{"name":"计算机技术与软件专业技术资格（网络工程师）题库","level":"中级","org":"人力资源和社会保障部门、工业和信息化部门","count":300,"questions":[{"id":1,"type":"single","stem":"某企业园区网采用 RIP 作为动态路由协议，网络管理员发现一台路由器上学习到的某条目的路由度量值为 16，该值表示的含义是","options":["该路由可达且跳数为 16","该路由不可达应被删除","该路由为默认路由的备用路径","该路由需等待下一个更新周期再确认"],"answer":[1],"explanation":"RIP 规定最大有效跳数为 15，度量值 16 表示目的地不可达，路由器会将该路由标记为不可达并在更新中通告，收到后应删除该路由。选项A错误，16 已超过 RIP 有效跳数上限，不代表正常可达；选项C错误，默认路由与度量值是否为 16 无固定关联；选项D错误，16 不是等待确认的中间状态，而是不可达的判定值。","tier":"进阶"},{"id":2,"type":"single","stem":"网络管理员在路由器上执行 display ip routing-table 后看到一条目的地址为 0.0.0.0、掩码为 0.0.0.0 的路由，该路由在转发报文时的作用是","options":["匹配所有无法被其他明细路由匹配的报文","匹配所有目的地址为环回地址的报文","匹配所有组播目的地址的报文","匹配所有直连网段内的报文"],"answer":[0],"explanation":"0.0.0.0/0 是默认路由，当报文目的地址不能匹配路由表中任何更具体的明细路由时，按默认路由转发。选项B错误，环回地址有专门的路由或由协议栈本地处理，不由默认路由匹配；选项C错误，组播报文按组播路由表或组播转发机制处理；选项D错误，直连网段由直连路由精确匹配，不会落到默认路由。","tier":"基础"},{"id":3,"type":"single","stem":"某公司需将总部与分支机构的多个 VLAN 通过运营商三层网络互联，且要求各 VLAN 间路由由总部统一控制，较合适的方案是","options":["总部与分支之间直接启用 VTP 同步","总部与分支之间建立 GRE 隧道承载私网路由","总部与分支之间启用 STP 防止环路","总部与分支之间使用端口镜像传输流量"],"answer":[1],"explanation":"跨运营商三层网络互联多个私网 VLAN 且要求总部统一控制路由，通常采用 GRE 隧道在公网上承载私网流量，再由总部集中做三层转发与路由控制。选项A错误，VTP 是二层 VLAN 数据库同步协议，不能跨三层网络同步且易引发 VLAN 配置风险；选项C错误，STP 用于二层防环，无法实现跨三层网络的私网互联；选项D错误，端口镜像用于流量监控，不具备互联与路由功能。","tier":"挑战"},{"id":4,"type":"single","stem":"在配置 IPsec VPN 时，管理员发现 IKE 第一阶段协商失败，检查发现两端配置的预共享密钥不一致，该问题影响的是 IKE 的哪个阶段功能","options":["第一阶段主模式的身份认证","第二阶段快速模式的安全联盟","第三阶段的报文加密","第四阶段的抗重放检查"],"answer":[0],"explanation":"IKE 第一阶段用于建立 IKE SA，其中主模式或野蛮模式会对对端进行身份认证，预共享密钥不一致会导致认证失败。选项B错误，第二阶段快速模式是在第一阶段成功之后协商 IPsec SA，不是预共享密钥直接作用的阶段；选项C错误，IKE 没有所谓的第三阶段报文加密；选项D错误，抗重放由 IPsec SA 的序列号机制实现，与预共享密钥一致性无直接关系。","tier":"进阶"},{"id":5,"type":"single","stem":"网络管理员在交换机上配置 DHCP Snooping 后，连接合法 DHCP 服务器的端口应配置为","options":["信任端口","非信任端口","镜像端口","隔离端口"],"answer":[0],"explanation":"DHCP Snooping 通过将连接合法 DHCP 服务器的端口设为信任端口，只允许信任端口转发 DHCP 应答报文，从而防止私设 DHCP 服务器。选项B错误，非信任端口会丢弃 DHCP 应答报文，连接合法服务器会导致客户端无法获取地址；选项C错误，镜像端口用于流量复制，与 DHCP Snooping 信任机制无关；选项D错误，隔离端口用于端口隔离，不用于 DHCP Snooping 信任设置。","tier":"基础"},{"id":6,"type":"single","stem":"某网络使用 VRRP 实现网关冗余，管理员希望 Master 路由器故障后 Backup 能尽快接管，可调整的参数是","options":["增大 Advertisement 报文发送间隔","减小 Advertisement 报文发送间隔","增大虚拟路由器的 IP 地址","增大 Backup 的优先级数值"],"answer":[1],"explanation":"VRRP 中 Backup 通过 Advertisement 报文的超时判断 Master 是否故障，减小发送间隔可缩短故障检测时间，从而更快切换。选项A错误，增大发送间隔会延长检测时间，切换更慢；选项C错误，虚拟 IP 地址大小与切换速度无关；选项D错误，Backup 优先级数值增大只影响选举结果，不影响故障检测与接管速度。","tier":"进阶"},{"id":7,"type":"single","stem":"在 Linux 服务器上执行 tcpdump 抓包时，希望只捕获目的端口为 443 的 TCP 报文，正确的过滤表达式是","options":["tcp dst port 443","tcp src port 443","udp dst port 443","ip dst port 443"],"answer":[0],"explanation":"tcpdump 过滤表达式中 tcp dst port 443 表示仅捕获 TCP 协议且目的端口为 443 的报文。选项B错误，src port 443 表示源端口为 443，方向相反；选项C错误，443 通常为 TCP 服务端口，且 udp 协议不符；选项D错误，ip 是网络层协议，不能直接指定端口，端口属于传输层概念。","tier":"基础"},{"id":8,"type":"single","stem":"某企业网络出现部分用户访问外网缓慢，管理员在核心交换机上查看接口流量发现某端口广播报文占比异常高，最可能的原因是","options":["该端口下存在二层环路","该端口配置了错误的 IP 地址","该端口的光模块波长不匹配","该端口的双工模式被设为全双工"],"answer":[0],"explanation":"广播报文占比异常高通常提示二层环路导致广播风暴，需检查生成树与端口连接。选项B错误，IP 地址配置错误影响三层可达性，不会造成广播报文异常升高；选项C错误，光模块波长不匹配通常导致链路不通或误码，不表现为广播占比高；选项D错误，全双工是正常配置，双工不匹配才会引发冲突和性能下降，但不会使广播占比异常升高。","tier":"进阶"},{"id":9,"type":"single","stem":"网络管理员在配置 SNMP 时，希望管理站能主动读取被管设备的接口流量信息，且被管设备在发生接口 up/down 时主动上报，应配置的组合是","options":["配置只读团体名并启用 Trap","配置读写团体名并关闭 Trap","配置只读团体名并关闭 Trap","配置读写团体名并启用 Trap"],"answer":[0],"explanation":"管理站主动读取信息需要只读团体名即可完成 Get 操作，被管设备主动上报接口状态变化需要启用 Trap。选项B错误，读写团体名用于 Set 操作，且关闭 Trap 无法主动上报；选项C错误，关闭 Trap 后设备不会主动上报接口 up/down；选项D错误，读写团体名权限过大且并非读取流量信息所必需，最小权限原则下应使用只读。","tier":"进阶"},{"id":10,"type":"single","stem":"在园区网核心层部署两台交换机做VRRP时，若要让Master路由器在转发用户流量同时承担网关角色，且备设备平时不转发用户数据，应采用的VRRP工作模式是","options":["主备模式","负载分担模式","抢占模式","非抢占模式"],"answer":[0],"explanation":"知识点是VRRP的两种工作模式。主备模式下只有Master转发用户流量，符合题干要求；负载分担模式会让多台设备同时承担网关转发，与题干不符；抢占模式描述的是Master恢复后是否夺回角色，不是工作模式分类；非抢占模式同样属于角色切换行为描述，不是转发模式。","tier":"基础"},{"id":11,"type":"single","stem":"某企业通过一条100Mbps专线连接互联网，出口路由器上同时配置了静态路由和OSPF默认路由，管理员发现访问外网时流量走向异常，最应优先检查的是","options":["静态路由与默认路由的优先级比较","接口双工模式是否协商一致","NAT地址池是否耗尽","DNS服务器是否可达"],"answer":[0],"explanation":"知识点是路由选路优先级。静态路由和OSPF默认路由同时存在时，需比较管理距离决定谁进入路由表，这直接决定流量走向；双工模式影响的是链路质量而非选路；NAT地址池耗尽会导致部分用户无法上网，但不会造成走向异常；DNS不可达只影响域名解析，不影响IP层转发路径。","tier":"进阶"},{"id":12,"type":"single","stem":"网络工程师在交换机上执行display mac-address后，发现同一MAC地址在多个端口间频繁跳变，最可能的原因是","options":["网络中形成了二层环路","交换机端口安全功能未开启","VLAN划分过多","生成树协议运行正常"],"answer":[0],"explanation":"知识点是二层环路导致MAC地址表震荡。环路会使同一帧从不同端口反复到达，造成MAC地址表项漂移；端口安全未开启只会允许更多MAC接入，不会导致表项跳变；VLAN划分数量与MAC漂移无直接关系；STP正常运行时反而会阻断环路，不会引起跳变。","tier":"进阶"},{"id":13,"type":"single","stem":"在配置ACL时，管理员希望只允许192.168.1.0/24网段访问服务器的TCP 443端口，其他流量全部拒绝，下列配置思路正确的是","options":["先配置permit tcp 192.168.1.0 0.0.0.255 any eq 443，再配置deny ip any any","先配置deny ip any any，再配置permit tcp 192.168.1.0 0.0.0.255 any eq 443","只配置permit tcp 192.168.1.0 0.0.0.255 any eq 443，不配置deny","配置permit ip any any，再配置deny tcp any any eq 443"],"answer":[0],"explanation":"知识点是ACL自上而下逐条匹配及隐式拒绝。要只放行特定流量并拒绝其他，需先放行目标流量再显式拒绝其余流量；先deny any any会使后续permit永远无法匹配；只写permit依赖设备隐式拒绝，但在多数教学与考试语境中不视为完整配置；先放行全部再拒绝443与题目要求相反。","tier":"进阶"},{"id":14,"type":"single","stem":"某公司使用PPPoE拨号上网，用户反映拨号成功但无法打开网页，能ping通网关却ping不通外网地址，最可能的原因是","options":["PPPoE会话未建立成功","NAT转换未正确配置","用户PC的网关地址错误","DNS服务器地址配置错误"],"answer":[1],"explanation":"知识点是PPPoE拨号后NAT与转发的关系。能ping通网关说明PPPoE会话和本地链路正常，但ping不通外网通常是没有做NAT导致私网地址无法上网；PPPoE会话未建立则连网关都ping不通；网关错误同样会导致ping不通网关；DNS错误只影响域名解析，不影响ping外网IP地址。","tier":"进阶"},{"id":15,"type":"single","stem":"在WLAN组网中，AP通过PoE交换机供电并接入，若AP频繁掉线且交换机端口无告警，最应优先排查的是","options":["PoE供电功率是否满足AP功耗","AP的SSID是否隐藏","无线信道是否设置为自动","终端是否开启省电模式"],"answer":[0],"explanation":"知识点是PoE供电与AP稳定性。PoE功率不足会导致AP反复重启或掉线，且端口可能无告警；SSID隐藏只影响终端发现网络，不会导致AP掉线；信道自动选择一般不会造成AP频繁掉线；终端省电模式影响的是终端自身，不会使AP掉线。","tier":"基础"},{"id":16,"type":"single","stem":"网络管理员在防火墙上配置了安全策略，允许Trust区域访问Untrust区域，但内网用户仍无法访问外网，经检查路由和NAT均正常，下一步最应检查的是","options":["安全策略是否匹配了正确的源目区域和地址","防火墙接口是否配置了IP地址","内网交换机是否划分了VLAN","外网线路是否处于UP状态"],"answer":[0],"explanation":"知识点是防火墙安全策略的匹配要素。路由和NAT正常时，策略未匹配正确的区域、地址或服务会导致流量被丢弃；接口未配IP则路由无法建立，与题干矛盾；VLAN划分影响二层隔离，不影响三层策略；外网线路UP状态可由路由正常间接证明。","tier":"基础"},{"id":17,"type":"single","stem":"某企业网络中部署了DHCP服务器，部分员工反映获取到169.254开头的地址，最可能的原因是","options":["DHCP服务器地址池已耗尽","DHCP中继配置错误或未配置","客户端网卡驱动程序异常","DHCP服务器租期设置过短"],"answer":[1],"explanation":"知识点是DHCP中继与地址获取。跨网段获取地址需要DHCP中继，中继缺失或错误会导致客户端无法联系服务器而自动分配169.254地址；地址池耗尽通常表现为获取不到地址但不会必然出现169.254；网卡驱动异常会影响通信但较少只表现为169.254；租期过短会导致续租频繁，不会直接产生169.254地址。","tier":"进阶"},{"id":18,"type":"single","stem":"某公司网络出现广播风暴，管理员在交换机上启用STP后风暴消除，但部分链路处于阻塞状态，若希望提高链路利用率同时避免环路，应优先考虑","options":["部署MSTP并合理规划实例","关闭STP并启用端口镜像","将阻塞端口改为Trunk模式","增加交换机数量扩展网络"],"answer":[0],"explanation":"知识点是STP改进与链路利用。MSTP支持多实例，可让不同VLAN走不同路径，提高利用率同时防环；关闭STP会重新引发环路；将阻塞端口改Trunk不改变STP阻塞状态；增加交换机数量可能扩大二层域，增加环路风险。","tier":"进阶"},{"id":19,"type":"multi","stem":"某企业计划将总部与分支机构通过IPSec VPN互联，要求数据传输机密性和完整性，并防止重放攻击，下列措施中合理的有","options":["采用ESP封装并配置加密算法","启用AH认证并配置抗重放窗口","使用预共享密钥或数字证书进行身份认证","仅使用GRE隧道封装不加任何加密","将IKE协商模式设置为野蛮模式以提升安全性"],"answer":[0,1,2],"explanation":"知识点是IPSec安全机制。ESP可提供加密和完整性，AH可提供认证和抗重放，预共享密钥或证书用于对等体认证，三者均合理；仅GRE不提供加密，不满足机密性；野蛮模式主要用于NAT穿越等场景，并不能提升安全性。","tier":"挑战"},{"id":20,"type":"single","stem":"在OSPF协议中，路由器将直连网段发布进区域0时，若该接口被配置为被动接口，对协议行为产生的影响是","options":["停止在该接口收发Hello报文但仍发布该网段","停止在该接口收发Hello报文且不再发布该网段","继续发送Hello报文但不再接收对端Hello报文","继续收发Hello报文但抑制该网段进入链路状态数据库"],"answer":[0],"explanation":"知识点是OSPF被动接口的作用。被动接口只抑制在该接口上收发OSPF报文，但该接口所在网段仍作为Stub网络被发布进OSPF，故A正确。B错在误认为网段不再发布；C错在被动接口是收发都停而非只停收；D错在被动接口不影响正常接口的LSA生成与链路状态数据库同步。","tier":"进阶"},{"id":21,"type":"single","stem":"某企业交换机上配置了基于端口的VLAN，端口G0/1为Access VLAN 10，现将该端口改配为Trunk并允许VLAN 10通过，则原属VLAN 10的终端通信状态变化是","options":["终端仍可通信，但需对端设备支持Trunk封装","终端立即失去通信，因Access属性被清除","终端通信不受影响，Trunk端口默认属于VLAN 10","终端需重新获取IP地址才能恢复通信"],"answer":[1],"explanation":"知识点是Access与Trunk端口对Untagged帧的处理差异。改为Trunk后，缺省PVID通常为VLAN 1，未打标签的终端帧被归入VLAN 1，原VLAN 10终端无法再二层互通，故B正确。A错在终端不会主动打标签；C错在Trunk端口缺省PVID不是VLAN 10；D错在通信中断原因是二层隔离而非IP地址问题。","tier":"挑战"},{"id":22,"type":"single","stem":"网络工程师在配置ACL时写下规则rule 5 permit tcp source 192.168.1.0 0.0.0.255 destination 10.0.0.1 0 destination-port eq 80，随后又写rule 10 deny ip，该ACL被应用在接口入方向，则源地址192.168.1.5访问10.0.0.1的23端口时设备采取的动作是","options":["匹配rule 5被允许通过","匹配rule 10被拒绝丢弃","不匹配任何规则被默认允许","不匹配任何规则被默认拒绝"],"answer":[1],"explanation":"知识点是ACL的匹配顺序与通配符掩码。rule 5仅匹配目的端口80，23端口不匹配，继续向下匹配到rule 10的deny ip，故被拒绝，B正确。A错在端口不匹配；C错在ACL末尾通常隐含拒绝且此处已有显式deny；D错在规则中已存在匹配的deny条目而非依赖默认。","tier":"基础"},{"id":23,"type":"single","stem":"某公司使用VRRP实现网关冗余，Master路由器优先级为120，Backup为100，现把Backup优先级改为150并启用抢占，则发生的变化是","options":["Backup立即抢占成为新Master","Master保持直至下一次VRRP通告超时","Backup需等待抢占延迟后才成为Master","两台路由器同时成为Master形成双活"],"answer":[2],"explanation":"知识点是VRRP抢占机制与抢占延迟。优先级更高的Backup在收到Master通告后启动抢占延迟定时器，超时后才切换，避免频繁震荡，故C正确。A错在忽略了抢占延迟；B错在优先级更高且启用抢占时不会一直等待超时；D错在VRRP同一时刻只有一个Master。","tier":"挑战"},{"id":24,"type":"single","stem":"在STP中，某交换机端口收到BPDU后经过侦听和学习状态，最终进入转发状态，若该端口被配置为边缘端口（PortFast），则其状态变化是","options":["仍经过侦听和学习两个状态再转发","直接从阻塞进入转发状态","只经过学习状态后进入转发","需等待转发延迟定时器两次超时"],"answer":[1],"explanation":"知识点是STP边缘端口特性。PortFast端口接入终端时跳过侦听和学习，直接进入转发，故B正确。A、C、D均描述了普通STP端口的正常状态迁移过程，未体现PortFast的加速特性。","tier":"基础"},{"id":25,"type":"single","stem":"网络中出现用户反映部分网页打不开，工程师在核心交换机上执行display mac-address发现同一MAC地址在多个端口间频繁跳变，最可能的原因是","options":["交换机CPU利用率过高","网络中存在二层环路","网关设备ARP表项溢出","终端网卡工作在半双工模式"],"answer":[1],"explanation":"知识点是二层环路导致的MAC地址表震荡。环路使同一帧从多个端口到达，MAC表项在两个端口间反复刷新，故B正确。A错在CPU高不会造成MAC漂移；C错在ARP表项溢出属于三层问题；D错在半双工引起冲突但不导致MAC地址跨端口跳变。","tier":"进阶"},{"id":26,"type":"single","stem":"管理员在路由器上配置NAT时使用命令nat address-group 1 200.1.1.1 200.1.1.10，并将ACL匹配的内网地址转换到该地址池，当内网并发连接数超过地址池可用端口数时，设备默认的处理方式是","options":["丢弃超出连接并记录日志","复用已有地址的端口继续转换","自动扩展地址池范围","将超出连接改用PAT方式转换"],"answer":[1],"explanation":"知识点是NAT地址池的端口复用。当配置为地址池方式且未限制端口复用时，设备会对同一公网地址做PAT端口复用，超出端口数才丢弃，故B正确。A错在默认优先复用而非直接丢弃；C错在地址池范围不会自动扩展；D错在复用本身就是PAT的一部分，不是另换方式。","tier":"基础"},{"id":27,"type":"single","stem":"某无线网络中用户反映连接WiFi后能获取IP地址但无法访问外网，工程师查看AP配置发现SSID已绑定VLAN 20，而交换机连接AP的端口未放通VLAN 20，则故障原因是","options":["AP未下发正确的SSID","用户数据帧被交换机丢弃","DHCP服务器地址池耗尽","无线信号强度不足"],"answer":[1],"explanation":"知识点是无线AP与交换机端口的VLAN透传关系。SSID绑定VLAN 20后用户流量带VLAN 20标签，交换机端口未放通该VLAN时帧被丢弃，故B正确。A错在SSID已正常下发；C错在用户已获得IP说明DHCP正常；D错在能连上WiFi且获取IP说明信号可用。","tier":"挑战"},{"id":28,"type":"single","stem":"工程师在Linux服务器上执行tcpdump抓包，希望只捕获与主机192.168.1.100之间端口为22的SSH交互流量，下列过滤表达式正确的是","options":["tcp port 22 and host 192.168.1.100","tcp port 22 or host 192.168.1.100","udp port 22 and host 192.168.1.100","tcp port 22 and net 192.168.1.100"],"answer":[0],"explanation":"知识点是tcpdump过滤表达式语法。SSH使用TCP 22端口，且需限定与指定主机交互，用and连接，故A正确。B错在用or会捕获大量无关流量；C错在SSH不使用UDP；D错在net表示网段而非单一主机，范围不符。","tier":"进阶"},{"id":29,"type":"single","stem":"在规划园区网汇聚层时，若核心设备为双机热备，且接入层交换机均支持双上行，为兼顾收敛速度与配置复杂度，汇聚层最适宜采用的网关冗余技术是","options":["VRRP主备模式配合接入侧双链路","堆叠+跨设备链路聚合","MSTP+根桥双归属","静态路由加BFD联动"],"answer":[1],"explanation":"知识点是汇聚层高可用设计。堆叠+跨设备链路聚合可实现双活转发、毫秒级收敛，且对接入侧呈现单一逻辑设备，配置较简洁；VRRP主备模式备用设备长期闲置且切换依赖协议报文；MSTP收敛慢且易产生次优路径；静态路由加BFD通常用于出口互联而非汇聚网关。","tier":"基础"},{"id":30,"type":"single","stem":"某企业出口路由器与运营商之间采用静态路由，链路为单条专线，为在专线物理中断时快速感知并撤销路由，最应部署的机制是","options":["BFD联动静态路由","NQA联动VRRP","MSTP根保护","ARP快速老化"],"answer":[0],"explanation":"知识点是静态路由的故障感知。BFD可毫秒级检测直连或跨设备链路故障并联动静态路由撤销，适合单条专线场景；NQA联动VRRP用于网关切换而非路由撤销；MSTP根保护用于防根桥抢占；ARP快速老化只影响地址解析时效，不能撤销路由。","tier":"挑战"},{"id":31,"type":"single","stem":"在交换机上配置端口镜像时，若被监控端口为千兆全双工且双向流量接近线速，仅有一个千兆观察端口，下列做法最合理的是","options":["同时镜像收和发方向到同一观察口","只镜像发方向并启用流控","只镜像收方向并丢弃超出部分","按ACL匹配关键流量后再镜像"],"answer":[3],"explanation":"知识点是端口镜像的带宽约束。观察口带宽不足以承载双向线速时，应按ACL过滤只镜像关键业务流量；同时镜像双向会大量丢包；只镜像发方向会丢失请求侧证据；只镜像收方向同样不完整且流控无法解决超速丢包。","tier":"进阶"},{"id":32,"type":"single","stem":"某分支通过IPSec VPN与总部互通，管理员发现隧道可以建立但内网主机无法互访，检查发现感兴趣流配置为总部内网到分支内网，而实际流量经NAT后源地址被转换，最可能的修复措施是","options":["在分支出口对VPN流量做NAT豁免","将IPSec改为传输模式","把IKE版本从v2改为v1","关闭总部的ACL放行ESP"],"answer":[0],"explanation":"知识点是NAT与IPSec的冲突。流量在进入隧道前被NAT转换会破坏感兴趣流匹配，应在NAT策略中对去往总部的VPN流量做豁免；改传输模式不改变地址被转换的事实；调整IKE版本与流量匹配无关；关闭ACL放行ESP只是放行协议，不修复地址转换问题。","tier":"挑战"},{"id":33,"type":"single","stem":"在OSPF网络中，某区域同时存在ABR和ASBR，若要让外部路由以类型2方式在该区域泛洪且不产生类型4 LSA，应确保该ASBR","options":["位于普通非骨干区域","与ABR建立虚链路","位于骨干区域或与ABR同区域","启用NSSA并配置默认路由"],"answer":[2],"explanation":"知识点是OSPF外部路由与LSA类型。ASBR位于骨干区域或与ABR同区域时，ABR可直接产生类型5 LSA而无需类型4；位于普通非骨干区域会需要类型4描述ASBR；虚链路不消除类型4需求；NSSA会产生类型7并转换，机制不同。","tier":"基础"},{"id":34,"type":"single","stem":"某无线控制器上配置了多个SSID，其中访客SSID需要隔离终端且仅允许访问互联网，下列配置组合最符合要求的是","options":["访客VLAN内启用端口隔离并在出口放行该网段","访客SSID映射到员工VLAN并启用ACL","访客SSID关闭广播并启用MAC过滤","访客SSID启用WPA3并映射到管理VLAN"],"answer":[0],"explanation":"知识点是无线访客网络隔离。将访客映射到独立VLAN并启用端口隔离可阻断终端互访，出口放行该网段即可上网；映射到员工VLAN会带来横向风险；关闭广播和MAC过滤只影响接入不隔离；映射到管理VLAN会暴露管理面。","tier":"进阶"},{"id":35,"type":"single","stem":"在网络割接前进行配置备份时，为了在设备故障后能完整还原运行状态，除了保存当前配置文件外，还应重点记录的是","options":["设备序列号和许可证信息","接口的光模块型号清单","设备启动时的引导镜像版本","机房机柜的U位分布"],"answer":[2],"explanation":"知识点是配置管理与恢复。恢复运行状态需保证引导镜像版本一致，否则命令可能不兼容；序列号、光模块型号、机柜U位对配置还原无直接影响。","tier":"基础"},{"id":36,"type":"single","stem":"某公司使用SNMPv3管理网络设备，为同时满足认证和加密需求，安全级别应配置为","options":["noAuthNoPriv","authNoPriv","authPriv","privNoAuth"],"answer":[2],"explanation":"知识点是SNMPv3安全级别。authPriv同时提供认证和加密；noAuthNoPriv无认证无加密；authNoPriv只认证不加密；privNoAuth不是标准定义的级别组合。","tier":"挑战"},{"id":37,"type":"single","stem":"在配置DHCP中继时，若客户端与DHCP服务器跨多个三层网段，中继接口上必须配置的关键参数是","options":["服务器的MAC地址","服务器的IP地址或组播地址","客户端的网关地址","中继设备的环回地址"],"answer":[1],"explanation":"知识点是DHCP中继原理。中继需将广播请求单播转发到DHCP服务器，因此必须指定服务器IP或组播地址；服务器MAC、客户端网关、中继环回地址均非中继转发所必需的关键参数。","tier":"基础"},{"id":38,"type":"multi","stem":"某企业部署双出口链路，一条为主用专线，一条为备用宽带，要求专线故障时自动切换且返回流量对称，下列措施中合理的有","options":["使用BFD联动静态路由或策略路由实现快速切换","对备用链路配置浮动静态路由并设置更高优先级值","通过NAT使两条链路使用不同公网地址并做源地址选路","在主用链路启用PBR将特定业务流量定向到备用链路","关闭主用链路的接口保持定时器以加快故障感知"],"answer":[0,1,2],"explanation":"知识点是双出口冗余与流量对称。BFD联动可实现快速切换；浮动静态路由以较高优先级值作为备份；双链路NAT配合源地址选路可保证返回流量对称。PBR将业务流量定向到备用链路会造成非故障时的非对称转发，不符合要求；关闭接口保持定时器可能导致链路抖动误判，不是合理做法。","tier":"挑战"},{"id":39,"type":"single","stem":"在规划园区网络时，为隔离不同部门的广播域并减少广播风暴影响，核心层与接入层之间通常采用哪种设备划分方式","options":["在接入交换机上按端口划分VLAN","在核心交换机上启用OSPF多区域","在出口路由器上配置NAT地址池","在汇聚交换机上部署链路聚合"],"answer":[0],"explanation":"知识点是VLAN划分与广播域隔离。接入交换机按端口划分VLAN可将不同部门置于不同广播域，正确。在核心交换机启用OSPF多区域属于路由协议设计，不用于划分广播域；出口路由器配置NAT用于地址转换，与广播域隔离无关；链路聚合用于增加带宽和冗余，不隔离广播域。","tier":"基础"},{"id":40,"type":"single","stem":"网络管理员在交换机上执行display mac-address后发现某端口学习到大量不同源MAC地址，且这些MAC变化频繁，最可能发生的网络问题是","options":["端口出现MAC地址漂移","交换机CPU利用率过低","该端口配置了端口镜像","生成树协议被完全禁用"],"answer":[0],"explanation":"知识点是MAC地址漂移与环路/攻击识别。同一端口频繁学习大量变化MAC，典型是MAC漂移，常由环路或MAC泛洪攻击导致。CPU利用率过低不会造成此现象；端口镜像只是复制流量，不会导致大量MAC学习；STP被禁用可能引发环路，但现象描述更直接指向MAC漂移本身，故选择最直接的判断。","tier":"挑战"},{"id":41,"type":"single","stem":"某企业使用路由器连接两条不同运营商链路，要求内网主机访问互联网时根据目的地址自动选择最优出口，应优先配置的技术是","options":["基于策略的路由PBR","静态默认路由指向单一运营商","在路由器上启用DHCP中继","在交换机上配置端口隔离"],"answer":[0],"explanation":"知识点是多出口选路。基于策略的路由可根据目的地址、源地址等条件选择出口，满足按目的地址选最优出口。静态默认路由只能指向一个出口，无法按目的地址区分；DHCP中继用于跨网段分配地址；端口隔离用于二层端口间隔离，与出口选择无关。","tier":"挑战"},{"id":42,"type":"single","stem":"在配置ACL时，管理员希望仅允许192.168.1.0/24网段的主机访问服务器的TCP 443端口，其他流量拒绝，下列ACL规则顺序中最合理的是","options":["先拒绝所有，再允许192.168.1.0/24访问443","先允许192.168.1.0/24访问443，再拒绝所有","先允许所有访问443，再拒绝192.168.1.0/24","先拒绝192.168.1.0/24访问443，再允许所有"],"answer":[1],"explanation":"知识点是ACL匹配顺序。ACL自上而下匹配，应先放行目标流量再拒绝其余，顺序为允许特定网段访问443，再拒绝所有。先拒绝所有会导致允许规则永不生效；先允许所有再拒绝特定网段会放行过多流量；先拒绝特定网段再允许所有则无法实现仅允许该网段的目的。","tier":"进阶"},{"id":43,"type":"single","stem":"网络工程师在配置VLAN间路由时，采用单臂路由方式，路由器子接口封装802.1Q后仍无法通信，最可能遗漏的配置是","options":["子接口未配置对应VLAN的封装ID","路由器未启用DHCP服务","交换机未配置端口聚合","路由器未配置静态ARP"],"answer":[0],"explanation":"知识点是单臂路由配置。路由器子接口必须封装对应VLAN ID，否则无法识别该VLAN标签，导致不通。DHCP服务与VLAN间路由转发无直接关系；端口聚合用于链路冗余，不是单臂路由必需；静态ARP不是单臂路由通信的前提。","tier":"基础"},{"id":44,"type":"single","stem":"在部署无线局域网时，用户反映同一AP下部分终端连接后频繁掉线，而其他终端正常，最应先排查的无线参数是","options":["AP的发射功率与信道干扰","核心交换机的STP优先级","出口路由器的NAT会话数","DNS服务器的响应时间"],"answer":[0],"explanation":"知识点是无线故障排查。同一AP下部分终端频繁掉线，优先排查AP发射功率、信道干扰、终端兼容性等无线侧参数。STP优先级影响二层环路，不会只影响部分无线终端；NAT会话数和DNS响应时间影响上网体验，不会造成无线连接频繁掉线。","tier":"进阶"},{"id":45,"type":"single","stem":"网络管理员需要对核心交换机进行远程管理，要求管理流量与业务流量隔离，较为合理的做法是","options":["为管理接口配置独立VLAN并限制访问源","将管理地址配置在业务VLAN内","通过Telnet明文远程管理","在业务端口上直接配置管理IP"],"answer":[0],"explanation":"知识点是带外/带内管理安全。为管理接口划分独立VLAN并限制访问源可实现管理流量与业务隔离并提升安全。管理地址放在业务VLAN内不利于隔离；Telnet明文不安全；在业务端口直接配置管理IP会混用管理与业务流量。","tier":"进阶"},{"id":46,"type":"single","stem":"某企业网络中使用OSPF，管理员发现邻居关系一直停留在ExStart状态，最可能的原因是","options":["两端接口MTU不一致","两端OSPF进程号不同","两端Router ID相同","两端区域号配置不同"],"answer":[0],"explanation":"知识点是OSPF邻居状态机。ExStart状态卡住通常与MTU不匹配有关，导致DD报文交互异常。进程号不同不影响邻居建立；Router ID相同会导致邻居无法建立但通常不表现为ExStart卡住；区域号不同邻居无法进入ExStart。","tier":"挑战"},{"id":47,"type":"single","stem":"某园区网采用双核心冗余设计，两台核心之间运行VRRP，管理员希望主核心故障时备用核心能快速接管，且不因上行链路故障导致流量黑洞，还应结合部署的技术是","options":["VRRP与上行链路跟踪联动","仅调整VRRP优先级为255","在核心上启用DHCP中继","在接入层关闭STP"],"answer":[0],"explanation":"知识点是VRRP与链路跟踪。VRRP结合上行链路跟踪可在上行故障时降低优先级触发切换，避免流量黑洞。仅调整优先级为255不能感知上行故障；DHCP中继用于地址分配；关闭STP会引入环路风险。","tier":"进阶"},{"id":48,"type":"multi","stem":"某企业新建分支机构网络，要求实现总部与分支通过互联网安全互联，并支持分支内多VLAN互通，下列措施中合理的有","options":["在总部与分支间部署IPsec VPN","在分支三层交换机上配置VLAN间路由","在分支出口设备上配置NAT使内网访问互联网","在分支接入交换机上关闭所有VLAN的STP","将总部与分支的OSPF进程号配置为相同以保证互通"],"answer":[0,1,2],"explanation":"知识点是分支网络设计与VPN。部署IPsec VPN可实现安全互联；三层交换机配置VLAN间路由可实现分支内多VLAN互通；出口NAT可实现内网访问互联网，均合理。关闭所有VLAN的STP会增加环路风险；OSPF进程号相同并非互通必需，进程号本地有效。","tier":"挑战"},{"id":49,"type":"single","stem":"某企业网络管理员在规划 VLAN 间通信时，将核心交换机的 SVI 接口地址配置为 192.168.10.1/24，并在该交换机上启用了路由功能，但发现不同 VLAN 的主机仍无法互访，此时应优先检查哪项配置","options":["各接入交换机与核心交换机之间的 Trunk 链路是否放行了对应 VLAN","核心交换机上是否创建了 VLAN 并配置了正确的 VLAN 接口地址","终端主机的默认网关是否指向对应 VLAN 的 SVI 地址","核心交换机的路由功能是否需要额外配置静态路由指向各 VLAN"],"answer":[0],"explanation":"知识点：VLAN 间路由与 Trunk 链路配置。正确项：SVI 已配通但跨 VLAN 不通时，优先检查承载 VLAN 的 Trunk 链路是否放行对应 VLAN，常见疏漏是 Trunk 未放行或 native VLAN 不匹配。错误项：核心交换机已配置 SVI 地址说明 VLAN 接口已创建，不是首要排查点；终端网关错误会导致本 VLAN 内正常但跨网段不通，但通常表现为同 VLAN 可通、跨 VLAN 不通，且题干已说明 SVI 已配；VLAN 间路由由 SVI 直连路由完成，无需静态路由指向各 VLAN。","tier":"挑战"},{"id":50,"type":"multi","stem":"某园区网使用 OSPF 组建骨干区域，运维人员在路由器 R1 上执行 show ip ospf neighbor 后发现与 R2 的邻居关系长期停留在 EXSTART 状态，下列处置措施中有效的有哪些","options":["检查并统一两端接口的 MTU 值是否一致","检查并统一两端接口的 OSPF 网络类型是否一致","检查并统一两端接口的 OSPF 进程号是否一致","检查并统一两端接口的认证密钥是否一致","检查并统一两端接口的 DR 优先级是否一致"],"answer":[0,1],"explanation":"知识点：OSPF 邻居状态机与 EXSTART 卡住原因。正确项：EXSTART 阶段进行主从关系协商和 DBD 交互，MTU 不一致会导致 DBD 报文被丢弃而卡住；OSPF 网络类型不一致会影响邻居建立与 LSA 同步，也会导致卡在 EXSTART/EXCHANGE。错误项：OSPF 进程号仅在本地有效，两端不同不影响邻居建立；认证密钥不一致会导致邻居卡在 INIT 或无法进入 EXSTART，不是 EXSTART 的典型原因；DR 优先级只影响 DR/BDR 选举，不影响邻居进入 EXSTART。","tier":"挑战"},{"id":51,"type":"single","stem":"在以太网交换机上配置端口隔离后，同一隔离组内主机之间的二层通信状态是","options":["无法直接互通，需经三层设备转发","可以互通，隔离只限制广播泛洪","可以互通，隔离仅对未知单播生效","无法互通，且无法跨设备访问网关"],"answer":[0],"explanation":"端口隔离（port-isolate）使同组端口间二层报文被丢弃，但各端口仍可访问上行口/网关，因此同组主机要互通必须经三层转发。错误项：B/C 误判隔离作用范围；D 错在隔离不影响访问网关。"},{"id":52,"type":"single","stem":"网络管理员在核心交换机上为财务部划分 VLAN 100，并将对应网关配置在核心交换机上，这种组网方式的典型缺点是","options":["广播域被扩大导致性能下降","跨 VLAN 流量必须绕行出口路由器","核心设备故障会影响多个业务网段","接入层无法再使用 VLAN 中继"],"answer":[2],"explanation":"网关集中在核心交换机属于集中式三层网关，核心故障将波及所有以其为网关的网段。错误项：A 划分 VLAN 是缩小广播域；B 核心可本地三层转发无需绕行；D 与中继使用无关。"},{"id":53,"type":"single","stem":"某企业希望分支机构通过运营商网络与总部建立加密隧道，且要求隧道能承载组播并支持动态路由协议，应优先选择的 VPN 技术是","options":["IPsec 传输模式隧道","GRE over IPsec","L2TP over IPsec","SSL VPN 隧道模式"],"answer":[1],"explanation":"GRE 可封装组播与路由协议，再用 IPsec 加密，兼顾灵活性与安全性。错误项：A 传输模式不封装原始 IP 头且 IPsec 本身不擅组播；C L2TP 面向拨号接入不承载组播路由；D SSL VPN 以用户接入为主不支持组播路由协议。"},{"id":54,"type":"single","stem":"在 OSPF 中，路由器将直连网段引入区域时，若该接口被配置为被动接口，其结果是","options":["不发送也不接收该接口的 Hello 报文","只发送 Hello 报文但不接收对端报文","仍建立邻居但不发送 LSA 更新","只在 DR 选举时才发送 Hello 报文"],"answer":[0],"explanation":"被动接口抑制该接口收发 OSPF 报文，但网段仍可被通告。错误项：B/C/D 均误判被动接口对收发与邻居建立的影响。"},{"id":55,"type":"single","stem":"某主机能 ping 通同网段其他主机，但无法通过域名访问外网网站，直接使用外网 IP 访问正常，最可能的原因是","options":["默认网关地址配置错误","DNS 服务器地址配置错误","本机子网掩码配置错误","出口路由器 NAT 未生效"],"answer":[1],"explanation":"能 ping 同网段说明二层与掩码正常，用 IP 访问外网正常说明网关与 NAT 正常，仅域名解析失败指向 DNS 配置问题。错误项：A 网关错则 IP 访问也不通；C 掩码错会影响同网段判断；D NAT 失效则 IP 访问同样失败。"},{"id":56,"type":"single","stem":"AC 设备对无线客户端进行接入控制时，采用 MAC 地址认证的主要局限是","options":["必须依赖客户端安装证书","MAC 地址可被伪造冒用","无法与 VLAN 分配配合使用","只能对 5GHz 频段客户端生效"],"answer":[1],"explanation":"MAC 认证基于明文可伪造的地址，安全性弱。错误项：A 那是证书认证要求；C MAC 认证常与 VLAN 下发配合；D 与频段无关。"},{"id":57,"type":"single","stem":"在交换机上配置链路聚合时，将成员端口设置为静态模式（manual/on）而不启用 LACP，其特点是","options":["由协议协商决定活动链路数量","两端均需手工配置且不进行协商","一端静态一端动态也可正常聚合","可自动检测并隔离故障成员链路"],"answer":[1],"explanation":"静态聚合需两端手工配置，不跑 LACP 协商。错误项：A/D 是 LACP 动态聚合特征；C 静态与动态混配通常无法正常聚合。"},{"id":58,"type":"single","stem":"防火墙部署为透明模式（二层）时，相比路由模式的主要优势是","options":["可对经过的流量做 NAT 转换","无需改变现有网络 IP 规划即可接入","可参与 OSPF 动态路由计算","能直接作为终端网关下发地址"],"answer":[1],"explanation":"透明模式工作在二层，接入时不改动原有 IP 拓扑。错误项：A/D 属三层功能；C 透明模式不参与三层路由协议。"},{"id":59,"type":"single","stem":"某公司网络出现部分用户访问外网缓慢，抓包发现大量目的端口为 53 的 UDP 报文且源地址多样，最可能的攻击类型是","options":["DNS 放大反射攻击","ARP 欺骗攻击","SYN Flood 攻击","Smurf 攻击"],"answer":[0],"explanation":"大量源地址多样的 53 端口 UDP 报文是 DNS 反射放大的典型特征。错误项：B 表现为网关 MAC 异常；C 为大量半开 TCP 连接；D 为 ICMP 广播放大。"},{"id":60,"type":"single","stem":"网络工程师在割接前对核心交换机配置做备份，最稳妥的做法是","options":["仅保存当前运行配置到本地记事本","同时保存运行配置与启动配置文件","只记录关键接口的配置片段","将配置导出到个人邮箱留存"],"answer":[1],"explanation":"运行配置与启动配置都保存，才能完整还原设备状态。错误项：A/C 备份不完整；D 涉及敏感信息外泄风险且非规范做法。"},{"id":61,"type":"single","stem":"某园区网新购交换机需要接入现有生成树域，为防止其成为根桥导致流量绕行，最合适的配置是","options":["在该交换机上开启 BPDU 过滤","将该交换机所有端口设为边缘端口","调高该交换机的桥优先级数值","在该交换机上关闭生成树协议"],"answer":[2],"explanation":"桥优先级数值越大越不可能当选根桥，可避免新设备抢占根桥。错误项：A 会阻止 BPDU 影响拓扑计算；B 边缘端口针对接入口；D 关闭 STP 会造成环路风险。"},{"id":62,"type":"single","stem":"某企业园区网核心交换机与接入交换机之间采用单模光纤互连，链路两端光模块均为1000BASE-LX，但链路始终无法UP，更换光模块后故障依旧，最应优先检查的是","options":["光纤收发方向是否交叉接反","交换机端口的MTU值是否一致","接入交换机的STP优先级是否过低","两端光模块的波长是否为850nm"],"answer":[0],"explanation":"知识点：1000BASE-LX光纤链路故障排查。正确项：光纤链路两端收发必须交叉，若接反则无法建立链路，是双纤链路最常见的故障原因。错误项：端口MTU不一致不会导致物理层链路不UP；STP优先级只影响生成树根桥选举，不影响链路UP；1000BASE-LX波长为1310nm，若误用850nm模块确实不匹配，但题干已说明两端均为LX且更换后依旧，故不是首要检查项。"},{"id":63,"type":"single","stem":"网络管理员在路由器上配置了OSPF，但邻居关系长期停留在INIT状态，最可能的原因是","options":["接口的Hello间隔与邻居不一致","接口的认证密钥与邻居不匹配","链路上存在单向连通问题","路由器的Router ID与邻居相同"],"answer":[2],"explanation":"知识点：OSPF邻居状态机。正确项：INIT状态表示本端已收到邻居的Hello，但邻居未收到本端的Hello，典型原因是链路单向可达。错误项：Hello间隔不一致会导致邻居关系无法建立，但通常停留在DOWN而非INIT；认证密钥不匹配同样导致Hello被丢弃，表现为DOWN；Router ID相同会影响邻居建立，但一般报错且状态不表现为INIT。"},{"id":64,"type":"single","stem":"某公司使用VRRP实现网关冗余，主路由器故障后备用路由器成功切换，但部分终端在切换后短暂无法访问外网，最可能的原因是","options":["备用路由器未及时刷新ARP表项","VRRP的抢占模式被关闭","虚拟IP地址与终端网关配置不一致","主路由器未发送VRRP通告报文"],"answer":[0],"explanation":"知识点：VRRP切换后的ARP更新。正确项：切换后备用路由器成为新主，但终端和上游设备仍缓存旧主路由器的MAC地址，需通过免费ARP刷新，未及时刷新会导致短暂不通。错误项：抢占模式关闭只影响主备回切，不影响切换本身；虚拟IP与终端网关不一致会导致一直不通而非短暂；主路由器故障本就不会发送通告，这正是切换触发条件。"},{"id":65,"type":"single","stem":"在交换机上执行命令将某端口配置为Trunk模式并允许VLAN 10通过，但该端口下联的PC无法访问VLAN 10网关，最可能的原因是","options":["PC所在端口未划入VLAN 10","Trunk端口的PVID被设为10","VLAN 10未在交换机上创建","Trunk端口封装类型为802.1Q"],"answer":[2],"explanation":"知识点：VLAN创建与Trunk放通。正确项：若VLAN 10未在交换机上创建，即使Trunk允许该VLAN，端口也不会实际放通，导致无法通信。错误项：PC所在端口未划入VLAN 10确实会导致不通，但题干已说明Trunk放通，且这是下联端口配置问题，非最直接原因；PVID设为10影响的是untagged帧归属，不直接阻断；802.1Q是Trunk正确封装类型。"},{"id":66,"type":"single","stem":"网络工程师在防火墙上配置NAT时，发现内网服务器映射到公网后外部只能访问部分端口，最可能的原因是","options":["NAT地址池未配置端口复用","安全策略未放通对应端口","服务器的默认网关指向错误","NAT转换方向配置为源NAT"],"answer":[1],"explanation":"知识点：防火墙NAT与安全策略配合。正确项：即使NAT映射正确，若安全策略未放通对应端口，外部访问仍被阻断，表现为只能访问已放通的部分端口。错误项：地址池端口复用影响的是源NAT并发，不决定目的端口可达性；服务器网关错误会导致所有访问失败；源NAT用于内网访问外网，与外部访问内网服务器的目的NAT方向不同。"},{"id":67,"type":"single","stem":"网络管理员配置ACL时希望仅允许192.168.1.0/24网段访问服务器的80端口，下列配置中能正确实现且最精确的是","options":["rule permit tcp source 192.168.1.0 0.0.0.255 destination 10.0.0.1 0 destination-port eq 80","rule permit tcp source 192.168.1.0 0.0.0.255 destination-port eq 80","rule permit ip source 192.168.1.0 0.0.0.255 destination 10.0.0.1 0","rule permit tcp source any destination 10.0.0.1 0 destination-port eq 80"],"answer":[0],"explanation":"知识点：ACL通配符与精确匹配。正确项：同时限定源网段、目的地址和目的端口80，匹配最精确。错误项：只限源和端口未限目的地址，范围偏大；只限源和目的未限端口，放通所有端口；源为any放通了所有源地址，不符合最小权限。"},{"id":68,"type":"single","stem":"某无线网络中用户反映信号满格但网速很慢，经查AP信道与邻楼多个AP重叠，最合理的优化措施是","options":["提高AP发射功率增强信号","将AP信道调整为1、6、11中的空闲信道","启用AP的隐藏SSID功能","将AP工作模式改为仅11b模式"],"answer":[1],"explanation":"知识点：2.4GHz信道规划。正确项：2.4GHz中1、6、11为互不重叠信道，调整到空闲信道可减少同频干扰。错误项：提高功率会加剧干扰；隐藏SSID不减少干扰且影响用户体验；仅11b模式降低速率且不解决干扰。"},{"id":69,"type":"single","stem":"网络工程师在排查用户无法通过域名访问网站但可直接用IP访问的问题时，最应优先检查的是","options":["本地DNS服务器地址配置","默认网关是否可达","Web服务器的80端口状态","交换机的VLAN划分"],"answer":[0],"explanation":"知识点：DNS解析故障定位。正确项：IP可访问而域名不可访问，说明网络层和传输层正常，问题在域名解析，应优先检查DNS服务器配置。错误项：网关不可达则IP也无法访问；80端口异常则IP访问也会失败；VLAN划分错误会影响所有通信。"},{"id":70,"type":"single","stem":"某公司要求对远程接入用户进行身份认证并加密传输数据，下列组合方案中最合适的是","options":["PPPoE加静态IP地址分配","IPSec VPN加本地用户名密码认证","L2TP不加加密直接承载PPP","端口镜像加MAC地址过滤"],"answer":[1],"explanation":"知识点：远程接入安全方案。正确项：IPSec VPN提供加密与完整性保护，配合本地认证可实现身份验证与加密传输。错误项：PPPoE加静态IP仅解决接入与地址分配，无加密；L2TP本身不加密，需配合IPSec；端口镜像用于监控，MAC过滤不能加密。"},{"id":71,"type":"single","stem":"网络管理员在核心交换机上配置链路聚合后，发现聚合组内部分成员端口处于备用状态，最可能的原因是","options":["成员端口的速率不一致","聚合模式两端不一致","成员端口的双工模式为半双工","聚合组未配置负载分担算法"],"answer":[1],"explanation":"知识点：链路聚合协商。正确项：两端聚合模式不一致（如一端LACP一端静态）会导致协商失败，部分端口无法加入转发状态。错误项：速率不一致会导致端口无法加入聚合，但通常直接报错；半双工会影响聚合但现代设备较少；负载分担算法只影响流量分布，不影响成员状态。"},{"id":72,"type":"single","stem":"两台三层交换机通过两条链路互连并配置了链路聚合，聚合口上同时承载多个 VLAN 的流量，若希望各 VLAN 流量在两条成员链路上按 VLAN 粒度分担，应优先采用的负载分担方式是","options":["基于源 IP 的逐流分担","基于目的 IP 的逐流分担","基于源 MAC 与目的 MAC 的分担","基于 VLAN 与 IP 五元组的分担"],"answer":[3],"explanation":"知识点是链路聚合负载分担哈希因子的选择。按 VLAN 与 IP 五元组分担可让不同 VLAN 的流量散列到不同成员链路，符合按 VLAN 粒度分担的目标。仅基于源 IP 或目的 IP 时同一 VLAN 内主机流量可能集中在一条链路；仅基于源/目的 MAC 在三层转发场景下变化不足，分担效果差。"},{"id":73,"type":"single","stem":"在交换机上配置端口隔离功能后，同一隔离组内的用户主机之间无法互访，但都能访问上联网关，该功能主要依靠交换机在哪个层面限制转发来实现","options":["在 VLAN 内对端口间单播与广播流量进行隔离","在不同 VLAN 间对三层流量进行过滤","在端口上对进出方向 MAC 地址进行过滤","在端口上对 IP 地址进行 ACL 匹配过滤"],"answer":[0],"explanation":"知识点是端口隔离的实现层次。端口隔离在同一个 VLAN 内通过限制隔离组内端口之间的二层单播和广播转发来实现，上联端口不受隔离影响。跨 VLAN 三层过滤属于 ACL 或 VLAN 间路由策略；端口 MAC 过滤针对特定 MAC，不构成隔离组机制；IP ACL 属于三层过滤，均非端口隔离的本质。"},{"id":74,"type":"single","stem":"在 WLAN 中启用 802.1X 认证时，若希望终端在通过认证前只能与认证服务器通信而不能访问业务网段，应在接入交换机上配合配置哪种功能","options":["端口安全并绑定 MAC 地址","Guest VLAN 并放通全部流量","动态 VLAN 并立即切换业务 VLAN","受控端口与非受控端口分离并配置未授权 VLAN"],"answer":[3],"explanation":"知识点是 802.1X 的受控/非受控端口与未授权 VLAN 机制。认证通过前业务流量走未授权 VLAN，仅允许 EAP 等认证报文到达认证服务器。端口安全绑定 MAC 不解决认证前隔离；Guest VLAN 需按设计放通受限资源而非全部流量；认证前立即切业务 VLAN 会破坏隔离目标。"},{"id":75,"type":"single","stem":"运维人员发现核心交换机 CPU 利用率持续偏高，抓包显示大量目的 MAC 为广播地址的 ARP 请求，且源 IP 在多个网段间跳变，最可能发生的网络问题是","options":["ARP 表项溢出攻击","广播风暴导致环路","ARP 欺骗导致网关冲突","DHCP 地址池耗尽"],"answer":[0],"explanation":"知识点是 ARP 表项溢出攻击的特征。攻击者伪造大量不同源 IP 的 ARP 请求，撑满交换机 ARP 表，导致 CPU 升高和正常用户无法学习表项。广播风暴通常与环路相关且伴随端口流量激增；ARP 欺骗主要篡改网关映射；DHCP 地址池耗尽表现为新用户获取地址失败，与源 IP 跳变的 ARP 请求不符。"},{"id":76,"type":"single","stem":"在路由器上配置 OSPF 时，若将某接口的 OSPF 网络类型由广播改为点到点，且该接口为以太网接口，则下列哪项变化最需要关注","options":["需要手动指定邻居路由器地址","不再进行 DR/BDR 选举并加快邻居建立","需要将接口封装改为 PPP","需要将区域类型改为 NSSA"],"answer":[1],"explanation":"知识点是 OSPF 网络类型对邻居建立的影响。点到点类型不进行 DR/BDR 选举，邻居关系建立更快，但以太网接口上需确保两端类型一致。广播类型才涉及 DR/BDR；点到点类型不要求手动指定邻居（NBMA 才需要）；网络类型与链路层封装 PPP 无必然关系；区域类型与网络类型是不同维度。"},{"id":77,"type":"single","stem":"在 Linux 服务器上使用 iptables 做 NAT 时，若希望内网主机访问外网时源地址被转换为出口公网地址，应配置哪个链和哪个目标","options":["PREROUTING 链与 DNAT 目标","POSTROUTING 链与 SNAT 目标","INPUT 链与 SNAT 目标","FORWARD 链与 DNAT 目标"],"answer":[1],"explanation":"知识点是 iptables NAT 链与目标对应关系。源地址转换在报文离开前于 POSTROUTING 链用 SNAT 实现。PREROUTING 配 DNAT 用于目的地址转换（端口映射）；INPUT 链处理本机接收报文，不做转发源转换；FORWARD 链负责转发过滤，DNAT 用于目的转换。"},{"id":78,"type":"single","stem":"网络管理员在交换机上配置了 STP，但发现某端口长期处于 Blocking 状态且未恢复，检查发现该端口收到的 BPDU 中根桥 ID 比本机当前根桥 ID 更优，此时该端口最终应进入什么状态","options":["保持 Blocking 并等待老化","进入 Listening 并参与选举","进入 Forwarding 并转发数据","进入 Disabled 并关闭端口"],"answer":[0],"explanation":"知识点是 STP 端口状态与 BPDU 比较。若端口收到更优 BPDU，该端口作为非指定端口保持 Blocking，防止环路，不会自行进入转发。Listening 是选举过程中的过渡状态；Forwarding 会导致环路；Disabled 需人工关闭或发生错误，非正常收敛结果。"},{"id":79,"type":"single","stem":"在防火墙双机热备部署中，主设备故障后备用设备接管，若发现已建立的会话在切换后中断，最可能的原因是","options":["未启用会话同步功能","未配置 NAT 地址池","未启用接口链路聚合","未配置静态路由"],"answer":[0],"explanation":"知识点是防火墙双机热备的会话同步。切换后会话中断通常因主备之间未同步会话表，导致备用设备无已有连接状态。NAT 地址池、链路聚合、静态路由影响转发可达性，但不会直接导致已建立会话状态丢失。"},{"id":80,"type":"multi","stem":"在园区网中部署 VLAN 间路由时，下列哪些做法可以实现在不改变终端网关配置的前提下限制不同部门之间的互访","options":["在三层交换机上配置 VLAN 间 ACL 并应用到对应 VLAN 接口","使用 VRF 将不同部门划分到不同路由实例并配置路由泄露","在二层交换机上配置端口隔离并划分到不同隔离组","在三层交换机上为每个部门配置独立的 VLAN 接口并关闭路由功能"],"answer":[0,1],"explanation":"知识点是 VLAN 间访问控制的实现方式。VLAN 接口 ACL 可在三层转发路径上过滤；VRF 通过路由实例隔离并在需要时做受控路由泄露。端口隔离只在同一 VLAN 内限制二层互访，跨 VLAN 仍需三层控制；关闭 VLAN 接口路由功能会使部门无法访问其他网段，属于过度限制而非受控互访。"},{"id":81,"type":"single","stem":"在千兆以太网中，若需要将两台交换机的多个物理端口捆绑成一条逻辑链路以提升带宽并提供冗余，应配置的技术是","options":["链路聚合","生成树协议","端口镜像","虚拟局域网"],"answer":[0],"explanation":"链路聚合（如LACP）将多个物理链路捆绑为一条逻辑链路，用于增加带宽和提供冗余。生成树协议用于消除二层环路，不增加带宽；端口镜像用于流量监控；虚拟局域网用于二层广播域隔离。"},{"id":82,"type":"single","stem":"某企业网络中，管理员发现一台主机频繁发送大量ARP请求且源MAC地址不断变化，最可能遭受的攻击类型是","options":["ARP欺骗","MAC泛洪","DHCP饿死","IP地址冲突"],"answer":[1],"explanation":"MAC泛洪攻击通过不断变换源MAC地址发送大量帧，导致交换机MAC地址表溢出并退化为广播转发。ARP欺骗是伪造ARP响应篡改映射关系；DHCP饿死是耗尽DHCP地址池；IP地址冲突表现为地址重复但不会导致MAC地址快速变化。"},{"id":83,"type":"single","stem":"在交换机上配置端口安全功能时，若将某端口设置为只允许一个MAC地址接入且违规动作为shutdown，当该端口接入第二个不同MAC地址的设备时，端口状态会变为","options":["err-disabled","blocking","learning","forwarding"],"answer":[0],"explanation":"端口安全违规动作配置为shutdown时，交换机检测到超出允许数量的MAC地址后会关闭端口，端口进入err-disabled状态。blocking是STP的端口状态；learning和forwarding是正常端口状态，不会因违规而进入。"},{"id":84,"type":"single","stem":"某网络管理员在路由器上配置了一条静态路由ip route 0.0.0.0 0.0.0.0 10.1.1.1，该路由的作用是","options":["仅转发目的地址为0.0.0.0的报文","指定去往10.1.1.1的下一跳","作为默认路由转发所有无匹配表项的报文","阻止所有未匹配的报文通过"],"answer":[2],"explanation":"0.0.0.0/0是默认路由，当报文目的地址在路由表中无更精确匹配时按此路由转发。它并非只匹配0.0.0.0这一地址；10.1.1.1是下一跳地址而非目的；默认路由用于转发而非丢弃报文。"},{"id":85,"type":"single","stem":"在Linux系统中，管理员使用tcpdump抓包时希望只捕获目的端口为443的TCP报文，应使用的过滤表达式是","options":["tcp dst port 443","tcp src port 443","udp dst port 443","tcp port 443"],"answer":[0],"explanation":"tcp dst port 443表示仅捕获TCP目的端口为443的报文。tcp src port 443是源端口；udp dst port 443协议错误；tcp port 443会同时匹配源或目的端口为443的报文，范围过宽。"},{"id":86,"type":"single","stem":"某公司网络出现部分用户无法访问外网但可以访问内网服务器，管理员检查发现这些用户的默认网关配置正确，最可能的原因是","options":["DNS服务器配置错误","交换机端口VLAN划分错误","路由器NAT配置缺失或错误","内网服务器防火墙拦截"],"answer":[2],"explanation":"能访问内网但无法访问外网，说明二层和三层转发正常，问题多出在出口NAT未正确配置，导致私网地址无法转换为公网地址。DNS错误会导致域名解析失败但直接访问IP仍可通；VLAN划分错误会影响内网访问；内网服务器防火墙不影响外网访问。"},{"id":87,"type":"single","stem":"某学校机房采用DHCP为终端分配地址，管理员发现部分终端获取到169.254开头的地址，最可能的原因是","options":["DHCP服务器地址池耗尽","终端网卡驱动异常","交换机端口被关闭","DNS服务器不可达"],"answer":[0],"explanation":"169.254.0.0/16是APIPA地址，当终端无法从DHCP服务器获得地址时会自动配置该地址。地址池耗尽是常见原因。网卡驱动异常通常表现为无法连接；端口关闭则完全无连接；DNS不可达不影响IP地址获取。"},{"id":88,"type":"multi","stem":"在网络安全防护中，以下关于防火墙部署位置和策略的描述，正确的有","options":["包过滤防火墙依据五元组对报文进行过滤","状态检测防火墙可跟踪TCP连接状态","应用层防火墙可识别HTTP请求中的恶意载荷","防火墙部署在内网核心交换机旁路即可阻断所有攻击","防火墙策略应默认允许所有流量再逐步拒绝"],"answer":[0,1,2],"explanation":"包过滤防火墙基于源目IP、端口、协议等五元组过滤；状态检测防火墙维护连接状态表；应用层防火墙可解析应用协议内容。旁路部署无法阻断流量，只能监听；防火墙策略应默认拒绝、按需允许，而非默认允许。"},{"id":89,"type":"single","stem":"在配置华为交换机端口隔离时，若要求同一VLAN内不同端口之间不能二层互通，但都能与上行网关通信，应优先采用哪种配置方式","options":["将用户端口加入同一隔离组，上行端口不加入隔离组","将用户端口与上行端口加入同一隔离组并开启ARP代理","在用户端口上配置端口安全并绑定网关MAC","在用户端口上配置MUX VLAN并将上行端口设为从VLAN"],"answer":[0],"explanation":"知识点是端口隔离的典型用法。端口隔离通过将用户端口加入同一隔离组实现组内二层隔离，上行端口不加入隔离组即可与所有用户端口通信。错误项：同一隔离组会把上行端口也隔离导致用户无法访问网关；端口安全绑定网关MAC只限制接入数量不实现用户间隔离；MUX VLAN从VLAN用于隔离但上行端口应设为主VLAN而非从VLAN。"},{"id":90,"type":"single","stem":"某企业网络中，管理员发现核心交换机CPU利用率长期偏高，抓包显示大量目的MAC为广播地址的ARP请求来自接入层同一端口，最合理的初步处置是","options":["在该接入端口启用ARP限速并检查是否有环路或中毒主机","将核心交换机所有VLAN接口关闭代理ARP功能","把该接入端口从当前VLAN改为Trunk放通全部VLAN","在核心交换机上配置静态ARP绑定全部终端"],"answer":[0],"explanation":"知识点是ARP泛洪型异常流量的定位与抑制。大量同源ARP请求通常源于环路或主机中毒，接入端口启用ARP限速可立即抑制并配合排查。错误项：关闭代理ARP不影响本网段ARP广播；改为Trunk会扩大广播域使问题更严重；静态绑定全部终端不解决泛洪且维护量巨大。"},{"id":91,"type":"single","stem":"在OSPF多区域设计中，若某区域存在大量不稳定链路需要频繁计算SPF，为减少对骨干区域的影响，较合适的做法是","options":["将该区域配置为完全末梢区域并下发默认路由","将该区域配置为NSSA并引入外部路由","将该区域路由器全部配置为ASBR","将该区域与骨干区域合并为单区域"],"answer":[0],"explanation":"知识点是OSPF特殊区域的作用。完全末梢区域阻止外部LSA进入并由ABR下发默认路由，可减小区域内部链路波动对骨干的LSA传播影响。错误项：NSSA仍允许引入外部路由且增加LSA类型；全部配置ASBR会引入大量外部LSA；合并为单区域会扩大拓扑变化影响范围。"},{"id":92,"type":"single","stem":"网络工程师在排查用户无法通过DHCP获取地址的问题时，在接入交换机上看到端口处于up状态且DHCP Snooping信任端口配置正确，下一步最应检查的是","options":["交换机上是否配置了DHCP中继且中继地址可达","用户网卡是否启用了IPv6优先","接入端口是否配置了端口镜像","核心交换机是否开启STP根保护"],"answer":[0],"explanation":"知识点是DHCP中继的排查顺序。跨网段获取地址依赖中继将请求转发到DHCP服务器，中继地址不可达则请求无法到达服务器。错误项：IPv6优先不影响IPv4 DHCP；端口镜像与地址获取无关；根保护针对STP拓扑不影响DHCP报文转发。"},{"id":93,"type":"single","stem":"在配置VRRP时，若希望Master路由器故障恢复后能立即抢回Master角色，应采用的配置是","options":["设置较高的优先级并启用抢占功能","设置较低的优先级并启用抢占功能","设置较高的优先级并关闭抢占功能","设置与Backup相同的优先级并启用抢占功能"],"answer":[0],"explanation":"知识点是VRRP抢占机制。抢占需在设备上启用且本端优先级高于当前Master才能抢回。错误项：低优先级无法抢占；关闭抢占则即使优先级高也不抢回；优先级相同不触发抢占。"},{"id":94,"type":"single","stem":"在交换机上配置基于端口的VLAN时，若将某端口设为Access模式并加入VLAN 10，则该端口发出的帧","options":["不带VLAN标签，属于VLAN 10","带VLAN 10标签，属于VLAN 10","不带VLAN标签，属于VLAN 1","带VLAN 10标签，属于VLAN 1"],"answer":[0],"explanation":"知识点是Access端口帧处理。Access端口发出帧剥离标签，属于所配置的VLAN。错误项：带标签是Trunk或Hybrid带标签时的行为；属于VLAN 1与配置不符。"},{"id":95,"type":"single","stem":"某网络需要将多条静态路由汇总后发布到OSPF区域中，若汇总地址为192.168.0.0/22，则被覆盖的子网数量是","options":["2个/24子网","4个/24子网","8个/24子网","16个/24子网"],"answer":[1],"explanation":"知识点是CIDR汇总计算。/22比/24短2位，覆盖2的2次方即4个/24子网。错误项：2个对应/23；8个对应/21；16个对应/20。"},{"id":96,"type":"single","stem":"在IPsec VPN配置中，若两端设备已完成IKE第一阶段但第二阶段协商失败，最可能的原因是","options":["两端感兴趣流ACL不匹配","两端预共享密钥不一致","两端IKE版本不一致","两端公网地址不可达"],"answer":[0],"explanation":"知识点是IPsec两阶段协商。第二阶段协商感兴趣流和IPsec提案，ACL不匹配会导致失败。错误项：预共享密钥不一致和IKE版本不一致会导致第一阶段失败；公网地址不可达则第一阶段就无法建立。"},{"id":97,"type":"single","stem":"网络管理员在核心交换机上配置SNMP时，希望监控服务器能读取设备信息但不允许修改配置，应配置的团体名权限是","options":["只读团体名并限制监控服务器IP","读写团体名并限制监控服务器IP","只读团体名并允许任意IP访问","读写团体名并允许任意IP访问"],"answer":[0],"explanation":"知识点是SNMP团体名权限与访问控制。只读团体名可读不可写，配合IP限制更安全。错误项：读写团体名允许修改配置；允许任意IP访问存在安全风险。"},{"id":98,"type":"single","stem":"某企业部署了双出口链路，要求内网用户访问互联网时优先走主链路，主链路故障时自动切换到备链路，且切换后能自动切回，较合适的方案是","options":["配置浮动静态路由并配合BFD检测主链路","配置等价默认路由实现负载分担","配置策略路由按源地址分流","配置OSPF并将两条链路设为等价"],"answer":[0],"explanation":"知识点是链路冗余与故障切换。浮动静态路由通过管理距离实现主备，BFD可快速检测故障并触发切换与切回。错误项：等价默认路由是负载分担不是主备；策略路由按源分流不解决故障切换；OSPF等价同样为负载分担。"},{"id":99,"type":"single","stem":"在配置华为交换机时，管理员希望将接口GigabitEthernet0/0/1加入VLAN 10并设置为Access模式，以下命令序列中正确的是","options":["interface GigabitEthernet0/0/1 然后 port link-type access 然后 port default vlan 10","interface GigabitEthernet0/0/1 然后 port link-type trunk 然后 port trunk allow-pass vlan 10","vlan 10 然后 port GigabitEthernet0/0/1 然后 port default vlan 10","interface GigabitEthernet0/0/1 然后 port default vlan 10 然后 port link-type access"],"answer":[0],"explanation":"知识点是华为交换机Access接口加入VLAN的标准配置顺序：先进入接口视图，再设置链路类型为access，最后将接口划入指定VLAN。选项A顺序和命令均正确。选项B错误在于将接口设为trunk模式，trunk用于交换机之间承载多VLAN，不能将终端接口直接划入单一VLAN。选项C错误在于vlan视图下不支持port命令将物理接口划入VLAN，这是常见误用。选项D错误在于先执行port default vlan会导致接口仍为默认的hybrid模式，虽然部分版本可执行但链路类型未明确，标准做法应先设置link-type。"},{"id":100,"type":"single","stem":"某企业网络中，管理员需要在路由器上配置一条静态路由，使目的网段192.168.2.0/24的流量下一跳为10.0.0.2，以下配置命令正确的是","options":["ip route-static 192.168.2.0 255.255.255.0 10.0.0.2","ip route-static 192.168.2.0 24 10.0.0.2","route add 192.168.2.0 mask 255.255.255.0 10.0.0.2","ip route 192.168.2.0 255.255.255.0 next-hop 10.0.0.2"],"answer":[0],"explanation":"知识点是华为路由器静态路由配置命令格式为ip route-static 目的网络 子网掩码 下一跳地址。选项A格式完全正确。选项B错误在于华为设备静态路由命令中使用点分十进制掩码而非掩码长度24，掩码长度写法在部分厂商设备中使用但华为命令不识别。选项C错误在于route add是Windows主机命令，不是路由器配置命令。选项D错误在于next-hop关键字不是华为静态路由命令的参数，属于语法错误。"},{"id":101,"type":"single","stem":"某公司网络出现故障，管理员在核心交换机上执行display mac-address命令后发现某MAC地址在多个端口上频繁出现，最可能的原因是","options":["网络中产生了二层环路","交换机MAC地址表已满","该MAC地址对应的主机中毒","交换机端口安全功能被触发"],"answer":[0],"explanation":"知识点是MAC地址表震荡（MAC地址漂移）通常由二层环路引起，同一帧从多个端口到达导致MAC地址表项不断变化。选项A正确，环路会导致广播风暴和MAC地址表不稳定。选项B错误，MAC地址表满会导致新地址无法学习，但不会导致同一MAC在多个端口频繁出现。选项C错误，主机中毒可能产生大量流量但不会导致MAC地址在不同端口间漂移。选项D错误，端口安全触发会关闭端口或丢弃报文，不会造成MAC地址在多端口出现。"},{"id":102,"type":"single","stem":"在配置防火墙安全策略时，管理员希望允许来自Trust区域访问DMZ区域的HTTP流量，同时禁止其他所有流量，以下策略配置思路正确的是","options":["先配置允许Trust到DMZ的HTTP策略，再配置Trust到DMZ的默认拒绝策略","只配置允许Trust到DMZ的HTTP策略，其他流量自动被拒绝","先配置默认拒绝所有策略，再配置允许Trust到DMZ的HTTP策略","配置允许Trust到DMZ所有流量，再单独拒绝非HTTP流量"],"answer":[0],"explanation":"知识点是防火墙安全策略按顺序匹配，通常采用先允许特定流量再拒绝其余流量的方式，或在最后配置默认拒绝。选项A正确，先允许HTTP再拒绝其余，符合先细后粗的策略匹配顺序。选项B错误，若未配置默认拒绝，未匹配流量可能被默认放行，存在安全风险。选项C错误，若默认拒绝在前，后续允许策略不会生效，因为流量已被拒绝。选项D错误，先放行所有再拒绝非HTTP会导致策略顺序混乱且无法精确控制。"},{"id":103,"type":"single","stem":"某网络管理员使用Wireshark抓包，发现大量源IP为192.168.1.100、目的IP为255.255.255.255的UDP报文，目的端口为67，最可能的情况是","options":["该主机正在请求DHCP地址分配","该主机正在发送DNS查询请求","该主机正在发起ARP广播","该主机正在发送ICMP重定向报文"],"answer":[0],"explanation":"知识点是DHCP客户端通过UDP端口67向广播地址255.255.255.255发送DHCP Discover报文请求地址分配。选项A正确，源端口68目的端口67的UDP广播是DHCP请求特征。选项B错误，DNS查询通常目的端口53且为单播或指定DNS服务器地址。选项C错误，ARP广播是二层协议，不使用UDP端口67。选项D错误，ICMP重定向是ICMP报文类型，不封装在UDP中。"},{"id":104,"type":"single","stem":"在配置ACL时，管理员希望拒绝源地址为192.168.1.0/24网段访问服务器10.1.1.1的80端口，同时允许其他流量通过，以下ACL规则配置正确的是","options":["rule deny tcp source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0 destination-port eq 80 然后 rule permit ip","rule deny tcp source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0 destination-port eq 80","rule permit ip 然后 rule deny tcp source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0 destination-port eq 80","rule deny ip source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0"],"answer":[0],"explanation":"知识点是ACL规则按顺序匹配，华为设备末尾隐含拒绝所有，因此需要显式配置允许其他流量的规则。选项A正确，先拒绝特定流量再允许其余，且通配符掩码0.0.0.255正确。选项B错误，只配置拒绝规则会导致其他流量被隐含拒绝规则丢弃。选项C错误，先允许所有再拒绝特定流量，由于先匹配permit ip，拒绝规则永远不会生效。选项D错误，拒绝整个IP协议而非仅80端口，且未配置允许其他流量的规则。"},{"id":105,"type":"single","stem":"某企业使用VRRP实现网关冗余，Master路由器优先级为120，Backup路由器优先级为100，若Master故障恢复后重新加入，管理员希望原Master立即抢占回Master角色，应配置","options":["在Master路由器VRRP组中配置preempt-mode timer delay 0","在Backup路由器VRRP组中配置preempt-mode disable","在Master路由器VRRP组中配置priority 255","在Backup路由器VRRP组中配置preempt-mode timer delay 20"],"answer":[0],"explanation":"知识点是VRRP抢占模式默认开启，抢占延迟时间为0表示立即抢占。选项A正确，配置preempt-mode timer delay 0可使原Master恢复后立即抢占。选项B错误，在Backup上禁用抢占会导致Backup不会主动抢占，与需求相反。选项C错误，优先级255是IP拥有者专用，普通VRRP组不能配置为255。选项D错误，在Backup上配置延迟抢占是控制Backup行为，且延迟20秒不是立即抢占。"},{"id":106,"type":"single","stem":"网络管理员在排查用户无法访问外网的问题时，发现用户PC能ping通网关但不能ping通8.8.8.8，以下排查步骤中最应先执行的是","options":["在PC上执行nslookup检查DNS解析是否正常","在网关上检查NAT转换表项是否存在","在PC上检查子网掩码和默认网关配置","在出口路由器上检查路由表是否有默认路由"],"answer":[3],"explanation":"知识点是网络故障排查应遵循从近到远、从底层到上层的原则。用户能ping通网关说明二层和三层本地连通正常，问题可能出在网关之外。选项D正确，应先检查出口路由器是否有到达目的地址的路由，这是流量能否转发的关键。选项A错误，DNS解析问题表现为能ping通IP但不能访问域名，而当前是ping不通IP，应先排查路由。选项B错误，NAT转换表项需在流量到达出口后才有，应先确认路由可达。选项C错误，能ping通网关说明IP配置和网关配置基本正确，无需重复检查。"},{"id":107,"type":"single","stem":"某公司部署了WLAN，用户反映连接Wi-Fi后频繁掉线，管理员在AC上查看AP状态发现AP的CPU利用率持续在90%以上，最可能的原因是","options":["AP上开启了过多的SSID且广播频繁","AP的供电不足导致反复重启","无线用户数量过少导致AP空转","AC与AP之间的CAPWAP隧道未加密"],"answer":[0],"explanation":"知识点是AP CPU利用率过高常见于SSID数量过多、广播报文频繁、大量用户关联等场景。选项A正确，过多SSID会导致Beacon帧和广播管理帧频繁发送，显著增加AP CPU负担。选项B错误，供电不足会导致AP重启或无法启动，而非CPU持续高利用率。选项C错误，用户数量少不会导致AP CPU高负载，反而负载更低。选项D错误，CAPWAP隧道未加密影响安全性，不会导致AP CPU利用率持续90%以上。"},{"id":108,"type":"multi","stem":"在网络安全管理中，以下关于端口安全功能的描述正确的有","options":["端口安全可以限制接口学习的MAC地址数量","端口安全可以绑定特定MAC地址与接口的对应关系","端口安全违规时可以配置为关闭接口或丢弃报文","端口安全功能可以防止ARP欺骗攻击","端口安全默认会加密所有经过该接口的流量"],"answer":[0,1,2],"explanation":"知识点是端口安全功能的核心作用：限制MAC数量、绑定MAC与接口、违规处理动作。选项A正确，端口安全可设置接口最大学习MAC数。选项B正确，可配置静态绑定MAC地址。选项C正确，违规动作可配置protect、restrict或shutdown。选项D错误，端口安全主要防止MAC泛洪和非法接入，ARP欺骗需配合DAI等功能。选项E错误，端口安全不提供流量加密功能，加密需依赖其他安全协议。"},{"id":109,"type":"single","stem":"在OSPF单区域网络中，路由器R1通过两个接口同时接入同一广播域并建立两个Full状态的邻居关系，若将其中一个接口的OSPF网络类型由broadcast改为point-to-point，最可能出现的现象是","options":["该接口不再发送Hello报文，邻居关系立即断开","两边Hello时间与Dead时间不一致而导致邻居无法建立","该接口仍能与对端建立邻接关系但不再选举DR/BDR","该接口会被动等待对端发起DBD报文交换"],"answer":[2],"explanation":"考点为OSPF网络类型对DR/BDR选举的影响：point-to-point类型不进行DR/BDR选举。broadcast类型会选举DR/BDR，改为point-to-point后不再选举，但仍可建立邻接并同步LSDB。选项A错在point-to-point仍周期性发送Hello报文；选项B错在Hello/Dead时间由接口配置决定，改网络类型不会自动造成时间不一致；选项D错在OSPF邻接建立是双方主动交互，不存在被动等待对端发起DBD的机制。"},{"id":110,"type":"single","stem":"某企业边界路由器配置了NAT，内网服务器需要被外网主动访问，管理员采用静态NAT映射并同时在ACL中放行该服务器流量，但仍无法访问，最可能的原因是","options":["静态NAT未与ACL在同一接口方向生效","未在NAT设备上配置对应的路由回指内网","外网接口未启用NAT ALG功能","内网服务器未配置默认网关指向该路由器"],"answer":[1],"explanation":"考点为NAT与路由配合：静态NAT只做地址转换，若NAT设备没有回指内网服务器的路由，转换后的报文无法正确转发。选项A错在ACL与NAT可分别在不同接口方向生效，不是必然失败原因；选项C错在NAT ALG用于应用层协议，与普通静态NAT访问无关；选项D错在内网服务器若未指网关，通常连NAT设备都到不了，但题干已说明已能发出访问且NAT已映射，更关键的是NAT设备回程路由。"},{"id":111,"type":"single","stem":"在WLAN中，AP通过CAPWAP隧道与AC建立连接，若AC发现AP上报告的是IPv4地址而AC自身配置为IPv6管理地址，最可能导致","options":["AP无法发现AC，CAPWAP隧道建立失败","AP可以建立隧道但无法下发SSID配置","AP会自动切换为IPv6地址重新发现AC","CAPWAP数据隧道正常但控制隧道加密失效"],"answer":[0],"explanation":"考点为CAPWAP发现过程中AC地址族需匹配：AP发现AC依赖可达的管理地址，地址族不一致会导致发现失败。选项B错在隧道都未建立，谈不上下发配置；选项C错在AP不会自动切换地址族，需人工配置；选项D错在控制隧道未建立，不存在数据隧道正常的情况。"},{"id":112,"type":"single","stem":"某网络管理员在核心交换机上配置了DHCP Snooping，并在连接合法DHCP服务器的端口上设置为trust，但用户仍获取到私接路由器分配的地址，最可能的原因是","options":["未在用户接入端口启用DHCP Snooping","未配置DHCP Snooping的绑定表老化时间","合法DHCP服务器端口未配置为trust","私接路由器端口被配置为trust"],"answer":[3],"explanation":"考点为DHCP Snooping信任端口：只有连接合法DHCP服务器的端口才应设为trust，若私接路由器所在端口被设为trust，其DHCP应答会被放行。选项A错在题干已说明已启用；选项B错在绑定表老化时间影响绑定表维护，不影响是否拦截非法DHCP；选项C错在题干已说明合法服务器端口为trust。"},{"id":113,"type":"single","stem":"在Linux主机上使用tcpdump抓包，发现某TCP连接出现大量重复ACK，且发送方不断快速重传，最可能表明","options":["网络中存在丢包导致接收方重复确认","接收方窗口为零导致发送方暂停","TCP校验和错误导致报文被丢弃","链路上存在MTU不匹配导致分片"],"answer":[0],"explanation":"考点为TCP快速重传机制：接收方收到失序报文会重复ACK，发送方收到三个重复ACK触发快速重传，通常由丢包引起。选项B错在零窗口表现为接收方通告win=0，发送方停止发送而非重复ACK；选项C错在校验和错误通常导致接收方静默丢弃，不一定产生重复ACK；选项D错在MTU不匹配会导致分片或ICMP不可达，与重复ACK无直接对应。"},{"id":114,"type":"single","stem":"某企业需要对分支机构与总部之间的IPsec VPN进行配置，要求分支只能访问总部服务器区网段，不能访问总部办公区网段，应通过","options":["在IPsec隧道两端配置感兴趣流ACL限制保护网段","在总部出口路由器上配置NAT将服务器区映射","在分支路由器上配置默认路由指向总部","在IPsec中启用AH认证而不使用ESP加密"],"answer":[0],"explanation":"考点为IPsec感兴趣流ACL：通过ACL定义哪些流量进入隧道，从而限制可访问网段。选项B错在NAT映射不限制访问范围；选项C错在默认路由只是转发路径，不限制可达网段；选项D错在AH/ESP选择影响认证加密方式，与访问范围限制无关。"},{"id":115,"type":"single","stem":"在交换机上配置生成树协议时，将某端口设置为边缘端口（PortFast），该端口连接的是普通PC，若该端口收到BPDU，默认情况下会发生","options":["端口立即进入err-disabled状态","端口保持转发但忽略BPDU","端口重新参与生成树计算并可能阻塞","端口自动关闭PortFast功能但继续转发"],"answer":[2],"explanation":"考点为PortFast与BPDU保护：默认启用PortFast的端口收到BPDU后，会退出边缘状态并重新参与生成树计算，可能进入阻塞。选项A错在未启用BPDU Guard时不会err-disabled；选项B错在不会忽略BPDU；选项D错在默认不是仅关闭PortFast，而是参与生成树计算。"},{"id":116,"type":"single","stem":"某网络使用RIP路由协议，管理员发现路由表中出现了一条度量值为16的条目，这表示","options":["该路由可达且跳数为16","该路由被标记为不可达","该路由为默认路由","该路由为直连路由"],"answer":[1],"explanation":"考点为RIP的度量与不可达：RIP最大跳数为15，16表示不可达。选项A错在16跳在RIP中不可用；选项C错在默认路由通常用0.0.0.0表示；选项D错在直连路由度量通常为0或1，不会为16。"},{"id":117,"type":"single","stem":"某公司网络出现部分用户访问外网缓慢，管理员在出口路由器上查看接口统计发现CRC错误计数持续增长，最可能的原因是","options":["接口双工模式不匹配导致冲突","路由表缺失导致流量绕行","NAT地址池耗尽导致丢包","DNS服务器响应超时导致解析慢"],"answer":[0],"explanation":"考点为接口CRC错误常见原因：双工不匹配、线路质量差等导致物理层错误。选项B错在路由缺失会导致不通或绕行，不直接产生CRC错误；选项C错在NAT地址池耗尽表现为新建连接失败；选项D错在DNS慢表现为解析阶段延迟，不产生接口CRC错误。"},{"id":118,"type":"single","stem":"网络工程师在规划某园区网时，要求核心层设备在单台链路故障时仍能维持业务转发，且不引入生成树收敛延迟，应优先采用的可靠性技术是","options":["堆叠+链路聚合","VRRP主备","STP快速生成树","静态路由浮动"],"answer":[0],"explanation":"知识点是核心层高可用设计。堆叠加链路聚合可把多台设备与多链路捆绑为逻辑整体，链路故障时流量在聚合组内切换，收敛在毫秒级且不依赖STP；VRRP主备需要主备切换时间，且通常配合STP；STP快速生成树故障收敛仍在秒级；静态路由浮动切换更慢且需路由收敛。"},{"id":119,"type":"single","stem":"某企业出口路由器同时接入电信与联通两条链路，要求内网用户访问电信资源走电信、访问联通资源走联通，最合适的部署方式是","options":["策略路由按目的地址选路","等价多路径负载均衡","主备静态路由浮动","基于源地址的NAT转换"],"answer":[0],"explanation":"知识点是出口多链路选路。策略路由可按目的地址匹配不同运营商地址段并指定下一跳，实现分流；等价多路径会把流量随机分摊到两条链路，无法保证按运营商分流；主备浮动只在主链路失效时切换；基于源地址NAT只改源地址，不决定出接口。"},{"id":120,"type":"single","stem":"某公司需要将总部与分支机构的多个VLAN二层互通，同时要求广播域隔离并减少运营商链路数量，应采用的广域网技术是","options":["QinQ封装透传","VLAN映射转换","GRE隧道封装","PPP多链路捆绑"],"answer":[0],"explanation":"知识点是QinQ在运营商城域网中的应用。QinQ在用户VLAN标签外再压一层运营商VLAN标签，可实现不同站点相同VLAN的二层透传并隔离广播域；VLAN映射会改变标签对应关系，不便于多站点统一规划；GRE是三层隧道；PPP多链路捆绑只增加带宽不隔离广播域。"},{"id":121,"type":"single","stem":"某企业内网部署DHCP服务器为办公终端分配地址，管理员发现部分终端获取到169.254开头的地址，最可能的原因是","options":["DHCP中继未配置或不可达","DHCP地址池租期过短","DNS服务器地址错误","网关地址配置冲突"],"answer":[0],"explanation":"知识点是DHCP失败后的自动私有地址。终端无法联系到DHCP服务器时会自动生成169.254网段地址；租期过短只会频繁续租；DNS错误不影响地址获取；网关冲突会导致通信异常但不会产生该网段地址。"},{"id":122,"type":"single","stem":"在WLAN组网中，工程师希望AP由AC统一下发配置并支持漫游时隧道转发，应采用的AC与AP连接方式是","options":["CAPWAP隧道","GRE隧道","IPsec隧道","PPPoE会话"],"answer":[0],"explanation":"知识点是AC与AP的CAPWAP协议。CAPWAP承载控制与数据隧道，支持AC统一配置下发和隧道转发漫游；GRE、IPsec是通用隧道，不承担WLAN管理功能；PPPoE用于拨号接入。"},{"id":123,"type":"single","stem":"某网络出现间歇性丢包，管理员用ping测试时发现丢包与业务高峰相关，且交换机CPU利用率偏高，最应优先检查的是","options":["是否存在广播风暴或环路","光纤链路衰减是否超标","终端网卡是否半双工","DNS解析是否超时"],"answer":[0],"explanation":"知识点是二层环路与广播风暴排查。高峰丢包叠加CPU偏高常见于广播风暴或环路导致CPU处理大量广播；光纤衰减多表现为持续误码；半双工冲突在早期以太网常见但现代交换网较少；DNS超时表现为解析慢而非随机丢包。"},{"id":124,"type":"single","stem":"网络工程师配置IPsec VPN时，要求数据在传输过程中即使被截获也无法被篡改，应启用的安全机制是","options":["ESP的完整性校验","AH的加密功能","IKE的预共享密钥","NAT穿越封装"],"answer":[0],"explanation":"知识点是IPsec安全机制。ESP可提供加密与完整性校验，防止篡改；AH只做认证不加密；IKE预共享密钥用于身份认证，不直接保护数据完整性；NAT穿越解决NAT环境封装问题，不提供防篡改。"},{"id":125,"type":"single","stem":"某园区网核心交换机与接入交换机之间采用光纤连接，管理员发现链路时通时断，光模块发光功率正常但收光功率低于灵敏度，最合理的处置是","options":["清洁光纤接头并检查熔接点","更换交换机电源模块","修改STP优先级","调整VLAN划分"],"answer":[0],"explanation":"知识点是光纤链路故障排查。收光功率低常见于接头污染或熔接损耗，应先清洁并检查；电源模块不影响光功率；STP优先级和VLAN划分不改变物理收光。"},{"id":126,"type":"multi","stem":"网络工程师在部署802.1X认证时，以下关于认证过程的描述中正确的有","options":["客户端与认证服务器之间运行EAP协议","交换机作为认证者转发EAP报文","认证通过前交换机只允许EAP和DHCP报文通过","认证服务器必须与客户端在同一VLAN内","认证通过后交换机端口进入授权状态"],"answer":[0,1,4],"explanation":"知识点是802.1X体系结构。EAP在客户端与认证服务器间运行，交换机作为认证者透传EAP；认证通过后端口授权。认证前通常只放行EAP报文，DHCP是否放行取决于受控端口配置；认证服务器可与客户端跨网段部署，不要求同VLAN。"},{"id":127,"type":"single","stem":"在交换机上配置端口隔离功能时，若要求同一VLAN内主机之间不能二层互通，但都能与网关通信，应采用的配置方式是","options":["将端口加入同一隔离组并配置上行口为隔离组外端口","将端口划分到不同VLAN并配置VLAN间路由","在端口上配置端口安全并绑定MAC地址","在端口上启用STP边缘端口并配置BPDU保护"],"answer":[0],"explanation":"知识点是端口隔离（port-isolate）的应用。正确项将用户端口加入同一隔离组、上行口不加入隔离组，可实现组内二层隔离而保留与网关的三层通信。错误项B改为不同VLAN需三层转发，改变了广播域且需额外路由配置；错误项C端口安全只限制MAC数量，不阻止同VLAN互通；错误项D边缘端口与BPDU保护用于接入层防环，与隔离无关。"},{"id":128,"type":"single","stem":"某企业出口路由器通过PPPoE拨号上网，管理员发现拨号成功后访问部分网站正常，但访问某些网站很慢，最可能的原因是","options":["PPPoE会话的MRU值设置过大导致分片","NAT地址池容量不足导致地址耗尽","接口上未配置TCP MSS调整导致大包被丢弃","路由表中缺少默认路由导致选路异常"],"answer":[2],"explanation":"知识点是PPPoE环境下的MSS问题。PPPoE会增加8字节封装开销，若不调整TCP MSS，大包可能因超出MTU被丢弃，表现为部分网站慢或打不开。错误项A的MRU过大会引发分片但通常表现为完全不通；错误项B地址耗尽会导致新连接无法建立而非部分网站慢；错误项D缺默认路由则所有外网访问都不通。"},{"id":129,"type":"single","stem":"在华为设备上执行display ip routing-table命令后，看到一条目的地址为0.0.0.0/0、协议为Static的路由，该路由的作用是","options":["匹配所有目的地址并转发到指定下一跳","仅匹配本机直连网段的流量","匹配私有地址并做NAT转换","匹配组播地址并做RPF检查"],"answer":[0],"explanation":"知识点是默认路由的含义。0.0.0.0/0表示掩码长度为0，可匹配任意目的地址，作为最后选路依据转发到指定下一跳。错误项B直连网段由直连路由匹配；错误项C NAT转换由NAT策略决定，与默认路由无关；错误项D组播RPF检查依据组播路由表，不是单播默认路由。"},{"id":130,"type":"single","stem":"管理员在交换机上配置了DHCP Snooping，并将连接合法DHCP服务器的端口设为trusted，其余端口为untrusted，该配置主要防范的是","options":["攻击者在接入端口伪造DHCP服务器分配错误网关","攻击者发送大量ARP报文耗尽网关ARP表","攻击者伪造源MAC地址进行泛洪攻击","攻击者利用STP拓扑变更报文震荡网络"],"answer":[0],"explanation":"知识点是DHCP Snooping的防伪DHCP服务器功能。untrusted端口上收到的DHCP Offer/ACK等服务器响应报文会被丢弃，只有trusted端口允许服务器响应通过。错误项B由DAI动态ARP检测防范；错误项C由端口安全或MAC泛洪防护处理；错误项D由BPDU保护或根保护处理。"},{"id":131,"type":"single","stem":"某公司使用OSPF组网，管理员发现一台路由器学到某网段的路由但未加入本地路由表，查看LSDB中存在该网段的LSA，下一步应重点检查","options":["该LSA是否被SPF计算为有效且下一跳可达","该网段是否被配置为Stub区域","接口的Hello和Dead定时器是否一致","区域边界路由器是否配置了路由聚合"],"answer":[0],"explanation":"知识点是OSPF路由计算流程。LSDB有LSA不代表一定生成路由，需SPF计算且下一跳可达才会装入路由表。错误项B Stub区域影响LSA类型但不直接决定单条路由是否装入；错误项C定时器不一致会导致邻居建立失败，LSDB不会有该LSA；错误项D聚合影响通告范围而非本地装入条件。"},{"id":132,"type":"single","stem":"在VRRP组中，若Master路由器优先级为120，另一台Backup优先级为100，且都配置了抢占，当Master故障恢复后，恢复的路由器默认行为是","options":["立即抢占成为Master","保持Backup直到再次故障","需等待认证通过后抢占","需收到VRRP通告后抢占"],"answer":[0],"explanation":"知识点是VRRP抢占机制。配置抢占且优先级更高时，原Master恢复后会立即抢占成为Master。错误项B描述的是非抢占模式；错误项C VRRP认证在报文交互中完成，不是抢占的前提条件；错误项D收到通告是正常状态维持，不是抢占触发条件。"},{"id":133,"type":"single","stem":"某网络管理员在核心交换机上配置链路聚合，将两条千兆链路捆绑，发现聚合后带宽仍为千兆，最可能的原因是","options":["两条链路被分到不同聚合组","聚合模式一端为静态另一端为LACP","聚合接口未配置Trunk","链路聚合负载分担算法为源MAC"],"answer":[0],"explanation":"知识点是链路聚合的成员端口归属。成员端口必须属于同一聚合组才能形成一条逻辑链路。错误项B两端模式不一致会导致聚合失败而非带宽不变；错误项C未配Trunk只影响VLAN通过，不影响聚合带宽；错误项D负载分担算法影响流量分布，不改变总带宽。"},{"id":134,"type":"single","stem":"在防火墙配置中，管理员希望内网用户访问外网时隐藏内网地址，同时外网不能主动访问内网，应采用的NAT方式是","options":["源NAT并配合安全策略仅允许内网发起会话","目的NAT并配置外网到内网的映射","双向NAT并开放外网主动访问","静态NAT并允许外网访问内网服务器"],"answer":[0],"explanation":"知识点是源NAT与安全策略配合实现单向访问。源NAT隐藏内网地址，安全策略只允许内网发起的会话，外网无法主动访问。错误项B目的NAT用于外网访问内网，与隐藏内网需求相反；错误项C双向NAT并开放外网访问违背需求；错误项D静态NAT会暴露内网地址且允许外网访问。"},{"id":135,"type":"single","stem":"某企业部署了IPsec VPN，管理员发现隧道能建立但内网主机之间无法互访，检查发现感兴趣流配置为0.0.0.0/0到0.0.0.0/0，最可能的问题是","options":["感兴趣流过宽导致部分流量未匹配隧道","感兴趣流过宽导致加密算法不匹配","感兴趣流过宽导致IKE协商失败","感兴趣流过宽导致预共享密钥错误"],"answer":[0],"explanation":"知识点是IPsec感兴趣流（ACL）的作用。感兴趣流决定哪些流量进入隧道，过宽会匹配本不该加密的流量，导致部分内网互访流量被错误送入隧道或未匹配。错误项B算法不匹配会导致隧道协商失败；错误项C IKE协商失败则隧道无法建立；错误项D预共享密钥错误也会导致协商失败。"},{"id":136,"type":"single","stem":"在WLAN组网中，AP通过PoE交换机供电，管理员发现部分AP反复重启，最可能的原因是","options":["PoE交换机单端口供电功率不足","AP的SSID配置重复","无线信道自动选择冲突","AC的CAPWAP隧道超时"],"answer":[0],"explanation":"知识点是PoE供电与AP功耗匹配。AP启动瞬间功耗较大，若端口供电功率不足会导致AP反复重启。错误项B SSID重复不会导致AP重启；错误项C信道冲突只影响无线质量；错误项D CAPWAP超时会导致AP掉线但通常不是反复重启的直接原因。"},{"id":137,"type":"single","stem":"某公司网络出现间歇性丢包，管理员抓包发现大量ICMP重定向报文，最可能的原因是","options":["主机默认网关指向了非最优下一跳设备","网络中存在ARP欺骗","交换机开启了STP导致环路","DNS服务器响应缓慢"],"answer":[0],"explanation":"知识点是ICMP重定向的触发条件。当主机将报文发给非最优下一跳时，路由器会发送ICMP重定向告知更优网关。错误项B ARP欺骗表现为网关MAC被篡改；错误项C STP环路会导致广播风暴而非重定向；错误项D DNS缓慢影响域名解析，与ICMP重定向无关。"},{"id":138,"type":"single","stem":"在二层交换机上配置端口隔离后，同一隔离组内的端口之间仍然可以正常转发的是哪类流量","options":["组内端口之间的单播数据帧","组内端口之间的广播数据帧","上联端口下发的单播数据帧","组内端口之间的组播数据帧"],"answer":[2],"explanation":"知识点是端口隔离（port-isolate）的作用范围：隔离组内端口之间二层流量被阻断，但与上联端口或组外端口的通信不受影响。上联端口下发的单播帧目标在组内某端口时仍可正常转发，所以正确。组内单播、广播、组播帧在隔离组内均被限制，因此其余项错误。"},{"id":139,"type":"single","stem":"网络管理员在核心交换机上为财务VLAN配置ACL时，需要匹配目的地址属于192.168.20.0/24且目的端口为443的TCP报文，下列ACL规则写法正确的是","options":["rule permit tcp source any destination 192.168.20.0 0.0.0.255 destination-port eq 443","rule permit tcp source any 192.168.20.0 0.0.0.255 destination-port eq 443","rule permit tcp source any destination 192.168.20.0 255.255.255.0 eq 443","rule permit tcp any any destination 192.168.20.0 0.0.0.255 eq https"],"answer":[0],"explanation":"知识点是高级ACL中通配符掩码与目的端口关键字的用法。正确项用destination加反掩码0.0.0.255并以destination-port eq 443匹配目的端口，语法完整。第二项把目的网段写在source位置，方向错误。第三项用点分十进制子网掩码代替反掩码，ACL不识别。第四项端口关键字位置和写法均不规范。"},{"id":140,"type":"single","stem":"某企业出口路由器通过PPPoE拨号上网，管理员发现拨号成功后能ping通网关但无法访问外网网站，最可能的原因是","options":["PPPoE会话未协商到IPv6地址","NAT转换策略未应用到拨号接口","路由器未开启DHCP中继功能","拨号接口未配置静态路由指向网关"],"answer":[1],"explanation":"知识点是PPPoE拨号上网中NAT与接口绑定的关系。能ping通网关说明二层和PPP链路正常，无法访问外网通常是内网流量未做NAT转换，正确项指出NAT策略未应用到Dialer接口。PPPoE拨号默认协商IPv4，与IPv6无关。DHCP中继用于内网地址分配，不影响出口。拨号接口通常通过默认路由指向网关，未配置静态路由的表述不准确。"},{"id":141,"type":"single","stem":"在OSPF网络中，路由器R1的接口被配置为passive-interface后，该接口所属网段的路由信息会发生什么变化","options":["该网段不再通过该接口发送Hello报文但仍可被通告","该网段完全从OSPF数据库中删除","该网段改为通过静态路由对外发布","该网段只能通过RIP重分发对外发布"],"answer":[0],"explanation":"知识点是OSPF被动接口的含义：被设为passive的接口不发送也不接收OSPF报文，但该接口所在网段仍作为直连网段被通告进OSPF。因此正确项描述准确。该网段不会从数据库删除，也不会自动改为静态或RIP发布，其余项错误。"},{"id":142,"type":"single","stem":"某公司使用VRRP实现网关冗余，主路由器优先级为120，备份路由器优先级为100，若将备份路由器优先级改为150，会发生什么","options":["备份路由器立即抢占成为新的主路由器","主路由器继续工作直到故障才切换","两台路由器同时成为主路由器","VRRP组自动解散并重新选举"],"answer":[0],"explanation":"知识点是VRRP抢占机制。默认开启抢占时，优先级更高的备份路由器会立即抢占成为Master，因此正确项成立。主路由器不会继续独占，也不会出现双主，VRRP组更不会解散，其余项错误。"},{"id":143,"type":"single","stem":"网络工程师在配置IPsec VPN时，发现IKE第一阶段协商失败，日志提示预共享密钥不匹配，下一步最合理的排查操作是","options":["检查两端IKE提议中的加密算法是否一致","核对两端配置的预共享密钥是否完全相同","调整IPsec安全联盟的生存周期","修改感兴趣流的ACL匹配范围"],"answer":[1],"explanation":"知识点是IKE协商失败的常见原因。日志已明确提示预共享密钥不匹配，应优先核对两端密钥，正确项成立。加密算法不一致会提示提议不匹配。SA生存周期和感兴趣流ACL属于第二阶段或数据触发阶段的问题，与当前提示不符。"},{"id":144,"type":"single","stem":"某无线网络中，AP采用Fit AP模式由AC统一管理，若AC与AP之间的CAPWAP隧道建立失败，AP最可能处于什么状态","options":["AP进入独立工作模式继续转发业务","AP反复重启并尝试重新发现AC","AP自动切换为Fat AP模式","AP仅广播SSID但不转发数据"],"answer":[1],"explanation":"知识点是Fit AP与AC之间CAPWAP隧道的建立过程。隧道建立失败时，AP通常会反复重启并重新发现AC，正确项成立。Fit AP不会自动转为独立或Fat模式工作，也不会仅广播SSID不转发数据，其余项错误。"},{"id":145,"type":"single","stem":"在Linux服务器上使用tcpdump抓包时，若只想捕获目的端口为3306的TCP报文，下列命令正确的是","options":["tcpdump tcp dst port 3306","tcpdump tcp src port 3306","tcpdump port 3306 and icmp","tcpdump tcp port 3306 and udp"],"answer":[0],"explanation":"知识点是tcpdump过滤表达式的写法。dst port 3306表示目的端口为3306，配合tcp限定协议，正确项成立。src port匹配源端口，方向相反。and icmp与TCP报文冲突。tcp and udp逻辑上不可能同时成立。"},{"id":146,"type":"multi","stem":"在部署VLAN间路由时，关于单臂路由与三层交换机SVI两种方式的描述，正确的有","options":["单臂路由通过路由器的一个物理接口划分子接口实现","三层交换机通过为每个VLAN创建SVI接口实现","单臂路由的转发性能通常高于三层交换机SVI","三层交换机SVI方式需要为每个VLAN配置IP地址作为网关","单臂路由必须关闭路由器子接口的ARP代理功能"],"answer":[0,1,3],"explanation":"知识点是VLAN间路由两种实现方式的特点。单臂路由在路由器物理接口上划分子接口并封装802.1Q，三层交换机通过SVI为每个VLAN提供网关，两者都需为VLAN配置网关地址，前三项正确。单臂路由受路由器接口带宽和转发能力限制，性能通常低于三层交换机，第二项错误。ARP代理与单臂路由无必然绑定关系，第五项错误。"},{"id":147,"type":"single","stem":"在Windows系统中使用ipconfig命令查看到本机IPv4地址为169.254.10.5，子网掩码为255.255.0.0，最可能的原因是","options":["DHCP服务器未响应导致自动获取失败","主机网卡驱动程序未安装成功","交换机端口被配置为Trunk模式","本机被配置了静态IP地址但网关错误"],"answer":[0],"explanation":"知识点为APIPA自动专用IP寻址。当主机设置为自动获取IP而DHCP服务器不可达时，Windows会自行分配169.254.0.0/16地址。网卡驱动未安装则不会出现该地址；Trunk模式影响的是VLAN标签而非地址分配；静态IP不会自动变成169.254网段。"},{"id":148,"type":"single","stem":"某企业需要将192.168.1.0/24划分为多个子网，每个子网至少容纳50台主机，且要求子网数量尽量多，应使用的子网掩码是","options":["255.255.255.192","255.255.255.128","255.255.255.224","255.255.255.240"],"answer":[0],"explanation":"知识点为VLSM子网划分。255.255.255.192提供64个地址、62个可用主机，满足50台且子网数最多。255.255.255.128只有两个子网且每子网126台，子网数偏少；255.255.255.224每子网仅30台不够用；255.255.255.240每子网仅14台更不够。"},{"id":149,"type":"single","stem":"在交换机上执行display mac-address命令，发现同一MAC地址在多个端口间频繁跳变，最可能发生的网络问题是","options":["网络中存在二层环路","交换机端口速率不匹配","VLAN间路由未配置","STP被完全关闭且无冗余链路"],"answer":[0],"explanation":"知识点为MAC地址漂移与环路检测。二层环路会导致广播帧反复转发，MAC地址表项在多个端口间不断刷新。端口速率不匹配通常引起丢包或协商问题；VLAN间路由属于三层功能与MAC漂移无关；无冗余链路时不存在环路，也不会出现漂移。"},{"id":150,"type":"single","stem":"某公司网络使用OSPF协议，管理员在路由器上配置了区域0和区域1，区域1中某网段的路由未能被区域0的路由器学习到，最先应检查的配置是","options":["区域边界路由器上是否配置了正确的虚链路","区域1内是否配置了正确的network宣告","区域0内是否配置了stub属性","区域边界路由器是否配置了路由汇总"],"answer":[1],"explanation":"知识点为OSPF多区域路由宣告。区域1网段未被其他区域学习，首先应确认该网段是否在OSPF进程中被正确宣告。虚链路用于非骨干区域与骨干区域的逻辑连接，并非首选排查点；stub属性影响的是外部路由；路由汇总可能引起明细丢失但不是首选检查项。"},{"id":151,"type":"single","stem":"在Linux服务器上使用tcpdump抓包，希望只捕获目标端口为443且源IP为10.1.1.100的报文，正确的过滤表达式是","options":["tcpdump dst port 443 and src host 10.1.1.100","tcpdump port 443 and host 10.1.1.100","tcpdump src port 443 and dst host 10.1.1.100","tcpdump dst port 443 or src host 10.1.1.100"],"answer":[0],"explanation":"知识点为tcpdump过滤表达式语法。dst port 443表示目标端口为443，src host 10.1.1.100表示源IP，两者用and连接。第二项未限定方向会同时匹配源或目的端口；第三项方向写反；第四项用or会扩大匹配范围。"},{"id":152,"type":"single","stem":"某无线网络采用WPA2-PSK认证，用户反映连接后频繁掉线且信号强度良好，最可能的原因是","options":["AP信道与邻居AP存在同频干扰","AP的SSID被设置为隐藏","终端未开启DHCP服务","AP的发射功率被设置为最大值"],"answer":[0],"explanation":"知识点为无线同频干扰。信号强但频繁掉线常见于同频或邻频干扰导致重传。隐藏SSID只影响发现过程；终端DHCP问题会影响获取地址但不至于频繁掉线；发射功率过大可能引起覆盖重叠，但同频干扰更符合题干。"},{"id":153,"type":"single","stem":"在华为交换机上需要将GigabitEthernet0/0/1配置为Trunk端口并允许VLAN 10和20通过，下列配置命令正确的是","options":["port link-type trunk 后接 port trunk allow-pass vlan 10 20","port link-type access 后接 port default vlan 10","port link-type hybrid 后接 port hybrid untagged vlan 10","port link-type trunk 后接 port trunk pvid vlan 10"],"answer":[0],"explanation":"知识点为华为交换机Trunk端口配置。正确流程是先设置端口类型为trunk，再允许指定VLAN通过。第二项配置为Access端口；第三项为Hybrid且untagged方式不适用于Trunk场景；第四项只设置PVID并未放行VLAN 20。"},{"id":154,"type":"single","stem":"某公司网络出现部分用户无法访问外网但能访问内网服务器，检查发现这些用户所在VLAN的网关配置正确，最可能的原因是","options":["出口路由器的默认路由缺失","核心交换机的VLAN未创建","用户主机的DNS服务器不可达","接入交换机的端口被配置为Trunk"],"answer":[0],"explanation":"知识点为默认路由与内外网访问差异。能访问内网说明二层和VLAN正常，无法访问外网通常是出口设备缺少默认路由或NAT配置。VLAN未创建会导致内网也不通；DNS不可达表现为域名解析失败但IP访问可能正常；Trunk配置错误会导致VLAN不通，内网访问也会受影响。"},{"id":155,"type":"single","stem":"某园区网络发生广播风暴，管理员登录交换机后发现CPU利用率接近100%，下列处置措施中最恰当的是","options":["在接入端口启用风暴控制并检查环路","立即关闭所有接入端口","将交换机重启以清除MAC表","把核心交换机改为二层转发模式"],"answer":[0],"explanation":"知识点为广播风暴处置。正确做法是启用风暴控制抑制广播并排查环路。关闭所有接入端口会导致业务全面中断；重启只能临时缓解且不解决根因；将核心改为二层转发会加剧广播扩散。"},{"id":156,"type":"single","stem":"在OSPF广播型网络中，路由器优先级为0的接口在DR/BDR选举中的实际行为是","options":["不参与DR和BDR选举，但可被选为DRother","参与选举但优先级最低，仍可能当选BDR","参与选举且优先级视为1，可当选DR","不参与选举且被排除出该区域路由计算"],"answer":[0],"explanation":"知识点为OSPF DR/BDR选举规则。优先级0表示放弃DR/BDR竞选资格，但仍建立邻接并作为DRother存在。错误项B混淆了优先级0与数值最低的优先级1；错误项C错在优先级0不会被当作1；错误项D错在优先级0不影响区域内的路由计算参与。"},{"id":157,"type":"single","stem":"RSTP中边缘端口（Edge Port）配置后，当该端口收到BPDU时设备应执行的动作为","options":["立即关闭端口并进入Err-Disabled状态","撤销边缘端口属性并转为普通生成树端口","保持边缘属性但丢弃该BPDU继续转发","向发送方回送TCN BPDU并重新计算拓扑"],"answer":[1],"explanation":"知识点为RSTP边缘端口保护机制。边缘端口收到BPDU说明连接了交换机，应自动失去边缘属性转为普通STP端口。错误项A是BPDU Guard的行为而非边缘端口自身行为；错误项C错在边缘端口收到BPDU不会继续无感转发；错误项D错在TCN触发条件与收到BPDU不同。"},{"id":158,"type":"single","stem":"企业出口部署双ISP链路时，要实现内网访问电信资源走电信链路、访问联通资源走联通链路，且故障时自动切换，应优先采用的方案是","options":["基于策略路由按目的地址匹配ISP地址表分流","配置两条等价默认路由实现逐包负载均衡","使用VRRP将两个ISP网关虚拟为一个地址","对内网主机分别配置两个ISP的DNS服务器"],"answer":[0],"explanation":"知识点为多出口路由选路。策略路由可按目的地址匹配运营商地址库实现分流并配合链路检测切换。错误项B等价默认路由会逐包轮转，无法按目的地址区分；错误项C的VRRP用于网关冗余而非按目的地址分流；错误项D配置两个DNS不能决定数据包出口路径。"},{"id":159,"type":"single","stem":"在Linux主机上执行tcpdump抓包时，若只想捕获目的端口为443且源IP为192.168.1.10的报文，正确的过滤表达式是","options":["tcpdump src host 192.168.1.10 and dst port 443","tcpdump dst host 192.168.1.10 and src port 443","tcpdump host 192.168.1.10 and port 443","tcpdump net 192.168.1.10 and dport 443"],"answer":[0],"explanation":"知识点为tcpdump过滤表达式语法。src host指定源IP，dst port指定目的端口。错误项B把源和目的写反；错误项C的host和port不区分方向，范围过宽；错误项D的net用于网段匹配且dport不是tcpdump关键字。"},{"id":160,"type":"single","stem":"某公司需要将总部与分支机构的多个VLAN通过运营商网络互连，且要求各VLAN二层隔离、三层由总部统一控制，最合适的方案是","options":["在总部与分支之间建立IPsec VPN并启用GRE承载VLAN","使用QinQ在运营商网络透传内层VLAN标签","部署VXLAN over IPsec实现大二层互通","采用MPLS L3VPN由运营商隔离各站点路由"],"answer":[1],"explanation":"知识点为QinQ与二层互连。QinQ在运营商网络外层封装运营商VLAN，内层用户VLAN标签透传，满足多VLAN二层隔离互连。错误项A的IPsec+GRE更适合三层路由互通而非二层透传；错误项C的VXLAN over IPsec实现大二层但配置复杂且非最直接方案；错误项D的MPLS L3VPN是三层隔离，不满足二层需求。"},{"id":161,"type":"single","stem":"在WLAN组网中，AP通过AC下发配置并采用隧道转发数据时，用户业务报文的转发路径是","options":["AP直接转发到上层交换机","AP封装后经隧道送至AC再转发","AC仅下发策略，报文由AP本地转发","用户报文经AP广播至所有无线终端"],"answer":[1],"explanation":"知识点为WLAN隧道转发与本地转发区别。隧道转发模式下业务报文封装后经CAPWAP数据隧道送到AC，由AC解封装后转发。错误项A是本地转发模式的行为；错误项C描述的是本地转发；错误项D与WLAN转发机制无关。"},{"id":162,"type":"single","stem":"某企业网络中，管理员发现一台主机频繁发送大量ARP应答，导致其他主机网关MAC被篡改，最直接有效的抑制手段是","options":["在接入交换机上启用ARP检测（DAI）功能","在主机上配置静态ARP网关","在核心交换机上关闭ARP代理","在出口路由器上限制ICMP速率"],"answer":[0],"explanation":"知识点为ARP欺骗防护。DAI基于DHCP Snooping绑定表校验ARP报文，可在接入层直接抑制伪造ARP。错误项B仅在单台主机生效，无法保护全网；错误项C关闭ARP代理与抑制攻击无关；错误项D限制ICMP不影响ARP欺骗。"},{"id":163,"type":"single","stem":"在配置SNMP时，管理站需要读取设备接口流量但禁止修改设备配置，应使用的最低权限团体名或用户级别是","options":["只读（Read-Only）权限","读写（Read-Write）权限","只写（Write-Only）权限","通知（Trap）权限"],"answer":[0],"explanation":"知识点为SNMP访问权限。读取接口流量只需只读权限，遵循最小权限原则。错误项B读写权限过大，存在被篡改配置的风险；错误项C只写权限无法读取数据；错误项D的Trap是设备主动上报机制，不是访问权限级别。"},{"id":164,"type":"single","stem":"某园区网采用VRRP实现网关冗余，主路由器接口故障后备用路由器接管，但内网主机仍无法上网，最可能的原因是","options":["备用路由器未同步NAT会话或上行链路不可用","VRRP优先级配置为100","主备路由器VRRP组ID不一致","主机ARP表中网关MAC未更新"],"answer":[0],"explanation":"知识点为VRRP切换后的业务连续性。VRRP只解决网关IP/MAC冗余，若备用设备缺少NAT会话或上行链路故障，主机仍无法上网。错误项B优先级100是合法值；错误项C组ID不一致会导致VRRP根本不工作，与题述已接管矛盾；错误项D主机ARP会随VRRP通告更新，通常不是根因。"},{"id":165,"type":"multi","stem":"在部署802.1X认证的园区网中，以下哪些措施有助于防止未授权终端接入","options":["在接入端口启用MAC认证作为802.1X的备份认证方式","配置Guest VLAN为未认证终端提供受限访问","将RADIUS服务器与接入交换机之间配置为共享密钥认证","对接入端口关闭端口安全功能以简化配置","将认证失败的终端直接划入管理VLAN"],"answer":[0,1,2],"explanation":"知识点为802.1X认证加固。MAC认证备份、Guest VLAN受限访问、RADIUS共享密钥认证均可提升安全性。错误项D关闭端口安全会削弱接入控制；错误项E将认证失败终端划入管理VLAN属于严重配置错误，会扩大攻击面。"},{"id":166,"type":"single","stem":"在交换机上配置端口隔离功能后，同一隔离组内的主机之间仍然需要互访少量管理报文，管理员应采用的合理做法是","options":["把需要互访的端口划入不同隔离组","关闭端口隔离并改用VLAN划分","在隔离组内配置端口镜像","将端口隔离改为端口安全"],"answer":[0],"explanation":"端口隔离的隔离范围以隔离组为边界，不同隔离组之间默认可互通，把需互访端口放入不同组即可满足隔离其余端口又保留少量互访。关闭隔离改VLAN会失去原有隔离效果；端口镜像只复制流量不改变转发；端口安全用于限制MAC数量，与隔离组互通无关。"},{"id":167,"type":"single","stem":"某企业核心交换机与接入交换机之间使用链路聚合，管理员发现聚合口只有一条成员链路在转发，最可能的原因是","options":["成员端口的速率和工作模式不一致","聚合口未配置IP地址","接入交换机未开启STP","核心交换机未配置默认路由"],"answer":[0],"explanation":"链路聚合要求成员端口的速率、双工、工作模式等参数一致，不一致时只有部分链路能加入转发。聚合口是二层概念，未配IP不影响转发；STP未开不影响聚合协商；默认路由属于三层转发，与聚合成员转发无关。"},{"id":168,"type":"single","stem":"网络管理员在路由器上配置了ACL并应用到接口后，发现原本应被拒绝的报文仍能通过，排查时应首先确认","options":["ACL是否已正确应用到对应接口和方向","ACL编号是否在1到99之间","接口是否配置了描述信息","路由器是否开启了日志功能"],"answer":[0],"explanation":"ACL生效依赖正确的接口和方向绑定，方向选错或绑错接口都会导致规则不生效。ACL编号范围只影响类型，不影响是否生效；接口描述与转发无关；日志功能只用于记录，不决定过滤结果。"},{"id":169,"type":"single","stem":"在Windows主机上执行ipconfig /all后，管理员需要确认主机是否通过DHCP获得地址，应重点查看的字段是","options":["DHCP已启用以及租约获得时间","物理地址和子网掩码","默认网关和DNS服务器","主机名和DNS后缀"],"answer":[0],"explanation":"ipconfig /all中若显示DHCP已启用并有租约获得、过期时间，说明地址来自DHCP。物理地址、掩码、网关、DNS、主机名等字段在静态配置时同样会出现，不能直接证明地址来源。"},{"id":170,"type":"single","stem":"某公司需要把办公网和服务器区互访流量镜像给入侵检测系统分析，同时不影响正常转发，应采用的配置方式是","options":["在核心交换机上配置端口镜像并将检测口设为观察口","把检测系统串接在核心与服务器区之间","在服务器区交换机上关闭STP","把检测系统配置为服务器区网关"],"answer":[0],"explanation":"端口镜像把被镜像端口的流量复制到观察口，检测系统旁路分析，不影响原转发路径。串接会引入单点故障和时延；关闭STP会带来环路风险；把检测系统设为网关会改变网络拓扑和转发路径。"},{"id":171,"type":"single","stem":"在Linux服务器上使用tcpdump抓包时，管理员只想捕获目的端口为443的TCP报文，正确的过滤表达式是","options":["tcp dst port 443","tcp src port 443","udp dst port 443","ip proto 443"],"answer":[0],"explanation":"tcp dst port 443表示目的端口为443的TCP报文，符合需求。src port 443抓的是源端口；udp端口443协议不符；ip proto后面应跟协议号而不是端口号。"},{"id":172,"type":"single","stem":"管理员在交换机上配置了DHCP Snooping后，连接DHCP服务器的端口应配置为","options":["信任端口","非信任端口","镜像端口","隔离端口"],"answer":[0],"explanation":"DHCP Snooping把连接合法DHCP服务器的端口设为信任端口，其余为非信任端口以过滤非法DHCP应答。非信任端口会丢弃服务器应答；镜像端口用于流量复制；隔离端口用于端口隔离，均不适用于此场景。"},{"id":173,"type":"single","stem":"某分支机构通过IPsec VPN与总部互联，管理员发现隧道能建立但业务不通，最应检查的是","options":["感兴趣流ACL是否匹配实际业务网段","IKE阶段一是否使用预共享密钥","公网接口是否配置NAT","隧道对端是否配置了静态路由"],"answer":[0],"explanation":"IPsec通过感兴趣流ACL决定哪些流量进入隧道，ACL不匹配会导致隧道建立但业务流量不被加密传输。预共享密钥错误会影响阶段一建立；公网NAT和静态路由属于可达性因素，隧道已建立说明基本可达。"},{"id":174,"type":"multi","stem":"在部署无线局域网时，为提升安全性，可采取的措施包括","options":["启用WPA2或WPA3加密","关闭SSID广播并配合强口令","启用MAC地址过滤作为唯一认证手段","部署无线入侵检测并定期审计","将AP管理密码设置为默认值"],"answer":[0,1,3],"explanation":"WPA2/WPA3加密、关闭SSID广播配合强口令、部署无线入侵检测与审计都能提升无线安全。MAC地址过滤易被伪造，不能作为唯一认证手段；AP管理密码使用默认值会带来管理面风险。"},{"id":175,"type":"single","stem":"在千兆以太网中，使用双绞线作为传输介质时，标准的线序T568B对1至8号引脚的正确排列是","options":["橙白、橙、绿白、蓝、蓝白、绿、棕白、棕","绿白、绿、橙白、蓝、蓝白、橙、棕白、棕","橙白、橙、蓝白、蓝、绿白、绿、棕白、棕","棕白、棕、绿白、蓝、蓝白、绿、橙白、橙"],"answer":[0],"explanation":"知识点是T568B标准线序。正确项为白橙、橙、白绿、蓝、白蓝、绿、白棕、棕，是EIA/TIA-568B规定的引脚排列。第二项是T568A线序，虽同样有效但不符合题干指定的T568B。第三项错误地把蓝白与绿白位置对调。第四项是完全倒序，与任一标准均不符。"},{"id":176,"type":"single","stem":"在交换机上配置端口聚合时，若将两个物理端口加入同一链路聚合组，通常要求这些端口的双工模式、速率和VLAN配置满足的条件是","options":["速率和双工必须一致，VLAN配置可以不同","速率必须一致，双工可以不同，VLAN必须一致","速率、双工和VLAN配置都必须保持一致","双工必须一致，速率可以不同，VLAN可以不同"],"answer":[2],"explanation":"知识点是链路聚合的端口成员一致性要求。正确项要求速率、双工和VLAN属性均一致，否则聚合可能无法建立或出现流量异常。第一项允许VLAN不同，会导致聚合组内转发行为不一致。第二项允许双工不同，可能引发单工链路抖动。第四项允许速率不同，成员端口速率不一致时聚合组带宽计算和哈希转发会出现问题。"},{"id":177,"type":"single","stem":"管理员在一台运行STP的交换机上把某端口配置为边缘端口后，该端口连接终端设备时收到的BPDU应当如何处理","options":["丢弃BPDU并保持边缘端口转发状态","接收BPDU并触发端口进入阻塞状态","接收BPDU并立即关闭端口","丢弃BPDU并把端口转为根端口"],"answer":[1],"explanation":"知识点是边缘端口与BPDU保护的关系。正确项为接收BPDU后触发端口重新参与生成树计算进入阻塞，因为边缘端口不应收到BPDU，收到说明接入了交换设备。第一项丢弃并保持转发会形成环路风险。第三项立即关闭端口属于BPDU保护开启后的动作，并非未开启保护时的默认行为。第四项转为根端口没有依据，根端口由根路径开销选举产生。"},{"id":178,"type":"single","stem":"在OSPF中，一台路由器同时收到同一网段的两条LSA，一条由区域边界路由器产生，一条由自治系统边界路由器产生，路由器进行路由选择时优先比较的是","options":["LSA的类型编号大小","路由的协议优先级","到达目的网段的路径开销","产生LSA的路由器ID"],"answer":[2],"explanation":"知识点是OSPF区域内路由选路依据。正确项为比较到达目的网段的路径开销，开销小者优。第一项LSA类型影响的是路由计算方式而非同类型路由间的度量比较。第二项协议优先级用于不同路由协议之间，OSPF内部同协议不比较。第四项路由器ID只在开销相同时才作为选路参考，并非首先比较。"},{"id":179,"type":"single","stem":"某企业使用NAT让内部主机访问互联网，内部服务器需要对外提供Web服务，在路由器上配置静态NAT映射时，通常把公网地址和端口映射到","options":["内部服务器的私网地址和私网端口","内部主机的私网地址和随机端口","路由器的接口地址和管理端口","内部服务器的MAC地址和私网端口"],"answer":[0],"explanation":"知识点是静态NAT端口映射。正确项为把公网地址端口映射到内部服务器的私网地址和私网端口，使外部能访问内部服务。第二项映射到普通主机随机端口无法稳定提供Web服务。第三项映射到路由器管理端口会暴露设备管理面。第四项NAT工作在IP层，不映射MAC地址。"},{"id":180,"type":"single","stem":"在配置ACL时，管理员希望只允许192.168.1.0/24网段的主机通过Telnet访问路由器，其他地址均拒绝，下列通配符掩码写法正确的是","options":["192.168.1.0 0.0.0.255","192.168.1.0 255.255.255.0","192.168.1.0 0.0.0.0","192.168.1.0 255.0.0.255"],"answer":[0],"explanation":"知识点是ACL通配符掩码。正确项0.0.0.255表示前24位必须匹配、后8位任意，正好对应/24网段。第二项255.255.255.0是子网掩码写法，用作通配符含义相反。第三项0.0.0.0表示只匹配单个地址192.168.1.0。第四项255.0.0.255混合写法会造成匹配范围错误。"},{"id":181,"type":"single","stem":"某公司申请到200.1.1.0/24地址块，需要划分给4个部门各约50台主机，划分后每个子网的掩码和可用主机数最合理的是","options":["/26，每子网62台可用","/27，每子网30台可用","/25，每子网126台可用","/28，每子网14台可用"],"answer":[0],"explanation":"知识点是子网划分与可用主机数计算。正确项/26每个子网有64个地址、减去网络和广播地址后62个可用，满足50台需求且划分4个子网正好用完/24。第二项/27每子网只有30个可用地址，不够50台。第三项/25每子网126个可用，只能划分2个子网，不够4个部门。第四项/28每子网14个可用，远不够用。"},{"id":182,"type":"single","stem":"管理员发现交换机某端口频繁up/down，日志显示大量STP拓扑变化通知，最可能的原因是","options":["该端口下接了用户终端","该端口连接了未开启生成树的交换设备","该端口被配置为trunk","该端口开启了端口安全"],"answer":[1],"explanation":"知识点是STP拓扑变化与端口状态。正确项为端口连接了未开启生成树的交换设备，可能形成环路并引发频繁拓扑变化。第一项接终端一般不会产生大量TCN。第三项配置trunk本身不会导致up/down。第四项端口安全触发的是违规动作，与STP拓扑变化无直接关系。"},{"id":183,"type":"single","stem":"某企业网络出现部分用户能访问内网但不能访问互联网，管理员检查发现这些用户的网关地址正确、DNS配置正确，最应优先检查的是","options":["用户终端的ARP缓存表项","出口路由器的默认路由和NAT配置","内网交换机的VLAN划分","用户终端的网卡驱动程序"],"answer":[1],"explanation":"知识点是内网可达但外网不可达的排障思路。正确项为出口路由器的默认路由和NAT配置，因为内网可达说明二层和网关正常，问题多出在出口转发或地址转换。第一项ARP异常通常影响网关可达性。第三项VLAN划分错误会影响内网通信。第四项网卡驱动问题会导致完全无法通信。"},{"id":184,"type":"single","stem":"某企业园区网核心交换机与接入交换机之间采用单链路千兆光纤互联，现要求在不改变现有布线的前提下将两台接入交换机上行带宽提升至2Gbps并具备链路冗余，最合理的做法是","options":["将两台接入交换机各用一条光纤分别上联核心交换机的不同板卡并配置链路聚合","将两台接入交换机用堆叠线缆堆叠后仅用一条光纤上联核心交换机","将其中一台接入交换机的两条光纤上联同一核心交换机并配置生成树","将两台接入交换机各用一条光纤上联核心交换机并在核心交换机上配置静态路由"],"answer":[0],"explanation":"知识点是链路聚合与冗余设计。正确项通过跨板卡的两条独立物理链路做聚合，既提升带宽又避免单点故障；错误项一：堆叠后仍只有一条上行链路，带宽与冗余均未解决；错误项二：两条链路联到同一核心交换机不同端口做聚合可行，但题中只说同一核心交换机，未强调跨板卡，且生成树会阻塞一条，达不到2Gbps；错误项三：静态路由解决的是三层可达性，不解决二层带宽与链路冗余。"},{"id":185,"type":"single","stem":"网络管理员在路由器上执行display ip interface brief发现某接口物理状态为UP、协议状态为DOWN，该接口配置了IPv4地址且未启用DHCP，最可能的原因是","options":["接口被管理性关闭但物理链路已连通","接口未配置子网掩码导致协议无法协商","对端设备接口处于管理性关闭状态","该接口被配置为三层模式但未加入任何VLAN"],"answer":[2],"explanation":"知识点是接口物理层与协议层状态含义。正确项：物理UP说明本端链路已连通，协议DOWN通常是对端未启用或管理性关闭；错误项一：若本端被管理性关闭，物理状态通常也为DOWN；错误项二：IPv4接口未配掩码通常不影响协议UP，只会影响路由；错误项四：三层接口无需加入VLAN，该描述不成立。"},{"id":186,"type":"single","stem":"某公司使用私有地址段10.0.0.0/8，现需要为四个部门各划分一个子网且每个子网至少容纳500台主机，同时尽量保留连续地址空间以便后续扩展，应使用的子网掩码是","options":["255.255.254.0","255.255.252.0","255.255.248.0","255.255.240.0"],"answer":[1],"explanation":"知识点是子网划分与主机容量计算。正确项/22可提供1022个可用主机地址，满足500台且地址浪费较小；错误项一/23只有510个可用地址，恰好满足但扩展余量不足且题中要求尽量保留连续空间用于扩展；错误项三/21提供2046个地址，浪费过大；错误项四/20提供4094个地址，浪费更大且不符合尽量紧凑原则。"},{"id":187,"type":"single","stem":"在华为设备上配置ACL时，管理员希望仅允许192.168.1.0/24网段访问服务器的TCP 443端口，其他流量均拒绝，下列配置中能够正确实现且匹配效率较高的是","options":["rule permit tcp source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0 destination-port eq 443 后接rule deny ip","rule deny tcp source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0 destination-port eq 443 后接rule permit ip","rule permit tcp source 192.168.1.0 0.0.0.255 destination-port eq 443 后接rule deny ip","rule permit ip source 192.168.1.0 0.0.0.255 后接rule deny tcp destination-port eq 443"],"answer":[0],"explanation":"知识点是ACL规则匹配顺序与通配符掩码。正确项先精确放行目标流量再拒绝其余，符合需求且先匹配精确规则；错误项二：先拒绝443会导致目标流量被拒，逻辑颠倒；错误项三：未指定目的地址，会放行任意目的地的443访问，范围过宽；错误项四：先放行整个网段所有IP流量，拒绝443已无意义，且放行范围过大。"},{"id":188,"type":"single","stem":"某网络工程师在交换机上配置VLAN间路由，将VLAN 10网关设为192.168.10.1/24、VLAN 20网关设为192.168.20.1/24，配置完成后VLAN 10主机无法ping通VLAN 20主机，但各自能ping通本网关，最可能的原因是","options":["交换机未开启IP路由功能","两个VLAN的网关地址配置在同一子网","主机未配置默认网关地址","交换机上未创建对应的VLANIF接口"],"answer":[0],"explanation":"知识点是三层交换机VLAN间路由前提。正确项：三层交换机默认可能未开启路由功能，导致跨网段转发失败；错误项二：两个网关分属不同子网，配置本身合理；错误项三：能ping通本网关说明主机已配置网关；错误项四：能ping通本网关说明VLANIF接口已存在并生效。"},{"id":189,"type":"single","stem":"在OSPF网络中，某路由器接口被配置为静默接口（silent-interface），该配置产生的影响是","options":["该接口不发送也不接收OSPF Hello报文但仍可发布直连网段","该接口仅不接收OSPF报文但正常发送Hello报文","该接口不参与OSPF但会被动学习邻居发布的链路状态","该接口停止转发所有数据报文但保留OSPF邻居关系"],"answer":[0],"explanation":"知识点是OSPF静默接口作用。正确项：静默接口禁止收发Hello，不建立邻居，但直连网段仍可通过其他方式发布到OSPF；错误项二：静默是双向禁止收发Hello，不是只收不发；错误项三：不建立邻居就无法被动学习链路状态；错误项四：静默接口仍正常转发数据报文，只是不跑OSPF协议报文。"},{"id":190,"type":"single","stem":"某企业部署了VRRP，主路由器优先级为120，备用路由器优先级为100，现管理员将备用路由器优先级改为150，最可能发生的结果是","options":["备用路由器立即抢占成为新的主路由器","主路由器继续保持主状态直到故障切换","两台路由器同时成为主路由器并发生冲突","VRRP组自动解散并重新选举"],"answer":[0],"explanation":"知识点是VRRP优先级与抢占机制。正确项：备用优先级高于当前主且默认开启抢占时，会触发抢占成为新主；错误项二：优先级更高且抢占开启时不会等到故障才切换；错误项三：VRRP通过选举保证同一时刻只有一个主；错误项四：优先级变化不会导致组解散。"},{"id":191,"type":"single","stem":"网络工程师抓包发现某主机频繁发送源IP为169.254.10.20的ARP请求，该主机最可能处于的状态是","options":["已通过DHCP成功获取地址但网关配置错误","未获取到DHCP地址而自动启用链路本地地址","手动配置了静态IP但子网掩码错误","已获取地址但DNS服务器不可达"],"answer":[1],"explanation":"知识点是APIPA链路本地地址。正确项：169.254.0.0/16是DHCP失败后自动生成的链路本地地址；错误项一：DHCP成功不会使用169.254地址；错误项三：静态IP错误不会自动变成169.254；错误项四：DNS不可达不影响本机IP类型。"},{"id":192,"type":"single","stem":"某公司需要在防火墙上发布内网Web服务器供互联网访问，服务器位于DMZ区，下列配置策略中最符合安全最小化原则的是","options":["仅放行外网到DMZ服务器TCP 80和443的新建连接，其他一律拒绝","放行外网到DMZ服务器的所有IP流量以便后续业务扩展","放行外网到内网服务器的TCP 80和443并允许DMZ主动访问内网","仅放行DMZ到外网的TCP 80和443，外网到DMZ默认拒绝"],"answer":[0],"explanation":"知识点是防火墙安全策略与DMZ发布。正确项：按需放行特定端口且默认拒绝，符合最小化原则；错误项二：放行所有流量违背最小化原则；错误项三：直接放行外网到内网服务器绕过DMZ隔离；错误项四：方向反了，外网到DMZ被拒则无法发布服务。"},{"id":193,"type":"single","stem":"某无线网络中用户反映连接Wi-Fi后可以访问内网但无法访问互联网，AP管理地址和网关均可达，最可能的原因是","options":["AP的SSID被设置为隐藏","无线控制器未下发正确的DNS服务器地址","接入交换机端口未配置为Trunk","无线客户端未通过802.1X认证"],"answer":[1],"explanation":"知识点是无线客户端网络参数与上网故障排查。正确项：能访问内网说明二层与网关正常，无法访问互联网常见于DNS解析失败；错误项一：隐藏SSID只影响发现网络，不影响已连接后的访问；错误项三：若未配Trunk，内网访问也会受影响；错误项四：未通过认证通常无法接入或无法访问内网。"},{"id":194,"type":"multi","stem":"某企业网络出现间歇性丢包，工程师计划从多个层面排查，下列排查手段中合理的有","options":["在核心交换机上查看接口错包计数和CRC错误统计","使用traceroute定位丢包发生的跳数范围","在接入交换机上开启端口镜像抓包分析异常流量","直接更换所有交换机电源模块以排除供电问题","将网络内所有设备重启后观察是否恢复"],"answer":[0,1,2],"explanation":"知识点是网络故障分层排查方法。正确项一：接口错包和CRC能反映物理层问题；正确项二：traceroute可缩小丢包范围；正确项三：端口镜像抓包能分析异常流量；错误项四：无依据更换电源模块属于盲目操作；错误项五：全网重启会中断业务且掩盖问题，不是合理排查手段。"},{"id":195,"type":"single","stem":"网络工程师在排查一台华为交换机上VLAN 10用户无法获取IP地址的问题时，发现DHCP服务器正常且地址池充足，交换机上VLAN 10接口已配置IP地址，但DHCP中继未生效，最可能遗漏的配置是","options":["在VLANIF接口下执行dhcp select relay并指定服务器地址","在全局开启dhcp enable即可自动中继","在VLAN 10下执行dhcp server enable","在连接DHCP服务器的接口下配置dhcp snooping trust"],"answer":[0],"explanation":"知识点：DHCP中继配置。正确项对：华为设备需在VLANIF接口下执行dhcp select relay并指定dhcp relay server-ip才能中继DHCP报文。错误项错在：dhcp enable只是全局使能DHCP功能，不会自动中继；dhcp server enable用于本机作为服务器；dhcp snooping trust解决的是DHCP snooping信任问题，不解决中继缺失。"},{"id":196,"type":"single","stem":"在配置ACL时，管理员希望仅允许192.168.1.0/24网段访问服务器的TCP 443端口，其他流量均拒绝，下列哪条ACL规则在华为设备上能正确匹配该网段且不误伤其他端口","options":["rule permit tcp source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0 destination-port eq 443","rule permit tcp source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0 destination-port eq 80","rule permit ip source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0","rule permit tcp source 192.168.1.0 0.0.0.255 destination-port eq 443"],"answer":[0],"explanation":"知识点：ACL通配符与端口匹配。正确项对：源为192.168.1.0/24对应通配符0.0.0.255，目的端口443需用eq 443并指定目的地址。错误项错在：第二条端口写80；第三条放通全部IP流量；第四条缺少目的地址，匹配范围过大。"},{"id":197,"type":"single","stem":"网络管理员在交换机上配置端口安全时，希望接口G0/1最多学习5个MAC地址，超出的MAC地址帧直接丢弃且不告警，应选择的违规处理动作是","options":["protect","restrict","shutdown","disable"],"answer":[0],"explanation":"知识点：端口安全违规动作。正确项对：protect动作在超出最大MAC数时直接丢弃报文，不产生告警。错误项错在：restrict会丢弃并发送告警；shutdown会关闭接口；disable不是端口安全的违规动作名称。"},{"id":198,"type":"single","stem":"某园区网使用VRRP实现网关冗余，Master路由器优先级为120，Backup为100，管理员将Backup优先级改为150后，发现它并未立即抢占，最可能的原因是","options":["VRRP未配置抢占模式或抢占延迟未到","VRRP组ID配置不一致","VRRP虚拟IP地址配置不同","Backup路由器未开启VRRP协议"],"answer":[0],"explanation":"知识点：VRRP抢占机制。正确项对：默认可能未启用抢占或配置了抢占延迟，需preempt-mode并等待延迟时间。错误项错在：组ID不一致会导致不在同一组，但题干已说明是同一VRRP组；虚拟IP不同则无法形成主备；未开启VRRP则根本不会参与选举，与题干现象不符。"},{"id":199,"type":"single","stem":"在WLAN组网中，AP通过DHCP获取IP地址后需要自动发现AC，若采用二层发现方式，AC与AP必须满足的条件是","options":["AP与AC在同一广播域内","AP与AC之间必须跨三层网络","AP必须配置AC的域名","AC必须开启源地址验证"],"answer":[0],"explanation":"知识点：WLAN AP发现AC方式。正确项对：二层发现依赖广播，AP与AC需在同一广播域。错误项错在：跨三层是三层发现方式；配置AC域名是DNS发现方式；源地址验证与AP发现AC无关。"},{"id":200,"type":"single","stem":"网络工程师对一台运行RSTP的交换机进行故障排查，发现某端口角色为Alternate，关于该端口的描述正确的是","options":["该端口为根端口的备份端口，处于丢弃状态","该端口为指定端口的备份端口，处于转发状态","该端口为根端口，处于学习状态","该端口为边缘端口，处于转发状态"],"answer":[0],"explanation":"知识点：RSTP端口角色。正确项对：Alternate端口是根端口的备份，处于Discarding状态。错误项错在：指定端口的备份是Backup端口；根端口处于转发状态；边缘端口与Alternate角色不同。"},{"id":201,"type":"single","stem":"网络管理员在核心交换机上配置SNMP时，希望网络管理系统只能读取设备信息而不能修改配置，应采用的配置方式是","options":["配置SNMPv3用户并授权只读视图","配置SNMPv1团体字为public并设置读写权限","配置SNMPv2c团体字为private并允许读写","配置SNMPv3用户并授权读写视图"],"answer":[0],"explanation":"知识点：SNMP访问控制。正确项对：SNMPv3可通过用户和视图实现只读授权，安全性高。错误项错在：SNMPv1团体字public常为只读但题干要求配置方式且v1安全性低；private通常读写；授权读写视图会允许修改配置。"},{"id":202,"type":"single","stem":"某企业网络发生广播风暴，管理员登录交换机后发现所有端口指示灯快速闪烁，CPU利用率极高，下列处置步骤中最合理的是","options":["先关闭故障端口或配置风暴控制，再逐步排查环路","立即重启核心交换机以恢复业务","直接拔掉所有接入层交换机电源","将生成树协议关闭以消除拓扑收敛影响"],"answer":[0],"explanation":"知识点：广播风暴应急处置。正确项对：应先抑制风暴源并排查环路，可关闭可疑端口或启用风暴控制。错误项错在：重启会中断业务且不解决环路；拔掉所有接入交换机影响面过大；关闭STP会加剧环路风险。"},{"id":203,"type":"multi","stem":"在网络安全设备部署中，关于防火墙安全区域与策略的说法，正确的有","options":["Trust区域到Untrust区域默认策略通常为允许","Untrust区域到Trust区域默认策略通常为拒绝","同一安全区域内接口间流量默认允许通过","不同安全区域间流量必须显式配置策略才能通过","安全策略匹配顺序通常从上到下依次匹配"],"answer":[0,1,4],"explanation":"知识点：防火墙安全区域与策略。正确项对：Trust到Untrust默认允许、Untrust到Trust默认拒绝、策略从上到下匹配。错误项错在：同一安全区域内接口间流量默认通常为拒绝而非允许；不同安全区域间流量在部分设备上有默认策略，并非都必须显式配置才能通过。"},{"id":204,"type":"single","stem":"在规划园区网汇聚层时，若接入层交换机数量较多且需要抑制广播域规模，同时还要保证跨VLAN终端的三层互通，汇聚层设备最应优先具备的能力是","options":["支持基于硬件的线速三层转发与VLAN终结","支持端口镜像并集中输出到分析仪","支持堆叠后形成单一管理IP的接入扩展","支持基于MAC地址表的二层转发与过滤"],"answer":[0],"explanation":"知识点：汇聚层功能定位与VLAN间路由。汇聚层需要终结各接入VLAN并做三层转发，因此线速三层转发与VLAN终结是核心能力。端口镜像用于流量分析，不是互通必需；堆叠扩展主要解决接入端口密度和管理，不解决跨VLAN路由；二层转发与过滤是接入层的基本能力，不能实现VLAN间互通。"},{"id":205,"type":"single","stem":"某企业出口路由器同时连接两条ISP链路，要求当主链路时延明显升高但仍能通时自动把新流量切换到备用链路，且已建立的会话尽量不中断，应配置","options":["基于目的地址的策略路由并绑定主链路出接口","基于时延阈值的链路探测联动浮动静态路由","基于源地址的等价多路径负载分担","基于端口的NAT地址池轮询分配"],"answer":[1],"explanation":"知识点：链路探测与浮动静态路由。通过探测主链路时延并在超阈值时撤销主路由，使浮动静态路由生效，可满足新流量切换且不强制清会话。策略路由绑定出接口无法根据时延动态切换；等价多路径是同时使用两条链路，与主备切换目标不符；NAT地址池轮询只影响地址转换，不决定选路。"},{"id":206,"type":"single","stem":"在交换机上配置RSTP后，某端口角色为Alternate，其状态为Discarding，该端口收到更优BPDU时最可能的后续行为是","options":["立即进入Learning状态并开始学习MAC地址","保持Discarding并在必要时转为根端口","立即进入Forwarding状态转发用户流量","向对端发送拓扑变化通知并清空MAC表"],"answer":[1],"explanation":"知识点：RSTP端口角色与状态迁移。Alternate端口是根端口的备份，收到更优BPDU时通常保持Discarding，当根端口失效时可快速切换为根端口。它不会直接进入Learning或Forwarding；拓扑变化通知由检测到拓扑变化的端口触发，不是Alternate的常规行为。"},{"id":207,"type":"single","stem":"网络管理员在核心交换机上看到大量源IP为不同地址、目的为同一服务器的SYN报文，服务器响应缓慢，最有效的第一处置措施是","options":["在服务器网卡上启用巨帧以提高吞吐","在核心交换机连接服务器的端口启用风暴抑制","在防火墙或清洗设备上启用SYN Cookie与源限速","把服务器默认网关改为核心交换机直连地址"],"answer":[2],"explanation":"知识点：SYN Flood攻击识别与处置。大量不同源IP的SYN指向同一服务器是典型SYN Flood，启用SYN Cookie和源限速可在不中断正常业务的前提下缓解。巨帧与吞吐优化无关；风暴抑制主要针对广播/组播风暴，对单播SYN泛洪效果有限；改默认网关不能缓解攻击。"},{"id":208,"type":"single","stem":"在OSPF广播网络中，两台路由器接口均配置为DR Other且优先级相同，若希望其中一台成为DR，最直接有效的做法是","options":["把该接口的OSPF优先级调高","把该接口的Hello间隔调小","把该接口的网络类型改为点到点","把该接口的cost值调小"],"answer":[0],"explanation":"知识点：OSPF DR选举。DR选举首先比较接口优先级，优先级高者当选，因此调高优先级最直接。Hello间隔影响邻居建立与失效检测，不决定DR；改为点到点会取消DR/BDR选举；cost影响SPF计算路径，不影响DR选举。"},{"id":209,"type":"single","stem":"某公司需要让出差员工通过互联网安全访问内网OA，且不希望在每个员工电脑上安装客户端，同时要求基于用户身份做细粒度授权，应优先选择","options":["在出口路由器上做端口映射到OA服务器","部署IPsec站点到站点隧道连接分支机构","部署SSL VPN并集成统一身份认证","在OA服务器上启用基于源IP的访问控制"],"answer":[2],"explanation":"知识点：远程接入VPN选型。SSL VPN基于浏览器即可接入，无需安装客户端，并可结合统一身份认证做细粒度授权。端口映射会直接暴露OA且无身份授权；站点到站点IPsec面向固定分支机构，不适合分散出差员工；源IP控制无法应对动态地址且无强身份认证。"},{"id":210,"type":"single","stem":"在WLAN部署中，某AP下用户反映漫游时视频会议短暂卡顿，检查发现AP间通过三层网络互联且漫游前后不在同一子网，最应调整的是","options":["把AP的发射功率统一调到最大","在AC上启用二层漫游并统一业务VLAN","在接入交换机上关闭生成树协议","把无线认证方式改为开放系统认证"],"answer":[1],"explanation":"知识点：WLAN漫游与AC部署。跨三层漫游时若业务VLAN不一致，终端需要重新获取地址导致中断，统一业务VLAN并启用二层漫游可减少卡顿。统一最大功率会加剧同频干扰；关闭生成树可能引入环路风险；开放认证会带来安全风险且与漫游中断无关。"},{"id":211,"type":"single","stem":"在配置ACL时，管理员希望只允许192.168.10.0/24网段访问服务器的TCP 443端口，其他流量拒绝，下列配置顺序最合理的是","options":["先配置拒绝任意源到任意目的的规则，再配置允许指定网段到443的规则","先配置允许指定网段到443的规则，再配置拒绝任意源到任意目的的规则","只配置允许指定网段到443的规则并应用到接口","只配置拒绝任意源到任意目的的规则并应用到接口"],"answer":[1],"explanation":"知识点：ACL匹配顺序与隐式拒绝。ACL自上而下匹配，应先放行需要允许的精确流量，再用拒绝任意兜底，否则先拒绝会导致允许规则永不生效。只配置允许规则会依赖设备隐式拒绝，行为不够明确；只配置拒绝规则会阻断所有流量。"},{"id":212,"type":"single","stem":"某园区网采用双核心交换机，接入交换机通过两条上行链路分别连接两台核心，要求正常情况下两条链路都转发流量且无环路，应采用的协议是","options":["生成树协议并阻塞其中一条上行链路","链路聚合并把两条上行加入同一聚合组","VRRP并让两台核心同时转发所有VLAN","静态路由并配置相同目的不同下一跳"],"answer":[1],"explanation":"知识点：链路聚合与多链路冗余。链路聚合可在两条上行之间实现负载分担并避免二层环路。生成树会阻塞一条链路，不能同时转发；VRRP是网关冗余，不解决接入上行负载分担；静态路由等价路径属于三层，接入交换机上行通常是二层链路。"},{"id":213,"type":"multi","stem":"某企业计划对核心机房进行网络改造，要求提升可用性并便于故障定位，下列措施中合理的有","options":["核心设备采用双机热备并配置独立管理链路","关键链路部署BFD联动路由快速检测故障","所有业务VLAN统一使用同一网段以简化管理","在核心与汇聚之间启用链路聚合并保留冗余端口","为便于排障在核心交换机上开启全端口镜像到所有端口"],"answer":[0,1,3],"explanation":"知识点：网络高可用与可维护性设计。双机热备加独立管理链路可提高可用性并便于带外管理；BFD可加快故障检测；链路聚合加冗余端口可提高链路可靠性。所有VLAN同一网段会破坏广播域隔离并放大故障；全端口镜像到所有端口会引入巨大流量并影响性能，不是合理排障方式。"},{"id":214,"type":"single","stem":"某企业网核心交换机与汇聚交换机之间采用静态链路聚合，聚合口下联的服务器频繁出现丢包，检查发现两条成员链路的速率分别为1000Mb/s和100Mb/s，最可能导致该现象的原因是","options":["成员链路速率不一致导致流量按链路速率比例分配不均","静态聚合未启用LACP导致成员端口无法转发流量","聚合口未配置Trunk导致VLAN标签被丢弃","成员链路速率不一致导致聚合组无法建立"],"answer":[0],"explanation":"知识点是链路聚合的流量分担机制。静态聚合按成员链路速率比例分担流量，1000M与100M混用会使慢链路成为瓶颈并引起乱序丢包，故A正确；静态聚合不启用LACP仍可正常转发，B错；聚合口是否Trunk与丢包无直接因果，C错；速率不一致并不阻止静态聚合建立，D错。"},{"id":215,"type":"single","stem":"网络管理员在路由器上配置了到同一目的网段的静态路由，下一跳分别为下一跳A和下一跳B，且两条路由的管理距离相同，路由器转发时通常采取的行为是","options":["同时把流量按包轮流分担到两条路由","只把管理距离较小的那条路由装入转发表","把两条路由都装入转发表并按等价多路径分担","丢弃后加入的路由并产生告警日志"],"answer":[2],"explanation":"知识点是等价静态路由的ECMP行为。管理距离相同且度量相同时两条路由等价，可同时装入转发表做等价多路径分担，故C正确；按包轮流是逐包分担的具体算法之一而非总称，A表述不准确；管理距离相同不会只取一条，B错；等价路由不会因后加入被丢弃，D错。"},{"id":216,"type":"single","stem":"在OSPF网络中，某台路由器的一个接口被配置为被动接口（passive interface），该配置对该接口产生的直接影响是","options":["停止在该接口发送和接收OSPF Hello报文","停止在该接口发送Hello但仍可接收Hello","继续发送Hello但不再接收Hello报文","停止该接口所在网段的路由被通告出去"],"answer":[0],"explanation":"知识点是OSPF被动接口。被动接口不发送也不接收该接口上的OSPF报文，但该接口网段仍会被通告，故A正确；被动接口是收发都停，B、C错；网段仍会作为Stub网段被通告，D错。"},{"id":217,"type":"single","stem":"网络工程师在配置ACL时希望只允许192.168.1.0/24网段的主机访问服务器的TCP 443端口，下列通配符掩码写法中正确的是","options":["192.168.1.0 0.0.0.255","192.168.1.0 0.0.0.0","192.168.1.0 255.255.255.0","192.168.1.0 0.0.0.254"],"answer":[0],"explanation":"知识点是ACL通配符掩码。0表示匹配、1表示忽略，/24对应0.0.0.255，故A正确；0.0.0.0只匹配单台主机，B错；255.255.255.0是子网掩码写法而非通配符，C错；0.0.0.254会忽略最后一位造成匹配错误，D错。"},{"id":218,"type":"single","stem":"某企业部署了双出口链路，主链路为光纤、备链路为4G，希望光纤故障时自动切换到4G，配置浮动静态路由时对备链路路由应设置","options":["比主链路路由更大的管理距离","比主链路路由更小的管理距离","与主链路路由相同的管理距离","比主链路路由更大的度量值但管理距离相同"],"answer":[0],"explanation":"知识点是浮动静态路由。备链路路由需配置更大的管理距离，主链路失效后才会被激活，故A正确；更小会让备链路优先，B错；相同管理距离会形成等价负载，C错；管理距离相同而仅改度量在静态路由中不用于此目的，D错。"},{"id":219,"type":"single","stem":"某公司需要将总部与分支机构的多个VLAN通过运营商网络互联，且要求各VLAN之间保持二层隔离、总部可集中做VLAN间路由，最合适的方案是","options":["使用QinQ在运营商网络中透传各分支VLAN","在分支机构各VLAN间直接配置三层路由","将各分支机构VLAN合并为一个扁平大二层","使用NAT将各分支VLAN转换为总部地址"],"answer":[0],"explanation":"知识点是QinQ在运营商桥接场景的应用。QinQ通过外层标签透传内层VLAN，保持隔离并支持总部集中路由，故A正确；分支直接三层路由会破坏集中路由设计，B错；扁平大二层会丧失隔离，C错；NAT会改变地址结构且不保持二层隔离，D错。"},{"id":220,"type":"single","stem":"网络工程师在配置防火墙安全策略时，希望实现内网用户只能访问外网Web服务而不能访问外网其他端口，下列策略设计思路中最合理的是","options":["先拒绝所有外网访问，再放行目的端口为80和443的流量","先放行所有外网访问，再拒绝目的端口非80和443的流量","仅配置放行80和443的策略，不配置其他策略","配置拒绝所有外网访问的策略并置于策略列表末尾"],"answer":[0],"explanation":"知识点是防火墙策略的默认拒绝原则。应先拒绝再精确放行，符合最小权限，故A正确；先放行所有再拒绝非Web端口会被前面的放行覆盖，B错；只放行不拒绝会依赖默认策略，可控性差，C错；拒绝策略置末且无放行会导致全部不通，D错。"},{"id":221,"type":"single","stem":"在交换机上配置端口隔离功能时，若要求同一VLAN内主机之间完全不能互访但都能访问网关，应采用的配置方式是","options":["将端口加入同一隔离组并配置上行口为隔离组外端口","将端口加入不同隔离组并关闭所有端口MAC学习","将端口加入同一VLAN并启用端口镜像到网关口","将端口加入同一隔离组并禁止网关口转发"],"answer":[0],"explanation":"知识点是端口隔离（port-isolate）的隔离组与上行口关系。同一隔离组内端口互相隔离，上行口不加入隔离组即可与各端口通信，故A正确；B关闭MAC学习会导致转发异常且隔离组划分方式不对；C端口镜像与隔离无关；D禁止网关口转发会使主机无法访问网关。"},{"id":222,"type":"single","stem":"某企业双出口路由器分别连接电信与联通链路，要求内网用户访问电信资源走电信出口、访问联通资源走联通出口，应优先采用的策略工具是","options":["基于策略的路由PBR按目的地址分流","等价多路径ECMP按源地址哈希分流","浮动静态路由按管理距离分流","基于流的负载均衡按五元组分流"],"answer":[0],"explanation":"知识点是策略路由与多出口选路。PBR可按目的地址匹配指定下一跳，满足按资源归属分流，A正确；ECMP不做目的网段区分；浮动静态路由只能主备切换；基于流的负载均衡仍无法按目的网段精确选路。"},{"id":223,"type":"single","stem":"网络工程师在核心交换机上执行display interface GigabitEthernet 0/0/1，发现接口物理状态UP、协议状态UP，但Input errors计数持续增长且CRC错误较多，最可能的原因是","options":["接口双工模式与对端不一致","接口配置了错误的IP地址","接口被配置为三层路由口","接口未加入任何VLAN"],"answer":[0],"explanation":"知识点是以太网接口错包与双工/线缆关系。CRC错与Input errors增长常见于双工不匹配或线缆质量差，A正确；IP地址错误影响三层不通但不产生CRC错；三层口与二层口属性不直接产生CRC；未加入VLAN表现为不通而非CRC增长。"},{"id":224,"type":"single","stem":"在OSPF网络中，路由器R1与R2之间链路属于Area 0，R1同时连接Area 1，若Area 1内出现外部路由引入，负责产生Type 4 LSA的是","options":["R1作为ABR产生描述ASBR的Type 4 LSA","R2作为骨干路由器产生Type 4 LSA","Area 1内任意DR产生Type 4 LSA","ASBR自己产生Type 4 LSA"],"answer":[0],"explanation":"知识点是OSPF LSA类型与ABR职责。Type 4 LSA由ABR产生，用于描述ASBR可达性并泛洪到非骨干区域，故A正确；R2若不在相关区域不产生；DR不负责产生Type 4；ASBR产生的是Type 1/5而非Type 4。"},{"id":225,"type":"single","stem":"某公司使用VRRP实现网关冗余，主备路由器均正常但备用路由器频繁抢占成为Master，最可能的原因是","options":["备用路由器配置了更高的优先级且启用了抢占","主路由器未配置虚拟IP地址","备用路由器未加入同一VRRP组","主路由器接口被配置为三层口"],"answer":[0],"explanation":"知识点是VRRP优先级与抢占机制。优先级更高且抢占开启会导致备用持续抢占，A正确；未配置虚拟IP无法成组；未加入同组不参与选举；三层口属性与抢占无直接关系。"},{"id":226,"type":"single","stem":"网络管理员发现某台服务器无法被外网访问，检查防火墙发现已配置DNAT映射但未放行对应安全策略，正确的处置顺序是","options":["先确认安全策略放行再验证DNAT映射生效","先删除DNAT映射再重建安全策略","先关闭防火墙再测试端口连通性","先修改服务器默认网关再检查NAT"],"answer":[0],"explanation":"知识点是防火墙NAT与安全策略的先后关系。DNAT负责地址转换，安全策略负责放行，需先确认策略再验证映射，A正确；删除映射会中断；关闭防火墙不合规；改网关与NAT映射无直接关系。"},{"id":227,"type":"single","stem":"在链路聚合中，若要求聚合组内成员端口流量按源目MAC哈希分担，且某成员端口故障时业务不中断，应采用的模式是","options":["LACP动态聚合模式","静态聚合模式且不启用LACP","主备模式仅一个端口转发","端口镜像模式复制流量"],"answer":[0],"explanation":"知识点是链路聚合模式与可靠性。LACP动态聚合可检测成员故障并自动调整，A正确；静态聚合故障检测依赖物理状态，切换不如LACP；主备模式不实现流量分担；端口镜像不用于聚合转发。"},{"id":228,"type":"single","stem":"在IPv6网络中，主机通过无状态地址自动配置SLAAC获取地址时，路由器通告RA消息中的M位与O位组合为M=0、O=1，表示","options":["主机使用SLAAC获取地址并通过DHCPv6获取其他配置","主机使用DHCPv6获取地址和其他配置","主机仅使用SLAAC获取地址且不获取其他配置","主机使用DHCPv6获取地址并通过SLAAC获取其他配置"],"answer":[0],"explanation":"知识点是IPv6 RA的M/O标志含义。M=0表示地址用SLAAC，O=1表示其他配置用DHCPv6，A正确；B对应M=1、O=1；C对应M=0、O=0；D组合含义颠倒。"},{"id":229,"type":"multi","stem":"在部署园区网安全接入时，为防止未授权终端接入并限制其访问范围，下列措施中合理的有","options":["启用802.1X认证并配合RADIUS服务器","配置端口安全限制MAC数量并设置违规动作","对访客SSID启用Portal认证并划分独立VLAN","关闭所有接入端口的STP以提升转发速度","将核心交换机管理口直接暴露在互联网"],"answer":[0,1,2],"explanation":"知识点是园区网接入安全控制。802.1X实现身份认证，端口安全限制MAC防私接，访客Portal加独立VLAN实现隔离，均合理；关闭STP会引入环路风险；管理口暴露互联网属于严重不安全配置。"},{"id":230,"type":"single","stem":"某企业园区网需要将财务部与研发部划分到不同广播域，同时要求两部门之间在必要时可通过策略互访，最合适的部署方式是","options":["为两个部门各分配一个VLAN，并在三层交换机上配置VLAN间路由与ACL","为两个部门各分配一个VLAN，并在接入交换机上启用GVRP自动注册","为两个部门各分配一个网段，并在路由器上启用RIP动态路由"],"answer":[0],"explanation":"知识点是VLAN划分与三层访问控制。为不同部门划分VLAN可隔离广播域，三层交换机配置VLAN间路由并用ACL可实现按策略互访，故A正确；B中GVRP只自动注册VLAN，不解决跨VLAN受控互访；C中同网段划分无法隔离广播域，仅靠RIP也不能实现受控互访。"},{"id":231,"type":"single","stem":"在OSPF网络中，路由器R1的接口被配置为silent-interface后，该接口对应的直连网段仍被通告进OSPF，其直接效果是","options":["该接口不再发送和接收OSPF协议报文，但网段仍可被通告","该接口停止参与OSPF，且其网段立即从LSDB中删除","该接口只接收Hello报文，不再发送任何OSPF协议报文"],"answer":[0],"explanation":"知识点是OSPF silent-interface的作用。silent-interface使接口不发送也不接收OSPF报文，但若该网段被network命令覆盖仍会被通告，故A正确；B错误，网段通告与接口收发报文是两回事；C错误，silent-interface并非只收不发。"},{"id":232,"type":"single","stem":"某公司使用PPPoE拨号上网，拨号成功后用户PC可以访问互联网，但无法访问同一链路上另一台已配置公网地址的服务器，最可能的原因是","options":["PPPoE虚拟接口的MTU小于服务器返回报文长度导致分片被丢弃","PPPoE拨号获得的默认网关与服务器所在网段冲突","PPPoE会话使用的CHAP认证方式与服务器不兼容"],"answer":[0],"explanation":"知识点是PPPoE的MTU/MSS问题。PPPoE封装额外开销使有效MTU约1492字节，若未调整MSS，较大报文可能被丢弃导致访问异常，故A正确；B默认网关冲突通常影响所有外网访问；C中CHAP认证用于拨号链路，与访问服务器无直接关系。"},{"id":233,"type":"single","stem":"网络管理员在核心交换机上配置端口镜像时，将多个被监控端口的流量复制到同一目的端口，结果目的端口出现丢包，正确的优化措施是","options":["将目的端口改为更高带宽端口并确认其不再用于业务转发","将被监控端口改为半双工模式以降低复制流量速率","在目的端口上启用STP以避免镜像流量形成环路"],"answer":[0],"explanation":"知识点是端口镜像的带宽与目的端口要求。多个源端口流量汇聚到目的端口可能超过其带宽，应使用更高带宽端口且目的端口不承载业务，故A正确；B半双工不能提升镜像能力且会引发冲突；C镜像流量为单向复制，启用STP无助于解决带宽瓶颈。"},{"id":234,"type":"single","stem":"某分支机构通过IPsec VPN与总部互联，管理员发现VPN隧道已建立但分支用户无法访问总部内网服务器，最应优先检查的是","options":["IPsec感兴趣流ACL是否包含了总部服务器网段","IKE阶段一是否使用了预共享密钥认证","ESP加密算法是否选择了AES-256"],"answer":[0],"explanation":"知识点是IPsec感兴趣流匹配。隧道建立只说明IKE和IPsec协商成功，若感兴趣流ACL未包含目标网段则流量不会被加密送入隧道，故A正确；B、C影响隧道能否建立，隧道已建立说明其基本无误。"},{"id":235,"type":"single","stem":"在WLAN部署中，AP采用PoE供电且由AC集中管理，若某AP反复上线又掉线，最可能的原因是","options":["该AP所在交换机端口PoE供电功率不足或网线质量差","AC上配置的SSID隐藏导致AP无法发现AC","AP的射频信道设置为自动选择导致频繁切换"],"answer":[0],"explanation":"知识点是AP反复上下线的常见原因。PoE供电不足或链路质量差会导致AP重启或掉线，故A正确；B中SSID隐藏影响终端发现无线网络，不影响AP与AC的CAPWAP隧道；C信道自动选择不会导致AP反复上下线。"},{"id":236,"type":"single","stem":"某企业需要让外部用户通过域名访问内网Web服务器，且公网IP只有一个，最合适的方案是","options":["在出口设备上配置目的NAT并发布该Web服务端口","在内网Web服务器上直接配置公网IP地址","在DNS服务器上把域名解析到内网私有地址"],"answer":[0],"explanation":"知识点是目的NAT/端口映射。公网IP有限时通过目的NAT将特定端口映射到内网服务器，故A正确；B直接给服务器公网IP会浪费且不安全；C把域名解析到私网地址外部用户无法路由访问。"},{"id":237,"type":"single","stem":"在STP中，当根桥发生故障后网络需要重新收敛，管理员希望加快收敛速度并避免临时环路，最合适的做法是","options":["在接入层交换机上启用RSTP并配置边缘端口","将STP模式改为MSTP并关闭所有端口的BPDU保护","在所有交换机上把桥优先级设置为相同值"],"answer":[0],"explanation":"知识点是RSTP快速收敛与边缘端口。RSTP通过提议/同意机制快速收敛，边缘端口用于终端接入可立即转发，故A正确；B关闭BPDU保护可能引入环路风险；C桥优先级相同会使根桥选举不确定，不利于收敛。"},{"id":238,"type":"single","stem":"某公司计划将IPv4网络逐步过渡到IPv6，要求现有IPv4用户可访问新建的IPv6服务器，且不改变现有IPv4终端配置，最合适的过渡技术是","options":["NAT64配合DNS64实现IPv4用户访问IPv6资源","双协议栈要求所有终端同时配置IPv6地址","6to4隧道用于IPv6孤岛之间互联"],"answer":[0],"explanation":"知识点是IPv4向IPv6过渡技术。NAT64配合DNS64可让仅支持IPv4的终端访问IPv6服务器，故A正确；B双协议栈需改变终端配置；C6to4用于IPv6孤岛间通过IPv4网络互联，不解决IPv4终端访问IPv6资源。"},{"id":239,"type":"single","stem":"在配置 Cisco 交换机端口安全时，若要求端口学习到的 MAC 地址数量上限为 3，且违规时仅丢弃违规帧而不关闭端口，应使用哪组命令","options":["switchport port-security maximum 3 与 switchport port-security violation restrict","switchport port-security maximum 3 与 switchport port-security violation shutdown","switchport port-security maximum 3 与 switchport port-security violation protect","switchport port-security aging time 3 与 switchport port-security violation restrict"],"answer":[0],"explanation":"知识点为端口安全违规模式。restrict 模式丢弃违规帧并产生日志/计数，符合要求；shutdown 会关闭端口；protect 丢弃但不产生告警记录；aging time 是老化时间而非上限。"},{"id":240,"type":"single","stem":"某企业需要把 192.168.1.0/24 划分为至少 6 个可用子网，每个子网至少容纳 25 台主机，最合适的子网掩码是","options":["255.255.255.224","255.255.255.240","255.255.255.192","255.255.255.248"],"answer":[0],"explanation":"知识点为子网划分。需要 6 个子网且每子网 25 台主机，/27 可提供 8 个子网、每子网 30 个可用地址；/28 每子网仅 14 个可用地址；/26 只有 4 个子网；/29 更少。"},{"id":241,"type":"single","stem":"在 OSPF 中，路由器收到一个 LSA 类型为 3 的链路状态通告，该通告描述的是","options":["本区域内部路由器产生的链路状态","ABR 产生的区域间网络路由信息","ASBR 产生的自治系统外部路由信息","DR 产生的网络链路状态信息"],"answer":[1],"explanation":"知识点为 OSPF LSA 类型。Type 3 是 Network Summary LSA，由 ABR 产生，描述区域间路由；Type 1 是 Router LSA；Type 5 是 AS External LSA；Type 2 是 Network LSA。"},{"id":242,"type":"single","stem":"使用 Wireshark 抓包时发现大量源端口为 53 的 UDP 报文发往随机高位端口，且响应报文长度远大于请求报文，最可能的安全事件是","options":["DNS 放大攻击反射流量","SMTP 邮件中继滥用","NTP 时间同步异常","SNMP 团体串爆破"],"answer":[0],"explanation":"知识点为 DNS 放大攻击特征。源端口 53 表示来自 DNS 服务器，响应远大于请求且发往随机端口符合反射放大特征；SMTP 使用 25/587；NTP 使用 123；SNMP 使用 161/162。"},{"id":243,"type":"single","stem":"在 Linux 路由器上执行 sysctl 配置 net.ipv4.ip_forward=1 的作用是","options":["允许本机转发 IPv4 数据包","启用 IPv4 源地址校验","开启 IPv4 分片重组缓存","允许本机接收 IPv4 广播包"],"answer":[0],"explanation":"知识点为 Linux 内核转发参数。ip_forward=1 启用 IPv4 转发；源地址校验由 rp_filter 控制；分片重组由 ipfrag 相关参数控制；接收广播由其他参数控制。"},{"id":244,"type":"single","stem":"某公司使用 VLAN 10 和 VLAN 20，网关位于三层交换机上，现要求两 VLAN 主机能互通但广播域保持隔离，正确做法是","options":["在三层交换机上为两个 VLAN 配置 SVI 并启用路由","把两个 VLAN 的端口都划入同一 VLAN","在两 VLAN 间配置 VRRP 虚拟网关","在三层交换机上配置端口镜像到同一端口"],"answer":[0],"explanation":"知识点为 VLAN 间路由。SVI 路由可实现互通且广播域隔离；划入同一 VLAN 会合并广播域；VRRP 只做网关冗余；端口镜像用于流量分析。"},{"id":245,"type":"single","stem":"管理员在核心交换机上配置了 RSTP，发现某接入端口角色为 Alternate，该端口的实际转发状态是","options":["处于丢弃状态，不转发用户流量","处于学习状态，可学习 MAC 地址","处于转发状态，参与负载分担","处于阻塞状态，但可转发 BPDU"],"answer":[0],"explanation":"知识点为 RSTP 端口角色与状态。Alternate 端口作为备份端口处于 Discarding 状态，不转发用户流量但可接收 BPDU；Learning 是过渡状态；Forwarding 是根端口或指定端口；阻塞是 STP 术语且 RSTP 中 Discarding 不等同可转发数据。"},{"id":246,"type":"single","stem":"某分公司通过 IPsec VPN 与总部互联，管理员发现隧道能建立但内网主机无法访问总部服务器，最应优先检查的是","options":["IPsec 感兴趣流 ACL 是否匹配实际网段","IKE 第一阶段预共享密钥是否一致","隧道两端公网接口是否配置了 NAT","ESP 加密算法是否两端相同"],"answer":[0],"explanation":"知识点为 IPsec VPN 故障排查。隧道能建立说明 IKE 和加密参数基本一致，内网不通通常是感兴趣流 ACL 不匹配；预共享密钥或加密算法不一致会导致隧道无法建立；公网接口 NAT 配置不当可能影响但优先查 ACL。"},{"id":247,"type":"single","stem":"在华为交换机上要把接口 GigabitEthernet0/0/1 配置为 Trunk 并只允许 VLAN 10 和 20 通过，正确命令是","options":["port link-type trunk 与 port trunk allow-pass vlan 10 20","port link-type access 与 port default vlan 10 20","port link-type hybrid 与 port hybrid untagged vlan 10 20","port link-type trunk 与 port trunk pvid vlan 10 20"],"answer":[0],"explanation":"知识点为华为 Trunk 配置。link-type trunk 加 allow-pass 指定允许 VLAN；access 是接入模式；hybrid untagged 用于去标签发送；pvid 设置的是缺省 VLAN 而非允许列表。"},{"id":248,"type":"single","stem":"下列关于防火墙 NAT 与安全策略顺序的描述中，符合主流设备处理逻辑的是","options":["先执行安全策略检查再执行 NAT 转换","先执行 NAT 转换再执行安全策略检查","NAT 与安全策略并行处理互不影响","仅对出方向流量执行安全策略检查"],"answer":[0],"explanation":"知识点为防火墙处理流程。主流防火墙先做安全策略匹配再做 NAT 转换，策略中需引用 NAT 前地址；并行处理说法错误；仅出方向检查不成立。"},{"id":249,"type":"single","stem":"在交换机上配置端口隔离功能时，若要求同一VLAN内不同端口之间不能互相通信，但所有端口都能与上行网关通信，应采用的正确配置方式是","options":["将用户端口加入同一隔离组，上行端口不加入隔离组","将用户端口和上行端口加入同一隔离组","将用户端口加入不同VLAN，上行端口配置Trunk","将用户端口配置端口安全，上行端口配置MAC绑定"],"answer":[0],"explanation":"知识点是端口隔离的隔离组机制。端口隔离在同一隔离组内的端口二层隔离，不在隔离组内的上行端口可与所有用户端口通信，故A正确；B将上行口也隔离会导致用户无法访问网关；C通过划分不同VLAN实现隔离，但用户端口无法与上行口同VLAN通信，且改变了VLAN规划；D端口安全用于限制MAC数量，不具备端口间隔离功能。"},{"id":250,"type":"single","stem":"某企业使用RIP协议组网，网络管理员发现路由器学习到的某条路由开销值始终为16，最可能的原因是","options":["该路由的跳数已达到或超过15跳","该路由的下一跳地址配置错误","该路由的出接口被配置为被动接口","该路由的度量值被手工修改为16"],"answer":[0],"explanation":"知识点是RIP的最大跳数限制。RIP规定跳数16表示不可达，因此开销恒为16说明跳数达到或超过15跳，A正确；B下一跳错误通常导致路由不可用或指向错误邻居，不会固定显示16；C被动接口只影响发送更新，不影响已学习路由的度量；D手工修改度量值属于人为配置，题干未说明，且不是最常见原因。"},{"id":251,"type":"single","stem":"在OSPF网络中，路由器R1与R2之间建立了Full状态的邻接关系，但R1的路由表中缺少R2所在区域的某条明细路由，最可能的原因是","options":["R2所在区域被配置为完全末梢区域","R1与R2的接口MTU值不一致","R1与R2的Router ID冲突","R1与R2的Hello时间间隔不一致"],"answer":[0],"explanation":"知识点是OSPF特殊区域对LSA的过滤。完全末梢区域（Totally Stub）会阻止Type3 LSA进入，导致区域外明细路由缺失，A正确；B MTU不一致会导致邻接停留在ExStart，不会形成Full；C Router ID冲突会导致邻接建立异常；D Hello间隔不一致会导致邻居关系无法建立。"},{"id":252,"type":"single","stem":"网络中使用VLAN Trunk链路时，若两端分别配置为access和trunk模式，最常见的现象是","options":["链路无法UP，物理层报错","VLAN流量无法正常通过，部分帧被丢弃","Trunk端自动协商为access模式","两端VLAN数据库自动同步"],"answer":[1],"explanation":"知识点是Trunk与Access模式不匹配的后果。一端Access一端Trunk时，物理层通常仍UP，但VLAN标签处理不一致，导致部分帧被丢弃或无法通信，B正确；A物理层通常不会报错；C Trunk不会自动变为Access，除非配置协商；D VLAN数据库不会自动同步。"},{"id":253,"type":"single","stem":"在配置ACL时，若希望只允许192.168.1.0/24网段的主机访问服务器的TCP 443端口，其他流量全部拒绝，则ACL规则的正确顺序是","options":["先permit tcp 192.168.1.0 0.0.0.255 any eq 443，再deny ip any any","先deny ip any any，再permit tcp 192.168.1.0 0.0.0.255 any eq 443","先permit ip any any，再deny tcp 192.168.1.0 0.0.0.255 any eq 443","先deny tcp any any eq 443，再permit ip 192.168.1.0 0.0.0.255 any"],"answer":[0],"explanation":"知识点是ACL的匹配顺序。ACL自上而下匹配，因此必须先写允许规则再写拒绝规则，A正确；B先拒绝所有会导致允许规则永远不匹配；C先允许所有再拒绝无法实现只允许特定主机；D先拒绝443再允许所有，逻辑相反。"},{"id":254,"type":"single","stem":"某公司网络出现大量ARP请求广播，导致用户上网变慢，网络管理员抓包发现同一MAC地址反复声称拥有不同IP地址，最可能遭受的攻击是","options":["ARP欺骗攻击","DHCP耗尽攻击","SYN Flood攻击","DNS放大攻击"],"answer":[0],"explanation":"知识点是ARP欺骗的特征。同一MAC反复声明不同IP是ARP欺骗的典型表现，攻击者伪造网关或主机ARP应答，A正确；B DHCP耗尽表现为地址池被占满；C SYN Flood是TCP半连接攻击；D DNS放大是通过DNS服务器放大流量。"},{"id":255,"type":"single","stem":"在华为交换机上，若要将接口G0/0/1配置为Trunk并只允许VLAN 10和VLAN 20通过，正确的配置命令是","options":["port link-type trunk 和 port trunk allow-pass vlan 10 20","port link-type access 和 port default vlan 10 20","port link-type hybrid 和 port hybrid untagged vlan 10 20","port link-type trunk 和 port trunk pvid vlan 10 20"],"answer":[0],"explanation":"知识点是华为交换机Trunk配置。Trunk模式必须配合allow-pass指定允许VLAN，A正确；B Access模式不能通过多个VLAN；C Hybrid需配合tagged/untagged规则，且题干要求Trunk；D pvid只设置缺省VLAN，不能限制允许通过的VLAN列表。"},{"id":256,"type":"single","stem":"某网络管理员在路由器上配置了静态路由ip route-static 0.0.0.0 0.0.0.0 192.168.1.1，随后发现内网用户无法访问互联网，但可以访问192.168.1.1，最可能的原因是","options":["缺少NAT配置，内网私有地址未被转换","静态路由的下一跳地址错误","路由器接口未配置IP地址","内网用户未配置DNS服务器"],"answer":[0],"explanation":"知识点是默认路由与NAT的配合。能访问下一跳说明路由和接口正常，无法访问互联网通常是私有地址未做NAT转换，A正确；B下一跳错误则无法访问192.168.1.1；C接口无IP则下一跳不可达；D DNS问题表现为能上QQ不能开网页，而非完全无法访问互联网。"},{"id":257,"type":"single","stem":"在WLAN网络中，AP与AC之间采用CAPWAP隧道通信，若AP无法上线，排查时首先应确认的是","options":["AP能否获取到IP地址并ping通AC","AP的发射功率是否设置过低","无线终端的DHCP地址池是否耗尽","AC的无线SSID是否已广播"],"answer":[0],"explanation":"知识点是AP上线的基本条件。AP上线需先获取IP并与AC建立CAPWAP隧道，因此首先确认IP可达性，A正确；B发射功率影响覆盖不影响上线；C终端地址池影响用户接入不影响AP上线；D SSID广播影响终端发现网络，不影响AP注册。"},{"id":258,"type":"single","stem":"某园区网采用VRRP实现网关冗余，Master路由器故障后Backup未能接管，最可能的原因是","options":["Backup的VRRP优先级被配置为低于Master","Backup与Master的VRRP虚拟IP地址不同","Backup的抢占功能被关闭且优先级相同","Backup与Master的VRRP版本不一致"],"answer":[2],"explanation":"知识点是VRRP抢占机制。若Backup关闭抢占且优先级与Master相同，Master故障后Backup可能不主动接管，C正确；A优先级低是正常备份状态，Master故障后仍会接管；B虚拟IP不同则VRRP组不匹配，无法形成备份关系；D版本不一致会导致VRRP报文无法识别，但题干未说明。"},{"id":259,"type":"single","stem":"网络管理员在防火墙上配置了安全策略，允许Trust区域访问Untrust区域，但用户仍无法访问外网，检查发现防火墙会话表中没有相应会话，下一步最合理的排查操作是","options":["检查NAT策略是否匹配该流量","检查防火墙接口是否配置了IP地址","检查交换机VLAN是否划分正确","检查用户终端是否配置了网关"],"answer":[0],"explanation":"知识点是防火墙策略与NAT的配合。安全策略允许但无会话，常见原因是NAT策略未匹配导致流量被丢弃，A正确；B接口无IP则策略无法生效；C VLAN错误影响二层可达；D网关错误则用户无法到达防火墙。"},{"id":260,"type":"single","stem":"在OSPF协议中，路由器将直连网段宣告进Area 0时，若该接口被配置为被动接口，对该接口所在网段路由的影响是","options":["该网段仍可通过LSA描述但不再建立邻接关系","该网段不再被通告进OSPF且不建立邻接关系","该网段仍被通告但Hello报文改为单播发送","该网段仅通过外部路由引入方式通告"],"answer":[0],"explanation":"知识点是OSPF被动接口(passive interface)的作用。正确项：被动接口只抑制该接口收发Hello、不建立邻接，但接口所在网段仍作为Stub网络被LSA通告。错误项A：被动接口并非不通告网段，网段依然在Router-LSA中。错误项B：Hello并非改为单播，而是根本不发送。错误项C：被动接口网段是内部路由，不是外部引入。"},{"id":261,"type":"single","stem":"某企业核心交换机与接入交换机之间使用802.1Q Trunk互联，接入交换机上VLAN 10的用户无法与VLAN 20用户通信但都能访问网关，最可能的原因是","options":["Trunk链路未放行VLAN 10的标签","三层接口未配置VLAN 10的网关地址","接入交换机缺少VLAN 10的本地成员","生成树阻塞了VLAN 10的转发端口"],"answer":[1],"explanation":"知识点是VLAN间路由需要三层网关。正确项：用户能上到网关却互不通，说明二层可达、缺的是VLAN 10的三层网关地址，导致无法跨VLAN转发。错误项A：若Trunk不放行VLAN 10，用户连网关都到不了。错误项C：缺本地成员则用户无法接入该VLAN。错误项D：STP阻塞端口会导致整体不通，而非仅VLAN间不通。"},{"id":262,"type":"single","stem":"某管理员在路由器上配置了ACL拒绝源地址为192.168.1.0/24的流量，但发现该网段主机仍能访问外网，最可能的原因是","options":["ACL应用在了错误的接口方向","ACL规则末尾隐含允许所有","ACL被应用在了Loopback接口","ACL规则使用了通配符掩码0.0.0.255"],"answer":[0],"explanation":"知识点是ACL的接口与方向应用。正确项：ACL写对但应用方向/接口错误时不会生效，这是最常见失误。错误项A：末尾隐含deny any只影响未匹配流量，不会放过被拒网段。错误项B：应用到Loopback不影响转发路径。错误项C：0.0.0.255正是该网段的正确通配符，不会导致失效。"},{"id":263,"type":"single","stem":"在以太网链路聚合中，将两条物理链路捆绑为一条逻辑链路后，若其中一条成员链路故障，聚合口的带宽变化是","options":["聚合口带宽按剩余成员链路重新计算","聚合口带宽保持不变直至全部链路故障","聚合口自动降速为原带宽的一半","聚合口进入阻塞状态等待链路恢复"],"answer":[0],"explanation":"知识点是链路聚合(LACP/静态)的带宽动态调整。正确项：成员故障后流量切换到剩余链路，聚合口带宽按剩余成员重新计算。错误项A：带宽不会保持不变，剩余链路承载全部流量。错误项B：不一定降为一半，取决于成员数量。错误项C：聚合口不会因单成员故障阻塞。"},{"id":264,"type":"single","stem":"某公司需要将总部与分支机构通过运营商网络互联，要求分支能访问总部内网但总部不能主动访问分支内网，最合适的配置方式是","options":["总部侧配置NAT使分支隐藏在内网之后","总部侧配置ACL只允许分支发起的新建连接","分支侧配置静态路由指向总部网关","分支侧配置NAT使总部无法回访分支"],"answer":[1],"explanation":"知识点是访问控制方向与状态检测。正确项：用ACL/状态防火墙只放行分支发起的新建连接，可满足单向访问需求。错误项A：NAT隐藏的是分支地址，与访问方向限制无关。错误项C：静态路由只解决可达性，不限制方向。错误项D：分支NAT会破坏总部对分支的访问语义，且不是标准做法。"},{"id":265,"type":"single","stem":"某网络出现广播风暴，管理员在交换机上启用风暴控制后，发现端口被频繁err-disable，最可能的原因是","options":["风暴控制阈值设置过低","端口未配置BPDU Guard","端口未启用PortFast","交换机未配置VLAN修剪"],"answer":[0],"explanation":"知识点是风暴控制与端口保护机制。正确项：阈值过低会把正常突发流量判为风暴触发err-disable。错误项A：BPDU Guard防止接入口收到BPDU，与风暴控制无关。错误项B：PortFast用于接入口快速转发，不解决误判。错误项C：VLAN修剪减少泛洪范围，不直接导致err-disable。"},{"id":266,"type":"single","stem":"在部署IPSec VPN时，若总部与分支的子网地址重叠，最合适的解决方式是","options":["使用NAT-T将重叠地址转换后再建隧道","直接建立隧道并依赖路由选择","关闭分支的IPSec加密功能","将两端子网合并为同一网段"],"answer":[0],"explanation":"知识点是IPSec VPN中的地址重叠处理。正确项：通过NAT-T或地址转换解决重叠，是常见部署方案。错误项A：重叠地址直接建隧道会导致路由冲突。错误项B：关闭加密违背VPN目的。错误项C：合并网段在跨地域场景不可行且会引发更大冲突。"},{"id":267,"type":"single","stem":"某园区网要求访客只能访问互联网不能访问内网服务器，且访客设备接入后自动获取地址，最合适的组合方案是","options":["访客VLAN+ACL限制+DHCP地址池","访客VLAN+PortFast+静态ARP","访客VLAN+STP+VRRP","访客VLAN+NAT+端口镜像"],"answer":[0],"explanation":"知识点是访客网络隔离与地址分配。正确项：访客独立VLAN配合ACL限制内网访问，DHCP自动分配地址，满足需求。错误项A：PortFast与静态ARP不解决隔离与地址分配。错误项B：STP与VRRP是冗余与防环，与访客隔离无关。错误项C：NAT用于出口转换，端口镜像用于监控，均不满足隔离需求。"},{"id":268,"type":"multi","stem":"某网络工程师在排查用户无法通过域名访问网站但能通过IP访问的问题时，下列处置措施中合理的有","options":["检查客户端DNS服务器地址配置","使用nslookup验证域名解析结果","检查DNS服务器到根域的转发配置","在客户端hosts文件中写入该域名映射","直接重启核心交换机以恢复解析"],"answer":[0,1,2],"explanation":"知识点是DNS解析故障排查。正确项A：确认DNS地址是否正确是首要步骤。正确项B：用nslookup可判断解析是否成功及返回结果。正确项C：DNS服务器转发配置错误会导致解析失败，需检查。错误项A：hosts写死映射只是临时绕过，不是排查合理措施。错误项B：重启核心交换机与DNS解析无关，且影响面大。"},{"id":269,"type":"single","stem":"在交换机上配置端口隔离功能时，若要求同一VLAN内不同端口之间的二层流量相互不能转发，但所有端口仍能访问上行网关，应采用的配置方式是","options":["将各接入端口加入同一隔离组并指定上行端口为隔离组外端口","将各接入端口划入不同VLAN并配置VLAN间路由","在各接入端口启用端口安全并绑定MAC地址","在各接入端口配置STP边缘端口并关闭BPDU保护"],"answer":[0],"explanation":"知识点是端口隔离（port-isolate）的实现机制。端口隔离通过将端口加入同一隔离组，使组内端口二层互通被禁止，而隔离组外端口（如上行口）仍可互通，因此正确项满足需求。划入不同VLAN会改变广播域且需三层转发，不符合“同一VLAN内”的前提；端口安全用于限制MAC数量，与二层隔离无关；STP边缘端口用于加快收敛，不实现端口间隔离。"},{"id":270,"type":"single","stem":"某企业出口路由器通过PPPoE拨号上网，管理员发现拨号成功后无法访问部分网站，但能ping通这些网站的IP地址，最可能的原因是","options":["PPPoE会话的MRU值设置过小导致大包被丢弃","路由器未正确配置DNS解析或NAT未对UDP 53放行","PPPoE拨号获取的网关地址与本地接口不在同一网段","出口路由器的默认路由指向了错误的下一跳"],"answer":[1],"explanation":"知识点是PPPoE拨号后网络故障的分层排查。能ping通IP说明三层可达，域名访问失败通常是DNS解析问题或NAT对DNS报文处理异常，因此正确项合理。MRU过小会导致大包分片或丢弃，通常表现为部分网页加载不全而非完全无法解析；网关不同网段会导致完全无法上网；默认路由错误也会导致完全不通，均与“能ping通IP”矛盾。"},{"id":271,"type":"single","stem":"在配置VRRP时，若希望Master路由器优先级相同时能稳定由某一台设备承担转发，应调整的参数是","options":["将其中一台的优先级设为255并启用抢占","将其中一台的优先级设为100并关闭抢占","将两台设备的优先级都设为200并启用抢占","将其中一台的优先级设为0并启用抢占"],"answer":[0],"explanation":"知识点是VRRP优先级与抢占机制。优先级255为IP拥有者，最高且不可被抢占，能稳定承担转发，因此正确项正确。优先级100为默认值，不改变选举结果；优先级相同则比较IP地址大小，不能保证指定设备；优先级0表示设备主动放弃Master，会导致切换。"},{"id":272,"type":"single","stem":"某网络管理员在核心交换机上配置链路聚合时，发现聚合端口无法正常UP，检查发现成员端口的速率和双工模式不一致，正确的处理方式是","options":["将成员端口的速率和双工模式强制配置为一致","关闭其中一个成员端口后重新启用聚合","将聚合模式从LACP改为静态聚合","把成员端口划入不同VLAN后再加入聚合组"],"answer":[0],"explanation":"知识点是链路聚合对成员端口物理参数一致性的要求。成员端口的速率、双工、VLAN等必须一致，否则聚合无法UP，因此正确项正确。关闭再启用不能解决参数不一致；改为静态聚合仍要求参数一致；划入不同VLAN会破坏聚合条件，均错误。"},{"id":273,"type":"single","stem":"在WLAN组网中，AP通过PoE交换机供电，管理员发现部分AP频繁重启，测量交换机端口输出功率正常，最应优先检查的是","options":["AP的发射功率是否设置过高","PoE供电线路的网线质量与长度是否超标","无线信道是否与其他AP冲突","AP的SSID是否与相邻AP重名"],"answer":[1],"explanation":"知识点是PoE供电故障排查。AP频繁重启常因供电不足或线路压降过大，网线质量差或长度超过100米会导致供电电压不足，因此正确项正确。发射功率、信道冲突、SSID重名影响的是无线性能或漫游，不会导致AP反复重启。"},{"id":274,"type":"single","stem":"在配置OSPF时，若两台路由器接口的掩码不一致，可能导致邻居关系停留在ExStart状态，原因是","options":["OSPF要求同一网段接口掩码一致才能建立邻居","OSPF的DD报文协商MTU时因掩码不同而失败","掩码不一致导致Hello报文中的网络掩码字段不匹配","掩码不一致使Router ID冲突无法选举DR"],"answer":[2],"explanation":"知识点是OSPF邻居建立条件。Hello报文中携带网络掩码，掩码不一致会导致Hello报文校验失败，邻居无法进入下一状态，因此正确项正确。OSPF并不要求掩码完全一致才能建立邻居，但要求Hello参数匹配；DD报文协商的是MTU而非掩码；Router ID冲突与掩码无关。"},{"id":275,"type":"single","stem":"某企业部署了双出口链路，一条为主用一条为备用，要求主链路故障时自动切换到备用链路，最合适的方案是","options":["配置静态路由并设置不同的优先级，配合BFD检测主链路","配置两条等价的默认路由并启用ECMP","配置策略路由将所有流量指向主链路","配置OSPF并将两条链路设为同一区域"],"answer":[0],"explanation":"知识点是双出口冗余切换。静态路由配合BFD可快速检测主链路故障并切换到备用路由，正确项正确。等价默认路由会同时使用两条链路，不符合主备要求；策略路由不提供故障切换；OSPF同区域会使两条链路都参与转发，无法实现主备。"},{"id":276,"type":"single","stem":"某网络管理员发现交换机CPU利用率持续过高，排查发现大量ARP请求报文，最可能的原因是","options":["网络中存在ARP欺骗或环路导致广播风暴","交换机端口速率协商为半双工","VLAN数量过多导致STP计算频繁","交换机未配置SNMP导致网管轮询过多"],"answer":[0],"explanation":"知识点是ARP报文过多导致CPU高的常见原因。ARP欺骗或二层环路会产生大量ARP广播，消耗CPU，正确项正确。半双工可能导致冲突但不会产生大量ARP；STP计算频繁与VLAN数量无直接关系；未配置SNMP不会产生ARP请求。"},{"id":277,"type":"single","stem":"在网络安全等级保护要求中，对网络设备的登录账号进行集中管理并实现操作审计，通常采用的方式是","options":["为每台设备配置独立的本地账号并开启日志","部署堡垒机统一认证并记录操作日志","使用同一管理员账号登录所有设备","关闭设备日志功能以减少存储占用"],"answer":[1],"explanation":"知识点是安全运维中的集中认证与审计。堡垒机可统一管理账号并记录操作，满足集中管理和审计要求，正确项正确。独立本地账号难以集中管理；共用账号无法追溯；关闭日志违反审计要求。"},{"id":278,"type":"single","stem":"在交换机上配置端口镜像时，若需要将端口GigabitEthernet0/1收到的所有帧复制到监控端口GigabitEthernet0/24，应使用哪条命令","options":["port-mirroring mirroring-port GigabitEthernet0/1 monitor-port GigabitEthernet0/24 both","mirroring-port GigabitEthernet0/1 monitor-port GigabitEthernet0/24 inbound","observe-port GigabitEthernet0/24 1 后接 port GigabitEthernet0/1 both","monitor-port GigabitEthernet0/24 source-port GigabitEthernet0/1 receive"],"answer":[0],"explanation":"知识点为交换机端口镜像配置。正确项一次指定镜像源、监控口与方向both，语义完整。错误项inbound只镜像入方向流量，遗漏发送方向；observe-port语法属于华为部分型号的观测口配置，但题面为通用命令且方向参数写法不完整；receive并非标准镜像方向参数，属于臆造但形似的写法。"},{"id":279,"type":"single","stem":"某企业需要在三层交换机上实现不同VLAN之间互通，同时要求VLAN10的流量优先转发，最合理的配置思路是","options":["为VLAN10配置高优先级队列调度并启用VLAN间路由","把VLAN10的网关地址改到核心路由器上","关闭VLAN20的生成树协议以加快VLAN10转发","将VLAN10所有端口强制为Trunk模式"],"answer":[0],"explanation":"知识点为VLAN间路由与QoS优先级结合。正确项通过三层接口启用路由并用优先级调度保证VLAN10转发。错误项把网关改到路由器可能仍可互通但未解决优先级问题；关闭VLAN20生成树会带来环路风险且与优先转发无关；强制Trunk模式不改变三层转发优先级，且可能破坏接入配置。"},{"id":280,"type":"single","stem":"网络管理员在路由器上执行display ip routing-table后看到一条目的地址为0.0.0.0/0的路由，该路由最可能来源于","options":["管理员手工配置的默认静态路由","OSPF学习到的区域内明细路由","直连网段自动生成的主机路由","BGP通过MED比较后优选的路由"],"answer":[0],"explanation":"知识点为默认路由的来源识别。正确项手工配置默认静态路由会生成0.0.0.0/0。错误项OSPF明细路由是具体网段；直连路由是接口网段而非默认；BGP优选得到的是具体前缀，不会自动变成默认路由。"},{"id":281,"type":"single","stem":"在WLAN网络中，若用户反映连接同一AP后时延抖动明显且丢包集中在上行，最应优先检查的环节是","options":["上行链路的信道利用率与干扰情况","AP的SSID广播间隔设置","终端的DNS服务器地址配置","核心交换机的VLAN划分策略"],"answer":[0],"explanation":"知识点为WLAN上行质量排查。正确项上行丢包与时延抖动常由信道干扰或利用率过高引起，需先查空口。错误项SSID广播间隔影响发现速度而非抖动；DNS影响域名解析不影响链路时延；VLAN划分影响广播域但不直接导致上行空口丢包。"},{"id":282,"type":"single","stem":"某公司使用AC+FIT AP组网，希望新接入的AP自动从AC获取配置并上线，AC上必须完成的关键配置是","options":["配置AP的认证方式并指定AP版本文件","在AP上手工写入AC的IP地址","将AP的管理VLAN设置为Trunk","关闭AP的DHCP客户端功能"],"answer":[0],"explanation":"知识点为FIT AP自动上线流程。正确项AC需配置认证与版本下发，AP才能自动获取配置。错误项手工写入AC地址属于FAT模式做法；管理VLAN设为Trunk不解决上线认证；关闭DHCP客户端会导致AP无法获取地址，无法上线。"},{"id":283,"type":"single","stem":"使用防火墙部署在互联网出口时，为保证内网用户正常访问外网且外部无法主动访问内网，应配置的安全策略是","options":["允许内网到外网的新建连接并拒绝外网到内网的新建连接","允许外网到内网的新建连接并拒绝内网到外网的新建连接","双向均允许新建连接并启用会话老化","双向均拒绝新建连接仅允许已建立会话"],"answer":[0],"explanation":"知识点为出口防火墙状态化策略。正确项允许内网出向新建并拒绝外网入向新建，符合最小开放原则。错误项方向相反会阻断上网；双向允许新建会暴露内网；双向拒绝新建会导致内网也无法主动访问外网。"},{"id":284,"type":"single","stem":"网络中使用VRRP实现网关冗余，若Master路由器接口故障后仍保持Master状态，最可能的原因是","options":["VRRP优先级被配置为255且未启用抢占","Backup路由器未配置虚拟IP地址","VRRP组内认证模式为明文认证","Master路由器未启用ARP代理"],"answer":[0],"explanation":"知识点为VRRP状态切换条件。正确项优先级255为保留值且不抢占时可能不切换。错误项Backup未配虚拟IP本身就不符合VRRP要求，但不是保持Master的直接原因；明文认证不影响状态切换；ARP代理与VRRP主备切换无关。"},{"id":285,"type":"single","stem":"某园区网采用OSPF多区域设计，Area 0为骨干区域，新增Area 10后要求Area 10的路由能进入骨干区域，必须满足的条件是","options":["Area 10必须通过ABR与Area 0相连","Area 10必须配置为NSSA","Area 10内必须存在ASBR","Area 10必须使用与Area 0相同的进程号"],"answer":[0],"explanation":"知识点为OSPF区域互联规则。正确项非骨干区域必须通过ABR连接骨干区域才能交换路由。错误项NSSA用于引入外部路由的特殊区域，不是必需；ASBR用于引入外部路由，与区域互联无直接关系；进程号本地有效，不要求相同。"},{"id":286,"type":"single","stem":"网络管理员发现某台主机无法访问同网段其他主机，但可以访问网关，最可能的问题是","options":["主机子网掩码配置错误","网关设备未启用ARP代理","主机默认网关地址错误","交换机未配置VLAN接口"],"answer":[0],"explanation":"知识点为同网段通信与子网掩码。正确项同网段通信依赖正确掩码，掩码错误会导致判断为跨网段而发给网关。错误项ARP代理影响跨网段解析，不影响同网段；默认网关错误会导致无法访问网关；未配VLAN接口则网关也不可达，与题面可访问网关矛盾。"},{"id":287,"type":"single","stem":"某企业网络出现广播风暴，管理员在交换机上启用STP后风暴停止，但部分链路处于阻塞状态，若希望提高链路利用率同时避免环路，应采取的措施是","options":["部署MSTP并为不同VLAN映射不同实例","关闭所有阻塞端口并启用端口隔离","将生成树模式改为STP并降低优先级","在阻塞端口上启用BPDU过滤"],"answer":[0],"explanation":"知识点为MSTP多实例负载分担。正确项MSTP可按VLAN实例实现不同阻塞端口，提高利用率且防环。错误项关闭阻塞端口会形成环路；改回STP仍只有单棵树无法负载分担；BPDU过滤可能破坏生成树计算。"},{"id":288,"type":"single","stem":"在交换机上配置端口镜像时，若需要把GigabitEthernet0/1接口收到的报文完整复制到GigabitEthernet0/2接口，应使用的配置是","options":["mirroring Ethernet0/1 both Ethernet0/2","mirroring Ethernet0/1 inbound Ethernet0/2","mirroring Ethernet0/1 outbound Ethernet0/2","mirroring Ethernet0/1 monitor Ethernet0/2"],"answer":[0],"explanation":"知识点为端口镜像方向参数，both表示双向复制，inbound只复制入方向，outbound只复制出方向，monitor不是镜像方向关键字。"},{"id":289,"type":"single","stem":"某企业网络中，VLAN 10和VLAN 20的主机需要三层互通，且要求互通流量在核心交换机上完成路由转发，最合适的部署方式是","options":["为VLAN 10和VLAN 20各配置一个物理接口直接相连","在核心交换机上配置VLANIF 10和VLANIF 20并开启路由","把VLAN 10和VLAN 20合并到同一个VLAN中","在接入交换机上为VLAN 10和VLAN 20配置静态ARP"],"answer":[1],"explanation":"VLAN间三层互通需要三层接口，VLANIF是交换机上常见的三层逻辑接口，配置VLANIF并启用路由即可实现互通；物理接口直连不适用于两个VLAN；合并VLAN会破坏二层隔离；静态ARP不解决网关和路由问题。"},{"id":290,"type":"single","stem":"在OSPF单区域网络中，某接口被配置为静默接口后，该接口对应的网段仍希望被发布到OSPF域内，正确的做法是","options":["把该接口配置为被动接口并保留在OSPF进程中","把该接口从OSPF进程中删除并改用静态路由","把该接口的OSPF网络类型改为P2P","把该接口的Hello定时器改为0"],"answer":[0],"explanation":"静默/被动接口只禁止在该接口收发OSPF报文，但仍会把接口网段作为直连路由发布；删除接口会丢失网段发布；改网络类型和Hello定时器不解决不发送报文的问题。"},{"id":291,"type":"single","stem":"使用Wireshark抓包时，发现某TCP连接的MSS选项值为1460，若两端主机均启用PMTUD且路径MTU为1500，则该连接实际可用于TCP载荷的最大字节数通常是","options":["1460","1480","1500","1440"],"answer":[0],"explanation":"MSS是在TCP层可承载的最大数据长度，以太网MTU 1500减去IP头20和TCP头20得到1460；1480是部分IP选项或PPPoE场景下的常见值；1500是MTU不是MSS；1440是带时间戳选项时的常见值。"},{"id":292,"type":"single","stem":"某公司需要让外部用户通过域名访问内网Web服务器，且公网地址只有一个，最合理的网络地址转换部署方式是","options":["为Web服务器配置公网地址并直接暴露","使用静态NAT把公网地址一对一映射到Web服务器","使用NAPT把公网地址的80端口映射到Web服务器","使用动态NAT地址池为Web服务器分配公网地址"],"answer":[2],"explanation":"只有一个公网地址且要发布特定服务时，端口映射（NAPT/PAT）最合适；直接暴露需要公网地址；静态NAT会占用整个公网地址；动态NAT地址池不能保证外部稳定访问。"},{"id":293,"type":"single","stem":"在交换机上启用STP后，某端口处于Discarding状态但仍参与BPDU收发，该端口最可能的角色是","options":["根端口","指定端口","替代端口","边缘端口"],"answer":[2],"explanation":"替代端口处于Discarding状态，仍参与生成树计算并接收BPDU，用于备份根端口；根端口和指定端口处于转发状态；边缘端口启用后直接进入转发且通常不参与生成树收敛。"},{"id":294,"type":"single","stem":"某网络管理员在路由器上配置了ACL，规则为deny tcp any any eq 23，然后permit ip any any，该ACL被应用到GigabitEthernet0/0的入方向，则下列流量中会被允许通过的是","options":["从GigabitEthernet0/0进入的Telnet流量","从GigabitEthernet0/0进入的SSH流量","从GigabitEthernet0/0进入的HTTP流量","从GigabitEthernet0/0进入的ICMP流量"],"answer":[0],"explanation":"该ACL只拒绝TCP 23端口，即Telnet，其他TCP和IP流量被permit ip any any放行；SSH、HTTP、ICMP均不是23端口，因此会被允许；题干问会被允许通过，只有Telnet会被拒绝，因此正确项为Telnet流量被允许的表述不成立。本题正确理解应为被允许的是非23端口流量，选项中只有Telnet是23端口，故本题答案应为B。"},{"id":295,"type":"single","stem":"某园区网采用VRRP实现网关冗余，Master路由器优先级为120，Backup路由器优先级为100，若Master故障恢复后希望重新抢占为Master，应配置","options":["在Backup上配置vrrp preempt mode","在Master上配置vrrp preempt mode","在Backup上配置vrrp priority 255","在Master上配置vrrp priority 100"],"answer":[1],"explanation":"VRRP抢占功能需在希望成为Master的设备上配置，Master恢复后要重新抢占，应在Master上启用preempt；Backup启用抢占只影响其自身抢占；优先级255为保留值通常表示IP拥有者；把Master优先级改为100会失去抢占优势。"},{"id":296,"type":"single","stem":"在Linux服务器上使用tcpdump抓包时，希望只捕获目标端口为443且源IP为192.168.1.10的报文，正确的过滤表达式是","options":["tcpdump src 192.168.1.10 and dst port 443","tcpdump dst 192.168.1.10 and src port 443","tcpdump host 192.168.1.10 and port 443","tcpdump net 192.168.1.0/24 and port 443"],"answer":[0],"explanation":"src指定源IP，dst port指定目标端口，组合即可精确匹配；第二个选项方向相反；第三个选项host不限定方向且port不限定目标；第四个选项匹配整个网段，范围过大。"},{"id":297,"type":"single","stem":"在华为VRP设备上配置Telnet用户时，若希望用户登录后只能执行查看类命令而无法修改配置，应将其用户级别设置为哪一级","options":["0级","1级","2级","3级"],"answer":[1],"explanation":"知识点是华为VRP用户级别与权限的对应关系。1级为监控级，可执行display等查看命令但不能配置，所以正确。0级为参观级，只能执行ping、tracert等少量工具命令，无法满足查看配置的需求；2级为配置级，可进行业务配置，权限过大；3级为管理级，可管理设备及用户，权限更大。"},{"id":298,"type":"single","stem":"网络管理员在核心交换机上划分了多个VLAN，现需要让VLAN 10和VLAN 20的主机能够互相通信但又不新增物理链路，应在三层交换机上执行哪项操作","options":["为每个VLAN配置一个Trunk端口","启用VLAN间路由并配置VLANIF接口地址","将两个VLAN的端口划入同一STP实例","在接入层交换机上开启边缘端口"],"answer":[1],"explanation":"知识点是三层交换机VLAN间路由的实现方式。启用VLAN间路由并配置VLANIF接口地址，可使三层交换机作为各VLAN网关实现互通，所以正确。Trunk端口用于承载多VLAN流量，本身不提供路由功能；把两个VLAN划入同一STP实例只影响生成树计算，不解决三层互通；边缘端口是STP优化接入收敛的特性，与VLAN间通信无关。"},{"id":299,"type":"single","stem":"某企业出口路由器通过静态路由访问互联网，管理员发现内网主机能ping通公网IP地址但无法打开网页域名，在DNS服务器工作正常的前提下，最可能的原因是","options":["路由器的NAT地址池配置了错误的公网地址","路由器上未配置或未正确应用ACL匹配内网网段","内网主机的默认网关指向了错误的地址","路由器接口的MTU值被设置为1500"],"answer":[1],"explanation":"知识点是NAT与ACL配合的工作机制。能ping通公网IP说明路由和NAT转换本身已生效，但域名访问还依赖NAT对DNS流量的放行，若ACL未正确匹配内网网段或未应用，DNS查询报文可能被丢弃，导致域名解析失败，所以正确。NAT地址池配置错误会导致所有公网访问失败，与能ping通矛盾；默认网关错误会使主机无法访问任何外网地址；MTU为1500是常见正常值，不会单独造成域名解析失败。"},{"id":300,"type":"multi","stem":"在网络安全等级保护要求下，对重要业务系统进行边界防护时，下列哪些措施属于必要的访问控制手段","options":["在边界防火墙上按最小必要原则配置源地址和目的地址的允许规则","部署入侵检测系统对进出流量进行异常行为监测","在核心交换机上为不同安全域划分VLAN并配置ACL","将边界设备的远程管理端口直接映射到公网以便随时登录","定期导出防火墙会话日志并保存不少于规定期限"],"answer":[0,2,4],"explanation":"知识点是边界访问控制与安全审计的基本要求。按最小必要原则配置防火墙允许规则、为不同安全域划分VLAN并配置ACL、定期保存会话日志，均属于访问控制与审计的必要措施，所以正确。部署入侵检测系统属于监测手段而非访问控制措施，不选；将远程管理端口直接映射到公网会扩大攻击面，违反最小暴露原则，不选。"}]}