民國115年 高考三級 資訊處理 資通網路與安全
第1題
一網管工程師在為一棟新大樓建置網路架構，大樓內部有一個對外提供 服務的學術網站伺服器機房。請回答以下問題：（每小題10 分，共30 分） 新大樓的路由器與學校機…
題目
一網管工程師在為一棟新大樓建置網路架構，大樓內部有一個對外提供 服務的學術網站伺服器機房。請回答以下問題：（每小題10 分，共30 分） 新大樓的路由器與學校機房之間接了兩條實體線路（一條主線、一條 備援線）。若網管工程師放棄手動寫靜態路由，改為啟用OSPF 動態路 由協定。當某天主線路不小心被挖斷時，大樓的網路流量會發生什麼 變化？請從動態路由協定的特點與選路依據來合理解釋。 學校將大樓的「學術網頁伺服器」放在防火牆的DMZ（Demilitarized Zone），而不是直接接在外網或安全的內網。當外網的使用者想要連進 來瀏覽網頁時，防火牆的安全策略（Security Policy）應該要如何放行？ 請寫出必須設定的三個關鍵要素。 為了防止學生在教學實驗室連上惡意詐騙網站，網管工程師架設了一 台Proxy 伺服器，「代表學生（客戶端）」向外網發送請求並進行安全 檢查。請問這台架設在學生前端、幫忙過濾外網網頁的設備，屬於「正 向代理（Forward Proxy）」還是「反向代理（Reverse Proxy）」？請詳 述兩者的本質區別。
參考解答（AI 生成，非官方）
- 一、OSPF（Open Shortest Path First，開放最短路徑優先）屬鏈路狀態協定，路由器以 Hello 封包建立鄰接、交換 LSA（Link State Advertisement，鏈路狀態通告），再以 SPF（Shortest Path First，最短路徑優先）演算法計算路徑。其選路依據為成本（cost），通常以參考頻寬除以介面頻寬計算，成本越低越優先，並非單純比跳數；若兩條路徑成本相同，可進行等成本多路徑（ECMP）分流。
- 二、主線被挖斷時，路由器介面會失效，或 Hello／Dead Timer 逾時而判定鄰居失效，遂撤銷相關 LSA 並重新計算 SPF，將備援線路由安裝至路由表，流量改走備援線。收斂期間可能出現短暫封包遺失、重送或黑洞；若備援頻寬較小，斷線後集中流量可能造成壅塞。若原為 ECMP，斷線前兩線分擔，斷線後全部由備援線承載。
- 三、DMZ（Demilitarized Zone，非軍事區）安全策略須以三個關鍵要素放行：一是來源（Source），通常為 Untrust 區或任何外部位址；二是目的（Destination），為 DMZ 伺服器經 NAT 對外的虛擬 IP；三是服務（Service），限定 TCP 80／443 等必要埠，動作設為允許並開啟日誌。
- 四、策略方向應僅允許外網到 DMZ 的特定服務，不可 any-any；防火牆以狀態檢測只放行回程封包，DMZ 不得主動連入內網，內網資料庫亦不得直接暴露。另可搭配 WAF、來源地理限制、速率限制與規則定期審查，降低網頁攻擊與橫向移動風險。
- 五、此設備為正向代理（Forward Proxy），位於客戶端前端，代表學生向外網送出請求，先過濾 URL、內容類別與信譽再代為連線，可隱藏客戶端位址並提供快取、驗證。反向代理（Reverse Proxy）位於伺服器前端，代表伺服器接收外部請求，負責負載平衡、TLS 卸載與 WAF。兩者本質區別在「代表誰」：正向代理代表客戶端管出口，反向代理代表伺服器管入口。
AI 依官方試題文字產生的參考解答，非考選部公告答案，內容僅供備考參考。