Fizyczna infrastruktura kablowa i przełączniki tworzą jedynie szkielet transmisyjny. Dopiero logiczny podział na wirtualne sieci lokalne (VLAN) oraz zdefiniowanie punktów wymiany ruchu w warstwie trzeciej (L3) nadaje sieci kampusowej pożądaną strukturę organizacyjną, funkcjonalną i bezpieczeństwa.

W nowoczesnym kampusie uniwersyteckim lub korporacyjnym niedopuszczalne jest łączenie wszystkich użytkowników, serwerów i urządzeń IoT do wspólnej domeny warstwy 2.

Skróty użyte w tym slajdzie:
VLAN – Virtual Local Area Network – wirtualna sieć lokalna (IEEE 802.1Q).
L2 / L3 – Layer 2 / Layer 3 – warstwa łącza danych oraz warstwa sieciowa modelu OSI.
SVI – Switched Virtual Interface – wirtualny interfejs przełącznika pełniący rolę bramy L3.
OSPF – Open Shortest Path First – protokół dynamicznego routingu stanu łącza.
IoT – Internet of Things – urządzenia internetu rzeczy.

Przed wprowadzeniem standardu IEEE 802.1Q na rynku dominował własnościowy protokół ISL (Inter-Switch Link) firmy Cisco, który enkapsulował całą ramkę Ethernet w 26-bajtowy dodatkowy nagłówek i 4-bajtową sumę kontrolną FCS.

Standard 802.1Q zrewolucjonizował rynek poprzez wprowadzenie koncepcji wewnętrznego tagowania (Internal Tagging) – wstawienia zaledwie 4 bajtów bezpośrednio do wnętrza oryginalnej ramki Ethernet bez tworzenia narzutu zewnętrznej enkapsulacji.

Skróty użyte w tym slajdzie:
IEEE – Institute of Electrical and Electronics Engineers – instytut inżynierów elektryków i elektroników.
RFC – Request for Comments – oficjalne specyfikacje techniczne internetu publikowane przez IETF.
ISL – Inter-Switch Link – historyczny protokół enkapsulacji magistralnej Cisco.
DHCP – Dynamic Host Configuration Protocol – protokół automatycznej konfiguracji sieci.
FCS – Frame Check Sequence – pole sumy kontrolnej ramki Ethernet.

Projektowanie logiczne sieci wymaga harmonijnego połączenia wiedzy z zakresu przełączania (warstwa 2) oraz routingu (warstwa 3). Właściwy dobór granic pomiędzy tymi warstwami decyduje o skalowalności sieci, szybkości konwergencji po awariach oraz odporności na ataki i błędy konfiguracji użytkowników.

W dalszej części spotkania przejdziemy krok po kroku od pojedynczego gniazda abonenckiego aż po rozległą domenę routingu OSPF łączącą dziesiątki budynków kampusu.

Skróty użyte w tym slajdzie:
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
Trunk – łącze magistralne przenoszące ruch wielu sieci VLAN.
SVI – Switched Virtual Interface – interfejs wirtualny przełącznika L3.
VLSM – Variable Length Subnet Masking – podsieci o zmiennej długości maski.
DR / BDR – Designated Router / Backup Designated Router – role routerów w segmencie OSPF.

W płaskiej sieci warstwy 2 z 2000 komputerów, sam ruch rozgłoszeniowy generowany przez systemy operacyjne (zapytania ARP, pakiety mDNS, NetBIOS, rozgłoszenia DHCP, SSDP) potrafi zająć od kilkunastu do kilkudziesięciu megabitów na sekundę ciągłego pasma.

Co gorsza, każda taka ramka wywołuje przerwanie sprzętowe (Hardware Interrupt) w karcie sieciowej każdego podłączonego komputera, zmuszając jego procesor CPU do analizy treści pakietu, co prowadzi do spadku responsywności stacji roboczych.

Skróty użyte w tym slajdzie:
L2 – Layer 2 – warstwa łącza danych modelu OSI.
ARP – Address Resolution Protocol – protokół mapowania adresów IP na adresy MAC.
QoS – Quality of Service – jakość i priorytetyzacja usług sieciowych.
mDNS – Multicast DNS – protokół bezkonfiguracyjnego rozwiązywania nazw w sieci lokalnej.
VoIP – Voice over IP – telefonia cyfrowa w sieci pakietowej.

W środowiskach wielotysięcznych kampusów niekontrolowany ruch rozgłoszeniowy staje się przyczyną zjawiska zwanego degradacją tła (Background Degradation). Użytkownicy skarżą się na powolne otwieranie stron internetowych i „przycinanie” połączeń głosowych, mimo że łącza optyczne nie są w pełni wysycone.

Podział sieci na wirtualne sieci lokalne VLAN zamyka ruch rozgłoszeniowy wewnątrz ściśle zdefiniowanych granic, uwalniając pozostałe segmenty kampusu od niepotrzebnego narzutu.

Skróty użyte w tym slajdzie:
NIC – Network Interface Card – karta interfejsu sieciowego.
CPU – Central Processing Unit – jednostka centralna procesora komputera.
LLMNR – Link-Local Multicast Name Resolution – protokół rozwiązywania nazw lokalnych.
SSDP – Simple Service Discovery Protocol – protokół wykrywania urządzeń UPnP.
IoT – Internet of Things – internet rzeczy.

Wprowadzenie technologii VLAN całkowicie zmieniło sposób projektowania sieci kampusowych. Przed erą VLAN-ów zmiana przynależności pracownika do innego działu wymagała fizycznego przepinania kabli w szafach krosowych lub instalowania osobnych przełączników dla każdej grupy użytkowników.

Dzięki sieciom VLAN administrator dokonuje rekonfiguracji przynależności użytkownika wyłącznie drogą programową – zmieniając numer VLAN przypisany do danego portu przełącznika z poziomu konsoli zarządzającej.

Skróty użyte w tym slajdzie:
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
OSI – Open Systems Interconnection – 7-warstwowy model odniesienia systemów otwartych.
L2 – Layer 2 – warstwa łącza danych odpowiadająca za ramki Ethernet.
L3 – Layer 3 – warstwa sieciowa odpowiadająca za routing pakietów IP.
CLI – Command Line Interface – interfejs linii poleceń.

Koncepcja Fault Containment jest jednym z najważniejszych filarów odporności nowoczesnej sieci kampusowej. W sieci pozbawionej segmentacji błąd ludzki w jednym laboratorium badawczym wywołuje efekt domina, kładąc całą sieć uniwersytecką.

Dzięki separacji VLAN skutki incydentu zostają natychmiast uwięzione w granicach danego segmentu, a inżynierowie mogą bezpiecznie zlokalizować i usunąć usterkę bez presji wynikającej z przestoju całej instytucji.

Skróty użyte w tym slajdzie:
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
QoS – Quality of Service – mechanizmy zapewniania jakości transmisji.
VoIP – Voice over IP – telefonia cyfrowa w sieci pakietowej.
ACL – Access Control List – listy kontroli dostępu filtrujące pakiety na zaporach i przełącznikach L3.
SLA – Service Level Agreement – gwarantowany poziom dostępności usług.

Wzorcowa polityka projektowa wymaga całkowitej separacji ruchu zarządzającego (Out-of-Band lub In-Band Management VLAN) od ruchu stacji użytkowników. Gdyby przełączniki posiadały adresy zarządzające w tym samym VLAN-ie co komputery studentów, każdy użytkownik mógłby próbować ataków brute-force na hasła SSH lub podsłuchiwać pakiety SNMP.

Zarządzanie urządzeniami powinno odbywać się wyłącznie z dedykowanych stacji administratorów (tzw. Jump Hosts lub Bastion Hosts) zlokalizowanych w wydzielonym VLAN-ie zarządzającym.

Skróty użyte w tym slajdzie:
VID – VLAN Identifier – 12-bitowy numer identyfikacyjny sieci VLAN (zakres 1–4094).
VoIP – Voice over IP – telefonia cyfrowa przesyłana przez sieć IP.
PDU – Power Distribution Unit – listwa zasilająca w szafie RACK.
SSH – Secure Shell – bezpieczny protokół zdalnego logowania do konsoli urządzenia.
SNMP – Simple Network Management Protocol – protokół monitoringu i zarządzania.

Dzięki pełnej przezroczystości portów dostępowych dla urządzeń końcowych, podłączenie nowego komputera do sieci kampusowej nie wymaga instalacji żadnych dodatkowych sterowników ani specjalistycznego oprogramowania.

To przełącznik warstwy dostępu ponosi pełną odpowiedzialność za zabezpieczenie ramki i pilnowanie, aby pakiet wprowadzony przez dany port fizyczny nie przedostał się do innej domeny VLAN bez autoryzacji przez router warstwy 3.

Skróty użyte w tym slajdzie:
Access Port – port dostępowy dedykowany dla pojedynczego urządzenia końcowego.
Untagged – ramka nietagowana nieposiadająca 4-bajtowego nagłówka 802.1Q.
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
MAC – Media Access Control – fizyczny adres karty sieciowej.
Voice VLAN – mechanizm umożliwiający dołączenie telefonu i PC do jednego portu fizycznego.

Weryfikację poprawności bazy sieci VLAN oraz przypisania portów przeprowadza się za pomocą polecenia show vlan brief. Polecenie to wyświetla zestawienie wszystkich aktywnych sieci VLAN, ich nazwy oraz listę portów fizycznych aktualnie przypisanych do poszczególnych segmentów.

Baza danych VLAN w przełącznikach Cisco przechowywana jest w pamięci Flash w dedykowanym pliku binarnym vlan.dat, niezależnie od pliku konfiguracji startowej startup-config.

Skróty użyte w tym slajdzie:
CLI – Command Line Interface – interfejs linii poleceń.
IOS – Internetwork Operating System – system operacyjny urządzeń sieciowych Cisco.
DTP – Dynamic Trunking Protocol – protokół automatycznej negocjacji magistral.
BPDU – Bridge Protocol Data Unit – ramka kontrolna drzewa rozpinającego STP.
PortFast – funkcja natychmiastowego aktywowania portu dla stacji końcowej.

Łącza magistralne stanowią krwioobieg każdej sieci kampusowej. To one łączą szafy dystrybucyjne kondygnacji (FD) z centralnymi węzłami budynkowymi (BD) oraz z głównym punktem dystrybucyjnym kampusu (CD).

Zdolność do przesłania ruchu setek sieci VLAN jednym wspólnym łączem światłowodowym pozwala na optymalne wykorzystanie zasobów okablowania pasywnego i redukuje liczbę wymaganych interfejsów w przełącznikach szkieletowych.

Skróty użyte w tym slajdzie:
Trunk – łącze magistralne w terminologii Cisco i standardzie IEEE.
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
FD – Floor Distributor – punkt dystrybucyjny kondygnacji.
BD – Building Distributor – punkt dystrybucyjny budynku.
CD – Campus Distributor – centralny punkt dystrybucyjny kampusu.

Wczesne przełączniki sieciowe projektowane przed rokiem 1998 traktowały ramki o rozmiarze 1522 bajtów jako uszkodzone (błąd typu Giant Frame) i bezwarunkowo je odrzucały. Doprowadziło to do nowelizacji normy IEEE 802.3ac, która oficjalnie powiększyła dopuszczalny rozmiar ramki Ethernet do 1522 bajtów.

Współczesne przełączniki kampusowe bez trudu obsługują ramki znakowane 802.1Q, a także ramki o powiększonym rozmiarze MTU (tzw. Jumbo Frames o rozmiarze 9000–9216 bajtów), stosowane powszechnie w sieciach pamięci masowych SAN i szkieletach DC.

Skróty użyte w tym slajdzie:
Dot1Q – potoczne określenie standardu IEEE 802.1Q.
FCS – Frame Check Sequence – pole sumy kontrolnej CRC na końcu ramki Ethernet.
CRC – Cyclic Redundancy Check – cykliczna kontrola nadmiarowa sprawdzająca bezbłędność transmisji.
MTU – Maximum Transmission Unit – maksymalny rozmiar jednostki danych przesyłanej w warstwie 2.
SAN – Storage Area Network – dedykowana sieć pamięci masowych.

Trzybitowe pole PCP (Priority Code Point) ma fundamentalne znaczenie dla inżynierii ruchu QoS w sieci kampusowej. Umożliwia ono przełącznikom warstwy dostępu natychmiastowe rozpoznanie ramek zawierających pakiety głosu telefonii VoIP (klasa CoS 5) i umieszczenie ich w priorytetowej kolejce sprzętowej (Strict Priority Queue).

Dzięki temu pakiety głosowe wyprzedzają zwykły ruch przeglądania stron i pobierania plików, eliminując zjawisko zrywania rozmów i nieprzyjemnych opóźnień.

Skróty użyte w tym slajdzie:
TPID – Tag Protocol Identifier – 16-bitowe pole o wartości 0x8100 identyfikujące obecność nagłówka IEEE 802.1Q.
TCI – Tag Control Information – 16-bitowe pole zawierające parametry priorytetu, flagę odrzucenia oraz identyfikator VLAN.
DEI – Drop Eligible Indicator – 1-bitowa flaga w nagłówku ramki wskazująca pakiety dopuszczone do odrzucenia w razie zatoru.
VID – VLAN Identifier – 12-bitowe pole określające przynależność ramki do jednej z 4094 sieci wirtualnych.

Niezgodność konfiguracji Native VLAN (Native VLAN Mismatch) jest natychmiast wykrywana przez protokół Cisco Discovery Protocol (CDP), który generuje cykliczne alarmy w logach systemowych: %CDP-4-NATIVE_VLAN_MISMATCH: Native VLAN mismatch discovered on GigabitEthernet1/0/24 (10), with Switch-Dist1 GigabitEthernet1/0/24 (20).

Co groźniejsze, w środowiskach z protokołem PVST+ rozbieżność natywnego VLAN-u prowadzi do zablokowania portów przez mechanizm Type-Inconsistency, aby zapobiec pętlom pomiędzy różnymi sieciami VLAN.

Skróty użyte w tym slajdzie:
Native VLAN – natywna sieć VLAN przesyłana bez tagu na magistrali 802.1Q.
CDP – Cisco Discovery Protocol – protokół wykrywania urządzeń sąsiednich.
PVST+ – Per-VLAN Spanning Tree Plus – protokół drzewa rozpinającego dla poszczególnych VLAN-ów.
Trunk – łącze magistralne wielo-VLAN.
Hub – koncentrator sieciowy warstwy 1 pracujący w domenie kolizyjnej.

Atak Double Tagging (podwójne tagowanie) opiera się na mechanizmie zdejmowania zewnętrznego tagu przez przełącznik w momencie przekazywania ramki do sieci Native VLAN. Jeżeli pakiet posiada drugi, wewnętrzny tag docelowego VLAN-u (np. VLAN 20), kolejny przełącznik w łańcuchu prześle ramkę bezpośrednio do ofiary bez przejścia przez router L3. Ma charakter jednokierunkowy, lecz wystarcza do przeprowadzenia niszczącego ataku Denial of Service (DoS) lub wstrzyknięcia złośliwych zapytań do wewnętrznych baz danych.

Zasada mitygacji: Oprócz przypisania nieużywanego identyfikatora (np. VLAN 999) jako Native VLAN na łączu magistralnym, należy wdrożyć globalne polecenie vlan dot1q tag native, które wymusza znakowanie wszystkich ramek (również z sieci Native VLAN), co całkowicie eliminuje ten wektor ataku.

Skróty użyte w tym slajdzie:
DTP – Dynamic Trunking Protocol – własnościowy protokół dynamicznej negocjacji magistrali Cisco.
DoS – Denial of Service – atak mający na celu unieruchomienie usługi lub serwera.
Dot1Q – potoczna nazwa standardu tagowania IEEE 802.1Q.
VLAN Hopping – atak polegający na przeskakiwaniu pomiędzy sieciami wirtualnymi.
Native VLAN – sieć nietagowana na łączu magistralnym.

Stosowanie jawnej listy dozwolonych VLAN-ów (Manual VLAN Pruning) jest fundamentem higieny sieciowej. W rozległej sieci kampusowej przesyłanie ruchu rozgłoszeniowego ze wszystkich 200 sieci VLAN przez każdy uplink prowadzi do lawinowego spadku wydajności łączy i przełączników dostępowych.

Dodatkowo zmiana Native VLAN na nieużywaną wartość 999 w połączeniu z poleceniem switchport nonegotiate w 100% zamyka podatność na ataki VLAN Hopping na poziomie warstwy fizycznej.

Skróty użyte w tym slajdzie:
CLI – Command Line Interface – interfejs linii poleceń.
DTP – Dynamic Trunking Protocol – automatyczna negocjacja trybu magistrali.
Uplink – łącze nadrzędne w stronę dystrybucji lub rdzenia kampusu.
Dot1Q – protokół tagowania ramek IEEE 802.1Q.
Pruning – przycinanie niepotrzebnego ruchu VLAN na łączach tranzytowych.

Wdrożenie funkcji Voice VLAN gwarantuje pełne bezpieczeństwo i jakość rozmów telefonicznych. Gdyby komputer i telefon znajdowały się w tym samym VLAN-ie danych, użytkownik komputera mógłby za pomocą narzędzi do analizy pakietów (np. Wireshark) podsłuchiwać rozmowy telefoniczne swoich współpracowników.

Ponadto w warunkach intensywnego pobierania plików przez komputer stacja robocza mogłaby wysycić bufor portu, powodując zniekształcenia dźwięku lub zrywanie połączeń głosowych.

Skróty użyte w tym slajdzie:
VoIP – Voice over IP – telefonia cyfrowa przesyłana przez sieć IP.
Voice VLAN – wirtualna sieć przeznaczona wyłącznie dla aparatów telefonicznych.
CoS – Class of Service – priorytetyzacja ruchu w warstwie 2 (wartość 5 dla głosu).
PCP – Priority Code Point – pole priorytetu w nagłówku 802.1Q.
RJ-45 – Registered Jack 45 – 8-stykowe złącze kabla komputerowego.

Protokół LLDP-MED eliminuje całkowicie konieczność żmudnego ręcznego konfigurowania setek aparatów telefonicznych na terenie kampusu. Administrator może przenieść telefon z jednego skrzydła budynku do drugiego, a urządzenie po podłączeniu samoczynnie zaadaptuje się do nowej szafy dostępowej.

Oprócz numeru VLAN protokół LLDP-MED przekazuje również informacje o politykach kontroli zasilania (dokładne zapotrzebowanie w watach), co pozwala zoptymalizować bilans mocy zasilaczy przełączników PoE.

Skróty użyte w tym slajdzie:
CDP – Cisco Discovery Protocol – własnościowy protokół wykrywania urządzeń Cisco.
LLDP – Link Layer Discovery Protocol – otwarty standard wykrywania urządzeń (IEEE 802.1AB).
LLDP-MED – LLDP for Media Endpoint Devices – profil LLDP dla urządzeń telefonii i kamer.
PBX – Private Branch Exchange – centrala telefoniczna zarządzająca połączeniami.
PoE – Power over Ethernet – zasilanie urządzeń przez skrętkę komputerową.

Segmentacja bez routingu tworzyłaby w kampusie odcięte od świata „wyspy” informacyjne. Prawdziwa siła technologii VLAN polega na możliwości precyzyjnego kontrolowania przepływu pakietów w warstwie trzeciej.

Zamiast zezwalać na pełną, nieskrępowaną komunikację w warstwie 2, wszelki ruch międzywydziałowy przechodzi przez bramę L3, gdzie może być poddany inspekcji stanowej firewall, filtrowaniu portów TCP/UDP oraz rejestracji w systemach SIEM.

Skróty użyte w tym slajdzie:
L2 / L3 – Layer 2 / Layer 3 – warstwa łącza danych oraz warstwa sieciowa modelu OSI.
ACL – Access Control List – lista kontroli dostępu określająca dozwolony ruch IP.
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
SIEM – Security Information and Event Management – centralny system zarządzania zdarzeniami bezpieczeństwa.
Subnet – podsieć logiczna w protokole IP.

Metoda Router-on-a-Stick była historycznie pierwszym ekonomicznym rozwiązaniem routingu między-VLAN-owego w małych i średnich sieciach. Wyeliminowała konieczność posiadania tylu fizycznych interfejsów w routerze, ile sieci VLAN istniało w organizacji.

Jednak z powodu zjawiska podwójnego przesyłania każdego pakietu przez to samo łącze fizyczne (ang. Hairpinning), metoda ta cierpi na poważne ograniczenia wydajnościowe przy intensywnym ruchu.

Skróty użyte w tym slajdzie:
ROAS – Router on a Stick – architektura routingu między-VLAN na pojedynczym łączu.
Subinterface – wirtualny podinterfejs logiczny utworzony na fizycznym porcie routera.
Hairpinning – zjawisko wchodzenia i wychodzenia pakietu przez ten sam fizyczny interfejs.
Dot1Q – standard tagowania ramek IEEE 802.1Q.
Trunk – łącze magistralne przenoszące ruch wielu sieci VLAN.

Numer podinterfejsu po kropce (np. .10 w GigabitEthernet 0/0/1.10) jest jedynie identyfikatorem lokalnym dla administratora i teoretycznie nie musi być tożsamy z numerem VLAN. Dobrą praktyką inżynierską jest jednak zawsze nadawanie numeru podinterfejsu równego identyfikatorowi VLAN.

O faktycznym powiązaniu z ramkami decyduje wyłącznie parametr przekazany w poleceniu encapsulation dot1Q <vlan-id>.

Skróty użyte w tym slajdzie:
CLI – Command Line Interface – interfejs linii poleceń Cisco IOS.
Subif – Subinterface – tryb konfiguracji podinterfejsu logicznego w routerze.
Dot1Q – standard tagowania ramek IEEE 802.1Q.
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
IP – Internet Protocol – protokół warstwy sieciowej.

W nowoczesnym kampusie uniwersyteckim ruch lokalny między sieciami VLAN (np. studenci pobierający pliki dydaktyczne i dane z lokalnych serwerów wydziałowych) osiąga dziesiątki gigabitów na sekundę. Przesyłanie takiego wolumenu danych do zewnętrznego routera doprowadziłoby do natychmiastowego zatoru.

Przełącznik wielowarstwowy L3 dokonuje routingu bezpośrednio w szafie dystrybucyjnej, przesyłając pakiety pomiędzy sieciami VLAN z opóźnieniami rzędu pojedynczych mikrosekund.

Skróty użyte w tym slajdzie:
ROAS – Router on a Stick – routing między-VLAN na osobnym routerze.
L3 Switch – Multilayer Switch – przełącznik wielowarstwowy realizujący przełączanie i routing.
ASIC – Application-Specific Integrated Circuit – wyspecjalizowane układy scalone sprzętowego routingu.
Wire-Speed – pełna fizyczna prędkość łącza transmisyjnego bez strat wydajności.
CPU – Central Processing Unit – procesor główny routera.

Mechanizm utrzymywania stanu SVI (ang. Autostate) zapobiega powstawaniu czarnych dziur w routingu. Jeśli wszystkie komputery w VLAN 10 zostaną wyłączone i żaden port przypisany do VLAN 10 nie ma linku fizycznego, interfejs SVI interface Vlan 10 automatycznie przechodzi w stan Down.

Dzięki temu protokoły routingu dynamicznego (np. OSPF) natychmiast usuwają podsieć VLAN 10 z rozgłoszeń, nie kierując do przełącznika niepotrzebnego ruchu z reszty kampusu.

Skróty użyte w tym slajdzie:
SVI – Switched Virtual Interface – wirtualny interfejs routowalny sieci VLAN.
L3 – Layer 3 – warstwa sieciowa modelu OSI.
ASIC – Application-Specific Integrated Circuit – sprzętowe układy scalone przełącznika.
Autostate – algorytm automatycznej kontroli stanu logicznego interfejsu SVI.
Wire-Speed – sprzętowe przekazywanie pakietów z maksymalną prędkością portów.

Po wydaniu polecenia ip routing przełącznik tworzy tablicę routingu RIB oraz sprzętowe tablice CEF (Cisco Express Forwarding) w pamięci TCAM. Od tego momentu każdy pakiet przesyłany na adres MAC interfejsu SVI jest automatycznie routowany do właściwego VLAN-u docelowego.

Weryfikację poprawności działania routingu między-VLAN przeprowadza się za pomocą polecenia show ip route, które powinno wyświetlać podsieci skojarzone z interfejsami SVI jako trasy bezpośrednio podłączone (kod literowy C – Connected).

Skróty użyte w tym slajdzie:
SVI – Switched Virtual Interface – wirtualny interfejs sieci VLAN.
CEF – Cisco Express Forwarding – zaawansowana technologia sprzętowego routingu pakietów.
TCAM – Ternary Content-Addressable Memory – ultraszybka pamięć asocjacyjna tablic routingu i ACL.
RIB – Routing Information Base – tablica routingu w pamięci RAM przełącznika.
IOS – Internetwork Operating System – system operacyjny przełączników Cisco.

Zastosowanie portów ruterowanych na łączach szkieletowych Core-Distribution jest fundamentem niezawodności sieci kampusowej. Brak ramek L2 oznacza, że awaria jakiegokolwiek kabla lub błąd konfiguracyjny w jednym budynku nie ma żadnej fizycznej możliwości wywołania pętli rozgłoszeniowej w rdzeniu kampusu.

Łącza ruterowane punkt-punkt natychmiast sygnalizują stan awarii protokołom routingu dynamicznego OSPF, co skraca czas przełączenia ruchu do kilkudziesięciu milisekund.

Skróty użyte w tym slajdzie:
Routed Port – port ruterowany L3 pozbawiony funkcjonalności przełączania L2.
STP – Spanning Tree Protocol – protokół drzewa rozpinającego eliminowany na łączach L3.
OSPF – Open Shortest Path First – protokół dynamicznego routingu IP.
RFC 3021 – standard używania masek 31-bitowych na łączach dwupunktowych IPv4.
Core – warstwa rdzenia sieci kampusowej.

W dawnych routerach stosowano routing procesorowy (Process Switching), w którym każdy pakiet wywoływał przerwanie CPU, lub Fast Switching (routing pierwszego pakietu z przepływu przez CPU, a kolejnych z cache'u). Obie metody były podatne na załamanie wydajności pod wpływem ataków skanowania portów.

Technologia CEF z tablicą FIB pobieraną wprost do pamięci TCAM rozwiązuje ten problem: każdy pakiet jest forwardowany sprzętowo w dokładnie tym samym, stałym czasie, niezależnie od tego, czy należy do trwającej sesji, czy jest pierwszym pakietem nowego połączenia.

Skróty użyte w tym slajdzie:
CEF – Cisco Express Forwarding – zaawansowana technologia sprzętowego przełączania pakietów L3 optymalizująca przeszukiwanie tablic routingu.
FIB – Forwarding Information Base – skompilowana tablica docelowych prefiksów IP w pamięci ASIC umożliwiająca przełączanie z prędkością Line-Rate.
RIB – Routing Information Base – główna tablica routingu w pamięci RAM procesora zawierająca trasy dynamiczne i statyczne.
LPM – Longest Prefix Match – algorytm wyboru najbardziej szczegółowej trasy w tablicy routingu na podstawie najdłuższej maski podsieci.

Losowe przydzielanie podsieci IP do kolejnych sal bez jednolitego planu jest częstym błędem skutkującym rozrostem tablic routingu i trudnościami diagnostycznymi. W uporządkowanym kampusie inżynier spoglądając na adres IP 10.20.50.142 natychmiast wie, że jest to użytkownik sieci Wi-Fi (VLAN 50) w Budynku IT (kod 20).

Co więcej, reguły zapór ogniowych (Firewall) i listy ACL stają się zwięzłe i czytelne, operując na całych zagregowanych blokach podsieci.

Skróty użyte w tym slajdzie:
RFC 1918 – standard IETF definiujący prywatne pule adresowe IPv4 niewidoczne w globalnym Internecie.
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
Summarization – agregacja wielu szczegółowych tras w jedną trasę zbiorczą.
OSPF – Open Shortest Path First – protokół routingu stanu łącza.
ACL – Access Control List – listy kontroli dostępu.

Technika VLSM stała się standardem dzięki wprowadzeniu bezklasowego routingu CIDR (Classless Inter-Domain Routing). Nowoczesne protokoły routingu (OSPF, EIGRP, BGP) przesyłają maskę podsieci w każdym uaktualnieniu trasy, umożliwiając dowolne dzielenie bloków adresowych.

Zastosowanie maski 31-bitowej (/31) na łączach punkt-punkt wg normy RFC 3021 pozwala zaoszczędzić aż 50% adresów w porównaniu z tradycyjną maską /30, eliminując marnotrawstwo adresu sieci i adresu rozgłoszeniowego.

Skróty użyte w tym slajdzie:
VLSM – Variable Length Subnet Masking – podsieci o zmiennej długości maski.
FLSM – Fixed Length Subnet Masking – podsieci o stałej długości maski.
CIDR – Classless Inter-Domain Routing – bezklasowy routing międzydomenowy.
BMS – Building Management System – system automatyki i zarządzania budynkiem.
RFC 3021 – standard stosowania masek 31-bitowych na łączach dwupunktowych.

Kluczowym elementem protokołu DHCP jest czas dzierżawy (Lease Time). W salach wykładowych i otwartych sieciach Wi-Fi czas dzierżawy powinien być krótki (np. 1–2 godziny), co umożliwia szybki recykling adresów IP po studentach opuszczających budynek.

Z kolei w sieciach biurowych pracowników czas dzierżawy ustawia się na kilka dni (np. 7 dni), co zmniejsza ruch generowany przez procedury odnawiania dzierżawy (DHCP Renew).

Skróty użyte w tym slajdzie:
DHCP – Dynamic Host Configuration Protocol – protokół automatycznej konfiguracji sieciowej (RFC 2131).
DORA – Discover, Offer, Request, Acknowledge – sekwencja komunikatów protokołu DHCP.
UDP – User Datagram Protocol – bezpołączeniowy protokół warstwy transportowej.
DNS – Domain Name System – serwer rozwiązywania nazw domenowych na adresy IP.
ACK – Acknowledge – pakiet potwierdzenia dzierżawy adresu IP.

Gdyby routery przekazywały pakiety rozgłoszeniowe bez ograniczeń, idea segmentacji sieci na VLAN-y straciłaby jakikolwiek sens. Każda burza rozgłoszeniowa natychmiast rozprzestrzeniłaby się na cały kampus uniwersytecki.

Dlatego wyjątki od tej reguły muszą być ściśle kontrolowane przez administratora za pomocą dedykowanych agentów pośredniczących w warstwie aplikacji, takich jak DHCP Relay Agent.

Skróty użyte w tym slajdzie:
DHCP – Dynamic Host Configuration Protocol – protokół konfiguracji stacji.
VLAN – Virtual Local Area Network – wirtualna sieć lokalna.
L3 – Layer 3 – warstwa sieciowa modelu OSI.
Broadcast – pakiet rozgłoszeniowy skierowany do wszystkich stacji w segmencie.
Unicast – pakiet skierowany do jednego ściśle określonego odbiorcy.

W systemie Cisco IOS polecenie ip helper-address domyślnie przekazuje w trybie Unicast nie tylko pakiety DHCP (porty UDP 67/68), ale także ruch siedmiu innych protokołów rozgłoszeniowych: TFTP (port 69), DNS (port 53), Time Service (port 37), TACACS (port 49) oraz NetBIOS (porty 137 i 138).

W nowoczesnych sieciach zaleca się wyłączenie przekazywania zbędnych usług za pomocą polecenia no ip forward-protocol udp <port>, pozostawiając wyłącznie ruch protokołu DHCP.

Skróty użyte w tym slajdzie:
RAIO – Relay Agent Information Option – ustandaryzowana w RFC 3046 opcja 82 protokołu DHCP przenosząca metadane o lokalizacji klienta.
SVI – Switch Virtual Interface – wirtualny interfejs warstwy 3 na przełączniku wielowarstwowym pełniący funkcję bramy IP.
DORA – Discover, Offer, Request, Acknowledge – standardowa 4-etapowa sekwencja wymiany komunikatów dynamicznego przydziału adresu IP.
TFTP – Trivial File Transfer Protocol – prosty, bezsesyjny protokół przesyłania plików bazujący na protokole UDP (port 69).

Zastosowanie zaawansowanych opcji DHCP jest fundamentem strategii wdrożeń Zero-Touch Provisioning (ZTP). Technik instalujący setki punktów dostępowych Wi-Fi w nowym budynku nie musi dotykać ich oprogramowania ani konfigurować żadnych adresów.

Punkt dostępowy po wpięciu kabla pobiera adres z DHCP, odczytuje Opcję 43, odnajduje kontroler WLC, automatycznie aktualizuje swój firmware do właściwej wersji i pobiera profile sieci radiowej.

Skróty użyte w tym slajdzie:
WLC – Wireless LAN Controller – centralny kontroler sieci bezprzewodowej.
CAPWAP – Control and Provisioning of Wireless Access Points – standardowy tunel sterujący punktami AP.
PXE – Preboot Execution Environment – środowisko sieciowego rozruchu komputera.
TFTP – Trivial File Transfer Protocol – lekki protokół transferu plików konfiguracyjnych.
ZTP – Zero-Touch Provisioning – automatyczne wdrażanie urządzeń bez manualnej konfiguracji.

Wdrożenie architektury Split-Horizon DNS jest kluczowym wymogiem cyberbezpieczeństwa. Publiczne udostępnienie nazw i prywatnych adresów IP wewnętrznych serwerów, przełączników i zasilaczy PDU ułatwia adwersarzom rekonesans sieciowy i planowanie ataków celowanych.

Zewnętrzne serwery DNS w strefie DMZ powinny zawierać wpisy wyłącznie dla usług publicznie dostępnych (np. portal www, serwer poczty MX, serwer VPN), całkowicie izolując wewnętrzną przestrzeń adresową RFC 1918.

Skróty użyte w tym slajdzie:
DNS – Domain Name System – rozproszony system nazw domenowych internetu.
WAF – Web Application Firewall – zapora aplikacji internetowych chroniąca serwery HTTP.
DMZ – Demilitarized Zone – strefa zdemilitaryzowana dla serwerów publicznych.
VPN – Virtual Private Network – wirtualna sieć prywatna dla bezpiecznego dostępu zdalnego.
MX – Mail Exchange – rekord DNS wskazujący serwery poczty elektronicznej.

Próba zarządzania siecią kampusową z 50 przełącznikami i 150 sieciami VLAN za pomocą wyłącznie tras statycznych prowadzi do katastrofy operacyjnej. W przypadku awarii pojedynczego kabla światłowodowego administrator musiałby ręcznie zmienić setki wpisów w konfiguracjach wszystkich urządzeń.

Protokół routingu dynamicznego wykrywa usterkę w ułamku sekundy, przelicza algorytmicznie nowe optymalne ścieżki i bez ingerencji człowieka przekierowuje strumień pakietów na sprawne łącza zapasowe.

Skróty użyte w tym slajdzie:
RIB – Routing Information Base – logiczna tablica routingu w systemie routera.
OSPF – Open Shortest Path First – otwarty protokół routingu stanu łącza.
CPU – Central Processing Unit – procesor główny routera.
Default Route – trasa domyślna ostatniej szansy (0.0.0.0/0).
WAN – Wide Area Network – rozległa sieć telekomunikacyjna łącząca z Internetem.

Mechanizm tras pływających jest prostą i niezawodną metodą zabezpieczenia łącza internetowego w kampusie. W normalnym stanie pracy router korzysta z szybkiego łącza głównego (AD 1). Jeśli interfejs główny przejdzie w stan Down, system natychmiast instaluje w tablicy trasę zapasową (AD 200) skierowaną do łącza rezerwowego.

Warto powiązać trasę pływającą z mechanizmem IP SLA, co pozwala wykryć brak łączności z Internetem nawet wtedy, gdy sam interfejs lokalny fizycznie zachowuje stan Up.

Skróty użyte w tym slajdzie:
AD – Administrative Distance – miara wiarygodności źródła trasy w systemie Cisco (0–255).
ISP – Internet Service Provider – dostawca usług internetowych.
IP SLA – funkcja badania dostępności usług sieciowych za pomocą syntetycznych pakietów testowych.
WAN – Wide Area Network – rozległa sieć operatorska.
Floating Route – trasa pływająca uaktywniana po awarii trasy podstawowej.

Podstawową przewagą protokołów stanu łącza nad protokołami wektora odległości jest całkowita odporność na zjawisko zapętlenia routingu (ang. Counting to Infinity). Ponieważ każdy router dysponuje identyczną, kompletną mapą powiązań w całej domenie, nie opiera się na niezweryfikowanych deklaracjach sąsiadów.

Wymaga to jednak większych zasobów pamięci RAM na przechowywanie bazy LSDB oraz większej mocy obliczeniowej procesora na wykonywanie algorytmu SPF po każdej zmianie w topologii sieci.

Skróty użyte w tym slajdzie:
IGP – Interior Gateway Protocol – rodzina protokołów routingu wewnątrz autonomicznego systemu.
OSPF – Open Shortest Path First – otwarty protokół routingu stanu łącza (RFC 2328).
LSDB – Link-State Database – baza danych stanu łączy w protokole OSPF.
SPF – Shortest Path First – algorytm Dijkstry wyznaczania najkrótszej ścieżki w grafie.
EIGRP – Enhanced Interior Gateway Routing Protocol – zaawansowany protokół wektora odległości firmy Cisco.

Protokół OSPF powstał pod koniec lat 80. w ramach grupy roboczej IETF jako nowoczesna odpowiedź na ograniczenia architektoniczne historycznego protokołu RIP. Zamiast ograniczenia do 15 przeskoków (Hops), metryka OSPF bazuje na rzeczywistej przepustowości łączy fizycznych.

W sieciach kampusowych OSPFv2 (dla IPv4) oraz OSPFv3 (dla IPv6 wg RFC 5340) stanowią podstawowy protokół routingu łączący punkty dystrybucyjne z rdzeniem i centrami danych.

Skróty użyte w tym slajdzie:
OSPF – Open Shortest Path First – otwarty protokół routingu stanu łącza (RFC 2328).
LSDB – Link-State Database – baza danych stanu łączy w OSPF.
SPF – Shortest Path First – algorytm najkrótszej ścieżki Dijkstry.
ECMP – Equal-Cost Multi-Path – równoważenie obciążenia na trasach o jednakowym koszcie.
CIDR – Classless Inter-Domain Routing – bezklasowy routing międzydomenowy.

Kluczową cechą protokołów stanu łącza jest bezwzględna spójność bazy LSDB w obrębie całego obszaru (Area). Każdy router posiada w pamięci RAM dokładnie ten sam zestaw rekordów LSA opisujących wszystkie węzły i łącza w domenie.

Różnica polega na tym, że każdy router wykonuje algorytm SPF z własnej perspektywy wierzchołkowej, dzięki czemu wygenerowane drzewo routingu wskazuje optymalny interfejs wyjściowy dla danej maszyny.

Skróty użyte w tym slajdzie:
LSA – Link-State Advertisement – komunikat ogłoszenia stanu łącza w OSPF.
LSDB – Link-State Database – baza danych stanu łączy gromadząca rekordy LSA.
SPF – Shortest Path First – algorytm Dijkstry wyliczający drzewo najkrótszych tras.
FIB – Forwarding Information Base – sprzętowa tablica przekazywania pakietów.
Hello – cykliczny pakiet kontrolny wykrywający obecność sąsiada OSPF.

W przeciwieństwie do protokołów wektora odległości, w których routery przekazywały sobie gotowe tablice tras, protokół OSPF przesyła wyłącznie surowe dane o stanie łączy (kto z kim jest połączony i z jakim kosztem).

Dzięki temu obliczenia algorytmu SPF są całkowicie odporne na zjawisko błędnych zapętleń, dając inżynierom sieciowym pewność przewidywalnego i w pełni deterministycznego trasowania pakietów.

Skróty użyte w tym slajdzie:
SPF – Shortest Path First – algorytm przeszukiwania grafu pod kątem najkrótszej drogi.
SPT – Shortest Path Tree – wygenerowane drzewo najkrótszych ścieżek w pamięci routera.
Cost – koszt metryki łącza w protokole OSPF.
OSPF – Open Shortest Path First – protokół stanu łącza.
Metric – liczbowa miara jakości trasy w tablicy routingu.

Niezamierzona zmiana Router ID w działającej sieci jest wysoce niepożądanym zjawiskiem. Wymaga restartu procesu OSPF (polecenie clear ip ospf process), co powoduje chwilowe zerwanie wszystkich relacji sąsiedztwa i ponowne przeliczenie drzewa SPF w całej domenie.

Zdefiniowanie stabilnego adresu na interfejsie wirtualnym Loopback oraz przypisanie jawnego polecenia router-id gwarantuje pełną przewidywalność operacyjną sieci kampusowej.

Skróty użyte w tym slajdzie:
RID – Router Identifier – unikalny identyfikator routera w procesie OSPF.
Loopback – wirtualny, stabilny interfejs logiczny przełącznika/routera.
LSDB – Link-State Database – baza danych stanu łączy.
DR / BDR – Designated Router / Backup Designated Router – role liderów w segmencie wielodostępnym.
CLI – Command Line Interface – interfejs linii poleceń.

Niedopasowanie parametrów w pakiecie Hello jest najczęstszą przyczyną problemów z uruchomieniem routingu OSPF. Wystarczy pomyłka w masce podsieci na jednym końcu kabla (np. /24 zamiast /25) lub różnica w wartości parametru Dead Interval, aby routery zignorowały swoje rozgłoszenia.

Weryfikację problemów z sąsiedztwem przeprowadza się za pomocą poleceń diagnostycznych show ip ospf neighbor oraz debug ip ospf hello, które w czasie rzeczywistym wskazują przyczynę odrzucenia pakietu.

Skróty użyte w tym slajdzie:
Hello Interval – interwał wysyłania pakietów kontrolnych Hello (domyślnie 10 s na łączach Ethernet).
Dead Interval – czas oczekiwania na pakiet Hello przed uznaniem sąsiada za martwego (domyślnie 40 s).
Area ID – identyfikator numeryczny obszaru w protokole OSPF (0 dla szkieletu).
SHA-256 – bezpieczny algorytm kryptograficzny skrótu stosowany do uwierzytelniania OSPF.
NSSA – Not-So-Stubby Area – specjalny typ obszaru OSPF.

Zablokowanie relacji sąsiedztwa na stanie ExStart lub Exchange jest klasycznym objawem niezgodności parametru MTU na łączu fizycznym. Pakiety Hello są bardzo małe i przechodzą bez przeszkód, ale większe pakiety DBD są odrzucane przez interfejs o mniejszym MTU.

Z kolei zatrzymanie relacji na stanie 2-Way na segmencie wielodostępnym jest stanem całkowicie normalnym dla routerów typu DROther – utrzymują one pełną relację Full wyłącznie z liderami DR i BDR.

Skróty użyte w tym slajdzie:
DBD – Database Description – pakiet ze skrótowym opisem zawartości bazy LSDB.
LSR – Link-State Request – pakiet żądania szczegółowych danych o brakującym LSA.
LSU – Link-State Update – pakiet zawierający pełne rekordy LSA przesyłany w odpowiedzi na LSR.
LSAck – Link-State Acknowledgment – pakiet potwierdzenia odbioru ogłoszeń LSA.
MTU – Maximum Transmission Unit – maksymalny rozmiar jednostki danych na porcie.

Niedostosowanie parametru reference-bandwidth jest jednym z najczęstszych błędów konfiguracyjnych w sieciach kampusowych. W sytuacji wystąpienia ścieżek równorzędnych router nie jest w stanie odróżnić nowoczesnego łącza światłowodowego 10G od starego miedzianego uplinku 1 Gb/s.

Niezmiernie ważne jest, aby polecenie auto-cost reference-bandwidth 100000 zostało wydane na wszystkich routerach w całej domenie OSPF. Różne wartości referencyjne na poszczególnych węzłach doprowadziłyby do asymetrii kosztów i nieoptymalnego trasowania pakietów.

Skróty użyte w tym slajdzie:
Reference Bandwidth – przepustowość odniesienia w kalkulacji metryki OSPF.
Cost – bezwymiarowa liczba określająca koszt przejścia przez dany interfejs OSPF.
FastEthernet – standard Ethernet o przepustowości 100 Mb/s.
GigabitEthernet – standard Ethernet o przepustowości 1 Gb/s.
TenGigabitEthernet – standard Ethernet o przepustowości 10 Gb/s.

Wysyłanie pakietów OSPF Hello na porty podłączone do stacji roboczych użytkowników stanowi poważną lukę bezpieczeństwa. Dowolny użytkownik z zainstalowanym oprogramowaniem do routingu (np. Quagga, FRRouting, BIRD) mógłby zestawić relację sąsiedztwa z przełącznikiem dystrybucyjnym i rozgłosić złośliwe trasy tranzytowe.

Zastosowanie reguły pasywności domyślnej (Passive by Default) gwarantuje, że proces OSPF komunikuje się wyłącznie przez jawnie wskazane łącza szkieletowe z innymi zaufanymi przełącznikami.

Skróty użyte w tym slajdzie:
Area 0 – centralny obszar szkieletowy (Backbone Area) w protokole OSPF.
Passive Interface – interfejs sieciowy z zablokowaną emisją pakietów Hello.
Reference Bandwidth – bazowa przepustowość odniesienia kalkulacji metryki.
Router ID – 32-bitowy identyfikator urządzenia w protokole OSPF.
LSA – Link-State Advertisement – rekord ogłoszenia stanu łącza.

W dużych kampusach przełączniki dystrybucyjne z różnych budynków często łączą się ze wspólnym segmentem tranzytowym w warstwie rdzenia. Gdyby każdy przełącznik musiał synchronizować bazę danych z każdym innym węzłem z osobna, pasmo transmisyjne zostałoby zalane ruchem kontrolnym protokołu OSPF.

Z tego względu projektanci protokołu OSPF wprowadzili eleganckie rozwiązanie hierarchiczne: mechanizm routera desygnowanego (Designated Router – DR).

Skróty użyte w tym slajdzie:
Broadcast Multi-Access – segment sieci wielodostępnej obsługujący transmisję rozgłoszeniową.
LSA – Link-State Advertisement – ogłoszenie stanu łącza.
LSU – Link-State Update – pakiet aktualizacji bazy danych OSPF.
LSAck – Link-State Acknowledgment – pakiet potwierdzenia odbioru ogłoszeń LSA.
OSPF – Open Shortest Path First – protokół stanu łącza.

Dzięki instytucji routera DR każdy zwykły węzeł (DROther) wysyła informację o zmianie stanu swojego łącza tylko raz – do routera DR i BDR. Następnie to router DR ponosi odpowiedzialność za powiadomienie reszty segmentu za pomocą pojedynczego pakietu multiemisji.

Zapewnia to ogromną oszczędność mocy obliczeniowej procesorów w przełącznikach rdzeniowych i eliminuje burze pakietów uaktualnień routingu.

Skróty użyte w tym slajdzie:
DR – Designated Router – router desygnowany koordynujący segment OSPF.
BDR – Backup Designated Router – zapasowy router desygnowany.
DROther – router w segmencie niepełniący roli DR ani BDR.
Full – stan pełnej synchronizacji bazy danych LSDB.
2-Way – stan potwierdzonej dwukierunkowej wymiany Hello bez synchronizacji LSDB.

Brak wywłaszczania (Preempt) w procesie elekcji DR jest celowym zabiegiem inżynierskim. Gdyby pojawienie się w sieci nowego urządzenia z wyższym priorytetem powodowało natychmiastowe odebranie roli DR, sieć wchodziła by w stan niestabilności przy każdym podłączeniu nowego przełącznika przez serwisanta.

Dobrą praktyką inżynierską jest ręczne skonfigurowanie wysokiego priorytetu (np. ip ospf priority 200) na głównym przełączniku rdzeniowym oraz priorytetu 0 na wszystkich urządzeniach dostępowych, aby zagwarantować pełną kontrolę nad hierarchią ról.

Skróty użyte w tym slajdzie:
DR – Designated Router – router desygnowany segmentu wielodostępnego.
BDR – Backup Designated Router – rezerwowy router desygnowany.
DROther – router zwykły niebędący DR ani BDR.
Preempt – mechanizm wymuszonego przejęcia roli aktywnej.
LSU – Link-State Update – pakiet aktualizacji stanu łącza.

W środowisku Single-Area sieć kampusowa zachowuje się jak jeden połączony organizm: uszkodzony patchcord w pokoju socjalnym na Wydziale Prawa wywołuje falę uaktualnień LSA przetaczającą się przez rektorat, serwerownię centralną i laboratoria techniczne.

Jedynym inżynierskim lekarstwem na ten problem jest podział domeny routingu na mniejsze, niezależne obszary logiczne (Multi-Area OSPF), co pozwala zamknąć przeliczenia SPF wewnątrz granic danego obszaru.

Skróty użyte w tym slajdzie:
LSDB – Link-State Database – baza danych stanu łączy gromadząca ogłoszenia LSA.
SPF – Shortest Path First – algorytm wyznaczania najkrótszej ścieżki Dijkstry.
CPU – Central Processing Unit – procesor główny routera.
RAM – Random Access Memory – pamięć operacyjna przełącznika.
Area 0 – szkieletowy obszar bazowy protokołu OSPF.

Wdrożenie Multi-Area OSPF przekształca sieć kampusową w strukturę modułową o niezwykłej odporności. Granica obszaru stanowi barierę tłumiącą lokalne zakłócenia topologiczne.

Dodatkowo routery graniczne obszarów ABR mogą przeprowadzać agregację tras (Route Summarization), zastępując setki szczegółowych podsieci /24 z danego budynku jedną zwartą trasą /16 rozgłaszaną do rdzenia kampusu.

Skróty użyte w tym slajdzie:
Backbone Area – centralny obszar szkieletowy Area 0 w architekturze OSPF.
Non-Backbone Area – obszar podrzędny OSPF (np. dedykowany dla konkretnego budynku).
LSDB – Link-State Database – baza danych stanu łączy ograniczona do obszaru.
SPF – Shortest Path First – algorytm Dijkstry wykonywany lokalnie w obszarze.
ABR – Area Border Router – router łączący obszar nieszkieletowy z Area 0.

W typowej sieci kampusowej rolę routerów ABR pełnią przełączniki warstwy dystrybucji zlokalizowane w głównych szafach budynkowych (BD). Interfejsy w stronę szaf piętrowych należą do lokalnego obszaru danego budynku (np. Area 10), natomiast łącza uplink w stronę rdzenia należą do Area 0.

Z kolei routery brzegowe kampusu łączące instytucję z siecią naukową MAN lub komercyjnymi dostawcami Internetu pełnią rolę routerów ASBR, wprowadzając do kampusu trasy zewnętrzne lub trasę domyślną.

Skróty użyte w tym slajdzie:
ABR – Area Border Router – router brzegowy łączący co najmniej jeden obszar zwykły z obszarem szkieletowym Area 0.
ASBR – Autonomous System Boundary Router – router redystrybuujący do domeny OSPF trasy z zewnętrznych systemów autonomicznych lub protokołów.
IR – Internal Router – router wewnętrzny, którego wszystkie aktywne interfejsy należą do tego samego obszaru OSPF.
BR – Backbone Router – router posiadający co najmniej jeden interfejs w obszarze szkieletowym Backbone (Area 0).

Weryfikację bazy danych LSA na przełączniku przeprowadza się za pomocą polecenia show ip ospf database. Wynik tego polecenia prezentuje podział bazy na poszczególne kategorie LSA zarejestrowane w każdym z obsługiwanych obszarów.

Zrozumienie ról poszczególnych typów LSA jest niezbędne do zaawansowanego diagnozowania problemów z routingiem międzysystemowym oraz do poprawnego projektowania obszarów specjalnych typu Stub i Totally Stubby.

Skróty użyte w tym slajdzie:
LSA – Link-State Advertisement – komunikat ogłoszenia stanu łącza w OSPF.
Router LSA – ogłoszenie Typu 1 generowane przez każdy węzeł OSPF.
Network LSA – ogłoszenie Typu 2 generowane przez DR opisujące podłączone routery.
Summary LSA – ogłoszenie Typu 3 generowane przez ABR opisujące trasy międzyobszarowe.
ASBR – Autonomous System Boundary Router – router rozgłaszający trasy zewnętrzne Typu 5.

Agregacja tras jest możliwa wyłącznie na granicach obszarów (na routerach ABR za pomocą polecenia area <id> range) lub na routerach granicznych systemu autonomicznego (na routerach ASBR za pomocą polecenia summary-address).

Wewnątrz pojedynczego obszaru agregacja jest niemożliwa, ponieważ każdy router musi posiadać pełną wiedzę o wszystkich fizycznych łączach w celu poprawnego wykonania algorytmu SPF.

Skróty użyte w tym slajdzie:
ABR – Area Border Router – router na granicy obszarów OSPF.
ASBR – Autonomous System Boundary Router – router graniczny systemu autonomicznego.
Flap Dampening – mechanizm tłumienia skutków fluktuacji niestabilnych łączy.
Area Range – polecenie OSPF służące do definiowania trasy zbiorczej na routerze ABR.
LSA – Link-State Advertisement – rekord ogłoszenia stanu łącza.

Prawidłowo zaprojektowana warstwa logiczna stanowi pomost pomiędzy pasywną infrastrukturą kablową a usługami aplikacyjnymi użytkowników. Eliminacja wąskich gardeł routingu oraz ścisła separacja domen rozgłoszeniowych gwarantuje, że sieć zachowa stabilność nawet pod wpływem awarii sprzętowych i błędów ludzkich.

W finałowej, piątej części cyklu wykładów zwieńczymy architekturę sieci kampusowej zaawansowanymi mechanizmami cyberbezpieczeństwa warstwy 2 i 3 oraz systemami centralnego monitoringu i zarządzania.

Skróty użyte w tym slajdzie:
VLAN – Virtual Local Area Network – wirtualna sieć lokalna (IEEE 802.1Q).
SVI – Switched Virtual Interface – wirtualny interfejs sieci VLAN w przełączniku L3.
OSPF – Open Shortest Path First – otwarty protokół routingu stanu łącza.
Wire-Speed – sprzętowe przekazywanie pakietów z pełną fizyczną prędkością portów.
ASIC – Application-Specific Integrated Circuit – wyspecjalizowane układy scalone przełącznika.

W trakcie rozwiązywania problemów sieciowych kluczowe jest zachowanie metodycznego podejścia od dołu do góry modelu OSI. Jeśli przełączniki nie nawiązują relacji OSPF, w pierwszej kolejności sprawdzamy status warstwy fizycznej (link Up), następnie spójność adresacji IP i maski podsieci na łączu, a dopiero na końcu parametry uwierzytelniania i timery protokołu OSPF.

Zastosowanie polecenia debug ip ospf adj pozwala w ciągu kilku sekund wskazać dokładny punkt odrzucenia pakietu Hello lub DBD.

Skróty użyte w tym slajdzie:
Q&A – Questions and Answers – sesja pytań i odpowiedzi.
NSSA – Not-So-Stubby Area – typ obszaru specjalnego w protokole OSPF.
Dual-Stack – równoległe funkcjonowanie protokołów IPv4 oraz IPv6 w sieci.
OSPFv3 – protokół OSPF przystosowany do routingu pakietów IPv6 (RFC 5340).
Wireshark – popularne oprogramowanie do analizy i inspekcji pakietów sieciowych.

Nawet najlepiej zaprojektowana i przewymiarowana sieć kampusowa ulegnie paraliżowi, jeśli nie zostanie zabezpieczona przed złośliwymi działaniami użytkowników i atakami sieciowymi. Zaufanie do urządzeń podłączanych do portów dostępowych jest kardynalnym błędem współczesnego inżyniera (koncepcja Zero Trust).

W Części 5 dowiemy się, jak za pomocą standardu 802.1X, inspekcji DHCP Snooping oraz dynamicznej kontroli zapytań ARP stworzyć środowisko, w którym każde urządzenie i każdy użytkownik podlega bezwzględnej weryfikacji przed dopuszczeniem do zasobów kampusu.

Skróty użyte w tym slajdzie:
802.1X – standard uwierzytelniania użytkowników na poziomie portu fizycznego (IEEE 802.1X).
DAI – Dynamic ARP Inspection – mechanizm ochrony przed zatruwaniem pamięci podręcznej ARP.
IPSG – IP Source Guard – ochrona przed podszywaniem się pod obce adresy IP w warstwie 2.
SNMPv3 – Simple Network Management Protocol v3 – bezpieczny, szyfrowany protokół zarządzania.
Zero Trust – paradygmat bezpieczeństwa zakładający brak domyślnego zaufania do jakiegokolwiek urządzenia.