Funkce směrovačů a přepínačů v síti: přepínání a směrování na L2 a L3

Role směrovačů a přepínačů v počítačových sítích

Směrovače (routery) a přepínače (switche) tvoří páteř moderních sítí. Přepínač propojuje koncová zařízení v rámci jedné lokální sítě (LAN) a pracuje převážně na 2. vrstvě OSI, zatímco směrovač propojuje různé sítě a rozhoduje o směrování paketů na 3. vrstvě OSI. Jejich správné pochopení – včetně toho, jak funguje učení adres, přeposílání, segmentace, redundance, bezpečnost a správa – je klíčem k návrhu rychlých, odolných a bezpečných sítí.

Referenční modely a datové jednotky

Vrstva 2 (Linková, L2): rámce (Ethernet), MAC adresy, přepínače, VLAN, STP.
Vrstva 3 (Síťová, L3): pakety (IP), směrování, ARP/ND, ICMP, routery.
Vrstva 4 (Transportní, L4): TCP/UDP porty, QoS klasifikace a ACL mohou využívat L4 hlavičky.

Jak funguje L2 přepínač: učení, tabulka MAC a přeposílání

Učení (learning): Switch sleduje zdrojové MAC adresy příchozích rámců a mapuje je do MAC tabulky (MAC → port, VLAN).
Přeposílání (forwarding): Při známém cíli odešle rámec pouze na příslušný port (unicast). Při neznámém cíli provede flooding v dané VLAN (všechny porty kromě zdrojového).
Stárnutí záznamů: MAC záznamy expirují po timeoutu, aby se přizpůsobily změnám topologie.
Broadcast a multicast: Broadcast (např. ARP) je floodován; multicast lze optimalizovat IGMP snoopingem.

Fyzické a logické porty, VLAN a trunky

Přístupový port (access) nese rámce jedné VLAN; rámce jsou na médiu neoznačené (untagged).
Trunk port přenáší více VLAN s označením 802.1Q (tagged); volitelně definovaná native VLAN (untagged) – z bezpečnostních důvodů ji nepoužívat pro produkční data.
VLAN logicky segmentuje broadcast domény; zmenšuje šum a zvyšuje bezpečnost a organizaci sítě.

Spanning Tree (STP): prevence smyček

Problém smyček: broadcast storm a mnohonásobné kopie rámců při redundanci.
STP/RSTP/MSTP: volí root bridge, blokuje nadbytečné porty a vytváří bezsmyčkovou stromovou strukturu. RSTP výrazně zrychluje konvergenci; MSTP umožňuje více instancí pro různé VLAN.
Ochranné mechanismy: BPDU Guard (blokuje port při detekci BPDUs na access portu), Root Guard (chrání roli rootu), Loop Guard, Storm Control.

Agregace linek a redundance na L2

LACP (802.1AX): logické sloučení více fyzických linek do jednoho svazku (port-channel/EtherChannel) pro zvýšení propustnosti a odolnosti.
Duální připojení: připojení přepínače k oběma distribučním prvkům; nutná správná politika STP/LACP.

Bezpečnost na přepínači

Port Security: omezení počtu MAC adres na portu, sticky MAC, akce při porušení pravidel (shutdown/restrict).
DHCP Snooping + Dynamic ARP Inspection: ochrana proti rogue DHCP a ARP spoofingu.
Private VLAN: mikroseparace v rámci VLAN (izolace, komunity).
802.1X: ověřování zařízení před povolením přístupu (Network Access Control).

L3 přepínače: směrování „na drátě“

L3 switche kombinují ASIC přeposílání s funkcemi routeru. Umožňují inter-VLAN routing (SVI – Switch Virtual Interface), statické i dynamické směrování (OSPF/IS-IS/EIGRP) a ACL/QoS na L3. Výhodou je line-rate propustnost a nízká latence uvnitř kampusu nebo datového centra.

Jak funguje router: rozhodování podle směrovací tabulky

Longest Prefix Match: router vybere ze směrovací tabulky záznam s nejdelším shodným prefixem cílové IP adresy.
ARP/ND: pro výstupní next-hop v lokální síti zjistí L2 adresu (ARP pro IPv4, Neighbor Discovery pro IPv6).
Přeposílání: upraví L2 hlavičku, sníží TTL/Hop Limit, přepočítá kontrolní součet a odešle paket.

Statické a dynamické směrování

Statické: jednoduché, přehledné; nevhodné pro rozsáhlejší či měnící se topologie.
OSPF/IS-IS (link-state): rychlá konvergence, škálovatelnost, hierarchická struktura oblastí.
RIP (distance-vector): historický protokol, dnes vhodný spíše pro malé nebo testovací prostředí.
BGP: směrování mezi autonomními systémy, podpora politiky směrování, škálování v datových centrech (EVPN). Klíčový protokol pro internet i overlay sítě.

NAT a překlad adres

SNAT/PAT (masquerade): více interních IP adres sdílí jednu veřejnou – překlad zdrojové adresy a portu pro přístup k internetu.
DNAT/port forwarding: mapování veřejné IP adresy a portu na interní službu.
NAT64/NPTv6: specializované varianty pro přechod a normalizaci v IPv6 prostředí.

Firewalling a ACL na routerech/přepínačích

ACL (L2–L4): filtrace podle zdroje, cíle, portu a protokolu, směr provozu in/out; doporučuje se explicitní deny any log pro auditování.
Stavové firewally: sledují stav spojení (session table), chrání proti skenování a některým DoS útokům.
Zónová politika: rozdělení rozhraní do bezpečnostních zón s pravidly mezi nimi.

QoS: řízení kvality služeb

Klasifikace a značení: DSCP/CoS, definice tříd provozu (hlas, video, data, background).
Policing/Queuing/Shaping: omezení rychlosti, prioritní fronty (LLQ), vyhlazování provozu.
Trust boundary: hranice, kde přijímáme značky od koncových zařízení a kde je přepisujeme.

IPv6 specifika: SLAAC, RA a NDP

SLAAC: hostitelé si generují adresu z prefixu inzerovaného routerem (Router Advertisements).
NDP: ekvivalent ARP pro IPv6, zahrnuje detekci duplikátů (DAD) a sousedské vyhledávání.
DHCPv6: doplňuje SLAAC o přidělení dalších parametrů (DNS apod.).

VRF, segmentace a overlay sítě

VRF (Virtual Routing and Forwarding): více oddělených směrovacích tabulek na jednom směrovači – logická segregace tenantů.
VXLAN: enkapsulace L2 přes L3 (overlay); v datových centrech často v kombinaci s EVPN jako control-plane.
Micro-segmentation: jemnozrnná pravidla mezi workloady, často na úrovni hypervizoru nebo SR-IOV.

Hardwarová akcelerace, data-plane vs. control-plane

ASIC: přeposílání na line-rate (TCAM pro ACL/QoS), nízká latence.
Control-plane: běh protokolů (OSPF/BGP/IS-IS), management; chránit CoPP (Control-Plane Policing).
Software routery: flexibilita, vhodné pro edge, SD-WAN; propustnost závislá na CPU/DPDK/akceleraci (SR-IOV/SmartNIC).

Redundance a vysoká dostupnost

HSRP/VRRP/GLBP: virtuální gateway pro L2 segment – rychlý failover výchozí brány na přístupové vrstvě.
ECMP: multipath směrování na L3 (více next-hopů se stejnou metrikou).
Dual-homing: koncové switche připojené k dvojici distribučních routerů/switchů s využitím LACP/STP/MLAG.

Multicast v LAN/WAN

IGMP Snooping: switch přeposílá multicast jen přihlášeným portům.
PIM (Sparse/Dense): směrování multicastu na L3; RP (Rendezvous Point) pro Sparse mode.

Správa, telemetrie a automatizace

SNMP/NETCONF/RESTCONF: inventarizace, konfigurace, monitoring zařízení.
Syslog, NetFlow/IPFIX: události a toková telemetrie pro kapacitní plánování a detekci anomálií.
Automatizace: šablony (Ansible), deklarativní konfigurace, intent-based řízení; CI/CD pro sítě.

Typický životní cyklus rámce/paketu (příklad)

Hostitel A (VLAN 10) chce komunikovat s Hostitelem B (VLAN 20). Vytvoří IP paket a předá ho své výchozí bráně (SVI VLAN 10 na L3 switchi).
Switch pomocí ARP zná MAC adresu gateway, odešle rámec; L3 switch paket směruje do VLAN 20 (SVI), aplikuje ACL/QoS, sníží TTL.
Pro cíl ve VLAN 20 provede L3 switch ARP na Hostitele B, zapouzdří do rámce VLAN 20 a odešle pouze na port s MAC adresou B (unicast).

Výkon, latence a velikost MTU

Line-rate vyžaduje dostatečnou kapacitu zpětné sběrnice, buffery a efektivní QoS, aby se zabránilo ztrátám paketů.
Jumbo frames (např. 9000 B) zvyšují efektivitu zejména pro storage a virtualizaci; je nutná konsistence MTU end-to-end.

Nejčastější provozní chyby a prevence

Nesprávná native VLAN na trunku → VLAN hopping nebo nekonzistence. Doporučení: nepoužívat native VLAN pro produkční data, změnit defaultní native VLAN a omezit VLANy na trunku (prune).
Chybějící STP ochrany na access portech → riziko smyček. Aktivujte BPDU Guard a PortFast.
Rogue DHCP/ARP poisoning → povolit DHCP Snooping a Dynamic ARP Inspection.
Nekonzistentní MTU/QoS → fragmentace a ztráty paketů; sjednotit profily na celé datové cestě.

Check-list návrhu podnikové sítě

Definujte VLAN a IP plán, VRF/segregaci tenantů a výchozí bezpečnostní politiku.
Navrhněte L3 jádro s ECMP a L2 přístup s redundantní topologií a STP ochranami.
Implementujte HSRP/VRRP pro výchozí bránu, LACP pro uplinky, ACL a QoS na hranách sítě.
Povolte IGMP snooping, logování (syslog), tokovou telemetrii a CoPP.
Zaveďte automatizaci konfigurací a verzování (Git), standardy a audit změn.

Závěr

Přepínače poskytují rychlou a segmentovanou L2 konektivitu, směrovače zajišťují L3 propojení sítí, politiku a kontrolu toku. V moderních infrastrukturách se jejich role prolínají (L3 switche, SDN/EVPN/VXLAN), avšak principy zůstávají: správná segmentace, bezsmyčková redundance, deterministické směrování, bezpečnost na každé vrstvě a pozorovatelnost přes telemetrii. Důsledná aplikace těchto zásad vede k síti, která je rychlá, stabilní, bezpečná a snadno spravovatelná.