109 專技高考高等考試 資訊技師 網路原理與應用 考古題詳解

核心觀念

本題考查乙太網路交換器的三個觀念：CSMA/CD 的適用環境、交換器依來源 MAC 位址自動學習交換表，以及 SDN 交換器中控制平面與資料平面的分工。

CSMA/CD（Carrier Sense Multiple Access with Collision Detection，載波感測多重存取／碰撞偵測）用於共享媒介的半雙工乙太網路：傳送端先感測媒介是否忙碌，傳送時若偵測到碰撞，就停止傳送並依退避機制重傳。現今交換式乙太網路通常採全雙工、每個連接埠形成獨立的點對點碰撞網域，兩端可同時傳送與接收，不會發生共享媒介上的碰撞，因此不需要 CSMA/CD。

交換表（switching table，亦稱 MAC address table）通常記錄「MAC 位址 → 連接埠」的對應，並可能附有 VLAN 等資訊。傳統交換器透過收到的乙太網路訊框來源 MAC 位址學習此對應。

解題方法

先比較共享式半雙工網路與交換式全雙工網路，說明 CSMA/CD 為何不再必要；接著依序描述傳統交換器「來源位址學習、目的位址查表與轉送」的流程；最後對照 SDN 架構，說明流表的建立方式，以及 ARP request 與 reply 如何讓交換器學到 A、B 的位置。

一、傳統交換器自動學習交換表

交換器收到訊框時，會檢查來源 MAC 位址與訊框進入的連接埠：

1. 若來源 MAC 尚未出現在表中，新增「來源 MAC → 入埠」的對應。
2. 若來源 MAC 已存在，但對應的連接埠不同，更新為新的入埠。
3. 若來源 MAC 已存在且連接埠相同，通常更新該項目的老化計時器。
4. 再查詢目的 MAC 位址：

• 若目的位址在表中，從對應的連接埠轉送；若目的連接埠就是入埠，則不轉送。
• 若目的位址不在表中，將訊框泛洪至同一 VLAN 內除入埠外的其他連接埠。
• 若目的位址是廣播位址，亦泛洪至同一 VLAN 內除入埠外的其他連接埠。

交換器是依來源位址學習，而不是從目的位址推測接收端的位置。閒置一段時間的表項可因老化而刪除。

二、使用 SDN 交換器時的改變

SDN 將控制平面與資料平面分離。SDN 交換器的資料平面依控制器下達的流表規則處理封包；控制器可透過 OpenFlow 等介面設定規則。流表項目可以包含比傳統 MAC 交換表更廣泛的匹配欄位，例如入埠、MAC 位址、IP 位址或 VLAN 標籤，以及相應的轉送、丟棄或送交控制器等動作。

因此，傳統交換器在資料平面中自行依來源 MAC 位址學習並更新 MAC 表；SDN 的轉送規則則可由控制器集中決定與下達。當封包未符合既有流表項目時，交換器可依設定將封包或其標頭送交控制器，由控制器決定處理方式，再安裝或更新流表規則。

要注意的是，SDN 並不表示交換器完全不能自動學習 MAC 位址；重點是學習與轉送規則可以由控制器主導，或由控制器配合交換器實作，不必採用傳統交換器完全由本機自主更新 MAC 交換表的方式。

ARP 範例：A 詢問 B 的 MAC 位址

核心觀念

本題考查 CIDR（無類別網域間路由）與 VLSM（可變長度子網路遮罩）。依各部門主機數，先配置足以容納需求的最小子網，再由大到小連續切割。

IPv4 子網共有 $2^h$ 個位址，其中 $h$ 為主機位元數。一般子網需保留網路位址與廣播位址，因此可用主機數為：

若子網前綴長度為 $/p$，則 $h=32-p$。

解題方法

一、計算公司所需的最小網段

各部門分別需要 300、150、100 個可用主機位址：

• 300 台：$2^8-2=254$ 不足，$2^9-2=510$ 足夠，因此需 $h=9$，子網為 $/23$。
• 150 台：$2^7-2=126$ 不足，$2^8-2=254$ 足夠，因此需 $h=8$，子網為 $/24$。
• 100 台：$2^6-2=62$ 不足，$2^7-2=126$ 足夠，因此需 $h=7$，子網為 $/25$。

三個子網合計需要的位址數為：

公司須申請位址數為 2 的次方，至少要容納 896 個位址，因此需 1024 個位址，也就是：

所以公司需要一個 $/22$ 的連續網段。這個網段共有 1024 個位址，扣除各子網保留的網路位址與廣播位址後，可用主機位址為 $510+254+126=890$，足以配置給 550 台電腦。

二、以 123.123.132.0 為起點切割

採用 VLSM，依子網大小由大到小配置：

1. 300 台部門：$/23$ $/23$ 的遮罩為 255.255.254.0，區塊大小為第三個八位元組的 2。 網路位址為 123.123.132.0，涵蓋第三個八位元組 132、133；下一個子網從 123.123.134.0 開始。 廣播位址為 123.123.133.255。

2. 150 台部門：$/24$ 下一個可用起點為 123.123.134.0。 $/24$ 涵蓋一個完整的第四個八位元組範圍，廣播位址為 123.123.134.255。

核心觀念

本題考查 DNS 的遞迴查詢如何運作，以及攻擊者如何利用 DNS 與大量受控裝置發動分散式阻斷服務攻擊（DDoS）。作答時要分清楚兩件事：

1. 遞迴查詢描述解析器替用戶端完成解析的方式。
2. DNS DDoS描述攻擊者如何耗盡 DNS 伺服器或目標網路的資源。

遞迴查詢本身是正常的 DNS 服務功能；當它與可被外部利用的遞迴解析器、偽造來源位址或大量攻擊流量結合時，才會成為攻擊放大的條件之一。

解題方法

依題目順序說明四個部分：先描述遞迴查詢流程，再列舉 DNS DDoS 的主要方法，接著說明物聯網如何擴大攻擊規模，最後說明遞迴查詢如何加重攻擊。如此可把「查詢流程」、「攻擊手法」與「攻擊規模、放大效果」分開交代。

遞迴查詢的運作方式與應用情境

用戶端通常不會自行逐一詢問根 DNS 伺服器、頂層網域伺服器及權威 DNS 伺服器，而是將查詢交給設定好的遞迴解析器，例如作業系統或網路設定中的 DNS 伺服器。遞迴解析器負責替用戶端取得最終答案。

以查詢 www.example.com 的 IP 位址為例，流程如下：

1. 用戶端向遞迴解析器提出查詢，並要求取得完整答案。
2. 遞迴解析器先檢查快取；若快取中有尚未過期的紀錄，就直接回覆用戶端。
3. 若快取沒有答案，解析器從根 DNS 伺服器開始查詢。根伺服器通常回覆 .com 頂層網域伺服器的資訊。
4. 解析器再向 .com 頂層網域伺服器查詢，取得 example.com 權威 DNS 伺服器的資訊。
5. 解析器向權威 DNS 伺服器查詢 www.example.com，取得所需的 A 或 AAAA 紀錄。
6. 解析器將結果交給用戶端，並依紀錄的 TTL（存活時間）將答案快取一段時間。

此處的「遞迴」是指遞迴解析器替用戶端完成解析；解析器在向 DNS 階層中的其他伺服器查詢時，通常採用迭代查詢，依回覆中的轉介資訊逐層往下查詢。

遞迴解析器常用於企業、學校、電信業者或公共 DNS 服務，為內部或一般用戶端提供名稱解析，並透過快取減少重複查詢、降低延遲及上游 DNS 負載。

DNS DDoS 攻擊方法

DNS DDoS 攻擊可依攻擊目標及流量型態說明：

• 直接流量洪水攻擊：由大量受控主機向 DNS 伺服器送出大量查詢或封包，耗盡伺服器的頻寬、CPU、記憶體或連線處理能力，使正常用戶無法解析網域名稱。
• 反射與放大攻擊：攻擊者向可被利用的 DNS 解析器送出查詢，並偽造封包來源位址為受害者的位址。解析器將回覆送往受害者；若回覆遠大於查詢封包，流量便可被放大。受害者同時收到大量來自不同解析器的回覆，形成反射式 DDoS。
• 針對權威 DNS 伺服器的攻擊：大量查詢湧向特定網域的權威 DNS 伺服器，造成其資源或網路容量不足，影響該網域的解析服務。
• 針對遞迴解析器的耗竭攻擊：攻擊者大量送出不同名稱的查詢，使解析器難以命中快取，必須持續向外部 DNS 階層查詢，增加解析器與上游伺服器的負擔。

放大攻擊的概念可用下式表示：

核心觀念

本題考查 VPN 的基本架構、兩種常見部署方式，以及 VPN 與隧道協定、加密協定和傳輸埠號的關係。VPN（Virtual Private Network，虛擬私有網路）利用公用網路建立邏輯上的私人通道，讓遠端使用者或不同據點能安全地傳送資料。

VPN 是一種網路服務或架構，PPTP、L2TP、IPsec、SSL 則是實作 VPN 時可能採用的協定或技術。判斷防火牆阻擋某個連接埠的影響時，應將「連接埠／傳輸協定」對應到 VPN 技術使用的控制通道或資料通道。

VPN 的運作原理與用途

VPN 通常由 VPN 用戶端與 VPN 閘道器建立連線，主要運作流程如下：

1. 建立通道：在公用網路上建立邏輯隧道，將原始網路封包封裝後傳送。
2. 驗證身分：確認使用者或設備身分，常見方式包括帳號密碼、憑證及多因素驗證。
3. 保護資料：依採用的協定與設定，對資料進行加密、完整性檢查及來源驗證。
4. 解封裝與轉送：目的端解封裝後，將封包送往內部網路或目標設備。

VPN 常用於遠端員工安全存取公司內網、連接分公司與總部，以及透過不可信任網路傳送機敏資料。VPN 提供的安全性取決於所用協定、加密與驗證設定；僅建立隧道不必然代表資料已加密。

Site-to-site VPN 與 Client-to-site VPN

兩者皆可透過公用網路建立安全通道；主要差異在於連線端點與連接的網路範圍。

VPN 與 PPTP、L2TP、IPsec、SSL 的關係

• PPTP（Point-to-Point Tunneling Protocol）：較早期的隧道協定，常見控制連線使用 TCP port 1723，並以 GRE 承載隧道資料。PPTP 的安全性較弱，現今不宜作為新部署的首選。
• L2TP（Layer 2 Tunneling Protocol）：提供第二層隧道，本身不負責加密，常與 IPsec 搭配，稱為 L2TP/IPsec。
• IPsec（Internet Protocol Security）：在 IP 層提供安全服務，可用於網路對網路或遠端存取 VPN。

核心觀念

本題考查 802.11ax（Wi-Fi 6）的最高物理層傳輸速率條件、提升容量與效率的傳輸技術，以及 WPA3 的安全改良。題目所稱「9.6 Gbps」是理想條件下的 PHY 理論峰值，不是使用者實際可取得的應用層吞吐量。

解題方法

1. 9.6 Gbps 的傳輸條件

802.11ax 的單一空間串流，在 160 MHz 頻寬、1024-QAM、碼率 $5/6$、最短 0.8 μs 保護間隔下，最高 PHY 速率約為 1.2 Gbps。使用 8 個空間串流時：

因此，要達到 9.6 Gbps，需同時具備：

• **頻寬：**160 MHz。
• **調變：**1024-QAM（每個調變符號承載 10 個位元），並採用 $5/6$ 編碼率。
• **天線／空間串流：**8 個空間串流（8×8 MIMO）。
• **其他必要條件：**最短 0.8 μs 保護間隔，並具備相應的發射端與接收端能力。

此速率是 PHY 層的理論峰值；實際資料傳輸還會受到前導碼、控制訊框、競爭與重傳、訊號品質及協定額外負荷影響，因此應用層吞吐量會低於 9.6 Gbps。

2. 提高容量及效率的新傳輸技術

可列舉以下兩種：

1. OFDMA（正交分頻多重存取）：將頻道切分為多個資源單位（RU），讓 AP 在同一傳輸時段把不同 RU 分配給多個用戶。相較於每次主要服務單一用戶，可減少大量小封包造成的等待與頻道競爭，提升高密度環境的效率。
2. 上行與下行 MU-MIMO：利用多根天線及空間串流，在同一時段與多個用戶並行傳輸，增加頻道的空間使用效率與總容量。

考題只要求兩種，寫出 OFDMA 與 MU-MIMO 並說明其多用戶並行傳輸作用，即可作答。

3. WPA3 的主要改良點