核心觀念

本題考查兩項 IPv4 網路的重要機制：

1. DHCP：由伺服器自動提供主機網路設定，包括 IP 位址、子網路遮罩、預設閘道、DNS 伺服器及租約時間。
2. NAT：由路由器或防火牆在不同網路間轉換 IP 位址，通常將內部私有 IPv4 位址轉換為外部公有 IPv4 位址。

IPv4 位址長度為 32 位元，理論位址數量為：

$$2^{32}=4,294,967,296$$

扣除保留用途及特殊位址後，可供一般使用的位址更少，因此需要 DHCP 及 NAT 提高位址使用效率。

---

（一）DHCP 的作用與運作方式

1. DHCP 的作用

DHCP（Dynamic Host Configuration Protocol）主要功能如下：

• 自動分配 IP 位址。
• 提供子網路遮罩（Subnet Mask）。
• 提供預設閘道（Default Gateway）。
• 提供 DNS 伺服器位址。
• 設定租約期間（Lease Time）。
• 集中管理位址池，避免人工設定錯誤及 IP 位址重複。

DHCP 採用「租用」概念。主機取得的 IP 位址通常只在租約有效期間內使用，租約到期前可續租，主機離線後位址也能回收再利用。

2. DHCP 使用的傳輸方式

DHCP 建立於 UDP 之上：

• DHCP Server 使用 UDP Port 67。
• DHCP Client 使用 UDP Port 68。

主機剛開機時尚未取得 IP 位址，通常會以廣播方式尋找 DHCP 伺服器。若 DHCP Server 位於不同子網路，需透過 DHCP Relay Agent 轉送封包。

3. DHCP 四階段程序：DORA

DHCP 初始取得位址通常包含四個步驟，縮寫為 DORA：

（1）DHCP Discover

用戶端尚未有 IP 位址，因此傳送 DHCP Discover 廣播封包，尋找可用的 DHCP Server。

常見情況為：

• 來源 IP：0.0.0.0
• 目的 IP：255.255.255.255
• 來源 UDP Port：68
• 目的 UDP Port：67

（2）DHCP Offer

DHCP Server 收到 Discover 後，從位址池選出一個可用 IP 位址，回覆 DHCP Offer，內容通常包括：

• 提供的 IP 位址。
• 子網路遮罩。
• 預設閘道。
• DNS 伺服器。
• 租約時間。
• DHCP Server 識別資訊。

（3）DHCP Request

用戶端選擇一個 Offer 後，傳送 DHCP Request，表示接受該伺服器提供的設定。

此封包通常仍以廣播方式傳送，使其他 DHCP Server 知道自己的 Offer 未被採用，並釋放原先保留的位址。

（4）DHCP ACK

被選中的 DHCP Server 傳送 DHCP ACK，正式確認租約。用戶端收到 ACK 後，即可使用該 IP 位址及相關網路參數。

若伺服器無法提供要求的位址，會傳送 DHCP NAK，要求用戶端重新取得設定。

4. 租約續租

DHCP 位址不是永久分配。租約經過一定時間後，用戶端會嘗試向原 DHCP Server 續租。續租成功後，租約期限重新計算；主機離線或釋放位址後，該位址可回到位址池供其他主機使用。

5. DHCP 的限制

DHCP 只能改善區域網路內的位址管理與重複使用，不能讓同一時間存在的公有 IPv4 位址數量增加。若每台裝置都必須直接使用公有 IP，DHCP 仍然無法根本解決公有位址不足問題。

---

（一）NAT 的作用與運作方式

1. NAT 的作用

NAT（Network Address Translation）通常部署在內部網路與 Internet 之間的邊界路由器或防火牆，用來轉換封包中的 IP 位址。

常見用途包括：

• 將私有 IP 位址轉換為公有 IP 位址。
• 讓多台內部主機共用少量公有 IPv4 位址。
• 隱藏內部網路的位址配置。
• 配合防火牆規則限制外部主機主動連入內部主機。

常用的私有 IPv4 位址範圍包括：

• 10.0.0.0/8
• 172.16.0.0/12
• 192.168.0.0/16

私有 IP 位址不能直接在公有 Internet 上進行路由，因此必須透過 NAT 轉換。

2. 基本 NAT 運作流程

假設內部主機 192.168.1.10 要連線至 Internet 上的伺服器 203.0.113.20，邊界路由器的公有 IP 為 198.51.100.5。

（1）內部主機送出封包

內部主機送出：

• 來源 IP：192.168.1.10
• 來源 Port：例如 50000
• 目的 IP：203.0.113.20
• 目的 Port：例如 443

（2）NAT 路由器建立轉換表

NAT 路由器將來源資訊轉換為公有位址，例如：

• 原始來源：192.168.1.10:50000
• 轉換後來源：198.51.100.5:40001

並在 NAT 表中記錄對應關係：

內部端點	外部端點
192.168.1.10:50000	198.51.100.5:40001

（3）外部伺服器回覆

外部伺服器回覆給：

• 目的 IP：198.51.100.5
• 目的 Port：40001

（4）NAT 還原封包

NAT 路由器查詢轉換表，將目的資訊還原為：

• 目的 IP：192.168.1.10
• 目的 Port：50000

核心觀念

本題考查公開金鑰密碼學在實務上的兩項應用：

1. 數位信封（Digital Envelope）：結合對稱式加密與非對稱式加密，解決大量資料加密效率與金鑰安全傳送問題。
2. 數位憑證（Digital Certificate）：由受信任的憑證機構確認「身分與公開金鑰的關聯」，解決公開金鑰可能遭冒用或置換的問題。

兩者解決的問題不同：

項目	主要解決問題	核心技術
數位信封	秘密性、對稱金鑰的安全傳送	對稱式加密＋公開金鑰加密
數位憑證	公開金鑰的身分確認與可信任性	CA 數位簽章＋PKI

---

一、數位信封的作用

數位信封主要提供下列功能：

1. 確保資料機密性

只有預定收件者持有的私密金鑰，能解開被公開金鑰加密的工作階段金鑰，因此只有收件者能還原原始資料。

2. 安全傳送對稱式金鑰

對稱式加密速度快，適合加密大量資料；但雙方必須先安全取得相同的秘密金鑰。數位信封利用收件者的公開金鑰加密對稱式工作階段金鑰，解決金鑰傳送問題。

3. 提升加密效率

非對稱式加密運算量較大，不適合直接加密大型檔案。數位信封只使用非對稱式加密處理短小的工作階段金鑰，資料本身則交由快速的對稱式演算法處理。

---

二、數位信封的運作方式

設：

• 原始訊息為 $M$
• 傳送者產生的隨機工作階段金鑰為 $K_s$
• 收件者公開金鑰為 $K_{B}^{+}$
• 收件者私密金鑰為 $K_{B}^{-}$
• 對稱式加密演算法為 $E_s$
• 非對稱式加密演算法為 $E_a$

1. 傳送者產生工作階段金鑰

傳送者先產生一次性或短期使用的隨機對稱式金鑰 $K_s$。

2. 使用對稱式加密原始資料

傳送者使用 $K_s$ 加密訊息 $M$：

$$C_M=E_s(K_s,M)$$

其中 $C_M$ 是資料密文。

實務上可使用 AES 等對稱式加密演算法。

3. 使用收件者公開金鑰加密工作階段金鑰

傳送者取得收件者的公開金鑰 $K_B^{+}$，並加密 $K_s$：

$$C_K=E_a(K_B^{+},K_s)$$

其中 $C_K$ 是被保護的工作階段金鑰。

4. 組合成數位信封

傳送者將資料密文與加密後的工作階段金鑰組合：

$$\text{Digital Envelope}=(C_M,C_K)$$

必要時也會附加初始化向量、加密模式資訊、演算法識別資料及訊息驗證碼等內容。

5. 收件者使用私密金鑰解開工作階段金鑰

收件者使用自己的私密金鑰 $K_B^{-}$ 解密 $C_K$：

$$K_s=D_a(K_B^{-},C_K)$$

只有持有 $K_B^{-}$ 的收件者能完成此步驟。

6. 收件者使用工作階段金鑰解密資料

收件者再使用還原出的 $K_s$ 解密資料密文：

$$M=D_s(K_s,C_M)$$

因此完成原始訊息的還原。

---

三、數位信封的安全特性與限制

1. 主要提供機密性

數位信封的核心目標是讓未授權者無法讀取資料內容。

2. 本身不必然提供身分認證

任何人只要取得收件者的公開金鑰，都可能製作一個可由收件者解開的數位信封。因此，數位信封單獨使用時，無法證明資料確實由特定傳送者產生。

3. 本身不必然提供完整性

若只進行加密，未必能偵測資料在傳送途中遭到竄改。因此通常要搭配：

• 雜湊函數
• MAC 或 AEAD
• 數位簽章

若要同時提供傳送者身分認證、資料完整性及不可否認性，常採用「數位簽章＋數位信封」的組合。

---

四、數位信封與數位簽章的搭配

完整的安全傳送流程通常如下：

1. 傳送者計算訊息摘要

$$h=H(M)$$

其中 $H$ 為雜湊函數。

2. 傳送者使用自己的私密金鑰產生數位簽章

$$S=\operatorname{Sign}(K_A^{-},h)$$

其中 $K_A^{-}$ 是傳送者私密金鑰。

3. 傳送者以工作階段金鑰加密訊息與簽章

$$C=E_s(K_s,M\parallel S)$$

4. 傳送者以收件者公開金鑰加密工作階段金鑰

$$C_K=E_a(K_B^{+},K_s)$$

5. 收件者解密並驗證

收件者先以私密金鑰取得 $K_s$，再解密取得 $M$ 與 $S$，最後使用傳送者公開金鑰驗證簽章。

若重新計算的摘要與簽章所還原的摘要相同，表示：

• 資料未被竄改；
• 簽章確實由相對應私密金鑰產生；
• 可確認傳送者身分，前提是該公開金鑰已透過可信任數位憑證確認。

---

五、數位憑證的作用

數位憑證是由憑證機構（Certificate Authority，CA）簽發的電子文件，用來證明某一身分與某一公開金鑰之間的關聯。

其主要作用如下：

1. 綁定身分與公開金鑰

數位憑證將使用者、伺服器、組織名稱或網域名稱，與其公開金鑰綁定。

例如，使用者取得某伺服器的數位憑證後，可確認該公開金鑰是屬於該伺服器，而非攻擊者置換的金鑰。

2. 防止中間人攻擊

若沒有數位憑證，攻擊者可在通訊過程中攔截公開金鑰，改送自己的公開金鑰，使雙方誤以為使用了對方的金鑰。

數位憑證由 CA 以私密金鑰簽署，接收者可利用 CA 公開金鑰驗證憑證內容是否遭到竄改，以及該公開金鑰是否由可信任機構核發。

3. 支援公開金鑰基礎建設

數位憑證是 PKI（Public Key Infrastructure，公開金鑰基礎建設）的重要元件，搭配：

核心觀念

本題考查 IEEE 802.11 無線區域網路的兩種基本架構：

1. Ad Hoc 架構：又稱 IBSS（Independent Basic Service Set），各無線工作站彼此直接通信，沒有基地台或無線存取點（Access Point, AP）。
2. Infrastructure 架構：以 AP 為中心，無線工作站必須透過 AP 存取網路資源；多個 AP 可經由分散式系統（Distribution System, DS）互聯，形成較大範圍的 ESS（Extended Service Set）。

本題的「存取模式」包含兩個層次：

• 工作站如何加入網路，以及封包如何傳送。
• IEEE 802.11 MAC 層如何競爭無線媒介，主要涉及 DCF、CSMA/CA、ACK 與 RTS/CTS。

---

解題方法

可採「是否有 AP」作為判斷主軸，再分別說明：

1. 網路拓撲與設備角色。
2. 工作站的加入方式。
3. 封包傳輸路徑。
4. 媒介存取控制方式。
5. 適用情境與限制。

這樣可完整對應題目要求的「特色」及「存取模式」。

---

一、Ad Hoc 架構

1. 架構特色

Ad Hoc 架構是由多個無線工作站直接組成的獨立網路，工作站之間採對等式（peer-to-peer）通信，沒有 AP，也不需要有線骨幹網路。

其主要特色如下：

• 不設置 AP，網路設備成本低。
• 工作站可直接互相傳送資料。
• 網路建立快速，適合臨時性、短時間或小範圍的通信。
• 不需要集中式管理，沒有單一 AP 負責認證、轉送與媒介協調。
• 網路範圍通常較小，節點數量及拓撲穩定性較有限。
• 無法自然提供傳統基礎架構中的區域網路連接、網際網路連線及集中式服務。
• 任一節點離開後，可能造成部分通信中斷；整體管理、資安控管及擴充性較差。

Ad Hoc 的 IEEE 802.11 名稱為 IBSS。其中各工作站屬於同一個獨立的服務集合，彼此直接建立無線連線。

2. 存取模式

Ad Hoc 模式的資料傳輸通常採單跳直接傳送：

$$\text{Station A} \longleftrightarrow \text{Station B}$$

資料不需經過 AP 轉送。若 A 要傳送資料給 B，A 先偵測無線媒介是否忙碌；媒介閒置並經過 DIFS 後，依隨機退避程序競爭傳送權。

IEEE 802.11 主要採用 DCF（Distributed Coordination Function），其核心為 CSMA/CA（Carrier Sense Multiple Access with Collision Avoidance）：

1. 工作站先進行載波感測，判斷媒介是否忙碌。
2. 媒介閒置達 DIFS 時，工作站進入退避程序。
3. 從競爭視窗中選擇隨機退避計數值。
4. 媒介持續閒置時遞減退避計數值。
5. 退避計數值歸零後傳送資料。
6. 接收端成功收到資料後，經過 SIFS 回傳 ACK。
7. 若未收到 ACK，傳送端推定發生碰撞或傳輸失敗，增加競爭視窗後重新競爭。

Ad Hoc 網路也可選擇使用 RTS/CTS，以降低隱藏節點（hidden terminal）造成的碰撞：

$$\text{RTS} \rightarrow \text{CTS} \rightarrow \text{DATA} \rightarrow \text{ACK}$$

RTS/CTS 並非所有資料傳輸都必須使用，通常依封包長度門檻或網路設定啟用。

---

二、Infrastructure 架構

1. 架構特色

Infrastructure 架構由 AP 與一個以上的無線工作站組成。工作站稱為 STA（Station），AP 負責提供無線存取服務，並可連接有線區域網路或其他 AP。

基本架構如下：

$$\text{Wireless STA} \longleftrightarrow \text{AP} \longleftrightarrow \text{有線網路或 DS}$$

其主要特色如下：

• 具有 AP，網路採集中式服務。
• 無線工作站不能任意直接建立同一 BSS 內的點對點通信；一般須透過 AP 轉送。
• AP 負責無線訊號收發、封包轉送、網路橋接及部分管理功能。
• 工作站須先掃描、認證，再與 AP 建立關聯（association）。
• AP 可連接交換器、路由器、伺服器及網際網路。
• 多個 AP 可透過 DS 互聯，形成 ESS，提供較大覆蓋範圍。
• 工作站可在不同 AP 間漫遊；只要各 AP 使用相同 SSID 並妥善規劃頻道，即可提供近似連續的網路服務。
• 管理、存取控制、身分認證及安全政策較容易集中實施。
• AP 是重要的集中設備；若單一 BSS 的 AP 故障，該區域的無線服務會受到影響。

Infrastructure 架構可再區分為：

• BSS（Basic Service Set）：一個 AP 與其服務範圍內的多個 STA。

核心觀念

本題考查「實體區域網路的拓樸缺點」與「VLAN 的網路分段功能」。

圖中四部交換器皆僅運作於連結層，中央交換器連接：

• 機構 A、B、C 的下游交換器
• 網頁伺服器
• 郵件伺服器
• 路由器
• 外部網際網路

由於未配置 VLAN，整個內部網路原則上屬於同一個第二層廣播網域。交換器可依據 MAC 位址轉送乙太網路框架，但無法進行不同 IP 網段間的路由或存取控制。

---

解題方法

作答時可依下列四個面向分析：

1. 廣播網域與網路效能。
2. 機構間的隔離與資訊安全。
3. 網路設備的瓶頸與單點故障。
4. VLAN 如何改善分段、廣播及存取控制問題。

必須注意：交換器連接埠本身可形成不同的碰撞網域，因此不宜直接將「碰撞網域過大」列為主要缺點；本題的重點是整體第二層網路過度集中且缺乏邏輯分段。

---

（一）此網路架構可能的缺點

1. 整體屬於單一廣播網域

三個機構、兩台伺服器及各交換器下的所有主機，均處於同一個第二層廣播網域。ARP、DHCP、IPv6 Neighbor Discovery 等廣播或群播封包會在整個區域網路中傳送。

當主機數量增加時，廣播封包會大量消耗交換器連結頻寬與主機處理能力，造成：

• 不必要的廣播流量。
• 主機需處理與自身無關的封包。
• 網路效能及可擴充性下降。
• 廣播風暴發生時，影響整個內部網路。

2. 三個機構缺乏邏輯隔離

機構 A、B、C 雖然屬於不同組織或網路單位，但在圖中僅以實體線路區分，並未以不同 IP 網段、VLAN 或路由政策進行隔離。

因此可能產生：

• 機構間可直接互相掃描或存取。
• 內部主機遭入侵後，攻擊者容易橫向移動。
• 權限控管及稽核困難。
• 難以依機構制定不同的防火牆或存取控制政策。
• 一個機構的網路問題可能擴散至其他機構。

僅靠交換器的實體連接方式，無法提供完善的安全隔離。

3. 伺服器與一般使用者位於相同網段

網頁伺服器及郵件伺服器直接連接至中央交換器，若與一般使用者主機處於同一個網路區段，則伺服器沒有獨立的伺服器網段或 DMZ。

如此會造成：

• 一般使用者可直接接觸伺服器所在網段。
• 外部服務與內部使用者網路缺乏安全邊界。
• 網頁伺服器或郵件伺服器遭攻擊時，內部網路風險增加。
• 難以只開放必要的服務埠，例如 HTTP、HTTPS 或 SMTP。
• 伺服器流量與一般辦公流量互相競爭。

4. 中央交換器形成效能瓶頸

所有機構的下游流量、伺服器流量及通往路由器的流量，均集中經過中央交換器。當多個機構同時存取伺服器或外部網路時，中央交換器的上行連結可能成為瓶頸。

例如，機構 A、B、C 同時存取伺服器時，所有流量都必須經過中央交換器的相關連接埠及上行鏈路，容易造成：

• 上行鏈路壅塞。
• 伺服器存取延遲增加。
• 外部網路存取速度下降。
• 網路流量集中，不易分散負載。

5. 中央交換器是單點故障

中央交換器一旦故障，將同時中斷：

• 機構 A、B、C 的互聯。
• 兩台伺服器的網路連線。
• 內部網路通往路由器及外部網路的連線。

這會使整個區域網路癱瘓，且圖中沒有顯示備援交換器、備援鏈路或鏈路聚合機制，網路可用性不足。

6. 路由器可能成為瓶頸或單點故障

所有通往外部網路的封包均須經由同一台路由器。若路由器的處理能力、介面速率或連線頻寬不足，將影響三個機構的外部網路使用。

此外，路由器故障時，三個機構均無法連接外部網路。因此路由器同樣具有：

• 對外流量集中造成的效能瓶頸。
• 缺乏備援所造成的單點故障。
• 防火牆、NAT 或路由政策集中於單一設備的風險。

7. 網路管理與故障排除較困難

所有主機位於同一平面網路時，IP 配置、權限管理、流量分析及故障定位均較複雜。

例如：

• 難以判斷流量來自哪一個機構。
• 廣播或迴圈問題發生時，影響範圍很大。
• 不同機構無法分別套用網路政策。
• 權限、稽核及流量統計不易依單位區分。

8. 第二層迴圈或廣播風暴可能影響全網路

若交換器間日後增加備援連線，或網路管理不當形成第二層迴圈，廣播封包可能在網路中無限循環。由於整個網路未經 VLAN 分割，問題可能迅速擴散至三個機構與伺服器區域。

---

（二）透過 VLAN 改善上述缺點

1. 依功能或機構劃分 VLAN

可將實體網路切割成多個邏輯網路，例如：

• VLAN 10：機構 A
• VLAN 20：機構 B
• VLAN 30：機構 C
• VLAN 40：伺服器區
• VLAN 50：網路管理區

各 VLAN 都是獨立的廣播網域。即使主機連接在同一部實體交換器上，只要分屬不同 VLAN，第二層廣播封包便不會跨越 VLAN 傳送。

如此可降低：

• 廣播流量。
• 廣播風暴的影響範圍。
• 各機構間不必要的第二層封包。
• 網路管理與故障排除複雜度。