HCIP-Datacom 821题库解析：路由交换与安全易错点

简介：面向准备HCIP-Datacom 821认证考试的网络工程师与在校考生，这份PDF题库以单选题为主，覆盖路由交换、IPv6、WLAN、安全与组播等考试常见模块，适合已进入总复习阶段、希望用题目检验知识覆盖面的考生。题目配有答案和简要解析，涉及OSPF邻接关系与区域匹配、IPv6全球单播地址规划、IS-IS的ATT置位与LSP判断、ACL规则匹配顺序、三层漫游流量走向、STP端口角色、BGP团体属性、防火墙安全策略匹配、IPsec AH/ESP协议号以及PIM-SM的DR判断等知识点；题干多结合拓扑或设备输出信息，解析侧重从显示字段中找依据，便于刷题时定位薄弱环节并理解排错思路。压缩包内共1个PDF文件，约7.87MB，内容集中，适合按章节连续练习或考前快速翻阅。页面显示已有535人学习，作者说明题库覆盖率约八成且本人已通过考试，可作为冲刺阶段的辅助复习材料。

1. 知识地图：五十道单选里藏着的五个模块

HCIP-Datacom 821 这份题库，题量在五十道上下的单选题，几乎每道都带一张拓扑图或者一段设备命令输出，整体骨架很清楚：路由协议占绝对大头，OSPF、IS-IS、BGP 三个协议轮番上阵，中间夹着路由策略、组播和 IPv6；交换部分集中在 RSTP 与 MSTP 的端口角色、拓扑变化和 TC 保护；安全只考状态检测防火墙的转发判断和一点点 IPsec 封装识别。它反直觉的地方在于，几乎不问“OSPF 有几种报文”这类纯概念，而是甩一段 display 输出让你判断邻居为什么起不来、这条路由为什么最优、这个端口为什么能直接转发。

它考的是“读符号”的能力：把命令行输出翻译成设备状态，再把状态翻译成原因。理论课过了一遍、手里有模拟器、准备做最后查漏的人最合适；零基础直接刷会很痛苦，因为每道题的解析都默认你认识 LSA 类型、知道 ATT 位置是什么、背得出 BGP 状态机。反过来说，如果你能把题里的每张图都还原成一段配置，这五十道题就是一张能随身带的网络知识地图。

2. OSPF 与 IS-IS：链路状态协议的六个判断依据

链路状态协议这一块，题库里的题目几乎都不是直接问你定义，而是给你一段邻居状态或者 LSDB 输出，让你倒推原因。这类题的共同套路是：状态卡在哪一个阶段，问题就出在那一阶段对应的字段上。所以复习的重点不是背协议流程，而是把“现象—判据—原因”这三段串起来，做到看到Init就知道往 Hello 报文里找，看到ExStart就去量 MTU。

2.1 邻居起不来，先看哪几个字段

OSPF 邻居建立会依次经过 Down、Init、2-Way、ExStart、Exchange、Loading、Full，每一步卡住对应的原因基本是固定的。题库里出现频率最高的是区域号不匹配和网络类型不一致两种，前一种连 Init 都进不去，后一种能建邻居但算不出路由。

表格里第一条最值得深挖。Hello 报文头部带 Area ID，两边区域号对不上，报文直接丢弃，连邻居列表都不会维护，所以现象是“一直起不来”而不是“起来了又断”。题库第一题给的就是这个场景：输出里能直接看到两端的区域号不同，答案落在区域号码不匹配上，而不是进程号。

进程号是最容易记反的一处。OSPF 进程号是本地有效的，不会写进任何报文，同一台设备上两个进程互不影响，两台设备进程号不同照样能建邻居。题库第 6 题把“进程号不一致”设计成干扰项，真正的原因是接口网络类型一个是 Broadcast、一个是 P2P，两边能建立邻接关系，但 LSDB 里对同一条链路的描述不一样，SPF 计算出来的图对不上，所以无法完成路由计算。这类题的正确态度是：先排除“本地参数”类选项（进程号、Router ID 归属），再去看“链路上会传递的参数”（区域、认证、网络类型、MTU）。

# 查看接口上的 OSPF 关键参数：区域、网络类型、DR、定时器 display ospf interface GigabitEthernet0/0/0 # 输出中重点看 Area、Type（Broadcast/P2P）、Hello、Dead、DR/BDR 四组字段 # 查看邻居状态机走到哪一步，以及邻居的 Router ID display ospf peer # State 为 Full 表示邻接完成；Init/ExStart 卡住说明报文层面有问题

上面两条命令是排查任何 OSPF 邻居题的起点。display ospf interface暴露的是一台设备自己认为的接口参数，两端一比对，区域、网络类型、定时器三个字段只要有一个不同，就能锁定故障点；display ospf peer给出的是状态机和邻居的 Router ID，用来判断是不是卡在了 DD 交互阶段。注意display ospf peer输出的State字段在广播网里出现2-Way并不代表故障，只有本端是 DRother 且邻居也是 DRother 时才是正常稳定态。

2.2 DR/BDR 选举：稳定性压倒优先级

广播型网络里 DR 的选举规则只有两条：接口优先级大者优先，优先级相同时 Router ID 大者优先，接口优先级默认是 1，配成 0 表示放弃选举。但这套规则只在新网络第一次选举时生效，一旦 DR 已经产生，后来加入的设备哪怕优先级配到 255，也不会把现役 DR 顶掉，它只能当 DRother。题库第 44 题把这个特性作为正确答案的反面：新加入的高优先级设备不会抢占，所以“新的路由器会成为 DR”这种说法直接判错。

DR 故障后的行为也是高频考点，而且和“不抢占”是两条独立规则。现役 DR 挂掉，BDR 立刻升为 DR，然后网络里重新选举 BDR，并不是“只升不选”。所以“DR 故障后 BDR 变 DR 并重新选举 BDR”这个描述是正确的，考试时会写成看起来很别扭的长句来迷惑人。

判断某台设备是不是 DR，不能只看接口 IP 谁大。display ospf interface输出里的DR字段给的是当前网段 DR 的接口地址，把它和本机接口地址比一下就知道自己的身份；另一条线索在 DD 报文的主从关系里，Router ID 大的一方当 Master，题库第 5 题就是靠输出里的Mode字段反推的——输出写着邻居是 Master，那么“本路由器是 Master”的选项自然错。

提示：224.0.0.5 是 AllSPFRouters，所有运行 OSPF 的接口都监听；224.0.0.6 是 AllDRouters，只有 DR 和 BDR 监听。DR/BDR 两个地址都收，所以“DR 和 BDR 既侦听 224.0.0.5 也侦听 224.0.0.6”这句话是对的。

2.3 LSDB 与 LSA：查什么命令，在哪个范围一致

题库里出现过“哪条命令可以查看第 2 类 LSA 详细信息”这种题，答案落在display ospf lsdb network。这类命令题看着简单，但背后要清楚每类 LSA 是谁产生的、作用域在哪，否则换一个问法就抓瞎。

关于 LSDB 一致性，题库第 30 题的迷惑点在于“区域 0 中所有路由器的 LSDB 都相同”。严格说，同一区域内的路由器对属于该区域的 LSA 视图是一致的，但一台 ABR 同时挂在区域 0 和区域 1 上，它的 LSDB 里还有区域 1 的 LSA，和纯区域 0 内部路由器的 LSDB 并不完全一样。所以正确表述应该是“同一区域内所有路由器的 LSDB 相同”，而不是“区域 0 的所有路由器 LSDB 相同”。这种一字之差的选项，是这类题最容易翻车的地方。

2.4 认证与进程：两条最容易被记反的规则

OSPF 认证有两个层级：区域认证和接口认证，两者可以同时存在。同时存在时，接口认证优先生效，也就是说接口上配了认证就以接口为准，没配才回落到区域认证。题库第 32 题把优先级写反成“优先使用区域认证”，这正是最常见的记忆错误。认证算法方面，常见的四种模式是 null、simple（明文）、MD5、HMAC-MD5，报文不通过验证就直接丢弃，邻居自然起不来。

# 区域级认证：对本区域内所有接口生效 ospf 1 router-id 1.1.1.1 area 0 authentication-mode md5 1 cipher Lab@123 # 接口级认证：优先级高于区域认证 interface GigabitEthernet0/0/0 ospf authentication-mode md5 1 cipher Lab@456 # 两端 key ID 与密码必须完全一致，否则 Hello 被丢弃、邻居停在 Down # 限制一个 OSPF 进程可引入的外部路由数量 ospf 1 import-route limit 1000

第一段是区域视图下配置，第二段是接口视图下配置，两段同时存在时以接口上的Lab@456为准，这是验证“接口优先”最直接的方式。第三段的import-route limit用来限制一个 OSPF 进程内可引入的外部路由最大条数，题库第 39 题说它“不能限制”，其实是能限制的，默认上限和溢出的处理策略都可以通过参数调整，比如配成import-route limit 1000 threshold 80表示达到 80% 时告警。多进程互不影响、进程之间交互等同于不同路由协议之间的交互，这一条题库判为正确，可以和进程号本地有效这条一起记，它们是同一个知识点的两面。

3. IS-IS：分级、ATT 与路由渗透的连锁题

IS-IS 在题库里的分量不轻，而且出题方式非常集中：给你四台路由器的拓扑，标好 Level-1、Level-2、Level-1-2 的身份，然后问 LSDB 里有没有某台设备的 LSP、ATT 位置有没有置起来、某个目的网段的 Cost 是多少。这三类问题其实是同一个知识体的三个切面，只要把“分级—LSP 传播范围—缺省路由”这条链想清楚，题目里的数字就能自己算出来。

3.1 邻接关系：IS-IS 是“人人互联”

OSPF 在广播网里 DRother 之间只维持 2-Way，不建立完整邻接；IS-IS 没有这个限制，同一广播网段上的所有路由器两两建立邻接关系。题库第 19 题就是考这一点：R1 是 DIS，R2、R3、R4 除了和 R1 建邻接外，彼此之间也建邻接，所以“R2、R3、R4 之间不建立邻接关系”判错。

级别匹配是另一半规则：Level-1 路由器只和 Level-1、Level-1-2 建立 Level-1 邻接；Level-2 路由器只和 Level-2、Level-1-2 建立 Level-2 邻接；纯 Level-1 和纯 Level-2 之间不建邻接。所以判断两台设备能不能建邻接，看它们的级别集合有没有交集就够了，这比看 IP 网段更可靠，因为 IS-IS 的邻接建立根本不看接口地址是否同网段（点对点链路尤其如此）。

3.2 ATT 置位的三个条件

ATT 位是 IS-IS 里最典型的三条件题。一台路由器要在自己产生的 Level-1 LSP 中把 ATT 置位，必须同时满足：自身是 Level-1-2 路由器；至少有一个 Level-2 邻居；LSDB 中存在来自其他区域的 Level-1 LSP。三个条件缺一不可，满足后它会向 Level-1 区域下发一条缺省路由（默认 cost 10），让 L1 路由器能出区域。

要注意 ATT 置在Level-1 的 LSP里，不是 Level-2 的。题库第 3 题的正确选项写的是“产生 ATT 置位的 Level-1 的 LSP”，另一个选项故意写成 Level-2，就是抓这个点。另外第 18 题的陷阱更隐蔽：R3 本身就是 Level-1-2 设备，它天然就有全网路由，所以“R1 配置路由渗透后 R3 才能获知全网路由”这个说法是错的，路由渗透服务的是纯 Level-1 设备。

3.3 路由渗透与 Cost 计算：两道题其实是同一道

没做路由渗透时，Level-1 路由器只知道本区域的明细路由，出区域靠一条指向最近 Level-1-2 设备的缺省路由，所以到区域外的目的网段，Cost 等于“到 L1-2 的开销 + 缺省路由自身的开销”。题库第 16 题给出的 30 就是这么来的：一跳接口开销 10，加上缺省路由的 10，再加一段。

做了路由渗透之后，Level-1 区域内的路由器能看到 Level-2 的明细路由，SPF 会按完整拓扑算最短路径，这时候的 Cost 可能比走缺省路由更小，也可能更大，取决于路径长短。题库第 15 题算出 50，是因为渗透后走的是另一条两跳路径，两段开销相加正好是 50。两道题放在一起看，就能明白渗透改变的不是“能不能通”，而是“走哪条路”。

# 在 Level-1-2 设备上把 Level-2 路由渗透进 Level-1 isis 1 import-route isis level-2 into level-1 filter-policy 2000 export # filter-policy 用来控制哪些 L2 路由可以进入 L1，不加则全部渗透 # 控制 ATT 位：默认满足条件就置位，可手工关闭 isis 1 undo set-overload # set-overload 会让设备置位过载位并影响 ATT 行为，排障时先确认是否被打开

第一段配置的含义是：把 Level-2 的路由引入 Level-1 的 LSDB，filter-policy 2000 export是配套的过滤策略，避免把全部明细都灌进 L1 区域造成 LSDB 膨胀。第二段提醒一个排障细节：过载位（overload）会影响设备的转发行为和 ATT 置位判断，如果题目里出现“配置了渗透但 Cost 还是按缺省路由算”的情况，先检查是不是被过载位挡住了。

3.4 DIS 与伪节点：从 LSP-ID 看身份

IS-IS 的 DIS 和 OSPF 的 DR 有两个本质区别：DIS 没有备份，挂了立刻重选，收敛是秒级；DIS 会在广播网段上产生伪节点 LSP，代表这个网段的虚拟路由器。判断一台设备是不是 DIS，最直接的办法是看它产生的 LSP-ID。

LSP-ID 的格式是三段：System-ID.伪节点ID.分片号。伪节点 ID 为00表示这是设备自己产生的实节点 LSP，非00（常见01、02）表示这是它作为 DIS 产生的伪节点 LSP。题库第 10 题里，输出中的 LSP-ID 伪节点位没有置起来，说明这台设备不是 DIS，所以“本路由器是 DIS”判错。同一道题还顺带考了 System-ID 和区域号的读法：0002.0200.2002是邻居的 System-ID，49.0001是本机区域号，这几段字符在输出里挨在一起，很容易看串行。

3.5 接口输出三看：Level、Cost、周期

display isis interface的输出信息题，抓住三个字段就够了。Type字段显示的是接口的 circuit-level（Level-1、Level-2 或 Level-1-2），题库第 17 题就是靠Type判断出接口运行的是 Level-1；Cost字段是接口开销，默认 10，可以手工改；Hello 报文的发送周期默认是 10 秒，和 OSPF 的 10 秒一致，但 IS-IS 的 Hello 有三种类型（P2P、L1 LAN、L2 LAN），填充字段不同。

# 查看 IS-IS 接口的级别、开销和 Hello 参数 display isis interface GigabitEthernet0/0/0 verbose # Type 字段确认 circuit-level，Cost 字段确认开销，Hello 定时器默认 10s # 查看邻居和 LSDB，确认 LSP 的来源与伪节点 display isis peer display isis lsdb # LSP-ID 中第二段非 00 即为伪节点 LSP，产生者为 DIS

第一段命令里的verbose会展开 Hello 填充字段和优先级，判断 DIS 选举时要用。第二段的两条命令配合使用：先看邻居级别对不对，再看 LSDB 里有没有预期的那条 LSP。题库里“R1 的 LSDB 中不存在 R4 的 LSP”这类判断题，答案取决于 LSP 的泛洪范围——纯 Level-1 区域看不到 Level-2 的 LSP，这是 IS-IS 分级的直接结果，不需要额外记忆。

4. BGP 与路由策略：从选路顺序到错误输出的四个层次

BGP 在题库里的题目跨度很大，从状态机顺序、选路规则，到团体属性、错误输出解读，看起来散，其实可以按“会话怎么建起来—路由怎么选出来—属性怎么打标签—出错怎么读日志”四个层次串成一条线。这条线一旦串通，BGP 部分基本不会再丢分，因为题目无论怎么换，落点都在四个层次里。

4.1 状态机：顺序固定，卡在哪层查哪层

BGP 邻居建立的状态顺序是 Idle → Connect → Active → OpenSent → OpenConfirm → Established，题库第 25 题给的是一组编号让你排序，本质上考的就是这条链。要注意 Active 状态听起来像“正在活动”，实际上是“正在尝试建立 TCP 连接但失败了在重试”，名字和含义反着来，这是最容易记错的一个。

4.2 选路：AS_Path 排在 MED 前面

BGP 选路是题库里的重灾区，原因很简单：比较项太多，而且顺序不像直觉。完整的比较顺序大致是：首选值（协议私有的 Weight/Preferred-Value）、本地优先级 Local_Preference、本地始发的路由、AS_Path 最短、Origin 属性、MED 最小、EBGP 优于 IBGP、IGP 开销最小、Router ID 最小。前面几项里任何一项分出胜负，后面的就不再看了。

题库第 28 题把 AS_Path 和 MED 放到一起对比，正确答案是 AS_Path 短者优先，MED 根本没轮到比较。第 37 题单独考 MED，说“MED 值高的路由优先”，这是错的，MED 类似 cost，越小越优。这两道题放在一起记忆效率最高：先记住 AS_Path 在 MED 之前，再记住 MED 是“小优”，两条一起记不容易混。

注意：题库里有题目问“通过路由策略设置 Community 属性是否会影响选路”，答案是“可以间接影响”。Community 本身不参与选路比较，它的作用类似给路由贴标签，贴完之后用路由策略按标签去改 Local_Preference 或 MED，才间接影响选路。把 Community 当成选路属性直接比较，是典型的概念混淆。

4.3 Community：四个众所周知的团体属性

Community 是可选过渡属性，可以跨 AS 传递，常见的有四个预定义值，考试里反复出现的就是 no-export 和 no-advertise 的区别。

题库第 9 题的干扰项就是把 no-export 解释成“不能通告给任何其他 BGP 对等体”，真正的含义是“不发给 EBGP 邻居，IBGP 邻居照发”。no-advertise 才是彻底不发。这一对概念建议连着背，只背一个很容易在选项里被绕进去。

# 用路由策略给路由打 Community 标签，再按标签做后续处理 route-policy TAG-100 permit node 10 apply community no-export # 该策略给匹配的路由打上 no-export，使其不出本 AS route-policy SET-LP permit node 10 if-match community-filter 1 apply local-preference 200 # 按团体属性过滤器匹配，命中后抬高 Local_Preference 间接影响选路 bgp 100 peer 10.1.1.2 route-policy TAG-100 export peer 10.1.1.2 route-policy SET-LP import

这段配置演示了 Community 的完整用法：前半段在出方向上给路由打标签，后半段在入方向上按标签匹配并修改本地优先级。apply community no-export只是打标，不改选路；真正影响选路的是apply local-preference 200，这也解释了题库第 31 题为什么说“可以间接影响”。参数上要注意，community-filter需要提前用ip community-filter定义，编号和匹配模式（basic/advanced）要对应。

4.4 错误输出：四个字段读一遍就能定位

display bgp error的输出固定包含四个字段：Error Type、Date/Time、PeerAddress、ErrorInfo。题库里出现过的两种错误，读法完全一样，区别只在 ErrorInfo 的内容。

第 29 题的 ErrorInfo 是Router-id conflict，说明两端 Router ID 撞了，所以“对等体 AS 号写错”是干扰项；第 23 题的 Error Type 显示是邻居关系类错误，PeerAddress 给出对端地址，Date/Time 给出精确到秒的时间。这类题的通用解法是：先把 ErrorInfo 当成唯一判据，其它选项里凡是和 ErrorInfo 对不上的描述一律排除，不要被“可能是……”这种模糊表述带跑。

还有一个容易被忽略的默认行为：BGP 邻居的入口路由策略改变后，设备默认不会自动向邻居发送 Refresh 请求重新要一遍路由，需要手工配置或手工执行刷新。题库第 36 题把这个默认行为写成“会自动发送”，判错。这条在实际排障里很关键，改完策略发现路由没变化，先想想是不是忘了刷新。

4.5 PBR 与协议优先级：两个“看起来像路由其实不是”的东西

策略路由 PBR 的匹配条件可以基于 ACL（源地址、目的地址、协议、端口）和报文长度，但不能基于源 MAC 地址，题库第 33 题考的就是这个边界。PBR 的优先级高于路由表，命中的报文按策略指定的下一跳转发，不查路由表，所以配置错误会导致“路由表里明明有路，流量却不通”，这是实际环境里非常典型的一类翻车。

路由协议优先级（preference）的作用范围也要区分清楚：它只在“同一个目的网段被不同协议同时学到”时才起作用，数值小的优先。题库第 48 题说“路由协议优先级的作用是给同一目的路由提供一个选择的优先顺序”，判为正确。注意它和 BGP 选路里的 Local_Preference 完全不是一回事，前者跨协议，后者协议内，名字像但层级不同。

5. 交换与安全：端口角色、会话表与组播判读

交换和安全这一块，题库的出题密度不如路由，但胜在题型固定：给一张拓扑问端口角色，给一个报文问防火墙转不转发，给一段输出问哪个字段代表什么。这类题的复习方法不是背协议，而是把每种机制的“判据字段”记住，看到题就能定位到输出里的哪一行。

5.1 RSTP：Alternate 端口为什么能直接转发

RSTP 相比 STP 最大的改进是引入了边缘端口和 P/A（Proposal/Agreement）机制，收敛从秒级降到毫秒级。题库第 24 题给了一个经典场景：SWC 的根端口故障，问网络怎么恢复。正确答案是预备端口（Alternate）成为新的根端口并直接进入 Forwarding，不需要经过 Learning。

能直接转发的原因是 Alternate 端口平时就在监听 BPDU、并且已经完成了同步，它保存着到根的一条备份路径，切换时不需要重新学习 MAC。这一点和 STP 的 Blocking 端口不同，STP 的阻塞端口要先经历 Listening、Learning 才转发，所以这类题只要看到“RSTP”和“直接进入 Forwarding”，基本就是正确方向。

拓扑变化时的处理也有讲究：RSTP 收到 TC-BPDU 后不是清空整张 MAC 表，而是做部分删除，而且接收 TC-BPDU 的接口和边缘端口上的表项不动。题库第 41 题的正确选项就落在这个“部分删除”上，选项里“删除整个 MAC 地址表”是 STP 时代的老做法，拿来当干扰项。

5.2 MSTP：六种端口角色，别把 Backup 和 Alternate 弄反

MSTP 的端口角色比 RSTP 多，考试常考的是四种：根端口、指定端口、Alternate（根端口的备份）、Backup（指定端口的备份）。此外还有 Master 端口（域边缘指向总根的方向）和域边缘端口（连接其他 MST 域或单生成树区域）。

题库第 43 题的选项把 Backup 描述成“作为根端口的备份”，这是错的，Backup 备份的是指定端口（DP），Alternate 才备份根端口。这一对概念混淆率极高，建议用一句话记：Alternate 对 RP，Backup 对 DP，字母顺序上 A 在 B 前，RP 在 DP 前，两组一一对应。

TC 保护是另一个考点。启用后可以防止攻击者伪造拓扑变化 BPDU 频繁刷新 MAC 和 ARP 表项，单位时间内处理的 TC 报文次数可配置，默认单位时间 2 秒、处理 1 次。题库第 42 题说“缺省情况下 TC 保护功能处于未使能状态”，判错，因为默认是开启的。这个默认值和大多数人的直觉相反，属于必须硬记的点。

5.3 状态检测防火墙：会话表才是最终裁判

状态检测防火墙判断一个报文转不转发，靠的不是逐包匹配安全策略，而是先查会话表。首包到达时匹配安全策略，命中就建会话，后续报文只要五元组能对上会话，就直接放行，不再查策略。这个机制决定了题库里那几道“这个报文会不会被转发”的题，判断依据其实是“这个报文能不能对上一条已有会话”。

题库第 26 题给的是一个顺序错乱的三次握手，第 27 题给的是一个 SYN 位置异常的报文，两题的答案都是不转发。原因在于会话表对 TCP 状态有跟踪，只有 SYN、SYN-ACK、ACK 依次到达才会建立并推进会话状态，重复的 SYN 或者错序的 ACK 会被视为异常丢弃。

默认策略这一块也要分清：只有报文没有匹配上任何一条安全策略时，才会落到默认策略上，而默认策略的动作通常是拒绝。所以“报文会匹配默认策略”这种描述，前提是它确实没命中任何规则；如果题目的输出能明确看出源目 IP 和源目区域都命中了某条规则，那就不该往默认策略上想。

IPsec 封装识别是另一类小题。AH 的 IP 协议号是 51，ESP 是 50，看到协议号 51 只能说明 IP 头后面跟的是 AH 头，不能推出“这个报文只有 AH 封装”或者“数据部分被加密了”——AH 本身不加密，只做完整性校验，加密要看 ESP。题库第 12 题的错误选项就是在这两个“不能推”上做文章。

5.4 端口隔离与链路聚合：边界条件最容易被忽略

端口隔离考的是编号范围和方向性。隔离组编号是 1 到 64，不是 0 到 63，题库第 40 题就栽在这个偏移上。隔离支持单向配置，在接口 A 上配置与 B 隔离，A 发出的报文到不了 B，但 B 发出的报文可以到 A；隔离模式可以配成二层三层都隔离，也可以配成二层隔离三层互通。这些细节看着琐碎，但每一条都能单独出一道判断。

链路聚合的考点集中在成员口的状态上。LACP 模式下可以配置最大活跃链路数，超过这个数量的成员口会处于非活跃状态，只做备份不转发，所以“链路聚合只存在活动接口”是错的。另一条常考的是聚合组的带宽和可靠性收益，以及成员口的速率、双工、VLAN 配置必须一致，不一致的成员口无法加入聚合组。

5.5 组播与地址类判读：三个组播地址各管什么

组播在题库里只占几道题，但地址必须记准：224.0.0.5 是 AllSPFRouters，224.0.0.6 是 AllDRouters，224.0.0.13 是 AllPIMRouters。PIM 的 Hello 报文发往 224.0.0.13，题库第 46 题把选项写成 224.0.0.5，一眼就能排掉。Hello 报文的作用包括发现邻居、维护邻居关系、在广播网段选举 DR，三件事都靠它。

display igmp group的输出题要看清每一列的含义。接口上动态加入的组播组数量、组地址、成员（成员主机地址）是三个不同的字段，题库第 20 题把“最后发送 Report 消息的主机”这个字段错认成组播地址，实际上那一列给的是主机 IP，组播地址在另一列。这类题不需要理解 IGMP 版本差异，只需要认字段。

IPv6 地址类型也是同类判读题。FE80 开头是链路本地地址，只在本地链路有效，不能跨网段通信；FD00 开头是唯一本地地址，相当于 IPv4 的私有地址，不能在公网上路由；2001 开头是全球单播。题库第 2 题就是靠“两台 PC 在不同网段、中间经过 Internet”这个条件排掉了 FE80 和 FD00，落到全球单播地址上。

ACL 的输出判读同理。规则从上到下匹配，第一条命中就停止，所以源地址落在哪条规则的范围里，要看规则的地址通配符，而不是看规则编号的大小。题库第 4 题的三个错误选项，全都是把源地址和规则的匹配范围对错了位。

6. 易错点：五类最容易翻车的判断陷阱

题库刷到第二遍会发现，错题高度集中在几个固定位置，而且这些位置的共同特征是“看起来会，选起来错”。下面五条是梳理下来最容易反复栽跟头的地方，每条都按“易漏点—为什么漏—怎么补”拆开。

第一类：把 OSPF 进程号当成必须一致的参数。漏的原因很直接，同一台设备上配了两个进程，直觉上会觉得两端也得对上号，加上题目故意把“进程号不一致”和“网络类型不一致”放在一起当选项，选错的概率就很高。补的办法是把进程号归到“本地参数”这一栏，和 Router ID、接口 IP 放在一起，凡是链路上会传的（区域、认证、网络类型、定时器）才需要两端一致。做题时先问一句“这个参数进不进 Hello 报文”，答案基本就出来了。

第二类：IS-IS 的 ATT 位方向和范围搞混。常见错法是认为 ATT 置在 Level-2 的 LSP 里，或者认为只要自己是 Level-1-2 就一定置位。漏的原因是三个条件平时被简写成“L1-2 设备置 ATT”，中间的“有 L2 邻居”和“收到其他区域的 L1 LSP”被省略了。补的办法是把三个条件写成检查清单，做题时逐条对拓扑图打勾，同时记住 ATT 只出现在 Level-1 的 LSP 里，向 L1 区域下发缺省路由。

第三类：BGP 的 no-export 和 no-advertise 用混。两个词都带 no，都表示“不发布”，区别只在范围：no-export 不发给 EBGP 邻居，IBGP 邻居照发；no-advertise 谁都不发。漏的原因是记忆时只记了“不发布”这层意思，没记边界。补的办法是记传播范围而不是记字面，把 no-export 理解为“出 AS 就停”，把 no-advertise 理解为“出门就停”。

第四类：RSTP 的 Alternate 和 MSTP 的 Backup 对应错。两个角色都叫“备份”，但备份对象不同，Alternate 备份根端口，Backup 备份指定端口。漏的原因是两个词在日常语境里几乎同义，做题时凭语感选。补的办法是用字母顺序绑定：A 对 RP、B 对 DP，两组同时保持字母先后，形成固定映射后再做题就不会犹豫。

第五类：状态检测防火墙的转发判断凭“看起来合理”。这类题的输出往往给一个 TCP 报文头，选项描述的是“符合会话状态所以转发”或者“三次握手正常所以转发”，凭感觉很容易选反。漏的原因是忽视了会话表对握手顺序的严格跟踪。补的办法是拿到题先画一遍三次握手的序列号与标志位，顺序不对、标志位重复的一律判不转发，再去看选项。

提示：这五类错题的共同点是“概念都听过，边界没记牢”。整理错题时不要只抄正确答案，把错误选项为什么错写一行，比抄十遍正确答案有用。

7. 复习清单：把题库用成诊断工具的四步法

这份题库最容易犯的使用错误，是从第一题顺着刷到第五十题，刷完记住了一堆答案，换个问法照样不会。更有效的做法是把它当成一台诊断仪，按模块拆开用。

第一步，按模块分组刷，不要按题号顺序刷。把 OSPF、IS-IS、BGP、交换、安全分成五摞，一摞一次刷完。同一模块的题目连着做，重复出现的判据会自己浮出来，比如 IS-IS 那一摞刷完，ATT 三个条件基本就刻进去了。

第二步，每道题做完后补一句“这题考的是哪个字段”。比如“考的是 display ospf interface 里的 Type 字段”“考的是 LSP-ID 第二段是不是 00”。补不出这句话，说明这题是蒙对的，标记出来

本文还有配套的精品资源，点击获取