Co jsou internetové protokoly a proč na nich záleží
Internetové protokoly jsou standardizovaná pravidla, která určují, jak si zařízení v sítích vyměňují data. Specifikují strukturu paketů, adresování, řízení toku, zabezpečení a chování při chybách. Bez protokolů by nebyla možná interoperabilita mezi různými operačními systémy, hardwarem a aplikacemi.
Modely vrstev: TCP/IP vs. OSI
- TCP/IP model (praktický): Linková vrstva → Internetová vrstva (IP) → Transportní vrstva (TCP/UDP/QUIC) → Aplikační vrstva (HTTP, DNS, SMTP…)
- OSI model (referenční): 7 vrstev od Fyzické po Aplikační. Slouží k přesnému popisu, i když reálné internetové protokoly se mapují volně.
- Proč to řešit: Pochopení vrstev pomáhá při návrhu, diagnostice i segmentaci odpovědností (například zda problém spočívá v IP směrování, TCP kongesci nebo v HTTP logice).
IP – Internet Protocol (IPv4/IPv6)
- Úloha: Bezstavové směrování paketů v heterogenní síti. IPv4 používá 32bitové adresy, IPv6 128bitové.
- Fragmentace a MTU: IPv4 může fragmentovat pakety v síti; IPv6 fragmentaci v síti nepovoluje a spoléhá na Path MTU Discovery.
- Adresování a CIDR: Prefixy (například
192.0.2.0/24,2001:db8::/32), agregace směrovacích tabulek. - Autokonfigurace: IPv4: DHCP, APIPA; IPv6: SLAAC (Router Advertisement), DHCPv6 a delegace prefixu.
- Privátní adresy a NAT: IPv4:
10/8,172.16/12,192.168/16, CGNAT; IPv6 preferuje end-to-end komunikaci bez NAT, i když existují NAT64/DNS64 scénáře pro přístup k IPv4.
ICMP a ICMPv6 – signální a diagnostické zprávy
ICMP slouží k oznamování chyb (Destination Unreachable), řízení (Time Exceeded pro traceroute) a diagnostiku (echo/ping). V IPv6 má ICMPv6 klíčovou roli také pro sousedské funkce (Neighbor Discovery, Router Advertisement, Duplicate Address Detection).
ARP a NDP – mapování IP na linkové adresy
- ARP (IPv4): Překlad IP adres na MAC adresy v lokálním segmentu vrstvy 2.
- NDP (IPv6): Součást ICMPv6: sousedské zjišťování, směrovací oznámení, detekce duplikace adres.
Směrovací protokoly: OSPF, IS-IS, BGP
- OSPF/IS-IS: IGP pro vnitřní domény, link-state algoritmy, rychlá konvergence, hierarchie oblastí.
- BGP: EGP pro výměnu tras mezi autonomními systémy (AS). Zahrnuje politiky, atributy (AS-PATH, LOCAL_PREF, MED) a klade důraz na škálovatelnost před rychlostí konvergence.
- Anycast: Stejná IP adresa umístěná na více místech; směruje klienta k nejbližšímu uzlu podle metriky. Běžné u DNS, CDN a NTP.
Transportní vrstva: TCP, UDP a QUIC
- TCP: Spolehlivý byte-stream protokol, třícestný handshake, řízení toku (okna), kongesční řízení (Reno, CUBIC, BBR), SACK, Window Scaling, Timestamps, MSS. Citlivý na zpoždění a ztráty paketů.
- UDP: Bezspolehlivý datagramový přenos; menší režie, vhodný pro real-time přenosy (RTP), DNS, základ pro QUIC.
- QUIC: Běží nad UDP, integruje šifrování (TLS 1.3), podporuje multiplicitní streamy bez head-of-line blokace, 0-RTT resumption; základ pro HTTP/3.
Šifrování a integrita: TLS, DTLS a IPsec
- TLS 1.3: Zajišťuje důvěrnost a integritu nad spolehlivými protokoly (TCP, QUIC). Podporuje PFS (ECDHE), zkrácené handshaky (resumption, 0-RTT s opatrností vůči opakovatelnosti).
- DTLS: TLS pro datagramové přenosy (UDP), vhodný pro VoIP, IoT a WebRTC.
- IPsec (AH/ESP, IKEv2): Šifruje na úrovni IP; režimy tunel/transport; často používaný pro VPN a propojení sítí.
DNS – Doménový systém
- Funkce: Překlad doménových jmen na IP adresy, TXT záznamy pro ověřování, SRV/CAA pro služby.
- Bezpečnost: DNSSEC (digitální podpisy a validace), DANE; ochrana soukromí pomocí DoT (DNS-over-TLS), DoH (DNS-over-HTTPS).
- Provozní praxe: Anycast resolvery, nízká TTL pro rychlé změny, split-horizon DNS.
HTTP/1.1, HTTP/2, HTTP/3
- HTTP/1.1: Perzistentní spojení a pipelining, ale trpí head-of-line blokací na TCP úrovni.
- HTTP/2: Multiplexování streamů v rámci jednoho TCP spojení, binární rámování, HPACK; stále trpí TCP HoL při ztrátách.
- HTTP/3: Postavený na QUIC/UDP, multiplex bez TCP HoL, rychlejší obnova po ztrátách, QPACK, integrované šifrování.
- Optimalizace: HSTS, server push (omezeně), komprese hlaviček, CDN, cache-control a ETag pro efektivní cacheování.
E-mailové protokoly: SMTP, IMAP, POP3 a autentizace
- SMTP: Pro odesílání a přeposílání (relay); dnes s povinným STARTTLS mezi servery.
- IMAP/POP3: Přístup ke schránce; IMAP pro synchronizaci složek, POP3 vhodnější pro jednoduché stahování pošty.
- Ověření odesílatele: SPF (autorizace IP), DKIM (digitální podpisy zpráv), DMARC (politika a reporting) ke snížení rizika spoofingu.
VoIP a multimédia: SIP, RTP, WebRTC
- SIP: Signalizace relací (volání), registrace, vyjednávání parametrů.
- RTP/RTCP: Přenos multimédií s časovou synchronizací; běžně přes UDP, často s QoS značkami.
- WebRTC: Real-time komunikace v prohlížeči; STUN/TURN/ICE pro průchod NAT, SRTP a DTLS pro zabezpečení.
Souborové a vzdálené přístupy: FTP, SFTP, SCP, NFS, SMB, SSH
- FTP/FTPS: Historický protokol s odděleným datovým a řídicím kanálem; problematický při použití za NAT a firewall.
- SFTP/SCP: Protokoly nad SSH, jednoduché a bezpečné přenosy bez komplikací s porty.
- SSH: Bezpečné vzdálené přihlášení, tunelování a forwardování, autentizace veřejnými klíči, agent pro správu klíčů.
- NFS/SMB: Sdílení souborů v síti; důležité především pro interní LAN, vyžadují správnou správu přístupových práv a firewally.
IoT a lehké protokoly: MQTT, CoAP, AMQP
- MQTT: Publish/subscribe model, minimální režie nad TCP (nebo WebSockety), vhodný pro senzory a zařízení s nízkou spotřebou.
- CoAP: REST-like protokol nad UDP, nízká spotřeba, podpora Observe; vhodný pro omezená zařízení.
- AMQP: Robustní messaging protokol (fronty, směrování, potvrzení), vhodný spíše pro server-to-server komunikaci.
- 6LoWPAN/Thread/Matter: Adaptace IPv6 na nízkonapájecí sítě, interoperabilita chytré domácnosti.
Měřicí a infrastrukturní protokoly: NTP, SNMP, NetFlow/IPFIX, syslog
- NTP/Chrony: Synchronizace času (včetně PTP pro nízkou latenci v průmyslu).
- SNMP: Monitoring síťových zařízení, správa MIB/OID, trap/notify zprávy, zabezpečení ve verzi 3.
- NetFlow/IPFIX, sFlow: Telemetrie síťových toků pro kapacitní plánování a detekci anomálií.
- Syslog: Centralizované logování, strukturované zprávy, přenos s TLS zabezpečením.
QoS a řízení provozu
- DSCP/ECN: Značkování paketů, signalizace kongescí bez ztrát (ECN).
- Fronty a shaping: Priority Queueing, WFQ, FQ-CoDel/CAKE pro snížení bufferbloatu.
- Policing vs. Shaping: Tvrdé omezení provozu versus vyhlazování provozu.
Zajištění dostupnosti: CDN, load balancing, proxy a cache
- CDN: Edge cache, anycast, optimalizace latence a odolnosti vůči špičkám provozu.
- Load balancery: L4 (TCP/UDP) versus L7 (HTTP/gRPC), health-checky, sticky sessions.
- Proxy: Forward/reverse, TLS terminace, WAF, rate-limiting, autentizace a cachování.
Bezpečnostní mechanismy nad rámec šifrování
- Autentizace a autorizace: OAuth 2.0, OpenID Connect, mTLS pro komunikaci server-to-server.
- Politiky a hlavičky: CSP, HSTS, X-Frame-Options, SameSite cookies.
- DNS bezpečnost: DNSSEC validace, DoH/DoT pro ochranu soukromí uživatelů.
- Segmentace a Zero Trust: Mikrosegmentace, identity-aware proxy, princip nejmenších oprávnění.
Moderní API protokoly a vzory: REST, GraphQL, gRPC, WebSocket
- REST/HTTP: Jednoduché, cacheovatelné, idempotentní operace PUT/DELETE, správné kódy odpovědí a hlavičky.
- GraphQL: Jeden endpoint, selektivní dotazy; vyžaduje řízení složitosti (omezení nákladů, cacheování na okraji sítě).
- gRPC: HTTP/2, binární Protobuf, streaming; vhodné pro mikroservisy s nízkou latencí.
- WebSocket/WebTransport: Obousměrná komunikace s nízkou latencí; WebTransport využívá QUIC.
NAT, firewally a průchodnost
- NAT44/CGNAT: Překlad mnoha privátních adres na veřejnou; komplikace pro P2P a VoIP provoz.
- NAT64/DNS64: Umožňuje IPv6 klientům přístup k IPv4 serverům.
- STUN/TURN/ICE: Sady technik pro zjištění a překonání NAT při real-time spojích.
- Firewally: Pravidla na L3/L4, next-gen firewally s inspekcí na L7, IDS/IPS, ochrana proti DDoS.
Výkon a latence: praktické optimalizace
- TCP ladění: Aktivace SACK, Window Scaling, zvětšení bufferů pro linky s vysokou BDP; BBR může zlepšit latenci i propustnost.
- HTTP optimalizace: Přechod na HTTP/3, minimalizace TLS handshake (OCSP stapling, session resumption), konsolidace domén (méně spojení).
- Obsah: Komprese (gzip/br), AVIF/WebP, správné Cache-Control a ETag, minimalizace přesměrování.
Provozní spolehlivost: verzování a kompatibilita
- Zpětná kompatibilita: Evoluce protokolů bez přerušení klientů (content negotiation, feature flags).
- Verzování API: Explicitní verze v URL/hlavičkách, semver u schémat, migrační období.
- Observabilita: Trace context (W3C), korelace logů, metriky latence, chybovosti a saturace.
Diagnostika a nástroje
- Ping/Traceroute/MTR: Základní měření latence a trasy, ztráty paketů, nestabilita směrování.
- dig/nslookup: Diagnostika DNS, kontrola záznamů, validace DNSSEC.
- curl/httpie: Testování HTTP(s) hlaviček, přesměrování, TLS parametrů.
- tcpdump/Wireshark: Zachytávání paketů, analýza handshake, SNI, retransmise, okna TCP.
- iperf: Měření propustnosti a vlivu RTT.
Bezpečnost e-mailu a reputace
- SPF/DKIM/DMARC: Minimální sada pro zvýšení důvěryhodnosti doručování a obranu proti spoofingu.
- MTA-STS, TLS-RPT: Prosazení TLS a reporting problémů v e-mailové komunikaci.
Trendy a vývoj protokolů
- HTTP/3 a QUIC: Širší adopce, lepší chování v mobilních sítích a při ztrátách paketů.
- MASQUE: Tunneling přes HTTP/3/QUIC (CONNECT-UDP) pro nové modely proxy.
- Multip
