Keyboard shortcuts

Press ← or → to navigate between chapters

Press S or / to search in the book

Press ? to show this help

Press Esc to hide this help

24 · 下午大题知识点图谱 —— 规划与存储

覆盖 6 个知识点 · 累计命中 94/44 次 · 近 5 年（2021上~2026上，11 考期 / 44 道大题） 素材来源：kpmap/下午大题知识点图谱-规划与存储.json。命令全部华为 VRP 格式（display 不是 show）。

本篇知识点与 7 天定位

知识点命中考期命中率7 天第几天星级
分布式存储与备份26/4411/1159.1%D6 上午★★★★★
需求分析与方案设计21/4410/1147.7%D6 上午★★★★★
Internet 应用协议13/449/1129.5%D4 上午★★★★☆
RAID 技术12/448/1127.3%D6 下午★★★★☆
结构化布线12/449/1127.3%D6 下午★★★★☆
DNS 与域名10/448/1122.7%D4 上午★★★☆☆

本篇命题气质：只问「该选哪种」和「是多少」，几乎不考命令。 近 5 年 44 道大题里，本篇两个压倒性设问方式是**「问选型/对比」（16 道，36.4%）和「简述/说明要点」（14 道，31.8%）；「带宽/容量估算」9 道（20.5%）在 RAID 这一块就是纯算术题**。而「补全配置命令」的年度趋势是 2021:4 → 2022:2 → 2023:3 → 2024:3 → 2025:1 → 2026:0，已几乎退场。

年份问选型/对比简述/说明要点带宽/容量估算补全配置命令
20210124
20224432
20233113
20244413
20254321
20261100

本篇第一原则： RAID 算盘数、方案选 RAID 级别、布线判子系统、设计题答「为什么这么选」。 真实设问长这样：「该冗余技术通过（8）方式来实现数据冗余保护，每个 RAID 组至少应配备（9）块硬盘」——考的是公式反射，不是让你默写 raid 5。

知识点 1 · 分布式存储与备份 ← 命中 26/44（59.1%）

① 考情定位

命中 26 次，11 个考期全部命中，全篇唯一「期期不落」，也是全文命中数第 1。素材：asks 40 条、blanks 30 条、cmds 40 条。命中率高不等于存储难：它常以「冗余方式怎么选 / 副本几个 / 拷贝怎么做」出现，属于判断题不是计算题。

设问方式分布（cats，共 9 类，按次数降序） 问措施/规范 19 ★主线：保证数据不丢/提高备份速度 ｜ 问作用/功能 17 ★并列主线 ｜ 问冗余/可靠性 16 ★副本数/容错块数 ｜ 问选型/对比 13 ｜ 填地址/掩码 12（联动）｜ 问故障原因 12 ｜ 补全配置命令 10 ⚠️2026 归零 ｜ 简述/说明要点 9 ｜ 带宽/容量估算 8

② 命题角度（这个知识点在考什么）★

A. 核心信号：前三项合计 52 次，说明存储类考点几乎全部是**「说出方案 + 说清功能」**，而不是让你配存储设备。

B. 真实设问原文（照抄素材 asks）

考期设问原文
2021年上半年其中本地备份磁盘阵列要求至少坏 2 块磁盘而不丢失数据（不计算热备盘），应采用 (8) 磁盘冗余方式
2021年上半年异地备份使用互联网传输数据，应采用 (9) 措施保障数据传输安全
2022年上半年该冗余技术通过（8）方式来实现数据冗余保护，每个 RAID 组至少应配备（9）块硬盘
2022年上半年问题4（2分）LUN 快速拷贝： 要求存储系统在不中断业务的基础上，快速获得一个 LUN 在某个时刻的完整数据拷贝，可以使用（10）功能实现
2022年上半年问题1（8分）可靠性指标与关键链路冗余技术： 评价系统可靠性通常采用 MTBF（Mean Time Between Failures，平均故障间隔时间）和 MTTR（Mean Time to Repair，平均修复时间）这两个技术指标
2022年上半年在实际的网络中，故障难以避免，保证可靠性的技术从两个方面实现：故障检测技术和链路冗余，其中常见的关键链路冗余有接口备份、（3）、（4）和双机热备份技术

C. 从设问反推出的考法归纳（每条基于上面真实设问）

  1. 「至少坏 N 块而不丢数据」→ 反推冗余级别。2021上「坏 2 块磁盘而不丢失数据（不计算热备盘）」——「不丢数据」=有冗余；「坏 2 块」=容错 2 块 → RAID6。「不计算热备盘」即热备盘不计入容错数。
  2. 「冗余原理 + 最少盘数」是一道两空联动题。2022上 那题 blanks 官方答案是**（8）奇偶校验**（解析原文「RAID 5 采用分布式奇偶校验（也叫「异或校验 XOR」）」）、（9）RAID 5 至少需要 3 块硬盘，两空必须同时对。
  3. 「不中断业务拿到某时刻的完整拷贝」→ 快照。blanks 原文答案：（10）A 快照（Snapshot）。 关键词是「不中断业务」「某时刻」「完整数据拷贝」。
  4. 3 副本 = 3 个节点起步，问的是「至少几个」。2023下 原题「采用 3 副本冗余…至少应规划 （4） 节点（含原存储设备）」，blanks 答案：（4）3 个节点（含原存储设备）——原设备算 1 个，不是 4 个。
  5. 冗余技术有两个名字要都会写。2023下「该存储系统通过 （6） 技术实现数据冗余」， blanks 答案：（6）多副本和纠删码技术。写「多副本」或「纠删码」都给分，两个都写最稳。

③ 必背清单

#内容记法
1冗余方式 ↔ 容错块数对照坏 2 块不丢数据 → RAID6；坏 1 块 → RAID1/RAID5/RAID10
2RAID5 原理分布式奇偶校验（异或校验 XOR），容量 =（单盘 × 盘数）− 1 盘
3RAID5 最少盘数3 块（2 数据 + 1 校验）
4快照 Snapshot不中断业务、拿某时刻完整 LUN 拷贝
53 副本 = 至少 3 节点（含原设备）原设备算 1 个，别多算
6冗余技术两个名字多副本 + 纠删码技术
7MTBF / MTTRMTBF=平均故障间隔时间，单位小时，越大越可靠；MTTR=平均修复时间，越小越好
8冗余技术四件套 + 检测接口备份、接口监控组、VRRP、双机热备份；检测用 BFD、NQA 联动静态路由
9备份提速与安全提速：压缩、增量/差分、限速错峰、多线程并发；安全：走 VPN/IPsec 隧道加密传输

素材 blanks 官方填空原文：「（8）奇偶校验」「（9）RAID 5 至少需要 3 块硬盘」「（10）A 快照（Snapshot）」「（1）小时」「（2）大」「（3）接口监控组」「（4）VRRP」（均2022年上半年）；「（4）3 个节点（含原存储设备）」「（5）副本备份（即 JBOD / 独立磁盘模式）」「（6）多副本和纠删码技术」（2023年下半年）；「（5）bfd」+解析「进入 BFD 进程视图的命令是 bfd」（2021年下半年）

④ 理解清单（能讲清的机制）

  1. 为什么 RAID5 至少要 3 块？ 校验信息本身要占盘，2 块=1 数据+1 校验，坏任何一块数据就没了；3 块=2 数据+1 校验，坏 1 块还能用另外 2 块反推出来。
  2. 为什么 3 副本是「至少 3 个节点」而不是 4 个？ 副本数=同一份数据存几份；3 副本意味任一节点挂掉还有 2 份可用，原设备已是 1 份，只需再补 2 个。
  3. 为什么「不中断业务做拷贝」只能用快照？ 传统拷贝要读源数据、占 IO 且影响业务；快照用写时复制（COW）只记录变化块，瞬间生成只读视图。
  4. 为什么异地备份要提「有限带宽」？ 提速只能靠减少传输量（压缩、增量、差分），不能靠加大带宽，所以措施落在算法而不是设备上。
  5. MTBF 和 MTTR 为什么要一起背？ 可靠性 ≈ MTBF/(MTBF+MTTR)，只提 MTBF 不提 MTTR 说明没真正理解可靠性模型。

⑤ 掌握程度三档

档位标准检验方法
L1 认得出看到「坏 2 块不丢数据」知道答案不是 RAID5做历年 RAID 级别选择填空
L2 讲得清讲清 RAID5 异或校验原理、3 副本为什么是 3 节点、快照为什么不中断业务合上文档口述
L3 判断该用哪个「异地备份+带宽有限+要求不中断」三条措施能立刻列出限时 5 分钟写完 2021上 那 3 空

⑥ ★ 费曼式自查提问

复述型（讲给别人听）
  1. RAID5 的冗余是怎么实现的？为什么它至少要 3 块盘？请讲给一个只会 XOR 运算的人听。
  2. 「3 副本冗余」为什么新建分布式存储至少规划 3 个节点（含原存储设备）？原设备算不算一个副本？
  3. 快照为什么能做到「不中断业务」拿到某时刻的完整 LUN 拷贝？和普通拷贝的技术差别在哪？
追因型（为什么是这样）
  1. 为什么「要求至少坏 2 块磁盘而不丢失数据」的答案是 RAID6 而不是 RAID5？RAID5 的校验信息存在哪块盘上？
  2. 为什么「有限互联网带宽下提高备份速度」的措施是压缩/增量，而不是换更快的设备？可靠性由 MTBF 还是 MTTR 决定？
迁移型（换场景还用得上吗）
  1. 分布式存储用 3 副本。如果副本数改成 2 副本，「至少几个节点」答案会怎么变？什么时候 2 副本就够用？
  2. 一台文件服务器要求「能坏 2 块盘不丢数据」，但要求读性能高，你会放弃 RAID6 改用什么？牺牲了什么？
反向型（反过来会怎样）
  1. 如果只做 RAID0（无冗余），上面所有备份措施还有意义吗？哪个环节最先出问题？
  2. 如果把「3 副本」改成「2 副本跨机房」，风险从「磁盘坏」变成了什么？需要额外补什么措施？

知识点 2 · 需求分析与方案设计 ← 命中 21/44（47.7%）

① 考情定位

命中 21 次，10 个考期命中（缺 2021年上半年）。素材：asks 40 条、blanks 30 条、cmds 40 条。 它是本篇唯一一条「开放式简答题」的主线。

设问方式分布（cats） 问措施/规范 20 ★措施清单型 ｜ 问选型/对比 12 ★「A 和 B 哪个更合理，请说明理由」｜ 简述/说明要点 12 ★「简述每层功能」｜ 问故障原因 12「为什么变慢+怎么改」｜ 填地址/掩码 10（联动）｜ 问作用/功能 10 ｜ 问冗余/可靠性 8 ｜ 补全配置命令 7 ⚠️2026 归零 ｜ 带宽/容量估算 6

② 命题角度（这个知识点在考什么）★

A. 独特之处：「问故障原因」12 次，与「简述/说明要点」并列。这意味着本考点不只出现在方案阶段，还大量出现在故障题里——大题真实结构是「先给方案，再问这方案有什么问题、怎么改」，所以「设计」常以「挑毛病」形式出现。

B. 真实设问原文（照抄素材 asks）

考期设问原文
2021年下半年（1）这种方案的缺点是对 AC 的吞吐量和数据处理能力要求比较高，AC 容易成为整个无线网络带宽的瓶颈
2022年上半年问题2（8分）生成树协议与 BGP 路由生成方式： 在该网络中为避免环路，应该在交换机上配置（5），生成 BGP 路由有 network 与 import 两种方式，以下描述正确的是（6）（7）（8）
2022年下半年问题3（4分）IPC 图像传输带宽估算： 若接入的 IPC 采用 1080P 的图像传输质量传输数据，SwitchC、SwitchA 选用百兆交换机是否满足带宽要求，请说明理由
2023年上半年(2) 在该网络中增加终端接入认证设备，可以选择在接入层、核心层或者 DMZ 区部署
2023年上半年请选择最合理的部署区域并说明理由
2023年下半年新增加的交换机与原交换机可采用哪些连接方式？简要说明这些连接方式的区别和优缺点
2025年下半年问题2（6分）层次化网络设计： 该园区网络按照层次化网络（三层）设计，请简述每层应实现的功能
2025年下半年问题3（6分）VRRP 与堆叠的区别： 核心交换机可采用 VRRP 或堆叠实现关键节点设备冗余，请简要说明 VRRP 和堆叠的区别

C. 从设问反推出的考法归纳

  1. 「A 和 B 两个方案，选一个 + 说理由」是本知识点的招牌题型，素材里出现两次同构题：2025上「提供 OSPF 和 BGP…哪种方案较为合理，请说明理由」；2023上「可以选择在接入层、核心层或者 DMZ 区部署…请选择最合理的部署区域并说明理由」。答题模板固定：结论（选 X）+ 理由（结合本题场景说 2~3 条）。
  2. 「需求分析阶段要收集什么」是 2025上 开的新题型。答案不在于计算，而在于你知不知道需求调查清单里有什么。
  3. 层次化三层「各自功能」必背。2025下「简述每层应实现的功能」， 2026上「采取什么措施可以实现…广播域隔离」——两题是同一套体系的正反两面。
  4. 「冗余配置方式有哪几种」问的是清单不是原理。2023上「核心交换机有哪几种冗余配置方式」，参考 2025下 同源题「VRRP 与堆叠的区别」——答案就是堆叠/级联/链路聚合/VRRP/双机热备份这一组。
  5. 「为什么百兆够/不够」= 带宽估算的标准句式。2022下 原文「…选用百兆交换机是否满足带宽要求，请说明理由」，给的是1080P 图像这种具体业务，要先算单路码率再乘路数。

③ 必背清单

#内容记法
1网络建设六阶段 ★需求分析 → 总体方案设计 → 网络逻辑设计 → 网络物理设计 → 测试与验收 → 监测及维护
2层次化三层功能 ★核心层=高速转发+冗余；汇聚层=路由/VLAN/策略收敛；接入层=终端接入+二层隔离
3核心交换机冗余方式清单堆叠、级联、链路聚合、VRRP、双机热备份（多选，问「有哪几种」）
4VRRP vs 堆叠VRRP=网关冗余（两台独立设备）；堆叠=设备级冗余（合成一台逻辑设备）
5动态路由协议选型判据单一大园区/收敛快 → OSPF；多域跨运营商/跨自治系统 → BGP
6广播域隔离措施VLAN 划分 + 终端端口隔离 + 部门间用三层隔离（路由/防火墙）
7需求分析要收集的内容业务类型与流量模型、用户数与增长、设备与站点清单、性能指标、安全合规、预算与工期
8带宽/无线需求调查项链路利用率峰值、关键业务流量、并发用户数、视频语音带宽；覆盖范围容量、漫游需求、认证方式、信道规划
9带宽估算 + 选型模板单路码率×路数×协议开销 < 链路带宽并留 30%~50% 余量；选型答「结论+场景理由 2~3 条+一句权衡」

⚠️本知识点不考命令，考的是「该选哪种」和「为什么这么选」。素材 cmds 虽含 ACL/IPSec/静态路由等 40 条命令，但大多归属「交换与无线」「安全与可靠性」篇；「补全配置命令」在本知识点只占 7 次且 2026 已归零。

④ 理解清单（能讲清的机制）

  1. 为什么「需求分析」不能省？ 后面五个阶段的参数（网段数、带宽、冗余等级、设备型号）都来自它的输入，需求错了后面全错且返工成本最高。
  2. 为什么接入层隔离、汇聚层做策略？ 接入层二层隔离能就地抑制广播风暴（不进核心），最省带宽；汇聚层才有能力做跨 VLAN 路由和 ACL。
  3. 为什么核心层不接终端？ 终端数量大、故障率高，接入核心会频繁触发 MAC 表震荡与 STP 拓扑变更。
  4. 为什么 OSPF 适合园区、BGP 适合跨域？ OSPF 是 IGP，用区域划分做层次化设计、收敛快；BGP 是路径向量协议，靠 AS_PATH 与属性选路，天然适合自治系统间的策略控制。为什么带宽估算要留余量？ 实际链路还有协议开销（以太网头/尾、TCP/IP 头）、突发流量与重传。

⑤ 掌握程度三档

档位标准检验方法
L1 认得出看到「需求分析」「逻辑设计」知道是哪一阶段能默写六阶段顺序
L2 讲得清讲清三层各自功能、六阶段各自产出什么口述 2025下 那道三层功能题
L3 判断该用哪个给「OSPF vs BGP」「VRRP vs 堆叠」「接入层 vs DMZ 部署认证设备」能立刻选并给理由限时 8 分钟写完 2025上 选型题

⑥ ★ 费曼式自查提问

复述型（讲给别人听）
  1. 网络建设六个阶段是什么？每个阶段的输入和产出分别是什么？需求分析为什么放在第一位？
  2. 层次化网络的三层分别实现什么功能？为什么终端不能直接接核心层？
  3. 「核心交换机有哪几种冗余配置方式」，请至少列出四种并说明各自解决什么失效。
追因型（为什么是这样）
  1. 2025上 那道 OSPF vs BGP 的题，园区网该选哪个？判据是什么？如果后面还要接第二家运营商，结论会变吗？
  2. 为什么「部署终端接入认证设备」选接入层而不是 DMZ 区？为什么「需求分析阶段」问的是「要收集哪些内容」而不是给一个带宽数字？
迁移型（换场景还用得上吗）
  1. 如果园区网规模缩小到只有一栋楼、三个部门，六阶段还都要走吗？哪些可以合并？三层架构还需要吗？
  2. 一家企业要跨三个城市建园区网，每个城市内部是 OSPF，城市之间用什么？六阶段里哪些阶段工作量会显著变大？
反向型（反过来会怎样）
  1. 如果跳过需求分析直接做设计，最可能在哪一步翻车？举一个具体例子。
  2. 如果把所有终端都接到汇聚层、不做接入层二层隔离，广播风暴会造成什么现象？

知识点 3 · Internet 应用协议 ← 命中 13/44（29.5%）

① 考情定位

命中 13 次，9 个考期命中（缺 2022年上半年、2023年下半年）。素材：asks 40 条、blanks 30 条、cmds 32 条。 设问偏向故障定位与安全策略。

设问方式分布（cats） 问措施/规范 13 ★「禁止访问/保证安全/怎么整改」｜ 问故障原因 9 ｜ 问作用/功能 7 ｜ 问选型/对比 6 ｜ 填地址/掩码 5（ACL/NAT 表里的 IP）｜ 带宽/容量估算 5 ｜ 补全配置命令 4 ⚠️已退场 ｜ 问冗余/可靠性 4 ｜ 简述/说明要点 3（SSL 原理）

② 命题角度（这个知识点在考什么）★

A. 核心信号：设问几乎全部包在「安全策略表 / NAT 规划表 / ACL 规划表」的填空里，也就是把「端口号 + 协议 + 区域 + 方向」四要素对应起来。考的不是协议原理，是协议号与端口号的工程映射。

B. 真实设问原文（照抄素材 asks）

考期设问原文
2021年上半年若禁止 PC1 访问财务服务器，应在核心交换机上采取 (9) 措施实现
2021年下半年为了使局域网中 10.1.1.0/24 网段的用户可以正常访问 Internet，需要在防火墙上完成 NAT、安全策略等配置，请根据需求完善以下配置
2023年上半年请根据以上需求配置安全策略，允许来自互联网的用户访问 Server 提供的服务
2024年上半年(2) 数据加解密算法主要分为对称密钥算法、非对称密钥算法，请简要描述 SSL 协议如何利用这两类算法实现数据传输的机密性
2024年下半年请补充下表中的空缺项： 表2 ACL 规划表（表内列依次为：序号 / 源IP / 目的IP / 服务或端口 / 策略应用接口 / 方向 / 动作）： （1）序号1 的源 IP 为（ ）
2024年下半年【问题3】（8分）…网络管理员发现NGFW和Core之间下行带宽长时间利用率100%，计划利用空闲的千兆端口，在NGFW和Core之间增加一条链路，实现链路带宽扩容
2025年下半年在 WEB 服务器部署数字证书后，某位员工报告说通过 HTTPS 访问该网站时浏览器提示“此网站的安全证书存在问题“/“您的连接不是私密连接”，造成该提示的原因可能是（7）（至少回答 2 种原因）
2025年下半年请针对上述问题应采取的处置和整改措施是（11）（需分别从处置和整改措施两个方面回答，每个方面至少回答 2 点措施）
2026年上半年【问题3】（4分） 展示中心的访客无线网络属于开放性接入环境，接入终端的网络行为无有效管控措施，可在R4与SW02之间增设（1）设备，加强对访客网络的行为审计及流量管控，不改变现有网络配置及IP地址规划，该设备应以（2）工作模式部署

C. 从设问反推出的考法归纳

  1. 「表格填空」是本知识点的主形态：2024下 ACL 规划表、2025下 三张表（FW 安全域/NAT 配置/安全策略）。这类题不需要推理，只需知道端口号和区域方向。
  2. 「防火墙为用户动态分配 IP」→ 填 DHCP。2021下 原文「需在防火墙完成开启 (2) 功能」， blanks 答案：（2）DHCP。同题「（1）路由模式」也是考点。
  3. HTTPS 证书报错的成因分析是 2025下 的新题型。这是故障原因题，答案要写满 2 条 （如证书过期、证书域名不匹配、证书链不受信、客户端系统时间不对）。
  4. 链路扩容方案二选一。2024下 给出「方案二：采用链路聚合技术…形成一条逻辑链路」——方案一是「直接增加一条独立链路」，方案二是「链路聚合 Eth-Trunk」，cmds 里对应 load-balance src-dst ip（华为 VRP 写法）。
  5. 「处置」与「整改措施」要分开答。2025下 原文明确「需分别从处置和整改措施两个方面回答，每个方面至少回答 2 点措施」—— 处置 = 眼下止血的临时动作；整改 = 根上的永久改进。

③ 必背清单

#内容记法
1端口表（应用层） ★HTTP 80、HTTPS 443、FTP 20/21、SSH 22、SMTP 25、POP3 110、DNS 53、SNMP 161/162
2FTP 双端口控制连接 21，数据连接 20（主动模式）；被动模式下数据端口由服务端随机
3FTP 主动 vs 被动 ★主动：客户端主动开数据连接（穿透能力差）；被动：服务端开数据连接（适合有防火墙/NAT 的客户端）
4DNS / DHCP 端口DNS UDP 53（区域传送/大响应退回 TCP 53）；DHCP 服务端 67、客户端 68
5HTTPS = HTTP + TLS端口 443；SSL 用「非对称协商对称密钥 + 对称加密传输」
6SSL 握手流程 + 证书报错清单流程：请求→给证书→验证→协商对称密钥→对称加密传输；报错：证书过期、域名/IP 不匹配、链不受信、系统时间不对、证书吊销
7NAT 两类 + hairpin源 NAT（SNAT）、目的 NAT（DNAT/端口映射）；内网访问内网服务器公网地址需回流 NAT（rule name nat-hairpin，2023上）
8ACL 五要素 + 策略方向源 IP、目的 IP、协议、服务/端口、动作；入方向（untrust→trust）与出方向（trust→untrust）分开配，顺序影响匹配
9链路扩容两方案 + 多出口负载独立加链路/ Eth-Trunk 聚合（配 load-balance）；负载：源哈希、目的哈希、源+目的哈希（ip load-balance hash src-dst ip）、按业务分流

本知识点命令极少，只有三处真实出现、且是表格填空里的策略行：[NGFW-Eth-Trunk1] load-balance src-dst ip / [Core-Eth-Trunk1] load-balance src-dst ip（2024年下半年）；ip load-balance hash src-ip 或 src-dst-ip（2023年上半年）；nat server policy <策略名> protocol tcp global <公网IP> <公网端口> inside <内网IP> <内网端口>（2021年下半年）

④ 理解清单（能讲清的机制）

  1. 为什么 FTP 要用两个端口？ 控制连接（21）传命令、数据连接（20）传文件内容；分开后数据传输走独立通道，服务端能控制数据流时机。
  2. 为什么 FTP 主动模式穿透力差？ 主动模式由客户端向服务端 20 端口发起连接，客户端在 NAT 后出口地址已被转换、服务端回不去；被动模式（PASV）由服务端监听随机端口反连客户端。
  3. 为什么 DNS 既有 UDP 又有 TCP？ UDP 无连接、开销小适合小查询；响应超 512 字节、DNSSEC、区域传送时必须用可靠的 TCP。
  4. 为什么 SSL 要「两把钥匙」？ 非对称（RSA/ECC）解决「怎么安全地把密钥传给对方」，对称（AES/3DES）负责实际传输因为更快。为什么防火墙要分安全域？ 域=一组安全等级相同的接口，策略基于「域→域」而非逐接口，数量从 O(接口数²) 降到 O(域数²)。

⑤ 掌握程度三档

档位标准检验方法
L1 认得出看到「TCP 80」知道是 HTTP，看到「UDP 53」知道是 DNS默写端口表，10 秒内完成
L2 讲得清讲清 FTP 主/被动差异、SSL 握手、证书报错成因口述 2025下 证书题 2 条原因
L3 判断该用哪个给「内网用户访问内网服务器公网地址不通」能立刻定位到 NAT hairpin限时 5 分钟答完 2024下 链路扩容方案

⑥ ★ 费曼式自查提问

复述型（讲给别人听）
  1. 把常用的应用层端口号和对应协议默写一遍。为什么 HTTP 80 和 HTTPS 443 这两个数字是「约定俗成」的？
  2. FTP 的控制连接和数据连接分别用哪个端口？主动模式和被动模式分别是「谁发起数据连接」？
  3. SSL 是怎么同时用到非对称和对称两类算法的？各用在什么阶段？
追因型（为什么是这样）
  1. 浏览器提示「您的连接不是私密连接」，至少说出两种原因。为什么证书链不受信也会报这个提示？
  2. 「防火墙为办公区用户动态分配 IP 地址」为什么要开 DHCP？为什么链路带宽不够时更常选链路聚合而非加独立链路？
迁移型（换场景还用得上吗）
  1. 内网主机访问内网服务器的公网地址不通，此时需要什么功能？抓包里能看到什么现象？
  2. 如果把 FTP 换成 FTPS（FTP over TLS），主动/被动模式的判断逻辑有变化吗？为什么？
反向型（反过来会怎样）
  1. 如果一条安全策略漏配了「trust → untrust」的出方向放行，内网用户还能上网吗？会出现什么现象？
  2. 如果给访客无线网不放行任何认证，会出现什么风险？2026上 那道题要加的设备是什么类型？

知识点 4 · RAID 技术 ← 命中 12/44（27.3%）

① 考情定位

命中 12 次，8 个考期命中（缺 2021年下半年、2024年下半年）。素材：asks 40 条、blanks 30 条、cmds 40 条。 这是本篇唯一「纯计算」的知识点，题干短、答案短、得分快，是性价比最高的抢分点。

设问方式分布（cats） 问措施/规范 13 ★冗余方式怎么选 ｜ 问作用/功能 9 ｜ 问故障原因 8 ｜ 填地址/掩码 7（联动）｜ 问冗余/可靠性 7 ★容错块数 ｜ 简述/说明要点 6（冗余原理）｜ 问选型/对比 4（级别二选一）｜ 带宽/容量估算 3 ★容量计算 ｜ 补全配置命令 3 ⚠️已退场

② 命题角度（这个知识点在考什么）★

A. 本知识点设问高度收敛：题干一出现 RAID，后面必然跟着「需要几块盘」或「可用容量是多少」。看到 RAID 就掏公式，不要犹豫。

B. 真实设问原文（照抄素材 asks）

考期设问原文
2021年上半年其中本地备份磁盘阵列要求至少坏 2 块磁盘而不丢失数据（不计算热备盘），应采用 (8) 磁盘冗余方式
2022年上半年问题3（4分）RAID5 冗余原理与最少盘数：…当前需要存储的数据主要为数据库、ERP、图片、视频、文档等…该冗余技术通过（8）方式来实现数据冗余保护，每个 RAID 组至少应配备（9）块硬盘
2022年上半年问题4（2分）LUN 快速拷贝： 要求存储系统在不中断业务的基础上，快速获得一个 LUN 在某个时刻的完整数据拷贝进行业务分析，可以使用（10）功能实现
2023年下半年【问题4】（8分）该企业计划将原存储系统升级为分布式存储，原存储设备依旧作为新建分布式存储的一个节点，为保证数据不丢失，采用 3 副本冗余，新建的分布式存储至少应规划 （4） 节点（含原存储设备）
2023年下半年该存储系统通过 （6） 技术实现数据冗余
2025年上半年问题4（6分）RAID 级别与可用容量计算： 该单位新增服务器均配置 2 块系统盘，每块容量 480GB、10 块数据盘，每块容量 2TB，计划使用 RAID 实现数据冗余

C. 从设问反推出的考法归纳

  1. 两类题型必须分开练： 选型题（给容错要求，选 RAID 级别）＝2021上「要求至少坏 2 块磁盘而不丢失数据（不计算热备盘），应采用 (8) 磁盘冗余方式」； 计算题（给盘数容量，算可用容量）＝2025上「2 块系统盘，每块容量 480GB、10 块数据盘，每块容量 2TB」。
  2. 2025上 那道题的算式（照素材数据推）：10 块 2TB 数据盘做 RAID5 →（10 − 1）× 2TB = 18TB； 若 RAID6 →（10 − 2）× 2TB = 16TB。2 块 480GB 系统盘通常做 RAID1，不计入数据容量。
  3. 判据是「容错能力 = N」，不是「盘数 ≥ N」。RAID1 用了 2 块盘但只能坏 1 块（同一份镜像）——这是最容易错的地方。
  4. RAID10 的容错是 1 块不是 2 块。RAID10 = 先两两做 RAID1 再拼 RAID0，同一镜像对内两块盘同时坏才丢数据，所以逻辑上只能坏 1 块。这也是 2021上 那题不选「RAID5+RAID1 双层套」的理由——明确写「不计算热备盘」。
  5. 「不中断业务拿某个时刻的完整拷贝」→ 快照（2022上 原题，答案 (10) A 快照（Snapshot））， 这题与 RAID 同题出现，属于「RAID + 快照」的组合考点。

③ 必背清单 ★ 本篇最该背的一张表

级别可用容量公式容错块数最少盘数写入代价典型用途
RAID0单盘 × 盘数02无纯性能（视频转码池）
RAID1单盘 × 盘数 ÷ 212写翻倍系统盘、小容量高可靠
RAID5（单盘 × 盘数）− 1 盘13写惩罚小数据库、ERP（2022上 原题）
RAID6（单盘 × 盘数）− 2 盘24写惩罚大归档、备份阵列（2021上 原题）
RAID10单盘 × 盘数 ÷ 214写翻倍高性能+高可靠（数据库）
#内容记法
1RAID5 冗余原理 ★分布式奇偶校验（异或校验 XOR），官方答案原文「奇偶校验」
2RAID5 最少盘数 ★3 块（2022上 blanks 原文：「（9）RAID 5 至少需要 3 块硬盘」）
3RAID6 双校验P+Q 校验（行列异或），容错 2 块，最少 4 块
4RAID 组 = 镜像对 + 校验盘RAID6 组 ≥4 块（2 校验）；另加热备盘时总盘数 = 组数 × 每组盘数 + 热备盘数
5热备盘（Hot Spare）题干常写「不计算热备盘」——热备盘不提供数据容量、也不计入容错块数
6RAID0 无冗余任何一块坏即数据全失，只能用于可重生成的数据
7快照 Snapshot / 分布式冗余不中断业务拿 LUN 拷贝；分布式存储写「多副本 + 纠删码技术」（2023下 原题答案原文）
8存储选型判据系统盘 → RAID1；数据库/ERP → RAID5 或 RAID10；大容量归档 → RAID6；3 副本 = 3 节点

本知识点不考命令，考的是「该选哪种」和「是多少」。素材 cmds 里的 standby interface GigabitEthernet 1/0/2 priority 30 等 40 条命令归属「安全与可靠性」篇（接口备份技术），不是 RAID 考点。

④ 理解清单（能讲清的机制）

  1. 为什么 RAID5 容量是「减 1 盘」？ N 块盘中 1 块存校验（容量等效 1 块盘），其余 N−1 块存数据，可用容量=(N−1)×单盘容量。
  2. 为什么 RAID5 坏一块还能算回来？ 校验块=所有数据块按位异或（XOR），XOR 自反可反推丢失块；但同时坏两块就救不回（不知是哪两块），这正是 RAID6 的价值。
  3. 为什么 RAID6 减 2 盘？ 两块校验盘（P+Q，分别对行列异或），双校验的数学强度才能定位并恢复任意 2 块丢失的盘。
  4. 为什么 RAID1 容量除以 2 却只能坏 1 块？ 2 块盘存的是同一份数据，一块坏了数据还在另一块，容量只能算一份——这就是「盘数 ≥ 容错数」的陷阱。
  5. 为什么 RAID10 容错也是 1 块？ 4 盘=2 个镜像：坏盘1→用盘2；坏盘1+盘3→用盘2、盘4；坏盘1+盘2→这份数据彻底没了。
  6. 为什么系统盘常用 RAID1？ 系统盘容量小，RAID5 要至少 3 块且利用率只 2/3，RAID1 用 2 块 100% 利用率且更简单。

⑤ 掌握程度三档

档位标准检验方法
L1 认得出看到「坏 2 块不丢数据」立刻反应 RAID6，看到 RAID5 立刻反应「减 1 盘、至少 3 块」5 秒内答出
L2 讲得清讲清异或校验原理、RAID5 与 RAID6 的差异、RAID1/RAID10 的容量算法口述 ④ 中任意 3 条
L3 判断该用哪个给「文件服务器 + 数据库服务器 + 480GB 系统盘 + 2TB×10 数据盘」能选出级别并算出容量限时 6 分钟写完 2025上 那道题

⑥ ★ 费曼式自查提问

复述型（讲给别人听）
  1. RAID0/1/5/6/10 的可用容量公式各是什么？容错块数各是多少？最少盘数各是多少？
  2. RAID5 的冗余是怎么实现的？用 10 块盘举例说明坏 1 块后如何恢复，并算出现在多少。
  3. 为什么 RAID1 用 2 块盘但只能坏 1 块？为什么 RAID10 也是只能坏 1 块？
追因型（为什么是这样）
  1. 为什么 RAID6 的可用容量要减 2 盘而不是减 1 盘？为什么 RAID5 至少要 3 块盘？给 2 块盘做 RAID5 会发生什么？
  2. 为什么 2021上 那道题明确写「不计算热备盘」？如果把热备盘算进去，答案会受影响吗？
迁移型（换场景还用得上吗）
  1. 「10 块 2TB 数据盘 + 2 块 480GB 系统盘」这个配置下，RAID5 和 RAID6 的可用数据容量分别是多少？ 如果客户要求「至少坏 2 块不丢数据」，选哪个？系统盘该怎么组？
  2. 如果不用 RAID 而用分布式存储 3 副本，上面这个配置的等价冗余思路是什么？
反向型（反过来会怎样）
  1. 如果用 RAID0 组这 10 块盘，可用容量是多少？零故障率吗？为什么视频转码场景还愿意用 RAID0？
  2. 如果 RAID5 的阵列里同时坏了两块盘，还能救回来吗？为什么？改用什么级别能避免？

知识点 5 · 结构化布线 ← 命中 12/44（27.3%）

① 考情定位

命中 12 次，9 个考期命中（缺 2022年上半年、2024年上半年）。素材：asks 37 条、blanks 30 条、cmds 30 条。 考法是**「指认 + 规范条文」**。

设问方式分布（cats） 问措施/规范 10 ★「属于哪个子系统/施工遵循哪些规范」｜ 填地址/掩码 6 ｜ 简述/说明要点 6 ｜ 问作用/功能 4 ｜ 带宽/容量估算 5 ｜ 问选型/对比 5（介质选型）｜ 问冗余/可靠性 5（联动）｜ 补全配置命令 3 ⚠️ ｜ 问故障原因 1 ← 全篇最低，说明布线几乎不出故障题

② 命题角度（这个知识点在考什么）★

A. 「问故障原因」只有 1 次是重要信号：结构化布线几乎不出故障题，考的是「认得出体系、说得出规范」，属于记忆性得分点。

B. 真实设问原文（照抄素材 asks）

考期设问原文
2022年下半年问题2（6分）结构化布线子系统、传输介质与连接部件： 仓库到办公楼的布线系统属于什么子系统？应采用什么传输介质？该线缆与交换机连接需要用到哪些部件
2023年上半年【问题2】（6分） (1) 简要说明图1-1中干线布线与水平布线子系统分别对应的区间
2023年上半年【问题4】（4分） (1) 简要说明该网络中核心交换机有哪几种冗余配置方式
2024年下半年【问题1】（6分） 请根据大楼建设需求，补充完成以下结构化综合布线规划表
2024年下半年表2-1 结构化综合布线规划表 待填空位说明： （1）水平布线子系统的组成部件为（ ）
2025年下半年问题2（6分）层次化网络设计： 该园区网络按照层次化网络（三层）设计，请简述每层应实现的功能
2026年上半年【问题4】（8分） 请从设备、部署位置、安全规划三个方面简要说明大楼无线网络规划要点，实现无缝漫游和安全接入

C. 从设问反推出的考法归纳

  1. 「哪个区间属于哪个子系统」是本知识点最标准的题型。2023上 原题「简要说明图1-1中干线布线与水平布线子系统分别对应的区间」，判据只有一条：水平 = 同楼层内；干线 = 跨楼层；建筑群 = 跨楼栋/园区。
  2. 「规划表填空」是 2024下 的形态。原文「补充完成以下结构化综合布线规划表」， 空格示例「（1）水平布线子系统的组成部件为（ ）」。 答案：水平布线子系统 = 水平线缆 + 跳线 + 配线架（信息插座/终端设备连接部件）。
  3. 「跨楼栋用什么介质」是选型题。2022下 原题「仓库到办公楼的布线系统属于什么子系统？ 应采用什么传输介质？该线缆与交换机连接需要用到哪些部件」。 答案链路：建筑群子系统 → 光缆（室外多模/单模）→ 光模块 + 网口/配线架。
  4. 结构化布线与「网络逻辑设计」在同一道题里联动。2023上 一道题里同时出现地址规划（第1问）、干线/水平子系统（第2问）、核心冗余方式（第4问）——布线题往往是综合题的其中一问。
  5. 「施工规范」是「至少回答 4 点」型开放题。按「先规划后施工、先主干后支线、先测试后验收、 强弱电分离、标签与文档、隐蔽工程验收」六类去答，一般能覆盖 4 点以上。

③ 必背清单

#内容记法
1六大子系统 ★工作区子系统、水平子系统、管理子系统、设备间子系统、干线子系统、建筑群子系统
2水平子系统覆盖范围 ★同楼层内，从配线架（管理）到终端信息插座的线缆
3干线子系统覆盖范围 ★跨楼层，设备间到各楼层配线架；2021下 原题答案原文「（9）C（干线子系统）」
4建筑群子系统覆盖范围 ★跨楼栋/园区，园区网主干；2022下 考的就是它
5水平子系统组成部件 ★水平线缆 + 配线架 + 信息插座/终端连接部件（跳线）
6工作区 / 管理 / 设备间工作区=跳线+信息插座+适配器；管理=配线架+理线架+标签+图文档；设备间=机柜+UPS+空调
7介质选型 + 光缆连接部件同楼层短距离→双绞线；跨楼层/跨楼栋→光缆；强电干扰→光缆。部件：光模块（GBIC/SFP）+ 交换机光口/光纤面板 + 跳线
8六大子系统 vs 三个区（易混）六子系统是布线体系；核心/汇聚/接入是网络架构层次，两者不可混答
9施工规范要点（答 ≥4 点）① 遵循标准规范（GB/T 50311、ISO/IEC 11801）② 强弱电分离 ③ 先主干后支线 ④ 隐蔽工程先验收 ⑤ 两端标签清晰 ⑥ 完成后测试认证并留档

本知识点不考命令，考的是「属于哪个子系统 / 用什么介质 / 有哪些规范」。素材 cmds 中的 30 条命令全部是同卷其他小问（ACL、IPSec、PoE、DHCP Snooping）的，不是布线条目的考点。

④ 理解清单（能讲清的机制）

  1. 为什么水平与干线要分成两个子系统？ 水平是「一层楼内点到点」短而多，干线是「楼与楼之间」长而少，两者介质选型、敷设方式、测试标准都不同。
  2. 为什么光缆不能直接接普通网口？ 光信号与电信号不同，需光模块做光电转换——这正是 2022下 那题「连接需要用到哪些部件」的答案落点。
  3. 为什么强调「管理子系统」？ 布线的价值在于可维护：两端标签+图文档让故障能快速定位到具体一段，是唯一服务其他五个的子系统。
  4. 为什么 90m 是硬限制？ 永久链路 ≤90m 加两端跳线不超过 100m，这是双绞线信号衰减与 PoE 功率预算的物理约束。为什么「先测试后验收」最重要？ 布线一旦埋入墙体/吊顶返工成本极高，必须在封闭前完成测试认证并留档。

⑤ 掌握程度三档

档位标准检验方法
L1 认得出给「仓库到办公楼」能说出是建筑群子系统；给「同楼层」能说出是水平子系统3 秒判断
L2 讲得清默写六大子系统名称，并说明各自覆盖范围与组成部件默写一遍
L3 判断该用哪个给出场景（跨楼层/干扰大/超 90m）能选对介质并说明理由限时 4 分钟答完 2022下 那题

⑥ ★ 费曼式自查提问

复述型（讲给别人听）
  1. 结构化布线的六大子系统分别是什么？各自覆盖什么范围？
  2. 水平布线子系统由哪些部件组成？干线子系统呢？两者用的介质有什么不同？
  3. 为什么建筑群子系统要用光缆而不是双绞线？
追因型（为什么是这样）
  1. 怎么区分「水平子系统」和「干线子系统」？2023上 那道题为什么只要「说明区间」就能拿分？
  2. 为什么双绞线最远 90m？超过会发生什么？为什么光缆接交换机需要「光模块」，直接插网口会怎样？
迁移型（换场景还用得上吗）
  1. 园区要建一个「智能化弱电综合管网」，把视频监控、门禁、消防也画进蓝图，六大子系统还够用吗？
  2. 一栋新楼装修阶段要预留布线，如果 IT 部门现在才知道信息点位置，流程上该怎么调整？
反向型（反过来会怎样）
  1. 如果图1-1 里的区间标错，把「跨楼层主干」标成水平子系统，会导致后面哪些设计出错？
  2. 如果布线工程省掉「两端标签和文档」，网络运行三年后会发生什么？

知识点 6 · DNS 与域名 ← 命中 10/44（22.7%）

① 考情定位

命中 10 次，8 个考期命中（缺 2021年下半年、2022年上下）。素材：asks 40 条、blanks 30 条、cmds 40 条。「问措施/规范 14 次 + 问故障原因 11 次」占绝对主导，说明 DNS 在大题里是以「DHCP/域名后缀配置」和「DNS 只对内网开放的策略」出现的，而不是以「DNS 原理」出现。

设问方式分布（cats） 问措施/规范 14 ★整改措施、安全策略 ｜ 问故障原因 11 ★故障定位 ｜ 问选型/对比 5 ｜ 补全配置命令 5 ⚠️DHCP 全局配置填空 ｜ 填地址/掩码 5 ｜ 简述/说明要点 5 ｜ 问冗余/可靠性 4 ｜ 带宽/容量估算 4 ｜ 问作用/功能 3 ← 最低，说明「原理」考得少

② 命题角度（这个知识点在考什么）★

A. 「问作用/功能」只有 3 次是理解本知识点的关键：软考大题从不考 DNS 记录类型的细节原理，只考「DNS 指向谁、DNS 只对谁开、域名后缀填什么」。

B. 真实设问原文（照抄素材 asks）

考期设问原文
2023年上半年请根据以上需求配置安全策略，允许来自互联网的用户访问 Server 提供的服务
2023年下半年【问题3】（4分）在路由器 R1 上启用全局 DHCP 服务，请将下面配置代码补充完整
2024年上半年在用户终端上通过命令测试，结果如下： 通过上图可以判断网络遭受了 （1） 攻击，为解决该故障，网络工程师在用户电脑上配置了静态 ARP 绑定，同时在设备 （2） 上配置 （3） 功能
2024年上半年【问题3】（4分）要求配置 PC 能通过 DHCP 服务器正常获取 IP 地址，请写出配置要点
2024年下半年请补充下表中的空缺项： 表2 ACL 规划表 待填空位说明（表内列依次为：序号 / 源IP / 目的IP / 服务或端口 / 策略应用接口 / 方向 / 动作）： （1）序号1 的源 IP 为（ ）
2025年下半年问题1（4分）防火墙安全域、NAT 与安全策略规划（表格填空）： 企业内网和互联网用户正常通过域名访问企业的 WEB，DNS 服务仅对内网用户开放，网络工程师对防火墙的配置做如下规划，请补充空白部分

C. 从设问反推出的考法归纳

  1. 最核心的一空是「DNS 只对内网开放」对应的安全策略填空。2025下半年 原题把三张表串起来考，其中「（4）表3 第 2 条策略（目的安全域 DMZ，协议 UDP，目的 IP 192.168.17.101/32，目的端口 53，即 DNS 服务仅对内网开放）中，源安全域为（ ）」——答案指向 trust（内网办公区）。关键词：UDP + 端口 53 + 源区域 trust。
  2. DNS 的落点在「表里」，不在「原理里」。2024下 ACL 规划表、2025下 NAT 配置规划表， DNS 都只是一个服务条目（协议 + 端口 + 目的 IP）。所以背端口号比背记录类型值更值。
  3. 同卷里 DNS 常与 DHCP 绑在一起考。2023下「在路由器 R1 上启用全局 DHCP 服务…补充完整」，blanks 第（9）空是「配置为 DHCP 客户端分配的域名后缀为 aa.com」→ domain-name aa.com；dns-list 192.168.1.2 指定 DNS 服务器地址。记这两个命令，别的 DHCP 空本篇不管。
  4. 「客户端上不了网」的故障题，往往要想到 DNS 解析。2024上「通过上图可以判断网络遭受了 （1） 攻击」， 以及 2023上 两处「请分析原因并提供解决方法」——通用排查顺序是链路 → IP/掩码 → 网关 → DNS → 上层协议。
  5. IPv6 地址规划题里也可能出现「服务可达性」联动。2024上 原题「（1）无限网络终端（150000 台）的可用地址范围为（ ）」， blanks 答案为 240C:DB8:1024:4000:: ~ 240C:DB8:1024:5FFF:FFFF:FFFF:FFFF:FFFF、（2）51（即 /51）。 这是地址计算（归 IP 篇），但常与本篇的「服务可达性」设问同卷出现。

③ 必背清单

#内容记法
1DNS 协议与端口 ★UDP 53（正常查询）；TCP 53（区域传送、大响应、DNSSEC）
2DNS 记录类型 ★A（IPv4）、AAAA（IPv6）、CNAME（别名）、MX（邮件交换）、NS（权威服务器）、PTR（反向解析）
3查询方式：递归 vs 迭代 ★递归=「我帮你查到底」（客户端→本地域名服务器）；迭代=「你去问下一个」（本地域名服务器→根→顶级→权威）
4本地域名服务器的作用缓存 + 递归代理 + 转发（forward 到上级 DNS）
5DNS 只对内网开放 ★安全策略：源区域 trust → 目的区域 DMZ/local，协议 UDP，目的端口 53，目的 IP = DNS 服务器地址
6DHCP 三条命令 ★domain-name aa.com（域名后缀）、dns-list 192.168.1.2（DNS 服务器）、excluded-ip-address 192.168.1.2（排除地址），均在 ip pool 视图下
7DHCP 地址池关键命令ip pool <名字> → gateway-list / network ... mask / lease day ... hour ...
8查看地址池（华为 VRP）display ip pool name ip-pool10 ——素材 blanks 第（10）空原文
9DNS 排查顺序 + 两类解析网关可达→display ip pool 查分配→ping 域名→查策略端口 53；正向解析（域名→IP，A/AAAA）、反向解析（IP→域名，PTR）

素材中只有 2 条 DNS 相关命令，且都在 2023年下半年那道 DHCP 全局配置题里：[R1-ip-pool-ip-pool10] dns-list 192.168.1.2 与 [R1-ip-pool-ip-pool10] domain-name aa.com。其余 38 条命令归属同卷其他小问。本知识点考的是策略表里的端口号，不是命令。

④ 理解清单（能讲清的机制）

  1. 为什么客户端只问一次（递归），服务器之间却要多次（迭代）？ 客户端走不完整棵树（要根提示与全部 NS 记录），所以把「查到底」交给本地域名服务器；各级权威服务器之间层层转发。
  2. 为什么 DNS 要「只对内网开放」？ 内网 DNS 记录含内部主机名、管理台地址与服务地址，属信息泄露面；对外只需暴露必要解析入口。
  3. 为什么 DHCP 要排除网关地址？ 把网关地址分给终端会造成 IP 冲突，excluded-ip-address 就是排除网关、服务器等保留地址。
  4. 为什么 DNS 走 UDP？ 绝大多数响应很小，UDP 无连接、开销小、延迟低；响应过大或需可靠传输才用 TCP。为什么 DNS 排查放在最后？ 链路、IP、掩码、网关都不通时 DNS 根本不会被调用；只有前面正常了，「域名不通但 IP 能通」才是 DNS 问题。

⑤ 掌握程度三档

档位标准检验方法
L1 认得出看到 UDP 53 知道是 DNS，看到 CNAME 知道是别名反射 1 秒
L2 讲得清讲清递归与迭代的区别、CNAME 与 A 的差别、反向解析口述 ④ 中 2 条
L3 判断该用哪个给「DNS 仅对内网开放」能填出完整策略五要素限时 3 分钟写完 2025下 第（4）空

⑥ ★ 费曼式自查提问

复述型（讲给别人听）
  1. DNS 的 A、AAAA、CNAME、MX、NS、PTR 六种记录分别记录什么？给一个例子。
  2. 什么是递归查询、什么是迭代查询？请把「浏览器输入域名到拿到页面」的完整过程讲一遍。
  3. DHCP 配池时，gateway-list、network、excluded-ip-address、dns-list、domain-name 各自在配什么？
追因型（为什么是这样）
  1. 为什么 DNS 要「仅对内网开放」？放开了会泄露什么信息？为什么 excluded-ip-address 一定要排除网关地址？
  2. 为什么 2025下 那道题里 DNS 策略写的是「协议 UDP」而不是「TCP」？什么情况下才需要 TCP 53？
迁移型（换场景还用得上吗）
  1. 公司要上线一个新的对外网站，同时保留内部域名解析，两套 DNS 怎么共存？安全策略上要加几条？
  2. 如果内网终端能 ping 通 192.168.17.101 但 ping 不通域名 dns.corp.local，按顺序列排查步骤。
反向型（反过来会怎样）
  1. 如果 DNS 服务端口 53 在安全策略里被漏掉，会出现什么现象？内网用户还能用 IP 直接访问服务器吗？
  2. 如果 CNAME 记录指向一个不存在的域名，会发生什么？排查思路是什么？

本篇命令填空速记（本篇几乎不考命令）

「补全配置命令」年度趋势 2021=4 → 2022=2 → 2023=3 → 2024=3 → 2025=1 → 2026=0。 本篇 6 个知识点里，真实卷面上以命令填空形态出现的只有极少数几处，且都属于联动题。

唯一 1 处真 DNS/DHCP 命令填空 —— 2023年下半年

真实设问原文：「【问题3】（4分）在路由器 R1 上启用全局 DHCP 服务，请将下面配置代码补充完整」

空素材 blanks 答案原文（照抄）对应华为 VRP 命令
（5）配置 DHCP 分配客户端的网关 IPgateway-list 192.168.1.254
（6）配置 DHCP 可分配给客户端的地址块（网段与掩码）network 192.168.1.0 mask 255.255.255.0
（7）配置不分配的 IP（排除地址）excluded-ip-address 192.168.1.2
（8）配置租约信息为 30 天lease day 30 hour 0 minute 0
（9）配置为 DHCP 客户端分配的域名后缀为 aa.comdomain-name aa.com
（10）display ip pool name ip-pool10查看地址池（华为 VRP）

⚠️ 注意（10）是 display 不是 show——华为 VRP 格式。素材 cmds 中同题完整上下文命令（均在 [R1-ip-pool-ip-pool10] 视图下，[R1] ip pool ip-pool10 进入）：

gateway-list 192.168.1.254      network 192.168.1.0 mask 255.255.255.0
excluded-ip-address 192.168.1.2  dns-list 192.168.1.2
lease day 30 hour 0 minute 0     domain-name aa.com

唯一 1 处 DNS 安全策略填空 —— 2025年下半年

真实设问原文：「表3 第 2 条策略（目的安全域 DMZ，协议 UDP，目的 IP 192.168.17.101/32， 目的端口 53，即 DNS 服务仅对内网开放）中，源安全域为（ ）」

源安全域目的安全域协议目的 IP目的端口动作
trust（内网办公区）DMZUDP192.168.17.101/3253（DNS）permit

其余命令：明确归属其他篇，本篇不背

素材 cmds 里的 ACL、IPSec、Eth-Trunk、PoE、OSPF、端口隔离等 40 条命令，在真实卷面上分别属于「交换与无线」「安全与可靠性」「IP地址与路由」三篇。本篇 6 个知识点的真实考法是：RAID 算盘数、方案选级别、布线判子系统、设计答「为什么」。

全篇速记卡（考前 10 分钟看这一页）

知识点一句话抓分点
分布式存储与备份3 副本=3 节点（含原设备）；冗余写「多副本+纠删码」；不中断业务拿拷贝=快照；MTBF 越大越好、单位小时
需求分析与方案设计六阶段：需求分析→总体方案设计→逻辑设计→物理设计→测试与验收→监测及维护；三层：核心（转发+冗余）/汇聚（路由+策略）/接入（终端+隔离）
Internet 应用协议端口：80/443/20-21/22/25/110/53/161-162；FTP 主动=客户端开数据连接、被动=服务端开；SSL=非对称协商+对称加密
RAID 技术0 无冗余；1 除 2 坏 1；5 减 1 坏 1 最少 3；6 减 2 坏 2 最少 4；10 除 2 坏 1；RAID5 原理= 奇偶校验(XOR)
结构化布线水平=同楼层 / 干线=跨楼层 / 建筑群=跨楼栋；跨楼栋用光缆+光模块；六大子系统要能默写
DNS 与域名UDP 53；A/AAAA/CNAME/MX/NS/PTR；递归 vs 迭代；domain-name、dns-list、display ip pool

三个「选型判据」速记：

  1. 「坏 N 块不丢数据」→ 看容错块数 = N，不是盘数（RAID1 用 2 盘只坏 1）
  2. 「两个方案选一个 + 说理由」→ 结论 + 结合本题场景 2~3 条理由 + 一句权衡
  3. 「该采取什么措施」→ 先答技术手段（冗余/加密/认证），再答管理手段（制度/文档/巡检）