HCIP-Datacom 821题库解析：路由交换与安全易错点

简介面向准备HCIP-Datacom 821认证考试的网络工程师与在校考生这份PDF题库以单选题为主覆盖路由交换、IPv6、WLAN、安全与组播等考试常见模块适合已进入总复习阶段、希望用题目检验知识覆盖面的考生。题目配有答案和简要解析涉及OSPF邻接关系与区域匹配、IPv6全球单播地址规划、IS-IS的ATT置位与LSP判断、ACL规则匹配顺序、三层漫游流量走向、STP端口角色、BGP团体属性、防火墙安全策略匹配、IPsec AH/ESP协议号以及PIM-SM的DR判断等知识点题干多结合拓扑或设备输出信息解析侧重从显示字段中找依据便于刷题时定位薄弱环节并理解排错思路。压缩包内共1个PDF文件约7.87MB内容集中适合按章节连续练习或考前快速翻阅。页面显示已有535人学习作者说明题库覆盖率约八成且本人已通过考试可作为冲刺阶段的辅助复习材料。1. 知识地图五十道单选里藏着的五个模块HCIP-Datacom 821 这份题库题量在五十道上下的单选题几乎每道都带一张拓扑图或者一段设备命令输出整体骨架很清楚路由协议占绝对大头OSPF、IS-IS、BGP 三个协议轮番上阵中间夹着路由策略、组播和 IPv6交换部分集中在 RSTP 与 MSTP 的端口角色、拓扑变化和 TC 保护安全只考状态检测防火墙的转发判断和一点点 IPsec 封装识别。它反直觉的地方在于几乎不问“OSPF 有几种报文”这类纯概念而是甩一段 display 输出让你判断邻居为什么起不来、这条路由为什么最优、这个端口为什么能直接转发。它考的是“读符号”的能力把命令行输出翻译成设备状态再把状态翻译成原因。理论课过了一遍、手里有模拟器、准备做最后查漏的人最合适零基础直接刷会很痛苦因为每道题的解析都默认你认识 LSA 类型、知道 ATT 位置是什么、背得出 BGP 状态机。反过来说如果你能把题里的每张图都还原成一段配置这五十道题就是一张能随身带的网络知识地图。2. OSPF 与 IS-IS链路状态协议的六个判断依据链路状态协议这一块题库里的题目几乎都不是直接问你定义而是给你一段邻居状态或者 LSDB 输出让你倒推原因。这类题的共同套路是状态卡在哪一个阶段问题就出在那一阶段对应的字段上。所以复习的重点不是背协议流程而是把“现象—判据—原因”这三段串起来做到看到Init就知道往 Hello 报文里找看到ExStart就去量 MTU。2.1 邻居起不来先看哪几个字段OSPF 邻居建立会依次经过 Down、Init、2-Way、ExStart、Exchange、Loading、Full每一步卡住对应的原因基本是固定的。题库里出现频率最高的是区域号不匹配和网络类型不一致两种前一种连 Init 都进不去后一种能建邻居但算不出路由。卡住的状态关键判据常见原因一直 Down / 收不到 Hello组播 224.0.0.5 是否可达接口未使能 OSPF、认证不通过、Hello/Dead 定时器不一致停在 Init收到的 Hello 里邻居列表没有自己单向链路、区域号不匹配、认证方式不一致停在 2-Way双方都是 DRother广播网中非 DR/BDR 之间的正常状态不是故障停在 ExStartMTU 不一致导致 DD 报文丢弃两端接口 MTU 不同邻居 Full 但没有路由两端网络类型不一致Broadcast 对 P2PLSDB 中链路描述不同表格里第一条最值得深挖。Hello 报文头部带 Area ID两边区域号对不上报文直接丢弃连邻居列表都不会维护所以现象是“一直起不来”而不是“起来了又断”。题库第一题给的就是这个场景输出里能直接看到两端的区域号不同答案落在区域号码不匹配上而不是进程号。进程号是最容易记反的一处。OSPF 进程号是本地有效的不会写进任何报文同一台设备上两个进程互不影响两台设备进程号不同照样能建邻居。题库第 6 题把“进程号不一致”设计成干扰项真正的原因是接口网络类型一个是 Broadcast、一个是 P2P两边能建立邻接关系但 LSDB 里对同一条链路的描述不一样SPF 计算出来的图对不上所以无法完成路由计算。这类题的正确态度是先排除“本地参数”类选项进程号、Router ID 归属再去看“链路上会传递的参数”区域、认证、网络类型、MTU。# 查看接口上的 OSPF 关键参数区域、网络类型、DR、定时器 display ospf interface GigabitEthernet0/0/0 # 输出中重点看 Area、TypeBroadcast/P2P、Hello、Dead、DR/BDR 四组字段 # 查看邻居状态机走到哪一步以及邻居的 Router ID display ospf peer # State 为 Full 表示邻接完成Init/ExStart 卡住说明报文层面有问题上面两条命令是排查任何 OSPF 邻居题的起点。display ospf interface暴露的是一台设备自己认为的接口参数两端一比对区域、网络类型、定时器三个字段只要有一个不同就能锁定故障点display ospf peer给出的是状态机和邻居的 Router ID用来判断是不是卡在了 DD 交互阶段。注意display ospf peer输出的State字段在广播网里出现2-Way并不代表故障只有本端是 DRother 且邻居也是 DRother 时才是正常稳定态。2.2 DR/BDR 选举稳定性压倒优先级广播型网络里 DR 的选举规则只有两条接口优先级大者优先优先级相同时 Router ID 大者优先接口优先级默认是 1配成 0 表示放弃选举。但这套规则只在新网络第一次选举时生效一旦 DR 已经产生后来加入的设备哪怕优先级配到 255也不会把现役 DR 顶掉它只能当 DRother。题库第 44 题把这个特性作为正确答案的反面新加入的高优先级设备不会抢占所以“新的路由器会成为 DR”这种说法直接判错。DR 故障后的行为也是高频考点而且和“不抢占”是两条独立规则。现役 DR 挂掉BDR 立刻升为 DR然后网络里重新选举 BDR并不是“只升不选”。所以“DR 故障后 BDR 变 DR 并重新选举 BDR”这个描述是正确的考试时会写成看起来很别扭的长句来迷惑人。判断某台设备是不是 DR不能只看接口 IP 谁大。display ospf interface输出里的DR字段给的是当前网段 DR 的接口地址把它和本机接口地址比一下就知道自己的身份另一条线索在 DD 报文的主从关系里Router ID 大的一方当 Master题库第 5 题就是靠输出里的Mode字段反推的——输出写着邻居是 Master那么“本路由器是 Master”的选项自然错。提示224.0.0.5 是 AllSPFRouters所有运行 OSPF 的接口都监听224.0.0.6 是 AllDRouters只有 DR 和 BDR 监听。DR/BDR 两个地址都收所以“DR 和 BDR 既侦听 224.0.0.5 也侦听 224.0.0.6”这句话是对的。2.3 LSDB 与 LSA查什么命令在哪个范围一致题库里出现过“哪条命令可以查看第 2 类 LSA 详细信息”这种题答案落在display ospf lsdb network。这类命令题看着简单但背后要清楚每类 LSA 是谁产生的、作用域在哪否则换一个问法就抓瞎。LSA 类型名称产生者泛洪范围Type 1Router LSA每台路由器本区域Type 2Network LSADR本区域Type 3Summary LSAABR除本区域外的其他区域Type 4ASBR SummaryABR除 ASBR 所在区域外的其他区域Type 5AS ExternalASBR整个 AS特殊区域除外Type 7NSSA ExternalNSSA 内的 ASBR本 NSSA 内关于 LSDB 一致性题库第 30 题的迷惑点在于“区域 0 中所有路由器的 LSDB 都相同”。严格说同一区域内的路由器对属于该区域的 LSA 视图是一致的但一台 ABR 同时挂在区域 0 和区域 1 上它的 LSDB 里还有区域 1 的 LSA和纯区域 0 内部路由器的 LSDB 并不完全一样。所以正确表述应该是“同一区域内所有路由器的 LSDB 相同”而不是“区域 0 的所有路由器 LSDB 相同”。这种一字之差的选项是这类题最容易翻车的地方。2.4 认证与进程两条最容易被记反的规则OSPF 认证有两个层级区域认证和接口认证两者可以同时存在。同时存在时接口认证优先生效也就是说接口上配了认证就以接口为准没配才回落到区域认证。题库第 32 题把优先级写反成“优先使用区域认证”这正是最常见的记忆错误。认证算法方面常见的四种模式是 null、simple明文、MD5、HMAC-MD5报文不通过验证就直接丢弃邻居自然起不来。# 区域级认证对本区域内所有接口生效 ospf 1 router-id 1.1.1.1 area 0 authentication-mode md5 1 cipher Lab123 # 接口级认证优先级高于区域认证 interface GigabitEthernet0/0/0 ospf authentication-mode md5 1 cipher Lab456 # 两端 key ID 与密码必须完全一致否则 Hello 被丢弃、邻居停在 Down # 限制一个 OSPF 进程可引入的外部路由数量 ospf 1 import-route limit 1000第一段是区域视图下配置第二段是接口视图下配置两段同时存在时以接口上的Lab456为准这是验证“接口优先”最直接的方式。第三段的import-route limit用来限制一个 OSPF 进程内可引入的外部路由最大条数题库第 39 题说它“不能限制”其实是能限制的默认上限和溢出的处理策略都可以通过参数调整比如配成import-route limit 1000 threshold 80表示达到 80% 时告警。多进程互不影响、进程之间交互等同于不同路由协议之间的交互这一条题库判为正确可以和进程号本地有效这条一起记它们是同一个知识点的两面。3. IS-IS分级、ATT 与路由渗透的连锁题IS-IS 在题库里的分量不轻而且出题方式非常集中给你四台路由器的拓扑标好 Level-1、Level-2、Level-1-2 的身份然后问 LSDB 里有没有某台设备的 LSP、ATT 位置有没有置起来、某个目的网段的 Cost 是多少。这三类问题其实是同一个知识体的三个切面只要把“分级—LSP 传播范围—缺省路由”这条链想清楚题目里的数字就能自己算出来。3.1 邻接关系IS-IS 是“人人互联”OSPF 在广播网里 DRother 之间只维持 2-Way不建立完整邻接IS-IS 没有这个限制同一广播网段上的所有路由器两两建立邻接关系。题库第 19 题就是考这一点R1 是 DISR2、R3、R4 除了和 R1 建邻接外彼此之间也建邻接所以“R2、R3、R4 之间不建立邻接关系”判错。级别匹配是另一半规则Level-1 路由器只和 Level-1、Level-1-2 建立 Level-1 邻接Level-2 路由器只和 Level-2、Level-1-2 建立 Level-2 邻接纯 Level-1 和纯 Level-2 之间不建邻接。所以判断两台设备能不能建邻接看它们的级别集合有没有交集就够了这比看 IP 网段更可靠因为 IS-IS 的邻接建立根本不看接口地址是否同网段点对点链路尤其如此。3.2 ATT 置位的三个条件ATT 位是 IS-IS 里最典型的三条件题。一台路由器要在自己产生的 Level-1 LSP 中把 ATT 置位必须同时满足自身是 Level-1-2 路由器至少有一个 Level-2 邻居LSDB 中存在来自其他区域的 Level-1 LSP。三个条件缺一不可满足后它会向 Level-1 区域下发一条缺省路由默认 cost 10让 L1 路由器能出区域。条件说明常见错误理解自身是 L1-2纯 L1 或纯 L2 都不产生 ATT认为只要收到 L2 路由就置位有 L2 邻居邻居关系必须是 Up把“配置了 L2”当成“有 L2 邻居”收到其他区域的 L1 LSPLSDB 里有别区域的 LSP认为同区域的 LSP 也算要注意 ATT 置在Level-1 的 LSP里不是 Level-2 的。题库第 3 题的正确选项写的是“产生 ATT 置位的 Level-1 的 LSP”另一个选项故意写成 Level-2就是抓这个点。另外第 18 题的陷阱更隐蔽R3 本身就是 Level-1-2 设备它天然就有全网路由所以“R1 配置路由渗透后 R3 才能获知全网路由”这个说法是错的路由渗透服务的是纯 Level-1 设备。3.3 路由渗透与 Cost 计算两道题其实是同一道没做路由渗透时Level-1 路由器只知道本区域的明细路由出区域靠一条指向最近 Level-1-2 设备的缺省路由所以到区域外的目的网段Cost 等于“到 L1-2 的开销 缺省路由自身的开销”。题库第 16 题给出的 30 就是这么来的一跳接口开销 10加上缺省路由的 10再加一段。做了路由渗透之后Level-1 区域内的路由器能看到 Level-2 的明细路由SPF 会按完整拓扑算最短路径这时候的 Cost 可能比走缺省路由更小也可能更大取决于路径长短。题库第 15 题算出 50是因为渗透后走的是另一条两跳路径两段开销相加正好是 50。两道题放在一起看就能明白渗透改变的不是“能不能通”而是“走哪条路”。# 在 Level-1-2 设备上把 Level-2 路由渗透进 Level-1 isis 1 import-route isis level-2 into level-1 filter-policy 2000 export # filter-policy 用来控制哪些 L2 路由可以进入 L1不加则全部渗透 # 控制 ATT 位默认满足条件就置位可手工关闭 isis 1 undo set-overload # set-overload 会让设备置位过载位并影响 ATT 行为排障时先确认是否被打开第一段配置的含义是把 Level-2 的路由引入 Level-1 的 LSDBfilter-policy 2000 export是配套的过滤策略避免把全部明细都灌进 L1 区域造成 LSDB 膨胀。第二段提醒一个排障细节过载位overload会影响设备的转发行为和 ATT 置位判断如果题目里出现“配置了渗透但 Cost 还是按缺省路由算”的情况先检查是不是被过载位挡住了。3.4 DIS 与伪节点从 LSP-ID 看身份IS-IS 的 DIS 和 OSPF 的 DR 有两个本质区别DIS 没有备份挂了立刻重选收敛是秒级DIS 会在广播网段上产生伪节点 LSP代表这个网段的虚拟路由器。判断一台设备是不是 DIS最直接的办法是看它产生的 LSP-ID。LSP-ID 的格式是三段System-ID.伪节点ID.分片号。伪节点 ID 为00表示这是设备自己产生的实节点 LSP非00常见01、02表示这是它作为 DIS 产生的伪节点 LSP。题库第 10 题里输出中的 LSP-ID 伪节点位没有置起来说明这台设备不是 DIS所以“本路由器是 DIS”判错。同一道题还顺带考了 System-ID 和区域号的读法0002.0200.2002是邻居的 System-ID49.0001是本机区域号这几段字符在输出里挨在一起很容易看串行。3.5 接口输出三看Level、Cost、周期display isis interface的输出信息题抓住三个字段就够了。Type字段显示的是接口的 circuit-levelLevel-1、Level-2 或 Level-1-2题库第 17 题就是靠Type判断出接口运行的是 Level-1Cost字段是接口开销默认 10可以手工改Hello 报文的发送周期默认是 10 秒和 OSPF 的 10 秒一致但 IS-IS 的 Hello 有三种类型P2P、L1 LAN、L2 LAN填充字段不同。# 查看 IS-IS 接口的级别、开销和 Hello 参数 display isis interface GigabitEthernet0/0/0 verbose # Type 字段确认 circuit-levelCost 字段确认开销Hello 定时器默认 10s # 查看邻居和 LSDB确认 LSP 的来源与伪节点 display isis peer display isis lsdb # LSP-ID 中第二段非 00 即为伪节点 LSP产生者为 DIS第一段命令里的verbose会展开 Hello 填充字段和优先级判断 DIS 选举时要用。第二段的两条命令配合使用先看邻居级别对不对再看 LSDB 里有没有预期的那条 LSP。题库里“R1 的 LSDB 中不存在 R4 的 LSP”这类判断题答案取决于 LSP 的泛洪范围——纯 Level-1 区域看不到 Level-2 的 LSP这是 IS-IS 分级的直接结果不需要额外记忆。4. BGP 与路由策略从选路顺序到错误输出的四个层次BGP 在题库里的题目跨度很大从状态机顺序、选路规则到团体属性、错误输出解读看起来散其实可以按“会话怎么建起来—路由怎么选出来—属性怎么打标签—出错怎么读日志”四个层次串成一条线。这条线一旦串通BGP 部分基本不会再丢分因为题目无论怎么换落点都在四个层次里。4.1 状态机顺序固定卡在哪层查哪层BGP 邻居建立的状态顺序是 Idle → Connect → Active → OpenSent → OpenConfirm → Established题库第 25 题给的是一组编号让你排序本质上考的就是这条链。要注意 Active 状态听起来像“正在活动”实际上是“正在尝试建立 TCP 连接但失败了在重试”名字和含义反着来这是最容易记错的一个。状态含义卡住时查什么Idle初始状态等待启动事件是否配置了 peer、路由是否可达Connect正在建立 TCP 连接目的端口 179 是否被阻断ActiveTCP 建连失败重试中邻居地址是否正确、IGP 是否可达OpenSent已发出 Open 报文对端 AS 号、Router ID 是否冲突OpenConfirm收到对方 Open等待 Keepalive认证、Hold Time 协商Established邻接建立完成此时才谈得上交换路由4.2 选路AS_Path 排在 MED 前面BGP 选路是题库里的重灾区原因很简单比较项太多而且顺序不像直觉。完整的比较顺序大致是首选值协议私有的 Weight/Preferred-Value、本地优先级 Local_Preference、本地始发的路由、AS_Path 最短、Origin 属性、MED 最小、EBGP 优于 IBGP、IGP 开销最小、Router ID 最小。前面几项里任何一项分出胜负后面的就不再看了。题库第 28 题把 AS_Path 和 MED 放到一起对比正确答案是 AS_Path 短者优先MED 根本没轮到比较。第 37 题单独考 MED说“MED 值高的路由优先”这是错的MED 类似 cost越小越优。这两道题放在一起记忆效率最高先记住 AS_Path 在 MED 之前再记住 MED 是“小优”两条一起记不容易混。注意题库里有题目问“通过路由策略设置 Community 属性是否会影响选路”答案是“可以间接影响”。Community 本身不参与选路比较它的作用类似给路由贴标签贴完之后用路由策略按标签去改 Local_Preference 或 MED才间接影响选路。把 Community 当成选路属性直接比较是典型的概念混淆。4.3 Community四个众所周知的团体属性Community 是可选过渡属性可以跨 AS 传递常见的有四个预定义值考试里反复出现的就是 no-export 和 no-advertise 的区别。团体属性含义传播范围internet可通告给任何 BGP 邻居全网no-export不向 EBGP 邻居通告本 AS 内含联盟内no-advertise不向任何 BGP 邻居通告只留在本地no-export-subconfed不向联盟外部通告本子联盟内题库第 9 题的干扰项就是把 no-export 解释成“不能通告给任何其他 BGP 对等体”真正的含义是“不发给 EBGP 邻居IBGP 邻居照发”。no-advertise 才是彻底不发。这一对概念建议连着背只背一个很容易在选项里被绕进去。# 用路由策略给路由打 Community 标签再按标签做后续处理 route-policy TAG-100 permit node 10 apply community no-export # 该策略给匹配的路由打上 no-export使其不出本 AS route-policy SET-LP permit node 10 if-match community-filter 1 apply local-preference 200 # 按团体属性过滤器匹配命中后抬高 Local_Preference 间接影响选路 bgp 100 peer 10.1.1.2 route-policy TAG-100 export peer 10.1.1.2 route-policy SET-LP import这段配置演示了 Community 的完整用法前半段在出方向上给路由打标签后半段在入方向上按标签匹配并修改本地优先级。apply community no-export只是打标不改选路真正影响选路的是apply local-preference 200这也解释了题库第 31 题为什么说“可以间接影响”。参数上要注意community-filter需要提前用ip community-filter定义编号和匹配模式basic/advanced要对应。4.4 错误输出四个字段读一遍就能定位display bgp error的输出固定包含四个字段Error Type、Date/Time、PeerAddress、ErrorInfo。题库里出现过的两种错误读法完全一样区别只在 ErrorInfo 的内容。第 29 题的 ErrorInfo 是Router-id conflict说明两端 Router ID 撞了所以“对等体 AS 号写错”是干扰项第 23 题的 Error Type 显示是邻居关系类错误PeerAddress 给出对端地址Date/Time 给出精确到秒的时间。这类题的通用解法是先把 ErrorInfo 当成唯一判据其它选项里凡是和 ErrorInfo 对不上的描述一律排除不要被“可能是……”这种模糊表述带跑。还有一个容易被忽略的默认行为BGP 邻居的入口路由策略改变后设备默认不会自动向邻居发送 Refresh 请求重新要一遍路由需要手工配置或手工执行刷新。题库第 36 题把这个默认行为写成“会自动发送”判错。这条在实际排障里很关键改完策略发现路由没变化先想想是不是忘了刷新。4.5 PBR 与协议优先级两个“看起来像路由其实不是”的东西策略路由 PBR 的匹配条件可以基于 ACL源地址、目的地址、协议、端口和报文长度但不能基于源 MAC 地址题库第 33 题考的就是这个边界。PBR 的优先级高于路由表命中的报文按策略指定的下一跳转发不查路由表所以配置错误会导致“路由表里明明有路流量却不通”这是实际环境里非常典型的一类翻车。路由协议优先级preference的作用范围也要区分清楚它只在“同一个目的网段被不同协议同时学到”时才起作用数值小的优先。题库第 48 题说“路由协议优先级的作用是给同一目的路由提供一个选择的优先顺序”判为正确。注意它和 BGP 选路里的 Local_Preference 完全不是一回事前者跨协议后者协议内名字像但层级不同。5. 交换与安全端口角色、会话表与组播判读交换和安全这一块题库的出题密度不如路由但胜在题型固定给一张拓扑问端口角色给一个报文问防火墙转不转发给一段输出问哪个字段代表什么。这类题的复习方法不是背协议而是把每种机制的“判据字段”记住看到题就能定位到输出里的哪一行。5.1 RSTPAlternate 端口为什么能直接转发RSTP 相比 STP 最大的改进是引入了边缘端口和 P/AProposal/Agreement机制收敛从秒级降到毫秒级。题库第 24 题给了一个经典场景SWC 的根端口故障问网络怎么恢复。正确答案是预备端口Alternate成为新的根端口并直接进入 Forwarding不需要经过 Learning。能直接转发的原因是 Alternate 端口平时就在监听 BPDU、并且已经完成了同步它保存着到根的一条备份路径切换时不需要重新学习 MAC。这一点和 STP 的 Blocking 端口不同STP 的阻塞端口要先经历 Listening、Learning 才转发所以这类题只要看到“RSTP”和“直接进入 Forwarding”基本就是正确方向。拓扑变化时的处理也有讲究RSTP 收到 TC-BPDU 后不是清空整张 MAC 表而是做部分删除而且接收 TC-BPDU 的接口和边缘端口上的表项不动。题库第 41 题的正确选项就落在这个“部分删除”上选项里“删除整个 MAC 地址表”是 STP 时代的老做法拿来当干扰项。5.2 MSTP六种端口角色别把 Backup 和 Alternate 弄反MSTP 的端口角色比 RSTP 多考试常考的是四种根端口、指定端口、Alternate根端口的备份、Backup指定端口的备份。此外还有 Master 端口域边缘指向总根的方向和域边缘端口连接其他 MST 域或单生成树区域。题库第 43 题的选项把 Backup 描述成“作为根端口的备份”这是错的Backup 备份的是指定端口DPAlternate 才备份根端口。这一对概念混淆率极高建议用一句话记Alternate 对 RPBackup 对 DP字母顺序上 A 在 B 前RP 在 DP 前两组一一对应。TC 保护是另一个考点。启用后可以防止攻击者伪造拓扑变化 BPDU 频繁刷新 MAC 和 ARP 表项单位时间内处理的 TC 报文次数可配置默认单位时间 2 秒、处理 1 次。题库第 42 题说“缺省情况下 TC 保护功能处于未使能状态”判错因为默认是开启的。这个默认值和大多数人的直觉相反属于必须硬记的点。端口角色备份对象典型位置根端口 RP无本身是到根的最优口非根桥指定端口 DP无本身是网段转发口根桥或上游桥Alternate根端口 RP非根桥Backup指定端口 DP同一台桥的两个口接同一网段Master域内到总根的方向口MST 域边界域边缘端口连接其他域或 STP 区域MST 域边界5.3 状态检测防火墙会话表才是最终裁判状态检测防火墙判断一个报文转不转发靠的不是逐包匹配安全策略而是先查会话表。首包到达时匹配安全策略命中就建会话后续报文只要五元组能对上会话就直接放行不再查策略。这个机制决定了题库里那几道“这个报文会不会被转发”的题判断依据其实是“这个报文能不能对上一条已有会话”。题库第 26 题给的是一个顺序错乱的三次握手第 27 题给的是一个 SYN 位置异常的报文两题的答案都是不转发。原因在于会话表对 TCP 状态有跟踪只有 SYN、SYN-ACK、ACK 依次到达才会建立并推进会话状态重复的 SYN 或者错序的 ACK 会被视为异常丢弃。默认策略这一块也要分清只有报文没有匹配上任何一条安全策略时才会落到默认策略上而默认策略的动作通常是拒绝。所以“报文会匹配默认策略”这种描述前提是它确实没命中任何规则如果题目的输出能明确看出源目 IP 和源目区域都命中了某条规则那就不该往默认策略上想。IPsec 封装识别是另一类小题。AH 的 IP 协议号是 51ESP 是 50看到协议号 51 只能说明 IP 头后面跟的是 AH 头不能推出“这个报文只有 AH 封装”或者“数据部分被加密了”——AH 本身不加密只做完整性校验加密要看 ESP。题库第 12 题的错误选项就是在这两个“不能推”上做文章。5.4 端口隔离与链路聚合边界条件最容易被忽略端口隔离考的是编号范围和方向性。隔离组编号是 1 到 64不是 0 到 63题库第 40 题就栽在这个偏移上。隔离支持单向配置在接口 A 上配置与 B 隔离A 发出的报文到不了 B但 B 发出的报文可以到 A隔离模式可以配成二层三层都隔离也可以配成二层隔离三层互通。这些细节看着琐碎但每一条都能单独出一道判断。链路聚合的考点集中在成员口的状态上。LACP 模式下可以配置最大活跃链路数超过这个数量的成员口会处于非活跃状态只做备份不转发所以“链路聚合只存在活动接口”是错的。另一条常考的是聚合组的带宽和可靠性收益以及成员口的速率、双工、VLAN 配置必须一致不一致的成员口无法加入聚合组。5.5 组播与地址类判读三个组播地址各管什么组播在题库里只占几道题但地址必须记准224.0.0.5 是 AllSPFRouters224.0.0.6 是 AllDRouters224.0.0.13 是 AllPIMRouters。PIM 的 Hello 报文发往 224.0.0.13题库第 46 题把选项写成 224.0.0.5一眼就能排掉。Hello 报文的作用包括发现邻居、维护邻居关系、在广播网段选举 DR三件事都靠它。display igmp group的输出题要看清每一列的含义。接口上动态加入的组播组数量、组地址、成员成员主机地址是三个不同的字段题库第 20 题把“最后发送 Report 消息的主机”这个字段错认成组播地址实际上那一列给的是主机 IP组播地址在另一列。这类题不需要理解 IGMP 版本差异只需要认字段。IPv6 地址类型也是同类判读题。FE80 开头是链路本地地址只在本地链路有效不能跨网段通信FD00 开头是唯一本地地址相当于 IPv4 的私有地址不能在公网上路由2001 开头是全球单播。题库第 2 题就是靠“两台 PC 在不同网段、中间经过 Internet”这个条件排掉了 FE80 和 FD00落到全球单播地址上。ACL 的输出判读同理。规则从上到下匹配第一条命中就停止所以源地址落在哪条规则的范围里要看规则的地址通配符而不是看规则编号的大小。题库第 4 题的三个错误选项全都是把源地址和规则的匹配范围对错了位。6. 易错点五类最容易翻车的判断陷阱题库刷到第二遍会发现错题高度集中在几个固定位置而且这些位置的共同特征是“看起来会选起来错”。下面五条是梳理下来最容易反复栽跟头的地方每条都按“易漏点—为什么漏—怎么补”拆开。第一类把 OSPF 进程号当成必须一致的参数。漏的原因很直接同一台设备上配了两个进程直觉上会觉得两端也得对上号加上题目故意把“进程号不一致”和“网络类型不一致”放在一起当选项选错的概率就很高。补的办法是把进程号归到“本地参数”这一栏和 Router ID、接口 IP 放在一起凡是链路上会传的区域、认证、网络类型、定时器才需要两端一致。做题时先问一句“这个参数进不进 Hello 报文”答案基本就出来了。第二类IS-IS 的 ATT 位方向和范围搞混。常见错法是认为 ATT 置在 Level-2 的 LSP 里或者认为只要自己是 Level-1-2 就一定置位。漏的原因是三个条件平时被简写成“L1-2 设备置 ATT”中间的“有 L2 邻居”和“收到其他区域的 L1 LSP”被省略了。补的办法是把三个条件写成检查清单做题时逐条对拓扑图打勾同时记住 ATT 只出现在 Level-1 的 LSP 里向 L1 区域下发缺省路由。第三类BGP 的 no-export 和 no-advertise 用混。两个词都带 no都表示“不发布”区别只在范围no-export 不发给 EBGP 邻居IBGP 邻居照发no-advertise 谁都不发。漏的原因是记忆时只记了“不发布”这层意思没记边界。补的办法是记传播范围而不是记字面把 no-export 理解为“出 AS 就停”把 no-advertise 理解为“出门就停”。第四类RSTP 的 Alternate 和 MSTP 的 Backup 对应错。两个角色都叫“备份”但备份对象不同Alternate 备份根端口Backup 备份指定端口。漏的原因是两个词在日常语境里几乎同义做题时凭语感选。补的办法是用字母顺序绑定A 对 RP、B 对 DP两组同时保持字母先后形成固定映射后再做题就不会犹豫。第五类状态检测防火墙的转发判断凭“看起来合理”。这类题的输出往往给一个 TCP 报文头选项描述的是“符合会话状态所以转发”或者“三次握手正常所以转发”凭感觉很容易选反。漏的原因是忽视了会话表对握手顺序的严格跟踪。补的办法是拿到题先画一遍三次握手的序列号与标志位顺序不对、标志位重复的一律判不转发再去看选项。提示这五类错题的共同点是“概念都听过边界没记牢”。整理错题时不要只抄正确答案把错误选项为什么错写一行比抄十遍正确答案有用。7. 复习清单把题库用成诊断工具的四步法这份题库最容易犯的使用错误是从第一题顺着刷到第五十题刷完记住了一堆答案换个问法照样不会。更有效的做法是把它当成一台诊断仪按模块拆开用。第一步按模块分组刷不要按题号顺序刷。把 OSPF、IS-IS、BGP、交换、安全分成五摞一摞一次刷完。同一模块的题目连着做重复出现的判据会自己浮出来比如 IS-IS 那一摞刷完ATT 三个条件基本就刻进去了。第二步每道题做完后补一句“这题考的是哪个字段”。比如“考的是 display ospf interface 里的 Type 字段”“考的是 LSP-ID 第二段是不是 00”。补不出这句话说明这题是蒙对的标记出来本文还有配套的精品资源点击获取