對答案!2025年軟考“網(wǎng)絡(luò)工程師”練習(xí)題已出!一、綜合知識(shí)部分（選擇題，共75題，每題1分）1.關(guān)于OSI參考模型與TCP/IP模型的對應(yīng)關(guān)系，下列說法正確的是：A.OSI的網(wǎng)絡(luò)層對應(yīng)TCP/IP的網(wǎng)絡(luò)接口層B.OSI的傳輸層對應(yīng)TCP/IP的傳輸層C.OSI的會(huì)話層對應(yīng)TCP/IP的應(yīng)用層D.OSI的數(shù)據(jù)鏈路層對應(yīng)TCP/IP的網(wǎng)際層解析：OSI模型分為7層（物理、數(shù)據(jù)鏈路、網(wǎng)絡(luò)、傳輸、會(huì)話、表示、應(yīng)用），TCP/IP分為4層（網(wǎng)絡(luò)接口、網(wǎng)際、傳輸、應(yīng)用）。OSI的傳輸層與TCP/IP的傳輸層直接對應(yīng)（均處理端到端可靠傳輸），因此正確答案為B。A錯(cuò)誤，OSI網(wǎng)絡(luò)層對應(yīng)TCP/IP網(wǎng)際層；C錯(cuò)誤，會(huì)話層屬于OSI上層，TCP/IP應(yīng)用層覆蓋OSI會(huì)話、表示、應(yīng)用三層；D錯(cuò)誤，數(shù)據(jù)鏈路層屬于OSI下兩層，對應(yīng)TCP/IP網(wǎng)絡(luò)接口層（物理+數(shù)據(jù)鏈路）。2.某企業(yè)園區(qū)網(wǎng)采用萬兆以太網(wǎng)，主干鏈路使用單模光纖，若傳輸距離為10公里，應(yīng)選擇的光纖接口類型是：A.SFP+10GBASESRB.SFP+10GBASELRC.SFP+10GBASEERD.SFP+10GBASEZR解析：10G以太網(wǎng)物理層標(biāo)準(zhǔn)中，SR（短距）使用多模光纖，最大傳輸距離300米；LR（長距）使用單模光纖，最大10公里；ER（擴(kuò)展長距）為40公里；ZR（超長距）為80公里。題目中距離10公里，單模光纖，應(yīng)選LR，答案為B。3.關(guān)于VLAN間路由的實(shí)現(xiàn)方式，下列描述錯(cuò)誤的是：A.單臂路由需要在物理接口上配置子接口并封裝802.1QB.三層交換路由通過硬件轉(zhuǎn)發(fā)，性能高于單臂路由C.動(dòng)態(tài)VLAN（基于MAC地址）需要交換機(jī)支持VMPS服務(wù)器D.跨交換機(jī)的VLAN通信必須通過Trunk鏈路，且Trunk默認(rèn)允許所有VLAN通過解析：Trunk鏈路默認(rèn)允許的VLAN是“所有VLAN”，但可通過配置限制允許的VLAN列表（如switchporttrunkallowedvlan10,20），因此D錯(cuò)誤。A正確，單臂路由通過子接口實(shí)現(xiàn)VLAN間路由；B正確，三層交換的路由查找在ASIC中完成，速度快于單臂路由的CPU轉(zhuǎn)發(fā)；C正確，動(dòng)態(tài)VLAN需VMPS（VLAN管理策略服務(wù)器）根據(jù)MAC地址分配VLAN。4.OSPFv3中，鄰居關(guān)系建立的必要條件不包括：A.RouterID唯一B.區(qū)域ID相同C.認(rèn)證類型及密鑰一致D.IPv6鏈路本地地址可達(dá)解析：OSPFv3與OSPFv2的主要區(qū)別之一是不再依賴IP地址建立鄰居，而是通過鏈路本地地址（LinkLocalAddress）。鄰居建立的必要條件包括RouterID唯一、區(qū)域ID相同、認(rèn)證配置一致（若啟用）、Hello包參數(shù)（DeadInterval、HelloInterval）一致。IPv6鏈路本地地址可達(dá)是通信基礎(chǔ)，但并非“必要條件”（因鏈路本地地址是自動(dòng)提供的，只要接口啟用IPv6即存在）。因此答案為D。5.某公司申請到IPv6前綴2001:db8:abcd::/48，需為5個(gè)部門分配子網(wǎng)，每個(gè)部門至少支持2000臺(tái)主機(jī)。合理的子網(wǎng)劃分方案是：A.劃分5位子網(wǎng)位，每個(gè)子網(wǎng)前綴/53B.劃分6位子網(wǎng)位，每個(gè)子網(wǎng)前綴/54C.劃分7位子網(wǎng)位，每個(gè)子網(wǎng)前綴/55D.劃分8位子網(wǎng)位，每個(gè)子網(wǎng)前綴/56解析：IPv6主機(jī)位為128前綴長度。每個(gè)部門需要至少2000臺(tái)主機(jī)，主機(jī)位需≥11位（2^11=2048）。因此子網(wǎng)前綴長度≤12811=117？不，IPv6通常以/64為接口子網(wǎng)（主機(jī)位64位），但題目可能指的是子網(wǎng)劃分。原前綴是/48，要?jiǎng)澐?個(gè)子網(wǎng)，需至少3位（2^3=8≥5）。但每個(gè)子網(wǎng)需要支持2000臺(tái)主機(jī)，實(shí)際IPv6接口子網(wǎng)是/64（主機(jī)位64位，遠(yuǎn)大于2000），因此子網(wǎng)劃分應(yīng)在/48基礎(chǔ)上擴(kuò)展，為每個(gè)部門分配/56前綴（48+8=56），這樣有8位（2^8=256）子網(wǎng)，每個(gè)子網(wǎng)是/56，再劃分為/64接口子網(wǎng)（每個(gè)/56包含2^8=256個(gè)/64子網(wǎng)）。因此正確答案為D（/56），滿足5個(gè)部門需求且預(yù)留擴(kuò)展空間。6.關(guān)于BGP路由屬性，下列說法正確的是：A.LocalPreference僅在AS內(nèi)部傳遞，用于選擇出AS的最優(yōu)路徑B.MED屬性值越小，路徑優(yōu)先級(jí)越高，默認(rèn)情況下跨AS傳遞C.Origin屬性中，IGP的優(yōu)先級(jí)低于EGPD.團(tuán)體屬性（Community）是可選過渡屬性，用于批量路由策略解析：LocalPreference（本地優(yōu)先級(jí)）在AS內(nèi)部（IBGP鄰居）傳遞，值越大越優(yōu)，用于選擇出AS的路徑，A正確。MED默認(rèn)僅在相鄰AS（EBGP鄰居）傳遞，B錯(cuò)誤；Origin優(yōu)先級(jí)：IGP（如通過network宣告）>EGP（如通過EGP協(xié)議學(xué)習(xí)）>Incomplete（如通過重分發(fā)），C錯(cuò)誤；團(tuán)體屬性是可選非過渡屬性（OptionalNontransitive），D錯(cuò)誤。7.某企業(yè)部署WLAN，AP采用瘦AP模式，AC（無線控制器）集中管理。當(dāng)終端從AP1漫游到AP2（同AC下不同AP），關(guān)鍵信令流程不包括：A.終端發(fā)送ProbeRequest探測新AP的信號(hào)B.AP2回復(fù)ProbeResponse，包含SSID和支持的速率C.終端與AP2進(jìn)行802.11認(rèn)證（開放系統(tǒng)或共享密鑰）D.AC更新終端的會(huì)話信息，無需重新關(guān)聯(lián)到AC解析：瘦AP模式下，終端漫游時(shí)，與原AP斷開后，探測新AP并關(guān)聯(lián)，認(rèn)證（若為開放系統(tǒng)則無密碼驗(yàn)證，僅關(guān)聯(lián)），然后通過CAPWAP隧道將信息上報(bào)AC，AC更新終端位置。但802.11認(rèn)證在首次關(guān)聯(lián)時(shí)完成，漫游時(shí)若使用相同SSID和安全策略（如WPA2/WPA3），通常無需重新認(rèn)證，只需重新關(guān)聯(lián)（Reassociation）。因此關(guān)鍵流程不包括C（重新認(rèn)證），答案為C。8.網(wǎng)絡(luò)安全防護(hù)中，關(guān)于入侵檢測系統(tǒng)（IDS）和入侵防御系統(tǒng)（IPS）的區(qū)別，錯(cuò)誤的是：A.IDS是被動(dòng)監(jiān)測，IPS是主動(dòng)阻斷B.IDS通常旁路部署，IPS串聯(lián)部署C.IDS無法檢測加密流量，IPS可解密檢測D.IDS提供警報(bào)，IPS可執(zhí)行ACL阻斷或重置連接解析：加密流量的檢測依賴于是否能解密，IDS和IPS本身不具備解密能力（除非部署SSLVPN網(wǎng)關(guān)并配置解密轉(zhuǎn)發(fā)），因此C錯(cuò)誤。A、B、D均正確：IDS旁路監(jiān)聽，IPS串聯(lián)在鏈路中；IDS僅報(bào)警，IPS可阻斷。9.關(guān)于SDN（軟件定義網(wǎng)絡(luò)）的架構(gòu)，下列描述正確的是：A.控制層通過OpenFlow協(xié)議與數(shù)據(jù)層通信，定義流表規(guī)則B.應(yīng)用層負(fù)責(zé)網(wǎng)絡(luò)狀態(tài)收集和拓?fù)浒l(fā)現(xiàn)C.數(shù)據(jù)層由傳統(tǒng)路由器/交換機(jī)組成，需支持多協(xié)議標(biāo)簽交換（MPLS）D.控制層需實(shí)現(xiàn)路由計(jì)算、流量工程等全局策略，無需考慮南北向接口解析：SDN架構(gòu)分為應(yīng)用層、控制層、數(shù)據(jù)層?？刂茖油ㄟ^南向接口（如OpenFlow）與數(shù)據(jù)層（支持OpenFlow的交換機(jī)）通信，下發(fā)流表，A正確。B錯(cuò)誤，拓?fù)浒l(fā)現(xiàn)由控制層完成；C錯(cuò)誤，數(shù)據(jù)層需支持SDN協(xié)議（如OpenFlow），而非MPLS；D錯(cuò)誤，控制層需支持北向接口（如RESTAPI）供應(yīng)用層調(diào)用。10.網(wǎng)絡(luò)管理中，SNMPv3相比SNMPv1/v2c的主要改進(jìn)是：A.支持更復(fù)雜的MIB對象類型B.增加了認(rèn)證和加密功能C.采用UDP作為傳輸層協(xié)議D.支持批量獲?。℅etBulk）操作解析：SNMPv3的核心改進(jìn)是安全特性，包括認(rèn)證（Authentication）和加密（Privacy），使用HMACMD5/HMACSHA認(rèn)證，DES/AES加密。SNMPv2c已支持GetBulk（D錯(cuò)誤），傳輸層均用UDP（C錯(cuò)誤），MIB對象類型無本質(zhì)差異（A錯(cuò)誤）。答案為B。二、案例分析部分（共4題，每題25分）案例1：企業(yè)園區(qū)網(wǎng)升級(jí)改造某企業(yè)原有園區(qū)網(wǎng)為兩層架構(gòu)（核心層+接入層），使用IPv4，核心交換機(jī)為H3CS12508，接入層為S5130系列。隨著業(yè)務(wù)擴(kuò)展（新增視頻會(huì)議、物聯(lián)網(wǎng)終端），現(xiàn)有網(wǎng)絡(luò)存在以下問題：廣播域過大，接入層廣播流量占比達(dá)30%；IPv4地址不足，部分終端采用NAT后訪問公網(wǎng)，無法實(shí)現(xiàn)端到端通信；視頻會(huì)議流量與辦公流量混傳，偶發(fā)卡頓；物聯(lián)網(wǎng)終端（如攝像頭）頻繁被攻擊，存在非法接入現(xiàn)象。問題1：針對廣播域過大問題，提出接入層VLAN劃分方案。要求：（1）按部門劃分VLAN（市場部、研發(fā)部、財(cái)務(wù)部、行政部、物聯(lián)網(wǎng)區(qū)），共5個(gè)部門；（2）每個(gè)部門終端數(shù)不超過200臺(tái)；（3）描述接入層交換機(jī)的配置步驟（以H3C設(shè)備為例）。解析：（1）VLAN劃分：為每個(gè)部門分配獨(dú)立VLANID（如VLAN10市場部、VLAN20研發(fā)部、VLAN30財(cái)務(wù)部、VLAN40行政部、VLAN50物聯(lián)網(wǎng)區(qū)）。因每個(gè)部門≤200臺(tái)終端，IPv4子網(wǎng)掩碼可設(shè)為/24（支持254臺(tái)），或根據(jù)實(shí)際需求調(diào)整。（2）接入層交換機(jī)配置步驟：①進(jìn)入系統(tǒng)視圖：systemview②創(chuàng)建VLAN：vlan10、vlan20等；③配置接入端口為Access模式并劃分VLAN：interfaceGigabitEthernet0/0/1，portlinktypeaccess，portaccessvlan10；④配置Trunk端口連接核心交換機(jī)：interfaceGigabitEthernet0/0/24，portlinktypetrunk，porttrunkallowpassvlan1020304050；⑤開啟DHCP服務(wù)（可選）：在核心層或接入層配置DHCP地址池，為各VLAN分配IP段（如VLAN10對應(yīng)192.168.10.0/24）。問題2：設(shè)計(jì)IPv6升級(jí)方案，解決IPv4地址不足問題。要求：（1）采用EUI64方式提供接口IPv6地址；（2）核心交換機(jī)與接入層交換機(jī)間使用IPv6路由；（3）描述OSPFv3在核心層與接入層的配置要點(diǎn)（假設(shè)核心交換機(jī)為Core，接入層為Access）。解析：（1）EUI64地址提供：將MAC地址的第7位取反（如MAC為00:1A:2B:3C:4D:5E，轉(zhuǎn)換為02:1A:2B:FF:FE:3C:4D:5E），結(jié)合網(wǎng)絡(luò)前綴（如2001:db8:企業(yè)ID::/64）提供接口地址（2001:db8:企業(yè)ID::021A:2BFF:FE3C:4D5E）。（2）核心與接入層IPv6路由：核心交換機(jī)配置IPv6全局地址，接入層交換機(jī)接口啟用IPv6，通過OSPFv3建立鄰居，發(fā)布路由。（3）OSPFv3配置要點(diǎn)（H3C設(shè)備）：Core配置：啟用IPv6：ipv6進(jìn)入OSPFv3進(jìn)程：ospfv31routerid1.1.1.1進(jìn)入接口（如與Access連接的G0/0/1）：interfaceGigabitEthernet0/0/1啟用OSPFv3：ospfv31area0.0.0.0Access配置：啟用IPv6：ipv6進(jìn)入OSPFv3進(jìn)程：ospfv31routerid2.2.2.2進(jìn)入接口（如與Core連接的G0/0/24）：interfaceGigabitEthernet0/0/24啟用OSPFv3：ospfv31area0.0.0.0需確保兩臺(tái)設(shè)備區(qū)域ID相同（area0），RouterID唯一，接口IPv6鏈路本地地址可達(dá)。問題3：部署QoS解決視頻會(huì)議卡頓問題。要求：（1）識(shí)別視頻會(huì)議流量（UDP5000050100端口）；（2）設(shè)置優(yōu)先級(jí)為EF（ExpeditedForwarding），帶寬保證20%；（3）描述接入層交換機(jī)的QoS配置步驟（基于H3CiMC或命令行）。解析：（1）流量識(shí)別：使用ACL匹配UDP源或目的端口5000050100。（2）分類與標(biāo)記：將匹配的流量標(biāo)記為DSCP46（對應(yīng)EF）。（3）流量整形：為EF類分配20%接口帶寬（如萬兆接口，20%為2Gbps）。配置步驟（命令行）：①定義ACL：acladvanced3000rule0permitudpdestinationportrange5000050100②定義流分類：trafficclassifiervideoifmatchacl3000③定義流行為（標(biāo)記DSCP）：trafficbehaviorvideobehaviorremarkdscpef④定義流策略：trafficpolicyvideopolicyclassifiervideobehaviorvideobehavior⑤定義隊(duì)列調(diào)度（帶寬保證）：qosqueueprofilevideoqueuequeue2typeefbandwidth20⑥應(yīng)用策略到接口（如接入層上聯(lián)核心的端口）：interfaceGigabitEthernet0/0/24qosapplypolicyvideopolicyinboundqosqueueprofilevideoqueueoutbound問題4：針對物聯(lián)網(wǎng)終端非法接入，設(shè)計(jì)安全防護(hù)方案。要求：（1）防止未授權(quán)設(shè)備接入網(wǎng)絡(luò)；（2）限制物聯(lián)網(wǎng)終端僅能訪問指定服務(wù)器（IP：192.168.50.100）；（3）描述接入層交換機(jī)的802.1X認(rèn)證配置及ACL規(guī)則。解析：（1）802.1X認(rèn)證：接入層交換機(jī)啟用802.1X，要求物聯(lián)網(wǎng)終端（接入口）通過認(rèn)證后才能訪問網(wǎng)絡(luò)。認(rèn)證服務(wù)器（如RADIUS）存儲(chǔ)合法終端的MAC或用戶名/密碼。（2）ACL限制訪問：在接入層交換機(jī)配置擴(kuò)展ACL，僅允許認(rèn)證后的物聯(lián)網(wǎng)終端訪問192.168.50.100，拒絕其他流量。配置步驟（H3C設(shè)備）：①802.1X配置：interfaceGigabitEthernet0/0/110（物聯(lián)網(wǎng)接入端口）portlinktypeaccessportaccessvlan50dot1xenabledot1xportmethodmacbased（基于MAC認(rèn)證）radiusscheme1servertyperadusprimaryauthentication192.168.1.1001812keyauthenticationsimpleadmin123②ACL配置：acladvanced3001rule0permitipsource192.168.50.00.0.0.255destination192.168.50.1000.0.0.0rule1denyipsource192.168.50.00.0.0.255③應(yīng)用ACL到VLAN50接口：interfaceVlaninterface50packetfilter3001inbound案例2：數(shù)據(jù)中心網(wǎng)絡(luò)故障排查某數(shù)據(jù)中心核心交換機(jī)（Arista7800R3）與兩臺(tái)葉交換機(jī)（Leaf1、Leaf2）通過SPF+接口互聯(lián)，拓?fù)錇椤昂诵碾p葉”結(jié)構(gòu)。近期業(yè)務(wù)服務(wù)器（連接Leaf1）訪問外部云平臺(tái)時(shí)出現(xiàn)延遲（正常<10ms，當(dāng)前50200ms），但同數(shù)據(jù)中心內(nèi)服務(wù)器通信正常。問題1：列出可能的故障點(diǎn)（至少5個(gè)）。解析：（1）核心與Leaf1互聯(lián)鏈路擁塞（流量超過接口帶寬）；（2）核心或Leaf1的接口光模塊故障（如光衰過大）；（3）核心或Leaf1的路由表項(xiàng)錯(cuò)誤（如到云平臺(tái)的路由下一跳指向錯(cuò)誤設(shè)備）；（4）QoS策略配置錯(cuò)誤（外部流量被錯(cuò)誤限速或丟棄）；（5）云平臺(tái)側(cè)網(wǎng)絡(luò)故障（如網(wǎng)關(guān)路由震蕩、防火墻策略阻斷）；（6）核心交換機(jī)的MAC地址表或ARP表老化異常（導(dǎo)致廣播風(fēng)暴）；（7）Leaf1上聯(lián)口的流表規(guī)則錯(cuò)誤（SDN場景下）。問題2：設(shè)計(jì)排查步驟，定位故障點(diǎn)（需包含關(guān)鍵命令）。解析：①檢查鏈路狀態(tài)：在Leaf1執(zhí)行`showinterfacesstatus`，確認(rèn)SPF+接口狀態(tài)為“up”，無CRC錯(cuò)誤、丟包；②檢查帶寬利用率：在核心和Leaf1執(zhí)行`showinterfacescountersrate`，查看互聯(lián)接口入/出速率是否接近或超過10Gbps；③驗(yàn)證路由可達(dá)性：在業(yè)務(wù)服務(wù)器執(zhí)行`traceroute云平臺(tái)IP`，查看跳數(shù)和每跳延遲；在Leaf1執(zhí)行`showiproute云平臺(tái)IP`，確認(rèn)下一跳為核心交換機(jī)，且路由協(xié)議（如BGP）狀態(tài)為“valid”；④檢查QoS配置：在核心交換機(jī)執(zhí)行`showqosinterface上聯(lián)口`，確認(rèn)外部流量的隊(duì)列調(diào)度、帶寬分配是否正常；⑤測試光模塊性能：在Leaf1執(zhí)行`showinterfacestransceiverdetail`，檢查光功率（接收功率應(yīng)在3dBm至18dBm之間，發(fā)射功率在3dBm左右）；⑥抓包分析：在核心交換機(jī)上聯(lián)口（到云平臺(tái)）執(zhí)行`packetcaptureinterface上聯(lián)口`，查看是否有異常流量（如ICMP重定向、TCP重傳）；⑦驗(yàn)證云平臺(tái)側(cè)：聯(lián)系云服務(wù)商，確認(rèn)其網(wǎng)關(guān)是否收到數(shù)據(jù)中心流量，防火墻是否有阻斷日志。案例3：5G邊緣計(jì)算網(wǎng)絡(luò)部署某運(yùn)營商部署5G邊緣計(jì)算（MEC）節(jié)點(diǎn)，需在邊緣數(shù)據(jù)中心（靠近基站）部署服務(wù)器，要求：支持低時(shí)延（<10ms）的工業(yè)控制業(yè)務(wù)；與核心網(wǎng)（CN）通過IPSecVPN互聯(lián)；邊緣服務(wù)器需訪問本地物聯(lián)網(wǎng)平臺(tái)（IP：10.10.10.10），禁止訪問互聯(lián)網(wǎng)。問題1：設(shè)計(jì)邊緣數(shù)據(jù)中心網(wǎng)絡(luò)架構(gòu)，包含網(wǎng)絡(luò)設(shè)備選型及連接方式。解析：架構(gòu)分層：接入層（連接服務(wù)器）、匯聚層（連接基站和核心網(wǎng)）、核心層（可選，若規(guī)模大）。設(shè)備選型：接入層：萬兆/25G以太網(wǎng)交換機(jī)（如華為CE6850），支持VXLAN（虛擬擴(kuò)展局域網(wǎng)）隔離不同業(yè)務(wù)；匯聚層：支持IPSecVPN的路由器（如華為NE5000E），提供與核心網(wǎng)的安全互聯(lián)；核心層：若邊緣數(shù)據(jù)中心規(guī)模大，可增加核心交換機(jī)（如Arista7500），實(shí)現(xiàn)高帶寬轉(zhuǎn)發(fā)。連接方式：服務(wù)器通過萬兆光口連接接入層交換機(jī)；接入層交換機(jī)通過25G光口上聯(lián)匯聚層路由器；匯聚層路由器通過100G光口與核心網(wǎng)路由器建立IPSec隧道（使用ESP協(xié)議，AES256加密，SHA256認(rèn)證）；基站通過5G前傳接口（如eCPRI）連接匯聚層設(shè)備，實(shí)現(xiàn)用戶面（UPF）和控制面（AMF）流量分離。問題2：配置IPSecVPN，要求：（1）采用主模式（MainMode）協(xié)商；（2）第一階段SA（ISAKMP）使用AES128加密、SHA1認(rèn)證、DH組5；（3）第二階段SA（IPSec）使用3DES加密、SHA1認(rèn)證；（4）描述華為設(shè)備的配置命令。解析：配置步驟（華為NE5000E）：①配置IKE對等體：ikepeermeccorepresharedkeysimpleHuawei@123exchangemodemainlocaladdress202.100.1.1（邊緣側(cè)公網(wǎng)IP）remoteaddress202.100.2.1（核心網(wǎng)側(cè)公網(wǎng)IP）②配置IKE提議（第一階段）：ikeproposalmecproposalencryptionalgorithmaes128authenticationalgorithmsha1dhgroup5③關(guān)聯(lián)IKE提議到對等體：ikepeermeccoreproposalmecproposal④配置IPSec提議（第二階段）：ipsecproposalmecipsectransformesp3desespsha1hmac⑤配置IPSec策略：ipsecpolicymecpolicy1isakmpsecurityacl2000（定義需加密的流量：如源10.10.0.0/16，目的核心網(wǎng)IP段）proposalmecipsecikepeermeccore⑥應(yīng)用IPSec策略到