简介：面向备考软考网络工程师的考生，尤其适合需要攻克下午案例题中华为设备配置与网络规划分析的人群。内容按上午综合知识与下午案例分析两条线整理，上午部分梳理IP地址规划、DNS查询过程与记录类型、以太网标准、光纤网线对比、网络设备原理、IP/TCP/UDP报头、ICMP/VRRP/NAT/ARP/DHCP/SNMP等协议功能、RIP/OSPF/ISIS/BGP、网络安全、Linux与Windows命令、VLAN与802.1Q、综合布线、RAID、香农与奈奎斯特定理、PCM与CRC等高频知识。下午部分强调网络架构理解，梳理路由器、交换机、AC、AP、防火墙、IDS/IPS等设备功能与部署，并归纳华为基础配置、静态/默认/浮动路由、RIP/OSPF/BGP、ACL、DHCP、NAT、MSTP+VRRP、策略路由、防火墙、WLAN与IPSec配置要点，同时覆盖攻击特征、存储与备份策略、MAC/ARP/路由表识读。资源包共1个docx文档，约10KB，便于打印和碎片化复习。已有618人学习，适合用作考前查漏补缺与案例题思路对照。

1. 从一道 12 分的拓扑填空说起：软考网工真正卡人的地方

软考网工下午题第一道大题几乎是固定套路：给一张园区网拓扑，标几个空，问某台设备放在哪、某个接口配什么地址、两个区域之间用什么技术隔开。上午题 75 分选择题，45 分及格；下午题 75 分问答，同样 45 分及格，两科必须同一次都过。很多人上午题能稳定考 50 分以上，下午题却常年 35 分左右，差的不只是知识量，更关键是看图、定位、落笔这条思路没练过。

这篇笔记把软考网工下午题必考的厂商设备案例和上午题知识点总结揉在一起讲：先给分值地图，再讲读图与设备部署，然后把配置命令按六大块拆开，最后落到五类最容易丢分的坑和考场时间分配。适合已经看过一遍教材、需要把分数从“擦边”推到“稳过”的人。

2. 上午题分值地图：18 个考点里哪几个能提前得满分

上午题的题感很重要，但更重要的是先知道分数分布在哪里。把 18 个考点按“分值、稳定度、复习成本”三个维度排一遍，你会发现真正需要反复练的只有五六个模块，剩下的靠一次性记忆就能拿分。下面的表按常见出题权重整理，复习时按性价比从高到低推进，不要从教材第一章顺着读。

2.1 分值分布与性价比排序

这张表最值钱的结论是：IP 地址规划、网络安全、命令、路由协议四块加起来接近 15 分，而且是“练了就有”的硬分；后面那一串 1 分题属于“看过就能选对，没看过只能猜”，性价比同样不低，但不能占用大块时间。

2.2 三张必背清单：端口号、DNS 记录、物理层标准

端口号这一块每年都会出现，而且经常和“协议封装”一起考。题目通常问某个协议工作在传输层的哪个端口、用 TCP 还是 UDP。

把这些协议和封装层次一起记：ICMP 直接封装在 IP 里，协议号 1；OSPF 也是 IP 直接承载，协议号 89；VRRP 协议号 112；IPSec 里 ESP 是 50、AH 是 51、IKE 用 UDP 500。这类“协议号”题一年至少一道。

DNS 六种记录按用途背：

递归查询和迭代查询的区别必须能用一句话说清：递归是“你帮我查到底，最后给我结果”，迭代是“你告诉我下一步该问谁，我自己去问”。客户端到本地 DNS 一般是递归，本地 DNS 向根、顶级、权威服务器一般是迭代。

物理层标准重点在 100M、1000M、10G 三档，考的是介质和最大传输距离：

2.3 计算题四件套：香农、奈奎斯特、PCM、CRC 与海明

这四类题的共同点是：公式背下来就是送分，公式记混就是必错。先把公式列清楚，再看代入方式。

香农定理给出的是“有噪声信道的极限速率”：C = W × log2(1 + S/N)，其中 W 是带宽，S/N 是信噪比。题干如果给的是分贝值，先换算：dB = 10 × log10(S/N)，30 dB 对应 S/N = 1000。

奈奎斯特给出的是“无噪声信道的极限码元速率”：C = 2W × log2(N)，N 是码元的种类数。题目常写“采用 4 种相位”，那 N = 4，log2(4) = 2。

PCM 三步是采样、量化、编码，采样频率必须满足 fs ≥ 2 × fmax。话音最高频率 4 kHz，所以采样频率取 8 kHz，每个样值量化成 8 bit，一路话音速率就是 64 kbps，E1 的 32 个时隙乘起来就是 2.048 Mbps。

CRC 的余数位数等于生成多项式的最高次幂，G(x) = x⁴ + x + 1 就是 4 位余数，被除数是原始数据后面补 4 个 0，做模 2 除法，不进位不借位。海明校验用不等式 2^r ≥ m + r + 1，m 是信息位，r 是校验位，考试通常直接问“至少需要几位校验位”。

# 四个常考计算的最小验证脚本，用来核对手工算出来的答案 import math def shannon(bandwidth_hz, snr_db): snr = 10 ** (snr_db / 10) # 分贝转线性信噪比 return bandwidth_hz * math.log2(1 + snr) def nyquist(bandwidth_hz, symbol_levels): return 2 * bandwidth_hz * math.log2(symbol_levels) # 无噪声极限速率 def pcm_rate(sample_hz, bits_per_sample): return sample_hz * bits_per_sample # 采样率乘量化位数 def hamming_check_bits(info_bits): r = 1 while 2 ** r < info_bits + r + 1: # 2^r >= m + r + 1 r += 1 return r print(shannon(3000, 30)) # 3000 * log2(1001) 约 29.9 kbps print(nyquist(3000, 4)) # 2 * 3000 * 2 = 12000 bps print(pcm_rate(8000, 8)) # 64000 bps print(hamming_check_bits(8)) # 信息位 8 时需要 4 位校验位

这段脚本的作用是把四个公式的代入过程固定下来，考试时手算完可以用它复核。参数含义：bandwidth_hz是带宽，单位赫兹；snr_db是题干给的信噪比分贝值；symbol_levels是码元种类；sample_hz是采样频率；bits_per_sample是量化位数；info_bits是信息位数。需要注意的是，香农算出来的是理论上限，题目若问“实际速率”还要结合调制方式和编码效率。

2.4 真题演练：三道选择题的答题思路

第一类：给一个 IP 段和部门数量，问子网掩码。答题顺序是先确定要划分几个子网，用 2^n ≥ 子网数定借位数，再用 256 减去块大小得到掩码最后一段。别一上来就数主机数，那是另一问。

第二类：给一张端口号和协议的对照，问“哪个描述正确”。这类题的错误选项通常错在传输层协议写反，比如把 TFTP 写成 TCP、把 SNMP 写成 TCP。答题时先扫传输层那一列，能排掉一半选项。

第三类：给一段加密场景，问“发送方用谁的什么密钥”。记住两句话：签名用自己私钥，加密用对方公钥。题目里出现“保证发送方不可抵赖”，答案一定是私钥签名；出现“保证只有接收方能看”，答案一定是接收方公钥加密。

提示：上午题的时间分配建议是 75 题 150 分钟，平均每题 2 分钟，计算题允许到 5 分钟，其余题超过 3 分钟就标记跳过，回头再补。

3. 下午题第一梯队：拓扑读图与设备部署

下午题丢分最集中的地方，不是不会配命令，而是拓扑没读懂就动笔。题目给的图里，出口、核心、接入、服务器区、无线区、安全区是分层的，每一层的设备职责固定，填空的答案基本能从图上位置反推出来。这一章先把读图方法定下来，再把九类设备的落点讲透。

3.1 三步读图法：先看出口，再看分区，最后数设备

第一步看出口。图上标着运营商链路或者互联网云的那一侧就是出口，出口旁边一定是路由器和防火墙，这两个设备的顺序决定了很多空的答案：防火墙在外、路由器在内的，通常是“防火墙做 NAT 和策略，路由器做出口路由”；反过来则是路由器先做 NAT。看图的顺序错了，后面的空全错。

第二步看分区。把图按虚线框切成几块：办公区、服务器区（DMZ）、无线区、运维管理区。每块对应一个 VLAN 段，题目给的地址表里通常已经列了网段，把网段和区域对上，VLAN 编号和网关地址就能填。

第三步数设备。把图上的设备按类型数一遍，看题目要求填几台，缺的那台往往是出题点：比如无线区缺 AC、服务器区缺 FC 交换机、边界缺 IPS。这一步做完，再回头看题干问的是什么。

3.2 九类设备的职责与部署位置

这张表里最容易被考反的是 IDS 和 IPS：IDS 是旁路，只检测告警，不改变流量；IPS 是串联，检测到攻击直接阻断。题目问“不影响业务转发的前提下做检测”，答案就是 IDS。

3.3 存储三种形态与三种备份策略

存储这一块每年都会有一两问，问法很固定：给一个业务场景，问该用 DAS、NAS 还是 SAN。

SAN 再分 IPSAN 和 FCSAN：IPSAN 走以太网和 iSCSI，成本低、距离远、运维简单；FCSAN 走光纤通道，低延迟高带宽，但需要 FC 交换机和 HBA 卡，成本高。题目里出现“高性能数据库、低延迟”，选 FCSAN；出现“预算有限、利用现有以太网”，选 IPSAN。

备份策略三种：完全备份每次都备全量；增量备份备的是“上次备份之后变化的数据”；差异备份备的是“上次完全备份之后变化的数据”。恢复时，完全加增量需要按顺序把全部增量都恢复一遍，完全加差异只需要恢复最后一次差异。问“恢复最快”选差异，问“备份数据量最小”选增量。

3.4 真题演练：一道 15 分拓扑题的填空思路

题干通常长这样：某园区网拓扑如图，要求实现有线无线一体化、内外网隔离、服务器区对外发布、核心双机热备，请完成设备选型与地址规划。

第一问设备选型：出口给防火墙，核心给两台三层交换机，无线区给 AC 加若干 AP，服务器区给 FC 交换机接存储。答题时写设备名加一句职责，比如“核心层部署两台三层交换机，承担 VLAN 间路由与网关冗余”。

第二问地址规划：先把题目给的网段按区域分，办公区用 /24，服务器区用 /24，互联地址用 /30。互联地址用 /30 是固定套路，因为只需两个可用地址，写成 /24 会被扣分。

第三问冗余方案：核心双机用 MSTP 加 VRRP，MSTP 负责二层防环和负载分担，VRRP 负责网关冗余。答题模板是“两台核心运行 MSTP，不同 VLAN 的根桥分别指定，配合 VRRP 主备，实现链路与网关双重冗余”。

第四问对外发布：服务器区对外用 NAT 的地址池或者 NAT Server，防火墙做安全策略放行指定端口。这里要注意方向，从外到内是入方向策略，从内到外是出方向策略，写反了直接零分。

4. 配置命令主线：六大配置块逐块拆

下午题的配置填空分值高、判分严，写错一个关键字就不得分。这一章按考试的出题顺序把配置分成六块，每块给一段最小可用配置，再逐行讲清楚为什么这么写。命令风格是主流厂商的通用写法，考试时按题干给的模板抄格式，别自创。

4.1 开局三行：系统视图、设备命名、接口地址

system-view # 进入系统视图，后面所有全局配置都在这一层 sysname R1 # 设备命名，拓扑题里名字写错等于白写 interface GigabitEthernet0/0/1 # 进入上行接口 ip address 10.1.1.1 255.255.255.252 # 互联地址用 /30，只有两个可用地址 quit

这三行的考点在细节：system-view是从用户视图进系统视图，题目如果从<R1>开始问，第一空就是这个；sysname后面跟的是设备名，题干给什么就写什么；互联地址的掩码必须是 /30 对应的 255.255.255.252，写成 255.255.255.0 会连带后面路由汇总一起错。接口编号也不能改，题目给 GigabitEthernet0/0/1 就照抄，改成 GE0/0/1 有可能判错。

4.2 路由三件套：静态、默认、浮动，再加 OSPF

ip route-static 0.0.0.0 0.0.0.0 10.1.1.2 # 默认路由，指向出口 ip route-static 192.168.20.0 255.255.255.0 10.1.1.2 preference 60 # 浮动路由，优先级数值变大即变备用 ospf 1 router-id 1.1.1.1 # 启动 OSPF 进程并指定 Router ID area 0.0.0.0 # 骨干区域，必须存在 network 10.1.1.0 0.0.0.3 # 这里跟的是反掩码，不是子网掩码 network 192.168.10.0 0.0.0.255

浮动路由的原理是“优先级数值越大越不优”，主路由默认优先级 60，备用写成 80 或 100，主链路断了备用才生效。题目常问“如何实现链路备份”，答“配置浮动静态路由，备用路由的优先级数值大于主路由”。

OSPF 这里有两个高频坑：network后面是反掩码，/30 网段对应 0.0.0.3；router-id必须唯一，通常用环回口地址。题目问“OSPF 如何减少路由震荡”，答“配置 BFD 联动，快速检测链路故障”。

RIP、ISIS、BGP 的考点更多在概念：RIP 最大跳数 15，16 表示不可达，用 UDP 520；ISIS 是链路状态，收敛快；BGP 是路径矢量，跑在 TCP 179 上，用于自治系统之间。这些概念题在下午题里常以“为什么选 BGP”的形式出现，答“跨自治系统、策略丰富、转发平面与控制平面分离”。

4.3 功能类协议：ACL、DHCP、NAT

acl number 3000 # 3000 段是高级 ACL，可按源目地址和端口匹配 rule 5 permit ip source 192.168.10.0 0.0.0.255 destination 192.168.20.0 0.0.0.255 rule 10 deny ip # 末尾显式拒绝，避免默认放行 quit dhcp enable # 全局开启 DHCP 服务 ip pool vlan10 network 192.168.10.0 mask 255.255.255.0 gateway-list 192.168.10.254 dns-list 10.1.1.10 # 指向内部 DNS 服务器地址 excluded-ip-address 192.168.10.1 192.168.10.10 # 排除网关和服务器等固定地址 quit interface GigabitEthernet0/0/0 nat outbound 3000 # 出方向做源地址转换，绑定 ACL

ACL 的考点在编号区间和匹配顺序：基本 ACL 是 2000 段，只匹配源地址；高级 ACL 是 3000 段，可匹配源目地址、协议和端口。规则从上往下匹配，命中即停，所以rule 5一定是最精确的那条。题目问“为什么末尾要加拒绝”，答“默认动作是放行，显式拒绝可防止未匹配流量被误放行”。

DHCP 的考点在三个参数：地址池网段、网关、DNS，还有一个必考项是排除地址，网关和服务器必须排除，否则会地址冲突。题目问“客户端获取不到地址怎么排查”，答题顺序是链路、接口是否加入 VLAN、地址池是否耗尽、DHCP 是否使能。

NAT 分三种：静态 NAT 一对一，动态 NAT 多对多，NAPT 多对一，另外还有 NAT Server 做端口映射对外发布服务器。题目里出现“内网多台主机共享一个公网地址”，答案是 NAPT。

4.4 高可用：MSTP 加 VRRP，再挂 BFD

stp region-configuration region-name HQ instance 1 vlan 10 # 实例与 VLAN 绑定，实现按 VLAN 负载分担 active region-configuration quit interface Vlanif10 ip address 192.168.10.252 255.255.255.0 vrrp vrid 10 virtual-ip 192.168.10.254 # 虚拟网关地址，终端网关指向它 vrrp vrid 10 priority 120 # 主网关优先级调高，备机保持默认 100 vrrp vrid 10 preempt-mode timer delay 20 # 抢占延时，避免链路抖动导致主备反复切换

这一段是下午题的高频原题。MSTP 解决二层环路并提供多实例负载分担，VRRP 解决网关单点故障。答题模板是“两台核心配置 MSTP 多实例，VLAN 10 的根桥在核心 A，VLAN 20 的根桥在核心 B；VRRP 中 VLAN 10 由核心 A 做主，VLAN 20 由核心 B 做主，实现网关冗余与流量负载分担”。

BFD 联动的写法是给静态路由挂上会话：

bfd ip route-static 192.168.20.0 255.255.255.0 10.1.1.2 track bfd-session 1

参数说明：track bfd-session后面跟会话编号，链路故障时 BFD 在毫秒级感知，路由立即切换到备用。题目问“为什么不用路由协议自带的 Hello 检测”，答“Hello 周期通常是秒级，BFD 是毫秒级，收敛更快”。

4.5 安全：防火墙区域划分与 IPSec 关键参数

security-zone name trust add interface GigabitEthernet1/0/1 # 内网接口加入信任区域 security-zone name untrust add interface GigabitEthernet1/0/2 # 外网接口加入非信任区域 security-policy rule name allow_lan_to_wan source-zone trust destination-zone untrust action permit # 内到外放行，外到内默认拒绝

防火墙的考点集中在三处：区域划分、策略方向、NAT 位置。策略方向是从源区域到目的区域，写反了就不生效。题目问“外网访问内网服务器怎么做”，答案是在非信任到信任方向放行指定端口，同时配置 NAT Server 做地址映射。

IPSec 这块下午题一般只考参数含义：IKE 阶段一协商管理连接，阶段二协商数据连接；ESP 提供加密和完整性，AH 只提供完整性不加密；传输模式用于主机到主机，隧道模式用于网关到网关。题目问“用什么保证数据机密性”，答 ESP 加密算法。

4.6 配置填空题的答题顺序

拿到配置题先别看空，从头读一遍题干，判断这道题考的是“基础配置、路由、功能、冗余、安全”里的哪一块，再从对应的模板里找。填的时候先写关键字再写参数，比如先写vrrp vrid，再补编号和虚拟 IP，这样即使参数算错，关键字分还在。

注意：配置题的接口名、VLAN 号、IP 地址必须和拓扑图、地址表严格一致，自拟参数一律不得分。

5. 失分点：五类一错就掉整题的坑

有些错误属于“以为自己对”，结果整道题连带后面的小问一起崩。下面这五条是从错题里反复出现的类型，每一条都按“错在哪、为什么错、怎么答对”拆开写。

5.1 子网划分只算主机数，不管可用地址

错在哪：题目要给 60 台主机分配地址，直接选了 /26，因为 2^6 = 64。看起来够用，但 /26 的可用地址是 62 个，扣掉网关只剩 61 个，勉强够，一旦题目再多两台就翻车。更常见的是把网络地址和广播地址算进可用地址里。

为什么错：习惯用 2^n 直接当可用数，忘了减 2。真正的可用主机数是 2^主机位 − 2。

怎么答对：先算需求，主机数加 1（网关）再加冗余，找最小的满足条件的块。60 台主机需要 62 个地址，选 /26；要留扩展余量就选 /25。答题时把“可用地址数 = 2^主机位 − 2”这句话写出来，判分点就拿到了。

5.2 递归与迭代查询答反

错在哪：题目问“本地域名服务器向根域名服务器发起的是什么查询”，答成递归。或者把客户端到本地 DNS 说成迭代。

为什么错：两个概念都以“谁在干活”为核心，但记忆时只记了名字没记主体。递归是“受托方替你跑完全程”，迭代是“对方只给你下一站地址”。

怎么答对：抓住一句话，客户端对本地 DNS 是递归（我要最终答案），本地 DNS 对上级是迭代（你告诉我问谁）。答题时把主机角色写清楚，比如“主机向本地域名服务器发起递归查询，本地域名服务器依次向根、顶级、权威服务器发起迭代查询”。

5.3 数字签名和加密的密钥方向搞混

错在哪：题目问“A 向 B 发送一份保证完整性和不可抵赖的文件”，答成“用 B 的公钥加密”。这样确实只有 B 能看，但保证不了不可抵赖。

为什么错：把“机密性”和“身份认证”混成一件事。加密解决的是别人看不到，签名解决的是别人赖不掉。

怎么答对：记住两组固定搭配。签名：发送方用自己私钥签名，接收方用发送方公钥验签。加密：发送方用接收方公钥加密，接收方用自己私钥解密。题目里只要出现“不可抵赖、身份认证、完整性”，就往签名方向答；出现“机密性、只有对方能看”，就往加密方向答。

5.4 配置题漏写掩码或写错反掩码

错在哪：ip address 192.168.10.254后面忘了写掩码；或者 OSPF 的network 192.168.10.0 255.255.255.0把反掩码写成了正掩码。

为什么错：平时练习时习惯用简写，考试时按简写写就丢分。反掩码和子网掩码长得像，紧张时容易顺手写错。

怎么答对：写完配置回头扫一遍，凡是出现 IP 的地方都要跟掩码，凡是 OSPF 的 network 都要检查是不是反掩码。反掩码的换算是 255.255.255.255 减去子网掩码，/24 对应 0.0.0.255，/30 对应 0.0.0.3。

5.5 把 RAID 当备份，把备份策略混成一锅

错在哪：题目问“如何防止数据丢失”，答“配置 RAID5”。RAID 只能防硬盘故障，防不了误删除、病毒和整机损坏。

为什么错：两者都和数据冗余有关，但层级不同。RAID 是存储层的可用性手段，备份是数据层的恢复手段。

怎么答对：答题时把两层分开写，“存储层用 RAID5 保证单盘故障时业务不中断，数据层用完全备份加差异备份保证误删后可恢复”。再补一句恢复顺序：先恢复最近一次完全备份，再恢复最后一次差异备份。

6. 考场时间分配与押题：下午题 90 分钟怎么切

下午题 90 分钟做 4 到 5 道大题，最容易出现的情况是前两道题磨太久，最后一道存储或安全题只剩 10 分钟，白白丢掉 15 分。我习惯按“先扫一遍、再定顺序、最后回头补”的方式切时间：

押题方向上，有三条判断可以拿去用。第一条，拓扑题必考设备选型和冗余方案，MSTP 加 VRRP 的组合已经连续多年出现，把这段配置和答题模板背到能默写。第二条，安全题必考“攻击特征加解决思路”，端口扫描对应 ACL 和 IPS，SYN Flood 对应半连接队列和源认证，ARP 欺骗对应静态绑定和防护功能，答题时按“现象—原理—处置”三段写。第三条，存储题必考 DAS、NAS、SAN 的选型和备份策略，记住“文件级选 NAS、块级高性能选 SAN、预算有限选 IPSAN”这三句就够应付大部分问法。

还有一个细节值得单独说：三道表要看得懂。MAC 地址表用来定位终端接在哪个端口，ARP 表用来确认 IP 与 MAC 的对应关系，路由表用来判断下一跳和出接口。题目给一张表问“PC 发包走哪个接口”，答题顺序是先查路由表定出接口，再查 ARP 表定下一跳 MAC，最后查 MAC 表定物理端口。这个顺序写出来，判分点基本就齐了。

从那以后我每次进考场前都会强制走一遍这套流程：先默写端口表和四张公式，再默一遍 MSTP 加 VRRP 的配置模板，最后把“签名用私钥、加密用公钥”念三遍。这三件事花不了十分钟，但能挡掉大部分因为手生和紧张造成的失分。希望帮到你。

本文还有配套的精品资源，点击获取