Warstwy łącza danych (Data Link Layer, L2) oraz sieciowa (Network Layer, L3) stanowią inżynieryjne serce architektury teleinformatycznej. To właśnie na tych dwóch poziomach następuje fundamentalne przejście od lokalnego, fizycznego medium transmisyjnego (kabla miedzianego, światłowodu lub fali radiowej) do logicznej, globalnej cyberprzestrzeni łączącej miliardy urządzeń na całym świecie. Każda z tych warstw operuje na zupełnie innym poziomie abstrakcji, posiada odrębny schemat adresowania oraz własne protokoły sterujące i diagnostyczne.

Warstwa łącza danych odpowiada za niezawodny lub niestrzeżony transfer jednostek danych protokołu (PDU), zwanych ramkami (Frames), pomiędzy bezpośrednio połączonymi sąsiadami w obrębie tej samej sieci lokalnej (Local Area Network - LAN). Standardem dominującym w sieciach przewodowych jest standard rodziny IEEE 802.3 Ethernet, wykorzystujący 48-bitowe adresy fizyczne MAC (Media Access Control). Na tym poziomie analizujemy procesy organizacji dostępu do medium (CSMA/CD), budowę ramki Ethernet II, mechanizmy uczenia się i przełączania w tablicach CAM przełączników oraz eliminację zapętleń topologii za pomocą protokołów drzewa rozpinającego STP i RSTP.

Z kolei warstwa sieciowa uniezależnia komunikację od fizycznych technologii transmisyjnych, wprowadzając logiczne, hierarchiczne adresowanie IP. Protokół IPv4 (RFC 791) kapsułkuje dane w datagramy i podejmuje decyzje o ich trasowaniu (routingu) przez węzły pośredniczące (routery). Integralną częścią tej warstwy są protokoły pomocnicze: Address Resolution Protocol (ARP, RFC 826) stanowiący krytyczny pomost łączący adresy logiczne IP z adresami fizycznymi MAC w sieci LAN, Internet Control Message Protocol (ICMP, RFC 792) zapewniający diagnostykę i sygnalizację błędów, oraz Internet Group Management Protocol (IGMP) zarządzający transmisjami grupowymi (Multicast).

Program niniejszego wykładu został ułożony w logiczny ciąg dydaktyczny, który pozwala studentom prześledzić interakcje zachodzące pomiędzy warstwą sieciową a warstwą łącza danych podczas transmisji każdego pakietu. Moduł rozpoczynamy od dekompozycji protokołu IPv4. Zbadamy szczegółowo 20-bajtowy bazowy nagłówek datagramu, analizując funkcje poszczególnych pól ze szczególnym uwzględnieniem mechanizmów Time to Live (TTL) oraz sumy kontrolnej nagłówka.

W dalszej kolejności przeanalizujemy zjawisko fragmentacji pakietów IPv4. Poznamy rolę pól Identification, Flags (bity Don't Fragment i More Fragments) oraz Fragment Offset, a także zrozumiemy, dlaczego nowoczesne sieci unikają fragmentacji za pomocą techniki Path MTU Discovery. Następnie poddamy wiwisekcji protokół ICMP, który stanowi podstawę działania fundamentalnych narzędzi każdego inżyniera sieciowego – ping oraz traceroute. Nie pominiemy również protokołu ARP, analizując zarówno poprawny proces mapowania adresów IP na MAC, jak i niebezpieczne ataki typu ARP Spoofing / Poisoning oraz metody ich neutralizacji za pomocą funkcji Dynamic ARP Inspection (DAI).

Druga część modułu poświęcona jest w całości warstwie łącza danych i technologii Ethernet. Zbadamy budowę ramki Ethernet II, zrozumiemy matematyczne i fizyczne uzasadnienie minimalnego rozmiaru ramki wynoszącego 64 bajty oraz podział przestrzeni adresowej MAC na adresy indywidualne, grupowe i rozgłoszeniowe (z uwzględnieniem bitów I/G i U/L). Poznamy wewnętrzne mechanizmy działania przełączników warstwy 2 (tablice CAM) oraz protokoły STP (IEEE 802.1D) i RSTP (IEEE 802.1w), które chronią infrastrukturę przed paraliżującymi burzami rozgłoszeniowymi. Moduł wieńczy bogaty blok pytań sprawdzających wiedzę oraz laboratoriów diagnostycznych opartych na programie Wireshark i narzędziach systemowych Linux.

Protokół internetowy IPv4 (Internet Protocol version 4), zdefiniowany w fundamentalnym dokumencie RFC 791 z 1981 roku, jest bezpołączeniowym protokołem sieciowym działającym w trybie Best-Effort. Oznacza to, że pojedynczy datagram IPv4 jest traktowany niezależnie od innych, a sieć nie gwarantuje jego dostarczenia, kolejności ani braku duplikatów. Aby umożliwić routerom pośredniczącym podejmowanie decyzji o przekazywaniu pakietu (forwarding), każdy datagram jest poprzedzony ustrukturyzowanym nagłówkiem binarnym.

Standardowy nagłówek IPv4 bez opcji dodatkowych ma rozmiar 20 bajtów (5 słów 32-bitowych) i składa się z następujących pól: 1. Version (Wersja, 4 bity): identyfikuje wersję protokołu; dla IPv4 pole to ma zawsze binarną wartość 0100 (cyfra 4). 2. IHL (Internet Header Length, 4 bity): określa długość nagłówka w słowach 32-bitowych (4-bajtowych). Minimalna wartość wynosi 5 (5 * 4 = 20 bajtów). Maksymalna wartość 15 oznacza, że nagłówek z opcjami może mieć do 60 bajtów. 3. DSCP i ECN (Differentiated Services Code Point / Explicit Congestion Notification, 8 bitów): historycznie pole Type of Service (ToS); służy do klasyfikacji jakości usług (QoS) oraz sygnalizacji zatorów w routerach (RFC 2474, RFC 3168). 4. Total Length (Długość całkowita, 16 bitów): określa całkowity rozmiar datagramu (nagłówek + dane) w bajtach. Maksymalny teoretyczny rozmiar pakietu IPv4 wynosi 65535 bajtów (2¹⁶ - 1). 5. Identification, Flags, Fragment Offset (łącznie 32 bity): pola sterujące podziałem pakietów podczas fragmentacji w węzłach pośrednich. 6. Time to Live (TTL, 8 bitów): licznik przeskoków zapobiegający niekończącemu się krążeniu pakietów w pętlach routingu. 7. Protocol (Protokół, 8 bitów): identyfikuje protokół wyższej warstwy, którego dane są niesione w ładunku (np. 1 dla ICMP, 6 dla TCP, 17 dla UDP, 47 dla GRE, 89 dla OSPF). 8. Header Checksum (Suma kontrolna nagłówka, 16 bitów): suma jedynkowa dopełnień chroniąca wyłącznie nagłówek IPv4 (dane nie są chronione sumą w warstwie L3). 9. Source IP Address (32 bity) oraz Destination IP Address (32 bity): adresy logiczne nadawcy i odbiorcy pakietu.

Warto odnotować, że ponieważ każdy router na trasie pakietu zmniejsza wartość pola TTL o 1, pole Header Checksum musi być przeliczane od nowa na każdym pojedynczym przeskoku (hop) w sieci. Stanowi to istotny narzut obliczeniowy dla procesorów sieciowych, co było jednym z głównych powodów całkowitego usunięcia sumy kontrolnej z nagłówka nowszego protokołu IPv6 (RFC 8200).

Różne technologie warstwy łącza danych charakteryzują się odmiennymi ograniczeniami maksymalnego rozmiaru jednostki transmisyjnej (MTU). Standardowy Ethernet ma MTU = 1500 bajtów, sieci komórkowe lub tunele VPN często narzucają MTU rzędu 1400–1420 bajtów, a historyczne sieci Token Ring dopuszczały ramki o rozmiarze ponad 4000 bajtów. Gdy router otrzymuje datagram IPv4, którego długość całkowita (Total Length) przekracza MTU interfejsu wychodzącego, router musi dokonać jego podziału na fragmenty (chyba że pakiet ma ustawiony bit Don't Fragment).

Proces fragmentacji opiera się na precyzyjnym współdziałaniu trzech pól nagłówka IPv4: 1. Identification (16 bitów): unikalny identyfikator przydzielony przez hosta nadawczego. Wszystkie fragmenty powstałe z rozbicia tego samego pierwotnego datagramu noszą dokładnie tę samą wartość pola Identification, co pozwala hostowi docelowemu na ich bezbłędne powiązanie. 2. Flags (3 bity): - Bit 0: zarezerwowany (musi wynosić 0). - Bit 1 (DF - Don't Fragment): jeśli jest ustawiony na 1, routerowi pod żadnym pozorem nie wolno dzielić pakietu. Jeśli pakiet nie mieści się w MTU, router go porzuca i odsyła nadawcy komunikat błędu ICMP Type 3 Code 4 (Fragmentation Needed and DF set). - Bit 2 (MF - More Fragments): wartość 1 oznacza, że dany pakiet jest fragmentem i po nim nadejdą kolejne. Ostatni fragment pakietu ma bit MF ustawiony na 0 (oznaczając koniec sekwencji). 3. Fragment Offset (13 bitów): przesunięcie danych zawartych w danym fragmencie względem początku oryginalnego ładunku. Przesunięcie jest wyrażane w jednostkach 8-bajtowych (64-bitowych)! Oznacza to, że rozmiar danych każdego fragmentu (z wyjątkiem ostatniego) musi być podzielny przez 8.

Kluczową zasadą architektoniczną jest fakt, że rekonstrukcja (reassembly) fragmentów odbywa się wyłącznie w węźle docelowym, nigdy na routerach pośredniczących. Jeżeli chociażby jeden fragment z serii ulegnie zgubieniu lub uszkodzeniu w tranzycie, host docelowy po wygaśnięciu timera reassembly porzuca wszystkie odebrane już fragmenty, a cały pierwotny datagram musi zostać retransmitowany przez wyższe warstwy (np. TCP). Z tego względu fragmentacja drastycznie obniża wydajność i jest powszechnie eliminowana za pomocą procedury Path MTU Discovery (RFC 1191).

Protokół IP został zaprojektowany jako prosty mechanizm przesyłania danych pozbawiony wewnętrznych funkcji kontrolnych i sygnalizacyjnych. Rolę układu nerwowego i systemu powiadamiania o awariach w sieci pełni Internet Control Message Protocol (ICMP). Komunikaty ICMP są bezpośrednio enkapsulowane wewnątrz pakietów IP (pole Protocol = 1 w IPv4), lecz logicznie stanowią integralną część warstwy sieciowej (L3). Każdy komunikat ICMP posiada nagłówek rozpoczynający się od 8-bitowego pola Type (Typ komunikatu), 8-bitowego pola Code (Szczegółowy kod błędu) oraz 16-bitowej sumy kontrolnej.

Komunikaty ICMP dzielą się na dwie fundamentalne kategorie: 1. Komunikaty diagnostyczne (Query / Informational Messages): - Echo Request (Typ 8, Kod 0) oraz Echo Reply (Typ 0, Kod 0) – tworzą fundament najpopularniejszego narzędzia diagnostycznego ping. Pozwalają zmierzyć czas podróży w obie strony (Round-Trip Time - RTT) oraz zweryfikować dostępność docelowego stosu sieciowego. 2. Komunikaty o błędach (Error Messages): - Destination Unreachable (Typ 3) – generowany przez router lub hosta, gdy pakiet nie może dotrzeć do celu. Kody precyzują przyczynę: Kod 0 (Network Unreachable – brak trasy w tablicy routingu), Kod 1 (Host Unreachable – host nie odpowiada na ARP), Kod 3 (Port Unreachable – brak procesu nasłuchującego na porcie UDP), Kod 4 (Fragmentation Needed and DF set – pakiet zbyt duży dla MTU). - Time Exceeded (Typ 11) – Kod 0 oznacza, że wartość pola TTL w nagłówku pakietu spadła do zera w trakcie tranzytu przez router, co spowodowało odrzucenie datagramu. - Redirect (Typ 5) – router informuje lokalnego hosta o istnieniu lepszej (krótszej) bramy wyjściowej dla wskazanego adresu docelowego.

Zasada działania narzędzia traceroute (lub tracert w systemie Windows) stanowi genialne wykorzystanie komunikatu ICMP Time Exceeded (Typ 11). Narzędzie wysyła serię pakietów z celowo ustawioną początkową wartością pola TTL = 1. Pierwszy router na trasie dekrementuje TTL do 0, odrzuca pakiet i odsyła nadawcy ICMP Time Exceeded ze swojego adresu IP. Następnie program wysyła pakiety z TTL = 2 (odpowiada drugi router), TTL = 3 itd., aż do osiągnięcia celu, rysując w ten sposób pełną, sekwencyjną mapę przeskoków routingu w sieci.

W sieciach lokalnych LAN urządzenia końcowe i routery podejmują decyzje o przesyłaniu danych na podstawie adresów logicznych IPv4. Jednakże fizyczna karta sieciowa Ethernet (NIC) oraz przełączniki warstwy 2 nie rozumieją pojęcia adresu IP – potrafią one odbierać i przekazywać ramki wyłącznie na podstawie 48-bitowych adresów fizycznych MAC (Media Access Control). Aby host źródłowy A mógł wysłać pakiet IP do hosta docelowego B znajdującego się w tej samej podsieci lokalnej, musi najpierw dowiedzieć się, jaki adres MAC posiada interfejs o danym adresie IP. Zadanie to realizuje Address Resolution Protocol (ARP), ustandaryzowany w RFC 826.

Procedura mapowania przebiega w dwóch fazach: 1. ARP Request (Zapytanie): Host A sprawdza swoją lokalną tablicę pamięci podręcznej ARP (ARP Cache). Jeśli nie odnajdzie w niej wpisu dla szukanego adresu IP, generuje komunikat ARP Request: „Kto posiada adres IP 192.168.1.50? Odpowiedz do 192.168.1.10”. Pakiet ten jest umieszczany wewnątrz ramki Ethernet z docelowym adresem fizycznym FF:FF:FF:FF:FF:FF (Broadcast). Ramka trafia do wszystkich portów przełącznika i jest odbierana przez każdy komputer w danej domenie rozgłoszeniowej. 2. ARP Reply (Odpowiedź): Wszystkie komputery w sieci analizują zapytanie, lecz ignorują je, widząc, że adres IP nie należy do nich. Wyłącznie host posiadający adres 192.168.1.50 generuje odpowiedź ARP Reply: „Adres 192.168.1.50 należy do mnie, mój MAC to 00:1A:2B:3C:4D:5E”. Co istotne, odpowiedź ta jest przesyłana w trybie Unicast (bezpośrednio na znany już z zapytania adres MAC hosta A), co eliminuje zbędne zaśmiecanie pasma sieciowego.

Host A po odebraniu odpowiedzi zapisuje parę {IP, MAC} w swojej pamięci podręcznej ARP (ARP Table). Wpisy dynamiczne mają określony czas ważności (zazwyczaj od kilkudziesięciu sekund w Linuksie do kilkunastu minut w systemie Windows), po upływie którego są automatycznie usuwane (aging), aby uwzględnić ewentualną wymianę karty sieciowej w urządzeniu docelowym. Warto podkreślić, że jeśli host docelowy znajduje się w innej podsieci IP (za routerem), host źródłowy wykonuje zapytanie ARP nie o adres serwera docelowego, lecz o adres MAC swojej bramy domyślnej (Default Gateway)!

Protokół ARP został zaprojektowany w latach 80. XX wieku w środowisku akademickim, w którym zakładano absolutne wzajemne zaufanie wszystkich użytkowników sieci lokalnej. W rezultacie protokół ARP jest całkowicie bezstanowy i pozbawiony jakichkolwiek mechanizmów uwierzytelniania. Hosty sieciowe bezkrytycznie akceptują każdą nadesłaną odpowiedź ARP Reply – nawet taką, o którą w ogóle nie prosiły (tzw. Gratuitous ARP lub Unsolicited ARP Reply) – i natychmiast nadpisują nią istniejące wpisy w swojej tablicy sąsiedztwa. Ta fundamentalna luka architektoniczna stanowi podstawę groźnego ataku zwanego ARP Cache Poisoning (zatruwanie tablicy ARP).

Scenariusz ataku Man-in-the-Middle (MitM) z wykorzystaniem narzędzi takich jak arpspoof czy bettercap przebiega następująco: 1. Agresor podłączony do sieci lokalnej zaczyna cyklicznie wysyłać sfałszowane pakiety ARP Reply do komputera ofiary, wmawiając mu: „Adres IP bramy domyślnej (routera) to mój adres MAC”. 2. Jednocześnie agresor wysyła sfałszowane pakiety ARP Reply do routera, twierdząc: „Adres IP komputera ofiary to mój adres MAC”. 3. W efekcie oba urządzenia aktualizują swoje tablice ARP. Od tego momentu cały ruch generowany przez ofiarę w stronę internetu jest kierowany fizycznie do karty sieciowej agresora. Agresor może podsłuchiwać transmisję (sniffing), modyfikować dane w locie, a następnie przekazywać pakiety do rzeczywistego routera, pozostając całkowicie niewidocznym dla użytkownika.

Przed atakami ARP Spoofing nie chronią żadne zapory ogniowe zainstalowane na systemach końcowych, ponieważ atak operuje poniżej warstwy IP. Jedynym skutecznym rozwiązaniem jest zabezpieczenie na poziomie zarządzalnych przełączników warstwy 2 za pomocą funkcji Dynamic ARP Inspection (DAI). Przełącznik z włączoną funkcją DAI monitoruje wszystkie ramki ARP na portach dostępowych i weryfikuje ich poprawność z zaufaną bazą przypisań DHCP Snooping Binding Database. Jeśli nadejdzie pakiet ARP z adresem IP i MAC niezgodnym z tabelą dzierżaw DHCP, przełącznik natychmiast blokuje i porzuca złośliwą ramkę, uniemożliwiając zatrucie sieci.

W tradycyjnej komunikacji sieciowej dominują dwa skrajne modele: Unicast (transmisja jednostkowa od jednego nadawcy do jednego konkretnego odbiorcy) oraz Broadcast (rozgłoszenie trafiające bezwzględnie do wszystkich stacji w danej podsieci). W przypadku transmisji strumieniowych o dużej przepływności (np. telewizja cyfrowa IPTV, wideokonferencje korporacyjne, giełdowe notowania finansowe) żaden z tych modeli nie jest optymalny. Wysyłanie 1000 strumieni Unicast wyczerpałoby pasmo łącza serwera, natomiast wysłanie strumienia w trybie Broadcast sparaliżowałoby komputery użytkowników, którzy wcale nie są zainteresowani odbiorem transmisji.

Rozwiązaniem tego problemu jest transmisja grupowa Multicast. W protokole IPv4 na potrzeby multicastu wydzielono całą historyczną klasę D adresów: od 224.0.0.0 do 239.255.255.255 (prefiks 224.0.0.0/4). Adres multicastowy nie identyfikuje pojedynczego fizycznego hosta, lecz logiczną grupę subskrybentów. Stacja chcąca odbierać transmisję zgłasza chęć dołączenia do grupy za pomocą protokołu IGMP (Internet Group Management Protocol, RFC 3376 - IGMPv3). Routery multicastowe (wykorzystujące np. protokół PIM - Protocol Independent Multicast) budują drzewa dystrybucyjne i powielają pakiety tylko na tych interfejsach, na których znajdują się aktywni odbiorcy.

Niezwykle fascynującym zagadnieniem inżynieryjnym jest mapowanie adresów IP Multicast na adresy warstwy łącza danych Ethernet MAC, zdefiniowane w RFC 1112 przez Steve'a Deeringa. Organizacja IANA zarezerwowała dla multicastu blok 24-bitowych adresów MAC z prefiksem 01:00:5E, lecz ze względów finansowych udostępniła dla IP Multicast jedynie połowę tej przestrzeni (23 bity z najstarszym bitem równym 0: 01:00:5E:00:00:00 do 01:00:5E:7F:FF:FF). Ponieważ adres IP multicastowy niesie 28 zmiennych bitów grupy (32 minus 4 bity stałego prefiksu 1110), aż 5 bitów adresu IP ulega utracie przy mapowaniu na 23 bity adresu MAC! W rezultacie dokładnie 32 różne adresy IP Multicast mapują się na ten sam fizyczny adres MAC, co wymaga od stacji odbiorczej końcowego filtrowania pakietów w warstwie sieciowej.

Ethernet jest bezapelacyjnie najważniejszą technologią warstwy łącza danych w historii informatyki. Choć standard ten powstał pierwotnie w laboratoriach Xerox PARC w latach 70. XX wieku, a następnie został ustandaryzowany przez konsorcjum Digital-Intel-Xerox (Ethernet II / DIX), do dziś stanowi uniwersalny szkielet sieci przewodowych od 10 Mb/s aż po 800 Gb/s. Zrozumienie budowy ramki na poziomie pojedynczych bajtów jest fundamentem prawidłowej konfiguracji i diagnostyki przełączników sieciowych.

Kompletna ramka Ethernet II przesyłana w medium transmisyjnym składa się z następujących komponentów: 1. Preamble (Preambuła, 7 bajtów): naprzemienny ciąg jedynek i zer (wzór binarny 10101010), który służy odbiornikowi warstwy fizycznej (PHY) do zsynchronizowania zegara taktującego bitów z sygnałem nadawcy. 2. SFD (Start Frame Delimiter, 1 bajt): bajt o wartości binarnej 10101011 (szesnastkowo 0xD5). Kończy fazę synchronizacji zegarowej i informuje interfejs sieciowy, że kolejny odebrany bit stanowi początek właściwych danych ramki. (Preambuła i SFD są generowane przez układ PHY i zazwyczaj nie są widoczne w programie Wireshark). 3. Destination MAC (Docelowy adres MAC, 6 bajtów / 48 bitów): fizyczny adres karty sieciowej odbiorcy. 4. Source MAC (Źródłowy adres MAC, 6 bajtów / 48 bitów): fizyczny adres karty sieciowej nadawcy ramki. 5. EtherType (Typ protokołu, 2 bajty): pole identyfikujące protokół wyższej warstwy zawarty w ładunku (np. 0x0800 dla IPv4, 0x86DD dla IPv6, 0x0806 dla ARP, 0x8100 dla ramki ze znacznikiem VLAN 802.1Q). W konkurencyjnym standardzie IEEE 802.3 pole to definiowało długość (Length), lecz w globalnym internecie powszechnie zatriumfował format Ethernet II z polem Type. 6. Payload (Ładunek danych, 46–1500 bajtów): właściwy datagram warstwy sieciowej (np. pakiet IP). Jeżeli dane aplikacji są krótsze niż 46 bajtów (np. mały pakiet ARP), pole to jest dopełniane zerami (Padding), aby spełnić warunek minimalnego rozmiaru ramki. 7. FCS (Frame Check Sequence, 4 bajty): 32-bitowa suma kontrolna wyliczana przy użyciu algorytmu cyklicznej kontroli nadmiarowej CRC-32. Obejmuje pola od adresu docelowego aż po koniec danych. Jeśli odbiornik wykryje choćby jeden przekłamany bit, ramka jest bezwzględnie i cicho porzucana.

Pomiędzy kolejnymi ramkami na łączu fizycznym musi wystąpić obowiązkowa przerwa czasowa zwana odstępem międzyramkowym (Interpacket Gap - IPG / IFG) o długości odpowiadającej czasowi transmisji 96 bitów (12 bajtów), niezbędna do ustabilizowania obwodów odbiornika.

Jednym z najczęstszych pytań na egzaminach inżynierskich z sieci komputerowych jest kwestia: dlaczego ramka Ethernet musi mieć co najmniej 64 bajty (512 bitów, wyłączając preambułę i SFD)? Odpowiedź na to pytanie nie wynika z kaprysu projektantów, lecz jest bezpośrednią konsekwencją praw fizyki, prędkości rozchodzenia się fali elektromagnetycznej w miedzi oraz matematycznych założeń metody dostępu do medium CSMA/CD (Carrier Sense Multiple Access with Collision Detection).

W klasycznym, półdupleksowym Ethernecie (Half-Duplex na kablu koncentrycznym 10BASE5 lub 10BASE2) wszystkie komputery współdzieliły jedno medium transmisyjne. Załóżmy skrajny scenariusz awaryjny: host A znajdujący się na jednym końcu 2,5-kilometrowego segmentu sieci zaczyna nadawać ramkę. Sygnał elektryczny potrzebuje określonego czasu na pokonanie dystansu do drugiego końca kabla (prędkość rozchodzenia się fali wynosi ok. 200 000 km/s, czyli ok. 5 mikrosekund na kilometr). Tuż przed dotarciem sygnału do przeciwległego końca, host B stwierdza, że łącze jest wolne (Carrier Sense nie wykrył jeszcze fali) i również rozpoczyna nadawanie!

W tym momencie dochodzi do kolizji sygnałów. Zniekształcona fala kolizyjna musi teraz pokonać całą drogę powrotną do hosta A. Całkowity czas potrzebny na podróż sygnału w tamtą i z powrotem na maksymalnej dopuszczalnej średnicy sieci wynosi ok. 51,2 mikrosekundy. W pierwotnej sieci 10 Mb/s (gdzie 1 bit trwa 0,1 mikrosekundy) czas 51,2 µs odpowiada dokładnie nadaniu 512 bitów, czyli 64 bajtów (tzw. Slot Time).

Gdyby ramka była krótsza – na przykład miała 20 bajtów – host A zdążyłby wysłać całą ramkę, zwolnić nadajnik i uznać, że transmisja zakończyła się sukcesem, zanim dotarłaby do niego fala powrotna z informacją o kolizji! W rezultacie powstałaby tzw. kolizja późna (Late Collision), której nadawca nie potrafiłby skorelować z wysłaną ramką, a utracone dane nie zostałyby zretransmitowane przez warstwę L2. Wymóg 64 bajtów daje matematyczną pewność, że jeśli dojdzie do kolizji w najdalszym zakątku sieci, nadawca wciąż będzie transmitował bity i prawidłowo zarejestruje zdarzenie.

Adres fizyczny karty sieciowej MAC (Media Access Control) w architekturze IEEE 802 reprezentowany jest w formacie EUI-48 (Extended Unique Identifier 48-bit). Tradycyjnie zapisuje się go w postaci dwunastu cyfr szesnastkowych podzielonych dwukropkami (np. 00:1A:2B:3C:4D:5E) lub myślnikami (w notacji Microsoftu). Adres ten dzieli się na dwie równe, 24-bitowe połowy: pierwsze 3 bajty stanowią unikalny identyfikator producenta sprzętu (OUI - Organizationally Unique Identifier) przydzielany przez IEEE (np. 00:50:56 dla VMware, 00:0C:29 dla Cisco), natomiast pozostałe 3 bajty są unikalnym numerem seryjnym przydzielanym przez samego producenta.

Kluczowe znaczenie inżynieryjne mają dwa najmłodsze bity pierwszego bajtu adresu MAC: 1. Bit I/G (Individual / Group - najmłodszy bit pierwszego bajtu, b0): - Wartość 0: oznacza adres Unicast (indywidualny). Ramka skierowana jest do jednej, konkretnej karty sieciowej w sieci lokalnej. - Wartość 1: oznacza adres Multicast / Group (grupowy). Ramka skierowana jest do grupy stacji (np. adresy multicastowe 01:00:5E:... lub adresy kontrolne protokołów sieciowych, jak BPDU w STP: 01:80:C2:00:00:00). 2. Bit U/L (Universal / Local - drugi najmłodszy bit pierwszego bajtu, b1): - Wartość 0: oznacza adres Uniwersalny (Globally Unique), fabrycznie wpisany w pamięć ROM karty sieciowej przez producenta zarejestrowanego w IEEE (tzw. Burned-In Address - BIA). - Wartość 1: oznacza adres Lokalnie administrowany (Locally Administered). Wskazuje, że adres został programowo zmieniony przez administratora, system wirtualizacji (np. hypervisor KVM, Docker) lub mechanizmy losowania adresu MAC dla ochrony prywatności w urządzeniach mobilnych (Private MAC w systemach Android i iOS).

Trzecią, szczególną kategorią jest adres rozgłoszeniowy (Broadcast MAC), mający postać samych jedynek binarnych: FF:FF:FF:FF:FF:FF. Ramka wysłana na ten adres z definicji trafia do wszystkich portów przełącznika i musi zostać przetworzona przez każdą aktywną stację w danej domenie rozgłoszeniowej.

Metoda wielodostępu z badaniem stanu nośnej i wykrywaniem kolizji (CSMA/CD) stanowiła historyczny fundament sukcesu technologii Ethernet. W czasach, gdy stacje robocze łączyły się ze wspólnym kablem koncentrycznym lub tanimi koncentratorami (Hubami warstwy 1), każde jednoczesne nadawanie przez dwa urządzenia prowadziło do nakładania się fal napięciowych na miedzi, zniekształcenia sygnału i utraty danych (zjawisko kolizji). Aby utrzymać porządek w medium, protokół zdefiniował ścisłą dyscyplinę nadawania.

Algorytm postępowania stacji nadawczej obejmuje cztery fazy: 1. Carrier Sense (Badanie stanu nośnej): przed wysłaniem ramki karta sieciowa „słucha” medium. Jeśli kabel jest zajęty, stacja czeka. Jeśli medium jest wolne przez czas co najmniej równy odstępowi międzyramkowemu (IPG = 96 bitów), stacja rozpoczyna nadawanie. 2. Collision Detection (Wykrywanie kolizji): w trakcie wysyłania bitów karta sieciowa nieustannie porównuje transmitowany sygnał z napięciem odbieranym na linii. Wzrost amplitudy napięcia ponad dopuszczalny próg świadczy o nakładaniu się sygnałów innej stacji – nastąpiła kolizja. 3. Jam Signal (Sygnał zagłuszający): stacja natychmiast przerywa nadawanie właściwej ramki i wysyła krótki, 32- do 48-bitowy ciąg zakłócający (Jam Signal). Działanie to gwarantuje, że wszystkie inne transmitujące stacje w sieci również bezbłędnie zarejestrują fakt wystąpienia kolizji. 4. Binary Exponential Backoff (Wycofywanie wykładnicze): po kolizji stacja musi odczekać losowy czas przed kolejną próbą nadawania. Czas ten jest wielokrotnością czasu szczeliny (Slot Time = 512 bitów / 51,2 µs) wyliczaną ze wzoru: r * Slot Time, gdzie r jest losowane z przedziału od 0 do 2^k - 1 (gdzie k oznacza numer kolejnej kolizji dla danej ramki, maksymalnie k = 10). Po 16 nieudanych próbach ramka jest ostatecznie porzucana z błędem transmisji.

Warto pamiętać, że we współczesnych sieciach przełączanych pracujących w trybie pełnego dupleksu (Full-Duplex) po skrętce miedzianej (Cat 5e/6) lub światłowodzie, linie nadawcze (TX) i odbiorcze (RX) są fizycznie rozdzielone. W takim środowisku kolizje są fizycznie niemożliwe, a algorytm CSMA/CD jest w całości wyłączany przez układy scalone interfejsów.

W sieciach bezprzewodowych Wi-Fi (IEEE 802.11) zastosowanie ethernetowego algorytmu wykrywania kolizji CSMA/CD jest fizycznie niemożliwe. Wynika to ze specyfiki propagacji fal radiowych: moc sygnału nadawanego przez własną antenę urządzenia jest o kilka rzędów wielkości większa (nawet milion razy silniejsza) niż mikroskopijny sygnał odbierany od odległej stacji. W rezultacie odbiornik karty Wi-Fi podczas własnego nadawania jest całkowicie „oślepiony” i nie jest w stanie wykryć, czy w tym samym ułamku sekundy inny host również rozpoczął transmisję.

Z tego względu standard IEEE 802.11 wdrożył paradygmat unikania kolizji (Collision Avoidance - CSMA/CA). Zamiast leczyć skutki kolizji, algorytm minimalizuje prawdopodobieństwo jej wystąpienia za pomocą rygorystycznych odstępów czasowych (Interframe Spaces - IFS): 1. Stacja badająca nośną stwierdza wolny kanał. Zanim rozpocznie nadawanie, musi odczekać stały czas DIFS (Distributed IFS). 2. Po upływie DIFS stacja losuje liczbę szczelin czasowych (Slot Times) z tzw. okna rywalizacji (Contention Window - CW) i uruchamia licznik wsteczny (Backoff Counter). Licznik odlicza tylko wtedy, gdy kanał radiowy pozostaje wolny. 3. Gdy licznik osiągnie zero, stacja wysyła ramkę. 4. Każda poprawnie odebrana ramka w Wi-Fi musi zostać potwierdzona przez punkt dostępowy krótką ramką ACK wysłaną po minimalnym czasie SIFS (Short IFS). Brak ramki ACK oznacza utratę danych i konieczność retransmisji z podwojonym oknem rywalizacji CW.

Kluczowym wyzwaniem w sieciach radiowych jest problem ukrytej stacji (Hidden Node Problem): dwa laptopy (A i C) znajdują się na przeciwległych krańcach zasięgu punktu dostępowego B. Nie „słyszą” się nawzajem, więc oba uznają medium za wolne i zaczną jednocześnie nadawać do B, powodując kolizję. Rozwiązaniem jest protokół rezerwacji RTS/CTS (Request to Send / Clear to Send). Stacja A wysyła krótką ramkę RTS z deklaracją czasu potrzebnego na transfer. Punkt dostępowy B odpowiada rozgłoszeniową ramką CTS, która ucisza wszystkie stacje w swoim zasięgu (w tym ukrytą stację C) na zadeklarowany czas, gwarantując stacji A bezkolizyjny transfer danych.

Wprowadzenie przełączników sieciowych (Switch) w latach 90. XX wieku zrewolucjonizowało sieci lokalne, odsyłając do historii prymitywne koncentratory (Huby). Koncentrator powielał każdy odebrany sygnał elektryczny na wszystkie pozostałe porty, tworząc jedną wielką domenę kolizyjną. Przełącznik natomiast jest inteligentnym urządzeniem pracującym w warstwie łącza danych (L2). Każdy pojedynczy port przełącznika stanowi odrębną, w pełni odizolowaną domenę kolizyjną pracującą w trybie pełnego dupleksu (Full-Duplex), co całkowicie eliminuje problem kolizji w nowoczesnym LAN.

Działanie przełącznika opiera się na prostym, lecz niezwykle efektywnym algorytmie realizowanym sprzętowo za pomocą układów scalonych ASIC oraz superszybkiej pamięci asocjacyjnej CAM: 1. Uczenie się (Learning): gdy na port przełącznika trafia ramka Ethernet, procesor w pierwszej kolejności odczytuje źródłowy adres MAC (Source MAC). Przełącznik zapisuje w tablicy MAC (zwanej też tablicą CAM) parę: {Adres MAC źródła, Numer portu, VLAN} oraz uruchamia zegar starzenia (Aging Timer, typowo 300 sekund). W ten sposób przełącznik uczy się topologii sieci w sposób całkowicie pasywny i przezroczysty dla użytkowników. 2. Podejmowanie decyzji o przekazywaniu (Forwarding / Filtering): przełącznik sprawdza docelowy adres MAC (Destination MAC) ramki w swojej tablicy CAM: - Jeśli adres docelowy znajduje się w tablicy i jest przypisany do innego portu: ramka jest wysyłana wyłącznie na ten jeden port docelowy (Forwarding). Pozostałe porty nie są obciążane zbędnym ruchem. - Jeśli adres docelowy znajduje się w tablicy i wskazuje ten sam port, z którego ramka nadeszła: przełącznik porzuca ramkę (Filtering), wiedząc, że odbiorca znajduje się w tym samym segmencie. - Jeśli adres docelowy to Unicast, którego przełącznik jeszcze nie zna (Unknown Unicast): przełącznik wykonuje procedurę zalewania (Flooding), wysyłając kopię ramki na wszystkie porty należące do danego VLAN-u z wyjątkiem portu źródłowego. - Jeśli adres docelowy to Broadcast (FF:FF:FF:FF:FF:FF) lub Multicast: ramka jest zawsze zalewana na wszystkie porty w danym segmencie.

Gdy stacja docelowa odpowie na ramkę, przełącznik natychmiast zarejestruje jej adres źródłowy MAC, usuwając stan nieznanego adresu i przywracając precyzyjne kierowanie ruchu jednostkowego.

Projektowanie niezawodnych sieci korporacyjnych wymaga redundancji: jeśli pojedynczy kabel światłowodowy zostanie przerwany lub jeden z przełączników ulegnie awarii, sieć musi posiadać zapasowe ścieżki fizyczne gwarantujące ciągłość transmisji. Jednakże wprowadzenie fizycznej pętli (cyklu) pomiędzy przełącznikami ethernetowymi rodzi katastrofalne zagrożenie dla warstwy łącza danych. W przeciwieństwie do warstwy sieciowej IPv4, w której nagłówek pakietu posiada pole TTL niszczące krążące pakiety po kilkudziesięciu przeskokach, nagłówek ramki Ethernet nie posiada żadnego licznika życia!

W przypadku zaistnienia pętli w warstwie 2 pojedyncza ramka rozgłoszeniowa (np. zapytanie ARP Request) zostanie powielona przez przełączniki i zacznie krążyć w nieskończoność w pętli. Z każdym kolejnym przeskokiem ramki są powielane wykładniczo, wywołując tzw. burzę rozgłoszeniową (Broadcast Storm). W ciągu kilku sekund łącza ulegają całkowitemu nasyceniu (100% pasma), procesory przełączników zawieszają się pod lawiną przerwań, a tablice CAM ulegają ciągłemu przepisywaniu (zjawisko MAC Address Flapping), co prowadzi do kompletnego paraliżu całej sieci lokalnej.

Ratunkiem przed tą katastrofą jest protokół STP (Spanning Tree Protocol, IEEE 802.1D), stworzony przez wybitną inżynier Radia Perlman. Przełączniki wymieniają między sobą specjalne ramki kontrolne zwane BPDU (Bridge Protocol Data Units). Na ich podstawie algorytm wykonuje trzystopniową procedurę kalkulacji drzewa: 1. Wybór mostu głównego (Root Bridge): zostaje nim przełącznik o najniższym identyfikatorze Bridge ID (składającym się z priorytetu i adresu MAC). 2. Wybór portów głównych (Root Ports): na każdym przełączniku niebędącym Root Bridge wyznaczany jest jeden port o najniższym koszcie ścieżki do mostu głównego. 3. Wybór portów desygnowanych (Designated Ports): na każdym segmencie sieci wyznaczany jest jeden port odpowiedzialny za przesyłanie ruchu. Wszystkie pozostałe porty przełączników, które zamykają pętlę, przechodzą w stan zablokowania (Blocking / Discarding). Ruch użytkowników jest przez nie wstrzymany, lecz w przypadku awarii łącza głównego port zablokowany automatycznie przechodzi w stan przewodzenia (Forwarding).

Klasyczny protokół STP zdefiniowany w 1990 roku w standardzie IEEE 802.1D był kamieniem milowym w bezpieczeństwie sieci, lecz posiadał jedną krytyczną wadę architektoniczną: był skrajnie powolny. Aby uniknąć przejściowych pętli transmisyjnych, port w klasycznym STP po podłączeniu kabla lub po awarii musiał sekwencyjnie przejść przez stany: Blocking → Listening (15 sekund zegara Forward Delay) → Learning (kolejne 15 sekund Forward Delay) → Forwarding. W rezultacie czas konwergencji topologii po jakiejkolwiek zmianie wynosił od 30 do nawet 50 sekund. We współczesnych centrach danych i sieciach kampusowych z transmisjami VoIP czy bazami danych taka przerwa jest absolutnie niedopuszczalna.

Odpowiedzią na te wyzwania stał się standard RSTP (Rapid STP, IEEE 802.1w). RSTP zachował pełną wsteczną kompatybilność z klasycznym STP, lecz zrewolucjonizował stany i role portów: - Uproszczenie stanów portu: zredukowano pięć stanów klasycznego STP do zaledwie trzech: Discarding (port odrzuca ramki i nie uczy się adresów), Learning (uczy się adresów MAC, nie przekazuje ramek) oraz Forwarding (pełne przesyłanie danych). - Wprowadzenie nowych ról portów: obok portów Root i Designated wprowadzono role Alternate Port (zapasowa ścieżka do Root Bridge w stanie gotowości, zastępująca natychmiast Root Port w przypadku jego awarii) oraz Backup Port (zapasowa ścieżka dla segmentu współdzielonego). Dzięki wyznaczeniu ścieżki Alternate w pamięci, przełączenie na łącze zapasowe następuje w czasie poniżej 50 milisekund bez jakichkolwiek timerów!

Najważniejszą innowacją RSTP na łączach typu punkt-punkt (Point-to-Point Full-Duplex) jest mechanizm aktywnego uzgadniania (Proposal/Agreement Handshake). Przełączniki nie czekają na upływ żadnych sztucznych liczników czasu: nowy przełącznik wysyła propozycję (Proposal), sąsiad na ułamek sekundy synchronizuje swoje porty, blokując ścieżki alternatywne, i natychmiast odsyła zgodę (Agreement). Cały proces przełączenia portu w stan Forwarding zamyka się w czasie od kilkunastu do kilkuset milisekund. Dodatkowo porty dostępowe do komputerów są konfigurowane jako Edge Ports (PortFast), przechodząc w stan Forwarding natychmiast po podłączeniu kabla.

Standardowy rozmiar jednostki MTU (Maximum Transmission Unit) w sieciach Ethernet wynosi dokładnie 1500 bajtów. Wartość ta została ustalona w pierwotnej specyfikacji standardu IEEE 802.3 w 1980 roku i wynikała z ówczesnych ograniczeń sprzętowych: pamięci buforowe kart sieciowych były drogie i miały mikroskopijne rozmiary, a prawdopodobieństwo wystąpienia błędu bitowego na długich kablach miedzianych wymuszało stosowanie mniejszych jednostek danych (uszkodzenie pojedynczego bitu w dużej ramce zmuszało do kosztownej retransmisji całego bloku).

Chociaż od tamtego czasu prędkości sieci wzrosły z 10 Mb/s do 100 Gb/s i 400 Gb/s, bazowe MTU = 1500 bajtów pozostało uniwersalnym standardem internetowym ze względu na konieczność zachowania globalnej kompatybilności wstecznej. Jednakże w wyspecjalizowanych środowiskach lokalnych – takich jak centra danych, sieci pamięci masowych (SAN oparte na iSCSI lub NFS) oraz klastry obliczeniowe – narzut związany z przetwarzaniem milionów małych 1500-bajtowych ramek przez procesor serwera (generowanie przerwań sprzętowych IRQ, narzut nagłówków) stał się wąskim gardłem wydajnościowym.

Odpowiedzią na to wyzwanie są tzw. Jumbo Frames o MTU wynoszącym zazwyczaj 9000 bajtów (lub 9216 bajtów). Przesłanie dużego pliku za pomocą ramek 9000 B wymaga sześciokrotnie mniejszej liczby pakietów i operacji I/O na sekundę niż przy tradycyjnym MTU 1500 B, co radykalnie obniża utylizację CPU i pozwala na pełne wysycenie łącz 10/25/100 GbE. Należy jednak pamiętać o żelaznej regule inżynierskiej: Jumbo Frames muszą być włączone na każdym urządzeniu na danej trasie L2 (na wszystkich kartach serwerów, przełącznikach i macierzach). Jeżeli choć jeden przełącznik pośredniczący będzie skonfigurowany ze standardowym MTU 1500 B, natychmiast odrzuci 9000-bajtowe ramki jako giganty (Giants / Oversized Frames), całkowicie zrywając komunikację.

W architekturze trasowania sieciowego (routingu) błędy konfiguracyjne administratorów lub przejściowe stany niestabilności protokołów routingu dynamicznego (np. OSPF, BGP w trakcie przeliczania grafu) mogą prowadzić do powstania pętli routingu (Routing Loop): router A przesyła pakiet do routera B, a router B odsyła go z powrotem do routera A. Gdyby pakiety IP mogły krążyć w sieci w nieskończoność, każdy zapętlony pakiet konsumowałby zasoby procesora i pasmo transmisyjne łączy, prowadząc w krótkim czasie do całkowitego zatkania szkieletu sieciowego.

Mechanizmem chroniącym internet przed tym zjawiskiem jest pole Time to Live (TTL) w nagłówku IPv4 (w protokole IPv6 pole to nosi bardziej precyzyjną nazwę Hop Limit). Początkowa wartość pola TTL jest ustawiana przez system operacyjny hosta nadawczego (np. domyślnie 64 w systemie Linux i macOS, 128 w systemie Microsoft Windows, 255 w systemach sieciowych Cisco IOS). Każdy router pośredniczący, który przetwarza datagram w procesie forwardingu, ma bezwzględny obowiązek zmniejszyć wartość pola TTL o co najmniej 1 przed przesłaniem go na interfejs wyjściowy.

Gdy wartość pola TTL spadnie do 0, routerowi pod żadnym pozorem nie wolno przesłać pakietu dalej. Router natychmiast porzuca datagram i generuje w stronę adresu źródłowego nadawcy komunikat błędu ICMP Time Exceeded (Typ 11, Kod 0 - Time to Live exceeded in transit). W ten sposób zablokowany pakiet znika z sieci, a nadawca zyskuje cenną informację telemetryczną o problemie z trasą. Mechanizm ten jest celowo eksploatowany przez program traceroute, który sztucznie manipulując wartością TTL pakietów od 1 wzwyż, zmusza kolejne routery na ścieżce do ujawniania swojej obecności.

Biegła interpretacja kodów błędów protokołu ICMP stanowi elementarz diagnostyczny każdego inżyniera sieciowego. W nagłówku ICMP pole Type (Typ) określa ogólną naturę komunikatu, natomiast pole Code (Kod) precyzuje dokładny powód wygenerowania danego powiadomienia. Do najważniejszych par Type/Code należą:

1. Typ 0 (Echo Reply) oraz Typ 8 (Echo Request): zapytanie i odpowiedź diagnostyczna narzędzia ping. Kod zawsze wynosi 0.
2. Typ 3 (Destination Unreachable): najobszerniejsza kategoria błędów dostarczenia: - Kod 0 (Net Unreachable): router nie posiada wpisu dla docelowej sieci w tablicy routingu. - Kod 1 (Host Unreachable): router docelowy nie uzyskał odpowiedzi ARP z lokalnego segmentu. - Kod 2 (Protocol Unreachable): host docelowy nie obsługuje wskazanego protokołu transportowego (np. TCP/UDP). - Kod 3 (Port Unreachable): na wskazanym porcie docelowym (zwykle UDP) nie nasłuchuje żaden proces aplikacyjny. - Kod 4 (Fragmentation Needed and DF set): pakiet przekracza MTU łącza, a bit DF uniemożliwia podział (kluczowe dla Path MTU Discovery). - Kod 13 (Communication Administratively Prohibited): pakiet został zablokowany przez zaporę sieciową (firewall / ACL).
3. Typ 5 (Redirect): informacja od routera o istnieniu korzystniejszej trasy dla wskazanego celu.
4. Typ 11 (Time Exceeded): - Kod 0 (TTL expired in transit): wartość pola TTL spadła do zera (używane w traceroute). - Kod 1 (Fragment reassembly time exceeded): host docelowy nie zdołał odebrać wszystkich fragmentów pakietu w wyznaczonym oknie czasowym.

Z punktu widzenia bezpieczeństwa sieciowego niekontrolowany ruch ICMP może być wykorzystany do rekonesansu sieciowego (skanowanie ping sweep) lub ataków odmowy usługi DoS (np. ICMP Flood czy historyczny Smurf Attack). Nowoczesne zapory ogniowe filtrują ruch ICMP selektywnie: blokują zapytania echa z niezaufanych sieci, lecz bezwzględnie przepuszczają komunikaty Typ 3 Kod 4, aby nie zniszczyć działania mechanizmu Path MTU Discovery dla połączeń TCP.

Protokół ARP stanowi fundament łączności w każdej podsieci opartej na protokołach IPv4 i Ethernet. Zasada działania protokołu opiera się na żelaznej logice adresowania dwuwarstwowego: adres logiczny IP służy do określenia ostatecznego nadawcy i ostatecznego odbiorcy w skali globalnego internetu (komunikacja End-to-End), natomiast adres fizyczny MAC służy wyłącznie do przeskakiwania z jednego węzła fizycznego do drugiego w obrębie pojedynczego kabla lub segmentu LAN (komunikacja Hop-by-Hop).

Kluczowe z punktu widzenia inżynierskiego jest zrozumienie różnicy w działaniu protokołu ARP w zależności od lokalizacji celu: 1. Komunikacja z hostem w tej samej podsieci: Host źródłowy wykonuje operację iloczynu binarnego (AND) na adresie docelowym i swojej masce podsieci. Stwierdza, że cel znajduje się w tej samej sieci lokalnej. Wtedy wysyła zapytanie ARP Request z adresem IP odbiorcy i bezpośrednio uzyskuje jego fizyczny adres MAC. Ramka Ethernet jest adresowana wprost do karty sieciowej celu. 2. Komunikacja z hostem w zdalnej sieci (np. serwerem w internecie): Host źródłowy po nałożeniu maski stwierdza, że cel znajduje się poza lokalną podsiecią. W tym wypadku host nigdy nie wysyła zapytania ARP o adres IP odległego serwera! Zamiast tego sprawdza adres IP swojej bramy domyślnej (Default Gateway) i wykonuje zapytanie ARP o adres MAC lokalnego routera. Ramka Ethernet otrzymuje docelowy adres MAC routera, mimo że pakiet IP wewnątrz ramki niesie niezmieniony adres IP odległego serwera docelowego.

Warto wspomnieć o mechanizmie Proxy ARP (RFC 1027). Jest to funkcja routera, który odbierając zapytanie ARP o adres spoza lokalnej podsieci (od błędnie skonfigurowanego klienta niemającego ustawionej bramy domyślnej), odpowiada własnym adresem MAC, oferując pośrednictwo w przekazaniu pakietu. Choć Proxy ARP może zamaskować błędy konfiguracji klientów, zwiększa ruch w sieci i rozmywa granice domen bezpieczeństwa, dlatego we współczesnych projektach sieciowych jest standardowo wyłączany.

W architekturze sieci komputerowych sposób dystrybucji pakietów determinuje skalowalność, obciążenie łączy oraz bezpieczeństwo transmisji. Wyróżniamy trzy klasyczne paradygmaty transmisji w protokole IPv4 oraz ich bezpośrednie odwzorowanie w warstwie łącza danych Ethernet:

1. Unicast (transmisja jednostkowa): Podstawowy model komunikacji w internecie. Pakiet jest wysyłany od jednego nadawcy do dokładnie jednego odbiorcy. W nagłówku pakietu IP widnieje unikalny adres logiczny hosta, a w ramce Ethernet unikalny adres fizyczny MAC z najmłodszym bitem pierwszego bajtu równym 0 (bit I/G = 0). Przełączniki warstwy 2 przekazują taką ramkę precyzyjnie tylko na ten port, na którym znajduje się odbiorca, co gwarantuje poufność i oszczędność pasma.
2. Broadcast (transmisja rozgłoszeniowa): Wiadomość wysyłana z jednego źródła do absolutnie wszystkich węzłów w danej domenie rozgłoszeniowej (podsieci). W warstwie L3 stosuje się adres rozgłoszeniowy podsieci (np. 192.168.1.255) lub rozgłoszenie ograniczone 255.255.255.255, a w warstwie L2 adres FF:FF:FF:FF:FF:FF. Przełączniki powielają taką ramkę na wszystkie swoje porty, a każda stacja robocza musi przerwać pracę swojego procesora (przerwanie IRQ karty sieciowej), aby zdekodować pakiet. Z tego względu nadmiar ruchu broadcast degraduje wydajność sieci.
3. Multicast (transmisja grupowa): Inteligentny model jeden-do-wielu. Pakiety są kierowane na wirtualny adres grupy klasy D (od 224.0.0.0 do 239.255.255.255) i odbierane wyłącznie przez te stacje, które wyraziły chęć subskrypcji za pomocą protokołu IGMP. Przełączniki wspierające funkcję IGMP Snooping analizują komunikaty grupy i powielają ramki multicastowe wyłącznie na te porty, do których podłączeni są zarejestrowani słuchacze, nie obciążając pozostałych użytkowników.

Warto odnotować istotny krok ewolucyjny: w nowszym protokole IPv6 (RFC 8200) całkowicie usunięto pojęcie Broadcastu! Wszystkie zadania rozgłoszeniowe (w tym rozwiązywanie adresów w protokole NDP zastępującym ARP) zostały zastąpione wysoce zoptymalizowanymi adresami multicastowymi o zasięgu lokalnym (Solicited-Node Multicast).

Analizując zapis szesnastkowy adresu MAC, inżynier sieciowy potrafi natychmiast odczytać kluczowe metadane dotyczące przeznaczenia karty sieciowej. Zwróćmy uwagę na pierwszy bajt (pierwsze dwie cyfry szesnastkowe) adresu MAC zapisanego w formacie XX:XX:XX:XX:XX:XX. W notacji binarnej bajt ten składa się z 8 bitów: b7 b6 b5 b4 b3 b2 b1 b0, gdzie b0 to najmniej znaczący bit (LSB), a b7 to bit najbardziej znaczący (MSB).

Dwa najmłodsze bity tego oktetu pełnią fundamentalne funkcje architektoniczne: 1. Bit b0 (I/G - Individual / Group): - Wartość 0 (parzysta druga cyfra szesnastkowa, np. 0, 2, 4, 6, 8, A, C, E): oznacza adres indywidualny (Unicast). Może występować zarówno jako adres źródłowy (Source MAC), jak i docelowy (Destination MAC) ramki. - Wartość 1 (nieparzysta druga cyfra szesnastkowa, np. 1, 3, 5, 7, 9, B, D, F): oznacza adres grupowy (Multicast / Broadcast). Taki adres może pojawić się wyłącznie w polu Destination MAC! Karta sieciowa, która wysłałaby ramkę z adresem grupowym w polu Source MAC, dopuściłaby się rażącego naruszenia standardu IEEE 802.3, co prowadzi do błędów uczenia w tablicach CAM przełączników. 2. Bit b1 (U/L - Universal / Local): - Wartość 0: oznacza adres Uniwersalny (Globally Unique), którego pierwsze 24 bity stanowią oficjalnie zarejestrowany identyfikator OUI przydzielony przez komitet IEEE Registration Authority producentowi sprzętu. - Wartość 1: oznacza adres Lokalnie administrowany (Locally Administered). Wskazuje, że adres nie jest globalnie unikalny, lecz został skonfigurowany programowo przez administratora sieci, hypervisor maszyn wirtualnych (np. VMware, Proxmox, Hyper-V) lub system operacyjny smartfona w celu ochrony prywatności użytkownika.

Zdolność natychmiastowego rozpoznania tych bitów pozwala administratorowi bez trudu ustalić, czy podłączone do portu urządzenie jest fizyczną kartą sieciową (np. Intel, Realtek z bitem U/L = 0), maszyną wirtualną z programowym stosem sieciowym (bit U/L = 1), czy też źródłem nieprawidłowych ramek multicastowych.

Porównanie metod CSMA/CD i CSMA/CA doskonale ilustruje, jak diametralnie różne właściwości fizyczne medium przewodowego i bezprzewodowego wymuszają zastosowanie odmiennych rozwiązań inżynieryjnych na poziomie warstwy łącza danych:

1. Środowisko transmisyjne: - CSMA/CD operuje na kablu miedzianym (np. koncentrycznym lub skrętce półdupleksowej), gdzie tłumienie sygnału jest przewidywalne, a poziomy napięć nadajnika i odbiornika są tego samego rzędu wielkości. - CSMA/CA operuje w eterze radiowym (fale 2,4 GHz, 5 GHz, 6 GHz), gdzie moc sygnału nadawanego przez własną antenę jest nawet o 60–100 dB (milion do miliarda razy) wyższa niż sygnał odbierany od innych stacji, co całkowicie uniemożliwia detekcję kolizji w trakcie własnego nadawania.

2. Mechanizm obsługi kolizji: - W CSMA/CD stacja wykrywa kolizję (Collision Detection) w locie. Gdy wykryje nałożenie fal, natychmiast przerywa nadawanie, wysyła sygnał Jam i czeka losowy czas wyznaczony przez algorytm Binary Exponential Backoff. - W CSMA/CA stacja zapobiega kolizjom (Collision Avoidance). Przed nadaniem każdej ramki stacja czeka przez czas DIFS, a następnie odlicza losową liczbę szczelin czasowych (Backoff Slots). Transmisja rozpoczyna się dopiero wtedy, gdy kanał jest wolny przez cały ten okres.

3. Mechanizm potwierdzeń: - W przewodowym Ethernecie (CSMA/CD) brak wykrycia kolizji w czasie szczeliny (Slot Time) jest dla nadawcy tożsamy z sukcesem transmisji; protokół Ethernet nie wysyła żadnych ramek potwierdzeń ACK w warstwie L2! - W bezprzewodowym Wi-Fi (CSMA/CA) ze względu na wysokie prawdopodobieństwo zakłóceń elektromagnetycznych każda pojedyncza ramka Unicast musi zostać bezwzględnie potwierdzona ramką ACK przez punkt dostępowy po krótkim odstępie czasu SIFS. Brak ramki ACK jest jedynym wskaźnikiem wystąpienia kolizji lub zakłócenia, co zmusza stację do retransmisji z podwojonym oknem rywalizacji CW.

Dlaczego w specyfikacji Ethernetu minimalny rozmiar ramki wynosi dokładnie 64 bajty (512 bitów)? Aby to zrozumieć, musimy powrócić do mechanizmu działania algorytmu CSMA/CD w klasycznej sieci półdupleksowej. Karta sieciowa potrafi wykryć kolizję tylko wtedy, gdy jej własny nadajnik wciąż aktywnie transmituje sygnał do medium i jednocześnie odbiornik rejestruje nieprawidłowe napięcie na linii (lub nakładanie się sygnałów).

Wyobraźmy sobie najgorszy możliwy przypadek w dopuszczalnej topologii sieci 10 Mb/s o maksymalnej średnicy fizycznej 2,5 km (złożonej z segmentów kabla koncentrycznego oraz 4 wzmacniaków/repeaterów): 1. Host na jednym krańcu sieci zaczyna nadawać bity. 2. Czas potrzebny na dotarcie fali elektromagnetycznej na przeciwległy kraniec wynosi ok. 25,6 mikrosekundy. 3. W ostatniej nanosekundzie przed dotarciem fali stacja na drugim końcu sieci stwierdza brak sygnału na linii i również rozpoczyna nadawanie. 4. Następuje kolizja. Zniekształcona fala kolizyjna potrzebuje kolejnych 25,6 mikrosekundy, aby powrócić do pierwszego nadawcy. 5. Łączny czas podróży sygnału w obie strony (Round-Trip Time) wraz z opóźnieniami wprowadzanymi przez układy wzmacniaków wynosi dokładnie 51,2 mikrosekundy.

W sieci Ethernet 10 Mb/s jeden bit trwa 100 nanosekund (0,1 µs). Zatem w czasie 51,2 µs nadajnik transmituje dokładnie: 51,2 µs / 0,1 µs = 512 bitów, co odpowiada 64 bajtom danych ramki (od docelowego adresu MAC do sumy kontrolnej FCS). Gdyby minimalna ramka była mniejsza – na przykład wynosiła 30 bajtów – nadawca wysłałby wszystkie bity w czasie 24 µs, uznał transmisję za zakończoną i przeszedł do innych zadań. Gdy fala kolizyjna dotarłaby do niego w 51. mikrosekundzie, nadajnik byłby już wyłączony, kolizja zostałaby sklasyfikowana jako kolizja późna (Late Collision), a ramka zostałaby bezpowrotnie utracona bez retransmisji na poziomie warstwy 2. Wartość 64 bajtów gwarantuje stuprocentową pewność detekcji kolizji.

Zrozumienie procesów zachodzących wewnątrz przełącznika sieciowego podczas odebrania pojedynczej ramki Ethernet jest kluczem do prawidłowej diagnostyki problemów z wydajnością sieci LAN. Każda przychodząca ramka podlega dwuetapowemu, w pełni niezależnemu przetwarzaniu opartemu na analizie nagłówka warstwy łącza danych:

Krok 1: Analiza źródła (Source MAC) → Uczenie się (Learning)
Przełącznik sprawdza pole Source MAC. Odczytany adres fizyczny jest natychmiast zapisywany w tablicy CAM wraz z numerem portu, na który ramka nadeszła, oraz identyfikatorem sieci wirtualnej (VLAN ID). Jeżeli wpis dla tego adresu już istniał w tablicy na tym samym porcie, przełącznik resetuje zegar starzenia (Aging Timer, typowo 300 sekund). Jeżeli adres MAC pojawił się nagle na innym porcie niż dotychczas, przełącznik aktualizuje wpis (co jest zjawiskiem normalnym w przypadku migracji maszyny wirtualnej, lecz przy gwałtownym przełączaniu świadczy o pętli w warstwie 2 lub ataku spoofingowym).

Krok 2: Analiza celu (Destination MAC) → Przekazywanie lub zalewanie (Forwarding / Flooding)
Przełącznik sprawdza pole Destination MAC w tablicy CAM: - Znany adres Unicast: adres znajduje się w tabeli i wskazuje inny port. Przełącznik przesyła ramkę wyłącznie na ten jeden wskazany port docelowy. - Filtrowanie (Filtering): adres docelowy znajduje się w tabeli, lecz wskazuje ten sam port, z którego ramka nadeszła (np. w segmencie z podłączonym koncentratorem lub miniprzełącznikiem). Przełącznik porzuca ramkę, eliminując zbędny ruch na pozostałych portach. - Nieznany adres Unicast (Unknown Unicast): adres docelowy to Unicast, lecz nie ma go jeszcze w tablicy CAM. Przełącznik nie może porzucić ramki, więc wykonuje procedurę zalewania (Flooding) – wysyła kopię ramki na wszystkie porty należące do tego samego VLAN-u, z wyjątkiem portu, na którym ramka została odebrana. - Broadcast lub Multicast: ramka jest z definicji zalewana na wszystkie porty w danej domenie rozgłoszeniowej (dla multicastu: chyba że włączona jest funkcja IGMP Snooping ograniczająca ruch do zarejestrowanych odbiorców).

W inżynierii sieciowej burza rozgłoszeniowa (Broadcast Storm) jest odpowiednikiem pożaru w centrum danych: zjawiskiem gwałtownym, niszczycielskim i paraliżującym całą infrastrukturę w ciągu kilku sekund. Przyczyną powstania burzy rozgłoszeniowej jest zawsze obecność fizycznej pętli (cyklu) pomiędzy przełącznikami warstwy 2 w sytuacji, gdy protokół zapobiegania pętlom (STP/RSTP) został wyłączony, niepoprawnie skonfigurowany lub zablokowany przez błędne filtry filtrów BPDU.

Mechanika katastrofy przebiega w następujący sposób: 1. Użytkownik lub urządzenie generuje pojedynczą, niewinną ramkę rozgłoszeniową (np. zapytanie ARP Request lub DHCP Discover). 2. Przełącznik A odbiera ramkę i zgodnie z zasadą działania przełącznika powiela ją na wszystkie swoje porty, w tym na dwa łącza redundantne prowadzące do przełącznika B. 3. Przełącznik B odbiera obie kopie ramki. Każdą z nich traktuje jako nowe rozgłoszenie i zalewa na wszystkie pozostałe porty, w tym odsyła z powrotem do przełącznika A po sąsiednim łączu! 4. Przełącznik A odbiera powracające ramki i znowu powiela je w stronę przełącznika B. Z każdą milisekundą liczba krążących pakietów rośnie wykładniczo.

Skutki burzy rozgłoszeniowej są natychmiastowe: - Wskaźniki LED portów przełączników zaczynają świecić ciągłym, intensywnym światłem (wszystkie diody migają w synchronii z maksymalną częstotliwością). - Utylizacja pasma na łączach osiąga 100%, uniemożliwiając przesyłanie jakiegokolwiek użytecznego ruchu użytkowników. - Następuje destabilizacja tablic CAM (MAC Address Flapping): adresy MAC stacji są przepisywane setki razy na sekundę z portu na port, niszcząc logikę przełączania. - Karty sieciowe wszystkich podłączonych komputerów generują tysiące przerwań sprzętowych IRQ na sekundę, doprowadzając do 100% obciążenia procesorów CPU stacji roboczych i serwerów. Jedynym ratunkiem w przypadku braku STP jest fizyczne wyciągnięcie kabla zamykającego pętlę.

Standard IEEE 802.1D wprowadził protokół Spanning Tree Protocol (STP) jako uniwersalny mechanizm zabezpieczający redundantne sieci ethernetowe przed pętlami. Zrozumienie algorytmu STA (Spanning Tree Algorithm) wymaga prześledzenia kolejnych kroków wyborów podejmowanych przez przełączniki w sieci:

1. Wybór mostu głównego (Root Bridge): Wszystkie przełączniki po włączeniu zasilania uważają się za Root Bridge i wysyłają ramki BPDU. Mostem głównym zostaje przełącznik o najniższym identyfikatorze Bridge ID (BID). BID składa się z 16-bitowego priorytetu (domyślnie 32768) oraz 48-bitowego adresu MAC przełącznika. Administratorzy sieci obniżają priorytet na przełączniku rdzeniowym (np. do wartości 4096), aby wymusić jego wybór jako stabilnego korzenia drzewa.
2. Wybór portów głównych (Root Ports - RP): Na każdym przełączniku innym niż Root Bridge wyznaczany jest dokładnie jeden port o najniższym sumarycznym koszcie ścieżki (Root Path Cost) do Root Bridge. Jeśli koszty są równe, decyduje najniższy BID sąsiada, a w ostateczności najniższy priorytet portu nadawcy.
3. Wybór portów desygnowanych (Designated Ports - DP): Na każdym fizycznym segmencie sieciowym (łączu między przełącznikami) wyznaczany jest jeden port odpowiedzialny za przekazywanie ruchu w stronę Root Bridge – jest to port przełącznika oferującego najniższy koszt ścieżki do korzenia.
4. Porty zablokowane (Non-Designated / Blocking Ports): Wszystkie pozostałe porty, które nie zostały wybrane ani jako Root Port, ani jako Designated Port, przechodzą w stan Blocking. Nie przesyłają one ruchu użytkowników ani nie uczą się adresów MAC, lecz nasłuchują ramek BPDU. W przypadku awarii ścieżki głównej port zablokowany odblokowuje się, przywracając łączność.

Klasyczny STP wymagał długiego czasu konwergencji ze względu na bezpieczne liczniki czasowe: stan Blocking → Listening (15 s) → Learning (15 s) → Forwarding, co dawało łącznie 30 do 50 sekund przestoju w transmisji.

Standard IEEE 802.1w Rapid Spanning Tree Protocol (RSTP) powstał w 2001 roku jako bezpośrednia odpowiedź na niedopuszczalnie długie czasy przestoju generowane przez klasyczny protokół STP IEEE 802.1D podczas awarii łączy. We współczesnych sieciach korporacyjnych klasyczny STP jest uznawany za rozwiązanie przestarzałe i wycofane; standardem domyślnym jest RSTP (lub jego warianty wieloinstancyjne: MSTP IEEE 802.1s oraz ciscowski RPVST+).

Kluczowe innowacje inżynieryjne w protokole RSTP obejmują: 1. Prekalkulowane role zapasowe (Alternate i Backup Ports): - Alternate Port: port, który oferuje alternatywną, zapasową ścieżkę do mostu głównego Root Bridge. Port ten natychmiast przejmuje rolę Root Portu w przypadku awarii łącza głównego – przełączenie następuje w czasie ułamka sekundy bez konieczności ponownego przeliczania całego drzewa! - Backup Port: zapasowy port dla segmentu współdzielonego (np. gdy przełącznik ma dwa łącza do tego samego koncentratora). 2. Redukcja stanów portu: RSTP łączy dawne stany Disabled, Blocking i Listening w jeden stan operacyjny Discarding. Port znajduje się zatem wyłącznie w jednym z trzech stanów: Discarding, Learning lub Forwarding. 3. Procedura aktywnego uzgadniania (Proposal/Agreement Handshake): Na łączach dupleksowych typu punkt-punkt (P2P) przełączniki nie czekają na upływ 30-sekundowych timerów Forward Delay. Zamiast tego wymieniają bezpośrednie komunikaty uzgodnienia: przełącznik proponuje rolę Designated Portu (Proposal), sąsiedni przełącznik synchronizuje swoje porty i natychmiast odsyła akceptację (Agreement), co pozwala na otwarcie łącza w czasie poniżej 1 sekundy. 4. Porty brzegowe (Edge Ports): Porty podłączone bezpośrednio do urządzeń końcowych (komputerów, serwerów) są oznaczane jako Edge Ports. Przechodzą one w stan Forwarding natychmiast po podłączeniu kabla, eliminując opóźnienia w pobieraniu adresu z serwera DHCP.

Wielowarstwowa architektura stosu sieciowego opiera się na zasadzie enkapsulacji: dane wyższej warstwy są umieszczane wewnątrz ładunku niższej warstwy. Aby karta sieciowa oraz jądro systemu operacyjnego odbierające ramkę Ethernet potrafiły bezbłędnie przekazać jej zawartość do odpowiedniego podsystemu w jądrze (np. do stosu IPv4, IPv6 czy modułu obsługi ARP), nagłówek ramki musi zawierać jednoznaczny identyfikator typu protokołu. W formacie Ethernet II funkcję tę pełni 16-bitowe pole EtherType.

Wartości pola EtherType powyżej liczby 1536 (szesnastkowo 0x0600) są oficjalnie zarejestrowanymi identyfikatorami protokołów zarządzanymi przez IEEE Registration Authority. Biegła znajomość kluczowych wartości szesnastkowych pola EtherType jest niezbędna podczas analizy zrzutów ruchu w programie Wireshark oraz tworzenia reguł filtrowania na zaporach sieciowych: - 0x0800: Protokół IPv4 (Internet Protocol version 4). Informuje stos sieciowy, że ładunek ramki stanowi pakiet IPv4 podlegający przetworzeniu przez reguły routingu IP. - 0x86DD: Protokół IPv6 (Internet Protocol version 6). Wskazuje, że ładunek zawiera 40-bajtowy bazowy nagłówek nowej generacji protokołu internetowego. - 0x0806: Protokół ARP (Address Resolution Protocol). Wskazuje, że ramka niesie komunikat zapytania lub odpowiedzi protokołu rozwiązywania adresów. - 0x8100: Protokół VLAN-tagged frame (IEEE 802.1Q). Wskazuje, że w nagłówku ramki znajduje się dodatkowy 4-bajtowy znacznik VLAN Tag (zawierający identyfikator VLAN ID oraz bity priorytetu PCP/CoS). Po znaczniku 802.1Q następuje kolejne pole EtherType precyzujące protokół nadrzędny (tzw. zagnieżdżony EtherType). - 0x8847 / 0x8848: Protokół MPLS (Multiprotocol Label Switching) dla ruchu Unicast i Multicast.

Warto odnotować różnicę historyczną: w formacie ramki IEEE 802.3 w tym samym miejscu znajdowało się pole Length określające długość danych. Ponieważ maksymalne dopuszczalne MTU wynosi 1500 bajtów (szesnastkowo 0x05DC), interfejs sieciowy natychmiast rozróżnia oba formaty: wartość ≤ 1500 oznacza format IEEE 802.3 z polem Length, natomiast wartość ≥ 1536 (0x0600) oznacza format Ethernet II z polem EtherType.

Diagnostyka problemów z łącznością w sieci lokalnej bardzo często rozpoczyna się od inspekcji pamięci podręcznej ARP na stacji roboczej lub serwerze. Tablica ARP przechowuje ostatnio rozwiązane powiązania adresów logicznych IP z adresami fizycznymi MAC. Jeżeli wpis w tablicy ARP jest niepoprawny (np. w wyniku ataku ARP Spoofing lub podłączenia innego urządzenia o tym samym adresie IP bez odczekania na wygaśnięcie bufora), stacja nie będzie w stanie komunikować się z celem lub z bramą domyślną.

Metodyka badania tablicy ARP różni się w zależności od środowiska operacyjnego: 1. W systemie Microsoft Windows: - Wyświetlenie tablicy: arp -a (pokazuje listę interfejsów, przypisane adresy internetowe, adresy fizyczne oraz typ wpisu: dynamiczny lub statyczny). - Usunięcie konkretnego wpisu: arp -d 192.168.1.50 (wymaga uprawnień administratora). - Wyczyszczenie całej tablicy ARP: netsh interface ip delete arpcache. 2. W systemie Linux: - Tradycyjne polecenie: arp -n (wyświetla adresy w formacie numerycznym bez powolnego rozstrzygania nazw DNS). - Nowoczesne i rekomendowane polecenie pakietu iproute2: ip neigh show (lub skrótowo ip n). Narzędzie to prezentuje zaawansowany stan sąsiedztwa w jądrze Linux: - REACHABLE: wpis poprawny i aktywny, potwierdzony niedawną komunikacją. - STALE: wpis przedawniony; jądro nadal go używa, lecz przy najbliższej okazji zweryfikuje jego ważność. - DELAY / PROBE: jądro aktywnie odpytuje sąsiada pakietami ARP Unicast w celu weryfikacji dostępności. - FAILED: sąsiad nie odpowiedział na zapytania ARP. - Usunięcie wpisu w Linuksie: sudo ip neigh del 192.168.1.50 dev eth0 lub wyczyszczenie całej tablicy: sudo ip neigh flush all.

Atak ARP Spoofing (zwany również ARP Cache Poisoning) jest jednym z najprostszych do przeprowadzenia, a zarazem najbardziej niszczycielskich ataków w lokalnych sieciach ethernetowych. Wykorzystując brak uwierzytelniania w protokole ARP (RFC 826), intruz może wstrzykiwać do sieci niepożądane ramki ARP Reply i z łatwością przekierować cały ruch pomiędzy użytkownikami a bramą domyślną na swoją własną maszynę (atak Man-in-the-Middle). Daje mu to możliwość podsłuchiwania transmisji, kradzieży ciasteczek sesyjnych, a nawet modyfikowania pobieranych plików w locie.

Ponieważ protokół ARP operuje poniżej warstwy 3, tradycyjne zapory sieciowe i oprogramowanie antywirusowe na stacjach roboczych są bezradne wobec tego zagrożenia. Jedyną skuteczną i architektonicznie poprawną linią obrony jest wdrożenie zabezpieczeń bezpośrednio na przełącznikach warstwy dostępowej (Access Layer): 1. DHCP Snooping: fundament ochrony L2. Przełącznik podsłuchuje transakcje DHCP i buduje zaufaną bazę danych (DHCP Snooping Binding Table), kojarząc adres MAC karty sieciowej, przydzielony jej przez serwer adres IP, identyfikator VLAN oraz numer fizycznego portu na przełączniku. 2. Dynamic ARP Inspection (DAI): funkcja aktywowana na poziomie danego VLAN-u. Przełącznik klasyfikuje porty na zaufane (Trusted – np. porty uplink łączące z routerami i innymi przełącznikami) oraz niezaufane (Untrusted – porty dostępowe do stacji użytkowników). Każdy pakiet ARP przychodzący z portu niezaufanego jest sprzętowo analizowany przez przełącznik: adres IP i MAC nadawcy są porównywane z tabelą wiązań DHCP Snooping. Jeśli agresor spróbuje podszyć się pod adres IP bramy domyślnej, przełącznik natychmiast odrzuca nieautoryzowany pakiet ARP, generuje powiadomienie SNMP Trap do administratora i opcjonalnie wyłącza port intruza (stan err-disable).

Synergia DHCP Snooping, DAI oraz IP Source Guard (IPSG) tworzy nieprzenikniony pancerz ochronny warstwy 2 w nowoczesnych sieciach korporacyjnych.

W ramach pierwszego zadania laboratoryjnego student przeprowadza praktyczną inspekcję tablicy ARP na stacji roboczej Linux. Pierwszym krokiem jest wyświetlenie aktualnego stanu pamięci podręcznej za pomocą nowoczesnego polecenia: ip -s neigh show. Flaga -s dodaje cenne statystyki dotyczące liczby wysłanych zapytań i czasu życia wpisu.

Zadaniem studenta jest zinterpretowanie wyświetlonych linii, np.:
192.168.1.1 dev eth0 lladdr 00:11:22:33:44:55 REACHABLE
192.168.1.50 dev eth0 lladdr aa:bb:cc:dd:ee:ff STALE
Student analizuje stany maszynowe jądra: stan REACHABLE oznacza, że brama domyślna aktywnie potwierdziła swoją tożsamość w ciągu ostatnich kilkudziesięciu sekund. Z kolei stan STALE informuje, że od ostatniej komunikacji minęło więcej czasu, więc wpis oczekuje na weryfikację przy kolejnej próbie wysłania pakietu.

W kolejnym etapie student testuje aktywne odpytywanie sąsiada w warstwie 2 za pomocą wyspecjalizowanego narzędzia arping: sudo arping -I eth0 -c 3 192.168.1.1. W przeciwieństwie do tradycyjnego polecenia ping (które wysyła pakiety ICMP warstwy 3 i może być blokowane przez zaporę sieciową hosta), arping operuje bezpośrednio na ramkach ARP w warstwie łącza danych. Jeśli urządzenie jest fizycznie włączone i połączone kablem z siecią, ma bezwzględny obowiązek odpowiedzieć na ramkę ARP, co czyni arping niezastąpionym narzędziem przy wykrywaniu duplikatów adresów IP oraz diagnozowaniu zablokowanych interfejsów.

W tym ćwiczeniu laboratoryjnym student rejestruje ruch sieciowy w analizatorze Wireshark i dokonuje drobiazgowej wiwisekcji pojedynczej ramki Ethernet II. Po uruchomieniu przechwytywania na interfejsie i wykonaniu prostego polecenia (np. ping -c 1 192.168.1.1), student zaznacza odebrany pakiet ICMP Echo Request i rozwija w panelu Packet Details sekcję o nazwie Ethernet II.

Zadaniem studenta jest zidentyfikowanie i zweryfikowanie parametrów: 1. Destination MAC: analizator wyświetla 48-bitowy adres fizyczny odbiorcy wraz z rozwinięciem bitów sterujących: student sprawdza, czy bit .... ..0. .... = LG bit: Globally unique oraz .... ...0 .... = IG bit: Individual address (unicast) są równe 0. 2. Source MAC: adres fizyczny karty nadawczej studenta. Wireshark automatycznie dopasowuje pierwsze 3 bajty adresu do oficjalnej bazy OUI, wyświetlając nazwę producenta karty (np. Intel Corporate, Realtek Semiconductor). 3. Type (EtherType): student weryfikuje wartość szesnastkową 0x0800, oznaczającą enkapsulację protokołu IPv4.

Szczególnym elementem ćwiczenia jest zbadanie małego pakietu ARP Request (którego treść liczy zaledwie 28 bajtów). Ponieważ nagłówek Ethernet II ma 14 bajtów, suma wynosi 14 + 28 = 42 bajty, co narusza wymóg minimalnego rozmiaru ramki wynoszącego 64 bajty (lub 60 bajtów bez sumy FCS). Student obserwuje w Wiresharku pole Padding o długości 18 bajtów, którym karta sieciowa automatycznie dopełniła ramkę zerami, aby spełnić rygorystyczne wymagania standardu IEEE 802.3.

Ćwiczenie laboratoryjne poświęcone protokołowi ICMP pozwala studentowi zrozumieć, w jaki sposób komunikaty kontrolne warstwy 3 są generowane i przetwarzane w rzeczywistym stosie sieciowym. W pierwszym etapie student ustawia w Wiresharku filtr icmp i wysyła pojedynczy pakiet diagnostyczny: ping -c 1 8.8.8.8.

W oknie Wiresharka student analizuje parę pakietów: - Echo Request: nagłówek ICMP zawiera pole Type: 8 (Echo (ping) request), Code: 0, Checksum oraz dwa 16-bitowe pola: Identifier (identyfikator procesu generującego zapytanie) oraz Sequence Number (licznik kolejnych pakietów w serii). - Echo Reply: pakiet nadeszły z serwera 8.8.8.8. Student weryfikuje, że pole Type: 0 (Echo (ping) reply) oraz Code: 0 niosą dokładnie ten sam identyfikator i numer sekwencyjny co zapytanie, co pozwala systemowi operacyjnemu precyzyjnie wyliczyć czas RTT.

W drugim, bardziej zaawansowanym etapie student uruchamia w terminalu narzędzie śledzenia trasy: traceroute -n -q 1 8.8.8.8 (lub w Windows: tracert -d 8.8.8.8). W oknie analizatora student obserwuje fascynujące zjawisko: pierwsze pakiety wychodzące posiadają w nagłówku IPv4 wartość Time to Live: 1. Pierwszy router brzegowy odsyła komunikat ICMP Type: 11 (Time-to-live exceeded), Code: 0 (Time to live exceeded in transit). Wewnątrz ładunku tego komunikatu router dołącza nagłówek IPv4 oraz pierwsze 8 bajtów oryginalnego pakietu studenta! Dzięki temu stacja nadawcza bezbłędnie kojarzy, które konkretnie zapytanie wywołało błąd przekroczenia czasu, i rysuje kolejny węzeł na mapie połączeń.

W tym zadaniu laboratoryjnym student na własne oczy obserwuje, w jaki sposób warstwa sieciowa IPv4 dokonuje fragmentacji zbyt dużego ładunku danych oraz jak zachowuje się sieć w przypadku zablokowania możliwości podziału pakietu. Standardowy interfejs Ethernet posiada MTU = 1500 bajtów. Bazowy nagłówek IPv4 zajmuje 20 bajtów, a nagłówek ICMP Echo Request zajmuje 8 bajtów. Zatem maksymalny rozmiar danych użytkownika w ping mieszczący się w pojedynczej ramce wynosi: 1500 - 20 - 8 = 1472 bajty.

Student wykonuje dwa eksperymenty w terminalu Linux pod nadzorem analizatora Wireshark z filtrem icmp or ip.flags.mf == 1 or ip.frag_offset > 0: 1. Eksperyment 1 (Wymuszenie fragmentacji): student wysyła pakiet o rozmiarze ładunku 3000 bajtów: ping -s 3000 -c 1 192.168.1.1. W oknie Wiresharka pojedyncze wywołanie ping skutkuje pojawieniem się aż trzech ramek IP! - Ramka 1: Total Length = 1500 bajtów, flaga More Fragments: Set (1), Fragment Offset: 0. - Ramka 2: Total Length = 1500 bajtów, flaga More Fragments: Set (1), Fragment Offset: 185 (co odpowiada 185 * 8 = 1480 bajtom ładunku). - Ramka 3: Total Length = 88 bajtów, flaga More Fragments: Not set (0), Fragment Offset: 370 (370 * 8 = 2960 bajtów). Wszystkie trzy fragmenty noszą dokładnie tę samą wartość pola Identification! Wireshark automatycznie składa je w całość i prezentuje studentowi zrekonstruowany pakiet ICMP.

2. Eksperyment 2 (Wymuszenie zakazu fragmentacji): student ponawia próbę z ustawioną na sztywno flagą Don't Fragment: ping -s 3000 -M do -c 1 192.168.1.1. Stos sieciowy systemu natychmiast zgłasza błąd: ping: local error: message too long, mtu=1500. W przypadku wysłania takiego pakietu w stronę zdalnego routera o mniejszym MTU, router odsyła błąd ICMP Typ 3 Kod 4, demonstrując działanie mechanizmu Path MTU Discovery.

Zdolność bezpośredniego podejrzenia zawartości tablicy MAC (CAM Table) na przełączniku sieciowym jest kluczową umiejętnością podczas lokalizowania problemów z fizycznym okablowaniem, nieprawidłowym przypisaniem portów do VLAN-ów oraz wykrywaniem nieautoryzowanych urządzeń wpiętych do infrastruktury LAN. W środowisku laboratoryjnym student łączy się z konsolą przełącznika zarządzalnego (np. Cisco Catalyst lub wirtualnego mostu Linux).

1. W systemie Cisco IOS student wykonuje serię poleceń weryfikacyjnych: - show mac address-table: wyświetla pełną listę wszystkich nauczonych adresów MAC. Wynik zawiera kolumny: Vlan, Mac Address, Type (DYNAMIC dla wpisów nauczonych z ruchu lub STATIC dla wpisów skonfigurowanych przez administratora) oraz Ports (np. FastEthernet0/1, GigabitEthernet0/24). - show mac address-table dynamic address 001a.2b3c.4d5e: pozwala błyskawicznie sprawdzić, do którego konkretnie portu w budynku podłączony jest poszukiwany komputer lub drukarka sieciowa. - show mac address-table count: prezentuje podsumowanie liczby adresów MAC przypisanych do poszczególnych VLAN-ów, co pozwala ocenić, czy tablica CAM nie jest przepełniona.

2. W systemie Linux (mosty sieciowe Bridge / Open vSwitch): Gdy stacja robocza lub serwer wirtualizacji pełni rolę mostu sieciowego (np. br0 dla maszyn wirtualnych KVM/Docker), inspekcję przeprowadza się za pomocą nowoczesnego narzędzia pakietu iproute2: bridge fdb show dev br0. Student obserwuje listę adresów z flagami permanent (adresy własne interfejsów mostu) oraz wpisy dynamiczne powiązane z wirtualnymi interfejsami veth. Umiejętność ta jest niezbędna przy diagnozowaniu sieci w chmurze i środowiskach kontenerowych Kubernetes.

Protokół STP działa w sposób w pełni autonomiczny, lecz pozostawienie go samemu sobie bez kontroli inżynierskiej jest częstą przyczyną problemów z wydajnością. W środowisku laboratoryjnym złożonym z co najmniej trzech połączonych redundantnie przełączników student weryfikuje poprawność ukształtowania logicznego drzewa za pomocą polecenia: show spanning-tree (lub show spanning-tree vlan 1).

W wydruku konsoli student analizuje dwie kluczowe sekcje: 1. Sekcja Root ID: zawiera informacje o aktualnym moście głównym w sieci: priorytet, adres MAC Root Bridge oraz koszt ścieżki (Cost). Jeśli przełącznik, na którym wpisano polecenie, jest mostem głównym, w konsoli pojawia się jednoznaczny komunikat: This bridge is the root. 2. Sekcja Bridge ID: zawiera parametry lokalnego przełącznika (jego własny priorytet i MAC). Porównanie wartości Root ID i Bridge ID pozwala studentowi natychmiast ustalić, czy przełącznik znajduje się w korzeniu, czy na gałęzi drzewa. 3. Tabela portów: student analizuje status każdego fizycznego interfejsu: - Role: Root (RP – port w stronę mostu głównego), Desg (DP – port desygnowany przesyłający ruch do segmentu), Altn/Back (port alternatywny/zablokowany). - Sts (Status): FWD (Forwarding – pełne przesyłanie), BLK lub LRN (Blocking / Learning). - Cost: koszt portu zależny od jego prędkości (np. 19 dla 100 Mb/s, 4 dla 1 Gb/s w klasycznym STP).

Szczególną uwagę student poświęca parametrowi Number of topology changes oraz Last change occurred. W stabilnej, poprawnie zaprojektowanej sieci liczba zmian topologii powinna być stała. Jeżeli licznik TCN (Topology Change Notification) gwałtownie rośnie co kilkadziesiąt sekund, świadczy to o niestabilności fizycznego kabla lub ciągłym restartowaniu portu dostępowego przez niesfornego klienta (co wymaga natychmiastowego włączenia funkcji PortFast / Edge Port).

Biegłość w posługiwaniu się filtrami wyświetlania w programie Wireshark odróżnia początkującego użytkownika od profesjonalnego inżyniera analizy sieciowej. Podczas przechwytywania ruchu na obciążonym łączu tysiące pakietów na sekundę zalewają ekran analizatora. Zdolność błyskawicznego odfiltrowania szumu informacyjnego i wyizolowania wyłącznie interesujących zdarzeń warstwy 2 i 3 jest kluczowa dla skutecznej diagnostyki.

Poniższe zestawienie stanowi niezbędnik filtracyjny każdego inżyniera sieciowego: 1. Warstwa łącza danych (Ethernet / L2): - eth.addr == 00:1a:2b:3c:4d:5e: filtruje wszystkie ramki, w których wskazany adres MAC występuje jako źródło lub cel. - eth.dst[0] & 1: potężny filtr bitowy wyłapujący wyłącznie ruch Multicast i Broadcast (sprawdza, czy najmłodszy bit pierwszego bajtu docelowego adresu MAC jest równy 1). - eth.type == 0x0806: izoluje wyłącznie ramki protokołu ARP. - vlan.id == 10: selekcjonuje ramki ze znacznikiem VLAN 10 standardu IEEE 802.1Q. 2. Protokół ARP: - arp.opcode == 1: wyświetla wyłącznie zapytania ARP Request. - arp.opcode == 2: wyświetla wyłącznie odpowiedzi ARP Reply. - arp.duplicate-address-detected: automatyczny filtr diagnostyczny Wiresharka wykrywający konflikt adresów IP w podsieci. 3. Warstwa sieciowa (IPv4 / ICMP / L3): - ip.addr == 192.168.1.1: filtruje pakiety wysyłane z lub do wskazanego adresu IP. - ip.flags.df == 1: znajduje pakiety z ustawionym bitem Don't Fragment. - ip.flags.mf == 1 or ip.frag_offset > 0: natychmiast wyłapuje wszystkie pofragmentowane pakiety IPv4. - ip.ttl <= 2: znajduje pakiety o krytycznie niskiej wartości TTL (potencjalne pętle routingu). - icmp.type == 3: izoluje wszystkie komunikaty błędów ICMP Destination Unreachable. - icmp.type == 11: wyświetla komunikaty ICMP Time Exceeded generowane podczas działania narzędzia traceroute.

Dobiegając do podsumowania części siódmej kursu, warto spojrzeć na warstwy łącza danych i sieciową jako na nierozerwalny, harmonijny tandem inżynieryjny. Żadna z tych warstw nie jest w stanie funkcjonować samodzielnie w nowoczesnym świecie sieci pakietowych: warstwa sieciowa dostarcza inteligencji trasowania i globalnego zasięgu, podczas gdy warstwa łącza danych odpowiada za niezawodne, fizyczne przeskakiwanie sygnałów pomiędzy bezpośrednimi sąsiadami w medium.

Kluczowe filary wiedzy, które opanowaliśmy w tym module, obejmują: 1. Dwuwarstwowy model adresowania: Zrozumieliśmy, że adresy MAC (EUI-48) i adresy IPv4 pełnią zupełnie inne role. Adres logiczny IP identyfikuje hosta w skali globalnego internetu (komunikacja End-to-End), natomiast adres fizyczny MAC zmienia się na każdym pojedynczym przeskoku przez router (komunikacja Hop-by-Hop). 2. Pomost ARP i jego bezpieczeństwo: Poznaliśmy protokół ARP (RFC 826) jako kluczowy mechanizm translacji IP na MAC w domenie rozgłoszeniowej, a także mechanizmy twardnienia przełączników (DAI, DHCP Snooping) chroniące sieć przed atakami Man-in-the-Middle. 3. Ramkowanie i fizyka Ethernetu: Przeanalizowaliśmy budowę ramki Ethernet II, uzasadniliśmy matematycznie wymóg minimalnego rozmiaru 64 bajtów wynikający z ograniczeń algorytmu CSMA/CD i czasu szczeliny (Slot Time), a także poznaliśmy działanie tablic asocjacyjnych CAM w przełącznikach. 4. Kontrola pętli transmisyjnych: Zrozumieliśmy fundamentalną różnicę pomiędzy warstwą L3 (gdzie krążące pakiety niszczy 8-bitowe pole TTL w nagłówku IPv4) a warstwą L2 (gdzie brak licznika życia w ramce Ethernet wywołuje niszczycielską burzę rozgłoszeniową, przed którą chronią nas protokoły STP IEEE 802.1D oraz RSTP IEEE 802.1w).

Jako inżynierowie teleinformatyki i projektanci systemów sieciowych musimy precyzyjnie operować formalnymi odniesieniami do międzynarodowych norm standaryzacyjnych. Poniższa tabela stanowi oficjalne kompendium referencyjne dla protokołów omówionych w module siódmym:

• Ethernet II / IEEE 802.3: Warstwa łącza danych (L2). Standard przewodowych sieci lokalnych definiujący parametry fizyczne PHY (10BASE-T, 1000BASE-T, 10GBASE-T) oraz format ramki z polem EtherType i sumą kontrolną CRC-32 FCS (IEEE 802.3).
• IEEE 802.11 (Wi-Fi): Warstwa łącza danych (L2). Standard bezprzewodowych sieci lokalnych wykorzystujący metodę dostępu CSMA/CA, ramki potwierdzeń ACK oraz procedurę RTS/CTS (IEEE 802.11).
• STP / RSTP / MSTP: Warstwa łącza danych (L2). Protokoły eliminacji pętli w sieciach przełączanych. Historyczny STP: IEEE 802.1D; nowoczesny Rapid STP: IEEE 802.1w; obecnie włączone do zbiorczego standardu mostkowania i sieci wirtualnych VLAN IEEE 802.1Q.
• ARP (Address Resolution Protocol): Warstwa 2/3. Dynamiczne mapowanie adresów IPv4 na adresy fizyczne MAC w sieci lokalnej (RFC 826).
• IPv4 (Internet Protocol version 4): Warstwa sieciowa (L3). Bezpołączeniowy protokół Best-Effort z 32-bitowym logicznym adresowaniem, fragmentacją oraz polem TTL (RFC 791).
• ICMP (Internet Control Message Protocol): Warstwa sieciowa (L3). Protokół kontrolny i diagnostyczny raportujący błędy przetwarzania pakietów oraz obsługujący narzędzia ping i traceroute (RFC 792).
• IGMP (Internet Group Management Protocol): Warstwa sieciowa (L3). Protokół rejestracji stacji w grupach multicastowych IPv4 (RFC 3376).

Biegłość w kojarzeniu tych standardów z ich rzeczywistymi implementacjami w oprogramowaniu przełączników i routerów stanowi fundament profesjonalnej inżynierii sieciowej.

Samodzielne rozwiązywanie problemów inżynierskich to najskuteczniejszy sposób na ugruntowanie wiedzy zdobytej podczas wykładu. Poniższy zestaw pytań kontrolnych został skonstruowany w taki sposób, aby zmusić studenta do połączenia wiedzy o strukturach nagłówków z rzeczywistymi zachowaniami urządzeń sieciowych w praktyce:

1. Pytanie 1 (Nagłówek IPv4): Wymień wszystkie pola znajdujące się w 20-bajtowym nagłówku bazowym IPv4. Wyjaśnij, dlaczego router pośredniczący musi bezwzględnie przeliczyć sumę kontrolną nagłówka (Header Checksum) przy każdym pojedynczym przeskoku (hop)?
2. Pytanie 2 (Protokół ICMP Redirect): W jakich okolicznościach router sieciowy generuje komunikat ICMP Redirect (Typ 5)? W jaki sposób komunikat ten optymalizuje trasę pakietów w sieci lokalnej i dlaczego współczesne systemy często go ignorują ze względów bezpieczeństwa?
3. Pytanie 3 (Mechanizm ARP): Dlaczego komunikat ARP Request jest wysyłany w trybie rozgłoszeniowym (Broadcast do adresu FF:FF:FF:FF:FF:FF), podczas gdy odpowiedź ARP Reply jest przesyłana wyłącznie jako Unicast? Jaka byłaby konsekwencja dla sieci, gdyby odpowiedź również była wysyłana w trybie Broadcast?
4. Pytanie 4 (Tryby dupleksu a kolizje): Dlaczego w sieci Ethernet pracującej w trybie pełnego dupleksu (Full-Duplex) z wykorzystaniem nowoczesnych przełączników kolizje są zjawiskiem fizycznie niemożliwym? Co dzieje się, gdy na jednym końcu kabla ustawiony jest na sztywno Full-Duplex, a na drugim autonegocjacja nie powiedzie się i interfejs ustawi Half-Duplex (tzw. Duplex Mismatch)?

Przed przejściem do kolejnego slajdu zawierającego oficjalne rozwiązania, zaleca się zapisanie własnych odpowiedzi i ich konfrontację z normami IETF i IEEE.

Poniżej przedstawiono szczegółowe uzasadnienia inżynieryjne do pytań kontrolnych z poprzedniego slajdu:

Odpowiedź 1 (Pola IPv4 i suma kontrolna): Bazowy 20-bajtowy nagłówek IPv4 składa się z pól: Version (4 b), IHL (4 b), DSCP/ECN (8 b), Total Length (16 b), Identification (16 b), Flags (3 b), Fragment Offset (13 b), TTL (8 b), Protocol (8 b), Header Checksum (16 b), Source IP (32 b) oraz Destination IP (32 b). Router pośredniczący musi przeliczać pole Header Checksum przy każdym przeskoku, ponieważ zmniejsza wartość pola TTL o 1 (dekrementacja). Każda zmiana jakiegokolwiek bitu w nagłówku powoduje zmianę sumy kontrolnej jedynkowej dopełnień. Gdyby router nie przeliczył sumy, kolejny węzeł na trasie odrzuciłby pakiet jako uszkodzony.

Odpowiedź 2 (ICMP Redirect): Router generuje komunikat ICMP Redirect (Typ 5), gdy pakiet trafia na jego interfejs i po przeanalizowaniu tablicy routingu okazuje się, że interfejsem wyjściowym dla tego pakietu jest dokładnie ten sam fizyczny interfejs, z którego pakiet nadeszedł. Router przekazuje pakiet do celu, lecz odsyła nadawcy komunikat: „Twój cel znajduje się w tej samej podsieci co ja, wyślij kolejne pakiety bezpośrednio do routera X”. Jednakże napastnicy mogą wykorzystać fałszywe pakiety ICMP Redirect do przejęcia ruchu (MitM), dlatego współczesne systemy domyślnie ignorują te komunikaty (np. w Linuksie net.ipv4.conf.all.accept_redirects = 0).

Odpowiedź 3 (Broadcast ARP Request vs Unicast ARP Reply): Host nadawczy nie zna adresu fizycznego celu, więc zmuszony jest zapytać całą podsieć (Broadcast), aby odbiorca mógł rozpoznać swój adres IP. Odpowiedź ARP Reply jest przesyłana jako Unicast, ponieważ host odpowiadający zna już adres fizyczny MAC pytającego (wyodrębnił go z odebranego zapytania). Gdyby odpowiedź była przesyłana jako Broadcast, każda odpowiedź niepotrzebnie przerywałaby pracę procesorów wszystkich stacji w segmencie, marnując pasmo przełączników.

Odpowiedź 4 (Full-Duplex a Duplex Mismatch): W trybie Full-Duplex linie nadawcze TX i odbiorcze RX są fizycznie odseparowane w kablu skrętki (lub światłowodzie), dzięki czemu stacja może jednocześnie nadawać i odbierać dane bez zakłóceń – domena kolizyjna przestaje istnieć. Przy błędzie Duplex Mismatch (jedna strona Full-Duplex, druga Half-Duplex) strona Half-Duplex wykrywa kolizję za każdym razem, gdy strona Full-Duplex nadaje w trakcie jej odbioru. Skutkuje to lawiną kolizji późnych (Late Collisions), zrzucaniem ramek i drastycznym spadkiem przepustowości (np. z 1 Gb/s do 500 kb/s).

Zdolność jednoczesnej analizy powiązań pomiędzy wieloma warstwami stosu sieciowego w oknie programu Wireshark to szczytowa umiejętność praktyczna wymagana od inżyniera sieciowego. W ramach tego zadania student rejestruje pojedynczy pakiet ping wysłany do serwera w internecie i poddaje go całościowej analizie pionowej.

Dekompozycja obejmuje kolejne warstwy: 1. Warstwa 2 (Ethernet II): - Destination MAC: student odczytuje adres fizyczny i upewnia się, że nie jest to adres serwera docelowego, lecz adres MAC lokalnego routera (bramy domyślnej)! - Source MAC: adres fizyczny lokalnej karty sieciowej studenta. - EtherType: wartość 0x0800 informująca przełącznik i jądro o obecności protokołu IPv4 wewnątrz ramki. 2. Warstwa 3 (IPv4): - Version: 4, IHL: 5 (20 bajtów nagłówka). - Total Length: 84 bajty (20 B nagłówek IP + 8 B nagłówek ICMP + 56 B dane ładunku ping w Linuksie). - TTL: np. 64. - Protocol: wartość 1 (ICMP). - Source IP: prywatny adres IP stacji roboczej studenta (np. 192.168.1.100). - Destination IP: publiczny adres IP serwera docelowego (np. 8.8.8.8). 3. Warstwa kontrolna (ICMP): - Type: 8 (Echo Request), Code: 0. - Identifier oraz Sequence Number powiązane z procesem systemowym. - Data: 56 bajtów wzorca testowego zawierającego stempel czasowy (timestamp).

W dolnym panelu Packet Bytes student klika poszczególne pola w drzewie nagłówków i obserwuje podświetlanie odpowiadających im bajtów w zapisie szesnastkowym (Hex Dump). Pozwala to naoczne dostrzeżenie, jak abstrakcyjne koncepcje modeli OSI i TCP/IP materializują się w postaci konkretnych ciągów zer i jedynek wędrujących po kablu sieciowym.

Zrozumienie natury ataku ARP Spoofing jest niezbędne do właściwego zaprojektowania mechanizmów obronnych w sieci korporacyjnej. Ćwiczenie to może być wykonywane wyłącznie w ściśle wyizolowanym segmencie laboratoryjnym (np. w zwirtualizowanym środowisku GNS3/EVE-NG lub na odrębnym laboratoryjnym przełączniku fizycznym bez połączenia z siecią produkcyjną).

W scenariuszu ćwiczenia biorą udział trzy węzły: - Ofiara (Stacja A: IP 192.168.1.10, MAC AA:AA:AA:AA:AA:AA) - Brama domyślna (Router: IP 192.168.1.1, MAC BB:BB:BB:BB:BB:BB) - Atakujący (Stacja C: IP 192.168.1.50, MAC CC:CC:CC:CC:CC:CC)

Przebieg eksperymentu obejmuje następujące kroki: 1. Przed atakiem student sprawdza tablicę ARP na stacji ofiary (ip neigh show): adres 192.168.1.1 jest poprawnie powiązany z adresem MAC routera BB:BB:BB:BB:BB:BB. 2. Na maszynie atakującego uruchamiane jest narzędzie symulacji (np. arpspoof -i eth0 -t 192.168.1.10 192.168.1.1). Narzędzie zaczyna periodycznie wysyłać nieproszone ramki ARP Reply wmawiające ofierze, że adres 192.168.1.1 posiada MAC CC:CC:CC:CC:CC:CC. 3. W analizatorze Wireshark uruchomionym na stacji ofiary pojawia się ostrzeżenie w kolorze żółtym: Duplicate IP address detected for 192.168.1.1. Wireshark rejestruje nagłą zmianę adresu MAC dla znanego adresu IP. 4. Tablica ARP ofiary ulega zatruciu: wpis dla bramy domyślnej wskazuje teraz MAC atakującego. Od tej pory każdy pakiet wysłany przez ofiarę do internetu trafia fizycznie na kartę sieciową atakującego.

W drugiej fazie ćwiczenia student loguje się na przełącznik zarządzalny i aktywuje zabezpieczenie: ip arp inspection vlan 1 oraz konfiguruje port uplink do routera jako zaufany: ip arp inspection trust. Student ponawia atak i obserwuje w konsoli przełącznika komunikaty błędu DAI odrzucające fałszywe pakiety ARP. Atak zostaje w 100% zneutralizowany, a tablica ARP ofiary pozostaje bezpieczna.

Doświadczony inżynier sieciowy potrafi rozpoznać powstanie pętli w warstwie 2 w ciągu zaledwie kilkunastu sekund, nawet bez podłączania analizatora pakietów. Ponieważ ramka Ethernet II (IEEE 802.3) nie posiada pola TTL, każda pętla wywołuje charakterystyczny, jednoznaczny zestaw objawów telemetrycznych i fizycznych:

1. Objawy fizyczne w szafie krosowej (Rack): Diody LED aktywności portów (Link/Activity) na wszystkich przełącznikach w danej domenie rozgłoszeniowej przestają migać nieregularnie, a zaczynają pulsować w idealnej, oślepiającej synchronii z maksymalną częstotliwością (tzw. efekt choinki bożonarodzeniowej). Świadczy to o ciągłym wysyceniu buforów nadawczych milionami powielanych ramek rozgłoszeniowych.
2. Komunikaty w konsoli przełączników (Syslog): Głównym symptomem w logach systemowych przełącznika jest lawina ostrzeżeń o migotaniu adresów MAC (MAC Address Flapping), np. w systemie Cisco IOS:
%SW_MATM-4-MACFLAP_NOTIF: Host 0011.2233.4455 in vlan 10 is flapping between port Gi0/1 and port Gi0/2.
Przełącznik odbiera tę samą krążącą w pętli ramkę na przemian z dwóch różnych portów, nieustannie przepisując swoją tablicę CAM.
3. Objawy po stronie stacji roboczych: Użytkownicy natychmiast tracą łączność z siecią. Polecenie ping do bramy domyślnej wykazuje 90-100% utraty pakietów, a te nieliczne pakiety, które przejdą, wykazują monstrualne opóźnienia RTT rzędu kilku tysięcy milisekund z ostrzeżeniem (DUP!) oznaczającym odebranie zduplikowanych odpowiedzi.

Procedura awaryjna w przypadku wystąpienia burzy rozgłoszeniowej wymaga natychmiastowej izolacji: administrator powinien fizycznie odpiąć podejrzany kabel krosowy lub zdalnie wyłączyć port komendą shutdown, a następnie natychmiast zweryfikować poprawność konfiguracji protokołów RSTP (IEEE 802.1w) oraz włączyć funkcje ochronne BPDU Guard na wszystkich portach dostępowych.

Skuteczna diagnostyka awarii sieciowych opiera się na metodycznym podejściu zgodnym z modelem warstwowym ISO/OSI: od warstwy fizycznej w górę. Inżynier rozwiązujący problem braku łączności musi dysponować zestawem precyzyjnych narzędzi dopasowanych do specyfiki warstwy 2 i 3:

1. Narzędzia warstwy fizycznej i łącza (L1/L2): - ethtool: podstawowe narzędzie diagnostyki kontrolera sieciowego w Linuksie. Pozwala odczytać fizyczny stan linku (Link detected: yes/no), wynegocjowaną prędkość (Speed: 1000Mb/s), tryb dupleksu (Duplex: Full) oraz błędy sprzętowe CRC na magistrali. - arping: generator zapytań ARP w warstwie 2. Pozwala sprawdzić obecność urządzenia w lokalnej podsieci nawet wtedy, gdy host ma całkowicie zablokowaną obsługę protokołu ICMP (ping) przez lokalną zaporę ogniową. - ip link oraz ip neigh: narzędzia pakietu iproute2 do zarządzania interfejsami, adresami MAC oraz inspekcji stanów tablicy sąsiedztwa ARP.

2. Narzędzia warstwy sieciowej (L3): - ping: weryfikacja dostępności węzła za pomocą komunikatów ICMP Echo. Umożliwia pomiar RTT, wykrywanie fluktuacji opóźnień (jitter) oraz badanie utraty pakietów. - traceroute / tracert: mapowanie przeskoków routingu za pomocą manipulacji polem TTL w nagłówku pakietu. - mtr (My Traceroute): hybrydowe połączenie narzędzi ping i traceroute. Wysyła ciągły strumień pakietów do każdego kolejnego routera na trasie, prezentując w czasie rzeczywistym statystyki utraty pakietów i opóźnień na poszczególnych węzłach tranzytowych, co pozwala natychmiast zlokalizować przeciążony router w sieci WAN dostawcy ISP.

Połączenie tych narzędzi pozwala inżynierowi w kilka minut zawęzić problem: od sprawdzenia kabla (ethtool), poprzez weryfikację domeny lokalnej (arping), aż po globalny routing w internecie (mtr).

Drugi zestaw pytań kontrolnych koncentruje się na subtelnych niuansach inżynieryjnych, które decydują o stabilności i wydajności zaawansowanych sieci teleinformatycznych:

1. Pytanie 1 (MTU i fragmentacja): Załóżmy, że host nadawczy generuje pakiet IPv4 o łącznym rozmiarze 4000 bajtów. Pakiety muszą pokonać łącze o MTU = 1500 bajtów. Na ile fragmentów zostanie podzielony ten pakiet? Jakie będą wartości pól Total Length, More Fragments (MF) oraz Fragment Offset dla każdego z powstałych fragmentów?
2. Pytanie 2 (Pole Identification w IPv4): Jaką rolę pełni 16-bitowe pole Identification w nagłówku IPv4 podczas fragmentacji? Co stałoby się po stronie odbiorcy, gdyby dwa różne pakiety wysłane w krótkim odstępie czasu otrzymały ten sam numer Identification i oba uległy fragmentacji w sieci?
3. Pytanie 3 (Algorytm CSMA/CA): W jaki sposób mechanizm Clear Channel Assessment (CCA) bada stan nośnej w sieciach Wi-Fi (IEEE 802.11)? Wyjaśnij różnicę pomiędzy detekcją energii (Energy Detection) a detekcją preambuły (Carrier Sense).
4. Pytanie 4 (Mosty i przełączniki): Czym różni się pojęcie domeny kolizyjnej (Collision Domain) od domeny rozgłoszeniowej (Broadcast Domain)? W jaki sposób przełącznik L2, a w jaki router L3 wpływają na granice tych domen?
5. Pytanie 5 (Stany portów STP): Dlaczego klasyczny protokół STP wymagał obecności stanów Listening i Learning przed przejściem portu w stan Forwarding? Jakie zagrożenie powstałoby w sieci, gdyby port przechodził natychmiast ze stanu Blocking do stanu Forwarding?

Zachęcamy do samodzielnego przeliczenia offsetów i sformułowania odpowiedzi przed przejściem do kolejnego slajdu.

Poniżej przedstawiono autorytatywne rozwiązania problemów inżynierskich z zestawu 2:

Odpowiedź 1 (Kalkulacja fragmentacji dla pakietu 4000 B): Oryginalny pakiet ma Total Length = 4000 B, czyli niesie 20 B nagłówka IPv4 oraz 3980 B ładunku. Interfejs ma MTU = 1500 B, co oznacza maksymalnie 1500 - 20 = 1480 B ładunku na fragment (liczba 1480 jest podzielna przez 8: 1480 / 8 = 185). Pakiet zostanie podzielony na 3 fragmenty: - Fragment 1: Total Length = 1500 B (20 B nagłówek + 1480 B dane), flaga MF = 1, Fragment Offset = 0 (bajty 0–1479). - Fragment 2: Total Length = 1500 B (20 B nagłówek + 1480 B dane), flaga MF = 1, Fragment Offset = 185 (bajty 1480–2959; 185 * 8 = 1480). - Fragment 3: Pozostało danych: 3980 - 2960 = 1020 B. Total Length = 1040 B (20 B nagłówek + 1020 B dane), flaga MF = 0 (ostatni fragment), Fragment Offset = 370 (bajty 2960–3979; 370 * 8 = 2960).

Odpowiedź 2 (Rola pola Identification i kolizja ID): Pole Identification jednoznacznie spaja fragmenty pochodzące z tego samego oryginalnego datagramu. Gdyby dwa różne pakiety otrzymały ten sam numer ID (zjawisko IP ID Collision), odbiorca dokonałby błędnego połączenia fragmentów (reassembly corruption), scalając fragmenty pierwszego pakietu z fragmentami drugiego, co doprowadziłoby do uszkodzenia danych i odrzucenia pakietu przez sumę kontrolną TCP/UDP.

Odpowiedź 3 (Mechanizm CCA w Wi-Fi): Clear Channel Assessment wykorzystuje dwa mechanizmy: Carrier Sense (CS) wykrywa i dekoduje preambułę radiową zgodną ze standardem 802.11 (nawet przy bardzo słabym sygnale, np. -82 dBm), natomiast Energy Detection (ED) mierzy surową moc dowolnych zakłóceń elektromagnetycznych w kanale (np. z kuchenki mikrofalowej czy Bluetooth) i uznaje kanał za zajęty, jeśli poziom energii przekracza próg (typowo -62 dBm).

Odpowiedź 4 (Domeny kolizyjne vs rozgłoszeniowe): Domena kolizyjna to obszar, w którym jednoczesne nadawanie wywołuje kolizję sygnałów; przełącznik L2 dzieli domeny kolizyjne (każdy port to osobna domena). Domena rozgłoszeniowa to obszar docierania ramek Broadcast; przełącznik L2 nie dzieli domeny rozgłoszeniowej (wszystkie porty w tym samym VLAN należą do jednej domeny). Dopiero router L3 dzieli domeny rozgłoszeniowe, nie przepuszczając pakietów broadcastowych pomiędzy swoimi interfejsami.

Odpowiedź 5 (Stany Listening i Learning w STP): Stany te zapobiegają powstawaniu przejściowych pętli transmisyjnych w trakcie propagacji ramek BPDU w sieci. W stanie Listening port uczestniczy w wyborach, lecz nie uczy się adresów; w stanie Learning uczy się adresów MAC w tablicy CAM, lecz nie przekazuje ruchu użytkowników. Gdyby port od razu zaczął przekazywać dane (Forwarding), w sieci powstałaby chwilowa pętla, generując burzę rozgłoszeniową przed zakończeniem kalkulacji drzewa.

Praca inżyniera sieciowego bardzo często wymaga weryfikacji parametrów karty sieciowej po stronie serwera w celu wykluczenia problemów z okablowaniem strukturalnym, uszkodzonymi portami przełącznika lub błędną autonegocjacją. W środowisku Linux standardowym i niezastąpionym narzędziem do tego celu jest program ethtool.

Podstawowe wywołanie: sudo ethtool eth0 (lub odpowiednio enp3s0) wyświetla kompleksowy raport stanu łącza. Kluczowe linie podlegające interpretacji inżynierskiej obejmują: - Speed: aktualna wynegocjowana prędkość łącza (np. 1000Mb/s, 10000Mb/s). Jeśli kabel miedziany kat. 5e/6 wykazuje uszkodzenie jednej z czterech par żył, prędkość może spaść do 100Mb/s (ponieważ gigabit wymaga wszystkich 4 par, a 100BASE-TX tylko 2 par!). - Duplex: tryb dupleksu (Full lub Half). Obecność trybu Half-Duplex na nowoczesnym serwerze niemal zawsze świadczy o błędzie autonegocjacji po stronie przełącznika. - Auto-negotiation: stan protokołu autonegocjacji (on/off). Standard IEEE 802.3ab bezwzględnie wymaga autonegocjacji dla połączeń 1000BASE-T! - Link detected: fizyczny stan nośnej (yes/no). Wartość no oznacza brak sygnału elektrycznego/optycznego (odpięty kabel, wyłączony port na switchu, uszkodzona wkładka SFP).

Niezwykle potężną funkcją diagnostyczną jest polecenie: sudo ethtool -S eth0. Wyświetla ono sprzętowe liczniki błędów z rejestrów układu scalonego NIC: - rx_crc_errors: błędy sumy kontrolnej FCS/CRC. Wskazują na uszkodzenie kabla miedzianego, zakłócenia elektromagnetyczne w korycie kablowym lub zły styk w gnieździe RJ-45. - tx_late_collisions: kolizje późne. Bezbłędny dowód na wystąpienie błędu Duplex Mismatch (przełącznik w Full, karta w Half) lub przekroczenie dopuszczalnej długości kabla (powyżej 100 metrów). - rx_dropped / rx_missed_errors: zrzucanie ramek z powodu przepełnienia bufora pierścieniowego karty (Ring Buffer) pod wpływem przeciążenia procesora serwera.

Gdy użytkownicy zgłaszają, że „sieć działa wolno”, inżynier nie może polegać na subiektywnych opiniach ani na niemiarodajnych testach kopiowania plików przez protokół SMB/NFS (gdzie wąskim gardłem może być powolny dysk twardy lub obciążenie procesora serwera plików). Prawdziwą, czystą wydajność łącza sieciowego mierzy się za pomocą specjalistycznych generatorów ruchu syntetycznego, wśród których niekwestionowanym liderem jest iperf3.

Metodyka pomiaru opiera się na modelu klient-serwer: 1. Na maszynie docelowej uruchamiany jest demon nasłuchujący: iperf3 -s (domyślnie nasłuchuje na porcie TCP/UDP 5201). 2. Na maszynie źródłowej uruchamiany jest klient generujący ruch:

Test 1: Maksymalna przepustowość TCP (Bandwidth Test)
Polecenie: iperf3 -c 192.168.1.100 -t 30 -P 4.
Klient nawiązuje cztery równoległe strumienie TCP (-P 4) i przez 30 sekund (-t 30) wysyła maksymalną możliwą liczbę danych. Wynik raportuje osiągniętą przepustowość w Mb/s lub Gb/s, liczbę retransmisji TCP (Retr) oraz średni rozmiar okna cwnd. Na łączu Gigabit Ethernet wynik powinien oscylować wokół 940–945 Mb/s (pozostałe 55–60 Mb/s pochłania narzut nagłówków Ethernet, IP i TCP).

Test 2: Jakość łącza w protokole UDP (Jitter i Packet Loss)
Polecenie: iperf3 -c 192.168.1.100 -u -b 100M -t 30.
Klient wysyła strumień datagramów UDP o sztywno zadeklarowanej przepływności 100 Mb/s (-b 100M). Narzędzie mierzy kluczowe metryki jakościowe niezbędne dla telefonii VoIP i wideokonferencji: - Jitter (zmienność opóźnienia pakietów w milisekundach) – powinien wynosić poniżej 2–5 ms. - Lost/Total Datagrams (procent utraconych pakietów) – w zdrowej sieci LAN wskaźnik ten musi wynosić dokładnie 0.0%.

Ostatni zestaw pytań kontrolnych pozwala na całościową ewaluację wiedzy inżynierskiej z zakresu sieci bezprzewodowych, przewodowych oraz mechanizmów kontroli błędów:

1. Pytanie 1 (Planowanie pasma 2,4 GHz): Jakie są trzy podstawowe nienakładające się na siebie kanały w paśmie 2,4 GHz w Europie dla kanałów o szerokości 20 MHz? Dlaczego użycie kanałów pośrednich (np. kanału 2, 3 lub 4) drastycznie degraduje wydajność całej sieci Wi-Fi w otoczeniu?
2. Pytanie 2 (Protokół RSTP a STP): Czym w praktyce różni się zachowanie protokołu RSTP (IEEE 802.1w) od klasycznego STP (IEEE 802.1D) w momencie fizycznego odcięcia kabla głównego Root Portu? Jakie mechanizmy pozwalają RSTP na reakcję w czasie kilkunastu milisekund?
3. Pytanie 3 (Dupleks a kolizje): Czy przełącznik pracujący w pełnym dupleksie może generować kolizje? W jakich sytuacjach w nowoczesnej sieci ethernetowej możemy zaobserwować kolizje w statystykach portu przełącznika?
4. Pytanie 4 (Suma kontrolna FCS): Jaką funkcję pełni 4-bajtowe pole Frame Check Sequence (FCS) w ramce Ethernet? Co dzieje się z ramką, jeśli suma kontrolna obliczona przez odbiornik nie zgadza się z wartością w nagłówku? Czy odbiornik odsyła informację o błędzie do nadawcy?

Przeanalizuj powyższe pytania przed zapoznaniem się z kluczem rozwiązań na kolejnym slajdzie.

Poniżej przedstawiono autorytatywne odpowiedzi na pytania podsumowujące moduł:

Odpowiedź 1 (Kanały nienakładające się w 2,4 GHz): W Europie (zgodnie z regulacjami ETSI) w paśmie 2,4 GHz dopuszczonych jest 13 kanałów, których częstotliwości środkowe są oddalone od siebie o zaledwie 5 MHz, podczas gdy sygnał o szerokości 20 MHz zajmuje pasmo ok. 22 MHz. Z tego względu jedynym zestawem trzech wzajemnie nienakładających się kanałów są kanały: 1 (2412 MHz), 6 (2437 MHz) oraz 11 (2462 MHz) (lub alternatywnie 1, 7, 13). Użycie kanału pośredniego (np. kanału 3) nakłada się częściowo zarówno na kanał 1, jak i kanał 6, wprowadzając zjawisko niszczących interferencji nieskoordynowanych (Adjacent-Channel Interference - ACI), co uniemożliwia poprawne działanie mechanizmu CSMA/CA i paraliżuje transfer obu sąsiednich sieci.

Odpowiedź 2 (Błyskawiczna reakcja RSTP): W klasycznym STP po awarii Root Portu przełącznik musiał odczekać wygaśnięcie komunikatu BPDU (Max Age = 20 s), a następnie przeprowadzić port przez stany Listening (15 s) i Learning (15 s), co dawało łącznie 50 sekund przestoju. W protokole RSTP przełącznik posiada z góry wyznaczoną rolę Alternate Port. W momencie zaniku sygnału na porcie głównym Alternate Port natychmiast (w czasie poniżej 10–50 ms) przechodzi w rolę Root Portu i stan Forwarding bez jakichkolwiek timerów, co gwarantuje ciągłość sesji telefonicznych VoIP i transmisji wideo.

Odpowiedź 3 (Kolizje a przełącznik): W pełnym dupleksie (Full-Duplex) kolizje są fizycznie niemożliwe. Kolizje w statystykach przełącznika mogą pojawić się wyłącznie w dwóch przypadkach: (a) port przełącznika został podłączony do starego koncentratora (Hub) pracującego w Half-Duplex, lub (b) wystąpił błąd Duplex Mismatch (np. port switcha ustawiono na sztywno na 100/Full, a karta sieciowa klienta w trybie autonegocjacji spadła do 100/Half – wtedy karta klienta raportuje ciągłe kolizje).

Odpowiedź 4 (Suma FCS i brak retransmisji w L2): Pole FCS zawiera 32-bitową sumę kontrolną wyliczaną wielomianem CRC-32. Chroni ono przed przekłamaniami bitów wywołanymi zakłóceniami na kablu. Jeśli odbiornik wykryje niezgodność sumy CRC, ramka jest natychmiast po cichu porzucana (Drop). Karta sieciowa nigdy nie odsyła żadnej informacji o błędzie do nadawcy! Protokół Ethernet działa w trybie bezpołączeniowym i niestrzeżonym; ewentualne wykrycie braku danych i żądanie retransmisji leży wyłącznie w gestii wyższych warstw (np. protokołu TCP w warstwie 4).

Syntetyczna mapa powiązań architektonicznych pozwala scalić wiedzę z całego modułu siódmego w jeden, przejrzysty obraz inżynieryjny, ukazujący, w jaki sposób poszczególne technologie uzupełniają się na różnych poziomach stosu sieciowego:

1. Warstwa 2 (Łącza danych - Data Link Layer): - Adresowanie fizyczne: 48-bitowe adresy MAC (EUI-48), podział na OUI i NIC, bity I/G (Unicast/Multicast) oraz U/L (Universal/Local), adres rozgłoszeniowy FF:FF:FF:FF:FF:FF. - Enkapsulacja i ramkowanie: Ramka Ethernet II, preambuła, znacznik SFD, nagłówek 14 bajtów, pole EtherType (0x0800 dla IPv4, 0x86DD dla IPv6, 0x0806 dla ARP), suma kontrolna CRC-32 FCS, limit minimalny 64 bajty (Padding). - Urządzenia i topologia: Przełączniki warstwy 2 (Switches), tablice asocjacyjne CAM, operacje uczenia (Learning), filtrowania (Filtering), forwardowania i zalewania (Flooding). - Odporność i pętle: Brak pola TTL w ramce, zagrożenie burzą rozgłoszeniową (Broadcast Storm) i migotaniem adresów MAC (Flapping); ochrona za pomocą protokołów drzewa rozpinającego STP (IEEE 802.1D) oraz RSTP (IEEE 802.1w) z rolami Root, Designated, Alternate i Backup.

2. Pomost L2 / L3 (Protokół ARP): - Protokół ARP (RFC 826) dynamicznie łączy logiczne adresy IPv4 z fizycznymi adresami MAC. - Zapytanie ARP Request (Broadcast w L2) → Odpowiedź ARP Reply (Unicast w L2) → Pamięć podręczna ARP Cache. - Zagrożenie: ARP Poisoning / Spoofing (atak Man-in-the-Middle); ochrona infrastrukturalna: DHCP Snooping + Dynamic ARP Inspection (DAI).

3. Warstwa 3 (Sieciowa - Network Layer): - Protokół IPv4 (RFC 791): Bezpołączeniowy transfer Best-Effort, 32-bitowe adresy logiczne, pole TTL zapobiegające pętlom routingu, pola fragmentacji (ID, Flags: DF/MF, Offset). - Protokół kontrolny ICMP (RFC 792): Sygnalizacja błędów i diagnostyka (ping: Echo Request/Reply; traceroute: dekrementacja TTL i komunikaty Time Exceeded). - Transmisje grupowe: Klasa D (224.0.0.0/4), protokół rejestracji IGMP (RFC 3376), mapowanie na MAC Multicast 01:00:5E z 5-bitową wieloznacznością.

Niezawodność i bezpieczeństwo sieci korporacyjnej zależy od rygorystycznego stosowania najlepszych praktyk inżynierskich. Zaniedbania na poziomie warstwy 2 potrafią sparaliżować nawet najnowocześniejsze systemy bezpieczeństwa wyższych warstw. Każdy administrator infrastruktury LAN powinien wdrożyć następujące zasady:

1. Twardnienie protokołu STP/RSTP: - BPDU Guard: funkcja bezwzględnie włączana na wszystkich portach dostępowych (Edge Ports / PortFast). Jeśli nieświadomy pracownik lub intruz podłączy do gniazdka w ścianie własny przełącznik generujący ramki BPDU, port przełącznika natychmiast przechodzi w stan err-disable i zostaje wyłączony, uniemożliwiając przejęcie roli Root Bridge. - Root Guard: konfigurowany na portach łączących z przełącznikami podrzędnymi. Gwarantuje, że przełącznik rdzeniowy (Core Switch) nigdy nie utraci statusu Root Bridge pod wpływem błędnie skonfigurowanego przełącznika zewnętrznego.
2. Ochrona przed atakami na tablicę CAM i podsłuchem: - Port Security: ograniczenie liczby dozwolonych adresów MAC na porcie dostępowym (np. do 1 lub 2 adresów) z akcją violation shutdown. Chroni przełącznik przed atakami przepełnienia tablicy CAM (MAC Flooding Attack), które próbują wymusić przejście switcha w tryb koncentratora (Fail-Open).
3. Ochrona protokołów pomocniczych L2/L3: - DHCP Snooping + Dynamic ARP Inspection (DAI): obowiązkowy duet w każdym VLAN-ie użytkowników. Eliminuje fałszywe serwery DHCP (Rogue DHCP) oraz ataki zatruwania tablic ARP (ARP Poisoning MitM).
4. Higiena fizyczna i dupleks: Zawsze weryfikuj stan autonegocjacji prędkości i dupleksu. Unikaj ręcznego ustawiania na sztywno prędkości na jednym końcu kabla, jeśli drugi koniec ma autonegocjację (zapobieganie zjawisku Duplex Mismatch). Wszystkie niewykorzystane porty przełącznika powinny być administracyjnie wyłączone (shutdown) i przypisane do dedykowanego, nieużywanego VLAN-u (tzw. Blackhole VLAN).

Gratulacje! Dobiegła końca siódma część kursu Projektowania i Diagnostyki Sieci Komputerowych, stanowiąca kluczowy pomost pomiędzy fizyczną transmisją sygnałów a logicznym światem protokołów internetowych. Podczas tego modułu opanowaliście fundamenty działania technologii Ethernet, strukturę ramki, fizykę i matematykę wykrywania kolizji CSMA/CD oraz unikania kolizji CSMA/CA w sieciach Wi-Fi.

Zgłębiliście architekturę przełączników warstwy 2, działanie tablic asocjacyjnych CAM oraz potęgę algorytmów drzewa rozpinającego STP i RSTP, które chronią współczesne sieci przed paraliżującymi burzami rozgłoszeniowymi. W warstwie sieciowej poznaliście tajniki budowy datagramu IPv4, mechanizmy podziału pakietów podczas fragmentacji oraz role protokołów ICMP i ARP, zyskując jednocześnie praktyczną wiedzę o wektorach ataków L2 (ARP Spoofing) i metodach ich skutecznej neutralizacji za pomocą DAI i DHCP Snooping.

W kolejnej, ósmej części kursu (PiDSK Część 8: Protokół IPv4 – adresacja i podsieci) skupimy się w całości na matematyce i logice adresowania IPv4. Opanujemy podział na klasy historyczne, bezklasowe trasowanie CIDR (Classless Inter-Domain Routing), technikę zmiennej długości maski podsieci VLSM (Variable Length Subnet Masking), projektowanie planów adresacyjnych, zaawansowane mechanizmy translacji adresów NAT/PAT oraz metodykę obliczania podsieci w pamięci. Zachęcamy do powtórzenia materiału i wykonania ćwiczeń laboratoryjnych w Wiresharku!