网工这行，技术面试基本就是一场“底裤式”检查。简历写得再光鲜，几轮技术问答下来，水平深浅立刻见分晓。很多刚入行或者准备跳槽的朋友问我，网工面试常问的技术问题到底有哪些，怎么准备才不慌。我这些年既被面试过，也坐在桌子对面面试过别人，今天就把出现频率最高、最常被追问的技术问题汇总一下，顺便把每道题背后面试官真正想考察的点拆给你看，希望能帮你少走点弯路。

这篇文章适合刚入行的初级网工、准备跳槽的中级工程师，也适合那些网络基础不牢、想系统梳理一遍的朋友。内容会覆盖网络基础理论、路由交换实战、网络安全防护、故障排查思路和综合场景设计几个方向，不光是列问题，还会告诉你每道题的答题思路和常见失分点。

1. 网络基础：面试官最先试探的就是你的底子

网络基础这部分看着简单，恰恰是最容易翻车的。很多面试者能背出七层模型的名字，但一问到具体工作中怎么用就卡壳。面试官问基础问题，不是真想听你背书，而是想确认你有没有真正理解网络通信的本质。

1.1 OSI模型和TCP/IP模型，别只背七层名称

这是网工面试的保留节目，几乎每家必问。但面试官通常不会直接说“把七层模型背一遍”，而是换个方式问：数据从一台电脑发到另一台电脑，中间经历了哪些封装和解封装过程？或者问：TCP/IP四层模型和OSI七层模型有什么对应关系，工作中你更关注哪一层？

答题时要抓住核心：数据封装的过程。从应用层产生数据开始，每一层都会加上自己的头部信息，传输层加端口号，网络层加IP地址，数据链路层加MAC地址和帧校验，最后物理层转成比特流发送。到了对端，再从下往上逐层解封装。能把这个过程讲清楚，比单纯背出七层名称强十倍。

还有一个高频追问：TCP/IP模型里，每一层有哪些典型协议？这个不难，但很多人会漏掉一些细节。应用层常说的HTTP、DNS、FTP、SSH、DHCP，传输层的TCP和UDP，网络层的IP和ICMP，数据链路层则对应以太网协议。面试官如果继续追问这些协议的默认端口，你也得心里有数：HTTP是80，HTTPS是443，DNS是53，SSH是22，FTP的数据端口20和命令端口21，DHCP用的是67和68。

1.2 TCP三次握手和四次挥手，几乎必考但总有人丢分

这道题考得太频繁了，频繁到很多人掉以轻心。面试官一般会先让你描述过程，紧接着就开始挖坑：为什么建立连接是三次握手，不是两次？为什么断开连接要四次挥手，不是三次？

握手过程要讲得干脆利落：客户端发SYN，服务端回SYN+ACK，客户端再回ACK，然后连接建立。关键在回答“为什么不是两次”——因为要确认双方的收发能力都正常。第一次握手服务端确认了客户端的发送能力和自己的接收能力，第二次握手客户端确认了自己的发送能力和接收能力都没问题，但服务端还不知道自己的发送通道是否畅通，所以必须有第三次握手，让服务端确认自己发的SYN客户端能收到。这个逻辑讲明白了，面试官基本就满意了。

挥手的细节更容易丢分。很多人只记得发FIN、回ACK这些步骤，但说不清为什么需要TIME_WAIT状态。主动关闭的一方在发送最后一个ACK之后会进入TIME_WAIT，等待两个最大报文段生存时间后再关闭。原因有两个：一是怕最后一个ACK丢失，需要足够时间等待对端重发FIN；二是为了防止旧连接上的延迟报文影响新连接。能答出这两点，这道题就能拿高分。

1.3 DNS解析过程和工作原理，细节决定成败

DNS这道题看起来基础，但面试官特别擅长往深了问。先让你说清楚在浏览器输入一个网址后，DNS是怎么一步步解析出IP地址的，说完之后立刻追问：DNS查询用的是TCP还是UDP？什么时候会切换？

标准答案是：DNS查询默认用UDP的53端口，因为查询报文小，UDP效率高，一个请求一个响应就够了。但有两种情况会切换到TCP：一是响应报文长度超过512字节，UDP传输容易产生分片问题，需要改用TCP保证可靠性；二是区域传送等主从DNS服务器之间的数据同步操作，数据量大且要求完整可靠，必须用TCP。

还有一个常见追问：DNS解析有哪几个步骤？完整的流程是：先查浏览器缓存，再查操作系统本地缓存和hosts文件，然后请求本地配置的DNS服务器，如果本地DNS服务器没有缓存，会依次向根DNS服务器、顶级域DNS服务器、权威DNS服务器发起迭代查询，最终拿到IP地址并缓存下来。能把这套链路完整讲出来，面试官会觉得你的基础很扎实。

2. 路由与交换：网工吃饭的本事，面试重点中的重点

路由交换是网工面试的绝对核心，这一块答不好，前面基础说得再漂亮也白搭。面试官会从协议原理、应用场景、配置思路几个维度轮番考察，而且特别喜欢拿实际场景来问你“为什么这样选”。

2.1 静态路由和动态路由，你怎么选

这道题几乎必问，但很多人只会背“静态路由手动配置、动态路由自动学习”这种表面区别。面试官真正想听的是你在实际项目中怎么取舍。

答题主线应该是：网络规模决定选型。小型网络、网络拓扑稳定、就三四台设备的情况下，静态路由最合适，因为它不占额外带宽和计算资源，行为可控，排障直观。网络规模一大、拓扑经常调整、设备数量超过几十台的时候，就必须上动态路由协议，否则每加一条链路都要手工改路由，运维成本太高而且容易出错。

说完选型，面试官大概率会继续追问：动态路由协议有哪些？OSPF和BGP有什么区别？这时候要抓住本质：OSPF是内部网关协议，运行在一个自治系统内部，基于链路状态算法，收敛速度快，通过cost值计算最优路径；BGP是外部网关协议，主要用于自治系统之间传递路由，基于路径向量算法，更看重策略控制而不是单纯的最短路径。一句话总结就是：内部选路靠OSPF，跨域互联看BGP。

2.2 VLAN、Trunk和VLAN间路由，交换机的核心考点

VLAN这道题考察的是你对二层网络隔离的理解。很多人知道VLAN能隔离广播域，但问到具体配置细节就开始含糊。

首先要回答VLAN的作用：把一个物理交换机划分成多个逻辑上独立的广播域，减少广播报文的影响范围，同时实现不同业务之间的安全隔离。一个经典场景是：办公网、监控网、访客网需要互不相通，直接在交换机上划分三个VLAN就能搞定。

接下来会追问Trunk的作用和配置要点。Trunk链路用来在交换机之间传输多个VLAN的流量，关键点是VLAN标签的封装方式，常见的是IEEE 802.1Q标准，在以太网帧头打上4字节的VLAN标签。配置时要注意Native VLAN必须两端一致，否则两台交换机之间会出现VLAN错乱的问题。

然后面试官一定会问：不同VLAN之间的主机要通信怎么办？答案是VLAN间路由，有三种实现方式：传统方案是路由器用多个物理接口分别连接交换机的不同VLAN接口，每个接口配置一个网段的网关，缺点是占用接口太多；常用方案是单臂路由，路由器一个物理接口通过Trunk连接到交换机，子接口分别封装不同VLAN的标签，缺点是带宽共享、容易形成瓶颈；主流方案是三层交换机和SVI逻辑接口，直接在交换机上创建VLAN接口并配置IP地址作为网关，转发性能高且配置简洁。能把这三种方式的优缺点和适用场景讲清楚，这道题就稳了。

2.3 STP生成树，面试官爱问的协议细节

STP这道题，高级网工面试特别喜欢考，因为它是理解二层网络冗余机制的关键。基础问题是：交换网络里为什么要部署STP？标准答案是：为了防止二层环路导致广播风暴和MAC地址表震荡。华而不实的回答是只背出“生成树”三个字，却说不清环路到底会造成什么危害。

我建议这样组织答案：在二层交换网络中，为了提高可靠性会部署冗余链路，但冗余链路会形成环路，广播帧在环路中会无限循环，最终耗尽交换机CPU和链路带宽，同时交换机在多个接口反复学习同一MAC地址，导致MAC地址表不停震荡。STP的作用就是通过阻塞冗余端口，在物理上存在环路的网络里构建一棵逻辑无环的树。

面试官接下来大概率会追问：STP选举过程是怎样的？这个稍微复杂一点，但逻辑很清晰：首先在所有交换机中选举一个根桥，比较依据是桥优先级和MAC地址，优先级数值越小越优；然后每台非根交换机选举一个根端口，根端口是比较到根桥路径开销最小的端口；每条链路上选举指定端口，最终剩下的端口被阻塞。回答时如果能顺带提一句RSTP相比STP的改进——端口角色扩展、快速收敛机制、提议协商过程——会给面试官留下更好的印象。

2.4 NAT的原理和典型应用场景

NAT几乎是企业网接入互联网的标配，面试官问这道题是想确认你理解公有地址和私有地址的关系，以及NAT在实际组网中怎么落地。

答题先讲清楚为什么需要NAT：IPv4公有地址资源有限，企业内部的私有地址不能直接在公网上路由，必须通过网络地址转换，将私有地址映射为公网地址才能访问互联网。然后区分两种最常见的形式：源NAT，主要做内网访问互联网时的地址转换，对应的是出接口方向做转换；目的地址转换，通常用来把公网地址映射到内部服务器的私有地址上，实现服务器对外发布服务。

常见的部署场景是：公司内网使用192.168.x.x网段，出口防火墙上配置NAT，所有内网终端访问互联网时共享一个或一组公网IP地址。服务器区域单独划分一个公网IP映射到内网服务器的私网IP上，外部用户通过公网地址访问内部服务。讲到配置细节时，可以提一下需要指定转换的源地址对象、目的地址对象和转换后的公网地址，以及端口复用的概念——多个内网IP共用同一个公网IP，通过不同的源端口区分会话。这能体现出你真正做过配置，而不是只看过文档。

3. 网络安全与防护：从纯路由交换到安全联动的加分项

现在企业招网工，安全意识越来越重要。很多岗位明确要求懂防火墙、懂安全策略，哪怕不是专职安全工程师，面试时也会被问到基础安全知识。这一块答好了，能明显拉开和其他候选人的差距。

3.1 ACL访问控制列表，考察配置的严谨性

ACL这道题考察的是你对访问控制的理解和配置习惯。面试官会问：ACL有哪些类型？配置时要注意什么？

回答时先分清楚两类：标准ACL，只匹配源IP地址，编号范围是2000到2999，由于匹配条件粗，通常部署在靠近目的地址的位置；扩展ACL，可以匹配源IP、目的IP、协议类型、端口号等更细粒度的条件，编号范围是3000到3999，通常部署在靠近源地址的位置，这样能尽早过滤掉不该进入网络的流量，节省带宽。

配置细节是面试官最爱挖坑的地方。扩展ACL配置时，很多人分不清source和destination的顺序，配置命令里先写源地址再写目的地址，而且通配符掩码和子网掩码的反码关系容易搞错。还有一个高频考点：ACL的匹配规则是从上往下按顺序执行的，一旦匹配就不再继续检查下一条规则，所以特定的拒绝规则必须放在宽松规则前面，否则就会被宽松规则直接放行或丢弃。安全实践中特别强调最小权限原则，默认情况下在ACL末尾隐式拒绝所有流量。

3.2 防火墙部署模式和安全策略设计

现在企业网出口基本都有防火墙，面试官问防火墙相关问题是家常便饭。常见问题包括：防火墙有哪些工作模式？安全策略你怎么规划？

防火墙的部署模式要答清楚三种：路由模式，防火墙三层接口参与路由转发，这种模式最常见，适合网络出口或区域边界；透明模式，防火墙相当于一台二层设备，不改变原有IP规划，适合在不调整现网架构的前提下串联到链路中；混合模式，同时存在路由接口和透明接口，适合复杂组网场景。

安全策略设计这块，我建议准备一个真实的项目案例来支撑回答。比如某公司有办公区、服务器区和外网三个区域，规划时按区域划分安全域：办公区可以访问服务器区的业务端口，但服务器区主动访问办公区要受限；外网只能访问服务器区对外开放的特定端口，比如HTTPS的443；办公区访问外网需要放行对应业务的NAT和回程流量。策略配置顺序上，先放行高优先级业务，再放行常规访问，最后配置全拒绝兜底。面试官听到这种有场景、有逻辑、有步骤的回答，通常会眼前一亮。

3.3 常见网络攻击与对应防护思路

安全方向的第三个高频模块是攻击与防护，面试官想了解你是否知道网络中真实存在的威胁，以及遇到攻击时怎么应对。

ARP欺骗要重点准备，因为它太常见了。攻击原理是攻击者发送伪造的ARP响应报文，把网关的MAC地址篡改为攻击者的MAC地址，导致受害主机的流量被劫持。防护方法包括：在交换机上配置DHCP Snooping技术来校验ARP报文的合法性，配置ARP表项限制，或者在终端上配置静态ARP绑定。

DDoS攻击也是网工面试的常客，尤其是SYN Flood攻击。攻击者利用TCP三次握手的机制，发送大量伪造源IP的SYN请求但不完成握手，服务器一直等待并维护半连接状态，最终资源耗尽无法处理正常请求。防护思路包括：在防火墙上启用SYN Cookie机制，设置半连接阈值并触发告警，部署流量清洗设备，以及通过限速策略限制每秒新建连接数。

DNS劫持和HTTP劫持也可以了解一下，面试官可能会展开问。回答的思路是区分攻击层——DNS劫持发生在域名解析阶段，HTTP劫持发生在网页内容传输阶段，防护手段从启用DNSSEC到全站HTTPS加密。

4. 网络排障：实战能力最直接的试金石

前面问的是你知道什么，排障环节问的是你能不能干活。面试官通常会给一个具体的故障场景，让你描述排查思路。这道题没有标准答案，但优秀的候选人往往思路清晰、步骤有序、能合理使用工具。

4.1 分层排障法，先定位再解决

最推荐的回答框架是分层排障法，它对应OSI模型也对应TCP/IP模型，从底层逐步往上排查。

面试官如果说某台电脑上不了网，我会先说从物理层开始看，接口指示灯亮不亮、网线是否松动、网卡是否被禁用。物理层没问题，就看链路层，比如交换机的接口状态是否正常，是否被划错VLAN，Trunk链路是否放行了对应VLAN。二层通了看网络层，检查IP地址配置、网关是否可达、路由是否完整。然后再看传输层，通不通的TCP端口、防火墙是否拦截了特定协议的流量。最后检查应用层，DNS解析是否正常、应用服务是否在监听端口。

这样从下往上逐层排查的好处是，能快速把问题范围压缩到某一层，不会东敲一下西敲一下。面试官要的就是这种有章法的排障思维。

4.2 排障命令的细节，用过和没用过一听便知

命令考察特别能分辨真伪。只会说“ping通了就没问题”的人，和真正用ping、telnet、tracert、pathping查过问题的人，回答细节完全不一样。

ping是最基础的连通性测试工具，但它的返回信息很有讲究。如果返回Request timed out，说明目的主机不可达或防火墙丢包；如果返回Destination host unreachable，说明本地设备没有到达目标网段的路由。TTL值也能提供线索，从TTL可以粗略判断目标主机的操作系统类型，WINDOWS默认TTL是128，LINUX默认TTL是64，跨设备一跳减一，通过初始值和收到的TTL差值能算出经过了多少跳。

tracert命令用于追踪路径，Windows下叫tracert，Linux和网络设备上用traceroute，它通过递增TTL来探测每一跳的地址和响应时间。如果路径中间某跳超时但最终能到达目的地，不必太紧张，很多设备默认不响应ICMP超时报文；但如果最后目的地也超时，就要重点检查路径中最后一个可达节点后面的链路。

telnet用来测试TCP端口通不通，虽然Telnet协议本身是明文传输的，但作为端口连通性测试工具非常实用。测试中显示Connected说明端口通，显示Connection refused说明端口能到达但服务没有监听，显示超时则可能是中间防火墙丢弃了报文。这三个返回结果的区分，是面试官很爱问的细节。

4.3 网络时好时坏，这类疑难杂症怎么查

面试官为了考察深度，经常会出一个“时好时坏”的间歇性故障题，这种问题最考验经验。

经典场景是：办公网络每隔一段时间就卡顿甚至断网，过一会儿又自动恢复。面对这种问题，我会先看设备日志和告警信息，判断是不是端口频繁UP和DOWN，顺着这个线索查，发现可能是劣质网线或接口接触不良导致的链路震荡。

另一个常见原因是网络环路。风暴造成交换机CPU占用率飙升，表现为全网时延增大、丢包严重。排查时登录交换机查看CPU利用率，用display命令看端口流量统计，哪个接口收发的广播报文数量异常，就顺着那个接口往下一层设备查，最终找到成环的链路并手动断开冗余端口。

还有一种间歇性故障来自ARP表或MAC地址表的异常，比如某终端的ARP表现频繁变化，业务流量时通时断。检查交换机上对应接口的MAC学习和ARP更新情况，必要时配置静态ARP或端口安全策略来规避。

这类问题回答的核心是展示排查思路：先看现象、看日志、看计数器，再逐步缩小范围，最后定位根因。哪怕你经验不多，按照这个思路说，面试官也会认可你的方法论。

5. 综合场景设计题：考察整体架构观

当基础题和技术题答得差不多时，面试官会抛出一些场景设计题，比如：给你一间办公室，你如何设计一张网络？这种题没有唯一答案，考察的是你的全局思维和需求分析能力。

5.1 小型办公网络设计，方案怎么讲才完整

遇到这种题，先不要急着说设备型号，先把需求分析做足。我会按这个顺序展开：

梳理规模——多少台终端、多少个部门、对带宽有什么要求。比如一个50人左右的办公室，办公终端、打印机、无线AP、监控设备大约需要多少IP地址，需要划分几个网段。接着规划VLAN和IP地址段——办公区一个VLAN，无线终端一个VLAN，监控单独一个VLAN，服务器区再用一个独立VLAN。然后设计路由和出口——内部走三层交换机实现VLAN间路由，出口部署一台防火墙做边界防护，通过NAT访问互联网。最后考虑扩展性——预留端口和IP段，无线网络考虑统一管理和漫游需求。

讲设计方案时，最好画一个拓扑在脑海里描述：核心交换机、接入交换机、防火墙、无线控制器、AP的大致位置和连接关系。面试官要的是你脑子里能装下一张拓扑图，并且能清楚地把它讲出来。

5.2 如果带宽不够，你怎么优化

这道题经常作为后续追问出现。给出一个网络环境：出口带宽只有100M，办公终端200台，视频会议卡顿，领导要求优化，你从哪些层面入手？

回答时要分层次给方案。第一层是流量管控：在防火墙上做带宽管理和应用优先级，优先保障视频会议和OA系统的带宽，限制P2P下载和在线视频。第二层是缓存和本地化：内网搭建代理或缓存服务，减少重复外网流量。第三层是链路扩容或负载均衡：如果持续拥塞，考虑升级带宽，或者增加另一条链路做负载均衡和链路备份。第四层是网络自身的优化：检查内网是否存在环路、广播风暴、设备性能瓶颈等问题，避免这些问题浪费带宽资源。

这种问题考察的是你在有限资源下做取舍的能力，面试官并不期待你有一个完美答案，而是看你能不能综合考虑成本、效果和实施难度。

5.3 路由协议选型题的进阶思路

如果面试官再深一层：公司要新建一个两地三中心网络，路由协议如何规划？你没做过这种大型项目也不用慌，按协议特点推演也能答好。

核心思路是分层设计：数据中心内部跑OSPF，分成多个区域，核心区域用Area 0，各机房或功能区作为普通区域连接到骨干区域，减少路由表规模并加快收敛。数据中心之间或者和分支机构之间的互联，如果涉及不同管理域或需要细粒度路由策略，就考虑用BGP。如果规模不大且都在同一自治系统内，也可以继续用OSPF并做好区域划分。

答这道题时，可以顺带提一下路由优先级和路由汇总的概念。比如OSPF手动路由汇总能有效减小核心设备的路由表条目数，BGP可以通过Community属性控制路由的发布和接收。这些细节能展示你不仅知道协议名称，还知道协议在工程中怎么落地。

6. 面试经验与避坑提示：技术之外的胜负手

技术问题准备得再好，面试现场的表现也决定成败。我面试过不少人，发现很多候选人不是技术不行，而是输在了表达方式、回答节奏和临场心态上。这一节分享一些容易忽略但很实用的经验。

6.1 答面试题时最常见的几个坏习惯

第一个坏习惯是堆名词。面试官问“讲讲OSPF”，有人上来就背接口状态机、LSA类型、邻居状态，全是术语轰炸，但没有一条实用的主线。面试官其实希望你由浅入深：先说OSPF是什么、解决什么问题，再说它的核心工作机制，最后落到项目里怎么用。尤其当OSPF只是前菜时，你直接倒一堆底层细节，面试官反而抓不住重点。

第二个坏习惯是不确认就抢答。面试官的问题有时是有明确前提的，比如“在一个50人规模的企业里怎么设计网络”，你上来就讲BGP联盟和EVPN，完全脱离场景。建议听完问题先沉默两秒，梳理一下题目给的前提条件，然后回答时可以先把关键前提重复一遍：在这个规模下，我首先考虑的是成本和维护简单性，所以核心部分用三层交换机加OSPF足够。

第三个坏习惯是遇到不会的问题硬编。技术面试不是考试，面试官通常不问超出岗位需求太多的题，但你不可能什么都会。遇到不会的，坦诚说这块了解得比较浅，然后尝试从原理推导一个合理方向，并主动表示后续可以深入学习。硬编一套看似合理的答案反而会让面试官怀疑你的可信度，连带的负面影响更大。

6.2 项目经验怎么讲，才让面试官相信你做过

面试官问项目经验，不是想听你罗列设备型号和命令，而是想验证你解决问题的能力。我建议按“背景—方案—难点—收获”的结构来讲。

背景讲清楚项目的规模和需求：比如公司新租了一层办公室，要部署一套能容纳200人办公的无线和有线网络。方案讲清楚你的核心设计思路：VLAN怎么划分、出口防火墙策略怎么定、无线覆盖怎么规划。难点挑一个你真实遇到过的问题，比如施工时发现到核心机房的现有光纤链路只有一芯可用，你是怎么临时调整拓扑、使用单纤收发器或重新规划上联端口来解决问题。收获总结一句方法论层面的沉淀：你从项目里学到了什么，下次怎么做得更好。

讲项目经验最关键的是细节，面试官追问得越细，越能验证真实性。如果你真的做过，细节是张口就来的，比如“当时用的三层交换机下联接口是光电复用口，光纤模块是千兆单模的，上联到核心机房的距离大概有两百米”。这些落地的小细节比任何漂亮话都有说服力。

6.3 面试Code和实验题，手千万别抖

部分岗位面试会现场考察配置能力，常见的是用模拟器或者实机敲配置。这类题考的是熟练度和规范性。我的建议是，平时练习一定要刻意训练不看文档、不看笔记敲完整配置的能力，尤其像VLAN、Trunk、路由协议、ACL、NAT这些核心配置，要形成肌肉记忆。

面试现场敲配置时要观察接口状态、检查配置生效情况。敲完记得保存配置，有的模拟器环境不保存配置就会在重启后丢失，这一小步很能体现真实项目习惯。

还有一个容易忽略的点：配置过程中如果卡住了，不要当场放弃或者沉默太久，可以边敲边说自己的思路，让面试官听到你的思考过程，有时候面试官会给提示，你能接住提示把题目解完，同样是加分表现。

7. 常问问题速查表，保存下来方便过一遍

前面讲了那么多展开的内容，最后整理一张速查表，方便你临面试前快速过一遍高频问题，同时标注每个问题的核心得分点。

速查表是帮你临阵磨枪的，但真正的底气来自平时积累。如果你是初级阶段的网工，建议把重心放在基础协议和配置实操上；如果你已经是中级工程师，可以多在故障场景和架构设计上训练自己。

根据我个人带人和面试的经验，网工面试最加分的能力不是会多少种厂商的命令行，而是遇到一个没见过的故障，你能有一套清晰的排查框架；遇到一个模糊的需求，你能结构化地把它拆成可实施的方案。技术问题汇总看得再多，最后都要落到这上面来。希望这篇汇总能帮你理清复习方向，面试时沉着一点，把自己真实的水准发挥出来。