Сети

Клиент отправляет SYN со своим начальным номером. Сервер отвечает SYN-ACK, подтверждая номер клиента и предлагая свой. Клиент шлёт ACK на номер сервера. После трёх сегментов обе стороны синхронизировали номера, и соединение переходит в ESTABLISHED, готовое к данным.

Клиент спрашивает рекурсивный resolver, который при промахе кэша обходит иерархию: корневые серверы указывают на серверы TLD, те — на авторитетные серверы домена, возвращающие запись. Resolver кэширует ответы на срок их TTL. Запросы идут по UDP/53 с откатом на TCP для больших ответов. Рекурсивные resolver делают всю работу; авторитетные серверы владеют записями зоны.

Коммутатор работает на уровне 2 (канальный), пересылая Ethernet-кадры по MAC внутри сегмента. Маршрутизатор работает на уровне 3 (сетевой), пересылая IP-пакеты между сетями по IP. SSH — протокол уровня 7 (прикладной). Ловушка: SSH идёт поверх TCP (уровень 4), но сам прикладного уровня, а не транспортного.

TCP ориентирован на соединение и надёжен — рукопожатие, упорядочивание, подтверждения, повторы — ценой задержки. UDP без соединения и доставляет «как получится»: без рукопожатия, без повторов, с меньшей задержкой. Голос реального времени предпочитает UDP: поздно переотправленный пакет уже бесполезен, поэтому его отбрасывают, держа задержку низкой — это важнее идеальной доставки.

ARP (Address Resolution Protocol) сопоставляет IPv4-адрес с MAC в локальном сегменте. Чтобы достичь IP, хост шлёт ARP-запрос ("у кого этот IP?") на ff:ff:ff:ff:ff:ff; владелец отвечает своим MAC, который кэширует отправитель. ARP работает на уровне 2 в одном broadcast-домене; трафик за него обрабатывают маршрутизаторы.

Классический быстрый тест — telnet host port: успешное соединение означает, что порт открыт. Лучше подходят nc -zv host port (netcat, скриптуемый, без отправки данных) и nmap -p port host для сканирования диапазона. ping лишь подтверждает достижимость хоста по ICMP, но не то, что конкретный TCP-порт слушает.

/25 оставляет 7 бит хоста, поэтому 2^7 = 128 адресов всего. Два зарезервированы — адрес сети (10.0.0.0) и broadcast (10.0.0.127) — остаётся 126 пригодных. Общее правило: 2^(32−префикс) всего, минус 2 на сеть и broadcast в IPv4.

Оболочка находит curl через $PATH. curl разрешает example.com в IP — /etc/hosts, затем DNS по nsswitch.conf (рекурсивный резолвер → корневые → TLD → авторитетный). Он открывает TCP на порт 443 трёхсторонним рукопожатием, затем выполняет TLS-рукопожатие (проверка сертификата, обмен ключами). По этому зашифрованному каналу он шлёт HTTP-запрос; сервер отвечает кодом и телом.

Клиент открывает TCP-соединение трёхсторонним рукопожатием на порт 21 — это управляющий канал для команд и ответов. Передача данных идёт по отдельному каналу данных. В активном режиме сервер подключается обратно к клиенту; в пассивном клиент открывает второе соединение на выбранный сервером порт — пассивный дружит с файрволом/NAT. Разделение управления и данных — отличительная черта FTP.

Балансировщик нагрузки распределяет входящие запросы между несколькими backend, повышая пропускную способность и доступность. Round-robin шлёт каждый запрос следующему серверу по кругу, игнорируя нагрузку. Least-connections выбирает backend с наименьшим числом активных соединений, что лучше при неравной длительности запросов. Ip-hash отображает IP клиента на фиксированный backend, давая прилипание сессии.

NAT переписывает IP-адреса в пакетах, пересекающих границу, отображая приватные адреса в публичные. SNAT переписывает адрес источника, чтобы внутренние хосты делили один публичный IP на исходящих. DNAT переписывает адрес назначения, чтобы опубликовать внутренний сервис за публичным IP. PAT (NAT overload) — это SNAT, который ещё переписывает порты, так что много хостов делят один публичный IP по номеру порта.

Маршрутизатор сопоставляет IP назначения с таблицей маршрутизации и пересылает на next-hop маршрута с самым длинным совпадением префикса — побеждает самый специфичный маршрут. Когда несколько источников дают маршрут к одному префиксу, выбор решает административная дистанция: меньшая дистанция доверенней (connected < static < OSPF < BGP), и маршрутизатор ставит именно её.

AAA расшифровывается как Authentication (кто вы), Authorization (что вам можно) и Accounting (учёт того, что вы сделали). Сетевые устройства делегируют это центральному серверу, чтобы учётки не настраивать на каждом устройстве. Два основных протокола — RADIUS (UDP, объединяет аутентификацию и авторизацию) и TACACS+ (TCP, разделяет три A и шифрует всю нагрузку, для администрирования устройств).

DDoS-атаки делятся на три слоя. Объёмные (UDP/ICMP-флуд, усиление) забивают канал сырой полосой. Протокольные (SYN-флуд) истощают таблицу соединений или состояние файрвола. Атаки прикладного уровня (HTTP-флуд) шлют похожие на настоящие запросы, съедающие CPU/БД сервера. Каждая бьёт по своему ресурсу, а источник распределён по множеству хостов, чтобы его трудно заблокировать.

Три семейства. Distance-vector (RIP) делится всей таблицей с соседями и выбирает маршруты по числу хопов — просто, но сходится медленно. Link-state (OSPF) рассылает описания линков, так что каждый маршрутизатор строит карту топологии и считает кратчайший путь (Dijkstra) — быстрая сходимость, больше CPU/памяти. Path-vector (BGP) анонсирует полные AS-path и управляется политикой для межсетевого масштаба. Они меняют простоту на сходимость и масштаб.

L2-коммутатор пересылает ethernet-кадры по MAC-адресу внутри одного широковещательного домена. Маршрутизатор пересылает IP-пакеты между сетями по IP-адресу (L3). L3-коммутатор — это коммутатор с аппаратной маршрутизацией, делает и то и другое быстро. Ethernet-кадр несёт: преамбулу и SFD, MAC получателя, MAC отправителя, EtherType/длину, нагрузку и завершающий CRC (FCS) для обнаружения ошибок.

Разрешение имени переопределено локально. ping разрешает имя через nsswitch.conf, который обычно проверяет /etc/hosts до DNS — так что статическая запись там (сопоставляющая shop.example.com неверному IP) побеждает ответ DNS. Расхождение IP у ping и nslookup это подтверждает, ведь nslookup спрашивает DNS напрямую. Фикс: почистить /etc/hosts и выяснить, как появилась запись.

Path MTU Discovery находит наибольший пакет, проходящий по пути без фрагментации. В IPv4 отправитель ставит флаг Don't-Fragment; маршрутизатор с малым MTU линка отбрасывает пакет и возвращает ICMP «fragmentation needed» с меньшим MTU, и отправитель уменьшает размер. Если файрвол блокирует этот ICMP, пакеты молча пропадают и соединения зависают (чёрная дыра). В IPv6 фрагментации в пути нет, он целиком полагается на PMTUD.

eBGP работает между разными автономными системами; iBGP — между маршрутизаторами внутри одной AS. Ключевое правило: маршрутизатор не переанонсирует выученный по iBGP маршрут другому iBGP-соседу, предотвращая петли внутри AS. Поэтому каждый iBGP-узел должен пириться с каждым — full-mesh — или использовать route reflectors, которым можно передавать iBGP-маршруты дальше и масштабировать AS без N² сессий.

BGP выбирает путь, прогоняя атрибуты по порядку: наибольший weight (локальный), затем local-preference, локально порождённый, кратчайший AS-path, ниже origin, ниже MED, eBGP над iBGP, ниже IGP-метрика и тай-брейкеры. Чтобы рулить своим исходящим трафиком, задают local-preference (он остаётся внутри AS). Чтобы влиять на входящий, воздействуют на предпочтения других — удлинение AS-path, MED или communities — это сложнее, ведь выбор за ними.

IPsec устанавливается через IKE в две фазы. Фаза 1 (IKE SA) аутентифицирует пиров (pre-shared key или сертификаты) и строит защищённый канал через обмен Diffie-Hellman. Фаза 2 (IPsec SA) согласует data SA и ключи для ESP/AH. Tunnel mode шифрует весь исходный IP-пакет под новым внешним заголовком — для site-to-site шлюзов. Transport mode защищает только нагрузку, сохраняя исходный заголовок — host-to-host.

Overlay — это виртуальная сеть поверх физической (underlay), построенная инкапсуляцией трафика в туннели, что отвязывает логическую топологию от проводки. MPLS метит пакеты и пересылает по label-switched-путям в ядре провайдера/WAN — быстро, с traffic engineering. VXLAN инкапсулирует L2-ethernet-кадры в UDP/IP, растягивая L2-сегменты по L3-фабрике в дата-центрах и масштабируясь до 16M сегментов против 4094 у VLAN.

RIB (Routing Information Base) — это таблица control-plane со всеми маршрутами от всех протоколов — возможно, несколько кандидатов на префикс — чтобы выбрать лучший путь. FIB (Forwarding Information Base) — таблица data-plane, очищенные лучшие пути для пересылки пакетов, прошитые в железо (TCAM) для поиска на скорости линка. ECMP даёт FIB равнозатратные next-hop. Control plane выбирает; data plane пересылает.