Diagnostika problémů v síti

Diagnostika a řešení problémů v síti jako klíčová disciplína

Diagnostika a troubleshooting sítí je kombinací metodického přístupu, dobrého pochopení protokolů a pevných provozních procesů. V prostředích s routery a switchemi je cílem rychle identifikovat, izolovat a odstranit příčinu incidentu tak, aby bylo minimalizováno SLA porušení a dopad na uživatele. Tento článek shrnuje ověřené postupy, nástroje, typické symptomy i rozhodovací stromy pro efektivní řešení problémů od fyzické vrstvy až po aplikační.

Metodika: od symptomu k příčině

• Definuj problém: kdo je dotčen, co přesně nefunguje, kdy to začalo, jak často se to opakuje.
• Vymez rozsah: lokalita, VLAN, subnet, konkrétní cesta, aplikace; stanov, zda jde o degradaci (latence, jitter, ztráty) nebo úplný výpadek.
• Hypotéza a měření: navrhni jednu či několik hypotéz a pro každou určuj měřitelný test (latence mezi dvěma body, tabulky směrování, STP topologie, ARP sousedé).
• Izolace: binary search podél cesty datového toku (client → access switch → distribution → core → WAN → server).
• Náprava a ověření: aplikuj fix (konfigurace, reload služby, náhradní kabel), okamžitě ověř dopad a monitoruj regrese.
• RCA a prevence: root cause analysis, postmortem, aktualizace runbooku a kontrolních checklistů.

OSI perspektiva: strukturované hledání příčiny

• L1 – Fyzická vrstva: kabeláž, optika (útlum, výkon), SFP typy, duplex/rychlost, PoE, napájení, teplota.
• L2 – Linková: STP/RSTP/MSTP, VLAN, trunky, MAC tabulky, LACP, port-security, storm-control.
• L3 – Síťová: ARP/ND, routing (statický, OSPF, BGP, EIGRP), VRF, PBR, ICMP filtrování, MTU/MSS.
• L4 – Transport: TCP retransmise, windowing, congestion control, UDP ztráty.
• L7 – Aplikace: DNS, DHCP, HTTP(S), autentizace (RADIUS/TACACS+), proxy, certificate pinning, specifika aplikací.

Klíčové metriky: jak poznat, že je síť „zdravá“

• Dostupnost (SLA), latence (RTT), jitter, packet loss.
• Utilizace linek/CPU, buffer occupancy, drop counters (tail drops, WRED).
• Chybovost na portech (CRC, runts/giants, input/output errors, FCS), flapping události.

Diagnostické nástroje v praxi

• ping: reachability, RTT, ztráty; kombinuj s rozlišením MTU pomocí DF flagu a velikosti payloadu.
• traceroute/mtr: cesta paketů a místa ztrát/latencí; pozor na asymetrii a ICMP rate-limiting.
• arp/nd: mapování IP na MAC, detekce konfliktů a rogue zařízení.
• show interface / show logging: counters, duplex/speed, err-disable důvody, syslog události.
• show mac address-table / show fdb: smyčky, flooding, chybné segmentace.
• show spanning-tree: role root bridge, port states, topology changes, misconfig MST instance.
• show ip route / show bgp / show ospf: reachability, preferované cesty, flapping, neighborship stavy.
• tcpdump/pcap na endpoints nebo SPAN/monitor port pro detailní analýzu (Wireshark).
• SNMP/sFlow/NetFlow/IPFIX: dlouhodobé trendy, top talkers, anomálie, DDoS vzory.
• Telemetry/Streaming: gNMI, model-driven telemetry pro nízkolatenční monitoring a alerting.

Fyzická vrstva: optika, měď a napájení

• Kabeláž: vizuální kontrola, testery (TDR), správné krimpování, délky a kategorie.
• Optika: kompatibilita SFP/SFP+, power budget, DOM hodnoty (Tx/Rx), typ vlákna (SM/MM), konektory (LC/SC), čistota ferulí.
• Duplex/rychlost: mismatch způsobuje FCS/CRC chyby a performance drop; preferuj autonegotiation v souladu s best practices.
• PoE: rozpočet na switchi, class typy, přepětí/podpětí, přehřátí; měř odběr a sleduj logy poe-controlleru.
• Napájení a prostředí: redundantní PSU, UPS, monitoring teplot, fan status, prach, vibrace.

Linková vrstva: VLAN, STP a agregace

• VLAN/Trunky: zkontroluj allowed VLAN listy, native VLAN, tagging (802.1Q), konzistenci mezi switchemi.
• STP/RSTP/MSTP: správně zvolený root bridge, BPDU guard/filter, loop guard; řeš topology changes a nechtěné rohy.
• LACP/port-channel: rate (fast/slow), LACPDU výměna, hashing (src/dst IP/MAC/port), nesoulad parametrů.
• Port-security a storm-control: zamezení CAM overflow a broadcast stormům; sleduj err-disable události.

Směrování: OSPF a BGP problémy

• OSPF: area typy (backbone, stub, NSSA), MTU match, Hello/Dead timers, DR/BDR volba, LSA flapping, costy.
• BGP: session stavy (Idle → Established), TCP 179 reachability, as-path/med/local-pref, route filtering, damping, časové fluktuace i kvůli špatnému keepalive/holdtime.
• Asymetrie: PBR, multiple exits, NAT; kontroluj návratovou cestu a ACL/Firewall pravidla.
• VRF: oddělení routing tables, leakage, import/export route-targetů (u MPLS/VXLAN EVPN).

Adresace, ARP/ND a MTU

• ARP (IPv4) / ND (IPv6): stale entries, ARP flux, gratuitous ARP; zvaž dynamické timeouts a kontrolu duplicity adres.
• MTU/MSS: blackholing u ICMP blocked cest; testuj pomocí DF a postupného zvyšování payloadu; nastav MSS clamping na WAN hranicích.
• Subnetting a gateway: špatná maska, chybějící default route, více DHCP serverů ve stejné VLAN.

DNS a DHCP: malé služby, velké dopady

• DNS: rozlišení vs. reachability; měř rekurzi, TTL, NXDOMAIN, split-horizon, DNSSEC validaci; sleduj latenci dotazů.
• DHCP: vyčerpání poolů, konflikt serverů, opce (router, DNS, MTU), relay (giaddr), rate-limit DISCOVER stormů.

Bezpečnostní incidenty a ochranné mechanizmy

• DDoS/volumetrie: NetFlow/sFlow pro detekci, RTBH, uRPF, policery a QoS shaping na hranicích.
• L2 útoky: ARP spoofing (dynamic ARP inspection), rogue DHCP (DHCP snooping), BPDU útoky (BPDU guard), MAC flooding (port-security).
• Control-Plane Protection: CoPP/CPPr pro limitaci management a routovacích protokolů; omez přístup ACL a management VRF.
• AAA: RADIUS/TACACS+ redundance, fallback mechanizmus, role-based přístupy a audit logy.

QoS: když problém není výpadek, ale kvalita

• Klasifikace a značkování (DSCP/CoS), policery, queueing (PQ, CBWFQ), LLQ pro real-time.
• Buffer tuning: tail drop vs. AQM (WRED), shaping vs. policing; ověř mapování mezi L2 a L3 značkami.
• End-to-end konzistence: politika musí být konzistentní napříč hops; jinak se priority ztratí.

Wi-Fi a bezdrát: specifika diagnostiky

• RF prostředí: rušení, kanály, šířka pásma, SNR, roaming prahy; měř spektrální analýzou a site-survey.
• Klientské problémy: ovladače, power save režimy, sticky clients, podpora standardů (802.11k/v/r).
• Backhaul: CAPWAP tunely, MTU, kontrola datových a řídicích toků.

NAT a firewally

• State tables: vyčerpání, timeouts, asymetrie; sleduj translate statistiky a chybové stavy.
• Port forwarding a ALG: VoIP/SIP, FTP, hry; často vyžadují specifické výjimky.
• Pravidla ACL: shadowing, implicit deny, pořadí pravidel, logování hitů.

Rozhodovací strom pro rychlý troubleshooting

1. Nefunguje ping na gateway? Zkontroluj L1 (link), VLAN tagging, ARP tabulku, err-disable, port-security.
2. Ping na gateway funguje, ale ne dál? Sleduj routing (default route, VRF), ACL na SVI, u WAN MTU/MSS.
3. Traceroute ukazuje skok s velkou latencí/ztrátou? Ověř využití, queue drops, policery, CPU na konkrétním hopu.
4. Funguje ICMP, ale aplikace ne? DNS rozlišení, TCP retransmise (pcap), firewall policy, TLS/Cert problémy.

Logování, telemetrie a observabilita

• Syslog centralizovaný s korelací časů (NTP), strukturované parsování (CEF/JSON), alerting na patternech.
• SNMP polling a traps pro port flaps, teploty, PSU; NetFlow/IPFIX pro traffic forenziku.
• Model-driven telemetry (gNMI/gRPC) pro near-real-time metriky a méně overheadu než SNMP.

Čas a synchronizace: nenápadný zdroj problémů

• NTP/PTP: drift mezi zařízeními narušuje korelaci logů a bezpečnostní mechanizmy; validuj stratum a reachability.
• Timezone a DST: nekonzistence v reportech a SLA měření; vyžaduj UTC v logách, lokální čas jen pro prezentaci.

Automatizace a bezpečná změna konfigurací

• Change management: plán okna, plán návratu, peer review, schválení, měřitelné akceptační testy.
• Konfigurační management: verze, diff, golden config, šablony; zálohy před každou změnou.
• Automatizace: deklarativní nástroje (Ansible, Nornir, Terraform pro síť), „dry-run“ a per-device health checks po aplikaci změn.

Postmortem, RCA a znalostní báze

• RCA: 5 Whys, Ishikawa; shromáždi důkazy (pcap, logy, show výstupy, diagram cesty).
• Akční položky: prevence opakování (monitoring pravidel, validace konfigurací, runbook update).
• Runbooky: krok-za-krokem návody pro opakované incidenty (např. „BGP session down“, „VLAN leak“).

Checklist: rychlé ověření při incidentu

• Synchronizace času (NTP) a konzistence časových razítek v logách.
• Port link up, errors counters, duplex/speed, PoE stav.
• VLAN membership, trunk allowed list, STP stav a root bridge.
• ARP/ND tabulky, default gateway, routovací tabulka a sousedství (OSPF/BGP).
• MTU/MSS test, ICMP reachability, traceroute anomálie.
• ACL a firewall logy, NAT translations, state table kapacita.
• DNS/DHCP funkčnost, pool vyčerpání, latence dotazů.
• Utilizace linek a CPU, drop counters, fronty QoS.

Typické pasti a jak se jim vyhnout

• Asymetrický routing rozbíjí stateful firewally a troubleshooting; vizualizuj obě cesty.
• ICMP blokování komplikuje diagnostiku MTU; povol kontrolované ICMP pro PMTUD a health-checky.
• Nekonzistentní QoS mezi zařízeními; sjednoť DSCP mapování a profilech linek.
• Chybějící baseline: bez referenčních hodnot nepoznáš degradaci – pravidelně měř a ukládej.
• Neaktuální dokumentace topologie a IP plánů; automaticky generuj diagramy z dat (NetBox, API).

Závěr

Úspěšná diagnostika sítě spočívá v disciplíně, měření a konzistentních procesech. Kombinace strukturovaného postupu podle OSI, kvalitní observability (telemetrie, logy, flow data), promyšlené automatizace a pravidelných postmortemů minimalizuje mean time to repair a zvyšuje odolnost sítě. Investice do prevence – správná segmentace, standardizované konfigurace, bezpečnostní ochrany a pečlivý change management – je vždy levnější než hašení incidentů v produkci.