電腦網路與 Internet 通訊

單元 17 至 24 解答與評量規準

這是解答。建議先完成對應的習題與實驗，再對照推理過程與評分規準。

單元 17

  1. 否，TCP 可分兩段，內層 TLS 仍由 C 到 S；TLS 終止需另行設計與驗證。
  2. 普通 CONNECT 是 TCP 隧道；UDP 需 CONNECT-UDP 等擴充，不是任意 IP 轉送。
  3. ATYP 域名可交 P 解析，送 IP 則名稱可能已在 C 解析；實際軟體選項需核對。
  4. P 是外層解密／代理請求端，需要知道目的，不因外層 TLS 而不知情。

單元 18

  1. salt／nonce 是衍生或加密材料，PFS 需長期祕密洩漏不能重建過去會話的 key establishment，單用 PSK 通常不滿足。
  2. 格式、key 來源與長度、ciphers、重放狀態、時間檢查及兩端支援，不能只看 AEAD 名稱。
  3. VMess 與 SS2022 都可有協定認證的時鐘條件；TLS 憑證則有信任／名稱／有效期條件；TCP 可達不表示它們成功。
  4. 否。外層與內層 key/端點不同，外層 PSK 洩漏可暴露代理目的等，但經正確臨時金鑰協商的內層 TLS 可仍有 PFS。

單元 19

  1. VLESS 為代理 protocol，TLS/REALITY 為 transport-security，Vision 為特定 flow，TUN 為 IP 接管介面；WG 為 IP 隧道。
  2. 基礎 none 層不加密，新擴充則有特定握手/保護與相容需求，不能把新能力推給全部舊版本。
  3. 否，transport/security 相容不等同 flow 相容，需查指定核心與組合。
  4. TLS 驗證預期同儕，保密/完整性保護通道；padding 只改部分長度外觀，不保證端點可信或無法辨識。

單元 20

  1. TCP 使用可靠 stream，UDP 走不重傳 DATAGRAM；fragment 遺失也可讓整份資料報丟失。
  2. 代理段可恢復遺失，卻使舊 UDP 內容延遲到達，需以 deadline 交付率衡量。
  3. 否。代理命令並行／免等待與 TLS 會話恢復、early-data 是不同層次，需獨立驗證。
  4. 過高固定速率／補償可使排隊、丟包和競爭加劇，不創造實體頻寬。應設競爭對照。

單元 21

  1. 否，OS 還需把封包送到 WG 介面，AllowedIPs 只在 WG 內選 peer 及驗內層來源。
  2. peer 解密後可能轉到明文目的，該段需另行保護；peer 知道目的 IP，端點與設定分發也有信任要求。
  3. IPv6 使用另一套位址/route，需要 ::/0 等有效策略及出口；IPv4 前綴不匹配 IPv6。
  4. 以 TCP 為外層的 IP VPN（如 OpenVPN TCP 模式）可將原始 TCP 段保留在外層 TCP 中產生雙重恢復；普通 TCP 代理終止原始 TCP 並轉 bytes，是不同模型。WireGuard 外層為 UDP，不形成 TCP-over-TCP。TLS 套 TLS 也不是雙重 TCP 的同義詞。

單元 22

  1. 否，TUN 只提供 IP 介面；通道保護、路由、雙協定和 policy 需另行檢查。
  2. 系統 proxy 依應用遵守，UDP 支援還依 app 與 relay，未接管資料可走原出口。
  3. DoH/DoT 僅改變 DNS 的傳送保護，實際出口仍由路由與接管決定，resolver 仍見查詢。
  4. 單次網站測試不能確認所有 apps、UDP、IPv6、DNS、DoH、LAN、P endpoint 和故障 fallback。

單元 23 開放題範例

  1. 可反駁假設：「L09 的源站 peer 等於 P 上游 socket 而非 C source」，以端點日誌比對反駁。
  2. 設計 A 顯式 SOCKS 入口；B 為 IP VPN 的離線推演，分別列 app 繞過和 OSroute 缺口。
  3. L09 證明兩段 TCP 端點，L13 證明 TLS 名稱/信任；它們分開執行，不能證明已部署了一個有 TLS 的 SOCKS 代理。
  4. 控制源站與 payload；未控制 OS 背景排程與 CPU 競爭，計時需多次與分布。

單元 24 期末 100 分

  1. 15 分：題目只給企業私網路由，普通 IPv4 網站應依其他 IPv4 路由（通常為實體出口的預設路由），不能僅憑私網 route 斷言有外網路由；2001:db8::80 依 OS 的 IPv6 路由，沒有有效 IPv6 路由則不可達，若應用有 IPv4 候選才可能退回 IPv4。兩者都不匹配 10.10.0.0/24。雙協定全隧道還需 OS 路由、WG peer 的 AllowedIPs、endpoint 例外、DNS、出口與回程政策。wg-quick 等工具可能另建路由，要看最終表。路由判斷 5 分，完整條件 10 分。
  2. 15 分：VLESS 為代理 protocol，TLS／REALITY 為 transport security，Vision 為 flow，WebSocket 為 transport；TUN 為 IP 接管介面，WireGuard 為 IP VPN（七個名稱分類共 7 分）；說明 TUN／WG 不能與 VLESS 同欄替換（3 分）；此次文件 WebSocket＋REALITY 不相容，transport/security 支援也不保證 flow 支援，需指定版本核對（5 分）。
  3. 15 分：分別說明 PSK 與臨時協商／PFS 條件、獨立重放狀態、代理需知目的；每項 5 分。不得以 AEAD 直接推 PFS。
  4. 15 分：stream 可靠有序（5 分）；QUIC DATAGRAM 不提供遺失重傳及有序交付保證（5 分）；100 ms 的 deadline 內交付率與最終到達率不同，可靠轉送可能交付已過期內容（5 分）。
  5. 10 分：1492−40−8−16−16=1412 bytes（6 分）；外層條件、padding、實際 PMTU 及內層 IPv6 等限制（4 分）。
  6. 15 分：對齊 hostname/SAN/服務和 route（7），保留鏈/名稱驗證（4），再測正負對照（4）。不能僅停用驗證。
  7. 15 分：IP 網頁僅證明該請求路徑（5）；UDP/IPv6/DNS/DoH/直接 IP/LAN/endpoint 逐項預期及證據（10）。

專題另依 23 單元 100 分規準。開放設計可多解；必要的是明確假設、重現方法與符合證據範圍的推論。