網(wǎng)絡(luò)規(guī)劃設(shè)計師高級綜合試卷（完整版）

網(wǎng)絡(luò)規(guī)劃設(shè)計師高級綜合試卷（完整版）一、判斷題（每題2分，共20分）1.OSPFStub區(qū)域允許區(qū)域內(nèi)路由器引入AS外部路由并在區(qū)域內(nèi)泛洪。2.軟件定義網(wǎng)絡(luò)（SDN）的核心架構(gòu)特征是控制平面與數(shù)據(jù)平面解耦，控制邏輯集中部署。3.IPv6網(wǎng)絡(luò)中，地址解析功能由鄰居發(fā)現(xiàn)協(xié)議（NDP）實現(xiàn)，無需使用ARP協(xié)議。4.IPSecVPN的傳輸模式封裝的是整個IP數(shù)據(jù)包，適合站點到站點的VPN部署場景。5.Spine-Leaf數(shù)據(jù)中心網(wǎng)絡(luò)架構(gòu)中，Leaf節(jié)點負責(zé)接入服務(wù)器，Spine節(jié)點負責(zé)Leaf之間的流量轉(zhuǎn)發(fā)，任意兩個服務(wù)器之間的轉(zhuǎn)發(fā)路徑最多經(jīng)過3臺網(wǎng)絡(luò)設(shè)備。6.零信任架構(gòu)的核心原則是“默認不信任，始終驗證”，僅對通過身份認證的用戶授予全部網(wǎng)絡(luò)資源訪問權(quán)限。7.BGP路由反射器的客戶端之間需要建立全連接才能正常反射路由。8.DiffServ區(qū)分服務(wù)模型中，DSCP字段位于IP報文的首部，共6比特，可標(biāo)識64種不同的服務(wù)等級。9.5G網(wǎng)絡(luò)切片可在同一物理基礎(chǔ)設(shè)施上隔離出多個邏輯網(wǎng)絡(luò)，不同切片的帶寬、時延等SLA要求相互獨立。10.802.11k/v協(xié)議可實現(xiàn)無線網(wǎng)絡(luò)的快速漫游，漫游過程中客戶端無需重新進行802.1X身份認證。二、單選題（每題2分，共20分）1.下列OSPFLSA類型中，屬于ASBRSummaryLSA的是？A.Type3LSAB.Type4LSAC.Type5LSAD.Type7LSA2.下列選項中，不屬于SD-WAN核心功能的是？A.鏈路智能選路B.集中策略管控C.硬件轉(zhuǎn)發(fā)性能提升D.應(yīng)用級QoS保障3.下列IPv6地址中，屬于鏈路本地地址的是？A.2001::1/128B.FE80::2E0:FCFF:FE12:3456/10C.FC00::/7D.FF02::1/84.VXLAN協(xié)議中用于標(biāo)識二層廣播域的VNI字段長度為？A.12比特B.24比特C.32比特D.48比特5.網(wǎng)絡(luò)安全等級保護2.0標(biāo)準(zhǔn)中，最高防護等級為？A.第三級B.第四級C.第五級D.第六級6.下列BGP路由屬性中，屬于公認必遵屬性的是？A.AS_PATHB.LOCAL_PREFC.MEDD.Community7.下列物聯(lián)網(wǎng)通信技術(shù)中，屬于低功耗廣域網(wǎng)（LPWA）技術(shù)的是？A.Wi-Fi6B.Bluetooth5.2C.NB-IoTD.Zigbee8.當(dāng)網(wǎng)絡(luò)中TCP重傳率過高時，應(yīng)優(yōu)先排查下列哪項指標(biāo)？A.鏈路丟包率B.服務(wù)器CPU使用率C.客戶端內(nèi)存使用率D.DNS解析時延9.下列協(xié)議中，無法實現(xiàn)三層網(wǎng)關(guān)冗余功能的是？A.VRRPB.HSRPC.GLBPD.STP10.云計算環(huán)境中彈性網(wǎng)卡的核心作用不包括下列哪項？A.實現(xiàn)虛擬機的多網(wǎng)卡接入B.支持網(wǎng)卡熱插拔提升業(yè)務(wù)可用性C.提升虛擬機的計算性能D.實現(xiàn)跨子網(wǎng)的靈活流量調(diào)度三、多選題（每題2分，共20分，多選、少選、錯選均不得分）1.下列選項中，屬于OSPF特殊區(qū)域的有？A.Stub區(qū)域B.NSSA區(qū)域C.TotallyStub區(qū)域D.Backbone區(qū)域2.關(guān)于IDS與IPS的技術(shù)特征，下列說法正確的有？A.IDS采用旁路部署模式，不會對業(yè)務(wù)流量轉(zhuǎn)發(fā)造成影響B(tài).IPS采用串接部署模式，可直接阻斷檢測到的攻擊流量C.IDS可獨立完成攻擊流量的主動攔截與響應(yīng)D.IPS的流量處理時延普遍高于同規(guī)格的IDS設(shè)備3.下列選項中，屬于5G網(wǎng)絡(luò)定義的三大應(yīng)用場景的有？A.eMBB（增強移動寬帶）B.uRLLC（超高可靠低時延通信）C.mMTC（海量機器類通信）D.V2X（車聯(lián)網(wǎng)通信）4.下列選項中，屬于常見VLAN劃分方式的有？A.基于端口劃分B.基于MAC地址劃分C.基于IP地址劃分D.基于應(yīng)用協(xié)議劃分5.下列協(xié)議中，屬于SDN南向接口協(xié)議的有？A.OpenFlowB.NETCONFC.RESTCONFD.BGP-LS6.下列選項中，屬于常見存儲網(wǎng)絡(luò)協(xié)議的有？A.FC（光纖通道）B.iSCSIC.NVMe-oFD.OSPF7.網(wǎng)絡(luò)規(guī)劃設(shè)計全流程中，包含下列哪些階段？A.需求調(diào)研與分析B.邏輯網(wǎng)絡(luò)設(shè)計C.物理網(wǎng)絡(luò)設(shè)計D.網(wǎng)絡(luò)測試與驗收8.下列選項中，屬于IPv6過渡技術(shù)的有？A.雙棧技術(shù)B.隧道技術(shù)C.NAT64翻譯技術(shù)D.OSPFv3路由協(xié)議9.針對WLAN覆蓋盲區(qū)問題，可采用的優(yōu)化手段有？A.增加AP部署點位B.調(diào)整AP發(fā)射功率C.更換高增益天線D.調(diào)整信道寬度10.下列QoS技術(shù)中，屬于擁塞避免技術(shù)的有？A.RED（隨機早期檢測）B.WRED（加權(quán)隨機早期檢測）C.PQ（優(yōu)先級隊列）D.CBQ（基于類別隊列）四、案例分析題（每題6分，共18分）1.案例背景：某企業(yè)總部位于北京，上海、廣州各設(shè)1個分公司，當(dāng)前采用IPSecVPN實現(xiàn)三地網(wǎng)絡(luò)互聯(lián)，承載OA、ERP等內(nèi)部業(yè)務(wù)系統(tǒng)。近期業(yè)務(wù)部門反饋跨地域訪問內(nèi)部系統(tǒng)時延高、偶發(fā)丟包，經(jīng)運維人員排查，三地公網(wǎng)接入均為普通家庭寬帶，忙時鏈路帶寬利用率達95%，跨運營商鏈路往返抖動最高超過200ms。問題：請列出3種可優(yōu)化該企業(yè)跨地域訪問體驗的技術(shù)方案，并簡述各自的適用場景。2.案例背景：某政務(wù)云數(shù)據(jù)中心采用Spine-Leaf二層架構(gòu)部署，所有服務(wù)器均通過10G以太網(wǎng)接入Leaf節(jié)點，Spine與Leaf之間采用10G鏈路互聯(lián)。近期上線一批民生服務(wù)系統(tǒng)后，運維人員發(fā)現(xiàn)跨Leaf節(jié)點的虛擬機互訪帶寬最高僅能達到3G，無法跑滿10G鏈路，經(jīng)檢查物理鏈路無故障、接口無錯誤包統(tǒng)計，交換機端口隊列無擁塞記錄。問題：請分析該故障可能的3種原因。3.案例背景：某高校新校區(qū)計劃部署全覆蓋無線網(wǎng)絡(luò)，覆蓋范圍包含教學(xué)樓、學(xué)生宿舍、室外操場三個區(qū)域，要求所有學(xué)生統(tǒng)一通過校園賬號認證上網(wǎng)，跨區(qū)域漫游無需重復(fù)認證，且教學(xué)區(qū)無線網(wǎng)絡(luò)禁止訪問游戲、視頻類娛樂網(wǎng)站。問題：請列出該無線網(wǎng)絡(luò)設(shè)計的3個核心功能要點，并簡述作用。五、論述題（每題11分，共22分）1.零信任架構(gòu)已成為當(dāng)前企業(yè)網(wǎng)絡(luò)安全升級的主流方向，替代傳統(tǒng)的邊界式安全防護模式。請論述企業(yè)在現(xiàn)有傳統(tǒng)邊界網(wǎng)絡(luò)基礎(chǔ)上升級為零信任架構(gòu)的核心實施步驟，以及落地過程中需要注意的關(guān)鍵問題。2.某中型企業(yè)當(dāng)前所有業(yè)務(wù)部署在本地自建IDC，為降低運維成本、提升業(yè)務(wù)彈性，計劃在1年內(nèi)將70%的業(yè)務(wù)逐步遷移至公有云，需要設(shè)計混合云網(wǎng)絡(luò)架構(gòu)，要求實現(xiàn)云下IDC與云上VPC的低時延互通、業(yè)務(wù)遷移過程無感知、云上云下安全策略統(tǒng)一管控。請論述該混合云網(wǎng)絡(luò)架構(gòu)的設(shè)計方案，以及核心技術(shù)的選型依據(jù)。參考答案及解析一、判斷題答案及解析1.參考答案：錯誤。解析：OSPFStub區(qū)域禁止Type5LSA（AS外部路由）在區(qū)域內(nèi)泛洪，區(qū)域內(nèi)路由器也不能作為ASBR引入外部路由，僅可通過區(qū)域邊界路由器的默認路由訪問外部網(wǎng)絡(luò)。2.參考答案：正確。解析：SDN的核心特征就是控制平面與數(shù)據(jù)平面解耦，原本分布在各轉(zhuǎn)發(fā)設(shè)備上的控制邏輯集中到SDN控制器部署，實現(xiàn)全局流量的靈活調(diào)度。3.參考答案：正確。解析：IPv6取消了ARP協(xié)議，地址解析、鄰居可達性檢測等功能均由NDP（鄰居發(fā)現(xiàn)協(xié)議）通過ICMPv6報文實現(xiàn)。4.參考答案：錯誤。解析：IPSec傳輸模式僅封裝IP報文的傳輸層部分，適合端到端的VPN場景；隧道模式封裝整個IP報文，適合站點到站點的VPN部署。5.參考答案：錯誤。解析：Spine-Leaf架構(gòu)中，任意兩個服務(wù)器之間的轉(zhuǎn)發(fā)路徑為“Leaf1→Spine→Leaf2”，最多經(jīng)過2臺網(wǎng)絡(luò)設(shè)備，不存在3臺設(shè)備的轉(zhuǎn)發(fā)路徑。6.參考答案：錯誤。解析：零信任架構(gòu)遵循最小權(quán)限原則，對通過認證的用戶僅授予其業(yè)務(wù)所需的最小范圍資源訪問權(quán)限，而非全部網(wǎng)絡(luò)資源權(quán)限。7.參考答案：錯誤。解析：BGP路由反射器的作用就是減少AS內(nèi)部IBGP的全連接需求，路由反射器的客戶端之間無需建立全連接，路由由反射器統(tǒng)一反射。8.參考答案：正確。解析：DSCP字段位于IPv4首部TOS字段或IPv6首部流量類字段的前6比特，共可標(biāo)識64種不同的服務(wù)等級，是DiffServ模型的核心標(biāo)識。9.參考答案：正確。解析：5G網(wǎng)絡(luò)切片是基于NFV、SDN技術(shù)實現(xiàn)的邏輯隔離網(wǎng)絡(luò)，可在同一物理基礎(chǔ)設(shè)施上為不同業(yè)務(wù)提供獨立的帶寬、時延、可靠性等SLA保障。10.參考答案：錯誤。解析：802.11k用于無線鄰居測量、802.11v用于無線網(wǎng)絡(luò)負載均衡，實現(xiàn)快速漫游無需重新認證的協(xié)議為802.11r。二、單選題答案及解析1.參考答案：B。解析：Type3LSA為網(wǎng)絡(luò)匯總LSA，由ABR發(fā)布；Type4LSA為ASBR匯總LSA，由ABR發(fā)布，用于告知區(qū)域內(nèi)路由器ASBR的位置；Type5LSA為AS外部LSA，由ASBR發(fā)布；Type7LSA為NSSA外部LSA，僅在NSSA區(qū)域內(nèi)泛洪。2.參考答案：C。解析：SD-WAN的核心功能包括多鏈路聚合、智能選路、集中管控、應(yīng)用識別與QoS、安全集成等，硬件轉(zhuǎn)發(fā)性能提升屬于硬件設(shè)備的特性，不屬于SD-WAN的核心功能范疇。3.參考答案：B。解析：選項A為全球單播地址，選項B為鏈路本地地址（前綴FE80::/10），選項C為唯一本地地址，選項D為組播地址。4.參考答案：B。解析：VXLAN的VNI字段長度為24比特，最多可支持16777216個二層廣播域，解決了傳統(tǒng)VLAN12比特字段僅支持4094個廣播域的限制。5.參考答案：C。解析：等保2.0將網(wǎng)絡(luò)安全防護等級分為五級，從第一級到第五級防護要求逐步提升，第五級為最高等級，適用于涉及國家核心機密的信息系統(tǒng)。6.參考答案：A。解析：BGP公認必遵屬性包括ORIGIN、AS_PATH、NEXT_HOP三類，所有BGP設(shè)備都必須支持并傳遞這些屬性；LOCAL_PREF、MED、Community均為可選屬性。7.參考答案：C。解析：Wi-Fi6、藍牙5.2、Zigbee均為短距離無線通信技術(shù)，NB-IoT屬于低功耗廣域網(wǎng)技術(shù)，適用于低功耗、廣覆蓋、大連接的物聯(lián)網(wǎng)場景。8.參考答案：A。解析：TCP重傳的核心原因是報文丟失，因此出現(xiàn)重傳率過高問題時應(yīng)優(yōu)先排查鏈路丟包率，服務(wù)器CPU、客戶端內(nèi)存、DNS時延均不是TCP重傳的核心誘因。9.參考答案：D。解析：VRRP、HSRP、GLBP均為三層網(wǎng)關(guān)冗余協(xié)議，可實現(xiàn)多臺網(wǎng)關(guān)設(shè)備的冗余備份；STP為二層生成樹協(xié)議，用于解決二層環(huán)路問題，無法實現(xiàn)三層網(wǎng)關(guān)冗余。10.參考答案：C。解析：彈性網(wǎng)卡是云計算環(huán)境中的虛擬網(wǎng)絡(luò)設(shè)備，可實現(xiàn)多網(wǎng)卡接入、熱插拔、跨子網(wǎng)流量調(diào)度等網(wǎng)絡(luò)層面的功能，無法提升虛擬機的計算性能。三、多選題答案及解析1.參考答案：ABC。解析：OSPF特殊區(qū)域包括Stub、TotallyStub、NSSA、TotallyNSSA四類，Backbone區(qū)域（區(qū)域0）為OSPF的骨干區(qū)域，不屬于特殊區(qū)域。2.參考答案：ABD。解析：IDS采用旁路部署，僅對鏡像流量進行檢測，無法直接攔截攻擊流量，需要聯(lián)動防火墻等設(shè)備才能實現(xiàn)攔截，因此選項C錯誤，其余選項表述均正確。3.參考答案：ABC。解析：5G三大應(yīng)用場景為eMBB、uRLLC、mMTC，V2X是uRLLC場景下的典型應(yīng)用，不屬于三大基礎(chǔ)場景。4.參考答案：ABCD。解析：常見的VLAN劃分方式包括基于端口、基于MAC地址、基于IP地址、基于協(xié)議、基于策略等多種，四個選項均屬于合法的劃分方式。5.參考答案：ABCD。解析：SDN南向接口是控制器與轉(zhuǎn)發(fā)設(shè)備之間的通信接口，OpenFlow、NETCONF、RESTCONF、BGP-LS均屬于常用的南向接口協(xié)議。6.參考答案：ABC。解析：FC、iSCSI、NVMe-oF均為存儲網(wǎng)絡(luò)協(xié)議，用于服務(wù)器與存儲設(shè)備之間的通信；OSPF為路由協(xié)議，不屬于存儲網(wǎng)絡(luò)協(xié)議。7.參考答案：ABCD。解析：網(wǎng)絡(luò)規(guī)劃設(shè)計全流程包括需求調(diào)研與分析、邏輯網(wǎng)絡(luò)設(shè)計、物理網(wǎng)絡(luò)設(shè)計、網(wǎng)絡(luò)部署實施、網(wǎng)絡(luò)測試與驗收、運維優(yōu)化等階段，四個選項均屬于規(guī)劃設(shè)計階段的內(nèi)容。8.參考答案：ABC。解析：IPv6過渡技術(shù)包括雙棧、隧道、翻譯三大類，OSPFv3是IPv6網(wǎng)絡(luò)的路由協(xié)議，不屬于過渡技術(shù)范疇。9.參考答案：ABC。解析：增加AP點位、調(diào)高發(fā)射功率、更換高增益天線均可提升無線覆蓋范圍，解決覆蓋盲區(qū)問題；調(diào)整信道寬度主要用于提升無線網(wǎng)絡(luò)容量，無法解決覆蓋盲區(qū)問題。10.參考答案：AB。解析：RED和WRED屬于擁塞避免技術(shù)，通過提前丟棄部分報文避免隊列擁塞；PQ和CBQ屬于隊列調(diào)度技術(shù)，用于擁塞發(fā)生時不同流量的轉(zhuǎn)發(fā)優(yōu)先級調(diào)度。四、案例分析題參考答案及評分標(biāo)準(zhǔn)（1）SD-WAN方案：適用場景為企業(yè)多鏈路接入場景，可將現(xiàn)有寬帶與新增的專線進行聚合，基于應(yīng)用類型智能選擇最優(yōu)鏈路，降低跨運營商訪問的時延與丟包，同時保留IPSecVPN的安全能力。（2）MPLSVPN專線方案：適用場景為企業(yè)預(yù)算充足，業(yè)務(wù)對穩(wěn)定性要求極高的場景，運營商提供的MPLSVPN可實現(xiàn)三地的低時延、低抖動私網(wǎng)互聯(lián)，帶寬有SLA保障。（3）多云接入點POP方案：適用場景為企業(yè)已有部分業(yè)務(wù)部署在云端的場景，通過就近接入運營商的POP節(jié)點，依托運營商的骨干網(wǎng)實現(xiàn)跨地域流量的轉(zhuǎn)發(fā)，降低公網(wǎng)鏈路抖動的影響。（4）鏈路擴容+QoS調(diào)度方案：適用場景為預(yù)算有限的場景，將現(xiàn)有家庭寬帶替換為企業(yè)專線提升帶寬，同時在出口設(shè)備上配置QoS策略，優(yōu)先保障OA、ERP等核心業(yè)務(wù)的帶寬。評分標(biāo)準(zhǔn)：答案合理即可酌情給分，未說明適用場景每點扣1分。（1）虛擬機的網(wǎng)卡配置限制：虛擬機的虛擬網(wǎng)卡配置的帶寬上限為3G，導(dǎo)致跨節(jié)點互訪帶寬無法超過配置閾值。（2）Leaf交換機的路由轉(zhuǎn)發(fā)性能限制：Leaf交換機采用三層網(wǎng)關(guān)部署時，三層轉(zhuǎn)發(fā)性能不足，無法達到線速10G轉(zhuǎn)發(fā)。（3）VXLAN封裝開銷導(dǎo)致：若網(wǎng)絡(luò)采用VXLAN封裝，VXLAN頭部額外占用50字節(jié)左右的開銷，10G物理鏈路的實際可用業(yè)務(wù)帶寬約為9G左右，若同時存在其他流量占用，會導(dǎo)致單流帶寬受限。（4）網(wǎng)卡卸載功能未開啟：服務(wù)器或交換機的VXLAN、TCP校驗和等硬件卸載功能未開啟，CPU轉(zhuǎn)發(fā)性能不足導(dǎo)致帶寬跑不滿。（5）流量哈希算法不均：Spine與Leaf之間的ECMP哈希算法配置不合理，跨Leaf的流量被哈希到同一條鏈路，導(dǎo)致鏈路帶寬不足。評分標(biāo)準(zhǔn)：答案合理即可酌情給分，故障原因與場景不符不得分。（1）802.1X認證+Portal認證結(jié)合：學(xué)生在宿舍、教學(xué)區(qū)采用802.1X認證，室外區(qū)域采用Portal認證，認證系統(tǒng)對接校園賬號體系，實現(xiàn)統(tǒng)一身份管理。（2）802.11r快速漫游：部署快速漫游功能，學(xué)生跨AP、跨區(qū)域移動時無需重新進行身份認證，保障業(yè)務(wù)連續(xù)性。（3）基于用戶組的訪問控制：將教學(xué)區(qū)和宿舍區(qū)的用戶劃分為不同用戶組，在AC或出口防火墻上配置策略，禁止教學(xué)區(qū)用戶組訪問游戲、視頻類網(wǎng)站。（4）分層的無線資源管理：針對不同區(qū)域配置不同的AP功率、信道、接入用戶數(shù)限制，教學(xué)樓保障高并發(fā)接入，宿舍區(qū)保障高帶寬，室外區(qū)域保障廣覆蓋。評分標(biāo)準(zhǔn)：答案合理即可酌情給分，未說明作用每點扣1分。五、論述題參考答案及評分標(biāo)準(zhǔn)1.答題要點（共11分，其中實施步驟5分，關(guān)鍵問題6分）：①資產(chǎn)梳理與需求調(diào)研：梳理企業(yè)現(xiàn)有網(wǎng)絡(luò)架構(gòu)、業(yè)務(wù)系統(tǒng)、用戶群體、訪問關(guān)系，明確零信任建設(shè)的核心保護對象與合規(guī)要求。②身份體系建設(shè)：構(gòu)建統(tǒng)一的身份管理平臺，覆蓋用戶、設(shè)備、應(yīng)用三類身份，實現(xiàn)身份的全生命周期管理。③可信訪問代理部署：在業(yè)務(wù)系統(tǒng)前端部署零信任可信訪問代理，所有訪問流量都需要經(jīng)過代理的身份校驗與權(quán)限校驗。④最小權(quán)限授權(quán)：基于業(yè)務(wù)訪問需求，梳理最小的訪問權(quán)限矩陣，每個身份僅授予完成工作所需的最小資源訪問權(quán)限。⑤持續(xù)信任評估：構(gòu)建信任評估體系，基于用戶的身份、設(shè)備環(huán)境、訪問行為、時間位置等多維度因素持續(xù)計算信任值，動態(tài)調(diào)整訪問權(quán)限。⑥對接現(xiàn)有安全系統(tǒng)：將零信任系統(tǒng)與現(xiàn)有防火墻、EDR、SOC等安全系統(tǒng)對接，實現(xiàn)威脅的聯(lián)動響應(yīng)。⑦灰度上線與優(yōu)化：先試點非核心業(yè)務(wù)，再逐步推廣到核心業(yè)務(wù)，持續(xù)優(yōu)化權(quán)限策略與信任評估模型。①業(yè)務(wù)兼容性問題：需要充分評估零信任代理對現(xiàn)有業(yè)務(wù)系統(tǒng)的兼容性，避免因代理攔截導(dǎo)致業(yè)務(wù)不可用，對老舊系統(tǒng)可采用API網(wǎng)關(guān)對接等兼容方案。②用戶體驗問題：避免過度的身份校驗影響用戶訪問體驗，可采用自適應(yīng)認證策略，低風(fēng)險訪問采用單因子認證，高風(fēng)險訪問采用多因子認證。③性能瓶頸問題：可信訪問代理作為所有流量的入口，需要具備高可用、高并發(fā)處理能力，避免成為業(yè)務(wù)訪問的性能瓶頸。④權(quán)限治理復(fù)雜度問題：隨著業(yè)務(wù)迭代，權(quán)限矩陣會持續(xù)膨脹，需要建立定期的權(quán)限審計與清理機制，避免權(quán)限過度授予。評分標(biāo)準(zhǔn)