09 · TCP/IP 传输层与应用层

所属模块：TCP/IP传输及应用层 | 覆盖题库 165 题（单选 149 · 案例小题 16） 考期覆盖 24 / 24（100%） 近 5 年（2021–2026）命中 11 个考期（连续 11 考全中） 题型定位：上午型（概念判断 + 少量端口/命令记忆）

一、考情概览

从题库统计的高频术语看（括号内为出现次数）：

结论：应用层协议（80 题）+ TCP（49 题）= 129 题，占 78%。本专题的提分点是死记端口号表和握手报文序列。UDP 只有 8 题但性价比极高（首部 8 字节、无连接、不可靠，三点就够）。

二、知识点清单

2.1 TCP协议（49 题 · 单选 49 · 23 个考期）

2.1.1 TCP 首部（必背）

TCP 首部固定 20 字节（无选项时），字段共 13 个：

六个控制位（控制报文段靠它们）

📌 对比 UDP 首部只有 4 个字段：源端口、目的端口、长度、校验和（共 8 字节）。 ⚠️ 本题库实测原题（2025年上半年）：「UDP 首部不包括（　）字段」→ B 序列号。解析：UDP 首部只有源端口、目的端口、长度、校验和 4 个字段（共 8 字节），序列号与确认号由 TCP 提供。

2.1.2 三次握手（第一高频考点，40 次 SYN）

        客户端                          服务器
   ①  ──── SYN=1, seq=x ───────────►      SYN=1 表示"我要建立连接"
   ②  ◄──── SYN=1, ACK=1, seq=y, ────    同步了双方的初始序号
              ack=x+1
   ③  ──── ACK=1, seq=x+1, ─────────►    确认服务器的序号
              ack=y+1                 连接建立，进入数据传输

报文顺序（必背）：SYN → SYN + ACK → ACK

三个报文的作用

⚠️ 本题库实测原题（2025年下半年）：「TCP 三次握手中，客户端发送的第一个 SYN 报文中的序列号字段是（　）」→ D 由客户端随机生成的 解析：TCP 初始序列号（ISN）由客户端随机生成，防止序列号猜测攻击。 ⚠️ 三个干扰项的错处：不是“固定 0“（那就没有防攻击的意义了）；不是“由服务器指定“（那就无法防止攻击）；不是“根据 IP 计算“（IP 已知即被预测）。

2.1.3 为什么必须三次握手，两次不行（高频简答）

根本原因：TCP 是全双工的，两个方向必须各自被确认一次。

两次握手（SYN → SYN+ACK）之后，服务器就认为连接已建立并立刻分配资源（TBP、发送缓冲区）、把数据发给客户端。但此时客户端并没有收到服务器的 SYN，也就没有机会确认服务器的序号。后果：

1. 无法确认服务器的接收能力 —— 服务器无法确认“客户端收到了自己的 SYN“；
2. 历史连接浪费资源 —— 若客户端上一次的连接已失效、这次的 SYN 是“迟到“的，服务器仍会建立连接并分配资源，客户端却不会理它，导致资源被白白占用（半连接队列堆积 → SYN Flood 攻击的原理）。

📌 经典类比：三次握手相当于“你喊我 → 我应你并喊你 → 你应我“，三个动作缺一不可。 📌 扩展：四次挥手的 TIME_WAIT 状态存在的理由，也是同一个思路（见 §2.1.4）。

2.1.4 四次挥手与 TIME_WAIT 等待 2MSL（第二大高频考点）

        主动关闭方                          被动关闭方
   ①  ──── FIN=1, seq=u ──────────────►    "我没有数据要发了"
   ②  ◄──── ACK=1, ack=u+1 ───────────     "收到，我会关闭"
          （此时连接处于半关闭，被动方仍可发送剩余数据）
   ③  ◄──── FIN=1, seq=v ─────────────      "我也没数据了"
   ④  ──── ACK=1, seq=u+1, ack=v+1 ──►    "收到"
          → 主动关闭方进入 TIME_WAIT，等待 2MSL 后才 CLOSED

为什么挥手要四次而握手要三次：

• 握手时服务器的「SYN + ACK」可以合并在一个报文里（本来就是同一件事）；
• 挥手时，TCP 规定收到对方的 FIN 后只回一个 ACK，要等到本方应用层的写操作全部完成后，才由操作系统另发一个 FIN。ACK 与 FIN 无法合并，所以要 4 个报文。

TIME_WAIT 为什么必须等 2MSL（两个原因，缺一不可）

📌 MSL（Maximum Segment Lifetime，最长报文寿命） 通常取 2 分钟 → 2MSL ≈ 4 分钟。 📌 谁进入 TIME_WAIT：主动关闭方（先发 FIN 的那一方）。如果两边几乎同时关闭，则两边都会进入 TIME_WAIT。

📌 为什么等待的是 2MSL 而不是 1MSL：为了让「重传的 ACK」到达对方（1 个 MSL），并且让「对方重传的 FIN」到达本方（再 1 个 MSL），这样两个方向都不会有残留报文。

2.1.5 可靠传输的五个机制（上午概念题的核心）

TCP 实现可靠传输靠五个机制，缺一不可：

流量控制与拥塞控制的区别（必考）

📌 判断题常设陷阱：「流量控制是防止网络拥塞」→ 错，那是拥塞控制。「拥塞控制依据接收方通告窗口」→ 错，那是流量控制。

2.1.6 拥塞控制：慢启动、拥塞避免、快重传、快恢复

四个算法与三个窗口的关系

拥塞发生时 ssthresh 与 cwnd 的调整

⚠️ 本题库实测原题（2026年上半年）：「关于 TCP 拥塞控制慢启动算法的描述，正确的是（　）」 答案 A：慢启动使用指数增长，当到达拥塞阈值后转为线性增长 解析：慢启动阶段拥塞窗口每经过一个 RTT 翻倍（指数增长），当达到拥塞阈值 ssthresh 后进入拥塞避免阶段，转为线性增长。 干扰项：B（慢启动中 cwnd 不会超过阈值）错——超过门限就进入拥塞避免；C（固定速率）错——是指数不是固定；D（从一个窗口值开始、每 RTT 倍增）——「一个窗口值」表述与“翻倍“混在一起，题目以 A 为准。

⚠️ 本题库实测原题（2019年下半年）—— 经典计算题：TCP 采用慢启动进行拥塞控制，若某轮拥塞窗口为 8 时出现拥塞，经过 4 轮均成功收到应答，此时拥塞窗口为（　） 答案 B：6 解析（原文）：拥塞时门限值 thresh = 8 ÷ 2 = 4，拥塞窗口 cwnd 重置为 1。慢启动阶段依次发送 1、2、4 个报文，第 3 轮达到门限值后转为线性增长，故发送 5 个；第 4 轮收到应答后 cwnd = 5 + 1 = 6。 ⚠️ 干扰项：C「7」对应第 5 轮，D「8」是拥塞前的窗口值（陷阱：题目问的是“拥塞后 4 轮“，不是“拥塞前“）。

⚠️ 本题库实测原题（2025年下半年）：某 TCP 连接初始阈值为 16KB，采用慢启动阶段每 RTT 窗口翻倍，经过 3 个 RTT 后拥塞窗口为（　）→ B 128KB。解析：16 × 2³ = 128KB。

📌 计算模板（背下来）： ① 发生拥塞 → ssthresh = 当前 cwnd ÷ 2，cwnd = 1； ② 慢启动阶段 → 每 RTT 翻倍：1 → 2 → 4 → 8 … 直到 cwnd ≥ ssthresh； ③ 拥塞避免阶段 → 每 RTT 加 1； ④ 「超过 ssthresh 的那一个 RTT」只算到 ssthresh，之后才 +1。

2.1.7 TCP 的安全与攻击

⚠️ 本题库实测原题（2024年上半年）：「SYN 泛洪攻击利用 TCP 的哪个过程（　）」→ B 连接建立。解析：SYN 泛洪攻击利用 TCP **连接建立（三次握手）**过程。

SYN Flood 原理：攻击者不断伪造源 IP 发送 SYN，服务器完成两步握手（回了 SYN+ACK）却收不到第三个 ACK，于是半连接队列堆积、服务器资源耗尽。 防御：SYN Cookie（把状态编码进序号，不占队列）、防火墙、限速。

📌 关联记忆：这也是为什么第三次握手不可省——少了它，服务器就会为“半连接“分配资源，被攻击者利用。

2.2 UDP协议（8 题 · 但极易拿分）

2.2.1 UDP 首部（只有 8 字节）

⚠️ 本题库实测原题（2020年下半年）：「UDP 头部的大小为（　）字节」→ A 8。解析：源端口(2) + 目的端口(2) + 长度(2) + 校验和(2) = 8 字节。

2.2.2 UDP 最大负载（计算题，2024 下原题）

UDP 段总长度（长度字段，最大值） = 65535 字节
UDP 首部                          = 8 字节
─────────────────────────────────────
UDP 最大负载（纯数据）            = 65535 − 8 = 65527 字节

⚠️ 本题库实测原题（2024年下半年）：「UDP 段可容纳的最大负载是（　）字节」→ D 65527。解析：UDP 最大负载 = 65535（UDP 总长度字段） − 8（UDP 头部） = 65527 字节。 ⚠️ 易错：选 A「65535」是UDP 总长度的字段上限，不是负载；那 8 字节首部是要占掉的。

2.2.3 UDP 的三个特点

⚠️ 本题库实测原题（2025年下半年）：「UDP 协议的特点是（　）」→ B 无连接协议，不保证数据的可靠性和顺序 干扰项：A（确保按顺序到达且不丢失）→ 那是 TCP；C（可发送任意大小的数据包）→ 错，UDP 数据报长度有上限（65535 − 8）；D（传输前需握手）→ 错，UDP 无连接。

⚠️ 本题库实测原题（2026年上半年）：「当 UDP 校验和字段计算结果出错时，接收方协议栈会采取的处理方式是（　）」→ B 直接丢弃该报文。解析：UDP 不保证可靠传输，校验和出错时接收方直接丢弃该报文，不进行纠错或重传。 📌 注意：UDP 的校验和在 IPv4 中可选（可填 0 表示不校验），在 IPv6 中强制；出错一律静默丢弃，不产生任何 ICMP 差错（不像 IP 层会发 ICMP 差错报文）。

2.2.4 基于 UDP 的应用层协议（必记）

⚠️ 本题库实测原题（2016年下半年）：「下面的应用层协议中通过 UDP 传送的是（　）」→ B TFTP 解析（原文）：TFTP（简单文件传送协议）建立在 UDP 之上，只提供简单的文件读写与传输功能，不做连接与可靠重传，故 B 正确。SMTP 发送邮件、POP3 接收邮件、HTTP 传输 Web 资源都基于 TCP，需要可靠有序的字节流支撑。

传输层协议选型口诀

2.3 端口与Socket（28 题 · 单选 22 · 小题 6）

2.3.1 端口号与协议号的区别（最高频易混点）

📌 一句话：端口号区分“主机里的不同应用“，协议号区分“用哪种传输层协议“。 📌 经典例子：两台主机通信时，IP 首部的协议号 = 6（TCP）；TCP 首部的端口号 = 80。两者所在的首部位置不同、取值范围不同。

常见 IP 协议号

⚠️ 高频陷阱：AH = 51、ESP = 50，顺序不要记反（记忆：ESP 在前用 50，AH 在后用 51）。 ⚠️ 易错：把 50 和 51 说成“端口号“→ 错，它们是IP 首部的协议号字段。

2.3.2 Socket（套接字）

Socket = IP 地址 + 端口号。操作系统用 Socket 唯一标识一个通信端点。

📌 “流“与“数据报“的关键差别：TCP 是字节流，应用层write 一次的数据可能被拆成多个 TCP 段（也可能合并）→ 应用层要用长度字段/结束符自己切分消息；UDP 是报文边界保留，一次 send 对应一个数据报。

2.3.3 常用端口号表（必背，本专题第一提分点）

⚠️ 本题库实测原题（2021年上半年）：「SMTP 协议默认使用的端口号是（　）」→ A 25。 ⚠️ 本题库实测原题（2021年上半年）：「POP3 协议默认使用的端口号是（　）」→ D 110。解析：POP3 服务器接收邮件的端口号为 110。 ⚠️ 本题库实测原题（2017年下半年）：「安全协议，其默认端口是（　）」→ B 443。解析：HTTPS 默认端口 443，HTTP 为 80，8080 常用于代理，1023 及以下属保留端口。 ⚠️ 本题库实测原题（2021年下半年）：「下列端口号中，不属于常用电子邮件协议默认端口的是（　）」→ A 23。解析：23 是 Telnet；25 是 SMTP，110 是 POP3，143 是 IMAP。

📌 邮件三协议口诀：SMTP 25 发、POP3 110 **收（下载）、IMAP 143 **收（服务器上管理）。判断“哪个不是邮件端口“就选 23（Telnet）。

2.3.4 端口类命令与工具（华为 VRP + Linux/Windows）

华为设备查看端口相关配置

display tcp                    ← 查看 TCP 连接状态表
display udp                    ← 查看 UDP 连接状态表
display interface brief        ← 接口状态速览（判断端口是否 up）

Windows

⚠️ 本题库实测原题（2024年上半年）：「netstat 命令中的（　）选项可以用于显示网络接口的 IP 地址和 MAC 地址」→ B -i 解析：-i 即 interface，用于显示网络接口（网卡）列表信息，是四个选项中与“网络接口“对应的一项。 补充说明（实测）：单独 netstat -i 输出 Kernel Interface table（Iface、MTU、RX-OK/RX-ERR、TX-OK/TX-ERR 等流量计数）；netstat -e 在 Linux 上是 extend，只增加 User、Inode 列。真正同时打印 IP 与 MAC 的是 netstat -ie 组合（等价于 ifconfig -a）。 ⚠️ 干扰项辨析：-a 显示所有连接与监听套接字；-n 以数字形式显示地址和端口，不显示接口的 IP/MAC。

2.4 Internet应用协议（80 题 · 单选 70 · 22 个考期）

2.4.1 DNS（3 个专题会反复考，此处只列要点）

• 默认端口 53（UDP 为主，大报文用 TCP）
• 记录类型：A（IPv4）、AAAA（IPv6）、CNAME（别名）、NS（域名服务器）、MX（邮件交换）、PTR（反向）、SOA（起始授权数据）
• 查询方式：递归查询（客户端→本地域名服务器）、迭代查询（域名服务器之间）
• 服务器分类：本地域名服务器、根域名服务器、顶级域名服务器、权威域名服务器

📌 详细 DNS 内容见 03-DNS与Internet应用协议。

2.4.2 FTP（59 次，本专题第一高频协议）

⚠️ 陷阱：20 是 FTP 的端口，但 20 是“数据“端口、21 是“控制“端口，不要弄反。 📌 软件化迁移：FTP 数据是明文，可被嗅探；FTPS / SFTP 是加密版本。

2.4.3 电子邮件三协议（必背对比）

📌 POP3 与 IMAP 的核心区别：POP3 是“下载 + 可选删除“（离线阅读），IMAP 是“留在服务器上多端同步“（在线管理）。

⚠️ 本题库实测原题（2024年上半年）：「下列协议中，可以加密传输电子邮件的是（　）」→ A SSL。解析：SSL 协议可以加密传输电子邮件。 ⚠️ 本题库实测原题（2024年上半年）：「POP3 协议采用的工作模式是（　）」→ B C/S。解析：POP3 协议采用 C/S（客户端/服务器）模式。

📌 易错：「SMTP、POP3、IMAP 都是 B/S」→ 错，它们都是 C/S（客户端/服务器）。B/S 是浏览器访问服务器的形态（典型只有 HTTP/HTTPS）。

2.4.4 HTTP 与 HTTPS

HTTPS 握手的关键点

⚠️ 本题库实测原题（2026年上半年）：「SSH 协议在建立连接时完成用户身份验证主要依靠（　）」→ A 非对称密钥交换与签名 解析：SSH 建立连接时通过非对称密钥交换（如 Diffie-Hellman）协商会话密钥，并使用公钥签名完成服务器/用户身份验证。

HTTPS 的请求头字段（常考）

⚠️ 本题库实测原题（2024年上半年）：「HTTPS 请求中用于指定请求内容类型的头部字段是（　）」→ D Content-Type。解析：Content-Type 用于指定请求的内容类型。 ⚠️ 干扰项辨析：If-Modified-Since/Expires/Cache-Control 三个都属于缓存控制类头字段，与“内容类型“无关。

HTTP 状态码

2.4.5 Telnet、SSH 与远程管理

⚠️ 本题库实测原题（2024年上半年）：「Telnet 可利用下列哪种加密协议保护传输安全（　）」→ C TLS。解析：Telnet 可利用 TLS 加密协议保护传输安全。 📌 常见搭配：HTTP + TLS = HTTPS；SMTP + TLS = SMTPS；Telnet + TLS = Telnet over TLS（TelnetS）。

Windows 远程管理三件套

2.4.6 DHCP（3 个专题共用）

📌 DHCP 中继代理原理细节见 实例 B。

2.4.7 网络过滤命令（iptables，2021 上原题）

iptables -A INPUT -p tcp -s <源IP> -d <目的IP> -dport/-sport <端口> -j <目标>

⚠️ 本题库实测原题（2021年上半年）：「在 Linux 中，使用 iptables 禁止来自 192.168.0.2 的主机进行 SSH 登录的命令是（　）」 答案 C：iptables -A input -p tcp -s 192.168.0.2 -destination-port 22 -j DENY 解析：需指定源 IP（-s 192.168.0.2） 和目标端口（-destination-port 22，SSH 端口），拒绝来自该 IP 的 SSH 登录。

📌 判断口诀：「来自谁」→ 源 IP（-s）；「访问什么服务」→ 目标端口（-dport）。 ⚠️ 四个干扰项的错处：A 用了 -source-port 22（源端口是客户端的临时端口，不是 SSH）；B/D 用了 -d 192.168.0.2（那是“流向该主机“，不是“来自该主机“）。

2.4.8 交换机端口组配置（2026 上原题，华为 VRP）

[SW1] port-group pg1                                    ← 创建端口组 pg1
[SW1-port-group-pg1] group member gigabitethernet 0/0/1 to gigabitethernet 0/0/5
[SW1-port-group-pg1] port default vlan 10              ← 组内端口默认 VLAN 设为 10

⚠️ 本题库实测原题（2026年上半年）：「以下配置代码的作用是（　）」→ C 为 VLAN10 中添加端口

[SW1]port-group pg1
[SW1-port-group pg1]group member gigabitethernet0/0/1 to gigabitethernet0/0/5
[SW1-port-group-pg1]port default vlan 10

解析：创建端口组 pg1，将 GE0/0/1 到 GE0/0/5 加入端口组，并将这些端口的默认 VLAN 设为 10，即为 VLAN10 批量添加端口。

📌 三视图要看清：[SW1]（用户/系统视图，创建组）→ [SW1-port-group pg1]（端口组视图，加成员口）→ [SW1-port-group-pg1]（端口组成员视图，设端口属性）。第二、三个视图提示符不一样，考试照抄题目给的写法即可。

相关端口隔离（2024 上原题素材命令）

[SW3] interface GigabitEthernet 0/0/1
[SW3-GigabitEthernet 0/0/1] port isolate enable        ← 端口隔离（同 VLAN 内端口互访被隔离）
[SW3] interface GigabitEthernet 0/0/48
[SW3-GigabitEthernet 0/0/48] port isolate enable

📌 端口隔离与 VLAN 的区别：port isolate 是在同一个 VLAN 内把端口彼此隔离（更轻量、更细粒度）；VLAN 是广播域划分。

三、真题实例

实例 A · 2015年上半年 · 试题一（企业网络防火墙、OSPF、VLAN、链路聚合、VRRP、MSTP，20 分）

材料要点：某企业网络拓扑图 1-1，工程师给出的需求：① 用防火墙实现内外网地址转换和访问控制；② 核心交换机承担数据转发，并与汇聚层两台交换机实现 OSPF；③ 接入层到汇聚层采用双链路组网；④ 接入层交换机对地址进行 VLAN 划分；⑤ 对企业核心资源加强安全防护。

问题 1（4 分）NIDS 部署位置与优势

解析要点（原文）：

• ① 部署在核心交换机与互联网之间的链路上 —— 此处在企业网络的对外边界内侧，所有进出企业的流量都要经过此处，而企业最需要保护的就是核心交换机、服务器等关键系统、服务和资源，故优势是「监视针对关键系统、服务和资源的攻击」（C）。
• ② 部署在互联网与防火墙之间的链路上 —— 此位置直接面对互联网，可以看到来自外部网络的全部攻击流量，因此能「检测外部网络攻击的数量和类型」（A）；同时由于是**串接（inline）**在通路上，可在攻击流量到达内部之前发现并丢弃/限速，从而「减轻拒绝服务攻击的影响」（D）。
• ③ 部署在服务器区与核心交换机之间的链路上 —— 服务器区在拓扑中位于 DMZ 位置，可专门「监视针对 DMZ 中系统的攻击」（B）。

IDS 部署规范要点（原文）：

• 旁路（镜像）部署：只能 passively 检测，不影响流量，但无法阻断攻击；
• 串接（inline）部署：可联动防火墙/路由器做实时阻断，但可能成为瓶颈并引入延迟；
• 通常在进出口部署覆盖外部攻击，在关键网段旁路部署覆盖内部攻击与 DMZ 攻击。

📌 素材标注的“重要更正“：库中旧解析写「(1) B　(2) A　(3) D　(4) C」，(1) 与 (4) 被互换。现已按图 1-1 逐一确认三处 NIDS 位置，并与官方《答案详解》一致，答案更正为 (1)C (2)A (3)D (4)B。这个更正恰好说明位置 → 优势“的对应必须逐个推，不能凭印象。

问题 2（4 分）OSPF 与 RIP

（5）A．链路状态　（6）B．RIP

解析要点（原文）：

• （5） OSPF 是内部网关协议（IGP），通过路由器之间通告网络接口的状态来建立链路状态数据库（LSDB），生成 SPF 最短路径树 —— 因此 OSPF 属于链路状态路由协议。（对比：距离矢量——RIP、IGRP；路径矢量——BGP 属 EGP，用于自治系统之间。）
• （6） 网络规模较小时，路由表条目少、拓扑简单，用静态路由最省资源；若仍需动态路由，应选开销最小的 RIP（基于距离矢量、实现简单、适合小型网络）。不选 C：BGP 用于自治系统之间，规模大、配置复杂；不选 A（EGP）：EGP 早已被 BGP 取代。

问题 3（4 分）端口聚合

（7）C．access　（8）B．trunk

解析要点（原文）：

• （7） F0/3、F0/4 用来互联两台汇聚交换机，属设备间互联端口。交换机的二层端口默认工作模式是 access（默认只属 VLAN 1、只承载单 VLAN 流量），所以必须显式改为 trunk 才能承载多 VLAN。
• （8） 端口聚合（EtherChannel）把多条物理链路捆绑成一条逻辑链路。若组内物理接口是 access 模式，每个口只属一个 VLAN，捆绑后也无法通过多个 VLAN；只有配为 trunk、放通多个 VLAN，才能既做链路捆绑又承载多业务流量。

命令解析（题库原卷是 Cisco 语法，此处对照给出华为 VRP 写法）：

📌 华为补充规则：华为的 port trunk permit vlan 默认只放通 VLAN 1， 必须显式写 port trunk permit vlan <id> 放通需要的 VLAN； 而 Cisco 的 trunk 默认放通所有 VLAN。这是两家的重要差异，考试爱在“默认行为“上出题。

同一 Eth-Trunk 组成员端口的 port link-type 与 VLAN 配置必须一致， 否则聚合组不生效。

华为完整配置示例（把上面的题改成华为语法）：

[SW1] interface GigabitEthernet 0/0/3
[SW1-GigabitEthernet0/0/3] port link-type trunk
[SW1-GigabitEthernet0/0/3] port trunk permit vlan 10 20 30
[SW1-GigabitEthernet0/0/4] port link-type trunk
[SW1-GigabitEthernet0/0/4] port trunk permit vlan 10 20 30
[SW1-GigabitEthernet0/0/3] eth-trunk 1
[SW1-GigabitEthernet0/0/4] eth-trunk 1
[SW1-Eth-Trunk1] port link-type trunk
[SW1-Eth-Trunk1] port trunk permit vlan 10 20 30      ← 逻辑口上还要再配一次

[SW1] stp mode mstp                            ← 多 VLAN 负载分担用 MSTP
[SW1] interface Vlanif10
[SW1-Vlanif10] ip address 10.10.10.1 255.255.255.0
[SW1-Vlanif10] vrrp vrid 10 virtual-ip 10.10.10.254
[SW1-Vlanif10] vrrp vrid 10 priority 120

补充（原文）：STP 会把冗余链路中的若干条阻塞、只保留一条以避免二层环路；而 EtherChannel 把多条链路捆绑成一条逻辑链路，既增加带宽（负载分担）又提供链路冗余 —— 这正是需求 ③ 的标准做法。

问题 4（6 分）VRRP 与生成树

（9）VRRP（也可用 HSRP）　（10）A．Master　（11）D．MSTP

解析要点（原文）：

• （9） 实现网关冗余、让两台设备对外表现为一个虚拟网关 → VRRP。它通过**组播通告（Advertisements）**选举主备，比较优先级，优先级高的成为 Master，并抢占虚拟 IP 与虚拟 MAC。
• （10） 备份设备长时间收不到主设备的组播通告，说明主设备已故障（Keepalive 超时），此时备份设备接管角色，把状态转为 Master（A）。 ⚠️ 注意：Backup 本身不是正确答案，因为题目问的是「将自己的状态转为」什么，转入的是 Master。
• （11） 避免二层广播风暴（即二层环路）→ 配置生成树协议。传统 STP 收敛慢（30~50s），Rapid STP/CIST 收敛快；多 VLAN 环境下应用 MSTP（802.1s），可在不同 VLAN 间做负载分担（单棵 STP 对所有 VLAN 阻塞同一条链路，会造成带宽浪费）。 ⚠️ VTP Server（C）不选：VTP 是 VLAN 修剪协议，用于裁剪中继链路上不活动的 VLAN，与广播风暴无关。

协议辨析速查（原文）：

问题 5（2 分）VRRP 优先级与 preempt

Switch 1(config)# interface vlan 20
Switch 1(config-if)# ip address 192.168.20.253 255.255.255.0
Switch 1(config-if)# standby 2 ip 192.168.20.250
Switch 1(config-if)# standby 2 preempt
Switch 1(config-if)# exit

（12）100　（13）设置为抢占模式：当本设备优先级高于其它设备时，故障恢复后抢占 VLAN20 的控制权（成为 Master）

解析要点（原文）：

• （12） VRRP/HSRP 中路由器的默认优先级是 100，范围 1~254（HSRP 中 0~255），数值越大越优先。本配置未显式设 priority，故取默认值 100。
• （13） standby 2 preempt 中的 preempt（抢占）：默认情况下 Backup 设备即使优先级更高也不会主动抢主；启用 preempt 后，当本设备优先级高于当前 Master 时，即使当前 Master 正常也会抢占。更重要的用途是——当原 Master 故障后恢复上线时，由于它优先级更高，会重新抢占回 Master 角色，使负载回到原主设备，保持配置一致性。
• ⚠️ 抢占会带来短暂流量中断（切换瞬间丢包），因此并非所有场景都需要 preempt。

📌 本题的价值：一道题覆盖 NIDS 部署 + OSPF/RIP + 端口聚合 + VRRP/MSTP + preempt 语义 五个考点，是下午案例题的典型综合密度。注意其中命令是 Cisco 语法（Switch 1(config)#），这类题照抄题目形式即可。

实例 B · 2015年上半年 · 试题三（Windows Server 2003 共享打印、FTP、DHCP 服务，20 分）

材料要点：某企业采用 Windows Server 2003 配置了共享打印、FTP 和 DHCP 服务。

问题 1（8 分）Internet 共享打印

解析要点（原文）：

• **（1）IPP（Internet Printing Protocol，因特网打印协议）**是基于 Internet 的应用层协议，面向终端用户和终端打印设备，在浏览器与打印设备之间传送打印作业、打印机属性与状态信息。（IPP 基于 HTTP，默认端口 631。）
• （2） Internet 打印服务依赖 ASP 页面动态生成「可用打印机列表 + 状态信息」并与用户交互，因此必须在 Web 服务扩展中把 Active Server Pages 设为“允许“，否则 ASP 页面无法执行，只能看到静态内容。
• （3） 检验 Internet 打印服务是否安装正确，就在本机浏览器访问打印服务提供的页面：HTTP://127.0.0.1/PRINTERS。（127.0.0.1 是本机回环地址，能访问说明服务已就绪；必须用 HTTP 而非 FTP；路径为 /PRINTERS。）
• （4）正确顺序 ①⑥③②⑤④： ① 用户在终端输入打印设备的 URL，连接到打印服务器 → ⑥ 浏览器把 HTTP 请求通过 Internet 发送到打印服务器 → ③ 打印服务器要求客户端提供身份验证信息 → ② 授权后服务器用 ASP 页面向用户显示打印机状态信息 → ⑤ 用户点击某台打印机后，客户端先在本地查找驱动程序；若没有，打印服务器生成一个 Cabinet（.cab）驱动文件并下载到客户端，客户端提示允许下载 → ④ 用户连接到 Internet 打印机后，用 IPP 把文件发送到打印服务器完成打印。

问题 2（8 分）FTP 配置（Windows Server 2003 / IIS）

解析要点（原文）：

• （5） FTP 使用 TCP 21 作为控制连接（命令通道），数据连接用 TCP 20（主动模式）或由服务器指定被动端口。对比：HTTP=80、HTTPS=443、SMTP=25、POP3=110、DNS=53。
• （6） IIS 的 FTP「目录安全性」提供三种访问控制方式：拒绝访问（默认，全部禁止）、只允许匿名访问、授予用户或组访问权限。只允许一台主机的做法：打开站点属性 →「目录安全性」页 → 选“拒绝访问“ → 单击“添加“ → 在“授权访问“对话框中选中“一台计算机“（而非一组计算机） → 填入允许访问的那台主机 IP → 确定。
• （7） FTP 站点是 IIS 中的虚拟服务器，创建多个 FTP 站点有两种办法：① 不同的 IP 地址（同一 IP 上只能有一个站点用同一端口）；② 相同的 IP 地址但不同的 TCP 端口（如 21、2121、8021）。实质是「IP + 端口」二元组必须唯一。
• （8） IIS 管理器中 FTP 站点的“当前会话“（Current Sessions）用于查看当前连接到该站点的客户端/用户信息与活动会话情况。

问题 3（4 分）DHCP

解析要点（原文）：

• （9） 图 3-4 是 DHCP 服务器的作用域（Scope）属性页面，其中填入服务器所在子网的默认网关 IP 地址（即 option routers 的值），该值随 DHCP 服务下发给客户端，供其设置默认路由。
  • A 错：分配给客户端的 IP 由地址池（起始/结束地址）决定，不在网关字段；
  • C 错：DHCP 服务器自身的 IP 是在 DHCP 控制台/服务器属性中配置的，不在作用域属性页。
• （10）DHCP 中继代理（DHCP Relay Agent）的作用是为跨网段的客户端分配地址。 原理：客户端发起的 DHCP 发现（DHCPDISCOVER）是广播，而广播不能跨越路由器/子网；当 DHCP 服务器与客户端不在同一子网时，就需要在中间的路由器/交换机上配置中继代理，由它把广播转发成单播送到 DHCP 服务器，再把应答转回客户端。命令：ip helper-address <DHCP服务器IP>。

📌 本题的价值：FTP 的 21 / 20 端口是本专题 §2.4.2 的直接应用；DHCP 中继的**“广播不能跨网段”**是原理性考点，务必记牢。

四、易错点清单

五、真题自测（10 题）

第 1 层 · 概念识记（4 题）

Q1.1（单选）UDP 首部不包括（　）字段。

A. 目标端口    B. 序列号    C. 源端口    D. 校验和

Q1.2（单选）UDP 头部的大小为（　）字节。

A. 8    B. 16    C. 20    D. 32

Q1.3（单选）下列端口号中，不属于常用电子邮件协议默认使用的端口的是（　）。

A. 23    B. 25    C. 110    D. 143

Q1.4（单选）下列协议中，可以加密传输电子邮件的是（　）。

A. SSL    B. IMAP    C. SMTP    D. POP3

第 2 层 · 机制理解（3 题）

Q2.1（简答）TCP 为什么必须用三次握手建立连接？两次握手行不行？说明理由。

Q2.2（简答）为什么 TCP 连接关闭需要四次挥手，而建立只需三次？TIME_WAIT 状态为什么要等待 2MSL？

Q2.3（简答）TCP 的流量控制与拥塞控制有什么区别？各自的依据是什么？

第 3 层 · 命令与配置（2 题）

Q3.1（填空）在 Linux 上禁止来自 192.168.0.2 的主机进行 SSH 登录，补全命令：

iptables -A INPUT -p tcp -s 192.168.0.2 （1） 22 -j DENY

iptables -A INPUT -p tcp -s 192.168.0.2 -destination-port 22 -j DENY

Q3.2（填空）某交换机需创建端口组 pg1，把 GE0/0/1 到 GE0/0/5 加入该组，并将这些端口的默认 VLAN 设为 10。补全命令：

[SW1] （1） pg1
[SW1-port-group pg1] （2） gigabitethernet 0/0/1 to gigabitethernet 0/0/5
[SW1-port-group-pg1] （3） 10

[SW1] port-group pg1
[SW1-port-group pg1] group member gigabitethernet 0/0/1 to gigabitethernet 0/0/5
[SW1-port-group-pg1] port default vlan 10

第 4 层 · 真题原题（1 题）

Q4.1（2015年下半年 · 单选 · 真题原题）TCP 采用慢启动进行拥塞控制，若 TCP 在某轮拥塞窗口为 8 时出现拥塞，经过 4 轮均成功收到应答，此时拥塞窗口为（　）。

A. 5    B. 6    C. 7    D. 8

六、复习建议

优先级排序

三个动作建议

1. 做一张“A5 横向卡片“，正反两面全是端口号表，正面按协议排、背面按数字排。 正面：FTP 21/20 · SSH 22 · Telnet 23 · SMTP 25 · DNS 53 · DHCP 67/68 · TFTP 69 · HTTP 80 · POP3 110 · IMAP 143 · HTTPS 443 · SNMP 161/162 背面：20 21 22 23 25 53 67 68 69 80 110 143 161 162 443 631，每行写协议名。 加上音频、UDP/TCP 标记。每天早晚各看一遍，一周就能形成条件反射。

2. 把「三次握手 / 四次挥手 / 2MSL」画成两幅图，箭头旁边标上每个报文的标志位与序号。

   握手：SYN(seq=x) → SYN+ACK(seq=y, ack=x+1) → ACK(seq=x+1, ack=y+1) 挥手：FIN(seq=u) → ACK(ack=u+1) → FIN(seq=v) → ACK(ack=v+1) → TIME_WAIT(2MSL) 然后合上纸默画一遍。能画出来，简答题的两问就有一半分。

3. 把所有“两个 X 的区别“整理成一张对照表，每天读一遍。

   流量控制 vs 拥塞控制（接收方窗口 / cwnd） UDP vs TCP（8/20 字节、无连接/面向连接、不可靠/可靠） POP3 vs IMAP（下载删除 / 服务器上管理） TCP vs UDP 的端口复用（一个端口可同时有 TCP 和 UDP 两个服务，如 DNS 53） 快速重传 vs 超时重传（3 个重复 ACK / RTO 超时） 软考的辨析题几乎全考“两两对比“，把成对的知识点凑在一起记，比孤立背省一半时间。

返回：00-汇总索引 · 相关专题：03-DNS与Internet应用协议（DNS/HTTP/FTP 细节） · 02-IPv6与IP协议族（协议号、AH/ESP） · 15-网络体系结构与标准（PDU 与端口的对应）

本文档所有题目、答案、命令均摘自题库真实数据（24 考期 / 165 道真题），统计脚本见 qbwork/export_kpdata.py。

返回：00-汇总索引 · 上一专题：防火墙 ACL 与安全设备 · 下一专题：数据通信基础