Wykład 5: Wirtualne sieci lokalne (VLAN), zaawansowana segmentacja i routing między-VLAN

Segmentacja logiczna infrastruktury teleinformatycznej z wykorzystaniem wirtualnych sieci lokalnych (VLAN) jest podstawą projektowania nowoczesnych sieci kampusowych. Pozwala na uniezależnienie logicznej topologii sieci od fizycznego rozmieszczenia okablowania strukturalnego oraz przełączników w budynkach.

Wdrożenie technologii VLAN w warstwie 2 i integracja z routingiem warstwy 3 modelu OSI umożliwia skuteczne ograniczenie propagacji ruchu rozgłoszeniowego, separację środowisk o odmiennych poziomach zaufania oraz precyzyjne egzekwowanie polityk bezpieczeństwa na granicy domen sieciowych.

W praktyce inżynierskiej segmentacja VLAN nie ogranicza się jedynie do odseparowania działów administracji od laboratoriów dydaktycznych, lecz stanowi fundament pod budowę środowisk wielousługowych. Współczesne instalacje kampusowe integrują w jednej infrastrukturze fizycznej transmisję danych użytkowników, telefonię VoIP, systemy monitoringu wizyjnego IP oraz automatykę budynkową BMS. Zastosowanie dedykowanych sieci wirtualnych dla każdego z tych podsystemów pozwala na precyzyjne dopasowanie parametrów jakościowych QoS (Quality of Service) oraz minimalizację wektorów potencjalnych ataków sieciowych.

Warto podkreślić, że współczesna inżynieria kampusowa coraz częściej łączy klasyczne wirtualne sieci lokalne ze standaryzowaną wirtualizacją nakładkową opartą na protokole VXLAN (Virtual Extensible LAN) oraz płaszczyźnie sterowania BGP EVPN. Choć na poziomie dostępowym stacja robocza nadal komunikuje się ze zwykłym portem 802.1Q, w szkielecie sieci pakiety są enkapsulowane w nagłówki UDP. Rozwiązanie to pozwala na elastyczne przenoszenie domen rozgłoszeniowych ponad trasowanym szkieletem warstwy 3 bez negatywnych konsekwencji związanych z rozciąganiem klasycznego drzewa rozpinającego Spanning Tree.

Skróty użyte w tym slajdzie:
VLAN (Virtual Local Area Network) - Logiczna sieć lokalna wydzielona w ramach fizycznej infrastruktury przełączników warstwy 2.
OSI (Open Systems Interconnection) - Siedmiowarstwowy model odniesienia komunikacji sieciowej ISO/IEC 7498-1.
L2 (Layer 2 (Data Link Layer)) - Warstwa łącza danych odpowiedzialna za bezpośrednią transmisję ramek na podstawie adresów fizycznych MAC.
L3 (Layer 3 (Network Layer)) - Warstwa sieciowa odpowiedzialna za logiczne adresowanie pakietów (IPv4/IPv6) oraz routing międzysieciowy.
IEEE (Institute of Electrical and Electronics Engineers) - Międzynarodowa organizacja inżynierska opracowująca standardy sieciowe z rodziny 802.

Ten wykład przedstawia całościowe spojrzenie inżynierskie na problematykę wirtualizacji sieci lokalnych: od fizycznych i logicznych ograniczeń płaskich domen L2, przez standard znakowania ramek IEEE 802.1Q i zaawansowaną izolację Private VLAN, aż po architekturę routingu między-VLAN.

Szczegółowej analizie poddano mechanizmy dynamicznego przypisywania użytkowników do podsieci z wykorzystaniem standardu IEEE 802.1X oraz serwerów RADIUS, a także sprzętową akcelerację routingu w układach ASIC/TCAM przełączników wielowarstwowych oraz wektory ataków na protokoły warstwy łącza danych.

Struktura wykładu kładzie szczególny nacisk na przejście od warstwy koncepcyjnej do implementacji sprzętowej w środowiskach wielowarstwowych. Studenci poznają nie tylko reguły konfiguracji poszczególnych technologii w systemach sieciowych klasy enterprise, lecz przede wszystkim zrozumieją kompromisy inżynierskie pomiędzy prostotą topologii a jej podatnością na awarie. Pozwoli to wykształcić umiejętność krytycznej oceny gotowych projektów sieciowych pod kątem zgodności z normami bezpieczeństwa teleinformatycznego.

Skróty użyte w tym slajdzie:
VID (VLAN Identifier) - 12-bitowe pole w nagłówku 802.1Q określające przynależność ramki do konkretnej sieci wirtualnej (zakres 1-4094).
TPID (Tag Protocol Identifier) - 16-bitowe pole identyfikujące typ protokołu tagowania (dla IEEE 802.1Q wynosi stałą wartość 0x8100).
PVLAN (Private VLAN) - Technologia zaawansowanej separacji urządzeń abonenckich w ramach tej samej podsieci i wspólnego VLAN-u nadrzędnego.
WLAN (Wireless Local Area Network) - Lokalna sieć bezprzewodowa oparta na standardach z rodziny IEEE 802.11.
RADIUS (Remote Authentication Dial-In User Service) - Protokół sieciowy klasy AAA (RFC 2865) służący do centralnego uwierzytelniania, autoryzacji i rozliczania.
SVI (Switched Virtual Interface) - Logiczny interfejs warstwy 3 na przełączniku wielowarstwowym zapewniający routing dla powiązanego VLAN-u.
ROAS (Router-on-a-Stick) - Architektura routingu między-VLAN wykorzystująca pojedynczy fizyczny interfejs routera podzielony na podinterfejsy logiczne.

Projektowanie segmentacji kampusowej wymaga ścisłego przestrzegania międzynarodowych norm IEEE oraz specyfikacji IETF RFC. Standard IEEE 802.1Q-2022 definiuje uniwersalny format mostkowania i znakowania ramek, zastępując historyczne, własnościowe rozwiązania producentów.

W obszarze uwierzytelniania i kontroli dostępu do portów kluczową rolę odgrywa norma IEEE 802.1X powiązana z dokumentami IETF RFC 2868 oraz RFC 3580 określającymi atrybuty tunelowania RADIUS dla sieci VLAN. Standardy te uzupełniają zalecenia Cisco Validated Design (CVD) oraz krajowe regulacje z zakresu ochrony danych osobowych i cyberbezpieczeństwa.

Warto podkreślić ewolucję normy IEEE 802.1Q, która w swojej najnowszej skonsolidowanej wersji IEEE 802.1Q-2022 wchłonęła wcześniejsze standardy, w tym protokoły drzewa rozpinającego (802.1D, 802.1w, 802.1s) oraz mostkowanie w centrach danych. Z kolei standard IEEE 802.1X w połączeniu z protokołem EAP (Extensible Authentication Protocol) stanowi dziś fundament koncepcji zerowego zaufania (Zero Trust) w warstwie dostępu, gdzie tożsamość urządzenia lub użytkownika determinuje dynamiczne przypisanie do określonego segmentu sieciowego.

Skróty użyte w tym slajdzie:
IETF (Internet Engineering Task Force) - Międzynarodowy komitet inżynierski odpowiedzialny za standaryzację protokołów internetowych w formie dokumentów RFC.
RFC (Request for Comments) - Formalny dokument techniczny publikowany przez IETF definiujący standardy i protokoły sieciowe.
PKN (Polski Komitet Normalizacyjny) - Krajowa jednostka normalizacyjna odpowiedzialna za zatwierdzanie i publikację Polskich Norm (PN).
CVD (Cisco Validated Design) - Oficjalny zbiór zweryfikowanych architektur i najlepszych praktyk projektowych dla sieci kampusowych.

Płaska sieć warstwy 2 (Flat Network), pozbawiona podziału na wirtualne segmenty, tworzy pojedynczą, rozległą domenę rozgłoszeniową obejmującą wszystkie podłączone urządzenia końcowe i porty przełączników. W kampusie z tysiącami hostów model ten prowadzi do zapaści wydajnościowej.

Każda ramka rozgłoszeniowa (np. zapytanie ARP, anonsy usług sieciowych) musi zostać powielona przez przełączniki na każdy port w sieci i obsłużona programowo przez procesor każdej stacji roboczej. Generuje to stały szum transmisyjny, drenuje pasmo łączy szkieletowych i uniemożliwia jakąkolwiek izolację incydentów bezpieczeństwa.

Oprócz degradacji wydajności procesorów stacji roboczych, sieć płaska wykazuje krytyczną podatność na zjawisko burzy rozgłoszeniowej (Broadcast Storm). Wystarczy przypadkowe spięcie dwóch portów kablem krosowym przez użytkownika lub awaria mechanizmu wykrywania pętli, aby pakiety rozgłoszeniowe krążyły w nieskończoność, doprowadzając do natychmiastowego nasycenia łączy i paraliżu operacyjnego całego kampusu. Brak podziału na mniejsze segmenty uniemożliwia również lokalizację źródła awarii bez czasochłonnego odłączania całych pionów dystrybucyjnych.

Skróty użyte w tym slajdzie:
MAC (Media Access Control) - Fizyczny 48-bitowy adres unikalny przypisany do interfejsu sieciowego w warstwie łącza danych.
CAM (Content Addressable Memory) - Szybka pamięć asocjacyjna przełącznika przechowująca tablicę powiązań adresów MAC z portami fizycznymi.
ARP (Address Resolution Protocol) - Protokół warstwy 2 (RFC 826) służący do mapowania logicznego adresu IPv4 na adres fizyczny MAC.
NIC (Network Interface Card) - Fizyczna karta sieciowa zainstalowana w urządzeniu końcowym realizująca interfejs warstwy 1 i 2.

Wirtualna sieć lokalna (VLAN) dzieli fizyczny przełącznik na poziomie logicznym na wiele niezależnych jednostek komutacyjnych. Przełącznik implementuje mechanizm Independent VLAN Learning (IVL), utrzymując odrębną tablicę adresów fizycznych MAC dla każdego identyfikatora VLAN.

Stacje robocze podłączone do portów przypisanych do odmiennych sieci VLAN nie mogą komunikować się ze sobą bezpośrednio w warstwie 2, nawet jeśli fizycznie znajdują się w tym samym module przełącznika. Izolacja ta jest egzekwowana sprzętowo w krzemie przełącznika z pełną prędkością interfejsów (line-rate).

Z inżynierskiego punktu widzenia kluczową cechą architektury VLAN jest ścisła relacja jeden do jednego (1:1) pomiędzy identyfikatorem VLAN a podsiecią protokołu internetowego (IPv4 oraz IPv6). Choć teoretycznie możliwe jest przypisanie wielu podsieci do jednego VLAN-u (tzw. IP multinetting), w projektowaniu sieci kampusowych uznaje się to za błąd architektoniczny, który utrudnia zarządzanie bramami domyślnymi i zaciera granice polityk bezpieczeństwa egzekwowanych na przełącznikach warstwy 3.

Skróty użyte w tym slajdzie:
PDU (Protocol Data Unit) - Jednostka danych protokołu określana w warstwie 2 jako ramka (Frame), a w warstwie 3 jako pakiet (Packet).
ASIC (Application-Specific Integrated Circuit) - Wyspecjalizowany układ scalony realizujący sprzętowe przełączanie ramek z pełną prędkością łącza (line-rate).
LAN (Local Area Network) - Lokalna sieć komputerowa łącząca stacje robocze i serwery na ograniczonym obszarze geograficznym.

Główną korzyścią techniczną z implementacji VLAN w kampusie jest drastyczna redukcja rozmiaru pojedynczej domeny rozgłoszeniowej. Zgodnie z najlepszymi praktykami inżynierskimi pojedyncza domena rozgłoszeniowa powinna liczyć maksymalnie od 250 do 500 aktywnych urządzeń końcowych.

Zmniejszenie liczby stacji w domenie ogranicza zalewanie sieci ruchem typu BUM (Broadcast, Unknown unicast, Multicast). Przekłada się to bezpośrednio na mniejsze zużycie pamięci buforowej w przełącznikach, redukcję przerw w przetwarzaniu na procesorach hostów oraz eliminację ryzyka powstawania zjawiska ARP Storm.

Projektując rozmiar domen rozgłoszeniowych, inżynier sieciowy kieruje się zasadą ograniczania liczby hostów w pojedynczym segmencie do maksymalnie 250-500 urządzeń (najczęściej maska /24 lub /23). Pozwala to zachować optymalne proporcje pomiędzy ruchem użytecznym a narzutem protokołów sygnalizacyjnych, takich jak ARP w IPv4 czy NDP (Neighbor Discovery Protocol) w IPv6. Mniejsza domena rozgłoszeniowa oznacza także krótszy czas stabilizacji tablic routingu i filtrów bezpieczeństwa w przypadku awarii węzła dostępowego.

Skróty użyte w tym slajdzie:
BUM (Broadcast, Unknown unicast, Multicast) - Kategoria ruchu sieciowego zalewającego wszystkie aktywne porty w ramach danej domeny rozgłoszeniowej.
CPU (Central Processing Unit) - Procesor główny urządzeń sieciowych odpowiedzialny za zadania płaszczyzny sterowania (Control Plane).
MTU (Maximum Transmission Unit) - Maksymalny rozmiar jednostki danych protokołu (dla standardowego Ethernetu wynosi 1500 bajtów).
QoS (Quality of Service) - Zbiór mechanizmów gwarantujących priorytetyzację i zarządzanie pasmem dla ruchu krytycznego.

Wdrożenie sieci VLAN stanowi pierwszą linię obrony w architekturze Defense-in-Depth sieci kampusowej. Umożliwia logiczne odseparowanie krytycznych zasobów uczelnianych (systemy dziekanatowe, serwery bazodanowe, telemetria BMS) od stacji ogólnodostępnych w laboratoriach i sieciach gościnnych.

Ponieważ ruch pomiędzy odrębnymi sieciami VLAN nie może być przekazywany w warstwie 2, wszelka komunikacja międzypodsieciowa musi zostać skierowana do urządzenia warstwy 3 (routera, przełącznika wielowarstwowego lub zapory ogniowej NGFW). Pozwala to na pełną inspekcję pakietów i egzekwowanie restrykcyjnych list kontroli dostępu ACL.

Bariera w warstwie 2 stanowi kluczowy element zapobiegania atakom typu Man-in-the-Middle (MitM) opartym na fałszowaniu odpowiedzi ARP (ARP Poisoning). W sieci bez segmentacji złośliwy host może bez przeszkód przechwytywać ruch pomiędzy innymi stacjami a serwerami uczelnianymi. Umieszczenie krytycznych zasobów, takich jak serwery dziekanatu czy bazy danych, w odrębnym VLAN-ie zmusza cały ruch przychodzący do przejścia przez zaporę sieciową lub listy kontroli dostępu (ACL), gdzie każdy pakiet jest poddawany drobiazgowej inspekcji.

Skróty użyte w tym slajdzie:
ACL (Access Control List) - Lista kontroli dostępu filtrująca pakiety na interfejsach sieciowych na podstawie nagłówków L2-L4.
DMZ (Demilitarized Zone) - Wydzielony logicznie segment sieci przeznaczony dla serwerów publicznych o podwyższonym rygorze bezpieczeństwa.
IDS (Intrusion Detection System) - System detekcji anomalii i prób naruszenia bezpieczeństwa w monitorowanym ruchu sieciowym.
IPS (Intrusion Prevention System) - System aktywnego blokowania zidentyfikowanych ataków i złośliwego ruchu w czasie rzeczywistym.
NGFW (Next-Generation Firewall) - Zaawansowana zapora sieciowa analizująca ruch do warstwy 7 aplikacji włącznie z kontrolą tożsamości.

Sieci VLAN uniezależniają strukturę organizacyjną instytucji od fizycznego układu pomieszczeń i okablowania pionowego w budynkach kampusu. Pracownicy tego samego instytutu lub katedry mogą pracować w różnych skrzydłach obiektu, a mimo to należeć do wspólnej podsieci logicznej.

Elastyczność ta ułatwia migrację personelu, rekonfigurację zespołów badawczych oraz wdrażanie dedykowanych podsieci tematycznych bez konieczności fizycznego krosowania kabli na panelach krosowniczych w szafach teleinformatycznych IDF.

W realiach uczelnianych elastyczność ta ma ogromne znaczenie podczas reorganizacji instytutów badawczych lub tworzenia tymczasowych zespołów projektowych. Pracownik naukowy przenoszący się do innego skrzydła budynku zachowuje dostęp do swoich zasobów serwerowych bez konieczności krosowania nowych kabli w szafach dystrybucyjnych. Administrator dokonuje jedynie zmiany logicznego przypisania portu na przełączniku dostępowym za pomocą systemu zarządzania lub interfejsu wiersza poleceń (CLI).

Skróty użyte w tym slajdzie:
ID (Identifier) - Identyfikator liczbowy przypisywany zasobom sieciowym, takim jak VLAN ID lub User ID.
HR (Human Resources) - Dział kadr i płac wymagający rygorystycznej separacji logicznej danych wrażliwych od sieci ogólnej.
IT (Information Technology) - Infrastruktura informatyczna oraz pion techniczny zarządzający systemami sieciowymi.
VoIP (Voice over Internet Protocol) - Technologia przesyłania skompresowanego głosu i telekonferencji przez pakiety IP.

Port dostępowy (Access Port) to interfejs przełącznika sieciowego dedykowany do bezpośredniego podłączania urządzeń końcowych (komputerów PC, drukarek, kamer monitoringu IP). Standardowo port ten przypisany jest do obsługi dokładnie jednej sieci VLAN.

W środowiskach kampusowych powszechnie stosuje się rozszerzenie w postaci portu hybrydowego z obsługą Voice VLAN (Auxiliary VLAN). Rozwiązanie to pozwala na podłączenie telefonu VoIP ze zintegrowanym przełącznikiem L2, przekazując ruch komputera w VLAN-ie danych nietagowanym, a pakiety głosowe w tagowanym VLAN-ie głosu z priorytetyzacją CoS 5 / DSCP 46 EF.

Szczególnym wariantem portu dostępowego jest port z obsługą Voice VLAN, określany również mianem portu hybrydowego dostępowego. Umożliwia on podłączenie telefonu VoIP, który we własnym zakresie pełni rolę 2-portowego miniprzełącznika dla komputera stacjonarnego. W takiej konfiguracji ramki pochodzące z telefonu są znakowane znacznikiem Voice VLAN z podwyższonym priorytetem CoS (Class of Service), natomiast ruch generowany przez stację roboczą pozostaje nietagowany i trafia do standardowego VLAN-u danych (Data VLAN).

Skróty użyte w tym slajdzie:
Access (Access Port) - Port przełącznika przypisany do pojedynczej sieci VLAN, obsługujący wyłącznie ramki nietagowane dla stacji końcowej.
PVID (Port VLAN Identifier) - Identyfikator sieci VLAN domyślnie przypisywany nietagowanemu ruchowi wpływającemu na dany port przełącznika.
CoS (Class of Service) - 3-bitowe pole (PCP) w nagłówku 802.1Q definiujące 8 klas priorytetu w warstwie 2.
DSCP (Differentiated Services Code Point) - 6-bitowe pole w nagłówku IP służące do zaawansowanej klasyfikacji jakości usług QoS.

Konfiguracja portu dostępowego w systemie Cisco IOS-XE wymaga przestrzegania rygorystycznych standardów utwardzania. Obok jawnego przypisania VLAN-u danych poleceniem switchport access vlan oraz VLAN-u głosu poleceniem switchport voice vlan, inżynier musi zablokować dynamiczną negocjację magistrali dyrektywą switchport nonegotiate.

W celu ochrony przed pętlami i optymalizacji czasu przełączania portu na interfejsach brzegowych wdraża się polecenia spanning-tree portfast edge oraz spanning-tree bpduguard enable. W przypadku obsługi aparatów VoIP kluczowe jest również wdrożenie makra auto qos voip cisco-phone chroniącego znaczniki QoS przed wyzerowaniem.

Poza podstawową deklaracją przynależności do sieci wirtualnej, bezpieczna konfiguracja portu dostępowego musi zawierać funkcję BPDU Guard w połączeniu z trybem PortFast (lub Edge Port). Mechanizmy te eliminują czas oczekiwania na przejście portu w stan przekazywania (Forwarding) dla urządzeń końcowych, a jednocześnie natychmiast blokują port (przełączają w stan err-disable) w momencie wykrycia nieautoryzowanego przełącznika rozsyłającego ramki BPDU drzewa rozpinającego Spanning Tree.

Skróty użyte w tym slajdzie:
CLI (Command Line Interface) - Tekstowy interfejs wiersza poleceń służący do konfiguracji i diagnostyki urządzeń sieciowych.
IOS (Internetwork Operating System) - System operacyjny urządzeń sieciowych firmy Cisco (oraz jego nowożytna wersja modułowa IOS-XE).
STP (Spanning Tree Protocol) - Protokół drzewa rozpinającego (IEEE 802.1D) eliminujący pętle w warstwie 2 poprzez blokowanie nadmiarowych portów.
DTP (Dynamic Trunking Protocol) - Własnościowy protokół Cisco automatycznie negocjujący stan magistrali trunk między przełącznikami.
BPDU (Bridge Protocol Data Unit) - Specjalne ramki kontrolne protokołu STP wymieniane pomiędzy przełącznikami w celu wyboru mostu głównego.

W środowisku z wieloma przełącznikami naturalną potrzebą jest obsługa wielu różnych sieci VLAN w różnych węzłach infrastruktury. Zastosowanie dedykowanego łącza fizycznego dla każdego oddzielnego VLAN-u prowadziłoby do błyskawicznego wyczerpania dostępnych portów i traktów światłowodowych.

Łączenie przełączników za pomocą dziesiątek równoległych kabli generuje ogromne koszty inwestycyjne, komplikuje topologię drzewa rozpinającego STP oraz drastycznie obniża niezawodność całej sieci kampusowej z uwagi na zwielokrotnienie punktów awarii.

Próba realizacji połączeń międzyprzełącznikowych metodą dedykowanych łączy dla każdego VLAN-u prowadzi do szybkiego wyczerpania dostępnych portów światłowodowych i miedzianych w punktach dystrybucyjnych. Ponadto zarządzanie taką plątaniną łączy fizycznych jest skrajnie podatne na błędy ludzkie przy krosowaniu. Wprowadzenie protokołu magistralnego pozwoliło zredukować liczbę fizycznych połączeń do redundantnej pary łączy zbiorczych o wysokiej przepustowości (np. 10G/25G/40G), na których ruch wielu podsieci jest logicznie multipleksowany.

Skróty użyte w tym slajdzie:
ISL (Inter-Switch Link) - Historyczny, własnościowy protokół Cisco tagowania ramek magistralnych zastąpiony standardem IEEE 802.1Q.
Trunk (Trunk Port) - Port magistralny przełącznika przesyłający ruch z wielu sieci VLAN za pomocą znaczników nagłówka 802.1Q.
SFP (Small Form-factor Pluggable) - Kompaktowy moduł nadawczo-odbiorczy instalowany w portach urządzeń sieciowych dla łączy 1 Gb/s.
DAC (Direct Attach Copper) - Kabel miedziany twinax ze zintegrowanymi końcówkami SFP+/QSFP służący do łączenia urządzeń w szafie rack.

Rozwiązaniem problemu transmisji wielu podsieci logicznych jest port magistralny (Trunk Port). Stanowi on łącze wielousługowe zdolne do jednoczesnego przesyłania ruchu dziesiątek lub setek różnych sieci VLAN za pośrednictwem pojedynczego łącza fizycznego lub wiązki agregowanej LAG.

Przełącznik nadawczy analizuje przynależność ramki i dodaje do niej specjalny nagłówek identyfikacyjny (tag). Przełącznik odbiorczy odczytuje identyfikator, usuwa znacznik i przekazuje oczyszczoną ramkę ethernetową wyłącznie do odpowiednich portów docelowych w danym VLAN-ie.

Port magistralny działa w sposób w pełni przezroczysty dla stacji końcowych. Ramka opuszczająca komputer nie posiada żadnego znacznika. Dopiero przełącznik dostępowy, wprowadzając ją na magistralę w kierunku warstwy dystrybucji, dodaje odpowiednią etykietę VLAN. Po dotarciu do przełącznika docelowego znacznik jest usuwany przed wysłaniem ramki przez port dostępowy do adresata. Dzięki temu urządzenia klienckie nie muszą posiadać kart sieciowych ani sterowników obsługujących protokoły tagowania.

Skróty użyte w tym slajdzie:
SFP+ (Enhanced Small Form-factor Pluggable) - Standard modułów optycznych i miedzianych o przepustowości 10 Gb/s.
LACP (Link Aggregation Control Protocol) - Otwarty standard agregacji łączy fizycznych (IEEE 802.1AX / 802.3ad) w logiczny interfejs wiązki Port-Channel.

Standard IEEE 802.1Q stanowi międzynarodowy, powszechnie akceptowany protokół znakowania ramek na łączach magistralnych. Wyparł on całkowicie historyczny, własnościowy protokół ISL (Inter-Switch Link) firmy Cisco, który charakteryzował się wysokim narzutem 30 bajtów enkapsulacji.

Zaletą standardu 802.1Q jest wewnętrzne wstawianie 4-bajtowego nagłówka tagu bezpośrednio w strukturę ramki Ethernet II (pomiędzy adresem MAC źródła a polem typu EtherType), co gwarantuje pełną interoperacyjność urządzeń sieciowych różnych producentów.

Wprowadzenie standardu IEEE 802.1Q w 1998 roku zakończyło erę zamkniętych protokołów własnościowych, takich jak Cisco ISL (Inter-Switch Link). ISL hermetyzował całą ramkę Ethernet w dodatkowy 26-bajtowy nagłówek i 4-bajtową sumę kontrolną FCS, co generowało znaczny narzut transmisyjny. W przeciwieństwie do niego, 802.1Q wstawia jedynie 4-bajtowy znacznik wewnątrz pierwotnej ramki i ponownie przelicza sprzętowo sumę kontrolną FCS (Frame Check Sequence), co zapewnia wysoką efektywność komutacji i kompatybilność między różnymi producentami sprzętu.

Rozwinięciem standardu IEEE 802.1Q w sieciach operatorskich oraz rozległych kampusach międzyuczelnianych jest technologia podwójnego tagowania ramek IEEE 802.1ad, powszechnie nazywana QinQ (lub VLAN Stacking). Mechanizm ten pozwala dostawcy usług na dodanie drugiego, zewnętrznego znacznika Service VLAN (S-VLAN z EtherType 0x88A8), wewnątrz którego przenoszony jest nienaruszony znacznik klienta Customer VLAN (C-VLAN z EtherType 0x8100). Dzięki temu uczelnia może przesyłać własne sieci wirtualne przez publiczną infrastrukturę miejską bez ryzyka kolizji przestrzeni adresowej VLAN.

Skróty użyte w tym slajdzie:
TCI (Tag Control Information) - 16-bitowe pole informacyjne znacznika 802.1Q składające się z pól PCP, DEI oraz VID.
PCP (Priority Code Point) - 3-bitowe pole w nagłówku 802.1Q określające priorytet ramki w ramach mechanizmów IEEE 802.1p CoS.
DEI (Drop Eligible Indicator) - 1-bitowe pole informujące o podatności ramki na odrzucenie w przypadku wystąpienia zatoru w buforach przełącznika.

Nagłówek IEEE 802.1Q o długości 4 bajtów (32 bity) składa się z dwóch kluczowych bloków: 16-bitowego identyfikatora TPID (o stałej wartości szesnastkowej 0x8100 identyfikującej ramkę tagowaną) oraz 16-bitowego pola kontrolnego TCI (Tag Control Information).

W skład pola TCI wchodzą: 3-bitowe pole PCP (Priority Code Point, definiujące 8 klas jakości usług według IEEE 802.1p), 1-bitowe pole DEI (Drop Eligible Indicator, oznaczające pakiety podatne na odrzucenie w razie zatorów) oraz 12-bitowe pole VID (VLAN Identifier) kodujące właściwy numer sieci wirtualnej.

Z punktu widzenia analizy pakietowej w programie Wireshark, wstawienie 4-bajtowego tagu pomiędzy pole Source MAC a pierwotne pole EtherType zmienia maksymalny rozmiar ramki Ethernet ze standardowych 1518 bajtów na 1522 bajty (tzw. baby giant frames). Współczesne przełączniki ethernetowe bez problemu akceptują te powiększone ramki w sprzętowych buforach MAC bez konieczności włączania obsługi ramek Jumbo, co gwarantuje bezstratne przekazywanie ruchu magistralnego.

Skróty użyte w tym slajdzie:
CRC (Cyclic Redundancy Check) - Algorytm kontrolny weryfikujący integralność ramki w polu FCS warstwy łącza danych.
FCS (Frame Check Sequence) - 4-bajtowe pole sumy kontrolnej umieszczane na końcu każdej ramki Ethernet do wykrywania błędów transmisji.

Dwanaście bitów pola VID pozwala na zakodowanie 4096 unikalnych identyfikatorów VLAN. Wartości skrajne 0 oraz 4095 są zarezerwowane przez standard i nie mogą być przydzielane użytkownikom (wartość 0 oznacza ramkę niosącą wyłącznie priorytet CoS bez tożsamości VLAN).

Przestrzeń identyfikatorów dzieli się na zakres standardowy (VLAN 1-1005, przechowywany w pamięci nieulotnej w pliku bazy vlan.dat) oraz zakres rozszerzony (VLAN 1006-4094, wykorzystywany w dużych środowiskach operatorskich i kampusowych, zapisywany w pliku running-config).

Warto zauważyć, że obsługa zakresu rozszerzonego (VLAN 1006-4094) wymagała historycznie w przełącznikach Cisco przełączenia protokołu VTP (VLAN Trunking Protocol) w tryb przezroczysty (Transparent) lub przejścia na nowszą wersję VTPv3. We współczesnych sieciach kampusowych dobrą praktyką inżynierską jest całkowite wyłączenie VTP lub pozostawienie go w trybie Transparent i definiowanie sieci wirtualnych lokalnie lub za pośrednictwem systemów automatyzacji (np. Ansible, Python Netmiko), co zapobiega przypadkowemu nadpisaniu bazy VLAN w całej domenie.

Skróty użyte w tym slajdzie:
VTP (VLAN Trunking Protocol) - Własnościowy protokół Cisco służący do automatycznej synchronizacji bazy danych VLAN w ramach wspólnej domeny.
MSTP (Multiple Spanning Tree Protocol) - Protokół (IEEE 802.1s) mapujący wiele instancji VLAN na zredukowaną liczbę drzew STP w celu oszczędzania CPU.
PVST+ (Per-VLAN Spanning Tree Plus) - Własnościowy protokół Cisco uruchamiający osobną instancję drzewa rozpinającego dla każdej sieci VLAN.
NVRAM (Non-Volatile Random-Access Memory) - Pamięć nieulotna przechowująca plik konfiguracji startowej (startup-config) przełącznika.
Flash (Flash Memory) - Pamięć półprzewodnikowa przechowująca obrazy systemu operacyjnego oraz bazę danych sieci VLAN (plik vlan.dat).

Koncepcja Native VLAN w standardzie IEEE 802.1Q określa wyznaczoną sieć wirtualną, której ramki są przesyłane przez magistralę trunk w postaci surowej, czyli bez wstawionego 4-bajtowego znacznika tagującego (Untagged Frames).

Mechanizm ten wprowadzono w celu zachowania wstecznej kompatybilności z urządzeniami nieobsługującymi standardu 802.1Q oraz dla bezproblemowej transmisji protokołów sterowania warstwy 2 (np. klasyczne ramki BPDU, pakiety CDP i LLDP). Domyślnie we wszystkich urządzeniach rolę Native VLAN pełni VLAN 1.

W środowiskach operatorskich i kampusowych protokoły warstwy kontrolnej, takie jak STP (Spanning Tree Protocol) czy CDP (Cisco Discovery Protocol), często korzystają z identyfikatora Native VLAN do wymiany informacji sygnalizacyjnych między bezpośrednio połączonymi węzłami. Niezgodność konfiguracji Native VLAN po obu stronach łącza magistralnego (tzw. Native VLAN Mismatch) prowadzi do natychmiastowego wygenerowania alarmów przez protokoły wykrywania błędów i może skutkować niekontrolowanym wyciekiem ruchu lub blokadą łącza przez mechanizm Type-Length-Value (TLV) w protokole PVST+.

Skróty użyte w tym slajdzie:
Untagged (Untagged Frame) - Ramka ethernetowa pozbawiona 4-bajtowego nagłówka IEEE 802.1Q przesyłana na łączu trunk w ramach Native VLAN.
CDP (Cisco Discovery Protocol) - Własnościowy protokół warstwy 2 służący do automatycznego wykrywania sąsiednich urządzeń Cisco.
LLDP (Link Layer Discovery Protocol) - Otwarty protokół wykrywania urządzeń sąsiednich w warstwie 2 zdefiniowany w normie IEEE 802.1AB.

Pozostawienie domyślnej konfiguracji Native VLAN (VLAN 1) na łączach magistralnych stanowi poważną lukę bezpieczeństwa. Niezgodność konfiguracji Native VLAN po obu stronach łącza (Native VLAN Mismatch) prowadzi do samorzutnego wycieku ruchu między różnymi podsieciami bez pośrednictwa routera.

Co więcej, przebywanie użytkownika w sieci Native VLAN magistrali umożliwia przeprowadzenie ataku Double Tagging. Z tego względu kanonem inżynierskim jest zmiana Native VLAN na dedykowany, nieprzypisany do żadnych portów roboczych numer (tzw. Blackhole / Dead VLAN, np. 999) oraz opcjonalne włączenie globalnego tagowania ruchu Native VLAN.

Standardowym zaleceniem utwardzania infrastruktury kampusowej jest dedykowanie nieużywanego identyfikatora VLAN (np. VLAN 999 o nazwie 'VLAN-Blackhole' lub 'VLAN-Dummy') jako Native VLAN na wszystkich magistralach trunk oraz wykluczenie go z listy dozwolonych sieci (dyrektywą switchport trunk allowed vlan remove). Dodatkowo na przełącznikach dystrybucyjnych i rdzeniowych rekomenduje się włączenie dyrektywy globalnej vlan dot1q tag native, która wymusza tagowanie bezwzględnie wszystkich ramek, eliminując podatność na ataki typu VLAN Hopping.

Skróty użyte w tym slajdzie:
DoS (Denial of Service) - Atak sieciowy mający na celu wyczerpanie zasobów i uniemożliwienie świadczenia usług uprawnionym użytkownikom.
Hopping (VLAN Hopping) - Wektor ataku polegający na przesyłaniu pakietów do innych sieci VLAN z pominięciem mechanizmów autoryzacji L3.
Blackhole (Blackhole VLAN) - Nieużywana, odizolowana sieć VLAN (np. VLAN 999), na którą kierowany jest niechciany lub nietagowany ruch.

Konfiguracja utwardzonej magistrali trunk w systemie Cisco IOS wymaga jawnego określenia dozwolonych sieci VLAN za pomocą dyrektywy switchport trunk allowed vlan (tzw. VLAN Pruning). Domyślnie port trunk przepuszcza pełen zakres VLAN 1-4094, rozgłaszając zbędny ruch po całym szkielecie.

Prawidłowy szablon konfiguracyjny obejmuje: switchport mode trunk, blokadę negocjacji switchport nonegotiate, przeniesienie ruchu nietagowanego switchport trunk native vlan 999 oraz ścisłą listę dozwolonych VLAN-ów roboczych.

Podstawową regułą higieny konfiguracyjnej na portach magistralnych jest bezwzględne wyłączenie protokołu DTP (Dynamic Trunking Protocol) poprzez polecenie switchport nonegotiate. Dynamiczna negocjacja trybu pracy portu stwarza poważne ryzyko bezpieczeństwa, gdyż intruz dysponujący oprogramowaniem generującym ramki DTP może wymusić zestawienie magistrali na porcie dostępowym. Do weryfikacji poprawności konfiguracji magistrali służy polecenie show interfaces trunk, które pozwala sprawdzić stan negocjacji, przypisany Native VLAN oraz listę sieci dozwolonych i aktywnych w drzewie STP.

Skróty użyte w tym slajdzie:
Encapsulation (VLAN Encapsulation) - Metoda dodawania nagłówka identyfikującego VLAN na porcie magistralnym (standard dot1q).
Pruning (VLAN Pruning) - Mechanizm ograniczania przesyłania zbędnego ruchu rozgłoszeniowego i multicastowego na łączach magistralnych.

Funkcja izolacji portów (Port Isolation / Private VLAN Edge / Protected Ports) to lekki mechanizm warstwy 2 zapobiegający bezpośredniej wymianie ruchu pomiędzy wyznaczonymi portami dostępowymi należącymi do tego samego numeru VLAN na pojedynczym przełączniku.

Port chroniony (Protected Port) nie może przesyłać żadnego ruchu (ani unicast, ani broadcast/multicast) do innego portu chronionego. Może komunikować się wyłącznie z portami niechronionymi (np. portem dosyłowym do routera). Ograniczeniem tej technologii jest jej lokalny zasięg - działa ona wyłącznie w obrębie jednego fizycznego przełącznika.

Chociaż funkcja izolacji portów (Protected Ports) jest niezwykle prosta we wdrożeniu i nie wymaga tworzenia dodatkowych podsieci IP, jej zasięg działania ogranicza się wyłącznie do lokalnego przełącznika fizycznego. Oznacza to, że dwa porty chronione na tym samym urządzeniu nie mogą się komunikować, ale stacja podłączona do portu chronionego na przełączniku A może swobodnie przesyłać ramki do stacji na porcie chronionym na przełączniku B, jeśli ruch przechodzi przez magistralę trunk. Ograniczenie to sprawia, że w rozległych kampusach rozwiązanie to ustępuje miejsca zaawansowanej architekturze Private VLAN.

Skróty użyte w tym slajdzie:
Port Isolation (Port Isolation / Private Port) - Funkcja warstwy 2 blokująca bezpośrednią komunikację pomiędzy wybranymi portami w tym samym VLAN-ie.
Protected Port (Protected Port) - Implementacja izolacji portów w przełącznikach Cisco uniemożliwiająca przekazywanie ramek między dwoma chronionymi portami.

Technologia Private VLAN (PVLAN) stanowi standaryzowane i skalowalne rozwinięcie idei izolacji portów na całą domenę przełączników kampusowych. Pozwala na partycjonowanie pojedynczej domeny rozgłoszeniowej i wspólnej podsieci IP na wyizolowane poddomeny L2.

Rozwiązanie to pozwala znacznie ograniczyć zużycie przestrzeni adresowej IPv4 (brak konieczności dzielenia sieci na małe podsieci /29 lub /30 dla każdego abonenta) przy zachowaniu stuprocentowej separacji ruchu stacji roboczych na poziomie sprzętowym.

Architektura Private VLAN rozwiązuje problem lokalności Protected Ports poprzez wprowadzenie logicznego powiązania pomiędzy nadrzędną siecią VLAN a wyspecjalizowanymi podsieciami drugorzędnymi (Secondary VLANs) na poziomie całej domeny przełączanej. Dzięki temu zasada izolacji hostów jest zachowana niezależnie od tego, czy stacje robocze są wpięte do tego samego przełącznika dostępowego, czy do różnych urządzeń w innych budynkach, o ile łącza magistralne przenoszą odpowiednio skojarzone identyfikatory pod-VLAN-ów.

Z punktu widzenia projektowania sprzętowego, obsługa Private VLAN wymaga wsparcia ze strony mikrokodu i pamięci TCAM przełącznika. Przełącznik nie może przekazywać ramek pomiędzy portami Isolated na podstawie samej tablicy MAC, lecz musi stosować dwupoziomowe reguły filtrujące: port wejściowy może przesłać ramkę do portu wyjściowego tylko wtedy, gdy para pod-VLAN-ów jest powiązana w tablicy asocjacji. W tańszych urządzeniach krawędziowych funkcja ta jest nieobecna, co wymusza stosowanie prostszej izolacji portów (Protected Ports) na poziomie pojedynczego przełącznika.

Skróty użyte w tym slajdzie:
Primary VLAN (VLAN główny) - Główny identyfikator sieci w architekturze PVLAN niosący ruch z portów typu promiscuous do wszystkich portów podrzędnych.
Secondary VLAN (VLAN pomocniczy) - Podrzędna sieć wirtualna (typu Isolated lub Community) stowarzyszona z nadrzędną Primary VLAN.
Community (Community VLAN) - Podsieć w architekturze PVLAN umożliwiająca komunikację między urządzeniami w danej grupie roboczej oraz z bramą domyślną.
Isolated (Isolated VLAN) - Podsieć w architekturze PVLAN całkowicie blokująca wzajemną komunikację pomiędzy podłączonymi do niej stacjami roboczymi.

Architektura Private VLAN opiera się na relacji pomiędzy nadrzędną siecią VLAN (Primary VLAN) a podrzędnymi sieciami wirtualnymi (Secondary VLANs). Z punktu widzenia warstwy 3 (routera, serwera DHCP, bramy SVI) cała infrastruktura funkcjonuje jako pojedynczy Primary VLAN z jedną podsiecią IP.

Wewnątrz warstwy 2 ruch jest jednak separowany za pomocą pod-VLAN-ów Secondary. Pakiety wchodzące portami abonenckimi są oznaczane identyfikatorami podrzędnymi, natomiast odpowiedź z bramy domyślnej jest anonsowana w VLAN-ie nadrzędnym.

Kluczowym elementem działania PVLAN jest to, że stacje końcowe nie mają świadomości funkcjonowania w pod-VLAN-ie. Z punktu widzenia konfiguracji protokołu IP wszystkie urządzenia (zarówno w sieci Isolated, jak i Community) otrzymują adresację z tej samej puli nadrzędnej (Primary VLAN) i współdzielą tę samą bramę domyślną. Mechanizm ten eliminuje konieczność marnotrawienia cennej przestrzeni adresowej na małe podsieci z dedykowanymi adresami sieciowymi i rozgłoszeniowymi dla odizolowanych hostów.

Skróty użyte w tym slajdzie:
Promiscuous (Promiscuous Port) - Port w architekturze PVLAN podłączony do routera, zapory sieciowej lub serwera, uprawniony do komunikacji ze wszystkimi portami.
Secondary (Secondary Association) - Logiczne powiązanie podrzędnych sieci Isolated i Community z głównym identyfikatorem Primary VLAN.

W architekturze PVLAN wyróżnia się dwa typy podrzędnych sieci VLAN (Secondary VLANs): Isolated VLAN oraz Community VLAN. Każda implementacja PVLAN może posiadać dokładnie jeden Isolated VLAN oraz wiele niezależnych sieci Community VLAN.

W sieci Isolated VLAN porty abonenckie są całkowicie odizolowane od siebie. Z kolei w ramach danego Community VLAN stacje mogą komunikować się swobodnie między sobą (np. w obrębie zespołu laboratoryjnego), lecz pozostają niewidoczne dla członków innych grup Community oraz portów Isolated.

W ramach jednej sieci Primary VLAN inżynier może zdefiniować dokładnie jedną podsieć Isolated VLAN oraz wiele niezależnych podsieci Community VLAN. Taki elastyczny podział idealnie sprawdza się w środowiskach mieszanych, gdzie część użytkowników wymaga całkowitej separacji (np. goście konferencyjni w sieci Isolated), podczas gdy inne grupy (np. zespoły laboratoryjne pracujące nad wspólnym projektem badawczym) potrzebują swobodnej wymiany danych w obrębie własnej podgrupy Community bez możliwości podglądania pracy innych zespołów.

Skróty użyte w tym slajdzie:
Broadcast Domain (Broadcast Domain) - Obszar logiczny sieci, w którym wszystkie urządzenia odbierają ramki rozgłoszeniowe wysłane przez dowolnego hosta.
Peer-to-Peer (Peer-to-Peer Isolation) - Całkowita blokada bezpośredniej wymiany danych pomiędzy urządzeniami abonenckimi w warstwie 2.

Port nadrzędny (Promiscuous Port) w architekturze Private VLAN to interfejs przeznaczony do podłączania urządzeń współdzielonych przez wszystkich użytkowników sieci, w szczególności routera domyślnego, interfejsu zapory ogniowej NGFW lub serwerów centralnych.

Port Promiscuous ma unikalne uprawnienie do dwukierunkowej komunikacji ze wszystkimi typami portów podrzędnych w danej domenie PVLAN: może nadawać i odbierać ramki zarówno do portów Isolated, jak i do dowolnych portów Community.

W topologii kampusowej port Promiscuous jest typowo konfigurowany na interfejsie łączącym przełącznik z bramą domyślną (routerem lub zaporą ogniową) bądź z kluczowymi serwerami infrastrukturalnymi, takimi jak DHCP i DNS. Dzięki asocjacji portu nadrzędnego z siecią Primary oraz wszystkimi sieciami Secondary, router odbiera pakiety ze wszystkich stacji, przetwarza je zgodnie z regułami routingu i zapory sieciowej, a następnie odsyła ruch zwrotny do odpowiedniego pod-VLAN-u za pośrednictwem tego samego portu Promiscuous.

Skróty użyte w tym slajdzie:
Default Gateway (Default Gateway) - Adres logiczny routera lub interfejsu SVI stanowiący węzeł wyjściowy dla ruchu kierowanego poza lokalną podsieć.
Firewall (Network Firewall) - Urządzenie zabezpieczające filtrujące przepływ pakietów pomiędzy segmentami na podstawie reguł polityki bezpieczeństwa.

Port izolowany (Isolated Port) to interfejs podrzędny PVLAN dedykowany do obsługi stacji klienckich wymagających maksymalnego poziomu ochrony i separacji. Pakiety nadane przez port Isolated mogą trafić wyłącznie do portu Promiscuous.

Jakakolwiek próba wysłania ramki do innego portu Isolated lub portu Community jest sprzętowo blokowana w układzie ASIC przełącznika. Eliminuje to całkowicie ryzyko podsłuchu pakietów, zatruwania tablic ARP oraz ataków typu Man-in-the-Middle pomiędzy sąsiadującymi stacjami.

Konfiguracja portu jako Isolated (switchport mode private-vlan host oraz przypisanie do odpowiedniej pary Primary-Isolated) wymusza sprzętową blokadę komutacji ramek w układzie ASIC przełącznika. Ramka przychodząca na port Isolated może zostać przekazana wyłącznie na port typu Promiscuous. Wszelki ruch skierowany do innego portu Isolated lub Community jest natychmiast odrzucany w warstwie 2, co uniemożliwia intruzowi skanowanie portów sąsiednich komputerów czy rozprzestrzenianie złośliwego oprogramowania w sieci akademickiej.

Skróty użyte w tym slajdzie:
Ingress (Ingress Traffic) - Ruch sieciowy wpływający na dany port przełącznika z urządzenia zewnętrznego.
Egress (Egress Traffic) - Ruch sieciowy opuszczający dany port przełącznika w kierunku urządzenia zewnętrznego.

Port grupy Community (Community Port) umożliwia utworzenie wyodrębnionej podgrupy roboczej wewnątrz architektury PVLAN. Urządzenia wpięte do portów powiązanych z tym samym numerem Community VLAN wymieniają ramki L2 bezpośrednio między sobą.

Jednocześnie zachowana jest pełna izolacja od innych grup Community oraz od portów Isolated. Wszystkie porty Community mają zagwarantowany dostęp do nadrzędnego portu Promiscuous, co umożliwia im korzystanie ze wspólnej bramy domyślnej do Internetu.

Porty typu Community łączą zalety izolacji i współpracy grupowej. Stacje przypisane do tej samej grupy Community mogą komunikować się bezpośrednio w warstwie 2 z pełną prędkością przełączania, co jest kluczowe np. przy lokalnej wymianie dużych zbiorów danych pomiarowych. Jednocześnie żaden pakiet nie może bezpośrednio dotrzeć do stacji w innej grupie Community ani w sieci Isolated bez pośrednictwa routera warstwy 3 podłączonego do portu Promiscuous, który egzekwuje reguły filtrowania ruchu.

Skróty użyte w tym slajdzie:
Workgroup (Workgroup) - Logiczna grupa użytkowników lub serwerów realizująca wspólne zadania i wymagająca bezpośredniej łączności L2.

Wdrożenie Private VLAN stanowi wzorcową praktykę projektową w sieciach domów studenckich i akademików kampusowych. W środowisku tym setki studentów podłączają prywatne laptopy, serwery i konsole do wspólnej infrastruktury sieciowej.

Zastosowanie pojedynczego VLAN-u z portami typu Isolated chroni stacje studentów przed bocznym rozprzestrzenianiem się złośliwego oprogramowania (robaki sieciowe, ransomware), skanowaniem portów oraz próbami przejęcia sesji przez nieuprawnionych współlokatorów.

Domy studenckie stanowią jedno z najbardziej wymagających środowisk pod względem bezpieczeństwa teleinformatycznego ze względu na setki prywatnych, niezarządzanych urządzeń (laptopów, smartfonów, konsol do gier i urządzeń IoT). Wdrożenie Private VLAN w konfiguracji Isolated eliminuje zjawisko nieautoryzowanego udostępniania zasobów, chroni przed podsłuchem pakietów rozgłoszeniowych oraz blokuje infekcje robakami sieciowymi penetrującymi lokalną podsieć, drastycznie redukując liczbę zgłoszeń awaryjnych trafiających do uczelnianego helpdesku.

Skróty użyte w tym slajdzie:
Dormitory (Student Dormitory Network) - Specyficzne środowisko sieci akademickiej charakteryzujące się dużą gęstością niezarządzanych urządzeń studenckich.
BYOD (Bring Your Own Device) - Model organizacyjny dopuszczający podłączanie prywatnych urządzeń użytkowników do infrastruktury sieciowej.
IoT (Internet of Things) - Kategoria urządzeń autonomicznych (sensory, drukarki, sterowniki) o ograniczonych mechanizmach obrony własnej.

W laboratoriach studenckich i ogólnodostępnych punktach informacyjnych (InfoKioski, biblioteki) technologia PVLAN eliminuje możliwość ingerencji użytkowników w sąsiednie stanowiska przy zachowaniu dostępu do serwerów wydziałowych i drukarek sieciowych.

Drukarki i serwery lokalne podłącza się do portów Promiscuous lub dedykowanych portów Community, co umożliwia wszystkim studentom zlecanie wydruków przy jednoczesnej wzajemnej niewidoczności komputerów studenckich.

W salach ćwiczeń komputerowych oraz bibliotecznych kioskach informacyjnych funkcja PVLAN zapewnia niezmienne środowisko operacyjne, uniemożliwiając studentom manipulowanie stacjami kolegów podczas zajęć lub egzaminów laboratoryjnych. Ruch dozwolony jest jedynie w kierunku serwera egzaminacyjnego i bramy sieciowej. Jeśli laboratorium wymaga okresowej pracy w podgrupach, administrator może dynamicznie przekonfigurować wybrane porty do podsieci Community, zachowując pełną kontrolę nad bezpieczeństwem pozostałych stanowisk dydaktycznych.

Skróty użyte w tym slajdzie:
Kiosk (Kiosk / Public Terminal) - Publicznie dostępna stacja robocza podlegająca maksymalnemu rygorowi izolacji sieciowej.
DAI (Dynamic ARP Inspection) - Funkcja bezpieczeństwa przełącznika weryfikująca poprawność pakietów ARP na podstawie bazy DHCP Snooping.
DHCP (Dynamic Host Configuration Protocol) - Protokół automatycznej konfiguracji parametrów sieciowych stacji roboczych (RFC 2131).

Integracja infrastruktury bezprzewodowej WLAN z przewodową siecią kampusową opiera się na elastycznym mapowaniu logicznym. Punkty dostępowe (Access Points) są podłączane do przełączników dostępowych najczęściej za pośrednictwem portów magistralnych (Trunk).

Pozwala to punktowi AP na obsługę wielu sieci wirtualnych i bezproblemowe tagowanie ruchu radiowego generowanego przez użytkowników powiązanych z odmiennymi profilami bezpieczeństwa i identyfikatorami sieci.

W środowiskach kampusowych punkty dostępowe łączą się zazwyczaj z portem przełącznika dostępowego skonfigurowanym jako magistrala trunk w standardzie 802.1Q. Pozwala to na tagowanie ruchu pochodzącego z różnych sieci bezprzewodowych już na poziomie punktu dostępowego AP lub hermetyzację ruchu w bezpieczny tunel CAPWAP (Control and Provisioning of Wireless Access Points) kierowany do centralnego kontrolera WLC. Wybór modelu zależy od skali kampusu, pojemności łączy dosyłowych oraz wymagań dotyczących roamingu użytkowników.

Skróty użyte w tym slajdzie:
AP (Access Point) - Punkt dostępowy zapewniający stacjom bezprzewodowym łączność radiową z siecią przewodową.
WLC (Wireless LAN Controller) - Centralny kontroler zarządzający konfiguracją, roamingiem i politykami bezpieczeństwa punktów dostępowych.
CAPWAP (Control and Provisioning of Wireless Access Points) - Protokół tunelowania (RFC 5415/5416) ruchu sterującego i danych pomiędzy AP a kontrolerem WLC.

Powszechnym modelem architektonicznym w kampusie jest jednoznaczne mapowanie rozgłaszanych identyfikatorów sieci bezprzewodowej (SSID) na dedykowane sieci VLAN w infrastrukturze przewodowej.

Przykładowo, federacyjna sieć eduroam jest powiązana z chronionym VLAN-em akademickim, sieć Kampus-Gość trafia do odizolowanego VLAN-u z portalem Captive Portal i bezpośrednim wyjściem do Internetu, a ukryte sieci automatyki kierowane są do odrębnych podsieci IoT.

Projektując sieć bezprzewodową, inżynier musi uwzględnić ograniczenia wydajnościowe pasma radiowego: anonsowanie zbyt dużej liczby identyfikatorów SSID (powyżej 3-4 na jedno radio) drastycznie obniża czas antenowy (Airtime) przez nadmiarowe ramki sygnalizacyjne Beacon. Z tego powodu powszechnie stosuje się integrację z IEEE 802.1X, gdzie pojedynczy rozgłaszany SSID (np. uczelniany 'eduroam') dynamicznie kieruje pracowników do VLAN-u kadry, a studentów do VLAN-u studenckiego, redukując narzut radiowy do minimum.

Skróty użyte w tym slajdzie:
SSID (Service Set Identifier) - Alfanumeryczna nazwa logiczna rozgłaszana przez sieć bezprzewodową identyfikująca dany profil dostępu.
BSSID (Basic Service Set Identifier) - Fizyczny adres MAC modułu radiowego punktu dostępowego dla konkretnej rozgłaszanej sieci SSID.
WPA3 (Wi-Fi Protected Access 3) - Współczesny standard bezpieczeństwa sieci bezprzewodowych wykorzystujący algorytm SAE i szyfrowanie GCMP-256.

Architektura WLAN w kampusie definiuje dwa podstawowe modele przekazywania ruchu: ruch centralny (Centralized Switching) oraz ruch lokalny (Local Switching / FlexConnect). W modelu centralnym cały ruch z punktów AP jest kapsułkowany w tunelach CAPWAP i transportowany do centralnego kontrolera WLC.

Z kolei w modelu Local Switching punkt dostępowy lokalnie zdejmuje nagłówek radiowy 802.11, przekształca go w ramkę Ethernet 802.3 i wstrzykuje bezpośrednio do odpowiedniego VLAN-u na lokalnym przełączniku warstwy dostępu, odciążając szkielet sieci.

Wybór pomiędzy tunelem centralnym (Central Switching) a komutacją lokalną (FlexConnect / Local Switching) to klasyczny dylemat inżynierski. Model centralny doskonale sprawdza się przy bezszwowym roamingu L3 i inspekcji ruchu na centralnych zaporach UTM, lecz tworzy wąskie gardło transmisyjne na kontrolerze WLC. Model lokalny z kolei odciąża szkielet sieci i pozwala na autonomiczne działanie sieci Wi-Fi w oddziałach zamiejscowych nawet w przypadku awarii łącza WAN do głównego centrum danych uczelni.

Skróty użyte w tym slajdzie:
Central Switching (Centralized / Tunnel Switching) - Architektura WLAN, w której cały ruch od klientów jest kapsułkowany w tunelu CAPWAP do kontrolera WLC.
Local Switching (Local / Distributed Switching) - Model pracy AP (np. FlexConnect), w którym pakiety klientów są mostkowane bezpośrednio do lokalnego przełącznika L2.
FlexConnect (Cisco FlexConnect) - Tryb pracy punktów dostępowych umożliwiający lokalne przełączanie ruchu w oddziałach przy zachowaniu centralnego zarządzania.

Właściwe zarządzanie infrastrukturą AP wymaga bezwzględnej separacji ruchu danych użytkowników od ruchu kontrolnego i administracyjnego punktów dostępowych. Punkty AP powinny pobierać adresy IP z dedykowanego VLAN-u zarządzania (AP Management VLAN).

Segment ten jest ściśle chroniony regułami zapór ogniowych, uniemożliwiając użytkownikom sieci Wi-Fi wysyłanie pakietów do interfejsów IP samych punktów dostępowych oraz próby przejęcia kontroli nad tunelami sterującymi CAPWAP.

Krytycznym aspektem bezpieczeństwa jest umieszczenie interfejsów zarządzających AP (Management IP) w ściśle izolowanym VLAN-ie administracyjnym (Out-of-Band lub dedykowanym VLAN-ie infrastruktury bezprzewodowej), całkowicie odciętym od dostępu dla studentów i gości. Punkty dostępowe nie powinny posiadać adresów IP w podsieciach użytkowników. Dodatkowo w tunelach CAPWAP stosuje się szyfrowanie warstwy kontrolnej i opcjonalnie danych za pomocą DTLS (Datagram Transport Layer Security), uniemożliwiając podsłuch ruchu szkieletowego.

Skróty użyte w tym slajdzie:
OOBM (Out-of-Band Management) - Dedykowana, odizolowana fizycznie lub logicznie sieć służąca wyłącznie do zarządzania urządzeniami infrastruktury.
Management VLAN (Management VLAN) - Sieć wirtualna przeznaczona wyłącznie dla interfejsów administracyjnych przełączników, routerów i punktów AP.
SNMPv3 (Simple Network Management Protocol version 3) - Bezpieczna wersja protokołu monitorowania urządzeń obsługująca szyfrowanie i uwierzytelnianie (RFC 3414).

Statyczne przypisywanie portów do sieci VLAN sprawdza się wyłącznie w przypadku urządzeń stacjonarnych o stałym przeznaczeniu. W nowoczesnym kampusie akademickim z tysiącami mobilnych użytkowników podejście to generuje ogromny narzut administracyjny.

Wymusza ono ręczną rekonfigurację portów przełącznika za każdym razem, gdy użytkownik zmienia salę lub podłącza inne urządzenie. Odpowiedzią na to wyzwanie jest wdrożenie dynamicznego przypisywania do sieci VLAN (Dynamic VLAN Assignment).

Statyczny przydział portów generuje znaczny koszt operacyjny (OPEX) w instytucjach o dużej rotacji personelu lub elastycznym modelu pracy. Prowadzi również do zjawiska tzw. 'VLAN Sprawl' oraz błędów konfiguracyjnych, gdy opuszczone gniazdo zachowuje wysokie uprawnienia dostępowe. Przejście na model dynamiczny przenosi reguły przyznawania uprawnień z poziomu fizycznego portu na poziom centralnej bazy tożsamości użytkowników, zapewniając spójność polityk bezpieczeństwa w całej infrastrukturze.

Skróty użyte w tym slajdzie:
Static VLAN (Static VLAN Assignment) - Ręczne i stałe przypisanie portu fizycznego przełącznika do określonego identyfikatora VLAN.
Dynamic VLAN (Dynamic VLAN Assignment) - Automatyczne przypisanie stacji roboczej do sieci VLAN na podstawie tożsamości użytkownika lub certyfikatu.
VMPS (VLAN Management Policy Server) - Przestarzały protokół Cisco automatycznie przypisujący sieci VLAN na podstawie bazy adresów MAC.

Wczesne implementacje dynamicznego przydziału VLAN opierały się na protokole VMPS (VLAN Management Policy Server) oraz adresach fizycznych kart sieciowych (MAC-based VLAN). Po wykryciu nowego adresu MAC przełącznik odpytywał bazę danych i konfigurował port.

Mechanizm ten jest współcześnie uważany za przestarzały i niebezpieczny ze względu na trywialną możliwość podszycia się pod dozwolony adres fizyczny (MAC Spoofing). Został całkowicie wyparty przez standard uwierzytelniania IEEE 802.1X.

Główną wadą rozwiązania opartego wyłącznie na adresach MAC (VMPS - VLAN Management Policy Server lub lokalne tablice MAC-to-VLAN) jest brak jakiegokolwiek mechanizmu kryptograficznego uwierzytelniania. Atakujący może w kilka sekund zmienić programowo adres MAC swojej karty sieciowej (MAC Spoofing) na adres drukarki sieciowej lub komputera administracji i natychmiast uzyskać dostęp do chronionego segmentu. Z tego względu mechanizm ten został całkowicie wyparty przez standard IEEE 802.1X.

Skróty użyte w tym slajdzie:
MAB (MAC Authentication Bypass) - Mechanizm dostępowy weryfikujący adres MAC urządzenia w bazie RADIUS dla sprzętu nieobsługującego suplikanta 802.1X.
VQP (VLAN Query Protocol) - Własnościowy protokół komunikacji pomiędzy klientem a serwerem bazy danych VMPS.

Architektura IEEE 802.1X realizuje uwierzytelnianie użytkownika przed przyznaniem mu jakiegokolwiek dostępu do zasobów sieciowych. Port przełącznika pozostaje w stanie zablokowanym (Unauthorized), przepuszczając wyłącznie ramki protokołu EAPoL (EAP over LAN).

Po pomyślnej weryfikacji tożsamości (np. za pomocą certyfikatu cyfrowego X.509 w metodzie EAP-TLS lub poświadczeń domenowych PEAP-MSCHAPv2) serwer uwierzytelniający przekazuje do przełącznika dyrektywę dynamicznego przestawienia portu do odpowiedniego VLAN-u.

W architekturze IEEE 802.1X przełącznik dostępowy pełni funkcję autentykatora (Authenticator), blokując wszelki ruch IP użytkownika (Supplicant) z wyjątkiem ramek EAPOL (EAP over LAN). Dopiero po wymianie komunikatów z serwerem uwierzytelniającym RADIUS i uzyskaniu odpowiedzi RADIUS Access-Accept, port przełącznika zostaje logicznie otwarty i w locie przestawiony do określonego VLAN-u wskazanego przez parametry tunelowania serwera.

Proces uwierzytelniania w standardzie IEEE 802.1X opiera się na ramkach EAPOL wymienianych pomiędzy stacją roboczą a portem przełącznika. W zależności od wymagań bezpieczeństwa stosuje się różne metody EAP: od lekkiego protokołu PEAP-MSCHAPv2 opartego na loginie i haśle domenowym, po najbardziej odporny protokół EAP-TLS wymagający certyfikatów kryptograficznych po obu stronach. Dopóki serwer RADIUS nie odeśle komunikatu Access-Accept, interfejs przełącznika znajduje się w stanie Unauthorized i filtruje każdy pakiet warstwy wyższej.

Skróty użyte w tym slajdzie:
EAP (Extensible Authentication Protocol) - Uniwersalny szkielet protokołu uwierzytelniania (RFC 3748) wykorzystywany w standardzie 802.1X.
EAP-TLS (EAP-Transport Layer Security) - Najbezpieczniejsza metoda uwierzytelniania 802.1X (RFC 5216) oparta na obustronnych certyfikatach X.509.
PEAP (Protected Extensible Authentication Protocol) - Protokół tworzący szyfrowany tunel TLS, wewnątrz którego następuje uwierzytelnienie użytkownika loginem i hasłem.
Supplicant (802.1X Supplicant) - Oprogramowanie klienckie zainstalowane na urządzeniu końcowym uczestniczące w procesie uwierzytelniania.
Authenticator (802.1X Authenticator) - Przełącznik dostępowy pośredniczący w wymianie komunikatów pomiędzy suplikantem a serwerem uwierzytelniającym.

Integracja standardu IEEE 802.1X z centralnym serwerem RADIUS (np. Cisco ISE, FreeRADIUS) bazuje na specyfikacjach IETF RFC 2868 oraz RFC 3580. W pakiecie akceptacji Access-Accept serwer przesyła trzy atrybuty RADIUS.

Atrybuty te obejmują: Tunnel-Type = 13 (VLAN), Tunnel-Medium-Type = 6 (802) oraz Tunnel-Private-Group-ID zawierający docelowy numer VID lub nazwę sieci VLAN. Zapewnia to pełną interoperacyjność urządzeń różnych producentów.

Standaryzacja atrybutów tunelowania w dokumencie IETF RFC 2868 gwarantuje interoperacyjność pomiędzy serwerami różnych producentów a przełącznikami sieciowymi w heterogenicznym kampusie. Pakiet Access-Accept zawiera trójkę atrybutów: Tunnel-Type (wartość 13 oznaczająca VLAN), Tunnel-Medium-Type (wartość 6 oznaczająca 802) oraz Tunnel-Private-Group-ID przechowujący numeryczny identyfikator VLAN lub jego symboliczną nazwę tekstową, co umożliwia przełącznikowi bezbłędne przypisanie interfejsu.

Skróty użyte w tym slajdzie:
Tunnel-Type (Tunnel-Type Attribute) - Atrybut RADIUS o numerze 64 definiujący typ tunelowania (wartość 13 oznacza VLAN).
Tunnel-Medium-Type (Tunnel-Medium-Type Attribute) - Atrybut RADIUS o numerze 65 określający rodzaj nośnika (wartość 6 oznacza IEEE 802).
Tunnel-Private-Group-ID (Tunnel-Private-Group-ID Attribute) - Atrybut RADIUS o numerze 81 przekazujący żądany identyfikator lub nazwę sieci VLAN.

Praktyczne wdrożenie dynamicznych VLAN-ów na uczelni pozwala na unifikację konfiguracji wszystkich gniazd sieciowych RJ-45 w salach dydaktycznych i audytoriach. Wszystkie porty mają identyczny, bazowy profil konfiguracyjny 802.1X.

Gdy do gniazda podłączy się student, serwer RADIUS przydziela mu VLAN studencki z dostępem do Internetu i systemów e-learningowych. Gdy w tym samym gnieździe autoryzuje się wykładowca, port jest automatycznie przełączany do chronionego VLAN-u pracowniczego.

Wdrożenie dynamicznych VLAN-ów w połączeniu z systemami klasy NAC (Network Access Control, np. Cisco ISE, PacketFence czy Aruba ClearPass) pozwala na egzekwowanie zaawansowanych polityk bezpieczeństwa kontekstowego. Serwer autoryzacyjny może uzależnić przydział sieci VLAN nie tylko od loginu studenta, lecz również od stanu bezpieczeństwa jego komputera (sprawdzenie aktualności systemu operacyjnego i programu antywirusowego - tzw. Posture Assessment), kierując niezabezpieczone stacje do odizolowanego VLAN-u kwarantanny.

Skróty użyte w tym slajdzie:
Eduroam (Education Roaming) - Międzynarodowa federacja bezpiecznego dostępu do sieci bezprzewodowych dla środowiska akademickiego.
LDAP (Lightweight Directory Access Protocol) - Protokół (RFC 4511) dostępu do centralnych baz usług katalogowych użytkowników.
Active Directory (Microsoft Active Directory) - Usługa katalogowa przechowująca tożsamości, grupy i uprawnienia użytkowników w środowisku korporacyjnym.
RBAC (Role-Based Access Control) - Model kontroli dostępu przydzielający uprawnienia sieciowe na podstawie pełnionej roli organizacyjnej.
ISE (Identity Services Engine) - Zaawansowana platforma kontroli dostępu firmy Cisco realizująca polityki NAC, RADIUS i TACACS+.

W nowoczesnych biurach korporacyjnych i kampusowych przestrzeniach typu Hot-Desking dynamiczne przypisywanie VLAN-ów eliminuje konieczność dedykowania fizycznych biurek dla konkretnych działów. Pracownik loguje się do sieci w dowolnym miejscu kampusu.

Co więcej, zaawansowane serwery polityk AAA mogą przydzielać użytkownika do odmiennych sieci VLAN w zależności od stanu bezpieczeństwa stacji końcowej (mechanizm Posture Assessment sprawdzający obecność aktualnego antywirusa i poprawek systemu operacyjnego).

W środowiskach typu Hot-Desking dynamiczne przypisywanie VLAN-ów eliminuje konieczność ręcznego przepinania kabli w szafach teleinformatycznych podczas rotacji pracowników między stanowiskami. Użytkownik logując się na dowolnym biurku w budynku, automatycznie otrzymuje dostęp do zasobów swojego działu, z zachowaniem właściwych reguł QoS dla połączeń wideo i telefonii softphone. Pozwala to na maksymalne wykorzystanie przestrzeni biurowej przy jednoczesnym zachowaniu ścisłej dyscypliny w warstwie bezpieczeństwa sieciowego.

Skróty użyte w tym slajdzie:
Hot-desking (Hot-desking / Clean Desk) - Model organizacji biura polegający na elastycznym korzystaniu ze współdzielonych stanowisk pracy.
NAC (Network Access Control) - System całościowej kontroli i weryfikacji tożsamości oraz stanu bezpieczeństwa urządzeń wpuszczanych do sieci.
dACL (Downloadable Access Control List) - Dynamicznie pobierana z serwera RADIUS lista ACL aplikowana bezpośrednio na porcie użytkownika.
CoA (Change of Authorization) - Mechanizm protokołu RADIUS (RFC 5176) umożliwiający natychmiastową zmianę atrybutów aktywnej sesji klienta.
Zero Trust (Zero Trust Architecture) - Model bezpieczeństwa sieciowego oparty na zasadzie braku domyślnego zaufania (NIST SP 800-207).

Skuteczna izolacja warstwy 2 wymusza konieczność wdrożenia mechanizmów kontrolowanej wymiany informacji pomiędzy wybranymi sieciami VLAN. Ruch pomiędzy stacjami roboczymi a serwerami plików lub bramą internetową wymaga realizacji funkcji routingu międzypodsieciowego (Inter-VLAN Routing).

Z punktu widzenia warstwy sieciowej każda wirtualna sieć VLAN stanowi odrębną podsieć IP z własnym prefiksem adresowym i dedykowanym adresem bramy domyślnej (Default Gateway).

Wprowadzenie segmentacji VLAN bez jednoczesnego wdrożenia wydajnego routingu między-VLAN sparaliżowałoby funkcjonowanie instytucji, uniemożliwiając stacjom dostęp do wspólnych zasobów kampusowych: serwerów pocztowych, baz danych, platform e-learningowych oraz bramy do sieci Internet. Zadaniem inżyniera sieciowego jest zaprojektowanie takiego mechanizmu trasowania, który zapewni minimalne opóźnienia pakietów (latency) przy jednoczesnym zachowaniu pełnej kontroli przepływu na zaporach sieciowych.

Skróty użyte w tym slajdzie:
Inter-VLAN (Inter-VLAN Routing) - Proces przesyłania pakietów pomiędzy odrębnymi sieciami wirtualnymi za pośrednictwem urządzenia warstwy 3.
Gateway (Default Gateway Router) - Węzeł pośredniczący odpowiadający na zapytania ARP dla adresów docelowych leżących poza siecią lokalną.

Historyczna metoda realizacji routingu między-VLAN polegała na podłączeniu zewnętrznego routera do przełącznika za pomocą wielu niezależnych kabli fizycznych - po jednym interfejsie ethernetowym dla każdego obsługiwanego VLAN-u.

Podejście to charakteryzowało się skrajną nieefektywnością ekonomiczną i techniczną. Wraz ze wzrostem liczby podsieci w kampusie konieczne było instalowanie dodatkowych kart sieciowych w routerze, co szybko doprowadziło do porzucenia tej koncepcji.

Klasyczne podejście z dedykowanymi interfejsami routera dla każdego VLAN-u szybko natrafiło na barierę skalowalności fizycznej. Typowy router brzegowy dysponował zaledwie kilkoma portami ethernetowymi, a każdy dodatkowy moduł interfejsowy wiązał się z bardzo wysokimi kosztami zakupu. Ponadto w przypadku konieczności wydzielenia kilkunastu lub kilkudziesięciu sieci wirtualnych, fizyczne doprowadzenie takiej liczby kabli do jednego routera stawało się niemożliwe z przyczyn przestrzennych i konstrukcyjnych.

Skróty użyte w tym slajdzie:
Legacy Routing (Legacy Multi-Interface Routing) - Klasyczna metoda routingu między-VLAN wymagająca dedykowanego interfejsu fizycznego dla każdej podsieci.
Subnet (IP Subnet) - Logiczna podsieć IP wydzielona z większej przestrzeni adresowej za pomocą maski podsieci.

Ewolucją klasycznego podejścia stała się metoda Router-on-a-Stick (ROAS). W architekturze tej zewnętrzny router jest połączony z przełącznikiem za pomocą pojedynczego, fizycznego łącza magistralnego (Trunk) pracującego w standardzie IEEE 802.1Q.

Pojedynczy fizyczny interfejs routera zostaje logicznie podzielony na wirtualne podinterfejsy (Subinterfaces). Każdy podinterfejs odpowiada za terminację określonego identyfikatora VLAN i pełni rolę bramy domyślnej dla danej podsieci.

Metoda Router-on-a-Stick stanowiła krok milowy w kierunku oszczędności portów fizycznych i uproszczenia okablowania. Zamiast wielu kabli zastosowano pojedyncze łącze magistralne 802.1Q wpięte do interfejsu gigabitowego routera. Na routerze tworzy się logiczne subinterfejsy (np. GigabitEthernet0/0.10, GigabitEthernet0/0.20), z których każdy posiada własny adres IP pełniący funkcję bramy domyślnej dla danej podsieci i dokonuje dehermetyzacji oraz ponownego tagowania pakietów w locie.

Skróty użyte w tym slajdzie:
Subinterface (Logical Subinterface) - Wirtualny podinterfejs tworzony na fizycznym porcie routera skojarzony z konkretnym znacznikiem 802.1Q.

Konfiguracja metody Router-on-a-Stick w systemie Cisco IOS polega na aktywacji interfejsu głównego poleceniem no shutdown (bez przypisywania mu adresu IP) oraz utworzeniu logicznych podinterfejsów, np. GigabitEthernet0/0.10.

Na każdym podinterfejsie inżynier definiuje powiązanie ze znacznikiem VLAN za pomocą dyrektywy encapsulation dot1q <VID> oraz przypisuje właściwy logiczny adres IP bramy podsieci dyrektywą ip address.

Warto zwrócić uwagę na kolejność poleceń w systemie Cisco IOS: próba przypisania adresu IP (ip address) przed zdefiniowaniem typu enkapsulacji (encapsulation dot1q vlan-id) zakończy się komunikatem błędu. Router musi najpierw dowiedzieć się, który znacznik 802.1Q ma obsługiwać dany interfejs logiczny, aby poprawnie skonstruować wewnętrzne struktury buforowania i filtrowania ramek. Błędem często popełnianym przez początkujących inżynierów jest również zapomnienie o administracyjnym włączeniu (no shutdown) nadrzędnego interfejsu fizycznego.

Skróty użyte w tym slajdzie:
Dot1Q (IEEE 802.1Q Encapsulation) - Polecenie konfiguracyjne określające typ enkapsulacji ramek magistralnych na podinterfejsie routera.

Mimo prostoty konfiguracyjnej architektura Router-on-a-Stick ma krytyczne wady inżynierskie. Zjawisko jednorękiego routera (One-Armed Router / Hairpinning) polega na tym, że cały ruch między-VLAN musi dwukrotnie pokonać to samo łącze fizyczne (w górę do routera i z powrotem w dół do przełącznika).

Powoduje to spadek efektywnej przepustowości magistrali o 50% (łącze 1 Gb/s obsłuży maksymalnie 500 Mb/s ruchu), zwielokrotnienie opóźnień pakietów RTT oraz obciążenie procesora routera, co dyskwalifikuje ROAS w rdzeniu i dystrybucji sieci kampusowej.

Oprócz ograniczenia pasma magistrali (tzw. zjawisko 'hairpinning' lub 'one-armed router', w którym ruch wchodzi i wychodzi tym samym fizycznym kablem), metoda ta wprowadza istotne opóźnienia spowodowane programową obróbką pakietów w procesorze CPU routera. W dużych sieciach kampusowych, gdzie wymiana danych między laboratoriami i serwerami generuje przepływy rzędu kilkudziesięciu gigabitów na sekundę, router zewnętrzny natychmiast ulega przeciążeniu buforów i zaczyna gubić pakiety, co dyskwalifikuje to rozwiązanie ze szkieletu sieci.

Skróty użyte w tym slajdzie:
Hairpinning (Hairpinning / One-Armed Routing) - Niekorzystne zjawisko przesyłania pakietów tam i z powrotem przez to samo łącze transmisyjne.
Throughput (Network Throughput) - Rzeczywista przepustowość mierzona w jednostkach bitów na sekundę na danym łączu sieciowym.
RTT (Round Trip Time) - Czas potrzebny na przesłanie pakietu od nadawcy do odbiorcy i powrót potwierdzenia.

Współczesnym standardem projektowania sieci kampusowych jest routing realizowany bezpośrednio na przełącznikach wielowarstwowych warstwy 3 (Multilayer Switches - MLS). Urządzenia te integrują w jednej obudowie funkcje szybkiego przełączania L2 oraz routingu L3.

Przekazywanie pakietów pomiędzy sieciami VLAN odbywa się wewnątrz matrycy przełączającej za pośrednictwem dedykowanych układów ASIC, co pozwala na osiągnięcie gigabitowych i multigigabitowych przepustowości routingu przy opóźnieniach rzędu mikrosekund.

Przełączniki wielowarstwowe (Multilayer Switches - MLS) łączą zalety komutacji ramkowej w warstwie 2 z pełną funkcjonalnością routera warstwy 3. Zastosowanie dedykowanych układów scalonych ASIC (Application-Specific Integrated Circuit) pozwala na jednoczesne podejmowanie decyzji o trasowaniu pakietu IP, przepisywaniu nagłówków Ethernet (zmniejszenie TTL, zmiana docelowego adresu MAC) oraz weryfikacji list ACL z pełną przepustowością portów (line-rate), eliminując opóźnienia i wąskie gardła transmisyjne.

W przełącznikach wielowarstwowych operacja routingu jest w całości zintegrowana z procesem komutacji w tzw. jednocyklowej ścieżce przetwarzania (One-Pass Forwarding). Oznacza to, że układ ASIC w trakcie odczytywania nagłówka ramki jednocześnie weryfikuje adres docelowy IP w tablicy FIB, odczytuje nowy docelowy adres MAC z tablicy Adjacency, zmniejsza licznik TTL, przelicza sumę kontrolną nagłówka IP i kieruje pakiet do bufora portu wyjściowego bez angażowania jednostki centralnej procesora.

Skróty użyte w tym slajdzie:
MLS (Multilayer Switch) - Przełącznik wielowarstwowy realizujący przełączanie ramek L2 oraz routing pakietów L3 z prędkością sprzętową.
Line-rate (Line-rate Forwarding) - Zdolność urządzenia do przetwarzania i przekazywania ruchu bez utraty pakietów przy maksymalnym nasyceniu portów.

Podstawowym elementem routingu na przełącznikach warstwy 3 jest wirtualny interfejs przełącznika - Switched Virtual Interface (SVI). Stanowi on logiczny interfejs warstwy 3 powiązany bezpośrednio z określonym numerem VLAN wewnątrz przełącznika.

Interfejs SVI funkcjonuje w strukturze przełącznika dokładnie tak samo jak fizyczny interfejs routera: ma własny adres IP, maskę podsieci, uczestniczy w procesach routingu IGP oraz stanowi bramę domyślną dla wszystkich stacji roboczych podłączonych do danego VLAN-u.

Interfejs SVI stanowi logiczny punkt styku pomiędzy domeną przełączaną warstwy 2 (określonym VLAN-em) a silnikiem routingu warstwy 3 wewnątrz przełącznika wielowarstwowego. Dla stacji roboczych podłączonych do portów dostępowych tego VLAN-u, adres IP przypisany do interfejsu SVI jest domyślną bramą sieciową (Default Gateway). Ponadto na interfejsach SVI inżynier może aktywować mechanizmy redundancji bramy, takie jak protokoły HSRP, VRRP czy GLBP, zapewniając bezprzerwowe przełączanie ruchu w przypadku awarii jednego z przełączników dystrybucyjnych.

Skróty użyte w tym slajdzie:
Autostate (SVI Autostate Feature) - Algorytm przełącznika ustalający stan operacyjny interfejsu SVI na podstawie dostępności portów w danym VLAN-ie.
SVI Exclude (Switchport Autostate Exclude) - Dyrektywa wyłączająca wybrany port fizyczny z algorytmu sprawdzania dostępności interfejsu SVI.

Stan operacyjny interfejsu SVI podlega tzw. regule Autostate: interfejs przechodzi w stan up/up tylko wtedy, gdy w danym VLAN-ie przynajmniej jeden port fizyczny znajduje się w stanie przekazywania (Spanning Tree Forwarding).

Kluczową praktyką inżynierską jest stosowanie dyrektywy switchport autostate exclude na portach dedykowanych do monitoringu (docelowe porty SPAN) oraz portach serwisowych, aby zapobiec sztucznemu podtrzymywaniu stanu up interfejsu SVI po utracie łączności przez właściwe stacje robocze.

Praktycznym wyzwaniem przy wdrażaniu interfejsów SVI jest eliminacja niepożądanych zmian stanu łącza (flapping) wywoływanych przez awarie pojedynczych portów brzegowych. Zastosowanie komendy switchport autostate exclude na portach monitorujących, łączach do serwerów testowych lub analizatorów ruchu zapobiega fałszywemu przechodzeniu interfejsu SVI w stan 'down'. Pozwala to utrzymać stabilność tablic routingu protokołów dynamicznych (takich jak OSPF czy EIGRP) anonsujących podsieć w szkieletowej warstwie kampusu.

Skróty użyte w tym slajdzie:
HSRP (Hot Standby Router Protocol) - Własnościowy protokół Cisco zapewniający redundancję bramy domyślnej w warstwie 3.
VRRP (Virtual Router Redundancy Protocol) - Otwarty protokół redundancji bramy domyślnej zdefiniowany w dokumencie IETF RFC 5798.
OSPF (Open Shortest Path First) - Wewnętrzny protokół routingu dynamicznego stanu łącza (RFC 2328) powszechnie stosowany w kampusach.

Przełącznik wielowarstwowy L3 oferuje dwa rodzaje portów: porty przełączane (Switched Ports) oraz porty trasowane (Routed Ports). Domyślnie wszystkie porty pracują w trybie przełączania L2 (jako Access lub Trunk).

Wydanie dyrektywy no switchport przekształca interfejs w port trasowany L3. Port taki zostaje odpięty od procesów STP i bazy VLAN, umożliwiając bezpośrednie przypisanie adresu IP i budowę dedykowanych magistral tranzytowych Point-to-Point (/30 lub /31) w stronę rdzenia sieci.

Wybór pomiędzy portami magistralnymi z interfejsami SVI a czystymi portami trasowanymi (Routed Ports) definiuje architekturę całego kampusu. Nowoczesny model 'Routed Access' zakłada przeniesienie granicy warstwy 3 bezpośrednio do przełączników dostępowych w szafach piętrowych, eliminując protokół Spanning Tree (STP) na łączach dosyłowych do dystrybucji i zastępując go natywnym równoważeniem obciążenia ECMP (Equal-Cost Multi-Path) w warstwie IP. Podejście to radykalnie upraszcza diagnostykę sieci i skraca czas konwergencji po awarii łącza do kilkudziesięciu milisekund.

Skróty użyte w tym slajdzie:
Switchport (Switchport Command) - Dyrektywa CLI przełączająca port fizyczny w tryb pracy przełączania ramek warstwy 2.
Routed Port (No Switchport) - Port fizyczny przełącznika L3 skonfigurowany bezpośrednio z adresem IP działający jako port routera.
Point-to-Point (Point-to-Point Link) - Dedykowane łącze punkt-punkt łączące dwa urządzenia warstwy 3 (zazwyczaj podsieć /30 lub /31).
IGP (Interior Gateway Protocol) - Protokół routingu dynamicznego działający wewnątrz pojedynczego systemu autonomicznego (np. OSPF, IS-IS).

Wysoka wydajność przełączników wielowarstwowych wynika ze sprzętowej realizacji routingu w technologii Cisco Express Forwarding (CEF). Tradycyjny proces programowego przeszukiwania tablicy routingu (RIB) przez procesor został zastąpiony dwiema strukturami sprzętowymi.

Tablica FIB (Forwarding Information Base) oraz tablica sąsiedztwa Adjacency Table są wgrywane bezpośrednio do ultraszybkiej pamięci asocjacyjnej TCAM (Ternary Content Addressable Memory), co pozwala przełącznikowi na podjęcie decyzji o przekazaniu pakietu w pojedynczym cyklu zegara.

Architektura CEF rozdziela płaszczyznę sterowania (Control Plane), zarządzaną przez procesor główny przełącznika, od płaszczyzny danych (Data Plane), realizowanej w wyspecjalizowanych układach ASIC. Tablica FIB zawiera wstępnie skompilowane prefiksy sieciowe, a tablica Adjacency przechowuje gotowe nagłówki warstwy 2 dla kolejnych przeskoków (Next-Hop). Równolegle pamięć asocjacyjna TCAM (Ternary Content-Addressable Memory) umożliwia przeszukiwanie list kontroli dostępu ACL oraz reguł QoS w dokładnie jednym cyklu zegarowym, niezależnie od liczby zdefiniowanych wpisów filtrujących.

Skróty użyte w tym slajdzie:
CEF (Cisco Express Forwarding) - Mechanizm sprzętowego przekazywania pakietów L3 oparty na tablicy FIB i tablicy sąsiedztwa (Adjacency).
FIB (Forwarding Information Base) - Sprzętowa tablica przekazywania pakietów generowana z tablicy routingu IP zoptymalizowana pod kątem szybkiego wyszukiwania.
Adjacency Table (Adjacency Table) - Tablica sąsiedztwa przechowująca gotowe nagłówki warstwy 2 (MAC docelowy) dla kolejnych skoków pakietu.
TCAM (Ternary Content Addressable Memory) - Wyspecjalizowana pamięć sprzętowa przełączników L3 umożliwiająca błyskawiczne przeszukiwanie tablic routingu, ACL i QoS.

Prawidłowe zaprojektowanie planu numeracji VLAN i powiązanej adresacji IP decyduje o skalowalności całego kampusu. Najlepszą praktyką inżynierską jest zachowanie bezpośredniej, czytelnej korelacji pomiędzy numerem identyfikatora VID a trzecim oktetem podsieci IPv4.

Przykładowo, w podsieci 10.20.0.0/16 identyfikator VLAN 10 mapuje się na podsieć 10.20.10.0/24 (studenci), VLAN 20 na 10.20.20.0/24 (pracownicy), a VLAN 30 na 10.20.30.0/24 (telefonia VoIP). Ułatwia to diagnostykę i pozwala na agregację tras (Route Summarization).

Wzorcowy plan adresacji zakłada ścisłą korelację pomiędzy numerem budynku, kondygnacją, identyfikatorem VLAN a oktetami adresów IP. Przykładowo w schemacie 10.B.V.0/24 oktet B koduje numer budynku (np. budynek A = 10, budynek B = 20), a oktet V odzwierciedla funkcję i numer VLAN (np. VLAN 10 dla komputerów pracowników, VLAN 20 dla laboratoriów, VLAN 30 dla sieci Wi-Fi, VLAN 99 dla zarządzania). Taka struktura ułatwia administratorom natychmiastową identyfikację źródła problemu w logach sieciowych i pozwala na bezbłędne stosowanie agregacji tras (Route Summarization).

Skróty użyte w tym slajdzie:
CIDR (Classless Inter-Domain Routing) - Bezklasowy system adresacji IP (RFC 4632) eliminujący sztywny podział na klasy adresowe A, B, C.

Jedną z najważniejszych reguł projektowych nowoczesnego kampusu jest zasada lokalności warstwy 2 (Local VLAN Principle). Należy bezwzględnie unikać tzw. rozciągania sieci VLAN (VLAN Spanning) pomiędzy odległymi budynkami za pośrednictwem magistral światłowodowych.

Każdy budynek powinien posiadać własne, lokalne instancje sieci VLAN terminowane na przełącznikach dystrybucyjnych L3 danego obiektu. Transmisja między budynkami musi odbywać się wyłącznie z użyciem routingu L3 i technologii ECMP, co izoluje awarie i eliminuje pętle STP.

Rozciąganie sieci VLAN warstwy 2 pomiędzy różnymi budynkami kampusu (tzw. 'Spanned VLANs') to jeden z najpoważniejszych błędów projektowych w inżynierii sieciowej. Skutkuje ono powstaniem olbrzymiej, niestabilnej domeny Spanning Tree, w której awaria pojedynczego kabla międzybudynkowego lub błąd mostkowania paraliżuje pracę wielu obiektów jednocześnie. Zgodnie z wytycznymi Cisco CVD każda sieć VLAN powinna być ograniczona do pojedynczego budynku (lub nawet pojedynczej szafy dystrybucyjnej), a komunikacja międzyobiektowa musi odbywać się wyłącznie za pośrednictwem routingu warstwy 3.

Wzorcowa architektura kampusowa Cisco Routed Access całkowicie eliminuje konieczność uruchamiania protokołów drzewa rozpinającego (STP/RSTP) na łączach magistralnych pomiędzy szafami dystrybucyjnymi a węzłami rdzeniowymi. Każdy przełącznik dostępowy staje się węzłem routingu OSPF lub EIGRP, anonsującym jedynie lokalne podsieci przypisane do swoich portów. W przypadku przecięcia światłowodu konwergencja sieci zachodzi w czasie rzędu milisekund dzięki technologii BFD (Bidirectional Forwarding Detection) i natywnemu trasowaniu IP.

Skróty użyte w tym slajdzie:
Failure Domain (Failure Domain) - Obszar sieci bezpośrednio dotknięty skutkami awarii pojedynczego komponentu lub protokołu.
ECMP (Equal-Cost Multi-Path) - Mechanizm równomiernego rozkładania ruchu pomiędzy równorzędne ścieżki routingu o jednakowym koszcie.

Atak typu Switch Spoofing polega na podszyciu się stacji roboczej pod przełącznik sieciowy. Atakujący wykorzystuje oprogramowanie emulujące ramki protokołu DTP (np. Yersinia) i wysyła do przełącznika żądanie zestawienia magistrali trunk w trybie dynamic desirable.

Jeśli port przełącznika nie został zabezpieczony, następuje utworzenie magistrali, co daje intruzowi dostęp do wszystkich sieci VLAN doprowadzonych do danego urządzenia. Obroną jest bezwzględne wydanie polecenia switchport nonegotiate oraz jawne wymuszenie trybu access.

Skuteczną ochroną przed atakiem typu Switch Spoofing jest twarda konfiguracja każdego portu brzegowego. Porty przeznaczone dla stacji roboczych, drukarek czy punktów dostępowych muszą mieć bezwzględnie ustawiony statyczny tryb dostępowy (switchport mode access) oraz wyłączoną negocjację DTP (switchport nonegotiate). Administratorzy powinni również monitorować komunikaty syslog pod kątem prób negocjacji magistrali trunk z portów użytkowników, co pozwala na natychmiastowe wykrycie obecności nieautoryzowanych narzędzi hakerskich (np. pakietu Yersinia).

Skróty użyte w tym slajdzie:
Switch Spoofing (Switch Spoofing Attack) - Atak polegający na emulowaniu przez stację roboczą zachowania przełącznika i wymuszeniu magistrali trunk przez DTP.
Yersinia (Yersinia Network Tool) - Znane narzędzie do testów penetracyjnych analizujące podatności protokołów warstwy 2 (DTP, STP, CDP, DHCP).
Nonegotiate (Switchport Nonegotiate) - Polecenie trwale blokujące wysyłanie ramek negocjacyjnych DTP na interfejsie przełącznika.

Atak podwójnego tagowania (Double Tagging) wykorzystuje mechanizm Native VLAN na magistralach 802.1Q. Intruz wysyła spreparowaną ramkę zawierającą dwa nagłówki 802.1Q: zewnętrzny z numerem Native VLAN oraz wewnętrzny z numerem docelowej sieci ofiary.

Pierwszy przełącznik zdejmuje zewnętrzny tag (jako Native) i wysyła ramkę dalej magistralą; kolejny przełącznik odczytuje wewnętrzny tag i dostarcza pakiet do odizolowanego VLAN-u. Atak jest skuteczny tylko wtedy, gdy intruz nadaje w Native VLAN magistrali, a komunikacja ma charakter ściśle jednokierunkowy.

Mechanizm ataku Double Tagging opiera się na tym, że pierwszy przełącznik analizuje wyłącznie zewnętrzny znacznik 802.1Q. Jeśli znacznik ten odpowiada sieci Native VLAN portu magistralnego, przełącznik usuwa go przed wysłaniem ramki dalej bez wstawiania nowego tagu. Drugi przełącznik odbiera ramkę z zachowanym tagiem wewnętrznym i przekazuje ją do docelowego VLAN-u ofiary. Atak ten jest z natury jednokierunkowy, lecz pozwala intruzowi na wysyłanie złośliwych pakietów UDP lub zapytań DNS do chronionych serwerów. Pełne zabezpieczenie polega na całkowitym wycofaniu sieci Native VLAN z obsługi ruchu użytkowników.

Skróty użyte w tym slajdzie:
Double Tagging (802.1Q Double Tagging Attack) - Atak polegający na wstrzyknięciu ramki z dwoma nagłówkami 802.1Q w celu ominięcia segmentacji L2.
Stripping (VLAN Tag Stripping) - Operacja usunięcia zewnętrznego znacznika VLAN wykonywana przez przełącznik na łączu magistralnym dla Native VLAN.
One-way attack (One-Way Communication) - Charakterystyka ataku podwójnego tagowania uniemożliwiająca atakującemu odebranie ruchu zwrotnego.

Utwardzanie (Hardening) infrastruktury VLAN wymaga wdrożenia kompleksowego zestawu reguł konfiguracyjnych: eliminacji domyślnego VLAN 1 z transmisji użytkowników, przypisania martwego identyfikatora Native VLAN (np. 999), zablokowania protokołu DTP na wszystkich portach oraz stosowania list dozwolonych VLAN-ów.

Wszystkie nieużywane porty fizyczne przełącznika należy administracyjnie wyłączyć (shutdown) i przypisać do izolowanego Blackhole VLAN. Na portach brzegowych obligatoryjnie wdraża się funkcje portfast edge, bpduguard enable oraz ochronę priorytetów QoS telefonii VoIP.

Procedura utwardzania powinna zostać ujęta w formie standardowego szablonu konfiguracyjnego (Golden Configuration Template) wdrażanego automatycznie na każdym nowym urządzeniu w kampusie. Obejmuje ona: przypisanie wszystkich nieużywanych interfejsów do wyizolowanego VLAN-u 'Blackhole' i ich wyłączenie (shutdown), globalną aktywację protokołu RSTP/MSTP z funkcją Root Guard na portach dosyłowych oraz BPDU Guard i PortFast na portach dostępowych, wdrożenie DHCP Snooping i Dynamic ARP Inspection (DAI), a także zabezpieczenie konsoli zarządzania poprzez SSHv2, SNMPv3 i listy ACL dla interfejsów VTY.

Skróty użyte w tym slajdzie:
Hardening (Switch Port Hardening) - Zbiór procedur i konfiguracji mających na celu maksymalne zabezpieczenie portów przełącznika przed atakami L2.
Root Guard (STP Root Guard) - Mechanizm uniemożliwiający przejęcie roli mostu głównego STP przez nieautoryzowane urządzenie wpięte do portu.
BPDU Guard (STP BPDU Guard) - Funkcja natychmiastowo wyłączająca port (stan err-disable) po wykryciu nieoczekiwanej ramki BPDU.

Podsumowując, zintegrowana segmentacja sieci kampusowej opiera się na harmonijnej współpracy mechanizmów warstwy 2 i 3. Wirtualne sieci VLAN zapewniają kontrolę nad domenami rozgłoszeniowymi i podstawową separację zasobów.

Z kolei technologie Private VLAN, dynamiczna autoryzacja IEEE 802.1X/RADIUS oraz sprzętowy routing międzypodsieciowy na przełącznikach warstwy 3 z interfejsami SVI i portami trasowanymi tworzą bezpieczną, wysoce skalowalną i deterministyczną infrastrukturę teleinformatyczną.

Zrozumienie synergii pomiędzy przełączaniem warstwy 2 a routingiem warstwy 3 jest kluczowym warunkiem projektowania niezawodnych sieci kampusowych. Współczesny inżynier sieciowy nie traktuje sieci VLAN jako prostego narzędzia do 'cięcia kabli', lecz jako element wielowarstwowej strategii bezpieczeństwa i optymalizacji pasma transmisyjnego. Dojrzała architektura kampusowa minimalizuje zasięg domen rozgłoszeniowych, separuje ruch wrażliwy za pomocą mechanizmów Private VLAN i IEEE 802.1X oraz powierza zadanie routingu między-VLAN wyspecjalizowanym przełącznikom wielowarstwowym o architekturze sprzętowej CEF.

Skróty użyte w tym slajdzie:
Segmentation (Network Segmentation) - Dzielenie infrastruktury sieciowej na mniejsze odizolowane domeny w celu zwiększenia wydajności i bezpieczeństwa.

Wykład poświęcony sieciom VLAN, zaawansowanej segmentacji i routingowi między-VLAN zamyka blok zagadnień dotyczących strukturyzacji warstwy łącza danych. Kolejny moduł dydaktyczny przenosi punkt ciężkości na warstwę sieciową (L3).

Wykład 6 poświęcony będzie szczegółowym regułom planowania i implementacji adresacji logicznej IPv4 oraz IPv6 w sieci kampusowej, zaawansowanym technikom podsieciowania VLSM, agregacji tras (CIDR) oraz infrastrukturze usług sieciowych: DHCP, DNS i bezstanowej autokonfiguracji SLAAC.

Wykład 6 stanowi bezpośrednią kontynuację omawianych zagadnień, przenosząc punkt ciężkości z warstwy łącza danych na warstwę sieciową i aplikacyjną. Studenci poznają zasady wymiarowania przestrzeni adresowej z wykorzystaniem masek o zmiennej długości (VLSM), architekturę wdrożenia protokołu IPv6 w modelu Dual-Stack, a także mechanizmy automatycznej konfiguracji hostów (DHCPv4, DHCPv6, SLAAC) oraz fundamenty usług DNS w kampusie akademickim. Wiedza ta pozwoli na stworzenie kompletnego, działającego ekosystemu sieciowego od kabla aż po usługi użytkownika.

Skróty użyte w tym slajdzie:
IPv4 (Internet Protocol version 4) - Czwarta wersja protokołu internetowego wykorzystująca 32-bitowe adresowanie logiczne (RFC 791).
IPv6 (Internet Protocol version 6) - Szósta wersja protokołu internetowego z 128-bitową przestrzenią adresową i uproszczonym nagłówkiem (RFC 8200).
DNS (Domain Name System) - Hierarchiczny system nazewnictwa tłumaczący nazwy mnemoniczne domen na binarne adresy IP (RFC 1034/1035).
SLAAC (Stateless Address Autoconfiguration) - Mechanizm bezstanowej autokonfiguracji adresów IPv6 stacji klienckich (RFC 4862).