Směrovače a přepínače

Role směrovačů a přepínačů v počítačových sítích

Směrovače (routery) a přepínače (switche) tvoří páteř moderních sítí. Přepínač propojuje koncová zařízení v rámci jedné lokální sítě (LAN) a pracuje převážně na 2. vrstvě OSI, zatímco směrovač propojuje různé sítě a rozhoduje o směrování paketů na 3. vrstvě OSI. Jejich správné pochopení – včetně toho, jak funguje učení adres, přeposílání, segmentace, redundance, bezpečnost a správa – je klíčem k návrhu rychlých, odolných a bezpečných sítí.

Referenční modely a datové jednotky

• Vrstva 2 (Linková, L2): rámce (Ethernet), MAC adresy, přepínače, VLAN, STP.
• Vrstva 3 (Síťová, L3): pakety (IP), směrování, ARP/ND, ICMP, routery.
• Vrstva 4 (Transportní, L4): TCP/UDP porty, QoS klasifikace a ACL mohou využívat L4 hlavičky.

Jak funguje L2 přepínač: učení, tabulka MAC a přeposílání

1. Učení (learning): Switch sleduje zdrojové MAC adresy příchozích rámců a mapuje je do MAC tabulky (MAC → port, VLAN).
2. Přeposílání (forwarding): Při známém cíli odešle rámec pouze na příslušný port (unicast). Při neznámém cíli provede flooding v dané VLAN (všechny porty kromě zdrojového).
3. Stárnutí záznamů: MAC záznamy expirují po timeoutu, aby se přizpůsobily změnám topologie.
4. Broadcast a multicast: Broadcast (např. ARP) je floodován; multicast lze optimalizovat IGMP snoopingem.

Fyzické a logické porty, VLAN a trunky

• Přístupový port (access) nese rámce jedné VLAN; rámce jsou na drátu neoznačené (untagged).
• Trunk port přenáší více VLAN s označením 802.1Q (tagged); volitelně definována native VLAN (untagged) – z bezpečnostních důvodů ji nepoužívat pro produkční data.
• VLAN logicky segmentuje broadcast domény; zmenšuje šum a zvyšuje bezpečnost/organizaci sítě.

Spanning Tree (STP): prevence smyček

• Problém smyček: broadcast storm a mnohonásobné kopie rámců při redundanci.
• STP/RSTP/MSTP: volí root bridge, blokuje nadbytečné porty a vytváří bezsmyčkovou stromovou strukturu. RSTP výrazně zrychluje konvergenci; MSTP umožňuje více instancí pro různé VLAN.
• Ochranné mechanismy: BPDU Guard (blokuje port při BPDUs na access portu), Root Guard (chrání roli rootu), Loop Guard, Storm Control.

Agregace linek a redundance na L2

• LACP (802.1AX): logické sloučení více fyzických linek do jednoho svazku (port-channel/EtherChannel) pro větší prostupnost a odolnost.
• Duální připojení: připojení přepínače k oběma distribučním prvkům; nutná správná STP/LACP politika.

Bezpečnost na přepínači

• Port Security: omezení počtu MAC na portu, sticky MAC, akce při porušení (shutdown/restrict).
• DHCP Snooping + Dynamic ARP Inspection: ochrana proti rogue DHCP/ARP spoofingu.
• Private VLAN: mikroseparace v rámci VLAN (isolation, community).
• 802.1X: ověřování zařízení před povolením přístupu (NAC).

L3 přepínače: směrování „na drátu“

L3 switche kombinují ASIC přeposílání s funkcemi routeru. Umožňují inter-VLAN routing (SVI – Switch Virtual Interface), statické i dynamické směrování (OSPF/IS-IS/EIGRP) a ACL/QoS na L3. Výhodou je line-rate propustnost a nízká latence uvnitř kampusu/DC.

Jak funguje router: rozhodování podle směrovací tabulky

1. Longest Prefix Match: router vybere z routing table záznam s nejdelším shodným prefixem cílové IP.
2. ARP/ND: pro výstupní next-hop v lokální síti zjistí L2 adresu (ARP pro IPv4, Neighbor Discovery pro IPv6).
3. Přeposílání: upraví L2 hlavičku, sníží TTL/Hop Limit, znovu vypočte kontrolní součet a odešle paket.

Statické a dynamické směrování

• Statické: jednoduché, predikovatelné; nevhodné pro větší/měnící se topologie.
• OSPF/IS-IS (link-state): rychlá konvergence, škálovatelnost, hierarchie oblastí.
• RIP (distance-vector): historický, dnes spíše pro malé/lab prostředí.
• BGP: směrování mezi autonomními systémy, politika, škálování v DC (EVPN). Klíčový protokol pro internet a overlay sítě.

NAT a překlad adres

• SNAT/PAT (masquerade): více interních IP sdílí jednu veřejnou – překlad zdrojové adresy/portu pro přístup do internetu.
• DNAT/port forwarding: mapování veřejné IP/portu na interní službu.
• NAT64/NPTv6: speciální varianty pro přechod/normalizaci v IPv6 prostředí.

Firewalling a ACL na routerech/přepínačích

• ACL (L2–L4): filtr zdroj/cíl/port/protokol, směr in/out; používat explicitní deny any log pro audit.
• Stavové firewally: sledují stav spojení (session table), chrání proti skenům a některým DoS vektorům.
• Zónová politika: rozdělení rozhraní do bezpečnostních zón a pravidla mezi nimi.

QoS: řízení kvality služeb

• Klasifikace a značení: DSCP/CoS, třídy provozu (hlas, video, data, background).
• Policing/Queuing/Shaping: omezení rychlosti, prioritní fronty (LLQ), vyhlazování.
• Trust boundary: kde přijímáme značky od koncových zařízení a kde je přepisujeme.

IPv6 specifika: SLAAC, RA a NDP

• SLAAC: hosté si generují adresu z prefixu inzerovaného routerem (Router Advertisements).
• NDP: ARP ekvivalent pro IPv6, zahrnuje DAD (detekci duplikátů) a sousedské vyhledávání.
• DHCPv6: doplňuje SLAAC o přidělení dalších parametrů (DNS apod.).

VRF, segmentace a overlay sítě

• VRF (Virtual Routing and Forwarding): více oddělených směrovacích tabulek na jednom routeru – logická separace tenantů.
• VXLAN: encapsulace L2 přes L3 (overlay); v DC často s EVPN jako control-plane.
• Micro-segmentation: jemnozrnná pravidla mezi workloady, často na úrovni hypervizoru/SR-IOV.

Hardwarová akcelerace, data-plane vs. control-plane

• ASIC: přeposílání na line-rate (TCAM pro ACL/QoS), nízká latence.
• Control-plane: běh protokolů (OSPF/BGP/IS-IS), management; chránit CoPP (Control-Plane Policing).
• Software routery: flexibilita, vhodné pro edge, SD-WAN; propustnost závislá na CPU/DPDK/acceleraci (SR-IOV/SmartNIC).

Redundance a vysoká dostupnost

• HSRP/VRRP/GLBP: virtuální gateway pro L2 segment – rychlý failover default route na přístupové vrstvě.
• ECMP: multipath směrování na L3 (více next-hopů se stejnou metrikou).
• Dual-homing: koncové switche k dvojici distribučních routerů/switchů s LACP/STP/MLAG.

Multicast v LAN/WAN

• IGMP Snooping: switch posílá multicast jen přihlášeným portům.
• PIM (Sparse/Dense): směrování multicastu na L3; RP (Rendezvous Point) pro Sparse mode.

Správa, telemetrie a automatizace

• SNMP/NETCONF/RESTCONF: inventarizace, konfigurace, monitoring.
• Syslog, NetFlow/IPFIX: události a toková telemetrie pro kapacitní plánování a detekci anomálií.
• Automatizace: šablony (Ansible), deklarativní konfigurace, intent-based řízení; CI/CD pro sítě.

Typický životní cyklus rámce/paketu (příklad)

1. Host A (VLAN 10) chce komunikovat s Hostem B (VLAN 20). Vytvoří IP paket a předá ho svému default gateway (SVI VLAN 10 na L3 switchi).
2. Switch pomocí ARP zná MAC gateway, odešle rámec; L3 switch paket routeuje do VLAN 20 (SVI), aplikuje ACL/QoS, sníží TTL.
3. Pro cíl v VLAN 20 provede L3 switch ARP na Host B, zapouzdří do rámce VLAN 20 a odešle jen na port s MAC B (unicast).

Výkon, latence a velikost MTU

• Line-rate vyžaduje dostatek backplane kapacity, bufferů a kvalitní QoS pro zamezení ztrát.
• Jumbo frames (např. 9000 B) zvyšují efektivitu pro storage/virtualizaci; nutná end-to-end konzistence MTU.

Nejčastější provozní chyby a prevence

• Nesprávná native VLAN na trunku → VLAN hopping/nekonzistence. Doporučení: nepoužívat nativní přenos produkčních dat, native změnit z defaultu a omezit VLANy na trunku (prune).
• Chybějící STP ochrany na access portech → riziko smyček. Aktivujte BPDU Guard/PortFast.
• Rogue DHCP/ARP poisoning → zapněte DHCP Snooping a DAI.
• Nekonzistentní MTU/QoS → fragmentace/ztráty; sjednoťte profily na celé trase.

Check-list návrhu podnikové sítě

• Definujte VLAN a IP plán, VRF/segregaci tenantů a výchozí bezpečnostní politiku.
• Navrhněte L3 jádro s ECMP, L2 přístup s redundantní topologií a STP ochranami.
• Implementujte HSRP/VRRP pro gateway, LACP pro uplinky, ACL a QoS na hranách.
• Zapněte IGMP snooping, logování (syslog), tokovou telemetrii a CoPP.
• Zaveďte automatizaci konfigurací a verziování (Git), standardy a audit změn.

Závěr

Přepínače poskytují rychlou a segmentovanou L2 konektivitu, routery zajišťují L3 propojení sítí, politiku a kontrolu toku. V moderních infrastrukturách se jejich role prolínají (L3 switche, SDN/EVPN/VXLAN), avšak principy zůstávají: správná segmentace, bezsmyčková redundance, deterministické směrování, bezpečnost na každé vrstvě a pozorovatelnost přes telemetrii. Důsledná aplikace těchto zásad vede k síti, která je rychlá, stabilní, bezpečná a snadno spravovatelná.