Sieci komputerowe
Warstwa mówi, jaką informację element przetwarza. Współczesne urządzenie może jednocześnie obsługiwać sygnał, ramki, pakiety, transport i aplikację.
Warstwa 1
sygnał
Warstwy 2–3
MAC i IP
Warstwy 4–7
stan i aplikacja
Zasada
Nowoczesny firewall może pracować w L3–L7, punkt dostępowy łączy L1 i L2, switch wielowarstwowy przełącza oraz routuje, a karta sieciowa realizuje funkcje fizyczne i łącza danych. Dlatego tabelę czytaj jako opis dominujących funkcji, nie bezwzględną etykietę urządzenia.
| Element / urządzenie | Warstwa lub warstwy | Analizowana informacja | Podstawowa funkcja | Przekazywane dane | Przykład użycia | Ograniczenie przyporządkowania |
|---|---|---|---|---|---|---|
| Przewód miedziany | L1 | Parametry elektryczne sygnału | Prowadzi sygnał między interfejsami | Bity jako sygnał elektryczny | 1000BASE-T do switcha | Medium nie analizuje ramek ani adresów |
| Światłowód | L1 | Moc optyczną i długość fali | Prowadzi impulsy świetlne | Bity jako sygnał optyczny | Uplink między budynkami | Zasięg zależy też od modułów, włókna i budżetu mocy |
| Fale radiowe | L1 | Kanał, modulację i poziom sygnału | Przenoszą sygnał bez przewodu | Bity przez współdzielone medium radiowe | Połączenie klienta Wi-Fi z AP | Zakłócenia i airtime wpływają na wszystkich klientów |
| Regenerator (repeater) | L1 | Sygnał | Odtwarza lub powtarza sygnał | Bity | Wydłużenie zgodnego segmentu | Nie filtruje ramek i nie rozumie MAC |
| Koncentrator (hub) | L1 | Sygnał na porcie | Powiela sygnał na pozostałe porty | Bity | Historyczne laboratorium half-duplex | Jedna domena kolizyjna; nie jest switchem |
| Transceiver / PHY | L1 | Kodowanie linii, prędkość, duplex | Zamienia dane interfejsu na sygnał medium i odwrotnie | Bity i sygnały | PHY Ethernet w karcie lub switchu | Funkcje zarządzania mogą wykraczać poza prosty opis L1 |
| Moduł SFP/SFP+/QSFP | L1 | Medium, długość fali i parametry łącza | Dopasowuje port do medium i standardu | Bity i sygnały | Optyczny uplink LC albo DAC | Sam kształt złącza nie gwarantuje zgodności ani zasięgu |
| Konwerter mediów | L1 | Sygnał obu mediów | Zmienia medium bez routingu | Bity | Miedź–światłowód | Zwykle nie zmienia VLAN-u ani adresacji |
| Fizyczny interfejs / port | L1 | Stan linku, prędkość i sygnał | Kończy fizyczne łącze urządzenia | Bity i sygnały | Port RJ45 lub gniazdo SFP | Cała karta sieciowa wykonuje również funkcje L2 |
| Karta sieciowa (NIC) | L1/L2 | Sygnał, nagłówek Ethernet i MAC | Łączy host z medium i nadaje/odbiera ramki | Bity i ramki | Karta Ethernet komputera | Sterownik i offloading mogą przetwarzać ramkę przed przechwyceniem |
| Most (bridge) | L2 | Source/Destination MAC | Uczy MAC i filtruje ramki między segmentami | Ramki | Połączenie dwóch segmentów L2 | Nie wybiera tras IP |
| Przełącznik L2 | L2 | MAC, VLAN i BPDU | Uczy MAC, przekazuje lub filtruje ramki | Ramki | Warstwa dostępowa LAN | Nie routuje między podsieciami bez funkcji L3 |
| Punkt dostępowy | L1/L2 | Sygnał radiowy, ramki 802.11/Ethernet i MAC | Mostkuje klientów WLAN do LAN | Ramki przez radio i Ethernet | Dostęp bezprzewodowy w biurze | AP nie jest automatycznie routerem; łączy role L1 i L2 |
| VLAN | L2 | Znacznik IEEE 802.1Q i konfigurację portu | Tworzy logiczną domenę rozgłoszeniową | Ramki oznaczone lub nieoznaczone | Oddzielenie gości od sieci firmowej | To funkcja logiczna, nie samodzielne urządzenie ani firewall |
| STP/RSTP | L2 | BPDU, identyfikatory mostów i koszty ścieżek | Blokuje nadmiarowe ścieżki, aby zapobiec pętli | BPDU oraz kontrolowane przekazywanie ramek | Redundantne połączenia switchy | To protokół sterujący; nie zastępuje projektu i ochrony portów |
| Router | L3 | Docelowy adres IP, prefiks i TTL/Hop Limit | Wybiera trasę między sieciami | Pakiety | Brama między LAN i WAN | Może wykonywać NAT lub firewall, ale routing nie jest ich synonimem |
| Przełącznik L3 | L2/L3 | MAC, VLAN, adres IP i tablicę routingu | Przełącza ramki i routuje pakiety | Ramki oraz pakiety | Routing między VLAN-ami | Wielowarstwowość zależy od modelu, licencji i konfiguracji |
| Firewall filtrujący IP | L3/L4 | Adresy IP, protokół i często porty | Egzekwuje reguły ruchu między sieciami | Pakiety | ACL na brzegu segmentu | Pełna zapora może analizować także stan i aplikację |
| Interfejs VLAN / SVI | L3 na urządzeniu L3 | Adres IP i stan logicznego VLAN-u | Jest bramą L3 dla hostów VLAN-u | Pakiety po wcześniejszym odebraniu ramek VLAN | 192.168.10.1/24 dla VLAN 10 | To interfejs logiczny, nie osobne urządzenie |
| Firewall stanowy | L3–L7 | IP, porty, flagi TCP, stan i opcjonalnie aplikację | Śledzi rozmowy i egzekwuje politykę | Pakiety lub przepływy | Zapora między strefami | Głębokość inspekcji zależy od funkcji, szyfrowania i wydajności |
| Load balancer | L4 i/lub L7 | Adresy, porty albo żądania aplikacyjne | Rozdziela ruch między serwery | Połączenia lub żądania | Pula serwerów WWW | Tryb L4 nie analizuje tego samego co reverse proxy L7 |
| Proxy | L7 | Protokół i żądanie aplikacyjne | Pośredniczy w ruchu klienta do usługi | Żądania i odpowiedzi aplikacyjne | Kontrolowany dostęp HTTP z LAN | Kończy jedną komunikację i tworzy drugą; nie jest zwykłym routerem |
| Reverse proxy | L7 | Host, URI, nagłówki i opcjonalnie TLS | Przyjmuje ruch do usług po stronie serwerów | Żądania i odpowiedzi aplikacyjne | Publikacja kilku aplikacji WWW | Nie chroni automatycznie przed każdym atakiem |
| Brama aplikacyjna | L7 | Semantykę obsługiwanego protokołu | Pośredniczy, tłumaczy lub kontroluje protokół | Komunikaty aplikacyjne | Brama pocztowa albo API gateway | Zakres warstw zależy od konkretnej implementacji |
| Serwer DHCP | L7 nad UDP | Komunikaty DHCP i opcje konfiguracyjne | Przydziela konfigurację IP | Komunikaty aplikacyjne | Pula adresów dla VLAN-u | Relay i transport sieciowy angażują także niższe warstwy |
| Serwer DNS | L7 nad UDP/TCP | Nazwy, typy rekordów i odpowiedzi DNS | Rozwiązuje nazwy i publikuje rekordy | Komunikaty DNS | Resolver lub serwer autorytatywny | Nie odpowiada za samą osiągalność IP |
| WAF | L7 | Żądania HTTP, nagłówki i treść możliwą do inspekcji | Filtruje ruch aplikacji WWW | Żądania i odpowiedzi HTTP | Ochrona aplikacji za reverse proxy | Nie zastępuje poprawek aplikacji ani kontroli L3/L4 |
Funkcje logiczne
VLAN i STP/RSTP są mechanizmami warstwy 2 realizowanymi przez urządzenia, a SVI jest logicznym interfejsem L3. Umieszczenie ich w tabeli pokazuje warstwę oraz analizowane informacje, nie tworzy z nich urządzeń fizycznych.
Poza prostą tabelą OSI
| Element | Warstwy / grupa | Rola | Ograniczenie |
|---|---|---|---|
| Kontroler Wi-Fi | Zależnie od architektury | Centralizuje konfigurację AP, radio, uwierzytelnianie i polityki; ruch może być lokalny albo tunelowany. | Nie ma jednej uniwersalnej warstwy dla wszystkich wdrożeń. |
| Węzeł mesh | L1/L2 | Łączy dostęp radiowy z bezprzewodowym lub kablowym backhaulem. | Backhaul radiowy zużywa wspólny airtime. |
| Modem xDSL / ONT | L1/L2 | Kończy technologię dostępową operatora i udostępnia interfejs klienta. | Modem lub ONT nie musi realizować routingu, NAT ani Wi-Fi. |
| IDS/IPS | L3–L7 | Wykrywa, a w trybie inline może blokować podejrzany ruch. | Alert wymaga kontekstu i nie jest sam w sobie dowodem ataku. |
| Koncentrator VPN | L3–L7 | Terminuje tunele zdalne i site-to-site. | Szyfrowanie, polityki i routing zależą od implementacji. |
| Switch PoE / injector / splitter | L1 oraz funkcje urządzenia | Dostarcza albo rozdziela zasilanie i dane Ethernet. | Trzeba sprawdzić standard, napięcie, moc i budżet urządzenia. |
| Patch panel / keystone | Pasywna infrastruktura L1 | Kończy i porządkuje tory stałe. | Nie przełącza ramek i nie zasila ruchu. |
| Rack / PDU / UPS | Infrastruktura i zasilanie | Organizuje urządzenia, rozdziela i podtrzymuje energię. | Nie jest elementem warstwy protokołu OSI. |
Nie myl ról
| Porównanie | Różnica praktyczna |
|---|---|
| Hub a switch | Hub powiela sygnał; switch analizuje MAC i podejmuje decyzję dla ramki. |
| Switch L2 a L3 | L2 przełącza ramki w VLAN-ie; L3 może dodatkowo routować pakiety między sieciami. |
| AP a router Wi-Fi | AP zapewnia most WLAN–LAN; router Wi-Fi łączy AP, switch, routing, NAT i często DHCP. |
| Firewall IP a WAF | Firewall IP kontroluje przede wszystkim L3/L4, a WAF analizuje ruch aplikacji WWW w L7. |
| Proxy a router | Proxy kończy komunikację aplikacyjną i zestawia kolejną; router przekazuje pakiety między sieciami. |
Host tworzy ramkę do MAC bramy. Switch L2 przekazuje ją bez zmiany adresów ramki. Router usuwa nagłówek L2, wybiera trasę po docelowym IP i tworzy nową ramkę na kolejnym łączu. Firewall może w tym samym urządzeniu dodatkowo sprawdzić stan i politykę.
Switch PoE może jednocześnie realizować funkcje L1 związane z zasilaniem, L2 związane z ramkami i VLAN-ami oraz, w modelu wielowarstwowym, routing L3.
Nie każdy istotny element infrastruktury daje się przypisać do warstwy protokołu. Rack, PDU i UPS umożliwiają bezpieczną pracę urządzeń, ale nie analizują PDU modelu OSI.
Dobór urządzeń
| Scenariusz | Przykładowy układ |
|---|---|
| Sieć domowa | ONT lub modem → router/firewall → switch i AP → urządzenia końcowe. |
| Biuro | Firewall → switch L3 → switche PoE → AP, telefony i komputery; SVI są bramami VLAN-ów. |
| Aplikacja WWW | Router/firewall → load balancer lub reverse proxy/WAF → serwery aplikacji i DNS. |
| Monitoring IP | Kamery PoE → switch PoE → VLAN → rejestrator i stacja nadzoru. |
Zadania
Najpierw rozwiąż zadania samodzielnie. Odpowiedzi rozwiń dopiero wtedy, gdy masz własny wynik.
Pytania kontrolne
Dalsza nauka