ISO/OSI a TCP/IP: mapa sítě

Zařízení od různých výrobců si rozumějí

Vítej v kurzu o ISO/OSI. V prvním kurzu jsi viděl, jak data cestují. Teď tomu dáme systém a jména. Začneme otázkou: jak je možné, že router od jednoho výrobce, PC od druhého a telefon od třetího spolu bez problémů mluví? Protože se všichni drží stejných pravidel – protokolů – a práci rozdělili do vrstev, kde každá řeší jeden úkol. Tomu se říká vrstvový model. Dva nejdůležitější jsou ISO/OSI (7 vrstev, mapa pro pochopení) a TCP/IP (4 vrstvy, na kterých internet reálně běží). Celý tenhle kurz si projdeme zdola nahoru.

Vrstvový model: každá část řeší jeden úkol

Doma máš router od jednoho výrobce, PC od druhého a telefon od třetího – a všechna tato zařízení si bez problémů rozumějí. Jak je to možné? Dohodla se na společných pravidlech (říká se jim protokol) a rozdělila práci do vrstev – každá vrstva má jeden úkol a předává výsledek vrstvě nad sebou a pod sebou. Stejně funguje pošta: ty napíšeš dopis, zabalíš ho do obálky s adresou, předáš ho poště a ta využije dopravu (auta, letadla). Každý článek řeší jen svůj kousek a mluví jen se sousedem. To je smysl vrstev: každá část řeší jen svůj úkol. Tvůj prohlížeč nemusí vědět, jestli jedeš po Wi-Fi nebo kabelu – to řeší nižší vrstva.

OSI a TCP/IP: dvě mapy jedné sítě

Model ISO/OSI je společná mapa sítě. Sestavila ho ISO – mezinárodní organizace pro normalizaci – jako společnou domluvu, aby si zařízení od různých výrobců rozuměla a aby se chyby daly hledat po vrstvách (podle autora se mu říká ISO/OSI). Rozkládá komunikaci do 7 pojmenovaných vrstev, od fyzického signálu (1) až po aplikaci, kterou vidíš ty (7). S věcmi, které do některých vrstev patří (MAC adresy, IP, kabely i Wi-Fi), ses už potkal v prvním kurzu – teď jim dáme jména a zařadíme je. Klikni na kteroukoli vrstvu a ukáže se příklad. V praxi se navíc používá zjednodušený model TCP/IP se 4 vrstvami; ISO/OSI je ale lepší mapa pro pochopení. Proč dva modely? TCP/IP běžel v praxi dřív (ARPANET, 70. léta); OSI přišla jako pozdější standard, ale internet už jel na TCP/IP – proto se nikdy nesloučily a OSI dnes slouží hlavně jako výukový a diagnostický rámec.

Na každé vrstvě se balík dat jmenuje jinak:

Co řeší L1: signál, médium, bity

Z prvního kurzu už víš, že data jsou na nejnižší úrovni jen bity – jedničky a nuly. Tady je na řadě vrstva 1 – fyzická: má jediný úkol, dostat bit z jednoho místa na druhé jako fyzický signál po nějakém médiu. Měď ho nese jako napětí (vysoké = 1, nízké = 0), optika jako světlo (záblesk = 1, tma = 0) a Wi-Fi jako rádiovou vlnu (vysílá = 1, ticho = 0). L1 vůbec neřeší, co bity znamenají ani komu patří – jen je „protlačí“ po drátu, vlákně nebo vzduchem. Zkus si dole přepnout bity – uvidíš, jak se stejná data zakódují do tří různých signálů.

Rušení: když do signálu mluví šum

Žádné médium není dokonalé. Do signálu se cestou přimíchá šum – rušení od motorů, mikrovlnky, jiných vysílaček nebo přeslech ze sousedního kabelu. Dokud je signálu výrazně víc než šumu, přijímač pozná 1 od 0 bez problému. Když ale rušení zesílí, signál se rozkmitá a přijímač může špatně přečíst bit – z 1 se stane 0 nebo naopak. Tak vznikají chyby přenosu. Proto každý přenesený blok dat obsahuje kontrolní součet: vysílač spočítá z bitů rámce kontrolní číslo (typicky CRC) a přidá ho na konec; příjemce spočítá totéž a porovná – neshoda znamená poškozeno, takový rámec se zahodí. O nové poslání se pak postará až vyšší vrstva (typicky TCP). A proto se do rušivého prostředí tahá stíněná kabeláž (STP) a Wi-Fi v zarušeném pásmu zlobí. Posuvníkem dole si rušení přidej a sleduj, jak se přijatý signál i bity kazí.

Šířka pásma, propustnost, latence

U L1 se pojí tři pojmy, které lidé pletou. Šířka pásma je kapacita linky – kolik bitů by médium uneslo za sekundu (Mbps/Gbps), jako šířka dálnice. Propustnost je, kolik dat reálně proteče – často míň než šířka pásma (zácpa, režie, slabý signál). Latence je něco úplně jiného: zpoždění, jak dlouho trvá, než data doletí a vrátí se – jako čas cesty, ne počet pruhů. Rychlé připojení může mít velkou šířku pásma, ale špatná latence (třeba přes satelit) hru nebo hovor stejně zkazí.

Co řeší L2: rámec a lokální doručení

Vrstva 2 – linková řeší doručení uvnitř jedné místní sítě. Zabalí data do rámce: dopředu dá cílovou a zdrojovou MAC adresu a na konec kontrolní součet (FCS), kterým příjemce pozná, jestli se rámec cestou nepoškodil. L2 nepřemýšlí o tom, jak se dostat do jiné sítě – to je úkol L3. Stará se jen o jeden „hop“: od zařízení k zařízení (nebo k bráně) v rámci téže sítě, podle MAC. Typická zařízení L2 jsou switch a access point.

Hub: posílá všem, proč to nestačí

Nejstarší prvek pro propojení stanic je hub – a pozor, pracuje jen na L1 (slepě opakuje elektrický signál na všechny porty – rámec, který ten signál nese, vůbec nečte). Je vyloženě „hloupý“: ať pošleš cokoli, rozešle to úplně všem. Když mu přijde rámec, zkopíruje ho na všechny porty (kromě toho, odkud přišel) – nemá paměť, neučí se, kdo kde je. Důležité: hub sám nic nerozhoduje. Rozhodnutí „je to pro mě?“ dělá až koncová stanice – její síťová karta se kouká na cílovou MAC, svůj rámec si nechá a cizí zahodí. Jenže cizí rámec jí stejně dorazil, takže ho někdo zvědavý může přečíst (odposlech) – velká bezpečnostní slabina. Navíc všichni sdílejí jedno médium a snadno se „přeřvávají“ (kolize). Dnes se hub už prakticky nepoužívá – nahradil ho chytřejší switch (hned vedle).

Switch a MAC tabulka

Switch je chytrý nástupce hubu. Učí se: u každého rámce si do MAC tabulky zapíše zdrojovou MAC adresu a port, odkud rámec přišel. Příště pak rámec pošle jen na ten správný port, ne všem. Tím šetří pásmo, omezí odposlech a každý port je vlastní kolizní doména. Když cíl ještě nezná, zachová se jako hub a rámec rozešle (flood) – ale jen jednou, pak už si ho zapamatuje. Záznam v tabulce má časovač (typicky ~300 s) a bez provozu vyprší; když zařízení přepojíš na jiný port, switch se přeučí při prvním rámci odtud (detailně v kurzu Switch do hloubky). Switch pracuje na L2: rozumí MAC, ne IP – mezi různé sítě tě nepřenese, na to je router (L3).

WAP: bezdrátový přístupový bod na L2

Access point (AP, někdy WAP) je vlastně switch pro vzduch. Pracuje na L2: bezdrátová zařízení přijme přes Wi-Fi a přemostí je na drátovou síť, do které je sám zapojený kabelem. Z pohledu sítě se bezdrátový klient chová, jako by byl připojený kabelem do switche – dostane adresu ze stejné sítě, na kterou je SSID namapované. AP nerozhoduje o IP ani neroutuje – to dělá router. Doma bývá AP součástí all-in-one routeru; ve firmě je to samostatné zařízení – nejspíš jsi ho viděl jako bílý kotouč přišroubovaný na stropě v kanceláři nebo ve škole.

Co řeší L3: směrování mezi sítěmi

L1 přenese signál, L2 doručí rámec v jedné síti. Ale jak se data dostanou do jiné sítě? To je úkol vrstvy 3 – síťové. L3 pracuje s IP adresami a umí směrovat (routovat): podle cílové IP rozhodne, kterým směrem paket poslat dál. Klíčový rozdíl: L2 řeší jeden hop uvnitř sítě (MAC), L3 řeší cestu napříč mnoha sítěmi (IP). Zařízení, které tohle dělá, je router (a jeho příbuzný L3 switch). Bez L3 by každá místní síť byla ostrov – internet je vlastně obří skládačka L3 routování.

Router a routovací tabulka

Router je hlavní L3 zařízení. Pro každý paket se podívá na cílovou IP a ve své směrovací (routovací) tabulce – seznamu „cílová síť → kudy ven“ – najde, kterým rozhraním ho poslat blíž k cíli. Každý průchod routerem je jeden hop (skok). Aby paket nebloudil sítí donekonečna, nese si TTL (Time To Live) – počítadlo hopů: každý router ho sníží o 1, a když dojde na nulu, paket se zahodí. Projdi si to rozhodování krok za krokem.

NAT v praxi: jedna adresa pro celou síť

V prvním kurzu (Jak fungují sítě) jsi viděl, že router vymění tvou privátní adresu za svou jedinou veřejnou (to je NAT). Ale jak pak pozná, komu patří odpověď, když se za tu jednu veřejnou IP schová celá domácnost? Pomůže si čísly portů a překladovou tabulkou. Téhle běžné variantě (NAT podle portů) se říká PAT – a právě díky ní stačí celé síti jediná veřejná adresa. Nepleť si NAT tabulku s connection table stavového firewallu: NAT tabulka adresy a porty překládá, connection table jen povoluje návratový provoz vyžádaný zevnitř. Router s NAT přitom bývá zároveň stateful firewall, proto obě funkce často splývají. Projdi si cestu paketu tam i zpět.

L3 switch: když switch umí routovat

Co když chceš rychlost switche a zároveň umět posílat data mezi různými sítěmi (VLANami), a to vše v jedné krabici? To je L3 switch: umí obojí. Uvnitř jedné sítě (VLAN – logicky oddělená síť na jednom switchi) se chová jako bleskově rychlý L2 switch; mezi VLANami routuje jako router. Ve firmách je to páteřní prvek – místo kupy kabelů k jednomu routeru se routing mezi VLAN udělá přímo na switchi. Rozdíl od běžného routeru: L3 switch je optimalizovaný na vysokou rychlost uvnitř firmy, router zase na připojení k internetu (NAT, WAN). V praxi se ale jejich role čím dál víc překrývají. (VLANy detailně v kurzu Switching a VLANy.)

Bity a čísla: jak z 8 bitů vznikne 0–255

Než síť rozdělíme na menší podsítě, musíme rozumět tomu, z čeho se IP adresa skládá. Pod kapotou je totiž jen bity (0 a 1). Jak z osmi jedniček a nul vznikne číslo jako 192? Adresa se zobrazuje po oktetech (skupinách 8 bitů), třeba 192.168.1.10. Každý bit v oktetu má pevnou váhu – zleva 128, 64, 32, 16, 8, 4, 2, 1. Číslo je pak prostý součet vah těch bitů, kde je 1. Projdi si to krok za krokem (‹ / ›) – v dalším modulu na tom postavíme dělení sítě.

Subnetting: jak rozdělit síť

V téhle lekci jsi viděl, jak router směruje provoz mezi sítěmi podle IP. Teď se podíváme, jak takovou síť rozdělíš na menší části. Proč síť dělit na menší podsítě? Aby se oddělily skupiny zařízení (oddělení, hosté, servery), zmenšil se broadcast provoz a šlo to líp spravovat i zabezpečit. A nástrojem k tomu je, jak se adresa dělí na síť a hosta. Pamatuješ poštovní adresu z prvního kurzu? Každá IP adresa se skládá ze dvou částí: SÍŤ (jako město – společná pro celou skupinu zařízení) a HOST (jako číslo domu – konkrétní zařízení v té síti). Jak se ale pozná, kde jedna část končí a druhá začíná? K tomu slouží prefix (píše se třeba /24). To není další část adresy – je to jen značka, kolik prvních bitů patří síti (a číst adresu po bitech už umíš z minulé stránky); celý zbytek pak patří hostům. Úplně totéž, jen jinak zapsané, je maska (např. /24 = 255.255.255.0). Dvě adresy se přitom nikdy nepřidělují zařízení: první je jméno celé sítě a poslední je broadcast – jediná zpráva „pro všechny v této síti“ naráz. Posouvej prefix a měň IP a sleduj, jak se mění adresa sítě, broadcast i počet zařízení, která se do sítě vejdou.

Co řeší L4: end-to-end doručení

L3 doručí paket na správné zařízení. Jenže na tom cílovém zařízení běží spousta aplikací naráz – komu z nich paket patří? To řeší vrstva 4 – transportní. Stará se o doručení od aplikace k aplikaci (end-to-end) a rozlišuje je porty. Děje se to při všem, co děláš online – ať prohlížíš web, stahuješ soubor, voláš přes video, píšeš zprávy nebo posíláš e-mail. Má dvě hlavní varianty: TCP (spolehlivé, s navázáním spojení a potvrzováním) a UDP (rychlé, bez záruky). Zatímco L3 řeší cestu mezi zařízeními, L4 řeší konverzaci mezi dvěma konkrétními aplikacemi na koncích. V dalších dvou modulech si TCP a UDP rozebereme do hloubky.

TCP do hloubky: handshake a potvrzování

Porty i TCP/UDP jsi v základu potkal v kurzu Jak fungují sítě – tady jdeme do hloubky. Zařízení má jednu IP, ale běží na něm spousta věcí naráz – prohlížeč, e-mail, hra. K jejich rozlišení slouží port: číslo služby (jako číslo bytu v domě). Server na svém portu naslouchá – má pevné, předem známé číslo (web = 443, e-mail…). Klient si pro svůj konec vezme libovolný volný port, který mu systém zrovna přidělí; díky tomu se odpověď vrátí přesně jemu. Druhá věc je spolehlivost – a tady jsou dvě možnosti. TCP je jako doporučený dopis: nejdřív se domluví (třícestný handshake) a ztracené pošle znovu. UDP je pohlednice: jen vystřelí data a nečeká na potvrzení – rychlé, ale bez záruky. Aplikace si jednu z nich záměrně zvolí podle toho, co potřebuje (není to náhoda ani střídání). Přepínačem TCP/UDP si níže oba způsoby porovnej krok za krokem (‹ / ›).

Běžné porty: web HTTPS 443, starší web HTTP 80, DNS 53, SSH 22.

UDP: kdy rychlost poráží spolehlivost

UDP je opak TCP: žádné navazování spojení, žádné potvrzování, žádné seřazování. Prostě pošle paket a jede dál – když se po cestě ztratí, nic se neopakuje. Zní to hůř, ale pro spoustu věcí je to lepší: u živého hovoru, videa nebo hry nemá smysl opakovat data, která už dávno měla dorazit – zpoždění by vadilo víc než výpadek jednoho snímku. UDP je proto rychlý a bez režie. Používá ho i DNS (krátký dotaz a odpověď). Podle čeho se vývojář aplikace rozhodne? Potřebuje-li jistotu, zvolí TCP; potřebuje-li rychlost a aktuálnost, zvolí UDP.

L5 relační: navázat a udržet spojení

Hned nad transportní vrstvou je vrstva 5 – relační. Má na starosti relaci – souvislou „konverzaci“ mezi dvěma aplikacemi. Řeší tři věci: spojení naváže (obě strany se domluví, že spolu mluví), pak ho udržuje po celou dobu výměny dat (hlídá návaznost a pořadí) a na konci ho korektně ukončí. Nejlíp si to představíš jako telefonát: vytočíš a druhý zvedne, chvíli mluvíte a pak zavěsíte. V praxi sem patří třeba tvoje přihlášení, které „drží”, dokud se neodhlásíš, nebo obnovení přerušeného stahování z místa, kde přestalo. Na rozdíl od jednorázového TCP handshake (transportní dohody o jednom spojení) je relace aplikační konverzace, která může přežít i víc TCP spojení – přihlášení běží klidně přes desítky samostatných requestů. V modelu TCP/IP nemá relační vrstva vlastní místo – řeší to sama aplikace (třeba webová stránka spravuje tvoji přihlašovací relaci).

L6 prezentační: forma dat (kódování, šifrování)

Vrstva 6 – prezentační řeší formu dat – aby jim obě strany rozuměly stejně. Dělá tři věci. Kódování: převede písmenka na bajty (skupinky po 8 bitech – těch jedniček a nul z první lekce) a zpátky, aby „á“ nebo emoji vypadaly všude stejně – tomuhle pravidlu se říká třeba UTF-8 (dohoda, jaké číslo odpovídá kterému znaku). Komprese: data zmenší, aby zabrala míň místa a rychleji se přenesla (zip, obrázkové a video kodeky). Šifrování: obsah zamkne, takže ho po cestě přečtou jen oba konce – přesně tohle dělá TLS, ten „zámeček“ v prohlížeči, který už znáš z prvního kurzu. V modelu TCP/IP nemá ani prezentační vrstva vlastní místo – stará se o to sama aplikace (prohlížeč si zvolí kódování i naváže TLS).

TCP/IP model: 4 vrstvy v praxi

ISO/OSI má 7 vrstev a je to skvělá mapa pro pochopení, jak síť funguje. Internet ale reálně běží na jednodušším modelu TCP/IP, který má jen 4 vrstvy – některé OSI vrstvy sloučí. Aplikační (sloučí OSI 5–7: aplikace, formát, relace) → Transportní (= OSI 4: TCP/UDP) → Internetová (= OSI 3: IP, routování) → Síťový přístup (sloučí OSI 1–2: rámec + signál). Proč znát obě? OSI je lepší na učení a hledání chyb („na které vrstvě to vázne?“), TCP/IP popisuje, jak to opravdu je. Když uslyšíš „L3 problém“ nebo „aplikační vrstva“, teď víš, co tím kdo myslí.

Aplikační vrstva: kde sedí DNS, HTTP, TLS

Úplně nahoře je aplikační vrstva – to, co řeší samotná aplikace, kterou používáš (prohlížeč, e-mail). Tady „bydlí“ protokoly, které už znáš z kurzu Jak fungují sítě: DNS (překlad jmen), HTTP/HTTPS (web), TLS (šifrování), DHCP (přidělení adresy). V modelu TCP/IP sem spadá všechno z OSI vrstev 5–7 najednou. Důležité: aplikační vrstva nemusí řešit, jestli jedeš po Wi-Fi nebo kabelu, jakou máš IP nebo jak se navazuje TCP – to za ni odpracovaly nižší vrstvy. Proto může vývojář webu psát aplikaci a vůbec neřešit, kudy data fyzicky tečou.

Jak číst dokumentaci a certifikace

Proč vůbec vrstvy znát? Protože je uvidíš úplně všude. Dokumentace prvků, manuály, inzeráty na práci i certifikace (CompTIA Network+, Cisco CCNA…) jsou postavené na vrstvách. Když čteš „L3 zařízení“, „funguje na vrstvě 2“ nebo „L7 firewall“, hned víš, o čem to je: L2 = MAC/switch/VLAN, L3 = IP/router/směrování/NAT, L4 = TCP/port/PAT, L7 = aplikace/HTTP/TLS. Vrstvy jsou společný jazyk celého oboru: „na které vrstvě to vázne?“ je první otázka při hledání chyby a „na jaké vrstvě to pracuje?“ první otázka u každého zařízení. Tenhle kurz ti dal přesně tuhle mapu.

Proč firewall nepatří do jedné vrstvy

Firewall je bezpečnostní brána mezi sítěmi – propustí jen povolený provoz a zbytek zablokuje. Některá zařízení přitom nesedí do jediné vrstvy a firewall je jejich vlajková loď: rozhoduje totiž podle informací z více vrstev najednou. Umí filtrovat podle L3 (zdrojová/cílová IP), podle L4 (port a protokol – „povol 443, zakaž 23“), a ty pokročilejší i podle L7 (samotného obsahu – „zablokuj tenhle útok v HTTP“). Proto nemá smysl ptát se „na jaké vrstvě firewall je“ – záleží, co zrovna dělá. To je i důvod, proč jsme firewall nechali až sem, na konec vrstev: teď, když znáš L3, L4 i L7, dává jeho chování smysl. V dalších dvou modulech si ukážeme, jak vlastně rozhoduje.

Packet filter a stavový firewall

Firewall pouští jen to, co má, a zbytek – nevyžádaný nebo nebezpečný provoz zvenčí – blokuje. Jak se ale rozhoduje? Nejjednodušší je packet filter: každý paket posoudí samostatně podle pravidel (zdroj, cíl, protokol, port). Funguje, ale neví nic o souvislostech – odpověď na tvůj požadavek je pro něj cizí paket zvenčí. Proto se používá stavový firewall: pamatuje si navázaná spojení. Jeho connection table návrat jen povoluje – narozdíl od NAT tabulky (Lekce L3), která adresy a porty navíc překládá. Projdi si, jak to dělá. V simulátoru je návratový provoz stavový taky.

Zóny: inside, outside, DMZ

Aby se pravidla nepsala pro každý kabel zvlášť, firewall sdružuje rozhraní do zón podle úrovně důvěry. Tři klasické: inside (tvoje vnitřní síť – důvěřuješ jí), outside (internet – nedůvěřuješ mu) a DMZ (demilitarizovaná zóna – sem dáš veřejné servery, třeba web). (V praxi jich bývá víc – detailně v kurzu Zabezpečení sítě.) Logika je jednoduchá: z internetu se smí jen do DMZ a jen na povolené porty (443); do inside zvenčí nikdo. A klíčové: i kdyby útočník napadl server v DMZ, do vnitřní sítě se odtud nedostane – DMZ je nárazník. Přesně tohle si vyzkoušíš v úloze „Vystav web, ochraň interní síť“. Zóny jsou tak praktickým vyústěním všeho, co kurz učil: vrstvy, adresy, porty a důvěra dohromady.

Každá vrstva přidá svoji hlavičku

Teď víš, co dělá každá vrstva. Poslední otázka: jak vrstvy spolupracují na jednom odeslaném kousku dat? Odpovědí je enkapsulace – „zabalování“. Když něco posíláš, data jdou dolů zásobníkem a každá vrstva kolem nich obalí svou hlavičku: transportní přidá porty (vznikne segment), síťová IP adresy (paket), linková MAC a kontrolní součet (rámec), fyzická to pošle jako bity. Je to jako obálka v obálce. U příjemce se to celé odbalí v opačném pořadí – každá vrstva přečte a odloupne svou hlavičku a předá zbytek výš. V dalším modulu si to projdeš jako animaci u odesílatele i příjemce.

Animace zásobníku: odesílatel a příjemce

Velké finále – teď to spojíme dohromady. Zpráva „ahoj“ sjede všemi 7 vrstvami dolů a každá k ní přilepí svou hlavičku (jako obálka v obálce). Dole se vše scvrkne na bity, přeletí médiem k příjemci a pak stoupá zpět nahoru – každá vrstva svou hlavičku přečte a odloupne, až zbude čistá zpráva. To je enkapsulace. (Cestou router odloupne rámec až na vrstvu 3, přečte cílovou IP a pro další skok vyrobí nový rámec – horní vrstvy zůstanou nedotčené.) Sleduj i měnící se název jednotky vpravo (data → segment → paket → rámec → bity).

A tím máš celý kurz o ISO/OSI za sebou. Umíš číst síť po vrstvách: víš, co řeší L1–L7, k čemu je hub, switch a router, jak funguje transport (TCP/UDP), kam patří firewall a jak to celé drží pohromadě enkapsulace. V kurzu Switching a VLANy se vrátíme na vrstvu 2 v praxi: naučíš se síť rozdělit pomocí VLAN a switchů – to je základ každé skutečné firemní sítě.