22 道网络基础练习题及答案
思科 CCNA 200-301 认证考试练习的全部网络基础练习题，附正确答案和简短解析。
开始练习测验 →1. 两个部门的主机共用一个扁平的第 2 层网络，每个部门的 ARP 和 DHCP 广播都会到达另一个部门的所有主机。工程师在两个部门之间部署一台路由器，并为每个部门分配独立子网。这些广播会怎样？
- A.照常通过，但每个端口会隔离冲突
- B.在路由器处停止，因为路由器隔离广播域✓ 答案
- C.照常通过，因为路由器会转发所有广播
- D.仅当路由器端口设为全双工时才会停止
路由器不会把第 2 层广播（目的地址 FFFF.FFFF.FFFF）从一个接口转发到另一个接口，因此每个路由接口都是一个广播域的边界。双工设置与广播转发无关；按端口隔离冲突是交换机的特性，并不能阻止广播。
编号 QB-F32ZK9依据： Cisco CCNA 200-301 Exam Topics — 1.1.a Routers报告此题的问题
2. 一台分布层交换机承载 VLAN 10（192.168.10.0/24）和 VLAN 20（192.168.20.0/24）。主机能访问本 VLAN 内的其他主机，却无法访问另一个 VLAN，且网络中没有路由器。哪种功能能让这台交换机自己在两个 VLAN 之间转发流量？
- A.为每个 VLAN 配置交换虚拟接口（SVI）进行路由✓ 答案
- B.把两个 VLAN 的 MAC 地址放入同一张共享表
- C.把两个 VLAN 桥接成每端口一个冲突域
- D.把 VLAN 10 的帧泛洪到 VLAN 20 的端口
VLAN 之间的流量就是不同子网之间的流量，必须在第 3 层进行路由。第 3 层（多层）交换机通过为每个 VLAN 配置一个 SVI 来实现，SVI 充当该 VLAN 主机的默认网关。第 2 层交换功能绝不会把帧从一个 VLAN 转发到另一个 VLAN，共享 MAC 表或桥接也不会在子网之间建立路由路径。
编号 QB-WJGGU7依据： Cisco CCNA 200-301 Exam Topics — 1.1.b Layer 2 and Layer 3 switches报告此题的问题
3. 公司策略允许一般的 HTTPS 浏览，但必须阻止一款同样使用 TCP 443 的特定文件共享应用。现有的状态防火墙只能匹配地址、协议和端口。下一代防火墙增加了哪项能力来满足这一要求？
- A.仅依据源端口和目的端口号进行过滤
- B.识别并控制具体应用，而不只看端口✓ 答案
- C.把私有地址转换为一个公有地址
- D.跟踪 TCP 443 会话状态以放行返回流量
下一代防火墙增加了应用可视化与控制（AVC），它检查流量以识别实际应用，而不管其使用哪个端口，因此可以放行 TCP 443 上的普通网页浏览，同时阻止同端口上的某个应用；此外还提供 URL 过滤、集成 IPS 和恶意软件防护。状态会话跟踪是现有防火墙已具备的功能；端口过滤无法区分同在 TCP 443 上的两个应用；NAT 根本不识别应用。
编号 QB-E3PNE8依据： Cisco CCNA 200-301 Exam Topics — 1.1.c Next-generation firewalls and IPS报告此题的问题
4. 安全团队希望针对某台 Web 服务器的攻击流量在到达服务器之前就被自动丢弃，而不仅仅是被报告。哪种传感器类型和部署位置能实现这一目标？
- A.部署 IPS，接在 SPAN 端口上接收镜像副本
- B.在通往服务器的流量路径上串接部署 IPS✓ 答案
- C.串接部署 IDS，只记录匹配特征的流量
- D.部署 IDS，从交换机 SPAN 端口接收流量副本
只有串接在流量路径中的设备才处理原始数据包，因此只有串接设备才能在恶意数据包送达之前将其丢弃；串接部署的 IPS 正是这样做的。接在 SPAN 端口上的传感器只收到镜像副本，即使是 IPS 也无法拦截原始数据包；而 IDS 按定义只负责检测和告警，不会阻断。
编号 QB-ZJJGCB依据： Cisco CCNA 200-301 Exam Topics — 1.1.c Next-generation firewalls and IPS报告此题的问题
5. 一台新的室外 PTZ 摄像机在设备端需要约 25 W。为其供电的接入交换机端口是供电设备（PSE），摄像机是受电设备（PD）。能为它供电的最低 IEEE PoE 标准是哪一个？
- A.802.3az，定义 PoE 功率等级的标准
- B.802.3af（PoE），PSE 端最高约 15.4 W
- C.802.3at（PoE+），PSE 端最高约 30 W✓ 答案
- D.802.3bt（4PPoE），超过 15.4 W 即必须使用
802.3at（PoE+）在 PSE 端提供约 30 W，扣除线缆损耗后 PD 端约有 25.5 W，足以满足 25 W 的摄像机。802.3af 在 PSE 端只有 15.4 W（PD 端约 13 W）。802.3bt（60 至 90 W）虽然也能用，但并非满足需求的最低标准，也不是一超过 15.4 W 就必须使用。802.3az 是节能以太网标准，不是 PoE 标准。
编号 QB-H3RNXB依据： IEEE 802.3at (PoE+); Cisco CCNA 200-301 Exam Topics — 1.1.h PoE报告此题的问题
6. 在三层园区设计中，工程师需要决定把第 2 层/第 3 层边界、某栋楼接入交换机的 VLAN 间路由以及 ACL 过滤等策略放在哪里。哪一层是正确的位置？
- A.分布层，负责汇聚各接入交换机✓ 答案
- B.接入层，终端设备在这一层接入网络
- C.各层均等，在每一跳上应用相同策略
- D.核心层，因为楼宇间流量都在此汇合
分布层汇聚接入交换机，通常是第 2 层/第 3 层边界，负责 VLAN 间路由，也是应用 ACL 等策略的位置。核心层应是快速、高可用的骨干，不承担耗费 CPU 的策略或过滤；接入层负责连接终端，并处理端口安全、PoE 等端口级功能；在每一跳重复相同策略既浪费资源又增加排障难度。
编号 QB-YJ767A依据： Cisco CCNA 200-301 Exam Topics — 1.2.b Three-tier报告此题的问题
7. 一家小公司的园区只有一栋楼，共六台接入交换机。设计者希望采用分层设计，但无法为单独购买一组核心交换机提供合理理由。哪种架构合适？
- A.脊叶架构，接入交换机连到每台脊交换机
- B.三层，在分布层之上部署专用核心层
- C.全网状，每台接入交换机彼此直连
- D.两层（折叠核心），把核心层与分布层合并✓ 答案
两层（折叠核心）设计把核心层和分布层功能合并到同一对交换机上，既保留分层结构，又省去单独核心层的成本，适合规模较小的单栋楼园区。三层设计增加专用核心层，只有在需要互连许多分布块时才划算；脊叶是数据中心交换矩阵设计；接入交换机全网状互连既不可扩展，也破坏了分层结构。
编号 QB-G3DBSA依据： Cisco CCNA 200-301 Exam Topics — 1.2.a Two-tier报告此题的问题
8. 一个脊叶数据中心交换矩阵有四台脊交换机和十二台叶交换机。面向服务器的端口已经用完，但上行带宽仍然充足。在遵守其设计规则的前提下，应如何扩展该矩阵？
- A.新增一台脊交换机，把新服务器直接接到它上面
- B.新增一台叶交换机，只连一台脊以节省上行端口
- C.新增一台叶交换机，并连接到最近的两台叶交换机
- D.新增一台叶交换机，并连接到全部四台脊交换机✓ 答案
在脊叶架构中，服务器等终端只连接叶交换机，每台叶交换机都连接每台脊交换机，叶与叶之间从不互连。增加叶交换机可增加接入端口，增加脊交换机可增加矩阵带宽。此处缺的是端口，因此应新增一台叶交换机并上联到全部四台脊交换机，使任意两台叶之间的路径跳数相同（叶-脊-叶）。把服务器接到脊上、叶与叶互连或只上联一台脊都违反了这些规则。
编号 QB-3K96QD依据： Cisco CCNA 200-301 Exam Topics — 1.2.c Spine-leaf报告此题的问题
9. 一家公司把某个应用迁移到云服务商。服务商提供虚拟机、存储和网络，而公司自己的员工负责安装操作系统和应用并为其打补丁。这属于哪种云服务模型？
- A.软件即服务（SaaS）
- B.平台即服务（PaaS）
- C.混合云（一种部署模型）
- D.基础设施即服务（IaaS）✓ 答案
在 IaaS 中，服务商负责物理硬件、虚拟化层、存储和网络，客户负责客户操作系统及其以上的一切。PaaS 中服务商还负责操作系统和运行时，客户只需部署代码；SaaS 中服务商运行整个应用。混合云是把私有云与公有云结合的部署模型，而不是服务模型。
编号 QB-K3FBAE依据： NIST SP 800-145 cloud service models; Cisco CCNA 200-301 Exam Topics — 1.2.f On-premises and cloud报告此题的问题
10. 园区内两栋楼相距约 2 km，需要用一条 1 Gbps 以太网链路连接。哪种介质和标准适合这个距离？
- A.屏蔽 6a 类铜缆配 1000BASE-T
- B.多模光纤配 1000BASE-SX 光模块
- C.6 类 UTP 配 1000BASE-T 端口
- D.单模光纤配 1000BASE-LX 光模块✓ 答案
1000BASE-LX 在单模光纤上使用长波激光，传输距离至少 5 km，可以覆盖 2 km。多模光纤上的 1000BASE-SX 最远约 550 m；任何双绞铜缆标准，无论是否屏蔽，距离上限都是 100 m。
编号 QB-E4ZU8G依据： IEEE 802.3z (1000BASE-X); Cisco CCNA 200-301 Exam Topics — 1.3.a Single-mode fiber, multimode fiber, copper报告此题的问题
11. 两台老式交换机需要通过铜缆端口互连，两台都不支持 Auto-MDIX。技术员先试了一根直通线，链路一直不起来。应该用哪种线缆，为什么？
- A.反转线，因为交换机互联使用控制台引脚
- B.直通线，并在两端手动设置相同速率
- C.交叉线，因为两台交换机使用相同线对发送✓ 答案
- D.单模光纤跳线，因为铜缆无法连接交换机
同类设备（如两台交换机）使用相同的线对收发（10/100 Mbps 时都用 1、2 脚接收，3、6 脚发送），因此需要交叉线把一端的发送线对接到另一端的接收线对，除非 Auto-MDIX 能自动交换。反转线用于控制台访问；设置速率不会改变线序；交换机之间用铜缆互连非常常见。
编号 QB-WKTPNF依据： IEEE 802.3 MDI/MDI-X pinouts; Cisco CCNA 200-301 Exam Topics — 1.3 Compare physical interface and cabling types报告此题的问题
12. 某实验室仍在用集线器连接八台主机。集线器被换成交换机后，每台主机都与自己所连的交换机端口自动协商。每条链路上的以太网工作方式会发生什么变化？
- A.链路仍为半双工，但 CSMA/CD 速度更快
- B.链路以全双工运行，不再需要 CSMA/CD✓ 答案
- C.链路仍为半双工，因为交换机仍使用 CSMA/CD
- D.链路以全双工运行，但仍共享一个冲突域
集线器是共享介质：所有主机处于同一个冲突域，以半双工运行，必须使用 CSMA/CD。连接单台主机的交换机端口是点对点链路，两端会协商为全双工，不可能再发生冲突，CSMA/CD 被禁用，且每个端口各自是一个冲突域。
编号 QB-F4C7EH依据： Cisco CCNA 200-301 Exam Topics — 1.3.b Connections (Ethernet shared media and point-to-point)报告此题的问题
13. 一台服务器网卡被手动固定为 100 Mbps 全双工，而它所连接的交换机端口保留为自动速率、自动双工。交换机端口状态显示链路为 a-100、a-half，用户反映传输很慢。原因是什么？
- A.交换机从服务器同时学到了速率和双工设置
- B.发生了速率不匹配，所以链路降级运行
- C.交换机测出速率，但双工回落为半双工✓ 答案
- D.线缆过长，所以交换机降低了双工模式
手动固定的网卡不参与自动协商。自动端仍能从接收信号中检测出速率，但无法得知双工模式，因此在 10 或 100 Mbps 时会回落为半双工，形成双工不匹配：半双工的交换机端口出现迟到冲突，全双工的服务器出现 CRC 错误和超短帧。真正的速率不匹配会导致链路断开。解决办法是两端设置一致或都设为自动。
编号 QB-XK62UG依据： IEEE 802.3 Clause 28 (Auto-Negotiation); Cisco CCNA 200-301 Exam Topics — 1.4 Identify interface and cable issues报告此题的问题
14. 某路由器到分支机构的 WAN 链路显示 'Serial0/0/0 is up, line protocol is down'。线缆和运营商线路经测试均正常。本端使用 HDLC，而分支端配置为 PPP。这种状态说明什么？
- A.第 2 层问题，此处为封装不匹配✓ 答案
- B.第 1 层问题，如缺少时钟或线缆故障
- C.该接口已被 shutdown 命令关闭
- D.第 3 层问题，如两端地址不在同一子网
第一个状态（up）反映第 1 层，第二个状态（line protocol）反映第 2 层。up/down 表示物理链路正常，但数据链路协议未能建立，这是封装不匹配或 keepalive 失败的典型结果。第 1 层故障会显示 down/down，被 shutdown 的接口显示 administratively down；地址不匹配属于第 3 层问题，不会使线路协议变为 down。
编号 QB-G4QHKJ依据： Cisco CCNA 200-301 Exam Topics — 1.4 Identify interface and cable issues报告此题的问题
15. 一个连接车间 PC 的交换机端口，CRC 错误和输入错误持续增加，冲突和迟到冲突均为零。已确认两端都是 1000 Mbps 全双工，且 UTP 线缆沿着大型电机敷设。最可能的原因是什么？
- A.速率不匹配，导致链路不断重传
- B.电磁干扰或线缆损坏导致帧被破坏✓ 答案
- C.PC 与交换机端口之间存在双工不匹配
- D.该交换机端口学到的 MAC 地址过多
CRC 错误表示帧校验序列不匹配，即帧在传输中被破坏。既然两端已确认都是全双工且没有冲突，最可能是电机产生的电气噪声或线缆故障，可改用屏蔽线、改走线路或换用光纤。双工不匹配已被排除（它会在半双工一侧产生迟到冲突）；速率不匹配会使链路断开而非产生 CRC；学到的 MAC 地址数量不会破坏帧。
编号 QB-YKHCZH依据： Cisco CCNA 200-301 Exam Topics — 1.4 Identify interface and cable issues报告此题的问题
16. 某备份应用向存储服务器发送大文件。当服务器的接收缓冲区填满时，服务器必须能让发送方放慢速度，而且丢失的分段必须被重新发送。哪种传输协议机制提供了这些功能？
- A.TCP 滑动窗口机制，配合确认与重传✓ 答案
- B.UDP 校验和，会请求重发损坏的数据报
- C.TCP 的 8 字节头部，携带固定发送速率
- D.UDP 端口号，用于为每个应用的数据报限速
TCP 接收方会通告窗口大小，缩小窗口即可让发送方放慢（流量控制）；序列号和确认机制让 TCP 能发现丢失的分段并重传。UDP 校验和只能让接收方发现并丢弃损坏的数据报，UDP 从不重传；端口号用于复用而非限速；TCP 头部为 20 字节，8 字节头部属于 UDP。
编号 QB-H43VRK依据： IETF RFC 9293 (TCP); Cisco CCNA 200-301 Exam Topics — 1.5 Compare TCP to UDP报告此题的问题
17. 主 DNS 服务器和辅助 DNS 服务器之间的防火墙只放行 UDP 53 端口。两者之间的普通名称查询能成功，但辅助服务器始终无法完成从主服务器的区域传送。原因是什么？
- A.区域传送使用 TCP 443 端口，被防火墙阻止
- B.区域传送使用 UDP 69 端口，被防火墙阻止
- C.区域传送使用 UDP 53，但还需放行组播
- D.区域传送使用 TCP 53 端口，被防火墙阻止✓ 答案
DNS 的普通查询数据量小、要求快速，因此使用 UDP 53；区域传送以及超出 UDP 容量的大响应使用 TCP 53，因为完整复制区域数据需要可靠、有序的传输。UDP 69 是 TFTP，TCP 443 是 HTTPS，区域传送也不使用组播。
编号 QB-ZKVP6K依据： IETF RFC 1035 and RFC 7766 (DNS transport over TCP); Cisco CCNA 200-301 Exam Topics — 1.5 Compare TCP to UDP报告此题的问题
18. 一位语音工程师解释为什么 IP 电话的语音通过 UDP（配合 RTP）而不是 TCP 传输。哪个理由是正确的？
- A.重传的语音包到达时已太晚，无法播放✓ 答案
- B.TCP 无法承载使用动态端口号的流量
- C.UDP 保证按序交付，这正是语音编解码所需
- D.UDP 的三次握手比 TCP 建立通话更快
语音是实时流量：等到丢包被发现并重传时，它的播放时刻早已过去，因此 TCP 的重传和窗口机制只会增加时延和抖动，而 UDP 开销低、不重传，更适合语音。UDP 不保证按序（由 RTP 序列号让接收方处理），UDP 也没有握手；TCP 使用动态端口毫无问题。
编号 QB-A4KHJB依据： IETF RFC 768 (UDP) and RFC 3550 (RTP); Cisco CCNA 200-301 Exam Topics — 1.5 Compare TCP to UDP报告此题的问题
19. 一名开发者在 Linux 容器主机上尝试运行为 Windows 应用构建的容器镜像，但无法启动；而同一机架中虚拟机管理程序上的 Windows 虚拟机运行正常。如何解释这种差别？
- A.每个容器都包含完整客户操作系统，需要更多内存
- B.容器共享宿主机内核，虚拟机自带客户操作系统✓ 答案
- C.容器只能直接运行在没有任何操作系统的裸机上
- D.容器需要在宿主机上安装第 2 类虚拟机管理程序
容器只打包应用及其依赖，运行在宿主操作系统的内核之上，因此轻量、启动快，但必须与宿主内核的操作系统类型匹配，Windows 容器无法在 Linux 内核上运行。虚拟机则在虚拟机管理程序提供的虚拟硬件上运行完整的客户操作系统，所以 Windows 虚拟机可以在任何合适的虚拟机管理程序上运行。容器既不需要第 2 类虚拟机管理程序，也不需要裸机。
编号 QB-SKDCYA依据： Cisco CCNA 200-301 Exam Topics — 1.12 Explain virtualization fundamentals (server virtualization, containers, and VRFs)报告此题的问题
20. 某运营商边缘路由器需要连接两个客户，而两个客户的内部网络都使用 10.1.1.0/24，且各自的流量必须保持隔离。哪种功能能让一台物理路由器在不重新编址的情况下同时服务两者？
- A.VRF，为每个客户提供独立的路由表✓ 答案
- B.在同一张共享路由表上配置辅助 IP 地址
- C.VLAN，为每个客户提供独立的 MAC 地址表
- D.第 1 类 Hypervisor 以容器隔离各客户
VRF（虚拟路由转发）把一台路由器划分为多个虚拟路由器，每个都有自己的接口和路由表，因此相同前缀可以无冲突地存在于不同 VRF 中；除非配置路由泄露，否则流量不会在 VRF 之间互通。VLAN 只隔离第 2 层网段，路由器仍会在同一张路由表中看到两个 10.1.1.0/24；Hypervisor 和容器属于服务器虚拟化；在同一张表中配置辅助地址会产生重叠。
编号 QB-5WYCP5依据： Cisco CCNA 200-301 Exam Topics — 1.12 Explain virtualization fundamentals (server virtualization, containers, and VRFs)报告此题的问题
21. SW1 有四个接入端口：Fa0/1、Fa0/2 和 Fa0/3 属于 VLAN 10，Fa0/4 属于 VLAN 20。其 MAC 表中只有一条动态条目：主机 B（0000.0c22.2222）位于 Fa0/2。Fa0/1 上的主机 A（0000.0c11.1111）向不在表中的主机 C（0000.0c33.3333）发送一个单播帧。SW1 会怎么做？
- A.在 Fa0/1 上学习 A，只从 Fa0/2 发出该帧
- B.在 Fa0/1 上学习 C，并从 Fa0/2 至 Fa0/4 泛洪该帧
- C.在 Fa0/1 上学习 A，并从 Fa0/2 和 Fa0/3 泛洪该帧✓ 答案
- D.丢弃该帧，因为 MAC 表中还没有 C 的条目
交换机根据源 MAC 学习，因此把 A 记录在 VLAN 10 的 Fa0/1 上；转发依据目的 MAC。由于 C 未知，该帧属于未知单播，会从同一 VLAN 中除入口端口外的所有端口泛洪，即 Fa0/2 和 Fa0/3；Fa0/4 属于 VLAN 20，收不到该帧。交换机不会丢弃未知单播，也绝不会根据目的地址学习。
编号 QB-ND6J96依据： IEEE 802.1D transparent bridging; Cisco CCNA 200-301 Exam Topics — 1.13 Describe switching concepts报告此题的问题
22. 连接在交换机端口 Gi1/0/8 上的一台网络打印机 10 分钟内没有发出任何帧。随后工程师查看 MAC 地址表，发现没有该打印机的条目，但端口仍处于 up 状态。在默认设置下，条目为什么消失了？发往打印机的下一帧会怎样处理？
- A.空闲 60 秒后老化；下一帧会被交换机丢弃
- B.空闲 300 秒后老化；交换机先为打印机发 ARP
- C.空闲 300 秒后老化；下一帧在该 VLAN 内泛洪✓ 答案
- D.端口错误导致条目被删；下一帧发往网关
每当收到以某 MAC 为源地址的帧时，对应的动态条目就会刷新；若超过老化时间仍未收到这样的帧，条目就会被删除，默认老化时间为 300 秒。打印机静默 10 分钟后条目已删除，因此发往它的帧成为未知单播，会从该 VLAN 中除入口外的所有端口泛洪；打印机回复后交换机会重新学习。第 2 层交换机不会为主机发送 ARP，ARP 是主机的功能。
编号 QB-6WBQU6依据： Cisco CCNA 200-301 Exam Topics — 1.13.a MAC learning and aging报告此题的问题
本考试的其他主题
练习题依据思科公布的 CCNA 200-301 考试大纲及其背后的 IEEE 与 IETF 标准编写。Cisco 和 CCNA 是 Cisco Systems, Inc. 的商标；本网站与思科无关联，也未获其认可。考试大纲会定期修订——报考前请查阅最新的官方大纲。 关于 CCNA 考试（思科）→