2026年5月23日軟考網絡工程師考試《案例分析》真題及答案（1）如下：

【考生回憶版】試題一（20分）

【說明】企業網絡拓撲如圖所示，由集團總部與展示中心兩部分組成，展示中心距離集團20k，通過運營商提供的200Mbps鏈路實現互聯。

1.集團總部全網運行OSPF協議（Area0）:

2.集團總部R3與展示中心R4之間采用靜態路由實現互通:

3.集團市場部終端通過R3接入:

4.展示中心部署監控門禁、訪客無線、辦公區三類業務網絡，辦公區部署專用服務器，負責監控與門禁系統的控制及數據存儲。

圖暫缺

【問題1】（4分）

（1）展示中心投入運行后，該中心日均接待游客300余人，同時接待人數不超過150人。訪客無線業務經常出現無法獲取IP地址的現象。經排查發現DKCP地址池可用地址不足，在排除網絡攻擊的情況下，請簡要分析產生該故障的原因并提出處理措施。

（2）辦公區反映部分終端能夠獲取到IP地址，但無法訪間互聯網。經查網絡中非法接入了啟用DHCP服務的路由器。為有效解決該行為對網絡的影響，應在交換機SW03上采取哪些安全配置?

【問題2】（6分）

圖暫缺

（1）請簡要分析故障產生的原因。

（2）為避免同類故障再次發生，請提出部署措施（至少2種）

【問題3】（4分）

展示中心的訪客無線網絡屬于開放性接入環境，接入終端的網絡行為無有效管控措施,可在R4與SWO2之間增設（1）設備，加強對訪客網絡的行為審計及流量管控，不改變現有網絡配置及IP地址規劃，該設備應以（2）工作模式部署。

【問題4】（6分）

日常運維中，網絡工程師可在企業網絡任意位置通過Telnet協議登錄所有網絡設備。當有外來人員協助運維時，經常通過即時通訊工具發送超級管理員賬號、口令、管理地址等信息，直接登錄設備進行維護。請指出該企業網絡在日常運維工作中存在安全隱患，并提出對應的整改措施。（至少回答3點隱患及整改措施）

掃描下圖，真題估分

試題答案：

【問題1】（4分）

（1）租期過長與用戶流動性的矛盾、地址池容量設計不足，可以縮短DHCP租期，擴大DHCP地址池范圍、啟用地址池自動回收與優化，監控與預警。

（2）通常需要在接入交換機SW03上配置DHCPSnooping（DHCP監聽）技術。通過將交換機端口劃分為信任端口和非信任端口，徹底阻斷非法DHCP響應包。將交換機連接上聯匯聚/核心交換機（或合法DHCP服務器）的物理接口設置為trusted（信任端口）。

【問題2】（6分）

觀察故障時R3和R4的路由表：

R3路由表中存在一條靜態路由：192.168.0.0/23，下一跳指向R4（10.10.0.9，GE0/4）。

R4路由表中原本包含去往市場部或業務端的直連路由192.168.0.0/24和192.168.1.0/25。然而，R4同時擁有一條默認靜態路由0.0.0.0/0，下一跳反向指向了R3（10.10.0.10，GE0/4）。

環路形成：當光模塊導致R4的直連網段（如192.168.0.0/24）因接口Down而在路由表中消失時，前往該網段的數據包就會匹配R4的默認路由0.0.0.0/0發回給R3；而R3依然擁有192.168.0.0/23的靜態路由，又將數據包扔給R4。

這種暫時的瞬時路由環路導致數據包在R3和R4之間瘋狂丟包、無限循環直至TTL耗盡。巨大的垃圾流量瞬間擠爆鏈路帶寬，造成網絡明顯的延遲和抖動，并進一步加劇了路由器CPU的處理負荷。

可采取以下技術部署措施：

1、配置黑洞路由（解決路由環路）在R4上配置一條指向NULL0（黑洞接口）的匯總路由：iproute-static192.168.0.023NULL0。

2、建議將R3-R4之間的鏈路改為OSPF模式，動態路由協議具備聯動感知能力。當R4的接口DOWN掉后，OSPF會立即更新LSA，撤銷該網段的路由信息。R3收到更新后，其路由表里去往該網段的路由也會自動消失，數據包在R3側就會被直接丟棄，不會再往R4發送。

3、在R3和R4之間的互聯鏈路上配置BFD聯動靜態路由。一旦檢測到故障，BFD可以快速通知R3撤銷或降低那條指向R4的靜態路由的優先級，從而切斷環路。

【問題3】（4分）

（1）上網行為管理器

（2）透明模式

【問題4】（6分）

1、管理協議不安全，數據明文傳輸

工程師在企業網絡任意位置通過Telnet協議登錄設備。Telnet協議在網絡中是以明文形式傳輸數據的，包括登錄用戶名和密碼。一旦網絡中存在惡意嗅探，攻擊者可以極其輕松地竊聽并獲取超級管理員密碼。

整改措施：全面禁用Telnet服務，強制開啟SSH（建議SSHv2）協議進行遠程管理，確保所有管理流量在傳輸過程中都是加密的。

針對Web管理界面，應禁用不安全的HTTP，全面強制切換為HTTPS。

：第三方敏感信息傳輸泄密風險

安全隱患：通過微信、釘釘等即時通訊工具直接發送超級管理員賬號、密碼和管理IP。這些通訊工具的數據緩存可能留存在公有云服務器、本地終端或移動設備上，面臨信息泄露、截屏流傳或員工離職后數據殘留的風險。

整改措施：建立規范的臨時賬號申請與審批流程。外協人員需要維護時，由內部網絡工程師通過口令管理工具或專用的憑據分發渠道，生成臨時、隨機的高強度密碼。

嚴禁在互聯網即時通訊工具中明文發送“設備IP+賬號+密碼”組合。

3、缺乏統一身份認證與審計

安全隱患：外來人員與內部工程師經常共用一套“超級管理員賬號”，無法做到“責權對應”。一旦設備配置被誤改、惡意破壞或發生安全事件，在日志審計時，無法精確定位到具體的責任人（無法溯源究竟是哪位外協或內部員工的操作）。

整改措施：實行AAA機制（認證、授權、計費），為每位外協人員和內部工程師分配獨立且合規的個人賬號。

引入堡壘機（運維安全審計系統）：外協及內部運維人員不得直接連接網絡設備，必須先登錄堡壘機。由堡壘機進行統一的身份鑒別、訪問控制，并對整個運維過程進行錄像和命令級別的全量審計。

4、管理平面與業務平面未隔離，缺乏邊界訪問控制

安全隱患：工程師可在企業網絡“任意位置”登錄所有設備，意味著管理平面與普通的業務平面（如辦公網、訪客網、生產網）完全混雜。如果某個普通員工的電腦或訪客終端感染了病毒或被黑客控制，黑客就能直接向核心設備的管理端口發起掃描和暴破攻擊。

整改措施：劃分獨立的帶外/帶內管理VLAN，將所有網絡設備的管理接口（如Console口、獨立管理網口或管理VLAN虛接口）從普通業務網絡中隔離出來。

在核心交換機或防火墻上配置嚴格的ACL（訪問控制列表），實行“白名單”機制，僅允許堡壘機IP、運維終端IP以及特定管理網段訪問網絡設備的SSH/HTTPS端口。