2025年11月軟考中級網絡工程師應用題參考答案某集團公司擬構建企業(yè)網絡，網絡拓撲包括總部園區(qū)和異地分支，總部劃分為研發(fā)部（150臺終端）、銷售部（100臺終端）、財務部（60臺終端）、DMZ區(qū)（20臺服務器）及管理子網（10臺運維終端）。分支網絡包含50臺終端。網絡出口通過防火墻連接ISP，要求完成以下任務：一、IP地址規(guī)劃與子網劃分給定內部地址塊為/16，需基于VLSM為各部門分配子網。1.研發(fā)部（150臺）：需滿足150+2（網絡/廣播地址）=152個地址，主機位需8位（2?-2=254≥152），子網掩碼為/24（32-8=24）。分配/24（可用地址-54）。2.銷售部（100臺）：需100+2=102個地址，主機位需7位（2?-2=126≥102），子網掩碼為/25（32-7=25）。分配/25（可用地址-26）。3.財務部（60臺）：需60+2=62個地址，主機位需6位（2?-2=62），子網掩碼為/26（32-6=26）。分配28/26（可用地址29-90）。4.DMZ區(qū)（20臺）：需20+2=22個地址，主機位需5位（2?-2=30≥22），子網掩碼為/27（32-5=27）。分配/27（可用地址-0）。5.管理子網（10臺）：需10+2=12個地址，主機位需4位（2?-2=14≥12），子網掩碼為/28（32-4=28）。分配2/28（可用地址3-6）。6.分支網絡（50臺）：需50+2=52個地址，主機位需6位（2?-2=62≥52），子網掩碼為/26（32-6=26）。分配/26（可用地址-2）。二、交換機VLAN與接口配置總部接入層交換機S1連接各部門終端，匯聚層交換機S2連接S1與三層核心交換機S3（網關設備）。-VLAN劃分：研發(fā)部VLAN10（/24）、銷售部VLAN20（/25）、財務部VLAN30（28/26）、DMZVLAN40（/27）、管理VLAN50（2/28）。-S1接口配置：E0/1-E0/20（研發(fā)部）：`switchportmodeaccess;switchportaccessvlan10`E0/21-E0/30（銷售部）：`switchportmodeaccess;switchportaccessvlan20`E0/31-E0/36（財務部）：`switchportmodeaccess;switchportaccessvlan30`E0/48（上聯S2）：`switchportmodetrunk;switchporttrunkallowedvlan10,20,30,40,50`-S3三層接口配置：`interfacevlan10;ipaddress54`（研發(fā)部網關）`interfacevlan20;ipaddress2628`（銷售部網關）`interfacevlan30;ipaddress9092`（財務部網關）`interfacevlan40;ipaddress024`（DMZ網關）`interfacevlan50;ipaddress640`（管理網關）三、路由協(xié)議配置（OSPF）總部路由器R1（連接S3與ISP）、分支路由器R2（連接分支交換機與ISP）需通過OSPF實現互訪，區(qū)域ID為0。-R1配置：`routerospf1``network55area0`（研發(fā)部）`network27area0`（銷售部）`network283area0`（財務部）`network1area0`（DMZ）`network25area0`（管理子網）`networkarea0`（ISP連接口，IP/30）-R2配置：`routerospf1``network3area0`（分支網絡）`networkarea0`（ISP連接口，IP/30）四、ACL與訪問控制要求銷售部（VLAN20，/25）僅能訪問DMZ的Web服務器（），禁止訪問郵件服務器（0）。-擴展ACL配置（編號101）：`access-list101permittcp27hosteq80`（允許HTTP訪問Web）`access-list101denytcp27host0eq25`（禁止SMTP訪問郵件）`access-list101denytcp27host0eq110`（禁止POP3訪問郵件）`access-list101permitipanyany`（允許其他流量）-應用ACL：在S3的VLAN20接口（G0/2）出方向應用：`ipaccess-group101out`五、NAT地址轉換總部需將內部私有地址轉換為公網地址池-0（10個地址），DMZ的Web服務器（）需靜態(tài)映射到1。-動態(tài)NAT（PAT）配置：`access-list100permitip55any`（允許所有內部網絡）`ipnatpoolnat_pool0netmask40`（地址池）`ipnatinsidesourcelist100poolnat_pooloverload`（啟用PAT）-靜態(tài)NAT配置：`ipnatinsidesourcestatic1`-接口綁定：R1的G0/1（連接S3）設為`ipnatinside`，G0/0（連接ISP）設為`ipnatoutside`六、無線AP配置（銷售部）銷售部部署無線AP（型號H3CWA5320），連接S1的E0/37端口（VLAN20），要求SSID為“Sales-WiFi”，采用WPA3-PSK加密，信道6（避免干擾）。-AP基礎配置：`interfacegigabitethernet0/0`（連接S1的端口）`portlink-typeaccess``portdefaultvlan20`-無線服務配置：`wlanservice-template1crypto``ssidSales-WiFi``securitywpa3pskpass-phraseSecurePass123aes``service-templateenable``interfacewlan-bss1``portaccessvlan20``channel6``transmit-power20`（發(fā)射功率20dBm）七、廣域網QoS配置總部與分支的廣域網鏈路（帶寬10Mbps）需保障語音流量（SIP5060端口，RTP10000-20000端口）的4Mbps帶寬，延遲≤100ms。-QoS策略配置：`class-mapmatch-anyVoice``matchprotocolsip``matchportrange1000020000``class-mapmatch-anyWeb``matchprotocolhttp``matchprotocolhttps``policy-mapWAN-Policy``classVoice``bandwidth4000`（4Mbps）`setdscpef``classWeb``bandwidth3000`（3Mbps）`setdscpaf21``classclass-default``fair-queue`-應用策略：在R1的廣域網接口（Serial0/0/0）出方向應用：`service-policyoutputWAN-Policy`八、故障排查（研發(fā)部無法訪問DMZ）現象：研發(fā)部終端能ping通網關（54），但無法訪問DMZ的Web服務器（）。排查步驟：1.終端配置檢查：確認研發(fā)部終端IP（10.1.1.x/24）、子網掩碼（）、網關（54）配置正確。2.路徑追蹤：使用`traceroute`，查看是否在S3或R1處丟包。3.路由表驗證：檢查S3的路由表（`showiproute`），確認存在到DMZVLAN40（/27）的直連路由（C/27isdirectlyconnected,Vlan40）。4.ACL檢查：檢查S3的接口是否應用ACL（`showipaccess-lists`），確認無針對研發(fā)部（/24）到DMZ的拒