Switch do hloubky
L2 mechanika a bezpečnost: MAC tabulka a flooding, 802.1Q rámec, port security, VLAN hopping, DHCP snooping a DAI, ochrana Spanning Tree.
Lekce 1: Jak switch doopravdy přepíná
MAC learning
Návštěvník si v zasedačce zapojí notebook do zásuvky ve zdi – a za pár minut může odposlouchávat cizí provoz, nebo mu leží celá firemní síť. Jak je tohle možné a jak tomu zabránit, je celý tenhle kurz. A začíná to u toho, jak switch doopravdy funguje uvnitř. Jak switch ví, kam poslat rámec? Učí se sám. U každého příchozího rámce si přečte zdrojovou MAC adresu a zapamatuje si, na kterém portu ji viděl – do MAC tabulky (CAM). Příště, když má pro tu MAC něco doručit, pošle to jen na ten jeden port, ne všude. Switch nikdy nečte IP (to je práce routeru) – pracuje čistě s MAC adresami na 2. vrstvě. Tahle tabulka je srdce switche.
Krok za krokem
- PC-A pošle rámec. Switch si přečte jeho zdrojovou MAC a port, kterým přišel.
- Zapíše do MAC tabulky: „AA:..:A1 je na portu P1". Naučil se, kde PC-A je.
- Až bude mít pro AA:..:A1 něco, pošle to jen na P1 – ne na všechny porty. Tabulka šetří síť.
Flooding neznámé MAC
Co když switch ještě nezná cílovou MAC (není v tabulce)? Nezahodí rámec – udělá flooding: pošle ho na všechny porty kromě toho, odkud přišel (unknown unicast flooding). Správný příjemce odpoví, switch se z té odpovědi naučí jeho port, a příště už to pošle adresně. Stejně se zachází s broadcastem (cíl „všem") – ten se rozešle vždy všude v dané VLANě. Flooding je normální a krátkodobý; problém nastane, jen když se tabulka rozbije (další lekce).
Krok za krokem
- SRV chce poslat PC-B, ale switch nezná MAC PC-B (není v tabulce).
- Switch floodne rámec na všechny ostatní porty. Doletí ke všem, ale jen PC-B odpoví.
- Z odpovědi PC-B se switch naučí jeho port. Příště už žádný flood – pošle to adresně.
Aging a kapacita tabulky
MAC tabulka není nekonečná ani věčná. Každý záznam má časovač (aging timer), typicky kolem 5 minut: když se daná MAC chvíli neozve, switch ji z tabulky vyhodí (zařízení se mohlo přepojit nebo vypnout). Tabulka má taky omezenou velikost (kapacitu CAM). Když se zaplní, switch se nemá kam učit nové MAC a začne floodovat – a přesně toho zneužívá útok, který si ukážeme ve 3. lekci (CAM overflow). Aging i kapacita jsou tedy nejen technický detail, ale i bezpečnostní téma.
Krok za krokem
- Tabulka plná aktivních záznamů. PC-B se ale chvíli neozval…
- …tak po aging timeru switch jeho záznam vyhodí. Tabulka drží jen to, co se ozývá.
- A pozor: kdyby se tabulka celá zaplnila, switch začne floodovat všechno. Přesně toho zneužívá útok, který si ukážeme v lekci 3 (CAM overflow).
Lekce 2: Uvnitř rámce a 802.1Q
Ethernetový rámec
Pojďme dovnitř rámce (frame) – jednotky 2. vrstvy. Důležité pole jsou dvě adresy: cílová MAC (komu) a zdrojová MAC (od koho), pak typ/délka a samotná data, a na konci kontrolní součet (FCS). Switch se rozhoduje jen podle těchhle MAC adres – IP uvnitř ho nezajímá. Zdrojovou MAC použije k učení, cílovou k doručení. Tohle je celý „jazyk", kterým switch mluví.
Krok za krokem
- Cílová MAC = komu rámec patří. Podle ní switch rozhodne, na který port doručit.
- Zdrojová MAC = od koho. Podle ní se switch učí (zapíše ji k příchozímu portu).
- Uvnitř jsou data (i s IP paketem) a na konci FCS. Ale switch IP nečte – jede čistě po MAC. To je L2.
Značka 802.1Q
Když má jeden spoj (trunk) nést víc VLAN (co je VLAN, znáš z kurzu Switching a VLANy), jak switch pozná, do které VLANy rámec patří? Vloží do rámce značku 802.1Q – krátké 4bajtové pole hned za zdrojovou MAC, které nese hlavně VLAN ID (číslo 1–4094). Druhý switch značku přečte, zařadí rámec do správné VLANy a značku zase odebere, než ho předá koncovému zařízení (to o VLAN nic neví). Tagování je tedy jen mezi switchi na trunku; access port ke koncovému zařízení je vždy bez značky. A ještě jedna souvislost: switch může mít vlastní IP adresu uvnitř VLANy – tomu se říká SVI (Switch Virtual Interface), virtuální rozhraní VLANy. Na obyčejném L2 switchi bývá jedno SVI kvůli správě (na tu IP se přihlásíš); a přesně díky SVI umí L3 switch z kurzu Switching a VLANy routovat mezi VLANami – každá VLANa tam má svoje SVI, které je pro ni výchozí bránou.
Krok za krokem
- PC-A pošle obyčejný rámec bez značky (o VLAN nic neví). Přijde na access port ve VLAN 20.
- Než rámec pošle trunkem na druhý switch, vloží 802.1Q značku s „VLAN 20". Teď je jasné, kam patří.
- Druhý switch značku přečte, zařadí do VLAN 20 a zase ji odebere, než to dá koncovému PC. Tagování je jen mezi switchi.
Native VLAN
Jedna výjimka: na trunku existuje native VLAN – jediná VLANa, jejíž rámce jdou bez značky (untagged). Historicky kvůli zařízením, co 802.1Q neuměla. Je to ale bezpečnostní riziko: když mají dva propojené switche jinou native VLAN, rámce mohou „přeskočit" do nesprávné VLANy (native VLAN mismatch). A útok VLAN hopping přes dvojité tagování native VLANy přímo zneužívá (lekce 4). Pravidla z praxe: native VLAN na obou koncích stejná, a ideálně nepoužívaná dedikovaná VLANa, ve které nejsou žádná data.
Krok za krokem
- Na trunku jde jedna VLANa bez značky – native VLAN. Všechny ostatní jsou tagované.
- Když mají switche jinou native VLAN, netagovaný rámec skončí ve špatné VLANě (mismatch). Bezpečnostní díra.
- Pravidlo: native VLAN na obou koncích stejná a ideálně nepoužívaná (žádná data). Tím zavřeš i VLAN hopping (lekce 4).
Lekce 3: Port security do hloubky
CAM overflow (MAC flooding)
Teď první L2 útok – a navazuje přesně na MAC tabulku. Při MAC flooding útočník chrlí do switche záplavu rámců s vymyšlenými zdrojovými MAC. Switch se je poslušně snaží naučit, až mu přeteče CAM tabulka (CAM overflow). Plný switch se nemá kam učit legitimní MAC – nové/neznámé cíle nemá kam ukládat a flooduje je na všechny porty: chová se čím dál víc jako hub. Útočník tak odposlechne provoz, který by k němu jinak vůbec nedorazil. Obrana? Omezit, kolik MAC smí být na portu – port security (další moduly).
Krok za krokem
- Útočník na PC-B chrlí rámce s tisíci falešných MAC. Switch se je snaží učit…
- …až přeteče CAM. Plný switch neznámé cíle flooduje na všechny porty – chová se čím dál víc jako hub.
- Provoz SRV → PC-A teď doletí i k útočníkovi (PC-B). Odposlech! Obrana = port security.
Port security a sticky MAC
Port security je obrana přímo na portu switche. Řekneš mu: „na tomhle access portu smí být nejvýš N MAC adres" (typicky 1 – jeden počítač). Když se objeví víc, je to porušení. Navíc se dá MAC uzamknout (sticky): switch si zapamatuje první naučenou MAC a jen tu pak pustí – kdokoli jiný neprojde. Tím padá MAC flooding (útočník nenaplní tabulku přes jeden port) i prosté „přepojím si cizí PC do zásuvky". V tomhle simulátoru to vyzkoušíš: na managed switchi v záložce Porty nastavíš max MAC a povolenou MAC. (Pole „Povolená MAC" je jen v Pokročilém režimu.)
Krok za krokem
- Na portu PC-B nastavíš max 1 MAC. Jeden počítač = v pořádku.
- Sticky: switch si uzamkne MAC PC-B. Jen ta na portu projde.
- Útočník chce floodovat falešné MAC nebo přepojit cizí PC → porušení, port zasáhne. MAC flooding padá.
Reakce na porušení
Co se stane při porušení port security? Jsou tři režimy reakce. Protect: zakázané rámce tiše zahodí, nic nehlásí. Restrict: zahodí je a navíc zaznamená (log/čítač) – víš, že se něco děje. Shutdown (výchozí a nejpřísnější): port úplně vypne (err-disabled), dokud ho správce ručně neobnoví. Volba je kompromis mezi bezpečností a provozem: shutdown je nejbezpečnější, ale jeden omyl shodí port; protect/restrict provoz nepřeruší, ale útočníka jen brzdí. K čemu je tedy protect dobrý, když je restrict skoro totéž a navíc loguje? Hodí se tam, kde by záznamy zbytečně zahltily log – třeba na portu, kde se běžně a předvídatelně objevuje víc MAC (sdílená zásedačka, tiskárna s vestavěným miniswitchem, telefon s PC za sebou). Tam by restrict chrlil hlášení, ve kterých by pak zanikly ty důležité, takže radši mlčky zahodíš. V praxi se na koncových portech ale i tak nejčastěji volí restrict nebo shutdown.
Krok za krokem
- Protect: zakázané rámce tiše zmizí. Nejmírnější – ale ani nevíš, že se něco dělo.
- Restrict: zahodí a zaznamená. Provoz běží dál, ale máš stopu pro vyšetření.
- Shutdown (výchozí): port se úplně vypne, dokud ho ručně neobnovíš. Nejbezpečnější, ale nejtvrdší.
Lekce 4: VLAN hopping
Dvojité tagování
VLAN hopping = útok, který se dostane do cizí VLANy, kam by neměl. Krátce jsi ho zahlédl už v kurzu o redundanci – tady si ho rozebereme pořádně a doplníme druhou variantu (switch spoofing přes DTP) i plnou obranu. První varianta: dvojité tagování (double tagging). Útočník (v native VLANě) pošle rámec se dvěma 802.1Q značkami. První switch odebere vnější značku (je to jeho native VLAN, jde untagged) a pošle rámec dál – jenže pod ním zůstane druhá značka, mířící do cílové VLANy oběti. Druhý switch ji přečte a doručí do té VLANy. Proč první switch nesloupne obě? Protože switch odebírá vždy jen tu vnější značku – co je pod ní, už považuje za data rámce a dovnitř nekouká. Druhou značku tedy „nevidí" a nechá ji projít nedotčenou. A jak takový rámec útočník vůbec vyrobí? Běžný počítač netaguje – tagování dělá až switch. Útočník proto potřebuje síťovou kartu a software, které umí 802.1Q značky vkládat samy (na Linuxu je to běžná výbava); teprve pak může poslat rámec, který už dvě značky nese. Je to jednosměrné – odpověď oběti jde zpět normální cestou (s jednou značkou), takže se k útočníkovi nevrátí; funguje jen z native VLANy – ale stačí to k vstříknutí útoku. Obrana je v dalším modulu.
Krok za krokem
- Útočník (v native VLANě) pošle rámec se dvěma značkami: vnější = native, vnitřní = VLANa oběti.
- První switch sloupne jen vnější značku (je to jeho native → untagged) a rámec pošle dál. Pod ní už nekouká – druhá značka projde nedotčená.
- Druhý switch přečte zbylou značku a doručí útok do VLANy oběti. Hopping! Jednosměrné, ale účinné.
DTP a switch spoofing
Druhá varianta VLAN hoppingu: switch spoofing přes DTP (Dynamic Trunking Protocol – protokol, kterým se dva switche samy domluví, že mezi nimi vznikne trunk). Mnoho switchů má porty ve výchozím nastavení v režimu, kdy samy vyjednávají trunk – kvůli pohodlí (propojíš dva switche a trunk naskočí sám), jenže to je i díra. Útočník se připojí a předstírá, že je switch, který chce trunk. Když port DTP přijme, vznikne trunk – a útočník rázem vidí všechny VLANy najednou (trunk nese vše). Z access portu pro jeden počítač se stane brána do celé sítě. Příčina: automatické vyjednávání trunku tam, kde nemá co dělat. Obrana je jasná – další modul.
Krok za krokem
- Port je ve výchozím nastavení ochotný vyjednat trunk (DTP). Čeká, jestli se ozve switch.
- Útočník předstírá switch a požádá o trunk. Port souhlasí → vznikne trunk.
- Trunk nese všechny VLANy – útočník je vidí naráz. Z portu pro jedno PC se stala díra do celé sítě.
Obrana proti hoppingu
Obrana proti VLAN hoppingu je naštěstí přímočará a je to hygiena portů: (1) Na portech ke koncovým zařízením vypni DTP a nastav je natvrdo jako access (žádné automatické vyjednávání trunku). (2) Native VLAN nastav jako dedikovanou nepoužívanou VLANu, ve které nejsou žádná data – tím padá double tagging. (3) Na trunku povol jen potřebné VLANy (pruning), ne všechny. (4) Nepoužívané porty administrativně vypni. Pár pravidel, a obě varianty hoppingu jsou pryč.
Krok za krokem
- Port k PC nastavíš natvrdo jako access a vypneš DTP. Switch spoofing nemá šanci.
- Native VLAN dáš dedikovanou nepoužívanou. Double tagging nemá z čeho vyjít.
- Na trunku jen potřebné VLANy a nepoužívané porty vypni. Hotovo – hopping zavřen.
Lekce 5: DHCP a ARP obrana
Rogue DHCP (MITM)
Další L2 hrozba cílí na DHCP (automatické přidělování IP). Útočník připojí do sítě podvodný DHCP server (rogue DHCP). Když si klient řekne o IP, může mu odpovědět dřív než ten pravý – a podstrčit mu svou IP jako výchozí bránu. Od té chvíle teče všechen provoz klienta přes útočníka (man-in-the-middle): může ho odposlouchávat nebo měnit. Klient přitom o ničem neví – dostal „IP a bránu", jako vždycky. Tohle je nebezpečné právě proto, že DHCP standardně nikdo neověřuje. Obrana? DHCP snooping – další modul.
Krok za krokem
- PC-A si řekne o IP přes DHCP (broadcast „kdo mi pomůže?").
- Rogue DHCP útočníka odpoví dřív: „tady máš IP a bránu = já". PC-A netuší.
- Teď všechen provoz PC-A teče přes útočníka (MITM). Může odposlouchávat i měnit. Obrana = DHCP snooping.
DHCP snooping
DHCP snooping je obrana přímo na switchi. Princip: porty se rozdělí na důvěryhodné (trusted) a nedůvěryhodné (untrusted). DHCP odpovědi (nabídky IP/brány) switch přijme jen z trusted portů – typicky uplink směrem k pravému DHCP serveru. Přijde-li DHCP nabídka z untrusted portu (kde je připojené koncové PC nebo útočník), switch ji zahodí. Tím rogue DHCP padá. Switch si navíc buduje vazební tabulku (binding table) „MAC + IP + port", která se hodí pro další obranu (DAI – příští modul).
Krok za krokem
- Porty rozdělíš: uplink k pravému DHCP = trusted, porty ke koncovým PC = untrusted.
- Útočník zkusí poslat DHCP nabídku z untrusted portu → switch ji zahodí. Rogue DHCP padá.
- Switch si u legitimních klientů zapíše MAC + IP + port do binding table. Bude se hodit pro DAI.
Dynamic ARP Inspection
Poslední z trojice je Dynamic ARP Inspection (DAI) – obrana proti ARP spoofingu. Připomeň si z kurzu Jak fungují sítě: ARP překládá IP na MAC. Útočník může rozeslat podvržené ARP („IP brány = moje MAC"), čímž si k sobě stáhne provoz oběti (zase MITM). DAI tomu zabrání: na nedůvěryhodných portech kontroluje každý ARP proti binding table z DHCP snoopingu. Sedí „MAC + IP" se záznamem? ARP projde. Nesedí (podvod)? Zahodí ho. DHCP snooping a DAI tak tvoří dvojici: snooping ví, kdo má jakou IP, a DAI to vynucuje i pro ARP.
Krok za krokem
- Útočník rozešle podvržené ARP: „IP brány = moje MAC". Chce si stáhnout provoz oběti.
- DAI ten ARP porovná s binding table (z DHCP snoopingu): má ta MAC opravdu tu IP?
- Nesedí (podvod) → ARP se zahodí. ARP spoofing padá. Snooping + DAI = silná dvojka proti MITM.
Lekce 6: Ochrana Spanning Tree
Rogue root a BPDU útok
Útočit jde i na Spanning Tree (z kurzu Redundance a Spanning Tree). STP volí root bridge podle nejnižšího bridge ID. (Simulátor počítá strom zvlášť pro každou VLANu – jako Cisco PVST+.) Když útočník připojí switch (nebo software) s uměle nízkou prioritou, prohlásí se za root a STP přepočítá strom tak, že provoz začne téct přes něj – odposlech, nebo aspoň destabilizace sítě. Stačí k tomu poslat podvržené BPDU (zprávy, kterými si switche STP počítají). Příčina: switch věří jakémukoliv BPDU na jakémkoliv portu – i tam, kde má být jen koncové PC. Obrana je v dalších modulech (BPDU Guard, Root Guard).
Krok za krokem
- Normálně je root centrální páteřní switch. Strom je postavený rozumně kolem něj.
- Útočník pošle podvržené BPDU s extra nízkou prioritou: „já jsem root". STP mu uvěří.
- Strom se přepočítá a provoz začne téct přes útočníka. Odposlech / destabilizace. Obrana → BPDU/Root Guard.
PortFast a BPDU Guard
První ochrana STP: PortFast + BPDU Guard na access portech (kam patří koncové PC). PortFast nechá takový port rovnou přejít do forwarding (PC nemusí čekat na STP). Ale tím by byl zranitelný – proto se přidá BPDU Guard: na PortFast portu se žádné BPDU nečekají, je tam přece jen počítač. Kdyby na takovém portu jakékoli BPDU dorazilo (někdo tam připojil switch nebo útočníka), BPDU Guard port okamžitě vypne (err-disabled). Útok na STP tak skončí dřív, než začne. (PortFast a BPDU Guard znáš z kurzu Redundance a Spanning Tree – tady je vidíš z pohledu obrany proti rogue root útoku.)
Krok za krokem
- Na access portu k PC zapneš PortFast – port hned přeposílá, PC nečeká na STP.
- Přidáš BPDU Guard: na tomhle portu se žádné BPDU nečekají – je tam přece počítač.
- Kdyby tam někdo připojil switch a přišlo BPDU, port se okamžitě vypne. Rogue root nemá šanci naskočit.
Root Guard
A co porty, kde switch být má (legitimní propojení switchů), ale nechceš, aby se ten druhý stal rootem? Tam slouží Root Guard. Hlídá: na chráněném portu smí přijít BPDU, ale NE „lepší" (superior) BPDU, které by udělalo souseda novým rootem. Kdyby takové dorazilo, Root Guard port přepne do stavu root-inconsistent (dočasně blokuje), dokud to nepřestane. Tím zafixuješ směr, odkud smí být root (do páteře), a zabráníš, aby ti někdo zvenčí převzal kořen stromu. BPDU Guard chrání access porty, Root Guard porty směrem k jiným switchům, odkud root přijít nesmí.
Krok za krokem
- Root chceš mít v páteři. Na trunku k jinému switchi zapneš Root Guard.
- Soused pošle superior BPDU („byl bych lepší root"). Root Guard to nedovolí.
- Port přejde do root-inconsistent (blokuje), dokud superior BPDU nepřestanou. Root zůstane, kde má.
Lekce 7: Provoz a syntéza
SPAN a monitoring
Trochu jiné, ale praktické téma: jak na switchi vidět provoz, aniž bys stál v cestě? Slouží k tomu SPAN (port mirroring): switch pošle kopii provozu z jednoho nebo více portů na zvolený monitorovací port. Tam si připojíš analyzér nebo IDS (vzpomeň na kurz Pokročilá bezpečnost – IDS sedí „mimo cestu" právě díky SPAN/TAP). Provoz dál normálně teče; SPAN jen zrcadlí. Je to základní nástroj pro diagnostiku (proč to nejede) i bezpečnost (co tu lítá za pakety).
Krok za krokem
- Mezi PC-A a serverem teče běžný provoz. Chceš ho vidět, ale nestát v cestě.
- Zapneš SPAN: switch pošle kopii provozu na monitorovací port (k PC-B s analyzérem/IDS).
- Originální provoz nedotčený teče dál; ty máš kopii pro diagnostiku i bezpečnost. Tak sedí IDS „mimo cestu".
Fyzická vrstva portu
Kolegyně hlásí, že „internet je pomalý" – jenže linka svítí, ping projde a switch nic nehlásí. Vinu často nese fyzická vrstva portu. Začíná to u duplexu: full duplex znamená, že port posílá a přijímá zároveň (dnes normál), half duplex umí jen jedno po druhém a musí hlídat kolize (dědictví hubů a kolizí – obojí sis ukázal v kurzu ISO/OSI a TCP/IP: mapa sítě). Rychlost i duplex si oba konce kabelu obvykle domluví samy – tomu se říká autonegotiace. Jenže když jeden konec nastavíš natvrdo a druhý necháš na automatu, ta pevná strana přestane posílat vyjednávací signál – automat nemá co přečíst, rychlost si podle signálu na lince ještě odvodí, ale duplex ne, a tak bezpečně spadne do half duplexu. Proto mismatch bývá skoro vždycky v duplexu, ne v rychlosti. Vznikne duplex mismatch. To je ta zákeřná porucha: linka „chodí", ping projde, ale větší přenos je zoufale pomalý a na portu rostou kolize a chyby. Pravidlo je jednoduché: buď obě strany automat, nebo obě natvrdo stejně – nikdy půl na půl. Do stejné rodiny patří rychlost portu (100M / 1G / 2,5G / 10G) a uplinky přes SFP: SFP je malý vyměnitelný modul do slotu switche, do kterého zapojíš metalický nebo optický kabel – tak se dělají rychlé spoje mezi switchi a spoje na delší vzdálenost. Obojí je i v tomhle simulátoru: rychlost a duplex nastavíš pravým klikem na spoj (nebo v detailu portu) a počet SFP slotů najdeš v nastavení portů switche. Pozor ale: duplex je tu vlastnost celého spoje, ne každého konce zvlášť – takže samotný mismatch (jeden konec natvrdo, druhý automat) si v simulátoru nevyrobíš, to je vědomost do praxe. A do třetice PoE (Power over Ethernet): switch pošle po datovém kabelu i napájení, takže Wi-Fi AP, kamera nebo IP telefon běží bez vlastní zásuvky – stačí jeden ethernetový kabel. Kolik výkonu zařízení dostane, určují třídy: 802.3af zhruba 15,4 W, 802.3at (PoE+) 30 W a 802.3bt až 90 W – podle toho poznáš, jestli switch utáhne jen telefon, nebo i otočnou kameru. Poctivá poznámka: PoE tenhle simulátor nemodeluje – napájení tu nikde nenastavíš, ber to jako znalost do praxe.
Krok za krokem
- Full duplex: port posílá a přijímá zároveň. Rychlost i duplex si oba konce domluví samy – autonegotiace.
- Duplex mismatch: jeden konec natvrdo, druhý na automatu → automat spadne do half. Linka „chodí", ale je zoufale pomalá.
- Pravidlo: obě strany automat, nebo obě natvrdo stejně. Nikdy půl na půl – tím mismatch zmizí.
- Rychlost portu a SFP uplink: vyměnitelný modul (metalika/optika) pro rychlé spoje. V simulátoru pravým klikem na spoj a v nastavení portů.
- PoE: jeden kabel nese data i napájení (af 15,4 W / at 30 W / bt 90 W). Pozor – simulátor PoE nemodeluje.
Agregace linek
Jeden gigabitový kabel mezi switchi přestal stačit – a vyměnit oba switche za desetigigabitové je drahé. Agregace linek (EtherChannel/LACP – z kurzu Redundance a Spanning Tree) nabízí levnější cestu: svážeš víc fyzických kabelů do jedné logické linky. Roste tím celková kapacita svazku (dva gigabity místo jednoho) – ale ne rychlost jednoho přenosu. Switch totiž nerozděluje jednotlivé rámce, ale celé toky: podle dvojice odesílatel/příjemce spočítá „otisk" (hash) a ten toku natrvalo přiřadí jeden konkrétní kabel, aby rámce nedorazily přeházené. Jedno stahování tedy pořád jede po jednom kabelu maximálně gigabitem; svazek pomůže tam, kde je spojení hodně – ta se rozprostřou po všech kabelech a dohromady je vytíží. Druhý přínos je redundance: když jeden kabel přeruší bagr nebo někdo vytrhne konektor, svazek jede dál, jen s menší kapacitou. A co smyčka? Kabelů je víc, takže fyzická smyčka tam je – jenže svazek se navenek chová jako jeden logický port, STP ho tak vidí a nemá co blokovat. Podmínka: oba konce musí být svázané do stejné skupiny a nastavené stejně – jinak z toho místo svazku vznikne přesně ta smyčka, které se chceš vyhnout. V simulátoru si svazek vyrobíš pravým klikem na spoj (Svázat paralelní linky do LAG). Fyzickou stránku portu – duplex, rychlost, SFP a PoE – řeší předchozí modul.
Krok za krokem
- Agregace: dva kabely svážeš do jedné logické linky. Kapacita se sečte, provoz se mezi ně rozloží.
- Jeden kabel vypadne? Svazek jede dál, jen s menší kapacitou. To je ta redundance zdarma.
- Fyzická smyčka tam je, ale STP vidí jeden logický port – nemá co blokovat. Nutná podmínka: oba konce nastavené stejně.
Zabezpečená L2 a co dál
Shrňme switch do hloubky. Naučili jsme switch přepínat (MAC tabulka, flooding, aging), rozebrali rámec a 802.1Q, a hlavně prošli L2 bezpečnost: port security proti MAC floodingu, obranu proti VLAN hoppingu (vypnout DTP, hlídat native VLAN), DHCP snooping + DAI proti MITM, a BPDU/Root Guard proti útokům na STP. Přístupová vrstva je první, kam se útočník dostane – a teď víš, jak ji zabezpečit. Další zastávka v rytmu kurzů: router do hloubky.
Krok za krokem
- Switch přepíná podle MAC tabulky a značkuje VLANy přes 802.1Q. To je jádro L2.
- A umíš ji zabezpečit: port security, obrana hoppingu, DHCP snooping + DAI, BPDU/Root Guard.
- Přístupová vrstva je zabezpečená. Další prvek do hloubky: router (firewall už máš z kurzů o bezpečnosti).