29 道IOS 命令行：查看与配置练习题及答案

1. 1. 在一台三层交换机上，工程师希望查看按接口逐行列出的摘要，其中包含每个接口的IPv4地址以及Status和Protocol两列。哪条命令能显示这一摘要？

   • A.show ip interface brief✓ 答案
   • B.show interfaces description
   • C.show ip interface
   • D.show interfaces status

   show ip interface brief 为每个接口输出一行，包含IP地址、获取方式以及Status（第1层）和Protocol（第2层）两列。show interfaces status 是交换机端口摘要，列出名称、状态、VLAN、双工、速率和类型，但没有IP地址。show interfaces description 列出状态、协议和描述文字，同样没有地址。show ip interface 则为每个接口给出很长的详细报告（访问控制列表、中继地址等），并非单行摘要。

   编号 QB-T9WJ9Q依据： Cisco IOS IP Addressing Services Command Reference — show ip interface (brief keyword); Cisco Catalyst command reference — show interfaces status报告此题的问题

2. 2. 在接入交换机SW2上，PC-A（MAC地址0050.7966.6801）本应连接到VLAN 10中的Fa0/5端口。Gi0/1是SW2通往汇聚交换机的上行中继链路。MAC地址表显示： Vlan Mac Address Type Ports 10 0050.7966.6801 DYNAMIC Gi0/1 这条表项说明了什么？

   • A.该MAC的帧最近从Gi0/1进入，说明此PC的流量经上行链路到达SW2✓ 答案
   • B.SW2会从Fa0/5转发发往PC-A的帧，因为端口列记录的是帧最后发出的位置
   • C.这是管理员在Gi0/1上手工配置的条目，因为DYNAMIC表示手动添加的MAC
   • D.该MAC实际在Fa0/5上学到，表中显示上行口是因为中继口拥有所有学习条目

   交换机通过记录某个源MAC地址最近一次出现的端口来学习，DYNAMIC表示该条目是从流量中学到的（手工配置的条目显示为STATIC）。因此PC-A的MAC出现在Gi0/1上，说明以该MAC为源的帧正从上行链路进入SW2，这意味着该PC可能接在别处、存在环路或MAC地址重复。中继端口不会接管接入端口学到的条目；端口列表示SW2将把发往该MAC的帧从哪里转发出去，所以SW2会从Gi0/1而不是Fa0/5发送给PC-A的流量。

   编号 QB-ASQDPP依据： Cisco Catalyst switch command reference — show mac address-table (DYNAMIC vs STATIC entries, learned port)报告此题的问题

3. 3. 在路由器R1上，IPv6接口摘要显示： GigabitEthernet0/0 [up/up] FE80::C4A:7BFF:FE11:2233 2001:DB8:10::1 GigabitEthernet0/1 [up/up] FE80::C4A:7BFF:FE11:2234 这段输出说明GigabitEthernet0/1处于什么情况？

   • A.它有通过DHCPv6获得的地址，但简要视图会隐藏服务器分配的地址
   • B.它用SLAAC生成了全局地址，FE80::那行是从路由器通告学到的前缀
   • C.该接口已启用IPv6，但只有链路本地地址，没有全局单播地址✓ 答案
   • D.该接口未启用IPv6，FE80::只是无IPv6配置接口显示的占位符

   show ipv6 interface brief 会列出每个接口上的全部IPv6地址。Gi0/0同时显示FE80::链路本地地址和2001:DB8全局单播地址，而Gi0/1只显示FE80::，这正是执行 ipv6 enable 后、或尚未配置或学到全局地址时接口的状态。简要视图会列出所有地址，包括通过DHCPv6或SLAAC获得的地址；未启用IPv6的接口显示unassigned，而不是FE80::行；FE80::是接口自身的链路本地地址，不是路由器通告中的前缀。

   编号 QB-S9J84P依据： Cisco IOS IPv6 Command Reference — show ipv6 interface (brief); IPv6 Addressing and Basic Connectivity Configuration Guide — link-local addresses报告此题的问题

4. 4. 在一台汇聚交换机上，工程师需要一份摘要，列出每个正在运行的中继端口及其封装、本征VLAN、允许的VLAN，以及允许、活动且处于转发状态的VLAN。哪条命令能提供这些信息？

   • A.show vtp status
   • B.show vlan brief
   • C.show interfaces trunk✓ 答案
   • D.show spanning-tree

   show interfaces trunk 只列出正在运行的中继端口，显示其模式、封装、状态和本征VLAN，随后列出允许的VLAN、允许且活动的VLAN，以及处于生成树转发状态且未被修剪的VLAN。show vlan brief 列出各VLAN及其接入端口，不包括中继端口。show spanning-tree 显示每个VLAN的生成树端口角色和状态，show vtp status 显示VTP模式、域名和修订号。

   编号 QB-DSSD7T依据： Cisco Catalyst switch command reference — show interfaces trunk; VLAN configuration guide — verifying trunk ports报告此题的问题

5. 5. 交换机ASW1显示VLAN 10的生成树输出如下： Root ID Priority 24586 Address 0019.aaaa.0001 Bridge ID Priority 32778 Address 0019.bbbb.0002 Interface Role Sts Cost Gi0/1 Root FWD 4 Gi0/2 Altn BLK 4 Fa0/5 Desg FWD 19 关于ASW1在VLAN 10中的情况，哪种说法正确？

   • A.ASW1是根桥，因为它的网桥ID优先级数值高于根ID中的优先级
   • B.ASW1不是根桥；Gi0/2是通往根桥的替代路径，被阻塞以防环路✓ 答案
   • C.ASW1不是根桥；Fa0/5是其通往根桥的路径，因为Desg表示根端口
   • D.ASW1是根桥；Gi0/2显示BLK是因为BPDU防护已将其错误禁用

   根ID（优先级24586，MAC 0019.aaaa.0001）与ASW1自身的网桥ID不同，因此ASW1不是根桥；若是根桥，输出会显示This bridge is the root。Gi0/1为Root FWD，是ASW1的根端口；Gi0/2为Altn BLK，是替代端口，即通往根桥的第二条路径，被保持在阻塞状态以免形成环路。BPDU防护触发后端口会显示为err-disabled，而不是Altn BLK；Desg表示指定端口而非根端口；根桥选举中优先级数值越小越优，所以32778输给24586。

   编号 QB-V9M8MS依据： Cisco Catalyst Layer 2 configuration guide — Configuring STP/Rapid PVST+ (port roles, bridge ID); command reference — show spanning-tree报告此题的问题

6. 6. 在交换机SW1上，以太通道摘要显示如下一行（未显示标志说明）： Group Port-channel Protocol Ports 1 Po1(SU) LACP Gi0/1(P) Gi0/2(D) 这段输出说明了什么？

   • A.Po1是正在使用的三层捆绑；Gi0/1已捆绑，Gi0/2作为热备用链路等待
   • B.Po1是正在使用的二层捆绑；Gi0/1已捆绑，Gi0/2已关闭不承载流量✓ 答案
   • C.Po1是正在使用的二层捆绑；Gi0/2是活动成员，因为D表示指定端口
   • D.Po1是已被挂起的捆绑；S表示挂起，U表示目前尚无任何成员端口在使用

   在 show etherchannel summary 中，S表示二层，U表示正在使用，所以Po1(SU)是一个正常工作的二层端口通道。Gi0/1上的P表示已捆绑进端口通道，Gi0/2上的D表示该成员处于关闭状态，因此目前所有流量都走Gi0/1。三层捆绑会显示R，热备用成员显示H，被挂起的成员显示小写s，而D始终表示关闭，不表示指定端口。

   编号 QB-CSE32S依据： Cisco Catalyst Layer 2 configuration guide — Configuring EtherChannels; command reference — show etherchannel summary (flags)报告此题的问题

7. 7. 路由器R3位于OSPF区域1，其路由表中有这样一行： O IA 172.16.30.0/24 [110/65] via 10.0.13.1, 00:04:12, GigabitEthernet0/1 代码O IA说明了这条路由的什么情况？

   • A.OSPF在区域1内学到，来自与R3同区域的路由器
   • B.OSPF在有类网络边界处自动汇总生成该路由
   • C.OSPF从其他路由协议重分发引入，属于外部路由
   • D.OSPF从其他区域学到，经由区域边界路由器传来✓ 答案

   在 show ip route 中，O IA 表示OSPF区域间路由：该前缀属于其他区域，由区域边界路由器通告进区域1。单独的O表示来自R3所在区域的区域内路由，O E1或O E2表示从其他来源重分发进OSPF的外部路由，而OSPF不会在有类边界处自动汇总。[110/65]分别是OSPF的管理距离和该路由的开销。

   编号 QB-U99WER依据： Cisco IOS IP Routing: OSPF Command Reference and IP Routing command reference — show ip route (route source codes O, IA, E1, E2)报告此题的问题

8. 8. 工程师希望通过一次显示同时看到OSPF路由器ID、OSPF正在为其路由的网络，以及被动接口列表。哪条命令能显示这三项？

   • A.show ip ospf neighbor
   • B.show ip route ospf
   • C.show ip ospf interface brief
   • D.show ip protocols✓ 答案

   show ip protocols 汇总每个正在运行的路由进程：对于OSPF，它会显示路由器ID、Routing for Networks 网络语句、Passive Interface(s) 被动接口列表、路由信息来源和管理距离。show ip ospf neighbor 列出邻接关系，show ip route ospf 只列出通过OSPF学到的路由，show ip ospf interface brief 列出每个OSPF接口的区域、地址、开销和状态，但不显示路由器ID或被动接口列表。

   编号 QB-7SND6K依据： Cisco IOS IP Routing: Protocol-Independent Command Reference — show ip protocols报告此题的问题

9. 9. 工程师需要一份按邻居逐行列出的清单，显示每个OSPF邻居的路由器ID、邻接状态（例如FULL/DR或2WAY/DROTHER）、地址以及在哪个本地接口上学到。哪条命令能提供这份清单？

   • A.show ip route ospf
   • B.show ip ospf neighbor✓ 答案
   • C.show ip ospf interface
   • D.show ip ospf database

   show ip ospf neighbor 为每个邻居输出一行，包括邻居ID（即其路由器ID）、优先级、状态与DR角色、死亡时间、邻居地址和本地接口。show ip ospf database 列出链路状态数据库中的LSA，show ip ospf interface 给出每个接口的开销、网络类型、计时器和DR/BDR等细节，show ip route ospf 列出已装入路由表的OSPF路由。

   编号 QB-P9G8KJ依据： Cisco IOS IP Routing: OSPF Command Reference — show ip ospf neighbor报告此题的问题

10. 10. 路由器DS2显示如下HSRP摘要： Interface Grp Pri P State Active Standby Virtual IP Vl10 10 90 P Standby 10.10.10.3 local 10.10.10.1 哪种说法正确？

    • A.DS2是备用路由器；P标志表示该HSRP组在本路由器上已经禁用了抢占功能
    • B.DS2是备用路由器；当前由10.10.10.3转发网关10.10.10.1的流量✓ 答案
    • C.DS2是活动路由器；10.10.10.3是DS2发生故障时负责接管的备用路由器
    • D.DS2是备用路由器；所有主机都必须把10.10.10.3设为自己的默认网关

    在 show standby brief 中，State为Standby表示本路由器（DS2）是备用路由器，Active列给出活动路由器的真实地址（10.10.10.3），Standby列中的local指DS2自己。活动路由器负责响应虚拟IP 10.10.10.1，主机应把这个虚拟地址而不是10.10.10.3设为默认网关。P列表示DS2上已配置抢占，而不是禁用。

    编号 QB-NPUERA依据： Cisco IOS First Hop Redundancy Protocols Command Reference — show standby (brief); FHRP Configuration Guide — Configuring HSRP报告此题的问题

11. 11. 在一台执行PAT的边缘路由器上，工程师希望查看每一条当前映射，即内部主机的内部本地地址和端口与其内部全局地址和端口之间的对应关系。哪条命令能显示这些映射？

    • A.show ip interface
    • B.show ip nat statistics
    • C.show access-lists
    • D.show ip nat translations✓ 答案

    show ip nat translations 列出每一条活动条目，包括协议以及Inside global、Inside local、Outside local和Outside global地址与端口。show ip nat statistics 给出汇总数据（活动转换数、命中和未命中次数、内外接口、地址池使用情况），但不列出单条映射。show access-lists 显示决定哪些流量被转换的访问控制列表及其匹配计数，show ip interface 显示每个接口的IP设置，包括NAT是在内部还是外部启用。

    编号 QB-672MBB依据： Cisco IOS IP Addressing Services Command Reference — show ip nat translations; IP Addressing: NAT Configuration Guide报告此题的问题

12. 12. 一台路由器正在为两个用户子网充当DHCP服务器。工程师需要列出该路由器已租出的每个IPv4地址，以及客户端的硬件地址或客户端ID和租期到期时间。哪条命令能显示这些信息？

    • A.show ip arp
    • B.show ip dhcp binding✓ 答案
    • C.show ip interface
    • D.show ip dhcp pool

    show ip dhcp binding 列出IOS DHCP服务器分配出去的每一个租约：IP地址、客户端ID或硬件地址、租期到期时间和绑定类型。show ip dhcp pool 显示每个地址池的子网、地址范围和已租出数量，而不是单个客户端。show ip arp 显示通过ARP学到的IP与MAC对应关系，不论地址是否由DHCP分配；show ip interface 显示中继地址等接口设置。

    编号 QB-MPG4K9依据： Cisco IOS IP Addressing Services Command Reference — show ip dhcp binding; DHCP Configuration Guide — Configuring the Cisco IOS DHCP Server报告此题的问题

13. 13. 一台接入交换机针对Fa0/7端口显示如下内容： Port Security : Enabled Port Status : Secure-shutdown Violation Mode : Shutdown Maximum MAC Addresses : 1 Total MAC Addresses : 1 Security Violation Count : 1 Last Source Address:Vlan : 0011.2233.4455:10 哪种说法描述了Fa0/7的状态？

    • A.管理员用命令手动关闭了该端口，违规计数器记录的是一次人工关闭事件
    • B.端口仍为已学到的MAC正常转发，只丢弃来自0011.2233.4455的帧
    • C.端口在等待0011.2233.4455被学为粘滞地址，之后才转发流量
    • D.0011.2233.4455的帧超出1个MAC上限，端口已被错误禁用✓ 答案

    当处于shutdown模式（默认模式）的违规使端口进入错误禁用状态时，show port-security interface 会显示Port Status为Secure-shutdown。最大地址数为1且已被占用，来自第二个源的帧（记录为最后源地址0011.2233.4455）使违规计数变为1并关闭了端口，在恢复之前该端口不转发任何流量。为已学MAC继续转发而只丢弃入侵者是protect或restrict模式的行为；手动关闭不会增加违规计数；粘滞学习也不会让端口保持关闭。

    编号 QB-57P96A依据： Cisco Catalyst security configuration guide — Configuring Port Security (violation modes); command reference — show port-security interface报告此题的问题

14. 14. 路由器R2应在GigabitEthernet0/1上用一个IPv4访问控制列表过滤流量。哪条命令能最直接地确认该接口上应用了哪个访问控制列表以及应用方向？

    • A.show interfaces g0/1
    • B.show ip interface brief
    • C.show ip interface g0/1✓ 答案
    • D.show access-lists

    针对具体接口执行 show ip interface 会输出 Outgoing access list is ... 和 Inbound access list is ... 两行，分别给出出方向和入方向所应用的访问控制列表（未应用则为not set）。show access-lists 显示各访问控制列表的条目、序列号和匹配计数，但不显示由哪个接口使用。show interfaces g0/1 报告第1层和第2层状态及计数器，show ip interface brief 只显示地址及Status和Protocol。

    编号 QB-KP5SD8依据： Cisco IOS IP Addressing Services Command Reference — show ip interface; Security Configuration Guide: Access Control Lists — verifying ACL application报告此题的问题

15. 15. 在多次修改之后，技术员希望查看保存在NVRAM中、交换机下次重启时将加载的配置，以便与当前运行的配置进行比较。哪条命令能显示这份已保存的配置？

    • A.show startup-config✓ 答案
    • B.show flash:
    • C.show running-config
    • D.show version

    show startup-config 显示保存在NVRAM中、启动时加载的配置，因此尚未用 copy running-config startup-config 保存的修改不会出现在其中。show running-config 显示RAM中当前生效的配置，包括未保存的修改。show version 报告软件版本、运行时间、映像文件和配置寄存器，show flash: 列出存储在闪存中的文件。

    编号 QB-47BXY8依据： Cisco IOS Configuration Fundamentals Command Reference — show startup-config, show running-config; Managing Configuration Files configuration guide报告此题的问题

16. 16. 在路由器 R1 上，接口 GigabitEthernet0/0 是其所在网段上唯一的 IPv6 路由器。工程师需要在 R1(config-if)# 下为它配置一个属于 2001:db8:acad:1::/64 的全局单播地址，且接口标识符要由该接口的 MAC 地址生成。哪条命令能做到这一点？

    • A.ipv6 address 2001:db8:acad:1::/64 anycast
    • B.ipv6 address 2001:db8:acad:1::/64 eui-64✓ 答案
    • C.ipv6 address autoconfig default
    • D.ipv6 address 2001:db8:acad:1::1/64

    eui-64 关键字使用所配置的 /64 前缀，并由接口 MAC 地址生成低 64 位：把 MAC 拆成两半、插入 FFFE 并翻转第 7 位。::1/64 形式设置的是人工指定的接口标识符，与 MAC 无关。autoconfig default 形式让接口从其他路由器的路由器通告中学习前缀并安装默认路由，但该网段上没有其他路由器。anycast 关键字把地址标记为任播地址，并按输入原样使用，不会由 MAC 生成接口标识符。

    编号 QB-JPSE87依据： Cisco IOS IPv6 Command Reference, ipv6 address eui-64; Cisco IPv6 Addressing and Basic Connectivity Configuration Guide (modified EUI-64 interface identifiers)报告此题的问题

17. 17. 路由器 R2 的 GigabitEthernet0/1 必须使用子网 198.51.100.64/27 中第一个可用的主机地址。在 R2(config-if)# 下输入哪条命令能正确配置该接口？

    • A.ip address 198.51.100.65 0.0.0.31
    • B.ip address 198.51.100.65 255.255.255.240
    • C.ip address 198.51.100.65 255.255.255.224✓ 答案
    • D.ip address 198.51.100.64 255.255.255.224

    /27 掩码即 255.255.255.224，每块 32 个地址，因此该子网从网络地址 .64 到广播地址 .95，第一个可用主机地址是 .65。用 .64 加 /27 掩码等于把网络地址本身配给接口，IOS 会以掩码错误拒绝。用 .65 加 255.255.255.240 虽然会被接受，却把接口放进 198.51.100.64/28（主机 .65 至 .78），子网错误。0.0.0.31 是通配符掩码；ip address 命令要求点分十进制子网掩码，会拒绝它。

    编号 QB-37YKT7依据： Cisco IOS IP Addressing Services Command Reference, ip address; RFC 950 (Internet Standard Subnetting Procedure)报告此题的问题

18. 18. 交换机 DSW1 的中继端口 Gi0/24 目前允许 VLAN 10、20、30 和 40 通过。现在要让 VLAN 30 不再经过这条中继，同时 VLAN 10、20 和 40 仍然允许，且不得向允许列表添加其他 VLAN。在 DSW1(config-if)# 下输入哪条命令能做到？

    • A.switchport trunk allowed vlan except 30
    • B.switchport trunk allowed vlan 30
    • C.switchport trunk allowed vlan add 30
    • D.switchport trunk allowed vlan remove 30✓ 答案

    remove 关键字只从当前允许列表中删除所列的 VLAN，10、20 和 40 保持不变。不带关键字时，该命令会替换整个列表，结果只允许 VLAN 30。except 关键字允许 1 到 4094 中除 30 以外的所有 VLAN，会把许多原本不在列表中的 VLAN 重新放行。add 关键字把 VLAN 30 追加到列表中；它本来就在列表里，所以没有任何变化。

    编号 QB-HPE436依据： Cisco Catalyst switch command reference, switchport trunk allowed vlan (add, all, except, none, remove keywords)报告此题的问题

19. 19. 在路由器 BR1 上，工程师在全局配置模式下做了修改，这些修改必须在下次重新加载后仍然有效。在 BR1# 下输入哪条命令能保存它们，使路由器启动时加载这些配置？

    • A.copy running-config startup-config✓ 答案
    • B.copy startup-config running-config
    • C.copy running-config flash:
    • D.copy running-config tftp:

    运行配置保存在 RAM 中，重新加载后会丢失；而 NVRAM 中的启动配置才是路由器启动时读取的内容，因此必须把运行配置复制到 startup-config（等同于 write memory）。把 startup-config 复制到 running-config 方向相反：它把已保存的文件合并进当前配置，什么也没有保存。复制到 tftp: 是把备份发送到远程服务器，路由器启动时不会读取它。复制到 flash: 是在闪存中另写一个文件，它不是路由器加载的启动配置。

    编号 QB-27M9N6依据： Cisco IOS Configuration Fundamentals Command Reference, copy running-config startup-config; Managing Configuration Files configuration guide报告此题的问题

20. 20. 路由器 R3 上有一条使用默认设置的路由 ip route 172.16.0.0 255.255.0.0 10.0.0.2。经由 10.0.0.6 的备份路径只能在经由 10.0.0.2 的路由丢失时才被使用。在全局配置模式下输入哪条命令能添加这条备份路由？

    • A.ip route 172.16.0.0 255.255.0.0 10.0.0.6 tag 5
    • B.ip route 172.16.0.0 255.255.0.0 10.0.0.2 5
    • C.ip route 172.16.0.0 255.255.0.0 10.0.0.6
    • D.ip route 172.16.0.0 255.255.0.0 10.0.0.6 5✓ 答案

    ip route 末尾单独的数字设置管理距离；静态路由默认是 1，所以管理距离为 5 的备份路由优先级较低，在主路由被移除之前不会进入路由表，这就是浮动静态路由。不写管理距离时，两条路由都是 1，路由器会在它们之间负载分担。用 5 重新输入经由 10.0.0.2 的路由只是修改主路由的管理距离，根本没有配置备份。tag 5 选项设置的是用于策略匹配的路由标记，管理距离仍为 1，路由器同样会负载分担。

    编号 QB-MB4J8M依据： Cisco IOS IP Routing: Protocol-Independent Command Reference, ip route (distance argument); IP Static Routes configuration guide (floating static routes)报告此题的问题

21. 21. 路由器 EDGE1 已启用 IP 路由。凡是目的地址不匹配任何更具体路由的数据包，都必须发往地址为 203.0.113.1 的 ISP 路由器。哪条全局配置命令能做到这一点？

    • A.ip route 0.0.0.0 0.0.0.0 Null0
    • B.ip default-network 203.0.113.0
    • C.ip default-gateway 203.0.113.1
    • D.ip route 0.0.0.0 0.0.0.0 203.0.113.1✓ 答案

    指向 0.0.0.0 0.0.0.0 的静态路由前缀长度为 0，因此会匹配所有没有更长前缀可匹配的目的地址；下一跳设为 203.0.113.1 后，它就成为最后求助网关。ip default-gateway 只在 IP 路由被禁用时使用，例如二层交换机，正在路由的路由器转发时会忽略它。指向 Null0 的默认路由会把未匹配的数据包送到丢弃接口，直接丢掉。ip default-network 是把一个已存在的网络标记为候选默认网络，并且需要有通往该网络的路由；它本身不会把 203.0.113.1 设为下一跳。

    编号 QB-4UWCNK依据： Cisco IOS IP Routing: Protocol-Independent Command Reference, ip route, ip default-network and ip default-gateway报告此题的问题

22. 22. 路由器 R4 的 GigabitEthernet0/0 为 192.168.10.1/24，GigabitEthernet0/1 为 192.168.11.1/24，GigabitEthernet0/2 为 192.168.12.1/24。工程师必须在 router ospf 1 下的 R4(config-router)# 中只用一条 network 语句，把 G0/0 和 G0/1 放入区域 0，并让 G0/2 不参与 OSPF。哪条命令能做到？

    • A.network 192.168.10.0 0.0.7.255 area 0
    • B.network 192.168.11.0 0.0.0.255 area 0
    • C.network 192.168.10.0 0.0.1.255 area 0✓ 答案
    • D.network 192.168.10.0 0.0.0.255 area 0

    OSPF 会在地址与 network 语句匹配的每个接口上启用，通配符中的 1 位表示忽略。通配符 0.0.1.255 忽略第三个八位组的最后一位，因此匹配 192.168.10.0 到 192.168.11.255，覆盖 G0/0 和 G0/1，但不包括 192.168.12.1。192.168.10.0 配 0.0.0.255 只匹配 G0/0。通配符 0.0.7.255 匹配 192.168.8.0 到 192.168.15.255，会把 G0/2 也包括进来。192.168.11.0 配 0.0.0.255 只匹配 G0/1。

    编号 QB-KBR73K依据： Cisco IOS IP Routing: OSPF Command Reference, network area (wildcard mask matching)报告此题的问题

23. 23. 在接口 GigabitEthernet0/1 的 R2(config-if)# 下，工程师必须直接在该接口上把它加入 OSPF 进程 10 的区域 0，而不在路由进程下使用任何 network 语句。哪条命令能做到？

    • A.ip ospf 10 area 0✓ 答案
    • B.ip ospf cost 10
    • C.ip ospf mtu-ignore
    • D.ip ospf priority 0

    接口命令 ip ospf 进程号 area 区域号 会把该接口加入指定的 OSPF 进程和区域，OSPF 随即通告其子网并在其上发送 Hello，无需 network 语句。ip ospf cost 10 只设置接口的 OSPF 开销，并不启用 OSPF。ip ospf priority 0 只是让该接口不能成为 DR 或 BDR。ip ospf mtu-ignore 只是关闭数据库描述报文中的 MTU 检查。这三条都不会在接口上启用 OSPF。

    编号 QB-3UJ2GJ依据： Cisco IOS IP Routing: OSPF Command Reference, ip ospf area; ip ospf cost, ip ospf priority and ip ospf mtu-ignore报告此题的问题

24. 24. 路由器 R1 的 GigabitEthernet0/0 连接用户局域网 10.1.50.0/24。扩展 ACL 110 拒绝从该局域网到服务器 10.9.9.10 的 Telnet，然后允许其他所有 IP 流量。按照扩展 ACL 靠近源端放置的原则，工程师把它应用在 G0/0 上。在 G0/0 的 R1(config-if)# 下输入哪条命令能正确过滤用户的流量？

    • A.ip access-group 110 out
    • B.access-class 110 in
    • C.ip access-group 110 in✓ 答案
    • D.access-class 110 out

    用户发出的数据包从 G0/0 进入，因此必须用 ip access-group 110 in 在该接口入方向应用 ACL，在数据包进入路由器时检查它们。若在出方向应用，同一 ACL 只检查路由器发往局域网的数据包（例如回复），用户的 Telnet 会话永远不会被匹配。access-class 是在 line vty 下使用的线路配置命令，用于过滤到路由器自身的管理会话，无论哪个方向都不是接口过滤命令。

    编号 QB-PBT7KP依据： Cisco IOS Security Command Reference, ip access-group and access-class; Security Configuration Guide: Access Control Lists (applying an ACL to an interface)报告此题的问题

25. 25. 在路由器 R5 上，GigabitEthernet0/0（10.1.1.1/24）面向局域网，已标记为 ip nat inside。GigabitEthernet0/1 持有 ISP 分配的唯一公网地址，已标记为 ip nat outside。访问列表 1 允许 10.1.1.0 0.0.0.255，且不存在任何 NAT 地址池。所有局域网主机必须共享 G0/1 的地址。哪条全局配置命令能完成 PAT 配置？

    • A.ip nat inside source list 1 pool PUBLIC-POOL overload
    • B.ip nat inside source list 1 interface GigabitEthernet0/1 overload✓ 答案
    • C.ip nat inside source list 1 interface GigabitEthernet0/0 overload
    • D.ip nat inside source static 10.1.1.9 interface GigabitEthernet0/1

    PAT 把访问列表 1 匹配的所有源地址转换为所指定外部接口的地址，overload 关键字通过跟踪端口号让所有主机共享该地址。若指定 GigabitEthernet0/0，就会转换成私有的局域网地址，无法在互联网上路由。static 形式只把主机 10.1.1.9 映射到 G0/1 的地址，其他主机得不到转换。pool 形式引用的 PUBLIC-POOL 并不存在，因此没有可供转换的地址。

    编号 QB-6UM2ZN依据： Cisco IOS IP Addressing Services Command Reference, ip nat inside source (list, interface, overload); NAT configuration guide (configuring PAT)报告此题的问题

26. 26. 在路由器 R1 上，工程师已输入 ip dhcp pool VLAN20 以及针对 10.10.20.0/24 的 network 命令。在 R1(dhcp-config)# 下，哪条命令能让 DHCP 客户端获得 10.10.20.1 作为默认网关？

    • A.default-router 10.10.20.1✓ 答案
    • B.dns-server 10.10.20.1
    • C.netbios-name-server 10.10.20.1
    • D.next-server 10.10.20.1

    在 DHCP 地址池配置模式下，default-router 设置路由器选项，客户端会把它安装为默认网关。dns-server 设置客户端用于域名解析的 DNS 服务器地址。next-server 设置客户端获取启动文件时联系的启动服务器，用于网络启动。netbios-name-server 设置用于 NetBIOS 名称解析的 WINS 服务器选项。只有 default-router 提供网关。

    编号 QB-NBFVDN依据： Cisco IOS IP Addressing Services Command Reference, default-router (DHCP pool configuration); DHCP server configuration guide报告此题的问题

27. 27. 交换机 SW1 已设置非默认主机名，并用 username ... secret 创建了本地用户。工程师为准备 SSH 输入 crypto key generate rsa modulus 2048 时，IOS 拒绝了该命令，并要求先定义域名。哪条全局配置命令能解决这个问题？

    • A.ip domain-name example.com✓ 答案
    • B.ip host example.com 192.0.2.10
    • C.ip domain-list example.com
    • D.ip name-server 192.0.2.53

    IOS 用主机名加设备的默认域名来命名 RSA 密钥对，因此在生成密钥之前必须设置 ip domain-name（在 IOS XE 上也可写作 ip domain name）。ip name-server 只是告诉设备查询时使用哪台 DNS 服务器。ip host 只是在主机表中创建静态的名称到地址映射。ip domain-list 只是设置查询不完整名称时附加的搜索后缀；它并不定义用于密钥的设备自身域名。

    编号 QB-5U9QTM依据： Cisco Secure Shell Configuration Guide (prerequisites: hostname and ip domain-name before crypto key generate rsa); Cisco IOS Security Command Reference, crypto key generate rsa报告此题的问题

28. 28. 交换机 ASW1 的接入端口 Fa0/10 连接一台 PC。在 ASW1(config-if)# 下，该端口必须在链路建立时立即进入转发状态，并且一旦收到 BPDU 就必须进入错误禁用状态。哪一对命令能做到？

    • A.spanning-tree portfast; spanning-tree guard loop
    • B.spanning-tree portfast; spanning-tree bpdufilter enable
    • C.spanning-tree portfast; spanning-tree bpduguard enable✓ 答案
    • D.spanning-tree portfast; spanning-tree guard root

    spanning-tree portfast 让边缘端口跳过侦听和学习延迟，spanning-tree bpduguard enable 则在收到任何 BPDU 时立即把端口置为错误禁用。spanning-tree guard root 只在收到更优 BPDU 时把端口置为根不一致的阻塞状态，并会自动恢复，端口永远不会被错误禁用。spanning-tree bpdufilter enable 是让端口停止发送和处理 BPDU，而不是关闭端口。spanning-tree guard loop 阻塞的是不再收到 BPDU 的端口，条件正好相反。

    编号 QB-GBP7JF依据： Cisco Catalyst switch Layer 2 configuration guide, Configuring Optional Spanning-Tree Features (PortFast, BPDU guard, BPDU filtering, root guard, loop guard)报告此题的问题

29. 29. 交换机 SW2 的接入端口 Fa0/3 已配置 switchport mode access 和 switchport port-security。在 SW2(config-if)# 下，该端口必须最多接受两个 MAC 地址，动态学习它们，并把它们作为安全地址写入运行配置。哪一对命令能做到？

    • A.switchport port-security maximum 2; switchport port-security mac-address sticky✓ 答案
    • B.switchport port-security maximum 2; switchport port-security violation protect
    • C.switchport port-security maximum 2; switchport port-security aging time 2
    • D.switchport port-security maximum 2; switchport port-security violation restrict

    maximum 2 把安全地址上限从默认的 1 个提高到 2 个，mac-address sticky 则把动态学到的地址转换为粘滞安全条目并写入运行配置。violation restrict 只改变出现第三个地址时的处理方式：丢弃帧、记录日志并计数。aging time 2 只设置安全地址保留多少分钟后老化。violation protect 只是静默丢弃违规帧。这三条都不会把学到的地址写入配置。

    编号 QB-YTG2YE依据： Cisco Catalyst switch security configuration guide, Configuring Port Security (maximum, sticky MAC addresses, violation modes, aging)报告此题的问题

练习题依据思科公布的 CCNA 200-301 考试大纲及其背后的 IEEE 与 IETF 标准编写。Cisco 和 CCNA 是 Cisco Systems, Inc. 的商标；本网站与思科无关联，也未获其认可。考试大纲会定期修订——报考前请查阅最新的官方大纲。 关于 CCNA 考试（思科）→