Adresacja logiczna w protokole IPv4 (Internet Protocol version 4) stanowi fundamentalny filar, na którym wzniesiono cały gmach globalnego internetu. Opublikowany w 1981 roku przez Jona Postela standard RFC 791 zdefiniował adres IP jako 32-bitową liczbę całkowitą bez znaku. Taka szerokość słowa adresowego wyznacza całkowitą teoretyczną przestrzeń adresową wynoszącą dokładnie 2³² = 4 294 967 296 (ponad 4,29 miliarda) unikalnych kombinacji binarnych. W latach 70. i 80. XX wieku liczba ta wydawała się niewyobrażalnie wielka, znacznie przewyższając ówczesną liczbę ludności świata i zasoby komputerowe planety.

Z punktu widzenia inżynierii sieciowej kluczową cechą adresu IP jest jego hierarchiczna struktura. W przeciwieństwie do płaskiej przestrzeni adresów fizycznych MAC (w której adres karty sieciowej nie zawiera żadnej informacji o jej geograficznym lub topologicznym położeniu w świecie), adres IPv4 składa się z dwóch ściśle wyodrębnionych części: identyfikatora sieci (Network ID) oraz identyfikatora węzła końcowego (Host ID). Dzięki temu routery szkieletowe w internecie nie muszą przechowywać w swoich tablicach routingu tras do miliardów pojedynczych komputerów, lecz operują na zagregowanych prefiksach całych sieci i systemów autonomicznych, co umożliwia skalowalność trasowania w skali globu.

Dla wygody człowieka 32-bitowy ciąg zero-jedynkowy zapisuje się w postaci tzw. notacji kropkowo-dziesiętnej (Dotted-Decimal Notation). Liczba 32 bitów jest dzielona na cztery równe, 8-bitowe porcje zwane oktetami. Każdy oktet jest niezależnie konwertowany na liczbę dziesiętną z przedziału od 0 do 255 i oddzielany kropką (np. 192.168.1.1). Niniejszy moduł przeprowadzi słuchacza przez formalne zasady podziału tej przestrzeni: od historycznych klas adresowych, przez rewolucję bezklasową CIDR i elastyczne projektowanie sieci metodą VLSM, aż po praktyczne obliczenia matematyczne masek i podsieci niezbędne w codziennej pracy administratora.

Program niniejszego wykładu został ułożony w rygorystyczny logicznie ciąg kształcenia inżynierskiego, łącząc aparat matematyczny algebry Boole'a z praktycznymi wytycznymi projektowania nowoczesnych sieci IP. W pierwszej kolejności zbadamy strukturę binarną 32-bitowego adresu i 4 oktetów, opanowując szybką konwersję dwójkowo-dziesiętną w oparciu o wagi potęg dwójki (128, 64, 32, 16, 8, 4, 2, 1). Poznamy historyczny system klasowy (Klasy A, B, C, D i E) i zrozumiemy, w jaki sposób sztywne granice klas doprowadziły do gigantycznego marnotrawstwa przestrzeni adresowej na początku lat 90. XX wieku.

W drugiej sekcji przeanalizujemy mechanizm maski podsieci (Subnet Mask) oraz operację bitowego iloczynu logicznego AND, za pomocą której każdy stos sieciowy i router wyodrębnia adres sieci z adresu hosta. Następnie prześledzimy rewolucję bezklasową wprowadzoną przez standard CIDR (Classless Inter-Domain Routing, RFC 1519) oraz zaawansowaną technikę VLSM (Variable Length Subnet Masking), która umożliwia optymalne dopasowywanie masek podsieci do rzeczywistej liczby urządzeń w poszczególnych działach przedsiębiorstwa.

Trzecia część modułu poświęcona jest mechanizmom przedłużania żywotności protokołu IPv4 w obliczu wyczerpania globalnej puli adresowej: prywatnym zakresom adresowym określonym w RFC 1918, translacji adresów sieciowych i portów NAT/PAT (RFC 3022) oraz agregacji tras (Supernetting). Wykład wieńczy rozbudowany warsztat zadań rachunkowych, w którym studenci krok po kroku opanują algorytmy obliczania adresu sieci, adresu rozgłoszeniowego (Broadcast), liczby użytecznych hostów oraz zakresów adresacji w pamięci.

Chociaż interfejsy systemów operacyjnych oraz dokumentacja techniczna posługują się zapisem dziesiętnym, karty sieciowe, układy scalone ASIC w przełącznikach i procesory routerów operują wyłącznie na czystym kodzie binarnym. Adres IPv4 to ciąg dokładnie 32 bitów (zer i jedynek). Aby ułatwić zarządzanie i analizę, 32 bity pogrupowano w cztery równe bloki po 8 bitów, zwane w terminologii sieciowej oktetami (lub bajtami): [Oktet 1].[Oktet 2].[Oktet 3].[Oktet 4].

Wartość dziesiętna każdego oktetu wynika z pozycji bitów i ich wag w systemie dwójkowym o podstawie 2. Osiem pozycji bitowych w oktecie (numerowanych od najstarszego bitu b7 do najmłodszego b0) odpowiada następującym potęgom dwójki: - Bit 7: 2⁷ = 128 - Bit 6: 2⁶ = 64 - Bit 5: 2⁵ = 32 - Bit 4: 2⁴ = 16 - Bit 3: 2³ = 8 - Bit 2: 2² = 4 - Bit 1: 2¹ = 2 - Bit 0: 2⁰ = 1
Suma wag wszystkich ustawionych bitów (wartość 11111111₂) wynosi: 128 + 64 + 32 + 16 + 8 + 4 + 2 + 1 = 255. Wartość samych zer (00000000₂) wynosi 0. Żaden poprawny oktet w adresie IPv4 nie może więc przyjąć wartości dziesiętnej większej niż 255 ani mniejszej niż 0.

Przeanalizujmy konkretny przykład inżynierski: popularny adres 192.168.1.1. W notacji binarnej składa się on z następujących słów: - 192 = 128 + 64 = 11000000₂ - 168 = 128 + 32 + 8 = 10101000₂ - 1 = 1 = 00000001₂ - 1 = 1 = 00000001₂
Kompletny 32-bitowy zapis tego adresu to: 11000000.10101000.00000001.00000001. Biegła umiejętność błyskawicznej konwersji pomiędzy zapisem binarnym a dziesiętnym dla kluczowych wartości (128, 192, 224, 240, 248, 252, 254, 255) jest niezbędnym elementem warsztatu każdego projektanta sieci teleinformatycznych.

W pierwotnej architekturze protokołu IPv4 nie istniało pojęcie elastycznej maski podsieci przesyłanej w protokołach trasowania. Zamiast tego standard RFC 791 podzielił całą 32-bitową przestrzeń adresową na pięć sztywnych klas (od A do E). Routery rozpoznawały klasę adresu wyłącznie na podstawie wzorca bitowego rozpoczynającego pierwszy oktet:

1. Klasa A (prefiksy binarne 0..., zakres: 1.0.0.0 – 126.255.255.255): Pierwszy oktet definiował sieć (8 bitów), a pozostałe 3 oktety (24 bity) należały do hostów. Domyślna maska to 255.0.0.0 (/8). Istniało zaledwie 126 takich sieci, lecz każda z nich mogła pomieścić astronomiczne 2²⁴ - 2 = 16 777 214 hostów! Pule te przydzielono na początku lat 80. gigantom technologicznym (IBM, Apple, Xerox, MIT) oraz agencjom rządu USA.
(Zakres 127.0.0.0/8 zarezerwowano na pętlę zwrotną Loopback).
2. Klasa B (prefiksy binarne 10..., zakres: 128.0.0.0 – 191.255.255.255): Dwa pierwsze oktety definiowały sieć (16 bitów), a dwa pozostałe hosty (16 bitów). Domyślna maska to 255.255.0.0 (/16). Utworzono 16 384 sieci klasy B, z których każda mieściła 2¹⁶ - 2 = 65 534 hostów. Była to najbardziej pożądana klasa przez uniwersytety i korporacje.
3. Klasa C (prefiksy binarne 110..., zakres: 192.0.0.0 – 223.255.255.255): Trzy pierwsze oktety definiowały sieć (24 bity), a ostatni oktet hosty (8 bitów). Domyślna maska to 255.255.255.0 (/24). Utworzono 2 097 152 sieci, lecz każda mogła pomieścić zaledwie 2⁸ - 2 = 254 hosty.
4. Klasa D (prefiksy binarne 1110..., zakres: 224.0.0.0 – 239.255.255.255): przeznaczona na transmisje grupowe Multicast (RFC 1112).
5. Klasa E (prefiksy binarne 1111..., zakres: 240.0.0.0 – 255.255.255.255): zarezerwowana do celów badawczych i eksperymentalnych.

Sztywność tego podziału wywołała dramatyczny kryzys na początku lat 90. Organizacja potrzebująca podłączyć 300 komputerów była zbyt duża dla klasy C (maksymalnie 254 hosty), więc otrzymywała całą klasę B na 65 534 adresy, z których marnowała ponad 65 000! Doprowadziło to do gwałtownego wyczerpywania się puli adresów klasy B i zagroziło eksplozją tablic routingu w internecie, zmuszając IETF do natychmiastowego zniesienia systemu klasowego.

Sam 32-bitowy adres IP jest informacją niepełną. Aby komputer lub router wiedział, które bity adresu reprezentują identyfikator sieci (Network ID), a które wskazują konkretny komputer w tej sieci (Host ID), adresowi IP musi bezwzględnie towarzyszyć druga 32-bitowa struktura – maska podsieci (Subnet Mask). Standard RFC 950 narzuca ścisłą regułę formalną: poprawna maska podsieci musi składać się wyłącznie z nieprzerwanego ciągu jedynek binarnych od lewej strony, po którym następuje nieprzerwany ciąg zer. Niedozwolone są maski z naprzemiennymi jedynkami i zerami.

Bity równe 1 w masce podsieci „zamrażają” odpowiadające im bity w adresie IP, definiując identyfikator podsieci. Bity równe 0 reprezentują pole hosta, którego kombinacje binarne służą do numerowania poszczególnych stacji roboczych, serwerów i drukarek. Wyznaczanie adresu sieci przez procesor karty sieciowej odbywa się za pomocą elementarnej operacji algebry Boole'a – bitowego iloczynu logicznego AND. Zgodnie z tabelą prawdy operacji AND: - 1 AND 1 = 1 - 1 AND 0 = 0 - 0 AND 1 = 0 - 0 AND 0 = 0

Przeanalizujmy operację AND na przykładzie hosta o adresie 192.168.1.130 z maską 255.255.255.192 (/26): Adres IP: 11000000.10101000.00000001.10000010 (192.168.1.130)
Maska: 11111111.11111111.11111111.11000000 (255.255.255.192)
AND (Wynik):11000000.10101000.00000001.10000000 (192.168.1.128)
Dzięki operacji AND host natychmiast wie, że jego siecią macierzystą jest 192.168.1.128. Gdy host chce wysłać pakiet do innego urządzenia, wykonuje operację AND na adresie celu i swojej masce. Jeśli wynik jest zgodny z adresem własnej sieci (192.168.1.128), pakiet przesyłany jest bezpośrednio przez L2 (z użyciem ARP). Jeśli wynik jest inny, pakiet jest natychmiast kierowany do bramy domyślnej (routera).

W 1993 roku organizacja IETF opublikowała dokument RFC 1519, wprowadzający Classless Inter-Domain Routing (CIDR). Była to jedna z najważniejszych i najbardziej dalekowzrocznych reform w historii internetu. CIDR zniósł sztywny podział na klasy A, B i C, zastępując go koncepcją prefiksu sieciowego o dowolnej długości bitowej. Od momentu wdrożenia CIDR granica pomiędzy częścią sieciową a częścią hostową może znajdować się w dowolnym miejscu 32-bitowego adresu IP – nie tylko na granicy pełnego bajtu (oktetu).

Bezpośrednią konsekwencją CIDR było wprowadzenie zwięzłej i eleganckiej notacji prefiksowej (Prefix Notation / Slash Notation). Zamiast pisać długą, niewygodną maskę dziesiętną 255.255.255.0, za adresem IP stawia się znak ukośnika (slash /) oraz liczbę jedynek w masce: /24. Przykłady odpowiedników: - 255.0.0.0 → /8 (8 jedynek) - 255.255.0.0 → /16 (16 jedynek) - 255.255.255.0 → /24 (24 jedynki) - 255.255.255.128 → /25 (25 jedynek) - 255.255.255.192 → /26 (26 jedynek) - 255.255.255.224 → /27 (27 jedynek) - 255.255.255.252 → /30 (30 jedynek – typowe dla łącz punkt-punkt router-router).

Wdrożenie CIDR uratowało globalny internet przed zapaścią z dwóch powodów. Po pierwsze, umożliwiło operatorom telekomunikacyjnym i rejestrom RIR (np. RIPE NCC w Europie) przydzielanie bloków adresowych dokładnie dopasowanych do potrzeb klientów (np. blok /22 na 1024 adresy zamiast marnowania całej klasy B na 65 536 adresów). Po drugie, CIDR umożliwił agregację tras (Route Aggregation / Supernetting) w globalnym protokole routingu BGP-4 (RFC 4271), redukując setki tysięcy wpisów w tablicach routerów szkieletowych do pojedynczych, skróconych prefiksów.

Podstawowym zadaniem inżyniera projektującego sieć komputerową jest precyzyjne dobranie maski podsieci w taki sposób, aby pomieściła wymaganą liczbę urządzeń końcowych, nie marnując przy tym cennej przestrzeni adresowej. Liczba bitów przeznaczonych na identyfikację hostów, oznaczana symbolem h, wynika bezpośrednio z długości prefiksu: h = 32 - prefix (ponieważ cały adres liczy 32 bity).

Całkowita liczba unikalnych kombinacji binarnych w polu hosta wynosi 2^h. Jednakże w klasycznej inżynierii IPv4 z tej puli należy bezwzględnie odjąć 2 adresy, które są zarezerwowane i nie mogą zostać przypisane do żadnego fizycznego komputera, serwera ani portu routera: 1. Pierwszy adres w podsieci (same bity 0 w polu hosta) → Adres sieci (Network Address). Identyfikuje całą podsieć jako logiczną całość w tablicach routingu urządzeń sieciowych (np. 192.168.1.0). 2. Ostatni adres w podsieci (same bity 1 w polu hosta) → Adres rozgłoszeniowy (Broadcast Address). Służy do wysyłania pakietów trafiających jednocześnie do wszystkich hostów w danej podsieci (np. 192.168.1.255).
Stąd wynika uniwersalny wzór inżynierski: Użyteczne hosty = 2^h - 2.

Przeanalizujmy typowe przykłady: - Dla maski /24: h = 32 - 24 = 8 bitów. 2⁸ - 2 = 256 - 2 = 254 hosty. - Dla maski /26: h = 32 - 26 = 6 bitów. 2⁶ - 2 = 64 - 2 = 62 hosty. - Dla maski /27: h = 32 - 27 = 5 bitów. 2⁵ - 2 = 32 - 2 = 30 hostów. - Dla maski /29: h = 32 - 29 = 3 bity. 2³ - 2 = 8 - 2 = 6 hostów. - Dla maski /30: h = 32 - 30 = 2 bity. 2² - 2 = 4 - 2 = 2 hosty (idealne dla połączenia punkt-punkt między dwoma routerami).

Warto wspomnieć o nowoczesnym wyjątku inżynierskim: norma RFC 3021 zalegalizowała stosowanie masek /31 (2 bity hosta, brak adresu sieci i broadcastu) wyłącznie na łączach bezpośrednich punkt-punkt pomiędzy dwoma routerami, oszczędzając w ten sposób 50% adresów w infrastrukturze operatorskiej.

Podział na podsieci (Subnetting) jest fundamentalną procedurą administracyjną, która pozwala podzielić duży, jednolity blok adresowy na mniejsze, logicznie odseparowane segmenty sieciowe odpowiadające strukturze organizacyjnej firmy (np. odrębna podsieć dla działu finansów, serwerów, gości Wi-Fi, kamer monitoringu). Podział ten drastycznie zmniejsza rozmiar domen rozgłoszeniowych, zapobiega zatorom sieciowym oraz umożliwia wdrożenie restrykcyjnych polityk bezpieczeństwa na zaporach ogniowych i listach ACL.

Przeanalizujmy klasyczny proces podziału popularnej sieci 192.168.1.0/24 na 4 równe podsieci: 1. Określenie liczby potrzebnych bitów podsieci (s): Chcemy uzyskać 4 podsieci. Z równania 2^s ≥ 4 wynika, że musimy pożyczyć s = 2 bity z dotychczasowego pola hosta (ponieważ 2² = 4). 2. Nowa maska podsieci: Do dotychczasowego prefiksu dodajemy pożyczone bity: nowy prefiks wynosi 24 + 2 = /26. W postaci dziesiętnej dwa najstarsze bity czwartego oktetu (128 + 64) dają wartość 192. Nowa maska to: 255.255.255.192. 3. Wyznaczenie kroku podsieci (tzw. Magic Number / Block Size): Krok podsieci wyznacza odstęp pomiędzy kolejnymi adresami sieci. Oblicza się go odejmując wartość zmiennego oktetu maski od liczby 256: Krok = 256 - 192 = 64. Oznacza to, że kolejne podsieci rozpoczynają się co 64 adresy!

W rezultacie uzyskujemy 4 precyzyjne podsieci: - Podsieć 1: Adres sieci: 192.168.1.0/26. Użyteczne hosty: 192.168.1.1 do 192.168.1.62. Broadcast: 192.168.1.63. - Podsieć 2: Adres sieci: 192.168.1.64/26. Użyteczne hosty: 192.168.1.65 do 192.168.1.126. Broadcast: 192.168.1.127. - Podsieć 3: Adres sieci: 192.168.1.128/26. Użyteczne hosty: 192.168.1.129 do 192.168.1.190. Broadcast: 192.168.1.191. - Podsieć 4: Adres sieci: 192.168.1.192/26. Użyteczne hosty: 192.168.1.193 do 192.168.1.254. Broadcast: 192.168.1.255.
Każda z tych czterech podsieci może pomieścić dokładnie 2⁶ - 2 = 62 użyteczne urządzenia.

Klasyczny podział na podsieci (tzw. FLSM - Fixed Length Subnet Mask) dzielił przestrzeń na bloki o jednakowym rozmiarze. Jeśli jednak organizacja posiadała jeden duży dział liczący 100 komputerów, drugi dział z 20 komputerami oraz trzy łącza szeregowe typu punkt-punkt łączące odległe routery (wymagające zaledwie 2 adresów IP na łącze), wdrożenie FLSM z maską /25 lub /26 prowadziło do gigantycznego marnotrawstwa: na łączu punkt-punkt z 62 dostępnych adresów wykorzystywano 2, a 60 adresów bezpowrotnie przepadało!

Odpowiedzią inżynierską na ten problem jest technika VLSM (Variable Length Subnet Masking), ustandaryzowana w dokumencie RFC 1878. VLSM pozwala inżynierowi podzielić sieć na mniejsze fragmenty, a następnie ponownie podzielić jeden z tych fragmentów za pomocą dłuższej maski (tzw. podsieć podsieci). Aby VLSM działało w infrastrukturze, protokoły routingu dynamicznego muszą być bezklasowe (Classless Routing Protocols, np. OSPFv2, EIGRP, IS-IS, BGP-4), czyli przesyłać maskę podsieci w swoich komunikatach uaktualnień (LSA / Update).

Złota zasada projektowania planu adresacji metodą VLSM głosi: zawsze przydzielaj adresy zaczynając od największych podsieci ku najmniejszym: 1. Krok 1: Wyznacz podsieć dla największej grupy (np. 100 hostów → maska /25 mieszcząca 126 hostów). 2. Krok 2: Z pozostałej wolnej przestrzeni wyznacz podsieć dla średniej grupy (np. 20 hostów → maska /27 mieszcząca 30 hostów). 3. Krok 3: Z kolejnego wolnego bloku wyznacz małe podsieci dla łącz punkt-punkt router-router (2 hosty → maska /30 mieszcząca 2 hosty).
Dzięki zastosowaniu VLSM stopień wykorzystania dostępnej puli adresowej w przedsiębiorstwie wzrasta z nędznych 20–30% do ponad 85–90%, eliminując ryzyko przedwczesnego wyczerpania przestrzeni adresowej.

Wobec gwałtownego rozwoju internetu w latach 90. XX wieku inżynierowie z grupy IETF uświadomili sobie, że przydzielanie globalnie unikalnego, publicznego adresu IP dla każdego komputera biurowego, drukarki czy stacji roboczej doprowadzi do natychmiastowego wyczerpania 32-bitowej puli IPv4. W lutym 1996 roku opublikowano przełomowy dokument RFC 1918, który wydzielił z globalnej przestrzeni trzy obszerne bloki adresowe do wyłącznego użytku prywatnego:

1. Blok 24-bitowy (odpowiednik klasy A): 10.0.0.0/8 (zakres: 10.0.0.0 – 10.255.255.255). Zawiera 16 777 216 adresów. Powszechnie wykorzystywany w dużych korporacjach, bankach, sieciach telekomunikacyjnych oraz centrach danych.
2. Blok 20-bitowy (odpowiednik 16 sieci klasy B): 172.16.0.0/12 (zakres: 172.16.0.0 – 172.31.255.255). Zawiera 1 048 576 adresów. Często spotykany w sieciach średnich przedsiębiorstw i środowiskach wirtualizacji.
3. Blok 16-bitowy (odpowiednik 256 sieci klasy C): 192.168.0.0/16 (zakres: 192.168.0.0 – 192.168.255.255). Zawiera 65 536 adresów. Powszechny standard w domowych routerach Wi-Fi, małych biurach (SOHO) i laboratoriach.

Żelazną zasadą inżynieryjną jest fakt, że adresy z RFC 1918 nie są trasowane w publicznym internecie. Wszystkie routery brzegowe operatorów telekomunikacyjnych (ISP) posiadają bezwzględne filtry ACL odrzucające (DROP) pakiety posiadające w nagłówku prywatny adres IP jako źródło lub cel. Daje to podwójną korzyść: miliony firm na całym świecie mogą jednocześnie korzystać z tych samych podsieci (np. 192.168.1.0/24) bez jakichkolwiek konfliktów, a urządzenia wewnętrzne zyskują wstępną warstwę ochrony przed bezpośrednimi atakami z zewnątrz.

Obok RFC 1918 istnieją inne zarezerwowane pule specjalne: - 127.0.0.0/8 (RFC 1122): pętla zwrotna (Loopback), służąca do komunikacji międzyprocesowej wewnątrz lokalnego hosta (np. 127.0.0.1 localhost). Pakiety te nigdy nie opuszczają karty sieciowej. - 169.254.0.0/16 (RFC 3927): adresacja automatyczna APIPA (Automatic Private IP Addressing) / Link-Local. Przydzielana przez system operacyjny (Windows, Linux), gdy klient nie uzyska odpowiedzi od serwera DHCP. Pojawienie się adresu 169.254.x.x jest jednoznacznym objawem awarii usługi DHCP w sieci LAN!

Wprowadzenie prywatnych przestrzeni adresowych RFC 1918 zrodziło natychmiast fundamentalny problem inżynieryjny: w jaki sposób komputery w sieci lokalnej LAN (posiadające nieroutowalne adresy prywatne, np. 192.168.1.50) mają łączyć się z serwerami WWW, pocztą i usługami w publicznym internecie? Rozwiązaniem stała się technologia NAT (Network Address Translation), zdefiniowana w dokumencie RFC 3022.

Wyróżniamy trzy podstawowe odmiany translacji NAT: 1. NAT statyczny (Static NAT - mapowanie 1:1): Na stałe przypisuje jeden prywatny adres IP do jednego publicznego adresu IP. Stosowany głównie do wystawiania wewnętrznych serwerów firmowych (np. serwera poczty w strefie DMZ) do publicznego internetu. Nie przynosi oszczędności adresów IP. 2. NAT dynamiczny (Dynamic NAT - pula adresów M:N): Przydziela adres publiczny z puli wolnych adresów na czas trwania aktywnej sesji klienta. Gdy pula publicznych adresów się wyczerpie, kolejni użytkownicy nie mogą nawiązać połączenia. 3. PAT (Port Address Translation / NAT Overload / NAPT): Najważniejszy i powszechnie stosowany wariant translacji. PAT pozwala setkom i tysiącom hostów prywatnych wychodzić do internetu za pośrednictwem zaledwie jednego, pojedynczego publicznego adresu IP!

Kluczem do działania PAT jest równoczesna modyfikacja adresu IP oraz numeru portu warstwy transportowej (TCP lub UDP). Gdy klient A (192.168.1.10:54321) wysyła żądanie HTTP do serwera, router brzegowy podmienia adres źródłowy IP na swój publiczny adres IP (np. 203.0.113.1) oraz przypisuje unikalny port źródłowy z puli efemerycznej (np. 40001). Router zapisuje ten fakt w tablicy translacji (NAT Translation Table): {192.168.1.10:54321 ↔ 203.0.113.1:40001 ↔ Cel}. Gdy nadejdzie pakiet odpowiedzi skierowany na port 40001, router sprawdza tabelę, odwraca translację i precyzyjnie przekazuje pakiet do klienta A. Choć NAT uratował internet przed zapaścią, naruszył fundamentalną zasadę komunikacji End-to-End, utrudniając działanie protokołów VoIP (SIP) oraz bezpośrednich połączeń P2P.

W początkowych latach rozwoju sieci lokalnych każdy komputer wymagał manualnego wprowadzenia konfiguracji sieciowej przez administratora: adresu IP, maski podsieci, adresu routera (bramy domyślnej) oraz adresów serwerów DNS. W dynamicznym środowisku współczesnych biur, kampusów uniwersyteckich oraz sieci Wi-Fi, gdzie setki użytkowników codziennie podłączają laptopy i smartfony, ręczna konfiguracja byłaby logistycznym koszmarem i prowadziłaby do nieustannych konfliktów zduplikowanych adresów IP.

Automatyzację tego procesu zapewnia protokół DHCP (Dynamic Host Configuration Protocol, RFC 2131). Komunikacja opiera się na czterofazowym cyklu DORA (Discover, Offer, Request, ACK) z wykorzystaniem transportu UDP (port 67 dla serwera, port 68 dla klienta). Klient nieposiadający jeszcze adresu IP wysyła rozgłoszeniowy pakiet DHCP Discover z adresem źródłowym 0.0.0.0 i docelowym 255.255.255.255. Serwer DHCP rezerwuje adres ze swojej puli (Scope) i odsyła DHCP Offer. Klient wybiera ofertę i potwierdza wybór komunikatem DHCP Request, po czym serwer przesyła ostateczny pakiet DHCP ACK zawierający pełną konfigurację interfejsu.

Co dzieje się w sytuacji, gdy serwer DHCP ulegnie awarii, kabel sieciowy zostanie uszkodzony lub pula adresowa zostanie wyczerpana? Po wysłaniu kilku zapytań Discover i braku odpowiedzi systemy operacyjne (np. Windows, Linux z demonem avahi) aktywują mechanizm APIPA (Automatic Private IP Addressing) / Link-Local, ustandaryzowany w RFC 3927. Karta sieciowa losuje wówczas adres z zarezerwowanej puli 169.254.1.0 do 169.254.254.255 z maską /16. Za pomocą zapytań ARP Probe karta sprawdza, czy nikt w sieci lokalnej nie używa tego adresu. Urządzenie z adresem APIPA może komunikować się wyłącznie z sąsiadami w tym samym fizycznym kablu – nie posiada bramy domyślnej i nie ma dostępu do internetu.

Wielu adeptów sieci komputerowych postrzega protokoły IPv4 i ARP jako niezależne byty. W rzeczywistości to właśnie logika adresowania IP i nałożona maska podsieci determinują zachowanie protokołu ARP (RFC 826) przed wysłaniem każdej pojedynczej ramki do medium transmisyjnego.

Gdy proces aplikacyjny (np. przeglądarka) zleca wysłanie pakietu do wskazanego adresu docelowego IP, stos sieciowy systemu operacyjnego wykonuje kluczowy algorytm decyzyjny: 1. Analiza maski: System nakłada swoją własną maskę podsieci na adres źródłowy oraz na adres docelowy celu za pomocą bitowej operacji AND. 2. Scenariusz A (Cel w tej samej podsieci): Wynik operacji AND jest identyczny. System wie, że cel znajduje się w tym samym fizycznym kablu / segmencie LAN. Stos sieciowy odpytuje tablicę ARP Cache: „Czy znam adres MAC hosta docelowego?”. Jeśli nie, wysyła rozgłoszeniowe zapytanie ARP Request o adres IP celu. Otrzymuje odpowiedź od celu i przesyła ramkę bezpośrednio do jego karty sieciowej. 3. Scenariusz B (Cel w zdalnej sieci / internecie): Wynik operacji AND jest różny (np. komputer 192.168.1.10 wysyła pakiet do 8.8.8.8). System wie, że bezpośrednie wysłanie zapytania ARP o 8.8.8.8 byłoby bezcelowe, ponieważ zapytanie rozgłoszeniowe nie przekroczy granicy routera! W tym momencie system całkowicie ignoruje adres IP celu w warstwie łącza danych i sprawdza adres IP skonfigurowanej bramy domyślnej (Default Gateway, np. 192.168.1.1). Stos wysyła zapytanie ARP Request o adres MAC routera!

W efekcie w scenariuszu zdalnym powstaje pakiet hybrydowy: w warstwie 3 pakiet IP niesie niezmieniony docelowy adres IP serwera w internecie (8.8.8.8), lecz w warstwie 2 ramka Ethernet jest zaadresowana do fizycznego adresu MAC lokalnego routera. Zrozumienie tej asymetrii adresowania jest kluczem do prawidłowej analizy śladów w analizatorze Wireshark.

Gdyby każdy dostawca internetu (ISP) musiał ogłaszać w globalnej tablicy routingu BGP trasę do każdej pojedynczej podsieci /24 czy /26 przydzielonej klientom, tablice routingu routerów szkieletowych liczyłyby dziesiątki milionów wpisów, doprowadzając do wyczerpania pamięci TCAM i paraliżu tranzytu. Mechanizmem zapobiegającym tej katastrofie jest agregacja tras (Supernetting / Route Summarization), stanowiąca kluczowy atut architektury CIDR (RFC 1519).

Supernetting polega na zastąpieniu kilku szczegółowych prefiksów jednym zwięzłym prefiksem podsumowującym. Aby podsieci mogły zostać poprawnie zagregowane w supernet, muszą bezwzględnie spełniać dwa rygorystyczne warunki inżynieryjne: 1. Muszą być ciągłe i przylegające do siebie w przestrzeni adresowej (bez luk). 2. Liczba łączonych podsieci musi być potęgą dwójki (2, 4, 8, 16, 32...), a pierwszy adres bloku musi być podzielny przez łączny rozmiar supernetu.

Przeanalizujmy przykład agregacji czterech sąsiadujących podsieci klasy C: - Podsieć 1: 192.168.0.0/24 = 192.168.00000000.0 - Podsieć 2: 192.168.1.0/24 = 192.168.00000001.0 - Podsieć 3: 192.168.2.0/24 = 192.168.00000010.0 - Podsieć 4: 192.168.3.0/24 = 192.168.00000011.0
Zauważmy, że pierwsze dwa oktety są identyczne (192.168). W trzecim oktecie pierwsze 6 bitów (000000) jest identyczne dla wszystkich czterech podsieci, a różnią się one wyłącznie 2 najmłodszymi bitami! Skracając prefiks o 2 bity (z /24 do /22), tworzymy jeden zagregowany supernet: 192.168.0.0/22 (z maską 255.255.252.0). Pojedyncza trasa /22 w tablicy routingu idealnie reprezentuje wszystkie cztery podsieci, redukując narzut o 75%.

Gdy na przełomie lat 70. i 80. XX wieku projektowano protokół IPv4, nikt nie przypuszczał, że sieć akademicko-wojskowa ARPANET przekształci się w globalną magistralę łączącą miliardy ludzi, smartfonów, samochodów autonomicznych oraz urządzeń Internetu Rzeczy (IoT). Pula 4 294 967 296 adresów IPv4 okazała się dramatycznie za mała. W dniu 3 lutego 2011 roku organizacja IANA uroczyście przydzieliła ostatnie pięć bloków /8 regionalnym rejestrom internetowym (RIR), a w listopadzie 2019 roku europejski rejestr RIPE NCC ogłosił całkowite wyczerpanie własnej puli wolnych adresów IPv4.

Choć technologie ratunkowe – przede wszystkim prywatne adresy RFC 1918 oraz translacja NAT/PAT – przedłużyły funkcjonowanie IPv4 o niemal trzy dekady, stały się one jednocześnie źródłem poważnych problemów inżynieryjnych: - Carrier-Grade NAT (CGNAT / NAT444): dostawcy usług internetowych zmuszeni są umieszczać całe osiedla i miasta za podwójnym lub potrójnym NAT-em, co niszczy łączność w grach online, uniemożliwia bezpośrednie połączenia P2P, utrudnia pracę policji i organów ścigania w identyfikacji sprawców cyberprzestępstw oraz drastycznie zwiększa koszty infrastruktury ISP. - Czarny rynek adresów IPv4: ceny jednego publicznego adresu IPv4 na giełdach brokerskich osiągają od 40 do ponad 60 USD, co stanowi ogromną barierę wejścia dla nowych startupów i innowacyjnych projektów technologicznych.

Jedynym trwałym i ostatecznym rozwiązaniem problemu jest globalna migracja do protokołu IPv6 (Internet Protocol version 6, RFC 8200). Dzięki zastosowaniu 128-bitowej przestrzeni adresowej IPv6 udostępnia astronomiczne 2¹²⁸ = 3,4 × 10³⁸ unikalnych adresów (co odpowiada bilionom bilionów adresów przypadających na każdy milimetr kwadratowy powierzchni Ziemi!). IPv6 całkowicie eliminuje potrzebę stosowania NAT-u, przywraca czystą komunikację End-to-End, upraszcza strukturę nagłówka i wprowadza automatyczną konfigurację bezstanową SLAAC.

W ramach pierwszego ćwiczenia warsztatowego student ma za zadanie wyznaczyć adres sieci dla węzła o parametrach: adres IP 192.168.10.130 oraz maska podsieci 255.255.255.192 (/26). Jest to typowe zadanie egzaminacyjne sprawdzające biegłość w posługiwaniu się algebrą Boole'a.

Kroki algorytmiczne rozwiązania zadania: 1. Analiza stałych oktetów: Pierwsze trzy oktety maski mają wartość 255 (same jedynki w zapisie binarnym: 11111111). Ponieważ X AND 1 = X, pierwsze trzy oktety adresu IP przechodzą do wyniku w niezmienionej postaci: 192.168.10.x. 2. Izolacja zmiennego oktetu: Analizie podlega wyłącznie czwarty oktet: adres IP = 130, maska = 192. 3. Konwersja na zapis binarny: - 130 = 128 + 2 = 10000010₂ - 192 = 128 + 64 = 11000000₂ 4. Wykonanie operacji AND bit po bicie: 1 0 0 0 0 0 1 0 (130)
& 1 1 0 0 0 0 0 0 (192)
-----------------------
1 0 0 0 0 0 0 0 (Wynik: 128)

Wynik operacji w czwartym oktecie to liczba dziesiętna 128. Zatem poprawny adres sieci to: 192.168.10.128/26. Warto zauważyć, że inżynier może rozwiązać to zadanie w pamięci za pomocą metody kroku podsieci (Magic Number): Krok = 256 - 192 = 64. Podsieci rozpoczynają się od: 0, 64, 128, 192... Liczba 130 mieści się w przedziale od 128 do 191, więc adresem sieci jest 128.

Warto zwrócić uwagę na praktyczne zastosowanie tej wiedzy podczas konfiguracji routerów brzegowych i zapór ogniowych. Znajomość adresu sieci pozwala administratorowi precyzyjnie definiować reguły w tablicach routingu (np. trasy statyczne) oraz listy kontroli dostępu (Access Control Lists - ACL), filtrujące pakiety pochodzące z całego segmentu 192.168.10.128/26 za pomocą jednego wpisu. W przypadku błędnego obliczenia adresu sieci przez inżyniera, router odrzuci konfigurację z komunikatem o niepoprawnym adresie sieciowym dla podanej maski.

W drugim zadaniu warsztatowym student oblicza liczbę użytecznych hostów, jaką można zaadresować w podsieci o prefiksie /27 (np. 10.0.0.0/27). Zadanie to uczy precyzyjnego rozróżniania całkowitej liczby adresów w bloku od liczby adresów, które można fizycznie skonfigurować na kartach sieciowych.

Kroki obliczeniowe: 1. Wyznaczenie liczby bitów hosta (h): Całkowita długość adresu IPv4 wynosi 32 bity. Prefiks określa, że 27 bitów zarezerwowano na identyfikację sieci. Na pole hosta pozostaje: h = 32 - 27 = 5 bitów. 2. Obliczenie całkowitej liczby adresów (bloku): Pięć bitów pozwala utworzyć: 25 = 32 kombinacje binarne. Oznacza to, że cały blok podsieci /27 liczy 32 kolejne adresy IP. 3. Odliczenie adresów specjalnych: Zgodnie z normą RFC 791 dwa adresy są zarezerwowane: - Pierwszy adres w bloku (z samymi zerami w 5 bitach hosta) → Adres sieci. - Ostatni adres w bloku (z samymi jedynkami w 5 bitach hosta) → Adres rozgłoszeniowy (Broadcast). 4. Liczba użytecznych hostów: 25 - 2 = 32 - 2 = 30 hostów.

Dodatkowo student weryfikuje zapis dziesiętny maski /27: w ostatnim oktecie ustawione są 3 bity (27 - 24 = 3 jedynki: bity 128, 64, 32). Suma wag wynosi: 128 + 64 + 32 = 224. Pełna maska podsieci to: 255.255.255.224. Krok podsieci wynosi: 256 - 224 = 32.

Prefiks /27 jest powszechnie stosowany w sieciach przedsiębiorstw do adresowania małych i średnich zespołów pracowniczych, takich jak działy księgowości, kadr czy zespoły projektowe liczące do 25–30 stanowisk. Pozwala on na logiczną separację ruchu w odrębnych sieciach wirtualnych VLAN przy minimalnym marnotrawstwie przestrzeni adresowej. Przypisanie maski /27 chroni także domenę rozgłoszeniową przed nadmiernym natężeniem ruchu broadcastowego (np. zapytań ARP), ograniczając liczbę urządzeń w jednym segmencie fizycznym do 30 węzłów.

W trzecim zadaniu student przeprowadza całościowy projekt podziału sieci klasy C lub bloku prywatnego 10.0.0.0/24 na dokładnie cztery niezależne podsieci o identycznej pojemności. Tego typu zadania stanowią codzienność pracy inżyniera projektującego segmentację VLAN w przedsiębiorstwie.

Procedura projektowa krok po kroku: 1. Wyznaczenie liczby pożyczanych bitów (s): Chcemy utworzyć 4 podsieci. Z wzoru 2^s ≥ 4 otrzymujemy: s = 2 bity. 2. Wyznaczenie nowej maski: Nowy prefiks to: 24 + 2 = /26. Maska dziesiętna: 255.255.255.192. 3. Wyznaczenie kroku podsieci (Magic Number): 256 - 192 = 64. Podsieci będą rozpoczynać się w czwartym oktecie od wielokrotności liczby 64: 0, 64, 128, 192.

Szczegółowa tabela planu adresacyjnego: - Podsieć A: - Adres sieci: 10.0.0.0/26 - Zakres użytecznych hostów: 10.0.0.1 do 10.0.0.62 (62 hosty) - Adres rozgłoszeniowy (Broadcast): 10.0.0.63 - Podsieć B: - Adres sieci: 10.0.0.64/26 - Zakres użytecznych hostów: 10.0.0.65 do 10.0.0.126 (62 hosty) - Adres rozgłoszeniowy (Broadcast): 10.0.0.127 - Podsieć C: - Adres sieci: 10.0.0.128/26 - Zakres użytecznych hostów: 10.0.0.129 do 10.0.0.190 (62 hosty) - Adres rozgłoszeniowy (Broadcast): 10.0.0.191 - Podsieć D: - Adres sieci: 10.0.0.192/26 - Zakres użytecznych hostów: 10.0.0.193 do 10.0.0.254 (62 hosty) - Adres rozgłoszeniowy (Broadcast): 10.0.0.255.

Wielu studentów bez trudu radzi sobie z podziałem podsieci w czwartym oktecie (prefiksy od /25 do /30), lecz gubi się w obliczeniach, gdy prefiks przesuwa się do trzeciego oktetu (prefiksy od /17 do /24). Niniejsze zadanie demonstruje uniwersalność metodyki inżynierskiej na przykładzie hosta: 172.16.5.100/22.

Kroki analityczne rozwiązania: 1. Dekonstrukcja maski /22: Prefiks /22 oznacza 22 jedynki binarne: 11111111.11111111.11111100.00000000. W postaci dziesiętnej maska wynosi: 255.255.252.0. 2. Lokalizacja zmiennego oktetu: Pierwsze dwa oktety (255.255) są stałe. Czwarty oktet (0) jest w całości polem hosta. Zmiennym oktetem, w którym przebiega granica sieci i hosta, jest trzeci oktet (wartość 252). 3. Wyznaczenie kroku podsieci w 3. oktecie: Krok = 256 - 252 = 4. Oznacza to, że podsieci w trzecim oktecie rosną co 4: 0, 4, 8, 12, 16... 4. Lokalizacja przedziału: Badany host posiada w trzecim oktecie wartość 5. Liczba 5 mieści się w przedziale od 4 do 7 (ponieważ kolejna podsieć zaczyna się od 8). - Adres sieci: 172.16.4.0/22 - Pierwszy użyteczny host: 172.16.4.1 - Ostatni użyteczny host: 172.16.7.254 - Adres rozgłoszeniowy (Broadcast): 172.16.7.255.

Zauważmy, że adres broadcast ma w trzecim oktecie wartość 7, a w czwartym oktecie 255 (ponieważ wszystkie 10 bitów hosta w masce /22 przyjmują wartość 1). Całkowity blok liczy 2¹⁰ = 1024 adresy, z czego 1022 to użyteczne hosty.

Błyskawiczna konwersja pomiędzy tradycyjną notacją dziesiętną maski a zapisem prefiksowym CIDR jest podstawową sprawnością wymaganą podczas konfiguracji routerów (np. Cisco IOS, RouterOS MikroTik) oraz analizy logów zapór ogniowych. Zadanie to systematyzuje reguły przeliczania wartości poszczególnych oktetów na odpowiadającą im liczbę bitów.

W każdym pojedynczym oktecie maski dopuszczalne są wyłącznie następujące wartości dziesiętne wynikające z ciągłego zapisu jedynek od lewej strony: - 10000000₂ = 128 → 1 bit - 11000000₂ = 192 → 2 bity - 11100000₂ = 224 → 3 bity - 11110000₂ = 240 → 4 bity - 11111000₂ = 248 → 5 bitów - 11111100₂ = 252 → 6 bitów - 11111110₂ = 254 → 7 bitów - 11111111₂ = 255 → 8 bitów

Przeanalizujmy zestaw zadań konwersyjnych: 1. 255.255.255.192: Trzy pełne oktety (3 * 8 = 24 bity) + 192 (2 bity). Wynik: 24 + 2 = /26. 2. 255.255.240.0: Dwa pełne oktety (2 * 8 = 16 bitów) + 240 (4 bity) + 0 (0 bitów). Wynik: 16 + 4 = /20. 3. 255.255.255.248: Trzy pełne oktety (24 bity) + 248 (5 bitów). Wynik: 24 + 5 = /29. 4. 255.255.128.0: Dwa pełne oktety (16 bitów) + 128 (1 bit) + 0. Wynik: 16 + 1 = /17. 5. 255.255.255.252: Trzy pełne oktety (24 bity) + 252 (6 bitów). Wynik: 24 + 6 = /30.

Opanowanie tej tabeli w pamięci eliminuje konieczność mozolnego rozpisywania liczb na bity podczas pracy pod presją czasu w środowisku produkcyjnym.

W zadaniu student analizuje zestaw czterech adresów IP w celu zidentyfikowania, które z nich należą do puli prywatnej RFC 1918, a które są adresami publicznymi routowalnymi w globalnym internecie: 1. 192.168.1.100 → Adres prywatny. Należy do puli 192.168.0.0/16 (od 192.168.0.0 do 192.168.255.255). 2. 172.20.5.1 → Adres prywatny. Należy do puli 172.16.0.0/12 (od 172.16.0.0 do 172.31.255.255). Wartość drugiego oktetu wynosi 20, co mieści się w dopuszczalnym przedziale od 16 do 31! 3. 10.50.100.1 → Adres prywatny. Należy do puli 10.0.0.0/8 (od 10.0.0.0 do 10.255.255.255). 4. 172.32.1.1 → Adres publiczny! Drugi oktet wynosi 32, co wykracza poza prywatny zakres 172.16–172.31. Adres ten jest unikalnym adresem publicznym routowalnym w internecie (przypisanym przez IANA do podmiotu komercyjnego).

Zdolność natychmiastowego wyłapania granicy bloku 172.16.0.0/12 jest kluczową umiejętnością audytorską. Początkujący administratorzy często błędnie zakładają, że każdy adres rozpoczynający się od 172 jest adresem prywatnym, co prowadzi do fatalnych pomyłek konfiguracyjnych (np. nielegalnego wykorzystania publicznych adresów 172.32.0.0 na wewnętrznych serwerach firmowych, co skutkuje brakiem dostępu do rzeczywistych serwisów internetowych o tych adresach).

Warto podkreślić aspekt bezpieczeństwa związany z wyciekiem adresów prywatnych. Choć routery w internecie filtrują pakiety z adresami RFC 1918, błędna konfiguracja wewnętrznych serwerów DNS (np. forwardowanie zapytań odwrotnych PTR dla stref 10.in-addr.arpa lub 168.192.in-addr.arpa do serwerów głównych Root DNS) powoduje niepotrzebny ruch w skali globalnej. Z tego względu organizacja IANA oraz operatorzy serwerów root wdrożyli projekt AS112, który automatycznie neutralizuje zapytania DNS o prywatne przestrzenie adresowe.

W kolejnym zadaniu warsztatowym student oblicza parametry podsieci dla hosta o adresie 192.168.1.50/28. Prefiks /28 jest bardzo popularnym wyborem przy tworzeniu małych podsieci dla infrastruktury serwerowej lub punktów styku sieci.

Kroki analityczne rozwiązania metodą inżynierską: 1. Maska i liczba bitów hosta: Prefiks /28 oznacza 28 jedynek sieciowych. Na pole hosta przypada: h = 32 - 28 = 4 bity. 2. Zapis dziesiętny maski: Czwarty oktet niesie 4 jedynki: 128 + 64 + 32 + 16 = 240. Maska dziesiętna to: 255.255.255.240. 3. Krok podsieci (Magic Number): 256 - 240 = 16. Podsieci /28 rozpoczynają się w czwartym oktecie co 16 adresów: 0, 16, 32, 48, 64, 80... 4. Lokalizacja badanego adresu: Wartość badanego hosta w czwartym oktecie wynosi 50. Liczba 50 mieści się w przedziale od 48 do 63 (ponieważ kolejna podsieć zaczyna się od 64). - Adres sieci: 192.168.1.48/28 - Pierwszy użyteczny host: 192.168.1.49 - Ostatni użyteczny host: 192.168.1.62 - Adres rozgłoszeniowy (Broadcast): 192.168.1.63.

Podsieć ta mieści dokładnie 2⁴ - 2 = 14 użytecznych hostów. Metoda kroku pozwala rozwiązać to zadanie w kilka sekund bez konieczności czasochłonnego rozpisywania liczb na bity.

Prefiks /28 jest optymalnym rozwiązaniem inżynierskim dla małych klastrów serwerowych w strefie zdemilitaryzowanej (DMZ) lub podsieci zarządzających (Management VLAN) przełącznikami i kontrolerami zasilania w szafach serwerowych. W środowisku produkcyjnym 14 użytecznych adresów pozwala na przydzielenie adresu dla bramy domyślnej routera, dwóch przełączników rdzeniowych w klastrze wysokiej dostępności (HSRP/VRRP) oraz do 11 fizycznych lub wirtualnych serwerów aplikacyjnych.

Maska podsieci jest niezbędnym elementem każdego interfejsu sieciowego IPv4. Bez maski stos sieciowy w systemie operacyjnym byłby całkowicie bezradny: nie potrafiłby ustalić, czy pod docelowy adres pakietu należy wysłać bezpośrednie zapytanie ARP w sieci lokalnej LAN, czy też pakiet musi zostać przekazany do routera (bramy domyślnej).

Podczas wysyłania każdego pakietu karta sieciowa i jądro systemu wykonują sprzętową operację bitowego iloczynu logicznego AND pomiędzy adresem docelowym a lokalną maską. Jeśli wynik operacji jest identyczny z adresem własnej podsieci, cel jest lokalny. Jeśli wynik jest inny, cel jest zdalny. Dzięki temu, że operacja AND jest najprostszą operacją bramkową na poziomie tranzystorów krzemowych, układy scalone routerów (ASIC) podejmują tę decyzję w ułamku nanosekundy dla milionów pakietów na sekundę.

Warto pamiętać, że maska podsieci ma znaczenie wyłącznie lokalne dla danego węzła i jego routera. Pakiety IP przesyłane w medium transmisyjnym niosą w nagłówku wyłącznie 32-bitowy adres źródłowy i docelowy – sam nagłówek IPv4 nie zawiera pola maski podsieci! Routery odbiorcze dopasowują pakiety do tras na podstawie masek zapisanych we własnych, lokalnych tablicach routingu.

Warto pamiętać, że operacja AND jest wykonywana symetrycznie przez oba komunikujące się węzły. Jeżeli stacja źródłowa ma skonfigurowaną maskę /24, a stacja docelowa w tym samym segmencie omyłkowo otrzymała maskę /25, dochodzi do zjawiska tzw. asymetrii maskowania (Subnet Mask Mismatch). Stacja A wysyła pakiety bezpośrednio w warstwie L2 przez ARP, lecz stacja B próbuje odpowiadać przez router, co prowadzi do zrywania połączeń TCP. Regularny audyt spójności masek w podsieci jest podstawowym obowiązkiem administratora LAN.

Historyczny system klasowy (Classful Addressing) obowiązywał w internecie od 1981 do 1993 roku. Został zaprojektowany w oparciu o sztywne założenia, w których pierwsze bity adresu determinowały jego maskę:

• Klasa A (pierwszy bajt: 1–126): Rozpoczyna się bitem 0. Maska domyślna to 255.0.0.0 (/8). Przeznaczona dla nielicznych, ogromnych organizacji. Zapewniała 16,7 mln adresów w jednej sieci.
• Klasa B (pierwszy bajt: 128–191): Rozpoczyna się bitami 10. Maska domyślna to 255.255.0.0 (/16). Zapewniała 65 534 adresy hostów.
• Klasa C (pierwszy bajt: 192–223): Rozpoczyna się bitami 110. Maska domyślna to 255.255.255.0 (/24). Zapewniała 254 adresy hostów.
• Klasa D (pierwszy bajt: 224–239): Rozpoczyna się bitami 1110. Zarezerwowana na transmisje grupowe Multicast (RFC 1112). Brak pojęcia maski i hostów.
• Klasa E (pierwszy bajt: 240–255): Rozpoczyna się bitami 1111. Pula eksperymentalna i badawcza.

Główną wadą tego systemu był brak elastyczności. Organizacje potrzebujące kilkuset lub kilku tysięcy adresów otrzymywały całą klasę B, marnując dziesiątki tysięcy numerów IP. W 1993 roku architektura CIDR (RFC 1519) ostatecznie zniosła klasy, umożliwiając stosowanie masek o dowolnej liczbie bitów.

Warto odnotować historyczny fenomen: chociaż formalny podział klasowy RFC 791 został zlikwidowany w 1993 roku przez normę CIDR (RFC 1519), terminologia klasowa (zwłaszcza pojęcia „sieć klasy C” dla /24 czy „sieć klasy A” dla /8) wciąż pokutuje w potocznym języku informatyków. Doświadczony inżynier sieciowy powinien jednak bezwzględnie operować precyzyjną notacją długości prefiksu CIDR, aby uniknąć nieporozumień technicznych podczas projektowania planów adresacji.

Wdrożenie bezklasowego routingu CIDR w 1993 roku uchroniło internet przed wczesnym paraliżem technicznym. Przejście z klas na elastyczne prefiksy sieciowe przyniosło dwie fundamentalne korzyści inżynieryjne:

1. Precyzyjna alokacja przestrzeni adresowej: W systemie klasowym rejestry adresowe mogły przydzielić jedynie blok /8 (16,7 mln), /16 (65 tys.) lub /24 (254). W architekturze CIDR rejestr może przydzielić blok o dowolnej długości prefiksu dokładnie dopasowany do potrzeb instytucji: np. blok /22 dla firmy potrzebującej 1000 adresów, blok /20 dla uniwersytetu potrzebującego 4000 adresów czy blok /29 dla małego biura z kilkoma serwerami. Wyeliminowało to gigantyczne marnotrawstwo wolnych pul adresowych.
2. Skalowalność globalnego routingu (Route Aggregation): Przed wdrożeniem CIDR operatorzy musieli rozgłaszać każdą przydzieloną sieć klasy C osobno. CIDR umożliwił operatorom telekomunikacyjnym łączenie tysięcy ciągłych podsieci w pojedyncze prefiksy zbiorcze ogłaszane protokołem BGP-4 (RFC 4271). Dzięki temu globalna tablica routingu internetu (Default-Free Zone) liczy obecnie ok. 950 tysięcy tras – bez CIDR liczyłaby ponad 20 milionów wpisów, co doprowadziłoby do przeciążenia procesorów i pamięci routerów szkieletowych.

Z punktu widzenia działania protokołów trasowania, wdrożenie CIDR wymusiło całkowitą rewolucję w architekturze oprogramowania routerów. Protokoły routingu pierwszej generacji (RIPv1, IGRP) były z natury klasowe i nie przesyłały masek w aktualizacjach tras. Zostały one bezwzględnie wyparte przez nowoczesne protokoły bezklasowe (OSPFv2 wg RFC 2328, IS-IS wg RFC 1195, EIGRP oraz BGP-4 wg RFC 4271), które w każdym komunikacie transmisyjnym niosą pełną informację o prefiksie CIDR podsieci.

Technika VLSM (Variable Length Subnet Masking) stanowi rozwinięcie koncepcji CIDR wewnątrz autonomicznej sieci przedsiębiorstwa. Podczas gdy tradycyjne podejście FLSM (Fixed Length Subnet Mask) narzucało identyczną maskę dla każdego segmentu w organizacji, VLSM pozwala projektantowi dostosować rozmiar każdej podsieci do rzeczywistej liczby pracujących w niej urządzeń.

Klasycznym przykładem zastosowania VLSM jest optymalizacja łączy szeregowych lub tuneli VPN pomiędzy routerami (Point-to-Point). Na takim łączu pracują wyłącznie dwa interfejsy (po jednym na każdym końcu kabla). Zastosowanie tradycyjnej maski /24 lub /26 marnowało dziesiątki adresów. W technice VLSM inżynier przydziela na takie łącza dedykowane mikro-podsieci o masce /30 (mieszczące dokładnie 2 użyteczne hosty: 2² - 2 = 2) lub /31 (zgodnie z RFC 3021). Jednocześnie duże segmenty użytkowników Wi-Fi mogą korzystać z masek /23 (510 hostów), a działy biurowe z masek /27 (30 hostów).

Warunkiem bezwzględnym stosowania VLSM jest wykorzystanie bezklasowych protokołów routingu dynamicznego (np. OSPFv2, IS-IS, EIGRP, BGP), które przenoszą informację o masce podsieci w swoich pakietach uaktualnień trasy. Przestarzałe protokoły klasowe (takie jak RIPv1) nie obsługują VLSM, ponieważ zakładają domyślne maski klasowe.

Projektowanie przestrzeni adresowej techniką VLSM wymaga dyscypliny i rygorystycznego dokumentowania alokacji w systemach IPAM (IP Address Management). Błędy w wyznaczaniu granic bloków VLSM mogą doprowadzić do nałożenia się podsieci (Overlapping Subnets), co wywołuje trudne do zdiagnozowania anomalie routingu. Prawidłowo wdrożony plan VLSM stanowi fundament czystej segmentacji sieciowej, wspierając separację ruchu za pomocą wirtualnych instancji trasowania VRF (Virtual Routing and Forwarding).

Standard RFC 1918 zdefiniował trzy pule adresów prywatnych, które stały się standardem branżowym w budowie sieci wewnętrznych na całym świecie:

1. Zakres 10.0.0.0/8 (10.0.0.0 – 10.255.255.255): Największy pojedynczy blok prywatny (jeden pełny zakres klasy A), zawierający 16 777 216 adresów. Powszechnie stosowany w sieciach korporacyjnych, instytucjach bankowych, centrach danych oraz sieciach komórkowych operatorów GSM. Umożliwia swobodne projektowanie rozległych struktur VLSM z setkami podsieci.
2. Zakres 172.16.0.0/12 (172.16.0.0 – 172.31.255.255): Blok obejmujący 16 ciągłych sieci historycznej klasy B (od 172.16.0.0 do 172.31.255.255), zawierający 1 048 576 adresów. Popularny w sieciach średnich przedsiębiorstw, kampusach akademickich oraz w środowiskach wirtualizacji (np. mosty sieciowe Docker, hypervisory KVM/VMware).
3. Zakres 192.168.0.0/16 (192.168.0.0 – 192.168.255.255): Blok obejmujący 256 sieci historycznej klasy C (od 192.168.0.0 do 192.168.255.255), zawierający 65 536 adresów. Uniwersalny standard w urządzeniach domowych, routerach dostępowych Wi-Fi (SOHO) oraz małych firmach.

Pakiety z tymi adresami nie mogą opuszczać sieci lokalnej w postaci niezmodyfikowanej. Ich translacja na publiczne adresy internetowe jest realizowana przez bramy brzegowe za pomocą technologii NAT/PAT.

Należy pamiętać, że podsieci prywatne RFC 1918 nie są chronione prawem własności ani licencjami. Każdy inżynier może w swojej domowej pracowni lub firmie bezpłatnie skonfigurować podsieć 10.0.0.0/8 czy 192.168.1.0/24. Ta powszechność stwarza jednak wyzwania podczas łączenia sieci dwóch przedsiębiorstw bezpiecznymi tunelami VPN IPsec (np. przy fuzji firm). Jeżeli obie firmy korzystają wewnętrznie z tej samej podsieci 192.168.1.0/24, routery VPN muszą wdrożyć zaawansowaną podwójną translację adresów (Twice NAT) w celu uniknięcia konfliktów IP.

Podstawowym celem wprowadzenia technologii Network Address Translation (NAT) było przeciwdziałanie natychmiastowemu wyczerpaniu puli publicznych adresów IPv4 w latach 90. XX wieku. NAT umożliwia setkom i tysiącom urządzeń wewnątrz organizacji jednoczesne korzystanie z globalnych zasobów internetu przy użyciu zaledwie jednego (lub niewielkiej puli) publicznego adresu IP przydzielonego przez operatora telekomunikacyjnego.

Dodatkową, niezwykle cenioną cechą NAT jest separacja topologii sieci wewnętrznej (Network Topology Hiding). Dla serwerów i urządzeń w publicznym internecie cała komunikacja wychodząca z organizacji wydaje się pochodzić z jednego publicznego adresu IP routera brzegowego. Prawdziwe adresy wewnętrzne komputerów biurowych, serwerów baz danych czy stacji roboczych są całkowicie ukryte i niewidoczne z zewnątrz, co uniemożliwia bezpośrednie skanowanie i bezpośrednie inicjowanie połączeń do stacji roboczych przez intruzów.

Należy jednak pamiętać, że sam NAT nie jest zaporą ogniową (firewallem). Choć z natury blokuje niesprowokowany ruch przychodzący, pełne bezpieczeństwo wymaga wdrożenia stanowej zapory ogniowej (Stateful Firewall) z regułami inspekcji pakietów.

Translacja NAT wprowadza również istotne implikacje dla wydajności routerów brzegowych. Każdy pakiet przechodzący przez bramę NAT wymaga rozpakowania nagłówka IP, wyszukania wpisu w pamięci RAM, przeliczenia sum kontrolnych nagłówka IPv4 oraz nagłówka TCP/UDP. W łączach o przepustowościach 10 Gb/s i 100 Gb/s obsługa milionów równoległych translacji NAT wymaga dedykowanych koprocesorów sprzętowych NPU (Network Processing Units) oraz ogromnych zasobów pamięci operacyjnej.

W żargonie informatycznym słowo „NAT” jest powszechnie używane jako ogólne określenie każdego rodzaju translacji. Z formalnego punktu widzenia inżynierii sieciowej istnieje jednak fundamentalna różnica pomiędzy klasycznym NAT a PAT:

1. Klasyczny NAT (Basic NAT / Static NAT - translacja 1:1): Operuje wyłącznie w warstwie sieciowej (L3). Podmienia 32-bitowy prywatny adres IP na 32-bitowy publiczny adres IP. Numery portów warstwy 4 pozostają nietknięte. W tym modelu każdy host wewnętrzny wymagający jednoczesnego połączenia z internetem musi otrzymać swój własny, unikalny publiczny adres IP z puli. Nie przynosi to zatem oszczędności globalnej przestrzeni adresowej.
2. PAT (Port Address Translation / NAPT / NAT Overload - translacja M:1): Operuje na pograniczu warstwy sieciowej (L3) oraz transportowej (L4). Router podmienia adres IP klienta na swój adres publiczny i jednocześnie podmienia port źródłowy L4 (TCP lub UDP) na unikalny port z własnej puli efemerycznej (np. z zakresu 1024–65535). W ten sposób router może obsłużyć do ok. 60 000 równoległych połączeń TCP i UDP od setek różnych komputerów za pośrednictwem jednego, pojedynczego publicznego adresu IP!

Współczesne domowe routery Wi-Fi oraz firmowe bramy dostępowe w 99% przypadków realizują właśnie mechanizm PAT (często oznaczany w konfiguracji Linux iptables jako MASQUERADE).

W każdej klasycznej podsieci IPv4 dwa skrajne adresy posiadają specjalne znaczenie semantyczne i pod żadnym pozorem nie mogą zostać przypisane do karty sieciowej żadnego urządzenia końcowego:

1. Pierwszy adres w bloku → Adres sieci (Network Address / Network ID): Charakteryzuje się tym, że wszystkie bity w polu hosta przyjmują wartość logicznego zera (00...0). Adres ten reprezentuje całą podsieć jako jeden logiczny obiekt w tablicach routingu urządzeń sieciowych na całym świecie. Przypisanie tego adresu do komputera spowoduje błąd konfiguracji w systemie operacyjnym.
2. Ostatni adres w bloku → Adres rozgłoszeniowy (Directed Broadcast Address): Charakteryzuje się tym, że wszystkie bity w polu hosta przyjmują wartość logicznej jedynki (11...1). Wysłanie pakietu na ten adres powoduje, że router dostarcza go do danego segmentu, a ramka warstwy 2 otrzymuje adres docelowy FF:FF:FF:FF:FF:FF, zmuszając wszystkie urządzenia w podsieci do jednoczesnego odebrania transmisji.

Z tego powodu z całkowitej puli kombinacji 2^h zawsze odejmujemy 2 adresy (wzór 2h - 2). Jedynym formalnym wyjątkiem są wspomniane łącza punkt-punkt /31 (RFC 3021), na których brak ruchu rozgłoszeniowego pozwala na wykorzystanie obu adresów dla dwóch połączonych routerów.

Warto podkreślić, że zakaz przypisywania adresu sieci i broadcastu dotyczy klasycznych interfejsów podsieciowych LAN. W przypadku zapytań o konfigurację hosta, nowoczesne zapory ogniowe wykorzystują adres sieciowy w regułach filtracji do wskazania całej grupy węzłów (np. src 192.168.1.0/24). Próba ręcznego ustawienia adresu sieci (np. 192.168.1.0/24) jako adresu IP karty w systemie Windows lub Linux skutkuje natychmiastowym komunikatem o błędzie syntaktycznym.

Transmisja rozgłoszeniowa (Broadcast) odgrywa fundamentalną rolę w funkcjonowaniu wielu protokołów pomocniczych w sieciach lokalnych. Protokół ARP wykorzystuje rozgłoszenie do zlokalizowania adresu MAC nieznanego hosta, protokół DHCP wysyła pakiety rozgłoszeniowe w celu odnalezienia serwera adresów, a protokoły routingu starszej generacji (np. RIPv1) rozsyłały w ten sposób uaktualnienia tras.

W architekturze IPv4 wyróżniamy dwa rodzaje rozgłoszeń: 1. Rozgłoszenie ograniczone (Limited Broadcast: 255.255.255.255): Pakiet skierowany pod ten adres jest wysyłany do wszystkich węzłów w lokalnym segmencie fizycznym. Routery z definicji nigdy nie przekazują takiego pakietu poza lokalny interfejs (zatrzymują go na granicy podsieci).
2. Rozgłoszenie kierowane (Directed Broadcast / Subnet Broadcast): Pakiet skierowany pod ostatni adres konkretnej, odległej podsieci (np. 192.168.10.255 dla podsieci 192.168.10.0/24). Teoretycznie pakiet taki mógłby pokonać routery tranzytowe w internecie i zostać rozgłoszony dopiero w podsieci docelowej.

Z powodów bezpieczeństwa funkcja Directed Broadcast została w nowoczesnym internecie wyłączona na wszystkich routerach (RFC 2644). W przeszłości agresorzy wykorzystywali ją do niszczycielskich ataków typu Smurf Attack (ICMP Amplification): wysyłali pakiety ICMP Echo Request na adres Directed Broadcast dużej firmy z podrobionym adresem źródłowym ofiary, w wyniku czego setki komputerów jednocześnie odpowiadały ofierze, zalewając jej łącze gigantyczną lawiną ruchu.

Automatyzacja przydziału adresacji IPv4 za pomocą protokołu DHCP opiera się na architekturze klient-serwer i wykorzystuje transport UDP na portach 67 (serwer) oraz 68 (klient). Kluczowym zagadnieniem jest sekwencja wymiany czterech komunikatów składających się na cykl DORA:

1. DHCP Discover: Nowo podłączony klient wysyła rozgłoszenie (Broadcast L2/L3), poszukując aktywnego serwera DHCP w sieci lokalnej.
2. DHCP Offer: Serwer DHCP rezerwuje adres ze swojej puli (Scope) i odsyła klientowi propozycję konfiguracji.
3. DHCP Request: Klient formalnie akceptuje ofertę wybranego serwera, informując o tym rozgłoszeniowo całą sieć.
4. DHCP ACK (Acknowledgment): Serwer zatwierdza przydział i przesyła komplet opcji: maskę podsieci (Option 1), bramę domyślną (Option 3), serwery DNS (Option 6) oraz czas dzierżawy (Option 51).

Adres przydzielany jest tymczasowo na czas dzierżawy (Lease Time). Po upływie 50% tego czasu (timer T1) klient próbuje odnowić dzierżawę jednostkowo (Unicast). Jeśli serwer nie odpowiada, po upływie 87,5% czasu (timer T2) ponawia próbę w trybie rozgłoszeniowym. Brak odnowienia przed upływem 100% czasu skutkuje natychmiastowym odebraniem adresu IP interfejsowi.

W dużych sieciach korporacyjnych serwery DHCP są często zlokalizowane centralnie w serwerowni, podczas gdy klienci pracują w oddalonych podsieciach za routerami. Ponieważ komunikaty DHCP Discover są rozgłoszeniami L2 (Broadcast) i nie przekraczają granic routera, routery dostępowe konfiguruje się z funkcją DHCP Relay Agent (ip helper-address w Cisco). Router przechwytuje rozgłoszenie klienta, przekształca je w pakiet Unicast i przesyła bezpośrednio do centralnego serwera DHCP.

Supernetting jest odwrotnością procedury dzielenia na podsieci (Subnettingu). Podczas gdy podsieciowanie polega na wydłużaniu prefiksu (pożyczaniu bitów hosta na bity podsieci), supernetting polega na skracaniu prefiksu (przesuwaniu granicy maski w lewo) w celu objęcia jednym wpisem kilku sąsiadujących podsieci i wyznaczenia nadrzędnej trasy zbiorczej.

Zastosowanie supernettingu przynosi krytyczne korzyści w skalowaniu infrastruktury: - Redukcja rozmiaru tablic routingu: Router zamiast przechowywać np. 16 niezależnych tras /24 do każdego biura w oddziale, przechowuje jedną trasę /20 reprezentującą cały oddział. Zmniejsza to zużycie pamięci operacyjnej i przyspiesza przeszukiwanie tablicy w procesorze routingu. - Izolacja awarii (Flap Damping): Jeśli pojedyncze łącze wewnątrz oddziału ulega awarii i restartuje się co minutę, router brzegowy nie musi rozgłaszać tych zmian do całego internetu – trasa zbiorcza /20 pozostaje stabilna dopóki przynajmniej jedno łącze w oddziale funkcjonuje.

Algorytm wyznaczania supernetu opiera się na analizie bitowej: inżynier wypisuje adresy łączonych podsieci w postaci binarnej i zlicza liczbę jednakowych bitów od lewej strony. Wartość ta staje się nowym prefiksem nadrzędnym. Aby supernetting był poprawny matematycznie, łączone sieci muszą być ciągłe binarnie, stanowić potęgę dwójki (2, 4, 8, 16...) oraz rozpoczynać się od adresu będącego wielokrotnością rozmiaru supernetu zgodnie z wytycznymi RFC 4632.

Wyczerpanie przestrzeni adresowej IPv4 było nieuniknioną konsekwencją eksplozji popularności internetu. W 1981 roku 4,29 miliarda adresów wydawało się gigantyczną liczbą. Jednak pojawienie się smartfonów, chmury obliczeniowej, wirtualizacji, a przede wszystkim Internetu Rzeczy (IoT), gdzie każde inteligentne urządzenie wymaga łączności sieciowej, całkowicie wyczerpało zasoby.

W lutym 2011 roku IANA rozdała ostatnie bloki adresowe, a obecnie wszystkie regionalne rejestry RIR (RIPE NCC, ARIN, APNIC, LACNIC, AFRINIC) operują na zerowych rezerwach wolnych adresów IPv4. Zjawisko to rodzi poważne konsekwencje gospodarcze i techniczne: ceny adresów IPv4 na rynku wtórnym stale rosną, a operatorzy wdrażają skomplikowane i kosztowne mechanizmy Carrier-Grade NAT (CGNAT), które degradują jakość usług dla użytkowników końcowych.

Ostatecznym i jedynym trwałym rozwiązaniem jest wdrożenie protokołu IPv6 (RFC 8200). Dzięki 128 bitom adresu IPv6 udostępnia przestrzeń tak gigantyczną, że pozwala na nadanie unikalnego adresu każdemu ziarnku piasku na Ziemi, całkowicie eliminując potrzebę translacji NAT i przywracając czystą architekturę sieciową.

Warto dodać, że wdrożenie protokołu IPv6 eliminuje zjawisko fragmentacji w węzłach pośrednich oraz przywraca symetryczną łączność End-to-End, która była fundamentem pierwotnego internetu. W protokole IPv6 każde urządzenie – od smartfona po czujnik temperatury – otrzymuje globalnie unikalny adres publiczny chroniony stanową zaporą ogniową, co otwiera drogę do rozwoju nowoczesnych architektur bezpośredniej wymiany danych.

Teoria adresacji IPv4 staje się w pełni użyteczna dopiero wtedy, gdy inżynier potrafi bez wahania wykonywać szybkie obliczenia pod presją czasu. W ramach niniejszego warsztatu student ma za zadanie rozwiązać samodzielnie trzy praktyczne problemy projektowe:

1. Zadanie 1: Dla zadanego adresu hosta 10.10.15.75/27 wyznacz: (a) maskę dziesiętną, (b) adres sieci, (c) pierwszy i ostatni użyteczny adres hosta, (d) adres rozgłoszeniowy (Broadcast) oraz (e) liczbę użytecznych hostów w tej podsieci.
2. Zadanie 2: Dla zadanego adresu 172.16.100.200/20 wyznacz: (a) maskę dziesiętną, (b) adres sieci, (c) adres rozgłoszeniowy oraz (d) całkowitą liczbę adresów IP zawartych w tym bloku.
3. Zadanie 3: Firma otrzymała od operatora blok adresowy 192.168.10.0/24. Zaprojektuj optymalny plan podziału VLSM spełniający wymagania: - Dział A: 60 komputerów, - Dział B: 25 komputerów, - Dział C: 12 komputerów, - Dwa łącza WAN router-router (po 2 adresy IP na łącze).

Zaleca się wykonanie wszystkich kalkulacji w notatniku przed przejściem do kolejnego slajdu zawierającego pełne rozwiązania krok po kroku.

Wskazówka metodyczna dla studenta: przed przystąpieniem do obliczeń warto narysować oś liczbową lub tabelę binarną dla zmiennego oktetu. Wyznaczenie kroku podsieci (Magic Number) pozwala natychmiast podzielić przestrzeń na równe „koszyki” adresowe. Zawsze upewnij się, że pierwszy adres w koszyku to adres sieci (same zera w polu hosta), a ostatni to adres broadcast (same jedynki w polu hosta).

Poniżej przedstawiono formalne rozwiązania zadań warsztatowych z poprzedniego slajdu:

Rozwiązanie Zadania 1 (Host 10.10.15.75/27):
- Maska: /27 oznacza 3 bity w 4. oktecie → 128 + 64 + 32 = 224 → 255.255.255.224.
- Krok podsieci: 256 - 224 = 32. Podsieci w 4. oktecie: 0, 32, 64, 96... Liczba 75 mieści się w przedziale 64–95.
- Adres sieci: 10.10.15.64/27.
- Pierwszy użyteczny host: 10.10.15.65.
- Ostatni użyteczny host: 10.10.15.94.
- Adres rozgłoszeniowy (Broadcast): 10.10.15.95.
- Liczba hostów: 2⁵ - 2 = 32 - 2 = 30 hostów.

Rozwiązanie Zadania 2 (Host 172.16.100.200/20):
- Maska: /20 oznacza 4 bity w 3. oktecie → 128 + 64 + 32 + 16 = 240 → 255.255.240.0.
- Krok podsieci w 3. oktecie: 256 - 240 = 16. Podsieci w 3. oktecie: 0, 16, 32, 48, 64, 80, 96, 112... Liczba 100 mieści się w przedziale 96–111.
- Adres sieci: 172.16.96.0/20.
- Adres rozgłoszeniowy (Broadcast): 172.16.111.255.
- Całkowita liczba adresów: 2¹² = 4096 adresów (4094 użyteczne hosty).

Rozwiązanie Zadania 3 (Projekt VLSM dla 192.168.10.0/24):
Zgodnie z zasadą sortowania malejącego:
1. Dział A (60 hostów): potrzebuje bloku na 64 adresy → maska /26 (62 hosty). Adres sieci: 192.168.10.0/26 (zakres: .1 – .62, bcast: .63).
2. Dział B (25 hostów): potrzebuje bloku na 32 adresy → maska /27 (30 hostów). Adres sieci: 192.168.10.64/27 (zakres: .65 – .94, bcast: .95).
3. Dział C (12 hostów): potrzebuje bloku na 16 adresów → maska /28 (14 hostów). Adres sieci: 192.168.10.96/28 (zakres: .97 – .110, bcast: .111).
4. Łącze WAN 1 (2 hosty): blok na 4 adresy → maska /30. Adres sieci: 192.168.10.112/30 (zakres: .113 – .114, bcast: .115).
5. Łącze WAN 2 (2 hosty): blok na 4 adresy → maska /30. Adres sieci: 192.168.10.116/30 (zakres: .117 – .118, bcast: .119).
Przestrzeń od 192.168.10.120 do .255 pozostaje wolna na przyszłą rozbudowę firmy!

Biegłość w posługiwaniu się poniższą matrycą konwersji jest kluczowym elementem inżynierskiego rzemiosła sieciowego. Dla czwartego oktetu (prefiksy od /24 do /32) zestawienie przedstawia się następująco:

• /24 → Maska: 255.255.255.0 → Krok: 256 → Bity hosta: 8 → 254 hosty
• /25 → Maska: 255.255.255.128 → Krok: 128 → Bity hosta: 7 → 126 hostów
• /26 → Maska: 255.255.255.192 → Krok: 64 → Bity hosta: 6 → 62 hosty
• /27 → Maska: 255.255.255.224 → Krok: 32 → Bity hosta: 5 → 30 hostów
• /28 → Maska: 255.255.255.240 → Krok: 16 → Bity hosta: 4 → 14 hostów
• /29 → Maska: 255.255.255.248 → Krok: 8 → Bity hosta: 3 → 6 hostów
• /30 → Maska: 255.255.255.252 → Krok: 4 → Bity hosta: 2 → 2 hosty (łącza P2P)
• /31 → Maska: 255.255.255.254 → Krok: 2 → Bity hosta: 1 → 2 hosty (RFC 3021)
• /32 → Maska: 255.255.255.255 → Krok: 1 → Bity hosta: 0 → 1 host (pojedynczy adres hosta / trasa Host Route / interfejs Loopback).

Zwróćmy uwagę na matematyczną symetrię: z każdym wydłużeniem prefiksu o 1 bit liczba dostępnych hostów zmniejsza się o połowę, a krok podsieci ulega dwukrotnemu zmniejszeniu. Znajomość tych zależności pozwala natychmiastowo ocenić poprawność planu adresacyjnego w projekcie technicznym.

Zwróćmy uwagę na symetrię masek podsieci: każda kolejna maska w oktecie dodaje kolejną wagę potęgi dwójki (128, +64=192, +32=224, +16=240, +8=248, +4=252, +2=254, +1=255). Zrozumienie tej addytywnej struktury pozwala inżynierowi na bezbłędne odtwarzanie całej tabeli w pamięci bez konieczności korzystania z kalkulatorów programowych podczas egzaminów certyfikacyjnych.

Projektowanie sieci w rzeczywistym świecie inżynierskim wymaga nie tylko czystej kalkulacji matematycznej, ale również przewidywania rozwoju organizacji. Typowym błędem początkujących projektantów jest upychanie podsieci „na styk”, co przy zatrudnieniu dwóch nowych pracowników wymusza bolesną rekonfigurację całej adresacji podsieci i serwerów DHCP.

Rozważmy scenariusz projektowy dla oddziału firmy z pulą 192.168.0.0/24: - Dział Sprzedaży: 50 stacji (przydzielamy blok /26 na 62 hosty → rezerwa 12 hostów). - Dział IT i Serwery: 20 maszyn (przydzielamy blok /27 na 30 hostów → rezerwa 10 hostów). - Sieć Wi-Fi Goście: 25 urządzeń (przydzielamy blok /27 na 30 hostów → rezerwa 5 hostów). - Zarządzanie przełącznikami (Management VLAN): 10 urządzeń (przydzielamy blok /28 na 14 hostów → rezerwa 4 hosty).

Alokacja przestrzeni adresowej: 1. Sprzedaż: 192.168.0.0/26 (adresy .1 – .62). 2. IT/Serwery: 192.168.0.64/27 (adresy .65 – .94). 3. Wi-Fi Goście: 192.168.0.96/27 (adresy .97 – .126). 4. Management: 192.168.0.128/28 (adresy .129 – .142).
Cała przestrzeń od 192.168.0.144 aż do 192.168.0.255 (ponad 110 adresów) pozostaje nienaruszona jako rezerwa strategiczna. W razie potrzeby można z niej utworzyć kolejną podsieć /26 lub kilka podsieci /28 bez konieczności modyfikowania istniejącej konfiguracji.

Wdrożenie takiego planu adresacyjnego wymaga skoordynowania konfiguracji na wielu warstwach infrastruktury: utworzenia odpowiednich sieci wirtualnych VLAN na przełącznikach dostępowych (Access Switches), konfiguracji podinterfejsów routingu Router-on-a-Stick lub interfejsów SVI (Switched Virtual Interfaces) na przełączniku wielowarstwowym L3 oraz zdefiniowania odpowiednich pul adresowych w serwerze DHCP dla każdego z segmentów.

Aby biegle diagnozować problemy z działaniem translacji NAT i zapór sieciowych, inżynier musi operować precyzyjną terminologią ustandaryzowaną przez IETF i powszechnie stosowaną w systemach sieciowych (Cisco IOS, Linux conntrack):

1. Inside Local (Wewnętrzny lokalny): Prywatny adres IP i port przypisany do stacji roboczej wewnątrz sieci LAN (np. 192.168.1.50:52134). Niewidoczny w publicznym internecie.
2. Inside Global (Wewnętrzny globalny): Publiczny adres IP i port routera brzegowego reprezentujący stację wewnętrzną na zewnątrz (np. 203.0.113.5:41002). Pod tym adresem serwery internetowe widzą naszą stację.
3. Outside Global (Zewnętrzny globalny): Prawdziwy, publiczny adres IP i port serwera docelowego w internecie (np. 198.51.100.25:443 serwera HTTPS).
4. Outside Local (Zewnętrzny lokalny): Adres serwera zewnętrznego widziany z perspektywy sieci wewnętrznej (w standardowym NAT jest identyczny z Outside Global).

Przeanalizujmy wpis w tablicy translacji poleceniem: show ip nat translations:
Pro Inside local Inside global Outside local Outside global
tcp 192.168.1.50:52134 203.0.113.5:41002 198.51.100.25:443 198.51.100.25:443
Router brzegowy monitoruje stan sesji TCP (flagi SYN, FIN, RST). Wpisy dynamiczne PAT posiadają liczniki bezczynności (Idle Timeout): dla aktywnej sesji TCP wpis utrzymuje się typowo przez 24 godziny lub do momentu odebrania pakietów FIN/ACK, natomiast dla bezstanowego protokołu UDP wpis jest usuwany z pamięci po zaledwie 30–60 sekundach braku ruchu, co zwalnia port efemeryczny dla innych aplikacji.

Każde urządzenie sieciowe podejmujące decyzję o przekazaniu pakietu IP (router, firewall, a także komputer użytkownika) posiada tablicę routingu (Routing Table). Tablica ta nie zawiera adresów poszczególnych komputerów, lecz zbiór reguł definiujących, przez który interfejs fizyczny i do jakiego sąsiedniego routera należy przesłać pakiet zaadresowany do danej podsieci.

Kluczowe kolumny tablicy routingu (wyświetlanej np. przez ip route show w Linuksie lub show ip route w Cisco IOS) obejmują: - Network Destination / Prefix: docelowa podsieć wraz z maską (np. 192.168.10.0/24). - Gateway / Next-Hop: adres IP sąsiedniego routera, do którego należy przekazać pakiet. Jeśli cel znajduje się w bezpośrednio podłączonej podsieci, pole to wskazuje stan directly connected (link lokalny). - Interface: fizyczny lub wirtualny port wyjściowy urządzenia (np. eth0, GigabitEthernet0/0). - Metric: koszt dotarcia do celu (zależny od protokołu routingu, np. przepustowości lub liczby przeskoków hop count). - Trasa domyślna (Default Route: 0.0.0.0/0): tzw. brama ostatniej szansy (Gateway of Last Resort). Reprezentuje cały globalny internet. Każdy pakiet, którego adres docelowy nie pasuje do żadnej bardziej szczegółowej trasy w tablicy, jest kierowany tą trasą.

Fundamentalną zasadą inżynieryjną przeszukiwania tablicy routingu jest reguła Longest Prefix Match (Dopasowanie najdłuższego prefiksu). Jeżeli w tablicy istnieją jednocześnie trasy: 0.0.0.0/0, 10.0.0.0/8 oraz 10.1.2.0/24, a nadszedł pakiet dla adresu 10.1.2.55, router bezwzględnie wybierze trasę o najdłuższej masce (czyli /24), ponieważ jest ona najbardziej precyzyjna!

W ramach zaawansowanego ćwiczenia projektowego student otrzymuje zadanie opracowania kompletnego planu adresacyjnego dla regionalnego oddziału korporacji. Operator przydzielił blok prywatny 172.16.0.0/21 (obejmujący 2048 kolejnych adresów od 172.16.0.0 do 172.16.7.255 z maską 255.255.248.0). Wymagania organizacyjne narzucają podział przestrzeni na następujące strefy logiczne:

1. Strefa Użytkowników Przewodowych (LAN): wymaga zaadresowania do 480 stacji roboczych.
2. Strefa Sieci Bezprzewodowej (Wi-Fi): wymaga obsługi do 240 urządzeń mobilnych.
3. Strefa Serwerowa i Bazy Danych (DMZ): wymaga do 120 maszyn fizycznych i wirtualnych.
4. Strefa Zarządzania Infrastrukturą (Management VLAN): wymaga do 28 adresów dla przełączników i zasilaczy UPS.
5. Łącza transmisyjne (Point-to-Point): cztery redundantne łącza między routerami (po 2 adresy IP na łącze).

Zadaniem studenta jest wyznaczenie dla każdej ze stref: (a) minimalnej dopuszczalnej maski w notacji CIDR, (b) adresu sieci, (c) adresu pierwszego i ostatniego hosta, (d) adresu rozgłoszeniowego oraz (e) wielkości niewykorzystanego bufora wolnej przestrzeni. Zasada sortowania malejącego wymaga rozpoczęcia kalkulacji od największej strefy (LAN: 480 hostów → maska /23 mieszcząca 510 hostów).

Metodyka rozwiązania zadania zaawansowanego: student powinien w pierwszej kolejności zamienić wymagania na minimalne potęgi dwójki. Dla 480 hostów: najbliższa potęga to 2⁹ = 512 → prefiks /23 (32 - 9 = 23). Dla 240 hostów: 2⁸ = 256 → prefiks /24 (32 - 8 = 24). Dla 120 hostów: 2⁷ = 128 → prefiks /25. Dla 28 hostów: 2⁵ = 32 → prefiks /27. Dla czterech łączy P2P: cztery bloki po 2² = 4 → prefiksy /30. Taki układ idealnie zagospodarowuje początkowe 1024 adresy bloku /21.

W tym ćwiczeniu laboratoryjnym student weryfikuje, w jaki sposób system operacyjny hosta przechowuje i odnawia parametry uzyskane w procesie DHCP DORA. Analiza ta pozwala inżynierowi zdiagnozować przyczyny nagłej utraty łączności (np. wygaśnięcie dzierżawy przy niedostępnym serwerze DHCP) lub wykryć obecność fałszywego serwera DHCP w sieci.

W systemie Linux student analizuje plik stanu klienta DHCP: cat /var/lib/dhcp/dhclient.leases (lub bada status usługi w NetworkManager / systemd-networkd). Plik ten zawiera ustrukturyzowane rekordy dzierżawy: - fixed-address: przydzielony adres IPv4. - option subnet-mask: maska podsieci (Option 1). - option routers: brama domyślna (Option 3). - option domain-name-servers: serwery DNS (Option 6). - option dhcp-server-identifier: adres IP serwera, który wydał konfigurację (Option 54). - renew / rebind / expire: dokładne znaczniki czasowe w formacie UTC określające moment próby odnowienia (timer T1 = 50%), rebindingu (timer T2 = 87.5%) oraz ostatecznego wygaśnięcia dzierżawy.

W systemie Windows analogiczną analizę przeprowadza się za pomocą polecenia: ipconfig /all. Student weryfikuje linie: Dzierżawa uzyskana (Lease Obtained) oraz Dzierżawa wygasa (Lease Expires), a także testuje ręczne wymuszenie ponowienia cyklu DORA za pomocą poleceń: ipconfig /release i ipconfig /renew pod nadzorem analizatora Wireshark.

Dokonując podsumowania fundamentów adresacji logicznej IPv4, należy podkreślić kluczowe prawa inżynieryjne rządzące tą warstwą modelu sieciowego:

1. Struktura binarna: Adres IPv4 to ciąg 32 bitów zorganizowany w 4 oktety po 8 bitów. Zakres każdego oktetu wynosi od 0 do 255. Każdy bit ma określoną wagę potęgi dwójki (od 128 do 1). Wartość dziesiętna wynika bezpośrednio ze zsumowania wag bitów o wartości logicznej jeden.
2. Podział na sieć i hosta: Maska podsieci jest niezbędnym kompasem decyzyjnym stosu IP. Poprzez operację logicznego iloczynu bitowego AND urządzenie bezbłędnie wyznacza adres sieci macierzystej i decyduje o lokalnym lub zdalnym charakterze transmisji. Pakiety w sieci nie przenoszą maski w nagłówku; maska ma znaczenie ściśle lokalne dla danego interfejsu.
3. Śmierć klas i narodziny CIDR: Sztywne klasy A, B i C przeszły do historii z powodu gigantycznego marnotrawstwa adresów. Standard CIDR wprowadził elastyczne prefiksy (/x), umożliwiając dzielenie sieci na dowolne bloki i skalowanie tablic routingu za pomocą agregacji tras (Supernetting).
4. Reguła 2^h - 2: W każdej klasycznej podsieci dwa skrajne adresy są zarezerwowane (pierwszy jako adres sieci, ostatni jako adres rozgłoszeniowy) i nie mogą być przypisywane urządzeniom.

Opanowanie tych czterech filarów pozwala inżynierowi swobodnie poruszać się po zaawansowanych zagadnieniach trasowania międzydomenowego oraz projektowania wielopoziomowych sieci wirtualnych VLAN w infrastrukturze korporacyjnej.

Biegłość w kojarzeniu prefiksów CIDR z ich praktycznym przeznaczeniem pozwala inżynierowi błyskawicznie weryfikować poprawność projektów sieciowych. Poniższe zestawienie stanowi esencję wiedzy referencyjnej:

• /8 (255.0.0.0): 16 777 214 hostów → gigantyczne sieci operatorskie, prywatna przestrzeń korporacyjna 10.0.0.0/8.
• /16 (255.255.0.0): 65 534 hosty → duże kampusy uniwersyteckie, prywatna przestrzeń 192.168.0.0/16.
• /22 (255.255.252.0): 1022 hosty → centra danych, duże sieci Wi-Fi w centrach handlowych.
• /24 (255.255.255.0): 254 hosty → uniwersalny standard dla podsieci biurowych LAN i domowych routerów SOHO.
• /26 (255.255.255.192): 62 hosty → średnie działy firmowe (np. księgowość, marketing).
• /27 (255.255.255.224): 30 hostów → małe zespoły projektowe, podsieci dla drukarek i urządzeń IoT.
• /28 (255.255.255.240): 14 hostów → strefy DMZ, klastry serwerów aplikacyjnych.
• /29 (255.255.255.248): 6 hostów → małe strefy połączeniowe z zaporami sieciowymi w klastrze HA.
• /30 (255.255.255.252): 2 hosty → łącza punkt-punkt między dwoma routerami (P2P).
• /32 (255.255.255.255): 1 host → wirtualne interfejsy Loopback na routerach (identyfikatory Router ID w OSPF/BGP).

Pamiętaj, że prefiksy krótsze niż /24 (od /8 do /23) operują na drugim i trzecim oktecie adresu IP. Na przykład prefiks /16 oznacza stałe dwa pierwsze oktety i krok 256 w trzecim oktecie, podczas gdy prefiks /20 oznacza krok 16 w trzecim oktecie (256 - 240 = 16). Logika obliczeń za pomocą metody Magic Number pozostaje dokładnie taka sama niezależnie od tego, w którym oktecie znajduje się granica maski.

W ramach kolejnego warsztatu zaawansowanego student staje przed dwoma realnymi wyzwaniami inżynierskimi, z jakimi spotykają się architekci sieci korporacyjnych:

Zadanie A (Agregacja tras - Supernetting):
Router brzegowy w oddziale obsługuje cztery przylegające podsieci:
1. 10.5.16.0/24
2. 10.5.17.0/24
3. 10.5.18.0/24
4. 10.5.19.0/24
Wyznacz pojedynczy, najbardziej zwięzły prefiks CIDR (Supernet), który obejmie dokładnie te cztery podsieci i żadnej innej, redukując liczbę tras rozgłaszanych w protokole BGP. Rozpisz trzeci oktet binarnie dla każdej podsieci i wskaż wspólny prefiks bitowy.

Zadanie B (Wykrywanie nakładania się podsieci - Overlapping):
Administrator skonfigurował na routerze dwa interfejsy:
- Interfejs GigabitEthernet0/1: adres 172.16.10.1 z maską 255.255.254.0 (/23)
- Interfejs GigabitEthernet0/2: adres 172.16.11.1 z maską 255.255.255.0 (/24)
Czy router zaakceptuje taką konfigurację? Uzasadnij odpowiedź, wyliczając zakresy adresowe obu podsieci i wskazując konflikt logiczny. Jak zareaguje system operacyjny routera (np. Cisco IOS lub Linux iproute2) podczas próby zatwierdzenia takiego przypisania?

Zadania te uczą rygorystycznej kontroli planu adresacyjnego i pozwalają uniknąć trudnych do wykrycia błędów routingu asymetrycznego.

Podpowiedź do Zadania B: podsieć 172.16.10.1/23 obejmuje zakres od 172.16.10.0 do 172.16.11.255 (ponieważ krok w 3. oktecie dla maski 255.255.254.0 wynosi 2). Podsieć 172.16.11.1/24 obejmuje zakres od 172.16.11.0 do 172.16.11.255. Zauważmy, że cały zakres podsieci /24 zawiera się wewnątrz zakresu podsieci /23! Router wykryje konflikt nakładania się tras i odrzuci przypisanie drugiego adresu z błędem % 172.16.11.0 overlaps with GigabitEthernet0/1.

Chociaż każdy inżynier sieciowy musi bezwzględnie umieć wykonywać obliczenia podsieci w pamięci lub na kartce papieru (jest to warunek konieczny na egzaminach certyfikacyjnych), w codziennej pracy produkcyjnej ręczne liczenie dziesiątek podsieci byłoby powolne i podatne na błędy ludzkie. W profesjonalnym środowisku Linux standardem automatyzacji obliczeń jest pakiet ipcalc (lub bardziej zaawansowany sipcalc).

Wywołanie polecenia: ipcalc 192.168.10.130/26 generuje przejrzysty, sformatowany raport zawierający: - Address: adres IP w zapisie dziesiętnym i binarnym. - Netmask: maskę w zapisie dziesiętnym, CIDR oraz binarnym. - Wildcard: maskę blankietową (odwrotność maski, przydatną w listach ACL Cisco i protokole OSPF). - Network: wyliczony adres sieci wraz z prefiksem. - HostMin / HostMax: pierwszy i ostatni użyteczny adres hosta. - Broadcast: adres rozgłoszeniowy podsieci. - Hosts/Net: liczbę użytecznych adresów hostów.

W skryptach automatyzacji powłoki Bash program ipcalc -s -b -n 192.168.1.0/24 pozwala na bezbłędne generowanie konfiguracji dla serwerów DHCP (Kea / ISC DHCP) oraz weryfikację danych wprowadzanych przez użytkowników w panelach zarządzania chmurą.

W środowiskach automatyzacji sieciowej (Network Automation) wykorzystuje się biblioteki programistyczne w języku Python, takie jak wbudowany moduł ipaddress (zgodny z PEP 3144). Moduł ten pozwala na tworzenie obiektów IPv4Network i IPv4Interface, automatyczne sprawdzanie relacji zawierania podsieci, wyliczanie supernetów oraz generowanie szablonów konfiguracyjnych Ansible dla setek routerów jednocześnie.

Większość awarii zgłaszanych jako „brak internetu” ma swoje źródło w elementarnych błędach adresacji warstwy sieciowej. Doświadczony inżynier weryfikuje konfigurację według rygorystycznej ścieżki diagnostycznej:

1. Konflikt adresów IP (Duplicate IP Address): Dwa urządzenia w tej samej sieci lokalnej otrzymały ten sam adres IP (np. stacja z ręczną konfiguracją weszła w kolizję z pulą serwera DHCP). Objawem jest cykliczne zrywanie połączenia u obu użytkowników oraz ostrzeżenia w logach systemowych. Narzędziem weryfikacji jest arping -D -I eth0 192.168.1.50 (Duplicate Address Detection) lub analiza komunikatów Gratuitous ARP w Wiresharku.
2. Błędna maska podsieci (Subnet Mask Mismatch): Jeśli komputer otrzymał maskę /24, a serwer w tej samej sieci maskę /25, komputer może próbować wysyłać pakiety bezpośrednio przez ARP, podczas gdy serwer uzna cel za zdalny i spróbuje odpowiedzieć przez router, co doprowadzi do asymetrii i zawieszenia sesji TCP.
3. Błędny adres bramy domyślnej (Wrong Default Gateway): Host posiada poprawny adres IP i maskę, lecz adres bramy wskazuje nieistniejący router lub adres z innej podsieci. Host bez trudu komunikuje się z sąsiadami w LAN, lecz traci łączność z jakimkolwiek serwerem poza lokalną podsiecią (brak dostępu do internetu).
4. Niezgodność VLAN (PVID Mismatch): Port przełącznika został przypisany do innego identyfikatora VLAN niż zamierzony. Urządzenie otrzymuje adres z innej podsieci lub adres APIPA (169.254.x.x) z powodu braku dostępu do właściwego serwera DHCP.

Przed zakończeniem modułu student powinien zmierzyć się z zestawem pytań weryfikujących gotowość do samodzielnego projektowania i rozwiązywania problemów adresacyjnych:

1. Pytanie 1: Jaka jest minimalna długość prefiksu CIDR, która pozwoli zaadresować podsieć wymagającą podłączenia dokładnie 500 komputerów?
2. Pytanie 2: Dlaczego protokół translacji PAT (Port Address Translation) musi modyfikować sumę kontrolną w nagłówku TCP lub UDP za każdym razem, gdy podmienia numer portu źródłowego pakietu?
3. Pytanie 3: Router odebrał pakiet zaadresowany do 192.168.1.130. W tablicy routingu znajdują się dwie trasy pasujące do tego adresu: 192.168.1.0/24 przez interfejs A oraz 192.168.1.128/26 przez interfejs B. Który interfejs wybierze router i na podstawie jakiej zasady?
4. Pytanie 4: Co oznacza obecność adresu z zakresu 169.254.0.0/16 na karcie sieciowej stacji roboczej? Czy stacja z takim adresem może drukować na lokalnej drukarce sieciowej znajdującej się w tym samym pokoju?

Zapisz swoje odpowiedzi i skonfrontuj je z kluczem rozwiązań na kolejnym slajdzie.

Zwróć uwagę na relację pomiędzy maską a bezpieczeństwem: zbyt szeroka maska podsieci (np. omyłkowe ustawienie /16 zamiast /24 w sieci biurowej) sprawia, że komputery traktują setki odległych podsieci jako bezpośrednich sąsiadów w kablu i zalewają sieć lokalną bezowocnymi zapytaniami ARP Request, zamiast przekazywać pakiety do routera, co prowadzi do drastycznej degradacji transferu.

Poniżej przedstawiono szczegółowe uzasadnienia inżynieryjne do pytań kontrolnych:

Odpowiedź 1 (Prefiks dla 500 komputerów): Szukamy najmniejszej liczby bitów hosta h spełniającej nierówność: 2^h - 2 ≥ 500. Dla h = 8 mamy 256 - 2 = 254 (za mało). Dla h = 9 mamy 2⁹ - 2 = 512 - 2 = 510 hostów (wystarczy!). Zatem prefiks wynosi: 32 - 9 = /23 (maska 255.255.254.0). Maska /23 mieści do 510 urządzeń.

Odpowiedź 2 (Suma kontrolna TCP/UDP a PAT): Suma kontrolna nagłówka TCP i UDP (RFC 793, RFC 768) obejmuje nagłówek L4, dane oraz pseudonagłówek IP (zawierający adresy IP). Gdy router PAT podmienia adres IP oraz numer portu, zmienia bity objęte sumą kontrolną. Router musi bezwzględnie przeliczyć sumę kontrolną TCP/UDP od nowa – w przeciwnym razie host odbiorczy w internecie odrzuciłby pakiet jako uszkodzony.

Odpowiedź 3 (Zasada Longest Prefix Match): Router bezwzględnie wybierze interfejs B (trasę 192.168.1.128/26). Zgodnie z fundamentalną regułą Longest Prefix Match (RFC 1812), router zawsze wybiera trasę o dłuższej masce (bardziej specyficzną). Prefiks /26 jest dłuższy niż /24, więc ma bezwzględne pierwszeństwo.

Odpowiedź 4 (Adres APIPA a drukowanie): Obecność adresu APIPA (169.254.x.x) oznacza, że stacja nie uzyskała konfiguracji z serwera DHCP. Stacja może drukować na drukarce w tym samym pokoju pod warunkiem, że drukarka również nie uzyskała adresu z DHCP i także przydzieliła sobie adres z puli 169.254.0.0/16. Obie stacje znajdują się wtedy w tej samej podsieci Link-Local i widzą się bezpośrednio przez ARP. Stacja nie będzie jednak miała łączności z resztą sieci ani z internetem.

W tym zadaniu laboratoryjnym student łączy wiedzę o adresacji IP z praktyczną analizą ruchu pakietowego w programie Wireshark. Student uruchamia analizator z filtrem dhcp or bootp i wymusza pobranie konfiguracji w terminalu: sudo dhclient -r && sudo dhclient -v eth0.

Zadaniem studenta jest odnalezienie pakietu DHCP ACK nadeszłego z serwera i szczegółowe zbadanie sekcji Bootstrap Protocol → Options: 1. Option 53 (DHCP Message Type): wartość 5 (DHCP ACK). 2. Option 1 (Subnet Mask): student weryfikuje przydzieloną maskę dziesiętną (np. 255.255.255.0). 3. Option 3 (Router): adres IP bramy domyślnej, do której stacja będzie kierować pakiety pozapocztowe. 4. Option 51 (IP Address Lease Time): czas trwania dzierżawy w sekundach (np. 86400 sekund = 24 godziny). 5. Option 6 (Domain Name Server): adresy IP serwerów DNS przydzielonych dla stacji.

Ćwiczenie to pozwala naoczne powiązanie abstrakcyjnych pojęć maski podsieci i bramy domyślnej z konkretnymi polami binarnymi transmitowanymi w protokole aplikacyjnym DHCP.

Warto zaobserwować w Wiresharku różnicę pomiędzy czasem dzierżawy (Option 51) a timerami T1 i T2. Standard RFC 2131 precyzuje, że timer T1 (Renewal Time, Option 58) wynosi domyślnie 0,5 czasu dzierżawy, a timer T2 (Rebinding Time, Option 59) wynosi 0,875 czasu dzierżawy. Pozwala to klientowi na bezproblemowe przedłużenie adresu na długo przed groźbą jego utraty.

Podsumowując zaawansowane aspekty inżynierii adresacji IPv4, należy wyróżnić cztery filary współczesnego projektowania sieci lokalnych:

1. Potęga VLSM: Zmienna długość maski podsieci eliminuje marnotrawstwo adresów. Projektowanie zawsze rozpoczynamy od największych podsieci ku najmniejszym, rezerwując bloki /30 dla łącz punkt-punkt.
2. Prywatne przestrzenie RFC 1918: Trzy bloki (10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16) stanowią uniwersalny budulec sieci wewnętrznych na całym świecie, pozostając całkowicie odizolowane od globalnego routingu internetowego.
3. Translacja PAT jako fundament IPv4: Dzięki równoczesnej translacji adresów IP i portów warstwy L4, tysiące urządzeń współdzielą jeden publiczny adres IP, co przedłużyło żywotność IPv4 o ponad 25 lat.
4. Nieuchronność IPv6: Pula IPv4 została całkowicie wyczerpana. Żadne mechanizmy NAT nie zastąpią czystej, skalowalnej przestrzeni 128-bitowego protokołu IPv6.

Zdolność jednoczesnego operowania na warstwie fizycznej adresów MAC oraz logicznej adresów IP z nałożonymi regułami translacji NAT stanowi rdzeń wiedzy każdego inżyniera sieci teleinformatycznych.

Wiedza o adresacji logicznej IPv4 stanowi fundament pod kolejny etap kształcenia inżynierskiego – protokoły routingu dynamicznego oraz zaawansowaną diagnostykę ruchu w sieciach rozległych WAN. Pamiętaj, że każdy poprawny projekt sieciowy rozpoczyna się od przemyślanego, zhierarchizowanego planu adresacji IP.

Podręczna ściągawka dla każdego inżyniera przygotowującego się do certyfikacji i pracy projektowej w oparciu o czwarty oktet maski:

• /24 → Maska: 255.255.255.0 → Krok: 256 → Bity hosta: 8 → 254 hosty
• /25 → Maska: 255.255.255.128 → Krok: 128 → Bity hosta: 7 → 126 hostów
• /26 → Maska: 255.255.255.192 → Krok: 64 → Bity hosta: 6 → 62 hosty
• /27 → Maska: 255.255.255.224 → Krok: 32 → Bity hosta: 5 → 30 hostów
• /28 → Maska: 255.255.255.240 → Krok: 16 → Bity hosta: 4 → 14 hostów
• /29 → Maska: 255.255.255.248 → Krok: 8 → Bity hosta: 3 → 6 hostów
• /30 → Maska: 255.255.255.252 → Krok: 4 → Bity hosta: 2 → 2 hosty

Pamiętaj o uniwersalnej regule podwajania: Krok podsieci (Magic Number) wynosi zawsze 256 - Wartość_Oktetu. Liczba użytecznych hostów to zawsze Krok - 2. Ta elementarna zależność pozwala rozwiązać każde zadanie podsieciowe w pamięci w czasie poniżej 10 sekund bez konieczności rozpisywania liczb na bity.

Matematyczna reguła szybkiego szacowania: jeśli znasz liczbę hostów, znajdź najbliższą wyższą potęgę dwójki 2^h, a następnie odejmij h od liczby 32. Otrzymana wartość to szukany prefiks CIDR! Przykład: potrzebujesz 50 hostów → najbliższa potęga to 64 (2⁶) → h = 6 → prefiks = 32 - 6 = /26. Ta prosta zasada pozwala na projektowanie sieci w czasie rzeczywistym podczas rozmów z klientem.

Ostatni zestaw pytań kontrolnych pozwala na pełną samoocenę wiedzy zdobytej podczas całego modułu poświęconego protokołowi IPv4:

1. Pytanie 1 (Kalkulacja w 3. oktecie): Oblicz adres sieci, pierwszy użyteczny host, ostatni użyteczny host oraz adres broadcast dla adresu 10.200.150.85/19. Wskaż krok podsieci oraz liczbę dostępnych adresów hostów.
2. Pytanie 2 (Protokoły trasowania a VLSM): Dlaczego historyczny protokół routingowy RIPv1 nie potrafi poprawnie rozgłaszać sieci podzielonych za pomocą techniki VLSM, podczas gdy OSPFv2 radzi sobie z tym bez problemu? Jakie pole jest obecne w pakietach OSPF, a nieobecne w RIPv1?
3. Pytanie 3 (Ochrona przed pętlami routingu): Na czym polega zjawisko Blackhole Route (trasa czarnej dziury) i dlaczego administratorzy konfigurują trasę statyczną do interfejsu Null0 dla zagregowanego supernetu na routerze brzegowym?
4. Pytanie 4 (Ograniczenia translacji PAT): Jakie są ograniczenia translacji PAT (NAPT) w odniesieniu do protokołów, które nie wykorzystują portów TCP ani UDP (np. protokołów ICMP, GRE, ESP w tunelach IPsec)? W jaki sposób mechanizm NAT-T rozwiązuje ten problem?

Dokonaj samodzielnej analizy i porównaj wnioski z oficjalnym kluczem na kolejnym slajdzie.

Pytania egzaminacyjne sprawdzają nie tylko znajomość wzorów, ale przede wszystkim zrozumienie skutków ubocznych decyzji projektowych. Inżynier musi potrafić przewidzieć, jak zmiana maski lub dodanie trasy zbiorczej wpłynie na przepływ pakietów i stabilność całego systemu autonomicznego.

Poniżej przedstawiono autorytatywne rozwiązania pytań egzaminacyjnych:

Odpowiedź 1 (Kalkulacja dla 10.200.150.85/19):
- Maska: /19 = 16 + 3 bity w 3. oktecie → 255.255.224.0.
- Krok podsieci w 3. oktecie: 256 - 224 = 32. Podsieci w 3. oktecie: 0, 32, 64, 96, 128, 160... Liczba 150 mieści się w przedziale 128–159.
- Adres sieci: 10.200.128.0/19.
- Pierwszy użyteczny host: 10.200.128.1.
- Ostatni użyteczny host: 10.200.159.254.
- Adres broadcast: 10.200.159.255.
- Pojemność: 2¹³ - 2 = 8190 hostów.

Odpowiedź 2 (RIPv1 vs OSPFv2 a VLSM): RIPv1 (RFC 1058) to protokół klasowy – w swoich pakietach rozgłoszeniowych przesyła wyłącznie adres sieci, nie przesyłając maski podsieci! Router odbiorczy narzuca sztywną maskę klasy historycznej, co uniemożliwia działanie VLSM. OSPFv2 (RFC 2328) to protokół bezklasowy przesyłający pełną maskę w każdym pakiecie LSA, co gwarantuje bezbłędną obsługę VLSM i CIDR.

Odpowiedź 3 (Trasa do Null0 przy supernettingu): Gdy router brzegowy ogłasza supernet (np. 10.0.0.0/16), a wewnątrz firmy wykorzystuje tylko część podsieci (np. 10.0.1.0/24 i 10.0.2.0/24), pakiety skierowane pod niewykorzystany adres (np. 10.0.99.1) krążyłyby w pętli pomiędzy routerem brzegowym a dostawcą ISP dopóki nie wygaśnie ich TTL. Statyczna trasa 10.0.0.0/16 Null0 cicho i natychmiastowo niszczy pakiety trafiające w niewykorzystane luki supernetu, chroniąc łącze przed pętlami routingu.

Odpowiedź 4 (PAT a protokoły bez portów L4): PAT opiera się na numerach portów TCP/UDP. Protokoły takie jak ICMP (brak portów – router musi używać pola ICMP Identifier) czy GRE/IPsec ESP (protokoły 47 i 50 – brak portów) nie mogą być bezpośrednio multipleksowane przez PAT. Wymaga to specjalnych mechanizmów pomocniczych, takich jak NAT Traversal (NAT-T w IPsec opakowujące pakiety ESP w port UDP 4500 wg RFC 3948) lub bramek ALG (Application Layer Gateway).

Gratulacje! Dobiegła końca ósma część kursu Projektowania i Diagnostyki Sieci Komputerowych, poświęcona sercu logiki sieciowej – protokołowi IPv4, podziałowi na podsieci oraz mechanizmom translacji adresów. Podczas tego intensywnego modułu opanowaliście zarówno formalny aparat matematyczny algebry Boole'a, jak i praktyczną sztukę projektowania optymalnych planów adresacyjnych metodą VLSM.

Poznaliście historię ewolucji internetu: od sztywnych klas adresowych A-C, poprzez ratującą skalowalność sieć bezklasową CIDR i prywatne przestrzenie RFC 1918, aż po architekturę translacji NAT/PAT, która pozwoliła globalnej sieci przetrwać kryzys wyczerpania 32-bitowej puli adresów. Umiejętność błyskawicznego wyznaczania adresów sieci, broadcastu i pojemności hostów w pamięci to Wasza inżynierska supermoc, która będzie procentować na każdym etapie kariery zawodowej.

W kolejnej, dziewiątej części kursu (PiDSK Część 9: Protokół IPv6 – nowa era internetu) wejdziemy w fascynujący świat 128-bitowej adresacji nowej generacji. Poznamy uproszczoną strukturę 40-bajtowego nagłówka IPv6, rodzaje adresów (Global Unicast, Link-Local, Unique Local, Multicast), rewolucyjny protokół NDP (Neighbor Discovery Protocol) zastępujący archaiczne ARP, mechanizm automatycznej konfiguracji bezstanowej SLAAC oraz metody koegzystencji IPv4 i IPv6 (Dual-Stack, tunele, translacja NAT64/DNS64). Do zobaczenia w świecie IPv6!