110 專技高考高等考試 資訊技師 網路原理與應用 考古題詳解

核心觀念

本題考查軟體定義網路（Software Defined Networking, SDN）的架構、相較於傳統網路的優點，以及 OpenFlow 在 SDN 中的角色。

SDN 的核心是將控制平面與資料平面分離：控制平面負責決定封包如何轉送，資料平面則依控制平面的指示處理與轉送封包。控制邏輯集中於可程式化的控制器，網路設備因此能透過軟體統一管理與設定。

解題方法

依「架構定義 → 架構優點 → 南向協定作用 → 交換器組成」的順序作答。作答時須區分 SDN 的整體架構與 OpenFlow 的具體功能：SDN 是網路設計與管理架構；OpenFlow 則是控制器與交換器溝通、管理轉送行為的協定之一。

（一）何謂 SDN？

SDN 是一種將網路的控制平面與資料平面分離，並以軟體控制網路行為的網路架構。

在傳統網路設備中，路由或轉送決策通常由各設備自行執行；在 SDN 中，控制器掌握網路拓樸及設備狀態，統一計算轉送規則，再將規則下發至交換器。交換器依照規則處理封包，控制器則可透過程式介面接受應用程式提出的網路需求。

常見的 SDN 架構可概括為：

1. 應用層：提出網路服務或管理需求，例如流量工程、存取控制。
2. 控制層：由 SDN 控制器掌握全域網路資訊、計算策略並管理設備。
3. 基礎設施層：由交換器等設備組成，負責實際轉送封包。

控制器與基礎設施設備之間常透過南向介面溝通；控制器與網路應用程式之間則透過北向介面溝通。

（二）與傳統網路架構比較，SDN 有何優點？

1. 集中管理與全域視野：控制器可掌握多台設備及網路狀態，較容易依整體流量調整轉送策略。
2. 可程式化與彈性高：網路管理者可透過軟體設定策略，快速調整轉送、存取控制及服務品質等行為。
3. 簡化設備管理：控制邏輯集中後，可減少逐台設備設定的負擔，降低設定不一致的風險。
4. 提高自動化能力：可依流量或網路狀態，由程式自動調整規則，支援動態管理與流量工程。
5. 有利於創新與服務部署：網路應用程式可透過控制器介面提出需求，較容易開發及部署新的網路服務。
6. 有助於資源運用與政策一致性：控制器可依全網狀況安排路徑，並將一致的管理政策套用至多台設備。

核心觀念

IEEE 802 將資料鏈結層分成 LLC 與 MAC 兩個子層。LLC 位於較高層，提供網路層使用的邏輯鏈結服務；MAC 位於較低層，負責在特定傳輸媒介上傳送資料框及管理媒介存取。

解題方法

依兩個子層的分工回答：先說明 LLC 如何銜接網路層與不同的 MAC，再說明 SAP 如何標示服務界面；接著交代 MAC 對資料框與媒介存取的處理，最後依 CSMA/CD 的名稱逐步說明「先聽、再傳、邊傳邊偵測、碰撞後退避」。

（一）LLC 子層的作用

LLC 提供資料鏈結層的邏輯服務界面，讓網路層不必直接處理各種實體媒介與 MAC 技術的差異。它可在上層與 MAC 子層之間傳遞服務資料單元，並提供鏈結層的定址與控制功能，例如識別上層協定、控制資料傳送，以及在特定 LLC 服務模式下進行流量控制或錯誤控制。

因此，同一網路層可透過 LLC 使用不同的 IEEE 802 MAC 技術，而不必因底層媒介不同而改變網路層的介面。

（二）LLC 子層 SAP 的作用

SAP 是 LLC 提供給上層或其他協定使用的服務接入點，可視為兩層之間的邏輯介面。LLC 使用 SAP 識別資料應交付給哪一個上層服務或協定；傳送端與接收端依 SAP 資訊判斷服務資料的來源與目的。

在 IEEE 802.2 LLC 標頭中，DSAP（Destination SAP）識別目的端的上層服務，SSAP（Source SAP）識別來源端的上層服務。SAP 的重點是協定或服務識別，不是實體網路卡或主機的硬體位址；MAC 位址則由 MAC 子層處理。

（三）MAC 子層的作用

MAC 負責資料鏈結層與實際傳輸媒介之間的存取工作，主要包括：

• 將上層資料封裝成 MAC 資料框，並在接收時解封裝。
• 使用 MAC 位址識別同一鏈結上的來源端與目的端。
• 決定裝置何時可以使用共享媒介，並依媒介存取技術處理競爭或碰撞。
• 執行與資料框傳送相關的錯誤偵測；例如 Ethernet 以 FCS 檢查框架是否受損。

核心觀念

本題考查位元時間、位元錯誤率（BER）、傳輸錯誤成因，以及依位元編碼規則繪製訊號波形。

位元傳輸速率 $R_b$ 表示每秒傳送的位元數；位元時間 $T_b$ 是傳送一個位元所需的時間，兩者互為倒數：

解題方法

(一) 位元時間

已知 $R_b=1\ \text{Mbps}=10^6\ \text{bit/s}$，因此：

(二) 位元錯誤率

位元錯誤率是接收端判錯的位元數，占傳送位元總數的比例：

例如傳送 $10^6$ 個位元，其中有 $10$ 個位元錯誤，則 $\mathrm{BER}=10^{-5}$。

(三) 造成位元錯誤的原因

常見原因包括：

• **雜訊或電磁干擾：**干擾訊號改變接收波形，使接收端誤判位元值。
• **訊號衰減或失真：**傳輸距離或通道特性使訊號變弱、變形，造成判讀錯誤。

核心觀念

本題考查 IEEE 802.11 無線區域網路的兩種基本服務型態，以及無線基地台的管理訊框與行動性：

• BSS（Basic Service Set，基本服務集）：由一個無線基地台（AP）及其服務的無線工作站組成；沒有 AP 的 BSS 稱為獨立式 BSS（IBSS）。
• ESS（Extended Service Set，延伸服務集）：由兩個以上以分散式系統（DS）互連的 BSS 組成，讓工作站能在較大範圍內移動並維持網路連線。
• Beacon 與 Probe response 是協助工作站發現無線網路的管理訊框；handoff 則是工作站由一個 AP 的服務範圍轉移到另一個 AP。

解題方法

作答時先掌握拓樸層次：單一 BSS 是基本單位；多個 BSS 經 DS 互連，形成 ESS。再依序說明 DS 的連接作用，以及 Beacon、Probe response 與 handoff 在網路發現和移動過程中的功能。

(一) BSS 的架構與說明

Infrastructure BSS

 STA 1 STA 2
 \ /
 \ /
 [ AP ]
 |
 （連接至 DS 或有線網路）

Infrastructure BSS（基礎架構型 BSS）由一個 AP 及其服務範圍內的無線工作站（STA）構成。STA 彼此交換資料時，通常透過 AP 轉送。AP 負責無線媒介的管理與協調，並可將資料送往 DS。

IBSS

 STA 1 -------- STA 2
 \ /
 \ /
 STA 3

IBSS（Independent BSS，獨立式 BSS）沒有 AP，工作站以 ad hoc 方式直接互相通訊。IBSS 適用於小範圍、臨時組成的無線網路。

(二) ESS 的架構與說明

 STA A STA B
 \ /
 [AP 1] [AP 2]
 | |
 [BSS 1] ======== DS ======= [BSS 2]
 |
 有線網路／其他網路

ESS 由兩個以上的 Infrastructure BSS 組成，各 BSS 的 AP 透過 DS 互連。對上層網路而言，ESS 可呈現為一個較大的無線網路；同一 ESS 中的工作站可在不同 AP 的服務範圍間移動。當工作站移至另一個 AP 的涵蓋區域時，可重新連結至新 AP，以維持網路服務。

(三) DS（Distribution System）的作用

核心觀念

本題考防火牆的三種典型網路架構，以及 DMZ 如何把對外服務主機與內部網路隔離。作答時應掌握兩個判斷軸：

1. 防火牆元件有幾個網路介面、各介面連接哪些網段。
2. 封包能否直接由外部網路路由至內部網路，或必須經由代理主機／防火牆控管。

一般而言，防火牆依安全政策允許或拒絕網路流量。架構圖中的「外部網路」通常指 Internet，「內部網路」指受保護的組織網路；圖中的箭頭表示受政策允許的流量方向，實際上仍須由防火牆規則決定。

解題方法

依序辨認各架構的連接方式與信任邊界：

• 雙介面主機：一部具有兩個網路介面的堡壘主機，分別連接外部與內部網路。
• 屏蔽式主機：由一部封包過濾路由器保護一部堡壘主機；外部存取內部服務須經堡壘主機。
• 屏蔽式子網路：以兩道封包過濾邊界隔出周邊網段（perimeter network），再將堡壘主機或對外服務主機放在該網段。

三者的主要差異在於隔離層次：雙介面主機以主機本身隔開網路；屏蔽式主機增加路由器過濾；屏蔽式子網路則額外建立介於外部與內部之間的周邊網段。

（一）雙介面主機（Dual-Homed Hosts）

架構圖

外部網路（Internet）
 │
 [外部介面]
┌──────────────────┐
│ 雙介面堡壘主機 │
│（防火牆／代理服務）│
└──────────────────┘
 [內部介面]
 │
 內部網路（LAN）

運作方式

雙介面主機（dual-homed host）具有兩個網路介面，分別連接外部網路與內部網路。主機通常關閉 IP 轉送，因此外部封包不會直接經由該主機路由到內部網路。

需要跨越網路邊界的服務，須由主機上的代理服務（application proxy）或受控連線處理。防火牆依安全政策允許特定服務與連線；未經允許的流量不能直接由外部穿透到內部。

此架構的安全性仰賴主機設定、代理服務及存取控制。若主機遭入侵，或誤開 IP 轉送、放寬代理規則，內部網路的隔離效果就會降低。

（二）屏蔽式主機（Screening Host）

架構圖

外部網路（Internet）
 │
┌──────────────────┐
│ 屏蔽路由器 │
│（封包過濾防火牆）│
└──────────────────┘
 │
 內部網路
 │
┌──────────────────┐
│ 堡壘主機 │
│（代理／公開服務）│
└──────────────────┘
 │
 內部使用者與主機

運作方式

屏蔽式主機架構由封包過濾路由器與堡壘主機共同提供防護。屏蔽路由器依來源、目的位址、連接埠及協定等條件過濾封包；堡壘主機則提供代理服務或受控的對外服務。

外部連線若要使用允許的服務，通常會先被路由器限制到堡壘主機，再由堡壘主機依政策處理。路由器也可限制外部主機直接連向一般內部主機，避免不受控的直接存取。

此架構的關鍵是路由器規則必須正確：若允許外部直接連到內部主機，或錯誤地將堡壘主機以外的主機列為可達目標，便會削弱堡壘主機的防護作用。

（三）屏蔽式子網路（Screening Subnet）

架構圖