Domyślny (default) : VLAN 1, wszystkie porty należą do niego po starcie. Nie da się usunąć ani zmienić nazwy.Danych (data) : ruch generowany przez użytkownika.Natywny (native) : ruch nieotagowany na łączu trunk (domyślnie VLAN 1, dobra praktyka: zmienić na nieużywany).Zarządzania (management) : dostęp do urządzenia (SVI, SSH/Telnet).Głosowy (voice) : priorytetowy ruch VoIP.
Logiczny podział jednej fizycznej sieci na osobne domeny rozgłoszeniowe (broadcast) .
Segmentacja bez dodatkowego sprzętu, urządzenia w różnych VLAN nie komunikują się bez routingu L3.
Zalety: bezpieczeństwo, separacja ruchu, mniejszy broadcast, łatwiejsze zarządzanie, grupowanie wg funkcji a nie lokalizacji.
Zakres: 1-1005 (normalny), 1006-4094 (rozszerzony). Konfiguracja w VLAN database / vlan <id>.
Access (dostępowe) : port należy do jednego VLAN, łączy urządzenie końcowe. Ramki nieotagowane.
switchport mode access / switchport access vlan <id>
Trunk (trunkingowe) : przenosi wiele VLAN między przełącznikami/routerem. Ramki tagowane (oprócz native).
switchport mode trunk / switchport trunk allowed vlan <lista> / switchport trunk native vlan <id>
Klasyczna (legacy) : osobny fizyczny interfejs routera na każdy VLAN, port switcha w trybie access. Nie skaluje się, marnuje porty. Przestarzała.Router na patyku (router-on-a-stick) : jeden interfejs routera podzielony na podinterfejsy (po jednym na VLAN), enkapsulacja 802.1Q + adres bramy. Łącze do switcha to trunk. Wąskie gardło: pojedyncze łącze + routing programowy.Switch warstwy 3 (multilayer) : switch routuje sam, sprzętowo, przez interfejsy SVI (wirtualny L3 na VLAN). Wymaga ip routing. Najszybszy, najlepiej skalowalny.
IEEE 802.1Q (dot1q) : standard, wstawia 4-bajtowy tag do ramki, native VLAN nieotagowany.ISL : starsza, własnościowa Cisco (encapsulation), praktycznie wycofana.(Metody przełączania ramek przez switch: store-and-forward , cut-through , fragment-free .)
Konfiguracja podinterfejsu: encapsulation dot1q <vlan-id>
Cel : zapobiega pętlom L2 w sieci z redundantnymi łączami (blokuje nadmiarowe ścieżki, broadcast storm, niestabilność tablicy MAC).Działanie : wybór root bridge (najniższy Bridge ID = priorytet + MAC), reszta liczy najtańszą ścieżkę do roota, pozostałe porty blokuje. Wymiana BPDU .Stany portu (klasyczny 802.1D) : blocking → listening → learning → forwarding (+ disabled). Czas zbieżności ~30-50 s.Role portów (RSTP) : root, designated, alternate, backup.
Wersja
Standard
Cechy
STP
802.1D
oryginalny, wolna zbieżność
PVST+
Cisco
osobna instancja STP na każdy VLAN
RSTP
802.1w
szybka zbieżność (kilka s)
Rapid PVST+
Cisco
RSTP per VLAN
MSTP
802.1s
grupuje VLAN-y w instancje (oszczędność CPU)
GUA (Global Unicast) : publiczny, routowalny, 2000::/3.ULA (Unique Local) : prywatny, FC00::/7 (w praktyce FD00::/8).Link-local (LLA) : FE80::/10, tylko w obrębie łącza, generowany automatycznie.Loopback ::1, nieokreślony ::.Multicast : FF00::/8
FF02::1 wszystkie węzły, FF02::2 wszystkie routery, FF02::1:FFxx:xxxx solicited-node.
Brak broadcastu, zastąpiony przez multicast.
Metoda
M
O
A
Adres skąd
Pozostałe info (DNS itp.)
SLAAC 0
0
1
host sam z prefiksu RA (EUI-64/losowo)
brak / DNS przez RA
SLAAC + DHCPv6 bezstanowy 0
1
1
host sam (SLAAC)
z serwera DHCPv6
DHCPv6 stanowy 1
-
0
z serwera DHCPv6
z serwera DHCPv6
Flagi RA :
M (Managed Address Configuration) : M=1 host pobiera adres z serwera DHCPv6 (stanowy); M=0 adres ustala host sam (SLAAC).O (Other Configuration) : O=1 dodatkowe parametry (DNS, domena) z DHCPv6; O=0 brak / tylko z RA.A (Autonomous Address Configuration) : ustawiana per prefiks w opcji Prefix Information komunikatu RA. A=1 prefiks można użyć do SLAAC (host sam tworzy z niego adres); A=0 prefiks służy tylko do określenia, że adresy z tej podsieci są “on-link”, bez autokonfiguracji. SLAAC działa tylko gdy A=1.
Różnica: w SLAAC adres ustala host na podstawie prefiksu z RA (Router Advertisement) ; w DHCPv6 stanowym pełną adresację (i ewidencję) prowadzi serwer.
Statyczny
Dynamiczny
Konfiguracja
ręczna
automatyczna wymiana tras
Skalowalność
słaba
dobra
Obciążenie CPU/łącza
małe
większe
Reakcja na awarię
brak (ręczna)
automatyczna
Bezpieczeństwo
wyższe
niższe
Wektora odległości (distance vector) : RIP, (E)IGRP. Wymiana całej/części tablicy z sąsiadami, metryka prosta.Stanu łącza (link-state) : OSPF, IS-IS. Każdy router buduje pełną mapę topologii (Dijkstra/SPF).Wektora ścieżki (path vector) : BGP.IPv4 i IPv6 mają osobne wersje (np. RIPng, OSPFv3).
Wybór wg charakterystyki: mała sieć/prostota → RIP; duża/szybka zbieżność, standard → OSPF; tylko Cisco, szybki → EIGRP; między systemami autonomicznymi (internet) → BGP.
Źródło
AD
Connected (bezpośrednie)
0
Static
1
EIGRP summary
5
eBGP
20
EIGRP wewnętrzny
90
OSPF
110
IS-IS
115
RIP
120
EIGRP zewnętrzny
170
iBGP
200
Nieosiągalne
255
Typ : stanu łącza (link-state), metryka = koszt (zależny od pasma), AD = 110 .Symbol w tablicy routingu : O (oraz O IA między obszarami, O E1/E2 zewnętrzne).Komunikaty OSPF :
Hello , wykrywanie i utrzymanie sąsiadów.DBD (Database Description), opis bazy LSDB.LSR (Link-State Request), prośba o brakujące dane.LSU (Link-State Update), właściwe LSA z danymi tras.LSAck , potwierdzenie.
Obszary (areas) , area 0 to szkielet. DR/BDR w sieciach wielodostępowych (mniej sąsiedztw).Konfiguracja: router ospf <id> / network <addr> <wildcard> area <n> / router-id.
Zalety : małe zużycie CPU i pasma, przewidywalny, bezpieczny, prosty w małych sieciach.Wady : brak skalowalności, ręczna aktualizacja, brak automatycznej reakcji na awarie, podatny na błędy człowieka.
Standardowa : do konkretnej sieci.Domyślna (default) : 0.0.0.0 0.0.0.0 (IPv4) / ::/0 (IPv6), “brama ostatniej szansy”.Sumaryczna (summary) : jedna trasa obejmująca wiele podsieci (sumaryzacja, mniejsza tablica).Pływająca (floating) : zapasowa, z wyższym AD niż trasa główna, wchodzi przy awarii.
IPv4: ip route <sieć> <maska> {next-hop | interfejs} [AD]
przykład: ip route 10.0.0.0 255.255.255.0 192.168.1.2
domyślna: ip route 0.0.0.0 0.0.0.0 192.168.1.1
pływająca: ip route 10.0.0.0 255.255.255.0 192.168.1.2 200
IPv6: ipv6 route <prefiks>/<długość> {next-hop | interfejs}
przykład: ipv6 route 2001:db8:a::/64 2001:db8:1::2
wymaga ipv6 unicast-routing
Każda podsieć tej samej wielkości. Liczba podsieci = 2^n (n = pożyczone bity), hostów = 2^h - 2.
Różne maski dla różnych podsieci, dopasowane do liczby hostów. Mniej marnowania adresów.
Algorytm : posortuj podsieci wg liczby hostów malejąco → przydzielaj od największej → dla każdej dobierz najmniejszą maskę mieszczącą hosty (2^h - 2 ≥ potrzeba) → kolejny blok zaczynaj od pierwszego wolnego adresu.
Przykład doboru maski (ile hostów → maska):
Hosty
Bity hosta
Maska
/CIDR
2
2
255.255.255.252
/30
6
3
255.255.255.248
/29
14
4
255.255.255.240
/28
30
5
255.255.255.224
/27
62
6
255.255.255.192
/26
126
7
255.255.255.128
/25
Kod
Znaczenie
Cconnected (bezpośrednio podłączona)
Llocal (adres interfejsu, /32 lub /128)
Sstatic
S*domyślna statyczna
OOSPF
DEIGRP
RRIP
BBGP
iIS-IS
*kandydat na trasę domyślną
Włączenie RIP : router rip → version 2 → no auto-summary → network <addr>
Włączenie OSPF : router ospf <id> → network <addr> <wildcard> area <n>
Routing na switchu L3: ip routing
Routing IPv6: ipv6 unicast-routing
Filtrują ruch wg reguł, przetwarzane od góry do dołu , pierwsze dopasowanie wygrywa.
Na końcu niejawny deny any (implicit deny).
Jedna ACL na interfejs, na protokół, na kierunek (in/out).
Maska blankietowa (wildcard) : odwrotność maski (0 = sprawdź bit, 1 = ignoruj). 0.0.0.255 = cała /24. host = 0.0.0.0, any = 0.0.0.0 255.255.255.255.
Standardowe : filtrują tylko po źródłowym IP. Numery 1-99 i 1300-1999 . Umieszczać blisko celu .Rozszerzone : filtrują po źródle, celu, protokole, portach TCP/UDP. Numery 100-199 i 2000-2699 . Umieszczać blisko źródła .Nazwane : preferowane, opisowa nazwa zamiast numeru (np. FTP-FILTER).
Standardowa: access-list <1-99> {permit|deny} <źródło> <wildcard>
Rozszerzona: access-list <100-199> {permit|deny} <protokół> <źródło> <wild> <cel> <wild> [eq <port>]
Nazwana: ip access-list {standard|extended} <nazwa>
Zastosowanie: ip access-group <num|nazwa> {in|out} (na interfejsie)
Ograniczanie ruchu (np. blok wideo) dla wydajności.
Kontrola przepływu (ograniczenie aktualizacji routingu do znanych źródeł).
Podstawowe zabezpieczenie dostępu do sieci/zasobów.
Filtrowanie wg typu ruchu (np. e-mail tak, Telnet nie).
Sterowanie dostępem hostów do usług (FTP, HTTP).
Priorytetyzacja (ACL + QoS dla ruchu głosowego).
Tłumaczy adresy prywatne (RFC 1918) na publiczne. Oszczędza pulę IPv4, ukrywa adresację wewnętrzną.
Pojęcia: inside local/global, outside local/global.
Typ
Mapowanie
Opis
Statyczny 1:1 stałe
ręczne, np. dla serwera dostępnego z zewnątrz
Dynamiczny wiele:wiele z puli
przydział z puli publicznej, “kto pierwszy”
PAT (overload) wiele:1
wielu hostów dzieli jeden publiczny IP, rozróżnienie po portach
Oszczędność adresów IPv4, elastyczność (pule, równoważenie), spójność wewnętrznej adresacji przy zmianie ISP, ukrycie adresów wewnętrznych.
Uwaga: NAT to nie zabezpieczenie, za bezpieczeństwo odpowiada zapora stanowa.
Spadek wydajności i większe opóźnienia (przeliczanie nagłówków, problem dla VoIP).
Utrata łączności end-to-end, problemy z aplikacjami zależnymi od adresacji (podpisy, IPsec), utrudnione śledzenie pakietów, CGN pogłębia problemy.
ip nat inside source list 1 interface g0/0 overload
access-list 1 permit 192.168.1.0 0.0.0.255
Dostępu (access) : brzeg sieci, podłączenie urządzeń końcowych do sieci. Switche L2, VLAN, bezpieczeństwo portów. “Inteligencja” przy użytkowniku.Dystrybucji (distribution) : agregacja warstwy dostępu, routing L3 , polityki dostępu (ACL), QoS, redundancja, granica domen broadcast. Łączy access z rdzeniem.Szkieletowa / rdzeniowa (core) : szkielet sieci, agregacja warstwy dystrybucji, bardzo szybki transport, izolacja błędów, łączy kampus z resztą sieci. Minimum przetwarzania, maksimum prędkości.
Zarządza priorytetem ruchu, gdy łącze jest przeciążone. Krytyczne dla ruchu czasu rzeczywistego (głos, wideo): małe opóźnienie, jitter, brak strat.
Klasyfikacja i znakowanie (marking) ruchu → zarządzanie zatorami (kolejkowanie) → unikanie zatorów → kształtowanie/ograniczanie (shaping/policing).
FIFO (First-In, First-Out): bez priorytetów, kolejność przybycia.WFQ (Weighted Fair Queuing): sprawiedliwy podział pasma.CBWFQ (Class-Based WFQ): kolejkowanie oparte na zdefiniowanych klasach.LLQ (Low Latency Queuing): CBWFQ + kolejka priorytetowa o niskim opóźnieniu (dla VoIP).
LAN
WAN
mały obszar (dom, biuro, kampus)
duży obszar (miasta, kraje, kontynenty)
łączy urządzenia lokalne
łączy zdalnych użytkowników i lokalizacje
własność organizacji/użytkownika
własność dostawców (ISP, telekom, satelita)
brak opłat za użytkowanie
usługa płatna
duże pasmo (Ethernet, Wi-Fi)
pasmo od niskiego do dużego, złożona infrastruktura
RAM (ulotna): running-config, tablica routingu, bufory, ARP.NVRAM (nieulotna): startup-config.Flash : obraz systemu IOS , pliki.ROM : bootstrap, POST, podstawowy diagnostyczny.Interfejsy: LAN/WAN, konsola, AUX.
Jak router (RAM, NVRAM, Flash, ROM) plus:
Tablica adresów MAC (CAM), uczenie się na podstawie źródłowego MAC.ASIC : sprzętowe, szybkie przełączanie ramek.Switch L3 dodatkowo routuje (SVI, ip routing).