108 高普考高考三級 資訊處理 資通網路 考古題詳解

核心觀念

本題考查 TCP 如何分別處理兩種不同的「傳送過多」問題：

• 流量控制（flow control）：避免傳送端送得太快，超過接收端的處理能力或接收緩衝區容量。由接收端透過接收視窗（receiver window，$rwnd$）告知傳送端目前可接收的資料量。
• 壅塞控制（congestion control）：避免網路中的路由器、鏈路等資源負荷過重，造成佇列累積、延遲增加或封包遺失。TCP 傳送端依據網路狀況調整壅塞視窗（congestion window，$cwnd$）。

兩者限制的對象不同：流量控制保護接收端，壅塞控制保護網路。實際可傳送但尚未確認的資料量，通常受兩種視窗中較小者限制：

MSS 與 MTU 則分別是傳輸層與鏈路層常用的封包大小概念：MSS 限定 TCP 資料部分的大小；MTU 限定一個鏈路層封包所能承載的最大網路層封包大小。

（一）TCP 壅塞控制與流量控制的差異

解題方法

判斷兩者差異時，先問「要保護誰」：

1. 若問題是接收端來不及處理或緩衝區不足，屬於流量控制，由 $rwnd$ 表示接收端可接收的資料量。
2. 若問題是網路路由器或鏈路負荷過大，屬於壅塞控制，由 $cwnd$ 調整傳送端可注入網路的資料量。
3. TCP 傳送端須同時遵守這兩項限制，因此可用視窗由 $\min(rwnd,\ cwnd)$ 決定。

解題技巧與常見陷阱

• 「接收端緩衝區」對應流量控制；「網路路由器或鏈路」對應壅塞控制。
• 不要將接收視窗 $rwnd$ 與壅塞視窗 $cwnd$ 混為一談：前者由接收端通告，後者是傳送端依網路狀況維護。
• 壅塞控制不是單純防止接收端被塞滿；流量控制也不是用來處理網路路由器的壅塞。

（二）MSS 與 MTU 的功能與差異

定義與功能

核心觀念

這題考 IPv4 子網切割（subnetting）：把原本的 $192.168.4.0/24$ 網段，切分成三個大小相同的子網路，並求出各子網的網路位址、遮罩、可用主機位址範圍、可用主機數及廣播位址。

題目沒有指定三個子網的主機需求，因此採用等長子網切割。需要至少三個子網，借用 $2$ 個主機位元，因為 $2^2=4\geq 3$，所以將 /24 切成四個 /26 子網，其中取前三個使用。

解題方法

原網段 /24 的主機位元數為 $32-24=8$。借用 $2$ 位後，子網前綴長度為：

/26 的子網路遮罩為 $255.255.255.192$。每個子網的位址數為 $2^{32-26}=64$，因此最後一個八位元組的區塊大小為 $64$，子網起點依序為 $0、64、128、192$。

每個子網中，第一個位址是 Network ID，最後一個位址是 Broadcast ID；兩者之間的位址才是可配置給主機使用的 Host ID。

（一）Network ID

三個子網依區塊大小 $64$ 排列，取前三個：

• 子網一：$192.168.4.0$
• 子網二：$192.168.4.64$
• 子網三：$192.168.4.128$

（二）Subnet mask

三個子網皆為 /26，其 Subnet mask 均為：

（三）Host ID 範圍

每個子網扣除 Network ID 與 Broadcast ID 後，可用主機位址範圍如下：

• 子網一：$192.168.4.1 \sim 192.168.4.62$
• 子網二：$192.168.4.65 \sim 192.168.4.126$
• 子網三：$192.168.4.129 \sim 192.168.4.190$

（四）可使用的 Host ID 數量

核心觀念

ARP（Address Resolution Protocol，位址解析協定）用於區域網路中，將 IPv4 位址解析為網路卡的 MAC 位址。主機會維護 ARP 快取表，記錄「IP 位址—MAC 位址」對應關係；收到 ARP 回覆後，通常會更新或新增快取項目。

ARP 本身缺乏身分驗證與訊息完整性保護，無法確認回覆者是否真的是該 IP 位址的合法持有者。因此，攻擊者可偽造 ARP 訊息，使受害主機或交換器學到錯誤的 IP 與 MAC 對應，這種攻擊稱為 ARP poisoning 或 ARP spoofing。

解題方法：攻擊原理

以區域網路中的受害主機、閘道器與攻擊者為例：

1. 受害主機原本將閘道器 IP 對應到閘道器的正確 MAC 位址。
2. 攻擊者向受害主機送出偽造的 ARP 回覆，宣稱「閘道器 IP 對應到攻擊者的 MAC 位址」。
3. 攻擊者也可向閘道器送出偽造訊息，宣稱「受害主機 IP 對應到攻擊者的 MAC 位址」。
4. 受害主機與閘道器的 ARP 快取因此遭污染，雙方傳送的封包會先送到攻擊者。

攻擊者可據此進行中間人攻擊，轉送封包以維持連線，同時監聽或竄改未加密的資料；也可不轉送封包而造成阻斷服務。攻擊也能冒充區域網路中的其他主機，影響同一廣播網域內的設備。

防範方法

• 動態 ARP 檢查（DAI）：交換器依據 DHCP Snooping 等可信任的 IP、MAC、交換器埠綁定資料，檢查 ARP 封包是否合法，丟棄不符合綁定資訊的封包。
• DHCP Snooping 與埠安全：建立可信任的位址綁定資料，限制未授權設備或不可信任埠送出的 DHCP、ARP 流量。

核心觀念

本題考查區域網路（LAN）與虛擬區域網路（VLAN）的差異，以及 VLAN 對網路管理與運作的助益。LAN 是在有限地理範圍內連接設備的網路；VLAN 則是利用交換器設定，將實體網路邏輯切分成多個廣播網域。VLAN 不要求同一網段的設備必須接在同一台交換器或位於同一處實體位置。

解題方法

比較兩者時，可從「依什麼方式分組」、「廣播網域如何劃分」、「設備是否受實體位置限制」及「管理方式」切入。接著從安全、廣播流量、網路管理與擴充等面向，整理 VLAN 的優點。

（一）VLAN 與 LAN 的差異

核心觀念

IPSec（IP Security）是在 網路層（OSI 第三層）​提供 IP 封包安全服務的協定架構。它可在兩個端點間建立安全關聯（Security Association，SA），並依安全政策選用 AH 或 ESP 保護封包。

IPSec 的通道模式（tunnel mode）會把原始 IP 封包完整封裝，再加上新的外層 IP 標頭。原始封包的來源與目的位址留在內層，外層標頭則用來將封包送到 VPN 通道的另一端。

解題方法

（一）IPSec 的層次與通道模式 VPN

IPSec 建立的是網路層的資料安全傳輸。通道模式可用於網路對網路的 VPN，常見做法如下：

1. 在兩個 VPN 閘道器之間協商並建立 IPSec SA，設定保護方式、金鑰與相關參數。
2. 傳送端閘道器收到內部網路的原始 IP 封包後，將它作為內層封包。
3. 閘道器依 SA 使用 AH 或 ESP 保護封包，並加上新的外層 IP 標頭；外層目的位址指向接收端 VPN 閘道器。
4. 封包經網際網路傳送。中途路由器依外層 IP 標頭轉送，無須理解內層封包內容。
5. 接收端閘道器驗證或解密後移除 IPSec 封裝，再將原始 IP 封包送入目的內部網路。

封裝概念如下：

其中 ESP 可加密原始封包，使內層位址與資料內容在傳輸途中受到保護；外層 IP 標頭仍須保留，以供網際網路路由。