案，实现免客户端的快速接入和细粒度应用授权。•理由：该单位移动用户数量大、需求多样，SSLVPN在易用性与访问控制粒度上更匹配；分支互联点对点固定，IPSecVPN更高效稳定。(2)总部网络边界应部署的安全设备及作用：•防火墙：串接部署在互联网出入口，划分不同安全区域（外网、DMZ区、内网），执行区域间访问控制策略。•入侵防御系统（IPS）：串接在防火墙内侧，对进出流量进行深度检测，实时阻断网络攻击。•Web应用防火墙（WAF）：部署在Web服务器区前端，防护SQL注入、XSS、CC攻击等应用层威胁。•VPN网关：用于终止IPSec/SSLVPN隧道，可独立部署，也可由防火墙集成VPN模块实现。•上网行为管理与审计设备（可选）：部署在互联网出口，实现上网行为审计与带宽管理，满足等保安全审计要求。•防DDoS设备：部署在运营商链路入口，或租用运营商流量清洗服务，抵御大流量拒绝服务攻击。•依据等保2.0要求，边界应在访问控制、入侵防范、安全审计等方面进行加固，日