Technologie

Správa a konfigurace síťových služeb a protokolů

Kapustova M 0

Co znamená správa síťových služeb a protokolů

Správa síťových služeb a protokolů v prostředí síťových operačních systémů (NOS) zahrnuje návrh, nasazení, provoz, monitorování a zabezpečení klíčových komponent, které zajišťují adresaci, jmenné služby, časovou synchronizaci, směrování, přístup, autentizaci, dohled, vysokou dostupnost a kvalitu služeb. Cílem je dosáhnout předvídatelného chování sítě, odolnosti vůči poruchám a souladu s bezpečnostními a provozními požadavky organizace.

Referenční architektura: vrstvy a domény

  • Access & Edge: L2/L3 přepínače, bezdrátové kontroléry, síťové segmenty pro koncové uživatele a IoT.
  • Distribution/Core: směrovače a L3 switche s OSPF/BGP, QoS a politikami segmentace.
  • Service Layer: DNS, DHCP, NTP, PKI, AAA (RADIUS/TACACS+), adresář (LDAP/AD), proxy, NGFW/IDS/IPS.
  • Observability: SNMP/NETCONF/RESTCONF, Syslog, NetFlow/sFlow/IPFIX, telemetry (gNMI), NMS a SIEM.

Adresace a plánování IP (IPv4/IPv6)

  • IPAM: centrální správa rozsahů, rezervací a delegací prefixů.
  • IPv6 design: hierarchické /48–/64 prefixy, SLAAC vs. DHCPv6, Unique Local vs. globální adresy.
  • Segmentace: VLAN/VRF, oddělení uživatelů, serverů, managementu a hostů; mapování na firewally a ACL.

DHCP a DHCPv6: dynamická konfigurace koncových stanic

  • Role serveru/relaye: centralizace pomocí IP Helper, redundance (failover/HA páry).
  • Rezervace a třídy: MAC binding, třídy podle option 60/82, profilace zařízení.
  • Bezpečnost: DHCP Snooping, IP Source Guard, Dynamic ARP Inspection proti podvrhům.

DNS: jmenné služby a jejich odolnost

  • Autoritativní vs. rekurzivní: oddělení zón od resolverů, split-horizon DNS pro vnitřní/veřejné názvy.
  • Bezpečnost a integrita: DNSSEC pro digitální podpisy zón, Response Rate Limiting, blokace škodlivých domén.
  • Výkon a HA: anycast, geograficky rozložené instance, EDNS0 a cache politiky (TTL, negativní cache).

NTP/PTP: přesná synchronizace času

  • NTP stratum: vnitřní hierarchie s guard servery; autentizace (Autokey/NTPSec).
  • PTP (IEEE 1588): pro citlivé průmyslové a telekomunikační aplikace (boundary/transparent clocks).
  • Best practices: minimálně dva nezávislé upstream zdroje, monitoring offsetu a jitteru.

AAA: RADIUS a TACACS+ pro řízení přístupu

  • Autentizace/Autorizace/Audit: centralizace přístupu správců a uživatelů, modely založené na rolích.
  • Integrace: napojení na LDAP/AD, network access control (802.1X/MAB), profilace a dynamické VLAN.
  • Bezpečnost: segmentace managementu (out-of-band), mTLS/IPsec k AAA serverům, účetní záznamy do SIEM.

Adresářové služby: LDAP/Active Directory

  • Struktura: OU, skupiny, GPO pro správu koncových stanic a serverů.
  • Služby identity: Kerberos/SPNEGO pro SSO, ADFS/OAuth/OIDC pro aplikace.
  • Delegace a audit: princip nejmenších oprávnění a tiered admin model, detekce anomálií přihlášení.

Správa směrování: OSPF, IS-IS a BGP

  • OSPF/IS-IS: hierarchické oblasti, LSA optimalizace, rychlá konvergence, graceful restart.
  • BGP: eBGP/iBGP, route reflection, komunitní značky, MED/LocalPref, graceful shutdown.
  • Bezpečnost a stabilita: TTL security, GTSM, MD5/AES autentizace sousedství, prefix-listy, RPKI.

Vrstva 2: STP/MSTP/RSTP, EVPN a segmentace

  • STP rodina: rychlá konvergence, root guard, BPDU guard, loop guard, storm-control.
  • VXLAN EVPN: L2/L3 overlay pro datová centra, route-type 2/5/7, IRB, multihoming (ESI-LAG).
  • MAC bezpečnost: port security, dynamická detekce rogue zařízení, 802.1X na přístupové vrstvě.

Firewalling, NAT a řízení přístupu (ACL)

  • L3/L4 ACL: explicitní politika deny by default, object-groups, logování hitů a shadow pravidel.
  • NGFW: aplikační identifikace, IPS, filtrování URL/DoH, dešifrování TLS s respektem k soukromí.
  • NAT: SNAT/DNAT, hairpin, konzistence s vysokou dostupností (state sync).

VPN a šifrované tunely: IPsec, WireGuard, SSL VPN

  • Site-to-site: IPsec s IKEv2, PFS, robustní kryptografie a dead peer detection.
  • Remote access: SSL VPN/DTLS, split-tunneling politiky, posture check.
  • WireGuard: jednoduchá konfigurace, moderní kryptografie; vhodný pro automatizaci a mesh topologie.

HTTP/S a reverzní proxy, L4/L7 load balancery

  • Reverzní proxy: terminace TLS, HSTS, OCSP stapling, směrování podle cesty/hlaviček, WAF.
  • Load balancing: L4 (TCP/UDP) vs. L7 (HTTP/2/3), health-checky, sticky sessions, blue/green.
  • Cache/CDN: snížení latence, ochrana před DDoS, rate limiting a geo routing.

E-mailové služby: SMTP, IMAP/POP a bezpečnost

  • Transport: MTA s TLS, MTA-STS a DANE, antispamové/antimalwarové filtry.
  • Autenticita: SPF, DKIM, DMARC politiky, alignment a reporty.
  • Bezpečnost obsahu: DLP, šifrování S/MIME, sandboxing příloh.

Správa názvů a objevování služeb: mDNS, DNS-SD, service registry

  • Lokální discovery: mDNS/DNS-SD pro malé segmenty, omezení broadcast domén.
  • Enterprise registry: Consul/Etcd/ZooKeeper, health-checky, dynamické mapování endpointů.
  • Kontrola šíření: Bonjour gateway, filtry a segmentace pro multicast.

QoS: kvalita služeb a politiky front

  • Klasifikace a značení: DSCP/802.1p, mapování tříd (voice, video, kritická data, best-effort).
  • Fronty a plánovače: LLQ, CBWFQ, WRED, shaping/policing, hierarchical QoS.
  • Konec-konec: konzistentní politika napříč WAN/LAN/Wi-Fi, verifikace pomocí sond a telemetrie.

Wi-Fi služby: 802.11, řízení rádiového prostředí a bezpečnost

  • RF management: kanálové plány, řízení výkonu, band steering, RRM.
  • Bezpečnost: WPA3-Enterprise, 802.1X/EAP-TLS, mikrosegmentace SSID, PMF.
  • Roaming a kapacita: 802.11k/v/r, QoS pro hlas, kontrola klientů s vysokým RTT.

Observabilita: SNMP, Syslog, NetFlow/sFlow/IPFIX a model-driven telemetry

  • SNMPv3: bezpečný dohled (authPriv), správné OID profily, omezení na management VRF.
  • Syslog: strukturované zprávy, TLS transport, separace bezpečnostních a provozních logů.
  • Toky a telemetrie: NetFlow/sFlow/IPFIX pro analýzu provozu, model-driven telemetry (gNMI) pro nízkou latenci.

Automatizace a konfigurační rozhraní: NETCONF/RESTCONF, Ansible a CI/CD

  • Datové modely: YANG pro konzistentní schémata konfigurace a stavu.
  • Idempotence: desired state s kontrolou rozdílů, transakční změny, pre/post-check testy.
  • Pipeline: validace šablon, testy v virtuálním labu (containerlab/GNS3/EVE-NG), change windows.

Vysoká dostupnost: VRRP/HSRP, multi-chassis LAG a state sync

  • Gateway redundance: VRRP/HSRP/GLBP s preemption, sledováním linek a hysterézí.
  • MC-LAG/MLAG: bez smyček, aktivně-aktivní uplinky, rychlé přepnutí při selhání.
  • Synchronizace stavů: firewall/SLB stateful failover, konzistence NAT tabulek a session.

Bezpečnostní architektura: Zero Trust a mikrosegmentace

  • Identita a kontext: politiky založené na uživateli, zařízení a poloze; policy engine a enforcement points.
  • Mikrosegmentace: ACL/SGT/SGACL nebo overlay (NSX/ACI), east–west kontrola.
  • Hrozby: IDS/IPS, sandboxing, DNS filtr, CME (credential misuse) detekce, deception technologie.

Provozní procesy: změny, incidenty, problémový management

  • Change management: standardní vs. mimořádné změny, peer review, plán návratu, komunikace stakeholderům.
  • Incident response: detekce, triage, eskalace, blameless post-mortem, metriky MTTR/MTBF.
  • Problémový management: kořenová příčina (RCA), trvalá nápravná opatření, znalostní báze.

Monitorovací metriky a SLO/SLA

  • Dostupnost: procenta na službu/doménu, syntetické i reálné sondy.
  • Výkon: latence, jitter, ztrátovost, vyčerpání front a CPU/paměť zařízení.
  • Bezpečnost: počet blokovaných hrozeb, anomální toky, čas do detekce a do zadržení.

Troubleshooting: metodiky a nástroje

  • Model OSI: od fyzické vrstvy (optika, RF) po aplikaci (HTTP kódy, TLS handshake).
  • Nástroje: ping/traceroute, mtr, tcpdump, wireshark, flow analytics, path MTU discovery.
  • Postupy: binární dělení problému, rozlišení control plane vs. data plane, kontrola tabulek (ARP/ND, FIB, RIB).

Cloud a hybridní sítě: peering, SD-WAN, SASE

  • Cloud networking: VPC/VNet segmentace, GW pro egress/ingress, Transit topologie a private endpoints.
  • SD-WAN: aplikačně řízené směrování, overlay s centrální politikou, integrované bezpečnostní služby.
  • SASE: konsolidace NGFW, SWG, CASB, ZTNA a DLP do cloudových PoP, optimalizace výkonu a bezpečnosti pro anywhere work.

Inventář a správa konfigurací

  • CMDB: vazby mezi zařízeními, rozhraními, politikami a službami.
  • Verzování: zálohy konfigurací, rozdíly a schválení změn, kryptografické podpisy artefaktů.
  • Compliance: golden config, kontrola driftu a automatizované nápravy.

Tabulka: mapování služeb na protokoly a klíčové metriky

Služba Protokoly Bezpečnostní prvky Klíčové metriky
DNS UDP/TCP 53, DoT/DoH DNSSEC, RRL, ACL Latence, hit-ratio, NXDOMAIN rate
DHCP UDP 67/68, DHCPv6 Snooping, Option82 Úspěšnost

Kapustova M

Website:

Related Story