计算机技术与软件专业技术资格（网络工程师） 练习卷

1某企业园区网采用 RIP 作为动态路由协议，网络管理员发现一台路由器上学习到的某条目的路由度量值为 16，该值表示的含义是

1. A. 该路由可达且跳数为 16
2. B. 该路由不可达应被删除
3. C. 该路由为默认路由的备用路径
4. D. 该路由需等待下一个更新周期再确认

2在配置 IPsec VPN 时，管理员发现 IKE 第一阶段协商失败，检查发现两端配置的预共享密钥不一致，该问题影响的是 IKE 的哪个阶段功能

1. A. 第一阶段主模式的身份认证
2. B. 第二阶段快速模式的安全联盟
3. C. 第三阶段的报文加密
4. D. 第四阶段的抗重放检查

3在 Linux 服务器上执行 tcpdump 抓包时，希望只捕获目的端口为 443 的 TCP 报文，正确的过滤表达式是

1. A. tcp dst port 443
2. B. tcp src port 443
3. C. udp dst port 443
4. D. ip dst port 443

4在园区网核心层部署两台交换机做VRRP时，若要让Master路由器在转发用户流量同时承担网关角色，且备设备平时不转发用户数据，应采用的VRRP工作模式是

1. A. 主备模式
2. B. 负载分担模式
3. C. 抢占模式
4. D. 非抢占模式

5在配置ACL时，管理员希望只允许192.168.1.0/24网段访问服务器的TCP 443端口，其他流量全部拒绝，下列配置思路正确的是

1. A. 先配置permit tcp 192.168.1.0 0.0.0.255 any eq 443，再配置deny ip any any
2. B. 先配置deny ip any any，再配置permit tcp 192.168.1.0 0.0.0.255 any eq 443
3. C. 只配置permit tcp 192.168.1.0 0.0.0.255 any eq 443，不配置deny
4. D. 配置permit ip any any，再配置deny tcp any any eq 443

6网络管理员在防火墙上配置了安全策略，允许Trust区域访问Untrust区域，但内网用户仍无法访问外网，经检查路由和NAT均正常，下一步最应检查的是

1. A. 安全策略是否匹配了正确的源目区域和地址
2. B. 防火墙接口是否配置了IP地址
3. C. 内网交换机是否划分了VLAN
4. D. 外网线路是否处于UP状态

7某企业计划将总部与分支机构通过IPSec VPN互联，要求数据传输机密性和完整性，并防止重放攻击，下列措施中合理的有（多选）

1. A. 采用ESP封装并配置加密算法
2. B. 启用AH认证并配置抗重放窗口
3. C. 使用预共享密钥或数字证书进行身份认证
4. D. 仅使用GRE隧道封装不加任何加密
5. E. 将IKE协商模式设置为野蛮模式以提升安全性

8网络工程师在配置ACL时写下规则rule 5 permit tcp source 192.168.1.0 0.0.0.255 destination 10.0.0.1 0 destination-port eq 80，随后又写rule 10 deny ip，该ACL被应用在接口入方向，则源地址192.168.1.5访问10.0.0.1的23端口时设备采取的动作是

1. A. 匹配rule 5被允许通过
2. B. 匹配rule 10被拒绝丢弃
3. C. 不匹配任何规则被默认允许
4. D. 不匹配任何规则被默认拒绝

9网络中出现用户反映部分网页打不开，工程师在核心交换机上执行display mac-address发现同一MAC地址在多个端口间频繁跳变，最可能的原因是

1. A. 交换机CPU利用率过高
2. B. 网络中存在二层环路
3. C. 网关设备ARP表项溢出
4. D. 终端网卡工作在半双工模式

10工程师在Linux服务器上执行tcpdump抓包，希望只捕获与主机192.168.1.100之间端口为22的SSH交互流量，下列过滤表达式正确的是

1. A. tcp port 22 and host 192.168.1.100
2. B. tcp port 22 or host 192.168.1.100
3. C. udp port 22 and host 192.168.1.100
4. D. tcp port 22 and net 192.168.1.100

11在交换机上配置端口镜像时，若被监控端口为千兆全双工且双向流量接近线速，仅有一个千兆观察端口，下列做法最合理的是

1. A. 同时镜像收和发方向到同一观察口
2. B. 只镜像发方向并启用流控
3. C. 只镜像收方向并丢弃超出部分
4. D. 按ACL匹配关键流量后再镜像

12某无线控制器上配置了多个SSID，其中访客SSID需要隔离终端且仅允许访问互联网，下列配置组合最符合要求的是

1. A. 访客VLAN内启用端口隔离并在出口放行该网段
2. B. 访客SSID映射到员工VLAN并启用ACL
3. C. 访客SSID关闭广播并启用MAC过滤
4. D. 访客SSID启用WPA3并映射到管理VLAN

13在配置DHCP中继时，若客户端与DHCP服务器跨多个三层网段，中继接口上必须配置的关键参数是

1. A. 服务器的MAC地址
2. B. 服务器的IP地址或组播地址
3. C. 客户端的网关地址
4. D. 中继设备的环回地址

14网络管理员在交换机上执行display mac-address后发现某端口学习到大量不同源MAC地址，且这些MAC变化频繁，最可能发生的网络问题是

1. A. 端口出现MAC地址漂移
2. B. 交换机CPU利用率过低
3. C. 该端口配置了端口镜像
4. D. 生成树协议被完全禁用

15网络工程师在配置VLAN间路由时，采用单臂路由方式，路由器子接口封装802.1Q后仍无法通信，最可能遗漏的配置是

1. A. 子接口未配置对应VLAN的封装ID
2. B. 路由器未启用DHCP服务
3. C. 交换机未配置端口聚合
4. D. 路由器未配置静态ARP

16某企业网络中使用OSPF，管理员发现邻居关系一直停留在ExStart状态，最可能的原因是

1. A. 两端接口MTU不一致
2. B. 两端OSPF进程号不同
3. C. 两端Router ID相同
4. D. 两端区域号配置不同

17某企业网络管理员在规划 VLAN 间通信时，将核心交换机的 SVI 接口地址配置为 192.168.10.1/24，并在该交换机上启用了路由功能，但发现不同 VLAN 的主机仍无法互访，此时应优先检查哪项配置

1. A. 各接入交换机与核心交换机之间的 Trunk 链路是否放行了对应 VLAN
2. B. 核心交换机上是否创建了 VLAN 并配置了正确的 VLAN 接口地址
3. C. 终端主机的默认网关是否指向对应 VLAN 的 SVI 地址
4. D. 核心交换机的路由功能是否需要额外配置静态路由指向各 VLAN

18网络管理员在核心交换机上为财务部划分 VLAN 100，并将对应网关配置在核心交换机上，这种组网方式的典型缺点是

1. A. 广播域被扩大导致性能下降
2. B. 跨 VLAN 流量必须绕行出口路由器
3. C. 核心设备故障会影响多个业务网段
4. D. 接入层无法再使用 VLAN 中继

19某主机能 ping 通同网段其他主机，但无法通过域名访问外网网站，直接使用外网 IP 访问正常，最可能的原因是

1. A. 默认网关地址配置错误
2. B. DNS 服务器地址配置错误
3. C. 本机子网掩码配置错误
4. D. 出口路由器 NAT 未生效

20防火墙部署为透明模式（二层）时，相比路由模式的主要优势是

1. A. 可对经过的流量做 NAT 转换
2. B. 无需改变现有网络 IP 规划即可接入
3. C. 可参与 OSPF 动态路由计算
4. D. 能直接作为终端网关下发地址

21某园区网新购交换机需要接入现有生成树域，为防止其成为根桥导致流量绕行，最合适的配置是

1. A. 在该交换机上开启 BPDU 过滤
2. B. 将该交换机所有端口设为边缘端口
3. C. 调高该交换机的桥优先级数值
4. D. 在该交换机上关闭生成树协议

22某公司使用VRRP实现网关冗余，主路由器故障后备用路由器成功切换，但部分终端在切换后短暂无法访问外网，最可能的原因是

1. A. 备用路由器未及时刷新ARP表项
2. B. VRRP的抢占模式被关闭
3. C. 虚拟IP地址与终端网关配置不一致
4. D. 主路由器未发送VRRP通告报文

23网络管理员配置ACL时希望仅允许192.168.1.0/24网段访问服务器的80端口，下列配置中能正确实现且最精确的是

1. A. rule permit tcp source 192.168.1.0 0.0.0.255 destination 10.0.0.1 0 destination-port eq 80
2. B. rule permit tcp source 192.168.1.0 0.0.0.255 destination-port eq 80
3. C. rule permit ip source 192.168.1.0 0.0.0.255 destination 10.0.0.1 0
4. D. rule permit tcp source any destination 10.0.0.1 0 destination-port eq 80

24某公司要求对远程接入用户进行身份认证并加密传输数据，下列组合方案中最合适的是

1. A. PPPoE加静态IP地址分配
2. B. IPSec VPN加本地用户名密码认证
3. C. L2TP不加加密直接承载PPP
4. D. 端口镜像加MAC地址过滤

25在交换机上配置端口隔离功能后，同一隔离组内的用户主机之间无法互访，但都能访问上联网关，该功能主要依靠交换机在哪个层面限制转发来实现

1. A. 在 VLAN 内对端口间单播与广播流量进行隔离
2. B. 在不同 VLAN 间对三层流量进行过滤
3. C. 在端口上对进出方向 MAC 地址进行过滤
4. D. 在端口上对 IP 地址进行 ACL 匹配过滤

26在路由器上配置 OSPF 时，若将某接口的 OSPF 网络类型由广播改为点到点，且该接口为以太网接口，则下列哪项变化最需要关注

1. A. 需要手动指定邻居路由器地址
2. B. 不再进行 DR/BDR 选举并加快邻居建立
3. C. 需要将接口封装改为 PPP
4. D. 需要将区域类型改为 NSSA

27在防火墙双机热备部署中，主设备故障后备用设备接管，若发现已建立的会话在切换后中断，最可能的原因是

1. A. 未启用会话同步功能
2. B. 未配置 NAT 地址池
3. C. 未启用接口链路聚合
4. D. 未配置静态路由

28某企业网络中，管理员发现一台主机频繁发送大量ARP请求且源MAC地址不断变化，最可能遭受的攻击类型是

1. A. ARP欺骗
2. B. MAC泛洪
3. C. DHCP饿死
4. D. IP地址冲突

29在Linux系统中，管理员使用tcpdump抓包时希望只捕获目的端口为443的TCP报文，应使用的过滤表达式是

1. A. tcp dst port 443
2. B. tcp src port 443
3. C. udp dst port 443
4. D. tcp port 443

30在网络安全防护中，以下关于防火墙部署位置和策略的描述，正确的有（多选）

1. A. 包过滤防火墙依据五元组对报文进行过滤
2. B. 状态检测防火墙可跟踪TCP连接状态
3. C. 应用层防火墙可识别HTTP请求中的恶意载荷
4. D. 防火墙部署在内网核心交换机旁路即可阻断所有攻击
5. E. 防火墙策略应默认允许所有流量再逐步拒绝

31在OSPF多区域设计中，若某区域存在大量不稳定链路需要频繁计算SPF，为减少对骨干区域的影响，较合适的做法是

1. A. 将该区域配置为完全末梢区域并下发默认路由
2. B. 将该区域配置为NSSA并引入外部路由
3. C. 将该区域路由器全部配置为ASBR
4. D. 将该区域与骨干区域合并为单区域

32在交换机上配置基于端口的VLAN时，若将某端口设为Access模式并加入VLAN 10，则该端口发出的帧

1. A. 不带VLAN标签，属于VLAN 10
2. B. 带VLAN 10标签，属于VLAN 10
3. C. 不带VLAN标签，属于VLAN 1
4. D. 带VLAN 10标签，属于VLAN 1

33网络管理员在核心交换机上配置SNMP时，希望监控服务器能读取设备信息但不允许修改配置，应配置的团体名权限是

1. A. 只读团体名并限制监控服务器IP
2. B. 读写团体名并限制监控服务器IP
3. C. 只读团体名并允许任意IP访问
4. D. 读写团体名并允许任意IP访问

34某企业网络中，管理员需要在路由器上配置一条静态路由，使目的网段192.168.2.0/24的流量下一跳为10.0.0.2，以下配置命令正确的是

1. A. ip route-static 192.168.2.0 255.255.255.0 10.0.0.2
2. B. ip route-static 192.168.2.0 24 10.0.0.2
3. C. route add 192.168.2.0 mask 255.255.255.0 10.0.0.2
4. D. ip route 192.168.2.0 255.255.255.0 next-hop 10.0.0.2

35某网络管理员使用Wireshark抓包，发现大量源IP为192.168.1.100、目的IP为255.255.255.255的UDP报文，目的端口为67，最可能的情况是

1. A. 该主机正在请求DHCP地址分配
2. B. 该主机正在发送DNS查询请求
3. C. 该主机正在发起ARP广播
4. D. 该主机正在发送ICMP重定向报文

36网络管理员在排查用户无法访问外网的问题时，发现用户PC能ping通网关但不能ping通8.8.8.8，以下排查步骤中最应先执行的是

1. A. 在PC上执行nslookup检查DNS解析是否正常
2. B. 在网关上检查NAT转换表项是否存在
3. C. 在PC上检查子网掩码和默认网关配置
4. D. 在出口路由器上检查路由表是否有默认路由

37在OSPF单区域网络中，路由器R1通过两个接口同时接入同一广播域并建立两个Full状态的邻居关系，若将其中一个接口的OSPF网络类型由broadcast改为point-to-point，最可能出现的现象是

1. A. 该接口不再发送Hello报文，邻居关系立即断开
2. B. 两边Hello时间与Dead时间不一致而导致邻居无法建立
3. C. 该接口仍能与对端建立邻接关系但不再选举DR/BDR
4. D. 该接口会被动等待对端发起DBD报文交换

38某网络管理员在核心交换机上配置了DHCP Snooping，并在连接合法DHCP服务器的端口上设置为trust，但用户仍获取到私接路由器分配的地址，最可能的原因是

1. A. 未在用户接入端口启用DHCP Snooping
2. B. 未配置DHCP Snooping的绑定表老化时间
3. C. 合法DHCP服务器端口未配置为trust
4. D. 私接路由器端口被配置为trust

39在交换机上配置生成树协议时，将某端口设置为边缘端口（PortFast），该端口连接的是普通PC，若该端口收到BPDU，默认情况下会发生

1. A. 端口立即进入err-disabled状态
2. B. 端口保持转发但忽略BPDU
3. C. 端口重新参与生成树计算并可能阻塞
4. D. 端口自动关闭PortFast功能但继续转发

40网络工程师在规划某园区网时，要求核心层设备在单台链路故障时仍能维持业务转发，且不引入生成树收敛延迟，应优先采用的可靠性技术是

1. A. 堆叠+链路聚合
2. B. VRRP主备
3. C. STP快速生成树
4. D. 静态路由浮动

41某企业内网部署DHCP服务器为办公终端分配地址，管理员发现部分终端获取到169.254开头的地址，最可能的原因是

1. A. DHCP中继未配置或不可达
2. B. DHCP地址池租期过短
3. C. DNS服务器地址错误
4. D. 网关地址配置冲突

42网络工程师配置IPsec VPN时，要求数据在传输过程中即使被截获也无法被篡改，应启用的安全机制是

1. A. ESP的完整性校验
2. B. AH的加密功能
3. C. IKE的预共享密钥
4. D. NAT穿越封装

43在交换机上配置端口隔离功能时，若要求同一VLAN内主机之间不能二层互通，但都能与网关通信，应采用的配置方式是

1. A. 将端口加入同一隔离组并配置上行口为隔离组外端口
2. B. 将端口划分到不同VLAN并配置VLAN间路由
3. C. 在端口上配置端口安全并绑定MAC地址
4. D. 在端口上启用STP边缘端口并配置BPDU保护

44管理员在交换机上配置了DHCP Snooping，并将连接合法DHCP服务器的端口设为trusted，其余端口为untrusted，该配置主要防范的是

1. A. 攻击者在接入端口伪造DHCP服务器分配错误网关
2. B. 攻击者发送大量ARP报文耗尽网关ARP表
3. C. 攻击者伪造源MAC地址进行泛洪攻击
4. D. 攻击者利用STP拓扑变更报文震荡网络

45某网络管理员在核心交换机上配置链路聚合，将两条千兆链路捆绑，发现聚合后带宽仍为千兆，最可能的原因是

1. A. 两条链路被分到不同聚合组
2. B. 聚合模式一端为静态另一端为LACP
3. C. 聚合接口未配置Trunk
4. D. 链路聚合负载分担算法为源MAC

46在WLAN组网中，AP通过PoE交换机供电，管理员发现部分AP反复重启，最可能的原因是

1. A. PoE交换机单端口供电功率不足
2. B. AP的SSID配置重复
3. C. 无线信道自动选择冲突
4. D. AC的CAPWAP隧道超时

47网络管理员在核心交换机上为财务VLAN配置ACL时，需要匹配目的地址属于192.168.20.0/24且目的端口为443的TCP报文，下列ACL规则写法正确的是

1. A. rule permit tcp source any destination 192.168.20.0 0.0.0.255 destination-port eq 443
2. B. rule permit tcp source any 192.168.20.0 0.0.0.255 destination-port eq 443
3. C. rule permit tcp source any destination 192.168.20.0 255.255.255.0 eq 443
4. D. rule permit tcp any any destination 192.168.20.0 0.0.0.255 eq https

48某公司使用VRRP实现网关冗余，主路由器优先级为120，备份路由器优先级为100，若将备份路由器优先级改为150，会发生什么

1. A. 备份路由器立即抢占成为新的主路由器
2. B. 主路由器继续工作直到故障才切换
3. C. 两台路由器同时成为主路由器
4. D. VRRP组自动解散并重新选举

49在Linux服务器上使用tcpdump抓包时，若只想捕获目的端口为3306的TCP报文，下列命令正确的是

1. A. tcpdump tcp dst port 3306
2. B. tcpdump tcp src port 3306
3. C. tcpdump port 3306 and icmp
4. D. tcpdump tcp port 3306 and udp

50某企业需要将192.168.1.0/24划分为多个子网，每个子网至少容纳50台主机，且要求子网数量尽量多，应使用的子网掩码是

1. A. 255.255.255.192
2. B. 255.255.255.128
3. C. 255.255.255.224
4. D. 255.255.255.240

51在Linux服务器上使用tcpdump抓包，希望只捕获目标端口为443且源IP为10.1.1.100的报文，正确的过滤表达式是

1. A. tcpdump dst port 443 and src host 10.1.1.100
2. B. tcpdump port 443 and host 10.1.1.100
3. C. tcpdump src port 443 and dst host 10.1.1.100
4. D. tcpdump dst port 443 or src host 10.1.1.100

52某公司网络出现部分用户无法访问外网但能访问内网服务器，检查发现这些用户所在VLAN的网关配置正确，最可能的原因是

1. A. 出口路由器的默认路由缺失
2. B. 核心交换机的VLAN未创建
3. C. 用户主机的DNS服务器不可达
4. D. 接入交换机的端口被配置为Trunk

53RSTP中边缘端口（Edge Port）配置后，当该端口收到BPDU时设备应执行的动作为

1. A. 立即关闭端口并进入Err-Disabled状态
2. B. 撤销边缘端口属性并转为普通生成树端口
3. C. 保持边缘属性但丢弃该BPDU继续转发
4. D. 向发送方回送TCN BPDU并重新计算拓扑

54某公司需要将总部与分支机构的多个VLAN通过运营商网络互连，且要求各VLAN二层隔离、三层由总部统一控制，最合适的方案是

1. A. 在总部与分支之间建立IPsec VPN并启用GRE承载VLAN
2. B. 使用QinQ在运营商网络透传内层VLAN标签
3. C. 部署VXLAN over IPsec实现大二层互通
4. D. 采用MPLS L3VPN由运营商隔离各站点路由

55在配置SNMP时，管理站需要读取设备接口流量但禁止修改设备配置，应使用的最低权限团体名或用户级别是

1. A. 只读（Read-Only）权限
2. B. 读写（Read-Write）权限
3. C. 只写（Write-Only）权限
4. D. 通知（Trap）权限

56在交换机上配置端口隔离功能后，同一隔离组内的主机之间仍然需要互访少量管理报文，管理员应采用的合理做法是

1. A. 把需要互访的端口划入不同隔离组
2. B. 关闭端口隔离并改用VLAN划分
3. C. 在隔离组内配置端口镜像
4. D. 将端口隔离改为端口安全

57在Windows主机上执行ipconfig /all后，管理员需要确认主机是否通过DHCP获得地址，应重点查看的字段是

1. A. DHCP已启用以及租约获得时间
2. B. 物理地址和子网掩码
3. C. 默认网关和DNS服务器
4. D. 主机名和DNS后缀

58管理员在交换机上配置了DHCP Snooping后，连接DHCP服务器的端口应配置为

1. A. 信任端口
2. B. 非信任端口
3. C. 镜像端口
4. D. 隔离端口

59在千兆以太网中，使用双绞线作为传输介质时，标准的线序T568B对1至8号引脚的正确排列是

1. A. 橙白、橙、绿白、蓝、蓝白、绿、棕白、棕
2. B. 绿白、绿、橙白、蓝、蓝白、橙、棕白、棕
3. C. 橙白、橙、蓝白、蓝、绿白、绿、棕白、棕
4. D. 棕白、棕、绿白、蓝、蓝白、绿、橙白、橙

60在OSPF中，一台路由器同时收到同一网段的两条LSA，一条由区域边界路由器产生，一条由自治系统边界路由器产生，路由器进行路由选择时优先比较的是

1. A. LSA的类型编号大小
2. B. 路由的协议优先级
3. C. 到达目的网段的路径开销
4. D. 产生LSA的路由器ID

61某公司申请到200.1.1.0/24地址块，需要划分给4个部门各约50台主机，划分后每个子网的掩码和可用主机数最合理的是

1. A. /26，每子网62台可用
2. B. /27，每子网30台可用
3. C. /25，每子网126台可用
4. D. /28，每子网14台可用

62某企业园区网核心交换机与接入交换机之间采用单链路千兆光纤互联，现要求在不改变现有布线的前提下将两台接入交换机上行带宽提升至2Gbps并具备链路冗余，最合理的做法是

1. A. 将两台接入交换机各用一条光纤分别上联核心交换机的不同板卡并配置链路聚合
2. B. 将两台接入交换机用堆叠线缆堆叠后仅用一条光纤上联核心交换机
3. C. 将其中一台接入交换机的两条光纤上联同一核心交换机并配置生成树
4. D. 将两台接入交换机各用一条光纤上联核心交换机并在核心交换机上配置静态路由

63在华为设备上配置ACL时，管理员希望仅允许192.168.1.0/24网段访问服务器的TCP 443端口，其他流量均拒绝，下列配置中能够正确实现且匹配效率较高的是

1. A. rule permit tcp source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0 destination-port eq 443 后接rule deny ip
2. B. rule deny tcp source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0 destination-port eq 443 后接rule permit ip
3. C. rule permit tcp source 192.168.1.0 0.0.0.255 destination-port eq 443 后接rule deny ip
4. D. rule permit ip source 192.168.1.0 0.0.0.255 后接rule deny tcp destination-port eq 443

64某企业部署了VRRP，主路由器优先级为120，备用路由器优先级为100，现管理员将备用路由器优先级改为150，最可能发生的结果是

1. A. 备用路由器立即抢占成为新的主路由器
2. B. 主路由器继续保持主状态直到故障切换
3. C. 两台路由器同时成为主路由器并发生冲突
4. D. VRRP组自动解散并重新选举

65某无线网络中用户反映连接Wi-Fi后可以访问内网但无法访问互联网，AP管理地址和网关均可达，最可能的原因是

1. A. AP的SSID被设置为隐藏
2. B. 无线控制器未下发正确的DNS服务器地址
3. C. 接入交换机端口未配置为Trunk
4. D. 无线客户端未通过802.1X认证

66在配置ACL时，管理员希望仅允许192.168.1.0/24网段访问服务器的TCP 443端口，其他流量均拒绝，下列哪条ACL规则在华为设备上能正确匹配该网段且不误伤其他端口

1. A. rule permit tcp source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0 destination-port eq 443
2. B. rule permit tcp source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0 destination-port eq 80
3. C. rule permit ip source 192.168.1.0 0.0.0.255 destination 10.1.1.1 0
4. D. rule permit tcp source 192.168.1.0 0.0.0.255 destination-port eq 443

67在WLAN组网中，AP通过DHCP获取IP地址后需要自动发现AC，若采用二层发现方式，AC与AP必须满足的条件是

1. A. AP与AC在同一广播域内
2. B. AP与AC之间必须跨三层网络
3. C. AP必须配置AC的域名
4. D. AC必须开启源地址验证

68某企业网络发生广播风暴，管理员登录交换机后发现所有端口指示灯快速闪烁，CPU利用率极高，下列处置步骤中最合理的是

1. A. 先关闭故障端口或配置风暴控制，再逐步排查环路
2. B. 立即重启核心交换机以恢复业务
3. C. 直接拔掉所有接入层交换机电源
4. D. 将生成树协议关闭以消除拓扑收敛影响

69某企业出口路由器同时连接两条ISP链路，要求当主链路时延明显升高但仍能通时自动把新流量切换到备用链路，且已建立的会话尽量不中断，应配置

1. A. 基于目的地址的策略路由并绑定主链路出接口
2. B. 基于时延阈值的链路探测联动浮动静态路由
3. C. 基于源地址的等价多路径负载分担
4. D. 基于端口的NAT地址池轮询分配

70在OSPF广播网络中，两台路由器接口均配置为DR Other且优先级相同，若希望其中一台成为DR，最直接有效的做法是

1. A. 把该接口的OSPF优先级调高
2. B. 把该接口的Hello间隔调小
3. C. 把该接口的网络类型改为点到点
4. D. 把该接口的cost值调小

71在配置ACL时，管理员希望只允许192.168.10.0/24网段访问服务器的TCP 443端口，其他流量拒绝，下列配置顺序最合理的是

1. A. 先配置拒绝任意源到任意目的的规则，再配置允许指定网段到443的规则
2. B. 先配置允许指定网段到443的规则，再配置拒绝任意源到任意目的的规则
3. C. 只配置允许指定网段到443的规则并应用到接口
4. D. 只配置拒绝任意源到任意目的的规则并应用到接口

72某企业网核心交换机与汇聚交换机之间采用静态链路聚合，聚合口下联的服务器频繁出现丢包，检查发现两条成员链路的速率分别为1000Mb/s和100Mb/s，最可能导致该现象的原因是

1. A. 成员链路速率不一致导致流量按链路速率比例分配不均
2. B. 静态聚合未启用LACP导致成员端口无法转发流量
3. C. 聚合口未配置Trunk导致VLAN标签被丢弃
4. D. 成员链路速率不一致导致聚合组无法建立

73网络工程师在配置ACL时希望只允许192.168.1.0/24网段的主机访问服务器的TCP 443端口，下列通配符掩码写法中正确的是

1. A. 192.168.1.0 0.0.0.255
2. B. 192.168.1.0 0.0.0.0
3. C. 192.168.1.0 255.255.255.0
4. D. 192.168.1.0 0.0.0.254

74网络工程师在配置防火墙安全策略时，希望实现内网用户只能访问外网Web服务而不能访问外网其他端口，下列策略设计思路中最合理的是

1. A. 先拒绝所有外网访问，再放行目的端口为80和443的流量
2. B. 先放行所有外网访问，再拒绝目的端口非80和443的流量
3. C. 仅配置放行80和443的策略，不配置其他策略
4. D. 配置拒绝所有外网访问的策略并置于策略列表末尾

75网络工程师在核心交换机上执行display interface GigabitEthernet 0/0/1，发现接口物理状态UP、协议状态UP，但Input errors计数持续增长且CRC错误较多，最可能的原因是

1. A. 接口双工模式与对端不一致
2. B. 接口配置了错误的IP地址
3. C. 接口被配置为三层路由口
4. D. 接口未加入任何VLAN

76网络管理员发现某台服务器无法被外网访问，检查防火墙发现已配置DNAT映射但未放行对应安全策略，正确的处置顺序是

1. A. 先确认安全策略放行再验证DNAT映射生效
2. B. 先删除DNAT映射再重建安全策略
3. C. 先关闭防火墙再测试端口连通性
4. D. 先修改服务器默认网关再检查NAT

77在部署园区网安全接入时，为防止未授权终端接入并限制其访问范围，下列措施中合理的有（多选）

1. A. 启用802.1X认证并配合RADIUS服务器
2. B. 配置端口安全限制MAC数量并设置违规动作
3. C. 对访客SSID启用Portal认证并划分独立VLAN
4. D. 关闭所有接入端口的STP以提升转发速度
5. E. 将核心交换机管理口直接暴露在互联网

78某公司使用PPPoE拨号上网，拨号成功后用户PC可以访问互联网，但无法访问同一链路上另一台已配置公网地址的服务器，最可能的原因是

1. A. PPPoE虚拟接口的MTU小于服务器返回报文长度导致分片被丢弃
2. B. PPPoE拨号获得的默认网关与服务器所在网段冲突
3. C. PPPoE会话使用的CHAP认证方式与服务器不兼容

79在WLAN部署中，AP采用PoE供电且由AC集中管理，若某AP反复上线又掉线，最可能的原因是

1. A. 该AP所在交换机端口PoE供电功率不足或网线质量差
2. B. AC上配置的SSID隐藏导致AP无法发现AC
3. C. AP的射频信道设置为自动选择导致频繁切换

80某公司计划将IPv4网络逐步过渡到IPv6，要求现有IPv4用户可访问新建的IPv6服务器，且不改变现有IPv4终端配置，最合适的过渡技术是

1. A. NAT64配合DNS64实现IPv4用户访问IPv6资源
2. B. 双协议栈要求所有终端同时配置IPv6地址
3. C. 6to4隧道用于IPv6孤岛之间互联

81在 OSPF 中，路由器收到一个 LSA 类型为 3 的链路状态通告，该通告描述的是

1. A. 本区域内部路由器产生的链路状态
2. B. ABR 产生的区域间网络路由信息
3. C. ASBR 产生的自治系统外部路由信息
4. D. DR 产生的网络链路状态信息

82某公司使用 VLAN 10 和 VLAN 20，网关位于三层交换机上，现要求两 VLAN 主机能互通但广播域保持隔离，正确做法是

1. A. 在三层交换机上为两个 VLAN 配置 SVI 并启用路由
2. B. 把两个 VLAN 的端口都划入同一 VLAN
3. C. 在两 VLAN 间配置 VRRP 虚拟网关
4. D. 在三层交换机上配置端口镜像到同一端口

83在华为交换机上要把接口 GigabitEthernet0/0/1 配置为 Trunk 并只允许 VLAN 10 和 20 通过，正确命令是

1. A. port link-type trunk 与 port trunk allow-pass vlan 10 20
2. B. port link-type access 与 port default vlan 10 20
3. C. port link-type hybrid 与 port hybrid untagged vlan 10 20
4. D. port link-type trunk 与 port trunk pvid vlan 10 20

84某企业使用RIP协议组网，网络管理员发现路由器学习到的某条路由开销值始终为16，最可能的原因是

1. A. 该路由的跳数已达到或超过15跳
2. B. 该路由的下一跳地址配置错误
3. C. 该路由的出接口被配置为被动接口
4. D. 该路由的度量值被手工修改为16

85在配置ACL时，若希望只允许192.168.1.0/24网段的主机访问服务器的TCP 443端口，其他流量全部拒绝，则ACL规则的正确顺序是

1. A. 先permit tcp 192.168.1.0 0.0.0.255 any eq 443，再deny ip any any
2. B. 先deny ip any any，再permit tcp 192.168.1.0 0.0.0.255 any eq 443
3. C. 先permit ip any any，再deny tcp 192.168.1.0 0.0.0.255 any eq 443
4. D. 先deny tcp any any eq 443，再permit ip 192.168.1.0 0.0.0.255 any

86某网络管理员在路由器上配置了静态路由ip route-static 0.0.0.0 0.0.0.0 192.168.1.1，随后发现内网用户无法访问互联网，但可以访问192.168.1.1，最可能的原因是

1. A. 缺少NAT配置，内网私有地址未被转换
2. B. 静态路由的下一跳地址错误
3. C. 路由器接口未配置IP地址
4. D. 内网用户未配置DNS服务器

87网络管理员在防火墙上配置了安全策略，允许Trust区域访问Untrust区域，但用户仍无法访问外网，检查发现防火墙会话表中没有相应会话，下一步最合理的排查操作是

1. A. 检查NAT策略是否匹配该流量
2. B. 检查防火墙接口是否配置了IP地址
3. C. 检查交换机VLAN是否划分正确
4. D. 检查用户终端是否配置了网关

88某管理员在路由器上配置了ACL拒绝源地址为192.168.1.0/24的流量，但发现该网段主机仍能访问外网，最可能的原因是

1. A. ACL应用在了错误的接口方向
2. B. ACL规则末尾隐含允许所有
3. C. ACL被应用在了Loopback接口
4. D. ACL规则使用了通配符掩码0.0.0.255

89某网络出现广播风暴，管理员在交换机上启用风暴控制后，发现端口被频繁err-disable，最可能的原因是

1. A. 风暴控制阈值设置过低
2. B. 端口未配置BPDU Guard
3. C. 端口未启用PortFast
4. D. 交换机未配置VLAN修剪

90某网络工程师在排查用户无法通过域名访问网站但能通过IP访问的问题时，下列处置措施中合理的有（多选）

1. A. 检查客户端DNS服务器地址配置
2. B. 使用nslookup验证域名解析结果
3. C. 检查DNS服务器到根域的转发配置
4. D. 在客户端hosts文件中写入该域名映射
5. E. 直接重启核心交换机以恢复解析

91在配置VRRP时，若希望Master路由器优先级相同时能稳定由某一台设备承担转发，应调整的参数是

1. A. 将其中一台的优先级设为255并启用抢占
2. B. 将其中一台的优先级设为100并关闭抢占
3. C. 将两台设备的优先级都设为200并启用抢占
4. D. 将其中一台的优先级设为0并启用抢占

92在配置OSPF时，若两台路由器接口的掩码不一致，可能导致邻居关系停留在ExStart状态，原因是

1. A. OSPF要求同一网段接口掩码一致才能建立邻居
2. B. OSPF的DD报文协商MTU时因掩码不同而失败
3. C. 掩码不一致导致Hello报文中的网络掩码字段不匹配
4. D. 掩码不一致使Router ID冲突无法选举DR

93在网络安全等级保护要求中，对网络设备的登录账号进行集中管理并实现操作审计，通常采用的方式是

1. A. 为每台设备配置独立的本地账号并开启日志
2. B. 部署堡垒机统一认证并记录操作日志
3. C. 使用同一管理员账号登录所有设备
4. D. 关闭设备日志功能以减少存储占用

94网络管理员在路由器上执行display ip routing-table后看到一条目的地址为0.0.0.0/0的路由，该路由最可能来源于

1. A. 管理员手工配置的默认静态路由
2. B. OSPF学习到的区域内明细路由
3. C. 直连网段自动生成的主机路由
4. D. BGP通过MED比较后优选的路由

95使用防火墙部署在互联网出口时，为保证内网用户正常访问外网且外部无法主动访问内网，应配置的安全策略是

1. A. 允许内网到外网的新建连接并拒绝外网到内网的新建连接
2. B. 允许外网到内网的新建连接并拒绝内网到外网的新建连接
3. C. 双向均允许新建连接并启用会话老化
4. D. 双向均拒绝新建连接仅允许已建立会话

96网络管理员发现某台主机无法访问同网段其他主机，但可以访问网关，最可能的问题是

1. A. 主机子网掩码配置错误
2. B. 网关设备未启用ARP代理
3. C. 主机默认网关地址错误
4. D. 交换机未配置VLAN接口

97某企业网络中，VLAN 10和VLAN 20的主机需要三层互通，且要求互通流量在核心交换机上完成路由转发，最合适的部署方式是

1. A. 为VLAN 10和VLAN 20各配置一个物理接口直接相连
2. B. 在核心交换机上配置VLANIF 10和VLANIF 20并开启路由
3. C. 把VLAN 10和VLAN 20合并到同一个VLAN中
4. D. 在接入交换机上为VLAN 10和VLAN 20配置静态ARP

98某公司需要让外部用户通过域名访问内网Web服务器，且公网地址只有一个，最合理的网络地址转换部署方式是

1. A. 为Web服务器配置公网地址并直接暴露
2. B. 使用静态NAT把公网地址一对一映射到Web服务器
3. C. 使用NAPT把公网地址的80端口映射到Web服务器
4. D. 使用动态NAT地址池为Web服务器分配公网地址

99某园区网采用VRRP实现网关冗余，Master路由器优先级为120，Backup路由器优先级为100，若Master故障恢复后希望重新抢占为Master，应配置

1. A. 在Backup上配置vrrp preempt mode
2. B. 在Master上配置vrrp preempt mode
3. C. 在Backup上配置vrrp priority 255
4. D. 在Master上配置vrrp priority 100

100网络管理员在核心交换机上划分了多个VLAN，现需要让VLAN 10和VLAN 20的主机能够互相通信但又不新增物理链路，应在三层交换机上执行哪项操作

1. A. 为每个VLAN配置一个Trunk端口
2. B. 启用VLAN间路由并配置VLANIF接口地址
3. C. 将两个VLAN的端口划入同一STP实例
4. D. 在接入层交换机上开启边缘端口