Lekce 2 - IP adresy Nové

V minulé lekci, Úvod do počítačových sítí, jsme si popsali klíčová zařízení provozu počítačových sítí a segmentaci sítě.

IP adresy tvoří základní orientační mapu každé sítě. Říkají, kde zařízení v rámci podsítě leží, jak velké to území je (prefix/maska) a kudy vede cesta ven (výchozí brána). Když nesedí adresa nebo brána, nepomůže firewall ani rychlý switch. Do hry vstupují i služby okolo - DHCP přidělí parametry, DNS překládá jména na adresy a NAT/PAT umožní odchod z privátní sítě do internetu. V tomto tutoriálu si všechny tyto prvky zasadíme do souvislostí a naučíme se z konfigurace vyčíst síť, rozsah hostů, broadcast i správnou bránu.

IPv4

IPv4 znamená Internet Protocol version 4, tedy základní způsob, jak v síti jednoznačně označujeme zařízení a posíláme k nim data. Každé zařízení dostane adresu o délce 32 bitů, kterou zapisujeme v podobě čtyř čísel oddělených tečkou, například 192.168.10.34. Těmto číslům se říká oktety a každý může nabývat hodnoty 0–255 (tedy rozsahu 8 bitů). Pro nás je to čitelný zápis, pro síť je to jen sled bitů:

Dělení adresy a maska

Každá adresa má dvě složky - síťovou část, která říká, do jaké sítě to patří, a část hostitele (hosta), která určí konkrétní zařízení uvnitř dané sítě. Toto rozdělení je klíčové, podle něj poznáme, kdo je náš soused (komu můžeme poslat data přímo) a kdy už musíme jít přes výchozí bránu do jiné sítě. Například víme, že několik počítačů ve stejné kancelářské síti spolu může komunikovat přímo přes switch, zatímco přístup k serveru v jiné síti už musí zamířit na výchozí bránu (router), která zprávu pošle správným směrem dál. Kde přesně mezi těmito částmi vede řez, určuje dnes hlavně síťová maska.

Historicky se velikost sítě určovala podle tříd A, B a C, které pevně stanovovaly, kolik bitů připadá na síť a kolik na hosty (A = 8/24 pro velmi velké sítě, B = 16/16 pro střední a C = 24/8 pro malé). Třídní adresace byla jednoduchá, ale nepružná – organizace často dostávaly příliš velké nebo příliš malé bloky, což vedlo k plýtvání adresami a ke zbytečnému růstu směrovacích tabulek.

CIDR

Dnes používáme beztřídní adresaci, CIDR (Classless Inter-Domain Routing). Velikost sítě popisujeme prefixem - číslem za lomítkem, které říká, kolik bitů tvoří síťovou část. Díky tomu si můžeme zvolit jakoukoli velikost podle potřeby (např. /27, /26, /22...), velké bloky rozdělíme na menší podsítě a naopak více sousedních bloků agregujeme do jednoho většího prefixu kvůli přehlednějšímu směrování.

Číslo za lomítkem tedy říká, kolik nejdůležitějších bitů masky jsou jedničky. Tyto jedničky se zapíšou zleva, po osmi bitech se udělá tečka a každý osmibitový blok se převede na číslo v desítkové soustavě 0-255.

Například maska /24 dává 11111111.11111111.11111111.00000000, což při převodu na desítkovou soustavu dává 255.255.255.0. Opačně lze na lomítkovou verzi převést taktéž. Stačí předělat každý oktet na bity a sečíst jedničky, třeba 255.255.240.0 je 11111111.11111111.11110000.00000000, tedy /20.

Rezervované IPv4 adresy

V IPv4 adresování existuje několik speciálně vyhrazených adres, se kterými se v běžné síťové praxi často setkáme:

• Adresa sítě - V každé podsíti je první adresa vyhrazená pro označení samotné sítě (síťová adresa). Například u /24 to je x.y.z.0, ale záleží na prefixu. Například u /26 jsou síťové adresy x.y.z.0, x.y.z.64, x.y.z.128 i x.y.z.192. Tato adresa se nepřiřazuje hostům.
• Broadcast - Naopak nejvyšší adresa v podsíti je broadcast. Obsahuje informace pro všechny v dané VLAN/broadcast doméně. U /24 je to x.y.z.255, ale u jiných prefixů má opět jiný tvar. Broadcast se také nepřiřazuje hostům. Směrovaný broadcast do konkrétní sítě (directed broadcast) mívají routery z bezpečnostních důvodů vypnutý.
• Nepřiřazená adresa - Samotná IP 0.0.0.0 znamená zatím nemám adresu. Zápis 0.0.0.0/0 je v routovací tabulce výchozí trasa ("všechno ostatní pošli sem") - typicky směřuje na výchozí bránu.
• Broadcast do celé místní sítě - Speciální broadcast do vlastní lokální sítě (255.255.255.255). Nepřechází přes router, používá se pro některé bootovací a autokonfigurační mechanismy. V běžné praxi se s ním setkáme méně často než s broadcastem podsítě.
• Lokální testovací adresa - Rozsah vyhrazený pro lokální smyčku. Paket nikdy neopustí zařízení, komunikujeme tedy sami se sebou a hodí se třeba pro testování služeb. Všechna 127.x.y.z jsou loopback, nejen 127.0.0.1, ten je ovšem v praxi využíván nejvíce.

Výchozí brána

Výchozí brána je IP adresa routeru, který leží ve stejné podsíti jako náš počítač. Pokud je cílová adresa v naší podsíti, odešleme data přímo na její MAC adresu. Pokud cíl leží mimo ni, předáme rámec bráně. Ta zvolí další skok (next hop) a odešle paket dál – do jiné podsítě, přes WAN nebo do internetu.

Stanice rozhoduje jednoduchým porovnáním: vezme vlastní IP a prefix, určí rozsah své podsítě a porovná jej s cílem. Když cíl spadá do stejného rozsahu, pošle zařízení ARP dotaz (Address Resolution Protocol – převod IP na MAC) a komunikuje napřímo. Pokud cíl mimo rozsah nespadá, použije výchozí trasu (0.0.0.0/0) z lokální směrovací tabulky a odešle rámec na IP výchozí brány; její MAC adresu si opět zjistí přes ARP.

Například počítač 192.168.10.34/24 s bránou 192.168.10.1 doručí provoz na 192.168.10.50 přímo, ale komunikace s 172.217.22.14 zamíří na bránu, která ji dále přesměruje (a případně provede NAT).

Adresa brány se obvykle získává z DHCP nebo se nastavuje staticky. V praxi se často používá první adresa v síti (.1), někdy poslední (.254). Nejde o pravidlo – důležité je, aby brána byla ve stejné podsíti jako klienti a nebyla součástí DHCP poolu, aby ji server nemohl omylem přidělit jinému zařízení.

Veřejné a privátní IP adresy

Veřejných IPv4 adres je málo, proto se uvnitř sítí používají privátní prostory (sítě 10.0.0.0/8, 172.16.0.0/12 a 192.168.0.0/16). Tyto adresy se v globálním internetu neroutují.

Uvnitř firmy tak můžeme klidně navrhnout desítky VLAN a podsítí, aniž bychom cokoliv hlásili poskytovateli. Navenek je vidět jen naše hrana (perimetr) s jednou či několika veřejnými IP. Interní struktura zůstává skrytá a adresní plán si držíme plně pod kontrolou.

V LAN běží privátní adresy (např. 192.168.10.0/24), perimetrové zařízení (router/firewall) má směrem do LAN privátní IP a směrem do internetu veřejnou IP (např. 203.0.113.5). Veškerý provoz ven i dovnitř publikovaných služeb prochází přes tento bod, kde se provádí překlady adres.

NAT

NAT (Network Address Translation) je obecný název pro překlad IP adres na hraně sítě. Vnitřní (privátní) adresy nejsou v internetu směrovatelné, proto se při odchodu ven změní na adresu veřejnou.

PAT (Port Address Translation) je konkrétní typ NATu. Umožní, aby mnoho vnitřních klientů sdílelo jednu veřejnou IP. Odlišení spojení se dělá pomocí portů - každému odchozímu spojení se přidělí unikátní zdrojový port a uloží se do stavové tabulky. Internet tak vidí vše přicházet z jedné veřejné adresy, ale s různými porty.

Například spojení z 192.168.10.34:54321 se ven přepíše na 203.0.113.5:40001. Odpověď, která dorazí na 203.0.113.5:40001, se podle záznamu v tabulce přeloží zpět na 192.168.10.34:54321.

DHCP

DHCP (Dynamic Host Configuration Protocol) zajišťuje automatické přidělování síťových parametrů klientům. Umožní tak, aby zařízení při připojení k síti získalo adresu, masku, bránu a DNS bez ruční konfigurace.

Typický průběh komunikace probíhá v několika krocích, známých jako DORA:

• Discover - Klient pošle broadcast dotaz, zda je v síti DHCP server.
• Offer - Server nabídne volnou adresu z konfigurovaného poolu.
• Request - Klient požádá o přidělení konkrétní nabídky.
• Acknowledge - Server potvrzuje přidělení a pošle kompletní konfiguraci (IP, masku, gateway, DNS, lease time).

Adresa je přidělena na určitou dobu (Lease). Po vypršení lease si ji klient může obnovit (Renew), nebo získá novou. DHCP tak snižuje chybovost konfigurace, zjednodušuje správu a umožňuje flexibilní přidělování adres podle potřeby.

IPv6

Internet Protocol version 6 je nástupce IPv4, který řeší její hlavní problém, tedy nedostatek adres. Zatímco IPv4 nabízí přibližně 4 miliardy unikátních kombinací, IPv6 díky délce 128 bitů poskytuje prostor zhruba 3,4 × 10^38 adres, což je dostatečné pro prakticky neomezený počet zařízení.

IPv6 si zde uvádíme jen stručně. Začínáme u IPv4, protože její principy adresování, prefixů a směrování jsou intuitivnější a tvoří základ, na který IPv6 přímo navazuje.

IPv6 adresy se zapisují v hexadecimálním tvaru, rozdělené do osmi bloků po 16 bitech, oddělených dvojtečkou, například: 2001:0db8:85a3:0000:0000:8a2e:0370:7334.

Nuly se mohou zjednodušit:

• Přední nuly v blocích lze vynechat - 2001:db8:85a3:0:0:8a2e:370:7334.
• Jedna sekvence nulových bloků se může nahradit :: - 2001:db8:85a3::8a2e:370:7334

Stejně jako u IPv4 má adresa síťovou a hostitelskou část, jejich rozdělení určuje prefix (v běžné praxi se téměř vždy i podle konvence používá prefix /64, tedy prvních 64 bitů určuje síť a zbylých 64 bitů identifikuje zařízení v ní). Maska se zde většinou nezapisuje v podobě čtyř čísel, používá se pouze prefix za lomítkem.

V další lekci, Cisco Packet Tracer, si nainstalujeme Cisco Packet Tracer, software pro simulaci síťového nastavení, a představíme si jeho základní rozhraní.