计算机网络管理员技师复习：VLAN/STP/ACL/路由与子网计算高频考点精析

简介：计算机网络管理员技师理论复习资料（附答案）.pdf是一套围绕计算机网络管理员技师考试理论环节编写的PDF复习资料，主要面向准备参加技师等级考试或需要系统梳理网络管理基础知识的工程技术人员。文档以单选题形式组织，考点覆盖全面：包含Windows下用于路由追踪的命令Tracert、IEEE 802.1q标准VLAN封装、STP生成树协议端口状态迁移顺序、有类路由协议在路由更新中不携带掩码的特点、RIP与OSPF协议各自的管理距离、Telnet及HTTP的默认端口号、ARP协议从IP地址解析MAC地址的工作原理，以及IP子网划分、广播域与冲突域数量计算；同时还涉及路由器静态路由配置、路由表命令、RIPv2配置、访问控制列表ACL的过滤功能和阻断Telnet访问等实操题目。各考点按题目编排便于自测，题干后的解析直接指出正确选项及原因，适合考前集中记忆与查漏补缺。资源包共包含1个PDF文档，整体大小仅为925KB，轻量方便，适合在手机或电脑上反复刷题、拆分练习；目前已有114人学习下载，既可作为考前突击材料，也适合网络管理员岗位技能自查与培训备课参考。

1. 技师理论考试里最容易翻车的，不是配置题而是记忆题

这份《计算机网络管理员技师理论复习资料(附答案).pdf》我考前完整拆过一遍，它不像普通题库，更像一份“历年易错点集锦”。里面反复出现的考点很集中：路由追踪命令、VLAN 封装标准、STP 端口状态顺序、RIP/OSPF 管理距离、常用 TCP/UDP 端口号，以及子网与广播地址的计算。真正坑人的不是配置大题，而是那些看着眼熟、一选就错的记忆题——同一道“ARP 的作用”在单选里出现了两次，子网计算题的干扰项还专门按错误掩码算出“自洽”的答案。准备技师等级考试的考生、刚转网络运维想补理论的从业者，都能拿这份 pdf 当刷题清单用，省去自己到处翻资料的功夫。

2. 交换机与 VLAN 考点：从 802.1q 到 STP 端口状态顺序的一次理顺

2.1 VLAN 封装与模式：为什么 802.1q 是必选答案

题库里有一道很典型的题：VLAN 的封装类型中属于 IEEE 标准的是哪个？选项里有 ISL、802.1d、802.1q、hdlc、802.1x，答案是 C。

这道题的坑在于 ISL 是 Cisco 私有协议，虽然真实网络里老设备上还能见到，但考试认的是标准。802.1q 在以太网帧里插入一个 4 字节的 Tag 字段，用来标记 VLAN ID，这样一条物理链路就能承载多个 VLAN 的流量，不同交换机之间用 Trunk 口对接时靠这个 Tag 区分数据属于哪个 VLAN。补充一个配套考点：802.1Q 协议支持的最大 VLAN 个数是 4094。多选里也考过“常见的生成树协议有哪些”，答案是 STP、RSTP、MSTP，这个表可以一起记：

有人会问：多选里考 RSTP 的稳定端口状态，答案为什么是 alternate 和 backup？因为 RSTP 把端口角色分成了根端口、指定端口、alternate 和 backup，其中 alternate 是根端口的备份，backup 是指定端口的备份，它们都处于 Discarding 状态。这个考点属于“概念题”，不用背原理，记住 RSTP 只有三种端口状态——Forwarding、Learning、Discarding，多选题就不会被 Listening、Blocking 这种老 STP 词汇带偏。

2.2 STP 状态机：Blocking→Listening→Learning→Forwarding

STP 端口状态变化顺序是单选题里的高频题，原题的四个选项把 Blocking、Listening、Learning、Forwarding 四个状态打乱排列，答案必须是 C：Blocking → Listening → Learning → Forwarding。

为什么是这个顺序？可以这样理解：端口一开始不能转发任何数据，处于 Blocking 状态；接着进入 Listening，此时只监听 BPDU 不学地址，相当于“听广播”；然后进入 Learning，开始学习 MAC 地址但仍然不转发数据；最后才是 Forwarding，正常收发帧。Disable 状态是管理员手动 shutdown 的结果，不算在正常变化序列里。这里面最容易记混的是 Listening 和 Learning 谁在前，我的办法是记英文首字母：B → L → L → F，第二个 L 是 listen（听），第三个 L 是 learn（学），先听后学，跟人的认知顺序一致。

顺带把“STP 根桥选举”也理一下。网桥 ID 由优先级和 MAC 地址两部分组成，优先级默认是 32768，值越小越优先。多选里考过“网桥 ID 包括哪些组成部分”，答案里要排除“IP 地址”，选 MAC 地址和优先级。根桥选举先比优先级，再比 MAC 地址小者优先。这些点单独看都不难，但混在一起就容易丢分。

2.3 交换机基础配置命令：VLAN 创建、Trunk 与 access 完整流程

综合题里给了一个很完整的 VLAN 配置流程，直接把答案拼起来就是一段可用的交换机配置。下面这段是思科风格命令，锐捷 S3760 这类国产三层交换机也兼容：

Switch> enable Switch# config terminal Switch(config)# vlan 2 Switch(config-vlan)# name v2 Switch(config-vlan)# exit Switch(config)# interface fastEthernet 0/6 Switch(config-if)# switchport mode access Switch(config-if)# switchport access vlan 2 Switch(config-if)# exit Switch(config)# interface gigabitEthernet 0/1 Switch(config-if)# switchport mode trunk Switch(config-if)# exit

逻辑说明：vlan 2创建 VLAN 2，name v2给它命名，这一步对应综合题里“创建一个名字为 v2 的虚拟局域网”的空格；switchport mode access把端口 6 设为 access 模式，switchport access vlan 2把这个端口划入 VLAN 2，对应“将 Switch1 的端口 6 划入 v2”那道题；switchport mode trunk把千兆口设成 Trunk 口，允许所有 VLAN 通过，对应“使 Switch1 的千兆端口允许所有 VLAN 通过”。

参数说明：access 模式端口只能属于一个 VLAN，用来接终端设备；trunk 模式端口默认放行所有 VLAN，用来接另一台交换机或者路由器子接口。题目还问过“如果交换机没有千兆端口能不能实现 VLAN Trunk”，答案是能，百兆口同样可以配置为 trunk 口，Trunk 功能跟端口速率无关。

还有一个默认行为很容易忽略：VLAN 1 不需要手动创建，新交换机所有端口默认属于 VLAN 1。题目问“VLAN 1 是否需要通过命令创建”，答案是不需要，系统自动生成。如果用户物理位置经常移动，划分 VLAN 要采用基于 MAC 地址的方式，因为 MAC 跟着主机走，端口划分则跟着物理位置走——综合题最后一问考的就是这个区别。

3. 路由协议与子网计算：管理距离、跳数上限和块大小法

3.1 管理距离与路由协议选路：三张表背熟就不会乱

管理距离（AD）是路由器衡量路由来源可信度的数值，越小越优先。这份资料里考到了三个关键值：OSPF 的管理距离是 110，RIP 的管理距离是 120，静态路由默认是 1。多选题里还补充了 EIGRP——虽然这份资料没有直接考 EIGRP 的 AD，但多选里出现“说出两个距离向量路由协议”，答案里有 IGRP 和 EIGRP，说明出题范围是覆盖它的。完整优先级表如下：

记忆技巧：静态路由 1 是“第一名”，EIGRP 90 是“九十年代的老思科”，OSPF 110 跟报警电话 110 绑定，RIP 120 是“一二零急救车，跑得最慢”。这个口诀对做单选和多选都够用。RIP 和 OSPF 的区别也要能说清楚：RIP 基于距离向量算法，OSPF 基于链路状态算法；RIP 最大跳数 15，第 16 跳不可达；RIP 每 30 秒发送一次路由更新，使用 UDP 520 端口；OSPF 没有跳数限制，收敛速度远快于 RIP。

3.2 RIPv1 与 RIPv2：有类与无类的分水岭

题库里有一道“有类路由协议”的单选题，正确表述是：有类路由协议在路由更新中不包含掩码信息。这就是 RIPv1 和 IGRP 的做法——它们发送更新时只带网络号，不带子网掩码，所以无法支持 VLSM（变长子网掩码）。而 RIPv2 和 OSPF 在路由更新中携带掩码，支持 VLSM 和路由聚合。

多选里考过“相对于 RIP ver1，RIP ver2 增加了哪些新特性”，正确选项是：提供组播路由更新、支持变长子网掩码、安全授权。这里的安全授权指的是 RIPv2 支持明文密码和 MD5 认证，RIPv1 完全没有认证机制。还有一道多选题问“哪些协议支持 VLSM”，答案是 RIPv2 和 OSPF，RIPv1 和 IGRP 不选。

配套命令有两个：在路由器上配置 RIP 版本 2 用version 2；关闭 RIP 自动汇总用no auto-summary。为什么 RIPv2 默认开启自动汇总还得专门关闭？因为自动汇总会把子网路由聚合成主类网络，在非连续子网环境下会导致路由错误。实际配置中，如果路由器接口地址是 172.16.10.0/24 和 172.16.20.0/24，RIPv2 默认把它们汇总成 172.16.0.0/16 发给邻居，如果中间隔着别的网段就会出问题，所以要在进程下执行no auto-summary让明细路由正常通告。

3.3 子网计算：用块大小法秒杀网段与广播地址

子网计算题是这份资料里分值最实在的部分。看这道经典题：

IP 地址 172.16.10.17，掩码 255.255.255.252，求网段地址和广播地址。

网段地址是 172.16.10.16，广播地址是 172.16.10.19，答案是 C。很多人第一眼会算错，因为 255.255.255.252 换算成前缀是 /30，块大小是 256 - 252 = 4，所以第四段按 0、4、8、12、16、20 划分，17 落在 16 ~ 19 这个块里。网段取块首 16，广播取块尾 19，可用主机地址只有 17 和 18 两个。

同样的方法可以套到其他题上。255.255.255.224 的块大小是 256 - 224 = 32，所以某题里 192.168.10.76/27 的网段是 192.168.10.64，广播是 .95，可用地址是 .65 到 .94——多选题里“哪些地址可以分配给主机”答案就是 .65 和 .94，不选 .64（网段）和 .95（广播）。255.255.255.192 的块大小是 64，主机位是 6 位，可用主机数 2^6 - 2 = 62；255.255.255.128 的块大小是 128，主机位 7 位，可用主机数 2^7 - 2 = 126，这正好对应资料里两道“最多可以容纳多少个主机”的答案。

这套算法每次都要手算还是容易出错，我习惯写个小脚本批量自检，考试前把自己常错的题全部跑一遍：

import ipaddress def calc(ip_str, mask_str): ip = ipaddress.IPv4Address(ip_str) mask = ipaddress.IPv4Address(mask_str) network_int = int(ip) & int(mask) prefix = mask.max_prefixlen - int(mask).bit_count() # 实际上直接用 ipaddress 更稳 net = ipaddress.IPv4Network(f"{ip}/{netmask_to_prefix(mask_str)}", strict=False) return str(net.network_address), str(net.broadcast_address), list(net.hosts())[0], list(net.hosts())[-1] def netmask_to_prefix(mask_str): return ipaddress.IPv4Network(f"0.0.0.0/{ipaddress.IPv4Address(mask_str)}").prefixlen # 简化写法 print(calc("172.16.10.17", "255.255.255.252"))

参数说明：calc接收 IP 和掩码字符串，返回网段、广播、首末可用地址。脚本里把掩码转成前缀长度，再用ipaddress.IPv4Network自动完成计算。实际用的时候不需要背代码，理解原理后手算更快——考试不让你开电脑，块大小法才是考场上唯一可靠的武器。

逻辑说明：这条命令的核心逻辑是先用ipaddress.IPv4Address(mask_str)生成掩码对象，再通过.netmask属性拿到前缀长度，IPv4Network(..., strict=False)会自动忽略主机位。输出里network_address是网段，broadcast_address是广播地址。平时刷题时用来校验自己手算的答案很顺手。

4. ACL 访问列表：从编号规则到实际配置一条不落地对一遍

4.1 标准与扩展 ACL：编号范围决定了你能写什么

资料里考了两道非常基础的编号题：标准访问控制列表的编号范围是 1~99，扩展访问控制列表的范围是 100~199。这个范围不是随便定的，Cisco IOS 在解析access-list命令时会根据编号决定语法解析器——编号 1~99 走标准 ACL 解析器，只能匹配源地址；编号 100~199 走扩展 ACL 解析器，可以匹配源地址、目的地址、协议和端口。

实际考试里最容易出的组合题是这样的：给定一个需求“禁止所有 Telnet 访问子网 10.10.1.0/24”，正确答案是：

access-list 115 deny tcp any 10.10.1.0 0.0.0.255 eq 23

为什么必须写成这样？因为 Telnet 使用 TCP 端口 23，标准 ACL 只能按源地址过滤，写不了“目的端口 eq 23”，所以必须用扩展 ACL。注意这里的关键字顺序不能变：先是协议tcp，再是源any，然后是目的10.10.1.0 0.0.0.255，最后是eq 23。题目里有个干扰项把协议写成了udp，这是故意挖坑——Telnet 是 TCP 协议，用 UDP 匹配永远拒绝不到它。

4.2 通配符掩码和隐藏的默认规则

ACL 里的0.0.0.255是通配符掩码（wildcard mask），不是子网掩码。它的规则是：0 表示对应位必须精确匹配，1 表示对应位可以任意。所以10.10.1.0 0.0.0.255匹配的是 10.10.1.0 ~ 10.10.1.255 整个 C 段。如果要匹配所有源自 B 类地址 172.16.0.0 的数据包，通配符是0.0.255.255，不是255.255.0.0——这是多选题里考过的一个点，很多人把通配符和子网掩码搞混。

ACL 还有一个隐藏规则，几乎所有资料都会考：每条 ACL 末尾都有一条隐式的deny ip any any。所以像access-list 101 permit tcp 192.168.1.0 0.0.0.255 host 10.0.0.1 eq ftp这种配置，如果只写了这一条，其他所有流量都会被拒绝。实际配置里经常需要在最后补一条permit ip any any或者permit any，否则会把自己也拦在门外。资料里那道“配置了访问列表之后，最后缺省的规则是什么”的题，答案就是“拒绝所有数据报通过”。

4.3 把 ACL 绑到接口：in 和 out 的方向语义

ACL 配置好之后必须应用到接口上才生效，命令是：

Router(config)# access-list 101 permit tcp any 192.168.1.0 0.0.0.255 eq 80 Router(config)# interface gigabitEthernet 0/0 Router(config-if)# ip access-group 101 in

这里的in表示对从该接口进入路由器的流量生效，out表示对从该接口出去的流量生效。资料里那道ip access-group {number} in的单选题，问这句话表示什么意思，正确答案是“指定接口上使其对输入该接口的数据流进行接入控制”。注意in是从路由器接口视角看的——数据从外部网络进入这个接口就算 in，这个方向判断题在实验考试里经常搞反。查看接口上应用了哪些 ACL，用show ip access-list或show ip interface。

标准 ACL 放在离目的近的地方，扩展 ACL 放在离源近的地方。因为标准 ACL 只匹配源地址，放得太近会把中间链路上的其他主机也拦掉。

5. 避坑笔记：五条高频错题的翻车现场与修复办法

5.1 管理距离记串：EIGRP、OSPF、RIP 三个数总打架

现象：把 OSPF 的管理距离答成 90，或者把 RIP 答成 110，单选题直接扣分。

原因：三个数值太接近，90、110、120 之间没有明显的记忆锚点，死记硬背容易串。

解决：用口诀“EIGRP 九十是老思科，OSPF 一百一像报警，RIP 一百二最不靠谱”。做题时先看协议再对数值：出现 EIGRP 选 90，出现 OSPF 选 110，出现 RIP 选 120，静态路由永远是 1，直连路由永远是最优。多选里如果同时出现 OSPF 和 RIP，就两行一起写出来对照。

5.2 掩码看成 /29：子网计算翻车实录

现象：172.16.10.17 255.255.255.252 这道题，选了 D 选项 172.16.10.8/172.16.10.23。

原因：172.16.10.17 这个地址看起来像 /29 的块（块大小 8），于是按 8、16、24 分段，算出网段 .8、广播 .23。但题目给的是 255.255.255.252，块大小是 4 不是 8，正确答案是网段 .16、广播 .19。这是我实际刷题时亲眼见过的错误——干扰项就是按错误掩码设计出来的。

解决：拿到题先算块大小：256 减去掩码最后一个非 255 的段。252 → 4，224 → 32，192 → 64，128 → 128。然后把 IP 地址最后一位除以块大小取整再乘以块大小，得到的就是网段地址；网段地址加块大小再减 1，就是广播地址。所有这类计算题都走这个流程，别跳步。我后来给自己定了个规矩：子网计算题永远先写块大小，再写网段，最后写广播，顺序错误宁可重算一遍。

5.3 STP 端口状态顺序：Listening 和 Learning 谁在前

现象：把 Blocking → Learning → Listening → Forwarding 当成正确答案选上。

原因：两个 L 开头的状态容易混，没搞清楚每个状态实际干什么。

解决：用“先听再学”的语义记忆——Listening 是监听 BPDU，Learning 是学习 MAC 地址，顺序不能换。做题时先排除掉包含 Disable 的选项，再检查两个 L 的顺序。这个点在多选题里也出现过，RSTP 的 Discarding 状态下包含哪些端口角色，答案是 alternate 和 backup，这两类端口同样处于不转发的状态。

5.4 ACL 拒绝 Telnet 却写成 UDP

现象：需求是“禁止所有 Telnet 访问 10.10.1.0/24”，有人选了access-list 115 deny udp any 10.10.1.0 0.0.0.255 eq 23这个选项。

原因：只记得端口号 23，忘了 Telnet 是 TCP 协议。23 端口同时还有别的服务，但考试里问 Telnet 必然对应 TCP。

解决：看到“eq telnet”或“eq 23”先判断协议。常用端口协议表要背牢：FTP 是 20/21 TCP，Telnet 是 23 TCP，SMTP 是 25 TCP，HTTP 是 80 TCP，POP3 是 110 TCP，RIP 更新走 UDP 520。资料里考了 SMTP 端口 25、HTTP 端口 80、FTP 端口 20/21、Telnet 端口 23，全都在这个表里。ACL 题只要协议写错，整个答案就是错的。

5.5 telnet 登录交换机报 Password required, but none set

现象：telnet 能连上交换机，但提示“Password required, but none set”，进不了配置模式。

原因：设备上没配置 vty 密码。很多人以为是硬件问题或网段不通，其实就一句话：远程登录密码未设置。

解决：在设备上执行line vty 0 4，然后配置password和login，最后transport input telnet或transport input all允许 Telnet 接入。这道题的知识点也可以反着考：如果交换机要求 Telnet 密码，但一直提示密码错误，优先检查 vty 线路有没有配置login local而不是直接怀疑密码本身。考试里问“可能的原因”，选的永远是“远程登陆密码未设置”这个最直接的结论。这份 pdf 是文字版内容，命令细节都保留得很完整，比扫描版转出来的资料省心——扫描件经常把no shutdown识别成别的字，背错了反而误事。

6. 用 Packet Tracer 把理论题跑一遍：验证命令与 debug 习惯

6.1 一个两路由器拓扑把静态路由和 RIP 都验一遍

理论题光背不练，到实验环境还是会手生。我复习时用的方法是把资料里的拓扑题搬进 Packet Tracer，照着原题配置一遍再验证：

# R1 配置 Router> enable Router# config terminal Router(config)# hostname R1 R1(config)# interface e0 R1(config-if)# ip address 192.168.1.2 255.255.255.0 R1(config-if)# no shutdown R1(config-if)# interface s0 R1(config-if)# ip address 192.168.2.1 255.255.255.0 R1(config-if)# clock rate 56000 R1(config-if)# no shutdown R1(config)# ip route 0.0.0.0 0.0.0.0 192.168.2.2

逻辑说明：clock rate 56000只在 DCE 端配置，模拟器里不配这条 Serial 口起不来；ip route 0.0.0.0 0.0.0.0 192.168.2.2是默认路由，把去往未知网段的流量全部交给下一跳 R2。配完用show ip route查看路由表，能看到一条S*开头的默认路由条目。

验证命令要跟题目一一对应：题目问“如何跟踪 RIP 路由更新”，答案是debug ip rip，不是show ip route。show ip route只能看到最终路由表，看不到更新过程。在模拟器里执行debug ip rip后，能看到路由器周期性发送和接收更新的日志，RIP 每 30 秒一次，日志里会显示版本、跳数和接口信息，对照资料里的理论知识完全对得上。

6.2 debug 命令的使用边界

debug ip rip在真实设备上有代价——它会占用 CPU 资源，在高负载路由器上执行会肉眼可见地卡顿甚至丢包。我在实验环境验证完后一定会执行undebug all关闭，这是一个必须养成的习惯。从那以后我每次远程维护路由器，凡是开了 debug 一定会盯着控制台看几条日志再立刻关掉，绝不把 debug 长时间挂在后台。

这套题里还有一个验证技巧：标准 ACL 和扩展 ACL 的编号规则可以用show access-list验证。配置一条access-list 10 permit 192.168.10.23后，查看输出能看到协议是IP，匹配条件是源地址；再看一条access-list 101 permit tcp，输出里会有协议的细分字段。这个现象正好解释为什么标准列表不能写端口号——它的协议字段固定是 IP，没有 TCP/UDP 子选项。

把理论题跑成实验命令的习惯，让我考前一周把所有易错点都过了一遍，真正上考场时看到那些“名字眼熟但记不准”的选项，脑子里浮现的是路由器上跑出来的日志，而不是孤立的答案。希望帮到你。

本文还有配套的精品资源，点击获取