ერთი ping-ის შრეებად დაშლიდან იმ დაშიფრულ ტუნელამდე, რომელიც ორ ოფისს საჯარო ინტერნეტში აერთებს: სეგმენტაცია, დამისამართება, მარშრუტიზაცია სამივე სახით, ლინკების აგრეგაცია და დაცვა.
მდგომარეობა: დასრულებულია. ოცდაშვიდი ლაბი რვა თავად — ერთი ping-ის შრეებად დაშლიდან ცარიელი კარადიდან აშენებულ მთელ კამპუსამდე; თითოეული ცოცხალ სტენდზე ბოლომდე გატესტილი, ინგლისურად და ქართულად.
როგორ მოძრაობს პაკეტი სინამდვილეში და რას ამატებს თითოეული შრე.
ერთი ping და ერთი ვებ-მოთხოვნა — და თვალის მიდევნება, რა ხდება თითოეულ შრეზე: MAC-მისამართი, IP და TTL, პორტი, აპლიკაცია. OSI აქ ცხრილი აღარაა.
ერთი ფიზიკური სვიჩი, რამდენიმე ლოგიკური ქსელი — და როგორ დავაკავშიროთ ისინი უსაფრთხოდ.
სამი ჰოსტი ერთ სვიჩზე, ერთ IP-ქვექსელში. სანამ სვიჩი „ბრმაა", სამივე ერთმანეთს ხედავს. შენი ამოცანაა, ერთი ფიზიკური სვიჩი ორ ლოგიკურ ქსელად აქციო.
სამი სვიჩი სამკუთხედად. მესამე ლინკის დაცვის გარეშე ჩართვა ქსელს წამებში კლავს; Spanning Tree კი თვითონ ბლოკავს ერთ პორტს — და ხსნის მაშინვე, როგორც კი კაბელი ჩავარდება.
ორი VLAN, ორი ქვექსელი და ერთადერთი ლინკი როუტერამდე. სვიჩზე trunk უნდა ააწყო, როუტერზე კი — ორი ქვეინტერფეისი, თითო VLAN-ზე თითო კარიბჭე.
ორ სვიჩს შორის ორი პარალელური კაბელია. უბრალოდ ჩართვა მარყუჟს შექმნის; სწორი პასუხია, ორივე ერთ ლოგიკურ ლინკად შეიკრას — ორმაგი გამტარუნარიანობით და ავტომატური რეზერვით.
მისამართების სივრცის დაგეგმვა — IPv4-შიც და IPv6-შიც.
ერთი ბლოკი — 172.16.8.0/22 — და სამი სეგმენტი სხვადასხვა მოთხოვნით. მისამართები არსად არ არის: ჯერ უნდა დააპროექტო, მერე გაანაწილო.
IPv4 უკვე მუშაობს. ახლა იმავე ქსელს IPv6 უნდა დაემატოს — და ჰოსტებმა მისამართი თვითონ უნდა აიღონ, DHCP-ის გარეშე.
სტატიკური მარშრუტები და სამი პროტოკოლი, რომელიც ქსელს კონვერგენციაში ამყოფებს.
სამი როუტერი ჯაჭვად, ორი ჰოსტი კიდეებზე. მარშრუტები ხელით უნდა გაწერო — ორივე მიმართულებით. კარგი შესავალი იმისა, თუ რატომ გვჭირდება OSPF.
ორ ოფისს შორის ორი გზაა: სწრაფი პირდაპირი ლინკი და ნელი სათადარიგო. ორივე უნდა გაწერო ისე, რომ ჩვეულებრივ პირველი მუშაობდეს, ავარიაზე კი ტრაფიკი თავისით გადავიდეს მეორეზე.
ორი დამოუკიდებელი ოპერატორი, თითო თავისი AS-ნომრით. ერთმანეთს უნდა დაუმეზობლდნენ და თავიანთი ქსელები გამოაცხადონ — ეს არის ის, რითიც ინტერნეტი მუშაობს.
ერთი დანიშნულება, ორი გზა. BGP თავისით მოკლე AS-path-ს ირჩევს — შენ კი ორი სხვადასხვა ბერკეტით უნდა აიძულო, აზრი შეიცვალოს.
ორი FRR როუტერი და ორი ჰოსტი. ინტერფეისები მოწყობილია, OSPF — არა. შენი ამოცანაა მეზობლობის დამყარება და ქსელების გავრცელება.
ერთი დიდი OSPF-დომენი ორ არეად იყოფა. შუაში მდგარი როუტერი ორივეს ეკუთვნის — და სწორედ ის წყვეტს, რას გაუზიარებს ერთს მეორის შესახებ.
სამი როუტერი ერთ ავტონომიურ სისტემაში. მთავარი აქცენტი ტოპოლოგიის ცხრილზეა — successor, feasible distance და reported distance: ის, რითიც EIGRP დანარჩენებისგან განსხვავდება.
DHCP, DNS და NAT — სამი სერვისი, რომელსაც ადმინისტრატორი ყოველდღე ეხება.
ოთხი პაკეტი ჰოსტს მთელ ქსელურ იდენტობას აძლევს. სერვერი ერთ სეგმენტშია, კლიენტი — მეორეში, და broadcast როუტერზე ჩერდება. სწორედ ამისთვისაა relay.
ავტორიტეტული სერვერი, რომელსაც ზონა ეკუთვნის, რეკურსიული რეზოლვერი, რომელიც კლიენტისთვის პასუხს პოულობს, და კლიენტი, რომელმაც მხოლოდ სახელები იცის. ერთ მოთხოვნას სამივეზე გავყვებით dig-ით.
კერძო ქსელი ერთი საჯარო მისამართის უკან. masquerade გამავალზე, DNAT შემომავალზე და conntrack-ის ცხრილი თვალწინ — პლუს ის, რატომ არ მუშაობს hairpin და როგორ სწორდება.
რა ხდება, როცა რაღაც ჩავარდება, და როგორ ჯანმრთელდება ქსელი თავისით.
ორი როუტერი ერთ ვირტუალურ მისამართს იზიარებს. ჰოსტმა ამის შესახებ არაფერი იცის — მისთვის კარიბჭე ერთია. MASTER-ის ჩავარდნაზე BACKUP მისამართსაც და MAC-საც იბრუნებს, სესია კი ვერ ამჩნევს.
შიდა OSPF-დომენი და გარე BGP-სამყარო, საზღვარზე კი ერთი როუტერი დგას. მარშრუტები ორივე მიმართულებით უნდა გადავიდეს — და აქვე ზის კლასიკური ხაფანგი: ფილტრის გარეშე რედისტრიბუცია მარყუჟებს აშენებს.
მოწყობილობის დაცვა, რომელსაც მართავ, და ტრაფიკის დაცვა, რომელიც ინტერნეტს კვეთს.
სერვერი როუტერის მიღმა, მის უკან კი შიდა კვანძი, რომელიც პირდაპირ არ მიგიწვდება. გასაღებით შესვლა, პაროლის გამორთვა — და ტუნელი, რომლითაც მაინც მიაღწევ.
სამი ზონა, ერთი მფილტრავი როუტერი და ნაგულისხმევი აკრძალვა. დაწერე წესები, რომლებიც ოფისს გარეთ უშვებს, DMZ-ში ზუსტად ერთ სერვისს აქვეყნებს და ინტერნეტს შიგნით არ უშვებს — და ნახე, როგორ წყვეტს conntrack-ის ცხრილი, რომელი პაკეტია პასუხი.
ორი ოფისი, შუაში ოპერატორი, რომელსაც კერძო ქსელების შესახებ არაფერი იცის. ტრაფიკი მხოლოდ დაშიფრული ტუნელით გაივლის — და ეს თვალითაც უნდა დაინახო.
თანამედროვე VPN ოთხ სტრიქონში. ორი მოხეტიალე კლიენტი, ერთი ოფისის კარიბჭე და ერთი იდეა, რომელიც მთელ IPsec-ის პოლიტიკის ბაზას ცვლის: cryptokey routing, სადაც მხოლოდ საჯარო გასაღები წყვეტს, სად წავა პაკეტი და შემოუშვან თუ არა საერთოდ.
უკვე გაფუჭებული ქსელის დიაგნოზი — სამუშაოს დანარჩენი 80%.
ping მუშაობს. SSH უკავშირდება. პატარა გვერდები იხსნება. დიდი გადაცემები კი სამუდამოდ იყინება და მიზეზი არავინ იცის. ეს ქსელებში ყველაზე ხშირად არასწორად დიაგნოსტირებული ავარიაა — ამ ლაბის შემდეგ წამებში ამოიცნობ.
100 მბიტ/წმ ხაზი, 100 მილიწამის მოშორებით, და სარეზერვო ასლი, რომელიც ხუთზე მიცოცავს. არაფერი გაფუჭებულა — ხაზი თავისუფალია, სერვერებს მოსწყინდათ. წაიკითხე ჰენდშეიკი, გამოთვალე ზოლი × დაყოვნება და გაარკვიე, რატომ არ ჩქარობს TCP.
ხუთი გაუმართაობა, ხუთ სხვადასხვა შრეზე დარგული, ქსელში, რომელიც არავის აღუწერია. არც მინიშნებები, არც სიმპტომების სია — მხოლოდ მომხმარებელი, რომელიც ამბობს, რომ არ მუშაობს. იმუშავე შრე-შრე ზემოთ, როგორც ღამის სამ საათზე კეთდება.
ცარიელი კარადა, დამისამართების გეგმა და ექვსი მოთხოვნა. VLAN-ები წვდომის სვიჩზე, VLAN-თაშორისი მარშრუტიზაცია ბირთვზე, OSPF კიდემდე, NAT ოპერატორისკენ, გამოქვეყნებული DMZ და ნაგულისხმევი აკრძალვა — წინა ოცდაექვსი ლაბი ერთდროულად.