2026年11月12日来源：信管网 作者:cnitpm
网络工程师案例分析当天每日一练试题地址：www.cnitpm.com/exam/ExamDayAL.aspx?t1=8
往期网络工程师每日一练试题汇总：www.cnitpm.com/class/27/e8_1.html
网络工程师案例分析每日一练试题（2026/11/11）在线测试：www.cnitpm.com/exam/ExamDayAL.aspx?t1=8&day=2026/11/11
点击查看：更多网络工程师习题与指导
网络工程师案例分析每日一练试题内容（2026/11/11）
试题一（20分）
新校区规划以双栈方式部署IPv6网络，分配的IPv6地址为:240C:DB8:1024::/49。请将1Pv6网络地址规划表补充完整。
（3）网络工程师在配置SSLVPN之前,需要向( )申请证书文件,并将其上传至NGFW-2的指定位置。
信管网试题答案与解析：www.cnitpm.com/exam/ExamDayAL.aspx?t1=8&day=2026/11/11信管网考友试题答案分享：
信管网user************：
# 【问题 1】（3 分）
总前缀：`240ｃ：db8:1024::/49`
- 设备管理：`240ｃ：db8:1024::/64`
- 有线网络：`240ｃ：db8:1024:2000::/51`
/49 前 49 位固定；/51 每段块大小 ＼（2^{（64-51）}=8000＼） 个地址，有线占用一段 `2000::/51`
下一段无线：起始地址 `240ｃ：db8:1024:4000::`，需要容纳 15000 终端，＼（2^{15}=32768＞15000＼），主机位 15，前缀：＼（64-15=49＼）？不对，题干备注：＊＊51~64 位，终端独享＊＊，所以无线网段前缀 ≤51，/50 容量 ＼（2^{14}=16384＼） 满足 15000。
＞
＞ 有线：2000:: ~ 3fff:ffff:ffff:ffff（/51）
＞ 无线起始：`240ｃ：db8:1024:4000::`，结束：`240ｃ：db8:1024:7fff:ffff:ffff:ffff`，前缀 ＊＊50＊＊
（1）＼（＼boldsymbol{240ｃ：db8:1024:4000::-240ｃ：db8:1024:7fff:ffff:ffff:ffff}＼）
（2）＼（＼boldsymbol{50}＼）
＞
＞ 验证：/50，可用 ＼（2^{14}=16384＼），≥15000，满足题干 51~64 位终端独享要求。
---
# 【问题 2】（4 分）ospf 安全策略，trust → local（防火墙本设备）
ospf 协议号：＊＊89＊＊
```
[ngfw-2-policy-security-rule-policy1]
source-zone trust
destination-zone （1）local
source-address （2）10.0.0.0 0.0.0.255（ospf域内互联网段，10.0.0.0/24）
service protocol （3）89
action （4）permit
```
（1）＼（＼boldsymbol{local}＼）
（2）＼（＼boldsymbol{10.0.0.0 0.0.0.255}＼）（ospf 互联网段）
（3）＼（＼boldsymbol{89}＼）
（4）＼（＼boldsymbol{permit}＼）
＞
＞ 考点：防火墙访问自身进程目的区域是 local 区域；ospf 是 ip 协议号 89，不是 tcp/udp 端口。
---
# 【问题 3】（4 分）
### 故障原因
会话表可以看到：`10.21.0.2 →114.114.114.114` 只有出方向报文，回程报文 0；＊＊没有做源 nat（源地址转换）＊＊。
内网私网地址 10.21.0.2 直接发给公网，运营商 61.2.7.1 不识别私网源 ip，丢弃回程报文，ping 不通。
＞
＞ 描述：＊＊该内网访问互联网流量未配置源 nat，内网私网地址无法在公网路由，运营商丢弃回程报文＊＊。
### 解决措施
1. 在 ngfw-2 上配置 nat 地址池（公网地址）；
2. 配置源 nat 策略，匹配 trust→untrust、内网网段，访问互联网时转换源 ip 为公网地址；
3. 放行 trust 到 untrust 的安全策略（题中 policy out-to-internet 已经存在）。
---
# 【问题 4】（3 分）
前后两次`arp -a`，网关`192.168.5.1`对应的 mac 地址发生变化，典型 ＊＊arp 欺骗＊＊
（1）＼（＼boldsymbol{arp欺骗}＼）
（2）＼（＼boldsymbol{接入交换机}＼）
（3）＼（＼boldsymbol{dai（动态arp检测，配合dhcp snooping）}＼）
＞
＞ 补充：也可以写静态 arp，但题干已经说了终端静态绑定；设备侧防御标准答案：dhcp snooping+dai。
---
# 【问题 5】（6 分）
（1）ssl 安全机制：＼（＼boldsymbol{身份认证}＼）、数据保密性（加密）、＼（＼boldsymbol{数据完整性校验}＼）
填空：（）、数据加密、（） → ＼（＼boldsymbol{身份认证}＼）；＼（＼boldsymbol{数据完整性校验}＼）
（2）ssl 加解密原理：
握手阶段，客户端使用＊＊服务器公钥（非对称加密）＊＊加密随机生成的＊＊会话密钥（对称密钥）＊＊发送给服务器；服务器用自己私钥解密得到会话密钥。后续传输业务数据，双方使用这个协商好的＊＊对称密钥＊＊加密 / 解密，保障传输机密性。
＞
＞ 非对称加密：只用来安全传递对称会话密钥；对称加密：用来加密业务数据，速度快。
（3）向 ＊＊ca（证书颁发机构）＊＊ 申请证书。
问题 1
（1） `240ｃ：db8:1024:4000::-240ｃ：db8:1024:7fff:ffff:ffff:ffff`
（2） `50`
问题 2
（1） `local`
（2） `10.0.0.0 0.0.0.255`
（3） `89`
（4） `permit`
问题 3
原因：内网访问互联网流量未配置源 nat，私网源地址无法在公网路由，运营商丢弃回程报文；
措施：在 ngfw-2 配置源 nat，配置 nat 地址池和 nat 策略，对 trust 去往 untrust 的内网流量做源地址转换。
问题 4
（1） arp 欺骗
（2） 接入交换机
（3） dai（动态 arp 检测，搭配 dhcp snooping）
问题 5
（1） 身份认证；数据完整性校验
（2） 握手时客户端用服务器公钥（非对称加密）加密协商出的对称会话密钥发给服务器，服务器私钥解密得到会话密钥；后续业务报文使用该对称密钥加密传输。
（3） ca（证书颁发机构）
信管网user************：
1.240ｃ：db8:1024:4000::-240ｃ：db8:1024:7fff:ffff:ffff:ffff:ffff
2.501.local
2.10.0.0.0 29
3.tcp
4.permit原因：防火墙的g0/0/4接口指向运营商61.2.7.1地址，而内部地址没有被nat转换。
解决措施：配置基于源nat策略1.arp欺骗
2.core-2
3.动态arp检测1.身份认证、数据完整性
2.在握手阶段使用非对称加密算法，如rsa或ecc；
在数据传输阶段使用对称加密算法，如aes
3.ca
信管网张牙舞爪****：
1 local
2 10.0.0.6
3 ospf
4 permit
配置回环地址为10.1.0.10导致
1 arp仿冒
2 防火墙
3 mac地址过滤
身份认证
数据解密
vpn服务器
信管网cnit**************：
（1）untrust （2）10.0.0.6 mask 255.255.255.252 （3）ospf （4）permit防火墙出口没有配置nat（1）arp欺骗 （2）ngfw-2 （3）限流（1）身份验证 消息完整性验证 （2）对称密钥加密消息，非对称密钥加密对称加密 （3）ca
信管网user************：
240ｃ：db8:1024:8000：:
49trust
10.0.0.0 24
ip
active在防火墙上做源地址转换，并做arp
交换机
uffr数字证书，
服务器厂家
温馨提示：因考试政策、内容不断变化与调整，信管网提供的以上信息仅供参考，如有异议，请考生以权威部门公布的内容为准！
网络工程师 
导航
