2026年網(wǎng)絡(luò)工程師考試網(wǎng)絡(luò)設(shè)備管理與安全防護題集一、單選題（共5題，每題2分）1.在配置交換機時，若需要限制某一端口的最大連接設(shè)備數(shù)量，應(yīng)使用以下哪種技術(shù)？A.VLANTrunkingB.PortSecurityC.SpanningTreeProtocolD.LinkAggregation2.某企業(yè)網(wǎng)絡(luò)中，交換機端口1、2、3分別連接了三臺PC，但只有端口1的PC能正常通信。排查時發(fā)現(xiàn)端口2和3設(shè)置了MAC地址過濾，且過濾列表中未包含其他兩臺PC的MAC地址。此時應(yīng)采取哪種措施解決端口2和3的通信問題？A.修改交換機VLAN配置B.禁用端口2和3的PortSecurity功能C.在核心交換機上配置ACLD.重啟交換機3.在配置防火墻時，若需要允許內(nèi)部網(wǎng)絡(luò)用戶訪問外部Web服務(wù)器（HTTP端口80），但禁止訪問其他所有服務(wù)，應(yīng)使用以下哪種防火墻策略？A.允許所有TCP流量B.允許HTTP（TCP端口80）流量，拒絕其他所有TCP流量C.允許所有UDP流量D.僅允許HTTPS（TCP端口443）流量4.某公司網(wǎng)絡(luò)中部署了思科Catalyst2960交換機，若需要監(jiān)控某一端口的流量異常（如DDoS攻擊），應(yīng)使用以下哪種工具？A.NetFlowB.PortMirroringC.STPD.QoSPriority5.在配置VPN時，若需要在遠(yuǎn)程訪問場景下實現(xiàn)雙向加密，應(yīng)選擇以下哪種協(xié)議？A.IPsecB.SSLVPNC.L2TPD.PPTP二、多選題（共5題，每題3分）1.在配置交換機時，以下哪些措施有助于提高網(wǎng)絡(luò)安全性？A.啟用端口安全功能B.配置靜態(tài)VLANC.禁用自動MDI/MDI-X轉(zhuǎn)換D.使用動態(tài)VLAN分配2.在配置防火墻時，以下哪些策略有助于防止端口掃描攻擊？A.限制掃描頻率的速率限制（RateLimiting）B.配置靜態(tài)NATC.啟用入侵檢測系統(tǒng)（IDS）D.阻止所有未知端口號的入站流量3.在配置路由器時，若需要實現(xiàn)多路徑負(fù)載均衡，應(yīng)使用以下哪些協(xié)議？A.OSPFB.BGPC.EIGRPD.RIP4.在配置無線網(wǎng)絡(luò)時，以下哪些措施有助于提高安全性？A.啟用WPA3加密B.配置MAC地址過濾C.使用隱藏SSIDD.限制最大連接數(shù)5.在配置VPN時，以下哪些協(xié)議支持站點到站點的加密連接？A.IPsecB.SSLVPNC.L2TPD.GREoverIPsec三、判斷題（共5題，每題2分）1.在配置交換機時，啟用PortSecurity功能會導(dǎo)致端口性能下降。（正確/錯誤）2.防火墻的ACL規(guī)則通常采用“先入先出”原則。（正確/錯誤）3.在配置VPN時，IPsec協(xié)議默認(rèn)使用AES-256加密算法。（正確/錯誤）4.交換機的STP協(xié)議默認(rèn)優(yōu)先級為128。（正確/錯誤）5.無線網(wǎng)絡(luò)中使用WEP加密已被認(rèn)為是不安全的。（正確/錯誤）四、簡答題（共3題，每題5分）1.簡述交換機PortSecurity功能的工作原理及其作用。2.簡述防火墻ACL規(guī)則的基本配置步驟。3.簡述配置VPN時需要考慮的關(guān)鍵參數(shù)及其作用。五、綜合題（共2題，每題10分）1.某企業(yè)網(wǎng)絡(luò)中部署了思科Catalyst3750交換機，交換機端口1連接到防火墻，端口2-4分別連接到三個部門PC?，F(xiàn)要求：-端口2-4僅允許各自部門PC的MAC地址訪問，禁止其他設(shè)備接入。-端口1僅允許HTTP（TCP端口80）和HTTPS（TCP端口443）流量通過。請簡述配置步驟。2.某公司需要部署VPN實現(xiàn)總部與分支機構(gòu)的加密連接，現(xiàn)要求：-總部和分支機構(gòu)均部署了思科ISR路由器，使用IPsec協(xié)議。-需要實現(xiàn)雙向加密，且流量通過GRE隧道傳輸。請簡述配置步驟。答案與解析一、單選題1.B-解析：PortSecurity功能用于限制端口的最大連接設(shè)備數(shù)量，通過MAC地址過濾防止非法設(shè)備接入。其他選項均與端口安全無關(guān)。2.B-解析：端口2和3設(shè)置了MAC地址過濾，需將其他兩臺PC的MAC地址添加到過濾列表中，禁用PortSecurity可臨時解決但非最佳方案。3.B-解析：僅允許HTTP（TCP端口80）流量，拒絕其他所有TCP流量，可精確控制訪問權(quán)限。4.A-解析：NetFlow可用于監(jiān)控端口流量異常，如DDoS攻擊；PortMirroring用于鏡像流量分析，STP用于鏈路冗余，QoS用于流量優(yōu)先級。5.A-解析：IPsec適用于遠(yuǎn)程訪問和站點到站點的加密，SSLVPN主要用于Web訪問，L2TP和PPTP安全性較低。二、多選題1.A,B,C-解析：PortSecurity限制非法設(shè)備接入，靜態(tài)VLAN減少廣播域，禁用自動MDI/MDI-X防止線纜問題；動態(tài)VLAN增加管理復(fù)雜性。2.A,C,D-解析：速率限制可防掃描，IDS可檢測攻擊，阻止未知端口可減少掃描面；靜態(tài)NAT與端口掃描無關(guān)。3.A,B,C-解析：OSPF、BGP、EIGRP支持多路徑負(fù)載均衡；RIP僅支持單路徑。4.A,B,D-解析：WPA3加密安全，MAC過濾限制接入，限制連接數(shù)防攻擊；隱藏SSID可增加隱蔽性，但需結(jié)合其他措施。5.A,D-解析：IPsec支持站點到站點，GREoverIPsec可傳輸IPsec流量；SSLVPN和L2TP主要用于遠(yuǎn)程訪問。三、判斷題1.正確-解析：PortSecurity需存儲MAC地址，增加CPU負(fù)擔(dān)，導(dǎo)致性能下降。2.錯誤-解析：ACL規(guī)則采用“最長匹配”原則，而非“先入先出”。3.正確-解析：IPsec默認(rèn)使用AES-256加密，但可配置其他算法。4.錯誤-解析：交換機STP默認(rèn)優(yōu)先級為32768，非128。5.正確-解析：WEP已被破解，不安全；WPA/WPA2/WPA3更推薦。四、簡答題1.交換機PortSecurity工作原理及其作用-原理：通過MAC地址綁定到端口，限制端口的最大連接設(shè)備數(shù)量（如1個）。當(dāng)超過限制時，可拒絕新設(shè)備接入或進入保護模式。-作用：防止ARP欺騙、MAC泛洪攻擊，提高端口安全性。2.防火墻ACL規(guī)則配置步驟-步驟：1.定義ACL編號（如100）和名稱（如“Allow_HTTP”）。2.配置規(guī)則（如“permitipanyanyeq80”）。3.將ACL應(yīng)用到接口（如“access-group100in”）。3.VPN配置關(guān)鍵參數(shù)及其作用-參數(shù)：-加密算法（如AES-256）：保障數(shù)據(jù)機密性。-身份驗證（如預(yù)共享密鑰/證書）：驗證對端身份。-NAT穿越（如NAT-T）：解決NAT環(huán)境下的VPN問題。-隧道協(xié)議（如IPsec/L2TP）：傳輸加密流量。五、綜合題1.交換機配置步驟端口2-4配置PortSecurityinterfaceGigabitEthernet0/2switchportmodeaccessswitchportaccessvlan10switchportport-securitymaximum1switchportport-securitymac-address00:1A:2B:3C:4D:5EnoshutdowninterfaceGigabitEthernet0/3switchportmodeaccessswitchportaccessvlan20switchportport-securitymaximum1switchportport-securitymac-address00:1A:2C:3D:4E:5FnoshutdowninterfaceGigabitEthernet0/4switchportmodeaccessswitchportaccessvlan30switchportport-securitymaximum1switchportport-securitymac-address00:1A:2E:3F:4F:60noshutdown端口1配置ACLaccess-list101permittcpanyanyeq80access-list101permittcpanyanyeq443interfaceGigabitEthernet0/1ipaccess-group101innoshutdown2.VPN配置步驟總部配置interfaceTunnel0ipaddress52tunnelsourceGigabitEthernet0/0tunneldestinationtunnelmodeipsecipv4isakmpkey12345addressipsectransform-setMYSETesp-aes256esp-hmacsha256ipsecprofileMYPROFILEsetsecurity-associationlifetimeseconds3600setsecurity-associationlifetimebytes500000000tunnelipsecprofileMYPROFILEnoshutdown分支機構(gòu)配置interfaceTunnel0ipaddress52tunnelsourceGigabitEthernet0/0tunneldestinationtunnelmodeipsecipv4isakmpkey12345addressipsectransform-setMYSETesp-a