LAN 補充單元與實驗解答
這是解答。建議先完成對應的習題與實驗，再對照推理過程與評分規準。
單元 03A
- 多個三層位址共用 eth0，並未建立 VLAN、埠隔離或 ACL；仍共用二層廣播域。同 VLAN 不同子網能否 IP 互通需另看直連／路由及主機設定。
- 只有 main 時仍走 G1，來源保持 198.51.100.10。G1 與遠端須可回此來源，防火牆／NAT 狀態也需允許；bind 並不指定閘道。
- priority 100 查 200 已用 default 成功，所以不繼續查 main 的 /24。修正可在 200 補該直連 /24；或以更早且精確的目的規則查含該 /24 的 main。後者要避免誤將更廣目的含入 main default。
- src 是未固定來源時的偏好，不是 SNAT。已指定來源 1 保持來源 1；轉送改寫需獨立的 NAT 機制。
- 保留 priority 0 的 local 後，在 priority 100 之前加目的 /32 例外，例如
ip rule add priority 50 to 203.0.113.81/32 lookup main。分別測試無來源、來源 1、來源 2；來源 2 仍在 main 走 G1，還須驗 endpoint 回程。若例外放 150，100 的 default 先成功，目的例外不會執行。 - 以相同連線 ID 與時間比對 LAN 入口和代理上游來源四元組、OS 查表與實體出口。兩段 socket 屬代理模型；不能由 LAN 客戶端來源規則推論上游匹配。涉及 mark 時要說明設定與恢復時機。
單元 04A
- 泛洪改變副本出口，目的 MAC 仍是單播；接收端通常不把別人的單播副本交給普通 socket。多埠看見不等於廣播。
- IPv4 群組的低 23 bits 相同，皆對映到 01:00:5e:40:00:2a；仍是不同 32-bit IP 群組。MAC 過濾不保證精確，IP 與應用層還需匹配。
- snooping 限制本 VLAN 交換副本；querier 詢問並維持成員資訊；PIM 等多播路由控制在路由器間建立跨鏈路轉送。開 snooping 不代表已開跨 VLAN 多播。
- 一埠後方可能接 AP 或下游交換器，有多個接收者。應確認成員狀態／查詢結果，不能僅依某一主機 leave 刪除整埠。
- 假設一：mDNS 被 VLAN 邊界／ACL 限制，查兩端 5353 與 group/interface。假設二：根本未公告所查服務或 cache 過期，查 PTR／SRV／TXT 與 server 狀態。ping 只支持 ICMP 單播可達，不能替探索作證。
- 不行。服務廣告不提供可信身分；若實際連 HTTPS 仍需獨立驗證名稱／信任。一般 IPP 631 可能另有其安全模式，應先確認協定與預期端點。
L15 查表與設定解答
| 案例 | 結果 | 關鍵 |
|---|---|---|
| no_policy | main，G1 | bind 來源 2 未改下一跳 |
| source_unspecified | main，G1，偏好來源 1 | 來源 2 規則未匹配 |
| source_policy | 200，G2 | priority 100 命中來源 2 |
| lan_correct | 200，on-link | 200 內 /24 勝過 /0 |
| lan_missing_route | 200，G2 | default 終止查表，不讀 main |
| endpoint_exception | main，G1 | priority 50 早於 100 |
| local_delivery | local，本機 | priority 0 先成功 |
| throw_fallthrough | main，on-link | 200 命中 throw 後繼續 |
| explicit_reject | 200，unreachable | 終止，不繼續 main |
no_policy 與 source_policy 來源相同；只有表與下一跳改變。設定 src 不會改寫已指定來源。移動 endpoint 例外到 150 後，來源 2 先在 200 選 G2；未指定來源仍可由例外 50／150 查 main，需按 case 獨立分析。
Linux 腳本的 203.0.113.80 分別由兩個隔離 namespace 擁有，僅方便觀察出口；不能聲稱測試同一 Internet 主機經兩家 ISP。route get 是核心查表結果，不代表 ARP、回程或應用成功；ping 及 neigh 另提供有限證據。未實際執行的 Linux 路線不列入本機測試通過項目。
L16 交付與服務探索解答
| 案例 | 模型出口 | 原因 |
|---|---|---|
| unknown_unicast | 2、3、4 | VLAN 10，排除入口 1 與 VLAN 20 埠 5 |
| known_unicast | 2 | FDB 命中 B |
| broadcast | 2、3、4 | 廣播域 |
| multicast_known | 2、3、4 | 成員 2、3 與 router port 4 |
| multicast_after_leave | 2、4 | 假設已確認移除 3 |
| multicast_after_expiry | 2、3、4 | 無有效成員，unknown=flood |
| multicast_unknown_drop | 4 | unknown=drop，仍保留 router port |
| mdns_link_local | 2、3、4 | 模型 link-local 特例 |
| multicast_snooping_off | 2、3、4 | 同 VLAN 泛洪 |
移除 router port 後，known 只送 2、3；unknown=flood 仍送 2、3、4，unknown=drop 送空集合。收到泛洪副本不證明主機 join，也不證明 socket 交付。埠 3 改 VLAN 後不能再作 VLAN 10 成員，合法成員與出口都需重新推導。
IPv6 延伸需加入 scope、IPv6 群組／33:33 對映、MLD 控制、鏈路特殊群組與 router port 政策；不能只把 IPv4 字串換長。模型的 leave 與 expire 是人工狀態變更，未驗 IGMP／MLD 計時器。
工作表：mDNS 是 224.0.0.251／ff02::fb，UDP 5353；後續 IPP 可往 SRV 指定 printer:631 單播連線，TXT 的 rp 可協助找資源路徑。跨 VLAN 單播可達不會讓 link-local 探索自動穿越；PTR 可見不保證 A/AAAA、port 或服務接受。AAAA 失敗需看解析結果、實際選擇、IPv6 路由、ACL 及服務端日誌，IPv4 成功僅是另一條路徑證據。
反射 gateway 應限制來源／目的 VLAN、允許的服務類型與裝置，避免把管理服務廣告意外帶入訪客區；可見性限制與實際服務 ACL／驗證分開檢查。
LAN 整合評量
新增必讀單元的評量以替換為原則：09 期中第 1 題可改用 03A 題 2／3 與 04A 題 1／3 的情境；24 期末第 1 題可改用代理上游來源案例，第 7 題可改用跨 VLAN 印表機案例。總分與評量比例不變，題目替換而非無限增加負荷；各替代題的配分見本節最後一段。
專題可選「單介面雙來源政策與 LAN 例外」或「跨 VLAN 探索與單播服務路徑」。離線模型專題需明示 kind=model；Linux 或真實設備專題另附版本、拓樸、原始證據與清除方法。不能以圖表漂亮取代路徑證據。
09 替代題 20 分：依 L15 表預測來源 2 遠端走 200／G2、LAN 走 200／直連，兩案各 6 分含規則／表／下一跳；未知單播與已知多播各 4 分，須明示 FDB 泛洪與 MDB 成員加 router port，VLAN 邊界不跨越。24 替代第 1 題 15 分：兩段來源／查表差異 8 分，LAN 與 endpoint 例外 7 分；替代第 7 題 15 分：探索 3、SRV 與雙協定位址 3、資料路徑 3、可區分的證據與限制 6。