PiRwSIP Wykład 6: Optymalizacja i Zabezpieczenia Sieci

Przepustka VIP dla urządzeń końcowych

Nikt nie lubi czekać 30 sekund na internet po wpięciu kabla. Funkcja PortFast to „przepustka VIP" dla urządzeń końcowych (PC, drukarki). Pozwala portowi przeskoczyć wszystkie nudne etapy nasłuchiwania STP i od razu przejść do pracy.

Ale uwaga: ta funkcja jest tylko dla „cywilów". Jeśli włączysz ją na porcie, do którego podłączysz inny switch, ryzykujesz natychmiastową pętlę. Dlatego zawsze stosujemy duet: PortFast plus BPDU Guard. Ten drugi to strażnik, który natychmiast wyłączy port, jeśli wykryje na nim inny switch, chroniąc naszą sieć przed błędem nowicjusza.

PortFast (znany również jako Edge Port w RSTP) pomija stany Listening i Learning, przechodząc natychmiast z Blocking do Forwarding. W konfiguracji Cisco stosuje się komendę spanning-tree portfast na interfejsie. BPDU Guard (spanning-tree bpduguard enable) wprowadza port w stan Err-Disable po odebraniu BPDU — automatyczne przywrócenie można skonfigurować przez errdisable recovery cause bpduguard. W RSTP port krawędziowy (edge port) nie generuje Topology Change Notification, co dodatkowo stabilizuje sieć.

Multiple Spanning Tree Protocol

W dużych firmach mamy setki VLANów. Gdybyśmy dla każdego liczyli STP osobno, procesory switchy by spłonęły. Z kolei jeden wspólny STP dla wszystkich to marnowanie łączy. Rozwiązaniem jest MSTP (Multiple Spanning Tree).

Działa on jak inteligentne zarządzanie ruchem: grupujemy VLANy w kilka „instancji". Dla grupy A główną drogą jest kabel lewy, a dla grupy B — kabel prawy. Dzięki temu oba kable pracują, zamiast jeden odpoczywać, gdy drugi się „poci". To najwyższy stopień wtajemniczenia w optymalizacji warstwy 2.

MSTP (IEEE 802.1s) jest rozszerzeniem RSTP. Pozwala na zdefiniowanie wielu instancji STP (MSTI), z których każda może mieć inne mapowanie VLANów i inny Root Bridge. Switche należące do tego samego regionu MST muszą mieć identyczną nazwę regionu, numer rewizji i mapowanie VLAN–MSTI. Domyślnie wszystkie VLANy należą do MSTI0 (CIST — Common and Internal Spanning Tree), który odpowiada za komunikację między regionami oraz zewnętrznym światem STP/RSTP.

Świadomy wybór Root Bridge

Prawdziwy inżynier nigdy nie pozwala przypadkowi decydować o tym, który switch zostanie „Root Bridge". Jeśli zostawisz to automatowi, szefem może zostać najstarszy grat znaleziony w piwnicy, tylko dlatego, że ma najniższy adres MAC.

Zasada jest prosta: na Twoim najmocniejszym przełączniku w serwerowni wpisujesz komendę obniżającą priorytet (np. spanning-tree vlan 1 priority 4096). Dzięki temu masz pewność, że to serce sieci zarządza całym drzewem, a ścieżki danych są zawsze optymalne i przewidywalne.

Wskazówki konfiguracji: Zmiana priorytetu STP

Priorytet Bridge ID jest wartością 16-bitową w krokach co 4096 (zgodnie z IEEE 802.1t). Domyślna wartość to 32768. Aby wymusić wybór głównego switcha jako Root Bridge, ustaw priorytet np. 0 lub 4096. Dla switcha zapasowego użyj wartości 8192, aby przejął rolę w razie awarii głównego. W przypadku wielu VLANów priorytet ustawia się osobno dla każdego VLANu (spanning-tree vlan [ID] priority [wartość]).

Diagnostyka niestabilności STP

Jeśli zauważysz, że internet znika i pojawia się co kilka minut (tzw. flapping), prawdopodobnie Twoje STP zwariowało. Pierwszy podejrzany? Brak wyznaczonego Root Bridge. Switche ciągle ze sobą walczą o władzę, destabilizując całą sieć.

Sprawdź logi (show logging) i zobacz, czy nie pojawiają się komunikaty „Topology Change". Upewnij się, że PortFast nie jest włączony na porcie między switchami. Pamiętaj: stabilne STP to fundament, bez którego nawet najszybszy routing nie pomoże, bo pakiety będą wpadać w czarną dziurę przy każdej zmianie stanu portu.

Do diagnostyki STP służy „show spanning-tree", który pokazuje Root Bridge, priorytety, koszty oraz stany portów. Komenda show spanning-tree detail wyświetla szczegółowe informacje o każdym porcie. Flapping portu może być spowodowany przez uszkodzony kabel, niedopasowanie duplexu lub niewłaściwe BPDU Guard. W przypadku TCN (Topology Change Notification) switch skraca czas starzenia adresów MAC do Forward Delay (15 sekund), co może powodować przejściowe problemy z łącznością.

Agregacja łączy

Co jest lepsze niż jeden kabel 1 Gb/s? Cztery kable działające jako jeden 4 Gb/s! EtherChannel pozwala „związać" fizyczne porty w jeden logiczny interfejs. Z punktu widzenia STP to już nie są cztery kable (które grożą pętlą), ale jeden gruby i bezpieczny kanał.

To nie tylko szybkość, to przede wszystkim pancerna odporność na awarie. Jeśli jeden z kabli zostanie przecięty, EtherChannel po prostu przerzuci ruch na pozostałe trzy w ułamku sekundy. Użytkownicy nawet nie zauważą, że coś się stało. To standard w łączeniu switchy w każdej profesjonalnej sieci.

EtherChannel (znany również jako Port-Channel) został zdefiniowany w IEEE 802.3ad, a obecnie w standardzie IEEE 802.1AX. Może łączyć do 8 portów fizycznych w jeden logiczny (lub do 16, z czego 8 aktywnych i 8 w stanie Standby). Konfiguracja EtherChannel wymaga identycznych parametrów na wszystkich portach: ta sama prędkość, duplex, typ VLAN (trunk/access) oraz native VLAN. W Cisco komenda channel-group [numer] mode [active/passive/desirable/auto/on] tworzy kanał.

Link Aggregation Control Protocol

LACP (Link Aggregation Control Protocol) to uniwersalny język, którym switche różnych firm (np. Cisco z HP) dogadują się, jak stworzyć EtherChannel. To bezpieczniejsza metoda niż ustawianie na sztywno („On"), bo LACP najpierw pyta: „Cześć, czy Ty też masz 4 porty i czy są tak samo skonfigurowane?".

Jeśli po obu stronach parametry (prędkość, duplex) się zgadzają, kanał „wstaje". Jeśli ktoś się pomyli i wpiął kabel źle — LACP go nie włączy, chroniąc naszą sieć przed dziwnymi błędami i niestabilnością. To otwarty standard, który powinien być Twoim pierwszym wyborem.

LACP (IEEE 802.3ad / 802.1AX) oferuje dwa tryby: Active (switch inicjuje negocjacje — wysyła ramki LACPDU) i Passive (switch czeka na ramki LACP od drugiej strony). Kanał powstaje tylko w konfiguracji Active–Active lub Active–Passive (Passive–Passive nie zadziała). Ramki LACP wysyłane są co sekundę (fast rate) lub co 30 sekund (slow rate). Polecenie show etherchannel summary pokazuje stan kanałów — status P oznacza poprawnie działający kanał.

Port Aggregation Protocol

PAgP to starszy brat LACP, ale stworzony wyłącznie dla urządzeń Cisco. Działa niemal identycznie — pilnuje, aby oba switche miały taką samą wizję na temat wspólnego łącza. Oferuje tryby desirable (chcę się połączyć) i auto (czekam aż Ty zaproponujesz).

Choć PAgP jest solidny, w dzisiejszych czasach traci na znaczeniu na rzecz otwartego LACP. Warto go znać, bo w starszych sieciach opartych wyłącznie na Cisco spotkasz go na każdym kroku. Zasada jest niezmienna: zawsze używaj protokołu negocjacji zamiast ręcznego wymuszania łącza.

PAgP (Port Aggregation Protocol) jest zastrzeżonym protokołem Cisco. Tryb desirable aktywnie wysyła pakiety negocjacyjne, natomiast auto odpowiada na nie, ale nie inicjuje samodzielnie. W praktyce tryb desirable jest bezpieczniejszy, ponieważ gwarantuje wykrycie drugiej strony. Podobnie jak w LACP, porty muszą być identycznie skonfigurowane. PAgP obsługuje do 8 portów w kanale. Polecenie konfiguracyjne to channel-group [numer] mode desirable lub channel-group [numer] mode auto.

Algorytmy haszowania w EtherChannel

EtherChannel nie działa jak cztery oddzielne taśmociągi, na które rzucamy pakiety losowo. Switch używa sprytnego algorytmu (haszowania), aby zdecydować, którym kablem wysłać dane. Chcemy, aby ruch od różnych pracowników rozkładał się równomiernie na wszystkie dostępne kable.

Możemy ustawić algorytm tak, by patrzył na adresy MAC, IP lub numery portów. Najważniejsze jest jedno: pakiety z jednej rozmowy (np. VoIP) zawsze muszą lecieć tym samym kablem. Dlaczego? Aby nie dotarły do odbiorcy w złej kolejności, co zamieniłoby głos w niezrozumiały bełkot.

Mechanizmy Load Balancing w EtherChannel

Algorytm haszowania w EtherChannel wybiera się komendą port-channel load-balance [metoda]. Dostępne metody to: src-mac, dst-mac, src-dst-mac, src-ip, dst-ip, src-dst-ip, src-port, dst-port i src-dst-port. Dla ruchu przełączanego (L2) zaleca się haszowanie na podstawie adresów MAC, a dla routowanego (L3) — na podstawie adresów IP. Zasada per-flow load balancing gwarantuje, że wszystkie pakiety z danej sesji (ten sam źródłowy i docelowy adres IP/port) trafią do tego samego fizycznego łącza.

Single Point of Failure

Wyobraź sobie biuro z 50 komputerami. Wszystkie mają wpisany jeden adres bramy (IP routera). Jeśli ten router się przegrzeje i wyłączy — całe biuro staje. Nikt nie wyśle maila, nikt nie wejdzie do CRM. To jest właśnie SPOF (Single Point of Failure).

W profesjonalnych sieciach nie możemy sobie na to pozwolić. Potrzebujemy dwóch routerów, które będą ze sobą współpracować. Ale jak to zrobić, skoro w komputerze pracownika można wpisać tylko JEDEN adres IP bramy? Odpowiedzią są protokoły FHRP.

SPOF (Single Point of Failure) to każdy element sieci, którego awaria powoduje całkowitą utratę łączności dla części lub wszystkich użytkowników. W nowoczesnych sieciach eliminuje się SPOF poprzez redundancję urządzeń, łączy i zasilania. Protokoły FHRP (First-Hop Redundancy Protocol) rozwiązują problem SPOF bramy domyślnej, umożliwiając współpracę dwóch lub więcej routerów, które dzielą ten sam wirtualny adres IP i MAC. Do FHRP należą: HSRP (Cisco), VRRP (standard IEEE) i GLBP (Cisco, z load balancing).

Pierwszy przeskok z redundancją

Protokoły FHRP (First-Hop Redundancy Protocol) to „magiczne sztuczki", które pozwalają dwóm fizycznym routerom udawać jeden wirtualny. Komputery w sieci widzą tylko ten wirtualny adres IP i to do niego wysyłają wszystkie dane.

W środku systemu routery dzielą się rolami: jeden jest aktywny i faktycznie pracuje, a drugi to „cień", który co sekundę sprawdza, czy kolega jeszcze żyje. Jeśli aktywny router padnie, zapasowy przejmuje jego adres IP i MAC tak szybko, że użytkownicy nawet nie zauważą krótkiego „mrugnięcia" internetu.

W FHRP routery w grupie redundancji komunikują się za pomocą okresowych komunikatów (Hello/Advertisement). Każdy router ma przypisany priorytet (zakres 1–255, domyślnie 100) — router z wyższym priorytetem zostaje Active/Master. Wirtualny adres IP jest konfigurowany ręcznie na routerach, natomiast wirtualny adres MAC jest generowany automatycznie na podstawie identyfikatora grupy. Kluczową cechą jest przezroczystość dla hostów końcowych — nie wymagają one żadnych zmian konfiguracji.

Hot Standby Router Protocol

HSRP (Hot Standby Router Protocol) to autorskie rozwiązanie Cisco, które jest w branży standardem od lat. Tworzy grupę z routerem Active i Standby. Ich komunikacja opiera się na prostych pakietach Hello wysyłanych co 3 sekundy.

Główną zaletą HSRP jest jego prostota i niezawodność. Jeśli router Active przestanie wysyłać powitania, Standby czeka jeszcze 10 sekund i potem ogłasza: „Teraz ja tu rządzę!". Cała operacja podmiany „mózgu" sieci następuje automatycznie, bez potrzeby budzenia administratora w środku nocy.

HSRP (zdefiniowany w RFC 2281) działa w grupach (0–255). Komunikacja między routerami odbywa się na adres multicast 224.0.0.2 (ALL ROUTERS) z protokołem UDP na porcie 1985. Wirtualny adres MAC HSRP to 0000.0c07.acXX, gdzie XX to numer grupy w hex. Domyślny czas Hold to 10 sekund (3 x Hello + 1). Wersja 2 HSRP (HSRPv2) zwiększa zakres grup do 4095 i używa adresu multicast 224.0.0.102 oraz formatu zgodnego z VRRP. Polecenia: standby [grupa] ip [adres], standby [grupa] priority [wartość], standby [grupa] preempt.

Automatyczne przejęcie przez router o wyższym priorytecie

Wyobraź sobie, że Twój główny, najszybszy router wrócił do życia po naprawie. Domyślnie w HSRP będzie grzecznie siedział w rezerwie, mimo że jest lepszy od tego, który aktualnie pracuje. Aby to zmienić, używamy funkcji preempt.

Dzięki niej router o najwyższym priorytecie po starcie powie: „Dobra, już jestem, dziękuję za zastępstwo, teraz ja znowu przejmuję stery". To kluczowe, aby ruch w sieci zawsze obsługiwało to urządzenie, które do tego celu przeznaczyliśmy w projekcie.

Bez funkcji preempt router, który awaryjnie przejął rolę Active, pozostanie Active nawet po przywróceniu głównego routera. To może prowadzić do nieoptymalnego przepływu ruchu, jeśli router zapasowy ma gorsze łącza lub niższą wydajność. Konfiguracja: standby [grupa] preempt. Można również ustawić opóźnienie standby [grupa] preempt delay minimum [sekundy], aby uniknąć flappingu w przypadku niestabilnej sieci. W VRRP preempt jest domyślnie włączony.

Virtual Router Redundancy Protocol

VRRP (Virtual Router Redundancy Protocol) to „wolny" odpowiednik HSRP. Zasada jest ta sama, ale terminy się różnią: mamy tu Master (Szefa) i Backup (Zastępcę). Jest to protokół, który musisz stosować, jeśli w sieci masz sprzęt od różnych dostawców.

Ważna różnica: w VRRP funkcja powrotu szefa (preemption) jest włączona domyślnie. Dodatkowo, VRRP jest nieco szybszy w reakcji na awarie niż domyślne ustawienia HSRP. To protokół z wyboru dla każdego nowoczesnego, otwartego centrum danych.

VRRP (RFC 5798) jest otwartym standardem (IEEE 802.1Q). W przeciwieństwie do HSRP, VRRP dopuszcza, aby adres IP grupy był taki sam jak adres IP interfejsu fizycznego jednego z routerów (tzw. IP Address Owner). Wirtualny adres MAC VRRP to 0000.5e00.01XX. VRRP używa adresu multicast 224.0.0.18 i protokołu IP nr 112. Domyślny czas Advertisement to 1 sekunda. Polecenia: vrrp [grupa] ip [adres], vrrp [grupa] priority [wartość].

Który wybrać?

Oba protokoły robią to samo, ale diabeł tkwi w szczegółach. HSRP to świat Cisco (Active/Standby), VRRP to świat standardów (Master/Backup). HSRP wysyła Hello co 3 sekundy, VRRP swój odpowiednik (Advertisement) co sekundę, co czyni go domyślnie agresywniejszym.

Nie ma „lepszego" wyboru — wybierasz to, co wspierają Twoje routery. Najważniejsze, abyś w ogóle posiadał jeden z nich. Sieć bez redundancji bramy to tykająca bomba zegarowa, która wybuchnie w najmniej odpowiednim momencie (zazwyczaj w piątek o 16:00).

Różnice techniczne: HSRP wymaga oddzielnego wirtualnego adresu IP (nie może być taki sam jak adres fizyczny żadnego z routerów), podczas gdy VRRP dopuszcza IP Owner. HSRp używa trzech timerów (Hello 3s, Hold 10s), VRRP — jednego (Advertisement 1s). HSRP domyślnie nie ma preempt, VRRP ma. HSRP wyróżnia routery jako Active, Standby i Listening, VRRP — Master i Backup. W HSRP wirtualny MAC to 0000.0c07.acXX, w VRRP 0000.5e00.01XX. Oba protokoły są stabilne i szeroko stosowane.

Access Control List

Listy ACL (Access Control List) to najprostszy i najskuteczniejszy mur obronny w Twojej sieci. To lista reguł typu: „Adres A może wejść, ale Adres B — kategorycznie nie". Każdy pakiet na wejściu do routera przechodzi taką kontrolę dokumentów.

Złota zasada ACL: na samym końcu listy znajduje się niewidoczna reguła „Deny All" (wszystko inne do kosza). Jeśli zapomnisz dodać regułę „Permit" na końcu swojej listy, odetniesz sobie dostęp do wszystkiego. ACL czytane są od góry do dołu — raz podjęta decyzja dla pakietu kończy sprawdzanie reszty reguł.

ACL dzielą się na standardowe (numery 1–99, 1300–1999) i rozszerzone (100–199, 2000–2699). W najnowszych systemach Cisco stosuje się nazwane ACL (named ACL). ACL standardowe filtrują tylko na podstawie źródłowego adresu IP, ACL rozszerzone — źródła, celu, protokołu i portów. Każda ACL zawiera niejawną regułę deny any na końcu. ACL można zastosować na interfejsie w kierunku in (przed routingiem) lub out (po routingu) za pomocą komendy ip access-group [numer/nazwa] [in/out].

Precyzja filtrowania

ACL Standardowe są jak bramkarz, który pyta tylko: „Skąd jesteś?". Jeśli Twoje IP pasuje — wchodzisz. Są proste, ale mało precyzyjne. ACL Rozszerzone to już pełna rewizja osobista: sprawdzają skąd idziesz, dokąd idziesz, co niesiesz (np. ruch WWW, poczta) i jaki masz numer portu.

Używając ACL Rozszerzonych, możesz powiedzieć: „Pozwól informatykowi wejść na serwer przez SSH, ale zabroń mu przeglądania stron WWW na tym samym serwerze". To precyzja, której potrzebujesz w nowoczesnej firmie, aby skutecznie zarządzać bezpieczeństwem.

Przykład ACL standardowej: access-list 10 permit 192.168.1.0 0.0.0.255 — przepuszcza całą sieć 192.168.1.0/24. Przykład ACL rozszerzonej: access-list 100 permit tcp 10.0.0.0 0.255.255.255 any eq 80 — pozwala sieci 10.0.0.0/8 na ruch HTTP do dowolnego celu. ACL rozszerzone są zalecane w nowoczesnych sieciach ze względu na większą kontrolę. W nazwanych ACL (np. ip access-list extended ZEZWOL_SSH) reguły można łatwo edytować za pomocą seq [numer] permit....

Zasada bliskości źródła lub celu

W sieciach obowiązuje zasada: „Zabijaj śmieci jak najwcześniej". Rozszerzone ACL powinny być jak najbliżej źródła ataku. Po co marnować pasmo na przesyłanie szkodliwego pakietu przez pół Twojej sieci, skoro router na samym starcie może go wyrzucić do kosza?

ACL Standardowe są inne — stawiamy je blisko celu. Dlaczego? Bo jeśli postawisz je przy źródle, zablokujesz temu adresowi IP dostęp do CAŁEGO świata, a Ty przecież chciałeś mu zabronić tylko dostępu do serwera Księgowości. Dobra lokalizacja ACL to oszczędność zasobów i mniej siwych włosów u administratora.

Praktyczne wskazówki: ACL rozszerzone umieszczaj na interfejsie w kierunku in na routerze najbliższym źródła ruchu, który chcesz blokować. Dzięki temu niepotrzebny ruch nie zajmuje pasma w sieci szkieletowej. ACL standardowe umieszczaj na interfejsie w kierunku out na routerze najbliższym celu — wtedy filtrujesz tylko dostęp do konkretnej sieci, nie blokując ruchu do innych lokalizacji. Zawsze używaj komendy show access-lists do weryfikacji dopasowań (pole matches).

Quality of Service

Domyślnie sieć działa na zasadzie „Best Effort" — robimy co możemy, ale pakiety płyną jak chcą. To problem, gdy naraz ktoś ściąga wielki plik, a szef próbuje prowadzić ważną wideokonferencję. Głos szefa zacznie rwać, bo zapycha go obrazek z kotem ściągany przez innego pracownika.

QoS (Quality of Service) to system priorytetów. Pozwala powiedzieć routerowi: „Wszystko, co jest głosem lub wideo, ma zawsze pierwszeństwo. Reszta (maile, WWW) może poczekać ułamek sekundy w kolejce". Dzięki QoS rozmowy zawsze brzmią czysto, nawet gdy całe biuro intensywnie korzysta z internetu.

QoS opiera się na trzech głównych działaniach: klasyfikacja (rozpoznanie typu ruchu), markowanie (oznaczenie pakietu odpowiednim priorytetem) oraz kolejkowanie i zarządzanie kolejkami (decydowanie, który pakiet wysłać pierwszy). W nowoczesnych sieciach QoS jest niezbędny dla aplikacji czasu rzeczywistego, takich jak VoIP, wideokonferencje i streaming. Bez QoS, w momencie przeciążenia łącza, wszystkie pakiety są traktowane jednakowo, co prowadzi do degradacji jakości usług interaktywnych.

Latency, Jitter i Packet Loss

W QoS walczymy z trzema wrogami. Pierwszy to Latency (opóźnienie) — czas podróży pakietu. Drugi to Jitter (zmienność) — największy wróg głosu. Jeśli jeden pakiet leci 10ms, a drugi 100ms, Twój rozmówca usłyszy mechaniczny, pocięty dźwięk.

Trzeci to Packet Loss (utrata danych). O ile przy mailu to nie problem (system po prostu wyśle go jeszcze raz), to przy rozmowie „na żywo" zgubiony pakiet to po prostu cisza lub trzask. QoS zarządza kolejkowaniem tak, aby te trzy parametry dla najważniejszych usług były zawsze na idealnym poziomie.

Dopuszczalne wartości dla VoIP: Latency poniżej 150 ms (jedna strona), Jitter poniżej 30 ms, Packet Loss poniżej 1%. Opóźnienie dzieli się na: opóźnienie propagacji (czas transmisji w medium), opóźnienie serializacji (czas wysłania bitu na łącze), opóźnienie kolejkowania (czas oczekiwania w kolejkach routera) oraz opóźnienie przetwarzania (czas analizy pakietu przez router). Jitter jest kompensowany przez bufor odtwarzania (jitter buffer) w telefonach IP, ale zbyt duży jitter prowadzi do przerywania dźwięku.

Klasyfikacja i znacznikowanie pakietów

Aby QoS zadziałał, musimy najpierw rozpoznać pakiety (Klasyfikacja) i przybić im odpowiednią pieczątkę (Markowanie). Robimy to na samym brzegu sieci, np. na telefonie IP lub switchu dostępowym. Pakiet dostaje specjalny tag w nagłówku, który mówi każdemu kolejnemu routerowi: „Jestem bardzo ważny!".

W warstwie 2 używamy pola CoS, a w warstwie 3 — znacznie potężniejszego DSCP. Dzięki temu router nie musi za każdym razem analizować całego pakietu. Zerka tylko na „pole pieczątki" i od razu wie, czy rzucić ten pakiet na szybką ścieżkę, czy pozwolić mu poczekać w zwykłej kolejce.

Klasyfikacja może odbywać się na podstawie: adresu IP, portów TCP/UDP, typu protokołu, interfejsu wejściowego, a nawet zawartości pakietu (NBAR — Network Based Application Recognition). Markowanie w warstwie 2 używa 3-bitowego pola CoS (Class of Service) w nagłówku 802.1Q (wartości 0–7). W warstwie 3 używa się 6-bitowego pola DSCP (Differentiated Services Code Point) w nagłówku IP. Zalecany schemat: głos (VoIP) = EF, wideo = AF41, dane krytyczne = AF21, best effort = 0. Markowanie najczęściej wykonuje się na urządzeniach brzegowych za pomocą policy-map i class-map w Cisco.

Differentiated Services Code Point

DSCP to 6-bitowe pole w nagłówku IP, dające nam aż 64 poziomy priorytetów. Najważniejsza wartość, którą musisz znać, to EF (Expedited Forwarding). To kod dla ruchu głosowego. Mówi on: „Przesyłaj natychmiast, nie gromadź, nie czekaj na nic".

Są też wartości AF (Assured Forwarding), które dzielą pakiety na klasy (np. złota, srebrna, brązowa). To pozwala dbać o to, by bazy danych działały szybciej niż serfowanie po Facebooku. DSCP to uniwersalny kod priorytetów, który rozumieją routery na całym świecie.

DSCP (Differentiated Services Code Point)

Wartości DSCP: EF (46, Expedited Forwarding) — niskie opóźnienie i niska utrata, przeznaczony dla VoIP. AF (Assured Forwarding) dzieli się na 4 klasy (AF11, AF12, AF13; AF21, AF22, AF23; AF31, AF32, AF33; AF41, AF42, AF43) — wyższa klasa = wyższy priorytet, wyższy numer w klasie = wyższe prawdopodobieństwo odrzucenia. CS (Class Selector) — wartości CS0–CS7 dla zgodności z IP Precedence. Domyślnie ruch ma DSCP = 0 (Best Effort). Konfiguracja w Cisco: set ip dscp ef w policy-map.

LLQ i WFQ

Gdy router ma zajęte łącze, musi układać pakiety w poczekalni (kolejce). Standardowe FIFO jest ślepe — pierwszy przyszedł, pierwszy wyszedł. Ale w QoS stosujemy LLQ (Low Latency Queuing). To specjalna kolejka „na sygnale" dla VIP-ów (VoIP).

Działa to tak: dopóki w kolejce VIP jest choć jeden pakiet głosowy, router nie wyśle NIC z innych kolejek. To gwarantuje, że Twój głos nigdy nie będzie opóźniony przez maile. Pozostałe kolejki (WFQ) dzielą się resztą pasma sprawiedliwie, aby nikt nie został całkiem odcięty od sieci.

Rodzaje kolejek w QoS: FIFO (First In First Out) — domyślna, bez priorytetyzacji. PQ (Priority Queuing) — sztywny podział na 4 kolejki (High/Medium/Normal/Low), wysyła wszystkie pakiety z High przed Medium itd. — może zagłodzić niższe kolejki. CQ (Custom Queuing) — cykliczna obsługa kolejek z przydziałem pasma (16 kolejek). WFQ (Weighted Fair Queuing) — sprawiedliwy podział pasma z uwzględnieniem wag. LLQ (Low Latency Queuing) — połączenie PQ i WFQ: jedna lub więcej kolejek PQ (dla ruchu wrażliwego na opóźnienia) + WFQ dla reszty. W Cisco implementowane przez policy-map z klasą priority (dla LLQ) i bandwidth (dla WFQ).

Różnica między Policing a Shaping

Czasem musimy ograniczyć prędkość konkretnemu użytkownikowi. Mamy dwie metody. Policing jest brutalny: jeśli przekroczysz 10 Mb/s, router po prostu wyrzuca wszystko ponad limit do kosza. Wywołuje to gwałtowne hamowanie aplikacji (TCP Window scaling).

Shaping jest elegancki: nadmiarowe pakiety chowa do bufora i wysyła je chwilę później. Dzięki temu wykres ruchu nie jest poszarpany, tylko gładki. Shaping jest lepszy dla aplikacji, ale wymaga pamięci RAM na routerze. Policing jest błyskawiczny i stosowany tam, gdzie nie chcemy żadnych ugięć w limitach pasma.

Policing działa w czasie rzeczywistym, odrzucając pakiety przekraczające zadeklarowaną prędkość (CIR — Committed Information Rate). Jest stosowany na interfejsach wejściowych (ingress) do egzekwowania limitów. Shaping buforuje nadmiarowe pakiety i wysyła je w późniejszym czasie, wyrównując przepływ do zadanej prędkości. Shaping stosuje się na interfejsach wyjściowych (egress), np. przed łączem WAN o ograniczonej przepustowości. W Cisco Policing konfiguruje się za pomocą police [CIR] [Bc] [Be] w policy-map, natomiast Shaping za pomocą shape average [CIR] lub shape peak [CIR]. Przykład: shape average 10000000 ogranicza pasmo do 10 Mb/s.

Zabezpieczenie portów przełącznika

A co jeśli ktoś wejdzie do Twojego biura i wepnie swój laptop do wolnego gniazdka w ścianie? Port Security to Twoja pierwsza linia obrony na switchu. Pozwala przypisać konkretny adres MAC komputera pracownika do danego portu.

Jeśli switch wykryje obcy MAC, może podjąć akcję Shutdown — port zostanie całkowicie wyłączony i zaświeci się na czerwono. Wtedy administrator wie, że ktoś „obcy" próbuje się włamać. To prosta, ale niezwykle skuteczna metoda zabezpieczenia fizycznego dostępu do sieci firmowej.

Port Security konfiguruje się komendą switchport port-security na interfejsie. Można ustawić maksymalną liczbę dozwolonych adresów MAC (switchport port-security maximum [liczba]). Domyślnie zapamiętuje pierwszy wykryty adres MAC (sticky). Akcje po naruszeniu: protect (odrzuca pakiety z nieznanego MAC), restrict (odrzuca + log), shutdown (wyłącza port — Err-Disable). Przywrócenie wymaga komend shutdown / no shutdown na interfejsie lub automatycznego odzyskiwania przez errdisable recovery cause psecure-violation. Port Security jest skuteczny, ale nie zapobiega spoofingowi MAC — temu służy DAI.

DHCP Snooping i Dynamic ARP Inspection

Hakerzy uwielbiają udawać kogoś innego. DHCP Snooping pilnuje, aby nikt nie przyniósł własnego routera i nie zaczął rozdawać fałszywych adresów IP kolegom z biura. Switch zezwoli na pakiety DHCP tylko z zaufanego portu, do którego wpięty jest nasz prawdziwy serwer.

Z kolei Dynamic ARP Inspection (DAI) walczy z kłamstwami o adresach sprzętowych. Pilnuje, by nikt nie powiedział: „Hej, to ja jestem bramą domyślną, wysyłajcie wszystko do mnie!". DAI sprawdza każde takie ogłoszenie z bazą DHCP i odrzuca kłamstwa, chroniąc nas przed podsłuchem wewnątrz sieci lokalnej.

DHCP Snooping dzieli porty na trusted (zaufane — tam, gdzie jest serwer DHCP lub uplink) i untrusted (reszta). Porty untrusted filtrują pakiety DHCPOFFER i DHCPACK — tylko te z portów trusted są akceptowane. DHCP Snooping tworzy również bazę DHCP Snooping Binding Table (IP + MAC + VLAN + port), która jest wykorzystywana przez DAI. Dynamic ARP Inspection (DAI) sprawdza każdą ramkę ARP na portach untrusted, weryfikując zgodność (IP, MAC) z binding table. W razie niezgodności pakiet ARP jest odrzucany. DAI zapobiega atakom ARP spoofing i man-in-the-middle w sieci lokalnej.

Software-Defined Networking

SDN (Software-Defined Networking) to rewolucja — zmiana „głupich" przełączników w posłusznych wykonawców poleceń centralnego „Mózgu" (Kontrolera). Zamiast konfigurować każdy z 50 switchy osobno przez konsolę, piszesz jedną instrukcję w kontrolerze, a on sam rozsyła ją do wszystkich urządzeń.

Dzięki SDN sieć staje się elastyczna jak oprogramowanie. Możesz automatycznie zmieniać trasy w zależności od godziny, obciążenia, a nawet wykrytych ataków. To przejście od epoki „klikania w każde urządzenie" do epoki „programowania zachowania sieci jako całości". Przyszłość dzieje się teraz.

SDN oddziela płaszczyznę sterowania (Control Plane) od płaszczyzny danych (Data Plane). W tradycyjnych sieciach każde urządzenie podejmuje samodzielne decyzje routingowe. W SDN centralny kontroler (np. OpenDaylight, ONOS, Cisco APIC) ma globalny obraz sieci i programuje przepływy w przełącznikach za pomocą protokołów takich jak OpenFlow (zdefiniowany w Open Networking Foundation). Zalety SDN to: centralne zarządzanie, automatyzacja, elastyczność, łatwiejsze wdrażanie polityk bezpieczeństwa i lepsze wykorzystanie zasobów sieciowych.

Podsumowanie całego kursu

Przeszliśmy przez wszystkie poziomy wtajemniczenia: od rozumienia, jak switch przesyła pojedynczą ramkę, przez budowanie wielkich sieci z routingiem OSPF i BGP, aż po zabezpieczanie i optymalizację każdego aspektu pracy sieci (QoS, Security).

Sieci to nie tylko technika, to krwiobieg nowoczesnego świata. Wiemy już, jak sprawić, by ten krwiobieg był szybki, niezawodny i bezpieczny przed atakami. Ta wiedza to bilet do świata profesjonalnej administracji IT, gdzie każda sekunda dostępności sieci ma swoją realną wartość biznesową.

Kurs PiRwSIP objął wszystkie kluczowe obszary nowoczesnych sieci komputerowych: od podstaw przełączania (STP, RSTP, MSTP), przez agregację łączy (EtherChannel, LACP), routing statyczny i dynamiczny (OSPF, EIGRP, BGP), aż po zaawansowaną optymalizację (QoS, FHRP) i bezpieczeństwo (ACL, Port Security, DHCP Snooping, DAI) oraz przyszłościowe podejście SDN. Ta kompleksowa wiedza stanowi solidny fundament do dalszego rozwoju w kierunku specjalisty sieciowego.

Sesja pytań

Teraz kolej na Państwa. Czy mechanizmy QoS wydają się jasne? A może proces wyboru Root Bridge w STP wciąż budzi wątpliwości? To najlepszy moment, aby doprecyzować szczegóły. Nie ma głupich pytań — sieć jest systemem naczyń połączonych i zrozumienie jednego elementu pomaga pojąć całość.

Administrator sieci to trochę detektyw, a trochę lekarz. Zadawanie pytań i analiza przypadków to najlepszy trening przed realną pracą z infrastrukturą. Zapraszam do dyskusji o realnych problemach, z jakimi możecie się spotkać w Waszych obecnych lub przyszłych miejscach pracy.

Zachęcam do przećwiczenia konfiguracji w symulatorze (Cisco Packet Tracer, GNS3, EVE-NG). Praktyczne laboratoria z zakresu STP, EtherChannel, HSRP, ACL i QoS pozwolą utrwalić zdobytą wiedzę teoretyczną. Warto również zapoznać się z dokumentacją Cisco (Cisco Documentation) oraz standardami IEEE, aby pogłębić zrozumienie omawianych protokołów.

Pytanie kontrolne

Spróbuj odpowiedzieć na pytanie: co by się stało, gdyby switche nagle przestały wysyłać BPDU? Dlaczego te małe ramki co 2 sekundy są tak krytyczne dla życia sieci? Czy rozumiesz, jak na ich podstawie wybiera się jednego, nadrzędnego „Szefa" (Root Bridge)?

Jeśli potrafisz wyjaśnić koledze, jak BPDU ratują nas przed pętlą i jak koszt łącza wpływa na to, którą drogę wybierze STP — gratuluję, opanowałeś jeden z najtrudniejszych fundamentów przełączania w warstwie 2. To fundament, na którym buduje się całą resztę nowoczesnej komunikacji.

Sprawdź się: Wyjaśnij cel i rolę BPDU w STP

BPDU (Bridge Protocol Data Unit) to ramki rozgłaszane co 2 sekundy przez Root Bridge (Hello Time). Zawierają one informacje o identyfikatorze mostu (Bridge ID), koszcie ścieżki do Root Bridge, timerach oraz flagach zmian topologii. Gdy switch przestaje otrzymywać BPDU na jakimś porcie (przez okres Max Age — 20 sekund), uznaje, że nastąpiła awaria i inicjuje proces przeliczenia STP. Bez BPDU każdy switch uważałby się za Root Bridge, co uniemożliwiłoby stworzenie spójnej topologii drzewa i doprowadziłoby do pętli. Dlatego BPDU jest nazywane „biciem serca" STP.

Zakończenie

Dziękuję za wspólne przebrnięcie przez ten obszerny materiał. Pamiętajcie: teoria to tylko połowa sukcesu. Prawdziwa nauka zaczyna się w laboratorium, gdy po raz pierwszy samodzielnie nawiążecie sesję BGP lub poprawnie zagregujecie łącza EtherChannel.

Świat sieci stoi przed Wami otworem. Powodzenia w dalszym zgłębianiu tajników technologii Cisco i standardów IEEE. Do zobaczenia w serwerowniach!

Kurs PiRwSIP stanowi wprowadzenie do profesjonalnej administracji sieciami. Dalsze kierunki rozwoju: certyfikacja Cisco CCNA/CCNP, specjalizacja w zakresie bezpieczeństwa sieciowego (Cisco CyberOps, Fortinet NSE) lub automatyzacji i programowalności sieci (DevNet, SDN, Python dla sieci). Zachęcam do śledzenia blogów technicznych i forów, takich jak Cisco Community, NetworkLessons.com oraz grupy dyskusyjne na LinkedIn i Reddit (r/networking).

Region MST i CIST

Pamiętaj o Regionie MST: to grupa switchy mówiąca tym samym językiem konfiguracji. Tylko wewnątrz regionu możemy bawić się w instancje i mapowanie VLANów. Dla reszty świata nasz skomplikowany region wygląda jak jeden, zwykły, nudny switch.

To świetne dla skalowalności. Nawet jeśli masz wewnątrz regionu 1000 VLANów upakowanych w 5 instancji, switch na zewnątrz nie musi o tym wiedzieć. On po prostu widzi stabilną drogę. MSTP to szczyt inżynierii „dziel i rządź" w świecie sieci lokalnych.

Aby dwa switche należały do tego samego regionu MST, muszą mieć identyczne trzy parametry: nazwę regionu (spanning-tree mst configuration -> name [nazwa]), numer rewizji (revision [numer]) oraz mapowanie VLAN–MSTI (instance [0-15] vlan [zakres]). MSTP obsługuje do 16 instancji (MSTI 0–15). MSTI0 (CIST) jest instancją domyślną i musi być zgodna z zewnętrznym STP/RSTP. Poza regionem MSTP komunikuje się za pomocą RSTP BPDU, co zapewnia kompatybilność ze starszymi przełącznikami.

Wskazówki konfiguracji EtherChannel

Nigdy nie łącz portów w EtherChannel „na czuja". Pamiętaj: obie strony muszą być lustrzanym odbiciem. Ta sama prędkość, ten sam duplex, to samo ustawienie Trunk/Access. Jeśli po jednej stronie masz Trunk, a po drugiej Access — sieć nie wybucha, ale porty wpadną w stan błędu (Err-Disable).

Zawsze używaj show etherchannel summary, aby sprawdzić, czy porty mają status „P" (Bundled in port-channel). Jeśli zobaczysz „D" lub „S" — masz problem z konfiguracją. Porządek w ustawieniach fizycznych portów to warunek konieczny dla sukcesu agregacji.

Wymagania dla portów w EtherChannel: ten sam tryb (access/trunk), ten sam native VLAN (dla trunk), te same dozwolone VLANy, jednakowa prędkość i duplex, ten sam typ nośnika (np. wszystkie miedziane lub światłowodowe). W przypadku trunk, konfiguracja DTP (Dynamic Trunking Protocol) również powinna być zgodna. Polecenie show etherchannel [numer] port-channel wyświetla szczegóły kanału. Status w show etherchannel summary: P (ok), D (down — brak negocjacji lub błąd), S (suspended — niezgodność parametrów), I (individual — port działa samodzielnie, bez agregacji).

Gateway Load Balancing Protocol

GLBP (Gateway Load Balancing Protocol) to najmądrzejszy z braci FHRP. W HSRP jeden router pracuje, a drugi się nudzi. W GLBP pracują obaj naraz! Protokół sprytnie okłamuje komputery pracowników, podając im różne adresy MAC Twoich routerów.

Mimo że wszyscy mają wpisane to samo IP bramy, połowa biura wysyła dane do Routera A, a połowa do Routera B. To prawdziwy Load Balancing, który wyciska 100% z Twojego sprzętu, nie marnując ani jednego procesora w serwerowni.

GLBP (cisco proprietary) różni się od HSRP/VRRP tym, że wszystkie routery w grupie są aktywne — nie ma marnotrawstwa zasobów. GLBP wykorzystuje jeden wirtualny adres IP i do 4 wirtualnych adresów MAC. Jeden router zostaje AVG (Active Virtual Gateway) i przydziela wirtualne MAC-e pozostałym routerom (AVF — Active Virtual Forwarder). AVG odpowiada na żądania ARP, rotując adresy MAC między AVF, co rozkłada ruch równomiernie. Algorytmy przydziału: round-robin, weighted lub host-dependent. GLBP obsługuje również preempt i priorytety.

Planowanie reguł ACL

Zanim zaczniesz pisać reguły w routerze, weź kartkę i długopis. Reguły ACL są jak pułapki — raz postawiona źle, może złapać niewinnego użytkownika. Najpierw pozwalamy na to, co konieczne i precyzyjne, a na końcu zostawiamy szerokie sito.

Używaj opisów (remark). Za rok nie będziesz pamiętał, po co zablokowałeś ten konkretny adres IP. ACL bez komentarzy to koszmar dla inżyniera, który przejmie po Tobie sieć. Bądź dobrym kolegą — opisuj swoje intencje w kodzie konfiguracji.

Przykład ACL z opisem: access-list 100 remark Zezwalaj na SSH z sieci administracyjnej, access-list 100 permit tcp 10.0.1.0 0.0.0.255 any eq 22. W nazwanych ACL opis można dodać po słowie remark. Zawsze testuj ACL na replice lub w oknie serwisowym przed wdrożeniem produkcyjnym. Polecenie show access-lists [numer/nazwa] pokazuje licznik dopasowań (matches) dla każdej reguły — jeśli widzisz 0 matchy dla reguły Permit, oznacza to, że reguła może być niepoprawna lub niepotrzebna. ACL na interfejsie można tymczasowo wyłączyć za pomocą no ip access-group.

Data, Control i Management Plane

Zrozum architekturę SDN przez podział: Data Plane to mięśnie (kable i fizyczne ramki), Control Plane to mózg (decyzje o trasach), a Management Plane to oczy administratora (pulpit sterowniczy). SDN wyjmuje mózg z każdego switcha i wkłada go do jednego centralnego komputera.

To zmienia wszystko. Sieć przestaje być statyczna. Może reagować na ruch tak samo, jak robi to system operacyjny w komputerze. SDN to koniec epoki „ręcznej roboty" i początek ery „sieci inteligentnej", która optymalizuje się sama.

W tradycyjnych sieciach każde urządzenie zawiera wszystkie trzy płaszczyzny: Data Plane (przekazywanie pakietów w oparciu o tablicę routingu/przełączania — realizowane w ASIC), Control Plane (protokoły routingu: OSPF, BGP, STP — realizowane w CPU) oraz Management Plane (SNMP, SSH, Telnet, syslog). SDN separuje Control Plane od Data Plane, umieszczając Control Plane w centralnym kontrolerze, a Data Plane pozostawiając w przełącznikach (które stają się prostymi urządzeniami przekazującymi według instrukcji z kontrolera). Protokół OpenFlow jest najpopularniejszym standardem komunikacji między kontrolerem a przełącznikami SDN.

Podsumowanie protokołów routingu

Na koniec dnia masz wybór. RIP dla mikrosieci (choć lepiej o nim zapomnieć). OSPF i EIGRP to konie robocze wewnątrz firmy — OSPF gdy masz różnych producentów, EIGRP gdy kochasz Cisco i szybkość. A na styku z internetem? Tylko BGP.

Nie ma jednego idealnego rozwiązania — jest tylko odpowiednie narzędzie do danego zadania. Dobry administrator wie, kiedy użyć młotka (ACL), a kiedy precyzyjnego skalpela (QoS). Gratuluję ukończenia kursu i życzę samych stabilnych połączeń!

Ostateczny wybór protokołu routingu zależy od wielu czynników: wielkości sieci, wymagań dotyczących konwergencji, obsługi przez dostawców sprzętu, znajomości zespołu IT oraz budżetu. Dla małych sieci (< 50 routerów) odpowiedni będzie OSPF lub EIGRP. Dla bardzo dużych sieci korporacyjnych z wieloma lokalizacjami warto rozważyć BGP jako protokół szkieletowy (MPLS L3VPN) z OSPF lub EIGRP wewnątrz lokalizacji. W sieciach operatorskich i ISP standardem jest BGP na styku zewnętrznym i OSPF/IS-IS wewnątrz szkieletu.