先問三件事：只有我還是大家都連不上？從什麼時候開始？我現在在哪個網路？大家都不行就查伺服器端，只有我不行就查客戶端。

1. 我的網路本身：ping 1.1.1.1、dig vpn.example.edu。飯店、咖啡廳常有 captive portal 或擋 UDP。
2. 碰得到 VPN 端點嗎：TCP 類（SSL VPN）用 nc -vz host 443；UDP 類（WireGuard 51820、OpenVPN 1194、IPsec 500／4500）用 nc 判斷不準，改看客戶端日誌或 tcpdump -ni any udp port 51820 有沒有回包。換手機熱點是最快的對照組。
3. 認證與憑證：帳密過期、MFA、憑證過期（openssl x509 -enddate -noout -in client.crt）、系統時間偏移（TOTP 與憑證都會失敗，看 timedatectl）。
4. 握手狀態：WireGuard 看 wg show 的 latest handshake；OpenVPN 看 journalctl -u openvpn-client@x，TLS 錯誤與 AUTH_FAILED 意義不同。
5. 連上了但進不去：ip route 看路由有沒有推進來（split tunnel）；網段重疊（家裡 192.168.1.0/24，機房也是）；DNS 有沒有推內部解析；MTU 用 ping -M do -s 1372 10.x.x.x 測，小包通大包不通就是 MTU。
6. 伺服器端（大家都不行時）：服務活著嗎（systemctl status、ss -ulnp）、防火牆規則被改、憑證或 CRL 過期、IP pool 用完、授權人數滿、上游線路斷。
7. 一定要進去：走頻外管道（IPMI／iDRAC、跳板機、另一條專線）或請值班同事到現場；不要為了進去臨時開公網 port。

答題結構：從外到內、由下往上，每一層一個指令。

每塊 32 個位址。網路 192.168.1.64、廣播 192.168.1.95、可用 .65–.94（30 個）、mask 255.255.255.224、gateway 192.168.1.65。

另一題 192.0.2.96/19：/19 在第三個 octet 每塊 32，2 落在 0–31，所以網路 192.0.0.0、廣播 192.0.31.255、mask 255.255.224.0。

速算：區塊大小 = 256 − 遮罩在該 octet 的值；網路位址 = 不大於該值的最大區塊倍數。

可以。兩邊設同網段，例如 10.0.0.1/30 與 10.0.0.2/30，不需要 gateway（不出網段）。現代網卡有 Auto-MDIX，直線即可；舊設備要跨接線。沒設 IP 時兩邊會拿 169.254.0.0/16 link-local，也能互通。

Switch 的 MAC table 會在兩個 port 之間來回跳（MAC flapping），兩台都時通時不通，封包送錯人。只在同一個 L2 網段內發生。偵測：switch log 的 flapping 警告；防護：port security、DHCP snooping＋Dynamic ARP Inspection、802.1X。這也是 MAC spoofing 的原理。

1. 選 Root Bridge：Bridge ID 最小者（先比 priority，預設 32768；同 priority 比 MAC）。
2. 每台非 root 選 Root Port：到 root 路徑成本最小的 port（同成本比對方 Bridge ID，再比 port ID）。
3. 每個網段選 Designated Port：離 root 最近的那一端。
4. 其餘 port 全部 Blocking；在圖上標 R、D、×。A、B 是否相通：看 blocking 後是否仍有一條路徑，並檢查是否同 VLAN、同網段。

追問：loop 會造成廣播風暴和 MAC table 不穩；PortFast 只開在接終端的 port 並搭配 BPDU Guard；RSTP／MSTP 收斂比傳統 STP 快。校園最常見的 loop 是使用者自己接小 switch。

VLAN 在同一台實體 switch 上切出多個廣播網域。Access port 屬於單一 VLAN、trunk port 用 802.1Q tag 帶多個 VLAN；native VLAN 不帶 tag，要注意 VLAN hopping。換 VLAN：switch 改 port 的 access VLAN（或使用者連到對應 SSID），端點 DHCP release／renew 拿新網段；伺服器要換就先加新 IP、改 DNS、等 TTL、再拔舊 IP。

• ABR：同時接 Area 0 與其他 area 的 router。ASBR：把外部路由（static、BGP、別的協定）redistribute 進 OSPF 的 router。
• LSA 類型：1 Router、2 Network（DR 發）、3 Summary（ABR 把 area 間路由帶過去）、4 ASBR Summary（告訴別的 area ASBR 在哪）、5 External（ASBR 發的外部路由）、7 NSSA External。
• 彙總成 default：把該 area 設成 Totally Stubby，ABR 上 area 3 stub no-summary（Cisco），area 內其他 router area 3 stub。Stub 擋 4、5；Totally Stubby 擋 3、4、5，由 ABR 送進 default。需要引入外部路由時改用 NSSA（Type 7）。
• 「不要把某些 LSA 送到其他 area」：Type 1、2 本來就不出 area；彙總用 area X range（ABR）和 summary-address（ASBR），過濾用 area X filter-list。

Area ID 不同、Hello／Dead timer 不同、驗證不同、子網或遮罩不同、stub flag 不一致、MTU 不同（卡在 ExStart）、router-id 重複、介面被設 passive、ACL 擋了 224.0.0.5／6。如果 Area 3 沒有直接接到 Area 0，ABR 必須用 virtual link 接回 backbone。驗證指令：show ip ospf neighbor、show ip ospf interface、debug adjacency。

1. 進來的封包：prerouting（DNAT 在這）→ 路由決策 → 目的是本機走 input，否則走 forward → postrouting（SNAT／masquerade 在這）。
2. 本機發出：output → 路由決策 → postrouting。
3. 路由看最長前綴；有 ip rule 先看 policy routing。實機驗證：ip route get 8.8.8.8 from 10.0.0.5 iif eth1。
4. 離不開機器的常見原因：沒有匹配路由或沒有 default、forward chain 預設 drop、net.ipv4.ip_forward=0、rp_filter 因反向路徑不符而丟。

考場上先畫一張 chain 流程圖，再逐組標出經過哪些規則。

RPKI（發 ROA，自己做 Route Origin Validation 丟掉 invalid）、IRR 過濾客戶路由、prefix limit、ROA 設好 max-length、加入 MANRS、用 BGP 監控服務告警。

關鍵：兩邊各自正常，問題在 A→B 這條路徑，或伺服器對 A 的特別處理。

1. 伺服器主機防火牆只放特定網段（實驗室和系計中），或服務只聽在內部介面。
2. VLAN 間 ACL：L3 switch 或防火牆沒放行 A→B。
3. 回程路由：伺服器是雙網卡，回給 A 的封包走另一張卡（非對稱路由），被狀態式防火牆或 rp_filter 丟掉；或伺服器有一條寫錯的靜態路由吃掉 A 網段。

其他：內部 DNS view 對 A 網段回錯 IP、伺服器 IP 和 A 網段某台撞到。驗證：伺服器上 tcpdump -ni any host <教授IP>，看 SYN 有沒有到、回應從哪張卡出去。

1. 先弄清楚兩個牆孔各接到哪：看配線架標籤，或電腦插上去看 DHCP 拿到什麼網段、lldpctl 看對端 switch 與 port。
2. 一條接 router WAN。
3. 電腦不用線也能進管理介面：連 router 出廠預設 Wi-Fi（底部標籤），或用 console／USB。設完先改管理密碼、關 WAN 端管理、更新韌體。
4. 陷阱：不要把兩條牆壁線同時插 router 的 LAN 和 WAN（或兩個 LAN），若在同一 VLAN 會形成 loop，或 router 的 DHCP 跑進大樓網路變成 rogue DHCP。

• 電腦教室：每間一個 VLAN、各 /25（126 個可用），L3 switch 當 gateway；DHCP 依 MAC 保留固定 IP（座位對應 IP，方便考試與追查）；教室間 ACL 隔離，考試時可只放行考試伺服器；部署用 PXE。
• 資安通報追查：通報給公網 IP＋時間 → 有 NAT 就查 NAT log 對到內部 IP → DHCP lease 或 gateway ARP 表對到 MAC → switch show mac address-table address <mac> 對到 port → 配線對到房間牆孔。時間戳一定要對齊，所以設備都要 NTP、log 要集中保存。進階是 802.1X 把帳號綁到連線。
• 伺服器服務分區：Web／反向代理放 DMZ，DB 與內部服務放內部 VLAN，防火牆只開 DMZ→DB 必要 port；管理介面（SSH、IPMI）另開管理網段。

位址規劃（一個 VLAN 一個 /64）、SLAAC 或 DHCPv6、RA Guard、防火牆規則 v4／v6 對等（常見漏洞是 v6 全開）、DNS AAAA、應用與設備支援度、監控和 log 要能處理 v6、先雙堆疊再逐步過渡、人員訓練。

準備一個資訊中心真實案例，用 STAR：情境（哪棟、多少人受影響）、你的任務、你用的指令與判斷順序、結果與後續（文件、監控）。沒有參與處理的事件不要講成自己做的。

ip a、ip route、ip neigh、ss -tunap、ethtool eth0、mtr、tcpdump、dig、nmcli、iperf3。每個講一句用途。

1. 韌體 POST，BIOS 讀 MBR／UEFI 讀 ESP 上的 bootloader。
2. GRUB 載入 kernel 與 initramfs，帶 kernel 參數。
3. Kernel 初始化硬體，initramfs 載入驅動、解密或組 RAID、掛上真正的 root。
4. 執行 PID 1（systemd），依 default.target 平行啟動 unit，最後 getty／登入畫面。

指令：systemd-analyze blame、journalctl -b。

unshare／clone() 開 namespace；cgroups v2 限資源；準備 rootfs（overlayfs 疊 image layer）再 pivot_root；建 veth pair 一端放容器 netns、一端接 bridge，再用 nftables 做 NAT；丟掉 capability、套 seccomp、可加 user namespace 讓容器內 root 對應到主機一般使用者。要注意：重新掛 /proc、PID 1 要回收殭屍程序並轉發訊號、image 來源可信度。

程序層：ulimit／/etc/security/limits.conf（pam_limits）。系統層：systemd 的 user-UID.slice 設 MemoryMax、CPUQuota、TasksMax（底層是 cgroups）。磁碟：quota（xfs_quota、ZFS quota）。BSD：rctl、login.conf。運算叢集：交給 Slurm 排程並用 cgroup 強制限制。

RAID 不是備份：RAID 1／5／6／10 防硬碟壞，防不了誤刪和勒索。備份照 3-2-1（3 份、2 種媒體、1 份異地），工具 restic、borg、rsync、ZFS／LVM 快照；資料庫另外做邏輯備份與 binlog。關鍵是定期演練還原。備援（HA）：keepalived（VRRP）飄浮 IP、Pacemaker、DB 主從複寫。

• 防範：最小權限、限制對外連線（例如擋 outbound 25、限制大量對外連線）、rate limit、fail2ban、只允許金鑰登入、即時更新、限制程序數與資源。
• 偵測：NetFlow／sFlow 看異常對外流量、auditd、集中 log、IDS（Suricata）、監控 CPU 異常（挖礦）、外部 abuse 通報。
• 處理：先隔離帳號與連線、保留證據、依校規通報。

• Debian／Ubuntu：apt、穩定、社群大；RHEL／Rocky／Alma：企業長期支援、SELinux；Arch：rolling release；Alpine：musl、極小，常做容器基底。
• FreeBSD：效能、ZFS、jail，常見於伺服器與儲存；OpenBSD：安全優先，pf 與 OpenSSH 出自這裡；NetBSD：可攜性，支援大量平台。
• pkg 裝預先編譯的 binary；ports 從原始碼編譯，可調編譯選項。

nftables（iptables 的後繼）、ufw／firewalld（前端包裝）、BSD 的 pf、雲端的 security group、Cloudflare 的 WAF 規則。講你在哪台機器、為了什麼設過。

NFS 是檔案層、Unix 原生，當共享 datastore 最簡單，支援快照（qcow2）。SMB 是 Windows 檔案分享，VM datastore 較少用。iSCSI 是區塊層（LUN），效能較好，但多台主機共用要有叢集檔案系統（VMFS）或 LVM 管理，Proxmox 上 iSCSI＋LVM 沒有快照。更大規模用 Ceph。

VM 不關機就搬到另一台主機：先複製記憶體，反覆複製被改過的 dirty page，最後短暫暫停、送完剩下的狀態再切過去。需要共享儲存（或同時搬儲存）。不同代 CPU 的問題：VM 若在新 CPU 上用了新指令集，搬到舊 CPU 會出錯。解法是 CPU 遮罩：VMware EVC、Proxmox 把 CPU type 設成 x86-64-v2 這類通用型號，不用 host。

vCPU 是主機上被排程的一條執行緒，可以超賣（overcommit），太多會造成 CPU steal time；大 VM 要注意 NUMA。硬體虛擬化：Intel VT-x、AMD-V；記憶體位址轉譯加速 EPT／NPT；裝置直通靠 IOMMU（VT-d、AMD-Vi）。

CPU 廠牌與世代（影響 live migration）、記憶體、網卡數與速度、VLAN 與 MTU 一致、能存取共享儲存、軟體版本一致、時間同步、叢集 quorum（節點數以奇數為佳，Proxmox 用 corosync）。

集中式平台有 HA、live migration、共享儲存、集中管理與權限、排程備份、範本。網段：每個網段建一個 Linux bridge（或 VLAN-aware bridge），在主機上對 bridge 做 masquerade，或放一台 VyOS／pfSense VM 當路由器。

1. 共用 kernel：隔離比 VM 弱，kernel 漏洞可能造成逃逸；也不能跑不同 kernel 的系統。
2. 狀態保存：容器是暫時的，資料庫等有狀態服務要處理 volume、備份與遷移。
3. 網路與除錯複雜：多一層 NAT、overlay、DNS；image 裡常沒有除錯工具，log 隨容器消失。
4. 供應鏈風險：基底 image 帶漏洞、來源不明，要掃描（Trivy）與更新。
5. 資源設定：沒設 limit 會互搶，設太低會被 OOM kill；PID 1 訊號處理問題。
6. 維運成本：導入 orchestration 的學習曲線與 YAML 管理。

VM 虛擬化硬體、各自 kernel、隔離強、開機慢、資源重；container 虛擬化 OS、共用 kernel、輕量、秒起、image 可攜。優點：環境一致、部署快、密度高。不該用：需要強隔離的多租戶、需要特殊 kernel 模組、大型有狀態系統且團隊沒有維運能力、GUI 桌面應用。

CNI 是 kubelet 呼叫網路插件的介面規格。Pod 建立時 CNI 會：建 veth pair，一端放 Pod 的 netns、一端留主機；由 IPAM 分 IP；設路由；跨節點則用 overlay（VXLAN、IPIP）或 BGP 宣告路由。

• Calico：BGP／IPIP／VXLAN，NetworkPolicy 用 iptables／ipset 或 eBPF 實作。
• Flannel：VXLAN，簡單，不支援 NetworkPolicy。
• Cilium：eBPF，可做 L7 policy。

1. kubectl 讀 kubeconfig，送 POST 給 API server。
2. API server 驗證身分（authn）、檢查權限（RBAC）、跑 admission controller，把 Pod 物件寫進 etcd。
3. Scheduler watch 到沒有 nodeName 的 Pod，先 filter 再 score，把 Pod bind 到某個節點。
4. 該節點的 kubelet watch 到，透過 CRI 叫 containerd：建 pod sandbox（pause 容器）、呼叫 CNI 設網路、拉 image、啟動容器。
5. kubelet 回報狀態給 API server。
6. 加分細節：busybox 預設沒有長駐程序，執行完就退出；Pod 的 restartPolicy 是 Always，所以會進入 CrashLoopBackOff。要讓它活著要加 -- sleep 3600。

1. openssl genrsa 產私鑰，openssl req -new -subj "/CN=manager/O=managers" 產 CSR。
2. 建 K8s CertificateSigningRequest，kubectl certificate approve，取回簽好的憑證。
3. 在 manager namespace 建 Role：resources configmaps，verbs get、list、create、update、delete。
4. 建 RoleBinding 綁 user manager（K8s 用憑證 CN 當 user、O 當 group）。
5. kubectl config set-credentials 寫進 kubeconfig。
6. 確認：kubectl auth can-i update configmaps -n manager --as manager（回 yes），換 -n default 應回 no。

Docker Compose 或單節點 k3s；每個服務設 CPU／記憶體 limit；分網路隔離；前面放反向代理（Traefik、Caddy）依網域分流，避免 port 衝突；集中收 log 與 metrics；image 用相同基底減少空間；注意單點故障，資料要備份。

解決：宣告式部署、自我修復、水平擴展、滾動更新與回滾、服務發現、設定與密鑰管理。問題：複雜度與學習曲線、網路除錯困難、有狀態儲存、版本升級、YAML 散亂、控制平面本身的資源開銷。小規模服務不一定值得。

K8s 1.24 移除了 dockershim，改用 containerd 或 CRI-O。Image 是 OCI 格式所以照用。受影響的是依賴 docker socket 的東西：CI 裡的 docker-in-docker、讀 Docker log 路徑的 log agent、監控工具。節點除錯改用 crictl。升級前先盤點、在測試叢集驗證。

etcd 快照（etcdctl snapshot save）、控制平面憑證（/etc/kubernetes/pki）、manifest 放 Git（GitOps）、PersistentVolume 資料另外備份（Velero 或儲存端快照）。並演練還原。

SLI 是量測的指標（例如成功請求比例、p99 延遲）；SLO 是內部目標（例如 30 天 99.9%）；SLA 是對外合約，違反有賠償，通常比 SLO 寬鬆。1 − SLO 是 error budget，用完就停止上新功能、先修穩定度。VALET：Volume、Availability、Latency、Errors、Tickets。

Prometheus 定期 pull 各服務的 metrics 存進時序資料庫，用 PromQL 查詢，Alertmanager 發告警；Grafana 做儀表板。Observability 三支柱：metrics（發生了什麼）、logs（細節）、traces（一個請求跨服務的路徑與每段耗時，例如 OpenTelemetry、Jaeger）。

push／MR → lint 與單元測試 → build image → 漏洞掃描 → 推 registry → 部署 staging → 整合／E2E 測試 → 人工核准 → 部署 production（GitOps：Flux／Argo CD 從 Git 同步）→ 監控與一鍵回滾。秘密放 CI 的 secret 或 vault，不放 repo。

DevOps 是文化與實踐：打破開發與維運的牆、自動化、持續交付。SRE 是 Google 提出的具體做法：用軟體工程解決維運，以 SLO 與 error budget 管理風險、限制 toil。常見說法是 SRE 是 DevOps 的一種實作。

Agentless（透過 SSH），用 inventory 定義主機、playbook 宣告期望狀態，module 是冪等的：跑兩次結果一樣，只改需要改的。Shell script 是命令式，重跑可能出錯，也難以管理多台。Role 可重用。資訊中心 System 組把它列為應備知識。

1. A 的 Outlook（MUA）用 SMTP submission（587 STARTTLS 或 465）帶帳密送到 A 公司的 MSA／MTA。
2. A 的 MTA 放進 queue，查 B 網域的 MX 紀錄。
3. 連到 B 的 MX port 25：EHLO → STARTTLS → MAIL FROM → RCPT TO → DATA → QUIT，並簽 DKIM。
4. B 的 MTA 檢查 SPF、DKIM、DMARC、黑名單與垃圾信過濾。
5. 交給 MDA（例如 Dovecot LMTP）存進 B 的信箱（Maildir）。
6. B 的 Outlook 用 IMAP（993）或 POP3（995）收信。

POP3 把信下載到本機，預設從伺服器刪除，適合單一裝置；IMAP 信留在伺服器，資料夾與已讀狀態多裝置同步。mbox 一個資料夾一個大檔，需要鎖；Maildir 一封信一個檔案，併發安全、較好備份。

• Open relay：任何人不需驗證就能透過你的伺服器寄給外部網域，會被拿來發垃圾信、讓你上黑名單。
• SPF：DNS TXT 列出哪些 IP 可以替這個網域寄信。DKIM：用私鑰簽信件，公鑰放 DNS。DMARC：告訴收件方 SPF／DKIM 失敗時怎麼處理，並回報。
• 防垃圾信：RBL、greylisting、rspamd／SpamAssassin、對外寄信限速、PTR 反解要正確、HELO 檢查。
• 安全設定：只在 submission 收認證、強制 TLS、MTA-STS 或 DANE、fail2ban、即時更新。

incoming：剛收進來的信；active：正在投遞（數量有上限）；deferred：暫時失敗（4xx）等重試；另有 hold 與 maildrop。指令 postqueue -p、postsuper -d。Table：virtual、transport、access、canonical、aliases，後端可以是 hash、lmdb、LDAP、MySQL。Dovecot：passdb 負責驗證密碼，userdb 提供 uid、gid、家目錄與信箱位置。

先問：寄件時間、收件地址、主旨、有沒有收到退信。用 queue ID 串起整封信的 log：grep <queue-id> /var/log/mail.log。看 status=：sent、deferred（4xx 暫時，例如對方灰名單）、bounced（5xx 永久，例如 550 5.1.1 user unknown、被 SPF／DMARC 擋）。讀信件 Received 標頭由下往上看經過哪些主機。

多筆 MX → 前端過濾層（rspamd）在負載平衡後 → MTA 叢集 → Dovecot proxy／director 依使用者導到後端儲存（共享儲存或 dsync 複寫）→ LDAP 認證；submission 與收信分開；監控 queue 長度。代管服務的優點：可用性、垃圾信過濾、行動裝置與協作整合、少維運；自建的優點：資料主權、客製、成本。

Stub resolver 問 recursive resolver（先查 cache）→ root → TLD → authoritative，依 TTL 快取。DoT 用 TLS 跑在 853；DoH 把 DNS 包在 HTTPS 443。兩者都防路徑上的人偷看或竄改查詢；DoH 混在一般流量裡較難被擋，也讓企業較難監控與過濾。DNSSEC 解決的是真偽，不是隱私。

攻擊者偽造來源 IP 為受害者，向大量 open resolver 送小查詢（要求大回應，例如 ANY 或 DNSSEC 紀錄），回應全部打到受害者，放大倍數可達數十倍。防法：resolver 不對外開放遞迴、RRL、ISP 做 BCP 38 來源位址過濾。考卷只寫原理與防禦。

用 SSSD（或 nslcd）接 NSS 與 PAM：設 ldap_uri、search base、TLS（ldaps 或 StartTLS，裝 CA）；使用者物件要有 posixAccount 屬性。驗證：getent passwd alice、id alice、ldapsearch -x -H ldaps://ldap.example -b "dc=example,dc=edu" uid=alice。家目錄可配 autofs 掛 NFS，或 pam_mkhomedir。

syncrepl 複寫：multi-provider（mirror mode 或 N-way）兩台以上互為主，前面放 VIP 或 client 設定多個 URI；consumer 唯讀副本分散查詢。slapcat 定期備份；監控各節點 contextCSN 是否一致。

Root CA 離線保存，平常用 intermediate 簽；自動化用 ACME（step-ca 也支援）；撤銷用 CRL 或 OCSP。指令：openssl x509 -in a.crt -noout -text、openssl verify -CAfile ca.crt a.crt、openssl s_client -showcerts。

slurmctld（控制）、slurmd（各節點）、slurmdbd（帳務）。用 partition 分機器、QOS 限制每人最多 GPU（MaxTRESPerUser=gres/gpu=2）與時間、fairshare 排優先；cgroup 強制限制 GPU 與記憶體；pam_slurm_adopt 讓沒有工作的人 SSH 不進運算節點。軟體環境用 module、Spack 或 Conda。

這是 race condition。如果先查「有沒有人借」再寫入，兩個請求可能同時查到空的（TOCTOU）。最終防線要放在資料庫：

1. 唯一或排他約束：時段固定就對 (room_id, slot) 設 UNIQUE；時段可重疊用 PostgreSQL 的 exclusion constraint。第二筆會失敗，API 回 409 Conflict 並建議其他時段。
2. Transaction＋鎖：悲觀鎖 SELECT ... FOR UPDATE 鎖住該教室；或樂觀鎖用 version 欄位，更新時版本不符就重試。
3. 序列化：每間教室一個佇列依序處理；多台應用伺服器可加 Redis 分散鎖（SET key val NX PX），但 DB 約束仍是最後保障。
4. 業務規則：先到先得，或改成「申請→審核」流程並定優先序（例如課程優先），通知落選者。

CREATE EXTENSION btree_gist;
CREATE TABLE booking (
  id serial PRIMARY KEY,
  room_id int NOT NULL,
  professor_id int NOT NULL,
  during tstzrange NOT NULL,
  EXCLUDE USING gist (room_id WITH =, during WITH &&)
);

實務上 CRUD 用 ORM，報表與複雜查詢用 Query Builder 或 raw SQL，並開 query log 檢查。

撈 100 篇文章（1 次），再逐篇查作者（100 次），共 101 次查詢。解法：eager loading（Laravel with('author')、Prisma include）、JOIN、用 WHERE id IN (...) 批次、GraphQL 用 DataLoader。偵測：query log、Laravel Debugbar、APM。

• 序列化時觸發關聯的 lazy load（N+1）→ eager load。
• 一次序列化全部資料沒分頁 → 分頁、只選需要的欄位。
• 每筆呼叫外部服務（LDAP 查名字、加解密）→ 批次或快取。
• 沒有索引的查詢 → 看 slow query log、EXPLAIN、加索引。

先量測再改：profiler、APM、query log，找到真正耗時的地方。

GET    /labs                 列表（?page=&q=）
POST   /labs                 新增
GET    /labs/{id}            單一
PATCH  /labs/{id}            部分更新，例如 {"managerId": 12}
DELETE /labs/{id}
GET    /professors/{id}/labs 教授的實驗室
PUT    /labs/{id}/manager    指定負責人

名詞用複數資源、動作用 HTTP method；狀態碼 200、201、204、400、401、403、404、409；回錯誤時有結構化訊息；分頁、過濾、版本（/v1）。

多對多一律用中介表：

users(id PK, name)          groups(id PK, name UNIQUE)
user_groups(user_id FK, group_id FK, PRIMARY KEY(user_id, group_id))
CREATE INDEX ON user_groups(group_id);   -- 反向查詢也快

images(id PK, path)   tags(id PK, name UNIQUE)
image_tags(image_id FK, tag_id FK, PRIMARY KEY(image_id, tag_id))

理由：正規化避免重複；複合主鍵防重複關聯；兩個方向都有索引。

Redis：固定視窗 INCR key＋EXPIRE 300 最簡單，但視窗邊界會讓瞬間多一倍；滑動視窗用 sorted set 存時間戳，刪掉 5 分鐘前的再計數；或 token bucket。key 用使用者 ID 或 IP。超過回 429 並帶 Retry-After。也可在閘道層做：nginx limit_req、Cloudflare rate limiting。

OAuth 2.0 是授權：讓第三方拿 access token 代表使用者存取資源。OIDC 是建在 OAuth 上的身分驗證層，多了 ID token（JWT）與 userinfo。JWT 是一種自帶簽章的 token 格式，缺點是難撤銷，所以要短效期加 refresh token。SSO 是一次登入多系統通用的體驗，可用 SAML 或 OIDC 實作。

• MVC：Model 資料與商業邏輯、View 呈現、Controller 接請求並協調。MVVM 用 ViewModel 雙向綁定（Vue）。
• Transaction：ACID；隔離等級 Read Uncommitted、Read Committed、Repeatable Read、Serializable，分別防髒讀、不可重複讀、幻讀。
• RDBMS vs NoSQL：關聯式有 schema、JOIN、交易；NoSQL（文件、KV、寬欄）彈性 schema、水平擴展，一致性通常較弱。
• Sub-query vs JOIN：多數情況優化器結果相近；相關子查詢可能逐列執行而變慢；JOIN 可讀性與可優化性通常較好。
• gRPC vs REST：gRPC 用 HTTP/2＋Protobuf，有強型別與 streaming，適合服務間；REST 用 JSON，通用、瀏覽器友善。GraphQL 讓客戶端決定要哪些欄位。
• Redis：快取、session、rate limit、佇列、排行榜、分散鎖。
• 圖片裁切做前端還後端：前端減少上傳量與即時預覽；後端可信、統一格式、能防惡意檔案。實務是前端預覽裁切，後端再驗證與轉檔。

1. （拿到資源前）DNS → TCP → TLS → HTTP 回 HTML。
2. 解析 HTML 建 DOM；遇到 CSS 建 CSSOM；一般 <script> 會阻塞解析，defer 在解析完才依序執行，async 下載完就執行。
3. DOM＋CSSOM 合成 Render Tree（display:none 不在裡面）。
4. Layout（reflow）：算每個元素的位置與大小。
5. Paint：畫出像素到各圖層。
6. Composite：GPU 合成圖層顯示。

優化：critical CSS、script 用 defer、動畫用 transform／opacity（只觸發 composite）、避免讀寫交錯造成 layout thrashing。

非同步操作一層包一層，形成向右延伸的金字塔，難讀、錯誤處理分散、難以平行化。解法：Promise 鏈、async/await、Promise.all 平行處理、把 callback 拆成具名函式。

// callback hell
getUser(id, (e, u) => { getPosts(u, (e, p) => { getComments(p, (e, c) => { ... }) }) })

// async/await
try {
  const u = await getUser(id)
  const p = await getPosts(u)
  const c = await getComments(p)
} catch (e) { handle(e) }

Promise 是代表未來結果的物件，有 pending、fulfilled、rejected 三態。async 函式回傳 Promise，await 會暫停該函式、把後續放進 microtask。Event loop：call stack 清空後先跑完所有 microtask（Promise 回呼），再取一個 macrotask（setTimeout、I/O）。JS 誕生在瀏覽器，單執行緒操作 UI，必須不阻塞，所以 event loop 是語言執行環境的一部分；其他語言也有，只是在函式庫層（Python asyncio、Rust Tokio、Node 底層的 libuv）。

var 是函式作用域、會 hoisting（初始化為 undefined）、可重複宣告；let、const 是區塊作用域、有 TDZ；const 不能重新賦值，但物件內容可改。Arrow function 沒有自己的 this（取外層）、沒有 arguments、不能 new、沒有 prototype。

CORS：瀏覽器的同源政策預設不讓 JS 讀跨來源回應，伺服器用 Access-Control-Allow-Origin 等標頭放行；非簡單請求會先送 OPTIONS preflight。CORS 保護的是使用者，不是伺服器。CSP：伺服器用標頭限制頁面能載入或執行哪些來源的腳本、樣式等，主要防 XSS；unsafe-inline 會削弱效果，改用 nonce 或 hash。

CSRF：誘使已登入的使用者瀏覽器送出非本意的請求（cookie 自動帶上）。防法：SameSite cookie、CSRF token、檢查 Origin。前後端分離若 token 放在 Authorization 標頭就不會自動帶，CSRF 風險低，但要注意 XSS 偷 token。XSS 分 stored、reflected、DOM-based；防法：輸出時依情境跳脫、框架預設跳脫、避免 innerHTML、CSP、cookie 設 HttpOnly。

• debounce vs throttle：debounce 停止觸發一段時間後才執行一次（搜尋框）；throttle 固定間隔最多執行一次（捲動、resize）。
• SPA vs SSR、SEO：SPA 互動好但首屏慢、爬蟲可能看不到內容；解法 SSR／SSG（Nuxt、Next）、prerender、sitemap。SPA 缺點還有初次載入大、記憶體洩漏、要自己處理路由與狀態。
• TCP 有雙向通訊，為什麼瀏覽器還要 WebSocket：瀏覽器 JS 不能開原生 TCP socket，只能用 HTTP；HTTP 是請求回應模式。WebSocket 用 HTTP Upgrade 在同一條連線上全雙工。
• CSS 權重：!important > inline > id > class／屬性／偽類 > 元素；class="a b" 時權重相同，比在 CSS 檔中後出現的規則。
• flex vs grid：flex 一維（一列或一欄），grid 二維（同時列與欄）。
• RWD：<meta name="viewport" content="width=device-width, initial-scale=1">＋media query＋相對單位（rem、%、vw）。
• 大量資料渲染：分頁、虛擬捲動、懶載入、伺服器端過濾與排序。

rebase 把分支上的 commit 重新接到新基底上，歷史變線性；rebase -i 可以 squash、改訊息、調順序。merge 保留分岔歷史並產生 merge commit。原則：已經推到共用分支的 commit 不要 rebase，否則別人的歷史會衝突。

1. 先撤銷並更換那組密鑰，因為已推上去就要當作外洩。
2. 用 git filter-repo --path secrets.env --invert-paths（或 BFG）清掉歷史。
3. git push --force，通知協作者重新 clone。
4. 請平台清快取與 fork；加 .gitignore 與 pre-commit 秘密掃描（gitleaks）。

• fetch vs pull：fetch 只下載遠端更新；pull = fetch＋merge（或 rebase）。
• HEAD：指向目前所在的 commit 或分支。
• 找回刪除的 branch：git reflog 找到 commit，git branch name <sha>。
• git flow／GitLab Flow：git flow 有 main、develop、feature、release、hotfix，適合有版本發佈的產品，對持續部署太重；GitLab Flow 用環境分支；trunk-based 適合 CI/CD。
• Conventional Commits：feat:、fix:、docs: 等前綴，可自動產生 changelog 與版本號。
• 避免 merge conflict：小而頻繁的 PR、常同步主線、模組邊界清楚、格式化工具統一。

Stub 回傳預先設定的值，用來控制輸入；Spy 包住真的函式並記錄呼叫次數與參數；Mock 事先設定期望的呼叫，測試時驗證是否發生。TDD：先寫會失敗的測試（Red）→ 寫最少的程式通過（Green）→ 重構（Refactor）。

維護狀態（最近 commit、issue 回應）、授權、安全紀錄與相依數量、大小、是否真的需要（能自己寫幾十行就不引）、版本鎖定與更新策略。重構：先有測試保護、小步修改、行為不變。

SQL injection：輸入被拼進 SQL 而改變語意。防法：參數化查詢／prepared statement、ORM、最小權限 DB 帳號、輸入驗證、WAF。XSS 見上方前端題。

ntnu.cc 的稽核有兩個中風險：

• 從 fallback 標頭取 IP 導致偽造：X-Forwarded-For 可以由客戶端偽造，只應信任來自可信代理的值；在 Cloudflare 後面應使用 CF-Connecting-IP，並確保原站只接受 Cloudflare 的連線。
• CSP unsafe-inline：改用 nonce 或 hash。

講清楚發現方式、風險評估、修補與驗證。

IDS 看網路流量或主機行為比對特徵與異常；防毒看檔案與程序。排優先：CVSS 分數只是起點，再看是否對外暴露、是否已有公開利用（CISA KEV、EPSS）、資產重要性，先修「對外且有人在打」的。

-- 只看有員工的部門
SELECT 公司部門, COUNT(*) AS 總人數
FROM 員工
GROUP BY 公司部門
ORDER BY 公司部門;

-- 沒有員工的部門也要列出（顯示 0）
SELECT c.公司部門, COUNT(e.員工編號) AS 總人數
FROM 公司 c
LEFT JOIN 員工 e ON e.公司部門 = c.公司部門
GROUP BY c.公司部門
ORDER BY c.公司部門;

重點：LEFT JOIN 時要 COUNT(e.員工編號)，不能用 COUNT(*)，否則空部門會算成 1。考卷上兩種都寫並說明差別。

SELECT m.name, o.id, o.created_at, o.amount
FROM orders o
INNER JOIN members m ON m.id = o.member_id
ORDER BY o.created_at DESC;

INNER JOIN 只留兩邊都對得到的列；LEFT JOIN 保留左表全部，右表沒有就填 NULL。

def gen(s):
    if len(s) == 0:
        yield ""
    else:
        for subset in gen(s[1:]):
            yield subset
            yield s[0] + subset

推導：gen('')→ ""；gen('c')→ "", "c"；gen('bc')→ "", "b", "c", "bc"；gen('abc')→ 每個再前綴 a：

(空行)
a
b
ab
c
ac
bc
abc

這是產生所有子集合（共 2³ = 8 個），第一行印出空字串。yield 讓函式變成惰性產生值的 generator。

def f(n, L):
    if n > 0:
        L.append(n)
        if n % 2 == 1: n = n - 1
        else: n = n // 2
        f(n, L)

例如 n=10：[10, 5, 4, 2, 1]；n=7：[7, 6, 3, 2, 1]。注意 Python 3 的 n / 2 會變成浮點數（5.0），考卷原題是虛擬碼，寫答案時註明。

def popcount(n: int) -> int:
    count = 0
    while n:
        n &= n - 1      # 每次消掉最低位的 1
        count += 1
    return count
# 也可以：bin(n).count('1')

時間複雜度 O(1 的個數)。

def to_int(ip):
    a, b, c, d = map(int, ip.split('.'))
    return (a << 24) | (b << 16) | (c << 8) | d

def same_subnet(A, B, M):
    m = to_int(M)
    return (to_int(A) & m) == (to_int(B) & m)

same_subnet('192.168.1.70', '192.168.1.90', '255.255.255.224')  # True

# Python
s = open('zero_one.in').read()
print('0' if s.count('0') > s.count('1') else '1')

/* C */
#include <stdio.h>
int main(void){
  FILE *f = fopen("zero_one.in", "r"); int c; long z = 0, o = 0;
  while ((c = fgetc(f)) != EOF){ if (c == '0') z++; else if (c == '1') o++; }
  fclose(f); puts(z > o ? "0" : "1"); return 0;
}

# Bash
z=$(tr -cd '0' < zero_one.in | wc -c); o=$(tr -cd '1' < zero_one.in | wc -c)
[ "$z" -gt "$o" ] && echo 0 || echo 1

• 陣列前後半交換（2021）：def swap(a): h = len(a)//2; return a[-h:] + a[:-h]。[1,2,3,4]→[3,4,1,2]；[10,20,30,40,50]→[30,40,50,10,20]（奇數時中間元素跟著後半段）。
• 防止乘法 overflow（2018）：if y != 0 and abs(x) > INT_MAX // abs(y): 溢位，先檢查再乘。
• 英文段落統計字頻（2018）：from collections import Counter; Counter(text.lower().split())，依題目格式輸出。
• 合併兩個 JSON（2018）：{**a, **b}；JSON 基本型別：string、number、boolean、null、array、object。
• 按鈕按下變成文字（2022）：

  const btn = document.querySelector('#btn')
  btn.addEventListener('click', () => {
    const span = document.createElement('span')
    span.textContent = '已送出'
    btn.replaceWith(span)
  })

• n×m 矩陣每欄已升序，求所有 > k 的總和（2022）：先算每欄後綴和，每欄二分搜尋第一個 > k 的位置，加上該位置之後的後綴和。單次 O(m log n)，預處理 O(nm)，多個 k 時預處理只做一次。
• n = 10^10000 能存成 double 嗎（2022）：不能，double 最大約 1.8×10^308，會變成 inf。log 近似：存成字串，log10 n ≈ (位數 − 1) + log10(前幾位)；這裡 log10 n = 10000，ln n = 10000 × ln 10 ≈ 23025.85。
• stable sort（2023、2024）：相同鍵值的元素排序後保持原相對順序。穩定：bubble、insertion、merge、counting、radix；不穩定：quick、heap、selection。

• 你實際負責什麼？哪些是你自己做的，哪些是協助？→ 分清楚。
• 印象最深的故障是什麼？你怎麼排查？（準備一個真實案例，見網路題「描述你遇過的網路問題」）
• 弱點掃描用什麼工具？掃到問題後流程是什麼？
• ISO 27001 稽核你看到什麼？學到什麼？→ 文件化、變更管理、存取控制、證據保存。
• 資訊中心預算和人力限制下，你看過哪些取捨？

• 為什麼學校會允許？→ 非出口節點（middle relay），流量不會以學校 IP 連到目的網站；你做了連線例外申請與資安風險評估。
• relay、exit、bridge 差在哪？→ 中繼只轉送加密流量；exit 是最後一跳，對外連線，法律風險在此；bridge 不公開列名，供審查地區使用。
• 主機怎麼加固？→ 只用金鑰登入、防火牆只開 ORPort、自動安全更新、專用使用者、ExitPolicy reject *:*。依你實際設定講。
• Shallot 怎麼運作？告警條件是什麼？
• 你發現的 Tor Metrics 錯誤是什麼？怎麼確認、怎麼回報？
• 專題的原始題目是共識權重優化，為什麼轉向？→ 照實說：分析後發現影響權重的因素主要不在節點端，這是一個合理的負面結果，所以轉向基礎設施建置與社群推廣。不要包裝成成功。

• 你負責哪部分？→ 評測沙盒與基礎建設。
• 沙盒怎麼隔離不受信任的程式？限時限記憶體怎麼做？→ 只講實際用的機制。
• 規模？→ 備審寫 186 位使用者；每學期約 300 位註冊、考試時約 150 人同時在線。
• 系主任請你評估 GCP 上雲：規格、價格、HA 切換怎麼想？
• 考試中當機怎麼辦？→ nojv-maintenance：原站掛掉時由 Cloudflare Worker 回維護頁；監控與告警。
• 學生維護者自己修課考試，利益迴避怎麼處理？→ 權限分離、考試期間凍結權限、操作稽核 log。這還在規劃中，照實說。

• 三人分工？你的 50% 是什麼？→ 系統架構、後端 API、MySQL 設計、AP／頻寬／環境資料擷取與排程、Docker 部署、Cloudflare Tunnel、權限控管、正式環境維運。
• 658 台 AP 的資料從哪來？多久更新？資料量多大？
• 為什麼用 MySQL 不用時序資料庫？→ 說明當時考量，並說若重做會考慮 Prometheus 或 TimescaleDB。
• 使用者端測速怎麼做？結果可信嗎？
• 有沒有真的幫資訊中心找到問題？

• ntnu.cc 架構：Cloudflare Pages Functions＋KV；為什麼選 serverless？缺點？（冷啟動、廠商綁定、除錯）
• 子網域服務沒有使用者，不要主動強調；被問就說是實驗性功能。
• Homelab：Proxmox VE、多台 Ubuntu VM、K8s（Calico、Temporal）、Cloudflare Tunnel；被問 LVM 擴充就講 pvresize／lvextend -r 流程。
• 資策會實習：RAG 資安長工具箱 POC，問題是什麼、怎麼評估效果。
• BCIT：高風險 app 評估、數位鑑識學到什麼。
• 金盾獎：團隊分工與你的貢獻比例。

• 什麼是混合式金鑰交換？→ 同時做傳統 ECDH（X25519）與後量子 KEM（ML-KEM-768），兩者都破才會被破，例如 X25519MLKEM768。
• 為什麼中間設備會出問題？→ 後量子金鑰讓 ClientHello 多出約 1KB，跨越單一封包；寫死只讀第一個封包、或解析有 bug 的防火牆、IPS、TLS 檢測設備可能中斷或降級連線。
• 非 Web 協定現況？→ OpenSSH 9.0 起預設 sntrup761x25519，10.0 起預設 mlkem768x25519；VPN 與郵件的支援較不一致，這正是你想盤點的。
• 為什麼要「先換金鑰交換、後換簽章」？→ 先防「現在收集、日後解密」；簽章只需在量子電腦出現前換好。
• 這和丁組有什麼關係？→ 資訊中心的 SSH 工作站、郵件、VPN 就是最好的實驗場域。

• （學長）新生第一學期通常怎麼分組與交接？有交接文件嗎？
• （學長）目前資訊中心最想改善或重建的服務是什麼？
• （教授）丁組的論文題目通常怎麼和中心業務結合？
• （戊組教授）校計中目前的開發技術棧與部署流程是什麼？

先切範圍（一人、一棟、全校）→ 用戶端訊號（RSSI、SNR）與連線速率 → 該 AP 的連線數與頻道使用率、同頻干擾 → DHCP pool 是否用完 → AP 上行與 switch port 錯誤計數 → DNS 與出口頻寬。dashboard.ntnu.cc 正好看得到 AP 狀態與測速。

2.4 GHz 穿透好、範圍大、只有 1、6、11 三個不重疊頻道，干擾多；5 GHz 頻道多、速度快、穿透差。高密度用 5 GHz、降低功率、多 AP。802.1X：用戶端（supplicant）→ AP（authenticator）→ RADIUS 驗帳號，每人獨立金鑰，eduroam 就是這樣。

df -h 看哪個分割區、df -i 看 inode、du -xh --max-depth=1 / | sort -h 找大目錄、lsof +L1 找已刪除但仍被開啟的檔案（常見是 log）、journald 用 journalctl --vacuum-size。擴充：pvresize → lvextend -r -l +100%FREE。

load 是可執行加上等待 IO（D 狀態）的程序數平均，要和 CPU 核數比較。top／htop 看 CPU 與 iowait、vmstat 1、iostat -x 1、pidstat、free -m 看是否 swap；找到程序後用 strace、perf top。

SYN → SYN-ACK → ACK；關閉 FIN → ACK → FIN → ACK。主動關閉方進入 TIME_WAIT（2MSL），確保最後的 ACK 能重送、讓舊封包消失不干擾新連線。大量 TIME_WAIT 用連線重用（keep-alive、連線池）解決。

DORA：Discover、Offer、Request、Ack。跨網段用 DHCP relay（ip helper）。防 rogue：switch 開 DHCP snooping，只信任上行 port；它的綁定表也能搭配 DAI 防 ARP spoofing。

ClientHello（含 key_share）→ ServerHello（key_share）＋加密的憑證與 Finished，1-RTT 完成。比 1.2 少一個 RTT、移除 RSA 金鑰交換與弱演算法、強制前向保密。0-RTT 資料可能被重放，只能用在冪等請求。後量子的 key_share 就放在 ClientHello 裡。

HTTP/2：二進位、多工、header 壓縮，但 TCP 層仍有 head-of-line blocking；HTTP/3 跑在 QUIC（UDP）上，各 stream 獨立、握手整合 TLS 1.3、連線遷移。中間設備擋 UDP 443 時會退回 HTTP/2。

關密碼登入與 root 登入、只用金鑰、改用 Ed25519、fail2ban、限制來源、跳板機。SSH CA：用 CA 簽使用者與主機憑證，不必逐台發 authorized_keys，可設效期，離職撤銷容易，適合資訊中心規模。

用 postmortem 格式：時間線、影響、根因、處置、後續行動，不責怪個人。挑一個真實事件（NOJV、Tor relay 或 Homelab）準備好。

反向代理接客戶端請求轉給後端，可做 TLS 終止、快取、路由；負載平衡是把流量分給多台。L4 看 IP 與 port（快、不懂內容），L7 看 HTTP（可依路徑、header 分流）。

兩台共享一個虛擬 IP，主機定期發 VRRP 廣播，備機收不到就接手 IP。split-brain：網路分割使兩台都以為自己是主，要靠仲裁、fencing 或第三方健康檢查避免。

rsyslog／journald 轉送、Loki 或 ELK；設保存期限（依法規與資安規範）、存取權限、log 中的個資遮罩、時間同步。

kubectl describe pod 看 events、kubectl logs --previous、檢查 command、設定、liveness probe、OOMKilled。Service：ClusterIP（內部）、NodePort、LoadBalancer；HTTP 對外用 Ingress（或 Gateway API）。

multi-stage build、小基底（distroless、alpine）、合併層、.dockerignore、非 root 使用者、固定版本、掃描漏洞。

定期邏輯備份（mysqldump、pg_dump）或實體備份，加上 binlog／WAL 做 point-in-time recovery；異地保存；定期還原到測試環境驗證。

多數是 B+ tree，讓查詢從全表掃描變成 O(log n)；複合索引遵守最左前綴。代價是寫入變慢、佔空間；低選擇性欄位或很少查詢的欄位不值得加。用 EXPLAIN 確認。

大量部署：PXE＋映像（Clonezilla、WDS）、Ansible、Windows 用 GPO 或 Intune。保護：一般使用者權限、Windows Unified Write Filter、AppLocker、每次開機或課後重新映像；Linux 用 overlayroot。兩門課要不同 OS：PXE 選單開不同映像，或雙系統、VDI。

LXC 或容器加 cgroup 限資源、每人獨立網路 namespace 或 VLAN、磁碟 quota、到期自動回收；或在 Proxmox 用範本快速 clone VM。

專用帳號、最小權限、只允許特定指令、在沒有公網 IP 的隔離 VM 裡執行、操作稽核 log、重要動作需人工核准。你有把 Claude Code 部署到沒有公網 IP 的 VM 的經驗。

ACME（certbot、Caddy、cert-manager）自動續期；監控所有憑證到期日並提前告警；憑證效期越來越短，手動續期遲早出事。

不因為在內網就信任，每次存取都驗證身分、裝置狀態與權限，最小權限、持續監控。實例：Cloudflare Access 保護內部服務，取代 VPN。

RBAC（教師、學生、行政、管理者），敏感操作另需核准；最小權限；所有存取個資的動作寫稽核 log；資料分級、去識別化、保存期限；定期權限盤點。

SAML 是 XML、成熟，傳統企業與學校系統多；OIDC 建在 OAuth 2.0、JSON 與 JWT，對行動 App 和現代 Web 較友善。新系統偏 OIDC，舊系統維持 SAML，IdP 兩者都支援。

壓力測試先找瓶頸；靜態資源放 CDN；課程資料快取；排隊機制或分批開放；讀寫分離；選課寫入用交易與約束防超選（同借教室題）；限流；水平擴展應用伺服器；監控與降級頁面。

用 IP 問 MAC 的廣播協定，沒有驗證，所以可以偽造回應做中間人攻擊。防法：DAI、靜態 ARP（關鍵設備）、加密連線。

SNAT（內往外改來源）、DNAT（port forwarding 改目的）、masquerade（動態 SNAT）。Hairpin：內網用公網 IP 連回同一網段的伺服器，要額外規則或用 split DNS。