Компьютерные сети

3.1 Ethernet и MAC/ARP

Что такое Ethernet?

Ethernet — это технология передачи данных в локальных сетях (LAN). Представьте, что Ethernet — это "язык", на котором говорят устройства в одной сети, чтобы обмениваться информацией. Это самый распространенный стандарт для проводных сетей.

Аналогия: Если IP-адрес — это "почтовый адрес" для доставки писем по всему миру, то MAC-адрес — это "номер квартиры" в вашем доме (локальной сети). Почтальон (маршрутизатор) доставляет письмо в нужный дом по IP, а внутри дома нужно найти конкретную квартиру по MAC.

MAC-адрес: уникальный идентификатор устройства

MAC-адрес (Media Access Control) — это уникальный физический адрес сетевой карты устройства. Он состоит из 48 бит (6 байт) и записывается в формате AA:BB:CC:DD:EE:FF (шестнадцатеричные числа).

Особенности MAC-адресов:

  • Уникальность: Каждая сетевая карта имеет свой MAC-адрес, "вшитый" производителем
  • Локальная сеть: MAC-адреса работают только в пределах одной локальной сети (L2-домена)
  • Не маршрутизируется: В отличие от IP, MAC-адреса не используются для маршрутизации между сетями
  • Пример: 00:1B:44:11:3A:B7 — типичный MAC-адрес

Проблема: как связать IP и MAC?

Когда устройство хочет отправить данные другому устройству в локальной сети, оно знает только его IP-адрес. Но для передачи данных по Ethernet нужен MAC-адрес. Как устройство узнает MAC-адрес по IP?

Решение: Протокол ARP (Address Resolution Protocol) — это "справочник", который переводит IP-адреса в MAC-адреса.

Как работает ARP?

Процесс ARP-запроса (упрощенно):

  1. Устройство A хочет отправить данные на IP 192.168.1.10
  2. Устройство A проверяет свой ARP-кэш — есть ли там MAC для этого IP?
  3. Если нет, Устройство A отправляет ARP-запрос (broadcast): "Кто имеет IP 192.168.1.10? Сообщите свой MAC!"
  4. Устройство B (с IP 192.168.1.10) отвечает: "Это я! Мой MAC: AA:BB:CC:DD:EE:FF"
  5. Устройство A сохраняет эту пару (IP → MAC) в ARP-кэш и отправляет данные
# Просмотр ARP-кэша (таблица соответствия IP → MAC)
# Windows
arp -a

# Linux/macOS
ip neigh show
# или
arp -a

Важно: ARP-кэш хранится временно (обычно 2-4 минуты). Если устройство не используется, запись удаляется для экономии памяти. При следующей отправке данных ARP-запрос повторяется.

Кадр Ethernet: как упакованы данные

Данные в Ethernet передаются в виде кадров (frames). Кадр — это "конверт" с адресами и содержимым. Представьте почтовое письмо: на конверте указаны адреса отправителя и получателя, а внутри — само письмо.

Структура кадра Ethernet (IEEE 802.3):

  • Destination MAC (6 байт) — MAC-адрес получателя. Куда отправляем?
  • Source MAC (6 байт) — MAC-адрес отправителя. От кого?
  • EtherType/Length (2 байта) — тип данных внутри. Например:
    • 0x0800 — внутри IP-пакет (IPv4)
    • 0x86DD — внутри IP-пакет (IPv6)
    • 0x0806 — ARP-сообщение
  • Payload (46-1500 байт) — полезные данные (например, IP-пакет с веб-страницей)
  • FCS (4 байта) — контрольная сумма для проверки целостности данных

Минимальный размер: Кадр должен быть минимум 64 байта (включая заголовки). Если данных меньше, добавляются "заполнители" (padding). Максимальный размер — 1518 байт (1522 с тегом VLAN).

Подуровни канального уровня: LLC и MAC

Канальный уровень (Data Link Layer) модели OSI разделен на два подуровня, каждый из которых выполняет свои функции. Это разделение помогает четко организовать работу сетевых технологий.

MAC (Media Access Control) — подуровень управления доступом к среде:

  • Назначение: Управляет физическим доступом к среде передачи данных (кабель, эфир)
  • Функции:
    • Формирование и разбор кадров Ethernet
    • Добавление и проверка MAC-адресов (отправителя и получателя)
    • Контроль доступа к среде (CSMA/CD для проводных, CSMA/CA для беспроводных)
    • Обнаружение ошибок через контрольную сумму FCS (Frame Check Sequence)
  • Зависимость от технологии: MAC специфичен для каждой технологии (Ethernet, Wi-Fi, Token Ring и т.д.)
  • Примеры стандартов: IEEE 802.3 (Ethernet), 802.11 (Wi-Fi), 802.15 (Bluetooth)

LLC (Logical Link Control) — подуровень логического управления каналом (IEEE 802.2):

  • Назначение: Обеспечивает интерфейс между сетевым уровнем (L3) и подуровнем MAC
  • Функции:
    • Мультиплексирование протоколов сетевого уровня (IPv4, IPv6, IPX и др.)
    • Управление потоком данных между узлами
    • Обеспечение надежности передачи (опционально)
    • Обработка ошибок на уровне соединения
  • Независимость от технологии: LLC работает одинаково для любой технологии L2 (Ethernet, Wi-Fi и т.д.)
  • Заголовок LLC: Содержит DSAP (Destination Service Access Point), SSAP (Source Service Access Point) и Control поле

Типы LLC-сервисов:

  • Тип 1 (LLC1) — без подтверждения:
    • Простая доставка без гарантий
    • Нет контроля потока и повторной передачи
    • Самый распространенный в Ethernet
  • Тип 2 (LLC2) — с подтверждением:
    • Надежная доставка с установлением соединения
    • Контроль потока, нумерация кадров, повторная передача
    • Используется в критичных приложениях (например, SNA)
  • Тип 3 (LLC3) — без подтверждения, с повторами:
    • Гибрид: без установления соединения, но с подтверждениями
    • Используется редко

Практическое замечание: В современных Ethernet-сетях заголовок LLC часто не используется явно. Вместо него используется поле EtherType в кадре Ethernet II, которое напрямую указывает протокол верхнего уровня (0x0800 для IPv4, 0x86DD для IPv6). Однако стандарт 802.2 LLC остается важным для понимания архитектуры и используется в некоторых протоколах (например, STP использует LLC для своих BPDU).

ПараметрMAC (802.3, 802.11)LLC (802.2)
УровеньНижний подуровень L2Верхний подуровень L2
Зависимость от технологииЗависит (разный для Ethernet, Wi-Fi)Не зависит (универсальный)
Основная функцияДоступ к физической среде, адресацияМультиплексирование протоколов, надежность
АдресацияMAC-адреса (48 бит)SAP-адреса (Service Access Points)
Типичное применениеВсе сетевые технологии L2Протоколы, требующие LLC (STP, некоторые промышленные протоколы)

Как работают коммутаторы?

Коммутатор (switch) — это "умный" концентратор, который знает, где находится каждое устройство в сети. Он использует MAC-адреса для принятия решений о пересылке кадров.

Принцип работы коммутатора:

  1. Обучение: Когда коммутатор получает кадр, он запоминает: "MAC-адрес отправителя находится на порту X" и сохраняет это в CAM-таблицу (Content Addressable Memory)
  2. Принятие решения: Когда приходит кадр для отправки:
    • Если MAC получателя известен → отправляет кадр только на нужный порт
    • Если MAC получателя неизвестен → отправляет кадр на все порты (кроме порта отправителя) — это называется flooding
    • Если это broadcast (ff:ff:ff:ff:ff:ff) → всегда отправляет на все порты
  3. Старение записей: Если устройство не отправляет данные 5 минут, запись удаляется из таблицы (aging timeout)

Преимущество коммутаторов: В отличие от старых концентраторов (hubs), которые просто копировали все данные на все порты, коммутаторы отправляют данные только нужному получателю. Это повышает безопасность и эффективность сети.

Связь между IP и MAC: полная картина

Пример: отправка веб-запроса в локальной сети

  1. Приложение хочет открыть сайт на IP 192.168.1.100
  2. Операционная система проверяет: это устройство в моей сети? (сравнивает подсети)
  3. Если да → нужен MAC-адрес. Проверяется ARP-кэш
  4. Если MAC неизвестен → отправляется ARP-запрос (broadcast)
  5. Устройство 192.168.1.100 отвечает своим MAC
  6. Создается IP-пакет (с IP-адресами) и упаковывается в Ethernet-кадр (с MAC-адресами)
  7. Коммутатор получает кадр, смотрит в CAM-таблицу и отправляет на нужный порт
  8. Получатель получает кадр, проверяет MAC (свой ли?), извлекает IP-пакет и обрабатывает

Технические детали (для углубленного изучения)

Расширенный формат кадра (802.1Q для VLAN):

  • 802.1Q Tag (4 байта, опционально) — добавляется для VLAN:
    • TPID (0x8100) — идентификатор тега
    • PCP (Priority Code Point) — приоритет для QoS
    • DEI (Drop Eligible Indicator) — можно ли отбросить при перегрузке
    • VID (VLAN ID) — номер виртуальной сети (1-4094)

Методы управления доступом к среде передачи

Когда несколько устройств используют одну среду передачи (кабель, эфир), нужен механизм, чтобы они не передавали данные одновременно, создавая коллизии. Существуют два основных метода:

CSMA/CD (Collision Detection) — для проводных сетей Ethernet:

  • Carrier Sense — устройство слушает среду передачи перед отправкой данных
  • Multiple Access — несколько устройств могут использовать одну среду
  • Collision Detection — устройство обнаруживает коллизию во время передачи

Как работает CSMA/CD:

  1. Прослушивание: Перед передачей устройство проверяет, свободна ли среда
  2. Передача: Если среда свободна, устройство начинает передачу и продолжает слушать
  3. Обнаружение коллизии: Если во время передачи обнаружена коллизия (уровень сигнала выше ожидаемого), передача прерывается
  4. Jam-сигнал: Отправляется специальный сигнал, чтобы все устройства узнали о коллизии
  5. Backoff: Устройство ждет случайное время (алгоритм exponential backoff) и повторяет попытку

CSMA/CA (Collision Avoidance) — для беспроводных сетей (Wi-Fi):

  • Carrier Sense — устройство слушает эфир перед передачей
  • Multiple Access — несколько устройств используют одну частоту
  • Collision Avoidance — устройство пытается избежать коллизии, а не обнаружить её

Почему в Wi-Fi нельзя использовать CSMA/CD:

  • Проблема "скрытого узла": Устройство A и C не слышат друг друга, но обе общаются с точкой доступа B — коллизии неизбежны
  • Невозможность одновременной передачи и приема: Радиомодули не могут передавать и слушать одновременно на одной частоте
  • Затухание сигнала: Отраженные сигналы и слабый уровень делают обнаружение коллизий невозможным
ПараметрCSMA/CD (Ethernet)CSMA/CA (Wi-Fi)
Обнаружение коллизийДа, во время передачиНет, невозможно
Метод работыОбнаружение и повторПредотвращение коллизий
RTS/CTSНе используетсяИспользуется для больших пакетов
ACKНа уровне TCPНа уровне MAC (802.11)
ЭффективностьВысокая (full-duplex)Ниже из-за накладных расходов
Современное применениеНе используется (full-duplex)Активно используется в Wi-Fi

Современные проводные сети: В современных сетях Ethernet с коммутаторами используется полный дуплекс (full-duplex) — данные идут в обе стороны одновременно по разным парам проводов. Коллизий не возникает, поэтому CSMA/CD больше не нужен. Однако в старых сетях с концентраторами (hubs) и коаксиальными кабелями использовался полудуплекс, и CSMA/CD был необходим.

MTU и размеры кадров: Стандартный MTU (Maximum Transmission Unit) для IP — 1500 байт. С тегом VLAN кадр может быть до 1522 байт. Некоторые устройства поддерживают "jumbo frames" (до 9000 байт) для повышения производительности в дата-центрах.

Резюме

Ключевые моменты:

  • Ethernet — технология передачи данных в локальных сетях
  • MAC-адрес — уникальный физический адрес устройства (работает в пределах одной сети)
  • ARP — протокол для перевода IP-адресов в MAC-адреса
  • Кадр Ethernet — "конверт" с адресами и данными
  • Коммутатор — использует MAC-адреса для умной пересылки кадров

Связь: IP-адрес нужен для маршрутизации между сетями, MAC-адрес — для доставки внутри одной сети. ARP связывает их вместе.

3.2 VLAN и 802.1Q

Проблема: все устройства в одной сети

Представьте офисную сеть: 100 компьютеров подключены к коммутаторам. По умолчанию все они находятся в одной L2-домене (broadcast domain) — это означает, что:

Проблемы единой сети:

  • Broadcast-шторм: Каждое устройство получает все broadcast-сообщения (ARP, DHCP и т.д.) от всех остальных устройств
  • Безопасность: Любое устройство может "слушать" трафик других (хотя коммутаторы ограничивают это, но не полностью)
  • Логическая изоляция: Невозможно разделить сеть на отделы (бухгалтерия, отдел продаж, гости) без физического разделения
  • Масштабирование: При росте сети broadcast-трафик засоряет каналы

Решение: VLAN (Virtual LAN)

VLAN (Virtual Local Area Network) — это технология логического разделения одной физической сети на несколько виртуальных сетей. Устройства из разных VLAN не "видят" друг друга на уровне L2, даже если подключены к одному коммутатору.

Аналогия: Представьте многоэтажный дом. Физически все квартиры в одном здании (один коммутатор), но жильцы разных подъездов (разные VLAN) не могут зайти друг к другу без ключа (маршрутизатора).

Как работают VLAN?

VLAN работают на канальном уровне (L2). Каждому VLAN присваивается уникальный номер (1-4094). Коммутатор "помечает" кадры номером VLAN и обрабатывает их отдельно.

Принцип работы VLAN:

  1. Создание VLAN: Администратор создает VLAN 10 (например, для отдела продаж) и VLAN 20 (для бухгалтерии)
  2. Назначение портов: Порты коммутатора назначаются конкретным VLAN
  3. Изоляция: Устройство из VLAN 10 не может напрямую общаться с устройством из VLAN 20
  4. Маршрутизация: Для связи между VLAN нужен маршрутизатор (L3-устройство)

Типы портов: Access и Trunk

Access-порт (доступный порт):

  • Назначение: Подключение конечных устройств (компьютеры, принтеры, серверы)
  • Особенность: Порт принадлежит только одному VLAN
  • Кадры: Отправляются без тега VLAN (untagged)
  • Пример: Порт 1 → VLAN 10, Порт 2 → VLAN 20

Trunk-порт (магистральный порт):

  • Назначение: Соединение между коммутаторами для передачи нескольких VLAN
  • Особенность: Может переносить кадры из разных VLAN одновременно
  • Кадры: Отправляются с тегом VLAN (tagged) — стандарт 802.1Q
  • Пример: Trunk между коммутаторами переносит VLAN 10, 20, 30

Аналогия: Access-порт — это "дверь в квартиру" (один VLAN), а Trunk-порт — это "лифт в доме" (много VLAN одновременно).

Тег 802.1Q: как помечаются кадры

Когда кадр проходит через Trunk-порт, к нему добавляется тег 802.1Q — это 4 байта информации, которая содержит номер VLAN.

Структура тега 802.1Q:

  • TPID (Tag Protocol Identifier) — 0x8100, указывает что это тег 802.1Q
  • PCP (Priority Code Point) — приоритет кадра (0-7) для QoS
  • DEI (Drop Eligible Indicator) — можно ли отбросить кадр при перегрузке
  • VID (VLAN ID) — номер VLAN (1-4094), это главное поле
# Примеры настройки VLAN (концептуальные команды)
# Создание VLAN 10
vlan 10
 name Sales

# Настройка Access-порта (порт 1 → VLAN 10)
interface eth1
 switchport mode access
 switchport access vlan 10

# Настройка Trunk-порта (между коммутаторами)
interface eth2
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30
 switchport trunk native vlan 1

Native VLAN: особый случай

Native VLAN — это VLAN, кадры которого отправляются без тега на Trunk-порту. По умолчанию это VLAN 1. Это нужно для совместимости со старым оборудованием, которое не понимает теги.

Важно: Native VLAN должен быть одинаковым на обоих концах Trunk-соединения, иначе возникнут проблемы с коммутацией.

Практический пример: офисная сеть

Сценарий:

Офис с тремя отделами: продажи (VLAN 10), бухгалтерия (VLAN 20), гости (VLAN 30).

  1. Коммутатор 1:
    • Порты 1-5 → Access, VLAN 10 (продажи)
    • Порты 6-10 → Access, VLAN 20 (бухгалтерия)
    • Порт 24 → Trunk (соединение с коммутатором 2)
  2. Коммутатор 2:
    • Порты 1-3 → Access, VLAN 30 (гости)
    • Порт 24 → Trunk (соединение с коммутатором 1)
  3. Результат:
    • Устройства из VLAN 10 не видят устройства из VLAN 20 и 30
    • Все VLAN передаются через Trunk между коммутаторами
    • Для связи между VLAN нужен маршрутизатор

Преимущества VLAN

Зачем использовать VLAN:

  • Безопасность: Изоляция трафика между отделами
  • Уменьшение broadcast-трафика: Broadcast не выходит за пределы VLAN
  • Гибкость: Логическое разделение без физической перестройки сети
  • Управление: Легче применять политики безопасности к группам устройств
  • Масштабирование: Сеть легче расширять и управлять

Технические детали (для углубленного изучения)

QinQ (802.1ad) — двойная тегировка:

Используется провайдерами для передачи клиентских VLAN через свою сеть. Добавляется второй тег (S-tag) поверх клиентского тега (C-tag).

PCP и QoS: Поле Priority Code Point в теге 802.1Q может использоваться для базового управления качеством обслуживания на уровне L2, но обычно QoS настраивается на уровне L3 (IP).

VTP: управление VLAN

VTP (VLAN Trunking Protocol) — проприетарный протокол Cisco для автоматической синхронизации конфигурации VLAN между коммутаторами. Позволяет создать VLAN на одном коммутаторе, и он автоматически распространится на все остальные.

Режимы работы VTP:

  • Server — может создавать, изменять и удалять VLAN. Распространяет изменения на другие коммутаторы
  • Client — получает информацию о VLAN от серверов, но не может изменять конфигурацию
  • Transparent — не участвует в VTP, но пропускает VTP-сообщения через себя. Может создавать локальные VLAN

Как работает VTP:

  1. VTP Domain: Все коммутаторы должны быть в одном домене (имя домена)
  2. Revision Number: Каждое изменение увеличивает номер ревизии
  3. Распространение: Коммутатор с большим номером ревизии отправляет обновления остальным
  4. Синхронизация: Коммутаторы принимают изменения и обновляют свою конфигурацию

Опасность VTP: Если подключить коммутатор с более высоким номером ревизии и неправильной конфигурацией, он может удалить все VLAN в сети! Рекомендуется использовать Transparent режим или отключать VTP, если не нужна автоматическая синхронизация.

DTP: автонастройка Trunk

DTP (Dynamic Trunking Protocol) — проприетарный протокол Cisco для автоматического согласования режима порта (Access или Trunk) между двумя коммутаторами.

Режимы DTP:

  • Dynamic Auto — порт становится Trunk, если соседний порт активно предлагает (Dynamic Desirable или Trunk)
  • Dynamic Desirable — порт активно пытается стать Trunk, отправляет DTP-запросы
  • Trunk — порт всегда работает как Trunk
  • Access — порт всегда работает как Access
  • Nonegotiate — DTP отключен, порт не отправляет DTP-сообщения
Локальный портСоседний портРезультат
Dynamic AutoDynamic AutoAccess
Dynamic AutoDynamic DesirableTrunk
Dynamic AutoTrunkTrunk
Dynamic DesirableDynamic DesirableTrunk
Dynamic DesirableTrunkTrunk
TrunkTrunkTrunk
AccessAccessAccess

Безопасность: DTP может быть использован для атак. Рекомендуется явно настраивать режим портов (Access или Trunk) и отключать DTP командой switchport nonegotiate, особенно на портах, подключенных к конечным устройствам.

# Примеры настройки VTP и DTP (концептуальные команды)
# Настройка VTP
vtp domain MyCompany
vtp mode transparent
vtp password SecurePassword

# Отключение DTP (рекомендуется для безопасности)
interface eth1
 switchport mode access
 switchport nonegotiate

# Явная настройка Trunk без DTP
interface eth2
 switchport mode trunk
 switchport nonegotiate
 switchport trunk allowed vlan 10,20,30

Резюме

Ключевые моменты:

  • VLAN — логическое разделение одной физической сети на несколько виртуальных
  • Access-порт — для конечных устройств, один VLAN, кадры без тега
  • Trunk-порт — для соединения коммутаторов, несколько VLAN, кадры с тегом 802.1Q
  • Тег 802.1Q — 4 байта, содержащие номер VLAN и приоритет
  • Native VLAN — VLAN без тега на Trunk (по умолчанию VLAN 1)
  • VTP — автоматическая синхронизация VLAN между коммутаторами (используйте осторожно!)
  • DTP — автоматическое согласование режима порта (рекомендуется отключать для безопасности)

Цель VLAN: Изоляция трафика, повышение безопасности и управляемости сети без физического разделения.

3.3 STP/RSTP

Проблема: петли в сети

Представьте сеть с несколькими коммутаторами, соединенными между собой для надежности (избыточность). Если между коммутаторами есть несколько путей, возникает петля (loop) — это когда данные могут циркулировать по кругу бесконечно.

Что происходит при петле:

  1. Broadcast-шторм: Broadcast-кадр (например, ARP-запрос) попадает в петлю и начинает циркулировать, создавая копии самого себя
  2. Перегрузка сети: Трафик растет экспоненциально, забивая все каналы
  3. Нестабильность MAC-таблиц: Коммутаторы видят один MAC-адрес на разных портах и постоянно обновляют таблицы
  4. Отказ сети: Сеть становится полностью неработоспособной

Аналогия: Представьте почтовое отделение, где письма ходят по кругу между отделениями и никогда не доходят до адресата. Это и есть петля в сети.

Решение: STP (Spanning Tree Protocol)

STP (Spanning Tree Protocol) — протокол, который автоматически блокирует избыточные пути в сети, создавая "дерево" без петель. Он оставляет только один активный путь между любыми двумя устройствами, а остальные блокирует.

Как работает STP:

  1. Выбор корневого коммутатора (Root Bridge): Все коммутаторы выбирают один "главный" коммутатор на основе Bridge ID (приоритет + MAC-адрес). Чем меньше Bridge ID, тем лучше.
  2. Определение путей: Каждый коммутатор находит кратчайший путь к корневому коммутатору
  3. Блокировка портов: Порты, которые создают избыточные пути, переводятся в состояние Blocking (блокировка)
  4. Активные пути: Остаются только порты, которые не создают петель

Роли портов в STP

Типы портов:

  • Root Port — порт на каждом коммутаторе (кроме корневого), который ведет к корневому коммутатору кратчайшим путем. У каждого коммутатора только один Root Port.
  • Designated Port — активный порт на сегменте сети, который пересылает трафик. На каждом сегменте только один Designated Port.
  • Alternate/Backup Port — заблокированный порт, который создает избыточный путь. Эти порты находятся в состоянии Blocking и не пересылают трафик.

Состояния портов STP

Порты проходят через несколько состояний перед тем, как начать пересылать трафик:

Переход порта в активное состояние:

  1. Blocking (блокировка) — порт не пересылает кадры, но слушает BPDU (Bridge Protocol Data Units) — служебные сообщения STP
  2. Listening (прослушивание) — порт начинает участвовать в выборе путей, но еще не пересылает данные
  3. Learning (обучение) — порт изучает MAC-адреса, но еще не пересылает данные
  4. Forwarding (пересылка) — порт полностью активен и пересылает трафик

Время перехода: Переход из Blocking в Forwarding занимает около 30-50 секунд (Forward Delay × 2 + Max Age). Это нужно, чтобы избежать временных петель при изменениях в сети.

RSTP: быстрая версия STP

RSTP (Rapid Spanning Tree Protocol) — улучшенная версия STP, которая ускоряет сходимость (время восстановления после изменений) с 30-50 секунд до 1-2 секунд.

Улучшения RSTP:

  • Быстрая конвергенция: Порты могут сразу переходить в Forwarding, если нет риска петли
  • Новые роли портов: Добавлены Alternate и Backup порты для лучшего управления
  • Согласование портов: Порты могут договариваться о быстром переходе в активное состояние
  • Обратная совместимость: RSTP работает со старым STP

Bridge ID: как выбирается корневой коммутатор

Bridge ID состоит из двух частей:

  • Приоритет (2 байта) — настраиваемое значение (по умолчанию 32768)
  • MAC-адрес (6 байт) — уникальный адрес коммутатора

Коммутатор с наименьшим Bridge ID становится корневым. Сначала сравнивается приоритет, если равны — сравнивается MAC-адрес.

# Пример настройки приоритета STP (концептуальные команды)
# Установить приоритет коммутатора (чем меньше, тем лучше)
spanning-tree priority 4096

# Просмотр информации о STP
show spanning-tree
show spanning-tree root

Практические рекомендации

Настройки для стабильной работы:

  • PortFast — на портах, подключенных к конечным устройствам (компьютеры, серверы). Позволяет порту сразу переходить в Forwarding, минуя промежуточные состояния.
  • BPDU Guard — защита от подключения неавторизованных коммутаторов. Если на порте с PortFast приходит BPDU, порт блокируется.
  • Root Guard — защита от изменения корневого коммутатора. Если на защищенном порте появляется лучший BPDU, порт переходит в состояние "root-inconsistent".

MSTP: множественные экземпляры STP

MSTP (Multiple Spanning Tree Protocol) позволяет создавать несколько независимых деревьев STP для разных групп VLAN. Это дает возможность балансировать нагрузку между несколькими путями.

Пример: VLAN 10-20 используют один путь, VLAN 30-40 используют другой путь. Это повышает эффективность использования каналов.

Резюме

Ключевые моменты:

  • Проблема: Петли в сети вызывают broadcast-шторм и отказ сети
  • Решение: STP автоматически блокирует избыточные пути, создавая дерево без петель
  • Корневой коммутатор: Выбирается по наименьшему Bridge ID (приоритет + MAC)
  • Роли портов: Root Port, Designated Port, Alternate/Backup Port
  • Состояния: Blocking → Listening → Learning → Forwarding
  • RSTP: Быстрая версия STP с конвергенцией 1-2 секунды

Цель STP: Обеспечить отказоустойчивость сети (избыточные пути) без создания петель.

3.4 Беспроводные сети 802.11

Что такое Wi‑Fi?

Wi‑Fi (Wireless Fidelity) — это технология беспроводной передачи данных по стандарту IEEE 802.11. В отличие от проводных сетей (Ethernet), Wi‑Fi использует радиоволны для передачи данных между устройствами.

Аналогия: Если Ethernet — это "проводной телефон", то Wi‑Fi — это "радио". Данные передаются по воздуху, без кабелей.

Диапазоны частот Wi‑Fi

Wi‑Fi работает в нескольких диапазонах радиочастот:

Основные диапазоны:

  • 2.4 ГГц — старый, но широко поддерживаемый диапазон. Плюсы: хорошее проникновение через стены, большая дальность. Минусы: перегружен (много устройств), медленнее.
  • 5 ГГц — современный диапазон. Плюсы: больше каналов, выше скорость, меньше помех. Минусы: меньшая дальность, хуже проходит через стены.
  • 6 ГГц — новый диапазон (Wi‑Fi 6E). Плюсы: еще больше каналов, очень высокая скорость. Минусы: требует новых устройств, меньшая дальность.

Каналы и ширина канала

Каждый диапазон разделен на каналы — это как "полосы движения" для данных. Ширина канала определяет, сколько данных можно передать одновременно.

Ширина каналов:

  • 20 МГц — узкий канал, меньше помех, подходит для плотных сетей
  • 40 МГц — средний канал, выше скорость, но больше помех
  • 80 МГц — широкий канал, очень высокая скорость (5 ГГц)
  • 160 МГц — очень широкий канал, максимальная скорость (5/6 ГГц)

Важно: Чем шире канал, тем выше скорость, но тем больше помех от соседних сетей. В плотных сетях лучше использовать узкие каналы (20/40 МГц).

Стандарты Wi‑Fi

Стандарты 802.11 определяют возможности Wi‑Fi. Каждый новый стандарт добавляет скорость и улучшения:

Основные стандарты:

  • 802.11n (Wi‑Fi 4) — поддерживает MIMO, скорость до 600 Мбит/с, работает на 2.4 и 5 ГГц
  • 802.11ac (Wi‑Fi 5) — только 5 ГГц, скорость до 6.77 Гбит/с, широкие каналы (80/160 МГц)
  • 802.11ax (Wi‑Fi 6) — работает на 2.4, 5 и 6 ГГц, скорость до 9.6 Гбит/с, лучше для множества устройств
  • 802.11be (Wi‑Fi 7) — новейший стандарт, скорость до 46 Гбит/с, еще более эффективен

MIMO: множественные антенны

MIMO (Multiple Input Multiple Output) — технология использования нескольких антенн для одновременной передачи данных. Это увеличивает скорость и надежность.

Пример: Если одна антенна — это "одна дорога", то MIMO — это "несколько дорог одновременно". Данные передаются параллельно, что ускоряет передачу.

Безопасность Wi‑Fi

Беспроводные сети уязвимы, так как данные передаются по воздуху. Важно использовать современные методы защиты:

Методы защиты:

  • WPA3 — самый современный стандарт безопасности. Использует SAE (Simultaneous Authentication of Equals) для защиты от атак перебора паролей.
  • WPA2 — предыдущий стандарт, все еще широко используется. Использует 4-шаговое рукопожатие для установления соединения.
  • 802.1X — корпоративный стандарт, требует сервер аутентификации (RADIUS). Каждое устройство аутентифицируется отдельно.
  • Изоляция клиентов — устройства в одной сети не могут общаться друг с другом напрямую (важно для гостевых сетей).

CSMA/CA: как избежать коллизий

В проводных сетях используется CSMA/CD (обнаружение коллизий). В Wi‑Fi это невозможно, так как устройство не может одновременно передавать и слушать. Поэтому используется CSMA/CA (Carrier Sense Multiple Access with Collision Avoidance) — предотвращение коллизий.

Как работает CSMA/CA:

  1. Прослушивание: Устройство слушает эфир перед передачей
  2. Ожидание: Если эфир занят, устройство ждет случайное время
  3. RTS/CTS: Для больших пакетов используется RTS (Request To Send) и CTS (Clear To Send) — "разрешение на передачу"
  4. Передача: Только после получения разрешения начинается передача

Планирование Wi‑Fi сети (RF-планирование)

Для качественной работы Wi‑Fi важно правильно спланировать размещение точек доступа (AP):

Ключевые принципы:

  • Покрытие: Точки доступа должны покрывать всю нужную зону без "мертвых зон"
  • Мощность: Не делайте мощность слишком высокой — это создаст помехи соседним AP
  • Каналы: Используйте непересекающиеся каналы для соседних AP (например, 1, 6, 11 в диапазоне 2.4 ГГц)
  • Плотность: В местах с большим количеством устройств используйте больше AP с меньшей мощностью

Роуминг: переход между точками доступа

Когда устройство перемещается, оно должно переключаться между точками доступа. Это называется роумингом.

Механизмы роуминга:

  • 802.11k — точка доступа сообщает клиенту список соседних AP и их характеристики
  • 802.11v — точка доступа может "подсказать" клиенту, когда лучше переключиться на другую AP
  • 802.11r (FT) — быстрое переключение (Fast Transition). Ключи шифрования передаются заранее, что ускоряет переход

Важно: Для качественного роуминга соседние AP должны использовать разные каналы, но иметь схожий уровень сигнала. Это позволяет устройству плавно переключаться.

QoS в Wi‑Fi: приоритизация трафика

WMM (Wi‑Fi Multimedia) — стандарт QoS для Wi‑Fi. Он разделяет трафик на категории с разными приоритетами:

Категории трафика (Access Categories):

  • AC_VO (Voice) — голосовой трафик (высший приоритет)
  • AC_VI (Video) — видеотрафик
  • AC_BE (Best Effort) — обычный трафик (веб, почта)
  • AC_BK (Background) — фоновый трафик (низший приоритет)

Резюме

Ключевые моменты:

  • Wi‑Fi — беспроводная технология передачи данных по стандарту 802.11
  • Диапазоны: 2.4 ГГц (дальность), 5 ГГц (скорость), 6 ГГц (максимальная скорость)
  • Каналы: Ширина канала (20/40/80/160 МГц) влияет на скорость и помехи
  • Стандарты: 802.11n/ac/ax/be — каждый новый стандарт быстрее предыдущего
  • Безопасность: WPA3 — самый современный, WPA2 — все еще широко используется
  • CSMA/CA — предотвращение коллизий в беспроводных сетях
  • Планирование: Правильное размещение AP и выбор каналов критичны для качества

Цель: Обеспечить надежное, быстрое и безопасное беспроводное соединение для множества устройств.

3.5 LACP и безопасность портов

Проблема: один канал недостаточен

Иногда пропускной способности одного кабеля между коммутаторами недостаточно. Или нужна отказоустойчивость — если один кабель оборвется, связь должна сохраниться.

Решение: Агрегация каналов (Link Aggregation) — объединение нескольких физических каналов в один логический. Это как объединить несколько дорог в одну широкую магистраль.

LACP: протокол агрегации

LACP (Link Aggregation Control Protocol, стандарт 802.1AX) — протокол, который автоматически объединяет несколько физических портов в один логический канал (LAG — Link Aggregation Group).

Преимущества агрегации:

  • Повышение пропускной способности: Если объединить два канала по 1 Гбит/с, получится канал 2 Гбит/с
  • Отказоустойчивость: Если один кабель выйдет из строя, остальные продолжат работать
  • Балансировка нагрузки: Трафик распределяется между каналами

Как работает LACP?

Процесс агрегации:

  1. Обнаружение: Коммутаторы обмениваются LACP-сообщениями и обнаруживают совместимые порты
  2. Согласование: Проверяется совместимость портов (скорость, дуплекс, настройки)
  3. Объединение: Совместимые порты объединяются в одну логическую группу
  4. Распределение трафика: Трафик распределяется между портами по алгоритму хэширования
# Пример настройки LACP (концептуальные команды)
# Создание группы агрегации
interface port-channel 1

# Настройка портов для агрегации
interface eth1
 channel-group 1 mode active

interface eth2
 channel-group 1 mode active

# Просмотр состояния агрегации
show etherchannel summary

Балансировка трафика

Трафик в агрегированном канале распределяется между физическими линками. Важно понимать:

Принцип распределения:

  • По потокам: Один поток (например, соединение между двумя устройствами) всегда идет по одному каналу
  • Хэширование: Коммутатор вычисляет хэш на основе IP-адресов, MAC-адресов или портов и выбирает канал
  • Ограничение: Один поток не может превысить пропускную способность одного физического линка

Пример: Если у вас агрегация 2×1 Гбит/с, один поток не может быть быстрее 1 Гбит/с, но несколько потоков могут использовать оба канала одновременно.

Port Security: защита портов

Port Security — функция безопасности коммутатора, которая ограничивает количество MAC-адресов, которые могут использовать порт.

Зачем нужна Port Security:

  • Защита от несанкционированного доступа: Если кто-то подключит неавторизованное устройство, порт заблокируется
  • Ограничение устройств: Можно разрешить только определенные MAC-адреса на порту
  • Защита от атак: Предотвращает атаки, связанные с подменой MAC-адресов

Настройки Port Security:

  • Максимальное количество MAC: Сколько устройств может быть подключено к порту (например, 1 или 5)
  • Статические MAC: Можно указать конкретные MAC-адреса, которым разрешен доступ
  • Реакция на нарушение: Что делать при нарушении (заблокировать порт, отправить уведомление и т.д.)
# Пример настройки Port Security (концептуальные команды)
interface eth1
 switchport mode access
 switchport port-security
 switchport port-security maximum 2
 switchport port-security violation restrict
# restrict - отправляет уведомление, но не блокирует порт
# shutdown - полностью блокирует порт

Резюме

Ключевые моменты:

  • LACP — протокол для объединения нескольких физических каналов в один логический
  • Преимущества: Повышение пропускной способности, отказоустойчивость, балансировка нагрузки
  • Балансировка: Трафик распределяется по потокам с использованием хэширования
  • Port Security — ограничение количества MAC-адресов на порту для безопасности

Цель: Повысить производительность и надежность сети, а также защитить ее от несанкционированного доступа.

3.6 Ethernet OAM

Ethernet OAM — это набор механизмов для мониторинга и диагностики L2‑сервисов. Ключевые стандарты: 802.3ah (канальный OAM), 802.1ag/ITU‑T Y.1731 (CFM/OAM для обслуживания).

Компоненты и функции

  • CFM домены/уровни (MEG/MD/MA): иерархия обслуживаемых сущностей; уровни разделяют клиентские и провайдерские домены.
  • CCM: непрерывные контрольные сообщения для проверки целостности пути.
  • LB/LT: Loopback/Linktrace — аналог ping/traceroute на L2.
  • Y.1731 метрики: задержка, вариация задержки, потери, измерение SLA.
  • Fault management: AIS, RDI, локализация и сигнализация отказов.

Практика: OAM не заменяет SNMP/телеметрию, а дополняет их для быстрой локализации проблем внутри L2‑сервисов (E‑Line/E‑LAN).

3.7 Кадры Wi‑Fi и контроллеры

Типы кадров 802.11

В Wi‑Fi используются три типа кадров для разных целей:

Управляющие кадры (Management Frames):

  • Beacon — точка доступа периодически отправляет эти кадры, чтобы объявить о своем существовании и параметрах сети (SSID, скорость, безопасность)
  • Probe Request/Response — клиент ищет сети (Probe Request), точка доступа отвечает (Probe Response)
  • Authentication — аутентификация клиента перед подключением
  • Association — финальный шаг подключения, клиент "регистрируется" в сети

Контрольные кадры (Control Frames):

  • RTS (Request To Send) — запрос на передачу данных
  • CTS (Clear To Send) — разрешение на передачу
  • ACK — подтверждение получения кадра

Эти кадры помогают избежать коллизий и подтверждают успешную передачу.

Кадры данных (Data Frames):

  • Содержат полезную нагрузку (IP-пакеты, веб-страницы и т.д.)
  • Могут включать QoS-информацию для приоритизации трафика

Процесс подключения к Wi‑Fi

Шаги подключения:

  1. Сканирование: Клиент слушает Beacon-кадры или отправляет Probe Request
  2. Аутентификация: Клиент и точка доступа обмениваются Authentication-кадрами
  3. Ассоциация: Клиент отправляет Association Request, точка доступа отвечает Association Response
  4. Безопасность: Происходит 4-шаговое рукопожатие (WPA2) или SAE (WPA3) для установления шифрования
  5. Передача данных: Теперь клиент может отправлять и получать данные

Безопасность: WPA2 и WPA3

WPA2 (4-шаговое рукопожатие):

  1. Точка доступа отправляет случайное число (ANonce)
  2. Клиент вычисляет ключ и отправляет свое число (SNonce)
  3. Точка доступа проверяет и подтверждает
  4. Клиент подтверждает, соединение установлено

WPA3 (SAE — Simultaneous Authentication of Equals):

  • Более безопасный метод, защищает от атак перебора паролей
  • Обе стороны доказывают знание пароля одновременно
  • Даже если злоумышленник перехватит обмен, он не сможет узнать пароль

PMF (Protected Management Frames): Защищает управляющие кадры от подделки. Важно для предотвращения атак отключения устройств от сети.

Контроллерные архитектуры Wi‑Fi

В больших сетях с множеством точек доступа используется централизованное управление через контроллеры.

WLC + Lightweight AP (централизованная архитектура):

  • WLC (Wireless LAN Controller) — центральный контроллер, управляет всеми точками доступа
  • Lightweight AP — "легкие" точки доступа, которые получают настройки от контроллера
  • CAPWAP — протокол для управления AP и туннелирования данных
  • Преимущества: Централизованная политика безопасности, единое управление, упрощенная настройка

Distributed/Cloud архитектура:

  • Облачная координация: Управление через облачный сервис, не нужен локальный контроллер
  • Локальный breakout: Трафик может обрабатываться локально, не проходя через облако
  • Автоподстройка RF: Система автоматически настраивает мощность и каналы точек доступа
  • Преимущества: Масштабируемость, простота развертывания, автоматизация

Выбор архитектуры: Централизованная (WLC) подходит для крупных корпоративных сетей. Облачная — для распределенных сетей и упрощенного управления.

Резюме

Ключевые моменты:

  • Типы кадров: Управляющие (Beacon, Probe, Auth, Assoc), контрольные (RTS/CTS/ACK), данные
  • Подключение: Сканирование → Аутентификация → Ассоциация → Безопасность → Передача данных
  • WPA2: 4-шаговое рукопожатие для установления шифрования
  • WPA3: SAE — более безопасный метод аутентификации
  • Контроллеры: WLC для централизованного управления или облачная архитектура для распределенных сетей

Цель: Обеспечить безопасное подключение устройств к Wi‑Fi и эффективное управление беспроводной сетью.

Настройки

Цветовая схема

Тема