20 · 下午大题知识点图谱 —— 总览与 7 天路线

统计范围：近 5 年 11 个考期（2021上半年 ~ 2026上半年）· 44 道案例大题，全部题干与解析实读 只讲下午《应用技术》，不涉及上午 75 道单选的知识点 方法：每个知识点在 44 道大题（材料 + 题干 + 解析）里出现即计 1 次命中

零、这份图谱解决什么问题

大题不是「知识点平均考」，而是少数知识点反复考。实测数据：

• 全库 83 个二级知识点里，只有 21 个在下午大题中出现过
• 剩下 62 个（75%）下午完全不考 —— 计算机硬件、存储器、TCP 协议、以太网 CSMA、 数据通信原理、软件工程、SDN/云计算…7 天里可以直接跳过
• 21 个知识点里，前 4 个就承担了 142 次命中（全部命中的 33%）

所以 7 天的正确做法是：按命中次数排优先级，不按大纲顺序。

一、知识点分布图（近 5 年 44 道大题命中频次）

全景表

命中频次条形图

路由器技术      39 ████████████████████████████████████████
IPv4地址与子网  37 ██████████████████████████████████████
交换机配置      33 ██████████████████████████████████
防火墙与ACL     33 ██████████████████████████████████
分布式存储备份  26 ██████████████████████████
高可靠与容错    26 ██████████████████████████
认证与数字签名  24 ████████████████████████
虚拟局域网VLAN  22 ██████████████████████
网桥与生成树    21 █████████████████████
需求分析与设计  21 █████████████████████
VPN与IPSec      21 █████████████████████
IP协议操作      18 ██████████████████
OSPF            16 ████████████████
Internet应用    13 █████████████
RAID技术        12 ████████████
结构化布线      12 ████████████
无线局域网WLAN  12 ████████████
报文摘要与证书  12 ████████████
NAT地址转换     12 ████████████
DNS与域名       10 ██████████
BGP              9 █████████
                  ↑ 44 = 满分

分档

A 档 4 个知识点：路由器技术 / IPv4 地址与子网 / 交换机配置 / 防火墙与ACL

二、★ 考法分布图（这是本图谱最有价值的部分）

2.1 设问方式分布（44 道大题）

2.2 ★ 考法的时间趋势（决定学习重心）

三条由此得出的学习策略

① 「补全配置命令」从 2021 年 4 次掉到 2026 年 0 次 —— 不要花时间背全命令。

7 天里命令只记关键填空点：哪一段会出空、空里填的是参数还是完整命令。 （华为 USG 的 security-policy 填空考法是「填 source-zone / destination-zone / action」 这类参数填空，不是让你默写整条策略）

② 「问作用/功能」+「问选型/对比」+「问故障原因」在上升 —— 重心是理解而非记忆。

这三个加起来 2025 年出现 11 次，2026 年上半年就 4 次。 答法必须练到能用「因为…」开头讲清机制。

③ 「填地址/掩码」6 年都在 5/5/5/5/2/3 —— 这是最稳的送分题，必须练到条件反射。

IPv4 地址与子网 命中 37/44（84.1%，全场第 2），D1 上午整段给它。

三、7 天路线（每天 2 小时）

总表

7 天覆盖 21 个知识点 = 100% 的下午命中（429 次命中全覆盖）

每天的时间分配（2 小时）

每天的学习流程（固定动作）

1. 先看「② 命题角度」里的真实设问表     5 min   搞清考试怎么问
2. 读「④ 理解清单」                     20 min   理解机制，不是背
3. 背「③ 必背清单」                     20 min   硬记忆
4. 答「⑥ 费曼自查提问」全部 4 层         40 min   ★核心：用问题检验自己
5. 看「⑤ 掌握程度判定」                 5 min   没到 L2/L3 的回第 2/3 步

四、每个知识点的固定结构

5 份图谱（21~24 + 本总览）里，每个知识点都是这个结构：

## 知识点 N · <名称> ← 命中 X/44（Y%）

### ① 考情定位
命中数、考期覆盖、设问方式分布、近 5 年趋势

### ② 命题角度（这个知识点在考什么）★
  A. 设问方式分布（表格）
  B. 真实设问原文 8-12 条（从 44 道大题原文照抄，标注考期）  ← 核心增量
  C. 从设问反推的考法归纳 3-5 条

### ③ 必背清单（只列真正要记的 8-12 条）

### ④ 理解清单（3-5 个「为什么是这样」）

### ⑤ 掌握程度三档
  L1 认得出 | L2 讲得清 | L3 判断该用哪个

### ⑥ ★ 费曼式自查提问 6-8 个（4 层）
  复述型 / 追因型 / 迁移型 / 反向型

②B「真实设问原文」是本图谱的核心增量 —— 不是我编的考法，是 44 道真题的原话。

五、★ 费曼式自查提问怎么用

这不是题目，是检查你自己懂不懂的问题。 四层递进：

判分标准（举 OSPF 的例子）：

重要提醒：机制类问题必须写依据

「问故障原因」占 29.5%，且评分必须写依据。

真实反例（2026上半年原题）：

问：R4 的 GE0/3 Down 后为什么出现延迟抖动和 CPU 告警？

• ❌ 只写「链路故障导致路由变化」→ 不给分
• ✅ 写「R3/R4 静态路由互指默认路由，Down 后 R4 下一跳变化但 R3 仍指向 R4， 形成路由环路，报文反复转发至 TTL 耗尽，带宽占满且环路报文使 CPU 飙升」→ 给分

六、5 份图谱文档索引

七、7 天之后

这份图谱解决的是下午 75 分。补充说明：

• 下午 75 分里，「填地址/掩码」占 56.8% —— 这是最高性价比的突破口， 练好 IPv4 子网 + RAID 容量 + 带宽估算三类计算题，基本盘就稳了
• 本图谱不含上午知识点 —— 上午 75 道单选覆盖 30+ 个知识点， 另见 00-汇总索引.md 的「★ 专项」章（4.1~4.10）
• 真题验证：99-大题7天学习路线图.md 里有 3 套真题原卷（试卷与答案分离）， 可在 D6/D7 用来自查

八、数据来源与统计口径

统计脚本（可在 qbwork/ 重跑复核）： stat_case_kp.py（知识点命中排名）、stat_case_ask.py（真实设问与命令填空提取）、 stat_case_cat.py（设问方式分类与年度趋势）、export_kpmap.py（图谱素材导出）

素材位置：qbwork/kpmap/*.json（含每个知识点的真实设问原文、命令填空、标准答案）

数据快照：2026-10-06 · 题库 24 考期 / 2129 道真题 · 本图谱只统计近 5 年下午 44 道大题

21 · 下午大题知识点图谱 —— IP 地址与路由

覆盖 5 个知识点 · 累计命中 119 次 / 44 道大题 · 近 5 年（2021上 ~ 2026上，11 考期） 命令全部华为 VRP 格式（display 不是 show） 素材来源：kpmap/下午大题知识点图谱-IP地址与路由.json

本篇知识点与 7 天定位

本篇是全图谱命中最高的一篇（119 次，占全部 429 次命中的 28%）。D1 一整天都该给这里。

知识点 1 · IPv4 地址与子网 ← 命中 37/44（84.1%）

① 考情定位

全局定位：近 5 年 44 道大题里，「填地址 / 掩码」出现 25 道（56.8%），是本知识点的主战场，也是整个下午最稳的送分题。

② 命题角度（这个知识点在考什么）

A. 三条主要考法

B. 真实设问原文（照抄 44 道大题）

C. 从设问反推的考法归纳

1. 表格填空是主流形式 —— 题干给「表1-1 部门主机数量」，让你填网络号/掩码/可用主机数。 ⚠️ 提醒：题库中这些表格全部是图片（实测无 HTML 表格），必须开图看数据。

2. 「为什么取不到 IP」是高频故障题 —— 2026上半年就考了 DHCP 地址池不足。 这类题要答「现象 → 原因 → 处置」三段，见 ④。

3. 地址规划遵循固定步骤 —— 先按部门数分网段 → 每网段留够主机位 → 汇总成 CIDR 块。记步骤比记公式重要。

③ 必背清单

1. 子网划分三步法（最该背成条件反射的）

第 1 步：按主机需求定主机位
        需要 N 台 → 2^h - 2 >= N  →  h = 满足条件的最小值
        （-2 是减掉网络地址 0 和广播地址末尾全 1）

第 2 步：借位
        父网络主机位 = 32 - 父掩码位数
        需要划 N 个子网 → 2^s >= N  →  借 s 位

第 3 步：算每个子网
        网络地址 = 父网络地址 AND 子网掩码
        广播地址 = 网络地址 OR 主机位全 1
        可用主机 = 2^h - 2
        掩码中主机位 = 1，其余位 = 0

2. 常用块速查（借位 → 掩码 → 可用数）

3. 特殊地址（判断题必考）

4. ⚠️ 三组易混的「掩码 vs 反掩码」

反掩码 = 子网掩码按位取反（255→0，0→1）。

5. 地址规划的标准流程（照着做就不错）

① 统计每个部门/区域的主机数
② 按「部门数 + 预留」分配块大小（大部门给 /24 块，小部门 /26 块）
③ 逐块算出网络号（用块大小对齐，避免碎片）
④ 汇总：相邻且用途相同的块可写成一个大 CIDR 块
⑤ 写地址规划表：网络号 / 掩码 / 网关 / 可用数 / 分配对象

④ 理解清单（能讲清的机制）

Q：为什么要减 2？ A：2^h 个地址里，有 2 个被“占“了 —— 网络地址（全 0，主机位为 0 的那个，不能配给主机）、 广播地址（全 1，主机位全为 1 的那个，用于广播）。剩下 2^h - 2 才能给主机用。

Q：为什么网关地址要用「网络号 + 第一个可用地址」？ A：网关本质是路由器的三层接口，它要在本网段内被终端访问到， 所以必须是本网段内的地址，且为避免冲突通常取第一个可用地址。 网络号和广播地址不能配给任何主机，包括网关。

Q：DHCP 地址池不足，为什么“地址耗尽“就取不到 IP？ A：DHCP 的四步（DISCOVER→OFFER→REQUEST→ACK）里，服务器在 OFFER 阶段 必须先从地址池取一个未分配的地址。地址池满了 → 无法完成地址绑定（OFFER）→ 终端收不到 IP。 处置方向有两条：扩容地址池 和 缩短租期加快回收（2026上半年原题考的就是这个）。

Q：为什么 DHCP 场景下“改 IP 地址就正常了“能反推出故障原因？ A：说明该终端的 IP 地址触发了某种基于源 IP 的限制策略（设备上做了 IP+MAC 绑定、 或按源 IP 限制访问权限）。换个合法 IP 就绕过限制 → 说明不是链路/硬件问题。 答题时必须写出这个推理链，只写“可能是 IP 冲突“不给分。

Q：为什么地址规划要“按部门分块“而不是“按主机类型混着分“？ A：混着分会导致路由表膨胀（每个部门一段都有一条路由）， 且无法做汇总路由（不同部门的地址不连续，CIDR 汇总不了）。 按部门分块 + 连续分配，才能用一条汇总路由覆盖整个园区。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

知识点 2 · 路由器技术 ← 命中 39/44（88.6%）★全场第 1

① 考情定位

本知识点是全场命中第一，且 9 种设问方式全部命中 —— 说明它不是单一考法，而是 「路由功能 + 冗余 + 排障 + 配置」的综合性入口。

② 命题角度

A. 五条主要考法

B. 真实设问原文（照抄）

C. 从设问反推的考法归纳

1. 「问作用/功能」是本知识点的绝对主轴（29 次） —— 「VRRP 实现什么功能」「心跳线的作用是什么」这类题， 答案要答功能 + 解决什么问题，不是背定义。

2. 链路冗余的四种技术必须能列全 —— 2022下半年原问「接口备份、(3)、(4) 和双机热备份」，四个空要一次答对。

3. 路由环路是高频故障题，且必须写出机制 —— 2026上半年那题的标准答案链：

   R3/R4 静态路由互指默认路由 → R4 的 GE0/3 Down 后 R4 下一跳变化， 但 R3 仍指向 R4 → 形成路由环路 → 报文反复转发至 TTL 耗尽 → 带宽被占满、时延骤增 → 环路报文使 CPU 飙升

4. 浮动路由考的是 preference 的作用 —— 不是考你会不会写两条静态路由。

③ 必背清单

1. 三种路由的写法（华为 VRP）

【静态路由】
[R1] ip route-static 192.168.10.0 24 10.1.1.2
     目的网络   反掩码  下一跳

【默认路由】★4 个考期考过
[R1] ip route-static 0.0.0.0 0.0.0.0 10.1.1.2
     两个全 0 = 匹配任意目的地址

【浮动路由（主备）】★考过多次
[R1] ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet2/0/1 10.1.1.2
[R1] ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet2/0/2 10.2.2.2 preference 100
     ★第二条必须加 preference 100，否则两条都是 60 = 等价负载均衡

2. ⚠️ 路由选择的三个优先级（顺序不能记反）

1. 最长前缀匹配（掩码越长越优先）—— 先比"目的网络被遮住的部分"
2. 管理距离（数值小的优先）—— 静态 60 < OSPF 110 < RIP 120 < BGP 255
3. 协议开销（Cost）

能答出“静态路由 60 永远优先于动态协议“= 懂 —— 这解释了为什么配静态路由能“引流“和“做备份“。

3. 链路冗余的四种技术（2022下半年考过）

4. VRRP（高频）

功能：网关冗余 / 冗余网关（不是链路冗余！）
主机名：VRRP 协议号 112
选举：同组内 priority 大者为 Master；priority 相同则比接口 IP，大者为先
心跳：Master 定期发 Advertisement，Backup 收不到超过 3 个周期才切换
抢占：默认 Master 恢复后不抢占；两台都配 preempt-mode 才能"谁大谁当主"

[R1] interface Vlanif 10
[R1-Vlanif10] vrrp vrid 10 virtual-ip 10.10.10.254
[R1-Vlanif10] vrrp vrid 10 priority 120
[R1-Vlanif10] vrrp vrid 10 preempt-mode

5. BFD + 联动

作用：毫秒级检测链路/路由故障（OSPF 最小 1 秒，BFD 更快）
★必须与静态/OSPF/BGP 联动，单独用会震荡

[R1] bfd
[R1-bfd] bfd R1 to R2 bind peer-ip 10.12.12.2 interface GigabitEthernet2/0/1 one-arm-echo
[R1] ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet2/0/1 10.12.12.2 track R1 to R2
     ★track 后的会话名必须与建立 BFD 会话时一字不差

6. 可靠性指标

7. 必须会用的查看命令

display ip routing-table            ← 最常用，查路由表
display ip routing-table 10.1.1.0   ← 查特定目的地址的匹配情况
display interface brief             ← 接口状态速览
display vrrp                        ← VRRP 状态
ping 10.1.1.2                       ← 连通性
tracert 10.1.1.2                    ← 逐跳定位

④ 理解清单

Q：为什么浮动路由的备线要写 preference 100？ A：华为静态路由默认优先级是 60。若两条都是 60，设备认为它们等价， 流量会负载均衡到两条路径上 —— 这不是主备，主路径一断流量也不会全切走。 写成 preference 100（数值越大越不可信）后，只有主路径失效才启用备线。 能答出“数值越大越不可信“= 懂。

Q：VRRP 和链路冗余是一回事吗？ A：不是。VRRP 解决的是网关（默认路由）单点故障 —— 主网关设备宕机后，Backup 接管虚拟 IP，终端不受影响。 但如果主网关设备活着、只是某条上联链路断了，VRRP 无能为力。 链路问题要用 Eth-Trunk 链路聚合或浮动路由解决。 能主动区分这两者 = 本知识点已掌握 80%。

Q：为什么链路断了会出现“延迟抖动 + CPU 告警“，而不只是“断了“？ A：因为配置了静态路由互指默认路由。R4 的接口 Down 后它改了下一跳， 但 R3 那边的静态路由还指向 R4 —— 两端不一致 → 路由环路。 数据包在 R3↔R4 之间反复转发直到 TTL 耗尽 → 链路带宽被环路报文占满（延迟抖动）， 设备 CPU 忙于处理这些报文（CPU 告警）。 能讲出“互指默认路由 → 单边变化 → 环路 → 带宽+CPU“这条链 = 真懂。

Q：黑洞路由（指向 Null0）解决什么问题？ A：当某条链路故障时，静态默认路由可能产生路由环路。 配一条指向 Null0 的黑洞路由，立即生效把不可达网段的流量在本地丢弃， 避免流量继续转发形成环路。它是兜底，不是主用方案。

Q：为什么问「问故障原因」时必须写机制，只写结论不给分？ A：评分标准要的是因果链。写“链路故障导致路由变化“只答了表层； 写“R3/R4 互指默认路由，R4 单边变化导致不对称 → 环路 → 带宽与 CPU 压力“才是完整答案。 对照 2026 上半年真题的评分点就是这个。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

知识点 3 · IP 协议操作 ← 命中 18/44（40.9%）

① 考情定位

考的不是 IP 头部的字段背记，而是「这个协议解决什么问题 + 出问题怎么排查」。

② 命题角度

A. 三条考法

B. 真实设问原文

C. 考法归纳

1. 光衰/光模块类故障反复出现（2021上、2026上）—— 要能答出检测工具（光功率计/红光笔定位）与处置（更换光模块或光纤）。

2. 「换 IP 就正常」是通用推理题（2021下）—— 凡是这类题，答案都要写出**“存在基于源 IP 的限制”** 这条推理链。

3. ARP 一定要考「作用」而不是「格式」 —— 问「ARP 解决什么问题」时，要答「把 IP 解析成 MAC」+「为什么需要它」（交换机按 MAC 转发）。

③ 必背清单

1. 三个协议的分工（必背，别混）

2. ping 与 tracert 的原理

ping      发送 ICMP Echo Request → 目标回 Echo Reply
          ★三层可达但二层不通时 ping 不通

tracert   靠 IP 首部的 TTL 字段逐跳探测
          发出 TTL=1 → 第一跳回 Time Exceeded，TTL=2 → 第二跳回…
          ★能定位「在哪一段丢包」

3. 故障排查顺序（分层定位）

1. 物理层：链路是否 Up？光衰是否正常？用 display interface brief
2. 二层：ARP 是否正常？能否拿到 MAC？（display arp）
3. 三层：路由表有没有正确条目？（display ip routing-table）
4. 三层以上：ping / tracert 逐段验证

④ 理解清单

Q：为什么 ping 通但 tracert 某跳不通，说明什么？ A：说明那一跳之后有问题。tracert 靠 TTL 逐跳探测，第一个返回 Time Exceeded 的跳点之后， 问题在「该跳点到下一跳」之间。也可能是中间设备屏蔽了 ICMP（能通但返回超时）。

Q：为什么 ARP 是必需的？交换机按 MAC 转发，但路由是按 IP 选路的，矛盾吗？ A：不矛盾。主机先查路由表决定发给谁（IP 层）， 然后通过 ARP 找到网关的 MAC（链路层），交给网关转发。 网关的 IP 是目的网段的下一跳，ARP 找的是它的 MAC —— 两层各管一件事。

Q：同网段两台主机通信，需要经过网关吗？ A：不需要。判断依据是子网掩码（见知识点 1 的 Q1.3）—— 同网段直接 ARP 找对方 MAC 走交换机，只有跨网段才需要网关。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

知识点 4 · OSPF ← 命中 16/44（36.4%）

① 考情定位

⚠️ 与旧版统计差异说明：我此前说“OSPF 命中 10 次“，那是用 serial 单键统计的结果 （case-0-parent 跨考期重复导致串数据）。改用 (考期, serial) 复合键后， 真实命中是 16 次，且 10/11 个考期都出现。

② 命题角度

A. 四条考法

B. 真实设问原文

C. 考法归纳

1. 「简述 RIP 和 OSPF 的区别」必须按三个维度答 —— 题目明确给了「算法原理、适用范围、功能特性」三个方向， 必须分点作答，缺一点扣一点分。

2. 路由环路分析是高分题（2023上半年 2 分 + 2023下半年 8 分）—— 问的是机制：为什么相互引入会导致环路？答案要讲清优先级冲突。

3. 「认证」是易漏考点（2023上半年）—— OSPF 邻居间可以配置认证提升安全性。

③ 必背清单

1. RIP vs OSPF 三维度对比（高频原题）

2. OSPF 核心机制

算法：链路状态，每台路由器构建 LSDB，全网一致 → 收敛快
宣告：洪泛（flooding）到 OSPF 区域
报文：Hello（224.0.0.5 / 224.0.0.6）、DBD、LSR、LSU（携带 LSA）、LSAck
Cost = 参考带宽(默认100M) / 接口带宽
      → 千兆 = 100/1000 = 0.1；百兆 = 1
区域：单区域只有 Area 0（骨干）；多区域必有 Area 0

3. DR/BDR 选举（题库最高频的坑）

第 1 步：比 priority（大者优先）
        ↓ 相同
第 2 步：比 Router ID（大者优先）
        ↓ 相同
第 3 步：比 IP 地址（大者优先）

★priority = 0 表示放弃竞选（不参与，也不能当 DR）
★DR 一旦产生不会被抢占（稳定性设计）
★只有 1 台 DR、没有 BDR（只有 2 台路由器时）

4. 华为配置（area 是可选参数）

[R1] ospf 1 router-id 10.13.13.1
[R1-ospf-1] network 10.13.0.0 0.0.0.255
[R1-ospf-1] quit

多区域时才写 area：
[R1-ospf-1] area 0 network 10.13.0.0 0.0.0.255

认证（2023上半年考过）：
[R1-ospf-1] area 0 authentication-mode md5 1 cipher XXX

路由引入：
[R1-ospf-1] import-route static
[R1-ospf-1] import-route bgp

⚠️ 关键提醒：题库 196 道路由题里 network 出现 11 次，10 次不带 area。 area 只在跨区域场景需要指定。router-id 必须手工指定。

5. BGP 路由生成的两种方式（2022下半年考过）

区别：network 只能通告直连网段且必须精确匹配；import-route 可以引入其他协议的路由。

6. 路由环路检测（2023下半年考过）

[R1] route-policy rp1 permit node 10
[R1-route-policy1] apply local-preference 200      ← 调整本地优先级打破环路
[R1] bgp 65001
[R1-bgp] import-route ospf 1

原理：相互引入会产生优先级冲突 → 一端认为是优路由、另一端认为是次优 → 环路。 打破办法：调整 local-preference / MED，让两端判断一致。

④ 理解清单

Q：为什么 OSPF 收敛比 RIP 快？ A：RIP 是距离向量，只知道“邻居告诉我到某网段的距离“， 但看不到全网拓扑 → 网络大时收敛慢（坏消息传遍全网要时间）。 OSPF 是链路状态，每台路由器构建全网一致的 LSDB，各自独立跑 SPF 算法算出最短路径 → 收到一次通告就能立刻算出结果。能讲出“有没有全网拓扑视野“这个根本差异 = 懂。

Q：为什么 OSPF 要划分区域？ A：区域化是为了限制 LSA 泛洪范围。单区域时任何拓扑变化都会泛洪到全网； 划分区域后，区域内部的变化不影响到其他区域 → 降低了 LSA 泛洪量， 也降低了每台路由器的 CPU 与内存压力。 必须有 Area 0 是因为区域间通信必须经过骨干区。

Q：为什么 BGP 和 OSPF 相互引入会产生环路？ A：两者的度量值逻辑不同（BGP 看 AS-PATH 长度，OSPF 看 Cost）， 且优先级判定标准不同。当 A 把 OSPF 路由引入 BGP、B 又把 BGP 引入 OSPF 时， A 认为的优路由与 B 认为是优的恰好相反 → 两端都把对方的路由当作最优 → 互相指引 → 环路。 能讲出“两端判断相反“这个核心 = 懂。

Q：为什么 OSPF 的 network 命令要用反掩码？ A：因为它要表达的是「匹配哪些地址属于本区域」， 而反掩码 0.0.0.255 表示“前 24 位必须匹配、后 8 位不关心“。 声明网段用子网掩码，匹配地址用反掩码（见知识点 1 的 Q1.7）。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

知识点 5 · BGP ← 命中 9/44（20.5%）

① 考情定位

BGP 命中最低，且高度集中在「问作用/功能」 —— 说明考的是概念辨析而非配置细节。

② 命题角度

A. 三条考法

B. 真实设问原文

C. 考法归纳

BGP 的考题几乎全部围绕「为什么需要 BGP」和「两种引入方式的区别」， 而不是考 peer 命令的每个参数。

③ 必背清单

1. BGP 的 5 个必答点

1. BGP = 唯一的 EGP（外部网关协议），用于**自治系统之间**
2. 算法：**路径向量**（不是距离向量也不是链路状态）
3. 传输：**TCP 179**（所有路由协议里唯一跑 TCP 的）
4. 邻居：**必须手工配置 peer**，不会自动发现
5. 路由生成两种方式：**network**（直连）与 **import-route**（引其他协议）

2. BGP vs OSPF 对比

3. 华为配置

[R1] bgp 65001                      ← 数字是 AS 号（私有 64512-65534）
[R1-bgp] router-id 1.1.1.1
[R1-bgp] peer 10.1.1.2 as-number 65002      ← EBGP：两端 AS 不同，需直连
[R1-bgp] peer 3.3.3.3 as-number 65001       ← IBGP：同 AS，不需直连
[R1-bgp] peer 10.1.1.2 next-hop-local        ← IBGP 建邻居的前提
[R1-bgp] network 10.1.0.0 0.0.0.255        ← 方式一：直连
[R1-bgp] import-route ospf 1                 ← 方式二：引入其他协议
[R1-bgp] import-route static

4. 路由反射器（近年新考点）

[R1] bgp 65001
[R1-bgp] peer 2.2.2.2 reflector-client     ← 注意：华为是 reflector-client
[R1-bgp] peer 10.1.1.2 next-hop-local

三条规则：

1. RR 客户学到的路由可以再通告给其它客户
2. RR 从非客户（eBGP/其它 RR）学到的路由可以通告给客户
3. 客户之间不互相通告（水平分割的解除方式）

④ 理解清单

Q：为什么 BGP 唯一使用 TCP？ A：BGP 需要与对端可靠地交换大量路由信息，且要求传输有序。 RIP/OSPF 用 UDP 是因为它们传输的是自己计算出的路由摘要（小且可容忍丢失， 丢了下次周期会重发）；BGP 的路由是决策依据，丢了会导致路由错误， 所以必须用可靠的 TCP。能讲出“路由是决策依据，不能丢“= 懂。

Q：为什么 BGP 必须手工配置 peer，而 OSPF 可以自动发现？ A：OSPF 跑在同一个自治系统内部，设备间天然互信，用 Hello 广播即可。 BGP 连接的是不同组织的网络，不能假设对端都可信、都在同一广播域， 必须管理员显式指定对端地址。能讲出“跨组织不可假设互信“= 理解设计意图。

Q：network 与 import-route 有什么区别？ A：network 只能在 BGP 进程内通告本机直连的网段，且掩码要精确匹配直连接口； import-route 是把其他协议学到的路由引入 BGP。 能说清“一个只能直连、一个能引任何协议“= 掌握。

Q：为什么 BGP 的管理距离是 255（最低可信度）？ A：因为 BGP 引入的路由常常是外部路径，可能不如内部动态协议准确。 给 BGP 最低管理距离（255 = 最不可信）意味着只要有内部动态路由，就优先用内部的， BGP 只在没有更好选择时使用。能答“外部路径不如内部可信“= 懂设计意图。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

本篇命令填空速记（照抄真实真题）

数据来源：44 道大题中与本篇相关的填空点。只记填空形态，不背全命令。

静态路由与默认路由（2021上半年 case-2、2023上半年 case-2 等）

[R1] ip route-static 0.0.0.0 0.0.0.0 (1)              ← 填下一跳地址
[R1] ip route-static 0.0.0.0 0.0.0.0 GigabitEthernet2/0/2 10.2.2.2 preference 100
     ↑ 第二空考的是 preference 数值（100 = 备用）

浮动路由的三个优先级（2025下半年 case-2，连考三年）

preference 100  track nqa admin isp2  ← 最优先（ISP2）
preference 110  track nqa admin isp1  ← 次优先（ISP1）
preference 120  无 track              ← 兜底（5G 应急）

这题考的是「数值越小越优先」的理解 + 「track 用于检测链路可用性」。

OSPF（2021上半年 case-2）

[R2] ospf 1
[R2-ospf-1] import-route (4)          ← 填协议类型（bgp/ospf/static/direct）
[R2-ospf-1] import-route bgp
[R2-ospf-1] area (5)                  ← 多区域时填区域号

BGP（2024上半年 case-3）

（1）C     （2）B     （3）200     （4）direct     （5）0（或 0.0.0.0）

（3）200 是 local-preference 值（>100 表示优先从外部学到的）， （4）direct 是 import-route 的协议类型。

本篇学习重点总结

如果 7 天里只给本篇 4 小时，优先级排序如下：

能答出「为什么浮动路由要写 preference」「为什么互指默认路由会环路」这两个机制问题， 本知识点就达到了 L2 以上水平。

返回：20-总览与7天路线 · 下一专题：22-交换与无线 · 最后一块：23-安全与可靠性 · 24-规划与存储

素材：kpmap/下午大题知识点图谱-IP地址与路由.json（含 5 个知识点的真实设问原文、命令填空、标准答案） 统计脚本：stat_case_kp.py · stat_case_ask.py · export_kpmap.py

22 · 下午大题知识点图谱 —— 交换与无线

覆盖 4 个知识点 · 累计命中 88/44 次 · 近 5 年（2021上~2026上，11 考期 / 44 道大题） 命令全部华为 VRP 格式。素材来源：kpmap/下午大题知识点图谱-交换与无线.json（missing 为空，无缺考期）

本篇知识点与 7 天定位

为什么这一篇排第 3 但优先级更高：命中数第 3（33 次），但设问方式里「问作用/功能」占 20 次，是全篇唯一一条稳定压倒性的主线。近 5 年 44 道大题里，「问作用/功能」出现 22 次（50%），而「补全配置命令」从 2021 年的 4 次一路掉到 2026 年的 0 次。

本篇第一原则：不要背命令，要能讲清「这个技术解决什么问题」。 真实设问长这样：「交换机 A 与交换机 B 之间的连接线称为 (5) 线，其作用是 (6)」——考的是术语 + 作用， 不是让你默写 port link-type。

知识点 1 · 交换机配置 ← 命中 33/44（75.0%）

① 考情定位

• 命中 33 次，11 个考期全部命中（2021上 ~ 2026上），是本篇唯一「期期不落」的知识点
• 素材规模：asks 40 条（真实设问原文）、blanks 30 条（真实填空点原文）、cmds 40 条（真实命令）
• 命中率 75.0% = 44 道大题里 33 道都考了交换机配置

设问方式分布（来自素材 cats，共 9 类）

② 命题角度（这个知识点在考什么）★

A. 设问方式分布 —— 见上表。核心信号：前三名是「问作用/功能（20）」「补全配置命令（19）」「填地址/掩码（16）」，但**「问作用/功能」是唯一在2025 逆势涨到 6 次的**（2021:5 → 2025:6），而「补全配置命令」同期从 4 掉到 1。

B. 真实设问原文（照抄素材 asks）

C. 从设问反推出的考法归纳（每条都基于上面的原文）

1. 「连接方式三兄弟」是绝对主力。2021上「(12) 共享背板带宽 / (13) 双绞线连接」、2022下「堆叠技术的优点和缺点」、2023上「核心交换机有哪几种冗余配置方式」、2025下「VRRP 和堆叠的区别」——四次不同考期、同一个知识靶点。堆叠/级联/聚合的区别必须能一口气讲完。
2. 「作用」问句后面一定跟着「为什么需要它」。2021上问「(5) 线」的作用，标准答案是「传递 VRRP 协议报文，监测主备交换机状态，实现主备切换」——答术语只是一半，答「监测什么、切换什么」才是另一半。
3. 交换机侧的「措施」题几乎都落到 ACL /端口安全。2021上「禁止 PC1 访问财务服务器」→答案 ACL 过滤；2022上「防止伪造 MAC 地址攻击网关」→ 答案端口安全。看到「禁止…访问…」先想 ACL，看到「伪造 MAC / 蹭网」先想 port-security。
4. 故障类设问的固定套路是「换东西验证 → 反推原因」。2021上「更换 IP 地址后网络正常」→ 地址冲突；这是排除法，不是要你背故障表。
5. 「带宽/容量估算」在本知识点里只考两种：堆叠能不能共享背板带宽（定性）、百兆够不够（定性 + IPC 码流）。不考复杂算式。

③ 必背清单（只列真正要记的）

④ 理解清单（能讲清的机制）

1. 堆叠 vs 级联 vs 聚合，为什么必须分清

   • 堆叠 = 「把多台交换机拼成一台」→ 成员间走专用堆叠链路，共享背板带宽，对外只呈现一个逻辑设备。
   • 级联 = 「把多台交换机连起来」→ 走普通以太网端口 + 双绞线，每台各自转发、独立背板。
   • 聚合 = 「把多条链路并成一条」→ 不改变设备数，只让带宽叠加 + 冗余。
   • 一句话判据：堆叠换「设备数」，聚合换「带宽」，级联只换「端口数」。

2. VRRP 为什么要一根「心跳线」：两台交换机对外只暴露 1 个虚拟网关 IP，主备之间必须有一条不经过三层网络的直连通道，否则 master 宕机时 backup 收不到通告只能等超时 → 收敛慢。这根线就叫心跳线。

3. 链路聚合解决哪两个问题：①带宽——单条 1G 跑不满，N 条捆绑后逻辑带宽 ×N；②可靠性——一条断了流量自动走剩余成员（前提是 LACP 正确协商 + 两端负载分担模式一致）。

4. PoE 的工程意义（2021上 (1)(2) 原答案已点明）：PoE 在一根网线（双绞线）上同时完成「提供电功率」与「传输数据」，相对传统「数据线 + 电源线」的最大价值是无需另布电源线。两种供电方式：空闲脚（spare pairs） / 数据脚；802.3af 用空闲脚时 4、5 线对为正极、7、8 线对为负极（回流）。

5. 端口安全 / ACL / 隔离 三层防护的分工：端口安全管接入端是谁（MAC 白名单 + 数量）；ACL 管谁能访问哪（五元组）；隔离管同 VLAN 内互访阻断。题目问「伪造 MAC 攻击网关」三层都不完全对，答案是端口安全——因为攻击发生在二层身份这一层。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

这不是题目，是检查你自己懂不懂的问题。

复述型

知识点 2 · 虚拟局域网 VLAN ← 命中 22/44（50.0%）

① 考情定位

• 命中 22 次，11 个考期全部命中
• 素材规模：asks 40 条、blanks 30 条、cmds 40 条
• 与知识点 1 高度重叠（同一批设问常同时命中两个知识点），但VLAN 有自己独占的考法

设问方式分布（来自素材 cats）

② 命题角度（这个知识点在考什么）★

A. 设问方式分布 —— 上表。这个知识点的显著特征是：「补全配置命令」12 次排第一，与知识点 1（作用 20 第一、命令 19 第二）正好相反。原因很简单——VLAN 的命令序列高度模板化，出题人喜欢直接挖空。

B. 真实设问原文（照抄素材 asks）

C. 从设问反推出的考法归纳

1. VLAN 解决什么问题是本知识点的第一问。2026上「请简要概述采取什么措施可以实现各部门、数据机房、会议室之间的广播域隔离」——答案就是划分 VLAN。这是「作用」类设问的标准形态。
2. 「Trunk 承载什么」必考。2022下「该线缆与交换机连接需要用到哪些部件」+ 多 VLAN 复用同一条链路的题面反复出现。
3. 华为 / Cisco 的默认行为差异是高频陷阱（见下方理解清单 3）。
4. VLANIF 三层口的作用要能一句话讲清（见理解清单 2）。2021下原题面就写着「配置 VLANIF 接口的 IP 地址」。
5. 同一 VLAN 内还要隔离 → 二层隔离功能；放开互通 → 网关上配三层功能（2023下 (2)(3) 两连空）。这是「同一考期同一案例连续挖空」的典型形态。

③ 必背清单（只列真正要记的）

④ 理解清单（能讲清的机制）

1. 为什么要 VLAN：广播风暴的本质：交换机默认转发广播帧，一个广播会在整个广播域内扩散。域越大 → 广播帧越多 → 占用转发带宽、MAC 表反复震荡（flapping）、安全性差。划 VLAN = 把一个广播域切成多个小广播域，广播止步于 VLAN 边界。

2. VLANIF 的作用（三层口）：二层交换机只认 VLAN 不认网段，跨 VLAN 通信必须靠三层。VLANIF 就是交换机上为某个 VLAN 开的 SVI 三层口，配 IP 后成为该 VLAN 内主机的默认网关，实现 VLAN 间路由 / 隔离。没有 VLANIF，两个 VLAN 永远不通——这是 2023下「Core-SW 故障」类题的标准排查点。

3. 华为 vs Cisco 的 Trunk 默认行为（高频陷阱，必须记）

   项目	华为 VRP	Cisco IOS（对照用，答案不写这个）
   端口模式命令	port link-type access / trunk / hybrid	switchport mode access / switchport mode trunk
   Trunk 放通 VLAN	port trunk permit vlan 10 20（默认只放通 VLAN 1，其余必须显式写）	switchport trunk allowed vlan 10,20（默认放通所有 VLAN）
   Access 所属 VLAN	port default vlan 10	switchport access vlan 10
   链路聚合	interface Eth-Trunk 1 + trunkport GigabitEthernet 0/0/x + port link-type trunk	channel-group 1
   捆绑模式	mode lacp-static	channel-protocol lacp
   查看	display vlan / display port vlan / display eth-trunk	show vlan / show interfaces trunk

   本篇所有答案只写华为列。右列仅用于让你在真题里认出这是 Cisco 写法（真卷给的是华为）。

4. Access / Trunk / Hybrid 怎么选

   • 接终端 → Access（简单，一个 VLAN）
   • 交换机之间、且确定要传多 VLAN → Trunk（全 tag）
   • 需要「同一链路上有的 VLAN 打 tag、有的不打」（如连接不支持 tag 的老设备/打印机/服务器）→ Hybrid

5. Eth-Trunk + Trunk 的配置顺序（为什么这个顺序） 必须先建 Eth-Trunk 逻辑口并把物理成员加进来，再在逻辑口上配 port link-type trunk +放通 VLAN。 反过来（在物理口上配 trunk）不会生效——逻辑口才是转发实体。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

复述型

知识点 3 · 网桥与生成树 ← 命中 21/44（47.7%）

① 考情定位

• 命中 21 次，11 个考期全部命中（命中率略低于VLAN，但同样期期不落）
• 素材规模：asks 40 条、blanks 30 条、cmds 40 条
• 重要趋势：命令题停了，原理题还在。2024 下半年起「补全配置命令」退场，但「为什么需要生成树」「五种端口状态」「VRRP 和堆叠的区别」这类原理 + 对比设问持续出现

设问方式分布（来自素材 cats）

② 命题角度（这个知识点在考什么）★

A. 设问方式分布 —— 上表。「问作用/功能」14 次居首，与知识点 1 同一逻辑。

B. 真实设问原文（照抄素材 asks）

C. 从设问反推出的考法归纳

1. 「STP 解决什么问题」是这个知识点的第一问，而且是年年问。2022上原题面直接写「在该网络中为避免环路，应该在交换机上配置（5）」。
2. 协议演进（STP → RSTP → MSTP）是高频对比点。2022下那道把三者关系说得很明白：「均是通过阻塞某个端口来实现环路消除，存在浪费带宽的缺点，MSTP 在 STP 和 RSTP 的基础上进行了改进，既可以快速收敛，又提供了数据转发的多个冗余路径」。
3. 冗余技术之间互相对比（VRRP vs 堆叠、接口备份 vs 链路聚合 vs 双机热备份）几乎每年换一个组合问。
4. 命令题确实停了：素材里生成树相关命令只有 [交换机A]stp enable (全局使能，MSTP 为默认模式)（2023下）， 之后 2024下 / 2025上 / 2026上再没出现生成树命令填空。→ 原理必会，命令只记 stp enable 一条。

③ 必背清单（只列真正要记的）

④ 理解清单（能讲清的机制）

1. 为什么二层一定要有生成树（而不是三层才有环路问题） 交换机转发依据是MAC 地址表，收到广播/未知单播就泛洪。一旦网络成环， 同一个帧会沿环路无限循环复制，且不同端口的 MAC 表互相覆盖 → 广播风暴 + 主机收收到大量重复帧。 这个过程在二层，与 IP/路由无关，所以必须在二层解决 → 生成树。

2. 生成树的代价：阻塞端口浪费带宽（2022下原文）：「他们均是通过阻塞某个端口来实现环路消除的，存在浪费带宽的缺点」——阻塞的端口不能转发数据，冗余路径存在但被闲置。→ MSTP 的改进点就在这里：把「一棵树的阻塞」改成「按 VLAN 分配多棵树」，让冗余路径真的在转发数据。

3. 广播抑制 broadcast-suppression 与生成树解决的不是同一个问题：生成树从拓扑上消灭环路；广播抑制从流量上限速——即使拓扑正常，大量合法广播（比如一个泛洪风暴病毒）也会打满链路，这时靠门限百分比丢帧保护其他业务。两个都要有。

4. VRRP 解决「谁来当网关」，堆叠解决「哪台设备活着」：VRRP 是两台各自独立的交换机共享 1 个虚拟网关 IP，主挂则备接管（网关不中断）；堆叠是合成一台逻辑设备，成员挂不影响转发（设备不中断）。两者可叠加：堆叠内部各成员再跑 VRRP。

5. 抢占延时为什么必要（2022下题面直接给了原因）：原题面「为了防止震荡，设置 20s 抢占延时」。没有延时，主备反复看到对方「不可达又可达」会来回切换 → 震荡 → 业务频繁中断。加延时后让主设备稳定保持 Master 状态。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

复述型

知识点 4 · 无线局域网 WLAN ← 命中 12/44（27.3%）

① 考情定位

• 命中 12 次，8 个考期命中（2021上 / 2021下 / 2022下 / 2023下 / 2024下 / 2025上 / 2025下 / 2026上）
• 素材规模：asks 33 条、blanks 30 条、cmds 13 条
• 趋势是升温的：2021 上下半年 + 2022 下 + 2023 下 + 2024下 + 2025上 + 2025下 + 2026上连续 4 个考期命中， 而且 2026 上出现了一道纯无线的规划题（【问题4】8分，无线网络规划要点 + 无缝漫游）

设问方式分布（来自素材 cats）

② 命题角度（这个知识点在考什么）★

A. 设问方式分布 —— 上表。这个知识点的最大特征是**「问措施/规范」11 次远高于「补全配置命令」3 次**： 几乎不考命令，考规划措施。

B. 真实设问原文（照抄素材 asks）

C. 从设问反推出的考法归纳

1. 「AC + FIT AP」是本知识点的核心模型。2024下直接考「请简述 AC 的主要配置内容」，2021下给出标准答案：AC 方案的缺点是对 AC 的吞吐量和数据处理能力要求比较高，AC 容易成为整个无线网络带宽的瓶颈。
2. PoE 是 2021 上唯一的命令填空点，而且考的是「意义」不是「语法」：为什么 PoE 能省一根电源线。
3. 漫游（无缝）是 2026 上的新考点，且明确要求从「设备、部署位置、安全规划」三个方面答——这是答题结构提示，比知识点本身更重要。
4. 故障类设问考「信号为什么受影响」。2023下「简要说明 AGV 可靠性受 Wi-Fi 信号影响，可能有哪些因素」，答案方向：障碍物（2021下原答案 (6) D 就明确写了障碍物）、覆盖不足、干扰、漫游切换丢包。
5. 开放式无线网络 → 旁路部署行为审计设备（2026上 (1)(2)）。不改变现有网络配置及 IP 规划 → 说明是旁路/串联部署在 R4 与 SW02 之间，典型答案是旁路模式。

③ 必背清单（只列真正要记的）

④ 理解清单（能讲清的机制）

1. PoE 为什么能省一根线（2021 上 (1)(2) 的真正考点） 双绞线 8 芯中有 4 对是「空闲脚」（原本只做交叉检测，不传数据）。 PoE 借用它们送电，数据仍走数据脚，因此一根线同时干两件事。 工程收益：AP / IP-Phone 不需要就近拉市电，弱电井内集中供电即可。

2. 为什么 802.3af 规定 4、5 正 / 7、8 负 目的是与 10/100BASE-T 的线序兼容且避免与数据脚混用， 并保证 PSE（供电设备，交换机侧）与 PD（受电设备）两端的极性定义一致，插错不会烧设备。

3. AC + FIT AP 的「中央与地方」模型 AP 本身不存配置（FIT = 零配置），所有策略（SSID、认证、功率、信道）由AC 下发。 好处：集中管理、统一策略、AP 可即插即用。 代价：所有转发决策集中到 AC → 一旦 AC 吞吐/处理能力不够，全网卡顿（2021 下原答案）。

4. 漫游是怎么做到「无缝」的 关键不是「AP 有多少」，而是相邻 AP 的覆盖要适度重叠（消除盲区）且信道要错开（避免漫游瞬间同频干扰导致丢包）。 再加上 AC 统一下发功率与切换策略 → 切换时间足够短，业务无感。 → 所以答题要落在部署位置和信道规划上，而不是「AP 数量」。

5. 开放式无线网络为什么要旁路挂审计设备 访客网络本来就是设计成不管控接入的，直接改核心设备配置会违反「不改变现有网络配置及 IP 规划」的要求。 所以在 R4 与 SW02 之间串/旁挂一个流量分析/审计设备， 用旁路模式（镜像口/分光）不影响原链路的前提下实现审计与流量管控。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

复述型

本篇命令填空速记（只列素材 blanks/cmds 里真实出现过的）

⚠️ 再次强调：「补全配置命令」从 2021 年的 4 次降到 2026 年的 0 次。以下只记填空点类型，不背全量语法。 全部为华为 VRP 格式。

A. 交换与 VLAN（2021上 / 2021下 / 2022下 / 2023下）

B. 无线与 PoE（2021上）

C. 无线案例（2021下，AC 与干扰）

本篇一句话总纲（考前 10 分钟看这个）

1. 交换机这一篇考的是「作用」不是「命令」——2021上那道「(5)线的作用」就是全部答案的缩影。
2. 堆叠 / 级联 / 聚合必须三分：堆叠换设备数（共享背板）、聚合换带宽、级联只换端口数。
3. VLAN = 划分广播域；VLANIF = VLAN 间的三层网关（不配 IP 就永远不通）。
4. 华为 Trunk 默认只放通 VLAN 1，Cisco 默认全放通——这是最常考的默认行为差异。
5. 生成树原理必会，命令只记 stp enable（2024下半年起命令题已停产）。
6. PoE 的答案是「一根网线两用、省一根电源线」，命令单位是 mW，优先级 critical > high。
7. 无线考的是规划措施（漫游、覆盖、干扰、部署位置），不是 AC 命令。
8. 所有答案写华为 VRP：port link-type / port trunk permit vlan / interface Eth-Trunk / display。

23 · 下午大题知识点图谱 —— 安全与可靠性

覆盖 6 个知识点 · 累计命中 128/44 次 · 近 5 年（2021上~2026上，11 考期 / 44 道大题） 命令全部华为 VRP / USG 格式（display 不是 show）。素材来源：kpmap/下午大题知识点图谱-安全与可靠性.json。 📌 「分布式存储与备份」虽然也命中 26 次，但归属 24 篇（规划与存储），本篇不重复。

本篇知识点与 7 天定位

7 天定位以 20-下午大题知识点图谱-总览.md 的路线表为准，本表是它的展开。

为什么这一篇必须写最扎实：防火墙与 ACL 命中 33 次（75.0%），与「交换机配置」并列全篇第 3；但它和交换篇的考法完全不同——交换篇考「作用 + 命令骨架」，安全篇考的是「该采取什么措施」和「怎么保证可靠性」。

近 5 年 44 道大题的设问方式分布（全局）与本篇两条主线的年度趋势：

填地址/掩码 25(56.8%) │ 问作用/功能 22(50.0%) │ 问选型/对比 16(36.4%)
问措施/规范 14(31.8%)←主线一│ 简述/说明要点 14(31.8%) │ 问故障原因 13(29.5%)
问冗余/可靠性 13(29.5%)←主线二 │ 补全配置命令 13(29.5%) │ 带宽估算 9(20.5%)

设问方式        2021 2022 2023 2024 2025 2026
问措施/规范        2    2    1    4    3    2
问冗余/可靠性      2    5    3    1    2    0
补全配置命令       4    2    3    3    1    0   ← 几乎退场

本篇第一原则：不背 ACL 规则，背「措施」。 真实设问长这样：「异地备份使用互联网传输数据，应采用 (9) 措施保障数据传输安全」——题干已经告诉你问的是「措施」，答案必须是技术手段名词，不是命令。

知识点 1 · 防火墙与 ACL ← 命中 33/44（75.0%）

① 考情定位

命中 33 次，11 个考期全部命中（2021上~2026上），与「交换机配置」并列全篇第 3；asks 40 条、blanks 25 条、cmds 40 条。

设问方式分布（素材 cats）——「问作用/功能（25）」+「问措施/规范（21）」= 46 次，超过设问总数的一半，是本知识点的绝对主线。它不考你会不会写 security-policy，考你看到一句需求能不能说出该用哪个功能。

★ 问作用/功能 25（「(2) 功能」考功能识别，不是命令）｜★ 问措施/规范 21（「禁止…」「保障…」「提高…」→ 措施名词） 问故障原因 17｜填地址/掩码 15（网关/网段/反掩码）｜问选型/对比 14｜问冗余/可靠性 12｜简述/说明要点 12 补全配置命令 11（⚠️ 只在 2022下 出现过一次挖空骨架）｜带宽/容量估算 7

② 命题角度（这个知识点在考什么）★

B. 真实设问原文（照抄素材 asks，未改写）

C. 从设问反推出的考法归纳

1. 「功能识别」是最大题型，题干已经告诉你答案的形状。2021下「动态分配 IP 地址 → 开启 (2) 功能」→ 原答案 DHCP。题干里「动态分配 IP 地址」六个字就等于把答案送给你。同型题：2022上「开启防火墙相关防护功能」→ 攻击防护类功能。
2. 安全域划分是送分题，2021 上原卷把三个域的中英文全给了。(1) 非信任区域（untrust，也称外部区域/outside）、(2) 信任区域（trust，也称内部区域/inside）、(3) DMZ（非军事区/隔离区）。
3. 「禁止 X 访问 Y」= ACL 过滤。2021上原答案 （9）ACL 过滤（访问控制列表）。注意题干说「在核心交换机上」——防火墙和交换机都能做 ACL，看清问的是哪台设备。
4. 攻击判断 + 至少三种措施是固定模板。2022下「判断攻击类型 + 至少三种应对措施」——先答攻击类型（DoS/DDoS、SYN Flood、SQL 注入、ARP 欺骗），再答措施。
5. 「配置安全策略」考六要素不是命令。2023上素材给骨架：source-zone ISP1 / destination-zone trust / destination-address 10.10.10.10 / service protocol tcp destination-port 9980 / action permit；原答案空依次 （1）10.10.10.10、（2）tcp、（4）permit。
6. 部署位置选择题（2023上）答案是「接入层」：接入认证设备要靠近用户、逐终端控制、带宽小，放 DMZ 完全失去意义。

③ 必背清单

• 1 untrust（非信任区域）（接互联网/公网一侧，可信度最低；2021上 (1)）｜2 trust（信任区域）（接内网办公终端一侧，可信度高；2021上 (2)；2021下 (6)）
• 3 DMZ（非军事区/隔离区）（接对外服务器（Web/Mail/DNS），既不完全信也不完全不信；2021上 (3)）｜4 local（本地管理域）（设备自身管理口所在的域，不是业务流量；2024上「由 trust 到 local 的配置」）
• 5 DHCP 功能（防火墙为办公区用户动态分配 IP → 开 DHCP；2021下 (2) 原答案）｜6 ACL 过滤（「禁止某终端访问某服务器」的标准手段；2021上 (9)）
• 7 basic ACL 2000–2999（只看源 IP，范围小、速度快；acl number 2000）｜8 advanced ACL 3000–3999（看五元组（源/目的 IP、协议、源/目的端口）；acl number 3000）
• 9 反掩码（通配符）（0.0.0.255 = /24（0 = 必须匹配，1 = 忽略），与子网掩码相反；2022下 ACL 原文）｜10 ACL 匹配顺序（华为按配置顺序自上而下命中即止 → 精确 deny 必须写在宽松 permit 前面；顺序颠倒则精确规则永不生效）
• 11 安全策略六要素（源安全域/目的安全域/源地址/目的地址/服务（协议+端口）/动作；2023上 rule name http）｜12 NAT hairpin（回流）（内网主机访问内网服务器的公网地址时也要转换；2023上 rule name nat-hairpin）
• 13 广播抑制 broadcast-suppression（设广播流量门限百分比，超限多余广播帧直接丢弃 → 抑制广播风暴、保证其他正常业务的转发带宽；2022下 素材原文）

④ 理解清单（能讲清的机制）

1. 为什么要分安全域：本质是给流量分类，策略是「源域→目的域」的白名单，不分类就没法写规则。为什么对外服务器不能放 trust？因为它被互联网直接访问（最容易被攻破）却又要主动访问外网，双向需求决定它必须独立成「半信任」域。判据：看这个接口连的东西「可不可信、会不会主动访问外网」。
2. basic 和 advanced ACL 差在哪（最高频错点）：basic 只匹配源 IP，快，但挡不住「同网段内不许访问某服务器」；advanced 匹配五元组，要看端口就必须用它。判断方法：题干出现端口号/协议名 → 必须 advanced；只说「某网段」→ basic 够用。
3. 为什么精确 deny 要放在宽松 permit 前面：华为 ACL 是顺序匹配、命中即止（不是「所有规则跑一遍取最严格」）。若先写 rule 1 permit ip source 192.168.1.0 0.0.0.255 destination any，来自 192.168.1.10 去财务服务器的报文在 rule 1 就被放行，后面那条精确 deny 永远读不到。更稳做法：末尾写 deny ip source any destination any 兜底。
4. 防火墙策略和交换机 ACL 能否互相替代：能，但部署位置决定谁更合适。要逐用户、逐应用精细管控 → 防火墙策略（能识别应用层）；要同网段内粗粒度隔离 → 交换机 ACL 更快、更省会话资源。2021上明确说「在核心交换机上」，考的就是这个边界。
5. DHCP 为什么必须由防火墙（或服务器）做：DHCP 是广播协议（Discover/Request 是 255.255.255.255），终端广播默认不跨网段也不被防火墙转发，所以每个网段都要有 DHCP 中继/服务器，或由防火墙 DHCP 功能按接口/地址池统一分配。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

这不是题目，是检查你自己懂不懂的问题。 复述型

追因型

迁移型 · 反向型

知识点 2 · 高可靠与容错 ← 命中 26/44（59.1%）

① 考情定位

命中 26 次，11 个考期全部命中；asks 39 条、blanks 32 条、cmds 40 条。核心问题是**「这个故障怎么防 / 靠什么技术保住业务」，不是「这个协议怎么配」。趋势上「问冗余/可靠性」2022 年冲到 5 次（全篇最高）后回落，但「问措施/规范」2024 年冲到 4 次（全篇最高）**——两者合起来看，命题在从「冗余名词」转向「措施与规范」。

设问方式分布（素材 cats）——问措施/规范 19（「提高网络可靠性」「保障不中断」）｜问冗余/可靠性 16（MTBF/MTTR、四种关键链路冗余）

问作用/功能 16（「VRRP 技术实现 (4) 功能」）｜填地址/掩码 13（网关地址、浮动静态路由）｜问选型/对比 12（VRRP vs 堆叠）｜问故障原因 11（VRRP 切换原因、链路故障）｜简述/说明要点 10（冗余配置方式有哪几种）｜补全配置命令 10（2021下/2022下 的 standby 挖空）｜带宽/容量估算 9（堆叠背板带宽、百兆够不够）

② 命题角度（这个知识点在考什么）★

B. 真实设问原文（照抄素材 asks，未改写）

C. 从设问反推出的考法归纳

1. 「四种关键链路冗余」是本知识点唯一必须逐字背的名词序列。2022上原题：「常见的关键链路冗余有接口备份、（3）、（4）和双机热备份技术」——题干已给出首尾两个，中间两个要你填。结合素材中的 standby（接口备份）、浮动静态路由，以及「STP/RSTP 通过阻塞端口消除环路存在浪费带宽的缺点」，中间两项通常答堆叠与链路聚合（Eth-Trunk）。→ 完整序列：接口备份、堆叠、链路聚合、双机热备份。
2. MTBF 和 MTTR 是「指标」不是「技术」。原题把英文全称和中文全译都给了，你要做的是：MTBF 越大越好、MTTR 越小越好，两者共同决定可用性 A = MTBF /(MTBF + MTTR)。答不出这个公式，题目只答了一半。
3. VRRP 的功能就是「冗余网关」。2021上 (4) 原答案 「冗余网关（网关冗余/网关高可用）」；(5) 心跳线；(6) 「传递 VRRP 协议报文，监测主备交换机状态，实现主备切换」。三个空是一条链，必须连着答。
4. VRRP 与堆叠的区别（2025下）是最新一题，也是最常考的对比题：VRRP 是「两台设备各自独立、对外提供一个虚拟网关」，堆叠是「多台设备合成一台逻辑设备」。前者保护网关/IP 层单点，后者同时保护设备与背板单点且共享背板带宽。
5. 「上联失效时优先级自动减 30」的原理要能讲。这是VRRP 跟踪（track）上联接口的标准用法，目的是防止主设备上联断了却还占着 Master 身份。
6. 「加链路还要配什么避免二层环路」是组合题。2024上原文 → 答案：生成树协议（STP/RSTP/MSTP），因为增加物理连线 = 增加环路。冗余 + 生成树必须成对答。

③ 必背清单

• 1 MTBF（平均故障间隔时间，Mean Time Between Failures，越大越好；2022上 原题面）｜2 MTTR（平均修复时间，Mean Time to Repair，越小越好；2022上 原题面）
• 3 可用性 A = MTBF/(MTBF+MTTR)（只做到 MTBF 大没用，必须同时压低 MTTR；由上两条推导）｜4 可靠性两条腿（故障检测技术 + 链路冗余（原题原话）；2022上 原题面）
• 5 关键链路冗余四种（接口备份、堆叠、链路聚合（Eth-Trunk）、双机热备份；2022上 (3)(4)）｜6 接口备份（standby）（一块主板失效时由另一块板接管，同一设备内，秒级；standby interface GigabitEthernet 1/0/2 priority 30）
• 7 双机热备份（两台设备互为主备，同一时刻一台转发，切换秒级；2022上 原题面）｜8 链路聚合 Eth-Trunk（多条物理链路捆绑成一条逻辑链路，既提带宽又提供冗余；2024下 方案二原文）
• 9 VRRP（实现冗余网关；两台设备共用一个虚拟网关地址；2021上 (4)）｜10 心跳线（主备之间的检测线；传递 VRRP 协议报文，监测主备状态，实现主备切换；2021上 (5)(6)）
• 11 抢占模式 + 抢占延时（主设备恢复后是否抢回 Master；延时防震荡；2021下 (10)；2022下「20s」）｜12 优先级跟踪上联（减 30）（上联失效 → 优先级自动减 30 → 让备份及时抢占；2021下 (11)）
• 13 浮动静态路由（同一目标配两条路由、不同 preference；主链路断时自动改走备份；2021下 (4)）｜14 BFD 快速故障检测（毫秒级检测链路故障，比协议自身超时快得多；2021下 (5) = bfd）
• 15 NQA 联动（NQA 做 ICMP 连通性探测，联动静态路由实现主备切换；2022上 (3)）｜16 MSTP 多生成树（快速收敛 + 提供多个冗余转发路径，避免 STP「阻塞端口浪费带宽」；2022下 原题面）
• 17 堆叠 vs VRRP（堆叠=合成一台设备（保护设备+背板，共享背板）；VRRP=两台设备+虚拟网关（保护网关单点）；2025下 (3)）

④ 理解清单（能讲清的机制）

1. MTBF 和 MTTR 是一对「此消彼长」的指标：只提 MTBF 不提 MTTR 是半答——一年坏一次但要修一周，可用性并不高。真正的杠杆是缩短 MTTR，这也是现在强调自动化检测 + 自动切换（BFD/NQA/VRRP 抢占延时）而不是「买更结实的设备」的原因。
2. 四种链路冗余各自保护什么：接口备份保护接口/板卡（设备内，粒度最细）；双机热备份保护单台整机；链路聚合保护单条物理链路并顺带提升带宽；堆叠保护设备 + 背板。口诀：接口级 → 设备级 → 链路级。
3. VRRP 的运行机制（三步）：①两台设备配同一个 VRID 和虚拟 IP；②按优先级选举 Master，Master 周期性发 VRRP 通告（这就是心跳线的作用）；③Master 挂掉 → Backup 在超时（Hold Time，约 3× 通告间隔）后接管并开始发通告。这就是为什么心跳线必须在二层直连或独立链路——否则通告发不出去，只能等超时。
4. 为什么 VRRP 需要「抢占延时」（2022下原文已解释）：原题面「为了防止震荡，设置 20s 抢占延时」。震荡场景是 Master 上联闪断 1 秒 → 切到 Backup → 恢复 → 又切回来，每次切换都伴随丢包，高频震荡的业务影响可能大于单次故障。
5. 加冗余链路为什么必须配生成树：加一条线 = 多了一个二层环路可能。冗余的目的是「有一条断时走另一条」，但环路在 STP 未收敛前会先引发广播风暴。所以答案永远是**「加链路（冗余）+ 配 MSTP（消除环路）」成对出现**，而 MSTP 更好，因为它不阻塞多余端口、让冗余链路真的能转发。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

复述型

追因型

迁移型 · 反向型

知识点 3 · 认证与数字签名 ← 命中 24/44（54.5%）

① 考情定位

命中 24 次，10 个考期命中（2021下 未命中）；asks 40 条、blanks 30 条、cmds 40 条。**形态和「防火墙与 ACL」一样：问措施，不问命令。**典型问法：「配置 BGP 和 OSPF 基本功能（以 RA 和 RB 为例），并启用 RC 和 RD 之间的认证，以提升安全性」——题干给目的，答案写认证方式。

设问方式分布（素材 cats）——问措施/规范 20（本知识点最高项。「以提升安全性」「启用认证」）

问作用/功能 14（「认证的作用」「签名的作用」）｜简述/说明要点 12（「SSL 如何利用两类算法实现机密性」）｜填地址/掩码 11（认证相关地址规划（多为联动））｜问选型/对比 10（认证方式选型、证书问题原因）｜问故障原因 8（认证失败、OSPF 邻居建不起来）｜问冗余/可靠性 6（认证设备部署位置）｜补全配置命令 9（认证方式配置挖空）｜带宽/容量估算 6（联动项）

② 命题角度（这个知识点在考什么）★

B. 真实设问原文（照抄素材 asks，未改写）

C. 从设问反推出的考法归纳

1. 2023上那题的答案在素材里已经是标准答案级。原答案 (5)：「OSPF 支持三种认证方式：简单认证（simple，明文/密文口令）、MD5 密文认证、HMAC-SHA 密文认证」。配套命令原文：authentication-mode simple ruankao（口令以密文 cipher 保存，安全性较高）、authentication-mode simple plain ruankao（关键字 plain 表示明文显示和保存，存在安全隐患）。→ 必背 simple 与 plain 的区别。
2. 「全网认证接入」（2021下/2022下，两次）考认证方式选型。2021下原答案：(3) C（Router）、(4) B（Portal 认证）。Portal 是最常见的准入认证形态。
3. 认证设备部署位置（2023上）答案是「接入层」：最靠近用户，能逐终端、逐 MAC/端口精确管控，带宽需求小；放核心层则所有流量都要穿过认证设备（成为瓶颈），放 DMZ 更是位置错误。
4. SSL 与两类算法（2024上）是经典简答，答案固定：非对称（RSA）用于身份认证与密钥协商（握手阶段，能验证服务器身份）；对称（AES/3DES）用于数据传输阶段（速度快，扛得住大数据量）。一句话：非对称「握手」，对称「传输」。
5. 「证书出问题」类故障题（2025下）要求「至少 2 种原因」：证书已过期、域名与证书 CN/SAN 不匹配、证书链不完整（缺中间 CA）、自签名证书不受信任、客户端系统时间不对。
6. 静态 ARP 绑定 + 设备侧功能（2024上） 是「防 ARP 欺骗」组合：终端侧绑静态 ARP，交换机/网关侧开 ARP 检测 / DHCP Snooping / IP 源校验。

③ 必背清单

• 1 签名用私钥、验签用公钥（私钥只有签名者有 → 证明「是他发的」；公钥公开 → 任何人都能验；数字签名本质）｜2 签名不保密内容（签名是对摘要签名，能确认「内容没被改」，内容本身不需保密；与加密的区别）
• 3 对称 vs 非对称（对称：加解密同一把钥匙，速度快；非对称：公钥加密私钥解密 / 私钥签名公钥验签，慢但可分发公钥；2024上 原题面）｜4 SSL/TLS 的分工（非对称握手（认证 + 协商会话密钥）→ 对称传输（数据加密）；2024上 (2)）
• 5 OSPF 三种认证方式（simple（简单口令）、MD5 密文认证、HMAC-SHA 密文认证；2023上 (5) 原答案）｜6 authentication-mode simple（口令以密文 cipher 保存，安全性较高；2023上 命令原文）
• 7 authentication-mode simple plain（plain = 明文保存，便于查看但有安全隐患；2023上 命令原文）｜8 Portal 认证（准入认证的常见形态；「全网认证接入」的标准答案；2021下 (4) = B（Portal 认证））
• 9 认证设备部署在接入层（逐终端管控、带宽小；核心层会成瓶颈、DMZ 位置错；2023上 (2)(3)）｜10 证书三要素（Subject（主体/域名）、Issuer（签发者 CA）、Validity（有效期）；证书链 = 服务器证书 → 中间 CA → 根 CA（根证书在系统/浏览器信任库），缺中间 CA 就会提示证书有问题；2025下 证书题）
• 11 静态 ARP 绑定 + ARP 检测（终端静态绑定 + 设备侧 ARP 检测 / DHCP Snooping / IP 源校验；2024上 (2)(3)）｜12 AAA（认证 Authentication + 授权 Authorization + 记账 Accounting；认证类总概念）

④ 理解清单（能讲清的机制）

1. 为什么签名用私钥、验签用公钥（不能反）：签名要证明「这条消息是我发的，且别人无法冒充」。私钥只有签名者自己保存 → 只有他能生成这个签名 → 身份不可否认；公钥任何人都可以拿到 → 能验证，但拿不到私钥就无法伪造。如果反过来（用公钥签名），人人都能签名，签名毫无意义。
2. 签名、摘要、加密三者的分工：摘要（Hash）把任意长度数据变成固定长度短摘要，单向不可逆，作用是「比对内容是否被改」；数字签名是对摘要用私钥签名 → 得到完整性 + 真实性 + 不可否认性；加密提供机密性。加密解决「不让别人看」，签名解决「证明是谁发的且没被改」。
3. AH / ESP / IKE 三个缩写（本题最高频错点）：AH（认证头，协议号 51）只提供认证 + 完整性，不加密，且IP 头部分字段也会被校验，因此 NAT 会破坏 AH；ESP（封装安全载荷，协议号 50）提供加密 + 可选认证，隧道模式下 NAT 不影响；IKE 不是数据保护机制，它负责协商密钥与建立隧道（Phase 1 建隧道、Phase 2 交换 IPsec SA）。一句话：AH 只认证、ESP 加密、IKE 协商。
4. 「证书链」为什么必须完整：服务器通常只持有自己的证书 + 中间 CA 证书，不持有根CA 证书（根 CA 私钥极安全）。客户端自上而下验证：服务器证书 → 中间 CA → 根 CA（在本机信任库）。任何一环缺失，浏览器就报「证书存在问题」。
5. 认证 vs 授权 vs 记账（AAA）：认证 = 你是谁；授权 = 你能干什么；记账 = 你做了什么。「全网认证接入」只用第一层，但后面通常紧跟授权（VLAN/策略）和记账（日志）。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

复述型

追因型

迁移型 · 反向型

知识点 4 · VPN 与 IPSec ← 命中 21/44（47.7%）

① 考情定位

命中 21 次，10 个考期命中（2023上 未命中）；asks 40 条、blanks 35 条、cmds 40 条。问法非常稳定：「简要说明在 RouterA 与 RouterB 之间建立 IPSec VPN 隧道的配置要点」（2022下 原题面）——每年都是这一类。而 2026 上它的「问冗余/可靠性」已归零，说明新题重心从「建 VPN」转向「VPN 怎么和冗余配合」。

设问方式分布（素材 cats）——问措施/规范 15（本知识点最高项。「应采用什么措施保障安全」）

问作用/功能 14（「IPSec 的作用」「IKE 的作用」）｜问故障原因 11（建不起隧道、邻居不通）｜问选型/对比 10（AH vs ESP、传输模式 vs 隧道模式）｜问冗余/可靠性 9（链路冗余 + VPN 组合题）｜补全配置命令 7（⚠️ 主要集中在 2022下那道「配置要点」）｜填地址/掩码 7（公网地址、remote/local-address）｜简述/说明要点 7（「简要说明建立 IPSec VPN 隧道的配置要点」）｜带宽/容量估算 5（隧道开销）

② 命题角度（这个知识点在考什么）★

B. 真实设问原文（照抄素材 asks，未改写）

C. 从设问反推出的考法归纳

1. 「配置要点」题的答案骨架是固定五步（2022下 原题面，素材给出完整命令序列）：①公网接口配 IP（interface GigabitEthernet 0/0/x + ip address <公网IP> <掩码>）→ ② 定义 IKE 对等体（ike peer PEER_A / ike-version 2 / pre-shared-key cipher ******** / remote-address <RouterB公网IP> / local-address <RouterA公网IP>）→ ③ 定义 IPSec 提议（ipsec proposal PROPOSAL_A / encapsulation-mode tunnel / transform esp esp-3des esp-sha2-256 / ah-group 14）→ ④ 定义 IPSec 策略（ipsec policy POLICY_A 10 isakmp / security acl 3000 / pfs dh-group14）→ ⑤ 在公网接口上应用策略（ipsec policy POLICY_A）。→ 口诀：接口有地址 → IKE 对等体 → 提议 → 策略 → 挂到接口。
2. encapsulation-mode tunnel vs transport：素材给的是 tunnel（隧道模式），把整个原始 IP 包作为 ESP 负载再封一个新 IP 头（额外开销）；传输模式只加密载荷、保留原 IP 头（开销小但不保护 IP 头，且要求两端 IP 可直达）。
3. AH 与 ESP 的选择（最高频错点）：素材同一段命令里同时出现 transform esp esp-3des esp-sha2-256（ESP + 加密算法 + 认证算法）和 ah-group 14（AH + DH group 14）。AH 只认证不加密（且不兼容 NAT），ESP 加密+认证（兼容 NAT）。凡是要过 NAT 或要加密，就选 ESP。
4. pfs dh-group14（PFS，完美前向保密）：每次会话重新协商密钥，即使长期密钥（PSK）泄露，历史流量仍无法解密。这是「应采用什么措施提高安全性」的高分答案。
5. VPN 与冗余是组合考点：2022下问题4 把「接入层链路冗余 + IPSec VPN」放在同一道题；2021上 (9) 把「加密/VPN」当备份传输安全的措施。VPN 解决「机密性 + 完整性 + 身份认证」，冗余解决「可用性」。
6. 「trust 到 local」的配置（2024上）说明防火墙也要跑动态路由：NGFW 要与 NGFW-1、CORE-2 建立 OSPF 邻居，必须先在 local 域放通 OSPF 协议。这考的是「防火墙的三域放通原则」。

③ 必背清单

• 1 IPSec 的作用（在公网上建立加密隧道，提供机密性 + 完整性 + 身份认证；2022下 (2)）｜2 AH（协议号 51）（只做认证 + 完整性，不加密；校验部分 IP 头 → NAT 会破坏 AH；ah-group 14）
• 3 ESP（协议号 50）（加密 + 可选认证；隧道模式下 NAT 不影响；transform esp esp-3des esp-sha2-256）｜4 IKE（协商密钥、建立隧道，不是数据保护机制；Phase1 建隧道 / Phase2 交换 SA；ike peer PEER_A）
• 5 IKE 版本（ike-version 2 即 IKEv2；IKEv1 是两阶段（主模式 + 野蛮模式）；2022下）｜6 隧道模式 tunnel（封装整个原始 IP 包 + 新 IP 头；开销大、适应性好、最常用；encapsulation-mode tunnel）
• 7 传输模式 transport（只加密载荷，保留原 IP 头；开销小、不保护 IP 头、要求两端直连；2022下 反面）｜8 PFS（完美前向 secrecy）（每次会话重新协商密钥，PSK 泄露也解不开历史流量；pfs dh-group14）
• 9 PSK 预共享密钥（pre-shared-key cipher —— cipher = 密文保存；2022下）｜10 IKE 对等体五要素（对等体名、ike-version、PSK、remote-address（对端公网 IP）、local-address（本端公网 IP）；2022下 命令序列）
• 11 IPSec 提议 proposal（定义封装模式 + 加密算法 + 认证算法 + DH group；ipsec proposal PROPOSAL_A）｜12 IPSec 策略 policy（定义引用的提议 + 触发流量（ACL）+ PFS；序号小的优先匹配；ipsec policy POLICY_A 10 isakmp）
• 13 security acl 3000（策略的触发条件：只有匹配这个 advanced ACL 的流量才进隧道；2022下）｜14 L2TP over IPSec（L2TP 提供隧道与认证，IPSec 提供加密与完整性，两者叠加才既通又安全；L2TP over IPSec 要点）
• 15 SSL VPN vs IPSec VPN（SSL VPN 走 443 端口、无需客户端；IPSec VPN 性能高但两端都要设备；两者都不解决可用性；VPN 选型题）

④ 理解清单（能讲清的机制）

1. AH 与 ESP 的本质差异（一句话判据）：AH 只认证不加密，且认证范围包含部分 IP 头（源/目的 IP、协议号）→ NAT 会修改源 IP → 接收端重算校验必然失败 → AH 过不了 NAT。ESP 加密 + 认证，隧道模式下原始 IP 头被整体封装在密文里，外层 IP 头可以被 NAT 随便改 → ESP 过 NAT 没问题。
2. IKE 到底在做什么（不是加密，是「谈判」）：IPSec 需要两把共享密钥（加密 + 认证）和两边策略一致，但两端隔着公网。IKE 就是那个协商协议：Phase 1 建立 IKE SA（认证身份、协商保护 IKE 自身的密钥）；Phase 2 在 IKE SA 保护下协商 IPsec SA。一句话：IPSec 是「用」，IKE 是「谈」。
3. 提议 vs 策略 vs 对等体，别搞混：IKE 对等体 = 找到对方是谁；IPSec 提议 = 用什么算法；IPSec 策略 = 谁用这个提议 + 保护哪些流量（ACL）+ PFS，并绑定序号。流量先匹配序号小的——与 ACL 的「顺序命中」是同一设计哲学。
4. 隧道模式为什么比传输模式常用：传输模式保留原 IP 头，但原 IP 头里可能有内网地址，泄露就暴露内网结构；且两端必须三层直达（不能过 NAT）。隧道模式把整个原包当负载封装，天然适配 NAT 和跨网段，代价是封装开销 + MTU 分片问题。
5. VPN 与冗余是两条正交的线：攻击者把链路打断 → 需要冗余（VRRP、链路聚合、浮动静态路由）；攻击者在链路上窃听 → 需要 VPN。两者叠加才既「打不断」又「偷不到」。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

复述型

追因型

迁移型 · 反向型

知识点 5 · 报文摘要与数字证书 ← 命中 12/44（27.3%）

① 考情定位

命中 12 次，7 个考期命中（2021下、2022上、2025上、2026上 未命中）——本篇最低命中；asks 40 条、blanks 30 条、cmds 40 条。这个知识点一旦出现几乎必是「简答/对比/故障原因」——它不考命令，只考数字和判断。

设问方式分布（素材 cats）——

问作用/功能 9（摘要的作用、证书的作用）｜问选型/对比 9（摘要算法对比、算法选型）｜问故障原因 9（证书报错、ARP 欺骗、带宽利用率 100%）｜问措施/规范 7（病毒处置与整改）｜填地址/掩码 6（联动项）｜补全配置命令 4（骨架级）｜简述/说明要点 4（SSL 简答）｜带宽/容量估算 3（带宽扩容）｜问冗余/可靠性 2（少量）

② 命题角度（这个知识点在考什么）★

B. 真实设问原文（照抄素材 asks，未改写）

C. 从设问反推出的考法归纳

1. 本知识点真正高频的是「日志/现象 → 判断攻击类型 → 给措施」。2022下「判断攻击类型 + 至少三种应对措施」、2024上「静态 ARP 绑定 → ARP 欺骗」、2024下「感染病毒类型 + 至少 3 点措施」、2025下「处置 + 整改各至少 2 点」——四次不同考期、同一个模板。答案必须分类给出。
2. 2025下把「处置 vs 整改」拆成两问，是新的命题形态，说明安全题正在从「背措施」转向「分层次答措施」：处置（应急） = 隔离/下线感染主机、阻断恶意 IP、封禁端口、启用防护功能、清查日志；整改（长期） = 打补丁、装防病毒/EDR、配置安全策略、最小权限、部署准入认证、定期审计与备份。
3. 「带宽利用率 100% → 业务变慢」的三个方案（2024下）：①增加链路做带宽扩容；②链路聚合把多条捆成一条逻辑链路（原题方案二原文）；③多出口负载/策略路由分流。三方案任选，但必须写出「为什么这条能解决利用率 100%」。
4. 摘要算法考的是数字，不是命令：MD5=128 位、SHA-1=160 位（已不安全）、SHA-256=256 位。问「哪个最安全」答 SHA-256。
5. 证书类故障题的三个高频方向（2025下）：有效期、域名匹配、证书链/信任。格式是「至少回答 2 种原因」。

③ 必背清单

• 1 MD5（报文摘要，输出 128 位（16 字节）；已不安全（可人为构造碰撞）；摘要算法必考）｜2 SHA-1（输出 160 位（20 字节）；已被攻破，不再用于安全场景；摘要算法必考）
• 3 SHA-256（输出 256 位（32 字节）；当前安全基线；transform esp esp-3des esp-sha2-256）｜4 SHA-384/512（输出 384/512 位，更强但开销更大；对比题备用）
• 5 摘要的单向性（只能正向算，不可逆；改一个比特结果完全不同；摘要本质）｜6 摘要不等于加密（摘要不需要密钥，人人能算；只保证完整性，不保证机密性；高频概念辨析）
• 7 证书 = 公钥 + 身份（把公钥与主体身份绑定，解决「这个公钥是谁的」；2025下 证书题）｜8 证书链（服务器证书 → 中间 CA → 根 CA（根证书在系统/浏览器信任库）；2025下）
• 9 SSL/TLS 握手流程（TCP 三次握手 → ClientHello/ServerHello → 交换证书 → 协商会话密钥 → 切换为对称加密；2024上 (2)）｜10 ARP 欺骗的两种手法（伪造 ARP 应答（冒充网关、冒充主机）→ 造成中间人或主机离线；2024上 (1) 判断）
• 11 ARP 欺骗的应对（终端静态 ARP 绑定 + 设备侧 ARP 检测 / DHCP Snooping；2024上 (2)(3)）｜12 病毒处置 vs 整改（处置=隔离、阻断、止损；整改=补丁、防护、策略、审计、备份；2024下 (6)、2025下 (11)）
• 13 带宽 100% 的三个解法（增加链路扩容 / 链路聚合 / 多出口负载分流；2024下 (9)(10)）｜14 DoS / DDoS 应对（开启防火墙攻击防护、限速、黑洞路由/黑洞过滤、流量清洗；2022上「开启防火墙相关防护功能」）

④ 理解清单（能讲清的机制）

1. MD5 / SHA-1 到底「坏」在哪里：摘要算法的安全底线是抗碰撞（找不到两份不同数据产生同一摘要）。MD5 已被人为构造出碰撞，SHA-1 也已被攻破。所以MD5 只能用于非安全性场景的校验（文件完整性粗校、缓存键），SHA-1 也不应用于证书与签名；证书、签名、VPN 一律用 SHA-256 及以上。一句话：「算摘要」不等于「保安全」——摘要不加密、也没有密钥。
2. 证书链验证的完整过程：浏览器拿到服务器证书 → 向上找签发者（Issuer） → 找中间 CA 证书 → 再找根 CA 证书 → 在本机信任库里核对。根 CA 私钥永不离线使用，所以服务器不持有根证书；只下发自己一张证书，客户端就找不到中间 CA → 报「证书存在问题」。另两个高频：过期（Validity）与域名不匹配（CN/SAN）。
3. SSL 握手为什么要两类算法：非对称解决「验证服务器身份 + 安全传递会话密钥」，前提是公钥必须能被验证（靠证书）；对称解决「高效加密海量数据」，但对称密钥必须先安全送到客户端手里，这一步只能靠非对称。流程：非对称握手（身份验证 + 密钥协商）→ 对称传输。
4. ARP 欺骗为什么会造成「主机掉线」：攻击者持续伪造「网关的 MAC ↔ 某 IP」映射并广播（ARP 广播特性天然可被冒充），受害主机 ARP 表被污染 → 把数据发给攻击者。若攻击者只攻击别人、放过自己，受害主机之间就无法互访，表现为部分主机突然上不了网。防御两条腿：静态绑定（治标）+ 设备侧检测/源 IP 校验（治本）。
5. 「处置」和「整改」为什么必须分开答：处置是事件响应（现在止血）：隔离主机、封禁 IP、加策略、清日志；整改是根因治理（以后不再发生）：打补丁、装防护、配置安全策略、最小权限、异地备份。只答处置 → 漏洞还在；只答整改 → 业务还在受害。两栏各写两点是最稳的答法。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

复述型

追因型

迁移型

反向型

知识点 6 · 网络地址转换 NAT ← 命中 12/44（27.3%）

① 考情定位

命中 12 次，8 个考期命中（2025上、2026上 未命中）；asks 37 条、blanks 27 条、cmds 40 条。NAT 在本篇里几乎从不单独考，总是与防火墙安全域/安全策略捆绑出现，更像「防火墙考题里的一个空」。设问核心永远是「为什么要 NAT」和「NAT 靠什么解决地址冲突」，这两问是概念题，答案固定。

设问方式分布（素材 cats）——问作用/功能 8（「为什么需要 NAT」「NAT 的作用」）

填地址/掩码 7（网段、inside 地址）｜问故障原因 7（内网不能上网、解析异常）｜问选型/对比 7（静态/动态/端口映射选型）｜补全配置命令 6（nat server policy 骨架）｜简述/说明要点 4（部署位置选择）｜问措施/规范 4（「安全策略放行」配套）｜带宽/容量估算 3（端口数估算）｜问冗余/可靠性 2（少量）

② 命题角度（这个知识点在考什么）★

B. 真实设问原文（照抄素材 asks，未改写）

C. 从设问反推出的考法归纳

1. 2025下把 NAT 做成了三张表的填空，是本知识点最完整的一次考法：表1 FW 安全域规划 → (1) 内网办公区接口 ETH3 对应的安全域 = trust；表2 NAT 配置规划 → (3) 第 1 条策略（ISP、TRUST → DMZ，TCP，目的端口 80）的目的 IP = 内部 WEB 服务器的私网地址；表3 安全策略规划 → (4) 第 2 条策略（目的安全域 DMZ、UDP、目的 IP 192.168.17.101/32、目的端口 53，即 DNS 服务仅对内网开放）的源安全域 = trust（因为「仅对内网开放」）。→ 这一组空把「安全域 → NAT → 安全策略」三层串起来了，是最值得反复看的题型。
2. 「让内网用户正常访问 Internet」= 出向 NAT + 出向放行。2021下 (7) 原答案 10.1.1.0 24 就是要匹配的内网网段；2023上素材给出 action source-to-destination（源地址=内网网段，目的地址=any）。答措施时两样都要说：NAT 转换 + 安全策略放行。
3. 「允许互联网用户访问 Server」= 服务器映射（NAT Server），不是出向 NAT。2021下素材命令原文：nat server policy <策略名> protocol tcp global <公网IP> <公网端口> inside <内网IP> <内网端口> unr-route——一个公网 IP + 端口映射到一个内网 IP + 端口，最后 unr-route 让回包直接路由（免去回程 NAT 的二次查找）。
4. 「内网用户不能上网」类故障的排查顺序：①NAT 地址池是否有可用公网地址 → ②安全策略是否放行出向 → ③默认路由是否有下一跳 → ④返回路径（unr-route）是否配置。2021下 (1) 原答案就是「路由模式」——防火墙接口模式也必须是路由模式才能做 NAT。

③ 必背清单

• 1 NAT 的三个目的（①缓解 IPv4 地址枯竭；②隐藏内部网络结构（安全）；③简化地址管理；概念题）｜2 NAT 靠什么解决内网 IP 冲突（端口复用（PAT/NAPT）+ 转换表：改写源 IP 和源端口，用「内网私有地址:端口 → 公网地址:端口」的转换表区分会话；概念题）
• 3 静态 NAT（1:1）（内网主机与公网地址固定一一对应；适合对外提供服务的服务器、需要固定出口的用户；NAT 三类型对比）｜4 动态 NAT（地址池）（从地址池中动态分配公网地址；用完回收；适合普通上网用户；NAT 三类型对比）
• 5 端口映射 / NAT Server（公网地址的特定端口映射到内网地址的特定端口；让互联网能访问内网服务器；2021下 nat server policy ... unr-route）｜6 PAT（NAPT）（动态 NAT + 端口复用；一个公网 IP 支撑成百上千内网主机，家用路由器默认模式；概念题）
• 7 出向 NAT（内网主动访问互联网；nat outbound / USG 的 nat address-group + 出向策略；概念题）｜8 unr-route（回包直接路由，不做回程 NAT 的地址转换，省一次查表；2021下 命令原文）
• 9 NAT hairpin（回流）（内网主机访问内网服务器的公网地址时也要 trust → trust 转换；2023上 rule name nat-hairpin）｜10 NAT 与安全策略的关系（NAT 只改地址/端口，不决定放不放行；放行靠安全策略，两者都要配；2021下「完成 NAT、安全策略等配置」）
• 11 安全域映射（2025下）（内网办公区接口 → trust；服务器区/对外区 → dmz；外网口 → untrust。DNS 放通：目的域 dmz、UDP、端口 53、源域 trust；WEB 放通：TCP、端口 80（HTTPS 则 443）；2025下 (1)(3)(4)）｜12 私网地址段（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16；填地址题）

④ 理解清单（能讲清的机制）

1. 为什么需要 NAT（三个层次的理由）：根本原因是 IPv4 地址是 32 位、公网地址已耗尽，NAT 让成千上万内网主机共享一个公网地址；安全价值是对外只暴露一个公网 IP，攻击者无法知道内网网段划分和主机数量；管理价值是内网可自由变更网段而不影响外部，多出口场景还能统一出口。
2. NAT 靠什么解决内网 IP 冲突（最常被问糊的一问）：内网都用同一个私网网段（如 192.168.1.0/24），到了公网源地址全都一样，回包无法区分是谁发的。解决：在转换时同时改写「源 IP + 源端口」，为每条会话分配一个唯一端口，并维护转换表（如 192.168.1.10:5001 → 203.0.113.5:40001；192.168.1.20:5001 → 203.0.113.5:40002）。回包到达时按目的端口反查转换表，还原成对应内网主机。→ 所以端口复用（PAT/NAPT）才是关键，而不是单纯的地址替换。
3. 静态 NAT / 动态 NAT / 端口映射 三者对比：静态 NAT（1:1）地址固定绑定，适合必须固定对外地址的场景（对外服务器、VPN 互联固定出口）；动态 NAT（地址池）从地址池取址、不需要时立刻释放，适合只需上网、不需被访问的用户；端口映射（NAT Server）按端口把公网流量转到内网主机端口，适合一个公网 IP 对外提供多个不同服务。一句话：静态管「身份」，动态管「上网」，端口映射管「对外服务」。
4. NAT 不等于放行（最常见的逻辑错误）：做了 NAT 不代表内网就能上网——安全策略还必须放行。2021下原题面写得很清楚：「需要在防火墙上完成 NAT、安全策略等配置」。反过来放行了但没做 NAT → 内网没有公网地址，出不去。排查顺序：路由 → NAT（地址池/映射）→ 安全策略 → 返回路径。
5. NAT 与路由模式 / hairpin：NAT 只能发生在路由（3 层）场景，2021下 (1) 原答案就是「路由模式」——接口做成二层透明桥接就无法做 NAT，这是 NAT 类故障题的第一个检查点。另外内网 PC 访问公司公网地址时，出向 NAT 会把源地址也改成服务器自己的公网地址，服务器看到的来源是它自己，可能直接丢弃 → 需单独建一条**trust → trust** 的 NAT 策略（rule name nat-hairpin）。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

复述型

追因型

迁移型

反向型

本篇命令填空速记（只列 blanks/cmds 里真实出现过的）

原则：不背全篇默写，只记「哪一段会出现空、空里填什么类型的东西」。趋势已证明「补全配置命令」在 2026 年为 0 次。

A. 填空类原题答案（2021上 / 2021下 / 2022上，含标准答案）

B. 冗余配置命令原文（2022上 素材原文）

[RA-GigabitEthernet1/0/1] standby interface GigabitEthernet 1/0/2 priority 30
[RA-GigabitEthernet1/0/1] standby interface GigabitEthernet 1/0/3 20
[RA-GigabitEthernet1/0/1] standby timer delay 10 10
[RA] ip route-static 192.168.100.0 24 10.1.1.2

preference 100  track nqa admin isp2  下一跳 40.24.0.4  ← 最优先（ISP2）
preference 110  track nqa admin isp1  下一跳 30.23.0.3  ← 次优先（ISP1）
preference 120  无 track              下一跳 50.15.0.5  ← 兜底（5G 应急）

解析：进入 BFD 进程视图的命令是 bfd，故 (5) 填 bfd（后续视图提示符为 [R3-bfd] 可作印证）。

C. ACL 命令原文（2022下 / 2023上 素材原文）

basic（2000–2999）—— 只匹配源 IP

[R1] acl 2000
[R1-acl-basic-2000] rule deny source 10.3.0.0 0.0.0.255
[R1-acl-basic-2000] rule permit

advanced（3000–3999）—— 匹配五元组

acl number 3000
rule 5 permit ip source 192.168.1.0 0.0.0.255 destination 192.168.2.0 0.0.0.255

反向掩码：0.0.0.255 = /24（0 = 必须匹配，1 = 忽略）

D. 防火墙安全策略与 NAT 命令原文（2021下 / 2023上 素材原文）

[USG-policy-security] rule name http
[USG-policy-security-rule-http] source-zone ISP1
[USG-policy-security-rule-http] destination-zone trust
[USG-policy-security-rule-http] destination-address 10.10.10.10
[USG-policy-security-rule-http] service protocol tcp destination-port 9980
[USG-policy-security-rule-http] action permit

rule name nat-hairpin
 source-zone trust
 destination-zone trust
 destination-address Server公网地址
 action source-to-destination
 source-address 内网网段
 destination-address 内网Server地址

nat server policy <策略名> protocol tcp global <公网IP> <公网端口> inside <内网IP> <内网端口> unr-route

interface GigabitEthernet 0/0/1
port-security enable
port-security-mac-num mac-number 1

E. IPSec VPN 配置五步（2022下 素材原文）

① 公网接口配地址：interface GigabitEthernet 0/0/x + ip address <公网IP> <掩码> ② IKE 对等体：ike peer PEER_A / ike-version 2 / pre-shared-key cipher ******** / local-address <RouterA公网IP> / remote-address <RouterB公网IP> ③ IPSec 提议：ipsec proposal PROPOSAL_A / encapsulation-mode tunnel / transform esp esp-3des esp-sha2-256 / ah-group 14 ④ IPSec 策略：ipsec policy POLICY_A 10 isakmp / security acl 3000 / pfs dh-group14 ⑤ 挂到公网接口：ipsec policy POLICY_A

F. 认证与广播抑制（2022下 / 2023上 素材原文，注释即题面）

authentication-mode simple ruankao
  → 配置的是简单认证，口令在配置文件中以密文（cipher）形式保存，安全性较高
authentication-mode simple plain ruankao
  → 关键字 plain 表示口令在设备配置文件中以明文形式显示和保存，便于查看但存在安全隐患

broadcast-suppression
  → 命令给端口设置了一个广播流量门限百分比，超过门限的多余广播帧直接丢弃，
    从而抑制广播风暴、保证其他正常业务的转发带宽

本篇速查：三句话总纲

1. 安全这一篇考的是「该采取什么措施」和「怎么保证可靠性」，不是背命令。「补全配置命令」已从 2021 年 4 次归零到 2026 年 0 次；「问措施/规范」+「问冗余/可靠性」是本篇唯一在上升的组合。
2. 看到题干关键词就能推出答案：「动态分配 IP」→ DHCP；「禁止…访问…」→ ACL 过滤；「至少坏 2 块」→ RAID 6；「不中断业务拿某时刻副本」→ 快照；「至少三种应对措施」→ 攻击类型 + 分类措施。
3. 概念题三个高频问：为什么需要 NAT（地址枯竭 + 隐藏结构 + 简化管理）、NAT 靠什么解决内网冲突（端口复用 + 转换表）、为什么签名用私钥（只有签名者能签 → 身份不可否认）。这三题几乎每年换皮考一次，必须能一口气讲完。

24 · 下午大题知识点图谱 —— 规划与存储

覆盖 6 个知识点 · 累计命中 94/44 次 · 近 5 年（2021上~2026上，11 考期 / 44 道大题） 素材来源：kpmap/下午大题知识点图谱-规划与存储.json。命令全部华为 VRP 格式（display 不是 show）。

本篇知识点与 7 天定位

本篇命题气质：只问「该选哪种」和「是多少」，几乎不考命令。 近 5 年 44 道大题里，本篇两个压倒性设问方式是**「问选型/对比」（16 道，36.4%）和「简述/说明要点」（14 道，31.8%）；「带宽/容量估算」9 道（20.5%）在 RAID 这一块就是纯算术题**。而「补全配置命令」的年度趋势是 2021:4 → 2022:2 → 2023:3 → 2024:3 → 2025:1 → 2026:0，已几乎退场。

本篇第一原则： RAID 算盘数、方案选 RAID 级别、布线判子系统、设计题答「为什么这么选」。 真实设问长这样：「该冗余技术通过（8）方式来实现数据冗余保护，每个 RAID 组至少应配备（9）块硬盘」——考的是公式反射，不是让你默写 raid 5。

知识点 1 · 分布式存储与备份 ← 命中 26/44（59.1%）

① 考情定位

命中 26 次，11 个考期全部命中，全篇唯一「期期不落」，也是全文命中数第 1。素材：asks 40 条、blanks 30 条、cmds 40 条。命中率高不等于存储难：它常以「冗余方式怎么选 / 副本几个 / 拷贝怎么做」出现，属于判断题不是计算题。

设问方式分布（cats，共 9 类，按次数降序） 问措施/规范 19 ★主线：保证数据不丢/提高备份速度 ｜ 问作用/功能 17 ★并列主线 ｜ 问冗余/可靠性 16 ★副本数/容错块数 ｜ 问选型/对比 13 ｜ 填地址/掩码 12（联动）｜ 问故障原因 12 ｜ 补全配置命令 10 ⚠️2026 归零 ｜ 简述/说明要点 9 ｜ 带宽/容量估算 8

② 命题角度（这个知识点在考什么）★

A. 核心信号：前三项合计 52 次，说明存储类考点几乎全部是**「说出方案 + 说清功能」**，而不是让你配存储设备。

B. 真实设问原文（照抄素材 asks）

C. 从设问反推出的考法归纳（每条基于上面真实设问）

1. 「至少坏 N 块而不丢数据」→ 反推冗余级别。2021上「坏 2 块磁盘而不丢失数据（不计算热备盘）」——「不丢数据」=有冗余；「坏 2 块」=容错 2 块 → RAID6。「不计算热备盘」即热备盘不计入容错数。
2. 「冗余原理 + 最少盘数」是一道两空联动题。2022上 那题 blanks 官方答案是**（8）奇偶校验**（解析原文「RAID 5 采用分布式奇偶校验（也叫「异或校验 XOR」）」）、（9）RAID 5 至少需要 3 块硬盘，两空必须同时对。
3. 「不中断业务拿到某时刻的完整拷贝」→ 快照。blanks 原文答案：（10）A 快照（Snapshot）。 关键词是「不中断业务」「某时刻」「完整数据拷贝」。
4. 3 副本 = 3 个节点起步，问的是「至少几个」。2023下 原题「采用 3 副本冗余…至少应规划 （4） 节点（含原存储设备）」，blanks 答案：（4）3 个节点（含原存储设备）——原设备算 1 个，不是 4 个。
5. 冗余技术有两个名字要都会写。2023下「该存储系统通过 （6） 技术实现数据冗余」， blanks 答案：（6）多副本和纠删码技术。写「多副本」或「纠删码」都给分，两个都写最稳。

③ 必背清单

素材 blanks 官方填空原文：「（8）奇偶校验」「（9）RAID 5 至少需要 3 块硬盘」「（10）A 快照（Snapshot）」「（1）小时」「（2）大」「（3）接口监控组」「（4）VRRP」（均2022年上半年）；「（4）3 个节点（含原存储设备）」「（5）副本备份（即 JBOD / 独立磁盘模式）」「（6）多副本和纠删码技术」（2023年下半年）；「（5）bfd」+解析「进入 BFD 进程视图的命令是 bfd」（2021年下半年）

④ 理解清单（能讲清的机制）

1. 为什么 RAID5 至少要 3 块？ 校验信息本身要占盘，2 块=1 数据+1 校验，坏任何一块数据就没了；3 块=2 数据+1 校验，坏 1 块还能用另外 2 块反推出来。
2. 为什么 3 副本是「至少 3 个节点」而不是 4 个？ 副本数=同一份数据存几份；3 副本意味任一节点挂掉还有 2 份可用，原设备已是 1 份，只需再补 2 个。
3. 为什么「不中断业务做拷贝」只能用快照？ 传统拷贝要读源数据、占 IO 且影响业务；快照用写时复制（COW）只记录变化块，瞬间生成只读视图。
4. 为什么异地备份要提「有限带宽」？ 提速只能靠减少传输量（压缩、增量、差分），不能靠加大带宽，所以措施落在算法而不是设备上。
5. MTBF 和 MTTR 为什么要一起背？ 可靠性 ≈ MTBF/(MTBF+MTTR)，只提 MTBF 不提 MTTR 说明没真正理解可靠性模型。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

知识点 2 · 需求分析与方案设计 ← 命中 21/44（47.7%）

① 考情定位

命中 21 次，10 个考期命中（缺 2021年上半年）。素材：asks 40 条、blanks 30 条、cmds 40 条。 它是本篇唯一一条「开放式简答题」的主线。

设问方式分布（cats） 问措施/规范 20 ★措施清单型 ｜ 问选型/对比 12 ★「A 和 B 哪个更合理，请说明理由」｜ 简述/说明要点 12 ★「简述每层功能」｜ 问故障原因 12「为什么变慢+怎么改」｜ 填地址/掩码 10（联动）｜ 问作用/功能 10 ｜ 问冗余/可靠性 8 ｜ 补全配置命令 7 ⚠️2026 归零 ｜ 带宽/容量估算 6

② 命题角度（这个知识点在考什么）★

A. 独特之处：「问故障原因」12 次，与「简述/说明要点」并列。这意味着本考点不只出现在方案阶段，还大量出现在故障题里——大题真实结构是「先给方案，再问这方案有什么问题、怎么改」，所以「设计」常以「挑毛病」形式出现。

B. 真实设问原文（照抄素材 asks）

C. 从设问反推出的考法归纳

1. 「A 和 B 两个方案，选一个 + 说理由」是本知识点的招牌题型，素材里出现两次同构题：2025上「提供 OSPF 和 BGP…哪种方案较为合理，请说明理由」；2023上「可以选择在接入层、核心层或者 DMZ 区部署…请选择最合理的部署区域并说明理由」。答题模板固定：结论（选 X）+ 理由（结合本题场景说 2~3 条）。
2. 「需求分析阶段要收集什么」是 2025上 开的新题型。答案不在于计算，而在于你知不知道需求调查清单里有什么。
3. 层次化三层「各自功能」必背。2025下「简述每层应实现的功能」， 2026上「采取什么措施可以实现…广播域隔离」——两题是同一套体系的正反两面。
4. 「冗余配置方式有哪几种」问的是清单不是原理。2023上「核心交换机有哪几种冗余配置方式」，参考 2025下 同源题「VRRP 与堆叠的区别」——答案就是堆叠/级联/链路聚合/VRRP/双机热备份这一组。
5. 「为什么百兆够/不够」= 带宽估算的标准句式。2022下 原文「…选用百兆交换机是否满足带宽要求，请说明理由」，给的是1080P 图像这种具体业务，要先算单路码率再乘路数。

③ 必背清单

⚠️本知识点不考命令，考的是「该选哪种」和「为什么这么选」。素材 cmds 虽含 ACL/IPSec/静态路由等 40 条命令，但大多归属「交换与无线」「安全与可靠性」篇；「补全配置命令」在本知识点只占 7 次且 2026 已归零。

④ 理解清单（能讲清的机制）

1. 为什么「需求分析」不能省？ 后面五个阶段的参数（网段数、带宽、冗余等级、设备型号）都来自它的输入，需求错了后面全错且返工成本最高。
2. 为什么接入层隔离、汇聚层做策略？ 接入层二层隔离能就地抑制广播风暴（不进核心），最省带宽；汇聚层才有能力做跨 VLAN 路由和 ACL。
3. 为什么核心层不接终端？ 终端数量大、故障率高，接入核心会频繁触发 MAC 表震荡与 STP 拓扑变更。
4. 为什么 OSPF 适合园区、BGP 适合跨域？ OSPF 是 IGP，用区域划分做层次化设计、收敛快；BGP 是路径向量协议，靠 AS_PATH 与属性选路，天然适合自治系统间的策略控制。为什么带宽估算要留余量？ 实际链路还有协议开销（以太网头/尾、TCP/IP 头）、突发流量与重传。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

知识点 3 · Internet 应用协议 ← 命中 13/44（29.5%）

① 考情定位

命中 13 次，9 个考期命中（缺 2022年上半年、2023年下半年）。素材：asks 40 条、blanks 30 条、cmds 32 条。 设问偏向故障定位与安全策略。

设问方式分布（cats） 问措施/规范 13 ★「禁止访问/保证安全/怎么整改」｜ 问故障原因 9 ｜ 问作用/功能 7 ｜ 问选型/对比 6 ｜ 填地址/掩码 5（ACL/NAT 表里的 IP）｜ 带宽/容量估算 5 ｜ 补全配置命令 4 ⚠️已退场 ｜ 问冗余/可靠性 4 ｜ 简述/说明要点 3（SSL 原理）

② 命题角度（这个知识点在考什么）★

A. 核心信号：设问几乎全部包在「安全策略表 / NAT 规划表 / ACL 规划表」的填空里，也就是把「端口号 + 协议 + 区域 + 方向」四要素对应起来。考的不是协议原理，是协议号与端口号的工程映射。

B. 真实设问原文（照抄素材 asks）

C. 从设问反推出的考法归纳

1. 「表格填空」是本知识点的主形态：2024下 ACL 规划表、2025下 三张表（FW 安全域/NAT 配置/安全策略）。这类题不需要推理，只需知道端口号和区域方向。
2. 「防火墙为用户动态分配 IP」→ 填 DHCP。2021下 原文「需在防火墙完成开启 (2) 功能」， blanks 答案：（2）DHCP。同题「（1）路由模式」也是考点。
3. HTTPS 证书报错的成因分析是 2025下 的新题型。这是故障原因题，答案要写满 2 条 （如证书过期、证书域名不匹配、证书链不受信、客户端系统时间不对）。
4. 链路扩容方案二选一。2024下 给出「方案二：采用链路聚合技术…形成一条逻辑链路」——方案一是「直接增加一条独立链路」，方案二是「链路聚合 Eth-Trunk」，cmds 里对应 load-balance src-dst ip（华为 VRP 写法）。
5. 「处置」与「整改措施」要分开答。2025下 原文明确「需分别从处置和整改措施两个方面回答，每个方面至少回答 2 点措施」—— 处置 = 眼下止血的临时动作；整改 = 根上的永久改进。

③ 必背清单

本知识点命令极少，只有三处真实出现、且是表格填空里的策略行：[NGFW-Eth-Trunk1] load-balance src-dst ip / [Core-Eth-Trunk1] load-balance src-dst ip（2024年下半年）；ip load-balance hash src-ip 或 src-dst-ip（2023年上半年）；nat server policy <策略名> protocol tcp global <公网IP> <公网端口> inside <内网IP> <内网端口>（2021年下半年）

④ 理解清单（能讲清的机制）

1. 为什么 FTP 要用两个端口？ 控制连接（21）传命令、数据连接（20）传文件内容；分开后数据传输走独立通道，服务端能控制数据流时机。
2. 为什么 FTP 主动模式穿透力差？ 主动模式由客户端向服务端 20 端口发起连接，客户端在 NAT 后出口地址已被转换、服务端回不去；被动模式（PASV）由服务端监听随机端口反连客户端。
3. 为什么 DNS 既有 UDP 又有 TCP？ UDP 无连接、开销小适合小查询；响应超 512 字节、DNSSEC、区域传送时必须用可靠的 TCP。
4. 为什么 SSL 要「两把钥匙」？ 非对称（RSA/ECC）解决「怎么安全地把密钥传给对方」，对称（AES/3DES）负责实际传输因为更快。为什么防火墙要分安全域？ 域=一组安全等级相同的接口，策略基于「域→域」而非逐接口，数量从 O(接口数²) 降到 O(域数²)。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

知识点 4 · RAID 技术 ← 命中 12/44（27.3%）

① 考情定位

命中 12 次，8 个考期命中（缺 2021年下半年、2024年下半年）。素材：asks 40 条、blanks 30 条、cmds 40 条。 这是本篇唯一「纯计算」的知识点，题干短、答案短、得分快，是性价比最高的抢分点。

设问方式分布（cats） 问措施/规范 13 ★冗余方式怎么选 ｜ 问作用/功能 9 ｜ 问故障原因 8 ｜ 填地址/掩码 7（联动）｜ 问冗余/可靠性 7 ★容错块数 ｜ 简述/说明要点 6（冗余原理）｜ 问选型/对比 4（级别二选一）｜ 带宽/容量估算 3 ★容量计算 ｜ 补全配置命令 3 ⚠️已退场

② 命题角度（这个知识点在考什么）★

A. 本知识点设问高度收敛：题干一出现 RAID，后面必然跟着「需要几块盘」或「可用容量是多少」。看到 RAID 就掏公式，不要犹豫。

B. 真实设问原文（照抄素材 asks）

C. 从设问反推出的考法归纳

1. 两类题型必须分开练： 选型题（给容错要求，选 RAID 级别）＝2021上「要求至少坏 2 块磁盘而不丢失数据（不计算热备盘），应采用 (8) 磁盘冗余方式」； 计算题（给盘数容量，算可用容量）＝2025上「2 块系统盘，每块容量 480GB、10 块数据盘，每块容量 2TB」。
2. 2025上 那道题的算式（照素材数据推）：10 块 2TB 数据盘做 RAID5 →（10 − 1）× 2TB = 18TB； 若 RAID6 →（10 − 2）× 2TB = 16TB。2 块 480GB 系统盘通常做 RAID1，不计入数据容量。
3. 判据是「容错能力 = N」，不是「盘数 ≥ N」。RAID1 用了 2 块盘但只能坏 1 块（同一份镜像）——这是最容易错的地方。
4. RAID10 的容错是 1 块不是 2 块。RAID10 = 先两两做 RAID1 再拼 RAID0，同一镜像对内两块盘同时坏才丢数据，所以逻辑上只能坏 1 块。这也是 2021上 那题不选「RAID5+RAID1 双层套」的理由——明确写「不计算热备盘」。
5. 「不中断业务拿某个时刻的完整拷贝」→ 快照（2022上 原题，答案 (10) A 快照（Snapshot））， 这题与 RAID 同题出现，属于「RAID + 快照」的组合考点。

③ 必背清单 ★ 本篇最该背的一张表

本知识点不考命令，考的是「该选哪种」和「是多少」。素材 cmds 里的 standby interface GigabitEthernet 1/0/2 priority 30 等 40 条命令归属「安全与可靠性」篇（接口备份技术），不是 RAID 考点。

④ 理解清单（能讲清的机制）

1. 为什么 RAID5 容量是「减 1 盘」？ N 块盘中 1 块存校验（容量等效 1 块盘），其余 N−1 块存数据，可用容量=(N−1)×单盘容量。
2. 为什么 RAID5 坏一块还能算回来？ 校验块=所有数据块按位异或（XOR），XOR 自反可反推丢失块；但同时坏两块就救不回（不知是哪两块），这正是 RAID6 的价值。
3. 为什么 RAID6 减 2 盘？ 两块校验盘（P+Q，分别对行列异或），双校验的数学强度才能定位并恢复任意 2 块丢失的盘。
4. 为什么 RAID1 容量除以 2 却只能坏 1 块？ 2 块盘存的是同一份数据，一块坏了数据还在另一块，容量只能算一份——这就是「盘数 ≥ 容错数」的陷阱。
5. 为什么 RAID10 容错也是 1 块？ 4 盘=2 个镜像：坏盘1→用盘2；坏盘1+盘3→用盘2、盘4；坏盘1+盘2→这份数据彻底没了。
6. 为什么系统盘常用 RAID1？ 系统盘容量小，RAID5 要至少 3 块且利用率只 2/3，RAID1 用 2 块 100% 利用率且更简单。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

知识点 5 · 结构化布线 ← 命中 12/44（27.3%）

① 考情定位

命中 12 次，9 个考期命中（缺 2022年上半年、2024年上半年）。素材：asks 37 条、blanks 30 条、cmds 30 条。 考法是**「指认 + 规范条文」**。

设问方式分布（cats） 问措施/规范 10 ★「属于哪个子系统/施工遵循哪些规范」｜ 填地址/掩码 6 ｜ 简述/说明要点 6 ｜ 问作用/功能 4 ｜ 带宽/容量估算 5 ｜ 问选型/对比 5（介质选型）｜ 问冗余/可靠性 5（联动）｜ 补全配置命令 3 ⚠️ ｜ 问故障原因 1 ← 全篇最低，说明布线几乎不出故障题

② 命题角度（这个知识点在考什么）★

A. 「问故障原因」只有 1 次是重要信号：结构化布线几乎不出故障题，考的是「认得出体系、说得出规范」，属于记忆性得分点。

B. 真实设问原文（照抄素材 asks）

C. 从设问反推出的考法归纳

1. 「哪个区间属于哪个子系统」是本知识点最标准的题型。2023上 原题「简要说明图1-1中干线布线与水平布线子系统分别对应的区间」，判据只有一条：水平 = 同楼层内；干线 = 跨楼层；建筑群 = 跨楼栋/园区。
2. 「规划表填空」是 2024下 的形态。原文「补充完成以下结构化综合布线规划表」， 空格示例「（1）水平布线子系统的组成部件为（ ）」。 答案：水平布线子系统 = 水平线缆 + 跳线 + 配线架（信息插座/终端设备连接部件）。
3. 「跨楼栋用什么介质」是选型题。2022下 原题「仓库到办公楼的布线系统属于什么子系统？ 应采用什么传输介质？该线缆与交换机连接需要用到哪些部件」。 答案链路：建筑群子系统 → 光缆（室外多模/单模）→ 光模块 + 网口/配线架。
4. 结构化布线与「网络逻辑设计」在同一道题里联动。2023上 一道题里同时出现地址规划（第1问）、干线/水平子系统（第2问）、核心冗余方式（第4问）——布线题往往是综合题的其中一问。
5. 「施工规范」是「至少回答 4 点」型开放题。按「先规划后施工、先主干后支线、先测试后验收、 强弱电分离、标签与文档、隐蔽工程验收」六类去答，一般能覆盖 4 点以上。

③ 必背清单

本知识点不考命令，考的是「属于哪个子系统 / 用什么介质 / 有哪些规范」。素材 cmds 中的 30 条命令全部是同卷其他小问（ACL、IPSec、PoE、DHCP Snooping）的，不是布线条目的考点。

④ 理解清单（能讲清的机制）

1. 为什么水平与干线要分成两个子系统？ 水平是「一层楼内点到点」短而多，干线是「楼与楼之间」长而少，两者介质选型、敷设方式、测试标准都不同。
2. 为什么光缆不能直接接普通网口？ 光信号与电信号不同，需光模块做光电转换——这正是 2022下 那题「连接需要用到哪些部件」的答案落点。
3. 为什么强调「管理子系统」？ 布线的价值在于可维护：两端标签+图文档让故障能快速定位到具体一段，是唯一服务其他五个的子系统。
4. 为什么 90m 是硬限制？ 永久链路 ≤90m 加两端跳线不超过 100m，这是双绞线信号衰减与 PoE 功率预算的物理约束。为什么「先测试后验收」最重要？ 布线一旦埋入墙体/吊顶返工成本极高，必须在封闭前完成测试认证并留档。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

知识点 6 · DNS 与域名 ← 命中 10/44（22.7%）

① 考情定位

命中 10 次，8 个考期命中（缺 2021年下半年、2022年上下）。素材：asks 40 条、blanks 30 条、cmds 40 条。「问措施/规范 14 次 + 问故障原因 11 次」占绝对主导，说明 DNS 在大题里是以「DHCP/域名后缀配置」和「DNS 只对内网开放的策略」出现的，而不是以「DNS 原理」出现。

设问方式分布（cats） 问措施/规范 14 ★整改措施、安全策略 ｜ 问故障原因 11 ★故障定位 ｜ 问选型/对比 5 ｜ 补全配置命令 5 ⚠️DHCP 全局配置填空 ｜ 填地址/掩码 5 ｜ 简述/说明要点 5 ｜ 问冗余/可靠性 4 ｜ 带宽/容量估算 4 ｜ 问作用/功能 3 ← 最低，说明「原理」考得少

② 命题角度（这个知识点在考什么）★

A. 「问作用/功能」只有 3 次是理解本知识点的关键：软考大题从不考 DNS 记录类型的细节原理，只考「DNS 指向谁、DNS 只对谁开、域名后缀填什么」。

B. 真实设问原文（照抄素材 asks）

C. 从设问反推出的考法归纳

1. 最核心的一空是「DNS 只对内网开放」对应的安全策略填空。2025下半年 原题把三张表串起来考，其中「（4）表3 第 2 条策略（目的安全域 DMZ，协议 UDP，目的 IP 192.168.17.101/32，目的端口 53，即 DNS 服务仅对内网开放）中，源安全域为（ ）」——答案指向 trust（内网办公区）。关键词：UDP + 端口 53 + 源区域 trust。
2. DNS 的落点在「表里」，不在「原理里」。2024下 ACL 规划表、2025下 NAT 配置规划表， DNS 都只是一个服务条目（协议 + 端口 + 目的 IP）。所以背端口号比背记录类型值更值。
3. 同卷里 DNS 常与 DHCP 绑在一起考。2023下「在路由器 R1 上启用全局 DHCP 服务…补充完整」，blanks 第（9）空是「配置为 DHCP 客户端分配的域名后缀为 aa.com」→ domain-name aa.com；dns-list 192.168.1.2 指定 DNS 服务器地址。记这两个命令，别的 DHCP 空本篇不管。
4. 「客户端上不了网」的故障题，往往要想到 DNS 解析。2024上「通过上图可以判断网络遭受了 （1） 攻击」， 以及 2023上 两处「请分析原因并提供解决方法」——通用排查顺序是链路 → IP/掩码 → 网关 → DNS → 上层协议。
5. IPv6 地址规划题里也可能出现「服务可达性」联动。2024上 原题「（1）无限网络终端（150000 台）的可用地址范围为（ ）」， blanks 答案为 240C:DB8:1024:4000:: ~ 240C:DB8:1024:5FFF:FFFF:FFFF:FFFF:FFFF、（2）51（即 /51）。 这是地址计算（归 IP 篇），但常与本篇的「服务可达性」设问同卷出现。

③ 必背清单

素材中只有 2 条 DNS 相关命令，且都在 2023年下半年那道 DHCP 全局配置题里：[R1-ip-pool-ip-pool10] dns-list 192.168.1.2 与 [R1-ip-pool-ip-pool10] domain-name aa.com。其余 38 条命令归属同卷其他小问。本知识点考的是策略表里的端口号，不是命令。

④ 理解清单（能讲清的机制）

1. 为什么客户端只问一次（递归），服务器之间却要多次（迭代）？ 客户端走不完整棵树（要根提示与全部 NS 记录），所以把「查到底」交给本地域名服务器；各级权威服务器之间层层转发。
2. 为什么 DNS 要「只对内网开放」？ 内网 DNS 记录含内部主机名、管理台地址与服务地址，属信息泄露面；对外只需暴露必要解析入口。
3. 为什么 DHCP 要排除网关地址？ 把网关地址分给终端会造成 IP 冲突，excluded-ip-address 就是排除网关、服务器等保留地址。
4. 为什么 DNS 走 UDP？ 绝大多数响应很小，UDP 无连接、开销小、延迟低；响应过大或需可靠传输才用 TCP。为什么 DNS 排查放在最后？ 链路、IP、掩码、网关都不通时 DNS 根本不会被调用；只有前面正常了，「域名不通但 IP 能通」才是 DNS 问题。

⑤ 掌握程度三档

⑥ ★ 费曼式自查提问

本篇命令填空速记（本篇几乎不考命令）

「补全配置命令」年度趋势 2021=4 → 2022=2 → 2023=3 → 2024=3 → 2025=1 → 2026=0。 本篇 6 个知识点里，真实卷面上以命令填空形态出现的只有极少数几处，且都属于联动题。

唯一 1 处真 DNS/DHCP 命令填空 —— 2023年下半年

真实设问原文：「【问题3】（4分）在路由器 R1 上启用全局 DHCP 服务，请将下面配置代码补充完整」

⚠️ 注意（10）是 display 不是 show——华为 VRP 格式。素材 cmds 中同题完整上下文命令（均在 [R1-ip-pool-ip-pool10] 视图下，[R1] ip pool ip-pool10 进入）：

gateway-list 192.168.1.254      network 192.168.1.0 mask 255.255.255.0
excluded-ip-address 192.168.1.2  dns-list 192.168.1.2
lease day 30 hour 0 minute 0     domain-name aa.com

唯一 1 处 DNS 安全策略填空 —— 2025年下半年

真实设问原文：「表3 第 2 条策略（目的安全域 DMZ，协议 UDP，目的 IP 192.168.17.101/32， 目的端口 53，即 DNS 服务仅对内网开放）中，源安全域为（ ）」

其余命令：明确归属其他篇，本篇不背

素材 cmds 里的 ACL、IPSec、Eth-Trunk、PoE、OSPF、端口隔离等 40 条命令，在真实卷面上分别属于「交换与无线」「安全与可靠性」「IP地址与路由」三篇。本篇 6 个知识点的真实考法是：RAID 算盘数、方案选级别、布线判子系统、设计答「为什么」。

全篇速记卡（考前 10 分钟看这一页）

三个「选型判据」速记：

1. 「坏 N 块不丢数据」→ 看容错块数 = N，不是盘数（RAID1 用 2 盘只坏 1）
2. 「两个方案选一个 + 说理由」→ 结论 + 结合本题场景 2~3 条理由 + 一句权衡
3. 「该采取什么措施」→ 先答技术手段（冗余/加密/认证），再答管理手段（制度/文档/巡检）

01 · IPv4地址与子网规划

所属模块：网络互连与IP协议 | 覆盖题库 285 题（单选 225 · 案例小题 60）
考期覆盖 24 / 24（100%） —— 全题库覆盖考期最多的专题
题型定位：混合型（上午地址计算判断 + 下午案例地址规划与故障排查）

一、考情概览

近5 年（2021–2026）案例大题命中：11 个考期全部出现（recent_count = 11），是下午案例大题中出现频率最高的专题之一。

从题库统计的高频术语看（括号内为出现次数）：

结论：地址计算是硬功夫，必须练到形成肌肉记忆。上午题几乎全是“给地址求网络/广播/可用范围/掩码“，下午题则是「按主机数规划地址块（VLSM）」+「用 ping/tracert/arp 排障」两条线。

二、知识点清单

2.1 IPv4 地址与子网（240 题 · 绝对主力）

2.1.1 IPv4 地址的表示

• 32 位，分成 4 个字节，每字节 8 位，用点分十进制表示（取值 0–255）
• 每个字节在地址中有三种身份，从高位到低位依次是：
  1. 网络号（网络位）
  2. 子网号（子网位，借来的网络位）
  3. 主机号（主机位）

⚠️ 易错：地址本身不区分网络位和主机位 —— 划分方式由掩码决定。同一个 192.168.1.10，配 /24 是网络地址，配 /16 则是某子网内的主机。所以题目问“这个地址属于哪个网段“时，必须先看题干给的掩码。

2.1.2 分类地址（A / B / C）与私有地址

• 127.0.0.0/8 是环回地址（Loopback），127.0.0.1 本机

• 私有（专用）地址（RFC1918，不能上公网）：

  范围	前缀	覆盖地址
  10.0.0.0–10.255.255.255	/8	整个 A 类中的一部分
  172.16.0.0–172.31.255.255	/12	只有 16 个 C 类，不是整个 B 类
  192.168.0.0–192.168.255.255	/16	整个 C 类中的一部分

⚠️ 易错：私有地址三段是 10.x / 172.16–31.x / 192.168.x。172.15.x、172.32.x 不是私有地址。

⚠️ 易错：题库 2019年下半年原题里，202.115.2.160 被归到/26 计算，属于 C 类地址（202 开头）。判断题库答案时先看首字节：202 落在 192–223 → C 类 → 默认 /24 → 借位成/26。

2.1.3 子网掩码与 CIDR（CIDR = 无类别域间路由）

• CIDR 记法：地址/前缀长度，前缀长度就是网络位的位数
• 子网掩码与前缀长度的互换（必背）：

  前缀	掩码	前缀	掩码	前缀	掩码	前缀	掩码
  /22	255.255.252.0	/26	255.255.255.192	/30	255.255.255.252	/24	255.255.0.0
  /23	255.255.254.0	/27	255.255.255.224	/31	255.255.255.254	/25	255.255.128.0
  /19	255.255.224.0	/28	255.255.255.240	/32	255.255.255.255	/26	255.255.255.192

📌 记忆锚点：/24 = 255.255.0.0、/25 = .128、/26 = .192、/27 = .224、/28 = .240、/29 = .248、/30 = .252、/31 = .254、/32 = .255。最后一个字节按 128 / 64 / 32 / 16 / 8 / 4 / 2 / 1 递减切分。

2.1.4 借位法：等长子网划分（计算题第一步，必须掌握）

第一步：确定“块大小（block size）“

块大小 = 2^(借位数)，也就是掩码最后一个非零段的增量。

第二步：数“要借几位“

要划成 n 个等大子网，需借位 k 位，满足 2^k ≥ n（取最小的 k）。

第三步：算每个子网的主机位数

主机位 = 原主机位 − 借位数；每子网可用主机 = 2^主机位 − 2。

这套流程直接对应题库 2024年上半年 真题：「某 C 类网络需要划分至少 3 个子网，每个子网的主机位最长为（　）位」→ C 类默认 /24 有 8 位主机位；2¹ = 2 < 3，2² = 4 ≥ 3 → 借 2 位；主机位 = 8 − 2 = 6 位，每子网 2⁶ − 2 = 62 台。

2.1.5 等长划分的完整算例（以 C 类为例）

设 192.168.10.0，等分成 4 个子网：