2025年通信工程师VPN虚拟专用网Site-to-Site站点到站点VPN方案设计专题试卷及解析.pdfVIP

2025年通信工程师VPN虚拟专用网SITETOSITE站点到站点VPN方案设计专题试卷及解析1

2025年通信工程师VPN虚拟专用网SitetoSite站点到

站点VPN方案设计专题试卷及解析

2025年通信工程师VPN虚拟专用网SitetoSite站点到站点VPN方案设计专题试

卷及解析

第一部分：单项选择题（共10题，每题2分）

1、在SitetoSiteVPN中，IPSec协议族中负责提供数据源认证和完整性验证的协

议是？

A、AH

B、ESP

C、IKE

D、L2TP

【答案】A

【解析】正确答案是A。AH（AuthenticationHeader）协议专门用于提供数据源认证、

数据完整性和抗重放攻击服务，但不加密数据。ESP（EncapsulatingSecurityPayload）

主要提供加密服务，也可提供认证，但AH是专门用于认证的协议。IKE是密钥交换协

议，L2TP是隧道协议。知识点：IPSec协议族功能。易错点：容易混淆AH和ESP的

认证功能，需注意AH是纯认证协议。

2、在部署SitetoSiteVPN时，通常采用哪种模式来封装原始IP包？

A、传输模式

B、隧道模式

C、混合模式

D、透明模式

【答案】B

【解析】正确答案是B。隧道模式会封装整个原始IP包，并添加新的IP头，这是

SitetoSiteVPN的标准做法，因为它能保护原始IP信息。传输模式只封装IP载荷，常

用于HosttoHost场景。混合模式和透明模式不是标准IPSec模式。知识点：IPSec工

作模式。易错点：容易忽略SitetoSite场景下需要隐藏原始IP地址的特点。

3、IPSecVPN建立过程中，IKEv1的第一阶段协商目的是？

A、建立IPSecSA

B、建立IKESA

C、传输用户数据

D、配置路由

【答案】B

2025年通信工程师VPN虚拟专用网SITETOSITE站点到站点VPN方案设计专题试卷及解析2

【解析】正确答案是B。IKEv1第一阶段（主模式或野蛮模式）的主要目的是建立

安全的IKESA（安全关联），为第二阶段的IPSecSA协商提供安全通道。IPSecSA是

在第二阶段建立的。知识点：IKE协商流程。易错点：容易混淆两个阶段的目标，第一

阶段是建立管理通道，第二阶段才是建立数据传输通道。

4、在SitetoSiteVPN设计中，NATT技术主要用于解决什么问题？

A、IP地址冲突

B、NAT设备对IPSec流量的处理

C、路由黑洞

D、MTU分片

【答案】B

【解析】正确答案是B。NATT（NATTraversal）技术通过将IPSec流量封装在UDP

端口4500中，解决NAT设备无法正确处理ESP协议（协议号50）的问题。其他选

项都是VPN部署中的常见问题，但不是NATT专门解决的。知识点：NAT穿透技术。

易错点：容易忽略ESP协议在NAT环境下的特殊性。

5、DMVPN（DynamicMultipointVPN）架构中，负责动态维护隧道关系的协议

是？

A、OSPF

B、BGP

C、NHRP

D、EIGRP

【答案】C

【解析】正确答案是C。NHRP（NextHopResolutionProtocol）是DMVPN的核

心协议，用于动态发现和解析分支站点的NBMA（非广播多路访问）地址，实现动态隧

道建立。其他选项都是路由协议。知识点：DMVPN技术原理。易错点：容易将NHRP

与路由协议混淆，需注意其地址解析的特殊功能。

6、在IPSecVPN的加密算法选择中，目前最推荐的安全算法是？

A、DES

B、3DES

C、AES

D、RC4

【解析】正确答案是C。AES（AdvancedEncryptionStandard）是当前最推荐的对

称加密算法，提供128/192/256位密钥长度，安