Основы компьютерных сетей

Сети — это «кровеносная система» IT. Без понимания IP, масок, маршрутизации и модели OSI вы не почините даже Wi-Fi в офисе. Этот раздел — исчерпывающий справочник по сетевому стеку: от физического кабеля до прикладных протоколов.

Модель OSI и стек TCP/IP

OSI (Open Systems Interconnection) — теоретическая 7-уровневая модель ISO. На практике Интернет работает на стеке TCP/IP (4 уровня). Знать уровни нужно, чтобы локализовать проблему: «не пингуется» — это сеть (L3), «страница не грузит» — приложение (L7).

Полная модель OSI (7 уровней)

Стек TCP/IP (4 уровня) и сравнение

IPv4: классы, CIDR, подсети

IPv4 — адрес из 32 бит (4 октета по 0–255), например 192.168.1.50. Маска определяет границу «сеть / хост». CIDR (Classless Inter-Domain Routing) записывает маску как /число — количество единичных битов слева.

Классовая адресация (историческая, до CIDR)

Частные (RFC 1918) и специальные диапазоны

Подсети: маски /24, /25, /22 — формулы и расчёт

Формулы:

• Размер подсети (всего адресов) = 2^(32 − prefix).
• Доступно хостов = 2^(32 − prefix) − 2 (вычитаем сетевой и broadcast-адреса).
• Количество подсетей при делении блока = 2^(новый_prefix − старый_prefix).

Пример расчёта вручную

Дан IP 192.168.10.130 с маской /25 (255.255.255.128).

Маска /25: 11111111.11111111.11111111.10000000  = 255.255.255.128
Бит хоста: 7 бит → 2^7 = 128 адресов в блоке.
Сетевые адреса /25 делят /24 на две половины:
  .0   – .127   (первая подсеть)
  .128 – .255   (вторая подсеть)
IP 192.168.10.130 попадает во ВТОРУЮ:
  Network:      192.168.10.128
  First host:   192.168.10.129
  Last host:    192.168.10.254
  Broadcast:    192.168.10.255

Пример для /22: сеть 10.0.4.0/22 (маска 255.255.252.0).

Маска /22: последний октет 252 = 11111100 → 10 заимствованных бит у 4-го октета.
Размер = 2^(32-22) = 1024 адреса.
Границы выравниваются по шагу 4 в 3-м октете: 0, 4, 8, 12 ...
  10.0.0.0/22  → .0.0   – .3.255
  10.0.4.0/22  → .4.0   – .7.255   ← наша
  10.0.8.0/22  → .8.0   – .11.255
Хосты: 10.0.4.1 ... 10.0.7.254 (1022 шт), broadcast 10.0.7.255.

VLSM (Variable Length Subnet Masking)

Разные маски для разных подсетей — чтобы не тратить адреса. Пример: нужно 50, 20 и 10 хостов из блока 192.168.1.0/24.

192.168.1.0/26  (62 хоста)  → для 50 хостов   (.0–.63)
192.168.1.64/27 (30 хостов) → для 20 хостов   (.64–.95)
192.168.1.96/28 (14 хостов) → для 10 хостов   (.96–.111)
Остаток .112–.255 можно отдать дальше — экономия против трёх /24.

Суперсети (суммирование маршрутов, route aggregation)

Объединение нескольких подсетей в одну большую для упрощения таблицы маршрутов. Пример: 172.16.0.0/24 … 172.16.3.0/24 → 172.16.0.0/22.

172.16.0.0/24
172.16.1.0/24
172.16.2.0/24
172.16.3.0/24  → сумма 172.16.0.0/22 (общие 22 старших бита)

IPv6

IPv6 — 128 бит (в 4 раза длиннее 32 бит IPv4). Пишется 8 групп по 16 бит (hextet), разделённых двоеточиями, в шестнадцатеричном виде.

Полный:   2001:0db8:0000:0000:0000:ff00:0042:8329
Сокращённый:
  - убираем ведущие нули в каждой группе: 2001:db8:0:0:0:ff00:42:8329
  - одну самую длинную цепочку нулевых групп заменяем на :: : 2001:db8::ff00:42:8329

Структура адреса

Обычно: 64 бита префикс сети + 64 бита идентификатор интерфейса (IID). IID часто формируется из MAC через EUI-64 или генерируется случайно (RFC 4941, privacy addresses).

Типы адресов

SLAAC (Stateless Address Autoconfiguration)

Хост сам строит адрес: берёт префикс из Router Advertisement (RA) и добавляет свой IID. Без состояния (серверу не нужно помнить аренды), в отличие от DHCPv6 (stateful). Флаги в RA: M (Managed, использовать DHCPv6 для адреса), O (Other, DHCPv6 только для опций вроде DNS).

NDP вместо ARP

В IPv6 нет ARP — его заменяет NDP (Neighbor Discovery Protocol) поверх ICMPv6:

Ethernet и MAC-адреса

MAC (Media Access Control) — физический адрес канального уровня, 48 бит (12 hex-цифр), обычно пишется 00:1A:2B:3C:4D:5E.

• OUI (Organizationally Unique Identifier) — первые 3 байта (24 бита), назначаются IEEE и указывают вендора (например, 00:1A:2B — Cisco).
• Последние 3 байта — уникальный номер NIC, назначаемый вендором.
• Локально администрируемый бит (второй младший бит первого октета) — MAC задан вручную (например, в виртуалках).
• Мультикаст-бит (младший бит первого октета) — групповой адрес.

Структура кадра Ethernet (IEEE 802.3)

| Preamble (7) | SFD (1) | Dst MAC (6) | Src MAC (6) | EtherType (2) | Payload (46–1500) | FCS (4) |
EtherType указывает протокол верхнего уровня: 0x0800 = IPv4, 0x86DD = IPv6, 0x0806 = ARP, 0x8100 = VLAN (802.1Q).
MTU по умолчанию = 1500 байт полезной нагрузки (jumbo frames — до 9000).

Коммутатор (switch) vs хаб (hub)

Маршрутизация

Маршрутизатор соединяет разные сети (L3). Решение о пересылке принимается по таблице маршрутов — выбирается наиболее точное (longest prefix match) совпадение.

Таблица маршрутов (Linux: ip route)

$ ip route
default via 192.168.1.1 dev eth0 proto static
192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.50
10.0.0.0/24 via 192.168.1.254 dev eth0 metric 100
Поля: назначение (dest) | шлюз (via/gateway) | выходной интерфейс (dev) | метрика (metric) | источник (src)

Шлюз по умолчанию и статические маршруты

# Шлюз по умолчанию (0.0.0.0/0 — «всё остальное»)
ip route add default via 192.168.1.1
# Статический маршрут до удалённой сети
ip route add 10.0.0.0/24 via 192.168.1.254
# Маршрут через интерфейс (point-to-point)
ip route add 172.16.0.0/16 dev tun0
# Удалить
ip route del 10.0.0.0/24

Метрики

Метрика — «стоимость» маршрута. При нескольких маршрутах до одной сети ОС/протокол выбирает маршрут с меньшей метрикой. Используется для резервирования (failover) и балансировки.

Протоколы маршрутизации (кратко)

TCP vs UDP и транспорт

TCP 3-way handshake

Клиент                        Сервер
  ── SYN ───────────────────▶   (seq=x)
  ◀──────── SYN-ACK ─────────   (seq=y, ack=x+1)
  ── ACK ───────────────────▶   (seq=x+1, ack=y+1)
  Соединение установлено → пошли данные
Завершение: FIN → ACK → FIN → ACK (4-way, или FIN-ACK/FIN-ACK)

Окно, порты и сокеты

• Окно (window size) в заголовке TCP — сколько байт получатель готов принять без подтверждения (flow control). Растёт/сжимается динамически.
• Порты: 0–1023 — well-known (system), 1024–49151 — registered, 49152–65535 — ephemeral/dynamic (клиентские).
• Сокет = пара (IP-адрес : порт). Полный идентификатор соединения = (src IP, src port, dst IP, dst port).

Примеры портов: 22 SSH, 25/587 SMTP, 53 DNS, 80 HTTP, 443 HTTPS,
110 POP3, 143 IMAP, 3306 MySQL, 5432 PostgreSQL, 3389 RDP, 161 SNMP

NAT и PAT

NAT (Network Address Translation) — подмена IP-адреса в заголовке пакета. Позволяет многим устройствам с частными адресами выходить в Интернет через один публичный.

# iptables примеры
iptables -t nat -A POSTROUTING -s 192.168.1.0/24 -o eth0 -j MASQUERADE      # SNAT/PAT наружу
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8080 -j DNAT --to 192.168.1.10:80
echo 1 > /proc/sys/net/ipv4/ip_forward   # включить форвардинг (!)

CGNAT (Carrier-Grade NAT, 100.64.0.0/10)

Провайдеры, исчерпав публичные IPv4, сажают абонентов за 100.64.0.0/10 (RFC 6598) между CPE и CGNAT-оборудованием. Это не RFC1918 и не публичный диапазон — его нельзя использовать внутри своей сети (риск коллизий). Признак «за CGNAT»: WAN-IP роутера в 100.64.x.x, а публичный IP другой → проброс портов не сработает, нужен VPN/tunnel (например, WireGuard) или IPv6.

DNS — глубоко

DNS (Domain Name System) переводит имена (example.com) в IP. Работает поверх UDP/53 (основной) и TCP/53 (зонные трансферы, большие ответы).

Резолвер и рекурсия

• Стуб-резолвер (на хосте, /etc/resolv.conf) — перенаправляет запросы настроенному серверу.
• Рекурсивный резолвер (напр. 8.8.8.8, 1.1.1.1) — сам идёт по цепочке: корневой (.) → TLD (.com) → авторитетный (example.com) и возвращает результат.
• Авторитетный сервер — хранит реальные записи зоны.
• Рекурсия — флаг RD (Recursion Desired) в запросе; публичные резолверы её разрешают, авторитетные — обычно нет.

Типы записей

TTL, зоны, обратный DNS

• TTL (Time To Live, сек) — сколько кэшировать запись. Маленький TTL (60–300) удобен при миграциях, большой (3600+) снижает нагрузку.
• Зона — часть дерева DNS под управлением одного администратора. Прямая зона (имя→IP) и обратная (reverse) зона (IP→имя, PTR), для IPv4 в домене in-addr.arpa, для IPv6 — ip6.arpa.
• SOA serial — при изменении зоны serial надо увеличить, иначе вторичные NS не заберут обновление.

DNSSEC и шифрование (DoH/DoT)

# Проверка вручную
dig example.com A +short
dig example.com AAAA
dig -x 93.184.216.34            # обратный (PTR)
dig example.com MX
dig +dnssec example.com         # покажет RRSIG, если подписано
dig @1.1.1.1 example.com        # запрос к конкретному резолверу

DHCP — DORA

DHCP раздаёт IP-адреса и сетевые параметры автоматически. Протокол: UDP/67 (сервер), UDP/68 (клиент).

Процесс DORA

Клиент                  Сервер
  DHCPDISCOVER (broadcast) ───────▶   поиск сервера
  ◀─────── DHCPOFFER (broadcast)       предложение IP+опций
  DHCPREQUEST (broadcast) ─────────▶   «хочу этот адрес»
  ◀──────── DHCPACK (broadcast)         подтверждение + lease

• Аренда (lease) — срок (TTL), после половины клиент пытается продлить ( DHCPREQUEST), по истечении — освобождает адрес.
• Опции DHCP: 3 = router (шлюз), 6 = DNS-серверы, 15 = domain name, 51 = lease time, 54 = DHCP server id, 66 = TFTP server (PXE boot), 67 = bootfile name (PXE).
• Резервирование (reservation) — привязка фиксированного IP к MAC (динамически, но всегда один адрес для принтера/сервера).
• Relay / helper — ip helper-address (Cisco) / dhcrelay (Linux): пересылает broadcasts DHCP между подсетями к серверу, т.к. broadcast не пересекает роутер.

Коммутация, VLAN, STP, LACP

VLAN (IEEE 802.1Q)

VLAN логически разделяет один коммутатор на несколько независимых сетей. В кадр добавляется 4-байтовый тег 802.1Q (EtherType 0x8100, 12-битный VLAN ID = 0–4095, доступно 1–4094, 0 и 4095 зарезервированы).

• Access-порт (нетегированный) — принадлежит одному VLAN, клиенты не видят тега.
• Trunk-порт (тегированный) — пропускает много VLAN, помечая кадры тегами. Native VLAN — нетегированный VLAN на транке (обычно 1).
• Inter-VLAN routing — маршрутизация между VLAN через L3-коммутатор (SVI: interface vlan 10) или внешний роутер («router on a stick» с sub-интерфейсами).

# Cisco-стиль
switch(config)# vlan 10
switch(config)# int gi0/1
switch(config-if)# switchport mode access
switch(config-if)# switchport access vlan 10
switch(config-if)# int gi0/24
switch(config-if)# switchport mode trunk
switch(config-if)# switchport trunk allowed vlan 10,20

STP (Spanning Tree Protocol, 802.1D) и RSTP (802.1w)

Блокирует петли (loops) при избыточных связях, выбирая root bridge и переводя избыточные порты в состояние blocking. RSTP быстрее сходится (секунды против минут). Защиты: BPDU Guard, Root Guard.

LACP (IEEE 802.3ad / 802.1AX)

Link Aggregation — объединяет несколько физических линков в один логический (LAG) для увеличения полосы и отказоустойчивости. Режимы: active/passive (LACP) или on (статический, без LACP). Пакеты распределяются по хешу (MAC/IP/порт), НЕ «балансируются побайтово».

# Linux: bondинг через iproute2 / teamd (пример team)
teamd -c '{"runner":{"name":"lacp"}}' -d -t team0
ip link set eth0 master team0
ip link set eth1 master team0

Port Security

Ограничивает количество разрешённых MAC на порту (sticky MAC) и защищает от подмены. Действия при нарушении: shutdown (порт в err-disable), restrict (дроп + лог), protect (тихий дроп).

Wi-Fi (стандарты IEEE 802.11)

* — теоретический максимум PHY; реальная пропускная способность ниже.

Диапазоны и каналы

• 2.4 ГГц: каналы 1–13 (Европа/РФ), ширина 20/40 МГц. Только 3 неперекрывающихся канала (1, 6, 11). Дальше, но тесно (Bluetooth, микроволны).
• 5 ГГц: каналы 36–165, ширина до 160 МГц. Меньше помех, короче радиус, хуже сквозь стены.
• 6 ГГц (Wi-Fi 6E/7): до 320 МГц, только для новых устройств, нет legacy-трафика → чище эфир.

Безопасность: WPA2 vs WPA3

Mesh и роуминг

• Mesh — ячеистая сеть из точек доступа, где узлы соединяются друг с другом (backhaul), расширяя покрытие без проводов.
• Роуминг — бесшовный переход клиента между AP. Стандарты: 802.11k (список соседей), 802.11v (управление/BNM), 802.11r (Fast BSS Transition, FT) — ускоряет повторное 4-way handshake при смене AP.

VPN — сравнение и выбор

Диагностика сети (инструментарий)

# Классический набор проверки «нет интернета»
ip -br addr                  # есть ли IP на интерфейсе
ip route | grep default       # задан ли шлюз
ping -c 3 192.168.1.1         # пинг шлюза (локалка L2/L3)
ping -c 3 8.8.8.8            # пинг внешнего (NAT/внешка)
ping -c 3 google.com          # резолвится ли DNS
ss -tunlp | grep :443         # слушает ли сервис порт
tcpdump -n icmp               # смотрим ли мы ICMP вживую

Методология устранения неполадок

Два основных подхода — выбирайте по ситуации.

Снизу вверх (bottom-up, по OSI)

1. L1 Физика: горит ли линк (лампочка), обжат ли кабель, не повреждён ли, правильный ли SFP/оптика.
2. L2 Канал: виден ли MAC соседа (arp -n, bridge fdb), нет ли loop (STP), правильный ли VLAN/транк.
3. L3 Сеть: есть ли IP и шлюз (ip addr, ip route), ping шлюза, ping внешнего, не блокирует ли файрвол.
4. L4 Транспорт: открыт ли порт (ss -tunlp, nmap), не режет ли MTU (PMTU black hole).
5. L7 Приложение: работает ли сервис, правильна ли конфигурация, логи (journalctl, /var/log).

Сверху вниз (top-down)

Начинаем с симптома на уровне приложения и спускаемся, если выше всё ОК. Удобно, когда проблема очевидно в одной зоне (например, «браузер не открывает сайт, но ping есть» — сразу к L7/DNS).