IT + Сеть

Приветствую, коллеги! Меня зовут @ProstoKirReal Мне бы хотелось с вами обсудить как работает интернет от кабелей на витой паре, соединяющие простые локальные сети до подводных коммуникационных кабелей соединяющие между собой континенты и основные операторские сети.

В предыдущей статье я рассказывал о коммутаторах, маршрутизаторах, их основных различиях и назначении, а также разбирал работу простых сетей на примере сетей с сетевым концентратором (хабом) и коммутаторами.

Рекомендую, перед прочтением, ознакомится с предыдущей статьей: Сложно о простом. Как работает интернет. Часть 1. Что такое коммутатор, маршрутизатор и примеры работы простых сетей

В этом цикле статей я не стану учить вас настраивать оборудование и проектировать сети. Я расскажу об основных (и не только) принципах построения сети, а также о функционировании сети и сетевых протоколов в стеке TCP/IP.

Я буду часто ссылаться к предыдущим статьям, где уже описывал сетевые протоколы. Это позволит мне сократить объемный текст.

❯ Зачем нужна эта статья?

Данная статья нужна нам для того, чтобы разобраться в базовых знаниях и разобрать:

• что такое сеть, подсеть, маска подсети;

• что такое сегментация сети с помощью маски, VLAN;

• примеры работы сети с разделением на сегменты.

❯ Что такое сеть, подсеть и маска подсети?

Сеть — это группа устройств, соединенных между собой для обмена данными. Примером может служить домашняя Wi-Fi-сеть, где ваш смартфон, ноутбук и умная колонка подключены к одному маршрутизатору.

Подсеть (subnet) — это часть более крупной сети. Она позволяет логически разделять сеть на меньшие сегменты, чтобы уменьшить трафик и повысить безопасность. Например, в офисе можно создать подсети для отделов: бухгалтерия, ИТ, ИБ, HR.

Маска подсети — это параметр, определяющий, какая часть IP-адреса относится к сети, а какая — к хосту.

Пример:

• IP-адрес: 192.168.1.10;

• маска подсети: 255.255.255.0.

Маска подсети указывает, что первые три октета (192.168.1) — это адрес сети, а последний (10) — идентификатор устройства.

IP-адрес можно представить как почтовый адрес: первая часть (адрес сети) — это как название улицы, общая для всех домов на этой улице, а вторая часть (адрес узла) — как номер дома или квартиры, уникальный для каждого дома на одной улице.

Если смотреть на IP-адрес слева направо, то сначала идет адрес сети до определенного символа, а затем адрес хоста. Граница перехода является плавающей и настраивается с помощью маски.

Одинаковые с виду IP-адреса могут оказаться адресами разных компьютеров в разных сетях.

Для того чтобы не было путаницы, придумали маску подсети. Маска подсети представляет собой набор единиц и нулей, в котором слева направо единицы идут подряд до какого-то символа, а потом до конца идут только нули.

При наложении IP-адреса на маску единицы указывают на то, что в адресе данные биты не будут меняться, а нули показывают, что данные биты будут уникальными и будут изменяться в зависимости от количества хостов.

Если перевести маску 11111111.11111111.11111111.00000000 в десятичную систему, то получится число 255.255.255.0, которое мы указываем в настройках сетевой карточки. Иногда мы говорим, что это 24-я маска, или в некоторых настройках IP-адреса вводим префикс /24. Это, простыми словами, означает количество единиц в маске: сначала идут 24 единицы, а затем 8 нулей.

❯ Почему IP-адреса так выглядят?

IP-адреса, которые мы видим, например, 192.168.1.1, — это их десятичное представление, удобное для человека. Но компьютеры работают с адресами в двоичном формате, где каждое число заменяется последовательностью из нулей и единиц.

Пример перевода в двоичный формат:

• число 0 → 00000000;

• число 1 → 00000001;

• число 2 → 00000010;

• число 3 → 00000011;

  ...

• число 255 → 11111111.

Каждый IP-адрес состоит из четырех частей, называемых октетами. Октет — это 8 бит, или 8 нулей и единиц.

Логика изменения чисел:

• при увеличении значения на 1, изменяется младший бит;

• если младший бит уже равен 1, изменяется следующий более старший бит.

Например:

• число 3: 00000011;

• число 4: 00000100.

Всего в одном октете может быть 256 значений: от 0 до 255.

❯ Как связаны IP-адрес и маска подсети?

Чтобы понять, какая часть IP-адреса относится к сети, а какая — к хосту, IP-адрес и маска подсети переводятся в двоичный вид.

Пример для 192.168.1.0/24:

• IP-адрес: 11000000.10101000.00000001.00000000

• маска:11111111.11111111.11111111.00000000

Первые три октета (24 бита, что соответствует маске /24) обозначают сеть. Последний октет используется для идентификации устройства.

❯ Сегментация сети: зачем она нужна и как работает

Сегментация сети — это процесс разделения сети на логические или физические части. Основные причины сегментации:

1.  Уменьшение трафика. В сегментированной сети пакеты данных отправляются только в нужный сегмент, а не ко всем устройствам;

2.  Сокращение широковещательного трафика. Повышаем производительность всей сети, путем сокращения широковещательных пакетов (ARP, DHCP) в сегментах сети;

3.  Повышение безопасности. Чувствительные данные можно изолировать в отдельном сегменте (Wi-Fiгостевой сети отделить от всей остальной сети);

4.  Упрощение управления. Легче управлять небольшими подсетями, чем одной большой сетью;

5.  Построение независимой логической сети. Логическая структура сети не зависит от физической структуры;

6.  Повышение эффективности общей сети. В совокупности всех факторов, повышается эффективность всей сети.

Пример

В компании используются две подсети:

• 192.168.1.0/24 — для отдела разработки;

• 192.168.2.0/24 — для отдела продаж.

Каждая подсеть изолирована, и данные между ними не пересекаются, если это не настроено вручную через маршрутизатор.

❯ Как разделить сеть на подсети?

Предположим, что нам выделили одну сеть — 192.168.1.0/24, но её необходимо разделить на несколько независимых подсетей.

Для этого нужно изменить префикс маски. Маска подсети определяет, как делится диапазон адресов на части.
Сеть можно представить как круг, который мы делим на части с помощью маски подсети.

Например, в сети 192.168.1.0/24 есть 256 адресов (от 0 до 255).

Если требуется разделить эту сеть на 4 независимые подсети, каждая из которых содержит по 60 адресов, нужно разделить 256 адресов на 4 равные части.

Результат:

• первая подсеть: от 0 до 63;

• вторая подсеть: от 64 до 127;

• третья подсеть: от 128 до 191;

• четвертая подсеть: от 192 до 255.

Каждая подсеть состоит из 64 адресов. Теперь нужно определить префикс маски для этих диапазонов.

❯ Определение маски подсети

Адреса подсетей в двоичном виде:

От 0 до 63 это:

• число 0 →  00|000000;

• число 1 →  00|000001;

  ...

• число 63 → 00|111111.

От 64 до 127 это:

• число 64 →  01|000000;

• число 65 →  01|000001;

  ...

• число 127 → 01|111111.

От 128 до 191 это:

• число 128 → 10|000000;

• число 129 → 10|000001;

  ...

• число 191 → 10|111111.

От 192 до 255 это:

• число 192 → 11|000000;

• число 193 → 11|000001;

  ...

• число 255 → 11|111111.

Из двоичного представления видно, что первые 2 старших бита определяют номер подсети, а оставшиеся 6 бит — уникальные адреса в ней.

Маска подсети:

• два старших бита фиксируются для определения подсети, а 6 младших бит используются для адресов внутри подсети;

• это соответствует маске /26, где 26 бит — часть сети, а оставшиеся 6 бит — для хостов.

Для определения маски лучше воспользоваться таблицей масок подсети, ее легко можно найти в интернете.

Правила деления сети

В сети 192.168.1.0/24 можно разделить адреса следующим образом:

• на 2 части (/25) — по 128 адресов в каждой подсети;

• на 4 части (/26) — по 64 адреса;

• на 8 частей (/27) — по 32 адреса;

• на 16 частей (/28) — по 16 адресов;

• на 32 части (/29) — по 8 адресов;

• на 64 части (/30) — по 4 адреса.

Дальнейшее деление невозможно, так как маска /31 оставляет только 2 адреса: один для сети и один для широковещательной рассылки. Уникальных адресов для устройств не остается.

❯ Формула расчета адресов

Количество доступных адресов в подсети можно рассчитать по формуле:
2^n - 2, где n — количество бит, оставшихся для хостов.

Пример:

• для маски 255.255.255.192 (или /26) остается 6 бит на адреса;

• всего: 26=6426=64 адреса;

• из них:

  • один адрес используется для обозначения подсети (192.168.1.0);

  • один адрес зарезервирован для широковещательной рассылки (192.168.1.63).

Таким образом, доступно 62 адреса для хостов.

❯ Разберем пример работы на коммутаторах

Я уже рассказывал в предыдущей статье, как работает сеть при подключении нескольких устройств к одному или нескольким коммутаторам.

В нашей сети есть несколько компьютеров:

• 192.168.0.1/26 — из сети 192.168.0.0;

• 192.168.0.2/26 — из сети 192.168.0.0;

• 192.168.0.65/26 — из сети 192.168.0.64;

• 192.168.0.66/26 — из сети 192.168.0.64.

Поведение коммутатора:

• коммутатор на уровне 2 (канальный уровень) не анализирует IP-адреса или маски. Он работает с MAC-адресами и будет передавать трафик между портами, основываясь на своей таблице MAC-адресов;

• при широковещательном ARP-запросе, он будет передаваться каждому компьютеру в общей сети.

Если компьютер 192.168.0.1/26 захочет обменяться пакетами с хостом (конечным устройством) 192.168.0.2/26, то между ними произойдет ARP и ICMP обмен без проблем, так как эти устройства находятся в одной подсети.

Но если компьютер 192.168.0.1/26 захочет обменяться пакетами с хостом 192.168.0.66/26, то ARP-запрос поступит на этот узел, но ARP-ответа не будет, так как 192.168.0.66/26 находится в другой подсети.

Для того чтобы устройства из разных подсетей могли обмениваться информацией между собой, необходимо настраивать маршрутизацию пакетов через шлюз. Об маршрутизации расскажу в следующей статье.

❯ А что, если в нашей сети будут IP-адреса из разных подсетей?

В нашей сети есть несколько компьютеров:

• 192.168.0.1/24 — из сети 192.168.0.0;

• 192.168.0.2/24 — из сети 192.168.0.0;

• 192.168.0.65/26 — из сети 192.168.0.64;

• 192.168.0.66/26 — из сети 192.168.0.64.

Обзор ситуации:

• компьютеры с маской /24 (255.255.255.0) считают, что вся сеть 192.168.1.0 - 192.168.1.255 является одной подсетью;

• компьютеры с маской /26 (255.255.255.192) интерпретируют ту же сеть как четыре отдельных подсети:

  • 192.168.1.0 - 192.168.1.63;

  • 192.168.1.64 - 192.168.1.127;

  • 192.168.1.128 - 192.168.1.191;

  • 192.168.1.192 - 192.168.1.255.

Из-за этого компьютеры с разными масками «видят» разные границы сети и могут по-разному интерпретировать, куда направлять трафик.

Поведение сети

Обмен данными между устройствами с одинаковыми масками:

• компьютеры с маской /24 смогут общаться между собой без проблем, так как они считают, что находятся в одной и той же подсети;

• то же самое относится к компьютерам с маской /26, если они находятся в одном и том же диапазоне подсети (например, оба находятся в диапазоне 192.168.1.0 - 192.168.1.63).

Обмен данными между устройствами с разными масками:

• если компьютер 192.168.0.1/24 пытается отправить данные устройству 192.168.0.65/26, он будет считать это устройство частью своей подсети и отправит пакет напрямую (через ARP-запрос);

• однако компьютер с маской 192.168.0.65/26, интерпретируя свою подсеть, может считать, что отправитель находится в другой подсети. В этом случае он будет ожидать маршрут через шлюз. Если шлюз не настроен или отсутствует, связь не состоится.

Поведение коммутатора:

• коммутатор на уровне 2 (канальный уровень) не анализирует IP-адреса или маски. Он работает с MAC-адресами и будет передавать трафик между портами, основываясь на своей таблице MAC-адресов;

• коммутатор не сможет предотвратить конфликтов из-за разной интерпретации подсетей на устройствах.

❯ Возможные проблемы

1. Проблемы с доступностью узлов. Устройства с разными масками могут не видеть друг друга или неправильно направлять пакеты.

2. ARP-конфликты:
   

   • устройства с маской /24 могут отправлять ARP-запросы на весь диапазон адресов 192.168.1.0 - 192.168.1.255, что приведет к ненужному трафику;

   • устройства с маской /26 будут игнорировать запросы, если считают отправителя из другой подсети.

3. Отсутствие маршрутизации. Если не настроен шлюз, устройства с разными масками не смогут обмениваться данными, даже если физически находятся в одной сети.

4. Сложности диагностики. Администратору будет сложно понять, почему некоторые устройства не видят друг друга.

Если не предпринять никаких действий, сеть будет работать нестабильно, и часть устройств не сможет взаимодействовать. Чтобы исправить это, нужно либо унифицировать маски, либо грамотно настроить маршрутизацию и VLAN.

❯ Что такое VLAN

VLAN (Virtual Local Area Network) — это технология, которая позволяет разделять устройства на разные логические сегменты внутри одной физической сети. Основное назначение VLAN — повышение безопасности, улучшение управляемости и оптимизация трафика в локальных сетях.

Пример использования VLAN

На коммутаторе можно создать VLAN для бухгалтерии, присвоив ему ID 10, и VLAN для IT с ID 20. Устройства в разных VLAN не видят друг друга, даже если они физически подключены к одному коммутатору. Это позволяет изолировать данные и уменьшить количество широковещательного трафика.

Основные преимущества VLAN

1.  Изоляция трафика. Устройства в разных VLAN не могут обмениваться данными без маршрутизации через Layer 3 устройства (маршрутизаторы или L3-коммутаторы).

2.  Безопасность. VLAN предотвращают случайный или намеренный доступ устройств из других сегментов сети.

3.  Оптимизация. Разделение на VLAN уменьшает нагрузку на сеть, так как широковещательные запросы остаются внутри VLAN.

4.  Гибкость. Устройства можно объединять в одну VLAN, даже если они подключены к разным физическим коммутаторам (при наличии транковых  соединений).

Технология 802.1Q

IEEE 802.1Q — это стандарт для тегирования кадров Ethernet, используемый для идентификации VLAN. Когда кадр проходит через коммутатор с поддержкой VLAN, в его заголовок добавляется специальный тег 802.1Q. Подробнее о структуре такого пакета я говорил в этой статье.

Взаимодействие VLAN через магистральные (транковые) порты

Для передачи трафика нескольких VLAN между коммутаторами используются магистральные порты. Магистральный порт помечает каждый кадр тегом 802.1Q, чтобы принимающая сторона знала, к какой VLAN он принадлежит. Это позволяет устройствам из одной VLAN, находящимся на разных коммутаторах, общаться друг с другом.

Пример: если два коммутатора соединены магистральным портом, и у обоих настроены VLAN с ID 10 и 20, то устройства VLAN 10 на первом коммутаторе смогут взаимодействовать с устройствами VLAN 10 на втором.

Внедрение и настройка VLAN

Процесс настройки VLAN обычно включает следующие шаги:

• создание VLAN на коммутаторе и присвоение ей уникального идентификатора (ID);

• назначение портов VLAN, в том числе выбор типа порта — access или trunk;

• настройка транковых портов для взаимодействия VLAN между коммутаторами;

• конфигурирование маршрутизации между VLAN (если требуется обмен данными между сегментами).

Примеры использования VLAN

1.  Сегментация сети по отделам. Бухгалтерия, ИТ, HR — каждое подразделение получает свой VLAN.

2.  Гостевой доступ. Создание изолированного VLAN для подключения гостей без доступа к основной корпоративной сети.

3.  Поддержка IP-телефонии. Выделение отдельного VLAN для VoIP-трафика для обеспечения качества связи.

4.  Сетевая безопасность. Разделение трафика для минимизации риска несанкционированного доступа.

❯ Примеры работы VLAN на коммутаторах

Для наглядности разберем работу VLAN в сети с несколькими устройствами и двумя коммутаторами.

Устройства в сети:

• компьютер №1: 192.168.0.1, VLAN ID № 2;

• компьютер №2: 192.168.0.2, VLAN ID № 2;

• компьютер №3: 192.168.1.1, VLAN ID № 3;

• коммутатор №1 и №2: MAC-таблица изначально пуста.

Шаг 1: ARP-запрос

Когда компьютер №1 отправляет «ping» на компьютер №2, он сначала формирует ARP-запрос для определения MAC-адреса получателя.

На стороне компьютера: ARP-запрос изначально не содержит VLAN ID и не имеет тега в заголовке.

На коммутаторе №1: Запрос поступает на access-порт, где ему присваивается VLAN ID 2 (так как этот VLAN настроен на порту).

Действия коммутатора №1:

• в MAC-таблицу добавляется информация о MAC-адресе Компьютера №1;

• поскольку MAC-адрес Компьютера №2 еще неизвестен, запрос отправляется на trunk-порт с добавленным VLAN ID 2.

Действия коммутатора №2:

• после получения пакета на trunk-порту, коммутатор добавляет MAC-адрес Компьютера №1 в свою MAC-таблицу;

• затем VLAN тег снимается, и запрос рассылается во все активные access-порты с VLAN ID 2.

Ответ от Компьютера №2:

• компьютер №2 отвечает на ARP-запрос, формируя ответный пакет. Этот пакет изначально не содержит VLAN тега.

Действия коммутаторов:

• на access-порту коммутатора №2 пакету снова присваивается VLAN ID 2;

• пакет передается через trunk-порт коммутатору №1, который снимает VLAN тег и направляет его на порт, соответствующий MAC-адресу Компьютера №1.

После завершения ARP-обмена начинается ICMP-обмен между Компьютером №1 и Компьютером №2

ICMP-запрос от Компьютера №1:

• формируется без VLAN тега;

• коммутатор №1 присваивает пакету VLAN ID 2 и отправляет его через trunk-порт;

• коммутатор №2 снимает VLAN тег и передает пакет Компьютеру №2.

ICMP-ответ от Компьютера №2:

• проходит тот же путь, но в обратном направлении.

Добавление нового устройства

Теперь добавим в сеть Компьютер №4 с IP-адресом 192.168.1.2 и VLAN ID 3. Он подключен к access-портукоммутатора №2.

Если Компьютер №3 отправляет «ping» на Компьютер №4, происходит следующий процесс:

1. ARP-запрос от Компьютера №3:
   

   • запрос не имеет VLAN тега;

   • коммутатор №1 присваивает пакету VLAN ID 3 и передает его через trunk-порт коммутатору №2;

   • Коммутатор №2 снимает VLAN тег и направляет запрос Компьютеру №4.

2. ARP-ответ от Компьютера №4. Ответ возвращается аналогичным образом, с добавлением и снятием VLAN тега на каждом коммутаторе;

3. ICMP-обмен.После ARP-обмена происходит ICMP-обмен между Компьютером №3 и Компьютером №4, используя тот же путь.

❯ Анализ MAC-таблиц

После завершения обмена ARP и ICMP, в MAC-таблицах коммутаторов можно заметить, что:

• У trunk-порта на каждом коммутаторе будут указаны несколько MAC-адресов, каждый из которых привязан к своему VLAN ID.

Важно: Trunk-порт должен быть правильно настроен для передачи трафика с несколькими VLAN ID. Ошибки в настройке могут привести к потере пакетов и некорректной работе сети.

❯ Заключение

В этой статье мы разобрали ключевые понятия: сеть, подсеть, маска подсети, сегментация сети с помощью маски и VLAN.

В следующей статье разберем как работает маршрутизация в сети.

Эти знания помогут вам лучше понимать, как проектировать и администрировать сети. Если у вас остались вопросы, пишите в комментариях, и я постараюсь на них ответить!

Немного важной информации

Коллеги, добрый день! Я создал Telegram-канал от сетевика для сетевиков.
Если ты сетевой инженер, системный администратор, разработчик, студент или просто увлекаешься сетями — тебе сюда.

Что тебя ждет?

• Разборы глобальных сбоев и неожиданных сетевых проблем.

• Мини-статьи с полезными фишками и объяснением сложных тем простым языком.

• Истории из жизни сетевиков — в том числе от подписчиков.

Ссылка на канал: https://t.me/ProstoKirReal

Написано специально для Timeweb Cloud и читателей Пикабу. Больше интересных статей и новостей в нашем блоге на Хабре и телеграм-канале.

Хочешь стать автором (или уже состоявшийся автор) и есть, чем интересным поделиться в рамках наших блогов — пиши сюда.

Облачные сервисы Timeweb Cloud — это реферальная ссылка, которая может помочь поддержать авторские проекты.

❯ Что такое коммутатор, маршрутизатор?

Когда мы задаем вопрос в поисковике: «Чем отличается коммутатор от маршрутизатора?», то один из самых распространенных ответов, который можно найти в интернете (например, на Mail.ru), звучит так:

в функционале. маршрутизатор - маршрутизирует, коммутатор - коммутирует. все просто:)))

Это, пожалуй, самый краткий и ёмкий ответ на данный вопрос.

Однако если подойти к вопросу серьезно, необходимо разобраться в понятиях коммутации и маршрутизации.

Коммутация — это процесс перенаправления данных (кадров) в пределах одной сети, основанный на анализе адреса назначения. Она работает на канальном уровне модели OSI (L2), используя MAC-адреса устройств.

Маршрутизация — это процесс определения пути для передачи данных между разными сетями. Работает на сетевом уровне модели OSI (L3), используя IP-адреса.

Коммутаторы (switch) и маршрутизаторы (router) — это два ключевых устройства в сетевых инфраструктурах, которые выполняют разные, хотя и пересекающиеся, задачи. Разберемся в их функциях, особенностях и причинах появления, а также рассмотрим современные реалии, в которых их функциональность все больше пересекается.

Зачем появились маршрутизаторы

Исторически маршрутизаторы появились для соединения сетей с разными технологиями передачи данных. В начале эры сетей существовало множество локальных сетей (LAN) с различными стандартами: Ethernet, Token Ring, модемные пулы и другие. Эти сети были физически и логически разобщены, поскольку каждая из них использовала свои протоколы адресации и методы передачи данных.

Для решения этой проблемы была введена абстракция в виде IP-адреса — универсального протокола, не привязанного к физическому носителю. Маршрутизаторы стали устройствами, способными связывать сети с разными технологиями передачи данных, обеспечивая маршрутизацию на основе IP-адресов.

Основные функции

1. Коммутаторы:

   • работают преимущественно на уровне 2 модели OSI (канальный уровень);

   • создают таблицы MAC-адресов, которые определяют, через какой физический порт отправлять трафик;

   • обеспечивают коммуникацию внутри одной локальной сети (LAN).

2. Маршрутизаторы:

   • работают на уровне 3 модели OSI (сетевой уровень);

   • используют таблицы маршрутизации для определения оптимального пути передачи данных;

   • обеспечивают связь между разными сетями, в том числе с разными технологиями (Ethernet, Frame Relay, ATM, DSL);

   • используют протоколы маршрутизации, такие как OSPF, BGP, IS-IS.

Совместная работа коммутаторов и маршрутизаторов

• Коммутаторы обеспечивают быстрый обмен данными внутри сети.

• Маршрутизаторы соединяют локальную сеть с другими сетями, например, с интернетом, обеспечивая связь с серверами.

❯ Современные тенденции

Раньше этих различий хватало для определения работы коммутатора и маршрутизатора, но в современных устройствах все эти функции часто объединяются в L3-коммутаторах, которые совмещают преимущества обоих типов устройств.
На данный момент различия между ними размыто, так как коммутаторы L3 и L3+ (Multiplayer switch) могут выполнять часть функционала маршрутизатора и маршрутизатор может иметь дополнительные физические порты для подключения локальных сетей.

❯ Рассмотрим различия между устройствами

L2-коммутаторы (канальный уровень)

❯ Особенности

• Рабочий уровень: работают на 2 уровне модели OSI (канальный уровень).

• Функциональность: обеспечивают передачу данных внутри одной локальной сети (LAN), используя таблицу MAC-адресов для маршрутизации кадров Ethernet.

• Ограничения: не способны маршрутизировать трафик между разными VLAN или подсетями.

❯ Плюсы

• Простая настройка.

• Высокая производительность для однорангового (peer-to-peer) соединения.

❯ Минусы

• Отсутствие поддержки IP-адресации.

• Не подходит для сложных сетевых структур с множеством VLAN.

L3-коммутаторы (сетевой уровень)

❯ Особенности

• Рабочий уровень: работают на 3 уровне модели OSI (сетевой уровень).

• Функциональность:

  • выполняют функции коммутатора (L2) и маршрутизатора (L3);

  • поддерживают маршрутизацию между VLAN через интерфейсы SVI (Switch Virtual Interface);

  • поддерживают IP-адресацию и статическую маршрутизацию.

❯ Плюсы

• Универсальность.

• Встроенная поддержка маршрутизации.

❯ Минусы

• Ограниченные возможности динамической маршрутизации (по сравнению с маршрутизаторами). Обычно используется «межвлановая» маршрутизация, когда ip-адрес назначается на VLAN, а не на саб-интерфейс.

• Более сложная настройка по сравнению с L2-коммутаторами.

L3+ коммутаторы (расширенные возможности сетевого уровня)

❯ Особенности

• Рабочий уровень: также работают на 3 уровне, но с функциями, приближенными к маршрутизаторам.

• Функциональность:

  • полноценная поддержка динамических протоколов маршрутизации (OSPF, BGP, EIGRP);

  • расширенные функции управления трафиком: ACL, QoS, NAT;

  • некоторые модели поддерживают MPLS для оптимизации передачи данных.

❯ Плюсы

• Возможности динамической маршрутизации.

• Более высокий уровень управления сетью.

❯ Минусы

• Стоимость.

• Сложность настройки.

Маршрутизаторы (Router)

❯ Особенности

• Рабочий уровень: работают на 3 уровне модели OSI и выше.

• Функциональность:

  • передача данных между разными сетями;

  • маршрутизация IPv4 и IPv6;

  • полноценная поддержка динамической маршрутизации (OSPF, BGP, RIP и др.);

  • поддержка VPN, NAT и часть функций межсетевого экранирования.

❯ Плюсы

• Поддержка работы в глобальных сетях (WAN).

• Высокий уровень безопасности.

❯ Минусы

• Не предназначены для высокоскоростного L2-коммутирования.

• Могут вызывать дополнительные задержки в локальных сетях.

❯ Сравнительная таблица

• L2-коммутаторы идеально подходят для небольших сетей, где маршрутизация не требуется.

• L3-коммутаторы — оптимальное решение для сетей с VLAN и умеренной сложностью.

• L3+ коммутаторы находят применение в крупных и сложных инфраструктурах с необходимостью динамической маршрутизации.

• Маршрутизаторы — необходимы для соединения локальных сетей с внешними сетями, но не заменяют коммутаторы внутри LAN.

Каждое устройство имеет свои уникальные сильные стороны и применяется в зависимости от масштабов и требований сети.

Хотя изначально коммутаторы и маршрутизаторы выполняли строго разные задачи, современное развитие сетевых технологий привело к значительному пересечению их функций.

Однако ключевые различия сохраняются: маршрутизаторы лучше подходят для связи между сетями с различными технологиями и для управления сложными топологиями, тогда как коммутаторы оптимизированы для высокой пропускной способности и коммутации в рамках одной сети. Выбор между этими устройствами зависит от конкретных задач и архитектуры сети.

❯ Что такое сеть?

Что же такое сеть? Если соединить два компьютера между собой, назначить им IP-адреса, будет ли это сетью? Ответ прост: да, это уже локальная сеть.

Сеть — это соединение двух и более компьютеров, устройств или других компонентов для обмена информацией.

Как только мы подключаем устройства к домашнему маршрутизатору, они становятся частью локальной сети. Маршрутизатор служит шлюзом по умолчанию для всех подключенных устройств и направляет пакеты данных для выхода в интернет.

Но пока не будем забегать вперед, начнем с самого простого — с двух соединенных между собой компьютеров.

❯ Рассмотрим самую простую сеть

Предположим, у нас есть два компьютера. Компьютер №1 имеет mac-адрес 00:00:00:00:00:0a, а компьютер №2 — 00:00:00:00:00:0b.

Мы назначаем компьютеру №1 IP-адрес 192.168.0.1, а компьютеру №2 — IP-адрес 192.168.0.2. Затем мы соединяем их сетевые карты «напрямую» с помощью витой пары.

Чтобы проверить доступность соседнего компьютера, можно использовать утилиту «ping» и отправить запрос на него.

Однако есть проблема: компьютер №1 не сможет сразу отправить ICMP-запрос компьютеру №2, так как он не знает его mac-адрес. Это можно проверить, введя команду «arp -a» в командной строке (для Windows) и убедившись, что таблица ARP пуста.

Как было сказано в предыдущей статье, ARP (Address Resolution Protocol) — это важнейший протокол в компьютерных сетях, который используется для определения MAC-адреса другого компьютера по известному IP-адресу.

Первым делом компьютер №1 отправит широковещательный запрос в сеть, чтобы узнать, кто такой 192.168.0.2.

Пакет будет выглядеть следующим образом:

• src mac-адрес 00:00:00:00:00:0a;

• dst mac-адрес ff:ff:ff:ff:ff:ff (широковещательный mac-адрес);

• IP-адресов не будет, так как ARP работает на уровне L2;

• в теле пакета будет информация: кто такой 192.168.0.2, спрашивает 192.168.0.1.

Подробнее о заголовках L3 уровня (ARP, ICMP и др.) я рассказывал в этой статье.

После того как ARP-ответ будет получен компьютером №2, он сохранит в своей ARP-таблице информацию о IP и mac-адресе компьютера №1.

Теперь компьютеру необходимо отправить ARP-ответ.

Пакет будет выглядеть следующим образом:

• src mac-адрес 00:00:00:00:00:0b;

• dst mac-адрес 00:00:00:00:00:0a;

• IP-адресов не будет, так как ARP работает на уровне L2;

• в теле пакета будет информация: у IP-адреса 192.168.0.2 mac-адрес - 00:00:00:00:00:0b.

После того как ARP-ответ поступит к компьютеру №1, он сохранит в своей ARP-таблице информацию о IP и mac-адресе компьютера №2.
Теперь для формирования ICMP-запроса известна вся информация, и от компьютера №1 будет сформирован следующий пакет:

• src mac-адрес 00:00:00:00:00:0a;

• dst mac-адрес 00:00:00:00:00:0b;

• src IP-адрес 192.168.0.1;

• dst IP-адрес 192.168.0.2

• в теле пакета будет служебная информация для ICMP-протокола (подробнее в этой статье).

После того как ICMP-запрос поступит на компьютер №2, тот отправит ICMP-ответ, так как уже знает mac-адрес соседнего устройства из своей ARP-таблицы.

Ответ будет выглядеть следующим образом:

• src mac-адрес 00:00:00:00:00:0b;

• dst mac-адрес 00:00:00:00:00:0a;

• src-IP-адрес 192.168.0.2;

• dst-IP-адрес 192.168.0.1;

• в теле пакета будет служебная информация для ICMP-протокола.

После того как все эти пакеты прошли свой не долгий путь, в утилите «ping» появится первое сообщение о доступности соседнего устройства.

❯ Три компьютера и сетевой концентратор (Hub)

❯ Что если нам нужно подключить больше компьютеров к одной сети?

Для этого в простых сетях используют сетевой концентратор, он же hub/хаб.

❯ Как работает хаб?

Хаб передает данные, поступающие на один из его портов, на все остальные порты, что позволяет устройствам в локальной сети обмениваться информацией без сложной настройки. Однако такой подход имеет свои плюсы и минусы.

❯ Плюсы и минусы использования хаба

Хаб — это недорогое сетевое устройство, которое подходит для соединения небольших локальных сетей. Однако, если в сети используется большое количество устройств, возникают проблемы.

1. Эффективность: хаб работает на уровне L1 модели OSI, что означает, что он не различает адреса. Все пакеты передаются всем устройствам, кроме отправителя, независимо от их назначения.

2. Конфликт пакетов: поскольку данные передаются одновременно всем устройствам, в сети могут возникать коллизии. Чем больше устройств подключено, тем выше вероятность коллизий.

3. Пропускная способность: каждый порт хаба делит общую пропускную способность сети, что приводит к её снижению по мере увеличения числа подключений.

Современные сети используют коммутаторы (switch), которые работают на уровне L2, что позволяет им направлять пакеты только устройствам-адресатам.

❯ Пример работы хаба

Предположим, у нас есть хаб и три компьютера с IP-адресами:

• компьютер №1: 192.168.0.1;

• компьютер №2: 192.168.0.2;

• компьютер №3: 192.168.0.3.

Все три компьютера подключены к хабу. Теперь, если мы с компьютера №1 отправим запрос «ping» на компьютер №2, то процесс будет происходить следующим образом.

Шаг 1. ARP-запрос

Компьютер №1 сначала отправит ARP-запрос в сеть, чтобы узнать MAC-адрес компьютера №2. Этот запрос будет выглядеть так:

• src MAC-адрес: 00:00:00:00:00:0a;

• dst MAC-адрес: ff:ff:ff:ff:ff:ff (широковещательный адрес);

• IP-адреса в пакете отсутствуют, так как ARP работает на уровне L2.

Действия хаба

Хаб получит этот пакет через порт, к которому подключен компьютер №1, и передаст его на все остальные порты, кроме порта-отправителя. Таким образом, ARP-запрос поступит как на компьютер №2, так и на компьютер №3. Компьютеры №2 и №3 сохранят в ARP-таблице запись о компьютере №1, так как запрос был широковещательным. Однако ответит на него только компьютер №2, так как IP-адрес в запросе соответствует его собственному.

Ответ от компьютера №2

Компьютер №2 отправит ARP-ответ, который пройдет через хаб и будет доставлен компьютеру №1. Компьютер №3 проигнорирует этот ответ, так как он не предназначен ему.

ARP-ответ будет выглядеть следующим образом:

• src MAC-адрес: 00:00:00:00:00:0b;

• dst MAC-адрес: 00:00:00:00:00:0a;

• IP-адреса в пакете отсутствуют, так как ARP работает на уровне L2.

Шаг 2. ICMP-запрос и ответ

После завершения ARP-обмена компьютер №1 сформирует ICMP-запрос и отправит его на компьютер №2. Запрос и последующий ответ будут переданы аналогичным образом через хаб, но пакеты также дойдут до всех устройств в сети, создавая дополнительную нагрузку.

❯ Особенности работы ARP в сети с хабом

В такой схеме:

1. Компьютеры №1 и №2 знают о существовании друг друга;

2. Компьютер №3 знает о компьютере №1, так как получил его ARP-запрос, но не знает о компьютере №2.

Небольшое пояснение почему:

Компьютер №3 знает о Компьютере №1 из своей ARP-таблицы, но не знает о Компьютере №2 по следующим причинам:

1. Обработка ARP-запросов.

   ARP-запросы обрабатываются операционной системой компьютера, а не сетевой платой. Однако, поскольку ARP-запрос имеет широковещательный MAC-адрес назначения (ff:ff:ff:ff:ff:ff), он достигает всех устройств в локальной сети и принимается сетевой платой;

2. Сохранение записи в ARP-таблице.

   Хотя Компьютер №3 получает ARP-запрос, адресованный другому IP-адресу (например, Компьютеру №1), он не отвечает на него. Однако информация из тела пакета (IP-адрес и MAC-адрес Компьютера №1) может быть сохранена в ARP-таблице Компьютера №3 как часть пассивного процесса обучения;

3. Отбрасывание ARP-ответа.

   ARP-ответ, отправленный Компьютером №1, также достигает Компьютера №3. Однако, поскольку MAC-адрес назначения в этом пакете не совпадает с MAC-адресом сетевой карты Компьютера №3, пакет отбрасывается сетевой платой на аппаратном уровне. В результате информация о Компьютере №2 не попадает в ARP-таблицу Компьютера №3.

Если мы попытаемся «пингануть» с компьютера №2 компьютер №3, произойдет ARP-обмен, как в примере выше. Однако если мы попытаемся с компьютера №3 «пингануть» компьютер №1, процесс будет следующим:

1. Компьютер №3, зная MAC-адрес компьютера №1 из своей ARP-таблицы, сразу отправит ICMP-запрос;

2. Компьютер №1, не имея записи о компьютере №3, отбросит запрос и отправит широковещательный ARP-запрос;

3. После получения ARP-ответа от компьютера №3 компьютер №1 сможет ответить на ICMP-запрос;

4. Компьютер №3 отправит новый ICMP-запрос, на который компьютер №1 успешно ответит.

Когда мы запускаем утилиту «ping», некоторые пакеты теряются. Это происходит из-за того, что требуется ARP-обмен данными между всеми промежуточными устройствами. Именно поэтому возникает необходимость в обмене данными с использованием протокола ARP между всеми устройствами, находящимися между источником и получателем данных.

❯ Три компьютера и L2 коммутатор

❯ Как обеспечить стабильность работы сети и исключить коллизии?

Ответ прост: использовать L2-коммутатор.

❯ Принцип работы L2-коммутатора

Коммутатор работает на канальном уровне модели OSI и использует MAC-адреса для пересылки данных. Рассмотрим на примере, как это происходит.

Устройства в сети:

• компьютер №1: 192.168.0.1;

• компьютер №2: 192.168.0.2;

• компьютер №3: 192.168.0.3;

• коммутатор №1: MAC-таблица изначально пуста.

Шаг 1. ARP-запрос

Когда компьютер №1 отправляет запрос «ping» на компьютер №2, он сначала формирует ARP-запрос для определения MAC-адреса получателя. Этот запрос поступает на коммутатор, который, не имея записей в MAC-таблице, рассылает его на все активные порты, кроме порта-отправителя.

Действия коммутатора:

• Коммутатор добавляет в свою MAC-таблицу запись о компьютере №1, связав его MAC-адрес с портом, через который пришел запрос;

• ARP-запрос доставляется компьютерам №2 и №3.

Ответы компьютеров:

• Компьютер №2, распознав свой IP-адрес, отправляет ARP-ответ;

• Компьютер №3 игнорирует запрос, но сохраняет запись о MAC-адресе компьютера №1 в своей ARP-таблице.

Коммутатор, получив ARP-ответ от компьютера №2, обновляет свою MAC-таблицу, добавляя запись о MAC-адресе компьютера №2.

Шаг 2. ICMP-запрос и ответ

После завершения ARP-обмена компьютер №1 отправляет ICMP-запрос компьютеру №2. Благодаря MAC-таблице, коммутатор направляет пакеты только в порт, подключенный к компьютеру №2, избегая лишней нагрузки на другие устройства.

❯ Особенности работы ARP в сети с коммутатором

1. Компьютеры №1 и №2 знают о существовании друг друга;

2. Компьютер №3 знает MAC-адрес компьютера №1, но не знает о существовании компьютера №2;

3. В MAC-таблице коммутатора нет записи о компьютере №3.

Если компьютер №3 отправит запрос «ping» на компьютер №1, процесс будет следующий:

1. Компьютер №3 сразу формирует ICMP-запрос, используя MAC-адрес из своей ARP-таблицы;

2. Коммутатор передает пакет на порт компьютера №1;

3. компьютер №1, не имея записи о компьютере №3, отправляет ARP-запрос;

4. после завершения ARP-обмена компьютер №1 отвечает на ICMP-запрос.

❯ Что будет если во время работы коммутатор перезагрузится?

Если коммутатор перезагрузится или его MAC-таблица очистится, он начнет временно работать как хаб, передавая пакеты на все порты, пока MAC-таблица не будет заполнена.

В этой ситуации происходит следующее:

1. Пакет, адресованный компьютеру №2, поступает на коммутатор. Поскольку MAC-таблица коммутатора пуста, чтобы обеспечить корректную работу сети, коммутатор передает эти пакеты на все порты, кроме того порта, через который они были получены. Затем в MAC-таблицу коммутатора добавляется первая запись о компьютере №1;

1. Затем коммутатор получит пакет, предназначенный для компьютера №2. Поскольку в MAC-таблице нет записи об этом компьютере, чтобы обеспечить корректную работу сети, коммутатор передаст эти пакеты на все порты, кроме того порта, через который они были получены. После этого в MAC-таблицу коммутатора будет добавлена первая запись о компьютере №2;

2. Далее сеть будет работать так же, как и до перезагрузки или очистки MAC-таблицы.

Ключевое отличие коммутатора от концентратора (хаба) заключается в следующем: хаб, независимо от обстоятельств, всегда будет пересылать пакеты во все порты, кроме того, из которого этот пакет был получен. В свою очередь, коммутатор передает пакеты на все порты до тех пор, пока в его MAC-таблице не появятся записи. Как только в таблице появляются записи, коммутатор направляет пакеты в соответствующие порты.

❯ Три компьютера и несколько L2 коммутаторов

Рассмотрим, как работает сеть с несколькими коммутаторами.

Устройства в сети:

• компьютер №1: 192.168.0.1;

• компьютер №2: 192.168.0.2;

• компьютер №3: 192.168.0.3;

• коммутатор №1 и №2: MAC-таблица изначально пуста.

Все три компьютера подключены к нескольким коммутаторам. Если с компьютера №1 отправить запрос «ping» на компьютер №2, ARP-запрос попадет на коммутатор и будет направлен во все активные порты, поскольку это широковещательный запрос.

Шаг 1. ARP-запрос

Когда компьютер №1 отправляет ARP-запрос компьютеру №2:

1. Коммутатор №1:
   

   • передает запрос на все порты, кроме порта-отправителя;

   • сохраняет в MAC-таблицу запись о компьютере №1.

1. Коммутатор №2:
   

   • получает запрос от коммутатора №1 и передает его на свои порты;

   • добавляет в MAC-таблицу запись о MAC-адресе компьютера №1.

Компьютеры №2 и №3 сохраняют запись о MAC-адресе компьютера №1.

Шаг 2. ICMP-запрос и ответ

Когда компьютеры начинают обмениваться ICMP-пакетами, каждый коммутатор использует свои MAC-таблицы для передачи пакетов только на целевые порты.

Если с компьютера №3 отправить запрос «ping» на компьютер №2, произойдет ARP-обмен данными между устройствами. Коммутаторы сохранят необходимые записи в своих MAC-таблицах, и ICMP-пакеты будут передаваться в соответствии с этими таблицами.

❯ Особенности работы с несколькими коммутаторами

• У каждого коммутатора своя уникальная MAC-таблица.

• Коммутатор №2 может иметь одну запись для порта с несколькими устройствами, подключенными через другой коммутатор.

Каждый коммутатор формирует свою MAC-таблицу, основываясь на трафике, проходящем через его порты. Чем больше устройств подключено за одним портом, тем больше записей будет ассоциировано с этим портом. Однако даже в сложных сетях коммутаторы эффективно справляются с передачей пакетов, минимизируя нагрузку на сеть.

❯ Заключение

Подводя итоги, мы рассмотрели ключевые устройства и их функции в сетях, такие как коммутаторы и маршрутизаторы, их различия и области применения. Также мы разобрали базовые принципы работы сетей на примере нескольких подключенных устройств, ARP-запросов, ICMP-протокола и их взаимодействия.

Важно отметить, что в этой статье мы не рассматривали работу маршрутизаторов в более сложных сетевых топологиях. В следующей статье мы разберем, как работают маршрутизаторы, как сегментировать сеть, зачем это нужно и как это влияет на масштабируемость и управление.

Эти знания помогут глубже понять основы проектирования сетей и взаимодействия их компонентов.

Написано специально для Timeweb Cloud и читателей Пикабу. Больше интересных статей и новостей в нашем блоге на Хабре и телеграм-канале.

Хочешь стать автором (или уже состоявшийся автор) и есть, чем интересным поделиться в рамках наших блогов — пиши сюда.

Облачные сервисы Timeweb Cloud — это реферальная ссылка, которая может помочь поддержать авторские проекты.

📚 Читайте также:

• Что на самом деле показало нашумевшее исследование о «сбежавших и обманывающих» больших языковых моделях

• Защита схемы от переполюсовки, что может быть проще?

• Комменты — наше все! История онлайн-комментариев.

Что такое фрагментация?

Из разговора про MTU мы помним четыре момента:

1. Минимальный размер кадра 64 байт.

2. MTU по умолчанию в Ethernet сетях 1500 байт.

3. Кадры могут быть гораздо больше чем 1500 байт.

4. MTU параметр настраиваемый и не факт, что на всех линка будет настроен MTU, который будет пропускать пакеты, генерируемые отправителем.

Это некие вводные ограничения, которые нам дает Ethernet. IPv4 к этим ограничением добавляет то, что узел получатель должен гарантировать всем своим соседям, что он может принять IP-пакет размером 576 байт, а узел в IPv6 должен уметь обрабатывать пакеты размером 1280 байт.

С учетом вышеописанного легко можно представить две ситуации, в которых может начать работать фрагментация :

1. Хосты согласовали обмен пакетами 1500 байт (на самом деле они согласовали TCP или SCTP MSS), но на сети есть линк или линки, где MTU меньше 1500 байт.

2. Хосты генерируют пакеты размером более 1500 байт, а на транзитных узлах MTU равен 1500 байт.

Эти ситуации можно решить за счет хостов, им просто нужно генерировать такие пакеты, которые пролезут через любой линк на сети, проблема в том, что хосты не знают MTU на всей сети и обычно надеются, что MTU всей сети не меньше, чем MTU их интерфейсов, которые в эту сеть включены, но есть и другие варианты решения:

1. Транзитное устройство может уведомить отправителя о том, что тот генерирует слишком большие пакеты и, если отправителю не запрещено, то он может начать генерировать пакеты меньшего размера.

2. Транзитный узел может не уведомлять отправителя о том, что тот генерирует большие пакеты, а начать самостоятельно разбивать их на такие пакеты, которые гарантированно пройдут через линк. Это и есть фрагментация.

3. Слишком большие пакеты могут просто уничтожаться, но нам этот вариант не очень интересен.

Стоит понимать, что фрагментация пакетов явление вынужденное и не очень желательное, единственное достоинство фрагментации заключается в следующем: если приложения не заботятся о размерах передаваемых данных, то это делает IP, чтобы хоть каким-то образом, но связь между отправителем и получателем поддерживалась.

Минусов у фрагментации много, вот три основных на мой взгляд:

1. При потере одного из фрагментов можно считать, что теряется весь исходный пакет.

2. Фрагментация повышает нагрузку на устройства сети.

3. В некоторых случаях при сборке фрагментированного пакет может быть нарушена целостность передаваемых данных.

Вот несколько ссылок, где вы можно больше узнать о проблемах, фрагментации, все на ин-язе: RFC 4963, Fragmentation Considered Harmful, RFC 8900.

Поля IP заголовка для управление фрагментацией

В IP заголовке имеется четыре поля, которые так или иначе используются при фрагментации.

1. Размер пакет (Total Lenght). В этом поле хранится полный размер пакета в байтах, т.е. заголовка плюс поля данных.

2. Идентификатор (Identification). Это поле помогает принимающей стороне собрать исходный пакет из полученных фрагментов, у фрагментов, которые являются частями одного исходного пакета, значение этого поля будет одинаковым.

3. Флаги (Flags). Под каждый флаг выделен один бит, нумерация начинается с нуля. Нулевой бит(нулевой флаг) нам не интересен, первый бит называется DF или do not fragment, если значение этого бита равно единицы, то пакет фрагментировать запрещено, если возникает ситуация когда у пакета DF = 1 и размер больше допустимого MTU, такой пакет уничтожается(некоторые устройства игнорируют бит DF и всё равно выполняют фрагментацию). Второй флаг называется MF или more fragments, он используется для того, чтобы обозначить конец последовательности фрагментированных пакетов, пока MF = 1 узел получатель будет ожидать новые фрагменты, как только придет пакет с MF = 0, получатель поймет, что последовательность фрагментированных пакетов закончилась.

4. Смещение фрагмента (Fragment Offset). IP не гарантирует того, что получатель будет получать пакеты в той же последовательности, в которой их генерировал отправитель. В случаях, когда фрагментации нет, проблема собрать всё в нужной последовательности это проблема вышестоящего процесса или протокола, но если получатель принял фрагментированную последовательность, задача собрать исходных пакет из фрагментов ложится на IP процесс, поле смещение помогает понять в какой последовательности надо собирать исходный пакет. Данное поле хранит численное значение, одна единица этого числа равна восьми байтам.

Вот так эти поля выглядят в дампе Wireshark.

Цвета на двух картинках выше соответствуют.

Смещение фрагмента в IP

Стоит отдельно остановиться на поле Fragment Offset, его размер 13 бит, то есть максимальное значение этого поля 8191, но весь вопрос в том, какие единицы измерения используются для смещения фрагмента, если в этом поле стоит значение 1, то это означает, что сдвиг надо делать на 8 байт, то есть максимально возможное смещение 65528 байт.

Проще всего разобраться с вопросом смещения можно будет на примере, допустим, у нас есть два хоста, соединенных каналом с MTU 1500 байт, но хосты хотят обмениваться пакетами размером 5940 байт, в этом случае будет включаться механизм фрагментации, и каждый исходный пакет будет разделен на четыре пакета по 1500 байт, чтобы они гарантированно прошли через канал, смещение первого фрагментированного пакета будет равно нулю, у второго пакета оно уже будет 1480 байт, третий пакет будет иметь смещение 2960 и последний пакет будет со смещением 4440 байт, все описанное выше представлено на рисунке.

Для удобства я пересчитывал единицы измерения смещения в байты.

Из примера понятно, что фрагментация это лишняя работа не только для транзитных узлов, которые ее выполняют, но и для хостов. Также в примере виден смысл поля ID и флага MF, по ним получатель понимает, что это не конец фрагментированной последовательности, но получатель заранее не знает размер исходного пакета.

В качестве проверки и подтверждения сказанного ранее я сделал пинг пакетам с размером, как в примере выше, и снял дамп, важно, чтобы MTU линков был равен 1500 байт чтобы получилось как в примере.

Интересные столбцы выделены цветами:

голубой = размер пакета

зеленый = наличие флага MF

красный = смещение

оранжевый = идентификатор

Строки выделять не стал, поскольку розовая строка здесь означает конец фрагментированной последовательности. Плюс важно учитывать, что на этом скрине в столбце Offset значение смещения не в байтах.

Установка iPerf3 на Linux и в Windows

Перейдем к практике, тренироваться будем на той же лабе, которая использовалась в посте про MTU. Вот топология сети:

Далее будет краткий гайд по установке и использованию iPerf в Linux и Windows, кому этот момент очевиден, можно смело пропускать.

Iperf представляет собой простой кросс-платформенный генератор трафика, у него есть две версии: вторая и третья, второй никогда не пользовался и чем она отличается от третьей не знаю. Iperf является клиент-серверным приложением.

Iperf это утилита командной строки в Windows, установка его здесь довольная простая, скачиваете архив по этой ссылке, выбирайте самую свежую версию, она внизу. Внутри полученного архива будет папка с именем iperf+номер_версии_разрядность_ОС:

Если хотите, можете скинуть эту папку в любое удобное вам место и на этом установка будет завершена. Я же создам в корне диска C папку с именем iperf3 и скопирую в него содержимое папки "iperf3.17_64.", так будет проще:

При желании можете добавить путь к файлу iperf3.exe в переменную PATH, тогда для запуска программы не придется каждый раз в командной строке переходить по пути C:\iperf3 чтобы запустить программу.

Установку в Linux буду показывать на примере Debian 10, пишем две команды:

В других дистрибутивах команды могут отличаться, в команде на установку iperf тройку после iperf пишем обязательно, иначе установится вторая версия.

Примечание

В репозитории дистрибутива, который вы используете, может находиться пакет не с самой последней версией iPerf, в моем случае вопрос версии не принципиален, нам просто надо посмотреть на работу фрагментации, но если вы планируете использовать его для тестов своих каналов, учитывайте два момента: тесты, выполненные на iperf разных версий, могут не показать реальной картины (обычно результаты хуже чем есть на самом деле), в разных версиях есть разные баги, влияющие на результаты тестирования. Microsoft же вообще не рекомендует использовать iPerf для тестов в Windows.

Как запустить тест скорости iPerf

Запустить тест скорости в iPerf дело не хитрое, начнем с сервера. Запуск сервера делается так:

Сервер ожидает запросы от клиента на порт 5201 любого из транспортных протоколов: TCP, UDP, SCTP. Если у вас используется firewall, убедитесь что порт открыт.

Клиента iperf будем запускать в Windows, для этого нужно запустить командую строку желательно от имени администратора, перейти в папку, где лежит exe файл (переходить никуда не надо будет, если добавить путь к iperf3.exe в переменную PATH):

Опции для разных ОС одинаковые, пользователи Linux могут получить справку при помощи утилиты man, в Windows можно написать iperf3.exe -h, но лучше обратиться к документации. Опции iperf делятся на серверные, клиентские и универсальные.

Теперь по поводу команды в Windows: -c говорит о том, что iperf запускается в режиме клиента, при этом данной опции надо передать IP-адрес сервера. Опция -f k говорит iperf о том, что скорость должна быть отображена в kbps, а -M 1300 задает размер TCP MSS 1300 байт.

Учитывайте, что какой бы протокол вы не использовали, iperf выставить df-bit = 1 и это никак не изменить, насколько мне известно, и это нужно учитывать при дальнейших тестах, плюс по умолчанию iperf генерирует пакеты только в одну сторону: от клиента к серверу. На сервере статистика тоже отображается, вот статистика для соединения, которое мы инициировали командой, выполненной выше в Windows:

Более детальную информацию о тесте можно получать, если использовать опцию -V на клиенте и сервере.

Как убрать df-bit у транзитного IP-пакета на роутере Cisco

Пожалуй, самый плохой сценарий для маршрутизатора в вопросах фрагментации, это когда маршрутизатор выполняет эту самую фрагментацию. Выше я не случайно написал про df-bit, который iPerf всегда выставляет на генерируемые им пакеты. С выставленным df-bit мы фрагментацию никогда не увидим, значит, его надо обнулить, как это сделать средствами Windows я не знаю и тратить время на то, чтобы с этим разобраться я не захотел, а вот на роутерах Cisco можно написать route-map и навешать этот route-map на интерфейс, в который будут входить пакеты с установленным df-bit, который мы хотим обнулять.

Примечание

Для тех, кто читал пост про MTU. В той лабе на интерфейсе CSR в сторону коммутатора был создан саб-интерфейс Gi2.200, на нем и был настроен IP-адрес, сейчас же саб-интерфейс Gi2.200 удален, IP-адрес перенесен на Gi2, а на линке CSR/SW кадры ходят без вланов.

Создать route-map можно, например, такой:

Строка set ip df 0 как раз и заставляет обнулять df-bit, а RM_DEL-DF-BIT это просто имя route-map, которое я ей придумал. Роут-мапу нам надо повешать на интерфейс Gi2, поскольку пакеты с df-bit, который мы хотим обнулять, будут входить именно в интерфейс (если бы остался саб-интерфейс Gi2.200, то тогда вешать надо было бы на него). Делается это так:

И давайте зададим IP MTU 1300 байт на интерфейс Gi1:

Всё, лабу подготовили.

Как работает фрагментация IP пакетов на роутере

Наконец-то мы добрались до самой фрагментации. Запустим iperf на Винде(команда iperf3.exe -c 10.0.0.2 -f k -M 1370) и снимем дампы:

1. Первый с линка между SW/Win, здесь будут идти не фрагментированные пакеты с TCP MSS 1370 байт, это уже больше чем MTU интерфейса Gi1, но к значению MSS нужно будет добавить еще размеры заголовков TCP и IP.

2. Второй дамп будем делать с линка Host_1/CSR. Здесь мы сможем увидеть фрагментированные пакеты, видя два дампа, мы сможем сделать вывод о том, что фрагментацию выполняет именно роутер.

Важно найти один и тот же пакет как в первом, так и во втором дампе, проще всего это сделать по идентификатору пакета. Вот пакет с номером 2e8b на линке SW/Win:

Размер пакета 1410 байт, df-bit = 1. А вот этот же пакет на линке Host_1/CSR:

Во-первых, пакетов два: 1300 байт и 130 байт, а это больше изначальных 1410, уже неприятно, особенно, если счёт будем вести на миллионы. Во-вторых, видим, что пакеты, которые идут в сторону Debian, имеют df-bit = 0, из увиденного делаем выводы:

1. Route-map работает, CSR снимает df-bit и делает фрагментацию.

2. Фрагментацию выполняет роутер.

Не вижу сейчас особого смысла смотреть внутрь пакета, т.к. все интересующие нас поля я вывел в дамп, но если что, вот пакет, который генерировала Винда:

Вот первый фрагмент на выходе из CSR Gi1:

А вот второй фрагмент:

Мы посмотрели пример фрагментации пакетов, понятно, что делать это на роутерах не очень правильно, но иногда приходится.

В следующий раз поговорим про Path MTU Discovery, для этого нужно отвязать route-map от интерфейса Gi2, чтобы роутер перестал обнулять df-bit:

IP MTU 1300 байт на линке Gi1 оставляем.

Вопросы для ваших ответов

Может ли фрагментированный IP пакет быть меньше 68 байт и почему?

Напомню топологию

Представим ситуации: на интерфейсе Gi2 роутера CSR настроен IP MTU 1400 байт, на всех остальных линках IP MTU 1500 байт, хост Windows генерирует в сторону Linux пакеты размером 1450 байт, что с этими пакетами будет?

Имеется линк с IP MTU 700 байт: на сколько фрагментов и какого разрмера будет разбит пакет1400 байт?

Имеется линк с IP MTU 725 байт: на сколько фрагментов и какого разрмера будет разбит пакет1430 байт?

Видео версия

Для тех, кому проще смотреть и слушать есть видео версия