03 · DNS与Internet应用协议

所属模块：网络互连与IP协议 | 覆盖题库 129 题（单选 96 · 案例小题 33） 考期覆盖 23 / 24（95.8%） 题型定位：混合型（上午 DNS 记录类型判断 + 下午 DNS/NAT/WAN 接入大题）

一、考情概览

近5 年（2021–2026）案例大题命中：11 个考期出现（recent_count = 11）。DNS 是下午案例的常驻主角 —— 只要题目里出现“用户上不了网““能 ping 通 IP 但打不开网页”“同一个域名对应多个 IP”，八成是 DNS 或 NAT 的问题。

从题库统计的高频术语看（括号内为出现次数）：

结论：DNS 记录类型是必拿分，上午 79 题里六成是“某功能对应哪条记录“的判断题。第二个重心是 NAT 的 PAT 原理与端口映射（题库有 2025年下半年 的纯英文题专考这点），第三个重心是 广域网接入技术（ADSL/PPPoE/EPON/OLT，35 题且近 5 年 9 个考期命中）。

二、知识点清单

2.1 DNS 与域名（79 题 · 第一主线）

2.1.1 DNS 体系结构

层次结构（自上而下）：

根域名服务器 (Root, .)
   └─ 顶级域名服务器 (TLD, .com / .cn / .edu / .org ...)
         └─ 权威域名服务器 (Authoritative, 区域主服务器)
               └─ 主机名 (www.xyz.com)

• 递归查询（Recursive）：客户端 → 本地域名服务器，一次问到底，DNS 服务器替你问到根、再问顶级、再问权威
• 迭代查询（Iterative）：DNS 服务器 → 上一级，返回“下一步该问谁“的地址，由查询方继续问
• 本地域名服务器（Local DNS）：客户端配置的首选 DNS，通常是主域名服务器

题库 2024年上半年 原题：在域名解析过程中，主机通常首先查找的是（　）

A 辅域名服务器
B 缓存域名服务器
C 转发域名服务器
D 主域名服务器

答案：D

解析：主机进行域名解析时，首先访问的是本地域名服务器，即本机配置的首选 DNS 服务器（主域名服务器），由它代表主机向根、顶级、权威服务器迭代查询。主机自身只查询本地缓存与 HOSTS 文件，不直接去查询各级域名服务器。

选项辨析（原文）：

• A 辅域名服务器是主域名服务器的备份，主机不优先查询它；
• C 转发域名服务器只有在本地域名服务器配置了转发器时才会被使用；
• B 缓存域名服务器是 DNS 服务器端的缓存机制（用于提高解析效率），不是主机解析时“首先查找“的对象 —— 这是本题最容易混淆的地方。

📌 记忆锚点：主机只认“自己配置的那个 DNS“。它不知道也不关心根/顶级/权威的存在。解析链的驱动者是本地域名服务器（用递归方式去问）。

2.1.2 DNS 资源记录类型（本专题第一必考，必须全背）

逐条对应题库真题（这是最有效的记法 —— 记住题干关键词就记住了记录类型）：

完整解析（题库原文，2014年下半年）：

SOA（Start Of Authority，起始授权）记录指明该区域的权威（主）域名服务器及其管理员的邮件地址，是每个区域必须存在的起始记录，故选 A。NS 记录指明区域的权威名称服务器（D错）；MX 记录指明邮件交换服务器（C错）；PTR 记录用于地址到主机名的反向解析（B错）。

📌 SOA vs NS 的分工：NS 记录“有哪些名字服务器“；SOA 记录“这个区域的主服务器是谁、谁负责、序列号多少、刷新时间多少“。SOA 记录必须存在，一个区域只能有一条。

2.1.3 正向解析 vs 反向解析（PTR 是最大的易错点）

• 正向解析：域名 → IP，依赖 A 记录（IPv6 用 AAAA）
• 反向解析：IP → 域名，依赖 PTR 记录（在 in-addr.arpa 树中维护）

题库 2025年下半年 原题：使用服务器名可以查询到 IP 地址，但反之则失败，可能的原因是 DNS 服务器（　）

A A记录为空
B 宕机
C PTR记录为空
D MX记录为空

答案：C（PTR 记录为空） —— 正向解析正常但反向解析失败，说明缺少 PTR（指针）记录。

⚠️ 本题是“排他法“的典范：题干已告诉你“正向 OK“ → A 记录一定不为空，排除 A；DNS 宕机会导致正向也解析不了，排除 B；MX 记录与解析无关，排除 D。 反向解析查不到域名，和“网站打不开“是两回事 —— 前者是内部运维问题（不影响用户访问），后者是真实故障。

2.1.4 DNS 负载均衡与查询模式（Windows DNS 服务器属性，2016年下半年 案例考点）

📌 为什么需要掩码排序：同一域名在不同子网都部署了服务器（内网 192.168.1.10、外网 203.0.113.10）时，内网客户端应优先拿到内网 IP。

2.1.5 同机多网站：端口区分 vs 主机头区分（2016年下半年 案例核心）

• 三个必考空：默认端口 → 80；端口范围 → 1025~65535（1024 以下是知名服务端口）；域名与端口之间用半角冒号:。
• 主机头方案：在 DNS 正向查找区域为每个域名分别添加 A（主机）记录；每个网站的主机头值就是它自己的域名。
• 端口方案下 company2 访问失败的原因：未指明 company2 的端口号（选 C）。排除 A（company1 正常说明 IP 没错）、排除 B（company1 用默认端口）、排除 D（本小题用端口方案，尚未启用主机头）。

2.1.6 DNS 与 Web 服务的排障命令（题库真实命令）

ipconfig/flushdns        清除 DNS 缓存
ipconfig/displaydns      显示本地 DNS 缓存      ← 题库 2022上半年：查看本地 DNS 缓存
ipconfig/registerdns     手工向 DNS 服务器注册
nslookupwww.xyz.com      测试域名解析

• /all 看 IP/掩码/网关/DNS 等完整配置（不是 DNS 缓存）；/renew 续租 DHCP 地址。
• ⚠️ /flushdns 是“清除“不是“查看“ —— 这两个动作在同一套题里经常同时出现（2016 年案例就同时考到 flushdns 清除、displaydns 显示、registerdns 注册）。

2.1.7 IIS 站点权限与默认文档（2016年下半年 案例第 1、2 题）

安装组件（题库备选：A 网络服务 / B 应用程序服务器 / C 索引服务 / D 证书服务 / E 远程终端）： 标准答案 （1）B．应用程序服务器（IIS，ASP.NET）（提供 Web 服务）、（2）A．网络服务（提供 DNS 服务）—— 两者位置可互换。

目录权限：勾选读取、运行脚本（如 ASP）、执行；文档选项卡添加 index.html 为默认文档。

推理依据（全部来自题干约束）：

• 不允许上传文件 → 不勾“写入“；
• 不允许浏览目录 → 不勾“目录浏览“；
• 三站点均用静态首页 → 默认文档 index.html。

📌 IIS 权限勾选口诀：“读得到、跑得动，但不许写、不许列”。

2.1.8 端口号速查表（本专题高频，务必背全）

📌 必背的三个“双端口/双协议“：

1. DNS 53 = UDP + TCP（TCP 用于区域传送 AXFR 和超过 512 字节的应答）
2. FTP = 20 + 21（21 控制连接、20 数据连接）
3. BGP = TCP 179（唯一跑 TCP 的路由协议）

2.2 网络地址转换 NAT（15 题 · 下午案例占 8 道）

2.2.1 NAT 的三种基本类型与 PAT 原理

NAT 三个必背结论（题库 2025年下半年 纯英文题专考点）：

1. NAT 可把不同内网用户的 IP 转换为同一个公网 IP，靠 端口号（port numbers） 区分内网用户；
2. 通过 NAT，公网（public）IP 地址可以被复用；
3. 内网（internal）用户访问 Internet 时，网关转换 IP 首部中的源地址。

这就是 PAT（Port Address Translation，也叫 NAPT）：多个内网用户 → 同一个公网 IP，但用不同的端口号区分会话；转换时 IP 和 port 都要改。没有端口区分就没法复用 —— 这是 NAT 缓解 IPv4 地址枯竭的根本原理。

华为命令中的对应（题库真实命令）：

[SwitchB] nat address-group 0 202.100.1.3 202.100.1.5      ← 公网地址池
[SwitchB] acl number 2000
[SwitchB-acl-basic-2000] rule 5 (15) source 192.168.1.0 0.0.0.255
[SwitchB] interface GigabitEthernet 0/0/3
[SwitchB-GigabitEthernet0/0/3] nat outbound (16) address-group 0 no-pat

📌 no-pat 的含义（高频判断点）：

• 带 no-pat → 只转换 IP，不转换端口（静态一对一 PAT），一地址一端口对
• 不带 no-pat → PAT/NAPT，靠端口号区分多会话，一个公网 IP 可供多个内网用户同时使用

2.2.2 目的 NAT（DNAT）的源地址配置（题库 2022年下半年 原题）

NAT 配置中源地址应配置为（　）：A 任意　B 10.0.10.2　C 192.168.0.1　D 113.201.123.14 答案：A（任意） —— 目的 NAT 中源地址通常配置为任意（any）。因为 DNAT 是从公网侧来的流量，目的地址固定，源地址可以是互联网上的任意地址。

📌 对比记忆：SNAT（出方向）匹配内网源地址，要做 acl number 限定源网段；DNAT（入方向发布服务）匹配目的地址（内网服务器），源地址配 any。

2.2.3 NAT 与防火墙安全策略配合（2023年上半年 案例真题）

材料：企业经 ISP1（100.100.100.1/24，接 FW G1/0/1）与 ISP2（200.200.200.1/24，接 FW G1/0/7）双出口接入；内网 Server 10.10.10.10/24 对外发布 TCP 9980 服务；FW 内侧 10.254.254.254/30。

配置片段（题库原文）：

[USG] security-policy
[USG-policy-security] rule name http
[USG-policy-security-rule-http] source-zone ISP1
[USG-policy-security-rule-http] source-zone ISP2
[USG-policy-security-rule-http] destination-zone trust
[USG-policy-security-rule-http] destination-address （1）
[USG-policy-security-rule-http] service protocol （2） destination-port （3）
[USG-policy-security-rule-http] action （4）
[USG-policy-security-rule-http] quit

标准答案：

(1) 10.10.10.10（或 Server 内网地址对象，如 address-server）
(2) tcp
(3) 9980
(4) permit

解析要点：

• source-zone 写两行（ISP1、ISP2）→ 同一条规则支持多个源区域，这就是“双 ISP 都要能访问“的标准写法。
• destination-zone trust → 内网区域（华为 USG 三区模型：trust / untrust / dmz）。
• destination-address 填内网服务器地址或地址对象名；service protocol tcp destination-port 9980 按服务匹配（比按应用匹配更通用）；action permit 放行。

2.2.4 双出口 NAT 的两个高频故障推理（2023年上半年 案例问题3、问题4）

问题 3 现象：互联网用户反映访问 Server 比较慢；抓包发现部分应用请求报文和服务器的回应报文经过的不是同一个 ISP 接口。

• 原因 → 非对称路由（Asymmetric Routing）：出向与回程走不同链路。中间设备（防火墙、会话网关、IDS）的会话表因路径不一致判定会话异常而丢包，客户端重传，表现为慢甚至超时。
• 解决思路：① 调整策略使同一条会话出向与回程走同一链路；② 放宽/关闭会话严格对称性检查；③ 把两条出口做成主备或链路捆绑，从根上消除不对称。

问题 4 现象：互联网用户通过公网地址可访问 Server，内网用户通过内网地址也可访问，但内网用户无法通过公网地址访问 Server，且安全策略配置都正确。

• 原因 → NAT 回流未启用（NAT Hairpin / NAT Loopback）：内网用户访问公网地址时，防火墙需要把目的地址“打回头“转回内网服务器。注意区分：内网用内网地址走普通转发（正常），公网用公网地址走普通 DNAT（正常），只有“内网 → 公网地址“这条路径需要回流。
• 解决：在防火墙上开启 NAT 回流（Hairpin NAT / 双向 NAT）功能。

📌 这两个问题就是 NAT 专题“最后一问“的模板：给现象 → 定位原因 → 给解决思路。记住“非对称路由“和“NAT 回流“这两个词，就拿到了大部分分。

2.2.5 其它 NAT 相关题库原题（2014年上半年）

在这种网络中使用的 DSDV（Destination-sequenced Distance Vector）路由协议是一种（　）

A 洪泛式路由协议   B 随机式路由协议   C 链路状态路由协议   D 距离矢量路由协议

答案：D（距离矢量路由协议） 解析：DSDV 全称带目的序列号的距离矢量路由协议，核心思想仍是每个结点维护到各目的地的最短距离（跳数）及目的序号，收到更大序号的更新即刷新，属于距离矢量类。洪泛式是广播路由（如 DSDP）的方式，随机式不是其分类；链路状态类（OLSR、IS-IS）需要全网拓扑信息。故选 D。

2.3 广域网与接入技术（35 题 · 近 5 年 9 个考期命中）

2.3.1 ADSL 与 PPPoE（22 次 ADSL、15 次 PPP）

• ADSL（非对称数字用户线路）：利用电话线（PSTN）频带，频分复用划分为话音、上行、下行三个独立信道 → 可同时打电话和上网
• 用户侧需ADSL Modem 完成频分复用信号的分离与解调
• PPPoE（Point-to-Point Protocol over Ethernet）：把 PPP 封装在以太网帧里的协议，本质是点对点协议；用户端靠它完成发现、协商、用户认证

题库三道原题串讲（ADSL 接入的四件套）：

三个选项的排除依据（2024上半年 原文）：

• B 项不够准确：承载 PPP 会话的链路虽是以太网，但 PPPoE 本身不是「在局域网内使用 PPP 连接」这一表述所指的局域网协议；
• C 项错在：公网 IP 由 PPPoE Server 通过 PPP 的地址协商功能分配，并非 PPPoE 自身分配；
• D 项错在：PPPoE 支持 PAP/CHAP 身份验证。

另：2015下 那题的 Cable Modem 用于 HFC 有线电视网，ADSL 交换机在运营商侧，无线路由器与 ADSL 无关。

📌 ADSL 接入四件套：ADSL（技术）→ PPPoE（用户端封装协议）→ ADSL Modem（用户端设备）→ PPPoE Server（运营商侧分配 IP）。四个词各管一段，别混。

2.3.2 帧中继（Frame Relay）

• 工作在数据链路层（第2 层）建立虚电路，用 DLCI 标识虚电路
• 交换机按虚电路号转发，不做逐段确认与重传 → 高效率
• 充分利用光纤通信与数字网络技术优势

题库 2014年下半年 原题：下面关于帧中继的描述中错误的是（　）

A 第三层建立虚电路
B 提供面向连接的服务
C 是一种高效率的数据链路技术
D 充分利用了光纤通信和数字网络技术的优势

答案：A（第三层建立虚电路） 解析：帧中继在**数据链路层（第二层）**建立虚电路，用 DLCI 标识虚电路，交换机按虚电路号转发数据，不做逐段确认与重传。因此把虚电路的建立说成“第三层“是错误的。B 的面向连接、C 的高效率（省去逐段确认与流量控制）、D 的利用光纤与数字网络技术优势，均为帧中继的正确特点。

⚠️ 易错：帧中继建虚电路在二层，而 X.25 建虚电路也在二层（D 通道）；ATM 在一层（虚路径 VP/虚信道 VC）；MPLS 在二层与三层之间（标签交换）。建虚电路的层次别记混。

2.3.3 EPON / FTTH 无源光网络（10 次 EPON、10 次 OLT）

EPON 术语（必须全记，2015年下半年 案例考过）：

题库 2024年上半年 原题：OLT 是下列哪项的简称（　）

A 光线路接入    B 光网络接入    C 光网络终端    D 光线路终端

答案：D（光线路终端）。解析：OLT 是 Optical Line Terminal（光线路终端）的简称。

题库 2026年上半年 原题（最新考点）：EPON 系统中，上下行数据采用的封装格式是（　）

A GEM封装    B SDH虚容器    C Ethernet以太网帧    D ATM信元

答案：C（Ethernet 以太网帧） 解析：EPON 上下行均采用 Ethernet 以太网帧封装；GEM 封装是 GPON 使用的封装格式。

📌 EPON vs GPON 的一句话区分：

• EPON = 以太网无源光网，以太网帧，成本低、速率高（2.5G/10G），运营商主力
• GPON = 通用无源光网，GEM 封装 + ATM 封装，下行 2.488G，早期部署，需 OLT/ONU 都支持
• 题库已经明确考过“EPON 用以太网帧，GEM 是 GPON 的“，这两句要成对记。

2.3.4 EPON 组网 vs 传统光纤收发器组网（2015年下半年 案例第 2 题，6 分）

题干要求“从组网结构复杂度、设备占用空间大小、设备投资多少、网络管理维护难易程度“比较 —— 题干给的四个维度就是四个得分点，逐条对比写即可：

2.3.5 EPON 的 VLAN、IP 规划与视频监控组播（2015年下半年 案例第 3、4 题）

标准答案：

(5) ONU          ← 在【ONU】端进行 VLAN 配置
(6) OLT          ← 在【OLT】端采用 trunk 进行 VLAN 汇聚
(7) 静态（或指定）方式   ← OLT 的 IP 用于网元管理，不能动态变化
(8) B．IP 组播    ← 多个监控中心同时查看一个点
(9) B．RJ45       ← ONU 用 UTP 网线接 IPC 摄像机
(10) B．防病毒模块 ← 一般不包含在网管方案中

解析要点：

• VLAN 配置在 ONU 端（用户侧打标签）、trunk 汇聚在 OLT 端（机房侧），符合“接入侧打标、汇聚侧承载多 VLAN“的通用架构。
• OLT 的 IP 用于设备网元管理（网管系统靠它采集性能、告警、配置设备），必须静态分配，否则网管无法定位设备。
• IPC 摄像机地址需统一规划，各厂区划分不同地址段（回到 01 专题的 VLSM 规划）。
• 多点同看视频 → IP 组播：组播只发订阅者、节省带宽；广播是 1:N 但浪费带宽；任意播只选最近的一个。
• UTP 双绞线水晶头是 RJ45；BNC 是同轴电缆接头（早期 10BASE2），USB 是通用串行总线。
• 网管方案不含防病毒模块；网元管理、EPON 系统管理、事件告警管理都是必要组成部分。

2.3.6 SAN 与存储网络（2015年下半年 案例第 1 题，4 分）

📌 一句话记忆：SAN 是“后端网络“（连存储设备），前端网络负责正常业务（TCP/IP）传输。 题库备选中 A．iSCSI 是协议名（IP SAN 的协议之一），不是“互联技术“的正确答案。

三、真题实例

实例 A · 2016年下半年 · 试题三（20 分） · Windows Server 2003 上的 Web 服务与 DNS 服务

材料要点：某公司 IDC 的 Server1 采用 Windows Server 2003，IP 为 172.16.145.128/24，为客户提供 Web 服务和 DNS 服务；配置了三个网站，域名分别是 www.company1.com、www.company2.com、www.company3.com，其中 company1 使用默认端口。基于安全考虑不允许用户上传文件和浏览目录。三个网站目录分别为 company1-web、company2-web、company3-web（图 3-1）。

问题 1（2 分）与 问题 2（4 分）安装组件与 IIS 权限

问题 1：为安装 Web 服务和 DNS 服务，Server1 必须安装的组件有（1）和（2）。 备选答案：A．网络服务B．应用程序服务器C．索引服务　D．证书服务　E．远程终端 问题 2：在 IIS 中创建这三个网站时，在图 3-2 中勾选读取、（3）和执行，并在图 3-3 的文档选项卡中添加（4）为默认文档。

标准答案：

(1) B．应用程序服务器（提供 Web 服务）      (2) A．网络服务（提供 DNS 服务）
   （注：(1)(2) 两者位置可互换）
(3) 运行脚本（如 ASP）      (4) index.html

推理依据（全部来自题干约束）：

• 不允许用户上传文件 → 不勾「写入」；不允许浏览目录 → 不勾「目录浏览」；
• 三个网站均使用静态首页 → 默认文档 index.html；
• 权限口诀：“读得到、跑得动，但不许写、不许列”。

问题 3（6 分）与问题 4（8 分）端口区分网站 + DNS 负载均衡

问题 3：1．使用不同端口号区分不同网站，company1 使用默认端口（5），company2 和 company3 的端口应在 1025 至（6）范围内任意选择，访问时需在域名后添加对应端口号，使用（7）符号连接。测试结果：访问 company2 未显示预期页面（company1 正常），原因是（8）。2．改用不同主机头值区分，需在 DNS 正向查找区域为三个网站域名分别添加（9）记录。company2 的主机头值应设置为（10）。 问题 4：ping www.company1.com 返回多个 IP 地址，说明在 DNS 属性中启用了（11）功能。勾选「启用网络掩码排序」后，系统按（12）原则应答。勾选「禁用递归」后仅采用（13）查询模式。同时启用网络掩码排序和循环功能时，（14）优先级较高。（14）备选答案：A．循环　B．网络掩码排序

标准答案：

(5) 80
(6) 65535
(7) :（半角冒号）
(8) C．未指明 company2 的端口号
(9) A（主机记录，即 A 记录）
(10) www.company2.com
(11) 循环（Round Robin，启用循环）
(12) 网络掩码接近度匹配（掩码匹配度匹配 / 最长匹配）
(13) 迭代
(14) B．网络掩码排序

解析要点：

• （6）题干说“在 1025 至（6）范围内任意选择“，端口号上界是 65535（16 位端口最大值）。
• （7）URL 中「主机:端口」的语法使用半角冒号，如 http://www.company2.com:8080/。
• （8）排他法：company1（默认端口，直接输域名）访问正常 → 排除 A（IP 对应错误）；company1 用默认端口 → 排除 B；本小题用端口方案、尚未启用主机头 → 排除 D。故为未指明 company2 的端口号。
• （9）DNS 正向查找区域中把域名指向对应 IP 的资源记录是 A（Address）记录 / 主机记录；（10）主机头值就是它自己的域名。
• （11）域名返回多个 IP → 循环（Round Robin），客户端连续查询会拿到不同 IP，负载分摊到多台服务器。
• （12）网络掩码排序把客户端 IP 与各条 A 记录做匹配度比较，优先返回掩码匹配度最高（即最长匹配）的记录。
• （13）勾选「禁用递归」后只返回“下一步该问谁“的地址 → 迭代查询。
• （14）同时启用时网络掩码排序优先级较高（它比“轮流“更精确）。

⚠️ 本题的常见丢分点：只写「:」而未说明是半角冒号；只写「A」未说明是 A/主机记录；把域名拼错（如 commany 是 company 的常见笔误）。 📌 本题的价值：这是题库里唯一一道系统考查 Windows DNS 服务器高级属性的案例，四个空覆盖“循环 / 掩码排序 / 递归与迭代 / 优先级“，全部是上午单选的放大版。

实例 B · 2015年下半年 · 试题一（20 分） · 工业园区视频监控 EPON 网络

材料要点：某工业园区视频监控网络拓扑如图 1-1。该网络采用基于 EPON 的技术组网，与传统基于光纤收发器的组网有所不同。使用 SAN 存储系统；采用 VLAN 隔离各工厂和监控点，用 Manage VLAN 统一管理 OLT 设备。

问题 1（4 分）SAN 的组成

图 1-1 中使用了 SAN 存储系统，SAN 是一种连接存储管理子系统和（1）的专用网络。SAN 分为 FC SAN 和 IP SAN，其中 FC SAN 采用（2）互联；IP SAN 采用（3）互联；SAN 可以被看作是数据传输的后端网络，而前端网络则负责正常的（4）传输。 备选答案：A．iSCSI　B．TCP/IP　C．以太网技术　D．SATA　E．文件服务器　F．光纤通道技术　G．视频管理子系统　H．存储设备

标准答案：

(1) H．存储设备     (2) F．光纤通道技术     (3) C．以太网技术     (4) B．TCP/IP

解析要点：

• （1）SAN 连接存储管理子系统和存储设备，它是后端网络。
• （2）FC SAN 用**光纤通道（FC）**互联，光纤传输，性能高、延迟低、成本高 → F。
• （3）IP SAN 用以太网技术互联（iSCSI 协议跑在 TCP/IP 之上），成本低、距离远 → C。 ⚠️ A．iSCSI 是协议名，不是“互联技术“的答案。
• （4）前端网络负责正常的 TCP/IP 传输（承载业务流量），后端网络负责存储数据块传输 → B。

问题 2（4 分）EPON vs 传统光纤收发器组网

请从组网结构复杂度、设备占用空间大小、设备投资多少、网络管理维护难易程度等几方面对两种网络进行比较。

参考答案（分点作答，题干给的四个维度就是四个得分点）：

📌 答题技巧：题干列出的每个维度都要单独成点，写成“A 更 X，因为 ……“。漏一个维度就丢一分。

问题 3（6 分）与 问题 4（6 分）VLAN 位置、IP 规划、组播与网管

问题 3：该系统采用 VLAN 隔离各工厂和监控点，在（5）端进行 VLAN 配置，在（6）端采用 trunk 进行 VLAN 汇聚，使用 Manage VLAN 统一管理OLT 设备。OLT 的 IP 地址主要用于设备的网元管理，一般采用（7）方式分配；IPC 摄像机的地址需要统一规划，各厂区划分为不同的地址段。 问题 4：1．当多个监控中心同时查看一个点的视频时，要求网络支持（8）。（A．IP 广播B．IP 组播C．IP 任意播）2．ONU 设备的（9）接口通过 UTP 网线和 IPC 摄像机连接。（A．BNC　B．RJ45　C．USB）3．该网络的网管解决方案中一般不包含（10）功能或组件。（A．网元管理　B．防病毒模块　C．EPON 系统管理　D．事件、告警管理）

标准答案：

(5) ONU   (6) OLT   (7) 静态（或指定）方式
(8) B．IP 组播   (9) B．RJ45   (10) B．防病毒模块

解析要点：

• VLAN 配置在 ONU 端（用户侧打标签）、trunk 汇聚在 OLT 端（机房侧），符合“接入侧打标、汇聚侧承载多 VLAN“的通用架构。
• OLT 的 IP 用于设备网元管理（网管靠它采集性能、告警、配置设备），必须静态分配，否则网管无法定位设备。
• IPC 摄像机地址需统一规划，各厂区划分不同地址段（回到 01 专题的 VLSM 规划）。
• 多点同看视频 → IP 组播：只发订阅者、节省带宽；广播是 1:N 但浪费带宽；任意播只选最近的一个。
• UTP 双绞线水晶头是 RJ45；BNC 是同轴电缆接头（早期 10BASE2），USB 是通用串行总线。
• 网管方案不含防病毒模块；网元管理、EPON 系统管理、事件告警管理都是必要组成部分。

实例 C · 单选真题六道（照抄题干与四个选项）

（1）2024年上半年 DNS 中名字服务器及其优先级由哪种资源记录定义（　）。

A CNAME
B PTR
C MX
D NS

答案：D —— DNS 中名字服务器及其优先级由 NS 资源记录定义。

（2）2014年下半年 DNS 服务器中的资源记录分成不同类型，其中指明区域主服务器和管理员邮件地址是（　）。

A SOA记录
B PTR记录
C MX记录
D NS记录

答案：A —— SOA（Start Of Authority，起始授权）记录指明该区域的权威（主）域名服务器及其管理员的邮件地址，是每个区域必须存在的起始记录。NS 记录指明区域的权威名称服务器（D错）；MX 记录指明邮件交换服务器（C错）；PTR 记录用于地址到主机名的反向解析（B错）。

（3）2025年下半年 使用服务器名可以查询到 IP 地址，但反之则失败，可能的原因是 DNS 服务器（　）。

A A记录为空
B 宕机
C PTR记录为空
D MX记录为空

答案：C —— 正向解析正常但反向解析失败，说明缺少 PTR（指针）记录。

（4）2024年上半年 若要为一个域名做 IPv6 地址映射，需在 DNS 中添加（　）记录。

A AAAA
B CNAME
C A
D NS

答案：A —— AAAA 记录用于域名到 IPv6 地址的映射；A 记录用于 IPv4。

（5）2022年上半年 用于查看本地 DNS 缓存的命令是（　）。

A ipconfig/all
B ipconfig/renew
C ipconfig/flushdns
D ipconfig/displaydns

答案：D —— ipconfig/displaydns 命令用于查看本地 DNS 缓存。

（6）2026年上半年 EPON 系统中，上下行数据采用的封装格式是（　）。

A GEM封装
B SDH虚容器
C Ethernet以太网帧
D ATM信元

答案：C —— EPON 上下行均采用 Ethernet 以太网帧封装；GEM 封装是 GPON 使用的封装格式。

实例 D · 2023年上半年 试题二【问题3】【问题4】 · 双出口 NAT 的两个故障推理

问题 3（4 分）：经过一段时间运行，经常有互联网用户反映访问 Server 的服务比较慢。经过抓包分析发现部分应用请求报文和服务器的回应报文经过的不是同一个 ISP 接口。请分析原因并提供解决方法。

问题 4（4 分）：互联网用户通过公网地址可以正常访问 Server，内网用户通过内网地址也可以正常访问 Server，但内网用户无法通过公网地址访问 Server，经过排查安全策略配置都正确。请分析造成该现象的原因并提供解决方案。

参考答案：

问题 3 —— 非对称路由

• 原因：出向流量走ISP1、而回程报文走 ISP2（或反之），形成非对称路由（Asymmetric Routing）。请求与响应走的不是同一条链路，路径不一致。
• 影响：中间设备（防火墙、IDS、会话网关）的会话表会因报文路径不一致而判定会话异常并丢弃，或引发 TCP 重传，表现为访问慢甚至超时。
• 解决思路：
  1. 调整策略，使同一条会话的出向与回程走同一条链路（策略一致性）；
  2. 在边界设备上关闭严格会话对称性检查，允许非对称路由；
  3. 若两条链路都可用，可考虑链路捆绑或将两条出口做成主备（而非并行负载），从根上消除非对称。

问题 4 —— NAT 回流未启用

• 原因：内网用户访问公网地址时，流量从内网出发到防火墙，防火墙需要把目的地址“打回头“（NAT Hairpin / NAT Loopback，NAT 回流）转回内网服务器。题中安全策略都正确，所以问题是NAT 回流功能未启用。
• 解决：在防火墙上开启 NAT 回流（Hairpin NAT / 双向 NAT）功能，使内网用户可以用公网地址访问内网服务器。

📌 这两个问题就是 NAT 专题“最后一问“的模板：给现象 → 定位原因 → 给解决思路。记住“非对称路由“和“NAT 回流“这两个词，就拿到了 80% 的分。

四、易错点清单

五、真题自测（10 题）

第 1 层 · 概念识记（4 题）

Q1.1（单选）DNS 中名字服务器及其优先级由哪种资源记录定义（　）。

A CNAME
B PTR
C MX
D NS

Q1.2（单选）使用服务器名可以查询到 IP 地址，但反之则失败，可能的原因是 DNS 服务器（　）。

A A记录为空
B宕机
C PTR记录为空
D MX记录为空

Q1.3（单选）下列关于 OLT 的说法，正确的是（　）。

A OLT 是 Optical Line Unit的缩写，位于用户端
B OLT 是 Optical Line Terminal 的缩写，位于局端机房
C OLT 是 Optical Network Unit 的缩写
D OLT 是 Optical Network Terminal 的缩写

Q1.4（单选）下面关于 PPPoE 的描述中，正确的是（　）。

A 是一种局域网协议
B 为用户分配公网IP地址
C 不能提供身份验证
D 本质上是一个点对点协议

第 2 层 · 机制理解（3 题）

Q2.1（简答）DNS 的递归查询与迭代查询有何区别？主机在解析域名时用的是哪一种？勾选了“禁用递归“的 DNS 服务器用哪一种？

Q2.2（简答）NAT 的 PAT 为什么能让多个内网用户共用同一个公网 IP 地址？华为命令中 nat outbound ... no-pat 带与不带 no-pat 有什么区别？

内网 A：10.1.1.1:50001  ──►  203.0.113.5:40001
内网 B：10.1.1.2:50001  ──►  203.0.113.5:40002
内网 C：10.1.1.3:50001  ──►  203.0.113.5:40003

Q2.3（简答）某企业双出口场景出现两个问题：（1）部分应用请求与响应报文经过的不是同一个 ISP 接口，访问变慢；（2）互联网用户能通过公网地址访问内网 Server，内网用户用内网地址也能访问，但内网用户无法通过公网地址访问 Server（安全策略配置正确）。分别说明原因和解决办法。

第 3 层 · 命令与配置（2 题）

Q3.1（填空）补全华为 USG 防火墙安全策略：允许来自 ISP1、ISP2 的用户访问内网 Server 10.10.10.10 的 TCP 9980 服务。

[USG] security-policy
[USG-policy-security] rule name http
[USG-policy-security-rule-http] source-zone ISP1
[USG-policy-security-rule-http] source-zone ISP2
[USG-policy-security-rule-http] destination-zone trust
[USG-policy-security-rule-http] destination-address （1）
[USG-policy-security-rule-http] service protocol （2） destination-port （3）
[USG-policy-security-rule-http] action （4）

Q3.2（填空）补全 NAT 出方向转换配置：定义 ACL 匹配内网网段，并在上行接口使能 NAT。

[SwitchB] acl number 2001
[SwitchB-acl-basic-2001] rule 5 （1） source 192.168.2.0 0.0.0.255
[SwitchB] interface GigabitEthernet 0/0/3
[SwitchB-GigabitEthernet0/0/3] （2） address-group 1 no-pat

[SwitchB] acl number 2001
[SwitchB-acl-basic-2001] rule 5 permit source 192.168.2.0 0.0.0.255
[SwitchB] interface GigabitEthernet 0/0/3
[SwitchB-GigabitEthernet0/0/3] nat outbound address-group 1 no-pat

第 4 层 · 真题原题（1 题）

Q4.1（2016年下半年 · 案例 · 试题三 · 20 分）某公司 IDC 的 Server1 采用 Windows Server 2003，IP 为 172.16.145.128/24，为客户提供 Web 服务和 DNS 服务。配置了三个网站，域名分别为 www.company1.com、www.company2.com、www.company3.com，其中 company1 使用默认端口。基于安全考虑不允许用户上传文件和浏览目录。三个网站目录分别为 company1-web、company2-web、company3-web。

要求：

1. 指出为安装 Web 服务和 DNS 服务，Server1 必须安装的两个组件；
2. 在 IIS 中创建网站时，主目录应勾选哪些权限？在文档选项卡中添加哪个默认文档？
3. 用不同端口区分三个网站：company1 的默认端口是什么？company2/3 的端口范围上限？域名与端口之间用什么符号连接？测试时 company2 访问失败的原因是什么？若改用主机头区分，需要在 DNS 正向查找区域添加什么记录？company2 的主机头值应设为什么？
4. company1 访问量增加后，设立多台服务器。ping www.company1.com 返回多个 IP，说明启用了什么功能？勾选“启用网络掩码排序“后按什么原则应答？勾选“禁用递归“后采用哪种查询模式？两者同时启用时哪个优先级高？

(5) 80
(6) 65535
(7) :（半角冒号）
(8) C．未指明 company2 的端口号
(9) A（主机记录，即 A 记录）
(10) www.company2.com

(11) 循环（Round Robin）
(12) 网络掩码接近度匹配（掩码匹配度最高 / 最长匹配）
(13) 迭代
(14) B．网络掩码排序

六、复习建议

优先级排序

三个动作建议

1. 做一张“题干关键词 → 记录类型“的双向卡片。正面写题干关键词：「区域主服务器和管理员邮箱」→ 翻面写 SOA；「名字服务器及其优先级」→ NS；「域名别名」→ CNAME；「邮件服务器」→ MX；「IP 反查域名」→ PTR；「域名对应 IPv6」→ AAAA；「域名对应 IPv4」→ A。 七个词条来回翻三遍。上午的记录类型题就变成“送分题“。

2. 把端口表贴在显示器边框上，用“协议名→端口“和“端口→协议名“双向默写。特别标出三个特殊项：DNS 53 要开 TCP+UDP 两个、FTP 是 20+21 两个、OSPF 是 IP 协议号 89 不是端口。 写完做一次防火墙配置题练手：service protocol tcp destination-port 9980 这种填空就会本能写对。

3. 用“现象反推“练故障推理，这是下午案例最后一问的取分点。把下面这张表背下来，然后每一条都用自己的话复述一遍因果链：

   现象	根因
   能 ping 通 IP，打不开网页	DNS 故障（用 nslookup 验证）
   换了 IP 就正常	设备上有基于源 IP 的访问控制策略
   请求/响应走不同 ISP 接口，访问慢	非对称路由
   公网能访问内网地址，内网用公网地址访问不了	NAT 回流未启用
   本机能 ping 通但 IP 是 169.254.x	DHCP 故障（APIPA 自分配）
   域名对应多个 IP	DNS 循环（Round Robin） 负载均衡
   正向解析 OK、反向失败	缺 PTR 记录

   最后一条口诀：“给现象、找唯一能同时解释全部现象的设备/协议” —— 这就是 2021年上半年、2023年上半年两道案例最后一问的共同解法。

返回：00-汇总索引 · 上一专题：02-IPv6与IP协议族 · 下一专题：04-计算机与系统基础 · 05-局域网与交换技术

本文档所有题目、答案、命令均摘自题库真实数据（23 考期 / 129 道真题），统计脚本见 qbwork/export_kpdata.py。

返回：00-汇总索引 · 上一专题：IPv6 与 IP 协议族 · 下一专题：计算机与系统基础