AP 网络技术AP Networking

一句话定位： AP Career Kickstart（职业启航）职业课程：从"我的一台设备"到"全球互联网"四级放大，同一套"排障 → 配置 → 加固 → 记录"动作在越来越大的规模上重复；对齐高校网络课程与行业标准（NICE 人才框架），考试给你真实的拓扑、配置与命令行输出，要你推理而不是背命令。 · 难度： ★★（相对全部 AP；概念层层叠加，子网划分与协议分层偏硬）· 适合谁： 想走 IT 运维 / 网络工程 / 安全方向，或想在 AP-9.2 网络安全之外补"网络怎么通"的学生；无需编程基础。 · 在三年自学课程里的位置： 加分 AP（第 6–9 门），不当骨架——网安 / IT 方向 Year 3 的可选项，通常是第 9 门（"2028 年 5 月首考可作第 9 门"）。 · 大陆可考： 2026-27 学年不可考（封闭试点，仅限往届试点校）；2028 年 5 月首次正式考试对社会考生与大陆考点是否开放未核实。 · 自学时长： 140–180 小时，26–30 周（每周 4–6 小时，含动手）。

0. 课程卡片

1. 这门课对自学者意味着什么

定位与难点。 四个单元是同一套动作的四次放大：一台设备 → 家庭 / 小办公室（SOHO）→ 分段局域网 → 互联网。每一级都要会四件事：出了故障能按层定位（排障）、按需求把设备接起来并配对（连接与配置）、找出并关掉风险（加固）、把现状写成别人能接手的文档（记录）。考试给你的是拓扑、配置和命令行输出，问的是"断在哪一层、证据是哪一行、改哪一个值"。难点有四：① 二进制与子网手算（U3 的 VLSM 是全课最大的门槛）；② 分层排障思维——任何故障先问"到哪一层断的"；③ 读命令行输出，而且 Windows 与 Linux 格式不同；④ 不确定性：试点框架不等于正式 CED，正式考试的题量与时长截至 2026-09 仍未公布。

自学者特有的三个失败点（来自评分行与 AP 大纲）：

1. 没有 Packet Tracer 动手就背 OSI。 七层名字背得滚瓜烂熟，一到"这两台电脑为什么 ping 不通"就无从下手。对策：每个编码都配一个 Packet Tracer 或命令行动手任务，U1 闸门起每个单元都有限时实操考。
2. 子网计算不熟。 算得慢、边界不对齐、忘了减 2。对策：第 2 周补二进制与 2 的幂；U3 起每天 10 道纸笔子网题；U3 设"子网关"：10 道 VLSM 限时全对才进 U4。
3. 按猜测的题量备考 / 以为今年就能考。 2026-27 只有试点校能考；正式结构未公布。对策：模考按"技能 × 单元覆盖矩阵"出卷而不是按猜测的题量；2026-27 学年的外部锚改为 CCST Networking；正式 CED 发布当周重排附录 A。

什么时候该推迟或放弃（止损线）。

• 推迟一年：4 月毕业闸门两次不到 85%（第 6 节），或 2027-28 正式 CED 大幅改动而你只剩不到 8 周。
• 补基础：子网关三次不过 → 停下 U4，回第 2 周的二进制补洞 2 周 + 2028-28 网络基础对应章节，再考。
• 可考性止损：书面询问得知当年大陆与香港都不开 → 当年外部锚改 CCST Networking / Network+，AP 顺延到下一考季。
• 不该放弃的假信号：U3 前两周被 VLSM 与 VLAN 同时压住是正常的，全课最硬的就是这一段。

2. 先修诊断（10 题）

闭卷、纸笔、不用计算器，限时 40 分钟，第 1 周做（第 10 题除外）。

判定与补洞路径。

• 8–10 题对（第 10 题必须对）：直接进 Unit 1。
• 5–7 题对：错在 1/2/3 → 第 2 周按"二进制补洞表"每天 20 道进制转换 + 10 道按位与，周末复测；错在 4/6/9 → 做 NetAcad Networking Basics 前两个模块并每天读 5 行命令输出写中文解释。
• ≤ 4 题对：先修 2028-28 计算机如何对话：网络基础或 NetAcad Networking Basics 全课（约 22 小时），4–6 周后再开本课。
• 第 10 题不过：Packet Tracer 装不上或登录不了，先用平台材料库练读输出，同时按第 3 节"工具"行排查；U1 结束前必须有可用的仿真环境。

3. 资源栈

国内替代与离线策略。

• 第 1 周做"资源连通性自检"：试点框架下载、AP Central、NetAcad 登录、Packet Tracer 登录、中国大学 MOOC、B 站搬运，结果记进档案；不通的一律换成表内【替】一行。
• 离线包（本地 + 外置盘 + 家长账户的云存储，3-2-1）：试点框架 PDF、Packet Tracer 安装包与全部 .pkt 实验文件、Ubuntu 镜像、Wireshark 安装包、平台导出的命令输出材料。Packet Tracer 登录依赖网络，断网时用材料库练读输出与子网。
• 视频不作主线；主线是"仿真 + 命令行 + 读输出 + 纸笔子网"。

明确不用的资源及原因。

• 任何"破解版模拟器""网络工具资源包"与所谓 AP Networking 真题合集：盗版、夹带恶意软件；试点年连官方练习卷都没有，"真题"必然是编的——本课不使用、不推荐。
• 2020 年以前的 CCNA 备考书：考纲多次改版，含已淘汰的技术（如帧中继），徒增负担。
• 在学校、小区、公共场所网络上运行的扫描与抓包工具：违法违规风险（第 10 节第 10 条）；本课只在 Packet Tracer、自己的虚拟机与自家网络（家长同意）上动手。
• 按"端口号速记表"死记硬背的学习法：考试给输出要你推理；端口只记最常见的十来个。
• AI 现编的"模拟题"：只能做日常变式练习（L3），不得进入任何一场全真模考。

4. 单元学习路线

全课屏幕 / 离屏约 6 : 4：Packet Tracer 与命令行必须上机，但子网计算、拓扑草图、输出逐行解释一律先在纸上完成。单次上机不超过 60 分钟；每 30–40 分钟离屏休息 10 分钟。

三条贯穿全课的硬规则。 ① 逐行解释规则（AP 大纲 9.3.4）：给一段 ipconfig / ping / traceroute 或路由表输出，先逐行写出含义，解释不清每行的不得进入判断环节。② 分层排障清单：物理层 → 链路层 → IP → 传输 → 应用，任何故障都按层问"到哪一层断的"，练成肌肉记忆。③ 授权边界：只在 Packet Tracer、自己的虚拟机与自家网络上动手；改自家路由器须家长在场、先截图备份原配置；抓包只抓自己的流量。

编码说明。 知识点编码沿用 AP 大纲 9.3.2 的主题编号，写作 NET-单元.序号（共 22 个）；技能标注：连 = Connect and Configure，守 = Secure，排 = Troubleshoot，记 = 记录（属协作与配置的交叉，考试以材料形式出现）。每类技能分 A–D 四级（具体描述以课程框架为准）：本大纲要求 U1–U2 闸门达到 A–B 级、U3–U4 闸门达到 C–D 级。2027-28 正式 CED 发布后按官方编号核对附录 A。

微关：每个编码 1 组 8–12 题，全对才进下一个编码。🚪 单元闸门统一规则：单元结束 48 小时后闭卷限时考，卷面 = 情景题组 + 1 道材料分析题 + 1 项限时仿真实操；通过 = 总分 ≥ 80% 且题组错 ≤ 1 题（错的那题 24 小时内做 2 道备用变式全对补过——这是 AP 大纲"全对才过、错 ≥ 2 题回炉"的执行口径）+ 实操按规格完成 + 2 分钟费曼讲解过关（小队或家长当听众）。不过 → 回炉错题编码，冷却 48 小时后换卷；两次不过 → 冷却 48 小时 + 错题重学 + 第三张卷。闸门全程 L1 禁 AI、录屏。

Unit 1 · Managing My Connections / 管理我的连接（官网未公布单元占比；第 3–6 周，约 20 小时）

知识点清单（沿用 AP 大纲编码，★ 为难度）

• NET-1.1 给设备排障：通用排障流程（识别问题 → 提出假设 → 测试 → 制定方案 → 实施 → 验证 → 记录）、"先物理后逻辑"；ipconfig /all 与 ip addr 的读法；ping 回环 → 网关 → 外网 IP → 域名"四步法"；169.254.x.x（自动配置地址）= 没拿到 DHCP 地址 ★★（排）
• NET-1.2 连接并优化我的设备：有线与无线；Wi-Fi 2.4 / 5 / 6 GHz 的覆盖与速率取舍、2.4 GHz 互不重叠信道 1 / 6 / 11、干扰；IP 地址 / 子网掩码 / 默认网关 / DNS 服务器四要素；DHCP 四步（发现—提供—请求—确认）；MAC 与 IP；带宽、吞吐量、延迟、抖动；bit 与 byte ★★（连）
• NET-1.3 识别设备安全需求：设备暴露面（监听端口与服务）、系统与驱动更新、Windows"公用 / 专用"网络配置文件、共享与远程服务的风险 ★（守）
• NET-1.4 加固我的设备：更新、主机防火墙、关闭不用的服务（文件共享、远程桌面）、强口令与 MFA、"忘记网络"与关闭自动连接；用 netstat -an / ss -tuln 验证监听端口 ★★（守）

学习活动（屏幕 12 h + 离屏 8 h）

• 读（离屏 4 h）：试点课程框架 Unit 1 的主题与技能描述；《网络是怎样连接的》第 1–2 章。
• 看 + 做（屏幕 6 h）：NetAcad Networking Basics 与 Getting Started with Packet Tracer；每个编码学完做微关。
• 做 · 自家设备（屏幕 4 h + 离屏 4 h）：① 给自己的电脑和手机建"设备网络档案"（IP、掩码、网关、DNS、MAC、频段）；② 在家里 3 个房间分别记录 2.4 GHz 与 5 GHz 的信号与测速结果，画"房间 × 频段"表；③ 用 netstat -an 列出本机监听端口，逐个查出是哪个服务、要不要关。
• 做 · 仿真（屏幕 2 h）：Packet Tracer 搭"路由器（开 DHCP）+ 交换机 + 2 台 PC + 1 台笔记本（无线）"，故意把一台 PC 的网关填错，再按四步法排障。

本单元产出

1. 设备网络档案 + "房间 × 频段"信号表。
2. 《ping 四步排障卡》（每一步：命令、正常输出、异常输出、说明断在哪层）。
3. Packet Tracer 文件 1 个（含故障与修复记录）+ 本机加固前后的监听端口对比。

微关示例题（≥ 3 道，附答案要点）

1. 读 ipconfig。
   复制

   无线局域网适配器 WLAN:
      自动配置 IPv4 地址  . . . . . . : 169.254.37.112(首选)
      子网掩码  . . . . . . . . . . . : 255.255.0.0
      默认网关. . . . . . . . . . . . :
      DHCP 已启用 . . . . . . . . . . : 是
   

   这台电脑能上网吗？原因是什么？按顺序写出 3 个排查动作。 答案要点： 不能。"自动配置"字样与 169.254.x.x 说明开了 DHCP 却没拿到地址，默认网关为空，出不了本网段。排查：① 确认确实连上了正确的 Wi-Fi 且认证成功（链路层）；② ipconfig /release 后 ipconfig /renew 重新申请；③ 仍失败 → 看其他设备能否拿到地址：都不能 → 路由器 DHCP 服务或地址池问题；只有它不能 → 本机网卡、驱动或认证问题。
2. ping 四步法。 某电脑：ping 127.0.0.1 通；ping 192.168.1.1（网关）通；ping 223.5.5.5 通；ping www.example.com 显示"Ping 请求找不到主机"。问题在哪？怎么验证、怎么修？ 答案要点： 本机协议栈、局域网、到互联网的路由都正常，只有域名解析失败 → DNS 问题（应用层服务）。验证：nslookup www.example.com 看用的是哪台 DNS 服务器、是否超时；修复：把 DNS 改为路由器地址或可用的公共 DNS（如 223.5.5.5），或修复路由器的 DNS 转发。
3. 频段选择。 (a) 隔两堵墙的书房笔记本经常卡；(b) 智能插座只支持 2.4 GHz；(c) 离路由器 3 米的电视看 4K 视频。各连哪个频段？ 答案要点： (a) 2.4 GHz（穿墙与覆盖更好；根治靠调整路由器位置或加有线回程的 Mesh）；(b) 只能 2.4 GHz；(c) 5 GHz（近距离带宽更高、干扰更少）。2.4 GHz 只有 1 / 6 / 11 三个互不重叠信道，邻居多时拥挤。
4. 带宽换算。 宽带标称 100 Mbps，下载 1 GB 的游戏更新理论上至少多久？为什么实际更久？ 答案要点： 1 GB ≈ 8,000 Mb，8,000 ÷ 100 = 80 秒；实际还有协议开销、Wi-Fi 速率低于宽带速率、服务器限速、家人共享带宽。关键是分清 b 与 B。
5. 监听端口。 在图书馆连公共 Wi-Fi 时，netstat -an 显示本机 0.0.0.0:3389 与 0.0.0.0:445 处于 LISTENING。风险？加固？ 答案要点： 远程桌面（3389）与文件共享（445）对同网段的陌生人暴露。加固：关闭远程桌面与不用的共享，网络类型设为"公用"，开启主机防火墙，更新系统；再跑一次 netstat -an 验证。

易错与陷阱

• Mbps 与 MB/s 混用（差 8 倍）。
• 把 169.254.x.x 当成"路由器的地址"。
• "能 ping 通 IP、打不开网页"说成"网断了"——那是 DNS。
• 信号满格不等于速度快（干扰、信道拥挤、终端能力）。
• 手动配地址时把默认网关填成不在本网段的地址。

AI 导师用法（可直接复制的提示词）

你是我的 AP Networking 排障教练，规则：只提示不给答案。
请给我 5 个"单台设备上不了网"的故障案例。每个案例给出：用户的一句话描述 + ipconfig /all（或 Linux 的 ip addr 与 ip route）输出 + 1–3 条 ping 或 nslookup 结果，全部逐行编号。
约束：地址只用私有地址段与 RFC 5737 文档地址段；描述里不要透露故障原因。
我对每个案例先交"逐行解释"，再交"断在哪一层 + 证据行号 + 修复 + 验证命令"。
你只做两件事：① 指出我第一处解释错误的行号并问一个引导问题；② 全部答完后，按"物理/链路/网络/传输/应用"统计我判断错层的次数。

🚪 Unit 1 闸门

• 闭卷限时 40 分钟：情景题组 20 题 + 材料分析题 1 道（12 分钟：一份 ipconfig /all + 4 条 ping 结果，写分层诊断、修复与验证命令）。通过标准见本节开头。
• 实操（录屏）：15 分钟内在 Packet Tracer 搭"路由器（开 DHCP）+ 交换机 + 2 台 PC"，两台 PC 自动拿到地址并互 ping 通。
• 费曼讲解 2 分钟："从按下回车到网页出现，你的电脑先要有哪四个配置值？缺哪一个会出现什么现象？"

Unit 2 · Managing My Shared Connections / 管理我的共享连接（官网未公布单元占比；第 7–12 周，约 30 小时）

知识点清单

• NET-2.1 给 SOHO 网络排障：按范围定位（一台 / 全部 / 某类应用）；光猫、路由器、交换机、AP 的指示灯与管理页；IP 冲突、DHCP 地址池耗尽、DNS 故障、双重 NAT ★★（排）
• NET-2.2 记录网络：物理拓扑图与逻辑拓扑图、IP 地址分配表、设备清单（型号、固件版本、位置、MAC）、配置基线与变更记录 ★（记）
• NET-2.3 升级网络：需求分析（设备数、带宽、覆盖、预算）；Wi-Fi 代际与标准号（Wi-Fi 5 = 802.11ac、Wi-Fi 6 / 6E = 802.11ax、Wi-Fi 7 = 802.11be）；Mesh 与有线回程；交换机扩口；以太网供电（PoE） ★★（连）
• NET-2.4 高级功能：NAT 与私有地址（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16）、运营商级 NAT 共享地址段（100.64.0.0/10）、端口转发、DHCP 保留、QoS、访客网络、UPnP、动态 DNS ★★★（连 / 守）
• NET-2.5 识别安全需求：默认管理口令、WPS、过时加密（WEP、TKIP）、外网远程管理、老旧固件、物联网设备 ★★（守）
• NET-2.6 加固网络：改管理口令、WPA3 或 WPA2-AES、关闭 WPS 与 UPnP、关闭外网管理、用访客网络隔离物联网设备、更新固件；改完逐项验证并记录 ★★（守）

学习活动（屏幕 16 h + 离屏 14 h）

• 读（离屏 5 h）：试点框架 Unit 2；《网络是怎样连接的》第 3–4 章（交换机、路由器与接入网）。
• 看 + 做（屏幕 12 h）：NetAcad Networking Basics 余下模块；Packet Tracer 搭 SOHO：路由器 DHCP 地址池与保留、访客网络、NAT、一条端口转发（端口转发只在仿真里练），并各截一张验证截图。
• 做 · 自家网络（屏幕 4 h + 离屏 5 h，家长在场）：只读方式登录自家路由器管理页，截图记录 WAN 地址、DHCP 设置、无线加密、WPS / UPnP / 远程管理状态、固件版本；画自家网络的物理与逻辑拓扑；写"加固建议清单"，家长同意后只改口令与 WPS 两项并验证。
• 做 · 升级方案（离屏 4 h）：为"一间 12 人小办公室"写升级方案：设备清单、预算表（总价 ≤ ¥3,000 的纸面方案，不必真买）、升级前后对比。

本单元产出

1. 家庭网络文档包：物理 / 逻辑拓扑、地址分配表、设备清单（隐去 SSID、口令等敏感信息）。
2. Packet Tracer SOHO 文件 + 验证截图 5 张。
3. 小办公室升级方案 1 份 + 路由器加固清单（当前值 → 目标值 → 验证方法）。

微关示例题

1. 按范围定位。 周一早上办公室 8 台电脑全部上不了网，但都能打开路由器管理页；管理页显示 WAN 口"未获取到 IP 地址"。问题在哪一段？下一步？ 答案要点： 局域网内部正常（能到路由器），问题在路由器到运营商这一段：光猫、WAN 线缆、拨号账号或运营商侧。下一步：看光猫指示灯（光信号告警说明线路中断）、重启光猫与路由器、核对拨号账号，仍不行报修运营商；每一步改动记进变更记录。
2. 地址池耗尽。 路由器 DHCP 地址池 192.168.1.100–192.168.1.150，租期 7 天；员工与访客设备约 60 台，新来的手机常显示"已连接，无互联网"，地址是 169.254.x.x。原因与修法？ 答案要点： 地址池只有 51 个地址，长租期又让离开的设备占着地址 → 新设备拿不到地址。修法：扩大地址池（如 .20–.250）、缩短租期（如 8 小时）、访客走单独的访客网络与地址池、固定设备用 DHCP 保留。
3. 私有地址识别。 以下哪些是 RFC 1918 私有地址：10.8.3.4、172.20.1.1、172.32.0.1、192.168.0.1、100.64.1.1？ 答案要点： 10.8.3.4、172.20.1.1、192.168.0.1 是；172.32.0.1 不是（172.16.0.0/12 只到 172.31.255.255）；100.64.1.1 属于运营商级 NAT 共享地址段 100.64.0.0/10，不是 RFC 1918 私有地址，但也不是公网地址。
4. 端口转发为何无效。 在路由器上把外部 8443 转发到 192.168.1.20:443，外网却访问不到。路由器 WAN 地址是 100.72.14.9，而"查我的公网 IP"网站显示 203.0.113.50。原因？可选方案？ 答案要点： WAN 地址在 100.64.0.0/10 内 → 运营商级 NAT，家里没有独立的公网 IPv4，转发只到了运营商的 NAT 之内。方案：向运营商申请公网 IPv4（未必批准）、改用 IPv6（须同时配好 IPv6 防火墙）、或干脆不把服务暴露到公网（最安全）。
5. 加固优先级。 家庭路由器：管理员 admin / admin；WPS 开启；UPnP 开启；外网远程管理开启；固件是 2019 年的；Wi-Fi 为 WPA2 混合 TKIP。排出前 3 项并说明理由。 答案要点： ① 改管理员口令 + 关闭外网远程管理（外网可直接登录管理页，风险最大）；② 更新固件（已知漏洞）；③ 关闭 WPS、改为 WPA2-AES 或 WPA3。UPnP 视需要关闭（允许内网设备自动开端口，常被恶意软件利用）。改完逐项验证并记录。

易错与陷阱

• 一台不通就重启全家路由器——先按范围定位。
• 把光猫、路由器、交换机、AP 的角色混为一谈。
• 以为 NAT 等于防火墙；NAT 只是地址转换，挡住入站是它的副作用，不是安全设计。
• 172.16.0.0/12 的范围算成 172.16–172.255。
• 改完配置不记录，下次出故障不知道动过什么。

AI 导师用法

你是我的家庭与小办公室网络（SOHO）教练，只提示不给答案。
请描述一个 10–15 台设备的小办公室网络（光猫、路由器、1 台 8 口交换机、1 个无线 AP、打印机、NAS），给出：一段文字拓扑、一份路由器状态页输出（WAN 地址、DHCP 地址池与租期、已分配地址列表），以及 3 条用户报修。
地址只用私有地址段、100.64.0.0/10 与 RFC 5737 文档地址段。
我要依次交：① 物理与逻辑拓扑（文字版）；② IP 地址分配表；③ 3 条报修各自断在哪一段、证据是什么；④ 加固清单（当前值 → 目标值 → 验证方法）。
你对每一步只指出第一处问题并给一句提示；我改完再看下一步。

🚪 Unit 2 闸门

• 闭卷限时 45 分钟：情景题组 22 题 + 材料分析题 1 道（15 分钟：SOHO 拓扑 + 路由器状态页 + 2 条报修，要求诊断、给出加固项、写出需要更新的文档行）。
• 实操（录屏）：20 分钟内在 Packet Tracer 里为一个 SOHO 网络配好 DHCP 地址池、访客网络与一条 DHCP 保留，并用 ping 与地址截图证明。
• 费曼讲解 2 分钟："NAT 为什么能让 20 台设备共用一个公网地址？它的代价是什么？" 附加：家庭网络文档包由小队 1 人按清单验收。

Unit 3 · Managing Many Connections / 管理多台设备的连接（官网未公布单元占比；第 13–20 周，约 44 小时）

全课最硬的一段：子网划分、VLAN 与防火墙规则。这 8 周锁死，要压缩只能压 U1–U2。子网关不过，不进 U4。

知识点清单

• NET-3.1 选设备与线路：集线器、交换机、路由器、无线 AP、防火墙的工作层次与作用；双绞线（Cat5e / Cat6）与 100 米上限；光纤（单模 / 多模）的距离优势；PoE ★★（连）
• NET-3.2 交换与拓扑：交换机的 MAC 地址表学习、转发与泛洪；广播域与冲突域；星型、扩展星型、网状拓扑；环路与生成树（STP）的概念 ★★★（连 / 排）
• NET-3.3 连接、配置与验证访问：IP 编址规划、CIDR 与子网掩码互换、子网划分与可变长子网掩码（VLSM）、网络地址 / 广播地址 / 可用主机范围、静态地址与 DHCP 的分工；配置后用 ping 与设备的查看命令验证 ★★★（连）
• NET-3.4 分段与边界安全：VLAN（802.1Q 标签、access 口与 trunk 口）、VLAN 间路由、DMZ、内外边界 ★★★（守）
• NET-3.5 防火墙与过滤：访问控制列表（ACL）按顺序执行、首条匹配、隐式拒绝；通配符掩码读法（0.0.0.255）；按源 / 目的 / 协议 / 端口过滤；有状态防火墙 ★★★（守）
• NET-3.6 分段 LAN 的记录、诊断与修复：VLAN 分配错误、trunk 未放行某 VLAN、网关或掩码填错、ACL 顺序错；按层排查并同步更新文档 ★★★（排 / 记）

学习活动（屏幕 24 h + 离屏 20 h）

• 读（离屏 6 h）：试点框架 Unit 3；NetAcad 进阶课中编址与交换的对应模块（能打开时）。
• 做 · 子网（离屏 10 h）：从第 15 周起每天 10 道纸笔子网题（前两周按"块大小法"：先定前缀，块大小 = 256 − 该段掩码值，网络地址是块大小的整数倍），每周日一套 20 分钟限时卷；平台子网题生成器出题，KaTeX 逐位演算只在批改时看。
• 做 · 仿真（屏幕 22 h）：Packet Tracer 按平台步骤清单依次完成：① 两台交换机 + 6 台 PC 观察 MAC 地址表学习；② 3 个 VLAN + trunk；③ VLAN 间路由；④ 一条扩展 ACL 实现"访客只能上网、不能访问服务器段"；⑤ 故障注入：小队交换 .pkt 文件，每个文件埋 2 个故障（VLAN、trunk、网关、ACL 顺序四选二），限时 30 分钟找出并修复。
• 做 · 核验 AI（屏幕 2 h + 离屏 4 h，L5）：让 AI 按一段需求写 ACL 或 VLAN 配置，你先在纸上判断它能否满足需求、会不会误伤业务，再在 Packet Tracer 里验证，记录"AI 错在哪一行"。

本单元产出

1. 子网练习本：≥ 300 道题，按"块大小错 / 边界错 / 忘减 2 / 重叠"归类的错因统计。
2. Packet Tracer 文件 5 个（含故障注入包 2 个）+ 每个文件的交接文档（拓扑、地址表、VLAN 表、ACL 说明）。
3. 《AI 配置核验记录》3 份：需求 → AI 配置 → 我的判断 → 仿真结果 → AI 错误类型。

微关示例题

1. VLSM 规划。 用 192.168.10.0/24 给四个网段分配地址：教学区 60 台、办公区 28 台、打印与服务器 12 台、两台路由器之间的互联链路 2 个地址。按从大到小写出每段的网络地址 / 前缀长度 / 可用范围。 答案要点： 教学区 192.168.10.0/26（.1–.62，可用 62）；办公区 192.168.10.64/27（.65–.94，可用 30）；打印与服务器 192.168.10.96/28（.97–.110，可用 14）；互联 192.168.10.112/30（.113–.114）。要点：先满足最大的；可用数 = 2^主机位 − 2；块起点必须是块大小的整数倍。
2. 属于哪个子网。 主机 10.1.5.130/25 的网络地址、广播地址、可用范围？10.1.5.127 与它在同一子网吗？ 答案要点： 网络 10.1.5.128，广播 10.1.5.255，可用 .129–.254；10.1.5.127 不在（它是 10.1.5.0/25 的广播地址）。
3. VLAN 故障。 交换机上 PC1 接 Fa0/1（access VLAN 10），PC2 接 Fa0/2（access VLAN 20），两台都配 192.168.10.x/24、同一网关。PC1 ping PC2 不通。原因与两种修法？ 答案要点： VLAN 把二层广播域隔开，两台 PC 在不同 VLAN，二层互相不可达（同一子网跨两个 VLAN 本身就是设计错误）。修法：若本应互通 → 两口放进同一 VLAN；若本应隔离但需受控访问 → VLAN 20 改用独立子网（如 192.168.20.0/24），经三层设备做 VLAN 间路由并用 ACL 控制。
4. 读 ACL。 以下扩展 ACL 应用在访客 VLAN 20 接口的入方向：
   复制

   10 permit tcp 192.168.20.0 0.0.0.255 host 192.168.99.10 eq 443
   20 deny   ip  192.168.20.0 0.0.0.255 192.168.99.0 0.0.0.255
   30 permit ip  any any
   

   访客能否 SSH（22）到 192.168.99.10？能否访问它的 HTTPS？能否上互联网？删掉第 30 行会怎样？ 答案要点： SSH 不能（第 10 行只放行 443，命中第 20 行拒绝）；HTTPS 能（命中第 10 行）；上互联网能（命中第 30 行）；删掉第 30 行后，除第 10 行外全部落入隐式拒绝，访客连互联网都上不了。0.0.0.255 表示"前三段必须匹配、最后一段任意"。
5. 选线路。 两栋教学楼相距 150 米，需要千兆互联。能用 Cat6 双绞线直连吗？应选什么？ 答案要点： 不能：双绞线以太网的标准距离上限是 100 米。应选光纤（多模即可覆盖这段距离，单模更远），两端配光模块；不要在室外中途加交换机"接力"。

易错与陷阱

• 可用主机数忘了减 2（网络地址与广播地址不可分配）。
• 子网块起点不对齐：/27 的起点只能是 0、32、64、96 这类 32 的整数倍。
• 把 VLAN 当成"给端口起名字"，忘了 trunk 要放行对应 VLAN。
• ACL 按顺序首条匹配，末尾有隐式拒绝；通配符掩码与子网掩码写反。
• 双绞线超过 100 米；在两段之间随意串接交换机造成环路。

AI 导师用法

你是我的子网划分教练，规则：只提示不给答案，所有二进制演算用 KaTeX 逐位写出。
每次给我 1 道 VLSM 题：一个 /22 到 /24 的地址块 + 3–5 个网段的主机需求（含 1 条点对点链路）。
我会按从大到小交出每段的网络地址、前缀长度、子网掩码、可用范围、广播地址。
你只检查四件事：① 是否从大到小；② 每段块大小是否是 2 的幂且满足需求；③ 块起点是否对齐；④ 各段有无重叠。
第一处错误只给一句提示（例如"这个块的起点是 32 的倍数吗？"），不要替我算。连续 10 题全对后，改出"给出已有分配、找出重叠或浪费"的反向题。

🔢 子网关（AP 大纲 9.3.4 ③，第 17 周）：10 道 VLSM 子网划分，限时 25 分钟，不用计算器，全对才进 U4；错 1 题即 24 小时后换 10 道新题重考。

🚪 Unit 3 闸门

• 闭卷限时 60 分钟：情景题组 26 题 + 材料分析题 1 道（20 分钟：分段 LAN 拓扑 + VLAN 表 + ACL + 4 条 ping 结果，找出 2 个故障、写出修复配置与验证方法）。前提：子网关已过。
• 实操（录屏）：30 分钟内在 Packet Tracer 按规格搭 2 个 VLAN + VLAN 间路由 + 1 条 ACL，并用 ping 证明"该通的通、该断的断"。
• 费曼讲解 2 分钟："为什么同一台交换机上的两台电脑可能互相 ping 不通？"

Unit 4 · Managing Our Global Connections / 管理全球连接（官网未公布单元占比；第 22–29 周，约 44 小时）

知识点清单

• NET-4.1 网络为何会断：单点故障；链路、设备、电源故障；DNS 故障；路由配置错误导致的大面积中断（案例：2021 年 10 月某大型社交平台因 BGP 路由被撤回而全球中断）；海底光缆中断 ★★（排）
• NET-4.2 协议与 OSI / TCP-IP 模型：七层与四层对照、封装与解封装、各层数据单元（比特 / 帧 / 包 / 段）、TCP 与 UDP 的取舍、TCP 三次握手、常见协议与端口（DNS 53、DHCP 67 / 68、HTTP 80、HTTPS 443、SSH 22、SMTP 25） ★★★（连 / 排）
• NET-4.3 用命令行做分析：ping、tracert / traceroute、nslookup / dig、netstat / ss、arp -a、ipconfig / ip；读懂超时、不可达、TTL、跳数与 * * * 的真实含义 ★★★（排）
• NET-4.4 路由、度量与路径：路由表字段、最长前缀匹配、默认路由 0.0.0.0/0、静态与动态路由、度量值（跳数 / 代价）、自治系统与 BGP 的概念 ★★★（连 / 排）
• NET-4.5 监控与防御大型网络：基线与告警、SNMP 与 syslog、流量分析、IDS / IPS、DDoS 的特征与缓解、集中日志 ★★（守）
• NET-4.6 为可靠性与增长做设计：冗余（链路、设备、电源、运营商）、负载均衡、高可用、可扩展的地址规划、IPv6 地址（128 位、简写规则、全局单播与链路本地） ★★（连）

学习活动（屏幕 24 h + 离屏 20 h）

• 读（离屏 8 h）：试点框架 Unit 4；《计算机网络：自顶向下方法》中 DNS、TCP / UDP、路由三部分，或中国大学 MOOC《计算机网络》对应讲次。
• 做 · 命令行（屏幕 8 h + 离屏 4 h）：同一组任务在 Windows 与 Ubuntu 虚拟机里各做一遍——对 3 个公开网站跑 tracert / traceroute 与 nslookup / dig，逐行解释并比较两种输出格式；只对公开网站做诊断，不对任何他人设备扫描。
• 做 · 抓包（屏幕 3 h）：Wireshark 只抓自己电脑的 DNS 查询、TCP 三次握手、DHCP 过程各一次，截图标出每个字段。
• 做 · 仿真（屏幕 13 h）：Packet Tracer 搭 3 台路由器的静态路由 + 默认路由，再故意删掉一条路由，用 traceroute 观察并修复；第二个故障注入包交换。
• 做 · 设计（离屏 8 h）：写一份"事故复盘"（选一次公开报道的大型网络中断，按"现象—根因—哪一层—本可避免的设计"四段写）+ 一份学校网络的冗余设计。

本单元产出

1. 命令输出解释集 10 份（Windows 与 Linux 各半）+ 抓包截图 3 张。
2. Packet Tracer 静态路由文件 + 故障注入包 1 个 + 交接文档。
3. 事故复盘 1 份 + 冗余设计 1 份。

微关示例题

1. 按层归位。 下列故障各在 OSI 哪一层？(a) 网线水晶头松动；(b) 交换机 MAC 地址表被大量伪造地址填满；(c) 两台主机配了相同的 IP；(d) 防火墙拦截了 TCP 443；(e) 域名解析失败。 答案要点： (a) 物理层；(b) 数据链路层；(c) 网络层；(d) 传输层（按端口过滤）；(e) 应用层（DNS 是应用层协议，TCP/IP 模型同样归应用层）。
2. 读 traceroute。
   复制

    1    1 ms    1 ms    1 ms  192.168.1.1
    2    4 ms    3 ms    4 ms  100.64.0.1
    3    9 ms    8 ms    9 ms  203.0.113.1
    4     *       *       *    请求超时。
    5     *       *       *    请求超时。
    6   38 ms   37 ms   39 ms  198.51.100.80
   

   第 4、5 跳是不是网络断了？怎么判断？ 答案要点： 不是：第 6 跳（目的地）正常回应，说明路径是通的；中间路由器不回应或限速 ICMP 是常见配置。只有 * * * 一直延续到最后、目的地也不回应时，才怀疑断点在最后一个有回应的跳之后，再用别的方法（如连接目标的 443 端口）确认。
3. 最长前缀匹配。
   复制

   目的网络          下一跳          接口    度量
   0.0.0.0/0         203.0.113.1     WAN     1
   10.0.0.0/8        10.255.0.1      LAN1    20
   10.20.0.0/16      10.255.0.2      LAN2    10
   10.20.30.0/24     10.255.0.3      LAN3    50
   

   发往 10.20.30.77、10.20.99.1、10.99.1.1、198.51.100.9 的包各走哪个接口？ 答案要点： LAN3（/24 最长匹配，度量 50 也不影响）；LAN2（/16）；LAN1（/8）；WAN（默认路由）。度量只在前缀长度相同的路由之间比较。
4. TCP 还是 UDP。 视频通话、文件下载、DNS 查询各主要用什么？为什么视频通话宁可丢包也不重传？ 答案要点： 视频通话多用 UDP（实时性优先，迟到的旧画面没有意义）；文件下载用 TCP（要求完整可靠，三次握手 SYN、SYN-ACK、ACK 建立连接并确认重传）；DNS 查询通常用 UDP 53，响应过大时改用 TCP。网页浏览传统上走 TCP，新的 HTTP/3 改走 UDP 上的 QUIC，由 QUIC 自己负责可靠传输。
5. IPv6 简写。 把 2001:0db8:0000:0000:0000:ff00:0042:8329 写成最简形式；IPv6 地址有多少位？ 答案要点： 2001:db8::ff00:42:8329；每段去掉前导零，连续的全零段用一次 :: 代替（一个地址里只能用一次）；128 位。
6. 可靠性设计。 一所学校只有一条宽带、一台核心交换机、服务器没有备用电源。按优先级给出 3 条改进并说明各消除哪个单点故障。 答案要点： 双运营商线路 + 自动切换（链路单点）；核心交换机冗余或堆叠（设备单点）；服务器与核心设备配 UPS（电源单点）；再加监控告警，让故障被及时发现。

易错与陷阱

• 把 * * * 当成断网。
• 选路先看度量值——应先看最长前缀。
• 忘了 DNS 属于应用层；把"能 ping 通 IP"当成"应用一定可用"。
• Windows 用 tracert、Linux 用 traceroute，输出格式与默认探测方式都不同。
• IPv6 的 :: 在一个地址里用两次。

AI 导师用法

你是我的命令行排障教练，只提示不给答案。
请给我一个"某网站打不开"的综合案例：用户描述 1 句 + 以下输出中的 3–4 种（逐行编号）：ipconfig /all 或 ip addr、ping、tracert 或 traceroute、nslookup 或 dig、route print 或 ip route。
一半用 Windows 格式、一半用 Linux 格式；地址只用私有地址段与 RFC 5737 文档地址段。
我会交：① 每份输出的逐行解释；② 按 OSI 从下往上逐层判断"这一层是否正常 + 证据行号"；③ 结论与修复；④ 修复后应该看到的验证输出。
你先只检查①，指出第一处错误并追问；①全对后再看②③④。不要替我下结论。

🚪 Unit 4 闸门

• 闭卷限时 60 分钟：情景题组 26 题 + 材料分析题 1 道（20 分钟：traceroute + 路由表 + nslookup 输出，诊断"某网站打不开"并写出修复与验证）。
• 实操（录屏）：25 分钟内在 Packet Tracer 修好一个缺失路由与一个错误默认网关的三路由器网络。
• 费曼讲解 2 分钟："为什么 traceroute 中间几跳显示 * * * 却能正常打开网站？" 白纸默画：OSI 七层与 TCP/IP 四层对照 + 每层 1 个排障命令。

5. FRQ / 作品任务专训

本科目没有作品任务。Section II 自由问答从 2028 年 5 月正式考试起才有：分析真实网络材料与证据（拓扑、配置、日志、命令输出）并给出诊断与方案；题量、时长、评分标准截至 2026-09 均未公布。因此本节训练的是"材料分析题"的通用能力，正式结构公布后立即按官方调整。

排障报告五段法（本平台训练口径，非官方结构）

六要素自评表（本平台自评工具）：行号证据、分层完整、根因可排除干扰、修复具体、验证可执行、文档同步，每项 0 / 1，六项全 1 才算完整作答。框架强调"可借助 AI 也可不借助 AI"判断方案，所以每两周加做 1 道"AI 建议核验题"：材料里附一段 AI 给出的修复建议，你要指出它对在哪、错在哪、会不会误伤业务。

每周篇数与节奏

• 小队故障注入包：每人每三周做一个 .pkt 文件，埋 2 个故障，附一页"用户报修单"交给队友；队友交排障报告，出题人按六要素批改——这同时训练框架里只在课堂评的 Collaborate（协作）技能。
• AI 批改的边界：可交给 AI 的是六要素核对、子网演算复核、找"没有行号的空句"；不能交给 AI 的是最终的层级判定与"修复会不会误伤业务"——AI 常把不同厂商的命令语法混用，必须在 Packet Tracer 里验证。
• 必须真人：每月至少 1 份排障报告 + 1 个 .pkt 文件送给有网络运维经验的志愿导师或付费评审（预算 ¥100–300/月），重点看"修复是否可执行、文档能否交接"；费曼讲解要有真人听众。

6. 模考与毕业闸门

试点年没有官方练习卷。按 AP 大纲 9.3.4：毕业测试以"四类技能 × 四个单元"自组的全真模考为准，综合得分 ≥ 85% 方可毕业；2027-28 正式 CED 与样题发布后，以官方样题重测一次。考试只考连接与配置、加固、排障三类技能（协作只在课堂评，由小队故障注入包考核），所以自组卷按"3 项考试技能 × 4 单元 = 12 格"的覆盖矩阵出题：每格 ≥ 4 道情景选择题（共 ≥ 48 题，每题限时 75 秒）+ 2 道材料分析题（各 20 分钟），约 100 分钟。这是训练结构，不是对官方题量的猜测；官方公布结构后立即按官方重排。自组卷只用平台题库中经真人审核的题与小队故障注入包，学生本人不参与出题，AI 现编题不进任何一场全真模考。

官方题分配原则：正式 CED 与官网样题一发布就下载，第 1 周只读题型说明与技能描述，题目内容交家长或队长保管，锁定到第 33 周；若 Bluebook 上线本科目练习卷（未核实），也留作毕业闸门；2028 年首考后官方若公布自由问答与评分标准（是否公布未核实），下一年的考生把它留作最终模考。

录屏与见证：全真模考全程录屏（桌面 + 计时器可见），Packet Tracer 实操部分同样录屏；家长或小队队长线上同屏见证并签字，无见证的成绩不计入闸门；材料分析题先按六要素自评，再由 AI 复核，争议处送真人。

冷却规则：任何闸门或模考不过 → 冷却 48 小时，只做错题对应编码的重学与备用变式；同一闸门两次不过 → 本单元重学（U1 1 周、U2 1.5 周、U3–U4 各 2 周）后第三次考；毕业闸门两次不过 → 推迟一年，本年剩余时间转去考 CCST Networking。

7. 报名与考务（社会考生）

所有日期以当年官网为准（AP Central / Prometric 中国 / HKEAA），每年 8 月复审时更新。

分学年的可考性

• 2026-27 学年：不可考。 第三次也是最后一次封闭试点，仅限此前参加过 Networking / Cybersecurity 试点的学校；2027-05-07 的试点考试只有选择题、只对试点校学生开放。这一年想学就学，外部锚改为 Cisco CCST Networking。
• 2027-28 学年起：可考性待核。 2027-28 全面开放，2028 年 5 月首次正式考试。报名仍在前一年秋季（2027 年 10–11 月），届时向下列渠道书面询问三件事：① 2028 年 5 月是否为社会考生开设 AP Networking；② 考试日期与场次（截至 2026-09 未公布）；③ 费用与退费规则。回复截图存进证据档案；没有书面"开考"确认就不缴费。询问用语可直接改用："您好，我是在家自主学习的社会考生，想报考 2028 年 5 月的 AP Networking。请问本考季贵通道 / 考点是否开设该科目？考试日期、费用与退费规则如何？"

三条渠道

时间线（以 2028 年 5 月首考为例）

• 2027 年 9 月：定本年报考组合（每年 2–4 门、并行 ≤ 4 门；本课只作加分项）；发出可考性询问；下载正式 CED。
• 2027 年 10–11 月：拿到书面确认后确认科目、缴费（截止：HKEAA 11/2、Prometric 约 11 月中、美国学校 11/13）；装 Bluebook 跑一次练习（家庭端速度未核实）。
• 2028 年 3 月：设备体检；美国学校迟订截止约 3 月中旬（以当年手册为准）。
• 2028 年 5 月：考试（具体日期未公布）。6 月指定免费送分，7 月出分。

费用（截至 2026-09-05 的口径）：美国境内 $98/科（2026）；境外考点往年标价 $128/科，2026-27 起未核实；大陆通道费用未核实。设备与考务：全数字化 Bluebook，大陆 AP 考点自 2025 年起用 Bluebook 机考、由考点提供设备；计算器政策官网未列，按手算准备；无 Digital Portfolio 组件；材料随题给出，不得自带资料。

8. AI 使用规范

默认级别 L3（可协作但须标注）。分环节：

三个提示词模板（可直接复制）

① 讲解模板

你是我的 AP Networking 导师。规则：苏格拉底式提问、只提示不给答案；在我说"给答案"之前，不得直接给出结论、配置或计算结果。
我卡在知识点 <填 NET-x.y>：<粘贴命令输出或拓扑（已逐行编号）与我的逐行解释>。
请按顺序：1) 用一个问题确认我卡在哪一行、哪一层；2) 给我一个不超过 5 行的最小对照输出，让我自己比较出差别；3) 我回答后再决定给下一个提示，还是让我总结成一句"证据—判断—修复"。
涉及二进制时用 KaTeX 逐位演算，但只演算到我出错的那一位。地址只用私有地址段与 RFC 5737 文档地址段。

② 出题模板

你是 AP Networking 出题官。按知识点 <填编码> 出 1 组材料题：材料 1 份（拓扑描述 / 设备配置 / 命令行输出 / 路由表 / ACL 五选一，8–15 行，逐行编号），配 4 道题：
1 道"第几行说明了什么"、1 道"断在哪一层、证据是哪一行"、1 道"写出修复后的具体配置或地址"、1 道 4 选项单选（其中一个干扰项是"度量值更小的路由"或"看起来更具体的规则"这类常见误判）。
Windows 与 Linux 输出格式轮换使用。先只给材料和题，不给答案；我逐题作答后你只回"对/错 + 一句提示"。这些题只用于日常练习，不用于毕业模考。

③ 批改模板

你是 AP Networking 材料分析题的批改员。下面是题目材料（已逐行编号）与我的排障报告（五段：现象与范围、分层定位、根因、修复方案、验证与记录）。
请按六要素逐项打 0/1：行号证据、分层完整、根因能排除干扰、修复具体可执行、验证命令与预期输出、文档同步。
不要替我改写；对得 0 的要素各给一句提示，指向材料中的哪一行或哪一层。
凡涉及 ACL 或路由选择的判断，必须先写出"逐条比对 / 最长前缀比较"的过程再下结论；如果你给出配置示例，请注明是哪种设备语法，并提醒我在 Packet Tracer 中验证。
第三版之后我才会请你给参考答案。

四层反馈在本课的落点

禁止项与诚信

• 不让 AI 生成针对真实网络的扫描、入侵或绕过访问控制的步骤；本课也不需要。
• 不把自家路由器的真实口令、公网地址、他人设备信息粘给 AI；材料先脱敏。
• 闸门与模考期间使用 AI → 该次成绩作废，换卷重考；AI 生成的题不进任何全真模考。
• 18 岁前只用国内可直接访问的大模型（DeepSeek、通义、智谱、豆包、Kimi），须监护人同意；不买"拼车号 / 代充号"。

9. 全年周计划

第 1 周锚定为考季学年 9 月的第一个周一，下表以 2027-28 学年为例（2027-09-06 起，对应 2028 年 5 月首次正式考试）。本课在三年课表中默认排 Year 3（2028-29 学年，日期整体顺延）；2026-27 学年想先学可照同一张表推进，外部锚改为 CCST Networking。每周 4–6 小时。

与三年课表的对应。 网安 / IT 方向 Year 3 的可选加分 AP（"2028 年 5 月首考可作第 9 门"），与 Stats、Cyber、Lang / TOEFL 并行时总数 ≤ 4 门。模块侧：Year 3 的 2028-28 计算机如何对话：网络基础是本课 U1–U2 的直觉底座，可提前到 Year 2；2026-78 黑客攻防案例研究与 2028-78 网络防御案例研究提供 U4"网络为何会断"的案例素材。

三层速度的调整。

• 牛顿层：不建议修；确要修，放 Year 3 且不与 AP-9.2 同年，U3 延长到 10 周。
• 伽利略层：按上表执行。
• 爱因斯坦层：2026-27 学年先学 U1–U3 并考 CCST Networking；2027-28 学年按正式 CED 补差、学 U4，赶 2028 年 5 月首考；或与 AP-9.2 同学年同修（两课 U3 合并练分段与防火墙）。

10. 本科目的"不知道的不知道"（8–12 条）

1. 2026-27 学年的 AP Networking 只对往届试点校开放，社会考生无论如何都报不了；2027-05-07 的试点考试也只考选择题。 —— 会踩是因为课程页、课程框架都能公开下载，看起来和其他 AP 一样"学完就能考"。对策：2026-27 学年学的话，外部锚改为 CCST Networking；AP 从 2028 年 5 月起算。
2. 试点课程框架不等于正式 CED：2027-28 全面开放时发布的正式 CED 可能改动主题、技能层级与考试结构。 —— 会踩是因为试点期学得越扎实，越容易把试点版当定稿。对策：正式 CED 发布当周（第 1–2 周）逐条对照附录 A，新增的主题排进缓冲周，删掉的主题降为选学。
3. 正式考试的题量、时长、占分截至 2026-09 都没有公布，按猜测的题量备考是本课最常见的错误方向。 —— 会踩是因为其他 AP 都有固定结构，自学者习惯先定"每题多少秒"。对策：模考按技能 × 单元覆盖矩阵出卷，只练"限时推理"的通用能力；官方结构一公布就重排第 6 节。
4. Packet Tracer 要用 NetAcad 账号登录才能使用（以当前版本为准，未核实），而且它模拟的是 Cisco 设备的一个命令子集。 —— 会踩是因为第 1 周装好软件却卡在登录，或者在仿真里能用的命令在真实设备、在别的厂商设备上不存在。对策：第 1 周家长陪同注册账号并测试登录；把离线时能做的读输出与子网练习准备好；记住"仿真练的是原理，不是某个品牌的命令"。
5. 国内家庭宽带常处在运营商级 NAT（100.64.0.0/10）之后，端口转发配得再对，外网也连不进来。 —— 会踩是因为 U2 做端口转发实验时，学生会在自家路由器上真开端口，结果连不上还以为是自己配错，甚至反复开放更多端口。对策：先比对路由器 WAN 地址与"查公网 IP"结果；端口转发只在 Packet Tracer 里练，自家网络不对外开放任何服务。
6. traceroute 中间出现 * * * 多半只是路由器不回应 ICMP，不等于那一跳断了。 —— 会踩是因为"星号 = 超时 = 断了"是最直观的读法，选择题专门拿它做干扰项。对策：只看目的地是否回应；中间星号必须结合后续跳数与其他测试才能下结论。
7. 路由器选路先看最长前缀匹配，度量值只在前缀长度相同的路由之间比较。 —— 会踩是因为"度量越小越优先"是很多教程的第一句话，自学者会把它用在所有情况。对策：路由表题一律先按前缀长度从长到短排序，再看度量。
8. Windows 与 Linux / macOS 的排障命令名字和输出格式都不同（tracert 与 traceroute、ipconfig 与 ip addr），考题可能给任何一种。 —— 会踩是因为国内学生几乎只用 Windows，第一次看到 Linux 输出会以为是不同的东西。对策：U4 同一组任务在 Windows 与 Ubuntu 虚拟机各做一遍，平台出题模板里强制两种格式轮换。
9. 家庭宽带普遍已经分配 IPv6 地址，而 IPv6 设备没有 NAT 那层"意外遮挡"。 —— 会踩是因为按 IPv4 + NAT 的思维，会以为内网设备天然"藏"在路由器后面；IPv6 下是否放行入站取决于路由器 IPv6 防火墙的默认策略（因品牌而异，未核实）。对策：U2 检查自家路由器时把 IPv6 防火墙状态列进加固清单；设计题里提到 IPv6 时写明防火墙策略。
10. 在学校、小区、咖啡馆网络上抓包或扫描他人设备，可能违反《网络安全法》第 27 条；受治安处罚者 5 年内不得从事网络安全管理和网络运营关键岗位（第 63 条，以现行文本为准）。 —— 会踩是因为学了 Wireshark 和 netstat 之后，最想做的就是"看看公共网络上都有什么"。对策：Wireshark 只抓自己电脑的流量；扫描与测试只在 Packet Tracer 和自己的虚拟机里做。
11. 家用路由器改错一个设置就会全家断网，而恢复出厂设置会清掉宽带拨号账号。 —— 会踩是因为 U2 的加固练习会在真实路由器上动手，很多家庭并不知道拨号账号和口令，恢复出厂后只能等运营商上门。对策：动手前家长在场，先截图备份全部设置、确认拨号账号；一次只改一项并立即验证。
12. AI 给出的网络配置"看起来专业"，但常混用不同厂商的命令语法或漏掉隐式拒绝；课程框架本身就要求你能验证 AI 的建议。 —— 会踩是因为 AI 的配置格式整齐、带注释，自学者很难怀疑它。对策：U3–U4 的"AI 配置核验"专项（L5）——先在纸上逐条判断，再在 Packet Tracer 里验证，把 AI 的错误类型记进核验记录。

11. 学完之后

• AP 分数与凭证：2028 年 5 月首次正式考试同步推出雇主认可的 AP Networking Credential（取得条件与认可范围未核实）；大学学分政策逐校不同，以各校 AP credit policy 为准（未核实）。国内高校一般不认 AP 学分。
• 证书阶梯：Cisco CCST Networking（$125，U3 结束后即可考）→ CompTIA Network+（约 $369，_RESOURCES 记 2026-06 起 $399，学术商店最多 5 折）→ 更高阶的 Cisco CCNA（费用与年龄要求未核实，开学前核对）。
• 同体系 AP：AP-9.2 Cybersecurity——本课 U3 的分段与防火墙、U4 的监控与防御在那里变成"读证据找攻击"。
• 选修与模块：2028-28 计算机如何对话：网络基础（直觉底座）、2026-78 黑客攻防案例研究、2028-78 网络防御案例研究（都是 U4 的案例来源）。
• 职业方向：课程对齐 NICE 人才框架，自然延伸到 IT 支持、网络技术员、网络安全分析的入门岗位；18 岁前的"真实工作"走开源文档贡献与为家庭 / 社区组织做网络文档（监护人结构）。
• 作品升级：把全课的 .pkt 文件与排障报告整理成公开仓库《从一台电脑到一个园区网：排障与设计手册》（Gitee 主仓 + GitHub 镜像）；README 必含：每个拓扑的需求、地址规划表、VLAN / ACL 设计理由、注入的故障与排障报告、验证截图、已知限制。

附录 A · 知识点编码总表（按单元，全部编码 + ★ 级）

编码沿用 AP 大纲 9.3.2 的主题编号（与试点课程框架一致）；2027-28 正式 CED 发布后逐条核对。技能：连 = Connect and Configure，守 = Secure，排 = Troubleshoot，记 = 记录；Collaborate（协作）课堂评，由小队故障注入包与交接文档训练。

速查（闸门前默写）：2 的幂到 2^10；私有地址 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16，共享地址 100.64.0.0/10，自动配置 169.254.0.0/16；端口 22 SSH、25 SMTP、53 DNS、67 / 68 DHCP、80 HTTP、443 HTTPS、3389 RDP；排障命令按层：物理看指示灯与线缆 → 链路 arp -a → 网络 ipconfig / ping / tracert → 传输 netstat → 应用 nslookup。

附录 B · 官方真题与样题清单（可得年份、题型、用途分配）

本科目没有历年真题，试点年也没有官方练习卷。 全部官方材料与分配如下：

选择题与材料题来源

附录 C · 术语表（中英对照）

附录 D · 版本与核验记录