L14 代理／VPN 分層與路徑工作表
任務與資料範圍
對應 15、18 至 22，也複習 13 至 17。無需第三方核心。以下是概念分析與官方資料閱讀，不是實際部署／效能測試。每列填明協定或核心版、查閱日期與來源，不將未知寫成支援。
A：分層
逐列填 proxy protocol、協定內 encryption、transport、security、flow、接管與 OS route：
- 基礎 VLESS none＋RAW/TLS＋Vision＋SOCKS 入口。
- VLESS＋WebSocket＋REALITY：查指定核心相容表，判斷問題。
- SS2022＋系統 SOCKS 入口＋應用 HTTPS。
- Hysteria 2 轉送一個 TCP 下載與一個 UDP 互動流。
- TUIC v5 兩種 UDP relay 模式。
- WireGuard＋TUN 類 IP 介面，OS 僅路由企業私網。
B：目的、DNS 與信任
| 欄位 | 要填的證據或假設 |
|---|---|
| 最後目的 | IP、域名、port；由哪一層傳 |
| DNS | bootstrap、目標 A/AAAA、應用自帶 DoH 各由誰處理 |
| 金鑰 | PSK、身分私鑰、憑證根、會話祕密來源 |
| PFS | 對何種長期祕密洩漏，哪些資料期別 |
| 重放 | 哪一段由誰以序號／session／salt／時間檢查 |
| 可見性 | C、P、出口、S、路徑觀察者各能看到什麼 |
C：全流量政策
預期所有外部資料經 P，LAN 直連、P endpoint 走 underlay。列出 RA 來源／IPv6 預設路由、IPv4 TCP、IPv6 TCP、UDP、DNS、應用 DoH、直接 IP、LAN 與 P endpoint 的預期及實際路徑。若只有瀏覽器 IP 檢查結果，哪些列仍未確認？
D：交付與評分
提交六列分層表、至少兩個 key／信任分析、完整雙協定政策表及一個無法驗證的限制。附錄 B 可查，但需寫出理由。評分角色分類 30、版本/證據 20、信任 20、路徑 20、限制 10。
最重要的反例：TUN 本身不加密；AllowedIPs 不等於 OS 所有路由；QUIC stream 不是不可靠 DATAGRAM；AEAD 不自動 PFS；外觀相似不保證匿名或無法辨識。標準分析見解答冊。
E：H2/TCP 與 H3/QUIC 的三串流遺失
人工模型：stream 1、2、3 互相獨立、沒有應用或 QPACK 依賴。H2 資料共享一條 TCP；其中較早的 TCP bytes 遺失，承載 stream 2、3 的後續 bytes 已到。H3 的 UDP 封包只帶 stream 1 資料並遺失，stream 2、3 的資料在其他已到封包。
各畫一條時序：遺失、後續到達、buffer、可交付、恢復。問 H2 為何受 TCP 連續交付限制？H3 哪些 stream 可先交付？再列兩項現實中仍可能共享的限制，如壅塞控制、CPU 或應用依賴。本題只分析傳輸交付，不推論真實 H3 一定更快。E 納入角色分類與證據兩項評分，不另加分。