2023上半年（下午）网络工程师试题解析

2023上半年（下午）网络工程师试题解析

试题一（20分）

某企业办公楼网络拓扑如图1-1所示。该网络中交换机Switch1-Switch4均是二层设备，分布在办公楼的各层，上联采用千兆光纤。核心交换机、防火墙、服务器部署在数据机房，其中核心交换机实现冗余配置。

图 1-1

问题1（4分）

该企业办公网络采用172.16.1.0/25地址段，部门终端数量如表1-1所示，请将网络地址规划补充完整。

问题2（6分）

(1)简要说明图1-1中干线布线与水平布线子系统分别对应的区间。

(2)在网络线路施工中应遵循哪些规范?（至少回答4点）

问题3（6分）

若将PC-1、PC-2划分在同一个VLAN进行通信，需要在相关交换机上做哪些配置?在配置完成后应检查哪些内容?

问题4（4分）

(1)简要说明该网络中核心交换机有哪几种冗余配置方式。

(2)在该网络中增加终端接入认证设备，可以选择在接入层、核心层或者DMZ区部署。请选择最合理的部署区域并说明理由。

解析：

问题1（4分）

(1)28（或255.255.255.240）

由于终端数量是8个，所以2^x-2≥8，x=4（子网位），网络位=32-4=28位

子网地址=172.16.1.00000000=172.16.1.0 主机地址：172.16.1.1~14，广播：172.16.1.15

子网掩码=11111111 11111111 11111111 11110000=255.255.255.240

(2)172.16.1.17~172.16.1.30

第二个子网与第一个子网一样大，所以子网地址为：172.16.1.00010000

主机地址：172.16.1.16~30，广播：172.16.1.31

(3)172.16.1.33~172.16.1.62

第三个子网有30台主机，因此需要5位主机位，网络位为32-5=27位

子网地址：172.16.1.00100000=172.16.1.32，主机172.16.1.33~62，广播：172.16.1.63

(4)26（或255.255.255.192）

第四个子网有35台主机，所以2^x-2≥35，x=6（子网位），网络位=32-6=26位

子网地址：172.16.1.01000000=172.16.1.64，主机172.16.1.65~126，广播：172.16.1.127

子网掩码：11111111 11111111 11111111 11000000=255.255.255.192

最终的网络地址分布可以用下面的图来表示：

问题2（6分）

干线布线为核心交换机Switch Core1、Switch Core2连接到各楼层的交换机Switch1-Switch4的部分。水平布线为各楼层的交换机Switch1-Switch4连接到PC（办公电脑）的部分。

(2)施工规范：

①配线子系统缆线宜采用在吊顶、墙体内穿管或设置金属密封线槽及开放式（电缆桥架，吊挂环等）敷设。干线子系统垂直通道穿过楼板时宜采用电缆竖井方式。

②缆线应远离高温、易腐蚀和电磁干扰的场地。

③管线的弯曲半径应符合要求：2芯或4芯水平光缆弯曲半径大于25mm，4对非屏蔽双绞线电缆弯曲半径应不小于电缆外径的4倍。

④尽量不与强电平行，避免或减少与强电交叉，以免带来串扰。

问题3（6分）

①在核心交换机、Switch2和Switch3上创建Vlan，核心交换机、Switch2和Switch3上对应的接口加入Vlan。并将各交换机之间的接口设置为Trunk模式，允许VLAN报文通过。

②检查Switch2和Switch3上连接PC1和PC2的端口的MAC地址学习是否正确，IP地址是否配置正确，测试PC1和PC2是否能互相ping通。

问题4（4分）

(1)核心交换机冗余配置方式有：VRRP方式（Virtual Router Redundancy Protocol，虚拟路由冗余协议）、堆叠方式、M-LAG方式（Multichassis Link Aggregation Group，跨设备链路聚合组，是一种实现跨设备链路聚合的机制）。

(2)部署在接入层，控制点更低，可以获得终端用户的MAC、VLAN信息，可以实现 MAC、VLAN的绑定策略，不影响核心设备的性能，且安全性更好。

试题二(20分)

某企业网络拓扑如图2-1所示，该企业通过两个不同的运营商(ISP1和ISP2)接入Internet，内网用户通过NAT访问Internet。公网用户可通过不同的ISP访问企业内部的应用。

图2-1

问题1(6分)

为充分利用两个运营商的带宽，请提供至少4种多出口链路负载策略。

问题2(6分)

内网服务器Server需对外发布提供服务，互联网用户可通过ISP1、ISP2来访问，Server 的服务端口为TCP 9980。请根据以上需求配置安全策略，允许来自互联网的用户访问Server提供的服务。

[USG]security-policy

[USG-policy-security]rule name http

[USG-policy-security-rule-http]source-zone lSP1

[USG-policy-security-rule-http]source-zone ISP2

[USG-policy-security-rule-http]destination-zone trust

[USG-policy-security-rule-http]destination-address ( 1 )

[USG-policy-security-rule-http]service protocol ( 2 ) destination-port ( 3 )

[USG-policy-security-rule-http]action ( 4 )

[USG-policy-security-rule-http]quit

问题3(4分)

经过一段时间运行，经常有互联网用户反映访问Server的服务比较慢。经过抓包分析发现部分应用请求报文和服务器的回应报文经过的不是同一个ISP接口。请分析原因并提供解决方法。

问题4(4分)

企业网络在运行了一段时间后，网络管理员发现了一个现象：互联网用户通过公网地址可以正常访问Server，内网用户也可以通过内网地址正常访问Server，但内网用户无法通过公网地址访问Server，经过排查，安全策略配置都正确。请分析造成该现象的原因并提供解决方案。

解析：

问题1(6分)

在下列策略中选择4钟即可：

1.匹配ISP的策略

2.基于目标地址的策略路由

3.基于流量的负载均衡策略

4.基于应用的出口策略

5.基于链路带宽负载分担

6.基于链路状态负载分担

问题2(6分)

(1) 10.10.10.10 32

(2) TCP

(3) 9980

(4) Permit

问题3(4分)

产生该问题的原因是数据包的往返路径不一致，从ISP1通过防火墙访问服务器的请求数据包，服务器发送响应数据包时，出口路由策略使其选择ISP2传送，导致使数据包的来回路径不一致。解决方案：打开USG防火墙的源进源出功能。

问题4(4分)

没有在防火墙的下行接口配置服务器Easy IP方式的NAT Outbound，将内部服务器与内网PC之间的流量都引到防火墙上进行转发，实现内网用户通过公网端口的IP地址访问服务器功能。

试题三(20分)

图3-1为某公司网络骨干路由拓扑片段(分部网络略)，公司总部与分部之间运行BGP获得路由，路由器RA、RB、RC 以及RD之间配置 iBGP建立邻居关系，RC 和RD之间配置OSPF进程。所有路由器接口地址信息如图所示，假设各路由器已经完成各个接口IP等基本信息配置。

图 3-1

问题1(2分)

按图3-1所示配置完成BGP和OSPF路由相互引入后，可能会出现路由环路，请分析产生路由环路的原因。

问题2(10分)

要求：配置BGP和OSPF基本功能(以RA和RB为例)，并启用RC和RD之间的认证，以提升安全性。

补全下列命令完成RA和RB之间的BGP配置：

#RA启用BGP，配置与RB的IBGP对等体关系。

[RA]bgp 100

[RA-bgp]router-id 10.11.0.1

[RA-bgp]peer 10.12.0.2 as-number ( 1 )

[RA-bgp]ipv4-family unicast

[RA-bgp-af-ipv4]peer ( 2 ) enable

[RA-bgp]quit

#RB启用BGP，配置与RA、RC和RD的IBGP对等体关系。

[RB]bgp 100

[RB-bgp]router-id 10.22.0.2

[RB-bgp]peer ( 3 ) as-number 100      #配置与RA的对等关系

……#其它配置省略

#配置RC和RD的OSPF功能(以RC为例)，并启用OSPF认证

[RC]ospf 1 router-id 10.33.0.3

[RC-ospf-1] area 0

[RC-ospf-1-area-0.0.0.0]network ( 4 )    #发布财务专网给RD，其它省略

[RC-ospf-1-area-0.0.0.0]authentication-mode simple ruankao

[RC-ospf-1]quit

( 5 ) OSPF认证方式有哪些?上述命令中配置RC的为哪种?

( 6 )如果将命令authentication-mode simple ruankao替换为authentication-mode simple plain ruankao，则两者之间有何差异?

问题3(8分)

要求：配置BGP和OSPF之间的相互路由引入并满足相应的策略，配置路由环路检测功能。

[RC-ospf-1]import-route bgp permit-ibgp  #该命令的作用是( 7 )

......#其它配置省略

#配置RD的BGP引入OSPF路由，并配置路由策略禁止发布财务专网的路由给BGP。

[RD]acl number 2000    #配置编号为2000的ACL，禁止10.10.10.0/24通过

[RD-acl-basic-2000]rule deny source ( 8 ) 0.0.0.255

[RD-acl-basic-2000]quit

[RD]route-policy rp    #配置名为rp的路由策略

[RD-route-policy]if-match acl ( 9 )

[RD-route-policy]quit

[RD]bgp 100

[RD-bgp]ipv4-family unicast

[RD-bgp-af-ipv4]import-route ospf 1 ( 10 )

[RD-bgp]quit

#以RA为例，启用BGP环路检测功能。

[RA]route ( 11 ) bgp enable

解析：

问题1(2分)

OSPF路由可以通过路由引入的方式在BGP进程进行重发布。

问题2(10分)

(1)100     (2)10.12.0.2     (3)10.12.0.1     (4)10.10.10.0 0.0.0.255

(5)区域认证和接口认证。配置RC的区域认证

(6) simple表示使用简单验证模式。simple验证模式默认是cipher类型(密文认证方式)。

plain表示明文方式显示口令(不加密)。

问题3(8分)

(7)允许在IGP协议中引入IBGP        (8)10.10.10.0

(9)2000            (10)Route-policy rp           (11)Loop-detect

试题四(15分)

某公司网络拓扑如图4-1所示。

图4-1

问题1(10分)

公司计划在R1、R2、R3上运行RIP，保证网络层相互可达。接口IP地址配置如表4-1所示。请将下面的配置代码补充完整。

[HUAWEI]( 1 )

[HUAWEl]sysname ( 2 )

[R1] interface GigabitEthernet 0/0/0

[R1-GigabitEthernet 0/0/0]ip address 10.0.1.254 255.255.255.252

[R1-GigabitEthemet 0/0/0]interface GigabitEthernet0/0/1

[R1-GigabitEthernet 0/0/1]ip address ( 3 ) 255.255.255.252

[R1-GigabitEthernet 0/0/2]interface GigabitEthernet0/0/2

[R1-GigabitEthernet 0/0/2]ip address 100.1.1.1 255.255.255.0

[R1-GigabitEthernet 0/0/2]quit

[R1]rip

[R1-rip-1]( 4 )

[R1-rip-2]undo summary

[R1-rip-2]network ( 5 )

[R1-rip-2]network 100.0.0.0

……

R2、R3的RIP配置略

……

问题2(3分)

公司计划在R2和R3的链路上使用RIP与BFD联动技术，采用BFD echo报文方式实现当链路出现故障时，BFD能够快速感知并通告RIP协议。

请将下面的配置代码补充完整。

[R2]interface gigabitethernet ( 6 )

[R2-GigabitEthernet0/0/1]undo( 7 )      #关闭接口GEO/0/1的二层转发特性

[R2-GigabitEthernet0/0/1]rip bfd ( 8 )    #使能接口GEO/0/1的静态BFD特性

问题3(2分)

公司通过R1连接Internet，为公司提供互联网访问服务，在R1上配置了静态路由向互联网接口，为了使网络均能够访问互联网，需通过RIP将该静态路由进行重分布。请将下面的配置代码补充完整。

[R1-rip-2]default-route ( 9 )

解析：

问题1(10分)

(1) system-view     (2)R1    (3)10.0.1.250    (4) rip2    (5)10.0.0.0

问题2(3分)

(6) 0/0/1    (7) portswitch    (8)static

问题3(2分)

(9) originate