Sieci komputerowe i TCP/IP

Lekcja 1 · Część A

Sieć komputerowa: rodzaje, elementy i topologie

Sieć komputerowa to zbiór urządzeń połączonych tak, aby mogły wymieniać dane i współdzielić zasoby (pliki, drukarki, dostęp do internetu). Aby urządzenia różnych producentów się porozumiały, komunikacja opiera się na standardach i protokołach, czyli uzgodnionych zasadach przesyłania danych (np. IEEE 802.3 dla Ethernetu, dokumenty RFC organizacji IETF dla protokołów internetowych).

Elementy sieci

Sieci przewodowe (Ethernet, standard IEEE 802.3) zapewniają stabilność i przepustowość. Sieci bezprzewodowe (Wi-Fi, standard IEEE 802.11) są wygodne, ale współdzielą medium (powietrze), więc są bardziej podatne na zakłócenia i podsłuch, dlatego wymagają szyfrowania.

Topologie sieci

Lekcja 2 · Część A

Modele odniesienia OSI i TCP/IP

Modele warstwowe dzielą komunikację na warstwy o wyraźnie określonych zadaniach. Każda warstwa korzysta z usług niższej i świadczy usługi wyższej, a producenci mogą rozwijać poszczególne warstwy niezależnie.

Enkapsulacja

Wysyłane dane są po kolei „pakowane”: warstwa aplikacji dodaje dane, transportowa nagłówek z portami (segment), sieciowa nagłówek z adresami IP (pakiet), łącza danych nagłówek i stopkę z adresami MAC (ramka), a fizyczna zamienia ramkę na sygnał. Odbiorca „rozpakowuje” w odwrotnej kolejności.

Lekcja 3 · Część A

Ethernet, adresy MAC i ARP

W sieci lokalnej urządzenia komunikują się za pomocą adresów MAC: 48-bitowych adresów fizycznych karty sieciowej, zapisywanych szesnastkowo, np. 00:1A:2B:3C:4D:5E. Pierwsze 3 bajty to identyfikator producenta (OUI).

Przełącznik uczy się adresów MAC: zapamiętuje, na którym porcie widział dany adres źródłowy (tablica adresów MAC), i kolejne ramki do tego adresu wysyła tylko tym portem. Ramki rozgłoszeniowe wysyła na wszystkie porty.

Protokół ARP

Host zna adres IP celu, ale ramka potrzebuje adresu MAC. ARP (Address Resolution Protocol) odwzorowuje adres IPv4 na adres MAC: host wysyła rozgłoszeniowe zapytanie „kto ma adres 192.168.1.10?”, a właściciel odpowiada swoim MAC. Wynik trafia do pamięci podręcznej ARP (arp -a). Gdy cel leży w innej sieci, host pyta o adres MAC bramy domyślnej.

Lekcja 4 · Część A

Protokół IP, ICMP i rodzaje adresowania

IP (Internet Protocol) odpowiada za adresowanie logiczne i przekazywanie pakietów między sieciami. Pakiet zawiera m.in. adres źródłowy i docelowy oraz TTL (czas życia): licznik zmniejszany o 1 na każdym routerze, który chroni przed pakietami krążącymi w nieskończoność. Gdy TTL dojdzie do zera, router odrzuca pakiet i odsyła komunikat ICMP.

ICMP to protokół komunikatów kontrolnych. Korzystają z niego ping (komunikaty echo) i traceroute (komunikaty o przekroczeniu TTL).

Routing

Router łączy różne sieci IP. Dla każdego pakietu sprawdza adres docelowy w tablicy routingu i wysyła pakiet do następnego routera lub do celu. Jeśli nie ma pasującej trasy, używa trasy domyślnej albo odrzuca pakiet.

Lekcja 5 · Część A

TCP i UDP, porty i nawiązywanie połączenia

Warstwa transportowa zapewnia komunikację między procesami, które rozróżnia się numerami portów (0–65535). Dwa główne protokoły to TCP i UDP.

Trójstopniowe uzgodnienie (three-way handshake)

• SYN: klient prosi o nawiązanie połączenia,
• SYN-ACK: serwer potwierdza i zgadza się na połączenie,
• ACK: klient potwierdza, połączenie jest ustanowione.

Zamykanie połączenia odbywa się przez wymianę segmentów FIN i ACK, a nagłe zerwanie sygnalizuje flaga RST.

Porty 0–1023 to porty dobrze znane (usługi systemowe), 1024–49151 zarejestrowane, a 49152–65535 dynamiczne (używane przez klientów jako porty źródłowe).

Lekcja 6 · Część A

Usługi warstwy aplikacji: DNS, DHCP i HTTP

DNS: zamiana nazw na adresy

DNS (Domain Name System) tłumaczy nazwy domenowe (szkola.pl) na adresy IP. Działa zwykle na porcie 53 (UDP, dla dużych odpowiedzi TCP). Dane przechowują rekordy:

DHCP: automatyczna konfiguracja hosta

DHCP przydziela hostom adres IP, maskę, bramę i serwer DNS. Wymiana składa się z czterech komunikatów (DORA): Discover (rozgłoszenie klienta), Offer (propozycja serwera), Request (klient wybiera ofertę), Acknowledge (potwierdzenie). Używa UDP, port 67 (serwer) i 68 (klient).

HTTP i HTTPS jako przykład zależności warstw

Gdy otwierasz stronę, przeglądarka: pyta DNS o adres (UDP 53), ustanawia połączenie TCP z portem 80 lub 443 (handshake), przy HTTPS uzgadnia szyfrowanie TLS, wysyła żądanie HTTP, a pakiety IP są umieszczane w ramkach Ethernet. Każda warstwa korzysta z usług niższej.

Lekcja 7 · Część B

Adresacja IPv4 i maska podsieci

Adres IPv4 ma 32 bity, zapisywane jako cztery oktety w postaci dziesiętnej, np. 192.168.10.37. Składa się z części sieciowej (ta sama dla wszystkich hostów sieci) i części hosta. Granicę wyznacza maska podsieci: jedynki oznaczają część sieciową, zera część hosta.

Wartość oktetu to suma wag tam, gdzie jest 1: 37 = 32 + 4 + 1, a 192 = 128 + 64.

Adres IP:   192.168.10.37   = 11000000.10101000.00001010.00100101
Maska:      255.255.255.0   = 11111111.11111111.11111111.00000000
AND         ----------------------------------------------------
Adres sieci: 192.168.10.0

Rozgłoszeniowy: 192.168.10.255
Hosty:          192.168.10.1 - 192.168.10.254

Lekcja 8 · Część B

Notacja CIDR i obliczanie adresów

CIDR zapisuje maskę jako długość prefiksu po ukośniku: 192.168.10.37/26 oznacza, że 26 bitów jest częścią sieciową. Dzięki CIDR sieci można dzielić na dowolnie duże fragmenty, a nie tylko według dawnych klas A, B i C.

Szybka metoda obliczeń

• znajdź oktet, w którym kończy się prefiks i odczytaj rozmiar bloku (256 − wartość maski w tym oktecie),
• adres sieci to największa wielokrotność rozmiaru bloku nie większa niż wartość tego oktetu adresu,
• adres rozgłoszeniowy to adres sieci + rozmiar bloku − 1 (w tym oktecie),
• hosty leżą pomiędzy.

Maska /26 = 255.255.255.192, rozmiar bloku 64 (bloki: 0, 64, 128, 192)
37 leży w bloku 0-63
Adres sieci:         192.168.10.0
Adres rozgłoszeniowy: 192.168.10.63
Hosty:               192.168.10.1 - 192.168.10.62   (62 hosty)

/20 = 255.255.240.0, blok w trzecim oktecie ma rozmiar 16
45 leży w bloku 32-47
Adres sieci:         172.16.32.0
Adres rozgłoszeniowy: 172.16.47.255
Hosty:               172.16.32.1 - 172.16.47.254   (4094 hosty)

Lekcja 9 · Część B

Podział na podsieci i VLSM

Podsieci (ang. subnetting) powstają przez pożyczenie bitów z części hosta. Dzielenie sieci poprawia organizację, ogranicza rozmiar domeny rozgłoszeniowej i ułatwia stosowanie reguł bezpieczeństwa między segmentami.

Potrzeba 4 podsieci = 2 pożyczone bity => nowy prefiks /26 (blok 64)
192.168.1.0/26     hosty .1   - .62    rozgłoszeniowy .63
192.168.1.64/26    hosty .65  - .126   rozgłoszeniowy .127
192.168.1.128/26   hosty .129 - .190   rozgłoszeniowy .191
192.168.1.192/26   hosty .193 - .254   rozgłoszeniowy .255

VLSM (ang. Variable Length Subnet Mask) pozwala użyć podsieci o różnych rozmiarach, dopasowanych do potrzeb. Zasada: zaczynamy od największej podsieci i przydzielamy kolejne bloki bez nakładania.

100 hostów => /25 (126)  192.168.1.0/25     (0-127)
 50 hostów => /26 (62)   192.168.1.128/26   (128-191)
 20 hostów => /27 (30)   192.168.1.192/27   (192-223)
  2 hosty  => /30 (2)    192.168.1.224/30   (224-227)

Lekcja 10 · Część B

Adresacja IPv6

IPv6 ma adresy 128-bitowe, zapisywane jako osiem grup po cztery cyfry szesnastkowe, rozdzielonych dwukropkami. Zapis można skracać: pomijać zera wiodące w grupach i raz zastąpić najdłuższy ciąg grup złożonych z samych zer przez ::.

2001:0db8:0000:0000:0000:ff00:0042:8329
2001:db8:0:0:0:ff00:42:8329     (pominięte zera wiodące)
2001:db8::ff00:42:8329          (ciąg zer zastąpiony przez ::, tylko raz)

W sieciach lokalnych przyjmuje się prefiks /64: pierwsze 64 bity to identyfikator sieci, a ostatnie 64 bity to identyfikator interfejsu. Hosty mogą konfigurować się same (SLAAC) lub dostawać adresy od DHCPv6. Adresy dokumentacyjne zaczynają się od 2001:db8::/32.

Lekcja 11 · Część B

Adresy publiczne i prywatne, DHCP, znaczenie adresacji dla bezpieczeństwa

Adresy prywatne nie są routowane w internecie, dlatego do komunikacji z internetem potrzebny jest NAT.

Adresacja statyczna i dynamiczna

Znaczenie adresacji dla bezpieczeństwa

• adres IP identyfikuje źródło ruchu w logach, więc planowa adresacja ułatwia ustalenie, kto i z jakiego segmentu wykonał operację,
• reguły zapór i listy ACL opierają się na adresach i podsieciach, więc dobry plan adresacji upraszcza stosowanie polityk,
• adres IP można sfałszować (IP spoofing), dlatego nie wolno ufać mu jako jedynemu sposobowi uwierzytelniania,
• NAT sprawia, że w logach serwera widoczny jest adres publiczny, a nie adres konkretnego urządzenia.

Lekcja 12 · Część C

Konfiguracja parametrów sieciowych hosta

Aby host działał w sieci, potrzebuje: adresu IP, maski podsieci, bramy domyślnej (router do innych sieci), serwera DNS i nazwy hosta. Można je ustawić ręcznie albo pobrać z DHCP.

# adres statyczny z prefiksem /24 i bramą
New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 192.168.10.50 -PrefixLength 24 -DefaultGateway 192.168.10.1
# serwer DNS
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 192.168.10.2
# wrócić do DHCP
Set-NetIPInterface -InterfaceAlias "Ethernet" -Dhcp Enabled
# nazwa komputera
Rename-Computer -NewName "PC-LAB-01"

sudo ip addr add 192.168.10.50/24 dev eth0
sudo ip link set eth0 up
sudo ip route add default via 192.168.10.1
sudo hostnamectl set-hostname pc-lab-01

network:
  version: 2
  ethernets:
    eth0:
      addresses: [192.168.10.50/24]
      routes:
        - to: default
          via: 192.168.10.1
      nameservers:
        addresses: [192.168.10.2]

Lekcja 13 · Część C

Odczyt ustawień i diagnozowanie problemów z łącznością

Typowe objawy i przyczyny

Lekcja 14 · Część C

ping i traceroute

ping wysyła komunikaty ICMP Echo Request i czeka na Echo Reply. Pokazuje, czy host odpowiada, ile trwa podróż pakietu (czas odpowiedzi) i ile pakietów zgubiono. traceroute (tracert w Windows) ujawnia kolejne routery na trasie, wysyłając pakiety ze wzrastającym TTL.

ping -c 4 192.168.10.1          # Linux: 4 pakiety
ping -n 4 192.168.10.1          # Windows: 4 pakiety
traceroute 8.8.8.8              # Linux
tracert 8.8.8.8                 # Windows

Ścieżka diagnozy „od środka na zewnątrz”

• ping 127.0.0.1: czy działa stos TCP/IP na hoście,
• ping własny adres IP: czy karta jest skonfigurowana,
• ping bramy domyślnej: czy działa sieć lokalna,
• ping adresu zewnętrznego (np. 8.8.8.8): czy działa dostęp do internetu,
• ping nazwy domenowej: czy działa DNS.

Lekcja 15 · Część C

netstat, ss i netcat

netstat (Windows i Linux) i ss (nowoczesny odpowiednik w Linux) pokazują aktywne połączenia i porty, na których hosty nasłuchują. Pomagają znaleźć nieznane usługi i podejrzane połączenia.

netstat -ano                    # Windows: wszystkie połączenia, numer procesu (PID)
tasklist /FI "PID eq 1234"      # Windows: który program to PID 1234
ss -tulpn                       # Linux: TCP/UDP, nasłuchujące, numery portów, procesy
ss -tn state established        # Linux: nawiązane połączenia TCP

Adres, na którym usługa nasłuchuje, ma znaczenie dla bezpieczeństwa: 127.0.0.1:3306 to usługa dostępna tylko lokalnie, a 0.0.0.0:3306 dostępna z całej sieci.

netcat (nc)

Prosty program do otwierania połączeń TCP/UDP i nasłuchiwania. Służy do sprawdzania, czy port jest dostępny, i do testów usług.

nc -zv 192.168.10.20 22          # czy port 22 jest otwarty
nc -l -p 9000                     # nasłuchiwanie na porcie 9000
echo "test" | nc 192.168.10.20 9000

Lekcja 16 · Część C

Diagnostyka DNS oraz WHOIS i RDAP

nslookup szkola.pl                  # proste zapytanie (Windows i Linux)
nslookup szkola.pl 8.8.8.8          # zapytanie do konkretnego serwera DNS
dig szkola.pl A                      # rekord A
dig +short MX szkola.pl             # tylko rekordy poczty
dig -x 8.8.8.8                       # zapytanie odwrotne (PTR)
dig @1.1.1.1 szkola.pl              # porównanie z innym serwerem

Porównanie odpowiedzi różnych serwerów DNS pomaga ustalić, czy problem leży w konfiguracji lokalnej, czy w samej domenie. Rozbieżne wyniki mogą wskazywać na przekierowanie DNS lub nieaktualne dane w pamięci podręcznej.

WHOIS i RDAP

WHOIS i nowocześniejszy RDAP to usługi publiczne, które zwracają dane o rejestracji domeny lub bloku adresów: rejestratora, daty rejestracji i wygaśnięcia, serwery nazw, a czasem kontakt techniczny. Dla domen krajowych (ccTLD, np. .pl) dane prowadzi rejestr krajowy (w Polsce NASK).

Lekcja 17 · Część C

Analiza ruchu: sniffing i Wireshark

Sniffing to przechwytywanie i analiza pakietów przesyłanych w sieci. Wireshark to analizator ruchu, który przechwytuje pakiety z interfejsu (karta może pracować w trybie promiscuous, w którym odbiera także ramki nieadresowane do niej) i pokazuje je warstwa po warstwie.

Zastosowania

• diagnostyka: opóźnienia, retransmisje, błędy DNS,
• analiza bezpieczeństwa: nietypowy ruch, skanowanie, wyciek danych,
• nauka protokołów: obserwacja handshake’u TCP, DHCP, ARP.

Lekcja 18 · Część D

Przełączanie, routowanie i mostkowanie

Przełączanie a routowanie

• Przełączanie działa w obrębie jednej sieci lokalnej: ramka trafia do odpowiedniego portu na podstawie adresu MAC.
• Routowanie łączy różne sieci: router czyta adres IP, sprawdza tablicę routingu i przekazuje pakiet dalej, zmieniając adresy MAC w nowej ramce.
• Mostkowanie (bridging) łączy dwa segmenty sieci na poziomie warstwy 2 w jedną sieć logiczną. Przełącznik jest w istocie wieloportowym mostem.

Lekcja 19 · Część D

Podstawowa konfiguracja przełącznika i routera

Urządzenia sieciowe konfiguruje się przez interfejs wiersza poleceń (CLI), a nowsze także przez interfejs WWW. Poniższe przykłady pochodzą ze składni typowej dla urządzeń Cisco IOS. Polecenia innych producentów różnią się, ale zasady są takie same.

enable
configure terminal
hostname R1
enable secret SilneHaslo!2026
service password-encryption
username admin secret AdminHaslo!2026
ip domain-name lab.local
crypto key generate rsa modulus 2048
ip ssh version 2
line vty 0 4
 login local
 transport input ssh
exit
banner motd # Dostęp tylko dla uprawnionych #

interface GigabitEthernet0/0
 description LAN-Pracownie
 ip address 192.168.10.1 255.255.255.0
 no shutdown
exit

show running-config
show ip interface brief
show version
copy running-config startup-config

Zasady bezpiecznej konfiguracji

• włącz SSH i wyłącz Telnet (Telnet przesyła hasła jawnie),
• stosuj hasła zapisane skrótem (enable secret, username ... secret), a nie enable password,
• wyłącz nieużywane porty (shutdown) i interfejsy zarządzania dostępne z zewnątrz,
• zmień domyślne hasła i nazwy kont producenta,
• ustaw baner ostrzegawczy i ogranicz dostęp zarządzania do zaufanych adresów,
• wykonuj kopie konfiguracji i aktualizuj oprogramowanie urządzenia.

Lekcja 20 · Część D

Trasa domyślna, tablica routingu i testowanie z poziomu urządzenia

Tablica routingu zawiera trasy do sieci: sieć docelową z maską, następny skok lub interfejs wyjściowy. Router wybiera trasę z najdłuższym pasującym prefiksem. Gdy żadna trasa nie pasuje, używa trasy domyślnej (0.0.0.0/0), zwykle prowadzącej do operatora.

ip route 0.0.0.0 0.0.0.0 203.0.113.1
show ip route

Testowanie z poziomu urządzenia: ping 192.168.20.5 (z możliwością wskazania adresu źródłowego), traceroute, show ip interface brief (stan interfejsów: up/down).

Lekcja 21 · Część D

Bezpieczna sieć bezprzewodowa

Dobre praktyki

• nazwa sieci (SSID) bez danych identyfikujących firmę, ale pamiętaj: ukrycie SSID nie jest zabezpieczeniem,
• WPA2 lub WPA3 i długie, unikatowe hasło,
• wyłączenie WPS (kod PIN można odgadnąć atakiem),
• oddzielna sieć dla gości, odizolowana od sieci wewnętrznej (osobny VLAN, izolacja klientów),
• zmiana domyślnego hasła administratora punktu dostępowego i aktualizacje oprogramowania,
• rozmieszczenie punktów dostępowych i moc sygnału tak, by nie wychodził daleko poza budynek.

Lekcja 22 · Część E

Segmentacja sieci, strefy i DMZ

Segmentacja to podział sieci na odrębne fragmenty (segmenty, strefy), między którymi ruch jest kontrolowany. Z punktu widzenia bezpieczeństwa ogranicza rozprzestrzenianie się ataku: zainfekowany komputer w jednym segmencie ma utrudniony dostęp do reszty. Zmniejsza też domeny rozgłoszeniowe i ułatwia stosowanie polityk.

DMZ umieszcza się między internetem a siecią wewnętrzną (za zaporą z trzema strefami lub między dwiema zaporami). Jeśli serwer w DMZ zostanie przejęty, atakujący nie ma bezpośredniego dostępu do sieci wewnętrznej.

Hierarchiczny model sieci i rodzaje routerów

Lekcja 23 · Część E

VLAN i połączenia trunk

VLAN (ang. Virtual LAN) to logiczny podział jednego przełącznika (lub wielu) na kilka niezależnych sieci warstwy 2. Hosty w różnych VLAN-ach nie widzą nawzajem swoich ramek rozgłoszeniowych, a komunikacja między nimi wymaga routingu (urządzenia warstwy 3).

vlan 10
 name KSIEGOWOSC
vlan 20
 name PRACOWNIE

interface FastEthernet0/1
 switchport mode access
 switchport access vlan 10

interface GigabitEthernet0/1
 switchport mode trunk
 switchport trunk allowed vlan 10,20

show vlan brief
show interfaces trunk

Routing między VLAN-ami

• Router-on-a-stick: jeden trunk do routera z podinterfejsami dla każdego VLAN (interface g0/0.10, encapsulation dot1Q 10),
• przełącznik warstwy 3 z interfejsami wirtualnymi VLAN (SVI).

Lekcja 24 · Część E

Listy kontroli dostępu (ACL)

ACL to uporządkowana lista reguł permit (zezwól) i deny (zablokuj), według której urządzenie filtruje ruch. Reguły sprawdzane są od góry, pierwsza pasująca decyduje, a na końcu każdej listy działa niejawna reguła deny any.

ip access-list extended KSIEGOWOSC-DO-SERWERA
 permit tcp 192.168.20.0 0.0.0.255 host 192.168.30.10 eq 443
 deny ip any host 192.168.30.10 log
 permit ip any any
exit

interface GigabitEthernet0/0.20
 ip access-group KSIEGOWOSC-DO-SERWERA in

ACL a fałszowanie adresów (anti-spoofing)

Na interfejsie od strony internetu blokuje się pakiety przychodzące, których adresem źródłowym jest adres prywatny (RFC 1918), pętla zwrotna lub adres z własnej sieci wewnętrznej. Takie pakiety nie mogą pochodzić z internetu, więc są sfałszowane.

Lekcja 25 · Część E

Zapory sieciowe

Zasady konfiguracji

• polityka domyślnej odmowy: blokuj wszystko, zezwalaj tylko na to, co potrzebne,
• kolejność reguł ma znaczenie (od najbardziej szczegółowych do ogólnych),
• oddzielne reguły dla ruchu przychodzącego i wychodzącego,
• zapora sprzętowa chroni sieć na brzegu, zapora hosta chroni pojedynczy system,
• włącz logowanie zablokowanych połączeń i regularnie przeglądaj reguły.

sudo iptables -P INPUT DROP
sudo iptables -A INPUT -i lo -j ACCEPT
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 22 -s 192.168.10.0/24 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT
sudo iptables -L -n -v

Lekcja 26 · Część E

Sieci VPN

VPN (ang. Virtual Private Network) tworzy szyfrowany tunel przez sieć niezaufaną (internet). Zapewnia poufność, integralność i uwierzytelnienie komunikacji. Dwa podstawowe scenariusze: zdalny dostęp (pracownik łączy się z siecią firmy) i site-to-site (łączenie oddziałów).

wg genkey | tee serwer.key | wg pubkey > serwer.pub

# /etc/wireguard/wg0.conf na serwerze
[Interface]
PrivateKey = <klucz prywatny serwera>
Address = 10.8.0.1/24
ListenPort = 51820

[Peer]
PublicKey = <klucz publiczny klienta>
AllowedIPs = 10.8.0.2/32

• split tunneling: do tunelu trafia tylko ruch do sieci firmy, reszta idzie bezpośrednio do internetu (wygodne, ale mniej bezpieczne),
• dostęp VPN powinien wymagać MFA,
• po zalogowaniu użytkownik powinien mieć dostęp tylko do potrzebnych zasobów (najmniejsze uprawnienia), a nie do całej sieci,
• klucze prywatne i certyfikaty VPN należy chronić, a konta odebrać po odejściu pracownika.

Lekcja 27 · Część F

Routing statyczny

Trasa statyczna to wpis w tablicy routingu dodany ręcznie przez administratora: „aby dotrzeć do sieci X, wyślij pakiet do routera Y”. Jest prosta i przewidywalna, nie obciąża routerów protokołami, ale wymaga ręcznych zmian przy każdej zmianie topologii. Dobrze sprawdza się w małych sieciach i jako trasa domyślna do operatora.

# Cisco IOS
ip route 192.168.30.0 255.255.255.0 10.0.0.2
no ip route 192.168.30.0 255.255.255.0 10.0.0.2      # usunięcie trasy

# Linux
sudo ip route add 192.168.30.0/24 via 10.0.0.2
sudo ip route del 192.168.30.0/24

# Windows (parametr -p zapisuje trasę trwale)
route -p add 192.168.30.0 mask 255.255.255.0 10.0.0.2

Wybór trasy

• pierwszeństwo ma trasa o najdłuższym pasującym prefiksie,
• przy równych prefiksach decyduje odległość administracyjna (źródło informacji: im mniej, tym lepiej), a następnie metryka.

Trasa pływająca (floating static route) to trasa statyczna z podwyższoną odległością administracyjną, która działa jako zapasowa i wchodzi do użycia dopiero wtedy, gdy trasa nauczona dynamicznie zniknie.

Lekcja 28 · Część F

Routing dynamiczny

Protokoły routingu dynamicznego pozwalają routerom automatycznie wymieniać informacje o dostępnych sieciach i dostosowywać trasy do zmian (awarii łącza, nowych sieci). Skracają to czas reakcji na awarię i zmniejszają pracę administratora w dużych sieciach.

• protokoły wewnętrzne (IGP: RIP, OSPF, EIGRP) działają w obrębie jednej organizacji,
• protokół zewnętrzny (EGP: BGP) łączy sieci różnych operatorów,
• konwergencja to czas, w którym wszystkie routery uzyskują spójny obraz sieci po zmianie.

Lekcja 29 · Część F

NAT i przekierowanie portów

NAT (ang. Network Address Translation) zamienia adresy w nagłówkach pakietów przechodzących przez router lub zaporę. Najczęściej pozwala wielu urządzeniom z adresami prywatnymi korzystać z internetu przez jeden lub kilka adresów publicznych.

interface GigabitEthernet0/0
 ip nat inside
interface GigabitEthernet0/1
 ip nat outside

access-list 1 permit 192.168.10.0 0.0.0.255
ip nat inside source list 1 interface GigabitEthernet0/1 overload
ip nat inside source static tcp 192.168.10.10 443 interface GigabitEthernet0/1 443

show ip nat translations

sudo sysctl -w net.ipv4.ip_forward=1
sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
sudo iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8443 -j DNAT --to-destination 192.168.10.10:443

Lekcja 30 · Część F

Wpływ NAT na bezpieczeństwo i analizę ruchu

Czego NAT nie robi

NAT nie jest zaporą. Efekt uboczny, że połączenia nieinicjowane z wewnątrz nie mają wpisu translacji i nie docierają do hostów, bywa błędnie traktowany jako zabezpieczenie. Ochronę zapewniają reguły zapory, a nie sama translacja.

Testowanie routingu i translacji

• z hosta wewnętrznego: ping i traceroute do hosta w internecie,
• na routerze: show ip nat translations, show ip route,
• analizator ruchu po obu stronach routera: zobacz, jak zmieniają się adresy i porty źródłowe,
• po każdej zmianie zapisz konfigurację i opisz ją w dokumentacji.