20 道无线局域网练习题及答案

1. 1. 一名技术员在一条长走廊上安装了三台 2.4 GHz 接入点，每个覆盖小区都与相邻小区略有重叠。在北美，为了尽量减少它们之间的干扰，这三台 AP 应使用哪组信道？

   • A.信道 3、6 和 9
   • B.信道 1、6 和 11✓ 答案
   • C.三台都用信道 6
   • D.信道 1、2 和 3

   2.4 GHz 信道宽约 20-22 MHz，而信道中心频率仅相隔 5 MHz，因此只有信道 1、6、11 彼此间隔足够（25 MHz）而不重叠。1、2、3 或 3、6、9 这类组合会相互重叠，造成邻信道干扰；三台都用信道 6 则会产生同信道争用，因为三个小区必须共享同一段空口时间。

   编号 QB-QA3Q2U依据： Cisco CCNA 200-301 Exam Topics — 1.11.a Nonoverlapping Wi-Fi channels报告此题的问题

2. 2. 办公室茶水间的用户反映，每天中午前后他们的 2.4 GHz Wi-Fi 会短时间严重变慢，而同一房间里使用 5 GHz WLAN 的用户不受影响。勘测发现附近没有其他接入点。最可能的原因是什么？

   • A.DHCP 地址池中的可用地址耗尽
   • B.金属家具反射信号造成多径
   • C.室内人员的身体吸收了信号
   • D.微波炉在 2.4 GHz 频段发出干扰✓ 答案

   微波炉会在 2.45 GHz 附近泄漏能量，属于非 802.11 干扰源，只在其运行期间抬高 2.4 GHz 频段的底噪，正好符合午餐时段出现、且 5 GHz 不受影响的规律。人体吸收对 5 GHz 的影响至少同样大；DHCP 地址不足会同时影响两个 WLAN；固定家具的反射也不会在固定时间出现又消失。

   编号 QB-9TK7TV依据： Cisco CCNA 200-301 Exam Topics — 1.11.c RF报告此题的问题

3. 3. 一位经理提议在访客 WLAN 上关闭 SSID 广播，以防外人连接。正确的回应是什么？

   • A.有效：隐藏网络会在客户端加入前加密所有帧
   • B.无效：隐藏 SSID 也会关闭 WPA2 加密
   • C.有效：客户端还必须先知道 AP 的 BSSID 才能加入
   • D.无效：网络名称仍会出现在探测和关联帧中✓ 答案

   隐藏 SSID 只是把名称从信标帧中去掉；正在连接的客户端仍会在探测请求和关联帧中以明文发送该名称，任何抓包工具几秒钟就能看到它。真正的访问控制来自认证和加密，例如 WPA2/WPA3 个人模式或 802.1X，而不是隐藏网络名称。

   编号 QB-RAE28V依据： Cisco CCNA 200-301 Exam Topics — 1.11.b SSID报告此题的问题

4. 4. 一名实习生问：为什么 802.11 站点使用 CSMA/CA，而不是早期共享以太网所用的 CSMA/CD？哪种解释是正确的？

   • A.无线电在发送时无法可靠地检测到冲突✓ 答案
   • B.由 AP 检测冲突，再向各站点发送阻塞信号
   • C.AP 会调度每一帧，所以站点之间从不争用
   • D.无线链路是全双工的，所以根本不会冲突

   Wi-Fi 是半双工共享介质：站点自身的发送会淹没它可能听到的任何信号，而且隐藏站点可能不在它的接收范围内，所以检测冲突并不可行。站点改为先侦听、再等待随机退避时间，并依赖 ACK 帧；收不到 ACK 就视为发送失败并重传该帧。

   编号 QB-ATXHYW依据： IEEE 802.11 — DCF CSMA/CA medium access报告此题的问题

5. 5. 在现场勘测中，一台笔记本电脑在某个工位测得接收信号为 -67 dBm，底噪为 -92 dBm。该位置的信噪比是多少？

   • A.92 dB
   • B.159 dB
   • C.25 dB✓ 答案
   • D.-25 dB

   信噪比是信号电平与底噪之差：-67 dBm 减去 -92 dBm 等于 25 dB。两个值都是以 dBm 表示的绝对电平，它们的差就是以 dB 表示的相对值；信噪比越高，信号高出噪声越多，数据速率就越快、越可靠。

   编号 QB-SASCDW依据： Cisco CCNA 200-301 Exam Topics — 1.11.c RF报告此题的问题

6. 6. 某零售连锁店的各门店通过一条 WAN 链路连接总部，WLAN 控制器位于总部。如果该链路中断，各门店的轻量级 AP 必须继续为收银 WLAN 提供服务，并把其流量直接交换到门店 LAN 上。应如何配置？

   • A.将门店 AP 设为 Monitor 模式
   • B.将门店 AP 设为 Bridge 模式
   • C.将门店 AP 设为 Local 模式
   • D.将门店 AP 设为 FlexConnect 模式✓ 答案

   FlexConnect 允许远端 AP 在本地把客户端流量交换到自己的 VLAN，并在通往控制器的 CAPWAP 路径中断时继续为已配置的 WLAN 提供服务。Local 模式会把所有客户端流量隧道回控制器，因此 WAN 中断会使客户端断网；Monitor 模式不服务客户端；Bridge 模式用于建立无线回程链路，而不是分支机构的容灾。

   编号 QB-BTAV5Y依据： Cisco CCNA 200-301 Exam Topics — 2.6 Cisco Wireless Architectures and AP modes报告此题的问题

7. 7. 某分支机构的轻量级 AP 与 WLAN 控制器之间有一台防火墙。AP 能加入控制器并显示为已注册，但没有任何客户端流量通过 CAPWAP 隧道。最可能缺少哪条防火墙规则？

   • A.在 AP 与控制器之间放行 TCP 5247
   • B.在 AP 与控制器之间放行 UDP 1812
   • C.在 AP 与控制器之间放行 UDP 5247✓ 答案
   • D.在 AP 与控制器之间放行 UDP 5246

   CAPWAP 使用两条 UDP 通道：控制通道使用 UDP 5246（受 DTLS 保护），AP 需要它来发现并加入控制器；数据通道使用 UDP 5247，承载封装后的客户端帧。既然 AP 已成功加入，说明控制端口已放行，被阻断的是数据端口。CAPWAP 从不使用 TCP，而 UDP 1812 是控制器发出的 RADIUS 认证流量，不是 AP 隧道流量。

   编号 QB-TA5QJX依据： IETF RFC 5415 — CAPWAP control and data ports报告此题的问题

8. 8. 在由轻量级 AP 和 WLAN 控制器组成的分离 MAC（split-MAC）架构中，哪项功能由 AP 自己完成，而不是由控制器完成？

   • A.发送信标帧并应答探测请求✓ 答案
   • B.管理客户端在不同 AP 间的漫游
   • C.通过 RADIUS 服务器认证客户端
   • D.为整个站点执行无线资源管理

   分离 MAC 架构把对时间敏感的 802.11 任务留在 AP 上，包括信标、探测响应、ACK、帧的收发以及加密，因为这些任务需要微秒级时序，远端控制器无法提供。控制器负责集中管理任务，例如无线资源管理（RRM）、通过 RADIUS 认证客户端、关联控制、QoS 策略和漫游。

   编号 QB-CTN7BZ依据： Cisco CCNA 200-301 Exam Topics — 2.6 Cisco Wireless Architectures and AP modes报告此题的问题

9. 9. 在 AireOS 控制器上，安全团队希望一台备用 AP 不服务任何客户端并关闭射频，而是在有线网络上查找其他 AP 在空中侦听到的非法设备的 MAC 地址。应使用哪种模式？

   • A.将备用 AP 设为 Sniffer 模式
   • B.将备用 AP 设为 Rogue Detector 模式✓ 答案
   • C.将备用 AP 设为 Monitor 模式
   • D.将备用 AP 设为 SE-Connect 模式

   在 Rogue Detector 模式下，AP 的射频被关闭，它在有线网络上侦听 ARP 流量，把看到的 MAC 地址与控制器收集的非法客户端和非法 AP 列表比对，从而确认非法设备是否接入了有线网络。Monitor 模式把射频用作空中传感器，Sniffer 模式为分析器抓取 802.11 帧，SE-Connect 模式执行频谱分析。

   编号 QB-UAG2RY依据： Cisco CCNA 200-301 Exam Topics — 2.6 Cisco Wireless Architectures and AP modes报告此题的问题

10. 10. 在 AireOS 控制器上，一名工程师怀疑某个非 802.11 设备（例如模拟无线摄像头）正在降低某一楼层的 Wi-Fi 质量。她希望专门用一台 AP 做完整的射频频谱分析，并在远程分析软件中查看原始频谱数据。应如何配置？

    • A.将该 AP 设为 Monitor 模式
    • B.将该 AP 设为 FlexConnect 模式
    • C.将该 AP 设为 SE-Connect 模式✓ 答案
    • D.将该 AP 设为 Sniffer 模式

    SE-Connect（Spectrum Expert Connect）把 AP 变成专用频谱传感器，将原始射频数据传送给远程频谱分析软件，从而识别摄像头、微波炉或干扰器等非 Wi-Fi 能量。Sniffer 模式只为协议分析器抓取可解码的 802.11 帧；Monitor 模式用于 wIPS、非法设备检测和定位扫描；FlexConnect 则用于在分支机构服务客户端。

    编号 QB-N9Q3UC依据： Cisco CCNA 200-301 Exam Topics — 2.6 Cisco Wireless Architectures and AP modes报告此题的问题

11. 11. 一台处于 Local 模式的新轻量级 AP 将为三个 WLAN 提供服务，控制器把这些 WLAN 分别映射到 VLAN 10、20 和 30。连接该 AP 的交换机端口应如何配置？

    • A.接入端口，划入 AP 的管理 VLAN✓ 答案
    • B.接入端口，划入第一个 WLAN 的 VLAN 10
    • C.中继端口，允许 VLAN 10、20 和 30
    • D.中继端口，以 VLAN 10 作为本征 VLAN

    Local 模式的 AP 会把所有客户端流量封装进 CAPWAP，隧道传送到控制器，再由控制器把帧放入 VLAN 10、20 和 30。AP 本身只需要一个能到达控制器的 IP 地址，因此它的交换机端口应是划入 AP 自身 VLAN 的接入端口；客户端 VLAN 应放在通往控制器的中继上。只有自治 AP 或在本地交换多个 VLAN 的 FlexConnect AP 才需要 中继。

    编号 QB-6SV8ED依据： Cisco CCNA 200-301 Exam Topics — 2.7 Physical infrastructure connections of WLAN components报告此题的问题

12. 12. 一名工程师在基于 AireOS 的 WLAN 控制器上启用了 LAG，并把四个分布式系统端口全部连接到同一台交换机。交换机上这四个端口被放入一个以 LACP active 模式运行的通道组，但捆绑始终无法建立。必须做什么修改？

    • A.将端口拆分为两个各含两个端口的 LAG
    • B.将交换机通道组改为静态 mode on✓ 答案
    • C.将交换机通道组改为 PAgP desirable
    • D.将交换机通道组改为 LACP passive

    控制器的 LAG 会把分布式系统端口捆绑成一个 EtherChannel，但它不运行 LACP 或 PAgP，因此交换机侧必须配置为无条件的静态通道（mode on）。LACP passive 或 PAgP desirable 仍会等待控制器永远不会发送的协商报文；而且一台控制器只支持一个 LAG，所以不能把端口拆成两个 LAG。

    编号 QB-P93EZD依据： Cisco CCNA 200-301 Exam Topics — 2.7 Physical infrastructure connections of WLAN components (LAG)报告此题的问题

13. 13. 一个新 WLAN 被映射到 VLAN 40 上的动态接口。客户端可以关联并通过认证，但始终获取不到 IP 地址；而现有 WLAN（VLAN 10 和 20）上的客户端工作正常。动态接口的 IP、网关和 DHCP 服务器设置都正确。技术员应首先检查什么？

    • A.通往控制器的中继是否允许 VLAN 40✓ 答案
    • B.AP 的接入端口是否需要改到 VLAN 40
    • C.该 WLAN 是否需要改用 TKIP 而非 AES
    • D.DHCP 是否需要开启 SSID 广播才能工作

    关联和认证都已成功，说明无线侧正常；故障出现在控制器把客户端的 DHCP 请求从 VLAN 40 动态接口转发出去之后。如果通往控制器的交换机中继不允许 VLAN 40，这些帧会被丢弃，DHCP 永远无法完成，而 VLAN 10 和 20 照常工作。Local 模式下 AP 端口并不承载客户端 VLAN，加密方式或 SSID 广播也与地址分配无关。

    编号 QB-7S8KKE依据： Cisco CCNA 200-301 Exam Topics — 2.7 Physical infrastructure connections of WLAN components报告此题的问题

14. 14. 为无线 IP 电话创建了一个 WLAN，其 QoS 配置文件保留为默认的 Silver。每当网络繁忙时，通话质量就会下降。哪种说法是正确的？

    • A.Silver 是尽力而为，语音应改用 Platinum✓ 答案
    • B.Silver 用于视频，语音应改用 Bronze
    • C.Silver 就是语音配置，应调高 AP 功率
    • D.Silver 是后台流量，语音应改用 Gold

    控制器的四种 QoS 配置文件对应不同的流量类别：Platinum 用于语音，Gold 用于视频，Silver 为尽力而为（默认），Bronze 用于后台流量。语音 WLAN 保持 Silver 会让电话与普通数据同等优先级，负载高时其数据包会排在大流量之后；选择 Platinum 才能让语音在空口和有线侧都获得最高优先级。

    编号 QB-Q9ER6F依据： Cisco CCNA 200-301 Exam Topics — 2.9 Interpret the wireless LAN GUI configuration (QoS profiles)报告此题的问题

15. 15. 某 WLAN 使用 802.1X 认证，RADIUS 服务器会为每个用户组返回 VLAN 分配。尽管如此，所有用户仍然落入 WLAN 上所配置接口的 VLAN。最可能是哪项 WLAN 设置未启用？

    • A.Client Exclusion（多次失败后排除客户端）
    • B.Allow AAA Override（应用 RADIUS 属性）✓ 答案
    • C.Web Policy（第 3 层网页登录）
    • D.Broadcast SSID（在信标帧中广播）

    默认情况下，客户端被放到映射给该 WLAN 的接口上；除非在 WLAN 的高级选项卡中启用 Allow AAA Override，否则控制器会忽略 RADIUS 返回的 VLAN 等属性。Broadcast SSID 只决定名称是否出现在信标中，Client Exclusion 在客户端多次失败后将其阻止，第 3 层 Web 策略只是增加网页登录，它们都不会应用 RADIUS 分配的 VLAN。

    编号 QB-8SKWRF依据： Cisco CCNA 200-301 Exam Topics — 2.9 Interpret the wireless LAN GUI configuration (advanced settings)报告此题的问题

16. 16. 技术员在控制器 GUI 中创建了一个新 WLAN，将其映射到正确的动态接口，并配置了使用 AES 的 WPA2 PSK。应用更改后，没有任何客户端能在任何 AP 上看到或加入这个新 SSID，而其他 WLAN 正常。最可能遗漏了什么？

    • A.未勾选 DHCP Address Assignment 必需
    • B.覆盖漏洞检测保持为启用状态
    • C.QoS 配置文件保留了默认值
    • D.WLAN 从未启用，一直处于禁用状态✓ 答案

    新建的 WLAN 在常规选项卡中勾选 Status Enabled 之前一直处于管理性禁用状态，而被禁用的 WLAN 不会被任何 AP 广播或接受连接。QoS 保持 Silver、保留覆盖漏洞检测或不要求 DHCP 地址分配都不会使 WLAN 无法使用，最多只影响优先级、射频调整或客户端获取地址的方式。

    编号 QB-R9S3CG依据： Cisco CCNA 200-301 Exam Topics — 5.10 Configure and verify WLAN within the GUI using WPA2 PSK报告此题的问题

17. 17. 某办公室将 WLAN 从 WPA2 个人模式迁移到 WPA3 个人模式。哪种机制取代了基于 PSK 的密钥交换，使截获的握手无法被离线字典攻击破解？

    • A.临时密钥完整性协议（TKIP）
    • B.受保护管理帧（802.11w）
    • C.对等实体同时验证（SAE）✓ 答案
    • D.可扩展认证协议（EAP）

    WPA3 个人模式使用 SAE，这是一种基于口令认证的密钥交换，每次猜测都必须与 AP 实时交互，因此截获握手也无法进行离线测试；它还提供前向保密。PMF（802.11w）在 WPA3 中是强制的，但它保护的是去认证等管理帧，而不是密钥交换；TKIP 属于最初的 WPA，EAP 用于企业（802.1X）模式。

    编号 QB-9SX8XG依据： Cisco CCNA 200-301 Exam Topics — 5.9 Describe wireless security protocols (WPA, WPA2, and WPA3)报告此题的问题

18. 18. 某公司的 WPA2 企业级 WLAN 通过 RADIUS 服务器，使用 PEAP 加内层 MSCHAPv2 方法认证用户。关于该设计中的证书，哪种说法是正确的？

    • A.不使用任何证书，由 PAC 文件替代
    • B.只有服务器需要证书，用户提交密码✓ 答案
    • C.服务器和每个客户端都必须持有证书
    • D.只有客户端需要证书，服务器不需要

    PEAP 只使用认证服务器的证书（由客户端验证）建立 TLS 隧道，然后用户在隧道内用 MSCHAPv2 等密码方式证明身份。要求服务器和每个客户端都有证书的是 EAP-TLS；可以用受保护访问凭据（PAC）代替证书的是 EAP-FAST。

    编号 QB-S95EHH依据： Cisco CCNA 200-301 Exam Topics — 5.9 Describe wireless security protocols (802.1X/EAP methods)报告此题的问题

19. 19. 技术员在控制器 GUI 中创建了一个 WLAN：第 2 层安全设为 WPA+WPA2，勾选 WPA2 Policy，加密为 AES，并输入了密码短语。笔记本连接时却提示用户输入用户名和密码，而不是密码短语。问题出在哪里？

    • A.加密方式应选 TKIP 而不是 AES
    • B.使用 PSK 时必须关闭 SSID 广播
    • C.密钥管理设为 802.1X 而非 PSK✓ 答案
    • D.密码短语必须以十六进制格式输入

    认证密钥管理（Auth Key Management）字段决定 WLAN 是个人模式还是企业模式：选中 802.1X 时，WLAN 宣告的是企业级认证，客户端会要求输入 EAP 凭据，密码短语根本不会被使用。要配置 WPA2 PSK WLAN，必须取消 802.1X 并选择 PSK；AES 是正确的 WPA2 加密方式，8-63 个字符的 ASCII 密码短语有效，SSID 广播与密钥方式无关。

    编号 QB-ASAK4J依据： Cisco CCNA 200-301 Exam Topics — 5.10 Configure and verify WLAN within the GUI using WPA2 PSK报告此题的问题

20. 20. 审计人员要求公司停止在一个旧 WLAN 上提供 WPA，指出其加密算法已被弃用，而 WPA2 使用更强的算法。下列安全协议与加密算法的对应关系，哪一项是正确的？

    • A.WPA 用 RC4-WEP；WPA2 用 TKIP
    • B.WPA 用 TKIP；WPA2 用 GCMP-256
    • C.WPA 用 AES-CCMP；WPA2 用 TKIP
    • D.WPA 用 TKIP；WPA2 用 AES-CCMP✓ 答案

    WPA 是针对 WEP 的过渡性修补，它保留了 RC4 加密，但用 TKIP 加上逐包密钥和 MIC 进行包装，以便在旧硬件上运行；TKIP 现已被弃用。WPA2（802.11i）要求使用 AES-CCMP，这是强得多的分组密码模式。GCMP-256 属于 WPA3（具体是其 192 位企业模式），而 WEP 是被 WPA 取代的已破解方法。

    编号 QB-ZHEXD5依据： IEEE 802.11i — TKIP and CCMP; Cisco CCNA 200-301 Exam Topics — 5.9 Wireless security protocols报告此题的问题

练习题依据思科公布的 CCNA 200-301 考试大纲及其背后的 IEEE 与 IETF 标准编写。Cisco 和 CCNA 是 Cisco Systems, Inc. 的商标；本网站与思科无关联，也未获其认可。考试大纲会定期修订——报考前请查阅最新的官方大纲。 关于 CCNA 考试（思科）→