21 道端口、协议与服务练习题及答案

1. 1. 一项防火墙变更申请要求放行应用服务器与域控制器之间的目录服务查询，且会话从建立之初就用 TLS 封装，而不是通过 StartTLS 在原连接上升级。该规则必须放行哪个目标端口？

   • A.TCP 443
   • B.TCP 636✓ 答案
   • C.TCP 989
   • D.TCP 389

   从连接建立起就用 TLS 封装的 LDAP（即 LDAPS）注册在 TCP 636 上，而 TCP 389 是普通 LDAP 端口；389 只有在客户端于原连接上协商 StartTLS 时才会加密，而本次申请已排除这种方式，因此只放行 389 会让 LDAPS 客户端根本连不上。TCP 443 用于 HTTPS，TCP 989 是 FTPS 的数据通道。

   编号 QB-45F5V5依据： IANA Service Name and Transport Protocol Port Number Registry (ldap 389, ldaps 636)报告此题的问题

2. 2. 管理员需要通过加密通道将配置文件复制到一台服务器，并希望该传输复用已经为命令行管理开放的同一服务和端口。哪种协议和端口满足这一要求？

   • A.基于 TCP 21 的 FTP
   • B.基于 TCP 990 的 FTPS
   • C.基于 UDP 69 的 TFTP
   • D.基于 TCP 22 的 SFTP✓ 答案

   SFTP 是运行在 SSH 会话内部的文件传输子系统，因此使用远程管理已经开放的 SSH 端口 TCP 22。FTPS 是用 TLS 封装的 FTP，使用自己的控制端口；TFTP 是端口 69 上不做身份验证的 UDP 协议；而 TCP 21 上的 FTP 会以明文发送凭据。

   编号 QB-NMYMM7依据： RFC 4253 (SSH Transport Layer Protocol) and IANA Service Name and Transport Protocol Port Number Registry (ssh 22)报告此题的问题

3. 3. 网络设备已配置为把事件消息转发到集中日志收集器，但收集器上没有收到任何消息。标准的 syslog 转发需要收集器监听哪个端口？

   • A.UDP 162
   • B.UDP 514✓ 答案
   • C.TCP 22
   • D.TCP 514

   Syslog 注册为端口 514 上的 UDP 服务，这也是日志投递属于尽力而为、不做确认的原因。TCP 端口 514 注册给较早的远程 shell 服务，UDP 162 用于接收 SNMP 陷阱，TCP 22 则是 SSH。

   编号 QB-55TF27依据： RFC 5426 (Transmission of Syslog Messages over UDP) and IANA Service Name and Transport Protocol Port Number Registry (syslog 514/udp)报告此题的问题

4. 4. 某邮件客户端需要向本单位的邮件服务器进行身份验证并提交待发送的邮件，同时使用 STARTTLS 将会话升级为 TLS。哪个端口专门用于经过身份验证的邮件提交？

   • A.TCP 25
   • B.TCP 587✓ 答案
   • C.TCP 110
   • D.TCP 143

   端口 587 是邮件提交端口，客户端在此完成身份验证并由服务器执行提交策略；TCP 25 保留给服务器之间的邮件中继，通常对客户端的出站方向被封锁。TCP 110 是 POP3，TCP 143 是 IMAP，它们用于收取邮件而不是发送邮件。

   编号 QB-JMWM44依据： RFC 6409 (Message Submission for Mail) and RFC 5321 (Simple Mail Transfer Protocol)报告此题的问题

5. 5. 在管理 VLAN 上抓包发现，发往 TCP 23 的会话中管理员的用户名和密码以可读的明文出现。哪项更改才能真正消除这一暴露风险？

   • A.保留 Telnet，只改用 TCP 2323 端口
   • B.把 Telnet 封装进 TCP 80 的 HTTP
   • C.用 TCP 22 上的 SSH 取代 Telnet✓ 答案
   • D.用 UDP 69 上的 TFTP 取代 Telnet

   TCP 23 上的 Telnet 会以不加密的方式传输整个会话（包括凭据），因此唯一真正的解决办法是改用能够加密并进行身份验证的协议，即 TCP 22 上的 SSH。仅仅更换端口号只是让服务躲过随意的扫描，流量仍然可读；TFTP 或普通 HTTP 也不提供任何机密性。

   编号 QB-25RFH3依据： RFC 854 (Telnet Protocol Specification) and RFC 4251 (SSH Protocol Architecture)报告此题的问题

6. 6. 用户同时在笔记本电脑和手机上收取邮件，抱怨两台设备之间的文件夹结构以及已读/未读状态不一致。该邮箱应当使用哪种收件协议？

   • A.TCP 25 上的 SMTP
   • B.TCP 110 上的 POP3
   • C.TCP 143 上的 IMAP✓ 答案
   • D.UDP 161 上的 SNMP

   IMAP 把邮箱的权威副本保留在服务器上，并把文件夹和邮件标记同步给每一个客户端，因此所有设备看到的状态一致。POP3 的设计是把邮件下载到单一客户端，默认还会把它们从服务器上删除；SMTP 只负责发送邮件，而 SNMP 是网络管理协议。

   编号 QB-KM9Y95依据： RFC 3501 (Internet Message Access Protocol) and RFC 1939 (Post Office Protocol - Version 3)报告此题的问题

7. 7. 在发送任何应用数据之前，TCP 连接的建立过程由下列哪一组报文段顺序正确描述？

   • A.SYN、SYN-ACK、ACK✓ 答案
   • B.ACK、SYN、SYN-ACK
   • C.FIN、FIN-ACK、ACK
   • D.SYN、ACK、SYN-ACK

   三次握手的目的是让通信双方交换并确认各自的初始序列号：客户端发送带有自身 ISN 的 SYN，服务器用 SYN-ACK 回应并携带自己的 ISN 同时确认客户端的序列号，最后客户端发送 ACK。FIN 属于连接拆除阶段，而不是建立阶段。

   编号 QB-354TP4依据： RFC 9293 (Transmission Control Protocol)报告此题的问题

8. 8. 在一次大文件传输过程中，接收主机缓冲区被填满的速度快于应用程序读取的速度。TCP 的哪种机制能让接收方在不中断连接的前提下让发送方降速？

   • A.减小通告的接收窗口大小✓ 答案
   • B.向发送方发送 ICMP 回显请求
   • C.降低 IP 头部中的 TTL 值
   • D.更改该数据流的 DSCP 标记

   TCP 的流量控制通过头部中的窗口字段实现：接收方通告自己还剩多少缓冲空间，发送方未被确认的数据量不得超过该数值。TTL 决定数据包可以经过多少跳路由器，ICMP 回显用于测试可达性，DSCP 是 QoS 标记，三者都不能调节某条 TCP 会话中发送方的速率。

   编号 QB-GM7YRZ依据： RFC 9293 (Transmission Control Protocol) - receive window and flow control报告此题的问题

9. 9. 某设计团队需要为实时语音流量选择传输层协议，在这种场景下重传的数据包到达时已经太晚、无法播放。下列哪个选择是合适的，理由是什么？

   • A.选择 UDP，因为它从不重传丢失的数据包✓ 答案
   • B.选择 TCP，因为它保证每个采样都会送达
   • C.选择 TCP，因为它的头部比 UDP 的更小
   • D.选择 UDP，因为它默认会加密媒体流

   UDP 是无连接协议，头部只有 8 字节，没有握手、确认和重传，因此引入的时延和抖动最小，这正是交互式语音所需要的。TCP 的最小头部为 20 字节，其可靠交付机制会为了重传早已过时的音频而让数据流停顿；此外 UDP 本身并不提供任何加密。

   编号 QB-Y42T6Z依据： RFC 768 (User Datagram Protocol) and RFC 9293 (Transmission Control Protocol)报告此题的问题

10. 10. 一台辅助 DNS 服务器无法从主服务器拉取区域数据，尽管普通的域名查询通过同一防火墙是成功的。访问控制列表只放行了 UDP 53。必须补充放行什么？

    • A.TCP 853
    • B.UDP 69
    • C.UDP 123
    • D.TCP 53✓ 答案

    DNS 使用 UDP 53 处理普通查询，但区域传送以及任何单个数据报装不下的响应都会改用 TCP 53，因为区域传送是一条可能很长且需要可靠传输的记录流。UDP 69 是 TFTP，TCP 853 是 DNS over TLS，UDP 123 是 NTP。

    编号 QB-NEGZA9依据： RFC 1035 (Domain Names - Implementation and Specification) and RFC 5966 (DNS Transport over TCP)报告此题的问题

11. 11. 某客户端软件需要自动发现域内提供特定服务的主机及其端口，而这两项都不能靠手工配置。哪种 DNS 记录类型携带这些信息？

    • A.SOA
    • B.PTR
    • C.TXT
    • D.SRV✓ 答案

    SRV 记录标明服务及传输协议，返回目标主机以及端口号，并附带用于在多台服务器之间选择的优先级和权重。SOA 给出该区域的主名称服务器和各项刷新计时器，但不含端口；PTR 用于反向查询把地址映射回名称；TXT 则保存诸如策略字符串之类的任意文本。

    编号 QB-6XN6W9依据： RFC 2782 (A DNS RR for specifying the location of services)报告此题的问题

12. 12. 安全团队发现工作站的域名解析是由外部解析器应答的，而在链路上这些流量与普通的加密网页浏览无法区分。下列哪种机制可以解释这一现象？

    • A.UDP 53 上的区域传送
    • B.TCP 53 上的加密 DNS
    • C.TCP 443 上的 DNS over HTTPS✓ 答案
    • D.TCP 853 上的 DNSSEC 加密

    DNS over HTTPS 把查询封装在 TCP 443 的 HTTPS 之中，因此与网页流量混在同一批数据流里，无法按端口区分，这也是它能够绕过基于 53 端口的过滤和内部解析器的原因。完整区域传送（AXFR）是服务器之间的明文功能，只能走 TCP，也不会用来应答工作站的查询；TCP 53 上的普通 DNS 并不加密；DNSSEC 只对记录签名以证明其真实性，从不加密内容；TCP 853 属于 DNS over TLS，因为端口独立所以仍然可以识别。

    编号 QB-PEUBGA依据： RFC 8484 (DNS Queries over HTTPS) and RFC 4033 (DNS Security Introduction and Requirements)报告此题的问题

13. 13. 一台没有 IPv4 地址的工作站启动后发送 DHCPDISCOVER。该广播报文使用哪一对源端口和目的端口？

    • A.源端口 TCP 68，目的端口 TCP 67
    • B.源端口 UDP 67，目的端口 UDP 68
    • C.源端口 UDP 546，目的端口 UDP 547
    • D.源端口 UDP 68，目的端口 UDP 67✓ 答案

    DHCP 运行在 UDP 之上，因为客户端此时还没有地址，无法完成 TCP 握手；客户端端口是 68，服务器端口是 67，因此 DISCOVER 从客户端的 68 端口发出并广播到 67 端口。端口顺序相反的那一项描述的是服务器回复的方向，而 UDP 546 和 547 是 DHCPv6 的客户端与服务器端口。

    编号 QB-7XZG3B依据： RFC 2131 (Dynamic Host Configuration Protocol) and IANA Service Name and Transport Protocol Port Number Registry (bootps 67, bootpc 68)报告此题的问题

14. 14. 某远程 VLAN 中的主机自行分配了 169.254.0.0/16 范围内的地址，而与 DHCP 服务器位于同一子网的主机则能正常获得租约。哪项配置可以解决这个问题？

    • A.在每台客户端上启用广播转发
    • B.添加一条指向 DHCP 服务器的静态路由
    • C.缩短 DHCP 作用域中的租约时间
    • D.在该 VLAN 网关上配置 DHCP 中继✓ 答案

    DHCPDISCOVER 是广播报文，而路由器不会在子网之间转发广播，因此远程 VLAN 中的客户端根本联系不到服务器，只能退回到 169.254 链路本地地址。在路由器面向该远程 VLAN 的网关接口上以 IP helper 地址形式配置的中继代理会接收该广播，并以单播方式转发给指定的服务器，再把应答送回。静态路由无济于事，因为客户端此时还没有可用于路由的地址。

    编号 QB-KESBY6依据： RFC 2131 (Dynamic Host Configuration Protocol) - relay agent behavior; RFC 3927 (Dynamic Configuration of IPv4 Link-Local Addresses)报告此题的问题

15. 15. 一台标签打印机必须始终获得同一个 IPv4 地址，但技术员不想手工配置该设备，并希望这个地址仍然由现有作用域内的 DHCP 统一管理。应当创建什么？

    • A.一个只包含该地址的独立作用域
    • B.一个排除掉该地址的排除范围
    • C.一条绑定设备 MAC 的 DHCP 保留✓ 答案
    • D.为整个作用域设置更短的租约时间

    保留是在作用域内把某个特定地址与客户端的硬件（MAC）地址绑定，因此设备仍然通过 DHCP 获取地址，也照样能收到网关、DNS 等选项，同时每次都拿到相同的租约。排除的作用恰好相反：它把该地址从地址池中扣留，只能在设备上手工静态配置使用。

    编号 QB-4XXGJ7依据： RFC 2131 (Dynamic Host Configuration Protocol) - client identifier and static bindings报告此题的问题

16. 16. 在 NTP 的层级结构中，对第 1 层（stratum 1）时间服务器最恰当的描述是什么？

    • A.从另一台客户端同步时间的客户端
    • B.直接连接参考时钟的服务器✓ 答案
    • C.尚未与任何时间源同步的服务器
    • D.使用 TCP 123 分发时间的服务器

    层级（stratum）表示与参考时钟之间的距离：参考时钟本身是第 0 层，直接连接它的服务器是第 1 层，此后每从上一级同步一次就增加一层，第 16 层表示未同步。NTP 承载在 UDP 123 而不是 TCP 上；准确的时间之所以重要，是因为一旦各设备时钟发生偏差，日志关联和对时间敏感的身份验证都会失败。

    编号 QB-ME5P58依据： RFC 5905 (Network Time Protocol Version 4: Protocol and Algorithms Specification)报告此题的问题

17. 17. 某监控平台需要在接口发生故障的瞬间接收被管设备主动发出的告警，而不是等待下一次定时轮询。管理端必须监听哪个端口？

    • A.UDP 161
    • B.TCP 161
    • C.UDP 514
    • D.UDP 162✓ 答案

    在 SNMP 中，管理端通过向 UDP 161 发送 get 请求来轮询代理，而由代理主动发起的消息（陷阱和通知）方向相反，发往管理端的 UDP 162，这正是实现事件驱动告警的方式。UDP 514 是 syslog，属于另一种日志机制。

    编号 QB-5XAUQ8依据： IANA Service Name and Transport Protocol Port Number Registry (snmp 161, snmptrap 162) and RFC 3411 (SNMP Management Frameworks)报告此题的问题

18. 18. 某网络要求管理查询必须经过身份验证，并且从 MIB 返回的数据在传输过程中必须加密。哪一项结构性特征标识出满足该要求的 SNMP 版本？

    • A.它要求在代理端编译 MIB 文件
    • B.它对传输中的团体字符串做哈希处理
    • C.它把所有管理流量迁移到 TCP 161
    • D.它对用户做身份验证并加密消息载荷✓ 答案

    基于用户安全模型的那个版本（SNMPv3）彻底弃用了团体字符串，改为对每条消息进行针对具名用户的身份验证，并对载荷提供私密性（加密），这正好满足题目的要求。使用团体字符串的版本把该字符串以明文形式作为唯一凭据发送，因此任何抓包的人都能读到它以及返回的数据。

    编号 QB-SEWBZD依据： RFC 3414 (User-based Security Model for SNMPv3)报告此题的问题

19. 19. 一条站点到站点的 IPsec 隧道在穿越互联网时必须保证载荷的机密性。下列哪项正确区分了 IPsec 两种安全协议各自提供的保护？

    • A.AH 加密载荷，ESP 只做认证
    • B.ESP 加密载荷，AH 只做认证✓ 答案
    • C.AH 和 ESP 都会加密载荷
    • D.IKE 加密载荷，ESP 协商密钥

    封装安全载荷（ESP）会对受保护的数据进行加密，同时也能校验其完整性，因此凡是需要机密性的场景都使用它。认证头（AH）只提供无连接的完整性和数据来源认证，而且由于它会对 IP 头部中不可变的字段进行认证，一旦有设备为 NAT 改写地址就会失效。IKE 负责协商安全关联和密钥，而不是保护数据本身。

    编号 QB-AX3HKE依据： RFC 4303 (IP Encapsulating Security Payload) and RFC 4302 (IP Authentication Header)报告此题的问题

20. 20. 一名工程师建立了一条隧道，用于在两个站点之间承载动态路由协议和组播流量，然后再用 IPsec 对该隧道加以保护。关于其中涉及的各类标识，下列哪项说法是正确的？

    • A.GRE 是 TCP 端口 47，并自带加密
    • B.GRE 和 ESP 都是 IANA 分配的 TCP 端口
    • C.GRE 是 IP 协议号 47，IKE 使用 UDP 500✓ 答案
    • D.GRE 是 IP 协议号 50，IKE 使用 TCP 500

    GRE 由 IP 头部协议字段中的协议号 47 标识，而不是某个 TCP 或 UDP 端口；它只做封装，不提供任何机密性，因此当路由更新和组播等流量既要隧道传输又要加以保护时，就会与 IPsec 搭配使用。同样，ESP 和 AH 分别是协议号 50 和 51，而 IKE 运行在 UDP 500 上，需要穿越 NAT 时使用 UDP 4500。

    编号 QB-XMGGVK依据： RFC 2784 (Generic Routing Encapsulation), IANA Protocol Numbers registry (GRE 47, ESP 50, AH 51), RFC 7296 (Internet Key Exchange Protocol)报告此题的问题

21. 21. 语音流量既需要在交换机之间的二层干道内获得优先处理，也需要在每一个三层转发跳上获得优先处理。网络使用哪一组标记来传递这种优先级？

    • A.二层按源 MAC，三层按源端口
    • B.802.1Q 标签中的 DSCP，IP 头部中的 CoS
    • C.二层看 TTL 值，三层看 MTU 大小
    • D.802.1Q 标签中的 CoS，IP 头部中的 DSCP✓ 答案

    服务等级（CoS）是 802.1Q VLAN 标签内部的三位优先级字段，因此只存在于带标签的二层链路上，一旦帧被去标签或经过路由就会丢失。DSCP 是 IP 头部区分服务字节中的六位字段，能够在每一个路由跳上保留下来，所以分类通常要在这两层同时打标记。TTL 和 MTU 都不是优先级机制。

    编号 QB-E5BBAK依据： IEEE 802.1Q (priority code point) and RFC 2474 (Definition of the Differentiated Services Field)报告此题的问题

练习题依据 CompTIA Network+ 考试的各个领域，以及该考试所基于的公开标准（IEEE 802.3 与 802.11、IEEE 802.1Q 与 802.1X、IANA 端口注册表、IETF RFC 文档以及 TIA-568 布线标准）编写。CompTIA 和 Network+ 是 CompTIA 的商标；本网站与 CompTIA 无关联，也未获其认可。考试大纲会定期修订——报考前请查阅你所报版本的官方现行大纲。 关于 Network+ 考试 →