# Inna Sieć > Blog o projektowaniu, automatyzacji i technologiach sieciowych. Bogata i oryginalna zawartość, dzięki której zgłębisz tajniki sieci komputerowych! Public Ghost content for AI and LLM tooling. This file includes a bounded export of public pages first, then recent public posts. Append `.md` to any post or page URL to get the content in Markdown (for example, `/example-post.md`). ## Pages ### Witaj w Innej Sieci! URL: https://innasiec.pl/o-blogu/ Last updated: 2024-06-26T09:02:07.000Z Nazywam się Rafał Rudewicz, a moja pasja to dzielenie się z Tobą wiedzą na temat sieci komputerowych. Jestem tu, by pomóc zarówno początkującym, jak i osobom doświadczonym, którzy poszukują prostego wyjaśnienia działania technologii. Za sobą mam szerokie doświadczenie w zakresie technologii sieciowych, obejmujące zarówno obszar korporacyjny, jak i Service Provider. Dodatkowo, będę dzielił się moimi doświadczeniami z automatyzacji sieci, co stanowi istotny element mojej działalności. Na blogu "Inna Sieć" szczególny nacisk będzie położony na automatyzację sieci. Chcę, aby czytelnicy mieli dostęp do praktycznych poradników dotyczących tego tematu, mogli sprawdzić swoją wiedzę poprzez quizy oraz uczestniczyć w kursach, które pomogą im lepiej zrozumieć złożone zagadnienia. Dodatkowo, od 2022 roku moi czytelnicy otrzymują co tydzień newsletter z najciekawszymi tematami z sieci komputerowych. **Moim celem jest nie tylko dzielenie się wiedzą, ale także budowanie społeczności zainteresowanych automatyzacją sieci.** Chcę, aby mój blog stał się miejscem inspiracji i rozwoju dla wszystkich pasjonatów sieci komputerowych. Zapraszam Cię do śledzenia moich wpisów i dołączenia do tej dynamicznej społeczności! ### Polityka prywatności URL: https://innasiec.pl/polityka-prywatnosci/ Last updated: 2024-06-18T10:28:06.000Z Skoro trafiłeś do tej zakładki, to znaczy, że ważne jest dla Ciebie bezpieczeństwo Twoich danych w Sieci. Wiedz, że dbam o odpowiednie traktowanie Twoich danych osobowych. Szanując Twój czas, przygotowałem dla Ciebie skróconą wersję najważniejszych zasad związanych z ochroną prywatności. Jeżeli podstawowe informacje okażą się dla Ciebie niewystarczające, poniżej znajdziesz szerszy opis, w którym wyjaśniam, jak obchodzę się z powierzonymi mi przez Ciebie danymi osobowymi. ## **Podstawowe informacje** 1. Administratorem danych osobowych na stronie [https://innasiec.pl](https://innasiec.pl/) jest RunPackets Rafał Rudewicz. Możesz się ze mną skontaktować w każdej chwili z wykorzystaniem adresu e-mail: [rafal@innasiec.pl](mailto:rafal@innasiec.pl) 2. Pamiętaj, że podanie danych osobowych, a także zgoda na ich przetwarzanie są całkowicie dobrowolne. Wszelkie przekazane mi dane osobowe są przetwarzane wyłącznie w zakresie i w celu, na jaki wyraziłeś zgodę. 3. W każdej chwili masz prawo do aktualizacji lub całkowitego usunięcia swoich danych osobowych. Możesz to zrobić samodzielnie lub korzystając z mojej pomocy. 4. Dbam o należytą ochronę Twoich danych osobowych, gwarantując Ci, że będą one przetwarzane wyłącznie w celu, na który wyraziłeś zgodę, przechowywane w bezpieczny sposób oraz nieudostępniane podmiotom trzecim, jeżeli nie wyraziłeś na to zgody. 5. Zapisując się na newsletter lub dokonując zamówienia, przekazujesz mi swoje dane osobowe, a ja gwarantuję Ci, że Twoje dane pozostaną bezpieczne i nie zostaną udostępnione podmiotom trzecim bez Twojej wyraźnej zgody. 6. Korzystam z narzędzi analitycznych, opisanych poniżej, które zbierają anonimowe informacje na temat Twoich odwiedzin serwisu. Wykorzystuję też narzędzie takie jak Facebook Pixel, które pozwala wyświetlać Ci reklamy. 7. Podobnie jak ma to miejsce niemal na każdej stronie internetowej, ja również wykorzystuję pliki cookies. ## **Administrator** Administratorem danych osobowych strony internetowej: [https://innasiec.pl](https://innasiec.pl/), czyli podmiotem odpowiedzialnym za zapewnienie bezpieczeństwa Twoim danym osobowym jest: RunPackets Rafał Rudewicz Marii Skłodowskiej-Curie 37/180 85-733 Bydgoszcz NIP: 5542807664, REGON: 387788590 Dane kontaktowe: e-mail: [rafal@innasiec.pl](mailto:rafal@innasiec.pl) ## **Twoje uprawnienia** Aktualne przepisy prawa przyznają Ci szereg uprawnień związanych z przetwarzaniem Twoich danych osobowych: 1. prawo dostępu do danych osobowych, 2. prawo do sprostowania danych osobowych, 3. prawo do usunięcia danych osobowych, 4. prawo do ograniczenia przetwarzania danych osobowych, 5. prawo do wniesienia sprzeciwu co do przetwarzania danych osobowych, 6. prawo do przenoszenia danych, 7. prawo do wniesienia skargi do organu nadzorczego (Prezesa Urzędu Ochrony Danych Osobowych), 8. prawo do odwołania zgody na przetwarzanie danych osobowych, jeżeli wyraziłeś taką zgodę. Zasady związane z realizacją wskazanych uprawnień zostały opisane szczegółowo w art. 16 – 21 RODO. Zachęcamy do zapoznania się z tymi przepisami. Ze swojej strony uważamy za potrzebne wyjaśnić Ci, że wskazane powyżej uprawnienia nie są bezwzględne i nie będą przysługiwać Ci w stosunku do wszystkich czynności przetwarzania Twoich danych osobowych. Dla Twojej wygody dołożyliśmy starań, by w ramach opisu poszczególnych operacji przetwarzania danych osobowych wskazać na przysługujące Ci w ramach tych operacji uprawnienia. Podkreślamy, że jedno z uprawnień wskazanych powyżej przysługuje Ci zawsze – jeżeli uznasz, że przy przetwarzaniu Twoich danych osobowych dopuściliśmy się naruszenia przepisów o ochronie danych osobowych, masz możliwość wniesienia skargi do organu nadzorczego (Prezesa Urzędu Ochrony Danych Osobowych). Zawsze możesz również zwrócić się do nas z żądaniem udostępnienia Ci informacji o tym, jakie dane na Twój temat posiadamy oraz w jakich celach je przetwarzamy. Wystarczy, że wyślesz wiadomość na adres [rafal@innasiec.pl](mailto:rafal@innasiec.pl). Dołożyliśmy jednak wszelkich starań, by interesujące Cię informacje zostały wyczerpująco przedstawione w niniejszej polityce prywatności. Podany powyżej adres e-mail możesz wykorzystać również w razie jakichkolwiek pytań związanych z przetwarzaniem Twoich danych osobowych. **Bezpieczeństwo.** Gwarantujemy Ci poufność wszelkich przekazanych nam danych osobowych. Zapewniamy podjęcie wszelkich środków bezpieczeństwa i ochrony danych osobowych wymaganych przez przepisy o ochronie danych osobowych. Dane osobowe są gromadzone z należytą starannością i odpowiednio chronione przed dostępem do nich przez osoby do tego nieupoważnione. **Wykaz powierzeń.** Powierzamy przetwarzanie danych osobowych następującym podmiotom: - IFIRMA S.A., Grabiszyńska 241 B, 53-234, Wrocław, Dolnośląskie, NIP: 8981647572 – w celu korzystania z systemu do fakturowania, w którym przetwarzane są Twoje dane, jeżeli wystawiamy dla Ciebie fakturę, - Notion Labs, Inc. 548 Market St #74567, San Francisco, CA 94104-5401 United States – w celu dostępu do portalu dla subskrybentów mailingu w wersji PREMIUM - SOFTWARE GURU Bogusz Pękalski, ul. Floriana Znanieckiego 16/12, 03-980 Warszawa NIP: 9512495989 – w celu utrzymania i obsługi Twojej subskrypcji zakupionej w koszyku mailingR - Stripe, 510 Townsend Street, San Francisco, CA 94103, USA – w celu realizacji płatności cyklicznej oraz jednorazowej Wszystkie podmioty, którym powierzamy przetwarzanie danych osobowych, gwarantują stosowanie odpowiednich środków ochrony i bezpieczeństwa danych osobowych wymaganych przez przepisy prawa. **Udostępnianie danych.** Twoje dane udostępniamy (jako odrębnemu administratorowi danych) wybranemu przez Ciebie podmiotowi realizującemu płatności online, jednak tylko w takim zakresie, w jakim jest to konieczne do obsługi wpłaty. ## **Cele, w jakich przetwarzam Twoje dane osobowe** ### Newsletter Zapisując się do newslettera, przekazujesz mi swój adres e-mail oraz swoje imię za pośrednictwem formularza zapisu do newslettera. Podanie danych jest dobrowolne, lecz konieczne, by zapisać się do newslettera. Dane te wykorzystywane są w celu przesyłania Ci newslettera, a podstawą prawną do ich przetwarzania jest Twoja zgoda. Dane będą przetwarzane przez czas funkcjonowania newslettera, chyba że wcześniej zrezygnujesz z jego otrzymywania, co spowoduje usunięcie Twoich danych z bazy. W każdej chwili możesz sprostować swoje dane zapisane w mojej bazie newsletterowej, jak również zażądać ich usunięcia, rezygnując z otrzymywania newslettera. ### Kontakt z wykorzystaniem formularza Kontaktując się poprzez formularz kontaktowy, podajesz mi przynajmniej swój adres e-mail. To od Ciebie zależy, czy w treści podasz dodatkowe dane. Podanie danych jest dobrowolne, lecz konieczne, by nawiązać ze mną kontakt. Twoje dane są w tym przypadku przetwarzane w celu kontaktu z Tobą. Podstawą, do przetwarzania danych jest Twoja zgoda. Masz prawo żądać przedstawienia historii prowadzonej korespondencji oraz możesz domagać się jej usunięcia, chyba że zachowanie korespondencji uzasadnione jest moim interesem (np. ochrona przed roszczeniami). ## Komentarze Dane przekazane podczas dodawania komentarza wykorzystywane są w celu opublikowania komentarza. Podstawą ich przetwarzania jest Twoja zgoda. Dane będą przetwarzane przez czas funkcjonowania komentarzy na blogu, chyba że wcześniej poprosisz o usunięcie komentarza, co spowoduje usunięcie Twoich danych z bazy. ## **Logi serwera** Korzystając z mojej strony internetowej, przesyłasz z wykorzystaniem swojego urządzenia zapytania do serwera, na którym przechowywana jest moja strona. Logi obejmują m.in. adres IP, datę i czas serwera, informacje o przeglądarce internetowej i systemie operacyjnym, które używasz. Logi są zapisywane i przechowywane na serwerze. Logi serwera stanowią wyłącznie materiał pomocniczy służący do administrowania stroną. Ich zawartość nie jest nikomu ujawniana. Dane zapisane w logach serwera nie są kojarzone z konkretnymi osobami korzystającymi ze strony i nie są wykorzystywane w celu identyfikacji konkretnych osób. ## **Pliki cookies** Pliki cookies (tzw. „ciasteczka”) stanowią dane informatyczne, które przechowywane są w Twoim urządzeniu końcowym. Na stronie internetowej stosuję dwa zasadnicze rodzaje plików cookies: sesyjne oraz stałe. Cookies sesyjne są plikami tymczasowymi, które przechowywane są w urządzeniu końcowym użytkownika do czasu wylogowania, opuszczenia strony internetowej lub wyłączenia oprogramowania (przeglądarki internetowej). Stałe pliki cookies przechowywane są w Twoim urządzeniu końcowym przez czas określony w parametrach plików cookies lub do czasu ich usunięcia przez Ciebie. **Akceptacja podczas pierwszej wizyty** Podczas pierwszej wizyty na mojej stronie internetowej wyświetlona została Ci informacja o stosowaniu na niej plików cookies. Akceptacja komunikatu oznacza, że zgadzasz się na korzystanie z plików cookies. W każdym czasie możesz dokonać zmiany ustawień dotyczących plików cookies. Ustawienia dotyczące plików cookies mogą zostać zmienione w szczególności w taki sposób, aby blokować automatyczną obsługę plików cookies w ustawieniach przeglądarki internetowej bądź informować o ich każdorazowym zamieszczeniu w Twoim urządzeniu. Szczegółowe informacje o możliwości i sposobach obsługi plików cookies dostępne są w ustawieniach oprogramowania przeglądarki internetowej. Pamiętaj, że wyłączenie lub ograniczenie obsługi plików cookies może powodować trudności w korzystaniu z mojej strony. **Wykorzystuję cookies własne w celu:** 1. zapewnienia prawidłowego działania strony, 2. prawidłowego działania pop-upów i formularzy. **Wykorzystuję również cookies podmiotów zewnętrznych:** 1. Google Analytics (wydawca: Google LLC, 1600 Amphitheatre Parkway, Mountain View, CA 94043, USA) – w celu tworzenia statystyk i ich analizie dla optymalizacji strony, 2. Facebook Pixel (wydawca: Facebook Inc., 1601 S. California Ave. Palo Alto, CA 94304, USA) – w celu reklamowania mojej strony internetowej w serwisie Facebook, 3. Youtube (wydawca Alphabet Inc. 1600 AMPHITHEATRE PARKWAY MOUNTAIN VIEW CA 94043) w celu odtwarzania podcastu w formie wideo. 4. Spotify AB, Regeringsgatan 19, SE-111 53 Stockholm, Sweden – w celu odtwarzania podcastu w wersji Audio. **Zmiana polityki prywatności i plików cookies** Zastrzegam sobie prawo do wprowadzania zmian w polityce prywatności. Zmiany będą wprowadzane jeśli będzie wymagać tego obowiązujące prawo lub ulegną zmianie warunki technologiczne funkcjonowania mojej strony internetowej. ### O mnie i o blogu URL: https://innasiec.pl/o-mnie/ Last updated: 2025-06-09T20:14:12.000Z Cześć, nazywam się Rafał. Z szeroko pojętym obszarem IT jestem związany od czasów technikum, chociaż wyuczony zawód ma niewiele wspólnego z informatyką. W tamtych czasach zajmowałem się amatorsko administracją serwerów. Jednak dopiero podczas studiów miałem okazję uświadomić sobie, co naprawdę mnie interesuje, dlatego od 2016 roku zajmuję się zawodowo wyłącznie sieciami. Przez ten okres miałem okazję pracować jako inżynier sieci w NOC-u, projektant sieci, a obecnie pełnię funkcję Subject Matter Expert dla sieci IP/MPLS. Na tych stanowiskach odpowiedzialny jesteś za aktywny monitoring, bieżące rozwiązywanie incydentów, i zdziwiłbyś się, jakie problemy potrafią zgłaszać ludzie. Tak, blokada dostępu do kasyna online w Stanach to wina sieci szkieletowej w Holandii 😉 Projektowanie sieci komputerowych to sztuka łączenia wymagań klienta z realiami jego budżetu. Stanowisko SME łączy oba te obszary. Prywatnie jestem mężem oraz opiekunem trzech suczek - Koki, Skadi i Cisco. Nie pamiętam już, co robiłem przed pojawieniem się Netflix, uwielbiam oglądać seriale i nie wyobrażam sobie pracy bez muzyki. W wolnych chwilach prowadzę bloga innasiec.pl oraz gram na konsoli. ### Dlaczego warto czytać ten blog? **Moim celem jest stworzenie miejsca w sieci**, które kompleksowo odpowie na nurtujące Cię pytania, jak również **pozwoli Ci pracować w branży lepiej, niekoniecznie więcej.** Chciałbym podzielić się z Tobą swoją wiedzą oraz doświadczeniem zawodowym zdobytym na przestrzeni tych kilku lat, jak również swoimi przemyśleniami o tym, co aktualnie dzieje się w branży oraz w jakim kierunku ona podąża. Ten blog z pewnością Cię zainteresuje, jeśli choć jeden z poniższych punktów odnosi się do Ciebie: - Interesujesz się sieciami komputerowymi. - Szukasz materiałów wyjaśniających technologie, dzięki którym obecnie istniejące sieci są w stanie przesyłać dane. - Jesteś ciekawy, jak wygląda praca sieciowca. - Chciałbyś wiedzieć, jak znaleźć swoją pierwszą pracę w sieciach. ### Skąd pomysł na Innasieć.pl? Znajomość języka angielskiego jest obecnie już standardem, wręcz wymogiem w całej branży IT, nie tylko w sieciach komputerowych. Również większość popularnych branżowych blogów jest prowadzona w języku Szekspira. **Wychodząc na przeciw tej sytuacji narodził się pomysł, aby stworzyć blog o sieciach inny niż wszystkie, w końcu Polacy nie gęsi swój język mają**. Tak powstała inna niż wszystkie sieć, miejsce, w którym znajdziesz artykuły oraz felietony dotyczące sieci komputerowych po polsku. Dziękuję, że poświęciłeś swój czas na przeczytanie tego wstępu. **Jeśli masz pomysł na artykuł, chętnie zapoznam się z Twoją propozycją.** Nie wahaj się również ani chwili zadać nurtujących Cię pytań. Mam do Ciebie prośbę: jeśli uważasz, że cokolwiek, co przeczytałeś na tym blogu, jest wartościowe, daj mi znać. Życzę miłej lektury i do przeczytania! ### Dzięki URL: https://innasiec.pl/dzieki/ Last updated: 2024-11-24T19:59:14.000Z \[et\_pb\_section fb\_built=”1″ admin\_label=”Header” \_builder\_version=”4.14.7″ use\_background\_color\_gradient=”on” background\_color\_gradient\_start=”gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d” background\_color\_gradient\_end=”gcid-b99cf9c8-0df8-4ec4-9f33-b2aecd96d39a” background\_color\_gradient\_type=”radial” background\_color\_gradient\_direction\_radial=”top right” background\_image=”/content/images/wordpress/2022/01/cyber-security-18.png” parallax=”on” overflow-x=”hidden” overflow-y=”hidden” custom\_padding=”4vw||10vw||false|false” locked=”off” global\_colors\_info=”{%22gcid-b99cf9c8-0df8-4ec4-9f33-b2aecd96d39a%22:%91%22colorStart%22%93,%22gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d%22:%91%22colorEnd%22%93}”\]\[et\_pb\_row column\_structure=”1\_2,1\_2″ use\_custom\_gutter=”on” gutter\_width=”1″ \_builder\_version=”4.14.7″ z\_index=”1″ global\_colors\_info=”{}”\]\[et\_pb\_column type=”1\_2″ \_builder\_version=”4.6.1″ custom\_padding=”|3%|||false|false” global\_colors\_info=”{}”\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_2″ \_builder\_version=”3.25.1″ global\_colors\_info=”{}”\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[et\_pb\_row use\_custom\_gutter=”on” gutter\_width=”2″ custom\_padding\_last\_edited=”on|tablet” module\_id=”article” \_builder\_version=”4.14.7″ background\_color=”#ffffff” transform\_scale\_tablet=”” transform\_scale\_phone=”” transform\_scale\_last\_edited=”on|desktop” transform\_translate=”0px|-5vw” transform\_translate\_tablet=”0px|0vw” transform\_translate\_phone=”” transform\_translate\_last\_edited=”on|tablet” transform\_translate\_linked=”off” transform\_rotate\_tablet=”” transform\_rotate\_phone=”” transform\_rotate\_last\_edited=”on|desktop” transform\_skew\_tablet=”” transform\_skew\_phone=”” transform\_skew\_last\_edited=”on|desktop” transform\_origin\_tablet=”” transform\_origin\_phone=”” transform\_origin\_last\_edited=”on|desktop” transform\_styles\_last\_edited=”on|tablet” z\_index=”1″ width=”90%” module\_alignment=”center” custom\_margin=”|-2px|||false|false” custom\_margin\_tablet=”||0vw||false|false” custom\_margin\_phone=”” custom\_margin\_last\_edited=”on|tablet” custom\_padding=”0%|5%|5%|0px|false|false” custom\_padding\_tablet=”10%|0%|10%|0%|true|true” custom\_padding\_phone=”||||true|true” hover\_enabled=”0″ transform\_styles\_tablet=”” transform\_styles\_phone=”” border\_radii=”on|10px|10px|10px|10px” border\_color\_all=”#ddecff” box\_shadow\_style=”preset1″ box\_shadow\_vertical=”10px” box\_shadow\_blur=”60px” box\_shadow\_color=”rgba(10,45,97,0.1)” box\_shadow\_color\_tablet=”rgba(0,0,0,0)” box\_shadow\_color\_phone=”” box\_shadow\_color\_last\_edited=”on|phone” global\_colors\_info=”{}” sticky\_enabled=”0″\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”3.25″ custom\_padding=”|||” global\_colors\_info=”{}” custom\_padding\_\_hover=”|||”\]\[et\_pb\_text admin\_label=”Text” \_builder\_version=”4.14.7″ background\_size=”initial” background\_position=”top\_left” background\_repeat=”repeat” hover\_enabled=”0″ global\_colors\_info=”{}” module\_alignment=”center” sticky\_enabled=”0″\] # Dzięki, to już prawie wszystko! ![](https://media0.giphy.com/media/JlpjgShzDsrMIyFu5U/giphy.gif?cid=790b7611e9a9916951250a6e8d9359775203d344076373ed&rid=giphy.gif&ct=g) Za chwilę otrzymasz e-mail z prośbą o **potwierdzenie** podanego adresu. !! WAŻNE !! Jeśli wiadomość do Ciebie nie dotarła, sprawdź foldery **SPAM** i **OFERTY.** **Musisz kliknąć,** w przycisk z tej wiadomości! **Jeśli tego nie zrobisz:** 📩 **Nie otrzymasz żadnej wiadomości** ode mnie 📕 **Nie otrzymasz** dokumentu „19 aplikacji, które musi znać każdy sieciowiec” 😢 **Ominą Cię** cotygodniowe e-maile z ciekawymi linkami **Do przeczytania wkrótce!** \[/et\_pb\_text\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\] ### Główna URL: https://innasiec.pl/glowna-2/ Last updated: 2024-07-01T10:56:59.000Z \[et\_pb\_section fb\_built=”1″ \_builder\_version=”4.24.0″ \_module\_preset=”default” background\_image=”/content/images/wordpress/2021/04/creative-bg-05.png” background\_position=”top\_left” custom\_padding=”0px||0px||false|false” hover\_enabled=”0″ global\_colors\_info=”{}” title\_text=”creative-bg-05″ sticky\_enabled=”0″\]\[et\_pb\_row column\_structure=”3\_5,2\_5″ use\_custom\_gutter=”on” gutter\_width=”2″ make\_equal=”on” custom\_padding\_last\_edited=”on|phone” \_builder\_version=”4.24.0″ \_module\_preset=”default” width=”100%” max\_width=”2560px” module\_alignment=”right” custom\_padding=”0px|0px|0px|10px|false|false” custom\_padding\_tablet=”50px||||false|false” custom\_padding\_phone=”” hover\_enabled=”0″ global\_colors\_info=”{}” sticky\_enabled=”0″\]\[et\_pb\_column type=”3\_5″ module\_class=”dp-vertical-align” \_builder\_version=”4.24.0″ \_module\_preset=”default” custom\_padding=”|||10vw|false|false” custom\_padding\_tablet=”20px|40px|60px|40px|false|false” custom\_padding\_phone=”20px|40px|40px|40px|false|false” custom\_padding\_last\_edited=”on|desktop” global\_colors\_info=”{}”\]\[et\_pb\_text module\_class=”dp\_subheading” \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”Poppins|||on|||||” text\_text\_color=”#25222E” text\_font\_size=”24px” text\_letter\_spacing=”1px” custom\_margin=”||10px||false|false” custom\_padding=”||||false|false” hover\_enabled=”0″ text\_font\_size\_tablet=”20px” text\_font\_size\_phone=”18px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}” sticky\_enabled=”0″\] Inna Sieć \[/et\_pb\_text\]\[dipi\_fancy\_text in\_animation=”pulse” out\_animation=”fadeOut” speed=”4000″ duration=”1000″ \_builder\_version=”4.24.0″ \_module\_preset=”default” all\_font=”Poppins|700|||||||” all\_font\_size=”90px” all\_line\_height=”1em” custom\_margin=”20px|||-12px|false|false” custom\_margin\_tablet=”0px||||false|false” custom\_margin\_phone=”” custom\_margin\_last\_edited=”on|phone” custom\_padding=”||||false|false” all\_font\_size\_tablet=”60px” all\_font\_size\_phone=”35px” all\_font\_size\_last\_edited=”on|desktop” custom\_css\_main\_element=”margin-bottom: 20px !important;” global\_colors\_info=”{}”\]\[dipi\_fancy\_text\_child text=”Odkryj świat sieci” \_builder\_version=”4.24.0″ \_module\_preset=”default” max\_width=”950px” global\_colors\_info=”{}”\]\[/dipi\_fancy\_text\_child\]\[dipi\_fancy\_text\_child text=”Buduj, rozwijaj, optymalizuj” \_builder\_version=”4.24.0″ \_module\_preset=”default” max\_width=”950px” global\_colors\_info=”{}”\]\[/dipi\_fancy\_text\_child\]\[/dipi\_fancy\_text\]\[et\_pb\_text \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”|300|||||||” text\_text\_color=”rgba(37,34,46,0.5)” text\_font\_size=”20px” text\_line\_height=”1.5em” header\_text\_color=”#816FD2″ max\_width=”956px” text\_font\_size\_tablet=”” text\_font\_size\_phone=”16px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Pomogę Ci poszerzyć swoją wiedzę na temat projektowania, utrzymania i automatyzacji sieci komputerowych. \[/et\_pb\_text\]\[dipi\_button\_grid flex\_direction=”row” justify\_content=”flex-start” \_builder\_version=”4.24.0″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[dipi\_button\_grid\_child button\_id=”Button One” button\_text=”Blog” button\_link=”@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF9saW5rX3VybF9wYWdlIiwic2V0dGluZ3MiOnsicG9zdF9pZCI6IjM5MDkifX0=@” \_builder\_version=”4.24.0″ \_dynamic\_attributes=”button\_link” \_module\_preset=”default” custom\_button=”on” button\_text\_size=”16px” button\_text\_color=”#F9F9FE” button\_bg\_use\_color\_gradient=”on” button\_bg\_color\_gradient\_direction=”89deg” button\_bg\_color\_gradient\_stops=”#816fd2 0%|#c989da 100%” button\_bg\_color\_gradient\_start=”#816fd2″ button\_bg\_color\_gradient\_end=”#c989da” button\_border\_width=”0px” button\_border\_radius=”100px” button\_font=”Poppins|||on|||||” button\_use\_icon=”off” button\_custom\_padding=”12px|30px|12px|30px|false|false” button\_custom\_padding\_tablet=”” button\_custom\_padding\_phone=”15px|20px|15px|20px|false|false” button\_custom\_padding\_last\_edited=”on|phone” transform\_translate\_linked\_\_hover=”off” custom\_margin=”|||0px|false|false” button\_text\_size\_tablet=”” button\_text\_size\_phone=”13px” button\_text\_size\_last\_edited=”on|phone” global\_colors\_info=”{}” button\_bg\_color\_\_hover\_enabled=”off|hover” button\_bg\_color\_gradient\_start\_\_hover=”#816fd2″ button\_bg\_use\_color\_gradient\_\_hover=”on” button\_bg\_color\_gradient\_end\_\_hover=”#c989da” transform\_styles\_\_hover\_enabled=”on|hover” transform\_scale\_\_hover\_enabled=”on|desktop” transform\_translate\_\_hover\_enabled=”on|hover” transform\_rotate\_\_hover\_enabled=”on|desktop” transform\_skew\_\_hover\_enabled=”on|desktop” transform\_origin\_\_hover\_enabled=”on|desktop” transform\_scale\_\_hover=”105%|105%” button\_bg\_color\_gradient\_stops\_\_hover=”#816fd2 0%|#c989da 100%”\]\[/dipi\_button\_grid\_child\]\[dipi\_button\_grid\_child button\_id=”Button One” button\_type=”dp\_button” button\_text=”Newsletter” button\_link=”@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF9saW5rX3VybF9wYWdlIiwic2V0dGluZ3MiOnsicG9zdF9pZCI6IjM1NjIifX0=@” \_builder\_version=”4.24.0″ \_dynamic\_attributes=”button\_link” \_module\_preset=”default” custom\_button=”on” button\_text\_size=”16px” button\_text\_color=”#25222E” button\_bg\_color=”RGBA(0,0,0,0)” button\_bg\_color\_gradient\_direction=”157deg” button\_bg\_color\_gradient\_stops=”#c989da 0%|#816fd2 100%” button\_bg\_color\_gradient\_start=”#c989da” button\_bg\_color\_gradient\_end=”#816fd2″ button\_border\_width=”0px” button\_border\_radius=”100px” button\_font=”Poppins|||on|||||” button\_use\_icon=”on” button\_icon=”||fa||900″ button\_icon\_color=”#816FD2″ button\_on\_hover=”off” button\_custom\_padding=”12px|30px|12px|30px|false|false” button\_custom\_padding\_tablet=”” button\_custom\_padding\_phone=”15px|0px|15px|0px|false|false” button\_custom\_padding\_last\_edited=”on|phone” transform\_translate\_linked\_\_hover=”off” custom\_margin\_tablet=”” custom\_margin\_phone=”||||false|false” custom\_margin\_last\_edited=”on|phone” button\_text\_size\_tablet=”” button\_text\_size\_phone=”13px” button\_text\_size\_last\_edited=”on|phone” global\_colors\_info=”{}” transform\_styles\_\_hover\_enabled=”on|hover” transform\_scale\_\_hover=”105%|105%” transform\_scale\_\_hover\_enabled=”on|hover” transform\_translate\_\_hover\_enabled=”on|hover” transform\_rotate\_\_hover\_enabled=”on|desktop” transform\_skew\_\_hover\_enabled=”on|desktop” transform\_origin\_\_hover\_enabled=”on|desktop”\]\[/dipi\_button\_grid\_child\]\[/dipi\_button\_grid\]\[/et\_pb\_column\]\[et\_pb\_column type=”2\_5″ module\_class=”dp-vertical-align” \_builder\_version=”4.16″ \_module\_preset=”default” background\_enable\_image=”off” custom\_padding\_tablet=”” custom\_padding\_phone=”” custom\_padding\_last\_edited=”on|tablet” border\_radii\_tablet=”off|60px|||” border\_radii\_phone=”” border\_radii\_last\_edited=”on|tablet” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2024/02/inzynier\_sieci\_optimized.jpg” alt=”Inżynier sieci” title\_text=”Inżynier sieci” align=”right” force\_fullwidth=”on” \_builder\_version=”4.24.0″ \_module\_preset=”default” min\_height\_last\_edited=”off|desktop” custom\_margin\_tablet=”” custom\_margin\_phone=”” custom\_margin\_last\_edited=”on|tablet” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\]\[et\_pb\_section fb\_built=”1″ \_builder\_version=”4.16″ \_module\_preset=”default” background\_color=”#2F2B5A” border\_radii=”off||||” border\_radii\_tablet=”off||||” border\_radii\_phone=”off||||0px” border\_radii\_last\_edited=”on|desktop” global\_colors\_info=”{}”\]\[et\_pb\_row column\_structure=”1\_3,1\_3,1\_3″ use\_custom\_gutter=”on” gutter\_width=”2″ \_builder\_version=”4.16″ \_module\_preset=”default” width=”90%” global\_colors\_info=”{}”\]\[et\_pb\_column type=”1\_3″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text module\_class=”dp\_subheading” \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”Poppins|||on|||||” text\_text\_color=”rgba(255,255,255,0.2)” text\_font\_size=”24px” text\_letter\_spacing=”1px” custom\_margin=”||10px||false|false” custom\_padding=”||||false|false” text\_font\_size\_tablet=”20px” text\_font\_size\_phone=”18px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Na blogu \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”Poppins|700|||||||” text\_text\_color=”#F9F9FE” text\_font\_size=”56px” text\_line\_height=”1em” custom\_margin=”20px||||false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”32px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Wiedza nowoczesnego sieciowca \[/et\_pb\_text\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_3″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}” custom\_css\_main\_element\_last\_edited=”off|tablet”\]\[dipi\_hover\_box content\_title=”Automatyzacja” content\_image=”/content/images/wordpress/2021/06/creative-ico-13.svg” content\_image\_width=”60px” body\_text=” Wejdź do świata automatyzacji i osiągaj więcej w krótszym czasie. ” content\_hover\_title=”Automatyzacja” content\_hover\_content=” Wejdź do świata automatyzacji i osiągaj więcej w krótszym czasie. ” use\_content\_hover\_button=”on” content\_hover\_button\_text=”Więcej” content\_hover\_button\_link=”https://innasiec.pl/category/automatyzacja/” hover\_type=”fade” animation\_speed=”400ms” hover\_box\_align\_front=”left” hover\_box\_align\_back=”left” box\_height=”250px” content\_bg\_color=”#2A2450″ content\_hover\_bg\_use\_color\_gradient=”on” content\_hover\_bg\_color\_gradient\_direction=”217deg” content\_hover\_bg\_color\_gradient\_stops=”#c989da 0%|#816fd2 100%” content\_hover\_bg\_color\_gradient\_start=”#c989da” content\_hover\_bg\_color\_gradient\_end=”#816fd2″ \_builder\_version=”4.24.0″ \_module\_preset=”default” content\_title\_text\_color=”#F9F9FE” content\_desc\_text\_color=”#f9f9fe” content\_desc\_font\_size=”14px” content\_desc\_line\_height=”1.6em” content\_hover\_title\_text\_color=”#FFFFFF” content\_hover\_desc\_text\_color=”#FFFFFF” content\_hover\_desc\_font\_size=”14px” content\_hover\_desc\_line\_height=”1.6em” custom\_content\_hover\_button=”on” content\_hover\_button\_text\_size=”16px” content\_hover\_button\_text\_color=”#FFFFFF” content\_hover\_button\_bg\_color=”RGBA(0,0,0,0)” content\_hover\_button\_border\_width=”1px” content\_hover\_button\_border\_color=”#FFFFFF” content\_hover\_button\_border\_radius=”100px” content\_hover\_button\_icon=”%%3%%” border\_radii=”on|10px|10px|10px|10px” global\_colors\_info=”{}” overlay\_bg\_color\_gradient\_type\_tablet=”linear” overlay\_bg\_color\_gradient\_type\_phone=”linear” overlay\_bg\_color\_gradient\_type\_\_hover=”linear” image\_bg\_color\_gradient\_type\_\_hover=”linear”\]\[/dipi\_hover\_box\]\[dipi\_hover\_box content\_title=”Projektowanie sieci” content\_image=”/content/images/wordpress/2021/06/creative-ico-04.svg” content\_image\_width=”60px” body\_text=” Odkryj tajemnice projektowania sieci komputerowych i stwórz solidne fundamenty dla Twojej organizacji. ” content\_hover\_title=”Projektowanie sieci” content\_hover\_content=” Odkryj tajemnice projektowania sieci komputerowych i stwórz solidne fundamenty dla Twojej organizacji. ” use\_content\_hover\_button=”on” content\_hover\_button\_text=”Więcej” content\_hover\_button\_link=”https://innasiec.pl/category/design/” hover\_type=”fade” animation\_speed=”400ms” hover\_box\_align\_front=”left” hover\_box\_align\_back=”left” box\_height=”250px” content\_bg\_color=”#2A2450″ content\_hover\_bg\_use\_color\_gradient=”on” content\_hover\_bg\_color\_gradient\_direction=”217deg” content\_hover\_bg\_color\_gradient\_stops=”#c989da 0%|#816fd2 100%” content\_hover\_bg\_color\_gradient\_start=”#c989da” content\_hover\_bg\_color\_gradient\_end=”#816fd2″ \_builder\_version=”4.24.0″ \_module\_preset=”default” content\_title\_text\_color=”#F9F9FE” content\_desc\_text\_color=”#f9f9fe” content\_desc\_font\_size=”14px” content\_desc\_line\_height=”1.6em” content\_hover\_title\_text\_color=”#FFFFFF” content\_hover\_desc\_text\_color=”#FFFFFF” content\_hover\_desc\_font\_size=”14px” content\_hover\_desc\_line\_height=”1.6em” custom\_content\_hover\_button=”on” content\_hover\_button\_text\_size=”16px” content\_hover\_button\_text\_color=”#FFFFFF” content\_hover\_button\_bg\_color=”RGBA(0,0,0,0)” content\_hover\_button\_border\_width=”1px” content\_hover\_button\_border\_color=”#FFFFFF” content\_hover\_button\_border\_radius=”100px” content\_hover\_button\_icon=”%%3%%” border\_radii=”on|10px|10px|10px|10px” global\_colors\_info=”{}” overlay\_bg\_color\_gradient\_type\_tablet=”linear” overlay\_bg\_color\_gradient\_type\_phone=”linear” overlay\_bg\_color\_gradient\_type\_\_hover=”linear” image\_bg\_color\_gradient\_type\_\_hover=”linear”\]\[/dipi\_hover\_box\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_3″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[dipi\_hover\_box content\_title=”Routing & Switching” content\_image=”/content/images/wordpress/2021/06/creative-ico-12.svg” content\_image\_width=”60px” body\_text=” Zanurz się w technologiach routingu i switchingu, które łączą i umożliwiają komunikację między urządzeniami. ” content\_hover\_title=”Routing & Switching” content\_hover\_content=” Zanurz się w technologiach routingu i switchingu, które łączą i umożliwiają komunikację między urządzeniami. ” use\_content\_hover\_button=”on” content\_hover\_button\_text=”Więcej” hover\_type=”fade” animation\_speed=”400ms” hover\_box\_align\_front=”left” hover\_box\_align\_back=”left” box\_height=”250px” content\_bg\_color=”#2A2450″ content\_hover\_bg\_use\_color\_gradient=”on” content\_hover\_bg\_color\_gradient\_direction=”217deg” content\_hover\_bg\_color\_gradient\_stops=”#c989da 0%|#816fd2 100%” content\_hover\_bg\_color\_gradient\_start=”#c989da” content\_hover\_bg\_color\_gradient\_end=”#816fd2″ \_builder\_version=”4.24.0″ \_module\_preset=”default” content\_title\_text\_color=”#F9F9FE” content\_desc\_text\_color=”#f9f9fe” content\_desc\_font\_size=”14px” content\_desc\_line\_height=”1.6em” content\_hover\_title\_text\_color=”#FFFFFF” content\_hover\_desc\_text\_color=”#FFFFFF” content\_hover\_desc\_font\_size=”14px” content\_hover\_desc\_line\_height=”1.6em” custom\_content\_hover\_button=”on” content\_hover\_button\_text\_size=”16px” content\_hover\_button\_text\_color=”#FFFFFF” content\_hover\_button\_bg\_color=”RGBA(0,0,0,0)” content\_hover\_button\_border\_width=”1px” content\_hover\_button\_border\_color=”#FFFFFF” content\_hover\_button\_border\_radius=”100px” content\_hover\_button\_icon=”%%3%%” border\_radii=”on|10px|10px|10px|10px” global\_colors\_info=”{}” overlay\_bg\_color\_gradient\_type\_tablet=”linear” overlay\_bg\_color\_gradient\_type\_phone=”linear” overlay\_bg\_color\_gradient\_type\_\_hover=”linear” image\_bg\_color\_gradient\_type\_\_hover=”linear”\]\[/dipi\_hover\_box\]\[dipi\_hover\_box content\_title=”Podcast” content\_image=”/content/images/wordpress/2021/06/creative-ico-23.svg” content\_image\_width=”60px” body\_text=” Inspirujące rozmowy i wartościowe treści, które otworzą Ci drzwi do świata wiedzy. ” content\_hover\_title=”Podcast” content\_hover\_content=” Inspirujące rozmowy i wartościowe treści, które otworzą Ci drzwi do świata wiedzy. ” use\_content\_hover\_button=”on” content\_hover\_button\_text=”Więcej” content\_hover\_button\_link=”https://innasiec.pl/category/podcast/” hover\_type=”fade” animation\_speed=”400ms” hover\_box\_align\_front=”left” hover\_box\_align\_back=”left” box\_height=”250px” content\_bg\_color=”#2A2450″ content\_hover\_bg\_use\_color\_gradient=”on” content\_hover\_bg\_color\_gradient\_direction=”217deg” content\_hover\_bg\_color\_gradient\_stops=”#c989da 0%|#816fd2 100%” content\_hover\_bg\_color\_gradient\_start=”#c989da” content\_hover\_bg\_color\_gradient\_end=”#816fd2″ \_builder\_version=”4.24.0″ \_module\_preset=”default” content\_title\_text\_color=”#F9F9FE” content\_desc\_text\_color=”#f9f9fe” content\_desc\_font\_size=”14px” content\_desc\_line\_height=”1.6em” content\_hover\_title\_text\_color=”#FFFFFF” content\_hover\_desc\_text\_color=”#FFFFFF” content\_hover\_desc\_font\_size=”14px” content\_hover\_desc\_line\_height=”1.6em” custom\_content\_hover\_button=”on” content\_hover\_button\_text\_size=”16px” content\_hover\_button\_text\_color=”#FFFFFF” content\_hover\_button\_bg\_color=”RGBA(0,0,0,0)” content\_hover\_button\_border\_width=”1px” content\_hover\_button\_border\_color=”#FFFFFF” content\_hover\_button\_border\_radius=”100px” content\_hover\_button\_icon=”%%3%%” border\_radii=”on|10px|10px|10px|10px” global\_colors\_info=”{}” overlay\_bg\_color\_gradient\_type\_tablet=”linear” overlay\_bg\_color\_gradient\_type\_phone=”linear” overlay\_bg\_color\_gradient\_type\_\_hover=”linear” image\_bg\_color\_gradient\_type\_\_hover=”linear”\]\[/dipi\_hover\_box\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\]\[et\_pb\_section fb\_built=”1″ \_builder\_version=”4.16″ \_module\_preset=”default” custom\_padding=”||0px|||” global\_colors\_info=”{}”\]\[et\_pb\_row column\_structure=”1\_2,1\_2″ use\_custom\_gutter=”on” gutter\_width=”2″ make\_equal=”on” module\_class=”reverse-columns” \_builder\_version=”4.24.0″ \_module\_preset=”default” background\_image=”/content/images/wordpress/2021/04/creative-bg-01.png” width=”100%” max\_width=”2560px” module\_alignment=”left” hover\_enabled=”0″ global\_colors\_info=”{}” alt=”creative-bg-01″ title\_text=”creative-bg-01″ sticky\_enabled=”0″\]\[et\_pb\_column type=”1\_2″ module\_class=”dp-vertical-align” \_builder\_version=”4.16″ \_module\_preset=”default” custom\_padding\_tablet=”|40px|||false|false” custom\_padding\_phone=”||||false|false” custom\_padding\_last\_edited=”on|phone” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2024/02/czytelniczka\_newsletteru\_optimized.jpg” alt=”Czytelniczka Newslettera” title\_text=”Czytelniczka Newslettera” \_builder\_version=”4.24.0″ \_module\_preset=”default” border\_radii=”off||30px|30px|” box\_shadow\_style=”preset1″ box\_shadow\_blur=”45px” box\_shadow\_spread=”-5px” box\_shadow\_color=”rgba(129,111,210,0.23)” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_2″ module\_class=”dp-vertical-align” \_builder\_version=”4.16″ \_module\_preset=”default” custom\_padding=”|||10vw|false|false” custom\_padding\_tablet=”||80px|5vw|false|false” custom\_padding\_phone=”|5vw|80px||false|false” custom\_padding\_last\_edited=”on|phone” global\_colors\_info=”{}”\]\[et\_pb\_text module\_class=”dp\_subheading” \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”Poppins|||on|||||” text\_text\_color=”#25222E” text\_font\_size=”24px” text\_letter\_spacing=”1px” custom\_margin=”||10px||false|false” custom\_padding=”||||false|false” text\_font\_size\_tablet=”20px” text\_font\_size\_phone=”18px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Newsletter \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”Poppins|700|||||||” text\_text\_color=”#25222E” text\_font\_size=”56px” text\_line\_height=”1.1em” max\_width=”725px” custom\_margin=”10px||20px||false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”32px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Najnowsze informacje na wyciągnięcie ręki \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”|300|||||||” text\_text\_color=”rgba(37,34,46,0.5)” text\_font\_size=”20px” text\_line\_height=”1.5em” header\_text\_color=”#816FD2″ max\_width=”664px” text\_font\_size\_tablet=”” text\_font\_size\_phone=”16px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Zapisz się na nasz newsletter, aby otrzymać jeszcze więcej wartościowych artykułów, nowości oraz linków ze świata sieci komputerowych. \[/et\_pb\_text\]\[dipi\_button\_grid flex\_direction=”row” justify\_content=”flex-start” \_builder\_version=”4.24.0″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[dipi\_button\_grid\_child button\_id=”Button One” button\_text=”Subskrybuj newsletter” button\_link=”@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF9saW5rX3VybF9wYWdlIiwic2V0dGluZ3MiOnsicG9zdF9pZCI6IjM1NjIifX0=@” \_builder\_version=”4.24.0″ \_dynamic\_attributes=”button\_link” \_module\_preset=”default” custom\_button=”on” button\_text\_size=”16px” button\_text\_color=”#F9F9FE” button\_bg\_use\_color\_gradient=”on” button\_bg\_color\_gradient\_direction=”89deg” button\_bg\_color\_gradient\_stops=”#816fd2 0%|#c989da 100%” button\_bg\_color\_gradient\_start=”#816fd2″ button\_bg\_color\_gradient\_end=”#c989da” button\_border\_width=”0px” button\_border\_radius=”100px” button\_font=”Poppins|||on|||||” button\_use\_icon=”off” button\_custom\_padding=”12px|30px|12px|30px|false|false” button\_custom\_padding\_tablet=”” button\_custom\_padding\_phone=”15px|20px|15px|20px|false|false” button\_custom\_padding\_last\_edited=”on|phone” transform\_translate\_linked\_\_hover=”off” custom\_margin=”|||0px|false|false” button\_text\_size\_tablet=”” button\_text\_size\_phone=”13px” button\_text\_size\_last\_edited=”on|phone” global\_colors\_info=”{}” button\_bg\_color\_\_hover\_enabled=”off|hover” button\_bg\_color\_gradient\_start\_\_hover=”#816fd2″ button\_bg\_use\_color\_gradient\_\_hover=”on” button\_bg\_color\_gradient\_end\_\_hover=”#c989da” transform\_styles\_\_hover\_enabled=”on|hover” transform\_scale\_\_hover\_enabled=”on|desktop” transform\_translate\_\_hover\_enabled=”on|hover” transform\_rotate\_\_hover\_enabled=”on|desktop” transform\_skew\_\_hover\_enabled=”on|desktop” transform\_origin\_\_hover\_enabled=”on|desktop” transform\_scale\_\_hover=”105%|105%” button\_bg\_color\_gradient\_stops\_\_hover=”#816fd2 0%|#c989da 100%”\]\[/dipi\_button\_grid\_child\]\[/dipi\_button\_grid\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[et\_pb\_row column\_structure=”1\_2,1\_2″ use\_custom\_gutter=”on” gutter\_width=”2″ make\_equal=”on” custom\_padding\_last\_edited=”on|phone” \_builder\_version=”4.24.0″ \_module\_preset=”default” background\_image=”/content/images/wordpress/2021/04/creative-bg-01.png” width=”100%” max\_width=”2560px” module\_alignment=”right” custom\_margin=”||||false|false” custom\_margin\_tablet=”” custom\_margin\_phone=”” custom\_margin\_last\_edited=”on|desktop” custom\_padding\_tablet=”” custom\_padding\_phone=”||||false|false” hover\_enabled=”0″ module\_alignment\_phone=”right” module\_alignment\_last\_edited=”off|phone” global\_colors\_info=”{}” alt=”creative-bg-01″ title\_text=”creative-bg-01″ sticky\_enabled=”0″\]\[et\_pb\_column type=”1\_2″ module\_class=”dp-vertical-align” \_builder\_version=”4.24.0″ \_module\_preset=”default” custom\_padding=”|||11vw|false|false” custom\_padding\_tablet=”|||5vw|false|false” custom\_padding\_phone=”|5vw|60px||false|false” custom\_padding\_last\_edited=”on|phone” global\_colors\_info=”{}”\]\[et\_pb\_text module\_class=”dp\_subheading” \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”Poppins|||on|||||” text\_text\_color=”#25222E” text\_font\_size=”24px” text\_letter\_spacing=”1px” custom\_margin=”||10px||false|false” custom\_padding=”||||false|false” text\_font\_size\_tablet=”20px” text\_font\_size\_phone=”18px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Blog \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”Poppins|700|||||||” text\_text\_color=”#25222E” text\_font\_size=”56px” text\_line\_height=”1.1em” max\_width=”725px” custom\_margin=”10px||20px||false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”32px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Wiedza na Twoim ekranie \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”|300|||||||” text\_text\_color=”rgba(37,34,46,0.5)” text\_font\_size=”20px” text\_line\_height=”1.5em” header\_text\_color=”#816FD2″ max\_width=”664px” text\_font\_size\_tablet=”” text\_font\_size\_phone=”16px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Na blogu znajdziesz artykuły, które pomogą Ci, nie tylko zrozumieć jak działają, ale również jak projektować i automatyzować sieci komputerowe. \[/et\_pb\_text\]\[dipi\_button\_grid flex\_direction=”row” justify\_content=”flex-start” \_builder\_version=”4.24.0″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[dipi\_button\_grid\_child button\_id=”Button One” button\_text=”Czytaj więcej” button\_link=”@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF9saW5rX3VybF9wYWdlIiwic2V0dGluZ3MiOnsicG9zdF9pZCI6IjM5MDkifX0=@” \_builder\_version=”4.24.0″ \_dynamic\_attributes=”button\_link” \_module\_preset=”default” custom\_button=”on” button\_text\_size=”16px” button\_text\_color=”#F9F9FE” button\_bg\_use\_color\_gradient=”on” button\_bg\_color\_gradient\_direction=”89deg” button\_bg\_color\_gradient\_stops=”#816fd2 0%|#c989da 100%” button\_bg\_color\_gradient\_start=”#816fd2″ button\_bg\_color\_gradient\_end=”#c989da” button\_border\_width=”0px” button\_border\_radius=”100px” button\_font=”Poppins|||on|||||” button\_use\_icon=”off” button\_custom\_padding=”12px|30px|12px|30px|false|false” button\_custom\_padding\_tablet=”” button\_custom\_padding\_phone=”15px|20px|15px|20px|false|false” button\_custom\_padding\_last\_edited=”on|phone” transform\_translate\_linked\_\_hover=”off” custom\_margin=”|||0px|false|false” button\_text\_size\_tablet=”” button\_text\_size\_phone=”13px” button\_text\_size\_last\_edited=”on|phone” global\_colors\_info=”{}” button\_bg\_color\_\_hover\_enabled=”off|hover” button\_bg\_color\_gradient\_start\_\_hover=”#816fd2″ button\_bg\_use\_color\_gradient\_\_hover=”on” button\_bg\_color\_gradient\_end\_\_hover=”#c989da” transform\_styles\_\_hover\_enabled=”on|hover” transform\_scale\_\_hover\_enabled=”on|desktop” transform\_translate\_\_hover\_enabled=”on|hover” transform\_rotate\_\_hover\_enabled=”on|desktop” transform\_skew\_\_hover\_enabled=”on|desktop” transform\_origin\_\_hover\_enabled=”on|desktop” transform\_scale\_\_hover=”105%|105%” button\_bg\_color\_gradient\_stops\_\_hover=”#816fd2 0%|#c989da 100%”\]\[/dipi\_button\_grid\_child\]\[/dipi\_button\_grid\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_2″ module\_class=”dp-vertical-align” \_builder\_version=”4.16″ \_module\_preset=”default” custom\_padding=”||||false|false” custom\_padding\_tablet=”|||5vw|false|false” custom\_padding\_phone=”||||false|false” custom\_padding\_last\_edited=”on|desktop” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2024/02/creative-02.jpg” title\_text=”creative-02″ align=”right” align\_tablet=”” align\_phone=”right” align\_last\_edited=”on|phone” \_builder\_version=”4.24.0″ \_module\_preset=”default” hover\_enabled=”0″ border\_radii=”off|30px|||30px” box\_shadow\_style=”preset1″ box\_shadow\_blur=”45px” box\_shadow\_spread=”-5px” box\_shadow\_color=”rgba(129,111,210,0.23)” global\_colors\_info=”{}” sticky\_enabled=”0″\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[et\_pb\_row column\_structure=”1\_2,1\_2″ use\_custom\_gutter=”on” gutter\_width=”2″ make\_equal=”on” module\_class=”reverse-columns” \_builder\_version=”4.24.0″ \_module\_preset=”default” background\_image=”/content/images/wordpress/2021/04/creative-bg-01.png” width=”100%” max\_width=”2560px” module\_alignment=”left” hover\_enabled=”0″ global\_colors\_info=”{}” alt=”creative-bg-01″ title\_text=”creative-bg-01″ sticky\_enabled=”0″\]\[et\_pb\_column type=”1\_2″ module\_class=”dp-vertical-align” \_builder\_version=”4.16″ \_module\_preset=”default” custom\_padding\_tablet=”|40px|||false|false” custom\_padding\_phone=”||||false|false” custom\_padding\_last\_edited=”on|phone” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2024/02/sluchacz\_podcastu\_optimized.jpg” alt=”Słuchacz podcastu” title\_text=”Słuchacz podcastu” \_builder\_version=”4.24.0″ \_module\_preset=”default” border\_radii=”off||30px|30px|” box\_shadow\_style=”preset1″ box\_shadow\_blur=”45px” box\_shadow\_spread=”-5px” box\_shadow\_color=”rgba(129,111,210,0.23)” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_2″ module\_class=”dp-vertical-align” \_builder\_version=”4.16″ \_module\_preset=”default” custom\_padding=”|||10vw|false|false” custom\_padding\_tablet=”||80px|5vw|false|false” custom\_padding\_phone=”|5vw|80px||false|false” custom\_padding\_last\_edited=”on|phone” global\_colors\_info=”{}”\]\[et\_pb\_text module\_class=”dp\_subheading” \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”Poppins|||on|||||” text\_text\_color=”#25222E” text\_font\_size=”24px” text\_letter\_spacing=”1px” custom\_margin=”||10px||false|false” custom\_padding=”||||false|false” text\_font\_size\_tablet=”20px” text\_font\_size\_phone=”18px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Podcast \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”Poppins|700|||||||” text\_text\_color=”#25222E” text\_font\_size=”56px” text\_line\_height=”1.1em” max\_width=”725px” custom\_margin=”10px||20px||false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”32px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Słuchaj gdziekolwiek jesteś \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”|300|||||||” text\_text\_color=”rgba(37,34,46,0.5)” text\_font\_size=”20px” text\_line\_height=”1.5em” header\_text\_color=”#816FD2″ max\_width=”664px” text\_font\_size\_tablet=”” text\_font\_size\_phone=”16px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Rozmowy z ekspertami z branży. Poruszam tematy, które mogą mieć spory wpływ na Twoją karierę. Posłuchaj i przekonaj się na własne uszy. \[/et\_pb\_text\]\[dipi\_button\_grid flex\_direction=”row” justify\_content=”flex-start” \_builder\_version=”4.24.0″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[dipi\_button\_grid\_child button\_id=”Button One” button\_text=”Czytaj więcej” button\_link=”https://innasiec.pl/category/podcast/” \_builder\_version=”4.24.0″ \_module\_preset=”default” custom\_button=”on” button\_text\_size=”16px” button\_text\_color=”#F9F9FE” button\_bg\_use\_color\_gradient=”on” button\_bg\_color\_gradient\_direction=”89deg” button\_bg\_color\_gradient\_stops=”#816fd2 0%|#c989da 100%” button\_bg\_color\_gradient\_start=”#816fd2″ button\_bg\_color\_gradient\_end=”#c989da” button\_border\_width=”0px” button\_border\_radius=”100px” button\_font=”Poppins|||on|||||” button\_use\_icon=”off” button\_custom\_padding=”12px|30px|12px|30px|false|false” button\_custom\_padding\_tablet=”” button\_custom\_padding\_phone=”15px|20px|15px|20px|false|false” button\_custom\_padding\_last\_edited=”on|phone” transform\_translate\_linked\_\_hover=”off” custom\_margin=”|||0px|false|false” button\_text\_size\_tablet=”” button\_text\_size\_phone=”13px” button\_text\_size\_last\_edited=”on|phone” global\_colors\_info=”{}” button\_bg\_color\_\_hover\_enabled=”off|hover” button\_bg\_color\_gradient\_start\_\_hover=”#816fd2″ button\_bg\_use\_color\_gradient\_\_hover=”on” button\_bg\_color\_gradient\_end\_\_hover=”#c989da” transform\_styles\_\_hover\_enabled=”on|hover” transform\_scale\_\_hover\_enabled=”on|desktop” transform\_translate\_\_hover\_enabled=”on|hover” transform\_rotate\_\_hover\_enabled=”on|desktop” transform\_skew\_\_hover\_enabled=”on|desktop” transform\_origin\_\_hover\_enabled=”on|desktop” transform\_scale\_\_hover=”105%|105%” button\_bg\_color\_gradient\_stops\_\_hover=”#816fd2 0%|#c989da 100%”\]\[/dipi\_button\_grid\_child\]\[/dipi\_button\_grid\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[et\_pb\_row use\_custom\_gutter=”on” gutter\_width=”2″ custom\_padding\_last\_edited=”on|phone” \_builder\_version=”4.24.0″ \_module\_preset=”default” background\_image=”/content/images/wordpress/2021/04/creative-bg-02.png” background\_size=”initial” background\_position=”top\_right” width=”100%” max\_width=”2560px” custom\_padding=”180px|5vw|100px|5vw|false|false” custom\_padding\_tablet=”||100px||false|false” custom\_padding\_phone=”” hover\_enabled=”0″ global\_colors\_info=”{}” title\_text=”creative-bg-02″ sticky\_enabled=”0″\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”4.24.0″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”Poppins|700|||||||” text\_text\_color=”#25222E” text\_font\_size=”56px” text\_line\_height=”1.1em” max\_width=”725px” custom\_margin=”||20px||false|false” custom\_padding=”|||5vw|false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”36px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Najnowsze artykuły \[/et\_pb\_text\]\[et\_pb\_blog fullwidth=”off” posts\_number=”6″ show\_more=”on” show\_date=”off” show\_excerpt=”off” show\_pagination=”off” use\_overlay=”on” overlay\_icon\_color=”RGBA(0,0,0,0)” hover\_overlay\_color=”rgba(37,34,46,0.22)” hover\_icon=”||divi||400″ masonry\_tile\_background\_color=”#FFFFFF” module\_class=”dp\_blog\_grid” \_builder\_version=”4.24.0″ \_module\_preset=”default” header\_text\_color=”#25222E” header\_font\_size=”26px” meta\_font=”Poppins|||on|||||” meta\_text\_color=”#25222E” meta\_font\_size=”12px” meta\_letter\_spacing=”1px” read\_more\_font=”Poppins|600||on|||||” read\_more\_text\_color=”#25222E” read\_more\_font\_size=”12px” read\_more\_letter\_spacing=”2px” background\_color=”RGBA(0,0,0,0)” custom\_padding=”||||false|false” custom\_css\_title=”padding-bottom: 5px !important;” custom\_css\_post\_meta=”margin-bottom: 20px !important;” custom\_css\_read\_more=”border: solid 1px;||padding: 5px 15px;||border-radius: 40px;||display: inline-block;||margin-bottom: 10px;||transition: all .3s ease-in-out;” border\_radii=”on|10px|10px|10px|10px” border\_width\_all=”0px” box\_shadow\_style=”preset1″ box\_shadow\_color=”rgba(129,111,210,0.11)” global\_colors\_info=”{}” custom\_css\_read\_more\_last\_edited=”off|desktop” custom\_css\_read\_more\_\_hover\_enabled=”on|hover” custom\_css\_read\_more\_\_hover=”padding: 5px 15px;||transform:scale(1.05);||transition: all .3s ease-in-out;”\]\[/et\_pb\_blog\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\]\[et\_pb\_section fb\_built=”1″ \_builder\_version=”4.16″ \_module\_preset=”default” custom\_padding=”||0px|||” global\_colors\_info=”{}”\]\[et\_pb\_row column\_structure=”1\_2,1\_2″ use\_custom\_gutter=”on” gutter\_width=”2″ make\_equal=”on” custom\_padding\_last\_edited=”on|phone” \_builder\_version=”4.24.0″ \_module\_preset=”default” background\_image=”/content/images/wordpress/2021/04/creative-bg-05.png” background\_position=”bottom\_center” width=”100%” max\_width=”2560px” module\_alignment=”left” custom\_margin=”||||false|false” custom\_margin\_tablet=”” custom\_margin\_phone=”” custom\_margin\_last\_edited=”on|desktop” custom\_padding=”5vw||5vw||false|false” custom\_padding\_tablet=”” custom\_padding\_phone=”||||false|false” hover\_enabled=”0″ module\_alignment\_phone=”right” module\_alignment\_last\_edited=”off|phone” global\_colors\_info=”{}” title\_text=”creative-bg-05″ sticky\_enabled=”0″\]\[et\_pb\_column type=”1\_2″ module\_class=”dp-vertical-align” \_builder\_version=”4.24.0″ \_module\_preset=”default” custom\_padding=”|||11vw|false|false” custom\_padding\_tablet=”|||5vw|false|false” custom\_padding\_phone=”|5vw|60px||false|false” custom\_padding\_last\_edited=”on|phone” global\_colors\_info=”{}”\]\[et\_pb\_text \_builder\_version=”4.16″ \_module\_preset=”default” text\_font=”Poppins|700|||||||” text\_text\_color=”#25222E” text\_font\_size=”56px” text\_line\_height=”1.1em” max\_width=”725px” custom\_margin=”||20px||false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”32px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Pozostańmy w kontakcie \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.16″ \_module\_preset=”default” text\_font=”|300|||||||” text\_text\_color=”rgba(37,34,46,0.5)” text\_font\_size=”20px” text\_line\_height=”1.5em” header\_text\_color=”#816FD2″ header\_4\_font\_size=”21px” header\_4\_line\_height=”2.5em” max\_width=”664px” text\_font\_size\_tablet=”” text\_font\_size\_phone=”16px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Czekam na wiadomość od Ciebie. \[/et\_pb\_text\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_2″ module\_class=”dp-vertical-align” \_builder\_version=”4.24.0″ \_module\_preset=”default” custom\_padding=”|10vw||10vw|false|false” custom\_padding\_tablet=”||80px|5vw|false|false” custom\_padding\_phone=”|5vw|80px||false|false” custom\_padding\_last\_edited=”on|phone” global\_colors\_info=”{}”\]\[et\_pb\_contact\_form \_builder\_version=”4.24.0″ \_module\_preset=”default” \_unique\_id=”a2a92c1e-1035-481c-ab81-26a3545d9b44″ form\_field\_background\_color=”RGBA(0,0,0,0)” custom\_button=”on” button\_bg\_use\_color\_gradient=”on” button\_bg\_color\_gradient\_direction=”155deg” button\_bg\_color\_gradient\_stops=”#816fd2 0%|#c989da 100%” button\_bg\_color\_gradient\_start=”#816fd2″ button\_bg\_color\_gradient\_end=”#c989da” button\_use\_icon=”off” button\_custom\_padding=”|30px||30px|false|false” custom\_css\_contact\_fields=”border-bottom: solid 1px #2f2b5a24 !important;” custom\_css\_text\_field=”border-bottom: solid 1px #2f2b5a24 !important;” global\_colors\_info=”{}” custom\_css\_contact\_button\_\_hover\_enabled=”on|desktop” custom\_css\_contact\_button\_\_hover=”transform: scale(1.05);”\]\[et\_pb\_contact\_field field\_id=”first\_name” field\_title=”Imię” fullwidth\_field=”on” \_builder\_version=”4.24.0″ global\_colors\_info=”{}” button\_text\_size\_\_hover\_enabled=”off” button\_one\_text\_size\_\_hover\_enabled=”off” button\_two\_text\_size\_\_hover\_enabled=”off” button\_text\_color\_\_hover\_enabled=”off” button\_one\_text\_color\_\_hover\_enabled=”off” button\_two\_text\_color\_\_hover\_enabled=”off” button\_border\_width\_\_hover\_enabled=”off” button\_one\_border\_width\_\_hover\_enabled=”off” button\_two\_border\_width\_\_hover\_enabled=”off” button\_border\_color\_\_hover\_enabled=”off” button\_one\_border\_color\_\_hover\_enabled=”off” button\_two\_border\_color\_\_hover\_enabled=”off” button\_border\_radius\_\_hover\_enabled=”off” button\_one\_border\_radius\_\_hover\_enabled=”off” button\_two\_border\_radius\_\_hover\_enabled=”off” button\_letter\_spacing\_\_hover\_enabled=”off” button\_one\_letter\_spacing\_\_hover\_enabled=”off” button\_two\_letter\_spacing\_\_hover\_enabled=”off” button\_bg\_color\_\_hover\_enabled=”off” button\_one\_bg\_color\_\_hover\_enabled=”off” button\_two\_bg\_color\_\_hover\_enabled=”off”\]\[/et\_pb\_contact\_field\]\[et\_pb\_contact\_field field\_id=”Email” field\_title=”Adres e-mail” field\_type=”email” fullwidth\_field=”on” \_builder\_version=”4.24.0″ global\_colors\_info=”{}” button\_text\_size\_\_hover\_enabled=”off” button\_one\_text\_size\_\_hover\_enabled=”off” button\_two\_text\_size\_\_hover\_enabled=”off” button\_text\_color\_\_hover\_enabled=”off” button\_one\_text\_color\_\_hover\_enabled=”off” button\_two\_text\_color\_\_hover\_enabled=”off” button\_border\_width\_\_hover\_enabled=”off” button\_one\_border\_width\_\_hover\_enabled=”off” button\_two\_border\_width\_\_hover\_enabled=”off” button\_border\_color\_\_hover\_enabled=”off” button\_one\_border\_color\_\_hover\_enabled=”off” button\_two\_border\_color\_\_hover\_enabled=”off” button\_border\_radius\_\_hover\_enabled=”off” button\_one\_border\_radius\_\_hover\_enabled=”off” button\_two\_border\_radius\_\_hover\_enabled=”off” button\_letter\_spacing\_\_hover\_enabled=”off” button\_one\_letter\_spacing\_\_hover\_enabled=”off” button\_two\_letter\_spacing\_\_hover\_enabled=”off” button\_bg\_color\_\_hover\_enabled=”off” button\_one\_bg\_color\_\_hover\_enabled=”off” button\_two\_bg\_color\_\_hover\_enabled=”off”\]\[/et\_pb\_contact\_field\]\[et\_pb\_contact\_field field\_id=”Message” field\_title=”Wiadomość” field\_type=”text” fullwidth\_field=”on” \_builder\_version=”4.24.0″ global\_colors\_info=”{}” button\_text\_size\_\_hover\_enabled=”off” button\_one\_text\_size\_\_hover\_enabled=”off” button\_two\_text\_size\_\_hover\_enabled=”off” button\_text\_color\_\_hover\_enabled=”off” button\_one\_text\_color\_\_hover\_enabled=”off” button\_two\_text\_color\_\_hover\_enabled=”off” button\_border\_width\_\_hover\_enabled=”off” button\_one\_border\_width\_\_hover\_enabled=”off” button\_two\_border\_width\_\_hover\_enabled=”off” button\_border\_color\_\_hover\_enabled=”off” button\_one\_border\_color\_\_hover\_enabled=”off” button\_two\_border\_color\_\_hover\_enabled=”off” button\_border\_radius\_\_hover\_enabled=”off” button\_one\_border\_radius\_\_hover\_enabled=”off” button\_two\_border\_radius\_\_hover\_enabled=”off” button\_letter\_spacing\_\_hover\_enabled=”off” button\_one\_letter\_spacing\_\_hover\_enabled=”off” button\_two\_letter\_spacing\_\_hover\_enabled=”off” button\_bg\_color\_\_hover\_enabled=”off” button\_one\_bg\_color\_\_hover\_enabled=”off” button\_two\_bg\_color\_\_hover\_enabled=”off”\]\[/et\_pb\_contact\_field\]\[/et\_pb\_contact\_form\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\]\[et\_pb\_section fb\_built=”1″ custom\_padding\_last\_edited=”on|desktop” \_builder\_version=”4.24.0″ \_module\_preset=”default” background\_color=”#2F2B5A” background\_image=”/content/images/wordpress/2021/04/creative-bg-03a.png” background\_size=”initial” background\_position=”top\_center” custom\_margin=”||||false|false” custom\_padding=”100px||119px||false|false” custom\_padding\_tablet=”” custom\_padding\_phone=”60px||60px||false|false” hover\_enabled=”0″ border\_radii=”off||||” global\_colors\_info=”{}” title\_text=”creative-bg-03a” sticky\_enabled=”0″\]\[et\_pb\_row \_builder\_version=”4.16″ \_module\_preset=”default” width\_tablet=”” width\_phone=”95%” width\_last\_edited=”on|desktop” global\_colors\_info=”{}”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text \_builder\_version=”4.16″ \_module\_preset=”default” text\_font=”Poppins|700|||||||” text\_text\_color=”#FFFFFF” text\_font\_size=”56px” text\_line\_height=”1.1em” text\_orientation=”center” max\_width=”850px” module\_alignment=”center” custom\_margin=”||20px||false|false” custom\_padding\_tablet=”” custom\_padding\_phone=”|20px||20px|false|false” custom\_padding\_last\_edited=”on|phone” text\_font\_size\_tablet=”” text\_font\_size\_phone=”36px” text\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{}”\] Subskrybuj newsletter \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.24.0″ \_module\_preset=”default” text\_font=”Poppins|500|||||||” text\_text\_color=”#FFFFFF” text\_font\_size=”30px” text\_line\_height=”1.1em” text\_orientation=”center” max\_width=”850px” module\_alignment=”center” custom\_margin=”||20px||false|false” custom\_padding\_tablet=”” custom\_padding\_phone=”|20px||20px|false|false” custom\_padding\_last\_edited=”on|phone” text\_font\_size\_tablet=”” text\_font\_size\_phone=”18px” text\_font\_size\_last\_edited=”on|tablet” global\_colors\_info=”{}”\] Zostaw swój e-mail, a co poniedziałek o 10:0 otrzymasz wiadomość wypchaną wiedzą. \[/et\_pb\_text\]\[et\_pb\_code \_builder\_version=”4.24.0″ \_module\_preset=”2c8d8a16-91b7-433b-89eb-209a4aa42ad1″ text\_orientation=”center” custom\_css\_main\_element=”.sm%92:flex { display: flex;|| flex-flow: row wrap;|| /\* Then we define how is distributed the remaining space \*/|| justify-content: space-around;|| || padding: 0;|| margin: 0;|| list-style: none;||}|| .sm%92:rounded-md {|| border-radius: .375rem|| }||.px-5 {|| padding-left: 1.25rem;|| padding-right: 1.25rem||}||||.py-3 {|| padding-top: .75rem;||padding-bottom: .75rem; }||||.mb-3 {|| margin-bottom: .75rem||}||||.text-white {|| –tw-text-opacity: 1;|| color: rgb(255 255 255/var(–tw-text-opacity));|| font-family: ui-sans-serif,system-ui,-apple-system,BlinkMacSystemFont,Segoe UI,Roboto,Helvetica Neue,Arial,Noto Sans,sans-serif,Apple Color Emoji,Segoe UI Emoji,Segoe UI Symbol,Noto Color Emoji;|| font-size: 1rem;|| font-weight: 500;|| line-height: 1.5rem||}||.sr-only {|| position: absolute;|| width: 1px;|| height: 1px;|| padding: 0;|| margin: -1px;|| overflow: hidden;|| clip: rect(0,0,0,0);|| white-space: nowrap;|| border-width: 0||}|| .col-sm-12 {|| width: 100%;|| max-width: 100%|| }||||#btn {|| width: 100%;|| max-width: 100%;|| ||}||@media (min-width:930px) {|| .col-sm-12 {|| max-width: 32%;|||| }|| #btn {|| width: 100%;|| max-width: 100%;|| font-size: 20px;|| padding: auto|| ||}|| ||}||}” global\_module=”25012384″ saved\_tabs=”all” global\_colors\_info=”{}”\] Imię Adres email HP Subskrybuj \[/et\_pb\_code\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\] ### Kontakt URL: https://innasiec.pl/kontakt/ Last updated: 2024-06-26T08:12:55.000Z Jeśli masz jakiekolwiek pytania, proszę **śmiało napisz do mnie wiadomość** za pomocą formularza kontaktowego poniżej, a odpowiem tak szybko, jak to możliwe. ## Newsletter Inna Sieć Dołącz do ****1400+ sieciowców**, czytających maile o wykorzystaniu technologii, nowościach z branży i sposobach na rozwój Twojej kariery. Subskrybuj Email sent! Check your inbox to complete your signup. Raz w Tygodniu. Zero Spamu. Wypisz się kiedy chcesz. ### Newsletter archiwum URL: https://innasiec.pl/newsletter-archiwum/ Last updated: 2025-04-19T20:24:16.000Z _No content available._ ### Dzięki-3 URL: https://innasiec.pl/dzieki-3/ Last updated: 2024-11-24T19:57:19.000Z \[et\_pb\_section\]\[et\_pb\_row\]\[et\_pb\_column type=”4\_4″\]\[et\_pb\_text\] # Uff, głupie maszyny się MYLIłY! ![](https://innasiec.pl/content/images/wordpress/2021/09/robots-wrong-1024x577.jpeg) **Alarm odwołany. Pozostajemy w kontakcie.** **Do przeczytania wkrótce!** \[/et\_pb\_text\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\] ### Regulamin sklepu URL: https://innasiec.pl/regulamin-sklepu/ Last updated: 2024-06-20T20:24:14.000Z ## **§ 1 Przedmiot regulacji oraz zasady sprzedaży** 1. Niniejszy regulamin określa zasady korzystania ze sklepu internetowego działającego pod adresem: [https://app.mailingr.com/checkout/acct\_1JLXppJZi0kSZ0V3?productId=prod\_KT75317wnQQEBS](https://app.mailingr.com/checkout/acct%5F1JLXppJZi0kSZ0V3?productId=prod%5FKT75317wnQQEBS&ref=innasiec.pl) prowadzonego przez RunPackets Rafał Rudewicz, ul. Marii Skłodowskiej-Curie 37/180, 85-733 Bydgoszcz, email rafal@innasiec.pl, składania zamówień Towarów dostępnych w tym sklepie, dostarczania zamówionych Towarów Kupującemu, uiszczania przez Kupującego ceny za nabywane Towary oraz uprawnienia Kupującego związanych z umową sprzedaży, w tym sprzedaży na odległość. 2. Sklep internetowy Inna Sieć prowadzi sprzedaż za pośrednictwem sieci Internet (umowa zawierana na odległość). 3. Do złożenia zamówienia niezbędne jest zapoznanie się przez Kupującego z niniejszym regulaminem i potwierdzenie tego faktu. Poprzez złożenie Zamówienia Kupujący potwierdza akceptację niniejszego Regulaminu. ## **§ 2 Definicje** Wszystkie terminy pisane dużą literą mają znaczenie nadane poniżej: **Czas realizacji Zamówienia** – czas, w jakim Sklep skompletuje zamówienie i przekaże je przewoźnikowi realizującemu wybraną przez Kupującego formę dostawy **Dni robocze** – dni tygodnia od poniedziałku do piątku, z wyłączeniem dni ustawowo wolnych od pracy **Dokument sprzedaży** – dokument potwierdzający sprzedaż w formie faktury VAT lub paragonu, wybrany przez Kupującego na etapie składania Zamówienia i dostarczany Kupującemu – w przypadku paragonu – w formie papierowej razem z przesyłką zawierającą zamówiony Towar, a w przypadku faktury – w formie elektronicznej, na adres e-mail podany przez Kupującego **Forma dostawy** – sposób dostarczenia zamówionego Towaru, wybrany przez Kupującego podczas składanego Zamówienia **Forma płatności** – sposób uiszczenia ceny za zamówiony Towar, wybrany przez Kupującego podczas składania Zamówienia **Formularz zamówienia** – dostępny na stronie internetowej Sprzedawcy kwestionariusz, za pomocą którego Kupujący dokonuje zamówienia Towaru **Konsument** – Kupujący będący osobą fizyczną, dokonujący zamówienia, zakupów lub w inny sposób korzystający ze Sklepu, w celu niezwiązanym bezpośrednio z jego działalnością gospodarczą lub zawodową **Kupujący** – osoba fizyczna posiadająca pełną lub ograniczoną zdolność do czynności prawnych, osoba prawna lub jednostka organizacyjna nieposiadająca osobowości prawnej, która na zasadach określonych w niniejszym Regulaminie korzysta ze Sklepu **Sklep** – serwis internetowy dostępny pod adresem [https://app.mailingr.com/checkout/acct\_1JLXppJZi0kSZ0V3?productId=prod\_KT75317wnQQEBS](https://app.mailingr.com/checkout/acct%5F1JLXppJZi0kSZ0V3?productId=prod%5FKT75317wnQQEBS&ref=innasiec.pl), prowadzony przez Sprzedawcę, za którego pośrednictwem Kupujący może zamawiać oraz nabywać Towar **Sprzedawca** – Rafał Rudewicz prowadzący działalność gospodarczą pod firmą RunPackets Rafał Rudewicz z siedzibą w Bydgoszczy, adres: 85-733 Bydgoszcz, ul. Marii Skłodowskiej-Curie 37/180, NIP: 554-280-76-64, REGON: 387788590 **Produkt** – rzeczy ruchome, prezentowane w Sklepie, mogące być przedmiotem umowy sprzedaży lub produkty elektroniczne. **Newsletter** – usługa świadczona drogą elektroniczną, z której pomocą sprzedawca przesyła kupującemu wiadomości email na wskazany przy zamówieniu adres email zawierający informację dotyczące strategii, trendów, analiz świata technologii, jak również różnego rodzaju raporty oraz świadczy inne zbliżone usługi. **Umowa sprzedaży** – umowa sprzedaży Towaru, zawarta pomiędzy Sprzedawcą a Kupującym za pośrednictwem Sklepu a udokumentowana za pomocą Dokumentu Sprzedaży **Zamówienie** – złożona przez Kupującego za pośrednictwem Sklepu oferta zawarcia umowy sprzedaży ze Sprzedawcą ## **§ 3.** **Składanie zamówień** 1. Do złożenia Zamówienia i zawarcia umowy, niezbędne jest posiadanie przez Kupującego skrzynki poczty elektronicznej (e-mail) oraz przeglądarki internetowej. 1. Zamówienie Produktu lub Newslettera następuje poprzez wybór w Sklepie, podejmując kolejne czynności techniczne na postawie wyświetlanych komunikatów, w tym poprzez dodawanie Produktu lub Newslettera do koszyka. Kupujący może w każdej chwili obejrzeć zawartość koszyka, dodać bądź usunąć Produkty lub Newsletter. 2. W trakcie realizowania procesu składania zamówienia Kupujący zobowiązany jest do podania adresu wysyłki Produktu (jeśli to produkt fizyczny), adresu email, wyboru sposobu płatności oraz może także zgłosić chęć otrzymania faktury VAT. 3. Podany adres email w przypadku wyboru Newslettera będzie używany do przesyłania Newslettera. 4. Kupujący może dokonać rejestracji w Sklepie. Rejestracja umożliwia zapamiętanie w bazie danych Sklepu danych osobowych Klienta oraz historii jego Zamówień, a także umożliwia dostęp do Zamówień. 5. Podczas rejestracji Kupujący zobowiązany jest podać unikalne i znane tylko sobie hasło. Proces rejestracji oraz składania Zamówień jest szyfrowany odpowiednim protokołem. 6. Kupujący jest odpowiedzialny za nieudostępnianie swojego hasła osobom trzecim oraz ponosi odpowiedzialność za jego udostępnienie. 7. Po złożeniu zamówienia Sprzedawca przesyła, na podany przez Kupującego (w formularzu zamówienia) adres poczty elektronicznej, potwierdzenie przyjęcia zamówienia, obejmujące wszystkie istotne elementy zamówienia, takie jak numer zamówienia, łączna cena zamówienia (z wyszczególnieniem cen poszczególnych produktów lub wariantów newslettera i ceny dostawy), czas realizacji zamówienia, forma i przybliżony termin dostawy oraz możliwości odstąpienia od umowy. 8. Do zawarcia przez strony umowy, dochodzi w chwili otrzymania przez Kupującego potwierdzenia przyjęcia zamówienia przez Sprzedawcę. Warunkiem przyjęcia i realizacji przez Sprzedawcę zamówienia, jest prawidłowe i kompletne (w niezbędnym zakresie) wypełnienie przez Kupującego formularza zamówienia. 9. Sprzedawca zastrzega, że Zamówienie nie zostanie przyjęte do realizacji, jeżeli w formularzu zamówienia Kupujący zamieści niekompletne dane, uniemożliwiające weryfikację Kupującego i należyte dostarczenie Produktu lub Newslettera. W przypadku braku możliwości kontaktu z Kupującym z uwagi na podanie błędnego adresu, błędnego adresu email zamówienie będzie anulowane. ## **§4\. Ceny i płatność** 1. Ceny wszystkich towarów prezentowanych w Sklepie są cenami brutto (uwzględniają podatek od towarów i usług VAT), wyrażonymi w złotych polskich (PLN). Wiążąca dla stron transakcji jest cena poszczególnego Produktu lub Newslettera uwidoczniona na stronie internetowej Sprzedawcy w momencie składania zamówienia przez Kupującego. Cena towaru nie obejmuje kosztów jego dostawy, przy czym informacja o koszcie dostawy towaru podawana jest przy składaniu zamówienia. 2. Sprzedający zastrzega sobie prawo do wprowadzania okresowych zmian cen w sklepie oraz stosowania promocji, w tym unikalnych kodów rabatowych. Ceną wiążącą jest cena obowiązująca dla Kupującego w momencie złożenia zamówienia. 3. Koszt wysyłki Towaru pokrywa Kupujący. 4. Kupującemu służy prawo wyboru sposobu dostawy i formy płatności. Wyboru formy płatności, Kupujący dokonuje w formularzu zamówienia. 5. Sprzedawca oferuje następujące formy płatności: 1. Płatność przez Internet w systemie Stripe/Przelewy24 w trakcie składania zamówienia, tj. podczas procesu zamawiania Towaru Kupujący dokonuje zapłaty za ten Towar, a zamówienie jest realizowane pod warunkiem uzyskania przez Sprzedawcę pozytywnej autoryzacji od operatora płatności elektronicznych oraz banku Kupującego; 2. płatność przelewem na rachunek bankowy Sprzedawcy, przy czym zamówienie realizowane będzie po wpłynięciu środków na poniższy rachunek bankowy Sprzedawcy: Mbank, numer konta: 89 1140 2004 0000 3702 8082 0305, 3. Koszt, termin oraz sposób dostawy Towaru wynikają z wybranej przez Kupującego w zamówieniu formy dostawy. ## **§ 5\. Dostawa Produktów i Wymagania Techniczne dla Produktów Świadczonych Drogą Elektroniczną** 1. Dostawy Produktów fizycznych są realizowane na terytorium Rzeczypospolitej Polskie. Produkty elektroniczne lub Newslettera zamawianych w Sklepie realizowane są na terytorium Rzeczypospolitej Polskiej i za granicę. 2. Sprzedawca Produkty Elektroniczne dostarcza niezwłocznie po otrzymaniu płatności, w czasie do 24 godzin, na adres email wskazany przez Kupującego przy składaniu zamówieniu poprzez wysłanie samego Produktu lub instrukcji skorzystania z niego. Przystąpienia do Newslettera następuje niezwłocznie po otrzymaniu płatności, ale przesłanie pierwszego może nastąpić dopiero w terminie wskazanym w informacji o produkcie. 3. Sprzedawca w terminie 2 dni (liczonych wyłącznie w Dni robocze) od dnia uzyskania pozytywnej autoryzacji od operatora płatności elektronicznych oraz banku Kupującego, bądź od dnia wpłynięcia należności w pełnej wysokości na rachunek bankowy Sprzedawcy, wysyła na wskazany przez Kupującego adres zamówiony Produkty fizyczne wraz z Dokumentem Sprzedaży. 4. Termin wysyłki Produktów lub Newslettera może ulec wydłużeniu, jeżeli Sprzedawca ustalił urlop obejmujący ten czas lub jeżeli w opisie Towaru Sprzedawca zaznaczył, że termin wysyłki będzie dłuższy. 5. Zamówione Produkty fizyczne są dostarczane na adres wskazany w formularzu zamówienia. 6. O statusie zamówienia Kupujący informowany jest za pośrednictwem poczty elektronicznej. 7. Odbiór Towaru musi być potwierdzony pisemnym pokwitowaniem. Z chwilą odbioru Towaru, na Kupującego przechodzi prawo własności Towaru i wszelkie ryzyka związane z posiadaniem i korzystaniem z Towaru, w szczególności ryzyko utraty, zniszczenia lub uszkodzenia Towaru. 8. Odbierając towar Kupujący jest zobowiązany do sprawdzenia, czy przesyłka nie posiada uszkodzeń powstałych podczas transportu i czy jest zgodna z Zamówieniem. 9. Sprzedawca zapewnia dostęp do Produktów Elektronicznych przez czas nieoznaczony. W przypadku Newslettera kupujący, składając zamówienia, wybiera okres, przez jaki będzie mieć dostęp do Newslettera, liczony od daty zawarcia umowy. 10. Sprzedawca zapewnia dostęp do kupionych Produktów elektronicznych bez oznaczonego czasu, na okres „dożywotnio”, nie wskazując terminu końcowego. Zastrzega jednak prawo do zaprzestania świadczenia dostępu do Produktów elektronicznych. O planowanym zakończeniu dostępu Kupujący jest informowany na adres email na 90 dni przed planowaną datą usunięcia Produktów. Sprzedający umożliwi Kupującemu pobranie materiałów do korzystania offline z wyłączeniem prawa do dalszego kopiowania i rozpowszechniania materiałów. 11. Wszelkie materiały dodatkowe, poza samym Produktem, o ile to wynika z oferty sprzedażowej i opisu produktu przy zamówieniu, są gwarantowane w terminie 90 dni od daty sprzedaży Produktu i mogą nie być świadczone po tym terminie. Dotyczy to np. udziału w grupach w mediach społecznościowych, konsultacje, specjalne nagrania wideo, dostęp do archiwum wiadomości. ## **§ 6\. Reklamacje** 1. Wszystkie Produkty znajdujące się w Sklepie są nowe, chyba że Sprzedawca zaznaczył inaczej w opisie Towaru. 2. Za wady fizyczne lub prawne rzeczy, Sprzedawca ponosi odpowiedzialność względem Kupującego będącego Konsumentem – na zasadach określonych w art. 556 i następnych Kodeksu cywilnego (rękojmia). 3. Jeżeli rzecz sprzedana ma wadę, kupujący może złożyć oświadczenie o obniżeniu ceny albo odstąpieniu od umowy, chyba że sprzedawca niezwłocznie i bez nadmiernych niedogodności dla kupującego wymieni rzecz wadliwą na wolną od wad albo wadę usunie. Ograniczenie to nie ma zastosowania, jeżeli rzecz była już wymieniona lub naprawiana przez sprzedawcę albo sprzedawca nie uczynił zadość obowiązkowi wymiany rzeczy na wolną od wad lub usunięcia wady. Kupujący nie może odstąpić od Umowy, jeżeli wada jest nieistotna. 4. Jeżeli kupującym jest Konsument, może zamiast zaproponowanego przez sprzedawcę usunięcia wady żądać wymiany rzeczy na wolną od wad albo zamiast wymiany rzeczy żądać usunięcia wady, chyba że doprowadzenie rzeczy do zgodności z umową w sposób wybrany przez kupującego jest niemożliwe albo wymagałoby nadmiernych kosztów w porównaniu ze sposobem proponowanym przez sprzedawcę. Przy ocenie nadmierności kosztów uwzględnia się wartość rzeczy wolnej od wad, rodzaj i znaczenie stwierdzonej wady, a także bierze się pod uwagę niedogodności, na jakie narażałby kupującego inny sposób zaspokojenia. 5. Roszczenie Kupującego będącego konsumentem o usunięcie wady lub wymianę rzeczy sprzedanej na wolną od wad przedawnia się z upływem roku, licząc od dnia stwierdzenia wady. Bieg terminu przedawnienia nie może zakończyć się jednak przed upływem dwóch lat, od dnia dostarczenia rzeczy Kupującemu. 6. Kupujący będący Konsumentem, który wykonuje uprawnienia z tytułu rękojmi, jest obowiązany na koszt Sprzedawcy dostarczyć rzecz wadliwą na adres: ul. Marii Skłodowskiej-Curie 37/180, 85-733 Bydgoszcz. 7. Do odsyłanego Produktu należy dołączyć Dokument Sprzedaży oraz uzupełniony formularz reklamacji, który jest dostępny do pobrania w zakładce Reklamacje. W formularzu należy określić, którą opcją Klient jest zainteresowany: naprawa Towaru, wymiana Towaru, zwrot pieniędzy czy obniżenie ceny. ## **§ 7\. Odstąpienie od umowy** 1. Kupujący w terminie 14 (czternastu) dni od dnia doręczenia mu Produktu ma prawo zrezygnować z zakupu składające odstąpienie od umowy. W przypadku Produktów elektronicznych lub Newsletter do zachowania terminu wystarczy przesłanie oświadczenia o odstąpieniu do umowy na adres email podany w regulaminie, lub przesłanie oświadczenia na adres Sprzedawcy. Do zachowania tego terminu w przypadku Produktów fizycznych wystarczy wysłanie Towaru i oświadczenia wraz z Dokumentem sprzedaży przed jego upływem na adres: ul. Marii Skłodowskiej-Curie 37/180, 85-733 Bydgoszcz. 2. Przesyłki za pobraniem nie będą przyjmowane. 3. Oświadczenie o odstąpieniu od umowy może zostać złożone na formularzu, który jest dostępny do pobrania w zakładce Reklamacje. Oświadczenie o odstąpieniu od umowy może być złożone również w innej formie – stosownie do przepisów ustawy o prawach konsumenta. 4. W razie odstąpienia od umowy, umowa jest uważana za niezawartą a Sprzedawca zwróci Kupującemu, najpóźniej w terminie 14 dni od dnia otrzymania oświadczenia, dokonane przez niego płatności. 5. Kupujący ma obowiązek zwrócić Produkt Sprzedawcy lub przekazać go osobie upoważnionej przez Sprzedawcę do odbioru niezwłocznie, jednak nie później niż 14 dni od dnia, w którym odstąpił od umowy, chyba że przedsiębiorca zaproponował, że sam odbierze rzecz. Do zachowania terminu wystarczy odesłanie rzeczy przed jego upływem. Kupujący będący konsumentem ponosi tylko bezpośrednie koszty zwrotu rzeczy. 6. Sprzedawca dokonuje zwrotu płatności przy użyciu takiego samego sposobu zapłaty, jakiego użył Kupujący, chyba że Kupujący będący Konsumentem wyraźnie zgodził się na inny sposób zwrotu, który nie wiąże się dla niego z żadnymi kosztami. 7. Zwracany Produkt powinien zostać odesłany w stanie niezmienionym, nienoszącym śladów korzystania w zakresie wykraczającym poza sposób konieczny do stwierdzenia jego charakteru, cech i funkcjonowania (przymierzenia). 8. Prawo do ode ## **§ 8\. Ochrona danych osobowych** 1. Administratorem danych osobowych jest Sprzedawca. 2. Składając zamówienie w Sklepie, Kupujący wyraża zgodę na przetwarzanie swoich danych osobowych dla celów realizacji umowy sprzedaży. Podanie przez Kupującego danych osobowych, w zakresie niezbędnym do wykonania umowy sprzedaży i właściwego jej udokumentowania jest obowiązkowe. 3. Szczegółowe informacje dotyczące przetwarzanie danych osobowych oraz wykorzystywania plików cookies zawiera Polityka Prywatności zamieszczona w Sklepie. ## **§ 9\. Postanowienia końcowe** 1. Zdjęcia i opisy użyte do prezentacji Produktów i Newsletter oraz nazwa, domena internetowa, logotypy i inne prawa własności intelektualnej należą do Sprzedawcy, a korzystanie z nich może następować wyłącznie w sposób określony i zgodny z Regulaminem bądź za zgodą Sprzedawcy. 2. W sprawach nieuregulowanych niniejszym Regulaminem mają zastosowanie powszechnie obowiązujące przepisy prawa polskiego. 3. Regulamin nie wyłącza oraz nie ogranicza żadnych uprawnień Kupującego będącego Konsumentem, które przysługują mu na mocy bezwzględnie obowiązujących przepisów prawa. W przypadku sprzeczności pomiędzy postanowieniami Regulaminu, a bezwzględnie obowiązującymi przepisami prawa, przyznającymi konsumentom uprawnienia, pierwszeństwo mają te przepisy. 4. Rozstrzygnięcie ewentualnych sporów powstałych między Sprzedawcą a Kupującym, który jest konsumentem, zostaje poddane sądom właściwym zgodnie z postanowieniami właściwych przepisów Kodeksu postępowania cywilnego. Konsument może również skorzystać z platformy ODR, która dostępna jest pod adresem [https://ec.europa.eu/consumers/odr](https://ec.europa.eu/consumers/odr?ref=innasiec.pl). Platforma służy rozstrzyganiu sporów pomiędzy konsumentami i przedsiębiorcami dążącymi do pozasądowego rozstrzygnięcia sporu dotyczącego zobowiązań umownych wynikających z internetowej umowy sprzedaży lub umowy o świadczenie usług. 5. Regulamin może zostać utrwalony, pozyskany i odtworzony poprzez jego wydrukowanie lub zapisanie go na odpowiednim nośniku danych. 6. Regulamin wchodzi w życie z dniem 25.10.2021 r. ### 19 aplikacji sieciowca URL: https://innasiec.pl/19-aplikacji-sieciowca/ Last updated: 2024-02-12T21:55:44.000Z \[et\_pb\_section fb\_built=”1″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_row column\_structure=”2\_3,1\_3″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_column type=”2\_3″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_code \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[/et\_pb\_code\]\[et\_pb\_text \_builder\_version=”4.23.4″ \_module\_preset=”default” global\_colors\_info=”{}”\] ## Odkryj 19 aplikacji, które musi znać każdy sieciowiec! Czy kiedykolwiek zastanawiałeś się, jakie aplikacje mogą uprościć Twoją pracę jako inżyniera sieciowego? **Ebook zawiera zestawienie 19 niezwykle przydatnych aplikacji, które pomogą Ci w codziennych zadaniach.** Od narzędzi do monitorowania sieci po programy do analizy danych, mamy wszystko, czego potrzebujesz. Dowiedz się, **jak skutecznie zarządzać sieciami, diagnozować problemy, analizować ruch sieciowy** i wiele więcej. Nie trać czasu na szukanie odpowiednich aplikacji – nasz ebook dostarczy Ci gotowe rozwiązania! \[/et\_pb\_text\]\[et\_pb\_code \_builder\_version=”4.23.4″ \_module\_preset=”default” custom\_css\_main\_element=”.sm%92:flex { display: flex;|| flex-flow: row wrap;|| /\* Then we define how is distributed the remaining space \*/|| justify-content: space-around;|| || padding: 0;|| margin: 0;|| list-style: none;||}|| .sm%92:rounded-md {|| border-radius: .375rem|| }||.px-5 {|| padding-left: 1.25rem;|| padding-right: 1.25rem||}||||.py-3 {|| padding-top: .75rem;||padding-bottom: .75rem; }||||.mb-3 {|| margin-bottom: .75rem||}||.mr-3 {|| margin-right: .75rem||}||.text-white {|| –tw-text-opacity: 1;|| color: rgb(255 255 255/var(–tw-text-opacity));|| font-family: ui-sans-serif,system-ui,-apple-system,BlinkMacSystemFont,Segoe UI,Roboto,Helvetica Neue,Arial,Noto Sans,sans-serif,Apple Color Emoji,Segoe UI Emoji,Segoe UI Symbol,Noto Color Emoji;|| font-size: 1rem;|| font-weight: 500;|| line-height: 1.5rem||}||.sr-only {|| position: absolute;|| width: 1px;|| height: 1px;|| padding: 0;|| margin: -1px;|| overflow: hidden;|| clip: rect(0,0,0,0);|| white-space: nowrap;|| border-width: 0||}|| .col-sm-12 {|| width: 100%;|| max-width: 100%|| }||||#btn {|| width: 100%;|| max-width: 100%|| ||}||@media (min-width: 930px) {|| .col-sm-12 {|| width: 32%|| }||}” global\_colors\_info=”{}”\] Wpisz swoje imię Wpisz swój email HP Subskrybuj \[/et\_pb\_code\]\[et\_pb\_text \_builder\_version=”4.24.0″ \_module\_preset=”default” custom\_padding=”1px|||||” hover\_enabled=”0″ global\_colors\_info=”{}” sticky\_enabled=”0″\] Dbamy o Twoje dane, sprawdź naszą [politykę prywatności](https://innasiec.pl/polityka-prywatnosci/). Aby pobrać ebooka, **musisz podać swój adres e-mail**, co spowoduje **zapisanie Cię na mój newsletter**. \[/et\_pb\_text\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_3″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2022/01/19-aplikacji-ktore-musi-znac-kazdy-sieciowiec.webp” alt=”Newsletter inna sieć” title\_text=”19-aplikacji-ktore-musi-znac-kazdy-sieciowiec” \_builder\_version=”4.16″ \_module\_preset=”default” width=”100%” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\]\[et\_pb\_section fb\_built=”1″ \_builder\_version=”4.16″ \_module\_preset=”default” background\_color=”#0d427a” global\_colors\_info=”{}”\]\[et\_pb\_row \_builder\_version=”4.16″ \_module\_preset=”default” width=”100%” global\_colors\_info=”{}”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text admin\_label=”Tekst” \_builder\_version=”4.16″ \_module\_preset=”default” text\_text\_color=”#FFFFFF” text\_font\_size=”50px” text\_line\_height=”1.8em” text\_orientation=”center” global\_colors\_info=”{}”\] Pospiesz się! Kolejny email wysłam za: \[/et\_pb\_text\]\[et\_pb\_image src=”https://innasiec.pl/licznik\_do\_newslettera” align=”center” \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\] ### Główna -1 URL: https://innasiec.pl/glowna/ Last updated: 2024-06-20T20:22:56.000Z \[et\_pb\_section fb\_built=”1″ admin\_label=”Header” \_builder\_version=”4.23.1″ use\_background\_color\_gradient=”on” background\_color\_gradient\_repeat=”on” background\_color\_gradient\_type=”circular” background\_color\_gradient\_direction\_radial=”bottom right” background\_color\_gradient\_stops=”#a06cd5 0%|#0d427a 100%” background\_color\_gradient\_overlays\_image=”on” background\_color\_gradient\_start=”#0d427a” background\_color\_gradient\_end=”#a06cd5″ background\_image=”/content/images/wordpress/2022/01/cyber-security-17.png” parallax=”on” background\_blend=”multiply” custom\_padding=”9vw||9vw||false|false” global\_colors\_info=”{%22gcid-b99cf9c8-0df8-4ec4-9f33-b2aecd96d39a%22:%91%22background\_color\_gradient\_stops%22%93,%22gcid-d870bfbc-d2aa-4549-a585-11880740f8ef%22:%91%22background\_color\_gradient\_stops%22%93,%22gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d%22:%91%22background\_color\_gradient\_stops%22%93}”\]\[et\_pb\_row column\_structure=”3\_5,2\_5″ \_builder\_version=”4.23.1″ z\_index=”1″ width=”85%” max\_width=”1280px” module\_alignment=”center” custom\_margin=”0px||2vw||false|false” global\_colors\_info=”{}”\]\[et\_pb\_column type=”3\_5″ \_builder\_version=”4.16″ global\_colors\_info=”{}”\]\[dipi\_typing\_text typing\_prefix=”Zostań ” typing\_text=” Adminem|Inżynierem|Projektantem|Architektem ” typing\_suffix=”Sieci Komputerowych” text\_wrapper\_tag=”h1″ flex\_direction=”column” flex\_wrap=”off” typing\_backdelay=”300ms” typing\_prefix\_padding=”||0vw||false|false” typing\_padding=”0vw|0px|0vw|0px|false|false” typing\_suffix\_padding=”0vw||||false|false” \_builder\_version=”4.23.1″ \_module\_preset=”default” text\_font=”|700|||||||” text\_text\_align=”center” text\_text\_color=”gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad” text\_font\_size=”2.5em” prefix\_font=”|600|||||||” prefix\_text\_color=”gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad” prefix\_font\_size=”1em” prefix\_letter\_spacing=”0.2em” prefix\_line\_height=”0.7em” typing\_text\_color=”gcid-409688bc-18ca-488e-a160-229df19743eb” typing\_font\_size=”1.5em” typing\_line\_height=”1.2em” suffix\_font=”|700|||||||” suffix\_text\_color=”gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad” suffix\_font\_size=”1em” suffix\_line\_height=”1em” cursor\_text\_color=”gcid-409688bc-18ca-488e-a160-229df19743eb” prefix\_font\_size\_tablet=”1em” prefix\_font\_size\_phone=”0.6em” prefix\_font\_size\_last\_edited=”on|tablet” typing\_font\_size\_tablet=”1.5em” typing\_font\_size\_phone=”1em” typing\_font\_size\_last\_edited=”on|phone” suffix\_font\_size\_tablet=”1em” suffix\_font\_size\_phone=”0.6em” suffix\_font\_size\_last\_edited=”on|phone” global\_colors\_info=”{%22gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad%22:%91%22prefix\_text\_color%22,%22suffix\_text\_color%22,%22text\_text\_color%22%93,%22gcid-409688bc-18ca-488e-a160-229df19743eb%22:%91%22typing\_text\_color%22,%22cursor\_text\_color%22%93}”\]\[/dipi\_typing\_text\]\[et\_pb\_text \_builder\_version=”4.23.1″ text\_font=”Raleway|500|||||||” text\_text\_color=”gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad” text\_font\_size=”1em” text\_line\_height=”1.8em” background\_layout=”dark” width=”90%” custom\_margin=”||||false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”14px” text\_font\_size\_last\_edited=”on|desktop” locked=”off” global\_colors\_info=”{%22gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad%22:%91%22text\_text\_color%22%93}”\] Inna Sieć pomoże Ci **projektować, zarządzać oraz automatyzować sieci komputerowe.** **Dołącz do ponad 1300 inżynierów sieci**, którzy otrzymują co poniedziałek branżowe nowinki i porady. Nie przegap najnowszych trendów oraz rozwijaj swoje kompetencje. \[/et\_pb\_text\]\[et\_pb\_button button\_url=”@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF9saW5rX3VybF9wYWdlIiwic2V0dGluZ3MiOnsicG9zdF9pZCI6IjM1NjIifX0=@” button\_text=”Dołącz do nas!” button\_alignment=”center” \_builder\_version=”4.23.4″ \_dynamic\_attributes=”button\_url” \_module\_preset=”default” custom\_button=”on” button\_bg\_color=”gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d” button\_border\_radius=”0px” button\_icon=”$||divi||400″ hover\_enabled=”0″ box\_shadow\_style=”preset1″ global\_colors\_info=”{%22gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d%22:%91%22button\_bg\_color%22,%22button\_border\_color%22%93,%22gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad%22:%91%22button\_icon\_color%22,%22button\_text\_color%22%93}” button\_bg\_enable\_color=”on” button\_border\_color=”gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d” button\_icon\_color=”gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad” button\_text\_color=”gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad” sticky\_enabled=”0″\]\[/et\_pb\_button\]\[/et\_pb\_column\]\[et\_pb\_column type=”2\_5″ \_builder\_version=”4.23.1″ border\_style\_all=”none” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2023/11/specjalista\_sieci\_komputerowych\_home.png” alt=”Specjalista sieci komputerowych” title\_text=”specjalista\_sieci\_komputerowych\_home” align=”center” src\_last\_edited=”off|desktop” \_builder\_version=”4.23.1″ transform\_scale=”116%|116%” max\_width=”580px” max\_width\_tablet=”300px” max\_width\_phone=”300px” max\_width\_last\_edited=”on|desktop” module\_alignment=”center” custom\_margin=”|0vw|||false|false” custom\_margin\_tablet=”-2vw|0vw|||false|false” custom\_margin\_phone=”” custom\_margin\_last\_edited=”on|desktop” custom\_padding=”||||false|false” animation\_style=”zoom” animation\_intensity\_zoom=”5%” border\_style\_all=”none” locked=”off” global\_colors\_info=”{}” src\_\_hover\_enabled=”off|desktop”\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\]\[et\_pb\_section fb\_built=”1″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_row \_builder\_version=”4.16″ \_module\_preset=”default” width=”100%” max\_width=”1200px” global\_colors\_info=”{}”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text \_builder\_version=”4.16″ text\_font=”Advent Pro||||||||” text\_text\_color=”#333333″ text\_font\_size=”30px” header\_font=”|900|||||||” header\_text\_align=”center” header\_text\_color=”#333333″ header\_font\_size=”78px” background\_layout=”dark” custom\_margin=”||||false|false” header\_font\_size\_tablet=”54px” header\_font\_size\_phone=”32px” header\_font\_size\_last\_edited=”on|desktop” locked=”off” global\_colors\_info=”{}”\] # Jak mogę Ci pomóc? \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.16″ text\_font=”Raleway|500|||||||” text\_text\_color=”#333333″ text\_font\_size=”1.2em” text\_line\_height=”1.8em” text\_orientation=”center” background\_layout=”dark” width=”90%” custom\_margin=”|2vw||2vw|false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”14px” text\_font\_size\_last\_edited=”on|desktop” locked=”off” global\_colors\_info=”{}”\] *Sprawdź *darmowe materiały*, dzięki którym poznasz *technologie sieciowe*, dowiesz się *jak projektować sieci komputerowe* oraz zdradzę Ci *sztuczki doświadczonego sieciowca.* Znajdziesz również pomocne informacje na temat rozwoju kariery w branży IT.* \[/et\_pb\_text\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[et\_pb\_row column\_structure=”1\_3,1\_3,1\_3″ \_builder\_version=”4.16″ \_module\_preset=”default” width=”100%” max\_width=”1200px” global\_colors\_info=”{}”\]\[et\_pb\_column type=”1\_3″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2022/01/19-aplikacji-ktore-musi-znac-kazdy-sieciowiec.webp” title\_text=”19-aplikacji-ktore-musi-znac-kazdy-sieciowiec” align=”center” \_builder\_version=”4.16″ \_module\_preset=”default” max\_height=”350px” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[et\_pb\_text \_builder\_version=”4.16″ text\_font=”Raleway|500|||||||” text\_text\_color=”#333333″ text\_font\_size=”1.2em” text\_line\_height=”1.8em” text\_orientation=”center” background\_layout=”dark” width=”90%” custom\_margin=”|2vw||2vw|false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”14px” text\_font\_size\_last\_edited=”on|desktop” locked=”off” global\_colors\_info=”{}”\] **Narzędziownik sieciowca** \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.16″ text\_font=”Raleway|500|||||||” text\_text\_color=”#333333″ text\_font\_size=”0.9em” text\_line\_height=”1.8em” text\_orientation=”center” background\_layout=”dark” width=”90%” custom\_margin=”|2vw||2vw|false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”14px” text\_font\_size\_last\_edited=”on|desktop” locked=”off” global\_colors\_info=”{}”\] Zgarnij **ebooka** z 19 aplikacjami, które każdy sieciowiec musi znać. Uzbroję Cię w narzędzia, dzięki, którym sprostasz każdemu zadaniu. \[/et\_pb\_text\]\[et\_pb\_button button\_url=”https://innasiec.pl/19-aplikacji-sieciowca/” button\_text=”POBIERZ EBOOKA” button\_alignment=”center” \_builder\_version=”4.16″ \_module\_preset=”default” custom\_button=”on” button\_text\_color=”#FFFFFF” button\_bg\_color=”gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d” button\_border\_width=”1px” button\_border\_color=”#000000″ button\_font=”Raleway||||||||” button\_icon=”$||divi||400″ background\_layout=”dark” button\_text\_shadow\_style=”preset1″ global\_colors\_info=”{%22gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d%22:%91%22button\_bg\_color%22%93}”\]\[/et\_pb\_button\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_3″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2021/09/newsletter\_iphone.jpg” alt=”Newsletter inna sieć” title\_text=”Newsletter inna sieć” align=”center” \_builder\_version=”4.16″ \_module\_preset=”default” max\_height=”350px” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[et\_pb\_text \_builder\_version=”4.16″ text\_font=”Raleway|500|||||||” text\_text\_color=”#333333″ text\_font\_size=”1.2em” text\_line\_height=”1.8em” text\_orientation=”center” background\_layout=”dark” width=”90%” custom\_margin=”|2vw||2vw|false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”14px” text\_font\_size\_last\_edited=”on|desktop” locked=”off” global\_colors\_info=”{}”\] **Newsletter sieciowca** \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.16″ text\_font=”Raleway|500|||||||” text\_text\_color=”#333333″ text\_font\_size=”0.9em” text\_line\_height=”1.8em” text\_orientation=”center” background\_layout=”dark” width=”90%” custom\_margin=”|2vw||2vw|false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”14px” text\_font\_size\_last\_edited=”on|desktop” locked=”off” global\_colors\_info=”{}”\] Cotygodniowa **dawka wiedzy** prosto na Twoją skrzynkę e-mailową. W każdy **poniedziałek o 10:00** newsletter z interesującymi tematymi. \[/et\_pb\_text\]\[et\_pb\_button button\_url=”https://innasiec.pl/newsletter/” button\_text=”ZAPISZ SIĘ DO NEWSLETTERA” button\_alignment=”center” \_builder\_version=”4.16″ \_module\_preset=”default” custom\_button=”on” button\_text\_color=”#FFFFFF” button\_bg\_color=”gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d” button\_border\_width=”1px” button\_border\_color=”#000000″ button\_font=”Raleway||||||||” button\_icon=”$||divi||400″ background\_layout=”dark” custom\_margin=”||||false|false” button\_text\_shadow\_style=”preset1″ global\_colors\_info=”{%22gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d%22:%91%22button\_bg\_color%22%93}”\]\[/et\_pb\_button\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_3″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2022/01/komputer.png” alt=”Portal Innasiec na iMacu” title\_text=”komputer” align=”center” \_builder\_version=”4.16″ \_module\_preset=”default” max\_height=”350px” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[et\_pb\_text \_builder\_version=”4.16″ text\_font=”Raleway|500|||||||” text\_text\_color=”#333333″ text\_font\_size=”1.2em” text\_line\_height=”1.8em” text\_orientation=”center” background\_layout=”dark” width=”90%” custom\_margin=”|2vw||2vw|false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”14px” text\_font\_size\_last\_edited=”on|desktop” locked=”off” global\_colors\_info=”{}”\] **Portal sieciowca** \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.16″ text\_font=”Raleway|500|||||||” text\_text\_color=”#333333″ text\_font\_size=”0.9em” text\_line\_height=”1.8em” text\_orientation=”center” background\_layout=”dark” width=”90%” custom\_margin=”|2vw||2vw|false|false” text\_font\_size\_tablet=”” text\_font\_size\_phone=”14px” text\_font\_size\_last\_edited=”on|desktop” locked=”off” global\_colors\_info=”{}”\] **Blog o sieciach komputerowych**, na którym publikuje artykuły o technologiach sieciowych, **routing i switching, security, cloud.** \[/et\_pb\_text\]\[et\_pb\_button button\_url=”https://innasiec.pl/blog/” button\_text=”PRZEJDŹ DO ARTYKUŁÓW” button\_alignment=”center” \_builder\_version=”4.16″ \_module\_preset=”default” custom\_button=”on” button\_text\_color=”#FFFFFF” button\_bg\_color=”gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d” button\_border\_width=”1px” button\_border\_color=”#000000″ button\_font=”Raleway||||||||” button\_icon=”$||divi||400″ background\_layout=”dark” custom\_margin=”||||false|false” button\_text\_shadow\_style=”preset1″ global\_colors\_info=”{%22gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d%22:%91%22button\_bg\_color%22%93}”\]\[/et\_pb\_button\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\]\[et\_pb\_section fb\_built=”1″ \_builder\_version=”4.16″ \_module\_preset=”default” use\_background\_color\_gradient=”on” background\_color\_gradient\_type=”circular” background\_color\_gradient\_direction\_radial=”top right” background\_color\_gradient\_stops=”#0d427a 0%|#a06cd5 100%” background\_color\_gradient\_start=”#0d427a” background\_color\_gradient\_end=”#a06cd5″ global\_colors\_info=”{}”\]\[et\_pb\_row \_builder\_version=”4.16″ \_module\_preset=”default” background\_enable\_color=”off” width=”100%” max\_width=”1600px” module\_alignment=”center” custom\_margin=”|||0vw|false|false” custom\_padding=”|2vw||2vw|false|false” global\_colors\_info=”{}”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[dipi\_text\_highlighter text\_highlighter\_text=”Najnowsze artykuły” highlight\_shape=”double-line” stroke\_color=”gcid-b99cf9c8-0df8-4ec4-9f33-b2aecd96d39a” \_builder\_version=”4.23.1″ \_module\_preset=”default” all\_text\_font=”|800|||||||” all\_text\_text\_align=”center” all\_text\_text\_color=”gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad” all\_text\_font\_size=”5em” all\_text\_font\_size\_tablet=”5em” all\_text\_font\_size\_phone=”2em” all\_text\_font\_size\_last\_edited=”on|desktop” global\_colors\_info=”{%22gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad%22:%91%22all\_text\_text\_color%22%93,%22gcid-b99cf9c8-0df8-4ec4-9f33-b2aecd96d39a%22:%91%22stroke\_color%22%93}”\]\[/dipi\_text\_highlighter\]\[dipi\_blog\_slider include\_categories=”71,22,75,59,58,69,65,24,25,72″ use\_thumbnail\_height=”on” thumbnail\_height=”260px” excerpt\_length=”150″ show\_more=”on” show\_more\_text=”Czytaj dalej” show\_author=”off” date\_right\_space=”-10px” date\_top\_space=”-14px” columns=”3″ space\_between=”40″ item\_padding=”0px|0px|30px|0px|false|false” loop=”on” autoplay=”on” navigation=”on” pagination=”on” navigation\_prev\_icon\_yn=”on” navigation\_prev\_icon=”#||divi||400″ navigation\_next\_icon\_yn=”on” navigation\_next\_icon=”$||divi||400″ navigation\_size=”30″ navigation\_padding=”30″ navigation\_color=”#15022a” navigation\_bg\_color=”#ffffff” pagination\_color=”#15022a” pagination\_active\_color=”#15022a” image\_animation=”zoomout” item\_bg\_color=”#ffffff” overlay\_bg\_color=”rgba(21,2,42,0.4)” overlay\_bg\_color\_gradient\_stops=”rgba(21,2,42,0) 0%|rgba(21,2,42,0.5) 100%” overlay\_bg\_color\_gradient\_start=”rgba(21,2,42,0)” overlay\_bg\_color\_gradient\_end=”rgba(21,2,42,0.5)” columns\_tablet=”2″ columns\_phone=”1″ columns\_last\_edited=”on|desktop” navigation\_position\_left\_tablet=”-35px” navigation\_position\_left\_phone=”-20px” navigation\_position\_left\_last\_edited=”on|phone” navigation\_position\_right\_tablet=”-35px” navigation\_position\_right\_phone=”-20px” navigation\_position\_right\_last\_edited=”on|tablet” overlay\_bg\_color\_gradient\_type\_tablet=”linear” overlay\_bg\_color\_gradient\_type\_phone=”linear” \_builder\_version=”4.23.1″ header\_font=”|700|||||||” header\_text\_align=”left” header\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” header\_font\_size=”23px” header\_line\_height=”1.3em” body\_font=”Raleway||||||||” body\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” body\_font\_size=”14px” cat\_font=”|600||on|||||” cat\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” cat\_font\_size=”12px” cat\_letter\_spacing=”2px” date\_font=”|700|||||||” date\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” custom\_button=”on” button\_text\_size=”14px” button\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” button\_bg\_color=”rgba(21,2,42,0.08)” button\_border\_width=”0px” button\_border\_color=”#cacdcf” button\_font=”||||||||” button\_icon=”9||divi||400″ button\_alignment=”left” custom\_css\_comments=”color: #00000020;” box\_shadow\_style\_item=”preset3″ box\_shadow\_blur\_item=”20px” box\_shadow\_color\_item=”rgba(0,0,0,0.12)” global\_colors\_info=”{%22gcid-d870bfbc-d2aa-4549-a585-11880740f8ef%22:%91%22header\_text\_color%22,%22body\_text\_color%22,%22cat\_text\_color%22,%22date\_text\_color%22,%22button\_text\_color%22%93,%22gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d%22:%91%22button\_bg\_color\_\_hover%22%93}” custom\_css\_comments\_\_hover\_enabled=”on|desktop” custom\_css\_comments\_\_hover=”color: #00000080;” button\_bg\_color\_\_hover\_enabled=”on|desktop” button\_bg\_color\_\_hover=”#0d427a” button\_bg\_enable\_color\_\_hover=”on” button\_text\_color\_\_hover\_enabled=”on|hover” button\_text\_color\_\_hover=”#ffffff” overlay\_bg\_color\_\_hover\_enabled=”on|hover” overlay\_bg\_color\_\_hover=”rgba(21,2,42,0)” overlay\_bg\_enable\_color\_\_hover=”on” overlay\_bg\_color\_gradient\_type\_\_hover=”linear” image\_bg\_color\_gradient\_type\_\_hover=”linear”\]\[/dipi\_blog\_slider\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\]\[et\_pb\_section fb\_built=”1″ custom\_padding\_last\_edited=”on|phone” admin\_label=”Expanding CTA Demo 01″ \_builder\_version=”4.23.1″ background\_enable\_color=”off” background\_enable\_image=”off” background\_blend=”overlay” custom\_padding=”160px||160px||false|false” custom\_padding\_tablet=”0px||80px||false|false” custom\_padding\_phone=”60px||0px||false|false” global\_module=”18027061″ collapsed=”on” global\_colors\_info=”{}”\]\[et\_pb\_row \_builder\_version=”4.17.2″ \_module\_preset=”default” width=”90%” max\_width=”1395px” global\_colors\_info=”{}”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”4.17.2″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[dipi\_expanding\_cta content\_title=”Rozwijaj karierę jako inżynier sieciowy!” content\_description=” Dołącz do 1300+ sieciowców, czytających maile o praktycznym wykorzystaniu technologii, nowościach z branży i sposobach na rozwój Twojej kariery. ” show\_content\_button=”on” content\_button\_text=”Dołącz do nas” content\_button\_link=”@ET-DC@eyJkeW5hbWljIjp0cnVlLCJjb250ZW50IjoicG9zdF9saW5rX3VybF9wYWdlIiwic2V0dGluZ3MiOnsicG9zdF9pZCI6IjM1NjIifX0=@” zoom\_in\_expanding=”1.1″ hide\_header=”on” hide\_backtotop=”on” overlay\_above\_background=”on” content\_icon\_color=”#FFFFFF” content\_image\_icon\_width=”48px” container\_padding=”100px|30px|100px|30px|false|false” content\_width=”900px” content\_bg\_use\_color\_gradient=”on” content\_bg\_color\_gradient\_repeat=”on” content\_bg\_color\_gradient\_type=”elliptical” content\_bg\_color\_gradient\_direction\_radial=”top left” content\_bg\_color\_gradient\_stops=”#440099 0%|#520096 36%|#42008e 37%|#5a009b 54%|#5f00a3 71%|#5a009b 71%|#52009b 82%|#490093 82%” overlay\_bg\_use\_color\_gradient=”on” overlay\_bg\_color\_gradient\_direction=”211deg” overlay\_bg\_color\_gradient\_stops=”gcid-b99cf9c8-0df8-4ec4-9f33-b2aecd96d39a 0%|rgba(68,0,153,0.65) 100%” overlay\_bg\_color\_gradient\_overlays\_image=”on” overlay\_bg\_enable\_image=”off” container\_padding\_tablet=”100px|30px|100px|30px|false|false” container\_padding\_phone=”60px|20px|60px|20px|false|false” container\_padding\_last\_edited=”on|phone” content\_width\_tablet=”900px” content\_width\_phone=”900px” content\_width\_last\_edited=”on|desktop” \_builder\_version=”4.23.4″ \_dynamic\_attributes=”content\_button\_link” \_module\_preset=”default” content\_title\_font=”Poppins|700|||||||” content\_title\_text\_color=”#FFFFFF” content\_title\_font\_size=”42px” content\_desc\_font=”|300|||||||” content\_desc\_text\_color=”#FFFFFF” content\_desc\_font\_size=”21px” content\_desc\_line\_height=”1.7em” background\_enable\_color=”off” background\_enable\_image=”off” parallax=”on” custom\_content\_button=”on” content\_button\_text\_size=”16px” content\_button\_text\_color=”#FFFFFF” content\_button\_bg\_color=”gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d” content\_button\_bg\_use\_color\_gradient=”on” content\_button\_bg\_color\_gradient\_type=”circular” content\_button\_bg\_color\_gradient\_direction\_radial=”top left” content\_button\_bg\_color\_gradient\_stops=”#0d427a 0%|gcid-22eb0609-cd87-4bc8-a557-b03b58fafd75 100%” content\_button\_border\_width=”0px” content\_button\_border\_color=”gcid-409688bc-18ca-488e-a160-229df19743eb” content\_button\_border\_radius=”100px” content\_button\_font=”Poppins||||||||” content\_button\_icon=”9||divi||400″ content\_button\_custom\_margin=”20px||||false|false” content\_button\_custom\_padding=”15px|40px|15px|40px|false|false” image\_icon\_custom\_margin=”||20px||false|false” width=”100%” max\_width=”100%” custom\_margin=”||||false|false” custom\_padding\_tablet=”100px|100px|100px|100px|false|false” custom\_padding\_last\_edited=”off|desktop” content\_title\_font\_size\_tablet=”50px” content\_title\_font\_size\_phone=”30px” content\_title\_font\_size\_last\_edited=”on|tablet” content\_title\_letter\_spacing\_tablet=”0px” content\_title\_letter\_spacing\_phone=”0px” content\_title\_letter\_spacing\_last\_edited=”on|tablet” content\_title\_line\_height\_tablet=”” content\_title\_line\_height\_phone=”1.2em” content\_title\_line\_height\_last\_edited=”on|phone” content\_desc\_font\_size\_tablet=”18px” content\_desc\_font\_size\_phone=”16px” content\_desc\_font\_size\_last\_edited=”on|tablet” content\_button\_text\_size\_tablet=”20px” content\_button\_text\_size\_phone=”16px” content\_button\_text\_size\_last\_edited=”on|tablet” border\_radii\_container=”on|20px|20px|20px|20px” box\_shadow\_style\_container=”preset3″ box\_shadow\_vertical\_container=”25px” box\_shadow\_blur\_container=”77px” box\_shadow\_color\_container=”rgba(25,0,79,0.42)” box\_shadow\_style\_content\_button=”preset3″ global\_colors\_info=”{%22gcid-409688bc-18ca-488e-a160-229df19743eb%22:%91%22content\_button\_border\_color%22%93,%22gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d%22:%91%22content\_button\_bg\_color%22%93,%22gcid-22eb0609-cd87-4bc8-a557-b03b58fafd75%22:%91%22content\_button\_bg\_color\_gradient\_stops%22%93,%22gcid-b99cf9c8-0df8-4ec4-9f33-b2aecd96d39a%22:%91%22overlay\_bg\_color\_gradient\_stops%22%93}” content\_button\_custom\_padding\_\_hover\_enabled=”on|hover” content\_button\_custom\_padding\_\_hover=”15px|50px|15px|40px|false|false” box\_shadow\_color\_container\_\_hover\_enabled=”on|desktop” box\_shadow\_color\_container\_\_hover=”rgba(10,0,79,0.61)” box\_shadow\_blur\_container\_\_hover\_enabled=”on|desktop” box\_shadow\_blur\_container\_\_hover=”160px”\]\[/dipi\_expanding\_cta\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\]\[et\_pb\_section fb\_built=”1″ \_builder\_version=”4.23.1″ \_module\_preset=”default” background\_color=”#FFFFFF” use\_background\_color\_gradient=”on” background\_color\_gradient\_repeat=”on” background\_color\_gradient\_type=”circular” background\_color\_gradient\_direction\_radial=”top left” background\_color\_gradient\_stops=”gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d 0%|gcid-b99cf9c8-0df8-4ec4-9f33-b2aecd96d39a 100%” background\_image=”/content/images/wordpress/2022/01/cyber-security-18.png” parallax=”on” global\_colors\_info=”{%22gcid-b99cf9c8-0df8-4ec4-9f33-b2aecd96d39a%22:%91%22background\_color\_gradient\_stops%22%93,%22gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d%22:%91%22background\_color\_gradient\_stops%22%93}”\]\[et\_pb\_row \_builder\_version=”4.16″ \_module\_preset=”default” background\_enable\_color=”off” width=”100%” max\_width=”1600px” module\_alignment=”center” custom\_margin=”|||0vw|false|false” custom\_padding=”|2vw||2vw|false|false” global\_colors\_info=”{}”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[dipi\_text\_highlighter text\_highlighter\_text=”Podcast” highlight\_shape=”zigzag” stroke\_color=”gcid-b99cf9c8-0df8-4ec4-9f33-b2aecd96d39a” \_builder\_version=”4.23.1″ \_module\_preset=”default” all\_text\_font=”|800|||||||” all\_text\_text\_align=”center” all\_text\_text\_color=”gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad” all\_text\_font\_size=”5em” all\_text\_font\_size\_tablet=”5em” all\_text\_font\_size\_phone=”2em” all\_text\_font\_size\_last\_edited=”on|desktop” global\_colors\_info=”{%22gcid-b99cf9c8-0df8-4ec4-9f33-b2aecd96d39a%22:%91%22stroke\_color%22%93,%22gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad%22:%91%22all\_text\_text\_color%22%93}”\]\[/dipi\_text\_highlighter\]\[dipi\_blog\_slider include\_categories=”77″ use\_thumbnail\_height=”on” thumbnail\_height=”260px” excerpt\_length=”150″ show\_more=”on” show\_more\_text=”Czytaj dalej” show\_author=”off” date\_right\_space=”-10px” date\_top\_space=”-14px” show\_categories=”off” columns=”3″ space\_between=”40″ item\_padding=”0px|0px|30px|0px|false|false” loop=”on” autoplay=”on” navigation=”on” pagination=”on” navigation\_prev\_icon\_yn=”on” navigation\_prev\_icon=”#||divi||400″ navigation\_next\_icon\_yn=”on” navigation\_next\_icon=”$||divi||400″ navigation\_size=”30″ navigation\_padding=”30″ navigation\_color=”#15022a” navigation\_bg\_color=”#ffffff” pagination\_color=”#15022a” pagination\_active\_color=”#15022a” image\_animation=”zoomout” item\_bg\_color=”#ffffff” overlay\_bg\_color=”rgba(21,2,42,0.4)” overlay\_bg\_color\_gradient\_stops=”rgba(21,2,42,0) 0%|rgba(21,2,42,0.5) 100%” overlay\_bg\_color\_gradient\_start=”rgba(21,2,42,0)” overlay\_bg\_color\_gradient\_end=”rgba(21,2,42,0.5)” columns\_tablet=”2″ columns\_phone=”1″ columns\_last\_edited=”on|desktop” navigation\_position\_left\_tablet=”-35px” navigation\_position\_left\_phone=”-20px” navigation\_position\_left\_last\_edited=”on|phone” navigation\_position\_right\_tablet=”-35px” navigation\_position\_right\_phone=”-20px” navigation\_position\_right\_last\_edited=”on|tablet” overlay\_bg\_color\_gradient\_type\_tablet=”linear” overlay\_bg\_color\_gradient\_type\_phone=”linear” \_builder\_version=”4.23.1″ header\_font=”|700|||||||” header\_text\_align=”left” header\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” header\_font\_size=”23px” header\_line\_height=”1.3em” body\_font=”||||||||” body\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” body\_font\_size=”14px” cat\_font=”|||on|||||” cat\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” cat\_font\_size=”12px” cat\_letter\_spacing=”2px” date\_font=”|700|||||||” date\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” custom\_button=”on” button\_text\_size=”14px” button\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” button\_bg\_color=”rgba(21,2,42,0.08)” button\_border\_width=”0px” button\_border\_color=”#cacdcf” button\_font=”||||||||” button\_icon=”9||divi||400″ button\_icon\_color=”gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad” button\_alignment=”left” custom\_css\_comments=”color: #00000020;” box\_shadow\_style\_item=”preset3″ box\_shadow\_blur\_item=”20px” box\_shadow\_color\_item=”rgba(0,0,0,0.12)” global\_colors\_info=”{%22gcid-d870bfbc-d2aa-4549-a585-11880740f8ef%22:%91%22header\_text\_color%22,%22cat\_text\_color%22,%22date\_text\_color%22,%22button\_text\_color%22,%22body\_text\_color%22%93,%22gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d%22:%91%22button\_bg\_color\_\_hover%22%93,%22gcid-ebef823a-cbf8-4008-b18b-24a739fd2dad%22:%91%22button\_icon\_color%22%93}” custom\_css\_comments\_\_hover\_enabled=”on|desktop” custom\_css\_comments\_\_hover=”color: #00000080;” button\_bg\_color\_\_hover\_enabled=”on|hover” button\_bg\_color\_\_hover=”#0d427a” button\_bg\_enable\_color\_\_hover=”on” button\_text\_color\_\_hover\_enabled=”on|hover” button\_text\_color\_\_hover=”#ffffff” overlay\_bg\_color\_\_hover\_enabled=”on|hover” overlay\_bg\_color\_\_hover=”rgba(21,2,42,0)” overlay\_bg\_enable\_color\_\_hover=”on” overlay\_bg\_color\_gradient\_type\_\_hover=”linear” image\_bg\_color\_gradient\_type\_\_hover=”linear”\]\[/dipi\_blog\_slider\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\] ### Blog URL: https://innasiec.pl/blog/ Last updated: 2024-06-24T07:17:05.000Z _No content available._ ### Dzięki URL: https://innasiec.pl/dzieki-2/ Last updated: 2024-11-24T20:38:51.000Z _This page is for paying subscribers only._ ### Newsletter PREMIUM URL: https://innasiec.pl/premium/ Last updated: 2024-06-18T10:29:12.000Z \[et\_pb\_section fb\_built=”1″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_row column\_structure=”2\_3,1\_3″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_column type=”2\_3″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_code \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[/et\_pb\_code\]\[et\_pb\_text \_builder\_version=”4.23.4″ \_module\_preset=”default” header\_2\_font\_size=”50px” hover\_enabled=”0″ global\_colors\_info=”{}” sticky\_enabled=”0″ header\_2\_font=”|||on|||||”\] ## **Newsletter PREMIUM** \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.23.4″ \_module\_preset=”default” header\_2\_font\_size=”35px” hover\_enabled=”0″ global\_colors\_info=”{}” sticky\_enabled=”0″\] ## ## Jeszcze **więcej wiedzy** dla Ciebie! \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.19.0″ \_module\_preset=”default” global\_colors\_info=”{}”\] ## **KROK 1:** Otrzymujesz email. ## **KROK 2:** Twoja wiedza rośnie. 🚀 ## **KROK 3:** Wdrażasz zdobytą wiedzę. ## **KROK 4:** Zarabiasz więcej. 💰 \[/et\_pb\_text\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_3″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2021/09/newsletter\_iphone.jpg” alt=”Newsletter inna sieć” title\_text=”Newsletter inna sieć” \_builder\_version=”4.16″ \_module\_preset=”default” width=”100%” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\]\[et\_pb\_section fb\_built=”1″ \_builder\_version=”4.17.3″ \_module\_preset=”default” background\_color=”#0d427a” global\_colors\_info=”{}”\]\[et\_pb\_row \_builder\_version=”4.16″ \_module\_preset=”default” width=”100%” global\_colors\_info=”{}”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text admin\_label=”Tekst” \_builder\_version=”4.16″ \_module\_preset=”default” text\_text\_color=”#FFFFFF” text\_font\_size=”50px” text\_line\_height=”1.8em” text\_orientation=”center” global\_colors\_info=”{}”\] Pospiesz się! Kolejny email wysłam za: \[/et\_pb\_text\]\[et\_pb\_image src=”https://innasiec.pl/licznik\_do\_newslettera” align=”center” \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\]\[et\_pb\_section fb\_built=”1″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_row \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text \_builder\_version=”4.17.3″ \_module\_preset=”default” text\_font\_size=”37px” global\_colors\_info=”{}”\] ## **Wystarczy, że dołączysz i otrzymasz:** \[/et\_pb\_text\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[et\_pb\_row column\_structure=”1\_2,1\_2″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_column type=”1\_2″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text module\_class=”bullet\_list\_spacing” \_builder\_version=”4.19.0″ \_module\_preset=”default” text\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” text\_font\_size=”26px” global\_colors\_info=”{%22gcid-d870bfbc-d2aa-4549-a585-11880740f8ef%22:%91%22text\_text\_color%22%93}”\] ## **NEWSLETTER PREMIUM** \[/et\_pb\_text\]\[et\_pb\_text module\_class=”bullet\_list\_spacing” \_builder\_version=”4.19.0″ \_module\_preset=”default” text\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” text\_font\_size=”26px” global\_colors\_info=”{%22gcid-d870bfbc-d2aa-4549-a585-11880740f8ef%22:%91%22text\_text\_color%22%93}”\] Dostęp do **wszystkich materiałów** z wersji darmowej oraz **najlepszych artykułów.** Specjalnie wyselekcjonowane, aby dać Ci maksimum wartości, dzięki czemu możesz skupić się na tym co istotne. \[/et\_pb\_text\]\[dsm\_pricelist \_builder\_version=”4.19.0″ \_module\_preset=”default” global\_colors\_info=”{}” \_i=”2″ \_address=”2.1.0.2″ /\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_2″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2022/05/czy\_mpls\_byl\_potrzebny.png” alt=”Czy MPLS był potrzebny?” title\_text=”Czy MPLS był potrzebny?” \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[et\_pb\_row column\_structure=”1\_2,1\_2″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_column type=”1\_2″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2022/11/baza\_wiedzy\_opt.png” alt=”Baza Wiedzy” title\_text=”baza\_wiedzy\_opt” align=”center” force\_fullwidth=”on” \_builder\_version=”4.19.0″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_2″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text module\_class=”bullet\_list\_spacing” \_builder\_version=”4.19.0″ \_module\_preset=”default” text\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” text\_font\_size=”26px” global\_colors\_info=”{%22gcid-d870bfbc-d2aa-4549-a585-11880740f8ef%22:%91%22text\_text\_color%22%93}”\] ## Dostęp do **BAZY WIEDZY.** Czytelnicy **Inna Sieć PREMIUM** otrzymują dostęp do platformy z najlepszymi materiałami, polecanymi książkami, gotowymi do wdrożenia rozwiązaniami, poradnikami oraz checklist-ami. W portalu dostępne są również wszystkie prezenty przygotowane przez gości podcastu inna sieć. \[/et\_pb\_text\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[et\_pb\_row column\_structure=”1\_2,1\_2″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_column type=”1\_2″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text module\_class=”bullet\_list\_spacing” \_builder\_version=”4.19.0″ \_module\_preset=”default” text\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” text\_font\_size=”26px” global\_colors\_info=”{%22gcid-d870bfbc-d2aa-4549-a585-11880740f8ef%22:%91%22text\_text\_color%22%93}”\] ## **Narzędziownika Sieciowca.** Lista ponad **90 wyselekcjonowanych narzędzi**, które pomogą Ci w codziennej pracy. Znajdziesz tutaj aplikacje do troubleshootingu, monitoringu sieci, tworzenia dokumentacji, automatyzacji sieci oraz labowania. \[/et\_pb\_text\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_2″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2022/11/narzedziownik\_sieciowca\_optimized.png” alt=”Narzędziownik Sieciowca” title\_text=”narzedziownik\_sieciowca\_optimized” \_builder\_version=”4.19.0″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[et\_pb\_row column\_structure=”1\_2,1\_2″ \_builder\_version=”4.19.0″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_column type=”1\_2″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2022/11/Discord\_optimized.png” alt=”Discord Premium” title\_text=”Discord\_optimized” align=”center” \_builder\_version=”4.19.0″ \_module\_preset=”default” module\_alignment=”center” max\_height=”450px” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_2″ \_builder\_version=”4.19.0″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text module\_class=”bullet\_list\_spacing” \_builder\_version=”4.19.0″ \_module\_preset=”default” text\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” text\_font\_size=”26px” global\_colors\_info=”{%22gcid-d870bfbc-d2aa-4549-a585-11880740f8ef%22:%91%22text\_text\_color%22%93}”\] ## Dostęp do **SPOŁECZNOŚCI PREMIUM.** Członkowie otrzymują dostęp do specjalnej **strefy PREMIUM**, w której otrzymują informację o **dostępnych prezentach**, ciekawe linki niepublikowane w newsletterze oraz informacje, oraz **wpływ na rozwój Innej Sieci**. \[/et\_pb\_text\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[et\_pb\_row column\_structure=”1\_2,1\_2″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_column type=”1\_2″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text module\_class=”bullet\_list\_spacing” \_builder\_version=”4.20.2″ \_module\_preset=”default” text\_text\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” text\_font\_size=”26px” global\_colors\_info=”{%22gcid-d870bfbc-d2aa-4549-a585-11880740f8ef%22:%91%22text\_text\_color%22%93}”\] ## **A** **rchiwum emaili.** Czytelnicy **Inna Sieć PREMIUM** mają dostęp do [archiwum **WSZYSTKICH**](https://innasiec.mailingr.co/p/premium?ref=innasiec.pl) wysłanych emaili. Ponad **100! Emaili wypchanych wiedzą** wysyłanych od 2021 roku. Dostępne dla Ciebie, kiedy chcesz i gdzie chcesz. \[/et\_pb\_text\]\[/et\_pb\_column\]\[et\_pb\_column type=”1\_2″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_image src=”/content/images/wordpress/2022/05/archiwum-emaili.png” alt=”Archiwum Emaili” title\_text=”archiwum emaili” \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[/et\_pb\_image\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\]\[et\_pb\_section fb\_built=”1″ \_builder\_version=”4.17.3″ \_module\_preset=”default” background\_color=”gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d” global\_colors\_info=”{%22gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d%22:%91%22background\_color%22%93}”\]\[et\_pb\_row \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”4.17.3″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text \_builder\_version=”4.17.3″ \_module\_preset=”default” text\_text\_color=”#FFFFFF” header\_2\_text\_color=”#FFFFFF” header\_2\_font\_size=”60px” global\_colors\_info=”{}”\] ## **DOŁĄCZ JUŻ TERAZ!** \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.19.0″ \_module\_preset=”default” text\_text\_color=”#FFFFFF” text\_font\_size=”26px” text\_line\_height=”2em” header\_2\_text\_color=”#FFFFFF” header\_2\_font\_size=”45px” global\_colors\_info=”{}”\] ## To wszystko jest dostępne już od: **12,42 PLN za miesiąc 🤯** \[/et\_pb\_text\]\[et\_pb\_text \_builder\_version=”4.17.3″ \_module\_preset=”default” text\_text\_color=”#FFFFFF” text\_font\_size=”23px” text\_line\_height=”2em” header\_2\_text\_color=”#FFFFFF” header\_2\_font\_size=”45px” global\_colors\_info=”{}”\] **(przy płatności rocznej)** \[/et\_pb\_text\]\[et\_pb\_button button\_url=”https://mailingr.co/c/premium?priceId=price\_1JtAL5JZi0kSZ0V3TINVAIGZ” button\_text=”ODBIERAM MÓJ DOSTĘP!” button\_alignment=”center” \_builder\_version=”4.22.1″ \_module\_preset=”default” custom\_button=”on” button\_text\_size=”45px” button\_bg\_use\_color\_gradient=”on” button\_bg\_color\_gradient\_direction=”60deg” button\_bg\_color\_gradient\_stops=”gcid-b99cf9c8-0df8-4ec4-9f33-b2aecd96d39a 0%|gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d 100%” button\_border\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” button\_letter\_spacing=”3px” button\_icon=”$||divi||400″ button\_icon\_color=”#FFFFFF” background\_layout=”dark” custom\_padding=”15px||15px||false|false” button\_text\_shadow\_style=”preset1″ button\_text\_shadow\_color=”gcid-d870bfbc-d2aa-4549-a585-11880740f8ef” box\_shadow\_style=”preset1″ global\_colors\_info=”{%22gcid-03fa72f8-da40-448b-a5c8-b4c492bc4c0d%22:%91%22button\_bg\_color\_gradient\_stops%22%93,%22gcid-d870bfbc-d2aa-4549-a585-11880740f8ef%22:%91%22button\_text\_shadow\_color%22,%22button\_border\_color%22%93}”\]\[/et\_pb\_button\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[et\_pb\_row \_builder\_version=”4.16″ \_module\_preset=”default” width=”100%” global\_colors\_info=”{}”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”4.16″ \_module\_preset=”default” global\_colors\_info=”{}”\]\[et\_pb\_text \_builder\_version=”4.17.3″ \_module\_preset=”default” text\_text\_color=”#FFFFFF” global\_colors\_info=”{}”\] Niczym nie ryzykujesz. Masz 30 dni na rezygnację, jeżeli uznasz, że otrzymane materiały nie dają Ci wartości. Piszesz i zwracamy Ci 100% kwoty bez dodatkowych pytań. \[/et\_pb\_text\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\] ### Projects URL: https://innasiec.pl/projects/ Last updated: 2024-06-24T07:17:26.000Z _No content available._ ### Zarejestruj się URL: https://innasiec.pl/signup/ Last updated: 2024-06-25T09:24:51.000Z _No content available._ ### Zaloguj się URL: https://innasiec.pl/signin/ Last updated: 2024-06-25T09:25:05.000Z _No content available._ ### Konto URL: https://innasiec.pl/account/ Last updated: 2024-06-25T09:25:14.000Z _No content available._ ### Membership URL: https://innasiec.pl/membership/ Last updated: 2024-06-24T07:18:49.000Z _No content available._ ### Kategorie URL: https://innasiec.pl/tags/ Last updated: 2024-06-24T08:58:16.000Z _No content available._ ## Posts ### 📬 ISN 259: Agenci AI w NetOps, SRv6 w Praktyce i Dlaczego 4×10G to Nie 40G! URL: https://innasiec.pl/isn-259-agenci-ai-w-netops-srv6-w-praktyce-i-dlaczego-4x10g-to-nie-40g/ Last updated: 2026-10-05T08:00:38.000Z ## Agentic AI w NetOps [Cisco’s Agentic AI Report on NetOps: The Hard Part Isn’t Building the Agent. It’s Trusting It.I spent some time reading Cisco and Omdia’s new report, The Impact of Agentic AI on Network Operations, and the number that caught my attention wasn’t the prediction about where AI might be in five years. It was where organizations say they are right now.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-666048b4-9eaa-4ac2-9aff-77aed234cf64.ico)LinkedInSif Baksh![](https://innasiec.pl/content/images/thumbnail/1790254879655-9799310a-b3f7-490a-9f55-82700e676832.jpg)](https://www.linkedin.com/pulse/ciscos-agentic-ai-report-netops-hard-part-isnt-building-sif-baksh-tzuxe/?ref=innasiec.pl) Cisco i Omdia opublikowały raport *The Impact of Agentic AI on Network Operations* — i jedna liczba zasługuje na uwagę: 51% ankietowanych organizacji już dziś uruchamia agentów AI, którzy **podejmują działania w produkcji**, a nie tylko rekomendują. Kierunek jest wyraźny. Pytanie przestaje brzmieć „czy AI może pomóc inżynierowi sieci?" — zaczyna brzmieć **„co jesteśmy gotowi pozwolić AI robić?"** Większość teamów NetOps ma już Python, Ansible, Nornir, NetBox, monitoring i observability. Wiemy, jak wysłać komendę i wypchnąć konfigurację. 92% respondentów raportu przyznaje, że incydenty regularnie obejmują wiele domen, a do uzyskania pełnej widoczności używają średnio **10 osobnych narzędzi**. To jest właściwy problem. Użytkownik zgłasza, że aplikacja działa wolno — i zaczyna się: monitoring, interfejsy, routing, DNS, firewall, last changes, telemetria aplikacji, cloud, source of truth. Trzy zakładki w przeglądarce, dwa terminale, ticket i Slack jednocześnie. Żaden z tych kroków nie jest trudny. **Łączenie dowodów — to jest właściwa praca.** I dokładnie tutaj agent ma sens. Popularne jest teraz wstawianie agenta przed wszystko, bo to modne. To błąd. Jeśli workflow jest znany i deterministyczny — zostaw go deterministyczną automatyzacją. Agent staje się wartościowy, gdy **następny krok zależy od dowodów zebranych w poprzednim**. Klasyczny przykład: troubleshooting BGP. Agent sprawdza stan BGP → widzi resety → bada interfejs → wykrywa błędy CRC → sprawdza ostatnie zmiany → nie ma zmian → sięga po statystyki transceivera. Ścieżka zmienia się dynamicznie wraz z napływającymi danymi. Preferowana architektura: ``` Intent → Agent → Approved Tools → Evidence → Decision → Policy + Guardrails → Human Approval (gdy wymagane) → Action → Validation ``` LLM to **jeden element** tego systemu. Kłopoty zaczynają się, gdy zaczynamy traktować go jako cały system. 80% respondentów raportu deklaruje komfort z wysoką autonomią AI w NetOps. Jednocześnie 56% wymaga zgody człowieka przy działaniach. To nie jest sprzeczność — to dojrzałe podejście. Nie każda akcja niesie to samo ryzyko. Agent może samodzielnie odpytywać liczniki interfejsów, sprawdzać stan BGP, analizować logi, korelować telemetrię — i nikomu to nie przeszkadza. Zmiana polityki routingu na core routerze to zupełnie inna rozmowa. Zanim jednak zwiększysz autonomię agenta, sprawdź jego **dowody**, nie tylko wnioski. LLM potrafi wygenerować przekonujące wyjaśnienie dla zupełnie błędnej konkluzji. Explainability bez audytu dowodów nie rozwiązuje tego problemu. Użyteczny raport z dochodzenia wygląda tak: - **Obserwacja**: BGP neighbor 10.10.10.2 resetował się 7 razy w ciągu 12 minut - **Dowód**: Ethernet1/1 odnotował 2843 błędy CRC w tym samym oknie - **Hipoteza**: Niestabilność warstwy fizycznej jako prawdopodobna przyczyna - **Rekomendacja**: Sprawdź transceiver przed dotykaniem konfiguracji BGP To jest coś, co inżynier może zweryfikować, zakwestionować i zatwierdzić. --- ## Dlaczego 4x10G to nie to samo co 40G? [EtherChannel, Bond, Team, LAG: How Link Aggregation Actually WorksWhat IEEE 802.1AX mandates, what it deliberately leaves to the vendor, and why a single flow on a 4x10G bundle still tops out at 10G.![](https://innasiec.pl/content/images/icon/favicon_hu_a44ec87185dd135c-ae5a0c62-3133-4f5d-80f3-fd702a733fd9.png)routerjockeyTony Mattke![](https://innasiec.pl/content/images/thumbnail/link-aggregation-deep-dive-faeb3799-9ac1-4686-83f9-c645e90b0d5d.png)](https://routerjockey.com/link-aggregation-deep-dive/?ref=innasiec.pl) Standard 802.3ad (dziś 802.1AX) mówi jedno twardo: ramki jednej "konwersacji" nie mogą być reorderowane. Jedyny sposób, by to zagwarantować, to przypięcie każdego flow do dokładnie jednego membera na stałe. Żaden vendor nie stripuje pojedynczego flow między linkami - to złamałoby regułę kolejności. Konsekwencja jest prosta: pojedynczy strumień (backup, vMotion, replikacja iSCSI) nigdy nie przekroczy przepustowości jednego membera, niezależnie od tego, ile linków masz w bundlu. 4x10G LAG to 40G *agregatu* przy wielu równoległych flow, nie 40G dla jednej sesji. Jeśli masz workloady generujące pojedyncze "słoniowe" flow, więcej linków nic nie da - potrzebujesz szybszych linków. Standard nie narzuca algorytmu dystrybucji ruchu - tylko zakaz reorderingu. Efekt: każdy vendor liczy hash inaczej (MAC, IP, porty L4, różne XOR), domyślne ustawienia różnią się między platformami i generacjami IOS/NX-OS, a nawet dwa końce tego samego bundla mogą hashować inaczej - LACP negocjuje membership, nigdy dystrybucję. Na starszym Catalyst hardware hash redukuje się do 3-bitowej wartości (0-7), rozdzielanej między membery. To dlatego bundle działają najlepiej w potęgach dwójki - przy 3 członkach dwa dostają po 37,5% ruchu, trzeci tylko 25%, zanim realny ruch w ogóle wejdzie do gry. **Polaryzacja w architekturze wielowarstwowej** Gdy stackujesz bundle access-distribution-core i każda warstwa liczy hash tym samym algorytmem na tych samych polach, flow trafiający w bucket 0 na dole trafi w bucket 0 też wyżej - na każdym poziomie. Zamiast rozkładać ruch, cała topologia koncentruje go na tym samym podzbiorze linków, a reszta "redundantnej" przepustowości stoi bezczynnie. Lekarstwo: różnicować pola hashujące między warstwami (np. src-dst-IP niżej, dodać L4 porty wyżej) oraz hardware'owe triki typu per-device seed. Ten sam problem dotyka ECMP w fabrykach Clos i jest jeszcze bardziej palący w fabrykach AI, gdzie pojedyncze flow GPU-to-GPU potrafią zapchać cały uplink. **Co z tym zrobić dziś**: jeśli planujesz LAG pod duże pojedyncze strumienie (backup, storage, AI), nie licz przepustowości agregatu - licz przepustowość pojedynczego membera. Sprawdź też, jakich pól używa hash na Twojej platformie (`show etherchannel load-balance` na Cisco) i czy warstwy w topologii nie hashują identycznie. --- ## Awesome Nokia [Awesome Nokia - Awesome NokiaA curated directory of developer tools, automation libraries, and resources for Nokia networking platforms.![](https://innasiec.pl/content/images/icon/nokia-refreshed-logo-2_1-bbc3a771-d025-4f45-8382-d96b15b05224.png)Awesome NokiaAndy Whitaker & Nokia Community![](https://innasiec.pl/content/images/thumbnail/nokia-refreshed-logo-2_1-8d018dd7-30fb-4d5f-ae3d-598c383ab59a.png)](https://andywhitaker.github.io/awesome-nokia/?ref=innasiec.pl) Serwis zawiera katalog 66 narzędzi i projektów związanych z ekosystemem Nokia oraz automatyzacją sieci. Znajdziesz tu m.in. rozwiązania do tworzenia laboratoriów sieciowych w Containerlab, systemy SR Linux i SROS, narzędzia EDA oraz NSP, a także biblioteki do automatyzacji, monitorowania i zbierania danych telemetrycznych. To dobre miejsce, jeśli pracujesz z infrastrukturą sieciową, szukasz narzędzi NetDevOps albo chcesz poznać projekty rozwijane przez społeczność skupioną wokół technologii Nokia. --- ## Agenci i SONiC [GitHub - mairp/agentic-netops: AGNTCY + LangGraph agents turn intent into CRs; Kubernetes controllers reconcile them onto a live SONiC EVPN/VXLAN fabric; gNMI telemetry closes the loop. Runs in containerlab + kind.AGNTCY + LangGraph agents turn intent into CRs; Kubernetes controllers reconcile them onto a live SONiC EVPN/VXLAN fabric; gNMI telemetry closes the loop. Runs in containerlab + kind. - mairp/agent…![](https://innasiec.pl/content/images/icon/favicon-82356898-2dc2-4874-944e-b09dbfcccfbb.png)GitHubmairp![](https://innasiec.pl/content/images/thumbnail/agentic-netops-6761dbd7-3e4f-4548-acd4-3bfdaf25244b.png)](https://github.com/mairp/agentic-netops?ref=innasiec.pl) Projekt pokazuje sterowanie siecią SONiC EVPN/VXLAN za pomocą poleceń w języku naturalnym. Agenci tworzą obiekty Kubernetes, kontrolery wdrażają je w topologii i weryfikują konfigurację. System obsługuje m.in. VLAN-y, mac-VRF, ip-VRF i ACL-e, monitoruje stan, naprawia rozbieżności oraz wycofuje nieudane zmiany. Środowisko obejmuje dwa spine’y, dwa leafy, klientów i monitoring Prometheus/Grafana. Obsługa bram IPv6 IRB jest ograniczona, a część obrazów wymaga pobrania z rejestru. --- ## SRv6 w praktyce _This post is for paying subscribers only._ ### 📬 ISN 258: Ethernet Jak InfiniBand, Martwa Strefa Bezpieczeństwa i Kolektor BMP! URL: https://innasiec.pl/isn-258-ethernet-jak-infiniband-martwa-strefa-bezpieczenstwa-i-kolektor-bmp/ Last updated: 2026-09-28T08:00:06.000Z SPONSORED Sponsorem tego wydania jest ****Sycope** — firma rozwijająca rozwiązania do analizy ruchu sieciowego i monitorowania bezpieczeństwa IT. Podczas bezpłatnego, technicznego webinaru dowiesz się, jak rozszerzyć monitoring w Zabbixie o analizę ruchu sieciowego — bez zastępowania dotychczasowych narzędzi i bez przebudowy istniejącego workflow. ****Webinar: „From alerts to answers: extending Zabbix with network flow data”** ****Termin:** 29 września 2026, godz. 10:00 CEST ****Język:** angielski ****Udział:** bezpłatny [Zapisz się na webinar ](https://sycope.clickmeeting.com/from-alerts-to-answers-extending-zabbix-with-network-flow-data/register?utm%5Fsource=Inna-siec&utm%5Fmedium=mail&utm%5Fcampaign=Webinar-zabbix) ## Dlaczego Ethernet ma działać jak InfiniBand [RoCEv2 for Network Engineers: How RDMA, ECN, CNP and PFC Power AI InfrastructureIntroduction For me one of the most interesting aspects of AI Infrastructure is the backend network. There are many technologies and acronyms that are continuously mentioned such as RDMA, RoCEv2, P…![](https://innasiec.pl/content/images/icon/cropped-17c541a8-2921-42e6-b3b8-b0612f2d40f9-15b01e39-a5be-4b53-a6d5-663958c37638.png)Network AutomatorTaha Yusuf![](https://innasiec.pl/content/images/thumbnail/11d76a76-adae-4401-88ff-2536929b93d6-e9c21a59-62e9-4085-ae38-a2c52594534b.png)](https://networkautomator.com/2026/09/27/rocev2-for-network-engineers-how-rdma-ecn-cnp-and-pfc-power-ai-infrastructure/?ref=innasiec.pl) Rozproszone workloady AI (Tensor Parallelism, Expert Parallelism, Pipeline Parallelism) wymagają ciągłej wymiany danych między GPU na różnych serwerach fizycznych. To generuje ruch east-west w skali, do której Ethernet nie był projektowany. GPU to drogi zasób - a każde opóźnienie sieciowe oznacza GPU czekające zamiast liczące. RDMA (Remote Direct Memory Access) rozwiązuje to, transferując dane bezpośrednio między pamięcią GPU z pominięciem CPU i stosu sieciowego OS. InfiniBand ma RDMA natywnie wbudowane w architekturę. RoCEv2 próbuje to samo osiągnąć na zwykłym Ethernecie - transportując RDMA po UDP/IP w topologii Spine-Leaf. Haczyk: RoCEv2 sam z siebie nie czyni Ethernetu lossless. To wciąż best-effort forwarding, który przy przeciążeniu zwyczajnie zrzuca pakiety. Tu wchodzi mechanizm złożony z trzech warstw: - **ECN** \- switch monitoruje zajętość kolejki i po przekroczeniu progu oznacza pakiety jako "Congestion Experienced" (CE), wciąż je przekazując - **CNP** \- odbiorczy RNIC widzi znacznik CE i wysyła Congestion Notification Packet z powrotem do nadawcy - **DCQCN** \- na podstawie CNP nadawca redukuje tempo transmisji, zanim dojdzie do utraty pakietów - **PFC** \- jeśli powyższe nie zdąży zadziałać, a kolejka zbliża się do przepełnienia, switch wysyła PFC XOFF hop-by-hop, wstrzymując konkretną priorytetową klasę ruchu (nie cały link, jak klasyczny Ethernet PAUSE) Kluczowe rozróżnienie: ECN+CNP to kontrola przeciążenia (reakcja zanim dojdzie do straty), PFC to mechanizm ochronny ostatniej szansy. Zdrowy design fabric powinien polegać głównie na ECN - jeśli sieć ciągle uderza w progi PFC, to sygnał źle dobranych parametrów QoS, a nie normalna praca systemu. Budowa fabric pod RoCEv2 to nie włączenie jednej funkcji na switchu brzegowym. To spójna konfiguracja QoS, progów ECN i PFC na każdym hopie w ścieżce - bo PFC działa lokalnie, więc jeden źle skonfigurowany switch w środku może zepsuć cały mechanizm end-to-end. --- ## Martwa strefa w Twoim stosie bezpieczeństwa [The QUIC Problem – Network&Security blog by Pawel Zwierzynski![](https://innasiec.pl/content/images/icon/cropped-cropped-letsnet.eu_black-270x270-f10d462f-8bd8-40a4-b6ad-33b1306ff65d.png)Pawel Zwierzynski![](https://innasiec.pl/content/images/thumbnail/804c19c3864fe978579d73753f714a97f6a7fd967e3cfc4842afeb72dc73ec46-2c468bf0-adc9-4ae9-9cd5-19b52b0ba0ee.jpg)](https://letsnet.eu/the-quic-problem/?ref=innasiec.pl) HTTP/3 rośnie w adopcji z kwartału na kwartał. Większość stosów bezpieczeństwa nadal nie potrafi zajrzeć do środka tego ruchu. W przypadku HTTPS over TCP firewall terminuje sesję TLS klienta, otwiera własną sesję do serwera i deszyfruje ruch w środku. Działa to, bo TCP i TLS to dwie oddzielne, dobrze udokumentowane warstwy. QUIC zrywa z tym modelem. Działa na UDP i nie "siedzi nad" TLS — handshake TLS 1.3 jest wbudowany bezpośrednio w protokół transportowy. Po pierwszym pakiecie praktycznie wszystko jest zaszyfrowane: numery pakietów, większość pól nagłówka, dane. W czystym tekście zostają connection ID i kilka flag. Wiesz, że połączenie istnieje. Nie wiesz, co w nim leci. Budowa transparentnego proxy dla QUIC wymaga reimplementacji pełnego stosu QUIC po obu stronach. Cisco eksperymentuje z tym w Secure Firewall, ale to na razie wyjątek, nie reguła. Palo Alto, Fortinet i praktycznie wszyscy pozostali gracze w tym segmencie stosują to samo podejście — blokują QUIC i wymuszają fallback na TLS over TCP. Tam istniejąca polityka deszyfrowania działa normalnie. Brzmi prosto, ale jest jeden haczyk. Przeglądarka cache'uje preferencję HTTP/3 na określony czas zamiast sprawdzać ją przy każdym żądaniu. Gdy QUIC zawiedzie, zazwyczaj przeglądarka cicho przełącza się na TCP. Jednak w praktyce — szczególnie widoczne w Edge — przeglądarka potrafi przez pewien czas dalej próbować QUIC na domenie, która właśnie nie odpowiedziała, zamiast przełączyć się na TLS. Efekt od strony użytkownika: zakładka się wiesza, serwis "nie działa". Klasyczny ticket do supportu. Martwa strefa nie jest teoretyczna. Frameworki C2 już od jakiegoś czasu dodają obsługę QUIC. Kaspersky udokumentował RAT-a używającego HTTP/3 do komunikacji z serwerem C2\. Jeśli nie blokujesz QUIC, ten ruch przechodzi przez Twój firewall bez żadnej inspekcji. Warto też wiedzieć, że istnieje przestrzeń między "pełna deszyfracja" a "całkowita ślepota". Pakiety Initial mają klucze możliwe do wyprowadzenia z publicznie dostępnych danych (RFC 9001 §5.2, §5.4), co pozwala na odczyt SNI. Możliwy jest też fingerprinting stosu klienta. To nie zastępuje inspekcji payloadu dla DLP czy IPS, ale daje pewien poziom widoczności przy pasywnym monitoringu. **Action item**: Sprawdź dziś, czy Twoja polityka blokuje UDP 443 dla nieznanych lub niezaufanych destynacji. Jeśli używasz proxy, zweryfikuj, czy ruch QUIC w ogóle do niego trafia — część implementacji go omija. TLS 1.3 też był kiedyś problemem dla narzędzi inspekcji. Przemysł się dostosował. QUIC przejdzie tę samą drogę. Pytanie, ile ruchu C2 przepłynie przez Twoją sieć zanim to nastąpi. --- SPONSORED ****Jak daleko można zajść z monitoringiem sieci za 0 zł?** Sycope zaprasza na techniczny webinar pokazujący, jak rozszerzyć monitoring w Zabbixie o dane NetFlow/IPFIX/sFlow. Nie chodzi o zastępowanie Zabbixa kolejnym systemem, ale o dodanie do metryk kontekstu rzeczywistej komunikacji sieciowej.Na konkretnych przykładach zobaczycie [m.in](http://m.in/?ref=innasiec.pl). jak: - wykorzystać hosty i grupy z Zabbixa do analizy ruchu, - przejść z konkretnego obiektu w Zabbixie bezpośrednio do jego komunikacji w Sycope, - wprowadzić dane i alerty z analizy ruchu z powrotem do Zabbixa, - sprawdzić aktywne usługi na podstawie obserwowanego ruchu, - połączyć monitoring infrastruktury z analizą NetFlow/IPFIX/sFlow bez przebudowy istniejącego workflow. ****Uwaga: Zabbix i Sycope mają wersje bezpłatne, więc to także praktyczny przykład tego, jak daleko można rozszerzyć monitoring bez dokładania kolejnego kosztu licencyjnego.** ****Termin:** 29 września 2026, 10:00 CEST ****Język:** angielski ****Udział:** bezpłatny [Zapisz się na webinar ](https://sycope.clickmeeting.com/from-alerts-to-answers-extending-zabbix-with-network-flow-data/register?utm%5Fsource=Inna-siec&utm%5Fmedium=mail&utm%5Fcampaign=Webinar-zabbix) --- ## Kolektor BMP klasy hyperscaler [GitHub - FastNetMon/netom: Netoms is hyperscaler grade BMP collectorNetoms is hyperscaler grade BMP collector . Contribute to FastNetMon/netom development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/favicon-22b6c9b4-4602-41c3-b52b-11d63600b1d9.png)GitHubFastNetMon![](https://innasiec.pl/content/images/thumbnail/netom-33fab572-e347-46cb-9ee7-18f71c29bc25.png)](https://github.com/FastNetMon/netom?ref=innasiec.pl) INFO: Netom to modułowy i programowalny silnik BGP/BMP przeznaczony do zbierania, przetwarzania i przekazywania dużych ilości danych o routingu. Możesz używać go do otwierania sesji BGP i BMP, gromadzenia tras w pamięciowej bazie RIB, importowania danych z plików MRT oraz filtrowania informacji za pomocą języka Roto. Netom obsługuje między innymi restreaming BMP, eksport pełnych tablic routingu, ochronę przed wolnymi odbiorcami, TLS, kontrolę dostępu i uwierzytelnianie TCP MD5\. Stan danych można sprawdzać przez API HTTP/JSON, a wyniki przekazywać do logów lub strumienia MQTT. Projekt jest rozwijanym forkiem Rotondy od NLnet Labs, dostosowanym przede wszystkim do wdrożeń produkcyjnych i monitoringu sieci na dużą skalę. Warto pamiętać, że wersje 0.x mogą wprowadzać zmiany w API, konfiguracji i składni języka Roto. --- ## Integracja Netbox z Cisco Catalyst Center [GitHub - sieteunoseis/netbox-catalyst-centerContribute to sieteunoseis/netbox-catalyst-center development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/favicon-2f1103e1-4a0f-4551-9321-9bf605e6e268.png)GitHubsieteunoseis![](https://innasiec.pl/content/images/thumbnail/netbox-catalyst-center-42629108-60e1-480e-b74c-6569583fbed5.png)](https://github.com/sieteunoseis/netbox-catalyst-center?ref=innasiec.pl) Wtyczka integruje NetBox z Cisco Catalyst Center (dawniej DNA Center), pozwalając wyświetlać w NetBox szczegóły urządzeń sieciowych i klientów bezprzewodowych. Umożliwia także jednokierunkowy import urządzeń, interfejsów i informacji PoE, obsługuje stosy przełączników jako Virtual Chassis oraz oferuje pamięć podręczną odpowiedzi API. Jest przeznaczona dla NetBox 4.x, Cisco Catalyst Center 2.x lub nowszego i wymaga konfiguracji mapowania urządzeń oraz konta API w Catalyst Center. --- ## Troubleshooting ACI _This post is for paying subscribers only._ ### 📬 ISN 257: Jak Zastąpić MPLS przez SR-MPLS? Plus Architektura Klastra AI i VyOS! URL: https://innasiec.pl/isn-257-jak-zastapic-mpls-przez-sr-mpls-plus-architektura-klastra-ai-i-vyos/ Last updated: 2026-09-21T08:00:58.000Z ## SR-MPLS jako zamiennik MPLS [MPLS/VPN with SR-MPLS Core « ipSpace.net blogAs we discussed in the BGP-Free Core with SR-MPLS blog post, SR-MPLS works as a drop-in replacement for the traditional MPLS control plane. No wonder it works well (when properly implemented) with MPLS/VPN services – the second “fun” scenario in my ITNOG10 Segment Routing workshop. It uses the same topology as the BGP-Free Core scenario: Simplest possible MPLS/VPN network with SR-MPLS core![](https://innasiec.pl/content/images/icon/favicon-5d8f0440-ef01-4849-94d1-4cd0d1223714.ico)ipSpace Logo![](https://innasiec.pl/content/images/thumbnail/sr-mpls-fun-ba05fa22-eaea-48e0-9127-08dbc03f9b2d.png)](https://blog.ipspace.net/2026/09/sr-mpls-vpn/?ref=innasiec.pl) SR-MPLS jako zamiennik tradycyjnego MPLS nie jest już tylko teorią — sprawdza się również z usługami MPLS/VPN, i to bez żadnych specjalnych zabiegów. Jeśli wdrożyłeś kiedyś klasyczny MPLS/VPN z LDP, mechanizm działania SR-MPLS będzie natychmiast znajomy. PE buduje stos dwóch etykiet: zewnętrzna to SR-MPLS (transport), wewnętrzna to VPNv4 (usługa). Dokładnie tak samo jak przy LDP — różni się tylko sposób dystrybucji etykiet transportowych. Na Arista EOS wygląda to następująco: ``` B I 172.16.1.0/24 [200/0] via 10.0.0.3/32, IS-IS SR tunnel index 2, label 116384 via 10.1.0.1, Ethernet1, label 900003 ``` IS-IS z rozszerzeniami SR zastępuje LDP — nic więcej nie trzeba zmieniać w logice forwarding plane. Żeby uruchomić MPLS/VPN nad SR-MPLS w środowisku netlab, wystarczą trzy zmiany w topologii: - Włącz `mpls.vpn: True` i wyłącz `mpls.ldp: False` globalnie - Dodaj moduły `sr` i `mpls` do grupy PE routerów (obok istniejących `isis` i `bgp`) - Przypisz linki PE-CE do odpowiedniego VRF To całość. Brak osobnych daemon'ów, brak dodatkowych konfiguracji redistribucji — SR-MPLS przejmuje rolę LDP transparentnie dla warstwy usługowej. --- ## AWS Direct Connect [AWS Direct Connect now supports BGP route visibility on Virtual Interfaces - AWSDiscover more about what’s new at AWS with AWS Direct Connect now supports BGP route visibility on Virtual Interfaces![](https://innasiec.pl/content/images/icon/favicon-aa5395d8-52d6-415b-8bc1-fe491290c801.ico)AmazonAmazon Web Services![](https://innasiec.pl/content/images/thumbnail/reinvent-register.3822079bac49f139ae46016a9a99c3eed71fad4a-eb85fcb1-88ae-4718-a6bb-70b54b0dc39c.png)](https://aws.amazon.com/about-aws/whats-new/2026/07/aws-direct-connect-bgp-visibility/?ref=innasiec.pl) Diagnostyka problemów routingowych na Direct Connect wymagała dotąd żmudnego porównywania konfiguracji po obu stronach połączenia. AWS właśnie to zmienił. Od 30 lipca 2026 r. każdy Virtual Interface (prywatny, tranzytowy i publiczny) oferuje pełną widoczność tras BGP w dwóch kierunkach: - **Accepted routes** – prefiksy odebrane przez AWS od Twojego routera - **Advertised routes** – prefiksy wysyłane przez AWS do Twojego routera - Dla każdej trasy: prefiks, rodzina adresów, AS path, wartości community BGP oraz timestamp instalacji Dostęp przez konsolę Direct Connect lub API (`ListVirtualInterfaceRoutes`). Filtrowanie po prefiksie, AS path, community i rodzinie adresów działa od razu. Dwie sytuacje, w których ta funkcja zwraca wartość natychmiast: **Weryfikacja policy BGP** – po wdrożeniu route-map lub prefix-list możesz potwierdzić po stronie AWS, które prefiksy faktycznie przeszły filtr, bez konieczności angażowania drugiej strony połączenia lub otwierania przypadku supportowego. **Diagnostyka asymetrycznego routingu** – widząc jednocześnie, co AWS ogłasza i co akceptuje, szybko identyfikujesz rozbieżności między intencją a rzeczywistością. Szczególnie przydatne w architekturach multi-region z wieloma VIF-ami i złożoną topologią tranzytową. --- ## Symulator Load balancingu [VedhaNet Traffic LabSwitch load balancing methods live and watch traffic move. Break a member and watch the monitor react.![](https://static.ghost.org/v5.0.0/images/link-icon.svg)](https://lab.vedhanetacademy.com/?ref=innasiec.pl) Interaktywny symulator równoważenia obciążenia sieciowego, przeznaczony głównie do nauki i prowadzenia zajęć. Możesz w nim sprawdzać, jak działają różne metody kierowania ruchem, testować monitory zdrowia usług, sesje użytkowników, translację adresów SNAT, limity połączeń oraz reakcje serwerów na awarie. --- ## Generator konfiguracji dla VyOS [VyKit — VyOS 1.4 / 1.5 Config GeneratorVyKit — free VyOS config generators, calculators and a recipe library: firewall, NAT, BGP, WireGuard, IPsec, QoS, VRRP, DHCP. Version-aware for VyOS 1.4 sagitta and 1.5 circinus. Runs entirely in your browser.![](https://innasiec.pl/content/images/icon/favicon-9412c84a-180b-455c-bb52-da25b1c0c787.png)VyKit![](https://innasiec.pl/content/images/thumbnail/vykit-og-850283ec-f281-4d6e-b08c-2e60d590d745.png)](https://vykit.ashimov.com/?ref=innasiec.pl) INFO: Serwis oferuje generatory, kalkulatory i gotowe konfiguracje dla VyOS 1.4 Sagitta oraz 1.5 Circinus. Możesz za jego pomocą szybko przygotować ustawienia firewalla, NAT, routingu, BGP, WireGuard, IPsec, QoS, VRRP i wielu innych funkcji, a także sprawdzić poprawność komend przed wklejeniem ich do routera. Wszystkie narzędzia działają lokalnie w przeglądarce, więc konfiguracja nie opuszcza urządzenia. Na stronie znajdziesz również bibliotekę ponad 60 gotowych konfiguracji oraz narzędzia do migracji między wersjami VyOS, analizy konfiguracji i planowania parametrów sieci. --- ## Sieć dla klastra AI _This post is for paying subscribers only._ ### 📬 ISN 256: EVPN i IPVPN Bez Pętli, Multicast w EVPN i Sieci dla AI Inference! URL: https://innasiec.pl/isn-256-evpn-i-ipvpn-bez-petli-multicast-w-evpn-i-sieci-dla-ai-inference/ Last updated: 2026-09-14T08:00:36.000Z ## Jak połączyć domeny EVPN i IPVPN bez pętli routingu [RFC 10039: Interconnecting EVPN and IPVPN Domains | RFC EditorEthernet Virtual Private Network (EVPN) provides a unified BGP control plane for both intra- and inter-subnet forwarding within tenant networks. When a tenant network spans multiple domains, including any combination of EVPN and IPVPN domains, it becomes necessary to define the interworking mechanisms among these BGP domains (EVPN and IPVPN) to ensure seamless end-to-end tenant connectivity. This document defines these interworking procedures. In addition, this document defines a new BGP Path Attribute, referred to as Domain Path (D-PATH), which provides loop prevention for gateway nodes by protecting against control plane loops. The introduction of D-PATH modifies the BGP best-path selection process for Multiprotocol BGP inter-subnet forwarding (ISF) routes of Subsequent Address Family Identifiers (SAFIs) 128 (IPVPN) and 70 (EVPN).![](https://innasiec.pl/content/images/icon/512x512-fd527880-a90e-416b-84f7-a9b75248c55d.png)RFC EditorSajassi, A., Ed.![](https://innasiec.pl/content/images/thumbnail/rfc10039-3877af24-02dd-4c45-9123-d3bbf5f95cd7.png)](https://www.rfc-editor.org/info/rfc10039/?ref=innasiec.pl) Sieci dzierżawców coraz częściej rozciągają się przez heterogeniczne domeny – część korzysta z EVPN, część z klasycznego IPVPN. Do tej pory brakowało standardowego mechanizmu ich spójnego połączenia. RFC 10039 to właśnie wypełnia. Serce specyfikacji to nowy opcjonalny i tranzytywny atrybut ścieżki BGP o nazwie **Domain Path (D-PATH)**. Działa analogicznie do AS\_PATH, ale na poziomie domen: każdy gateway PE, przez który przechodzi trasa ISF (inter-subnet forwarding), dopisuje do listy swój identyfikator ``. Efekt? Jeśli trasa wróci do bramy, która już widziała swój DOMAIN-ID w atrybucie – oznacza ją jako pętlę i nie re-eksportuje dalej. Proste i skuteczne. D-PATH wpływa też na selekcję najlepszej ścieżki: **preferowane są trasy z krótszym D-PATH**, czyli te, które przeszły przez mniej bram. To elegancki mechanizm unikania suboptimalnego routingu w topologiach z redundantnymi gateway PE. RFC definiuje dwa tryby działania gateway PE przy re-origination tras: - **No Propagation Mode** (domyślny) – gateway PE traktuje re-importowaną trasę jak lokalnie podłączony prefiks. Zeruje atrybuty BGP. Prosty, bezpieczny, ale nie propaguje D-PATH – redundantne bramy pozostają podatne na pętle. - **Uniform Propagation Mode** – brama przenosi spójny zestaw atrybutów między domenami: AS\_PATH, D-PATH, LOCAL\_PREF, MED, AIGP, Communities. Uwaga: Extended Communities specyficzne dla EVPN, Route Targets i BGP Encapsulation Extended Communities **nie powinny być propagowane** – mogą powodować nieprzewidywalne zachowanie w domenie docelowej. Dla środowisk produkcyjnych z redundantnymi bramami: Uniform Propagation Mode z D-PATH to właściwy wybór. Dla prostszych topologii lub gdy bezpieczeństwo atrybutów jest priorytetem – No Propagation Mode wystarczy. RFC wprowadza precyzyjną taksonomię: - **Composite PE** – jeden PE, dwie rodziny SAFIs (EVPN + IPVPN) w tej samej domenie, ten sam RR. Reklamuje ten sam prefiks dwukrotnie. - **Gateway PE** – łączy odrębne domeny, re-originuje trasy między różnymi SAFIs. Kluczowy punkt dla D-PATH. - **Composite/Gateway PE** – oba role jednocześnie. Typowy przypadek w dużych DCI, gdzie DC używa EVPN, a WAN – IPVPN. Selekcja tras między EVPN i IPVPN jest deterministyczna: najpierw wygrywa krótszy D-PATH, potem standardowe reguły BGP, a RT-2 (MAC/IP) ma zawsze priorytet nad RT-5 (IP Prefix) przy równorzędnych kandydatach. Jeśli planujesz integrację domeny EVPN (datacenter) z IPVPN (WAN/MPLS), RFC 10039 daje ci gotowy framework. Kluczowe decyzje projektowe to: konfiguracja unikalnych DOMAIN-ID per domena (wszystkie gateway PE tej samej domeny muszą używać identycznej wartości), wybór trybu propagacji oraz świadome ograniczenie propagacji Extended Communities na granicach domen. RFC otrzymał kod atrybutu BGP **36** w rejestrze IANA. Implementacje pojawiają się w głównych stosach sieciowych – warto sprawdzić support w swoim środowisku przed zaprojektowaniem nowej topologii multi-domain. --- ## AI Inference staje się problemem sieciowym [Solutions - A Day in the Life of a Prompt White PaperThe rise of Large Language Models (LLMs) has introduced a new paradigm of interaction: the “prompt.” This paper explores the journey of how a prompt is processed in detail—from user input to generated response—following a prompt as it traverses networks, control planes, compute systems, and GPU fabrics.![](https://innasiec.pl/content/images/icon/favicon-788f1aa2-031f-474e-849c-a0fbcf88c467.ico)CiscoJavier Antich![](https://innasiec.pl/content/images/thumbnail/logo-open-graph-dcbaeae6-199f-4b8e-a4d1-caad245563b9.gif)](https://www.cisco.com/c/en/us/solutions/collateral/artificial-intelligence/mass-scale-infrastructure/day-in-the-life-of-a-prompt.html?ref=innasiec.pl) Przez lata mówiliśmy, że opóźnienia sieciowe to przy AI drugorzędna sprawa. To się zmienia — i warto zrozumieć, dlaczego akurat teraz. Prompt zanim dotrze do GPU, pokonuje długą drogę. Przechodzi przez stos TCP/TLS, API gateway (Kong, Envoy, AWS API Gateway), LLM router wybierający model i region, a dopiero potem trafia do warstwy inference — gdzie tokenizacja na CPU poprzedza właściwe obliczenia na GPU. Kluczowe rozróżnienie: istnieją tu **dwie zupełnie różne sieci**. Ruch north-south (żądanie użytkownika) oparty na HTTP/TCP/TLS, obsługiwany przez CPU. Oraz fabric east-west (między GPU) — NVLink, InfiniBand lub RoCE z RDMA, całkowicie omijający klasyczny stos IP. To nie są warianty tej samej sieci — to odrębne domeny o różnych charakterystykach i problemach. Całkowita latencja odpowiedzi to: **TTFT + (N-1) × ITL**, gdzie TTFT (Time to First Token) składa się z czasu kolejkowania, tokenizacji, fazy prefill i opóźnienia sieciowego. W praktyce dominuje kolejkowanie i prefill — łącznie 300+ ms przy obciążonym klastrze. Sieć WAN dodaje 20–80 ms. Przy takich proporcjach 40 ms RTT to szum statystyczny. Dlatego przez lata latencja sieciowa była dla AI nieistotna. Nowe generacje sprzętu do inference radykalnie obniżają ITL. Najszybsze obecnie systemy schodzą poniżej 0,5 ms/token, a trend jest jednoznaczny — w ciągu dwóch, trzech lat ITL stanie się marginalny. Drugi czynnik to **agentic AI**. Jeden request użytkownika może wygenerować 100 sekwencyjnych wywołań LLM. Przy takim modelu całkowita latencja to w uproszczeniu: 200 × NL2 + 100 × TTFT + 100 × N × ITL. Przy NL2 = 50 ms i wolniejszym sprzęcie, sieć odpowiada za mniej niż 10% całkowitego czasu. Przy najszybszym dostępnym sprzęcie inference — już za 25–45%. I ten udział będzie rósł. ### Inferencja będzie musiała zbliżyć się do użytkowników. Scentralizowane klastry GPU w kilku lokalizacjach przestaną wystarczać dla aplikacji agentic. Rozproszone architektury inference — edge, metro, core — to nie odległa przyszłość, to kierunek, w którym branża już zmierza. Dla service providerów to konkretna szansa: możliwość dostarczania infrastruktury inference z gwarantowaną niską latencją stanie się elementem portfolio, nie dodatkiem. Zasady, które znasz z projektowania sieci o niskiej latencji — traffic engineering, locality, distributed systems — bezpośrednio przekładają się na projektowanie infrastruktury AI. To nie jest nowy problem. To znajomy problem w nowym opakowaniu. --- ## Testowanie Segment Routingu [GitHub - segmentrouting/srv6-mrc-emulatorContribute to segmentrouting/srv6-mrc-emulator development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/favicon-3e9aeeb0-2f0e-4ed7-a312-03d1058910de.png)GitHubsegmentrouting![](https://innasiec.pl/content/images/thumbnail/srv6-mrc-emulator-da29fbff-3870-47f1-9f57-c2071a5bd8c5)](https://github.com/segmentrouting/srv6-mrc-emulator?ref=innasiec.pl) INFO: Narzędzie służy do symulowania wielościeżkowych, niezawodnych połączeń MRC w sieci korzystającej z dataplane’u SRv6 uSID. Możesz użyć go do testowania wieloplanowej architektury sieci, alokacji uSID, enkapsulacji i dekapsulacji na hostach oraz rozkładu pakietów między ścieżkami. Simulator wdraża topologię Clos opartą na Containerlab i dockerowanych instancjach SONiC-VS, a także hosty Alpine Linux. Umożliwia uruchamianie scenariuszy ruchu, pomiary strat, opóźnień i zmian kolejności pakietów, monitorowanie stanu poszczególnych ścieżek oraz wstrzykiwanie awarii interfejsów i węzłów. Do zarządzania laboratorium służy narzędzie `srctl`, a opcjonalny dashboard Grafany pozwala obserwować równoważenie ruchu i wpływ awarii w czasie rzeczywistym. --- ## Segment Routing od Nokia [GitHub - sros-labs/ebooks: SR OS eBooksSR OS eBooks. Contribute to sros-labs/ebooks development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/favicon-cfbd4761-9f30-44b8-a558-79409a92996e.png)GitHubsros-labs![](https://innasiec.pl/content/images/thumbnail/ebooks-0b5333e4-774a-4670-82e7-d325a28341d1)](https://github.com/sros-labs/ebooks?ref=innasiec.pl) INFO: Publiczne repozytorium GitHub zawiera e-booki o rozwiązaniach SR OS firmy Nokia. Znajdziesz w nim m.in. materiały o Segment Routing oraz routingu i usługach z wykorzystaniem BGP. Autor zaznacza, że publikacje przedstawiają jego własne opinie i wyniki testów, dlatego nie są oficjalną dokumentacją Nokii — tej należy szukać na stronie documentation.nokia.com. --- ## Jak multicast działa w EVPN _This post is for paying subscribers only._ ### 📬 ISN 255: Sieć dla Klastra AI, Modbus TCP w Praktyce i Kontrola Zmian w NetBox! URL: https://innasiec.pl/isn-255-siec-dla-klastra-ai-modbus-tcp-w-praktyce-i-kontrola-zmian-w-netbox/ Last updated: 2026-09-13T19:12:23.000Z ## Projektowanie sieci DC Większość dyskusji o architekturze data center zaczyna się od wyboru protokołu routingu lub topologii. To błąd, który kosztuje – i to drogo. **Sieć istnieje dla aplikacji, nie odwrotnie** Sieć nie generuje przychodu. Generuje koszty. Jej jedyną rolą jest transport danych aplikacji w sposób spełniający wymagania biznesowe. Zanim wybierzesz EBGP vs OSPF w underlay, odpowiedz na pytania: jakie aplikacje będą działać na tej infrastrukturze, jakie są ich wzorce ruchu i jakie masz priorytety w przypadku konfliktów wymagań? Typ data center radykalnie zmienia odpowiedzi. Enterprise DC, HPC, AI cluster i hyperscaler to cztery zupełnie różne bestie – każda wymaga innych kompromisów. RFC 7938 (BGP w large-scale DC) to dobry przykład dokumentu, który warto znać. Ale jego pierwsze zdanie brzmi: *"Some network operators build and operate data centers that support over 100,000 servers."* To 2500 rackow i 2500 leaf switchy przy standardowym ToR design. Jeśli twój fabric ma 100 leafów – to nie twoja skala, nie twoje problemy do rozwiązania. Dobry dokument referencyjny zawsze określa skalę i listę problemów, które rozwiązuje. Jeśli widzisz tylko slogan "best practice" bez uzasadnienia – szukaj dalej. Projektowanie DC to jednoczesne żonglowanie trzema domenami: **Fizyczna warstwa:** radix spine'ów (fixed vs modular), współczynnik oversubscription, algorytm ECMP, rozmiar buforów, kablowanie i optyka, zużycie energii. **Control plane:** underlay (IPv4/IPv6, OSPF/IS-IS/EBGP), overlay (EVPN z VXLAN/Geneve/MPLS), rozmieszczenie route reflectorów przy IBGP, timery BFD, granulacja failure domain – jeden duży fabric czy pody? **Operacje i biznes:** monitoring i telemetria, strategia upgradów, automatyzacja (jakie API eksponują switche), integracja z hypervisorami, vendor lock-in, CapEx i OpEx. Żadna z tych warstw nie jest ważniejsza od pozostałych. Ignorowanie którejkolwiek na etapie designu oznacza problemy w produkcji. Wymagania często są ze sobą sprzeczne. Zaawansowane feature'y security od jednego vendora = głęboki lock-in. Dual ToR per rack = wyższe koszty i mniejsza gęstość serwerów. Nie istnieje design, który maksymalizuje wszystko jednocześnie. Praktyczna zasada: zidentyfikuj wymagania krytyczne dla sieci i sprawdź, które z pozostałych można przenieść do innej domeny. HA można oddelegować na poziom aplikacji. Security można przesunąć na hypervisor lub host. To zwalnia zasoby network layer na to, co faktycznie musi być tam obsługiwane. --- ## Podstawy modbus tcp [Modbus Fundamentals | Weberblog.net![](https://innasiec.pl/content/images/icon/cropped-webernetz-logo-4-icon-2000x2000-1-270x270-ff095f6e-efbd-4fb9-9081-4bcec0815dc5.png)Weberblog.netMartin Mayer![](https://innasiec.pl/content/images/thumbnail/Modbus-Fundamentals-featured-image-604x270-814765b8-3536-46c6-b80f-0d08f8fbd5b4.jpg)](https://weberblog.net/modbus-fundamentals/?ref=innasiec.pl) Modbus to protokół z lat 70., który wciąż dominuje w sieciach przemysłowych. Jeśli pracujesz z segmentami OT/ICS, wcześniej czy później trafisz na ten ruch w Wiresharku — i lepiej wiedzieć, co widzisz. Modbus/TCP to klasyczny Modbus/RTU z dwoma modyfikacjami: usunięto pole CRC (integralność zapewnia TCP) i dodano nagłówek MBAP. Nagłówek niesie Transaction ID, Protocol ID, długość danych oraz Unit ID. Unit ID to pozostałość po architekturze master/slave z magistral szeregowych. W czystym Modbus/TCP jest zazwyczaj ignorowany, ale nabiera znaczenia przy bramkach TCP↔RTU lub w implementacjach vendorskich — nie pomijaj go przy debugowaniu. **Cztery typy danych i ich pułapki** Modbus adresuje cztery bloki danych: - **Coils** — wyjścia binarne (R/W), np. przekaźniki - **Discrete Inputs** — wejścia binarne (R/O), np. alarmy - **Input Registers** — rejestry 2-bajtowe (R/O), np. pomiary - **Holding Registers** — rejestry 2-bajtowe (R/W), np. setpointy Kluczowa pułapka adresowania: ten sam adres fizyczny (np. 44) w zależności od użytego function code'a wskazuje na różny blok danych. FC3 czyta Holding Registers, FC4 czyta Input Registers z tego samego adresu — i mogą zwrócić różne wartości. Dokumentacja vendora z prefiksami (0xxxxx, 1xxxxx, 3xxxxx, 4xxxxx) i notacją 6-cyfrową eliminuje tę niejednoznaczność. Modbus nie przekazuje żadnej informacji o typie danych. Rejestr to zawsze 2 bajty (jeden word). Jeśli wartość jest float32, zajmuje dwa kolejne rejestry — i musisz wiedzieć o tym z dokumentacji, nie z pakietu. Wireshark pozwala przełączać reprezentację danych w dissectorze Modbus (INT16, UINT32, FLOAT32 itd.), co przy analizie ruchu OT oszczędza sporo czasu. Warto znać ten feature. Dodatkowy aspekt: kolejność bajtów i word order przy wartościach wielorejestrowych nie jest ustandaryzowana. Big-endian, little-endian, swapped words — każdy vendor może zrobić to inaczej. Jeśli chcesz przećwiczyć analizę na realnych pakietach — autor artykułu udostępnia publiczny plik PCAP z przykładami Modbus/TCP w ramach projektu "Ultimate PCAP". --- ## Testowanie BGP [David Leonard / gobgp-blaster · GitLabA GoBGP-driven BGP testing suite for lab and platform validation.![](https://innasiec.pl/content/images/icon/favicon-72a2cad5025aa931d6ea56c3201d1f18e68a8cd39788c7c80d5b2b82aa5143ef-6ddfe7f2-bd3a-4b5a-b0f8-f0924673694d.png)GitLab![](https://innasiec.pl/content/images/thumbnail/avatar-6e1b2d71-e0a6-4cb6-9a5f-ff216fd07ac9.png)](https://gitlab.com/dleonard515/gobgp-blaster?ref=innasiec.pl) INFO: GoBGP Blaster to narzędzie do testowania sieci BGP w laboratorium. Pozwala generować i odtwarzać trasy, dodawać atrybuty, których standardowy GoBGP nie obsługuje — m.in. RFC 8669 Label-Index i Originator SRGB — oraz mierzyć czas zbieżności, opóźnienia i straty pakietów. Obsługuje rzeczywiste tablice routingu z RouteViews i RIPE RIS, testy na dużą skalę, scenariusze YAML z progami dla CI oraz interfejs CLI i panel webowy. Narzędzie współpracuje ze standardowym `gobgpd`, oferuje gotowe laboratoria Containerlab dla Nokia SR Linux i Cisco IOS-XR, a także mechanizmy bezpieczeństwa, takie jak ograniczenie adresów, tryb podglądu i dziennik operacji. To propozycja dla osób, które chcą sprawdzać zachowanie routerów i platform sieciowych bez instalowania dodatkowego oprogramowania na testowanym urządzeniu. --- ## Kontrola zmian w Netbox [Home - NetBox Change ControlPolicy-driven change control and mandatory review for NetBox branches.![](https://innasiec.pl/content/images/icon/favicon-b50628a9-def2-4eac-882d-756c3ba37c49.png)NetBox Change ControlAntoine Keranflech![](https://innasiec.pl/content/images/thumbnail/change-request-detail-4b8ebb75-3a1c-45df-9eb7-d19832da2623.png)](https://antoinekh.github.io/netbox-change-control/?ref=innasiec.pl) Wtyczka do NetBoxa wprowadza kontrolę zmian opartą na politykach i obowiązkowych przeglądach. Pozwala pracować na branchach, otwierać pull requesti przypisywać wymaganych recenzentów oraz blokować scalanie do czasu uzyskania odpowiedniej liczby akceptacji. Niezależnie działają kontrole przed scaleniem, które mogą odmówić połączenia zmian nawet wtedy, gdy wszyscy wymagani reviewerzy je zatwierdzili. Wtyczka umożliwia też dodawanie własnych kontroli i integrację z zewnętrznymi systemami. Jest darmowa, dostępna na licencji MIT i przeznaczona dla NetBoxa 4.7; wersja dla NetBoxa 4.6 znajduje się w osobnej linii wydań. Projekt nie jest jeszcze stabilny, nie ma oficjalnego wsparcia NetBox Labs. --- ## Sieć dla klastra AI on-prem _This post is for paying subscribers only._ ### 📬 ISN 254: Dlaczego Meta Usunęła IPv4? Plus Generator NetFlow i MTU Path Discovery! URL: https://innasiec.pl/isn-254-dlaczego-meta-usunela-ipv4-plus-generator-netflow-i-mtu-path-discovery/ Last updated: 2026-08-31T08:00:42.000Z ## PTP Grandmaster za 103 dolary [Stratum 1 PTP Grandmaster: CM4 + SR1723U10 (Part 1)Building a GPS-disciplined PTP grandmaster from a Raspberry Pi CM4 and SR1723U10 GPS module. Part 1 of the homelab PTP series.![](https://static.ghost.org/v5.0.0/images/link-icon.svg)Opscode - Linux & Infrastructure EngineeringMalcolm Frazier![](https://innasiec.pl/content/images/thumbnail/og-default-0d05e1ce-cc7c-48a5-8126-1cdd9436bc01.png)](https://opscode.io/posts/ptp-grandmaster-cm4-sr1723u10/?ref=innasiec.pl) Komercyjne grandmastery PTP z synchronizacją GPS kosztują od kilku tysięcy dolarów wzwyż. Autor tego projektu zbudował funkcjonalny odpowiednik za 103 USD w nowych częściach, używając Raspberry Pi CM4 i modułu GPS SR1723U10. Kluczowa obserwacja: PHY BCM54210PE w CM4 ma pełne wsparcie dla IEEE 1588v2 hardware timestamping. Timestamps powstają bezpośrednio w warstwie PHY, przed dotknięciem stosu sieciowego kernela. To eliminuje jitter wynikający z schedulingu i obsługi przerwań – i robi realną różnicę w wynikach. Ukończony grandmaster osiąga średnio 6 ns odchylenia od czasu GPS (max 18 ns). Klienci PTP w tej samej sieci: - CM4 z BCM54210PE: ±66 ns niepewności - RK1 (Rockchip GMAC, timestamping na warstwie MAC): ±291 ns Dla porównania – LAN NTP z tego samego grandmastera daje ±79–172 µs, a WAN NTP publiczne poole ±40–82 ms. Każda warstwa to mniej więcej 1000x gorsze wyniki. Grandmaster podpięty do konsumenckiego routera TP-Link zamiast bezpośrednio do switcha Turing Pi: path delay skoczył z 2,6 µs do 480 µs, a offsety klientów wahały się w zakresie ±700 µs. To 180-krotna różnica tylko przez jeden dodatkowy hop przez software-owy routing. Jeśli wdrażasz PTP w środowisku produkcyjnym, hardware switch z sprzętowym forwarding to nie opcja – to wymóg. Zanim zaczniesz bawić się tym stackiem (SatPulse + ptp4l + chrony), zapamiętaj dwa problemy nieudokumentowane w oficjalnych przewodnikach: **BCM54210PE SYNC\_OUT pin bug** – przy każdym bootowaniu sterownik inicjalizuje pin SYNC\_OUT jako wyjście zamiast wejście. SatPulse nie odbiera wówczas sygnału PPS i grandmaster jest nieoperacyjny. Fix: wymusić toggling stanu pinu przed startem SatPulse przez ExecStartPre w systemd. **Ubuntu 22.04 nie ma PHC** – wsparcie dla PTP w kernelu raspi pojawiło się, ale nie trafiło do Ubuntu 22.04\. Bez `/dev/ptp0` cały stack odpada. Wymagany jest Ubuntu 24.04 z kernelem 6.8.0-raspi. Test holdover (10 godzin bez sygnału GPS) pokazał drift do 15 ms – akceptowalny w środowiskach laboratoryjnych i wielu scenariuszach przemysłowych. Klienci PTP przez całe 10 godzin pozostali zsynchronizowani z grandmasterem, nie przełączając się na WAN NTP. Jeśli jednak potrzebujesz gwarancji dokładności przy zaniku GPS lub zaniku zasilania, potrzebujesz sprzętu z TCXO lub OCXO. CM4 ma standardowy kryształ bez kompensacji temperaturowej – i tu kończy się oszczędność. --- ## Skrypty Pythona, które nie wstydzą się produkcji [Scripting good practices in PythonAnd a lot of it works in other languages too![](https://innasiec.pl/content/images/icon/https-3A-2F-2Fsubstack-post-media.s3.amazonaws.com-2Fpublic-2Fimages-2Fa7441b6f-b13e-4d1a-920e-effcefc56e3a-2Ffavicon-48x48-643710b7-b7b4-406e-9799-d528c5fc9111.png)Bite code!Bite Code!![](https://innasiec.pl/content/images/thumbnail/https-3A-2F-2Fsubstack-post-media.s3.amazonaws.com-2Fpublic-2Fimages-2F27cf7629-5a4a-41da-afb8-a845475dbc8d_1090x665-949ca5c9-e8af-43da-912e-a2e7e5bf118f.png)](https://www.bitecode.dev/p/scripting-good-practices-in-python?ref=innasiec.pl) Większość skryptów, które widzimy w środowiskach produkcyjnych, to prowizorki — działają, ale przy pierwszym problemie są niemożliwe do debugowania. Kilka prostych zasad zmienia to diametralnie. **Sekrety i konfiguracja: hierarchia ma znaczenie** Nigdy nie przekazuj tokenów jako argumentów CLI — lądują w historii shella. Właściwy przepływ to: zmienna środowiskowa → OS keyring (biblioteka `keyring`) → `getpass` jako ostateczność. Przy kolejnym uruchomieniu token jest już w keyring i użytkownik nie musi nic robić. Konfigurację ładuj zawsze w tej samej kolejności priorytetu (od najwyższego): - argument CLI przekazany ręcznie - zmienna środowiskowa - lokalny plik konfiguracyjny - wartość domyślna Argparse obsługuje to elegancko: `default=int(os.getenv("YOUR_SCRIPT_RETRY", 3))`. Env var nadpisuje default, CLI nadpisuje env var. Zero niejednoznaczności. **Print vs log: rozdziel te dwie rzeczy** `print()` jest dla użytkownika skryptu. Logging jest dla dewelopera — czyli Ciebie za trzy miesiące, gdy coś się posypie o 2 w nocy. Kluczowy trick: domyślnie ustaw poziom logowania na `9999`, czyli de facto wyłączony. Logi włącza użytkownik przez zmienną środowiskową: ``` YOUR_SCRIPT_LOG_LEVEL=ERROR python script.py ``` Bez tego skrypt jest czysty. Z tym — pełna widoczność. Nie decydujesz za użytkownika, gdzie zapisać logi — jeśli potrafi ustawić env var, potrafi też zrobić przekierowanie w shellu. **Koniecznie: czysty exit i obsługa crashy** Stack trace wyrzucony prosto na terminal to antywzorzec. Użytkownik nie wie, co z tym zrobić, a Ty ujawniasz szczegóły implementacji. Zamiast tego użyj `sys.excepthook`: ```python def on_crash(exctype, value, tb): if logging.getLogger().isEnabledFor(logging.ERROR): logging.error("Uncaught exception", exc_info=(exctype, value, tb)) else: print("Nieoczekiwany błąd. Ustaw LOG_LEVEL=ERROR, żeby zobaczyć szczegóły.") sys.excepthook = on_crash ``` Domyślnie użytkownik widzi czytelny komunikat. Developer włącza logi i dostaje pełny traceback. `sys.exit("komunikat")` zamiast wyjścia bez kodu — automatycznie zwraca kod 1, co pozwala skryptom powłoki podejmować decyzje. Jedna rzecz, którą możesz wdrożyć dziś: dodaj `sys.excepthook` do każdego skryptu używanego przez innych. To pięć linii kodu, które eliminują kategorię zgłoszeń "skrypt się wysypał i nie wiem dlaczego". --- ## Generator konfigu NetFlow [NetFlow Config Generation Tool for Security Analytics!NetFlow Configuration Generation tool helps you check about NetFlow support and can provide you with the Configuration to enable NetFlow on your Cisco and other Network Platforms for doing Security Analytics![](https://innasiec.pl/content/images/icon/favicon-79f4ccb8-92cf-4b7b-8aab-50f473bd9db9.ico)](https://configurenetflow.info/?ref=innasiec.pl) Narzędzie służy do sprawdzania obsługi NetFlow oraz generowania konfiguracji telemetryki przepływów dla różnych platform sieciowych, m.in. Cisco, Fortinet, Check Point, Meraki i VMware. Może pomóc w przygotowaniu urządzeń do analiz bezpieczeństwa, ale ponieważ konfiguracje pochodzą ze źródeł społecznościowych i nie są oficjalnie zatwierdzone, przed wdrożeniem trzeba zweryfikować je w dokumentacji producenta. Projekt jest hobbystyczny i udostępniany bez gwarancji ani wsparcia. --- ## Sprawdź MTU na ścieżce [GitHub - FryguyPA/path\_mtu\_test: Quick scripts for testing path mtu using either python, powershell or bash. Useful for troubleshooting path MTU issues in a networkQuick scripts for testing path mtu using either python, powershell or bash. Useful for troubleshooting path MTU issues in a network - FryguyPA/path\_mtu\_test![](https://innasiec.pl/content/images/icon/favicon-6dd82b80-fc7b-47a3-9dad-bcfedfad353d.png)GitHubFryguyPA![](https://innasiec.pl/content/images/thumbnail/path_mtu_test-801065a8-4991-4354-be17-87c6ce72bb3d)](https://github.com/FryguyPA/path%5Fmtu%5Ftest?ref=innasiec.pl) MTU Path Test to narzędzie diagnostyczne do sprawdzania maksymalnego rozmiaru pakietów na kolejnych odcinkach trasy do jednego lub wielu adresów. Wysyła podwójne testy ICMP — z ustawioną flagą DF oraz z możliwością fragmentacji — dzięki czemu pomaga wykryć problemy z dużymi pakietami, ustalić miejsce fragmentacji i sprawdzić, czy ruch nadal dociera do celu. Narzędzie jest dostępne w wersjach Python, Bash, PowerShell i Go, więc można używać go na macOS, Linuxie oraz Windowsie, także na komputerach bez dodatkowych środowisk uruchomieniowych. Wyniki są prezentowane w formie drzewa trasy, a opcjonalnie zapisywane do osobnych plików logów. --- ## Meta usunęła IPv4 z infrastruktury edge _This post is for paying subscribers only._ ### 📬 ISN 253: Wnętrze IXP, Route Reflectory w IP-MPLS i Własny Looking Glass! URL: https://innasiec.pl/isn-253-wnetrze-ixp-route-reflectory-w-ip-mpls-i-wlasny-looking-glass/ Last updated: 2026-08-24T08:00:41.000Z ## Co tak naprawdę dzieje się wewnątrz IXP? [What Actually Happens Inside an Internet Exchange Point — And Why You Should CareI was explaining IXP peering to a colleague last week and realized something: most network engineers - even experienced ones - have never thought about what’s inside the exchange. We configure eBGP to a peer, traffic flows, and that’s it.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-2a0c1f8b-d03e-4abb-9a4d-5798a7b78011)LinkedInRenato Gentil![](https://innasiec.pl/content/images/thumbnail/linkedin-bug-color-6e508261-c6e6-454f-852a-7ce9cd4c266d.png)](https://www.linkedin.com/pulse/what-actually-happens-inside-internet-exchange-point-why-gentil--w4w0e/?ref=innasiec.pl) Większość inżynierów traktuje Internet Exchange Point jak czarną skrzynkę. Konfigurujesz eBGP do peera, ruch płynie — i tyle. Warto wiedzieć, co jest w środku, bo architektura IXP bezpośrednio przekłada się na decyzje projektowe w sieciach SP i DC. Fizycznie IXP to przełącznik Layer 2, do którego podłączają się różne AS-y. Wszyscy członkowie siedzą na tej samej sieci peering LAN (np. 198.18.0.0/24). Nie ma dedykowanych VLANów per peer. Kto z kim rozmawia — decyduje wyłącznie konfiguracja BGP. IXP dostarcza trzy rzeczy: port fizyczny, adres IP na shared peering LAN i opcjonalnie route server. Polityka routingu, filtrowanie prefixów, community — to Twoja sprawa. Ekonomia jest prosta: port 100GE w dużym IXP kosztuje 2–5 tys. USD miesięcznie. Ten sam wolumen tranzytu od Cogent lub Lumen — kilkanaście razy więcej. Dlatego przychody tranzytowe spadają od dekady. IXP z 500 członkami oznacza potencjalnie 500 sesji eBGP na Twoim routerze. Route server eliminuje ten problem — peerujesz z jedną instancją, która redystrybuuje trasy od wszystkich pozostałych uczestników. Kluczowy szczegół: RS działa w trybie transparentnym. Nie modyfikuje AS-path, nie wstawia własnego AS, zachowuje wszystkie community. Twój router widzi trasy jakby origin AS był bezpośrednim perem. Route serwery w IXP to zazwyczaj Linux z BIRD lub OpenBGPD. Żaden Cisco, żaden Juniper — czyste control-plane, zero forwardingu. **Duże IXP: SR + EVPN zamiast legacy L2** Tu robi się technicznie ciekawie. DE-CIX Frankfurt działa w ponad 30 lokalizacjach w mieście. AMS-IX, LINX — podobnie. Problem: jeden peering VLAN musi być rozciągnięty między dziesiątkami budynków na ciemnym włóknie. Stare podejście (Q-in-Q, VPLS, długie trunki L2) generowało problemy: STP nie skalował się, eksplozja tablic MAC, słaba izolacja awarii. DE-CIX w grudniu 2022 zakończył globalną migrację do EVPN (Peering LAN 2.0), wdrożoną live na wszystkich lokalizacjach. Architektura wygląda następująco: - **Underlay**: IS-IS + SR-MPLS między przełącznikami IXP - **Overlay**: MP-BGP EVPN (ELAN) — MAC learning przez control plane, bez floodingu - **Co widzi member**: zwykły VLAN L2, ARP działa normalnie Efekty mierzalne: 25% redukcja CPU na routerach członków (koniec z broadcast ARP od 2600 innych uczestników), MAC withdrawal przez BGP zamiast timerów starzenia, natywny multi-homing przez EVPN Ethernet Segment bez MC-LAG. --- ## Route Reflektory w IP-MPLS [Why Route Reflectors Are Non-Negotiable in Modern IP-MPLS NetworksIn large-scale telecommunications and service provider architectures such as the IPCORE mobile backhaul and multi-tenant backbone, the demand for scalable routing is paramount. While the data plane forwards high-bandwidth traffic from Cell Site Gateways (CSG) to the Core Datacenter, the control plan![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-999564fb-5551-44ed-810d-33e6fa8dc398)LinkedInAbdulqadir Babagana Musa![](https://innasiec.pl/content/images/thumbnail/linkedin-bug-color-5bcce1cf-d5dd-4f87-8844-9782d3756797.png)](https://www.linkedin.com/pulse/why-route-reflectors-non-negotiable-modern-ip-mpls-babagana-musa-hy83e/?ref=innasiec.pl) W sieci z setkami PE-routerów pełna siatka iBGP to pewna droga do operacyjnego chaosu. Jeśli jeszcze jej nie wyeliminowałeś, ten artykuł jest dla Ciebie. BGP wymaga, żeby router nie propagował trasy odebranej od jednego peera iBGP do innego. Konsekwencja? Full-mesh. Wzór jest bezlitosny: **N × (N - 1) / 2** Przy 500 PE-routerach to **124 750 sesji iBGP**. Każda sesja to osobna konfiguracja, osobna para TCP, osobny narzut na CPU i pamięć. A każdy nowy PE oznacza aktualizację konfiguracji na wszystkich pozostałych. W praktyce taka sieć przestaje być zarządzalna znacznie wcześniej niż osiągnie limit sprzętowy. Route Reflektor przełamuje regułę no-readvertise dla iBGP. PE-router ogłasza trasę do RR, a ten odbija ją do pozostałych klientów. Zamiast pełnej siatki, każdy PE utrzymuje sesje wyłącznie z RR. Ten sam przykład z 500 PE przy dwóch RR-ach: **500 × 2 = 1 000 sesji** To redukcja o ponad 99%. Każdy nowy PE to dwie nowe sesje, nie pięćset. Pętlom zapobiegają atrybuty **ORIGINATOR\_ID** i **CLUSTER\_LIST** — RR oznacza trasę swoim cluster-id, a router odrzuca update, jeśli rozpozna własny identyfikator na liście. To kwestia, która regularnie wywołuje nieporozumienia podczas projektowania. RR dystrybuuje informacje o trasach, ale **nie uczestniczy w przesyłaniu ruchu użytkownika**. Gdy PE2 odbierze trasę od RR, traffic idzie bezpośrednio przez core MPLS: **CE → PE2 → P2 → P1 → PE1 → CE** RR nie leży na ścieżce danych. To oznacza, że możesz go posadzić na dedykowanym, wysokodostępnym serwerze bez kart linii i portów 100G. Liczy się moc obliczeniowa i pamięć do obsługi pełnej tablicy BGP — nie przepustowość. **Co warto zweryfikować w swojej sieci** Jeśli zarządzasz siecią operatorską lub backbone'em korporacyjnym, sprawdź trzy rzeczy: - **Redundancja RR** — dwa RR w oddzielnych lokalizacjach fizycznych i domenach awarii. Utrata jedynego RR izoluje PE od dystrybucji tras. - **Cluster design** — w bardzo dużych sieciach hierarchiczne klastry RR (confederation lub multi-level RR) pozwalają dalej skalować bez koncentrowania całej tablicy BGP w jednym miejscu. - **Separacja adresowa RR** — loopback RR powinien być dostępny przez IGP niezależnie od stanu jakiegokolwiek pojedynczego łącza. --- ## Stwórz looking glass [GitHub - thatmattlove/hyperglass: hyperglass is the network looking glass that tries to make the internet better.hyperglass is the network looking glass that tries to make the internet better. - thatmattlove/hyperglass![](https://innasiec.pl/content/images/icon/favicon-83e4dd7a-b783-4dd7-a363-f34a9c12dcb7.png)GitHubthatmattlove![](https://innasiec.pl/content/images/thumbnail/b15c9000-1163-11eb-9296-9c84eec98974-4a069240-1c02-4476-bc98-760c15406abf)](https://github.com/thatmattlove/hyperglass?ref=innasiec.pl) Hyperglass to narzędzie do tworzenia looking glassów, czyli publicznych paneli pozwalających sprawdzać informacje o routingu i wykonywać testy sieciowe z infrastruktury operatora. Użytkownicy mogą między innymi analizować trasy BGP, społeczności BGP i ścieżki AS, a także uruchamiać polecenia ping oraz traceroute. Serwis obsługuje IPv4 i IPv6, wiele popularnych platform sieciowych, zapytania do kilku urządzeń jednocześnie, proxy SSH, filtrowanie dozwolonych celów oraz REST API z dokumentacją OpenAPI. Interfejs można szeroko dostosować, dlatego hyperglass sprawdzi się u operatorów, dostawców usług i innych administratorów, którzy chcą udostępnić klientom lub społeczności wygodny podgląd działania swojej sieci. --- ## Worbooki do JNCIA [Setup | JNCIA-Junos Workbook![](https://innasiec.pl/content/images/icon/icon-958f96f3-77ee-4416-a637-3cfe7457c402)JNCIA-Junos Workbook![](https://innasiec.pl/content/images/thumbnail/YHDyvr5rbkhwJmw17sm7-c9739926-8e02-4d6b-aac7-35e365b43182)](https://jncia-workbook.gitbook.io/workbook?ref=innasiec.pl) Praktyczny workbook do nauki JNCIA-Junos, oparty na laboratoriach uruchamianych w containerlab. Dostajesz gotowe topologie, konfiguracje i instrukcje, dzięki którym możesz ćwiczyć obsługę vJunos-Router i vJunos-Switch bez ręcznego tworzenia środowiska w EVE-NG lub GNS3\. Po jednorazowej instalacji containerlab, wymaganych obrazów i repozytorium laboratoria uruchomisz szybko, a konfiguracje możesz przechowywać i wersjonować razem z kodem. To wygodny sposób na regularną naukę Junosa, automatyzację pracy przez SSH i przygotowanie do egzaminu JNCIA-Junos. --- ## Własny ASN _This post is for paying subscribers only._ ### 📬 ISN 252: VRF Sandwich, Największy Problem Automatyzacji i Szyfrowanie Overlay! URL: https://innasiec.pl/isn-252-vrf-sandwich-najwiekszy-problem-automatyzacji-i-szyfrowanie-overlay/ Last updated: 2026-08-17T08:00:36.000Z ## VRF Sandwich Service insertion w EVPN to temat, który wraca przy każdym projekcie data center wymagającym inspekcji ruchu east-west. VRF Sandwich to eleganckie rozwiązanie — ale ma kilka pułapek, które potrafią zaskoczyć nawet doświadczonych inżynierów. Idea jest prosta: umieszczasz źródłowy i docelowy endpoint w osobnych VRF-ach (np. VRF A i VRF B), a firewall staje się jedynym punktem łączącym te VRF-y. Każdy interfejs firewalla trafia do odpowiedniego VRF-a, a routing między VRF-ami odbywa się przez eBGP. Ruch między endpointami musi fizycznie przejść przez firewall — nie ma innej drogi. W praktyce konfiguracja na border leafie sprowadza się do przypisania interfejsów do VRF-ów i uruchomienia sesji eBGP z firewallем w każdym VRF-ie osobno. Tu zaczyna się najciekawsza część. EVPN fabric działa w jednym AS (np. 65000). Border leaf wysyła prefix do firewalla z tym AS w ścieżce. Firewall odsyła prefix do border leafa w drugim VRF-ie — ale AS 65000 nadal siedzi w AS path. Border leaf widzi własny AS, odrzuca prefix. Ruch nie działa. Masz dwa wyjścia: - **AS Override** na firewallu — zastępuje AS fabric swoim własnym AS przed readvertisementem. Konfigurujesz tylko na urządzeniu zewnętrznym, zakres zmian minimalny. - **allowas-in** na fabric — pozwala VTEPom akceptować prefiksy z własnym AS w ścieżce. Musisz to skonfigurować wszędzie: na route reflectorach i wszystkich uczestniczących VTEPach. Słabo skalowalne. Rekomendacja: AS Override na firewallu. Mniejszy blast radius, łatwiejszy audyt. **Uwaga na FRR:** domyślnie wymaga jawnej polityki dla eBGP (RFC 8212) i nie implementuje split-horizon dla eBGP. Bez `no bgp ebgp-requires-policy` i `neighbor X solo` możesz spędzić godzinę debugując, dlaczego sesja jest up, ale prefiksy nie przechodzą. Active-active cluster firewalli wygląda świetnie na papierze — dopóki nie zauważysz, że request poszedł przez node 1, a response wraca przez node 2\. Jeśli klaster nie synchronizuje stanu sesji, node 2 nie zna tego flow i blokuje ruch. Rozwiązanie: symmetric hashing na fabric wymusza, że oba kierunki tego samego flow trafiają do tego samego node. Alternatywnie — klaster z pełną synchronizacją stanu, ale to już odpowiedzialność po stronie security team. VRF Sandwich działa dobrze przy małej liczbie VRF-ów. Przy skali pojawiają się problemy: każdy VRF wymaga dedykowanych interfejsów i osobnych sesji BGP z firewallем. Przy 10+ VRF-ach zarządzanie tym staje się uciążliwe. Selektywna inspekcja przez filtrowanie BGP jest możliwa, ale krucha. --- ## Największy problem z automatyzacją sieci [The Single Most Expensive Misconception in Network Automation TodayNetwork automation succeeds when engineers automate networks, not when organizations rebuild automation platforms from scratch.![](https://innasiec.pl/content/images/icon/apple-touch-icon-772db0b7-d729-4108-b98d-48c2574a4cc8.png)Techstrong ITTim Schreyack![](https://innasiec.pl/content/images/thumbnail/NetworkAutomation-Large-e1782940371934-712dae30-af82-4f3c-b9b1-4701ae7f0e5a.jpeg)](https://techstrong.it/contributed-content/the-single-most-expensive-misconception-in-network-automation-today/?ref=innasiec.pl) Twój zespół spędził 18 miesięcy na budowanie wewnętrznej platformy automatyzacji. Teraz połowa inżynierów sieciowych zarządza backlogiem dla developerów zamiast zajmować się siecią. Brzmi znajomo? Branża popełnia systematyczny błąd: gdy pojawia się potrzeba automatyzacji provisioning'u czy auto-remediacji, domyślną odpowiedzią staje się "zatrudnijmy deweloperów i zbudujmy to sami." Logika jest pozornie sensowna — unikamy vendor lock-in, mamy pełną kontrolę. W praktyce zamieniasz zależność od dostawcy na zależność od dwóch-trzech inżynierów, którzy rozumieją wewnętrzny codebase. Gdy odejdą, odchodzi razem z nimi wiedza o architekturze systemu obsługującego produkcję. Nikt nie buduje własnej Grafany ani Prometheusa od zera. Ale przy automatyzacji sieci nagle przyjmujemy, że musimy tworzyć wszystko samodzielnie. To niespójność, która kosztuje miliony. Network Automation Forum w swoim badaniu z 2025 roku potwierdza: 92% organizacji buduje automatyzację przy użyciu inżynierów sieciowych z umiejętnościami programistycznymi — nie dedykowanych team'ów deweloperskich. To nie obejście problemu. To właściwy model. Inżynierowie sieciowi robią znacznie więcej niż "skrypty w Pythonie": definiują modele danych, kodują wiedzę operacyjną w zadaniach automatyzacji, budują integracje między systemami. Robią to jednak na platformach, które rozwiązują trudne problemy informatyczne — żeby oni mogli skupić się na trudnych problemach sieciowych. Budowanie własnej warstwy platformowej to dublowanie pracy, którą ktoś już wykonał i przetestował w dziesiątkach środowisk produkcyjnych. Żaden vendor nie dostarczy w pudełku tego, co ty wnosisz: znajomości swojej topologii, polityk operacyjnych, historii decyzji konfiguracyjnych sprzed lat. To wiedza, która sprawia, że automatyzacja jest bezpieczna. --- ## Automatyczne generowanie testów [GitHub - pdudotdev/aiQA: AI-powered network test case generator for multi-vendor networks. Describe your network intent once. aiQA generates RFC-compliant test cases from it — vendor-specific CLI commands, precise assertions, and full traceability to RFC sections. Output is a framework-agnostic YAML spec rendered into ready-to-run pytest suites and Ansible playbooks.AI-powered network test case generator for multi-vendor networks. Describe your network intent once. aiQA generates RFC-compliant test cases from it — vendor-specific CLI commands, precise assertio…![](https://innasiec.pl/content/images/icon/favicon-b9f17ee4-f1d1-4865-a5ec-9658e38f16a1.png)GitHubpdudotdev![](https://innasiec.pl/content/images/thumbnail/aiQA-0a975506-a2db-46b6-98ac-9f144b132286)](https://github.com/pdudotdev/aiQA?ref=innasiec.pl) aiQA to narzędzie do automatycznego generowania testów sieciowych dla środowisk wielowendorowych. Wystarczy opisać oczekiwane działanie sieci, a system przygotuje zgodne z RFC scenariusze testowe, komendy CLI dla konkretnych producentów, asercje oraz pliki YAML, testy pytest i playbooki Ansible. Narzędzie obsługuje m.in. OSPF, BGP i EIGRP, korzysta z dokumentacji RFC oraz instrukcji producentów, a każdy test zawiera obowiązkowe wycofanie zmian. Projekt można dostosować do własnej topologii, urządzeń i założeń projektowych. --- ## Komunikacja poprzez pakiety DHCP [GitHub - pdudotdev/DHushCP: DHushCP is a covert communication tool that uses the DHCP protocol to enable secure and hidden message exchange between two machines. DHushCP utilizes principles of network steganography by embedding hidden messages within protocol fields that are not commonly inspected.DHushCP is a covert communication tool that uses the DHCP protocol to enable secure and hidden message exchange between two machines. DHushCP utilizes principles of network steganography by embeddi…![](https://innasiec.pl/content/images/icon/favicon-d1158486-a406-4eef-8d93-3c739bdef9f6.png)GitHubpdudotdev![](https://innasiec.pl/content/images/thumbnail/DHushCP-bfb52810-4928-445a-9bb5-315d5de28191)](https://github.com/pdudotdev/DHushCP?ref=innasiec.pl) DHushCP to edukacyjne narzędzie dla Linuksa, które umożliwia przesyłanie ukrytych wiadomości za pomocą pakietów DHCP. Treści są umieszczane w mniej typowych polach protokołu, a dodatkowa funkcja steganografii pozwala ukrywać tekst przy użyciu niewidocznych znaków Unicode. Projekt może zainteresować osoby uczące się o steganografii sieciowej i testach bezpieczeństwa, ale należy korzystać z niego wyłącznie w autoryzowanych środowiskach. --- ## Szyfrowanie overlay bez przepisywania architektury _This post is for paying subscribers only._ ### 📬 ISN 251: BGP Origin, Pułapki Dual-Stack SR-MPLS i Ryzyko OT w IPv6! URL: https://innasiec.pl/isn-251-bgp-origin-pulapki-dual-stack-sr-mpls-i-ryzyko-ot-w-ipv6/ Last updated: 2026-08-10T08:00:23.000Z ## BGP origin [BGP ORIGIN attribute manipulation and its impact on the InternetBy doing in-depth testing, we found nearly 70% of BGP paths experience ORIGIN attribute rewrites by transit providers seeking traffic advantages. We examine the global impact of this practice and argue for deprecating ORIGIN in route selection.![](https://innasiec.pl/content/images/icon/favicon-a693e1b3-7c59-47f1-8723-141efe6fa203.svg)Cloudflare BlogIliana Xygkou![](https://innasiec.pl/content/images/thumbnail/01KYAG27J7320R6RF5C4SGSTK1-3a40dddb-51f8-470e-9892-dce77ac48000.png)](https://blog.cloudflare.com/bgp-origin-attribute/?ref=innasiec.pl) 70% ścieżek BGP widocznych w publicznych kolektorach ma zmodyfikowany atrybut ORIGIN. Cloudflare właśnie to udowodnił eksperymentalnie — i wyniki powinny zmienić sposób, w jaki patrzysz na selekcję tras. ORIGIN to obowiązkowy atrybut BGP określający, jak trasa trafiła do protokołu: IGP (0), EGP (1) lub INCOMPLETE (2). RFC4271 mówi jasno — nie należy go modyfikować po ustawieniu przez AS źródłowy. W praktyce jest inaczej. Cloudflare ogłosił prefiksy z każdą z trzech wartości ORIGIN ze wszystkich lokalizacji peeringowych, a następnie analizował Updates z kolektorów RIPE RIS i RouteViews. Wynik: niemal 10% bezpośrednich peerów przestawiało ORIGIN na IGP — w tym 6 z 16 sieci Tier-1. Mechanizm jest prosty i dochodowy. Jeśli dwa peery oferują trasę z identyczną długością AS\_PATH i Local Preference, router wybierze tę z niższą wartością ORIGIN. Przestawienie EGP lub INCOMPLETE na IGP wystarczy, by przyciągnąć ruch — i przychód z tranzytu. Liczby mówią same za siebie: - 26% sieci z Top 50 AS Rank aktywnie modyfikuje ORIGIN - 70% unikalnych ścieżek IPv4 (67% IPv6) ma ORIGIN zresetowany do IGP - Rewriterzy ORIGIN zyskali 18% więcej ścieżek IPv4 i aż 40% więcej w IPv6 względem sieci przestrzegających RFC Co istotne, manipulacja nie jest symetryczna. Niektóre sieci przestawiają ORIGIN na EGP celowo — żeby zdepriorytetyzować trasy od peerów względem tras od klientów. Jeden z operatorów potwierdził to wprost badaczom Cloudflare. Krótka odpowiedź: przestań traktować ORIGIN jako wiarygodny sygnał routingowy — bo nim nie jest. Jeśli w twojej polityce BGP ORIGIN wpływa na selekcję tras, de facto oddajesz kontrolę nad ruchem dowolnemu tranzytowemu AS po drodze. W środowiskach, gdzie liczy się deterministyczny routing lub koszt tranzytu, warto to przeanalizować. --- ## Pułapka Dual-Stack SR-MPLS [Dual-Stack SR-MPLS « ipSpace.net blogAfter the introduction to SR-MPLS demo I did during the Segment Routing workshop @ ITNOG10, we moved to dual-stack SR-MPLS – can we assign node segment identifiers (SIDs) to IPv4 and IPv6 prefixes? The demo used the same three-router network as the previous one, with IPv4 SIDs starting at one and IPv6 SIDs starting at 101:![](https://innasiec.pl/content/images/icon/favicon-bf2287c6-b6b4-4e2e-920f-57f0c63524fd.ico)ipSpace Logo![](https://innasiec.pl/content/images/thumbnail/sr-mpls-intro-ef844435-769e-4f43-a572-45bf2a365a0e.png)](https://blog.ipspace.net/2026/05/sr-mpls-dual-stack/?ref=innasiec.pl) Segment Routing nad MPLS obsługuje jednocześnie IPv4 i IPv6 — każda rodzina adresowa dostaje własny zakres SID-ów. W teorii proste, w praktyce jest jeden szczegół, który potrafi pochłonąć godziny debugowania. W dual-stack SR-MPLS przypisujesz osobne Node SID-y do loopbacków IPv4 i IPv6\. W typowej konfiguracji testowej IPv4 SID-y startują od 1, IPv6 od 101\. IS-IS rozgłasza je odpowiednio w TLV Extended IP Reachability (MT-0) oraz Extended IPv6 Reachability (MT-2), każdy z sub-TLV SR Prefix-SID. Tablica MPLS zawiera wpisy dla obu rodzin — ale next-hop dla IPv6 SID-ów to adres link-local, nie globalny. Weryfikacja na Arista EOS: ``` show isis segment-routing prefix-segments show mpls route ``` Wynik powinien pokazać SID-y dla prefiksów 10.0.42.x/32 oraz 2001:db8::x/128 z odpowiednimi etykietami MPLS. Tu zaczyna się problem, który kosztował autora wiele godzin. Arista EOS i Cisco IOS XR reklamują prefix IPv6 loopbacka z sub-TLV SR Prefix-SID **tylko gdy prefix to /128**. Nokia SR-OS odrzuca loopback IPv6 z prefiksem innym niż /128 już na etapie konfiguracji. Jeśli wierzysz w "/64 everywhere" — tutaj to nie zadziała. Co gorsza, Cisco IOS XR zachowuje się szczególnie podstępnie: przypisuje SID i etykietę MPLS do /64 loopbacka, ale **nie rozgłasza go w IS-IS**. Żadnego błędu, żadnego ostrzeżenia. Jedyne urządzenia, które działają poprawnie z prefiksem innym niż /128, to FRRouting i Junos. Konfiguracja w netlab wymaga jawnego ustawienia: ```yaml addressing: loopback: ipv6: 2001:db8::/48 prefix6: 128 ``` Bez `prefix6: 128` netlab domyślnie przypisuje /64 — i tracisz godziny na debugowanie. Warto znać aktualny obraz przed wdrożeniem: - **Arista EOS, Cisco IOS XR, FRRouting, Junos, Nokia SR Linux, Nokia SR-OS** — dual-stack SR-MPLS działa - **Cisco IOS XE** — brak wsparcia dla SID-ów na prefiksach IPv6 (niespodzianka, biorąc pod uwagę agresywne promowanie SRv6 przez Cisco) Dual-stack SR-MPLS jest dobrze wspierany przez większość platform, ale wymaga /128 na loopbackach IPv6 — bez wyjątków. Zanim zaczniesz troubleshootować brakujące SID-y w IS-IS, sprawdź długość prefiksu loopbacka. To pierwsze miejsce, gdzie szukać problemu. Jeśli chcesz przetestować konfigurację samodzielnie, repozytorium warsztatów SR-MPLS na GitHubie zawiera gotowe topologie netlab z obsługą GitHub Codespaces — środowisko działa w przeglądarce bez lokalnej instalacji. --- ## Awesome Automatyzacja sieci [GitHub - packetcoders/awesome-network-automation-ai: A curated list of awesome resources for applying Artificial Intelligence (AI), Large Language Models (LLMs), and Machine Learning (ML) to network automation.A curated list of awesome resources for applying Artificial Intelligence (AI), Large Language Models (LLMs), and Machine Learning (ML) to network automation. - packetcoders/awesome-network-automati…![](https://innasiec.pl/content/images/icon/favicon-7ca3963d-d5bd-4655-a6ad-4a08c22c47d3.svg)GitHubpacketcoders![](https://opengraph.githubassets.com/b237bcdb1338feeac7717a787b1c29c07afec75dd3fd5cf37b413de633a5cb00/packetcoders/awesome-network-automation-ai)](https://github.com/packetcoders/awesome-network-automation-ai?ref=innasiec.pl) Strona zbiera i kataloguje najlepsze zasoby dotyczące zastosowania sztucznej inteligencji (AI), dużych modeli językowych (LLM) oraz uczenia maszynowego (ML) w automatyzacji sieci. Znajdziesz tu narzędzia, frameworki, biblioteki, platformy, artykuły, tutoriale, podcasty, kursy i książki – wszystko w jednym miejscu. --- ## Labuj RIFT na SR Nokia [GitHub - 0return/SR\_LINUX\_RIFT: SR Linux does not include the RIFT protocol; in this lab, that functionality is integrated via NKD.SR Linux does not include the RIFT protocol; in this lab, that functionality is integrated via NKD. - 0return/SR\_LINUX\_RIFT![](https://innasiec.pl/content/images/icon/favicon-cbe45d7c-e677-4662-84fd-553b494e1d1e.svg)GitHub0return![](https://innasiec.pl/content/images/thumbnail/SR_LINUX_RIFT-29783a58-c046-4746-8bdd-69f39807c073)](https://github.com/0return/SR%5FLINUX%5FRIFT?ref=innasiec.pl) Repozytorium zawiera gotowy do uruchomienia lab RIFT (Routing in Fat Trees, RFC 9692) działający na Nokia SR Linux, zbudowany w oparciu o agenta NDK hyposcaler/srl-rift autorstwa Dennisa Fanshawa. Sam protokół jest zaimplementowany w tym agencie i nie jest powielany tutaj. Projekt dostarcza kompletną topologię, konfiguracje startowe, skrypty do wdrożenia i weryfikacji działania oraz dokumentację opisującą rzeczywisty przebieg budowy środowiska - co działa, co nie i jaka wersja SR Linux jest wymagana. 💡 Używaj wersji SR Linux 25.7, ponieważ nowsza 26.3.1 ma problem z aktywacją subinterfejsów w fabric i lab nie działa poprawnie. --- ## Ryzyko dla OT w IPv6 _This post is for paying subscribers only._ ### 📬 ISN 250: Dlaczego BGP Flapi przy Wielkich UPDATE? Plus FortiNAC i Multivendor SRv6! URL: https://innasiec.pl/isn-250-dlaczego-bgp-flapi-przy-wielkich-update-plus-fortinac-i-multivendor-srv6/ Last updated: 2026-08-03T08:00:22.000Z ## Dlaczego BGP flapi przy dużych UPDATE? [Why Your BGP Flaps on Heavy Updates: The MTU Silent KillerBGP is widely considered one of the most reliable routing protocols in existence—the AK-74 of the networking world. It is robust, predictable, and field-tested.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-88142778-003b-4a32-a671-71f59c857519)LinkedInChingiz Khalafov![](https://innasiec.pl/content/images/thumbnail/1784327805945-736b30b6-d91e-4374-8744-9c42a611d51f)](https://www.linkedin.com/pulse/why-your-bgp-flaps-heavy-updates-mtu-silent-killer-chingiz-khalafov-77jpf/?ref=innasiec.pl) BGP nie flapi bez powodu. Gdy sesja pada regularnie zaraz po przejściu do stanu Established, zanim zaczniesz dzwonić do vendora, sprawdź MTU na ścieżce tranzytowej. BGP deleguje niezawodny transport do TCP. Podczas handshake'a obie strony negocjują MSS (Maximum Segment Size) na podstawie lokalnego MTU interfejsu: ``` MSS = MTU interfejsu - 20B (IP) - 20B (TCP) ``` Problem? MSS jest negocjowany na podstawie lokalnych interfejsów, a nie rzeczywistego MTU całej ścieżki. Małe pakiety – OPEN, KEEPALIVE – przechodzą bez problemu, bo mieszczą się w każdym limicie. Sesja wchodzi w stan Established i wszystko wygląda dobrze. Kłopoty zaczynają się przy wymianie tablic routingu. BGP pakuje prefiksy z identycznymi atrybutami w jeden UPDATE o wielkości nawet 4096 bajtów. TCP segmentuje ten strumień do wynegocjowanego MSS i wysyła z ustawionym bitem DF. Jeśli którykolwiek węzeł na ścieżce ma niższe MTU i blokuje ICMP Type 3 Code 4 ("Fragmentation Needed"), pakiety są cicho gubione. Router nigdy nie dostaje ACK, UPDATE nie docierają, Hold Timer wygasa. Efekt: sesja pada dokładnie wtedy, gdy zaczyna się wymiana tras. Weryfikacja jest prosta – ping z bitem DF i różnymi rozmiarami pakietów: ``` R1# ping 192.168.10.2 df-bit size 900 Success rate is 0 percent (0/5) R1# ping 192.168.10.2 df-bit size 800 Success rate is 100 percent (5/5) ``` Negocjowany MSS możesz sprawdzić bez Wiresharka, bezpośrednio z CLI: ``` R1# sh ip bgp neighbors 192.168.10.2 | i Data Datagrams (max data segment is 860 bytes) ``` Jeśli wartość MSS przekracza rzeczywisty limit ścieżki – masz przyczynę problemu. Natychmiastowe obejście to wymuszenie niższego MSS dla sesji BGP: ``` R1(config)# ip tcp mss 760 ``` Wartość dobierasz tak, żeby TCP segment + nagłówki IP/TCP zmieściły się w rzeczywistym MTU ścieżki. Po zmianie sesja stabilizuje się natychmiast. Pamiętaj jednak: to jest workaround dla control plane, nie rozwiązanie systemowe. Ruch data plane nadal może być cicho gubiony, jeśli klienci wysyłają duże pakiety z DF=1\. Docelowo musisz wyrównać MTU na całej ścieżce lub wdrożyć PMTUD. Ten problem jest szczególnie podstępny w środowiskach **Multisite VXLAN EVPN** – Underlay eBGP (wymiana adresów loopback) działa stabilnie, bo pakiety są małe. EVPN BGP synchronizujący MAC/IP routes pada natychmiast po Established z powodu identycznego mechanizmu. --- ## FortiNAC w praktyce Większość materiałów szkoleniowych tłumaczy *czym* jest NAC. Niemal żaden nie pokazuje, jak przejść od zera do działającego środowiska — bez pomijania niewygodnych szczegółów. FortiNAC nie operuje na VLAN-ach bezpośrednio. Operuje na **logical networks** — nazwanych abstrakcjach, które dopiero na poziomie konkretnego urządzenia mapujesz do VLAN ID. Praktyczna konsekwencja: masz 20 lokalizacji z różnymi numerami VLAN-ów dla sieci klienckiej? Jedna polityka w FortiNAC, dwadzieścia różnych mapowań. Brak duplikacji logiki, brak ryzyka rozbieżności. Mechanizm działa przez trzy warstwy: **rola → user host profile → network access policy**. Rola jest przypisana do urządzenia (ręcznie lub przez device profiling). Profil definiuje warunki dopasowania. Polityka łączy profil z konfiguracją sieciową. Jeśli ta hierarchia jest jasna, reszta konfiguracji jest już tylko klikaniem. **Device profiling zamiast ręcznej rejestracji** Headless devices to klasyczny problem w środowiskach NAC. FortiNAC rozwiązuje go przez reguły profilowania — urządzenie podłącza się, system identyfikuje je na podstawie vendor OUI, nazwy hosta, odpowiedzi SSH lub innych atrybutów, automatycznie przypisuje rolę i rejestruje w bazie hostów. Kilka rzeczy wartych zapamiętania przy konfiguracji: - Vendor OUI daje precyzję, której nie zapewni sama nazwa producenta (Samsung Electronics to za szeroka kategoria) - Opcja "confirm rule on connect" wystarczy w większości przypadków — polling interwałowy to overhead dla stabilnych środowisk - Testowanie reguł działa na już podłączonych urządzeniach przez "test device profiling rule" na adapterze, zanim wdrożysz to produkcyjnie **RADIUS i 802.1X — szczegóły, które kosztują godziny** FortiNAC jako RADIUS server wymaga certyfikatu dla EAP. Generujesz CSR bezpośrednio z GUI (System → Certificate Management), podpisujesz w CA, importujesz z prywatnym kluczem z ostatniego wygenerowanego CSR. Standardowe kroki — ale łatwo przeoczyć, że **trusted certificate root CA musi być osobno zaimportowany** do sekcji "Trusted Certificates", inaczej walidacja łańcucha certyfikatów się nie powiedzie. Dla autoryzacji 802.1X kluczowy jest atrybut TLS client issuer — nie zgadujesz go, tylko czytasz z logów serwisowych. Włącz "service debug log" w sekcji RADIUS, spróbuj połączyć klienta, skopiuj string z logu i zbuduj na nim user host profile. Szybsze niż przeglądanie dokumentacji PKI. Na FortiGate nie zapomnij o **COA (Change of Authorization)** w konfiguracji serwera RADIUS — bez tego dynamiczne zmiany VLAN nie zadziałają. Przy 802.1X na switchach FortiLink: polityka portów wymaga jawnie zaznaczonego "authentication bypass" i "EAP pass-through", bo inaczej urządzenia bez 802.1X (drukarki, telefony) będą odcinane, zamiast przechodzić do MAC auth fallback. --- ## Multivendor lab SRv6 [GitHub - sabyasachikar/srv6-multivendor-labContribute to sabyasachikar/srv6-multivendor-lab development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/favicon-a64d79ab-dc8f-4d77-aef7-086089d53265.svg)GitHubsabyasachikar![](https://innasiec.pl/content/images/thumbnail/srv6-multivendor-lab-9ff9caec-a44b-4e91-80ed-45dbf5f79a3a)](https://github.com/sabyasachikar/srv6-multivendor-lab?ref=innasiec.pl) Zestaw praktycznych laboratoriów SRv6 dla Containerlab, obejmujący podstawy SRv6 oraz migrację SR-MPLS do SRv6 L3VPN na urządzeniach Nokia, Cisco i Juniper. Repozytorium zawiera topologie Containerlab i konfiguracje urządzeń, które po dodaniu własnych obrazów i licencji vendorów uruchamiają się bez dodatkowych zmian. Laboratoria pokazują kompletne rozwiązania: podkład IS-IS SRv6 z locatorami i End SID-ami, SRv6 L3VPN (End.DT4 / End.DT6) działający w rdzeniu IPv6-only oraz migrację L3VPN ze SR-MPLS do SRv6 bez przerw w działaniu usługi. --- ## Monotring homelab-a [GitHub - netalertx/NetAlertX: Centralized network visibility and continuous asset discovery. Monitor devices, detect change, and stay aware across distributed networks.Centralized network visibility and continuous asset discovery. Monitor devices, detect change, and stay aware across distributed networks. - netalertx/NetAlertX![](https://innasiec.pl/content/images/icon/favicon-646a9ae4-2854-4ceb-a6f2-a6f3f76768e7.svg)GitHubnetalertx![](https://innasiec.pl/content/images/thumbnail/3d4957be-0bb2-4617-bb58-7bb0cf0cbc08-f1847c41-9aed-43b0-8171-eac8d7b7d51b)](https://github.com/netalertx/NetAlertX?ref=innasiec.pl) NetAlertX to platforma do monitoringu sieci i inteligencji zasobów, przeznaczona dla homelabów, zespołów IT, MSP oraz rozproszonych środowisk. Umożliwia centralny podgląd urządzeń i ciągłe wykrywanie zasobów w wielu lokalizacjach, VLANach i segmentach sieci z poziomu jednego interfejsu. Pomaga wykryć nieautoryzowany sprzęt i tzw. shadow IT, wspiera zgodność z regulacjami oraz automatyzuje procesy operacyjne dzięki integracjom, powiadomieniom i workflowom. Dzięki obsłudze wielu metod skanowania i synchronizacji między lokalizacjami jest dobrym wyborem dla MSP oraz zespołów zarządzających złożonymi sieciami rozproszonymi. --- ## Prompt engineering dla sieciowców _This post is for paying subscribers only._ ### 📬 ISN 249: Sekret CCDE, SONiC w Codespaces i Jeden Agent do Zarządzania Siecią! URL: https://innasiec.pl/isn-249-sekret-ccde-sonic-w-codespaces-i-jeden-agent-do-zarzadzania-siecia/ Last updated: 2026-07-27T08:00:19.000Z ## CCDE po 50-tce [My CCDE Journey — Background, Preparation, Study Strategy, Courses, and Practice Exams • JTnetwork.ioMy CCDE journey: How I prepared for the CCDE written and lab exams: courses, books, scenarios, and lessons learned from three attempts.![](https://innasiec.pl/content/images/icon/JTN_square-symbol_512x512-1-280x280-623aedda-9fbb-4961-864a-b1006bf2e7e7.png)JTnetwork.ioJerome Tissieres![](https://innasiec.pl/content/images/thumbnail/ccde_expert_AI_Infrastructure-ccc7a9d0-18df-4f5d-8aad-90bfc2266a45.jpg)](https://jtnetwork.io/my-ccde-journey/?ref=innasiec.pl) Jerome Tissieres zdobył CCDE (nr 2026::37) po 29 miesiącach przygotowań, dwóch podejściach do egzaminu pisemnego i trzech do praktycznego. Ma 52 lata i 30 lat doświadczenia w branży. Jego historia to nie jest success story o geniuszu — to lekcja o metodzie. Kluczowy insight z jego doświadczenia: **nie możesz projektować tego, czego głęboko nie rozumiesz**. Jerome nigdy nie zdał CCIE lab, ale trzy podejścia do tego egzaminu dały mu solidne fundamenty z L2/L3, MPLS i QoS. To właśnie ta baza — nie certyfikat — pozwoliła mu podejść do CCDE. Jeśli spędziłeś karierę w jednej niszy technologicznej, CCDE będzie wymagał dodatkowej inwestycji w szerokość wiedzy: campus, SP, DC, SD-WAN, security i coraz bardziej — AI networking. Jerome identyfikuje trzy błędy, które kosztowały go pierwsze dwa podejścia do egzaminu praktycznego: - **Za krótka faza praktycznych scenariuszu** — dwa miesiące to za mało. Scenariuszy jest niewiele, więc każdy musi być przepracowany dogłębnie, a luki w wiedzy zamknięte między kolejnymi - **Egzamin w połowie bootcampu** — bootcamp buduje wiedzę, ale potrzeba kilku tygodni na jej konsolidację przed labem - **Brak systematycznej listy "To Review"** — prowadzona od pierwszego dnia lista niepewnych zagadnień staje się kluczowym narzędziem w ostatnich tygodniach Jeden scenariusz praktyczny warto zrobić **wcześnie** — nie po to, żeby ocenić gotowość, ale żeby zrozumieć format egzaminu. Pozostałe zachowaj na etap finalny. **Uczenie się po 50-tce: biologia, nie wymówka** To rzadko poruszany temat w środowisku certyfikacji. Szybkość przyswajania nowego materiału spada od połowy 30-tki. Jerome mówi o tym wprost: potrzebował więcej czasu niż 20 lat temu. Rozwiązaniem jest **spaced repetition i dłuższy horyzont przygotowań** — nie cramming w ostatnim tygodniu. --- ## CCDE i DLACZEGO, a nie JAK [The CCDE taught me to ask WHY, not HOW. That’s exactly what AI is missing right now.Two years. Two failures.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-bb8ad859-d4e9-4c53-874b-724e932930cf)LinkedInLaith Atoum, D.Eng.![](https://innasiec.pl/content/images/thumbnail/1781801542017-386dd4dd-b519-42b4-a32a-a58136544733)](https://www.linkedin.com/pulse/ccde-taught-me-ask-why-how-thats-exactly-what-ai-now-laith-nqcbe/?ref=innasiec.pl) Laith Atoum zdał egzamin CCDE za trzecim podejściem. Dwie porażki, osiem lat od momentu, gdy postanowił zdobyć ten certyfikat. Ale najciekawsza część jego historii nie dotyczy wytrwałości – dotyczy zmiany sposobu myślenia, która ma bezpośrednie przełożenie na to, jak dziś projektuje się systemy AI. Na egzaminie CCDE nie wygrywa ten, kto zna więcej protokołów. Wygrywa ten, kto potrafi podporządkować każdą decyzję projektową realnym ograniczeniom biznesowym klienta – nawet gdy te ograniczenia łamią wszelkie "best practices". Kluczowy przełom w przygotowaniach Laitha był prosty: przestał uczyć się odpowiedzi, zaczął trenować sposób myślenia. Każda decyzja projektowa musiała wywodzić się z konkretnego ograniczenia, a nie z podręcznikowego wzorca. Trzy zasady, które zmieniły jego podejście do egzaminu: - Nigdy nie zakładaj tego, czego nie ma wprost w scenariuszu - Projektuj dla problemu, który masz – nie dla eleganckiego, który wolałbyś mieć - Ograniczenia klienta *są* odpowiedzią, nawet jeśli prowadzą w nieoczekiwane miejsce Atoum zauważa coś, co trudno zignorować: **branża AI jest dziś tam, gdzie był on przed pierwszą porażką na CCDE.** Obsesja na punkcie HOW (jak zbudować, jak skalować, jak wdrożyć) i WHAT (co model potrafi, jaki benchmark osiągnął) – przy niemal całkowitym braku pytania WHY. Dlaczego wdrażamy AI właśnie tutaj? Czyje ograniczenia ma obsługiwać? Co się stanie z ludźmi, gdy projekt pójdzie źle? To nie są pytania filozoficzne. To są pytania projektowe – dokładnie tego samego rodzaju, które decydują o wyniku egzaminu CCDE. W sieci błędna decyzja na pierwszym rozgałęzieniu scenariusza niszczy wszystkie kolejne odpowiedzi. W AI błędne założenia na etapie projektowania polityki i guardrails kompromitują cały system – często długo po wdrożeniu. --- ## SONiC w Github Codespace [GitHub - sajusal/sonic-codespace: Running SONiC on Codespaces VMRunning SONiC on Codespaces VM. Contribute to sajusal/sonic-codespace development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/favicon-5ef061fe-d8b7-4790-b8e6-84b08125f8e5.svg)GitHubsajusal![](https://opengraph.githubassets.com/f1661241d30eb0c96e7a4202f06d4db7c35dfcf9e1718630247290e22f99b49a/sajusal/sonic-codespace)](https://github.com/sajusal/sonic-codespace?ref=innasiec.pl) Poradnik pokazuje, jak uruchomić i skonfigurować laboratorium SONiC w GitHub Codespaces z użyciem Containerlab. Po zalogowaniu na GitHub i uruchomieniu Codespace VM, obraz SONiC jest pobierany i lab automatycznie się wdraża. --- ## Automatyzacja Junos [GitHub - door7302/automation\_demo: Some automation demos relying on Netconf/Ansible/PyEZ/TemporalSome automation demos relying on Netconf/Ansible/PyEZ/Temporal - door7302/automation\_demo![](https://innasiec.pl/content/images/icon/favicon-fdac04f4-8f09-45d7-84af-1c8c88335ff6.svg)GitHubdoor7302![](https://opengraph.githubassets.com/cf8c9458a0bc1c77a0ee3ed3bbe28084c75ac0134c8b7811a6898a4561408835/door7302/automation_demo)](https://github.com/door7302/automation%5Fdemo?ref=innasiec.pl) Repozytorium zawiera zestaw demonstracji automatyzacji sieci Juniper opartych na narzędziach Juniper PyEZ, Ansible oraz nowoczesnych rozwiązaniach orkiestracji. Możesz tu znaleźć dwie niezależne prezentacje: Commit Watcher, który przetwarza zdarzenia zatwierdzeń konfiguracji i zapisuje ich historię w MongoDB z interfejsem webowym do przeglądania zmian oraz Guided Junos Upgrade – workflow Temporal.io, który automatycznie przeprowadza pełną aktualizację systemu Junos, sterowaną z poziomu interfejsu Temporal Web UI bez konieczności ręcznej edycji plików na serwerze. --- ## Jeden agent, by rządzić siecią _This post is for paying subscribers only._ ### 📬 ISN 248: Jeden PCAP 90+ Protokołów i Przechwytywanie Ruchu RDMA! URL: https://innasiec.pl/isn-248-jeden-pcap-90-protokolow-i-przechwytywanie-ruchu-rdma/ Last updated: 2026-07-20T08:26:52.000Z ## AI jako narzędzie do certyfikacji [5 Smart Ways to Use AI for Certification Exam PrepDecode the exam topics, build practice labs, and more.![](https://innasiec.pl/content/images/icon/cropped-Cisco-logo-thumb-sky-blue-300x300-baed7f28-b550-4980-afa6-09e6402ae8fb.jpg)Cisco BlogsYasmeen Seddeek![](https://innasiec.pl/content/images/thumbnail/AdobeStock_328237788_blog2-scaled-d3e13f73-a1ba-4661-9575-3d9fc63436ac.jpg)](https://blogs.cisco.com/learning/5-smart-ways-to-use-ai-for-certification-exam-prep?ref=innasiec.pl) Modele językowe przestają być ciekawostką, a stają się realnym narzędziem w codziennej pracy. Warto wiedzieć, do czego faktycznie się nadają – i jakie są ich granice. Cisco opisało pięć zastosowań AI w przygotowaniu do certyfikacji: - analiza blueprintu egzaminu, - budowanie harmonogramu nauki, - generowanie flashcard i mnemoników, - tworzenie pytań testowych, - projektowanie topologii w Cisco Modeling Labs AI potrafi wygenerować gotową konfigurację laboratorium w CML – z topologią, konfiguracją urządzeń i zadaniami do wykonania. To, co wcześniej zajmowało godziny (zanim w ogóle przyszło do ćwiczenia), teraz może być gotowe w minuty. Czas zaoszczędzony na budowaniu środowiska można przeznaczyć na faktyczne ćwiczenie konfiguracji i troubleshooting. Artykuł wprost przyznaje: *"AI is a powerful tool, but it is not perfect."* Przy generowaniu pytań egzaminacyjnych Cisco zaleca weryfikację z materiałami oficjalnymi. To samo dotyczy konfiguracji – AI może wygenerować poprawnie wyglądającą, ale błędną lub przestarzałą składnię. W praktyce oznacza to prosty workflow: AI jako generator draftu, inżynier jako weryfikator. Pytanie *"How confident are you in the answers you provided?"* skierowane bezpośrednio do modelu jest tu zaskakująco skuteczną heurystyką. --- ## Zabezpieczanie Cisco IOS XE [Cisco IOS XE Software Hardening Guide![](https://innasiec.pl/content/images/icon/favicon-1340dd03-afa0-4fae-8288-7ea923b75d37.ico)![](https://innasiec.pl/content/images/thumbnail/note-bd442b18-d9e2-454a-837b-bccf3e1c7a2d.gif)](https://sec.cloudapps.cisco.com/security/center/resources/IOS%5FXE%5Fhardening?ref=innasiec.pl) Większość sieci pada nie przez brak firewalla, lecz przez źle zahartowane urządzenia brzegowe. Cisco opublikowało zaktualizowany Hardening Guide dla IOS XE — czas wyciągnąć z niego to, co działa. Zacznij od tego, czego nie widać w topologii — od sposobu zarządzania urządzeniami. Trzy zmiany o natychmiastowym wpływie: - **Wymuś SSHv2** (`ip ssh version 2`) i wyłącz Telnet na wszystkich liniach vty - **Zastąp Type-5 i Type-7 hasłami Type-8 lub Type-9** (`algorithm-type scrypt`) — Type-7 to obfuskacja, nie szyfrowanie - **Wdróż Management Plane Protection** (`control-plane host / management-interface`) — ogranicza interfejsy akceptujące ruch zarządczy do explicite wskazanych Jeśli masz TACACS+, przesuń się na **TACACS+ over TLS 1.3** (dostępny od IOS XE 17.18.1, ISE 3.4 Patch 2). Wcześniejsze wersje używają MD5 do obfuskacji sesji — co w 2025 roku jest nie do przyjęcia. Control Plane Policing wciąż pozostaje niedowdrożony w wielu sieciach produkcyjnych. Tymczasem bez niego pojedynczy atak TTL-expiry może wysycić CPU route processora i zrzucić BGP. Minimalny zestaw ochrony control plane: ``` no ip redirects ! na każdym interfejsie no ip proxy-arp ! na każdym interfejsie no ntp allow mode control ! blokuje NTP control messages ``` Do tego iACL z filtrowaniem pakietów o TTL < 6 oraz fragmentów IP — te dwa wektory są nagminnie pomijane, a oba prowadzą do process-switching i obciążenia CPU. CPPr (Control Plane Protection) idzie dalej niż CoPP: filtruje per-subinterface (Host/Transit/CEF-Exception) i pozwala blokować pakiety trafiające na zamknięte porty TCP/UDP zanim dotrą do route processora. ``` ip options drop no ip source-route no ip directed-broadcast ``` Każda z nich eliminuje klasę ataków: IP options wymuszają process-switching, source routing pozwala obejść security controls, directed broadcasts to amplifikator ataków smurf. Wszystkie trzy są domyślnie włączone lub niechronione w starszych wersjach IOS XE. Unicast RPF w trybie loose sprawdza się przy asymetrycznym routingu i eliminuje spoofed source addresses bez ryzyka blokowania legalnego ruchu. W środowiskach z pełną kontrolą L2 uzupełnij go o IP Source Guard i Dynamic ARP Inspection. --- ## Jeden plik PCAP, 90+ protokołów [The Ultimate PCAP | Weberblog.net![](https://innasiec.pl/content/images/icon/cropped-webernetz-logo-4-icon-2000x2000-1-270x270-b8941bfa-c87d-411e-9eac-c135c4214103.png)Weberblog.netJohannes Weber![](https://innasiec.pl/content/images/thumbnail/The-Ultimate-PCAP-featured-image-604x270-f5b34175-79a5-4c0f-9f3b-a2d38e9fc8ca.jpg)](https://weberblog.net/the-ultimate-pcap/?ref=innasiec.pl) Masz nowy tool do analizy ruchu i potrzebujesz go przetestować na realnych danych? Albo chcesz sprawdzić, jak Wireshark radzi sobie z konkretnym protokołem? Johannes Weber stworzył coś, co powinno trafić do toolboxa każdego senior engineera. „The Ultimate PCAP" to pojedynczy plik pcapng zawierający ponad 90 protokołów sieciowych – od Layer 2 po aplikacyjne. Wszystko w jednym miejscu: ARP, IS-IS, OSPF, BGP, DNS (z dziesiątkami wariantów), TLS 1.2/1.3 z osadzonymi kluczami do deszyfracji, QUIC, Kerberos, RADIUS z różnymi metodami EAP, a nawet Post-Quantum Cryptography (IKEv2 z ML-KEM). Plik waży 6 MB po kompresji gzip i otwiera się bezpośrednio w Wiresharku. Wersja aktualna: **v20260710**. --- ## Docker i tunele Cloudflare [GitHub - ChrispyBacon-dev/DockFlare: DockFlare: Automate Cloudflare Tunnels with Docker LabelsDockFlare: Automate Cloudflare Tunnels with Docker Labels - ChrispyBacon-dev/DockFlare![](https://innasiec.pl/content/images/icon/favicon-8993d735-2874-40bb-91f6-eae355aa8be3.svg)GitHubChrispyBacon-dev![](https://innasiec.pl/content/images/thumbnail/DockFlare-28b49e14-d06e-456e-acde-85358ec89b46)](https://github.com/ChrispyBacon-dev/DockFlare?ref=innasiec.pl) DockFlare to narzędzie do samodzielnego hostowania i zarządzania Cloudflare Tunnel, które automatycznie konfiguruje publiczny dostęp do kontenerów Docker bez potrzeby ręcznego ustawiania w panelu Cloudflare. Dzięki etykietom Docker i opcjom ręcznego definiowania reguł w UI, DockFlare synchronizuje konfigurację DNS, tuneli i zasad dostępu, tworząc prosty system zarządzania ruchem i kontrolą dostępu. --- ## Przechwytywanie ruchu RDMA _This post is for paying subscribers only._ ### 📬 ISN 247: Darmowy kurs Segment Routing, BGP Link Bandwidth i Diagnostyka z CLI! URL: https://innasiec.pl/isn-247-darmowy-kurs-segment-routing-bgp-link-bandwidth-i-diagnostyka-z-cli/ Last updated: 2026-07-14T08:15:14.000Z ## Kurs Segment Routing za darmo [IS-IS | Nikita Pavlov | 16 commentsSegment Routing course is finished It is finally over 😀 · 25 videos · 18+ hours of content · Lab for every topic I’ve divided it into 6 playlists so you can either watch everything or pick specific topic: Full Course: https://lnkd.in/dzgimrta SR-MPLS Only: https://lnkd.in/dineYMpy SRv6 Only: https://lnkd.in/g2WAEeJm Flex Algo: https://lnkd.in/dy6J8ZNU LFA: https://lnkd.in/dXAqpUFA IS-IS: https://lnkd.in/dZKgNpru Enjoy ! #segmentrouting #srmpls #srv6 | 16 comments on LinkedIn![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-7a62a29b-50da-40df-bae1-2cbd5373d141)LinkedInNikita Pavlov![](https://innasiec.pl/content/images/thumbnail/1782894887952-5c39b7c1-02bc-459e-af90-3a83c444082c)](https://www.linkedin.com/posts/pavlovnikita%5Fis-is-share-7478003692923785216-ddCg/?ref=innasiec.pl) Nikita Pavlov opublikował pełny kurs z Segment Routing — 25 filmów, ponad 18 godzin materiału i laboratoria do każdego tematu. Dla każdego, kto odkładał głębsze wejście w SR, teraz nie ma wymówek. Materiał podzielony jest na 6 playlist, co pozwala na selektywne podejście zamiast przerabiania wszystkiego od początku: - **SR-MPLS** — klasyczny data plane z etykietami MPLS - **SRv6** — segment routing nad IPv6, bez etykiet - **Flex-Algo** — elastyczne algorytmy routingu dla TE i slice'owania sieci - **LFA** — mechanizmy szybkiej zbieżności (Loop-Free Alternates) - **IS-IS** — protokół IGP będący fundamentem SR SRv6 i Flex-Algo to technologie, które coraz częściej pojawiają się w RFP dużych operatorów i w roadmapach vendorów. Jeśli pracujesz przy modernizacji sieci szkieletowej lub planujesz migrację z RSVP-TE, znajomość tych mechanizmów staje się wymaganiem, nie atutem. Format laboratoriów do każdego tematu to istotna różnica względem typowych kursów teorytycznych — SR bez praktyki z konfiguracją pozostaje abstrakcją. --- ## BGP Link Bandwidth [RFC 10005: BGP Link Bandwidth Extended CommunityThis document defines a BGP extended community, the Link Bandwidth Extended Community, which carries bandwidth information to enable weighted load-balancing in multipath scenarios. It specifies the format and processing rules for this extended community type.![](https://innasiec.pl/content/images/icon/faviconV2-e81eeb0b-d9ab-4c91-abf6-8df0bb71399e)Pradosh Mohapatra](https://www.rfc-editor.org/rfc/rfc10005.html?ref=innasiec.pl) RFC 10005 to nie nowość. To formalizacja czegoś, co Cisco, Arista i Juniper implementowały od lat — a co na Cisco IOS-XR znasz pewnie jako `dmz-link-bandwidth`. Draft krążył po IETF od 2009 roku. W tym czasie zdążyłeś go pewnie skonfigurować w produkcji nieraz. Pytanie, które warto zadać: dlaczego właśnie teraz? Odpowiedź jest prosta — AI fabric i hiperscale wymagają deterministycznego weighted ECMP. Przy tej skali "luźna zgodność" między vendorami przestaje być akceptowalna. Standard ECMP zakłada równorzędność ścieżek. Trzy upstreamowe łącza — ruch rozłożony po równo. W symetrycznej sieci to działa. W świecie rzeczywistym rzadko masz trzy identyczne obwody. Klasyczny scenariusz: edge router z trzema providerami — małym, średnim i dużym. ECMP nasyca mały obwód, podczas gdy duży pracuje na połowie mocy. Efekt: congestion, prefix-listy jako plaster, local-pref jako kolejny hack. Albo narzędzia zewnętrzne jak Noction. Link Bandwidth rozwiązuje to elegancko. Każda ścieżka BGP niesie capacity jako extended community (typ `0x4003`). Router normalizuje wartości i rozkłada ruch proporcjonalnie — stosunek 1:4:10 oznacza dokładnie taki podział przepływów, bez żadnej ręcznej manipulacji atrybutami. Jest jeden use case, który często umyka w dokumentacji — port-channel z utratą członków. Gdy odpada jeden interfejs z bondu, wartość link-bandwidth community automatycznie spada proporcjonalnie. Router przelicza wagi bez interwencji operatora. To oznacza, że weighted ECMP koryguje się sam przy częściowej awarii uplinku. Na klasycznym ECMP musisz albo akceptować nierównomierne obciążenie, albo wytriggerować ręczną zmianę routingu. --- ## Diagnostyka sieci lokalnej z CLI [GitHub - ZenoSoftwareDev/NetworkMasterContribute to ZenoSoftwareDev/NetworkMaster development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/favicon-8ced55f5-d385-47e1-b6c4-2c8f4b07196a.svg)GitHubZenoSoftwareDev![](https://innasiec.pl/content/images/thumbnail/NetworkMaster-e8496938-8f23-4374-b4f2-0582e1366b98)](https://github.com/ZenoSoftwareDev/NetworkMaster?ref=innasiec.pl) INFO: NetworkMaster to narzędzie do diagnostyki i zarządzania siecią lokalną. Umożliwia wykonywanie podstawowych testów sieciowych (Ping, Traceroute, DNS Benchmark), skanowanie portów i urządzeń w LAN, a także zarządzanie siecią przez Wake-on-LAN i edycję plików systemowych. Dodatkowo oferuje monitorowanie sieci w czasie rzeczywistym za pomocą dashboardu. Projekt jest dostępny na licencji GPLv3. --- ## Wizualizacja sieci [GitHub - hervehildenbrand/net3d: 3D infrastructure visualization from NetBox or Infrahub (globe → site → rack)3D infrastructure visualization from NetBox or Infrahub (globe → site → rack) - hervehildenbrand/net3d![](https://innasiec.pl/content/images/icon/favicon-5a6a6632-6963-4aba-9565-fa6f7c85343b.svg)GitHubhervehildenbrand![](https://innasiec.pl/content/images/thumbnail/net3d-b394334a-8ffc-40a7-9800-04a680262fff)](https://github.com/hervehildenbrand/net3d?ref=innasiec.pl) Net3d to narzędzie wizualizujące sieć od światowego widoku mapy po szczegóły racków w data center. Łączy dane z NetBox lub Infrahub, pokazując 3D budynki, pozycje urządzeń w rackach i połączenia kablowe w jednym ciągłym zoomie i nawigacji. Dzięki temu możesz łatwo przeglądać topologię sieci, śledzić kable i monitorować sprzęt na żywo (z NetBox + NAPALM). --- ## Ansible, Terraform i n8n _This post is for paying subscribers only._ ### 📬 ISN 246: Netmiko + LLM, Catalyst SD-WAN on-prem i Segment Routing w kontenerach! URL: https://innasiec.pl/isn-246-netmiko-llm-catalyst-sd-wan-on-prem-i-segment-routing-w-kontenerach/ Last updated: 2026-07-06T08:00:47.000Z 246 numer newslettera to miks sieci, automatyzacji i praktycznych trików: Netmiko z interfejsem dla LLM, AI dla 90 000 pracowników Cisco, Segment Routing w kontenerach, wykresy bez JavaScriptu oraz Catalyst SD-WAN on-prem. _This post is for paying subscribers only._ ### 📬 ISN 245: Jak Nie Zepsuć BGP? Redystrybucja pod Lupą + Nokia i AI w Sieci! URL: https://innasiec.pl/isn-245-jak-nie-zepsuc-bgp-redystrybucja-pod-lupa-nokia-i-ai-w-sieci/ Last updated: 2026-06-29T08:00:27.000Z ## BGP Handoff na jednym przełączniku [The Collapsed Edge: Simulating a BGP WAN Handoff on a Single Device“You don’t need a rack full of expensive routers to master ISP BGP handoffs. You just need a single L3 switch, a VRF, and a 6-inch patch cable.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-67bbf380-91b1-4eb7-b483-693892fc78b4)LinkedInInka Parviainen![](https://innasiec.pl/content/images/thumbnail/1771513322633-66c06a07-35eb-4776-98d9-b11c7151fca5)](https://www.linkedin.com/pulse/collapsed-edge-simulating-bgp-wan-handoff-single-inka-parviainen-yrs8f/?ref=innasiec.pl) Symulacja styku CE–PE zazwyczaj wymaga co najmniej dwóch urządzeń. Wystarczy jednak jeden przełącznik L3, kabel patch i VRF, żeby odtworzyć pełen handoff BGP w kontrolowanym środowisku. Kluczowy trick polega na podziale pojedynczego przełącznika na dwie logiczne domeny routingu: - **Port 3 (Gi1/0/3)** — strona enterprise, Global Routing Table, adres `10.0.0.1/30` - **Port 4 (Gi1/0/4)** — strona ISP, VRF `ISP_GATEWAY`, adres `10.0.0.2/30` Fizyczny kabel między tymi portami wymusza wyjście ruchu jako sygnał elektryczny z portu 3 i ponowne wejście na porcie 4 jako „nowy" pakiet. Przełącznik traktuje oba porty jak oddzielne urządzenia — bo konfiguracja VRF uniemożliwia wewnętrzne przeciekanie między tablicami routingu. Ponieważ wiele przełączników L3 nie obsługuje eBGP między VRF a Global Table, sesja działa jako iBGP w AS 65001 z poleceniem `route-reflector-client`. Strona enterprise rozgłasza prefix `192.0.2.0/24` (Loopback0 jako symulowany serwer). VRF ISP odpowiada domyślną trasą przez `default-originate`. Minimalny blok konfiguracji BGP po stronie enterprise: ``` router bgp 65001 neighbor 10.0.0.2 remote-as 65001 address-family ipv4 network 192.0.2.0 mask 255.255.255.0 neighbor 10.0.0.2 activate neighbor 10.0.0.2 route-reflector-client ``` Po stronie VRF ISP wystarczy dodać `neighbor 10.0.0.1 default-originate` w odpowiedniej address-family. **Idle** — BGP nie próbuje nawiązać połączenia. Najczęstsza przyczyna: brak L3 connectivity (sprawdź ping) albo brak `neighbor activate` w address-family. **Active** — BGP próbuje, ale bezskutecznie. Typowe powody: niezgodność `remote-as` lub konflikt Router ID (oba końce sesji mają ten sam ID). Rozwiązanie: `bgp router-id` w konfiguracji VRF nadaje unikalne ID stronie ISP. Po poprawkach wymuś reset: `clear ip bgp *`. Zanim uznasz lab za działający: ``` show ip bgp summary # stan sesji = liczba? show ip bgp neighbors 10.0.0.2 advertised-routes # czy wysyłam trasy? show ip route vrf ISP_GATEWAY # czy ISP je widzi? ping vrf ISP_GATEWAY 10.0.0.1 # czy mostek działa? ``` --- ## Pułapka redystrybucji tras statycznych do BGP [The Traps of Redistributing Backup Static Routes into BGPI recently encountered an interesting routing scenario involving BGP and a backup static route that resulted in unexpected fallback behavior and traffic forwarding to incorrect next-hop. The Setup Consider a scenario where router R2 receives the prefix 10.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-863d0fab-4ef1-4191-bf13-64564f7cd737)LinkedInChingiz Khalafov![](https://innasiec.pl/content/images/thumbnail/1781820696658-72d36af9-a4db-4d64-a7f0-08d5f197901e)](https://www.linkedin.com/pulse/traps-redistributing-backup-static-routes-bgp-chingiz-khalafov-exzvf/?ref=innasiec.pl) Konfiguracja zapasowej trasy statycznej z redystrybcją do BGP wygląda prosto. W praktyce może trwale zablokować ruch na ścieżce backupowej — nawet po przywróceniu sesji eBGP. Scenariusz: R2 odbiera prefiks 10.110.10.10/32 przez eBGP od R1 (AD 20). Jako backup skonfigurowana jest trasa statyczna z wyższym AD (240) przez R3, redystrybowana do BGP. Przy prawidłowej pracy eBGP — wszystko działa. Problem pojawia się w sekwencji: 1. Sąsiad eBGP wycofuje prefiks → trasa statyczna wchodzi do RIB 2. Redystrybucja wstrzykuje ją do tablicy BGP jako trasę lokalną 3. Cisco automatycznie przypisuje lokalnie wstrzykniętym trasom **Weight = 32768** 4. Sąsiad eBGP przywraca prefiks → R2 widzi dwie ścieżki w BGP I tu zaczyna się problem. BGP ocenia atrybuty sekwencyjnie, a **Weight jest pierwszym kryterium selekcji**. Trasa z redystrybucji ma weight 32768, trasa eBGP ma weight 0 — BGP nigdy nie zmieni swojego wyboru na ścieżkę zewnętrzną. Trasa statyczna pozostaje zablokowana w RIB, tworząc wieczną pętlę redystrybucji. ``` Paths: (2 available, best #2, table default) 64512 10.12.1.1 from 10.12.1.1 — valid, external Local 10.23.2.2 from 0.0.0.0 — weight 32768, valid, sourced, best <<<< ``` Problem pojawia się w dwóch sytuacjach: gdy sąsiad eBGP wycofuje i ponownie ogłasza prefiks, oraz gdy redystrybucja jest skonfigurowana **przed** nawiązaniem sesji eBGP. Ważna obserwacja: jeśli trasa statyczna i redystrybucja zostają dodane podczas stabilnej sesji eBGP, problem nie wystąpi — trasa statyczna nigdy nie trafi do RIB i nie zostanie wstrzyknięta do BGP. **Opcja preferowana:** Zastąp trasę statyczną sesją eBGP z R3\. Użyj Local Preference do sterowania priorytetem ścieżek — wyższa wartość dla tras od R1 zapewni czysty failover i failback bez efektów ubocznych. **Opcja alternatywna:** Jeśli redystrybucja trasy statycznej jest niezbędna, użyj route-mapy, która wyzeruje weight i obniży local-preference do wartości poniżej domyślnej (100): ``` route-map REDIST-STATIC permit 10 match tag 1234 set local-preference 50 set weight 0 ``` Przy weight = 0 BGP przechodzi do kolejnego kryterium: Local Preference. Trasa eBGP przychodząca z domyślnym LP=100 wygrywa z LP=50 redystrybowanej trasy statycznej. BGP instaluje ją w RIB, usuwa trasę statyczną, pętla zostaje przerwana. --- ## Gotowe scenariusze do labowania [GitHub - ipspace/netlab-examples: Sample virtual lab topologies for the netlab toolSample virtual lab topologies for the netlab tool. Contribute to ipspace/netlab-examples development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-4e291ffd-a865-4549-a065-24149040906e.svg)GitHubipspace![](https://innasiec.pl/content/images/thumbnail/netlab-examples-aeb5652f-4b1c-493f-ade7-226f87e127f6)](https://github.com/ipspace/netlab-examples?ref=innasiec.pl) Repozytorium oferuje gotowe, wirtualne topologie sieciowe do narzędzia netlab. Znajdziesz tu dziesiątki przykładów obejmujących różne technologie sieciowe takie jak BGP, DHCP, DMVPN, EIGRP, VXLAN, MPLS, IS-IS, OSPF, VLAN, VRF czy emulację WAN. Przykłady są dostępne do uruchomienia lokalnie lub w darmowym środowisku GitHub Codespaces, także na sprzęcie Apple silicon. --- ## Claude Code + Nokia [GitHub - antoinekh/nokia-sr-skills: Claude Code skill plugin: inspect & operate Nokia SR OS (SROS) and SR Linux - NOS detection, on-demand YANG models, version detection, config formats, CLI/NETCONF/gNMI.Claude Code skill plugin: inspect & operate Nokia SR OS (SROS) and SR Linux - NOS detection, on-demand YANG models, version detection, config formats, CLI/NETCONF/gNMI. - antoinekh/nokia-sr-skills![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-b3af5354-162f-43fa-8d5e-315f4b1034cc.svg)GitHubantoinekh![](https://opengraph.githubassets.com/a0b3761fca9a37b9e7eedf00f367f5ca57d6360ee4b10f6a7895439f2cf2334a/antoinekh/nokia-sr-skills)](https://github.com/antoinekh/nokia-sr-skills?ref=innasiec.pl) Plugin uczy Claude, jak rozróżniać i obsługiwać dwa systemy sieciowe Nokii - SR OS (SROS) i SR Linux (SRL). Potrafi wykrywać system NOS, pobierać odpowiednie modele YANG na żądanie, czytać wersję oprogramowania, rozumieć różne formaty konfiguracji oraz stosować odpowiednie metody operacji (NETCONF, MD-CLI, gNMI). Wskazuje też na językowy serwer Nokia srpls. --- ## Lab IPv6 – ile naprawdę potrzebujesz, żeby zacząć? _This post is for paying subscribers only._ ### 📬 ISN 244: Skanowanie /24 w 11 sekund, Projekt NERD i Potęga GitOps! URL: https://innasiec.pl/isn-244-skanowanie-24-w-11-sekund-projekt-nerd-i-potega-gitops/ Last updated: 2026-06-22T08:00:20.000Z ## Skanowanie /24 w 11 sekund zamiast 9 minut [Pinging Hosts Sequentially vs Concurrently in Python – Daniels Networking Blog![](https://innasiec.pl/content/images/icon/favicon-3c403196-4ff5-4d46-a26f-e0cb24fda8e7.ico)ddib](https://lostintransit.se/2026/06/10/pinging-hosts-sequentially-vs-concurrently-in-python/?ref=innasiec.pl) Przy skanowaniu pingiem każdy nieosiągalny host kosztuje \~2 sekundy oczekiwania (2 pakiety × timeout 1s). W /24 masz 254 hosty. Przy 7 osiągalnych i 247 nieosiągalnych: 247 × 2s ≈ 513 sekund. CPU przez cały ten czas nic nie robi — czeka. To klasyczny problem I/O-bound. Ping nie obciąża procesora — obciąża cierpliwość. Python od dawna ma w bibliotece standardowej `concurrent.futures`. Wystarczy dodać: ```python from concurrent.futures import ThreadPoolExecutor, as_completed ``` Kluczowa zmiana w logice skanowania to zastąpienie pętli `for` następującym blokiem: ```python with ThreadPoolExecutor(max_workers=50) as executor: futures = [executor.submit(ping_host, str(ip)) for ip in hosts] for i, future in enumerate(as_completed(futures), 1): ip, is_up = future.result() ``` Zamiast czekać na każdy ping z osobna, wysyłamy 50 jednocześnie. Wynik: **11 sekund zamiast 513**. **Trzy elementy, które warto rozumieć** `**executor.submit()**` — nieblokujące. Zwraca `Future` natychmiast i rusza dalej. Nie czeka na ping. `**as_completed()**` — iterator event-driven, bez pollingu. Yielduje `Future` w kolejności ukończenia, nie wysłania. Dlatego w logach .1 pojawi się przed .2 — bo odpowiedział szybciej. `**future.result()**` — blokuje *tylko* dla konkretnego `Future`, który już zakończył pracę. Nie ma busy-waiting. Dlaczego wątki zamiast procesów? Ping czeka na odpowiedź sieciową — to I/O-bound. `ThreadPoolExecutor` wystarczy. `ProcessPoolExecutor` opłaca się przy zadaniach CPU-bound (np. kryptografia, parsowanie dużych plików). --- ## Dlaczego twój agent działa na demo i pada na produkcji [Stop Demoing Where Agents Work. Start Studying Where They Fail.Every day, LinkedIn, X, YouTube, and conference stages are filled with impressive agentic AI demos. A coding agent fixes a bug autonomously.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-8c976d54-6888-462c-92e5-9d398caa2188)LinkedInJavier Antich Romaguera![](https://innasiec.pl/content/images/thumbnail/1778267983594-9b11b972-49a7-4600-979b-52935214ef93)](https://www.linkedin.com/pulse/stop-demoing-where-agents-work-start-studying-fail-antich-romaguera-tdjze?ref=innasiec.pl) Demo pokazuje, że agent wykonał zadanie przy konkretnych danych wejściowych, w kontrolowanych warunkach, podczas jednego uruchomienia. To nie jest walidacja niezawodności. To jest cherry-picking. Produkcja wygląda inaczej: token limits, błędy narzędzi, halucynacje generowane z pełnym przekonaniem, zły dobór narzędzia z powodu niejednoznacznych opisów, kaskadowe błędy z jednej literówki w poleceniu użytkownika. Nikt nie pokazuje tego na demo. Większość zespołów budujących agenty pyta: *"Ile tasków agent rozwiązuje poprawnie?"* To pytanie jest niekompletne. Ważniejsze są: - Dlaczego pozostałe zadania się nie udały? - Czy agent wiedział, że popełnia błąd? - Czy halucynował z pewnością siebie? - Czy awaria mogła być wykryta i zawarta lokalnie? - Czy system zdegradował się bezpiecznie? To są pytania o niezawodność. I każdy wystarczająco złożony system operacyjny na nie trafia — prędzej czy później. Branża przerabiała już ten schemat. Gdy systemy rozproszone stały się zbyt złożone dla klasycznych operacji, Google odpowiedział Site Reliability Engineering. Kluczowy insight SRE: *awaria jest nieuchronna — niezawodność polega na jej rozumieniu, izolowaniu i uczeniu się z niej.* Systemy agentowe potrzebują analogicznego podejścia. Autor proponuje termin **Agent Reliability Engineering (ARE)**. Fundamentalna zmiana filozofii: zamiast pytać *"jak zrobić agenta bardziej imponującym?"* — pytamy *"jak sprawić, żeby agent failował bezpiecznie i poprawiał się ciągle?"* Praktycznie oznacza to projektowanie z założeniem nieuchronnej awarii: observability decyzji agenta (nie tylko finalnej odpowiedzi, ale dlaczego wybrał dane narzędzie, jakie miał alternatywy, jak ewoluowała jego pewność), izolacja blast radius błędów, mechanizmy recovery, postmortemy, i ciągłe uczenie z failure patterns. Multi-agent architectures przestają być wtedy tylko skalowaniem możliwości — stają się mechanizmem niezawodności. Agenci wzajemnie weryfikują swoje wyjścia, kwestionują założenia, porównują wnioski. Jeśli budujesz lub oceniasz systemy agentowe dla operacji sieciowych, jedno konkretne działanie: **zacznij dokumentować przypadki porażek, nie sukcesów.** Zbuduj wewnętrzny rejestr: kiedy agent zawiódł, dlaczego, czy wykrył własny błąd, jak system zareagował. To jest fundament ARE. Organizacje wkrótce przestaną pytać *"czy twój agent rozwiązuje zadania?"* — zaczną pytać *"czy twój system można ufać na produkcji, gdy coś pójdzie nie tak?"* To zdecydowanie trudniejsze pytanie. I zdecydowanie ważniejsze. --- ## Projekt NERD [GitHub - tonybourke/Project-NERDContribute to tonybourke/Project-NERD development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-2dfcaaf5-d5ac-4a45-b36d-6088d15ff498.svg)GitHubtonybourke![](https://innasiec.pl/content/images/thumbnail/Project-NERD-8e12159d-f57f-4599-b87c-561a4c5044ef)](https://github.com/tonybourke/Project-NERD?ref=innasiec.pl) NERD to zestaw poradników i narzędzi (plików, playbooków, skryptów) do tworzenia VM i kontenerów wspomagających automatyzację sieci, szczególnie do laboratoriów. Instrukcje są skierowane do domowych laboratoriów, ale mogą też służyć jako podstawa do produkcyjnych środowisk. Dzięki NERD łatwiej zbudujesz środowisko do nauki automatyzacji sieci z containerlab, VS Code (jako aplikacja webowa) i Ansible/Pythonem. --- ## Deszyfruj hasła Juniper w Python [GitHub - antoinekh/juniper8-crypt: Python library and CLI to encrypt, decrypt, and compare Juniper $8$ (type 8) passwordsPython library and CLI to encrypt, decrypt, and compare Juniper $8$ (type 8) passwords - antoinekh/juniper8-crypt![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-364ffc81-2e6b-414a-92a3-7af7e93d2d13.svg)GitHubantoinekh![](https://innasiec.pl/content/images/thumbnail/juniper8-crypt-d8aeaeb8-5a53-44a3-9687-f5ab32760222)](https://github.com/antoinekh/juniper8-crypt?ref=innasiec.pl) Pythonowa biblioteka, która pozwala na szyfrowanie i deszyfrowanie haseł $8$. Jeśli korzystasz z uv możesz całość odpalić bez instalacji. ``` uvx juniper8-crypt --master 'MySecretMasterPw' --decrypt '$8$aes256-gcm$hmac-sha2-256$100$p8XEvHtxRNE$d/hqRmh5etkBzo7WSdtvjg$7w1eMTYXkz4RdzMF9CAkJQ$qVLunbFwBWwyxln2Vg' ``` --- ## GitOps zmienia zasady gry _This post is for paying subscribers only._ ### 📬 ISN 243: AI jako Wirtualne Laboratorium, Fortinet pod Lupą i Nowa Topologia DC! URL: https://innasiec.pl/isn-243-ai-jako-wirtualne-laboratorium-fortinet-pod-lupa-i-nowa-topologia-dc/ Last updated: 2026-06-15T08:00:45.000Z ## Nowa stara topologia w Data Center [Goodbye, Leaf-and-Spine Networks? « ipSpace.net blogA friend of mine sent me links to a new paper published by AWS engineers, and an associated LinkedIn post which claims: We got lean, resilient, massive aggregation fabrics that provide 33% better throughput with 69% fewer routers, savings 27% of costs, cutting power usage by 40%, and reducing CO2 emissions. The obvious question one should ask after reading the hyperventilated Radical Network Redesign blog post is thus: is this the end of leaf-and-spine networks? Of course not. Let’s go into the details.![](https://innasiec.pl/content/images/icon/favicon-137d77f0-a75f-465e-95e0-51eafd3d8eac.ico)ipSpace Logo![](https://innasiec.pl/content/images/thumbnail/og-image-352399eb-d2f4-479a-baf9-fbeeeff5308e.png)](https://blog.ipspace.net/2026/06/goodbye-leaf-spine-networks/?ref=innasiec.pl) Zamiast tradycyjnych switchy spine, AWS łączy switche leaf bezpośrednio przez pasywne urządzenie zwane ShuffleBox. Topologia wygląda jak losowa sieć połączeń – stąd marketingowe hasło "random graph theory". W rzeczywistości to zoptymalizowany quasi-losowy graf, gdzie uplinki 400GE są dzielone na osobne pasy 100GE, a ShuffleBox to prewired patch panel realizujący określoną macierz połączeń. To nie jest nowy pomysł. Firma Plexxi próbowała dokładnie tego samego ponad dekadę temu – najpierw z CWDM, potem z prewired middlebox. Skończyła na przejęciu przez HP. **Skąd biorą się liczby: 33% lepszy throughput, 40% mniej energii?** Oszczędności energii są wiarygodne – ShuffleBox to element pasywny, bez zasilania i chłodzenia. Tu nie ma czego kwestionować. Natomiast wyższy throughput wymaga kontekstu. Rozwiązanie zakłada **3:1 oversubscription** w warstwie łączącej switche ToR w porównywanej topologii fat-tree. Innymi słowy: baseline jest celowo ograniczony. W porównaniu jabłko do jabłka – leaf-and-spine bez oversubscription w core – fizycznie nie możesz uzyskać wyższego throughput w partial mesh. Ruch między dowolnymi dwoma endpointami w L&S pokonuje dokładnie dwa uplinki leaf. W topologii AWS może pokonywać ich więcej, gdy leaf switch pełni rolę węzła tranzytowego. Lepszy load balancing w rozwiązaniu AWS wynika prawdopodobnie z większej liczby ścieżek alternatywnych oraz algorytmu routingu uwzględniającego obciążenie linków (tzw. spraypoint routing – dwa VRF-y zamiast tuneli, co jest faktycznie eleganckim rozwiązaniem bez narzutu enkapsulacji). Jeśli budujesz fabric z **dziesiątkami tysięcy switchy**, ten paper jest wart uważnej lektury. Mniejsza liczba aktywnych urządzeń to realne oszczędności CAPEX i OPEX w tej skali. Jeśli zarządzasz typowym enterprise datacenter, możesz spokojnie zignorować hype. Kilka praktycznych punktów odniesienia: - Cztery switche leaf połączone w full mesh zamiast dedykowanej warstwy spine – klasyczna, sprawdzona optymalizacja dla małych fabriców - Problemy z load balancingiem w L&S rozwiązuje się przez packet spraying lub adaptive routing, zanim sięgnie się po całkowicie nową topologię - Złożoność operacyjna przy dodawaniu/usuwaniu węzłów w quasi-random graph może niwelować zyski --- ## AI jako wirtualne laboratorium sieciowe [Unlock Network Labs with AI Prompt EngineeringA prompt is an instruction given to a model to perform a task. Prompts are the foundation of all generative AI.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-5ee753a8-70ab-4ae0-bc34-bda3d017aac1)LinkedInSergio A.![](https://innasiec.pl/content/images/thumbnail/1775336807975-e0d4d6cd-45bb-46cc-9e94-84a8a991c39e)](https://www.linkedin.com/pulse/unlock-network-labs-ai-prompt-engineering-sergio-amorim-nbige/?ref=innasiec.pl) Przygotowanie do CCIE zawsze wymagało sprzętu. Stary serwer z eBaya, licencje, konfiguracja EVE-NG — zanim zacząłeś ćwiczyć, traciłeś dni. Istnieje szybsza droga. Idea jest prosta: skonstruuj prompt, który każe modelowi językowemu *wcielić się* w urządzenie sieciowe i odpowiadać jak jego CLI. Nie jako chatbot omawiający konfigurację — ale jako interaktywny terminal. Przykład działającego podejścia dla Cisco ASR9K: > *"Act as a terminal server with two Cisco ASR9K routers connected via Te0/0/0/1 and Te0/0/0/2\. Respond only with CLI output. No explanations."* ChatGPT i Gemini poprawnie odwzorowują składnię IOS-XR, zwracają output `show interfaces`, akceptują komendy konfiguracyjne i utrzymują stan sesji w obrębie konwersacji. **Największy zysk pojawia się przy technologiach, do których brak obrazów qcow2 lub dostęp do sandboxa jest ograniczony**. Nvidia Spectrum-X to dobry przykład — brak publicznie dostępnego emulatora, a środowisko Nvidii jest niedostępne bez kontraktu. Prompt z topologią clos (2 leaf, 1 spine) na Spectrum-X generuje działające wyjścia CLI zgodne z NVOS. Podobnie działa z SONiC — model zna składnię `sonic-cli` i potrafi odwzorować typowe workflow konfiguracyjne. Praktyczne przypadki użycia: - Szybka weryfikacja składni przed wdrożeniem na produkcji - Nauka nowych platform bez dostępu do sprzętu - Prototypowanie topologii MPLS/SR przed laboratorium fizycznym - Odświeżenie wiedzy z legacy systemów (Cisco PIX, starsze IOS) To nie jest zamiennik prawdziwego emulatora. Model nie utrzymuje pełnego stanu między sesjami, nie symuluje zachowania protokołów w czasie rzeczywistym i może halucynować nieistniejące komendy — szczególnie przy niszowych platformach lub edge case'ach konfiguracyjnych. Traktuj to jako narzędzie do nauki składni i eksploracji funkcjonalności, nie do walidacji zachowania protokołów pod obciążeniem. Gotowe prompty są dostępne w otwartym repozytorium: **prompts.chat** (GitHub: `f/prompts.chat`). Znajdziesz tam bazę wyjściową dla network router emulator — wystarczy dostosować platformę i topologię do swoich potrzeb. Jeśli chcesz zbudować własny prompt: kluczowe jest jawne określenie platformy, wersji systemu operacyjnego oraz instrukcja, by model odpowiadał *wyłącznie* outputem CLI — bez komentarzy i wyjaśnień. To eliminuje większość problemów z niespójnością odpowiedzi. --- ## Lekki kolektor NetFlow [GitHub - Michaelbecze/FlowMaster: FlowMasterFlowMaster. Contribute to Michaelbecze/FlowMaster development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-4ec875d5-1154-4c53-9fe5-07011078ad34.svg)GitHubMichaelbecze![](https://innasiec.pl/content/images/thumbnail/FlowMaster-500cf024-1b84-4272-99eb-ccc49b5217df)](https://github.com/Michaelbecze/FlowMaster?ref=innasiec.pl) FlowMaster to lekki kolektor NetFlow v5 oraz pulpit nawigacyjny do analizy w czasie rzeczywistym, przeznaczony dla domowych i małych biur. Odbiera dane z przełączników Cisco IOS i pfSense, przechowuje je w SQLite, a następnie wyświetla interaktywny dashboard w przeglądarce z aktualizacjami co 5 sekund. Dzięki temu łatwo monitorujesz ruch sieciowy, widzisz podział protokołów, aplikacji, głównych nadawców oraz mapę przepływów między źródłami i celami. --- ## Awesome Fortinet [GitHub - yuriskinfo/awesome-Fortinet: Curated list of useful resources for those working with Fortinet productsCurated list of useful resources for those working with Fortinet products - yuriskinfo/awesome-Fortinet![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-2ed1b671-b35a-4afa-bbdb-4d8455b43c06.svg)GitHubyuriskinfo![](https://innasiec.pl/content/images/thumbnail/awesome-Fortinet-1ffbab4b-4788-4e1c-92d7-be2aab189a4f)](https://github.com/yuriskinfo/awesome-Fortinet?ref=innasiec.pl) Strona zawiera bogatą kolekcję zasobów i narzędzi związanych z Fortinet – od oficjalnego wsparcia technicznego i forów społecznościowych, przez aktualności o zagrożeniach i nowych wersjach oprogramowania, po blogi, wideotutoriale oraz skrypty automatyzujące zarządzanie urządzeniami. Znajdziesz tu także rekomendacje szkoleń, dostęp do materiałów demo oraz liczne linki do repozytoriów z przykładami i narzędziami. --- ## Egzamin, który zmienia sposób myślenia o projektowaniu sieci _This post is for paying subscribers only._ ### 📬 ISN 242: Docker run vs start, BNG z zewnętrznym DHCP i automatyzacja Cloudflare Tunnel! URL: https://innasiec.pl/isn-242-docker-run-vs-start-bng-z-zewnetrznym-dhcp-i-automatyzacja-cloudflare-tunnel/ Last updated: 2026-06-08T08:00:23.000Z ## Próżność architekta [The Architect’s Vanity: How I Engineered My Own Technical DebtI spent six months reading RFCs to build a global RSVP-TE backbone only I could safely operate. The engineers who replaced me ripped it out in a week.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-19b079c09197fba68d021fa3ba394ec91703909ffd237efa3eb9a2bca13148ec)LinkedInHerve Hildenbrand![](https://innasiec.pl/content/images/thumbnail/1780395003274-3a95bd7c206b2f35a14c3367d88827b1584a403b5c04ea980cbc800a0d0dce3b)](https://www.linkedin.com/pulse/architects-vanity-how-i-engineered-my-own-technical-debt-hildenbrand-vcbde/?ref=innasiec.pl) Herve Hildenbrand spędził sześć miesięcy na czytaniu RFC i budowaniu backbone'u opartego na RSVP-TE. Inżynierowie, którzy go zastąpili, zdemontowali go w tydzień. I mieli rację. Autor połączył sieci w jeden IGP, dodał MPLS RSVP-TE i ręcznie zaprojektowałem każdy LSP. Deployment był bezbłędny. Tabele routingu – arcydzieło. I właśnie na tym polegał problem. Traffic engineering działał perfekcyjnie, ale wynik biznesowy był prawie niezauważalny. Zbudował system o wyraźnie wyższej złożoności operacyjnej, który osiągał efekty zbliżone do znacznie prostszego rozwiązania. Każda zmiana wymagała głębokiego zrozumienia nie tylko projektu, ale intencji stojącej za każdym wyjątkiem. Nie było automatyzacji. Był za to jeden punkt wiedzy: Autor. Kiedy przeszedł do innej roli, następcy odziedziczyli system technicznie elegancki i operacyjnie kruchy. Wymienili inżynierską perfekcję na coś cenniejszego – zdolność do przeżycia bez autora. Mam teraz nazwę dla tego rodzaju długu: **próżność architektoniczna**. To dług, który powstaje, gdy budujesz sieć, którą chcesz projektować, zamiast sieci, której faktycznie potrzebuje biznes. **Trzy pytania, które zadaj sobie przed kolejnym projektem** Zanim zdefiniujesz architekturę, odpowiedz uczciwie: - **Bus factor**: Jeśli jutro odejdziesz, czy architektura pozostanie biznesowym aktywem – czy stanie się operacyjnym ciężarem? - **Motyw**: Rozwiązujesz realny problem biznesowy, czy dajesz swojej technicznej ciekawości uprawnienia produkcyjne? - **Reguła 3 w nocy**: Czy kompetentny mid-level engineer zdebuguje incydent bez dzwonienia do ciebie? Jeśli odpowiedź na którekolwiek pytanie brzmi „nie" – możliwe, że nie budujesz odporności. Budujesz zależność. --- ## `docker run` vs `docker start` [#docker #cybersecurity #sysadmin #devops #itsecurity | Krzysztof GodziszZapewne zwróciłeś uwagę, jak wielu początkujących użytkowników dockera tworzy zduplikowane kontenery, zupełnie nie zdając sobie z tego sprawy. Wpisują komendę, aplikacja działa, ale po restarcie systemu wpisują to samo polecenie i nagle na dysku pojawia się kolejny, identyczny twór. Brzmi znajomo? Problem leży w niezrozumieniu fundamentalnej różnicy między dwoma poleceniami: docker run a docker start. Wszystko rozbija się o cykl życia kontenera. Kiedy wpisujesz w terminalu: docker run -itd --name moj-target debian /bin/bash Docker robi dwie rzeczy jednocześnie. Najpierw tworzy nowy kontener z obrazu (rezerwuje dla niego miejsce i pliki), a następnie go uruchamia. Parametr -d sprawia, że proces działa cicho w tle. Zgodnie z otrzymanym wynikiem, na ekranie zobaczysz tylko długi identyfikator. Kontener działa. Co dzieje się jednak, gdy go zatrzymasz poleceniem docker stop? Kontener przechodzi w stan uśpienia. On nadal istnieje na Twoim dysku i czeka na ponowne wywołanie. Jeśli teraz popełnisz klasyczny błąd nowicjusza i wpiszesz ponownie docker run, system wyrzuci błąd, że nazwa „moj-cel” jest już zajęta. Jeśli nie użyłeś flagi --name, Docker bezgłośnie stworzy nowy kontener z losową nazwą. W ten sposób po tygodniu obudzisz się z dwudziestoma kontenerami, które robią dokładnie to samo i bezczelnie zjadają Twoje zasoby. Jak temu zapobiec? Do uruchomienia już istniejącego, zatrzymanego kontenera służy wyłącznie komenda: docker start moj-cel Nic dodać, nic ująć. Pierwsze polecenie to stworzenie kontenera, drugie to po prostu uruchomienie. Uczmy się kontrolować nasze środowisko laboratoryjne. Porządek w terminalu to podstawa bezpiecznej pracy. Więcej o prawidłowym zarządzaniu cyklem życia kontenerów oraz konfiguracji flag -it opisałem w rozdziale 4 mojej książki „Laboratorium cyberbezpieczeństwa w Dockerze. Zrób to sam”. A jak to wygląda u Ciebie? Często łapiesz się na tym, że po wpisaniu docker ps -a widzisz na liście sporą liczbę zapomnianych, losowych kontenerów? Jak sobie radzisz z czyszczeniem środowiska? Daj znać w komentarzu. #Docker #Cybersecurity #SysAdmin #DevOps #ITSecurity![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-19b079c09197fba68d021fa3ba394ec91703909ffd237efa3eb9a2bca13148ec)LinkedInKrzysztof Godzisz![](https://innasiec.pl/content/images/thumbnail/1780294510431-25f57aa7e45d4ae03091b4659fc70b4b7e4a670b8df71970b27ef8815e906228)](https://www.linkedin.com/posts/krzysztof-godzisz%5Fdocker-cybersecurity-sysadmin-share-7467096389408153600-N0aA/?ref=innasiec.pl) `docker run` to operacja **twórz i uruchom**. Za każdym razem, gdy je wywołujesz, Docker tworzy nowy kontener z obrazu — niezależnie od tego, czy identyczny już istnieje na dysku. Jeśli użyłeś flagi `--name`, dostaniesz błąd kolizji nazw. Jeśli nie — Docker bezgłośnie powołuje kolejny kontener z losową nazwą i pożera zasoby. `docker start` to operacja **uruchom istniejący**. Kontener zatrzymany przez `docker stop` nadal rezyduje na dysku w stanie uśpienia. To jego jedyna słuszna metoda powrotu do życia. ```bash # Tworzy kontener — wywołuj tylko raz docker run -itd --name moj-target debian /bin/bash # Zatrzymuje bez usuwania docker stop moj-target # Przywraca do działania — to wołaj po każdym restarcie docker start moj-target ``` W środowiskach testowych i CI/CD ten błąd jest szczególnie kosztowny. Zapomniane kontenery zajmują przestrzeń dyskową, mogą trzymać otwarte porty i powodować trudne do debugowania konflikty sieciowe. Jeden szybki audyt pozwala ocenić skalę problemu: ```bash docker ps -a --format "table {{.Names}}\t{{.Status}}\t{{.CreatedAt}}" ``` Jeśli widzisz wiele kontenerów w stanie `Exited` z losowymi nazwami — masz dokładnie ten problem. Czyszczenie środowiska sprowadza się do dwóch poleceń: `docker container prune` usuwa wszystkie zatrzymane kontenery, a `docker system prune` idzie dalej i czyści również nieużywane obrazy i wolumeny. Używaj drugiego z rozwagą w środowiskach współdzielonych. Zasada jest prosta: `docker run` wywołujesz **raz przy inicjalizacji**, `docker start` — **przy każdym kolejnym uruchomieniu**. Jeśli zarządzasz wieloma środowiskami, rozważ przeniesienie definicji kontenerów do `docker-compose.yml` — `docker compose up` i `docker compose down` eliminują tę dwuznaczność całkowicie, bo stan środowiska jest deklaratywny i powtarzalny. --- ## BNG z zewnętrzym DHCP [GitHub - 0return/BNG\_DHCP\_Relay: BNG with external DHCP - DHCP RELAY, NOS - TiMOS-B-25.7.R2 and bngblaster 0.9.18BNG with external DHCP - DHCP RELAY, NOS - TiMOS-B-25.7.R2 and bngblaster 0.9.18 - 0return/BNG\_DHCP\_Relay![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-e2c39927d004078983910c9017066f4257a1d80a7e2456753d1285938dd858e7.svg)GitHub0return![](https://opengraph.githubassets.com/08aa5e5cc28eaed8652237131ed8920c940822b96788186318f237380cfde6a2/0return/BNG_DHCP_Relay)](https://github.com/0return/BNG%5FDHCP%5FRelay?ref=innasiec.pl) Repozytorium zawiera konfiguracje i pliki związane z implementacją DHCP Relay w środowisku BNG (Broadband Network Gateway) z użyciem NOS TiMOS oraz narzędzia bngblaster. Znajdziesz tu m.in. pliki konfiguracyjne DHCP Server i DHCP Relay w formacie YAML, skrypty do testów wydajnościowych oraz schematy topologii i weryfikacji działania. --- ## Automatyczne zarządzanie Cloudflare Tunnel [GitHub - ChrispyBacon-dev/DockFlare: DockFlare: Automate Cloudflare Tunnels with Docker LabelsDockFlare: Automate Cloudflare Tunnels with Docker Labels - ChrispyBacon-dev/DockFlare![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-e2c39927d004078983910c9017066f4257a1d80a7e2456753d1285938dd858e7.svg)GitHubChrispyBacon-dev![](https://innasiec.pl/content/images/thumbnail/DockFlare-090c9e99fa381aef9d6bab792d098c05963343095a0faf1034c41dbef5710214)](https://github.com/ChrispyBacon-dev/DockFlare?ref=innasiec.pl) DockFlare to samoobsługowa platforma do zarządzania Cloudflare Tunnel, która automatycznie konfiguruje publiczny dostęp do kontenerów Docker bez ręcznej obsługi panelu Cloudflare. Dzięki integracji z metadanymi kontenerów i możliwością zarządzania regułami z poziomu interfejsu webowego, ułatwia szybkie i niezawodne wystawianie usług w sieci. --- ## Router ID w sieciach IPv6-native _This post is for paying subscribers only._ ### 📬 ISN 241: 24 Książki, które Musisz Mieć, Automatyzacja z Nornir i Zmiany w Cisco! URL: https://innasiec.pl/isn-241-24-ksiazki-ktore-musisz-miec-automatyzacja-z-nornir-i-zmiany-w-cisco/ Last updated: 2026-06-01T08:00:00.000Z ## Zmiany w certyfikacji Cisco [Cisco Launches Major Updates to Certifications – Daniels Networking Blog![](https://innasiec.pl/content/images/icon/favicon-6bdb369337ac2496761c6f063bffea0aa6a91d4662279c399071a468251f51f0.ico)ddib![](https://innasiec.pl/content/images/thumbnail/ccna_domains-c1dea1944939e677eb19549a067f5efa96772a1ac793e27411a4d4d808e3dd3e.png)](https://lostintransit.se/2026/05/21/cisco-launches-major-updates-to-certifications/?ref=innasiec.pl) Cisco właśnie ogłosiło największą od lat rewizję portfolio certyfikacji. Jeśli planujesz odnawiać lub rozszerzać swoje kwalifikacje, masz czas do marca 2027 — potem reguły gry się zmieniają. Najważniejszy sygnał z tych aktualizacji nie dotyczy konkretnych technologii. Chodzi o zmianę oczekiwanego profilu inżyniera. Cisco wprost mówi: przyszły network engineer to orkiestrator, nie operator. CLI to już tylko jeden z wielu narzędzi. Praktycznym wyrazem tej filozofii są trzy zmiany: - **CCNA v2.0** (od lutego 2027) — troubleshooting w każdej domenie, security jako element całości, AI jako wymagana kompetencja operacyjna - **CCIE Practical — moduł AI DOO** — dodatkowa godzina egzaminu poświęcona wyłącznie pracy z narzędziami AI (Cisco Native AI, AIOps, AgenticOps); dostępna tylko podczas tego modułu - **CCIE Automation v1.2** (od marca 2027) — aktualizacja blueprintu i środowiska egzaminacyjnego pod kątem nowoczesnych narzędzi automatyzacji Jeśli już masz CCIE lub CCNP, krótkoterminowo nic się nie zmienia — twoje aktualne certyfikaty pozostają ważne do daty wygaśnięcia. Jednak patrząc na kierunek zmian, warto zacząć weryfikować lukę kompetencyjną. Kluczowe pytanie brzmi: czy umiesz krytycznie oceniać output narzędzi AI w kontekście sieci produkcyjnej? To nie jest pytanie o znajomość promptów — to pytanie o głęboką wiedzę domenową, która pozwala wychwycić błędną rekomendację agenta AI zanim trafi na środowisko produkcyjne. I właśnie tego Cisco będzie wymagać na egzaminach. Jeśli jesteś w trakcie przygotowań do CCIE lub planujesz zacząć — sprawdź aktualny harmonogram rolloutów. CCIE Data Center dostanie moduł AI DOO jako pierwsza, kolejne tory wejdą w 2026–2027\. Warto zdawać według starego blueprintu, jeśli jesteś już zaawansowany w przygotowaniach. Niezależnie od planów certyfikacyjnych: integracja AI z codzienną pracą operacyjną przestała być tematem na konferencje. Cisco właśnie formalnie potwierdziło, że to fundament przyszłego warsztatu inżyniera sieciowego. --- ## Spec-driven development [Network Engineers: You’ve Been Doing Spec-Driven Development for Years, You Just Didn’t Know ItQuick Summary Let me tell you what a network engineer does before touching a device. They gather requirements.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-19b079c09197fba68d021fa3ba394ec91703909ffd237efa3eb9a2bca13148ec)LinkedInJohn Capobianco![](https://innasiec.pl/content/images/thumbnail/1776365132430-b0bee1546492e1433c97fcc7f8bd6d8fdab2ef9ff69697e965634a3ddd23964c)](https://www.linkedin.com/pulse/network-engineers-youve-been-doing-spec-driven-years-you-capobianco-3rgff/?ref=innasiec.pl) Spec-driven development (SDD) jest modne w dyskusjach o AI agentach. Dla inżynierów sieciowych to nie jest nowy paradygmat — to nowa nazwa na coś, co robisz od dekad. Zanim dotknąłeś urządzenia, zbierałeś wymagania. Dokumentowałeś stan obecny. Definiowałeś oczekiwany stan po zmianie. Pisałeś procedury rollbacku. Tworzyłeś plan testów. I dopiero wtedy wykonywałeś zmianę. SDD działa w czterech fazach: **Constitution** (wartości i guardrails systemu), **Specifications** (co system ma robić — w natural language, nie w kodzie), **Tasks** (ordered work items z tych specyfikacji), **Implementation** (dopiero teraz cokolwiek się buduje lub wykonuje). Problem pojawia się, gdy AI agent dostaje dostęp do twojej infrastruktury bez struktury wokół tego dostępu. LLM-y są probabilistyczne. Infrastruktura jest deterministyczna. To fundamentalna sprzeczność. "Vibe coding" — opisz co chcesz, model generuje, shippujesz — sprawdza się przy projektach weekendowych. Przy BGP session lub firewall policy wprowadzasz niedeterminizm tam, gdzie jest on niedopuszczalny. SDD jest warstwą, która to ogranicza. Constitution, specifications, tasks — to nie jest overhead. To coś, czemu produkuja może ufać. John Capobianco budując NetClaw (network-focused AI agent) zaczął od **soul file** — zestawu twardych guardrails w plain English: - Nigdy nie aplikuj ACL blokującego ruch management - Nigdy nie zmieniaj enable secret bez jawnego polecenia - Przed każdą akcją pobierz stan urządzenia i skonfrontuj z source of truth To nie jest kod. To intencja zapisana w specyfikacji, do której agent sięga przed każdą akcją. Kiedy agent trafił przed 600 inżynierów w publicznym Slack-u, dostał 35 prób social engineeringu w kilka minut — próby eksfiltracji API keys, korupcji boot variables, promptów zakodowanych w base64 i hex. Soul file wytrzymał, bo spec powiedziała, że ma wytrzymać. MCP (Model Context Protocol) uzupełnia ten obraz — to protokół łączący agenta z twoimi narzędziami (NetBox, Nautobot, Arista, Juniper). Ale MCP bez SDD to dawanie agentowi dostępu do infrastruktury bez struktury wokół tego, co z nim robi. **SDD first. MCP second. W tej kolejności.** --- ## 24 książki dla sysadminów i network engineerów [Humble Tech Book Bundle: The Ultimate Linux & SysAdmin BundleUnlock the ultimate Linux & SysAdmin library of tech courses for one low price. Plus, your purchase helps support the Prevent Cancer Foundation!![](https://innasiec.pl/content/images/icon/03df0490a53d595fd930f9fff52038366d60a05d-0b4dfb23f38ebe813cafc673df31c423f6384c58e59a5a8c416ca8992754383b.png)Humble Bundle![](https://innasiec.pl/content/images/thumbnail/876cedeb9dc4488c5b0632ff44250d1d0b376f60-6f7713f284f2f6f181b40db1a1c15c7ad401ec9a6d36fe1af0cd4ed799439942.png)](https://www.humblebundle.com/books/ultimate-linux-sysadmin-bundle-books?ref=innasiec.pl) Za $18 dostajemy 24 tytuły od Packt Publishing. Dla network engineera szczególnie interesujące pozycje to: - **Mastering Python Networking (4th ed.)** — Eric Chou, AsyncIO, AWS/Azure, DevOps tooling - **AI Networking Cookbook** — OpenAI, LangChain i lokalne LLM w kontekście automatyzacji sieci - **Modern Network Observability** — budowanie stacku observability, dashboardy, integracja z automatyzacją - **Network Automation Cookbook (2nd ed.)** — Ansible, Terraform, Event-Driven Ansible, Nautobot jako Source of Truth To nie są książki do nauki podstaw — celują wprost w automatyzację, programowalność i nowoczesne podejście do operacji sieciowych. --- ## gNMI na diagramie [OpenConfig gRPC Services Map![](https://innasiec.pl/content/images/icon/favicon-15b2b5c746d748c354ef8217cb3e92d4ed5a5863299ef57d58740f76b0af7b92.svg)](https://protomap.netdevops.me/gnmi/gnmi/0.10.0?ref=innasiec.pl) Serwis pokazuje graficzną reprezentację dokumentacji gNMI w wersji OpenConfig. Umożliwia łatwe odnalezienie właściwych RPC i sprawdzenie wymaganych parametrów. Dostępny jest także eksport do PDF lub SVG. --- ## Nornir + NetBox _This post is for paying subscribers only._ ### 📬 ISN 240: Zwolnienia w Cisco, Nexus Group-Based Policy i Tajemnice DNS! URL: https://innasiec.pl/isn-240-zwolnienia-w-cisco-nexus-group-based-policy-i-tajemnice-dns/ Last updated: 2026-05-25T08:00:41.000Z ## Wnioski ze zwolnień w Cisco Cisco właśnie ogłosiło kolejną falę zwolnień — tym razem \~4000 pracowników, czyli około 5% załogi. Paradoks? Dzieje się to w kwartale z rekordowymi przychodami: $15,8 mld, wzrost 12% r/r, zysk netto $3,4 mld (+35%). CEO Chuck Robbins wprost powiedział, że **cięcia nie wynikają ze słabości finansowej**. Chodzi o realokację kapitału w kierunku obszarów o największym potencjale wzrostu. Cisco koncentruje inwestycje na czterech filarach: - **Silicon i optics** — własna produkcja układów scalonych i technologie optyczne - **Security** — rozbudowa portfolio cybersecurity - **AI infrastructure** — już $5,3 mld sprzedaży w tym roku, cel roczny: $9 mld - **Wdrożenia AI wewnętrznie** — automatyzacja procesów w samej firmie To klasyczny pivot platformowy: mniej ludzi w tradycyjnych obszarach, więcej zasobów tam, gdzie marże będą rosły. Wzrost zamówień na produkty Cisco wyniósł 35% r/r, w tym spektakularne 105% od hyperscalerów. Sprzęt Wi-Fi urósł o 40%. Cisco nie znika z rynku — wręcz przeciwnie, przyspiesza. Ale kierunek jest czytelny: **tradycyjne role sieciowe, które nie mają komponentu bezpieczeństwa ani AI, będą pod presją.** Robbins sygnalizuje, że firmy wygrywające erę AI będą tymi z "fokusem i dyscypliną w alokacji inwestycji". Przekładając to na język inżynierski: generaliści bez specjalizacji w bezpieczeństwie lub automatyzacji stają się mniej konkurencyjni. Warto też odnotować jeden cyniczny szczegół: **zwalnianym pracownikom Cisco "hojnie" oferuje roczny dostęp do szkoleń Cisco U — czyli do platformy, która generuje przychody dla samego Cisco.** Marketing w czystej postaci, ale i sygnał, że certyfikaty z obszarów AI, Security i Networking nadal będą walutą na rynku pracy. Cisco wykonuje ten ruch z pozycji siły, nie słabości — i właśnie dlatego warto go obserwować jako barometr rynku. **Jeśli lider segmentu enterprise networking przesuwa ciężar w stronę silicon, optics i security, to znaczy, że tam będzie popyt na kompetencje w ciągu najbliższych 2-3 lat.** --- ## Dlaczego użytkownicy zawsze mówią "to problem z siecią"? [What it’s Like to be a Network Engineer...…![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-43)LinkedInRon Buchalski![](https://innasiec.pl/content/images/thumbnail/linkedin-bug-color-3.png)](https://www.linkedin.com/pulse/what-its-like-network-engineer-ron-buchalski/?ref=innasiec.pl) Każdy inżynier zna ten scenariusz. Problem zgłoszony jako "awaria sieci" okazuje się czymś zupełnie innym — a Ty i tak jesteś tym, który musi to naprawić. Użytkownicy operują na poziomie efektu, nie przyczyny. "Aplikacja nie działa" = "sieć nie działa", bo sieć jest tym magicznym medium, przez które wszystko przepływa. To uproszczenie jest dla nich logiczne — i będzie trwać wiecznie. Problem pogłębia to, że użytkownicy często nie znają szczegółów własnego środowiska. Nie wiedzą, z jakiego serwera korzystają, jaką mają konfigurację, gdzie są ich dane. Oczekują, że Ty to wiesz. Albo że sprawdzisz. **Gdzie tracimy czas** Znajoma sekwencja każdego troubleshootingu z użytkownikiem: - Diagnoza bez danych — "sprawdź coś, może zadziała" - Fałszywe tropy - Cofanie się do tego samego błędnego założenia - Rozwiązanie problemu, który leży poza Twoją domeną Każdy z tych kroków kosztuje czas. Twój czas. Nie zmienisz użytkowników. Ale możesz zmienić proces pierwszego kontaktu. Zanim ruszysz do konsoli — wymuś minimum informacji. Jaka aplikacja, jaki serwer lub endpoint, od kiedy, czy cokolwiek się zmieniło po stronie użytkownika. Te cztery pytania eliminują połowę fałszywych tropów zanim w ogóle zaczniesz sprawdzać logi. I jeszcze jedno: kiedy rozwiążesz problem, który nie był sieciowy — udokumentuj. Nie dla siebie. Dla następnego incydentu. Masz dowód, co naprawdę się stało. Bo użytkownik i tak powie wszystkim, że był problem z siecią. --- ## Cisco Group Based Policy na Nexus [GitHub - nmodena/public-labsContribute to nmodena/public-labs development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-98.svg)GitHubnmodena![](https://opengraph.githubassets.com/9c2ac0bfb3ead78303292a4b5491c110099f1ce0ffee1e8c821efcaa486ab721/nmodena/public-labs)](https://github.com/nmodena/public-labs?ref=innasiec.pl) Repozytorium zawiera zestaw laboratoriów dotyczących różnych tematów sieciowych. Przykładem jest prosty lab pokazujący zastosowanie Cisco GBP (Group Based Policy) na platformie Nexus. --- ## Monitoring dla OT/ICS [GitHub - CompSciFutures/APMonitor: On-prem/LAN Layer 2 & 4 availability monitoring with realtime guarantees & decaying alert pacing. Multithreaded high speed availability checking for SNMP, PING, TCP/UDP, QUIC & HTTP/S resources incl. SSL/TLS cert. pinning & port MAC address pinning. Integrates w/Site24x7 heartbeat monitoring for failover alerts + MRTG + Slack & Pushover webhooks.On-prem/LAN Layer 2 & 4 availability monitoring with realtime guarantees & decaying alert pacing. Multithreaded high speed availability checking for SNMP, PING, TCP/UDP, QUIC & HTTP/S…![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-99.svg)GitHubCompSciFutures![](https://innasiec.pl/content/images/thumbnail/APMonitor)](https://github.com/CompSciFutures/APMonitor?ref=innasiec.pl) APMonitor.py to narzędzie do monitoringu on-premises warstw 2 i 4, stworzone z myślą o sieciach NOC oraz sensorach OT/ICS. Program napisany jest w czystym Pythonie, co pozwala na łatwą modyfikację i działa lokalnie w sieci LAN, zapewniając dostępność monitoringu zasobów niedostępnych z internetu lub wymagających gwarancji dostępności samego monitoringu. --- ## Dlaczego DNS ma dokładnie 13 serwerów root? _This post is for paying subscribers only._ ### 📬 ISN 239: Automatyzacja w Nowym CCNA, Zarządzanie Palo Alto i Potęga SRv6! URL: https://innasiec.pl/isn-239-automatyzacja-w-nowym-ccna-zarzadzanie-palo-alto-i-potega-srv6/ Last updated: 2026-05-18T08:00:10.000Z ## Automatyzacja sieci w CCNA 200-301 v1.1 [CCNA Automation: What Changed in 2026Cisco renamed DevNet to Automation and added AI/ML topics to CCNA v1.1\. Here’s what you need to know and how to practice.![](https://innasiec.pl/content/images/icon/favicon-192x192-1.png)NetPilotSarah Chen![](https://innasiec.pl/content/images/thumbnail/opengraph-image-1)](https://www.netpilot.io/blog/ccna-automation-2026?ref=innasiec.pl) Cisco wprowadziło duże zmiany w egzaminie CCNA 200-301 v1.1 oraz w certyfikacjach DevNet, które teraz nazywają się CCNA/CCNP/CCIE Automation. Automatyzacja sieci przestała być opcją. To nowy standard. Jeśli jesteś web inżynierem, musisz zrozumieć, co się zmieniło i jak się przygotować. **Nowe tematy w CCNA v1.1** - Generatywna i predykcyjna sztuczna inteligencja w operacjach sieciowych - Uczenie maszynowe do zarządzania siecią - Terraform jako kod infrastruktury - Ansible do zarządzania konfiguracją sieci - Chmurowe koncepcje zarządzania siecią **Usunięte tematy** - DNA Center zastąpione szerszymi pojęciami chmurowymi - Puppet i Chef zastąpione przez Terraform i Ansible Automatyzacja i AI są teraz obecne w wielu częściach egzaminu. Nie są już oddzielnym tematem. To fundament współczesnej pracy sieciowca. **Co musisz znać?** - **Ansible:** agentless, push-based, YAML playbooki - **Terraform:** infrastruktura jako kod, deklaratywność, zarządzanie stanem - Kiedy używać Ansible, a kiedy Terraform - **REST API:** metody GET, POST, PUT, DELETE - Format danych JSON - API kontrolerów sieciowych - AI do wykrywania anomalii i przewidywania ruchu - Różnice między generatywnym a predykcyjnym AI - Modele ML analizujące dane telemetryczne z sieci --- ## Nowości w FortiOS 8.0 [FortiOS 8.0 new features review – KNS | ˈkɛvɪn netsecPosts featured on this blog![](https://innasiec.pl/content/images/icon/cropped-favicon-96x96-2-192x192.png)ˈkɛvɪn netsecKevin Guenay![](https://innasiec.pl/content/images/thumbnail/indicators.png)](https://blog.guenay.at/2026/04/26/fortios-8-0-new-features-review/?ref=innasiec.pl) FortiOS 8.0 to pierwsza duża wersja od czterech lat. Zanim wrzucisz ją na produkcję, sprawdź, które funkcje faktycznie zmienią codzienną pracę. **Tagi obiektów i dynamiczne grupy adresowe** To funkcjonalne "must-have", które przeszło bez większego echa. Możesz teraz tagować obiekty adresowe i budować grupy adresowe oparte na tagach zamiast na ręcznym przypisaniu. Nowy serwer Linux dostaje tag `linux-server` – i automatycznie trafia do właściwej grupy, a przez nią do polityki. Zero edycji polityk, zero ręcznego dodawania do grup. W środowiskach z dużą rotacją serwerów to zmiana jakościowa. **CLI Code Lab – transakcje konfiguracyjne w GUI** Druga funkcja, która realnie oszczędza czas: Code Lab to wreszcie graficzny interfejs do mechanizmu transakcji (workspace mode z FortiOS 6.2). Piszesz konfigurację, wykonujesz ją jako transakcję, weryfikujesz efekt – i dopiero wtedy committujesz. Zmiany nie są natychmiast zapisywane do running config, więc możesz bezpiecznie testować sekwencje, które w normalnym trybie odcięłyby ci dostęp do urządzenia. Brakuje autouzupełniania składni (jak w FortiManager), ale to krok we właściwym kierunku. **TLS 1.3 VPN – funkcja na przyszłość** IKE over TCP działało, ale ruch nie był rozpoznawany jako TLS przez firewalle aplikacyjne – co blokowało pracowników w restrykcyjnych sieciach. Nowa funkcja owija całą komunikację IKE w TLS 1.3, dzięki czemu VPN przechodzi jako zwykły ruch HTTPS. Ważne zastrzeżenie: **FortiClient jeszcze nie wspiera tej funkcji** (stan na kwiecień 2026). Wdrożenie ma sens dopiero po aktualizacji klientów do wersji 8.0. **Fabric Feeds – centralne zarządzanie wskaźnikami zagrożeń** Jeśli masz FortiAnalyzer 8.0, możesz teraz blokować wskaźniki (IP, domeny, URL, MAC) bezpośrednio w FAZ i synchronizować je automatycznie do wszystkich FortiGate'ów powiązanych z tym samym kontem FortiCloud. Feedy pojawiają się w FortiGate jako zewnętrzne i działają analogicznie: IP/MAC w politykach, domeny w DNS filter, URL w web filter. Podobna funkcja istnieje w 7.6, ale tam wymagała dodatkowo FortiManagera jako pośrednika. **Co odpuścić na starcie** Zmiany w rewizjach konfiguracji są krokiem wstecz: FortiGate bez dysku twardego traci możliwość korzystania z rewizji w jakiejkolwiek formie. Jeśli zarządzasz urządzeniami entry-level, sprawdź przed migracją, czy to nie złamie twojego procesu change management. --- ## Server MCP NetDev [GitHub - krisiasty/netdev-ssh-mcp: MCP server for interacting with Arista, Cisco and Juniper network devices using SSH connectionMCP server for interacting with Arista, Cisco and Juniper network devices using SSH connection - krisiasty/netdev-ssh-mcp![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-96.svg)GitHubkrisiasty![](https://innasiec.pl/content/images/thumbnail/netdev-ssh-mcp)](https://github.com/krisiasty/netdev-ssh-mcp?ref=innasiec.pl) NetDev MCP server umożliwia interakcję z urządzeniami sieciowymi (switchami, routerami, firewallami) przez SSH. Obsługuje Arista EOS, Cisco NX-OS, Cisco IOS/IOS-XE, Juniper JunOS oraz FortiGate FortiOS. Umożliwia wykonywanie operacji na urządzeniach jako narzędzi dostępnych dla Claude Code, Claude Desktop i innych klientów MCP. Wśród dostępnych narzędzi są m.in. pobieranie konfiguracji (get\_config) z automatycznym maskowaniem haseł, wykonywanie poleceń odczytu (run\_show\_command), pingowanie (run\_ping), traceroute (run\_traceroute) oraz zarządzanie kluczami SSH (trust\_host\_key). --- ## Łatwe zarządzenie Palo Alto [GitHub - swaschkut/pan-os-php: Framework and utilities to easily manage and edit Palo Alto Network PANOS devicesFramework and utilities to easily manage and edit Palo Alto Network PANOS devices - swaschkut/pan-os-php![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-97.svg)GitHubswaschkut![](https://innasiec.pl/content/images/thumbnail/pan-os-php)](https://github.com/swaschkut/pan-os-php?ref=innasiec.pl) pan-os-php to biblioteka PHP ułatwiająca zarządzanie konfiguracją urządzeń Palo Alto Networks PAN-OS. Pozwala na modyfikacje konfiguracji bez użycia XML, wspierając zaawansowane operacje takie jak łączenie reguł, śledzenie nieużywanych obiektów czy masową edycję reguł. Działa zarówno na lokalnych plikach konfiguracyjnych, jak i przez API PAN-OS. --- ## Migracja MPLS → SRv6 _This post is for paying subscribers only._ ### 📬 ISN 238: Szybszy NetBox w Ansible, ARP vs MAC i 5 Trików FortiGate CLI! URL: https://innasiec.pl/isn-238-szybszy-netbox-w-ansible-arp-vs-mac-i-5-trikow-fortigate-cli/ Last updated: 2026-05-11T08:00:25.000Z ## Przyspiesz NetBox Inventory w Ansible [Speed Up Ansible\`s NetBox InventoryNetBox/Ansible Tip: The netbox.netbox.nb\_inventory plugin pulls data from multiple NetBox API endpoints. Enable caching and disable unused extra lookups to reduce API calls and improve inventory load times. Here’s what you need to add to your NetBox inventory plugin file: # Cache inventory data cache: True![](https://innasiec.pl/content/images/icon/mstile-310x310.png)Packet Coders - Learn Network AutomationRick Donato![](https://innasiec.pl/content/images/thumbnail/Tips-logo.webp)](https://www.packetcoders.io/speed-up-ansible-s-netbox-inventory/?ref=innasiec.pl) Plugin `netbox.netbox.nb_inventory` odpytuje kilkanaście endpointów NetBox API przy każdym uruchomieniu. Przy dużej infrastrukturze czas ładowania inwentory potrafi zabić produktywność – zanim Ansible zacznie faktycznie działać, czekasz minuty. Większość inżynierów wie o cachowaniu, ale nie wdraża go bez wyraźnego powodu. Tu masz powód: każde uruchomienie playbooka bez cache to pełny round-trip do NetBox API. Dodaj do pliku inwentory: ```yaml cache: True cache_plugin: jsonfile cache_timeout: 3600 cache_connection: /tmp/ansible_netbox_cache ``` Czas życia 3600 sekund to dobry punkt startowy dla środowisk, gdzie dane zmieniają się rzadziej niż raz na godzinę. Domyślna konfiguracja pluginu pobiera znacznie więcej danych niż większość playbooków rzeczywiście potrzebuje. Interfejsy, serwisy, rekordy DNS – każdy z nich to osobne żądanie do API. ```yaml interfaces: False services: False dns_name: False virtual_chassis_flatten: False ``` Jeśli Twoje playbooki nie operują na tych danych, pobieranie ich to czysty narzut. Wyłącz i sprawdź różnicę w czasie ładowania. Dwa parametry, które często są pomijane: ```yaml fetch_all: True max_uri_length: 4000 ``` `fetch_all: True` pobiera wszystkie strony wyników w jednym żądaniu zamiast iterować po stronach. `max_uri_length: 4000` pozwala budować dłuższe zapytania i agregować filtry – mniej osobnych requestów do API. --- ## Dlaczego ARP timeout wynosi 4 godziny, a MAC aging 5 minut? [On ARP and MAC Aging Timers « ipSpace.net blogNaveen Kumar Devaraj mentioned an interesting fact in his EVPN-related comment: The EOS default ARP timeout is 4 hours, and MAC aging is 5 minutes. Arista is not the only platform using these default values; did you ever wonder where they came from?![](https://innasiec.pl/content/images/icon/favicon-77.ico)ipSpace Logo![](https://innasiec.pl/content/images/thumbnail/og-image-8.png)](https://blog.ipspace.net/2026/05/arp-mac-aging-timers/?ref=innasiec.pl) Jeśli pracujesz z Aristą EOS, te wartości widziałeś setki razy. Ale czy zastanawiałeś się, skąd pochodzą i czy nadal mają sens? ARP powstał w czasach, gdy każdy broadcast palił cenne cykle CPU na każdej maszynie podłączonej do wspólnego kabla. Projektant protokołu świadomie odrzucił model HELLO (jak w CLNP) jako zbyt kosztowny — stąd mechanizm request/reply. Długi timeout (4 godziny) był logiczny: ARP to *mapowanie między warstwami*, nie infrastruktura forwardingu. Adresy IP i MAC są stosunkowo stabilne, Gratuitous ARP obsługuje zmiany, a sam timeout służy głównie jako garbage collection. W 1989 r. RFC 1122 definiował cztery mechanizmy walidacji cache ARP — od timeoutu po unicast poll. Ten drugi pojawił się w praktyce dopiero dekady później. MAC aging rozwiązuje zupełnie inny problem — utrzymuje tablicę forwardingu w czystości. Transparent bridging nigdy nie miał control plane, który mógłby autorytatywnie potwierdzić lokalizację MAC adresu. Mając tylko dynamiczne uczenie, lepiej było floodować ramkę niż wysłać ją w złym kierunku. Timer 5 minut to historyczny kompromis. Pierwszy transparent bridge (DEC LANBridge 100) pojawił się w 1986 roku, a pomysł narodził się "pewnego wieczoru w 1983 roku". Wartość 5 minut prawdopodobnie dobrano tak, żeby była niższa niż czas potrzebny na odłączenie stacji roboczej, przeniesienie jej do innego pokoju i ponowne podłączenie. W erze EVPN i nowoczesnych data center te domyślne timery mogą być problematyczne. Cisco NX-OS pokazuje, że można wybrać lepsze wartości: - MAC aging: **1800 s** (vs 300 s w EOS) - ARP timeout: **1500 s** (vs 14400 s w EOS) - ND stale timer: **1380 s** Kluczowa obserwacja z komentarzy do oryginalnego artykułu: **ARP timeout powinien być niższy niż MAC aging**. Wtedy odpowiedź ARP odświeża wpis MAC, co redukuje unknown unicast flooding dla cichych hostów. Przy odwrotnej relacji (jak w EOS) ryzykujesz, że ważny wpis MAC wygaśnie, zanim host zdąży odświeżyć ARP. ## Dzień z życia sieciowca [neteng.life — It’s always DNS.What it’s like to be a network engineer. It’s always DNS. Until it’s BGP.![](https://innasiec.pl/content/images/icon/icon-1.svg)](https://neteng.life/?ref=innasiec.pl) Symulator dyżuru 3 nad ranem, generowanie wymówek i ściana bólu – każdy problem to prawdziwa historia. Jeśli chcesz poczuć, jak to jest być sieciowcem, zanurz się w ten świat pełen RTFM i niekończących się wyzwań. --- ## Asystent AI dla operacji sieciowych [GitHub - nkxy007/workerxy: network AI agents using Langchain deepagent SDKnetwork AI agents using Langchain deepagent SDK. Contribute to nkxy007/workerxy development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-95.svg)GitHubnkxy007![](https://innasiec.pl/content/images/thumbnail/workerxy)](https://github.com/nkxy007/workerxy?ref=innasiec.pl) WorkerXY to zaawansowany asystent AI dla operacji sieciowych i automatyzacji. Ułatwia diagnostykę sieci, zarządzanie chmurą i operacje w centrach danych – od wykrywania problemów po zarządzanie globalnymi klastrami AWS. Wyposażony w agentów specjalistycznych, pamięć długoterminową oraz autonomiczne zadania, pozwala na pełną kontrolę i automatyzację procesów. --- ## FortiGate CLI: 5 poleceń, które zmienią sposób w jaki pracujesz _This post is for paying subscribers only._ ### 📬 ISN 237: Życie z CCIE, Labowanie EVPN-VXLAN i Magia Async Python! URL: https://innasiec.pl/isn-237-zycie-z-ccie-labowanie-evpn-vxlan-i-magia-async-python/ Last updated: 2026-05-04T08:00:59.000Z ## Życie z CCIE [Beyond the CCIE: Building a 10-Year Career in Network ArchitectureThe Certificate Isn’t the Destination Let me be direct: I pursued the CCIE because I wanted to prove something to myself, not to the market. The certificate opened doors.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-41)LinkedInTamer Khalifa![](https://innasiec.pl/content/images/thumbnail/linkedin-bug-color-2.png)](https://www.linkedin.com/pulse/beyond-ccie-building-10-year-career-network-tamer-khalifa-p5azf?ref=innasiec.pl) Certyfikat CCIE otwiera drzwi. Ale to, co robisz po drugiej stronie, decyduje o całej karierze. Po 20 latach obserwowania innych inżynierów widzę jeden wspólny mianownik: ci, którzy awansują, traktują CCIE jako początek nauki, nie jej koniec. **Pierwsze 5 lat: fundamenty kontra osąd** Rok po zdaniu egzaminu większość inżynierów popełnia ten sam błąd — projektuje technicznie bezbłędnie, ale z zerowym poczuciem kontekstu. Redundancja 99,99%, gdy wystarczyłaby 99,9%. Zabezpieczenia, które spowalniają operacje o 30%. Dobra architektura sieciowa to nie tylko techniczny projekt. To **projekt ludzki**: kto będzie to utrzymywał, ile osób, jakim kosztem operacyjnym. Migracja chmurowa jest "idealna", dopóki nie okaże się, że wymaga 3 etatów w zespole pracującym już na 95% wydajności. Drugi i trzeci rok to czas, gdy uczysz się projektować pod realne ograniczenia: budżet, czas wdrożenia, możliwości operacyjne zespołu. To trudniejsze niż konfiguracja BGP. **Rok 4-5: wybór ścieżki** Tu drogi się rozchodzą. Dwa kierunki: - **Specjalizacja głęboka** (SD-WAN, Security, Cloud Networking) — zostajesz ekspertem domenowym, ceiling na poziomie senior IC lub team lead - **Szeroki zakres wiedzy w różnych dziedzinach** — poznajesz architekturę bezpieczeństwa, chmurę i automatyzację (Python, Ansible) — tracisz wprawdzie w głębi wiedzy, ale zyskujesz całościowy obraz systemu i otwierasz sobie drogę do pełnienia funkcji kierowniczych Jeśli chcesz prowadzić infrastrukturę na poziomie organizacji, wybierz szeroki zakres wiedzy. 40% głębokości w 4-5 domenach daje ci coś, czego żaden specjalista nie ma: umiejętność zobaczenia, gdzie systemy się **stykają i psują**. **Umiejętności, które się nie starzeją** Konfiguracja konkretnego OS? Niekatualna w ciągu 8 lat. Ale są umiejętności, które wynosi się z przygotowań do CCIE i które pozostają wartościowe przez 20 lat: - Metodologia troubleshootingu: zrozum stan oczekiwany → identyfikuj odchylenie → szukaj przyczyny - Myślenie systemowe i analiza trade-offów - Zarządzanie pod presją (8 godzin egzaminu laboratoryj­nego to nie przypadkowy format) Właśnie te umiejętności — nie znajomość konkretnych protokołów — stają się podstawą do ról architektonicznych i doradczych. **Czego unikać** Dwie pułapki zabijają kariery CCIE-owców szybciej niż jakakolwiek zmiana technologiczna: **Pierwsza: zostanie za długo wąskim specjalistą.** Głęboka ekspertyza w jednym obszarze jest nieoceniona w latach 1-5\. Po roku 6 zaczyna cię ograniczać, jeśli celem jest leadership. **Druga: zaniedbanie komunikacji i wpływu.** Inżynierowie, którzy najszybciej awansują, nie zawsze są najinteligentniejszymi. Są tymi, którzy potrafią przełożyć decyzje techniczne na język biznesu i prowadzić innych bez formalnego autorytetu. --- ## Hello World dla inżyniera sieci [The Hello World of AI for Network Engineers (and Why I Started With NetBox)By John Capobianco, Head of AI & DevRel, Itential A couple weeks ago I sat down on a stream with Andy Lapteff 🛠️💬 Lapteff, host of The Art of Network Engineering, and we did something I’d been wanting to do for a while: a real, unedited Hello World for AI in networking. Michael Bushong actually br![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-40)LinkedInJohn Capobianco![](https://innasiec.pl/content/images/thumbnail/1777469916456)](https://www.linkedin.com/pulse/hello-world-ai-network-engineers-why-i-started-netbox-john-capobianco-angee/?ref=innasiec.pl) Model Context Protocol to protokół, który pozwala LLM korzystać z zewnętrznych narzędzi. Serwer MCP rozgłasza dostępne funkcje, model wybiera odpowiednią i wysyła wywołanie JSON-RPC. Reszta dzieje się automatycznie. NetBox Labs udostępnia publiczną instancję demo — działa 24/7, zawiera prawdziwe rekordy (urządzenia, lokalizacje, obwody, szafy). Możesz tam robić eksperymenty bez żadnego ryzyka. Oficjalny serwer NetBox MCP oferuje trzy narzędzia, wszystkie tylko do odczytu. To nie przypadek — **read-only to właściwy punkt startowy**. Budujesz nawyk weryfikacji odpowiedzi agenta, zanim dasz mu jakiekolwiek uprawnienia zapisu. W środowiskach produkcyjnych stosuje się dokładnie tę samą zasadę: najpierw ludzki nadzór, potem stopniowe rozszerzanie uprawnień. Podczas sesji na żywo agent zamiast użyć podłączonego serwera NetBox MCP... próbował napisać skrypt Pythona. Rozwiązanie? Jedno zdanie w prompcie: *„Please use the NetBox MCP to achieve this."* Problem zniknął natychmiast. To jest prompt engineering w praktyce — nie abstrakcyjna umiejętność developerska, lecz codzienna praca operatora. Tak samo jak uczysz się, które polecenie `show` odpowiada na konkretne pytanie, uczysz się, jak formułować zapytania, żeby agent używał właściwych narzędzi. **Poprawka nie była w kodzie. Była w języku.** **Co robić po „Hello World"** Kiedy już uruchomisz pierwsze zapytanie do NetBox przez MCP, masz trzy konkretne kolejne kroki: - **Zapytaj swojego przełożonego**, który LLM jest zatwierdzony w organizacji (Copilot, Claude, coś wewnętrznego). Jeśli nikt nie ma odpowiedzi — właśnie znalazłeś swoją szansę. - **Zbuduj demo w domu** na publicznym sandboxie NetBox. Godzina pracy. Zero kosztów. Gotowy materiał do pokazania kierownictwu. - **Bądź tą osobą w zespole**, która wie, jak to działa. Decyzje o wdrożeniu AI w infrastrukturze będą podejmowane wkrótce — warto być w tym pokoju. --- ## Konfiguracja i testy EVPN-VXLAN [GitHub - patukponu-beep/evpn-vxlan-l2-l3-irb-lab: EVPN-VXLAN L2 stretch with L3 inter-vlan routingEVPN-VXLAN L2 stretch with L3 inter-vlan routing. Contribute to patukponu-beep/evpn-vxlan-l2-l3-irb-lab development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-93.svg)GitHubpatukponu-beep![](https://innasiec.pl/content/images/thumbnail/evpn-vxlan-l2-l3-irb-lab)](https://github.com/patukponu-beep/evpn-vxlan-l2-l3-irb-lab?ref=innasiec.pl) Laboratorium przedstawia konfigurację i testy EVPN-VXLAN w architekturze leaf-spine w Cisco CML, umożliwiającej rozciągnięcie VLAN 10 i 20 pomiędzy dwoma przełącznikami leaf oraz zapewniającej routing między VLAN-ami za pomocą SVI/IRB. --- ## Monitor ruchu sieciowego [GitHub - immanuwell/pktz: pktz — eBPF-powered network traffic monitor — per process, per connection, livepktz — eBPF-powered network traffic monitor — per process, per connection, live - immanuwell/pktz![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-94.svg)GitHubimmanuwell![](https://innasiec.pl/content/images/thumbnail/pktz)](https://github.com/immanuwell/pktz?ref=innasiec.pl) pktz to narzędzie pokazujące w czasie rzeczywistym, z kim i ile komunikuje się Twój komputer w sieci. Działa na eBPF, dzięki czemu zbiera dokładne dane o ruchu sieciowym każdego procesu bez obciążającego próbkowania. Możesz zobaczyć listę procesów z aktywnym ruchem, szczegóły ich połączeń, a nawet geolokalizację i nazwy hostów. Obsługuje tryb tekstowy i eksport danych do logów lub Prometheusa. Przydatne do monitoringu, analizy i debugowania ruchu sieciowego na poziomie procesów. --- ## Async Python w automatyzacji sieci _This post is for paying subscribers only._ ### 📬 ISN 236: Nautobot vs NetBox, Spór LaLiga z Cloudflare i Co Poza IPv6? URL: https://innasiec.pl/isn-236-nautobot-vs-netbox-spor-laliga-z-cloudflare-i-co-poza-ipv6/ Last updated: 2026-04-27T08:00:51.000Z ## Nautobot vs NetBox [Nautobot vs Netbox Comparison from using both in 2026I see “Nautobot vs Netbox” discussions come up constantly, usually with vague answers like “they’re basically the same” or “Nautobot is just a fork.” That was true once, but it’s no longer accurate in 2026.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-39)LinkedInRoger Perkin![](https://innasiec.pl/content/images/thumbnail/1776848222801)](https://www.linkedin.com/pulse/nautobot-vs-netbox-comparison-from-using-both-2026-roger-perkin-w5g6e/?ref=innasiec.pl) Jeśli wciąż traktujesz Nautobot jako "NetBox z dodatkami", podejmujesz decyzje architektoniczne na podstawie nieaktualnych założeń. Czas to zmienić. **W 2021 roku Network to Code – jeden z największych kontrybutorów NetBoxa – sforkował projekt z wersji 3.0**. Powód był techniczny, nie ideologiczny: NetBox nie nadążał za potrzebami zespołów automatyzujących sieci na poważnie. Plugin API miał zbyt wiele ograniczeń, brakowało stabilności między wersjami, a Git nie był obywatelem pierwszej klasy. Dziś, po czterech latach niezależnego rozwoju, to są de facto dwa różne produkty z wspólną historią. **Gdzie naprawdę się różnią** Największa praktyczna różnica to model rozszerzania: - **NetBox Plugins** – rozszerzają istniejące modele, często psują się przy aktualizacjach, muszą adaptować się do NetBoxa - **Nautobot Apps** – pełnoprawne Django apps, mogą wprowadzać własne modele danych, widoki UI i API; Nautobot adaptuje się wokół nich, nie odwrotnie Druga kluczowa różnica to automatyzacja. NetBox ma Scripts i Reports jako osobne koncepty z osobnymi UI. Nautobot zastępuje je jednym **Jobs Framework** – obsługuje inputy, outputy, logowanie, dry runy i integruje się natywnie z zewnętrznymi narzędziami automatyzacji. Dla złożonych pipeline'ów to eliminuje całe warstwy kodu kleju, który w NetBoxie utrzymujesz zewnętrznie. Nautobot ma też natywną, głęboką integrację z Git. To nie jest feature – to filozofia projektu. **Kiedy wybrać które narzędzie** **Nautobot** ma sens, gdy traktujesz sieć jak kod: GitOps, CI/CD-driven intent, wersjonowane zmiany, wewnętrzne tooling budowane na source of truth. Jeśli Twoje NetBox pluginy zaczynają uderzać w sufit możliwości – to sygnał do oceny migracji. **NetBox** pozostaje lepszym wyborem przy klasycznym IPAM/DCIM, gdy priorytetem jest największa społeczność, szeroki ekosystem pluginów i szybkie wdrożenie bez głębokiej automatyzacji. --- ## LaLiga vs. Cloudflare [Tell HN: Docker pull fails in Spain due to football Cloudflare block | Hacker News![](https://innasiec.pl/content/images/icon/y18.svg)Hacker News![](https://innasiec.pl/content/images/thumbnail/y18.svg)](https://news.ycombinator.com/item?id=47738883&ref=innasiec.pl) Wyobraź sobie, że debugujesz przez godzinę błędy TLS w GitLab Runnerze, żeby odkryć, że winny jest mecz piłki nożnej. Dokładnie to przydarzyło się jednemu z deweloperów w Hiszpanii – i nie jest to jednostkowy przypadek. **Sąd w Barcelonie wydał wyrok umożliwiający LaLidze i Telefónice zobowiązanie hiszpańskich ISP do blokowania adresów IP wskazanych przez ligę** – bez dodatkowego nadzoru sądowego, w czasie rzeczywistym. Mechanizm jest prosty i brutalny: LaLiga raportuje IP, ISP blokuje. Problem w tym, że piraci streamują przez Cloudflare (m.in. ze względu na ochronę DDoS), więc blokowane są całe zakresy IP współdzielone przez tysiące legalnych usług. W efekcie blokowane są m.in.: - Cloudflare R2 (na którym siedzi Docker Hub) - Cloudflare CDN, Zero Trust Tunnels - Inne CDN-y: Fastly, Akamai, BunnyCDN, CDN77 Błąd, który widzi developer, to pozornie losowy błąd walidacji certyfikatu – bo ISP nie blokuje ruchu, lecz go przechwytuje i serwuje własną stronę z informacją o blokadzie. Przy połączeniu HTTPS, które nie może zweryfikować certyfikatu, efektem jest `x509: certificate is not valid for any names`. To nie jest problem wyłącznie dla inżynierów. **Zgłoszono przypadki niedzialającego systemu GPS do śledzenia osoby starszej z demencją. Automatyczne bramy i alarmy antywłamaniowe, których backendy siedzą na Cloudflare, przestają działać podczas meczów.** Każdy, kto nie wie o blokadzie, traci czas na debugging czegoś, co jest z definicji poza jego kontrolą. **LaLiga odpowiada, że to "problem niszowy dotyczący kilku nerdów mówiących o docker images".** Jednocześnie sąd właśnie rozszerzył uprawnienia na mecze tenisa i golfa, a Telefónica testuje podobny mechanizm dla Champions League. --- ## Weryfikacja stanu sieci z AI [GitHub - pdudotdev/dblCheck: AI-assisted network intent validation framework for multi-vendor environments. Continuously checks live network state against design intent and invokes a Claude agent to diagnose, explain, and document failures and inconsistencies between expected vs. actual state.AI-assisted network intent validation framework for multi-vendor environments. Continuously checks live network state against design intent and invokes a Claude agent to diagnose, explain, and docu…![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-92.svg)GitHubpdudotdev![](https://innasiec.pl/content/images/thumbnail/dblCheck-1)](https://github.com/pdudotdev/dblCheck?ref=innasiec.pl) dblCheck to framework wspomagany AI do ciągłej walidacji stanu sieci w środowiskach multi-vendor. Automatycznie porównuje aktualny stan urządzeń sieciowych z założonymi intencjami (zdefiniowanymi w NetBox), a w przypadku wykrycia niezgodności wykorzystuje agenta Claude do diagnozy, wyjaśnienia i dokumentacji błędów. System działa w trybie tylko do odczytu, nie modyfikuje konfiguracji urządzeń, a wyniki prezentuje na żywo przez dashboard oraz rejestruje odchylenia w Jira. Koszt diagnostyki AI wynosi około 0,19 USD za uruchomienie, natomiast samo sprawdzanie stanu sieci jest bezkosztowe. --- ## Portal przygotowujący do ENAUTO [ENAUTO v2.0 – Exam Trainer (300-435)![](https://static.ghost.org/v5.0.0/images/link-icon.svg)](https://enauto.silvancodes.dev/?ref=innasiec.pl) ENAUTO v2.0 to narzędzie do nauki i przygotowania do egzaminu 300-435 z zakresu automatyzacji sieciowej. Platforma oferuje 368 pytań podzielonych na 5 głównych tematów, takich jak fundamenty automatyzacji, automatyzacja na poziomie urządzeń, automatyzacja sterowana przez kontrolery, operacje oraz sztuczna inteligencja w automatyzacji. Użytkownik może wybrać poziom trudności pytań oraz tryb nauki, np. quiz, dopasowywanie API czy rozwiązywanie problemów. --- ## Następca IPv4, którym IPv6 nie zdołał zostać _This post is for paying subscribers only._ ### 📬 ISN 235: Gdzie Postawić Route Reflectora? Sieć Bezstratna z RoCE i Wyzwania RADkit! URL: https://innasiec.pl/isn-235-gdzie-postawic-route-reflectora-siec-bezstratna-z-roce-i-wyzwania-radkit/ Last updated: 2026-04-20T08:00:18.000Z ## Wybór narzędzia do automatyzacji sieci [Choosing the Right Network Automation ToolsNetwork automation, guides, and real-world experience![](https://innasiec.pl/content/images/icon/favicon-8.png)Network Automation with David![](https://innasiec.pl/content/images/thumbnail/home-bg-1.png)](https://dv-lunel.com/post/2026-04-right-tools/?ref=innasiec.pl) Zły wybór narzędzia rzadko objawia się natychmiastową awarią. Objawia się kodem, którego nikt nie rozumie, limitami skalowania w złym momencie i funkcją, której narzędzie nigdy nie miało obsługiwać. PoC przechodzi. Projekt trafia do innego zespołu. Deadline zostaje dotrzymany. Pół roku później okazuje się, że narzędzie nie obsługuje nowych wymagań audytowych, a migracja jest zbyt kosztowna. To nie jest scenariusz z podręcznika — to wzorzec, który powtarza się w organizacjach niezależnie od wielkości. Problem nie leży w samym narzędziu, lecz w tym, że PoC testuje obecne wymagania, a nie przyszłe. Przed wyborem warto zadać sobie cztery pytania: - Czy narzędzie rozwiązuje konkretny problem, czy tylko wygląda imponująco w demo? - Jak wygląda jego ekosystem pluginów i integracji? - Czy społeczność jest aktywna, czy projekt faktycznie żyje? - Jak zachowa się przy dwukrotnie większym środowisku? **Własne narzędzia: pułapka zależności** Budowanie własnego toolingu kusi, bo daje pełną kontrolę. Rzeczywistość jest jednak taka, że custom tools rosną razem z organizacją — i stają się od niej zależne. Gdy jedyna osoba, która rozumie kod, odchodzi, zostają procesy oparte na narzędziu, którego nikt nie potrafi utrzymać. Narzędzia off-the-shelf mają aktywne społeczności, dokumentację i regularny cykl aktualizacji. Ansible Collections, Netmiko, NAPALM czy Nautobot Golden Config to rozwiązania, które ktoś już sprawdził w produkcji na większą skalę niż twoja. Własny tooling ma sens tylko wtedy, gdy gotowe rozwiązania naprawdę nie pokrywają use case'u — i gdy masz plan na jego długoterminowe utrzymanie. ⚠️ ****Najczęstszy błąd organizacyjny:** traktowanie automatyzacji sieci jak jednorazowego projektu z deadline'em. Wybiera się narzędzie pod konkretny sprint, a nie pod środowisko za dwa lata. Narzędzie wybrane pod presją czasu i krótkoterminowych KPI zwykle nie skaluje się do przyszłych potrzeb. A koszt migracji po roku produkcji jest wielokrotnie wyższy niż koszt tygodnia solidnej ewaluacji na początku. --- ## Gdzie w sieci umieścić Route Reflector? [Stop Designing Route Reflectors Like It’s 2005 (Part 1: The Structural Brain)At 2 AM on a Tuesday, my phone buzzed with a WhatsApp message: “You awake? Do you mind if I call you? I’m in the weeds…![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-38)LinkedInHerve Hildenbrand![](https://innasiec.pl/content/images/thumbnail/1774956969937)](https://www.linkedin.com/pulse/stop-designing-route-reflectors-like-its-2005-part-1-hildenbrand-3eope/?ref=innasiec.pl) Conway's Law mówi, że architektura systemu odzwierciedla strukturę komunikacji w organizacji. W sieciach wygląda to tak: skoro NetOps zarządza Junos/IOS-XR, a sysadmini od Linuxa "nie mają dostępu do backbonu" – to RR ląduje na drogim routerze sprzętowym. Nie dlatego, że ma to sens techniczny, lecz dlatego, że tak wyglądają silosy. Tymczasem odbijanie tras to zadanie czysto obliczeniowe – CPU i RAM, zero packet forwardingu. Nowoczesny serwer x86 z AMD EPYC przy masowym BGP churn po prostu miażdży embedded Routing Engine drogiego routera. To nie teoria – to mierzalna różnica między minutami a sekundami konwergencji przy kilkuset urządzeniach w sieci. Jeśli org-chart zmusza Cię do kompromisu i wdrożenia dedykowanego routera jako RR – zaakceptuj to świadomie. Ale wtedy tym bardziej musisz zastosować pozostałe zasady. Złota zasada: RR musi być **Out-Of-Path**. Zawsze. CoPP nie wystarczy. Gdy masz jednoczesny: IGP reconvergence, przeprogramowanie next-hopów w PFE i pełną refleksję dla wszystkich klientów klastra – wróg jest już w środku. To Twój własny control-plane walczy o cykle CPU na jednym RE. Dwa praktyczne skutki co-location RR na tranzytowym PE: - **Convergence Storm** – każde większe zdarzenie topologiczne (dual fiber cut, DDoS-triggered upstream shift) nakłada potrójne obciążenie na jeden RE - **Maintenance Tax** – każdy upgrade software, RMA line-karty czy switchover NSR zabija funkcję RR jako efekt uboczny. Rutynowy maintenance staje się zdarzeniem control-plane dla całego klastra. **Ekspozycja adresowa.** RR nigdy nie powinien mieć publicznie routowalnego loopbacka. RFC 1918/6598 zakotwiczone w underlay to nie ACL – to usunięcie drzwi z budynku. Atakujący nie może dotrzeć pod adres, który nie istnieje w globalnej tablicy. **Accidental transit.** RR jest zazwyczaj dual-homed do core'a dla redundancji. Jeśli nie skonfigurujesz jawnie metryk IGP, po awarii sieć może wybrać ścieżkę przez interfejsy RR. Ten "mózg" z minimalnym forwardingiem zostanie natychmiast waporyzowany przez falę ruchu tranzytowego. Rozwiązanie jest proste: ustaw maksymalny koszt linku lub IS-IS Overload bit / OSPF max-metric na wszystkich interfejsach RR. To gwarantuje, że węzeł pozostanie topologicznym ślepym zaułkiem dla data-plane. Zanim następnym razem zaprojektujesz lub zreviewujesz infrastrukturę RR, zadaj sobie jedno pytanie: *Czy ta architektura wynika z wymagań technicznych, czy z tego, kto jest właścicielem której szafy?* Odpowiedź na to pytanie powie Ci więcej o prawdziwym ryzyku niż jakikolwiek audit konfiguracji. --- ## RADkit Quests [GitHub - Cisco-RADKit/radkit-quests: Welcome adventurer! Join our RADKit QuestsWelcome adventurer! Join our RADKit Quests. Contribute to Cisco-RADKit/radkit-quests development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-91.svg)GitHubCisco-RADKit![](https://opengraph.githubassets.com/e887af0db025edc18e03090fe5b587142165631f25196164b28a3d2a52388190/Cisco-RADKit/radkit-quests)](https://github.com/Cisco-RADKit/radkit-quests?ref=innasiec.pl) RADKit Quests Series to społecznościowy program, w którym deweloperzy rozwiązują realne problemy automatyzacji sieci, dzielą się swoimi rozwiązaniami. Możesz przeglądać otwarte wyzwania, tworzyć repozytoria odpowiadające tematom, a następnie przesyłać swoje prace zgodnie z przewodnikiem Contributing Guide. --- ## Nowy frontend dla Proxmox VE [GitHub - ForgedIO/ProxOrchestrator: Proxmox Web Front end for creating and migrating virtual drives into Proxmox.Proxmox Web Front end for creating and migrating virtual drives into Proxmox. - ForgedIO/ProxOrchestrator![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-90.svg)GitHubForgedIO![](https://innasiec.pl/content/images/thumbnail/ProxOrchestrator)](https://github.com/ForgedIO/ProxOrchestrator?ref=innasiec.pl) ProxOrchestrator to darmowy, otwarty i samodzielnie hostowany interfejs webowy dla Proxmox VE, stworzony z myślą o administratorach, którzy chcą zarządzać maszynami wirtualnymi i kontenerami bez logowania się do natywnego panelu Proxmox. --- ## Jak RoCE dostarcza sieć bezstratną? _This post is for paying subscribers only._ ### 📬 ISN 234: Dlaczego Szwajcaria ma 25 Gbit/s? VXLAN z AP i Multi-Vendor ZTP! URL: https://innasiec.pl/isn-234-dlaczego-szwajcaria-ma-25-gbit-s-vxlan-z-ap-i-multi-vendor-ztp/ Last updated: 2026-04-13T08:00:21.000Z ## VXLAN bezpośrednio z AP [VXLAN to the Access PointIf you did not know, Arista Networks has wireless offerings, while this won’t be an exhaustive look at the product line, they do provide what you expect from a modern provider, cloud controlled, assisted troubleshooting, client monitoring, and VXLAN encapsulation from the AP. That last feature, this![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-37)LinkedInBrett K.![](https://innasiec.pl/content/images/thumbnail/1775794180608)](https://www.linkedin.com/pulse/vxlan-access-point-brett-koelling-tp2hc?ref=innasiec.pl) Architektura cloud-managed wireless rozwiązała problem skalowalności wdrożeń, ale stworzyła nowy: ruch użytkowników wylewa się bezpośrednio do warstwy dystrybucji i core, generując nieprzewidywalne przepływy. Arista odpowiada na to enkapsulacją VXLAN bezpośrednio z AP. W klasycznym modelu kontrolerowym next-hop był zawsze znany — tunel kończył się na kontrolerze, polityki były egzekwowane centralnie. Po przejściu na model cloud-managed ten punkt agregacji zniknął. Underlay musi teraz obsłużyć dynamiczne, rozroszone przepływy klientów bezprzewodowych, a każda zmiana w zagęszczeniu użytkowników odbija się bezpośrednio na warstwach rdzenia. VXLAN z AP rozwiązuje to bez wracania do dedykowanego sprzętu. **Każdy SSID może mieć skonfigurowany tunnel VXLAN do wskazanego punktu terminacji** — w tym przypadku przełącznika Arista EOS pełniącego rolę VTEP. Warunki wstępne są minimalne: - Łączność L3 między IP access pointa a adresem VTEP (realizowana przez eBGP między core i border leaf) - Mapowanie VLAN-to-VNI na przełączniku terminującym - Komenda `vxlan flood vtep learned data-plane` eliminuje potrzebę statycznego mapowania AP Klient łączy się z SSID, jego ruch jest enkapsulowany w VXLAN już na AP i transportowany po underlaju jako zwykły pakiet UDP. Przełącznik EOS de-enkapsuluje ruch, klient dostaje gateway na tym urządzeniu, a domyślna trasa kieruje pakiety dalej — np. do Palo Alto do inspekcji. Underlay nie widzi nic poza zewnętrznymi nagłówkami L3\. Brak potrzeby trunk VLAN po stronie AP, brak zależności od trunking policy w sieci dostępowej. --- ## Dlaczego Szwajcaria ma internet 25 Gbit/s, a USA nie [The Free Market Lie: Why Switzerland Has 25 Gbit Internet and America Doesn’tThe Free Market Lie: Why Switzerland Has 25 Gbit Internet and America Doesn’t![](https://static.ghost.org/v5.0.0/images/link-icon.svg)Stefan SchüllerStefan Schüller![](https://innasiec.pl/content/images/thumbnail/title-image.png)](https://sschueller.github.io/posts/the-free-market-lie/?ref=innasiec.pl) Szwajcaria oferuje dziś dedykowany, symetryczny internet 25 Gbit/s do domu. Nie współdzielony z sąsiadami, z wyborem spośród kilkunastu dostawców. To nie przypadek technologiczny — to efekt świadomej decyzji architektonicznej na poziomie regulacyjnym. Kluczowa różnica tkwi w architekturze fizycznej. Każdy budynek dostaje **4 dedykowane włókna światłowodowe** w topologii Point-to-Point. Włókna kończą się w neutralnym, otwartym węźle (PoP), do którego podłączyć się może dowolny ISP. Identyfikator gniazda OTO (Optical Termination Outlet) wystarczy, żeby operator aktywował usługę — bez wizyty technika, bez kopania rowów. Efekt: konkurencja odbywa się na warstwie usług (cena, jakość, support), nie na warstwie infrastruktury. To klasyczny unbundling — tyle że egzekwowany na poziomie L1, nie L2/L3. USA oddało budowę sieci operatorom bez obowiązku współdzielenia infrastruktury. Rezultat: terytorialne monopole. Comcast ma swoją dzielnicę, AT&T swoją. Brak konkurencji = brak presji na upgrade. Dodatkowo dominuje architektura P2MP (GPON/XGS-PON) ze splitterami 1:32 — nominalny gigabit dzielony między 32 abonenów wieczorami spada do 100–200 Mbit/s. Niemcy postawiły na *infrastructure competition* — każdy operator kopie własny rów. Efekt: równoległe inwestycje w tę samą ulicę, miliardy euro zmarnowane na redundantny beton, a pokrycie wciąż słabe. W 2020 roku Swisscom próbował zastąpić P2P architekturą P2MP — co de facto zamknęłoby dostęp fizyczny dla konkurentów. Init7 złożył skargę do COMCO (szwajcarski UOKiK). Sąd federalny przyznał rację regulatorowi. Swisscom zapłacił 18 mln CHF kary i wrócił do czterowłóknowego standardu P2P. --- ## Multi-Vendor ZTP [GitHub - NetOpsChic/multivendor-ZTP-serverContribute to NetOpsChic/multivendor-ZTP-server development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-88.svg)GitHubNetOpsChic![](https://innasiec.pl/content/images/thumbnail/multivendor-ZTP-server)](https://github.com/NetOpsChic/multivendor-ZTP-server/?ref=innasiec.pl) Multi-Vendor Pure ZTP Lab to minimalistyczne, oparte na infrastrukturze jako kod rozwiązanie do automatycznego, Day 1 Provisioning sieci wielodostawców (Cisco, Juniper, Arista) w środowisku GNS3\. Projekt wykorzystuje prosty serwer ZTP w kontenerze Docker, który wykrywa urządzenia po Vendor Class Identifier (DHCP Option 60), przypisuje im unikalne adresy IP oraz dostarcza właściwe pliki konfiguracyjne przez TFTP. --- ## Iperf3 na sterydach [GitHub - waqasdaar/iperf3-traffic-streamsContribute to waqasdaar/iperf3-traffic-streams development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-89.svg)GitHubwaqasdaar![](https://innasiec.pl/content/images/thumbnail/iperf3-traffic-streams)](https://github.com/waqasdaar/iperf3-traffic-streams/?ref=innasiec.pl) iperf3-traffic-flows to zaawansowany, terminalowy menedżer ruchu sieciowego oparty na iperf3, oferujący wielostrumieniowe testy przepustowości w środowiskach produkcyjnych. Narzędzie rozwiązuje typowe problemy surowych poleceń iperf3, takie jak zarządzanie wieloma strumieniami, testowanie w VRF, znakowanie DSCP czy monitorowanie wyników w czasie rzeczywistym, dzięki interaktywnemu menu i automatycznej konfiguracji. --- ## Fundament automatyzacji, który musisz rozumieć _This post is for paying subscribers only._ ### 📬 ISN 233: Jak Przyspieszyć PCAP? Bolączki IXP i Modele AI w Twoim Labie! URL: https://innasiec.pl/isn-233-jak-przyspieszyc-pcap-bolaczki-ixp-i-modele-ai-w-twoim-labie/ Last updated: 2026-04-06T08:00:47.000Z ## Jaki problem mają IXP? [Rethinking Internet Exchange architecture.The role of Internet exchange points couldn’t be overestimated in today’s Internet. The any-to-any peering model crafts Internet topology, making traffic flow patterns more direct while, at the same time, providing dense interconnection between networks.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-35)LinkedInAndrei Andreev![](https://innasiec.pl/content/images/thumbnail/1773737661107)](https://www.linkedin.com/pulse/rethinking-internet-exchange-architecture-andrei-andreev-hrase/?ref=innasiec.pl) Każdy duży Internet Exchange Point to w uproszczeniu jedna wielka domena rozgłoszeniowa — Peering VLAN — nad którą działają setki sesji BGP. AMS-IX używa MPLS/VPLS, DE-CIX przeszedł niedawno na MPLS/EVPN. Technologia się zmienia, ale fundamentalny problem pozostaje: im więcej memberów, tym głośniejszy broadcast i większe ryzyko, że jeden „głośny" uczestnik uderzy w pozostałych. Andrei Andreev (Melbicom) opisał architekturę, która adresuje ten problem bez uzależnienia od konkretnego vendora. Kluczowa zmiana to zastąpienie portów L2 po stronie IX routowanymi interfejsami unnumbered — pożyczającymi adres IP z Anycast Loopback, identycznego na każdym IX PE. Efekt? Zamiast jednej płaskiej domeny rozgłoszeniowej powstają mniejsze, izolowane segmenty. Memberzy nie widzą prefiksów infrastruktury IX, a granica między domenami jest wyraźna. Architektura rozdziela płaszczyzny infrastrukturalne i serwisowe: - Każdy statyczny /32 kierowany na interfejs membera ma powiązaną sesję BFD (member peering LAN address ↔ anycast IX PE). Przy utracie BFD prefiks infrastrukturalny jest natychmiast wycofywany — i od razu unieważnia zależne od niego prefiksy serwisowe na wszystkich zdalnych PE. - Prefiksy infrastrukturalne propagują się przez BGP labeled unicast (inet.3), serwisowe przez BGP unicast (inet.0). - Prefiksy serwisowe istnieją wyłącznie w RIB na PE — nie trafiają do FIB. Filtracja przez community `no-fib` zapobiega instalacji na zdalnych boxach. Ruch serwisowy jest podwójnie tunelowany: tunel IP między ASBR memberów (po adresach Peering LAN) oraz tunel MPLS między IX PE. Po stronie membera wystarczy skonfigurować dynamic tunnels (w tym przykładzie MPLS over UDP) z destination-networks obejmującymi całą przestrzeń adresową Peering LAN. --- ## Jak przyspieszyć analizę PCAP? [Mastering tcpdump for Infrastructure Troubleshooting: Networks, Ports, and Communication FailuresMost incident calls start the same way: “It is slow.” “It works from one subnet, not the other.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-36)LinkedInManhal Mohammed - MS.C.E® PMP® SMPC® RHCE®![](https://innasiec.pl/content/images/thumbnail/1774457902375)](https://www.linkedin.com/pulse/mastering-tcpdump-infrastructure-troubleshooting-manhal-jg1wf/?ref=innasiec.pl) Logi kłamią. Dashboardy kłamią. Pakiety — nie. Gdy dostajemy zgłoszenie „działa z jednej podsieci, nie działa z drugiej" albo „serwis jest up, ale użytkownicy failują", nie ma sensu zgadywać. Jedyna słuszna odpowiedź to otworzyć capture i spojrzeć na rzeczywisty ruch. Zanim uruchomisz tcpdump, określ: 1. **Gdzie przechwycisz ruch** — źródło, cel, gateway, czy oba końce? 2. **Jaki dokładnie flow** — src IP, dst IP, port, protokół? 3. **Jak wygląda sukces** — pełny handshake TCP, odpowiedź DNS, negocjacja TLS? To eliminuje klasyczny błąd: „złapię wszystko i jakoś znajdę". Techniczne komendy zna każdy. Kluczowe jest szybkie czytanie wzorców: **SYN bez odpowiedzi** → filtrowanie, routing lub host down. Możesz retransmitować SYN w kółko bez żadnego RST — to nie odmowa, to cisza. ``` 10:25:00 IP 10.1.10.25 > 10.1.20.99.443: Flags [S] 10:25:01 IP 10.1.10.25 > 10.1.20.99.443: Flags [S] ← retransmit 10:25:03 IP 10.1.10.25 > 10.1.20.99.443: Flags [S] ← retransmit ``` **SYN → natychmiastowy RST** → serwis nie nasłuchuje lub lokalny firewall odrzuca. To aktywna odmowa, nie drop. **Pełny handshake, ale aplikacja failuje** → schodź wyżej: TLS, certyfikaty, autentykacja. **Jeden kierunek komunikacji** → asymetryczny routing lub mismatch polityki stanowej firewalla. Złap oba końce — jeśli request dociera do celu i response wychodzi, ale nie wraca do źródła, masz problem z return path. Jeden workflow, który robi ogromną różnicę operacyjnie: zamiast kopiować pliki pcap z produkcji, możesz strumieniować pakiety bezpośrednio do lokalnego Wireshark przez SSH. W Wireshark wybierz interfejs **SSH remote capture (sshdump)**, podaj host, port SSH, credentiale i filtr BPF. Od razu widzisz ruch w czasie rzeczywistym, korzystasz z lokalnych profili i display filters, nie zostawiasz dużych plików na węźle produkcyjnym. Wymagania na zdalnym hoście: dostęp SSH, zainstalowany tcpdump lub dumpcap, uprawnienia do przechwytywania pakietów. Filtr trzymaj wąski — nie przeciążaj tunelu SSH. **Jeden operacyjny nawyk do wdrożenia dziś** Zbuduj **runbook znanych wzorców ruchu** dla kluczowych serwisów w swoim środowisku. Jak wygląda zdrowy handshake między app a bazą? Jak wygląda normalny DNS lookup w Kubernetes? Gdy masz baseline, anomalie widać w ciągu sekund zamiast minut. Różnica między inżynierem, który „patrzy na pakiety" a tym, który „czyta pakiety jak kod" — to właśnie ten kontekst. Pcap z incydentu zawsze archiwizuj z referencją do ticketu. To nie tylko post-mortem — to materiał dowodowy i baza wiedzy dla całego zespołu. **Pakiety nie kłamią. Zacznij ich słuchać systematycznie.** --- ## Lab High-Frequency Trading [GitHub - msf2105/hft-network-lab: High Frequency Trading Lab for EVE-NGHigh Frequency Trading Lab for EVE-NG. Contribute to msf2105/hft-network-lab development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-86.svg)GitHubmsf2105![](https://innasiec.pl/content/images/thumbnail/hft-network-lab)](https://github.com/msf2105/hft-network-lab?ref=innasiec.pl) Lab w EVE-NG odtwarza infrastrukturę kolokacyjną giełd z BGP, BFD, DPDK i RDMA — technologie stosowane przez firmy takie jak Jump Trading czy Citadel. Pozwala na praktyczną naukę deterministycznego wyboru ścieżek BGP, subsekundowego wykrywania awarii dzięki BFD, filtrowania prefixów, oraz testowanie kernel bypass i szybkiej komunikacji pamięciowej RDMA. --- ## Weryfikacja stanu sieci z AI [GitHub - pdudotdev/dblCheck: AI-assisted network intent validation framework for multi-vendor environments. Continuously checks live network state against design intent and invokes a Claude agent to diagnose, explain, and document failures and inconsistencies between expected vs. actual state.AI-assisted network intent validation framework for multi-vendor environments. Continuously checks live network state against design intent and invokes a Claude agent to diagnose, explain, and docu…![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-87.svg)GitHubpdudotdev![](https://innasiec.pl/content/images/thumbnail/dblCheck)](https://github.com/pdudotdev/dblCheck?ref=innasiec.pl) blCheck to narzędzie wspomagające walidację sieci w środowiskach multi-vendor z wykorzystaniem AI. Automatycznie sprawdza zgodność aktualnego stanu sieci z założonymi celami (intencjami) zapisanymi w NetBox, a w przypadku wykrycia niezgodności uruchamia agenta Claude, który diagnozuje i dokumentuje błędy. System działa w trybie odczytu, zapewniając bezpieczeństwo, a wyniki są prezentowane na żywym dashboardzie. Dzięki integracji z HashiCorp Vault, NetBox i Jira zarządzanie danymi i rejestrowanie incydentów jest w pełni zautomatyzowane. --- ## Topologia do trenowania AI _This post is for paying subscribers only._ ### 📬 ISN 232: Dashboard MikroTik, Protokół A2A i Praktyczny Lab IPv6! URL: https://innasiec.pl/isn-232-dashboard-mikrotik-protokol-a2a-i-praktyczny-lab-ipv6/ Last updated: 2026-03-30T08:00:45.000Z SPONSORED Sponsorem tego wydania jest [****Sycope**](https://www.sycope.com/pl?utm%5Fsource=newsletter&utm%5Fmedium=innasiec&utm%5Fcampaign=webinar%5Fdevice%5Fdetection), polski producent systemu do monitorowania i analizy ruchu sieciowego w oparciu o analizę przepływów sieciowych (Netflow, IPFIX, sFlow) – zaprasza na webinar na żywo: 👉 „****Nieznane urządzenia w sieci?** Sprawdź, jak wykryć je bez skanów, agentów i zmian w infrastrukturze!” 📅 31 marca, godz. 11:00 [Zapisz się ](https://sycope.clickmeeting.com/nieznane-urzadzenia-w-sieci/register?utm%5Fsource=newsletter&utm%5Fmedium=innasiec&utm%5Fcampaign=webinar%5Fdevice%5Fdetection) ## Overclocking IGP [The Overclock Illusion: Why Aggressive IGP Tuning is Killing Your NetworkEvery network engineer wants sub-second convergence. But it’s a common trap to assume BGP handles this automatically.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-34)LinkedInHerve Hildenbrand![](https://innasiec.pl/content/images/thumbnail/1773404209862)](https://www.linkedin.com/pulse/overclock-illusion-why-aggressive-igp-tuning-killing-your-herve-kmfvf/?ref=innasiec.pl) Każdy chce konwergencji poniżej sekundy. Ale agresywne skracanie timerów OSPF czy IS-IS to jedna z najgroźniejszych pułapek w inżynierii sieci — i wciąż zbyt często na nią wpadamy. **BGP jest tak szybki, jak szybki jest twój IGP** BGP nie działa w próżni. BGP Next-Hop Tracking czeka na przeliczenie ścieżki przez IGP, zanim zaktualizuje własną tablicę. Jeśli OSPF potrzebuje 40 sekund na wykrycie martwego sąsiada, twój ruch BGP przez te 40 sekund trafia w czarną dziurę. Naturalną reakcją jest "przyspieszenie" protokołu — hello i dead timery bliskie zeru, SPF initial wait zredukowany do minimum. I tu właśnie zaczyna się iluzja. Fundamentalna zasada, o której łatwo zapomnieć: bezpośrednie awarie interfejsu **omijają dead timery całkowicie**. Zerwany kabel generuje hardware interrupt, który natychmiast zrywa adjacency. Timery są w takim momencie ignorowane. Agresywne timery rozwiązują wyłącznie problem *silent failures* — sytuacji, gdy pośredni switch pada bez sygnału dla routerów na końcach ścieżki. Tymczasem koszt tego "rozwiązania" jest wysoki: - **Control Plane Starvation** — awaria line card z dziesiątkami interfejsów powoduje lawinę przerwań. Router próbuje uruchomić SPF osobno dla każdej zmiany stanu. CPU pegged at 100%, IPC głoduje. - **Transient Micro-Loops** — Router A aktualizuje FIB w 20ms, Router B w 60ms. Przez 40ms oba odsyłają pakiety do siebie nawzajem, aż TTL nie wygaśnie. - **Złamany High Availability** — SSO po awarii supervisora potrzebuje do 10 sekund. Dead timer ustawiony na 3 sekundy spowoduje, że sąsiedzi zerwa adjacency *zanim* switchover dobiegnie końca. Seamless failover staje się awarią. **Właściwe podejście: hardware zamiast software timerów** Nowoczesna architektura przenosi detekcję awarii z centralnego procesu software'owego na data plane: **BFD** (Bidirectional Forwarding Detection) działa bezpośrednio na hardware. Wykrywa awarię w 150ms (3 × 50ms) bez angażowania głównego CPU. To jest właściwe narzędzie do szybkiej detekcji — nie skrócone dead timery. **TI-LFA** (Topology-Independent Loop-Free Alternate) prewylicza ścieżkę zapasową. Przy awarii łącza hardware przekierowuje ruch w mniej niż 50ms, zanim IGP zdąży nawet przeliczył topologię. **BGP PIC** (Prefix-Independent Convergence) to najważniejszy element układanki dla sieci z dużą tablicą BGP. PIC pre-instaluje zapasowe next-hopy bezpośrednio w hardware FIB. Przy awarii łącza tranzytowego (PIC Core) lub zewnętrznego peera (PIC Edge) hardware zmienia jeden wskaźnik — niezależnie od rozmiaru tablicy routingu. --- ## Protokół A2A [Understanding the A2A Protocol for Agentic AI in Network OperationsOver the last year, we’ve seen explosive interest in agentic AI systems built with LLM-powered components that can reason, plan, call tools, and coordinate with other agents. But if you’ve actually…![](https://innasiec.pl/content/images/icon/webclip-2.png){networkphil}March 2, 2026 at 1:55 pm![](https://innasiec.pl/content/images/thumbnail/image-1-1.png)](https://networkphil.com/2026/03/02/understanding-the-a2a-protocol-for-agentic-ai-in-network-operations/?ref=innasiec.pl) Budowanie wieloagentowych systemów automatyzacji sieci wygląda świetnie na slajdach. W praktyce kończy się na tygodniach pisania glue code'u między agentami, które mówią różnymi językami. Agent2Agent (A2A) od Google rozwiązuje dokładnie ten problem. A2A to otwarty protokół standaryzujący komunikację między agentami AI — niezależnie od frameworka, vendora czy środowiska. Działa na HTTP/S z JSON-RPC, co oznacza, że pasuje do istniejącej infrastruktury enterprise bez przebudowy czegokolwiek. Trzy kluczowe elementy: - **Agent Card** — plik JSON publikowany przez każdego agenta, opisujący jego możliwości, endpoint i wymagania auth. Odpowiednik DNS dla agentów — discovery bez hardcodowania zależności. - **Tasks** — jednostki pracy z pełnym lifecycle (submitted → working → completed/failed). Persystują przez wiele interakcji i zachowują stan nawet gdy zależności są niedostępne. - **Messages** — krótkie, bezstanowe interakcje dla prostych zapytań. Ważna różnica w stosunku do MCP: A2A to komunikacja pozioma (agent ↔ agent), MCP to komunikacja pionowa (agent → narzędzia/toolsy). Oba są potrzebne w kompletnym systemie. Typowy workflow RCA w złożonej sieci wymaga danych telemetrycznych, przeszukania dokumentacji, analizy topologii, generowania configu i aktualizacji ticketów. Bez A2A każda integracja między komponentami to osobny projekt. Z A2A możesz zbudować specjalizowane agenty (telemetria, topologia, konfiguracja, ticketing) które współpracują przez wspólny protokół. Każdy agent ma własne narzędzia przez MCP, własne uprawnienia, własne logi. Możesz upgradeować jeden agent bez dotykania pozostałych. Konkretny przykład: alert o wysokim wykorzystaniu interfejsu trafia do agenta RCA. Ten wysyła zadanie do Telemetry Agent po dane z 6 godzin, do Topology Agent po kontekst LLDP/CDP, do Configuration Agent po propozycję remediacji. Na końcu Ticketing Agent aktualizuje ServiceNow i czeka na ludzką akceptację przed pushowaniem zmian. Cały workflow ma pełny audit trail — kto poprosił o co, co zwróciło jakie dane, co zostało zaaplikowane. Jeśli budujesz lub planujesz automatyzację opartą na AI, warto zacząć od jednego agenta z kilkoma MCP serverami — nie od razu od pełnej architektury wieloagentowej. Natura A2A sprawia jednak, że skalowanie jest przewidywalne: dodajesz nowego agenta z jego Agent Card, a reszta systemu może go automatycznie odkryć i zacząć delegować zadania. --- ## Szwajcarski scyzoryk sieciowca [SubnetLab Pro — Built by Chaithanya Kumar KatariSubnetLab Pro — A complete IPv4/IPv6 subnetting toolkit. Built by Chaithanya Kumar Katari, Network Implementation Manager at Akamai Technologies.![](https://static.ghost.org/v5.0.0/images/link-icon.svg)SubnetLab Pro Edition 🌙Chaithanya Kumar Katari](https://chaithu-lets-code.github.io/SubnetPro/?ref=innasiec.pl) Aplikacja oferuje zaawansowane kalkulatory i symulatory do pracy z IPv4 i IPv6, w tym kalkulatory podsieci, planowanie VLSM, analizę adresów IPv6 oraz symulacje protokołów takich jak STP, OSPF czy BGP. Dzięki przejrzystym wizualizacjom, dokładnym wyjaśnieniom i zestawom pytań do egzaminów CCNA/CCNP, SubnetLab Pro jest idealnym wsparciem dla studentów i inżynierów sieciowych na różnych poziomach zaawansowania. --- SPONSORED Każdego dnia w Twojej sieci pojawiają się urządzenia, nad którymi nikt nie ma pełnej kontroli i często pozostają niewidoczne – aż do momentu incydentu lub audytu. [****Sycope**](https://www.sycope.com/pl?utm%5Fsource=newsletter&utm%5Fmedium=innasiec&utm%5Fcampaign=webinar%5Fdevice%5Fdetection "https://www.sycope.com/pl?utm_source=newsletter&utm_medium=innasiec&utm_campaign=webinar_device_detection") – polski producent systemu do monitorowania i analizy ruchu sieciowego w oparciu o analizę przepływów sieciowych (Netflow, IPFIX, sFlow) – zaprasza na webinar na żywo: 👉 „****Nieznane urządzenia w sieci?** Sprawdź, jak wykryć je bez skanów, agentów i zmian w infrastrukturze!” 📅 31 marca, godz. 11:00 ****Podczas webinaru dowiesz się:** ☑️ dlaczego nieznane urządzenia to realne ryzyko; ☑️ czego nie widzą klasyczne narzędzia; ☑️ jak wykrywać urządzenia pasywnie (bez skanów i agentów); ☑️ jak przejść od wykrycia do realnych działań. [Zapisz się ](https://sycope.clickmeeting.com/nieznane-urzadzenia-w-sieci/register?utm%5Fsource=newsletter&utm%5Fmedium=innasiec&utm%5Fcampaign=webinar%5Fdevice%5Fdetection) ## Dashboard do monitorowania MikroTik-a [GitHub - SecOps-7/MikroDash: Real-time MikroTik RouterOS v7 dashboard. Streams live CPU, traffic, wireless clients, DHCP, WireGuard, firewall & geo connection data direct from the router API to your browser via Socket.IO. Self-hosted, Docker-readyReal-time MikroTik RouterOS v7 dashboard. Streams live CPU, traffic, wireless clients, DHCP, WireGuard, firewall & geo connection data direct from the router API to your browser via Socket.IO.…![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-85.svg)GitHubSecOps-7![](https://innasiec.pl/content/images/thumbnail/MikroDash)](https://github.com/SecOps-7/MikroDash?ref=innasiec.pl) MikroDash to zaawansowany dashboard do monitorowania MikroTik RouterOS w czasie rzeczywistym. Łączy się bezpośrednio z API routera przez stałe połączenie TCP i przesyła dane na żywo do przeglądarki bez konieczności odświeżania strony. Obsługuje wiele funkcji: wykresy ruchu, status systemu, mapę połączeń, klientów bezprzewodowych, interfejsy, DHCP, VPN/WireGuard, zaporę i wiele innych. --- ## Lab IPv6 _This post is for paying subscribers only._ ### 📬 ISN 231: Multicast na Palo Alto, Migracja z Panoramy i Nowa Architektura Netflixa! URL: https://innasiec.pl/isn-231-multicast-na-palo-alto-migracja-z-panoramy-i-nowa-architektura-netflixa/ Last updated: 2026-03-23T09:00:17.000Z ## Czy warto migrować z Panoramy? [Strata Cloud Manager – Network&Security blog by Pawel Zwierzynski![](https://innasiec.pl/content/images/icon/cropped-cropped-letsnet.eu_black-270x270-2.png)Pawel Zwierzynski![](https://innasiec.pl/content/images/thumbnail/image-7-1024x228.png)](https://letsnet.eu/strata-cloud-manager/?ref=innasiec.pl) Jeśli zarządzasz wieloma firewallami Palo Alto, prawdopodobnie siedzisz na Panoramie od lat. SCM zmienia reguły gry – i warto wiedzieć, co to oznacza w praktyce. **Co boli w Panoramie?** Dwa obszary sprawiają najwięcej problemów. Pierwszy to sztywność szablonów – profil skonfigurowany w jednym szablonie nie jest dostępny w innym. Przy złożonych środowiskach to realne ograniczenie, które wymusza duplikowanie konfiguracji. Drugi to storage. Skalowanie przechowywania logów oznacza kolejne instancje Log Collectorów. Gdy dyski są pełne, filtrowanie logów staje się boleśnie wolne. **Czym różni się SCM?** SCM porzuca podział na Device Groups i Templates. Zamiast tego – hierarchia folderów. Konfiguracja na każdym poziomie jest dziedziczona w dół. Do tego dochodzą Snippety – wielokrotnego użytku bloki konfiguracji, które można podpiąć na dowolnym poziomie hierarchii. To rozwiązuje problem szablonów z Panoramy. Praktyczna różnica: mniej powielania, więcej elastyczności przy onboardingu nowych urządzeń. **Co dostajesz za darmo?** Wariant Essential SCM jest bezpłatny i obejmuje centralne zarządzanie firewallami oraz automatyczny Best Practice Assessment. BPA w Panoramie to proces manualny – SCM robi to automatycznie na podstawie telemetrii wysyłanej przez NGFW. Dla senior engineera to realna oszczędność czasu przy audytach konfiguracji. **Wersja Pro dodaje przede wszystkim storage logów w chmurze** – dla większości środowisk to główny powód do upgrade'u. **Zanim zaczniesz migrację – dwie rzeczy do sprawdzenia** - **Brak narzędzia migracyjnego**: Na dziś nie istnieje oficjalny migrator konfiguracji z Panoramy do SCM. Palo Alto pracuje nad rozwiązaniem, ale przy złożonych środowiskach warto podejść ostrożnie. - **Advanced Routing Engine**: SCM zarządza tylko firewallami z włączonym ARE (dostępnym od PAN-OS 10.2). Jeśli urządzenia nadal używają legacy Virtual Routers, zmiana trybu routingu jest wymagana przed onboardingiem. --- ## Multicast na Palo Alto [Multicast Routing w/ Palo | Weberblog.net![](https://innasiec.pl/content/images/icon/cropped-webernetz-logo-4-icon-2000x2000-1-180x180-10.png)Weberblog.netJohannes Weber![](https://innasiec.pl/content/images/thumbnail/Multicast-Routing-w-Palo-featured-image-604x270.jpg)](https://weberblog.net/multicast-routing-w-palo/?ref=innasiec.pl) Multicast na firewallach Palo Alto to rzadkość w produkcji, ale kiedy już musisz to skonfigurować, kilka nieoczywistych szczegółów może kosztować Cię godziny debugowania. Zanim zaczniesz planować – sprawdź wersję systemu. PAN-OS 11.2 z włączonymi Advanced Routing Engine (ARE) **nie obsługuje multicast routing w ogóle**. Multicast działa wyłącznie z IPv4; jeśli twoje środowisko wymaga IPv6 multicast, Palo nie jest opcją. PIM-SM ze statycznym Rendezvous Point to jedyna przetestowana konfiguracja – bez autoRP ani BSR. **Security policies** Konfiguracja protokołów (PIM, IGMP) jest prosta i działa prawie na domyślnych ustawieniach. Złożoność kryje się w politykach bezpieczeństwa. Trzy reguły, które musisz zrozumieć: - **PIM** – wymagany tylko jeśli Palo jest na ścieżce między routerami a RP, lub sam pełni rolę RP. Jeśli terminujesz tylko odbiorców IGMP, reguła PIM nie jest potrzebna. - **IGMP** – ruch ze strefy odbiorcy do specjalnej strefy docelowej **„multicast"** (nie do konkretnego interfejsu ani zony tranzytowej). - **Ruch multicastowy** – np. strumień UDP, musi być dozwolony ze strefy źródła do tej samej strefy **„multicast"**. Strefa „multicast" jako destination zone to specyficzny konstrukt PAN-OS, który łatwo przeoczyć przy pierwszej konfiguracji. **Diagnostyka** Standardowe `show` dla routingu multicastowego dają fragmentaryczny obraz. Jeden polecenie dostarcza widok porównywalny z Cisco IOS: ``` show advanced-routing multicast pim state group ``` Tylko ta komenda pokazuje Rendezvous Point dla grup (\*,G), stan upstream join, RPF next-hop oraz pełną listę OIL (Outgoing Interface List) z timerem join/prune. Pozostałe komendy (`route`, `fib`, `igmp membership`) są przydatne uzupełniająco, ale to `pim state` daje kompletny kontekst sesji. --- ## Mały ISP lab [GitHub - abelperezr/small-isp-lab: Small ISP environment in ContainerlabSmall ISP environment in Containerlab. Contribute to abelperezr/small-isp-lab development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-83.svg)GitHubabelperezr![](https://innasiec.pl/content/images/thumbnail/small-isp-lab)](https://github.com/abelperezr/small-isp-lab?ref=innasiec.pl) Projekt small-isp-lab to kompletny lab ISP oparty na Containerlab z urządzeniami Nokia SROS (SRSIM), Nokia SR Linux oraz dodatkowymi kontenerami Linux i dokumentacją operacyjną w Docusaurus . Służy do symulacji realistycznego środowiska dostępowego i edge ISP, oferując m.in. redundancję BNG (SRRP), inżynierię ruchu BGP (EHS), obsługę IPoE i PPPoE, RADIUS z fallbackiem LUDB, różne profile usług IPv6 i dual-stack, mechanizmy NAT (CGNAT, NAT64, one-to-one), monitoring (gNMIc + Prometheus + Grafana), Lawful Interception oraz automatyzację operacji przez Containerbot. --- ## Uruchom SD-WAN w Labie [GitHub - sdargoeuves/automate\_cisco\_sdwan\_lab: Automation for a Cisco SD-WAN LabAutomation for a Cisco SD-WAN Lab. Contribute to sdargoeuves/automate\_cisco\_sdwan\_lab development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-84.svg)GitHubsdargoeuves![](https://innasiec.pl/content/images/thumbnail/automate_cisco_sdwan_lab)](https://github.com/sdargoeuves/automate%5Fcisco%5Fsdwan%5Flab?ref=innasiec.pl) INFO: Projekt automatyzuje konfigurację podczas pierwszego uruchomienia i rejestrację certyfikatów w Cisco SD-WAN (Manager, Validator, Controller, Edge). Dedykowany głównie użytkownikom netlab, ale działa w każdej sieci SD-WAN z dostępem do IP zarządzających. Wykorzystuje netlab i containerlab oraz obrazy Docker VRnetlab. --- ## Nowa architektura Netflixa _This post is for paying subscribers only._ ### 📬 ISN 230: Troubleshooting Control-Plane w SD-WAN oraz Jak AI Zarządza Siecią! URL: https://innasiec.pl/isn-230-troubleshooting-control-plane-w-sd-wan-oraz-jak-ai-zarzadza-siecia/ Last updated: 2026-03-16T09:00:28.000Z ## Gdzie ISP traci kontrolę nad siecią? [How the Modern ISP Network Is Actually Structured - j2sw BlogThe three-tier model of core (edge), distribution, and access remains the foundation of ISP network architecture, though the distinctions between these layers have become less defined. A current assessment requires analysis beyond standard diagrams.![](https://innasiec.pl/content/images/icon/cropped-J2-Projects-Logo.jpg)j2sw Blogj2sw![](https://innasiec.pl/content/images/thumbnail/Illustrative-access-network-topology.png)](https://blog.j2sw.com/xisp/how-the-modern-isp-network-is-actually-structured/?ref=innasiec.pl) Trójwarstwowy model sieci ISP (core, dystrybucja, dostęp) istnieje od dekad. Większość zna go na pamięć. Problem w tym, że środkowa warstwa — dystrybucja — zmieniła się fundamentalnie, a schematy blokowe tego nie pokazują. Jeszcze kilka lat temu warstwa dystrybucji agregowała ruch i przekazywała go dalej. Dziś to miejsce, gdzie kumuluje się złożoność operacyjna całej sieci. Na tym poziomie realizowane są równolegle: - traffic engineering via SR-MPLS lub SRv6 - NAT abonencki (klasyczny oraz 6to4) - egzekwowanie polityk QoS i subscriber management - mitigacja DDoS w punkcie agregacji - service chaining dla usług dodatkowych Każda z tych funkcji konkuruje o zasoby obliczeniowe tych samych urządzeń. To tutaj, nie na core, pierwsze pojawiają się problemy ze skalowaniem. Backbone ISP z routerami o przepustowości wielu terabitów per chassis to standard. Różnicowanie zaczyna się gdzie indziej — w decyzjach peeringowych. **Peering na dużych IXP obniża koszty tranzytu, ale wprowadza zależność od pojemności i niezawodności punktów wymiany.** Efektywna architektura edge wymaga zdywersyfikowanych ścieżek z rezerwą wystarczającą do przejęcia ruchu przy degradacji pojedynczego łącza peeringowego. To decyzja biznesowo-architektoniczna, która bezpośrednio przekłada się na metryki doświadczane przez abonentów. **Warstwa dostępowa to największa różnorodność technologiczna w sieci ISP**: Active Ethernet, GPON, XGS-PON, DOCSIS 3.1/4.0, fixed wireless na CBRS i pasmach licencjonowanych. Każda technologia ma inne charakterystyki planowania pojemności. Nawet doskonale zaprojektowany core nie skompensuje przeciążenia lub błędnej konfiguracji w last mile. Upowszechnienie pracy zdalnej sprawiło, że łącza rezydencjalne obsługują wzorce ruchu wcześniej zarezerwowane dla łączy enterprise. To zmiana, która wymaga aktywnego monitoringu na poziomie dostępowym — nie tylko reaktywnego. --- ## Darmowe punkty CE [Cisco Learning Network![](https://innasiec.pl/content/images/icon/favicon-75.ico)](https://learningnetwork.cisco.com/s/question/0D5QO00001yVz7j0AC/hidden-gem-get-110-free-ce-credits-how-i-saved-my-ccnp-recertification?ref=innasiec.pl) Jeśli zbliża się termin odnowienia certyfikatu, a brakuje Ci kilku (lub kilkudziesięciu) punktów CE — Webex Academy może rozwiązać ten problem bez żadnych kosztów. Większość zna darmowe kursy z Cisco U. Znacznie mniej wie o **Webex Academy** (academy.webex.com), gdzie dostępne są pełnoprawne kursy z egzaminami końcowymi, przynoszące realne punkty CE. Dostępne kursy i przypisane kredyty: - Webex Calling for Customer Administrators – **28 kredytów** - Webex Control Hub Professional (IT Admin) – **20 kredytów** - Webex Contact Center for Customer Administrators – **11 kredytów** Łącznie do zdobycia: **59 punktów CE, w pełni honorowanych przez Cisco.** Kursy kończą się egzaminem (próg zdawalności: 70%, dwie próby). Po zaliczeniu pobierasz certyfikat/odznakę i składasz ją ręcznie przez **Cisco CE Portal** (ce.cisco.com → Submit Items). Kredyty nie są przypisywane automatycznie — wymagają manualnego zgłoszenia. Ważna uwaga techniczna: część kursów może nie pojawiać się w rozwijanej liście CE Portalu. W takim przypadku sprawdź najpierw CertMetrics, czy kredyty nie zostały przypisane automatycznie. Jeśli nie — otwórz zgłoszenie do CE Support z certyfikatem i zrzutami ekranu potwierdzającymi kwalifikowalność kursu. Wsparcie może ręcznie zatwierdzić punkty. --- ## System do zarządzania infrastrukturą z AI [GitHub - h-network/h-cli: Natural language infrastructure managementNatural language infrastructure management. Contribute to h-network/h-cli development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-82.svg)GitHubh-network![](https://innasiec.pl/content/images/thumbnail/h-cli-1)](https://github.com/h-network/h-cli?ref=innasiec.pl) h-cli to samoobsługowy system zarządzania infrastrukturą za pomocą naturalnego języka, działający na serwerze MCP z ParrotOS. Wysyłasz polecenie w czacie, a system wykonuje je automatycznie – np. skanuje sieć, sprawdza porty, tworzy laboratoria w EVE-NG na podstawie NetBoxa. Obsługuje Telegram, Slack, Discord i własny Web UI. --- ## Portal przygotowujący do CCNA Automation [GitHub - E-Conners-Lab/DevNet\_StudyLab: DevNet StudyLab — A full-stack study platform for the Cisco DevNet Associate (200-901) exam. Features an AI tutor powered by Claude, interactive flashcards, practice exams, hands-on labs with mock Cisco APIs (Meraki, Catalyst, Webex), and study guides. Built with Next.js, PostgreSQL, and a Python lab engine.DevNet StudyLab — A full-stack study platform for the Cisco DevNet Associate (200-901) exam. Features an AI tutor powered by Claude, interactive flashcards, practice exams, hands-on labs with mock…![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-81.svg)GitHubE-Conners-Lab![](https://innasiec.pl/content/images/thumbnail/DevNet_StudyLab)](https://github.com/E-Conners-Lab/DevNet%5FStudyLab?ref=innasiec.pl) Platforma DevNet StudyLab to kompleksowe narzędzie do nauki przygotowujące do certyfikacji Cisco DevNet Associate (200-901). Umożliwia śledzenie postępów w 6 domenach egzaminu, korzystanie z 199 fiszek opartych na algorytmie powtórek SM-2, rozwiązywanie praktycznych testów oraz dostęp do szczegółowych przewodników i 7 praktycznych laboratoriów z edytorem kodu. --- ## Diagnostyka control-plane w Cisco SD-WAN _This post is for paying subscribers only._ ### 📬 ISN 229: Budowanie Zespołu Sieciowego, VXLAN w Proxmox i Wizualizacja Wireshark! URL: https://innasiec.pl/isn-229-budowanie-zespolu-sieciowego-vxlan-w-proxmox-i-wizualizacja-wireshark/ Last updated: 2026-03-13T09:00:54.000Z ## Jak budować zespół sieciowy [The Executive Chef’s Manifesto: How I Run My Network KitchenFollowing my recent piece on the Cook vs. Chef Paradox, many of you asked: “Herve, if the career ladder is broken, how do you actually build a kitchen that scales? How do you turn a junior into a Chef?” Management isn’t about presiding over a dashboard; it’s about the heat, the timing, and the peopl![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-33)LinkedInHerve Hildenbrand![](https://innasiec.pl/content/images/thumbnail/1771779601596)](https://www.linkedin.com/pulse/executive-chefs-manifesto-how-i-run-my-network-herve-hildenbrand-jbnae/?ref=innasiec.pl) Zamykanie ticketów to minimum. W erze automatyzacji i AI, inżynier który nie rozumie *dlaczego* coś robi, jest tylko tłumaczem dla modelu językowego. Jak więc budować zespół, który naprawdę rozumie sieć? **Zaufanie z technicznym pokryciem** Menedżer siedzący za plecami inżyniera podczas P1 i pytający "dlaczego logi tak szybko lecą" nie pomaga — generuje panikę. Prawdziwe zaufanie wymaga, żebyś jako lider rozumiał blast radius każdej decyzji konfiguracyjnej. To oznacza: mówisz językiem BGP communities i segment routingu, nie językiem SLA i dashboardów. Dopiero wtedy twój zespół czuje wsparcie zamiast nadzoru. Blameless post-mortemy to nie buzzword — to mechanizm, który zamienia błąd produkcyjny w wiedzę całego zespołu. Błąd bez analizy to zmarnowana lekcja. **"Learning tax" — płać przy każdym projekcie** Migracja LDP → SR, wdrożenie nowego modelu routingu, zmiana polityki traffic shapingu — za każdym razem wymagaj od zespołu jednego: żeby rozumieli *dlaczego*, nie tylko *co*. Inżynier który wie tylko *co* zrobić, będzie bezradny gdy automat zwróci niespodziewany wynik. Inżynier który rozumie *intent* — złapie halucynację modelu zanim trafi na produkcję. Konkretny przykład: opóźnienie wdrożenia backbone o dwa tygodnie, bo junior flaguje subtelny routing risk pominięty przez automatyzację — to nie porażka projektu. **Nagradzaj złożonością, nie tytułem** Najlepsi inżynierowie nie są motywowani tylko wynagrodzeniem. Autonomy, mastery, purpose — to triada która zatrzymuje talenty. Praktyczne przełożenie na codzienne zarządzanie: - **Zdejmuj guardrails** — najlepsza nagroda za dobre wykonanie to trudniejsze zadanie - **Daj "signature dish"** — projekt od designu do wdrożenia, gdzie inżynier jest właścicielem decyzji - **Laboratorium przed produkcją** — Containerlab, środowiska on-prem, certyfikacje to nie koszt, to flight simulator Cel jest prosty: twoi najlepsi ludzie w końcu odejdą prowadzić własne zespoły. To sukces, nie porażka. Twoja robota to upewnić się, że wychodzą jako liderzy gotowi na "grand service". --- ## Zanim zaczniesz z automatyzacją sieci [You’re Asked to Automate the Network. Now What?Network automation, guides, and real-world experience![](https://innasiec.pl/content/images/icon/favicon-6.png)Network Automation with David![](https://innasiec.pl/content/images/thumbnail/home-bg.png)](https://dv-lunel.com/post/2026-02-13-now-what/?ref=innasiec.pl) Pytanie "jak zautomatyzować sieć?" pojawia się codziennie. Problem w tym, że większość projektów automatyzacji kończy się porażką, zanim naprawdę się zacznie. Dlaczego? Bo zaczynamy od narzędzi, nie od fundamentów. **Trzy pytania, które musisz zadać przed pierwszą linią kodu** **Dlaczego automatyzujemy?** To nie jest retoryka. Przed wyborem narzędzia musisz zrozumieć rzeczywisty problem. Rosnące obciążenie operacyjne? Ryzyko błędów ludzkich? Compliance? Każdy powód prowadzi do innego rozwiązania. **Co konkretnie automatyzujemy?** "Automatyzacja sieci" to pusty slogan. Czy mówimy o zmianach ACL przez CLI? Zero-touch provisioning? Integracji z ITSM? Różnica jest ogromna - i determinuje całą architekturę. **Jak to zaimplementujemy?** Dopiero teraz myślimy o narzędziach. Ale uwaga: to nie jest wybór między Pythonem a Ansible. To pytanie o rolę komponentu w szerszym ekosystemie. Prosty skrypt może być lepszy niż orchestrator, jeśli rozumiesz kontekst. **Przykład 1: Aktualizacja NTP na routerach** Scope: Git + Python script. Kropka. Nie potrzebujesz orchestratora do jednorazowej zmiany konfiguracji. **Przykład 2: Integracja kontrolera z ticketingiem** Scope: AWX jako warstwa integracyjna, Ansible do zmian w sieci, pattern Northbound/Southbound do dekuplingu systemów. Tu już potrzebujesz architektury. **Przykład 3: Compliance state infrastructure** Scope: Nautobot jako Source of Truth, Golden Config do audytu, Grafana do monitoringu, Git do kontroli wersji. Pełny ekosystem z wyraźnymi granicami domenowymi. Jeśli zaczynasz automatyzację w swojej organizacji: **zatrzymaj się na tydzień**. Zdefiniuj why, what, how. Zrozum scope. Dopiero wtedy otwórz IDE. --- ## Wizualizacja danych w Wireshark [GitHub - netwho/PacketCircle: Wireshark Plugin for traffic-matrix visualisationWireshark Plugin for traffic-matrix visualisation - netwho/PacketCircle![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-79.svg)GitHubnetwho![](https://innasiec.pl/content/images/thumbnail/PacketCircle)](https://github.com/netwho/packetcircle?ref=innasiec.pl) PacketCircle to natywny plugin do Wiresharka, który wizualizuje pary komunikacji sieciowej na interaktywnym diagramie kołowym z kolorowaniem według protokołów, wskaźnikami natężenia ruchu oraz możliwością eksportu raportów PDF. Dzięki niemu szybko zobaczysz relacje między hostami, protokoły i wolumeny danych, a także szczegółowe informacje o połączeniach w jednym miejscu. --- ## Wygodne przeglądanie danych z BGP [GitHub - bgpkit/monocle: 🧐 See through all BGP data with a monocle.🧐 See through all BGP data with a monocle. Contribute to bgpkit/monocle development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-80.svg)GitHubbgpkit![](https://innasiec.pl/content/images/thumbnail/monocle)](https://github.com/bgpkit/monocle?ref=innasiec.pl) Monocle to narzędzie do analizy i przeglądania danych Border Gateway Protocol (BGP). Umożliwia parsowanie, wyszukiwanie i inspekcję danych MRT, sprawdzanie relacji między systemami autonomicznymi (AS), mapowanie prefiksów IP do AS, oraz walidację danych RPKI. Dzięki Monocle można łatwo uzyskać szczegółowe informacje o numerach AS, prefiksach sieciowych, relacjach między AS-ami, a także o stanie bezpieczeństwa trasowania IP. Narzędzie oferuje zarówno interfejs wiersza poleceń jak i API WebSocket, pozwalając na integrację z innymi systemami. --- ## VXLAN w Proxmox _This post is for paying subscribers only._ ### 📬 ISN 228: Symulacja CCIE, Netconf w VS Code i 6 Obszarów OSPF w Jednym Labie! URL: https://innasiec.pl/isn-228-symulacja-ccie-netconf-w-vs-code-i-6-obszarow-ospf-w-jednym-labie/ Last updated: 2026-03-02T09:00:56.000Z ## Symulacja egzaminu CCIE [Graded LabsGraded Labs provide CCIE and CCDE candidates with advanced virtual lab environments that closely mirror real exam scenarios and the modular lab format.![](https://innasiec.pl/content/images/icon/favicon-72.ico)Cisco![](https://innasiec.pl/content/images/thumbnail/illustration-character-ideating-working-2-1200x630.jpg)](https://www.cisco.com/site/us/en/learn/training-certifications/certifications/expert/graded-labs.html?ref=innasiec.pl) Cisco cicho wypuściło narzędzie, które może realnie zmienić sposób przygotowania do egzaminu lab CCIE. Graded Labs to 8-godzinna symulacja praktyczna z automatycznym ocenianiem — i jest dostępna już teraz dla ścieżki Enterprise Infrastructure. Graded Labs to wirtualne środowisko laboratoryjne, które odwzorowuje strukturę rzeczywistego egzaminu lab CCIE. Dwa moduły — Design (3h) i Deploy/Operate/Optimize (5h) — z jedną próbą każdy, bez możliwości pauzy. Dokładnie jak na prawdziwym egzaminie. Kluczowa różnica względem Practice Labs: dostajesz szczegółowy raport z wynikami natychmiast po zakończeniu. Breakdown pytań, wyniki per domena, konkretne wskazówki — nie musisz czekać ani zgadywać, gdzie są luki w wiedzy. Kilka szczegółów, które warto znać przed zakupem: - **Cena**: $1000 lub 10 Cisco Learning Credits (CLC) za licencję - **Dostęp**: 90 dni od zakupu na uruchomienie, brak możliwości przedłużenia - **Warunek**: Wymagany zdany egzamin pisemny (core exam) - **Platforma**: Skillable — warto wcześniej przejść 15-minutowy orientation, żeby nie tracić czasu na starcie Raport z wynikami możesz wyeksportować bezpośrednio z platformy Skillable. Uwaga: Cisco U. nie przechowuje raportu po zamknięciu sesji — zapisz go od razu. **Graded vs Practice Labs — szybkie porównanie** Practice Labs ($50/sesja, 4h, sprzęt fizyczny) służą do budowania umiejętności metodą prób i błędów. Graded Labs ($1000, 8h, środowisko wirtualne) to finalny test gotowości z pełnym feedbackiem. Logika jest prosta: ćwicz na Practice, waliduj na Graded. Aktualnie dostępna jest tylko ścieżka CCIE Enterprise Infrastructure. CCIE Security, Service Provider i CCDE są zapowiedziane jako "coming soon". --- ## Sieci autonomiczne potrzebują zarządzania [From Talking to Networks to Thinking With Them: Introducing Structured Network AutonomyI’ve been building AI into my network lab for a while now. It started simply enough: natural language queries, a custom MCP server, letting a language model pull telemetry and answer questions about my infrastructure in plain English.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-32)LinkedInElliot C.![](https://innasiec.pl/content/images/thumbnail/1771984347901)](https://www.linkedin.com/pulse/from-talking-networks-thinking-them-introducing-network-elliot-conner-zph8e/?ref=innasiec.pl) Gdy tylko zaczniesz poważnie myśleć o nadaniu agentowi AI realnych uprawnień w sieci produkcyjnej, zderzasz się ze ścianą. Nie techniczną — organizacyjną. Brakuje ram, które określałyby jak skalować zaufanie do autonomicznego systemu stopniowo, z pełną odpowiedzialnością. Dokładnie tę lukę adresuje **Structured Network Autonomy (SNA)** — framework zaprojektowany przez Elliota Connera po kilku latach budowania agentów AI w środowiskach sieciowych. **Cztery warstwy i fundament** SNA działa jak kontrola lotów: ściśle określone korytarze, protokoły zezwoleń, eskalacja uprawnień oparta na historii działań. Fundament to bezpieczeństwo danych — agent jest tak wiarygodny, jak dane, na których operuje. Nad nim działają cztery warstwy: - **Define** — inwentaryzacja, network intent, tolerancja ryzyka, role governance — zanim agent cokolwiek dotknie - **Constrain** — Policy Engine tłumaczący intent organizacji na maszynowo egzekwowalne reguły - **Act** — agent działa szybko tam, gdzie ma pewność; automatycznie eskaluje na granicach swoich uprawnień - **Audit** — pełny log, wyjaśnialny i audytowalny; wyniki zasilają warstwę Constrain, tworząc żywy system governance Kluczowy mechanizm SNA to dwa wskaźniki: **AFM (Autonomy Feedback Metric)** — ocenia każdą akcję agenta pod kątem: dokładności, przestrzegania zakresu, właściwości eskalacji i jakości recovery. Aktualizowany w czasie rzeczywistym. **EAS (Earned Autonomy Score)** — skumulowany rekord agenta zbudowany z danych AFM. Rośnie przy konsekwentnie dobrej pracy, spada przy błędach lub nieprzewidzianych interwencjach ludzkich. EAS determinuje etap dojrzałości: od **Assisted** (AI tylko rekomenduje) przez **Supervised** i **Delegated**, aż po **Governed** (pełna autonomia rutynowych operacji z dynamicznymi ograniczeniami). Każdy agent startuje od zera — niezależnie od dojrzałości organizacji. Przejście do wyższego etapu wymaga zatwierdzenia przez Governance Officer. Jeśli planujesz wdrożenie AI w infrastrukturze sieciowej, zacznij od pytań, które SNA stawia jako pierwsze: Czy masz zdefiniowany network intent w formie nadającej się do maszynowego egzekwowania? Kto w organizacji pełni rolę Governance Officer dla systemów AI? Jak dziś audytujesz decyzje automatyzacji? --- ## Netconf w VS Code [GitHub - nokia/vscode-netconfContribute to nokia/vscode-netconf development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-77.svg)GitHubnokia![](https://innasiec.pl/content/images/thumbnail/vscode-netconf)](https://github.com/nokia/vscode-netconf?ref=innasiec.pl) Rozszerzenie NETCONF CLIENT dla Visual Studio Code umożliwia bezpośrednie zarządzanie urządzeniami sieciowymi obsługującymi protokół NETCONF, np. routerami NOKIA SR OS i SRLinux. Dzięki niemu możesz łączyć się z serwerami NETCONF przez SSH, korzystać z wielu sesji jednocześnie oraz odbierać powiadomienia sieciowe. Rozszerzenie działa na Windows, macOS i Linux, a także wspiera zdalny dostęp przez SSH i integrację z containerlab. --- ## 6 obszarów OSPF w jednym labie [GitHub - severindellsperger/netlab-ospf-lab: Lab to demonstrate OSPF functionalityLab to demonstrate OSPF functionality. Contribute to severindellsperger/netlab-ospf-lab development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-78.svg)GitHubseverindellsperger![](https://innasiec.pl/content/images/thumbnail/netlab-ospf-lab)](https://github.com/severindellsperger/netlab-ospf-lab?ref=innasiec.pl) Ten praktyczny lab wykorzystuje NetLab i Containerlab z kontenerami FRRouting (FRR), aby w jednym środowisku pokazać sześć podstawowych typów obszarów OSPF. Topologia obejmuje centralny obszar szkieletowy (Area 0) oraz pięć różnych obszarów granicznych (regularny, stub, totally stubby, NSSA i totally NSSA), każdy z przypisanymi routerami i odpowiednią konfiguracją. --- ## Wi-Fi troubleshooting _This post is for paying subscribers only._ ### 📬 ISN 227: Ansible w Produkcji, Bot Sieciowy i dlaczego OSPF nie milknie! URL: https://innasiec.pl/isn-227-modulowa-ansible-w-produkcji-bot-sieciowy-i-dlaczego-ospf-nie-milknie/ Last updated: 2026-02-23T09:00:21.000Z ## Blokujesz ICMP? [Should I block ICMP?Should I block ICMP![](https://static.ghost.org/v5.0.0/images/link-icon.svg)ShouldIBlockICMP.comJason Ashworth](http://shouldiblockicmp.com/?ref=innasiec.pl) Blokujesz cały ruch ICMP na firewallach? To może być źródłem twoich problemów z siecią. Choć ICMP faktycznie niesie ryzyka bezpieczeństwa, całkowite zablokowanie tego protokołu niszczy kluczowe mechanizmy sieciowe. **PMTUD i cicha czarna dziura** Najpoważniejszy problem dotyczy Path MTU Discovery. Gdy blokujesz ICMP Type 3 Code 4 (IPv4) lub Type 2 Code 0 (IPv6), uniemożliwiasz routerom informowanie hostów o zbyt dużych pakietach. Efekt? TCP handshake przechodzi bez problemu (małe pakiety), ale transfer danych kompletnie się zawiesza. Pakiety sąDropowane w ciszy, sender retransmituje w nieskończoność interpretując brak ACK jako congestion. [RFC 4821 ](https://datatracker.ietf.org/doc/html/rfc4821?ref=innasiec.pl)wprowadza PLPMTUD jako workaround, ale to tylko plaster na ranę – mniej efektywny i obciążający sieć próbami inkrementalnego zwiększania MSS. Po prostu przepuść te komunikaty ICMP. **Co przepuszczać selektywnie** **Echo Request/Reply (ping)** – blokuj na granicy DMZ jeśli musisz, ale wewnątrz sieci? Utrudniasz troubleshooting bez realnego zysku. Twój web server i tak świeci na porcie 80\. Możesz też filtrować kierunkowo: echo request OUT, echo reply IN. **Time Exceeded** – bez tego traceroute pokazuje same gwiazdki. Debugowanie routingu staje się męką, a ty dostajesz ticket "sieć nie działa" bez możliwości szybkiej diagnozy. **NDP dla IPv6** (Type 133-137) – absolutnie krytyczne wewnątrz sieci. To nie ARP; IPv6 bez NDP i SLAAC po prostu nie funkcjonuje. Zero kompromisów. **Rate limiting jako linia obrony** 1000 pingów na sekundę to nie jest legitymny ruch – to atak. Zamiast blokować wszystko, ustaw sensowne rate limity dla każdego typu ICMP. Ochronisz CPU routerów i obronisz się przed abuse, zachowując funkcjonalność protokołu. --- ## Pasywne interfejsy OSPF, które gadają [Cisco IOS/XR OSPFv2 Not-So-Passive Interfaces « ipSpace.net blogWhat’s wrong with me? Why do I have to uncover another weirdness every single time I run netlab integration tests on a new platform? Today, it’s Cisco IOS/XR (release 25.2.1) and its understanding of what “passive” means. According to the corresponding documentation, the passive interface configuration command is exactly what I understood it to be: Use the passive command in appropriate mode to suppress the sending of OSPF protocol operation on an interface. However, when I ran the OSPFv2 passive interface integration test with an IOS/XR container, it kept failing with neighbor is in Init state (the first and only time I ever encountered such an error after testing over two dozen platforms).![](https://innasiec.pl/content/images/icon/favicon-71.ico)ipSpace Logo![](https://innasiec.pl/content/images/thumbnail/og-image-7.png)](https://blog.ipspace.net/2026/02/iosxr-ospfv2-not-so-passive/?ref=innasiec.pl) **Cisco IOS XR 25.2.1** ma intrygujący bug: interfejsy OSPF oznaczone jako `passive` wysyłają pakiety Hello tuż po konfiguracji. Problem? Nie do końca rozumieją, co oznacza "pasywny". Dokumentacja Cisco jasno stwierdza: komenda `passive` ma "suppress the sending of OSPF protocol operation". W praktyce wygląda to inaczej. Test integracyjny z netlab konsekwentnie kończy się błędem *neighbor is in Init state* – objawem, którego autor nigdy nie widział na ponad 20 testowanych platformach. Konfiguracja wygląda poprawnie: ``` router ospf 1 area 0.0.0.0 interface GigabitEthernet0/0/0/1 passive enable ``` Tcpdump ujawnia prawdę: IOS XR po skonfigurowaniu interfejsu wysyła **dwa pakiety OSPF Hello w odstępie 10 ms**, po czym zamyka się na głucho. FRRouting po drugiej stronie linku dostaje te Hello, odpowiada, ale IOS XR już milczy. Efekt: sąsiad zawiśnięty w stanie Init. IOS XR używa transakcyjnej konfiguracji z `commit` – teoretycznie wszystkie zmiany powinny być atomowe. Najwyraźniej nie do końca. Platforma zachowuje się jakby konfiguracja OSPF i komenda `passive` były przetwarzane z minimalnym opóźnieniem, pozwalającym na wystrzelenie dwóch Hello. **Nawet transakcyjne systemy konfiguracyjne w enterprise-grade platformach mają race conditions.** Przy testowaniu integracji OSPF warto mieć tcpdump pod ręką – dokumentacja nie zawsze odzwierciedla rzeczywistość. A jeśli widzicie Init state z IOS XR na pasywnych interfejsach – teraz wiecie dlaczego. --- ## Bot do zarządzania infrastrukturą [GitHub - h-network/h-cli: Natural language infrastructure managementNatural language infrastructure management. Contribute to h-network/h-cli development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-76.svg)GitHubh-network![](https://innasiec.pl/content/images/thumbnail/h-cli)](https://github.com/h-network/h-cli?ref=innasiec.pl) h-cli to bot Telegrama zasilany przez Claude Code, który pozwala na zarządzanie infrastrukturą sieciową za pomocą naturalnego języka. Wystarczy wysłać prostą wiadomość, a bot wykona odpowiednie polecenia, np. skanowanie sieci, konfigurację routerów w EVE-NG czy tworzenie sesji BGP, automatycznie integrując się z NetBox. System działa w bezpiecznym środowisku kontenerowym z wielowarstwowym modelem ochrony opartym na zasadach Asimova, które zapobiegają wykonywaniu niebezpiecznych komend. --- ## Baza Geolokalizacji [IP66 — Free IP Geolocation DatabaseA free, open IP Geolocation database in MMDB format. Includes ASN, country, and continent data. Updated daily. No license restrictions.![](https://innasiec.pl/content/images/icon/favicon-3.svg)IP66Cloud66, Inc.![](https://innasiec.pl/content/images/thumbnail/og-1.png)](https://ip66.dev/?ref=innasiec.pl) INFO: ip66 to darmowa, codziennie aktualizowana baza danych geolokalizacji IP w formacie MMDB, oferująca szczegółowe informacje takie jak ASN, kraj i kontynent. Możesz ją wykorzystać bez ograniczeń i bez kluczy licencyjnych w dowolnym projekcie – osobistym lub komercyjnym. Baza jest w pełni kompatybilna z dowolnym czytnikiem MMDB i obsługuje IPv4 oraz IPv6. --- ## Modułowa architektura Ansible w produkcji _This post is for paying subscribers only._ ### 📬 ISN 226: Rozwiązywanie Problemów z BGP, NetBox z AI i Otwartoźródłowy vBNG! URL: https://innasiec.pl/isn-226-rozwiazywanie-problemow-z-bgp-netbox-z-ai-i-otwartozrodlowy-vbng/ Last updated: 2026-02-16T09:00:27.000Z ## Troubleshooting BGP [BGP Troubleshooting Simplified with show ip bgp summary | Brian Wilson posted on the topic | LinkedInMost network engineers think troubleshooting BGP is complicated. It’s actually very simple. There’s a single Cisco command that can tell you what’s wrong in 10 seconds or less: 👉 show ip bgp summary This command shows the status of all the BGP neighbors on the device. The only column you really need to care about is: State/PfxRcd If the neighborship has not been established, this field shows you the current status (Idle, Active, OpenSent, etc). (see link to my post about FSM states in the comments) If the neighborship has been established, it shows you the number of prefixes received from that neighbor. In short, it answers the questions: Is the BGP session up? If not, why not? If it’s up, am I actually receiving routes? If you’re not receiving the correct number of routes, you can troubleshoot further with: show ip bgp neighbors \[ip address\] \[advertised-routes | received-routes\] That’s really all you need to know to troubleshoot most BGP issues. But if you’re curious, here’s what the other columns tell you: ✅ V – BGP version (almost always 4) ✅ AS – Neighbor’s autonomous system ✅ MsgRcvd / MsgSent – BGP messages exchanged (helps spot stuck sessions) ✅ TblVer – BGP table version (should match between peers) ✅ InQ / OutQ – Queued messages (non-zero = potential problem) ✅ Up/Down – How long the session has been established (or down) 💬 Have you used this command before? How do you usually troubleshoot BGP? #BGP #NetworkEngineering #Cisco #CCNP -- 👋 Hi I’m BGP Brian, ex-Cisco network engineer. Follow for BGP tips & tricks. 👷 Network Engineers: Comment “Black Belt” to join our Discord community 💼 Network Executives: DM me “BGP” for help with your BGP design & config | 70 comments on LinkedIn![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-31)LinkedInBrian Wilson![](https://innasiec.pl/content/images/thumbnail/1770691450568)](https://www.linkedin.com/posts/brianwilson-bgp%5Fbgp-networkengineering-cisco-activity-7427018560335663104-W2ix/?rcm=ACoAAAsbZU8Bkl0vKa1oyrvwC9wAdrU5Dh3SG7g&ref=innasiec.pl) `show ip bgp summary` to pierwsze (i często ostatnie) polecenie, którego potrzebujesz do diagnozy BGP. Pokazuje status wszystkich BGP neighbors w przejrzystej tabeli. **Kluczowa kolumna: State/PfxRcd** To jedyne pole, na które musisz patrzeć w pierwszej kolejności: - Jeśli neighborship nie jest `established` → pokazuje aktualny stan FSM (`Idle`, `Active`, `OpenSent`) - Jeśli jest `established` → wyświetla liczbę odebranych prefixów Trzy pytania, na które od razu dostajesz odpowiedź: 1. Czy sesja BGP jest up? 2. Jeśli nie - w którym stanie się zatrzymała? 3. Jeśli jest up - czy odbieramy prawidłową liczbę tras? Jeśli liczba prefixów nie zgadza się z oczekiwaniami: ``` show ip bgp neighbors [ip] advertised-routes show ip bgp neighbors [ip] received-routes ``` To naprawdę wystarcza do rozwiązania większości problemów BGP. Gdy podstawowa diagnoza nie wystarczy, sprawdź: - **InQ/OutQ** – wartości > 0 sygnalizują problem z procesowaniem wiadomości - **MsgRcvd/MsgSent** – pomaga wykryć "zawieszone" sesje (brak przyrostu) - **TblVer** – powinien być spójny między peerami; duże różnice = problem ⚠️ Jeśli TblVer rośnie bardzo szybko (szczególnie w iBGP), masz do czynienia z route flapping we własnej sieci - to już poważniejszy problem niż typowy troubleshooting connectivity. --- ## NetBox wypuszcza AI copilota [NetBox Labs ships AI copilot designed for network engineers, not developersAs infrastructure automation demand surges, NetBox Labs is delivering an AI agent that enables natural language interaction with infrastructure data and the ability to automate complex operational procedures.![](https://innasiec.pl/content/images/icon/favicon-70.ico)Network WorldSean Michael Kerner![](https://innasiec.pl/content/images/thumbnail/4130122-0-98809800-1770741531-shutterstock_2136788491.jpg)](https://www.networkworld.com/article/4130122/netbox-labs-ships-ai-copilot-designed-for-network-engineers-not-developers.html?ref=innasiec.pl) NetBox Copilot osiągnął właśnie status GA po sześciu miesiącach testów. To nie kolejny chatbot do kodu – to agent AI zaprojektowany specyficznie dla operacji sieciowych, który pozwala zarządzać infrastrukturą w języku naturalnym. Zapytania typu "Które urządzenia nie mają przypisanych adresów IP?" czy "Kto zmienił ten prefix w zeszłym tygodniu?" działają natywnie. Dla klientów NetBox Cloud i Enterprise dostępne są też operacje zapisu – "Dodaj kolejny serwer do DC w NYC" faktycznie modyfikuje bazę danych infrastruktury. **Największy problem AI w ops to zaufanie.** Halucynacje LLM-ów są nie do zaakceptowania w środowisku produkcyjnym. NetBox Copilot rozwiązuje to przez zakotwiczenie w NetBox jako systemie rekordu – kompletnym modelu danych obejmującym urządzenia, połączenia, IP addressing, układy rack, dystrybucję zasilania i wszystkie zależności między nimi. Agent ma natywną świadomość tej struktury i kontekstu. Nie generuje odpowiedzi w próżni – operuje na faktycznym stanie infrastruktury. RBAC z NetBoxa jest respektowany w pełni – możesz zapytać lub zmodyfikować tylko to, do czego masz uprawnienia. NetBox Labs nie wiąże się z jednym providerem AI. Używają specjalizowanych "agent harnesses" zoptymalizowanych pod operacje sieciowe, które działają na różnych modelach. Upgrade z Sonnet 3.5 do Opus 4.6? Copilot automatycznie staje się lepszy. To świadome rozdzielenie warstw: NetBox Labs skupia się na integracjach z infrastrukturą, governance danych i wyspecjalizowanych zachowaniach agenta w kontekście sieci. Postępy w base modelach dostają za darmo. Obecnie Copilot działa interaktywnie – odpowiada na komendy użytkownika. Roadmapa zakłada autonomiczne agenty wykonujące rutynowe zadania bez interwencji człowieka: reagowanie na progi capacity, drift konfiguracji, automatyczne change management w zdefiniowanych parametrach. --- ## Otwartoźródłowy vBNG [GitHub - veesix-networks/osvbng: Open Source vBNGOpen Source vBNG. Contribute to veesix-networks/osvbng development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-75.svg)GitHubveesix-networks![](https://innasiec.pl/content/images/thumbnail/osvbng)](https://github.com/veesix-networks/osvbng?ref=innasiec.pl) OSVBNG (Open Source Virtual Broadband Network Gateway) to wysokowydajny, skalowalny, otwartoźródłowy BNG przeznaczony dla dostawców internetu (ISP). Działa na standardowym sprzęcie x86 COTS i może obsłużyć przepustowość do 400+ Gbps z użyciem Intel DPDK (lub ponad 100 Gbps bez DPDK). --- ## MCP w labie [GitHub - E-Conners-Lab/MCP-DEMO-LAB: MCP server giving AI assistants direct access to network infrastructure. 35 tools for multi-vendor device management, routing, config backup/rollback, SNMP, NETCONF, compliance checks, and subnet/MTU calculators. Works with Claude Desktop and any MCP-compatible client.MCP server giving AI assistants direct access to network infrastructure. 35 tools for multi-vendor device management, routing, config backup/rollback, SNMP, NETCONF, compliance checks, and subne…![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-74.svg)GitHubE-Conners-Lab![](https://innasiec.pl/content/images/thumbnail/MCP-DEMO-LAB)](https://github.com/E-Conners-Lab/MCP-DEMO-LAB?ref=innasiec.pl) network-mcp to serwer MCP (Model Context Protocol), który zapewnia AI bezpośredni dostęp do sprzętu sieciowego (routery, przełączniki, firewalle). Dzięki temu możesz automatyzować zadania bez pisania skryptów Netmiko, łącząc takie AI jak Claude czy ChatGPT z urządzeniami różnych producentów (Cisco IOS-XE, Nokia SR Linux, FRRouting, Juniper Junos, Aruba AOS-CX, Linux). --- ## Zabezpieczanie VXLAN/EVPN _This post is for paying subscribers only._ ### 📬 ISN 225: EVE-NG na Proxmox, Szybszy Traceroute i 200 Kontenerów FRR w 10 Sekund! URL: https://innasiec.pl/isn-225-eve-ng-na-proxmox-szybszy-traceroute-i-200-kontenerow-frr-w-10-sekund/ Last updated: 2026-02-09T09:00:18.000Z ## EVE-NG na Proxmox [Installing EVE-NG on ProxMox – InfoSec Monkey![](https://innasiec.pl/content/images/icon/favicon-5.png)img![](https://innasiec.pl/content/images/thumbnail/logo.png)](https://infosecmonkey.com/installing-eve-ng-on-proxmox/?ref=innasiec.pl) Uruchamianie EVE-NG bezpośrednio na Proxmox to elegancki sposób na centralizację infrastruktury labatoryjnej. Zamiast dedykowanego hosta, otrzymujesz pełnowartościowe środowisko do testów w ramach istniejącej wirtualizacji. Jest jednak jeden warunek: nested virtualization musi działać perfekcyjnie. **Nested KVM: fundament konstrukcji** EVE-NG wymaga możliwości uruchamiania własnych VM-ów, więc Proxmox musi przekazać mu pełne możliwości procesora. Sprawdź najpierw, czy nested virtualization jest już aktywny: **Intel**: `cat /sys/module/kvm_intel/parameters/nested` **AMD**: `cat /sys/module/kvm_amd/parameters/nested` Jeśli widzisz `Y` lub `1` – jesteś gotowy. Jeśli nie, włącz go jedną komendą: ```bash # Intel echo "options kvm-intel nested=Y" > /etc/modprobe.d/kvm-intel.conf modprobe -r kvm_intel && modprobe kvm_intel # AMD echo "options kvm-amd nested=1" > /etc/modprobe.d/kvm-amd.conf modprobe -r kvm_amd && modprobe kvm_amd ``` W ustawieniach VM ustaw CPU type na **host** – to kluczowe. Bez tego EVE-NG nie zobaczy instrukcji wirtualizacyjnych procesora i nested KVM nie zadziała. **Konfiguracja VM** Podczas tworzenia VM w Proxmox: - **Storage**: VirtIO Block zamiast domyślnego – zauważalna różnica w wydajności dysków - **CPU**: Type = host (na samym dole listy), minimum 4 rdzenie dla komfortu - **RAM**: 8GB to start, ale pod obciążeniem rozważ 16GB+ - **QEMU Agent**: włącz dla lepszej integracji z Proxmox Instalacja EVE-NG trwa dłużej niż Ubuntu minimal – spokojnie 15-20 minut. Po pierwszym uruchomieniu natychmiast zmień domyślne hasło (admin/eve) przez interfejs webowy. Uruchomienie EVE-NG na Proxmox daje kilka przewag nad bare-metal: - **Snapshoty**: powrót do czystego stanu - **Backup**: pełna VM z konfiguracją i obrazami węzłów w jednym miejscu - **Zasoby on-demand**: skaluj CPU/RAM w zależności od aktualnego projektu Wersja Professional EVE-NG dodaje obsługę Vyatta, FortiGate i zaawansowane funkcje multi-user. Licencja roczna, ale dla środowisk produkcyjnych lub rozbudowanych lab-ów zwraca się w czasie zarządzania. --- ## Security Service Insertion w SD-Access [https://www.entek-it.com/knowledge/sda-ssi-deepdive](https://www.entek-it.com/knowledge/sda-ssi-deepdive?ref=innasiec.pl) Cisco udostępnia w early access program nową funkcjonalność SD-Access: Security Service Insertion (SSI). To nie jest kolejny feature sheet – to techniczny deep dive oparty na rzeczywistej implementacji laboratoryjnej z Catalyst Center 3.1.x i IOS-XE 17.18.x. **Catalyst Center vs ISE – kto faktycznie steruje polityką?** **Catalyst Center nie jest płaszczyzną sterowania**. Center orkiestruje intent – włącza SSI na węzłach, wiąże firewall z virtual network, pushuje politykę do ISE. Ale to ISE staje się policy authority dla sterowania ruchem. Efekt widoczny natychmiast na switchu: nowe polecenia `group-policy traffic-steering` pokazują ISE jako aktywny policy server, podczas gdy Catalyst Center pojawia się tylko jako nieaktywna referencja. Switchę pobierają i utrzymują stan lokalnie – brak potrzeby konsultacji w runtime. Decyzja przekierowania zapada na ingress edge, nie w środku ścieżki. **Firewall jako LISP service EID** SSI rejestruje IP firewalla w LISP jako **Service-ETR** powiązany z konkretnym VN, VRF i border RLOC. Firewall nie jest "po prostu IP na transit network" – to first-class object w control plane SD-Access. Rezultat: fabric wie natywnie, gdzie jest serwis i jak do niego dotrzeć. Zero static routing, zero policy-based routing tricks na edge'ach. **Co się dzieje z ruchem pasującym do polityki SSI?** **Ingress edge podejmuje decyzję natychmiast.** Gdy ruch matchuje politykę steering (source SGT → destination SGT), edge enkapsuluje pakiety w LISP/VXLAN bezpośrednio w kierunku firewall service. Nie przekazuje ruchu normalnie, nie czeka na reklasyfikację na kolejnym hopie. Dlaczego to działa? **SGT są teraz częścią LISP control plane.** Pierwszy edge zna lokalizację policy-relevant service od razu. SXP? Niepotrzebny. Drugi hop do reklasyfikacji? Zbędny. Border node decapsuluje i forwarduje do firewalla używając VRF i next-hop z LISP – czysto, przewidywalnie, bez rekursji. **Firepower z TrustSec – kontekst zachowany** TrustSec na interfejsie border-firewall pozwala Firepower egzekwować politykę z pełnym SGT context. Logi FMC pokazują ruch hairpinujący na tym samym transit interface z widocznością source IP, destination IP i source SGT. Fabric abstraction nienaruszony. Dla fabric – firewall to kolejny serwis. Dla firewalla – pełny identity context. SSI eliminuje całe kategorie złożoności: - **Zero SXP** – nie projektujemy, nie skalujemy, nie troubleshootujemy - **Zero PBR na edge'ach** – decyzja raz, na ingress - **Zero ryzyka późnego redirectu** – traffic idzie wprost do właściwego serwisu - **Identity-driven od początku do końca** – zgodnie z pierwotnym intencją SD-Access To nie jest inkrementalna poprawa. To architektoniczny skok – security enforcement wyrównany z fabric design: identity-driven, control-plane-aware, deterministyczny. --- ## Nowy, lepszy traceroute [GitHub - hervehildenbrand/gtrace: Advanced network path analysis tool with MPLS/ECMP detection, GlobalPing integration, and MTR modeAdvanced network path analysis tool with MPLS/ECMP detection, GlobalPing integration, and MTR mode - hervehildenbrand/gtrace![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-72.svg)GitHubhervehildenbrand![](https://innasiec.pl/content/images/thumbnail/gtrace)](https://github.com/hervehildenbrand/gtrace?ref=innasiec.pl) gtrace to zaawansowane narzędzie do analizy ścieżek sieciowych, które łączy lokalny traceroute z rozproszoną siecią sond GlobalPing. Umożliwia wykrywanie m.in. etykiet MPLS, load balancingu ECMP, NAT oraz odkrywanie MTU ścieżki. Obsługuje protokoły ICMP, UDP i TCP oraz IPv4/IPv6\. Dzięki integracji z GlobalPing pozwala na porównanie tras z różnych lokalizacji na świecie. Wyniki można eksportować w formatach JSON, CSV i tekstowym. Narzędzie dostępne jest na Linux, macOS i Windows, wymaga uprawnień root/sudo do działania. --- ## Alternatywa dla IPERF3 [GitHub - lance0/xfr: A modern iperf3 alternative with a live TUI, multi-client server, and QUIC support. Built in Rust.A modern iperf3 alternative with a live TUI, multi-client server, and QUIC support. Built in Rust. - lance0/xfr![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-73.svg)GitHublance0![](https://innasiec.pl/content/images/thumbnail/xfr)](https://github.com/lance0/xfr?ref=innasiec.pl) xfr to nowoczesna alternatywa dla iperf3, oferująca testy sieciowe z interaktywnym interfejsem (TUI) w czasie rzeczywistym, obsługą wielu klientów na serwerze oraz wsparciem dla protokołu QUIC. Narzędzie zostało napisane w Rust i umożliwia pomiary przepustowości TCP, UDP i QUIC z różnymi opcjami konfiguracji, jak liczba równoległych strumieni, bitrate czy kierunek testu. --- ## Konfiguracja 200 kontenerów FRR w 10 sekund _This post is for paying subscribers only._ ### 📬 ISN 224: eBGP-Multihop vs TTL-Security, Podstawy GIT i Rust w Parze z Pythonem! URL: https://innasiec.pl/isn-224-ebgp-multihop-vs-ttl-security-podstawy-git-i-rust-w-parze-z-pythonem/ Last updated: 2026-02-02T09:00:55.000Z ## Różnica między ebgp-multihop a ttl-security [#networking #bgp #security | Chingiz KhalafovHave you ever ask yourself, what is the difference between ebgp-multihop and ttl-security? I mean, what actually changes in background? Well, below is a simple explanation: eBGP multihop sets TTL value for outgoing packets only: ---------------------------------------------------------------- R1(config-router)# do sh ip bgp neighbors 1.1.1.1 | i TTL Connection is ECN Disabled, Mininum incoming TTL 0, Outgoing TTL 2 ---------------------------------------------------------------- While ttl-security set minimum incoming TTL value, alongside with outgoing TTL value: ---------------------------------------------------------------- R1(config-router)# neighbor 1.1.1.1 ttl-security hops 1 R1(config-router)# do sh ip bgp neighbors 1.1.1.1 | i TTL Connection is ECN Disabled, Mininum incoming TTL 254, Outgoing TTL 255 ---------------------------------------------------------------- Why it matters? Well, the packet, before reaching CPU should cross hardware component known as ASIC. With ttl-security hops router instructs ASIC to drop TCP packets with TTL value less than expected minimum incoming TTL, hence prevents “fake” packet from exhausting our poor CPU. As the name implies, ttl-security is a security mechanism, while ebgp-multihop is a reachability feature. Btw, those features are mutually exclusive, we can’t configure TTL Security and ebgp-multihop at the same time. ---------------------------------------------------------------- R1(config-router)# neighbor 1.1.1.1 ttl-security hops 1 Remove ebgp-multihop before configuring ttl-security ---------------------------------------------------------------- #networking #bgp #security![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-29)LinkedInChingiz Khalafov![](https://innasiec.pl/content/images/thumbnail/c45fy346jw096z9pbphyyhdz7-3)](https://www.linkedin.com/posts/chingizkhalafov%5Fnetworking-bgp-security-activity-7422386425012191232-napk/?rcm=ACoAAAsbZU8Bkl0vKa1oyrvwC9wAdrU5Dh3SG7g&ref=innasiec.pl) Oba pozwalają nawiązać sesję eBGP przez więcej niż jeden hop, ale działają fundamentalnie inaczej – a zrozumienie tej różnicy może uchronić Twoje routery przed atakami DoS. **ebgp-multihop – tylko reachability** Komenda `ebgp-multihop` modyfikuje wyłącznie wychodzące pakiety TCP – ustawia ich TTL na wartość większą niż domyślny 1\. Router wysyła pakiety z odpowiednim TTL, ale nie weryfikuje TTL pakietów przychodzących: ``` R1(config-router)# neighbor 1.1.1.1 ebgp-multihop 2 R1# show ip bgp neighbors 1.1.1.1 | i TTL Minimum incoming TTL 0, Outgoing TTL 2 ``` To czysta funkcja reachability – umożliwia nawiązanie sesji, ale nie chroni przed niczym. **ttl-security – ochrona na poziomie ASIC** Mechanizm `ttl-security hops` działa dwukierunkowo. Ustawia maksymalny TTL (255) dla pakietów wychodzących, ale co ważniejsze – **definiuje minimalny TTL dla pakietów przychodzących**: ``` R1(config-router)# neighbor 1.1.1.1 ttl-security hops 1 R1# show ip bgp neighbors 1.1.1.1 | i TTL Minimum incoming TTL 254, Outgoing TTL 255 ``` Kluczowa różnica: router instruuje ASIC, aby dropował pakiety TCP z TTL poniżej oczekiwanej wartości **zanim dotrą do CPU**. Atakujący wysyłający sfałszowane pakiety BGP z losowych lokalizacji (z niskim TTL) nie będą w stanie przeciążyć procesora routera – ASIC odrzuci je sprzętowo. `ttl-security` to mechanizm bezpieczeństwa implementujący GTSM (Generalized TTL Security Mechanism, RFC 5082). Chroni przed atakami typu TCP RST czy BGP route injection z odległych źródeł. `ebgp-multihop` to funkcja konfiguracyjna – umożliwia połączenie, ale nie weryfikuje autentyczności źródła pakietów. ⚠️ ****Ważne**: Te opcje wzajemnie się wykluczają. Próba konfiguracji obu jednocześnie kończy się błędem. --- ## Dziedziczenie cudzej sieci [Inheriting Someone Else’s Network: What to Fix, What to Leave Alone, and How Not to Destroy Your Credibility — Layer8PacketYou just got promoted or changed jobs. Now you’re managing a network you didn’t design, with decisions you don’t agree with, and configurations that make you cringe. Do you change everything? Leave it alone? How do you prove yourself without breaking things or alienating the people who built it? Her![](https://innasiec.pl/content/images/icon/favicon-67.ico)Layer8PacketPat Allen![](https://innasiec.pl/content/images/thumbnail/unsplash-image-uOhBxB23Wao.jpg)](https://www.layer8packet.io/home/inheriting-someone-elses-network-what-to-fix-what-to-leave-alone-and-how-not-to-destroy-your-credibility?ref=innasiec.pl) Dwa tygodnie w nowej roli. Przeglądasz diagramy sieci, konfigi, architekturę. I nagle to widzisz – decyzję projektową, która wywołuje pytanie: „kto to w ogóle tak zaprojektował?". Twój pierwszy instynkt? „Muszę to naprawić". Głos doświadczenia? „Poczekaj, może brakuje ci kontekstu". Rzeczywistość polityczna? „Zmień to źle i zniszczysz swoją wiarygodność, zanim ją zbudujesz". **Pierwsze 30 dni: obserwuj, nie zmieniaj** Twoja praca w pierwszym miesiącu to NIE zmienianie rzeczy. Ani nawet nie planowanie zmian. Tylko rozumienie. **Co robić**: Dokumentuj obecny stan. Rozmawiaj z ludźmi, którzy to zbudowali – pytaj „dlaczego tak zaprojektowaliście?" z prawdziwą ciekawością, nie oceną. Sprawdź incydenty z ostatnich 6-12 miesięcy. Co faktycznie się psuje? Dane > założenia. **Co naprawić, co zostawić: framework** **Napraw natychmiast (Tier 1)**: Aktywne zagrożenia bezpieczeństwa. Problemy z niezawodnością powodujące regularne awarie. Blokery operacyjne. Marnotrawstwo finansowe. Kryterium: powodują realną szkodę, biznesowy wpływ jest mierzalny. **Napraw wkrótce (Tier 2)**: Starzejąca się infrastruktura. Ograniczenia skalowalności. Ulepszenia efektywności. Dług techniczny. Kryterium: staną się problemami Tier 1, jeśli zostaną zignorowane, ale masz czas, żeby to zrobić dobrze. **Napraw przy okazji (Tier 3)**: Preferencje architektoniczne. Kwestie kosmetyczne. Optymalizacje o małym wpływie. Kryterium: irytują cię estetycznie, ale nie powodują problemów. **Zostaw (Tier 4)**: „Zrobiłbym to inaczej". Niskopriorytetowe legacy, które działa. Preferencje zespołu. Kryterium: brak wpływu biznesowego i technicznego. Po prostu inne niż twoje podejście. **Kluczowa zasada**: Ludzie opierają się zmianom wprowadzanym NA nich. Wspierają zmiany, które pomogli stworzyć. --- ## Podstawy GIT-a [Git Cheat Sheet - General CommandsWe’ve created a handy list and PDF cheat sheet of the most useful Git CLI commands covering the basics, branching, merging, rebasing, and more. Yours to keep as a quick reference for everyday tasks.![](https://innasiec.pl/content/images/icon/aoi-favi.webp)Art of InfraDan Jones![](https://innasiec.pl/content/images/thumbnail/git-cheatsheet-FI.webp)](https://artofinfra.com/tldr/git-cheat-sheet-general-commands/?ref=innasiec.pl) Praktyczny przewodnik obejmujący konfigurację, podstawy repozytoriów, codzienny workflow, zarządzanie gałęziami, rebase, stashing, przegląd historii oraz cofanie zmian. --- ## Catalyst Center i Netbox [GitHub - sieteunoseis/netbox-catalyst-centerContribute to sieteunoseis/netbox-catalyst-center development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-70.svg)GitHubsieteunoseis![](https://innasiec.pl/content/images/thumbnail/netbox-catalyst-center)](https://github.com/sieteunoseis/netbox-catalyst-center?ref=innasiec.pl) NetBox Catalyst Center Plugin integruje Cisco Catalyst Center (dawniej DNA Center) z NetBox, umożliwiając podgląd szczegółów urządzeń sieciowych, informacji o klientach bezprzewodowych, statusu zgodności oraz alertów bezpieczeństwa. Dzięki temu narzędziu możesz synchronizować dane o urządzeniach, monitorować stan połączeń Wi-Fi i importować urządzenia bezpośrednio do NetBox. --- ## Rust + Python: jak łączyć wydajność z elastycznością _This post is for paying subscribers only._ ### 📬 ISN 223: AI Myślące jak Inżynier, SONiC w Containerlab i Wieloplatformowy Lab! URL: https://innasiec.pl/isn-223-ai-myslace-jak-inzynier-sonic-w-containerlab-i-wieloplatformowy-lab/ Last updated: 2026-01-26T09:00:11.000Z ## Przewodnik po wojnach terminologicznych [Your Guide to The Network Operations Terminology Wars | OpsMillDoes network operations have too many labels? From NetDevOps and GitOps to NaC and automation, we sort through the names and definitions.![](https://innasiec.pl/content/images/icon/faviconV2-2)OpsMillJennifer Tribe![](https://innasiec.pl/content/images/thumbnail/network-operations-terminology-guide.jpg)](https://opsmill.com/blog/network-operations-terminology-guide/?ref=innasiec.pl) DevOps, NetDevOps, GitOps, Infrastructure as Code, Network as Code, automatyzacja sieci, orkiestracja... Lista ciągnie się w nieskończoność. Dla senior network engineera to coś więcej niż tylko akademicki problem – to realna bariera w komunikacji z zespołami, zarządem i dostawcami. **Problem: różne słowa, różne znaczenia** Ethan Banks z Packet Pushers trafnie podsumowuje: "Ktoś mówi coś, co dla niego oznacza jedno, a dla słuchacza coś subtelnie lub znacząco innego. Pojawia się chaos w komunikacji." Weźmy przykład: Infrastructure as Code, Network as Code i GitOps. Wszystkie trzy kładą nacisk na kod deklaratywny, kontrolę wersji i automatyczne wdrożenia. Czy to różne rzeczy, czy te same koncepty pod różnymi nazwami? Nawet eksperci się nie zgadzają. Urs Baumann, automation engineer, wskazuje na źródło problemu: "To brzmi fancy. DevSecOps pewnie brzmi bardziej sexy niż samo DevOps. Próbujemy używać coraz więcej różnych słów... Ale w pewnym momencie tracą one sens." **Co naprawdę musisz wiedzieć** **DevOps** (2009): Mindset współpracy + praktyki techniczne (CI/CD, version control, automated testing). **NetDevOps** (2016-2017): DevOps zastosowany do sieci. Definicja identyczna jak wyżej, tylko w kontekście sieciowym. **GitOps** (2017): Formalnie – infrastruktura jako wersjonowany kod w repozytorium. Praktycznie – większość inżynierów definiuje to jako "używanie Gita w workflow". Dominuje w Kubernetes, mniej istotne w tradycyjnym networkingu. **Infrastructure as Code** (2009): Kod deklaratywny + version control + API + CI/CD. Głównie chmura. **Network as Code** (2016): IaC zastosowany do fizycznej infrastruktury sieciowej. Termin zanikł. **Network automation** (2012-2018): Szerokie pojęcie – od prostych skryptów Pythona po self-healing networks. Termin dominujący od 2018. **Network orchestration** (2013): Koordynacja wielu zautomatyzowanych tasków w kompletny workflow end-to-end. --- ## AI, które myśli jak inżynier [AI Advisor![](https://innasiec.pl/content/images/icon/apple-touch-icon-21.png)KentikChris Schuette Network Architect, SDN Communications![](https://innasiec.pl/content/images/thumbnail/kentik-unfurl.png)](https://www.kentik.com/product/ai-advisor/?ref=innasiec.pl) Kentik wypuścił AI Advisor – narzędzie, które nie tylko odpowiada na pytania, ale przeprowadza wieloetapowe analizy jak człowiek. Zamiast kolejnego chatbota dostajemy autonomiczny system rozumowania nad telemetrią sieciową. Kentik twierdzi, że **AI Advisor interpretuje zapytania w naturalnym języku i samodzielnie wykonuje sekwencje query na całej telemetrii** – flow, metryki, syntetyki. Kluczowa różnica: pokazuje krok po kroku logikę dochodzenia do wniosków i prezentuje surowe dane, na których się oparł. To rozwiązuje podstawowy problem LLM-ów w network operations – brak weryfikowalności. System obsługuje cztery główne obszary: **Capacity planning** – automatyczna analiza trendów wykorzystania, identyfikacja miejsc do optymalizacji kosztów, prognozy runout i wydatków. Zamiast ręcznie przeczesywać wykresy, dostajesz konkretne rekomendacje z uzasadnieniem. **Troubleshooting** – redukcja MTTR przez autonomiczne śledztwo. AI Advisor koreluje dane z różnych źródeł, eliminuje false leads i dostarcza rekomendacje zbackingiem w danych. Bonus: możesz zapisać proces jako runbook w naturalnym języku dla powtarzalnych scenariuszy. **DDoS mitigation** – odróżnianie legitymowanego ruchu od ataku, ocena business impact w czasie rzeczywistym, eksplanowalne rekomendacje mitygacji. SDN Communications raportuje drastyczną redukcję czasu i wysiłku przy mitygacji ataków outbound. **Change correlation** – porównania telemetrii przed/po zmianie z automatycznym łączeniem "co się zmieniło" z "co przestało działać". Większość "AI w network ops" to dashboardy z ChatGPT overlay. Kentik poszedł inną drogą – zbudował system, który faktycznie potrafi uruchomić investigację i pokazać receipt. Transparentność logiki i dostęp do raw data oznaczają, że można validować wnioski – krytyczne dla production environments. --- ## SONiC w Containerlab [GitHub - missoso/sonic-l2ls-evpn-containerlab: Sonic leaf delivering layer 2 EVPN in a container lab topologySonic leaf delivering layer 2 EVPN in a container lab topology - GitHub - missoso/sonic-l2ls-evpn-containerlab: Sonic leaf delivering layer 2 EVPN in a container lab topology![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-69.svg)GitHubmissoso![](https://innasiec.pl/content/images/thumbnail/sonic-l2ls-evpn-containerlab-2)](https://github.com/missoso/sonic-l2ls-evpn-containerlab?ref=innasiec.pl) Repozytorium prezentuje topologię Containerlab do pokazania interoperacyjności EVPN L2LS między SONiC a Nokia SR Linux. Lab symuluje małą sieć Data Center z Spine (Nokia SR Linux), dwoma Leafami (SONiC jako wirtualny switch i Nokia SR Linux) oraz klientami na Alpine Linux. Celem jest ustanowienie łączności L2 EVPN między klientem podłączonym do SONiC a klientem podłączonym do SR Linux. --- ## Graylog w Netbox [GitHub - sieteunoseis/netbox-graylogContribute to sieteunoseis/netbox-graylog development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-65.svg)GitHubsieteunoseis![](https://innasiec.pl/content/images/thumbnail/netbox-graylog)](https://github.com/sieteunoseis/netbox-graylog?ref=innasiec.pl) NetBox Graylog Plugin to rozszerzenie dla NetBoxa, które umożliwia wyświetlanie najnowszych logów z Grayloga bezpośrednio na stronach urządzeń i maszyn wirtualnych. Dzięki niemu możesz szybko podejrzeć zdarzenia z ostatnich minut lub dni, korzystając z wygodnych filtrów czasowych i inteligentnego wyszukiwania po nazwie hosta lub adresie IP. Konfiguracja odbywa się prosto w UI NetBoxa, a wbudowany mechanizm cache’owania zmniejsza obciążenie serwera Graylog. --- ## Jak zbudować wieloplatformowy lab sieciowy? _This post is for paying subscribers only._ ### 📬 ISN 222: DNS Tunneling w Praktyce, Monitorowanie Opóźnień i Nowe Metody Blokad! URL: https://innasiec.pl/isn-222-dns-tunneling-w-praktyce-monitorowanie-opoznien-i-nowe-metody-blokad/ Last updated: 2026-01-19T09:00:25.000Z ## Nowoczesna blokada internetu [Iran Did Not Block the Internet. It Erased Itself From the Map.87 million people have been offline since January 8, 2026\. This report explains what’s happening and how.![](https://innasiec.pl/content/images/icon/faviconV2-1)![](https://innasiec.pl/content/images/thumbnail/social-preview.png)](https://curifem.github.io/iran-internet-blackout/?ref=innasiec.pl) Od 8 stycznia 2026 Iran praktycznie zniknął z internetu. Ale to nie jest klasyczny shutdown, który widzieliśmy wcześniej – to coś znacznie bardziej wyrafinowanego. Tradycyjne blokady działały prosto: kraj wycofywał swoje prefiksy BGP i znikał z tablic routingu. Łatwo wykryć, łatwo udokumentować. Iran w 2026 pokazał inną drogę: - **IPv6**: kompletnie wycofane z BGP (-98.5% tras) - **IPv4**: trasy pozostają UP w BGP, ale ruch blokowany na poziomie sieciowym - **Efekt**: monitoring BGP pokazuje "wszystko działa", analiza ruchu ujawnia blokadę To "stealth outage" – infrastruktura wygląda funkcjonalnie w systemach monitoringu, podczas gdy faktyczna łączność spada do zera. Potrzebujesz korelacji BGP + analiza ruchu, żeby złapać pełen obraz. Dlaczego Iran może to zrobić, a większość krajów nie? **Wszystkie połączenia międzynarodowe przechodzą przez dwa gateway-e: TIC i IPM**, oba pod kontrolą państwa. Nie ma alternatywnych ścieżek. Nie ma redundancji. Każdy irański ISP, operator mobilny, provider biznesowy – wszyscy muszą przejść przez te dwa punkty. Gdy TIC i IPM koordynują blokadę, 87 milionów ludzi jest offline. To drastyczna lekcja architektury: centralizacja punktów wymiany ruchu międzynarodowego tworzy idealny **Kill Switch**. Żadna ilość wewnętrznej redundancji nie pomoże, gdy wszystkie ścieżki na zewnątrz zbiegają się w dwóch kontrolowanych miejscach. Blokada nie jest hermetyczna – to system whitelistingu. Część infrastruktury pozostaje online: - Instytucje państwowe - Wybrane banki - Systemy propagandowe Monitoring pokazuje ruch z "uprzywilejowanych ASN", podczas gdy cywilna populacja jest odcięta. Asymetryczna blokada: państwo jest online, obywatele nie. Niektórzy użytkownicy z odpowiednimi narzędziami przebijają się przez "przecieki" – niekompletne blokady w sieciach biznesowych, DNS tunneling (dnstt), VPN-y wykorzystujące luki. Działa, ale jest wolno, niestabilnie i wymaga wiedzy technicznej. **Co to oznacza dla nas?** Trzy praktyczne wnioski: **1\. Monitoruj wielowarstwowo**: Samo BGP nie wystarczy. Stealth outages wymagają korelacji routingu + traffic telemetry + application-layer probes. **2\. Audytuj zależności geograficzne**: Czy Twoja infrastruktura przechodzi przez kraje z centralnymi gateway-ami? Jakie są alternatywne ścieżki jeśli region X znika z internetu? **3\. Obserwuj datasety**: NetBlocks, IODA (Georgia Tech), RIPE RIS, Cloudflare Radar – to źródła real-time data o tego typu eventach. Iran nie będzie ostatnim przypadkiem. --- ## Co było pierwsze: CNAME czy rekord A? [What came first- the CNAME or the A recordA recent change to 1.1.1.1 accidentally altered the order of CNAME records in DNS responses, breaking resolution for some clients. This post explores the technical root cause, examines the source code of affected resolvers, and dives into the inherent ambiguities of the DNS RFCs.![](https://innasiec.pl/content/images/icon/favicon-32x32-16.png)The Cloudflare BlogSebastiaan Neuteboom![](https://innasiec.pl/content/images/thumbnail/What_came_first-_the_CNAME_or_the_A_record-OG.png)](https://blog.cloudflare.com/cname-a-record-order-dns-standards/?ref=innasiec.pl) 8 stycznia 2026 rutynowa aktualizacja resolvera 1.1.1.1 Cloudflare wywołała falę błędów rozwiązywania DNS dla użytkowników na całym świecie. Przyczyna? Zmiana kolejności rekordów w odpowiedziach DNS. Brzmi absurdalnie? Zagłębmy się w 40-letnie zawiłości protokołu. Cloudflare zmodyfikował kod obsługujący częściowo wygasłe łańcuchy CNAME, aby zredukować alokacje pamięci. Poprzednio kod tworzył nową listę, wstawiał istniejący łańcuch CNAME, a następnie dodawał nowe rekordy: ```rust answer_rrs.extend_from_slice(&self.records); // CNAMEs pierwsze answer_rrs.extend_from_slice(&entry.answer); // Potem A/AAAA Nowa logika entry.answer.extend(self.records); // CNAMEs ostatnie ``` Po optymalizacji CNAME-y trafiały na koniec odpowiedzi. Efekt? Funkcja `getaddrinfo` w glibc (podstawa resolwingu DNS w Linuksie) przestała działać. Implementacja parsuje rekordy sekwencyjnie - gdy napotka CNAME, aktualizuje "oczekiwaną nazwę". Jeśli rekord A pojawia się PRZED CNAME, zostaje zignorowany jako niezgodny z oczekiwaniem. Bardziej drastyczny skutek: [przełączniki Cisco trzech modeli wpadły w pętle rebootów](https://www.cisco.com/c/en/us/support/docs/smb/switches/Catalyst-switches/kmgmt3846-cbs-reboot-with-fatal-error-from-dnsc-process.html?ref=innasiec.pl) przy użyciu 1.1.1.1. RFC 1034 z 1987 roku mówi, że odpowiedź może być "possibly preface by one or more CNAME RRs". Problem? To nie jest normatywne stwierdzenie z użyciem słów MUST/SHOULD (które RFC 2119 zdefiniował dopiero 10 lat później). RFC jasno określa, że kolejność w RRset nie ma znaczenia, ale nie precyzuje relacji między różnymi RRsetami w sekcji odpowiedzi. Późniejsze specyfikacje (np. RFC 4035 dla DNSSEC) są bardziej jednoznaczne: "MUST also place its RRSIG RRs" z "higher priority for inclusion". Ale dla niezabezpieczonych stref - dwuznaczność pozostaje. Większość nowoczesnych resolverów (np. systemd-resolved) parsuje najpierw wszystkie rekordy do uporządkowanego zestawu, dzięki czemu kolejność nie ma znaczenia. Ale legacy systems polegają na założeniach sprzed dekad. --- ## Monitorowanie opóźnień [GitHub - mirceaulinic/latency-monitor: Lightweight TCP and UDP latency monitoring tool, with pluggable interface for publishing metricsLightweight TCP and UDP latency monitoring tool, with pluggable interface for publishing metrics - mirceaulinic/latency-monitor![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-63.svg)GitHubmirceaulinic![](https://innasiec.pl/content/images/thumbnail/0ab609ef-ada2-448e-9cd7-f3eff3efdaf3)](https://github.com/mirceaulinic/latency-monitor/?ref=innasiec.pl) latency-monitor to lekki i precyzyjny program do monitorowania opóźnień TCP i UDP, mierzący czas jednokierunkowy i rundy do wskazanych hostów. Dzięki elastycznemu interfejsowi możesz publikować metryki do różnych backendów, jak Datadog, ClickHouse czy ZeroMQ. Konfiguracja odbywa się przez plik latency.toml lub argumenty CLI, pozwalając dostosować cele, porty, częstotliwość pomiarów czy typ protokołu. --- ## Kalkulator podsieci [VibeCoded Subnet Calculator by Kjetil Teigen Hansen![](https://innasiec.pl/content/images/icon/favicon-66.ico)](https://subnet.teigenrf.org/?ref=innasiec.pl) Interaktywny kalkulator podsieci dla IPv4 oraz IPv6 prezentuje wszystkie najważniejsze informacje w przystępnej formie. Znajdziesz tu dane o wielkości podsieci, liczbie dostępnych adresów dla hostów, masce wildcard i innych istotnych parametrach. --- ## DNS Tunneling _This post is for paying subscribers only._ ### 📬 ISN 221: Autonomiczna Sieć AWS, CheatSheet FortiOS i Przyszłość VXLAN bez EVPN! URL: https://innasiec.pl/isn-221-autonomiczna-siec-aws-cheatsheet-fortios-i-przyszlosc-vxlan-bez-evpn/ Last updated: 2026-01-12T09:00:08.000Z ## AWS ma w pełni autonomiczną sieć [https://www.fierce-network.com/cloud/aws-living-telcos-autonomous-network-dream](https://www.fierce-network.com/cloud/aws-living-telcos-autonomous-network-dream?ref=innasiec.pl) Największa na świecie sieć światłowodowa działa praktycznie bez ludzkiej interwencji. Bez NOC-ów pełnych inżynierów monitorujących dashboardy. Tylko software i ludzie w trybie stand-by na fizyczne naprawy. To nie science fiction – to AWS w 2025 roku. Matt Rehder, VP of Core Networking w AWS, mówi wprost: **ich sieć obsługuje autonomicznie 97-98% wszystkich zdarzeń.** Ludzie podejmują decyzje strategiczne – jak sieć powinna działać – ale nie siedzą już w pętli operacyjnej. Z nadejściem AI agents ta liczba będzie jeszcze wyższa. Google Cloud osiągnął podobny poziom na swojej sieci backbone do końca 2025\. Dwa hyperscalery pokazują, że pełna autonomia to nie „kiedyś", ale teraz. Jak AWS to osiągnął? Kluczowe są dwie rzeczy: **Własny hardware i software.** AWS od lat rozwija własne urządzenia sieciowe. Rehder jest brutalnie szczery: „Jeśli używasz vendorskich systemów, API do automatyzacji są... trudne. A multi-vendor setup? To dopiero piekło złożoności." **Dekada konsekwentnej automatyzacji.** To nie jest zasługa AI. AWS budował automatyzację przez 10+ lat, od początku zakładając zero operatorów w codziennej pętli. AI tylko przyspiesza to, co już działało. **Jeśli planujesz automatyzację – myśl nie o narzędziach, ale o własności stack-u.** Każdy vendor w ekosystemie to eksponencjalny wzrost złożoności. Hyperscalerzy to rozumieją. Pytanie, kiedy enterprise i service providerzy wyciągną wnioski. --- ## Traffic Engineering jako proces [A Traffic Engineering Process PerspectiveRFC 9522 provides a useful framing for the realization of traffic engineered networks by introducing the principles of TE. This post focuses on describing the problem space of TE, the require…![](https://innasiec.pl/content/images/icon/webclip-1.png)Colby Barth![](https://innasiec.pl/content/images/thumbnail/screenshot-2026-01-06-at-8.40.10-am.png)](https://tedigest.com/2026/01/06/a-traffic-engineering-process-perspective/?ref=innasiec.pl) [RFC 9522](https://datatracker.ietf.org/doc/rfc9522/?ref=innasiec.pl) zmienia perspektywę patrzenia na traffic engineering – zamiast zestawu protokołów i konfiguracji, proponuje myślenie procesowe. Większość dyskusji o TE kończy się na sporach o protokoły: MPLS vs Segment Routing, centralized vs distributed. Tymczasem prawdziwy problem leży gdzie indziej – w braku klarownego rozdzielenia między **intencją** (co chcemy osiągnąć), **obliczeniami** (jak to osiągnąć) a **realizacją** (mechanizmy wykonania). Skutek? Zespoły wiążą decyzje biznesowe z konkretnymi implementacjami. Zmiana protokołu wymaga przepisania polityk. Nowe usługi wymagają przebudowy core'a. Ewolucja staje się niemożliwa. RFC 9522 definiuje sześć elementów składowych, niezależnych od technologii: **Demand** – co musi zostać przeniesione (wolumeny, endpointy, charakterystyki) **Constraints** – granice rozwiązania (SLA, policy, zasoby) **Objectives** – co optymalizujemy gdy jest wiele akceptowalnych wyników **Computation** – ewaluacja wymagań wobec stanu sieci (wymaga globalnej widoczności) **Realization** – tłumaczenie decyzji na konkretne mechanizmy (może być rozproszone) **Measurement** – weryfikacja czy realizacja spełnia intencję Kluczowe: computation wymaga globalnego kontekstu, ale wykonanie powinno pozostać rozproszone dla zachowania szybkiej konwergencji. Zmiana myślenia z "konfigurujemy protokoły" na "definiujemy proces" daje konkretne korzyści: Możesz wprowadzić nową usługę bez dotykania transport core – bo intencja jest oddzielona od realizacji. Możesz symulować zachowanie sieci przed wdrożeniem – bo masz jasno zdefiniowany model decyzyjny. Możesz zmienić protokoły bez przepisywania polityk – bo constraints są logiczne, nie techniczne. --- ## CheatSheet FortiOS [CheatSheet – FortiOS v7.6 – Tech Blog![](https://innasiec.pl/content/images/icon/apple-touch-icon-20.png)Tech Blogmp![](https://innasiec.pl/content/images/thumbnail/featuredimage-fortinet-transparent.png)](https://blog.boll.ch/cheatsheet-fortios-v7-6/?ref=innasiec.pl) CheatSheet FortiOS 7.6 to praktyczny przewodnik do najnowszej wersji systemu FortiOS 7.6, który ułatwia konfigurację, diagnostykę i rozwiązywanie problemów z urządzeniami FortiGate. Znajdziesz tu najważniejsze komendy CLI, wskazówki oraz skróty, które przyspieszą pracę administratora sieci. J Idealny materiał dla tych, którzy chcą szybko i skutecznie zarządzać bezpieczeństwem sieci. --- ## Automatyczne zbieranie kluczy SSH [NetOpsWorkshop/tools/ssh-keys/get-keys.yml at master · ipspace/NetOpsWorkshopTest cases and scenarios for Network Automation workshop - ipspace/NetOpsWorkshop![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-62.svg)GitHubipspace![](https://innasiec.pl/content/images/thumbnail/NetOpsWorkshop)](https://github.com/ipspace/NetOpsWorkshop/blob/master/tools/ssh-keys/get-keys.yml?ref=innasiec.pl) INFO: Skrypt Ansible służy do automatycznego pobierania kluczy SSH z urządzeń sieciowych zdefiniowanych w inwentarzu. Następnie tworzy lub aktualizuje lokalny plik known\_hosts, wstawiając tam pobrane klucze w sposób uporządkowany i bezpieczny, aby ułatwić zarządzanie zaufanymi hostami. Dzięki temu rozwiązaniu możliwe jest wygodne i niezawodne utrzymanie pliku known\_hosts bez ryzyka utraty istniejących wpisów czy błędów formatowania. --- ## Co stanie się z VXLAN bez płaszczyzny sterowania EVPN? _This post is for paying subscribers only._ ### 📬 ISN 220: LISP kontra BGP EVPN, Narzędzia do Wizualizacji i Strategie Wyboru Protokołów! URL: https://innasiec.pl/isn-220-lisp-kontra-bgp-evpn-narzedzia-do-wizualizacji-i-strategie-wyboru-protokolow/ Last updated: 2026-01-05T09:00:47.000Z ## Dlaczego wybór protokołu routingu wciąż ma znaczenie [Why Routing Protocol Choice Still MattersAs long as packets flow from point A to point B, does it matter how they got to their destination? RIP, EIGRP, OSPF, BGP: they all “work.” In a recent episode of The Art of Network Engineering, Andy Lapteff 🛠️💬 sat down with Russ White, Ph.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-27)LinkedInThe Art of Network Engineering![](https://innasiec.pl/content/images/thumbnail/1765828679131)](https://www.linkedin.com/pulse/why-routing-protocol-choice-still-matters-artofneteng-ezxde/?ref=innasiec.pl) BGP wszędzie. W underlay, w overlay, w data center, w campusie. Działa, skaluje się, wszyscy go znają. Po co komplikować? Bo właśnie ta "uniwersalność" to problem. **BGP robi za dużo (i za mało)** BGP został zaprojektowany do routingu między domenami w Internecie. Wolna konwergencja? To feature, nie bug. Bogata polityka? Dokładnie to, czego potrzebowałeś... w 1994 roku. Dziś wrzucamy BGP do data center i zaczynamy gimnastykę: BFD dla szybkiej detekcji awarii, dostrojone timery, auto-peering, redystrybuacja. Efekt? "RIP na sterydach" mocno skompliowany, który powraca jako z path-vector protocol. Kiedy trzeba tak mocno wyginać narzędzie, żeby pasowało do zadania, może to znak, że używasz niewłaściwego narzędzia? Wielkie sieci zawsze oddzielały infrastructure routing (IGP) od workload routing (EGP). Powód jest prosty: izolacja obszarów awarii i ograniczenie powierzchni ataku. IS-IS w underlay to fire-and-forget. Nie jest IP-based, więc znacznie mniejsza powierzchnia ataku. Szybka konwergencja, efektywny flooding, zero multi-hop nonsense. Robisz swoją robotę na warstwie infrastruktury. A BGP? Niech robi to, w czym jest naprawdę dobry: overlay signaling, polityka, kontrola. Jeden protokół, jedna odpowiedzialność. **"NOC zna tylko BGP"** To nie argument techniczny. To argument organizacyjny. I dokładnie dlatego IS-IS zniknął z radarów. Nie przegrał technicznie - przegrał marketingowo. Vendor training uczy tego, co popularne, nie tego, co odpowiednie. Efekt? Feedback loop, gdzie całe protokoły po cichu znikają. Młodsi inżynierowie słyszą "NET address" i przestają pytać. Tymczasem IS-IS jest *prostszy* niż OSPF. TLV-based design? IPv6 dodano bez przepisywania protokołu. Konfiguracja? Podaj adres NET, włącz na interfejsach. Gotowe. Ale gdzie tu miejsce na 200-linijkowy BGP config z route-mapami, którym możesz się pochwalić na Slacku? --- ## Cisco 9800-80: Wymiana czy nie? [Do We Really Need to Replace the Cisco 9800-80?Cisco Catalyst 9800 wireless controllers have been in the market for quite some time now, and many of us are still getting comfortable with their architecture and operational behavior. Earlier this…![](https://innasiec.pl/content/images/icon/cropped-untitled-1.png)ddtWiFiologyCharles Clare![](https://innasiec.pl/content/images/thumbnail/image-1.png)](https://ddtwifiology.wordpress.com/2025/12/23/do-we-really-need-to-replace-the-cisco-9800-80/?ref=innasiec.pl) Cisco wprowadza CW9800H1 i CW9800H2 jako następców Catalyst 9800-80\. Pytanie brzmi: czy istniejące kontrolery rzeczywiście wymagają wymiany? Nowe platformy CW9800H oferują te same możliwości skalowania (liczba AP i klientów), ale z trzema kluczowymi usprawnieniami: **Wydajność i efektywność**: Przepustowość wzrasta z 80 Gbps do 100 Gbps przy niższym poborze mocy. To istotne w kontekście kosztów operacyjnych. **Wymiary**: Redukcja z 2RU do 1RU. W nowoczesnych DC, gdzie przestrzeń kosztuje, to realna korzyść. **Uplinki**: CW9800H1 oferuje 4×25 Gbps (elastyczność), CW9800H2 daje 2×40 Gbps (przepustowość). Wybór zależy od architektury core. **Kiedy wymiana ma sens** **Planowany refresh WiFi**: Wdrażasz Wi-Fi 6E lub 7? To naturalny moment na upgrade kontrolerów. Długość lifecycle'u sprzętu powinna być zsynchronizowana z infrastrukturą bezprzewodową. **Nowe środowisko**: Budowa od zera? Wybierz nową platformę - lepszy stosunek wydajności do zużycia energii spłaci się w 3-5 letnim horyzoncie. **Kiedy NIE wymieniać**: 9800-80 wdrożony w ciągu ostatnich 1-2 lat ma wsparcie do końca 2027 (maintenance) i 2030 (security). Zero presji czasowej. **Uwaga na teoretyczne limity**: Użytkownicy raportują problemy z 9800-80 przy 3000+ AP w środowiskach o intensywnym roamingu (np. edukacja). CPU dochodzi do 100% podczas masowych zdarzeń roamingu. Rzeczywista skala może być bliżej 2500 AP, nie deklarowanych 6000\. IOS XE na 9800 nie skaluje się tak dobrze jak legacy AireOS w bardzo dużych centralnie przełączanych sieciach. --- ## Skanowanie i wizualizacja sieci [GitHub - scanopy/scanopy: Clean network diagrams. One-time setup, zero upkeep.Clean network diagrams. One-time setup, zero upkeep. - scanopy/scanopy![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-61.svg)GitHubscanopy![](https://innasiec.pl/content/images/thumbnail/fa1d1bda-4fe5-41db-a65a-7066111b2f26)](https://github.com/scanopy/scanopy?ref=innasiec.pl) Scanopy to narzędzie do automatycznego skanowania sieci, które identyfikuje hosty i usługi, a następnie generuje interaktywne wizualizacje pokazujące, jak wszystko jest ze sobą połączone. Dzięki temu łatwo stworzysz i utrzymasz aktualną dokumentację sieciową bez konieczności ręcznego uzupełniania arkuszy czy rysowania diagramów. Idealne dla entuzjastów home labów, administratorów systemów, zespołów IT i MSP. Scanopy obsługuje m.in. wykrywanie ponad 200 usług, skanowanie rozproszone, integrację z Dockiem oraz zarządzanie wieloma użytkownikami z różnymi uprawnieniami. --- ## Wizualizacja szaf rackowych [GitHub - RackulaLives/Rackula: Drag and drop rack visualizerDrag and drop rack visualizer. Contribute to RackulaLives/Rackula development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-60.svg)GitHubRackulaLives![](https://innasiec.pl/content/images/thumbnail/Rackula)](https://github.com/RackulaLives/Rackula?ref=innasiec.pl) Rackula to narzędzie do wizualizacji układu sprzętu w szafach rackowych. Pozwala na przeciąganie i upuszczanie urządzeń, tworząc realistyczne plany z rzeczywistymi zdjęciami sprzętu zamiast nudnych szarych ikon. Możesz swobodnie przesuwać elementy, eksportować gotowy układ do PNG, PDF lub SVG oraz udostępniać go za pomocą QR kodu, który otwiera projekt w przeglądarce. Aplikacja działa bezpośrednio w przeglądarce lub może być uruchomiona lokalnie przez Dockera. Projekt jest otwartoźródłowy i dostępny na GitHub, stworzony z myślą o społecznościach homelab i selfhosted. --- ## LISP vs BGP EVPN w sieciach kampusowych _This post is for paying subscribers only._ ### 📬 ISN 219: Dlaczego RTT w Traceroute Kłamie? Plus MTU, Crossplane i Skalowanie Google! URL: https://innasiec.pl/isn-219-dlaczego-rtt-w-traceroute-klamie-plus-mtu-crossplane-i-skalowanie-google/ Last updated: 2025-12-29T09:00:57.000Z ## MTU i fragmentacja CAPWAP psują Wi-Fi [Why MTU, MSS & CAPWAP Fragmentation Break More Wi-Fi Than People Realise(A story from inside the tunnels where packets go to suffer) Most Wi-Fi problems announce themselves loudly alarms, alerts, complaints, Teams messages with far too many exclamation marks. But some issues don’t come with drama.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-26)LinkedInZeeshan Khan![](https://innasiec.pl/content/images/thumbnail/linkedin-bug-color-1.png)](https://www.linkedin.com/pulse/why-mtu-mss-capwap-fragmentation-break-more-wi-fi-than-zeeshan-khan-e7vxf/?ref=innasiec.pl) Dashboardy zielone. RF czyste. Klienci podłączeni. A użytkownicy mówią: "Wi-Fi jest wolne". Znasz to uczucie? To właśnie moment, kiedy prawdziwy problem kryje się tam, gdzie nikt nie patrzy. Wszystko wygląda dobrze: - Roaming działa - DHCP/DNS bez zarzutu - Interferencja normalna Speed test przez tunel CAPWAP: **3 Mbps**. Ten sam klient przez LAN: **300 Mbps**. PMTU między kontrolerami pokazał **1385 bajtów**. Wystarczająco dla małych pakietów. Śmiertelnie mało dla nowoczesnego ruchu aplikacyjnego. Ale to nie sama fragmentacja była winna. To była kombinacja: - MTU za niskie - MSS nie zaciskane - Overhead CAPWAP - Ruch internetowy w godzinach szczytu - WAN zachowujący się jak ulica jednokierunkowa Pakiety nie padały - dzieliły się, zwalniały, ponawiały próby. TCP myślał, że ścieżka jest zdrowa. Tunel je kroił. WAN je ściskał. Użytkownik czekał. **Naprawa niewidzialnego potwora** Żadnych heroicznych komend. Tylko kilka cichych poprawek: - Dostosowanie MTU do rzeczywistej ścieżki - MSS clamping na WAN edge - Włączenie PMTU discovery - Weryfikacja overhead CAPWAP - Usunięcie zbędnego tunnelingu Rezultat: **3 → 250 Mbps** w kilka minut. Zero zmian w RF. Zero tuning RRM. Tylko pakiety dostały w końcu przestrzeń, na którą zasługiwały. --- ## Dlaczego traceroute pokazuje dziwne czasy RTT? [traceroute breaks the time-space continuum!traceroute is a source of fun for young and old, mostly old. What you may not have known until now is its ability to break the laws of physics.![](https://innasiec.pl/content/images/icon/apple-touch-icon-19.png)bitpuff.io: Software&NetworksMarc Suñé![](https://innasiec.pl/content/images/thumbnail/thumb.png)](https://bitpuff.io/blog/traceroute-rtt-mystery/?ref=innasiec.pl) Uruchamiasz `traceroute google.com` i widzisz coś dziwnego: ``` traceroute to google.com (142.250.200.206), 30 hops max, 60 byte packets 1 192.168.1.1 3.550 ms 3.424 ms 3.346 ms 2 81.46.38.147 20.595 ms 20.536 ms 20.475 ms 3 81.46.34.125 79.685 ms 79.602 ms 79.540 ms 4 * * * 5 * * * 6 * * * 7 81.173.106.65 26.469 ms 15.869 ms 15.664 ms 8 74.125.245.171 17.053 ms 108.170.225.251 14.295 ms 17.687 ms 9 108.170.255.26 27.739 ms 192.178.110.134 16.176 ms 142.251.76.110 13.844 ms 10 108.170.252.173 19.309 ms 64.233.175.63 19.250 ms 108.170.252.173 15.359 ms 11 172.253.65.53 40.944 ms 42.708 ms 142.251.79.237 42.634 ms 12 72.14.234.190 44.364 ms 142.251.254.74 43.244 ms 192.178.85.180 44.738 ms 13 192.178.105.215 43.094 ms 42.461 ms 44.523 ms 14 209.85.243.145 44.422 ms 42.834 ms 209.85.143.123 44.361 ms 15 142.250.200.206 44.262 ms 42.788 ms 40.920 ms ``` 3\. hop (Madrid) ma RTT \~80ms, ale 10\. hop (prawdopodobnie USA) tylko \~15ms. Pakiety podróżują w czasie? Nie. Mierzysz coś zupełnie innego niż myślisz. **Co faktycznie mierzy traceroute** Traceroute działa sprytnie: wysyła pakiety z rosnącym TTL i czeka na ICMP "Time Exceeded" od kolejnych routerów. Problem? Te ICMP-y generuje **Control Plane**, nie Forwarding Plane. Gdy pakiet ma TTL=0, następuje exception w hardware forwarding - pakiet wędruje do CPU routera. Tam, w Control Plane, router musi: - Odebrać pakiet (przez rate-limiting i QoS) - Wygenerować ICMP Time Exceeded - Wysłać go z powrotem To nie jest priorytet. Control Plane zajmuje się BGP, OSPF, management - krytycznymi rzeczami. Twój ICMP? Low priority task, który może poczekać... lub w ogóle się zgubić. Router w Madrycie (`81.46.34.125`) jest po prostu wolny w generowaniu ICMP. Może być przeciążony, mieć agresywne rate-limiting, albo stare CPU. Routery Google'a w USA? Szybkie, nowoczesne, zaprojektowane do wydajnego przetwarzania exceptions. **Nie mierzysz RTT - mierzysz RTT + czas procesowania Control Plane.** Sprawdź sam: uruchom `traceroute` kilka razy do tego samego hosta. RTT do tego samego hopa będzie skakać od 24ms do 144ms. Gdyby to była propagacja sygnału, byłoby stabilne. Dla rzeczywistych pomiarów RTT używaj: - **ping** bezpośrednio do hosta (bez intermediate hops) - **BFD Echo mode** dla directly-connected peers - działa w data plane, daje prawdziwe RTT - **Monitoring tools** typu SmokePing dla długoterminowych trendów --- ## Rozproszone monitorowanie sieci [GitHub - macwilam/linksense: Distributed network of network monitoring agents.Distributed network of network monitoring agents. Contribute to macwilam/linksense development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-56.svg)GitHubmacwilam![](https://innasiec.pl/content/images/thumbnail/linksense)](https://github.com/macwilam/linksense?ref=innasiec.pl) LinkSense to wysokowydajny, asynchroniczny system monitoringu sieci opartej na Rust, umożliwiający łatwe wdrażanie lekkich agentów zbierających i raportujących metryki wydajności do centralnego serwera. Dzięki prostemu modelowi agent-serwer pozwala na ciągłe monitorowanie zdrowia i parametrów sieci, skalowalne do setek punktów monitoringu przy minimalnym zużyciu zasobów. System obsługuje osiem typów zadań (ping, TCP, TLS, HTTP, DNS, przepustowość, SQL, SNMP), a konfiguracja zarządzana jest dynamicznie i bez przestojów z wykorzystaniem plików TOML i systemu wykrywania zmian. --- ## Pakiet konfiguracyjny Crossplane [GitHub - mbakalarski/netclab-xp: Crossplane Configuration Package providing abstract XRDs for managing network elements.Crossplane Configuration Package providing abstract XRDs for managing network elements. - mbakalarski/netclab-xp![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-59.svg)GitHubmbakalarski![](https://innasiec.pl/content/images/thumbnail/netclab-xp)](https://github.com/mbakalarski/netclab-xp?ref=innasiec.pl) INFO: netclab-xp to deklaratywny pakiet konfiguracyjny Crossplane, który pozwala zarządzać konfiguracją fizycznych, wirtualnych i konteneryzowanych routerów w stylu GitOps. Umożliwia spójne i powtarzalne zarządzanie routerami poprzez wielowarstwowe abstrakcje – od ogólnych usług sieciowych, przez konstrukty routerów, aż po niskopoziomowe modele YANG dostępne przez RESTCONF lub JSON-RPC. --- ## Jak Google śledzi miliardy requestów _This post is for paying subscribers only._ ### 📬 ISN 218: Globalne Awarie Q4, Szybszy BGP i Geolokalizacja po Opóźnieniach! URL: https://innasiec.pl/isn-218-globalne-awarie-q4-szybszy-bgp-i-geolokalizacja-po-opoznieniach/ Last updated: 2025-12-22T09:00:19.000Z ## Globalne awarie w Q4 [A Year in Internet Analysis: 2025This year-end wrap-up covers topics from BGP security (including ASPA and excessive AS-SETs) and the geopolitical (Ukraine’s IPv4 exodus, the Iran internet shutdown, and Red Sea cable cuts) to the year’s most significant outages (TikTok, the Spain/Portugal blackout, and cloud failures at AWS, Azure, and Cloudflare). Plus, we explore Starlink’s new Community Gateways, and revisit the evolving landscape of AS ranking and OTT service tracking.![](https://innasiec.pl/content/images/icon/apple-touch-icon-18.png)KentikDoug Madory![](https://innasiec.pl/content/images/thumbnail/year-in-review-2025.jpg)](https://www.kentik.com/blog/a-year-in-internet-analysis-2025/?ref=innasiec.pl) Ostatni kwartał 2025 zapisze się jako okres najbardziej spektakularnych awarii w historii usług chmurowych. AWS, Azure i Cloudflare - wszyscy po kolei. A winowajca? Nie cyberataki, lecz bugi w automatyzacji. **AWS: gdy DNS zawiodło bazę danych** 21 października DynamoDB padło na kilka godzin. Przyczyna? Wadliwe oprogramowanie zarządzające DNS dla tej usługi. Systemy AWS i aplikacje klientów nie mogły tłumaczyć nazw hostów na adresy IP - połączenia niemożliwe. Według post-mortem, problem był w zarządzaniu rekordami DNS, co uniemożliwiło dostęp do jednej z najpopularniejszych baz NoSQL w chmurze. **Azure: konflikt wersji w globalnej skali** Dni później Microsoft doświadczył własnej katastrofy. Klient wprowadził poprawną zmianę konfiguracyjną w Azure Front Door, ale ta została przetworzona przez dwie różne wersje control-plane, generując niezgodne metadane. Gdy te dane rozprzestrzeniły się globalnie, wywołały ukrytego buga w warstwie data plane - masowe awarie i problemy z wewnętrznym DNS na edge sites. **Cloudflare: gdy Bot Management urósł za bardzo** 18 listopada drobna zmiana uprawnień w bazie danych Cloudflare wygenerowała plik konfiguracyjny dla Bot Management dwukrotnie większy niż normalnie. Oversized file przekroczył limity w kluczowym module proxy i wywołał globalną awarię. Na początku objawy przypominały masowy atak DDoS, co dodatkowo skomplikowało diagnozę. **Co naprawdę się nie zepsuło** W każdym przypadku podstawy internetu działały bez zarzutu: żadne kable światłowodowe nie zostały przecięte, globalnie DNS i BGP funkcjonowały prawidłowo. Internet, zaprojektowany by przetrwać wojnę nuklearną, nigdy nie leżał. Problem tkwił wyłącznie w wewnętrznych systemach poszczególnych dostawców. Kluczowy wniosek? **Od lat to nie cyberataki, a bugi w automatyzacji są główną przyczyną wieloskalowych awarii.** Operowanie w tej skali wymaga automatyzacji, ale ciągły push na nowe funkcje zwiększa złożoność i ryzyko katastrofalnych błędów. **Dla zespołów, które nie mogą sobie pozwolić na kilkugodzinne przestoje raz-dwa w roku, rozwiązanie jest jedno: dywersyfikacja hostingu.** Pozostali będą musieli po prostu przetrwać - ale dzięki konsolidacji rynku, przynajmniej w dobrym towarzystwie. --- ## Szybsza konwergencja BGP [BGP RIB ShardingDiscover how BGP RIB Sharding can help improve routing performance and scale in JUNOS.![](https://innasiec.pl/content/images/icon/favicon-64.ico)Juniper Networks![](https://innasiec.pl/content/images/thumbnail/HiunynJXSnChfbbYV7ri_Sharding-06b.png)](https://community.juniper.net/blogs/ravindran-thangarajah/2022/10/24/bgp-rib-sharding?ref=innasiec.pl) Juniper wprowadził do JUNOS architekturę RIB Sharding – rozwiązanie, które dzieli tablicę routingu BGP na niezależne fragmenty obsługiwane równolegle przez dedykowane wątki. W testach laboratoryjnych osiągnięto do 9-krotne przyspieszenie konwergencji. Jak to działa i kiedy warto to wdrożyć? Tradycyjny RPD (Routing Protocols Daemon) działał w jednym wątku, co przy milionach prefiksów BGP stawało się wąskim gardłem. Pipeline BGP – od otrzymania UPDATE przez best path selection po generowanie wiadomości do peerów – wykonywał się sekwencyjnie. Wprowadzenie wątków I/O (BGP-IO) pomogło w komunikacji, ale główny processing wciąż blokował się na jednym rdzeniu. Juniper zastosował sharding RIB – każdy shard to niezależny wycinek tablicy routingu obsługiwany przez dedykowany wątek. Kluczowe założenia: - **Hash z prefiksu IP** określa, który shard obsługuje dany prefix - **Zero synchronizacji** między shardami – każdy ma własny mini-ekosystem RPD - **Update threads** agregują wyniki z shardów, pakując prefiksy z tymi samymi atrybutami w jednym UPDATE (unikając rozdrobnienia wiadomości) - **Eventual consistency** – protokoły routingu z natury tolerują chwilowe rozbieżności W testach z cRPD (24 rdzenie, 8M prefiksów inbound, 800M outbound do 1000 peerów) konwergencja z 12 shardami + 12 update threads była **9x szybsza** niż bez shardingu. Sharding błyszczy w scenariuszach z: - **Dużą skalą** (miliony prefiksów) - **Wysokim RIB-FIB ratio** (wiele peerów uczy tych samych prefiksów) – typowo 4:1 lub więcej - **Control plane only** – Route Reflectors są idealnym use case'em (brak FIB download = minimalna praca w main thread) Przykłady z produkcji: - **PTX10003 peering router** (11M routes, 200 eBGP peers): 4x przyspieszenie z 12 shardami - **MX480 DC edge** (7M IPv4, 900 peers): 2.5x przyspieszenie z 2 shardami (4 rdzenie CPU) **Deployment A** (tier 1 SP, MX204 RR): 150 peerów, 10M IPv4 (12:1 ratio), 5 shardów – stable production. **Co jeszcze musisz wiedzieć?** - Sharding **nie wymaga przepisywania kodu** – istniejący RPD działa w każdym shardzie bez zmian - Liczba shardów = liczba rdzeni daje najlepsze wyniki (więcej = scheduling overhead) - **Optimal Route Reflection** (ORR) zyskuje najwięcej – compute-intensive per-client best path w każdym shardzie równolegle - Koszt: dodatkowa komunikacja między wątkami – opłaca się od skali \~1M+ prefiksów --- ## Geolokalizacja po opóźnieniach [GitHub - jimaek/geolocation-tool: Geo locate any IP to a physical location using latencyGeo locate any IP to a physical location using latency - jimaek/geolocation-tool![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-54.svg)GitHubjimaek![](https://innasiec.pl/content/images/thumbnail/geolocation-tool)](https://github.com/jimaek/geolocation-tool?ref=innasiec.pl) Narzędzie do lokalizacji IP na podstawie opóźnień (latency) wykorzystuje Globalping do określenia fizycznej lokalizacji adresu IP. Instalacja i użycie jest proste — wystarczy sklonować repozytorium, zainstalować zależności i uruchomić komendę `geolocate`. --- ## Porównanie chmur w czasie rzeczywistym [CloudPerfCompare the speed and uptime of enterprise and commercial Cloud services![](https://innasiec.pl/content/images/icon/favicon-96x96.png)CloudPerf![](https://innasiec.pl/content/images/thumbnail/logo.svg)](https://www.cloudperf.com/?ref=innasiec.pl) Serwis oferuje kompleksową analizę wydajności i dostępności usług chmurowych na podstawie milionów testów globalnych. Możesz porównać popularnych dostawców, takich jak Amazon Web Services, Google Cloud, Exoscale czy Vultr, uwzględniając różne lokalizacje geograficzne. Platforma pokazuje opóźnienia (latency) i dostępność (uptime) w czasie rzeczywistym, co pozwala wybrać najlepszy region i usługę chmurową dopasowaną do twoich potrzeb. --- ## Jak wybrać narzędzia do automatyzacji infrastruktury _This post is for paying subscribers only._ ### 📬 ISN 217: IRR i Wireshark na Sterydach: Zrozum Kluczowe Wyzwania Automatyzacji Sieci! URL: https://innasiec.pl/isn-217-irr-i-wireshark-na-sterydach-zrozum-kluczowe-wyzwania-automatyzacji-sieci/ Last updated: 2025-12-15T09:00:40.000Z ## Trasa domyślna to katastrofa [Building Enterprise Internet Connectivity: A Practical Guide from the TrenchesA Note on Context: Network engineering is rarely black and white. The following blueprint represents a methodology honed over 15+ years of working in the trenches of Internet Edge architecture.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-25)LinkedInHerve Hildenbrand![](https://innasiec.pl/content/images/thumbnail/1764234655170)](https://www.linkedin.com/pulse/building-enterprise-internet-connectivity-practical-from-hildenbrand-n6flf/?ref=innasiec.pl) Większość przedsiębiorstw traktuje łączność internetową jak media – dopóki działa, nikt się tym nie przejmuje. Problem w tym, że **architektura oparta na wynajmowanej przestrzeni adresowej i default route to cyfrowa bezdomność**. Kiedy coś pójdzie nie tak, tracisz kontrolę. Open-source'owe narzędzia do analizy flow (Akvorado, ElastiFlow) są świetne, ale mają fundamentalną ślepą plamkę – widzą tylko ruch, który **dotarł** do twojego interfejsu. Nie pokażą ci, że twoje pakiety giną we Frankfurcie trzy hopy przed twoim routerem brzegowym. **Potrzebujesz dwóch perspektyw:** - **Inside-out**: Flow collectors do wewnętrznej analizy - **Outside-in**: Globalny synthetic monitoring (Kentik) – 500+ agentów testujących dostępność z całego świata Nie buduj tego sam. Utrzymanie globalnej infrastruktury testowej to operacyjny koszmar – kup gotowe rozwiązanie. Dywersyfikacja to nie tylko uptime – to manewrowość podczas ataku DDoS. Bez różnorodności ścieżek nie masz opcji. Przestań skalować porty według średniego wykorzystania. Jeśli twój hardware wspiera 100G – to jest twoja nowa baza. **Dlaczego?** Port 10G saturuje się natychmiast podczas volumetrycznego ataku. Gasną światła, zanim zdążysz przeanalizować wektor. 100G daje ci **headroom buffer** – absorbujesz initial hit, analizujesz flow, aplikujesz Flowspec. Bandwidth jest tani. Downtime jest bardzo drogi. Przestań szukać "idealnego" providera. Zbuduj odporną mieszankę: 1. **2x Tier-1** – globalny zasięg i fizyczna dywersyfikacja ścieżek 2. **2x Regionaly ISP** – niskie latencje i możliwość rozmowy z inżynierem (próbowałeś kiedyś wyciągnąć kogoś z NOC Tier-1?) 3. **IXP** – peering + bezpośrednie Cloud Connectivity (zabij VPN-y) 4. **BGP Communities** – chirurgiczna kontrola propagacji tras (nie prepending – to tępy instrument) 5. **Commercial synthetics** – zewnętrzna widoczność na routing **Kluczowy hack**: Z IXP i BGP communities możesz dedykować port tylko dla lokalnych peerów, znacząc trasy "nie rozgłaszaj do upstreamów". Lokalny ruch leci przez wysokowydajny port, reszta świata przez Tier-1\. To prawdziwa kontrola. --- ## Ukryta bariera automatyzacji sieci [The Hidden Barrier to Network Automation Isn’t Your AI — It’s Your DataAI automation fails without clean, contextual data. See how Selector’s data-centric platform turns raw telemetry into trusted intelligence.![](https://innasiec.pl/content/images/icon/cropped-site-icon-270x270.png)SelectorDallon Robinette![](https://innasiec.pl/content/images/thumbnail/Blog-title-card-26.png)](https://www.selector.ai/blog/the-hidden-barrier-to-network-automation-isnt-your-ai-its-your-data/?ref=innasiec.pl) Przez lata vendorzy obiecywali rewolucję: autonomiczne sieci, które wykrywają awarie zanim wystąpią, root cause analysis w sekundach, koniec z manualnym troubleshootingiem. Większość inicjatyw automatyzacji utyka jednak długo przed realizacją tej wizji. Powód? Nie brak innowacji w AI, ale brak użytecznych, wiarygodnych danych. Toniemy w danych - metryki, logi, eventy, flow, traces. Paradoksalnie, więcej telemetrii oznacza więcej problemów: - Niespójne formaty między vendorami i urządzeniami - Brak kontekstu o relacjach między warstwami i serwisami - Zduplikowane i niekompletne dane zaśmiecające dashboardy - Telemetria w legacy systemach bez wspólnego modelu Konkluzja jest brutalna: AI trenowane na niespójnych danych produkuje niewiarygodne wyniki. Automatyzacje triggerują się błędnie. Dashboardy kłamią. A zespoły odpowiedzialne za uptime tracą zaufanie do systemów, które miały im pomagać. Tradycyjne narzędzia observability były projektowane dla ludzi - grafy i alarmy do interpretacji przez operatora. Nie były budowane dla machine reasoning. Każdy vendor eksportuje telemetrię w innym formacie, z własnymi identyfikatorami i semantyką. Correlation engines nie mogą korelować tego, czego nie rozumieją. Root cause analysis nie wykryje zależności, które nie istnieją w danych. Machine learning nie odróżni anomalii od normy, gdy same dane są niewiarygodne. Problem nie jest w AI - problem jest w tym, czym je karmimy. **Zanim zainwestujesz w kolejne AI-powered narzędzie, zadaj pytanie: czy twoje dane są gotowe?** Bez data readiness automatyzacja to nawigacja bez mapy - szybka, imponująca i niebezpiecznie myląca. --- ## Inżyniera ruchu w Segment Routing [GitHub - agantonov/srv6-teContribute to agantonov/srv6-te development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-52.svg)GitHubagantonov![](https://innasiec.pl/content/images/thumbnail/srv6-te)](https://github.com/agantonov/srv6-te?ref=innasiec.pl) Repozytorium omawia inżynierię ruchu w sieciach SRv6 na przykładzie dwóch scenariuszy: ścieżek eksplicitnych oraz dynamicznego wyznaczania ścieżek. Przedstawia konfigurację polityk SRv6-TE na routerach HPE Juniper MX, sposób rozkładania ruchu po ścieżkach o różnych wagach oraz monitorowanie stanu ścieżek za pomocą protokołu Seamless BFD (S-BFD). --- ## Potężne narzędzia dla IRR [GitHub - 6connect/irrpt: IRR Power ToolsIRR Power Tools. Contribute to 6connect/irrpt development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-53.svg)GitHub6connect![](https://innasiec.pl/content/images/thumbnail/irrpt)](https://github.com/6connect/irrpt?ref=innasiec.pl) IRR PowerTools to zestaw narzędzi pomagających dostawcom internetu (ISP) zarządzać i monitorować informacje o trasowaniu IPv4 i IPv6 z baz Internet Routing Registry (IRR). Umożliwia automatyczne pobieranie danych, śledzenie zmian, powiadomienia e-mail oraz generowanie konfiguracji prefix-list dla routerów. Projekt upraszcza skomplikowany proces zarządzania prefixami, eliminując błędy wynikające z ręcznej obsługi, a także wspiera automatyzację wdrażania aktualizacji tras w sieci. --- ## Wireshark na sterydach _This post is for paying subscribers only._ ### 📬 ISN 216: Killswitche Sieci, Zniżka na Juniper i Rola Ansible w Akcji! URL: https://innasiec.pl/isn-216-killswitche-sieci-znizka-na-juniper-i-rola-ansible-w-akcji/ Last updated: 2025-12-08T09:00:15.000Z ## Killswitch wyłącznikiem całej sieci [Cloudflare outage on December 5, 2025Cloudflare experienced a significant traffic outage on December 5, 2025, starting approximately at 8:47 UTC. The incident lasted approximately 25 minutes before resolution. We are sorry for the impact that it caused to our customers and the Internet. The incident was not caused by an attack and was due to configuration changes being applied to attempt to mitigate a recent industry-wide vulnerability impacting React Server Components.![](https://innasiec.pl/content/images/icon/favicon-32x32-15.png)The Cloudflare BlogDane Knecht![](https://innasiec.pl/content/images/thumbnail/Cloudflare_outage_on_December_5__2025-OG.png)](https://blog.cloudflare.com/5-december-2025-outage/?ref=innasiec.pl) 5 grudnia 2025, godzina 08:47 UTC. Cloudflare wprowadza zmianę mającą chronić klientów przed luką CVE-2025-55182 w React Server Components. 25 minut później, 28% ruchu HTTP zwraca błąd 500\. To już druga poważna awaria Cloudflare w ciągu dwóch tygodni. Problem rozpoczął się od dwóch pozornie niezależnych zmian. Pierwsza – **zwiększenie bufora WAF ze 128KB do 1MB** – rollowana stopniowo. Druga – **wyłączenie wewnętrznego narzędzia testowego WAF poprzez globalny system konfiguracyjny**. Cloudflare użył mechanizmu killswitch, który wielokrotnie sprawdzał się w przeszłości. Tym razem jednak wyłączyli regułę z akcją typu `execute` – czego nigdy wcześniej nie robili. Kod w Lua zakładał, że dla `rule_result.action == "execute"` obiekt `rule_result.execute` zawsze istnieje. Ale killswitch sprawił, że reguła została pominięta, a obiekt nie powstał. Rezultat: `attempt to index field 'execute' (a nil value)`. W Rust, którym napisany jest nowy proxy FL2, tego błędu by nie było – silne typowanie by go wykryło. Ale 5 grudnia część klientów wciąż działała na FL1. **Trzy lekcje dla Ciebie** **1\. Global config bez stopniowego rollout to bomba zegarowa.** Cloudflare obiecał zmiany po awarii z 18 listopada – enhanced rollouts, health validation, quick rollback. Nie zdążyli. Rezultat: dwa incydenty w dwa tygodnie, identyczny mechanizm rozprzestrzeniania. **2\. Edge case w krytycznej ścieżce to nie edge case.** Killswitch nigdy nie był użyty na regułach `execute`. Kod działał latami, bo nie istniała kombinacja warunków, która by go wywołała. Do momentu, gdy zaistniała. W produkcji. W globalnej konfiguracji. **3\. "Fail-closed" w pojedynczym komponencie = "fail-down" dla całego systemu.** Cloudflare przyznaje: stosowali "hard-fail logic" tam, gdzie powinno być "fail-open". Zamiast logować błąd i przejść do known-good state, system zwracał 500. --- ## Przejdź z Cisco do Junipera ze zniżką [Migrate Cisco Certifications to Juniper with FREE Training(function (w, d, s, l, i) { w\[l\] = w\[l\] || \[\]; w\[l\].push({ ‘gtm.start’: new Date().getTime(), event: ‘gtm.js’ }); var f = d.getElementsByTagName(s)\[0\], j = d.createElement(s), dl = l != ‘dataLayer’ ?…![](https://innasiec.pl/content/images/icon/favicon-63.ico)![](https://innasiec.pl/content/images/thumbnail/Step1_NoBG-1.png)](https://learningportal.juniper.net/juniper/user%5Factivity%5Finfo.aspx?id=13858&ref=innasiec.pl) Juniper Networks oferuje program migracyjny dla posiadaczy certyfikatów Cisco. Oferta? Darmowe szkolenia i egzaminy certyfikacyjne za 50-100 USD zamiast standardowych 200-400 USD. Proces jest prosty: zakładasz darmowe konto w Juniper Learning Portal, weryfikujesz swój certyfikat Cisco (CCNA/CCNP/CCIE), dostajesz dostęp do odpowiedniego kursu Open Learning. Po ukończeniu materiałów zdajesz wewnętrzny test walidacyjny (70% próg zaliczenia, 3 próby). Zaliczenie = voucher ze zniżką 75% na egzamin certyfikacyjny ważny przez 30 dni. **Dostępne ścieżki migracji:** - CCNA → JNCIA-Junos (egzamin za $50) - CCNP/CCIE Enterprise → JNCIS-ENT lub JNCIP-ENT ($75-100) - CCNP/CCIE Security → JNCIS-SEC lub JNCIP-SEC ($75-100) - CCNP/CCIE Service Provider → JNCIS-SP lub JNCIP-SP ($75-100) - Cisco Wireless Specialist → JNCIS-MistAI-Wireless ($75) Bonus: zdając egzamin Specialist lub Professional automatycznie dostajesz wszystkie certyfikaty niższego poziomu w danej ścieżce. JNCIP-ENT = dodatkowe JNCIS-ENT i JNCIA-Junos bez osobnych egzaminów. Pakiety treningowe są naprawdę obszerne. Dla ścieżki Service Provider to 18 dni materiałów (JNCIP-SP + JNCIS-SP + JNCIA-Junos). Enterprise i Security dają 12 dni szkoleniowych. Dostęp do materiałów: 6 miesięcy. W pakiecie: moduły wideo, practice exams, exam-prep webinary prowadzone przez instruktorów Juniper. Brak hands-on labów to minus, ale za darmo trudno narzekać – zwłaszcza że dostęp do równoważnych płatnych kursów kosztuje $3000-5000. **Vouchery są jednorazowe i non-transferable.** Nie zdałeś za pierwszym razem? Płacisz pełną cenę za retry. Voucher ważny tylko 30 dni i nie ma przedłużeń – zaplanuj termin egzaminu z wyprzedzeniem. Egzaminy tylko przez Pearson VUE Online Proctoring, nie w centrach testowych. **Kto się nie kwalifikuje:** Osoby z certyfikatami Cisco wygasłymi ponad rok temu (dla poziomów Specialist/Professional). Program nie działa do recertyfikacji – tylko do zdobycia nowych credentials. --- ## Konferencja, na której powinieneś być [http://understandinglatency.com/](http://understandinglatency.com/?ref=innasiec.pl) Understanding Latency to miejsce (online), gdzie spotykają się praktycy z największych graczy – Comcast, Apple, Nokia Bell Labs, Vodafone, Meta – żeby dzielić się rzeczywistymi wdrożeniami i lessons learned. Jason Livingood z Comcast opowiada o deploymencie Dual Queue Low Latency w produkcji. Stuart Cheshire z Apple prezentuje real-world dane z wdrożenia L4S. Greg White z CableLabs aktualizuje status adopcji technologii niskolatencyjnych. Konferencja ma miejsce 15-17 grudnia. --- ## Tester sieci multicastowej [GitHub - akarneliuk/multicast-network-tester: Testing multicast in network. IPv4/IPv6\. Golang.Testing multicast in network. IPv4/IPv6\. Golang. Contribute to akarneliuk/multicast-network-tester development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-51.svg)GitHubakarneliuk![](https://innasiec.pl/content/images/thumbnail/multicast-network-tester)](https://github.com/akarneliuk/multicast-network-tester?ref=innasiec.pl) INFO: Multicast Network Tester to narzędzie do testowania sieci multicast, działające w IPv4 i IPv6\. Pozwala na jednoczesne korzystanie z wielu kanałów multicast (IPv4, IPv6 lub oba). Aplikacja zbiera i udostępnia metryki przez Prometheus, takie jak liczba odebranych pakietów, pakiety odebrane poza kolejnością, ilość odebranych bajtów oraz opóźnienia między nadawcą a odbiorcą. --- ## Role Ansible w praktyce _This post is for paying subscribers only._ ### 📬 ISN 215: 60 Minut RTO, Wireshark Sanitizer i Granice Kubernetes URL: https://innasiec.pl/isn-215-60-minut-rto-wireshark-sanitizer-i-granice-kubernetes/ Last updated: 2025-12-01T09:00:48.000Z ## 60-minutowy RTO dla DNS [Amazon Route 53 launches Accelerated recovery for managing public DNS records | Amazon Web ServicesAmazon Route 53 now offers Accelerated recovery for managing public DNS records, a new business continuity feature designed to provide a 60-minute recovery time objective (RTO) during service disruptions in the US East (N. Virginia) Region. This enhancement enables customers to continue making critical DNS changes and provisioning infrastructure even during regional outages, ensuring greater resilience for mission-critical applications.![](https://innasiec.pl/content/images/icon/touch-icon-ipad-144-smile-1.png)Amazon Web Services![](https://innasiec.pl/content/images/thumbnail/Route-53-blog-img.png)](https://aws.amazon.com/blogs/aws/amazon-route-53-launches-accelerated-recovery-for-managing-public-dns-records/?ref=innasiec.pl) AWS wprowadził funkcję, która rozwiązuje realny problem biznesowej ciągłości: możliwość zarządzania rekordami DNS nawet gdy region US East (N. Virginia) jest niedostępny. Accelerated Recovery gwarantuje 60-minutowy RTO dla operacji na publicznych strefach DNS. Dla organizacji z regulaowanych branży (bankowość, FinTech) brak możliwości zmiany rekordów DNS podczas awarii regionu to showstopper dla planów DR. Nie możesz przekierować ruchu, nie możesz aktywować standby resources. Accelerated Recovery adresuje ten problem – podczas problemów w us-east-1 nadal masz dostęp do kluczowych operacji API: `ChangeResourceRecordSets`, `GetChange`, `ListHostedZones`, `ListResourceRecordSets`. Zero zmian w istniejącym setupie. Używasz tych samych endpointów API, tego samego kodu, tych samych skryptów. Włączasz feature per hosted zone przez Console, CLI, SDK lub IaC (CloudFormation/CDK). Aktywacja trwa kilka minut. W momencie awarii Route 53 automatycznie failuje do redundantnych systemów, które obsługują te cztery kluczowe operacje. Kluczowa różnica: to nie jest replikacja całego control plane. AWS wybrał minimalny, krytyczny subset funkcjonalności, który pozwala wykonać DR playbook – zmienić rekordy, przekierować ruch, zweryfikować zmiany. **Co musisz wiedzieć?** **Bez dodatkowych kosztów** – włączasz per hosted zone. **Działa tylko dla public hosted zones** – private zones nie są objęte (logiczne, skoro to o external DNS resolution). **Nie wymaga zmian w runbookach** – istniejące procedury failover działają identycznie. --- ## Nowy proces w ekosystemie Teams [MC1189656 - Upcoming Change to Teams Desktop Client on Windows | Microsoft 365 Message Center ArchiveMicrosoft Teams Desktop Client for Windows will introduce a new process, ms-teams\_modulehost.exe, to handle calling features separately, improving performance and startup time. Rollout begins January 2026\. Admins should allowlist the new process in security software and inform helpdesk staff; no user workflow changes expected.![](https://static.ghost.org/v5.0.0/images/link-icon.svg)Microsoft 365 Message Center Archive](https://mc.merill.net/message/MC1189656?ref=innasiec.pl) Microsoft wprowadza `ms-teams_modulehost.exe` jako proces potomny głównej aplikacji. Oddziela on całkowicie stos wywołań (calling stack) od `ms-teams.exe`, co ma poprawić wydajność i czas startu klienta. Proces będzie widoczny w Task Manager jako element podrzędny głównej aplikacji Teams. Rollout rozpocznie się na początku stycznia 2026 i potrwa do końca miesiąca (wszystkie chmury: Worldwide, GCC, GCC High, DoD). Użytkownicy nie zobaczą żadnych zmian w interfejsie ani workflow – ale twoja infrastruktura musi być gotowa. Kluczowa kwestia: **polityki QoS**. Jeśli masz skonfigurowane Quality of Service dla `ms-teams.exe`, te same reguły muszą objąć `ms-teams_modulehost.exe`. Bez tego połączenia mogą tracić na jakości, mimo że Microsoft obiecuje poprawę wydajności. Kolejny punkt: **security software i endpoint management**. Dodaj nowy proces do allowlist wszędzie tam, gdzie obecnie masz `ms-teams.exe`. Dotyczy to firewalli, EDR/XDR, application control i monitoring tools. Sprawdź także DLP policies – jeśli weryfikują procesy po nazwie, wymagają aktualizacji. **Praktyczny checklist na teraz:** - Zweryfikuj reguły QoS i rozszerz je na nowy proces - Dodaj `ms-teams_modulehost.exe` do allowlist w security tools - Sprawdź monitoring i alerty związane z procesami Teams - Brief dla helpdesku i dokumentacja wewnętrzna Microsoft nie identyfikuje compliance considerations, ale zweryfikuj samodzielnie w kontekście swoich polityk – szczególnie jeśli macie restrykcyjne podejście do nowych procesów w środowisku. Zmiana wchodzi szybko – masz maksymalnie miesiąc na przygotowania. Brak akcji może skutkować degradacją jakości połączeń lub blokowaniem funkcji calling przez security policies. ## Cheat Sheets dla Network Engineerów [GitHub - yuriskinfo/cheat-sheets: Cheat sheets to help you in daily hands-on tasks of trouble shooting, configuration, and diagnostics with Fortinet, HP/Aruba, Cisco, Checkpoint and others’ gear.Cheat sheets to help you in daily hands-on tasks of trouble shooting, configuration, and diagnostics with Fortinet, HP/Aruba, Cisco, Checkpoint and others' gear. - GitHub - yuriskinfo/cheat-sh…![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-49.svg)GitHubyuriskinfo![](https://innasiec.pl/content/images/thumbnail/cheat-sheets)](https://github.com/yuriskinfo/cheat-sheets?ref=innasiec.pl) Repozytorium zawiera cheat sheety ułatwiające codzienne zadania związane z rozwiązywaniem problemów, konfiguracją i diagnostyką sprzętu sieciowego i systemów Linux. Znajdziesz tu zestawy poleceń i przykładów dla urządzeń Fortinet, HP/Aruba, Cisco, Checkpoint oraz innych. --- ## Sanityzacja pakietów w Wireshark [GitHub - netwho/PacketSanitizer: Quic and Dirty Packet Sanitizer (Change IP Addresses / Scrub Payload)Quic and Dirty Packet Sanitizer (Change IP Addresses / Scrub Payload) - GitHub - netwho/PacketSanitizer: Quic and Dirty Packet Sanitizer (Change IP Addresses / Scrub Payload)![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-50.svg)GitHubnetwho![](https://innasiec.pl/content/images/thumbnail/PacketSanitizer)](https://github.com/netwho/PacketSanitizer?ref=innasiec.pl) PacketSanitizer to wtyczka do Wireshark, która pozwala bezpiecznie udostępniać pliki PCAP/PCAPNG poza organizacją. Umożliwia trzy tryby sanitizacji: usunięcie wszystkich danych w payload, usunięcie tylko danych z protokołów tekstowych (HTTP, FTP, Telnet, SMTP i innych) oraz pełną anonimizację – łącznie z IP i MAC. Wtyczka zachowuje strukturę pakietów i czas ich przesyłania, by umożliwić dalszą analizę bez ujawniania wrażliwych informacji. --- ## Gdzie leży limit klastrów Kubernetes? _This post is for paying subscribers only._ ### 📬 ISN 214: Black Friday, Automatyzacja CML i Naprawa PMTUD na Palo Alto URL: https://innasiec.pl/isn-214-black-friday-automatyzacja-cml-i-naprawa-pmtud-na-palo-alto/ Last updated: 2025-11-24T09:00:59.000Z SPONSORED Skorzystaj z Black Friday! Tylko teraz z kodem **`bf100`** otrzymasz ****100 zł rabatu** na roczny plan ****INNASIEĆ PREMIUM**. Nie przegap okazji, by zyskać więcej za mniej! [ODBIERAM ZNIŻKĘ! ](https://innasiec.pl/bf100) ## Jak duplikaty w bazie danych położyły globalną sieć? [Cloudflare outage on November 18, 2025Cloudflare suffered a service outage on November 18, 2025\. The outage was triggered by a bug in generation logic for a Bot Management feature file causing many Cloudflare services to be affected.![](https://innasiec.pl/content/images/icon/favicon-32x32-14.png)The Cloudflare BlogMatthew Prince![](https://innasiec.pl/content/images/thumbnail/Cloudflare_outage_on_November_18_2025-OG.png)](https://blog.cloudflare.com/18-november-2025-outage/?ref=innasiec.pl) 18 listopada 2025 roku Cloudflare doświadczyło najpoważniejszej awarii od 2019 roku. Przez ponad 3 godziny większość ruchu przestała przepływać przez ich sieć. Źródło problemu? Pozornie niewinna zmiana uprawnień w bazie danych ClickHouse. O 11:05 UTC zespół Cloudflare wdrożył zmianę w zarządzaniu uprawnieniami ClickHouse, mającą poprawić bezpieczeństwo zapytań rozproszonych. Zapytanie SQL pobierające metadane kolumn dla systemu Bot Management nie filtrowało po nazwie bazy danych: ```sql SELECT name, type FROM system.columns WHERE table = 'http_requests_features' ORDER BY name; ``` Po zmianie uprawnień zapytanie zaczęło zwracać duplikaty - kolumny zarówno z bazy `default`, jak i `r0`. Plik konfiguracyjny "features" urósł dwukrotnie, przekraczając hardcoded limit 200 cech w systemie prealokacji pamięci. Efekt: panic w kodzie Rust i błędy 5xx dla całego ruchu. Plik generował się co 5 minut. W zależności od tego, który node ClickHouse obsługiwał zapytanie (z nowymi uprawnieniami czy bez), system albo działał, albo padał. Ta fluktuacja między stanem poprawnym a błędnym przekonała zespół, że być może to atak DDoS typu Aisuru. Dodatkowo, strona statusowa Cloudflare (hostowana poza ich infrastrukturą) akurat w tym samym momencie przestała działać z niezależnych powodów - potęgując podejrzenie o skoordynowany cyberattack. **Kluczowe wnioski dla architektów** **Prealokacja pamięci to miecz obosieczny**. Cloudflare używał limitu 200, przy rzeczywistym użyciu \~60 dla optymalizacji. Brak graceful degradation zamienił mechanizm wydajnościowy w single point of failure. **Zapytania bez pełnych kwalifikatorów są tykającą bombą**. W systemach rozproszonych każde zapytanie powinno jawnie definiować scope - w tym przypadku brak `WHERE database = 'default'` stworzył ukrytą zależność. **Testowanie założeń o danych wejściowych**. Cloudflare traktował wewnętrznie generowane pliki konfiguracyjne jak zaufane. Po incydencie planują walidować je jak user input - zasada, którą warto przyjąć od razu. Cloudflare wdraża globalne kill switches dla modułów, eliminuje możliwość przeciążenia systemu przez core dumps i przepisuje obsługę błędów we wszystkich modułach proxy. Dla nas lekcja jest jasna: w architekturze rozproszonej każda "niewinna" zmiana w warstwie danych może mieć kaskadowe skutki w warstwie aplikacyjnej. Defensive programming nie jest paranoją - to konieczność. --- ## Jak zepsuć PMTUD w GRE na Palo Alto [It was MTU! Zscaler over GRE behind Palo, blocking ICMP Frag Needed | Weberblog.net![](https://innasiec.pl/content/images/icon/cropped-webernetz-logo-4-icon-2000x2000-1-180x180-8.png)Weberblog.netJohannes Weber![](https://innasiec.pl/content/images/thumbnail/It-was-MTU-Zscaler-over-GRE-behind-Palo-blocking-ICMP-Frag-Needed-featured-image-604x270.jpg)](https://weberblog.net/it-was-mtu-zscaler-over-gre-behind-palo-blocking-icmp-frag-needed/?ref=innasiec.pl) "Niektóre strony działają, inne nie" – to scenariusz, który każdy sieciowiec woli uniknąć. Problem pojawił się w środowisku z Zscalerem przez tunel GRE z Palo Alto Networks. Diagnoza? Klasyka: **jeśli to nie DNS, to MTU**. W Zone Protection Profile na Palo Alto była włączona opcja **"Suppress ICMP Frag Needed"**. Ta funkcja robi dokładnie to, co sugeruje nazwa – blokuje komunikaty ICMP "fragmentation needed". Problem w tym, że zabija sesje z ustawionym bitem "Don't Fragment", które przekraczają niższe MTU tunelu GRE. 💡 Opcja działa na interfejsie wejściowym od klienta, więc blokuje **wychodzące* komunikaty ICMP, które odpowiadają na **przychodzące* pakiety. **Dlaczego troubleshooting był trudny?** Żaden log w GUI Palo nie pomaga: - Traffic log pokazuje dozwolone połączenia - Threat log nie widzi zagrożeń - Trzeba sięgnąć po `show counter global`, `show zone-protection` lub packet capture z Wiresharkiem Wireshark pokazał całą historię: pakiet SYN z niskim MSS (1376), serwer odpowiada większym payloadem, Palo powinien zwrócić ICMP unreachable z MTU 1400/1376 – ale tego nie robi przez blokadę. **Quick fix**: Wyłącz "Suppress ICMP Frag Needed" w Zone Protection Profile. **Alternatywa**: Dostosuj TCP MSS na interfejsie Palo. Dla GRE potrzeba adjustment 64 zamiast domyślnych 40 (GRE header: 24 bajty). Uwaga: to rozwiązuje tylko problemy TCP, nie sam problem z MTU. --- ## Oferty na Black Friday [GitHub - rafalrud/Black-Friday-Cyber-MondayContribute to rafalrud/Black-Friday-Cyber-Monday development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-48.svg)GitHubrafalrud![](https://innasiec.pl/content/images/thumbnail/Black-Friday-Cyber-Monday)](https://github.com/rafalrud/Black-Friday-Cyber-Monday/?ref=innasiec.pl) Repozytorium zawiera zbiór promocji związanych z Black Friday i Cyber Monday 2024, skupiający się na ofertach z zakresu sieci komputerowych i automatyzacji. Znajdziesz tu rabaty na szkolenia, książki, narzędzia do zdalnego pulpitu i wirtualizacji oraz subskrypcje platform edukacyjnych. --- ## Automatyzacja obrazów Dockera dla CML [GitHub - CiscoLearning/cml-docker-containers: Automation for building CML Docker ContainersAutomation for building CML Docker Containers. Contribute to CiscoLearning/cml-docker-containers development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-47.svg)GitHubCiscoLearning![](https://innasiec.pl/content/images/thumbnail/cml-docker-containers)](https://github.com/CiscoLearning/cml-docker-containers?ref=innasiec.pl) Projekt automatyzuje budowanie kontenerów Docker dla Cisco Modeling Labs (CML) 2.9+. Repozytorium zawiera szablony i skrypty do tworzenia obrazów kontenerów, definicji węzłów i pakietów Debiana, które można używać lokalnie lub w CI (GitHub Actions). Budowanie odbywa się przez Makefile, który wykrywa katalogi z Dockerfile i generuje wymagane pliki w strukturze zgodnej z CML. --- ## Infrahub + Arista AVD _This post is for paying subscribers only._ ### 📬 ISN 213: JSON dla Dużych Modeli, Implementacja Flex Algo i Standaryzacja AI w Sieci! URL: https://innasiec.pl/isn-213-json-dla-duzych-modeli-implementacja-flex-algo-i-standaryzacja-ai-w-sieci/ Last updated: 2025-11-17T09:00:29.000Z ## Arista i Palo Alto Networks łączą siły [Arista and Palo Alto Networks Strengthen Partnership in the New Age of AI SecurityDemands of AI and cloud networking push data center infrastructure to its limits, operators need networks that are high-performing and extremely reliable.![](https://innasiec.pl/content/images/icon/Arista-A-160x160.png)Arista-Logo\_No\_BackgoundKumar Srikantan and Alessandro Barbieri![](https://innasiec.pl/content/images/thumbnail/Arista-PAN-Webinar-Blog.jpg)](https://blogs.arista.com/blog/arista-and-palo-alto-networks-strengthen-partnership-in-the-new-age-of-ai-security?ref=innasiec.pl) Nowoczesne centra danych to rozproszony chaos - prywatne chmury, publiczne chmury, kolokacja - i ciągłe przesuwanie workloadów między nimi. DevOps wymaga elastyczności, ale każda dodatkowa lokalizacja to powiększona powierzchnia ataku. A teraz dochodzi nowy problem: ataki oparte o AI, które omijają tradycyjne zabezpieczenia w minutach, nie w dniach. Arista i Palo Alto Networks odpowiadają zintegrowaną platformą łączącą AI dla sieci (AVA) z firewallami nowej generacji (NGFW). **Cztery Filary Rozwiązania** **Zero Trust Segmentation**: Unifikacja segmentacji przez Arista MSS i Palo Alto NGFW oznacza, że każdy pakiet east-west i north-south jest widzialny i kontrolowany. Polityki można wymuszać bezpośrednio na switchach Arista lub kierować ruch do klastrów NGFW - w jednym DC lub symetrycznie między wieloma aktywno-aktywnymi lokalizacjami. **Dynamic Quarantine z Offload**: NGFW wykrywa zaawansowane ataki w czasie rzeczywistym i natychmiast sygnalizuje CloudVision MSS o kwarantannie zagrożonych endpointów - bezpośrednio w sieci Arista. Minimalizacja ruchu bocznego w erze AI-powered threats przestaje być teorią. **Unified Policy Orchestration**: Rozproszone DC nie mogą wymagać fragmentarycznego zarządzania politykami. Management plane Palo Alto centralizuje polityki, CloudVision MSS odpowiada z offloadem na switche Arista. Traktowanie całej geo-rozproszonej sieci jako logicznego switcha to game changer dla migracji workloadów. **Operational Flexibility**: Arista Validated Design (AVD) i AI agents generujące konfiguracje z best practices integrują się z CI/CD pipelines - network i security jako kod, bez wąskich gardeł. --- ## Czy potrzebujesz UPoE? [Do You Need UPoE?Post about Power over Ethernet![](https://innasiec.pl/content/images/icon/Favicon-2016px.png)EdgeiumEric Sommers![](https://innasiec.pl/content/images/thumbnail/Power-20Over-20Ethernet.png)](https://edgeium.com/blog/do-you-need-upoe?ref=innasiec.pl) Wiesz, że twój access point może działać inaczej w zależności od ilości otrzymywanej mocy? Niewielki deficyt zasilania może zredukować funkcjonalność radia, obniżyć prędkość interfejsu sieciowego lub całkowicie wyłączyć AP. W czasach, gdy standardem są interfejsy 2.5G+ i Wi-Fi 6E, budżetowanie PoE to nie formalność – to fundament wydajności sieci. IEEE 802.3at (PoE+) z limitem 30W na port to wciąż popularny standard, ale technologia go przerosła. Wszystkie korporacyjne AP wyprodukowane po 2024 roku mają interfejsy co najmniej 2.5G, a większość wymaga więcej niż 30W do pełnej funkcjonalności. UPoE (60W) to dziś minimum dla nowoczesnych wdrożeń – bez kompromisów w zakresie: - Pełnej funkcjonalności wszystkich pasm radiowych - Maksymalnej liczby spatial streams - Multi-gig portów (2.5G/5G) działających z pełną prędkością - Aktywnych portów USB dla IoT Przejście na UPoE+ (90W) to już standard u Aruby, a kolejni producenci idą tym śladem. **Co tracisz przy niewystarczającym zasilaniu?** Producenci wbudowali mechanizmy degradacji – AP nie przestanie działać, ale stracisz wydajność: **Cisco**: Na 9136I przy PoE+ (30W) tracisz radio 6GHz i port 5G spada do 2.5G. Pełna funkcjonalność? Tylko przy UPoE. **Aruba**: AP-635 wymaga 90W (UPoE+) dla pełnej mocy. Przy 60W tracisz pasmo 6GHz. Przy 30W? Tylko 2.4GHz i 5GHz z ograniczeniami. **Juniper/Meraki**: Podobny schemat – mniej mocy = wyłączone radio 6GHz, zredukowane spatial streams, wolniejsze porty LAN. **Rzeczywisty koszt PoE+** Przykład: switch C9300-48U to "UPoE-capable", ale z domyślnym zasilaczem 1100W masz tylko 37.5W na port przy pełnym obciążeniu 48 portów. To ledwo więcej niż PoE+. Dla prawdziwego UPoE na wszystkich portach potrzebujesz odpowiednio zwymiarowanego zasilania. Różnica w cenie między switchem PoE+ a UPoE to często margines, który zwraca się błyskawicznie – unikasz przedwczesnej wymiany sprzętu i problemów z wydajnością. Przy planowaniu infrastruktury na 2026: - **Domyślnie wybieraj UPoE** – elastyczność na lata, minimalna różnica w koszcie - **Weryfikuj budżet mocy** switchów, nie tylko specyfikację portów - **Odchodź od PoE+** – to standard z przeszłości, twoje AP zasługują na więcej --- ## JSON dla dużych modeli [GitHub - toon-format/toon: 🎒 Token-Oriented Object Notation (TOON) – Compact, human-readable, schema-aware JSON for LLM prompts. Spec, benchmarks, TypeScript SDK.🎒 Token-Oriented Object Notation (TOON) – Compact, human-readable, schema-aware JSON for LLM prompts. Spec, benchmarks, TypeScript SDK. - toon-format/toon![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-45.svg)GitHubtoon-format![](https://innasiec.pl/content/images/thumbnail/a1727f6d-0f41-4022-aba0-225fbef55509)](https://github.com/toon-format/toon?ref=innasiec.pl) TOON (Token-Oriented Object Notation) to kompaktowy, czytelny dla człowieka format zapisu danych JSON, zoptymalizowany pod kątem wykorzystania tokenów w promptach dla dużych modeli językowych (LLM). Łączy strukturę z wcięciami jak w YAML z układem tablicowym podobnym do CSV, co pozwala na oszczędność tokenów i ułatwia modelom rozumienie oraz walidację danych. --- ## Implementacja Flex Algo w IS-IS [GitHub - agantonov/srv6-delay-metricContribute to agantonov/srv6-delay-metric development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-46.svg)GitHubagantonov![](https://innasiec.pl/content/images/thumbnail/srv6-delay-metric)](https://github.com/agantonov/srv6-delay-metric?ref=innasiec.pl) Repozytorium zawiera kompletną konfigurację i przykład implementacji Flex-Algo w protokole IS-IS z dynamicznym pomiarem metryki opóźnienia dla ruchu SRv6\. Znajdziesz tu definicje algorytmów Flex-Algo, konfigurację pomiarów opóźnienia za pomocą TWAMP Light, normalizację metryk, ustawienia VRF oraz integrację z BGP dla różnych przestrzeni adresowych SRv6 (LOCATOR\_128 i LOCATOR\_129). Repo demonstruje również weryfikację działania mechanizmu na poziomie trasowania i ruchu sieciowego, w tym testy obciążenia i adaptację tras w odpowiedzi na zmiany opóźnienia na łączach. --- ## Standaryzacja integracji AI z narzędziami sieciowymi _This post is for paying subscribers only._ ### 📬 ISN 212: WiFi 7 pod Lupą, Python dla EVE-NG i Co Łączy Ansible 12 z Vistą? URL: https://innasiec.pl/isn-212-wifi-7-pod-lupa-python-dla-eve-ng-i-co-laczy-ansible-12-z-vista/ Last updated: 2025-11-10T09:00:15.000Z ## Bezpłatne 25 punktów CE [#cisco #datacenter #ciscocert #ciscou | Learn with Cisco | 10 commentsRev Up to Recert: Data Center Foundations 🚀 Enjoy free access to the Understanding Cisco Data Center Foundations | DCFNDU Learning Path (eligible for 25 Continuing Education (CE) credits) in Cisco U. until January 5, 2026! 🕓 33h 16m 📄 19 Courses ⚙️ 16 Labs 🔁 25 CE Credits Perfect for beginners, the DCFNDU Learning Path covers essential technologies like Cisco Application Centric Infrastructure (Cisco ACI), Cisco Nexus Operating System (Cisco NX-OS), Cisco Unified Computing System (Cisco UCS), and cloud computing. Access the DCNDU Learning Path for free: https://cs.co/60477OyiB #Cisco #DataCenter #CiscoCert #CiscoU | 10 comments on LinkedIn![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-24)LinkedInLearn with Cisco![](https://innasiec.pl/content/images/thumbnail/1762448400908)](https://www.linkedin.com/posts/cisco%5Ftraining%5Fand%5Fcertification%5Fcisco-datacenter-ciscocert-activity-7392244441052516352-MiMI?ref=innasiec.pl) Cisco w ramach Rev Up to Recert udostępniło za darmo ścieżkę szkoleniową **Understanding Cisco Data Center Foundations (DCFNDU) w Cisco U**. Oferta jest ważna do 5 stycznia 2026 roku i to dobra okazja do odświeżenia certyfikacji bez dodatkowych kosztów. Pakiet zawiera 33 godziny materiałów podzielonych na 19 kursów i 16 labów praktycznych. Całość daje 25 punktów Continuing Education, które możesz wykorzystać do recertyfikacji. Ścieżka pokrywa fundamenty Cisco ACI, NX-OS, UCS i cloud computing w kontekście data center. Mimo że Cisco określa materiały jako "perfect for beginners", 25 CE creditów to argument dla każdego, kto musi odnowić certyfikację. Jeśli pracujesz głównie z routingiem i switchingiem, a data center to nie twoja codzienna działka - to solidna okazja do zdobycia punktów i poszerzenia kompetencji jednocześnie. Laby są przydatne szczególnie przy ACI, które w teorii wygląda prosto, ale w praktyce ma swoje niuanse. 16 labów to wystarczająco dużo, żeby poczuć różnicę między slajdami a rzeczywistością. Link do kursu: [Understanding Cisco Data Center Foundations (DCFNDU)](https://u.cisco.com/paths/understanding-cisco-data-center-foundations-20705?ref=innasiec.pl) --- ## Od 400 Mbps do 1.7 Gbps: Debugowanie WiFi 7 [From 400 Mbps to 1.7 Gbps: A WiFi 7 Debugging JourneyUpgraded to WiFi 7 expecting 1.7 Gbps speeds. Got 400 Mbps instead. Here’s what was actually wrong and how I fixed it.![](https://innasiec.pl/content/images/icon/apple-touch-icon-16.png)The Tymscar BlogOscar Molnar![](https://innasiec.pl/content/images/thumbnail/favicon.ico)](https://blog.tymscar.com/posts/wifi7speedhunt/?ref=innasiec.pl) Upgrade na WiFi 7 z obietnicą multi-gigabitowych prędkości, a w praktyce ledwo 400 Mbps stojąc metr od routera? Oscar Molnar właśnie przeszedł przez tę frustrację z UniFi Dream Router 7 i iPhone'em 17 Pro Max – obydwa z pełnym wsparciem WiFi 7. **SSID był ustawiony na 160 MHz, ale radio fizycznie pracowało na 80 MHz**. UniFi pokazywał prawdę dopiero w szczegółach klienta podczas transferu: "Ch. 37 (6 GHz, 80 MHz), Tx/Rx: 1.20 Gbps". To wyjaśniało wszystko – PHY rate dla 2×2 MIMO na 80 MHz to dokładnie 1.2 Gbps, co daje \~650-900 Mbps TCP throughput. **Rozwiązanie:** ignorować ustawienia SSID i **wymusić 160 MHz bezpośrednio w konfiguracji radia** (Devices → Router → Radios → 6 GHz). Efekt: natychmiastowy skok do 1.6-1.7 Gbps. **Błędy metodologii testowania** **Testowanie przeciwko samemu routerowi to pułapka**. Proces iperf3 na routerze konkuruje o CPU z WiFi scheduling, a TCP stack nie jest zoptymalizowany pod takie obciążenie UDR 7\. Przeniesienie serwera iperf na maszynę podłączoną przez >=2.5 GbE natychmiast poprawiło wyniki o \~30%. **Flagi iperf3 mają znaczenie**: - `-R` (reverse mode): AP transmituje, telefon tylko ACK-uje. Kluczowe, bo AP ma wyższą moc nadawania - `-P 6`: wielokrotne strumienie omijają ograniczenia single-flow TCP (slow start, congestion window) - `-w 2M`: opcjonalne w LAN, ale nie zaszkodzi **Fizyczne limity 2×2 MIMO** Nawet idealnie skonfigurowany iPhone nigdy nie zobaczy 2.5 Gbps. Maksymalny PHY rate dla 2×2 na 160 MHz WiFi 7: \~2.88 Gbps (4096-QAM, MCS13). Po narzucie MAC/PHY, TCP headers i encryption zostaje 60-75% → **teoretyczny max to 1.7-2.1 Gbps TCP goodput**. Aby przekroczyć 2 Gbps potrzebujesz: 320 MHz channels (iPhone nie wspiera), 3×3/4×4 MIMO (telefony to 2×2) lub WiFi 7 MLO z równoczesnym użyciem wielu pasm. --- ## Z jakiego NAT korzystasz? [Check Your NAT Type - Free NAT Type Detector OnlineDetect your network NAT type and public IP with our free online tool. Essential for gaming, P2P connections, and network troubleshooting.![](https://innasiec.pl/content/images/icon/favicon-60.ico)Check Your NAT Type - Free NAT Type Detector Online![](https://innasiec.pl/content/images/thumbnail/us.svg)](https://natchecker.com/?ref=innasiec.pl) Narzędzie do wykrywania typu NAT pozwala sprawdzić konfigurację sieciową pod kątem NAT, co jest kluczowe dla gier i połączeń sieciowych. Test jest darmowy i pomaga zrozumieć, jak Twój router tłumaczy adresy oraz jak bardzo jesteś dostępny z internetu. --- ## Zarządzanie EVE-NG z Pythonem [evengsdk![](https://innasiec.pl/content/images/icon/favicon-4.png)](https://ttafsir.github.io/evengsdk/?ref=innasiec.pl) Evengsdk to biblioteka Python z narzędziami wiersza poleceń do zarządzania serwerami i topologiami sieciowymi EVE-NG. Umożliwia elastyczną pracę na różne sposoby: przez klasę evengsdk do zarządzania serwerem, komendy CLI bez potrzeby programowania oraz tworzenie topologii z plików YAML. Do działania wymaga EVE-NG (wersja community lub PRO) oraz Pythona 3.8+. --- ## Ansible 12: Moment Windows Vista w świecie automatyzacji _This post is for paying subscribers only._ ### 📬 ISN 211: Nie Rozciągaj L2! Skaner MCP od Cisco, Tanie Lab i Testy Serwerów Tras! URL: https://innasiec.pl/isn-211-nie-rozciagaj-l2-skaner-mcp-od-cisco-tanie-lab-i-testy-serwerow-tras/ Last updated: 2025-11-03T09:00:54.000Z SPONSORED Sponsorem tego wydania jest ****Sycope** — polska platforma do monitoringu i analizy ruchu sieciowego. Wypróbuj darmową wersję i sprawdź, kto obciąża Twoją sieć — bez kosztów i zobowiązań. Z darmową wersję Sycope w kilka minut: - zobaczysz, które aplikacje i urządzenia zużywają najwięcej pasma, - wykryjesz anomalie i potencjalne zagrożenia w czasie rzeczywistym, - skorzystasz z gotowych, personalizowanych dashboardów i raportów, - odzyskasz kontrolę nad infrastrukturą, zanim pojawi się problem. ****Korzystaj z darmowej wersji Sycope** w swoim środowisku aż do 31 sierpnia 2026 r.! [ODBIERZ DARMOWY DOSTĘP ](https://free.sycope.com/pl?utm%5Fsource=newsletter%5Finnasiec&utm%5Fmedium=email&utm%5Fcampaign=free%5Fversion) ## Awaria DynamoDB w AWS [Summary of the Amazon DynamoDB Service Disruption in the Northern Virginia (US-EAST-1) Region![](https://innasiec.pl/content/images/icon/touch-icon-ipad-144-smile.png)Amazon Web Services, Inc.](https://aws.amazon.com/message/101925/?ref=innasiec.pl) 19 października 2025 roku **region us-east-1 AWS przeżył 14-godzinną awarię**, która sparaliżowała dziesiątki usług. Źródło? Race condition w systemie zarządzania DNS DynamoDB, który opróżnił rekord DNS głównego endpointu. To doskonała lekcja z architektury rozproszonych systemów – i pokazuje, jak jeden błąd może wywołać efekt domina w całej infrastrukturze. DynamoDB zarządza setkami tysięcy rekordów DNS przez dwa niezależne komponenty: DNS Planner (planuje) i DNS Enactor (wdraża zmiany). System działał w trzech AZ z optymistyczną blokadą w Route53\. Problem rozpoczął się, gdy jeden Enactor utknął, podczas gdy drugi szybko zastosował nowszy plan. Kluczowy błąd: stary Enactor nadpisał świeży plan swoim przestarzałym, a proces clean-up usunął wszystkie IP z rekordu `dynamodb.us-east-1.amazonaws.com`. Co gorsza – system wpadł w niespójny stan uniemożliwiający automatyczne naprawy. Przez 2,5 godziny żaden klient nie mógł połączyć się z DynamoDB przez publiczny endpoint. Global tables działały w innych regionach, ale z ogromnym lagiem replikacji. EC2 wykorzystuje DynamoDB do zarządzania "dropletami" (fizycznymi serwerami). Gdy lease'y timeout'owały, DWFM wpadł w congestive collapse – próbował odnowić tak wiele lease'ów jednocześnie, że timeout'owały przed zakończeniem. Nowe instancje zwracały "insufficient capacity" przez godziny. Lambda stracił możliwość tworzenia funkcji i przetwarzania eventów z SQS/Kinesis. NLB zaczął usuwać zdrowe nody z powodu błędnych health checków – system sprawdzał instancje, których konfiguracja sieciowa jeszcze nie wdrożona. Redshift blokował query'e IAM userów globalnie, bo używał API IAM w us-east-1 do rozwiązania grup. Nawet po naprawie DynamoDB (2:25 AM) problemy trwały do 14:00\. Dlaczego? Network Manager miał ogromny backlog propagacji stanu sieciowego – nowe instancje startowały, ale bez connectivity. DWFM potrzebował ręcznych restartów. NLB musiał wyłączyć automatic failover, bo alternating health checks degradowały system. **W systemach rozproszonych czas recovery jednego komponentu nie równa się czasowi recovery całego stosu**. Zależności tworzą kolejki, backlog'i i deadlock'i, które wymagają ręcznej interwencji. AWS wyłączył automatykę DNS DynamoDB globalnie i dodaje velocity controls dla NLB (limit ile capacity można usunąć podczas failover). Dla nas kluczowe wnioski: **Multi-region to must-have** – klienci z global tables w innych regionach działali. **Dependency na DNS to single point of failure** – rozważ account-specific endpoints jako fallback. **Health checks mogą kłamać** – dodaj grace period dla nowej infrastruktury. **Congestive collapse wymaga rate limitingu** – EC2 dodaje throttling bazowany na wielkości kolejki. Najbardziej niepokojące? **To nie był atak ani hardware failure – tylko race condition w dobrze zaprojektowanym systemie.** W architekturze rozproszonej "rzadkie" zdarzenia są nieuniknione przy skali AWS. Pytanie brzmi: czy Twoja architektura przetrwa, gdy Twój provider tego nie zrobi? --- ## Laboratorium sieciowe za grosze [Network Labs on a BudgetIn this post, I’ll go over some budget-friendly options and a few tools you can use to build your own network lab without spending too much.![](https://innasiec.pl/content/images/icon/profile-3.png)PacketswitchSuresh Vinasiththamby![](https://innasiec.pl/content/images/thumbnail/labs-budget-1-.png)](https://www.packetswitch.co.uk/network-labs-on-a-budget/?ref=innasiec.pl) : mini PC zamiast serwera Najczęściej zadawane pytanie na packetswitch.co.uk brzmi: "**Jakie specs polecasz do domowego labu sieciowego**?" Odpowiedź, która zaskakuje większość osób: **używany mini PC za \~1000zł.** Suresh dd roku pracuję na **Dell OptiPlex 7060 (i5-8500T, 32GB RAM, 1TB SSD) kupionym za £120**. Mały, cichy, niskie zużycie prądu. Jednocześnie odpala 15+ routerów Cisco IOL z OSPF i BGP bez przegrzania systemu. **Co potrzebujesz?** **Hardware**: Używany mini PC (Lenovo/Dell/HP) z i5 8\. generacji, 16-32GB RAM, SSD. eBay roi się od takich ofert w zakresie 750-1250zł. To wystarczy do nauki OSPF, BGP, MPLS, EVPN czy automatyzacji z Ansible. **Software stack**: - **Proxmox** jako hypervisor (snapshoty ratują życie przy eksperymentach) - **Ubuntu VM** z Containerlab/Netlab - definiujesz topologię w YAML, za chwilę masz działający lab - **EVE-NG lub CML** \- jeśli wolisz GUI i nie chcesz uczyć się Linuksa **Obrazy**: Arista cEOS (darmowy do pobrania, znana składnia podobna do Cisco), Cisco IOL (lekki, ale trudny do zdobycia), Nokia SR Linux (darmowy, ale nowa składnia). Test: 15 routerów Cisco IOL z OSPF i BGP na Ubuntu VM (4 CPU, 16GB RAM). Zużycie zasobów? Ledwo 50%. Spokojnie da radę 30+ nodów na tym samym sprzęcie. Dla porównania - Cisco CML w wersji darmowej pozwala na... 5 nodów. Płatna licencja za $199/rok daje 20 nodów. To nie jest lab, to żart. --- ## Skaner MCP od Cisco [GitHub - cisco-ai-defense/mcp-scanner: Scan MCP Servers for vulnerabilitiesScan MCP Servers for vulnerabilities. Contribute to cisco-ai-defense/mcp-scanner development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-43.svg)GitHubcisco-ai-defense![](https://innasiec.pl/content/images/thumbnail/mcp-scanner)](https://github.com/cisco-ai-defense/mcp-scanner?ref=innasiec.pl) MCP Scanner to narzędzie w Pythonie do skanowania serwerów i narzędzi MCP (Model Context Protocol) pod kątem problemów bezpieczeństwa. Możesz go używać jako samodzielnego CLI albo uruchomić jako serwer REST API. Wykorzystuje trzy silniki skanowania: YARA (reguły sygnaturowe), LLM-as-a-judge (ocena przez model) oraz Cisco AI Defense (API inspekcji). Silniki można stosować razem lub oddzielnie — zależnie od potrzeb. --- SPONSORED ****Wypróbuj bezpłatnie Sycope**: w kilka minut zobaczysz, co zużywa Twoje pasmo, zidentyfikujesz podejrzane zachowania w czasie rzeczywistym i skorzystasz z gotowych dashboardów — oferta bez kosztów i zobowiązań do 31 sierpnia 2026 r. [ODBIERZ DARMOWY DOSTĘP ](https://free.sycope.com/pl?utm%5Fsource=newsletter%5Finnasiec&utm%5Fmedium=email&utm%5Fcampaign=free%5Fversion) ## Testowanie Serwerów Tras [GitHub - pierky/arouteserver: A tool to automatically build (and test) feature-rich configurations for BGP route servers.A tool to automatically build (and test) feature-rich configurations for BGP route servers. - pierky/arouteserver![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-44.svg)GitHubpierky![](https://innasiec.pl/content/images/thumbnail/arouteserver)](https://github.com/pierky/arouteserver?ref=innasiec.pl) ARouteServer to narzędzie w Pythonie do automatycznego tworzenia i testowania zaawansowanych konfiguracji dla BGP route serverów. Możesz go użyć, gdy chcesz wygenerować bezpieczną, spójną i testowaną konfigurację (BIRD, BIRD v2, BIRD v3 w testach oraz OpenBGPD) dla IX i route serverów, zintegrowaną z danymi z zewnętrznych źródeł. --- ## Dlaczego rozciąganie L2 to katastrofa? [Many people know that stretching L2 is bad, but why is it bad? Many people can tell you that stretching L2 is bad, but not why. What is it that makes it so detrimental? First, I find that people… | Daniel Dib | 58 commentsMany people know that stretching L2 is bad, but why is it bad? Many people can tell you that stretching L2 is bad, but not why. What is it that makes it so detrimental? First, I find that people have a better understanding of IP than Ethernet. Additionally, most people don’t do well with designing L2 and don’t know how to use Spanning Tree (STP) efficiently. This creates very brittle designs where STP often gets the blame instead of the misdesign. With Ethernet, we forward based on destination MAC. Now, at L2, what do we do when we don’t know what to do with a frame? We flood it! Broadcast, unknown unicast, and multicast are flooded in the L2 domain. What do we do at L3 when we don’t know of a destination? Unless there is a default route, we drop the packet! There are routing loops, but at least at L3 there is TTL so eventually TTL is decremented to 0 and packet is dropped. At L2, there is no TTL, so a frame can loop around indefinitely. Which means that things like ARP can wreak havoc as it gets bridged in the network. This brings us to two important concepts: Failure domain - the area that a failure can propagate. For L2, this is the entire L2 domain as broadcasts propagate over every link where the VLAN is allowed. Fate sharing - devices or systems that share the same fate when there is a failure. For example all devices suffering from power failure coming from same feed. For L2, all VLANs traversing same links as your misbehaving VLAN share the same fate. So while you can design L2 properly, and have a well-behaved network for many years, there’s always a ticking bomb of what could happen if you get a bridging loop. For example, what if a link became unidirectional? Would you be able to detect that? The key to network design is to get an understanding of how different protocols behave in different scenarios. Don’t focus only on best practices, or building a design because someone said so, learn the fundamentals and build the understanding of why something is good or bad in that scenario. | 58 comments on LinkedIn![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-23)LinkedInDaniel Dib![](https://innasiec.pl/content/images/thumbnail/c45fy346jw096z9pbphyyhdz7-2)](https://www.linkedin.com/posts/danieldib%5Fmany-people-know-that-stretching-l2-is-bad-activity-7388844153721462785-PKet/?ref=innasiec.pl) Wszyscy wiedzą, że rozciąganie domen L2 to zły pomysł, jednak większość nie umie wyjaśnić **dlaczego**. A to kluczowe, bo bez zrozumienia mechanizmów awarii będziesz budować kruche architektury, które wcześniej czy później się rozpadną. ### Brak TTL = wieczna pętla Fundamentalna różnica między L2 i L3: **co się dzieje, gdy nie wiesz, co zrobić z pakietem?** Na warstwie 3: pakiet trafia do /dev/null (chyba że masz default route). Nawet jeśli powstanie pętla routingu, TTL w końcu spadnie do zera i problem się sam rozwiąże. Na warstwie 2: broadcast, unknown unicast i multicast są **floodowane wszędzie**. Bez TTL. Ramka może krążyć w nieskończoność. A wystarczy jeden zepsuty link (unidirectional failure), żeby Twoja sieć legła. ### Failure domain i fate sharing Dwa pojęcia, które każdy inżynier powinien rozumieć: **Failure domain** to obszar, gdzie awaria się rozprzestrzenia. W domenie L2 to każdy link z danym VLAN-em. Jeden broadcast storm = cała domena pada. **Fate sharing** oznacza urządzenia dzielące los przy awarii. Wszystkie VLAN-y na tych samych linkach dzielą wspólny los. Problem z jednym VLAN-em zabije resztę. Efekt? Awaria eskaluje lawinowo. Nie izolujesz problemu - musisz gasić pożar w całej domenie. ### STP nie jest problemem Spanning Tree dostaje niesłusznie bat. Protokół działa dokładnie tak, jak zaprojektowano. Problem tkwi w **projektantach**, którzy go nie rozumieją. Większość inżynierów zna IP lepiej niż Ethernet. To prowadzi do projektów, gdzie: - Root bridge jest przypadkowy - BPDU Guard nie istnieje - Loop prevention? "STP to załatwi" A potem winią protokół, gdy 10-sekundowa konwergencja powoduje outage. ### Co z tym zrobić? Jeśli **musisz** rozciągać L2 (migracje, legacy apps etc.): 1. **Izoluj na brzegu** \- trzymaj tunele blisko warstwy dostępowej, nie ciągnij do core 2. **Dedykowane urządzenia** \- osobny sprzęt dla L2 stretch, żeby awaria nie zalała produkcji 3. **Monitoruj unidirectional failures** \- wdrożenie UDLD 4. **Miej plan wyjścia** \- L2 stretch to stan przejściowy, nie docelowy Najważniejsze: **rozumiej fundamenty**. Nie kopiuj best practices ślepo. Wiedz, DLACZEGO coś jest dobre lub złe w Twoim konkretnym scenariuszu. Bo gdy o 3 w nocy coś padnie, checklista Ci nie pomoże - pomoże zrozumienie, co się faktycznie dzieje pod maską. ### 📬 ISN 210: Migracja z Ansible do ChatGPT, Diagramy Terraform i szkolenia z CML URL: https://innasiec.pl/isn-210-migracja-z-ansible-do-chatgpt-diagramy-terraform-i-szkolenia-z-cml/ Last updated: 2025-10-27T09:00:28.000Z ## Darmowe szkolenia z CML [Cisco U. | Petru Gulian🎉 HUGE news for the CML community! 🎉 The gates are officially OPEN! All of our CML learning paths just dropped on Cisco U Free access. That’s right-NO MORE PAYWALL. Whether you’re helping someone take their first steps in CML, leveling up on administration, or going full automation wizard mode, these resources are now available to EVERYONE: 🔹 Introduction to Network Simulations with CML https://lnkd.in/ehqCQDKp 🔹 Administering Cisco Modeling Labs https://lnkd.in/eY87UwEG 🔹 Advanced Automation with CML https://lnkd.in/eTmzAGse These used to be locked behind Essentials/All Access subscriptions. Now? Wide open. 🙂![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-22)LinkedInPetru Gulian![](https://innasiec.pl/content/images/thumbnail/c45fy346jw096z9pbphyyhdz7-1)](https://www.linkedin.com/posts/petru-gulian%5Fcisco-u-activity-7384833711663497216-O7Pe/?ref=innasiec.pl) Cisco właśnie zdjęło paywall z kompletnych ścieżek szkoleniowych CML na platformie Cisco U. Materiały, które do tej pory wymagały płatnej subskrypcji (Essentials/All Access), są teraz dostępne dla każdego. Konkretnie mówimy o: - [**Introduction to Network Simulations**](https://u.cisco.com/paths/introduction-network-simulations-with-cisco-modeling-labs-243?ref=innasiec.pl) - [**Administering CML**](https://u.cisco.com/paths/administering-cisco-modeling-labs-240?ref=innasiec.pl) - [**Advanced Automation with CML**](https://u.cisco.com/paths/advanced-automation-with-cisco-modeling-labs-241?ref=innasiec.pl) Każda ścieżka to gotowy program szkoleniowy z labami i praktycznymi scenariuszami. Jeśli CML jest w twoim stack'u lub planujesz jego wdrożenie - poświęć godzinę na przejrzenie tych ścieżek. Nawet jeśli znasz platformę, sekcja automation może pokazać podejścia, których nie brałeś pod uwagę. Materiały znajdziesz bezpośrednio na Cisco U - wystarczy darmowe konto. --- ## Logging vs Observability [Logging & Monitoring vs Observability – in Network Automation & Application DevelopmentIntroduction As network automation engineers we tend to focus on writing Python scripts or even applications that connect to devices, run commands, and parse outputs, essentially we focus on automa…![](https://innasiec.pl/content/images/icon/cropped-lab2back2-1.jpg)Network AutomatorTaha Yusuf![](https://innasiec.pl/content/images/thumbnail/image-14.png)](https://networkautomator.com/2025/10/17/logging-monitoring-vs-observability-in-network-automation-application-development/?ref=innasiec.pl) Piszesz skrypty Pythona do automatyzacji sieci? Świetnie działają na kilku urządzeniach, ale czy wiesz, co się dzieje, gdy coś pójdzie nie tak? Różnica między loggingiem a observability może zadecydować, czy problem rozwiążesz w 5 minut, czy będziesz debugować pół dnia. Typowy skrypt Netmiko łączy się z urządzeniem, wykonuje komendy i... to wszystko. Dodanie `logging` z poziomami DEBUG/INFO/ERROR daje podstawową widoczność - wiesz *co* się wydarzyło i *kiedy*. Ale to jedynie szczegóły pojedynczego zdarzenia. Problem zaczyna się, gdy automatyzujesz 50 urządzeń. Logging odpowie "połączenie z 192.168.1.11 nie powiodło się", ale nie powie: - Ile urządzeń faktycznie zawiodło? - Jaki jest średni czas odpowiedzi? - Które urządzenie działa najwolniej? To pytania, na które samo logowanie zdarzeń nie odpowie. Observability to krok dalej - zamiast tylko zapisywać zdarzenia, **zbierasz strukturalne metryki** całej aplikacji. W praktyce: zapisujesz nie tylko logi tekstowe, ale JSON z danymi: ```json { "total_devices": 3, "successful": 2, "failed": 1, "avg_response_time": 1.88, "device_metrics": {...} } ``` Taki output można wysłać do Grafany przez JSON API (prosty `python -m http.server` wystarczy). Nagle widzisz trendy, porównujesz wydajność między urządzeniami, identyfikujesz wąskie gardła. To różnica między "coś nie działa" a "wiem dokładnie co i dlaczego". Dla jednego skryptu na 3 urządzenia - logging wystarczy. Ale jeśli budujesz: - Multi-device workflows z kolejnymi zależnościami - Aplikacje z frontendem/backendem/bazą danych - Cokolwiek, co działa w produkcji dłużej niż tydzień ...to observability przestaje być luksusem, a staje się koniecznością. Bo w produkcji nie pytasz "czy działa", tylko "jak szybko działa i gdzie się zacina". Weź swój największy skrypt automatyzacji. Dodaj do niego: 1. Pomiar czasu wykonania (`time.time()`) 2. Liczniki sukces/porażka 3. Zapis do JSON zamiast tylko print/log Następnym razem, gdy coś zwolni o 30%, będziesz wiedział o tym, zanim użytkownicy zaczną zgłaszać problemy. --- ## Open Source GFW [GitHub - apernet/OpenGFW: OpenGFW is a flexible, easy-to-use, open source implementation of GFW (Great Firewall of China) on LinuxOpenGFW is a flexible, easy-to-use, open source implementation of GFW (Great Firewall of China) on Linux - apernet/OpenGFW![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-41.svg)GitHubapernet![](https://innasiec.pl/content/images/thumbnail/OpenGFW)](https://github.com/apernet/OpenGFW?ref=innasiec.pl) OpenGFW to otwarte oprogramowanie dla Linuksa umożliwiające zbudowanie własnej wersji „Great Firewall of China”. Projekt oferuje inspekcję i filtrowanie ruchu na wielu warstwach (HTTP, TLS, QUIC, DNS, SSH, SOCKS4/5, WireGuard, OpenVPN i inne), detekcję „w pełni zaszyfrowanego ruchu” (np. Shadowsocks, VMess), wykrywanie Trojan/proxy oraz wsparcie dla analiz protokołów i wielowątkowego przetwarzania przepływów. --- ## Diagramy Terroform [GitHub - RoseSecurity/Terramaid: A utility for generating Mermaid diagrams from Terraform configurationsA utility for generating Mermaid diagrams from Terraform configurations - RoseSecurity/Terramaid![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-42.svg)GitHubRoseSecurity![](https://innasiec.pl/content/images/thumbnail/d93bf2be-8775-4087-8d86-f09731500b95)](https://github.com/RoseSecurity/Terramaid?ref=innasiec.pl) Terramaid tworzy diagramy Mermaid na podstawie konfiguracji i planów Terraform. Dostępne są przykładowe integracje CI/CD (GitHub Actions, GitLab) Tip: można testować Terramaid w przeglądarce przez GitHub Codespaces. ## Od Ansible do ChatGPT _This post is for paying subscribers only._ ### 📬 ISN 209: Incydent F5, 500% Wzrost Skanowania Palo Alto: Czy MCP to Koszmar Bezpieczeństwa? URL: https://innasiec.pl/isn-209-incydent-f5-500-wzrost-skanowania-palo-alto-czy-mcp-to-koszmar-bezpieczenstwa/ Last updated: 2025-10-20T08:00:06.000Z ## Incydent Bezpieczeństwa F5 [myF5![](https://innasiec.pl/content/images/icon/apple-touch-icon-14.png)](https://my.f5.com/manage/s/article/K000154696?ref=innasiec.pl) W sierpniu 2025 roku firma F5 wykryła nieautoryzowany dostęp do swoich systemach. Nie była to typowa próba włamania czy szybka eksfiltracja danych. **Cyberprzestępcy utrzymywali długoterminowy, trwały dostęp do kluczowych systemów F5**, w tym środowiska deweloperskiego BIG-IP oraz platform zarządzania wiedzą inżynieryjną. Skala tego incydentu jest poważna. **Atakujący pobrali pliki zawierające fragmenty kodu źródłowego BIG-IP oraz informacje o nieujawnionych wcześniej lukach bezpieczeństwa, nad którymi pracowali zespoły F5.** Szczegółowa analiza dostępnych logów i artefaktów forensycznych pozwoliła F5 na określenie zakresu naruszenia. Uzyskano dostęp do środowiska deweloperskiego BIG-IP i platform zarządzania wiedzą inżynieryjną. Z tych systemów pobrano pliki zawierające kod źródłowy oraz dokumentację dotyczącą niezałatanych podatności. Co szczególnie niepokojące, niektóre z pobranych plików zawierały informacje konfiguracyjne i implementacyjne dotyczące niewielkiego odsetka klientów F5\. Firma obecnie analizuje te pliki i będzie kontaktować się bezpośrednio z dotkniętymi podmiotami. Jednak nie wszystko jest stracone. **F5 nie znalazło dowodów na modyfikację łańcucha dostaw oprogramowania. Ani kod źródłowy, ani pipeline'y budowania i wydawania produktów nie zostały zmienione.** To kluczowa informacja potwierdzona przez niezależne audyty prowadzone przez NCC Group i IOActive. Równie ważne jest zrozumienie, czego atakujący nie uzyskali. **Brak dowodów na dostęp do systemów CRM, finansowych, zarządzania zgłoszeniami wsparcia czy iHealth.** NGINX pozostaje nienaruszony - ani kod źródłowy, ani środowisko deweloperskie nie zostały skompromitowane. Podobnie systemy F5 Distributed Cloud Services i Silverline pozostają bezpieczne. F5 nie posiada wiedzy o nieujawnionych krytycznych podatnościach ani lukach umożliwiających zdalne wykonanie kodu. Co więcej, firma nie zaobserwowała aktywnej eksploatacji jakichkolwiek nieujawnionych podatności. **F5 wypuściło aktualizacje dla BIG-IP, F5OS, BIG-IP Next dla Kubernetes, BIG-IQ oraz klientów APM**. Szczegóły znajdują się w Quarterly Security Notification z października 2025 roku. Pomimo braku potwierdzonych krytycznych luk, aktualizacja powinna być traktowana priorytetowo. Oprócz aktualizacji oprogramowania, wdrożenie [dodatkowych warstw bezpieczeństwa](https://my.f5.com/manage/s/article/K53108777?ref=innasiec.pl) jest niezbędne. F5 udostępnia przewodnik threat hunting, który wzmocni możliwości detekcji i monitorowania w waszym środowisku. Ten dokument jest dostępny przez portal wsparcia F5 i zawiera konkretne wskaźniki kompromitacji oraz wzorce zachowań do monitorowania. Narzędzie diagnostyczne F5 iHealth zostało zaktualizowane o automatyczne kontrole hardeningu. Uruchomienie tej funkcji ujawni luki w konfiguracji, ustali priorytety działań i dostarczy linki do zaleceń naprawczych. To pierwszy krok do systematycznego wzmocnienia bezpieczeństwa waszej infrastruktury. Włączenie strumieniowania zdarzeń BIG-IP do waszego SIEM nie jest już opcją - to konieczność. F5 dostarcza instrukcje krok po kroku dla konfiguracji syslog oraz monitorowania prób logowania. Dokumenty [KB13080](https://my.f5.com/manage/s/article/K13080?ref=innasiec.pl) i [KB13426](https://my.f5.com/manage/s/article/K13426?ref=innasiec.pl) zawierają szczegółowe procedury implementacji. --- ## 500% wzrostu skanowania Palo Alto [Scanning Activity on Palo Alto Networks Portals Jump 500% in One DayGreyNoise detects 500% spike in Palo Alto login scans, linking it to recent Cisco ASA exploit trends.![](https://innasiec.pl/content/images/icon/thn.jpg)The Hacker NewsThe Hacker News![](https://innasiec.pl/content/images/thumbnail/scans.jpg)](https://thehackernews.com/2025/10/scanning-activity-on-palo-alto-networks.html?m=1&ref=innasiec.pl) Trzeciego października **GreyNoise zaobserwował 500% wzrost aktywności skanowania portali logowania Palo Alto Networks** – najwyższy poziom w ciągu ostatnich trzech miesięcy. W szczycie aktywności uczestniczyło 1300 unikalnych adresów IP (wzrost z typowych 200), z czego 93% sklasyfikowano jako suspicious, a 7% jako malicious. Większość ruchu pochodzi z USA, ale istotne clustery wykryto w Holandii, UK i Kanadzie. Co niepokojące – skanowanie ma charakterystykę "targeted and structured", nie jest to przypadkowy noise. Update z 7 października pokazuje eskalację: już ponad 2200 unikalnych IP, gwałtowny wzrost liczby zaangażowanych ASN-ów i wzorzec iteracji przez duże zestawy credentials. To sugeruje koordynowaną kampanię, możliwe że wieloma threat actors. W kwietniu GreyNoise zaraportował podobne skanowanie portali PAN-OS GlobalProtect. **W sierpniu kolejny spike – tym razem Cisco ASA. Kilka tygodni później Cisco ujawniło dwa zero-day (CVE-2025-20333, CVE-2025-20362)**, już aktywnie eksploatowane do wdrażania malware. Ponad 45 000 instancji Cisco wciąż jest podatnych. GreyNoise w raporcie z lipca ostrzegał: Następstwem takich wzrostów skanowań jest zwykle ujawnienie CVE w ciągu sześciu tygodni. Obecna sytuacja z Palo Alto Networks pasuje dokładnie do tego wzorca. Dodatkowo – kampanie przeciwko Cisco, Palo Alto i Fortinet SSL VPN pokazują wspólny TCP fingerprints i wykorzystują te same subnety (AS200373, AS11878), co sugeruje, że za ataki stoją Ci sami cyberprzestępcy. Palo Alto Networks zapewnia, że nie znaleziono evidence of compromise i że ich Cortex XSIAM blokuje 1.5M ataków dziennie. To dobra wiadomość, ale nie powód do bezczynności. Wzorzec historyczny jest jasny: intensywne skanowanie → ujawnienie CVE → exploitacja w czasie rzeczywistym. **Konkretne działania:** 1. **Monitoring logów już dziś** – szukaj nietypowych prób logowania z nowych IP, szczególnie z Holandii/USA 2. **Review konfiguracji MFA** – upewnij się, że wszystkie portale GlobalProtect mają wymuszone MFA 3. **Inwentaryzacja zewnętrznych interfejsów** – zweryfikuj, które portale logowania są udostępnienie publicznie i czy jest to konieczne 4. **Przygotuj procedurę awaryjnego patching-u** – gdy CVE się pojawi (jeśli), reakcja musi być w godzinach, nie dniach --- ## Lokalna platforma do nauki automatyzacji [GitHub - Nielszy/dev-cliip: Development Cloud Infrastructure Intelligence PlatformDevelopment Cloud Infrastructure Intelligence Platform - Nielszy/dev-cliip![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-39.svg)GitHubNielszy![](https://innasiec.pl/content/images/thumbnail/dev-cliip)](https://github.com/nielszy/dev-cliip?ref=innasiec.pl) dev-cliip to lokalna platforma deweloperska (Development Cloud Infrastructure Intelligence Platform) replikująca narzędzia z produkcyjnych środowisk sieciowych: NetBox, Prometheus (z eksporterkami), Grafana, gNMIc, Sealed Secrets, Containerlab i K8s (minikube na VM). Służy do nauki NetDevOps, testowania automatyzacji sieci, tworzenia laboratorium sieciowego w kontenerach oraz eksperymentów z monitoringiem i obserwowalnością — wszystko lokalnie i za darmo. --- ## Biblioteka do obsługi Cisco [GitHub - wingmendk/wingpyContribute to wingmendk/wingpy development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-40.svg)GitHubwingmendk![](https://innasiec.pl/content/images/thumbnail/wingpy)](https://github.com/wingmendk/wingpy?ref=innasiec.pl) Wingpy to elegancka i prosta biblioteka Python do obsługi API Cisco. Ułatwia pracę z różnymi platformami Cisco, ukrywając złożoności związane z uwierzytelnianiem, utrzymaniem sesji, ograniczeniami zapytań, budowaniem ścieżek, paginacją i współbieżnością — dzięki temu od razu możesz zacząć wywoływać końcówki API. W dokumentacji znajdziesz liczne przykłady i przewodnik użytkownika. --- ## Czy MCP to koszmar bezpieczeństwa? _This post is for paying subscribers only._ ### 📬 ISN 208: Vibe Engineering, PACP i Przestoje PoE URL: https://innasiec.pl/isn-208-vibe-engineering-pacp-i-przestoje-poe/ Last updated: 2025-10-13T08:00:41.000Z ## Kiedy bufory sieciowe zawodzą [What are some common scenarios where we may see output drops due to lack of buffers? Let's find out! First, there are some concepts that we have to understand. 𝐒𝐞𝐫𝐢𝐚𝐥𝐢𝐳𝐚𝐭𝐢𝐨𝐧 𝐫𝐚𝐭𝐞 -… | Daniel Dib | 25 commentsWhat are some common scenarios where we may see output drops due to lack of buffers? Let’s find out! First, there are some concepts that we have to understand. 𝐒𝐞𝐫𝐢𝐚𝐥𝐢𝐳𝐚𝐭𝐢𝐨𝐧 𝐫𝐚𝐭𝐞 - at what rate are frames received and transmitted? Like I mentioned in my previous post, you serialize at the speed of the interface, such as 1 Gbit/s, 10 Gbit/s, etc. Now, assume you have a 512-byte frame, how long does it take to serialize it? With 1 Gbit/s link, it would take 4 096 nanoseconds (4 096 / 1 000 000 000) \* 10^9\. With 10 Gbit/s it would take 409.6 nanoseconds for the same frame. 𝐈𝐧𝐭𝐞𝐫𝐟𝐫𝐚𝐦𝐞 𝐠𝐚𝐩 - this is idle time between two consecutive frames. There needs to be some idle time between two consecutive frames to prepare for the reception of the next frame. The IFG is 12 bytes, or 96 bits, so on 1 Gbit/s we would wait 96 nanoseconds and on 10 Gbit/s, 9.6 nanoseconds. In our first diagram, both ports are 1 Gbit/s and we only have two ports involved. This means we’re unlikely to have issues because our serialization rate and interframe gap are both the same. One port can’t receive frames faster than the other can transmit. In the second diagram, there is a 10 Gbit/s interface receiving frames. Not only can this interface receive 10x faster than the other interface can transmit, there is also a shorter gap between each frame. Even with a low bandwidth flow, this can cause issues. The third diagram shows multiple 1 Gbit/s ports receiving frames that are egressing the same interface. This could lead to a scenario, even with low bandwidth, where you are receiving frames close in time that then need to egress the same interface. Because the egress interface needs an interframe gap between each consecutive frame, it may need to buffer frames before being able to transmit them. This means that every time you go from higher to lower speed, or from multiple interfaces in to one interface out, you risk having output drops. Here’s a thought experiment for you. Say you have a 10 Gbit/s uplink and it has 5 Gbit/s utilization on average. You decide to upgrade to a 40 Gbit/s uplink. How does this affect your buffers? What scenarios have you seen where you ran out of buffers? | 25 comments on LinkedIn![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-21)LinkedInDaniel Dib![](https://innasiec.pl/content/images/thumbnail/1756975131561)](https://www.linkedin.com/posts/danieldib%5Fwhat-are-some-common-scenarios-where-we-may-activity-7369287830344302594-2JIX/?ref=innasiec.pl) Aby zrozumieć przyczyny output drops, musimy najpierw przeanalizować dwa kluczowe pojęcia, które determinują zachowanie interfejsów sieciowych. **Szybkość szeregowania (Serialization Rate)** Szybkość szeregowania określa, jak szybko ramki są odbierane i transmitowane przez interfejs. Proces ten zachodzi z prędkością interfejsu - 1 Gbit/s, 10 Gbit/s, czy 100 Gbit/s. Rozważmy praktyczny przykład: ramka o wielkości 512 bajtów na łączu 1 Gbit/s wymaga 4096 nanosekund do pełnego szeregowania. Na łączu 10 Gbit/s ten sam proces trwa jedynie 409,6 nanosekund - różnica dziesięciokrotna. **Przerwa międzyramkowa (Interframe Gap)** IFG to obowiązkowy okres bezczynności między kolejnymi ramkami, wynoszący standardowo 12 bajtów (96 bitów). Na łączu 1 Gbit/s oznacza to 96 nanosekund przerwy, podczas gdy na 10 Gbit/s jedynie 9,6 nanosekund. **Scenariusze prowadzące do output drops** **Przejście z wyższej na niższą prędkość** Problemy pojawiają się, gdy interfejs 10 Gbit/s przekazuje ruch na interfejs 1 Gbit/s. Interfejs odbiorczy może przyjmować dane dziesięć razy szybciej niż interfejs nadawczy jest w stanie je wysyłać. Dodatkowo krótsze przerwy międzyramkowe potęgują problem. **Agregacja wielu interfejsów** Gdy kilka interfejsów 1 Gbit/s przekazuje ruch na jeden interfejs wyjściowy, może dojść do sytuacji, gdzie ramki docierają niemal jednocześnie. Interfejs wyjściowy musi zachować wymagane IFG między kolejnymi ramkami, co wymusza buforowanie. Rozważmy eksperyment myślowy: łącze 10 Gbit/s z przeciętnym wykorzystaniem 5 Gbit/s zostaje zastąpione łączem 40 Gbit/s. Jaki wpływ ma to na bufory? Paradoksalnie, szybszy interfejs może zwiększyć presję na bufory. Krótsze IFG i szybsze szeregowanie oznaczają, że ramki docierają do interfejsów wyjściowych w bardziej zagęszczonych pakietach, wymagając większej pojemności buforowania. **Praktyczne implikacje dla architektury sieci** Każde przejście z wyższej na niższą prędkość stanowi potencjalny punkt przeciążenia. Szczególną uwagę należy zwrócić na: - Połączenia między rdzeniem a dystrybucją - Łącza WAN o ograniczonej przepustowości - Interfejsy agregujące ruch z wielu źródeł Nowoczesne przełączniki wykorzystują różne strategie buforowania: - **Bufory dedykowane per-port**: Scenariusze opisane powyżej mają bezpośrednie zastosowanie - **Bufory współdzielone**: Mikropakiety mogą być lepiej absorbowane, choć długotrwałe nierównowagi nadal prowadzą do drop - **Virtual Output Queuing (VoQ)**: Umożliwia ochronę krytycznego ruchu przy jednoczesnym odrzucaniu ruchu typu best-effort **Strategie mitygacji** **Implementacja QoS** Prawidłowa konfiguracja QoS pozwala na: - Priorytetyzację krytycznego ruchu - Kontrolowane odrzucanie mniej ważnych pakietów - Optymalne wykorzystanie dostępnych buforów **Monitoring i analiza** Regularne monitorowanie wskaźników: - Output drops per interface - Buffer utilization - Queue depth statistics - Mikropakiety (microbursts) **Planowanie pojemności** Uwzględnienie nie tylko średniego wykorzystania łącza, ale także: - Wzorców ruchu w czasie rzeczywistym - Charakterystyki aplikacji generujących ruch - Tolerancji na opóźnienia różnych typów ruchu --- ## Vibe Engineering [Vibe engineeringI feel like vibe coding is pretty well established now as covering the fast, loose and irresponsible way of building software with AI—entirely prompt-driven, and with no attention paid to …![](https://innasiec.pl/content/images/icon/favicon-59.ico)Simon Willison’s WeblogSimon Willison](https://simonwillison.net/2025/Oct/7/vibe-engineering/?ref=innasiec.pl) Jeśli myślisz, że AI w sieciach to tylko szybkie generowanie konfiguracji bez zastanowienia, to czas poznać lepsze podejście. Termin "vibe coding" już się ugruntował w branży IT jako określenie szybkiego, luźnego i nieodpowiedzialnego sposobu tworzenia kodu z pomocą AI - całkowicie opartego na promptach, bez zwracania uwagi na to, jak faktycznie działa rezultat. To zostawia nam lukę terminologiczną: jak powinniśmy nazwać drugi koniec spektrum, gdzie przyspieszamy swoją pracę z LLM-ami, pozostając jednocześnie dumnie i pewnie odpowiedzialni za rozwiązania, które tworzą? Simon proponuję nazwać to "vibe engineering". Jedna z mniej wypowiadanych prawd o produktywnej pracy z LLM-ami jest: to jest trudne. Jest wiele głębi w zrozumieniu, jak używać tych narzędzi efektywnie, jest mnóstwo pułapek do uniknięcia, a tempo, w jakim mogą one generować działające rozwiązania, podnosi poprzeczkę dla tego, co człowiek powinien wnosić do procesu. Rozwój agentów kodujących - narzędzi takich jak Claude Code, OpenAI Codex CLI czy Gemini CLI, które mogą iterować nad kodem, aktywnie testując i modyfikując go, aż osiągną określony cel - dramatycznie zwiększył użyteczność LLM-ów dla rzeczywistych problemów inżynierskich. **LLM-y aktywnie nagradzają istniejące najlepsze praktyki.** Jeśli już działasz na wysokim poziomie, AI tylko wzmacnia twoją efektywność: **Automatyczne testowanie** Jeśli twój projekt ma solidny, kompleksowy i stabilny zestaw testów, narzędzia agentycznego kodowania mogą z nim latać. W kontekście sieciowym: jeśli masz pytest do testowania swoich skryptów automatyzacji, nornir do weryfikacji konfiguracji, czy automated testing dla swojej infrastruktury-jako-kod - agent AI może działać pewnie. Bez testów? Może twierdzić, że coś działa, nie testując tego w ogóle. **Planowanie z wyprzedzeniem** Zabranie się za hakowanie czegoś razem idzie znacznie lepiej, jeśli zaczniesz od planu wysokiego poziomu. To zawsze było prawdą dla złożonych wdrożeń sieciowych - design network topology, capacity planning, security policies. Z agentem staje się to jeszcze ważniejsze. Możesz iterować nad planem najpierw, potem przekazać go agentowi do implementacji. **Kompleksowa dokumentacja** Tak jak ludzcy inżynierowie, LLM może utrzymać w swoim kontekście tylko podzbiór bazy kodu (lub infrastruktury) na raz. Możliwość dostarczenia mu odpowiedniej dokumentacji pozwala używać API z innych obszarów bez czytania kodu najpierw. W świecie sieci: dokumentuj swoje standardy, naming conventions, IP addressing schemes, routing policies. Dobra dokumentacja pozwala modelowi budować dopasowaną implementację. **Dobre nawyki kontroli wersji** Możliwość cofnięcia błędów i zrozumienia, kiedy i jak coś zostało zmienione, jest jeszcze ważniejsza, gdy agent kodujący mógł wprowadzić zmiany. To dotyczy nie tylko kodu, ale też konfiguracji sieciowych - Git dla network configs, Terraform state, Ansible playbooks. LLM-y są zadziwiająco kompetentne w Git - mogą same nawigować po historii, żeby wyśledzić pochodzenie bugów. **Efektywna automatyzacja** CI/CD, automated formatting i linting, continuous deployment do środowiska preview - wszystko to, z czego mogą korzystać również narzędzia agentycznego kodowania. W network engineering: automated configuration validation, pre-deployment checks, automated rollback mechanisms. **Kultura code review** To wyjaśnia się samo. Jeśli jesteś szybki i produktywny w code review, będziesz miał znacznie lepszy czas pracy z LLM-ami. To samo dotyczy review zmian konfiguracyjnych czy network change requests. **Bardzo dziwna forma zarządzania** Uzyskanie dobrych rezultatów od agenta kodującego przypomina niepokojąco uzyskanie dobrych rezultatów od ludzkiego współpracownika. Musisz dostarczyć jasne instrukcje, upewnić się, że mają niezbędny kontekst i dostarczyć actionable feedback. Jest łatwiej niż z prawdziwymi ludźmi, bo nie musisz się martwić o ich obrazę - ale wszelkie dotychczasowe doświadczenie w zarządzaniu okaże się zaskakująco użyteczne. **Naprawdę dobry manual QA** Poza automatycznymi testami potrzebujesz być naprawdę dobry w ręcznym testowaniu rozwiązań, włączając przewidywanie i kopanie w edge-cases. W sieciach: umiejętność manual testing connectivity, throughput, failover scenarios. **Silne umiejętności badawcze** Istnieją dziesiątki sposobów rozwiązania dowolnego problemu. Wymyślenie najlepszych opcji i udowodnienie, że podejście działa, zawsze było ważne i pozostaje blokerem przed uwolnieniem agenta do napisania faktycznego kodu czy wygenerowania konfiguracji. **Możliwość wdrożenia do środowiska preview** Jeśli agent zbuduje feature (lub wygeneruje konfigurację), posiadanie sposobu na bezpieczne podejrzenie tego (bez wdrażania prosto do produkcji) sprawia, że review są znacznie bardziej produktywne i znacznie redukuje ryzyko wdrożenia czegoś zepsutego. W network engineering: staging environments, lab testing, configuration validation tools. --- ## Analiza szablonów Jinja2 [GitHub - aristanetworks/j2lint: Jinja2 Linter CLIJinja2 Linter CLI. Contribute to aristanetworks/j2lint development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-38.svg)GitHubaristanetworks![](https://innasiec.pl/content/images/thumbnail/j2lint)](https://github.com/aristanetworks/j2lint?ref=innasiec.pl) Jinja2-Linter to narzędzie do statycznej analizy szablonów Jinja2 stworzone z myślą o zgodności z wytycznymi AVD. Pozwala wykrywać błędy składni i problemy ze stylem, uruchamia się w CI, działa jako rozszerzenie dla edytorów (np. VSCode, potencjalnie PyCharm) i można go rozszerzać o własne reguły. --- ## PACP protokołów sieciowych [Wireshark Files for all Networking Protocols

This zip files contains wireshark captures for most of the networking protcols. This will help you in understanding packets and packet flows. Following procols are covered,

1\. ICMP

2\. IGMP

3\. BGP

4\. OSPF

5\. Spanning Tree

6\. 802.1q Trunking

7\. VXLAN

8\. Identity Service Engine

9\. PIM

10\. QoS

11\. SSL

12\. TCP

13\. Traceroute

14\. HSRP

15\. GRE

16\. ARP

17\. 802.1x

18\. IPv6

19\. IPv6 Neighbor Discovery

20\. IPv6 OSPF

21\. BGP IPv6 Address Family

 

 

![](https://static.ghost.org/v5.0.0/images/link-icon.svg)![](https://innasiec.pl/content/images/thumbnail/-7BcoverPath-7D)](https://www.bridgewhy.com/products/Wireshark-Files-for-all-Networking-Protocols-678f55a45c31bb5220f7168c?ref=innasiec.pl) Strona oferuje darmowy plik ZIP z zapisami przechwyceń ruchu sieciowego (Wireshark) obejmującymi większość popularnych protokołów sieciowych. Materiały mają pomóc w zrozumieniu pakietów i przepływów ruchu. W zestawie znajdują się m.in.: ICMP, IGMP, BGP, OSPF, Spanning Tree, 802.1q (trunking), VXLAN, Identity Service Engine, PIM, QoS, SSL, TCP, Traceroute, HSRP, GRE, ARP, 802.1x, IPv6 (w tym Neighbor Discovery i OSPF dla IPv6) oraz BGP dla rodziny adresów IPv6. --- ## Eliminacja przestojów w zasilaniu PoE _This post is for paying subscribers only._ ### 📬 ISN 207: Podatność Cisco, Analiza BGP i Szybkie Triki z GIT-em i Monitoringiem! URL: https://innasiec.pl/isn-207-podatnosc-cisco-analiza-bgp-i-szybkie-triki-z-git-em-i-monitoringiem/ Last updated: 2025-10-06T08:00:44.000Z ## Zarzadząj labem prosto z GIT-a [Containerlab - The Anti-PatternSpin up network lab topologies for learning and/or automation using only the lab repository URL thanks to containerlab!![](https://innasiec.pl/content/images/icon/cropped-D7K_3180-1.jpg)The Gratuitous ArpClaudia de Luna![](https://innasiec.pl/content/images/thumbnail/ChatGPTNokia_Clab_03_15_16-PM-1024x683.png)](https://gratuitous-arp.net/containerlab-the-anti-pattern/?ref=innasiec.pl) Containerlab już teraz czyni uruchamianie laboratoriów niemal bezwysiłkowym i w pełni przyjaznym dla automatyzacji. Nie jest więc zaskoczeniem, że zespół poszedł o krok dalej. Co powiesz na uruchamianie laboratorium bezpośrednio z repozytorium GitHub? Claudia de Luna przygotowała makietę topologii centrum danych w publicznym repozytorium GitHub. Normalnie sklonowałbym repozytorium i wdrożył topologię: ```bash claudia@vps-ovh:~/containerlab$ git clone https://github.com/cldeluna/clab-via-remote.git Cloning into 'clab-via-remote'... remote: Enumerating objects: 10, done. remote: Counting objects: 100% (10/10), done. remote: Compressing objects: 100% (7/7), done. Total 10 (delta 3), reused 10 (delta 3), pack-reused 0 (from 0) Receiving objects: 100% (10/10), 5.34 KiB | 5.34 MiB/s, done. Resolving deltas: 100% (3/3), done. claudia@vps-ovh:~/containerlab$ cd clab-via-remote/ ``` Gdyby Claudia wprowadzi zmiany, wystarczy `git pull`, a następnie `clab deploy`: ```bash claudia@vps-ovh:~/containerlab/clab-via-remote$ git pull origin main From https://github.com/cldeluna/clab-via-remote * branch main -> FETCH_HEAD Already up to date. claudia@vps-ovh:~/containerlab/clab-via-remote$ clab deploy --reconfigure ``` Wdrożenie laboratorium zajęło **1 minutę 9.096 sekund**. Istnieje jednak prostszy sposób. ```bash clab deploy -t https://github.com/cldeluna/clab-via-remote ``` Zwróć uwagę, że URL nie wskazuje pliku YAML topologii - tylko URL repozytorium! ```bash claudia@vps-ovh:~/containerlab/github-lab$ clab deploy -t https://github.com/cldeluna/clab-via-remote 19:38:47 INFO Containerlab started version=0.70.2 19:38:47 INFO Parsing & checking topology file=sea_datacenter.clab.yml 19:38:47 INFO Creating docker network name=clab IPv4 subnet=172.20.20.0/24 IPv6 subnet=3fff:172:20:20::/64 MTU=0 19:38:47 INFO Creating lab directory path=/home/claudia/containerlab/github-lab/clab-via-remote/clab-dc1 19:38:48 INFO Creating container name=sea-dc-host4 19:38:48 INFO Creating container name=sea-dc-host2 # ``` Wdrożenie laboratorium przez URL repozytorium zajęło **1 minutę 9.967 sekund,** czyli całe 871 milisekund wolniej - i to zakładając, że ręcznie pracujesz z laboratorium. --- ## Podatność w urządzeniach Cisco [Ataki DoS lub RCE możliwe poprzez protokół SNMP w urządzeniach CiscoDosłownie chwilę temu ostrzegaliśmy o aktywnych podatnościach CVE-2025-20362 i CVE-2025-20333 w Cisco ASA. Teraz firma Cisco informuje o błędzie, który pozwala – za pośrednictwem protokołu SNMP – na DoS (ang. Denial of Service) lub RCE (ang. Remote Code Execution) na produkowanych przez siebie urządzeniach. Podatność otrzymała identyfikator CVE-2025-20352 i wycenę CVSS na poziomie wysokim (7.7).…![](https://innasiec.pl/content/images/icon/favicon-57.ico)SekurakTomasz Turba![](https://innasiec.pl/content/images/thumbnail/hackerzzz.jpeg)](https://sekurak.pl/ataki-dos-lub-rce-mozliwe-poprzez-protokol-snmp-w-urzadzeniach-cisco/?ref=innasiec.pl) Cisco wydało pilne ostrzeżenie dotyczące podatności **CVE-2025-20352**, która umożliwia ataki DoS i RCE przez protokół SNMP. Zagrożenie jest już aktywnie eksploatowane przez cyberprzestępców. Podatność otrzymała ocenę CVSS 7.7 (wysoki priorytet). Pozwala ona na przeprowadzenie ataków przez każdą wersję protokołu SNMP - od v1 do v3. **Scenariusz 1: Atak DoS** Atakujący potrzebuje jedynie: - Dostępu do protokołu SNMP (dowolna wersja) - Community string read-only (SNMP v1/v2c) lub podstawowych danych uwierzytelniających (SNMP v3) Skutek: Wywołanie reloadu urządzenia i czasowa niedostępność usług sieciowych. **Scenariusz 2: Pełne przejęcie kontroli (RCE)** Krytyczny scenariusz wymaga: - Dostępu SNMP (jak wyżej) - Dodatkowo: dane uwierzytelniające konta administracyjnego lub privilege level 15 Skutek: Wykonanie dowolnego kodu jako root, pełna kontrola nad urządzeniem. **Urządzenia objęte podatnością** - Cisco Meraki MS390 - Cisco Catalyst 9300 Series Switches (Meraki CS 17 i wcześniejsze) **Naprawiono w:** Cisco IOS XE 17.15.4a --- ## Monitorowanie HTTP(S) [GitHub - coder/httpjail: HTTP(s) request filter for processesHTTP(s) request filter for processes. Contribute to coder/httpjail development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-37.svg)GitHubcoder![](https://innasiec.pl/content/images/thumbnail/httpjail)](https://github.com/coder/httpjail?ref=innasiec.pl) httpjail to narzędzie do monitorowania i ograniczania żądań HTTP/HTTPS uruchamianych przez procesy, działające na Linuxie i macOS. Domyślnie blokuje cały ruch sieciowy — musisz podać regułę (JS, skrypt shellowy lub proces liniowy), żeby zezwolić na konkretne połączenia. Umożliwia izolację sieciową procesów, transparentne przechwytywanie HTTP/S z wstrzykiwaniem certyfikatów TLS, ochronę przed wyciekiem danych przez DNS oraz różne mechanizmy ewaluacji reguł (JS, skrypt per-request, persistentny proces przetwarzający linie). --- ## Analiza danych BGP [AskBGP![](https://innasiec.pl/content/images/icon/favicon-58.ico)](https://replay.bgphelp.com/?ref=innasiec.pl) AskBGP to bezpłatne narzędzie, które pozwala analizować i symulować routing internetowy na podstawie otwartych danych BGP RIPE NCC. Umożliwia odtwarzanie historycznych zdarzeń BGP, diagnozowanie problemów z routingiem i badanie mechanizmów Border Gateway Protocol. --- ## Rewolucja w zarządzaniu topologiami sieciowymi _This post is for paying subscribers only._ ### 📬 ISN 206: AI w DDoS-for-hire, Starlink jako Operator i 32 Darmowe Punkty CE za SPLUNK! URL: https://innasiec.pl/isn-206-ai-w-ddos-for-hire-starlink-jako-operator-i-32-darmowe-punkty-ce-za-splunk/ Last updated: 2025-09-29T08:00:39.000Z SPONSORED Sponsorem tego wydania jest ****Sycope**, firma specjalizująca się w monitorowaniu ruchu sieciowego oraz bezpieczeństwie IT. Oferuje zaawansowane rozwiązania do nadzoru nad infrastrukturą sieciową, wykrywania i analizy zagrożeń bezpieczeństwa oraz optymalizacji wydajności sieci i aplikacji. Sycope zaprasza do udziału w nietypowym wydarzeniu: ****Odwrócony Hackathon**, który odbędzie się ****6 listopada 2025 r.** [Weź udział ](https://hackathon.sycope.com/?utm%5Fsource=Inna-siec&utm%5Fmedium=mail&utm%5Fcampaign=hackathon) ## AI w Usługach DDoS-for-hire [When Chatbots Become Attack Coordinators: The AI revolution in DDoS-for-hire services | NETSCOUT![](https://innasiec.pl/content/images/icon/favicon-56.ico)NETSCOUTrichard.hummel![](https://innasiec.pl/content/images/thumbnail/when-chatbots-become-attack-coordinators-ai-revolution-blog-header-1600x900.jpg)](https://www.netscout.com/blog/asert/when-chatbots-become-attack-coordinators-ai-revolution-ddos?ref=innasiec.pl) Kompleksowa analiza NETSCOUT ASERT dokumentuje dramatyczną trzyletnią transformację krajobrazu usług **DDoS-for-hire**. Usługi ewoluowały od prostych interfejsów "kliknij i uruchom" do zautomatyzowanych platform oferujących: - Integrację API - Narzędzia rozpoznania - Adaptacyjne możliwości ataków - Automatyczne planowanie ataków - Dostosowywanie parametrów w czasie rzeczywistym Dodanie asystentów AI reprezentuje naturalny następny krok tej ewolucji - krok, który może nadejść szybciej niż wielu z nas oczekuje. Obecne platformy DDoS-for-hire już szeroko wykorzystują automatyzację. Mogą wykonywać ataki wielowektorowe, które adaptują się do środków obronnych, wykorzystują exploity IPv6 i przeprowadzają ataki carpet-bombing na całe podsieci. Integracja asystenta AI przekształciłaby te możliwości z zautomatyzowanych w prawdziwie inteligentne. Zamiast wymagać od użytkowników zrozumienia wektorów ataków, numerów portów czy protokołów sieciowych, mogliby oni po prostu opisać swoje cele w naturalnym języku. AI obsłużyłaby: - Rozpoznanie celu - Ocenę podatności - Wybór optymalnego czasu - Orkiestrację wielowektorową Wszystko to przy zachowaniu konwersacyjnej prostoty. Najbardziej niepokojącą implikacją jest sposób, w jaki asystenci AI przyspieszyłyby demokratyzację cyberataków. NETSCOUT udokumentował, jak obecne usługi DDoS-for-hire już znacznie obniżyły bariery techniczne. Dodanie konwersacyjnych interfejsów AI wyeliminowałoby pozostałe bariery całkowicie. Umożliwiłoby to każdemu, kto potrafi napisać zapytanie, uruchomienie wyrafinowanych, adaptacyjnych ataków. To nie są spekulacje. Równoległe wydarzenia w cyberprzestępczości już demonstrują ten wzorzec: - **Dark LLM**: WormGPT i FraudGPT (w cenie 60-200 USD miesięcznie) umożliwiają nietechnicznym przestępcom generowanie malware i prowadzenie wyrafinowanych kampanii phishingowych - **Klonowanie głosu**: Osiągalne za 11 USD miesięcznie z jedną godziną nagrań z YouTube rewolucjonizuje social engineering Integracja podobnych możliwości AI w usługi DDoS podążałaby tym ustaloną trajektorią. Ataki wspierane przez AI mogłyby: - Analizować odpowiedzi obronne w czasie rzeczywistym - Identyfikować progi ograniczania szybkości - Naśladować wzorce ruchu legitymnego - Koordynować ataki wielowektorowe ewoluujące szybciej niż mogą zareagować ludzcy obrońcy Integracja AI nie tylko wzmacnia istniejące metody ataków - fundamentalnie zmienia model zagrożeń. Ataki mogłyby stać się konwersacyjnymi doświadczeniami, gdzie przestępcy udoskonalają swoje kampanie poprzez naturalny dialog. ## 32 punkty CE za naukę SPLUNK-a [It’s Splunkin’ Time to Rev Up Your Security SkillsGet free access to the first-of-its-kind Splunk-centered Learning Path.![](https://innasiec.pl/content/images/icon/cropped-Cisco-logo-thumb-sky-blue-300x300-3.jpg)Cisco BlogsNatarshia Mosley![](https://innasiec.pl/content/images/thumbnail/RevUp_Recert_2025_Security-Solution_CDCBlade.png)](https://blogs.cisco.com/learning/its-splunkin-time-to-rev-up-your-security-skills?ref=innasiec.pl) **Rev Up to Recert: Security Solutions** to ograniczona czasowo akcja Learn with Cisco, która oferuje bezpłatny dostęp do ścieżki szkoleniowej „Enhancing Cisco Security Solutions with Data Analytics (ECSS)” w Cisco U do 31 października 2025\. Jeśli pracujesz z sieciami i potrafisz analizować dane (np. w Splunk), możesz zdobyć 32 CE punkty potrzebne do odnowienia certyfikatu Cisco — całkowicie za darmo. Ścieżka ECSS zawiera 20 kursów, 19 laboratoriów, 12 testów i ponad 31 godzin materiałów, skupiając się na praktycznych umiejętnościach wykrywania, badania i reagowania na zagrożenia przy użyciu Splunk z integracją rozwiązań Cisco. --- SPONSORED [Sycope](https://www.sycope.com/?ref=innasiec.pl) zaprasza do udziału w nietypowym wydarzeniu: ****Odwrócony Hackathon**, który odbędzie się ****6 listopada 2025 r.** To nie jest zwykły hackathon – tutaj ****uczestnicy definiują problem**, a nie organizatorzy. Możesz przyjść z własnym wyzwaniem z obszaru bezpieczeństwa IT, monitoringu sieci czy DevSecOps, a nad rozwiązaniem popracujesz z mentorami Sycope – inżynierami z doświadczeniem w NDR, SIEM i APM. Zgłoszenia na stronie: [hackathon.sycope.com](https://hackathon.sycope.com/?ref=innasiec.pl) Najlepsze projekty zostaną zaprezentowane przed jury i mają szansę na nagrody. To także okazja do przetestowania ****trialowej wersji Sycope dostępnej na 300 dni,** która już wkrótce trafi do użytkowników. Zapisz się na listę oczekujących i zabookuj swoją darmową wersję Sycope już dzisiaj. 👉 [https://event.sycope.com/free](https://event.sycope.com/free?ref=innasiec.pl) Nie czekaj, aż ktoś inny zaprojektuje rozwiązanie Twojego problemu — zrób to sam z Sycope. [Weź udział ](https://hackathon.sycope.com/?utm%5Fsource=Inna-siec&utm%5Fmedium=mail&utm%5Fcampaign=hackathon) --- ## Paczka książek od Cisco [Humble Tech Book Bundle: Cisco Networking and Certification by Cisco Press/PearsonPay what you want for a Cisco bundle that’s smoother than Crisco—ace your networking exams and help support the charity Active Minds too!![](https://innasiec.pl/content/images/icon/03df0490a53d595fd930f9fff52038366d60a05d-5.png)Humble Bundle![](https://innasiec.pl/content/images/thumbnail/2aff97d0e7f6f31523b47e817612145a0c2d1f11.png)](https://www.humblebundle.com/books/cisco-networking-and-certification-cisco-presspearson-books?ref=innasiec.pl) Humble Tech Book Bundle oferuje zestaw ebooków wydawnictwa Pearson przygotowujących do certyfikatów sieciowych Cisco i tematów powiązanych — od podstaw IT, przez bezpieczeństwo i zarządzanie tożsamością, po zaawansowane ścieżki certyfikacyjne (m.in. CCNP SPCOR 350-501, CCNP/CCIE Security Core SCOR 350-701). --- ## Starlink jako operator sieci komórkowej? [What Could a Starlink MNO Offering Look Like?By David Swift As of September 2025, the telecoms landscape is buzzing with disruption. Traditional Mobile Network Operators (MNOs) like Verizon, AT&T, and Vodafone dominate the market, but satellite giant Starlink backed by SpaceX and Elon Musk’s visionary ecosystem is poised to challenge that stat![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-20)LinkedInDavid Swift![](https://innasiec.pl/content/images/thumbnail/1758040877789)](https://www.linkedin.com/pulse/what-could-starlink-mno-offering-look-like-david-swift-wuife?ref=innasiec.pl) Od września 2025 roku krajobraz telekomunikacyjny przechodzi intensywne zmiany. Tradycyjni operatorzy mobilni jak Verizon, AT&T czy Vodafone nadal dominują rynek, ale Starlink systematycznie buduje swoją pozycję w segmencie łączności komórkowej. Kluczowym momentem było uruchomienie w lipcu 2025 roku usługi T-Satellite - partnerstwa **T-Mobile ze Starlink oferującego mobilną łączność satelitarną za 10 USD miesięcznie**. Ta inicjatywa sygnalizuje agresywne dążenie Starlink do wejścia na rynek łączności komórkowej. Technologia Direct to Cell, rozwijana od 2024 roku, obecnie umożliwia obsługę wiadomości tekstowych, połączeń głosowych i transmisji danych bezpośrednio na niezmodyfikowane telefony. Do końca 2025 roku funkcjonalność ma zostać rozszerzona o IoT i wyższe prędkości transmisji danych. ### **Architektura "Layer Cake"** **Warstwa satelitarna (pokrycie globalne)** Fundament hipotetycznego operatora Starlink MNO stanowiłaby konstelacja ponad 6000 satelitów LEO oferujących globalny zasięg. Ta warstwa zapewniałaby bazową łączność komórkową w dowolnym miejscu na Ziemi. **Parametry techniczne:** - Prędkość pobierania: do 100 Mbps - Opóźnienie: 20-50 ms (w porównaniu do <10 ms dla 5G) - Pokrycie: 100% powierzchni Ziemi - Częstotliwości: AWS-4 i H-block (po przejęciu EchoStar za 17 mld USD) **Warstwa Wi-Fi Starlink (indoor/outdoor)** Druga warstwa wykorzystuje szerokopasmowy internet Starlink (do 220 Mbps w planach rezydencjalnych) dla hotspotów Wi-Fi. Kluczowe znaczenie ma fakt, że 70-90% ruchu mobilnego już teraz przechodzi przez Wi-Fi, nie przez sieci komórkowe. **Implementacja techniczna:** - Przenośne zestawy "Starlink Mobile Wi-Fi" - Kompaktowe anteny dla pojazdów rekreacyjnych i łodzi - Bezlimitowy transfer danych w trybie offload - Automatyczne przełączanie między warstwami **Warstwa Enterprise Wi-Fi (indoor)** Dla klientów biznesowych Starlink mógłby zintegrować routery Wi-Fi klasy enterprise, zapewniając bezpieczne sieci indoor o wysokiej przepustowości. **Funkcjonalności:** - Systemy mesh dla biur i magazynów - Optymalizacja obciążenia z wykorzystaniem AI - Priorytetyzacja aplikacji krytycznych - Integracja z backhaul satelitarnym **Prywatne sieci 5G Indoor (AWS-4/H Block)** Wykorzystując nowo nabyte spektrum, Starlink mógłby wdrożyć prywatne sieci 5G indoor za pomocą small cell lub zintegrowanych punktów dostępowych. **Parametry wydajnościowe:** - Ultra-niskie opóźnienie: <10 ms - Wsparcie dla AR/VR i przemysłowego IoT - Plug-and-play deployment - Integracja z warstwą satelitarną jako failover **Roaming przez sieci MNO (indoor/outdoor/capacity)** Inteligentny roaming dynamicznie przełącza między warstwami Starlink a partnerskimi sieciami MNO. Dzięki wsparciu eSIM użytkownicy mogliby "roamować" bezproblemowo. ### Przewaga Wi-Fi jako kluczowy czynnik sukcesu Wi-Fi odgrywa kluczową rolę w mobilnych ekosystemach - 70-90% ruchu smartphone'ów przechodzi przez połączenia Wi-Fi, nie komórkowe. Tradycyjni operatorzy inwestują miliardy w infrastrukturę wież, ale nadal borykają się z problemami pokrycia indoor i lukami na obszarach wiejskich. Starlink odwraca tę sytuację: jego warstwy satelitarna i Wi-Fi mogłyby natywnie obsługiwać ruch Wi-Fi, redukując potrzebę kosztownego backhaul. Aplikacja Starlink MNO mogłaby automatycznie łączyć telefon z optymalną warstwą, oferując doświadczenie "ustaw i zapomnij". **Wykorzystanie ekosystemu Elona Muska** Starlink MNO wyróżniałby się nie tylko technologią, ale także synergiami w ramach imperium Muska: **Wbudowana baza użytkowników** Ponad 5 milionów abonentów Starlink na całym świecie do połowy 2025 roku stanowi gotową publiczność. Istniejący użytkownicy mogliby aktualizować do planów mobilnych jednym kliknięciem. **Wbudowana maszyna marketingowa** - 6+ milionów pojazdów Tesla mogłoby zintegrować łączność Starlink - X (dawny Twitter) jako darmowy megafon promocyjny - Viralne posty Muska napędzające świadomość marki **Wiodąca firma AI** xAI Grok mógłby napędzać "mózg" operatora: - Predykcyjny routing unikający przeciążeń - Spersonalizowane plany przez natural language - Optymalizacja sieci napędzana AI **10x szybkość innowacji** SpaceX iteruje szybko - wystrzeliwuje satelity co tydzień i wdraża beta Direct to Cell w 2025\. Ta zwinność mogłaby umożliwić funkcje jak IoT wspomagany AI czy edge computing oparty na satelitach. ### Wyzwania techniczne i regulacyjne **Problemy do rozwiązania:** - Zatwierdzenia regulacyjne dla pełnego statusu MNO - Przeciążenie spektrum w obszarach miejskich - Zużycie baterii przez Direct to Cell - Wyższe opóźnienie w porównaniu do 5G - Konkurencja od AST Space Mobile **Możliwości rynkowe:** - Nieograniczony globalny roaming dla cyfrowych nomadów ($80/miesiąc) - Pakiety enterprise IoT dla logistyki ($200/miesiąc) - Plany rodzinne z integracją Tesla ($60/linię) **Analiza wpływu na rynek** Do 2026 roku, z 6G na horyzoncie, flota LEO Starlink mogłaby ewoluować w hybrydową sieć przestrzenno-naziemną, łącząc się z prywatnym 5G dla niezrównanego pokrycia. W USA, gdzie nadal istnieją luki w szerokopasmowym internecie wiejskim pomimo mandatów FCC, Starlink MNO mógłby wywrzeć presję na operatorów tradycyjnych, zmuszając AT&T i Verizon do przyspieszenia wdrożeń 5G na obszarach wiejskich. ### 📬 ISN 205: Zbuduj Własny Looking Glass, Opanuj cURL i Poznaj MCP URL: https://innasiec.pl/isn-205-zbuduj-wlasny-looking-glass-opanuj-curl-i-poznaj-mcp/ Last updated: 2025-09-22T08:00:12.000Z ## Awaria systemu Triple Zero [Optus firewall upgrade behind 13-hour Triple Zero outageTelco faces multiple investigations.![](https://innasiec.pl/content/images/icon/apple-touch-icon-13.png)iTnewsRy Crozier![](https://innasiec.pl/content/images/thumbnail/optus-stores-1.jpg)](https://www.itnews.com.au/news/optus-firewall-upgrade-behind-13-hour-triple-zero-outage-620427?ref=innasiec.pl) W czwartek 20 września 2025 roku o godzinie 12:30 zespół Optus rozpoczął "rutynową" aktualizację firewall'a. Przez **ponad 13 godzin operator nie miał świadomości awarii**. Początkowe testy po implementacji zmiany nie ujawniły problemów z połączeniami Triple Zero. Pierwsze zgłoszenia od klientów wpłynęły o 9:00, ale nie zostały odpowiednio eskalowane. Najbardziej niepokojącym aspektem całego incydentu jest fakt, że Optus nie monitorował specjalnie ruchu połączeń ratunkowych. Systemy telemetryczne operatora nie wykryły anomalii, ponieważ nie były skonfigurowane do śledzenia tego krytycznego typu ruchu. Incident ujawnia fundamentalną wadę w architekturze sieci Optus. **Ruch Triple Zero powinien być traktowany jako krytyczny** i obsługiwany przez dedykowane ścieżki sieciowe z własnymi mechanizmami failover. Ponadto każda modyfikacja infrastruktury sieciowej wymaga dokładnej analizy wpływu. W przypadku Optus zabrakło: 1. **Mapowania zależności** \- identyfikacji wszystkich usług mogących być dotknięte zmianą 2. **Planów rollback** \- procedur szybkiego cofnięcia zmian w przypadku problemów 3. **Windows maintenance** \- ograniczenia krytycznych zmian do określonych okien czasowych To nie pierwszy raz, gdy Optus ma problemy z Triple Zero. W 2023 roku operator został ukarany grzywną 12 milionów dolarów za podobny incident. Fakt powtórzenia się problemu wskazuje na systemowe braki w zarządzaniu infrastrukturą krytyczną. --- ## cURL w Terminalu [The Internet From Your Terminal: 8 Ways to Use cURLMaster this internet power tool.![](https://innasiec.pl/content/images/icon/favicon-240x240.f06f736a.png)How-To GeekBobby Jack![](https://innasiec.pl/content/images/thumbnail/several-linux-terminals.jpg)](https://www.howtogeek.com/the-internet-from-your-terminal-ways-to-use-curl/?ref=innasiec.pl) Narzędzie cURL to jeden z najbardziej wszechstronnych instrumentów w arsenale każdego doświadczonego inżyniera sieci. Jego kompleksowa implementacja protokołów HTTP i elastyczność czyni go niezastąpionym przy diagnostyce sieciowej, testowaniu API i automatyzacji zadań administracyjnych. **1\. Pobieranie Stron i Diagnostyka Protokołów** Podstawowe użycie cURL pozwala na szybkie sprawdzenie dostępności zasobów sieciowych: ```bash curl info.cern.ch ``` W środowisku produkcyjnym często potrzebujemy przekierować wyjście do pliku w celu dalszej analizy: ```bash curl info.cern.ch > diagnostyka.html ``` 💡 cURL automatycznie wykrywa przekierowanie wyjścia i wysyła informacje o czasie odpowiedzi do stderr, co pozwala na oddzielenie danych diagnostycznych od zawartości odpowiedzi. Przy pracy z URL-ami zawierającymi znaki specjalne (?, #, &), zawsze używaj cudzysłowów: ```bash curl 'https://api.example.com/data?param=value&token=abc123' ``` **2\. Zaawansowane Pobieranie Plików z Monitorowaniem Transferu** Pobierając duże pliki konfiguracyjne lub obrazy systemowe, cURL oferuje zaawansowane opcje monitorowania: ```bash curl -o firmware.bin https://vendor.com/firmware/latest.bin ``` Alternatywnie, użyj paska postępu dla lepszej kontroli nad długotrwałymi transferami: ```bash curl --progress-bar -o backup.tar.gz https://backup.server.com/daily/backup.tar.gz ``` **3\. Bezpieczna Instalacja Narzędzi Administracyjnych** W środowiskach enterprise często instalujemy narzędzia poprzez skrypty shell. Przykład instalacji narzędzia monitoringu sieci: ```bash curl --proto '=https' --tlsv1.2 -LsSf https://setup.monitoring-tool.sh | sh ``` - `--proto '=https'`: Wymusza użycie protokołu HTTPS - `--tlsv1.2`: Zapewnia minimum TLS 1.2 dla bezpiecznej komunikacji - `-L`: Automatycznie podąża za przekierowaniami HTTP - `-sS`: Ukrywa pasek postępu, ale pokazuje błędy - `-f`: Traktuje błędy HTTP jako błędy poleceń **4\. Sprawdzanie Publicznego Adresu IP w Automatyzacji** Dla skryptów monitorujących i narzędzi diagnostycznych: ```bash curl ifconfig.co ``` Przykład integracji w skrypcie bash do monitorowania zmian IP: ```bash #!/bin/bash CURRENT_IP=$(curl -s ifconfig.co) echo "Aktualny publiczny IP: $CURRENT_IP" ``` **Zaawansowane użycie**: Można modyfikować User-Agent dla testowania różnych responsów: ```bash curl -s --user-agent "NetworkMonitor/1.0" ifconfig.co ``` **5\. Analiza Nagłówków HTTP i Diagnostyka Protokołów** Dla dogłębnej analizy komunikacji sieciowej, sprawdzanie nagłówków odpowiedzi: ```bash curl -I https://api.company.com/health ``` Jeśli serwer nie obsługuje żądań HEAD, użyj GET z wyświetleniem tylko nagłówków: ```bash curl -I -X GET https://problematic-server.com/endpoint ``` **Diagnostyka kompletna** z nagłówkami żądań i odpowiedzi: ```bash curl -v https://api.service.com/status ``` To narzędzie jest nieocenione przy debugowaniu problemów z load balancerami, proxy i CDN. **6\. Testowanie i Integracja z API** cURL to podstawowe narzędzie do testowania API w środowiskach DevOps i NetOps. Przykład z testowym API: ```bash curl https://dummyjson.com/test ``` **Integracja z narzędziami do przetwarzania JSON**: ```bash curl https://dummyjson.com/products | jq '.products[0]' | more ``` Ten pipeline pozwala na: - Pobranie danych z API - Parsowanie JSON za pomocą jq - Kontrolowane wyświetlanie wyników **Zastosowanie w monitoringu**: Idealne do health-checków usług i automatyzacji testów API. **7\. Pobieranie i Analiza Feedów RSS w Systemach Monitoringu** Dla systemów zbierających informacje o bezpieczeństwie i aktualizacjach: ```bash curl -s https://security-feed.vendor.com/rss | more ``` **Zaawansowane przetwarzanie XML**: ```bash curl -s https://updates.system.com/feed/ | xmllint --xpath '//channel/title/text()' - ``` Umożliwia to automatyczne pobieranie i przetwarzanie informacji o aktualizacjach bezpieczeństwa. **8\. Programistyczne Wykorzystanie libcURL** LibcURL oferuje API programistyczne. Przykład w PHP: ```php ``` --- ## Postaw własny looking glass [GitHub - thatmattlove/hyperglass: hyperglass is the network looking glass that tries to make the internet better.hyperglass is the network looking glass that tries to make the internet better. - thatmattlove/hyperglass![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-36.svg)GitHubthatmattlove![](https://innasiec.pl/content/images/thumbnail/b15c9000-1163-11eb-9296-9c84eec98974)](https://github.com/thatmattlove/hyperglass?ref=innasiec.pl) hyperglass to narzędzie typu looking glass, które pozwala operatorom sieci udostępniać publiczne testy i przeglądanie stanu swojej sieci. Umożliwia uruchamianie poleceń takich jak BGP Route, BGP Community, BGP AS Path, Ping i Traceroute (można też dodawać własne), działa w pełni z IPv6 i pozwala pytać wiele urządzeń jednocześnie. Całość jest w pełni konfigurowalna — od funkcji przez interfejs i komunikaty aż po reguły dostępu (whitelist/blacklist). --- ## Jira w terminalu [JiraTUI - Where Jira Meets the Command LineJiraTUI is a command-line tool that allows developers to manage their Jira tasks efficiently and effortlessly from the terminal using a textual user interface.![](https://innasiec.pl/content/images/icon/favicon-2.png)@font-face { font-family: Lilita One; src: url(data:font/woff2;base64,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); }J raTUIiGaston Tagni![](https://innasiec.pl/content/images/thumbnail/app-homepage.png)](https://jiratui.sh/?ref=innasiec.pl) JiraTUI to narzędzie umożliwiające zarządzanie zadaniami Jira z terminala. Pozwala szybko wyszukiwać zadania (również przez JQL), tworzyć nowe wpisy, aktualizować statusy, przypisania, etykiety i terminy, dodawać/usuwać komentarze oraz łączyć zadania jako zależności. ## Wprowadzenie do MCP _This post is for paying subscribers only._ ### 📬 ISN 204: Exodus IPv4 z Ukrainy, Fałszywe Certyfikaty 1.1.1.1 i Automatyzacja z Ansible! URL: https://innasiec.pl/isn-204-exodus-ipv4-z-ukrainy-falszywe-certyfikaty-1-1-1-1-i-automatyzacja-z-ansible/ Last updated: 2025-09-15T08:00:23.000Z ## Nieautoryzowane certyfikaty dla 1.1.1.1 [Addressing the unauthorized issuance of multiple TLS certificates for 1.1.1.1Unauthorized TLS certificates were issued for 1.1.1.1 by a Certification Authority without permission from Cloudflare. These rogue certificates have now been revoked. Read our blog to see how this could affect you.![](https://innasiec.pl/content/images/icon/favicon-32x32-13.png)The Cloudflare BlogJoe Abley![](https://innasiec.pl/content/images/thumbnail/Addressing_the_unauthorized_issuance_of_multiple_TLS_certificates_for_1.1.1.1-OG)](https://blog.cloudflare.com/unauthorized-issuance-of-certificates-for-1-1-1-1/?ref=innasiec.pl) W okresie od lutego 2024 do sierpnia 2025 roku Fina CA wydało szereg certyfikatów dla adresu IP 1.1.1.1 bez wiedzy i zgody Cloudflare. Incydent został ujawniony dzięki systemowi Certificate Transparency, podkreślając jednocześnie krytyczne znaczenie monitorowania certyfikatów w infrastrukturze sieciowej. **Cloudflare zostało powiadomione o problemie przez:** - Program ujawniania luk w zabezpieczeniach - Listę mailingową certificate transparency - Zgłoszenia na platformach takich jak Hacker News **Wszystkie nieautoryzowane certyfikaty dla 1.1.1.1 miały następujące charakterystyki:** - Ważność dokładnie jeden rok - Zawierały inne nazwy domen, z których większość nie była zarejestrowana - Wskazywały na fikcyjną organizację "TEST D.D." Lista nazw domen znalezionych w nieautoryzowanych certyfikatach: ``` fina.hr ssltest5 test.fina.hr test.hr test1.hr test11.hr test12.hr test5.hr test6 test6.hr testssl.fina.hr testssl.finatest.hr testssl.hr testssl1.finatest.hr testssl2.finatest.hr ``` Aby wykorzystać te nieautoryzowane certyfikaty do podszywania się pod usługę 1.1.1.1, atakujący musiałby spełnić wszystkie następujące warunki: 1. **Posiadanie certyfikatu i klucza prywatnego** \- Certyfikat został wydany, więc należy założyć istnienie odpowiadającego mu klucza prywatnego 2. **Zaufanie klientów do Fina CA** \- Centrum certyfikacji jest domyślnie uwzględnione w magazynie certyfikatów głównych Microsoft i EU Trust Service provider 3. **Przechwycenie ruchu** \- Ruch między klientem a 1.1.1.1 musiałby zostać przechwycony **Cloudflare zidentyfikowało trzy główne niedociągnięcia w swoim systemie monitorowania:** 1. **Monitoring certyfikatów IP** \- System nie alarmował o certyfikatach dla adresów IP 2. **Filtrowanie alertów** \- Niewystarczające filtrowanie przy dużej liczbie nazw i wydań 3. **Konfiguracja alertów** \- Nie wszystkie domeny miały włączone alerty **Planowane ulepszenia** **Alerty** \- Poprawa alertów i eskalacji dla wydawania certyfikatów dla brakujących domen należących do Cloudflare **Transparentność** \- Wprowadzenie wymagania transparency dla klientów DNS, szczególnie tych korzystających z TLS **Bug Bounty** \- Rewizja procesu raportów w programie ujawniania luk **Monitoring** \- Rozwój dedykowanego interfejsu użytkownika do eksploracji danych CT w Cloudflare Radar --- ## Eksodus IPv4 z ogarniętej wojną Ukrainy [Exodus of IPv4 from War-torn UkraineIn this post, we discuss how the ongoing war in Ukraine has led to a significant decline in the amount of IPv4 address space announced by Ukrainian Autonomous Systems (ASes), and why those addresses are often now being announced by western ISPs and major public clouds.![](https://innasiec.pl/content/images/icon/apple-touch-icon-12.png)KentikDoug Madory![](https://innasiec.pl/content/images/thumbnail/feature-ukraine-ipv4-exodus.png)](https://www.kentik.com/blog/exodus-of-ipv4-from-war-torn-ukraine/?ref=innasiec.pl) Wojna w Ukrainie od 2022 roku odbiła się szerokim echem na sieciach. W ciągu trzech lat zanotowano niemal 18,5% spadek ogłoszonej przez ukraińskie AS-y przestrzeni adresowej IPv4. Dlaczego to ważne? Adresy IPv4 to cenny zasób, używany przez operatorów do świadczenia usług. Gdy przestają być ogłaszane przez ukraińskie ASN, często przejmuje je Zachód, chmury publiczne lub brokerzy IPv4. Nie każda firma podążyła ścieżką sprzedaży lub leasingu. Oto lista operatorów, którzy utrzymali swoje bloki praktycznie bez zmian od początku wojny: - Kyivstar (AS15895): 2964 x /24 - Triolan (AS13188): 1605 x /24 - Lifecell (AS34058): 1508 x /24 - Vodafone (AS21497): 1361 x /24 - Datagroup (AS3326), Tenet (AS6876) i inni: po kilkaset /24 Ich strategia polegała na utrzymaniu lokalnej usługi, na przekór przeciwnościom. Ukrtelecom znacząco zredukował swoją obecność w routingu globalnym. Wartości: - AS6849: z 4728 x /24 do 1377 x /24 (spadek 71%) - AS6877: praktycznie zniknął z tablicy routingu Co się stało z tymi adresami? Większość trafiła do brokerów IPv4\. Kluczowe sieci, które teraz ogłaszają te zasoby to m.in.: - AS174 (COGENT): 91.124.96.0/22 - AS16509 (AWS): 91.124.133.0/24 - AS7018 (AT&T): 91.124.2.0/24 Te bloki są teraz rozproszone globalnie i wykorzystywane przez firmy hostingowe, operatorów chmurowych, proxy oraz inne podmioty. Według informacji od Ukrtelecomu, leasing adresów IPv4 stał się sposobem na przetrwanie – **leasing 1500 bloków /24 to miesięczny dochód rzędu 150 000 USD**. Pozwala to utrzymać usługi i rozwijać infrastrukturę światłowodową. Przykłady innych operatorów pokazują podobny trend: - **LVS (AS43310)**: rozdrobnienie adresów na kilkanaście światowych ASN, głównie AT&T. - **TVCOM (AS34092, AS57033)**: zniknięcie z routingu, przekazanie bloków 37 różnym ASN, w tym Microsoft (AS8075), AWS (AS16509), Deutsche Telekom (AS3320). - **Brokerzy IPv4** odgrywają kluczową rolę pośrednika i dystrybutora tych zasobów. Regiony zajęte przez Rosję dokumentują wręcz „russifikację sieci”. Przykłady: - **Online Technologies LTD (AS45025, Donieck)**: Baza RIPE zmieniła atrybut ‘country’ z UA na RU. Adresy rozdysponowane do operatorów w Doniecku oraz globalnych telko. - **Byte-SD (AS42430, Ługańsk)**: Całkowite zniknięcie z routingu; bloki przejęły podmioty takie jak Paltel (Palestyna), AT&T, Sprint. - **Trinity (AS43554, Mariupol)**: Bloki przejął operator Sweet (UA), wcześniej wykorzystane m.in. przez AT&T do proxy rezydencyjnych. - **Interphone (AS24881, Mariupol)**: Bloki trafiły do lokalnych operatorów w tzw. Donieckiej Republice Ludowej, potem powróciły, ale z rosyjskim tranzytem. - **SkyNet (AS47598, Chersoń)**: Po zajęciu miasta przez Rosję, cała infrastruktura przekierowana przez Miranda Media (Krym), a potem po wycofaniu Rosji przekazanie adresów do nowych właścicieli, dziś wykorzystywane pod proxy. Rosnąca liczba ukraińskich IPv4 wykorzystywana jest jako tzw. residential proxies. Pozwala to omijać zabezpieczenia geo-lokalizacyjne i zwiększa ryzyko nadużyć: spamu, fraudów, automatyzacji, web scrapingu. Brokerzy IP, tacy jak IPXO i firmy hostingowe, stają się kluczowymi rozdzielaczami tych zasobów, nie zawsze dbając o reputację adresów. --- ## Automatyzacja Palo Alto [GitHub - cdot65/paloaltonetworks-automation-examples: Consolidated repository for Palo Alto Networks automation examples using Python, Go, TypeScript, Bash, Terraform, Ansible.Consolidated repository for Palo Alto Networks automation examples using Python, Go, TypeScript, Bash, Terraform, Ansible. - cdot65/paloaltonetworks-automation-examples![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-34.svg)GitHubcdot65![](https://innasiec.pl/content/images/thumbnail/paloaltonetworks-automation-examples)](https://github.com/cdot65/paloaltonetworks-automation-examples?ref=innasiec.pl) Repozytorium zawiera przykłady automatyzacji dla produktów Palo Alto Networks, zrealizowane w różnych językach i narzędziach (Python, Go, TypeScript, Bash, Terraform, Ansible i inne). Możesz go wykorzystać jako punkt odniesienia przy wdrażaniu automatycznych zadań administracyjnych i integracji — np. rotacji haseł PAN-OS, konfiguracji BGP, zarządzania obiektami sieciowymi w Terraform czy przykładów użycia gNMI. --- ## Dashboard do zarządzania SSL [GitHub - sieteunoseis/netSSLContribute to sieteunoseis/netSSL development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-35.svg)GitHubsieteunoseis![](https://opengraph.githubassets.com/f056471e001f943e23f4e38ac13a2a6189e8393598b445eb142ef11a34dc1e6c/sieteunoseis/netSSL)](https://github.com/sieteunoseis/netSSL?ref=innasiec.pl) **NetSSL to webowy dashboard do zarządzania certyfikatami SSL** w infrastrukturach klasowego przedsiębiorstwa. Umożliwia centralne operacje na certyfikatach dla różnych systemów — od ogólnych aplikacji po platformy Cisco VOS (CUCM, CUC, CER) oraz Cisco ISE — korzystając z ich interfejsów API lub SSH. Narzędzie automatyzuje generowanie CSR, pobieranie certyfikatów (w tym Let's Encrypt przez ACME), ich instalację oraz ponowne uruchamianie usług (SSH dla VOS, API dla ISE). --- ## Jak Zbudować Sieć Spine-Leaf za Pomocą Ansible _This post is for paying subscribers only._ ### 📬 ISN 203: Błędy ICMP, Rozstanie z AWS i Automatyzacja Labów URL: https://innasiec.pl/iisn-203-bledy-icmp-rozstanie-z-aws-i-automatyzacja-labow/ Last updated: 2025-09-08T08:00:53.000Z ## Analiza komunikatów ICMP "Destination Unreachable" [ICMP ‘Destination Unreachable’ Messages @ SharkFest’24 EU | Weberblog.net![](https://innasiec.pl/content/images/icon/cropped-webernetz-logo-4-icon-2000x2000-1-180x180-7.png)Weberblog.netJohannes Weber![](https://innasiec.pl/content/images/thumbnail/ICMP-Destination-Unreachable-Messages-@-SharkFest24-EU-featured-image-604x270.jpg)](https://weberblog.net/icmp-destination-unreachable-messages-sharkfest24-eu/?ref=innasiec.pl) Prawdziwa moc protokołu ICMP leży w jego zdolności do szczegółowego raportowania błędów sieciowych. Komunikaty "Destination Unreachable" stanowią szczególnie cenne źródło informacji diagnostycznych, które może znacząco przyspieszyć proces rozwiązywania problemów sieciowych. **Podstawowe typy komunikatów** Komunikaty ICMP Type 3 (Destination Unreachable) zawierają różne kody, z których każdy wskazuje na specyficzny problem: - **Kod 0 - Network Unreachable**: Brak trasy do sieci docelowej - **Kod 1 - Host Unreachable**: Host docelowy nieosiągalny - **Kod 2 - Protocol Unreachable**: Nieobsługiwany protokół - **Kod 3 - Port Unreachable**: Zamknięty port docelowy - **Kod 4 - Fragmentation Needed**: Wymagana fragmentacja przy ustawionym DF **Praktyczne znaczenie kodów błędów** Każdy kod niesie konkretne informacje diagnostyczne: **Port Unreachable** pozwala jednoznacznie udowodnić, że problem leży po stronie serwera, nie infrastruktury sieciowej. To "killer argument" w dyskusjach między zespołami. **Network/Host Unreachable** wskazują na problemy routingu lub dostępności. Analiza źródła tych komunikatów często prowadzi bezpośrednio do problematycznego urządzenia. **Zaawansowane techniki przechwytywania w Wireshark** Standardowe podejście do filtrowania ruchu często pomija krytyczne komunikaty ICMP. Spróbuj tego: ``` host and host or icmp or icmp6 ``` Ten filtr przechwytuje znacznie więcej pakietów ICMP niż potrzeba, ale zapewnia, że nie przegapimy żadnych istotnych komunikatów błędów. Dodatkowe filtrowanie można przeprowadzić na poziomie wyświetlania. **Różnice między filtrami przechwytywania a wyświetlania** **Filtr przechwytywania**: `host and host ` NIE przechwyci komunikatów ICMP błędów - **Filtr wyświetlania**: `ip.addr eq and ip.addr eq ` POKAŻE odpowiednie błędy ICMP Dzieje się tak, ponieważ eBPF analizuje tylko pierwszy nagłówek IP, podczas gdy Wireshark parsuje również drugi nagłówek IP w komunikatach ICMP. --- ## Od Inżyniera do Menedżera [From Network Engineer to Network Engineering Manager: A First-Timer’s Guide — Layer8PacketMaking the leap from individual contributor to manager is both exciting and nerve-wracking. Here’s what to expect in your first management role, essential traits for success, common pitfalls to avoid, and practical advice for leading a network engineering team while maintaining your technical credib![](https://innasiec.pl/content/images/icon/favicon-54.ico)Layer8PacketPat Allen![](https://innasiec.pl/content/images/thumbnail/unsplash-image-EkyuhD7uwSM.jpg)](https://www.layer8packet.io/home/from-network-engineer-to-network-engineering-manager-a-first-timers-guide?ref=innasiec.pl) Czy zastanawiałeś się kiedyś, jak to jest przejść od debugowania sesji BGP do zarządzania ludźmi? Po latach konfigurowania routerów i projektowania architektur sieciowych, zarządzanie zespołem to zupełnie inny rodzaj złożoności systemowej. Jako inżynier spędzałeś dni nad technicznym "jak" - jak skonfigurować obszary OSPF, jak rozwiązać problemy z pętlami spanning tree, jak zoptymalizować wydajność WAN. Jako manager będziesz coraz częściej koncentrować się na "co" i "dlaczego" - jakie projekty zespół powinien priorytetyzować, dlaczego pewne decyzje architektoniczne mają sens biznesowy, jakie umiejętności twój zespół musi rozwijać. To nie oznacza całkowitego porzucenia pracy technicznej, ale twoja relacja z technologią się zmienia. Stajesz się bardziej strategiem technicznym niż implementatorem. **Problemy z Ludźmi Są Trudniejsze Niż Problemy z Siecią** Sieci podlegają logicznym regułom. Jeśli OSPF nie zbiega się, istnieje techniczny powód i techniczne rozwiązanie. Ludzie są bardziej skomplikowani. Napotkasz sytuacje takie jak: - Członkowie zespołu z konfliktowymi stylami pracy - Utalentowani inżynierowie, którzy mają problemy z zarządzaniem czasem - Konkurujące priorytety z różnych jednostek biznesowych (to duży problem) - Rozmowy o rozwoju kariery wymagające subtelnego podejścia - Problemy z wydajnością wynikające z wyzwań osobistych Dobra wiadomość? Wiele umiejętności troubleshootingu, które uczyniły cię dobrym inżynierem sieci - systematyczne myślenie, analiza pierwotnej przyczyny i cierpliwość pod presją - dobrze sprawdza się w zarządzaniu ludźmi. **Kluczowe Cechy dla Sukcesu** **1\. Wiarygodność Techniczna Bez Mikrozarządzania** Twój zespół musi ufać, że rozumiesz wyzwania techniczne, przed którymi stają. To nie oznacza, że musisz sprawdzać każdą konfigurację czy zatwierdzać każdą decyzję projektową. **2\. Umiejętności Tłumaczenia Komunikacji** Staniesz się tłumaczem między zespołami technicznymi a interesariuszami biznesowymi. **3\. Delegowanie Bez Porzucania** Nauka efektywnego delegowania jest kluczowa, ale to nie tylko przekazywanie zadań. Efektywne delegowanie obejmuje: - Jasne definiowanie wyników i kryteriów sukcesu - Dostarczanie niezbędnego kontekstu i zasobów - Ustalanie punktów kontrolnych bez mikrozarządzania - Bycie dostępnym dla wskazówek przy jednoczesnym pozwalaniu na autonomię - Śledzenie wyników i przekazywanie feedbacku **4\. Umiejętności Myślenia Strategicznego** Twoja perspektywa musi rozszerzyć się poza natychmiastowe problemy techniczne na długoterminowe kwestie strategiczne: - Jak trendy technologiczne wpływają na strategię sieciową organizacji? - Jakie umiejętności będzie potrzebował twój zespół za 2-3 lata? - Jak decyzje sieciowe wpływają na inne inicjatywy biznesowe? - Gdzie powinieneś inwestować ograniczony budżet i zasoby dla maksymalnego wpływu? **Budowanie Zestawu Narzędzi Menedżerskich** **Aktywne Słuchanie:** Naprawdę słyszenie tego, co mówią członkowie zespołu, włącznie z tym, czego nie mówią wprost. **Przekazywanie Feedbacku:** Dostarczanie zarówno pozytywnego wzmocnienia, jak i konstruktywnej krytyki w sposób promujący rozwój. **Rozwiązywanie Konfliktów:** Pomaganie członkom zespołu w przezwyciężaniu nieporozumień i konkurujących priorytetów. --- ## Pożegnaj się z AWS [GitHub - ekristen/aws-nuke: Remove all the resources from an AWS accountRemove all the resources from an AWS account. Contribute to ekristen/aws-nuke development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-32.svg)GitHubekristen![](https://innasiec.pl/content/images/thumbnail/aws-nuke)](https://github.com/ekristen/aws-nuke?ref=innasiec.pl) Aws-nuke to narzędzie do usuwania wszystkich zasobów z konta AWS. Możesz go użyć, gdy chcesz zresetować konto przed ponownym użyciem, testami lub likwidacją środowiska — ale uwaga: nie wszystkie typy zasobów muszą być obsługiwane. --- ## Wieloplatformowe generowanie ACL [GitHub - aerleon/aerleon: Multi-platform ACL generation systemMulti-platform ACL generation system. Contribute to aerleon/aerleon development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-33.svg)GitHubaerleon![](https://innasiec.pl/content/images/thumbnail/aerleon)](https://github.com/aerleon/aerleon?ref=innasiec.pl) Aerleon to narzędzie generujące konfiguracje zapór sieciowych dla różnych platform (Cisco, Juniper, Palo Alto i inne) na podstawie jednego, niezależnego od platformy języka polityk. Możesz go użyć do automatycznego przekształcania polityk ACL w konfiguracje dla wielu vendorów jednocześnie, walidowania reguł oraz integrowania z procesami CI/CD za pomocą wiersza poleceń lub API Pythona. --- ## Rewolucja w Automatyzacji Laboratoriów Sieciowych _This post is for paying subscribers only._ ### 📬 ISN 202: Proxmox, DDI, Wireless i Kontenery,Problemy z Internetem i Ucieczki z Kontenerów! URL: https://innasiec.pl/isn-202-proxmox-ddi-wireless-i-kontenery-problemy-z-internetem-i-ucieczki-z-kontenerow/ Last updated: 2025-09-01T08:00:22.000Z ## Nowa ścieżka wireless od Cisco [A Dedicated Cisco Wireless Certification Track Is on the HorizonGet ready for a new chapter in wireless networking.![](https://innasiec.pl/content/images/icon/cropped-Cisco-logo-thumb-sky-blue-300x300-2.jpg)Cisco BlogsAndrew Richter![](https://innasiec.pl/content/images/thumbnail/sf89cDXe-Feature-Images_FY25.jpg)](https://blogs.cisco.com/learning/a-dedicated-wireless-certification-track-is-on-the-horizon?ref=innasiec.pl) Od marca 2026 roku Cisco oficjalnie kończy epokę koncentracji wireless w ramach CCNP Enterprise. W jej miejsce pojawia się kompletna, dedykowana ścieżka certyfikacji bezprzewodowej – od poziomu podstawowego aż po ekspercki. **Poziom podstawowy: Understanding Cisco Wireless Foundations (WLFNDU)** Ścieżka rozpoczyna się od fundamentalnego kursu WLFNDU, który pokrywa: - Technologie RF i standardy branżowe Wi-Fi - Zagadnienia bezpieczeństwa sieci bezprzewodowych - Projektowanie i konfiguracja WLAN dla sieci każdej wielkości - Instalacja i wdrażanie rozwiązań wireless **CCNP Wireless** **Egzamin podstawowy:** - Implementing and Operating Cisco Wireless Core Technologies (350-101 WLCOR) v1.0 **Egzaminy koncentracyjne:** - Designing Cisco Wireless Networks (300-110 WLSD) v1.2 - Implementing Cisco Wireless Advanced Solutions (WLSI 300-120) v1.2 **CCIE Wireless** Nowy CCIE Wireless odzwierciedla ewolucję technologii bezprzewodowych, włączając: - Rozwiązania cloud-based Cisco Meraki - Technologie platform-agnostyczne Wi-Fi 6 i Wi-Fi 7 - Rozszerzone praktyczne zastosowania najnowszych standardów Pierwsza data egzaminów to 19 marca 2026 roku. --- ## Współczesny problem z internetem [Bandwidth is Dead. Long Live LatencyMeasuring application latency instead of Internet speed offers a better understanding of today’s Internet user experien…![](https://static.ghost.org/v5.0.0/images/link-icon.svg)Internet Society PulseJason Livingood![](https://innasiec.pl/content/images/thumbnail/King-cards_banner.jpg)](https://pulse.internetsociety.org/blog/bandwidth-is-dead-long-live-latency?ref=innasiec.pl) Większość z nas pracuje dziś w erze, którą można nazwać "post-gigabitową". Użytkownicy mają dostęp do połączeń gigabitowych lub przynajmniej setek Mbps. Przeszliśmy od niedoboru przepustowości do jej nadmiaru. W tej erze przepustowość przestała być czynnikiem ograniczającym jakość aplikacji. Paradoksalnie, mimo wzrostu przepustowości, użytkownicy coraz częściej doświadczają słabej jakości aplikacji. Przyczyna? **Opóźnienia sieciowe i problemy z responsywnością**. Współczesne problemy z wydajnością często wynikają z konfiguracji WiFi: - Używanie pasma 2,4 GHz zamiast 5 GHz - Zbyt duża odległość od punktu dostępowego - Pojedyncze radio w access poincie - Mesh backhaul przez extendery zamiast Ethernet - Interferencje z sąsiednimi sieciami **Pomiar rzeczywistego opóźnienia** Zamiast PING latency w warunkach "idle", potrzebujemy generować ruch krzyżowy podczas testów opóźnienia. To lepiej symuluje rzeczywiste warunki, gdzie wielu użytkowników i urządzeń jednocześnie korzysta z sieci. **Typowy scenariusz**: połączenie z opóźnieniem idle 25 ms może wzrosnąć do setek milisekund per round trip. Niektórzy użytkownicy doświadczają nawet 1-2 sekund delay, które znacznie fluktuuje w czasie. **Quality of Outcome (QoO): nowe podejście** Alternatywne podejście polega na przejściu od **sztucznych pomiarów** będących pośrednimi wskaźnikami jakości do **bezpośrednio reprezentatywnych** lub **predykcyjnych** pomiarów. **Optymalizacja responsywności sieci** - **Wdrażanie nowszych algorytmów Active Queue Management (AQM)** w sieci i CPE - **Implementację IETF L4S i NQB** (dual-queue networking) - **Konfigurację inteligentnych mechanizmów QoS** **Ewolucja platform testowych** Platformy testowe powinny się skupić na: - **Atrybutach wpływających na jakość aplikacji** zamiast na przepustowości - **Pomiarach latency i jitter** w warunkach obciążenia - **Bezpośrednim tracking'u Quality of Experience** użytkowników końcowych **Rekomendacje dla inżynierów sieci** 1. **Audyt infrastruktury WiFi** \- zidentyfikuj bottlenecki w sieciach klientów 2. **Implementacja AQM** \- wdróż FQ-CoDel lub podobne algorytmy 3. **Monitoring aplikacji** \- przejdź od monitoring'u łączy do monitoring'u UX 4. **Inwestycja w L4S/NQB** \- przygotuj sieć na dual-queue networking 5. **AI-driven analytics** \- rozważ implementację inteligentnych systemów analitycznych w CPE 6. **Shift metryk** \- przenieś focus z bandwidth utilization na application-specific QoE Era nadmiaru przepustowości wymaga nowego podejścia do optymalizacji sieci. Kluczem nie jest już maksymalizacja Mbps, ale minimalizacja opóźnień i optymalizacja responsywności pod kątem konkretnych aplikacji. **Przyszłość należy do sieci, które rozumieją kontekst aplikacji i dostarczają personalizowane, predykcyjne wskazówki dotyczące optymalizacji wydajności.** --- ## Monitorowanie Proxmoxa [GitHub - rcourtman/Pulse: A responsive monitoring application for Proxmox VE that displays real-time metrics across multiple nodesA responsive monitoring application for Proxmox VE that displays real-time metrics across multiple nodes - rcourtman/Pulse![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-30.svg)GitHubrcourtman![](https://innasiec.pl/content/images/thumbnail/d660831b-1fa8-497a-87a4-3858ae39e5e5)](https://github.com/rcourtman/Pulse?ref=innasiec.pl) Pulse to narzędzie do monitorowania Proxmox VE i Proxmox Backup Server w czasie rzeczywistym. Pozwala obserwować całą infrastrukturę z jednego pulpitu, otrzymywać natychmiastowe powiadomienia (e-mail, Discord, Slack, Telegram, Teams, ntfy.sh, Gotify i webhooks) gdy maszyny wirtualne padną, backupy się nie powiodą lub miejsce na dysku się zapełnia. Aplikacja wspiera automatyczne wykrywanie węzłów, konfigurację klastra z jednego punktu i zdalne instalacyjne skrypty „one-liner”. --- ## Zarządzaj DDI jak Pro [GitHub - ataudte/ddi-helpers: A collection of helper scripts for DNS, DHCP, and IPAM (DDI) projects.A collection of helper scripts for DNS, DHCP, and IPAM (DDI) projects. - ataudte/ddi-helpers![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-31.svg)GitHubataudte![](https://innasiec.pl/content/images/thumbnail/ddi-helpers)](https://github.com/ataudte/ddi-helpers?ref=innasiec.pl) Zbiór pomocniczych skryptów "**Little DDI Helpers**" ułatwia prace związane z DNS, DHCP i IPAM (DDI). Skrypty (Python, Shell, PowerShell) wspierają typowe zadania konsultingowe i inżynierskie: migracje danych między platformami DDI, analizę i przygotowanie danych do importu/eksportu oraz automatyzację powtarzalnych zadań przez API/CLI. --- ## Ucieczki z Kontenerów _This post is for paying subscribers only._ ### 📬 ISN 201: Hardening Labów, Podatność FortiSIEM i Nowy Protokół UTCP! URL: https://innasiec.pl/isn-201-hardening-labow-podatnosc-fortisiem-i-nowy-protokol-utcp/ Last updated: 2025-08-25T08:00:15.000Z ## Zabezpiecz dostęp do swojego laba [Stop Exposing Your Home Lab - Do This InsteadSet up secure remote access for your home lab using Twingate, Tailscale, WireGuard, and Cloudflare Tunnel, no open ports or exposed services![](https://innasiec.pl/content/images/icon/48x48blk.png)Virtualization HowtoBrandon Lee![](https://innasiec.pl/content/images/thumbnail/secure-remote-access-for-your-home-lab.png)](https://www.virtualizationhowto.com/2025/07/stop-exposing-your-home-lab-do-this-instead/?ref=innasiec.pl) Bezpośrednie wystawienie usług laboratorium domowego do internetu to najczęstszy błąd. Nawet przy zastosowaniu zaawansowanych zabezpieczeń, ekspozycja usług przez port forwarding pozostaje znaczącym ryzykiem bezpieczeństwa. Otwieranie portów w zaporze i przekierowanie ruchu do wewnętrznych usług wydaje się prostym rozwiązaniem. Jednak praktyka ta niesie ze sobą poważne zagrożenia: - **Zwiększona powierzchnia ataku** \- każdy otwarty port to potencjalna furtka dla atakujących - **Brak granularnej kontroli dostępu** \- trudność w ograniczeniu dostępu do konkretnych użytkowników lub urządzeń - **Podatność na ataki DDoS** \- bezpośrednia ekspozycja na internet - **Problemy z dynamicznymi adresami IP** i CGNAT Współczesne rozwiązania oferują znacznie bezpieczniejsze alternatywy. **1\. Twingate** Twingate to rozwiązanie hybrydowe łączące technologie VPN i proxy. Oferuje nowoczesne podejście do segmentacji i kontroli dostępu w architekturze zero-trust. **Kluczowe Zalety Architektury** **Brak otwartych portów**: Ruch jest inicjowany od wewnętrznego konektora, eliminując potrzebę konfiguracji NAT. **Granularna kontrola dostępu**: Możliwość definiowania zasad dostępu per użytkownik i urządzenie. **Zgodność z CGNAT**: Rozwiązanie działa niezależnie od topologii sieci i ograniczeń NAT. **Wbudowany resolver DNS**: Automatyczne rozwiązywanie nazw dla wewnętrznych usług. **Implementacja Docker Compose** ```yaml version: '3.8' services: twingate-connector: image: twingate/connector:1 restart: always sysctls: net.ipv4.ping_group_range: "0 2147483647" environment: - TWINGATE_NETWORK=network-name - TWINGATE_ACCESS_TOKEN=access-token - TWINGATE_REFRESH_TOKEN=refresh-token - TWINGATE_LABEL_HOSTNAME=${HOSTNAME} - TWINGATE_LABEL_DEPLOYED_BY=docker networks: - proxy-network deploy: replicas: 1 restart_policy: condition: any ``` Twingate oferuje bezpłatny plan dla maksymalnie 5 użytkowników. Zawiera enterprise connectors, split tunneling i zasady dostępu warunkowego. Jedynym ograniczeniem jest zależność od zewnętrznego dostawcy usług cloud. **2\. Tailscale** Tailscale implementuje architekturę mesh VPN wykorzystując protokół WireGuard. Każde urządzenie otrzymuje prywatny adres IP z zakresu 100.x.x.x, umożliwiając bezpośrednią komunikację. **Kluczowe Zalety Architektury** **Zero konfiguracji portów**: Automatyczne nawiązywanie połączeń bez konieczności konfiguracji firewall. **Obsługa NAT traversal**: Działa za NAT, CGNAT i podwójnym NAT. **ACL i MagicDNS**: Zaawansowane funkcje kontroli dostępu i resolucji nazw. **Subnet routing**: Możliwość routowania całych podsieci przez wybrany węzeł. **Przykład Konfiguracji** ```yaml version: '3.8' services: tailscale: image: tailscale/tailscale:latest hostname: docker-tailscale container_name: tailscale restart: unless-stopped privileged: true network_mode: host cap_add: - NET_ADMIN - NET_RAW volumes: - tailscale-data:/var/lib/tailscale - /dev/net/tun:/dev/net/tun environment: - TS_AUTHKEY=auth-key - TS_STATE_DIR=/var/lib/tailscale - TS_EXTRA_ARGS=--advertise-routes=192.168.1.0/24 --advertise-exit-node ``` **3\. WireGuard** WireGuard to najszybszy i najbardziej minimalistyczny protokół VPN. Stanowi fundament dla wielu innych rozwiązań, oferując pełną kontrolę nad konfiguracją. **Kluczowe Zalety Architektury** **Minimalna złożoność**: Mały rozmiar kodu zwiększa bezpieczeństwo i wydajność. **Brak zależności cloud**: Całkowicie self-hosted rozwiązanie. **Kryptografia stanu techniki**: Nowoczesne algorytmy kryptograficzne. **Elastyczna konfiguracja**: Obsługa punkt-punkt, punkt-multipoint i site-to-site. **Implementacja z WG-Easy** ```yaml version: '3.8' services: wg-easy: image: weejewel/wg-easy:latest container_name: wg-easy-ui restart: unless-stopped cap_add: - NET_ADMIN - SYS_MODULE sysctls: - net.ipv4.ip_forward=1 - net.ipv4.conf.all.src_valid_mark=1 volumes: - ./wg-easy-data:/etc/wireguard ports: - "51820:51820/udp" - "51821:51821/tcp" environment: - WG_HOST=YOUR_SERVER_DOMAIN - PASSWORD=SecurePassword123! - WG_DEFAULT_DNS=1.1.1.1,1.0.0.1 - WG_ALLOWED_IPS=0.0.0.0/0 ``` **4\. Cloudflare Tunnel** Cloudflare Tunnel umożliwia bezpieczne wystawienie usług web na internet bez otwierania portów. Agent nawiązuje websocket HTTPS tunnel wychodzący. **Kluczowe Zalety Architektury** **Obsługa wielu protokołów**: Nie tylko HTTP, ale także SSH, RDP i inne protokoły. **Integracja z Cloudflare Access**: Zaawansowane zasady dostępu i integracja z dostawcami tożsamości. **Automatyczne SSL**: Certyfikaty Let's Encrypt zarządzane automatycznie. **Ochrona DDoS**: Ruch przepływa przez infrastrukturę Cloudflare. **Porównanie Rozwiązań** | Cecha | Twingate | Tailscale | WireGuard | Cloudflare Tunnel | | ----------------- | ------------ | --------- | ------------ | ----------------- | | Otwarte porty | Nie | Nie | Tak (serwer) | Nie | | Łatwość wdrożenia | Wysoka | Wysoka | Średnia | Wysoka | | Obsługa CGNAT | Tak | Tak | Ograniczona | Tak | | Kontrola dostępu | Zaawansowana | ACL | Brak | Zaawansowana | | Publiczne URL | Nie | Nie | Nie | Tak | | Zależność cloud | Tak | Tak | Nie | Tak | | Self-hosting | Częściowy | Częściowy | Pełny | Ograniczony | --- ## Kolejna krytyczna podatność w FortiSIEM [Kolejny problem Fortineta - podatne FortiSIEM pod ostrzałemMamy wrażenie, że nie tylko nas zaczynają nużyć problemy produktów bezpieczeństwa, zwłaszcza od kilku firm… . Tym razem legendarny badacz SinSinology prezentuje krytyczną podatność (9.8 w skali CVSS w biuletynie bezpieczeństwa producenta) w produkcie dedykowanym dużym organizacjom – FortiSIEM. TLDR: Sprawa nie jest błaha, ponieważ jak informuje Fortinet luka ta…![](https://innasiec.pl/content/images/icon/favicon-52.ico)SekurakTomasz Turba![](https://innasiec.pl/content/images/thumbnail/fortisiem.png)](https://sekurak.pl/kolejny-problem-fortineta-podatne-fortisiem-pod-ostrzalem/?ref=innasiec.pl) Badacz SinSinology z WatchTowr Labs odkrył podatność ocenioną na 9.8 punktów w skali CVSS. Co gorsza, Fortinet potwierdził, że luka jest już aktywnie wykorzystywana przez cyberprzestępców w rzeczywistych atakach. FortiSIEM, jako centralny element infrastruktury bezpieczeństwa, ma dostęp do logów z całej sieci organizacji. Kompromitacja takiego systemu oznacza nie tylko utratę widoczności nad bezpieczeństwem, ale również potencjalny dostęp do wrażliwych danych z całego środowiska. Luka znajduje się w procesie `phMonitor`, który działa na porcie TCP 7900\. Konkretnie problem tkwi w funkcji `phMonitorProcess::handleStorageArchiveRequest`, odpowiedzialnej za obsługę żądań archiwizacji. Kluczowe elementy podatności: - **Brak uwierzytelnienia**: Atakujący może wysłać złośliwe żądanie bez logowania - **Nieprawidłowa sanityzacja**: Funkcja `ShellCmd::addParaSafe` nie filtruje wszystkich niebezpiecznych znaków - **Command injection**: Możliwość wstrzyknięcia własnych poleceń do wywołania systemowego Aplikacja przetwarza przesłane dane XML i wykorzystuje je do budowania polecenia systemowego: ```bash /opt/phoenix/deployment/jumpbox/datastore.py nfs test [IP_ADDRESS] [DIRECTORY] archive ``` Problem polega na tym, że funkcja sanityzująca escapuje jedynie cudzysłowy, ale ignoruje inne niebezpieczne znaki jak \`. Atakujący może przesłać następujący payload XML: ```xml nfs 127.0.0.1 `touch${IFS}/tmp/pwned` local ``` Wykorzystanie zmiennej `${IFS}` (Internal Field Separator) pozwala ominąć filtry spacji, a backticki umożliwiają wykonanie dowolnej komendy. **Wersje dotknięte podatnością** | Wersja FortiSIEM | Status | Zalecane działanie | | ---------------- | ----------- | -------------------------- | | 7.4.x | Nie dotyczy | Brak działań | | 7.3.0 - 7.3.1 | Podatna | Aktualizacja do 7.3.2+ | | 7.2.0 - 7.2.5 | Podatna | Aktualizacja do 7.2.6+ | | 7.1.0 - 7.1.7 | Podatna | Aktualizacja do 7.1.8+ | | 7.0.0 - 7.0.3 | Podatna | Aktualizacja do 7.0.4+ | | 6.7.0 - 6.7.9 | Podatna | Aktualizacja do 6.7.10+ | | 6.6.x i starsze | Podatna | Migracja do nowszej wersji | Jeśli natychmiastowa aktualizacja nie jest możliwa: ```bash # Blokowanie portu 7900 na firewallu iptables -I INPUT -p tcp --dport 7900 -j DROP # Lub ograniczenie dostępu tylko do zaufanych sieci iptables -I INPUT -p tcp --dport 7900 -s [TRUSTED_NETWORK] -j ACCEPT iptables -I INPUT -p tcp --dport 7900 -j DROP ``` --- ## Wizualizacja laba [NetVisionA network visualization and simulation app.![](https://innasiec.pl/content/images/icon/favicon-53.ico)](https://studio--netvision-xaj5r.us-central1.hosted.app/?ref=innasiec.pl) Aplikacja pozwala w szybki sposób przygotować wizualizację laba oraz przetestować jak w bardzo podstawowych warunkach będą poruszać się pakiety. --- ## Wygeneruj raport z dostępności sieci [GitHub - NetFreak85/icmp-reachability-reporter: A Python script to check the ICMP reachability of multiple network devices using concurrent threads and generate a styled HTML report.A Python script to check the ICMP reachability of multiple network devices using concurrent threads and generate a styled HTML report. - NetFreak85/icmp-reachability-reporter![](https://innasiec.pl/content/images/icon/pinned-octocat.svg)GitHubNetFreak85![](https://innasiec.pl/content/images/thumbnail/icmp-reachability-reporter)](https://github.com/NetFreak85/icmp-reachability-reporter?ref=innasiec.pl) Skrypt wykonuje testy dostępności ICMP dla listy adresów IP, zbiera statystyki RTT i strat pakietów, generuje raport HTML i wysyła go e‑mailem. Możesz go użyć do jednoczesnego sprawdzenia wielu urządzeń w sieci — przydaje się do szybkiej identyfikacji hostów niedostępnych, z częściową utratą pakietów lub o podwyższonych opóźnieniach. Dzięki zastosowaniu scapy, wielowątkowości i szablonów Jinja2 otrzymujesz czytelny raport z metrykami (min/max/avg RTT, procent strat) oraz łatwą konfigurację w pliku YAML. --- ## Wprowadzenie do protokołu UTCP _This post is for paying subscribers only._ ### 📬 ISN 200: Konsolowy Planer IPv6, Nowe Algorytmy i BFD: Twój Pakiet Bezpieczeństwa Sieci! URL: https://innasiec.pl/isn-199-konsolowy-planer-ipv6-nowe-algorytmy-i-bfd-twoj-pakiet-bezpieczenstwa-sieci/ Last updated: 2025-08-19T09:44:02.000Z ## Proste zapobieganie wyciekom tras [BGP “Roleplay” - Prevent Route Leaks Simply - the Junos Way (RFC9234)Accidental route leaks and hijacks have been business-as-usual, since the day when Yakov Rekhter and Kirk Lougheed conceived BGP on two napkins, exactly 35 years ago. And it took is all that time, just to realize that a very simple tweak, even though very limited in its nature, could have saved us f![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-18)LinkedInBerislav Todorovic![](https://innasiec.pl/content/images/thumbnail/1755258120955)](https://www.linkedin.com/pulse/bgp-roleplay-prevent-route-leaks-simply-junos-way-todorovic-qmjne/?ref=innasiec.pl) W swej istocie [RFC9234](https://datatracker.ietf.org/doc/rfc9234/?ref=innasiec.pl) jest proste. Wywodzi się bezpośrednio z modelu relacji między dwoma sąsiadującymi systemami autonomicznymi (AS) w BGP, które z natury mogą być: - **provider-customer** \- często oferowane klientowi przez dostawcę w ramach umowy komercyjnej - **peering** \- często bez opłat Każdy inżynier sieci, który kiedykolwiek dotknął BGP, wie, że w odniesieniu do każdego sąsiada BGP twoja sieć może odgrywać jedną z następujących ról: - **Provider** \- sąsiedni AS, dla którego twój AS zapewnia pełny tranzyt do Internetu i z powrotem - **Customer** \- sąsiedni AS, którego twoja sieć używa do pełnego tranzytu do sieci globalnej - **Peer** \- sąsiedni AS, który oferuje ci ograniczony tranzyt do swojej sieci i sieci swoich klientów oraz vice versa Klasyczny sposób implementacji powyższego podziału zasad, wykonuje się następująco: 1. Przypisz standardową społeczność dla każdej roli sąsiada (Customer, Peer, Provider) 2. W politykach importu BGP - oznacz wszystkie trasy odpowiednią społecznością roli 3. W politykach eksportu BGP - rozgłaszaj tylko trasy oznaczone społecznością Customer do Peers i Providers, jednocześnie rozgłaszając wszystko do wszystkich sąsiadów z rolą Customer Przykład implementacji w Junos: ``` policy-options { policy-statement PS-EBGP-CUSTOMER-OUT { term BGP { from { protocol bgp; prefix-list PL-CUSTOMER; } then accept; } then reject; } policy-statement PS-EBGP-PEER-OUT { term REJECT { from community [ PEER PROVIDER ]; then reject; } term BGP { from { protocol bgp; community CUSTOMER; } then accept; } then reject; } community CUSTOMER members 65000:0; community PEER members 65000:1; community PROVIDER members 65000:2; } ``` RFC9234 przychodzi z eleganckim rozwiązaniem - tak zwaną funkcjonalnością i atrybutem Only-To-Customer (OTC) BGP. HPE Juniper Networking niedawno to zaimplementowało, dając prosty mechanizm łagodzenia takich problemów. RFC9234 definiuje LOCAL ROLE twojego AS w odniesieniu do każdego z twoich sąsiadów. Podstawowe użycie jest proste - po prostu idź do konfiguracji BGP i dodaj przełącznik `otc-local-role`: ``` set protocols bgp group TRANSIT otc-local-role customer set protocols bgp group CUSTOMER otc-local-role provider set protocols bgp group PEER otc-local-role peer ``` ⚠️ Po zatwierdzeniu powyższej konfiguracji ****WSZYSTKIE sesje BGP zostaną zresetowane**. Podobnie jak każde inne rozszerzenie BGP, to również opiera się na dwóch mechanizmach: - **BGP Capability** Negocjowane przy użyciu wiadomości BGP OPEN, gdy ustanawiana jest sesja BGP. Jeśli BGP Role Capability (Code: 9) jest obecna w wektorze BGP Capabilities wiadomości OPEN, ta opcja jest komunikowana do peera i atrybut BGP Role jest wymieniany przy użyciu wiadomości UPDATE. - **BGP Attribute** Jeśli negocjacja capability jest udana, BGP OTC Attribute (Code: 35) jest wymieniany z peerem. Celem tego atrybutu jest wymuszenie, że gdy trasa zostanie wysłana do Customer, Peer lub Route Server Client, następnie pójdzie tylko do Customers. RFC9234 przewiduje nieco inne handling tego atrybutu: - **Tryb luźny (Loose Mode)** \- domyślny w większości implementacji, spowoduje, że sąsiad nierozumiejący BGP OTC Capability zignoruje go. Sesja BGP zostanie utworzona, ale rola OTC będzie używana tylko lokalnie. - **Tryb ścisły (Strict Mode)** \- jeśli BGP OTC Capability nie jest wynegocjowane - NIE twórz sesji BGP i traktuj to jako błąd. Czasami ustawienie stałej roli per grupa BGP lub sąsiad może być niewystarczające. Junos ma na to eleganckie rozwiązanie! Możesz nadpisać rolę dla jednego lub więcej prefiksów w ramach działań polityki routingu: ``` set policy-options policy-statement MYPOLICY term OTC-ROLE-OVERRIDE then otc-local-role provider ``` Ustawienie ****OTC Local Role ma absolutny priorytet nad wszystkim** jawnie ustawionym w politykach routingu BGP import/export, bez względu na to, jak specyficzne jest to ustawienie. Jeśli chcesz wyciekać konkretny prefiks otrzymany od peera do swoich providerów, musisz nadpisać rolę OTC dla tego prefiksu: ``` policy-options { policy-statement PS-EBGP-TRANSIT-OUT { term EXCEPTION { from { protocol bgp; route-filter 200.200.5.0/24 exact; } then { accept; otc-local-role provider; } } } } ``` --- ## Przełom w algorytmach najkrótszej ścieżki [https://arxiv.org/pdf/2504.17033](https://arxiv.org/pdf/2504.17033?ref=innasiec.pl) W świecie algorytmów grafowych rzadko kiedy jesteśmy świadkami tak znaczących przełomów. **Algorytm Dijkstry**, opracowany w 1959 roku przez holenderskiego informatyka Edsgera Dijkstrę, **przez dziesięciolecia stanowił złoty standard dla znajdowania najkrótszych ścieżek w grafach**. Ostatnia znacząca poprawa miała miejsce w 1984 roku, ustanawiając "**barierę sortowania**", którą wydawało się niemożliwe do pokonania. Bariera sortowania w kontekście algorytmów najkrótszej ścieżki odnosi się do teoretycznego ograniczenia wydajności. Tradycyjnie uważano, że algorytmy te nie mogą działać szybciej niż O(m log n), gdzie m to liczba krawędzi, a n to liczba wierzchołków w grafie. Teraz, po 41 latach stagnacji, chińscy naukowcy z Uniwersytetu Tsinghua przełamali tę barierę. Ich nowy algorytm osiąga złożoność czasową O(m log^(2/3) n), co stanowi pierwszy istotny postęp od dekad. Kluczową innowacją jest zastosowanie strategii "dziel i zwyciężaj" z nowatorskim krokiem scalania. W przeciwieństwie do tradycyjnych algorytmów sortowania, ten krok scalania jest specjalnie dostosowany do etykiet odległości w grafach. ![](https://innasiec.pl/content/images/2025/08/przelom_w_algorytmach.webp) --- ## "Bootcamp" z Automatyzacji sieci [GitHub - NetAuto-RheinMain/NetAuto-Bootcamp: An introduction into the world of Network AutomationAn introduction into the world of Network Automation - NetAuto-RheinMain/NetAuto-Bootcamp![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-27.svg)GitHubNetAuto-RheinMain![](https://innasiec.pl/content/images/thumbnail/NetAuto-Bootcamp)](https://github.com/NetAuto-RheinMain/NetAuto-Bootcamp?ref=innasiec.pl) NetAuto-Bootcamp to intensywny, praktyczny program uczący automatyzacji sieci i podstaw sieciowych. Możesz go użyć, jeśli chcesz przejść z tradycyjnego IT do NetOps albo zbudować solidne umiejętności w automatyzacji dla Cisco IOS i Arista EOS. Kurs łączy teorię niezależną od dostawcy z praktyką specyficzną dla vendorów — projektujesz, konfigurujesz, automatyzujesz i rozwiązujesz problemy w środowiskach symulowanych (Cisco Packet Tracer, GNS3, EVE‑NG). Pracujesz z Ansible, Terraform/OpenTofu i Pythonem, porównując składnię vendorów i realizując scenariusze z życia. --- ## Planer adresacji IPv6 w konsoli [GitHub - buraglio/ipv6planner: A high level IPv6 subnet planner written in goA high level IPv6 subnet planner written in go. Contribute to buraglio/ipv6planner development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-29.svg)GitHubburaglio![](https://innasiec.pl/content/images/thumbnail/ipv6planner-1)](https://github.com/buraglio/ipv6planner?ref=innasiec.pl) IPv6 Address Planner to narzędzie wiersza poleceń do tworzenia hierarchicznych planów adresacji IPv6\. Generuje plan z podanego subnetu, rozdziela przestrzeń na wiele POP‑ów, tworzy poziomy podsieci w każdym POPie i oblicza liczbę dostępnych podsieci na każdym poziomie. Eksportuje wynik w formatach tekstowych, JSON lub HTML oraz oferuje tryb interaktywny i rozbudowaną pomoc. --- ## Jak BFD Może Pomóc Twojej Sieci _This post is for paying subscribers only._ ### 📬 ISN 199: Nowe Zagrożenia AI, AWS NAT Gateway i Szybsze Rozwiązywanie Problemów z LLDP i STP! URL: https://innasiec.pl/isn-198-nowe-zagrozenia-ai-aws-nat-gateway-i-szybsze-rozwiazywanie-problemow-z-lldp-i-stp/ Last updated: 2025-08-19T09:43:54.000Z ## Nowe zagrożenie ze strony AI [Perplexity is using stealth, undeclared crawlers to evade website no-crawl directivesPerplexity is repeatedly modifying their user agent and changing IPs and ASNs to hide their crawling activity, in direct conflict with explicit no-crawl preferences expressed by websites.![](https://innasiec.pl/content/images/icon/favicon-32x32-12.png)The Cloudflare BlogGabriel Corral![](https://innasiec.pl/content/images/thumbnail/Perplexity_is_using_stealth__undeclared_crawlers_to_evade_website_no-crawl_directives-OG.png)](https://blog.cloudflare.com/perplexity-is-using-stealth-undeclared-crawlers-to-evade-website-no-crawl-directives/?ref=innasiec.pl) Współczesne środowisko sieciowe staje przed nowym wyzwaniem. AI-powered crawlery, takie jak te używane przez Perplexity, rozwijają coraz bardziej wyrafinowane techniki omijania tradycyjnych mechanizmów ochrony. Cloudflare zidentyfikował niepokojące wzorce zachowań crawlerów **Perplexity. System ten nie tylko ignoruje dyrektywy robots.txt, ale aktywnie maskuje swoją tożsamość po zablokowaniu oficjalnych user-agentów.** Perplexity wykorzystuje dwa różne podejścia do crawlingu: **Oficjalny crawler:** - User-Agent: `Mozilla/5.0 AppleWebKit/537.36 (KHTML, like Gecko; compatible; Perplexity-User/1.0; +https://perplexity.ai/perplexity-user)` - Wolumen: 20-25 milionów żądań dziennie - Zadeklarowane zakresy IP **Ukryty crawler:** - User-Agent: `Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/124.0.0.0 Safari/537.36` - Wolumen: 3-6 milionów żądań dziennie - Rotacja IP poza zadeklarowanymi zakresami W celu ominięcia restrykcji system crawlerów stosuje kilka zaawansowanych metod: 1. **Rotacja ASN** \- przełączanie między różnymi numerami systemów autonomicznych 2. **Maskowanie user-agenta** \- imitacja standardowych przeglądarek 3. **Ignorowanie robots.txt** \- kontynuacja crawlingu mimo jawnych zakazów 4. **Distributed crawling** \- rozproszenie ruchu przez różne infrastruktury Zespół Cloudflare przeprowadził kontrolowane testy wykorzystując świeżo zarejestrowane domeny: ``` User-agent: * Disallow: / ``` Mimo jednoznacznych dyrektyw blokujących, **Perplexity nadal dostarczała szczegółowe informacje o zawartości chronionych stron.** To potwierdza skuteczność technik omijania stosowanych przez system. Jak sobie radzićz takimi crawlerami? Współczesne rozwiązania wymagają: 1. **Machine Learning Detection** \- analiza wzorców behawioralnych 2. **Network Fingerprinting** \- identyfikacja na podstawie charakterystyk sieciowych 3. **Challenge-Response Systems** \- weryfikacja legitymności żądań 4. **Real-time Adaptation** \- dynamiczne dostosowanie reguł Zalecane ustawienia dla ochrony przed ukrytymi crawlerami: ``` # Przykład reguły Cloudflare (http.user_agent contains "Chrome/124.0.0.0" and cf.bot_management.score lt 30 and ip.src in $suspicious_ranges) ``` --- ## Dlaczego każdy inżynier sieci powinien hostować sondę? [Why You Should Host a RIPE Atlas Probe \~ Chris GrundemannRIPE Atlas is a global, open, real-time distributed Internet measurement platform, consisting of over 12,000 probes and more than 800 anchors![](https://innasiec.pl/content/images/icon/GTS-Favicon-180.png)Chris Grundemann\~Chris![](https://innasiec.pl/content/images/thumbnail/RIPE-Atlas1.jpg)](https://chrisgrundemann.com/index.php/2025/ripe-atlas-probe/?ref=innasiec.pl) RIPE Atlas to globalna, otwarta, rozproszona platforma pomiarowa Internetu, składająca się z tysięcy urządzeń pomiarowych, które mierzą łączność internetową w czasie rzeczywistym. RIPE Atlas został utworzony w 2010 roku przez RIPE Network Coordination Centre (NCC) i rozwinął się w coś niezwykłego: około 12 000 sond i ponad 800 kotwic na całym świecie. Wyobraź to sobie jako system nerwowy Internetu. Te urządzenia nieustannie sprawdzają puls globalnej łączności - mierzą opóźnienia, śledzą trasy, sprawdzają rozwiązywanie DNS i monitorują dostępność. Rezultat? Bezprecedensowy widok na to, jak Internet rzeczywiście działa, w czasie rzeczywistym, z tysięcy punktów obserwacyjnych. Koncepcja jest elegancko prosta: **wolontariusze hostują małe urządzenia pomiarowe, które nieprzerwanie monitorują wydajność Internetu.** W zamian otrzymują kredyty do przeprowadzania własnych pomiarów z tej globalnej sieci. To piękny przykład zbiorowej inteligencji w działaniu. Jeśli kiedykolwiek musieliście rozwiązywać problem z łącznością i marzyliście o posiadaniu "oczu" w różnych częściach świata, RIPE Atlas to wasza odpowiedź. Platforma zapewnia wszechstronne API, które pozwala zintegrować dane pomiarowe z istniejącymi systemami monitorowania i alertów. Możecie zaplanować pomiary ping z tysięcy sond na całym świecie, aby spojrzeć na swoją sieć z zewnątrz. Oto kilka rzeczywistych scenariuszy: - **Otrzymujecie raporty o przerywanych połączeniach** od użytkowników i musicie zrozumieć, czy problem jest lokalny, regionalny czy globalny? Z RIPE Atlas możecie szybko zaplanować pomiary z sond na całym świecie, aby zobaczyć dokładnie, gdzie leży problem. - **Planujecie zmianę dostawcy DNS?** Przetestujcie czasy rozwiązywania z różnych regionów przed przełączeniem. - **Oceniacie nowego dostawcę CDN lub transit?** Porównajcie metryki wydajności z tysięcy punktów obserwacyjnych. - **W przypadku problemów z routingiem** możecie wybrać sondy według AS, aby zrozumieć, czy problemy są specyficzne dla sieci czy bardziej rozpowszechnione. - **Nawet podczas incydentów sieciowych** możecie ocenić, które regiony są dotknięte, a które ścieżki pozostają funkcjonalne. Tu robi się ciekawie: każda hostowana sonda przynosi wam kredyty. Host otrzymuje 15 kredytów za każdą minutę, gdy jego sonda jest podłączona do sieci, więc zakładając ciągłe połączenie, powinniście zarobić około 21 600 kredytów każdego dnia. Dla perspektywy: za 1 000 000 kredytów możecie zaplanować pingi z 50 sond na całym świecie, wykonywane co pięć minut przez trzy tygodnie. **Dwa sposoby rozpoczęcia** Sondy sprzętowe: opcja "podłącz i zapomnij" Sondy sprzętowe wymagają mniej wiedzy technicznej do instalacji i obsługi, ponieważ działają według zasady "zainstaluj i zapomnij". Po umieszczeniu urządzenia automatycznie się łączy i generalnie "po prostu działa". Są automatycznie aktualizowane do najnowszego dostępnego firmware. Proces jest prosty: 1. Utwórz konto RIPE NCC Access 2. Złóż wniosek o sondę sprzętową przez swoje konto 3. Jeśli wniosek zostanie zatwierdzony, wyślą wam sondę 4. Zarejestruj sondę przez swoje konto i podłącz ją To wszystko. Sonda zajmuje się wszystkim innym, włączając aktualizacje firmware i zarządzanie łącznością. **Sondy programowe: dla zaawansowanych technicznie** Sondy programowe wymagają większej wiedzy technicznej, ale można je zainstalować na wielu wariantach Linuksa (Debian, RedHat, OpenWrt, Raspberry). Dostarczacie sprzęt (może być też VM) do uruchomienia na domowym routerze, Raspberry Pi leżącym bez użytku, własnym serwerze itp. Ta opcja daje więcej kontroli i elastyczności, choć wymaga większego zaangażowania przy wydawaniu aktualizacji. **Dodatkowe zastosowania** Oczywiście możecie używać RIPE Atlas do rozwiązywania problemów sieciowych i monitorowania. Ale potencjał sięga głębiej. **Badania i analiza**: Platforma stała się nieoceniona dla badań Internetu. RIPE Atlas był używany do badania głównych wydarzeń internetowych, włączając awarię w Amsterdam Internet Exchange (AMS-IX), powszechnie uważanym za jeden z największych IXP na planecie. **Walidacja wydajności**: Przed podejmowaniem decyzji infrastrukturalnych możecie testować wydajność z różnych globalnych lokalizacji. Planujecie nowe wdrożenie CDN? Zmieniacie dostawców? RIPE Atlas daje dane do podejmowania świadomych decyzji. **Nauka i rozwój**: Jeśli rozwijacie umiejętności automatyzacji sieci, RIPE Atlas zapewnia doskonałe API i zestaw danych do ćwiczeń. Dane pomiarowe są bogate, a API dobrze udokumentowane. --- ## Poznaj AWS NAT gateway [https://malithr.com/aws/natgateway/](https://malithr.com/aws/natgateway/?ref=innasiec.pl) Artykuł opisuje, kiedy Managed NAT Gateway w AWS jest właściwym wyborem, a kiedy warto rozważyć tańsze, samodzielnie zarządzane alternatywy. Pokazuje podstawowy scenariusz: instancje w prywatnej podsieci potrzebują dostępu do internetu, więc ruch wychodzi przez NAT (NAT Gateway w podsieci publicznej). --- ## Stwórz własne testy w Infrahub [Getting Started with the Pytest Plugin for Infrahub | OpsMillLearn how to use the Pytest plugin for Infrahub to test GraphQL, Jinja2, and data transformations using simple YAML—no Python needed.![](https://innasiec.pl/content/images/icon/cropped-OpsMill_Brand_Logo_Otto_Natural_Bubbles_blue-270x270.webp)OpsMillSuresh Vina![](https://innasiec.pl/content/images/thumbnail/pytest-plugin-for-infrahub-feature.jpeg)](https://www.opsmill.com/pytest-plugin-infrahub/?ref=innasiec.pl) Przewodnik pokazuje testowanie w Infrahub przy użyciu wtyczki pytest, koncentrując się na walidacji zapytań GraphQL, szablonów Jinja2 i Transformations — wszystko za pomocą prostych testów w YAML, bez potrzeby pisania Pythona. Możesz szybko sprawdzić składnię (smoke tests), poprawne renderowanie dla konkretnych wejść (unit tests) i — poza tym postem — integrację z żywym serwisem (integration tests). --- ## Wykorzystanie LLDP i STP do rozwiązywania problemów _This post is for paying subscribers only._ ### 📬 ISN 198: Bezpieczny Dostęp Self-Hosted, Digital Twin z Netboxa i Najmłodszy CCIE! URL: https://innasiec.pl/isn-197-bezpieczny-dostep-self-hosted-digital-twin-z-netboxa-i-najmlodszy-ccie/ Last updated: 2025-08-19T09:43:46.000Z ## Bezpieczny dostęp do usług self-hosted [Here’s how I access all of my self-hosted services while I’m travelingThere are a lot of different ways to access your self-hosted services when away, but here’s what works for me.![](https://innasiec.pl/content/images/icon/favicon-240x240.43161a66.png)XDAAdam Conway![](https://innasiec.pl/content/images/thumbnail/raspberry-pi-with-tailscale-on-computer.JPG)](https://www.xda-developers.com/how-access-self-hosted-services-traveling/?ref=innasiec.pl) Eksponowanie usług bezpośrednio do internetu, nawet z dodatkowymi warstwami autoryzacji jak Authelia czy Authentik, wprowadza niepotrzebne ryzyko. Najlepszym podejściem jest wykorzystanie VPN jako bramki dostępu, eliminując całkowicie publiczną ekspozycję usług. **Konfiguracja Tailnet** Tailnet składa się z wszystkich urządzeń podłączonych do sieci Tailscale. Proces konfiguracji: 1. **Rejestracja urządzeń** - Serwer z reverse proxy (dedykowane urządzenie w Tailnet) - Hosty z usługami (np. TrueNAS z siecią host) - Urządzenia klienckie (laptop, telefon, komputer) 2. **Konfiguracja kontroli dostępu** ```json { "acls": [ { "action": "accept", "src": ["group:engineers"], "dst": ["group:servers:*"] } ] } ``` **Konfiguracja domenowa z Cloudflare** **Tworzenie rekordów A** - Nazwa: subdomena (np. "truenas") - Adres IPv4: IP Tailscale reverse proxy - Status proxy: **WYŁĄCZONY** (kluczowe!) Cloudflare nie może proxy połączeń do prywatnych IP Tailscale, co stanowi dodatkową warstwę bezpieczeństwa. **Caddy jako reverse proxy z automatycznym SSL** Budowanie Caddy z modułem Cloudflare ```bash xcaddy build --with github.com/caddy-dns/cloudflare ``` Alternatywnie można pobrać gotowy binary z modułem Cloudflare. **Konfiguracja API tokenu Cloudflare** W panelu Cloudflare > Profile > API Tokens: - Template: "Edit zone DNS" - Zone Resources: wybrana domena - Zapisanie tokenu (jednorazowy dostęp!) **Caddyfile - konfiguracja globalna** ```caddyfile { email admin@example.com acme_dns cloudflare {env.CLOUDFLARE_API_TOKEN} } ``` **Przykłady konfiguracji usług** **Podstawowy reverse proxy:** ```caddyfile truenas.example.com { reverse_proxy http://192.168.1.5:81 } ``` **Uruchomienie i weryfikacja** ```bash export CLOUDFLARE_API_TOKEN=your_token_here caddy run --config /etc/caddy/Caddyfile ``` Caddy automatycznie: - Wykona DNS challenge przez Cloudflare - Otrzyma certyfikaty Let's Encrypt - Skonfiguruje automatyczne odnawianie **Subnet routing w Tailscale** Dla dostępu do całej sieci lokalnej: ```bash tailscale up --advertise-routes=192.168.1.0/24 ``` Następnie w panelu Tailscale należy zaakceptować advertised routes. --- ## Digital Twin z Netbox-a [GitHub - netreplica/nrx: Netreplica ExporterNetreplica Exporter. Contribute to netreplica/nrx development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-26.svg)GitHubnetreplica![](https://innasiec.pl/content/images/thumbnail/nrx)](https://github.com/netreplica/nrx?ref=innasiec.pl) nrx to narzędzie do eksportu topologii sieci z systemu NetBox. Umożliwia automatyczne generowanie plików konfiguracyjnych i wizualizacji w formatach takich jak Containerlab, Cisco Modeling Labs, Nvidia Air, Graphite, D2 oraz format JSON Cytoscape (CYJS). Możesz też tworzyć własne formaty przy pomocy szablonów Jinja2\. nrx obsługuje eksport danych na podstawie wybranych lokalizacji (Site) i tagów, filtruje role urządzeń oraz łączy dane o połączeniach fizycznych (kable, patch panele, obwody). --- ## Routing zero-touch w Rust [KIT / TM / Telematics / KIRA / KIRA Rust · GitLabKIRA routing daemon implementation. Written in rust.![](https://innasiec.pl/content/images/icon/favicon-72a2cad5025aa931d6ea56c3201d1f18e68a8cd39788c7c80d5b2b82aa5143ef.png)GitLab![](https://innasiec.pl/content/images/thumbnail/twitter_card-570ddb06edf56a2312253c5872489847a0f385112ddbcd71ccfa1570febab5d2.jpg)](https://gitlab.kit.edu/kit/tm/telematics/kira/kira-rust?ref=innasiec.pl) KIRA Rust to projekt rozwijający skalowalną architekturę routingu zero-touch napisaną w Rust. Oferuje demon routingu zapewniający łączność IPv6 bez potrzeby konfiguracji oraz rozproszoną tablicę haszującą do mapowania nazw na adresy IPv6\. Adresy generowane są z puli ULA, co oznacza, że nie są routowalne w Internecie – KIRA skupia się na rozwiązaniach dla płaszczyzn sterowania. Projekt jest w fazie wstępnej (wersja 0.0.0) i ciągle jest rozwijany. Repozytorium zawiera demon, biblioteki do implementacji oraz przykłady uruchomienia w środowisku emulowanym Containernet. --- ## Najmłodsza posiadaczka CCIE w historii [🌟 Proud to share a milestone — I’ve officially become the world’s YOUNGEST CCIE at just 13 years old. | Siddhi Bhardwaj🌟 Proud to share a milestone — I’ve officially become the world’s YOUNGEST CCIE at just 13 years old. Yes, not even 14 yet — and I’ve earned the Cisco Certified Internetwork Expert (CCIE) certification, one of the most prestigious and challenging achievements in the IT industry. This wasn’t an overnight success. It took years of focused effort, late-night studies, and a deep love for learning about networking and technology. I owe this achievement to so many special people: 👨‍👧 My Papa (Himanshu Bhardwaj ) — for being my mentor, motivator, and biggest supporter throughout this journey. 👩‍👧 My Mammi (Maa) — for taking care of me every single day and always reminding me, “Prove yourself, beta — you are made for this.” 👦 My 8-year-old little brother — who sacrificed his favorite games just because they were installed on the same server I used for day-and-night lab practice. He would patiently wait for me to sleep so he could play — truly, my little refreshment buddy. 💖 A big thank you to the many amazing YouTube trainers and creators who share knowledge so selflessly and make learning accessible with such a positive spirit. 🙏 And finally, thanks to God — for blessing me with such a supportive environment and shaping my journey in ways I never imagined. ✨ The journey doesn’t stop here. It’s just the beginning. #YoungestCCIE #CCIEAt13 #Cisco #Networking #ProudMoment #GirlInTech #FamilySupport #Gratitude #SelfLearning #TechJourney # Cisco Learn with Cisco #SiddhiBhardwaj | 453 comments on LinkedIn![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-17)LinkedInSiddhi Bhardwaj![](https://innasiec.pl/content/images/thumbnail/1754093336219)](https://www.linkedin.com/posts/siddhi-bhardwaj-14a763374%5Fyoungestccie-ccieat13-cisco-activity-7357200702177193984-YbpY?utm%5Fsource=share&utm%5Fmedium=member%5Fdesktop&rcm=ACoAAAsbZU8Bkl0vKa1oyrvwC9wAdrU5Dh3SG7g) Siddhi Bhardwaj została najmłodszą osobą posiadającą tytuł CCIE na świecie. **W wieku zaledwie 13 lat zdała kolejno CCNA, CCNP i CCIE.** Jak sama pisze, nie był to sukces, który osiągnęła w jeden wieczór. Same przygotowania do egzaminu CCIE to lata nauki i wyrzeczeń. Jest to bez wątpienia ogromne osiągnięcie, ale czy to odpowiedni czas? Mam w tym miejscu poważne wątpliwości i jestem ogromnie ciekawy Twojej opinii na ten temat. Odpisz i daj mi znać co uważasz. --- ## 5 Strategii Przygotowania do Egzaminu CWSP _This post is for paying subscribers only._ ### 📬 ISN 197: DEVCOR Znika, AUTOCOR Wkracza: Czy Juniper Cię Sabotuje? URL: https://innasiec.pl/isn-197-devcor-znika-autocor-wkracza-czy-juniper-cie-sabotuje/ Last updated: 2025-07-28T08:00:39.000Z ## Znika DEVCOR pojawia się AUTOCOR [https://learningcontent.cisco.com/documents/marketing/exam-topics/350-901-AUTOCOR-v2.0-7-9-2025.pdf](https://learningcontent.cisco.com/documents/marketing/exam-topics/350-901-AUTOCOR-v2.0-7-9-2025.pdf?ref=innasiec.pl) W maju Cisco ogłosiło zmiany w certyfikacji DevNet, przekształcając ją w certyfikację z zakresu automatyzacji. W efekcie egzamin DEVCOR został zastąpiony nowym testem AUTOCOR, a jednocześnie wprowadzono szereg aktualizacji, między innymi [300-435 v2.0 ENAUTO: Automating and Programming Cisco Enterprise Solutions](https://learningcontent.cisco.com/documents/marketing/exam-topics/300-435-ENAUTO-v2.0-7-9-2025.pdf?ref=innasiec.pl) oraz [300-635 v2.0 DCNAUTO: Automating and Programming Cisco Data Center Networking Solutions](https://learningcontent.cisco.com/documents/marketing/exam-topics/300-635-DCNAUTO-v2.0-7-9-2025.pdf?ref=innasiec.pl). Zobaczmy zmiany i nowości w AUTOCOR: **1.0 Software Development and Design (20%)** **Te części zostaną usunięte/przesunięte lub ograniczone:** - Ogólne koncepcje front-end/back-end, load balancing, architektura aplikacji. - Szczegółowa ocena wzorców architektonicznych aplikacji. - Wybór typów baz danych względem wymagań aplikacji. - Nie będzie nacisku na tworzenie diagramów sekwencji ani release packaging. - Diagnostyka aplikacji na podstawie logów zostanie ograniczona – pojawi się natomiast diagnostyka automatyzacji sieciowej. - Obsługa Git jest uproszczona i skupiona bardziej na automatyzacji niż na zaawansowanych operacjach developerskich. **2.0 Using APIs (20%)** **Usunięte/ograniczone:** - Szczegółowe implementacje error handling API REST i kontrole przepływu klienta. - OAuth2 i paginacja jako szczegóły aplikacyjne nie są już głównym tematem. - Ogólna optymalizacja HTTP cache kontrolowana przez API nie jest już osobnym punktem. **3.0 Cisco Platforms (20%)** **Usunięte:** - Szczegółowa praca z platformami Webex Teams, Firepower, Meraki, UCS, DNA Center. - Programowanie skryptów Python dedykowanych konkretnym platformom Cisco. - Tematy związane z AppDynamics oraz custom dashboardami. **4.0 Application Deployment and Security (20%)** **Usunięte/ograniczone:** - Ogólne praktyki CI/CD dla aplikacji (debugowanie pipeline). - Docker i Kubernetes w kontekście aplikacji. - Zasady 12-factor app. - Szczegółowe zagadnienia bezpieczeństwa aplikacji jak OWASP oraz end-to-end encryption. **5.0 Infrastructure Automation (20%)** - RESTCONF konfiguracja IOS XE - Ansible playbook i Puppet manifest do konfiguracji sieci - Zarządzanie konfiguracją sieci i hostowanie aplikacji na urządzeniach Catalyst 9000 oraz Cisco IOx **Zachowane/zmodyfikowane:** - Automatyzacja konfiguracji sieci za pomocą Ansible pozostaje, ale rozszerzona o Terraform i Python. - RESTCONF nadal obecny, ale z większym naciskiem na model-driven telemetry. - Puppet manifest zostaje przesunięty lub zastąpiony innymi narzędziami IaC. - Hostowanie aplikacji na urządzeniach mniej eksponowane lub inaczej ujęte. **Co zostanie dodane w Designing, Deploying and Managing Network Automation Systems v2.0?** **1.0 Network Automation (30%)** - Automatyzacja sieciowa z Ansible, Terraform, RESTCONF (YANG model), Python do konfiguracji VLAN, OSPF, ACL itp. - Wybór podejścia automatyzacji (infrastructure as code, low-code/no-code, custom apps) - Konsumpcja REST API z obsługą paginacji, zaawansowanymi mechanizmami autoryzacji i rate limitingiem **2.0 Infrastructure as Code (30%)** - Zaawansowane operacje Git rozszerzone o cherry-pick i squash merge - Diagnostyka CI/CD pipeline w GitLab CE z etapami build/prevalidation/deploy/post-validation - Tworzenie symulacji sieciowej w Cisco Modeling Labs (CML) - Interpretacja Docker Compose file (services, networks, volumes) - Integracja source of truth w automatyzacji sieciowej - Tworzenie YAML/JSON wg YANG-based modeli **3.0 Operations (20%)** - Model-driven telemetry: architektura i wykorzystanie danych telemetrycznych - Logging strategii dla automatyzacji sieciowej (syslog, webhooki) - Diagnostyka problemów automatyzacji na podstawie logów i outputu - Change validation dla automatyzacji z pyATS CLI tools - Proces uzyskiwania i wdrażania certyfikatów TLS CA-signed - Bezpieczne praktyki programistyczne: walidacja wejścia, uwierzytelnianie, zarządzanie sekretami **4.0 AI in Automation (20%)** - Korzyści i ryzyka AI w automatyzacji sieci (prywatność danych, własność IP) - Analiza ryzyk bezpieczeństwa AI w automatyzacji sieciowej - Budowa MCP servera dla AI-agentów (Python FastMCP) - Tworzenie agentów konwersacyjnych wykorzystujących LLM do automatyzacji sieci - Ocena dokładności rekomendacji AI w automatyzacji --- ## Problem kosztów w nowoczesnym monitoringu sieciowym [Who the Hell is Going to Pay For This? - Leon AdatoI’ve specialized in monitoring and observability for 27 years now, and I’ve seen a lot of tools and techniques come and go (RMon, anyone?); and more than a few come and stay…![](https://innasiec.pl/content/images/icon/cropped-icon-256x256-1.png)Leon AdatoLeon![](https://innasiec.pl/content/images/thumbnail/pexels-pandu-cahya-355263165-14259937-scaled.jpg)](https://www.adatosystems.com/2025/02/10/who-the-hell-is-going-to-pay-for-this/?ref=innasiec.pl) ## W celu lepszego zrozumienia problemów spójrzmy na cenniki najpopularniejszych rozwiązań. Oczywiście rzeczywiste ceny mogą się różnić po negocjacjach dla środowisk produkcyjnych. **New Relic** - **35 centów za GB** przesłanych danych - Strona cenowa nie czyni tego szczególnie jasnym **Datadog** Prawdziwa lista zakupów z opcjami: - **15-34 USD za host** - **60 centów - 1,22 USD za milion rekordów NetFlow** - **1,06-3,75 USD za milion rekordów logów** - **1,27-3,75 USD za milion spanów** **Dynatrace** - **15 centów za 100 000 metryk** \+ 0,07 centa za GB dziennie za przechowywanie - **2 centy za GB logów** \+ 0,07 centa za GB dziennie za przechowywanie + 0,035 centa za GB zapytań - **0,014 centa za 1000 spanów** **Grafana** - **8 USD za 1000 metryk** (do 1/minutę) - **50 centów za GB** dla logów i trace'ów z 30-dniowym przechowywaniem Te pozornie trywialne stawki szybko przekształcają się w prawdziwe pieniądze w środowiskach produkcyjnych. Oto kilka przykładów z życia: **Przypadek 1:** Jedna organizacja porównywała New Relic z Datadog dla aplikacji na Fargate. New Relic był znacznie tańszy do momentu, gdy zaczęli wysyłać logi. Wtedy Datadog stał się 30-40% tańszy. **Przypadek 2:** Słynny już przypadek rachunku za [**65 milionów USD od Datadog**.](https://blog.pragmaticengineer.com/datadog-65m-year-customer-mystery/?ref=innasiec.pl) **Przypadek 3:** Jak ujął to jeden anonimowy administrator: "Jedyne co pamiętam to minę CFO, gdy zobaczył rachunek." W początkach 2000 roku głównym wyzwaniem było identyfikowanie potrzebnych danych i zmuszenie systemów do ich udostępnienia. Koszty spoczywały głównie na infrastrukturze - raz kupionej, praktycznie "darmowej". Rezultat? Przyjęliśmy praktykę zbierania maksymalnej ilości danych i przechowywania ich na zawsze. Mimo zmian technologicznych, nasze podejście pozostało takie samo. Alec Isaacson z Grafana opisuje typową rozmowę z klientem: > "Zbieramy metryki CDM z najbardziej krytycznych systemów co 5 sekund, bo kiedyś ktoś został skrzyczany, gdy system był wolny, a metryki nie wyjaśniały dlaczego." OTel doskonale rozwiązuje problem vendor lock-in. Możliwość przełączania między dostawcami przez prostą zmianę endpointu to rewolucja. **Ale** \- OTel ma ukrytą wadę: nie zawsze działa EFEKTYWNIE pod względem kosztów. **Przykład 1: Wiadomości logów** Standardowa wiadomość syslog: ``` <134>1 2018-12-13T14:17:40.000Z myserver myapp 10 - [http_method="GET"; http_uri="/example"; http_version="1.1"; http_status="200"; client_addr="127.0.0.1"; http_user_agent="my.service/1.0.0"] HTTP request processed successfully ``` **Rozmiar:** 228 bajtów Ta sama wiadomość w formacie OTLP: ```json { "resource": { "service.name": "myapp", "service.instance.id": "10", "host.name": "myserver" }, "instrumentationLibrary": { "name": "myapp", "version": "1.0.0" }, "severityText": "INFO", "timestamp": "2018-12-13T14:17:40.000Z", "body": { "text": "HTTP request processed successfully" }, "attributes": { "http_method": "GET", "http_uri": "/example", "http_version": "1.1", "http_status": "200", "client_addr": "127.0.0.1", "http_user_agent": "my.service/1.0.0" } } ``` **Rozmiar:** 520 bajtów (o 25% większy niż JSON, ponad 2x większy niż oryginał) **Przykład 2: Metryki Prometheus** - **Typowa metryka Prometheus w JSON:** 291 bajtów - **Ta sama metryka w formacie OTLP:** 751 bajtów (2,5x większa) W celu optymalizacji kosztów zadaj sobie kluczowe pytania: 1. **Co zrobię z tymi danymi?** 2. **Kto będzie ich używać?** 3. **Jak długo muszę je przechowywać?** 4. **Kto za to zapłaci?** **Praktyczne rekomendacje:** **1\. Segmentacja danych** - Nie wszystkie dane wymagają przetwarzania przez OTel - Bezpieczeństwo może korzystać z tradycyjnych standardów - Różne zespoły mogą potrzebować różnych narzędzi **2\. Optymalizacja zbierania** - Unikaj zbierania metryk co 5 sekund bez uzasadnienia - Implementuj inteligentne filtrowanie - Regularnie przeglądaj retention policies **3\. Analiza ROI** - Przeprowadź szczegółową analizę kosztów przed implementacją - Porównaj koszty z korzyściami biznesowymi - Monitoruj wydatki w czasie rzeczywistym --- ## Juniper Cię nienawidzi? [Index of /![](https://static.ghost.org/v5.0.0/images/link-icon.svg)![](https://innasiec.pl/content/images/thumbnail/blank.gif)](http://juniperhatesyou.net/?ref=innasiec.pl) Większość producentów oznacza porty na obudowie sprzętu sieciowego, jednak Juniper tego nie robi. Dlaczego tak jest? Nie jestem pewien, ale w załączonym linku znajdziesz zdjęcia urządzeń działających na systemie Junos z wyraźnie oznaczonymi numerami portów. Dzięki temu technik nie będzie miał wątpliwości, czy port 1 znajduje się u góry, czy u dołu. --- ## Monitorowanie ruchu sieciowego [Sniffnet: comfortably monitor your Internet trafficWhether you want to gather statistics, or you need to inspect more in depth what’s going on in your network, Sniffnet will get you covered.![](https://innasiec.pl/content/images/icon/favicon-50.ico)SniffnetGiuliano Bellini![](https://innasiec.pl/content/images/thumbnail/preview.png)](https://sniffnet.net/?ref=innasiec.pl) Sniffnet to narzędzie do monitorowania ruchu internetowego, które pozwala na wygodne śledzenie i analizę danych przesyłanych przez Twoją sieć. Aplikacja wyróżnia się łatwością obsługi oraz dbałością o prywatność użytkownika, oferując m.in. filtrowanie ruchu, identyfikację ponad 6000 protokołów i usług, a także geolokalizację hostów. --- ## Czy CNAME to Twój wróg? _This post is for paying subscribers only._ ### 📬 ISN 196: GitLab CI/CD, Haszowanie Pakietów i API w Terminalu URL: https://innasiec.pl/isn-196-gitlab-ci-cd-haszowanie-pakietow-i-api-w-terminalu/ Last updated: 2025-07-21T08:00:45.000Z ## Budowa Lokalnego Serwera NTP z GPS [Building a Reliable Local NTP Server with GPS: Another Step Towards Self-Hosted InfrastructureThe improvement is staggering! We went from \~5-6 milliseconds accuracy with internet sources to just 82 microseconds with local GPS. That’s over 60 times more accurate! This is stratum 1 time accuracy in my homelab!![](https://innasiec.pl/content/images/icon/favicon-48.ico)PRO-IT Rocks!Bartosz Maciejewski![](https://innasiec.pl/content/images/thumbnail/2025-06-25-14.03.08.jpg)](https://pro-it.rocks/building-a-reliable-local-ntp-server-with-gps-another-step-towards-self-hosted-infrastructure/amp/?ref=innasiec.pl) Bartosz Maciejewski do budowy swojego serwera NTP wybrał FC-NTP-MINI z AliExpress. Kompaktowe chińskie pudełko z anteną GPS, które oferuje znacznie więcej niż podstawową synchronizację czasu. **Specyfikacja Techniczna** **Wsparcie Multi-GNSS:** - GPS L1 (standard amerykański) - Beidou B1 (chińska nawigacja satelitarna) - GLONASS L1 (rosyjski system pozycjonowania) - QZSS L1 (japoński system regionalny) **Parametry Wydajnościowe:** - 6000 zapytań na sekundę (obsługa na poziomie enterprise!) - Dokładność 100ns (0,0000001 sekund precyzji) - Dokładność synchronizacji LAN: 0,5-2ms - Pobór mocy: zaledwie 1W - Zasilanie: DC 12V - Zakres temperatur: -40°C do +85°C - Rozmiar: 80 x 23,8 x 90 mm (wielkość paczki papierosów!) **Dodatowe Funkcje:** - Interfejs webowy do konfiguracji i monitoringu - Uwierzytelnianie MD5 dla bezpiecznej dystrybucji czasu - Wyjście NMEA0183 przez TCP (surowe dane GPS) - Tryb BROADCAST dla efektywnej dystrybucji czasu Konfiguracja i Pierwsze Wrażenia Po podłączeniu do domyślnego IP (192.168.0.100), witamy się z czystym interfejsem bez zbędnych funkcji. ⚠️ Ważny pierwszy krok: urządzenie domyślnie ustawione jest na UTC+8 (czas chiński). Należy natychmiast zmienić na lokalną strefę czasową. **Status GNSS pokazuje:** ``` Receiver: Antenna OK Constellations in use: GPS+BeiDou+GLONASS SVs Used: 15 GPS (używane/widoczne): 9/11 BeiDou (używane/widoczne): 3/3 GLONASS (używane/widoczne): 3/5 ``` Migracja z ntpd do chrony Po rozległych testach, autor przemigrował wszystkie systemy z tradycyjnego ntpd na chrony. Powody: - Lepsza dokładność w środowiskach wirtualnych - Szybsza synchronizacja po rozruchu - Lepsze radzenie sobie z przerywanym połączeniem - Przewidywalne zachowanie step/slew **Przykładowa Konfiguracja chrony.conf** ```bash # Plik dryfu zegara driftfile /var/lib/chrony/drift # Synchronizacja RTC z czasem systemowym rtcsync # FC-NTP-MINI - Lokalny serwer GPS NTP (najwyższy priorytet) server 10.1.78.169 iburst prefer # Zewnętrzne serwery NTP (backup) server tempus1.gum.gov.pl iburst server tempus2.gum.gov.pl iburst server 0.pl.pool.ntp.org iburst # Pozwól klientom LAN używać tego serwera NTP allow 10.1.78.0/24 # Jeśli przesunięcie > 1 sekunda - popraw natychmiast makestep 1.0 -1 maxupdateskew 100.0 minsamples 6 maxsamples 10 local stratum 10 ``` Wyniki: Dramatyczna Poprawa Dokładności Przed Dodaniem Lokalnego GPS (tylko źródła internetowe) ```bash $ chronyc tracking Reference ID : C292FB64 (tempus1.gum.gov.pl) Stratum : 2 System time : 0.000000695 seconds slow of NTP time Last offset : +0.007955262 seconds RMS offset : 0.002647618 seconds Root delay : 0.008763653 seconds ``` Dokładność: \~5-6ms Po Dodaniu Lokalnego GPS ```bash $ chronyc tracking Reference ID : 0A014EA9 (FC-NTP-MINI) Stratum : 2 System time : 0.000000009 seconds fast of NTP time Last offset : +0.000287045 seconds Root delay : 0.000140594 seconds ``` **Poprawa jest oszałamiająca!** Przeszliśmy z dokładności \~5-6 milisekund do zaledwie 82 mikrosekund. To ponad 60-krotna poprawa dokładności! ```bash $ chronyc sources -v MS Name/IP address Stratum Poll Reach LastRx Last sample =============================================================================== ^* FC-NTP-MINI 1 6 17 52 +3281ns[ +290us] +/- 82us ^- tempus1.gum.gov.pl 1 6 17 51 -1736us[-1736us] +/- 5537us ^- tempus2.gum.gov.pl 1 6 17 52 -2432us[-2145us] +/- 6156us ``` FC-NTP-MINI jest teraz oznaczony gwiazdką (\*), wskazując, że to główne źródło czasu, podczas gdy serwery internetowe stały się backupem. --- ## Strategie haszowania dla przetwarzania pakietów [Hashing Strategies for Packet Processing“It is not easy to become an educated person.” - Richard Hamming![](https://innasiec.pl/content/images/icon/faviconV2)Dip Singh![](https://innasiec.pl/content/images/thumbnail/fig1.png)](https://dipsingh.github.io/Hashing-HighSpeed-Packet-Processing/?ref=innasiec.pl) Koncepcja haszowania jest prosta — funkcja haszująca zamienia klucz (np. adres IP) na wartość liczbową, która następnie służy jako indeks w tablicy. Dzięki spłaszczeniu dużej przestrzeni kluczy do mniejszej tablicy haszującej, wyszukiwanie rekordów staje się szybką operacją dostępu do tablicy. Jednak wraz ze wzrostem zbioru danych pojawiają się wyzwania, takie jak kolizje (gdy różne klucze są mapowane na ten sam indeks) i zapełnianie tablicy. Dlatego opracowano szereg strategii i technik przeznaczonych do efektywnego radzenia sobie z tego rodzaju sytuacjami. **Jedną z podstawowych technik rozwiązywania kolizji jest łańcuchowanie**, w którym wszystkie rekordy przypisane do tego samego indeksu są umieszczane w łańcuchu (zwykle w postaci listy połączonej). Nowe rekordy są dodawane na końcu każdego łańcucha, ułatwiając operacje wstawiania, ale potencjalnie spowalniając wyszukiwanie przy głębokich łańcuchach. Jedną z ciekawszych technik haszowania, zwłaszcza w kontekście sprzętu sieciowego, jest **cuckoo hashing**. W tej metodzie każdy klucz ma dwie możliwe lokalizacje w dwóch oddzielnych tablicach. Podczas wstawiania klucz jest umieszczany w swojej głównej lokalizacji, o ile jest wolna. W przeciwnym razie klucz podmieniany jest z kluczem zajmującym tę lokalizację, który jest następnie próbowany w swojej alternatywnej lokacji. Ten proces migracji może utworzyć łańcuch przemieszczeń, ale w praktyce są one krótkie. **Wielką zaletą cuckoo hashingu jest zapewnienie stałego czasu wyszukiwania w najgorszym przypadku.** Gdy szukany jest dany klucz, sprawdzane są tylko dwie lokalizacje (po jednej w każdej tablicy), co umożliwia wydajną realizację w sprzęcie sieciowym. Oprócz zapewniania szybkich wyszukiwań, ważnym wymaganiem dla haszowania w sieciach jest ograniczenie zajmowanej pamięci. Filtry Blooma są jedną z technik służących temu celowi — pozwalają one szybko stwierdzić, czy dany rekord nie znajduje się w zbiorze, eliminując potrzebę szukania go w głównej strukturze danych. W sprzęcie sieciowym techniki haszowania są często wdrażane z wykorzystaniem otwartego adresowania z ograniczoną pojemnością wiaderka. Każde wiadro/wiersz może pomieścić z góry określoną liczbę wpisów (np. 4), co pozwala na równoległe sprawdzanie tych lokalizacji pamięci w pojedynczym cyklu zegara. Inna powszechna strategia to haszowanie wielokrotne (d-way lub d-left), gdzie zamiast jednej funkcji haszującej wykorzystywanych jest kilka, dając każdemu kluczowi zbiór potencjalnych lokalizacji. Umożliwia to sprawdzanie wszystkich kandydujących pozycji w ramach kilku równoległych operacji dostępu do pamięci. Ostatnim przykładem są implementacje potokowe i równoległe. W architekturach ASIC operacje haszowania są rozdzielane na etapy potoku, a obliczenia i dostępy do pamięci są replikowane w celu obsługi wielu pakietów jednocześnie. --- ## Podstawy CI/CD w Gitlab Przewodnik pokazujący, jak skonfigurować GitLab Runnera oraz stworzyć podstawową pipeline CI/CD. Materiał wyjaśnia krok po kroku instalację i konfigurację, a także przedstawia przykładowy plik .gitlab-ci.yml. Idealny dla osób zaczynających przygodę z automatyzacją procesów w GitLabie. --- ## Przeglądaj API w terminalu [GitHub - zaghaghi/openapi-tui: Terminal UI to list, browse and run APIs defined with openapi spec.Terminal UI to list, browse and run APIs defined with openapi spec. - zaghaghi/openapi-tui![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-25.svg)GitHubzaghaghi![](https://innasiec.pl/content/images/thumbnail/openapi-tui-1)](https://github.com/zaghaghi/openapi-tui?ref=innasiec.pl) Openapi-tui to terminalowy interfejs użytkownika umożliwiający przeglądanie, eksplorowanie i uruchamianie API zgodnych ze specyfikacją OpenAPI v3.0 i v3.1\. Dzięki temu narzędziu łatwo porównasz różne API, sprawdzisz dostępne endpointy, wykonasz zapytania oraz przeglądniesz historię wywołań – wszystko bez opuszczania terminala. openapi-tui wspiera też zaawansowane funkcje, takie jak filtrowanie, obsługa webhooków, wiele serwerów oraz możliwość importu i zapisu zapytań i odpowiedzi. --- ## Szablony Jinja2 i role w Ansible _This post is for paying subscribers only._ ### 📬 ISN 195: Sieć w Kubernetes, Tajniki IOU i Nowe Sposoby Tworzenia Topologii! URL: https://innasiec.pl/isn-195-siec-w-kubernetes-tajniki-iou-i-nowe-sposoby-tworzenia-topologii/ Last updated: 2025-07-14T08:00:56.000Z ## Alternatywa dla CRL OCSP stanowi eleganckie rozwiązanie problemu sprawdzania unieważnionych certyfikatów. W przeciwieństwie do tradycyjnych list unieważnień certyfikatów (CRL), które wymagają pobierania całych list, OCSP umożliwia sprawdzenie statusu konkretnego certyfikatu poprzez bezpośrednie zapytanie do odpowiadacza OCSP. **Lokalizacja URL OCSP w Certyfikacie** URL OCSP znajduje się w rozszerzeniu "Authority Information Access" certyfikatu. Typowy format to: ``` http://ocsp.example.com/ocsp ``` Ta informacja jest osadzona bezpośrednio w certyfikacie podczas jego wydawania przez urząd certyfikacji. **Zalety OCSP nad CRL** - **Aktualność w czasie rzeczywistym**: Sprawdzanie statusu odbywa się na żądanie - **Efektywność przepustowości**: Pobierane są tylko potrzebne informacje - **Skalowalność**: Brak konieczności przechowywania dużych list CRL Aby włączyć sprawdzanie unieważnień opartych na OCSP, skonfiguruj trustpoint następująco: ```cisco crypto pki trustpoint trustpoint-name revocation-check ocsp ``` W niektórych scenariuszach może być konieczne użycie niestandardowego URL OCSP: ```cisco crypto pki trustpoint trustpoint-name revocation-check ocsp url http://custom-ocsp.company.com/ocsp ``` Do debugowania zachowania OCSP wykorzystaj: ```cisco debug crypto pki ``` To polecenie pozwala monitorować: - Wysyłanie zapytań OCSP - Odpowiedzi od serwerów OCSP - Błędy walidacji certyfikatów Błąd `%CRYPTO-6-IKMP_NO_ID_CERT_ADDR_MATCH` występuje, gdy router oczekuje dopasowania tożsamości certyfikatu według adresu IP, ale zamiast tego znajdzie FQDN (Fully Qualified Domain Name). --- ## Mostkowanie Cisco IOU [GitHub - PJO2/ioulive64: allow iou to communicate with an external ethernet interfaceallow iou to communicate with an external ethernet interface - PJO2/ioulive64![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-23.svg)GitHubPJO2![](https://innasiec.pl/content/images/thumbnail/ioulive64)](https://github.com/PJO2/ioulive64?ref=innasiec.pl) IOUlive64 to open-source’owa alternatywa dla narzędzia IOUlive stworzonego przez Cisco. Umożliwia łączenie wirtualnych routerów i switchy Cisco IOU z rzeczywistą siecią Ethernet, poprzez mostkowanie interfejsów IOU z fizycznymi interfejsami systemu. --- ## Graficzny interfejs dla Containerlab [GitHub - antimony-team/antimony: A visual approach to designing and managing Containerlab networks.A visual approach to designing and managing Containerlab networks. - antimony-team/antimony![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-24.svg)GitHubantimony-team![](https://innasiec.pl/content/images/thumbnail/antimony)](https://github.com/antimony-team/antimony?ref=innasiec.pl) Antimony to platforma z graficznym interfejsem do projektowania i zarządzania sieciami Containerlab. Umożliwia łatwe tworzenie topologii sieci metodą przeciągnij i upuść oraz edycję kodu topologii obok siebie. Antimony pozwala na pełne zarządzanie instancjami containerlab, oferuje eksperymentalne wsparcie dla Kubernetes, obsługę wielu użytkowników przez OpenID oraz podgląd w czasie rzeczywistym statusu i logów kontenerów. Platforma sprawdzi się zarówno w edukacji, jak i przy lokalnym użytkowaniu, a jej kod jest dostępny na GitHubie wraz z dokumentacją. --- ## Podstawy sieci w K8S [The AI workspace that works for you. | NotionA tool that connects everyday work into one space. It gives you and your teams AI tools—search, writing, note-taking—inside an all-in-one, flexible workspace.![](https://innasiec.pl/content/images/icon/logo-ios-2.png)Notion![](https://innasiec.pl/content/images/thumbnail/default-2.png)](https://cloudnetdev.notion.site/Kubernetes-for-Network-Engineers-227a914d5198803ca686c6e42e141750?ref=innasiec.pl) Kubernetes został zaprojektowany do automatyzacji wdrażania, skalowania i zarządzania aplikacjami w kontenerach. Początkowo stworzony przez Google, a następnie udostępniony jako platforma open-source, jest obecnie utrzymywany przez Cloud Native Computing Foundation (CNCF). **Chociaż K8s jest popularnym narzędziem do orkiestracji kontenerów na dużą skalę, istnieją alternatywy takie jak Docker Swarm, Hashicorp Nomad, AWS ECS czy Mesos.** **Pody (Pods)** Pod jest najmniejszą jednostką w K8s, wewnątrz której znajdować się będzie jeden lub wiele kontenerów (np. Docker). Pod jest pojedynczą instancją aplikacji, na przykład aplikacją sprawdzającą stan urządzeń sieciowych lub mikroserwisem obsługującym logowanie do aplikacji. Warto pamiętać, że Kubernetes zarządza podami, a nie bezpośrednio kontenerami, które żyją wewnątrz podów. Gdy aplikacja musi się skalować, na przykład z powodu zwiększonego obciążenia spowodowanego nowymi użytkownikami, tworzone są nowe pody. Każdy pod posiada unikalny adres IP. Jeśli mamy wiele kontenerów wewnątrz poda, współdzielą one ten sam adres IP i MAC oraz mogą komunikować się ze sobą przez localhost. Dzieje się tak, ponieważ współdzielą tę samą przestrzeń nazw sieciowych (koncepcja Linuxa, nieco podobna do VRF). Dzielą również pamięć masową w postaci wolumenów. Domyślnie pody mogą komunikować się z innymi podami w tym samym klastrze bez ograniczeń. Omówimy wkrótce, czym jest klaster oraz jak można uczynić to domyślne zachowanie bezpieczniejszym. ``` $ kubectl get nodes NAME STATUS ROLES AGE VERSION controlplane Ready control-plane 62m v1.33.0 node01 Ready 61m v1.33.0 ``` **Klastry (Clusters)** Klaster Kubernetes to zestaw węzłów zgrupowanych razem, które pomagają równoważyć obciążenie i zapewniać redundancję, jak wspomniano wcześniej. Każdy klaster ma węzeł master, który działa jak mózg klastra, zarządzając innymi węzłami i orkiestrując pody. Każdy klaster zawiera kilka komponentów Kubernetes: **API Server** \- Pełni rolę frontendu K8s, z którym komunikują się narzędzia CLI, takie jak kubectl etcd - Rozproszona baza danych typu klucz-wartość przechowująca informacje o klastrze i obiektach Kubelet - Agent działający na każdym węźle, dbający o to, by pody hostowane na nim były zdrowe **Container runtime** \- Instalowany na każdym węźle roboczym, np. Docker/cri-o **Controller** \- Zarządza orkiestracją i reaguje na zdarzenia, takie jak awarie podów lub węzłów **Scheduler** \- Dystrybuuje pody na węzłach, wyszukując nowo utworzone i przypisując je do węzłów **Klastry K8s domyślnie mają płaski model sieciowy, dzięki czemu wszystkie pody w klastrze mogą komunikować się ze sobą bez potrzeby NAT.** Bardzo ważne jest, aby pamiętać, że pody i ich adresy IP są efemeryczne i mogą się zmieniać, dlatego zazwyczaj nie używamy adresów IP jako identyfikatorów, lecz etykiet podów. Etykietę można traktować jak tag, np. app = networkapp. Wymaga to zupełnie innego myślenia niż w świecie lokalnym, gdzie możemy identyfikować serwer na podstawie jego adresu IP. Przejdźmy do kilku innych komponentów sieciowych. **CNI (Container Network Interface)** CNI to wtyczka w K8s, która definiuje specyfikację określającą, jak powinna być zaimplementowana sieć w naszym klastrze. Wybrana wtyczka określa, w jaki sposób pody otrzymują adresy IP oraz jak działa routing w klastrze. Przykłady CNI to: Cilium, Calico i Weave. Musimy wybrać odpowiedni CNI dla naszych wymagań dotyczących sieci, bezpieczeństwa i obserwowalności, ponieważ mają one różne funkcje. Na przykład różne CNI mają odmienne implementacje polityk sieciowych, które wkrótce omówimy. Jeśli potrzebujemy funkcji filtrowania warstwy 7, możemy wybrać Cilium. **Polityki Sieciowe (Network Policies)** Polityka sieciowa Kubernetes definiuje reguły zapory dla poda lub grupy podów według etykiet, nie adresów IP, bo pody są efemeryczne. Pozwala kontrolować, które pody mogą się komunikować, podobnie jak grupy bezpieczeństwa w AWS, gdzie dozwolony ruch jest określany, a reszta blokowana. Ruch z konkretnych adresów IP podów nie jest możliwy do zablokowania, ale można ograniczać zakresy IP. Domyślnie wszystkie pody mogą się komunikować, więc polityki sieciowe są kluczowe dla bezpieczeństwa klastra. Nie wszystkie CNI obsługują polityki — np. Flannel ich nie wspiera, więc polityka w takim klastrze nie zadziała. Przykładowo, w typowej aplikacji trójwarstwowej frontend, backend i baza danych domyślnie się komunikują, ale warto ograniczyć dostęp frontendu do bazy danych dla bezpieczeństwa. ```yaml apiVersion: networking.k8s.io/v1 kind: NetworkPolicy metadata: name: db-policy spec: podSelector: matchLabels: # Przypisz politykę do podów z etykietą role: db role: db policyTypes: - Ingress ingress: - from: # Zezwól na ruch przychodzący z podów backendowych na porcie TCP 3306 - podSelector: matchLabels: role: backend ports: - protocol: TCP port: 3306 ``` Po zastosowaniu naszej polityki sieciowej, przepływy ruchu w naszej aplikacji trójwarstwowej będą wyglądać następująco: - Frontend może komunikować się z backendem - Backend może komunikować się z bazą danych - Frontend nie może bezpośrednio komunikować się z bazą danych Możemy użyć poniższego polecenia, aby zweryfikować naszą Politykę Sieciową: ``` $ kubectl describe networkpolicies db-policy Name: db-policy Namespace: default Created on: 2025-07-06 01:14:54 +0000 UTC Labels: Annotations: Spec: PodSelector: role=db Allowing ingress traffic: To Port: 3306/TCP From: PodSelector: role=backend Not affecting egress traffic # Nasza polityka nie wpływa na ruch wychodzący - tylko przychodzący Policy Types: Ingress ``` **Usługi (Services)** Jak już kilkakrotnie wspomnieliśmy, pody w K8s są efemeryczne, co oznacza, że pojawiają się i znikają. W praktyce oznacza to, że trudno jest używać adresu IP poda do wskazania na niego, ponieważ może on zostać zniszczony po pewnym czasie. Tutaj właśnie pojawiają się usługi, które pozwalają nam udostępnić pod lub grupę podów za pomocą jednego stabilnego punktu końcowego. Można o nich myśleć jak o load-balancerach, jakie mamy w chmurze i świecie lokalnym. Usługi dają nam wirtualny adres IP i nazwę DNS, których możemy używać do dostępu do naszych podów. Zapewniają również równoważenie obciążenia dla zdrowych podów określonych przez selektor etykiet podów, np. role=app. Istnieją różne typy usług, omówmy kilka najpopularniejszych: **ClusterIP** \- Jest to domyślny typ, dający usługę dostępną tylko wewnątrz naszego klastra **NodePort** \- Udostępnia naszą usługę na statycznym porcie na IP każdego węzła w naszym klastrze **LoadBalancer** \- Integruje się z usługą load balancera dostawcy chmury, np. AWS ALB, aby udostępnić usługi zewnętrznie **Ingress** Ingress działa jak load balancer warstwy 7, który pozwala na zewnętrzne udostępnianie usług, zazwyczaj przy użyciu HTTP/HTTPS i kontrolera ingress (np. NGINX lub Traefik) poprzez pojedynczy adres URL. Może być używany do zakończenia TLS i może również wykonywać routing oparty na ścieżkach i hostach do naszych usług K8s. Warto wspomnieć, że istnieje nowoczesny sposób realizacji tego zadania, nazywany Gateway API. **Kube-Proxy** Kube-proxy nie jest tak naprawdę proxy (wcale nie mylące), ale raczej komponentem działającym na każdym z naszych węzłów, utrzymującym reguły sieciowe do udostępniania usług. Implementuje również równoważenie obciążenia, które wykonują nasze usługi K8s. Warto również wspomnieć, że niektóre CNI, jak Cilium, zastąpiły Kube-Proxy nowszymi i bardziej skalowalnymi technologiami, ponieważ domyślnie używa on iptables w tle (technologia prawie tak stara jak niektórzy z nas). Kubernetes może wydawać się bardzo skomplikowany. Mam nadzieję, że ten artykuł pomógł wyjaśnić niektóre kluczowe koncepcje i pozwolił zrozumieć ogólny obraz. Jeśli chcesz zagłębić się głębiej, istnieje wiele świetnych zasobów, które możesz wykorzystać do poszerzenia swojej wiedzy i zdobycia praktycznego doświadczenia. ## Tworzenie Topologii Sieciowych _This post is for paying subscribers only._ ### 📬 ISN 194: Certyfikaty IP, Grupowanie po ASN, Python dla Sieci i Architektura AI/ML! URL: https://innasiec.pl/isn-194-certyfikaty-ip-grupowanie-po-asn-python-dla-sieci-i-architektura-ai-ml/ Last updated: 2025-07-07T08:00:41.000Z ## Certyfikaty dla adresów IP [We’ve Issued Our First IP Address CertificateSince Let’s Encrypt started issuing certificates in 2015, people have repeatedly requested the ability to get certificates for IP addresses, an option that only a few certificate authorities have offered. Until now, they’ve had to look elsewhere, because we haven’t provided that feature. Today, we’ve issued our first certificate for an IP address, as we announced we would in January. As with other new certificate features on our engineering roadmap, we’ll now start gradually rolling out this option to more and more of our subscribers.![](https://innasiec.pl/content/images/icon/favicon-46.ico)Let's Encrypt![](https://innasiec.pl/content/images/thumbnail/LetsEncrypt-SocialShare.png)](https://letsencrypt.org/2025/07/01/issuing-our-first-ip-address-certificate/?ref=innasiec.pl) Let's Encrypt, organizacja, która zrewolucjonizowała rynek certyfikatów SSL/TLS, właśnie ogłosiła wydanie swojego pierwszego certyfikatu dla adresu IP. Jest to funkcjonalność, o którą społeczność specjalistów IT zabiegała od lat, a która do tej pory była dostępna jedynie u kilku wybranych urzędów certyfikacji. Do tej pory certyfikaty SSL/TLS były wydawane głównie dla nazw domenowych, co odzwierciedlało sposób, w jaki użytkownicy identyfikują usługi online. Jednakże w niektórych przypadkach posiadanie certyfikatu bezpośrednio dla adresu IP może być kluczowe. **Dlaczego certyfikaty dla adresów IP są rzadziej stosowane?** Istnieje kilka technicznych powodów, dla których certyfikaty dla adresów IP nie cieszyły się dotąd dużą popularnością: **Dynamiczna natura adresacji IP** \- Adresy IP mogą się zmieniać bez uprzedzenia, szczególnie w przypadku usług przenoszonych między dostawcami hostingu. Użytkownicy rozpoznają serwisy po nazwach domenowych, nie po adresach IP. **Słabsze poczucie "własności"** \- W przeciwieństwie do nazw domenowych, które są jednoznacznie przypisane do właścicieli, adresy IP często są przydzielane tymczasowo, zwłaszcza w przypadku użytkowników domowych z dynamicznymi adresami IP. **Współdzielenie adresów IP** \- W środowiskach wirtualnego hostingu wiele stron może współdzielić jeden adres IP, co komplikuje próbę nawiązania połączenia bezpośrednio z adresem IP. **Ograniczona użyteczność** \- Większość operatorów usług internetowych nie zakłada, że użytkownicy końcowi będą celowo łączyć się z ich serwisami bezpośrednio przez adres IP. **Zastosowania certyfikatów dla adresów IP** 1. **Zabezpieczanie infrastruktury DNS over HTTPS (DoH)** Jednym z najbardziej znaczących zastosowań będzie możliwość lepszego zabezpieczania serwerów DoH. Posiadanie certyfikatu znacząco ułatwia serwerom DoH potwierdzenie swojej tożsamości wobec klientów. To może umożliwić klientom DoH egzekwowanie wymogu posiadania ważnego, publicznie zaufanego certyfikatu podczas łączenia się z serwerami DoH. 2. **Zabezpieczanie tymczasowych połączeń w infrastrukturze chmurowej** Dla zespołów DevOps i inżynierów sieciowych pracujących w środowiskach chmurowych, możliwość zabezpieczania efemerycznych połączeń między serwerami back-endowymi lub tymczasowych połączeń administracyjnych do nowych lub krótkotrwałych serwerów za pomocą HTTPS jest nieoceniona - pod warunkiem, że serwery te mają dostępny co najmniej jeden publiczny adres IP. 3. **Strony domyślne dla dostawców hostingu** Z perspektywy dostawców usług hostingowych, certyfikaty dla adresów IP umożliwiają zabezpieczenie domyślnych stron, które są wyświetlane gdy ktoś wklei adres IP serwera do przeglądarki zamiast nazwy indywidualnej strony. Obecnie takie działanie zwykle powoduje błąd w przeglądarce związany z niezgodnością certyfikatu. 4. **Zabezpieczanie urządzeń IoT i NAS** W kontekście zabezpieczania zdalnego dostępu do niektórych urządzeń domowych (jak serwery NAS czy urządzenia IoT), certyfikaty dla adresów IP mogą umożliwić szyfrowanie komunikacji nawet bez konieczności posiadania nazwy domenowej. **Jak uzyskać certyfikat dla adresu IP?** Certyfikaty Let's Encrypt dla adresów IP są już dostępne w środowisku testowym (Staging). Ich pełna dostępność w środowisku produkcyjnym jest planowana na późniejszą część 2025 roku, równocześnie z wprowadzeniem certyfikatów krótkoterminowych. Należy zwrócić uwagę na następujące aspekty techniczne: **Certyfikaty krótkoterminowe** \- Z zasady, certyfikaty Let's Encrypt obejmujące adresy IP muszą być certyfikatami krótkoterminowymi, ważnymi przez około sześć dni. W związku z tym klient ACME musi obsługiwać specyfikację "draft ACME Profiles" i być skonfigurowany do żądania profilu "shortlived". **Metody weryfikacji** \- Nie można użyć metody weryfikacji DNS do potwierdzenia kontroli nad adresem IP; możliwe jest wykorzystanie wyłącznie metod http-01 i tls-alpn-01. **Kompatybilność klientów** \- Wiele aplikacji klienckich Let's Encrypt powinno już obsługiwać certyfikaty dla adresów IP, choć w niektórych przypadkach mogą być wymagane drobne zmiany techniczne. Jeśli oprogramowanie klienckie zażąda certyfikatu dla adresu IP z parametrami niezgodnymi z tymi zasadami, zamówienie zostanie odrzucone przez serwer ACME. W takim przypadku aplikacja kliencka może wymagać aktualizacji lub rekonfiguracji. --- ## Przegapiona szansa na pierwsze wrażenie [HPE and Juniper Miss an OpportunityEver since HPE’s acquisition of Juniper was announced in January 2024, the big question in my mind has been how they would handle two competing WLAN portfolios. Today, on the official close of the acquisition, the leaders of these companies had an opportunity to provide clarity to customers, partners, and analysts. They didn’t take it.... Read more »![](https://innasiec.pl/content/images/icon/apple-touch-icon-9.png)Packet Pushers horizontal logoDrew Conry-Murray![](https://innasiec.pl/content/images/thumbnail/5bf8929ce73b9537f2621a89161f9da12a7a131421a0fb8cc043b562d6010013)](https://packetpushers.net/blog/hpe-and-juniper-miss-an-opportunity/?ref=innasiec.pl) Po ponad roku spekulacji, fuzja HPE i Juniper Networks została oficjalnie sfinalizowana 2 lipca 2025 roku. Jednak mimo zakończenia procesu przejęcia, kluczowe pytania dotyczące integracji technologii pozostają bez odpowiedzi. Fuzja miała na celu stworzenie kompleksowego dostawcy rozwiązań sieciowych. Głównym celem było połączenie portfeli produktów obu firm w obszarach: - Infrastruktury kampusowej i centrum danych - Rozwiązań bezprzewodowych WLAN - Technologii AI-native i cloud-native - Zintegrowanych "fabryk AI" dla przedsiębiorstw Największym problemem pozostaje kwestia integracji dwóch różnych rozwiązań bezprzewodowych: **HPE Aruba Networking:** - Platforma zarządzania: Aruba Central - Ugruntowana pozycja na rynku enterprise - Rozbudowane funkcje bezpieczeństwa **Juniper Mist:** - Platforma zarządzania: AI Ops for Mist - Zaawansowane możliwości AI i machine learning - Innowacyjne podejście do automatyzacji sieci Pomimo upływu ponad roku od ogłoszenia przejęcia, kierownictwo nie przedstawiło jasnego planu integracji. Używane sformułowania jak "przemyślana strategia integracji" nie dostarczają konkretnych informacji. Rahim wskazał na "True North" oparty na trzech filarach: 1. AI-native networking 2. Cloud-native solutions 3. Secure networking Jednak szczegóły implementacji pozostają niejasne. W ramach ugody z Departamentem Sprawiedliwości USA, HPE musi zorganizować aukcję licencji na kod źródłowy AI Ops for Mist. Maksymalnie dwa podmioty mogą uzyskać dostęp do tej technologii. **Potencjalne zagrożenia:** - Konkurenci mogą uzyskać dostęp do kluczowych technologii - Utrata przewagi konkurencyjnej w obszarze AI - Możliwość wzmocnienia pozycji rynkowej głównych konkurentów HPE zapowiedziało utworzenie jednostki biznesowej HPE Networking pod kierownictwem Rami Rahima. W ramach tej struktury będą działać dwie marki: - **HPE Aruba Networking** \- kontynuacja dotychczasowej oferty - **HPE Juniper Networking** \- zachowanie tożsamości produktowej Juniper --- ## Grupowanie ruchu sieciowego według ASN [Traffic meter per ASN without logsanarcat![](https://innasiec.pl/content/images/icon/apple-touch-icon-10.png)anarcat![](https://innasiec.pl/content/images/thumbnail/apple-touch-icon.png)](https://anarc.at/blog/2025-05-30-asncounter/?ref=innasiec.pl) Narzędzie asncounter pozwala na szybkie grupowanie ruchu sieciowego według numerów AS (ASN), pomagając zidentyfikować, które organizacje generują największy ruch na Twoim serwerze. To rozwiązanie powstało z potrzeby monitorowania i blokowania natarczywych botów oraz analizowania obciążenia serwera, szczególnie gdy tradycyjne logi są anonimowe lub niewystarczające. --- ## Podział zadań w Pythonie [The CQS (Command Query Separation) Design PrincipleWhen writing code, clarity and maintainability are everything. One of the most powerful design principles you can apply to achieve this is CQS - Command Query Separation. What is CQS? CQS (Command Query Separation) means: A function should either do something (a Command) or answer something (a Query) - never![](https://innasiec.pl/content/images/icon/white_icon_black_background.png)Packet Coders - Learn Network AutomationRick Donato![](https://innasiec.pl/content/images/thumbnail/Heading--7-.png)](https://www.packetcoders.io/the-cqs-command-query-separation-design-principle/?ref=innasiec.pl) CQS (Command Query Separation) to zasada mówiąca, że funkcja powinna albo coś zrobić (Komenda), albo coś zwrócić (Zapytanie) — nigdy obu rzeczy na raz. Komendy zmieniają stan systemu i nic nie zwracają, zapytania zaś zwracają dane i nie modyfikują stanu. Dzięki temu kod jest czytelniejszy, łatwiejszy do testowania i utrzymania. --- ## Architektura sieci dla klastrów AI/ML _This post is for paying subscribers only._ ### 📬 ISN 193: Cyfrowe Bliźniaki, Atak DDoS i Testy SNMP: Jak Zabezpieczyć Sieć? URL: https://innasiec.pl/isn-193-cyfrowe-blizniaki-atak-ddos-i-testy-snmp-jak-zabezpieczyc-siec/ Last updated: 2025-06-30T08:00:56.000Z ## Nowy rekord ataku DDoS [Defending the Internet: How Cloudflare blocked a monumental 7.3 Tbps DDoS attackIn mid-May 2025, blocked the largest DDoS attack ever recorded: a staggering 7.3 terabits per second (Tbps).![](https://innasiec.pl/content/images/icon/favicon-32x32-11.png)The Cloudflare BlogOmer Yoachimik![](https://innasiec.pl/content/images/thumbnail/Defending_the_Internet-_how_Cloudflare_blocked_a_monumental_7.3_Tbps_DDoS_attack_-OG.png)](https://blog.cloudflare.com/defending-the-internet-how-cloudflare-blocked-a-monumental-7-3-tbps-ddos/?ref=innasiec.pl) W połowie maja 2025 roku Cloudflare zablokował największy atak DDoS w historii, osiągający 7,3 terabity na sekundę (Tbps). **Atak dostarczył 37,4 terabajty danych w zaledwie 45 sekund.** To równowartość przesłania ponad 9 350 filmów HD lub strumieniowania 7 480 godzin wideo wysokiej rozdzielczości w mniej niż minutę. Cel ataku stanowił dostawca hostingu korzystający z usługi Magic Transit Cloudflare. Atakujący bombardowali średnio 21 925 portów docelowych jednego adresu IP, z maksymalnym natężeniem 34 517 portów na sekundę. Analiza ruchu wykazała, że 99,996% ataku stanowił flooding UDP. Pozostałe 0,004% (1,3 GB) składało się z: - Ataków refleksyjnych QOTD - Ataków refleksyjnych Echo - Ataków refleksyjnych NTP - Powodzi UDP Mirai - Powodzi Portmap - Ataków amplifikacyjnych RIPv1 Atak pochodził z ponad 122 145 unikalnych adresów IP, obejmujących: - **5 433 systemy autonomiczne (AS)** - **161 krajów** - **Średnio 26 855 unikalnych adresów IP na sekundę** Największy udział w ataku miały: - **Brazylia i Wietnam** \- łącznie około 50% ruchu - **Telefonica Brazil (AS27699)** \- 10,5% całkowitego ruchu - **Viettel Group (AS7552)** \- 9,8% - **China Unicom (AS4837)** \- 3,9% Zaatakowany adres IP był anonsowany z sieci Cloudflare przy użyciu globalnego anycast. Ruch ataku został automatycznie rozproszony do 477 centrów danych w 293 lokalizacjach na całym świecie, wykorzystując rozproszoną naturę ataku przeciwko niemu samemu. **Proces odpierania takiego ataku składa się z 5 kroków:** 1. **Wykrywanie:** System analizuje próbki pakietów w poszukiwaniu wzorców 2. **Liczenie:** Algorytmy strumieniowe identyfikują najbardziej aktywne odciski palców 3. **Aktywacja:** Po przekroczeniu progów kompilowana jest reguła eBPF 4. **Mitygacja:** Pakiety pasujące do wzorca są automatycznie odrzucane 5. **Dezaktywacja:** Reguła automatycznie wygasa po zakończeniu ataku --- ## Automatyczna konfiguracja sieci w Docker Compose [Networking Basics with Docker Compose — Nick JanetakisWe’ll cover published ports, IP addresses, gateways and how Docker Compose makes DNS entries for each service.![](https://innasiec.pl/content/images/icon/favicon-180.png)Nick Janetakis![](https://innasiec.pl/content/images/thumbnail/networking-basics-with-docker-compose.jpg)](https://nickjanetakis.com/blog/networking-basics-with-docker-compose?ref=innasiec.pl) Docker Compose automatycznie tworzy izolowane sieci bridge dla każdego projektu. **Każdy kontener otrzymuje własny adres IP oraz wpisy DNS,** umożliwiając komunikację między usługami bez konieczności znajomości konkretnych adresów IP. Przyjrzyjmy się prostemu przykładowi demonstrującemu mechanizmy sieciowe: ```yaml # compose.yaml name: "example" services: a: image: "hashicorp/http-echo" command: ["-text=Hello from A!"] stop_grace_period: "1s" b: image: "hashicorp/http-echo" command: ["-listen=:5679", "-text=Hello from B!"] stop_grace_period: "1s" http-client: image: "curlimages/curl" command: ["sleep", "infinity"] stop_grace_period: "1s" ``` Po uruchomieniu projektu komendą `docker compose up`, automatycznie tworzona jest sieć `example_default`. **Testowanie łączności między kontenerami** ```bash $ docker compose exec http-client curl a:5678 Hello from A! $ docker compose exec http-client curl b:5679 Hello from B! ``` **Inspekcja sieci Docker** ```bash $ docker network inspect example_default ``` Kluczowe parametry sieci: - **Driver**: bridge (domyślny dla Docker Compose) - **Subnet**: 172.27.0.0/16 (może się różnić w zależności od liczby istniejących sieci) - **Gateway**: 172.27.0.1 - **Zakres adresów**: Automatycznie przydzielane z puli subnet Docker Compose tworzy dla każdego serwisu następujące wpisy DNS: - Nazwa serwisu (np. `a`, `b`, `http-client`) - Pełną nazwę kontenera (np. `example-a-1`) - ID kontenera (np. `324f50a7a70a`) **Inspekcja właściwości sieciowych kontenera** ```bash $ docker container inspect example-http-client-1 ``` Fragment wyniku pokazujący konfigurację DNS: ```json "Networks": { "example_default": { "Aliases": [ "example-http-client-1", "http-client" ], "DNSNames": [ "example-http-client-1", "http-client", "24c028f7e49d" ], "IPAddress": "172.27.0.4", "Gateway": "172.27.0.1" } } ``` Oczywiście, jeśli potrzebujesz, jest możliwość dodawania własnych aliasów DNS: ```yaml services: a: image: "hashicorp/http-echo" command: ["-text=Hello from A!"] networks: default: aliases: - "apple" ``` Po tej modyfikacji serwis będzie dostępny również pod nazwą `apple:5678`. Adres bramy (Gateway IP) `172.27.0.1` pełni kluczową rolę w komunikacji: - Wszystkie kontenery w sieci używają tego samego adresu bramy - Umożliwia komunikację z hostem Docker - Dostępny dla ping z każdego kontenera w sieci Przy publikowaniu portów na host: ```yaml services: a: image: "hashicorp/http-echo" ports: ["5678:5678"] ``` Możliwa staje się komunikacja przez adres bramy: ```bash $ docker compose exec http-client curl 172.27.0.1:5678 Hello from A! ``` **Ruch kierowany na adres bramy z opublikowanym portem jest przekierowywany przez hosta Docker z powrotem do odpowiedniego kontenera.** **Najlepsze praktyki bezpieczeństwa** 1. **Unikaj publikowania portów** jeśli komunikacja odbywa się tylko między kontenerami 2. **Używaj niestandardowych sieci** dla złożonych topologii 3. **Monitoruj przydzielone zakresy IP** aby uniknąć konfliktów --- ## Problem z tworzeniem cyfrowych bliźniaków [Network Digital Twins: Between PowerPoint and Reality « ipSpace.net blogA Network Artist left an interesting remark on one of my blog posts: It’s kind of confusing sometimes to see the digital twin (being a really good idea) never really take off. His remark prompted me to resurface a two-year-old draft listing a bunch of minor annoyances that make Networking Digital Twins more of a PowerPoint project than a reality.![](https://innasiec.pl/content/images/icon/favicon-45.ico)ipSpace Logo![](https://innasiec.pl/content/images/thumbnail/og-image-4.png)](https://blog.ipspace.net/2025/06/digital-twins-powerpoint-reality/?ref=innasiec.pl) Artykuł omawia wyzwania i ograniczenia związane z tworzeniem cyfrowych bliźniaków sieci (Network Digital Twins). Ivan Pepelnjak zwraca uwagę na bariery techniczne, problemy z emulacją warstwy danych i zachowaniem protokołów sterujących często odbiega od rzeczywistości, co utrudnia testowanie automatyzacji sieci. --- ## Testowanie SNMP [GitHub - scottpeterman/gosnmptk: A comprehensive SNMP testing and vendor fingerprinting toolkit built in Go with a modern GUI interface. This tool provides enterprise-grade network device discovery, SNMP operations, and vendor-specific fingerprinting capabilities with persistent user settings.A comprehensive SNMP testing and vendor fingerprinting toolkit built in Go with a modern GUI interface. This tool provides enterprise-grade network device discovery, SNMP operations, and vendor-spe…![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-22.svg)GitHubscottpeterman![](https://innasiec.pl/content/images/thumbnail/gosnmptk)](https://github.com/scottpeterman/gosnmptk?ref=innasiec.pl) Go SNMP Tool Kit to narzędzie napisane w Go do testowania SNMP. Aplikacja oferuje zaawansowane funkcje wykrywania urządzeń, operacje SNMP (GET, WALK itp.) oraz precyzyjne rozpoznawanie producentów takich jak Cisco, Dell i Arista. --- ## Mikrosegmentacja warstwy drugiej _This post is for paying subscribers only._ ### 📬 ISN 192: Catalyst Center na Mini-PC, Przyszłość ACI i OpenAPI w Terminalu! URL: https://innasiec.pl/isn-192-catalyst-center-na-mini-pc-przyszlosc-aci-i-openapi-w-terminalu/ Last updated: 2025-06-23T08:00:18.000Z ## Cisco Catalyst Center na mini-PC [Cisco Catalyst Center on a mini-PC home lab - Part OneI recently managed to run Catalyst Center (formerly DNAC) in my home lab on a mini-PC. Interested? I’ll try to describe in a few words why and how I have done it.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-15)LinkedInMariusz Trojanowski![](https://innasiec.pl/content/images/thumbnail/1750247740216)](https://www.linkedin.com/pulse/cisco-catalyst-center-mini-pc-home-lab-part-one-mariusz-trojanowski-fqkzf/?ref=innasiec.pl) Od około roku Catalyst Center dostępny jest w formie wirtualnej jako plik OVA dla hypervisora ESXi. Wymagania zostały obniżone względem DNAC, ale nadal pozostają wygórowane: - 32 vCPU - 256 GB RAM - 3 TB SSD Mini-PC z 16-rdzeniowymi procesorami AMD Ryzen powinno wystarczyć. Pomnożone przez 2 wątki/rdzeń powinno dać wymagane 32 vCPU. Co więcej, choć oficjalnie obsługują tylko 64/96 GB RAM, na rynku pojawiły się moduły 128GB (2x64GB). Dawało to nadzieję, choć nadal brakowało połowy wymaganej pamięci RAM... W nowej wersji VMware ESXi 8.0U3, dodano funkcję "**NVME tiering**". Pozwala ona **wykorzystywać dysk NVME jako dodatkową warstwę RAM, do 400%** (zalecane 25%). Autor artykuły zdecydował się na zestaw: - **Minisforum MS-A2** (AMD 7945HX CPU, bez RAM i SSD) - **128GB Crucial DDR5 5600MHz RAM** - **Samsung 990 PRO 4TB** jako główny dysk - **Stary dysk 256GB** do celów NVME tiering - **ESXi 8.0U3** na pendrive USB 64GB Catalyst Center uruchomił się i funkcjonuje stabilnie. --- ## Czy to Koniec Ery Cisco ACI? [Goodbye ACI?Cisco ACI was announced in 2013\. A switch fabric managed by controllers, it was a radical departure from traditional networking. We have provided code to migrate many clients traditional networks to ACI.From an automation point of view, ACI makes a refreshing change from parsing CLI. The object model is large and complex, but Cisco provides tools to navigate and, comprehensive documentation to drive the API.Unfortunately, the GUI is a direct representation of the object model, which does little![](https://innasiec.pl/content/images/icon/9ae406_69d6002cc8da4476b971a8be084e93dc-mv2.png)KubeCodesteve291030![](https://innasiec.pl/content/images/thumbnail/9ae406_c2cb0ae6691f470eb21392a02396300d-mv2.png)](https://www.kubecode.io/post/goodbye-aci?ref=innasiec.pl) Czy pamiętacie jeszcze entuzjazm z 2013 roku, gdy Cisco zaprezentowało ACI jako rewolucję w zarządzaniu sieciami? Dzisiaj, ponad dekadę później, coraz więcej organizacji rozważa migrację z tego rozwiązania. **Cisco Application Centric Infrastructure (ACI) było odpowiedzią na rosnące potrzeby automatyzacji i programowalności sieci.** Switch fabric zarządzany przez kontrolery stanowił radykalne odejście od tradycyjnych metod konfiguracji sieciowych. Oznaczało to koniec z parsowaniem CLI i powitanie nowej ery API. Model obiektowy ACI, choć złożony i rozbudowany, oferował narzędzia nawigacyjne oraz kompleksową dokumentację dla programistów. Największym problemem okazało się GUI, które jest bezpośrednim odwzorowaniem modelu obiektowego. Ta implementacja znacznie utrudnia zrozumienie fundamentalnych koncepcji ACI, szczególnie dla zespołów przechodzących z tradycyjnych rozwiązań. Wielu klientów wybrało podejście "network-centric" podczas migracji. Strategia ta łączy Endpoint Groups (EPG) z granicami VLAN i podsieci, co znacznie upraszcza wdrożenie. Jednak takie podejście eliminuje jedną z kluczowych zalet ACI - możliwość tworzenia polityk ruchu między punktami końcowymi bez polegania na adresach IP. W trybie "application-centric" możliwe jest wykorzystanie kontraktów między logicznie powiązanymi grupami endpoints. Obecne trendy wskazują na rosnące zainteresowanie migracją z ACI w kolejnych cyklach odświeżania infrastruktury. Przyczyny tego zjawiska to: - **Nadmierna złożoność** w codziennym zarządzaniu - **Ograniczona użyteczność** w deploymentach network-centric - **Rozwój alternatywnych technologii** jak EVPN **Ważnym aspektem jest fakt, że migracja z ACI nie oznacza automatycznie rezygnacji z rozwiązań Cisco.** Firma oferuje alternatywne platformy, które mogą lepiej odpowiadać obecnym potrzebom organizacji. --- ## Kolekcja prezentacji z Cisco Live [cisco-live/ciscolive-2025-sandiego.md at master · babajung/cisco-liveContribute to babajung/cisco-live development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-20.svg)GitHubbabajung![](https://innasiec.pl/content/images/thumbnail/cisco-live)](https://github.com/babajung/cisco-live/blob/master/ciscolive-2025-sandiego.md?ref=innasiec.pl) Zbiór zawiera sporą kolekcję prezentacji w formie slajdów z Cisco Live. Znajdziesz tu między innymi najnowsze wydarzenia z 2025 w Amsterdamie i San Diego. --- ## OpenAPI w terminalu [GitHub - zaghaghi/openapi-tui: Terminal UI to list, browse and run APIs defined with openapi spec.Terminal UI to list, browse and run APIs defined with openapi spec. - zaghaghi/openapi-tui![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-21.svg)GitHubzaghaghi![](https://innasiec.pl/content/images/thumbnail/openapi-tui)](https://github.com/zaghaghi/openapi-tui?ref=innasiec.pl) openapi-tui to terminalowy interfejs użytkownika, który pozwala na przeglądanie i uruchamianie API opartych na specyfikacji OpenAPI w wersji 3.0 i 3.1\. Dzięki niemu możesz łatwo załadować lokalny lub zdalny plik specyfikacji (JSON lub YAML), przeglądać dostępne endpointy, filtrować je, a także wysyłać zapytania i zarządzać historią wywołań. Narzędzie wspiera m.in. webhooks, edycję nagłówków i parametrów zapytań oraz zapis odpowiedzi. --- ## Podstawy firewalli od Cisco _This post is for paying subscribers only._ ### 📬 ISN 191: Bezpieczny Routing, Terminal z Telemetrią i OSINT: Sprawdź, co w Trawie Pisze! URL: https://innasiec.pl/isn-191-bezpieczny-routing-terminal-z-telemetria-i-osint-sprawdz-co-w-trawie-pisze/ Last updated: 2025-06-16T08:00:58.000Z ## Strażnik Bezpieczeństwa Routingu Internetowego [Understanding AS0 and its Role in Internet Routing – Voldeta![](https://innasiec.pl/content/images/icon/cropped-Logo-300x300.png)English (US)![](https://innasiec.pl/content/images/thumbnail/us.png)](https://voldeta.com/en/understanding-as0-and-its-role-in-internet-routing/?ref=innasiec.pl) Czy kiedykolwiek zastanawialiście się, jak Internet radzi sobie z adresami IP, które nie powinny być routowane? W świecie, gdzie błędne ogłoszenia BGP mogą sparaliżować ruch sieciowy, AS0 działa jako kryptograficzny "stop" dla nielegalnych tras. **Autonomous System 0 (AS0) to specjalny numer systemu autonomicznego zarezerwowany w rejestrze IANA ASN**. W przeciwieństwie do standardowych ASN, AS0 nie jest przypisane żadnemu operatorowi sieci ani Regional Internet Registry (RIR). Zgodnie z RFC 6483, **AS0 służy do identyfikacji sieci nieroutowanych.** Jego pierwotny cel to sygnalizowanie zakresów adresów IPv4 i IPv6, które nie zostały delegowane i w związku z tym nie powinny być routowane. RFC 7607 wprowadza zasady dotyczące obsługi AS0 w implementacjach BGP: - **Origination**: Speaker BGP NIE MOŻE pochodzić ani propagować trasy z numerem AS równym zero - **Path Attributes**: AS0 nie może występować w AS\_PATH, AS4\_PATH, AGGREGATOR lub AS4\_AGGREGATOR - **Session Establishment**: Router NIE MOŻE inicjować połączenia, twierdząc że jest AS 0 Komunikat UPDATE zawierający AS0 musi być uznany za zniekształcony i obsługiwany zgodnie z procedurami określonymi w RFC 7606 i RFC 6793. ``` Przykład błędnej konfiguracji: neighbor 192.168.1.1 remote-as 0 # <- TO SPOWODUJE BŁĄD ``` Te zasady chronią integralność globalnego routingu internetowego. Pozwolenie na AS0 w komunikatach routingu mogłoby prowadzić do błędnych konfiguracji lub luk bezpieczeństwa. **W infrastrukturze RPKI (Resource Public Key Infrastructure), AS0 umożliwia właścicielom zasobów wskazanie, że prefiks nie powinien być routowany poprzez publikację ROA (Route Origin Authorization) z AS0 jako jedynym autoryzowanym źródłem.** AS0 ROA służy jako podpisane poświadczenie, że **żaden AS nie jest autoryzowany** do ogłaszania trasy dla danego prefiksu. Gdy operator sieci wykonuje ROV, każde ogłoszenie trasy dla prefiksu objętego AS0 ROA zostanie sklasyfikowane jako **Invalid**, ponieważ jedynym autoryzowanym ASN jest 0 - wartość zabroniona w routingu BGP. --- ## Twoja praca mówi sama za siebie? [Not Communicating Your Impact is Killing Your CareerIt may be the reason you get overlooked for the promotion or worse, be part of the next layoffs. This is what to do to avoid it!![](https://innasiec.pl/content/images/icon/https-3A-2F-2Fsubstack-post-media.s3.amazonaws.com-2Fpublic-2Fimages-2F790e8510-890f-483e-835c-12a8330ca939-2Fapple-touch-icon-180x180.png)Engineering LeadershipGregor Ojstersek![](https://innasiec.pl/content/images/thumbnail/https-3A-2F-2Fsubstack-post-media.s3.amazonaws.com-2Fpublic-2Fimages-2Fbb91383b-8b90-4247-b610-0deb8b9af580_1600x878.jpeg)](https://newsletter.eng-leadership.com/p/not-communicating-your-impact-is?ref=innasiec.pl) Jako starszy inżynier sieciowy, prawdopodobnie spędzasz dni na projektowaniu złożonych architektur, rozwiązywaniu krytycznych problemów z łącznością i zapewnianiu bezpieczeństwa infrastruktury. Twoja praca jest fundamentem dla całej organizacji. Ale czy wszyscy o tym wiedzą? Zbyt wielu wybitnych inżynierów popełnia ten sam błąd. Wykonują fantastyczną pracę, ale nie potrafią skutecznie komunikować swojego wpływu na biznes. To może kosztować ich karierę. Jeśli myślisz, że optymalizacja protokołów routingu czy implementacja zero-trust architecture automatycznie przyniesie ci uznanie, mylisz się. Oto dwie kluczowe prawdy: **Pierwsza prawda:** Możesz zaprojektować najlepszą sieć na świecie, ale jeśli oczekiwania nie są właściwie zarządzane, nie zostanie to tak odebrane. **Druga prawda:** Wykonywanie świetnej pracy technicznej to tylko połowa sukcesu. Druga połowa to upewnienie się, że wszyscy o tym wiedzą. **Przykłady z Codziennej Praktyki** Wyobraź sobie następujące scenariusze: - **Migracja centrum danych:** Przeprowadziłeś bezproblemową migrację 500 serwerów bez przestoju. Czy kierownictwo wie, ile pieniędzy to zaoszczędziło? - **Optymalizacja sieci WAN:** Zmniejszyłeś opóźnienia o 40% poprzez rekonfigurację routingu. Czy zespół sprzedaży wie, jak to wpłynęło na wydajność ich aplikacji CRM? - **Wdrożenie SASE:** Zastąpiłeś stary firewall nowoczesnym rozwiązaniem SASE. Czy zarząd rozumie, jak to wzmocniło bezpieczeństwo i zmniejszyło ryzyko? Nie postrzegaj komunikowania swojego wpływu jako "chwalenia się" czy "sprzedawania". To profesjonalne zarządzanie percepcją twojej wartości. W świecie IT wszyscy nieustannie "sprzedajemy": - Swoje pomysły techniczne - Propozycje budżetowe na nowy sprzęt - Uzasadnienia dla aktualizacji bezpieczeństwa - Swoje kompetencje podczas ocen Jako inżynierowie sieciowi często pracujemy "za kulisami". Nasza najlepsza praca to taka, która jest niewidoczna - sieci działają płynnie, bez przerw czy problemów. Różnica między "**zaimplementowałem BGP route reflection z konfiguracją iBGP mesh**" a "**zmniejszyłem koszty łączności o 30% przy jednoczesnym zwiększeniu niezawodności**" to przepaść, którą musimy nauczyć się przekraczać. **Konsekwencje Słabej Komunikacji Wpływu** 1\. **Wypalenie Zawodowe** Największym powodem wypalenia nie jest ciężka praca sama w sobie. To brak widocznych rezultatów i uznania za wysiłek. Gdy przez miesiące optymalizujesz sieć, a nikt nie docenia twojego wkładu, łatwo o frustrację i demotywację. **2\. Pominięcie w Awansach** Kierownicy często awansują tych, których wpływ jest najlepiej widoczny. Jeśli twoja praca pozostaje niewidoczna, możesz zostać pominięty na rzecz kogoś mniej kompetentnego, ale lepiej komunikującego swoje osiągnięcia. **3\. Zagrożenie Zwolnieniem** W czasach redukcji kosztów firmy zwalniają tych, których wpływu nie rozumieją. Jeśli kierownictwo nie wie, jak twoja praca przekłada się na oszczędności czy zwiększone przychody, możesz znaleźć się na liście zwolnień. **Jak Skutecznie Komunikować Swój Wpływ jako Inżynier Sieciowy** **1\. Tłumacz Technikę na Język Biznesowy** **Zamiast:** "Zoptymalizowałem konfigurację OSPF i zredukowałem convergence time" **Powiedz:** "Poprawiłem niezawodność sieci, co zredukowało przestoje aplikacji biznesowych o 50%" **2\. Używaj Metryk Biznesowych** Zawsze przedstawiaj swoje osiągnięcia w kontekście: - **Oszczędności kosztów:** "Renegocjacja kontraktów WAN zaoszczędziła 200 000 zł rocznie" - **Zwiększona produktywność:** "Poprawa wydajności sieci przełożyła się na 15% szybsze przetwarzanie transakcji" - **Zmniejszone ryzyko:** "Wdrożenie redundancji eliminuje ryzyko przestoju kosztującego 50 000 zł na godzinę" **3\. Dokumentuj Wszystko** Prowadź szczegółowe notatki o: - Problemach, które rozwiązałeś - Projektach, które ukończyłeś - Wpływie biznesowym twoich działań - Pozytywnych opiniach od użytkowników **4\. Regularne Raportowanie** **Cotygodniowe aktualizacje:** Krótkie podsumowanie kluczowych działań i ich wpływu **Miesięczne raporty:** Głębsza analiza projektów i osiągniętych rezultatów **Kwartalne przeglądy:** Strategiczne podsumowanie wpływu na cele biznesowe **5\. Buduj Relacje Międzydziałowe** - **Współpracuj z zespołami biznesowymi:** Zrozum, jak twoja praca wpływa na ich cele - **Edukuj interesariuszy:** Organizuj sesje informacyjne o kluczowych projektach sieciowych - **Bądź proaktywny:** Nie czekaj, aż ktoś zapyta o twoje osiągnięcia **Nie pozwól, żeby Twoja kariera cierpiała z powodu niewidoczności. Zacznij komunikować swój wpływ już dziś.** --- ## Terminal z telemetrią [GitHub - scottpeterman/terminaltelemetry: SSH Terminal Telemetry combines interactive terminal access, automatic device fingerprinting, and network visualization into a single, integrated interface.SSH Terminal Telemetry combines interactive terminal access, automatic device fingerprinting, and network visualization into a single, integrated interface. - scottpeterman/terminaltelemetry![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-18.svg)GitHubscottpeterman![](https://innasiec.pl/content/images/thumbnail/terminaltelemetry)](https://github.com/scottpeterman/terminaltelemetry?ref=innasiec.pl) TerminalTelemetry to nowoczesny emulator terminala i platforma do monitoringu sieci inspirowana stylem cyberpunk, stworzona w PyQt6\. Łączy zaawansowane możliwości SSH z monitorowaniem urządzeń sieciowych w czasie rzeczywistym, oferując ponad 20 motywów graficznych, personalizowane zakładki terminala oraz edytor szablonów TextFSM. --- ## Narzędzie OSINT do rozpoznania sieci [GitHub - pirxthepilot/wtfis: Passive hostname, domain and IP lookup tool for non-robotsPassive hostname, domain and IP lookup tool for non-robots - pirxthepilot/wtfis![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-19.svg)GitHubpirxthepilot![](https://innasiec.pl/content/images/thumbnail/wtfis)](https://github.com/pirxthepilot/wtfis?ref=innasiec.pl) Wtfis to narzędzie wiersza poleceń, które zbiera informacje o domenach, FQDN lub adresach IP, korzystając z różnych darmowych serwisów OSINT. Zostało stworzone z myślą o ludziach, a nie botach, oferując czytelne i przejrzyste wyniki. Dzięki temu możesz szybko sprawdzić m.in. reputację, historię, analizę bezpieczeństwa czy otwarte porty danego adresu. Narzędzie minimalizuje liczbę wywołań API, by nie przekraczać limitów darmowych kont. Możesz je rozszerzyć o dane z takich źródeł jak Virustotal, Shodan, Greynoise, AbuseIPDB czy URLhaus. --- ## Negocjacja Zasilania PoE+ w Środowisku Pre-Boot _This post is for paying subscribers only._ ### 📬 ISN 190: Ruch Sieciowy Bez Wiresharka? Tak! Plus ISE, Juniper w Kontenerze i Darmowe CE! URL: https://innasiec.pl/isn-190-ruch-sieciowy-bez-wiresharka-tak-plus-ise-juniper-w-kontenerze-i-darmowe-ce/ Last updated: 2025-06-09T08:00:22.000Z ## Przechwytywanie ruchu bez Wiresharka [#wireshark #pktmon #packetsdontlie #pcaporitdidnthappen | Benjamin Pfister | 39 commentsDon't know how to capture traffic on your Windows system if you can't install third party tools? 🤔 Windows 10 (since version 2004), Windows 11, Server 2019 and 2022 come pre-installed with a tool called pktmon. 💡 pktmon is able to capture data and export to to PCAPng without installing extra tools to later be able to analyse is with #Wireshark. We can also filter on IP-Adresses, Ports, Protocols, etc. and get live counters while capturing. 🤩 While host capturing is not the perfect way to capture data, it is often the only way to get access to the data. I created a short Video showing you how to set filters, start the capture, get live counters, stop capturing and convert data and open it in Wireshark. 🦈 👇 #pktmon #PacketsDontLie #PCAPOrItDidntHappen | 39 comments on LinkedIn![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-14)LinkedInBenjamin Pfister![](https://innasiec.pl/content/images/thumbnail/1748786574524)](https://www.linkedin.com/posts/benjamin-pfister-90136b298%5Fwireshark-pktmon-packetsdontlie-activity-7334942647427518464-04LJ/?rcm=ACoAAAsbZU8Bkl0vKa1oyrvwC9wAdrU5Dh3SG7g&ref=innasiec.pl) Microsoft od wersji Windows 10 2004, Windows 11 oraz Windows Server 2019 i 2022 dołączył do systemu pakietowe narzędzie, o którym zaskakująco mało osób słyszało. **pktmon (Packet Monitor)** to narzędzie typu command-line, które umożliwia przechwytywanie oraz monitorowanie ruchu sieciowego bez konieczności instalowania dodatkowego oprogramowania. Główne cechy pktmon: - Przechwytuje ruch na poziomie hosta (w obrębie stosu sieciowego Windows); - Potrafi filtrować ruch po IP, portach, protokołach, interfejsach; - Eksportuje zrzuty do formatu PCAPng kompatybilnego z Wiresharkiem; - Udostępnia liczniki pakietów w czasie rzeczywistym. Czy pktmon zastąpi Wireshark? Nie, ale bardzo często uratuje Cię w sytuacji, gdy nie możesz skorzystać z Wiresharka lub innych narzędzi typu WinDump, Npcap czy Microsoft Message Analyzer. Porównanie funkcjonalności: | Narzędzie | Instalacja wymagana | Poziom szczegółowości | Filtrowanie | Kompatybilność z Wireshark | | --------------- | ------------------- | --------------------- | ----------- | -------------------------- | | pktmon | NIE | Średni (host/user) | Tak | Tak (PCAPng) | | Wireshark | TAK | Bardzo wysoki | Tak | \- | | WinDump/tcpdump | TAK | Średni/wysoki | Tak | Tak | Warto pamiętać, że przechwytywanie na hoście nie pozwala analizować ramek na poziomie L2 (np. 802.11). Nie masz też pełnej kontroli nad wybraną kartą sieciową, jak w narzędziach klasycznych. **Typowe scenariusze wykorzystania pktmon** - Diagnostyka opóźnień aplikacji na serwerach, gdzie wdrożenie nowych sterowników jest zakazane; - Przechwycenie sesji na użytkownikach terminali bez naruszania polityki IT; - Szybkie filtrowanie ruchu po porcie czy IP źródłowym bez edycji firewalli; - Zbieranie logów do późniejszej analizy w Wireshark. **Jak rozpocząć przechwytywanie pakietów pktmon?** Oto uproszczony schemat działania: 1. **Wyświetl dostępne interfejsy:** ``` pktmon comp list ``` 2. **Skonfiguruj filtr (np. IP lub port):** ``` pktmon filter add -t ipv4 -i 192.168.1.10 ``` 3. **Rozpocznij przechwytywanie:** ``` pktmon start --etw -c ``` 4. **Podglądaj statystyki „na żywo”:** ``` pktmon counters ``` 5. **Zakończ zrzut:** ``` pktmon stop ``` 6. **Konwertuj wynik do formatu PCAPng:** ``` pktmon pcapng <ścieżka_do_logu.etl> -o ``` 7. **Otwórz plik w Wireshark i analizuj dane.** Pakiet pktmon domyślnie zapisuje logi w formacie ETL. Do pełnej analizy w Wireshark wymagana jest konwersja do PCAPng. --- ## Certyfikacja z Wiresharka [Wireshark • Announcing the Wireshark Certified Analyst (WCA) CertificationWireshark: The world’s most popular network protocol analyzer![](https://innasiec.pl/content/images/icon/favicon-42.ico)Wireshark![](https://innasiec.pl/content/images/thumbnail/wireshark-logo-big.png)](https://www.wireshark.org/blog/2025-06-01-announcing-the-wireshark-certified-analyst-certification?ref=innasiec.pl) Fundacja Wireshark, organizacja non-profit odpowiedzialna za rozwój najpopularniejszego na świecie analizatora protokołów sieciowych, oficjalnie uruchomiła certyfikację WCA-101\. To rygorystyczny egzamin zaprojektowany z myślą o inżynierach, którzy chcą formalnie potwierdzić swoje profesjonalne umiejętności w analizie protokołów i zaawansowanym rozwiązywaniu problemów sieciowych. Certyfikacja została stworzona specjalnie dla zespołów IT Operations, Security Operations oraz Development. Jest idealna dla specjalistów, którzy już wykorzystują Wireshark w swoim środowisku pracy lub planują zintegrować to narzędzie w celu podniesienia poziomu widoczności operacyjnej i możliwości reagowania na incydenty. Certyfikacja WCA-101 koncentruje się na głębokiej analizie i zaawansowanych technikach troubleshootingu. Certyfikacja obejmuje: - Zaawansowaną analizę protokołów warstwy 2-7 - Identyfikację i rozwiązywanie złożonych problemów sieciowych - Optymalizację wydajności na podstawie analizy ruchu - Wykrywanie anomalii bezpieczeństwa - Umiętność pracy z Wiresharkiem Na stronie fundacji można znaleźć [pełną listę zagadnień egzaminu WCA-101](https://www.wireshark.org/pdf/wca-objectives.pdf?ref=innasiec.pl). Sam pomysł certyfikacji z narzędzia Wireshark wydaje mi się interesujący. Z jednej strony zapewni fundacji dodatkowe źródło finansowania (non-profit nie oznacza braku kosztów), a z drugiej pozwoli inżynierom udokumentować i pokazać swoje umiejętności. Mam jednak zastrzeżenia co do ceny. 349 USD za certyfikat, który raczej będzie ciekawostką niż solidnym filarem, wydaje się zbyt wysoką kwotą. Szczególnie w porównaniu do bardziej rozpoznawalnych certyfikatów, takich jak CCNA – 300 USD czy CCNP – 400 USD. --- ## Poznaj Cisco ISE [Understand ISE Services, Purpose and TroubleshootingThis document describes ISE services, purpose and troubleshooting.![](https://innasiec.pl/content/images/icon/favicon-43.ico)CiscoContributed by Cisco Engineers Sri Srimat Tirumala PeddinitiTechnical Consulting Engineer![](https://innasiec.pl/content/images/thumbnail/TAC_lg-icon.png)](https://www.cisco.com/c/en/us/support/docs/security/identity-services-engine/222906-understand-ise-services-purpose-and-tro.html?ref=innasiec.pl) Dokument opisuje usługi Cisco Identity Services Engine (ISE), ich cele oraz wskazówki dotyczące rozwiązywania problemów. ISE to kompleksowe rozwiązanie do zarządzania bezpieczeństwem sieci przez scentralizowaną kontrolę dostępu, uwierzytelnianie, autoryzację i rozliczanie (AAA). --- ## Juniper w kontenerze [Juniper vJunos-router in ContainerlabSo far, I’ve used Cisco IOL, Arista EOS, and Palo Alto VM in Containerlab. And finally, the time came to try Juniper. I decided to test the Juniper vJunos-router, which is a virtualized MX router.![](https://innasiec.pl/content/images/icon/profile-1.png)PacketswitchSuresh Vina![](https://innasiec.pl/content/images/thumbnail/containerlab-mac-3-.png)](https://www.packetswitch.co.uk/juniper-vjunos-router-in-containerlab/?ref=innasiec.pl) Autor od lat korzysta z Containerlab – narzędzia open source do tworzenia sieciowych laboratoriów w oparciu o proste pliki YAML. Po doświadczeniach z Cisco IOL, Arista EOS i Palo Alto VM, teraz testuje Juniper vJunos-router. --- ## Zgarnij darmowe punkty CE _This post is for paying subscribers only._ ### 📬 ISN 189: Od DevNet do Cisco Automation: SPF, BGP, AI w Ruchu i Dane w Sieci! URL: https://innasiec.pl/isn-189-od-devnet-do-cisco-automation-spf-bgp-ai-w-ruchu-i-dane-w-sieci/ Last updated: 2025-06-02T08:00:08.000Z ## DevNet staje się Cisco Automation [Zmiany w certyfikacji Cisco 2025Jedną z najlepszych rzeczy, jakie zrobiło Cisco, było położenie ogromnego nacisku na edukację i certyfikację. Nadchodzące zmiany w certyfikacji, to wyraźny sygnał, że Cisco bardzo uważnie przygląda się rynkowi i reaguje na jego zmiany. Learn with Cisco Edukacja z Cisco (ang. „Learn with Cisco”) to marketingowy majstersztyk. Cisco Learning & Certifications![](https://innasiec.pl/content/images/icon/recreate-02-15.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/thumbnail/zmiany_w_certyfikacji_cisco_2025.webp)](https://innasiec.pl/zmiany-w-certyfikacji-cisco-2025/) Zmiany w świecie certyfikacji Cisco to coś, na co wszyscy w branży zwracają uwagę. Tym razem mamy prawdziwą rewolucję – Cisco oficjalnie ogłosiło gigantyczny rebranding, który wreszcie podnosi automatyzację i programowalność sieci do rangi uznanych ścieżek CCIE. **Learn with Cisco** Dotychczasowa jednostka **Cisco Learning & Certifications zmienia nazwę na "Learn with Cisco"**, ale jej misja pozostaje niezmieniona. Znane platformy, jak Networking Academy, Learning Network oraz Cisco U., nadal będą centrum certyfikacji i szkoleń. **DevNet przechodzi w CCIE Automation** Cisco rezygnuje z nazw DevNet Associate, Professional i Expert. Od lutego 2026 w ich miejsce pojawią się: - **DevNet Associate** → **CCNA Automation** - **DevNet Professional** → **CCNP Automation** - **DevNet Expert** → **CCIE Automation** To nie tylko rebranding. To zmiana, która precyzyjniej komunikuje zaawansowanie techniczne i automatycznie podwyższa prestiż tych certyfikatów. **Co z zawartością egzaminów?** - **CCNA Automation** oraz **CCIE Automation** na razie bez dużych zmian merytorycznych. - **CCNP Automation** (egzaminy DEVCOR, DCAUTO, ENAUTO) przejdzie dużą aktualizację. Nowy blueprint będzie dostępny w lipcu 2025\. Zaktualizowane egzaminy wystartują 3 lutego 2026. **Posiadasz certyfikat DevNet?** Automatyczna migracja do nowych nazw odbędzie się bez jakichkolwiek działań z twojej strony. **Wycofania egzaminów** 2 lutego 2026 zakończą żywot egzaminy: - 300-835 CLAUTO - 300-535 SPAUTO - 300-735 SAUTO - 300-910 DEVOPS Inne ścieżki również zyskują na czytelności **Cybersecurity** - **Cisco Certified Cybersecurity Associate → CCNA Cybersecurity** - **Cisco Certified Cybersecurity Professional → CCNP Cybersecurity** **Collaboration** - Nowy certyfikat specjalistyczny: **300-830 Collaboration Cloud Customer Experience** - Egzaminy Collaboration (np. 350-801 CLCOR) zostaną zaktualizowane do wersji 2.0 w lutym 2026. **Co robić w okresie przejściowym?** 1. **Uczysz się do egzaminu?** Realizuj plan, masz czas do 2 lutego 2026. 2. **Masz już certyfikat?** W lutym 2026 przejdzie on automatycznie pod nową nazwę. Dostaniesz nową plakietkę cyfrową, nie musisz nic robić. 3. **Myślisz o DevOps?** Egzamin 300-910 DEVOPS zostanie wycofany. --- lgorytm SPF w OSPF i IS-IS Czy kiedykolwiek zastanawiałeś się, jak routery w twojej sieci potrafią błyskawicznie odnaleźć najkrótszą trasę przez skomplikowany labirynt połączeń? To właśnie tutaj Skrótowa Metoda Najkrótszej Ścieżki (SPF) – dziecko Edsgera Dijkstry – odgrywa kluczową rolę w takich protokołach jak OSPF i IS-IS. --- ## Historia i kontekst algorytmu SPF [Understanding Shortest Path First – Daniels Networking Blog![](https://innasiec.pl/content/images/icon/favicon-41.ico)ddib![](https://innasiec.pl/content/images/thumbnail/SPF_topology.drawio-1024x440.png)](https://lostintransit.se/2025/05/28/understanding-shortest-path-first/?ref=innasiec.pl) Edsger Dijkstra, znany holenderski informatyk, opracował algorytm SPF z myślą o znalezieniu najkrótszej trasy pomiędzy dwoma miastami. Algorytm ten przeniknął jednak znacznie dalej – dziś obsługuje m.in. systemy GPS i jest sercem dynamicznych protokołów trasowania stanu łączy. Najważniejsze protokoły wykorzystujące SPF: - **OSPF** (Open Shortest Path First) - **IS-IS** (Intermediate System to Intermediate System) SPF działa wyłącznie na **ważonych grafach z dodatnimi wagami** (kosztami). W rzeczywistych implementacjach koszty mogą być niesymetryczne, ale dla uproszczenia często zakładamy symetrię. Cała sieć jest reprezentowana w **bazie danych stanu łączy (LSDB)**, której zbudowanie jest pierwszym etapem przed uruchomieniem SPF. W SPF wyróżniamy dwa kluczowe zbiory: - **TENT** (ang. Tentative) – potencjalne ścieżki, ich jakość jest jeszcze negocjowana - **PATH** – najlepsze znane ścieżki, czyli wyłonione zwycięskie wpisy Każdy wpis w tych strukturach to trójka `{cel, koszt całkowity, następny krok}`. **Logika działania SPF w praktyce:** 1. **Budowa LSDB** – routery gromadzą i wymieniają informacje o łączach. 2. **Inicjalizacja** – zestawienie pustych list PATH i TENT. 3. **Dodaj root (np. R1) do PATH** z kosztem 0, next-hop do samego siebie. 4. **Sąsiedzi root trafiają do TENT**, każdy z odpowiednim kosztem. 5. **Najtańszy wpis z TENT przenoszony do PATH** (losowanie w przypadku remisu). 6. **Dodaj do TENT sąsiadów wybranego node'a**, jeśli nie są już w PATH. 7. **Przelicz koszt do wszystkich w TENT** – jeśli istnieje niższy koszt, podmień wpis. 8. **Powtarzaj przenoszenie z TENT do PATH, aż TENT będzie puste**. **Przykład praktyczny – kalkulacja z perspektywy R1** Załóżmy szóstkową topologię (R1...R6) i takie wyciągi z bazy LSDB: ``` [R1, R2, 2], [R1, R3, 8], [R2, R3, 5], [R2, R4, 6], ... ``` Krok po kroku, SPF będzie „promował” najtańsze ścieżki i stopniowo budował drzewo najkrótszych tras. Przykładowa sekwencja wpisów do PATH może wyglądać następująco: 1. `{R1, 0, R1}` 2. `{R2, 2, R1}` 3. `{R3, 7, R2}` 4. `{R4, 8, R2}` 5. `{R5, 9, R2}` 6. `{R6, 12, R2}` Każdy krok to przeniesienie najlepszego wpisu oraz kalkulacja alternatywnych przejść. --- ## Tutorial BGP [BGP Protocol Interactive TutorialComprehensive interactive guide to Border Gateway Protocol (BGP) with Cisco-focused configuration examples, network diagrams, and best practices.![](https://innasiec.pl/content/images/icon/bgp-favicon.png)![](https://innasiec.pl/content/images/thumbnail/bgp-og-image.png)](https://bahatiaadish.github.io/networking/bgp-tutorial/?ref=innasiec.pl) Repozytorium to interaktywne wprowadzenie do protokołu BGP. Materiał jest podzielony tematycznie i obejmuje między innymi filtrowanie tras, troubleshooting, load balancing, najlepsze praktyki oraz SD-WAN. Oczywiście, nie zabrakło również chatbota AI. --- ## Generuj ruch z AI [GitHub - h4ndzdatm0ld/otg-mcp: Open Traffic Generator - Model Context ProtocolOpen Traffic Generator - Model Context Protocol. Contribute to h4ndzdatm0ld/otg-mcp development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-17.svg)GitHubh4ndzdatm0ld![](https://innasiec.pl/content/images/thumbnail/otg-mcp)](https://github.com/h4ndzdatm0ld/otg-mcp?ref=innasiec.pl) **Open Traffic Generator MCP Server** to serwer w Pythonie implementujący **Model Context Protocol (MCP)**, umożliwiający dostęp do różnych generatorów ruchu sieciowego przez zunifikowane API. W repozytorium znajdziesz przykładowe konfiguracje, skrypty testowe oraz narzędzie deployIxiaC do łatwego uruchamiania środowiska testowego opartego na Ixia-C. --- # Nowoczesne podejście do zarządzania danymi w sieciach _This post is for paying subscribers only._ ### Zmiany w certyfikacji Cisco 2025 URL: https://innasiec.pl/zmiany-w-certyfikacji-cisco-2025/ Last updated: 2025-05-28T07:19:00.000Z Jedną z najlepszych rzeczy, jakie zrobiło Cisco, było położenie ogromnego nacisku na edukację i certyfikację. Nadchodzące zmiany w certyfikacji, to wyraźny sygnał, że Cisco bardzo uważnie przygląda się rynkowi i reaguje na jego zmiany. ## Learn with Cisco ![](https://innasiec.pl/content/images/2025/05/learn_with_cisco.webp) Edukacja z Cisco (ang. „Learn with Cisco”) to marketingowy majstersztyk. Cisco Learning & Certifications znika, a całe portfolio edukacyjne Cisco będzie dostępne pod jedną, nową marką, choć same platformy najpewniej pozostaną bez zmian. W skład **Learn with Cisco** wchodzi: - Cisco Networking Academy - Cisco Learning Network - Cisco U. - Cisco Certifications ## DevNet staje się Cisco Automation ![](https://innasiec.pl/content/images/2025/05/Devnet_staje_sie_cisco_automation.webp) **Jedną z największych ogłoszonych zmian jest rebranding Cisco DevNet na Cisco Automation.** Cała nowa gałąź certyfikacji ma korzystać z dobrze znanego podziału na CCNA, CCNP i CCIE Automation. Celem jest unifikacja całego portfolio certyfikacyjnego oraz wykorzystanie istniejącej rozpoznawalności. Choć dla wielu DevNet Professional jest równoważny z CCNP, to jednak znacznie więcej osób kojarzy właśnie tę drugą nazwę. | Stary certyfikat | Nowy certyfikat | | ------------------- | --------------- | | DevNet Associate | CCNA Automation | | DevNet Professional | CCNP Automation | | DevNet Expert | CCIE Automation | Przy okazji rebrandingu szykują się spore zmiany na poziomie professional. **Egzaminy DEVCOR, DCAUTO oraz ENAUTO czeka aktualizacja blueprintów, która zostanie ogłoszona w Lipcu 2025\. Lista zmian będzie dostępna na stronie** [**Cisco Certification Roadmap**](https://learningnetwork.cisco.com/s/cisco-certification-roadmaps?ref=innasiec.pl). Pożegnamy również kilka egzaminów koncentrycznych: - 300-835 CLAUTO - 300-535 SPAUTO - 300-735 SAUTO - 300-910 DEVOPS Same **zmiany w certyfikacji oraz rebranding będą miały miejsce 3 lutego 2026**. Tak więc masz jeszcze chwilę, aby podejść od tych egzaminów. ## Zmiany w Cybersecurity ![](https://innasiec.pl/content/images/2025/05/nowe_certyfikaty_cisco_cybersecurity.webp) Podobnie jak w przypadku DevNet, tutaj również nastąpi zmiana nazwy i powrót do tradycyjnego podziału CCNA/CCNP. | Stary certyfikat | Nowy certyfikat | | ------------------------------------------ | ------------------ | | Cisco Certified Cybersecurity Associate | CCNA Cybersecurity | | Cisco Certified Cybersecurity Professional | CCNP Cybersecurity | ## Zmiany w Collaboration Ścieżka Collaboration zyska nowy egzamin koncentryczny: **300-830 Collaboration Cloud Customer Experience**. Ponadto zmieni się zawartość egzaminów **350-801 CLCOR, 300-815 CLACC oraz 300-820 CLHCT**, które zostaną oznaczone wersją 2.0\. Zmiany wejdą w życie 3 lutego 2026 roku. 💡 Wszystkie zmiany w certyfikacji wejdą w życie 3 lutego 2026 roku. Ostatni dzień, aby przystąpić do egzaminów w obecnej formie, to 2 lutego 2026 roku. ## Podsumowanie Jeśli jesteś w trakcie przygotowań, nie poddawaj się i nie traktuj tych zmian jako wymówki do prokrastynacji! **Wszystkie egzaminy z aktualną listą tematów obowiązują do 2 lutego 2026 roku**, więc masz jeszcze dużo czasu, aby do nich podejść. Jasny i powszechnie znany podział na CCNA, CCNP i CCIE oraz stosowanie bardziej ogólnych nazw (np. DevNet → Automation) powinny pomóc zwiększyć rozpoznawalność certyfikacji, co jest korzystne zarówno dla Cisco, jak i dla inżynierów. Wygaszanie egzaminów cieszących się niewielkim zainteresowaniem to również dobry krok. Mniejsza liczba egzaminów powinna przełożyć się na wyższą jakość pozostałych. ### 📬 ISN 188: Produkcyjny Python, Intencje Ansible i Sekrety Krypto-Weryfikacji Botów! URL: https://innasiec.pl/isn-188-produkcyjny-python-intencje-ansible-i-sekrety-krypto-weryfikacji-botow/ Last updated: 2025-05-26T08:00:33.000Z ## Weryfikacja ruchu botów z wykorzystaniem kryptografii [Forget IPs: using cryptography to verify bot and agent trafficBots now browse like humans. We’re proposing bots use cryptographic signatures so that website owners can verify their identity. Explanations and demonstration code can be found within the post.![](https://innasiec.pl/content/images/icon/favicon-32x32-10.png)The Cloudflare BlogThibault Meunier![](https://innasiec.pl/content/images/thumbnail/Forget_IPs-_using_cryptography_to_verify_bot_and_agent_traffic-OG.png)](https://blog.cloudflare.com/web-bot-auth/?ref=innasiec.pl) Każdy z nas wie, jak niejasne stało się pojęcie bota w dobie lawinowego wzrostu ruchu wygenerowanego przez agentów AI. "Botanizowanie" sieci nie ogranicza się już tylko do groźnych botów wykonujących ataki DDoS lub atakujących hasła. Dzisiejszy świat należy także do pożądanych botów—agregujących RSS czy indeksujących treści dla wyszukiwarek. Pytanie, jak wiarygodnie odróżnić jedne od drugich? Od lat podstawą rozpoznawania botów były dwie metody: - Weryfikacja nagłówka `User-Agent` - Sprawdzanie adresów IP na podstawie opublikowanych zakresów Niestety, oba rozwiązania mają istotne wady: 1. **`User-Agent`** jest banalnie prosty do podrobienia. Każdy agent może udawać inną przeglądarkę. 2. **Adresy IP** są coraz mniej jednoznaczne. Dynamiczne przydziały, proxy i VPN-y sprawiają, że jeden adres bywa wspólny dla setek usług. Lepiej nie blokować po omacku, lecz pozwolić botom na jednoznaczną, kryptograficzną identyfikację. **Cloudflare stawia na transparentność dzięki dwóm propozycjom: podpisom wiadomości HTTP oraz request mTLS.** Podpisywanie wiadomości HTTP ([HTTP Message Signatures, RFC 9421](https://datatracker.ietf.org/doc/html/rfc9421?ref=innasiec.pl)) to jedno z najczystszych rozwiązań. Pozwala agentowi przypiąć do każdego zapytania niezaprzeczalny podpis kryptograficzny. **Jak to działa? Najprostszy schemat:** 1. Agent podpisuje żądanie pod kluczem publicznym znanym stronie docelowej. 2. Klucz publiczny jest publikowany lub rejestrowany w miejscu zaufanym (np. przez pole `Signature-Agent`). 3. Żądanie zawiera nagłówki: - `Signature-Input`: opisuje, co i kiedy zostało podpisane, oraz identyfikator klucza (`keyid`) - `Signature`: właściwy podpis kryptograficzny bazujący na wybranych polach i czasie. **Przykładowe zapytanie HTTP:** ``` GET /path/to/resource HTTP/1.1 Host: www.example.com User-Agent: Mozilla/5.0 Chrome/113.0.0 MyBotCrawler/1.1 Signature-Agent: signer.example.com Signature-Input: sig=("@authority" "signature-agent"); created=1700000000; expires=1700011111; keyid="ba3e64=="; tag="web-bot-auth" Signature: sig=abc== ``` Takie podejście oznacza, że strona może natychmiast zweryfikować autentyczność źródła żądania. Dostępne są już przykłady w formie rozszerzeń do przeglądarki (np. Chrome) i bibliotek JS/TypeScript (np. [web-bot-auth na npm](https://www.npmjs.com/package/web-bot-auth?ref=innasiec.pl)). Przed wysłaniem żądania, podpis trafia w odpowiednie nagłówki. Podobną logikę można zintegrować z backendem (Go, Caddy). Z poziomu serwera (np. Cloudflare Worker lub Caddy) możemy natychmiast zweryfikować podpis, korzystając ze znanego klucza publicznego. Pozwala to budować polityki dostępu oraz prowadzić rejestry działań agentów. Podpisy HTTP nie są jedyną możliwością. **Wersja oparta o mutual TLS (mTLS) wykorzystuje wzajemne uwierzytelnienie certyfikatem X.509 podczas zestawiania połączenia TLS**. Jednak standardowe mTLS jest upierdliwe dla przeglądarek i zwykłych użytkowników—błąd certyfikatu oznacza całkowity brak dostępu. Propozycja Cloudflare, rozpatrywana w IETF, polega na dodaniu flagi `req mTLS`. Klient sygnalizuje w handshake'u TLS, że obsługuje prezentację certyfikatu klienta. Zwykli użytkownicy tej flagi nie ustawiają. Serwer zyskuje pewność, że żąda certyfikatu tylko od botów/agentów wdrożonych do tego celu. ```go config := &tls.Config{ TLSFlagsSupported: []tls.TLSFlag{0x50}, RootCAs: rootPool, Certificates: certs, NextProtos: []string{"h2"}, } trans := http.Transport{TLSClientConfig: config, ForceAttemptHTTP2: true} ``` Przykład kodu Go dla obsługi `req mTLS`. **Porównanie rozwiązań—podsumowanie architektury** | Kryterium | HTTP Message Signatures | request mTLS (TLS Flags) | | ------------------ | --------------------------- | -------------------------------------- | | Poziom działania | Warstwa aplikacyjna (HTTP) | Warstwa transportowa (TLS) | | Łatwość wdrożenia | Wysoka, wiele bibliotek | Niska, wymaga zmian w TLS | | Standaryzacja | RFC 9421, szerokie wsparcie | Propozycja, brak RFC | | Przykładowe użycia | Bots / Webhooki / API | Infrastruktura, wymagania „enterprise” | | Kompatybilność | HTTP/HTTPS wszędzie | Tylko tam, gdzie możliwe zmiany w TLS | --- ## Technologia i Kultura Nowoczesnej Sieci [Unlocking the Full Potential of Network InfrastructureThe quote I’ve been returning to lately is “slow is smooth, smooth is fast.” It comes from the Navy SEALs, and it resonates deeply with where I find myself in 2025.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-13)LinkedInChris Grundemann![](https://innasiec.pl/content/images/thumbnail/1747146123072)](https://www.linkedin.com/pulse/unlocking-full-potential-network-infrastructure-chris-grundemann-o6yjf/?ref=innasiec.pl) Sieć to coś więcej niż tylko kable i routery. To krwioobieg, który może zadecydować o przewadze biznesowej firmy. Czy na pewno wykorzystujesz jej pełny potencjał? Większość inżynierów sieci doskonale rozumie nowoczesne technologie — automatyzacja, wysokiej klasy zarządzanie, segmentacja czy SDN już nie robią wrażenia. Jednak nawet najbardziej zaawansowane projekty często napotykają na niewidzialny mur. Co nim jest? Zaskakująco rzadko są to ograniczenia technologiczne. Znacznie częściej problemem są: - Struktury organizacyjne, które hamują zmiany. - Brak wsparcia kierownictwa dla projektów modernizacyjnych. - Kultura pracy niegotowa na transformację. Firmy, które chcą być liderami swojej branży, traktują infrastrukturę IT jako inwestycję. To nie tylko narzędzie operacyjne. To potencjalny motor wzrostu i innowacji. Transformacja sieci na poziomie technologicznym i kulturowym może zadecydować o: - Krótszym time-to-market dla nowych usług. - Wyższej niezawodności działania oraz odporności na awarie. - Sprawnym wdrażaniu rozwiązań chmurowych i hybrydowych. - Skuteczniejszym reagowaniu na wymagania biznesowe w czasie rzeczywistym. **Efektywna transformacja sieci nie ogranicza się do inwestycji sprzętowych czy wdrożeń rozwiązań automatyzujących**. Kluczowe jest zgranie trzech filarów: **1\. Technologia** - Automatyzacja powtarzalnych zadań. - Standaryzacja konfiguracji. - Monitorowanie i analityka w czasie rzeczywistym. **2\. Procesy** - Jasno zdefiniowane ścieżki eskalacji. - Procedury wdrożeniowe oparte na najlepszych praktykach. - Zarządzanie ryzykiem operacyjnym. **3\. Ludzie i kultura** - Edukacja i wspieranie zespołów w zakresie nowych narzędzi. - Promowanie współpracy między działami IT i biznesem. - Zachęcanie do inicjatyw i dzielenia się wiedzą. Te obszary muszą się rozwijać równolegle, aby zmiana była trwała i skuteczna. **Jak odblokować pełny potencjał swojej sieci?** 1. **Ustal jednoznacznie biznesowe cele sieci** (np. skrócenie czasu wdrożenia usług, minimalizacja przestojów). 2. **Zidentyfikuj "mury" w organizacji** — gdzie sieć ogranicza rozwój lub gdzie zmiany są blokowane przez przyzwyczajenia. 3. **Wprowadź regularne dialogi między IT a biznesem** — niech sieć stanie się częścią strategii, a nie kosztownym dodatkiem. 4. **Promuj inicjatywy edukacyjne** dla zespołu — rozwój technologiczny bez szkoleń rzadko się udaje. 5. **Wdrażaj zmiany iteracyjnie, małymi krokami** — "slow is smooth, smooth is fast". Drobne sukcesy motywują do kolejnych, większych. --- ## Czy powinieneś blokować ICMP? [Should I block ICMP?Should I block ICMP![](https://static.ghost.org/v5.0.0/images/link-icon.svg)ShouldIBlockICMP.comJason Ashworth](http://shouldiblockicmp.com/?ref=innasiec.pl) ICMP często bywa blokowany na zaporach sieciowych z powodu potencjalnych zagrożeń, ale całkowite blokowanie ICMP to błąd. Protokół ten pełni kluczowe funkcje w sieci, zarówno w diagnozowaniu problemów, jak i w utrzymaniu prawidłowego działania połączeń. --- ## Zarządzanie intencjami z Ansible [GitHub - srl-labs/intent-based-ansible-labContribute to srl-labs/intent-based-ansible-lab development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-16.svg)GitHubsrl-labs![](https://opengraph.githubassets.com/c5ae1ee01ee1d2b71af284b7b73c71b706e05967033090a08370b08f846bb7e5/srl-labs/intent-based-ansible-lab)](https://github.com/srl-labs/intent-based-ansible-lab?ref=innasiec.pl) Intent-based-ansible-lab to praktyczny projekt pokazujący, jak zarządzać konfiguracją sieci SR Linux za pomocą Ansible w podejściu opartym na intencjach. Repozytorium wykorzystuje oficjalną kolekcję Ansible dla SR Linux i zawiera gotowe topologie do uruchomienia w Containerlab, a także przykładowe playbooki. --- ## Jak uruchomić Pythona na produkcji _This post is for paying subscribers only._ ### 📬 ISN 187: Sieciowy DevOps w Praktyce, Sztuczki z MAC Adresami i Lekcje z IPv6! URL: https://innasiec.pl/isn-187-sieciowy-devops-w-praktyce-sztuczki-z-mac-adresami-i-lekcje-z-ipv6/ Last updated: 2025-05-19T08:00:57.000Z SPONSORED Sponsorem tego wydania jest ****Sycope**, firma specjalizująca się w monitorowaniu ruchu sieciowego oraz bezpieczeństwie IT. Oferuje zaawansowane rozwiązania do nadzoru nad infrastrukturą sieciową, wykrywania i analizy zagrożeń bezpieczeństwa oraz optymalizacji wydajności sieci i aplikacji. W najbliższy wtorek, ****20 maja** o godzinie ****10:00** odbędzie się darmowy webinar pt.: ****"Kontrolowanie sieci hybrydowych poprzez automatyczną inwentaryzację zasobów, aplikacji i ich połączeń**" [Zapisz się na webinar ](https://webinar.sycope.com/?utm%5Fsource=Inna-siec&utm%5Fmedium=mail&utm%5Fcampaign=Webinar-asset) ## Fatalne sposoby wdrażania IPv6 [Bad IPv6 Approaches | Weberblog.net![](https://innasiec.pl/content/images/icon/cropped-webernetz-logo-4-icon-2000x2000-1-180x180-6.png)Weberblog.netJohannes Weber![](https://innasiec.pl/content/images/thumbnail/Bad-IPv6-Approaches-featured-image-604x270.jpg)](https://weberblog.net/bad-ipv6-approaches/?ref=innasiec.pl) Zastanawiałeś się, ile złych praktyk wokół IPv6 wciąż jest wdrażanych przez firmy? Te błędy mogą kosztować czas, niezawodność i bezpieczeństwo. **1\. Pozostanie przy IPv4 w LAN i NATowanie ruchu do IPv6 (NAT46)** Pierwszy pomysł — trzymanie wyłącznie adresacji IPv4 w sieci lokalnej i zastosowanie mechanizmu NAT46 na brzegu przy wyjściu do Internetu przez IPv6. **Dlaczego to zły pomysł?** - NAT46 tworzy zbyteczną złożoność. Konfiguracja i diagnostyka stają się trudniejsze. - Możliwość translacji NAT46 nie zawsze jest dostępna na typowych urządzeniach. - Klienci nie korzystają z natywnego IPv6 – tracisz automatyczne end-to-end, wydajność i uproszczone zarządzanie trasami. - NAT zwiększa opóźnienia, obciążenie urządzeń i ryzyko „tajemniczych” błędów. **Podejście poprawne:** Uruchomić IPv6 w sieci LAN i umożliwić hostom natywną komunikację do Internetu poprzez IPv6. **2\. Zastosowanie NAT66 zamiast NPTv6** Kolejny pomysł — administratorzy chcieli używać wewnętrznego zakresu IPv6, a na brzegu NATować adresacje do ISP. Wybrali NAT66\. To poważny błąd. **Dlaczego NAT66 to ślepa uliczka?** - NAT66 tłumaczy cały (128-bitowy) adres. Często stosuje się wtedy także PAT, co nie ma sensu przy ogromnej puli IPv6. - NAT66 jest „zastępcą” NAT44 z IPv4\. W świecie IPv6 nie istnieje problem braku adresów. - Skomplikowanie ruchu i utrudnienie rozwiązywania problemów. - NAT nie dodaje bezpieczeństwa! Skupienie się na filtracji ruchu i segmentacji jest skuteczniejsze. **Właściwe rozwiązanie:** Jeśli musisz przetłumaczyć prefiks (na przykład dla failover między ISP), zastosuj NPTv6\. Translacja dotyczy tylko części sieciowej, adres hosta i numery portów pozostają bez zmian. Jest to bezstanowe i szybkie. **3\. Wykorzystywanie ULA jako „prywatnych” adresów IPv6** Wielu szuka odpowiednika RFC1918 dla IPv6 i ląduje przy Unique Local Addresses (ULA). To kolejny duży błąd w typowych wdrożeniach. **Główne wady ULA:** - **Brak routowalności:** ULA nie mogą być routowane poza sieć lokalną. Translacja ich do Internetu jest niezalecana i problematyczna. - **Preferencje w dual-stack:** Zgodnie z RFC6724, hosty preferują IPv4 nad ULA, jeśli oba są dostępne. IPv6 w tej postaci przestaje praktycznie działać. - **Ryzyko kolizji:** Nawet przy 40-bitowym random Global ID, niepoprawna generacja prowadzi do konfliktów przy fuzjach, VPN-ach czy peeringu. - **Złożoność routingowa:** Mieszanie ULA i GUA komplikuje trasowanie i diagnostykę. - **Brak dodatkowego bezpieczeństwa:** ULA nie są mechanizmem ochronnym. Jeśli ruch opuści sieć i nie ma firewalla, są podatne na ataki. **Rekomendacja:** ULA stosuj tylko w szczególnych przypadkach (np. odseparowane segmenty lub laboratoria). W środowisku produkcyjnym korzystaj zawsze z odpowiedniej, bezpiecznej adresacji GUA. **Lepsze scenariusze adresacji IPv6** - Wybierz jeden prefiks GUA od ISP jako główny. W razie awarii przełącz translację (NPTv6) do drugiego ISP. - Idealnie? Uzyskaj własny prefiks (np. przez sponsoring LIR). Zachowasz pełną niezależność od operatorów, uprościsz zarządzanie i uprościsz polityki routingu. **Skąd te złe pomysły?** 1. **Produkty klasy UTM:** Przykład FortiGate, gdzie domyślnie promowane jest użycie NAT także dla IPv6\. Może to wprowadzać w błąd niewyedukowanych administratorów. 2. **Syndrom „IPv4 thinking”:** Przyzwyczajenie do adresacji prywatnej i NAT przenoszone żywcem do architektury IPv6. 3. **Mylące publikacje i dokumentacja:** Wciąż można znaleźć poradniki sugerujące, że ULA to właściwa alternatywa dla RFC1918. --- ## MCP dla NetOps [MCP for DevOps, NetOps, and SecOps: Real-World Use Cases and Future InsightsMCP for DevOps, NetOps, and SecOps: Real-World Use Cases and Future Insights In the previous post on MCP for DevOps: Architecture and Components, we![](https://innasiec.pl/content/images/icon/cropped-Cisco-logo-thumb-sky-blue-300x300-1.jpg)Cisco BlogsShannon McFarland![](https://innasiec.pl/content/images/thumbnail/mcp-usecases-abstract.png)](https://blogs.cisco.com/developer/mcp-usecases?ref=innasiec.pl) Czy wyobrażasz sobie AI, które automatycznie zarządza Twoją siecią, automatyzuje procesy DevOps i błyskawicznie reaguje na incydenty bezpieczeństwa? Poznaj Model Context Protocol (MCP) – technologię, która umożliwia takie scenariusze. **Model Context Protocol (MCP) to protokół komunikacyjny zaprojektowany z myślą o agentach i aplikacjach AI**. MCP umożliwia im skuteczne i jednolite integrowanie się z narzędziami, API, bazami danych czy systemami plików. Najważniejsze cechy MCP: - Jest lekki, prosty i przewidywalny – oparty na architekturze klient-serwer. - Łączy agentów AI z narzędziami i danymi w ekosystemie IT. - Działa jako „spoiwo” między AI a infrastrukturą operacyjną. Czym MCP nie jest? - Nie jest protokołem komunikacji agent–agent. - Nie jest LLM-em, bazą danych ani agentem AI. - Nie zastępuje istniejących API czy platform integracyjnych. Zastosowania MCP są bardzo szerokie, szczególnie gdy wykorzystujemy go razem z SDK po stronie klienta AI i dedykowanym serwerem MCP, który pośredniczy między agentem a narzędziami lub systemami. **MCP działa jak centralny hub dla aplikacji AI, umożliwiając im współpracę z:** - Systemami obserwacyjnymi (np. Splunk). - Orkiestratorami (np. Cisco NSO). - Platformami bezpieczeństwa AI (np. Cisco AI Defense). Aplikacje AI integrujące MCP mogą pobierać dane z różnych źródeł, co pozwala na: - Szybsze i dokładniejsze analizy. - Błyskawiczne podejmowanie decyzji na podstawie pełnego obrazu sytuacji. **Wykorzystanie MCP w praktyce** **Przykładowe użycia:** - Pełna automatyzacja pipeline’ów CI/CD. AI samo buduje, testuje, wdraża i powiadamia (np. przez Cisco Webex). - Zarządzanie kodem – AI obsługuje branche, pull requesty, triage błędów i skanuje podatności w GitHub. - Automatyczne zarządzanie infrastrukturą dzięki integracji z Terraform/Ansible. - Automatyczne reagowanie na incydenty i powiadamianie zespołów. - Zarządzanie konfiguracjami sieciowymi za pomocą poleceń w języku naturalnym. AI wykorzystuje API Cisco lub narzędzia IaC. - Monitorowanie wydajności sieci i automatyczne reagowanie na anomalie (np. Cisco ThousandEyes, Meraki Dashboard). - Zarządzanie infrastrukturą chmurową, w tym integracja z Kubernetes i kontrolerami sieciowymi Cisco. MCP jest dynamicznie rozwijanym rozwiązaniem z rosnącym ekosystemem. Pozwala wdrażać coraz bardziej inteligentne i zautomatyzowane usługi, lecz wymaga uważności. --- ## Od inżyniera do Architekta [GitHub - chronot1995/Engineer2Architect: This is the repo used for the KC NUG Keynote ProjectThis is the repo used for the KC NUG Keynote Project - chronot1995/Engineer2Architect![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-15.svg)GitHubchronot1995![](https://innasiec.pl/content/images/thumbnail/Engineer2Architect)](https://github.com/chronot1995/Engineer2Architect/tree/main?ref=innasiec.pl) Projekt Engineer2Architect pokazuje, jak przejść z Network Engineera do Network Architecta. Składa się z prezentacji i 5 laboratoriów technicznych, uczących praktycznych umiejętności z użyciem Arista EOS, FRR i Linuxa w Containerlab z Ansible. --- SPONSORED Sponsorem tego wydania jest ****Sycope**, firma specjalizująca się w monitorowaniu ruchu sieciowego oraz bezpieczeństwie IT. Oferuje zaawansowane rozwiązania do nadzoru nad infrastrukturą sieciową, wykrywania i analizy zagrożeń bezpieczeństwa oraz optymalizacji wydajności sieci i aplikacji. W najbliższy wtorek, ****20 maja** o godzinie ****10:00** odbędzie się darmowy webinar pt.: ****"Kontrolowanie sieci hybrydowych poprzez automatyczną inwentaryzację zasobów, aplikacji i ich połączeń**" [Zapisz się na webinar ](https://webinar.sycope.com/?utm%5Fsource=Inna-siec&utm%5Fmedium=mail&utm%5Fcampaign=Webinar-asset) --- ## Zbieraj adresy MAC jak PRO > [Developing a custom solution for mac address collection and storage using Nornir, Nautobot and InfluxDB v.2.x](https://www.mythryll.com/?p=1630&ref=innasiec.pl) Projekt opisuje stworzenie autorskiego systemu do zbierania i przechowywania historii adresów MAC w sieci firmowej. Wykorzystuje do tego InfluxDB v.2.x jako bazę danych typu Time Series, Python z frameworkiem Nornir do zbierania danych z przełączników oraz Nautobot jako źródło inwentarza sieciowego. Całość działa w kontenerach Docker z automatycznym zapisem danych o adresach MAC, portach, IP i hostach, co ułatwia analizę i zarządzanie infrastrukturą sieciową, np. przy migracjach. --- ## Sieciowy DevOps w praktyce [https://medium.com/@netopschic/network-automation-series-7-configuring-static-routing-on-nokia-sr-linux-via-ansible-and-ef85edc52462](https://medium.com/@netopschic/network-automation-series-7-configuring-static-routing-on-nokia-sr-linux-via-ansible-and-ef85edc52462?ref=innasiec.pl) Czy kiedykolwiek marzyłeś, by wdrożenie i automatyzacja sieciowych labów była szybka, powtarzalna i bliska podejściu “infra as code”? Jeśli twoja odpowiedź brzmi “tak”, Containerlab może stać się twoim nowym najlepszym przyjacielem. Po latach spędzonych z GNS3 czy Packet Tracer można poczuć, że tradycyjne narzędzia nie nadążają za nowoczesnymi procesami DevOps w NetOps. **Containerlab to open-source’owe narzędzie CLI umożliwiające definiowanie i uruchamianie złożonych topologii w pliku YAML.** Wspiera podejście lab-as-code: - łatwo podlega wersjonowaniu, - idealnie nadaje się do CI/CD, - gwarantuje powtarzalność środowisk. Wyjątkowym atutem jest błyskawiczne wdrożenie – pełna topologia czterech węzłów SR Linux wystartuje w kilka chwil na twoim laptopie. **Przykładowa topologia – cztery węzły w Containerlab** W tej demonstracji budujemy układ czterech routerów SR Linux, gdzie każdy ma relacje sąsiedzkie zgodnie ze schematem: ``` node1──node2 │ │ node4──node3 ``` Konfiguracja YAML dla Containerlab prezentuje się następująco: ```yaml name: srl-square topology: kinds: nokia_srlinux: image: ghcr.io/nokia/srlinux nodes: node1: kind: nokia_srlinux type: ixrd2l node2: kind: nokia_srlinux type: ixrd2l node3: kind: nokia_srlinux type: ixrd2l node4: kind: nokia_srlinux type: ixrd2l links: - endpoints: ["node1:e1-1", "node2:e1-1"] - endpoints: ["node2:e1-2", "node3:e1-1"] - endpoints: ["node3:e1-2", "node4:e1-1"] - endpoints: ["node4:e1-2", "node1:e1-2"] ``` Uruchamiasz wszystko jednym poleceniem: ``` containerlab deploy -t nokia.clab.yaml ``` Dodatek Containerlab do VSCode generuje graficzny podgląd topologii i pozwala na szybkie połączenie z konsolami urządzeń. **Automatycznie generowany inwentarz Ansible** Po wdrożeniu labu, Containerlab automatycznie utworzy inventory Ansible z danymi dostępowymi do każdego węzła. Przykładowy fragment: ```yaml clab-srl-square-node1: ansible_host: 172.20.20.5 ansible_user: admin ansible_password: NokiaSrl1! ansible_network_os: nokia.srlinux.srlinux ansible_connection: ansible.netcommon.httpapi ``` To ogromne ułatwienie – nie tracisz czasu na przygotowywanie ręcznych plików inventory. **Ansible: wyzwania i wzorzec konfiguracji** Konfigurowanie interfejsów i tras statycznych na SR Linux przez Ansible nie jest jeszcze tak intuicyjne, jak w przypadku Cisco IOS czy Aristy EOS. Kolekcja `nokia.srlinux` jest młoda, a oficjalna dokumentacja YANG potrafi być nieczytelna. Najważniejsze elementy playbooka dla każdego węzła to: - Włączanie interfejsów i subinterfejsów, - Nadawanie adresacji IPv4, - Przypisywanie subinterfejsów do VRF (network-instance), - Definicja grup next-hop, - Konfiguracja tras statycznych, - Commit zmian na urządzeniu. Struktura zadania w playbooku wygląda następująco (fragment przykład z node1): ```yaml - name: Apply Node1 subinterfaces, NHGs & routes nokia.srlinux.config: datastore: candidate save_when: changed update: - path: /interface[name=ethernet-1/1]/admin-state value: enable - path: /interface[name=ethernet-1/1]/subinterface[index=0]/ipv4/address[ip-prefix=10.1.1.1/24] value: {} # (... dalej konfiguracje interfejsów ...) - path: /network-instance[name=default]/static-routes/route[prefix=30.1.1.0/24]/next-hop-group value: nhg1 # (... dalsze trasy ...) ``` Każdy node dostaje analogiczne zadania dostosowane do swojej roli w topologii. **Porównanie z innymi platformami** - **Cisco i Arista** mają bardziej dojrzałe kolekcje Ansible oraz dużo przystępniejsze modele YANG/CLI. - **Nokia SR Linux** oferuje olbrzymią elastyczność (YANG na sterydach) – to atut, ale jednocześnie tworzy strome wejście dla prostych automatyzacji. - Containerlab rozwiązuje problem integracji, generując gotowe inventory oraz automatyzując dostęp do urządzeń. ### 📬 ISN 186: Firewall na Straży Bezpieczeństwa: HTTPS, SFTP, FTPS pod Lupą! + CLI i SD-WAN! URL: https://innasiec.pl/isn-186-firewall-na-strazy-bezpieczenstwa-https-sftp-ftps-pod-lupa-cli-i-sd-wan/ Last updated: 2025-05-12T08:00:13.000Z ## Obsługa ruchu HTTPS, SFTP i FTPS przez firewalle [DNS, SFTP, and FTPS: Why Firewalls Handle These Protocols DifferentlyKISS IT Design Principle - Human Error Prevention![](https://innasiec.pl/content/images/icon/favicon-75x75-1-1.png)Kerry CorderoKerry Cordero![](https://innasiec.pl/content/images/thumbnail/favicon-75x75-1-1.png)](https://cordero.me/dns-sftp-and-ftps-why-firewalls-handle-these-protocols-differently/?ref=innasiec.pl) TL;DR Protokoły różnią się sposobem wykorzystania nazwy domeny po jej rozwiązaniu przez DNS. Protokół HTTPS (HTTP over TLS/SSL) należy do najbardziej rozpowszechnionych sposobów bezpiecznej komunikacji internetowej. Gdy użytkownik łączy się z witryną przez HTTPS, proces wygląda następująco: 1. Komputer wywołuje zapytanie DNS w celu ustalenia adresu IP dla nazwy domeny, np. [innasiec.pl](https://innasiec.pl/). 2. Nawiązywane jest szyfrowane połączenie TCP na port 443. 3. Następuje negocjacja parametrów połączenia TLS pomiędzy klientem a serwerem. 4. W komunikacie ClientHello klient przesyła serwerowi Server Name Indication (SNI), czyli wskazanie, do której domeny nastąpiło połączenie. 5. Serwer wykorzystuje SNI do obsłużenia żądania i dostarczenia odpowiedniego certyfikatu SSL. Server Name Indication, pełni bardzo istotną rolę w kontekście konfiguracji zapory. Ponieważ zawiera nazwę domeny, umożliwia urządzeniom zabezpieczającym (zaporom, proxy, WAF) rozpoznanie faktycznego miejsca docelowego połączenia i podjęcie stosownych działań. **Dzięki SNI zapory nowej generacji mogą blokować dostęp do wybranych domen**, egzekwować polityki dostępu dla określonych zasobów WWW oraz przeprowadzać szczegółowe inspekcje ruchu sieciowego. Zasady mogą być tworzone na podstawie pełnych nazw domen, nie tylko adresów IP, co znacznie upraszcza zarządzanie i zwiększa bezpieczeństwo. Zupełnie inaczej wygląda sytuacja w przypadku SFTP (SSH File Transfer Protocol). SFTP opiera się na protokole SSH, który natychmiast po nawiązaniu połączenia TCP w pełni szyfruje całą komunikację. Tak więc przebieg ustanawiania sesji SFTP wygląda następująco: 1. Komputer wywołuje zapytanie DNS w celu ustalenia adresu IP dla nazwy domeny, np. [innasiec.pl](https://innasiec.pl/). 2. Nawiązywane jest szyfrowane połączenie TCP na port 22. 3. Następuje negocjacja parametrów szyfrowania i uwierzytelnienie klienta na serwerze (np. hasło, klucz). 4. Po ustanowieniu bezpiecznego tunelu SSH wszelka dalsza komunikacja jest w pełni zaszyfrowana. Jak widać, **w protokole SFTP, w przeciwieństwie do HTTPS, nie ma ekwiwalentu Server Name Indication**. Po rozwiązaniu nazwy przez DNS wszelkie dalsze informacje dotyczące docelowego hosta są ukryte pod szyfrowaniem. **Dla zapory sieciowej oznacza to, że nigdy nie dowie się ona, do jakiej domeny było kierowane żądanie SFTP**. Może jedynie stwierdzić obecność połączenia SSH z danym adresem IP. W związku z tym zasady zapory dotyczące SFTP mogą być oparte wyłącznie na adresach IP, a nie nazwach domen. Na koniec warto wspomnieć jeszcze o **FTPS (FTP over TLS/SSL), będącym bezpieczniejszą wersją protokołu FTP**. W jego przypadku sytuacja jest bardziej złożona i zależy od użytej odmiany: - **Explicit FTPS (FTPES, port 21)** \- przed wymianą komend FTP następuje negocjacja parametrów TLS. Komunikacja zawiera Server Name Indication, jako że opiera się na TLS/SSL. - **Implicit FTPS (port 990)** \- połączenie jest szyfrowane od samego początku. Brak możliwości dowiedzenia się nazwy docelowej domeny, podobnie jak przy SFTP. Podsumowując, zarówno Explicit FTPS, jak i HTTPS, umożliwiają konfigurację zasad zapory opartą na nazwach domen dzięki mechanizmowi SNI w TLS. Z kolei SFTP i Implicit FTPS nie mają tej możliwości - zapora może widzieć tylko adresy IP. --- ## Polecenia z CLI Cisco, Juniper, Arista w SR Linux [Learn SR Linux - MultiCLI ProjectOpen documentation for open Network OS![](https://innasiec.pl/content/images/icon/srlinux.svg)Learn SR LinuxSR Linux![](https://innasiec.pl/content/images/thumbnail/site-card.webp)](https://learn.srlinux.dev/cli/plugins/multicli/?ref=innasiec.pl) **W SR Linux wszystkie polecenia "show" są zapisane jako egzekwowalne skrypty Pythona, bezpośrednio korzystające z infrastruktury opartej na modelach YANG**, aby uzyskać dostęp do informacji o stanie systemu. Co więcej, użytkownicy mają możliwość modyfikowania tych skryptów lub tworzenia całkowicie nowych poleceń CLI, wykorzystując to samo podejście co zespół programistów SR Linux. Te wtyczki użytkowników są znane jako "Custom CLI plugins" (Niestandardowe wtyczki CLI). Ponieważ SR Linux jest modelowany w całości w YANG, wtyczki te mogą uzyskiwać dostęp do dowolnych obiektów stanu lub atrybutów w systemie i wyświetlać je w formacie, do którego jesteś przyzwyczajony. To prowadzi do fascynującego pytania: czy możemy sprawić, by polecenia CLI w SR Linux wyglądały i działały tak, jak w innym NOS-ie? **MultiCLI to otwarte źródłowa inicjatywa mająca na celu stworzenie kolekcji wtyczek SR Linux implementujących polecenia pokazowe z innych systemów operacyjnych sieciowych**. Jej celem jest ułatwienie migracji do SR Linux dla użytkowników znających inne platformy sieciowe, a także ponowne wykorzystanie istniejących narzędzi i zasobów w ich środowiskach. Pierwsza faza projektu obejmuje polecenia z czterech różnych NOS-ów: Arista EOS, Cisco NX-OS, Juniper JunOS i Nokia SR OS. Testując te wtyczki, zauważysz kilka bardzo przydatnych funkcji wbudowanych w interfejs wiersza poleceń SR Linux: - Funkcja natywnego automatycznego uzupełniania poleceń działa również dla wtyczek. - Przycisk Tab wyświetla kolejne opcje, które można przeglądać za pomocą klawiszy strzałek. - Podczas pisania słowa kluczowego, pojawia się cień pełnej frazy. - Dla każdej opcji można zdefiniować sekcję pomocy, w pełni programowalną. - Na końcu wyjścia każdego polecenia podane jest odpowiednie polecenie SR Linux, ułatwiające naukę i nawigację w CLI tej platformy. Jak mogę uzyskać więcej takich wtyczek? MultiCLI jest projektem open source. Jeśli masz na myśli konkretne polecenia i jesteś skłonny opracować odpowiednie wtyczki, dołącz do projektu i zacznij współtworzyć. Zapoznaj się z samouczkiem i istniejącymi wtyczkami, aby dowiedzieć się więcej o tworzeniu własnych dodatków. --- ## AI narysuje Ci drawing Film prezentuje nowatorskie podejście do a**utomatycznego generowania diagramów sieciowych, wykorzystując integrację Draw.io z Cisco pyATS przez Model Context Protocol (MCP).** Dzięki tej technologii możliwe jest dynamiczne aktualizowanie topologii sieci za pomocą protokołów HTTP i WebSocket, co ułatwia dokumentację, integrację z narzędziami CI/CD, ChatOps czy systemami AI. --- ## Poznaj Catalyst SD-WAN za darmo [Build a Catalyst SDWAN 20.12.3 Home LabThis free course walks you through the steps necessary to create your own home lab so you can explore SDWAN topics on your own or by enrolling in the upcoming “Ultimate Catalyst SDWAN Course”.![](https://innasiec.pl/content/images/icon/f1a1de9d3260c96d3a81ee781bc9808e.ico)sd-geeks.comkofi Agyei![](https://innasiec.pl/content/images/thumbnail/vWsmRdC5QV2oOmVkOTne_new-topo-image.png)](https://powerup.sd-geeks.com/courses/CiscoSDWAN-HOMELAB?ref=innasiec.pl) Darmowy kurs oferuje szczegółowe, praktyczne wprowadzenie do Cisco Catalyst SD-WAN, idealne dla osób chcących zdobyć praktyczne umiejętności w tej technologii. Materiał obejmuje instalację i konfigurację labu w środowiskach takich jak ESXi, Proxmox czy EVE-NG, wraz z omówieniem kluczowych komponentów systemu SD-WAN, jak vManage, vBond, vSmart oraz zarządzanie certyfikatami. Kurs zawiera 29 lekcji i ponad 9 godzin wideo, które krok po kroku przeprowadzają przez proces budowy i obsługi środowiska testowego. ## Nowe Protokoły w Centrach Danych dla AI _This post is for paying subscribers only._ ### Wprowadzenie do Dockera: Twój Pierwszy Kontener Krok po Kroku URL: https://innasiec.pl/wprowadzenie-do-dockera-twoj-pierwszy-kontener-krok-po-kroku/ Last updated: 2025-05-10T19:32:27.000Z Jeśli konfigurujesz, testujesz i debugujesz rozwiązania sieciowe, Docker może znacząco uprościć Twoją codzienną pracę. Zapomnij o czasochłonnym stawianiu maszyn wirtualnych czy ręcznym odtwarzaniu środowisk – kontenery pozwalają Ci w kilka sekund uruchomić izolowane środowiska, które pozwalają znacznie efektywniej wykorzystać dostępne zasoby. ### Czym jest Docker? Docker to platforma, która umożliwia tworzenie, wdrażanie i zarządzanie aplikacjami w kontenerach. **Technologia ta pozwala na „opakowanie” aplikacji oraz wszystkich jej zależności w jeden spójny pakiet.** Zawiera on wszystko, co jest potrzebne do uruchomienia aplikacji — od kodu po biblioteki i inne zależności. Dzięki temu każdy kontener jest i działa identycznie jak jego twórca go przygotował. Zapomnij o "u mnie działa" 😉 ### Czym jest kontener? Kontener Docker to lekka, izolowana jednostka działająca bezpośrednio na jądrze systemu operacyjnego hosta, tworząca odrębne środowisko dla aplikacji i jej zależności. Dzięki temu aplikacje uruchamiane w kontenerach działają identycznie w różnych środowiskach. W przeciwieństwie do maszyny wirtualnej, która wymaga własnego systemu operacyjnego i większych zasobów, kontener działa jak proces na hoście — jest szybki, zajmuje mniej miejsca i zużywa mniej pamięci, zapewniając jednocześnie niezbędną izolację. ### Różnica między kontenerem a maszyną wirtualną (VM) | Cecha | Kontener | Maszyna wirtualna (VM) | | --------------- | ------------------------------ | ---------------------------------- | | Jądro systemu | Współdzielone z hostem | Własne jądro, niezależny system OS | | Uruchamianie | Szybkie, jako proces na hoście | Wolniejsze, wymaga pełnego OS | | Zasoby | Mniejsze zużycie (CPU, RAM) | Większe zużycie zasobów | | Izolacja | Izolacja na poziomie procesów | Izolacja na poziomie sprzętowym | | Wielkość obrazu | Mała, tylko niezbędne pliki | Duża, cały system operacyjny | ![](https://innasiec.pl/content/images/2025/04/docker-vs-vm.webp) Maszyny wirtualne mogą pełnić podobną funkcję jak kontenery, ale w wielu przypadkach są po prostu zbyt ciężkie: - długi czas startu (minuty vs. sekundy), - duży narzut zasobów (pełny system operacyjny), - trudniejsza automatyzacja i zarządzanie. ## Jak Docker działa w praktyce? Docker działa na zasadzie klient-serwer. Demon Docker Engine działa w tle, a Ty komunikujesz się z nim przez API lub narzędzie CLI. graph TD subgraph Architektura Dockera A\[Klient Dockera\] -->|Komunikacja| B\[Daemon Dockera\] B --> C\[Obrazy Dockera\] B --> D\[Kontenery Dockera\] B --> E\[Rejestry Dockera\] E -->|Pobieranie/Publikowanie| C end subgraph Cykl życia kontenera C -->|Tworzenie| D D -->|Uruchamianie| F\[Uruchomiony kontener\] F -->|Zatrzymywanie| G\[Zatrzymany kontener\] G -->|Usuwanie| H\[Usunięty kontener\] end ## Podstawowe komponenty Docker **Obraz (image)** Obraz Dockera to nieruchoma, read-only (tylko do odczytu) szablonowa warstwa, która zawiera wszystkie pliki, konfiguracje i zależności potrzebne do uruchomienia aplikacji. Można go porównać do „fotografii” środowiska uruchomieniowego. Obrazy są tworzone na podstawie plików Dockerfile, które definiują krok po kroku, jakie elementy mają się znaleźć w obrazie. - **Warstwowa struktura:** Obrazy składają się z wielu warstw, co pozwala na efektywne zarządzanie i ponowne wykorzystywanie wspólnych elementów pomiędzy różnymi obrazami. - **Wersjonowanie:** Każdy obraz może mieć tagi (np. `ubuntu:20.04`), które ułatwiają zarządzanie wersjami. - **Źródła obrazów:** Obrazy można pobierać z publicznych rejestrów (np. Docker Hub) lub tworzyć własne, dostosowane do potrzeb projektu. **Kontener (container)** Kontener to działająca instancja obrazu, czyli uruchomiony proces lub zestaw procesów izolowanych od reszty systemu operacyjnego. To właśnie w kontenerze działa Twoja aplikacja. - **Izolacja:** Kontener ma własną przestrzeń procesów, system plików, sieć i inne zasoby, co zapobiega konfliktom z innymi aplikacjami. - **Szybkie uruchamianie i zatrzymywanie:** Kontenery startują praktycznie natychmiast, ponieważ korzystają ze współdzielonego jądra systemu operacyjnego. - **Tymczasowość:** Kontenery są zazwyczaj efemeryczne – po zatrzymaniu lub usunięciu ich stan jest tracony, chyba że dane są przechowywane w wolumenach. **Wolumen (volume)** Wolumeny to specjalne obszary dyskowe przeznaczone do trwałego przechowywania danych używanych przez kontenery. Są niezależne od cyklu życia kontenera. - **Trwałość danych:** Dane zapisane w wolumenach pozostają nawet po usunięciu kontenera. - **Dzielenie danych:** Wolumeny mogą być współdzielone między wieloma kontenerami, co umożliwia wymianę danych. - **Bezpieczeństwo i wydajność:** Używanie wolumenów pozwala na lepszą kontrolę nad danymi oraz często zwiększa wydajność operacji dyskowych w porównaniu do zapisu bezpośrednio w kontenerze. **Sieć (network)** Sieci Dockera umożliwiają komunikację pomiędzy kontenerami oraz z zewnętrznym światem. - **Typy sieci:** - **Bridge (most):** Domyślna sieć izolowana dla kontenerów na tym samym hoście. - **Host:** Kontener korzysta z sieci hosta bez izolacji. - **Overlay:** Umożliwia komunikację między kontenerami na różnych hostach (np. w klastrze). - **Konfiguracja:** Sieci można konfigurować pod kątem bezpieczeństwa (firewalle, reguły dostępu) oraz routingu. - **DNS i nazwy kontenerów:** Docker automatycznie zarządza nazwami DNS dla kontenerów, co ułatwia ich wzajemną komunikację. **Dockerfile** Plik tekstowy definiujący instrukcje budowy obrazu Docker. Zawiera polecenia takie jak: - `FROM` – bazowy obraz, - `RUN` – komendy do wykonania podczas budowania, - `COPY`/`ADD` – kopiowanie plików, - `CMD`/`ENTRYPOINT` – domyślna komenda uruchamiana w kontenerze. **Rejestr (registry)** Miejsce przechowywania obrazów Docker. - **Publiczne rejestry:** np. Docker Hub, GitHub Container Registry. - **Prywatne rejestry:** Firmowe serwery do bezpiecznego przechowywania obrazów. - Umożliwia łatwe pobieranie i publikowanie obrazów. ## Instalacja Dockera Ze względu na specyfikę zastosowania, Docker był pierwotnie przeznaczony głównie dla systemów Linux, jednak podjęto wiele działań, aby zapewnić jego działanie także na platformach Windows i macOS. **Ubuntu** ```bash # Add Docker's official GPG key: sudo apt-get update sudo apt-get install ca-certificates curl sudo install -m 0755 -d /etc/apt/keyrings sudo curl -fsSL https://download.docker.com/linux/ubuntu/gpg -o /etc/apt/keyrings/docker.asc sudo chmod a+r /etc/apt/keyrings/docker.asc # Add the repository to Apt sources: echo \ "deb [arch=$(dpkg --print-architecture) signed-by=/etc/apt/keyrings/docker.asc] https://download.docker.com/linux/ubuntu \ $(. /etc/os-release && echo "${UBUNTU_CODENAME:-$VERSION_CODENAME}") stable" | \ sudo tee /etc/apt/sources.list.d/docker.list > /dev/null sudo apt-get update sudo apt-get install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin ``` **Windows/MacOS** - Pobierz [Docker Desktop](https://www.docker.com/products/docker-desktop/?ref=innasiec.pl) ze strony Docker 💡 Na MacOS Docker jest również dostępny z poziomu [Homebrew](https://formulae.brew.sh/formula/docker?ref=innasiec.pl). Docker domyślnie jest instalowany z obrazem `hello-world`, który pozwala na sprawdzenie, czy instalacja przebiegła poprawnie. ```bash docker run hello-world ``` To proste polecenie uruchomi kontener testowy, który wyświetli krótki komunikat potwierdzający poprawność instalacji. ## Najważniejsze polecenia Docker Poniżej znajdziesz zestaw podstawowych komend, które będziesz używać niemal codziennie pracując z Dockerem: - **docker pull** Pobiera obraz Dockera z rejestru, np. Docker Hub. ```bash docker pull ubuntu ``` - **docker images** Wyświetla listę wszystkich pobranych obrazów Dockera. ```bash docker images ``` ![](https://innasiec.pl/content/images/2025/04/docker_images_optimized.webp) - **docker run** Uruchamia kontener na podstawie obrazu. - `-d` \- oznacza detached, czyli kontener będzie działał w tle. - `--name` \- nazwa kontenera. - `n8nio/n8n` \- to nazwa obrazu, z którego ma zostać uruchomiony kontener. ```bash docker run -d --name my_container n8nio/n8n ``` ![](https://innasiec.pl/content/images/2025/04/docker_run.webp) - **docker stop** Zatrzymuje uruchomiony kontener. Musisz znać nazwę lub ID kontenera, które znajdziesz przez `docker ps`. ```bash docker stop my_container ``` ![](https://innasiec.pl/content/images/2025/04/docker_stop.webp) - **docker ps** Wyświetla listę aktualnie działających kontenerów. Aby zobaczyć wszystkie kontenery, także zatrzymane, użyj: ```bash docker ps -a ``` ![](https://innasiec.pl/content/images/2025/04/docker_ps-a.webp) - **docker rmi** Usuwa obraz Dockera, którego już nie potrzebujesz. Operacja jest nieodwracalna. ```bash docker rmi 9f9d60171cff ``` ![](https://innasiec.pl/content/images/2025/04/docker_rmi.webp) - **docker rm** Usuwa kontener. Operacja jest nieodwracalna – dane w kontenerze zostaną utracone. ```bash docker rm my_container ``` ## Wejście do działającego kontenera (docker exec) Czasem potrzebujesz wejść do środka kontenera, np. aby wykonać polecenia w jego środowisku. ```bash docker exec -it my_container /bin/bash ``` - `-it` — interaktywny tryb terminala, - `/bin/bash` — powłoka bash (jeśli dostępna w obrazie). W przypadku `nginx` może być konieczne użycie `/bin/sh`, jeśli bash nie jest zainstalowany. ## Podsumowanie Docker to potężne narzędzie, które znacznie przyspiesza tworzenie i uruchamianie aplikacji oraz całych stacków. Dzięki niemu możesz oszczędzać zarówno czas, jak i zasoby, a także znacznie usprawnić proces testowania i wdrażania aplikacji. Powodzenia w nauce i wykorzystywaniu Dockera w swoich projektach! To narzędzie, które może znacznie poprawić efektywność Twojej pracy. ### 📬 ISN 185: Blackout w Hiszpanii/Portugalii, TCP MSS dla GRE i darmowa poprawka egzaminu! URL: https://innasiec.pl/isn-185-blackout-w-hiszpanii-portugalii-tcp-mss-dla-gre-i-darmowa-poprawka-egzaminu/ Last updated: 2025-05-05T08:48:07.000Z ## Jak braki prądu wpływają na ruch sieciowy? [How the April 28, 2025, power outage in Portugal and Spain impacted Internet traffic and connectivityA massive power outage struck significant portions of Portugal and Spain at 10:34 UTC on April 28, disrupting everyday activities and services. The power outage also caused Internet outages across both countries, impacting Internet traffic and connectivity.![](https://innasiec.pl/content/images/icon/favicon-32x32-9.png)The Cloudflare BlogDavid Belson![](https://innasiec.pl/content/images/thumbnail/How_the_power_outage_in_Portugal_and_Spain_impacted_Internet_traffic_and_connectivity-OG.png)](https://blog.cloudflare.com/how-power-outage-in-portugal-spain-impacted-internet/?ref=innasiec.pl) W miarę jak nasza codzienność staje się zależna od łączności internetowej, awarie zasilania mogą stanowić coraz większe zagrożenie dla stabilnego funkcjonowania sieci. Ten problem został wyraźnie udokumentowany podczas ogromnej **przerwy w dostawie prądu**, która 28 kwietnia 2025 r. **sparaliżowała znaczne obszary Portugalii i Hiszpanii.** Zgodnie z obserwacjami sieci Cloudflare, **narodowy ruch internetowy niemal natychmiast spadł o 50% w Portugalii i 60% w Hiszpanii po wystąpieniu awarii**. W ciągu kilku godzin odnotowano dalszy spadek do poziomu 90% poniżej wartości z poprzedniego tygodnia w Portugalii i 80% w Hiszpanii. Zjawisko to było również widoczne w ruchu do bezpłatnego rozproszonego systemu nazw domen 1.1.1.1, gdzie początkowy spadek wyniósł 40% w Portugalii i 54% w Hiszpanii. Wpływ na głównych dostawców sieciowych w obu krajach był gwałtowny i znaczący. Ruch z sieci NOS, Vodafone, MEO, NOWO i innych portugalskich operatorów niemal całkowicie zaniknął w ciągu kilku godzin od awarii. W Hiszpanii ruch z pięciu największych sieci autonomicznych (AS) spadł o 75-93% w tym samym okresie. Spadek jakości połączeń był nieuchronnym skutkiem obciążenia ograniczonych zasobów sieciowych w trakcie awarii. **W Portugalii średnia prędkość pobierania dane na poziomie krajowym spadła z 40 Mb/s do zaledwie 15 Mb/s**, podczas gdy opóźnienie wzrosło z 20 ms do około 50 ms w ciągu kilku godzin. Podobne skutki zaobserwowano **w Hiszpanii, gdzie średnia prędkość pobierania danych spadła z 35 Mb/s do 19 Mb/s**, a mediana opóźnień wzrosła z 22 ms do 40 ms. Te obniżone parametry są atrybutami kongestii w sieciach, która ograniczała dostępną przepustowość. Oprócz zmniejszenia ruchu internetowego, awaria spowodowała również spadek ogłaszanej przestrzeni adresowej, co oznacza, że części sieci dostawców przestały być widoczne dla reszty Internetu. W Portugalii liczba ogłoszonych bloków /24 adresów IPv4 spadła o około 1,2%, a bloków /48 adresów IPv6 o około 9%. W Hiszpanii skala spadku była większa - 2,4% dla adresów IPv4 i ponad 8% dla adresów IPv6 w pierwszych godzinach awarii. Ten efekt wskazuje na prawdopodobne wyczerpywanie się zapasów energii i odłączanie dalszych fragmentów infrastruktury sieciowej. Choć przerwa w dostawie prądu dotknęła głównie Portugalię i Hiszpanię, jej skutki odczuwalne były również w niektórych sąsiednich państwach. We Francji odnotowano niewielkie, krótkotrwałe spadki ruchu w kilku regionach, jednak na poziomie krajowym wpływ był znikomy. Ciekawym przykładem jest natomiast przypadek Maroka, gdzie Orange Maroc odnotował znaczące zakłócenia w ruchu internetowym, prawdopodobnie ze względu na uszkodzenie połączeń międzynarodowych. Pokazuje to, jak awarie infrastruktury w jednym kraju mogą mieć konsekwencje dla regionów od niego oddalonych. --- ## TCP MSS dla tuneli GRE [GRE Tunnels and TCP MSS 1436KISS IT Design Principle - Human Error Prevention![](https://innasiec.pl/content/images/icon/favicon-75x75-1.png)Kerry CorderoKerry Cordero![](https://innasiec.pl/content/images/thumbnail/favicon-75x75-1.png)](https://cordero.me/gre-tunnels-and-tcp-mss-1436/?ref=innasiec.pl) Pracując z tunelami GRE (Generic Routing Encapsulation), napotykasz pewną subtelną, lecz istotną konfigurację - modyfikację rozmiaru maksymalnego segmentu TCP (TCP MSS). **TCP MSS (Maximum Segment Size) określa maksymalną wielkość segmentu danych, jaki może zostać przesłany w pojedynczym, niepodzielonym pakiecie TCP**. W standardowych sieciach Ethernet rozmiar ten wynosi 1500 bajtów, co jest bezpośrednio związane z maksymalną wielkością ramki Ethernet. Tunele GRE dodają 24 bajty danych nagłówka do każdego pakietu przesyłanego przez tunel. Oznacza to, że **w przypadku standardowego ustawienia TCP MSS** o wartości 1460 bajtów, **całkowity rozmiar pakietu po opuszczeniu tunelu GRE wynosiłby 1524 bajty**, przekraczając maksymalną dopuszczalną wielkość ramki Ethernet. Skutek przekroczenia rozmiaru ramki? Fragmentacja pakietów, co prowadzi do znacznego spadku wydajności sieci i opóźnień w transmisji danych. Aby zapobiec fragmentacji, należy zmniejszyć wartość TCP MSS o 24 bajty, aby uwzględnić nagłówek GRE. Dzięki temu rozmiar pakietu po opuszczeniu tunelu będzie wynosił dokładnie 1500 bajtów, dopasowując się do limitów Ethernet. **W przewodnikach firmy** [**Akamai dla tuneli GRE**](https://www.akamai.com/site/es/documents/akamai/akamai-services-descriptions.pdf?ref=innasiec.pl) **zalecana jest wartość TCP MSS równa 1436 bajtów**. Wynika to z następującego obliczenia: 1500 bajty (Maksymalna wielkość ramki Ethernet) - 24 bajty (Nagłówek GRE) - 40 bajtów (Nagłówek TCP/IP) \= 1436 bajtów (Zalecana wartość TCP MSS) W systemie Cisco IOS wygląda to następująco: ``` interface FastEthernet0/1 ip tcp adjust-mss 1436 ``` --- ## Uproszczenie automatyzacji sieci dzięki MCP INFO: Film autorstwa Sneha Lata przedstawia podejście do automatyzacji sieci z wykorzystaniem Model Context Protocol (MCP). Materiał skupia się na uproszczeniu procesów zarządzania siecią, pokazując jak MCP może ułatwić interakcję z urządzeniami sieciowymi i usprawnić przepływ informacji. --- ## Budowa topologii CML z AI [GitHub - calcuttin/LangGraph-CML-NetworkBuilderContribute to calcuttin/LangGraph-CML-NetworkBuilder development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-14.svg)GitHubcalcuttin![](https://innasiec.pl/content/images/thumbnail/LangGraph-CML-NetworkBuilder)](https://github.com/calcuttin/LangGraph-CML-NetworkBuilder?ref=innasiec.pl) LangGraph CML Network Builder to interaktywne narzędzie do projektowania i wdrażania sieci, które wykorzystuje Streamlit, LangGraph oraz Cisco Modeling Labs (CML). Umożliwia opisanie, dostosowanie i automatyczne uruchomienie topologii sieci za pomocą naturalnego języka i AI. Idealne rozwiązanie dla osób chcących szybko testować i wdrażać konfiguracje sieciowe bez konieczności samodzielnego programowania. --- ## Darmowa "poprawka" egzaminu _This post is for paying subscribers only._ ### 📬 ISN 184: Budowa szybkiej sieci szkieletowej URL: https://innasiec.pl/isn-184-budowa-szybkiej-sieci-szkieletowej/ Last updated: 2025-04-28T08:00:46.000Z ## Kluczowe Zagrożenia Sieciowe z 2024 [Cisco Talos 2024 Year in ReviewIn 2024, threat actors prioritized stealth, simplicity, and efficiency Cisco Talos’ Year in Review reveals insights into how cyber criminals carried out their campaigns, and what made an attack successful. Read about threat actor activities across topics including top targeted vulnerabilities, network-based attacks, email threats, adversary toolsets, identity attacks, multi-factor![](https://innasiec.pl/content/images/icon/talos_o_square.png)Cisco Talos BlogCisco Talos![](https://innasiec.pl/content/images/thumbnail/2024YiR-blog-2.jpg)](https://blog.talosintelligence.com/2024yearinreview/?ref=innasiec.pl) Rok 2024 przyniósł ewolucję taktyk cyberprzestępców. Zamiast zaawansowanego malware'u, skupili się na prostocie i efektywności. Ataki oparte na tożsamości i wykorzystanie znanych podatności dominowały krajobraz zagrożeń. Atakujący nadal celują w niezałataną infrastrukturę. **Wiele najczęściej wykorzystywanych podatności w 2024 roku to luki znane od lat.** Szczególnie niepokojące są historyczne podatności, takie jak Log4Shell czy Shellshock w Bash. Wpływają one na powszechnie używane oprogramowanie i sprzęt. PHP, język używany przez większość stron internetowych, również był celem ataków. **Najczęściej Atakowane Podatności Ogólne:** - Luki Log4j (np. CVE-2021-44228) - Luki PHP (np. CVE-2017-9841, CVE-2024-4577) - Luki GNU Bash "Shellshock" (np. CVE-2014-6271) - Luka w JetBrains TeamCity Server (CVE-2023-42793) Szczególną uwagę należy zwrócić na podatności w urządzeniach sieciowych. Atakujący wykorzystują je do uzyskania dostępu, ruchu lateralnego i przejęcia kontroli nad siecią. Nie jest zaskoczeniem, fakt atakowania urządzeń End-of-Life (EOL), które nie otrzymują już łatek. Najczęściej Atakowane Podatności Urządzeń Sieciowych (Przykłady 2024): - **CVE-2024-24919 (Check Point):** Umożliwia odczyt wrażliwych danych. - **CVE-2024-3273/3272 (D-Link):** Dotyczy urządzeń NAS EOL, pozwala na zdalne wykonanie kodu. - **CVE-2024-3400 (Palo Alto Networks):** Umożliwia wykonanie poleceń z uprawnieniami root. - **CVE-2023-1389 (TP-Link):** Pozwala na wstrzyknięcie poleceń jako root. **Ataki wykorzystujące skompromitowaną tożsamość cyfrową** zdominowały 2024 rok. **Stanowiły 60% wszystkich przypadków obsługiwanych przez Talos IR.** Atakujący wykorzystują skradzione dane uwierzytelniające, tokeny sesji, klucze API czy certyfikaty cyfrowe. Pozwala im to ominąć zabezpieczenia i działać w ukryciu, podszywając się pod legalnych użytkowników. **Cele Ataków na Tożsamość:** - **Active Directory (AD):** Główny cel (44% ataków na tożsamość). Kompromitacja AD daje dostęp do kluczowych informacji o użytkownikach i uprawnieniach. Atakujący wykorzystują narzędzia takie jak ADExplorer do przeglądania i eksportowania bazy danych AD. - **Aplikacje Chmurowe / API:** Drugi główny cel (20% ataków na tożsamość). Skompromitowane klucze API lub tokeny sesji umożliwiają dostęp do wrażliwych danych i funkcji w chmurze. Narzędzia takie jak ROADtools czy AAAInternals są używane do enumeracji środowisk Microsoft Entra ID. **Uwierzytelnianie wieloskładnikowe (MFA) jest kluczowe**, ale jego słabości były najczęściej spotykanym problemem bezpieczeństwa w 2024 roku. Atakujący wykorzystują różne luki: - **Brak wdrożenia MFA:** Nadal częsty problem. - **Brak MFA na usługach VPN:** Krytyczny punkt dostępu. - **Ataki typu "MFA fatigue/exhaustion":** Zalewanie użytkownika prośbami o akceptację logowania. - **Rejestracja złośliwych urządzeń:** Dodawanie urządzenia atakującego do konta ofiary. - **Ominięcie MFA:** Wykorzystanie luk lub technik jak kradzież tokenów sesji. Najczęściej atakowanymi aplikacjami w kontekście MFA były systemy zarządzania tożsamością i dostępem (IAM), szczególnie rozwiązania SSO jak Shibboleth, CAS czy ADFS. **W obliczu tych zagrożeń, kluczowe jest wzmocnienie podstawowych mechanizmów obronnych:** - **Zarządzanie Podatnościami:** Regularne łatanie i wymiana sprzętu EOL to absolutna konieczność. - **Solidne Uwierzytelnianie:** Wdrażaj MFA wszędzie, zwłaszcza na VPN. Używaj silnych haseł i unikaj domyślnych danych logowania. - **Segmentacja Sieci i Kontrola Dostępu:** Ograniczaj powierzchnię ataku i potencjalny ruch lateralny. - **Bezpieczeństwo Active Directory:** Wdrażaj najlepsze praktyki CISA. Monitoruj nietypowe zachowania i zmiany w konfiguracji. Ograniczaj nadmierne uprawnienia. - **Bezpieczeństwo Chmury i API:** Zabezpieczaj klucze API i monitoruj ich użycie. Stosuj narzędzia do ochrony API. - **Monitorowanie i Rejestrowanie Zdarzeń:** Aktywnie monitoruj logi systemowe, AAA i przepływy sieciowe (NetFlow). Zwracaj uwagę na nietypowe zmiany w ruchu i konfiguracji. - **Wzmocnienie MFA:** Edukuj użytkowników na temat ataków typu "MFA fatigue". Ustawiaj limity prób logowania. Monitoruj rejestrację nowych urządzeń. --- ## **IPsec kontra WireGuard** [https://hubandspoke.amastelek.com/the-rise-of-wireguard-why-ipsec-is-becoming-obsolete-in-modern-networking](https://hubandspoke.amastelek.com/the-rise-of-wireguard-why-ipsec-is-becoming-obsolete-in-modern-networking?ref=innasiec.pl) W dynamicznym środowisku sieciowym technologie VPN ewoluują, a protokoły takie jak IPsec i WireGuard stają się coraz bardziej popularne. Przyjrzyjmy się bliżej obu protokołom z perspektywy technicznej. IPsec to rozbudowany framework bezpieczeństwa, obejmujący protokoły AH i ESP oraz IKE (Internet Key Exchange). **Kluczową zaletą jest ogromna elastyczność**, ale wiąże się z nią złożoność konfiguracji. Wymaga ona zdefiniowania wielu parametrów, takich jak fazy IKE, propozycje szyfrów, funkcji skrótu, czasów życia kluczy i Perfect Forward Secrecy. Złożoność ta utrudnia debugowanie problemów z negocjacją SA. Wydajność IPsec jest niższa niż WireGuard ze względu na enkapsulację, operacje kryptograficzne i potencjalną fragmentację. Ponadto, przechodzenie przez urządzenia NAT (NAT-T) może stanowić wyzwanie. Zarządzanie dużą liczbą tuneli IPsec jest skomplikowane i wymaga starannej konfiguracji. WireGuard przyjmuje zupełnie inne podejście, stawiając na prostotę i wydajność. Jego kod źródłowy jest znacznie mniejszy niż IPsec, co ułatwia audyty bezpieczeństwa i redukuje potencjalne błędy. Uproszczona architektura WireGuard działa jako interfejs sieciowy w warstwie 3, bez złożonej maszyny stanów jak IKE. Po początkowym handshake'u opartym na wymianie kluczy publicznych (Curve25519), komunikacja jest w zasadzie bezstanowa. Konfiguracja sprowadza się do definicji interfejsu i listy peerów. **WireGuard wykorzystuje nowoczesne algorytmy kryptograficzne**, takie jak ChaCha20, Poly1305, Curve25519, BLAKE2s i SipHash24, które są wydajne obliczeniowo. Implementacja w jądrze systemu operacyjnego minimalizuje narzut związany z przełączaniem kontekstu, co przekłada się na wyższą przepustowość i niższe opóźnienia. Stały zestaw algorytmów eliminuje ryzyko ataków związanych z negocjacją słabszych szyfrów. WireGuard wykorzystuje mechanizm cookie w trakcie handshake'u, zapewniając odporność na ataki DoS typu flood. Prostota zarządzania kluczami opiera się na modelu kluczy publicznych/prywatnych, podobnym do SSH, co ułatwia automatyzację i integrację z systemami zarządzania konfiguracją. **IPsec pozostaje potężnym i elastycznym narzędziem, ale jego złożoność konfiguracyjna i narzut wydajnościowy stanowią rosnące wyzwanie**, szczególnie w kontekście szybkich łączy i dynamicznych infrastruktur. **WireGuard oferuje przekonującą alternatywę, łącząc silne bezpieczeństwo oparte na nowoczesnej kryptografii z wyjątkową prostotą i wydajnością**. Jest atrakcyjnym wyborem dla nowych wdrożeń, gdzie liczy się szybkość, niskie opóźnienia i łatwość zarządzania. --- ## Wizualizacja komunikacji kontenerów [DocumentEdgeshark manual![](https://innasiec.pl/content/images/icon/edgeshark.ico)](https://edgeshark.siemens.io/?ref=innasiec.pl#/) Edgeshark wizualizuje komunikację między kontenerami oraz z otoczeniem, wspierając diagnostykę sieciową. Umożliwia odkrywanie "wirtualnego okablowania" kontenerów, szybki podgląd konfiguracji sieciowej (adresy IP, MAC, routing, DNS) oraz przechwytywanie ruchu sieciowego do Wiresharka za pomocą dedykowanego pluginu csharg. --- ## Laboratoria do CCIE Service Provider [Setup | CCIE SPv5.1 Labs![](https://innasiec.pl/content/images/icon/organizations-2FxXqZ6btC28c8Jr7VbMkb-2Fsites-2Fsite_o81T7-2Ficon-2FlAukQsGGJWrh6ylhtCcO-2Fimage.avif)CCIE SPv5.1 Labs![](https://innasiec.pl/content/images/thumbnail/1h4FuXRPrDjozOtPta60)](https://ccie-sp.gitbook.io/ccie-spv5.1-labs?ref=innasiec.pl) Autor stworzył ten zbiór ćwiczeń jako prywatne narzędzie do nauki podczas przygotowań do egzaminu CCIE-SPv5.1\. Zamiast biernie robić notatki, postawił na aktywne powtarzanie poprzez rozwiązywanie laboratoriów, co znacznie ułatwia zapamiętywanie i utrwalanie wiedzy. --- ## Budowa szybkiej sieci szkieletowej _This post is for paying subscribers only._ ### 📬 ISN 183: Rozwiązania architektoniczne w Cisco Catalyst SD-WAN URL: https://innasiec.pl/isn-183-rozwiazania-architektoniczne-w-cisco-catalyst-sd-wan/ Last updated: 2025-04-21T08:00:20.000Z Cześć `{first_name, "Czytelniku"}` 👋 Niech te Święta przyniosą Ci **chwilę wytchnienia od monitoringu, zero packet lossów w rodzinnych rozmowach oraz stabilne połączenia… z bliskimi!** 🥚🐇 Niech Zajączek obdaruje Cię koszem pełnym kolorowych pisanek, a każdy poranek zaczyna się jak reboot bez błędów. Życzę Ci też debugowania wyłącznie dobrych emocji, aktualizacji nastroju i backupu radości! ## Co się stanie, jeśli domeny najwyższego poziomu zostaną usunięte? [A very theoretical scenario, DNS editionI’ve been asked a few times over the course of the same amount of days, what would happen if the powers that be began deleting top-level domains (TLDs) from the DNS system, and whether there is som…![](https://innasiec.pl/content/images/icon/apple-touch-icon-8.png)Jan-Piet Mens![](https://innasiec.pl/content/images/thumbnail/rabbit-11913.png)](https://jpmens.net/2025/03/27/theoretical-scenario-dns-edition/?ref=innasiec.pl) Wyobraź sobie świat bez "`.com`", "`.pl`", czy "`.org`". Brzmi jak science fiction? Zastanówmy się, co by się stało, gdyby domeny najwyższego poziomu (TLD) nagle przestały istnieć. To scenariusz katastrofalny dla globalnej sieci. **Rola domen najwyższego poziomu w systemie DNS** - DNS (Domain Name System) działa hierarchicznie: - Najwyższy poziom: root (korzeń) – wskazuje na serwery zarządzające TLD. - Poziom TLD – np. `.com`, `.org`, `.pl`. - Poziom drugiego i niższych poziomów – np. `example.com`. Gdy wpisujesz w przeglądarce adres URL, zapytanie DNS idzie od root do odpowiedniego serwera TLD, a następnie do serwera domeny niższego poziomu. Serwery TLD przechowują informacje o tym, które serwery DNS są odpowiedzialne za domeny drugiego poziomu (np. example.com). Utrata delegacji domen, czyli procesu przypisywania odpowiedzialności za domenę niższego poziomu do serwera DNS, prowadzi do poważnych problemów. TLD odpowiadają za delegację swoich subdomen, więc **usunięcie TLD oznacza brak delegacji**, co uniemożliwia przekierowanie zapytań DNS dalej. Serwery root, które odsyłają **zapytania do serwerów TLD**, bez nich nie mają dokąd skierować zapytań, co skutkuje **brakiem rozstrzygnięcia zapytań o domeny (timeout lub błąd NXDOMAIN).** | Krok | Normalne działanie | Po usunięciu TLD | | ----------------------- | ------------------------------------------------ | ---------------------------------------- | | 1\. Zapytanie do root | Root zwraca NS dla właściwego TLD | Root nie ma NS dla TLD, brak odpowiedzi | | 2\. Zapytanie do TLD | Serwer TLD zwraca NS dla domeny drugiego poziomu | Brak serwera TLD, brak odpowiedzi | | 3\. Zapytanie do domeny | Serwer domeny zwraca rekord A (IP) | Nie następuje zapytanie (brak delegacji) | W efekcie zakłóca to działanie protokołów sieciowych zależnych od DNS, takich jak SMTP, który korzysta z rekordów MX w DNS – ich niedostępność blokuje przesyłanie maili. Podobnie inne usługi, takie jak HTTP, FTP czy VoIP, również są zależne od działania DNS i mogą zostać poważnie zakłócone. --- ## RFC 9234 na pomoc [Beyond Their Intended Scope: DDoS Mitigation Leak - MANRSDoug Madory (Kentik) looks at last week’s BGP leak by a DDoS mitigation company which impacted networks around the world.![](https://innasiec.pl/content/images/icon/cropped-MANRS_icon-270x270.png)MANRSDoug Madory![](https://innasiec.pl/content/images/thumbnail/image-1-1200x630.png)](https://manrs.org/2025/04/ddos-mitigation-leak-kentik/?ref=innasiec.pl) Niezależnie od skuteczności mechanizmów łagodzenia ataków DDoS, mogą się one przyczynić do nieplanowanych i szkodliwych efektów ubocznych, sięgających poza ich pierwotny zakres. Ostatni incydent jest tego doskonałym przykładem, pokazując, jak łatwo sieć przeznaczona do mitygacji DDoS może doprowadzić do niezamierzonego wycieku tras BGP i zakłócenia przepływu ruchu internetowego na całym świecie. 1 kwietnia dostawca usług mitygacji DDoS **Voxility (AS3223) zaczął nieuprawnione rozpowszechnianie tras**, które nauczył się od swoich partnerów tranzytowych, m.in. Lumen (AS3356). Spowodowało to **krótkotrwałe przekierowanie ruchu do tysięcy sieci na całym świecie przez Voxility.** Chociaż blokowanie dużej liczby niezamierzonych tras jest wyzwaniem, zastosowanie protokołu RFC 9234 "Only to Customer" (OTC) mogłoby pomóc w ograniczeniu skutków takiego wycieku. Atrybut ścieżki OTC pozwala na oznaczanie tras, które powinny być przesyłane wyłącznie do bezpośrednich klientów, uniemożliwiając ich dalsze rozprzestrzenianie. Dane z Kentik NetFlow pokazują, że podczas wycieku nastąpiło przejściowe zmniejszenie całkowitego ruchu do dotkniętych sieci. Chociaż część ruchu była rozprowadzana wadliwymi ścieżkami, większość została po prostu zablokowana, ponieważ nieuprawniona droga nie była w stanie obsłużyć dużego, nieoczekiwanego obciążenia. Incydenty takie jak ten pokazują, że **dobre praktyki routingu nadal wymagają wiele pracy**. Technologie takie jak [RFC 9234](https://datatracker.ietf.org/doc/rfc9234/?ref=innasiec.pl) "Only to Customer" oraz egzekwowanie wymagań MANRS mogą pomóc zmniejszyć prawdopodobieństwo i skutki przyszłych wycieków tras BGP. --- ## Nałóż cła na import bibliotek [tariffMake importing great again! A parody package that imposes tariffs on Python imports.![](https://innasiec.pl/content/images/icon/favicon.35549fe8-1.ico)PyPI![](https://innasiec.pl/content/images/thumbnail/twitter.abaf4b19-1.webp)](https://pypi.org/project/tariff/?ref=innasiec.pl) Tariff to żartobliwy pakiet Pythona, który nakłada „cła” na importowanie bibliotek. Umożliwia ustawienie procentowych ceł spowalniających import wybranych pakietów, np. numpy czy pandas, aby „uczynić importowanie znów wspaniałym”. Po zaimportowaniu takich pakietów import trwa dłużej, a użytkownik otrzymuje humorystyczny komunikat o nałożonym cle. Instalacja: `pip install tariff`. --- ## Powrót ESXi [VMware ESXi 8.0 Update 3e Release Notes![](https://innasiec.pl/content/images/icon/favicon-38.ico)CA INC](https://techdocs.broadcom.com/us/en/vmware-cis/vsphere/vsphere/8-0/release-notes/esxi-update-and-patch-release-notes/vsphere-esxi-80u3e-release-notes.html?ref=innasiec.pl) Broadcom ponownie udostępnia darmowy hypervisor ESXi 8.0, dostępny do bezpłatnego pobrania z portalu wsparcia. Po zakończeniu w lutym 2024 oferty darmowej licencji na rzecz subskrypcji firma zmieniła decyzję, choć oficjalnie nie podaje przyczyn. --- ## Rozwiązania architektoniczne w Cisco Catalyst SD-WAN _This post is for paying subscribers only._ ### Wprowadzenie do GIT - podstawy systemu kontroli wersji URL: https://innasiec.pl/git-dla-inzynierow-sieci-przewodnik-dla-poczatkujacych-po-kontroli-wersji/ Last updated: 2025-04-18T18:26:45.000Z Git to niezwykle istotne narzędzie w arsenale inżyniera sieci, ponieważ umożliwia efektywne zarządzanie wersjami konfiguracji, skryptów automatyzujących i dokumentacji. **Dzięki Gitowi, możesz śledzić zmiany, współpracować nad projektami oraz przeprowadzać przeglądy kodu, co przekłada się na zwiększenie jakości i bezpieczeństwa zarządzanych systemów**. Oto kilka kluczowych aspektów i przykładów zastosowania Git w sieciach komputerowych: 1. **Śledzenie zmian**: Git pozwala na dokładne śledzenie każdej zmiany wprowadzonej do plików konfiguracyjnych lub skryptów. Dzięki temu można łatwo zidentyfikować, kto wprowadził daną zmianę, kiedy to zrobił i dlaczego. 2. **Współpraca**: Git umożliwia pracę zespołową, gdzie wielu inżynierów może pracować nad tym samym projektem jednocześnie. Ułatwia to dzielenie się wiedzą i doświadczeniem oraz przyspiesza proces rozwiązywania problemów. 3. **Peer review**: Dzięki funkcji pull requestów, inżynierowie mogą przeglądać i komentować zmiany wprowadzone przez innych członków zespołu, co zwiększa jakość kodu i pozwala na wczesne wykrywanie błędów. 4. **Kontrola zmian**: Git zapewnia możliwość cofnięcia się do poprzednich wersji plików, co jest szczególnie przydatne w przypadku błędów lub nieprzewidzianych problemów. ### Pierwsze kroki z Git Zanim zagłębisz się w możliwości Git-a, upewnij się, że masz go zainstalowanego w swoim systemie. Pobierz odpowiednią wersję ze strony [git-scm.com](https://git-scm.com/?ref=innasiec.pl) i skonfiguruj podstawowe dane: ```git git config --global user.name "Twoje Imię" git config --global user.email "twoj.email@przyklad.com" ``` Te polecenie ustawią Twoją tożsamość w Git. Jest to ważne, ponieważ każda zmiana (commit) będzie podpisana Twoim imieniem. Ustawienie to jest globalne i wystarczy je wykonać raz na komputerze. ### Tworzenie i klonowanie repozytoriów Repozytorium w Git to miejsce, w którym przechowywane są wszystkie pliki projektu oraz historia ich zmian. Repozytorium może być lokalne (na komputerze programisty) lub zdalne (na serwerze, np. GitHub, GitLab). ```git git init ``` Inicjalizuje nowe repozytorium Git w bieżącym katalogu. Tworzy ukryty katalog `.git`, który zawiera całą historię projektu i ustawienia. Jest to pierwszy krok przy rozpoczynaniu nowego projektu z Git. ```git git clone https://github.com/firma/network-configs.git ``` Tworzy lokalną kopię zdalnego repozytorium. Jest to jak pobranie całego projektu wraz z jego historią na Twój komputer. Używaj tego polecenia, gdy chcesz pracować nad istniejącym projektem. ### Dodawanie plików do repozytorium Domyślnie w repozytorium Git nie są śledzone żadne pliki. Należy wskazać, które pliki w danym katalogu chcemy dołączyć do naszego repozytorium i śledzić w nich zmiany. ```git git add konfiguracja-router01.txt ``` Polecenie `git add` służy do dodawania zmian w plikach do obszaru staging (indeksu) w systemie kontroli wersji Git. Oznacza to, że zmiany, które zostały wprowadzone w plikach, są przygotowywane do zapisania w kolejnym commicie. Polecenie to nie zapisuje jeszcze zmian w repozytorium, ale oznacza, które z nich mają być uwzględnione w przyszłym commitcie. ```git git add . ``` Dodaje wszystkie zmienione pliki do poczekalni. Jest to wygodne, ale używaj ostrożnie - upewnij się, że wszystkie zmiany są rzeczywiście potrzebne. Zawsze sprawdź wcześniej `git status`, aby wiedzieć, co dodajesz. ```git git commit -m "Dodano konfigurację routera 01" ``` Zapisuje zmiany w repozytorium wraz z opisowym komentarzem. Jest to jak robienie zdjęcia projektu w danym momencie - wszystkie dodane zmiany zostają trwale zapisane w historii. Dobry opis commita jest bardzo ważny dla późniejszego zrozumienia zmian. ```git git push ``` Wysyła Twoje lokalne zmiany do zdalnego repozytorium. Udostępnia Twoje commity innym członkom zespołu. Upewnij się, że Twoje zmiany są dobrze przetestowane przed wykonaniem push. ```git git pull ``` Pobiera zmiany ze zdalnego repozytorium i łączy je z Twoją lokalną kopią. Jest to jak synchronizacja Twojej pracy z pracą zespołu. Zawsze wykonuj pull przed rozpoczęciem pracy, aby mieć najnowszą wersję. ```git git status ``` Pokazuje aktualny stan repozytorium. Wyświetla informacje o zmodyfikowanych plikach, nowych plikach i plikach przygotowanych do commita. To polecenie powinieneś używać bardzo często, aby wiedzieć, co się dzieje w Twoim repozytorium. ### Praca z gałęziami Git umożliwia współpracę wielu osób nad jednym repozytorium, co jest kluczowe w projektach zespołowych. Aby uniknąć problemów związanych z równoczesną edycją tych samych plików przez różnych użytkowników, Git wprowadza pojęcie **gałęzi** (branchy). Gdy chcesz wprowadzić zmiany w repozytorium, najpierw powinieneś utworzyć nową gałąź. Gałąź ta będzie kopią aktualnego stanu repozytorium, co pozwoli ci na modyfikacje bez wpływu na pracę innych. ```git git checkout -b nowa-funkcja ``` Tworzy nową gałąź i od razu się na nią przełącza. Jest to skrót łączący dwa polecenia: `git branch nowa-funkcja` i `git checkout nowa-funkcja`. Używaj tego do rozpoczęcia pracy nad nową funkcjonalnością. \--- title: Nowa gałąź w GIT --- gitGraph commit id: "Initial commit" commit id: "Add baseline config" branch nowa-funkcja commit id: "Add ACL for VTY" commit id: "Add ACL for SVI 500" Gdy Twoje zmiany są gotowe i przetestowane, możesz je zintegrować z główną gałęzią (najczęściej `main` lub `master`). ```git git merge nowa-funkcja ``` \--- title: Wciąganie zmian z nowa-funkcja do main --- gitGraph commit id: "Initial commit" commit id: "Add baseline config" branch nowa-funkcja commit id: "Add ACL for VTY" commit id: "Add ACL for SVI 500" checkout main merge nowa-funkcja commit id: "Add new vrf RED" commit id: "Add vrf RED into BGP" Łączy zmiany z podanej gałęzi do aktualnej gałęzi. Przed wykonaniem merge upewnij się, że jesteś na właściwej gałęzi docelowej. W przypadku konfliktów Git poprosi Cię o ich rozwiązanie. ### Cofanie zmian i zarządzanie historią Co w sytuacji, gdy zorientujemy się, że wprowadzone zmiany są nieprawidłowe? Polecenie `git revert` służy do przywracania zmian, które zostały wprowadzone w poprzednich commitach. Zamiast usuwać commit z historii, `git revert` tworzy nowy commit, który odwraca zmiany wprowadzone przez określony commit. To jest szczególnie przydatne, gdy chcesz anulować zmiany bez utraty historii projektu. W dotychczasowych diagramach pokazywałem commity oraz ich wiadomości. Te wiadomości opisują wprowadzone zmiany. Każdy commit ma unikalny identyfikator. Jest on alfanumeryczny i składa się z 40 znaków. Identyfikator powstaje za pomocą algorytmu haszującego SHA-1. Praca z tak długim ciągiem znaków może być niewygodna. Dlatego Git umożliwia korzystanie ze skróconych wersji identyfikatorów. Można używać początkowych znaków, o ile są one unikatowe w repozytorium. ```git git revert 6-d76a890 ``` Tworzy nowy commit, który cofa zmiany wprowadzone przez commit o identyfikatorze d76a890\. Jest to bezpieczny sposób na anulowanie zmian, ponieważ nie usuwa historii. Użyj tego, gdy chcesz cofnąć zmiany, które zostały już udostępnione innym. \--- title: Cofanie zmian z commita --- gitGraph commit commit branch nowa-funkcja commit commit checkout main merge nowa-funkcja commit commit id: "6-d76a890" commit id: "Reverse" type: REVERSE commit commit ```git git reset --hard HEAD~1 ``` Cofa stan repozytorium do poprzedniego commita. Używaj ostrożnie, ponieważ usunie to commit z historii. Jest przydatne, gdy chcesz całkowicie usunąć ostatni commit i związane z nim zmiany. ### Rozwiązywanie konfliktów Konflikty w Git występują, gdy dwie osoby zmodyfikowały ten sam fragment pliku i próbują scalić swoje zmiany. Git nie jest w stanie automatycznie zdecydować, która wersja jest prawidłowa, dlatego wymaga interwencji użytkownika. Gdy występuje konflikt podczas mergowania lub rebasowania, Git oznacza konfliktujące miejsca w plikach: ``` <<<<<<< HEAD Konfiguracja interfejsu GigabitEthernet0/1 description LAN ip address 192.168.1.1 255.255.255.0 no shutdown ======= Konfiguracja interfejsu GigabitEthernet0/1 description WAN Link ip address 10.0.0.1 255.255.255.252 no shutdown >>>>>>> nowa-funkcja ``` Aby rozwiązać konflikt: 1. Otwórz pliki z konfliktem i zdecyduj, które zmiany chcesz zachować. 2. Usuń znaczniki konfliktów (<<<<<<< HEAD, =======, >>>>>>> nowa-funkcja) i pozostaw tylko poprawną wersję. 3. Zapisz plik. 4. Dodaj rozwiązane pliki do staging area: `git add `. 5. Zakończ proces mergowania: `git commit`. ### Przydatne polecenia **Śledzenie zmian w konfiguracji urządzeń** ```git git diff konfiguracja-router01.txt ``` Pokazuje różnice między aktualnym stanem pliku a ostatnią zatwierdzoną wersją. Jest to przydatne do sprawdzenia, jakie dokładnie zmiany zostały wprowadzone. Możesz używać tego przed commitowaniem, aby upewnić się, że wszystkie zmiany są prawidłowe. ```git git log --pretty=format:"%h - %an, %ar : %s" konfiguracja-router01.txt ``` Wyświetla historię zmian dla konkretnego pliku w bardziej czytelnym formacie. Pokazuje kto, kiedy i jakie zmiany wprowadził. Użyj tego, gdy chcesz sprawdzić historię zmian dla danego pliku konfiguracyjnego. **Przechowywanie danych wrażliwych** W przypadku konfiguracji urządzeń sieciowych często mamy do czynienia z wrażliwymi danymi, takimi jak hasła czy klucze. Nie powinny one być przechowywane w repozytorium Git. Rozwiązaniem jest zastosowanie pliku `.gitignore`, który pozwala określić, które pliki mają być ignorowane przez Git: ```bash # Plik .gitignore credentials.txt secrets/ *.key ``` Do przechowywania haseł i kluczy można wykorzystać narzędzia takie jak: - Hashicorp Vault - AWS Secrets Manager - Ansible Vault ### **Konwencje commitów** Stosowanie spójnych konwencji opisu commitów jest kluczowe w pracy zespołowej. Dobrze napisane commity ułatwią Ci przeglądanie historii, debugowanie problemów oraz automatyzację procesów CI/CD. ``` [TYP]: Krótki opis zmiany (max 50 znaków) Długi opis zmiany, jeśli jest potrzebny. Wyjaśnij co i dlaczego, a nie jak (kod to wyjaśnia). Może zawierać wiele akapitów. Lokalizacja: DC-WARSZAWA Urządzenia: CORE-RTR-01, CORE-RTR-02 Ticket: NETOPS-123 Testowane: Tak, w środowisku staging ``` Gdzie TYP może być jednym z: - `CONF`: zmiany w konfiguracji urządzeń - `DOC`: zmiany w dokumentacji - `TEST`: dodanie lub modyfikacja testów - `AUTO`: zmiany w skryptach automatyzujących Więcej o tym jak pisać dobre komunikaty commitów możesz przeczytać w artykule: [Jak pisać dobre komunikaty Git commit?Odkryj sekrety skutecznych wiadomości commit w Git! Dowiedz się, jak pisać jasne, zwięzłe komentarze, które pomogą Twojemu zespołowi śledzić zmiany i zarządzać projektami jak profesjonalista. Nie przegap tych ważnych wskazówek, które mogą odmienić Twoje podejście do pracy!![](https://innasiec.pl/content/images/icon/recreate-02-9.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/thumbnail/jak-pisac-dobre-komunikaty-git.webp)](https://innasiec.pl/jak-pisac-dobre-komunikaty-git-commit/) Git to potężne narzędzie, które znacząco usprawnia pracę. Pozwala na efektywne zarządzanie konfiguracjami, współpracę w zespole oraz automatyzację wdrażania zmian. Choć początkowe opanowanie podstawowych poleceń może wymagać pewnego wysiłku, korzyści z używania Git są nieocenione. Zachęcam do eksperymentowania z Git i stopniowego włączania go do swojego warsztatu pracy. Rozpocznij od prostych operacji, takich jak śledzenie zmian w plikach konfiguracyjnych, a z czasem przejdź do bardziej zaawansowanych zastosowań, takich jak automatyzacja czy GitOps. ### 📬 ISN 182: Zbuduj w chmurze laboratorium dla Data Center URL: https://innasiec.pl/isn-182-zbuduj-w-chmurze-laboratorium-dla-data-center/ Last updated: 2025-04-14T08:00:54.000Z ## Czemu Ansible działa wolno? [Ever Wondered Why Ansible Feels Slow?The other day I was troubleshooting a simple Ansible connectivity issue and decided to peek under the hood. Using Border0 session recording feature i went down a bit of a rabbit hole.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-11)LinkedInAndree Toonk![](https://innasiec.pl/content/images/thumbnail/linkedin-bug-color.png)](https://www.linkedin.com/pulse/ever-wondered-why-ansible-feels-slow-andree-toonk-0iumc/?ref=innasiec.pl) Podczas pracy z narzędziami do automatyzacji takich jak Ansible, jednym z głównych powodów frustracji może być powolne wykonywanie zadań i poleceń, Aby lepiej zrozumieć, co dzieje się w tle, przyjrzyjmy się przykładowemu poleceniu ansible: `ansible all -i my-server, -m command -a "uptime"` Naiwnie można by się spodziewać pojedynczego połączenia SSH, wykonania polecenia uptime i zakończenia operacji. Jednak w rzeczywistości proces jest znacznie bardziej złożony. Zobaczmy, co dzieje się krok po kroku: 1. **Znalezienie katalogu domowego** Ansible potrzebuje wiedzieć, gdzie umieścić pliki tymczasowe. Wykonuje więc pierwsze polecenie w celu ustalenia katalogu domowego użytkownika. 2. **Utworzenie katalogu tymczasowego** Następnie tworzy katalog tymczasowy, w którym będą przechowywane pliki pomocnicze i skrypty. 3. **Odkrywanie wersji Pythona** Ansible skanuje system w poszukiwaniu dostępnych wersji interpretera Pythona, aby móc skorzystać z najlepszej opcji. 4. **Sprawdzenie poprawności Pythona** Aby upewnić się, że wybrany interpreter działa prawidłowo, Ansible wykonuje testowe polecenie. 5. **Przesłanie modułu przez SFTP** W tym momencie Ansible przesyła plik AnsiballZ\_command.py zawierający kod Pythona do wykonania żądanego polecenia. 6. **Nadanie praw wykonywania** Upewniając się, że właśnie przesłany skrypt będzie mógł zostać wykonany. 7. **Wykonanie zadania** Wreszcie, za pomocą polecenia python, Ansible uruchamia swój główny skrypt z żądanym poleceniem. 8. **Sprzątanie** Po wykonaniu zadania Ansible usuwa wszystkie utworzone wcześniej pliki tymczasowe. Łatwo zauważyć, że ta pozornie prosta operacja wymaga dużej ilości przygotowań i dodatkowych czynności w tle. A wszystko to zanim Ansible w ogóle wykona właściwe polecenie. **Ansible został zaprojektowany z myślą o solidności, bezpieczeństwie i elastyczności.** Zamiast wykonywać polecenia bezpośrednio na zdalnym systemie, pozwala przesyłać samodzielne moduły kodu Pythona, które są następnie wykonywane w kontrolowanym środowisku. Taka architektura daje większą kontrolę nad procesem i lepsze możliwości debugowania, ale niestety wiąże się z dodatkowymi czynnościami przygotowawczymi. Choć wspomniane wcześniej kroki są dla Ansible normalne, nie zawsze jest to pożądane zachowanie. W przypadku prostych poleceń, takich jak uptime, cały ten proces może wydawać się zbyt rozbudowany. Na szczęście istnieje wyjście - tryb surowy (raw). **Tryb surowy pozwala ominąć większość kroków przygotowawczych i bezpośrednio wykonać żądane polecenie na zdalnym hoście.** Zaoszczędzi to czas i zasoby, kosztem jednak mniejszej kontroli i możliwości debugowania. Aby uruchomić polecenie uptime w trybie surowym, użyj polecenia: ``` ansible all -i my-server, -m raw -a "uptime" ``` To polecenie wykona zadanie w pojedynczej sesji SSH, bez potrzeby przesyłania czy uruchamiania dodatkowych skryptów. Idealne rozwiązanie, gdy czas ma kluczowe znaczenie. --- ## Wydajność TCP w sieci Starlink [A transport protocol’s view of StarlinkHow TCP interacts with the characteristics of the Starlink service.![](https://innasiec.pl/content/images/icon/favicon-37.ico)APNIC BlogGeoff Huston![](https://innasiec.pl/content/images/thumbnail/starlink-launch-ft.png)](https://blog.apnic.net/2024/05/17/a-transport-protocols-view-of-starlink/?ref=innasiec.pl) W świecie nowoczesnych technologii komunikacyjnych, systemy satelitarne stanowią coraz ważniejszą alternatywę dla tradycyjnych łączy naziemnych. Szczególnie interesującym przypadkiem jest Starlink, system satelitarny niskiej orbity ziemskiej (LEO) firmy SpaceX, który oferuje unikalne możliwości, ale również stawia przed inżynierami sieciowymi nowe wyzwania. Jak protokół TCP, podstawowy filar transportu danych w Internecie, radzi sobie z tymi wyzwaniami? Aby zrozumieć wyjątkowość Starlink, warto najpierw przyjrzeć się tradycyjnym systemom satelitarnym na orbicie geosynchronicznej. Te satelity, znajdujące się na wysokości około 35 786 km nad równikiem, pozostają "nieruchome" względem powierzchni Ziemi. Jednak ta stabilność ma swoją cenę: - Opóźnienie sygnału (RTT) wynosi średnio około 660 ms - Ograniczona liczba dostępnych "slotów" orbitalnych - Konieczność stosowania dużych anten odbiorczych Starlink wykorzystuje satelity na niskiej orbicie ziemskiej (LEO), na wysokości około 550 km. To fundamentalnie zmienia charakterystykę usługi: - Minimalne opóźnienie propagacji sygnału to zaledwie 3,7 ms - Satelity poruszają się z prędkością około 27 000 km/h względem powierzchni Ziemi - Każdy satelita jest widoczny z danego punktu na Ziemi przez zaledwie kilka minut - Konieczność współpracy setek satelitów tworzących konstelację Analiza danych pomiarowych ujawnia kilka kluczowych cech łącza Starlink: 1. **Zmienne opóźnienie** \- RTT zmienia się regularnie co około 15 sekund, co odpowiada przełączaniu między satelitami. Opóźnienie może skoczyć nagle z 30 ms do 80 ms podczas takiego przełączenia. 2. **Wysoki jitter** \- średnia zmienność opóźnienia między kolejnymi pakietami wynosi około 6,7 ms, co jest relatywnie wysoką wartością. 3. **Utrata pakietów** \- średnio około 1-2% pakietów jest traconych, przy czym straty te nie są związane z przeciążeniem sieci, a raczej z przełączaniem satelitów lub zakłóceniami radiowymi. 4. **Zmienne przepustowości** \- testy wykazują, że przepustowość może wahać się od 10 Mbps do 370 Mbps dla pobierania i od 5 Mbps do 50 Mbps dla wysyłania, z medianą około 120 Mbps. Protokół TCP został zaprojektowany z kilkoma założeniami dotyczącymi charakterystyki sieci: - Stabilna maksymalna przepustowość ścieżki - Niski jitter w porównaniu do RTT - Niska średnia utrata pakietów, głównie związana z przepełnieniem buforów Starlink łamie wszystkie te założenia, co powoduje, że standardowe implementacje TCP mogą działać nieefektywnie. W szczególności: TCP CUBIC, najpopularniejszy obecnie algorytm kontroli przeciążeń, wykazuje następujące zachowanie na łączu Starlink: - W godzinach szczytu osiąga średnią przepustowość znacznie poniżej potencjału łącza (około 45 Mbps przy rzeczywistej przepustowości 250 Mbps) - Reaguje gwałtownie na straty pakietów, drastycznie zmniejszając okno wysyłania - Powoli odbudowuje przepustowość po wystąpieniu straty pakietu - Wykazuje znacznie lepszą wydajność w godzinach mniejszego obciążenia sieci BBR (Bottleneck Bandwidth and Round-trip propagation time) to nowszy algorytm kontroli przeciążeń, który: - Utrzymuje swoją szybkość wysyłania pomimo pojedynczych strat pakietów - Próbuje oszacować iloczyn opóźnienia i przepustowości ścieżki - Aktywnie testuje przepustowość przez regularne zwiększanie szybkości wysyłania - Na łączu Starlink osiąga przepustowość znacznie bliższą rzeczywistemu potencjałowi łącza Jak można zoptymalizować działanie TCP na łączach Starlink? Istnieje kilka obiecujących podejść: 1. **Modyfikacja BBR** \- dostosowanie algorytmu BBR do brania pod uwagę regularnych 15-sekundowych przełączeń satelitów, opóźniając zwiększenie szybkości wysyłania jeśli zbliża się moment przełączenia. 2. **Adaptacja CUBIC** \- modyfikacja CUBIC, aby wykorzystywał Selektywne Potwierdzenia (SACK) do naprawy utraconych pakietów bez zmniejszania okna wysyłania, jeśli strata nastąpiła podczas przełączania satelitów. 3. **Wykorzystanie ECN** \- Explicit Congestion Notification pozwoliłoby protokołowi TCP na rozróżnienie między stratą pakietu spowodowaną przełączeniem satelity a stratą wynikającą z rzeczywistego przeciążenia sieci. Starlink stanowi wyjątkowe środowisko dla protokołu TCP, charakteryzujące się wysokim jitterem, regularnie zmieniającym się opóźnieniem i stratami pakietów niezwiązanymi z przeciążeniem. Nowsze protokoły kontroli przeciążeń, takie jak BBR, radzą sobie z tymi wyzwaniami lepiej niż starsze implementacje. Kluczowym elementem poprawiającym wydajność TCP na łączach Starlink jest wykorzystanie Selektywnych Potwierdzeń (SACK), które pozwalają algorytmowi kontroli przeciążeń na rozróżnienie między pojedynczymi stratami pakietów a stanem przeciążenia sieci. ## EVPN/VXLAN od Nokia [https://documentation.nokia.com/cgi-bin/dbaccessfilename.cgi/3HE21632AAAATQZZA\_V1\_Nokia%20Validated%20Design:%203-stage%20EVPN%20VXLAN%20Fabric%20.pdf](https://documentation.nokia.com/cgi-bin/dbaccessfilename.cgi/3HE21632AAAATQZZA%5FV1%5FNokia%20Validated%20Design:%203-stage%20EVPN%20VXLAN%20Fabric%20.pdf?ref=innasiec.pl) Dokument wydany w ramach NVD (Nokia Validated Designs) koncentruje się na trójetapowym projekcie Clos EVPN VXLAN, obejmującym różne aspekty łączności fizycznej i logicznej w architekturze centrum danych, z EVPN jako płaszczyzną kontrolną i VXLAN jako płaszczyzną danych. --- ## Automatyzacja bez linijki kodu [cli-automationNetwork Automation from the Command Line![](https://innasiec.pl/content/images/icon/favicon.35549fe8.ico)PyPI![](https://innasiec.pl/content/images/thumbnail/twitter.abaf4b19.webp)](https://pypi.org/project/cli-automation/?ref=innasiec.pl) `cli-automation` to aplikacja stworzona w języku Python, która automatyzuje proces zarządzania infrastrukturą sieciową bez konieczności pisania kodu. Jest dedykowana inżynierom sieciowym, którzy nie posiadają zaawansowanej wiedzy programistycznej, co umożliwia im łatwe wyciąganie konfiguracji oraz konfigurowanie urządzeń sieciowych. Użytkownicy mogą wprowadzać parametry połączenia za pomocą wiersza poleceń lub plików JSON. --- ## Darmowe laboratorium w chmurze dla Twojego DC _This post is for paying subscribers only._ ### 📬 ISN 181: Wskazówki dotyczących zmiany dostawcy Internetu w centrach danych URL: https://innasiec.pl/isn-181-wskazowki-dotyczacych-zmiany-dostawcy-internetu-w-centrach-danych/ Last updated: 2025-04-07T08:00:36.000Z ## Integracja Single Sing-On z SSH [Open-sourcing OpenPubkey SSH (OPKSSH): integrating single sign-on with SSHOPKSSH (OpenPubkey SSH) is now open-sourced as part of the OpenPubkey project. This enables users and organizations to configure SSH to work with single sign-on technologies like OpenID Connect, removing the need to manually manage & configure SSH keys without adding a trusted party other than your IdP.![](https://innasiec.pl/content/images/icon/favicon-32x32-7.png)The Cloudflare BlogEthan Heilman![](https://innasiec.pl/content/images/thumbnail/Open-sourcing_OpenPubkey_SSH__OPKSSH_-_integrating_single_sign-on_with_SSH-OG.png)](https://blog.cloudflare.com/open-sourcing-openpubkey-ssh-opkssh-integrating-single-sign-on-with-ssh/?ref=innasiec.pl) OPKSSH to narzędzie oparte na protokole OpenPubkey, które umożliwia uwierzytelnianie w systemach SSH przy użyciu tokenów wydawanych przez dostawców tożsamości (Identity Providers, IdP) obsługujących standard OpenID Connect. Dzięki temu użytkownicy mogą logować się na serwery SSH, przedstawiając swój token zamiast tradycyjnego klucza SSH. Wdrożenie OPKSSH przynosi szereg korzyści dla administratorów i użytkowników, w tym: 1. **Zwiększone bezpieczeństwo:** OPKSSH zastępuje długotrwałe klucze SSH kluczami tymczasowymi, które wygasają po określonym czasie (domyślnie 24 godziny). To znacząco ogranicza ryzyko związane z kompromitacją kluczy i utratą dostępu. 2. **Lepsza wygoda użytkowania:** Generowanie kluczy SSH odbywa się poprzez proste zalogowanie do dostawcy tożsamości. Użytkownicy mogą korzystać z SSH na dowolnym komputerze z zainstalowanym OPKSSH, bez konieczności przenoszenia plików kluczy prywatnych. 3. **Większa przejrzystość:** OPKSSH przenosi autoryzację dostępu z poziomu kluczy publicznych na poziom tożsamości. Administratorzy mogą przypisywać uprawnienia dostępu na podstawie adresów e-mail użytkowników, co znacznie ułatwia śledzenie, kto ma dostęp do określonych zasobów. Proces uwierzytelniania za pomocą OPKSSH przebiega następująco: 1. Użytkownik uruchamia polecenie `opkssh login` i loguje się do dostawcy tożsamości (np. Google) za pośrednictwem protokołu OpenID Connect. 2. OPKSSH generuje tymczasową parę kluczy (publiczny i prywatny) dla użytkownika oraz token PK (PK Token), który zawiera informacje o tożsamości użytkownika i jego kluczu publicznym. 3. Token PK jest osadzany w pliku klucza publicznego SSH i przechowywany w katalogu `.ssh` użytkownika. 4. Podczas próby nawiązania połączenia SSH, klient SSH wysyła plik klucza publicznego zawierający token PK do serwera SSH. 5. Serwer SSH przekazuje otrzymany plik do weryfikatora OpenPubkey, który sprawdza poprawność tokenu PK, dopasowanie klucza publicznego oraz uprawnienia użytkownika do dostępu do serwera. 6. Po pomyślnej weryfikacji, użytkownik uzyskuje dostęp do serwera SSH. Instalacja i konfiguracja OPKSSH jest relatywnie prosta. Wystarczy pobrać i zainstalować pakiet OPKSSH, a następnie wprowadzić dwie zmiany w pliku konfiguracyjnym serwera SSH (`sshd_config`). Cały proces jest w pełni udokumentowany w [przewodniku instalacyjnym projektu](https://github.com/openpubkey/opkssh?ref=innasiec.pl). --- ## Incydent w Cloudflare [Cloudflare incident on March 21, 2025On March 21, 2025, multiple Cloudflare services, including R2 object storage experienced an elevated rate of error responses. Here’s what caused the incident, the impact, and how we are making sure it doesn’t happen again.![](https://innasiec.pl/content/images/icon/favicon-32x32-8.png)The Cloudflare BlogPhillip Jones![](https://innasiec.pl/content/images/thumbnail/BLOG-2793_OG_Share.png)](https://blog.cloudflare.com/cloudflare-incident-march-21-2025/?ref=innasiec.pl) W dniu 21 marca 2025 r. Cloudflare doświadczył zakłóceń w działaniu kilku ważnych usług, wliczając w to magazyn obiektów R2\. Główny okres zakłóceń wystąpił między 21:38 a 22:45 czasu UTC. W tym czasie doszło do całkowitego załamania operacji zapisu do magazynu R2 oraz około 35-procentowego wskaźnika niepowodzeń przy odczycie danych na poziomie globalnym. Wpływ incydentu rozciągnął się również na inne usługi Cloudflare zależne od R2, takie jak Cache Reserve, Images, Log Delivery, Stream oraz Vectorize. **Przyczyną incydentu był błąd ludzki podczas rutynowej rotacji kluczy dostępowych wykorzystywanych przez usługę R2 Gateway** do uwierzytelniania wobec infrastruktury magazynującej. Nowe klucze zostały przez pomyłkę wdrożone w środowisku developerskim zamiast produkcyjnym, co skutkowało utratą autoryzacji przez działającą usługę produkcyjną po usunięciu starych kluczy. Po zauważeniu stopniowego spadku dostępności usługi R2, zespół inżynierski podjął działania zmierzające do ustalenia przyczyn problemu. Kiedy około godziny 22:36 UTC wykryto, że nowe klucze zostały wdrożone w niewłaściwym środowisku, niezwłocznie przystąpiono do wdrożenia poprawek. O 22:45 UTC dostępność usługi została przywrócona po zakończeniu procesu rotacji kluczy w środowisku produkcyjnym. Aby zapobiec podobnym incydentom w przyszłości, Cloudflare wprowadził szereg środków, takich jak: - Dodanie znaczników logowania identyfikujących używane klucze dostępowe - Obowiązkowa weryfikacja zgodności nowych kluczy przed usunięciem poprzednich - Wdrażanie rotacji kluczy przez narzędzia do wydań hotfix zamiast poleceń ręcznych - Aktualizacja procedur operacyjnych uwzględniająca weryfikacje przez co najmniej dwie osoby - Rozszerzenie monitorowania punktów końcowych o testy nowych kluczy i automatyczne generowanie alertów - Usprawnienie możliwości wykrywania problemów z magazynem poprzez udoskonaloną obserwowalność --- ## Projektowanie sieci z OpenShift [OpenShift-3OpenShift Networking (an introductory effort)![](https://innasiec.pl/content/images/icon/icon.svg)AR-KubeSubstack![](https://innasiec.pl/content/images/thumbnail/https-3A-2F-2Fsubstack-post-media.s3.amazonaws.com-2Fpublic-2Fimages-2Fbe6d06a3-700a-4e70-8a35-ef445972d597_981x1058.gif)](https://substack.com/home/post/p-159824568?ref=innasiec.pl) Artykuł wprowadza w tematykę projektowania sieci w OpenShift, wyjaśniając, jak kontenery, usługi i użytkownicy komunikują się wewnątrz i na zewnątrz klastra. OpenShift rozszerza networking znany z Kubernetes, wprowadzając dodatkowe narzędzia do kontroli i widoczności. --- ## Routing IPv6 w Wireguard [Routing IPv6 through Wireguard with MikroTik and Debian – Widodh![](https://innasiec.pl/content/images/icon/favicon-35.ico)Wido den Hollander![](https://innasiec.pl/content/images/thumbnail/Wireguard-with-Mikrotik-693x1024.png)](https://blog.widodh.nl/2025/03/routing-ipv6-through-wireguard-with-mikrotik-and-debian/?ref=innasiec.pl) W artykule opisano proces routingu własnego adresu IPv6 /48 do sieci domowej przy użyciu WireGuard, a także konfiguracji oraz wyzwań związanych z tym zadaniem. Autor, będąc członkiem RIPE, uzyskał przydział IPv6 /29, ale z powodu ograniczeń swojego dostawcy internetu (Ziggo Zakelijk), który przypisał mu statyczny /48, postanowił skonfigurować tunel WireGuard z serwera w Amsterdamie. Dzięki temu mógł korzystać z własnej przestrzeni adresowej IPv6 w domu bez konieczności ponownego numerowania w przypadku zmiany dostawcy. --- ## Wskazówki dotyczących zmiany dostawcy Internetu w centrach danych _This post is for paying subscribers only._ ### 📬 ISN 180: Architektura gwiazdy z najlepszymi praktykami AWS URL: https://innasiec.pl/isn-180-architektura-gwiazdy-z-najlepszymi-praktykami-aws/ Last updated: 2025-03-31T08:00:29.000Z ## Incydent z certyfikatem ROA w Korei Północnej [North Korea Downed by Faulty ROAOn March 18, 2025, North Korea’s BGP routes became RPKI-invalid due to the publication of a faulty ROA. In this post, we’ll visualize the impact on the propagation of affected routes and what North Korea (and you too!) can do to avoid problems with the optional maxLength attribute.![](https://innasiec.pl/content/images/icon/apple-touch-icon-7.png)KentikDoug Madory![](https://innasiec.pl/content/images/thumbnail/presentation-north-korea-roa.png)](https://www.kentik.com/blog/north-korea-downed-by-faulty-roa/?ref=innasiec.pl) 18 marca 2025 roku, z powodu błędu w certyfikacie ROA opublikowanym przez APNIC, trasy BGP z Korei Północnej zostały oznaczone jako nieprawidłowe. W rezultacie wiele sieci na całym świecie przestało rozsyłać te trasy, co spowodowało gwałtowny spadek liczby punktów dostępowych widzących północnokoreańskie prefiksy IP. Niektóre sieci, jak Arelion, GTT i Verizon, szybko zareagowały, ale inne, np. AS6762 i AS6939, nie przerwały propagacji. Nawet Cogent musiał zrezygnować z dystrybucji tras z Korei Północnej. Przyczyna problemu nie jest jasna - mógł to być zarówno przypadek, jak i celowa akcja. W przeszłości zdarzały się ataki wykorzystujące nieprawidłowe certyfikaty ROA, ale najczęściej przyczyną są błędy konfiguracyjne. Korea Północna szybko zareagowała, opublikowując poprawne certyfikaty ROA i przywracając pełną propagację swoich tras. To pokazuje, jak ważne jest prawidłowe zarządzanie certyfikatami i RPKI dla stabilności sieci. Ten incydent przypomina, że podstawowe zasady sieciowe wciąż mają kluczowe znaczenie, nawet w erze chmur i AI. Nawet najmniejszy błąd może mieć poważne konsekwencje dla całych krajów. --- ## Mechanika kierowania ruchem w MPLS i Segment Routing [Loopback as a ServiceMethods of steering traffic into MPLS and Segment Routing LSP is one of the least standardized and most confusing parts of traffic engineering.![](https://innasiec.pl/content/images/icon/cropped-blog_identity-1-1.png)routingcraft.netroutingcraft![](https://innasiec.pl/content/images/thumbnail/NH_resolution_TE.png)](https://routingcraft.net/loopback-as-a-service/?ref=innasiec.pl) W świecie sieci komputerowych kierowanie ruchem to nie lada wyzwanie. Szczególnie gdy mamy do czynienia z technologiami MPLS i Segment Routing (SR), gdzie każdy dostawca ma własne, często niepokrywające się podejście. Na pierwszy rzut oka płaszczyzna kontrolna MPLS i SR wydaje się całkiem dobrze ustandaryzowana. Ale diabeł tkwi w szczegółach – dokładniej mówiąc, w metodach kierowania ruchu. Brak jednolitych standardów sprawia, że każdy vendor stosuje własną logikę wyboru następnego przeskoku. Weźmy przykład RSVP-TE LSP. Na **Cisco IOS-XE/XR domyślnie nie routujemy przez RSVP**, choć istnieje opcja "autoroute announce". Tymczasem **Juniper i Arista** podchodzą do tematu inaczej – ich **tunele MPLS obsługują przeskoki BGP** zgodnie z preferencjami protokołów (**RSVP-TE > SR-TE > LDP**). Segment Routing miał uprościć i zwiększyć skalowalność MPLS. Kluczowym mechanizmem jest tu koncepcja "koloru" – unikalnej wartości liczbowej przypisanej do polityki SR-TE. Trasy BGP pasujące do danego koloru są mapowane do odpowiedniej polityki. To jak GPS dla ruchu sieciowego – pozwala precyzyjnie kierować różnymi usługami z tego samego routera do osobnych ścieżek. Nie zawsze można od razu wdrożyć najnowsze standardy. Dlatego często sięgamy po sprytne rozwiązania tymczasowe. Jednym z nich są **service loopbacki.** Mechanizm jest prosty: **każdy interfejs pętli zwrotnej odpowiada innej usłudze**. Następny przeskok dla danej trasy (BGP, MPLS VPN, EVPN) jest zmieniany na odpowiedni service loopback. Te nie są ogłaszane do IGP, ale trafiają do BGP-LU z niskim priorytetem. Sygnalizowanie RSVP-TE LSP do różnych loopbacków to temat rzeka. Niektóre implementacje to wspierają, inne nie. Często trzeba kombinować – albo konfigurować bezpośrednio na routerze, albo użyć zewnętrznego kontrolera SDN do obliczenia trasy. --- ## HA dla Cisco SD-WAN z NGFW [Cisco Learning Network![](https://innasiec.pl/content/images/icon/favicon-33.ico)](https://learningnetwork.cisco.com/s/article/catalyst-sd-wan-dual-router-high-availability-with-ngfw?ref=innasiec.pl) Artykuł omawia strategie zapewnienia wysokiej dostępności w implementacjach Catalyst SD-WAN, koncentrując się na automatyzacji i synchronizacji stanu w rozwiązaniach z zaporą ogniową nowej generacji (NGFW). Wskazuje na znaczenie redundancji urządzeń, połączeń WAN oraz rozkładu ruchu w celu eliminacji pojedynczych punktów awarii. --- ## Szablony konfiguracji z Ansible [Network Configuration Templating with Ansible - Part 1When discussing network automation with our customers, one of the main concerns that come up is the ability to audit their device configurations. This becomes especially important during the last quarter of the year, as many corporations are going through their yearly audit to obtain their required approvals for PCI or other compliance standards. Our solution for that is to use the Golden Configuration application for Nautobot, but it’s also entirely possible to use simple Ansible playbooks to perform the audit. This blog series will go over the essential pieces to understanding network configuration templating using Ansible, but the same process can easily be translated for use with Nautobot.![](https://innasiec.pl/content/images/icon/ntc-favicon-300x300-1-300x300.png)Network to CodeChiara Geronzi![](https://innasiec.pl/content/images/thumbnail/Open-Source-Open-Source-Tools.png)](https://blog.networktocode.com/post/config-templating-ansible-p1/?ref=innasiec.pl) W artykule omawiane są kluczowe elementy automatyzacji konfiguracji sieci z użyciem Ansible, zwłaszcza w kontekście audytu konfiguracji urządzeń. Proponowane rozwiązanie to wykorzystanie aplikacji Golden Configuration dla Nautobot, jednak równie skuteczne mogą być proste skrypty Ansible. Artykuł koncentruje się na procesie tworzenia szablonów konfiguracji, zaczynając od wyboru funkcji do audytu, takiej jak konfiguracja NTP, oraz na identyfikacji i organizacji odpowiednich zmiennych w strukturze YAML. --- ## Architektura gwiazdy z najlepszymi praktykami AWS _This post is for paying subscribers only._ ### 📬 ISN 179: Wiesz jak podsłuchiwać światłowód? URL: https://innasiec.pl/isn-179-wiesz-jak-podsluchiwac-swiatlowod/ Last updated: 2025-03-24T09:00:53.000Z ## Co może zdziałać 30 000 kamer i rejestratorów wideo? [Massive botnet that appeared overnight is delivering record-size DDoSesEleven11bot infects video recorders, with the largest concentration of them in the US.![](https://innasiec.pl/content/images/icon/cropped-ars-logo-512_480-300x300.png)Ars TechnicaDan Goodin![](https://innasiec.pl/content/images/thumbnail/botnet6.jpg)](https://arstechnica.com/security/2025/03/massive-botnet-that-appeared-overnight-is-delivering-record-size-ddoses/?ref=innasiec.pl) W lutym 2025 roku, ogromny botnet o nazwie Eleven11bot niespodziewanie rozpoczął zmasowany atak Distributed Denial of Service (DDoS) na niespotykaną dotąd skalę. Eleven11bot składa się z około **30 000 zainfekowanych kamer internetowych i rejestratorów wideo**, z czego największa koncentracja (24,4%) znajdowała się na terytorium Stanów Zjednoczonych. Tak rozległa sieć złośliwych urządzeń umożliwiła botnetowi wygenerowanie niespotykanego wcześniej ruchu, szacowanego na szczytowe natężenie około **6,5 Tb/s - rekord**, który zdeklasował poprzednie największe ataki tej klasy. **Eleven11bot celował** w różne sektory, w tym **dostawców usług komunikacyjnych i infrastrukturę hostingową dla gier online**. Ataki opierały się nie tylko na ogromnej objętości danych, ale również na zalewie nadmierną liczbą pakietów na sekundę, od kilkuset tysięcy do setek milionów. Niektóre z tych zmasowanych ataków utrzymywały się przez wiele dni. Choć **dokładne źródło botnetu** wciąż pozostaje niewyjaśnione, **eksperci uważają, że jest on wariantem znanej rodziny złośliwego oprogramowania Mirai**, wyspecjalizowanej w infekowania urządzeń Internetu Rzeczy (IoT). Przypuszcza się, że botnet wykorzystuje nową lukę w rejestratorach wideo TVT-NVMS 9000 z procesorami HiSilicon do infekowania kolejnych urządzeń. Aby lepiej zabezpieczyć się przed tego rodzaju zagrożeniami, inżynierowie sieci powinni przestrzegać kilku kluczowych zasad: - Umieszczać urządzenia IoT za zaporą sieciową i upewnić się, że nie są widoczne z sieci zewnętrznej. - Włączać zdalne administrowanie urządzeniami tylko w razie potrzeby. - Używać silnych, unikalnych haseł dla każdego urządzenia. - Regularnie aktualizować oprogramowanie układowe do najnowszych wersji z poprawkami bezpieczeństwa. Ponadto, ważne jest monitorowanie sygnałów bezpieczeństwa sieciowego i zachowanie czujności na wszelkie nietypowe wzorce ruchu, które mogą wskazywać na zaawansowaną aktywność hakerską. --- ## Zmiana polityki prywatności w Mozilla Firefox [https://medium.com/@mail\_18109/mozillas-new-firefox-terms-spark-privacy-concerns-are-users-switching-to-chrome-b6b160e203f6](https://medium.com/@mail%5F18109/mozillas-new-firefox-terms-spark-privacy-concerns-are-users-switching-to-chrome-b6b160e203f6?ref=innasiec.pl) Firefox od zawsze cieszył się zaufaniem jako przeglądarka stawiająca na ochronę prywatności użytkowników. Jednak najnowsze zmiany w Warunkach korzystania i Polityce prywatności tej przeglądarki wzbudziły wiele kontrowersji. Oto, co powinieneś o nich wiedzieć: - **Zastrzeżenie prawa Mozilla do wykorzystywania danych** wprowadzanych przez użytkowników na całym świecie i bez opłat licencyjnych. To może sugerować, że firma zyskuje dostęp do historii przeglądania i innych wrażliwych danych. - **Możliwość udostępniania danych użytkowników** zanonimizowanych partnerom zewnętrznym, choć Mozilla zapewnia, że będą one zagregowane w celu zachowania prywatności. - **Brak jasnego mechanizmu rezygnacji z tych praktyk** \- kontynuacja użytkowania przeglądarki miałaby oznaczać akceptację zmian w przyszłości. Mozilla tłumaczy, że **nowe regulacje mają na celu jedynie przetwarzanie danych wejściowych do nawigacji i usług sieciowych, a nie szkolenie modeli AI czy monetyzację prywatnych informacji**. Firma zapewnia też, że nie wykorzystuje historii przeglądania do trenowania algorytmów sztucznej inteligencji. Jednak **eksperci zwracają uwagę na niejasne sformułowania, pozostawiające przestrzeń do interpretacji** \- co mogłoby umożliwić rozszerzenie zbierania danych w przyszłości bez uprzedzenia. Kontrowersja doprowadziła do gorących dyskusji. Wielu użytkowników rozważa przejście do innych przeglądarek: - Chrome od Google - obecnie najbardziej rozpowszechniony, choć notoryczny ze zbierania danych użytkowników. - Brave - silnie nastawiona na prywatność, blokująca wszelkie narzędzia śledzące. Analitycy branżowi spekulują, że **Mozilla może planować dalsze zmiany w modelu biznesowym przeglądarki**. Po latach polegania na partnerstwach, firma może chcieć monetyzować nowe usługi, oferując np.: - Płatne narzędzia AI do przeglądania dla zaawansowanych użytkowników. - Rozszerzone współprace z partnerami technologicznymi w zakresie wymiany danych i targetowania reklam. - Model abonamentowy z preferencjami dla użytkowników płacących. Jeśli stawiasz ochronę danych na pierwszym miejscu, warto rozważyć inne opcje jak zmiana przeglądarki na Brave, która wydaje się najrozsądniejszą alternatywą. --- ## Zrozum AI i LLM-y [Cisco U.![](https://innasiec.pl/content/images/icon/favicon-31.ico)](https://u.cisco.com/paths/understanding-ai-llms-as-network-engineer-10324?ref=innasiec.pl) Godzinny darmowy Kurs "Zrozumienie AI i LLM jako inżynier sieciowy (AI4NE)" oferuje teorię oraz przykłady zastosowań AI i LLM w codziennych zadaniach inżyniera sieciowego. W programie nauczysz się różnych typów AI, w tym GenAI i LLM przy użyciu ChatGPT oraz zdobędziesz podstawowe umiejętności przygotowujące do certyfikacji Cisco Certified Network Associate (CCNA). --- ## Event Driven Automation w VSCode [Event Driven Automation (Nokia) - Visual Studio MarketplaceExtension for Visual Studio Code - Manage and monitor EDA (Event Driven Automation by Nokai) resources in Kubernetes![](https://innasiec.pl/content/images/icon/favicon-32.ico)Visual Studio Marketplace![](https://innasiec.pl/content/images/thumbnail/Microsoft.VisualStudio.Services.Icons-1.Default)](https://marketplace.visualstudio.com/items?itemName=eda-labs.vscode-eda&ref=innasiec.pl) Rozszerzenie "Event Driven Automation" (EDA) od Nokii umożliwia zarządzanie i monitorowanie zasobów EDA w środowisku Kubernetes bezpośrednio z poziomu Visual Studio Code. Ułatwia przeglądanie przestrzeni nazw, komponentów systemowych, alarmów oraz transakcji. Użytkownicy mogą tworzyć nowe zasoby, edytować je oraz stosować zmiany z intuicyjnym interfejsem i funkcjami autouzupełniania. --- ## Podsłuchiwanie łącz światłowodowych _This post is for paying subscribers only._ ### 📬 ISN 178:Klucze na wagę złota, Cisco tworzy agenty AI, sieci komputerowe od podstaw i... Normir flirtuje z Ansible?! URL: https://innasiec.pl/isn-178-klucze-na-wage-zlota-cisco-tworzy-agenty-ai-sieci-komputerowe-od-podstaw-i-normir-flirtuje-z-ansible/ Last updated: 2025-03-17T09:00:46.000Z ## Pilnuj swoich kluczy [Nearly 12,000 API keys and passwords found in AI training datasetClose to 12,000 valid secrets that include API keys and passwords have been found in the Common Crawl dataset used for training multiple artificial intelligence models.![](https://innasiec.pl/content/images/icon/favicon-28.ico)BleepingComputerIonut Ilascu![](https://innasiec.pl/content/images/thumbnail/artificial-intelligence-eyes.jpg)](https://www.bleepingcomputer.com/news/security/nearly-12-000-api-keys-and-passwords-found-in-ai-training-dataset/amp/?ref=innasiec.pl) Niedawne badania firmy Truffle Security ujawniły, że w jednym z zestawów treningowych znalazło się prawie 12 000 przypadków ujawnienia kluczy oraz haseł. Badacze przeanalizowali **zawartość zbioru** [**Common Crawl**](https://commoncrawl.org/?ref=innasiec.pl) z grudnia 2024 roku, składającego się z **2,67 miliarda stron internetowych** o łącznej wielkości 400 terabajtów. Ich **narzędzie TruffleHog pomogło odkryć 11 908 prawidłowych kluczy i haseł**, które nadal działały pomimo wycieku. Wśród nich znalazły się kluczowe dane dostępowe, **takie jak klucze główne AWS (Amazon Web Services), klucze API MailChimp oraz klucze WalkScore. Najbardziej powszechne okazały się klucze MailChimp**, których naliczono prawie 1500 unikalnych egzemplarzy, bezpiecznie osadzonych w kodzie front-endowym stron internetowych. Posiadanie takich kluczy w niepowołanych rękach otwiera drogę do rozmaitych nadużyć, jak kampanie phishingowe, przywłaszczenie marki czy nawet przechwycenie poufnych danych użytkowników. Truffle Security odkryło także webhooki Slacka, których ujawnienie mogłoby umożliwić niepożądane wysyłanie wiadomości do firmowych kanałów komunikacyjnych. Ponadto, **badacze ustalili, że 63% wykrytych kluczy pojawiało się na wielu stronach, a jeden z kluczy WalkScore został zlokalizowany aż 57 029 razy na 1871 subdomenach**. Wskazuje to na powszechną praktykę ponownego wykorzystywania tych samych, wrażliwych kodów. Poufne dane w zbiorach treningowych AI stanowią poważny problem dla twórców modeli językowych (LLM), takich jak OpenAI, DeepMind czy Meta. Mimo zabiegów czyszczenia danych, usuwania powtórzeń i treści szkodliwych, trudno jest w pełni wyeliminować wszelkie przypadki naruszenia prywatności czy innych wrażliwych informacji. W efekcie LLM mogą inkorporować niechciane wzorce zachowań oparte na upublicznionych danych prywatnych. Dlatego bardzo ważne jest podnoszenie świadomości wśród programistów, aby nie kodowali na stałe kluczy dostępowych w publicznie dostępnych plikach, lecz wykorzystywali bezpieczne zmienne środowiskowe po stronie serwera. W świecie danych i AI nawet drobny błąd może mieć ogromne konsekwencje. Nawet jeśli uważasz, że nikt nie odwiedza Twojej strony, pamiętaj o botach; one czytają i pamiętają wszystko. --- ## Framework do budowania agentów AI od Cisco [A standard, open framework for building AI agents is coming from Cisco, LangChain and GalileoThe collective, called AGNTCY, aims to create a standard way for AI agents from different platforms and frameworks to talk to each other.![](https://innasiec.pl/content/images/icon/favicon-30.ico)VentureBeatEmilia David![](https://innasiec.pl/content/images/thumbnail/nuneybits_Vector_art_of_a_robot_store_robots_in_business_suits__fb7a1c66-dfb8-49ed-9c91-185a83c54352.jpeg)](https://venturebeat.com/ai/a-standard-open-framework-for-building-ai-agents-is-coming-from-cisco-langchain-and-galileo/?ref=innasiec.pl) Wraz z rosnącą popularnością rozwiązań sztucznej inteligencji, zwłaszcza systemów opartych na dużych modelach językowych (LLM), coraz większe znaczenie ma interoperacyjność między różnymi platformami i narzędziami AI. Wyobraźmy sobie świat, w którym agenci AI z różnych organizacji mogliby swobodnie komunikować się ze sobą, wymieniać dane i współpracować bez barier technologicznych. Właśnie to jest celem nowego projektu o nazwie AGNTCY. **AGNTCY to otwarte i kolektywne przedsięwzięcie zainicjowane przez firmy takie jak Cisco, LangChain, LlamaIndex, Galileo i Glean.** Celem projektu jest stworzenie otwartego standardu języka komunikacyjnego dla agentów AI, umożliwiającego im bezproblemową wymianę danych i współpracę niezależnie od technologii, na których zostali zbudowani. **Według słów Vijoya Pandeya, szefa firmy Outshift by Cisco, projekt AGNTCY ma odegrać rolę podobną do tej, jaką TCP/IP i DNS odegrały dla Internetu**, umożliwiając interoperacyjność między różnymi systemami komputerowymi. "*Chcemy zbudować Internet Agentów, który przyspieszy wszystkie ludzkie prace na skalę globalną*" powiedział Pandey w rozmowie z VentureBeat. AGNTCY nie jest pierwszą próbą stworzenia standardu dla agentów AI. LangChain, jeden z głównych członków projektu, ma własny protokół Agent Protocol, który umożliwia komunikację między agentami LangChain a agentami stworzonymi w innych ramach kodowych. Z kolei firma Anthropic ogłosiła w listopadzie ubiegłego roku Model Context Protocol (MCP), którego celem jest standaryzacja łączenia modeli i narzędzi AI z różnymi źródłami danych. Standaryzacja w szybko rozwijającej się dziedzinie, jaką jest AI, stanowi nie lada wyzwanie. Modele i technologie są stale uaktualniane, co utrudnia stworzenie trwałego standardu. Jednak zdaniem Harrisona Chase'a, CEO LangChain, nie jest to niemożliwe, zwłaszcza że samodzielne tworzenie agentów AI staje się coraz łatwiejsze. Standaryzacja agentów AI niesie ze sobą ogromny potencjał. Umożliwi ona swobodną wymianę danych i współpracę między różnymi systemami AI, co znacznie zwiększy ich wydajność i efektywność. Dzięki AGNTCY przedsiębiorstwa będą mogły łączyć agentów z różnych źródeł, tworząc złożone przepływy pracy dopasowane do ich potrzeb. --- ## Podstawy sieci komputerowych [Networking Fundamentals « ipSpace.net blog![](https://innasiec.pl/content/images/icon/favicon-29.ico)ipSpace Logo![](https://innasiec.pl/content/images/thumbnail/og-image-3.png)](https://blog.ipspace.net/tag/networking-fundamentals/?ref=innasiec.pl) Znajdziesz tutaj różnorodne zasoby, takie jak artykuły, filmy oraz materiały edukacyjne dotyczące istotnych zagadnień, takich jak adresacja, protokoły routingu, przełączanie i mostkowanie. Oferują one szczegółowe analizy oraz kontekst historyczny rozwoju technologii sieciowych. Warto zwrócić uwagę na zgromadzone materiały, które ułatwiają zrozumienie podstawowych zasad oraz przedstawiają praktyczne wskazówki dotyczące zarządzania i projektowania sieci. --- ## Zarządzaj zadaniami Normir w stylu Ansible [GitHub - theandrelima/nornflow: A workflow orchestration tool for network automation built around Nornir.A workflow orchestration tool for network automation built around Nornir. - theandrelima/nornflow![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-12.svg)GitHubtheandrelima![](https://innasiec.pl/content/images/thumbnail/nornflow)](https://github.com/theandrelima/nornflow?ref=innasiec.pl) NornFlow to narzędzie do zarządzania procesami w automatyzacji sieci, oparte na Nornir. **Pozwala łatwo uruchamiać zadania Nornir przez CLI i tworzyć złożone workflowy za pomocą plików YAML, podobnie jak w Ansible**. NornFlow łączy moc Pythona dla programistów z prostotą obsługi dla inżynierów, którzy znają Ansible, ale nie znają Pythona. Sprawdź dokumentację, aby dowiedzieć się, jak zacząć korzystać z tego narzędzia. --- ## Jak zbudowany jest klaster DeepSeek? _This post is for paying subscribers only._ ### 📬 ISN 177: Fortigate Firewalls: Jak Wybrać Najlepszy Model dla Twojej Sieci? URL: https://innasiec.pl/isn-177-fortigate-firewalls-jak-wybrac-najlepszy-model-dla-twojej-sieci/ Last updated: 2025-03-10T09:00:00.000Z ## Obsługa BUM w ACI [Taha Yusuf on LinkedIn: What’s good everyone, hope you’re all well 😊👋 On my previous post…What’s good everyone, hope you’re all well 😊👋 On my previous post regarding IPN network for Cisco ACI - I briefly touched upon the importance of BUM…![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-9)LinkedInTaha Yusuf![](https://innasiec.pl/content/images/thumbnail/1738891757271)](https://www.linkedin.com/posts/taha-yusuf%5Fwhats-good-everyone-hope-youre-all-well-activity-7293440663604346880-5lWP/?rcm=ACoAAAsbZU8Bkl0vKa1oyrvwC9wAdrU5Dh3SG7g&ref=innasiec.pl) Ruch BUM składa się z: 1. **Broadcast** – pakiety wysyłane do wszystkich hostów w tej samej domenie warstwy 2 2. **Unknown Unicast** – pakiety przesyłane do nieznanych adresów MAC 3. **Multicast** – pakiety wysyłane do wybranych, a nie wszystkich hostów Tradycyjne mechanizmy obsługi tego rodzaju ruchu nie działałyby w architekturze VXLAN, dlatego ACI korzysta z dwóch specyficznych metod replikacji ruchu BUM. **Replikacja multicastowa** Replikacja multicastowa wykorzystuje protokół PIM (Protocol Independent Multicast) oraz MP-BGP EVPN do dostarczania ruchu BUM. Zastosowana jest ona głównie w warstwie 3 (podwarstwie). Przepływ ruchu: 1. Przełączniki (spine i leaf) używają protokołu PIM w trybie źródłowym (PIM-SM) 2. Adresy grup multicastowych dla VTEP są przydzielane dynamicznie. Ruch BUM jest wysyłany do członków danej grupy. 3. Gdy maszyna wirtualna (endpoint) wysyła ruch BUM, przełącznik leaf, do którego jest podłączona, enkapsuluje VXLAN i przesyła do grupy multicastowej. 4. Przełączniki spine działają jako reflektory tras (route reflector) oraz punkty ześrodkowania (Rendezvous Point) dla grup multicastowych. Przełączniki leaf subskrybują odpowiednie grupy multicastowe na podstawie rekordów EVPN. **Replikacja ingress (Headend)** Replikacja ingress, nazywana także "na głowicy", nie wykorzystuje w ogóle multicastu, a działa na warstwie nakładki VXLAN. Przełącznik źródłowy (ingress leaf) przesyła osobną kopię pakietu BUM, otoczoną w kapsułkę VXLAN, bezpośrednio do każdego przełącznika odbiorczego. Przepływ ruchu: 1. Gdy punkt końcowy wysyła ruch BUM, przełącznik źródłowy sprawdza tabelę mapowania VXLAN. 2. Przełącznik tworzy wiele kopii tego samego pakietu i przesyła każdą z nich w osobnej kapsułce unicastowej VXLAN do przełącznika odbiorczego. 3. Przełączniki odbiorcze dekapsulują pakiet VXLAN i przesyłają go do odpowiedniego lokalnego punktu końcowego. Kluczową kwestią jest zapewnienie, aby ruch warstwy 2 był poprawnie dystrybuowany w sieci warstwy 3\. Replikacja BUM pozwala na dostarczanie pakietów adresatom w ACI, tak jakby znajdowali się w tej samej domenie. --- ## Komunikacja między węzłami w sieci - IP vs CLNP [Comparing IP and CLNP: Reaching Off-Subnet Nodes « ipSpace.net blogThe previous blog post in this series discussed how TCP/IP and CLNP reach adjacent nodes and build ARP/ND/ES caches. Now let’s move one step further: how do nodes running IPv4/IPv6 or CLNP discover the first-hop router that could forward their traffic to off-subnet nodes they want to communicate with?![](https://innasiec.pl/content/images/icon/favicon-26.ico)ipSpace Logo![](https://innasiec.pl/content/images/thumbnail/addr-non-adjacent-nodes.png)](https://blog.ipspace.net/2025/03/comparing-ip-clnp-off-subnet-nodes/?ref=innasiec.pl) Zarówno TCP/IP, jak i CLNP wykorzystują podobny mechanizm komunikacji z sąsiednimi węzłami, polegający na mapowaniu adresów protokołu sieciowego na adresy MAC warstwy łącza danych. W świecie **TCP/IP odbywa się to za pośrednictwem zapytań ARP** (Address Resolution Protocol) dla IPv4 lub sąsiedzkich wyszukiwań ND (Neighbor Discovery) dla IPv6\. Natomiast w **CLNP wykorzystywany jest protokół ES-IS** (End System - Intermediate System), który umożliwia wzajemne wykrywanie węzłów końcowych i routerów w ramach podsieci. Prawdziwe wyzwanie pojawia się, gdy dwa węzły chcą komunikować się pomimo przynależności do różnych podsieci. W takim przypadku wymagana jest obecność routera mogącego przesyłać pakiety między podsieciami. I tutaj właśnie zaczynają się różnice między stosami TCP/IP a CLNP. **Podejście TCP/IP** W świecie TCP/IP odnajdywanie routera odpowiedzialnego za komunikację między podsieciami nie było łatwe. Protokół IPv4 nie przewidywał żadnego standardowego mechanizmu do tego celu. Zazwyczaj hosty posiadały statycznie skonfigurowaną trasę domyślną wskazującą na adres IP routera jako następnego przeskoku. W późniejszym okresie zaimplementowano możliwość konfiguracji routera domyślnego przez serwer DHCP, ale rozwiązanie to wciąż wymagało konfiguracji statycznej. Dodatkowo pojawiały się problemy w przypadku wielu routerów współdzielących adres IP jako trasę domyślną. Producenci, tacy jak Cisco, musieli opracować własne protokoły (np. HSRP, GLBP) do obsługi tego scenariusza, choć wciąż utrudnione było zrównoważone wykorzystanie wszystkich routerów. Dopiero protokół VRRP (Virtual Router Redundancy Protocol) wprowadził standaryzację i obsługę redundancji dla IPv4 i IPv6\. Jednak nawet VRRP nie rozwiązuje całkowicie problemu przejściowych przerw w łączności podczas przełączania routerów. **Podejście CLNP** Protokół CLNP z modelu OSI nie borykał się z tymi problemami. Routery okresowo wysyłały komunikaty ISH (Intermediate System Hello), informując węzły końcowe o swojej obecności. Węzły gromadziły te informacje w pamięci podręcznej i po stwierdzeniu, że dany węzeł jest spoza podsieci, po prostu przesyłały do niego pakiety za pośrednictwem najbliższego routera. W świecie CLNP hosty mogły swobodnie wybierać spośród wielu dostępnych routerów, a równoważenie obciążenia między nimi było naturalnym procesem. Co więcej, protokół IPv6 zaczerpnął wiele z tych rozwiązań, implementując komunikaty Router Advertisement (RA), będące odpowiednikiem ISH z CLNP. --- ## (Nieoficjalny) podręcznik do CCNP-SP [About | The (Unofficial) CCNP-SP Study Guide![](https://innasiec.pl/content/images/icon/spaces-2FgAMH3CMtmYTBkob03NUj-2Ficon-2Fz67WXiF5LcOl2PpCT9Nf-2Frouter2.png)The (Unofficial) CCNP-SP Study Guide![](https://innasiec.pl/content/images/thumbnail/9ceG6kD5sjasYdkd5clS)](https://ccnp-sp.gitbook.io/studyguide?ref=innasiec.pl) Ten przewodnik po SP przypomina bardziej zeszyt ćwiczeń niż tradycyjny podręcznik. Artykuły zaczynają się od podstawowych informacji i teorii, a następnie przechodzą do sekcji "Laboratorium", gdzie znajdziesz diagram topologii oraz kod konfiguracyjny, który umożliwia szybkie zbudowanie własnego laboratorium. --- ## Zestawienie firewalli Fortigate [Fortigate Firewalls Hardware - CPU model and number, Memory (RAM) and hard disk size datasheet tableNote The data is gathered via get hardware stat command. Note If you have access to the Fortigate model not listed here, please consider sending me output of get hardware stat to be included in the table to yuri@yurisk.info for the benefit of all of us. Note It …![](https://innasiec.pl/content/images/icon/favicon-27.ico)Yuri Slobodyanyuk's blog on IT Security and NetworkingYuri Slobodyanyuk![](https://innasiec.pl/content/images/thumbnail/logo-white-on-red-120px.png)](https://yurisk.info/2021/03/14/Fortigate-Firewalls-Hardware-CPU-model-and-number-Memory-size-datasheet-table/?ref=innasiec.pl) Strona zajmuje się gromadzeniem danych na temat różnych modeli Fortigate poprzez polecenie `get hardware stat`. Jeśli posiadasz model, który nie jest wymieniony, zachęcamy do przesłania wyników na adres [yuri@yurisk.info](mailto:yuri@yurisk.info), co przyniesie korzyści całej społeczności. Zauważ, że różne rewizje tego samego modelu mogą mieć różne specyfikacje, jak np. pamięć RAM. Dzięki tym informacjom możesz lepiej porównać różne modele i ich parametry, co ułatwi podjęcie decyzji przy wyborze odpowiedniego urządzenia. --- ## Dlaczego Cilium jest #1 CNI dla K8S? _This post is for paying subscribers only._ ### Uruchom Duże Modele Językowe (LLM) na swoim komputerze - OLLAMA URL: https://innasiec.pl/uruchom-duze-modele-jezykowe-llm-na-swoim-komputerze-ollama/ Last updated: 2025-03-07T06:30:44.000Z Duże Modele Językowe (LLM) to zaawansowane systemy sztucznej inteligencji zaprojektowane do przetwarzania i generowania języka naturalnego. Stanowią one potężne narzędzie wspierające automatyzację, rozwiązywanie problemów i tworzenie dokumentacji, które można zintegrować z istniejącą infrastrukturą. Współczesne LLM potrafią wykonywać zadania szczególnie przydatne w zarządzaniu siecią, takie jak: - Generowanie i analiza skryptów konfiguracyjnych - Interpretacja logów i identyfikacja anomalii - Automatyzacja rutynowych zadań administratorskich - Tworzenie dokumentacji technicznej - Debugowanie problemów sieciowych - Konwersja konfiguracji między różnymi platformami sprzętowymi W środowiskach, gdzie bezpieczeństwo i prywatność danych są priorytetem, możliwość uruchamiania tych modeli lokalnie nabiera szczególnego znaczenia. ## Czym jest Ollama? Ollama to narzędzie zaprojektowane do lokalnego uruchamiania Dużych Modeli Językowych, eliminujące potrzebę wysyłania danych do zewnętrznych serwerów. Oznacza to: - **Izolację danych** \- wrażliwe informacje o konfiguracji sieci pozostają w obrębie własnej infrastruktury - **Niezależność** \- możliwość korzystania z modeli AI bez polegania na zewnętrznych dostawcach, nawet w segmentach odizolowanych od Internetu - **Kontrolę zasobów** \- precyzyjne zarządzanie obciążeniem sieci i alokacją mocy obliczeniowej - **Zgodność z politykami bezpieczeństwa** \- spełnienie rygorystycznych wymogów bezpieczeństwa dla infrastruktury krytycznej Ollama działa na zasadzie lekkiego kontenera, który zarządza modelami LLM i udostępnia je poprzez lokalny interfejs API, co ułatwia integrację z istniejącymi narzędziami sieciowymi. ## Korzyści z lokalnego LLM-a Implementacja lokalnych modeli LLM poprzez Ollama przynosi szereg specyficznych korzyści dla profesjonalistów sieciowych: **Bezpieczeństwo i zgodność z przepisami** - Eliminacja ryzyka wycieku danych związanego z przetwarzaniem chmurowym - Zgodność z wymogami RODO, ISO 27001 i innymi standardami branżowymi - Możliwość pracy z modelami AI w sieciach o podwyższonych wymogach bezpieczeństwa **Automatyzacja zarządzania siecią** - Szybkie generowanie skryptów do automatyzacji rutynowych zadań - Analiza i optymalizacja istniejących konfiguracji - Konwersja między formatami konfiguracji różnych producentów sprzętu **Dokumentacja i wiedza** - Automatyczne generowanie dokumentacji technicznej - Tworzenie procedur operacyjnych i instrukcji - Wyjaśnianie złożonych koncepcji sieciowych dla mniej doświadczonych członków zespołu **Debugowanie i rozwiązywanie problemów** - Analiza logów i identyfikacja potencjalnych przyczyn awarii - Sugerowanie rozwiązań na podstawie objawów problemów - Optymalizacja wydajności sieci na podstawie analizy ruchu ## Wymagania sprzętowe Efektywne wykorzystanie lokalnych modeli LLM wymaga odpowiedniego sprzętu: | Rozmiar modelu | Kwantyzacja | Minimalna VRAM (GPU) | Minimalny RAM (CPU) | Rekomendowana karta GPU | Rekomendowany procesor CPU | | -------------- | ----------- | -------------------- | ------------------- | ---------------------------- | -------------------------- | | **7B** | FP16 | 14–16 GB | 32 GB | RTX 3090 (24 GB) | 8-rdzeniowy, 32 GB DDR5 | | | 8-bit | 8–10 GB | 16 GB | RTX 3060 (12 GB) | 6-rdzeniowy, 16 GB DDR4 | | | 4-bit | 4–6 GB | 12 GB | RTX 3050 (6 GB) | 4-rdzeniowy, 12 GB DDR4 | | **13B** | FP16 | 24–32 GB | 64 GB | RTX 4090 (24 GB) | 12-rdzeniowy, 64 GB DDR5 | | | 8-bit | 16–18 GB | 32 GB | RTX 3080 (16 GB) | 8-rdzeniowy, 32 GB DDR4 | | | 4-bit | 8–12 GB | 24 GB | RTX 3060 (12 GB) | 6-rdzeniowy, 24 GB DDR4 | | **30B** | FP16 | 48–60 GB | 128 GB | NVIDIA A100 (40 GB) | 16-rdzeniowy, 128 GB DDR5 | | | 8-bit | 24–30 GB | 64 GB | RTX 4090 (24 GB) | 12-rdzeniowy, 64 GB DDR4 | | | 4-bit | 12–16 GB | 48 GB | RTX 3080 (16 GB) | 8-rdzeniowy, 48 GB DDR4 | | **65B** | FP16 | 80–120 GB | 256 GB | Multi-GPU (np. 2×A100) | 24-rdzeniowy, 256 GB DDR5 | | | 8-bit | 40–60 GB | 128 GB | RTX 6000 Ada (48 GB) | 16-rdzeniowy, 128 GB DDR4 | | | 4-bit | 24–32 GB | 96 GB | RTX 3090 (24 GB) | 12-rdzeniowy, 96 GB DDR4 | | **70B+** | FP16 | 120–180 GB | 512 GB | Klastry wieloprocesorowe GPU | 32-rdzeniowy, 512 GB DDR5 | | | 8-bit | 60–90 GB | 256 GB | 2×RTX 6000 Ada (96 GB) | 24-rdzeniowy, 256 GB DDR4 | | | 4-bit | 36–48 GB | 192 GB | 2×RTX 4090 (48 GB) | 16-rdzeniowy, 192 GB DDR4 | 💡 W dużych modelach językowych (LLM) "B" oznacza "miliard" i odnosi się do liczby parametrów. Większe "B" sugeruje bardziej złożony i potężny model. - **Zapora sieciowa**: Potrzebny dostęp do registry.ollama.com (port 443) podczas pobierania modeli - **Port API**: Domyślnie 11434 (warto upewnić się, że nie koliduje z innymi usługami) ## Instalacja i konfiguracja Ollama ![](https://innasiec.pl/content/images/2025/03/pobierz_ollama.webp) Jeśli praca z CLI sprawia Ci mnóstwo frajdy, możesz zainstalować Ollamę z poziomu terminalu, korzystając z gotowego skryptu (Linux) lub używając menedżera pakietów (macOS). **Linux** ```bash # Automatyczna instalacja bez interakcji curl -fsSL https://ollama.com/install.sh | sudo OLLAMA_YES=1 sh # Konfiguracja jako usługi systemd z automatycznym startem sudo systemctl enable ollama sudo systemctl start ollama # Weryfikacja poprawności instalacji curl -s localhost:11434/api/version ``` **Windows** 1. Pobierz najnowszy instalator z [Ollama.com](https://ollama.com/?ref=innasiec.pl) 2. Zainstaluj z uprawnieniami administratora 3. Skonfiguruj automatyczny start usługi przez Usługi Windows **MacOS** ```bash brew install ollama ``` Domyślnie Ollama nasłuchuje tylko na localhost (127.0.0.1). Aby umożliwić dostęp z innych urządzeń w sieci, należy: Utworzyć plik konfiguracyjny `/etc/ollama/config`: ```bash OLLAMA_HOST=0.0.0.0:11434 ``` Zrestartować usługę: ```bash sudo systemctl restart ollama ``` Skonfigurować zaporę sieciową: ```bash # Dla systemów z UFW sudo ufw allow from 192.168.1.0/24 to any port 11434 # Dla systemów z iptables sudo iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 11434 -j ACCEPT ``` 💡 ****Uwaga:** Ze względów bezpieczeństwa, zawsze ograniczaj dostęp do API tylko do zaufanych segmentów sieci. ## Pierwsze kroki z Ollama Po pomyślnej instalacji Ollama, nadszedł czas, aby rozpocząć pracę z modelami. Proces ten jest prosty i intuicyjny, nawet dla osób, które dopiero rozpoczynają przygodę z narzędziami AI. ### Pobieranie i uruchamianie modeli Po uruchomieniu Ollama, pierwszym krokiem jest pobranie wybranego modelu. Oto jak możesz to zrobić: ```bash # Pobranie modelu (np. llama3) ollama pull llama3 # Alternatywnie, możesz pobrać konkretną wersję modelu ollama pull llama3:8b # Model 8 miliardów parametrów ollama pull llama3:70b # Model 70 miliardów parametrów (wymaga mocniejszego sprzętu) ollama pull mistral:7b-instruct # Model Mistral w wersji instrukcyjnej ``` Po pobraniu modelu, możesz od razu rozpocząć interakcję: ```bash # Uruchomienie modelu w trybie interaktywnym ollama run llama3 ``` ### Zaawansowana interakcja z modelami ```bash # Przetworzenie pojedynczego zapytania bez uruchamiania trybu interaktywnego ollama run llama3 "Wygeneruj skrypt do konfiguracji OSPF na routerze Cisco" > ospf_config.txt # Przetwarzanie pliku z zapytaniem (np. z logami sieciowymi do analizy) cat logs.txt | ollama run llama3:8b "Przeanalizuj poniższe logi i wskaż potencjalne problemy:" > analiza_logow.txt # Uruchomienie modelu z określonymi parametrami ollama run llama3 --temperature 0.2 --top_p 0.9 ``` Parametry takie jak `temperature` (losowość odpowiedzi) czy `top_p` (różnorodność) pozwalają dostosować sposób działania modelu do konkretnych potrzeb - niższe wartości są lepsze dla zadań technicznych wymagających precyzji, wyższe dla kreatywnego generowania treści. ## Praktyczne zastosowania **1\. Automatyzacja konfiguracji urządzeń sieciowych** Przykładowy prompt do generowania skryptów konfiguracyjnych: ```bash >>> Generuj skrypt w języku Python wykorzystujący bibliotekę Netmiko do konfiguracji VLAN 100-105 na wszystkich przełącznikach Cisco w sieci, z obsługą wyjątków i logowaniem. ``` **2\. Analiza logów i identyfikacja problemów** Modele LLM mogą szybko przetwarzać i analizować logi sieciowe, identyfikując potencjalne problemy: ```bash >>> Przeanalizuj poniższy fragment logów z routera Juniper i wskaż potencjalne problemy i rozwiązania: Mar 2 08:14:22 router1 rpd[1234]: BGP_PREFIX_LIMIT_EXCEEDED: 192.168.1.1 (External AS 65001): Configured maximum prefix-limit(5000) exceeded for inet-unicast nlri: 5100 (100 %%) Mar 2 08:14:23 router1 rpd[1234]: bgp_io_mgmt_read_cb: peer 192.168.1.1 (External AS 65001): Input read error: Connection reset by peer Mar 2 08:15:01 router1 rpd[1234]: bgp_connect_start: connect 192.168.1.1 (External AS 65001): Connection refused Mar 2 08:20:15 router1 rpd[1234]: bgp_connect_success: 192.168.1.1 (External AS 65001) Mar 2 08:20:17 router1 rpd[1234]: BGP_PREFIX_LIMIT_EXCEEDED: 192.168.1.1 (External AS 65001): Configured maximum prefix-limit(5000) exceeded for inet-unicast nlri: 5100 (100 %%) ``` **3\. Generowanie dokumentacji technicznej** Użycie modelu do tworzenia dokumentacji standardów sieciowych i procedur: ```bash >>> Utwórz szablon dokumentacji dla procedury wdrażania redundantnych łączy BGP w organizacji, uwzględniając wymagania bezpieczeństwa, monitoring i procedury awaryjne. ``` ## Przydatne komendy Ollama ```bash # Podstawowe zarządzanie modelami ollama list # Lista zainstalowanych modeli z ich rozmiarami ollama rm [model] # Usunięcie modelu aby zwolnić miejsce ollama cp [src] [dst] # Klonowanie modelu (np. do eksperymentów) # Zaawansowane zarządzanie ollama pull [model]:[tag] # Pobieranie konkretnej wersji modelu ollama run [model] --verbose # Uruchomienie z dodatkowymi informacjami (przydatne przy debugowaniu) # Tworzenie własnych modeli ollama create mymodel -f ./Modelfile # Tworzenie dostosowanego modelu # Integracja z API curl -X POST http://localhost:11434/api/generate -d '{ "model": "llama3.2", "prompt": "Wygeneruj konfigurację BGP dla Juniper MX", "stream": false }' ``` ## Porównanie z chmurowym GPT i Claude | Cecha | Lokalne LLM (Ollama) | ChatGPT/Claude (chmura) | | ----------------------------------- | ------------------------------------------------------------------- | ----------------------------------------------------- | | Bezpieczeństwo danych | Pełna kontrola - konfiguracje i hasła nie opuszczają infrastruktury | Dane przesyłane do zewnętrznych serwerów | | Zgodność z politykami | Łatwiejsza zgodność z rygorystycznymi politykami bezpieczeństwa | Może wymagać specjalnych umów SLA i audytów | | Dostępność w izolowanych sieciach | Pełna dostępność bez połączenia z internetem | Wymaga stałego połączenia z chmurą | | Integracja z narzędziami sieciowymi | Możliwość głębokiej integracji poprzez lokalne API | Ograniczona do możliwości publicznego API | | Przepustowość | Niezależna od łącza internetowego | Ograniczona przez API limits i przepustowość łącza | | Opóźnienia | Niskie, niezależne od połączenia internetowego | Zmienne, zależne od obciążenia usługi i jakości łącza | | Koszt dla dużych wdrożeń | Jednorazowy koszt sprzętu i utrzymania | Rosnący koszt subskrypcji wraz ze skalą użycia | | Aktualizacje wiedzy | Rzadsze, wymagają pobrania nowych modeli | Regularne, automatyczne | 💡 ****Wskazówka:** Warto rozważyć hybrydowe podejście - ****używanie lokalnych modeli dla codziennej pracy z konfiguracjami** i danymi wrażliwymi, a ****modeli chmurowych dla bardziej złożonych analiz** i dostępu do najnowszych informacji. Choć lokalne modele LLM mają pewne ograniczenia w porównaniu do rozwiązań chmurowych (szczególnie w kontekście aktualności wiedzy), korzyści związane z bezpieczeństwem, kontrolą i dostępnością czynią je atrakcyjnym rozwiązaniem dla organizacji o wysokich standardach bezpieczeństwa. W miarę rozwoju technologii i pojawienia się nowych coraz bardziej efektywnych modeli, znaczenie lokalnych LLM w ekosystemie narzędzi inżynierów sieci będzie systematycznie rosło. **Korzystasz z lokalnych modeli LLM? Jakie zadania zostały zautomatyzowane? Pochwal się w komentarzach!** ### Bezpłatne monitorowanie bezpieczeństwa stron internetowych i adresów IP URL: https://innasiec.pl/podnies-swoje-cyberbezpieczenstwo-z-moje-cert-pl/ Last updated: 2025-03-05T20:04:50.000Z Nowa usługa [moje.cert.pl](https://moje.cert.pl/?ref=innasiec.pl), uruchomiona przez CERT Polska, oferuje narzędzia do podnoszenia cyberbezpieczeństwa zarówno dla osób prywatnych, jak i instytucji. Serwis umożliwia między innymi: - **Bezpłatne skanowanie domen**: Usługa oferuje możliwość skanowania domen w celu wykrycia podatności i błędnych konfiguracji. - **Informacje o wyciekach danych**: Użytkownicy są informowani o wyciekach haseł z ich domen. - **Monitorowanie zagrożeń**: Administratorzy mogą otrzymywać informacje o infekcjach złośliwym oprogramowaniem i innych zagrożeniach. - **Lista Ostrzeżeń**: Serwis pozwala sprawdzić ochronę sieci przed niebezpiecznymi stronami. - **Wyniki i rozwój**: Do tej pory zarejestrowano ponad 900 użytkowników, a serwis zidentyfikował tysiące podatności i wycieków haseł. ## Jak dodać swoją domenę do moje.cert.pl? Przed dodaniem pierwszej domeny musisz [założyć konto](https://moje.cert.pl/accounts/signup/?ref=innasiec.pl) w usłudze. w usłudze. Co ważne, CERT Polska wymaga aktywacji uwierzytelniania wieloskładnikowego. Na koniec jesteśmy proszeni o uzupełnienie danych organizacji (jeśli ją posiadasz). ![](https://innasiec.pl/content/images/2025/02/dane_organizacji_w_cert.webp) Jeżeli nasza organizacja jest już utworzona, klikamy na zielony przycisk ze strzałką, aby przejść do zarządzania zasobami organizacji. ![](https://innasiec.pl/content/images/2025/02/moje_organizacje.webp) Do wyboru mamy opcje dodania domeny – to teraz nas interesuje – oraz dodania podsieci, którymi zarządzamy. ![](https://innasiec.pl/content/images/2025/02/dodaj_pierwsza_domene.webp) Klikamy "Dodaj nową" i przechodzimy do panelu dodawania domen. ![](https://innasiec.pl/content/images/2025/02/nowa_domena_w_osobnej_linii.webp) Jeśli posiadasz kilka domen, możesz dodać je wszystkie naraz. Jedynym warunkiem jest dodanie każdej w osobnej linii. Kliknij "Dodaj" i przejdź do weryfikacji, aby potwierdzić, że jesteś właścicielem domeny. ![](https://innasiec.pl/content/images/2025/02/weryfikacja_domeny.jpg) Jak widać, mamy dwie opcje, aby udowodnić, że jesteśmy właścicielami domeny: poprzez dodanie rekordu TXT w konfiguracji DNS domeny lub poprzez utworzenie odpowiedniego pliku na hostingu. Pokażę Ci pierwszą opcję. Domenę innasiec.pl zarządzam, korzystając z usług Cloudflare, więc przechodzę do ich panelu i dodam nowy rekord TXT. ![](https://innasiec.pl/content/images/2025/02/dodaj_rekord_txt.webp) Po dodaniu rekordu weryfikacja domeny przez CERT przebiegła natychmiastowo. Pamiętaj jednak, że u Ciebie może to zająć trochę więcej czasu. ![](https://innasiec.pl/content/images/2025/02/pozytywna_weryfikacja_domeny.webp) CERT twierdzi, że skanowania są uruchamiane przynajmniej raz dziennie; u mnie jednak pierwszy wynik pojawił się po dwóch dniach, a e-maila z podsumowaniem nie dostałem, więc warto samemu zaglądać. ![](https://innasiec.pl/content/images/2025/03/wyniki_skanowania_moje_cert.webp) Moje.cert.pl to jedna z tych usług, o które nic nie robiłem. Dodatkowo jest dostępna w najlepszej możliwej cenie – za darmo. Dzięki takim inicjatywom podnoszenie swojego cyberbezpieczeństwa sprowadza się do kilku kliknięć, eliminując ostatnie powody, aby o nie nie zadbać. **Korzystasz z moje.cert.pl?** ### 📬 ISN 176: HashiCorp pod flagą IBM, metryki sieciowe, konwerter formatów i... Ansible czy Cisco NSO?! URL: https://innasiec.pl/isn-176-hashicorp-pod-flaga-ibm-metryki-sieciowe-konwerter-formatow-i-ansible-czy-cisco-nso/ Last updated: 2025-03-03T09:00:02.000Z ## HashiCorp dołącza do IBM [HashiCorp officially joins the IBM familyHashiCorp joins IBM to accelerate our mission of enabling multi-cloud.![](https://innasiec.pl/content/images/icon/favicon-1.svg)HashiCorpArmon Dadgar![](https://innasiec.pl/content/images/thumbnail/1713989291-ibm-hashicorp_blog.png)](https://www.hashicorp.com/en/blog/hashicorp-officially-joins-the-ibm-family?ref=innasiec.pl) HashiCorp, założony ponad dekadę temu przez Armon Dadgar i Mitchell Hashimoto, 27 lutego 2025 roku został włączony do rodziny IBM jako dział IBM Software. To przejęcie, pierwotnie ogłoszone w zeszłym roku, łączy globalną obecność IBM w przedsiębiorstwach z wiodącymi w branży narzędziami automatyzacji i bezpieczeństwa infrastruktury HashiCorp. Firma ma zachować swoją dotychczasową misję, jednocześnie korzystając ze skali i zasobów IBM, aby przyspieszyć swój rozwój i zasięg. **HashiCorp był pionierską siłą w nowoczesnej infrastrukturze chmurowej, z narzędziami takimi jak Terraform do infrastruktury jako kodu i Vault do zarządzania sekretami**, które zostały przyjęte przez setki tysięcy organizacji na całym świecie. Narzędzia te stały się krytycznymi komponentami infrastruktury dla prawie 5000 klientów komercyjnych, a ich liczba pobrań przekracza pół miliarda rocznie. **Fuzja obiecuje głębszą integrację między narzędziami HashiCorp a zestawem produktów IBM/Red Hat**. Szczególnie interesujące dla profesjonalistów sieciowych: - **Integracja Terraform + Ansible**: Ta kombinacja stworzy bardziej kompleksowy proces automatyzacji infrastruktury, umożliwiając inżynierom sieci nie tylko provisionowanie infrastruktury sieciowej za pomocą Terraform, ale także płynne zarządzanie konfiguracją przez Ansible w zjednoczonym przepływie pracy. - **Rozszerzone możliwości multi-cloud**: Dzięki globalnemu zasięgowi IBM, narzędzia HashiCorp do zarządzania multi-cloud prawdopodobnie zobaczą przyspieszenie rozwoju, ułatwiając zarządzanie zasobami sieciowymi w różnych środowiskach chmurowych przy użyciu spójnych narzędzi. Relacje biznesowe IBM oraz kanały sprzedaży prawdopodobnie przyczynią się do szerszej adopcji narzędzi HashiCorp w dużych organizacjach. Dla inżynierów sieci może to oznaczać: - Większe wsparcie organizacyjne dla wykorzystania Terraform do zarządzania infrastrukturą sieciową - Lepszą integrację narzędzi HashiCorp w przepływy pracy IT w przedsiębiorstwach - Zwiększone zasoby na szkolenia i certyfikacje w technologiach HashiCorp Integracja Vault z ofertami zabezpieczeń IBM, takimi jak Guardium, sugeruje poprawę zdolności bezpieczeństwa dla infrastruktury sieciowej: - Udoskonalone zarządzanie sekretami dla urządzeń sieciowych i konfiguracji - Lepsza integracja zasad zero-trust w architekturze sieciowej - Bardziej solidne podejścia oparte na tożsamości do bezpieczeństwa sieci --- ## Kluczowe metryki sieciowe [The Network Metrics That Really MatterEvery network leader seeks fast and reliable performance. Network metrics provide the insights necessary to achieve those goals.![](https://innasiec.pl/content/images/icon/networkcomputing-BPQlJO5u.ico)NetworkComputingJohn Edwards, Featured Contributor![](https://innasiec.pl/content/images/thumbnail/2K65ET3.jpg)](https://www.networkcomputing.com/network-management/the-network-metrics-that-really-matter?hss%5Fchannel=lcp-9267613&ref=innasiec.pl) Badania pokazują, że nawet 1% spadku dostępności sieci może kosztować przedsiębiorstwo tysiące złotych dziennie. Użytkownicy oczekują natychmiastowego dostępu do zasobów, a każde opóźnienie może prowadzić do frustracji, spadku efektywności i w konsekwencji odpływu klientów. Współczesne aplikacje biznesowe, szczególnie te działające w chmurze, wymagają stabilnego i wydajnego połączenia sieciowego. Wraz z rosnącą popularnością pracy zdalnej i hybrydowej, znaczenie niezawodnej infrastruktury sieciowej staje się jeszcze bardziej krytyczne. **Kluczowe metryki, które należy monitorować** 1\. **Dostępność (Uptime)** **Definicja**: Procent czasu, w którym sieć jest w pełni funkcjonalna i dostępna dla użytkowników. **Znaczenie**: - Branżowy standard to minimum 99,9% dostępności (tzw. "trzy dziewiątki") - Każde 0,1% poniżej tego standardu to potencjalnie godziny przestoju rocznie - Wysoka dostępność zapewnia ciągłość operacyjną i biznesową **Jak poprawić**: - Implementacja redundantnych systemów i połączeń - Regularne testowanie planów odzyskiwania po awarii - Wdrożenie monitoringu 24/7 z alertami w czasie rzeczywistym **Konsekwencje zaniedbania**: Przerwy w działaniu sieci prowadzą do natychmiastowych strat finansowych (średnio 5600 zł za minutę przestoju w średniej wielkości firmie) oraz długofalowego spadku zadowolenia i zaufania użytkowników. 2\. **Utrata pakietów (Packet Loss)** **Definicja**: Procent pakietów danych, które nie docierają do miejsca przeznaczenia. **Znaczenie**: - Akceptowalny poziom to poniżej 1% w większości przypadków - Szczególnie krytyczne dla usług czasu rzeczywistego (VoIP, wideokonferencje) - Bezpośredni wpływ na jakość doświadczenia użytkownika **Jak poprawić**: - Optymalizacja routingu sieciowego - Modernizacja przestarzałego sprzętu sieciowego - Wdrożenie QoS (Quality of Service) dla priorytetyzacji krytycznego ruchu **Konsekwencje zaniedbania**: Wysoki wskaźnik utraty pakietów powoduje przerywane połączenia głosowe, zamrożenia obrazu podczas wideokonferencji oraz spowolnienie transferu danych, co bezpośrednio przekłada się na frustację użytkowników. 3\. **Opóźnienie (Latency)** **Definicja**: Czas potrzebny na przesłanie pakietu danych z punktu A do punktu B i z powrotem (mierzony w milisekundach). **Znaczenie**: - **Dla aplikacji lokalnych:** idealne wartości poniżej 10ms - **Dla połączeń regionalnych:** akceptowalne poniżej 50ms - **Dla połączeń międzykontynentalnych:** dopuszczalne do 150ms **Jak poprawić**: - Optymalizacja topologii sieci - Implementacja usług CDN dla rozproszonych zespołów - Aktualizacja protokołów sieciowych (np. HTTP/3, QUIC) **Konsekwencje zaniedbania**: Wysokie opóźnienia mogą zrujnować doświadczenie użytkownika, szczególnie w aplikacjach wymagających interakcji w czasie rzeczywistym. Każde 100ms dodatkowego opóźnienia może zmniejszyć konwersję w e-commerce o 7%. 4\. **Średni czas detekcji (MTTD)** **Definicja**: Przeciętny czas potrzebny na wykrycie problemu sieciowego od momentu jego wystąpienia. **Znaczenie**: - Branżowe benchmarki: poniżej 15 minut dla krytycznych systemów - Bezpośrednio wpływa na czas rozwiązania problemu - Kluczowy wskaźnik efektywności zespołu IT **Jak poprawić**: - Wdrożenie zaawansowanych systemów monitoringu z AI - Automatyzacja alertów i klasyfikacji incydentów - Szkolenia zespołu w zakresie rozpoznawania wzorców problemów **Konsekwencje zaniedbania**: Dłuższy czas detekcji przekłada się na wydłużony czas rozwiązania problemu (MTTR), co zwiększa negatywny wpływ incydentu na organizację. Nierozpoznane na czas problemy często eskalują do poważniejszych awarii. 5\. **Przepustowość (Bandwidth)** **Definicja**: Maksymalna ilość danych, które mogą być przesyłane przez sieć w jednostce czasu. **Znaczenie**: - Kluczowa dla obsługi szczytowego ruchu sieciowego - Wymaga regularnej weryfikacji względem rosnących potrzeb - Bezpośrednio wpływa na szybkość transferu danych **Jak poprawić**: - Regularne audyty wykorzystania przepustowości - Implementacja technik kompresji danych - Strategiczne planowanie aktualizacji infrastruktury **Konsekwencje zaniedbania**: Niewystarczająca przepustowość prowadzi do "wąskich gardeł" w sieci, powodując spowolnienia w godzinach szczytu i uniemożliwiając efektywne korzystanie z zasobsów sieciowych. 6\. **Jitter (Wahania opóźnień)** **Definicja**: Zmienność w opóźnieniach dostarczania pakietów danych. **Znaczenie**: - Krytyczne dla aplikacji wrażliwych na czas (VoIP, strumieniowanie mediów) - Wartości poniżej 30ms są zazwyczaj akceptowalne - Stabilność jest często ważniejsza niż absolutna szybkość **Jak poprawić**: - Implementacja buforów jitter w urządzeniach końcowych - Priorytetyzacja ruchu czasowo wrażliwego - Identyfikacja i eliminacja źródeł niestabilności w sieci **Konsekwencje zaniedbania**: Wysoki jitter powoduje nierównomierną jakość usług głosowych i wideo, objawiającą się przerwami w dźwięku, artefaktami obrazu i ogólną degradacją jakości komunikacji. Zrozumienie i właściwe wykorzystanie kluczowych metryk stanowi fundament strategii poprawy wydajności sieci. Rekomendowane kroki: 1. **Audyt obecnego stanu** metryk sieciowych i systemów monitorujących 2. **Wdrożenie zintegrowanej platformy** do monitoringu wszystkich kluczowych wskaźników 3. **Ustanowienie SLA** (umów o poziomie usług) dla każdej krytycznej metryki 4. **Regularne przeglądy** i aktualizacje progów alertów i planów reakcji 5. **Inwestycja w szkolenia** zespołu IT w zakresie analizy i interpretacji metryk ## Konwerter formatów danych [Konwerter formatów danychSkorzystaj z narzędzia do konwersji formatów danych, takich jak JSON, YAML i INI. Ułatw sobie automatyzację sieci.![](https://innasiec.pl/content/images/icon/recreate-02-8.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/thumbnail/INNA-1.webp)](https://innasiec.pl/konwerter-formatow-danych/) Świeżutko na stronie wylądowało narzędzie, które pozwoli Ci w prosty sposób skonwertować z i do formatu JSON, YAML oraz INI. Jest szczególnie przydatne, gdy pracujesz z różnymi typami danych podczas automatyzacji sieci. --- ## Łatwy sposób na zapamiętanie adresów IPv6 [GitHub - badele/ipv6-hexaspeak: generates IPv6 subnets with hexspeak patterns for easier memorization.generates IPv6 subnets with hexspeak patterns for easier memorization. - badele/ipv6-hexaspeak![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-11.svg)GitHubbadele![](https://innasiec.pl/content/images/thumbnail/ipv6-hexaspeak)](https://github.com/badele/ipv6-hexaspeak?ref=innasiec.pl) Skrypt generuje podsieci IPv6 z wzorcami hexspeak, co ułatwia ich zapamiętywanie. Możesz wykorzystać ten narzędzie do znalezienia słów, które można wstawić do adresu IPv6\. Przykłady obejmują słowa takie jak "dead" (DEAD), "cables" (CAB1E5) czy "office" (0FF1CE), które odpowiadają konkretnym adresom IPv6. --- ## Automatyzacja - Ansible czy Cisco NSO _This post is for paying subscribers only._ ### 📬 ISN 175: Anatomia TCP MSS, telemetria wszystko widzi, AI przejmuje sieci i... iPerf3 na randce z Kubernetesem?! URL: https://innasiec.pl/isn-175-anatomia-tcp-mss-telemetria-wszystko-widzi-ai-przejmuje-sieci-i-iperf3-na-randce-z-kubernetesem/ Last updated: 2025-02-24T09:00:05.000Z ## Siedem rzeczy, które warto wiedzieć o TCP MSS [Daniel Dib on LinkedIn: 𝐒𝐞𝐯𝐞𝐧 𝐦𝐮𝐬𝐭 𝐤𝐧𝐨𝐰 𝐭𝐡𝐢𝐧𝐠𝐬 𝐚𝐛𝐨𝐮𝐭 𝐓𝐂𝐏 𝐌𝐚𝐱𝐢𝐦𝐮𝐦… | 42 comments𝐒𝐞𝐯𝐞𝐧 𝐦𝐮𝐬𝐭 𝐤𝐧𝐨𝐰 𝐭𝐡𝐢𝐧𝐠𝐬 𝐚𝐛𝐨𝐮𝐭 𝐓𝐂𝐏 𝐌𝐚𝐱𝐢𝐦𝐮𝐦 𝐒𝐞𝐠𝐦𝐞𝐧𝐭 𝐒𝐢𝐳𝐞 (𝐌𝐒𝐒) Confused by TCP MSS? This post is for you. Learn… | 42 comments on LinkedIn![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-8)LinkedInDaniel Dib![](https://innasiec.pl/content/images/thumbnail/1740035518700)](https://www.linkedin.com/posts/danieldib%5F%F0%9D%90%92%F0%9D%90%9E%F0%9D%90%AF%F0%9D%90%9E%F0%9D%90%A7-%F0%9D%90%A6%F0%9D%90%AE%F0%9D%90%AC%F0%9D%90%AD-%F0%9D%90%A4%F0%9D%90%A7%F0%9D%90%A8%F0%9D%90%B0-%F0%9D%90%AD%F0%9D%90%A1%F0%9D%90%A2%F0%9D%90%A7%F0%9D%90%A0%F0%9D%90%AC-activity-7298237941158400000-SgvM/?rcm=ACoAAAsbZU8Bkl0vKa1oyrvwC9wAdrU5Dh3SG7g&ref=innasiec.pl) Początki w sieci TCP/IP bywają mylące, szczególnie gdy zaczynamy zgłębiać nieco bardziej zaawansowane koncepcje, jak chociażby TCP MSS. Ten wpis powinien rozwiać Twoje wątpliwości i przybliżyć działanie tego ważnego mechanizmu. 1. **Nie negocjujemy wartości MSS** Wartość MSS nie jest w żaden sposób negocjowana między hostami - jest po prostu deklarowana przez nadawcę. Serwer lub klient określa, jaki maksymalny rozmiar segmentu TCP jest w stanie przyjąć i komunikuje tę wartość swojemu rozmówcy w pakietach SYN. 2. **Parametr MSS wyznaczany jest na podstawie MTU** Do określenia optymalnej wartości MSS, host musi wziąć pod uwagę maksymalną długość pakietu na warstwie IP (MTU). Załóżmy standardową wartość MTU 1500 bajtów dla Ethernetu. Po odjęciu 20 bajtów na nagłówek IP i 20 bajtów na nagłówek TCP (bez opcji), dla samych danych pozostaje 1460 bajtów. Wartość MSS z reguły jest więc ustawiana na 1460. 3. **MSS określa maksymalny rozmiar segmentu, jaki możemy odebrać** Wybrana wartość MSS informuje drugą stronę, jaki jest maksymalny rozmiar segmentu TCP, który możemy obsłużyć bez fragmentacji. Nadajnik może jednak wysyłać segmenty mniejsze niż ustalona wartość MSS. 4. **Kierunek transmisji ma znaczenie** MSS nie jest parametrem dwukierunkowym - może on przyjmować różne wartości dla dwóch kierunków tej samej sesji TCP. Tak dzieje się na przykład, gdy jeden z hostów znajduje się za urządzeniem zmieniającym wartość MSS (MSS clamping). 5. **Wartość MSS może zostać zmieniona przez urządzenie pośredniczące** Urządzenia sieciowe takie jak routery z włączoną obsługą TCP, zapory czy translatory adresów sieciowych mogą modyfikować parametr MSS podczas transmisji. Zazwyczaj dzieje się to, aby zapobiec fragmentacji pakietów przez warstwę IP (np. na połączeniach tunelowych). 6. **Unikaj zbyt małych wartości MSS** Choć TCP może działać nawet z bardzo małymi wartościami MSS, nie jest to najlepsza praktyka. Zbyt częste segmentowanie danych wpływa niekorzystnie na wydajność i zwiększa obciążenie CPU na obu końcach połączenia. 7. **Dopasuj wartość MSS do warunków transmisji** Dla połączeń tunelowych, WAN czy łączy o niskiej przepustowości, zmniejszenie wartości MSS może być korzystne. Dzięki temu unikamy fragmentacji na warstwie IP i niepotrzebnych opóźnień. Dla szybkich sieci lokalnych lub geograficznych, wyższa wartość MSS może poprawić przepustowość. TCP MSS to jeden z tych mechanizmów, które mogą początkowo wydawać się niejasne, ale po głębszym przestudiowaniu okazują się fundamentalne dla efektywnej transmisji danych w sieciach IP. Prawidłowe ustawienie tego parametru pozwala maksymalnie wykorzystać dostępną przepustowość i ograniczyć przetwarzanie generowane przez fragmentację pakietów. Poznawszy zasady działania MSS, staje się on cennym narzędziem dla każdego inżyniera sieciowego dążącego do optymalnej wydajności łączy. --- ## Telemetria ruchu sieciowego [Network Traffic Telemetry on modern routers: part 1Hello! I’m Pavel and I’m CTO and co-founder of FastNetMon LTD, London, 🇬🇧. We’re cyber security software vendor and we develop DDoS 🎯 detection and mitigation platform for Telecoms. Please note that this article will be focused only on traffic telemetry protocols which are able to export information about![](https://innasiec.pl/content/images/icon/favicon-25.ico)Pavel's blog about underlying Internet technologiesPavel Odintsov![](https://innasiec.pl/content/images/thumbnail/IMG_3407.jpg)](https://pavel.network/network-traffic-telemetry-on-modern-routers-part-1/?ref=innasiec.pl) Wraz z nieustannym rozwojem technologii i rosnącymi wymaganiami użytkowników sieci, konieczne staje się ciągłe monitorowanie i analiza ruchu sieciowego. Nowoczesne routery oferują szereg protokołów telemetrii, które umożliwiają dokładne śledzenie przepływu danych oraz identyfikację potencjalnych problemów. W tym artykule przyjrzymy się kilku popularnym protokołom telemetrii i ich praktycznym zastosowaniom. **NetFlow: Weteran wśród protokołów telemetrii** NetFlow v5, choć archaiczny, nadal jest spotykany w starszych urządzeniach sieciowych. Jego prosty format pozwala na szybką implementację, ale ogranicza go do podstawowych informacji o przepływach. Z kolei NetFlow v9 stanowi znaczącą poprawę, oferując możliwość eksportowania szerszego zakresu danych oraz lepsze wsparcie dla IPv6 i BGP. Protokół ten opiera się na koncepcji "przepływów", zdefiniowanych przez 5-cio elementową sygnaturę (źródłowy/docelowy adres IP, porty oraz protokół). Dzięki temu routery mogą agregować informacje o ruchu w celu zmniejszenia obciążenia sieci. Jednak ta funkcja może również stanowić wektora ataku DoS przez wyczerpanie zasobów pamięci routera. Zalety: - Obsługa przez niemal wszystkie urządzenia sieciowe - Możliwość eksportowania dowolnych pól danych (w zależności od implementacji producenta) - Dobre wsparcie dla próbkowania ruchu w celu redukcji obciążenia Wady: - Skomplikowane kodowanie informacji o próbkowaniu - Możliwe opóźnienia w eksportowaniu danych o przepływach (do 30 sekund) - Skomplikowana obsługa szablonów danych przez kolektor NetFlow **IPFIX: Standaryzacja telemetrii** IPFIX to następca NetFlow v9, wprowadzający standaryzację i lepszą dokumentację. Będąc de facto ustandaryzowaną wersją NetFlow v9, rozwiązuje niektóre jego problemy, ale dzieli także jego wady - skomplikowane kodowanie informacji o próbkowaniu i zależność od pól danych wybranych przez producenta. Wyróżniki IPFIX: - Dobrze udokumentowany standard RFC - Nieograniczona elastyczność - Lepsze wsparcie dla IPv6 **sFlow: Alternatywa dla małych sieci** sFlow (sampled flow) to alternatywny protokół telemetrii, często spotykany w mniejszych sieciach. Zamiast agregować dane o przepływach, eksportuje losowe próbki pakietów, co zmniejsza obciążenie routera. Jednak w przypadku dużych sieci taka aproksymacja może być niewystarczająca. Wybór odpowiedniego protokołu telemetrii ruchu sieciowego zależy od specyficznych wymagań sieci i urządzeń. NetFlow i IPFIX oferują kompleksowe informacje o przepływach, ale wymagają odpowiedniego dostrojenia w celu uniknięcia przeciążenia zasobów. sFlow może być dobrym rozwiązaniem dla mniejszych sieci, gdzie mniejszy próbkowanie ruchu nie stanowi problemu. Niezależnie od wybranego protokołu, kluczowe jest zrozumienie jego zalet i wad oraz dostosowanie konfiguracji do potrzeb organizacji. Tylko wówczas telemetria ruchu sieciowego stanie się skutecznym narzędziem do optymalizacji wydajności i bezpieczeństwa sieci. --- ## Automatyzacja Operacji Sieciowych dzięki LLM Prezentacja omawia zastosowanie dużych modeli językowych w operacjach sieciowych. Skupia się na roli LLMs jako narzędzi wspierających inżynierów sieci w analizie danych oraz ich praktycznych zastosowaniach. Dzięki nim możliwe jest szybkie przetwarzanie różnorodnych danych i ułatwienie pracy mniej doświadczonym inżynierom. Prelegent podkreśla znaczenie zrozumienia technologii i jej ograniczeń, aby lepiej wykorzystać jej potencjał w codziennej pracy sieciowej. --- ## Wdrażanie iPerf3 w Kubernetes [nanog93-krm-tutorial/part1 at main · cloud-native-everything/nanog93-krm-tutorialTutorial prepare for NANOG93 for Network Automation Using Kubernetes Resource Model - cloud-native-everything/nanog93-krm-tutorial![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-10.svg)GitHubcloud-native-everything![](https://innasiec.pl/content/images/thumbnail/nanog93-krm-tutorial)](https://github.com/cloud-native-everything/nanog93-krm-tutorial/tree/main/part1?ref=innasiec.pl) Przewodnik krok po kroku po wdrożeniu generatora ruchu (iperf3) w Kubernetes. Zaczynamy od ręcznych manifestów, przechodzimy do Helm Charts, a kończymy na zarządzaniu deklaratywnym za pomocą CRD i niestandardowego kontrolera. --- ## Wprowadzenie do inwentarza Ansible _This post is for paying subscribers only._ ### 📬 ISN 174: Niewidzialny Bohater Internetu URL: https://innasiec.pl/isn-174-niewidzialny-bohater-internetu/ Last updated: 2025-02-17T09:00:38.000Z ## Dlaczego unikać tagowania VLAN 1 [Tagged VLAN 1 In a Trunk Is a Really Bad Idea « ipSpace.net blogIt all started with a netlab issue describing different interpretations of VLAN 1 in a trunk. While Cumulus NVUE (the way the netlab configuration template configures it) assumes that the VLAN 1 in a trunk is tagged, Arista EOS assumes it’s the native VLAN. At that point, I should have said, “that’s crazy, we shouldn’t allow that” and enforce the “VLAN 1 has to be used as a native VLAN” rule. Alas, 20/20 hindsight never helped anyone. TL&DR: Do not use VLAN 1 in VLAN trunks; if you have to, use it as a native VLAN.![](https://innasiec.pl/content/images/icon/favicon-23.ico)ipSpace Logo![](https://innasiec.pl/content/images/thumbnail/og-image-1.png)](https://blog.ipspace.net/2025/02/tagged-vlan-1/?ref=innasiec.pl) W inżynierii sieciowej pewne praktyki nie są jedynie technikaliami, ale kluczowymi najlepszymi praktykami. **Jedną z takich praktyk jest unikanie używania VLAN 1 jako otagowanego VLAN na łączach trunkowych**. To podejście może wydawać się proste, ale ma istotne implikacje dla stabilności i zarządzania siecią. Koncepcja Wirtualnych Sieci Lokalnych (VLAN) pojawiła się w latach 90\. XX wieku, aby poprawić segmentację sieci. **Początkowo VLAN 1 został wyznaczony jako domyślny VLAN bez tagów, ponieważ VLAN 0 był zarezerwowany do innych celów.** To ustawienie działało bezproblemowo, dopóki urządzenia nie zaczęły korzystać z DHCP, wysyłając ramki bez tagów, które domyślnie przypisywano do VLAN 1\. Dostrzegając to ograniczenie, dostawcy wprowadzili możliwość ustawienia innego natywnego VLAN, co pozwoliło sieciom działać wydajniej bez niezamierzonego routingu ruchu. Tagowanie VLAN 1 na łączach trunkowych może prowadzić do nieoczekiwanych zachowań w różnych urządzeniach sieciowych: - **Aruba:** Wymaga specjalnych poleceń do tagowania VLAN 1, co nie jest intuicyjne dla inżynierów przyzwyczajonych do standardowych konfiguracji. - Cisco: Polecenie `encapsulation dot1q 1`na subinterfejsie zawsze dodaje słówko kluczowe native. - **VyOS/Ubiquiti:** Automatycznie wyklucza VLAN 1 z tagowania, chyba że jest to wyraźnie skonfigurowane, co komplikuje ustawienia i zwiększa ryzyko błędów. - **Juniper:** Przypisuje unikalny identyfikator (ID 0) do VLAN 1, co może powodować potencjalne konflikty w tablicach routingu. Te zachowania pokazują, jak używanie VLAN 1 jako otagowanego VLAN może wprowadzać niepotrzebną złożoność i potencjalne błędy w konfiguracji. --- ## Analiza incydentu z usługą Cloudflare R2 [Cloudflare incident on February 6, 2025On Thursday, February 6, 2025, we experienced an outage with our object storage service (R2) and products that rely on it. Here’s what happened and what we’re doing to fix this going forward.![](https://innasiec.pl/content/images/icon/favicon-32x32-6.png)The Cloudflare BlogMatt Silverlock![](https://innasiec.pl/content/images/thumbnail/BLOG-2685_OG.png)](https://blog.cloudflare.com/cloudflare-incident-on-february-6-2025/?ref=innasiec.pl) 6 lutego 2025 roku Cloudflare doświadczył poważnego incydentu, który na prawie godzinę całkowicie unieruchomił usługę przechowywania obiektów R2\. Awaria nie tylko wpłynęła na podstawową funkcjonalność R2, ale także zakłóciła działanie powiązanych usług, takich jak Stream, Images, Cache Reserve i Vectorize. Co szczególnie istotne, przyczyną nie był skomplikowany błąd techniczny, a ludzka pomyłka podczas rutynowej procedury reagowania na zgłoszenie phishingu. **Incydent rozpoczął się o 8:12 UTC, gdy operator, reagując na zgłoszenie dotyczące nadużycia, przypadkowo wyłączył całą usługę Gateway R2 zamiast zablokować pojedynczy zasób związany z phishingiem.** Skutki były natychmiastowe - już po dwóch minutach systemy monitorujące Cloudflare zarejestrowały krytyczną degradację usługi. Kolejne wydarzenia potoczyły się błyskawicznie: - 8:17 - uruchomienie alertów krytycznych sygnalizujących brak odpowiedzi R2 - 8:42 - identyfikacja przyczyny (dezaktywacja Gateway R2) - 9:09 - wdrożenie rozwiązania przez zespół operacyjny z odpowiednimi uprawnieniami - 9:13 - powrót dostępności R2 do normalnego poziomu **Architektura R2 i wpływ awarii na inne usługi** R2 opiera się na trzech kluczowych komponentach: - **Gateway** \- warstwa frontowa odpowiedzialna za autoryzację i obsługę żądań - Warstwa metadanych bazująca na **Durable Objects** - **Rozproszone magazyny danych** przechowujące właściwe obiekty **Wyłączenie Gateway spowodowało kaskadę problemów** w powiązanych usługach: - Stream i Images odnotowały 100% awaryjność - Vectorize doświadczył 75% błędów w zapytaniach i całkowitej niemożności zapisu - Cache Reserve zanotował problemy z mniej niż 0,049% zapytań - Log Delivery utracił do 13,6% logów kierowanych do R2 Co istotne, dzięki architekturze opartej na niezmienialnych kluczach i oddzielnej warstwie metadanych, żadne dane użytkowników nie zostały utracone ani uszkodzone. Cloudflare potraktował incydent jako poważne ostrzeżenie i natychmiast wdrożył szereg usprawnień: 1. Wprowadzenie autoryzacji dwuosobowej dla krytycznych operacji systemowych 2. Zaostrzenie kontroli dostępu do narzędzi administracyjnych 3. Implementacja zabezpieczeń przed przypadkowym blokowaniem kont wewnętrznych 4. Reorganizacja struktury uprawnień w celu lepszej izolacji usług produkcyjnych Lutowa awaria R2 stanowi cenny przykład tego, jak pozornie proste działanie administracyjne może wywołać poważne konsekwencje w środowisku produkcyjnym. Transparentność Cloudflare w opisie incydentu oraz szybkie wdrożenie kompleksowych zabezpieczeń pokazują dojrzałe podejście do zarządzania kryzysowego w infrastrukturze chmurowej. Przypadek ten przypomina, że nawet w najbardziej zaawansowanych systemach czynnik ludzki pozostaje krytycznym elementem, któremu należy poświęcić szczególną uwagę przy projektowaniu procesów operacyjnych. --- ## Zarządzaj swoim labem w VSCode [Containerlab - Visual Studio MarketplaceExtension for Visual Studio Code - Manages containerlab topologies in VS Code![](https://innasiec.pl/content/images/icon/favicon-21.ico)Visual Studio Marketplace![](https://innasiec.pl/content/images/thumbnail/Microsoft.VisualStudio.Services.Icons.Default)](https://marketplace.visualstudio.com/items?itemName=srl-labs.vscode-containerlab&ref=innasiec.pl) Containerlab to narzędzie, które umożliwia wdrożenie filozofii IaaC w budowaniu laboratorium. Dotychczas narzędzie było dostępne jedynie z poziomu CLI, a teraz doczekało się namiastki GUI, które pozwala na wykonanie najważniejszych operacji. --- ## Łatwy sposób na synchronizację danych [Overview — diffsync 2.0.1 documentation![](https://innasiec.pl/content/images/icon/favicon-22.ico)![](https://innasiec.pl/content/images/thumbnail/diffsync_components.png)](https://diffsync.readthedocs.io/en/latest/overview/index.html?ref=innasiec.pl) DiffSync to biblioteka narzędziowa do porównywania i synchronizacji różnych zestawów danych. Przydatna, gdy masz wiele źródeł danych do porównania lub synchronizacji, zwłaszcza gdy dane zmieniają się w czasie, mają relacje hierarchiczne lub części wspólne i unikalne atrybuty. Umożliwia definiowanie modeli danych i adapterów do tłumaczenia między źródłami, by wygenerować różnice i synchronizować dane. --- ## Niewidzialny Bohater Internetu _This post is for paying subscribers only._ ### 📬 ISN 173: Kulisy Rekordowego Ataku DDoS: Co Stało się w 2024? URL: https://innasiec.pl/isn-173-kulisy-rekordowego-ataku-ddos-co-stalo-sie-w-2024/ Last updated: 2025-02-10T09:00:45.000Z ## Największy atak DDoS w 2024 [Record-breaking 5.6 Tbps DDoS attack and global DDoS trends for 2024 Q42024 ended with a bang. Cloudflare mitigated another record-breaking DDoS attack peaking at 5.6 Tbps. Overall, Cloudflare mitigated 21.3 million DDoS attacks in 2024, representing a 53% increase compared to 2023.![](https://innasiec.pl/content/images/icon/favicon-32x32-5.png)The Cloudflare BlogOmer Yoachimik![](https://innasiec.pl/content/images/thumbnail/Record-breaking_5.6_Tbps_DDoS_attack_and_global_DDoS_trends_for_2024_Q4-OG.png)](https://blog.cloudflare.com/ddos-threat-report-for-2024-q4/?ref=innasiec.pl) Najnowszy raport Cloudflare DDoS Threat Report, oparty na danych z globalnej sieci Cloudflare, ujawnia rekordowy atak DDoS o bezprecedensowej prędkości 5,6 Tbps, będący największym odnotowanym atakiem w historii. Ten potężny zmasowany napad miał miejsce w szczególnym czasie - tuż przed Świętem Halloween. **W czwartym kwartale 2024 r. odnotowano wzrost o 1885% kwartalnie w liczbie ataków przekraczających 1 Tbps,** a ataki przekraczające 100 milionów pakietów na sekundę (pps) wzrosły o 175%. Co więcej, 16% ataków, które przekroczyły 100 milionów pps, również przekroczyło 1 miliard pps. Te liczby ukazują wyraźną zmianę w kierunku ataków o niespotykanej dotąd skali. Chociaż ataki rozproszone SYN, DNS i UDP nadal stanowiły większość, w raporcie zidentyfikowano również szybki wzrost wykorzystania nowych wektorów ataków, takich jak Memcached i BitTorrent. **Ataki DDoS wykorzystujące Memcached wzrosły w tym kwartale o 314%, a ataki BitTorrent - o 304%**, pokazując, że cyberprzestępcy nie boją się wykorzystywać nawet powszechnie używanych narzędzi do realizacji swoich działań przestępczych. Raport ujawnia, że aż 11% ataków HTTP DDoS próbowało imitować prawdziwą przeglądarkę, ale zostały szybko wykryte i zablokowane. Ponadto niemal połowa wszystkich zgłoszeń użytkowników była generowana przez znane botnety, których wzorce zostały już zidentyfikowane. Według raportu okazało się, że **botnety odpowiedzialne za większość ataków składały się z ponad 13 000 skompromitowanych urządzeń IoT**, w tym inteligentnych telewizorów i dekoderów. To pokazuje, że niewystarczające zabezpieczanie nawet niepozornych urządzeń może sprawić, że staną się one częścią ogromnej siły uderzeniowej wykorzystywanej do paraliżowania krytycznych usług internetowych. Botnety Mirai, legendarny zdalny botnet złożony z milionów skompromitowanych urządzeń IoT, wciąż stanowią istotne zagrożenie. **W samym czwartym kwartale wariant botnet Mirai był odpowiedzialny za rekordowy atak 5,6 Tbps**, a ogólna liczba ataków z użyciem botnetów Mirai wzrosła o 131% w porównaniu z poprzednim kwartałem. W obliczu wzrostu liczby potężnych ataków DDoS kluczowe znaczenie ma **wdrożenie zintegrowanej strategii bezpieczeństwa:** 1. **Monitorowanie i śledzenie nowych luk i wektorów ataków:** hakerzy stale poszukują nowych sposobów na przezwyciężenie istniejących środków bezpieczeństwa. Należy śledzić pojawiające się zagrożenia i dostosowywać środki ochronne. 2. **Zapewnienie pełnego zabezpieczenia urządzeń końcowych:** każde połączone urządzenie może stać się bramą do potężnego ataku. Należy wdrożyć strategie bezpieczeństwa zapewniające ochronę urządzeń IoT, routerów, kamer itp. 3. **Automatyczna, nieograniczona ochrona DDoS:** Skalowalne, autonomiczne systemy obronne DDoS są niezbędne do powstrzymania ataków hiperobiektowych bez przerywania usług sieciowych. Tradycyjne środki obronne nie są już wystarczające. 4. **Dostęp do wiarygodnej analizy oraz informacji o trendach i zagrożeniach:** Zagrożenie DDoS stale ewoluuje, dlatego kluczowe znaczenie ma dostęp do aktualnej, wiarygodnej analizy danych umożliwiającej opracowywanie bardziej efektywnych strategii ochronnych. --- ## Nowy gracz wsród SoT [Pete Crocker on LinkedIn: GitHub - opsmill/schema-library: Welcome to the Schema Library for…Want to automate more than just routers and switches? How are infrastructure automation teams using Infrahub (https://lnkd.in/eyKnx59P) to automate ALL THE…![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-7)LinkedInPete Crocker![](https://innasiec.pl/content/images/thumbnail/1736881015072)](https://www.linkedin.com/posts/petercrocker%5Fgithub-opsmillschema-library-welcome-activity-7259617910598385664-RtuC/?ref=innasiec.pl) Infrahub opiera się na modelach danych, które stanowią spójne i ustandaryzowane reprezentacje różnych elementów infrastruktury. Dzięki temu, administratorzy sieci mogą definiować, konfigurować i zarządzać całą infrastrukturą sieciową za pośrednictwem jednego, ujednoliconego interfejsu. Platforma oferuje bogate repozytoria modeli danych obejmujących szeroki zakres urządzeń i usług sieciowych, od routerów i przełączników, po zapory ogniowe, QoS i środowiska Data Center. **Główne filary** - **Elastyczna struktura**: Modele infrastruktury i relacje między obiektami są łatwo rozszerzalne i dostosowywalne do specyficznych potrzeb użytkownika. Struktura jest definiowana w przestrzeni użytkownika, co pozwala na elastyczność bez zmian w aplikacji. - **Kontrola wersji**: Zintegrowana z bazą danych grafu, umożliwia rozgałęzienia, diffy i scalenia danych bezpośrednio w bazie. Działa podobnie do Git, rozszerzając kontrolę wersji na dane i pliki. - **Zunifikowane przechowywanie**: Łączy bazę danych grafu i Git, przechowując wszystkie dane i kod niezbędne do zarządzania infrastrukturą, w tym szablony, skrypty i playbooki. **Przypadki użycia** - **Infrastruktura sieciowa**: Pomaga inżynierom śledzić planowane zmiany, renderować konfiguracje w formatach takich jak OpenConfig, YANG oraz integrować się z narzędziami automatyzacji jak Ansible. - **Bezpieczeństwo infrastruktury**: Pozwala na modelowanie polityk bezpieczeństwa sieciowego, automatyczne generowanie reguł firewalli i utrzymanie zgodności. - **Infrastruktura chmurowa**: Wspiera wdrożenia multi-chmurowe, umożliwiając automatyzację wdrożeń za pomocą Terraform, Pulumi i Crossplane. --- ## Czym jest DevOps? [What is DevOps?Rather than technology alone, it’s the practices, processes, and culture changes DevOps introduces that can most positively impact your software delivery.![](https://innasiec.pl/content/images/icon/apple-touch-icon-6.png)Octopus DeployAndy Corrigan![](https://innasiec.pl/content/images/thumbnail/blueprint.png)](https://octopus.com/devops/?ref=innasiec.pl) "DevOps Engineer’s Handbook" to przewodnik po praktykach DevOps, który koncentruje się na poprawie dostarczania oprogramowania poprzez zmiany w kulturze, procesach i narzędziach. Kluczowe aspekty to automatyzacja (CI/CD), skrócenie cykli rozwoju, współpraca zespołów oraz stworzenie generatywnej kultury pracy. --- ## Rozwiązania AI na infrastrukturze Cisco [Cisco U.![](https://innasiec.pl/content/images/icon/favicon-20.ico)](https://u.cisco.com/paths/288?ref=innasiec.pl) Ścieżka edukacyjna "**AI Solutions on Cisco Infrastructure Essentials**" (DCAIE) oferuje naukę kluczowych aspektów wdrażania, migracji i obsługi rozwiązań AI na infrastrukturze centrum danych Cisco. Dostęp do treści wymaga darmowego konta na Cisco U., a kurs jest darmowy do 24 marca 2025 roku i **oferuje 34 punkty CE**. --- # Historia MPLS _This post is for paying subscribers only._ ### 📬 ISN 172: Backdoor w Junos, 100dni z Nautobot, Containerlab na MacOS, Aktualizacja Fortigate URL: https://innasiec.pl/isn-172-backdoor-w-junos-100dni-z-nautobot-containerlab-na-macos-aktualizacja-fortigate/ Last updated: 2025-02-03T09:00:47.000Z ## Drogowskaz nowoczesnego sieciowca [Modern NetOps Needs More from Network EngineersIntroduction Network Engineering and what it takes to thrive in this new reality is undergoing a massive shift. We need to understand how we got here, and how we can adapt and thrive in this new environment.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-6)TNOps![](https://innasiec.pl/content/images/thumbnail/1737510821012)](https://www.linkedin.com/pulse/modern-netops-needs-more-from-network-engineers-tnops-9odhe/?ref=innasiec.pl) Nowe standardy wymagają od inżynierów sieci nowej generacji zupełnie innych umiejętności niż te, które były wystarczające w przeszłości. Oto drogowskaz, który pomoże Ci dostosować się do tego przełomu i stać się cennym specjalistą w swojej branży. **Stopień 1: Podstawy dla inżyniera sieci nowej generacji** Zacznij od opanowania następujących umiejętności bazowych: - Linux - główny system operacyjny na serwerach - Korzystanie z Git-a - Skryptowanie w Pythonie - Korzystanie z CML lub EVE-NG - Podstawy sieci komputerowych z certyfikatem CCNA lub równoważnym **Stopień 2: Zaawansowane umiejętności i narzędzia** Kiedy opanujesz już podstawy, nadszedł czas na zgłębianie bardziej zaawansowanych koncepcji i narzędzi, takich jak: - Zasady DevOps - Koncepcje automatyzacji - Infrastruktura jako kod (IaC) - Interfejsy API - Ansible - CI/CD - Orkiestracja i przepływ pracy **Stopień 3: Najbardziej zaawansowane zagadnienia** Aby w pełni zabezpieczyć swoją pozycję jako inżynier sieci, powinieneś zdobyć wiedzę na temat takich zagadnień, jak: - Obserwowalność i telemetria - Bliźniaki cyfrowe - Bezpieczeństwo i nakładające się obszary SecOps - Ciągła ewaluacja nowych narzędzi i rozwiązań **Bonus: Dodatkowe przydatne umiejętności** Chociaż nie są one bezpośrednio wymagane, warto rozważyć zdobycie wiedzy w następujących obszarach: - Kontenery, Docker i maszyny wirtualne - Kubernetes - WebAssembly Pamiętaj, że celem nie jest opanowanie wszystkich powyższych tematów od razu. Głównym priorytetem jest nastawienie na ciągłe doskonalenie i bycie gotowym na nadchodzące zmiany. --- ## Backdoor na routerach [Mysterious backdoor found on select Juniper routersWho could be so interested in chips, manufacturing, and more, in the US, UK, Europe, Russia…![](https://innasiec.pl/content/images/icon/favicon.svg)The RegisterJessica Lyons![](https://innasiec.pl/content/images/thumbnail/shutterstock_juniper_backdoor.jpg)](https://www.theregister.com/2025/01/25/mysterious%5Fbackdoor%5Fjuniper%5Frouters/?ref=innasiec.pl) Począwszy od połowy 2023 roku hakerzy zaczęli wprowadzać szkodliwy kod na wybrane routery Juniper. Zaatakowane urządzenia zostały zainfekowane wariantem oprogramowania `cd00r`, publicznie dostępnego "niewidzialnego backdoor-a", zaprojektowanego do niezauważalnego włączania się po otrzymaniu specjalnych pakietów sieciowych. `J-magic`, bo tak został nazwany ten backdoor, został zaprojektowany do nasłuchiwania na jeden z pięciu możliwych pakietów sieciowych. Po otrzymaniu takiego "magicznego" pakietu, kod tworzy połączenie zwrotne z atakującym i rozpoczyna procedurę uwierzytelniania. Jeśli próba zakończy się powodzeniem, hakerzy zyskują zdalny dostęp do zainfekowanego urządzenia. Zdaniem ekspertów z Black Lotus Labs **oprogramowaniem zostały zaatakowane routery Juniper pracujące jako bramy VPN**, które są kluczowymi elementami infrastruktury sieciowej swoich organizacji. Pozwala to na szereg niebezpiecznych działań, takich jak kradzież danych, rozprzestrzenianie innego szkodliwego kodu czy trwałe przejęcie kontroli nad urządzeniem. **Ofiarami tej kampanii są firmy na całym świecie**, między innymi w USA, Wielkiej Brytanii, Norwegii, Holandii, Rosji, Armenii, Brazylii i Kolumbii. Wiadomo, że wśród zaatakowanych znalazła się firma z branży światłowodowej, producent paneli słonecznych, przedsiębiorstwa przemysłowe i stoczniowe oraz firmy technologiczne i półprzewodnikowe. Niepokojące jest, w jaki sposób hakerzy uzyskali dostęp do routerów w celu wprowadzenia backdoora. Jedną z możliwości jest wykorzystanie podatności w konfiguracji routerów należących do większej zarządzanej sieci, na przykład dostawcy usług internetowych. --- ## 100 Dni z Nautobot [GitHub - nautobot/100-days-of-nautobotContribute to nautobot/100-days-of-nautobot development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-9.svg)GitHubnautobot![](https://innasiec.pl/content/images/thumbnail/100-days-of-nautobot)](https://github.com/nautobot/100-days-of-nautobot/?ref=innasiec.pl) Wyzwanie "**100 Dni z Nautobot**" to świetna okazja, aby podnieść swoje umiejętności w zakresie automatyzacji sieci na nowy poziom. Poprzez samodyscyplinę, praktyczne ćwiczenia i wsparcie społeczności, zdobędziesz bezcenną wiedzę i doświadczenie. Nie zwlekaj i zapisz się już dziś - Twoja przyszłość jako najbardziej pożądanego inżyniera sieciowego czeka! --- ## Uruchamianie Containerlab na MacOS [Running Containerlab in macOS (Cisco IOL/cEOS)I recently wanted to try running Containerlab directly on my MacBook (M3 Pro with 18GB of RAM) for a few reasons. For example, I might need to run labs while I’m away, work offline![](https://innasiec.pl/content/images/icon/profile.png)PacketswitchSuresh Vina![](https://innasiec.pl/content/images/thumbnail/containerlab-mac.png)](https://www.packetswitch.co.uk/running-containerlab-in-macos-cisco-iol-ceos-2/?ref=innasiec.pl) Autor opisuje, jak uruchomić Containerlab na MacBooku z procesorem M3 Pro i 18 GB RAM, w celu testowania Cisco IOL i Arista EOS. Proces obejmuje wykorzystanie DevContainers w VSCode oraz Docker Desktop na macOS. Podkreślono, że **Cisco IOL wymaga Rosetta** do uruchomienia na architekturze ARM, podczas gdy Arista cEOS ma natywną wersję ARM. --- ## Aktualizacja klastra Fortigate _This post is for paying subscribers only._ ### 📬 ISN 171: Jak ban TikToka zmienił ruch w internecie? 🤔 URL: https://innasiec.pl/isn-171-jak-ban-tiktoka-zmienil-ruch-w-internecie/ Last updated: 2025-01-30T18:56:38.000Z ## Atak podwójnego tagowania VLAN [Exploiting VLAN Double TaggingWe have all heard about VLAN double tagging attacks for a long time now. There have been many references and even a single packet proof of concept for VLAN double tagging attack but none of them showcase a weaponized attack. In this blog Amish Patadiya will use VLAN double tagging technique to reach a VLAN and exploit a vulnerability on a server which resides on another VLAN using native Linux tools creatively and demonstrate an actual exploitation using VLAN double tagging. But first the basics. What is VLAN?![](https://innasiec.pl/content/images/icon/favicon.png)Claranet Cyber SecurityPosted: Fri, 30/10/2020 - 15:52![](https://innasiec.pl/content/images/thumbnail/VLAN-20Double-20Tagging.png)](https://www.claranet.com/us/blog/2020-10-30-exploiting-vlan-double-tagging?ref=innasiec.pl) Zanim zagłębimy się w szczegóły podwójnego tagowania VLAN, przypomnijmy sobie podstawowe koncepcje dotyczące VLAN. Wirtualne sieci lokalne dzielą pojedynczą domenę rozgłoszeniową na odizolowane segmenty, przypisując wszystkie przesyłane ramki do odpowiednich VLAN-ów za pomocą unikalnych identyfikatorów (tagów VLAN). Interfejsy sieciowe mogą być członkami jednej lub wielu sieci VLAN. Domyślnie wszystkie porty przełączników należą do "natywnego" VLAN-u, który zazwyczaj jest VLAN-em 1\. Ruch w natywnym VLAN-ie jest nieoznaczony, co oznacza, że ramki nie posiadają dodanego tagu VLAN. Ten **brak tagów dla natywnego VLAN-u jest kluczowy dla ataku podwójnego tagowania.** **Atak podwójnego tagowania VLAN polega na umieszczeniu dwóch tagów VLAN w ramce** przesyłanej z maszyny atakującego. Zewnętrzny tag to tag natywnego VLAN-u (zazwyczaj VLAN 1), a wewnętrzny tag to identyfikator VLAN-a, do którego atakujący chce uzyskać dostęp. Gdy taka wielokrotnie oznaczona ramka przechodzi przez trunk, zewnętrzny tag jest usuwany, ale wewnętrzny tag pozostaje nienaruszony. W rezultacie ramka zostaje dostarczona do docelowego VLAN-u, mimo że została pierwotnie wysłana z maszyny nienależącej do tego segmentu sieci. **Skuteczny atak podwójnego tagowania VLAN wymaga kilku czynników:** 1. Atakujący musi znajdować się w natywnym VLAN-ie, aby mógł przesłać ramki bez tagów. 2. Atakujący musi znać identyfikator docelowego VLAN-a, który chce zaatakować. 3. W docelowym VLAN-ie musi istnieć podatna usługa lub system, na który można zaatakować. Po spełnieniu tych warunków atakujący może włamać się do odizolowanego VLAN-u i potencjalnie zaatakować usługę lub system w tym segmencie sieci. To zagrożenie jest szczególnie poważne, jeśli atakowany VLAN jest segmentem o wysokim priorytecie bezpieczeństwa, takim jak sieć serwerów lub inne zasoby krytyczne. Chociaż koncepcja podwójnego tagowania VLAN jest znana od dawna, w ostatnim czasie pojawiły się bardziej zaawansowane przykłady wykorzystujące tę technikę do przeprowadzania rzeczywistych ataków na usługi oparte na protokole UDP, takie jak serwery narażone na podatności Log4j. Atakujący mogą również potencjalnie uzyskać powłokę zdalną, wykorzystując usługi zewnętrzne jako punkt zwrotny. --- ## Wpływ zbanowania TikToka na ruch internetowy [TikTok ban takes hold: data reveals sharp traffic decline and rapid shift to alternativesOn January 19, 2025, ByteDance shut down access to TikTok and other owned/operated apps for US users, causing an 85% traffic plunge and a rapid shift to alternatives like RedNote.![](https://innasiec.pl/content/images/icon/favicon-32x32-4.png)The Cloudflare BlogJoão Tomé![](https://innasiec.pl/content/images/thumbnail/OG_Share_202TikTok_ban_takes_hold-_data_reveals_sharp_traffic_decline_and_rapid_shift_to_alternatives-OG4.png)](https://blog.cloudflare.com/tiktok-ban-traffic-decline-alternatives-rednote/?ref=innasiec.pl) 19 stycznia 2025 r. po godzinie 3:30 czasu uniwersalnego (UTC) zaobserwowano drastyczny spadek zapytań DNS kierowanych do domen związanych z TikTokiem i innymi platformami ByteDance, takimi jak edytor wideo CapCut. **Ruch ten zmniejszył się o 85% w stosunku do poprzedniego tygodnia**, co było spowodowane wejściem w życie federalnego zakazu TikToka na terenie USA. ![](https://innasiec.pl/content/images/2025/01/cloudflare_stats.webp) Grafika pochodzi z: [https://blog.cloudflare.com/tiktok-ban-traffic-decline-alternatives-rednote/](https://blog.cloudflare.com/tiktok-ban-traffic-decline-alternatives-rednote/?ref=innasiec.pl) Statystyki zarejestrowane w systemach autonomicznych pokazują równie drastyczną zmianę - **ruch z sieci ByteDance do Cloudflare spadł o 95% po godzinie 3:30 UTC**, co odzwierciedla całkowitą blokadę aplikacji w amerykańskich sieciach. W obliczu tej nagłej zmiany użytkownicy zaczęli szukać alternatywnych aplikacji do tworzenia i udostępniania treści wideo. Głównym wygranym w tej sytuacji okazała się aplikacja RedNote (znana też jako Xiaohongshu lub Little Red Book). Zażyła ona gwałtownego wzrostu ruchu DNS w Stanach Zjednoczonych, osiągając skok na poziomie 74% około 4:00 UTC i osiągając finalnie 300% w porównaniu z poprzednim tygodniem. Ten trend nie ograniczył się tylko do amerykańskich użytkowników. Podobne **skoki aktywności RedNote i innych alternatyw dla TikToka zauważono w:** - Meksyk: +1200% (19 stycznia) - Brazylia: +185% (20 stycznia) - Francja: +165% (19 stycznia) - Niemcy: +142% (19 stycznia) - Kanada: +119% (19 stycznia) - Hiszpania: +106% (19 stycznia) - Portugalia: +97% (19 stycznia) - Wielka Brytania: +86% (19 stycznia) 14 godzin później, TikTok ogłosił przywrócenie usługi po zapewnieniach ze strony nowej administracji. Jednak pełne przywrócenie ruchu przebiegało powoli. Przez kilka godzin ruch utrzymywał się na niskich poziomach, a nawet podczas inauguracji Trumpa był o 12% niższy niż przed zakazem. Dane pokazują, że autonomiczny system **ByteDance (właściciela TikToka) nigdy nie odzyskał w pełni swojego ruchu**, sugerując użycie alternatywnych rozwiązań po kryzysie. --- ## Shackowany przez przejściówkę RJ45-USB? [Investigating an “evil” RJ45 dongleReverse-engineering hardware can be difficult -- but sometimes, all you need is a comfy armchair and some Google Translate.![](https://innasiec.pl/content/images/icon/https-3A-2F-2Fbucketeer-e05bbc84-baa3-437e-9518-adb32be77984.s3.amazonaws.com-2Fpublic-2Fimages-2Ffa6e9d40-43ef-4acc-8201-f2bf3b5405d3-2Fapple-touch-icon-180x180.png)lcamtuf’s thinglcamtuf![](https://innasiec.pl/content/images/thumbnail/https-3A-2F-2Fsubstack-post-media.s3.amazonaws.com-2Fpublic-2Fimages-2Fd40dc9c2-9d33-4cfd-bdac-05c4f5d481d4_1006x850.jpeg)](https://lcamtuf.substack.com/p/investigating-an-evil-rj45-dongle) Autor analizuje przypadek młodego przedsiębiorcy, który zasugerował, że **adapter Ethernet-USB z Chin był zainfekowany złośliwym oprogramowaniem**. Po głębszym zbadaniu okazało się, że **oprogramowanie było jedynie standardowym sterownikiem dla chipu SR9900**, który działał jako wirtualny napęd optyczny. Zamiast obaw o złośliwe działanie, wyniki sugerują, że dziwne rozwiązania mogą mieć nieszkodliwe wyjaśnienia, a dla codziennych użytkowników nie ma powodu do niepokoju. --- ## Konfiguracja VRF w Linuksie [Advanced Linux Routing – VRFs – SDN Clinic![](https://static.ghost.org/v5.0.0/images/link-icon.svg)Maximilian Wilhelm![](https://innasiec.pl/content/images/thumbnail/ffho-topology-overview-1024x788.jpg)](https://blog.sdn.clinic/2025/01/advanced-linux-routing-vrfs/?ref=innasiec.pl) Ostatnio na blogu pojawił się artykuł, czym jest [VRF](https://innasiec.pl/virtual-routing-and-forwarding-vrf/). Tutaj artykuł pokazuje jak skonfigurować VRF-y na maszynie pod kontrolą systemu operacyjnego Linux. --- ## Czego Meta używa w swoim DC? _This post is for paying subscribers only._ ### Czym jest Virtual Routing and Forwarding (VRF)? URL: https://innasiec.pl/virtual-routing-and-forwarding-vrf/ Last updated: 2025-01-22T18:59:53.000Z Virtual Routing and Forwarding (VRF) to potężna technologia, która zapewnia skuteczny sposób na optymalizację istniejącej infrastruktury. Jest ona stosowana wszędzie tam, gdzie potrzebujemy odseparować od siebie co najmniej dwie sieci bez konieczności wykorzystania osobnych urządzeń. **Gdzie najczęściej spotykamy się z taką sytuacją?** Oczywiście w sieciach dostawców usług, którzy mogą obsługiwać setki czy tysiące klientów, którym zależy, aby ich ruch nie był widoczny dla pozostałych. Kolejnym miejsce, gdzie **VRF znajduje swoje zastosowanie, są sieci korporacyjne, gdzie różnie działy lub nawet całe spółki dążą do pełnej separacji**, bez konieczności inwestowania w nadmiarowy sprzęt. **VRF oferuje więc najprostszy sposób segmentacji ruchu z różnych sieci**, umożliwiając bardzo granularne trasowanie danych pomiędzy nimi. VRF mogą być wdrażane zarówno w sieciach fizycznych, jak i wirtualnych, zapewniając wszechstronne i bezpieczne rozwiązanie dla stale rosnącej liczby użytkowników i urządzeń. W artykule zbadamy, **czym jest VRF, jak działa, jakie ma zalety i dlaczego staje się coraz bardziej popularnym wyborem wśród administratorów sieci**. Omówimy również różne rodzaje wdrożeń VRF, ich zalety i wady, a także najlepsze praktyki wdrażania. Na koniec poruszymy kilka kluczowych kwestii związanych z bezpieczeństwem, o których należy pamiętać podczas korzystania z technologii VRF. ## Jak działa VRF? VRF, czyli **Virtual Routing and Forwarding, to technologia, która pozwala na tworzenie wielu niezależnych tablic routingu w jednym routerze.** Każda instancja ma swoją własną tablicę FIB, co zapewnia separację na poziomie warstwy trzeciej i drugiej. Można to porównać do małego routera w routerze lub innym urządzeniu obsługującym tę technologię. VRF działa poprzez podział routera na kilka wirtualnych tabel routingu, z których każda ma swój własny zestaw tras i polityk. Umożliwia to korzystanie z tej samej adresacji w różnych VRF-ach, nie wpływając na transmisję danych. ![](https://innasiec.pl/content/images/2025/01/vrf-izolacja-wielu-sieci.webp) **Każdy VRF ma swój zestaw interfejsów, protokołów routingu, list dostępu i innych konfiguracji.** Tablica routingu dostępna pod poleceniem `show ip route` jest tak naprawdę globalną, domyślną instancją vrf. Kiedy pakiety wchodzą do routera, sprawdzane są pod kątem odpowiedniej tablicy tras VRF, aby zdecydować, czy mają być przekazane dalej, czy odrzucone. Zapewnia to wysoki poziom bezpieczeństwa, ponieważ nieprawidłowe pakiety z jednego segmentu nie wpływają na pozostałe. VRF zapewnia też skalowalność, umożliwiając łatwe dodawanie nowych sieci bez wpływu na istniejące. Jest to ważne narzędzie w nowoczesnych sieciach, często używane z innymi technologiami, takimi jak MPLS. ## Konfiguracja VRF na urządzeniu Cisco Stworzenie instancji VRF, jest stosunkowo prostym procesem składającym się z dwóch etapów. W pierwszym z nich musi stworzyć jego definicję, która zawiera następujące elementy: - Nazwa danej instancji - Route Distinguisher - Route target Nazwa instancji stanowi wyłącznie ozdobnik i w zasadzie może być dowolna. Route Distinguisher oraz Route Target omówimy sobie szczegółowo w kolejnych akapitach. ## Przykładowa konfiguracja VRF ```cisco ip vrf forwarding MGT rd 65000:1 route-target export 65000:1 route-target import 65000:1 ``` Drugim etapem jest przypięcie konkretnych interfejsów do naszej instancji: ``` interface GigabitEthernet0/1 ip vrf forwarding MGT ip address 10.1.1.1 255.255.255.0 ``` Przedstawiona konfiguracja **tworzy instancję VRF o nazwie „MGT” z route distinguisher (RD) 65000:1**. Określa również, że **VRF będzie importować i eksportować trasy zgodnie z ustawieniami route-target import/export 65000:1**. Interfejs GigabitEthernet0/1 jest następnie powiązany z VRF MGT i otrzymuje adres IP 10.1.1.1/24\. ⚠️ Pamiętaj, że włączenie interfejsu do VRF, usuwa przypisany adres IP, jeśli był skonfigurowany. Jest to stary sposób konfiguracji, który możesz spotkać raczej w istniejących od lat implementacjach. Jej główną wadą jest fakt, że działa ona wyłącznie dla protokołu IPv4. **Aktualnie stosuje się nowszą wersję definiowania VRF z użyciem formuły vrf definition:** ``` vrf definition MGT rd 65000:1 address-family ipv4 route-target export 65000:1 route-target import 65000:1 exit-address-family ! interface GigabitEthernet0/1 vrf forwarding MGT ip address 10.1.1.1 255.255.255.0 ! ``` Jak pewnie zwróciłeś uwagę, tym razem wartości route-target zostały umieszczone w address-family ipv4\. Zmieniło się również polecenie do przypisania interfejsu do VRF. ## Route Distinguisher Powiedzieliśmy sobie wcześniej, że **stosując VRF, możemy wykorzystywać nakładające się na siebie adresacje**. Jeśli klient A wykorzystuje adresację 192.0.2.0/24, a klient B również wykorzystuje adresację 192.0.2.0/24, to potrzebujemy mechanizmu, który pozwoli nam sprawić, aby obie te adresacje były unikalne dla każdego z klientów. **Route Distinguisher to 8 bajtowy identyfikator, które zadaniem jest sprawić, aby dany prefix był unikalny**. RD typowo składa się z dwóch elementów rozdzielonych dwukropkiem. Pierwszy to zwykle numer systemu autonomicznego, a drugi to identyfikator urządzenia. W ten sposób w naszym przykładzie stworzyliśmy RD z numeru ASN 65000 i identyfikatora 100\. Nic nie stoi jednak przeszkodzie, aby taka sama wartość RD była wykorzystywana na każdym urządzeniu i wyglądało na przykład tak 700:1\. Kiedy mamy już nasze **RD, jest ono dodawane do prefiksu w formacie „RD:prefiks”.** Dla przykładu dla adresu 192.0.2.0/24 otrzymalibyśmy coś takiego 65000:100:192.0.2.0/24\. Podsumujmy w punktach czego dowiedzieliśmy się właśnie o Route Distinguisher: - **Unikalność:** RD jest unikalną wartością przypisaną do prefiksu, aby uczynić go globalnie unikalnym. - **Format:** RD ma określony format i zazwyczaj składają się z dwóch pól oddzielonych dwukropkiem. Zwykle są tp ASN oraz identyfikator. - **Funkcja:** Główną funkcją jest rozróżnienie prefiksów we wspólnej infrastrukturze, co pozwala na tworzenie oddzielnych domen routingu. - **Długość:** Długość RD może być różna, ale zazwyczaj jest to 8 bajtów. - **Skalowalność:** RD umożliwiają skalowalność sieci poprzez współistnienie wielu instancji VRF w tej samej infrastrukturze, przy zachowaniu oddzielnych domen routingu. ## Route Target Route Target w skrócie RT, to kolejny mechanizm, który pozwala nam na granularną kontrolę nad tym, co trafia do naszej tablicy routingu. Wyobraź sobie taką sytuację. Mamy firmę, która posiada główną siedzibę oraz dwa oddziały. W centrali chcemy wiedzieć o wszystkich prefiksach, ale nie ma potrzeby, aby nasze filie wiedziały o sobie nawzajem. Do tego właśnie służy Route Target w ramach naszego VRF. Jest to mechanizm, który definiuje politykę importowania oraz eksportowania prefiksów. O ile w ramach jednej instancji stosujemy jedną politykę do eksportu, tak nie raz zdarzy Ci się skonfigurować więcej niż jedną politykę na import prefiksów. Podobnie jak RD, Route Target składa się z dwóch elementów oddzielonych dwukropkiem. Zwykle pierwsza wartość to ASN, czyli numer systemu autonomicznego. Drugi to dowolny identyfikator. W naszym przykładzie stworzyliśmy wartość RT, wykorzystując ASN 65000 oraz identyfikator 1, uzyskując 65000:1. Podsumujmy w punktach czego dowiedzieliśmy się właśnie o Route Target: - **Format:** RT mają określony format i zazwyczaj składają się z dwóch pól oddzielonych dwukropkiem. Składa się zwykle z ASN oraz identyfikatora. - **Funkcja:** Główną funkcją jest agregacja i dystrybucja informacji o prefiksach w obrębie sieci. - **Długość:** Długość RD może być różna, ale zazwyczaj jest to 8 bajtów. - **Skalowalność:** RT umożliwiają skalowalność sieci poprzez sterowanie przepływem informacji o prefiksach. ## Czym jest VRF-lite? **VRF-lite, to uproszczona wersja VRF, używana bez technologii MPLS.** VRF-Lite umożliwia współistnienie wielu instancji routingu w ramach tej samej sieci, tworząc izolowane przestrzenie adresowe dla różnych działów lub klientów. Zapewnia to korzyści płynące z technologii VRF, takie jak multi-tenancy i bezpieczeństwo, bez złożoności MPLS. ### 📬 ISN 170: Dlaczego nigdy nie powinieneś używać VLAN 1? URL: https://innasiec.pl/isn-170-dlaczego-nigdy-nie-powinienes-uzywac-vlan-1/ Last updated: 2025-01-20T09:00:33.000Z ## Nowy prefix IPv6 dla dokumentacji [New IPv6 Documentation Prefix « ipSpace.net blogAfter three and a half years of haggling (the IETF draft that became the RFC was written in May 2021; the original discussions go back to 2013), Nick Buraglio & co managed to persuade pontificators bikeshedding in the v6ops working group that we might need an IPv6 documentation prefix larger than the existing 2001:db8::/32\. With the new documentation prefix (3fff::/20) (defined in RFC 9637), there’s absolutely no excuse to use public IPv6 address space in examples anymore.![](https://innasiec.pl/content/images/icon/favicon-18.ico)ipSpace Logo![](https://innasiec.pl/content/images/thumbnail/og-image.png)](https://blog.ipspace.net/2025/01/rfc9637-ipv6-documentation-prefix/?ref=innasiec.pl) Często kluczem do niepowodzeń w implementacji nowych rozwiązań są pominięte detale lub błędy w dokumentacji. W przypadku adresacji IPv6, ten problem wreszcie znajdzie swoje rozwiązanie dzięki najnowszym decyzjom IETF. Od dawna borykamy się z niewłaściwym używaniem publicznych zakresów adresów IP w przykładach i dokumentacji technicznej. **Mimo istnienia 32-bitowego prefiksu dokumentacyjnego IPv6 2001:db8::/32, wielu autorów wciąż korzystało z rzeczywistych prefiksów przypisanych do różnych organizacji.** To prowadziło do ryzyka kolizji i problemów z funkcjonowaniem rozwiązań opartych na takich przykładach. Co gorsza, używanie prawdziwych adresów mogło stanowić zagrożenie dla bezpieczeństwa, zwłaszcza w kontekście testów penetracyjnych. **Po latach debat i przygotowań, IETF wprowadził** [**RFC 9637**](https://datatracker.ietf.org/doc/rfc9637/?ref=innasiec.pl)**, który prezentuje nowy, znacznie większy prefiks dokumentacyjny 3fff::/20\.** Nowy zakres dostarczy ponad 536 tysięcy możliwych do wykorzystania podsieci /64, zaspokajając potrzeby dokumentalistów i programistów. --- ## Co jest nie tak z VLAN 1? [Danny Wells on LinkedIn: #networkengineering | 42 comments“Never use VLAN 1 on the network!”...but why not? 🤔 When I was starting out, I was told to never use VLAN 1 on the network, change the native VLAN and… | 42 comments on LinkedIn![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-5)LinkedInDanny Wells![](https://innasiec.pl/content/images/thumbnail/c45fy346jw096z9pbphyyhdz7)](https://www.linkedin.com/posts/danny-wells%5Fnetworkengineering-activity-7281172499059429376-I8LV/?ref=innasiec.pl) "**Nigdy nie używaj VLAN 1 w sieci**" - to stwierdzenie jest często powtarzane, ale właściwie, dlaczego? Zacznijmy od podstaw. VLAN 1 to domyślna, zdefiniowana w fabryce sieć dla większości przełączników sieciowych. Jednak jej wykorzystanie w rzeczywistych sieciach produkcyjnych niesie ze sobą wiele zagrożeń. Niektóre protokoły sieciowe, takie jak STP, CDP i VTP, przesyłają ramki zarządzania bez znakowania VLAN, czyli w ramach natywnej sieci VLAN. Jeśli VLAN 1 jest wykorzystywana do komunikacji, złośliwy użytkownik może przechwycić te ramki i potencjalnie spowodować zakłócenia w działaniu sieci. Domyślnie wszystkie porty przełącznika należą do VLAN 1\. Jeśli porty nie są zabezpieczone, każde urządzenie podłączone do nich uzyska dostęp do VLAN 1 i potencjalnie do poufnych ramek zarządzania. Ponieważ VLAN 1 jest siecią domyślną, często bywa ona również natywną siecią VLAN dla łączy trunk pomiędzy przełącznikami. Oznacza to brak rzeczywistej segmentacji między tymi urządzeniami, co stanowi ogromne ryzyko. Ciekawym atakiem na VLAN natywny jest VLAN hopping, znany również jako double tagging. Polega on na przesłaniu ramki z podwójnym tagiem VLAN. Pierwszy tag, będący tagiem natywnym, jest odrzucany, a następnie ramka jest przetwarzana zgodnie z drugim tagiem. **Jak zwiększyć bezpieczeństwo sieci?** - **Zmiana natywnego VLAN-u** \- Pierwszym krokiem powinno być zmienienie numeru natywnej sieci VLAN na inny niż VLAN 1\. Dobrym pomysłem jest wybranie numeru wyraźnie różniącego się od używanych sieci VLAN użytkowników, np. VLAN 666. - **Kontrola dostępu 802.1x** \- Wdrożenie zabezpieczeń portów za pomocą mechanizmu 802.1x znacząco zwiększy bezpieczeństwo sieci. Alternatywnie można wyłączyć nieużywane porty dostępowe. - **Dedykowany VLAN natywny** \- Jeśli przełączniki to umożliwiają, rozwiązaniem jest wyłączenie VLAN 1 na portach trunk oraz przesunięcie ruchu administracyjnego do dedykowanego VLAN . --- ## Projekty, które warto śledzić [projektyponiżej lista projektów które stworzyłem i/lub aktywnie utrzymuje: AS 112 - międzynarodowa inicjatywa polegająca na odciążeniu serwerów root DNS ze śmieciowego ruchu generowanego przez klientów i serwery próbujące wysyłać zapytania o przestrzeń z RFC 1918 (prywatne) w świat; w Polsce utrzymuje trzy serwery DNS ściągające na siebie takie zapytania BGP Blackholing - projekt otwartego serwera tras BGP, rozgłaszającego “niedobre” prefiksy dla wszystkich chętnych Serwer tras RPKI - projekt otwartego serwera RPKI, pozwalającego pobrać informacje walidujące prefiksy BGP przez sesje/transport TCP RTR![](https://static.ghost.org/v5.0.0/images/link-icon.svg)lukasz.bromirski.netŁukasz Bromirski](https://lukasz.bromirski.net/pl/projects/?ref=innasiec.pl) Łukasz Bromirski, prezentuje listę projektów, które stworzył oraz aktywnie utrzymuje. Wśród nich znajduje się **międzynarodowa inicjatywa AS 112**, która odciąża serwery root DNS, **projekt BGP Blackholing** rozgłaszający problematyczne prefiksy, **serwer tras RPKI** umożliwiający walidację prefiksów BGP, **otwarty projekt serwera tras BGP** z pełnym widokiem tablicy routingu oraz **repozytorium zasobów dotyczących bezpieczeństwa ISP**. --- ## Kolekcja przykładów NSO [GitHub - NSO-developer/nso-examples: The NSO Example CollectionThe NSO Example Collection. Contribute to NSO-developer/nso-examples development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-8.svg)GitHubNSO-developer![](https://innasiec.pl/content/images/thumbnail/nso-examples)](https://github.com/NSO-developer/nso-examples?ref=innasiec.pl) Kolekcja przykładów NSO zawiera różnorodne materiały, od prostych do bardziej zaawansowanych, skierowane głównie do programistów aplikacji NSO, ale przydatne także dla administratorów. Przykłady są uporządkowane według typowego procesu nauki nowego użytkownika NSO, co ułatwia odnalezienie odpowiednich materiałów. Wiele z nich korzysta z **Netsim** do symulacji zarządzanych urządzeń. --- ## Możesz zablokować sieć TOR? _This post is for paying subscribers only._ ### 📬 ISN 169: Czy Twoje Dane w Chmurze są Zagrożone? Cloudflare, IPv6 i Cyfrowe Bliźniaki! URL: https://innasiec.pl/isn-169-czy-twoje-dane-w-chmurze-sa-zagrozone-cloudflare-ipv6-i-cyfrowe-blizniaki/ Last updated: 2025-01-13T09:00:27.000Z ## Cloudflare traci logi [Cloudflare incident on November 14, 2024, resulting in lost logsOn November 14, 2024, Cloudflare experienced a Cloudflare Logs outage, impacting the majority of customers using these products. During the \~3.5 hours that these services were impacted, about 55% of the logs we normally send to customers were not sent and were lost. The details of what went wrong and why are interesting both for customers and practitioners.![](https://innasiec.pl/content/images/icon/favicon-32x32-3.png)The Cloudflare BlogJamie Herre![](https://innasiec.pl/content/images/thumbnail/Cloudflare_incident_on_November_14__2024__resulting_in_lost_logs-OG.png)](https://blog.cloudflare.com/cloudflare-incident-on-november-14-2024-resulting-in-lost-logs/?ref=innasiec.pl) 14 listopada 2024 roku firma Cloudflare miała problem, który wpłynął na większość użytkowników [Cloudflare Logs](https://developers.cloudflare.com/logs?ref=innasiec.pl). Przez około 3,5 godziny awarii nie dostarczono około 55% logów do klientów i zostały one utracone. Przez błąd w systemie generującym konfigurację dla usługi Logfwdr, ta ostatnia otrzymała... pustą konfigurację! Innymi słowy, **Logfwdr nagle nie miał pojęcia, które logi ma przesyłać dalej.** Choć błąd został szybko naprawiony, to uruchomił lawinę kolejnych zdarzeń. Jednym z mechanizmów zabezpieczających w Logfwdr było "fail open" - w przypadku braku konfiguracji usługa miała przesyłać logi dla wszystkich klientów zamiast dla nikogo. Pomysł był słuszny, ale zaprojektowany dla mniejszej skali. **Gdy Logfwdr zaczął przesyłać logi dla 40 razy większej liczby klientów niż zwykle, cały system zaczął się dusić.** Usługa Buftee, pełniąca rolę bufora dla logów, zaczęła tworzyć osobne bufory dla każdego nowego klienta, których nagle było 40 razy więcej. Mimo że Buftee miała mechanizmy zabezpieczające przed taką sytuacją, to... nikt ich nie aktywował. Nietypowe obciążenie osiągnęło poziom, z którym Buftee nie była w stanie sobie poradzić i cały system załamał się, powodując utratę części logów. Ten incydent pokazał, jak **pomyłka w jednej części systemu może wywołać lawinę zdarzeń i sparaliżować kluczowe usługi**. Cloudflare wyciągnął z niego ważne wnioski: 1. Należy regularnie testować scenariusze przeciążeniowe i sprawdzać, czy mechanizmy zabezpieczające działają poprawnie. 2. Systemy powinny być tak zaprojektowane, aby błędy w jednym komponencie nie paraliżowały pozostałych części. 3. Konfiguracja zapasowych planów działania jest równie ważna, jak same plany. Nieaktywowane zabezpieczenie jest bezużyteczne. --- ## "Nowy" Gracz w wyścigu pod Wodą [Meta plans to build a $10B subsea cable spanning the world, sources say | TechCrunchMeta, the parent of Facebook, Instagram, and WhatsApp, is the second-biggest driver of internet usage globally. Its properties — and their billions of![](https://innasiec.pl/content/images/icon/cropped-cropped-favicon-gradient.png)TechCrunchIngrid Lunden![](https://innasiec.pl/content/images/thumbnail/GettyImages-959508862.jpg)](https://techcrunch.com/2024/11/29/meta-plans-to-build-a-10b-subsea-cable-spanning-the-world-sources-say/?ref=innasiec.pl) W czasach, gdy dane są nową walutą, Meta, właściciel Facebooka, Instagrama i WhatsAppa, planuje budowę nowego kabla światłowodowego pod morzem. Chce zwiększyć przepustowość internetu i wzmocnić swoją pozycję jako lider technologii. Meta planuje zbudować kabel o długości ponad 40,000 km, inwestując w to ponad 10 miliardów dolarów. Kabel będzie całkowicie własnością Meta, co jest nowością dla firmy. To nie tylko infrastruktura, ale strategiczny krok dla niezawodności sieci i bezpieczeństwa danych. ![](https://innasiec.pl/content/images/2025/01/W-Meta-Cable.webp) ****Autor grafiki:**[Sunil Tagare](https://www.linkedin.com/pulse/map-metas-w-cable-sunil-tagare-blanc?ref=innasiec.pl) **Kluczowe Motywy Budowy** 1. **Własność i Kontrola**: Posiadanie własnego kabla pozwala Meta na priorytetowy dostęp do przepustowości, co jest kluczowe dla obsługi miliardów użytkowników na jej platformach. 2. **Omijanie Terytoriów Konfliktowych**: Planowany przebieg kabla ma unikać regionów geopolitycznych napięć, takich jak Morze Czerwone czy Morze Południowochińskie. 3. **Strategiczne Umiejscowienie**: Zakończenie kabla w Indiach może być kluczowe dla rozwoju centrów danych oraz potencjalnej infrastruktury AI w regionie. Budowa takich kabli jest skomplikowana i czasochłonna. Obecnie istnieje ograniczona liczba statków kablowych zdolnych do realizacji takich projektów. Dodatkowo konkurencja z innymi gigantami technologicznymi, takimi jak Google, może wpływać na dostępność zasobów. Meta wskazuje na korzystny wpływ swoich inwestycji na lokalne gospodarki, co może przyspieszyć rozwój wielu regionów. Co więcej, **w kontekście AI, Indie mogą stać się kluczowym miejscem dla treningu modeli sztucznej inteligencji dzięki niższym kosztom.** ## Koniec wsparcia dla IPv6 w 2025? [DigiCert Certificate Status IP AddressesThis page contains the DigiCert dedicated IP addresses for DigiCert Online Certificate Status Protocol (OCSP), Certificate Revocation List (CRL), and a few other DigiCert services.![](https://innasiec.pl/content/images/icon/DigiCertFavicon_32x32.png)DigiCert KnowledgeBase - Technical Support Logo![](https://innasiec.pl/content/images/thumbnail/kb-new-logo.png)](https://knowledge.digicert.com/alerts/digicert-certificate-status-ip-address?ref=innasiec.pl) To nie jest żart. Firma DigiCert, globalny dostawca rozwiązań TLS/SSL, PKI, IoT oraz cyfrowych certyfikatów, ogłosiła, że przechodzi na rozwiązanie CDN i kończy wsparcie dla IPv6 10 stycznia. ## Monitorowanie BGP w Junos z Pythonem [GitHub - Menuka-Wijayarathne/junosviz: A Python package for BGP monitoring and state analysis.A Python package for BGP monitoring and state analysis. - Menuka-Wijayarathne/junosviz![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-7.svg)GitHubMenuka-Wijayarathne![](https://opengraph.githubassets.com/50ba884c003ba6be02a48898e5228662d4e160fae651c4d96d04fb5564dd2649/Menuka-Wijayarathne/junosviz)](https://github.com/Menuka-Wijayarathne/junosviz/?ref=innasiec.pl) JunosViz 0.1.0 to pakiet Python, który ułatwia monitorowanie i alertowanie sesji BGP, liczników i wskaźników wydajności na urządzeniach Juniper. Łączy tradycyjne monitorowanie SNMP z nowoczesnymi metodami jak NETCONF i gNMI, oferując rozwiązanie dopasowane do Junos. --- # Cyfrowy Bliźniak Sieci _This post is for paying subscribers only._ ### Protokół IS-IS: Wprowadzenie do protokołu sieciowego ISO URL: https://innasiec.pl/protokol-is-is-wprowadzenie-do-protokolu-sieciowego-iso/ Last updated: 2025-01-14T08:54:58.000Z Protokół IS-IS (Intermediate System to Intermediate System) jest kluczowym protokołem sieciowym wykorzystywanym w dużych sieciach korporacyjnych i u dostawców usług internetowych. W tym artykule poznasz podstawowe koncepcje IS-IS, jego działanie oraz praktyczne zastosowania. Nauczysz się, jak skonfigurować IS-IS w swojej sieci i zrozumiesz jego główne zalety w porównaniu z innymi protokołami routingu. ## Czym jest protokół IS-IS? Intermediate System to Intermediate System (IS-IS) został stworzony przez firmę DEC jako część DECnet, a w 1992 roku został ustandaryzowany przez ISO dla frameworku sieciowego Open Systems Interconnection (OSI). **IS-IS jest hybrydowym protokołem stanu łącza**, który działa jako protokół stanu łącza w obrębie obszaru oraz jako protokół wektora odległości pomiędzy obszarami. W przeciwieństwie do OSPF, IS-IS funkcjonuje na warstwie łącza danych, co może prowadzić do nieporozumień. Jak to możliwe? IS-IS pierwotnie zaprojektowano dla OSI, a nie dla TCP/IP, i jest bezpośrednio osadzony w ramkach warstwy drugiej. ## Adresacja w IS-IS Pomimo że IS-IS został zmodyfikowany do współpracy ze stosem TCP/IP, nadal zawiera wiele elementów charakterystycznych dla OSI. Dla przykładu,RouterID, który w protokołach routingu odpowiada za jednoznaczne określenie urządzenia, tutaj nazywa się NET (Network Entity Title). Spójrzmy na adres NET: **49.0001.0000.0000.0001.00**. 1. **Identyfikator rodziny adresów (AFI)**: Pierwsze 8 bitów (49) oznacza lokalny format adresowania. Większość firm używa 49\. 2. **Obszar**: Następne 16 bitów (0001) to obszar, który można zostawić pusty (49.0000.0000.0001.00) lub przypisać mu konkretny numer, jak 0001 lub 501. 3. **Identyfikator systemu**: Kolejne 48 bitów to identyfikator systemu w formacie 12 cyfr szesnastkowych z dwoma kropkami. Popularną praktyką jest konwersja adresu IP, który w innym przypadku stanowił router ID. 4. **Pole SEL**: Ostatnie pole o długości 8 bitów identyfikuje usługę na węźle docelowym, która przetwarza dane. ## Obszary IS-IS IS-IS, podobnie jak OSPF, pozwala na podzielenie jednego systemu autonomicznego na mniejsze obszary. Jednak w przeciwieństwie do OSPF nie ma tu koncepcji gwiazdy, z centralnym obszarem 0 oraz przylegającymi do niego obszarami. **W IS-IS wyróżniamy dwa typy poziomów:** - **Level 1** \-router wewnątrz obszaru. Może komunikować się wyłącznie z innymirouteramiLevel 1. - **Level 2** \-router należący do obszaru backbone. Komunikuje się wyłącznie zrouteramiLevel 2. **W IS-IS router (lub w terminologii OSI Intermediate System) może należeć wyłącznie do jednego typu poziomu.** Dlatego istnieje jeszcze trzeci typ, który pełni rolę ABR: - **Level 1/Level 2** \- router, który może komunikować się z routerami Level 1 oraz Level 2. Dzięki temu możemy tworzyć różne obszary, w których umieścimy routery L1 lub L2\. Warunkiem jest, aby na granicy znajdował się router L1/L2, który umożliwi wymianę informacji. ## Nawiązywanie sąsiedztwa IS-IS IS-IS obsługuje sieci broadcast oraz punkt-punkt. Dla każdej sieci rozgłoszeniowej IS-IS wybiera jeden **Designated Intermediate System (DIS)**. W IS-IS nie ma koncepcji zapasowego DIS, a jego obecność nie jest konieczna. **Wybór DIS opiera się na następujących kryteriach:** 1. Routerz najwyższym priorytetem interfejsu. 2. W przypadku remisurouterz najwyższym Subnetwork Point of Attachment (SNPA; adres MAC warstwy łącza danych interfejsu podłączonego do podsieci) ma pierwszeństwo. 3. Jeśli SNPAs nie mogą być porównane,routerz najwyższym identyfikatorem systemu zostaje ogłoszony zwycięzcą. **DIS ma dwie ważne funkcje:** - Pomaga routerom w segmencie rozgłoszeniowym synchronizować ich bazę topologii sieci. - Przyjmuje rolę samodzielnego obiektu—pseudonoda (wirtualnego routera), aby reprezentować segment rozgłoszeniowy w bazie danych stanu łącza. W przypadku interfejsu punkt-punkt, w którym IS-IS oczekuje pojedynczego sąsiada, ustanawia sąsiedztwo poprzez proces three-way handshake, a następnie synchronizuje bazy danych stanu łączy. **IS-IS ma trzy możliwe stany sąsiedztwa:** - **Down:** To jest początkowy stan, w którym nie otrzymano żadnych komunikatów IS-IS Hello (IIH) od sąsiada. - **Initializing:** Otrzymano IIH od sąsiada, ale istnieje niepewność co do tego, czy sąsiad prawidłowo odbiera IIH tegoroutera. - **Up:** Otrzymano IIH od sąsiada, co potwierdza, że sąsiad prawidłowo odbiera IIH tegoroutera. ## Rodzaje Pakietów w Protokole IS-IS Protokół IS-IS (Intermediate System to Intermediate System) wykorzystuje różne typy pakietów PDU (Protocol Data Units) do wymiany informacji. **IS-IS Hello PDU (IIH)** IS-IS Hello PDU służy do wykrywania i utrzymywania relacji z sąsiadującymirouterami. Jest to odpowiednik Hello pakietów w OSPF, ale z kilkoma istotnymi różnicami: - **Występują dwa rodzaje Hello PDU:** - Point-to-Point Hello PDU - używany na łączach punkt-punkt - LAN Hello PDU - stosowany w sieciach rozgłoszeniowych, z podziałem na Level 1 i Level 2 - LAN Hello PDU wykorzystuje dedykowane adresy multicast: - Level 1: 01-80-C2-00-00-14 - Level 2: 01-80-C2-00-00-15 - Każdy Hello PDU zawiera parametr Hold Time, określający maksymalny czas oczekiwania na kolejny pakiet Hello przed oznaczeniem sąsiada jako niedostępnego **Link-State PDU (LSP)** LSP to pakiety zawierające informacje o stanie łączy i topologii sieci. - Zawierają numer sekwencyjny, który jest zwiększany przy każdej zmianie stanu - Posiadają pole Remaining Lifetime określające czas życia informacji - Są generowane niezależnie dla Level 1 i Level 2 - Wysyłane są zarówno periodycznie, jak i w przypadku zmian w topologii: - Pojawienie się nowego sąsiada - Utrata połączenia z sąsiadem - Zmiana kosztu łącza **Complete Sequence Number PDU (CSNP)** CSNP pełni rolę mechanizmu synchronizacji baz danych międzyrouterami: - Zawiera kompletną listę wszystkich LSP znajdujących się w bazie danychroutera - Jest wysyłany periodycznie przez Designated IS (DIS) w sieciach rozgłoszeniowych - Generowany jest oddzielnie dla każdego poziomu (Level 1/Level 2) - Służy do wykrywania różnic w bazach danych między sąsiadami **Partial Sequence Number PDU (PSNP)** PSNP to mechanizm służący do zarządzania aktualizacjami LSP: - Działa podobnie do mechanizmu NACK (Negative Acknowledgment) - Używany jest do żądania retransmisji brakujących lub nieaktualnych LSP - Potwierdza otrzymanie zaktualizowanych LSP - Pomaga w efektywnej synchronizacji baz danych międzyrouterami **Type/Length/Values (TLV)** TLV to elastyczna struktura danych wykorzystywana przez wszystkie typy PDU do przekazywania informacji: - Pozwala na przekazywanie różnorodnych informacji: - Nazwy hostówrouterów - Informacji związanych z MPLS-TE - Metryk łączy - Adresów IP - Parametrów routingu - Umożliwia rozszerzanie funkcjonalności protokołu bez modyfikacji jego podstawowej struktury ## Podstawowa konfiguracja IS-IS Do podstawowego działania potrzebujemy dwóch rzeczy: włączyć proces IS-IS poleceniem `router isis` i zdefiniować NET. W kolejnym kroku należy dołączyć interfejsy poleceniem `ip router isis`. Przykładowa topologia: ![](https://innasiec.pl/content/images/2025/01/is-is_topology.webp) ``` R1 ! interface Loopback0 ip address 1.1.1.1 255.255.255.255 ip router isis ! interface Ethernet0/0 ip address 10.1.2.0 255.255.255.254 ip router isis isis network point-to-point ! router isis net 49.0000.0010.0100.1001.00 is-type level-1 ``` ``` R2 ! interface Loopback0 ip address 2.2.2.2 255.255.255.255 ip router isis ! interface Ethernet0/0 ip address 10.1.2.1 255.255.255.254 ip router isis isis network point-to-point ! interface Ethernet0/1 ip address 10.2.3.0 255.255.255.254 ip router isis isis network point-to-point ! router isis net 49.0000.0020.0200.2002.00 ``` ``` R3 ! interface Loopback0 ip address 3.3.3.3 255.255.255.255 ip router isis ! interface Ethernet0/1 ip address 10.2.3.1 255.255.255.254 ip router isis isis network point-to-point ! router isis net 49.0000.0030.0300.3003.00 is-type level-1 ``` ## Weryfikacja konfiguracji **Sprawdzanie sąsiadów IS-IS** ``` R2#show isis neighbors System Id Type Interface IP Address State Holdtime Circuit Id R1 L1 Et0/0 10.1.2.0 UP 27 01 R3 L1 Et0/1 10.2.3.1 UP 28 02 ``` **Sprawdzanie bazy danych topologii** ``` R2#show isis database IS-IS Level-1 Link State Database: LSPID LSP Seq Num LSP Checksum LSP Holdtime/Rcvd ATT/P/OL R1.00-00 0x00000002 0x374B 617/1200 0/0/0 R2.00-00 * 0x00000004 0x183C 622/* 0/0/0 R3.00-00 0x00000002 0x52D7 621/1200 0/0/0 IS-IS Level-2 Link State Database: LSPID LSP Seq Num LSP Checksum LSP Holdtime/Rcvd ATT/P/OL R2.00-00 * 0x00000004 0x7244 622/* 0/0/0 R2#show isis database R1.00-00 detail IS-IS Level-1 LSP R1.00-00 LSPID LSP Seq Num LSP Checksum LSP Holdtime/Rcvd ATT/P/OL R1.00-00 0x00000002 0x374B 544/1200 0/0/0 Area Address: 49.0000 NLPID: 0xCC Hostname: R1 Metric: 10 IS R2.00 IP Address: 1.1.1.1 Metric: 10 IP 1.1.1.1 255.255.255.255 Metric: 10 IP 10.1.2.0 255.255.255.254 ``` ## Przykładowa konfiguracja w CML Przedstawioną topologię możesz pobrać i uruchomić za darmo w CML. [IS-IS\_Basic\_configurationPodstawowa topologia IS-IS W CMLIS-IS\_Basic\_configuration.yaml3 KBdownload-circle](https://innasiec.pl/content/files/2025/01/IS-IS%5FBasic%5Fconfiguration.yaml "Download") Jeśli jeszcze nie masz lub nie wiesz, jak zainstalować darmową wersję CML-a, ten tutorial może Cię zainteresować. [Cisco CML Free Tier (za darmo)Poznaj, w jaki sposób Cisco Modeling Lab 2.8.0 udostępnia bezpłatny dostęp do symulacji sieci z pięcioma urządzeniami. Zobacz, czy to odpowiednie rozwiązanie dla Ciebie!![](https://innasiec.pl/content/images/icon/recreate-02-5.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/thumbnail/cml_za_darmo.webp)](https://innasiec.pl/cisco-cml-free-tier-za-darmo/) ### 📬 ISN 168: Różnice w obsłudze STP pomiędzy Cisco i Juniper URL: https://innasiec.pl/isn-168-roznice-w-obsludze-stp-pomiedzy-cisco-i-juniper/ Last updated: 2025-01-06T09:00:16.000Z ## Narzędzie do testowania HTTP/3 [Open sourcing h3i: a command line tool and library for low-level HTTP/3 testing and debuggingRead about the motivation and background for h3i, along with practical examples that you can build upon for your own purposes.![](https://innasiec.pl/content/images/icon/favicon-32x32-2.png)The Cloudflare BlogLucas Pardue![](https://innasiec.pl/content/images/thumbnail/Open_sourcing_h3i-_a_command_line_tool_and_library_for_low-level_HTTP_3_testing_and_debugging-OG.png)](https://blog.cloudflare.com/h3i/?ref=innasiec.pl) Zaprojektowane i opracowane przez inżynierów Cloudflare, **h3i jest darmowym, open-sourcowym narzędziem** w postaci biblioteki i aplikacji konsolowej **służącym do kompleksowego testowania implementacji protokołu HTTP/3 działającego w oparciu o QUIC**. Narzędzie pozwala na śledzenie, analizę i generowanie specjalnie spreparowanych pakietów HTTP/3, które mogą nie być zgodne z obowiązującymi standardami. Dzięki temu możliwe jest dokładne sprawdzenie, jak dana implementacja radzi sobie z obsługą niepoprawnych lub złośliwych żądań. Aby w pełni zrozumieć możliwości h3i, przyjrzyjmy się przykładowemu scenariuszowi jego wykorzystania. Powiedzmy, że chcemy sprawdzić, jak określona implementacja HTTP/3 radzi sobie z obsługą żądań, w których podana długość treści (Content-Length) różni się od faktycznej długości przesłanych danych. Zgodnie ze specyfikacją [RFC 9114](https://datatracker.ietf.org/doc/html/rfc9114?ref=innasiec.pl), takie żądania powinny być traktowane jako niepoprawne i odrzucane. Za pomocą biblioteki h3i możemy łatwo przygotować kod, który wygeneruje żądanie testowe z niepoprawną długością treści i wyśle je do docelowego serwera. Oto jak może wyglądać taki przykładowy kod w Rust: ```rust let config = Config::new() .with_host_port("cloudflare-quic.com".to_string()) .with_idle_timeout(2000) .build() .unwrap(); let headers = vec![ Header::new(b":method", b"POST"), Header::new(b":scheme", b"https"), Header::new(b":authority", b"cloudflare-quic.com"), Header::new(b":path", b"/"), Header::new(b"content-length", b"5"), // Deklarujemy długość 5 bajtów ]; let header_block = encode_header_block(&headers).unwrap(); let actions = vec![ Action::SendHeadersFrame { stream_id: STREAM_ID, fin_stream: false, headers, frame: Frame::Headers { header_block }, }, Action::SendFrame { stream_id: STREAM_ID, fin_stream: true, frame: Frame::Data { payload: b"test".to_vec(), // Ale wysyłamy tylko 4 bajty }, }, // Kod oczekiwania na odpowiedź i zamknięcia połączenia ]; let summary = sync_client::connect(config, &actions).expect("connection failed"); ``` W powyższym przykładzie generujemy nieprawidłowe żądanie, w którym deklarujemy długość treści równą 5 bajtom, ale faktycznie przesyłamy tylko 4 bajty danych. Następnie oczekujemy, że prawidłowo zaimplementowany serwer HTTP/3 odrzuci takie żądanie i odpowie kodem błędu 400 Bad Request. ## Migracja z Poetry do uv [GitHub - bartdorlandt/convert\_poetry2uv: A solution to convert existing poetry based python projects pyproject.toml to be consumed with \`uv\` insteadA solution to convert existing poetry based python projects pyproject.toml to be consumed with \`uv\` instead - GitHub - bartdorlandt/convert\_poetry2uv: A solution to convert existing poetry based p…![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-6.svg)GitHubbartdorlandt![](https://innasiec.pl/content/images/thumbnail/convert_poetry2uv)](https://github.com/bartdorlandt/convert%5Fpoetry2uv?ref=innasiec.pl) Współczesne projekty programistyczne coraz częściej opierają się na wykorzystaniu menadżerów pakietów, które znacznie upraszczają proces zarządzania zależnościami i budowania aplikacji. W ekosystemie Pythona dwa popularne narzędzia tego typu to Poetry i uv. Choć oba pełnią podobną rolę, różnią się formatem plików konfiguracyjnych. Jeśli chcesz przenieść swój projekt z Poetry na uv, proces ręcznej konwersji pliku pyproject.toml może być żmudny i podatny na błędy. Na szczęście istnieje skrypt, który zautomatyzuje to zadanie. **Convert\_poetry2uv.py to skrypt Pythona stworzony z myślą o łatwej konwersji pliku pyproject.toml używanego przez Poetry do formatu akceptowanego przez uv.** Po jego uruchomieniu, wygenerowany zostanie nowy plik pyproject.toml, gotowy do użycia z uv. Skrypt dostępny jest jako niezależny pakiet na PyPI, więc instalacja jest bardzo prosta: ``` pip install convert-poetry2uv ``` Następnie możesz uruchomić go z linii poleceń, podając ścieżkę do pliku pyproject.toml: ``` convert_poetry2uv <ścieżka_do_pliku> ``` 💡 Zastosowanie flagi -n spowoduje wygenerowanie pliku tymczasowego zamiast nadpisywania oryginalnego pliku. Skrypt wykonuje dwie główne operacje podczas konwersji: 1. Zastępuje definicję systemu budowania z Poetry na Hatchling. 2. Usuwa opcjonalne grupy zależności, scalając je z główną grupą dev. Ponadto **wynik konwersji może nieznacznie różnić się od pierwotnej struktury pliku**, więc zalecane jest skorzystanie z narzędzia "[Even Better TOML](https://marketplace.visualstudio.com/items?itemName=tamasfe.even-better-toml&ref=innasiec.pl)" w VSCode, aby ręcznie dostosować formatowanie. --- ## Historia portu SSH [The story of the SSH port is 22.The SSH port is 22\. This is the story of how it got that port number. And practical configuration instructions.![](https://innasiec.pl/content/images/icon/SSH_Web_Favicon_48x48.png)SSH Communications SecurityAdmin![](https://innasiec.pl/content/images/thumbnail/ssh-og.png)](https://www.ssh.com/academy/ssh/port?ref=innasiec.pl#the-story-of-getting-ssh-port-22) Tatu Ylonen napisał początkową wersję SSH (Secure Shell) wiosną 1995 roku. W tamtym okresie telnet i FTP były powszechnie używane. SSH zostało zaprojektowane, aby zastąpić zarówno telnet (port 23), jak i FTP (port 21). Port 22 był dostępny i znajdował się pomiędzy portami telnetu a FTP, co wydawało się korzystne. Ylonen uznał, że przydzielenie tego portu mogłoby dodać wiarygodności jego nowemu protokołowi. W tamtych czasach przydzielanie portów było stosunkowo proste. Porty były przydzielane przez IANA (Internet Assigned Numbers Authority). W tym okresie zajmowali się tym Jon Postel i Joyce K. Reynolds. Przed ogłoszeniem SSH w lipcu 1995 roku, Tatu wysłał e-mail do IANA z prośbą o przydzielenie portu: ``` From: Tatu Ylonen To: Internet Assigned Numbers Authority Subject: request for port number ``` Prosił o zarejestrowanie portu dla swojego oprogramowania, które miało być rozprowadzane darmowo w Internecie. Wskazał, że używa portu 22 w wersji beta. Następnego dnia Ylonen otrzymał e-mail od Joyce K. Reynolds: ``` Tatu, We have assigned port number 22 to ssh, with you as the point of contact. Joyce ``` Port SSH został przydzielony! --- ## Nowa alternatywa dla Postmana [https://www.usebruno.com/](https://www.usebruno.com/?ref=innasiec.pl) Bruno to nowoczesna aplikacja do testowania API, stanowiąca alternatywę dla Postmana. Ponieważ Bruno działa całkowicie offline (nie potrzebujesz konta ani połączenia z chmurą), synchronizacja kolekcji została przeniesiona do GIT-a. --- ## Różnice w obsłudze STP pomiędzy Cisco i Juniper _This post is for paying subscribers only._ ### 📬 ISN 167: Jak powstaje dokument RFC? URL: https://innasiec.pl/isn-167-jak-powstaje-dokument-rfc/ Last updated: 2024-12-30T09:00:53.000Z ## Jak Cloudflare walczy z botami AI? [Declare your AIndependence: block AI bots, scrapers and crawlers with a single clickTo help preserve a safe Internet for content creators, we’ve just launched a brand new “easy button” to block all AI bots. It’s available for all customers, including those on our free tier.![](https://innasiec.pl/content/images/icon/favicon-32x32-1.png)The Cloudflare BlogAlex Bocharov![](https://innasiec.pl/content/images/thumbnail/declaring-your-aindependence-block-ai-bots-scrapers-and-crawlers-with-a-single-click-JcihSO.jpg)](https://blog.cloudflare.com/declaring-your-aindependence-block-ai-bots-scrapers-and-crawlers-with-a-single-click/?ref=innasiec.pl) Ekspansja Sztucznej Inteligencji (AI) i naturalnego przetwarzania języka już teraz wywiera transformacyjny wpływ na świat Internetu - i nie zawsze jest to zmiana pozytywna. Ogromna popularność takich narzędzi jak ChatGPT czy Bard dla tworzenia treści oznacza, że **AI-boty intensywnie przeczesują zasoby Internetu, często naruszając prawa własności intelektualnej i dobre praktyki**. Niezbędne jest podjęcie działań, aby chronić integralność serwisów internetowych i umożliwić twórcom decydowanie, które podmioty mogą używać ich treści. Niedawno wykryto, że **firma Perplexity AI maskowała swoją tożsamość podczas przeglądania stron, podszywając się pod zwykłych użytkowników**. Tego typu praktyki pokazują, jak duże znaczenie ma możliwość efektywnego blokowania botów AI, które nie respektują praw własności intelektualnej. Według danych Cloudflare najpopularniejszym botem tego typu jest Bytespider działający na rzecz ByteDance, właściciela TikToka. Dalsze miejsca zajmują Amazonbot, ClaudeBot i GPTBot OpenAI. **Badanie wykazało, że te boty docierają do nawet 40% stron obsługiwanych przez Cloudflare, choć jedynie 3% administratorów stron zdecydowało się je blokować**. Im większa popularność strony, tym większe prawdopodobieństwo, że będzie ona celem botów AI. Wyzwaniem jest rozpoznawanie botów AI, które podszywają się pod zwykłe przeglądarki przez zmianę swojego user agenta. Jak wykazują analizy Cloudflare, nawet w takich wypadkach ich globalny model uczenia maszynowego potrafi właściwie identyfikować tego typu ruch jako pochodzący od botów i przypisywać im niskie oceny wiarygodności. Opiera się on na agregowaniu globalnych sygnałów z całej sieci Cloudflare, co pozwala natychmiast wykrywać nowe typy botów i aktualizować system ochrony. Aby ułatwić klientom ochronę swoich stron, **Cloudflare wprowadził przełącznik "AI Scrapers and Crawlers", który pozwala jednym kliknięciem zablokować cały ruch z botów AI wykorzystywanych do trenowania modeli.** Funkcja jest dostępna dla wszystkich użytkowników, w tym na darmowym planie. Będzie ona aktualizowana na bieżąco w miarę identyfikowania nowych sygnatur botów AI zbierających dane. --- ## Elastyczne sterowanie ruchem wychodzącym [Egress Peer Engineering: basicsEgress Peer Engineering extends regular BGP policies to provide more flexibility.![](https://innasiec.pl/content/images/icon/cropped-blog_identity-1.png)routingcraft.netDmytro Shypovalov![](https://innasiec.pl/content/images/thumbnail/EPE_no_controller.png)](https://routingcraft.net/egress-peer-engineering-basics?ref=innasiec.pl) Aby skutecznie zarządzać ruchem wychodzącym przez różne łącza, operatorzy potrzebują narzędzi, które przewyższają standardowe funkcje BGP. Egress Peer Engineering (EPE) jest odpowiedzią na to zapotrzebowanie. ### Czym dokładnie jest EPE? EPE umożliwia operatorom precyzyjne sterowanie drogami ruchu wychodzącego. **Zamiast definiować preferencje tylko na poziomie całego systemu autonomicznego (AS), EPE pozwala na przypisywanie ruchu do konkretnych połączeń zewnętrznych (egress peers)**. Daje to znacznie większą elastyczność i kontrolę. Standardowo, operatorzy polegają na klasycznym BGP do wybierania preferowanego połączenia wychodzącego. Dwie główne metody to: 1. **Cold potato routing** \- kierowanie ruchu do najbardziej optymalnej ścieżki, zwykle przez dostosowanie lokalnych preferencji BGP. 2. **Hot potato routing** \- wysyłanie ruchu najbliższą drogą, ignorując ścieżkę AS dla najlepszej ścieżki BGP, tak że wyjście jest wybierane na podstawie metryki IGP. Jednak te podejścia mają poważne ograniczenia: 1. **Brak routingu źródłowego** \- gdy zdefiniujemy preferowane wyjście, cały AS będzie preferował to samo połączenie. 2. **Brak świadomości wydajnościowej** \- BGP będzie wysyłać ruch przez preferowane łącze, nawet gdy jest zakorkowane, a inne mają wolne zasoby. 3. **Nieprzewidywalna konwergencja** \- równomierne rozłożenie ruchu jest zaburzone przez awarie, co prowadzi do przeciążeń mimo dostępnej przepustowości. 4. **Złożoność operacyjna** \- próby rozwiązania tych problemów poprzez skomplikowane polityki BGP prowadzą do bardzo złożonych konfiguracji, które są podatne na błędy. Rozważmy przykładową topologię, gdzie AS400 ogłasza prefiks 192.168.0.0/24, a AS666 ma do niego 3 ścieżki: przez AS100, AS200 (oba podłączone do ASBR1) i AS300 (podłączony do ASBR2). Jeśli operator chce kierować ruch z ASBR1 przez AS100, a z ASBR2 przez AS300, nie ma na to sposobu w klasycznym BGP. Jednak z EPE i routingiem źródłowym jest to możliwe. ASBR przydziela etykietę MPLS dla każdego peera zewnętrznego (BGP nexthop).Routery wejściowe (ingress) dołączają tę etykietę na dnie stosu etykiet. Po otrzymaniu pakietu z etykietą EPE, ASBR odpakuje etykietę i wyśle pakiet do odpowiedniego peera, ignorując standardową tablicę routingu. **EPE działa najlepiej ze Segment Routingiem (SR).** Kiedy regularne Traffic Engineering z SR wprowadza stos etykiet MPLS do wymuszenia ścieżki, router wejściowy po prostu musi dodać etykietę EPE na dole stosu. Daje to możliwość ponownego wykorzystania funkcji SR-TE, takich jak automatyczne sterowanie, rezerwacje przepustowości, ograniczenia TE, flexible algo i inne. Bez SR, EPE działa w trybie rekursywnym rozwiązywania nad istniejącymi LSP (LDP lub RSVP), bez ich rozszerzania. Nie jest wtedy możliwe automatyczne sterowanie, a ewentualne ograniczenia ścieżki muszą być definiowane osobno dla LSP i EPE. **Większość wdrożeń EPE wymaga kontrolera**. Co prawda, komunikacja router-kontroler odbywa się za pomocą standardowych protokołów jak BGP i PCEP, a awaria kontrolera powoduje tylko powrót do standardowych reguł BGP, więc nie jest to tak złe, jak mogłoby się wydawać. --- ## Darmowa piaskownica dla NetDevOpsa [Network Automation PlaygroundsLearn, test and validate YAML, JSON, Jinja, TextFSM, TTP, JSON Schema and more, in our suite of free network automation playgrounds.![](https://innasiec.pl/content/images/icon/customcolor_icon_customcolor_background-1.png)Packet CodersRick Donato![](https://innasiec.pl/content/images/thumbnail/51a9c673-0886-4eb1-9840-4a6cdbb541a9-1.png)](https://www.packetcoders.io/playgrounds/?ref=innasiec.pl) Packet Coders oferuje darmowe playgroundy do automatyzacji sieci, umożliwiające naukę, testowanie i walidację różnych formatów danych oraz szablonów. - **Jinja2 Renderer**: Testowanie i walidacja szablonów Jinja. - **TTP Parser**: Walidacja szablonów TTP. - **TextFSM Parser**: Walidacja szablonów TextFSM. - **JMESPath Validator**: Testowanie zapytań JMESPath. - **JSON Schema Validator**: Walidacja schematów JSON. - **Data Format Converter**: Konwersja między różnymi formatami danych. --- ## Odkrywanie sieci z Pythonem [GitHub - scottpeterman/secure\_cartography: A secure, Python-based network discovery and mapping tool that generates comprehensive network topology maps using SSH-based device interrogation.A secure, Python-based network discovery and mapping tool that generates comprehensive network topology maps using SSH-based device interrogation. - scottpeterman/secure\_cartography![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-5.svg)GitHubscottpeterman![](https://innasiec.pl/content/images/thumbnail/secure_cartography)](https://github.com/scottpeterman/secure%5Fcartography?ref=innasiec.pl) **Secure Cartography** to narzędzie do odkrywania i mapowania sieci, oparte na Pythonie, zaprojektowane dla inżynierów sieciowych i profesjonalistów IT. Wykorzystuje interakcję z urządzeniami przez SSH, aby zautomatyzować proces odkrywania sieci, wizualizować topologie sieci oraz łączyć mapy sieci w środowiskach wielo-produktowych. --- ## Jak powstaje RFC? _This post is for paying subscribers only._ ### 📬 ISN 166: Typowe błędy w konfiguracji zapór sieciowych URL: https://innasiec.pl/isn-166-typowe-bledy-w-konfiguracji-zapor-sieciowych-2/ Last updated: 2024-12-23T09:00:37.000Z ## Automatyzacja konfiguracji urządzeń sieciowych [Ansible, Paramiko i klucze SSHDlaczego Ansible preferuje w połaczeniach SSH logowanie za pomocą kluczy? Jak wyłączyć tą funkcjonalność i używać loginu i hasła?![](https://innasiec.pl/content/images/icon/cropped-DEV-NET-Logo-2-1-270x270.png)Szkoła DevNetPiotr Wojciechowski![](https://innasiec.pl/content/images/thumbnail/Ansible-Paramiko-i-klucze-SSH.png)](https://szkoladevnet.pl/ansible-paramiko-i-klucze-ssh/?ref=innasiec.pl) Ansible, znane narzędzie do automatyzacji i zarządzania konfiguracjami, odgrywa kluczową rolę w zautomatyzowanym zarządzaniu sieciami. Jednak aby w pełni wykorzystać jego potencjał, Ansible potrzebuje wsparcia innych narzędzi, takich jak Paramiko - biblioteka Pythona umożliwiająca tworzenie bezpiecznych połączeń SSH. **Ansible wykorzystuje Paramiko do nawiązywania połączeń SSH ze zdalnymi urządzeniami sieciowymi.** Dzięki temu Ansible może przesyłać polecenia konfiguracyjne, zbierać informacje o statusie urządzeń oraz zarządzać konfiguracjami w zautomatyzowany sposób. **Paramiko obsługuje różne metody uwierzytelniania, w tym uwierzytelnianie za pomocą haseł, kluczy SSH oraz certyfikatów**. Ta elastyczność pozwala na dopasowanie mechanizmów bezpieczeństwa do wymagań organizacji oraz zapewnienie odpowiedniego poziomu zabezpieczeń podczas zdalnego zarządzania urządzeniami sieciowymi. Choć **integracja Ansible i Paramiko znacznie ułatwia automatyzację zarządzania sieciami, istnieją pewne potencjalne problemy**, które należy wziąć pod uwagę. Jednym z nich jest problem z uwierzytelnianiem za pomocą kluczy prywatnych. **Jeśli w katalogu `~/.ssh` znajduje się plik `id_rsa` zawierający klucz prywatny, Paramiko będzie domyślnie próbowało użyć uwierzytelniania za pomocą kluczy SSH**, nawet jeśli urządzenie sieciowe nie ma takiej metody skonfigurowanej. Aby rozwiązać ten problem, **należy wyłączyć uwierzytelnianie za pomocą kluczy w pliku `ansible.cfg`** w sekcji `[paramiko_connection]`, ustawiając opcję `look_for_keys` na `False`. Dzięki temu Ansible będzie używać uwierzytelniania za pomocą nazwy użytkownika i hasła, co jest bardziej zgodne z domyślnymi ustawieniami większości urządzeń sieciowych. --- ## Przenieś swoje certyfikaty Cisco do Juniper-a [Migrate Cisco Certifications to Juniper with FREE Training(function (w, d, s, l, i) { w\[l\] = w\[l\] || \[\]; w\[l\].push({ ‘gtm.start’: new Date().getTime(), event: ‘gtm.js’ }); var f = d.getElementsByTagName(s)\[0\], j = d.createElement(s), dl = l != ‘dataLayer’ ?…![](https://innasiec.pl/content/images/icon/favicon-12.ico)![](https://innasiec.pl/content/images/thumbnail/Step1_NoBG.png)](https://learningportal.juniper.net/juniper/user%5Factivity%5Finfo.aspx?id=13858&ref=innasiec.pl#static) **Juniper oferuje bezpłatne szkolenia i obniżone koszty certyfikacji dla inżynierów posiadających certyfikaty Cisco**. Dzięki temu programowi możesz: - Uzyskać dostęp do kursów, ściśle dopasowanych do twoich posiadanych certyfikatów Cisco, bez ponoszenia opłat - Wybrać ścieżkę dostosowaną do Twojego poziomu - od Associate, przez Specialist, po Professional - Pracować w swoim tempie, masz 6 miesięcy na ukończenie każdego kursu - Otrzymać 75% zniżki na certyfikat po zaliczeniu testu przygotowawczego Niezależnie od tego, czy posiadasz certyfikat CCNA, CCNP, czy CCIE, Juniper oferuje odpowiednik w swoim programie certyfikacji: CCNA -> JNCIA-Junos (Juniper Networks Certified Internet Associate) CCNP -> JNCIS (Juniper Networks Certified Internet Specialist) CCNP/CCIE -> JNCIP (Juniper Networks Certified Internet Professional) Posiadając certyfikaty Cisco Wireless możesz dodatkowo skorzystać z unikalnego kursu przygotowującego do certyfikacji JNCIS-MistAI-Wireless. --- ## Konwertuj pakiet Office do Markdown [GitHub - microsoft/markitdown: Python tool for converting files and office documents to Markdown.Python tool for converting files and office documents to Markdown. - microsoft/markitdown![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-4.svg)GitHubmicrosoft![](https://innasiec.pl/content/images/thumbnail/markitdown)](https://github.com/microsoft/markitdown?ref=innasiec.pl) MarkItDown to narzędzie do konwersji różnych plików na format Markdown, obsługujące wiele typów plików, w tym PDF, PowerPoint, Word i inne. Jego celem jest ułatwienie ich przetwarzania przez AI. --- ## Model Context Protocol od Anthropic [GitHub - azdolinski/mcp-ws-example: Anthropic’s Model Context Protocol (MCP) Websocket DemoAnthropic’s Model Context Protocol (MCP) Websocket Demo - azdolinski/mcp-ws-example![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-3.svg)GitHubazdolinski![](https://opengraph.githubassets.com/b449573d3e5702f92f59a063894aa927751ab8dbed47a654b28a859ab936535c/azdolinski/mcp-ws-example)](https://github.com/azdolinski/mcp-ws-example?ref=innasiec.pl) Repozytorium demonstruje dwie implementacje Model Context Protocol (MCP) opracowanego przez Anthropic AI, które umożliwia dwukierunkową komunikację między źródłami danych a narzędziami wspieranymi przez AI. Implementacje obejmują lokalne połączenie w pamięci oraz połączenie przez WebSocket. --- ## Typowe błędy w konfiguracji zapór sieciowych _This post is for paying subscribers only._ ### Cisco Modeling Labs za darmo (Free Tier) URL: https://innasiec.pl/cisco-cml-free-tier-za-darmo/ Last updated: 2025-03-03T16:41:44.000Z Na liście zmian w najnowszej wersji 2.8.0 Cisco Modeling Labs pojawiło się coś, czego chyba nikt się nie spodziewał. Cisco wprowadza Free Tier, czyli możliwość darmowego korzystania z CML. Jak to zwykle bywa, pewnie jest jakiś haczyk, a raczej kilka. Darmowy CML pozwala aktywnie korzystać jedynie z pięciu zwirtualizowanych urządzeń. Do tego limitu nie wliczają się niezarządzalne switche oraz zewnętrzne urządzenia. Dodatkowo w paczce znajdziesz jedynie podstawowe obrazy, takie jak IOL, vASA i linuxowe serwery. ![](https://innasiec.pl/content/images/2024/12/cml_free_tier_images.webp) Dla doświadczonych użytkowników może to być za mało, ale dla osób, które przygotowują się do CCNA lub mają problemy z ograniczeniami Packet Tracera, może to być świetna opcja, zanim wydadzą 199 $ na pełną wersję CML-a. ## Pobieranie obrazów CML 💡 ****Aby pobrać obraz CML, potrzebujesz darmowego konta Cisco.** Upewnij się, że dodałeś adres do swojego profilu, inaczej nie będziesz mógł go pobrać. Cisco Modeling Labs ma dwa główne elementy: obraz do uruchamiania aplikacji oraz plik ISO z obrazami systemów operacyjnych od Cisco. Oba są dostępne na stronie [Software Download](https://software.cisco.com/download/home/286193282/type/286326381/release/2.8.0%20Free%20Tier?catid=268439477&ref=innasiec.pl) jako Release **2.8.0 Free Tier.** Obraz do uruchamiania aplikacji jest dostępny w dwóch wersjach: dla instalacji bare-metal oraz jako obraz dysku `OVA` dla VMware Workstation lub, jak w moim przypadku, ESXi. `Reference image iso`, w skrócie `refplat`, jest identyczny w obu przypadkach. ![](https://innasiec.pl/content/images/2024/12/software-download-cml_optimized.webp) ## Instalacja obrazu Cisco Modelling Lab Sam proces instalacji CML czy VMware Workstation jest świetne opisany w [oficjalnej dokumentacji](https://developer.cisco.com/docs/modeling-labs/deploying-the-ova-file-on-vmware-workstation-fusion/?ref=innasiec.pl) i bliźniaczo podobny na ESXI. Zasadniczo sprowadza się do: - Zlokalizuj plik OVA CML. - Kliknij prawym przyciskiem myszy na plik i wybierz **Otwórz za pomocą ‣ VMware Workstation** lub **wczytaj bezpośrednio w aplikacji.** - Postępuj zgodnie z instrukcjami w kreatorze importu VMware, aby zakończyć import. - Gdy import zostanie zakończony, kliknij Dostosuj lub Zakończ. 💡 ****W tym miejscu nie uruchamiaj jeszcze CML-a!** Musisz wprowadzić kilka zmian w konfiguracji wirtualnej maszyny. W wersji CML 2.3.0 i wyższych, wszystkie obrazy maszyn wirtualnych platformy referencyjnej muszą być skopiowane na lokalny dysk instancji CML. `refplat_image.iso` w wersji darmowej ma co prawda jedynie 2GB, to już pełna wersja zawiera ponad 20GB. Warto mieć to na uwadze i odpowiednio zwiekszyć dysk. Zalecane ustawienia maszyny wirtualnej to: - **Procesor:** Wirtualizuj Intel VT-x/EPT. - **Pamięć:** 8GB lub więcej (zalecane) - **Dysk twardy:** 64GB lub więcej - **CD/DVD:** Mapuj do refplat\_image.iso Teraz jesteś gotowy do właściwej instalacji. ## Instalacja Cisco Modelling Lab Proces instalacji CML jest prosty i wystarczy podążać za instalatorem. P.S. Nie zapomnij podpiąć obrazu ISO do napędu CD/DVD. - Zdefiniuj hostname dla maszyny (CML działa na bazie ubuntu). ![](https://innasiec.pl/content/images/2024/12/cml_host_name.webp) - Zdefiniuj konto administratora. ![](https://innasiec.pl/content/images/2024/12/cml_create_admin.webp) - Wybierz adresację. ![](https://innasiec.pl/content/images/2024/12/cml_choose_ip_address.webp) - Pora na kopiowane danych z obrazu ISO do instancji CML. ![](https://innasiec.pl/content/images/2024/12/cml_copy_images_from_refpack.webp) - Instalacja gotowa. ![](https://innasiec.pl/content/images/2024/12/cml_installation_completed.webp) - Można przejść do przeglądarki. ![](https://innasiec.pl/content/images/2024/12/cml_in_browser.webp) ## Nowy feature - Smart Annotation W wersji 2.8 wprowadzono funkcję, o której warto wspomnieć – **Smart Annotation**. To opcja, która umożliwia przypisywanie wybranych tagów do urządzenia. Kolejne urządzenia z tym samym tagiem będą oznaczane jako część tej samej grupy. Może wydawać się to proste, ponieważ można to zrobić ręcznie, ale mimo to zaoszczędzi to sporo czasu. ![](https://innasiec.pl/content/images/2024/12/cml_smart_annotation.webp) ### 📬 ISN 165:Jak Ethernet zapewnia sieć dla AI? URL: https://innasiec.pl/isn-165-jak-ethernet-zapewnia-siec-dla-ai/ Last updated: 2024-12-16T09:00:46.000Z ## Nowy egzamin od Cisco [New: Cisco CCT Field Technician certificationGet certified to provide on-site support and maintenance for Cisco devices.![](https://innasiec.pl/content/images/icon/cropped-Cisco-logo-thumb-sky-blue-300x300.jpg)Cisco BlogsJoe Clarke![](https://innasiec.pl/content/images/thumbnail/Blog-Feature-Images-4-scaled.jpg)](https://blogs.cisco.com/learning/ciscos-new-cct-field-technician-certification-preparing-for-the-future-of-it?ref=innasiec.pl) Cisco wprowadza ważną zmianę w swojej ścieżce certyfikacyjnej dla techników [**Cisco Certified Technician (CCT) Field Technician**](https://www.cisco.com/site/us/en/learn/training-certifications/certifications/technician/index.html?ref=innasiec.pl). Nowy program łączy wcześniejsze certyfikaty CCT i zapewnia kompleksowe przygotowanie do sprostania wymaganiom współczesnego IT. CCT Field Technician zastępuje dotychczasowe osobne certyfikacje w obszarach: Collaboration, Data Center oraz Routing and Switching. Ta konsolidacja wydaje się krokiem we właściwym kierunku - pozwoli skupić się na kluczowych zadaniach i produktach, z którymi spotkacie się w codziennej pracy. Wraz z nową certyfikacją przygotowano ścieżkę szkoleniową Supporting Cisco Devices for Field Technicians (FLDTEC). Ma ona znacznie krótszy czas trwania niż łączony czas poprzednich szkoleń - zaledwie 10 godzin zajęć zamiast 25-29 godzin. Nie oznacza to jednak zubożenia tematyki. Wręcz przeciwnie - FLDTEC obejmuje zarówno klasyczne zagadnienia, jak i nowe obszary: - Identyfikacja sprzętu Cisco - Okablowanie i konfiguracja - Tworzenie backupów, przywracanie ustawień - Upgrade i downgrade oprogramowania - Unified Computing System (UCS) Wszystko o czym musi wiedzieć technik na miejscu przy sprzęcie. **Egzamin towarzyszący certyfikacji CCT Field Technician (500-150 FLDTEC) to 100 pytań do rozwiązania w czasie 120 minut.** Dla porównania, dotychczasowe egzaminy zajmowały łącznie 4,5 godziny. Zyskujemy więc bardzo zwięzły sprawdzian obejmujący kluczowe obszary: - Podstawy sieci - Codzienne zadania serwisowe i narzędzia - Oprogramowanie Cisco - Architektura infrastruktury i współpracy - Wymiana sprzętu i UCS - Architektura centrów danych Nowa certyfikacja Cisco Certified Technician Field Technician zadebiutuje 10 lutego 2025 roku za pośrednictwem Pearson Vue. Szkolenie FLDTEC będzie dostępne na platformie Cisco U. nieco wcześniej. Osoby posiadające starsze certyfikaty CCT będą mogły je wykorzystywać do czasu wygaśnięcia, jednak po 9 lutego 2025 r. do odnowienia wymagane będzie zdanie egzaminu 500-150 FLDTEC. --- ## Przegląd Trendów Internetowych 2024 [https://radar.cloudflare.com/year-in-review/2024](https://radar.cloudflare.com/year-in-review/2024?ref=innasiec.pl) Raport Cloudflare Radar 2024 przedstawia kluczowe trendy i zmiany w globalnej infrastrukturze internetowej. Zrozumienie tych trendów jest fundamentalne w kontekście planowania i optymalizacji infrastruktury. ### Wzrost Ruchu Internetowego - Globalny wzrost ruchu o 17,2% - Znaczący wpływ usług AI na strukturę ruchu - Dominacja protokołu HTTP/3 (20,5% całkowitego ruchu) ### Protokoły i Bezpieczeństwo - 13% ruchu TLS 1.3 wykorzystuje szyfrowanie post-kwantowe - Znaczący wzrost po wprowadzeniu Chrome 124 - Implementacja w Firefox i testowanie w Safari ### Dystrybucja ruchu HTTP - HTTP/3: 20,5% - HTTP/2: 49,6% - HTTP/1.x: 29,9% ### IPv6 i Infrastruktura Sieciowa - Znaczący wzrost adopcji IPv6 w sieciach dual-stack - Redukcja zależności od przestrzeni adresowej IPv4 - Optymalizacja kosztów poprzez eliminację "podatku IPv4" ### Bezpieczeństwo i Zagrożenia - Kontynuacja ataków na podatność Log4j - Wzrost znaczenia RPKI (49,8% valid IPv4 routes) - Ewolucja zagrożeń DDoS i WAF ### AI i Automatyzacja - Najpopularniejsze narzędzia - ChatGPT - GitHub Copilot - Claude - Znaczący wpływ na ruch API ### Języki Programowania w API - Go: 11,8% - Node.js: 10% - Python: 9,6% - Java: 7,4% - .NET: 3,6% ### Rekomendacje - Przygotowanie do zwiększonego ruchu AI - Implementacja wsparcia dla HTTP/3 - Przyśpieszenie migracji do IPv6 - Wdrożenie szyfrowania post-kwantowego - Monitoring anomalii TCP - Implementacja RPKI - Dostosowanie do wzrostu ruchu mobilnego - Planowanie przepustowości pod kątem AI - Modernizacja stack'u protokołów --- ## vJunos w Containerlab [How to bring up vJunos Router in Containerlab » Roger PerkinContainerlab is a brilliant way to bring up network testing labs, and Juniper have released free vJunos images that you can use. In this post I am going to![](https://innasiec.pl/content/images/icon/cropped-cisco-router-favicon-270x270.png)Roger Perkin Network Automation ArchitectRoger Perkin![](https://innasiec.pl/content/images/thumbnail/vjunos-router-running-containerlab.png)](https://www.rogerperkin.co.uk/network-automation/network-automation-lab/how-to-bring-up-vjunos-router-in-containerlab/?ref=innasiec.pl) Containerlab przenosi ideę Infrastructure as Code (IaC) do wirtualnego labowania. Dzięki temu użytkownicy mogą łatwo tworzyć i zarządzać wirtualnymi środowiskami sieciowymi. W artykule opisano, jak pobrać i skonfigurować obraz routera vJunos w środowisku Containerlab. --- ## Mega promocja na egzaminy od Pearson Vue [Cyber Monday - Free RetakeWe’re celebrating Cyber Monday all December long! Finish the year confidently when you take advantage of our FREE exam retake promotion.![](https://innasiec.pl/content/images/icon/favicon-11.ico)Pearson VUE![](https://innasiec.pl/content/images/thumbnail/PearsonVueLockUp.png)](https://www.pearsonvue.com/us/en/test-takers/free-retake.html?ref=innasiec.pl) W grudniu 2024 roku **Pearson VUE oferuje darmowe podejście do egzaminu dla osób, które nie zdały za pierwszym razem.** **Akcja trwa od 2 do 31 grudnia 2024 roku** i dotyczy wybranych programów egzaminacyjnych. - **Promocja:** Darmowe podejście dla osób, które nie zdały egzaminu. - **Okres oferty:** Od 2 grudnia 2024 do 31 grudnia 2024. - **Jak skorzystać:** Zarejestruj się, opłać i zdobądź egzamin do 31 grudnia; użyj kodu promocyjnego `VUECyberMondayRetake` przy rejestracji na drugi egzamin. - **Terminy:** Drugi egzamin musi odbyć się między 1 stycznia a 17 kwietnia 2025. ## Jak Ethernet zapewnia sieć dla AI? _This post is for paying subscribers only._ ### 📬 ISN 164: Czy to koniec compTIA? URL: https://innasiec.pl/isn-164-czy-to-koniec-comptia/ Last updated: 2024-12-09T09:00:14.000Z --- --- ## Koniec neutralnej certyfikacji? [November Surprise: Private Equity Nabs CompTIAThe acquisition of CompTIA splits the organization in two -- a new for-profit certification and training business and a non-profit association.![](https://innasiec.pl/content/images/icon/apple-touch-icon-180x180.png)ChannelE2ETodd R. Weiss![](https://innasiec.pl/content/images/thumbnail/DALLE-comptiaAcquisitionPE.jpg)](https://www.channele2e.com/feature/comptia-acquired-by-investment-firms-h-i-g-capital-and-thoma-bravo?ref=innasiec.pl) W it, certyfikaty i szkolenia odgrywają kluczową rolę w rozwijaniu umiejętności oraz utrzymywaniu konkurencyjności na rynku pracy. CompTIA, globalny dostawca certyfikacji i szkoleń IT, stoi w obliczu przełomowych zmian, które mogą mieć daleko idące konsekwencje dla całej branży. **Po 42 latach działalności jako organizacja non-profit, CompTIA zostaje przejęta przez dwie prywatne firmy inwestycyjne**, H.I.G. Capital i Thoma Bravo. Umowa przejęcia przewiduje podzielenie CompTIA na dwie odrębne jednostki: jednostkę biznesową zajmującą się certyfikacjami i szkoleniami IT, która stanie się firmą nastawioną na zysk, oraz niezależną organizację non-profit zajmującą się zrzeszaniem członków i reprezentowaniem ich interesów. Ten podział ma na celu zapewnienie lepszych zasobów i wsparcia dla obu jednostek, aby mogły skuteczniej realizować swoje cele. Transakcja ta może rodzić zarówno nadzieje, jak i obawy. Z jednej strony, nowi właściciele mogą zainwestować więcej środków w rozwój certyfikacji i szkoleń, i na poważnie rzucić rękawice Cisco. Z drugiej jednak strony, **istnieją obawy, że nastawienie na zysk może prowadzić do podwyżek opłat za certyfikaty i szkolenia**. CompTIA jest znana z takich certyfikatów, jak A+, Network+, Security+ i innych, które są powszechnie uznawane w branży. Transakcja nie powinna bezpośrednio wpłynąć na ważność tych certyfikatów, jednak w dłuższej perspektywie może się to przełożyć na zmiany w ich zakresie, wymaganiach i kosztach uzyskania. --- ## Zrozum opóźnienia w Internecie [Is it bandwidth or latency? | APNIC BlogCACM has an entertaining write up on bufferbloat and latency.![](https://innasiec.pl/content/images/icon/favicon-10.ico)APNIC BlogGeorge Michaelson![](https://innasiec.pl/content/images/thumbnail/pipes_FT.png)](https://blog.apnic.net/2024/11/25/is-it-bandwidth-or-latency/?ref=innasiec.pl) Współczesny Internet to zaawansowany ekosystem, gdzie każda millisekunda może decydować o jakości transmisji danych. Zrozumienie mechanizmów opóźnień to nie tylko wiedza techniczna, ale strategiczne narzędzie projektowania wydajnych rozwiązań infrastrukturalnych. Prędkość sygnału to fascynujący fenomen fizyczny, który bezpośrednio wpływa na wydajność sieci. **W próżni światło przemieszcza się z prędkością 3 × 10^8 metrów na sekundę**, lecz w rzeczywistych mediach transmisyjnych ta prędkość ulega znaczącemu spowolnieniu. **W przewodach elektrycznych sygnał porusza się z prędkością około 2,7 × 10^8 m/s (97% prędkości światła)**, podczas gdy **w światłowodach jeszcze wolniej - zaledwie 2 × 10^8 m/s**, co stanowi około dwóch trzecich prędkości światła. Odległość geograficzna to kluczowy czynnik opóźnień, często niedoceniany przez użytkowników. Przykładowo, **transmisja danych z Japonii do Europy generuje naturalne opóźnienie około 60 milisekund**, nawet bez uwzględnienia dodatkowych elementów infrastruktury sieciowej. To więcej niż opóźnienie podczas komunikacji z lokalną siecią dystrybucji treści (Content Delivery Network). Zjawisko bufferbloat oraz mechanizmy wymiany pakietów jeszcze bardziej komplikują proces transmisji. Każda wymiana danych wymaga nie tylko przesłania pakietu, ale i odebrania potwierdzenia, co w długich trasach sieciowych generuje kumulatywne opóźnienia. Dodatkowe przekształcenia sygnału - między mediami elektrycznymi i optycznymi - wprowadzają kolejne mikro-opóźnienia. Nowoczesne sieci Content Delivery Network (CDN) stanowią strategiczne rozwiązanie tych wyzwań. Poprzez rozmieszczenie serwerów w kluczowych węzłach globalnej sieci, CDN minimalizują rzeczywiste odległości transmisji, skutecznie redukując opóźnienia. Narzędzia takie jak LibreQoS oferują zaawansowane możliwości zarządzania jakością usług. Pozwalają one nie tylko mierzyć, ale i aktywnie optymalizować trasy przesyłu danych, dostosowując infrastrukturę do zmieniających się wymagań transmisyjnych. --- ## Zarządzaj pakietami Pythona 10-20x szybciej [uv: An In-Depth Guide to Python’s Fast and Ambitious New Package ManagerA comprehensive guide on why and how to start using uv—the package manager (and much more) that’s taken the Python world by storm.![](https://innasiec.pl/content/images/icon/apple-touch-icon.a8ad3027f2b5.png)SaaS Pegasus![](https://innasiec.pl/content/images/thumbnail/uv-social.d765bb4ede7a.png)](https://www.saaspegasus.com/guides/uv-deep-dive/?ref=innasiec.pl) Artykuł opisuje nowego menedżera pakietów Python o nazwie uv, który ma na celu uproszczenie oraz przyspieszenie zarządzania środowiskami i zależnościami w projektach Python. Uv zastępuje wiele dotychczasowych narzędzi, oferując kompleksowe rozwiązanie. --- ## Konfiguracja NAT w Wiregurad [Wireguard: Beyond the most basic configurationLast week I wanted to replace my OpenVPN setup with WireGuard. The basics were well-documented, going beyond the basics was a bit trickier. Let me teach you want I learned. The basics But first, let’s summarize the basics. I have a server with a hosting provider that I want to use as a VPN server. I won’t delve into details here, since there are so many great explanations on the web already (here, here, here or here), let’s just make a quick summary of a simple setup, as a base for discussing the (slightly) more advanced usages I had to configure myself:![](https://static.ghost.org/v5.0.0/images/link-icon.svg)sloonz's blogsloonz](https://sloonz.github.io/posts/wireguard-beyond-basic-configuration/?ref=innasiec.pl) Autor opisuje proces wymiany konfiguracji OpenVPN na WireGuard, koncentrując się na podstawowych i zaawansowanych aspektach konfiguracji VPN. Przedstawia szczegółowe kroki do stworzenia serwera i klienta VPN, a także omawia problemy związane z NAT i jak je rozwiązać przy użyciu UPnP oraz IPv6. ## Zmień myślenie o automatyzacji _This post is for paying subscribers only._ ### 📬 ISN 163: Poznaj alternatywny dla Spanning Tree URL: https://innasiec.pl/isn-163-poznaj-alternatywny-dla-spanning-tree/ Last updated: 2024-12-02T09:00:31.000Z ## Odporność na awarie podwodnych kabli w Europie [Resilient Internet connectivity in Europe mitigates impact from multiple cable cutsTwo recent cable cuts that occurred in the Baltic Sea resulted in little-to-no observable impact to the affected countries, in large part because of the significant redundancy and resilience of Internet infrastructure in Europe.![](https://innasiec.pl/content/images/icon/favicon-32x32.png)The Cloudflare BlogDavid Belson![](https://innasiec.pl/content/images/thumbnail/OG_Share_2024__3_.png)](https://blog.cloudflare.com/resilient-internet-connectivity-baltic-cable-cuts/?ref=innasiec.pl) Potężna sieć naziemnych i podwodnych połączeń kablowych w Europie sprawia, że uszkodzenia pojedynczych kabli mają niewielki lub żaden wpływ na jakość usług internetowych. Dwa niedawne przypadki uszkodzeń kabli w regionie Morza Bałtyckiego pokazują, jak redundancja sieci pomaga utrzymywać stabilną łączność. **W nocy 17 listopada 2024 r. doszło do uszkodzenia podwodnego kabla BCS East-West Interlink łączącego Litwę i Szwecję**. Choć kabel ten odpowiadał za jedną trzecią przepustowości internetowej Litwy, alternatywne połączenia naziemne i podwodne pozwoliły na bezproblemowe przekierowanie ruchu sieciowego. Dane z Cloudflare Radar nie wykazały żadnych istotnych zakłóceń w ruchu internetowym lub pogorszenia jakości usług w obu krajach. Zaledwie dzień później, 1**8 listopada, zerwanie uległ kabel C-Lion1 łączący Finlandię i Niemcy**. Pomimo nagłej utraty tego ważnego połączenia, **dane Cloudflare Radar ponownie nie zarejestrowały znaczącego wpływu na stabilność sieci w tych krajach**. W przypadku **Finlandii zaobserwowano nawet krótkotrwałą poprawę przepustowości i opóźnień**, prawdopodobnie spowodowaną przekierowaniem ruchu na alternatywne, wydajniejsze ścieżki. **Kluczowym czynnikiem pozwalającym na tak odporną architekturę sieci w Europie jest wielość naziemnych i podmorskich kabli zapewniających połączenia z innymi krajami**. Podziemne światłowody oraz podwodne kable biegnące zarówno na obszarze kontynentu europejskiego, jak i łączące go z pozostałymi częściami świata, tworzą gęstą sieć zapasowych ścieżek komunikacyjnych. Nawet w przypadku awarii kilku kabli, obciążenie może zostać płynnie przejęte przez alternatywne trasy bez zauważalnego spadku wydajności dla użytkowników końcowych. To niezwykle istotne zabezpieczenie, zwłaszcza biorąc pod uwagę, jak wiele usług krytycznych opiera się obecnie na niezawodnej łączności internetowej. Nie powinniśmy jednak polegać wyłącznie na wielu połączeniach fizycznych. Równie ważne jest nawiązanie współpracy z wieloma niezależnymi operatorami sieciowymi i dostawcami usług internetowych. **Unikanie single point of failure na każdym etapie architektury sieci to klucz** do zapewnienia prawdziwej odporności na awarie. Oprócz korzystania z wielu tras transmisji danych, **zespoły sieciowe powinny również stosować metody takie jak rozproszenie zasobów krytycznych (np. serwerów DNS), równoważenie obciążenia czy wdrażanie automatycznych mechanizmów failover.** Jedynie takie kompleksowe podejście pozwoli na zagwarantowanie ciągłości usług nawet w obliczu awarii o szerokim zasięgu. --- ## Dlaczego warto zainwestować w automatyzację sieci? [How to tackle network automation challenges and risks | TechTargetNetwork managers shy away from network automation due to outage fears, but automation has advantages. Learn how to overcome network automation challenges.![](https://innasiec.pl/content/images/icon/apple-touch-icon-144x144.png)TechTargetCharles Uneze![](https://innasiec.pl/content/images/thumbnail/toolGearArrow_g1157744678.jpg)](https://www.techtarget.com/searchnetworking/tip/How-to-tackle-network-automation-risks-and-tasks?hss%5Fchannel=lcp-9267613&ref=innasiec.pl) Nie ma wątpliwości, że automatyzacja procesów sieciowych staje się koniecznością dla współczesnych przedsiębiorstw. Ręczna konfiguracja i zarządzanie setkami urządzeń to nie tylko czasochłonne i pracochłonne zajęcie, ale także duże ryzyko wystąpienia błędów i przerw w działaniu sieci. Właśnie dlatego automatyzacja sieci jest tak atrakcyjna - oferuje standardyzację, niezawodność i oszczędności w dłuższej perspektywie. Nie oznacza to jednak, że przejście na zautomatyzowane zarządzanie jest pozbawione wyzwań. ### **Dlaczego warto zainwestować w automatyzację sieci?** **Standaryzacja i odporność** Jedną z kluczowych zalet automatyzacji jest możliwość standaryzacji projektów sieciowych. Tradycyjne konfiguracje ad hoc, zwane potocznie "płatkami śniegu", zwiększają ryzyko wystąpienia problemów, gdyż każda część sieci może być skonfigurowana w inny sposób. Ustandaryzowane "bloki konstrukcyjne" sieci znacznie upraszczają proces automatyzacji, w tym początkową konfigurację, aktualizacje oprogramowania, walidację połączeń fizycznych i rozwiązywanie problemów. **Zwiększona wydajność i zwinność** Opóźnienie we wdrożeniu kompleksowej automatyzacji w środowisku IT może negatywnie wpłynąć na konkurencyjność firmy. Zautomatyzowane procesy umożliwiają efektywniejsze wykorzystanie zasobów, co przekłada się na wyższą wydajność i rentowność przy tym samym nakładzie pracy. Ponadto standaryzacja ułatwia integrację nowych technologii sieciowych poprzez wprowadzanie przyrostowych zmian w istniejących projektach i skryptach automatyzacji. ### **Wyzwania techniczne automatyzacji sieci** **Tworzenie testów jednostkowych dla kodu** Choć pisanie kodu w językach takich jak Python czy Golang jest już standardem dla inżynierów sieciowych, tworzenie testów jednostkowych wciąż stanowi wyzwanie. Wymaga to dodatkowych umiejętności i czasu, ale jest niezbędne do zapewnienia jakości i niezawodności automatyzacji. **Mapowanie adresów IP na usługi** W klastrach sieciowych opartych np. na Kubernetesie, niektóre narzędzia CNI (Container Network Interface) nie obsługują statycznych adresów IP. Powoduje to częste zmiany adresacji usług podczas skalowania, co utrudnia utrzymanie aktualnego rejestru usług i może prowadzić do błędów komunikacji między nimi. **Skalowalność i brak widoczności** Zarządzanie spójną konfiguracją automatyzacji w środowiskach chmurowych różnych dostawców może być problematyczne. Dodatkowym wyzwaniem operacyjnym jest brak scentralizowanej widoczności konfiguracji sieci mikrousług na poziomie klastrów Kubernetesa. ### **Wyzwania organizacyjne** **Zmiana nastawienia i rozwój umiejętności** Przejście na automatyzację sieci wymaga przełamania oporów i rozwijania nowych kompetencji wśród inżynierów. Migracja obciążeń do chmury i obsługa komunikacji między usługami mikrousług sprawiają, że zapotrzebowanie na nowe umiejętności stale rośnie, co może być wyzwaniem dla zespołów sieciowych. ### Zmniejszanie ryzyka przy wdrażaniu automatyzacji **Początek z małych kroków** Wdrażanie automatyzacji powinno rozpocząć się od prostych zadań, takich jak narzędzia do diagnostyki i analizy stanu sieci. Nie należy od razu wprowadzać automatycznych zmian konfiguracji. Kluczowe jest poznanie narzędzi i procesów, które przyniosą realną wartość dla operacji sieciowych. **Środowisko testowe i walidacja zmian** Tworzenie wiarygodnego środowiska testowego dla nowych skryptów automatyzacji jest niezbędne. Może to wymagać współpracy z zespołem DevOps w celu dokładnego odwzorowania architektury produkcyjnej. Kolejnym ważnym aspektem jest walidacja stanu sieci przed i po wprowadzeniu zmian. Skrypty sprawdzające powinny generować alerty w przypadku nieprawidłowości i, w razie potrzeby, umożliwiać wycofanie zmian. **Wdrażanie najlepszych praktyk** Automatyzacja wymaga stosowania tych samych, rygorystycznych procesów co tradycyjny rozwój oprogramowania. Należy wprowadzić ścisłe zasady kontroli zmian, cykle przeglądowe i testy zautomatyzowanych skryptów. Ponadto decentralizacja zespołów utrudnia koordynację działań automatyzacji, więc kluczowa jest bliższa współpraca między zespołami sieciowymi, DevOps i aplikacyjnymi. --- ## Żegnaj CyberOps, witaj Cybersecurity [Cisco Learning Network![](https://innasiec.pl/content/images/icon/favicon-9.ico)](https://learningnetwork.cisco.com/s/cyberops-updates?ref=innasiec.pl) Cisco CyberOps miał być dla cyberbezpieczeństwa tym, czym DevNet jest dla automatyzacji sieci. Może nawet tym, czym Adidas jest dla butów sportowych – mocną, rozpoznawalną marką, która jednoznacznie kojarzy daną dziedzinę z firmą. Ambitne plany jednak się nie powiodły, i od stycznia ścieżka cyberbezpieczeństwa od Cisco wraca do nazwy Cisco Cybersecurity. --- ## Jak przywrócić pojedynczy plik w Git [How to Restore a Single File in a Git RepositoryGit Tip: git checkout allows you to restore a single file to a previous version without affecting the rest of your project. For example: git checkout--. Full example below: # View the commit history of a specific file. git log -- path/to/file # Restore a specific file to its state![](https://innasiec.pl/content/images/icon/customcolor_icon_customcolor_background.png)Packet CodersRick Donato![](https://innasiec.pl/content/images/thumbnail/Untitled-design--93--1-2.webp)](https://www.packetcoders.io/how-to-restore-a-single-file-in-git-without-affecting-the-whole-project/?ref=innasiec.pl) Rick Donato z Packet Coders publikuje krótkie artykuły w sieci, które zawierają użyteczne i praktyczne wskazówki. Tym razem opisuje, jak przywrócić pojedynczy plik z repozytorium Gita. --- ## Alternatywy dla Spanning Tree _This post is for paying subscribers only._ ### 📬 ISN 162: Co się stanie z moim urządzeniem Cisco, gdy wygasną licencje? URL: https://innasiec.pl/isn-162-co-sie-stanie-z-moim-urzadzeniem-cisco-gdy-wygasna-licencje/ Last updated: 2024-11-25T09:00:29.000Z ## Ewolucja Architektury Sieciowej w Centrach Danych Napędzanych przez AI [How AI is changing the modern data centerBillions of dollars have already been invested over the last year retrofitting data centers to accommodate AI workloads in one of the biggest inflection points in data-center architecture in decades.![](https://innasiec.pl/content/images/icon/runtime_icon-06.png)RuntimeTom Krazit![](https://innasiec.pl/content/images/thumbnail/unnamed.jpg)](https://www.runtime.news/how-ai-is-changing-the-modern-data-center/?ref=innasiec.pl) Współczesne zadania AI, szczególnie w kontekście trenowania modeli, stawiają przed infrastrukturą sieciową wyjątkowe wymagania. Kluczowe znaczenie ma komunikacja między klastrami GPU, gdzie każda mikrosekundowa opóźnienia może znacząco wpłynąć na wydajność całego systemu. Tradycyjny Ethernet, mimo swojej wszechstronności, nie zawsze spełnia wymagania nowoczesnych workloadów AI. **Operatorzy centrów danych implementują zaawansowane rozwiązania**, takie jak: - **Sieci 10P/10U** oferujące przepustowość 10 TB/s przy latencji 10 mikrosekund - Technologia **InfiniBand** dla połączeń międzyraczkowych - Optyczne połączenia międzyserwerowe wykorzystujące najnowsze osiągnięcia w dziedzinie fotoniki Zwiększone zapotrzebowanie na moc obliczeniową wymusza fundamentalne zmiany w architekturze fizycznej. **Standardowe szafy serwerowe, mieszczące dotychczas 30-40 serwerów, obecnie mogą pomieścić zaledwie 3-4 serwery AI** ze względu na ograniczenia zasilania i chłodzenia. Kluczowe modyfikacje obejmują: - Przeprojektowanie systemów dystrybucji zasilania - Implementację chłodzenia cieczą w obiegu zamkniętym - Optymalizację rozmieszczenia serwerów dla minimalizacji opóźnień sieciowych - Modernizację okablowania strukturalnego dla obsługi większych przepustowości ### Edge Computing i Inferncja AI Wraz z ewolucją zastosowań AI, obserwujemy rosnące znaczenie przetwarzania brzegowego. Inference AI, w przeciwieństwie do trenowania modeli, nie wymaga tak znaczących zasobów obliczeniowych, co otwiera nowe możliwości architektoniczne: - Rozproszone punkty obecności dla minimalizacji latencji - Hybrydowe architektury sieciowe łączące centralne centra danych z infrastrukturą brzegową - Zoptymalizowane ścieżki routingu dla zadań inference ### Rekomendacje dla Architektów Sieciowych 1. Planowanie **przepustowości sieciowej powinno uwzględniać 10-krotny wzrost zapotrzebowania** w porównaniu z tradycyjnymi aplikacjami. 2. Implementacja dedykowanych ścieżek sieciowych dla workloadów AI, z naciskiem na minimalizację latencji. 3. Rozwój kompetencji w zakresie technologii InfiniBand i optycznych połączeń międzyserwerowych. 4. Przygotowanie infrastruktury pod kątem edge computing i distributed inference. --- ## Rozwiązywanie problemu buforowania [Fix Bufferbloat on MikroTik without disabling FastTrackEnable/Setup FQ-CoDel or CAKE SQM on RouterOS using Queue Tree![](https://innasiec.pl/content/images/icon/apple-touch-icon-5.png)Anim Mouse![](https://innasiec.pl/content/images/thumbnail/The-Simpsons-S05E13-711493-Bufferbloat.jpg)](https://www.animmouse.com/p/fix-bufferbloat-on-mikrotik-without-disabling-fasttrack/?ref=innasiec.pl) Wraz z rosnącymi wymaganiami dotyczącymi niskich opóźnień i wysokiej przepustowości sieci, coraz większe znaczenie ma zwalczanie zjawiska buforowania (bufferbloat). Jak sama nazwa wskazuje, chodzi o nadmierne buforowanie pakietów, co prowadzi do wysokich opóźnień i zmiennej wydajności - szczególnie niepożądanych podczas wykonywania zadań wymagających krótkich czasów reakcji. **Kluczem do rozwiązania problemu bufferbloat jest wdrożenie inteligentnego zarządzania kolejkami (Smart Queue Management, SQM)**. ### Fair/Flow Queueing Controlled Delay (FQ-CoDel) FQ-CoDel to algorytm SQM promowany przez Internet Engineering Task Force jako rozwiązanie dla środowisk domowych i małych firm. Jak sama nazwa wskazuje, łączy on mechanizmy **Fair Queueing (sprawiedliwe kolejkowanie)** i **Controlled Delay (kontrolowane opóźnienie)**. W rezultacie FQ-CoDel zapewnia: - Równe traktowanie różnych strumieni danych (gier, strumieniowania, przesyłania plików itp.) dzięki Fair Queueing. - Niskie opóźnienia i zmniejszone buforowanie dzięki aktywnej kontroli opóźnień (Controlled Delay). ### Common Applications Kept Enhanced (CAKE) CAKE to nowszy algorytm SQM. Łączy on mechanizmy kolejkowania, obsługi strat pakietów i aktywnej kontroli kolejek w jednym pakiecie o niskiej złożoności obliczeniowej. Oferuje następujące korzyści: - Sprawiedliwe dzielenie przepustowości między różne aplikacje i źródła ruchu. - Inteligentne obsługiwanie strat pakietów i buforowania. - Priorytetyzacja krótkich przepływów (np. ruch sieciowy) i oparte na progach limitowanie długich przepływów. ### Konfiguracja FQ-CoDel lub CAKE na MikroTik Obie **omawiane metody SQM są dostępne w systemie RouterOS od wersji 7.1\.** Poniżej znajdziesz kroki pozwalające włączyć FQ-CoDel lub CAKE na swoim routerze MikroTik. - Zmierz prędkość swojego łącza internetowego (np. przy użyciu [Speedtest.net](https://www.speedtest.net/?ref=innasiec.pl)). Wybierz maksymalną prędkość, jaką chcesz przydzielić dla algorytmu SQM - dobrą praktyką jest użycie 90% łącznej prędkości. - Przeprowadź test Bufferbloat (np. [Waveform Bufferbloat Test](https://www.waveform.com/tools/bufferbloat?ref=innasiec.pl)), aby sprawdzić stan początkowy opóźnień na swoim łączu. - Dodaj typ kolejki dla FQ-CoDel lub CAKE: /queue type add kind=fq-codel name=fq-codel /queue type add kind=cake name=cake - Utwórz drzewa kolejek dla ruchu przychodzącego i wychodzącego na swoich interfejsach sieciowych, ustawiając parametr max-limit na wybraną prędkość. Na przykład: /queue tree add max-limit=225M name=queue-upload packet-mark=no-mark parent=ether1 queue=fq-codel /queue tree add max-limit=225M name=queue-download packet-mark=no-mark parent=bridge queue=fq-codel - Wykonaj ponownie test Bufferbloat, aby sprawdzić zmniejszenie opóźnień i poprawę wydajności sieci. Mimo że powyższe instrukcje to podstawa, pamiętaj o następujących kwestiach optymalizacyjnych: - Dla łączy asymetrycznych ustaw odpowiednio różne wartości max-limit dla ruchu przychodzącego i wychodzącego. - Aby zapewnić odpowiednią obsługę różnego typu ruchu (gier, VoIP, strumieniowania wideo itp.), rozważ dodanie ręcznie oznaczonych kolejek obok tych wykorzystywanych przez algorytmy SQM. - Monitoruj współczynnik utraty pakietów i w razie potrzeby dostosuj parametry kolejek lub zakres przepustowości. - Rozważ zintegrowanie algorytmów SQM z regułami firewalla i QoS, aby zapewnić kompleksową optymalizację ruchu sieciowego. ## To (nie)zawsze wina DNS ![](https://innasiec.pl/content/images/2024/11/Its-Always-DNS-v20241121.webp) Grafika pochodzi z [https://weberblog.net/its-always-dns-poster/](https://weberblog.net/its-always-dns-poster/?ref=innasiec.pl), autor Johannes Weber Wszyscy wiemy, że za awariami w sieci stoi DNS (albo BGP, ale nie o tym dzisiaj). Johannes Weber stworzył świetną grafikę pokazującą, jak względnie prosty w działaniu protokół DNS funkcjonuje pod spodem (spoiler: wcale nie jest prosto). [Link do pobrania w formie pdf-a](https://weberblog.net/wp-content/uploads/2024/11/Its-Always-DNS-v20241121.pdf?ref=innasiec.pl) --- ## Cisco modeling Lab za darmo [CML Free TierLife is good when you can lab from anywhere. Cisco Modeling Labs Free makes it fun to design, test, troubleshoot, and learn with the Cisco premier platform for network simulations. It’s the perfect tool for network engineers, architects, and students to gain real-world, hands-on practice as they learn-and prep for certification exams without any initial cost. Sign up today to start labbing now.![](https://innasiec.pl/content/images/icon/ciscofavicon.png)cisco-logo![](https://innasiec.pl/content/images/thumbnail/Cisco_logo_img.png)](https://mkto.cisco.com/cml-free.html?ref=innasiec.pl) Wraz z wersją 2.8 CML-a, Cisco wprowadziło darmowy plan, który pozwala na jednoczesne uruchomienie do 5 urządzeń (do limitu nie wliczają się niezarządzane switche oraz zewnętrzne urządzenia). Licencja jest bezterminowa. ## Co się stanie z moim urządzeniem Cisco, gdy wygasną licencje? _This post is for paying subscribers only._ ### 📬 ISN 161: Optymalizuj swoją sieć: Przewodnik po projektowaniu Out-of-Band URL: https://innasiec.pl/isn-161-optymalizuj-swoja-siec-przewodnik-po-projektowaniu-out-of-band/ Last updated: 2024-11-18T09:00:00.000Z ## Nie do końca martwe trasy BGP [https://medium.com/thousandeyes-engineering/bgp-zombies-part-i-why-they-matter-546e232c2c42](https://medium.com/thousandeyes-engineering/bgp-zombies-part-i-why-they-matter-546e232c2c42?ref=innasiec.pl) Podstawowym zadaniem BGP jest informowanie sąsiadów o dostępnych prefiksach, ich trasach oraz uaktualnianie tych informacji w razie zmiany. W tym celu BGP posługuje się komunikatami: "Announcement", który opisuje drogę i cechy trasy do danego prefiksu, oraz "Withdrawal", służącym do wycofywania nieaktualnych już tras. Kiedy system autonomiczny AS1 przestaje być prawowitym właścicielem jakiegoś prefiksu, na przykład w wyniku sprzedaży tej puli nowemu operatorowi AS2, powinien wysłać komunikat wycofujący tę trasę. **"BGP Zombie" powstaje gdy część ruterów w innych AS-ach nie otrzymuje lub nie stosuje się do tej informacji i nadal utrzymuje stare trasy.** Powodować to może nieprawidłowe kierowanie części ruchu, awarie oraz problemy z osiągalnością sieci. ### Przyczyny zjawiska "BGP Zombies" Pozostałości tras zombie mogą być spowodowane licznymi czynnikami. **Najczęściej winę ponoszą błędy konfiguracyjne, oprogramowania bądź problemy sprzętowe uniemożliwiające właściwe rozpropagowanie wycofania trasy**. Niekiedy winą jest również niekompatybilność urządzeń lub błędy samego protokołu BGP sprawiające, że update nie dociera do wszystkich urządzeń w sieci. Ryzyko wystąpienia "BGP Zombies" zwiększają między innymi: - Złożona topologia sieci i duża liczba routerów - Przestarzałe lub wadliwe oprogramowanie lub sprzęt - Zbyt rzadkie sesje aktualizacji BGP z sąsiadami - Nieodpowiednie polityki filtrowania tras i aktualizacji - Duża liczba równorzędnych alternatyw routingu do sieci docelowej W praktyce **"BGP Zombies" nie są zjawiskiem rzadkim**. Szczególnie przydatne w ich badaniu są tzw. **beacony RIPE RIS - bloki adresów zaprojektowanych do cyklicznego rozsyłania przez RIPE oraz okresowego wycofywania.** Monitorowanie ich widoczności w systemach ThousandEyes dostarczyło wielu przykładów zablokowanych tras, np.: - Prefiks 2a0d:3dc1:2327::/48 pozostał w RIB-ach 8 ruterów peer-ów RIPE RIS z 6 AS-ów, które dzieliły wspólną podścieżkę „30781 5511 25091 8298 210312”, wskazując AS30781 jako możliwy główny czynnik utrzymania "Zombie". - Trasa 2a0d:3dc1:1737::/48 nie została w pełni usunięta przez 7 routerów, a wspólnym elementem ich dróg było ogniwo "24961 210312" - AS24961 to potencjalne źródło problemu. - Aż 24 rutery 21 systemów AS nie wycofywały wpisu 2a0d:3dc1:2233::/48, dzieląc trasę "33891 25091 8298 210312" - AS 33891 to główny podejrzany inicjujący "Zombie". Jak widać, wykrywanie "BGP Zombies" opiera się na identyfikacji wspólnych elementów dróg AS, na których trasa mogła utknąć. ### Radzenie sobie z "BGP Zombies" Zwalczanie skutków obecności "BGP Zombies" rozpoczyna się od ich właściwej detekcji. Gdy tylko zostanie zidentyfikowany podejrzany przypadek, administrator powinien spróbować: - Ponownie rozsyłać informacje o wycofaniu trasy, wykonać restart sesji BGP z sąsiadami. - Skontaktować się z prawdopodobnym systemem, w którym trasa utknęła w celu wyczyszczenia tablic routingu przez operatora. - Wprowadzić polityki filtrujące nieaktualne już trasy na routerach swojej sieci. - Jeśli wszystkie powyższe kroki zawiodą, raportować przypadek liderom Project 8 RIPE i dostawcy routerów. Utrzymywanie aktualnych i szczegółowych danych o stanach routingu oraz kształtowanie odpowiednich polityk aktualizacji jest kluczem do uniknięcia eskalacji problemów wynikających z "BGP Zombies". Współpraca producentów sprzętu, zespołów badawczych i operatorów sieci w celu rozwiązania luk i błędów protokołu BGP może w przyszłości zmniejszyć częstość tego niepokojącego zjawiska --- ## Wyciek Uztelecom: co się stało? [Beyond Their Intended Scope: Uzing into RussiaThe first installment of our new blog series, Beyond Their Intended Scope, covers BGP mishaps that may have escaped the community’s attention but are worthy of analysis. In this post, we review a recent BGP leak that redirected internet traffic through Russia and Central Asia as a result of a path error leak by Uztelecom, the incumbent service provider of Uzbekistan.![](https://innasiec.pl/content/images/icon/apple-touch-icon-4.png)KentikDoug Madory![](https://innasiec.pl/content/images/thumbnail/beyond-their-intended-scope-uztelecom.png)](https://www.kentik.com/blog/beyond-their-intended-scope-uzing-into-russia/?ref=innasiec.pl) **26 września 2024 r. Uztelecom (AS28910) zaczął rozgłaszać ponad 3000 tras ze swoich peerów przez jednego ze swych dostawców tranzytu, rosyjskiego Rostelecomu (AS12389)**. Ten błąd spowodował, że ruch internetowy z ponad tuzina krajów został przekierowany przez Rosję i Azję Środkową. Przyjrzyjmy się przykładowi. Przed wyciekiem, sieć University Corporation for Atmospheric Research (AS14041) odbierała trasę dla prefiksu 185.2.49.0/24 należącego do Amazonu (AS16509) ze swojego dostawcy tranzytu Arelion (AS1299). Podczas wycieku AS14041 zaczęła wybierać dłuższą, mniej optymalną wyciekłą trasę od swojego peera Hurricane Electric (AS6939), ponieważ została ona nieprawidłowo uznana za preferowaną. ### Wpływ na ruch Podczas wycieku nagle pojawił się ruch przeznaczony dla krajów poza regionem Centralnej Azji, podróżujący ścieżką zawierającą "12389 28910" (Rostelekom do Uztelekomu). Były to m.in. Hong Kong, Holandia, Afganistan, Rosja, Japonia i Stany Zjednoczone. Natomiast ruch do i z Uzbekistanu, zgodnie z oczekiwaniami, pozostał niezmieniony. Chociaż ludzie nadal konfigurują rutery i popełniają błędy, globalna higiena routingu poprawiła się dzięki wysiłkom takim jak [MANRS](https://manrs.org/?ref=innasiec.pl). Pomimo to, wycieki nadal się zdarzają i mogą powodować zakłócenia. Aby temu przeciwdziałać, **kluczowe jest wdrożenie RPKI (Resource Public Key Infrastructure) i odrzucanie nieprawidłowych tras przez RPKI**. Tworząc ROAs (Route Origin Authorizations) i odrzucając nieprawidłowe elementy, sieci mogą chronić swój przychodzący i wychodzący ruch przed skutkami takich wycieków. ## VMware Workstation za darmo [VMware Fusion and Workstation are Now Free for All UsersThese powerful desktop hypervisor products are free to all users - commercial, educational, & personal users alike!![](https://innasiec.pl/content/images/icon/favicon-7.ico)VMware Cloud Foundation (VCF) BlogMark Chuang![](https://innasiec.pl/content/images/thumbnail/14_01edge-cloud-computing-900x600-1.jpg)](https://blogs.vmware.com/cloud-foundation/2024/11/11/vmware-fusion-and-workstation-are-now-free-for-all-users/?ref=innasiec.pl) VMware Workstation Pro i Fusion Pro były dostępne za darmo do użytku osobistego od pewnego czasu. Teraz można z nich oficjalnie korzystać także w celach komercyjnych. **Czy to pomoże w ociepleniu wizerunku po ubiciu przez Broadcom darmowego ESXi?** --- ## Odkrywanie sieci z Pythonem [GitHub - scottpeterman/pynetweaver: PyNetWeaver is a powerful network discovery and data collection tool designed to gather information from multi-vendor network environments using both SNMP and SSH protocols.PyNetWeaver is a powerful network discovery and data collection tool designed to gather information from multi-vendor network environments using both SNMP and SSH protocols. - scottpeterman/pynetwe…![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-2.svg)GitHubscottpeterman![](https://opengraph.githubassets.com/1ec7ccc43e3f8270e5ab41f52f116c737ee182b14de00a54e00771c47bc78bd1/scottpeterman/pynetweaver)](https://github.com/scottpeterman/pynetweaver?ref=innasiec.pl) PyNetWeaver to narzędzie napisane w Pythonie do odkrywania sieci i zbierania danych, które sprawdzi się w środowiskach zbudowanych na wielu producentach. Obsługuje urządzenia takie jak Cisco, Arista, Aruba i Palo Alto, dzięki protokołom SNMP i SSH. Posiada wiele funkcji, takich jak analiza oparta na szablonach oraz możliwość eksportu danych. --- ## Projektowanie sieci Out-of-Band _This post is for paying subscribers only._ ### 📬 ISN 160: Co nowego w CCNA? URL: https://innasiec.pl/isn-160-co-nowego-w-ccna/ Last updated: 2024-11-11T09:00:09.000Z ## Bitwa Deutsche Telekom z Meta [A Deutsche Telekom Shakedown: Will Instagram, Facebook and WhatsApp slow to a crawl in Germany as DT tries to get paid twice, and will German regulators have the courage to stop DT’s bullying?We are about to see whether the largest and most powerful telecom in Europe, Deutsche Telekom (DT), can force websites and apps to pay so-called “network fees” when they deliver the movies, sites, and data DT customers request.\[1\] That showdown starts today, when Meta starts moving to a different![](https://cyberlaw.stanford.edu/favicon.ico)Stanford CISBarbara van Schewick![](https://lh7-rt.googleusercontent.com/docsz/AD_4nXelXxIP-2Jf6YRbwrq0KrfOjONB-8luM1oJa9HMy1-G6H1DgbjOdj9DXcUcS-FZzszfrlZPtfve07IM3Ep85gYqxaaS36dfJp-kxGGNscEFKfPQDlHCjNa5LQQJHG20jAX2qXXryN9E3KwOVYamsxwl7gmW0yWYNptgguYqs5iQuGFqBdPI9po?key=n0r29tIuSvH8nTxPg8qUSQ)](https://cyberlaw.stanford.edu/blog/2024/09/a-deutsche-telekom-shakedown-will-instagram-facebook-whatsapp-slow-to-a-crawl/?ref=innasiec.pl) Neutralność sieci, jedno z fundamentalnych założeń dzisiejszego Internetu, jest zagrożona. **Deutsche Telekom (DT), największy operator telekomunikacyjny w Europie, walczy o wprowadzenie opłat od dostawców treści internetowych**, takich jak Meta, za dostarczanie danych do użytkowników sieci DT. Ten spór może mieć daleko idące konsekwencje dla przyszłości Internetu. ### Co to są opłaty sieciowe? **Opłaty sieciowe** to **dodatkowe opłaty, które operatorzy telekomunikacyjni chcą nakładać na dostawców treści internetowych**, takich jak serwisy streamingowe, media społecznościowe czy witryny e-commerce. Zgodnie z tym modelem, klienci płaciliby operatorowi za dostęp do Internetu, a dodatkowo dostawcy treści musieliby płacić temu samemu operatorowi za dostarczanie swoich usług do użytkowników. To odwrócenie dotychczasowego modelu, w którym dostawcy treści płacą za tranzyt danych do sieci operatorów, a operatorzy zapewniają pełny, niedyskryminowany dostęp do całego Internetu dla swoich klientów. ### Spór DT z Meta **DT od lat wymuszał opłaty sieciowe na dużych dostawcach treści**, w tym właśnie na Meta (Facebook, WhatsApp, Instagram). Do niedawna Meta płaciła DT, aby uniknąć celowego spowolnienia lub blokowania jej usług dla klientów DT. Jednak w 2021 roku Meta zakończyła tę umowę, odmawiając dalszego płacenia opłat. W odpowiedzi **DT pozwała Metę, a niemiecki sąd orzekł w 2024 roku, że kontynuowanie bezpośredniego połączenia między sieciami po zerwaniu umowy oznaczało zawarcie nowej umowy wymagającej opłat.** Dlatego Meta ogłosiła, że od marca 2025 będzie dostarczać dane do sieci DT za pośrednictwem dostawcy tranzytowego zamiast bezpośredniego połączenia. Kluczowe pytanie brzmi: **czy DT pozwoli na płynne przesyłanie ruchu Meta przez dostawcę tranzytowego, czy też celowo spowolni te połączenia, aby zmusić Metę do ponownego płacenia opłat?** ### Wpływ na użytkowników i neutralność sieci Działania DT naruszają zasadę neutralności sieci, zgodnie z którą operatorzy nie powinni dyskryminować określonych usług ani blokować lub spowalniać dostępu do nich. Jeśli DT będzie utrudniać korzystanie z usług Meta dla swoich klientów, naruszy ich prawo do swobodnego dostępu do Internetu. Ponadto opłaty sieciowe zwiększają koszty dla dostawców treści, co może ograniczyć innowacje i różnorodność usług online. Niektóre mniejsze podmioty mogą nie być w stanie płacić opłat dla wielu operatorów na całym świecie, co w rezultacie uniemożliwi ich użytkownikom dostęp do tych usług. Wynik tego sporu może mieć kluczowe znaczenie dla przyszłości Internetu. **Jeśli operatorzy tacy jak DT będą mogli skutecznie wymuszać opłaty sieciowe, może to prowadzić do fragmentacji Internetu** i powstania "wolnych i szybkich dróg" dla usług płacących opłaty, podczas gdy pozostałe będą spowolnione lub zablokowane. Konsekwencje mogą być poważne - od wyższych kosztów dla użytkowników i firm, po ograniczenie innowacji i wyrażanie się online. Dlatego tak ważne jest, aby regulatorzy i sądy podjęły odpowiednie kroki w celu ochrony neutralności sieci i otwartego Internetu. Warto śledzić rozwój tej sytuacji i przygotować się na potencjalne konsekwencje wprowadzenia opłat sieciowych. Oto kilka zaleceń: 1. **Zrozum zasadę neutralności sieci, jej aspekty techniczne i prawne.** To pomoże wam ocenić wpływ opłat sieciowych na waszą sieć. 2. **Monitoruj wydajność połączeń z dużymi dostawcami treści**, aby wykryć potencjalne spowolnienia lub ograniczenia przepustowości wynikające z konfliktów o opłaty sieciowe. 3. **Opracuj alternatywne strategie dostarczania treści**, takie jak wykorzystanie wielu dostawców tranzytowych lub sieci Content Delivery Network (CDN), aby zmniejszyć zależność od pojedynczych operatorów. 4. **Angażuj się w dyskusję na temat neutralności sieci**, uczestnicząc w branżowych grupach roboczych, konsultacjach regulacyjnych itp. Wasz głos jako ekspertów technicznych jest ważny w tym debacie. 5. **Bądź gotowy na wdrożenie technicznych rozwiązań, takich jak rozróżnianie ruchu aplikacji i priorytetyzacja usług krytycznych**, jeśli opłaty sieciowe staną się rzeczywistością. **Spór między Deutsche Telekom a Meta odzwierciedla większą walkę o neutralność sieci i otwartość Internetu.** Wprowadzenie opłat sieciowych mogłoby mieć poważne konsekwencje dla użytkowników, innowacji i swobody wypowiedzi online. --- ## Po co nam routing w tunelu? [Running Routing Protocols over Tunnels « ipSpace.net blogJames got confused by a statement made by Hannes Gredler in his IS-IS book: Things behave really badly if the total IGP cost over the tunnel undermines the total topologies’ cost. What happens next is that the tunnel “wraps” around itself, ultimately causing a meltdown of the entire network. Let’s unpack that, starting with “Why would you need a tunnel?”![](https://blog.ipspace.net/v3/images/favicon.ico)ipSpace Logo![](https://blog.ipspace.net/images/og-image.png)](https://blog.ipspace.net/2024/11/running-routing-protocols-over-tunnels/?ref=innasiec.pl) Zacznijmy od podstaw - kiedy w ogóle mielibyśmy potrzebę kierowania protokołów trasowania przez tunele? **Głównym celem jest powstrzymanie węzłów pośrednich od dokonywania własnej decyzji w zakresie trasowania na podstawie inspekcji ruchu przesyłanego przez tunel.** Może to być konieczne w kilku scenariuszach: - Niezadowalające decyzje podejmowane przez węzły pośrednie (inżynieria ruchu) - Wymagane szyfrowanie ruchu - Węzły pośrednie nie znają przestrzeni adresowej przesyłanego ruchu (sieci VPN) ### Tunele w tej samej przestrzeni adresowej W pierwszych dwóch przypadkach węzły końcowe tunelu oraz węzły pośrednie używają tej samej przestrzeni adresowej. Uruchomienie protokołu trasowania przez taki tunel prowadzi do sytuacji, w której sam tunel staje się najlepszą ścieżką do zdalnego punktu końcowego - skutkując nieskończoną rekurencją zapakowania danych w nową ramkę tunelu na każdym skoku. MPLS/TE (z ang. Traffic Engineering) rozwiązuje ten problem poprzez wyłączenie tworzenia sąsiedztw routingowych na "tunelach" MPLS. Tunel taki jest wyłącznie konstrukcją płaszczyzny danych - kiedy protokół stanu łączy instaluje swoje trasy w RIB/FIB, zmienia interfejs wyjściowy na interfejs tunelowy, jeśli najlepsza ścieżka według drzewa najkrótszych ścieżek prowadzi przez końcowy węzeł tunelu. Należy zachować szczególną ostrożność z interfejsami tuneli IPsec. Powinny one anonsować podsieci brzegowe przez tunel (w przeciwnym razie ruch nie zostałby przekierowany do tunelu i zaszyfrowany), ale nie adresy punktów końcowych tunelu (aby uniknąć rekursywnego trasowania). ### Dwie różne przestrzenie adresowe Tunele VPN stanowią odrębną klasę tego zagadnienia. Węzły brzegowe VPN (PE w MPLS/VPN lub EVPN) transportują ruch z przestrzeni adresowej klienta za pomocą tuneli zbudowanych nad przestrzenią adresową dostawcy. Muszą używać protokołów routingu do wymiany prefiksów klienta oraz prefiksów transportu. Tradycyjne rozwiązania MPLS/VPN i EVPN osiągają wyraźne rozdzielenie tych dwóch typów prefiksów, stosując BGP dla prefiksów klienckich oraz wewnętrzny protokół routingu (IGP) dla prefiksów transportowych. Zwolennicy architektury GIFEE chcą używać EBGP wszędzie, ale zazwyczaj stosują oddzielne rodziny adresów dla prefiksów klienckich (L3VPN/EVPN) i transportowych (IPv4/IPv6). ### Dwie instancje routingu na jeden tunel Jeśli jednak z uporem będziesz trzymać się wykorzystania IGP do transportu ruchu przez tunele w tej samej przestrzeni adresowej, istnieje jeszcze jeden trik: podziel przestrzenie adresowe klienta i transportu na dwie oddzielne tabele routingu (VRF) - jedna z nich może być globalną tabelą routingu. To pozwoli na uruchomienie dwóch niezależnych instancji IGP, a ponieważ punkty końcowe tunelu nie znajdują się w VRF klienta, nigdy nie dojdzie do rekurencyjnego trasowania przez dany tunel. --- ## Pogadaj z plikami PCAP [Streamlit![](https://packetcopilot.selector.ai/favicon.png)](https://packetcopilot.selector.ai/?ref=innasiec.pl) Selector Packet Copilot to narzędzie AI do analizy przechwyconych pakietów (PCAP). Prześlij pliki PCAP, a następnie możesz na ich temat pogadać z Copilotem. --- ## Kalkulator wydajności dla połączeń bezprzewodowych [Throughput calculatorThroughput calculator![](https://handymenny.github.io/throughput-calculator/favicon.svg)](https://handymenny.github.io/throughput-calculator/?ref=innasiec.pl) Zastanawiałeś się kiedyś, ile ruchu możesz przesłać przez sieć Wi-Fi lub LTE? W tym kalkulatorze możesz to sprawdzić; wystarczy podać podstawowe dane transmisyjne i gotowe. --- ## Aktualizacja egzaminu CCNA v1.1 _This post is for paying subscribers only._ ### Wykorzystaj punkty CE, aby odnowić CCNA, CCNP lub CCIE URL: https://innasiec.pl/wykorzystaj-punkty-ce-aby-odnowic-ccna-ccnp-lub-ccie/ Last updated: 2025-02-10T08:54:14.000Z ## Czym są punkty CE? Program[ **Cisco Continuing Education Credits (Punkty CE)**](https://www.cisco.com/site/us/en/learn/training-certifications/certifications/continuing-education/index.html?ref=innasiec.pl) oferuje elastyczne opcje recertyfikacji poprzez realizację różnorodnych kwalifikujących się akcji. Program ten został stworzony, aby zachęcić do ciągłego rozwoju i **bycia na bieżąco z najnowszymi technologiami i trendami w branży,** w tym z **Pythonem, automatyzacją sieci, NetDevOps i nie tylko**. ## Jak możesz zdobyć punkty CE? Punkty CE są podobne w formie do punktów CPD spotykanych w innych dziedzinach i można je zdobyć poprzez: 1. **Uczestnictwo w sesjach Cisco Live!** i wypełnianie związanych z nimi quizów 2. **Udział w kursach** prowadzonych przez instruktorów 3. **Ukończenie samodzielnych modułów e-learningowych** w Cisco Learning Network 4. Zdawanie określonych egzaminów certyfikacyjnych 5. Wkład w społeczność Cisco poprzez działania takie jak autorstwo artykułów technicznych lub prezentacje na wydarzeniach branżowych 6. Zaangażowanie w praktyczne laboratoria i środowiska testowe w celu ćwiczenia nowych umiejętności 7. Oglądanie seminariów technicznych i webinarów na temat nowych technologii 8. Realizację ścieżek i modułów edukacyjnych Cisco DevNet ## Ile punktów potrzebna do odnowienia certyfikacji? | Poziom certyfikacji | Ważność egzaminu | Punkty CE do odnowienia | Punkty CE + egzamin | | ------------------- | ---------------- | ----------------------- | --------------------------------------------------- | | Associate | 3 lata | 30pkt | | | Specialist | 3 lata | 40pkt | | | Professional | 3 lata | 80pkt | 40pkt + 1 egzamin koncentryczny | | Expert | 3 lata | 120pkt | 40pkt + 1 egzamin core lub 2 egzaminy koncentryczne | Warto pamiętać, że **punkty CE są ważne przez 3 lata** i są automatycznie przypisywane do konta, a także wykorzystywane do odnowienia certyfikacji, gdy odpowiednia ich ilość znajdzie się na Twoim koncie. W celu recertyfikacji punktami CE musisz je uzbierać zgodnie z powyższą tabelą dla swojej najwyższej certyfikacji. Nie jest możliwe odnowienie tylko CCNA, gdy mamy aktywne CCNP. ## Rev Up to Recert Jedną z najlepszych rzeczy związanych z **Continuing Education** jest fakt, że przy odrobieniu własnej pracy możesz za darmo odnowić swoje certyfikaty CCNA, CCNP czy nawet CCIE/CCDE. Cisco w ramach akcji **Rev Up to Recert udostępnia darmowe szkolenia na platformie** [**Cisco U**](https://u.cisco.com/?ref=innasiec.pl), których ukończenie nagradzane jest punktami CE. Zwykle mamy na to około 2 miesiące. Polecam śledzić forum [Rev Up To Recert Community](https://learningnetwork.cisco.com/s/topic/0TO6e000002e4QmGAI/rev-up-to-recert-community?ref=innasiec.pl) lub zapisać się na newsletter, aby nie przegapić startu nowej edycji. ## Darmowe punkty CE _This post is for paying subscribers only._ ### Jak zmienić wartość AD dla konkretnego prefiksu? URL: https://innasiec.pl/jak-zmienic-wartosc-ad-dla-konkretnego-prefiksu/ Last updated: 2025-02-27T15:27:44.000Z Odpowiednie zarządzanie trasami w sieciach to klucz do optymalizacji. Dowiedz się, jak zmiana wartości Administrative Distance wpływa na routing i wydajność sieci! _This post is for paying subscribers only._ ### 📬 ISN 159:Wdrażanie środków kontroli dostępu, kluczowe kroki dla bezpieczeństwa sieci URL: https://innasiec.pl/isn-159-wdrazanie-srodkow-kontroli-dostepu-kluczowe-kroki-dla-bezpieczenstwa-sieci/ Last updated: 2024-11-04T09:00:47.000Z ## Ataki DDoS w Q3 2024 [DDoS threat report for 2024 Q3Welcome to the 19th edition of the Cloudflare DDoS Threat Report. Released quarterly, these reports provide an in-depth analysis of the DDoS threat landscape as observed across the Cloudflare network. This edition focuses on the third quarter of 2024.![](https://blog.cloudflare.com/images/favicon-32x32.png)The Cloudflare BlogOmer Yoachimik![](https://cf-assets.www.cloudflare.com/zkvhlag99gkb/2UOuM3mDgmDtjMqHnUQRBS/3e5c83d5002e3bd7511e3b999a8a3751/DDoS_threat_report_for_2024_Q3_-OG.png)](https://blog.cloudflare.com/ddos-threat-report-for-2024-q3/?ref=innasiec.pl) Początek trzeciego kwartału 2024 roku przyniósł prawdziwą nawałnicę ataków DDoS o rekordowej skali. Jak bardzo imponujące były te ataki z perspektywy inżynierów sieci? Według najnowszego raportu, **w okresie od lipca do września 2024 roku ich systemy obrony przed DDoS zidentyfikowały i powstrzymały niemal 6 milionów ataków**. To wzrost o 49% w porównaniu z poprzednim kwartałem i aż 55% rok do roku. Podczas gdy 90% z tych ataków było krótkotrwałych incydentów, system wykrył i powstrzymał **ponad 200 hiper-zwartych ataków przekraczających przepustowości 3 Tb/s i 2 miliardów pakietów na sekundę.** Największy z nich osiągnął zawrotną prędkość szczytową 4,2 Tb/s, choć trwał zaledwie minutę. Raport dostarcza również ciekawych danych na temat typów wykorzystywanych ataków oraz ich źródeł geograficznych. Połowa z 6 milionów ataków miała charakter sieciowy, druga połowa zaś dotyczyła warstwy aplikacji (HTTP). Najczęstszymi wektorami były ataki: - SYN flood, - amplifikacja DNS, - UDP flood, - odbicia SSDP, Pod względem lokalizacji, **Indonezja stanowiła największą siedzibę botnetów źródłowych odpowiedzialnych za generowanie ruchu atakującego.** W dalszej kolejności uplasowały się Holandia, Niemcy, Argentyna i Kolumbia. Ciekawostką jest fakt, że infrastruktura dostawcy Hetzner była największym pojedynczym źródłem ataków warstwy aplikacji. **Jeśli chodzi o lokalizacje i branże najbardziej narażone na ataki DDoS w trzecim kwartale, to Chiny zajęły pierwsze miejsce.** Następnie znalazły się Zjednoczone Emiraty Arabskie, Hongkong, Singapur, Niemcy i Brazylia. Według raportów samych firm zaatakowanych, za większością ataków stali rzekomo przestępcy żądający okupu, rywale biznesowi oraz niektóre grupy sponsorowane przez państwa. **Sektor bankowy i usług finansowych poniósł największe straty z powodu częstych ataków DDoS**. Kolejne miejsca zajęły IT, telekomunikacja, dostawcy usług internetowych, rynek kryptowalut oraz hazardu online. **Cloudflare ostrzega, że wraz ze wzrostem globalnych napięć geopolitycznych i częstszym wykorzystywaniem potężnych botnetów do generowania ataków, coraz więcej organizacji staje się narażonych na ataki DDoS.** Firmy i instytucje, które nie przygotowały się na takie zagrożenia, ryzykują przerwanie ciągłości biznesowej i dotkliwe straty finansowe. --- ## Wielka zmiana w AVD 5.0 [Carl Buchmann on LinkedIn: RedirectingArista Networks AVD 5.0.0 is out! As it marks 5+ years since the initial public GitHub commit on the AVD project (avd.arista.com), we are now on the fifth…![](https://static.licdn.com/aero-v1/sc/h/al2o9zrvru7aqj8e1x2rzsrca)LinkedInCarl Buchmann![](https://static.licdn.com/aero-v1/sc/h/c45fy346jw096z9pbphyyhdz7)](https://www.linkedin.com/posts/carl-buchmann-6b436727%5Fredirecting-activity-7256645200213635072-BrtL/?ref=innasiec.pl) Arista udostępniła właśnie długo wyczekiwaną, 5\. główną wersję swojej platformy automatyzacji sieci Arista Validated Design (AVD). Ta obszerna aktualizacja przynosi szereg nowych funkcji i ulepszeń. Największą **nowością w AVD 5.0.0 jest przejście z modelu opartego na Ansible na wydajną bibliotekę Python o nazwie PyAVD**. Ten strategiczny krok otwiera drzwi do integracji z szerokim wachlarzem narzędzi i platform orkiestracji, zwiększając elastyczność i możliwości dostosowania AVD do indywidualnych wymagań. Architektura oparta na **PyAVD zapewnia znacznie szybsze czasy wykonywania oraz bardziej zaawansowane funkcje**. Mimo przejścia na PyAVD, Arista z pełnym zrozumieniem podchodzi do popularności Ansible wśród użytkowników AVD. Dlatego też **kolekcja Ansible arista.avd nadal będzie rozwijana i utrzymywana**, umożliwiając wykorzystanie dobrodziejstw PyAVD w połączeniu z potężnym ekosystemem Ansible. Inną ekscytującą **nowością jest integracja AVD z Arista Network Test Automation (ANTA) - wszechstronną platformą testów automatyzacji sieciowej.** Dzięki tej integracji inżynierowie uzyskują możliwość przeprowadzania dogłębnych testów walidacyjnych infrastruktury sieciowej, zapewniając najwyższą niezawodność i jakość zmian wdrażanych za pomocą AVD. Testy automatyczne ANTA obejmują szeroką gamę scenariuszy, od podstawowej łączności po bardziej złożone przypadki użycia, takie jak działanie w trybie failover. Instalacja/Aktualizacja PyAVD oraz kolekcji Ansible arista.avd, należy wykonać z z wiersza poleceń: ```bash pip install "pyavd[ansible]==5.0.0" ansible-galaxy collection install arista.avd:==5.0.0 ``` --- ## CGNAT na Juniper MX i SRX [Overlapping (CG-)NAT services on a SRXI’ve been working with CGNAT solutions on Juniper MX routers for very long time now. As MX mainly means “routing”, even services like NAT somehow follow a routing-oriented logic. …![](https://s2.wp.com/i/webclip.png)IoSonoUnRouteriosonounrouter![](https://iosonounrouter.wordpress.com/wp-content/uploads/2024/09/image-1.png)](https://iosonounrouter.wordpress.com/2024/09/18/overlapping-cg-nat-services-on-a-srx/?ref=innasiec.pl) Tekst opisuje różnice między rozwiązaniami CGNAT (Carrier Grade NAT) na routerach Juniper MX a urządzeniami SRX. Routery MX stosują logikę opartą na trasowaniu, w której NAT jest realizowany za pośrednictwem interfejsów usługowych. Z kolei urządzenia SRX opierają się na podejściu sesyjnym, co prowadzi do innej konfiguracji, w której NAT działa w ramach jednego kontekstu trasowania. --- ## Co to jest Egress Peer Engineering? [Egress Peer Engineering: basicsEgress Peer Engineering extends regular BGP policies to provide more flexibility.![](https://i0.wp.com/routingcraft.net/wp-content/uploads/2023/09/cropped-blog_identity-1.png?fit=192%2C192&ssl=1)routingcraft.netDmytro Shypovalov![](https://routingcraft.net/wp-content/uploads/2024/09/EPE_no_controller.png)](https://routingcraft.net/egress-peer-engineering-basics?ref=innasiec.pl) Egress Peer Engineering (EPE) to podejście rozszerzające standardowe polityki BGP, oferujące większą elastyczność w kierowaniu ruchem w sieciach z wieloma połączeniami zewnętrznymi. Kluczowymi zagadnieniami są koszty, wydajność oraz ograniczenia tradycyjnego BGP, które mogą prowadzić do problemów z równoważeniem obciążenia i skomplikowanej konfiguracji. --- ## Wdrażanie środków kontroli dostępu _This post is for paying subscribers only._ ### 📬 ISN 158: Nowości w egzaminie 350-401 ENCOR URL: https://innasiec.pl/isn-158-nowosci-w-egzaminie-350-401-encor/ Last updated: 2024-10-28T09:00:39.000Z # Migracja Catalyst do Cloud-Native IOS XE [\[Switching Public Beta\] Be the First to Experience the Cloud-native IOS XE on Meraki Dashboard!Introducing the cloud-native IOS XE on the Meraki dashboard! With this release, we are beginning an exciting transition from a container-based architecture to one based on native IOS XE with support for Meraki cloud management. This drastically simpler architecture unlocks many benefits for your c…![](https://community.meraki.com/html/@F1DDC896037FF74FF2DDC2B47E68BF37/assets/favicon.ico)The Meraki CommunityMinyi![](https://community.meraki.com/t5/image/serverpage/image-id/39935iC1506C458B51DAD0?v=v2)](https://community.meraki.com/t5/Feature-Announcements/Switching-Public-Beta-Be-the-First-to-Experience-the-Cloud/ba-p/251098?ref=innasiec.pl#M248) Wprowadzenie IOS XE 17.15.1 to krok milowy w kierunku uproszczenia architektury przełączników zarządzanych w chmurze. Dzięki tej aktualizacji, Cisco wprowadza architecture cloud-native IOS XE, oferując szereg korzyści dla rodziny przełączników Catalyst, takich jak 9300-M, 9300X-M, 9300L-M oraz MS390. Przejście na nową architekturę oznacza nie tylko uproszczenie systemu, ale również wiele funkcji, które mają poprawić wydajność i zarządzanie urządzeniami sieciowymi: - **Szybkość uruchamiania i inicjalizacji**: Nowa architektura znacząco przyspiesza czas uruchamiania, zwłaszcza dla stosów przełączników. - **Zarządzanie przez chmurę**: Dzięki wsparciu dla zarządzania w chmurze Meraki, administratorzy mogą łatwo zarządzać swoimi urządzeniami w jednym miejscu. - **Za zgodą klienta dostęp dla pomocy technicznej** może być dozwolony przez SSH za pośrednictwem bezpiecznego tunelu kryptograficznego TLS używanego przez urządzenia do łączenia się z pulpitem nawigacyjnym Meraki. ### Nowe funkcje w IOS XE 17.15.1 - **Dostęp CLI przez Dashboard**: Możliwość wykonywania poleceń show bezpośrednio z poziomu dashboardu to ogromne ułatwienie w diagnostyce i rozwiązywaniu problemów. - **Intelligent Capture**: To narzędzie umożliwia bardziej efektywne zbieranie danych diagnostycznych, co przyspiesza proces identyfikacji problemów. - **Wsparcie dla platformy sprzętowej C9200L**: Ta funkcjonalność zapewnia większą elastyczność dla różnych modeli przełączników. (Szczegóły znajdują się w [tabeli modeli wspieranych](https://documentation.meraki.com/MS/Cloud-Native%5FIOS%5FXE/Cloud-Native%5FIOS%5FXE%5FOverview?ref=innasiec.pl)). - **Rozszerzone możliwości logowania**: Natywna obsługa logowania Catalyst zwiększa precyzję i szczegółowość zbieranych danych. ## Jak przejść na IOS XE 17.15.1? Przejście na nową wersję oprogramowania jest proste. Twoje przełączniki mogą zaktualizować się z firmware CS do natywnej wersji IOS XE 17.15.1 zarządzanej przez chmurę Meraki. Pamiętaj, aby przed aktualizacją zapoznać się z dokumentacją oraz zaleceniami. **C9300-M/MS390 (Cloud-Managed Catalyst)** Aby przeprowadzić uaktualnienie dla przełączników Cloud-Managed Catalyst, należy wykonać kilka kroków za pomocą Meraki Dashboard. 1. Zaloguj się do Meraki Dashboard. 2. Przejdź do sekcji „Ustawienia” dla swojego urządzenia. 3. Wybierz opcję „Uaktualnij oprogramowanie” i wybierz wersję Cloud Native IOS XE. 4. Potwierdź aktualizację i poczekaj na zakończenie procesu. **C9300 i C9200L (DNA-managed Catalyst)** Migracja z trybu zarządzania DNA do trybu zarządzania Meraki wymaga użycia interfejsu wiersza poleceń (CLI). 1. Wykonaj polecenie `show meraki compatibility` z poziomu CLI przełącznika. 2. Upewnij się, że switch ma dostęp do internetu z poziomu jednego z SVI. Dostęp nie może być realizowany przez port OOB. 3. Wydaj polecenie `service meraki connect` w trybie konfiguracji. 4. Na koniec możesz zweryfikować czy proces przebieg prawidłowo `show meraki connect`. 5. Dodaj switch do **Organization>Inventory** w panelu Meraki. 6. Gdy będziesz gotowy dodaj przełącznik do swojej sieci Meraki w panelu. --- ## Uwierzytelnianie w sieci Meraki Wi-Fi z użyciem MS Entra ID W obliczu rosnących wymagań dotyczących bezpieczeństwa, rozwiązania oparte na certyfikatach stają się kluczowe, zwłaszcza że **standard 802.1X wciąż nie oferuje nowoczesnych opcji uwierzytelniania**. Zaczynajmy! ### Krok 1: Przygotowanie Entra ID Pierwszym krokiem jest zalogowanie się do portalu Entra ID. Oto, co musisz zrobić: 1. **Skopiuj identyfikator swojego dzierżawcy (Tenant ID)** – znajdziesz go w sekcji Microsoft Entra ID. 2. **Rejestracja nowej aplikacji**: - Przejdź do zakładki „Rejestracje aplikacji”. - Kliknij „Nowa rejestracja”. - Nadaj nazwę aplikacji zgodnie z ustalonym konwencją. - Dodaj URI przekierowania: `https://marakiSMoColum/c.com.mary.PCC`. - Kliknij „Rejestruj”. 3. **Zapisz identyfikator aplikacji (Client ID)**. ### Krok 2: Tworzenie sekretu aplikacji W tym kroku stwórz sekret aplikacji: 1. **Przejdź do sekcji „Certyfikaty i sekrety”**. 2. **Dodaj nowy sekret**: - Nadaj mu nazwę. - Określ czas ważności sekretnych kluczy. - Zapisz wartość sekretną, ponieważ będzie potrzebna później. ### Krok 3: Ustawienia uprawnień API Następnie skonfiguruj uprawnienia API: 1. **Dodaj uprawnienia**: - Wybierz „Microsoft Graph”. - Wybierz uprawnienia aplikacji: `Directory.Read.All`. - Dodaj uprawnienia delegowane: `User.Read`. ### Krok 4: Konfiguracja URI przekierowania Przejdź do zakładki „Autoryzacja” w ustawieniach aplikacji: 1. **Dodaj URI przekierowania** zgodnie z dokumentacją. 2. Pamiętaj, aby kliknąć „Zapisz” po dodaniu każdego URI. ### Krok 5: Edytowanie manifestu aplikacji Aby dostosować manifest: 1. Kliknij na „Manifest” w menu po lewej stronie. 2. Edytuj wartości zgodnie z wymaganiami dokumentacji i kliknij „Zapisz”. ### Krok 6: Przypisanie użytkowników i grup Teraz przypisz użytkowników do aplikacji: 1. Przejdź do „Aplikacji korporacyjnych”. 2. Znajdź swoją aplikację. 3. W sekcji „Użytkownicy i grupy” dodaj użytkownika, którego chcesz przypisać. ### Krok 7: Konfiguracja na pulpicie Meraki W celu skonfigurowania uwierzytelniania w sieci Meraki: 1. Przejdź do swojego pulpitu zarządzania Meraki i wybierz „Systems Manager”. 2. Wprowadź dane, które wcześniej zapisałeś: - Tenant ID. - Client ID. - Sekret. 3. Upewnij się, że portal samoobsługowy jest włączony. ### Krok 8: Konfiguracja SSID 1. Przejdź do sekcji „Wireless”. 2. Wybierz niekonfigurowany SSID i nadaj mu nazwę. 3. Wybierz typ uwierzytelnienia: „Enterprise with Meraki Cloud”. 4. Skonfiguruj inne opcje, takie jak długość ważności certyfikatu. 5. Zapisz zmiany. ### Krok 9: Testowanie z perspektywy użytkownika Ostatnim krokiem jest przetestowanie konfiguracji jako użytkownik końcowy: 1. Otwórz portal samoobsługowy. 2. Loguj się, wpisując swoje dane logowania. 3. Wprowadź kod z weryfikacji dwuetapowej (jeśli jest używany). 4. Po zalogowaniu wybierz opcję do dołączenia do Wi-Fi. --- ## Nowy format egzaminu Cisco **350-401 ENCOR** [Cisco Learning Network![](https://learningnetwork.cisco.com/s/sfsites/c/resource/peakLightning/images/favicon.ico)](https://learningnetwork.cisco.com/s/question/0D56e0000E3NswUCQS/cisco-enterprise-core-350401-encor-lab-items-now-grouped-together?ref=innasiec.pl) Jedną z kluczowych rzeczy na egzaminie jest umiejętne zarządzanie czasem. Jednak jak nim zarządzać, jeśli nie wiesz, czy następne pytanie zajmie Ci 5 czy 15 minut? **Cisco, w ramach egzaminu 350-401 ENCOR**, wprowadza jasny podział: **jedna godzina to zadania laboratoryjne (symulatory), a kolejna godzina to standardowe pytania.** --- ## Czy kabel jest zawsze lepszy? [iPad Ping: WLAN vs. LANMeine Kids spielen derzeit häufig Brawl Stars, ein Echtzeit Onlinespiel. Und sie schauen auch immer mal Videos dazu, bei denen ihnen jetzt der Floh ins Ohr gesetzt wurde, dass man ein iPad ja auch …![](https://weberblog.net/wp-content/uploads/2018/05/cropped-webernetz-logo-4-icon-2000x2000-1-180x180.png)Weberblog.netJohannes Weber![](https://weberblog.net/wp-content/uploads/2024/08/iPad-Ping-WLAN-vs.-LAN-featured-image.jpg)](https://weberblog.net/ipad-ping-wlan-vs-lan/?ref=innasiec.pl) Johannes Weber przeprowadził test na swoim Ipadzie, czy podłączenie go do sieci LAN po "kablu" poprawi jakość połączenia w grze Brawl Stars. Cóż, wszyscy wiemy, że takie połączenia obiecują lepsze parametry pracy w sieci lokalnej, ale czy ma to znaczenia, gdy serwery gry znajduje się gdzieś w internecie? --- ## Podstawy filtrów Ansible _This post is for paying subscribers only._ ### 📬 ISN 157: Nowy gracz w zbieraniu danych URL: https://innasiec.pl/isn-156-nowy-gracz-w-zbieraniu-danych/ Last updated: 2024-10-23T09:41:35.000Z --- ## Przyszłość należy do sieci IPv6 [IPng Networks - Case Study: NAT64![](https://innasiec.pl/content/images/icon/apple-touch-icon-2.png)Case Study: NAT64IPng Networks GmbH![](https://innasiec.pl/content/images/thumbnail/s5648x-front-opencase.png)](https://ipng.ch/s/articles/2024/05/25/case-study-nat64/?ref=innasiec.pl) Kiedy **w 1994 roku zidentyfikowano problem wyczerpywania się zasobów adresowych IPv4**, rozpoczęły się pierwsze prace nad nowym protokołem - IPv6\. Celem było stworzenie uniwersalnego, nowoczesnego rozwiązania zdolnego sprostać rosnącym wymaganiom współczesnej sieci. Pomimo upływu trzech dekad i ciągłego rozwoju oraz popularyzacji IPv6, wiele usług sieciowych wciąż nie w pełni wspiera tę technologię. Jednym z przykładów jest **platforma GitHub, która do dziś obsługuje wyłącznie tradycyjne adresy IPv4\.** Zmuszeni jesteśmy zatem korzystać z mechanizmów umożliwiających współpracę obu światów. **Translacja adresów (NAT64) z połączeniem z DNS64 pozwala hostom IPv6-only na komunikację z serwerami IPv4.** Technika ta umożliwia przeprowadzenie migracji do protokołu nowej generacji, pozostawiając otwartą drogę dla starszych usług internetowych, dopóki nie zostaną one w pełni zmodernizowane. W niniejszym artykule przyjrzymy się właśnie technologii NAT64 oraz jej implementacji w architekturze IPng. Sieć IPng składa się z dwóch głównych warstw: (1) transportowej MPLS, odizolowanej od Internetu, oraz (2) zewnętrznej warstwy VPP, przez którą przechodzi ruch internetowy. Zaimplementowane w tej architekturze rdzenie transportowe (transport core) wykorzystują przełączniki MPLS firmy Centec, oferujące obsługę IPv4, IPv6 oraz technologii tunelowania. Rdzeń sieci IPng Site Local bazuje na natywnych adresach IPv6 z zakresu 2001:678:d78:500::/56\. Każdy hypervisor i maszyna wirtualna otrzymują adres z tego prefixu. Dla ruchu wewnętrznego IPv4 wykorzystywany jest zakres 198.19.0.0/16\. Istotną rolę w tej architekturze pełnią Border Gateways - systemowe bramy graniczne, których zadaniem jest przekazywanie ruchu pomiędzy siecią IPng a Internetem. ### Translacja NAT Podstawowym zadaniem bram granicznych jest dostarczanie translacji adresów sieciowych (NAT) dla ruchu przychodzącego i wychodzącego. Implementowane jest przy tym wsparcie dla trzech rodzajów translacji: - NAT44 dla IPv4, - NAT66 dla IPv6, - NAT64, umożliwiająca komunikację pomiędzy hostami IPv4 i IPv6. Aby umożliwić funkcjonowanie NAT64, należy przydzielić pule adresów zarówno IPv4, jak i IPv6 dla każdej bramy granicznej. W przypadku ruchu zewnętrznego użyte zostaną adresy z tych pul, podczas gdy ruch wewnętrzny będzie korzystał z adresów prywatnych z prefixów 198.19.0.0/16 i 2001:678:d78:500::/56\. Konfiguracja ta zostanie zapewniona przez dodanie odpowiednich reguł SNAT w łańcuchu POSTROUTING iptables. ### DNS64 Opisana dotąd konfiguracja umożliwia translację adresów i portów, jednak nie wystarczy do nawiązania skutecznej komunikacji w scenariuszu, w którym host IPv6 próbuje połączyć się z serwerem IPv4\. W takim przypadku niezbędne jest użycie **DNS64 - mechanizmu syntetyzującego rekordy AAAA z odpowiadających im rekordów A.** DNS64, opisane w [RFC6147](https://datatracker.ietf.org/doc/html/rfc6147?ref=innasiec.pl), pozwala klientom IPv6-only na kontaktowanie się z serwerami IPv4, bez ingerencji w samego klienta bądź serwer. Aby osiągnąć ten efekt, należy skonfigurować resolver DNS, tak aby generował on sztuczne rekordy AAAA na podstawie istniejących rekordów A. W przypadku IPng, rolę tę pełni serwer Unbound. W uproszczeniu, gdy host IPv6 zapyta o rekord AAAA dla serwera dostępnego wyłącznie poprzez IPv4, Unbound wygeneruje syntetyczny rekord AAAA, kodując adres IPv4 w ostatnich 32 bitach. Klient otrzyma zatem adres w formacie IPv6, jednak ze specjalnie zarezerwowanym prefixem wskazującym na konieczność translacji. W przypadku IPng będzie to przedrostek 2001:678:d78:564::/96. Gdy host IPv6 spróbuje się połączyć z takim syntetycznym adresem, zostanie on przechwycony przez Jool - implementację NAT64 dla systemu Linux. Jool wykryje, że adres docelowy należy do specjalnego prefixu NAT64, i dokona translacji IPv6 -> IPv4, wybierając adres z puli IPv4 przypisanej do danej bramy granicznej. Konfiguracja bram granicznych IPng obejmuje zarówno mechanizmy translacji adresów (NAT44, NAT66, NAT64 z Jool), jak i rozgłaszanie adresów do sieci wewnętrznej przy użyciu OSPF oraz zewnętrznej za pomocą BGP. Wewnątrz sieci, prefiksy dla NAT44 (198.19.0.0/16), NAT66 (2001:678:d78:500::/56) oraz NAT64 (2001:678:d78:564::/96) są rozgłaszane za pomocą protokołu OSPF, dzięki czemu wszystkie hosty znają trasę do odpowiedniej bramy granicznej. Z zewnątrz, pule adresów IPv4 i IPv6 przydzielone do translacji są rozgłaszane przy użyciu BGP z zastosowaniem communities no-export. Dodatkowo, adresy Unbound są rozgłaszane w trybie anycast, umożliwiając klientom zrównoważone i redundantne korzystanie z usług DNS64\. Odrębna konfiguracja Unbound ze zdefiniowanym prefixem DNS64 (2001:678:d78:564::/96) pozwala na właściwą obsługę zapytań domenowych i syntetyzowanie rekordów AAAA. Dzięki takiej konfiguracji, możliwe jest redundantne i dynamiczne zarządzanie poszczególnymi bramami granicznymi. Zatrzymanie rozgłaszania pewnych prefiksów spowoduje natychmiastowe przestawienie ruchu na aktywne repliki, zapewniając wysoką dostępność usług translacji adresów. --- ## W jakim kierunku powinieneś rozwijać swoją karierę? [10-year forecast shows growth in network architect jobs while sysadmin roles shrinkTwelve of the 14 computer-related positions tracked by the BLS are expected to see headcount increases over the next decade.![](https://innasiec.pl/content/images/icon/favicon-6.ico)Network WorldDenise Dubie![](https://innasiec.pl/content/images/thumbnail/3540293-0-60765500-1727356042-shutterstock_661112929.jpg)](https://www.networkworld.com/article/3540293/10-year-forecast-shows-growth-in-network-architect-jobs-while-sysadmin-roles-shrink.html?ref=innasiec.pl) Najnowsze prognozy Amerykańskiego Biura Statystyki Pracy (BLS) ujawniają znaczącą transformację w sektorze IT, szczególnie w obszarze sieci komputerowych. ### Zróżnicowany Wzrost w Specjalizacjach Sieciowych - Architekci Sieci: +13,4% (23.900 nowych stanowisk) - Specjaliści Wsparcia Sieci: +7,3% (12.100 nowych stanowisk) - Administratorzy Systemów i Sieci: -2,6% (-8.800 stanowisk) Spadek zapotrzebowania na administratorów systemów wskazuje na konieczność ewolucji w kierunku bardziej zaawansowanych ról. Szczególnie obiecujące perspektywy rysują się w obszarach: - Architektury rozwiązań chmurowych - Bezpieczeństwa sieciowego (wzrost o 32,7% dla analityków bezpieczeństwa) - Integracji rozwiązań AI z infrastrukturą sieciową ### Kluczowe Obszary Kompetencji 1. Automatyzacja sieci i programowanie (Python, API) 2. Architektura rozwiązań multi-cloud 3. Bezpieczeństwo sieciowe nowej generacji 4. Integracja AI/ML w zarządzaniu sieciami ### Ścieżki Rozwoju Kariery - Przejście z ról administracyjnych do architektonicznych - Specjalizacja w bezpieczeństwie sieciowym - Rozwój w kierunku architektury rozwiązań hybrydowych Transformacja rynku pracy w sektorze sieciowym wymaga proaktywnego podejścia do rozwoju kompetencji. Dla doświadczonych inżynierów kluczowe będzie połączenie głębokiej wiedzy sieciowej z nowymi technologiami, szczególnie w obszarach AI, automatyzacji i bezpieczeństwa. ### Rekomendowane Działania - Inwestycja w certyfikacje z zakresu bezpieczeństwa i chmury - Rozwój umiejętności programistycznych - Budowanie ekspertyzy w zakresie integracji AI z infrastrukturą sieciową - Aktywne śledzenie rozwoju technologii SDN i automatyzacji sieci --- ## 142 projekty automatyzacji sieci [automateyournetwork - RepositoriesAutomate Your Network . automateyournetwork has 142 repositories available. Follow their code on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40-1.svg)GitHub![](https://innasiec.pl/content/images/thumbnail/44117002)](https://github.com/automateyournetwork?tab=repositories&ref=innasiec.pl) John Capobianco jest autorem tegorocznej książki na temat automatyzacji sieci z wykorzystaniem pyATS. Jest również zwolennikiem stosowania modeli językowych (LLM) w obszarze sieci komputerowych. Na swoim koncie na GitHubie ma obecnie 142 publiczne projekty, dzięki którym nie będziesz musiał wymyślać koła na nowo. --- ## Która chmura posiada najwięcej adresów? [ipranges.cloud - Daily updated ip address stats of all main public cloud providersDaily updated IP address data and stats of all main public cloud providers like AWS, Azure, Google Cloud, Cloudflare, DigitalOcean, Fastly, Oracle Cloud, and more.![](https://innasiec.pl/content/images/icon/apple-icon.png)Daily updated IP address stats of all main public cloud providers![](https://innasiec.pl/content/images/thumbnail/opengraph-image.png)](https://www.ipranges.cloud/?ref=innasiec.pl) Codziennie aktualizowane dane i statystyki dotyczące adresów IP dla głównych dostawców chmury publicznej, takich jak AWS, Azure i Cloudflare, oferują fascynujący wgląd w zmienność handlu prefiksami IPv4\. Obserwowanie tych fluktuacji przypomina rynki akcji bardziej, niż można by przypuszczać. --- ## Nowy gracz w zbieraniu danych _This post is for paying subscribers only._ ### 📬 ISN 156: Wiesz jakiej licencji Cisco potrzebujesz? URL: https://innasiec.pl/isn-156-wiesz-jakiej-licencji-cisco-potrzebujesz/ Last updated: 2024-10-14T08:00:23.000Z --- ## Jak zdać egzamin Cisco DevNet Associate [How to pass DevNet Associate ExamBased on a few requests, I’d like to provide some value back to the Network Engineering community by exploring some of the factors that led me to studying for and passing the Cisco DevNet Associate (DEVASC 200-901) exam. Keep reading to learn: If DEVASC is right for you The resources and strategies![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca-1)Raymond Hightower![](https://innasiec.pl/content/images/thumbnail/1727572199574)](https://www.linkedin.com/pulse/how-pass-devnet-associate-exam-raymond-hightower-yzluc/?ref=innasiec.pl) Automatyzacja, programowanie i interfejsy API stają się kluczowymi umiejętnościami dla każdego inżyniera, który chce się rozwijać wraz z postępującą cyfryzacją. Jednym z certyfikatów potwierdzających zdobycie tych umiejętności jest **DevNet Associate** od firmy Cisco. ### Znaczenie certyfikatu DevNet Associate Egzamin DevNet Associate (200-901) to kwalifikacja wyróżniająca inżynierów, którzy opanowali umiejętności wymagane do pracy z nowoczesnymi narzędziami i metodologiami związanymi z automatyzacją sieci, programowaniem i administracją infrastrukturą jako kodem. Egzamin obejmuje tematy takie jak: - Programowanie w języku Python - Korzystanie z interfejsów API - Narzędzia automatyzacji (np. Ansible, Puppet) - Zabezpieczenia aplikacji - Wirtualizacja i konteneryzacja ### Strategia i zasoby do nauki Przygotowanie się do egzaminu DevNet Associate może wydawać się przytłaczające ze względu na dużą ilość tematów do opanowania. Oto moje sprawdzone wskazówki, jak skutecznie przygotować się do zdania tego egzaminu: 1. **Podstawy Pythona** Aby poczuć się swobodnie z automatyzacją i programowaniem, musisz dobrze opanować podstawy języka Python. Polecam kurs [*PCAP: Programming Essentials in Python*](https://www.netacad.com/courses/python-essentials-1?courseLang=en-US&ref=innasiec.pl), oraz praktyczne ćwiczenia na stronach jak [practicepython.org](https://www.practicepython.org/?ref=innasiec.pl). 2. **Kursy video i materiały od Cisco** Cisco oferuje świetne zasoby do nauki, jak ich kursy video na DevNet. Szczególnie polecam serię "[Getting Started with Software Development Using Cisco DevNet](https://www.pluralsight.com/courses/getting-started-software-development-cisco-devnet?ref=innasiec.pl)". Uzupełnij to materiałami na YouTube od ekspertów, np. kanał Steven McNutt. 3. **Środowisko do ćwiczeń** Bezpłatna platforma Cisco DevNet Sandbox umożliwia dostęp do prawdziwych urządzeń Cisco w chmurze, gdzie możesz ćwiczyć i eksperymentować z nowymi umiejętnościami w bezpiecznym środowisku. 4. **Oficjalny podręcznik** Książka "[Cisco Certified DevNet Associate DEVASC 200-901 Official Cert Guide](https://www.ciscopress.com/store/cisco-certified-devnet-associate-devasc-200-901-official-9780136642961?ref=innasiec.pl)" to niezastąpione źródło przy powtórkach przed egzaminem. Zawiera dokładny opis tematów egzaminacyjnych, przykłady i testy przygotowawcze. 5. **Powtórki i fiszki** Nie zapomnij o powtórkach przed egzaminem. Używaj fiszek, np. bezpłatnych aplikacji bazujących na metodzie powtarzania Anki, aby utrwalić kluczowe pojęcia i terminy. --- ## Zaawansowana architektura sieci 5G [How Mobile Networks WorkA technical overview of mobile network technology today.![](https://innasiec.pl/content/images/icon/apple-touch-icon-1.png)matduggan.comMathew Duggan![](https://innasiec.pl/content/images/thumbnail/cna.png)](https://matduggan.com/how-mobile-networks-work/?ref=innasiec.pl) Technologia 5G rewolucjonizuje branżę telekomunikacyjną, oferując bezprecedensowe prędkości, ultra-niskie opóźnienia i masową łączność urządzeń. Zrozumienie zaawansowanej architektury 5G jest kluczowe dla projektowania i utrzymania nowoczesnych sieci mobilnych. ### Koncepcja Network Slicing Network Slicing to jedna z najbardziej przełomowych cech 5G. Umożliwia tworzenie wielu wirtualnych sieci na wspólnej infrastrukturze fizycznej. Każdy "plasterek" sieci może być zoptymalizowany pod kątem konkretnego przypadku użycia, np.: - **eMBB (enhanced Mobile Broadband)** dla aplikacji wymagających wysokiej przepustowości - **URLLC (Ultra-Reliable Low-Latency Communication)** dla krytycznych zastosowań przemysłowych - **mMTC (massive Machine Type Communication)** dla IoT Implementacja Network Slicing wymaga zaawansowanego orkiestrowania zasobów sieciowych i efektywnego zarządzania QoS (Quality of Service) dla każdego "plasterka". ### Architektura oparta na usługach (SBA) 5G wprowadza architekturę opartą na usługach (Service-Based Architecture, SBA), która znacząco różni się od architektury 4G/LTE. Kluczowe elementy SBA to: 1. Oddzielenie płaszczyzny sterowania od płaszczyzny użytkownika 2. Modularyzacja funkcji sieciowych 3. Standaryzowane interfejsy API między komponentami SBA umożliwia większą elastyczność, skalowalność i efektywność w porównaniu z tradycyjnymi architekturami. Dla inżynierów sieciowych oznacza to konieczność przyswojenia nowych koncepcji, takich jak: - Network Function Virtualization (NFV) - Software-Defined Networking (SDN) - Edge Computing ### Zaawansowane techniki radiowe w 5G **Massive MIMO** Massive MIMO (Multiple-Input Multiple-Output) to kluczowa technologia zwiększająca pojemność i efektywność spektralną sieci 5G. W przeciwieństwie do konwencjonalnych systemów MIMO, Massive MIMO wykorzystuje setki anten na stacji bazowej. Zalety tej technologii obejmują: - Znacznie zwiększoną przepustowość - Lepszą efektywność energetyczną - Zwiększoną niezawodność łącza Implementacja Massive MIMO wymaga zaawansowanych algorytmów przetwarzania sygnałów i precyzyjnej kalibracji sprzętu. **Beamforming** Beamforming to technika formowania wiązki, która umożliwia skupienie energii sygnału radiowego w konkretnym kierunku. W 5G beamforming jest kluczowy dla efektywnego wykorzystania wysokich częstotliwości (mmWave). Główne wyzwania w implementacji beamformingu to: - Precyzyjne śledzenie użytkowników - Szybka adaptacja do zmian w środowisku propagacji - Efektywne zarządzanie interferencjami ### Wyzwania w implementacji 5G **Zagęszczenie sieci** Wykorzystanie wyższych częstotliwości w 5G wymaga znacznego zagęszczenia sieci. Dla inżynierów sieciowych oznacza to konieczność projektowania i zarządzania złożonymi sieciami small cells. Kluczowe aspekty to: - Optymalizacja rozmieszczenia komórek - Efektywne backhaul/fronthaul - Zarządzanie interferencjami w gęstych sieciach **Synchronizacja czasowa** Ultra-niskie opóźnienia w 5G wymagają precyzyjnej synchronizacji czasowej w całej sieci. Implementacja protokołów takich jak PTP (Precision Time Protocol) staje się krytyczna. Wyzwania obejmują: - Zapewnienie dokładności na poziomie mikrosekundowym - Utrzymanie synchronizacji w heterogenicznych sieciach - Obsługa aplikacji wymagających deterministycznych opóźnień ### Bezpieczeństwo w 5G Bezpieczeństwo w 5G wymaga nowego podejścia ze względu na zwiększoną powierzchnię ataku i krytyczne zastosowania. Kluczowe aspekty to: 1. Szyfrowanie end-to-end 2. Uwierzytelnianie oparte na tokenach 3. Izolacja sieciowa dzięki Network Slicing Architektura 5G stanowi znaczący postęp w stosunku do poprzednich generacji sieci komórkowych. Oznacza to konieczność ciągłego rozwoju i adaptacji do nowych technologii. Kluczowe obszary do zgłębienia to: - Wirtualizacja funkcji sieciowych i SDN - Zaawansowane techniki przetwarzania sygnałów (Massive MIMO, beamforming) - Orkiestracja i zarządzanie siecią w środowisku multi-vendor --- ## Jakiej licencji Cisco potrzebujesz? [Enterprise Networks Software Subscription Matrix for SwitchingCisco DNA Software Subscription Matrix for Switching![](https://innasiec.pl/content/images/icon/favicon-4.ico)Cisco![](https://innasiec.pl/content/images/thumbnail/logo-open-graph.gif)](https://www.cisco.com/c/m/en%5Fus/products/software/dna-subscription-switching/en-sw-sub-matrix-switching.html?ref=innasiec.pl) Licencjonowanie w IT nie rzadko mogłoby posiadać własne ścieżki certyfikacyjne, a mimo to dobór prawidłowej licencji nie jest gwarantowany. Na szczęście Cisco znacząco uprościło swoje podejście do licencjonowania i przedstawia w sposób jasny i klarowny, jakie funkcjonalności oferuje dana licencja. --- ## Wytyczne dla projektowania nowych protokołów [RFC 9620: Guidelines for Human Rights Protocol and Architecture ConsiderationsThis document sets guidelines for human rights considerations for developers working on network protocols and architectures, similar to the work done on the guidelines for privacy considerations (RFC 6973). This is an updated version of the guidelines for human rights considerations in RFC 8280\. This document is a product of the Human Right Protocol Considerations (HRPC) Research Group in the IRTF.![](https://innasiec.pl/content/images/icon/favicon-5.ico)Gurshabad Grover](https://www.rfc-editor.org/rfc/rfc9620?ref=innasiec.pl) Dokument **RFC 9620** przedstawia **wytyczne dotyczące uwzględniania praw człowieka w procesie tworzenia protokołów sieciowych**. Ma na celu dostarczenie narzędzi i pytań, które pomogą inżynierom w analizowaniu wpływu ich projektów na prawa człowieka. Dokument jest rezultatem prac Grupy Badawczej **Human Right Protocol Considerations (HRPC)** w ramach **Internet Research Task Force (IRTF).** --- ## Zaawansowane narzędzia do automatyzacji sieci: PyATS vs Nornir w walidacji zabezpieczeń firewalli _This post is for paying subscribers only._ ### 📬 ISN 155: Ewolucja pakietów i obrona sieci: Co musisz wiedzieć? URL: https://innasiec.pl/isn-155-ewolucja-pakietow-i-obrona-sieci-co-musisz-wiedziec/ Last updated: 2024-10-07T08:00:52.000Z --- ## Kluczowe koncepcje IPv6 [IPv6 Deployment Series Part 9: Understanding IPv6 Specific Concepts and the Associated AddressingManaged Services, Professional Services and IT Solutions Provider![](https://innasiec.pl/content/images/icon/cropped-cropped-Favicon-270x270-1.png)BlueAllykgarner![](https://innasiec.pl/content/images/thumbnail/BlueAlly-Conquer-Complexity-Social-Share-Image-Blue-1.jpg)](https://www.blueally.com/pv6-deployment-series-part-9-understanding-ipv6-specific-concepts-and-the-associated-addressing/?ref=innasiec.pl) Wraz z wyczerpywaniem się puli adresów IPv4, przejście na IPv6 staje się nieuniknione. Zrozumienie unikalnych cech IPv6 jest kluczowe dla skutecznego projektowania i zarządzania nowoczesnymi sieciami. ### Grupy multicastowe **W IPv6 zrezygnowano z koncepcji adresu rozgłoszeniowego (broadcast) na rzecz bardziej efektywnego mechanizmu multicast**. Wszystkie adresy multicast w IPv6 zaczynają się od prefiksu FF00::/8. **Adresy multicast o zasięgu lokalnym (link-local)** Szczególnie istotne są adresy multicast o zasięgu lokalnym, rozpoczynające się od FF02::. Obejmują one: 1. **Adres All-Nodes (FF02::1)**: Odpowiednik adresu rozgłoszeniowego w IPv4\. Używany m.in. do wysyłania niezamówionych ogłoszeń routera. 2. **Adres All-Routers (FF02::2)**: Nowa koncepcja w IPv6, optymalizująca komunikację między hostami a routerami na segmencie sieci. ### Adresy link-local Adresy link-local to unikalna cecha IPv6, umożliwiająca komunikację między urządzeniami w tym samym segmencie sieci bez konieczności konfiguracji globalnego adresu IP. - Prefiks: FE80::/10 - Automatycznie konfigurowane na każdym interfejsie IPv6 - Kluczowe dla procesu wykrywania sąsiadów i konfiguracji adresów ### Protokół Neighbor Discovery (NDP) NDP zastępuje funkcje protokołów ARP i DHCP znanych z IPv4\. Wykorzystuje adresy link-local i składa się z pięciu typów komunikatów: 1. **Neighbor Advertisement**: Ogłoszenie własności adresu 2. **Neighbor Solicitation**: Zapytanie o adres warstwy łącza 3. **Router Advertisement (RA)**: Kluczowy dla konfiguracji hosta 4. **Router Solicitation**: Żądanie informacji konfiguracyjnych 5. **Redirect**: Informacja o lepszej trasie dla ruchu **Router Advertisement** Pakiety RA są kluczowe dla automatycznej konfiguracji hostów w IPv6\. Zawierają informacje o: - Metodzie konfiguracji adresu (SLAAC, DHCPv6 stanowy lub bezstanowy) - Prefiksie sieci - Czasie życia adresu - MTU łącza ### Duplicate Address Detection (DAD) DAD to mechanizm zapobiegający konfliktom adresów w środowiskach, gdzie konfiguracja odbywa się automatycznie (SLAAC) lub poprzez DHCPv6 bezstanowy. - Wykorzystuje specjalny pakiet Neighbor Solicitation - Kluczowy dla bezpieczeństwa i stabilności sieci IPv6 Zrozumienie koncepcji multicast, adresów link-local oraz protokołu Neighbor Discovery jest fundamentalne dla skutecznego wdrażania i zarządzania sieciami IPv6\. Te mechanizmy nie tylko zastępują znane z IPv4 rozwiązania, ale także wprowadzają nowe możliwości w zakresie automatyzacji, skalowalności i efektywności sieci. --- ## Zaawansowane narzędzie do mitigacji ataków DDoS [The ultimate weapon against DDoS — BGP Flowspec | APNIC BlogGuest Post: How to filter malicious traffic directly at the network edge, without third-party scrubbing centres.![](https://innasiec.pl/content/images/icon/favicon-1.ico)APNIC BlogPavel Odintsov![](https://innasiec.pl/content/images/thumbnail/No_Scrubs_FT.png)](https://blog.apnic.net/2024/09/18/the-ultimate-weapon-against-ddos-bgp-flowspec/?ref=innasiec.pl) W dzisiejszym świecie, gdzie ataki **Distributed Denial-of-Service (DDoS)** stają się coraz bardziej wyrafinowane, inżynierowie sieciowi poszukują efektywnych rozwiązań do ochrony infrastruktury. **BGP Flowspec (**[**RFC 8955**](https://datatracker.ietf.org/doc/html/rfc8955?ref=innasiec.pl)**)** oferuje potężne narzędzie do walki z atakami wolumetrycznymi bez konieczności korzystania z zewnętrznych centrów oczyszczania ruchu DDoS. Przyjrzyjmy się bliżej, jak to działa i jakie ma zastosowanie w praktyce. ### Czym jest atak DDoS wolumetryczny? Atak DDoS wolumetryczny generuje ogromną ilość ruchu sieciowego skierowanego na ofiarę. Przepustowość takiego ataku może sięgać od setek megabitów do kilkuset gigabitów na sekundę. Ataki te często wykorzystują technikę amplifikacji, zwiększając swoją siłę rażenia. ### Anatomia pakietów DDoS Chociaż teoretycznie wszystkie pola nagłówków IPv4 i IPv6 mogą być wykorzystane w ataku, w praktyce najczęściej spotykamy się z następującymi typami ruchu: 1. **Amplifikacja DNS:** UDP, port źródłowy 53, możliwa fragmentacja, duże pakiety 2. **Amplifikacja NTP:** UDP, port źródłowy 123, możliwa fragmentacja, duże pakiety 3. **TCP SYN flood:** TCP, flaga SYN ustawiona, losowe porty źródłowe 4. **Amplifikacja SSDP:** UDP, port źródłowy 1900, duże pakiety, możliwa fragmentacja **BGP Flowspec jako uniwersalne rozwiązanie** Głównym wyzwaniem w filtrowaniu ruchu DDoS jest różnorodność protokołów i interfejsów używanych przez producentów sprzętu sieciowego do zarządzania ACL i zaporami. BGP Flowspec działa jak "lingua franca", oferując ustandaryzowany sposób konfiguracji filtrów na urządzeniach różnych producentów. ### Możliwości filtrowania BGP Flowspec BGP Flowspec pozwala na filtrowanie ruchu na podstawie następujących kryteriów: - Prefiks źródłowy i docelowy (IPv4 lub IPv6) - Numer protokołu IP - Zakresy portów źródłowych i docelowych dla TCP i UDP - Kod ICMP - Flagi TCP - Długość pakietu - Flagi fragmentacji - DSCP **Wspierane akcje dla ruchu** BGP Flowspec oferuje różne akcje, które można podjąć wobec zidentyfikowanego ruchu: - Odrzucenie - Ograniczenie przepustowości - Akceptacja - Oznaczenie (DSCP) - Przekierowanie do VRF - Przekierowanie do następnego przeskoku ### Wsparcie producentów dla BGP Flowspec Większość głównych producentów sprzętu telekomunikacyjnego oferuje wsparcie dla BGP Flowspec, w tym: - Juniper (MX, PTX) - Cisco (ASR 1000, ASR 9000, NCS 5500) - Nokia SR - Huawei - Arista - Extreme - 6Wind VSR Należy jednak pamiętać, że **implementacje mogą się różnić między producentami**, co wymaga uwagi przy konfiguracji i wykorzystaniu w środowisku multi-vendor. ### Ograniczenia specyficzne dla producentów Różnice w implementacji BGP Flowspec między producentami mogą prowadzić do pewnych ograniczeń operacyjnych. Oto kilka przykładów: ### Arista - Ograniczone wsparcie dla flag fragmentacji i TCP - Brak możliwości łączenia portów źródłowych i docelowych z flagami fragmentacji w jednej regule ### Extreme - Ograniczone wsparcie dla flag fragmentacji - Brak wsparcia dla dwubajtowych flag TCP - Precyzja ograniczania przepustowości oparta na wielokrotnościach 22 Kbps ### Cisco ASR 9000 - Maksymalnie pięć zakresów wielowartościowych w jednej regule Flowspec - Wzajemne wykluczanie się opcji dopasowania pierwszego i ostatniego fragmentu IPv6 **BGP Flowspec w środowisku międzyoperatorskim** BGP Flowspec może być stosowany między różnymi systemami autonomicznymi (ASN), co pozwala na wykorzystanie zasobów operatora do filtrowania ataków DDoS. Wiele firm telekomunikacyjnych oferuje taką usługę, często za dodatkową opłatą. **Operatorzy, którzy oferują wsparcie dla BGP Flowspec, to między innymi Core Backbone, Sparkle, RETN, Rascom, SMARTNET, Inter.Link i Hurricane Electric.** Korzystanie z BGP Flowspec w środowisku międzyoperatorskim wymaga jednak szczególnej uwagi ze względu na: - Konieczność dokładnej walidacji reguł przed ich akceptacją - Ograniczoną widoczność efektywności poszczególnych reguł - Twarde limity liczby reguł BGP Flowspec BGP Flowspec to dojrzały protokół, który oferuje skuteczne narzędzie do mitigacji ataków DDoS wolumetrycznych bez konieczności korzystania z zewnętrznych centrów oczyszczania ruchu. Jego uniwersalność i wsparcie ze strony głównych producentów sprzętu sieciowego czynią go atrakcyjnym rozwiązaniem. --- ## Paczka książek od Cisco [Humble Tech Book Bundle: Cisco Certification Prep by Cisco Press and Pearson ITGet this library of tech ebooks and courses from Cisco Press today—pay what you want & support charity!![](https://innasiec.pl/content/images/icon/03df0490a53d595fd930f9fff52038366d60a05d-2.png)Humble Bundle![](https://innasiec.pl/content/images/thumbnail/f9a3e429b743e52ff58a967218af6b65dbf090a4-2.png)](https://www.humblebundle.com/books/cisco-certification-prep-cisco-press-and-pearson-it-books?ref=innasiec.pl) **18 e-booków od Cisco Press za niecałe 20$** i do tego większość kasy pójdzie na cele charytatywne. W paczce Humble Bundle od Cisco Press znajdziesz między innymi książki z CCST, CCNP Security, Data Center i Collaboration. --- ## Po co Ci dokumentacja? [Best Practices for Network Documentation: A Guide for Network Engineers — Layer8PacketEffective network documentation is crucial for managing complex infrastructures, enabling smooth troubleshooting, scaling, and collaboration within IT teams. This blog outlines the best practices for creating and maintaining network documentation, including standardized formats, automation tools lik![](https://innasiec.pl/content/images/icon/favicon-2.ico)Layer8PacketPat Allen![](https://innasiec.pl/content/images/thumbnail/unsplash-image-0KE2UZWeV2Q.jpg)](https://www.layer8packet.io/home/best-practices-for-network-documentation-a-guide-for-network-engineers?ref=innasiec.pl) **Dokumentacja sieciowa jest niezbędnym elementem zarządzania infrastrukturą**, który wspiera procesy rozwiązywania problemów, współpracę zespołową oraz zgodność z regulacjami. Artykuł opisuje najlepsze praktyki dokumentowania sieci. --- ## Ewolucja rozmiarów pakietów w sieciach komputerowych _This post is for paying subscribers only._ ### 📬 ISN 154: Dlaczego firmom zależy, abyś wrócił do biura? 🤔 URL: https://innasiec.pl/isn-154-dlaczego-firmom-zalezy-abys-wrocil-do-biura/ Last updated: 2024-09-30T08:00:04.000Z --- ## Kolejna edycja Rev up to Recert [Rev up to Recert: Power up Your Programming SkillsVroom, vroom, vroom! It’s that time again, tech learners.![](https://innasiec.pl/content/images/icon/cropped-Cisco-logo-thumb-sky-blue-270x270.jpg)Cisco BlogsNatarshia Mosley![](https://innasiec.pl/content/images/thumbnail/ProgrammingRev-Up-static-LinkedIn-1200x628-1.png)](https://blogs.cisco.com/learning/rev-up-to-recert-programming?ref=innasiec.pl) **Przyszłość sieci to programowalność, automatyzacja i zarządzanie poprzez kod**, gdzie język programowania staje się uniwersalnym interfejsem do definiowania i wdrażania złożonych zasad i zachowań sieciowych. Ręczna praca nad konfiguracją przestaje być efektywna i opłacalna w obliczu rosnącej złożoności i dynamiki współczesnych środowisk sieciowych. Świetną wiadomością jest to, że Cisco, nie pozostaje obojętny na ten trend i przygotował całkowicie darmowy kurs online mający na celu wprowadzenie inżynierów sieciowych w świat programowania. Firma **właśnie uruchomiła kolejną edycję programu "Rev Up to Recert", w ramach którego można bezpłatnie uzyskać dostęp do kursu "Programming for Network Engineers | PRNE** " oraz **zdobyć aż 24 punkty Continuing Education (CE)** potrzebne do odnowienia posiadanych certyfikatów Cisco. **Kurs PRNE to:** - ponad 20 godzin interaktywnych treści, - 29 praktycznych laboratoriów, - 16 sprawdzianów wiedzy - 24 punkty CE. Wszystko to za darmo dla posiadaczy certyfikatów Cisco, **od 25 września do 22 listopada 2024 roku.** To świetna okazja do nabycia umiejętności programowania w Pythonie, zapoznania się ze strategią Cisco DevNet i zasadami automatyzacji sieci, a także praktycznego przetrenowania pisania skryptów do zarządzania urządzeniami sieciowymi. Ukończenie kursu pozwoli zdobyć fundamentalną wiedzę niezbędną do dalszej ścieżki rozwoju w kierunku programowalnych sieci, aż do poziomu certyfikatu DevNet Associate. --- ## Atak DDoS na serwer Minecrafta [Record-Breaking 3.15 Billion Packets Per Second DDOS Attack Towards Minecraft ServerGlobal Secure Layer (GSL) successfully mitigated the most considerable packet rate of the Distributed Denial of Service attack recorded.![](https://innasiec.pl/content/images/icon/CSN.jpg)CybersecurityNewsDhivya![](https://innasiec.pl/content/images/thumbnail/Record-Breaking%203.15%20Billion%20packets%20per%20second%20DDoS%20Attack%20Towards%20Minecraft%20Server%20(1).webp)](https://cybersecuritynews.com/record-breaking-ddos-attack/?ref=innasiec.pl) Atak Distributed Denial of Service (DDoS) osiągnął rekord - 3,15 miliarda pakietów na sekundę. Celem był serwer gry Minecraft, a ten przypadek rzuca nowe światło na skalę współczesnych zagrożeń i potrzebę ciągłego doskonalenia metod cyberobrony. Atak nie przyszedł zupełnie znienacka. Dzień wcześniej zaobserwowano mniejszą próbę wymierzoną w pojedynczy prefix sieci ofiary, która osiągnęła "zaledwie" 1,7 miliarda pakietów na sekundę. Ten "zwiad" prawdopodobnie posłużył do wstępnej identyfikacji słabych punktów przed głównym uderzeniem. 24 godziny później hakerzy uruchomili zmasowany "atak dywanowy", obejmujący wszystkie upublicznione prefiksy ofiary. Ta strategia pozwoliła wyzwolić pełną moc rozproszonej sieci botnetów, osiągając poziom 3,15 miliarda pps. ### Analiza techniczna Badania wskazują na udział co najmniej dwóch odrębnych botnetów o różnych profilach działania. **Atak "pakietożerny" pochodził głównie z Rosji, Wietnamu i Korei Południowej, podczas gdy wariant "objętościowy" czerpał siły przede wszystkim z Rosji, Ukrainy i Brazylii.** Kluczowym elementem ataku była luka **CVE-2023-2231** w urządzeniach MAX-G866ac, umożliwiająca zdalne przejęcie kontroli i włączenie ich do botnetu. Ten przypadek pokazuje jak ważne jest regularne aktualizowanie oprogramowania sieciowego. ### Strategia obrony Dzięki systemom wykrywania anomalii i automatycznej mitygacji firmy **Global Secure Layer**, udało się zneutralizować atak w czasie krótszym niż 15 minut od wykrycia pierwszych oznak zagrożenia. Skonfigurowanie mocniejszych zabezpieczeń sieciowych uchroniło klienta końcowego przed jakimkolwiek zakłóceniem usług. GSL dysponuje systemem zbudowanym na heurystykach wykrywających nietypowe wzorce ruchu i śledzących stan wszystkich urządzeń ochronnych w sieci. Dzięki temu definiowany jest wzorzec typowego ruchu dla każdego klienta, co pozwala na natychmiastową reakcję przy pojawieniu się anomalii. --- ## Drugie dno powrotów do biura [The Elite’s War on Remote Work Has Nothing to Do with ProductivityIt’s about debt on zombie office towers.![](https://innasiec.pl/content/images/icon/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2F7db7d13a-a769-4476-9609-ee3651a460af%2Fapple-touch-icon-180x180.png)The Sentinel-IntelligenceJessica![](https://innasiec.pl/content/images/thumbnail/https%3A%2F%2Fsubstack-post-media.s3.amazonaws.com%2Fpublic%2Fimages%2F499d83c5-20bd-4d59-891f-3c8691ca7aeb_2000x1506.jpeg)](https://www.the-sentinel-intelligence.com/p/heres-why-they-want-you-back-at-the-office-so-bad?ref=innasiec.pl) Jak przekonuje autorka artykułu, w powrotach do biura wcale nie chodzi o produktywność. **Chodzi o pieniądze.** O pieniądze, które banki pożyczyły na budowę lub zakup biurowców, a teraz boją się, że mogą je stracić, ponieważ budynki stoją puste. --- ## **PAT z hosta do określonego celu** [NAT Overload Towards Specific Host – Daniels Networking Blog![](https://innasiec.pl/content/images/icon/favicon.ico)ddib![](https://innasiec.pl/content/images/thumbnail/NAT_lab.drawio-910x1024.png)](https://lostintransit.se/2024/09/23/nat-overload-towards-specific-host/?ref=innasiec.pl) Daniel Dib opisuje, **jak zrealizować PAT z konkretnego hosta źródłowego do określonego celu.** Inny ruch generowany przez ten sam host źródłowy nie powinien podlegać PAT. Choć to prosta konfiguracja, osoby, które miały do czynienia z ustawieniami ip nat { inside | outside }, wiedzą, że mogą one być dość skomplikowane. # Zabezpieczanie BGP _This post is for paying subscribers only._ ### 📬 ISN 153: Zarządzanie kosztami w chmurze: Kluczowe strategie URL: https://innasiec.pl/isn-153-zarzadzanie-kosztami-w-chmurze-kluczowe-strategie/ Last updated: 2024-09-23T08:00:56.000Z ## Efektywne strukturyzowanie kodu Terraform [How to structure Terraform codeExplore the evolving best practices for structuring Terraform code. This guide covers essential files like main.tf, variables.tf, and outputs.tf, offering rules and strategies to enhance your projects. Improve code quality, set standards, and streamline collaboration. Dive in to learn more!![](https://innasiec.pl/content/images/icon/favicon-1.png)Brendan ThompsonBrendan Thompson![](https://innasiec.pl/content/images/thumbnail/How-to-structure-Terraform-code.jpg)](https://brendanthompson.com/how-to-structure-terraform-code/?ref=innasiec.pl) Wraz z rosnącą popularnością Terraform powstaje rosnąca potrzeba utrzymywania wysokiej jakości i czytelności kodu. **Dobrze zorganizowany kod nie tylko ułatwia współpracę w zespole, ale także zwiększa wydajność i zmniejsza ryzyko błędów.** ### Podstawowe pliki Terraform Każdy projekt Terraform składa się z kilku standardowych plików, które pełnią określone role. Przyjrzyjmy się najważniejszym z nich: **main.tf** Ten plik stanowi podstawę każdego rozwiązania Terraform. To tutaj definiuje się wszystkie zasoby, dane i moduły, które mają być utworzone lub zarządzane. Dobrą praktyką jest grupowanie powiązanych zasobów w osobnych plikach (np. database.tf, storage.tf), ale wszystkie one powinny być zaimportowane do pliku main.tf. **variables.tf** W tym pliku definiuje się zmienne wejściowe dla Twojego kodu Terraform. Zmienne te tworzą interfejs API, który będą używać inni programiści lub narzędzia do interakcji z Twoim kodem. Dobrze zdefiniowane i udokumentowane zmienne są kluczowe dla łatwości użytkowania i współpracy. **outputs.tf** Ten plik jest używany głównie w modułach Terraform i określa informacje, które powinny być zwracane po ukończeniu działania modułu. Stanowi to drugą część interfejsu API dla modułu, umożliwiając innym kodom pobieranie i wykorzystywanie informacji generowanych przez dany moduł. **providers.tf** Tutaj deklaruje się dostawców, których potrzebuje Twój kod Terraform, takich jak dostawcy dla określonych usług chmurowych lub usług lokalnych. W tym pliku można również skonfigurować aliasy dostawców oraz inne wymagane informacje konfiguracyjne. ### Dobre praktyki strukturyzacji kodu Aby zapewnić czystość, czytelność i łatwość konserwacji kodu Terraform, należy przestrzegać kilku dobrych praktyk: 1. **Porządkuj bloki danych i zasobów w sensownej kolejności** Bloki danych powinny być zdefiniowane na początku pliku lub na początku sekcji, w której są używane. Bloki zasobów należy porządkować według kolejności tworzenia, np. najpierw grupa zasobów, następnie maszyna wirtualna, a na końcu dyski. 2. **Stosuj odpowiednie nazewnictwo** Nadawaj zmiennym i zasobom jasne, opisowe nazwy, ułatwiające późniejszą identyfikację ich roli. Unikaj nadmiernie długich lub powielających się nazw. 3. **Komentuj złożone logiki** Dla skomplikowanych obliczeń lub logik w blokach locals, dodawaj komentarze wyjaśniające ich cel i działanie. Pomoże to innym programistom (oraz Twojej przyszłej wersji) w zrozumieniu kodu. 4. **Grupuj powiązane zmienne** W pliku variables.tf grupuj powiązane zmienne w obiekty, aby ułatwić ich zarządzanie i utrzymać przejrzystość. 5. **Stosuj walidację zmiennych** Definiuj reguły walidacji dla zmiennych wejściowych, aby zapobiec wprowadzaniu niewłaściwych wartości, które mogłyby prowadzić do błędów lub niepożądanych zachowań. 6. **Dokumentuj interfejs API** Dla zmiennych i danych wyjściowych modułów dodawaj szczegółowe opisy ich przeznaczenia, wymagań, domyślnych wartości oraz przykładów użycia. Ułatwi to późniejsze korzystanie z tych interfejsów przez innych programistów. --- ## Optymalizacja kosztów w chmurze [Cloud costs - areas, problems and solutionsPart 1 No matter why and how we use cloud, there is one aspect that is present from the very beginning: cloud costs - sometimes as the very reason of using the cloud, but always as inevitable usage result. Let’s explore the topic - in a series of articles.![](https://innasiec.pl/content/images/icon/al2o9zrvru7aqj8e1x2rzsrca)areas, problems and solutionsKarolina Boboli![](https://innasiec.pl/content/images/thumbnail/1726572771943)](https://www.linkedin.com/pulse/cloud-costs-areas-problems-solutions-karolina-boboli-kbczf/?ref=innasiec.pl) Czy zastanawiałeś się kiedyś, jak znacząco obniżyć koszty infrastruktury chmurowej bez utraty wydajności? Jako starszy inżynier sieciowy, stoisz przed wyzwaniem balansowania między innowacją a optymalizacją budżetu. Przyjrzyjmy się, jak skutecznie zarządzać kosztami w chmurze. ### Projektowanie z myślą o kosztach Efektywne projektowanie aplikacji to fundament optymalizacji kosztów. Oto kluczowe obszary, na które warto zwrócić uwagę: 1. **Wydajność kodu**: Zoptymalizowany kod to mniejsze zużycie zasobów i niższe koszty. 2. **Zarządzanie wywołaniami API**: Wykorzystaj mechanizmy cache-owania do redukcji liczby kosztownych wywołań. 3. **Optymalizacja zapytań**: Szczególnie istotne w rozwiązaniach Big Data i aplikacjach intensywnie przetwarzających dane. 4. **Inteligentne przechowywanie danych**: Stosuj kompresję i polityki cyklu życia danych. 5. **Transfer danych**: Zminimalizuj transfer dynamicznych danych i wykorzystaj CDN dla contentu statycznego. 6. **Logowanie**: Dostosuj poziomy logowania do środowiska i używaj polityk retencji. ### Dobór odpowiednich zasobów Kluczem do optymalizacji jest właściwe dopasowanie zasobów do potrzeb. Proces ten wymaga iteracyjnego podejścia: 1. Zdefiniuj początkowe założenia. 2. Wdróż infrastrukturę. 3. Monitoruj kluczowe metryki. 4. Regularnie weryfikuj założenia i dostosowuj zasoby. Pamiętaj o całkowitym koszcie posiadania (TCO) przy porównywaniu usług zarządzanych z tradycyjnymi instancjami. ### Elastyczność zakupu zasobów AWS oferuje różnorodne opcje zakupu instancji EC2, które mogą znacząco wpłynąć na koszty: - **On-demand**: Idealne dla nieprzewidywalnych obciążeń. - **Spot instances**: Do 90% taniej, ale z możliwością przerwania. - **Reserved instances**: Dla przewidywalnych, długoterminowych obciążeń. - **EC2 Fleet**: Pozwala na zbalansowanie różnych typów instancji. - **Saving Plans**: Łączy zalety instancji zarezerwowanych z elastycznością on-demand. Podobne opcje dostępne są dla innych usług AWS, takich jak DynamoDB czy Aurora. ### Automatyzacja dopasowania podaży do popytu Manualne skalowanie zasobów jest nieefektywne. Wykorzystaj: - **Autoskalowanie** dla EC2, ECS, DynamoDB i RDS. - **Rozwiązania serverless**, które automatycznie skalują się do zera (uwaga na wyjątki!). ### Optymalizacja czasu pracy zasobów Nie wszystkie środowiska wymagają pracy 24/7\. Zaimplementuj: - Harmonogramy włączania i wyłączania zasobów. - Automatyczne tworzenie i niszczenie infrastruktury zdefiniowanej jako kod. ### Eliminacja nieużywanych zasobów Regularne "sprzątanie" środowiska chmurowego jest kluczowe: 1. Identyfikuj nieużywane zasoby za pomocą AWS Trusted Advisor. 2. Usuwaj stare kopie zapasowe i snapshoty. 3. Znajdź i usuń nieużywane wolumeny EBS. ### Monitorowanie i optymalizacja Ciągłe monitorowanie to podstawa efektywnej optymalizacji: 1. Regularnie analizuj metryki wykorzystania zasobów. 2. Identyfikuj niedostatecznie wykorzystane zasoby. 3. Wdrażaj autoskalowanie tam, gdzie to możliwe. Optymalizacja kosztów w chmurze to proces ciągły, wymagający uwagi i działania. Pamiętaj, że efektywne zarządzanie kosztami to nie tylko oszczędności, ale również zwiększona elastyczność i innowacyjność Twojej organizacji. 💡 Więcej wskazówek znajdziesz w źródłowym artykule. --- ## Tesla "otwiera" swój protokół [GitHub - teslamotors/ttpoeContribute to teslamotors/ttpoe development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40.svg)GitHubteslamotors![](https://innasiec.pl/content/images/thumbnail/ttpoe)](https://github.com/teslamotors/ttpoe?ref=innasiec.pl) Podczas konferencji HotChips 2024 **Tesla ogłosiła otwarcie protokołu** **Tesla Transport Protocol over Ethernet (TTPoE)** oraz dołączenie do Ultra Ethernet Consortium w celu standaryzacji nowego, wysokiej prędkości i niskolatencyjnego protokołu. **TTPoE jest zaprojektowany do obsługi dużych systemów komputerowych, takich jak Tesla Dojo v1, z tysiącami równoczesnych punktów końcowych.** --- ## Otwartoźródłowa alternatywa dla NGROK [GitHub - amalshaji/portr: Open source ngrok alternative designed for teams. Tunnel http, tcp or websocket connections.Open source ngrok alternative designed for teams. Tunnel http, tcp or websocket connections. - amalshaji/portr![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40.svg)GitHubamalshaji![](https://innasiec.pl/content/images/thumbnail/portr)](https://github.com/amalshaji/portr?ref=innasiec.pl) Portr to projekt open source, który stanowi alternatywę dla ngrok, umożliwiając zespołom tunelowanie połączeń HTTP, TCP i WebSocket do publicznego internetu. Obecnie znajduje się w fazie beta i może zawierać błędy, ale warto śledzić rozwój projektu. --- ## Logika reguł dostępu w ISE _This post is for paying subscribers only._ ### 📬 ISN 152: Zalecenia Białego Domu: Kluczowe Zmiany w Bezpieczeństwie BGP URL: https://innasiec.pl/isn-152-bialy-dom-ostrzega-nowe-zagrozenia-bgp-co-musisz-wiedziec/ Last updated: 2024-09-16T08:00:00.000Z --- ## NetDevOps i Automatyzacja Sieci dla Aplikacji AI [How NetDevOps transforms network management for AI applications - CACIAI is continuously making its presence known through embedded integration into various network applications and workloads…![](https://innasiec.pl/content/images/icon/cropped-favicon-270x270.png)CACIDylan Griffiths![](https://innasiec.pl/content/images/thumbnail/shutterstock_2471258129-1024x512.jpg)](https://www.caci.co.uk/insights/opinions/how-netdevops-transforms-network-management-for-ai-applications/?ref=innasiec.pl) Wraz z rozwojem aplikacji opartych na technologii sztucznej inteligencji (AI), pojawiają się nowe wyzwania bezpieczeństwa dla inżynierów sieciowych. Rosnąca złożoność i szybkość obciążeń AI wymaga nie tylko niezawodnej prędkości infrastruktury, ale również solidnych środków bezpieczeństwa. W tym artykule omówimy przełom NetDevOps, AIOps oraz bezpieczeństwa, podkreślając potrzebę holistycznego podejścia do zarządzania siecią. ### Ryzyka Bezpieczeństwa w Sieciach AI 1. **Wycieki Danych**: Obciążenia AI często obejmują wrażliwe dane, czyniąc je atrakcyjnymi celami dla ataków cybernetycznych. 2. **Ruch Lateralny**: Wysoka prędkość i niezawodność obciążeń AI mogą tworzyć podatności na ruch lateralny w sieci. 3. **Ataki Zero-Day**: Szybko rozwijająca się natura sieci AI sprawia, że trudno jest dotrzymać kroku z atakami zero-day. ### NetDevOps i Bezpieczeństwo: Holistyczne Podejście 1. **Infrastruktura jako Kod (IaC)**: Korzystając z IaC, zespoły NetDevOps mogą definiować konfiguracje infrastruktury, które obejmują środki bezpieczeństwa, zapewniając spójność i kontrolę wersji. 2. **Sieci oparte na Intencji**: Abstrahując konfiguracje sieci opartych na intencjach, zespoły NetDevOps mogą oddzielić polityki sieciowe od konfiguracji urządzeń, zmniejszając powierzchnię ataku. 3. **Automatyzacja Zgodności**: Zespoły NetDevOps mogą wykorzystać automatyzację do zapewnienia zgodności z przepisami bezpieczeństwa i standardami, takimi jak PCI-DSS czy HIPAA. ### AIOps i Bezpieczeństwo: Analiza w Czasie Rzeczywistym 1. **Monitorowanie w Czasie Rzeczywistym**: AIOps zapewnia analizę w czasie rzeczywistym wydajności sieci i bezpieczeństwa, umożliwiając szybkie wykrywanie potencjalnych zagrożeń. 2. **Analiza Przewidywalna**: Analizując wzorce ruchu sieciowego i zachowania się urządzeń, AIOps może przewidywać potencjalne ryzyka bezpieczeństwa, umożliwiając proaktywne działania. ### **Najlepsze Praktyki dla Bezpiecznego NetDevOps i AIOps** 1. **Włączanie Bezpieczeństwa do Potoków DevOps**: Włączanie testowania bezpieczeństwa i walidacji do potoków CI/CD. 2. **Używanie Szyfrowania**: Szyfrowanie danych podczas transmisji i w spoczynku w celu ochrony przed nieautoryzowanym dostępem. 3. **Wdrożenie Kontroli Dostępu opartej na Rolach (RBAC)**: Ograniczenie dostępu do zasobów sieciowych na podstawie ról i odpowiedzialności użytkowników. Przełom NetDevOps, AIOps oraz bezpieczeństwa jest kluczowy dla zapewnienia niezawodności, wydajności i bezpieczeństwa sieci AI. Przyjmując holistyczne podejście, które obejmuje infrastrukturę jako kod, sieci oparte na intencji oraz automatyzację zgodności, zespoły NetDevOps mogą tworzyć bezpieczne i skalowalne środowiska sieciowe. Wraz z rozwojem technologii AI, priorytetem powinno być bezpieczeństwo w zarządzaniu siecią. --- ## Plan poprawy bezpieczeństwa BGP z Białego domu [Fact Sheet: Biden-Harris Administration Releases Roadmap to Enhance Internet Routing Security | ONCD | The White HouseSeptember 3, 2024 Today, the White House Office of the National Cyber Director (ONCD) released a Roadmap to Enhancing Internet Routing Security, which aims to address a key security vulnerability associated with the Border Gateway Protocol (BGP) – the protocol that underpins the way information is routed across networks. In addition to releasing the report,…![](https://innasiec.pl/content/images/icon/apple-touch-icon.png)The White House![](https://innasiec.pl/content/images/thumbnail/wh_social-share.png)](https://www.whitehouse.gov/oncd/briefing-room/2024/09/03/fact-sheet-biden-harris-administration-releases-roadmap-to-enhance-internet-routing-security/?ref=innasiec.pl) Nieustannie rosnąca liczba incydentów związanych z naruszeniem bezpieczeństwa routingu internetowego stanowi poważne zagrożenie dla współczesnych organizacji. Błąd w obsłudze protokołu BGP (Border Gateway Protocol), będącego podstawą ruchu sieciowego w internecie, może prowadzić do kradzieży danych, szpiegostwa, zakłóceń w działaniu infrastruktury krytycznej i innych poważnych konsekwencji. W obliczu tych zagrożeń wdrożenie odpowiednich zabezpieczeń staje się niezbędne dla zapewnienia ciągłości operacji biznesowych. **Infrastruktura kluczy publicznych dla zasobów (RPKI) i powiązane mechanizmy stanowią obiecujące rozwiązanie problemu słabości protokołu BGP.** W tym artykule omówimy szczegółowo te technologie i przedstawimy praktyczne zalecenia dotyczące ich wdrożenia w środowiskach sieciowych. ### Co to jest RPKI? RPKI składa się z dwóch kluczowych elementów: autoryzacji pochodzenia tras (ROA) oraz weryfikacji pochodzenia tras (ROV). ROA to cyfrowo podpisany certyfikat potwierdzający, że dana sieć ma prawo do ogłaszania określonego zakresu adresów IP. Z kolei ROV to proces, w którym routery BGP używają danych ROA do filtrowania nieprawidłowych ogłoszeń BGP. ### Korzyści z wdrożenia RPKI Wdrożenie RPKI przynosi szereg korzyści dla organizacji, w tym: - Zwiększone bezpieczeństwo przed atakami i nieautoryzowanym dostępem do zasobów sieciowych. - Lepsza ochrona przed przypadkowym lub umyślnym przekierowaniem ruchu sieciowego. - Zmniejszenie ryzyka utraty danych, szpiegostwa i incydentów zakłócających działanie infrastruktury krytycznej. - Większa odporność i niezawodność połączeń internetowych. ### Zalecane kroki dla administratorów sieci Wdrożenie RPKI wymaga systematycznego podejścia i zaangażowania wszystkich interesariuszy. Oto kluczowe zalecenia dla administratorów sieci: 1. **Przeprowadzenie oceny ryzyka** **i opracowanie planu zarządzania ryzykiem cyberbezpieczeństwa**, uwzględniającego bezpieczeństwo routingu internetowego. 2. **Utworzenie i publikacja certyfikatów ROA** dla zasobów adresowych o wysokiej wartości lub wysokim ryzyku. 3. **Wdrożenie weryfikacji ROV w routerach BGP** w celu filtrowania nieprawidłowych ogłoszeń tras. 4. **Włączenie wymogów dotyczących bezpieczeństwa routingu** do umów z dostawcami usług sieciowych. 5. **Ciągłe monitorowanie stanu certyfikatów ROA**, zagrożeń związanych z routingiem oraz jakości usług routingu internetowego. Bezpieczeństwo routingu internetowego stanowi kluczowy element zapewnienia niezawodności i ciągłości działania sieci. **Wdrożenie RPKI, w połączeniu z systematycznym podejściem do zarządzania ryzykiem, może skutecznie zmniejszyć zagrożenia związane ze słabościami protokołu BGP.** Jako specjaliści od sieci, mamy obowiązek uwzględnienia tych rozwiązań w naszych strategiach bezpieczeństwa, aby chronić krytyczną infrastrukturę sieciową przed coraz bardziej wyrafinowanymi zagrożeniami. 💡 Z pełną treścią planu zapoznasz się tutaj [**Roadmap to Enhancing Internet Routing Security*](https://www.whitehouse.gov/wp-content/uploads/2024/09/Roadmap-to-Enhancing-Internet-Routing-Security.pdf?ref=innasiec.pl). --- ## Najlepsze praktyki w pracy z Dockerfile [GitHub - dnaprawa/dockerfile-best-practices: Dockerfile Best PracticesDockerfile Best Practices. Contribute to dnaprawa/dockerfile-best-practices development by creating an account on GitHub.![](https://innasiec.pl/content/images/icon/pinned-octocat-093da3e6fa40.svg)GitHubdnaprawa![](https://innasiec.pl/content/images/thumbnail/dockerfile-best-practices)](https://github.com/dnaprawa/dockerfile-best-practices?ref=innasiec.pl) Dockerfile to plik tekstowy zawierający zestaw instrukcji, które definiują, jak zbudować obraz kontenera Docker. Jest on używany do automatyzacji procesu tworzenia spójnego i powtarzalnego środowiska dla aplikacji, co jest szczególnie przydatne w kontekście wdrażania i zarządzania aplikacjami w infrastrukturze sieciowej. **Repozytorium zawiera zbiór najlepszych praktyk przy tworzeniu pliku Dockerfile** od polskiego Docker Captain Damiana Naprawy. --- ## Jak MSS i MTU wpływają na trasmisję? [MSS, MSS Clamping, PMTUD, and MTU – Daniels Networking Blog![](https://innasiec.pl/content/images/icon/favicon.ico)ddib![](https://innasiec.pl/content/images/thumbnail/Ethernet_II.png)](https://lostintransit.se/2024/09/05/mss-mss-clamping-pmtud-and-mtu/?ref=innasiec.pl) Zapraszam do zapoznania się z artykułem, który szczegółowo omawia kluczowe aspekty dotyczące w kontekście sieci komputerowych. Z artykułu dowiesz się, jak **Maximum Segment Size (MSS)** oraz **Maximum Transmission Unit (MTU)** wpływają na wydajność przesyłania danych w sieci Ethernet, a także jakie znaczenie ma ich odpowiednie ustawienie dla uniknięcia problemów z fragmentacją pakietów. --- ## Zarządzanie konfiguracją jak GitOps _This post is for paying subscribers only._ ### 📬 ISN 151: Zapomnij o AWX, Poznaj Semaphore UI URL: https://innasiec.pl/isn-151-zapomnij-o-awx-poznaj-semaphore-ui/ Last updated: 2024-09-09T08:00:41.000Z --- ## Obserwacja, telemetria i monitoring [Observability vs. Telemetry vs. Monitoring | Last9Observability is the continuous analysis of operational data, telemetry is the operational data that feeds into that analysis, and monitoring is like a radar for your system observing everything about your system and alerting when necessary.![](https://last9.io/icons/icon-192x192.png?v=617f778398f9a4df87ba66629b6f46e9)Book a Demo![](https://last9.ghost.io/content/images/2024/09/Observability-vs.-Telemetry-vs.-Monitoring.webp)](https://last9.io/blog/observability-vs-telemetry-vs-monitoring/?ref=innasiec.pl) W dynamicznie rozwijającym się świecie technologii informatycznych, utrzymanie niezawodności i wydajności systemów staje się coraz większym wyzwaniem. Kluczowe znaczenie w tym kontekście mają trzy powiązane ze sobą koncepcje: obserwacja, telemetria i monitoring. Niniejszy artykuł przedstawia szczegółową analizę tych zagadnień, ich wzajemnych relacji oraz znaczenia dla współczesnych inżynierów sieciowych. ### Telemetria - fundamenty gromadzenia danych Telemetria stanowi podstawę efektywnego zarządzania systemami IT, zapewniając ciągły strumień danych o stanie i wydajności infrastruktury. Wyróżniamy dwa główne rodzaje telemetrii: **Telemetria aplikacyjna** - **Implementacja:** wykorzystanie narzędzi takich jak OpenTelemetry - **Zbierane dane:** statystyki wydajności, wskaźniki błędów, wykorzystanie zasobów - **Zastosowanie:** analiza zachowania aplikacji, optymalizacja kodu, debugowanie **Telemetria sieciowa** - **Metody zbierania danych:** a) Aktywne (generowanie ruchu testowego) b) Pasywne (analiza istniejącego ruchu) - **Kluczowe metryki:** przepustowość, opóźnienia, utrata pakietów, jitter - **Narzędzia:** sondy programowe, analizatory protokołów, systemy NetFlow/IPFIX ### Obserwacja - holistyczne podejście do analizy systemu Obserwacja wykracza poza proste gromadzenie danych, koncentrując się na zrozumieniu zachowania systemu jako całości. Obejmuje trzy kluczowe elementy: **Metryki** - **Definicja:** liczbowe reprezentacje stanu systemu - **Przykłady:** liczba żądań na sekundę, czas odpowiedzi, wykorzystanie CPU/RAM - **Narzędzia:** Prometheus, Graphite, InfluxDB **Logi** - **Charakterystyka**: sekwencyjne zapisy zdarzeń systemowych - **Typy:** logi aplikacji, logi systemowe, logi bezpieczeństwa - **Systemy zarządzania logami:** ELK Stack (Elasticsearch, Logstash, Kibana), Graylog **Ślady (traces)** - **Koncepcja:** śledzenie przepływu żądań przez rozproszone systemy - **Komponenty:** identyfikatory transakcji, znaczniki czasowe, metadane kontekstowe - **Implementacje:** Jaeger, Zipkin, AWS X-Ray ### Monitoring - aktywne nadzorowanie systemów Monitoring zapewnia ciągłą kontrolę nad stanem infrastruktury IT, umożliwiając szybką reakcję na anomalie. Główne obszary monitoringu: **Monitoring wydajności** - **Cele:** optymalizacja wydajności aplikacji i infrastruktury - **Kluczowe wskaźniki (KPI):** czas odpowiedzi, przepustowość, latencja - **Narzędzia:** Prometheus, Grafana, Nagios **Monitoring infrastruktury** - **Zakres:** serwery, sieci, storage, wirtualizacja - **Monitorowane parametry:** wykorzystanie CPU/RAM, zajętość dysków, przepustowość sieci - **Rozwiązania:** Zabbix, Datadog, SolarWinds **Monitoring dostępności** - **Metody:** ping, sprawdzanie portów TCP/UDP, symulacja transakcji użytkownika - **Metryki:** uptime, MTBF (Mean Time Between Failures), MTTR (Mean Time To Repair) - **Systemy:** Pingdom, Uptime Robot, StatusCake **Monitoring bezpieczeństwa** - **Komponenty:** SIEM (Security Information and Event Management), IDS/IPS - **Funkcje:** wykrywanie anomalii, analiza behawioralna, korelacja zdarzeń - **Platformy:** Splunk, IBM QRadar, AlienVault USM ### Integracja obserwacji, telemetrii i monitoringu Efektywne zarządzanie współczesnymi systemami IT wymaga synergii między obserwacją, telemetrią i monitoringiem. Przykładowy scenariusz integracji: 1. Monitoring wydajności wykrywa spadek przepustowości aplikacji. 2. Analiza logów identyfikuje zwiększoną liczbę błędów w określonym komponencie. 3. Telemetria sieciowa wskazuje na przeciążenie konkretnego segmentu sieci. 4. Śledzenie transakcji (tracing) pozwala zidentyfikować problematyczne żądania. 5. Korelacja danych umożliwia precyzyjne zdiagnozowanie przyczyny problemu i podjęcie działań naprawczych. ### Przyszłość telemetrii i monitoringu Rozwój technologii otwiera nowe możliwości w dziedzinie zarządzania systemami IT: **Sztuczna inteligencja i uczenie maszynowe** - Predykcyjna analiza awarii - Automatyczna klasyfikacja i priorytetyzacja incydentów - Samodostosowujące się systemy monitoringu **Zaawansowane techniki wizualizacji** - Wizualizacja 3D topologii sieci i przepływów danych - Interaktywne dashboardy z elementami AR/VR - Zaawansowana analiza korelacji z wykorzystaniem grafów wiedzy ### Automatyzacja i orkiestracja - Samouzdrawiające się systemy - Automatyczna optymalizacja konfiguracji na podstawie analizy telemetrii - Integracja z systemami CI/CD w celu automatyzacji testów i deploymentu Kompleksowe podejście do niezawodności systemów IT, łączące obserwację, telemetrię i monitoring, staje się kluczowym czynnikiem sukcesu w zarządzaniu nowoczesną infrastrukturą. Dla inżynierów sieciowych oznacza to: - Konieczność ciągłego doskonalenia umiejętności w zakresie analizy danych i korelacji zdarzeń - Potrzebę holistycznego spojrzenia na infrastrukturę IT, wykraczającego poza tradycyjne granice sieci - Zwiększone znaczenie automatyzacji i orkiestracji w codziennej pracy - Rosnącą rolę proaktywnego zarządzania wydajnością i bezpieczeństwem Efektywne wykorzystanie tych koncepcji pozwala na znaczące zwiększenie niezawodności systemów, skrócenie czasu rozwiązywania problemów oraz optymalizację kosztów operacyjnych. --- ## Alternatywy dla Terraform-a [Jeżeli nie Terraform, to co?Zmiana licencjonowania spowodowała, że developerzy zaczęli poszukiwać zamienników Terraform. W tym artykule opowiem Ci o dwóch z nich.![](https://szkoladevnet.pl/wp-content/uploads/2020/02/cropped-DEV-NET-Logo-2-1-270x270.png)Szkoła DevNetPiotr Wojciechowski![](https://szkoladevnet.pl/wp-content/uploads/2024/08/Jezeli-nie-Terraform-to-co.png)](https://szkoladevnet.pl/jezeli-nie-terraform-to-co/?ref=innasiec.pl) W miarę jak społeczność IT i DevOps reaguje na ewoluujący model licencyjny dla Terraform, nastąpiło pojawienie się szeregu klonów i alternatywnych rozwiązań. To zjawisko jest napędzane przez kombinację czynników finansowych, technicznych oraz filozoficznych. **OpenTofu to projekt open-source**, który kontynuuje rozwój Terraform w modelu open-source, zapewniając alternatywę dla użytkowników poszukujących darmowych rozwiązań. **Pulumi z kolei wprowadza innowacyjne podejście do zarządzania infrastrukturą** poprzez wykorzystanie języków programowania do kodowania, co może przyciągnąć zespoły developerskie poszukujące większej elastyczności. Każde z tych narzędzi oferuje unikalne funkcje, które mogą być atrakcyjne w różnych scenariuszach i dla różnych grup użytkowników. Jako że krajobraz narzędzi do zarządzania infrastrukturą ewoluuje, kluczowe jest, aby być świadomym dostępnych opcji oraz starannie oceniać ich przydatność na podstawie konkretnych wymagań projektowych, preferencji zespołu oraz potrzeb organizacyjnych. Przyjęcie alternatywnych rozwiązań może sprzyjać innowacji, efektywności kosztowej oraz elastyczności w praktykach zarządzania infrastrukturą. ### OpenTofu: Kontynuacja Rozwoju w Modelu Open-Source OpenTofu to projekt open-source, który kontynuuje rozwój Terraform w modelu open-source. Projekt ten jest wspierany przez społeczność open-source, co oznacza, że ewoluuje dzięki wkładom wielu deweloperów i użytkowników. ### Kluczowe aspekty OpenTofu - Repozytoria źródłowe dostępne na GitHub, umożliwiające społeczności przyczynianie się do rozwoju projektu, zgłaszanie problemów, dodawanie nowych funkcji oraz ulepszanie istniejących. - Współpraca i wkład społeczności w rozwój projektu poprzez zgłaszanie problemów, oferowanie łatek, oraz sugerowanie nowych funkcji. OpenTofu oferuje kilka kluczowych korzyści dla użytkowników poszukujących darmowego narzędzia do zarządzania infrastrukturą: - **Brak kosztów licencyjnych:** OpenTofu jest dostępne bezpłatnie, czyniąc je atrakcyjną opcją dla małych firm, startupów oraz użytkowników indywidualnych. - **Znajomość znanego funkcjonowania:** Poprzez utrzymanie funkcjonalności podobnej do Terraform, OpenTofu umożliwia płynne przejście dla użytkowników już znających i korzystających z Terraform, eliminując potrzebę nauki zupełnie nowego narzędzia. ### Pulumi: Przyjęcie Programowego Podejścia do Zarządzania Infrastrukturą Pulumi przyjmuje odmienne podejście niż inne narzędzia do zarządzania infrastrukturą, nie będąc bezpośrednim zamiennikiem dla Terraform. Zamiast korzystać ze specjalizowanego języka deklaratywnego jak HashiCorp Configuration Language (HCL) używany w Terraform, Pulumi umożliwia użytkownikom definiowanie infrastruktury przy użyciu ogólnych języków programowania takich jak JavaScript, TypeScript, Python, Go oraz nawet C#. Pozwala to użytkownikom na wykorzystanie pełnej mocy i elastyczności tych języków podczas tworzenia i zarządzania kodem infrastruktury. #### Kluczowe Funkcje Pulumi - **Programowy charakter:** Pulumi umożliwia użytkownikom korzystać z funkcji językowych takich jak pętle, warunki oraz funkcje. Pozwala to na tworzenie bardziej dynamicznych i elastycznych definicji infrastruktury. - **Wspieranie wielu chmur:** Pulumi wspiera wiele dostawców usług chmurowych, w tym AWS, Azure, Google Cloud Platform oraz wiele innych. Użytkownicy mogą definiować i zarządzać zasobami we wszystkich tych środowiskach. - **Elastyczność:** Pulumi oferuje elastyczność w tworzeniu i zarządzaniu infrastrukturą, co czyni ją atrakcyjną dla zespołów developerskich poszukujących większej elastyczności --- ## **Naprawa kontrolera PoE Juniper** [More Juniper PoE Controller Repair – Bryan WardBryan Ward![](https://bryanward.net/wp/wp-content/uploads/2023/04/tbtnw.png)](https://bryanward.net/wp/2024/09/04/more-juniper-poe-controller-repair/?ref=innasiec.pl) Bryan Ward podkreśla, że ze względu na ograniczenia w dostawach układów scalonych, przełączniki Juniper używają teraz innego kontrolera PoE, wymagając aktualizacji oprogramowania. **Sugeruje, że niezbędne jest ręczne interweniowanie (załadowanie modelowo-specyficznego oprogramowania) w przypadku awarii kontrolera PoE** lub gdy nie jest on wyświetlany na liście. Udostępnia również szczegółowe instrukcje, jak różnicować pomiędzy kontrolerami PoE Type1 i Type2, oferując potencjalną metodę identyfikacji rodzaju kontrolera nawet w przypadku awarii urządzenia, chociaż przyznaje, że nie może tego potwierdzić ze względu na brak nieprawidłowo działającego urządzenia. --- ## Zapomnij o AWX, poznaj Semaphore UI [Modern UI for Ansible, Terraform and BashIf your project has outgrown manual terminal deployments, Ansible Semaphore UI is the perfect solution for you.![](https://semaphoreui.com/img/favicon.png?_8924)Semaphore UI for Ansible, Terraform and Bash![](https://www.semui.co/img/banner.jpg)](https://semaphoreui.com/?ref=innasiec.pl) Semaphore to nowoczesny interfejs użytkownika dla Ansible, Terraform/OpenTofu, Bash i Pulumi. Umożliwia łatwe uruchamianie playbooków Ansible, otrzymywanie powiadomień o błędach oraz zarządzanie dostępem do systemu wdrożeń. Jeśli Twój projekt się rozwinął i uruchamianie z terminala przestało być wystarczające, Semaphore UI jest rozwiązaniem, którego potrzebujesz. --- ## 5 Najczęstszych Błędów w Automatyzacji Sieci przy Użyciu Pythona _This post is for paying subscribers only._ ### 📬ISN 150: Szyfrowanie odporne na kwanty i sieci napędzane AI URL: https://innasiec.pl/isn-150-szyfrowanie-odporne-na-kwanty-i-sieci-napedzane-ai/ Last updated: 2024-09-02T08:00:34.000Z ## Szyfrowanie w dobie komputerów kwantowych [NIST’s first post-quantum standardsNIST has published the first cryptographic standards for protecting against attacks from quantum computers. Learn what this means for you and your organization.![](https://blog.cloudflare.com/images/favicon-32x32.png)The Cloudflare BlogLuke Valenta![](https://cf-assets.www.cloudflare.com/slt3lc6tev37/1yRj7ImA24RONwmISpkKgp/6f98af3870b8b8c41ddb7dc82dc3dd10/2499-OG.png)](https://blog.cloudflare.com/nists-first-post-quantum-standards/?ref=innasiec.pl) Po wielu latach przygotowań, **National Institute of Standards and Technology (NIST) ogłosił pierwsze standardy kryptograficzne odporne na zagrożenie ze strony komputerów kwantowych**. Wydarzenie to stanowi milowy krok w zapewnieniu bezpieczeństwa przyszłych komunikacji. ### Dlaczego komputery kwantowe są zagrożeniem? Większość obecnie używanej kryptografii opiera się na zadaniach matematycznych, które są obliczeniowo niewykonalne dla klasycznych komputerów. Jednak komputery kwantowe będą w stanie znacznie wydajniej rozwiązywać takie problemy, potencjalnie łamiąc dzisiejsze szyfrowanie. Chociaż **na razie nie istnieją komputery kwantowe na tyle potężne, by stanowić zagrożenie, wielu ekspertów przewiduje, że ich pojawienie się to tylko kwestia czasu.** Właśnie dlatego tak istotne jest przygotowanie kryptografii odpornej na potencjalny atak z użyciem komputerów kwantowych. ### Nowe standardy Po ośmioletnim procesie wyboru, NIST opublikował **trzy nowe standardy**: **ML-KEM** do ustanowienia kluczy kryptograficznych, **ML-DSA** i **SLH-DSA** do podpisów cyfrowych. Czwarty standard o nazwie **FN-DSA** ma zostać wydany pod koniec 2024 roku. Wprowadzenie nowych standardów podsumowuje wysiłki społeczności kryptograficznej z całego świata, oceniającej i udoskonalającej kandydujące algorytmy. Proces rozpoczął się w 2017 roku, kiedy nadesłano 82 propozycje algorytmów. **Cloudflare, podobnie jak inni dostawcy internetowi, już zaczęli wdrażać wstępną wersję algorytmu ML-KEM. Na początku sierpnia 2024 r. ponad 16% ruchu do serwerów Cloudflare było chronione za pomocą kryptografii kwantowej.** Migracja do kwantowych podpisów cyfrowych będzie większym wyzwaniem, gdyż wymaga koordynacji między wieloma podmiotami, w tym przeglądarkami, dostawcami certyfikatów i producentami sprzętu. Proces ten jest jednak w toku, poprzedzony szeroko zakrojonymi eksperymentami w 2021 roku. **W przypadku podpisów cyfrowych oczekuje się, że pierwsze certyfikaty kwantowe pojawią się w 2026 roku**, ale ich włączenie nie będzie jeszcze domyślne. Organizacje powinny przygotować się na migrację w odpowiednim czasie. Ogłoszenie NIST to ważny kamień milowy w zapewnieniu bezpieczeństwa przyszłych komunikacji. Chociaż adaptacja nowych standardów będzie wymagać czasu, jest to konieczne, aby bronić się przed potężnymi komputerami kwantowymi. Cloudflare będzie odgrywać aktywną rolę w tym procesie i zachęca firmy do wdrażania ochrony kwantowej, kiedy tylko to możliwe. --- ## Optymalizacja Automatyzacji Sieci z Pythonem [Cisco Learning Network![](https://learningnetwork.cisco.com/s/sfsites/c/resource/peakLightning/images/favicon.ico)](https://learningnetwork.cisco.com/s/question/0D56e0000E3Lo84CQC/my-5-common-mistakes-in-network-automation-with-python?ref=innasiec.pl) Automatyzacja sieci z wykorzystaniem Pythona stała się standardem w branży IT. Jednak nawet doświadczeni inżynierowie mogą napotkać pewne pułapki. Oto siedem kluczowych wyzwań i sposoby ich przezwyciężenia: ### Efektywna Obsługa Błędów Niezawodne skrypty wymagają solidnej obsługi wyjątków. Implementuj: - Bloki `try-except` do przechwytywania i zarządzania błędami - Zaawansowane logowanie dla łatwiejszej diagnostyki - Hierarchiczną strukturę obsługi błędów, dostosowaną do specyfiki sieci ### Bezpieczne Zarządzanie Poświadczeniami Ochrona danych uwierzytelniających jest kluczowa dla bezpieczeństwa sieci: - Unikaj hardkodowania poświadczeń w skryptach - Wykorzystuj zaszyfrowane magazyny kluczy lub systemy IAM - Regularnie rotuj klucze i hasła dla zwiększenia bezpieczeństwa ### Projektowanie z Myślą o Skalowalności Skrypty muszą być gotowe na obsługę rosnącej liczby urządzeń: - Stosuj techniki przetwarzania równoległego dla większej wydajności - Rozważ użycie asyncio do zarządzania operacjami asynchronicznymi - Optymalizuj struktury danych i algorytmy pod kątem dużych sieci ### Standaryzacja i Modularyzacja Kodu Czytelny i utrzymywalny kod to podstawa długoterminowej efektywności: - Twórz reużywalne komponenty dla często wykonywanych operacji - Stosuj spójne konwencje nazewnictwa w całym projekcie - Implementuj zasady SOLID dla lepszej organizacji kodu ### Kompleksowa Dokumentacja i Logowanie Dobra dokumentacja i logowanie usprawniają rozwiązywanie problemów: - Twórz szczegółową, ale przejrzystą dokumentację techniczną - Wdróż wielopoziomowy system logowania dla różnych scenariuszy - Rozważ automatyzację generowania dokumentacji (np. przy użyciu Sphinx) ### Zarządzanie Zależnościami i Wersjonowanie Spójność środowiska jest kluczowa dla powtarzalności procesów: - Używaj virtualenv do izolacji środowisk projektowych - Implementuj semantyczne wersjonowanie (SemVer) dla jasnej komunikacji zmian - Stosuj system kontroli wersji (np. Git) do śledzenia i zarządzania zmianami w kodzie ### Kompleksowe Testowanie i Walidacja Testowanie jest niezbędne dla zapewnienia niezawodności automatyzacji: - Wdróż testy jednostkowe dla poszczególnych funkcji i modułów - Przeprowadzaj testy integracyjne i end-to-end dla całościowej weryfikacji - Wykorzystuj narzędzia do mockowania urządzeń sieciowych w testach - Wykonuj testy wydajnościowe, szczególnie dla scenariuszy dużej skali Skuteczna automatyzacja sieci wymaga holistycznego podejścia. Adresując powyższe wyzwania, znacząco zwiększysz niezawodność, bezpieczeństwo i efektywność swoich rozwiązań automatyzacyjnych. Pamiętaj, że kluczem do sukcesu jest ciągłe doskonalenie i adaptacja do zmieniających się wymagań sieci. --- ## Winbox 4 już tu jest! [📣 WinBox 4 is here 📣 - MikroTik![](https://forum.mikrotik.com/styles/canvas/theme/images/favicon.png)MikroTikSkip to content![](https://forum.mikrotik.com/styles/canvas/theme/images/mikrotik_youtube_banner.jpg)](https://forum.mikrotik.com/viewtopic.php?t=210505&ref=innasiec.pl) Odświeżone UI oraz natywne aplikacje na Windows, MacOS i Linux. Doczekaliśmy się również dark mode, a to nie jedyne nowości, którym warto się przyjrzeć. --- ## Nowości w Design Zone [Design Zone - Campus and BranchDesign, deploy, and integrate your next generation infrastructure with Cisco Validated for the campus and branch.![](https://www.cisco.com/favicon.ico)Cisco![](https://www.cisco.com/c/dam/assets/swa/img/anchor-marquee/AW11156-1600x480.jpg)](https://www.cisco.com/c/en/us/solutions/design-zone/campus-branch.html?ref=innasiec.pl) Design zone to zbiór dobrych praktyk oraz zaleceń, jak projektować sieci komputerowe zgodnie z zaleceniami Cisco. Warto zajrzeć, zwłaszcza że Cisco odświeżyło swoje "portfolio" przykładowych projektów. --- ## Sztuczna inteligencja w automatyzacji sieci - rewolucja czy ewolucja? _This post is for paying subscribers only._ ### 📬 ISN149: Jak zautomatyzować zadania przy użyciu AI i PyATS URL: https://innasiec.pl/isn149-jak-zautomatyzowac-zadania-przy-uzyciu-ai-i-pyats/ Last updated: 2024-08-26T08:00:58.000Z --- ## Przyszłość VPN: Czy powinno być rozwiązane? [Czy VPN powinien zostać uśmiercony? Jaką mamy alternatywę? Jak zabezpieczyć VPN? - Kapitan HackHistoria pierwszych połączeń komputerowych, kwestie bezpieczeństwa VPN, rozwiązania alternatywne oraz porady dotyczące zabezpieczenia VPN![](https://kapitanhack.pl/wp-content/themes/kapitan-hack-theme/dist/images/apple-touch-icon_8b843d15.png)Kapitan HackGrzegorz Szafrański![](https://kapitanhack.pl/wp-content/uploads/2024/08/vpn-bezpieczenstwo.jpg)](https://kapitanhack.pl/2024/08/14/nieskategoryzowane/czy-vpn-powinien-zostac-usmiercony-jaka-mamy-alternatywe-jak-zabezpieczyc-vpn/?ref=innasiec.pl) W miarę jak zagrożenia związane z bezpieczeństwem w cyberprzestrzeni ewoluują, technologia Wirtualnej Sieci Prywatnej (VPN), niegdyś uważana za zaufaną, staje się przedmiotem krytyki. Pomimo szerokiej akceptacji dla bezpiecznego dostępu zdalnego, ostatnie luki w zabezpieczeniach wzbudziły obawy dotyczące jej skuteczności w ochronie prywatności i danych użytkowników. Ten artykuł bada historię i wyzwania bezpieczeństwa VPN, potencjalne alternatywy oraz zalecenia dotyczące zabezpieczania połączeń VPN. ### Wczesne dni zdalnej łączności Zanim zagłębimy się w debatę na temat VPN, przenieśmy się do wczesnych dni zdalnych połączeń komputerowych. **Pod koniec lat 50\. XX wieku, pierwszy komercyjny modem, Bell 101, został wprowadzony przez AT&T.** To przełomowe urządzenie umożliwiło przesyłanie danych cyfrowych przez standardowe linie telefoniczne z prędkością 110 bitów na sekundę (bps). Przenieśmy się do lat 70\. i 80\. XX wieku, kiedy era komputerów osobistych (PC) zrewolucjonizowała zdalny dostęp. Aby zobrazować wyzwania związane z łączeniem się w tamtym czasie, rozważmy Commodore PET 2001 z 1977 roku oraz modem akustyczny Commodore 8010 z 1979 roku. Ustawienie połączenia zdalnego wiązało się ze żmudnymi krokami, takimi jak ładowanie programu z kasety, ręczne wybieranie numeru telefonu oraz fizyczne wkładanie słuchawki do akustycznych kubków modemu. Choć metody były prymitywne, położyły fundamenty dla dzisiejszej bezproblemowej łączności zdalnej, torując drogę dla rozwoju technologii takich jak VPN. ### Wzrost i upadek bezpieczeństwa VPN Technologia VPN pojawiła się w 1996 roku wraz z protokołem tunelowania Peer-to-Peer firmy Microsoft (PPTP). Poprzez ustanowienie zaszyfrowanego tunelu między urządzeniem użytkownika a zdalnym serwerem, VPN-y obiecywały prywatność, bezpieczeństwo i możliwość omijania ograniczeń internetowych. Początkowo chwalone jako bastion bezpieczeństwa online, VPN-y stanęły w obliczu serii głośnych luk w zabezpieczeniach w ostatnich latach. **Zgodnie z danymi** [**Top10VPN**](https://www.top10vpn.com/research/vpn-vulnerabilities/?ref=innasiec.pl), **zgłoszone luki w zabezpieczeniach VPN wzrosły o 32% w 2023 roku i oszałamiające 35% w pierwszej połowie 2024 roku**. Te alarmujące liczby podkreślają pilną potrzebę dla organizacji, aby na nowo oceniły swoje poleganie na tradycyjnych technologiach VPN i przyjęły bardziej solidne środki bezpieczeństwa. ### Alternatywy dla tradycyjnych VPN W miarę jak debata na temat przyszłości VPN trwa, organizacje eksplorują alternatywne rozwiązania, które równoważą bezpieczeństwo i efektywność operacyjną. Dwie obiecujące alternatywy to Definiowane Programowo Sieci WAN (SD-WAN) oraz Zero Trust Network Access (ZTNA). ZTNA, w szczególności, reprezentuje zmianę paradygmatu w porównaniu do podejścia opartego na perymetrze tradycyjnych VPN. **Poprzez weryfikację tożsamości użytkowników i urządzeń przed przyznaniem dostępu do zasobów, ZTNA łagodzi ryzyko związane z lukami w zabezpieczeniach VPN**. Jednak to zwiększone bezpieczeństwo wiąże się z większą złożonością i potencjalnym wpływem na wydajność z powodu routingu proxy opartego na chmurze. ### Zabezpieczanie połączeń VPN Podczas gdy poszukiwania bardziej solidnego rozwiązania trwają, organizacje nadal polegające na VPN muszą priorytetowo traktować bezpieczeństwo. **Kapitan Hack, znany ekspert ds. bezpieczeństwa cybernetycznego, zaleca następujące najlepsze praktyki:** 1. **Wprowadź Zero Trust Access**: Przyjmij myślenie Zero Trust poprzez weryfikację tożsamości użytkowników i urządzeń przed przyznaniem dostępu do zasobów. 2. **Ogranicz uprawnienia kont usługowych**: Ogranicz uprawnienia kont usługowych do minimum wymaganego, redukując powierzchnię ataku. 3. **Używaj dedykowanych tożsamości uwierzytelniających VPN**: Przypisz unikalne tożsamości do uwierzytelniania VPN, oddzielone od regularnych kont użytkowników. 4. **Monitoruj zmiany konfiguracji**: Nieprzerwanie monitoruj konfiguracje VPN pod kątem nieautoryzowanych modyfikacji, aby szybko wykrywać i reagować na potencjalne zagrożenia. Przyjmując zmiany i priorytetowo traktując bezpieczeństwo, możemy zapewnić, że "P" w VPN ponownie będzie oznaczać "prywatne" w najczystszej postaci. --- ## Dlaczego LSA OSPF typu 5 są rozgłaszane w całej domenie OSPF? [Why Are OSPF Type 5 LSAs Flooded? – Daniels Networking Blog![](https://lostintransit.se/favicon.ico)ddib![](https://lostintransit.se/wp-content/uploads/2024/08/OSPF_external-Topology.drawio-823x1024.png)](https://lostintransit.se/2024/08/19/why-are-ospf-type-5-lsas-flooded/?ref=innasiec.pl) **Dlaczego w protokole OSPF obszerne informacje o trasach zewnętrznych (Type-5 LSA) są powszechnie rozgłaszane w całej domenie routingu, podczas gdy bardziej zwięzłe podsumowania tras wewnętrznych (Type-3 LSA) są generowane tylko na granicach obszarów przez routery ABR?** Odpowiedź na to pytanie kryje się u samych podstaw filozofii projektowania OSPF i rzuca światło na efektywne wykorzystanie zasobów sieciowych. ### Architektura hierarchiczna OSPF OSPF to zbudowany hierarchicznie protokół routingu, w którym duże sieci są logicznie dzielone na mniejsze obszary (areas). Opisy topologii wewnątrz każdego z obszarów są rozgłaszane tylko w jego obrębie, podczas gdy przejścia między obszarami są w zwięzły sposób podsumowywane na ich granicach przez routery brzegowe (ABR). ### Dlaczego OSPF obsługuje Type-3 i Type-5 LSA inaczej? W oparciu o powyższy schemat, przeanalizujmy najpierw, jak OSPF przetwarza Type-3 LSA dla tras wewnątrzobszarowych. Weźmy przykład sieci 169.254.0.0/24 rozgłaszanej w Obszarze 1 przez router R3 - ABR R2 generuje dla niej zwięzłe podsumowanie w postaci Type-3 LSA i rozgłasza je do Obszaru 0. Z drugiej strony sytuacja przedstawia się inaczej dla Type-5 LSA opisujących trasy zewnętrzne. Rozpatrzmy przykład 169.254.1.0/24 z perspektywy routera R1 w Obszarze 0 - LSA te są rozpowszechniane wprost od routera R3 będącego ASBR, a nie regenerowane przez ABR. **Dlaczego więc OSPF rozsyła obszerne Type-5 LSA bezpośrednio, zamiast skracać je do zwięzłych podsumowań na granicach obszarów?** Głównym powodem tego zróżnicowanego podejścia jest optymalizacja rozmiaru bazy danych stanu łącza (LSDB) i obciążenia procesorów routerów, co było krytycznym czynnikiem przy projektowaniu OSPF. ### Korzyści powszechnego rozgłaszania Type-5 LSA Gdyby Type-5 LSA były regenerowane przez ABR, rozmiar LSDB routerów brzegowych rósłby wykładniczo wraz z liczbą obszarów i routerów brzegowych. Oryginalne 1000 LSA mogłoby łatwo zamienić się w dziesiątki tysięcy oddzielnych wpisów na każdym ABR. Obecna metoda rozgłaszania Type-5 LSA ogranicza ten wzrost, zapewniając optymalne trasowanie do celów zewnętrznych poprzez przekazywanie nie tylko metryki docelowej sieci, ale także dokładnej ścieżki do ASBR będącego jej źródłem. Jest to kluczowe dla zapewnienia najkrótszej możliwej drogi. Podsumowując, **decyzja o rozgłaszaniu w całej domenie obszernych informacji zewnętrznych (Type-5 LSA) zamiast ich przekształcania na granicy obszarów wynika z pragnienia zoptymalizowania zużycia zasobów przez OSPF**. Dzięki temu zarówno rozmiar LSDB, jak i obciążenie routerów brzegowych jest utrzymywane na akceptowalnym poziomie, a jednocześnie zapewniana jest optymalna ścieżka trasowania do sieci zewnętrznych. --- ## Darmowe źródła wiedzy o sieciach [Low/No budget studying – Packet Pilot
Share this article:
![](https://www.packetpilot.com/wp-content/uploads/2018/04/cropped-Model0101-copy-270x270.png)Packet PilotMatthew Ouellette![](https://secure.gravatar.com/avatar/9e6b4659bacfa283420fc7143eefc071?s=200&d=mm&r=g)](https://www.packetpilot.com/low-no-budget-studying/?ref=innasiec.pl) Artykuł przedstawia różne sposoby na naukę technologii i zdobywanie umiejętności w czasie bezrobocia, bez wydawania dużych pieniędzy na kursy czy materiały. Autor sugeruje korzystanie z darmowych źródeł wiedzy, takich jak filmy na YouTube, blogi, podcasty oraz wydarzenia online. --- ## Rodzaje pakietów RADIUS [Radius Packet TypesSometimes we need to lab it again…synsandacks and other stuffJacob Toothman![](https://blog.synsandacks.com/assets/img/me.jpg)](https://blog.synsandacks.com/2022-07-13-radius-packet-types/?ref=innasiec.pl) Tekst przedstawia protokół RADIUS (Remote Authentication Dial In User Service) oraz jego rolę w zarządzaniu dostępem do sieci. Autor dzieli się swoimi doświadczeniami z laboratorium, w którym skonfigurowano RADIUS na serwerze ISE, oraz analizuje pakiety RADIUS w Wireshark w różnych scenariuszach logowania. --- ## Jak zautomatyzować zadania przy użyciu AI i PyATS _This post is for paying subscribers only._ ### 📬 ISN 148:Giganci, Wpadki i AI: Co Nowego w Świecie Sieci? URL: https://innasiec.pl/isn-148-giganci-wpadki-i-ai-co-nowego-w-swiecie-sieci/ Last updated: 2024-08-19T08:00:55.000Z ## Lokalny IXP w Dreźnie [IXP-from-Scratch: Building a new IXIn this new series “IXP from Scratch”, we report about our endeavor of building DD-IX, an Internet Exchange located in the city of Dresden, Germany. DD-IX is driven by a grassroots community that loves contributing to a resilient and efficient Internet. We start with some basic background and will …![](https://labs.ripe.net/static/icons/apple-touch-icon.png)RIPE LabsThomas Liske![](https://labs.ripe.net/images/qGawqatzNIjDTDq4UbWqEz2P_j4=/8837/width-500/bw-ifs.webp)](https://labs.ripe.net/author/liske/ixp-from-scratch-building-a-new-ix/?ref=innasiec.pl) Internet, sieć sieci, działa dzięki współpracy tysięcy mniejszych i większych operatorów sieciowych. **Aby usługi i aplikacje działały sprawnie, konieczne jest zapewnienie sprawnej komunikacji między tymi sieciami. To właśnie rolą punktów wymiany ruchu w Internecie (IXP).** **W Dreźnie właśnie powstaje nowy IXP zwany DD-IX**. Celem projektu jest poprawa lokalnej łączności i wzmocnienie zdywersyfikowanej infrastruktury wymiany ruchu w regionie Saksonii. W niniejszym artykule przedstawimy założenia i cele tego przedsięwzięcia oraz główne rozwiązania techniczne przyjęte w początkowej fazie budowy DD-IX. ### Wartość IXP dla lokalnych sieci Punkty wymiany ruchu pełnią kluczową rolę w integracji infrastruktury Internetu na poziomie lokalnym. Zapewniają wysoce wydajne połączenia między sieciami operatorów, redukując w ten sposób opóźnienia i koszty transmisji. Według zasady **"keep local traffic local"**, warto utrzymywać ruch w obrębie regionu, zamiast kierować go na dłuższe dystanse. Lokalne punkty wymiany oferują ponadto niezależną, zdecentralizowaną alternatywę dla scentralizowanych, zwykle komercyjnych węzłów komunikacyjnych. Zwiększa to różnorodność infrastruktury, co z kolei przekłada się na większą odporność sieci na awarie czy zagrożenia. ### **DD-IX - niezależna platforma współpracy operatorów** DD-IX jest zarządzany przez stowarzyszenie osób prywatnych, którego statut i kodeks postępowania gwarantują neutralność i niezależność tego IXP. Członkowie stowarzyszenia mogą wpływać na jego rozwój poprzez prawa wyborców. Przyłączenie się do wymiany ruchu DD-IX nie wymaga członkostwa w stowarzyszeniu, a jest regulowane specjalną polityką peeringową. Dostępne usługi to m.in. dwa zlokalizowane w różnych miejscach punkty styku (PoP), serwer tras, serwery DNS, zaplecze administracyjne i inne. Docelowo DD-IX zaoferuje operatorom regionalnym prywatne połączenia VLAN, usługi anycast DNS, wyeliminuje potrzebę portów 1GbE na rzecz wyższych przepustowości. Co ciekawe architektura została oparta wyłącznie o IPv6. ### Kluczowe korzyści DD-IX Uruchomienie DD-IX przynosi szereg korzyści dla lokalnego ekosystemu Internetu: - Skrócenie dróg i opóźnień dla ruchu między sieciami lokalnymi, zwiększenie wydajności - Wzmocnienie różnorodności i odporności infrastruktury peeringowej w regionie - Niezależna, otwarta platforma współpracy operatorów, neutralna i non-profit - Wsparcie dla najnowszych technologii (np. wszechobecne IPv6) - Potencjał rozwoju nowych usług i zastosowań dla uczestników DD-IX Projekt DD-IX powstał dzięki wsparciu wielu partnerów, którzy przekazali sprzęt sieciowy, miejsce kolokacyjne oraz cenne wskazówki od innych europejskich IXP. Jest dowodem na to, że **Internet wciąż jest projektem społeczności**i że lokalne, współpracujące inicjatywy mogą znacząco wpłynąć na jego rozwój. --- ## Wpadka Giganta Cyberbezpieczeństwa > [Palo Alto Black Hat](https://www.reddit.com/r/womenintech/comments/1erp1cm/palo%5Falto%5Fblack%5Fhat/?ref=innasiec.pl) > by [u/KaraokeAlways](https://www.reddit.com/user/KaraokeAlways/?ref=innasiec.pl) in [womenintech](https://www.reddit.com/r/womenintech/?ref=innasiec.pl) Las Vegas, miasto znane z hazardu i spektakularnych pokazów, stało się niedawno areną zupełnie innego rodzaju przedstawienia. Tym razem w roli głównej wystąpił gigant cyberbezpieczeństwa, Palo Alto Networks, który podczas prestiżowej konferencji Black Hat popełnił faux pas, o którym długo nie zapomni branża IT. Wyobraźcie sobie scenę: tłumy specjalistów od cyberbezpieczeństwa, hakerzy w kapturach, błysk ekranów laptopów. I nagle, pośród tego technicznego środowiska, pojawiają się... żywe lampiony. Tak, dobrze czytacie. **Palo Alto Networks wpadło na "genialny" pomysł, by wykorzystać kobiety jako chodzące elementy dekoracji, przypominając czasy, gdy komputery zajmowały całe piętra, a dyskietki były szczytem technologii.** Reakcja była błyskawiczna i miażdżąca. Media społecznościowe zawrzały, eksperci łapali się za głowy, a konkurencja z trudem powstrzymywała uśmieszki zadowolenia. Nikesh Arora, CEO Palo Alto Networks, musiał szybko gasić pożar, przepraszając za "niefortunną decyzję", która według niego "nie odzwierciedla kultury firmy". Cóż, może warto było to przemyśleć, zanim postanowiono cofnąć się o 60 lat w kwestii równouprawnienia? **Ale czy ta wpadka to tylko problem Palo Alto Networks? Niestety nie.** To symptom głębszego problemu, który wciąż trapi branżę IT. Mimo że firmy technologiczne lubią się chwalić innowacyjnością, niektóre ich praktyki przypominają raczej sceny z "Mad Men" niż wizję nowoczesnego, inkluzywnego miejsca pracy. **Co możemy z tego wynieść?** Po pierwsze, że nawet giganci mogą się potknąć. Po drugie, że branża IT potrzebuje świeżego spojrzenia na kwestie #WomenInIT. I po trzecie, że w erze mediów społecznościowych każda wpadka może w mgnieniu oka stać się globalnym memem. Incydent na Black Hat to bolesna, ale potrzebna lekcja. Pokazuje, że w świecie, gdzie kod jest królem, nie możemy zapominać o podstawowych zasadach szacunku i równości. Bo ostatecznie, co nam po najlepszych zabezpieczeniach, jeśli nasza kultura organizacyjna ma poważne luki? Miejmy nadzieję, że ta wpadka stanie się katalizatorem realnych zmian w branży IT. **Bo choć Las Vegas słynie z tego, że "co się dzieje w Vegas, zostaje w Vegas", tym razem mamy do czynienia z lekcją, która powinna dotrzeć do każdego zakątka świata technologii.** --- ## Backup Omnistwicha od Alcatel-Lucent przy pomocy Ansible [Backup Alcatel-Lucent Enterprise Omniswitch AOS6 & AOS8 using AnsibleThis demo shows how you can easily backup your entire Alcatel-Lucent Enterprise Omniswitch environment using Ansible. You can store the backup files locally or even better, push them to a remote GIT repository. The result is a CMDB (configuration management database) in which the different backup versions are stored and where you can easily compare them to track changes. Switch configuration stored into a GIT repository For AOS6 devices we use Gilbert Moisio’s “ale\_aos” Ansible collection to save the CLI output captured from the “show configuration snapshot” command through SSH.![](https://static.ghost.org/v5.0.0/images/link-icon.svg)NetDevOpsJef Vantongerloo![](https://netdevops.be/papermod-cover.png)](https://netdevops.be/alcatel-lucent-enterprise-omniswitch-aos6-aos8-ansible-backup/?ref=innasiec.pl) Artykuł przedstawia demonstrację wykorzystania narzędzia Ansible do tworzenia kopii zapasowych środowiska Alcatel-Lucent Enterprise Omniswitch. Opisane rozwiązanie umożliwia przechowywanie backupów lokalnie lub w zdalnym repozytorium GIT. Główną zaletą prezentowanego podejścia jest możliwość łatwego porównywania i śledzenia zmian w konfiguracji urządzeń sieciowych. Tekst podkreśla praktyczne korzyści płynące z zastosowania tej metody w zarządzaniu infrastrukturą sieciową. --- ## Weź udział w wyzwaniu AWS [Amazon Web Services (AWS) - Cloud Computing ServicesAmazon Web Services offers reliable, scalable, and inexpensive cloud computing services. Free to join, pay only for what you use.![](https://a0.awsstatic.com/libra-css/images/site/touch-icon-ipad-144-smile.png)Amazon Web Services, Inc.![](https://a0.awsstatic.com/libra-css/images/logos/aws_logo_smile_1200x630.png)](https://pages.awscloud.com/GLOBAL-ln-GC-Traincert-Associate-Certification-Challenge-Registration-2024.html?ref=innasiec.pl) Weź udział w wyzwaniu "**Get AWS Certified: Associate Challenge**" przed 12 grudnia 2024 roku, aby otrzymać **bon zniżkowy w wysokości 50%**. Certyfikaty na poziomie Associate są świetnym punktem wyjścia dla profesjonalistów IT i chmurowych, którzy chcą rozwijać swoją karierę w AWS. **Proces przygotowania do egzaminu składa się z 4 kroków:** 1. Zapoznanie się z przewodnikiem egzaminacyjnym i zestawem pytań praktycznych. 2. Odświeżenie wiedzy o AWS za pomocą AWS Skill Builder. 3. Ćwiczenie z zasobami szkoleniowymi dostępnymi na AWS Skill Builder. 4. Ocena gotowości do egzaminu za pomocą oficjalnego egzaminu próbnego. ### Certyfikaty AWS uwzględnione w wyzwaniu - AWS Certified Solutions Architect - Associate - AWS Certified Developer - Associate - AWS Certified SysOps Administrator - Associate - AWS Certified Data Engineer - Associate --- ## Sieć RoCE do treningu modeli AI _This post is for paying subscribers only._ ### 📬 ISN 147: CCNP Enterprise i Security: Twoja droga do certyfikacji z rabatem URL: https://innasiec.pl/isn-147-ccnp-enterprise-i-security-twoja-droga-do-certyfikacji-z-rabatem/ Last updated: 2024-08-12T08:00:57.000Z ## Przerwania dostępu do Internetu podczas egzaminów [Exam-ining recent Internet shutdowns in Syria, Iraq, and AlgeriaSimilar to actions taken over the last several years, governments in Syria, Iraq, and Algeria have again disrupted Internet connectivity nationwide in an attempt to prevent cheating on exams. We investigate how these disruptions were implemented, and their impact![](https://blog.cloudflare.com/images/favicon-32x32.png)The Cloudflare BlogDavid Belson![](http://blog.cloudflare.com/content/images/2024/06/Blog--2451-1.png)](https://blog.cloudflare.com/syria-iraq-algeria-exam-internet-shutdown?ref=innasiec.pl) Czy zastanawiałeś się kiedyś, **jak rządy niektórych krajów manipulują dostępem do Internetu podczas egzaminów?** W tym artykule przyjrzymy się technicznym aspektom tego zjawiska na przykładzie Syrii, Iraku i Algierii. W ostatnich latach obserwujemy **rosnącą tendencję do ograniczania dostępu do Internetu podczas ważnych egzaminów państwowych**. Celem tych działań jest zapobieganie oszustwom. Przyjrzyjmy się, jak wygląda to od strony technicznej w trzech krajach: Syrii, Iraku i Algierii. ### **Syria: Brutalne, ale skuteczne odcięcie** Metoda stosowana w Syrii jest prosta i radykalna. **Syrian Telecom (AS29256) wycofuje swoje prefiksy BGP z Internetu na czas trwania egzaminów**. Skutkuje to całkowitym brakiem możliwości routingu do sieci syryjskich. **Kluczowe obserwacje:** - Ruch internetowy spada do zera. - Liczba ogłaszanych prefiksów IPv4 i IPv6 spada praktycznie do zera. - Asymetryczne działanie: ruch wychodzący jest możliwy, ale ruch powracający nie. **Interesujące zjawiska:** 1. Wzrost ruchu UDP do serwera DNS 1.1.1.1 podczas przerw 2. Całkowity brak ruchu TCP, w tym HTTPS i DNS over TLS/HTTPS 3. Wzrost ruchu do autorytatywnych serwerów DNS Cloudflare ### Irak: Złożone podejście do blokowania W przeciwieństwie do Syrii, Irak ma bogatsze środowisko dostawców usług internetowych. Skutkuje to bardziej skomplikowanym i niejednorodnym obrazem przerw w dostępie. **Główne cechy:** - Spadek ruchu o około 87% na poziomie kraju - Zróżnicowane zmiany w ogłaszanych przestrzeniach adresowych IPv4 - Blokowanie zarówno ruchu UDP, jak i TCP **Prawdopodobne metody:** 1. Blokowanie na poziomie IP 2. Blokowanie połączeń na podstawie SNI/nagłówków HTTP 3. Manipulacja DNS ### Algeria: Subtelne manipulacje Algeria stosuje najbardziej wyrafinowane podejście, skupiając się na manipulacji połączeniami TCP. **Kluczowe obserwacje:** - Dwa okresy zakłóceń dziennie - Brak znaczących zmian w ogłaszanych przestrzeniach adresowych IPv4 - Widoczne zakłócenia w ruchu HTTPS i DNS over TCP/TLS/HTTPS - Brak widocznych zmian w ruchu DNS over UDP **Techniki:** 1. Ingerencja w połączenia TCP (post-ACK i post-PSH tampering) 2. Prawdopodobne blokowanie na podstawie hostnames lub adresów IP --- ## Czy BGP wymaga prawnych regulacji? [Is regulated BGP security coming? | APNIC BlogWhat impact would regulating BGP routing security have on the global Internet?![](https://blog.apnic.net/favicon.ico)APNIC BlogGeorge Michaelson![](https://blog.apnic.net/wp-content/uploads/2024/04/regulation_ft.png)](https://blog.apnic.net/2024/05/23/is-regulated-bgp-security-coming/?%5Fbhlid=d6d79afc5d7fcba4013eac402d7b79756c5c047f&ref=innasiec.pl) Ostatnio **Federalna Komisja Łączności (FCC)** w Stanach Zjednoczonych opublikowała [projekt deklaracji i zarządzenia w sprawie otwartego internetu](https://docs.fcc.gov/public/attachments/DOC-401676A1.pdf?ref=innasiec.pl), który budzi obawy w społeczności internetowej, w tym wśród **Internet Society (ISOC)** oraz **Global Cyber Alliance (GCA)**, ze względu na zawarte w nim zapisy dotyczące bezpieczeństwa Border Gateway Protocol (BGP). **Według ISOC, proponowane przez FCC regulacje "silnie sugerują intencję uregulowania bezpieczeństwa routingu BGP"**. ISOC i GCA są przeciwko regulowaniu bezpieczeństwa BGP, podając trzy powody: 1. Regulacje często spowalniają postęp, gdy przemysł musi analizować swoje obowiązki i implikacje prawne. 2. Może to prowadzić do napięć konkurencyjnych wynikających z regulowanego zachowania. 3. Istnieją obawy przed fragmentacją, gdy inne gospodarki będą chciały odzwierciedlić tę decyzję, ale wdrożą różne strategie. **Choć te ryzyka są realne, mało prawdopodobne jest, aby powstrzymały FCC przed działaniem.** Telekomunikacja zawsze była regulowana, choć w ostatnich dekadach regulatorzy stosowali raczej łagodne podejście. Niemniej jednak operatorzy mają zarówno ochronę (w postaci obrony przed działaniami na ich systemach), jak i obowiązki (takie jak konieczność zapewnienia legalnego przechwytywania na żądanie władz). Co ważniejsze, zagrożenia dla integralności funkcjonowania Internetu są realne. Wynikają one z działań przestępczych podmiotów, wrogich państw, a nawet z samej gospodarki. Zakłócają one kluczowe funkcje Internetu, niezbędne dla podstawowej komunikacji, służb ratunkowych i działań państwowych, takich jak dostawy prądu i wody. **Wobec centralnej roli Internetu w nowoczesnym społeczeństwie, uzasadnione jest oczekiwanie, że podmioty odpowiedzialne za konfigurację BGP będą przestrzegać podstawowych standardów higieny i dokumentowania swoich zasobów**, zapewniając ich wiarygodność. **W niektórych gospodarkach, takich jak Nowa Zelandia czy Australia, dostawcy internetu są już zobowiązani do zgłaszania znaczących zmian w routingu lub do odpowiedzialności za utratę usług w wyniku zagrożeń cybernetycznych.** Warto więc uważnie przyjrzeć się raportowi FCC. Nadchodzące zmiany zmierzające do nałożenia zobowiązań na amerykańskich dostawców internetu/BGP, sugerują, że kwestia bezpieczeństwa protokołu BGP będzie wymagała silniejszej regulacji. --- ## Skąd strony internetowe wiedzą, że kłamiesz na temat swojego User-Agenta? [How Websites Know You’re Lying About Your User-AgentSpoofing a browser’s user agent is often hailed as a privacy enhancing technique. On the Chrome Store, there are dozens of extensions allowing you to switch your user agent. Unfortunately, due to the abundance of other methods to detect browser and operating system information (as will be discussed in this…![](https://t1.gstatic.com/faviconV2?client=SOCIAL&type=FAVICON&fallback_opts=TYPE,SIZE,URL&url=https://github.io/2021-06-15-websites-lying-user-agent/?_bhlid=e4131a2b3adf9830403463c7a2d56f571f9f1b07&size=128)Christopher Tarry's BlogChristopher Tarry.](https://chris124567.github.io/2021-06-15-websites-lying-user-agent/?%5Fbhlid=e4131a2b3adf9830403463c7a2d56f571f9f1b07&ref=innasiec.pl) Artykuł przybliża techniki spoofingu user agentów w przeglądarkach, które wielu z nas traktuje jako sposób na zwiększenie prywatności. Zauważa jednak, że sporo rozszerzeń dostępnych w Chrome Web Store nie do końca spełnia swoje zadanie, gdyż dostawcy usług korzystają z coraz bardziej zaawansowanych metod wykrywania. ## Zostań CCNP Enterprise i CCNP Security z rabatem! [Cisco Learning Network![](https://learningnetwork.cisco.com/s/sfsites/c/resource/peakLightning/images/favicon.ico)](https://learningnetwork.cisco.com/s/question/0D56e0000DzHCOLCQ4/specialize-now-offer-discount-to-earn-your-ccnp-enterprise-or-ccnp-security-certification?ref=innasiec.pl) Cisco ma znakomitą ofertę dla osób, które zdały egzamin SCOR lub ENCOR! **Możesz skorzystać z 25% zniżki na dowolny certyfikat koncentryczny** i uzyskać tytuł CCNP Enterprise oraz CCNP Security jeszcze w tym roku. Zniżkę można zgarnąć do 30 września 2024 roku, a do egzaminu należy podejść do 31 grudnia 2024 roku. [**👉** Zgarnij zniżkę 25% na egzamin certyfikacyjny specjalisty](https://cp.certmetrics.com/cisco/en/login?ref=innasiec.pl) _This post is for paying subscribers only._ ### Wpływ Igrzysk Olimpijskich Ruch Internetowy URL: https://innasiec.pl/wplyw-igrzysk-olimpijskich-ruch-internetowy/ Last updated: 2024-08-05T08:00:24.000Z ## Refleksje na temat awarii [Navigating Infrastructure Outages: Battle Scars and Lessons LearnedI’ve worked on numerous outages, each teaching me invaluable lessons. Inspired by Rogers’ recent outage report, I wrote down some of my lessons learned.![](https://toonk.io/favicon.png)Andree's MusingsAndree Toonk![](https://images.unsplash.com/photo-1509390726584-faaa21c8ac95?crop=entropy&cs=tinysrgb&fit=max&fm=jpg&ixid=M3wxMTc3M3wwfDF8c2VhcmNofDE0fHxvdXRhZ2V8ZW58MHx8fHwxNzIwNDEwODM2fDA&ixlib=rb-4.0.3&q=80&w=2000)](https://toonk.io/navigating-infrastructure-outages-battle-scars-and-lessons-learned/?ref=innasiec.pl) W świecie inżynierii sieciowej, awarie są nieuniknionym elementem naszej rzeczywistości. Andree Toonk posiadając doświadczenie w operacjach infrastrukturalnych, szczególnie w kontekście chmur, ma wiele cennych lekcji do przekazania. **Awaria kanadyjskiego ISP - Rogers** Podczas zaplanowanej konserwacji, pracownicy Rogersa usunęli politykę routingu sieciowego. Spowodowało to zalanie tras (BGP lub OSPF/ISIS), co przeciążyło control plane i doprowadziło do awarii rdzeniowych routerów. W tym przypadku **awaria dotknęła również sieci OOB (out-of-band), a samo przeciążenie control plane uniemożliwiało zarządzanie siecią.** Awaria taka jak ta, jest zawsze stresującym doświadczeniem. Powinna skłonić organizacje do przeprowadzenia retrospektywy, identyfikacji przyczyn i wyciągnięcia wniosków. Warto zaznaczyć, że określenie "ludzki błąd" jako głównej przyczyny jest zbyt uproszczone. Takie zdarzenia często mają wiele współczynników przyczynowych. **Czy możemy wyeliminować awarie?** Cel całkowitej eliminacji awarii jest ambitny. **Możemy minimalizować ryzyko wystąpienia awarii, ale nie wyeliminujemy ich całkowicie**. Zamiast tego, lepiej skupić się na ograniczeniu ich wpływu i długości. **Jakie lekcje możemy wyciągnąć z tej awarii?** **Czas wykrycia - Bądź pierwszym, który się dowie!** Odpowiedni monitoringu pozwala szybciej wykrywać problemy. Wiele retrospektyw zawiera punkt "więcej monitorowania", co sugeruje, że często pomijamy kluczowe metryki. Polecam syntetyczne monitorowanie dostępności, które imituje typowe doświadczenia użytkowników. To może być prosty ping lub test HTTP, ale pozwala na szybsze wykrycie problemu. **Ogranicz zasięg awarii** Jak możemy zminimalizować skutki awarii? Przykład Rogersa pokazuje, że jedna zmiana może zniszczyć całą sieć. Zastosowanie logicznego oddzielenia funkcjonalnego lub geograficznego może temu zapobiec. Providerzy chmurowi, jak AWS, zachęcają do myślenia o multi-AZ lub multi-region. **Dostęp do zarządzania** Utrata dostępu do zarządzania podczas awarii jest koszmarnym scenariuszem. Ważne jest, aby zapewnić izolowany dostęp OOB, niezależny od sieci produkcyjnej. Inwestycja w to może skrócić czas przestoju. **Scenariusze rollback** Dobrą praktyką jest posiadanie możliwości szybkiego przywrócenia zmian do znanego stanu. Niezależnie od tego, czy używasz Cisco IOS, czy Juniper, upewnij się, że masz mechanizmy rollback w swoim zespole. **Kultura zespołowa - Nie bądź bohaterem** Ważne jest budowanie zespołowej kultury, gdzie każdy może się zaangażować w sytuacjach kryzysowych. Nie bój się wzywać kolegów z pracy w trudnych momentach. Współpraca jest kluczem do szybkiego rozwiązania problemów. --- ## Zwiększenie wydajności ZeroTier [Chasing Performance in ZeroTier - VyOS on Minisforum - Level Zero NetworkingI’ve done a lot of posts featuring ZeroTier in this Blog. There’s a lot of different overlay solutions that I could feature. There’s ZeroTier, Tailscale, NetBird, Nebula, TwinGate…just to name a few. The reason I feature ZeroTier so heavily is it is uniquely suited for site-to-site networking over the different offerings. This is because it \[…\]![](https://i0.wp.com/lev-0.com/wp-content/uploads/2024/01/LZ-Logo.png?fit=192%2C168&ssl=1)Level Zero NetworkingR C![](https://lev-0.com/wp-content/uploads/2024/02/Zerotier-Throughput-Banner.webp)](https://lev-0.com/2024/02/23/chasing-performance-in-zerotier-vyos-on-minisforum/?ref=innasiec.pl) W dzisiejszych czasach, gdy zdalne połączenia są normą, wybór odpowiedniego rozwiązania do wirtualizacji sieci ma kluczowe znaczenie. **ZeroTier, jako jedna z wielu dostępnych platform, wyróżnia się unikalnym podejściem do łączenia sieci.** W tym artykule skupimy się na zwiększeniu wydajności ZeroTier, porównując go z innymi rozwiązaniami VPN, takimi jak WireGuard, OpenVPN i IPsec. **Dlaczego ZeroTier?** ZeroTier tworzy wirtualną sieć LAN, co pozwala na prostsze zarządzanie i integrację w porównaniu do innych rozwiązań, które często opierają się na topologii punkt-punkt. To sprawia, że inżynierowie sieciowi mogą traktować ZeroTier jak każdą inną segmentację LAN, co znacząco upraszcza ich pracę. **Wydajność ZeroTier** Chociaż wiele osób chwali ZeroTier za jego funkcje, to jego wydajność w porównaniu do WireGuard i IPsec pozostaje na niższym poziomie. **Pomimo, że typowa wydajność ZeroTier nie jest zła, zazwyczaj nie dorównuje WireGuard**, który potrafi maksymalizować prędkości do 1 Gbps nawet na tanim sprzęcie. ZeroTier jest stosunkowo młodym produktem w porównaniu do WireGuard. Twórcy ZeroTier skupili się na funkcjonalności, a nie na wydajności. Z tego powodu ZeroTier ma ograniczenia w wielowątkowości, podczas gdy WireGuard jest zoptymalizowany pod kątem korzystania z wielu rdzeni procesora. **Budowanie dowodu koncepcji – Sprzęt** Aby przeprowadzić testy, autor bloga zdecydował się na zakup dwóch mini PC o identycznych specyfikacjach. Wybór padł na model Minisforum GK41 z czterema rdzeniami i dwoma interfejsami sieciowymi. Koszt dwóch takich urządzeń wyniósł około 120 USD każde. **Budowanie dowodu koncepcji – Oprogramowanie** Do testów wykorzystam system operacyjny VyOS. Zainstaluję WireGuard, VTI IPsec i OpenVPN bezpośrednio w VyOS, natomiast ZeroTier zainstaluję w kontenerach. **Wstępne testy** Przeprowadzam testy, aby ustalić maksymalną przepustowość bez szyfrowania: - **Bezpośrednie połączenie:** 941 Mbit/s - **WireGuard:** 856 Mbit/s - **IPsec:** 803 Mbit/s - **OpenVPN:** 274 Mbit/s - **ZeroTier:** 541 Mbit/s Aby zwiększyć wydajność ZeroTier, autor testu postanowił uruchomić wiele instancji VyOS z ZeroTier na jednym urządzeniu. Dzięki kontenerom można to zrobić łatwo i efektywnie. Każda instancja będzie nasłuchiwać na innym porcie. **Testy z równoważeniem obciążenia** Wyniki testy z różną liczbą rdzeni: - **1 rdzeń:** 441 Mbit/s - **2 rdzenie:** 864 Mbit/s - **3 rdzenie:** 1.45 Gbit/s - **4 rdzenie:** 1.93 Gbit/s Ostatecznie uzyskanano prawie 2 Gbps z ZeroTier, co jest imponującym wynikiem. **Dalsze testy** Po przeniesieniu konfiguracji z GK41 do MS-01 i uruchomieniu sześciu instancji ZeroTier, wyniki wyglądały następująco: - **ZeroTier (bez szyfrowania):** 9.35 Gbit/s - **ZeroTier (2 rdzenie):** 8.38 Gbit/s - **ZeroTier (6 rdzeni):** 18.9 Gbit/s Dzięki zwiększonej liczbie rdzeni i lepszemu sprzętowi osiągnęliśmy niemal maksymalną przepustowość. **Zwiększanie wydajności ZeroTier poprzez wykorzystanie wielu instancji i równoważenie obciążenia pokazuje jego potencjał jako rozwiązania sieciowego.** Pomimo obecnych ograniczeń w wielowątkowości, ZeroTier może osiągać imponujące wyniki dzięki odpowiedniej konfiguracji i sprzętowi. W miarę postępu prac nad rozwojem ZeroTier możemy spodziewać się dalszych usprawnień w wydajności. --- ## System skalowalnej zapory sieciowej 1Tbps MX304/SRX4600 [Operating 1Tbps MX304/SRX4600 firewall scale-out systemFocusing on SRX firewall – the scaled out device - operational aspects in terms of removing device from service and bringing it back.![](https://www.juniper.net/favicon.ico)Juniper Networks![](https://higherlogicdownload.s3.amazonaws.com/JUNIPER/UploadedImages/SDUgcoUASSKCWEqvtABr_Scale-out-p2-01.png)](https://community.juniper.net/blogs/karel-hendrych/2024/01/29/operating-1tbps-firewall-scale-out-system?ref=innasiec.pl) Artykuł omawia **operacyjne aspekty stosowania zapory SRX koncentrując się na mechanizmie Auto-FBF (Automated Failover for Firewalls).** Opisuje sposób, w jaki można przeprowadzać konserwację urządzeń SRX4600 bez wpływu na ruch subskrybentów oraz zarządzać ich wydajnością i dostępnością. --- ## Podstawy REST API [What is a REST API? Fundamentals for Network Engineers -A REST API is an interface or gate, developed taking into account agreements and restrictions defined by the HTTP protocol…![](https://codingnetworks.blog/wp-content/uploads/2018/11/cropped-cropped-icon-logo-2-270x270.png)Coding Networks BlogMichael Alvarez![](https://codingnetworks.blog/wp-content/uploads/2018/09/pexels-photo-577585-1.jpeg)](https://codingnetworks.blog/what-is-a-rest-api-fundamentals-for-network-engineers/?ref=innasiec.pl) Artykuł omawia podstawy REST API, jego znaczenie oraz zasady działania. **REST API stało się popularnym narzędziem w automatyzacji sieciowej, umożliwiającym komunikację i integrację aplikacji**. Zawiera definicje kluczowych pojęć, takich jak zasoby, identyfikatory URI oraz operacje CRUD, a także wyjaśnia zasady projektowania i bezpieczeństwa API. _This post is for paying subscribers only._ ### Zmiany w CCNA 200-301 1.1 | Wszystko co musisz wiedzieć URL: https://innasiec.pl/zmiany-w-ccna-200-301-1-1-wszystko-co-musisz-wiedziec/ Last updated: 2024-07-29T08:00:26.000Z --- ## Rekordowy atak DDoS na Orange Polska [Odparliśmy rekordowy atak DDoS - CERT OrangePółtora roku utrzymywał się dotychczasowy rekord poziomu ataku DDoS, którego celem była sieć Orange Polska. Wynik 543,9 Gbps (gigabita na sekundę) to już jednak przeszłość. 21 lipca atakujący pokazali, że stać ich na jeszcze (nieco) więcej. Rekordowy atak tego typu w polskim internecie miał miejsce 21 lipca tuż po północy. Wtedy naszej sieci naszej nastąpiła \[…\]![](https://cert.orange.pl/wp-content/uploads/2023/05/favicon.ico)CERT OrangeNazwa \*![](https://cert.orange.pl/wp-content/uploads/2024/07/Zrzut-ekranu-2024-07-22-220015-min.png)](https://cert.orange.pl/aktualnosci/odparlismy-rekordowy-atak-ddos/?ref=innasiec.pl) **21 lipca 2024 roku, tuż po północy, Orange Polska odnotowało rekordowy atak DDoS**, osiągając wartość 586,5 Gbps oraz 58,5 Mpps. Atak rozpoczął się o 0:02 i trwał około 18 minut, z szczytowym ruchem utrzymującym się przez 2 minuty. Celem ataku był jeden adres IP, a napastnicy wykorzystali techniki oparte na protokole UDP oraz DNS amplification. **W wyniku ataku zarejestrowano złośliwy ruch z 90 krajów, przy czym ponad 50% pochodziło z Chin, Indii, Brazylii, Rosji i USA.** Systemy ochrony anty-DDoS Orange Polska działały skutecznie, co pozwoliło na utrzymanie stabilności sieci. **Atak ten jest częścią większej strategii atakującego, który prowadził podobne incydenty wcześniej – na przykład dwa dni przed tym zdarzeniem zarejestrowano atak o wolumenie 439,3 Gbps.** Dla zainteresowanych śledzeniem danych dotyczących ataków DDoS w sieci Orange Polska, dostępne są statystyki na stronie: [CERT Orange](https://cert.orange.pl/dane-o-zagrozeniach/?systemName=Ataki-DDos&ref=innasiec.pl). --- ## Nowości w CCNA 200-301 1.1 [Nowości w CCNA 200-301 1.1Już 20 sierpnia 2024 roku CCNA przechodzi rewolucję! Nowe tematy, takie jak generatywna AI i zarządzanie siecią w chmurze, czekają na Ciebie. Nie przegap szansy na zdobycie cennej wiedzy! Przygotuj się z najlepszymi materiałami i zdobądź certyfikat, który otworzy przed Tobą drzwi do kariery!![](https://innasiec.pl/content/images/size/w256h256/2024/06/recreate-02.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/2024/07/Nowos-ci-CCNA-200-301-1.1-1.webp)](https://innasiec.pl/nowosci-w-ccna-200-301-1-1/) Od 20 sierpnia 2024 roku certyfikat CCNA, który jest bardzo popularny i ceniony w branży IT, wprowadza nowe, istotne tematy, takie jak generatywna AI oraz zarządzanie siecią w chmurze. Te zmiany mają na celu dostosowanie egzaminu do aktualnych trendów i potrzeb w branży technologii informacyjnej. Warto zauważyć, że tylko 10% materiału ulegnie modyfikacji, co stanowi dobrą wiadomość dla osób przygotowujących się do certyfikacji. ### Kluczowe zmiany - **Data zmian:** 20 sierpnia 2024 roku to kluczowy termin, który powinien być zapamiętany przez wszystkich zainteresowanych zdobyciem certyfikatu CCNA. - **Nowe tematy:** Wśród nowych zagadnień znajdą się kwestie związane z **generatywną AI**, która staje się coraz bardziej istotna w różnych dziedzinach, oraz **zarządzanie siecią w chmurze**, co odzwierciedla rosnące znaczenie rozwiązań chmurowych w nowoczesnych architekturach sieciowych. Dodatkowo, w programie pojawią się **mechanizmy Rapid PVST+, które są kluczowe dla skutecznego zarządzania protokołem STP.** - **Ostatni dzień na zdanie CCNA 200-301:** Ważne jest, aby wszyscy kandydaci pamiętali, że **ostatni dzień na zdanie obecnej wersji egzaminu CCNA 200-301 to 19 sierpnia 2024 roku**. Po tej dacie nowi kandydaci będą musieli przystąpić do egzaminu zgodnie z nowymi standardami. - **Materiały do nauki:** Aby skutecznie przygotować się do nadchodzących zmian, można korzystać z różnorodnych zasobów edukacyjnych. Oficjalne materiały Cisco stanowią doskonałą bazę wiedzy. Dodatkowo dostępne są kursy online oferowane przez platformy takie jak CBT Nuggets czy Udemy. [Egzaminy próbne od firmy Boson](https://www.boson.com/practice-exam/200-301-cisco-ccna-practice-exam?ref=innasiec.pl), mogą być niezwykle pomocne w ocenie poziomu przygotowania przed przystąpieniem do egzaminu. **Zmiany są niewielkie**, **według Cisco jest to nie więcej niż 10% całego materiału,** co oznacza, że przygotowanie według obecnego planu jest nadal aktualne i nie wymaga drastycznych zmian w podejściu do nauki. To dobra wiadomość dla osób, które już rozpoczęły swoją edukację w kierunku certyfikatu CCNA. Warto zatem odpowiednio zaplanować czas na naukę i dostosować swoje przygotowania do nadchodzących zmian, aby być dobrze przygotowanym na nową wersję egzaminu. --- ## Wyzwania automatyzacji zarządzania siecią z ponad 14 000 urządzeń [Pushing Python To Its Limits By Managing 14,000 Network DevicesThe following post is about a challenge that we encountered at work while extending an in-house-built program that provides automation for 14,000 network devices in our infrastructure. Although we will cover synchronous, asynchronous and threading methods of executing code, the intention of this post is not to go into details of how these methods operate under the hood and rather how they behave in the real world in I/O bound scenarios.![](https://thegraynode.io/apple-touch-icon.png)The Gray Node:\~$![](https://thegraynode.io/)](https://thegraynode.io/posts/pushing%5Fpython%5Fto%5Fits%5Flimits/?ref=innasiec.pl) Artykuł opisuje **wyzwania związane z automatyzacją zarządzania 14,000 urządzeniami sieciowymi** w infrastrukturze, w tym rozwój narzędzia EDO (Endpoint Device Onboarding) opartego na Pythonie. Zawiera przemyślenia na temat implementacji synchronizacyjnej, asynchronicznej i wielowątkowej oraz trudności związanych z różnymi metodami komunikacji z urządzeniami. --- ## Bardziej "świadomy" aplikacji VyOS z nprobe [More Application Aware VyOS with nprobe - Level Zero NetworkingIn a previous article, I covered how to make VyOS an Application Aware Firewall (this article builds off of that article, so I suggest reading that article before this one). There’s more that we can do by leveraging nprobe, like shaping traffic based on a service or category of services. That’s what we’ll explore in \[…\]![](https://i0.wp.com/lev-0.com/wp-content/uploads/2024/01/LZ-Logo.png?fit=192%2C168&ssl=1)Level Zero NetworkingR C![](https://i0.wp.com/lev-0.com/wp-content/uploads/2024/06/More-nprobe-on-VyOS.jpg?fit=1792%2C1024&ssl=1)](https://lev-0.com/2024/07/01/more-application-aware-vyos-with-nprobe/?ref=innasiec.pl) Artykuł przedstawia, jak **skonfigurować zaporę ogniową aplikacji w VyOS, korzystając z nprobe do kształtowania ruchu sieciowego według kategorii aplikacji.** Autor zwraca uwagę na wyzwania związane z zarządzaniem pasmem w firmach, które pozwalają na korzystanie z aplikacji mocno obciążających sieć, takich jak usługi strumieniowe i media społecznościowe. Świetnym rozwiązaniem jest wprowadzenie ograniczeń dla tych usług, co można zrealizować dzięki inspekcji głębokiej pakietów (DPI). To podejście pomoże w utrzymaniu optymalnej wydajności sieci i lepszym zarządzaniu zasobami! --- _This post is for paying subscribers only._ ### Nowości w CCNA 200-301 1.1 URL: https://innasiec.pl/nowosci-w-ccna-200-301-1-1/ Last updated: 2024-07-27T10:21:44.000Z Z dniem **20 sierpnia 2024 roku nastąpią zmiany w certyfikacie CCNA**, które mają na celu dostosowanie programu do aktualnych trendów w branży. **Nowe zagadnienia, takie jak generatywna AI, zarządzanie siecią w chmurze oraz uczenie maszynowe**, będą integralną częścią egzaminu 200-301 CCNA. ### Kluczowe Daty - **Ostatni dzień na zdanie CCNA 200-301 1.0**: 19 sierpnia 2024 - **Data premiery CCNA v1.1**: 20 sierpnia 2024 ## Nowe Tematy Do egzaminu CCNA v1.1 dodane zostaną następujące tematy: - **Dodatkowe mechanizmy Rapid PVST+ Spanning Tree Protocol (Root guard, loop guard, BPDU Filter oraz BPDU Guard)** - **Zrozumienie AI i LLM jako inżynier sieciowy** - **Zarządzanie dostępem do urządzeń** ![Zmiany w certyfikacji Cisco CCNA 200-301 1.1](https://innasiec.pl/content/images/2024/07/zmiany_w_ccna_1.1.webp) Zdjęcie pochodzi z blogu cisco.com Te **zmiany stanowią zaledwie 10% całego materiału egzaminacyjnego**, co oznacza, że osoby przygotowujące się do CCNA mogą kontynuować naukę według aktualnego planu. ## Materiały i zasoby do nauki **Oficjalne zasoby Cisco:** - **Cisco Learning Network:** Zapoznaj się z zaktualizowanymi tematami egzaminów oraz planem, dostępnymi na oficjalnej stronie firmy Cisco. [Cisco Learning Network![](https://learningnetwork.cisco.com/s/sfsites/c/resource/peakLightning/images/favicon.ico)](https://learningnetwork.cisco.com/s/ccna-exam-topics?ref=innasiec.pl) **Książki Cisco Press:** Zaktualizowane wydania przewodników CCNA będą dostępne, odzwierciedlając nowe tematy egzaminów. [CCNA 200-301 Official Cert Guide Library, 2nd Edition | Cisco PressTrust the best-selling Official Cert Guide series from Cisco Press to help you learn, prepare, and practice for exam success. They are built with the objective of providing assessment, review, and practice to help ensure you are fully prepared for your certification exam.Cisco Press has the only study guides approved by Cisco for the new CCNA certification.![](https://www.ciscopress.com/display/CiscoPress/images/objects/touch_icons/apple-touch-icon-144x144-precomposed.png)Cisco PressWendell Odom![](https://www.ciscopress.com/ShowCover.asp?isbn=9780138221393&type=f)](https://www.ciscopress.com/store/ccna-200-301-official-cert-guide-library-9780138221393?ref=innasiec.pl) **Kursy online i szkolenia:** - **CBT Nuggets:** Oferuje kompleksowe szkolenie wideo, w tym nowe wirtualne środowiska laboratoryjne do praktyki. [2024 CCNA v1.1 (200-301)Complete CCNA (200-301 v1.1) training for new network admins. Learn everything required in the first year on the job with expert-led online courses from CBT Nuggets.![](https://www.cbtnuggets.com/apple-icons/180x180.png)CBT Nuggets![](https://www.cbtnuggets.com/assets/images/og/courses/ccna.png)](https://www.cbtnuggets.com/it-training/cisco/ccna?ref=innasiec.pl) - **Kurs Neila Andersona na Udemy:** Wysoce zalecany za zwięzłą i skoncentrowaną treść, w tym laboratoria oraz podsumowania w formacie PDF. [https://www.udemy.com/course/ccna-complete/](https://www.udemy.com/course/ccna-complete/?ref=innasiec.pl) **Egzaminy próbne:** - **Boson ExSim-Max:** Zapewnia egzaminy próbne, które symulują rzeczywiste środowisko testowe i zawierają szczegółowe wyjaśnienia do każdego pytania. [200-301 CCNA Practice Exam | BosonWe specialize in IT training and certification preparation, developing NetSim network simulator, practice exams and courseware to help you achieve success.![](https://www.boson.com/favicon.ico)Boson![](https://boson.com/Images/practice-exams-boson-exsim-max.gif)](https://www.boson.com/practice-exam/200-301-cisco-ccna-practice-exam?ref=innasiec.pl) ## Podsumowanie Nowe tematy w egzaminie CCNA v1.1 to świetna okazja, by wzbogacić swoją wiedzę i umiejętności w szybko zmieniającym świecie technologii. Pamiętaj, że **zmiany są niewielkie, więc nie musisz się martwić.** Dobrze zaplanowane przygotowanie pomoże Ci z powodzeniem przejść przez proces certyfikacji. Powodzenia! ### Wprowadzenie do Scapy: biblioteka do manipulacji pakietami w Pythonie URL: https://innasiec.pl/wprowadzenie-do-scapy-biblioteka-do-manipulacji-pakietami-w-pythonie/ Last updated: 2024-07-26T20:01:38.000Z **Scapy to niezwykle wszechstronna biblioteka Pythona**, która umożliwia inżynierom sieciowym oraz specjalistom ds. bezpieczeństwa łatwe przechwytywanie, tworzenie i manipulację pakietami sieciowymi. Dzięki obsłudze wielu protokołów sieciowych, **Scapy jest idealnym narzędziem do wykonywania zadań, takich jak skanowanie portów, testowanie zabezpieczeń, analizy oraz odkrywanie sieci.** ## Instalacja Scapy Aby zainstalować Scapy, wystarczy użyć menedżera pakietów `pip`. W terminalu wpisz poniższą komendę: ```bash pip install scapy ``` Upewnij się, że masz zainstalowanego Pythona oraz `pip`. ## Tworzenie pakietów w Scapy Aby skutecznie korzystać z Scapy, należy zrozumieć strukturę pakietów sieciowych. Pakiety te składają się z różnych warstw, z których każda dostarcza specyficzne informacje potrzebne do komunikacji w sieci. Scapy upraszcza proces tworzenia tych warstw i umożliwia ich łączenie. ### Warstwa Ethernet Warstwa Ethernet to pierwsza warstwa w stosie protokołów, która zajmuje się lokalną komunikacją. Klasa `Ether` w Scapy pozwala na konfigurację ramki Ethernet: ```python from scapy.all import Ether # Tworzenie ramki Ethernet z określonymi adresami MAC ethernet_frame = Ether(dst="00:1A:2B:3C:4D:5E", src="11:22:33:44:55:66", type=0x0800) print(ethernet_frame.show()) ``` **Opcje:** - `dst`: Adres MAC docelowy. - `src`: Adres MAC źródłowy. - `type`: Pole EtherType. ### Warstwa IP Warstwa Internet Protocol (IP) jest odpowiedzialna za adresowanie i trasowanie pakietów przez sieci. Klasa `IP` pozwala na konfigurację nagłówka IP: ```python from scapy.all import IP # Konfiguracja nagłówka IP ip_packet = IP(dst="192.0.2.1", src="10.0.0.5", ttl=128, tos=0x00, id=100, flags="DF", proto="udp") print(ip_packet.show()) ``` **Opcje:** - `dst`: Adres IP docelowy. - `src`: Adres IP źródłowy. - `ttl`: Czas życia (Time-to-Live). - `tos`: Typ usługi (Type of Service). - `id`: Pole identyfikacyjne. - `flags`: Flagi. - `proto`: Protokół (np. "tcp", "udp", "icmp"). ### Warstwa TCP Warstwa Transmission Control Protocol (TCP) zapewnia niezawodną komunikację. Klasa `TCP` pozwala na konfigurację pól segmentu TCP: ```python from scapy.all import TCP # Ustawienia dla segmentu TCP tcp_segment = TCP(sport=54321, dport=8080, seq=2000, ack=2001, dataofs=5, reserved=0, flags="A", window=8192) print(tcp_segment.show()) ``` **Opcje:** - `sport`: Port źródłowy. - `dport`: Port docelowy. - `seq`: Numer sekwencyjny. - `ack`: Numer potwierdzenia. - `flags`: Flagi kontrolne. ### Warstwa UDP Warstwa User Datagram Protocol (UDP) zapewnia lekki i bezpołączeniowy sposób komunikacji. Klasa `UDP` umożliwia konfigurację pól segmentu UDP: ```python from scapy.all import UDP # Ustawienia dla segmentu UDP udp_segment = UDP(sport=1234, dport=53) print(udp_segment.show()) ``` **Opcje:** - `sport`: Port źródłowy. - `dport`: Port docelowy. ### ICMP Pakiety Internet Control Message Protocol (ICMP) są wykorzystywane do wysyłania komunikatów o błędach i informacji operacyjnych: ```python from scapy.all import ICMP # Ustawienia dla pakietu ICMP icmp_packet = ICMP(type=0, code=0) print(icmp_packet.show()) ``` **Opcje:** - `type`: Typ ICMP (np. 0 dla Echo Reply). - `code`: Kod ICMP. ## Łączenie warstw w pakiety Scapy umożliwia łączenie warstw w celu utworzenia pełnych pakietów. Możesz używać operatora `/` do łączenia warstw: ```python from scapy.all import Ether, IP, TCP # Łączenie warstw Ethernet, IP i TCP combined_packet = Ether(dst="00:1A:2B:3C:4D:5E", src="11:22:33:44:55:66") / IP(dst="192.0.2.1", src="10.0.0.5") / TCP(dport=8080, flags="A") print(combined_packet.show()) ``` ## Wysyłanie pakietów Po utworzeniu pakietu możesz go wysłać przez sieć za pomocą funkcji `sendp` dla pakietów warstwy Ethernet oraz `send` dla pakietów warstwy IP: ```python from scapy.all import sendp # Wysyłanie pakietu Ethernet sendp(combined_packet) ``` ## Przykład tworzenia i wysyłania pakietu Oto kompletny przykład ilustrujący, jak utworzyć i wysłać niestandardowy pakiet z warstwami Ethernet, IP i TCP przy użyciu Scapy: ```python from scapy.all import Ether, IP, TCP, sendp # Definiowanie ramki Ethernet ethernet_frame = Ether(dst="00:1A:2B:3C:4D:5E", src="11:22:33:44:55:66") # Definiowanie nagłówka IP ip_packet = IP(dst="192.0.2.1", src="10.0.0.5", ttl=128) # Definiowanie segmentu TCP tcp_segment = TCP(sport=54321, dport=8080, seq=2000, ack=2001) # Łączenie warstw w celu utworzenia pełnego pakietu final_packet = ethernet_frame / ip_packet / tcp_segment # Wyświetlanie szczegółów pakietu print(final_packet.show()) # Wysyłanie pakietu sendp(final_packet) ``` ## Zastosowania Scapy Scapy to niezwykle elastyczne narzędzie, które znajduje zastosowanie w wielu obszarach związanych z inżynierią sieciową. Poniżej przedstawione są najważniejsze zastosowania Scapy, wraz z przykładami, które mogą być szczególnie przydatne dla inżynierów sieciowych. _This post is for paying subscribers only._ ### "Start small, grow big" z automatyzacją sieci URL: https://innasiec.pl/start-small-grow-big-z-automatyzacja-sieci/ Last updated: 2024-07-26T08:56:30.000Z Automatyzacja sieci to klucz do efektywności w zarządzaniu infrastrukturą IT! Dowiedz się, jak wprowadzenie automatyzacji może zaoszczędzić czas, zwiększyć niezawodność i poprawić bezpieczeństwo Twojej sieci. Odkryj sprawdzone metody i praktyczne pomysły, które przekształcą Twoje codzienne operacje! _This post is for paying subscribers only._ ### Szablony Jinja2 URL: https://innasiec.pl/szablony-jinja2/ Last updated: 2024-07-23T07:55:00.000Z **Jinja2 to silnik szablonów dla Pythona, który umożliwia dynamiczne generowanie treści**. W prostych słowach, Jinja2 pozwala na na utworzenie szablonu w którym umieszczamy specjalne miejsca `{{ }}` na dane pochodzące z zewnętrznych źródeł. Mogą to być statyczne pliki, ale również bazy danych czy aplikacje jak np. Netbox. To samo moglibyśmy osiągnąc ## Dlaczego Jinja2? Jinja2 charakteryzuje się prostą składnią i elastycznością, co ułatwia generowanie konfiguracji. W porównaniu do alternatyw, takich jak Mako czy Django Templates, **Jinja2 oferuje lepszą wydajność oraz wsparcie dla bardziej złożonych struktur danych**. Dodatkowo, jego integracja z narzędziami takimi jak Ansible oraz bogata dokumentacja czynią go doskonałym wyborem. 1. **Oszczędność czasu:** Automatyzacja powtarzalnych zadań może drastycznie skrócić czas potrzebny na konfigurację urządzeń. To, co zajmowało godziny, może być teraz wykonane w ciągu minut. 2. **Redukcja błędów:** Szablony eliminują ryzyko błędów typograficznych i niespójności konfiguracji. Gdy szablon jest poprawny, każda wygenerowana konfiguracja będzie bezbłędna. 3. **Skalowalność:** W miarę rozrostu sieci, zarządzanie tysiącami urządzeń staje się proste. Jeden szablon może obsłużyć setki lub tysiące urządzeń. 4. **Standaryzacja:** Jinja2 zapewnia spójność konfiguracji w całej infrastrukturze sieciowej. Wszystkie urządzenia są konfigurowane według tych samych standardów. 5. **Elastyczność:** Szablony można łatwo dostosować do różnych scenariuszy i typów urządzeń, co jest nieocenione w heterogenicznych środowiskach sieciowych. 6. **Integracja:** Jinja2 współpracuje z popularnymi narzędziami automatyzacji jak Ansible czy Nornir, co pozwala na tworzenie kompleksowych rozwiązań automatyzacyjnych. ## Podstawy składni Jinja2 Szablony Jinja2 wykorzystują proste, ale pozwalające na sporą elastyczność elementy składni: 1. **Zmienne:** Używane do wstawiania dynamicznych wartości w szablon. Zapisywane są w podwójnych nawiasach klamrowych. Przykład: `{{ zmienna }}` 2. **Instrukcje warunkowe:** Pozwalają na warunkowe generowanie konfiguracji. Używają składni podobnej do Pythona. Przykład: `{% if warunek %} ... {% elif inny_warunek %} ... {% else %} ... {% endif %}` 3. **Pętle:** Umożliwiają iterację przez listy lub słowniki, generując powtarzalne elementy konfiguracji. Przykład: `{% for element in lista %} ... {% endfor %}` 4. **Filtry:** Modyfikują wartości zmiennych przed ich wstawieniem do szablonu. Są potężnym narzędziem do formatowania danych. Przykład: `{{ zmienna | upper }}` przekształci `zmienna` na wielkie litery. 5. **Komentarze:** Pozwalają na dodawanie notatek w szablonie, które nie są renderowane w końcowej konfiguracji. Przykład: `{# To jest komentarz #}` ## Przykładowy szablon Jinja2 Plik: `template.j2` Szablon Jinja2, który generuje konfigurację na podstawie danych z pliku YAML. ```twig {% for interface in interfaces -%} interface {{ interface.name }} {% if interface.type == 'access' -%} switchport mode access switchport access vlan {{ interface.vlan }} {% elif interface.type == 'trunk' -%} switchport mode trunk switchport trunk allowed vlan {{ interface.vlan }} {% endif -%} description {{ interface.description| upper }} ! {% endfor -%} ``` Jak widzisz nasz szablon jest stosunkowo krótki, ale pozwala na wygenerowanie spójnej i powtarzalnej konfiguracji dla jednego jak i stu interfejsów. Pętla `{% for interface in interfaces -%}` pozwala na wygenerowanie konfiguracji dla każdego interfejsu, który jest zdefiniowany w naszym sekcji `interfaces` naszego pliku `yaml`. Następnie z pliku `yaml` w miejsce zmiennych np. `{{interface.name}}` podstawiamy odpowiednią wartość, w tym przypadku nazwę interfejsu. W kolejnym kroku sprawdzamy czy nasz interfejs pracuje w trybie access `{% if interface.type == 'access' -%}` czy jako trunk `{% elif interface.type == 'trunk' -%}` . W Jinja2, `elif` jest używane w konstrukcjach warunkowych, aby umożliwić sprawdzenie dodatkowych warunków, jeśli poprzedni warunek (`if`) nie został spełniony. `{% endif -%}` oraz `{% endfor -%}` zamykają konkretne konstrukcje warunkowe oraz pętle. Ninja2 posiada również wbudowane mechanizmy do obsługi białych znaków. Jeśli dodasz znak minus `(-)` na początku lub na końcu bloku `{% endfor -%}`, komentarza lub zmiennej, białe znaki przed lub po tym bloku zostaną usunięte. Plik: `interfaces.yaml` Zawiera dane, które chcemy umieścić w naszym szablonie. ```yaml interfaces: - name: GigabitEthernet0/1 type: access vlan: 10 description: "Port do komputera biurowego" - name: GigabitEthernet0/2 type: trunk vlans: "10,20,30" description: "Port trunkowy do innego przełącznika" ``` Plik: `interfaces.py` Skrypt Pythona, który łączy te dwa elementy, aby wygenerować finalną konfigurację. ```python import yaml from jinja2 import Environment, FileSystemLoader # Wczytaj plik YAML with open('interfaces.yaml') as file: config = yaml.safe_load(file) # Przygotuj środowisko Jinja2 env = Environment(loader=FileSystemLoader('.')) template = env.get_template('template.j2') # Generuj konfigurację output = template.render(interfaces=config['interfaces']) # Zapisz wynik do pliku with open('configuration.txt', 'w') as output_file: output_file.write(output) print("Konfiguracja została wygenerowana i zapisana w pliku configuration.txt.") ``` Plik: `configuration.txt` Zawiera wygenerowaną konfigurację. ``` interface GigabitEthernet0/1 switchport mode access switchport access vlan 10 description PORT DO KOMPUTERA BIUROWEGO ! interface GigabitEthernet0/2 switchport mode trunk switchport trunk allowed vlan 10,20,30 description PORT TRUNKOWY DO INNEGO PRZEŁĄCZNIKA ! ``` Wszystkie pliki dostępne są na githubie: [innasiec/ninja2 at main · rafalrud/innasiecThis repository contains source code of examples from innasiec.pl - rafalrud/innasiec![](https://github.githubassets.com/assets/pinned-octocat-093da3e6fa40.svg)GitHubrafalrud![](https://opengraph.githubassets.com/c4e5e71365a600272b71f4e0c3d401a447114abe83d199e6b6bded60d35897c4/rafalrud/innasiec)](https://github.com/rafalrud/innasiec/tree/main/ninja2?ref=innasiec.pl) ## Najlepsze praktyki przy używaniu Jinja2 **Zachowaj prostotę** Unikaj skomplikowanych logik w szablonach. Proste szablony są łatwiejsze do zrozumienia i utrzymania. **Używaj komentarzy** Dokumentuj swoje szablony dla lepszej czytelności. Komentarze pomagają zrozumieć, co robi dany fragment kodu. **Stosuj modularność** Dziel duże szablony na mniejsze, wielokrotnego użytku. Modularne podejście ułatwia zarządzanie kodem oraz jego ponowne wykorzystanie. **Testuj szablony** Sprawdzaj wygenerowane konfiguracje przed wdrożeniem. Testowanie pozwala na wykrycie błędów i zapewnienie poprawności działania aplikacji. ### Globalny outage Crowdstrike: Co się stało i co to oznacza dla Ciebie? URL: https://innasiec.pl/globalny-outage-crowdstrike-co-sie-stalo-i-co-to-oznacza-dla-ciebie/ Last updated: 2024-07-22T08:00:13.000Z _This post is for paying subscribers only._ ### Nowy sposób na filtrowanie ruchu w Junosie URL: https://innasiec.pl/nowy-sposob-na-filtrowanie-ruchu-w-junosie/ Last updated: 2024-07-15T21:11:07.000Z Pamiętaj, że jeśli e-mail wyświetla się tylko częściowo (szczególnie w Gmailu), trzeba kliknąć na "Pokaż całą wiadomość" na dole, żeby przeczytać wszystko. ## Co zrobi niezarządalny switch z ramką 802.1Q? [802.1Q-Tagged Frames Through Unmanaged Switch – Forwarded or Dropped? – Daniels Networking Blog![](https://lostintransit.se/favicon.ico)ddib![](https://lostintransit.se/wp-content/uploads/2024/07/Ethernet_header-2-1024x283.png)](https://lostintransit.se/2024/07/09/802-1q-tagged-frames-through-unmanaged-switch-forwarded-or-dropped/?doing%5Fwp%5Fcron=1720513085.2760510444641113281250&ref=innasiec.pl) Rozpoczynamy naszą podróż w głąb zagadnień związanych z tagowaniem VLAN, aby lepiej zrozumieć, jak ramki tagowane zgodnie z 802.1Q różnią się od ramek nieoznakowanych. **Czym jest tagowanie?** Tagowanie VLAN, zgodnie ze standardem 802.1Q, pozwala na identyfikację ramek w sieciach wirtualnych (VLAN). Jest to istotne w środowiskach sieciowych, gdzie segmentacja ruchu jest kluczowa dla zapewnienia bezpieczeństwa i efektywnego zarządzania siecią. 1. Standard 802.1Q dodaje dodatkowe cztery bajty do ramki Ethernet, zawierające informacje o protokole tagowania oraz kontrolę tagu. 2. Tag Protocol Identifier (TPID) to pole identyfikujące tagowanie VLAN w ramce. 3. Tag Control Information (TCI) zawiera priorytet, informację o DEI oraz ID VLAN. **Różnice między ramkami oznakowanymi a nieoznakowanymi** - W ramkach oznakowanych TPID zastępuje pole EtherType w ramkach nieoznakowanych. - W przypadku ramek oznakowanych TPID przyjmuje wartość 0x8100, a EtherType pozostaje (np. 0x0800 dla IPv4). **Co powinien zrobić niezarządzany przełącznik z ramką oznakowaną 802.1Q?** - Niezarządzany przełącznik powinien przekazywać ramkę bez modyfikacji, nawet jeśli nie rozumie tagowania VLAN. - Ramka oznakowana pozostaje ważna, a nieznany EtherType nie jest podstawą do odrzucenia lub zmiany ramki. W świetle omówionych zagadnień jasne staje się, że n**iezarządzane przełączniki powinny przekazywać ramki 802.1Q**. Różnica pomiędzy zawartością pola EtherType oraz długością ramki nie powinna wpływać na sposób obsługi ramki. Teoria, teoria, ale pamiętaj, że nikt nie zabroni producentowi sprzętu zastosowania własnego podejścia do tematu. ## Wykrywanie niezgodności native VLAN na łączu trunk [Detecting Mismatched Native VLANs – Daniels Networking Blog![](https://lostintransit.se/favicon.ico)ddib![](https://lostintransit.se/wp-content/uploads/2024/07/CML_topology.png)](https://lostintransit.se/2024/07/11/detecting-mismatched-native-vlans/?ref=innasiec.pl) Prawdopodonie nie raz spotkałeś się z komunikatem o niezgodności native VLAN na trunku. Jak dokładnie jest to wykrywane? Istnieją dwia protokoły, które wykrywają taką sytuację: - **CDP** CDP to protokół stworzony przez Cisco, który pozwala urządzeniom sieciowym na informowanie się wzajemnie o swoim istnieniu oraz o konfiguracji. W przypadku niezgodności native VLAN na trunku, CDP raportuje błąd, ale nie podejmuje żadnych działań korygujących. ``` %CDP-4-NATIVE_VLAN_MISMATCH: Native VLAN mismatch discovered on GigabitEthernet0/0 (2), with SW1 GigabitEthernet0/0 (1) ``` - **STP (PVST+)** W wariantach STP takich jak PVST+, BPDUs zawierają informacje o VLAN-ie, z którego pochodzą, co umożliwia porównanie ich z tym, na którym zostały odebrane. W przypadku niezgodności native VLAN, STP blokuje oba VLANy. ``` %SPANTREE-2-RECV_PVID_ERR: Received BPDU with inconsistent peer vlan id 1 on GigabitEthernet0/0 VLAN2. %SPANTREE-2-BLOCK_PVID_PEER: Blocking GigabitEthernet0/0 on VLAN0001. Inconsistent peer vlan. %SPANTREE-2-BLOCK_PVID_LOCAL: Blocking GigabitEthernet0/0 on VLAN0002. Inconsistent local vlan. ``` Co ciekawe, takie porty są w stanie **Broken BKN**\* o typie **\* *P2p PVID\_Inc*** **Wykrywanie niezgodności native VLAN na łączu trunk jest kluczowe dla zachowania stabilności sieci.** CDP informuje jedynie o problemie, natomiast STP w wersji PVST+ podejmuje konkretne działania blokujące, aby zapobiec ewentualnym pętlom i przeciekom między różnymi VLANami. ## Trochę śmiechu ![](https://innasiec.pl/content/images/2024/07/capture-2024-07-12-220031_optimized.webp) ## CVE-2024-6387 (regreSSHion) [OpenSSH Vulnerability: CVE-2024-6387 FAQs and Resources | Qualys, Inc.Discover what the OpenSSH vulnerability, CVE-2024-6387, is as well as resources and tools to help detect and mitigate vulnerabilities in your network.![](https://www.qualys.com/apple-touch-icon-180x180.png)Qualys![](https://ik.imagekit.io/qualys/wp-content/uploads/2024/06/Q-regreSSHion-1200x628-1.jpg)](https://www.qualys.com/regresshion-cve-2024-6387/?ref=innasiec.pl) Luka w opgrogramowaniu openSSH 8.5p1 do 9.8p1, nazwana "regreSSHion", pozwalna na zdalne nieuwierzytelnione wykonanie kodu. Łataj szybko swoje serwerki. ## Czas zmian dla integratora technologii sieciowych [Czas zmian dla integratora technologii sieciowych - TELKO.inW Polsce i w Europie widać już kres technologii HFC/DOCSIS. Sieci te działają i będą utrzymywane jeszcze przez wiele lat, ale na większy rozwój…Hosted byNapisz do autora![](https://www.telko.in/media/photos/2024-07/AZe2B4g2.jpg)](https://www.telko.in/czas-zmian-dla-integratora-technologii-sieciowych?ref=innasiec.pl) Wywiad z Bartoszem Kajutem na temat przyszłości technologii HFC/DOCSIS. Jakie są plany oraz co i kiedy mogłoby ją zastąpić. _This post is for paying subscribers only._ ### Labowanie w chmurze nigdy nie było prostsze URL: https://innasiec.pl/labowanie-w-chmurze-nigdy-nie-bylo-prostsze/ Last updated: 2024-07-08T08:06:19.000Z ## W tym wydaniu: - Gigantyczny atak na OVH - Labowanie w chmurze nigdy nie było prostsze - Co sie stało z bezpiecznym DNS od Cloudflare? - Arista AVD - Geolokalizacja ma już 25 lat ## Co sie stało z bezpiecznym DNS od Cloudflare? [Cloudflare 1.1.1.1 incident on June 27, 2024On June 27, 2024, a small number of users globally may have noticed that 1.1.1.1 was unreachable or degraded. The root cause was a mix of BGP (Border Gateway Protocol) hijacking and a route leak.![](https://blog.cloudflare.com/images/favicon-32x32.png)The Cloudflare BlogBryton Herdes![](http://blog.cloudflare.com/content/images/2024/07/Cloudflare-1.1.1.1-incident-on-June-27--2024-OG-1.png)](https://blog.cloudflare.com/cloudflare-1111-incident-on-june-27-2024/?ref=innasiec.pl) Nieoczekiwane przestoje i zakłócenia to koszmar każdego inżyniera sieciowego. 27 czerwca 2024 roku użytkownicy na całym świecie doświadczyli problemów z dostępem do publicznego resolvera DNS 1.1.1.1 od Cloudflare. **Przyczyny incydentu** Przyczyny incydentu leżały w kombinacji ataku BGP hijacking oraz route leak. Pomimo tego, że **Cloudflare jest zwolennikiem stosowania mechanizmów Resource Public Key Infrastructure (RPKI) do walidacji źródła routingu**, podczas zdarzenia **adres 1.1.1.1/32 był anonsowany przez autonomiczny system AS267613 (Eletronet S.A.) i akceptowany przez wiele sieci**, w tym co najmniej jednego dostawcę Tier 1, który potraktował go jako blackhole route. **Linia czasu i wpływ** - 18:51 UTC - AS267613 zaczął anonsować 1.1.1.1/32 do peerów, dostawców i klientów - 18:52 UTC - AS262504 (Nova) rozprzestrzenił 1.1.1.0/24 do AS1031 (PEER 1 Global Internet Exchange) - 18:52 UTC - AS1031 rozesłał 1.1.1.0/24 do różnych peerów i route-serwerów - 18:52 UTC - Dostawca Tier 1 przyjął 1.1.1.1/32 od AS267613 jako blackhole route, blokując ruch - 20:03 UTC - Cloudflare poinformowany o problemach z 1.1.1.1 w różnych krajach - Działania Cloudflare polegały na wyłączeniu punktów peeringu z AS267613 i zaangażowaniu zainteresowanych sieci Negatywny wpływ był odczuwalny na dwa sposoby - Spowodowało to natychmiastową niedostępność adresu DNS 1.1.1.1 lub bardzo wysoka opóźnienia pakietó .dla ponad 300 sieci w 70 krajach. Chociaż wpływ na ogólną liczbę użytkowników był niewielki (mniej niż 1% w Wielkiej Brytanii i Niemczech), a w niektórych krajach żaden użytkownik nie zauważył zakłóceń. **Działania naprawcze** - Cloudflare będzie dalej promować wdrażanie walidacji RPKI w celu ograniczenia skutków ataków hijacking - Zostaną wprowadzone ulepszenia w systemach wczesnego wykrywania i reagowania na route leaki - Firma popiera przyjęcie mechanizmów ASPA do walidacji poprawności ścieżek AS w zapobieganiu route leakom - Cloudflare będzie angażować się we wdrażanie innych rozwiązań jak OTC (Only-To-Customer) według RFC 9234 Incydent 1.1.1.1 jest przykładem jak awarie mogą wpłynąć na popularne usługi sieciowe. **Pomimo stosowania najlepszych praktyk, zagrożenia z zewnątrz jak hijacking i route leaki są realne.** ## Gigantyczny atak na OVH [OVHcloud blames record-breaking DDoS attack on MikroTik botnetOVHcloud, a global cloud services provider and one of the largest of its kind in Europe, says it mitigated a record-breaking distributed denial of service (DDoS) attack earlier this year that reached an unprecedented packet rate of 840 million packets per second (Mpps).![](https://www.bleepstatic.com/favicon/bleeping.ico)BleepingComputerBill Toulas![](https://www.bleepstatic.com/content/hl-images/2022/08/17/global-pew-pew.jpg)](https://www.bleepingcomputer.com/news/security/ovhcloud-blames-record-breaking-ddos-attack-on-mikrotik-botnet/?ref=innasiec.pl) Ekipa inżynierska z OVHcloud zmierzyła się z atakiem o skali 840 milionów pakietów na sekundę. **Atak ten pobił poprzedni rekord należący do Akamai - firmy, która w 2020 roku odparła natarcie sięgające 809 Mpps**. Jednakże kwiecień 2024 roku zapisze się w annałach jako miesiąc, w którym padł kolejny rekord. ## Ataki w 2023 i 2024 roku **Analiza ataków przeprowadzona przez OVHcloud ujawniła niepokojący trend nasilania się ataków DDoS.** W 2023 roku ataki przekraczające 1 Tbps stawały się coraz częstsze, a w 2024 firma regularnie odpierała ataki o prędkości sięgającej kilkuset milionów pakietów na sekundę. Największy zanotowany wcześniej atak o wysokiej przepustowości osiągnął 2,5 Tbps 25 maja 2024 roku. Jednakże to kwietniowy szczyt na poziomie 840 Mpps był prawdziwym rekordzistą i wyzwaniem logistycznym. ## Szkodliwe routery MikroTik głównym winowajcą **Dochodzenie wykazało, że za atakami stały przejęte urządzenia sieciowe MikroTik**, w szczególności modele CCR1036-8G-2S+ i CCR1072-1G-8S+. Te wysokowydajne routery chmurowe, przeznaczone dla średnich sieci, stały się łatwym celem ze względu na: - Przestarzałe wersje oprogramowania z niezałatanymi lukami - Interfejsy dostępne publicznie w internecie - Narzędzie "Bandwidth Test" nadające się do generowania ogromnych ilości ruchu **Według analityków OVHcloud w internecie jest prawie 100 000 podatnych routerów Mikrotik.** Gdyby zaledwie 1% z nich wpadł w ręce cyberprzestępców, utworzyliby botnet zdolny do przeprowadzenia ataków DDoS z prędkością do 2,28 miliardów pakietów na sekundę! Chociaż inżynierom OVHcloud udało się powstrzymać atak 840 Mpps, ich doświadczenia wskazują na pilną potrzebę: - Stałej aktualizacji oprogramowania routerów do najnowszych, zabezpieczonych wersji - Ukrycia publicznych interfejsów konfiguracyjnych urządzeń sieciowych - Zaimplementowania środków bezpieczeństwa uniemożliwiających nadużywanie funkcji testowych - Ciągłego monitorowania infrastruktury pod kątem przejęcia zasobów do budowy botnetów DDoS Jeżeli nie zostaną podjęte kroki zapobiegawcze, eksperci przewidują, że siła przyszłych ataków DDoS może szybko wzrosnąć do poziomu całkiem niewydolnego dla większości sieci korporacyjnych i dostawców usług internetowych. Zagrożenie botnetami DDoS jest realnym wyzwaniem, z którym branża cyberbezpieczeństwa musi się zmierzyć. ## Geolokalizacja ma już 25 lat [IP Geolocation Is Twenty-Five Years OldTwenty-five years ago I had an idea which changed the way the Internet worked. Looking back, it was an incredible ride.![](https://www.sanjayparekh.com/content/images/size/w256h256/2021/07/sanjay-500px.png)Sanjay ParekhSanjay Parekh](https://www.sanjayparekh.com/ip-geolocation-is-25-years-old/?ref=innasiec.pl) Krótki artykuł o tym jak powstał pomysł oraz jaki problem miała rozwiązywać geolokalizacja oryginalnie. Nie, nie było to blokowanie filmów na Netflix. ## Arista AVD [Arista AVDArista Validated Designs documentation![](https://avd.arista.com/4.8/docs/_media/favicon.ico)Arista Ansible Team![](https://avd.arista.com/4.8/media/avd-logo.png)](https://avd.arista.com/4.8/index.html?ref=innasiec.pl) Arysta Validated Designs (AVD) to model danych zawierający gotowe wzorce konfiguracji i najlepsze praktyki ułatwiające budowę i zarządzanie siecią. Dzięki połączeniu z Ansible pozwala na w pełni automatyczne zarządzanie konfiguracją zarówno Day 1 jak i Day n. _This post is for paying subscribers only._ ### Jak ominąć zabezpieczenia firewalla? URL: https://innasiec.pl/jak-ominac-zabezpieczenia-firewalla/ Last updated: 2024-07-08T08:07:09.000Z ## W tym wydaniu: - Bezpieczeństwo routingu w internecie - Omijanie zabezpieczeń firewalla - System opłat RIPE NCC na 2025 - Co zamiast TextFSM? - Labowanie za darmo w chmurze ## Bezpieczeństwa routingu w internecie --- [Explainer: About Routing Security - MANRSThis post is part of our MANRS Basics series intended for non-experts interested in learning more about routing security.![](https://manrs.org/wp-content/uploads/2018/08/cropped-MANRS_icon-270x270.png)MANRSMegan Kruse![](https://manrs.org/wp-content/uploads/2024/05/books-hope-house-press-leather-diary-studio-IOzk8YKDhYg-unsplash-1200x630.jpg)](https://manrs.org/2024/06/explainer-about-routing-security/?ref=innasiec.pl) Bezpieczeństwo routingu stanowi kluczowy element w utrzymaniu integralności i bezpieczeństwa sieci. Nie jest to jedynie kwestia teoretyczna, lecz praktyczny fundament zabezpieczający infrastrukturę sieciową przed różnorodnymi zagrożeniami. ## Zagrożenia związane z bezpieczeństwem routingu Istnieje wiele potencjalnych zagrożeń, na jakie narażona jest infrastruktura sieciowa w kontekście bezpieczeństwa routingu. Należą do nich: 1. **Wycieki tras:** Nieprawidłowe kierowanie pakietów danych może prowadzić do nieautoryzowanego ujawnienia tras. 2. **Przejęcia tras:** Atakujący może przejąć kontrolę nad trasami sieciowymi, co może prowadzić do przekierowania ruchu na złośliwe serwery. 3. **Spowolnienie prędkości internetu:** Manipulacje w trasowaniu mogą spowodować znaczące opóźnienia w transmisji danych. 4. **Niedostępność części internetu:** Ataki na routing mogą prowadzić do niedostępności określonych obszarów internetowych. 5. **Możliwość inwigilacji:** Niebezpieczeństwo podsłuchu i inwigilacji ruchu sieciowego. ## Technologie zapewniające bezpieczeństwo routingu W dzisiejszych czasach istnieje wiele technologii oraz standardów, które wspierają bezpieczeństwo routingu. **Jedną z kluczowych technologii jest RPKI (Resource Public Key Infrastructure), która umożliwia operatorom sieci potwierdzenie autentyczności tras sieciowych** poprzez certyfikaty ROA (Route Origin Authorization) oraz walidację trasy za pomocą mechanizmu ROV (Route Origin Validation). **Inną istotną inicjatywą w tym obszarze jest MANRS (Mutually Agreed Norms for Routing Security). MANRS stanowi globalną inicjatywę, która promuje najlepsze praktyki bezpieczeństwa routingu**, włączając w to implementację RPKI. ### Kluczowe informacje o MANRS - Działa od 10 lat - Zrzesza ponad 1000 sieci - Obejmuje cztery programy: - dla operatorów sieci, - punktów wymiany ruchu internetowego (IXP), - dostawców CDN i chmury, - producentów sprzętu **MANRS jest częścią programu Internet Integrity Global Cyber Alliance**, który łączy kluczowych graczy w operacjach infrastruktury internetowej w celu rozwiązywania problemów bezpieczeństwa cybernetycznego. Ważne jest, aby stale monitorować nowe zagrożenia oraz rozwijające się technologie zapewniające bezpieczeństwo routingu. Poprawa świadomości oraz aktywne dążenie do wdrożenia najlepszych praktyk są kluczowe dla utrzymania stabilności i ochrony sieci przed atakami cybernetycznymi. ## Sytem Opłat RIPE NCC na rok 2025 --- [Consultation: RIPE NCC Charging Scheme 2025The RIPE NCC is consulting with the RIPE NCC membership on the RIPE NCC Charging Scheme that will be used in 2025.![](https://www.ripe.net/static/favicons/apple-touch-icon.png)RIPE Network Coordination Center![](https://www.ripe.net/static/images/logo.png)](https://www.ripe.net/publications/news/consultation-ripe-ncc-charging-scheme-2025/?ref=innasiec.pl) Czy wiesz, że trwa konsultacja wśród członków dotycząca projektu Systemu Opłat RIPE NCC na rok 2025? Trzy propozycje zostały przedstawione, a Twój głos ma znaczenie! RIPE NCC, **Europejski Rejestr Internetowy, proponuje trzy możliwe zmiany w systemie opłat na rok 2025** dla kont LIR oraz niezależnych zasobów numeracji internetowej. ## Propozycje Systemu Opłat 1. Opcja A: Bez zmian w systemie opłat dla kont LIR, z 22.58% wzrostem rocznej składki (1900 EUR) i brakiem zmian w opłatach za niezależne zasoby numeracji internetowej. 2. Opcja B: Bez zmian dla kont LIR, z 20.97% wzrostem rocznej składki (1875 EUR) oraz wzrostem o 50% opłat za niezależne zasoby numeracji internetowej (75 EUR). 3. Opcja C: Bez zmian dla kont LIR, z 16.13% wzrostem rocznej składki (1800 EUR), wzrostem o 50% opłat za niezależne zasoby numeracji internetowej (75 EUR) i dodatkową opłatą w wysokości 50 EUR za przydzielenie numerów AS. Propozycje trzech modeli mają na celu rozwiązanie problemu konsolidacji kont LIR, wzrostu kosztów związanych z inflacją oraz braku konsensusu wśród członków co do modelu opartego na kategoriach. Proponowany prosty model ma zagwarantować wystarczające finansowanie do 2026, unikając podwyżek opłat. Planuje się bardziej szczegółowe konsultacje z członkami w celu opracowania zrównoważonego rozwiązania na lata po 2026. ### W skrócie - Propozycje modeli mają zapewnić dochód w wysokości 41,1 miliona euro dla RIPE NCC w 2025. - Planowane podwyżki obejmują wzrost kosztów pracowniczych o 5% oraz inflację kosztów niestandardowych o 2%. - Ważne jest osiągnięcie nadwyżki budżetowej, co pozwoli na ewentualny zwrot środków członkom w 2026. - Pomimo cięć kosztów, utrzymanie wysokiej jakości usług rejestrowych i bezpieczeństwa systemów RIPE NCC jest priorytetem, a drastyczne cięcia nie są obecnie planowane. ## Co obejmuje konsultacja? - Składki roczne dla kont LIR - Opłaty za niezależne zasoby numeracji internetowej - Nowa opłata za numery AS - Zasoby objęte opłatami Twoja opinia na temat zmian w Systemie Opłat na rok 2025 ma wpływ! Do 19 kwietnia można [przesyłać swoje uwagi](mailto:members-discuss@ripe.net) na temat propozycji na adres grupy mailowej. **Ostateczna propozycja Systemu Opłat, nad którą członkowie będą głosować na Walnym Zgromadzeniu w maju, zostanie opublikowana 24 kwietnia.** P.S. [RIPE udostępnia excel z kalkulatorem](https://www.ripe.net/documents/3757/CS2025%5FMember%5FCalculator.xlsx?ref=innasiec.pl), który w prosty sposób pozwala sprawdzać jak będą kształtować się opłaty dla Ciebie w kazdej z trzech opcji. ## Co zamiast TextFSM? --- [Parsing Text using TTPEffortlessly parse CLI output to structured data.![](https://scriptninja.blog/content/images/size/w256h256/2024/06/Add-a-subheading.png)ScriptNinjaSudarshan V![](https://scriptninja.blog/content/images/size/w1200/2024/06/Text-Parsing-using-TTP.png)](https://scriptninja.blog/fortigate-configuration-parser/?ref=innasiec.pl) TTP to narzędzie, które zyskuje coraz większą popularność. Jest bardziej elastyczne od TextFSM i opiera się na szablonach Jinja2 do ekstrakcji danych z nieustrukturyzowanego tekstu. ## Labowanie za darmo w chmurze --- [Use GitHub Codespaces « BGP Labs![](https://bgplabs.net/img/favicon.ico)BGP LabsIvan Pepelnjak, ipSpace.net AG![](https://bgplabs.net/img/codespaces-start.png)](https://bgplabs.net/4-codespaces/?ref=innasiec.pl) Artykuł opisuje jak uruchomić BGP lab dzięki wykorzystaniu podejścia IaaC w Github codespace, czyli w chumurze od Githuba. Co miesiąc masz do dyspozycji za darmo 120h rdzeni do rozdzielenia pomiędzy hosty. _This post is for paying subscribers only._ ### Rozwiązywanie problemów z komunikacją w sieci LAN URL: https://innasiec.pl/rozwiazywanie-problemow-z-komunikacja-w-sieci-lan/ Last updated: 2024-07-11T06:20:00.000Z Pamiętaj, że jeśli e-mail wyświetla się tylko częściowo (szczególnie w Gmailu), trzeba kliknąć na "Pokaż całą wiadomość" na dole, żeby przeczytać wszystko. **W tym wydaniu:** - Bezpieczeństwo Sieci Bezprzewodowych - Rozwiązywanie problemów z komunikacją w sieci LAN - Wdrażanie Cisco ThousandEyes w 6 krokach - Zrozum medium bezprzewodowe - Speedtest CLi, tylko lepiej ## Bezpieczeństwo Sieci Bezprzewodowych [Bezpieczeństwo Wi-Fi czyli łamanie haseł sieci opartych o urządzenia TP-Link - O bezpieczeństwie rozwiązań Microsoft (i nie tylko).Łamanie 8-znakowego, domyślnego hasła WPA2-PSK sieci Wi-Fi. Case study urządzeń TP-Link, narzędzia, aircrack-NG i hashcat.![](https://how2hax.pl/wp-content/uploads/2021/05/cropped-domain_diag-270x270.png)O bezpieczeństwie rozwiązań Microsoft (i nie tylko).Piotr![](https://how2hax.pl/wp-content/uploads/2024/06/image-2.png)](https://how2hax.pl/lamanie-hasla-wpa2-psk-wifi/?ref=innasiec.pl) W dzisiejszych czasach, sieci bezprzewodowe są nieodłączną częścią naszego życia. Jednakże sieci Wi-Fi, mogą być podatne na ataki ze względu na słabe domyślne ustawienia. **Dlaczego domyślne ustawienia są złe?** Domyślne hasła do sieci Wi-Fi, zwłaszcza takie jak 8-znakowe ciągi cyfr, jak w przypadku routerów TP-Link, są łatwe do złamania. Przy użyciu odpowiednich narzędzi i technik, atakujący mogą uzyskać dostęp do sieci nawet w relatywnie krótkim czasie. **Proces łamania hasła** 1. **Rekonesans:** Wykorzystując narzędzia takie jak airodump-ng, atakujący szuka sieci Wi-Fi i analizuje ich zabezpieczenia. 2. **Pakiety Deauth:** Atakujący może wygenerować pakiety Deauth, które powodują rozłączenie urządzenia od sieci, co umożliwia przechwycenie 4-way handshake potrzebnego do złamania hasła. 3. **Przechwycenie 4-way handshake:** Poprzez przechwycenie komunikacji między urządzeniem a punktem dostępowym, atakujący uzyskuje informacje potrzebne do rozszyfrowania klucza sieci. **Złamanie hasła za pomocą Hashcat** Hashcat to narzędzie do łamania haseł, które wykorzystuje moc obliczeniową do testowania różnych kombinacji. Proces ten może być przeprowadzony nawet w chmurze obliczeniowej za pomocą usług takich jak [Vast.AI](https://vast.ai/?ref=innasiec.pl). Koszt wypozyczenia 2x Nvidia RTX4090 to 0,677USD/h. Czas potrzebny na złamanie 8-znakowego hasła? 27 sekund. **Wnioski** - Domyślne hasła do sieci Wi-Fi są podatne na ataki, zwłaszcza w przypadku słabych zabezpieczeń. - Zaleca się korzystanie z silnych haseł oraz rozważenie migracji do bardziej zaawansowanych standardów bezpieczeństwa, takich jak WPA3. - Regularna aktualizacja zabezpieczeń oraz świadomość najnowszych zagrożeń cybernetycznych są kluczowe dla utrzymania bezpiecznej sieci bezprzewodowej. Pamiętaj, aby dbać o bezpieczeństwo swojej sieci i stosować najlepsze praktyki w celu minimalizacji ryzyka ataków. ## Wdrażanie Cisco ThousandEyes w 6 krokach [Cisco Learning Network![](https://learningnetwork.cisco.com/s/sfsites/c/resource/peakLightning/images/favicon.ico)](https://learningnetwork.cisco.com/s/article/cisco-thousandeyes-quickstart-deployment?ref=innasiec.pl#reloaded) Wdrażanie Cisco ThousandEyes w 6 prostych krokach: Przewodnik dla Inżynierów Sieciowych Czy kiedykolwiek zastanawiałeś się, jak szybko i skutecznie wdrożyć narzędzie Cisco ThousandEyes? Poznaj 6 kluczowych kroków, które pomogą Ci w pełni wykorzystać potencjał tej platformy. 1. **Konfiguracja Konta** Rozpocznij swoją przygodę z Cisco ThousandEyes poprzez skonfigurowanie konta. Dla [nowych użytkowników dostępny jest 15-dniowy darmowy okres próbny](https://www.thousandeyes.com/signup/?ref=innasiec.pl), a posiadacze istniejących kont mogą po prostu [zalogować się](https://app.thousandeyes.com/?ref=innasiec.pl) przez przeglądarkę internetową. 1. **Ocena Twojej Sieci i Wydajności Bazowej** Przeprowadź szczegółową ocenę swojej infrastruktury, aby stworzyć benchmarki wydajności. Cisco ThousandEyes pomoże Ci zidentyfikować potencjalne wąskie gardła i obszary do optymalizacji w Twoich zasobach cyfrowych. 1. **Testowanie Usług Cyfrowych** Wykorzystaj Cisco ThousandEyes do monitorowania wydajności sieci i dostępności usług w różnych lokalizacjach globalnych. Narzędzie to pomaga w identyfikacji problemów z Internetem, potwierdzaniu polityk routingu oraz ocenie wydajności, zapewniając, że usługi są przesyłane poprzez właściwe ścieżki sieciowe. 1. **Tworzenie Alertów dla Proaktywnego Wykrywania Problemów** Dzięki Cisco ThousandEyes możesz zdefiniować poziomy usług dla kluczowych aplikacji SaaS i wewnętrznych niezbędnych dla operacji biznesowych. Porównując metryki przed i po, platforma pozwala podejmować decyzje dotyczące zasobów i wspiera współpracę między zespołami dla szybkiego rozwiązywania problemów. 1. **Usprawnianie Efektywności Operacji IT** Cisco ThousandEyes oferuje narzędzia do dostosowywania konfiguracji i poprawy wydajności w celu zoptymalizowania operacji IT. Platforma ta zapewnia spersonalizowane pulpity dla różnych ról w organizacji, umożliwiając współpracę poprzez wspólne zrozumienie danych monitorowania i wskazówek do rozwiązywania problemów. 1. **Automatyzacja i Integracja** Rozpocznij optymalizację doświadczeń cyfrowych poprzez integracje z Cisco ThousandEyes. Platforma ta wspiera integracje z narzędziami do automatyzacji oraz platformami takimi jak ServiceNow, Terraform, Slack czy Splunk, umożliwiając centralizację operacji, automatyzację zadań, generowanie alertów i raportów na podstawie telemetrii ThousandEyes. Podsumowując, **wdrożenie Cisco ThousandEyes może znacząco poprawić efektywność operacji IT oraz zapewnić lepszą kontrolę nad wydajnością sieci i usług cyfrowych**. Śledzenie wyżej wymienionych kroków pomoże Ci maksymalnie wykorzystać potencjał tej platformy. ## Trochę śmiechu ![](https://innasiec.pl/content/images/2024/07/network_enginner_cli.webp) ## Zrozum medium bezprzewodowe Autor przez ponad godzinę omawia podstawowe pojęcia związane z sieciami bezprzewodowymi, takie jak spektrum elektromagnetyczne, sygnał RF, częstotliwość i długość fali. ## Speedtest CLI, tylko lepiej [SpeedtestA customer called because they expect the Internet access in the DC to reach 10 Gbps, but a speedtest only shows 1 Gbps throughput. Once again, it’s a network issue. Or not?![](https://res.cloudinary.com/ifconfig/image/upload/v1603280118/favicon_1_ufqi7p.svg)ifconfig.it![](https://res.cloudinary.com/ifconfig/image/upload/v1583172355/avatar.png)](https://www.ifconfig.it/hugo/2024/03/speedtest/?ref=innasiec.pl) Autor dzieli się skryptem, który zmusza narzędzie speedtest-cli do uruchamiania wielu testów równolegle. Kilka linijek kodu i świetny efekt. _This post is for paying subscribers only._ ### TextFSM krok po kroku: Podstawy w pigułce URL: https://innasiec.pl/textfsm-krok-po-kroku-podstawy-w-pigulce/ Last updated: 2024-07-11T06:10:55.000Z Numer 139 newslettera skupia się na innowacjach w sieciach - alternatywach dla modelu TCP/IP, wprowadzeniu do TextFSM, środkach zapobiegawczych ICMP, resetowaniu laba z Ansible oraz podstawach automatyzacji sieciowej. Odkryj najnowsze trendy w dziedzinie sieciowania! _This post is for paying subscribers only._ ### Migracja z LDP do SR w Sieciach MPLS URL: https://innasiec.pl/migracja-z-ldp-do-sr-w-sieciach-mpls/ Last updated: 2024-07-10T20:39:56.000Z Numer 138 naszego newslettera poświęcony będzie najlepszym narzędziom do odkrywania sieci w 2024 roku, migracji z LDP do SR w sieciach MPLS, wprowadzeniu certyfikacji CCDE AI przez Cisco, darmowemu hypervisorowi od VMware oraz bezpieczeństwu sieci IPv6. Odkryj najnowsze trendy i rozwiązania! _This post is for paying subscribers only._ ### Source of Truth za darmo, w chmurze URL: https://innasiec.pl/source-of-truth-za-darmo-w-chmurze/ Last updated: 2024-07-10T20:31:30.000Z Numer 137 newslettera poświęcony będzie Cisco Enterprise Network Assurance, zdobywaniu 26 punktów CE, darmowym źródle prawdy w chmurze, konfiguracji EVPN Fabric oraz poprawie szybkości i jakości pisania kodu. Nie przegap tych tematów! _This post is for paying subscribers only._ ### Polecane wtyczki do VSCode URL: https://innasiec.pl/polecane-wtyczki-do-vscode/ Last updated: 2024-07-22T07:01:12.000Z Czy chcesz usprawnić swoją pracę związaną z automatyzacją sieci? Poznaj niezbędne rozszerzenia do Visual Studio Code, które mogą znacznie zwiększyć Twoją wydajność. Dzięki nim będziesz mógł efektywniej zarządzać swoim kodem oraz automatyzować różne zadania. Wprowadzenie odpowiednich narzędzi pozwoli Ci zaoszczędzić czas i skupić się na bardziej kreatywnych aspektach pracy. Zainstaluj rozszerzenia, które najlepiej odpowiadają Twoim potrzebom i zwiększ swoją efektywność w codziennych zadaniach. ## Ansible [Ansible - Visual Studio MarketplaceExtension for Visual Studio Code - Ansible language support![](https://marketplace.visualstudio.com/favicon.ico)Visual Studio Marketplace![](https://redhat.gallerycdn.vsassets.io/extensions/redhat/ansible/24.9.2305692/1721315376672/Microsoft.VisualStudio.Services.Icons.Default)](https://marketplace.visualstudio.com/items?itemName=redhat.ansible&ref=innasiec.pl) Ansible for VSCode to rozszerzenie, które umożliwia integrację Ansible z edytorem Visual Studio Code. Ansible jest narzędziem do automatyzacji konfiguracji, zarządzania systemami i wdrażania aplikacji. Rozszerzenie to oferuje funkcje, które ułatwiają pracę z plikami YAML, w tym: - **Podświetlanie składni**: Ułatwia czytanie i edytowanie plików z konfiguracjami Ansible. - **Autouzupełnianie**: Pomaga w szybszym pisaniu kodu, sugerując dostępne moduły i polecenia Ansible. - **Linting**: Wykrywa błędy w kodzie i sugeruje poprawki, co zwiększa jakość skryptów. - **Integracja z terminalem**: Umożliwia uruchamianie poleceń Ansible bezpośrednio z poziomu edytora. ## TextFSM Template Syntax [TextFSM Template Syntax - Visual Studio MarketplaceExtension for Visual Studio Code - Syntax highlighting for TextFSM templates![](https://marketplace.visualstudio.com/favicon.ico)Visual Studio Marketplace![](https://andytruett.gallerycdn.vsassets.io/extensions/andytruett/textfsm-syntax/1.1.0/1613423652994/Microsoft.VisualStudio.Services.Icons.Default)](https://marketplace.visualstudio.com/items?itemName=andytruett.TextFSM-Syntax&ref=innasiec.pl) **TextFSM to język szablonów używany głównie do analizowania danych tekstowych**, często w kontekście automatyzacji sieci. Umożliwia on definiowanie szablonów, które mogą wyodrębniać ustrukturyzowane informacje z nieustrukturyzowanego tekstu. Podczas pracy z TextFSM w Visual Studio Code (VSCode) można używać określonej składni do tworzenia szablonów. ## Pylance [Pylance - Visual Studio MarketplaceExtension for Visual Studio Code - A performant, feature-rich language server for Python in VS Code![](https://marketplace.visualstudio.com/favicon.ico)Visual Studio Marketplace![](https://ms-python.gallerycdn.vsassets.io/extensions/ms-python/vscode-pylance/2024.7.100/1721081506776/Microsoft.VisualStudio.Services.Icons.Default)](https://marketplace.visualstudio.com/items?itemName=ms-python.vscode-pylance&ref=innasiec.pl) Pylance to rozszerzenie do Visual Studio Code, które zapewnia zaawansowane wsparcie dla programowania w języku Python. **Oferuje funkcje takie jak:** - **IntelliSense**: podpowiedzi kodu oraz automatyczne uzupełnianie, co ułatwia pisanie kodu. - **Analiza statyczna**: wykrywanie błędów oraz ostrzeżeń w kodzie bez jego uruchamiania. - **Wysoka wydajność**: Pylance jest zoptymalizowane pod kątem szybkości działania, co sprawia, że działa płynnie nawet w dużych projektach. - **Obsługa typów**: umożliwia korzystanie z anotacji typów, co zwiększa czytelność i jakość kodu. _This post is for paying subscribers only._ ### Wprowadzenie do obserwowalności sieci URL: https://innasiec.pl/wprowadzenie-do-obserwowalnosci-sieci/ Last updated: 2024-07-10T20:27:13.000Z Numer 136 naszego newslettera skoncentruje się na kluczowych tematach dla sieciowców, takich jak książki do przeczytania, wprowadzenie do Obserwowalności sieci czy IPv6 Stockpiling. Będziemy także omawiać Potok CI/CD dla Containerlab oraz Open Networking. Bądź na bieżąco z najnowszymi trendami! _This post is for paying subscribers only._ ### Monitoring sieci w czasie rzeczywistym URL: https://innasiec.pl/monitoring-sieci-w-czasie-rzeczywistym/ Last updated: 2024-07-10T20:18:51.000Z Numer 135 newslettera poświęcony będzie tematom takim jak: działanie Starlink, Telegraf, InfluxDB, Grafana, Guest Wi-Fi, nowe standardy Wi-Fi oraz filtrowanie tras w OSPF. Poznaj najnowsze trendy i rozwiązania w dziedzinie technologii sieciowych! _This post is for paying subscribers only._ ### Sensacja w świecie DNS URL: https://innasiec.pl/sensacja-w-swiecie-dns/ Last updated: 2024-07-10T20:13:57.000Z Numer 134 naszego newslettera to pełen ekscytujących tematów! Przygotuj się na głębsze zanurzenie w optymalizacji RIPE Atlas i RIS, sensację w świecie DNS oraz kamień milowy w implementacji RPKI. Dodatkowo poznasz tajniki HTTP i odkryjesz kalkulator przepustowości TCP. Let's dive in! 🚀 _This post is for paying subscribers only._ ### Moje doświadczenia z egzaminem Cisco ENAUTO URL: https://innasiec.pl/egzamin-cisco-enauto/ Last updated: 2024-07-22T07:01:40.000Z ## Automating and Programming Cisco Enterprise Solutions Egzamin ENAUTO, znany również jako **300-435 ENAUTO**, jest zarówno częścią certyfikacji **Cisco Certified DevNet Professional** jak i **Cisco Certified Network Professional (CCNP)** Enterprise. **Egzamin ten koncentruje się na implementacji rozwiązań automatyzacji w przedsiębiorstwach**. W moim przypadku duża część zadań wymagała uzupełnienia kodu lub wskazania przyczyny, dlaczego dane rozwiązanie nie działa, jak należy. Celem egzaminu ENAUTO jest sprawdzenie wiedzy i umiejętności kandydatów w zakresie: - Podstawowych koncepcji programowania oraz programowania w języku Python, - Wykorzystania API do interakcji z siecią, w szczególności przy pomocy rozwiązań: - Cisco Catalyst Center Platform (DNA Center) - Cisco Catalyst SD-WAN - Cisco Meraki Dashboard - Implementacji rozwiązań automatyzacji sieci takich jak Ansible czy Netmiko. ## Przygotowanie do egzaminu Cisco ENAUTO Podobnie jak w przypadku [przygotowań do egzaminu Cisco ENCOR](https://innasiec.pl/zdalem-cisco-encor-350-401/ "przygotowań do egzaminu Cisco ENCOR"), podzieliłem naukę na trzy etapy. Pierwszy opierał się na [Enterprise Automation Study Plan ENAUTO](https://njrusmc.net/jobaid/enauto%5Fstudyplan.xlsx?ref=innasiec.pl), stworzonym przez Nicka Russo. Skoncentrowałem się na materiałach wideo dostępnych na platformie Pluralsight. Większość z nich zawierała załączone kody źródłowe skryptów, co ułatwiło analizę kodu w dalszej części. Dodatkowo korzystałem z kursu „[Git w Godzinę”](https://git.mikr.us/?ref=innasiec.pl) autorstwa Mateusza Kilińskiego oraz „[Automatyzacja Sieci w Python](https://showroute.pl/asp/?ref=innasiec.pl)” Piotra Wojciechowskiego. Cisco nie udostępnia Official Certification Guide dla ENAUTO, tak więc za segment materiałów do czytania odpowiadały materiały wskazane przez Nicka w Study Guide oraz dokumentacji API. Drugi etap obejmował **pisanie skryptów w języku Python** oraz **korzystanie z narzędzia Postman do interakcji z interfejsami API**. Platforma **Cisco DevNet** udostępnia wszystkie niezbędne rozwiązania do tego egzaminu w formie Always-on w trybie „read-only”. Jest to ogromny plus, ponieważ możemy całkowicie za darmo testować swoje skrypty, które w przeciwnym, wypadku wymagałyby sporych nakładów finansowych na postawienie własnego środowiska. Minusem jest brak możliwości wprowadzania zmian; możliwe jest to tylko w specjalnych środowiskach wymagających wcześniejszej rezerwacji. Trzeci etap to klasyczne ”wiem, czego nie wiem”. W tej części skupiłem się na moich najsłabszych obszarach, głównie na ponownym oglądaniu materiałów wideo oraz analizowaniu kodu dotyczącego operacji wprowadzania i zapisu danych poprzez interfejs API. ## Materiały do nauki W ramach przygotowań do egzaminu głównie korzystałem z „Study Plan”, który zawiera linki do wielu przydatnych materiałów, podzielonych tematycznie zgodnie z planem egzaminu. Poniżej znajdują się dodatkowe źródła, z których korzystałem. 1. [Git w Godzinę](https://wiedza.mrugalski.pl/git-w-godzine/?ref=innasiec.pl) 2. [Automatyzacja Sieci w Python](https://showroute.pl/asp/?ref=innasiec.pl) 3. [Podstawy Netmiko](https://pyneng.readthedocs.io/en/latest/book/18%5Fssh%5Ftelnet/netmiko.html?ref=innasiec.pl) 4. [Podstawy Ansible](https://docs.ansible.com/ansible/latest/collections/cisco/ios/ios%5Fconfig%5Fmodule.html?ref=innasiec.pl#examples) 5. [Day Zero Provisioning](https://developer.cisco.com/docs/ios-xe/?ref=innasiec.pl#!day-zero-provisioning-quick-start-guide/preboot-execution-environment-ipxe) 6. [Kolekcja przykładowych odpowiedzi z API Cisco Meraki](https://documenter.getpostman.com/view/897512/SVfRtnU7?version=latest&ref=innasiec.pl#7dd234de-9678-4362-8a14-66b4ac4cba49) 7. [Kolekcja skryptów RESTCONF](https://blog.wimwauters.com/networkprogrammability/2020-04-04%5Frestconf%5Fpython/?ref=innasiec.pl) 8. [Study Plan od Nicka Russo](https://njrusmc.net/jobaid/enauto%5Fstudyplan.xlsx?ref=innasiec.pl) 9. [Kolecja APi dla Postman od Nicka Russo](https://www.postman.com/njrusmc/workspace/public-collections/overview?ref=innasiec.pl) Dokumentacja: - [Meraki Dashboard API](https://developer.cisco.com/meraki/api-v1/?ref=innasiec.pl) - [Cisco DNA, teraz Cisco Catalyst Center Platform](https://developer.cisco.com/docs/dna-center/?ref=innasiec.pl) - [Cisco Catalyst SD-WAN](https://developer.cisco.com/sdwan/?ref=innasiec.pl) ## Wrażenia z egzaminu Wiele osób twierdzi, że egzaminy ze ścieżki DevNet są najtrudniejszymi, jakie zdawali. Mam nieco mieszane uczucia, aby zgodzić się z tym stwierdzeniem. Nie zrozum mnie źle, egzamin jest wymagający, ale z drugiej strony jest uczciwy i jeśli się naprawdę przyłożysz, zdasz przy pierwszym podejściu. Z drobnymi przerwami **przygotowywałem się do egzaminu od września 2023 roku, a intensywniej zacząłem od stycznia, kiedy starałem się codziennie poświęcać przynajmniej godzinę, półtorej na naukę.** Na samym egzaminie nie spotkałem żadnych zadań polegających na wybraniu najbardziej prawdopodobnej odpowiedzi spośród kilku poprawnych lub próbie złapania zdającego na jakimś kluczowym słowie, które zmieniałoby sens zadania. Zadania były jasno i precyzyjnie sformułowane, sprawdzając wiedzę, a nie umiejętność czytania między wierszami. Nie był to z pewnością najtrudniejszy egzamin, ale z całą pewnością był najlepszym, który zdawałem. ## Podsumowanie i wnioski Przystąpienie do kursu Cisco ENAUTO było dla mnie bardzo wartościowym doświadczeniem. Pozwoliło mi nie tylko poszerzyć moją wiedzę z zakresu automatyzacji sieci, ale także potwierdziło moje umiejętności praktyczne. **Daj znać w komentarzu, czy przygotowujesz się do certyfikatu ENAUTO lub innego z serii DevNet.** ### Rewolucja w bezpieczeństwie sieci URL: https://innasiec.pl/rewolucja-w-bezpieczenstwie-sieci/ Last updated: 2024-07-10T18:55:54.000Z Numer 133 naszego newslettera zaprasza do odkrywania wrażeń z egzaminu Cisco ENAUTO, rewolucji w bezpieczeństwie sieci, vSRX na mini-pc, wprowadzenia do EIGRP oraz myśli o 99% użytkowników. Poznaj najnowsze trendy i ciekawostki ze świata IT! _This post is for paying subscribers only._ ### Podstawy działania VXLAN URL: https://innasiec.pl/podstawy-dzialania-vxlan/ Last updated: 2024-07-10T18:51:13.000Z Numer 132 newslettera podniesie Twoją wiedzę o wysokiej dostępności klastra firewalli, zasadach działania VXLAN, mikroburstach w sieciach, Juniper Cloud Native Router i potrzebie antywirusa. Nie przegap! _This post is for paying subscribers only._ ### Dziesięć strategii zwiększania bezpieczeństwa w chmurze URL: https://innasiec.pl/dziesiec-strategii-zwiekszania-bezpieczenstwa-w-chmurze/ Last updated: 2024-07-10T18:45:44.000Z W najnowszym wydaniu (numer 131) newslettera odkryj, jak odnieść sukces jako inżynier-introwertyk, poznaj dziesięć strategii zwiększania bezpieczeństwa w chmurze, dowiedz się więcej o tunelowaniu ruchu do VPN przez Meraki MX, zaplanuj udział w PLNOG 32 i poznaj jeszcze jedno narzędzie do testów! 🚀… _This post is for paying subscribers only._ ### PLNOG 32 URL: https://innasiec.pl/plnog-32/ Last updated: 2024-06-18T20:51:37.000Z **Zapraszam serdecznie na trzydziestą drugą edycję konferencji PLNOG, która odbędzie się już 13-14 maja w krakowskim hotelu Galaxy**. Będzie to niezwykle interesujące wydarzenie, pełne merytorycznych prezentacji najlepszych specjalistów z branży IT i ICT, praktycznej wiedzy od inżynierów sieciowych, ciekawych rozmów biznesowych oraz możliwości wymiany doświadczeń z innymi profesjonalistami. Nie zabraknie również sesji Q&A. ## Kto wystąpi na scenie PLNOGa? Agenda konferencji zapowiada się bardzo obiecująco, pełna jest znanych i cenionych ekspertów z branży ICT. Tony Przygienda, Marek Natkaniec, Łukasz Bromirski, Tomasz Szewczyk – to tylko garstka osób, które będą gościć na konferencji. ## Trzy ścieżki tematyczne Organizatorzy przygotowali trzy fascynujące ścieżki tematyczne, z których każda skupia się na innym aspekcie branży telekomunikacyjnej: - **Operatorzy** – ta ścieżka dedykowana jest największym graczom na rynku. Będziesz mógł/a dowiedzieć się wielu informacji dotyczących światłowodów od Orange oraz zapoznać się z najnowszymi technologiami w branży. - **Regulacje i Organizacja** – panel skierowany do małych i dużych dostawców na rynku telekomunikacyjnym. Omówione zostaną kwestie związane z prawem, regulacjami oraz bezpieczeństwem sieci. - **Edukacja** – miejsce, gdzie można poszerzyć swoją wiedzę. Prelekcje będą prowadzone przez akademickich wykładowców, liderów biznesowych oraz studentów. ## Kod promocyjny dla czytelników Zachęcam do dołączenia do grona uczestników z korzystną zniżką! Wystarczy skorzystać z kodu promocyjnego, który daje 15% rabatu – podczas rejestracji wpisz hasło – **INNASIEC15**. Świat technologii szybko ewoluuje, dlatego warto już teraz zarejestrować się na PLNOG32 korzystając z zniżki dla naszych czytelników. 😉 Więcej informacji o [PLNOG32](https://plnog.pl/pl/?ref=innasiec.pl) znajdziesz na [Facebooku](https://www.facebook.com/PLNOG/), [LinkedIn](https://www.linkedin.com/showcase/plnog/?ref=innasiec.pl) i [Twitterze](https://twitter.com/PLNOG?ref=innasiec.pl). Aby poczuć atmosferę poprzedniej edycji, zapraszam do obejrzenia relacji na [YouTube](https://www.youtube.com/results?search%5Fquery=plnog+31&ref=innasiec.pl). Zapraszam do rejestracji – [https://eventory.cc/event/plnog-32/tickets](https://eventory.cc/event/plnog-32/tickets?ref=innasiec.pl) ### Segment Routing (SR): Co, jak i dlaczego? URL: https://innasiec.pl/segment-routing-sr-co-jak-i-dlaczego/ Last updated: 2024-07-10T18:40:53.000Z _This post is for paying subscribers only._ ### Jakiego narzędzia do konteneryzacji wybrać? URL: https://innasiec.pl/jakiego-narzedzia-do-konteneryzacji-wybrac/ Last updated: 2024-07-10T18:34:55.000Z W numerze 129 przeczytasz o wyborze licencji dla routerów ISR1100, porównaniu Docker vs. Podman, sukcesie zawodowym dla różnych grup wiekowych, programie Rev Up to Recert: Network Assurance oraz Event Driven Ansible z Cisco MDT. Znajdziesz tu przydatne informacje i ciekawe porównania! _This post is for paying subscribers only._ ### Czym są sieci HPN? URL: https://innasiec.pl/czym-sa-sieci-hpn/ Last updated: 2024-07-10T18:30:29.000Z Numer 128 zaprasza do odkrywania fascynujących tematów - od przesyłania pakietów IP za pomocą gołębi, przez sieci HPN, elektryczność przez IP, walidację konfiguracji NETCONF, aż po alternatywy dla DHCP Snooping. _This post is for paying subscribers only._ ### Co wybrać, LISP czy BGP EVP dla sieci SDN? URL: https://innasiec.pl/co-wybrac-lisp-czy-bgp-evp-dla-sieci-sdn/ Last updated: 2024-07-10T18:24:53.000Z 127 numer newslettera zaprasza do zgłębienia problemów z BFD i LAG, porównania LISP i BGP EVPN, poznania ciekawego podejścia do tablicy routingu w FRR, eksploracji generowania ruchu z Cisco Trex oraz odkrycia 100x szybszej alternatywy dla pip. Nie przegap tych fascynujących tematów! _This post is for paying subscribers only._ ### Co oznacza utrata 1% pakietów? URL: https://innasiec.pl/co-oznacza-utrata-1-pakietow/ Last updated: 2024-07-10T18:19:09.000Z Numer 126 newslettera skoncentruje się na przyszłości pracy sieciowców, wpływie utraty 1% pakietów, klasy E oraz zestawie ebooków o sieciach. Poznaj także infrastrukturę GenAI w Meta. _This post is for paying subscribers only._ ### Co się zmieniło w BGP w ciągu ostatnich 30 lat? URL: https://innasiec.pl/co-sie-zmienilo-w-bgp-w-ciagu-ostatnich-30-lat/ Last updated: 2024-07-11T07:17:19.000Z Pamiętaj, że jeśli e-mail wyświetla się tylko częściowo (szczególnie w Gmailu), trzeba kliknąć na "Pokaż całą wiadomość" na dole, żeby przeczytać wszystko. **W tym wydaniu:** - Nowości w Cisco Devnet Expert - BGP w 2023 - Czym jest Route Reflector? - Tekstowy interfejs dla Terraform - Podstawy tworzenie szablonów konfiguracji. ## Nowości w Cisco Devnet Expert [Cisco Learning Network![](https://learningnetwork.cisco.com/s/sfsites/c/resource/peakLightning/images/favicon.ico)](https://learningnetwork.cisco.com/s/blogs/a0D6e000015LnxMEAS/time-to-retool-the-devnet-expert-exam-just-got-a-makeover?ref=innasiec.pl) Od 20 sierpnia 2024 roku zacznie obowiązywać wersja 1.1 egzaminu Cisco DevNet Expert. Zmian nie jest wiele, ale jak zawsze diabeł tkwi w szczegółach. Schemat tego egzaminu składa się z dwóch części. Pierwsza jest standardowa i opisuje, jakie zagadnienia należy przewidzieć na egzaminie. Druga to lista narzędzi, z którymi warto się zapoznać. Gorąco polecam pobranie do tego celu [obrazu CWS](https://learningnetwork.cisco.com/s/article/devnet-expert-equipment-and-software-list?ref=innasiec.pl). Zagadnienia na egzaminie: **Software Design, Development, and Deployment** - Usunięto podpunkt 1.2 - Recommend a deployment strategy to mitigate risk and impact on service availability, for a given scenario - Dodano słówko kluczowe source of truth do punkt 1.2 (poprzednio 1.3) - Dodano punkt 1.5 - Diagnose application performance issues - such as asynchronous request processing, database delays, high memory and CPU utilization, microservice network delays, and asymmetric routing - using network and application tools as well as assurance data. **Infrastructure as Code** - Usunięto punkt 2.1 **\-** Create a scalable solution for infrastructure automation (considering areas such as network impact, risk, and tool selection) - Dodano specyfikację OpenAPI do wersji 2.1 dotyczącą tworzenia interfejsów API REST w języku Python. - Zaktualizowano punkt 2.3, aby objąć korzystanie z interfejsów API REST i GraphQL - Dodano konfigurowanie urządzeń sieciowych w oparciu o ource of truth do wersji 2.6 **Network Programmability and Automation** - Zaktualizowano 3.1, aby zautomatyzować interfejsy API Catalyst Center zamiast DNA Center. - Usunięto punkt 3.3 dotyczący wdrażania aplikacji przy użyciu powłoki gościa w IOS XE. - Zaktualizowano nazwę parsera w 3.3.b dla automatyzacji testów pyATS. Jeśli chodzi o oprogramowanie, jedyną różnicą między wersją v1.0 a v1.1 jest dodanie usług chmurowych Cisco AppDynamics i Cisco ThousandEyes w wersji v1.1\. Wszystkie maszyny wirtualne, oprogramowanie stacji roboczej i biblioteki Python są identyczne we wszystkich wersjach. ## Czym jest Route Reflector? Protokół Border Gateway Protocol (BGP) jest szeroko stosowany do wymiany informacji w sieciach internetowych. Jednakże, przy implementacji wewnątrz jednego AS (iBGP) pojawia się problem, wymóg pełnej łączności mesh pomiędzy wszystkimi routerami BGP w tym samym systemie autonomicznym. Liczbę połączeń można obliczyć ze wzoru: *n(n-1)/2* gdzie *n* to liczba routerów w sieci. Route Reflector (RR) jest mechanizmem używanym do rozwiązywania problemu pętli tras w topologiach BGP z wykorzystaniem systemu peeringowego typu pełne-mesh. RR to jeden lub więcej routerów w sieci BGP, które pełnią rolę punktów odbijających trasy bez konieczności tworzenia pełnego połączenia mesh pomiędzy wszystkimi routerami w systemie. Główne cechy działania to: 1. **Client i Non-Client**: Route Reflector może obsługiwać zarówno klientów (peery wewnętrznych) jak i non-clientów (peery zewnętrznych). 2. **Internal i External Peers:** Peery wewnętrzne otrzymują aktualizacje tras od Route Reflector, podczas gdy peery zewnętrzne otrzymują trasę przez Route Reflector, ale nie przekazują ich dalej. 3. **Cluster ID:** Każdy Route Reflector jest przypisany do określonego identyfikatora klastra (Cluster ID), który identyfikuje unikalną grupę Route Reflectors. Korzyści wynikające ze stosowania Route Reflectorów: - **Redukcja połączeń**: Eliminacja konieczności utrzymywania pełnej łączności mesh pomiędzy wszystkimi routerami. - **Skalowalność**: Poprawa wydajności sieci poprzez zredukowanie liczby niezbędnych połączeń. - **Efektywne zarządzanie prefiksami**: Route reflector umożliwia kontrolowane rozpowszechnianie informacji. ## Tekstowy interfejs dla Terraform [GitHub - idoavrah/terraform-tui: Terraform textual UITerraform textual UI. Contribute to idoavrah/terraform-tui development by creating an account on GitHub.![](https://github.githubassets.com/assets/pinned-octocat-093da3e6fa40.svg)GitHubidoavrah![](https://opengraph.githubassets.com/8836a55fb5df1edb42b3c976c2afccd190e0951a1a03bf76a51721026bd8a11f/idoavrah/terraform-tui)](https://github.com/idoavrah/terraform-tui?ref=innasiec.pl) TFTUI umożliwia użytkownikom szybkie sprawdzanie zasobów, aktualizowanie infrastruktury oraz monitorowanie zmian w konfiguracji za pomocą prostego i intuicyjnego interfejsu, co ułatwia i usprawnia zarządzanie infrastrukturą. ## Podstawy tworzenie szablonów konfiguracji [Network Configuration Templating with Ansible - Part 1 - Network to CodeNetwork Automation for Everyone![](https://networktocode.com/wp-content/uploads/2022/11/ntc-favicon-300x300-1-300x300.png)Network to Code![](https://networktocode.com/wp-content/uploads/2022/11/ntc-logo.png)](https://blog.networktocode.com/post/config-templating-ansible-p1/?ref=innasiec.pl) Z artykułu dowiesz się, od czego zacząć tworzenie szablonów konfiguracji. Choć autor skupia się na Ansible, uwagi są dość uniwersalne. _This post is for paying subscribers only._ ### Analiza ruchu sieciowego podczas Super Bowl URL: https://innasiec.pl/analiza-ruchu-sieciowego-podczas-super-bowl/ Last updated: 2024-07-10T18:14:22.000Z Numer 125 newslettera zawiera ciekawe tematy związane z egzaminem DevNet Expert, Traceroute, analizą ruchu sieciowego podczas Super Bowl, lokalizacją chmury oraz modelem danych dla generatorów ruchu. Odkryj najnowsze trendy i wskazówki dotyczące tych zagadnień! 🚀🔍 _This post is for paying subscribers only._ ### Dlaczego BFD jest lżejszy niż pakiety Hello? URL: https://innasiec.pl/dlaczego-bfd-jest-lzejszy-niz-pakiety-hello/ Last updated: 2024-07-10T18:08:04.000Z Numer 123 naszego newslettera przybliży Ci tajniki BFD oraz skuteczne sposoby na minimalizowanie ryzyka w protokole BGP. Poznasz również zagadnienia związane z fragmentaryzacją IP, projekty sieciowe open source i analizę pcap wspartą przez chatGPT. Ciekawe czytanie czeka! _This post is for paying subscribers only._ ### Pomiar kompletności konwersacji TCP URL: https://innasiec.pl/pomiar-kompletnosci-konwersacji-tcp/ Last updated: 2024-07-10T14:09:38.000Z W najnowszym numerze (122) naszego newslettera skupimy się na skutkach ubocznych BGP RPKI, pomiarze kompletności konwersacji TCP, polityce routingu BGP Valley-Free, wrapperze RESTCONF dla Catalyst 9800 oraz sprawdzaniu adresów MAC z API. Zostań z nami! 🚀📰 _This post is for paying subscribers only._ ### 6 sposobów na labowanie od Cisco URL: https://innasiec.pl/6-sposobow-na-labowanie-od-cisco-2/ Last updated: 2024-07-23T11:38:54.000Z Cisco rozumie wagę edukacji i przykłada do niej sporo uwagi. Przez lata wypracowali na rynku pozycję najlepszej dostępnej certyfikacji i nie zamierzają tej sytuacji zmieniać. Wystarczy spojrzeć na oferty pracy, w większości przypadków oczekiwany poziom wiedzy jest wyznaczany przez poziomy certyfikacji Cisco: CCNA, CCNP lub CCIE. ## Packet Tracer [Cisco Packet Tracer - Networking Simulation ToolEnroll, download, and get started learning valuable tips and best practices for using the latest version of Packet Tracer with our brief introductory course.![](https://www.netacad.com/sites/all/themes/custom/prelogin/favicon.ico)Networking Academy![](https://www.netacad.com/sites/default/files/sfa-image.png)](https://www.netacad.com/courses/packet-tracer?ref=innasiec.pl) Cisco również zdaje sobie sprawę, że edukacja to nie tylko sucha wiedza. Dla inżyniera równie ważna co teoria jest praktyka. Dlatego od lat rozwijają i udostępniają za darmo [symulator sieci Packet Tracer](https://www.netacad.com/courses/packet-tracer?ref=innasiec.pl), który maksymalnie upraszcza wejście w świat sieci komputerowych. Dla wielu początkujących użytkowników graficzna prezentacja trasy pakietów jest ogromnym atutem. Dzięki temu, że Packet Tracer to symulator z okrojoną funkcjonalnością, można go uruchomić nawet na kalkulatorze. ## Cisco Modeling Lab (CML) [Cisco Modeling LabsCisco Modeling Labs is a scalable and extensible software platform for designing, simulating, and testing network models.![](https://www.cisco.com/favicon.ico)Cisco![](https://www.cisco.com/c/dam/assets/swa/img/1600/cml-marquee-1600x320.jpg)](https://www.cisco.com/c/en/us/products/cloud-systems-management/modeling-labs/index.html?ref=innasiec.pl) Dla tych, dla których możliwości Packet Tracer są niewystarczające, Cisco oferuje [Cisco Modeling Lab](https://www.cisco.com/c/en/us/products/cloud-systems-management/modeling-labs/index.html?ref=innasiec.pl), w skrócie CML. To rozbudowany emulator, którego ogromną zaletą jest fakt, że wraz z aplikacją otrzymujemy dostęp do prawdziwych obrazów systemów Cisco IOS, IOS XE czy IOS XR, które normalnie nie są dostępne. Oczywiście dotyczy to osób bez fizycznego sprzętu lub wykupionych licencji. ## Platforma DevNet [Sandbox - Cisco DevNetSandbox - Cisco DevNet enable software developers and network engineers to build more secure, better-performing software and IT infrastructure with APIs, SDKs, tools, and resources.![](https://static.production.devnetcloud.com/images/favicon.ico)Cisco DevNet![](https://static.production.devnetcloud.com/images/cisco-devnet.jpg)](https://developer.cisco.com/site/sandbox/?ref=innasiec.pl) [Learning Labs Center - Cisco DevNetLearning Labs Tutorials in articles, videos, even with preset development environment with integrated sandboxs to play with. Make it easier to learn by doing.![](https://static.production.devnetcloud.com/images/favicon.ico)Cisco DevNet Learning Labs Center![](https://static.production.devnetcloud.com/images/learningcenter.png)](https://developer.cisco.com/learning/?ref=innasiec.pl) W ramach platformy DevNet, która skupia entuzjastów automatyzacji wokół rozwiązań Cisco, dostępne są specjalnie przygotowane laboratoria, pozwalające przećwiczyć wykorzystanie wielu technologii. Automatyzację zawsze warto najpierw przetestować w bezpiecznym środowisku, na urządzeniach nieprodukcyjnych. Jednak nie każdy może sobie pozwolić na zakup i utrzymanie sprzętu do tego celu. Dlatego Cisco oferuje specjalne środowiska, które są dostępne 24/7 dla wszystkich, za darmo. ## Platforma dCloud [Cisco dCloud![](https://dcloud.cisco.com/favicon.ico)](https://dcloud.cisco.com/?ref=innasiec.pl) Dla tych, którzy chcą przetestować konkretne rozwiązanie lub scenariusz (np. migrację z MPLS do SR), powinni zainteresować się platformą dCloud, oferującą w pełni oskryptowane i przygotowane scenariusze. ## Cisco U [Cisco U.![](https://u.cisco.com/favicon.ico)](https://u.cisco.com/?ref=innasiec.pl) Ostatnim sposobem na eksperymentowanie z Cisco jest skorzystanie z ich nowej [platformy edukacyjnej Cisco U](https://u.cisco.com/?ref=innasiec.pl). Oprócz horrendalnie drogiego abonamentu, istnieje również opcja skorzystania z labów za darmo w ramach szkolenia Rev Up to Recert. ### OSPF kontra BGP dla sieci VXLAN URL: https://innasiec.pl/ospf-kontra-bgp-dla-sieci-vxlan/ Last updated: 2024-07-10T13:31:52.000Z W najnowszym wydaniu newslettera #121 odkryjesz tajniki dodawania znacznika czasu w CLI, wybierania protokołu podkładowego w sieci VXLAN, porównania Terraforma i Ansible'a oraz przewodnik po segmentacji IPv6. Przenieś swoją topologię z CML do Terraforma! 💡🔍🚀 _This post is for paying subscribers only._ ### Jak wyglądałoby SSH, gdyby powstało w 2023? URL: https://innasiec.pl/jak-wygladaloby-ssh-gdyby-powstalo-w-2023/ Last updated: 2024-07-10T13:14:48.000Z 120 numer newslettera to prawdziwa uczta dla fanów technologii! Przygotuj się na pogłębienie wiedzy o podziale na podsieci IPv6, nowych możliwościach SSH, walkę OpenTofu vs Terraform, ciekawą rozmowę z GPT na temat licencji oraz nowy projekt NOC. Nie przegap tego! _This post is for paying subscribers only._ ### Ansible, Netbox i Cisco Catalyst Center URL: https://innasiec.pl/ansible-netbox-i-cisco-catalyst-center/ Last updated: 2024-07-10T12:53:27.000Z Numer 119 newslettera to uczta dla miłośników sieci. Dowiedz się wszystkiego o nowej specjalizacji od Cisco, integracji Ansible z Netboxem i Cisco Catalyst Center, porównaniu SNMP z telemetrią oraz wykorzystaniu kolekcji API. Czeka też na Ciebie temat Asystenta Cisco IOS XE! _This post is for paying subscribers only._ ### Język Yang: Hierarchiczne struktury danych w sieciach URL: https://innasiec.pl/jezyk-yang-hierarchiczne-struktury-danych-w-sieciach/ Last updated: 2024-07-10T12:36:32.000Z Numer 118 newslettera skupia się na rosnącej aktywności botnetów, fragmentacji pakietów w IPv6, budowaniu lab z SRv6, certyfikacji z API oraz hierarchicznych strukturach danych w sieciach. Sprawdź najnowsze trendy i technologie w dziedzinie sieci komputerowych! _This post is for paying subscribers only._ ### HPE kupuje Juniper Networks URL: https://innasiec.pl/hpe-kupuje-juniper-networks/ Last updated: 2024-07-10T12:32:31.000Z 117 numer newslettera przynosi gorące tematy: Trzy języki sieciowca, przejęcie Juniper Networks przez HPE, premiera Wi-Fi 7, nowa aplikacja łącząca traceroute i ping oraz automatyzacja sieci z Ansible. Zanurz się w świat najnowszych trendów sieciowych! _This post is for paying subscribers only._ ### Mierzenie opóźnień z wykorzystaniem TCP URL: https://innasiec.pl/mierzenie-opoznien-z-wykorzystaniem-tcp/ Last updated: 2024-07-25T14:57:59.000Z Odkryj, dlaczego tradycyjny PING może zniekształcać pomiary opóźnień i jak monitorowanie połączeń TCP dostarcza dokładniejszych danych! Dowiedz się, jak metody takie jak 3-way handshake i RTT do ACK mogą poprawić wydajność sieci i doświadczenia użytkowników. _This post is for paying subscribers only._ ### Mierz opóźnienia z pomocą TCP URL: https://innasiec.pl/mierz-opoznienia-z-pomoca-tcp/ Last updated: 2024-07-10T10:31:43.000Z Numer 116 naszego newslettera skoncentruje się na tematach takich jak VRF bez Route Target, pomiar opóźnień za pomocą TCP, sztuczki do BGP oraz podstawy projektowania systemów. Sprawdź także, jak skorzystać z darmowego DynDNS! _This post is for paying subscribers only._ ### Wytyczne dla dostawców usług internetowych URL: https://innasiec.pl/wytyczne-dla-dostawcow-uslug-internetowych/ Last updated: 2024-07-10T10:33:20.000Z Numer 115 naszego newslettera prezentuje poradniki dotyczące bezpieczeństwa IT. Dowiedz się, dlaczego warto zrezygnować z WAF, jakie są wytyczne dla dostawców usług internetowych oraz dlaczego SASE jest niezbędne. Odkryj także wskazówki dotyczące kryptografii i jak zacząć przygodę z Terraformem! 🚀… _This post is for paying subscribers only._ ### Jak zostać inżynierem chmury w 2024? URL: https://innasiec.pl/jak-zostac-inzynierem-chmury-w-2024/ Last updated: 2024-07-10T10:33:50.000Z Numer 114 to prawdziwa gratka dla entuzjastów sieci! Dowiedz się, jak stać się inżynierem chmury, optymalizować routingu BGP, automatyzować sieci z Ansible oraz testować prędkość w sieci LAN. To wszystko podsumowane pod kątem Internetu w 2023 roku. Nie przegap tego! 🚀🌐 _This post is for paying subscribers only._ ### Odnów certyfikat Cisco za darmo URL: https://innasiec.pl/odnow-certyfikat-cisco-za-darmo-2/ Last updated: 2024-07-10T10:34:31.000Z 113 numer newslettera to pełen informacji o Egzaminie CCNP SISE 300-715, darmowym odnawianiu certyfikatów Cisco, korzyściach bgp, działaniu DHCP Relay w IPv6 oraz strategiach rekrutacji sieciowców. Nie przegap tej porcji wiedzy! _This post is for paying subscribers only._ ### Do czego przydaje się GTSM? URL: https://innasiec.pl/do-czego-przydaje-sie-gtsm/ Last updated: 2024-07-10T10:34:49.000Z Numer 112 naszego newslettera przybliży Ci tematykę walidacji danych ze schematem, szablonów jinja2, ciepła w sieciach bezprzewodowych, testowych topologii SRv6 oraz Containerlabs w potoku CI/CD. Odkryj nowe możliwości i rozwiązania w tematach IT! _This post is for paying subscribers only._ ### Ansible czy Python? 🤔 URL: https://innasiec.pl/ansible-czy-python/ Last updated: 2024-07-10T06:37:30.000Z _This post is for paying subscribers only._ ### 6 sposobów na labowanie od Cisco URL: https://innasiec.pl/6-sposobow-na-labowanie-od-cisco/ Last updated: 2024-07-10T06:32:31.000Z _This post is for paying subscribers only._ ### Ile urządzeń na świecie ma otwarty port 179? URL: https://innasiec.pl/ile-urzadzen-na-swiecie-ma-otwarty-port-179/ Last updated: 2024-07-09T20:41:14.000Z _This post is for paying subscribers only._ ### Umiejętności niezbędne inżynierom automatyzacji sieci URL: https://innasiec.pl/umiejetnosci-niezbedne-inzynierom-automatyzacji-sieci/ Last updated: 2024-07-09T20:38:09.000Z _This post is for paying subscribers only._ ### Rozwiązanie problemu bin-packingu w MPLS TE URL: https://innasiec.pl/rozwiazanie-problemu-bin-packingu-w-mpls-te/ Last updated: 2024-07-09T20:33:00.000Z _This post is for paying subscribers only._ ### Nawiązanie sesji BGP z nieznanego źródła? URL: https://innasiec.pl/nawiazanie-sesji-bgp-z-nieznanego-zrodla/ Last updated: 2024-07-09T20:28:11.000Z _This post is for paying subscribers only._ ### Generowanie ACL z BGP Flowspec na IOS XR URL: https://innasiec.pl/generowanie-acl-z-bgp-flowspec-na-ios-xr/ Last updated: 2024-07-09T20:21:44.000Z _This post is for paying subscribers only._ ### Wskazówki i sztuczki w pracy z Ansible URL: https://innasiec.pl/wskazowki-i-sztuczki-w-pracy-z-ansible/ Last updated: 2024-07-09T20:15:48.000Z _This post is for paying subscribers only._ ### Projektowanie dostępności sieci WAN URL: https://innasiec.pl/projektowanie-dostepnosci-sieci-wan/ Last updated: 2024-07-09T20:11:42.000Z _This post is for paying subscribers only._ ### W jakim kierunku będzie rozwijać się branża? URL: https://innasiec.pl/w-jakim-kierunku-bedzie-rozwijac-sie-branza/ Last updated: 2024-07-09T20:17:33.000Z _This post is for paying subscribers only._ ### 100 wydań wskazówek, informacji i inspiracji URL: https://innasiec.pl/100-wydan-wskazowek-informacji-i-inspiracji/ Last updated: 2024-07-09T20:03:58.000Z _This post is for paying subscribers only._ ### Zwiększ bezpieczeństwo konfiguracji SSH URL: https://innasiec.pl/zwieksz-bezpieczenstwo-konfiguracji-ssh/ Last updated: 2024-07-09T20:00:43.000Z _This post is for paying subscribers only._ ### Jak testować zmiany przed ich wprowadzeniem? URL: https://innasiec.pl/jak-testowac-zmiany-przed-ich-wprowadzeniem/ Last updated: 2024-07-09T19:50:35.000Z _This post is for paying subscribers only._ ### Kiedy milisekunda to za długo URL: https://innasiec.pl/kiedy-milisekunda-to-za-dlugo/ Last updated: 2024-07-09T19:46:14.000Z _This post is for paying subscribers only._ ### Optymalizacja i skalowanie OSPF URL: https://innasiec.pl/optymalizacja-i-skalowanie-ospf/ Last updated: 2024-07-09T18:34:10.000Z _This post is for paying subscribers only._ ### Wyzwania w sieciach L2 URL: https://innasiec.pl/wyzwania-w-sieciach-l2/ Last updated: 2024-07-09T18:30:22.000Z _This post is for paying subscribers only._ ### Inżyniera ruchu BGP w Data Center URL: https://innasiec.pl/inzyniera-ruchu-bgp-w-data-center/ Last updated: 2024-07-09T18:26:30.000Z _This post is for paying subscribers only._ ### Raz, dwa, trzy... za certyfikat nie płacisz Ty URL: https://innasiec.pl/raz-dwa-trzy-za-certyfikat-nie-placisz-ty/ Last updated: 2024-07-09T18:23:11.000Z Numer 93 naszego newslettera będzie pełen cennych informacji! Dowiedz się więcej o chmurze hybrydowej i multicloud, odnów certyfikaty Cisco za darmo, poznaj różne rodzaje firewalli, odkryj IOS-XR w kontenerze i zanurz się w poziomie sygnału optycznego na ONT. Nie przegap tego wydania! _This post is for paying subscribers only._ ### Jak zoptymalizować pracę z Ansible? URL: https://innasiec.pl/jak-zoptymalizowac-prace-z-ansible/ Last updated: 2024-07-09T18:12:49.000Z Numer 92 naszego newslettera to prawdziwa gratka dla pasjonatów sieci! Poznaj tajemnice Ansible Lightspeed, synchronizację czasu w Cisco, znaczenie API dla sieciowców oraz wiele więcej! Czekaj na niespodzianki! 🚀🔥 _This post is for paying subscribers only._ ### 10 książek o sieciach, które warto przeczytać w 2023 URL: https://innasiec.pl/10-ksiazek-o-sieciach-ktore-warto-przeczytac-w-2023/ Last updated: 2024-07-09T18:07:50.000Z Numer 91 newslettera skupia się na wyzwaniach związanych z sieciami, w tym radzeniu sobie z nieuczciwymi punktami dostępowymi, różnych rodzajach rekordów DNS oraz optymalizacji Wi-Fi. Dodatkowo poznasz listę 10 książek o sieciach warte przeczytania oraz możliwości analizy sieci na Raspberry Pi 4. _This post is for paying subscribers only._ ### Urochom EVE-NG na platformie Azure w 10 minut URL: https://innasiec.pl/urochom-eve-ng-na-platformie-azure-w-10-minut/ Last updated: 2024-07-09T18:02:50.000Z Numer 90 newslettera poświęcony będzie zrozumieniu modelu OSI, zdobywaniu punktów CE, paradygmatom sieci komputerowych, uruchamianiu EVE-NG na Azure w 10 minut oraz repozytorium bibliotek języka Python. Odkryj fascynujący świat informatyki! _This post is for paying subscribers only._ ### Co musisz wiedzieć, aby dostać pracę sieciowca? URL: https://innasiec.pl/co-musisz-wiedziec-aby-dostac-prace-sieciowca/ Last updated: 2024-07-09T12:49:17.000Z 89 numer newslettera skoncentruje się na nowym schemacie numeracji wydań Cisco ACI, zwirtualizowanych funkcjach sieciowych, podstawach wykrywania ataków, kluczowych informacjach dla przyszłych sieciowców oraz ściądze z GIT-a. Bądź na bieżąco z najnowszymi trendami! _This post is for paying subscribers only._ ### Jak się bronić przed atakami na DNS? URL: https://innasiec.pl/jak-sie-bronic-przed-atakami-na-dns/ Last updated: 2024-07-09T12:31:18.000Z 88 numer newslettera będzie pełen fascynujących tematów! Dowiedz się o atakach BGP Route Leaks, strategiach obrony przed atakami DNS, roli Source of Truth, inżynierii ruchu w MPLS i szybkim wprowadzeniu do MPLS TE. Zostań ekspertem w tych dziedzinach! _This post is for paying subscribers only._ ### Optymalizacja protokołu EIGRP URL: https://innasiec.pl/optymalizacja-protokolu-eigrp/ Last updated: 2024-07-09T12:25:34.000Z 87 numer newslettera to prawdziwa uczta dla miłośników sieci Cisco! Przygotuj się na wskazówki egzaminacyjne, przypadek projektowania sieci oraz optymalizację protokołu EIGRP. Dowiedz się, jak rozwiązywać problemy z Cisco ACI i IPsec VPN. Odkryj najnowsze trendy i porady! _This post is for paying subscribers only._ ### Skąd się biorą opóźnienia w sieci? URL: https://innasiec.pl/skad-sie-biora-opoznienia-w-sieci/ Last updated: 2024-07-09T11:52:57.000Z 86 numer newslettera skupia się na optymalizacji sieciowej: czy warto stosować LACP fast timer, jak rozwiązywać problemy z Telnetem, sposoby sprawdzenia działających usług na portach, automatyzacja ACL z Aerleon i Pandas oraz przyczyny opóźnień w sieci. Odkryj najnowsze trendy! _This post is for paying subscribers only._ ### Rodzaje sieci w Dockerze URL: https://innasiec.pl/rodzaje-sieci-w-dockerze/ Last updated: 2024-07-09T11:47:13.000Z 85 numer newslettera będzie skupiał się na rodzajach sieci w Dockerze, przechwytywaniu pakietów w Windows, drodze do Certified Wireless Network Administrator, konfiguracji area range dla OSPF na Junos oraz skalowaniu OSPF z Cisco DMVPN. _This post is for paying subscribers only._ ### Jak pisać dobre komunikaty Git commit? URL: https://innasiec.pl/jak-pisac-dobre-komunikaty-git-commit/ Last updated: 2024-07-24T20:27:03.000Z Odkryj sekrety skutecznych wiadomości commit w Git! Dowiedz się, jak pisać jasne, zwięzłe komentarze, które pomogą Twojemu zespołowi śledzić zmiany i zarządzać projektami jak profesjonalista. Nie przegap tych ważnych wskazówek, które mogą odmienić Twoje podejście do pracy! _This post is for paying subscribers only._ ### Protokoły sieciowe - mapa myśli URL: https://innasiec.pl/protokoly-sieciowe-mapa-mysli/ Last updated: 2024-07-21T16:31:33.000Z W tej mapie myśli znajdziesz przegląd najważniejszych protokołów sieciowych, ich zastosowania oraz funkcje. _This post is for subscribers only._ ### Różnica między DevOps a DevSecOps URL: https://innasiec.pl/roznica-miedzy-devops-a-devsecops/ Last updated: 2024-07-09T11:28:45.000Z 84 numer newslettera będzie o najnowszych technologiach w sieciach komputerowych. Dowiedz się, czym jest Application Aware Routing i poznaj różnicę między DevOps a DevSecOps. Odkryj, jak Nokia SR wykorzystuje Telemetry Lab oraz jak zoptymalizować zużycie energii w routerach Cisco U! _This post is for paying subscribers only._ ### 4 sposoby na migrację VM pomiędzy chmurami URL: https://innasiec.pl/4-sposoby-na-migracje-vm-pomiedzy-chmurami/ Last updated: 2024-07-09T10:41:31.000Z 83 numer newslettera przybliży Ci tematykę automatyzacji testów na Cisco ASA, migracji VM między chmurami, wszechstronności Aruby, narzędzia nmap oraz darmowego obrazu systemu Junos. Bądź na bieżąco z najnowszymi trendami IT! _This post is for paying subscribers only._ ### Pakistan wyłącza internet mobilny URL: https://innasiec.pl/pakistan-wylacza-internet-mobilny/ Last updated: 2024-07-09T10:37:51.000Z 82 numer newslettera zawiera informacje na temat wygasłych certyfikatów Cisco SD-WAN, certyfikatów z Pythona, wyłączenia internetu mobilnego w Pakistanie, darmowych kursów od Cisco oraz ciekawego podejścia do zapisu adresacji IPv4. Odkryj najnowsze trendy i aktualności z branży ICT! 🚀📡 _This post is for paying subscribers only._ ### Konfiguracja OSPF za pomocą Ansible URL: https://innasiec.pl/konfiguracja-ospf-za-pomoca-ansible/ Last updated: 2024-07-09T10:20:19.000Z 81 numer newslettera skupi się na ścieżce rozwoju w obszarze sieci komputerowych, obejmującej Azure DevOps, segmentację sieci, certyfikację Cisco ENARSI, konfigurację OSPF i aktualizację Catalyst 9000 przy użyciu Ansible. Odkryj kluczowe kroki w poszerzaniu swojej wiedzy i umiejętności sieciowych! _This post is for paying subscribers only._ ### Dlaczego OSPF (i BGP) jest bardziej złożony niż STP? URL: https://innasiec.pl/dlaczego-ospf-i-bgp-jest-bardziej-zlozony-niz-stp/ Last updated: 2024-07-09T09:30:56.000Z 80 numer newslettera poświęcony będzie zagadnieniom IPv6, złożoności protokołów OSPF i BGP w porównaniu do STP, różnicy między RIB i FIB, zastosowaniu API na przykładach oraz bibliotekom Pythona do automatyzacji sieci. Zanurz się w świat sieci i automatyzacji! _This post is for paying subscribers only._ ### System do tworzenia kopii zapasowej K8S URL: https://innasiec.pl/system-do-tworzenia-kopii-zapasowej-k8s/ Last updated: 2024-07-09T09:26:57.000Z 79 numer newslettera będzie poświęcony sieciom komputerowym, certyfikacji Cisco Certified Network Specialist Enterprise Core, tworzeniu kopii zapasowych dla K8S, konferencji PLNOG 31 oraz darmowym e-bookom od Cisco. Dowiedz się więcej o tych tematach! 🚀🔥 _This post is for paying subscribers only._ ### PLNOG 31 - Back to the roots URL: https://innasiec.pl/plnog-31-back-to-the-roots/ Last updated: 2024-06-18T20:54:55.000Z Już **15-16 maja w krakowskim hotelu Galaxy** odbędzie się trzydziesta pierwsza edycja konferencji PLNOG. Zapraszamy do udziału w wydarzeniu, podczas którego nie zabraknie merytorycznych wykładów najlepszych specjalistów z branży IT oraz ICT, praktycznej dawki wiedzy z życia inżyniera sieciowego, biznesowych rozmów i wymiany doświadczeń z kolegami po fachu, a także sesji Q&A. ## Back to the roots Konferencja zapowiada się super ciekawie, a lista prelegentów zawiera same gwiazdy z branży ICT. Słychać, że będą m.in. Łukasz Bromirski, Michał Furmankiewicz, Adam Haertle i Tony Przygienda. Na konferencji będą trzy ścieżki tematyczne, każda poświęcona innej dziedzinie związanej z telco: - **Operatorzy** – będzie mowa o nowych technologiach i o tym, co ciekawego robi Orange ze światłowodami. - **Dostawcy** – na panelu poruszą się tematy prawne, regulacyjne i związane z bezpieczeństwem sieci. - **Edukacja i Biznes** – to miejsce, gdzie można poszerzyć swoją wiedzę. Prelekcje poprowadzą wykładowcy akademiccy, liderzy biznesowi i studenci. W tym roku konferencja nosi hasło „**Back To The Roots**„, czyli powrót do tego, co znane i lubiane. Będą tam też eksperci z małych i średnich firm, więc naprawdę warto się pojawić. Cała agendka znajduje się na stronie [PLNOG](https://plnog.pl/pl/plnog-31/?ref=innasiec.pl)[\-a.](https://plnog.pl/pl/plnog-31/?ref=innasiec.pl). Specjalnie dla naszych czytelników organizator przygotował **kod promocyjny, który uprawnia do 15% zniżki** – wystarczy podczas rejestracji podać hasło – INNASIEC15\. Rejestracja dostępna [tutaj](https://eventory.cc/event/plnog-31/tickets?ref=innasiec.pl). Więcej informacji o [PLNOG31](https://plnog.pl/pl/plnog-31/?ref=innasiec.pl) można znaleźć na [Facebooku](https://www.facebook.com/PLNOG/?fref=ts), [LinkedIn](https://www.linkedin.com/showcase/plnog/?ref=innasiec.pl) i [Twitterze](https://twitter.com/PLNOG?ref=innasiec.pl), a żeby przekonać się, jak wyglądała poprzednia edycja, wystarczy zajrzeć na [Youtube](https://youtube.com/playlist?list=PLnKL6-WWWE%5FXLhkcCwCcEYpnqAIumqFVE&ref=innasiec.pl). ### Ochrona prywatności w IPv6 URL: https://innasiec.pl/ochrona-prywatnosci-w-ipv6/ Last updated: 2024-07-09T09:22:23.000Z 78 numer newslettera skupi się na ochronie prywatności w IPv6, atakach phishingowych, certyfikacji Cisco DevNet Specialist - Core, nauce z MS Azure oraz testach prędkości internetu. Sprawdź, co nowego w świecie technologii!🔥 _This post is for paying subscribers only._ ### Narzędziownik sieciowca URL: https://innasiec.pl/narzedziownik-sieciowca/ Last updated: 2025-03-03T10:30:17.000Z Narzędziownik sieciowca to lista ponad 100 aplikacji dla specjalistów z dziedziny sieci. Ponieważ jest to sporo, lista jest dostępna na platformie Notion, gdzie masz możliwość jej filtrowania według kategorii oraz dostępności. _This post is for paying subscribers only._ ### Kiedy OSPF jest lepszym wyborem niż BGP? URL: https://innasiec.pl/kiedy-ospf-jest-lepszym-wyborem-niz-bgp/ Last updated: 2024-07-09T09:18:38.000Z 77 numer newslettera prezentuje różnice między OSPF a BGP, sposoby wykrywania ataku TCP SYN flood, certyfikaty sieciowe, prima aprilisowe RFC i narzędzia do szybkiego przeszukiwania DNS. Odkryj nowości związane z bezpieczeństwem sieci i sieciowymi technologiami! _This post is for paying subscribers only._ ### Czym jest Policy-Based Routing i jak możesz go wykorzystać w Twojej sieci? URL: https://innasiec.pl/czym-jest-policy-based-routing-i-jak-mozesz-go-wykorzystac-w-twojej-sieci/ Last updated: 2024-07-09T07:18:12.000Z 76 numer newslettera skoncentruje się na rusyfikacji ukraińskiej adresacji IP, zasadach Policy Based Routing, porównaniu chmury i on-prem oraz monitorowaniu BGP. Sprawdź też praktyczne przykłady użycia Infoblox DDI WAPI! _This post is for paying subscribers only._ ### Najnowsze trendy i zmiany w certyfikacji CCNP URL: https://innasiec.pl/najnowsze-trendy-i-zmiany-w-certyfikacji-ccnp/ Last updated: 2024-07-09T06:50:40.000Z 75 numer newslettera skupia się na najnowszych zmianach w certyfikacji CCNP, roli architekta sieci, egzaminie 300-440 ENCC, pomocnych wskazówkach dot. Docker oraz wykorzystaniu Pythona do standaryzacji sieci. Odkryj nowości ze świata IT! _This post is for paying subscribers only._ ### Zwiększ wydajność swojej sieci: automatyzacja, protokoły i nie tylko URL: https://innasiec.pl/zwieksz-wydajnosc-swojej-sieci-automatyzacja-protokoly-i-nie-tylko/ Last updated: 2024-07-09T06:45:56.000Z 74 numer newslettera będzie poświęcony poprawie widoczności ruchu sieciowego na VyOS, mechanizmom przejścia z IPv4 na IPv6, automatyzacji sieci z użyciem Ansible oraz szybkiej ściądze z protokołów sieciowych. Odkryj, jak zacząć małymi krokami i osiągnąć duże rezultaty! _This post is for paying subscribers only._ ### Automatyzacja infrastruktury: Odkryj moc pipeline CI/CD! URL: https://innasiec.pl/automatyzacja-infrastruktury-odkryj-moc-pipeline-ci-cd/ Last updated: 2024-07-09T06:37:23.000Z 73 numer newslettera to prawdziwa uczta dla miłośników sieci! Odkryj tajniki programowania, polityki w Cisco SD-WAN, potęgę pipeline CI/CD, mapę myśli dla sieciowców i poznaj Pythona w zaledwie 30 dni! Skorzystaj z tej unikalnej okazji! 🚀 _This post is for paying subscribers only._ ### Jak zabezpieczyć sieć domową według NSA URL: https://innasiec.pl/jak-zabezpieczyc-siec-domowa-wedlug-nsa/ Last updated: 2024-07-09T06:32:46.000Z 72 numer newslettera skupia się na zabezpieczaniu sieci domowej według zaleceń NSA, ochronie przed atakami DDoS, pyATS, kursie Pythona dla sieciowców oraz Cisco Express Forwarding. Dowiedz się, jak zadbać o bezpieczeństwo sieci i rozwijać umiejętności w obszarze sieci komputerowych! _This post is for paying subscribers only._ ### Bezpieczeństwo w projektowaniu sieci URL: https://innasiec.pl/bezpieczenstwo-w-projektowaniu-sieci/ Last updated: 2024-07-09T06:25:30.000Z 71 numer newslettera będzie skupiał się na tematach takich jak uruchamianie wielu laboratoriów netlab na jednym serwerze, bezpieczeństwo w projektowaniu sieci, logowanie w VRF-ie, szybsze testy prędkości oraz budowanie laboratorium Cisco SDWAN. Odkryj najnowsze trendy i praktyki w branży sieciowej! _This post is for paying subscribers only._ ### Niezbędne narzędzia w torbie sieciowca URL: https://innasiec.pl/niezbedne-narzedzia-w-torbie-sieciowca/ Last updated: 2024-07-08T20:51:58.000Z 70 numer newslettera to pełen informacji dla pasjonatów sieci. Dowiedz się, dlaczego certyfikaty Cisco to nadal najlepszy wybór, jak Cisco ISE realizuje Zero Trust oraz jakie narzędzia powinny znaleźć się w torbie sieciowca. Zapraszamy do lektury! _This post is for paying subscribers only._ ### Kto kontroluje Internet? URL: https://innasiec.pl/kto-kontroluje-internet/ Last updated: 2024-07-08T20:47:02.000Z 69 numer newslettera skoncentruje się na zapobieganiu wyciekom trasy, kontrolowaniu Internetu, korzyściach z automatyzacji sieci, Nutanix jako platformie do backupu oraz protokołach transportowych online. Odkryj najnowsze trendy i informacje dotyczące tych tematów! _This post is for paying subscribers only._ ### Czym są szablony jinja2? URL: https://innasiec.pl/czym-sa-szablony-jinja2/ Last updated: 2024-07-10T06:48:45.000Z _This post is for paying subscribers only._ ### Zapobieganie porwaniom tras BGP URL: https://innasiec.pl/zapobieganie-porwaniom-tras-bgp/ Last updated: 2024-07-08T20:41:45.000Z 68 numer newslettera będzie skoncentrowany na zaletach przełączników sieciowych, zapobieganiu porwaniom tras BGP zgodnie z RFC 9234, przyszłości LDPv6 oraz roli inżynierów sieci. Sprawdź, jak dołączyć do Cisco Champion 2023! _This post is for paying subscribers only._ ### Relacja między warstwą drugą i trzecią URL: https://innasiec.pl/relacja-miedzy-warstwa-druga-i-trzecia/ Last updated: 2024-07-08T20:42:31.000Z 67 numer newslettera przybliży tematykę nowych certyfikatów Cisco dla początkujących, relacji pomiędzy warstwą 2 (VLAN) i warstwą 3 (Subnet), nowości w Official Cert Guide oraz narzędzi do tworzenia diagramów sieci. Odkryj także mapę przerw w dostawie Internetu! _This post is for paying subscribers only._ ### Pięć kroków do automatyzacji sieci URL: https://innasiec.pl/piec-krokow-do-automatyzacji-sieci/ Last updated: 2024-07-08T20:33:04.000Z 66 numer newslettera przynosi zablokowanie największego ataku DDoS, rozwiązania problemów z VMware HCX, kroki do automatyzacji sieci, warsztaty Backup & Restore oraz informacje o podwyższonej temperaturze w Data Center Equinix. Czytaj więcej! _This post is for paying subscribers only._ ### Wprowadzenie do protokołu VxLAN URL: https://innasiec.pl/wprowadzenie-do-protokolu-vxlan/ Last updated: 2024-07-08T20:28:31.000Z 65 numer newslettera będzie skupiał się na kluczowych zagadnieniach IT, takich jak IPS w Data Center, problemy z MTU w AWS, VxLAN, Wireshark dla Kubernetes oraz recertyfikacja Cisco. Odkryj najnowsze trendów i rozwiązania w branży IT! _This post is for paying subscribers only._ ### Zbuduj lab do nauki RPKI URL: https://innasiec.pl/zbuduj-lab-do-nauki-rpki/ Last updated: 2024-07-08T14:02:06.000Z 64 numer newslettera Innej Sieci skupi się na graficznych menadżerach Dockera, prostym labie z RPKI, DevNet Code Exchange, podsumowaniu roku w Innej Sieci oraz podstawach projektowania sieci - HLD. Odkryj najnowsze trendy w światowym IT! _This post is for paying subscribers only._ ### Podsumowanie roku 2022 URL: https://innasiec.pl/podsumowanie-roku-2022/ Last updated: 2024-06-26T13:18:09.000Z W ubiegłym roku wiele się wydarzyło, zarówno złego, jak i dobrego. Ze złych rzeczy **należy wspomnieć o nadal trwającej wojnie na Ukrainie**. Jeśli możesz, wesprzyj ich. Sposób nie ma większego znaczenia. Z dobrych rzeczy, w okolicach marca udało się rozszerzyć **współpracę z firmą BORG5**, która została partnerem bloga. Jednak najlepsze miało nadejść. **25 września urodziła się moja córeczka.** Choć to sprawa prywatna i może wiele osób nie interesować, jednak miała – i nadal ma – ogromny wpływ na to, co się dzieje w Innej Sieci. Mówiąc bardziej precyzyjnie, ile czasu mogę poświęcić na tworzenie nowych treści. **RunPackets jest jednoosobową armią**, więc wydarzenia takie jak te mają ogromny wpływ na kierunek rozwoju. ![](https://innasiec.pl/content/images/2024/06/statystyki-ruchu-innasiec-2022.webp) Na początek podsumowanie statystyk za 2022\. **W ubiegłym roku blog odwiedziło 40 092 osoby**, co oznacza **średnio 110 osób w ciągu dnia**. Nie jest źle, choć chciałoby się więcej. ![](https://innasiec.pl/content/images/2024/06/statystyki-ruchu-innasiec-2022vs2021.webp) Liczby bez punktu odniesienia nie mówią nam za wiele, dlatego warto spojrzeć, jak wyglądają na tle tych z 2021 roku. Cieszy **prawie 30% wzrost odwiedzin**, który przekłada się na mniej więcej 10 tysięcy. W 2022 roku skupiłem się głównie na stworzeniu podcastu. Wpisy do każdego odcinka są zdecydowanie krótsze od typowych artykułów, więc nie dziwi spadek średniego czasu trwania sesji. Nadal sporą grupę stanowią nowe osoby, co z jednej strony cieszy, bo więcej osób dowiaduje się o blogu, z drugiej strony mało kto wraca po więcej. ### Artykuły w 2022 Na blogu pojawiło się **15 nowych artykułów**, w tym [jeden gościnny](https://innasiec.pl/jakie-sa-roznice-miedzy-iaas-vs-paas-vs-saas/), którego autorem jest [Jakub Kulikowski](https://www.linkedin.com/in/kulikowskijakub/?ref=innasiec.pl). Biorąc pod uwagę, że posiadanie małego dziecka pochłania ogromne ilości czasu, nie jest źle. Poniżej pełna lista artykułów: - [Podsumowanie roku 2021](https://innasiec.pl/podsumowanie-roku-2021/) - [Jakie są różnice między IaaS vs PaaS vs SaaS?](https://innasiec.pl/jakie-sa-roznice-miedzy-iaas-vs-paas-vs-saas/) - [Multiple Spanning Tree MSTP](https://innasiec.pl/multiple-spanning-tree-mstp/) - [Hot Standby Router Protocol](https://innasiec.pl/hot-standby-router-protocol-hsrp/) - [Protokoły FHRP – HSRP, VRRP i GLBP](https://innasiec.pl/protokoly-fhrp-hsrp-vrrp-i-glbp/) - [13 sposobów na zabezpieczenie sieci](https://innasiec.pl/checklista-bezpieczenstwa-dla-sieciowca/) - [Automatyzacja sieci z Netmiko](https://innasiec.pl/automatyzacja-sieci-z-netmiko/) - [Model referencyjny ISO/OSI](https://innasiec.pl/model-referencyjny-iso-osi/) - [Jak wygląda audyt bezpieczeństwa?](https://innasiec.pl/jak-wyglada-audyt-bezpieczenstwa/) - [bITconf 2022 – Bydgoska konferencja IT](https://innasiec.pl/bitconf-bydgoszcz-it-conference/) - [Czym jest chmura obliczeniowa?](https://innasiec.pl/czym-jest-chmura-obliczeniowa/) - [Nadchodzi PLNOG 30!](https://innasiec.pl/nadchodzi-plnog-30/) - [Monitoring infrastruktury](https://innasiec.pl/monitoring-infrastruktury/) - [Jak zadbać o bezpieczeństwo BGP?](https://innasiec.pl/jak-zadbac-o-bezpieczenstwo-bgp/) - [Czy warto zdawać CCNA?](https://innasiec.pl/czy-warto-zdawac-ccna/) ### Najpopularniejsze artykuły w 2022 Top 5 najczęściej czytanych artykułów stanowią te same pozycje co przed rokiem. Z jednym wyjątkiem, znacznie częściej szukaliście informacji o ipsecu niż projektowaniu sieci komputerowych. Top 5 artykułów na blogu: [Vlan - wszystko co musisz wiedzieć o wirtualnych sieciach LAN\[et\_pb\_section\]\[et\_pb\_row\]\[et\_pb\_column type=”4\_4″\]\[et\_pb\_text\]Sieć LAN (z ang. local area network), czyli sieć lokalna obejmuje zazwyczaj wszystkie urządzenia na danym obszarze, którego granice zazwyczaj wyznacza router posiadający połączenie z internetem. Ethernet W początkach standardu ethernet oznaczało to, że wszystkie![](https://innasiec.pl/content/images/size/w256h256/2024/06/recreate-02.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/wordpress/2017/06/segmentacja-sieci-vlan.png)](https://innasiec.pl/konfiguracja-vlan-cisco-switch/) [OSPF - Routing w oparciu o link state | teoriaOspf (ang. Open Shortest Path First) to obecnie jeden z najchętniej wybieranych protokołów IGP. Podobnie EIGRP czy IS-IS funkcjonuje w ramach jednego obszaru atonomicznego. Oznacza to, że zajmuje się routingiem w ramach sieci zarządzanej przez jedną firmę lub organizację.Współcześnie stosujemy OSPF w wersji 2 dla IPv4 oraz w wersji![](https://innasiec.pl/content/images/size/w256h256/2024/06/recreate-02.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/wordpress/2017/05/ospf-open-shortest-path-first.png)](https://innasiec.pl/podstawy-ospf-teoria/) [IPsec VPN\[et\_pb\_section fb\_built=”1″ admin\_label=”section” \_builder\_version=”3.22″ global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\]\[et\_pb\_row admin\_label=”row” \_builder\_version=”3.25″ background\_size=”initial” background\_position=”top\_left” background\_repeat=”repeat” global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\]\[et\_![](https://innasiec.pl/content/images/size/w256h256/2024/06/recreate-02.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/wordpress/2019/09/IPsec_VPN-2.jpg)](https://innasiec.pl/ipsec-vpn/) [Projektowanie sieci komputerowych\[et\_pb\_section admin\_label=”section”\] \[et\_pb\_row admin\_label=”row”\] \[et\_pb\_column type=”4\_4″\]\[et\_pb\_text admin\_label=”Text”\] W życiu każdego inżyniera przychodzi taki moment, kiedy musi zaprojektować sieć. I nie ma tu znaczenia czy ma to być duże DC, średniej wielkości kampus czy![](https://innasiec.pl/content/images/size/w256h256/2024/06/recreate-02.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/wordpress/2020/05/projektowanie-sieci-komputerowych.jpg)](https://innasiec.pl/projektowanie-sieci-komputerowych/) [ACL - Wszystko co musisz wiedzieć o listach dostępuListy kontroli dostępu to zestaw komend, które definiują które pakiety mogą zostać wpuszczone, lub wypuszczone z sieci w zależności od tego co mają segmenty w nagłówkach. Filtrowanie może odbywać się na podstawie źródłowego adresu ip, w takim wypadku mówimy o standardowych listach dostępowych lub w znacznie rozszerzonej wersji na podstawie![](https://innasiec.pl/content/images/size/w256h256/2024/06/recreate-02.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/wordpress/2017/07/acl-access-control-list.png)](https://innasiec.pl/acl-access-control-lists/) W 2022 roku zdecydowanie najważniejszym medium był LinkedIn i obstawiam, że 2023 nic się w tej sprawie nie zmieni. 2022 to również rok słabnącej aktywności na Facebooku, przez co ucierpiała aktywność na grupie [**Pierwsze kroki w sieciach.**](https://www.facebook.com/groups/pierwszekrokiwsieciach) **Za to znacznie więcej się dzieje na nowo utworzonym serwerze na** [**Discordzie**](https://discord.gg/rtTY9YZaTM?ref=innasiec.pl)**.** **Social Media w liczbach** 1. 307 członków grupy na facebooku 2. 135 osób na Discordzie 3. 687 Obserwujących fanpagena Facebooku 4. 876 Obserwujących na LinkedIn 5. 552 Obserwujących fanpage na LinkedIn ### Statystyki newslettera w 2022 Podobnie jak w 2021, większość energii poszła w cotygodniowe wydania newslettera. Jest to moje oczko w głowie, aby dostarczać subskrybentom jak najlepsze treści. 914 Subskrybentów wersji darmowej 35 subskrybentów wersji PREMIUM ### Statystyki podcastu i Youtube w 2022 6 czerwca pojawił się pierwszy film na [YouTube](https://www.youtube.com/channel/UClOYC5RhrCF91o9wrkdZ5rg?ref=innasiec.pl), czyli automatyzacja sieci z Netmiko. Kilka dni później pojawił się pierwszy z pięciu odcinków podcastu. 2789 wyświetleń na YouTube 122 subskrybentów kanału Podcast oprócz kanału na YouTube jest dostępny również na wszystkich najpopularniejszych platformach streamingowych oraz na [anchor.fm](https://anchor.fm/innasiec?ref=innasiec.pl). ### Wydatki w 2022 Największymi wydatkami w ubiegłym roku okazały się te na sprzęt. Mój wysłużony MacBook Pro z 2015 odszedł na emeryturę zastąpiony Macbookiem Pro M1 Pro 14″. Jednak zakupem, z którego jestem najbardziej zadowolony, są słuchawki Sony WH-1000XM5\. Co tam Japończycy zrobili, jeśli chodzi o ANC, to nie mam słów. Pod koniec roku zmieniłem platformę do wysyłki newslettera z MailerLite na Sendy (obsługę płatnego newslettera pozostała w MailingR). Co do samej platformy nie mam zastrzeżeń, to już ich nowa polityka cenowa przelała czarę goryczy. Najpierw zabrali bez słowa wysyłkę poprzez API i kazali wykupić płatny pakiet. Ok, beznadziejny sposób komunikacji z klientem, ale na czymś muszą zarabiać. Gwoździem do trumny okazała się nowa wersja platformy, w której w tym samym planie, nie ma możliwości edycji szablonów po ich wgraniu przez API! Tak, więc łapiąc się w sumie na darmowy plan, musiałbym płacić ponad 180$ rocznie. Sendy kosztował mnie 55$ i jest hostowany w Oracle Cloud za darmo, jedyny koszt, jaki poniosę to opłata za Amazon SES, czyli jakieś 10$ rocznie. Kupiłem również kilka perełek z Appsumo. Między innymi Duply, które odpowiada za automatyczne generowanie grafik z zapowiedzią newslettera. Interfejs woła o pomstę do nieba, ale opcja lifetime bardzo mnie przekonała, aby pozostać. **Szkolenia:** - Webinar i VOD z mentalway – 395zł - Notion API Automatyzacje w Notion z Eduweb – 39zł - Budowanie społeczości od Akademia – 695zł - YouTube na Autopilocie od Eduweb – 468zł - Szkoła Automatyzacji Sieci od Showroute – 1099zł **Aplikacje:** - Canva – 455zł/rok - Make– 9$/msc - ~~Placid – ok 62zł/msc przesiadka na Duply~~ - Duply – 79$ lifetime - HappyScribe – 69$ lifetime - Melon – 89$ lifetime - ~~Mailerlite – 9EUR/msc przesiadka na sendy~~ - Amazon SES 0.80$/msc - Sendy – 55$ lifetime - MailingR – 950zł/rok - Hosting – 199zł/rok - Domena – 166zł/3lata **Sprzęt:** - Macbook M1 Pro – 13200zł - Sony Wh-1000xm5 – 1320zł - Prompter do kamery – 450zł ### Przychody w 2022 Jak wspomniałem na początku, firma BORG5 z którą współpracuję w sumie już od 2 lat, postanowiła wesprzeć finansowo prowadzenie bloga oraz popularyzacji sieci komputerowych w branży. Do przychodów zaliczam również opłaty za subskrypcję newslettera w wersji premium. **Przychody:** - Usług marketingowe – 1300GBP/rok - Newsletter PREMIUM – 3445zł/rok Wszystkie podane kwoty są kwotami brutto. ### Podsumowanie W 2022 nadal koszty przewyższyły przychody, ale powolutku zbliżamy się do punktu, gdzie koszty będą znacznie ograniczone. Głównie dzięki automatyzacji i przejściu na aplikacje zakupione w wersji lifetime. Blog Inna Sieć odwiedza coraz więcej osób i coraz więcej z nich decyduje się dołączyć do newslettera, co dla mnie osobiście jest bardzo miłe. Cieszy również, że społeczność na Discordzie żyje. Rozmawiamy na sieciowe i nie tylko tematy, a w każdy piątek dzielimy się swoimi osiągnięciami z danego tygodnia. **To był mój 2022, a jak wyglądał Twój?** Koniecznie napisz w komentarzu. ### TTL jako mechanizm bezpieczeństwa sesji eBGP URL: https://innasiec.pl/ttl-jako-mechanizm-bezpieczenstwa-sesji-ebgp/ Last updated: 2024-07-08T13:37:35.000Z 63 numer newslettera skupi się na Microsoft AZ-700, TTL jako mechanizmie bezpieczeństwa sesji eBGP, przyspieszeniu playbooków Ansible, powrocie labów do egzaminów Cisco oraz podstawach projektowania sieci - LLD. Odkryj najnowsze trendy i techniki w branży! _This post is for paying subscribers only._ ### Dobre praktyki z routingu i adresacji sieci URL: https://innasiec.pl/dobre-praktyki-z-routingu-i-adresacji-sieci/ Last updated: 2024-07-08T13:29:57.000Z Numer 62 to prawdziwa uczta dla entuzjastów sieci! Przeczytasz o praktykach routingu, rozwiązywaniu problemów z dot1x, adresacji sieci, darmowych labach do CCNA i projekcie MPLS z CSC. Nie przegap! _This post is for paying subscribers only._ ### Jak zmniejszyć koszty serwerów o 80%? URL: https://innasiec.pl/jak-zmniejszyc-koszty-serwerow-o-80/ Last updated: 2024-07-08T13:25:28.000Z 61 numer newslettera będzie skupiał się na optymalizacji komunikatów Git commit, zaletach wykorzystania BGP communities nad AS-path prepends, strategiach redukcji kosztów serwerów o 80%, oraz ciekawych projektach i rozwiązaniach sieciowych. Odkryj przydatne wskazówki i nowości! _This post is for paying subscribers only._ ### Sztuczna inteligencja w służbie inżyniera 🤖 URL: https://innasiec.pl/sztuczna-inteligencja-w-sluzbie-inzyniera/ Last updated: 2024-07-08T13:20:44.000Z 60 numer newslettera przynosi dyskusje na temat nieoczywistych kosztów automatyzacji, roli sztucznej inteligencji dla inżynierów oraz nowości w certyfikacji Cisco. Sprawdź, jak wykorzystać starą sztuczkę do optymalizacji ruchu w CEF i zdobądź wskazówki, jak stać się lepszym programistą! _This post is for paying subscribers only._ ### Jak Cloudflare zarządza ruchem? URL: https://innasiec.pl/jak-cloudflare-zarzadza-ruchem/ Last updated: 2024-07-08T13:16:02.000Z 59 numer newslettera to bogate źródło wiedzy o wyborze optymalnego miejsca dla aplikacji, zarządzaniu ruchem przez Cloudflare, trwałości Twittera, sterowaniu ruchem iBGP oraz strategiach sukcesu w CCDE. Odkryj kluczowe informacje i nowe trendy! _This post is for paying subscribers only._ ### Przegląd promocji na #CyberMonday! 🎉 URL: https://innasiec.pl/przeglad-promocji-na-cybermonday/ Last updated: 2024-07-08T13:01:15.000Z 58 numer newslettera będzie poświęcony rozwadze dlaczego dobry firewall to za mało, istotności automatyzacji sieci oraz promocjom na #CyberMonday. Ponadto zaprezentujemy kolekcję zasobów do nauki API oraz pokażemy, jak zbudować lab z Juniper i EVE-NG. Zostań z nami! _This post is for paying subscribers only._ ### Nowoczesna segmentacja sieci URL: https://innasiec.pl/nowoczesna-segmentacja-sieci/ Last updated: 2024-07-08T11:48:24.000Z 57 numer newslettera przynosi najnowsze trendy w chmurze, nowoczesną segmentację sieci, rozważenia dotyczące zastąpienia inżyniera przez sztuczną inteligencję, oraz szybki start z Ansible i objaśnienie ról w tym narzędziu. Odkryj nowe możliwości w technologii! _This post is for paying subscribers only._ ### Skuteczny sposób na naukę binarki URL: https://innasiec.pl/skuteczny-sposob-na-nauke-binarki/ Last updated: 2024-07-08T11:49:00.000Z 56 numer newslettera przybliży Ci świat sieci w chmurze, przygotowania do certyfikacji CCNA oraz różnice między DNS over TLS i DNS over HTTPS. Zanurz się w grę "Binary Game" i odkryj narzędzia DevSecOps! 🌐🚀 _This post is for paying subscribers only._ ### Czy warto zdawać CCNA? URL: https://innasiec.pl/czy-warto-zdawac-ccna/ Last updated: 2024-07-22T07:21:00.000Z ## Z podcastu dowiesz się - Czy nowe CCNA to krok w dobrą stronę? - Dlaczego BGP wypadło z CCNA? - Czy nadal warto zdawać CCNA? - Jakie mamy alternatywne egzaminy dla juniora? - Czy symulacje na egzaminie to dobry pomysł? - Czy junior powinien pracować zdalnie? - Jak wygląda rynek pracy dla juniora po pandemii? ### Podcast w wersji wideo ### Słuchaj na spotify ### Prezent dla słuchaczy Gość odcinka **Damian Michalak** przygotował specjalnie dla Ciebie dokument, w którym dzieli się radami **jak znaleźć pierwszą pracę w sieciach**. W dokumencie znajdziesz: - Gdzie szukać pierwszej pracy - Jak wykorzystać LinkendIn? - Jak przygotować się do zdawania CCNA? _This post is for subscribers only._ ### Mam dla Ciebie coś specjalnego 🎁 URL: https://innasiec.pl/mam-dla-ciebie-cos-specjalnego/ Last updated: 2024-07-08T10:47:40.000Z 55 numer newslettera poświęcony będzie kontrolowaniu dostępu do aplikacji, różnym rodzajom enkapsulacji ethernetu, wartości zdawania egzaminu CCNA, praktykom i rozwiązaniom od Cisco oraz wyszukiwarce usług Microsoftu w przeglądarce. Odkryj najnowsze informacje z branży IT! _This post is for paying subscribers only._ ### 10 uwag pomocnych przy projektowaniu sieci w chmurze ☁️ URL: https://innasiec.pl/10-uwag-pomocnych-przy-projektowaniu-sieci-w-chmurze/ Last updated: 2024-07-08T10:39:07.000Z 54 numer newslettera skupia się na 5 błędach bezpieczeństwa w chmurze oraz 10 wskazówkach dotyczących projektowania sieci w GCP. Sprawdź, czy kariera jako inżynier sieci jest dla Ciebie i odkryj nowości w Wireshark 4.0! Zanurz się w świat Google Cloud! _This post is for paying subscribers only._ ### Jaka jest szansa, że Polska straci dostęp do Internetu? URL: https://innasiec.pl/jaka-jest-szansa-ze-polska-straci-dostep-do-internetu/ Last updated: 2024-07-08T10:34:29.000Z 53 numer newslettera skupia się na ryzyku utraty dostępu do Internetu przez Polskę, nowych zagrożeniach DDoS i dystrybucji SONiC-a, roli protokołu HTTPS w zabezpieczeniach oraz wskazówkach dotyczących bezpieczeństwa Kubernetesa. Odkryj najnowsze informacje dotyczące cyberbezpieczeństwa! _This post is for paying subscribers only._ ### Pythonowe biblioteki do automatyzacji sieci, które musisz znać URL: https://innasiec.pl/pythonowe-biblioteki-do-automatyzacji-sieci-ktore-musisz-znac/ Last updated: 2024-07-08T10:26:31.000Z 52 numer newslettera odkrywa świat automatyzacji sieci, podstawy konfiguracji firewalla Junos oraz działania RIPE wobec nielegalnych aktualizacji. Sprawdź webinary Cisco DevNet i dowiedz się, jak zdać egzamin GCP Professional Cloud Network Engineer! _This post is for paying subscribers only._ ### 3 lekcje z rozwiązywania problemów z DNS URL: https://innasiec.pl/3-lekcje-z-rozwiazywania-problemow-z-dns/ Last updated: 2024-07-08T10:14:19.000Z 51 numer newslettera skoncentruje się na kluczowych krokach cyberbezpieczeństwa, narzędziach do automatyzacji sieci, lekcjach z rozwiązywania problemów z DNS, Pythonie dla sieciowców oraz projektowaniu sieci z protokołem OSPF. Bądź #BeCyberSmart i bądź gotowy na głębsze zrozumienie tych tematów! 🚀 _This post is for paying subscribers only._ ### Jak wygląda książka adresowa Internetu? URL: https://innasiec.pl/jak-wyglada-ksiazka-adresowa-internetu/ Last updated: 2024-07-08T10:08:40.000Z 50 numer newslettera koncentruje się na zwiększaniu limitu znaków w CLI, książce adresowej Internetu, monitoringu sieci, kluczach U2F oraz testowaniu przepustowości sieci. Odkryj praktyczne wskazówki i narzędzia do poprawy efektywności i bezpieczeństwa w świecie IT! 🚀🔒 _This post is for paying subscribers only._ ### Zapomnij o tradycyjnym planowaniu adresacji URL: https://innasiec.pl/zapomnij-o-tradycyjnym-planowaniu-adresacji/ Last updated: 2024-07-08T10:02:49.000Z 49 numer newslettera skupia się na porównaniu SR-MPLS i SRv6, problemach z MAC flapping w Linux Bonding, nowych podejściach do adresacji IPv6, eksploracji chmury AWS oraz szybkim zdobywaniu nowej wiedzy w 15 minut. Odkryj najnowsze trendy w IT! _This post is for paying subscribers only._ ### Dlaczego wdrożenie IPv6 idzie tak wolno? URL: https://innasiec.pl/dlaczego-wdrozenie-ipv6-idzie-tak-wolno/ Last updated: 2024-07-08T09:52:40.000Z Numer 48 naszego newslettera dotknie tematy m.in. mity związane z podejściem wielochmurowym, powolne wdrażanie IPv6, efektywność dezagregacji oraz bezpieczne tunelowanie IPv6. Odkryj świat mikrosegmentacji i więcej! _This post is for paying subscribers only._ ### Jak zadbać o bezpieczeństwo BGP? URL: https://innasiec.pl/jak-zadbac-o-bezpieczenstwo-bgp/ Last updated: 2024-07-22T07:21:10.000Z ### Z podcastu dowiesz się - Czy czeka nas rok IPv6? - Czym różnią się sieci Service Provider od sieci Enterprise? - Dlaczego Border Gateway Protocol to najlepszy protokół routingu? - Kiedy warto wdrożyć BGP? - Jakie zagrożenia wiążą się ze wdrożeniem BGP? - Co to jest RPKI i dlaczego warto je wdrożyć? - Jakie umiejętności są teraz kluczowe dla początkującego sieciowca? ## Podcast w wersji wideo ### Słuchaj na spotify ## Prezent dla słuchaczy Gość odcinka **Tomasz Mikołajek** przygotował specjalnie dla Ciebie listę narzędzi do debugowania sieci. W dokumencie znajdziesz: - Looking glass - RPKI - Z jakiego cache CDN korzystasz _This post is for subscribers only._ ### Czy wiesz, jak zadbać o bezpieczeństwo sieci LAN? URL: https://innasiec.pl/czy-wiesz-jak-zadbac-o-bezpieczenstwo-sieci-lan/ Last updated: 2024-07-08T09:13:53.000Z Newsletter 47 będzie skupiał się na optymalizacji bezpieczeństwa sieci LAN, roli VLAN w zabezpieczeniach, konceptowi multi-cloud, strategiach bezpieczeństwa BGP oraz wprowadzeniu do Ansible od Cisco. Zanurz się w światie bezpieczeństwa sieci i automatyzacji! _This post is for paying subscribers only._ ### Skąd się wzięło polecenie "switchport" w konfiguracji? URL: https://innasiec.pl/skad-sie-wzielo-polecenie-switchport-w-konfiguracji/ Last updated: 2024-07-08T09:04:04.000Z 46 numer newslettera przybliży Ci tematy związane z monitorowaniem IPv6 przez Shadowserver, historią polecenia "switchport", odnawianiem certyfikatu CCNP za 99$, zaproszeniem na VMUG Poland w Krakowie oraz graficzną wersją polecenia ping w terminalu! Ciekawe artykuły czekają! _This post is for paying subscribers only._ ### Przykłady ataków DDoS i jak się przed nimi bronić URL: https://innasiec.pl/przyklady-atakow-ddos-i-jak-sie-przed-nimi-bronic/ Last updated: 2024-07-08T08:56:13.000Z 45 numer newslettera to prawdziwa gratka dla entuzjastów sieci! Odkryj, ile VLAN-ów możesz użyć, jak chronić się przed atakami DDoS na UDP i jak udoskonalić pracę z SSH. Zastanawiałeś się kiedyś dlaczego IS-IS jest inny od OSPF? A co to jest RPKI i jak je wdrożyć w swojej sieci? _This post is for paying subscribers only._ ### Monitoring infrastruktury URL: https://innasiec.pl/monitoring-infrastruktury/ Last updated: 2024-06-23T20:26:55.000Z ### Z podcastu dowiesz się - Czym monitorować infrastrukturę? i dlaczego Zabbix jest najlepszą opcją monitoringu? - Jakie mamy alternatywy dla Zabbixa i kiedy warto rozważyć ich wdrożenie? - Jakie wyzwania stawia wdrożenie monitoringu dla ponad 700 serwerów? - Czym różni się wdrożenie monitoringu w małej i dużej firmie? - Na co warto zwrócić uwagę przy projektowaniu monitoringu? - Co warto monitorować w firmie? - Gdzie szukać informacji na temat Zabbixa? Gdzie warto zajrzeć, szukając szablonów monitoringu, poradników wdrożenia? - Co Arek poleca osobom chcącym wdrożyć swój pierwszy system do monitoringu? ### Podcast w wersji wideo ### Słuchaj na spotify ### Jak poprawnie wykonać renumerację VLAN-ów? URL: https://innasiec.pl/jak-poprawnie-wykonac-renumeracje-vlan-ow/ Last updated: 2024-07-08T08:29:09.000Z 44 numer newslettera skupia się na wykorzystaniu VLAN-ów w sieci, niezbędnych frameworkach, sposobach na rerenumerację VLAN-ów, efektywnym monitorowaniu infrastruktury oraz prostym korzystaniu z Nornira. Odkryj kluczowe aspekty sieciowego świata IT! _This post is for paying subscribers only._ ### 10 porad, które musisz usłyszeć URL: https://innasiec.pl/10-porad-ktore-musisz-uslyszec/ Last updated: 2024-07-08T08:22:50.000Z 43 numer newslettera przynosi wgląd w routing symetryczny i asymetryczny, kluczowe porady dla inżynierów oraz ocenę bezpieczeństwa infrastruktury. Odkryj niezbędne komendy CLI w Linuksie i jak przekształcić JSON-a w graf!🔥 _This post is for paying subscribers only._ ### Jaki jest koszt stosowania IPv4 w sieci? 💰 URL: https://innasiec.pl/jaki-jest-koszt-stosowania-ipv4-w-sieci/ Last updated: 2024-07-08T08:05:14.000Z _This post is for paying subscribers only._ ### Co chciałbyś wiedzieć przed rozpoczęciem nauki automatyzacji sieci? URL: https://innasiec.pl/co-chcialbys-wiedziec-przed-rozpoczeciem-nauki-automatyzacji-sieci/ Last updated: 2024-07-07T20:13:03.000Z _This post is for paying subscribers only._ ### Nadchodzi PLNOG 30! URL: https://innasiec.pl/nadchodzi-plnog-30/ Last updated: 2024-06-24T08:06:35.000Z **Najstarsza w Polsce, telekomunikacyjna konferencja powraca w formie stacjonarnej. Tej jesieni, 6-7 września, daj się porwać w pasjonującą kosmiczną podróż z najnowszymi technologiami i inspirującymi rozwiązaniami. Razem z najlepszymi specjalistami rynku telco oraz IT eksploruj wiedzę z zakresu Cloud, cyberbezpieczeństwa, routingu, czy sieci optycznych.** **Poznaj program i zgarnij zniżkę!** Konferencja będzie krążyła wokół tematyki z zakresu **cyberbezpieczeństwa, podsumowania wdrożeń 5G, przykładów zastosowań Cloud oraz DevOps, routingu i sieci optycznych**. Przedyskutujemy również najnowsze wyzwania, jakie stoją przed rynkiem telco, w tym związane ze zmianami postpandemicznymi oraz wynikłymi z działań wojennych na wschodzie. Praktyczne tematy, topowi prelegenci, inspirujące dyskusje, ścieżka warsztatowa, a także community corner – to wszystko i wiele więcej czeka na Ciebie podczas **jubileuszowej**, **trzydziestej** edycji **PLNOG**! Na scenie m.in.: - **Łukasz Bromirski** – “Jak przechwytywać prefiksy (for fun and profit)”, - **René Fichtmüller** – “Keep Ukraine Connected”, - **Adam Haertle** – “Jak zarabiać miliony, czyli wady i zalety pracy w gangu ransomware”, - **Gaweł Mikołajczyk** – *“*Bot Management, czyli jak chronić się przed zautomatyzowanymi atakami”, - **Dominik Rozdziałowski** – “Spoofing rozmów telefonicznych” - **Robert Ślaski** i **Krzysztof Załęski** – “Burzymy silosy infrastruktury IT”. ## **Dołącz do grona uczestników ze zniżką!** Specjalnie dla naszych czytelników organizator przygotował kod promocyjny, który uprawnia do 15% zniżki – wystarczy podczas rejestracji podać kod – **Inna\_Siec\_15.** Kup bilet – [https://eventory.cc/event/plnog-30/tickets](https://eventory.cc/event/plnog-30/tickets?ref=innasiec.pl) Dowiedz się więcej – [https://plnog.pl/pl/plnog30-2022/](https://plnog.pl/pl/plnog30-2022/?ref=innasiec.pl) ### Upgrade switchy Cisco Catalyst URL: https://innasiec.pl/upgrade-switchy-cisco-catalyst/ Last updated: 2024-08-11T19:37:01.000Z Odkryj nowe tryby pracy switchy Catalyst i zoptymalizuj proces aktualizacji. Dowiedz się, jak przejść z trybu bundle na install i przeprowadzić bezpieczny upgrade systemu IOS. _This post is for paying subscribers only._ ### Dlaczego nie można "kopać" DNS Szwajcarii? URL: https://innasiec.pl/dlaczego-nie-mozna-kopac-dns-szwajcarii/ Last updated: 2024-07-07T20:06:15.000Z _This post is for paying subscribers only._ ### 18 praw projektowania URL: https://innasiec.pl/18-praw-projektowania/ Last updated: 2024-08-11T19:09:25.000Z Każdy projekt to sztuka kompromisów, gdzie technologia, budżet i wydajność muszą współgrać. Zrozumienie wpływu aplikacji na infrastrukturę jest kluczowe. Nie daj się zwieść skrajnościom — najlepsze rozwiązania często są w środku. Dowiedz się, jak poprawić swój projekt już dziś! _This post is for paying subscribers only._ ### Jak sprawdzić, czy to wina DNS? URL: https://innasiec.pl/jak-sprawdzic-czy-to-wina-dns/ Last updated: 2024-08-11T19:27:01.000Z Problemy z DNS? Poznaj skuteczne metody diagnostyki sieci. Od poleceń CLI po sniffery - sprawdź, jak szybko zidentyfikować i rozwiązać awarie DNS. _This post is for paying subscribers only._ ### 5 zastosowań Ansible w automatyzacji sieci URL: https://innasiec.pl/5-zastosowan-ansible-w-automatyzacji-sieci/ Last updated: 2024-07-07T20:01:28.000Z _This post is for paying subscribers only._ ### Czym jest chmura obliczeniowa? URL: https://innasiec.pl/czym-jest-chmura-obliczeniowa/ Last updated: 2024-06-18T07:43:39.000Z ## Z podcastu dowiesz się - Czym jest chmura obliczeniowa? - Jakie są zalety chmury? - W jakich przypadkach warto wdrożyć chmurę? - Jak nie pójść z torbami korzystając z chmury? - Jak wygląda bezpieczeństwo w chmurze? - Czy chmura zabierze pracę inżynierom? - Jak zacząć pracę z chmurą? ## Słuchaj na spotify ## Podcast w wersji wideo ## Prezent dla słuchaczy Gość odcinka Jakub Kulikowski przygotował specjalnie dla Ciebie dokument „Czym jest chmura obliczeniowa?”. Z dokumentu dowiesz się: - Czym jest chmura obliczeniowa - Jakie są najpopularniejsze modele as-a-Service - Jakie są rodzaje chmury obliczeniowej - Najważniejsze pojęcia zwiazane z chmurą _This post is for subscribers only._ ### Jak zmienić wartość AD dla pojedynczego prefiksu? 🤔 URL: https://innasiec.pl/jak-zmienic-wartosc-ad-dla-pojedynczego-prefiksu/ Last updated: 2024-07-07T19:52:46.000Z _This post is for paying subscribers only._ ### bITconf 2022 - Bydgoska konferencja IT URL: https://innasiec.pl/bitconf-bydgoszcz-it-conference/ Last updated: 2024-06-21T11:40:58.000Z ## **bITconf 2022 – święto bydgoskiego IT** Już we wrześniu, po dwóch latach przerwy, odbędzie się największa konferencja technologiczna w województwie kujawsko – pomorskim. **bITconf 2020**, czyli **Bydgoszcz IT conference**, to konferencja organizowana przez lokalne społeczności związane z nowoczesnymi technologiami dla specjalistów IT z regionu. Formuła konferencji, jak i tematyka poruszana podczas spotkania, ma na celu wymianę praktycznej wiedzy i doświadczeń z zakresu programowania i prowadzenia projektów. Ważnym czynnikiem jest również integracja środowiska IT połączona z networkingiem. **W tym roku odbędą się prelekcje w ramach 4 ścieżek tematycznych:** - Programowanie i Architektura, - Jakość i Infrastruktura, - Radar Technologii IT - Embedded **Podczas prelekcji poruszane będą tematy z takich dziedzin jak:** - Technologie chmurowe - DevOps - Python - Machine Learning - Java - .NET - Quality Assurance - Low level programming Organizatorami konferencji są: Bydgoszcz Java User Group, ŁuczniczQA, Bydgoszcz .NET User Group, PyData Bydgoszcz, Ansible in DevOps, PHPers Bydgoszcz oraz IT Kontekst. Konferencja odbędzie się **23 września 2022** roku w Bydgoskim Centrum Targowo Wystawienniczym. Sprzedaż biletów oraz informacje o konferencji znajdują się na stronie[ ](http://www.bitconf.pl/?ref=innasiec.pl)[www.bitconf.pl](http://www.bitconf.pl/?ref=innasiec.pl)[](http://www.bitconf.pl/?ref=innasiec.pl) ## Zniżka dla społeczności INNA SIEĆ: Pamiętaj, aby zaznaczyć 23 września w swoim kalendarzu i podczas [rejestracji](https://bitconf2022.konfeo.com/pl/groups?ref=innasiec.pl) skorzystaj z kodu uprawniającego do 15% zniżki na bilety – **innasiec\_15.** **Do zobaczenia na konferencji!** ### OSPF - Czy router ID musi być unikalne? URL: https://innasiec.pl/untitled/ Last updated: 2024-07-07T19:45:08.000Z _This post is for paying subscribers only._ ### Kolejna awaria w Cloudflare 🤯, a ja nadal ich uwielbiam ❤ URL: https://innasiec.pl/kolejna-awaria-w-cloudflare-a-ja-nadal-ich-uwielbiam/ Last updated: 2024-07-07T19:34:58.000Z _This post is for paying subscribers only._ ### Jak wygląda audyt bezpieczeństwa? URL: https://innasiec.pl/jak-wyglada-audyt-bezpieczenstwa/ Last updated: 2024-07-22T07:21:39.000Z ## Z podcastu dowiesz się - Czym jest bezpieczeństwo informacji? - Jak wygląda audyt bezpieczeństwa? - Czym jest ISO 27001? - Jak pracownicy odbierają pracę audytora? - Jak przygotować się do audytu? - Jak często powinien być przeprowadzany audyt? - Jak wygląda stan cyberbezpieczeństwa w Polsce? - Jak wygląda cyberbezpieczeństwo w małych, średnich i dużych firmach? - Czy jest teraz łatwiej zacząć w security? - Jak zacząć karierę w bezpieczeństwie? ## Podcast w wersji wideo ## Słuchaj na spotify ## Prezent dla słuchaczy Gość odcinka Rafał Dobrosielski przygotował specjalnie dla Ciebie 24-stronicowy pdf, o tym jak wejść do branży cybersecurity. **Z dokumentu dowiesz się:** - Skąd czerpać wiedzę. - Jakie książki warto przeczytać. - Jak zdobywać nowe umiejętności w sposób praktyczny. - Na które certyfikaty warto zwrócić szczególną uwagę. _This post is for subscribers only._ ### Jak wygląda audyt bezpieczeństwa? URL: https://innasiec.pl/jak-wyglada-audyt-bezpieczenstwa-2/ Last updated: 2024-07-07T19:31:19.000Z _This post is for paying subscribers only._ ### Strategia analizy pakietów URL: https://innasiec.pl/strategia-analizy-pakietow/ Last updated: 2024-07-07T19:19:28.000Z _This post is for paying subscribers only._ ### Jak "uwolnić" miliony adresów IPv4? 🤔 + Inna Sieć na Youtube 🎉 URL: https://innasiec.pl/jak-uwolnic-miliony-adresow-ipv4-inna-siec-na-youtube/ Last updated: 2024-07-06T21:40:04.000Z _This post is for paying subscribers only._ ### Jak radzić sobie z atakami DDoS? URL: https://innasiec.pl/jak-radzic-sobie-z-atakami-ddos/ Last updated: 2024-07-06T21:31:16.000Z _This post is for paying subscribers only._ ### Model referencyjny ISO/OSI URL: https://innasiec.pl/model-referencyjny-iso-osi/ Last updated: 2024-06-20T20:21:04.000Z Maszyny, podobnie jak ludzie, potrzebują pewnych zasad do skutecznej komunikacji. **My przestrzegamy zasad gramatyki** oraz używamy słownictwa zrozumiałego dla odbiorcy, a **urządzenia korzystają ze standardów i protokołów**. Podobieństwa między nimi nie kończą się tutaj. Nawet nieoficjalna rozmowa z kolegą przebiega w określony sposób, który można podzielić na etapy z konkretnymi zadaniami. Najpierw należy – w zależności od sytuacji – przedstawić się bądź przywitać, następnie można przejść do tematu, a na końcu należy się pożegnać. **Komunikacja przez sieć również jest określona jako pewien schemat**, zwany modelem referencyjnym, zbudowany z warstw odpowiadających poszczególnym etapom komunikacji. ### Model referencyjny ISO/OSI Model referencyjny ISO/OSI powstał pod koniec lat 70\. XX wieku, a pierwsza oficjalna wersja została zaprezentowana w 1980 roku. **Model ISO/OSI zakłada podział na 7 warstw**, przy czym każda z nich musi spełniać określoną rolę oraz może komunikować się jedynie z warstwą wyższą lub niższą. ![7 warstw modelu ISO/OSI](https://innasiec.pl/content/images/2024/06/Model-ISO-OSI.webp) Warto zaznaczyć, że **oprócz modelu referencyjnego ISO, stworzyło również swój własny zbiór protokołów.** Niestety, przegrały one ze swoim konkurentem TCP/IP, który jest obecnie najpopularniejszym zestawem protokołów. Mimo porażki, model referencyjny ISO/OSI nadal jest powszechnie stosowany jako punkt odniesienia w projektowaniu oraz analizie działania sieci komputerowych. Proces przetwarzania danych może odbywać się od najwyższej warstwy w dół stosu, co nazywane jest procesem enkapsulacji, gdzie każda kolejna warstwa opakowuje otrzymane dane w dodatkowe informacje w swoim nagłówku i stopce. Procesem odwrotnym jest dekapsulacja, kiedy dane są przekazywane od najniższej warstwy w górę stosu. W każdej warstwie jeden z protokołów odczytuje informacje z nagłówka i stopki, po czym je odrzuca i przekazuje dane do kolejnej warstwy. ### Warstwa 7 – aplikacji To najwyższa i najbardziej dostępna dla użytkownika warstwa w modelu ISO/OSI. Jej głównym celem jest umożliwienie aplikacjom korzystania z sieci. Funkcje warstwy aplikacji obejmują obsługę komunikacji klient-serwer w programach umożliwiających udostępnianie plików, przeglądanie stron internetowych, dostęp do baz danych oraz w komunikatorach internetowych. **Protokoły warstwy aplikacji:** HTTP, FTP, SMB, SMTP. ### Warstwa 6 – prezentacji Warstwa prezentacji odpowiada za formatowanie, szyfrowanie danych, kompresję oraz przetwarzanie ich w sposób zrozumiały dla warstwy aplikacyjnej. Warstwa prezentacji jest czasem określana jako warstwa składni. **Protokoły warstwy prezentacji:** MIME, SSL, XML, TLS. **Warstwa 5 – sesji** Warstwa sesji odpowiada za tworzenie, utrzymanie oraz zakończenie połączenia pomiędzy co najmniej dwoma urządzeniami. Zarządza również połączeniem pomiędzy lokalną aplikacją a zdalną. Do funkcji tej warstwy należy ponadto obsługa logowania i wylogowania użytkownika oraz wyszukiwanie nazw. **Protokoły warstwy sesji:** DNS, NETBIOS. ### Warstwa 4 – transportowa Warstwa transportowa zapewnia metody przesyłania sekwencji danych z hosta źródłowego do docelowego lub z jednej aplikacji do drugiej. **Protokoły transportowe mogą być połączeniowe (TCP) lub bezpołączeniowe (UDP)**. W tej warstwie następuje podział danych na mniejsze elementy, zwane segmentami. Muszą one być wystarczająco małe, aby zmieściły się w maksymalnym rozmiarze (ang. MTU – Maximum Transmission Unit) określonym przez warstwę poniżej. Na przykład, segment przesyłany przez sieć IP i Ethernet nie może przekroczyć 1460 bajtów (1500 – 20 bajtów nagłówka IP i 20 bajtów nagłówka TCP). TCP dzieli dane na segmenty i łączy je ponownie po stronie odbiorcy. Natomiast protokoły bezpołączeniowe, takie jak UDP, zazwyczaj tego nie robią. **Protokoły warstwy transportowej to:** TCP, UDP, QUIC. ### Warstwa 3 – sieciowa Warstwa sieciowa zapewnia mechanizmy do przekazywania pakietów między urządzeniami w różnych sieciach. Każda sieć może zawierać wiele hostów, które posiadają własny adres i mogą przekazywać dane do innych hostów. Mechanizmy przekazywania informacji o dostępnych sieciach i wyszukiwania najlepszych tras do nich nazywamy routingu. **Protokoły warstwy sieciowej to:** IPv4, IPv6, ICMP. ### Warstwa 2 – łącza danych Warstwa łącza danych zapewnia komunikację pomiędzy bezpośrednio połączonymi hostami, czyli dane nie muszą opuszczać logicznej sieci utworzonej w warstwie trzeciej. Ponadto odpowiada za utrzymanie i zakończenie transmisji pomiędzy tak połączonymi hostami. W tej warstwie wykrywane są błędy oraz – jeśli to możliwe – korygowane, pochodzące z warstwy fizycznej. **Protokoły warstwy łącza danych:** Ethernet, PPP, MACSec. ### Warstwa 1 – fizyczna Warstwa fizyczna odpowiada za przesyłanie surowych danych między urządzeniami i konwertuje zera i jedynki na odpowiednie sygnały dla danego medium fizycznego. Określa parametry takie jak prędkość transmisji danych, maksymalną odległość, metody modulacji i dostęp do medium. Ponadto warstwa fizyczna ustala sposób kodowania danych, na przykład za pomocą impulsów elektrycznych lub świetlnych. Na przykład, wartość bitu 1 może być reprezentowana przez zmianę napięcia z 0 V na 5 V, podczas gdy wartość 0 przez zmianę z 5 V na 0 V. ### Podsumowanie Model referencyjny opisuje standardy i metody komunikacji w systemach komputerowych, nie narzucając konkretnego sprzętu ani protokołów. Model ISO/OSI wprowadza 7 abstrakcyjnych warstw, które opisują przepływ danych od fizycznego medium transmisyjnego do prezentacji danych użytkownikowi poprzez aplikacje. ### Jaki wpływ na Internet ma wojna w Ukrainie? URL: https://innasiec.pl/jaki-wplyw-na-internet-ma-wojna-w-ukrainie/ Last updated: 2024-07-06T21:28:05.000Z _This post is for paying subscribers only._ ### Automatyzacja Sieci z Netmiko i Python - Przewodnik dla Początkujących URL: https://innasiec.pl/automatyzacja-sieci-z-netmiko/ Last updated: 2025-01-10T11:37:44.000Z **Netmiko to biblioteka napisana w języku Python** przez Kirka Byersa. Jest jedną z najłatwiejszych opcji wejścia w świat automatyzacji sieci. Dlaczego? Ponieważ Netmiko **wykorzystuje bibliotekę Pythona o nazwie Paramiko** do nawiązywania połączeń poprzez SSH z interfejsami wiersza poleceń (CLI). Wszystkie polecenia przekazywane przez nasz program są już Ci dobrze znane z korzystania z interfejsu wiersza poleceń danego producenta. ## Instalacja Netmiko Zanim przystąpimy do napisania naszego pierwszego skryptu, musimy zainstalować Pythona oraz Netmiko. Ponieważ Netmiko nie jest standardową biblioteką Pythona, musimy ją najpierw zainstalować. Na szczęście **Python posiada doskonały menedżer pakietów - pip, który umożliwia łatwą instalację brakującej biblioteki.** ```shell pip install netmiko ``` ## Zanim zaczniesz Zanim przejdziemy do samego pisania kodu, trzeba zrobić jeszcze kilka rzeczy. Przede wszystkim **upewnij się, że masz dostęp do urządzenia**, na którym będziesz testował swój program. W moim przypadku będzie to wirtualny router Cisco w labie. ```shell ping 172.31.5.176 Pinging 172.31.5.176 with 32 bytes of data: Reply from 172.31.5.176: bytes=32 time=22ms TTL=254 Reply from 172.31.5.176: bytes=32 time=25ms TTL=254 Reply from 172.31.5.176: bytes=32 time=23ms TTL=254 ssh cisco@172.31.5.176 cisco@172.31.5.176's password: BDG-ACCR-01> ``` ## Pierwszy skrypt z netmiko ```python from netmiko import ConnectHandler connection = ConnectHandler( device_type='cisco_ios', host='172.31.5.176', username='cisco', password='cisco') output = connection.send_command('show ip interface brief') print(output) print('Zamykam polaczenie') connection.disconnect() ``` Prześledźmy teraz, krok po kroku, co się dzieje w naszym kodzie: - Importujemy klasę **ConnectHandler** z biblioteki **Netmiko**. - Tworzymy obiekt **connection (dowolna nazwa)**, wywołując konstruktor klasy **ConnectHandler** z pewnymi parametrami: - **device\_type**, - **host**, - **username**, - **password**, - Tworzymy zmienną **output (dowolna nazwa)**, która używa metody **send\_command()** do przekazania polecenia do routera. - Wbudowana funkcja **print()** wyrzuca na okno konsoli informacje zwrócone przez router oraz napis o zakończeniu sesji. - Metoda **disconnect()** kończy sesję SSH. Zobaczmy teraz, co się stanie po uruchomieniu skryptu: ```Shell C:/Users/RafałRudewicz/PycharmProjects/pierwszy_skrypt/main.py Interface IP-Address OK? Method Status Protocol GigabitEthernet0/0 172.31.5.176 YES DHCP up up GigabitEthernet0/1 10.1.1.10 YES NVRAM administratively down down GigabitEthernet0/2 unassigned YES unset administratively down down GigabitEthernet0/3 unassigned YES unset administratively down down Zamykam polaczenie ``` ## Zabezpiecz hasła za pomocą getpass. **Zapisywanie haseł w postaci jawnego tekstu jest bardzo niebezpieczne** i poza testami należy unikać takiego rozwiązania. ```Python from netmiko import ConnectHandler import getpass passwd = getpass.getpass('Podaj haslo: ') connection = ConnectHandler( device_type='cisco_ios', host='172.31.5.176', username='cisco', password=passwd) output=connection.send_command('show ip interface brief') print(output) print('Zamykam polaczenie') connection.disconnect() ``` **Biblioteka `getpass` umożliwia bezpieczną obsługę haseł.** Wprowadzone przez użytkownika hasło nie będzie wyświetlane na ekranie. W naszym skrypcie t**worzymy nową zmienną o nazwie passwd**, która **prosi użytkownika o podanie hasła i przechowuje je w pamięci jako ciąg znaków (string)**. Następnie to wprowadzone hasło zostanie przekazane jako wartość parametru password. ## Przejście do trybu uprzywilejowanego – enable Netmiko, łącząc się z urządzeniem, będzie posiadać domyślny poziom uprawnień dla danego użytkownika. Dla większości poleceń typu show będzie to wystarczające. Jednak **niektóre polecenia oraz edycja konfiguracji wymagają podniesienia uprawnień i przejścia w tryb enable.** Dlatego wprowadzimy pewne modyfikacje w skrypcie. ```Python from netmiko import ConnectHandler import getpass passwd = getpass.getpass('Podaj haslo: ') connection = ConnectHandler( device_type='cisco_ios', host='172.31.5.176', username='cisco', password=passwd, secret=passwd) connection.enable() output=connection.send_command('show run') print(output) print('Zamykam polaczenie') connection.disconnect() ``` Dla tworzonego **obiektu connection** przekazujemy teraz również **parametr secret**, który przechowuje **hasło enable**. Dla uproszczenia przyjęliśmy założenie, że oba hasła użytkownika są identyczne. W celu podniesienia uprawnień i przejścia do trybu uprzywilejowanego używamy **metody enable()** na naszym obiekcie connection. ## Przejście do trybu konfiguracyjnego Aby przejść do trybu konfiguracyjnego w Netmiko, mamy w zasadzie dwie opcje. Jedną z nich jest użycie znanej już **metody send\_command() z poleceniem `configure terminal`**. Jednak bardziej elegancką i preferowaną opcją jest użycie **metody config\_mode()**. Dlaczego tak? Netmiko potrafi obsługiwać wiele typów urządzeń od różnych producentów, którzy mogą używać odmiennych zestawów poleceń dla trybu konfiguracyjnego. ```Python from netmiko import ConnectHandler import getpass passwd = getpass.getpass('Podaj haslo: ') connection = ConnectHandler( device_type='cisco_ios', host='172.31.5.176', username='cisco', password=passwd, secret=passwd) connection.enable() connection.config_mode() connection.send_command('hostname BDG-ACCR-01') connection.exit_config_mode() output=connection.send_command('show run | i hostname') print(output) print('Zamykam polaczenie') connection.disconnect() ``` Zastosowaliśmy również metodę `exit_config_mode()`, aby opuścić tryb konfiguracyjny i powrócić do trybu uprzywilejowanego w celu sprawdzenia wprowadzonych zmian. ## Zakończenie skryptu przez użytkownika W obecnej formie skrypt wykonuje nasze instrukcje i po zakończeniu zadania się zamyka. Co jednak, jeśli chcielibyśmy zobaczyć wprowadzone zmiany? ```python from netmiko import ConnectHandler import getpass passwd = getpass.getpass('Podaj haslo: ') connection = ConnectHandler( device_type='cisco_ios', host='172.31.5.176', username='cisco', password=passwd, secret=passwd) connection.enable() connection.config_mode() connection.send_command('hostname BDG-ACCR-01') connection.exit_config_mode() output=connection.send_command('show run | i hostname') print(output) input("Nacisnij Enter by zakonczyc...") print('Zamykam polaczenie') connection.disconnect() ``` W tym celu skorzystaliśmy z wbudowanej funkcji **input()** w Pythonie. Funkcja ta wyświetla tekst na ekranie i oczekuje na interakcję użytkownika, dzięki czemu nasz program nie zostanie zamknięty bez naszej zgody. ## Podsumowanie Gratulacje, właśnie dowiedziałeś się, jak napisać swój pierwszy skrypt do automatyzacji sieci z wykorzystaniem Netmiko. Teraz wiesz, jak sprawnie podłączyć się do zdalnego urządzenia, zmienić konfigurację oraz wykonać wiele poleceń typu show. **Daj znać w komentarzu, czy miałeś wcześniej styczność z automatyzacją sieci!** ### Dlaczego pierwszy pakiet ICMP jest odrzucany? URL: https://innasiec.pl/dlaczego-pierwszy-pakiet-icmp-jest-odrzucany/ Last updated: 2024-07-06T21:24:19.000Z _This post is for paying subscribers only._ ### Jak Google dba o bezpieczeństwo swoich Data Center? 🤔 URL: https://innasiec.pl/jak-google-dba-o-bezpieczenstwo-swoich-data-center/ Last updated: 2024-07-05T10:18:15.000Z _This post is for paying subscribers only._ ### Ansible czy Narnir? Co wybrać do zarządzania infrastrukturą? 🤔 URL: https://innasiec.pl/ansible-czy-narnir-co-wybrac-do-zarzadzania-infrastruktura/ Last updated: 2024-07-05T10:11:36.000Z _This post is for paying subscribers only._ ### Trzy kroki do zwiększenia bezpieczeństwa w IT URL: https://innasiec.pl/trzy-kroki-do-zwiekszenia-bezpieczenstwa-w-it/ Last updated: 2024-07-04T07:26:52.000Z _This post is for paying subscribers only._ ### 13 sposobów na zabezpieczenie sieci URL: https://innasiec.pl/checklista-bezpieczenstwa-dla-sieciowca/ Last updated: 2024-06-25T06:46:54.000Z Zabezpieczanie infrastruktury to niekończący się proces, który polega na ciągłym testowaniu i ulepszaniu. Warto podchodzić do tego skrupulatnie i metodycznie – idealnie sprawdzi się tutaj proponowana poniżej 13-punktowa checklista bezpieczeństwa dla sieciowca. ### Segmentuj sieć według funkcji Segmentacja sieci jest bardzo istotnym elementem jej bezpieczeństwa. Odpowiednio przeprowadzona, ogranicza niepotrzebny ruch w sieci, poprawia wykorzystanie infrastruktury oraz zmniejsza potencjalne wektory ataku. ### Zabezpiecz fizyczny dostęp do urządzeń Urządzenia sieciowe są podatne na ataki zarówno z zewnątrz, jak i wewnątrz sieci. Zagrożenie może wynikać nie tylko z zaufanych urządzeń, które zostały wcześniej zhackowane, ale także z bezpośredniego, nieautoryzowanego dostępu. Ogranicz fizyczny dostęp do sprzętu do minimum. Dobrym pomysłem jest również odpowiednie zabezpieczenie dostępu poprzez port konsolowy, stosowanie protokołu dot1x na portach dostępowych oraz wyłączenie nieużywanych portów uplinkowych. ### Zabezpiecz zdalny dostęp Stosuj framework AAA w zarządzaniu dostępem i uprawnieniami oraz w logowaniu zdarzeń. Skonfiguruj zdalny dostęp do wirtualnych terminali oraz portu konsolowego. Nie pozostawiaj domyślnej konfiguracji i ograniczaj dostęp, stosując listy dostępu (ACL). Używaj mocnych i nieopartych na słowniku haseł. ### Szyfruj zdalne połączenia Zdalne łączenie się do urządzeń powinno odbywać się za pomocą bezpiecznych protokołów. Zastąp poczciwy Telnet połączeniem SSH, zapomnij o TFTP oraz nieszyfrowanym FTP. ### Twórz kopie bezpieczeństwa Każda zmiana w konfiguracji powinna być logowana i generować wykonanie kopii bezpieczeństwa w celu szybkiego jej odtworzenia. Przechowuj kopie w bezpiecznym miejscu, poza urządzeniem. Powinieneś posiadać co najmniej dwie, z czego jedna powinna znajdować się poza Twoją organizacją. ### Zabezpiecz kopie bezpieczeństwa Tworzenie kopii to jedno, a odpowiednie ich zabezpieczenie i przechowywanie to drugie. Szyfruj je oraz ograniczaj do nich dostęp. Regularnie sprawdzaj, czy ich wykonywanie przebiega prawidłowo oraz czy da się z nich odtworzyć konfigurację. ### Używaj najnowszych wersji oprogramowania Wraz ze wzrostem złożoności używanego oprogramowania rośnie liczba potencjalnych błędów, które mogą zostać wykorzystane przez atakujących. Zawsze staraj się mieć jak najnowszą wersję oprogramowania, ale nie ufaj ślepo producentom. Przed instalacją na wszystkich urządzeniach przetestuj aktualizację w laboratorium lub na niewielkiej liczbie urządzeń. Traktuj łatki bezpieczeństwa wydawane przez producentów jako priorytetowe i nie zwlekaj z ich instalacją. ### Korzystaj z najnowszych dostępnych wersji protokołów, gdy tylko to możliwe. Zastąp tradycyjne SNMP z community stringami wersją 3, używaj SSH w wersji 2, itp. ### Stosuj uwierzytelnianie w protokołach Wiele z nich oferuje metody uwierzytelniania urządzeń po drugiej stronie połączenia. Pamiętaj, żeMD5 to lepsze zabezpieczenie niż brak zabezpieczenia. ### Wyłącz niepotrzebne usługi oraz protokoły Domyślna konfiguracja urządzeń jest dostosowana do szerokiego grona odbiorców i obejmuje wiele usług ułatwiających pracę. Jednakże część z tych usług jest zbędna i powinna być dezaktywowana. Jeśli zarządzasz infrastrukturą za pomocą wiersza poleceń, wyłącz możliwość konfiguracji poprzez GUI. Jeśli nie korzystasz z proxy-arp, wyłącz tę usługę. Skonfiguruj interfejsy tak, aby obsługiwały minimalną liczbę protokołów niezbędnych do pracy. Im mniej funkcjonalności jest włączonych, tym mniejsza liczba potencjalnych wektorów ataku. ### Chroń Control Plane Gdy to możliwe, stosuj CoPP (Control Plane Protection). Przydziel minimalną, niezbędną do prawidłowego funkcjonowania wielkość pasma dla każdego protokołu korzystającego z Control Plane i zachowaj niewielką jego część na wypadek pominięcia któregoś z protokołów. ### Stosuj polityki bezpieczeństwa Dobrze skonstruowane polityki bezpieczeństwa powinny zawierać jasne zasady i opierać się na najlepszych praktykach dotyczących bezpieczeństwa. Wyjątki należy traktować jako ostateczność i powinny być tymczasowe. ### Stosuj telemetrię w sieci Należy być świadomym tego, co dzieje się w sieci. Znajomość odpowiedzi na pytania „Co?”, „Kto?”, „Gdzie?” i „Jak?” jest ważna, ale równie istotne jest pytanie „Dlaczego?” oraz „Jakie są tego konsekwencje?”. Szersza perspektywa daje szansę na wcześniejsze wykrycie anomalii. ### Podsumowanie Przedstawiono sposoby zwiększenia bezpieczeństwa w sieci. Napisz w komentarzu, które z nich już zastosowałeś. Być może warto dodać coś do tej listy? ### 13 sposobów na zabezpieczenie sieci 🛡 URL: https://innasiec.pl/13-sposobow-na-zabezpieczenie-sieci/ Last updated: 2024-07-04T06:26:15.000Z _This post is for paying subscribers only._ ### 10 wskazówek przed kolejną rozmową rekrutacyjną URL: https://innasiec.pl/10-wskazowek-przed-kolejna-rozmowa-rekrutacyjna/ Last updated: 2024-07-04T06:21:31.000Z _This post is for paying subscribers only._ ### RFC z okazji prima aprilis URL: https://innasiec.pl/rfc-z-okazji-prima-aprilis/ Last updated: 2024-07-03T19:06:47.000Z _This post is for paying subscribers only._ ### Czy Rosja przeprowadziła BGP Hijack na Ukrainie? URL: https://innasiec.pl/czy-rosja-przeprowadzila-bgp-hijack-na-ukrainie/ Last updated: 2024-07-03T19:02:19.000Z _This post is for paying subscribers only._ ### Dlaczego nie potrzebujemy LISP? URL: https://innasiec.pl/dlaczego-nie-potrzebujemy-lisp/ Last updated: 2024-07-03T18:57:39.000Z _This post is for paying subscribers only._ ### Bezpieczeństwo sieci Service Provider 🛡️ URL: https://innasiec.pl/bezpieczenstwo-sieci-service-provider/ Last updated: 2024-07-03T18:58:15.000Z _This post is for paying subscribers only._ ### Projekt BGP Blackholing PL powrócił URL: https://innasiec.pl/projekt-bgp-blackholing-pl-powrocil/ Last updated: 2024-07-03T18:41:33.000Z _This post is for paying subscribers only._ ### Zalecenia CERT Polska oraz jak możesz pomóc Ukrainie (UA) URL: https://innasiec.pl/zalecenia-cert-polska-oraz-jak-mozesz-pomoc-ukrainie-ua/ Last updated: 2024-07-03T18:37:04.000Z _This post is for paying subscribers only._ ### Protokoły FHRP - HSRP, VRRP i GLBP URL: https://innasiec.pl/protokoly-fhrp-hsrp-vrrp-i-glbp/ Last updated: 2024-06-27T07:44:32.000Z Istnieje angielskie powiedzenie *„*Two is one, one is none*”*, które podkreśla konieczność stosowania redundancji. Posiadanie dwóch urządzeń zapewnia bezpieczeństwo w razie awarii jednego z nich, co daje czas na naprawę. Natomiast posiadanie tylko jednego urządzenia w momencie awarii oznacza brak zapasowego rozwiązania. Stosowanie redundancji w sieci jest kluczowe dla zapewnienia jej niezawodności. Oprócz posiadania nadmiarowych urządzeń konieczne są również odpowiednie mechanizmy umożliwiające ich aktywację. ## Protokoły First Hop Redundancy Protocol Jeśli kiedykolwiek ręcznie konfigurowałeś adresację IP na dowolnym urządzeniu, zwróciłeś pewnie uwagę, że zawsze podajemy adres IP hosta, maskę podsieci oraz adres bramy domyślnej. Wprowadzamy tylko jeden adres bramy domyślnej, dlatego potrzebujemy mechanizmów, które pozwolą na nieprzerwaną pracę w przypadku awarii jednego z urządzeń bez konieczności zmiany adresu bramy. Z pomocą przychodzą protokoły FHRP (ang. First-hop redundancy protocol): - **HSRP (Hot Standby Router Protocol)** – protokół Cisco [Hot Standby Router ProtocolHSRP, czyli Hot Standby Router Protocol, to protokół z grupy FHRP (First Hop Redundancy Protocol) opatentowany przez firmę Cisco w 1994 roku. Jego celem jest zapewnienie redundantności bramy domyślnej w przypadku awarii, bez konieczności zmian w konfiguracji urządzeń końcowych. W HSRP urządzenia, takie jak routery czy switche warstwy trzeciej, przypisuje![](https://innasiec.pl/content/images/size/w256h256/2024/06/recreate-02.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/wordpress/2022/02/Hot-Standby-Router-Protocol-HSRP.jpeg)](https://innasiec.pl/hot-standby-router-protocol-hsrp/) - **VRRP (Virtual Router Redundancy Protocol)** – otwarty standard IEEE - **GLBP (Gateway Load Balancing Protocol)** – protokół Cisco Ich wspólnym zadaniem jest zapewnienie redundancji bramy domyślnej dla urządzeń końcowych. W przypadku awarii jednego, drugie przejmuje jego rolę w sposób transparentny dla końcówek. **FHRP stosuje się również na styku z dostawcą usług,** kiedy posiadamy więcej niż jedno łącze i nie mamy potrzeby zestawiać sesji BGP. ## Hot Standby Router Protocol Protokół Hot Standby Router Protocol (HSRP) jest pierwszym w grupie protokołów First Hop Redundancy Protocol. Został opisany w dokumencie RFC 2281 w 1994 roku przez firmę Cisco i jest zastrzeżony dla urządzeń tego producenta. W grupie routerów działających zgodnie z protokołem HSRP, jeden z nich pełni rolę urządzenia Active, odpowiadając na zapytania ARP dotyczące bramy domyślnej oraz przekazując ruch. Kolejny router pełni funkcję Standby, nasłuchując pakietów Hello (standardowo wysyłanych co 3 sekundy). Jeśli w ciągu 10 sekund nie otrzyma takiego pakietu, przejmuje rolę aktywnego routera. Pozostałe routery jedynie nasłuchują pakietów Hello. Wszystkie routery korzystające z protokołu HSRP używają adresu multicastowego 224.0.0.2 dla wersji 1 oraz 224.0.0.102 dla wersji 2. Wirtualny adres MAC to 0000.0c07.acxx, gdzie xx to numer grupy. ## **Virtual Router Redundancy Protocol** Virtual Router Redundancy Protocol VRPP jest standardem opisanym w dokumencie RFC3768 i stanowi odpowiednik Cisco HSRP. Mimo że oba te protokoły nie są ze sobą kompatybilne, posiadają wiele cech wspólnych. **Wspólne cechy VRRP i HSRP to:** - Jeden z routerów pełni rolę aktywną, podczas gdy pozostałe pozostają w stanie oczekiwania. - Wybór aktywnego routera dokonywany jest na podstawie priorytetu. - Odpowiednik Active w VRRP to Master, a Standby to Backup. **Różnice między VRRP i HSRP obejmują:** - VRRP wysyła wiadomość „Hello” co sekundę, podczas gdy HSRP robi to co trzy sekundy (jest to ustawienie domyślne). - W VRRP może istnieć więcej niż jeden router w roli Backup. - Pakiety Hello są kierowane na różne adresy multicastowe (VRRP – 224.0.0.18, HSRP – 224.0.0.2 lub 224.0.0.102). - W VRRP istnieje możliwość współdzielenia wirtualnego adresu z adresem interfejsu, podczas gdy w HSPR wirtualny adres musi być unikatowy. - VRRP ma domyślnie włączoną funkcję Preempt. - Adres MAC dla wirtualnego adresu IP jest inny (VRRP – 0000.5E00.01XX, HSRP – 0000.0c07.acXX, gdzie XX to numer grupy). # Gateway Load Balancing Protocol **Gateway Load Balancing Protocol** to kolejny protokół FHRP zaprezentowany przez firmę Cisco. Wychodzi on naprzeciw głównej wadzie HSRP, polegającej na tym, że wykorzystanie jednego routera powoduje, że ruch sieciowy odbywa się tylko za pomocą jednej bramy. W protokole GLBP nie ma podziału na router główny i oczekujący - oba mogą działać równolegle i dzielić między siebie ruch sieciowy. Protokół Gateway Load Balancing Protocol składa się z dwóch elementów: 1. **AVG (Active Virtual Gateway)** \- przydziela wirtualne adresy MAC urządzeniom w grupach GLBP, mogących zawierać do czterech routerów. Router z najwyższym priorytetem zostaje AVG. 2. **AVF (Active Virtual Forwarder)** \- wszystkie routery w grupie przekazują pakiety wysłane na ich wirtualny adres MAC. AVG również może pełnić rolę AVF. AVG odpowiada na zapytania ARP hostów dotyczące adresu bramy domyślnej, wysyłając wirtualny adres fizyczny należący do AVF. Przydzielanie AVF przez AVG może odbywać się według następujących metod: - **Round-robin** \- Adresy AVF są przydzielane kolejno jeden po drugim. - **Host-dependent** \- Adres AVF jest przypisany statycznie do hosta. - **Weighted** \- Adresy AVF są przydzielane według wcześniej zdefiniowanej wagi. Na przykład, R1 może obsłużyć 55% ruchu, R2 35% ruchu, a R3 pozostałe 10%. ## Który protokół wybrać? Wybór odpowiedniego protokołu zależy głównie od posiadanych urządzeń. Urządzenia inne niż te od Cisco muszą korzystać z protokołu VRRP lub jego bliźniaka - HSRP. Jeśli planujemy korzystać z więcej niż jednej bramy w czasie rzeczywistym, warto rozważyć użycie protokołu GLBP. Czy stosujesz w swojej sieci protokoły First Hop Redundancy Protocol (FHRP)? Jeśli tak, to jakie są Twoje doświadczenia z ich używaniem? ### Czy MPLS był w ogóle potrzebny? 🤔 + Ważne INFO❗️ URL: https://innasiec.pl/czy-mpls-byl-w-ogole-potrzebny-wazne-info/ Last updated: 2024-07-03T18:31:49.000Z _This post is for paying subscribers only._ ### Hot Standby Router Protocol URL: https://innasiec.pl/hot-standby-router-protocol-hsrp/ Last updated: 2024-06-27T07:36:19.000Z HSRP, czyli Hot Standby Router Protocol, to protokół z grupy FHRP (First Hop Redundancy Protocol) opatentowany przez firmę Cisco w 1994 roku. Jego celem jest zapewnienie redundantności bramy domyślnej w przypadku awarii, bez konieczności zmian w konfiguracji urządzeń końcowych. W HSRP urządzenia, takie jak routery czy switche warstwy trzeciej, przypisuje się do grup o numerach od 0 do 255\. Przypisanie odbywa się na poziomie interfejsu fizycznego lub logicznego. Oznacza to, że nasze urządzenie może być członkiem wielu grup HSRP jednocześnie, zapewniając redundantność dla wielu sieci VLAN. Grupa HSRP powinna składać się co najmniej z dwóch routerów, z których każdy może pełnić jedną z następujących ról: - **Active** – Jeden router odpowiedzialny za przekazywanie ruchu w grupie. - **Standby** – Drugi router oczekujący w gotowości, aby przejąć rolę Active. - **Listen** – Pozostałe urządzenia w grupie oczekujące na przejęcie roli Standby. ## Konfiguracja Konfiguracja HSRP jest bardzo prosta i polega na użyciu słowa kluczowego `standby`, numeru grupy oraz wirtualnego adresu IP. ``` R1(config)# interface vlan 100 R1(config-if)# ip address 192.168.0.2 R1(config-if)# standby 100 ip 192.168.0.1 ``` **W konfiguracji mamy przypisany adres IP interfejsu oraz adres wirtualny dla grupy HSRP**. Na podstawie tego ostatniego tworzony jest wirtualny adres MAC, którym **router Active odpowiada na zapytania ARP urządzeń końcowych** dotyczące adresu MAC bramy domyślnej. **Router pełniący rolę Active domyślnie wysyła pakiety Hello co 3 sekund**y. Są one wysyłane na adres multicastowy 224.0.0.2 przy użyciu UDP 1985\. **Router Standby nasłuchuje tych pakietów przez 10 sekund** (domyślny timer Hold-Time), po czym stwierdza awarię routera Active i przejmuje jego rolę. Oba timery mogą być modyfikowane i zejść nawet do poziomu milisekund. ``` R1(config-if)# standby 100 timers msec 100 msec 300 ``` **Urządzenia w grupie HSRP można zabezpieczyć**, konfigurując uwierzytelnianie (jawnym hasłem, MD5 lub za pomocą key-chain): ``` R1(config-if)# standby 100 authentication innasiec R1(config-if)# standby 100 authentication md5 key-string 0 innasiec R1(config-if)# standby 100 authentication md5 key-string 7 ab2805223b065a411824ca95063bf51c R1(config-if)# standby 100 authentication md5 key-chain innasiec ``` 💡 ****Uwierzytelnienie w HSRP może stwarzać fałszywe poczucie bezpieczeństwa**. Brak uwierzytelnienia między hostami prowadzi do sytuacji, w której oba rozgłaszają adres bramy domyślnej. To z kolei może prowadzić do niestabilności oraz routingu asymetrycznego. ## Wybór routera Active W grupie HSRP routerem Active zostaje ten z najwyższym priorytetem. Wartość tego parametru może przyjmować wartość od 0 do 255\. Domyślnie każde urządzenie ma ten parametr ustawiony na 100\. Jeśli mamy remis, wygrywa router z najwyższym adresem IP w danej grupie. Priorytet konfigurujemy w następujący sposób: ``` R1(config)# interface vlan 100 R1(config-if)# standby 100 priority 110 ``` ## Preempt Domyślnie router, który przyjął rolę Active, będzie utrzymywał ją nawet wtedy, gdy w sieci pojawi się urządzenie z wyższym priorytetem. **Mechanizm preemption umożliwia przejęcie roli Active**. Warto dodatkowo skonfigurować opóźnienie, aby urządzenia powodujące flapy nie destabilizowały sieci. Konfigurację preemption przeprowadza się w następujący sposób: ``` R1(config)# interface vlan 100 R1(config-if)# standby 100 preempt R1(config-if)# standby 100 preempt delay 300 ``` ## Track Awaria jednego z routerów nie stanowi problemu w przypadku HSRP. W zależności od timerów router Standby przejmie rolę Active i rozpocznie przesyłanie ruchu. Co jednak w przypadku, gdy router Active działa, ale jego łącze uplinkowe (do ISP lub dalej sieć) uległo awarii? Z pomocą przychodzi opcja śledzenia (track). Monitoruje ona konkretny interfejs i w momencie, gdy zmieni on status, odpowiednio zmieni priorytet, tak aby Standby mógł przejąć rolę Active. ``` R1(config-if)# standby 100 track gi0/0 20 ``` ## Stany HSRP Router musi przejść przez szereg stanów, zanim przejmie rolę Active: 1. ***Disable*** – nieużywany router 2. ***Initialize*** – uruchomienie działania 3. ***Learn*** – stan przejściowy między podłączeniem do sieci a gotowością do działania, proces „uczenia się” 4. ***Listen*** – oczekiwanie na wiadomość „Hello” informującą o funkcjach 5. ***Speak*** – oczekiwanie i wysyłanie wiadomości „Hello” co 3 sekundy 6. **Standby** – tryb czuwania, w którym router dąży do przejęcia roli w przypadku awarii głównego urządzenia 7. **Active** – pełnienie roli aktywnego routera ## Load balancing Wdrożenie HSRP w sieci, oprócz korzyści, niesie ze sobą również pewien problem. Ponieważ tylko router Active przekazuje ruch, router Standby w tym czasie jedynie nasłuchuje, czy aktywny nadal pracuje. W takim przypadku **warto odpowiednio podzielić vlany, tak aby jeden z routerów był Active dla połowy, a drugi z pary pełnił rolę Active dla pozostałych.** W ten sposób stosując prostą inżynierię ruchu, osiągamy pewien stopień rozłożenia ruchu w sieci, jednocześnie nie rezygnując z redundancji oferowanej przez HSRP. **Podsumowanie** HSRP jest jednym z kluczowych protokołów podnoszących niezawodność w sieciach kampusowych. Pomimo braku wbudowanego mechanizmu balansowania obciążenia, przy odrobinie planowania można ten efekt z powodzeniem uzyskać. Czy stosujesz w swojej sieci HSRP? ### Wiesz, czym jest redundancja bramy domyślnej? 🤔 URL: https://innasiec.pl/wiesz-czym-jest-redundancja-bramy-domyslnej/ Last updated: 2024-07-03T18:27:52.000Z _This post is for paying subscribers only._ ### Multiple Spanning Tree MSTP URL: https://innasiec.pl/multiple-spanning-tree-mstp/ Last updated: 2024-06-26T07:21:38.000Z Działanie [protokołu Spanning Tree](https://innasiec.pl/spanning-tree-protocol/) polega na zapobieganiu tworzenia pętli w sieci. Jednakże prowadzi to do nieoptymalnego wykorzystania infrastruktury sieciowej. Problem ten został rozwiązany poprzez wprowadzenie PVST, gdzie każdy VLAN posiada własną instancję STP. Niemniej jednak, rozwiązując jedną kwestię, napotkaliśmy na kolejną. **STP jest protokołem bardzo obciążającym CPU, a utrzymanie wielu instancji wymaga znacznej mocy obliczeniowej.** Co więcej, liczba możliwych topologii logicznych w sieci jest zazwyczaj mniejsza od liczby używanych VLAN-ów. ![Topologia fizyczna vs Topologia logiczna STP](https://innasiec.pl/content/images/2024/06/Topologia-fizyczna-vs-topologia-stp.webp) Oznacza to, że wiele z nich współdzieli schemat sieci (blokuje i przesyła dane tymi samymi interfejsami) i nie ma potrzeby tworzenia osobnych, chociaż identycznych instancji STP. ### Działanie Multiple Spanning Tree Głównym założeniem działania tego protokołu jest fakt, że fizyczna budowa sieci pozwala na niewiele różnych logicznych topologii. Zamiast tworzyć instancję STP dla każdego vlanu, **MSTP pozwala tworzyć niezależne od vlanów instancje MSTI (Multiple Spanning Tree Instance)**. Utrzymując ich minimalną liczbę, oszczędzamy moc obliczeniową switchów oraz nadal możemy w pewnym stopniu wpływać na równoważenie ruchu. **W MSTP regionem nazywamy grupy switchów**, które współdzielą: - Nazwę konfiguracji MST - Numer rewizji - Mapowanie vlanów do instancji **Switch'e posiadające takie same parametry należą do tego samego regionu**. Jeśli parametry się nie zgadzają, urządzenia uznają, że natrafiły na granicę regionu. MST pozwala na utworzenie w ramach jednej sieci fizycznej kilku oddzielnych regionów. Dostępna jest również kompatybilność z innymi implementacjami, takimi jak Rapid Spanning Tree czy tradycyjne Spanning Tree. **W momencie konfiguracji MST tworzony jest IST – Internal Spanning Tree, podstawowa instancja o numerze 0**. Do niej przypisane są wszystkie vlany, które następnie można przenieść do kolejnych instancji MSTI. MSTI0 (czyli IST) służy głównie do komunikacji z innymi regionami oraz implementacjami STP. **Wyłącznie IST generuje i wysyła pakiety BPDU**. Informacje o pozostałych instancjach są umieszczone w rekordach MSTP (M-records) i następnie dołączane do BPDU. Korzystając z Multiple Spanning Tree, należy pamiętać, że instancje nie są mapowane 1 do 1 z vlanami. Planując rozłożenie ruchu poprzez modyfikowanie dozwolonych vlanów na interfejsach trunkowych, należy wziąć pod uwagę, które interfejsy zostaną zablokowane w konkretnej instancji MST. ![MSTI blokuje interfejs na którym jest dopuszcozny vlan w trunk](https://innasiec.pl/content/images/2024/06/Blokada-MSTI-interfejsu.webp) **Na powyższym obrazku widać, że MSTI blokuje interfejs, na którym dozwolony jest vlan 10**. Ponieważ nie jest on dozwolony na interfejsie, który może przekazywać ruch (designated/root), połączenie w tym vlanie zostanie przerwane. ### **Tworzenie MSTI** Podobnie jak w RSTP, **każdy switch w MSTP wysyła własne pakiety BPDU**. Każdy taki pakiet zawiera pełne informacje o IST oraz przenosi M-Records dla każdego MSTI. Wykorzystując mechanizmy konwergencji z RSTP (Proposal i agreement), tworzone są osobne instancje IST oraz MSTP. **Należy pamiętać, że podstawowe timery Hello, Forward Delay i MaxAge mogą być modyfikowane jedynie dla IST**. Instancje MSTI dziedziczą te timery od IST. **MSTP posiada specjalny mechanizm zaimplementowany w BPDU dla IST, zwanym „Remaining Hops”.** Root bridge wysyła BPDU z liczbą przeskoków równą Max Hops (wartość konfigurowalna). Każdy kolejny switch zmniejsza wartość pola o jeden. Gdy liczba przeskoków osiągnie zero, informacje w BPDU są ignorowane, a przełącznik może zacząć deklarować się jako nowy root dla IST. Na styku z inną implementacją STP nadal wykorzystywane są klasyczne timery. ### Konfiguracja Multiple Spanning Tree ![Przykladowa topologia do konfiguracji MSTP](https://innasiec.pl/content/images/2024/06/konfiguracja-MSTP-Przykladowa-topologia.webp) Do skonfigurowania MST wykorzystamy topologię widoczną na powyższym obrazku oraz następujące atrybuty: - **Nazwa konfiguracji MST:** innasiec.pl - **Numer rewizji:** 1 - **Instancje MST:** - **Instancja 1** – vLANY od 1 do 99 - **Instancja 2** – vLANY od 100 do 999 Konfiguracja jest identyczna dla każdego przełącznika. ``` SW1(config)#spanning-tree mode mst SW1(config)#spanning-tree mst configuration SW1(config-mst)#name innasiec.pl SW1(config-mst)#revision 1 SW1(config-mst)#instance 1 vlan 1-99 SW1(config-mst)#instance 2 vlan 100-999 ``` Root Bridge'em dla wszystkich instancji będzie SW3. ``` SW3(config)#spanning-tree mst 0 priority 4096 SW3(config)#spanning-tree mst 1 priority 4096 SW3(config)#spanning-tree mst 2 priority 4096 ``` Konfiguracja jest gotowa. Jak widzisz, pierwszą rzeczą do zmiany jest tryb spanning tree z domyślnego PVST/RSTP na MST za pomocą polecenia `spanning-tree mode mst`. Kolejnym krokiem jest wejście w właściwą konfigurację MST za pomocą polecenia `spanning-tree mst configuration`. Następnie należy nadac odpowiednią nazwę, numer rewizji oraz przypisać vlany do instancji MST. ``` SW3#show spanning-tree mst configuration Name [innasiec.pl] Revision 1 Instances configured 3 Instance Vlans mapped ——– —————————————————————— 0 1000-4096 1 1-99 2 100-999 —————————————————————————— ``` ``` SW3#show spanning-tree mst ##### MST0 vlans mapped: 1000-4096 Bridge address 5007.003.0000 priority 4096 (4096 sysid 0) Root this switch for the CIST ``` ### MST w wielu regionach Podczas łączenia wielu regionów MST w ramach jednej sieci, każdy z nich posiada **IST (Internal Spanning Tree)** oraz wspólnie budują **CIST (Common Internal Spanning Tree)**. Tworząc wspólną instancję STP, należy określić, który switch zostanie root bridge. **CIST root to switch z najniższym Bridge ID we wszystkich regionach**. W każdym regionie jest wybierany CIST Regional Root, czyli switch na granicy regionu, z najniższym kosztem dotarcia do CIST Root. ![Implementacja MSTP w wielu regionach](https://innasiec.pl/content/images/2024/06/mstp-w-wielu-regionach.webp) ### Proces wyboru CIST Root Świeżo podłączony do sieci **switch zaczyna rozsyłać BDPU z ustawionymi CIST Root i CIST Regional Root na siebie.** Gdy otrzyma informację o switchu z niższym Bridge ID, zaczyna rozsyłać wewnątrz regionu BDPU z BID nowego roota. Na portach skierowanych na zewnątrz regionu przesyłane są informacje o **CIST Root Bridge ID** oraz koszcie ścieżki do **CIST Root (CIST External Root Path Cost)**, ukrywając w ten sposób topologię regionu. Jest to łączny koszt dotarcia do CIST Roota poprzez wszystkie łącza spoza regionu. **Po wyborze CIST Root, wszystkie switche na krawędziach regionów blokują swoje porty skierowane na zewnątrz obszaru**. Jedynie Regional Root odblokowuje jeden port skierowany w stronę Roota. ### Współpraca MSTP i PVST Multiple Spanning Tree Protocol został zaprojektowany do współpracy z innymi implementacjami STP, takimi jak RSTP czy oryginalny Spanning Tree Protocol. **Z perspektywy innych urządzeń cały region MST wygląda jak pojedyncze urządzenie.** Switch na granicy regionu nasłuchuje ramek BPDU, a następnie na ich podstawie przestawia port, aby pracował w RSTP lub STP i dołącza do drzewa nazywanego CST (Common Spanning Tree). Mamy więc do czynienia z sytuacją hierarchiczną, gdzie jeden poziom stanowią osobne topologie IST w ramach każdego regionu. Poziom wyżej znajduje się topologia CST, gdzie każda topologia IST stanowi jeden element sieci. ![Trzy nakładające się na siebie topologie MST, CST,CIST](https://innasiec.pl/content/images/2024/06/MST-CST-CIST.webp) Na powyższym obrazku przedstawione są trzy nakładające się na siebie topologie: - **IST** – Internal Spanning Tree - **CIST** – Common & Internal Spanning Tree - **CST** – Common Spanning Tree **Współdziałanie MSTP i PVST wymaga mechanizmu, który umożliwi automatyczne wymienianie informacji o zmianach w konkretnych drzewach STP dla każdego VLAN-u oraz tych w instancjach MST**. Nieoptymalną, ale najprostszą metodą jest dołączenie wszystkich instancji PVST do CST (w MST tylko topologia IST przekazuje informacje). Takie rozwiązanie gwarantuje, że żadna zmiana nie zostanie pominięta, jednak zmniejsza stabilność wszystkich instancji MSTP we wszystkich regionach, czyniąc je podatnymi na zmiany w PVST. I**mplementacja MSTP symuluje działanie PVST+ poprzez wysyłanie CIST BPDU do wszystkich VLAN-ów** poprzez interfejsy trunkowe w stronę urządzenia pracującego na PVST+. Jak w każdej implementacji STP, również dla topologii CST musimy wybrać Root Bridge. Dostępne są dwie opcje: 1. **Root Bridge dla wszystkich VLAN-ów znajduje się w instancji MST**. Oznacza to, że CIST Root Bridge ID ma najniższą wartość spośród wszystkich PVST+ Bridge ID. Jeśli tylko jeden Region MST jest połączony z PVST+, wtedy wszystkie porty na styku są odblokowane i możliwe jest manipulowanie kosztem uplinków dla równoważenia ruchu. 2. **Switch po stronie PVST jest Root Bridgem dla wszystkich VLAN-ów**. Jednakże, nie jest to rekomendowane, ponieważ wszystkie instancje MSTI są traktowane jako jedna topologia, co uniemożliwia równoważenie ruchu. ### Problem z MSTP i PVST+ Łączenie obszarów MSTP i PVST+, które współpracują ze sobą, jest zadaniem wymagającym. Najczęstszym problemem jest **PVST Simulation Inconsistency**. Celem PVST Simulation jest zapewnienie spójności ról i statusów portów między regionami MST oraz instancjami PVST. Jeśli umiejscowienie chociaż jednego Root bridge, będzie inne niż pozostałych, topologia CST będzie niespójna. Problem ten można rozwiązać na dwa sposoby: - Skonfigurować priorytet MSTI 0 na niższy niż w PVST dla każdego vlanu. - Skonfigurować PVST jako Root Bridge: - VLAN 1 – o niższym priorytecie niż MSTI 0. - VLANy 2-4094 – o priorytecie niższym niż w VLAN 1. ### Podsumowanie MSTP rozwiązuje wiele problemów związanych z STP w sieci, ograniczając liczbę instancji, jednocześnie zachowując możliwość wprowadzania inżynierii ruchu. Jednakże, wprowadza dodatkowy poziom skomplikowania, który wymaga starannego zaplanowania. Czy korzystasz w swojej sieci z MSTP? ### Błąd w DNS, który generuje gigantyczny atak DDoS URL: https://innasiec.pl/blad-w-dns-ktory-generuje-gigantyczny-atak-ddos/ Last updated: 2024-07-03T18:28:18.000Z _This post is for paying subscribers only._ ### Labowanie BGP na ponad 1500 ASN URL: https://innasiec.pl/labowanie-bgp-na-ponad-1500-asn/ Last updated: 2024-07-03T18:21:14.000Z _This post is for paying subscribers only._ ### Jakie są różnice między IaaS vs PaaS vs SaaS? URL: https://innasiec.pl/jakie-sa-roznice-miedzy-iaas-vs-paas-vs-saas/ Last updated: 2024-06-27T05:47:42.000Z [Chmura obliczeniowa](https://innasiec.pl/co-to-jest-cloud-computing/) istnieje na rynku od wielu lat, a liczba firm korzystających z rozwiązań chmurowych, choć częściowo, stale rośnie. **Według danych opublikowanych przez Eurostat w 2021 roku średnio 41% przedsiębiorstw korzystało z usług chmurowych.** Interesujący jest także wzrost korzystania z usług chmurowych, który w porównaniu do 2020 roku wzrósł o 5%! Istotne są również statystyki dotyczące wykorzystania usług chmurowych przez duże przedsiębiorstwa. Wśród nich aż 72% firm (w Europie) korzystało z usług chmurowych w 2021 roku, co stanowi wzrost o 7 punktów procentowych w porównaniu do 2020. Dynamiczny rozwój chmury oraz stosunkowo wysoki odsetek firm korzystających z rozwiązań chmurowych pozwalają zmienić perspektywę na przyszłość systemów IT. W tej chwili, zamiast zastanawiać się "czy warto przenieść się do chmury?", coraz częściej zadajemy sobie pytanie "kiedy powinniśmy zacząć korzystać z rozwiązań chmurowych?". Choć odpowiedź może być różna, jedno mogę powiedzieć z pełną pewnością – **rozwiązania chmurowe znajdą zastosowanie w praktycznie każdym biznesie.** Zanim jednak przystąpimy do migracji do chmury, warto zrozumieć, jakie modele usług chmurowych można wykorzystać oraz jaką część odpowiedzialności można przekazać dostawcy usług chmurowych. Dlatego nie przedłużając, zapraszam do lektury! ## Jak wybór modelu usług wpływa na odpowiedzialność? Posiadając własną serwerownię (środowisko on-premises), odpowiedzialność za wszystkie aspekty spoczywa na nas. Od zapewnienia pomieszczenia, prądu czy wszelkich systemów zapewniających ciągłość działania serwerów, poprzez wirtualizację, konfigurację czy aktualizację serwerów, aż po szereg działań zapewniających bezpieczeństwo i prawidłowe działanie samej aplikacji. Nieco inaczej wygląda to w przypadku wyboru usług chmurowych, które docelowo mogą pozwolić nam na całkowite zrezygnowanie z posiadania własnej infrastruktury. Wybór odpowiedniego modelu usług w chmurze wiąże się bezpośrednio z odpowiednim podziałem odpowiedzialności za prawidłowość działania czy bezpieczeństwo usługi. Odpowiedzialność zawsze jest dzielona pomiędzy dostawcę chmury obliczeniowej oraz podmiot wykorzystujący usługi chmurowe. Możemy więc powiedzieć, że wraz z wyborem modelu usług chmurowych decydujemy, jak dużą część odpowiedzialności przekażemy dostawcy tych usług. Aby dobrze zrozumieć odpowiedzialność związaną z wykorzystaniem poszczególnych modeli usług chmurowych, przejdźmy od razu do ich omówienia. Z uwagi na to, że zawodowo zajmuję się chmurą dostarczaną przez Microsoft, będę posługiwał się przede wszystkim przykładami ich usług: ![Modele chmurowe](https://innasiec.pl/content/images/2024/06/Cloud_models.webp) ## Infrastructure as a Service (IaaS, Infrastruktura jako usługa) W tym modelu na dostawcy chmury spoczywa najmniejsza część odpowiedzialności w stosunku do pozostałych. Odpowiada on za całą infrastrukturę – od odpowiednio przygotowanej i zabezpieczonej serwerowni jako budynku/pomieszczenia, przez wszelkiego typu hardware (dyski twarde, RAM i inne elementy, z których składa się serwer) po [wirtualizację](https://www.jakubkulikowski.pl/2022/01/26/wirtualizacja-czym-jest-i-dlaczego-warto-z-niej-korzystac/?ref=innasiec.pl), która pozwoli efektywnie wykorzystywać serwery. Za pozostałe widoczne na powyższej grafice elementy odpowiadamy my, jako korzystający z usług chmurowych. **Przykładem usługi udostępnianej nam w modelu IaaS są oferowane w chmurze maszyny wirtualne.** W tym przypadku nasza odpowiedzialność ogranicza się do wszystkich elementów, które możemy wykonać z poziomu takiej maszyny. Mówimy tutaj naturalnie o utrzymywaniu aplikacji czy danych, które znajdują się na danej maszynie, ale także np. o kwestii aktualizacji jej systemu operacyjnego. Za zapewnienie ciągłości działania maszyny czy jej połączenie sieciowe odpowiada dostawca chmury. **Za wyborem modelu IaaS stoi przede wszystkim bardzo duża elastyczność.** Poza hardware’em żadne rozwiązania nie są nam narzucane przez dostawcę usług chmurowych. Na takiej maszynie możemy wykorzystywać dowolne oprogramowanie, instalować dowolny system operacyjny, a także konfigurować szereg innych elementów pod nasze potrzeby. Aby dobrze zrozumieć omawiane modele, posłużmy się analogiami do sytuacji z codziennego życia. **Korzystanie z usług w środowisku on-premises (własnej serwerowni) możemy porównać np. do zakupu samochodu.** Kupujący staje się jego właścicielem (tak jak np. nabywając serwer) i jest w pełni odpowiedzialny nie tylko za jazdę, ale i wszystko dookoła. Mowa tutaj np. o serwisowaniu, zmianie opon, paliwie itp. **Korzystanie z usług w modelu IaaS możemy porównać do wynajmu samochodu.** Jesteśmy odpowiedzialni za jazdę autem, tankowanie, dolewanie płynu do spryskiwaczy czy np. płatność za parking. Część odpowiedzialności za auto (np. rejestrację auta, przegląd i serwisowanie), a także za jego zakup bierze na siebie wynajmujący/wypożyczalnia. ## Platform as a Service (PaaS, Platforma jako usługa) W tym modelu odpowiedzialność dostawcy usług chmurowych jest istotnie szersza aniżeli w przypadku IaaS. **W przypadku PaaS dostawca chmury obliczeniowej daje nam gotowe środowisko**, w którym możemy np. tworzyć naszą aplikację. Tym samym przejmuje on odpowiedzialność nie tylko za elementy infrastruktury, ale także za system operacyjny czy całe środowisko, w którym działa aplikacja. **Idealnym przykładem usług oferowanych w modelu PaaS jest konteneryzacja**, którą często kojarzymy z **Dockerem** lub **Kubernetes**. PaaS powinniśmy kojarzyć przede wszystkim z możliwością tworzenia samej aplikacji czy narzędzi, nie z konfiguracją danego narzędzia czy modelowaniem danych wewnątrz niego. W środowisku chmury Microsoft dobrym przykładem może być również Power Apps, które często są błędnie zaliczane do innego modelu. Z uwagi na to, że pozwalają one tworzyć aplikacje (choć bez konieczności pisania kodu), zaliczane są do tej właśnie grupy usług. **Za wyborem usług typu PaaS przemawia przede wszystkim względna prostota i szybkość budowania aplikacji.** Nie musimy martwić się o przygotowanie środowiska czy infrastruktury, możemy niemalże w pełni poświęcić się procesowi tworzenia. Wracając do analogii z samochodem, w przypadku PaaS mamy do czynienia np. z car sharingiem. Dostawca samochodu bierze na siebie jeszcze większą odpowiedzialność – w pełni serwisuje auto, opłaca parkingi czy dba o poziom jego paliwa. My jedynie wypożyczamy auto na minuty, jedziemy nim do punktu docelowego, o nic się nie martwiąc, a następnie zostawiamy w określonym miejscu. ## Software as a Service (SaaS, Oprogramowanie jako usługa) Ostatni z „głównych” modeli usług dostarczanych w chmurze. **SaaS polega na dostarczeniu gotowego już oprogramowania, które możemy wykorzystywać zgodnie z jego przeznaczeniem.** Dostawca bierze na siebie pełną odpowiedzialność za utrzymywanie i prawidłowość działania oprogramowania, a także bezpieczeństwo danych. Nie jest jednak tak, że my jako korzystający z usług w modelu SaaS nie mamy absolutnie żadnej odpowiedzialności. Odpowiadamy za niektóre aspekty, związane w szczególności z dostępem tj. musimy dbać o to, aby konta użytkowników były odpowiednio zabezpieczone. Jest to absolutnie logiczne i zrozumiałe – ciężko, aby dostawca usługi brał na siebie odpowiedzialność za dostęp jeżeli np. użytkownik sam przekazał hasło do swojego konta nieuprawnionej osobie. **Dobrym przykładem usługi dostarczanej w modelu SaaS są wszelkie aplikacje oferowane w ramach Microsoft 365**. Odpowiedzialność za ich działanie czy np. za przechowywane w ramach OneDrive, czy SharePoint dane bierze Microsoft. My z kolei dbamy o to, aby konta naszych użytkowników posiadające tam dostęp były bezpieczne. Za wyborem usług w modelu SaaS przemawia przede wszystkim fakt, że dostawca usługi przejmuje na siebie odpowiedzialność za utrzymanie aplikacji i udostępnianie zawsze aktualnej wersji. Posiadając komputery z dostępem do internetu, możemy korzystać z usług nie martwiąc się specjalnie, o ich wcześniejszą konfigurację czy zapewnienie im odpowiedniego środowiska do działania. Wróćmy ponownie do analogii z samochodem. **Mówiąc o usługach typu SaaS myślimy w tym przykładzie o podróży z wykorzystaniem Taxi.** Nie musimy martwić się w zasadzie o nic – ani o elementy związane z samochodem, ani o jego prowadzenie (może jedynie o zapięcie pasów bezpieczeństwa). Płacimy, a kierowca zawiezie nas w wybrane przez nas miejsce. ## Pozostałe usługi „as a Service” Poza głównymi usługami, które zostały wymienione powyżej, **możemy spotkać się jeszcze z wieloma innymi usługami „as a service”**. Choć znajomość powyższych modeli jest zdecydowanie wystarczająca, być może warto krótko wspomnieć o ich istnieniu. W ostatnich latach pojawił się trend nazywania wielu oferowanych usług „as a Service” i generując tym samym nowe modele usług. **DbaaS (*Database as a Service*), WaaS (*Windows as a Service*), DaaS (*Device as a Service*)** i wiele innych. Część z nich mogłaby zawierać się w wymienionych głównych usługach, część stanowi w zasadzie nową nazwę dla dobrze znanych modeli subskrypcyjnych/wynajmu. Tak czy inaczej – warto skoncentrować się przede wszystkim na trzech głównych modelach. ## Benefity korzystania z usług chmurowych Za wyborem usług w chmurze przemawia wiele benefitów, które są charakterystyczne dla więcej niż jednego modelu usług. Choć będą one miały zastosowanie dla wszystkich modeli usług chmurowych, odczujemy je przede wszystkim w modelu IaaS oraz SaaS w kontekście hostowania własnych aplikacji: - **Mniejsze koszty** – korzystając z tych modeli nie musimy płacić za fizyczny sprzęt, ponosząc duże koszty z góry. Wynajmujemy go od Dostawcy i w każdej chwili możemy z tego zrezygnować. - **Większa elastyczność i Pay as you go** – Korzystając z chmury mamy dużą elastyczność w zakresie wykorzystywanych zasobów. Płacimy również za nie zgodnie z ich rzeczywistym wykorzystaniem, możemy je w każdej chwili włączyć, a także z nich zrezygnować. W przypadku tradycyjnej serwerowni wymagałoby to zakupu oddzielnego sprzętu, wygospodarowania miejsca w serwerowni itp. - **Wysoka dostępność** – jest gwarantowana w przypadku usług chmurowych. Nawet w przypadku poważnych awarii usługi będą działały na innym serwerze czy w innej serwerowni, do której zostały wcześniej zreplikowane. W przypadku środowisk On-premises – musimy posiadać dodatkowy hardware wykorzystywany tylko na wypadek awarii, a także całą zapasową serwerownię. - **Wysoka skalowalność** – Najłatwiej będzie wyjaśnić to na przykładzie. Załóżmy, że posiadamy sklep internetowy odwiedzany przez 10 tys. osób dziennie. Okresowo, np. w Black Friday czy w okresie przedświątecznym organizujemy duże promocje, które zwiększają ruch nawet do 50 tys. osób danego dnia. W przypadku chmury – możemy automatycznie, w każdej chwili zwiększyć zasoby i zapłacić za ich wykorzystanie tylko przez określoną ilość godzin, gdy ruch był wzmożony. W przypadku tradycyjnej serwerowni – musimy zakupić i przez cały rok utrzymywać infrastrukturę, które będzie w stanie obsłużyć taki ruch kilka dni w roku. To właśnie m.in. te, ale też inne benefity są powodem tak dynamicznego wzrostu wykorzystania usług chmurowych. Widząc ten wzrost, dostawcy usług chmurowych inwestują coraz większe pieniądze w rozwiązania chmurowe oraz ich bezpieczeństwo. Przykładem jest, chociażby Microsoft, który zapowiedział inwestycję na poziomie 20 miliardów dolarów w skali 5 lat, na rozwój bezpieczeństwa. **Nie można nie zauważyć, że właśnie na rozwiązania chmurowe najwięksi gracze kładą teraz największy nacisk.** Dlatego też, aby utrzymywać dostęp do najnowszych technologii, migracja do chmury w dłuższej perspektywie czasu wydaje się być nieunikniona. **Autorem artykułu jest Jakub Kulikowski specjalistą rozwiązań Microsoft 365**. Jeśli chcesz przeczytać więcej jego wpisów, koniecznie odwiedź: [jakubkulikowski.plZadbaj o bezpieczeństwo środowisk chmurowych i hybrydowych razem ze mną!![](https://www.jakubkulikowski.pl/wp-content/uploads/2021/07/cropped-cropped-logo_KUBA_V1a-270x270.png)jakubkulikowski.plJakub Kulikowski![](https://www.jakubkulikowski.pl/wp-content/uploads/2021/07/cropped-logo_KUBA_V1a.png)](https://jakubkulikowski.pl/?ref=innasiec.pl) ### Jak rozpocząć karierę inżyniera chmury? ☁️ URL: https://innasiec.pl/jak-rozpoczac-kariere-inzyniera-chmury/ Last updated: 2024-07-03T14:25:54.000Z _This post is for paying subscribers only._ ### Jak często stosowany jest Anycast DNS? URL: https://innasiec.pl/jak-czesto-stosowany-jest-anycast-dns/ Last updated: 2024-07-03T14:26:31.000Z _This post is for paying subscribers only._ ### Jak działa SLA w chmurze? ☁️ URL: https://innasiec.pl/jak-dziala-sla-w-chmurze/ Last updated: 2024-07-03T18:28:24.000Z _This post is for paying subscribers only._ ### Podsumowanie roku 2021 URL: https://innasiec.pl/podsumowanie-roku-2021-2/ Last updated: 2024-07-03T14:10:50.000Z _This post is for paying subscribers only._ ### Podsumowanie roku 2021 URL: https://innasiec.pl/podsumowanie-roku-2021/ Last updated: 2024-06-26T13:19:51.000Z 2021 to rok przede wszystkim zmiany w karierze zawodowej. **Porzuciłem pracę na etacie i otworzyłem firmę RunPackets.** Nadal jest to głównie praca kontraktowa dla jednego klienta, z drobnymi zleceniami na boku, pozwoliło mi to jednak znacznie zwiększyć inwestycje w rozwój mój, bloga i newslettera. W tym roku poruszę również kwestię, ile kosztuje blogowanie. ## Statystyki ruchu na blogu w 2021 ![Statystyki ruchu w 2021](https://innasiec.pl/content/images/wordpress/2021/12/statystyki_ruchu_w_2021.png) Statystyki ruchu w 2021 Na początek zbiorcze statystyki ruchu na stronie od 1 stycznia 2021 do 31 grudnia 2021\. **Bloga w ubiegłym roku odwiedziło 31 570 osób**, co przekłada się na średnio 86 osób dziennie. ![Statystyki ruchu w 2021 vs 2020](https://innasiec.pl/content/images/wordpress/2021/12/statystyki_ruchu_2021vs2020.png) Statystyki ruchu w 2021 vs 2020 Bardzo mnie **cieszy wzrost liczby odwiedzających o nieco ponad 95% w porównaniu z rokiem 2020**. Artykuły w tym roku były nieco krótsze niż zwykle oraz stronę zapisu na newsletter przeniosłem na własną domenę, co przekłada się na spadki w czasie trwania sesji oraz statystykach sesji. Po raz kolejny notuję wzrost współczynnika odrzuceń (wejść i wyjść z tej samej strony), widać nadal dużo do poprawy. ## Artykuły w 2021 W ubiegłym roku na blogu pojawiło się **12 nowych artykułów**. W tym okresie skupiłem się głównie na rozwoju newslettera, dlatego cieszy mnie, że wyszło, chociaż po jednym artykule na każdy miesiąc. 1. [Podsumowanie roku 2020](https://innasiec.pl/podsumowanie-roku-2020/) 2. [5 rzeczy w OSPF, o których mogłeś nie wiedzieć](https://innasiec.pl/5-rzeczy-w-ospf-o-ktorych-mogles-nie-wiedziec/) 3. [RFC 1925 – 12 sieciowych praw](https://innasiec.pl/rfc-1925-12-sieciowych-praw/) 4. [7 powodów, dlaczego CCNA powinno być Twoim pierwszym certyfikatem](https://innasiec.pl/7-powodow-dlaczego-ccna-powinno-byc-twoim-pierwszym-certyfikatem/) 5. [Zdałem Cisco ENCOR 350-401](https://innasiec.pl/zdalem-cisco-encor-350-401/) 6. [Jaka jest różnica między switchem i routerem?](https://innasiec.pl/jaka-jest-roznica-miedzy-switchem-i-routerem/) 7. [TOP3 programy do wirtualnego labowania](https://innasiec.pl/top3-programy-do-wirtualnego-labowania/) 8. [Wprowadzenie do MPLS](https://innasiec.pl/wprowadzenie-do-mpls/) 9. [PLNOG ONLINE 21 – 22 Września](https://innasiec.pl/plnog-online-21-22-wrzesnia/) 10. [Jak znaleźć pierwszą pracę w IT? Pytamy rekruterów](https://innasiec.pl/jak-znalezc-pierwsza-prace-w-it/) 11. [TOP 10 blogów dla sieciowca w 2021](https://innasiec.pl/top-10-blogow-dla-sieciowca-w-2021/) 12. [100 pytań na juniora w sieciach](https://innasiec.pl/100-pytan-na-juniora-w-sieciach/) **N** **ajpopularniejsze artykułów w 2021** to nadal artykuły techniczne: 1. [Vlan – wszystko, co musisz wiedzieć o wirtualnych sieciach LAN](https://innasiec.pl/konfiguracja-vlan-cisco-switch/) 2. [OSPF – Routing w oparciu o link state | teoria](https://innasiec.pl/podstawy-ospf-teoria/) 3. [Projektowanie sieci komputerowych](https://innasiec.pl/projektowanie-sieci-komputerowych/) 4. [IPsec VPN](https://innasiec.pl/ipsec-vpn/) 5. [ACL – Wszystko co musisz wiedzieć o listach dostępu](https://innasiec.pl/acl-access-control-lists/) ## Statystki Social Media w 2021 Nadal za bardzo nie umiem w Social Media, ale na szczęście poza Twitterem wszystkie statystyki w górę, choć chciałoby się więcej. **W 2021 na facebooku stworzyłem grupę [Pierwsze kroki w sieciach](https://www.facebook.com/groups/pierwszekrokiwsieciach)**, gdzie mam nadzieję, uda nam się wejść w jeszcze bliższą relację i pomóc postawić pierwsze kroki w sieciach. Będąc w temacie Facebooka, tutaj **fanpage Inna Sieć nadal radzi sobie naj** **lepiej** ze wszystkich social mediów. Niezmiennie z największą liczbą obserwujących i przyrostem o 322 osoby. W ubiegłym roku zacząłem udzielać się więcej na prywatnym Linkedin. Pora wyjść do świata i pokazać, że mam coś wartościowego do przekazania. Twitter zanotował szalony wzrost o 7 obserwujących. Dla formalności dorzucam statystyki z prywatnego instagrama, gdzie w ostatnim roku również wrzuciłem trochę materiałów. Zapraszam do obserwowania [https://www.instagram.com/rafalrudewicz/](https://www.instagram.com/rafalrudewicz/?ref=innasiec.pl) ## Statystyki newslettera w 2021 Newsletter to było moje oczko w głowie w tym roku. Większość wolnego czasu spędziłem na udoskonalaniu procesu researchu nowych treści oraz składu nowych wydań. Pojawiła się również wersja płatna, która oprócz większej liczby treści w samym newsletterze oferuje dostęp do bazy wiedzy oraz archiwum. Newsletter w **standardowej cenie kosztuje 199zł za rok** lub można było go nabyć w **promocji za 99zł.** Wszystkie pieniądze zebrane z subskrypcji zostaną zainwestowane w dalszy rozwój newslettera. ![Przychód z newslettera w 2021](https://innasiec.pl/content/images/wordpress/2021/12/przychod_z_newslettera.png) Przychód z newslettera w 2021 ## ## wydatki w 2021 Powiedzmy to sobie szczerze na wstępie. Bloga można prowadzić praktycznie bez kosztów. Wystarczy najtańszy hosting i domena. Razem wychodzi około 200zł za rok. W 2021 postanowiłem zainwestować w rozwój i wygenerować trochę kosztów w firmie. Podane ceny są kwotami brutto z faktur. **Szkolenia:** - [Szkoła Płatnego newslettera](https://akademia.pl/mail?ref=innasiec.pl) – 995zł - [Szkoła Marki osobistej](https://akademia.pl/marka?ref=innasiec.pl) – 995zł - [Fabryka kursów](https://akademia.pl/fabryka?ref=innasiec.pl) – 647,50zł - [Newsletter na autopilocie](https://newsletter.zautomatyzowani.pl/?ref=innasiec.pl) 549zł **Aplikacje:** - Canva – 455zł/rok - Integromat – ok 36zł/msc - Placid – ok 62zł/msc - MailingR – 950zł/rok - Hosting – 121,70zł/rok - Domena – 50zł/rok **Sprzęt:** - Mikrofon Novox NC-1 – 290zł - Lampa LED Yongnuo YN-300 Air + zasilacz – 199zł - Statyw do biurka – 409zł - Elgato camlink 4k – 489zł ## Podsumowanie Rok 2021 to był zdecydowanie rok wydatków i inwestycji, które już teraz pozwalają dostarczać więcej treści w jeszcze lepszej formie. Sporo czasu i energii przeznaczyłem na rozwój newslettera. W ubiegłym roku jeszcze więcej osób niż kiedykolwiek odwiedziło bloga oraz coraz więcej osób komentuje wpisy, czy to na blogu, czy w social mediach, z czego się mega cieszę. **To był mój 2021, a jak wyglądał Twój?** ### Dlaczego sieciowiec powinien znać Go? 🤔 URL: https://innasiec.pl/dlaczego-sieciowiec-powinien-znac-go/ Last updated: 2024-07-03T14:04:54.000Z _This post is for paying subscribers only._ ### Gdzie jest miejsce firewalla w sieci? 🎅 URL: https://innasiec.pl/gdzie-jest-miejsce-firewalla-w-sieci/ Last updated: 2024-07-03T13:56:15.000Z _This post is for paying subscribers only._ ### Jak dobrze zadawać pytania rekrutacyjne? 🤔 URL: https://innasiec.pl/jak-dobrze-zadawac-pytania-rekrutacyjne/ Last updated: 2024-07-03T13:39:30.000Z _This post is for paying subscribers only._ ### Co wybrać, szybsze łącze czy QoS?🤔 URL: https://innasiec.pl/co-wybrac-szybsze-lacze-czy-qos/ Last updated: 2024-07-03T12:45:41.000Z _This post is for paying subscribers only._ ### Pytania na juniora w sieciach - aktualizacja 2025 URL: https://innasiec.pl/100-pytan-na-juniora-w-sieciach/ Last updated: 2025-05-06T21:07:26.000Z Poniżej znajdziesz **listę pytań, które mogą pojawić się podczas rozmowy o pracę na stanowisko młodszy inżynier sieci**, czyli po angielsku junior network engineer. Nie mogę zagwarantować, że akurat te pytania zostaną zadane podczas Twojej rekrutacji, ale mogę zagwarantować, że warto znać na nie odpowiedzi. Od **juniora oczekuje się podstawowej wiedzy, logicznego myślenia oraz przede wszystkim chęci do nauki**. Dlatego traktuj tę listę jako wyzwanie, które pozwoli Ci ocenić swój poziom wiedzy i być może zidentyfikować obszary, w których masz braki. **Zapraszam i życzę powodzenia!** ## **Podstawy sieci komputerowych** #### ****Ile jest warstw w modelu OSI?** Warstw jest 7. 1- Warstwa Fizyczna, 2- Łącza danych, 3- Warstwa sieci, 4- Warstwa transportowa, 5- Warstwa Sesji, 6- Warstwa Prezentacji, 7- Warstwa Aplikacji #### ****Ile jest warstw w modelu TCP/IP?** W modelu TCP/IP mamy cztery warstwy. 1 – Warstwa dostępu do sieci, 2- Warstwa internetowa, 3- Warstwa transportowa, 4- Warstwa aplikacji. #### ****Co to jest router?** Router to urządzenie pracujące na warstwie 3, którego głównym zadaniem jest przekazywanie pakietów między różnymi sieciami na podstawie adresów IP. #### ****Co to jest switch (przełącznik)?** Switch to urządzenie pracujące w warstwie 2, którego zadaniem jest umożliwienie podłączenia jak największej liczby urządzeń końcowych. Przekazuje pakiety na podstawie adresów MAC oraz wprowadza segmentację sieci na podstawie vlanów. #### ****Co to jest switch L3 (przełącznik warstwy 3)?** Jest to switch wyposażony w podstawową i ograniczoną funkcjonalność routerów, pozwalając na przekazywanie pakietów pomiędzy podsieciami. #### ****Co to jest firewall?** Zadaniem firewalla jest chronić sieć wewnętrzną przed atakami z zewnątrz, ale również przed intruzami wewnątrz. Dokonują tego, filtrując ruch, określając dostęp do zasobów oraz analizując pakiety w wyższych warstwach modelu OSI. #### ****Co to jest NIC?** Network Interface Card. Karta sieciowa pozwalająca na podłączenie do sieci. Każdy NIC posiada własny unikatowy adres MAC. #### ****Czym jest brama domyślna?** Brama domyślna jest urządzeniem, do którego użytkownicy przesyłają dane, kiedy nie znają drogi do konkretnego adresu IP z nadzieją, że brama domyślna wie gdzie je przekazać dalej. #### ****Jaka jest różnica między switchem i routerem?** Switch jest wykorzystywany do komunikacji w obrębie jednej sieci lokalnej, natomiast router jest używany do przekazywania danych między różnymi sieciami. Więcej przeczytasz na blogu [różnica między switchem a routerem](https://innasiec.pl/jaka-jest-roznica-miedzy-switchem-i-routerem/). #### ****Jaka jest różnica pomiędzy kablem prostym i skrosowanym?** Kable proste służą do łączenia urządzeń z różnych grup produktowych, na przykład komputera ze switchem, switcha z routerem. Kable skrosowane służą do łączenia podobnych urządzeń np. routerów z routerami. Wynika to ze specyfiki, którymi pinami w urządzeniu są nadawane i odbierane dane. Współczesne urządzenia są wyposażone w MDIX i są w stanie zniwelować potrzebę stosowania konkretnego rodzaju kabla. #### ****Czy możliwa jest komunikacja pomiędzy dwoma urządzeniami jeśli jedno pracuje w full-duplex, a drugie w half-duplex?** Tak, jest możliwa, jednak będzie ona powodować błędy w transmisji. Niezgodność duplexu powoduje przyrost błędów CRC oraz ramek runt po stronie pracującej w full-duplexie. #### ****Co oznacza znak zachęty # w CLI urządzeń Cisco?** Oznacza, że znajdujemy się w trybie uprzywilejowanym, czyli enable. ## Adresacja IP #### ****Co to jest adres IP?** Adres logiczny urządzenia w warstwie 3\. Obecnie stosujemy dwa niezależne od siebie systemy adresacji IPv4 32bitowa adresacja oraz IPv6 128bitowa adresacja. #### ****Ile adresów IP jest w sieci z maską /24?** W sieci z maską /24 mamy 256 adresów, z czego dwa pełnią specjalną funkcję adresu sieci oraz adresu rozgłoszeniowego. Dla urządzeń końcowych mamy 254 adresy. #### ****Co to jest maska sieciowa?** Jest to element, który pozwala określić część adresu IP określająca przynależność do sieci oraz adres hosta. #### ****Co to jest prywatny adres IP?** Jest to adres pochodzący ze specjalnie przeznaczonych do tego celu puli adresowych w RFC1918\. Są to pule ****10.0.0.0 - 10.255.255.255, 172.16.0.0 - 172.31.255.255 oraz 192.168.0.0 - 192.168.255.255**. Ich zadaniem jest zapewnienie przestrzeni adresowej wewnątrz sieci LAN, kiedy niemożliwe/niewskazane jest stosowanie publicznej adresacji. ****Takie adresy nie powinny być rutowane do internetu** i większość ISP odfiltrowuje na wejście takie rozgłoszenia. #### Co to jest VLSM (Variable Length Subnet Mask)? VLSM (Variable Length Subnet Mask) to technika dzielenia sieci IP na podsieci o różnej wielkości, dzięki czemu można efektywniej wykorzystać dostępny zakres adresów. Zamiast stosować jedną maskę podsieci dla całej sieci, VLSM pozwala na użycie różnych masek, dopasowanych do rzeczywistych potrzeb liczby hostów w każdej podsieci. To pomaga zaoszczędzić adresy i lepiej zarządzać siecią, szczególnie w dużych i zróżnicowanych środowiskach. #### ****Jaka jest najmniejsza sieć pozwalająca zaadresować dwa hosty?** Najmniejsza sieć pozwalająca zaadresować dwa hosty to /31 czyli 255.255.255.254. #### ****Jaki jest ostatni użyteczny adres IP w sieci 192.168.0.0/24?** Ostatni użyteczny adres w takiej sieci to 192.168.0.254, ponieważ ostatni adres .255 jest adresem rozgłoszeniowym. #### ****Mając sieć /24 na ile maksymalnie podsieci możemy ją podzielić?** Najmniejsza możliwa do utworzenia sieć składa się z jednego adresu IP i ma maskę /32\. W sieci /24 mamy 256 adresów, więc możliwe jest utworzenie 256 podsieci. #### ****Ile urządzeń możemy zaadresować w sieci /24?** W sieci /24 mamy 256 adresów. Dwa z nich mają specjalne przeznaczenie, czyli adres sieci oraz adres rozgłoszeniowy. Dla urządzeń pozostaje 254 adresy. #### ****Czy drukarka może mieć publiczny adres IP?** Tak, może. Nie ma żadnych technicznych przeszkód, aby przydzielić dowolny prywatny lub publiczny adres IP. Jest to jednak wysoce niewskazane ze względów bezpieczeństwa. #### ****Co to jest adres link-local w IPv6 (np. zaczynający się od FE80::) i kiedy jest używany?** Adres link-local w IPv6 to adres IP zaczynający się od `FE80::`, który jest przypisany do każdej karty sieciowej. Służy do komunikacji tylko w obrębie lokalnej sieci (segmentu sieci), nie jest routowany poza nią. Używa się go m.in. do automatycznego konfiguracji sieci i komunikacji między urządzeniami bez potrzeby serwera DHCP lub konfiguracji globalnego adresu. #### ****Jakie mamy rodzaje pakietów w IPv4?** Mamy trzy rodzaje pakietów: ****unicast** – jeden odbiorca pakietu, ****broadcast** – wszyscy w danym segmencie, ****multicast** – wybrani odbiorcy zapisani do grupy multicastowej, ****anycast** \- dowolna liczba hostów może współdzielić dany adres oraz dostarczać konkretną usługę. ## Przełączanie (Switching) #### ****Co to jest adres MAC?** Media Access Control to adres fizyczny interfejsu danego urządzenia w sieci typu Ethernet. Składa się z 48 bitów (6 bajtów), gdzie pierwsze 24 bity oznaczają producenta. Switche przekazują ramki na podstawie adresów MAC. #### ****Co to jest SVI?** ****Switch Virtual Interface** lub vlan interface, to logiczny interfejs warstwy trzeciej, który może służyć jako brama domyślna dla vlanu oraz umożliwiać routing pomiędzy vlanami bez potrzeby angażowania innego urządzenia L3. #### ****Co jest potrzebne, aby interfejs SVI był w statusie UP/UP?** Switch Virtual Interface jest powiązany z VLAN-em, dla którego został utworzony. Do prawidłowego działania wymaga co najmniej jednego interfejsu dostępowego lub interfejsu trunkowego z danym VLAN-em. #### ****Co to jest trunk?** Trunk to połączenie, przez które przesyłane są informacje z różnych VLAN-ów, czyli dane mogą być tagowane lub pochodzić z VLAN-u natywnego, który nie jest tagowany. #### ****Czy poprzez trunk można przesłać dane nietagowane?** Tak, służy do tego vlan natywny. #### ****Czy mając skonfigurowany native vlan z jednej strony jako vlan 10 i z drugiej vlan 20, możemy swobodnie przesyłać dane?** Tak, zgodnie z definicją. Dane z VLANu 10 zostaną wysłane nietagowane po jednej stronie i zostaną przypisane do VLANu nietagowanego 20 po drugiej stronie w danym trunku. Cisco w swoim protokole CDP wykrywa konfigurację native VLANu i może zablokować komunikację w ramach trunka. #### Co to jest 'native VLAN mismatch' i jakie problemy bezpieczeństwa lub komunikacyjne może powodować? Native VLAN mismatch to sytuacja, gdy na łączących się portach trunk w przełącznikach skonfigurowane są różne wartości native VLAN (np. jeden ma native VLAN 1, a drugi 10). Z punktu widzenia bezpieczeństwa, native VLAN mismatch może umożliwić ataki typu VLAN hopping, gdzie atakujący wykorzystuje różnicę konfiguracji do przesyłania ruchu do niewłaściwych VLAN-ów, omijając mechanizmy izolacji sieci. #### ****Co to jest STP?** Spanning Tree Protocol (Protokół Drzewa Rozpinającego) to ****algorytm używany w sieciach komputerowych do zapobiegania pętlom** w topologii sieci. Jego ****głównym celem jest utworzenie logicznej struktury drzewa**, która obejmuje wszystkie urządzenia sieciowe, zapewniając jedną ścieżkę komunikacyjną między każdą parą urządzeń. Dzięki temu algorytmowi możliwe jest uniknięcie nadmiernego przesyłania danych w sieci poprzez eliminację zbędnych ścieżek i zapewnienie optymalnej ścieżki dla każdej pary urządzeń. #### ****Dlaczego potrzebujemy STP?** Potrzebujemy STP, ponieważ warstwa druga nie posiada mechanizmów określających czas życia pakietów i mogą one w prosty sposób prowadzić do burz broadcastowych. Pakiet z nieprawidłowym adresem docelowym będzie krążył w sieci tak długo, jak będzie możliwość jego dalszej transmisji. #### ****Jakie są wady STP?** Protokół drzewa rozpinającego (STP) poprzez blokowanie interfejsów zmniejsza dostępną przepustowość między dwoma urządzeniami. Dodatkowo przejście od stanu blokowania do przekazywania danych przez interfejs może trwać nawet do 50 sekund. #### ****Na podstawie czego wybierany jest root bridge w STP?** Root Bridge w protokole STP (Spanning Tree Protocol) jest wybierany na podstawie najniższego Bridge ID. Bridge ID składa się z priorytetu mostu (Bridge Priority) oraz adresu MAC. W przypadku remisów w priorytecie, decydujący jest niższy numer MAC. Root Bridge pełni kluczową rolę w protokole STP, ponieważ jest centralnym punktem drzewa rozpinającego (spanning tree) i jest punktem wyjścia dla wszystkich ramek w sieci. #### ****W STP pomiędzy dwoma switchami, na jakiej podstawie jest wybierany blokowany port?** Blokowany port jest wybierany na podstawie Port ID zawartym w BPDU otrzymanym od drugiego switcha. #### ****Co to jest RSTP?** RSTP to skrót od Rapid Spanning Tree Protocol, czyli protokół szybkiego drzewa rozpinającego. Jest to protokół sieciowy, który działa w warstwie 2 modelu OSI i służy do zapobiegania pętlom w sieciach Ethernet. RSTP pomaga w ustaleniu najkrótszej ścieżki w drzewie rozpinającym, co zwiększa wydajność sieci poprzez szybkie wykrywanie i eliminowanie pętli. #### ****Do czego służy Portfast?** Portfast jest funkcjonalnością w Spanning-Tree, dzięki której port pomija fazy listening i learning przechodząc od razu do forwarding. Taka konfiguracja powinna być stosowana na portach dostępowych razem z funkcją bpdugaurd, która blokuje port w momencie otrzymania ramki BDPU. #### ****Czy można skonfigurować portfast na interfejsie trunkowym?** Tak, można, jest taka opcja konfiguracyjna. #### Do czego służy funkcja BPDU Guard i na jakich typach portów jest najczęściej konfigurowana? BPDU Guard jest funkcjonalnością w Spanning-Tree, która blokuje port w momencie otrzymania ramki BDPU. Taka konfiguracja powinna być stosowana na portach dostępowych razem z funkcją Portfast, która pomija fazy listening i learning przechodząc od razu do forwarding. #### ****Co to jest Port-Channel?** Port-Channel to technologia używana w sieciach komputerowych do grupowania kilku interfejsów sieciowych w jedną logiczną jednostkę. Pozwala to zwiększyć przepustowość oraz zapewnić redundancję w przypadku awarii jednego z interfejsów. Jest to przydatne rozwiązanie w celu poprawy wydajności i niezawodności sieci. #### Co to jest LAG (Link Aggregation)? LAG (Link Aggregation) to technika łączenia kilku fizycznych interfejsów sieciowych w celu zwiększenia przepustowości oraz zapewnienia wyższej niezawodności połączenia. Dzięki LAG możliwe jest traktowanie kilku interfejsów jako pojedynczego logicznego interfejsu, co umożliwia równomierne rozłożenie ruchu sieciowego oraz zapewnienie redundancji w razie awarii jednego z interfejsów. #### ****Jaką maksymalną przepustowość możemy uzyskać pomiędzy 2 serwerami połączonymi LAG-iem z dwóch 1Gbps interfejsów?** Maksymalna dostępna przepustowość pomiędzy dwoma urządzeniami poprzez LAG nie jest równa sumie interfejsów i zależy w dużej mierze od zastosowanego mechanizmy haszowania połączeń oraz ilości par połączeń. Dla każdej pary urządzenia wybierają jeden interfejs, którym wysyłają dane niezależnie od liczby dostępnych. #### ****Jakie są wymagania, aby poprawnie zestawić LAG lub port-channel?** Wszystkie interfejsy muszą być w trybie full-duplex, pracować z taką samą prędkością oraz być połączone bezpośrednio pomiędzy dwa urządzenia. Nie da się zestawić LAG pomiędzy dwoma routerami z transmisją poprzez switch pośrodku. #### ****Co to jest LACP?** LACP to Link Aggregation Control Protocol, czyli Protokół Kontroli Łącza Agregacyjnego. Jest to protokół sieciowy używany do łączenia wielu fizycznych połączeń sieciowych w jedno logiczne połączenie, zwiększając przepustowość i zapewniając redundancję. #### ****Czy możliwe jest zestawienie port-channelu, kiedy z jednej strony używamy LACP, a z drugiej PAgp?** Nie, są to protokoły pełniące podobną funkcję, jednak są ze soba niezgodne. Należy wybrać jeden i zastosować go na obu urządzeniach po dwóch stronach. #### ****Co znajduje się w tablicy MAC?** W tablicy adresów MAC znajdują się informacje o adresach MAC, które switch rozpoznaje. Każdemu z nich przypisane są dane o VLAN-ie, porcie, na którym ostatnio się pojawił, oraz jego typie. #### ****Jak długo adresy MAC są przechowywanie w tablicy?** Standardowo adres MAC jest przechowywany w tablicy przez 5 minut, czyli 300 sekund. #### ****Czy możemy przypisać interfejs w trybie access do dwóch vlanów?** Standardowo interfejs w trybie Access jest przypisany do jednego VLAN-u, jednak istnieje możliwość przypisania drugiego VLAN-u, czyli Voice VLAN-u. ## Routing #### ****Jakie mamy rodzaje routingu?** Routing może być statyczny, kiedy wszystkie trasy są z góry zdefiniowane przez administratora lub dynamiczny, kiedy urządzenia sieciowe same wymieniają się informacjami o dostępnych sieciach. #### ****Jakie znasz protokoły IGP?** IGP czyli Internal Gateway protocol. Do najpopularniejszych należą ****EIGRP** oraz ****OSPF**. Istnieje również ****RIP**, ale jest on praktycznie nieużywany oraz ****IS-IS**, który jest popularny w sieciach dostawców usług internetowych. #### ****Jakie znasz protokoły EGP?** EGP czyli External Gateway Protocol. Obecnie jedynym szeroko stosowanym protokołem EGP jest BGP. #### Do czego służy trasa domyślna (default route)? Trasa domyślna to specjalna ścieżka w sieci, którą komputer lub router wysyła dane, gdy nie wie, jak dotrzeć do konkretnego miejsca. Dzięki niej urządzenia nie muszą znać wszystkich możliwych adresów, a gdy nie znajdą konkretnej drogi, po prostu wysyłają dane do trasy domyślnej, która zazwyczaj prowadzi do internetu lub innej większej sieci. #### Dlaczego zwykle wolimy trasę statyczną z adresem IP następnego skoku niż z podanym tylko interfejsem wyjściowym? Trasa statyczna skonfigurowana z adresem IP następnego skoku jest preferowana nad trasą z samym interfejsem wyjściowym, ponieważ dokładnie wskazuje, do którego urządzenia należy wysłać pakiet, co jest szczególnie ważne w przypadku interfejsów wielopunktowych. Pozwala to na precyzyjne przekierowanie ruchu i lepsze wykrywanie dostępności trasy — router może sprawdzić, czy next-hop jest osiągalny, co zwiększa stabilność połączenia. W przeciwieństwie do samego interfejsu, który może być aktywny, ale nie wiadomo, czy pakiety trafią do właściwego odbiorcy, konfiguracja z next-hop IP zapewnia większą niezawodność oraz lepszą integrację z mechanizmami routingu i przełączania. #### ****Co to jest pływająca trasa statyczna (floating static route)?** Pływająca trasa statyczna (floating static route) to statyczna trasa routingu, która ma wyższy priorytet niż inne trasy statyczne w tabeli routingu. Jest to użyteczne narzędzie w przypadku awarii głównej trasy routingu, ponieważ pływająca trasa statyczna zostanie aktywowana tylko wtedy, gdy główna trasa nie będzie dostępna. Jest to sposób zapewnienia redundancji w sieciach komputerowych. #### Czym jest metryka w routingu dynamicznym? Metryka w routingu dynamicznym to ****parametr określający koszt dotarcia do danej sieci**, który jest wykorzystywany przez protokoły routingu dynamicznego do wyboru optymalnej ścieżki. Każdy protokół posiada własny unikalny sposób na jej wyliczenie. #### ****Do czego służy area 0 lub backbone w OSPF?** W OSPF, obszar 0, znany również jako obszar Backbone, pełni kluczową rolę w topologii sieci. ****Jest to centralny obszar, który łączy wszystkie inne obszary OSPF**. Dzięki temu obszarowi możliwe jest skuteczne propagowanie informacji trasowania pomiędzy obszarami oraz zapewnienie spójności i efektywności działania protokołu OSPF. #### ****Co to jest DR w OSPF?** Designated Router w OSPF pełni funkcję centralnego punktu wymiany informacji w danym obszarze. Wszystkie routery nawiązują sąsiedztwo z DR i przesyłają do niego informacje o znanych sobie linkach, a następnie DR przekazuje te informacje do pozostałych sąsiadów, co eliminuje konieczność pełnego meshu sąsiedztwa w obszarze. #### Co oznacza stan 'FULL' w relacji sąsiedztwa OSPF? Stan "FULL" w OSPF oznacza, że dwa sąsiednie routery wymieniły pełne informacje o trasach i mają identyczne bazy danych sieci (LSDB), co pozwala im efektywnie współpracować i wyznaczać najlepsze trasy. To oznacza poprawną i stabilną komunikację między nimi. #### ****Czy w OSPF dwa dowolne obszary mogą się ze sobą komunikować?** Nie, w OSPF wszystkie informacje pomiędzy obszarami muszą przechodzić przez obszar 0 zwany z tego powodu backbone. #### ****Czy router w OSPF może należeć do różnych obszarów?** Tak, w OSPF do konkretnych obszarów są przypisywane poszczególne interfejsy (links). #### ****Co to jest successor w EIGRP?** Jest to najlepsza trasa z danego routera do konkretnej podsieci, która zostanie umieszczona w tablicy routingu. #### Jakie informacje znajdują się w tablicy routingu? Pojedynczy wpis w tablicy routingu zawiera adres docelowej sieci, maskę podsieci, adres następnego skoku (bramy), interfejs sieciowy do wysłania pakietu, metrykę określającą koszt trasy oraz informację o protokole, z którego pochodzi wpis (np. statyczny, RIP, OSPF). Te dane pomagają urządzeniu zdecydować, jak przesłać dane do właściwego miejsca w sieci. #### Kiedy router otrzyma ten sam prefix z dwóch różnych protokołów routingu, którą z nich umieści w tablicy routingu? Router umieści w tablicy routingu informacje o prefiksie pochodzące z protokołu routingu, który ma niższą wartość dystansu administracyjnego czyli AD. #### Jaka jest domyślna wartość Administrative Distance (AD) dla trasy statycznej, OSPF i EIGRP (internal)? Domyślna wartość Administrative Distance (AD) to liczba, która pokazuje, jak bardzo router ufa danej trasie. Trasa statyczna ma AD równe 1, więc jest najbardziej wiarygodna. OSPF ma AD 110, a EIGRP (tras wewnętrznych) - 90\. ## Usługi Sieciowe #### ****Co to jest NAT?** Network Address Translation, jest to protokół, który pozwala na ukrywaniu jednego lub więcej adresów IP pod innym. Najczęściej stosuje się go, w sieciach LAN korzystających z prywatnej adresacji, która na routerze brzegowym jest zamieniana na adres publiczny, zwykle jeden. #### ****Co to jest PAT?** Port Address Translation, jest to forma NAT-u, która pozwala na translację wielu adresów wewnętrznych na 1 zewnętrzny. W momencie translacji podmieniany jest adres portu. #### ****Co to jest DHCP?** Protokół ****Dynamic Host Control Protocol (DHCP)** umożliwia dynamiczne przypisywanie adresów IP do urządzeń oraz udostępnianie podstawowych parametrów pracy w sieci, takich jak adres serwera DNS czy domyślna brama. #### ****Co to jest DORA?** Jest to skrótowiec powstały z pierwszych liter nazw pakietów procesu przydzielania adresu IP przez DHCP. ****D** – Discover, ****O** – Offer, ****R** – Request, ****A** – Acknowledge. #### ****Czy serwer DHCP musi znajdować się w tej samej sieci co hosty?** Nie musi, jednak jeśli serwer DHCP znajduje się poza siecią, na routerze będącym bramą domyślną potrzebujemy mechanizmu, który zamieni pakiet DHCP typu broadcast na unicast do serwera DHCP. #### ****Co to jest IP-helper?** Jest to komenda konfiguracji, która wskazuje adres serwera DHCP spoza sieci. IP-helper jest konfigurowany pod interfejsem pełniącym rolę bramy domyślnej. #### ****Co to jest dhcp-relay?** Jest to część konfiguracji, która ma na celu wskazanie serwera DHCP znajdującego się poza siecią oraz przekształcenie pakietów DHCP typu broadcast na unicast. #### ****Co to jest DNS?** Usługa Domain Name Server (Serwer nazw domenowych) polega na tłumaczeniu nazw domen na adresy IP. #### ****DNS pracuje na UDP czy TCP?** DNS działa zarówno na protokole UDP, jak i TCP. ****Zazwyczaj zapytania DNS są przesyłane przez UDP** ze względu na mniejsze opóźnienia i mniejsze zużycie zasobów sieciowych, jednak w niektórych sytuacjach, gdy dane zapytanie jest zbyt duże dla UDP lub gdy wymagana jest większa niezawodność, protokół TCP może być używany. #### ****Co to jest NTP?** ****NTP** (Network Time Protocol) ****służy do synchronizacji czasu** między różnymi komputerami w sieci. Jest to protokół, który umożliwia precyzyjne ustalanie wspólnego czasu referencyjnego, co jest istotne w celu zapewnienia spójności czasowej w systemach komputerowych. Dzięki ****NTP wszystkie urządzenia w sieci mogą korzystać z tego samego źródła czasu**, co jest szczególnie ważne w przypadku zadań, które wymagają dokładności czasowej, takich jak logowanie zdarzeń, synchronizacja transakcji czy koordynacja zadań w chmurze obliczeniowej. ## Protokoły transportowe i inne #### Co to jest ARP? ARP (Address Resolution Protocol) to protokół służący do mapowania adresów warstwy sieciowej (np. adresów IP) na adresy warstwy łącza danych (np. adresy MAC). Jest wykorzystywany w sieciach komputerowych do określania fizycznych adresów urządzeń sieciowych w oparciu o ich adresy IP. ARP pozwala urządzeniom komunikować się ze sobą w sieci lokalnej poprzez przypisanie odpowiednich adresów warstwy łącza danych. #### ****W jakiej warstwie pracuje ARP?** ARP (Address Resolution Protocol) działa na warstwie łącza danych w modelu OSI (Open Systems Interconnection). Jest to warstwa druga, znana również jako warstwa łącza danych (Data Link Layer). #### ****Co to jest ICMP?** ICMP (Internet Control Message Protocol) to protokół kontroli komunikatów w sieci Internet. Jest używany do przesyłania informacji diagnostycznych, ostrzeżeń i błędów w sieciach komputerowych. ICMP jest często wykorzystywany do sprawdzania dostępności hostów w sieci oraz do raportowania problemów z transmisją danych. #### ****Jakie są podstawowe protokoły warstwy transportowej?** Podstawowymi protokołami warstwy transportowej są TCP (Transmission Control Protocol) oraz UDP (User Datagram Protocol). TCP zapewnia niezawodne, połączeniowe przesyłanie danych, gwarantując ich kolejność i integralność. UDP jest protokołem bezpołączeniowym, oferującym szybszą transmisję, ale bez gwarancji dostarczenia pakietów. Oba protokoły pełnią kluczową rolę w komunikacji sieciowej, dostosowując się do różnych wymagań aplikacji i usług. #### ****Co to jest TCP?** Transmission Protocol jest protokołem połączeniowym, tzn. data zostałą przekazane dopiero po ustanowieniu połączenia. TCP posiada wbudowany mechanizm wykrywania błędów w transmisji i jeśli takie wystąpią, jest w stanie przesłać uszkodzone dane ponownie. #### ****Co to jest Three-way handshake?** Three-way handshake to proces ustanawiania połączenia TCP między dwoma urządzeniami. Składa się z trzech kroków: 1. ****Inicjacja (SYN):** Klient wysyła pakiet SYN do serwera proponując rozpoczęcie połączenia. 2. ****Potwierdzenie (SYN-ACK):** Serwer odbiera pakiet SYN, akceptuje prośbę i wysyła pakiet SYN-ACK z potwierdzeniem. 3. ****Potwierdzenie (ACK):** Klient otrzymuje pakiet SYN-ACK, potwierdza go i wysyła pakiet ACK z potwierdzeniem. Po tym kroku połączenie jest ustanowione i dane mogą być przesyłane między urządzeniami. #### ****Co to jest UDP?** User Datagram Protocol jest protokołem bezpołączeniowym. Dane są wysyłane natychmiastowo, a wykrywanie błędów w transmisji musi być przeprowadzone przez inny protokół. #### ****Jakie są różnice pomiędzy TCP i UDP?** TCP (Transmission Control Protocol) i UDP (User Datagram Protocol) to dwa popularne protokoły warstwy transportowej używane do przesyłania danych w sieciach komputerowych. Oto główne różnice pomiędzy nimi: 1. ****Połączenie:** TCP jest protokołem połączeniowym, co oznacza, że wymaga ustanowienia połączenia pomiędzy nadawcą a odbiorcą przed przesłaniem danych. UDP natomiast jest bezpołączeniowy, co oznacza, że nie wymaga ustanawiania stałego połączenia przed przesłaniem danych. 2. ****Nadzór nad dostarczaniem danych:** TCP zapewnia mechanizmy nadzoru nad dostarczaniem danych, takie jak potwierdzenia odbioru i mechanizmy ponownego przesyłania w przypadku utraty danych. UDP nie zapewnia takich mechanizmów i może prowadzić do utraty danych w przypadku problemów z transmisją. 3. ****Kolejność dostarczania:** W przypadku TCP dane są dostarczane w kolejności, w jakiej zostały wysłane. W UDP kolejność dostarczania danych nie jest gwarantowana, co oznacza, że pakiety mogą przyjść w innej kolejności niż zostały wysłane. 4. ****Nadmiarowość:** TCP posiada mechanizmy kontroli przeciążenia, które regulują przepływ danych w celu zapobiegania przeciążeniu sieci. UDP nie ma takich mechanizmów i może prowadzić do przeciążenia sieci w przypadku dużej ilości danych przesyłanych jednocześnie. 5. ****Zastosowanie:** TCP jest częściej używany do transmisji danych, które wymagają niezawodnej i uporządkowanej dostawy, takich jak strony internetowe, poczta elektroniczna, pliki transferowe. UDP jest częściej stosowany tam, gdzie szybkość i efektywność są ważniejsze niż niezawodność, np. w transmisji strumieniowej, grach online. W skrócie, TCP zapewnia niezawodną i uporządkowaną transmisję danych kosztem większego opóźnienia, podczas gdy UDP zapewnia szybszą transmisję kosztem możliwej utraty danych i braku gwarancji dostarczenia. #### ****Ping działa na podstawie TCP czy UDP?** Standardowy ping nie korzysta z TCP ani UDP. Działa w oparciu o ICPM, a dokłądniej ICMP typu 8 (echo message) oraz typu 0 (echo reply message). ## Bezpieczeństwo Sieci #### ****Co to jest DoS?** DoS czyli Denial of Service, jest to rodzaj ataku, którego celem jest uniemożliwienie dostępu do usługi, zasobu lub sieci. Może występować w różnych rodzajach od wysycenia łącza do ogromnej liczby błędnych zapytań. #### ****Co to jest DDoS?** Jest odmianą ataków DoS, z tym że atak jest rozproszony i pochodzi z wielu źródeł równolegle. #### ****Co to jest VPN?** [Virtual Private Network](https://innasiec.pl/vpn-czym-jest-wirtualna-siec-prywatna/). Jest to technologia pozwalająca na tworzenie bezpiecznych tuneli pomiędzy sieciami poprzez niezaufaną sieć. Na przykład tunele IPsec łączące dwa oddziały firmy poprzez internet. #### ****Co to jest port-security?** Jest to rodzaj zabezpieczenia, który pozwala określić dozwoloną ilość lub konkretny adres MAC, który może być używany na danym porcie. W zależności od konfiguracji, w przypadku naruszenia reguł, można skonfigurować tryby protect, restrict lub shutdown. #### Co to jest i do czego służą ACL? [ACL to skrót od "Access Control List"](https://innasiec.pl/acl-access-control-lists/), czyli lista kontroli dostępu. ACL jest mechanizmem stosowanym w systemach informatycznych do zarządzania uprawnieniami dostępu do zasobów, takich jak pliki, foldery czy urządzenia sieciowe. Służy do określania, które podsieci mogą się ze sobą komunikować oraz z wykorzystaniem jakich protokołów. Pomaga to w zapewnieniu bezpieczeństwa i poufności informacji w systemach informatycznych. #### ****Dlaczego podstawowe ACL umieszczamy jak najbliżej celu?** Podstawowe ACL filtrują ruch na podstawie adresu źródłowego. Umieszczenie podstawowego ACL na routerze zbyt blisko źródła może całkowicie zablokować ruch wychodzący dla określonej puli adresowej. #### ****Dlaczego rozszerzone ACL umieszczamy jak najbliżej źródła ruchu?** [Rozszerzone listy kontroli dostępu (ACL)](https://innasiec.pl/acl-access-control-lists/) powinno się umieszczać jak najbliżej źródła ruchu głównie dlatego, że **pozycjonowanie ich bliżej źródła pomaga w efektywnym filtrowaniu niepożądanego ruchu sieciowego jeszcze przed dotarciem do innych segmentów sieci.** W ten sposób ****można szybciej zidentyfikować i zablokować potencjalnie niebezpieczne pakiety**, co przyczynia się do zwiększenia bezpieczeństwa sieci. Dodatkowo, ****umieszczenie rozszerzonych ACL blisko źródła pozwala na optymalizację wydajności sieci** poprzez minimalizowanie przepustowości zużywanej na przetwarzanie ruchu sieciowego. #### ****Ile ACL może być skonfigurowanych na 1 interfejsie?** Na każdym interfejsie możemy skonfigurować maksymalnie 2 listy ACL. Jedną służącą do filtrowania ruchu przychodzącego oraz drugą do filtrowania ruchu wychodzącego. #### ****Co to jest i jak działa Radius?** ****Radius to skrót od Remote Authentication Dial-In User Service**, czyli zdalna usługa uwierzytelniania użytkowników przy pomocy protokołu komunikacyjnego. ****Jest to system, który umożliwia autoryzację oraz uwierzytelnienie użytkowników, którzy chcą uzyskać dostęp do sieci komputerowej lub zasobów sieciowych**. Protokół Radius działa na zasadzie klient-serwer, gdzie klientem może być np. router lub serwer VPN, a serwerem jest serwer Radius odpowiedzialny za sprawdzanie poprawności danych logowania użytkownika #### ****Co to jest i jak działa Tacacs?** ****Tacacs (Terminal Access Controller Access-Control System) to protokół autoryzacji, uwierzytelniania i księgowania w sieciach komputerowych**. Jest to system kontroli dostępu, który umożliwia zarządzanie użytkownikami i ich uprawnieniami do korzystania z zasobów sieciowych. D****ziałanie Tacacs polega na uwierzytelnianiu użytkowników poprzez sprawdzenie poprawności podanych danych logowania, takich jak nazwa użytkownika i hasło.** Po uwierzytelnieniu, protokół decyduje o dostępie użytkownika do określonych zasobów sieciowych na podstawie nadanych uprawnień. #### ****Co to jest AAA?** AAA oznacza Authentication, Autorization, Accounting. To framework pozwalający określić, kto może uzyskać dostęp do sieci (****Authentication**), co konkretnie może zrobić w sieci (****Autorization**) oraz śledzenie działań podejmowanych w sieci (****Accounting**). #### ****Czy jeśli serwer tacacs jest dostępny, możemy korzystać z lokalnej bazy użytkowników na routerze?** Tak, ****framework AAA pozwala określić kolejność sprawdzania danych** dostępowych użytkownika. Możemy skonfigurować usługę TACACS i wskazać lokalną bazę użytkowników na routerze jako główną do weryfikacji. Dodatkowo, możemy utworzyć różne grupy o różnych kolejnościach sprawdzania. Na przykład, dla interfejsu konsolowego można zezwolić tylko na logowanie z lokalnej bazy, natomiast dla VTY najpierw sprawdzać TACACS, a następnie lokalną bazę. #### ****Jeśli korzystam z serwera Tacacs lub Radius to czy muszę konfigurować lokalnego użytkownika?** Technicznie nie ma takiego wymogu. Konfiguracja użytkownika lokalnego pozostawia furtkę do zalogowania się kiedy serwery AAA są nieosiągalne. #### ****Co to jest SNMP?** Simple Network Management Protocol to protokół zarządzania siecią. SNMP pozwala na monitorowanie poprzez sprawdzanie stanu urządzenia oraz poprzez automatycznie wysyłanie informacji w przypadku konkretnych zdarzeń. Za pomocą tego protokołu możemy również konfigurować urządzenia. ## Rozwiązywanie problemów #### Czym jest PING i jak działa? Ping jest poleceniem używanym do sprawdzania dostępności hosta w sieci oraz mierzenia czasu odpowiedzi. Działa na zasadzie wysyłania pakietów ICMP (Internet Control Message Protocol) na określony adres IP i oczekiwania na odpowiedź. Gdy host otrzymuje pakiet ICMP Echo Request, natychmiast wysyła odpowiedź ICMP Echo Reply. Czas pomiędzy wysłaniem żądania a otrzymaniem odpowiedzi jest nazywany "ping time" i jest mierzony w milisekundach. #### Czym jest i jak działa Traceroute? Traceroute to narzędzie diagnostyczne używane do śledzenia ścieżki pakietów danych w sieciach komputerowych. Działa poprzez wysyłanie pakietów danych z inkrementującym się polem TTL (Time-to-Live) i obserwowanie odpowiedzi ICMP Time Exceeded z kolejnych skoków. Dzięki temu można określić trasę, którą pakiet musi przejść od źródła do celu, identyfikując poszczególne routery na tej drodze. Traceroute pozwala również określić opóźnienia na poszczególnych skokach, co może pomóc w diagnozowaniu problemów z połączeniem sieciowym. #### ****Jak sprawdzisz gdzie podłączony jest użytkownik w sieci lan znając tylko jego adres IP?** Poszukiwania należy prowadzić w miejscu, gdzie poszukiwany adres będzie na pewno dostępny. Z tego punktu wykonujemy polecenie ping, aby uzyskać wpis w tablicy ARP. Następnie zapisujemy adres MAC i sprawdzamy, na którym interfejsie się pojawił. Kolejnym krokiem jest sprawdzenie, gdzie prowadzi dany interfejs i przechodzenie do kolejnego urządzenia. Analizujemy tablicę ARP lub tablicę MAC i śledzimy ścieżkę w dół, aż odnajdziemy hosta. Dziękuję **Pawłowi Orlickiemu**, **Przemkowi Stróżniakowi** oraz **Mateuszowi Trójczakowi** za propozycje pytań. Jeśli uważasz, że jakieś pytanie powinno znaleźć się na liście, daj mi znać w komentarzu. ### Dlaczego nie należy używać 65535 jako ASN? 🤔 + Cyber Monday 🤑 URL: https://innasiec.pl/dlaczego-nie-nalezy-uzywac-65535-jako-asn-cyber-monday/ Last updated: 2024-07-03T12:37:06.000Z _This post is for paying subscribers only._ ### Rozwiń swoją karierę z chmurą Google ☁️ URL: https://innasiec.pl/rozwin-swoja-kariere-z-chmura-google/ Last updated: 2024-07-03T07:57:03.000Z _This post is for paying subscribers only._ ### Twoja nowa ulubiona komenda do troubleshootingu 🚀 URL: https://innasiec.pl/twoja-nowa-ulubiona-komenda-do-troubleshootingu/ Last updated: 2024-07-03T12:46:57.000Z _This post is for paying subscribers only._ ### Czy znasz protokół link-state, którego WSZYSCY powinni używać? 🤔 URL: https://innasiec.pl/czy-znasz-protokol-link-state-ktorego-wszyscy-powinni-uzywac/ Last updated: 2024-07-03T12:47:43.000Z Jak zapobiec automatyzacyjnej katastrofie? 😬 Czy zawsze potrzebujemy DNS Anycast? 🤔 Protokół Link-state, którego wszyscy powinni używać 🛠 Testowanie SD-WAN w labie Wydajność BGP przy 1000 sąsiadów _This post is for paying subscribers only._ ### 5 sposobów jak "sprzedać" automatyzację infrastruktury 🤖 URL: https://innasiec.pl/5-sposobow-jak-sprzedac-automatyzacje-infrastruktury/ Last updated: 2024-07-03T13:52:26.000Z _This post is for paying subscribers only._ ### 5 umiejętności dzięki, którym Twoja kariera wystrzeli 🚀 URL: https://innasiec.pl/5-umiejetnosci-dzieki-ktorym-twoja-kariera-wystrzeli/ Last updated: 2024-07-03T13:46:42.000Z _This post is for paying subscribers only._ ### TOP 10 blogów dla sieciowca w 2021 URL: https://innasiec.pl/top-10-blogow-dla-sieciowca-w-2021/ Last updated: 2024-06-26T13:21:05.000Z \[et\_pb\_section\]\[et\_pb\_row\]\[et\_pb\_column type=”4\_4″\]\[et\_pb\_text\] Pora na tegoroczną edycję **TOP10 blogów o sieciach komputerowych, które warto śledzić w 2021.** W tym roku było mi jeszcze trudniej wybrać tylko 10\. Kilka blogów musiało pożegnać się z listą, ustępując miejsca aktywniejszym kolegom. Jeśli jesteś ciekawy, jak wyglądała lista w 2020, możesz sprawdzić to tutaj: [10 Blogów o sieciach komputerowych, które warto śledzić w 2020](https://innasiec.pl/blogi-o-sieciach-komputerowych/) **Przedstawiam Ci listę polskich blogów, które każdy sieciowiec w 2021 powinien obserwować.** Znajdziesz na nich mnóstwo wartościowych artykułów, tworzonych przez ekspertów z branży. Lista jest przedstawiona w sposób alfabetyczny. **Każdy z blogów jest warty obserwowania, do czego serdecznie zachęcam.** > [AKADEMIA DATA CENTER](http://akademiadatacenter.pl/?ref=innasiec.pl) Prowadzana przez [Sebastiana Grugiela](https://www.linkedin.com/in/sebastiangrugel/?ref=innasiec.pl) **Akademia Data Center to prawdziwa kopalnia wiedzy o rozwiązaniach VMware, cloud computingu oraz szeroko pojętym IT**. Akademia to jednak nie tylko blog, ale również polska społeczność zbudowana wokół tych zagadnień. Jeśli planujesz rozwijać się w kierunku Data Center oraz chmury, jest to świetne miejsca, aby być małe sztuczki architekta z wieloletnim doświadczeniem. **Polecany artykuł:** [Disaster Recovery dla Google Cloud VMware Engine ](https://akademiadatacenter.pl/vmware/disaster-recovery-dla-google-cloud-vmware-engine-wprowadzenie/?ref=innasiec.pl) > [INLEO](https://inleo.pl/blog/?ref=innasiec.pl) Inleo w tym roku w ogóle nie planuje zwalniać. **Pod wodzą [Macieja Lelusza](https://www.linkedin.com/in/maciejlelusz/?ref=innasiec.pl) pojawiają się nie tylko świetne teksty na blogu, ale również powstał kapitalny podcast [Inleocast](https://www.youtube.com/c/inleo?ref=innasiec.pl).** Warto wspomnieć, że swoje wpisy na blogu Inleo zamieścili również [Piotr Wojciechowski](https://www.linkedin.com/in/peper/?ref=innasiec.pl) oraz [Michał Iwańczuk](https://www.linkedin.com/in/michaliwanczuk/?ref=innasiec.pl). Ogromnym wyróżnikiem jest bardzo swobodne, pozbawione zbędnego zadęcia podejście do poruszanych tematów. Teksty czyta się bardzo przyjemnie i od razu ma się ochotę na więcej. W zdominowanej przez mężczyzn branży warto również wspomnieć o [Justynie Jamroży](https://www.linkedin.com/in/justyna-jamrozy-ba5aaa196/?ref=innasiec.pl), która opublikowała dwa artykuły na temat Postmana i zarządzania chmurą. **Polecany artykuł:** [Droga Architekta IT – wizja](https://inleo.pl/blog/droga-architekta-it-wizja/?ref=innasiec.pl) > [ŁUKASZ BROMIRSKI](https://lukasz.bromirski.net/pl/?ref=innasiec.pl) **Ciężko znaleźć kogoś, kto choć trochę interesuje się sieciami komputerowymi i nie zna [Łukasza Bromirskiego](https://www.linkedin.com/in/lukaszbromirski/?ref=innasiec.pl)**. Współtwórca oraz wieloletni członek rady programowej, oraz prelegent na PLNOGu, administrator forum [ccie.pl](https://ccie.pl/?ref=innasiec.pl). Od niedawna prowadzi projekt [BGP Blackholing PL](http://null0.pl/?ref=innasiec.pl). Zawodowo związany z firmą Cisco. Na swoim prywatnym blogu, **Łukasz dzieli się nie tylko swoją ogromną wiedzą, lecz również czasem coś dobrego poleci, czy to książkę, czy to plecak 🙂** **Polecany artykuł:** [Rozkładanie ruchu, część pierwsza ](https://lukasz.bromirski.net/pl/post/load-sharing-1/?ref=innasiec.pl) > [MARCEL GUZENDA](https://www.youtube.com/marcelguzenda?ref=innasiec.pl) **Blog [Marcela Guzendy](https://www.linkedin.com/in/marcelguzenda/?ref=innasiec.pl), znajduje się na youtube,** jednak trzeba uczciwie przyznać, że jest kapitalnie prowadzony. Dostępne materiały prezentują wysoki poziom merytoryczny, a sama treść jest zmontowana w ciekawy i przystępny sposób. **Marcel na kanale porusza tematy typowe sieciowe, ale również nieobce mu technologie z data center** czy typowe problemy inżyniera jak na przykład, który monitor wybrać 🙂 **Polecane video:** [Przełącznik Cisco – Podstawowa konfiguracja switcha](https://www.youtube.com/watch?v=oM-%5FV3Yqmps&ref=innasiec.pl) > [MIKROTIKON](https://mikrotikon.pl/?ref=innasiec.pl) Produkty firmy Mikrotik, nie podbiły rynku korporacyjnego. Kapitalny stosunek ceny do możliwości sprawił, że mimo wszystko znalazły rzesze fanów, zwłaszcza wśród małych ISP. **[Wojtek Mańka ](https://www.linkedin.com/in/wojciech-manka/?ref=innasiec.pl)na blogu Mikrotikon dzieli się wiedzą z zakresu konfiguracji urządzeń właśnie tego vendora.** Jeśli szukasz praktycznych recenzji sprzętu ze stajni MT, znajdziesz coś interesującego dla siebie. **Polecany artykuł:** [1.1.1.1 for Families – czyli sprytny (i darmowy) system filtrowania treści](https://mikrotikon.pl/1-1-1-1-for-families-czyli-sprytny-i-darmowy-system-filtrowania-tresci/?ref=innasiec.pl) > [NA STYKU SIECI](https://www.nastykusieci.pl/?ref=innasiec.pl) **Na styku sieci to blog prowadzony przez dwóch świetnych ekspertów [Damiana Michalaka ](https://www.linkedin.com/in/themichalakd/?ref=innasiec.pl)oraz [Łukasza Kowalskiego](https://www.linkedin.com/in/wirelesslukasz/?ref=innasiec.pl).** Obaj panowie potrafią tłumaczyć skomplikowane zagadnienia w sposób prosty i przystępny, jednocześnie bez zbędnego upraszczania tematu. Jak sami autorzy piszą o NSS – **„Naszym celem jest tworzenie treści, które pozwolą Ci efektywnie pracować w branży sieciowej”.** **Na styku sieci** oprócz tematów technicznych (między innymi o sieciach bezprzewodowych!) porusza również luźniejsze zagadnienia dotyczące kariery w IT. **Polecany artykuł:** [Maszyna stanowa OSPF](https://www.nastykusieci.pl/maszyna-stanowa-ospf/?ref=innasiec.pl) > [NETWORKACADEMY](https://networkacademy.pl/?ref=innasiec.pl) **Network Academy to blog założony przez [Piotra Kałużę](https://www.linkedin.com/in/piotr-kaluza/?ref=innasiec.pl)** i choć wystartował dopiero w połowie 2020 roku, to gorąco mu kibicuje. Im więcej wartościowych materiałów w sieci, tym lepiej. Na blogu znajdziesz wyjaśnienia podstawowych zagadnień oraz **praktyczne przykłady zastosowania aplikacji w pracy sieciowca.** **Polecany artykuł:** [23 przykłady jak przechwytywać ruch za pomocą tcpdump](https://networkacademy.pl/tcpdump-przyklady/?ref=innasiec.pl) > [SHOW ROUTE](https://showroute.pl/blog/?ref=innasiec.pl) Jestem ogromnym fanem technologii z działki Service Provider. Tym chętniej zaglądam na blog do [T**omasza Mikołajka**](https://www.linkedin.com/in/tmikolajek/?ref=innasiec.pl), który świetnie tłumaczy zagadnienia z tego obszaru. **Na show route znajdziesz sporo materiałów na temat BGP**, czyli Bardzo Groźnego Protokołu oraz wracającego do łask poza sieciami ISP protokołu IS-IS. **Warto również zapisać się na [darmowy kurs Junosa](https://showroute.pl/j/?ref=innasiec.pl)**, na którym poznasz podstawy systemy operacyjnego napędzającego sprzęty firmy Juniper Networks. **Polecany artykuł:** [Co to jest RPKI?](https://showroute.pl/co-to-jest-rpki/?ref=innasiec.pl) > [SZKOŁA DEVNET](https://szkoladevnet.pl/?ref=innasiec.pl) **Automatyzacja to temat, który jest już z nami od wielu lat.** Jednak wypuszczenie dedykowanej ścieżki certyfikacyjnej przez Cisco, jeszcze bardziej przyspieszyło ten trend i zachęciło kolejnych inżynierów do pochylenia się nad tymi zagadnieniami. **Szkoła Devnet to blog prowadzony przez [Piotra Wojciechowskiego](https://www.linkedin.com/in/peper/?ref=innasiec.pl),** który jest nie tylko świetnym sieciowcem (o czym świadczy ponad 10 lat z tytułem CCIE), ale również ekspertem w temacie automatyzacji. Dość powiedzieć, że **Piotr ma swój wkład w bibliotekach do Docker Swarm oraz stworzył aplikację do automatyzacji sieci…. w Cisco Modeling Lab!** **Polecany artykuł:** [5 trendów DevOps, które warto śledzić w 2021](https://szkoladevnet.pl/5-trendow-devops-ktore-warto-sledzic-w-2021/?ref=innasiec.pl) > [WŁADCY SIECI](https://wladcysieci.pl/?ref=innasiec.pl) Portal Władcy sieci prowadzony przez firmę Axence, to nie tylko zbiór artykułów, ale również rosnąca społeczność administratorów. Ich misją jest *„*Uświadamianie, że administrator to nie tylko „pan od komputerów”, ale osoba odgrywająca kluczową rolę w organizacji”**. Znajdziesz tutaj artykuły o tematyce sieci komputerowych, bezpieczeństwa i automatyzacji. **Polecany artykuł:** [Jak łączyć ze sobą narzędzia do automatyzacji?](https://wladcysieci.pl/2021/06/10/jak-laczyc-ze-soba-narzedzia-do-automatyzacji/?ref=innasiec.pl) ## PODSUMOWANIE **To już druga edycja listy top 10 blogów dla sieciowca.** Na liście znalazło się wiele blogów z zeszłorocznej edycji, jak również kilka nowych, prężnie rozwijających się portali i jako nowość pojawił się nawet vlog. Podejrzewam, że w przyszłym roku może ich być nawet więcej. Jak widać mamy w Polsce wielu ekspertów, chętnych do dzielenia się swoją wiedzą z innymi. Ogromnie mnie to cieszy, dzięki temu wiele osób będzie miało łatwiejszy start w swojej karierze. Na koniec mam pytanie do Ciebie. **Jaki blog umieściłbyś na liście?** ### Jak znaleźć pierwszą pracę w IT? Pytamy rekruterów URL: https://innasiec.pl/jak-znalezc-pierwsza-prace-w-it/ Last updated: 2024-06-26T13:21:37.000Z Pierwsza praca w IT to bez wątpienia drabina do lepszych zarobków w przyszłości oraz miejsce, w którym zdobędziesz doświadczenie. **Jak wyróżnić się z tłumu kandydatów? Czym kierować się przy wyborze odpowiedniej firmy?** Zadaliśmy te pytania rekruterkom oraz doradcom kariery z branży IT. To oni codziennie rozmawiają z kandydatami i pomagają poszukującym nowych możliwości. Warto wiedzieć, na co zwrócić uwagę, aby zwiększyć swoje szanse na wymarzoną pracę. Wszystkie wypowiedzi ułożone są w sposób alfabetyczny. ## 3 istotne kroki do znalezienia pierwszej pracy – CV, Aplikacja, Pierwsza rozmowa ![Paulina Ćwiek - Rekruter w MatcHR](https://innasiec.pl/content/images/wordpress/2021/08/Paulina_cwiek.jpeg) **Paulina Ćwiek** Rekruterka w **MatcHR** [LinkedIn ](https://www.linkedin.com/in/paulina-cwiek-261aa9166/?ref=innasiec.pl) **CV:** Twoje CV musi być łatwo czytelne i przyjemne dla oka. Jeśli nie masz doświadczenia zawodowego, pamiętaj, aby wypisać wszystkie kursy i certyfikaty, które mogą być pomocne na danym stanowisku. Nie zapomnij też umieścić danych kontaktowych, aby rekruter mógł się z Tobą łatwo skontaktować. W górnej części CV warto też napisać 3-5 krótkich zdań o sobie. **Ważne jest, aby nie zawyżać swojego doświadczenia ani umiejętności w CV**, bo takie coś prędzej czy później wyjdzie na jaw w procesie rekrutacji i może negatywnie odbić się na Twojej reputacji. **Aplikacja:** Bardzo dokładnie czytaj opisy stanowiska i aplikuj tylko na takie, które odpowiadają Twojemu doświadczeniu i umiejętnościom. W mojej pracy spotykam się z dużą liczbą kandydatów, którzy składają aplikacje na seniorskie stanowiska, a nie mają żadnego doświadczenia lub niewielkie, co od razu wiąże się z odrzuceniem takowej aplikacji. Postaraj się też, poszukać informacji czym dokładnie zajmuje się firma, jakie jest zadowolenie pracowników i zadaj sobie pytanie dlaczego chciałbyś/chciałabyś tam pracować. **Pierwsza rozmowa:** Jeśli zostaniesz zaproszony/a na pierwszą rozmowę, poświęć trochę czasu na przygotowanie i głębszy research na temat firmy. Rekruter na pewno zapyta Cię, dlaczego chcesz tutaj pracować i co przyciągnęło Twoją uwagę, więc bądź gotowy/a aby podać kilka konkretnych przykładów, które uzasadnią Twoją motywację. Podczas rozmowy wymień też kilka powodów, które mogłyby przekonać rekrutera, że jesteś odpowiednim kandydatem/kandydatką, mimo braku doświadczenia zawodowego. ## Idealnym stanem po rozmowie jest taki, kiedy mamy komplet informacji ![](https://innasiec.pl/content/images/wordpress/2021/08/Magdalena_Kanik.jpg) **Magdalena Kanik** Business Manager w **MARGO** [LinkedIn](https://www.linkedin.com/in/magdalena-kanik/?ref=innasiec.pl) **Zdarza się, że w rozmowach z Kandydatami słyszę, że sposób, w jaki ułożyła się ich ścieżka zawodowa, było dziełem przypadku.** Poszli do pierwszej pracy, tam zdobyli pewne kompetencje i dalej już podążali w tym kierunku. Jeśli jesteśmy urodzonymi szczęściarzami, możemy zaufać losowi, ale w każdym innym przypadku myślę, że warto jednak przemyśleć temat. Na co zwrócić uwagę? **Przede wszystkim w pierwszej pracy zdobędziemy pierwsze szlify** – nie chcę mówić, że czym skorupka nasiąknie za młodu, ale jednak praktyki, z jakimi się spotkamy z dużym prawdopodobieństwem, będziemy powielać dalej. Warto więc sprawdzić, czy mamy znajomych w danej firmie i podpytać ich, jak to wygląda od środka. Niezależnie od pozyskanych informacji zawsze warto zapytać też przyszłego pracodawcę na rozmowie rekrutacyjnej o jego perspektywę. A skoro już poruszamy temat rozmowy, to proponuję ją faktycznie traktować jak rozmowę, co oznacza, że zachęcam, aby nie być tylko biernym odbiorcą pytań, ale też samemu je zadawać. **Przygotowując kandydatów, do rozmów rekrutacyjnych zawsze mówię, że idealnym stanem po rozmowie jest taki, kiedy mamy komplet informacji, które są nam potrzebne do podjęcia decyzji, czy iść w danym kierunku, czy nie.** Oczywiście to wymaga przygotowania i przemyślenia, jakie pytania warto zadać i tu uczulam, że przede wszystkim merytoryczne (pytanie o rodzaj dostępnej kawy raczej nie postawi nas w dobrym świetle, a jednak zdarza się, że padają). **W przypadku pierwszej pracy myślę, że dobrze jest zapytać o sposób, w jaki są wdrażani nowi pracownicy, czy jest jakaś dokumentacja, czy będą seniorzy, od których będzie się można czegoś nauczyć.** Są np. firmy, gdzie nowe osoby mają przez pewien czas przypisanego buddy’ego, który opiekuje się nową osobą i jest to wpisane w jego obowiązki, a nie robi tego w tzw. wolnym czasie, którego nie ma. Warto zapytać o kulturę firmy w tym zakresie. **Innym aspektem, który w świadomym kształtowaniu ścieżki zawodowej jest nie do przecenienia to fakt, że decydując się na firmę ze znaną marką mamy silny punkt w CV.** Dlaczego? Skoro marka jest znana, to każdy, kto czyta CV, od razu kojarzy jej wizerunek. Co za tym idzie, jeśli pracujemy w międzynarodowej firmie, wiadome jest, że jest większe prawdopodobieństwo, że mieliśmy styczność z językiem angielskim. Jeśli mówimy o globalnej korporacji, to zapewne były tam określone zasady i praktyki, według których pracowaliśmy. Z kolei jeśli pracowaliśmy w software house, to zapewne projekty miały większą dynamikę niż w dużych organizacjach, które charakteryzują się pewną inercją. **Jeśli mamy w CV kilka mało znanych firm, to w głowie odbiorcy nie buduje się żaden obraz (wtedy my musimy zadbać o przekazanie podstawowych informacji o firmie).** Oczywiście jest to element, który ma znaczenie na etapie wyboru Kandydatów na rozmowę na podstawie przesłanego CV, ale w momencie, gdy jest tylu Kandydatów, że nie sposób spotkać wszystkich, menedżer na jakiejś podstawie musi podjąć decyzję, kogo zaprosić na rozmowy. Na koniec **miejmy w pamięci, że menedżer bierze odpowiedzialność za wybór odpowiedniej osoby do Zespołu, więc warto mu to ułatwić np. poprzez dobrze skonstruowane CV**, tzn. w sposób, który pozwoli odbiorcy wyobrazić sobie przynajmniej w pewnym zakresie, na czym polegała nasza praca. Nawet jeśli naszym dotychczasowym doświadczeniem są krótkie praktyki, napiszmy, z jakimi systemami pracowaliśmy, opiszmy pokrótce nasze zadania. Jest to pewna trudność dla osób, które nie lubią pisać o rzeczach oczywistych, ale jednak o to tu chodzi – to nam się wydaje, że coś jest oczywistą oczywistością, ale ta sama praktyka z nazwy w dwóch różnych firmach może przebiegać zupełnie inaczej. Podobnie podczas rozmowy – **pamiętajmy, że** **menedżer nas nie zna i może wyciągnąć wnioski tylko z tego, co usłyszy od nas, dlatego zastanówmy się wcześniej, co chcemy przekazać**, bo choć nie mamy wpływu na to, jakie usłyszymy pytania, to już od nas zależy, jak na nie odpowiemy. Mając w głowie to, na czym nam zależy, aby usłyszał menedżer, jest duża szansa, że to wybrzmi. ## Postaw na wiedzę, umiejętności i kompetencje miękkie. ![Adriana Krzemińska - HR Unit Specialist w UNITEAM](https://innasiec.pl/content/images/wordpress/2021/08/adriana-krzeminska.jpg) **Adriana Krzemińska** HR Unit Specialist w **UNITEAM** [LinkedIn](https://www.linkedin.com/in/adriana-krzemi%C5%84ska-a7080a139/?ref=innasiec.pl) **Pierwszym krokiem powinna być wnikliwa analiza samego siebie.** Sprawdź, jakie role można pełnić w IT, pytaj znajomych, sporo czytaj i poszerzaj horyzonty. Zastanów się jakie zadania sprawiają Ci przyjemność, a jakie są dla Ciebie nużące i mało atrakcyjne. Pomyśl o swoich mocnych i słabych stronach w kontekście pracy. To wszystko przybliży Cię do rozwoju w atrakcyjnym dla Ciebie środowisku i roli. Może się też zdarzyć tak, że nie do końca będziesz przekonany o tym, co jest dla Ciebie odpowiednie – w takim wypadku po prostu próbuj i działaj, a przy okazji obserwuj siebie. Przeglądaj oferty i aplikuj! Jeśli nie posiadasz jeszcze doświadczenia zawodowego, zacznij od praktyk lub stażu. Pozwól organizacji siebie poznać, sprawdź, czy dany obszar działania Ci odpowiada i czerp doświadczenia od starszych stażem pracowników. Z pozycji praktykanta lub stażysty łatwiej będzie Ci starać się o stanowisko juniorskie. **Praca w IT to nie tylko programowanie**: możesz rozwijać się jako Analityk Systemowy, Project Manager lub nawet Handlowiec. Szukając pierwszej pracy w IT postaw na wiedzę, umiejętności i kompetencje miękkie. Uwydatnij swoje mocne strony w CV lub podczas rozmowy rekrutacyjnej oraz podeprzyj się dowodami w postaci portfolio projektów (zrealizowanych podczas nauki) lub repozytorium na GitHub. Bądź proaktywny, pozytywnie nastawiony i cierpliwy. Spory odsetek kandydatów na rekrutacji pojawia się dzięki systemowi poleceń pracowniczych. Warto więc postawić na networking. **Buduj sieć kontaktów na LinkedIn, angażuj się w dyskusje na forach, korzystaj ze StackOverflow, uczestnicz w webinarach, bootkampach, kursach, targach, konferencjach i wydarzeniach branżowych.** Oprócz nowej pracy możesz zyskać sporo wiedzy, cennych uwag i wsparcia bardziej doświadczonych osób. ## W branży IT zyskują ci, którzy chcą się uczyć, szybko dostosowują się do zmian ![Karolina Lipska - Senior IT Recruitment Consultant w Randstad Polska](https://innasiec.pl/content/images/wordpress/2021/08/karolina-lipska.jpeg) **Karolina Lipska** Senior IT Recruitment Consultant w **Randstad Polska** [LinkedIn](https://www.linkedin.com/in/karolina-lipska-97b08588/?ref=innasiec.pl) Startując w branży IT, **kandydat powinien przede wszystkim pamiętać, że nikt nie rodzi się seniorem**. To czy dojdzie w swojej karierze do etapu seniora lub wyżej zależy tylko i wyłącznie od niego. Ciężko jest podać definicję idealnego kandydata – juniora. **Moim zdaniem najistotniejsze jest, by aplikujący wiedział, czego chce, dążył do rozwijania kompetencji technicznych:** nauki języków programowania, poszerzania swoich umiejętności np. poprzez udział w szkoleniach, kursach, był nastawiony na cel, proaktywny w działaniu oraz posiadał świadomość, że w obecnych czasach współpraca z „biznesem” to dla branży IT chleb powszedni. **Tajemnicą sukcesu na rynku IT jest portfolio, które trzeba budować konsekwentnie i świadomie.** Poprzez dobór technologii można pokazać, że ma się na siebie pomysł i wybraną ścieżkę rozwoju. Błędem jest przypadkowe dobieranie technologii, które do siebie nie pasują. Każda specjalizacja w IT ma typowy dla siebie stack technologiczny (stos technologiczny). Moim zdaniem dobrze jest zrobić dużo wcześniej research. Nie ma sensu inwestować swojego czasu i pieniędzy ucząc się czegoś, co nie jest potrzebne i czego rynek ma przesyt. Również **wiek potencjalnego juniora nie ma znaczenia.** Ważniejsze jest dopasowanie do kultury organizacyjnej, inaczej będzie wyglądała praca w start up-ie, inaczej w korporacji. Warto zadać sobie to pytanie czy nadaje się do mniejszej firmy i bardziej kameralnego zespołu, czy niczym Wilk z Wall Street jesteśmy w stanie podbić dużą, globalną korporację. **Branża w obecnych czasach IT jest otwarta na różnorodność. Takie same szanse ma 50-latek i 25-latek. Dlatego nie ważne ile masz lat. Próbuj!** **W branży IT zyskują ci, którzy chcą się uczyć, szybko dostosowują się do zmian, są elastyczni i wiedzą, że ważny jest nie tylko sam kod i wyróżniające się spośród innych CV.** Warto do tego wszystkiego dodać znajomość języka angielskiego. Aktualnie wiele firm to organizacje międzynarodowe lub pracujące dla zagranicznych klientów. **Znajomość angielskiego na poziomie B2 staje się absolutną koniecznością** i jest często sprawdzana na rozmowach kwalifikacyjnych. A co jeśli chodzi o kompetencje miękkie? Przede wszystkim, **kandydat na juniora w IT powinien być komunikatywny.** W pewnych kręgach, w dalszym ciągu krąży błędne przekonanie o tym, że inżynierowie to ludzie, którzy całymi dniami tylko programują i są zazwyczaj introwertykami. Moim zdaniem to błędna opinia. **Obecnie ludzie z branży IT uczestniczą w wielu meet up-ach, hackatonach, konferencjach na żywo lub online.** Niejednokrotnie zdarza się też, że pracownicy są oddelegowywani do pracy z klientem poprzez wsparcie techniczne na miejscu, testowanie wybranego rozwiązania. Nie ma tutaj miejsca na pracę sam na sam, bez potrzeby kontaktu z drugim człowiekiem. Rzeczą **niezwykle istotną w pracy w IT jest także umiejętność logicznego myślenia i analizowania pewnych faktów.** To dynamiczne środowisko, gdzie należy dokonywać szybkiej oceny, często wracać do początku i nadawać pracy priorytety. Liczy się też szybkość podejmowania decyzji i prezentowania różnych rozwiązań. ## W branży IT zyskują ci, którzy chcą się uczyć, szybko dostosowują się do zmian ![Karolina Marlińska Senior Recruitment Specialist w Netguru](https://innasiec.pl/content/images/wordpress/2021/08/Karolina_marlinska.jpeg) **Karolina Marlińska** Senior Recruitment Specialist w **Netguru** [LinkedIn](https://www.linkedin.com/in/karolinamarlinska/?ref=innasiec.pl) **Szukając pracy i aplikując na poszczególną rolę, zwróć uwagę na wymagania,** które zostały wymienione w ofercie pracy — szczególnie na sekcję “must-have”. Jeśli posiadasz adekwatne umiejętności/wiedzę — upewnij się, że dane obszary są odzwierciedlone w Twoim CV. Opisując swój zakres obowiązków w obecnej czy poprzedniej pracy, skup się na konkretach, mierzalnych efektach i obszarach odpowiedzialności, które pozwolą lepiej zrozumieć, jak kształtowały się Twoje obowiązki. Jeśli miałaś/miałeś okazję pracować w zespole — warto o tym wspomnieć! 🙂 W przypadku **jeśli nie masz długiego doświadczenia, przemyśl jakie inne podejmowane przez Ciebie aktywności mogą potwierdzić wartościowe umiejętności** – np. aktywny udział w organizacji typu AISEC, mimo że nie jest bezpośrednio związany z IT, może wskazywać, że miałaś/eś doświadczenie w pracy zespołowej w międzynarodowym środowisku i zarządzaniu lub realizacji projektów. Pamiętaj o umieszczeniu adekwatnych dla danej roli ukończonych kursów, szkoleń i zdobytych certyfikatów (przy okazji zachęcam do proaktywnego zgłębiania wiedzy samodzielnie!). Jeśli podczas aplikacji, zostaniesz poproszona/poproszony o wypełnienie formularza aplikacyjnego, zarezerwuj czas, aby odpowiedzieć na pytania wyczerpująco – ale nadal konkretnie. **Jako rekruter mocno doceniam przygotowanie kandydata** i to kiedy jego odpowiedzi wskazują, że zapoznał się z profilem firmy oraz opisem stanowiska, na które aplikuje. Kiedy zostaniesz zaproszona/y do procesu – **pamiętaj, że masz pełne prawo dopytać o wszystko, co jest dla Ciebie niejasne, tak aby odpowiednio się przygotować (np. odnośnie instrukcji do zadania rekrutacyjnego lub języka, w którym będzie odbywać się spotkanie itp.)**. Bądź w stałej komunikacji z dedykowaną osobą z zespołu rekrutacji i proaktywnie informuj np. jeśli nie będziesz dostępna/y pod telefonem przez kilka dni urlopu lub jeśli potrzebujesz więcej czasu na przesłanie rozwiązań na zadanie rekrutacyjne. **Do samej rozmowy przygotuj się czytając ponownie opis stanowiska** – przemyśl konkretne przykłady projektów czy zagadnień, z którymi miałeś doświadczenie, tak aby móc zwięźle o nich opowiedzieć. Przeczytaj dostępne materiały o firmie i zastanów się również, co Cię zmotywowało do zaaplikowania na daną ofertę oraz jakie aspekty będą dla Ciebie ważne przy podejmowaniu decyzji o wyborze nowego miejsca. **Spotkanie rekrutacyjne to także czas dla Ciebie, aby porozmawiać o kwestiach, które są dla Ciebie istotne – przemyśl pytania, które chciałabyś/chciałbyś zadać i ewentualnie wątpliwości do rozwiania.** Powodzenia! ## CV to narzędzie komunikacji, ono ma mówić to co chcesz, żeby zostało usłyszane ![Monika Rudnicka HR Business Partner w Beyond.pl](https://innasiec.pl/content/images/wordpress/2021/08/monika-rudnicka.jpeg) **Monika Rudnicka** HR Business Partner w **Beyond.pl** [LinkedIn](https://www.linkedin.com/in/monika-maria-rudnicka/?ref=innasiec.pl) Szukasz pierwszej pracy w obszarze IT i pytasz mnie „jak się wyróżnić”? Czyli **c** **o zrobić, żeby Twoje dokumenty aplikacyjne zostały zauważone?** Niestety nie mam jednej złotej rady, bo wszystko zależy od kontekstu na przykład od tego, jakie masz już w ogóle doświadczenie zawodowe – czy dopiero wchodzisz na ścieżkę zawodową, czy szukasz możliwości przebranżowienia. Niemniej, są na pewno 3 rzeczy, które na pewno możesz (a nawet powinieneś) zrobić. Po 1\. **wykorzystaj sekcję w CV, gdzie piszesz kilka słów o sobie.** To miejsce, żeby wspomnieć o chęci przebranżowienia lub o gotowości rozpoczęcia swojej drogi zawodowej w obszarze IT. Napisz, co już w tym temacie zrobiłeś – może działasz sam i się uczysz, może masz na koncie zrealizowany kurs lub szkolenie. Pamiętaj, że CV to narzędzie komunikacji, ono ma mówić to co chcesz, żeby zostało usłyszane. W realnej komunikacji z ludźmi też nie lubimy postawy „domyśl się” 😉 dlatego nie zostawiaj pola na domysły w swoich dokumentach aplikacyjnych. Po 2\. **opisz całe swoje doświadczenie z obszaru IT** – naprawiasz znajomym komputery? Jesteś rodzinnym specem od drukarek? Stawiasz swoje testowe, wirtualne maszyny? Kodujesz? Testujesz? Napisz to w CV! **Przyjęło się, że w CV opisujemy tylko nasze doświadczenie zawodowe, a w wielu sytuacjach to bardzo ograniczające i sam sobie wybijasz atuty z ręki**. Nie jest ważne, czy coś robisz zawodowo, jako wolontariusz czy hobbystycznie. Ważne, że to, co robisz, daje Ci radość, uczysz się i chcesz się w tym rozwijać. Po 3\. **nie bój się aplikować na stanowiska juniorskie.** To najlepszy i najszybszy sposób na wejście do branży IT. Ta ścieżka warta jest uwagi nawet jeśli masz już za sobą kilka lat kariery zawodowej w innym obszarze, ale w takiej sytuacji koniecznie odrób lekcję z punktu no.1. ## Szukając pierwszej pracy, aplikuj na juniora ![Magdalena (Breza) Szarek - Senior Talent Acquisition Specialist | IT Recruiter](https://innasiec.pl/content/images/wordpress/2021/08/Magdalena-Szarek.jpeg) **Magdalena (Breza) Szarek** 🦄 Senior Talent Acquisition Specialist | IT Recruiter [LinkedIn ](https://www.linkedin.com/in/magdalena-breza/?ref=innasiec.pl) Przede wszystkim – szukając pierwszej pracy aplikować na juniora, a nie na mida 🙂 Ja bym chętnie przeczytała kilka słów „dlaczego” – dlaczego po 10 latach pracy jako bibliotekarz ktoś postanowił zrobić kurs i zostać developerem. Czytelna forma graficzna, żeby CV było ATS friendly — to znacznie zwiększa szanse. ## Najlepsze efekty przynosi aktywność, wychodzenie poza schemat i nawiązywanie relacji ![Agnieszka Śladkowska - Twórca Gorillajob](https://innasiec.pl/content/images/wordpress/2021/08/Agnieszka-Sladkowska.jpeg) **Agnieszka Śladkowska** Twórca **Gorillajob** 🦍 wsparcia kandydatów na rynku pracy [LinkedIn ](https://www.linkedin.com/in/agsladkowska/?ref=innasiec.pl) Sposoby poszukiwania pracy, szczególnie tej pierwszej, ewoluują. **Najlepsze efekty można na ten moment osiągnąć aktywnością, wychodzeniem poza schematyczne poszukiwania i oczywiście nawiązywaniem relacji.** Zanim firma, na której nam zależy, wystawi ogłoszenie, zgłośmy się do niej, wspierajmy ją w mediach społecznościowych, pokażmy swoje zaangażowanie i chęć pracy właśnie w tym miejscu. **Przygotujmy CV i treść maila skupiając się na wartościach, które przekonają tego konkretnego pracodawcę.** Pamiętajmy też, że rekruterzy rzadko decydują tylko na podstawie kompetencji twardych, a stale istotnym elementem jest, na ile kandydat wykaże się kompetencjami miękkimi i nawiąże z rekruterem relację. ## Szukając pierwszej pracy w IT pamiętaj o ciągłym poszerzaniu kompetencji ![Marta Wieczorek - Delivery Manager (IT Recruitment) w RITS](https://innasiec.pl/content/images/wordpress/2021/08/marta-wieczorek.jpeg) **Marta Wieczorek** Delivery Manager (IT Recruitment) w **RITS** [LinkedIn ](https://www.linkedin.com/in/agsladkowska/?ref=innasiec.pl) Zaczynając poszukiwania pierwszej pracy w IT, powinniśmy zacząć od przygotowania solidnego CV. **Biorąc pod uwagę ogromne zainteresowanie ofertami na poziomie junior, warto pamiętać o tym, aby jak najlepiej przedstawić dotychczasowe doświadczenie i umiejętności.** Jeżeli jesteś osobą, która swoje umiejętności techniczne zdobyła na kursie bądź w toku studiów, opisz je, biorąc pod uwagę realne kompetencje, które posiadasz – jeżeli masz za sobą ukończone pierwsze projekty, w których brałeś/aś udział, opisz je i wskaż zakres swoich obowiązków. **W przypadku pozycji deweloperskich, warto w CV umieścić link do swojego portfolio oraz Githuba.** To tam weryfikujący Twoje CV będą mogli zobaczyć „na żywo” Twoje umiejętności jeszcze przed rozmową. **CV to również miejsce na wskazanie posiadanej certyfikacji,** więc jeżeli takową posiadasz, warto umieścić ją w dokumencie. Szukając pierwszej pracy w IT, wspomnij też o swojej motywacji i dlaczego właśnie w IT widzisz swoją karierę zawodową. **Istotną kwestią jest również wygląd Twojego resume** – pamiętaj o tym, aby przed wysłaniem CV dokładnie je sprawdzić i upewnić się, że nie ma w nim, chociażby błędów językowych. Osobiście polecam weryfikację CV razem ze specjalistami. O ich pomoc zawsze możesz poprosić w grupach branżowych obecnych na przykład na Facebook oraz specjalistów z portalu Linkedin – nie obawiaj się pytania o radę doświadczonych rekruterów oraz ekspertów z dziedziny, w której się rozwijasz. **Przy poszukiwaniu ofert, dokładnie zapoznaj się z ofertami na które chcesz złożyć aplikację i zapoznaj się z wymaganymi dokumentami, których oczekują pracodawcy.** Składając swoje CV, uzbrój się też w cierpliwość. Szukając pierwszej pracy w IT, spotkasz się z dużą konkurencją i często feedback związany z Twoją aplikacją nie pojawi się w pierwszych dniach od zgłoszenia. **W przypadku odpowiedzi negatywnej, zawsze proś o dodatkowe informacje związane z odrzuceniem Twojej kandydatury – na przyszłość, będziesz wiedzieć, na jakie obszary rekrutujący najbardziej zwracają uwagę oraz co możesz poprawić na przykład w Twoim CV.** Monitoruj różne źródła, w których umieszczane są oferty pracy – zaczynając od znanych portali a kończąc na branżowych grupach. **Osobiście polecam też zwracać się bezpośrednio do firm, które swoim profilem działalności są zbliżone do Twoich preferencji.** Dzięki bezpośredniemu dotarciu do firm masz szansę na zdobycie posady, na którą nie było jeszcze otwartego naboru. **Szukając pierwszej pracy w IT pamiętaj o ciągłym poszerzaniu kompetencji, bądź na bieżąco z** **nowinkami z obszaru, który Cię interesuje i nawiązuj kontakty z osobami, które mogłyby podpowiedzieć na podstawie swojego doświadczenia gdzie najlepiej zdobywać nowe umiejętności.** Nie obawiaj się pytać, mów wprost o swoich obiekcjach oraz ewentualnych brakach wiedzy – pamiętaj o tym, że na poziomie entry level zawsze będziesz pod opieką bardziej doświadczonych pracowników i to z ich pomocą zdobędziesz praktyczne umiejętności. ## ## Pytanie do Ciebie Znasz już porady rekruterek oraz doradców kariery odnośnie procesu rekrutacji, dobrania odpowiedniego stanowiska do swoich preferencji. Wiesz również, że wiek nie ma większego znaczenia – w IT odnajdzie się zarówno student jak i osoba z doświadczeniem z innej branży. Mam pytanie do Ciebie, **co Ty możesz poradzić osobie, która szuka swojej pierwszej pracy w IT?** Napisz koniecznie w komentarzu! ### PLNOG ONLINE 21 - 22 Września URL: https://innasiec.pl/plnog-online-21-22-wrzesnia/ Last updated: 2024-06-26T13:17:02.000Z \]Już tej jesieni, w dniach **21-22 września** odbędzie się druga edycja wirtualnego spotkania **PLNOG Online 2**. Konferencja PLNOG jest największym wydarzeniem branżowym w Polsce, pozwalającym na wymianę doświadczeń, budzącym dyskusje dotyczące rynku, oraz stwarzającą okazję do nieustannej pracy nad rozwojem branży ICT i ISP w Polsce. Każda kolejna edycja przynosi ze sobą coraz większą liczbę uczestników i ekspertów z całego świata. ## Czym zaskoczy nas tym razem? W agendzie znajdą się tematy z zakresu: - Telemetria i automatyzacja sieci - Bezpieczeństwo sieci i ataki DDoS - SDN - Zastosowania Cloudowe i DevOps - Sztuczna Inteligencja, service providers - Automatyzacja - LTE, wyzwania sieci komórkowych, 5G Bez wątpienia tegoroczna edycja będzie zaskakująca i pełna nowinek telekomunikacyjnych. Warto zatem wyczekiwać kolejnych tematów oraz niesamowitych prelegentów zarówno z Polski jak i zza granicy. ## Chciałbyś zostać prelegentem? Jeżeli przyszłość technologii bliska jest Twojemu sercu, Twoje życie powiązane jest z nowymi technologiami, a Ty nieustannie wyszukujesz nowinek informacyjno-programowych i zastanawiasz się jak ulepszyć telekomunikację, jesteś osobą, która idealnie nadaje się na zostanie naszym prelegentem! Więcej informacji znajdziesz tu: [https://plnog.pl/pl/call-for-papers/](https://plnog.pl/pl/call-for-papers/?ref=innasiec.pl) ## ZNIŻKA DLA SPOŁECZNOŚCI INNA SIEĆ: Pamiętaj, aby zaznaczyć 21-22 września w swoim kalendarzu i podczas [rejestracji](https://eventory.cc/event/plnog-online2-2021/tickets?ref=innasiec.pl) skorzystaj z kodu uprawniającego do 15% zniżki na bilety – **innasiec15.** ### Wprowadzenie do MPLS URL: https://innasiec.pl/wprowadzenie-do-mpls/ Last updated: 2024-06-26T14:21:39.000Z MPLS to technologia bardzo popularna wśród dostawców usług internetowych oraz w dużych korporacjach. Sprawdza się wszędzie tam, gdzie mamy wielu klientów, którzy mają określone wymagania dotyczące tego, jak ich ruch ma być obsługiwany. J**ej popularność wynika z faktu, że w sieci IP/MPLS jesteśmy w stanie praktycznie przesyłać dowolny inny protokół.** Nic nie stoi na przeszkodzie, aby oferować usługi przekazywania nie tylko pakietów IP, ale również protokołów warstwy drugiej, takich jak Ethernet, HDLC, PPP i inne. Korzystając z inżynierii ruchu (ang. Traffic Engineering TE), jesteśmy w stanie gwarantować konkretne parametry transmisji wykorzystując współdzieloną infrastrukturę. MPLS umożliwia efektywne zarządzanie ruchem sieciowym oraz zapewnia elastyczność w transporcie różnych typów danych. Dzięki temu dostawcy usług mogą lepiej kontrolować przepływ informacji i dostosowywać się do zmieniających się potrzeb klientów. ### Jak działa MPLS? Routing to proces polegający na przekazywaniu danych na podstawie informacji zawartych w nagłówku IP. Kiedy router otrzymuje pakiet, porównuje adres docelowy z informacją zawartą w tablicy routingu i podejmuje decyzję, gdzie należy go skierować. **MPLS natomiast wykorzystuje etykiety, które są umieszczane w stosie pomiędzy nagłówkami warstwy drugiej i trzeciej.** Dlatego jest czasem nazywany protokołem 2.5\. W stosie może znajdować się więcej niż jedna etykieta. **W przypadku usług MPLS VPN stosuje się na przykład dwie etykiety:** transportową, która informuje, do którego urządzenia w sieci operatorskiej ma trafić pakiet, oraz etykietę VPN, która pozwala odróżnić, do którego klienta powinien być przekazany pakiet. ![Zawartość nagłówka MPLS](https://innasiec.pl/content/images/2024/06/naglowek-mpls.webp) Router z włączoną usługą MPLS generuje etykietę dla każdej widocznej w tablicy routingu podsieci. Dostępny zakres wartości dla etykiet to od 16 do 1 048 575\. Pierwsza szesnastka jest zarezerwowana. Po dokonaniu wyboru, router informuje sąsiadujące urządzenia o swoim wyborze poprzez protokół Label Distribution Protocol (LDP). Oznacza to, że etykieta wskazuje na konkretną podsieć jedynie pomiędzy sąsiadującymi routerami, a ta sama etykieta może być wielokrotnie wykorzystywana w sieci do różnych celów. ![Proces nadawania i podmiany etykiet w MPLS](https://innasiec.pl/content/images/2024/06/nadawanie-etykiet-w-MPLS.webp) **Prześledźmy proces jeszcze raz w punktach:** 1. Pojawiła się nowa podsieć 10.10.10.1/32. 2. Każdy router samodzielnie wybiera etykietę dla danej podsieci. 3. Korzystając z protokołu LDP, informuje sąsiadujące urządzenia o wybranej etykiecie. 4. R4 informuje R3, że wybrał etykietę 400 dla podsieci 10.10.10.1/32. 5. R3 informuje R2 i R4, że wybrał etykietę 300 dla podsieci 10.10.10.1/32. 6. R2 informuje R1 i R3, że wybrał etykietę 200 dla podsieci 10.10.10.1/32. 7. R1 informuje R2, że wybrał etykietę 100 dla podsieci 10.10.10.1/32. 8. Routery sprawdzają w tablicy routingu, jaki jest adres next-hop dla podsieci 10.10.10.1/32 i odpowiednio aktualizują tablicę przekierowań dla MPLS. ### Operacje na etykietach MPLS tworzy wirtualne ścieżki pomiędzy dwoma punktami w sieci, które nazywają się **Label Switched Paths (LSP)**. Na takiej ścieżce wszystkie routery nazywane są **Label Switch Router (LSR)** i wykonują one trzy podstawowe operacje na etykietach. **PUSH** – Etykieta jest dodawana na górę stosu. ![Operacja POP na stosie MPLS](https://innasiec.pl/content/images/2024/06/mpls-operacja-push.webp) **SWAP** – Pierwsza etykieta od góry zostaje podmieniona. ![Operacja SWAP na stosie MPLS](https://innasiec.pl/content/images/2024/06/mpls-operacja-swap.webp) **POP** – Pierwsza od góry etykieta zostaje usunięta ze stosu. ![Operacja POP na stosie MPLS](https://innasiec.pl/content/images/2024/06/mpls-operacja-pop.webp) Ponieważ wszystkie wcześniej wymienione operacje są wykonywane tylko na jednej etykiecie, istnieje jeszcze czwarta opcja – **Untagged/No Label**. Opcja ta polega na całkowitym zniszczeniu stosu i przekazaniu pakietu dalej. ### Rola routerów w MPLS W sieciach MPLS, rozmawiając o infrastrukturze, zazwyczaj mówimy o urządzeniach klienckich oraz sprzęcie dostawcy usług. **Customer Edge (CE)** – to router u klienta z wykupioną usługą MPLS, który jedynie rozgłasza trasy do dostawcy bez stosowania etykiet. Czasami używa się skrótu CPE (Customer-Premises Equipment), aby wskazać lokalizację urządzenia. **Provider Edge (PE) –** to router znajdujący się na styku sieci z klientem. To tutaj odbywa się pierwsza operacja umieszczania lub usuwania etykiet ze stosu. **Provider (P) –** to router wewnątrz sieci MPLS, którego głównym zadaniem jest przełączanie pakietów zgodnie z przydzielonymi etykietami. Ponieważ na tych urządzeniach nie zachodzi wiele operacji, mogą to być słabsze urządzenia niż PE. ![Uproszczona topologia sieci MPLS](https://innasiec.pl/content/images/2024/06/Uproszczona-topologia-mpls.webp) Sprzęt operatorski można podzielić nie tylko ze względu na położenie w topologii, ale także ze względu na pełnioną funkcję. ![Uproszczona topologia z podziałem na role routerów](https://innasiec.pl/content/images/2024/06/uproszczona-topologia-mpls_lsr.webp) **Ingress Label Switch Router (iLSR)** to router, którego zadaniem jest rozgłaszanie wszystkich podsieci. Odbiera on pakiety od klienta i przypisuje im odpowiednie etykiety. **Label Switch Router (LSR)** to każdy router w sieci MPLS, który przekazuje pakiety na podstawie etykiet. **Egress Label Switch Router (eLSR)** to router znajdujący się na końcu LSP, którego zadaniem jest usuwanie etykiety MPLS i przekazywanie pakietu w stronę klienta. Wszystkie trzy role są przypisywane dla każdego LSP osobno. Oznacza to, że dowolny router może pełnić każdą z nich jednocześnie. ### Podsumowanie Zostały przedstawione podstawy działania sieci MPLS. W kolejnych wpisach dowiesz się, czym są usługi MPLS VPN oraz poruszymy tematykę Inżynierii Ruchu. Jestem bardzo ciekawy, czy miałeś już okazję pracować z sieciami MPLS? Koniecznie daj znać w komentarzu. ### TOP3 programy do wirtualnego labowania URL: https://innasiec.pl/top3-programy-do-wirtualnego-labowania/ Last updated: 2024-06-28T07:17:45.000Z W temacie nauki są dwa powiedzenia, które uwielbiam. Pierwsze z nich to: > "**W teorii nie ma różnicy między teorią i praktyką. W praktyce jest.**" Możesz przeczytać wszystkie książki na dowolny temat, ale jeśli nie przećwiczysz na sobie pomysłów w nich zawartych, nic Ci to nie da. Dokładnie taka sama sytuacja ma miejsce w sieciach. Jeśli będziesz uczyć się tylko z książek czy filmów, bez ćwiczenia w laboratorium, polegniesz przy pierwszym problemie w prawdziwym środowisku. Będąc już przy temacie labowania, podzielę się z Tobą drugim powiedzeniem: > "**Każdego stać na środowisko testowe. Nie każdego stać na jego odseparowanie od produkcji.**" Labowanie oraz testowanie nowych rozwiązań jest szalenie ważne. Pozwala zdobyć doświadczenie, sprawia, że czujemy się pewnie z danymi zagadnieniami oraz nierzadko pozwala zaoszczędzić mnóstwo pieniędzy na nieoczekiwanych zmianach w sieci 😉 **Zbudowanie fizycznego laboratorium jest drogie, wymaga sporo prądu oraz miejsca**. Hałas pracujących urządzeń może spokojnie spowodować, że domownicy zechcą nas wyeksmitować. Rozwiązaniem problemu jest wirtualne laboratorium, które pozwala nam przetestować praktycznie wszystkie technologie i przy tym jest znacznie tańsze od fizycznego. ## Cisco Packet Tracer – DARMOWE ![Cisco Packet Tracer](https://innasiec.pl/content/images/2024/06/cisco-packet-tracer-screenshot.webp) Cisco jest obecnie najpopularniejszym producentem sprzętu sieciowego na świecie. Warto więc znać chociaż podstawy pracy z Cisco IOS, a dzięki Packet Tracer możesz je poznać całkowicie za darmo. Aby skorzystać z PT, należy posiadać konto na platformie netacad.com i zapisać się na kurs I**ntroduction Packet Tracer**. [Cisco Packet Tracer - Networking Simulation ToolEnroll, download, and get started learning valuable tips and best practices for using the latest version of Packet Tracer with our brief introductory course.![](https://www.netacad.com/sites/all/themes/custom/prelogin/favicon.ico)Networking Academy![](https://www.netacad.com/sites/default/files/sfa-image.png)](https://www.netacad.com/courses/packet-tracer/introduction-packet-tracer?ref=innasiec.pl) W tym symulatorze jesteś w stanie odwzorować wszystkie zagadnienia na poziomie CCNA. Za największy atut uważam jednak graficzną prezentację, jak pakiety poruszają się w sieci. Obserwując swój ekran, możesz zobaczyć, którymi ścieżkami przesyłane są dane oraz które urządzenia je odbierają lub odrzucają. **Packet Tracer jest wspaniałym narzędziem do nauki dla osób początkujących.** Cisco ciągle rozwija swój produkt, dodając coraz to nowsze urządzenia, implementując nowe protokoły oraz dodatki. W jednej z najnowszych wersji dodano możliwość fizycznego rozmieszczenia urządzeń w szafie rack i samodzielnego połączenia ze sobą sprzętu kablami. WOW! Nie bez znaczenia jest również fakt, że ponieważ całe środowisko jest symulowane, ma zdecydowanie mniejsze wymagania niż w przypadku emulacji prawdziwych urządzeń. Dzięki temu PT możemy uruchomić praktycznie na każdym współczesnym komputerze. ## Cisco Modeling Labs – PŁATNE ![Cisco Modeling Labs](https://innasiec.pl/content/images/2024/06/cml-cisco.webp) **Kiedy osiągniesz granice możliwości oferowanych przez Packet Tracer, naturalnym krokiem będzie praca z prawdziwym sprzętem**. Cisco Modeling Labs to emulator sieci, w ramach którego otrzymujesz autentyczne obrazy systemów IOS. Są one praktycznie identyczne z wersjami używanymi do napędzania fizycznego sprzętu. Dzięki temu możesz stworzyć laboratorium, które jest jak najbardziej zbliżone do tego zbudowanego z rzeczywistego sprzętu. W ramach CML otrzymujemy: - IOSv and IOSvL2 - NX-OSv and NX-OS 9000v - IOS XRv and IOS XRv 9000 - IOS XE (CSR1000v) - ASAv Standardowa cena wynosi [199 USD za wersję personal](https://learningnetworkstore.cisco.com/cisco-modeling-labs-personal/cisco-cml-personal?ref=innasiec.pl), co w porównaniu do cen za prawdziwy sprzęt nie jest wygórowaną ceną. ## EVE-NG – DARMOWE i PŁATNE ![EVE-NG](https://innasiec.pl/content/images/2024/06/eve-ng-next-gen.webp) **EVE-NG to nowoczesny emulator, który pozwala tworzyć środowiska multi-vendor**. W prosty sposób możemy zbudować wirtualne laboratorium składające się ze sprzętu Cisco, Juniper, Checkpoint, Palo Alto czy F5\. Oprócz sprzętu sieciowego, bez problemu postawimy wirtualny serwer, co pozwala na testowanie zaawansowanych scenariuszy. Wersja PRO pozwala również na uruchomienie kontenerów Dockera. **W płatnej wersji PRO otrzymujemy dodatkowo:** - Zwiększoną liczbę urządzeń w jednym laboratorium z 63 do 128 - Cloud-NAT – umożliwia podłączenie laboratorium do internetu - Hot-swap interfejsów, co pozwala na przepinanie interfejsów bez konieczności wyłączania urządzenia Oczywiście, istnieje więcej funkcji dodatkowych, ale są one skierowane głównie do osób, które chcą współdzielić EVE-NG w ramach jednej organizacji. Jak pewnie się domyślasz, EVE-NG jest dostępna w płatnej wersji PRO za cenę 552 zł/rok oraz w darmowej wersji community. ❗ EVE-NG nie dostarcza obrazów systemów operacyjnych sieciowych, a decyzja w sprawie ich wykorzystania pozostaje w gestii użytkownika. ## Podsumowanie Jestem bardzo ciekawy, czy posiadasz własne wirtualne laboratorium, czy jesteś fanem fizycznego sprzętu? Koniecznie daj znać w komentarzu. ### Jaka jest różnica między switchem i routerem? URL: https://innasiec.pl/jaka-jest-roznica-miedzy-switchem-i-routerem/ Last updated: 2024-06-26T20:37:13.000Z Switche i routery to dwa podstawowe elementy każdej sieci. Ciężko jest sobie wyobrazić współczesną infrastrukturę bez nich. Choć są z nami od wielu lat, różnice między nimi dla osób początkujących wcale nie muszą być oczywiste. Z tego wpisu dowiesz się, czym są switche i routery, jakie są między nimi różnice oraz czy istnieje jeszcze coś pomiędzy nimi. ## Switch (przełącznik) ![Switche catalyst 2960X, zdjęcie pochodzi z cisco.com](https://innasiec.pl/content/images/2024/06/switches-catalyst-2960-x-series-switches.webp) Switche catalyst 2960X, zdjęcie pochodzi z cisco.com Aby lepiej zrozumieć dlaczego potrzebujemy przełączników, wyobraźmy sobie najprostszą możliwą do zbudowania sieć. Będzie to połączenie punkt-punkt (ang. point-to-point). W takim przypadku, jeśli urządzenie A ma przekazać informację urządzeniu B, może śmiało wysłać dane przez swój interfejs sieciowy, ponieważ na drugim końcu kabla jest tylko jeden odbiorca. Sprawa nieco się komplikuje, kiedy potrzebujemy umożliwić wymianę danych pomiędzy większą ilością elementów. Pierwszym prymitywnym urządzeniem, które realizowało to zadanie, był koncentrator (hub). Podłączaliśmy wielu użytkowników do jednego urządzenia, które następnie kopiowało dane otrzymane na jednym porcie i wysyłało je na wszystkie pozostałe. Takie podejście pozwalało szybko budować nowe połączenia. Brak kontroli nad tym, w jaki sposób ramki są przekazywane, generowało ryzyko powstawania pętli lub burz broadcastowych, które można było przerwać jedynie poprzez wyciągnięcie kabla. **Przełączniki (ang. switche) to urządzenia sieciowe pozwalające na podłączenie wielu różnych urządzeń do sieci LAN**. Ponieważ działają w warstwie drugiej modelu OSI, możliwe było zaimplementowanie protokołów, które rozwiązały część problemów swoich poprzedników. Podejrzewam, że gdyby przełączniki dopiero teraz pojawiły się na rynku, nazywałyby się Next-Gen Hub. ![Switch pozwala podłączyć wiele urządzeń w różnych vlanach](https://innasiec.pl/content/images/2024/06/switch_pozwala_podlaczyc_wiele_roznych_urzadzen.webp) ### Jak działa przełącznik? **Przełączniki na podstawie adresu MAC (Media Access Control) odbiorcy przesyłają dane z jednego portu do drugiego**. Kiedy ramka przychodzi na interfejsie, switch zapisuje MAC źródła w tablicy CAM, a następnie sprawdza, czy zna adres odbiorcy. Jeśli tak, wysyła go poprzez odpowiedni port. W przeciwnym wypadku ramka jest rozsyłana na wszystkie porty oprócz tego, z którego przyszła. **Przełączniki wykorzystują protokół 802.1Q do grupowania portów w VLAN-y, dzięki czemu możliwa jest separacja ruchu** (przełączniki nie przekazują ramek pomiędzy VLAN-ami), bez potrzeby zakupu dodatkowych urządzeń. ## Router ![ Router Juniper MX480 zdjęcie pochodzi z juniper.net](https://innasiec.pl/content/images/2024/06/juniper_mx480_router.webp) Router Juniper MX480 zdjęcie pochodzi z juniper.net **Router to urządzenie, którego zadaniem jest przekazywanie pakietów pomiędzy różnymi sieciami, czyli routing**. Nie ma znaczenia, czy będzie to kilka podsieci w jednej sieci lokalnej, czy z innymi sieciami w Internecie. **Routery działają w warstwie trzeciej i stanowią naturalną barierę dla domen warstwy drugiej**. Nie przekazują dalej pakietów typu broadcast poza sieć, w której zostały wysłane. ![Router łączący różne sieci](https://innasiec.pl/content/images/2024/06/router_przekazujacy_pakiety_miedzy_vlanami.webp) Routery, mimo że stają się coraz mniej istotne, wciąż obsługują wiele różnych interfejsów WAN. Co istotne, posiadają wsparcie dla różnych rodzajów routingu, zaawansowanych mechanizmów QoS, sterowania oraz tunelowania ruchu (np. [PPP](https://innasiec.pl/protokoly-wan-hdlc-ppp/), [GRE](https://innasiec.pl/tunel-gre/) czy[ IPSEC](https://innasiec.pl/ipsec-vpn/)). ### Jak działa router? **Routery działają na poziomie trzeciej warstwy, przekazując pakiety na podstawie adresów IP**. Każdy z nich posiada własną tablicę routingu, w której przechowuje informacje o sieciach, do których jest bezpośrednio podłączony lub o których dowiedział się od innego routera. Gdy pakiet przychodzi przez jeden z interfejsów, informacje o adresach MAC są usuwane, a router sprawdza w tablicy routingu, czy zna trasę do danej sieci. Jeśli tak, router wpisuje swój adres MAC jako źródło, a adres następnego routera na trasie jako docelowy adres MAC i przekazuje pakiet. Jeśli docelowy adres IP nie został odnaleziony w tablicy, pakiet zostanie odrzucony. Tego typu zachowanie można skorygować poprzez ustawienie trasy domyślnej, do której są kierowane wszystkie pakiety, dla których nie znaleziono lepszego dopasowania. ## Kluczowe różnice pomiędzy switchami i routerami **Switche:** - Pracują na warstwie 2. - Korzystają z tablicy CAM (Content Addressable Memory) do przechowywania adresów MAC i na jej podstawie przekazują ramki. - Wykorzystują specjalistyczne układy sprzętowe ASIC, co pozwala im swobodnie przekazywać ogromne ilości danych poprzez interfejsy 10 Gb i szybsze. - Gdy nie wiedzą, gdzie przesłać ramkę, wysyłają ją na wszystkie interfejsy oprócz tego, z którego przyszła. - Działają głównie w sieciach LAN. - Po wyjęciu z pudełka mają wszystkie porty aktywne. - Działają wyłącznie w sieciach przewodowych. - Obsługują zaawansowane protokoły sieci LAN, takie jak SPAN, STP, Vlany, port security. - Dostępne są w wersjach z 8, 16, 24 lub 48 portami. **Routery:** - Pracują na warstwie 3. - Wykorzystują tablicę routingu do przechowywania najlepszych tras i na jej podstawie przekazują pakiety. - Przetwarzają pakiety sprzętowo w CPU, a następnie przesyłają wynik do cache z wykorzystaniem CEF. - Odrzucają pakiety, gdy nie znają trasy do odpowiedniej sieci. - Mogą być używane zarówno w sieciach LAN, jak i WAN. - Posiadają wszystkie interfejsy nieaktywne w podstawowej konfiguracji. - Mogą działać zarówno w tradycyjnych sieciach, jak i bezprzewodowych. - Potrafią przeprowadzać translację NAT. - Zazwyczaj mają ograniczoną liczbę portów, które można rozszerzyć poprzez odpowiednie moduły. ## Switch warstwy L3, czyli routowanie na przełączniku Wiemy już, że użytkownicy są podłączani do przełączników, a następnie do routerów. Urządzenia w obrębie jednej sieci lub VLAN-a mogą komunikować się bezpośrednio, a pakiety są kierowane do routera tylko w przypadku potrzeby komunikacji z inną siecią lub VLAN-em. W małej sieci, gdzie mamy kilka VLAN-ów i tylko jednego dostawcę internetu, nasz router ma niewiele do zrobienia, prawda? Routing jest prosty i zazwyczaj ogranicza się do przekazywania pakietów między VLAN-ami, a w tablicy routingu mamy zaledwie kilkanaście wpisów. Ogólnie rzecz biorąc, router się nudzi. Dlatego wraz z rozwojem technologii postanowiono przenieść podstawową funkcjonalność routingu na przełączniki. ![](https://innasiec.pl/content/images/2024/06/Switch-warstwy-trzeciej.webp) Switchy warstwy trzeciej łączą inne switche i routują pakiety. **Switchy warstwy trzeciej stanowią kompromis między tanimi switchami a drogimi routerami.** Z jednej strony oferują szybkie urządzenie z wieloma portami dostępowymi, a z drugiej możliwość podstawowego routingu. **Warto zaznaczyć, że nie należy mylić routerów z segmentu SOHO (small office, home office) z switchami warstwy trzeciej.** Charakteryzują się one niską wydajnością oraz są wyposażone w dodatkowy moduł przełączający, zazwyczaj 4-portowy. ### Gdzie stosowane są switche warstwy trzeciej? Pierwszym miejscem, gdzie stosujemy switche warstwy trzeciej, są małe lokalizacje. W takich miejscach potrzebujemy podłączyć kilka lub kilkanaście hostów, a dostęp do internetu jest zapewniany przez jednego dostawcę usług internetowych. ![Switch warstwy trzeciej jako switch i router](https://innasiec.pl/content/images/2024/06/switch_l3_jako_gateway.webp) Kolejnym miejscem, gdzie umieszcza się switche L3, jest warstwa dystrybucyjna w typowym, trzypoziomowym modelu sieci. Takie rozwiązanie zmniejsza domenę STP oraz przenosi bramy domyślne bliżej użytkowników. Dzięki temu ruch w sieci LAN może być routowany poniżej warstwy core, co przekłada się na lepsze wykorzystanie istniejącej infrastruktury. Routery, odciążone przez switche L3, mogą zająć się NAT-owaniem ruchu do internetu, przetwarzaniem ruchu w VPN-ach czy utrzymywaniem ogromnych tablic routingu. ![Switche L3 umieszczone w warstwie dystrybucyjnej](https://innasiec.pl/content/images/2024/06/typowy_podzial_zadan.webp) ## Podsumowanie Poruszyliśmy temat, który dla doświadczonych sieciowców jest oczywisty, jednak dla osób na początku kariery w dziedzinie sieci może być on niejasny. ### Zdałem Cisco ENCOR 350-401 URL: https://innasiec.pl/zdalem-cisco-encor-350-401/ Last updated: 2024-06-24T14:09:19.000Z W sobotę 15 maja zrobiłem pierwszy krok w stronę zdobycia tytułu **CCNP – Cisco Certified Network Professional**. Zdałem egzamin Cisco ENCOR 350-401! Mogę śmiało powiedzieć, że był to bardzo wymagający test. W tym wpisie chciałbym podzielić się z Tobą historią moich przygotowań oraz moim planem nauki. Ze względu na NDA nie poruszę tematu pytań oraz ewentualnych wskazówek, na jakich tematach się skupić. ## Cisco ENCOR 350-401 Dla osób, które mogą nie kojarzyć, o jaki egzamin chodzi, zróbmy krótkie przypomnienie. **W lutym 2020 Cisco wywróciło swoją certyfikację do góry nogami.** Między innymi zniknęło 11 egzaminów różnych ścieżek CCNA, a ścieżka CCNP Routing & Switching została zastąpiona przez specjalizację Enterprise. Do zdobycia tytułu Professional nie trzeba już zdawać 3 egzaminów – Route, Switch, Tshoot. Wystarczy jeden główny (core) oraz 1 specjalistyczny z danej ścieżki. **Cisco ENCOR to główny egzamin ze ścieżki Enterprise, którego zaliczenie upoważnia również do podejścia do laba CCIE.** Poruszana tematyka zawiera się w 6 kategoriach: 1. Architecture 2. Virtualization 3. Infrastructure 4. Network Assurance 5. Security 6. Automation Sam **egzamin składa się z około 100+ pytań (na moim były 102), na które musisz odpowiedzieć w ciągu dwóch godzin.** Jeśli tak jak dla mnie, angielski nie jest Twoim językiem ojczystym, otrzymasz dodatkowe pół godzinki. ## Jak to się wszystko zaczęło Muszę się przyznać, że byłem leniwą bułą. Pod koniec 2018, czyli tuż przed samymi zmianami w certyfikacji uczęszczałem na akademię CCNP, która skończyła się w marcu 2019\. Zamiast iść za ciosem i douczyć się brakujących tematów, olałem temat i skupiłem się na zdaniu certyfikatu GCP. Dopiero pod koniec 2020 zamówiłem oficjalne podręczniki z ciscopress i… znowu olałem temat. Raz, że był to pomimo pandemii bardzo gorący czas w pracy, dwa brakowało motywacji. Finalnie za przygotowania wziąłem się w lutym, kiedy pojawiła się opcja na 50% rabatu z okazji nadchodzącego Ciscolive. Był tylko jeden haczyk, do egzaminu trzeba było podejść do 16 maja. **Od momentu zapisania się na egzamin miałem niecałe 3 miesiące na przygotowanie!** ## Plan działania Trzy miesiące to zdecydowanie niewiele czasu, zwłaszcza biorąc pod uwagę fakt, że sporą część dnia spędzam w pracy. **Mój plan był prosty i podzielony na 3 etapy.** Pierwszy miesiąc czytam podręcznik Official Cisco Guide. Każdym rozdział staram się skończyć, robiąc notatki w Evernote. Próbowałem również robić również notatki na papierze, ale nie zauważyłem różnicy w ilości zapamiętywanego materiału i wróciłem do wersji cyfrowej. Drugi miesiąc spędziłem oglądając filmy na platformie INE. Kiedy pierwszy raz zalogowałem się do portalu, byłem przerażony. Licznik pokazywał ponad 300h materiałów! Posiadając już w miarę solidne fundamenty po lekturze OCG, liczyłem na uzupełnienie braków w mojej wiedzy. Materiały jednak nie do końca pokrywały się z blueprintem i miałem wrażenie, że mogłoby ich być spokojnie o połowę mniej. Dodatkowo sporo z nich pokrywała się tematycznie między sobą, ale były przygotowane przez innego instruktora. Finalnie licznik pokazał, że spędziłem 46 godzin z INE. Ostatni, końcowy etap przygotowań to finalne zasypywanie luk. Wiedziałem, z którymi tematami mogę mieć problem i postanowiłem się na nich skupić, zamiast powtarzać cały materiał. Ponownie spędzałem czas z podręcznikiem i wspierałem się filmikami na youtube, między innymi David Bombal czy IPexpert. ## Labowanie Jak pewnie zauważyłeś, nigdzie nie wspomniałem o labowaniu. Cisco pozbyło się ze swoich egzaminów zadań wymagających konfiguracji. Uznałem więc, że skoro pytania będą tylko teoretyczne, nie ma większego sensu powtarzanie składni poleceń. Do laba zalogowałem się dosłownie kilka razy, żeby sprawdzić jak zachowa się ACL’ka czy konfiguracja AAA. W pozostałych przypadkach zaufałem swojemu doświadczeniu ze sprzętem Cisco z pracy. ## Lista materiałów, z których korzystałem Dla zainteresowanych lista materiałów, z których korzystałem jak również innych wartych polecenia, nie tylko w trakcie przygotowań. **Książki:** [CCNP and CCIE Enterprise Core ENCOR 350-401 Official Cert Guide](https://www.ciscopress.com/store/ccnp-and-ccie-enterprise-core-encor-350-401-official-9781587145230?ref=innasiec.pl) **Materiały wideo:** [INE – CCNP Enterprise](https://my.ine.com/Networking/learning-paths/d3d74a58-e310-4c93-833a-1027965a7a7e/ccnp-enterprise?ref=innasiec.pl) [Youtube – ITexpert](https://www.youtube.com/watch?v=dbS1DfQF3HU&list=PLLcWJondP8tK9V4T-cQ8OJy%5FVwuefn--1&index=81&ref=innasiec.pl) [Youtube – David Bombal CCNP Encor course](https://www.youtube.com/watch?v=Ypk77FytrWw&list=PLhfrWIlLOoKPM3poHlHLpw-b6cigthng2&ref=innasiec.pl) [Youtube – Kevin Wallace](https://www.youtube.com/watch?v=0aSiIac%5FDWc&list=PLDmbik4NbmjKXQiUokHa-x%5F06Gn66hA2I&index=74&ref=innasiec.pl) [cbtnuggents](https://www.cbtnuggets.com/it-training/cisco/ccnp-enterprise-core?ref=innasiec.pl) ## Czego możesz się nauczyć z mojej nauki? **Przede wszystkim chciałbym zachęcić Cię do postawienia sobie wysoko poprzeczki i zmotywować do działania. Jeśli mi się udało, jestem pewien, że Tobie również.** Nie będę ukrywał, zdanie tego egzaminu to nie były tylko 3 miesiące intensywnej nauki – często po wiele godzin dziennie – ale również kilkuletnie doświadczenie w pracy ze sprzętem. **Podsumujmy teraz w kilku punktach proces przygotowania:** 1. Twoim pierwszym zadaniem jest ustalenie daty i zapisanie się na egzamin. **Jest ogromna różnica między chęcią a konkretnym celem.** 2. Ustal konkretny plan nauki, najlepiej podzielony na 3 części: 1. Przeczytanie od deski do deski oficjalnego podręcznika. Poznanie materiału i wychwycenie braków. 2. Znajdź inne źródło wiedzy. Najlepiej, żeby były to filmy, ponieważ możesz je oglądać w przyspieszeniu. 3. Określ, z jakich tematów nie czujesz się najpewniej i zacznij uzupełniać braki. Czytaj dokumentację, RFC. 3. Daj odpocząć głowie. Nic się nie stanie jeśli wypadnie Ci jeden dzień z Twojego plany nauki. 4. Zapewnij sobie maksimum komfortu przed egzaminem. Sam fakt, zdawania testu jest wystarczająco stresujący. 1. Jeśli zdajesz w domu, poinformuj o tym wcześniej rodzinę i przygotuj miejsce do egzaminu wcześniej. 2. Jeśli zdajesz w centrum egzaminacyjnym, wyjdź wcześniej i weź ze sobą tylko niezbędne rzeczy. 5. Zdaj egzamin i ciesz się z rezultatów swojej pracy. ## Podsumowanie Nie spodziewałem się, że ten post będzie taki długi, mam jednak nadzieję, że będzie dla Ciebie przydatny. **Jestem ogromnie ciekawy czy ostatnio sam zdałeś egzamin lub planujesz w najbliższej przyszłości. Koniecznie daj znać w komentarzu.** ### 7 powodów, dlaczego CCNA powinno być Twoim pierwszym certyfikatem URL: https://innasiec.pl/7-powodow-dlaczego-ccna-powinno-byc-twoim-pierwszym-certyfikatem/ Last updated: 2024-07-01T13:33:11.000Z **Pierwszy certyfikat, to prawdziwa inwestycja.** Jeśli wybierzesz dobrze, przyniesie upragnione zyski. Jeśli się pomylisz, możesz zmarnować ogromną ilość czasu i nie rzadko pieniędzy. Warto więc mądrze dokonać decyzji. Zwłaszcza że jeśli zwiążesz się ze ścieżką certyfikacyjną jednego vendora, raczej nie będziesz rozglądał się za innymi. Dlatego tak ważne jest, aby pierwszy certyfikat, potwierdzał Twoje kompetencje oraz dawał Ci szansę na lepsze zarobki. Obojętne czy w obecnej, czy w nowej pracy. **Poznaj 7 powodów, dlaczego CCNA powinno być Twoim pierwszym sieciowym certyfikatem.** ## Cisco to lider w branży Według badania IDC z 3 września 2020 **Cisco posiada 47,2% udziałów w rynku switchy ethernetowych** oraz **33,2% jeśli chodzi o routery**. Oznacza to, że masz naprawdę ogromne szanse pracować ze sprzętem właśnie tego vendora. Nic w tym dziwnego, ponieważ ogromna ilość protokołów sieciowych jest albo autorstwa Cisco, albo bardzo mocno na nich wzorowanych np. MPLS, VRRP. ![IDC 2020 udział w rynku sprzętu sieciowego](https://innasiec.pl/content/images/wordpress/2021/04/IDC_2020_udzial_w_rynku.png) Grafika pochodzi z: https://www.idc.com/getdoc.jsp?containerId=prUS46830820 ## CCNA To wszystkie fundamenty sieciowe CCNA jest bardzo rozbudowanym egzaminem. **W swojej tematyce pokrywa wszystkie obszary, które musi znać początkujący sieciowiec.** W ramach przygotowań poznasz technologie oraz protokoły, które stanowią podstawę współczesnych sieci. Zdobędziesz wiedzę zarówno z podstaw routing-u i switching-u, jak również z sieci bezprzewodowych czy bezpieczeństwa sieci. ## CCNA Pozwala ugruntować wiedzę Certyfikacja CCNA pokrywa bardzo szeroki zakres tematyczny, dzięki czemu w łatwy sposób możesz zidentyfikować braki w swojej wiedzy. Możesz również w prosty sposób uzupełnić swoją wiedzę zdobytą w praktyce. Wiedzieć jak coś działa, to jedno, ale wiedzieć, dlaczego działa tak, a nie inaczej, to drugie. ## CCNA pokrywa tematycznie egzaminy innych vendorów **Standardy oraz protokoły sieciowe muszą być zgodne z RFC** i są takie same dla wszystkich producentów. Różnią się jedynie implementacją i konfiguracją. Oznacza, to, że bardzo duża część samej teorii jest wspólna dla wszystkich ścieżek certyfikacyjnych. CCNA jest najbardziej rozbudowanym i szerokim tematycznie egzaminem dostępnym na rynku, jako poziom podstawowy. Legitymując się danym certyfikatem, posiadasz najszerszą wiedzę teoretyczną z możliwych do zdania egzaminów. Jeśli już wiesz, jak działa dana technologia, to wystarczy, że sprawdzisz w dokumentacji, jak należy ją zaimplementować u konkretnego vendora. ## Z CCNA jesteś na bieżąco z technologiami **Certyfikacja Cisco jest obecnie najpopularniejszą w branży.** Zawdzięcza to podążaniu za trendami na rynku, oraz ciągłemu rozwojowi. Jeszcze do 2019 roku mieliśmy 10 różnych certyfikatów z poziomu CCNA. Obecnie jest dostępny wyłącznie jeden egzamin. **Rozwój sieci komputerowych sprawił, że obecnie sieciowiec musi znać mnóstwo technologii z wielu, różnych obszarów.** Jeszcze kilka lat temu, mieliśmy sieciowców, którzy specjalizowali się w wąskich działkach. Mieliśmy ekspertami od routingu i switchingu, sieci bezprzewodowych. Mało kto pisał własne skrypty automatyzujące. Obecnie sieciowiec musi znać, chociaż podstawy z różnych działek sieciowego tortu. Nie wspominając już, o postępującej automatyzacji. ## CCNA to prosta droga do podwyżki Co by nie mówić, **posiadanie certyfikatu CCNA oznacza, że Twoja wiedza w znaczący sposób się poszerzyła.** To z kolei prowadzi Cię do lepszego wykonywania swoich obowiązku, a to powinno już się wiązać z podwyżką. Pamiętaj, że posiadanie aktywnej certyfikacji przez pracowników, to pewien poziom prestiżu, jak również nie rzadko wymóg formalny kontrahentów. W końcu każdy z nas wolałby iść do lekarza z dyplomem, niż takiego bez, prawda? Jeśli obecny pracodawca nie zechce docenić Twojego trudu, to może warto się rozejrzeć za nowym? ## HR kochają certyfikaty CISCO Jak już jesteśmy przy temacie szukania nowego pracodawcy, warto wspomnieć, że **HR kochają certyfikaty Cisco**. Praktycznie każda oferta pracy dla przyszłego sieciowca, w wymaganiach podaje wymaganą wiedzę na poziomie CCNA/CCNP/CCIE lub zbliżonym. Nie ma w tym nic, dziwnego. W końcu Cisco posiada największe udziały w rynku sprzętu sieciowego oraz najbardziej rozpoznawalną markę certyfikacyjną, która jak już wspomniałem, zwykle pokrywa się tematycznie z większością innych. ## Podsumowanie Znasz już 7 powodów, dlaczego CCNA powinno być pierwszym certyfikatem początkującego sieciowca. **Koniecznie daj znać w komentarzu, jaki był Twój pierwszy certyfikat.** ### RFC 1925 - 12 sieciowych praw URL: https://innasiec.pl/rfc-1925-12-sieciowych-praw/ Last updated: 2022-01-22T17:46:43.000Z \[et\_pb\_section fb\_built=”1″ admin\_label=”section” \_builder\_version=”3.22″ global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\]\[et\_pb\_row admin\_label=”row” \_builder\_version=”3.25″ background\_size=”initial” background\_position=”top\_left” background\_repeat=”repeat” global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”3.25″ custom\_padding=”|||” global\_colors\_info=”{}” custom\_padding\_\_hover=”|||” theme\_builder\_area=”post\_content”\]\[et\_pb\_text admin\_label=”Text” \_builder\_version=”3.27.4″ background\_size=”initial” background\_position=”top\_left” background\_repeat=”repeat” global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\] Kiedy pierwszy raz czytałem RFC 1925, którego autorem jest Ross Callon, uznałem je za **świetny żart z okazji prima aprillis.** Jednak przygotowując ten wpis, odkryłem, że jest on cholernie prawdziwy. Co najlepsze ten dokument ma ćwierć wieku, (wydany został 1 kwietnia 1996!) i nadal jest aktualny. Jestem absolutnie pewny, że z większością – jeśli nie wszystkimi – miałeś, już do czynienia. Zapraszam do zapoznania się z 12 sieciowymi prawa. ## 1) It Has To Work. Jakie to proste prawda? Kto nigdy nie znalazł się w sytuacji, w której nie było ważne, jak rozwiążesz problem, niech pierwszy rzuci kamieniem. Sieć ma po prostu działać, a jak dobrze wiemy, najtrwalsze na świecie są tymczasowe rozwiązania. ## 2) No matter how hard you push and no matter what the priority, you can’t increase the speed of light. Pewnych rzeczy nie da się przyspieszyć. Zwłaszcza takich, które wydają się wiecznością. Czas restartu routera, którego nie powinno się restartować. Czas oczekiwania na reakcję firewalla, na którym dodałeś ACL-kę i przestał odpowiadać. ## 2a) (corollary). No matter how hard you try, you can’t make a baby in much less than 9 months. Trying to speed this up \*might\* make it slower, but it won’t make it happen any quicker. Ten punkt jest szczególnie polecany wszystkim osobom dopytując co 5 minut o update w tickecie, ETA i ETR. Choć jak tak się dobrze zastanowić, to nie jeden menadżer projektu ma też swoje za uszami. ## 3) With sufficient thrust, pigs fly just fine. However, this is not necessarily a good idea. It is hard to be sure where they are going to land, and it could be dangerous sitting under them as they fly overhead. Kiedy podstawą do podejmowania decyzji zaczynają być kolumny w excelu zamiast racjonalnych danych, nawet świnie mogą latać. Wystarczy odpowiednie ciśnienie z góry i gotowe. Zazwyczaj nie jest to ani dobre dla organizacji, ani tak tanie jak wyglądało na papierze, ale zwykle to już problem nowego menadżera lub konsultanta. ## 4) Some things in life can never be fully appreciated nor understood unless experienced firsthand. Some things in networking can never be fully understood by someone who neither builds commercial networking equipment nor runs an operational network. Nawet sieci zbudowane na podstawie prostych wzorców potrafią zaskoczyć swoją złożonością. Oprócz doskonałej znajomości działania protokołów równie ważne jest zrozumienie, ich wzajemnej zależności. Nie ma również jednej prawidłowej konfiguracji i każda sieć jest inna i wymaga poznania. Pamiętaj, że jeśli coś jest głupie i działa, to nie jest głupie. ## 5) It is always possible to aglutenate multiple separate problems into a single complex interdependent solution. In most cases this is a bad idea. Razem raźniej, nawet dzieci w przedszkolu o tym wiedzą. Jednakże problemy najlepiej sprowadzać do najmniejszych, odseparowanych od siebie elementów. Nigdy odwrotnie. Pamiętaj, że im prostsze rozwiązania, tym łatwiejsze późniejsze utrzymanie. ## 6) It is easier to move a problem around (for example, by moving the problem to a different part of the overall network architecture) than it is to solve it. 6a) (corollary). It is always possible to add another level of indirection. Kto pracował na ticketach, ten wie, że „No issue found in xxx, please check with zzz” potrafi zapewnić nawet kilka godzin spokoju. Co w sytuacji, gdy wróci? Zawsze jest jakaś linia wyżej. W swojej karierze w NOC’u widywałem tickety przekazane do innych zespołów w czasie poniżej 6s! Ręcznie. Szanuję gościa. ## 7)It is always something 7a) (corollary). Good, Fast, Cheap: Pick any two (you can’t have all three). Ta zasada ma zastosowanie w każdym aspekcie IT. Warto brać ją pod uwagę podczas projektowania oraz troubleshootowania. W końcu każdy problem można rozwiązać na jeden z trzech sposobów: - Dobrze i szybko, ale nie będzie tanio - Dobrze i tanio, ale nie będzie szybko - Szybko i tanio, ale nie najlepszy ## 8) It is more complicated than you think. Proste rzeczy działają wyłącznie w labie i to też nie zawsze. Środowiska produkcyjne to nie tylko proste i te bardziej skomplikowane rozwiązania. To również cały bagaż wcześniejszych decyzji na temat architektury, umów z klientami, wewnętrznych polityk firmy. Jeśli ktoś przychodzi do Ciebie z prostym problemem, który zajmie Ci tylko 5 minut, nie wierz mu. Cytując klasyk „It’s a trap!” ## 9) For all resources, whatever it is, you need more. 9a) (corollary) Every networking problem always takes longer to solve than it seems like it should. Zawsze potrzebujemy więcej sprzętu, ludzi i kawy. Zwłaszcza kawy. ## 10) One size never fits all. Cokolwiek by nam nie wmawiały sklepy odzieżowe, jeden rozmiar nie będzie pasował wszystkim. Tak samo wygląda sprawa z sieciami oraz całym IT. Nie powstał jeszcze design, który pasowałbym do każdej sytuacji, dlatego rozwodzenie się nad wyższością „spine and leaf” nad „three-tier” nie ma sensu. To po prostu różne rozwiązania, świetne w innych zastosowaniach. ## 11) Every old idea will be proposed again with a different name and a different presentation, regardless of whether it works. (11a) (corollary). See rule 6a. Ciężko się z tym nie zgodzić. Spójrzmy dla przykładu na firewalle nowej generacji zwane NGFW. Z miksu tradycyjnej zapory i odrobiny inspekcji ruchu, powstał marketingowy chwyt, który nie jedną firmę skłonił do wymiany dobrych urządzeń. Kolejny przykład SD-WAN? Miks tuneli IPsec z odrobiną logiki kontrolerów i mamy kolejny produkt, który dobrze się sprzedaje, choć nie zawsze jest potrzebny. ## 12) In protocol design, perfection has been reached not when there is nothing left to add, but when there is nothing left to take away. Jestem wielkim fanem podejścia KISS – „Keep it simple, stupid!”. Każdy protokół powinien rozwiązywać wyłącznie jeden problem. Koniec kropka. ## Podsumowanie Przebrnęliśmy przez 12 sieciowych praw. Jestem ogromnie ciekawy, co Ty sądzisz o nich sądzisz. Koniecznie dać znać w komentarzu! Jeśli chcesz poznać inne RFC, wydane z okazji 1 kwietnia zajrzyj do wpisu [Zabawne RFC](https://innasiec.pl/zabawne-rfc/). RFC 1925 w całości możesz przeczytać na: [https://tools.ietf.org/html/rfc1925](https://tools.ietf.org/html/rfc1925?ref=innasiec.pl) \[/et\_pb\_text\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\] ### 5 rzeczy w OSPF, o których mogłeś nie wiedzieć URL: https://innasiec.pl/5-rzeczy-w-ospf-o-ktorych-mogles-nie-wiedziec/ Last updated: 2024-06-27T08:01:23.000Z OSPF jest uważany za jeden z najbardziej skomplikowanych protokołów routingu, być może nawet bardziej skomplikowany od BGP. Obsługuje 5 różnych rodzajów topologii fizycznych oraz 6 rodzajów obszarów. Ponadto, posiada ponad 10 różnych pakietów LSA oraz mnóstwo opcji konfiguracyjnych. **Na podstawowym poziomie OSPF jest stosunkowo łatwy w wdrożeniu**. Jednak diabeł, jak zwykle, tkwi w szczegółach, zwłaszcza gdy mamy specyficzne wymagania co do jego zachowania. Przejdźmy teraz do omówienia 5 przypadków zachowania i konfiguracji OSPF, które mogą okazać się nieoczywiste. ## Adresy loopback rozgłaszane jako /32 Zdarza się, że potrzebujemy zadresować interfejs pętli zwrotnej z maską inną niż /32\. Dzieje się tak na przykład, gdy chcemy mieć pewność, że dana podsieć będzie zawsze widoczna w tablicy routingu. Założenia dotyczące zachowania takich portów są jednak nieco inne w protokole OSPF. Zgodnie z RFC 2328 adres interfejsu pętli zwrotnej powinien być rozgłaszany jako Typ 3 (sieć typu stub), maska ustawiona na 0xffffff (trasa do hosta), a koszt wynosi 0. Tyle teorii. Sprawdźmy teraz, jak to wygląda w praktyce. Skonfigurujmy 2 bezpośrednio ze sobą połączone routery. ``` R1#show run interface Loopback0 ip address 1.1.1.1 255.255.255.0 ! interface GigabitEthernet 0/0 ip address 10.0.0.1 255.255.255.0 ! router ospf 1 router-id 1.1.1.1 network 1.1.1.0 0.0.0.255 area 0 network 10.0.0.0 0.0.0.255 area 0 ``` ``` R2#show run interface Loopback0 ip address 2.2.2.2 255.255.255.0 ! interface GigabitEthernet 0/0 ip address 10.0.0.2 255.255.255.0 ! router ospf 1 router-id 2.2.2.2 network 2.2.2.0 0.0.0.255 area 0 network 10.0.0.0 0.0.0.255 area 0 ``` Jak widać, konfiguracja spełnia wszystkie założenia. Routery R1 i R2 posiadają interfejsy Loopback z adresami skonfigurowanymi z maską /24. Sprawdźmy teraz zawartość tablicy routingu oraz jakie trasy otrzymujemy od sąsiada. ``` R2#show ip route 1.0.0.0/32 is subnetted, 1 subnets O 1.1.1.1/32 [110/2] via 10.0.0.1, 00:17:48, GigabitEthernet0/0 2.0.0.0/8 is variably subnetted, 2 subnets, 2 masks C 2.2.2.0/24 is directly connected, Loopback0 L 2.2.2.2/32 is directly connected, Loopback0 10.0.0.0/8 is variably subnetted, 2 subnets, 2 masks C 10.0.0.0/24 is directly connected, GigabitEthernet0/0 L 10.0.0.2/32 is directly connected, GigabitEthernet0/0 ``` ``` R2#show ip ospf database router OSPF Router with ID (2.2.2.2) (Process ID 1) Router Link States (Area 0) LS age: 1249 Options: (No TOS-capability, DC) LS Type: Router Links Link State ID: 2.2.2.2 Advertising Router: 2.2.2.2 LS Seq Number: 80000003 Checksum: 0x050e Length: 48 Number of Links: 2 Link connected to: a Stub Network (Link ID) Network/subnet number: 2.2.2.2 (Link Data) Network Mask: 255.255.255.255 Number of TOS metrics: 0 TOS 0 Metrics: 1 Link connected to: a Transit Network (Link ID) Designated Router address: 10.0.0.1 (Link Data) Router Interface address: 10.0.0.2 Number of TOS metrics: 0 TOS 0 Metrics: 1 LS age: 1249 Options: (No TOS-capability, DC) LS Type: Router Links Link State ID: 1.1.1.1 Advertising Router: 1.1.1.1 LS Seq Number: 80000003 Checksum: 0x150b Length: 48 Number of Links: 2 Link connected to: a Stub Network (Link ID) Network/subnet number: 1.1.1.1 (Link Data) Network Mask: 255.255.255.255 Number of TOS metrics: 0 TOS 0 Metrics: 1 ``` Jak widać, nasze adresy loopback zostały rozgłoszone zgodnie z wytycznymi z RFC, jako adresy hostów z maską /32\. Jak więc zmienić to zachowanie na pożądane? Rozwiązanie problemu jest bardzo proste. Wystarczy zmienić typ sieci interfejsu pętli zwrotnej na point-to-point. ``` R1#show run interface Loopback0 ip address 1.1.1.1 255.255.255.0 ip ospf network point-to-point ``` ``` R2#show ip route 1.0.0.0/24 is subnetted, 1 subnets O 1.1.1.0/24 [110/2] via 10.0.0.1, 00:17:48, GigabitEthernet0/0 R2#show ip ospf database router Link connected to: a Stub Network (Link ID) Network/subnet number: 1.1.1.0 (Link Data) Network Mask: 255.255.255.0 Number of TOS metrics: 0 TOS 0 Metrics: 1 ``` ## Polecenie network nie rozgłasza sieci **Polecenie `network` w konfiguracji OSPF bywa jednym z najbardziej mylących**. Większość osób, nawet początkujących w dziedzinie sieci, wie, że aby rozgłaszać sieć w OSPF, trzeba ją redystrybuować z innego protokołu lub dodać poleceniem `network`. Jednak prawda jest taka, że **polecenie `network` nie określa, które dokładnie sieci mają być rozgłaszane**. **To polecenie dodaje interfejsy do procesu OSPF,** których adresy mieszczą się w określonym zakresie. Dopiero z aktywowanego interfejsu pobierana jest informacja, które sieci powinny być rozgłaszane. Przyjrzyjmy się prostemu przykładowi składającemu się z 3 routerów pracujących w jednym obszarze. Konfiguracja nie jest skomplikowana, ale warto zwrócić uwagę, że użyłem różnych wariantów polecenia `network`. ![Trzy routery w obszarze 0](https://innasiec.pl/content/images/2024/06/3-routery-i-polecenie-network.webp) ``` R1#show run interface GigabitEthernet0/0 ip address 10.10.1.1 255.255.255.0 ! interface GigabitEthernet0/1 ip address 10.100.0.1 255.255.0.0 ! router ospf 1 router-id 1.1.1.1 network 10.0.0.0 0.255.255.255 area 0 ``` ``` R2#show run interface GigabitEthernet0/0 ip address 10.10.1.2 255.255.255.0 ! interface GigabitEthernet0/1 ip address 192.168.2.2 255.255.255.0 ! router ospf 1 router-id 2.2.2.2 network 10.10.1.2 0.0.0.0 area 0 network 192.168.2.0 0.0.0.255 area 0 ``` ``` R3#show run interface GigabitEthernet0/0 ip address 172.16.0.1 255.255.255.0 ! interface GigabitEthernet0/1 ip address 192.168.2.3 255.255.255.0 ! router ospf 1 router-id 3.3.3.3 network 192.168.2.3 0.0.0.0 area 0 network 172.16.0.1 0.0.0.0 area 0 ``` ``` R2#show ip ospf neighbor Neighbor ID Pri State Dead Time Address Interface 1.1.1.1 1 FULL/BDR 00:00:32 10.10.1.1 GigabitEthernet0/0 3.3.3.3 1 FULL/DR 00:00:35 192.168.2.3 GigabitEthernet0/1 R2#show ip route 10.0.0.0/8 is variably subnetted, 3 subnets, 3 masks C 10.10.1.0/24 is directly connected, GigabitEthernet0/0 L 10.10.1.2/32 is directly connected, GigabitEthernet0/0 O 10.100.0.0/16 [110/2] via 10.10.1.1, 00:23:34, GigabitEthernet0/0 172.16.0.0/24 is subnetted, 1 subnets O 172.16.0.0/24 [110/2] via 192.168.2.3, 00:30:06, GigabitEthernet0/1 192.168.2.0/24 is variably subnetted, 2 subnets, 2 masks C 192.168.2.0/24 is directly connected, GigabitEthernet0/1 L 192.168.2.2/32 is directly connected, GigabitEthernet0/1 ``` Jak widać, sąsiedztwo pomiędzy routerami jest nawiązane poprawnie. Sieci zostały rozgłoszone z odpowiednimi maskami. ## Kiedy proces ID ma znaczenie Proces ID ma znaczenie W EIGRP, podobnie jak w BGP, numer procesu określa AS, do którego należy router. Na podstawie tej informacji urządzenia wiedzą, czy należą do tego samego obszaru, czy nie. W OSPF jest inaczej. **Możemy z powodzeniem korzystać na jednym routerze z procesu 1 i nawiązać sąsiedztwo z innym, posługującym się procesem 100, w ramach jednej arei**. Przynależność do obszaru w OSPF jest definiowana poprzez przypisanie poleceniem network x.x.x.x x.x.x.x area x. Skoro przed chwilą ustaliliśmy, że możemy używać różnych numerów procesów i wszystko będzie działać, dlaczego twierdzę, że proces ID ma znaczenie? **W OSPF mamy parametr, który nazywa się domain ID**. Podobnie jak nieskonfigurowany parametr router ID jest domyślnie brany z interfejsów, tak domyślnie domain ID jest przepisanym numerem procesu OSPF. Do czego jest stosowane domain ID, dowiesz się z następnego punktu. ## Superbackbone OSPF to protokół hierarchiczny. Posiada obszar 0 nazywany backbone oraz obszary do niego przyległe. Bezpośrednia komunikacja między obszarami nie jest możliwa, cały ruch musi przechodzić przez nasz trzon. **Nietypowym przypadkiem jest sytuacja, gdy korzystamy z usługi MPLS L3VPN i rozgłaszamy trasy do naszego dostawcy za pomocą OSPF-a**. Wtedy sieć ISP jest dla nas wirtualnym routerem, do którego rozgłaszamy sieci LAN, a następnie te rozgłoszone prefiksy są dostępne w innych lokalizacjach. Przeanalizujmy, jak realizowana jest usługa przekazywania tras między obszarami przez ISP. Ze względu na niemożliwość utrzymania tysięcy różnych instancji OSPF w sieci, wszystkie otrzymane trasy są redystrybuowane do MP-BGP, a następnie ponownie przekazywane do OSPF. W wyniku tego trasy z jednego obszaru są widoczne w drugim jako zewnętrzne. Co jednak zrobić, gdy taki stan nie odpowiada nam i chcemy widzieć wszystkie nasze prefiksy z różnych lokalizacji w ramach jednej instancji OSPF? W takim przypadku dostawcy potrzebna jest odpowiednia konfiguracja identyfikatora domeny. ![Redystrybucja tras OSPF przez sieć MPLS L3VPN i superbackbone](https://innasiec.pl/content/images/2024/06/przekazanie-tras-za-pomoca--superbackbone.webp) **Jeżeli wartości domain-id na routerach brzegowych ISP są identyczne, mówimy o superbackbone**. Trasy przekazywane z MP-BGP z tego obszaru do naszego obszaru 0 będą traktowane jako interarea, a nie jako zewnętrzne. ## Router-ID musi być identyczny jak w BGP Kiedy na jednym urządzeniu **mamy uruchomione zarówno protokoły BGP, jak i OSPF, identyfikator routera (router-id) w obu instancjach musi być taki sam**. Jest to bardzo subtelny przypadek, ponieważ bardzo łatwo przeoczyć błędy w konfiguracji. W poniższym przykładzie pokazana jest konfiguracja routerów R3 i ISP-1\. Zwróć szczególną uwagę na to, jakie prefiksy są widoczne w obu tabelach routingu. ![Redystrybucja z EIGRP do OSPF i z OSPF do BGP](https://innasiec.pl/content/images/2024/06/redystrybucja_eigrp_do_ospf_do_bgp.webp) ``` R3#show run interface GigabitEthernet0/3 ip address 10.3.13.3 255.255.255.0 ! router ospf 1 router-id 3.3.3.3 redistribute bgp 6499 subnets network 2.2.2.0 0.0.0.255 area 0 network 3.3.3.0 0.0.0.255 area 0 network 10.2.3.0 0.0.0.255 area 0 network 10.3.4.0 0.0.0.255 area 0 ! router bgp 6499 bgp router-id 99.99.99.99 bgp log-neighbor-changes neighbor 10.3.13.133 remote-as 6500 address-family ipv4 redistribute ospf 1 metric 10 neighbor 10.3.13.133 activate exit-address-family ``` ``` R3#show ip route O*E2 0.0.0.0/0 [110/1] via 10.3.4.4, 00:18:43, GigabitEthernet0/0 [110/1] via 10.2.3.2, 00:18:43, GigabitEthernet0/1 1.0.0.0/32 is subnetted, 1 subnets O 1.1.1.1 [110/3] via 10.3.4.4, 00:18:43, GigabitEthernet0/0 [110/3] via 10.2.3.2, 00:18:43, GigabitEthernet0/1 2.0.0.0/32 is subnetted, 1 subnets O 2.2.2.2 [110/2] via 10.2.3.2, 00:18:43, GigabitEthernet0/1 3.0.0.0/8 is variably subnetted, 2 subnets, 2 masks C 3.3.3.0/24 is directly connected, Loopback0 L 3.3.3.3/32 is directly connected, Loopback0 4.0.0.0/32 is subnetted, 1 subnets O 4.4.4.4 [110/2] via 10.3.4.4, 00:18:43, GigabitEthernet0/0 5.0.0.0/24 is subnetted, 1 subnets O E2 5.5.5.0 [110/120] via 10.3.4.4, 00:18:43, GigabitEthernet0/0 [110/120] via 10.2.3.2, 00:18:43, GigabitEthernet0/1 8.0.0.0/32 is subnetted, 1 subnets O E2 10.0.0.0/8 [110/120] via 10.3.4.4, 00:18:43, GigabitEthernet0/0 [110/120] via 10.2.3.2, 00:18:43, GigabitEthernet0/1 O 10.1.2.0/24 [110/2] via 10.2.3.2, 00:18:43, GigabitEthernet0/1 O 10.1.4.0/24 [110/2] via 10.3.4.4, 00:18:43, GigabitEthernet0/0 C 10.2.3.0/24 is directly connected, GigabitEthernet0/1 L 10.2.3.3/32 is directly connected, GigabitEthernet0/1 C 10.3.4.0/24 is directly connected, GigabitEthernet0/0 L 10.3.4.3/32 is directly connected, GigabitEthernet0/0 C 10.3.13.0/24 is directly connected, GigabitEthernet0/3 L 10.3.13.3/32 is directly connected, GigabitEthernet0/3 100.0.0.0/32 is subnetted, 1 subnets B 100.100.100.100 [20/10] via 10.3.13.133, 00:23:13 101.0.0.0/32 is subnetted, 1 subnets B 101.101.101.101 [20/10] via 10.3.13.133, 00:23:13 172.1.0.0/24 is subnetted, 1 subnets O E2 172.1.5.0 [110/120] via 10.3.4.4, 00:18:43, GigabitEthernet0/0 [110/120] via 10.2.3.2, 00:18:43, GigabitEthernet0/1 ``` ``` ISP-1#show run interface Loopback0 ip address 100.100.100.100 255.255.255.255 ! interface Loopback1 ip address 101.101.101.101 255.255.255.255 ! interface GigabitEthernet0/3 ip address 10.3.13.133 255.255.255.0 duplex auto speed auto media-type rj45 ! router bgp 6500 bgp log-neighbor-changes neighbor 10.3.13.3 remote-as 6499 ! address-family ipv4 redistribute connected metric 10 neighbor 10.3.13.3 activate exit-address-family ``` ``` ISP-1#show ip route 1.0.0.0/32 is subnetted, 1 subnets B 1.1.1.1 [20/10] via 10.3.13.3, 00:22:28 2.0.0.0/32 is subnetted, 1 subnets B 2.2.2.2 [20/10] via 10.3.13.3, 00:22:28 3.0.0.0/24 is subnetted, 1 subnets B 3.3.3.0 [20/0] via 10.3.13.3, 00:27:55 4.0.0.0/32 is subnetted, 1 subnets B 4.4.4.4 [20/10] via 10.3.13.3, 00:22:28 10.0.0.0/8 is variably subnetted, 6 subnets, 2 masks B 10.1.2.0/24 [20/10] via 10.3.13.3, 00:22:28 B 10.1.4.0/24 [20/10] via 10.3.13.3, 00:22:28 B 10.2.3.0/24 [20/0] via 10.3.13.3, 00:27:55 B 10.3.4.0/24 [20/0] via 10.3.13.3, 00:27:55 C 10.3.13.0/24 is directly connected, GigabitEthernet0/3 L 10.3.13.133/32 is directly connected, GigabitEthernet0/3 100.0.0.0/32 is subnetted, 1 subnets C 100.100.100.100 is directly connected, Loopback0 101.0.0.0/32 is subnetted, 1 subnets C 101.101.101.101 is directly connected, Loopback1 ``` Na pierwszy rzut oka wszystko wydaje się być w porządku z obu stron. Prefixy zostały wymienione poprzez BGP w obu kierunkach. Jednak po dokładniejszym porównaniu tablic, zauważalne jest brakujące trasy. Konkretnie brakuje nam tras, które były widoczne w OSPF jako trasy nauczone z innego protokołu. ## Podsumowanie Omówiliśmy 5 przypadków, w których zachowanie OSPF lub jego konfiguracja nie były całkowicie oczywiste. Czy znasz wszystkie te przypadki? Może masz znajomość innych nieoczywistych zachowań OSPF-a? Koniecznie podziel się nimi w komentarzu! ### Podsumowanie roku 2020 URL: https://innasiec.pl/podsumowanie-roku-2020/ Last updated: 2024-07-01T13:32:50.000Z Jest takie chińskie przekleństwo „Obyś żył w ciekawych czasach”. Jeśli 2020 nie wpisuje się w takie ciekawe czasy, to ja już nie wiem, o jakie czasy mogłoby chodzić. Ubiegły rok minął nam pod znakiem pandemii, przenoszenia biznesów i nauczania online, lockdownów, wyborów, które się nie odbyły czy strajku kobiet. Jak na tle tych wszystkich wydarzeń wygląda miniony rok dla Innej sieci? ## Statystyki ruchu na blogu w 2020 ![Statystyki ruchu w 2020](https://innasiec.pl/content/images/wordpress/2021/01/Statystyki-ruchu-w-2020-1024x517.png) Statystyki ruchu w 2020 Na początek zbiorcze statystyki ruchu od 1 stycznia 2020 do 31 grudnia 2020\. Nie są to imponujące liczby, jednak zestawiając je z poprzednim rokiem, wygląda to już zdecydowanie lepiej. ![Statystyki ruchu w 2020 vs 2019](https://innasiec.pl/content/images/wordpress/2021/01/Statystyki-ruchu-w-2020-vs-2019-1024x635.png) Statystyki ruchu w 2020 vs 2019 Jak widać mamy tu **wzrost liczby odwiedzin o prawie 100%** w stosunku do roku poprzedniego. W zasadzie od końca wakacji, każdego miesiąca notuje wzrost liczby UU z miesiąca na miesiąc. Co ciekawe zaczęły pojawiać się przekierowania na stronę z adresu classroom.google.com oraz innych domen wskazujących na szkoły i uczelnie. Bardzo mnie to cieszy, ponieważ Inna sieć ma pomagać w edukacji sieciowców. Wzrosła również liczba powracających użytkowników z 13,7% do 15,3%. Na minus liczba odwiedzonych stron w każdej sesji. Również współczynnik odwiedzin utrzymuje się na wysokim poziomie. Cóż, będzie nad czym popracować w tym roku. ## Nowe artykuły w 2020 W 2020 roku na blogu pojawiło się **13 nowych artykułów**. W tym kilka między innymi pierwszy wywiady z ekspertem oraz pierwsza recenzja sprzętu i współpraca partnerska. 1. [Wszystko, co musisz wiedzieć o cisco devnet devasc 200-901](https://innasiec.pl/wszystko-co-musisz-wiedziec-o-cisco-devnet-devasc-200-901/) 2. [Metodologia Plan, Build, Operate](https://innasiec.pl/metodologia-plan-build-operate/) 3. [Projektowanie sieci komputerowych](https://innasiec.pl/projektowanie-sieci-komputerowych/) 4. [Jak skutecznie przygotować się do CCNA 200-301?](https://innasiec.pl/jak-skutecznie-przygotowac-sie-do-ccna-200-301/) 5. [10 Blogów o sieciach komputerowych, które warto śledzić w 2020](https://innasiec.pl/blogi-o-sieciach-komputerowych/) 6. [Wojownik sieci (Network Warrior)](https://innasiec.pl/wojownik-sieci-network-warrior/) 7. [5 darmowych certyfikatów Juniper Networks](https://innasiec.pl/darmowy-certyfikat-juniper/) 8. [10 sposobów na łatwiejszą pracę z cli cisco ios](https://innasiec.pl/10-sposobow-na-latwiejsza-prace-z-cli-cisco-ios/) 9. [Od programowania do CCIE – wywiad z Piotrem Wojciechowski](https://innasiec.pl/wywiad-z-piotrem-wojciechowski/) 10. [PLNOG 24 ONLINE: DevOps, Ansible, Zombie Routes! Odbierz zniżkę!](https://innasiec.pl/plnog-24-online-devops-ansible-zombie-routes-odbierz-znizke/) 11. [Czym są sieci SDN? – pytamy ekspertów](https://innasiec.pl/czym-sa-sieci-sdn-pytamy-ekspertow/) 12. [Co przyniesie Rok 2021 w sieciach komputerowych?](https://innasiec.pl/co-przyniesie-rok-2021-w-sieciach-komputerowych/) 13. [Unifi Dream Machine – recenzja](https://innasiec.pl/unifi-dream-machine-recenzja/) Do najpopularniejszych wpisów niezmiennie należą te techniczne, opisujące działanie technologii sieciowych. **Top 3 najpopularniejszych artykułów** w ubiegłym roku: 1. [Acl – wszystko, co musisz wiedzieć o listach dostępu ](https://innasiec.pl/acl-access-control-lists/) 2. [Ospf – routing w oparciu o link state | Teoria](https://innasiec.pl/podstawy-ospf-teoria/) 3. [Gre – generic routing encapsulation](https://innasiec.pl/tunel-gre/) Aktualnie na blogu opublikowane są 44 artykuły, z czego 21 to artykuły techniczne. ## Newsletter i Social Media w 2020 Na początku roku 2020 na liście emailowej było zapisanych raptem 10 osób. Słownie dziesięć. Po publikacji dokumentu [19 aplikacji, które musi znać każdy sieciowiec](https://innasiec.pl/narzedzia-sieciowca), coraz więcej osób zdecydowało się dołączyć. Obecnie na liście znajduje się: 0 Subskrybentów Newslettera W 2020 po raz pierwszy pojawiły się wpisy na LinkedIn. W końcu czas wyjść z jaskini i również tam pochwalić się swoimi artykułami. Na chwilę obecną mam: 0 Obserwujących na Linkedin W pozostałych social mediach Twitter wygląda najgorzej, zdecydowanie nie umiem w ćwierkacza. Facebook nadal pozostaje głównym medium i tam jest największa rzesza osób zainteresowanych artykułami. Liczby prezentują się następująco: 0 Obserwujących na Twitterze 0 Obserwujących na Facebooku ## To był Ostatni rok To był ostatni rok, w którym prowadziłem bloga inna sieć jako osoba prywatna. Od stycznia 2021 właścicielem portalu staje się firma RunPackets Rafał Rudewicz. Czyli nadal będę to ja, tylko w ramach jednoosobowej działalności gospodarczej. ## Trochę prywaty na koniec Ubiegły rok to nie tylko rozwój bloga. Był to również bardzo niepewny okres co do naszej przyszłości. Czas, w którym większość z nas była zmuszona przenieść się z biur do domów lub w ogóle zaprzestać pracy. Czas kiedy została wystawiona na próbę nasza samodyscyplina, czy będziemy w stanie, podobnie jak w biurze oddzielić czas na pracę od czasu prywatnego? Osobiście muszę się przyznać, że pomimo tego, że był to dla mnie czas największej produktywności. Oblałem jednak test na samodyscyplinę. Nie dlatego, że pracowałem mniej, niż powinienem, ale dlatego, że nie potrafiłem nacisnąć guzika uśpij o wyznaczonej porze. Nie raz łapałem się na tym, że skończyłem już pracę, ale nadal siedzę przed komputerem, bo jeszcze mam coś do zrobienia. ## Podsumowanie Pomimo ogromnego kryzysu spowodowanego pandemią, 2020 nie był złym rokiem. Dzięki rezultatom pracy nad blogiem udało się dotrzeć do nowych odbiorców, nawiązać kilkadziesiąt nowych znajomości oraz drobnych relacji biznesowych. Pozwala to patrzeć z optymizmem w stronę 2021 i tego właśnie Ci życzę nadchodzącym nowym roku. Jestem ogromnie ciekawy, jaki był Twój 2020? ### Unifi Dream Machine URL: https://innasiec.pl/unifi-dream-machine-recenzja/ Last updated: 2024-06-24T08:07:32.000Z Mam wrażenie, że Ubiquiti od dłuższego czasu stara się być nowym Apple w świecie sieci komputerowych. Przykładają dużą uwagę do wzornictwa i przystępności menu konfiguracyjnego. Ich sprzęt potrafi się podobać, czego doskonałym przykładem jest Unifi Dream Machine. Już sam wygląd tego urządzenia sprawia, że wiadomo, że nie jest to kolejny nudny router, którego obecności w salonie w żaden sposób nie da się uargumentować. W tak małej obudowie ze stylowym podświetleniem na górze **Ubiquiti zamknęło wszytko, czego może potrzebować domowy użytkownik** lub mała firma. ![ubiquiti-unifi-dream-machine-udm](https://innasiec.pl/content/images/wordpress/2020/09/ubiquiti-unifi-dream-machine-udm.jpg) W środku znajduje się: - **Security gateway** z IPS/IDS o wydajności 850Mbps - 4 portowy **gigabitowy switch** - **Access point** 4×4 802.11ac Wave 2 - **Cloud Key** – kontroler sieci unifi ## Specyfikacja Unifi Dream Machine Jeśli chodzi o specyfikację, to nie ma co wymyślać koła na nowo i posłużmy się danymi dostępnymi na stronie produktu. | Procesor | Arm Cortex-A57 quad-core 1,7GHz | | --------------------------- | ----------------------------------------- | | Pamięć Ram | 2GB | | Dysk wewnętrzny | 16GB | | Anteny | Dwupasmowa anten o poczwórnej polaryzacji | | Moc nadawcza | 2,4GHz: do 23dBm5 GHz: do 30 dBm | | Obsługiwane standardy Wi-Fi | 802.11 a/b/g/n/ac/ac-wave2 | | BSSID | Do 8 różnych SSID na radio | | Wymiary | Średnica 110mmWysokość 184,2mm | | Waga | 1,05kg | | Maksymalne zużycie prądu | 26W | ## Kontroler Sieci UNIFI ![Unifi Kontroler](https://innasiec.pl/content/images/wordpress/2020/09/Unifi-kontroler-1024x675.png) **Jedną z największych zalet Dream Machine jest wbudowany kontroler sieci opartej o rozwiązania unifi**. Jeśli jesteś ciekawy, jak działa taki kontroler, to tutej możesz sprawdzić [demo](https://www.ui.com/software/?ref=innasiec.pl). Dzięki temu oprogramowaniu zarządzanie domową siecią przechodzi na zupełnie nowy poziom, niedostępnych dla typowych rozwiązań soho. Samo menu zarządzania siecią jest przejrzyste i przyjemnie dla oka. Wszystkie opcje są dostępne tam, gdzie się ich spodziewamy. Szczególnie cieszy dostępność ciemnego motywu oraz dostępność wersji w języku polskim. UDM wspiera rozwiązania sieciowe typowe dla domowych routerów jak port forwarding, uPnP, DDNS. Nie zabrakło również opcji spotykanych w urządzeniach klasy korporacyjnej, czyli IGMP snooping, DHCP snooping, SIP, mDNS czy możliwość zdefiniowana własnych opcji DHCP. Nie ma tu również problemu z ustawieniem osobnego vlanu dla rozwiązań typu VoIP. Dodawanie nowych sieci czy vlanów to raptem kilka kliknięć. Nie ma najmniejszego problemu ze stworzeniem osobnych sieci dla Twoich urządzeń IoT czy sieci gościnnej. ## Wi-fi, na które zasługujesz ![Unifi Sieci Wifi](https://innasiec.pl/content/images/wordpress/2020/09/Unifi-Sieci-Wifi-1024x667.png) Coraz częściej przedkładamy wygodę komunikacji bezprzewodowej nad stabilność tradycyjnych sieci kablowych. Czym więc byłaby maszyna marzeń bez porządnego Wi-Fi? Dream machine pozwala na utworzenie do 8 SSID w dwóch pasmach 2.4 oraz 5Ghz. Oprócz standardowych metod zabezpieczania, dla maniaków bezpieczeństwa jest możliwość włączenie uwierzytelniania na podstawie adresów MAC lub RADIUS-a. Możemy również filtrować komunikację typu Broadcast i multicast pomiędzy sieciami LAN I WLAN. Dzięki wykorzystaniu technologii 4×4 MIMO jesteśmy w stanie teoretycznie osiągnąć prędkości do 1700Mbps. Warto również wspomnieć o opcji **wi-fi schedule,** która pozwala w prosty sposób zaplanować kiedy nasza sieć bezprzewodowa powinna być wyłączona. Nie chcesz, aby Twoje dzieci siedziały wieczorami w sieci, zamiast spać? Nie ma problemu. Wolisz, aby nikt nie korzystał z Twojej sieci kiedy jesteś poza domem? Nie ma problemu. ![Unifi Wi-Fi AI](https://innasiec.pl/content/images/wordpress/2020/09/Unifi-Wi-Fi-AI-1024x667.png) **Sieci bezprzewodowe Unifi** mają ciekawą opcję **Wi-fi AI** – obecnie beta – która raz dziennie lub w raz tygodniu skanuje wszystkie dostępne częstotliwości i wybiera najlepszy dostępny dla nas kanał. Dzięki temu zawsze korzystamy z najmniej zajętej częstotliwości, co ma duży wpływ na jakość połączenia. ## Bezpieczeństwo Twojej sieci ![](https://innasiec.pl/content/images/wordpress/2020/09/Unifi-Dream-Machine-Threat-Management-1024x675.png) **Bezpieczeństwo sieci jest równie ważne jak szybkie i niezawodne łącze.** Ubiquiti świetnie to rozumie i cały czas rozbudowuje portfolio dostępnych dla swoich klientów technologii utrudniających życie cyberprzestępcom. **Dream Machine** posiada – w wersji beta – **system IPS,** który automatycznie w czasie rzeczywistym blokuje wykryte zagrożenia oraz **IDS,** który raportuje zagrożenia. Oba te systemy mogą pracować na 5 różnych poziomach czułości lub mogą być dowolnie przez Ciebie ustawione. I to wszystko przy prędkości 850Mbps. ![Unifi GeoIP Filtering](https://innasiec.pl/content/images/wordpress/2020/09/Unifi-GeoIP-Filtering-1024x667.png) Kolejny feature dostępny w wersji beta to **GeoIP Filtering.** Dwoma kliknięciami myszki możesz zablokować ruch z dowolnym krajem na świecie. Opcja może się okazać nad wyraz przydatna jeśli prowadzisz małą firmę, która stała się celem ataku DDoS. ![Unifi DNS filtering](https://innasiec.pl/content/images/wordpress/2020/09/Unifi-DNS-filtering-1024x667.png) **DNS fitering – w wersji alpha –** polega na blokowaniu dostępu do niechcianych stron już na poziomie zapytania DNS. Oznacza to, że dana strona zostanie zablokowana, zanim jeszcze ktoś z Twojej sieci się z nią połączy.Domyślnie mamy dostępne 3 filtry: - **Security** – blokuje dostęp do portali podejrzanych o phishing oraz rozsiewanie malware, - **Adult** – to samo co security oraz blokowanie dostępu do materiałów pornograficznych - **Family** – Oprócz uaktywnienia dwóch pierwszych dodatkowo blokuje dostęp do VPN-ów oraz informuje przeglądarki i YouTube, żeby zapytania przetwarzały w trybie safe Mode. ![Unifi Deep Packet Inspection](https://innasiec.pl/content/images/wordpress/2020/09/Unifi-Deep-Packet-Inspection-1024x667.png) **Deep Packet Inspection** dostarcza nam ogromnych ilości danych na temat kto i jak wykorzystuje naszą sieć. Pozwala również na tworzenie zestawu reguł, z jakich aplikacji czy protokołów można korzystać w konkretnych segmentach naszej sieci. Tak utworzone reguły możemy podpiąć osobno pod sieci przewodowe i bezprzewodowe. Masz dedykowaną sieć WLAN dla urządzeń IOT? Nie ma problemu, aby wyciąć dostęp do wszelkich protokołów i aplikacji, które nie są niezbędne dla tych urządzeń. Pracujesz z domu i nie chcesz, aby firmowy skaner przeczesywał Twoją sieć lokalną? Nie ma sprawy, wydziel podsieć i ogranicz jej dostęp tylko do komunikacji VPN. ![Unifi Network Scanners](https://innasiec.pl/content/images/wordpress/2020/09/Network-Scanners-1024x667.png) Jeśli choć trochę do tej pory interesowałeś się bezpieczeństwem, to wiesz, że Twoja sieć jest zagrożona nie tylko z zewnątrz, ale również od środka. Opcja **Network Scanners – wersji alpha –** pozwala na skanowanie urządzeń w Twojej sieci pod kątem podatności i zagrożeń. Każdy z nas posiada obecnie smartfona czy laptopa, którego nosi przy sobie i który mogą zostać zainfekowane poza domem. Dodatkowo możemy włączyć **Internal Honeypot,** w takim wypadku UDM monitoruje ruch w Twojej sieci, reagując na wszelkie próby skanowania. ## Kiedy tęsknisz za domem ![Unifi VPN l2tp ipsec](https://innasiec.pl/content/images/wordpress/2020/09/Unifi-VPN-l2tp-ipsec-1024x667.png) Dawno już minęły czasy kiedy VPN były czymś wykorzystywanym tylko w korporacjach. **UDM pozwala na utworzenie serwera VPN**, dzięki któremu możesz bezpiecznie łączyć się do swoich domowych zasobów. Dzięki wykorzystaniu połączenie **L2TP** Twoja sieć będzie dostępna jakbyś siedział w domu, a za bezpieczeństwo połączenia odpowiada uznany w świecie security framework IPSEC. ## Cena W dniu pisania tej recenzji **Unifi [Dream Machine](https://sklep.ubiquitipolska.pl/unifi-dream-machine/377-UDM.html?ref=innasiec.pl) kosztuje 1502zł** na stronie [Ubiquiti Polska](https://ubiquitipolska.pl/?ref=innasiec.pl). Na pierwszy rzut oka kwota wydaje się całkiem spora jak za router All in One. Żeby jednak móc jednoznacznie powiedzieć czy to dużo, czy mało, sprawdźmy ile kosztują poszczególne komponenty jeśli chcielibyśmy zakupić je osobno. **USG Security Gateway** – 527zł**USW-Flex-mini** – 175zł **UAP-nanohd** – 780zł**Unifi cloud key gen 2** – 946zł**Razem** – 2428zł ## Rysa na szkle ![](https://innasiec.pl/content/images/wordpress/2020/09/Unifi-UDM-ruch-sieciowy-1024x667.png) UDM wydaje się doskonałym urządzeniem dla użytkowników domowych oraz małych firm, którym zależy na bezpieczeństwie i stabilności od razu po wyciągnięcia z pudełka. Dream Machine robi fantastyczną robotę dzięki funkcjom IPS/IDS, bardzo dobremu zasięgowi WI-FI oraz funkcjom QoS. Do tego wszystkiego dostarcza sporo informacji o tym jak wykorzystujesz swoją sieć. Jednak jest kilka rzeczy, które dla przeciętnego użytkownika przy wyborze sprzętu sieciowego mogą być bez znaczenia, jednak warto o nich wspomnieć. Ciężko nawet o nich mówić w kontekście wad patrząc na to co oferuje UDM i jakie jest jego przeznaczenie. Pierwszym zaskoczeniem był brak portów POE. Jednak ma to sens w przypadku urządzenia typu All in One, które posiada przecież wbudowany Access-Point. Warto przypomnieć również przypomnieć, deklarowane zużycie prądu to maksymalnie 26W. Dzięki temu do UDM dołączony jest cieniutki kabel bez dodatkowego przetwornika. Po raz kolejny Ubiquiti wykazało się dbałością o szczegóły. ![Unifi UDM site2site](https://innasiec.pl/content/images/wordpress/2020/09/Unifi-UDM-site2site-1024x667.png) Drugim zaskoczeniem był brak możliwości zestawienia tunelu site-2-site z urządzeniem innym niż Unify. Ja wiem, mało kto potrzebuje w domu takich rzeczy. Przedstawiciel [Ubiquiti Polska](https://ubiquitipolska.pl/?ref=innasiec.pl) zapewnił mnie, że da się zrobić. Wymaga to jednak zakasania rękawów i pracy w CLI. Ostatnią rzeczą, o której warto wspomnieć jest brak **Unify Protect Controller,** który pozwala na zarządzanie systemem kamer Unifi protect. Opcja ta jest dostępna w wersji rack Unifi Dream Machine Pro. ## Podsumowanie **Unifi Dream Machine to ciekawe rozwiązanie łączące w sobie najlepsze produkty serii Unifi oraz wzornictwo, które potrafi się podobać.** Z jednej strony mamy urządzenie, które działa praktycznie po wyjęciu z pudełka. Już przy pierwszej konfiguracji uruchamiane są mechanizmy QoS oraz zaawansowane systemy monitorujące wykorzystanie sieci, dzięki którym praca z siecią opartą o rozwiązania unifi to sama przyjemność. Z drugiej strony osoby ambitne, lubiące grzebać lub po prostu wiedzieć co się dzieje pod maską, otrzymują prawdziwy ogrom opcji konfiguracyjnych, których próżno szukać u konkurencji. Sprzęt do recenzji dostarczyła firma [Ubiquiti Polska](https://ubiquitipolska.pl/?ref=innasiec.pl). ### Co przyniesie Rok 2021 w sieciach komputerowych? URL: https://innasiec.pl/co-przyniesie-rok-2021-w-sieciach-komputerowych/ Last updated: 2024-06-26T20:39:43.000Z Rok 2020 jest z pewnością rokiem wyjątkowym. W obliczu pandemii, kto tylko miał możliwość, przeniósł się z pracy w biurze do pracy w trybie zdalnym. Jest to ogromna zmiana jednakowo w kontekście społecznym, jak i naszego dostępu do sieci firmowej. Administratorzy oraz dostawcy usług praktycznie z dnia na dzień musieli sprostać nowemu wyzwaniu. Kompletnej zmianie uległa proporcja osób korzystających z sieci lokalnych, a tych potrzebujących bezpiecznego, zdalnego dostępu do zasobów firmowych. Większości w mniejszym lub większym stopniu udało się sprostać tegorocznym wyzwaniom. Co czeka nas jednak w przyszłym roku? Zanim poproszę Cię o Twój komentarz, jak będą wyglądały sieci komputerowe w 2021 roku, przedstawię Ci moje przewidywania w tym temacie. ## Koniec RJ45 w sieciach korporacyjnych Kabel to kabel zwykło się mówić wśród sieciowców. Takie połączenie gwarantowało stabilność oraz prędkości na satysfakcjonującym poziomie, jednak za cenę mobilności. Z drugiej strony barykady były sieci bezprzewodowe zawodne i powolne. Jednak z biegiem czasu zostały pozbawione większości swoich wad jak niestabilność, niska przepustowość oraz słabe zabezpieczenia. **Jesteśmy więc w sytuacji gdzie poprawnie zaprojektowana sieć Wi-Fi, jest w stanie zagwarantować takie same parametry jak sieć przewodowa**, bez konieczności uwiązania pracownika do konkretnego miejsca. W dobie ciągle zmieniających się wymagań sanitarnych co do aranżacji przestrzeni oraz niepewnej przyszłości ma to kluczowe znaczenia dla zachowania ciągłości biznesu. ## Początek końca licencji Right-to-use Na przestrzeni ostatnich lat dokonał się prawdziwy przełom, podczas którego w wielu branżach przenieśliśmy się do modelu subskrypcyjnego. Jak się okazało, wolimy zapłacić mniejszą kwotę za dostęp do usług niż jednorazowo wydawać kilkukrotnie większą kwotę za pojedynczy produkt. Takie podejście pozwala ujednolicić ofertę, co wiąże się ze znaczącym zmniejszeniem kosztów po stronie producenta oraz łatwiejszym procesem decyzyjnym po stronei klienta. Świetnie to widać na przykładzie Cisco. W nowym modelu Cisco DNA mamy w zasadzie 3 poziomy licencji (Essentials, Advantage oraz Premier) dostępne w planach 3, 5 i 7-letnich. W porównaniu do 8 poprzednich poziomów licencji jest to znaczące uproszczenie. Warto również dodać, że Cisco DNA to nie tylko sama licencja dla urządzeń sieciowych, ale również cały pakiet oprogramowania od Cisco w tym systemy do automatyzacji i monitoringu czy zarządzania licencjami w sieci. ## Sieci definiowane programowo wszędzie [SDN](https://innasiec.pl/czym-sa-sieci-sdn-pytamy-ekspertow/) to nie tylko coraz popularniejszy SD-WAN oraz SD-Access, ale również całe podejście do projektowania i zarządzania siecią. W całej branży IT najczęściej wąskim gardłem dla dynamicznych zmian była sieć. Administratorzy systemów i programiści byli w stanie w kilka chwil postawić od zera swoje gotowe środowiska, kiedy większość Sieciowców nadal konfigurowała sieć ręcznie z poziomu CLI lub GUI. Coraz większa część zadań sieciowców z powodzeniem może zostać zautomatyzowana i opatrzona odpowiednimi procesami. Dostrzegli to również czołowi dostawcy sprzętu sieciowego, którzy dodali dedykowane ścieżki certyfikacyjne właśnie z zakresu DevNet, czyli taki trochę Developer, trochę Network. Czy to oznacza koniec tradycyjnych sieci? Oczywiście nie, nadal będzie na nie zapotrzebowanie, zwłaszcza w małych sieciach, w których koszt wdrożenia automatyzacji przewyższy otrzymane benefity. ## Sztuczna inteligencja na pomoc Sztuczna inteligencja, choć nadal jest daleka od bycia inteligentną, już dawno przegoniła ludzkość pod względem możliwości analizowania danych. Dynamiczny rozwój uczenia maszynowego pozwala na korelowanie zdarzeń na poziomie niedostępnym do tej pory. Już teraz widzimy zalążek sztucznej inteligencji w sieciach bezprzewodowych, gdzie kontroler analizując dane, reguluje parametry pracy poszczególnych Acess Pointów, aby zapewnić jak najlepsze parametry dla użytkownika. Dodatkowo jest w stanie rzeczywistym wykrywać anomalie, czy próby podszywania się pod SSID, a nawet je zagłuszać. Co może zaoferować Sztuczna inteligencja w sieciach? - Przewidywanie i modyfikowanie parametrów dostępu do sieci niemal w czasie rzeczywistym - Błyskawiczne wykrywanie i naprawianie problemów w sieci - Proaktywne wyszukiwanie podatności i ich łatanie - Dynamiczne sterowanie ruchem, unikanie zapchania łączy poprzez przeroutowanie na alternatywne łącza Sztuczna inteligencja już teraz jest rozwijana w swój produktach przez czołowych graczy jak Cisco czy Juniper. Co przyniesie rok 2021 w sieciach według Ciebie? Podziel się swoją opinią w komentarzu. ### Czym są sieci SDN? - pytamy ekspertów URL: https://innasiec.pl/czym-sa-sieci-sdn-pytamy-ekspertow/ Last updated: 2024-07-01T13:38:11.000Z Z pewnością spotkałeś się z tym określeniem już nie raz. Sieci definiowane programowo, nie są niczym nowym, jednak rosnące znaczenie automatyzacji w branży IT nie jako wymusza wdrażanie tej technologii. Jak widzisz nie bez powodu, jest to jeden z najpopularniejszych obecnie kierunków rozwoju sieci. Zanim zapytam, czym Twoim zdaniem są sieci SDN, **zobacz co o tym myślą eksperci z takich firm jak Atos, Ciena, Google, Operator Chmury Krajowej i innych.** Wszystkie wypowiedzi są ułożone w kolejności alfabetycznej. ## SDN pomaga w budowaniu nowoczesnych data center ![Konrad Cłapa](https://innasiec.pl/content/images/wordpress/elementor/thumbs/konrad-clapa-ouc5x4b6c9lh2oyqxi2dpzindvz7ef0tun53zy12bk.jpeg "konrad-clapa") **Konrad Cłapa** Anthos Architekt w Atos, Google Cloud Certified Fellow [Linkedin](https://www.linkedin.com/in/konrad-clapa-google-cloud-certified-fellow-87275bb/?ref=innasiec.pl) Wprowadzenie NSX w 2015 roku było ogromnym krokiem w kierunku centrów danych definiowanych programowo opartych na oprogramowaniu VMware. Za pomocą jednego wywołania API byliśmy w stanie zapewnić urządzenie sieciowe, na które w innym przypadku musielibyśmy czekać kilka tygodni lub miesięcy! Dziś obecność SDN jest ważna zarówno dla platform w chmurze prywatnej, jak i publicznej! Aż trudno uwierzyć, jak moglibyśmy bez tego działać. ## Rewolucja w projektowaniu i działaniu sieci ![Mateusz Firuta](https://innasiec.pl/content/images/wordpress/elementor/thumbs/mateusz-firuta-ovcrjdn25niro02267yud4712ajvknqs4fe6k5uua8.jpeg "mateusz-firuta") **Mateusz Firuta** Head of Central Eastern Europe and Country Manager Poland at Ciena [Linkedin](https://www.linkedin.com/in/mateusz-firuta-21b5901/?ref=innasiec.pl) Oficjalna strona [ciena.pl](https://ciena.pl/?ref=innasiec.pl) Odbiorcy usług, operatorzy i usługodawcy są pod ciągłą presją zmieniającego się otoczenia biznesowego. Ogromny wzrost ilości kontentu, eksplozja przetwarzania w chmurze, wpływ rosnącego wykorzystania urządzeń mobilnych i ciągłe naciski na redukcję kosztów przy niezmienionych dochodach – wszystko to sieje spustoszenie w tradycyjnych modelach biznesowych. Aby nadążyć za zmianami, wielu z tych graczy korzysta z technologii SDN, aby zrewolucjonizować projektowanie i działanie sieci. SDN umożliwia programowanie zachowania sieci w sposób centralnie kontrolowany za pomocą aplikacji wykorzystujących otwarte interfejsy API. Otwierając tradycyjnie zamknięte platformy sieciowe i wdrażając wspólną warstwę kontrolną SDN, operatorzy mogą konsekwentnie zarządzać całą siecią i jej urządzeniami, niezależnie od złożoności technologii sieciowej. Kluczową zaletą technologii SDN jest zdolność operatorów sieci do pisania oprogramowania wykorzystującego interfejsy API SDN i zapewniania aplikacjom kontroli nad zachowaniem sieci. SDN umożliwia użytkownikom tworzenie aplikacji obsługujących sieć, inteligentne monitorowanie warunków sieciowych i automatyczne dostosowywanie konfiguracji sieci w razie potrzeby. ## Szerokie i Dojrzałe portfolio rozwiązań ![Marcel Guzenda](https://innasiec.pl/content/images/wordpress/elementor/thumbs/marcel-guzenda-ouvniz5gnpp4v8iosckrl95rq37tgwyohfcn5byby8.jpeg "marcel-guzenda") **Marcel Guzenda** Niezależny konsultant IT Strona [marcelguzenda.pl](https://marcelguzenda.pl/?ref=innasiec.pl), [Linkedin](https://www.linkedin.com/in/marcelguzenda/?ref=innasiec.pl) Do niedawna z SDN było jak kiedyś z definicją chmury, każdy miał swoją. Na szczęście rynkowa adaptacja sieci definiowanych programowo określiła nieco pojęcia z nią związane. Dziś co raz mniej osób zadaje sobie pytanie, czym SDN jest, natomiast wciąż ważne jest, gdzie ma mieć zastosowanie. Po inne rozwiązanie sięgniemy w przypadku chęci wirtualizacji sieci kampusowej, która zorientowana jest na użytkownika, a w kierunku innych będziemy spoglądać w przypadku środowisk aplikacyjnych, a więc w Data Center. Na szczęście portfolio topowych producentów rozwiązań SDN jest dziś na tyle szerokie, a przede wszystkim dojrzałe, że zdecydowanie jest w czym wybierać. Jeśli chcesz posłuchać dłuższą wypowiedź Marcela na temat sieci SDN – sprawdź jego kanał na YT: [Wprowadzenie do SDN, a więc co to jest Software-Defined Networking?](https://www.youtube.com/watch?v=ZqOktaj%5F%5FOM&ref=innasiec.pl) ## SDN pomaga w budowaniu nowoczesnych data center ![Michał Iwańczuk](https://innasiec.pl/content/images/wordpress/elementor/thumbs/michal_iwanczuk-1-scaled-ou0enawabi6952qt2vdkr72vol8l89y1ig8djqd9zk.jpg "michal_iwanczuk-1") **Michał Iwańczuk** Security Architekt w Operator Chmury Krajowej Właściciel firmy SafeKom [Strona SafeKom ](https://www.safekom.pl/blog/?ref=innasiec.pl), [Linkedin](https://www.linkedin.com/in/michaliwanczuk/?ref=innasiec.pl) Na wstępie cieszę się, że mogę pomóc. Co do sieci SDN – z mojej perspektywy w pewien sposób zawsze istniały, tylko dziś nabrało, to większego sensu oraz rozgłosu. Z mojej perspektywy SDN pomaga w budowaniu nowoczesnych data center, a operatorzy mogą szybciej kreować usługi dla klientów końcowych. Jeżeli chodzi o samą sieć, to pozwala lepiej ją wykorzystać, bo daje większe możliwości automatyzacji czy samego sterowania ruchem. Jak człowiek, który na co dzień zajmuje się NSXem pozwala na łatwiejsze zarządzanie siecią oraz kreowaniu usług w Data Center pozwala również na podniesienie bezpieczeństwa w DC poprzez Mikrosegmentacje. ## Połączenie rozwiązań R&S z kontrolerem i API ![Piotr Jabłoński](https://innasiec.pl/content/images/wordpress/2020/08/piotr-jablonski.jpeg) **Piotr Jabłoński** Tech Lead | CTO | President of the Polish Association AI at Stowarzyszenie.AI [Linkedin](https://www.linkedin.com/in/piotr-jablonski/?ref=innasiec.pl) SDN – Połączenie rozwiązań Routing & Switching z kontrolerem i API. Może występować w dowiązaniu do sprzętu sieciowego i/lub do serwerów w architekturze x86, automatyzacją oraz nakładką graficzną. ## Łatwość, szybkość, wygoda za cenę niezawodności ![Krzystof Kania](https://innasiec.pl/content/images/wordpress/2020/08/krzysztof-kania.jpeg) **Krzystof Kania** Właściciel firmy IT Services [Linkedin](https://www.linkedin.com/in/krzysztofkania/?ref=innasiec.pl) Bardzo ciężko udzielić w temacie SDN (jak i w sumie w każdym innym) sensownej, rzeczowej odpowiedzi, nie narażając się jednocześnie na śmieszność, w myśl pierwszej zasady erystyki, czyli uogólnienia. Lub też, można wybrać rozwiązanie iście salomonowe, i opinię o SDN wyrazić słowami >TO ZALEŻY<. Aby sprawy zanadto nie kompilować, i dywagować o rozdzieleniu warstw kontrolnej, przekazującej i sterującej, o silosach, o architekturach SOA czy Application Oriented Networking, sięgnę po prozaiczny przykład, prosząc zarazem kolegów o wyrozumiałość, bo przyjęte uproszczenia mają służyć ułatwieniu zrozumienia tematu mniej obeznanym z omawianym zagadnieniem. A zatem, czy ktokolwiek wyobraża sobie dzisiaj dużą sieć WiFi, zbudowaną z autonomicznych, niezależnie zarządzanych Access Point’ów bez kontrolera? Taką, w której zmiana nazwy SSID lub hasła wymaga zalogowania do 100-200 albo i więcej urządzeń? Zakładam, że >99% odpowiedzi brzmi „absolutnie nie”. A jeśli sformułuję pytanie inaczej? Mając do wyboru łatwość administracji, a niezawodność działania co wybierzecie? Rozwiązanie, w którym błąd administratora ogranicza się do jednego AP czy dotyka całej sieci, w skali kampusu, miasta, kraju czy kontynentu? … To jest właśnie pytanie o SDN. Łatwość, szybkość, wygoda? Tak. Niestety jak wiemy, za łatwość, szybkość czy wygodę płaci się wysoką cenę, między innymi w obszarze niezawodności. Czyli na koniec dnia, na pytanie o SDN, wracamy do >TO ZALEŻY< ## Skrócenie czasu reakcji na problemy ![Piotr Kałuża](https://innasiec.pl/content/images/wordpress/2020/08/piotr-kaluza.jpeg) **Piotr Kałuża** Presale Engineer w Flowmon Networks [Strona networkacademy.pl](https://networkacademy.pl/?ref=innasiec.pl), [Linkedin](https://www.linkedin.com/in/piotr-kaluza/?ref=innasiec.pl) SDN to nie nowa, ale zyskująca w ostatnim czasie popularność, koncepcja sieci, która oddziela warstwę zarządzania siecią od warstwy transmisji danych. Dzięki takiemu podziałowi uzyskujemy większą wydajność sieci, a zarządzanie staje się bardziej elastyczne. Funkcje zarządzania i analityki realizowane są na kontrolerach SDN, które mogą być budowane na niezależnych platformach i korzystać z otwartych standardów komunikacji. Takie kontrolery mogą służyć do zarządzania urządzeniami różnych producentów, a ich wydajność możemy zwiększać poprzez skalowanie. Poza wymienionymi korzyściami z elastyczności i wydajności sieci SDN oferują skrócenie czasu reakcji na problemy, co w sposób oczywisty przekłada się na obniżanie kosztów zarządzania i redukcję strat związanych z niedostępnością usług sieciowych. ## Demokratyzacja dostępu do zmian w warstwie sieci ![](https://innasiec.pl/content/images/wordpress/2020/08/maciej-lelusz.jpeg) **Maciej Lelusz** Właściciel firmy Inleo [Strona Inleo](https://inleo.pl/?ref=innasiec.pl), [Linkedin](https://www.linkedin.com/in/maciejlelusz/?ref=innasiec.pl) Moim zdaniem SDN jest pojęciem nieco szerszym niż sieci same w sobie – to zmiana odbywająca się na wielu warstwach architektonicznych. SDN jest swoistą ewolucją podejścia do projektowania, budowy i późniejszego użytkowania infrastruktur i aplikacji w środowiskach IT. Jako idea demokratyzuje dostęp do zmian w warstwie sieci, bez potrzeby poznawania wszystkich zaklęć CLI z księgi czarów Network Admina, czy też mapy mielizn infrastruktury fizycznej. Pozwala osobom, które nie posiadają doktoratu z pakietów na korzystanie z sieci jak z aplikacji… Oczywiście w ramach przestrzeni przewidzianych i zdefiniowanych przez ekspertów. ## Obniżenie kosztów oraz zwiększenie bezpieczeństwa ![Wojciech Marusiak](https://innasiec.pl/content/images/wordpress/2020/08/wojciech-marusiak.jpeg) **Wojciech Marusiak** Customer Engineer w Google Cloud [Linkedin](https://www.linkedin.com/in/wojciechmarusiak/?ref=innasiec.pl) Jeszcze kilka lat temu sieci SDN były nowinką, na których wdrożenie decydowały się tylko największe korporacje. W chwili obecnej sieci SDN są chlebem powszednim, który nie tylko pozwala administratorom na szybsze wdrożenia, centralne zarządzanie czy obniżenie kosztów, lecz również na zwiększenie bezpieczeństwa w przedsiębiorstwach. Sieci SDN czy SD-WAN zadomowiły się w środowiskach IT na dobrze co mnie jako entuzjastę nowych technologii i upraszczania środowisk bardzo cieszy. ## Kompletne przesunięcie control plane na centralny kontroler sieci SDN ![Damian Michalak](https://innasiec.pl/content/images/wordpress/2020/08/Damian-Michalak.jpeg) **Damian Michalak** Senior Network Engineer w Smith & Nephew [Strona Na Styku Sieci](https://www.nastykusieci.pl/?ref=innasiec.pl), [Linkedin](https://www.linkedin.com/in/themichalakd/?ref=innasiec.pl) Sieci SDN to bardzo rozległe zagadnienie i moim zdaniem definicja tego terminu będzie się różnić w zależności od tego, kogo się zapyta i jakie doświadczenia ma ta osoba. Sama nazwa „Sieci Definiowane Programowo” pozwala na szeroką gamę interpretacji. Wiele osób porównuje sieci SDN do koncepcji, z jaką mamy już do czynienia w sieciach bezprzewodowych – centralny kontroler zarządzający access pointami. Jest to jednak w mojej opinii nieprecyzyjne porównanie, zwłaszcza biorąc pod uwagę architekturę Split-MAC i fakt, że access point nadal jest odpowiedzialny za pewne funkcje control plain. I tu dochodzimy do sedna sprawy. Sieci SDN to moim zdaniem takie wdrożenia, w których mamy do czynienia z kompletnym przesunięciem control plane na centralny kontroler sieci SDN. Nawiązuję tu zatem do tradycyjnej definicji sieci SDN sformułowanej przez Martina Cassado. Zgodnie z nią w takiej sytuacji urządzenia sieciowe stają się jedynie posłusznymi pudełkami przełączającymi ruch zgodnie ze sterowaniem podanym z kontrolera sieci SDN. Koncepcja niewątpliwie ciekawa, natomiast potrzebujemy jeszcze według mnie kilku dobrych lat, aby zobaczyć czy komercyjne rozwiązania takie jak SDA od Cisco osiągną sukces i wyprą tradycyjne rozwiązania sieciowe z rynku. Więcej o sieciach SDN według Damiana możesz przeczytać Na Styku Sieci: [Sieci SDN – Trend czy Rewolucja?](https://www.nastykusieci.pl/sieci-sdn-tymczasowy-trend-czy-rewolucja/?ref=innasiec.pl) ## Wygodna obsługa coraz to bardziej złożonych infrastruktur sieciowych ![Marcin Ślęczek](https://innasiec.pl/content/images/wordpress/2020/08/marcin-sleczek.jpeg) **Marcin Ślęczek** CEO Networkers [Strona Networkers](https://networkers.pl/?ref=innasiec.pl), [Linkedin](https://www.linkedin.com/in/marcinsleczek/?ref=innasiec.pl) Dla mnie pojęcie SDN (Software-Defined Network) jest nieco rozmyte i szerokie. W najprostszej postaci SDN umożliwia sterowanie urządzeniami sieciowymi (fizycznymi i NVF) z wykorzystaniem zewnętrznego systemu czy oprogramowania, co od dawna było, niemniej w słabszej i nieco innej formie. Rozwiązania te ciągle ewoluują, a też my myśląc o SDN zaczynamy coraz więcej oczekiwać. Obecnie, oprócz samej automatyki w obszarze rozwiązań sieciowych, umożliwiają one także orkiestrację oraz dostarczają szereg narzędzi do diagnozy, analizy i wizualizacji, a także wspierane są uczeniem maszynowym i sztuczną inteligencją. Ideą SDN jest wygodna obsługa coraz to bardziej złożonych infrastruktur sieciowych. ## Technologiczny clickbait napędzający sprzedaż ![Piotr Wojciechowski](https://innasiec.pl/content/images/wordpress/2020/09/piotr-w-300x300.jpg) **Piotr Wojciechowski** Network Solution Architect i partner w Inleo [Strona szkoladevnet.pl](https://szkoladevnet.pl/?ref=innasiec.pl), [Linkedin](https://www.linkedin.com/in/peper/?ref=innasiec.pl) SDN to technologiczny clickbait nadal napędzający sprzedaż. Jednocześnie to naturalny rozwój infrastruktury i usług sieciowych podążający za trendem rozwoju aplikacji i świadczenia usług. Stałość i prawie niezmienność ręcznie wprowadzanej konfiguracji zastąpiła szybkość programowalnie wprowadzanych zmian. Manualną konfigurację zastąpiły elastyczne rozwiązania minimalizujące koszty i optymalizujące działanie aplikacji. Warstwa fizyczna została przykryta warstwą abstrakcji, za pomocą której działają zwirtualizowane usługi sieciowe. W pędzie za SDN-em nie zapomnijmy jednak, że nadal gdzieś pod spodem jest fizyczne urządzenie i trochę kabli. ## Konwencjonalne sieci rzadko spełniają wymagania nowoczesnych firm ![Patryk Wojtachnio](https://innasiec.pl/content/images/wordpress/2020/08/patryk-wojtachnio-300x300.jpeg) **Patryk Wojtachnio** CEO Grupa UI Polska [Strona UI Polska](https://www.ui.pl/?ref=innasiec.pl), [Linkedin](https://www.linkedin.com/in/pwojtachnio/?ref=innasiec.pl) Złożoność i administracja strukturami sieci stanowi duże wyzwanie dla wielu firm. Ponieważ konwencjonalne sieci oparte na fizycznym sprzęcie rzadko spełniają wymagania nowoczesnych firm. SDN, czyli sieci definiowane programowo to architektura sieci, która umożliwia zarządzanie siecią wyłącznie za pomocą oprogramowania. W tym celu płaszczyzna sterowania zaimplementowana standardowo w komponentach sprzętowych logiki sterowania jest oderwana od sprzętu – w tym kontekście mówi się również o inteligencji sprzętu, która jest niczym innym jak jego specyficznym oprogramowaniem firmware. ## Pytanie do Ciebie Znasz już opinie ekspertów – czym są sieci SDN i jakie widzą oni plus i minusy. **Jestem ogromnie ciekawy, jaka jest Twoja definicja sieci SDN?** Zostaw pod wpisem swoją definicję i będzie ona widoczna razem z opiniami ekspertów do czasu, aż sieci SDN będą dostępne w każdym domu. ### PLNOG 24 ONLINE: DevOps, Ansible, Zombie Routes! Odbierz zniżkę! URL: https://innasiec.pl/plnog-24-online-devops-ansible-zombie-routes-odbierz-znizke/ Last updated: 2024-06-26T20:40:51.000Z Serdecznie zapraszam do wzięcia udziału w **24 edycji konferencji PLNOG** w dniach **28-29 września.** Tym razem całe spotkanie zostanie zrealizowane online. Dzięki czemu straciłeś ostatnią wymówkę, aby nie dołączyć do największej branżowej imprezy, na której najlepsi eksperci dzielą się wiedzą. W tej edycji jako prelegentów spotkasz między innymi Michała Sajdaka, Marcina Marciniaka i Pawła Małachowskiego. ## Czym jest POLISH NETWORK OPERATORS GROUP? **PLNOG to organizowana już od 12 lat największa branżowa konferencja** skupiająca w jednym miejscu polskich dostawców usług internetowych, operatorów sieci, inżynierów, decydentów i entuzjastów rynku telco. ## Czy PLNOG jest dla Ciebie? Oczywiście, że tak. Co roku podczas konferencji spotykają się osoby na stanowiskach managerskich w rozmaitych działach IT oraz inżynierowie zajmujący się między innymi zagadnieniami systemów, sieci czy bezpieczeństwa. Co bardzo cieszy, nie brakuje również osób, które są dopiero na początku swojej kariery lub jeszcze w trakcie studiów. PLNOG to oprócz merytorycznych prelekcji doskonała okazja do networkingu oraz możliwość zadawania pytań ekspertom. ## **W programie między innymi:** - słuszna ilość technicznych informacji z zakresu bezpieczeństwa aplikacji www przygotowanych specjalnie z myślą o sieciowcach przez **Michała Sajdaka** – *“Co każdy admin powinien wiedzieć o web security?”,* - szczegóły wyzwań, które czekają na operatora wprowadzającego 5G – dowiecie się co dokładnie może go spotkać podczas prezentacji **Krzysztofa Szarkowicza** *“* *Co nowego w 5G?”,* - kompleksowe spojrzenie na tematykę NetDevOps, narzędzia i korzyści w ramach wykładu **Krzysztofa Załęskiego** *“Praktyczne zastosowania NetDevOps. Nirwana czy dystopia?”,* - kontrowersyjny temat sztucznej inteligencji i związanych z nią zagrożeń, z którym zmierzy się **Kamil Frankowicz** – *“Roboty, samoloty a w nich AI i cyber – czy to nie za dużo?”.* Zainteresowany? To dopiero ułamek z całej agendy, którą przygotowano. Więcej szczegółów znajdziesz na stronie konferencji **[https://plnog.pl/pl/plnog-live/](https://plnog.pl/pl/plnog-live/?ref=innasiec.pl)** ## ZNIŻKA dla społeczności inna sieć: Pamiętaj, aby zaznaczyć 28-29 września w swoim kalendarzu i podczas [rejestracji](https://app.evenea.pl/event/plnog-live?ref=innasiec.pl) skorzystaj z kodu uprawniającego do 10% zniżki na bilety – **INNASIEC.** ### Od programowania do CCIE - wywiad z Piotrem Wojciechowski URL: https://innasiec.pl/wywiad-z-piotrem-wojciechowski/ Last updated: 2022-04-26T09:03:55.000Z \[et\_pb\_section fb\_built=”1″ admin\_label=”section” \_builder\_version=”4.16″ global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\]\[et\_pb\_row admin\_label=”row” \_builder\_version=”4.16″ background\_size=”initial” background\_position=”top\_left” background\_repeat=”repeat” global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”4.16″ custom\_padding=”|||” global\_colors\_info=”{}” custom\_padding\_\_hover=”|||” theme\_builder\_area=”post\_content”\]\[et\_pb\_text admin\_label=”Text” \_builder\_version=”4.17.0″ background\_size=”initial” background\_position=”top\_left” background\_repeat=”repeat” hover\_enabled=”0″ global\_colors\_info=”{}” theme\_builder\_area=”post\_content” sticky\_enabled=”0″\] ## Piotr Wojciechowski, CCIE #25543 Piotr to jedna z najbardziej rozpoznawalnych osób w polskiej branży IT. Architekt rozwiązań sieciowych oraz partner w Inleo z 15-letnim stażem. Posiada tytuł CCIE od ponad 10 lat. Stały prelegent i członek rady programowej PLNOG. Administrator największego forum fanów Cisco w Polsce [ccie.pl](https://ccie.pl/?ref=innasiec.pl). Entuzjasta automatyzacji oraz autor w [szkoladevnet.pl](https://szkoladevnet.pl/?ref=innasiec.pl) **Piotra możecie znaleźć w Social Media:** - [Profil na Linkedin](https://www.linkedin.com/in/peper/?ref=innasiec.pl) - [Profil na Twitter](https://twitter.com/PiotrW%5FCCIE?ref=innasiec.pl) Jeśli interesuje Cię **automatyzacja infrastruktury IT** koniecznie zapisz się na [newsletter szkoladevnet.pl](https://szkoladevnet.pl/sekrety/?ref=innasiec.pl). Samo mięsko, gorąco polecam. ## Z wywiadu dowiesz się: - Co to jest DevNet? - Ile zajmują przygotowania do CCIE? - Czy czeka nas koniec tradycyjnych sieci zarządzanych z CLI? **Rafał Rudewicz: Piotr, to ogromna przyjemność móc z Tobą porozmawiać. Jesteś prawdziwym ekspertem w sieciach komputerowych. W zeszłym roku była nie lada rocznica, Twój tytuł CCIE skończył 10 lat. Jak Twoim zdaniem na przestrzeni tych lat zmieniła się branża?** Piotr Wojciechowski: Dziękuję za zaproszenie. Rzeczywiście **ponad 10 lat z tytułem CCIE minęło i ponad 15 lat pracy w branży IT.** W tym czasie branża przechodziła ciągłą ewolucję, miejscami rewolucję. Pewne technologie odchodziły w przeszłość, inne okazywały się na tyle elastyczne, że znajdowały zastosowanie w obszarach, do których nie zostały wymyślone. Zmieniła się moc obliczeniowa urządzeń dostępnych na rynku i architektura, a zamiast serwerowni nagle wszyscy znaleźliśmy się w tak zwanej chmurze. O zmianach, jakie zaszły, to można by książkę napisać, a nie krótką odpowiedź na pytanie 🙂 **RR: Wspominałeś kiedyś, że zdobycie CCIE zajęło Ci 4 lata, z czego między CCNP, a samym CCIE minęły 2 lata. Czy takie przygotowania faktycznie wyglądają tak, że żegnasz się z rodziną i przez ten czas tylko nauka i nauka?** PW: Inżynier uczy się cały czas. Jeżeli się nie uczę, nie poznaję nowych technologii I rozwiązań, tak naprawdę się cofam. To ile czasu zajmuje przygotowanie się do egzaminów – bo nie jest to jeden egzamin – ze ścieżki CCIE uzależnione jest od indywidualnych możliwości kandydata, ale także od tego jak wygląda jego codzienna praca. Na pewno ułatwione zadanie mają inżynierowie, którzy pracują u dużych integratorów, gdyż oni spotykają się z różnymi technologiami na co dzień, przy bardzo różnych projektach. **Bez dużej ilości praktyki w tak zwanym „polu walki u klienta” jest o wiele trudniej przygotować się do egzaminów na poziomie eksperckim, a nawet do tych ze ścieżki Professional czy Specialist.** Książki, czy nawet własne labowanie nie są w stanie oddać rzeczywistych problemów i wpływu na siebie nawzajem różnych technologii, czy mechanizmów. Dlatego na pewno trudniej jest przygotować się do CCIE administratorom, którzy z natury zajmowanego stanowiska zamknięci są w ograniczonym zbiorze technologii i pracują ciągle na jednym znanym „organizmie”. To wyłączenie się z życia prywatnego to trochę taka plotka, w której jest spore ziarnko prawdy. Pomijając wspomniane już czynniki, które pozytywnie lub negatywnie wpływają na poznawanie technologii, nie da się od tak od życia wyłączyć. Zmienia się po prostu work-life balance. Jak każde egzaminy, także i te z CCIE mają swoją specyfikę. I rzeczywiście, do części praktycznej człowiek musi się na ten miesiąc czy dłużej mocno odłączyć od świata i po prostu skupić na intensywnej nauce, także rzeczy specjalnie pod egzamin, które w realnym świecie raczej nie występują. Nauczyć się pewnej metodyki pracy z zadaniami, choćby po to, by zmieścić się w wyznaczonym limicie czasu. Przestać myśleć, by coś zrobić najlepiej, ale często tak by po prostu działało **RR: Obecnie przyjmuje się, że codziennie swój numer CCIE otrzymują 4 nowe osoby. Czy uważasz, że obecnie łatwiej jest zdobyć ten tytuł?** PW: Tylko tyle? Jakbym miał strzelać, to dawałbym, że z 10\. Wydaje mi się, że generalnie **trudność egzaminu została na tym samym poziomie co 10 lat temu,** zmieniły się trochę warunki brzegowe. Jak zdawałem to cały egzamin był jednym dużym labem bez podziału na część wdrożeniową i troubleshooting. Stara forma mi zresztą bardziej odpowiadała. Nowa jest dla wielu osób trudniejsza, bo nie ukrywajmy troubleshooting nie jest prostą sprawą. Ja miałem tego typu zadania wpisane po prostu w scenariusz. Ułatwieniem na pewno jest za to fakt, że bardzo dużo możesz przećwiczyć na wirtualnych urządzeniach, bez konieczności budowania własnego laboratorium, bądź płacenia za dostęp do zdalnych labów. Dostępnych jest na rynku o wiele więcej materiałów (workbooków), choć z ich jakością często różnie bywa. **RR:** **Muszę Cię o to zapytać. Prowadzisz dwa tematyczne blogi, jesteś administratorem i udzielasz się na forum [CCIE.pl](http://ccie.pl/?ref=innasiec.pl), jesteś stałym prelegentem i członkiem rady programowej PLNOG’a oraz organizujesz webinary i to wszystko łączysz razem z pracą zawodową i życiem osobistym. Jak Ty znajdujesz na to wszystko czas? Jaki jest Twój sekret?** PW: Sporo tego jest, a nawet jeszcze więcej, bo ostatnie miesiące przyniosły współpracę z Sekurakiem i wspólne eventy on-line. Od ponad 10 lat piszę też różne artykuły, jestem twórcą paru modułów do Ansible i członkiem grupy opiekującej się modułami do Docker-a w tym projekcie. Parę jeszcze rzeczy by się znalazło. Nie mam jakiegoś przepisu, poza tym, że robię w większości to, co lubię. **Idę wbrew wszelkim mądrym głowom, które nakazują oddzielać życie prywatne i zawodowe.** **U mnie to jest jeden worek, w którym są w kalendarzu zaznaczone momenty, gdy jestem dla biznesu niedostępny.** Zawsze starałem się tak dobierać pracę, aby była zgodna z moim zegarem biologicznym, a jestem typową sową, która szczyt aktywności ma między 18 a 3\. Do życia na obrotach potrzebuję ciągłych wyzwań oraz związanych z nimi sukcesów i porażek. I fajnych ludzi, z którymi projekty można realizować. ![szkoladevnet.pl](https://innasiec.pl/content/images/wordpress/2020/07/szkoladevnet.jpg) **RR: Jak wcześniej wspomniałem, prowadzisz dwa blogi. Jednym z nich jest od niedawna [szkoladevnet.pl](http://szkoladevnet.pl/?ref=innasiec.pl). Możesz trochę opowiedzieć o tej inicjatywie?** PW: To, że świat IT się zmienia i idzie w kierunku automatyzacji i „programowalności” widać już od dawna, jednakże świat sieciowy stał dość mocno z boku tego. **J** **akieś trzy lata temu Robert Ślaski na PLNOG miał prezentację „[Jak nie zostać bezrobotnym sieciowcem](https://youtu.be/HzHcr2Rvvfo?ref=innasiec.pl)”, w której zgrabnie ubrał, jak się świat IT zmienia.** Chyba na kolejnej edycji z Robertem zrobiliśmy wspólnie sesje, które wprowadzały w sposób praktyczny sieciowców w kwestie automatyzacji i programowania urządzeń sieciowych. W międzyczasie jeszcze bardziej zatarła się granica pomiędzy światem sieciowym a systemowym i storage-owym. I tak naprawdę mówimy teraz o zarządzaniu i programowaniu infrastruktury IT. **[Szkoladevnet.pl](http://szkoladevnet.pl/?ref=innasiec.pl) ma z jednej strony za zadanie edukować i pokazywać różne rozwiązania z zakresu automatyzacji infrastruktury IT, z drugiej zaś pokazywać moje i nie tylko moje kompetencje w tym obszarze i w ten sposób pozwalać na zdobywanie nowych klientów dla mnie oraz dla [Inleo](https://inleo.pl/?ref=innasiec.pl), w którym od roku jestem technologicznym partnerem.** Coraz więcej różnych projektów, czy konsultacji związanych jest właśnie z automatyzacją wdrażania i zarządzania infrastrukturą IT oraz aplikacjami. Same produkty, Software Defined Cokolwiek pokazują, że czas ręcznego zarządzania odszedł do przeszłości. **RR: Czym dla Ciebie jest DevNet? Czy nie jest to czasem taki marketingowy Buzz word wokół coraz bardziej widocznej wszędzie automatyzacji?** PW: Oczywiście, że jest. **Dobrze skrojony przez Cisco clickbait, który sam w sobie od czasu wypuszczenia go na rynek ewoluował.** To już nie są skrypty w języku Python, zaprogramowane kontenery działające wewnątrz wybranych urządzeń sieciowych. W tym momencie **pod hasłem DevNet kryje się masa zagadnień związanych z zarządzaniem całością infrastruktury**, z wykorzystaniem powszechnie dostępnych darmowych i komercyjnych narzędzi takich jak Ansible, Terraform, czy NSO. Mniej jest już takiego czystego programowania i coraz bardziej zaciera się granica pomiędzy światem sieci a nie-sieci. **RR: W jednym z wywiadów, które udzieliłeś, mówiłeś, że Twoje początki w IT to było programowanie, dopiero później przeskoczyłeś na sieci komputerowe. Devnet to dla Ciebie taki powrót do korzeni?** PW: Z tymi korzeniami to tak naprawdę nigdy nie zerwałem. **Mam to szczęście, że nauczono mnie myśleć logicznie o strukturze programu, algorytmu, rozwiązywaniu problemu, a nie pisaniu kodu w konkretnym języku programowania.** To podstawowy błąd, który moim zdaniem popełnia się na uczelniach od bardzo wielu lat. Skupia się na języku, a nie na algorytmicznym rozwiązaniu problemu. Zresztą te braki widać u wielu młodych inżynierów, którzy uczą się, że muszą skorzystać z konkretnej informacji, czy polecenia do rozwiązania problemu sieciowego, zamiast myśleć logicznie nad nim. Myślę, że nauka logicznego myślenia była jednym z motorów mojej kariery. Wracając zaś do samego programowania, to narzędzia są teraz całkowicie inne. Teraz programuję w Python-ie, a nie w C, C++, czy Javie, od których zaczynałem. Pamiętam, że wracając po 15-letniej przerwie do aktywnego programowania, z ciekawości nauczyłem się podstaw języka Swift. **Pisanie playbooków w Ansible czy skryptów Terraforma to też forma programowania, o czym wiele osób zapomina.** **RR: W tym roku Cisco uruchomiło swoją ścieżkę certyfikacyjną DevNet. Juniper również posiada w swojej ofercie podobną ścieżkę. Warto się nimi zainteresować, czy lepiej skupić się na samych rozwiązaniach do automatyzacji?** PW: Na pewno warto, ale trzeba mieć świadomość tego, że na nich się świat nie zamyka. Pamiętajmy, że są to ścieżki certyfikacyjne konkretnych vendorów, którzy w ten sposób chcą promować własne produkty i rozwiązania. Nie ma w tym nic złego oczywiście. Natomiast jest to pewien wycinek całego ekosystemu automatyzacji. Trzeba pamiętać, że istnieje trochę większy świat. Co więcej, jest to świat, który obejmuje nie tylko poletko sieciowe, ale całą infrastrukturę IT, w którym pewne standardy ustanowili programiści oraz grupy odpowiedzialne za systemy, a **automatyzacja zadań w obszarze sieci jest najczęściej elementem większego mechanizmu**. **W szkole DevNet początkowo nacisk będę kładł na elementy związane z programowaniem w języku Python, a także na wykorzystanie różnego rodzaju narzędzi i łączenie ich w jeden działający ekosystem, za pomocą którego będzie można wdrażać szeroko pojętą automatyzację we własnym labie, a potem przedsiębiorstwie.** Nie będzie to podążanie ścieżką certyfikacyjną, którą proponuje Cisco, choć na pewno wiele jej elementów będzie się pojawiać. Pierwszy produkt, o jakim myślę, który z tego projektu może powstać, będzie właśnie związany z wykorzystaniem różnych narzędzi do stworzenia własnego systemu automatyzacji infrastruktury. Będzie to też dobry punkt, by pokazać, jak wiele nowych technologii inżynier sieciowy teraz musi nowych poznać i umieć połączyć ze sobą. **RR: Komu będzie łatwiej zacząć z DevNet? Osobie z doświadczeniem w sieciach czy programiście?** PW: Wydaje mi się, że jedni i drudzy będą mieli równie trudne zadanie. Pamiętajmy, że programiści uczeni są języków programowania i algorytmów. Specjalizują się w programowaniu frontendu, backendu czy specjalistycznych rozwiązań. Często nie mają zbyt dużego rozeznania w technologiach sieciowych, nie rozumieją protokołów. Pojęcia takie jak tablica routingu, czy różnice między portem L2 i L3, są dla nich abstrakcyjne. Oczekują pewnego zbioru danych wejściowych oraz interfejsu API, by zaprogramować zadaną funkcjonalność w aplikacji. Obca jest im też metodyka prowadzenia wdrożeń i przygotowywania się do nich. Z drugiej strony inżynierzy sieciowcy mają problemy ze zrozumieniem idei programowania, jak wykorzystać konkretne mechanizmy, budować i zarządzać strukturami danych, czy pisać kod w konkretnych językach programowania. Abstrakcyjne są dla nich pojęcia typu CI/CD, czy wspólna praca nad kodem. **DevNet i automatyzacja pozwalają się tym dwóm grupom informatyków spotkać pośrodku.** **RR: Na co dzień pracujesz jako Network Solution Architect. Czy klienci, z którymi współpracujesz, od początku oczekują wdrażania automatyzacji, czy jest to jeszcze temat traktowany marginalnie?** PW: Bardzo dużo zależy tutaj od konkretnego klienta. **Wiele** **polskich przedsiębiorstw, także tych z czołówki jest świadoma znaczenia automatyzacji i zmieniających się technologii.** Wdrażanie takich rozwiązań jak konteneryzacja wręcz wymuszają na nich odejście od konsoli na rzecz szeroko pojętej programowalności. Cześć robi to świadomie, budując swoje wieloletnie strategie migracji pomiędzy technologiami, uwzględniając głosy analityków i ekspertów rynku, którzy pokazują, w którym kierunku zmiany będą najbardziej prawdopodobne, w którym kierunku podąża świat. W innym przypadku początkiem były oddolne zmiany ludzi, którzy chcieli po prostu sobie ułatwić pracę i w ten sposób wdrożyli pierwsze mechanizmy automatyzacji i spowodowali lawinę zmian w swoich firmach. Oczywiście jest **nadal bardzo duża grupa przedsiębiorców, którzy traktują automatyzację jako nowinkę, której się boją. Wiele osób wręcz uważa ją za zagrożenie nie tyle dla infrastruktury, którą zarządzają, ale po prostu dla własnych pozycji.** [ ![](https://innasiec.pl/content/images/wordpress/2020/09/7sekretow-banner-w.jpg) ](https://szkoladevnet.pl/sekrety/?ref=innasiec.pl) **RR: Coraz więcej firm kładzie spory nacisk na automatyzację. Czy to oznacza koniec tradycyjnie zarządzanych sieci komputerowych, głównie z poziomu CLI?** PW: Wszystko zależy gdzie. **Tam, gdzie zostały stworzone kompletne narzędzia automatyzacji, Software Defined Wszystko, tam konsola odchodzi w niebyt.** Takich rozwiązań jest i w najbliższych czasach jeszcze będzie mało. Większość firm będzie działać na rozwiązania hybrydowych, wymieszanych, czyli będzie stare i nowe podejście. **Nawet jeżeli firma samodzielnie buduje sobie cały mechanizm automatyzacji, to znajomość CLI nie może pójść w zapomnienie,** bo przecież może się zdarzyć, że te mechanizmy z jakiegoś powodu zawiodą i przestaną działać. Wtedy trzeba będzie sobie radzić dawnymi tekstowymi metodami. **RR: Jaka jest Twoja rekomendacja dla osób dopiero zaczynających pracę w sieciach komputerowych? Lepiej skupić się na typowych podstawach czy od razu iść w stronę DevNet?** PW: Iść środkiem. **Myślę, że uaktualnione w ostatnich latach programy certyfikacji CCNA/CCNP, czy ich odpowiedniki pozostałych vendorów dobrze pokazują, w jakim kierunku zmierza świat, ale także skąd idzie zmiana.** Nie zapominajmy także, że nauka nie może być oderwana od tego, co robimy zawodowo. Dużo czasu na pewno trzeba będzie poświęcać na to, co w firmie w danym momencie się robi na własnym stanowisku pracy. Nie zapominajmy jednak, że w informatyce jest tak, że jeżeli się nie uczymy, to nie stoimy w miejscu, a się cofamy. **RR: Piotr, dzięki za poświęcony czas!** PW: Cała przyjemność po mojej stronie. \[/et\_pb\_text\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\] ### 10 sposobów na łatwiejszą pracę z cli cisco ios URL: https://innasiec.pl/10-sposobow-na-latwiejsza-prace-z-cli-cisco-ios/ Last updated: 2024-07-01T13:37:30.000Z W dzisiejszych czasach większość opcji konfiguracyjnych dostępnych jest z poziomu GUI. Z tego powodu sposób naszej interakcji ze sprzętem oraz systemami cały czas ewoluuje w stronę coraz większego poziomu abstrakcji. Odchodzimy od modelu, w którym administrator definiował jak coś ma działać, do modelu co i z czym ma działać. Jest to oczywiście świetnie skalujące się rozwiązanie, które zmniejsza potrzebne nakłady pracy, niejednokrotnie skracając czas dostarczenia usługi z dni do kilku chwil. Jednak za cenę naszej wygody tracimy w pewnym stopniu wiedze co tak naprawdę dzieje się pod maską. Zawierzamy oprogramowaniu, że robi to co chcemy. Dopóki wszystko działa jak powinno GUI jest ok. Kiedy jednak przychodzi czas na troubleshooting, cóż pora zakasać rękawy i powitać czarne okno terminala jak starego przyjaciela. Poniżej poznasz moje 10 sposób na szybszą i efektywniejszą pracę z CLI dla systemu Cisco IOS. ## Terminal lenght 0 Z pewnością nie raz spotkałeś się z sytuacją gdy wyświetlana konfiguracja nie mieści się na ekranie. Chcąc czy nie chcąc, zmuszony jesteś do miarowego wciskania spacji, do momentu, aż znajdziesz interesujące Cię informacje. Dzieje się tak, ponieważ standardowo urządzenia pracujące pod kontrolą systemu Cisco IOS -nie mylić z Apple iOS- wyświetla tylko 24 linijki. Na szczęście wartość ta może być dowolnie modyfikowana. Stosując więc polecenie t**erminal lenght 0** całkowicie wyłączamy limitowanie ilości linii tekstu, które mogą pojawić się na ekranie. ## Używaj tcl Używanie skryptów jest super, każdy o tym wie. Pozwalają na automatyzacje zadań oraz uniknięcie pomyłek. Cisco na większości platform pozwala na korzystanie z powłoki tcl, do której stworzyła własne polecenia. Poniżej prosty skrypt: foreach address { 1.1.1.1 2.2.2.2 3.3.3.3} { ping $address} W tcl mamy również możliwość przygotowania pliku z alternatywną konfiguracją, którą możemy podmienić w dowolnym momencie puts [open "flash:nowy_konfig.txt" w+] { Twoj konfig tutaj } ## Używaj tabulatora Wiem, za ten punkt powinienem dostać nagrodę „captain obvious”, ale nadal spotykam osoby, które wpisują całe komendy w wierszu poleceń. Interpreter poleceń IOS po naciśnięcie tabulatora automatycznie dopełnia aktualnie wpisywane polecenie. Warunkiem jest, że istnieje tylko jedna możliwa wersja polecenia do uzyskania z ciągu znaków, które wprowadziliśmy do tej pory. ## Używaj skrótów **Switch#sh ip int br** Interface IP-Address OK? Method Status Protocol GigabitEthernet0/0 192.168.10.1 YES unset up up GigabitEthernet0/1 192.168.20.1 YES unset up up GigabitEthernet0/2 192.168.30.1 YES unset up up Kolejny punkt, który dla osób mających już jakieś doświadczenie z pracą z terminalem wydaje się oczywisty. Podobnie jak w przypadku pracy z tabulatorem interpreter poleceń potrafi wykonać każde polecenie, o ile, wprowadzone przez nas skróty wskazują wyłącznie na jedno polecenie. Użyty w przykładzie skrót **sh (-ow) ip int(erfaces) br(ief)** wykona się poprawnie. Jednak jeśli **„int”** skrócimy do **„i”** to polecenie nie zostanie wykonane, ponieważ skrót in może oznaczać więcej opcji niż tylko interfaces. ## Używaj znaku „?” **Switch#show ip i?** igmp interface irdp Znak zapytania jest swoistym wołaniem o pomoc. Kiedy z niego korzystasz, CLI podpowie Ci wszystkie możliwe do wykorzystania opcje. Jeśli chcesz coś skonfigurować, a nie pamiętasz dokładnej składni polecenia, nic nie stoi na przeszkodzie, aby z użyciem znaku zapytania sprawdzać każdą możliwą opcję po kolei. Zaoszczędzi Ci to mnóstwo czasu, nie musisz już wkuwać na pamięć wszystkich kombinacji poleceń, ani marnować czasu w google na szukaniu odpowiedniej składni. ## Używaj „do” R4(config)#sh ip int br ^ % Invalid input detected at '^' marker. **R4(config)#do sh ip int br** Interface                  IP-Address   OK? Method Status             Protocol GigabitEthernet0/0         10.3.4.4   YES NVRAM  up                    up     GigabitEthernet0/1         10.1.4.4     YES NVRAM  up                    up     GigabitEthernet0/2         148.4.8.4    YES NVRAM  up                    up     Loopback0                  4.4.4.4      YES NVRAM  up                    up R4(config)# Ogromnym minusem Cisco IOS w porównaniu do konkurencyjnych systemów jest brak możliwości wykonania poleceń typu **„show”** w trybie konfiguracyjnym. Nie jednokrotnie chcemy natychmiast sprawdzić, czy wprowadzone w konfiguracji zmiany przyniosły oczekiwany skutek. Polecenie **„do”** pozwala na wykonanie polecenia z trybu użytkownika bezpośrednio w trybie konfiguracyjnym. ## Używaj „end” R4(config)#interface gigabitEthernet 0/0 **R4(config-if)#end** R4# Polecenie „end” nie jest może najważniejszą komendą dostępną w systemie IOS, ale potrafi zaoszczędzić sporo czasu, jeśli musimy często z niej korzystać. Co więc robi end? Otóż to polecenie przenosi nas z trybu konfiguracyjnego natychmiast do trybu **enable**. ## Filtruj informacje Jeśli korzystałeś wcześniej z terminalowego bash-a z pewnością ucieszy Cię możliwość stosowania pipe – pionowej kreski „|” do filtrowania wiadomości. Ta mała kreska sprawia, że wynik wydanego polecenia jest przekazywany do kolejnego, które wyświetli tylko żądanej przez informacje. **R4#show version | include register** Configuration register is 0x2102 Opcja include, sprawia, że wyświetlą się, tylko te linie gdzie znajduje się szukany ciąg znaków. Jest to bardzo przydatna opcja gdy szukamy konkretnej informacji. W przykładzie interesuje nas, tylko jak jest skonfigurowany register. **R4#show  ip int br | exclude unassigned**    Interface                  IP-Address   OK? Method Status             Protocol GigabitEthernet0/0         10.3.4.4   YES NVRAM  up                    up      GigabitEthernet0/1         10.1.4.4     YES NVRAM  up                    up      GigabitEthernet0/2         148.4.8.4    YES NVRAM  up                    up      Loopback0                  4.4.4.4      YES NVRAM  up                    up Drugą opcją jest exclude, która jest przeciwieństwem include, czyli otrzymamy wszystkie linie poza tymi, które zawierają wykluczony ciąg znaków. ## Stosuj wyrażenia regularne Wyrażenia regularne to sposób na opisanie pewnego wzorca. Dzięki ich zastosowaniu jesteśmy w jeszcze bardziej precyzyjny sposób określić jakich informacji szukamy. Stosując takie wyrażenia, możemy uzyskać za pomocą jednego polecenia informacje, które normalnie wymagałby kilku instrukcji. SW2#show  interfaces status | in 0/[1-2] Gi0/1                        connected    1            auto   auto unknown Gi0/2                        connected    trunk        auto   auto unknown Dzięki stosowaniu nawiasów kwadratowych możemy określić zakres liczb, który ma zostać dopasowany do wzorca. SW2#show  interfaces status | in Gi./2 Gi0/1                        connected    1            auto   auto unknown Gi0/2                        connected    trunk        auto   auto unknown W tym przypadku otrzymamy status wszystkich portów kończących się liczbą 2\. Znak \_ oznacza spacje, tak więc do dopasowania pasuje tylko liczba 2, wykluczając uzyskanie danych z portów kończących się na liczbach z zakresu 20-29\. Dodatkowo kropka przy Gi oznacza dopasowanie pojedynczego znaku. SW2#show run | i ip route.* 192.168.10.1 ip route 192.168.1.0 255.255.255.0 192.168.10.1 W poprzednim przypadku kropka oznacza dopasowanie pojedynczego znaku. Jeśli do kropki dodamy gwiazdkę, uzyskamy dopasowanie dowolnego ciągu znaków. Dzięki tak skonstruowanemu poleceniu możemy wyszukać wszystkie statycznie skonfigurowane trasy. **SW2#show run | i ^(no_)*ip dhcp snooping** ip dhcp snooping vlan 1-10,12-299,301-398,400-434,436-603,607-679,683-4094 no ip dhcp snooping information option no ip dhcp snooping verify mac-address ip dhcp snooping W tym przykładzie interesuje nam wyłącznie globalna konfiguracja dhcp snooping, bez konfiguracji interfejsów. Dlatego używamy ^ co oznacza, że linia musi się zaczynać od szukanego wzorca. W naszym przypadku stosujemy (no\_) co oznacza, że linia może się zaczynać od negacji – słówko „no” razem ze spacją. \* mówi nam, że poprzednio użyty fragment może wystąpić 0 lub więcej razy. Poniżej lista dostępnych modyfikatorów:\_ – spacja^ – początek$ – koniec. – pojedynczy znak\* – 0 lub więcej znaków+ – Musi wystąpić pojedynczy znak lub wzorzec? – Może wystąpić 0 lub 1 znak lub wzorzec ## Stosuj skróty klawiszowe Skróty klawiszowe przydają się nie tylko w pracy z edytorami tekstu. Pomagają i znacznie ułatwiają pracę bez korzystania z myszki, dzięki czemu możemy pisać praktycznie bez odrywania rąk od klawiatury. Poniżej przykłady najpopularniejszych skrótów klawiszowych dla Cisco IOS. - **Ctrl+T:** Zamienia pozycjami dwa ostatnie znaki w linii. - **Ctrl+K:** Usuwa wszystko od kursora do końca linii - **Ctrl+X:** Usuwa wszystko od kursora do początku linii - **Ctrl+C:** Wychodzi z trybu konfiguracji - **Ctrl+W:** Usuwa dane słowo - **Ctrl+U:** Usuwa całą linijkę - **Ctrl+Shift+6+X:** Przerywa obecne zadanie ## Podsumowanie Właśnie poznałeś moje 10 sposób na szybszą i efektywniejszą pracę ze sprzętem Cisco. Z pewnością nie są to wszystkie tricki, możliwe do zastosowania. Jestem ogromnie ciekawy, z jakich tricków Ty korzystasz? Zostaw swoje najlepsze sposoby na pracę z CLI w komentarzu. ### 5 darmowych certyfikatów Juniper Networks URL: https://innasiec.pl/darmowy-certyfikat-juniper/ Last updated: 2024-07-01T13:33:42.000Z **Juniper Networks** jest drugim po Cisco najpopularniejszym producentem sprzętu w sieciach korporacyjnych oraz jednym z najchętniej wybieranych wśród ISP. Nie można również nie wspomnieć, o niedawno dołączonych do portfolio rozwiązaniach Wireless Mist. W ofercie znajdują się również gotowe rozwiązania dla Data Center oraz Cloud computingu. To wszystko złożyło się na spójne portfolio produktów, oferujących spójny ekosystem zarządzany z poziomu jednego systemu operacyjnego JUNOS. Jedni pokochali ten system od pierwszego kontaktu, inni od razu znienawidzili, ale absolutnie nikt nie przeszedł obojętnie. Teraz kiedy już wiesz, dlaczego warto zainteresować się programem certyfikacyjnym Juniper Networks, porozmawiajmy jak zgarnąć darmowego certa. ![](https://innasiec.pl/content/images/wordpress/2020/08/juniper-junos-genius.jpg) ## Junos genius Junos Genius to platforma będąca połączeniem materiałów do samodzielnej nauki, testowych egzaminów czy materiałów video dostępnych wcześniej w ramach fast-tracków. Dodatkowo dostępne są aplikacje na iOS i Androida, abyś mógł w dowolnym miejscu kontynuować naukę. **Link do portalu:** [Juniper Open Learing Platform](https://learningportal.juniper.net/juniper/user%5Factivity%5Finfo.aspx?id=11478&ref=innasiec.pl) **W ramach Juniper Open Learning na platformie Junos Genius Juniper oferuje darmowe vouchery na egzaminy z poziomu Associate:** - [Junos, Associate (JNCIA-Junos)](https://learningportal.juniper.net/juniper/user%5Factivity%5Finfo.aspx?id=12035&ref=innasiec.pl) - [Security, Associate (JNCIA-SEC)](https://learningportal.juniper.net/juniper/user%5Factivity%5Finfo.aspx?id=12052&ref=innasiec.pl) - [Cloud, Associate (JNCIA-Cloud)](https://learningportal.juniper.net/juniper/user%5Factivity%5Finfo.aspx?id=12034&ref=innasiec.pl) - [Automation and DevOps, Associate (JNCIA-DevOps)](https://learningportal.juniper.net/juniper/user%5Factivity%5Finfo.aspx?id=12069&ref=innasiec.pl) - [Design, Associate (JNCDA)](https://learningportal.juniper.net/juniper/user%5Factivity%5Finfo.aspx?id=12096&ref=innasiec.pl) Dodatkowo w ramach JOL możesz zapisać się na darmowe szkolenia online z dowolnego poziomu zaawansowania. Obowiązują oczywiście limity uczestników. ## JAk otrzymać Darmowy Voucher? Vouchery nie są do końca darmowe. Jest kilka warunków, które musisz spełnić, aby taki uzyskać, a o to one: 1. Zapisz się na dowolne szkolenie z poziomu Associate 2. Ukończ wszystkie szkolenia w ramach danego poziomu 3. Zdaj końcowy egzamin na minimum 70% 4. Ciesz się z zaoszczędzonych 200$ **Pamiętaj, że do końcowego egzaminu możesz podejść tylko 3 razy, ale dostaniesz tylko jeden voucher. PearsonVue wymaga, aby osoba egzaminowana miała ukończone 18 lat.** Prawda, że nie są to wygórowane warunki? Vouchery mają krótki okres ważności, mój miał około 30 dni. ## Kilka UWAG na KONIEC Pozwól, że na koniec podzielę się z Tobą jeszcze kilkoma uwagami: 1. Nie przyśpieszaj szkoleń, pytania na egzaminie potrafią być szczegółowe 2. Zrób jak najwięcej egzaminów próbnych, pytania na tym prawdziwym są bardzo podobne 3. Pamiętaj, że w ramach każdej z 5 ścieżek możesz otrzymać tylko 1 darmowy voucher 4. Do egzaminu możesz podejść tylko w formie zdalnej **Jestem bardzo ciekawy czy zdecydujesz się skorzystać z oferty Juniper Networks. Koniecznie daj znać w komentarzu!** **Aktualizacja 25.09.2020** Jak zauważył Piotr Małek na linkedin Juniper nie wysyła już darmowych voucherów. Aktualnie zniżka na egzamin wynosi 75%. Szkolenia na portalu Junos Genius nadal są darmowe. **Aktualizacja 4.03.2021** Platforma Juniper Genius została zamknięta. Aktualnie szkolenia dostępne są na Juniper Open Learning. ### Wojownik sieci (Network Warrior) URL: https://innasiec.pl/wojownik-sieci-network-warrior/ Last updated: 2024-06-25T06:51:12.000Z Nieważne czy jesteś świeżo po zdaniu CCNA, czy jesteś już zaprawiony w sieciowym boju. Wojownik sieci oferuje coś, czego nie znajdziesz nigdzie indziej. Nie znajdziesz tu suchych informacji, które mogą być przydatne w przygotowaniach do egzaminu, a nie mających zastosowania w prawdziwym życiu. **Na ponad 700 stronach autor przekazuje wiedzę praktyczną, która bez wątpienia pozwoli Ci wykonać swoją robotę.** ## O autorze ![Gary A. Donahue](https://innasiec.pl/content/images/wordpress/2020/08/Gary-A-Donahue.jpeg) Gary A. Donahue w skrócie GAD – często używa tego skrótu w przykładach w książce – posiada ponad 35 lat doświadczenia w branży. W swojej karierze pracował jako programista, inżynier TAC czy konsultant i inżynier sieci. Obecnie prowadzi własną firmę konsultingową GAD Technologies. ## Pierwsze wrażenia Do przeczytania wojownika sieci zbierałem się już jakiś czas. Właściwie przeleżał na wirtualnej półce Kindle’a dobre kilka miesięcy. Network warrior według dystrybutora ma dokładnie 788 (według mojego Kindle’a niecałe 15 godzin czytania). Nie jest to więc pozycja na jeden wieczór. Dodatkowo ze względu na tematykę, nie spodziewałem się, że będzie się ją lekko czytało. Wojownika sieci zaczyna się od trochę przydługiej przedmowy oraz podziękowań, ale pisząc takiego kolosa autor z pewnością ma komu dziękować za wsparcie i pomoc. Sama książka jest bardzo dobrze poukładana tematycznie. Zaczynamy od podstaw, powoli przechodząc do coraz bardziej zaawansowanych zagadnień. Na każdej stronie widać, że nasz przewodnik w tej podróży po zakamarkach sieci posiada ogromne doświadczenie. Dzięki temu jesteśmy często raczeni anegdotami z prawdziwych zdarzeń, co zaliczam na plus. Lepiej uczyć się na cudzych błędach. Bardzo spodobała mi się sama konwencja książki, o której autor mówi, że jest to rozmowa inżyniera z inżynierem. Wszystko jest wykładane w taki sposób, jakby było tłumaczone koledze. Nie ma tu zbędnego rozwodzenia się nad teorią, dlaczego coś działa tak, a nie inaczej. Dostajemy samo mięsko, które jest przydatne w codziennej pracy. ## Dla kogo jest Wojownik sieci? Wojownik sieci to książka dla osób, które na co dzień pracują ze sprzętem firmy Cisco, lub chcą poszerzyć swoją wiedzę z zakresu administracji ich rozwiązaniami. Omawiane zagadnienia są tłumaczone w sposób zrozumiały i szczegółowy, przy założeniu, że czytelnik posiada wiedzę przynajmniej na poziomie CCNA. Jeśli dopiero zaczynasz przygodę z sieciami, to zdecydowanie lepiej spójrz w stronę podręczników Ciscopress i dopiero wtedy wróć do tej pozycji. Każdy prezentowany temat posiada przykłady konfiguracji czy wyniki komend z CLI. **W większości przypadków dostajemy przykłady z TRZECH różnych systemów Cisco: CatOS, IOS oraz NX-OS.** Dzięki temu możesz od razu testować konfigurację w swoim własnym środowisku. ## Poruszane zagadnienia Tematyką książki jest oczywiście zarządzanie sieciami komputerowymi firmy Cisco. Nie ma sensu wymyślać koła na nowo, dlatego pozwoliłem sobie skopiować spis treści: Przedmowa (9) 1\. Co to jest sieć? (15) 2\. Huby i switche (19) 3\. Autonegocjacja (33) 4\. VLAN-y (39) 5\. Trunking (51) 6\. Protokół VTP (61) 7\. Agregacja portów (73) 8\. Spanning Tree (91) 9\. Routing i routery (113) 10\. Protokoły routingu (125) 11\. Redystrybucja (151) 12\. Tunele (169) 14\. Mapy routingu (197) 15\. Algorytmy przełączania w routerach Cisco (207) 16\. Przełączniki wielowarstwowe (221) 17\. Przełączniki wielowarstwowe Cisco 6500 (231) 18\. Cisco Nexus (263) 19\. Cechy przełącznika Catalyst 3750 (313) 20\. Nomenklatura telekomunikacyjna (335) 21\. T1 (347) 22\. DS3 (367) 23\. Frame Relay (377) 24\. MPLS (397) 25\. Listy dostępu (403) 26\. Uwierzytelnianie w urządzeniach Cisco (425) 27\. Podstawy działania zapór sieciowych (445) 28\. Konfiguracja zapór sieciowych ASA (455) 29\. Sieci bezprzewodowe (495) 30\. VoIP (507) 31\. Podstawy QoS (555) 32\. Projektowanie QoS (571) 33\. Sieci przeciążone (589) 34\. Sieci konwergentne (595) 35\. Projektowanie sieci (605) 36\. Projektowanie sieci IP (625) 37\. IPv6 (645) 38\. NTP (661) 39\. Awarie (669) 40\. Maksymy GAD-a (677) 41\. Unikanie frustracji (685) Skorowidz (699) Jak widzisz, w książce poruszony jest szereg zagadnień, z którymi możesz spotkać się w codziennej pracy. Link powyżej jest linkiem afiliacyjnym, co oznacza, że otrzymam prowizję od sprzedaży. **Recenzja nie była w żaden sposób sponsorowana.** ### 10 Blogów o sieciach komputerowych, które warto śledzić w 2020 URL: https://innasiec.pl/blogi-o-sieciach-komputerowych/ Last updated: 2024-07-01T13:37:00.000Z Kiedy stawiałem swoje pierwsze kroki w sieciach komputerowych, uczyłem się głównie z zagranicznych portali. Z biegiem czasu odkryłem, jednak, że również na naszym polskim rynku jest wiele świetnych portali poświęconych tej tematyce, prowadzonych przez prawdziwych pasjonatów. **Przedstawiam Ci listę polskich blogów o tematyce sieci komputerowych, na których znajdziesz mnóstwo ciekawych artykułów, nie tylko o sieciach.** Lista jest przedstawiona w sposób alfabetyczny. Każdy z blogów jest warty obserwowania, do czego serdecznie zachęcam. ![](https://innasiec.pl/content/images/wordpress/2020/07/inleo-logo.jpg) Bloga inleo jest prowadzony przez **Macieja Lelusza** i przyjaciół. Szczególnie polecam ze względu na lekkie pióro i swobodne podejście do tematyki branży IT. **Ulubiony wpis:** [Król Ostrzy](https://inleo.pl/blog/krol-ostrzy/?ref=innasiec.pl) ![](https://innasiec.pl/content/images/wordpress/2020/07/itplayground.jpg) Jedyny blog w zestawieniu w języku angielskim. Prowadzony jest przez **Piotra Wojciechowskiego**, który dzieli się swoimi przemyśleniami na temat branży oraz nowościami z dziedziny automatyzacji. **Ulubiony wpis:** [Why CML 2.0 is quite a disappointment](https://blog.it-playground.eu/why-cml-2-0-is-quite-a-disappointment/?ref=innasiec.pl) ![](https://innasiec.pl/content/images/wordpress/2020/07/lukasz-bromirski-net.jpg) Jak pewnie domyślasz się po nazwie, jest to prywatny blog **Łukasza Bromirskiego**, który zawodowo związany jest z firmą Cisco. Mnóstwo wartościowej wiedzy o dobrych praktykach w budowaniu sieci. **Na ślad Łukasza natrafiłem dzięki jego ponad 100 stronicowemu (nieoficjalnemu) [Cisco FAQ](https://lukasz.bromirski.net/projekty/cisco%5Ffaq%5Fpl/cisco%5Ffaq%5Fpl.pdf?ref=innasiec.pl).** **Ulubiony wpis:** [BGP w labie](https://lukasz.bromirski.net/pl/post/bgp-w-labie/?ref=innasiec.pl) ![](https://innasiec.pl/content/images/wordpress/2020/07/marcel-guzenda.jpg) **Marcel Guzenda** prowadzi od 5 miesięcy kanał na Youtubie, gdzie opowiada między innymi o technologiach Data Center. Warto obserwować jeśli interesują Cię nowinki ze stajni Cisco. **Ulubiony odcinek:** [Co to jest Data Center i jakie technologie IT w nim znajdziemy?](https://www.youtube.com/watch?v=Ky0jz2C%5FuQc&ref=innasiec.pl) ![](https://innasiec.pl/content/images/wordpress/2020/07/mikrotikon.jpg) Blog prowadzony przez **Wojtka Mańkę** jest prawdziwą skarbnicą wiedzy na temat produktów marki Mikrotik. **Ulubiony wpis:** [MikroTik jako router domowy – konfiguracja od podstaw](https://mikrotikon.pl/mikrotik-jako-router-domowy-konfiguracja-od-podstaw/?ref=innasiec.pl) ![](https://innasiec.pl/content/images/wordpress/2020/07/nastykusieci.jpg) Blog prowadzony przez **Damiana Michalaka** i **Łukasza Kowalskiego**, którzy w prosty sposób tłumaczą skomplikowane zagadnienia sieciowe. Oprócz bloga warto również posłuchać ich podcastu *„Między nami a sieciami”*. **Ulubiony wpis:** [VxLAN – przyczyny powstania i zasada działania](https://www.nastykusieci.pl/podstawy-vxlan-1/?ref=innasiec.pl) ![](https://innasiec.pl/content/images/wordpress/2020/07/safekom.jpg) Blog prowadzony przez **Michała Iwańczuka**, który specjalizuje się głównie w rozwiązaniach ze stajni VMware. Znajdziesz tu jednak również materiały na temat takich vendorów jak Juniper, Huawei czy Palo Alto. **Ulubiony wpis:** [HETEROGENICZNA INFRASTRUKTURA SIECIOWA VOL. 1](https://www.safekom.pl/blog/lab/heterogeniczna-infrastruktura-sieciowa-vol-1/?ref=innasiec.pl) ![](https://innasiec.pl/content/images/wordpress/2020/07/showroute.jpg) Jeśli wydawało Ci się, że nie da się wytłumaczyć działania BGP w prosty sposób, to masz rację. Wydawało Ci się. **Tomasz Mikołajek** na blogu showroute.plrozwieje wszystkie Twoje wątpliwości. **Ulubiony wpis:** [Route Reflector – Skalowalność iBGP](https://showroute.pl/route-reflector-skalowalnosc-ibgp/?ref=innasiec.pl) ![](https://innasiec.pl/content/images/wordpress/2020/07/szkoladevnet.jpg) Blog **Szkoła Dev/net** to kolejny portal prowadzony przez **Piotra Wojciechowskiego**. Tym razem w języku polskim wprowadza w świat automatyzacji, o której wie naprawdę sporo. Dość powiedzieć, że część bibliotek do zarządzania docker swarm z wykorzystaniem Ansible’a wyszło z klawiatury Piotra. **Ulubiony wpis:** [Backup konfiguracji routera za pomocą Ansible](https://szkoladevnet.pl/backup-konfiguracji-routera-za-pomoca-ansible/?ref=innasiec.pl) ![](https://innasiec.pl/content/images/wordpress/2020/07/wladcysieci.jpg) Blog prowadzony przez firmę **Axence**, na którym poruszają zagadnienia z zakresu administracji sieciami, bezpieczeństwa oraz automatyzacji. **Ulubiony wpis:** [Wielozadaniowy nmap, czyli jak za darmo przeskanować porty ofiary?](https://wladcysieci.pl/2020/07/13/wielozadaniowy-nmap-czyli-jak-za-darmo-przeskanowac-porty-ofiary/?ref=innasiec.pl) ## Podsumowanie Na liście znalazły się zarówno niedawno powstałe pozycje – którym szczerze kibicuje – jak również blogi, które są z nami już dobre kilkanaście lat. Ogromnie cieszy rosnąca liczba miejsc, gdzie eksperci z branży dzielą się swoją wiedzą. **A Ty, jakie jeszcze blogi umieściłbyś na liście?** ### Jak skutecznie przygotować się do CCNA 200-301? URL: https://innasiec.pl/jak-skutecznie-przygotowac-sie-do-ccna-200-301/ Last updated: 2024-06-25T06:53:30.000Z Egzaminy z poziomu Associate, do którego należy CCNA, nigdy nie były łatwe. Nie rzadko można spotkać się z opinią, że bywają trudniejsze nawet od egzaminów eksperckich -na przykład CCIE -, ze względu na bardzo szeroki zakres technologii, z którymi większość osób ma dopiero pierwszą styczność. Po obecnej rotacji w certyfikacji Cisco, możemy zdawać tylko jeden egzamin na poziomie podstawowym, czyli [CCNA 200-301](https://innasiec.pl/wszystkie-nowosci-w-ccna-200-301/). Łączy on w sobie tematykę dotychczas podzieloną na trzy odrębne ścieżki routing & switching, wireless oraz security. Oznacza to, że przed Tobą naprawdę sporo nauki, dzięki której będziesz świetnie przygotowany do pracy w IT. Jeśli podejdziesz do tematu w sposób uczciwy, mogę Ci obiecać, że będzie warto. Będzie to jednak wymagało od Ciebie poświęcenia ogromnej ilości czasu oraz sporej samodyscypliny. Jeśli dotarłeś do tego miejsca i jeszcze Cię nie wystraszyłem, to świetnie! Zrobiłeś właśnie swój pierwszy krok na drodze do zdania CCNA. Przejdźmy zatem do przygotowań, które podzielimy na trzy części – wstęp, rozwinięcie i zakończenie. Na wstępie musisz zrobić dwie bardzo ważne rzeczy, znaleźć swoją motywację oraz ustalić termin egzaminu. Kiedy już to zrobisz, możemy przejść do rozwinięcia, gdzie będzie się działo najwięcej. Będziesz się uczył od innych oraz we własnym zakresie. Na zakończenie pozostało nam już nic innego jak powtórzyć cały materiał i… zdać egzamin! Znasz już plan działania, teraz możemy przejść do szczegółów. ![Znajdź swoją motywację](https://innasiec.pl/content/images/wordpress/2020/07/Twoja-motywacja-1024x683.jpg) ## Znajdź swoją motywację Wydaje się, że ten punkt jest oczywisty. Certyfikacja potwierdza nasze umiejętności, za które oczekujemy odpowiedniego wynagrodzenia. Wszystko się zgadza, ale wchodząc dopiero w świat IT, po pierwsze nie spodziewaj się pensji seniora za umiejętności juniora. Po drugie już na starcie musisz mieć świadomość, że Twoja praca będzie wymagała ciągłej nauki. Nawet jeśli nie zdecydujesz się na kontynuowanie certyfikacji, to nadal będziesz musiał sporo czasu poświęcić na poznawanie nowych rozwiązań. Technologie ciągle się zmieniają, jedno odchodzą, inne przychodzą na ich miejsce. Przechodząc do sedna, średni czas przygotowania do CCNA to kilka, kilkanaście miesięcy intensywnej nauki. Nie licz, że pójdziesz na kurs i z automatu będziesz przygotowany, albo, że wystarczy przeczytać książkę i koniec. Dzisiaj czytam ostatnią stronę, jutro egzamin. To tak nie działa. Zatem zanim jeszcze w ogóle zaczniesz przygotowywać się do egzaminu, musisz sobie sam odpowiedzieć, co Cię motywuje? Co sprawi, że przez najbliższe kilka miesięcy będziesz w stanie skupić się na swoim celu? ![](https://innasiec.pl/content/images/wordpress/2020/07/wybierz-swoja-date-1024x683.jpg) ## Określ termin egzaminu Kiedy podejmiesz już decyzję o zdawaniu egzaminu, warto, abyś sam przed sobą złożył deklarację, że podejdziesz do egzaminu w jasno określonym terminie. Oczywiście dobrze, aby był to termin realny. Unikniesz wtedy frustracji, a zyskasz potrzebną motywację. Kiedy już określisz swoją datę, sprawdź, czy nie koliduje ona z innymi ważnymi datami w Twoim życiu. Bądź szczery ze sobą, jeśli Twój egzamin na przykład miałby się odbyć w okolicach świąt bożonarodzeniowych, z całą pewnością możemy założyć, że zamiast nauki będziesz polował na karpia w lidlu lub ubierał choinkę. Nie wykluczone, że jedno i drugie. Uwierz mi, nic się nie stanie jeśli do egzaminu podejdziesz tydzień lub dwa później, ale z czystym sumieniem i świetnie przygotowany. ![Idź na akademię](https://innasiec.pl/content/images/wordpress/2020/07/idz-na-akademie--1024x683.jpg) ## Idź na akademię Nie musi to być akademia wojskowa, wystarczy lokalna akademia CCNA. Dlaczego akademia? Z dwóch powodów, po pierwsze naukowo udowodniono, że uczymy się lepiej w grupach. Przebywanie z osobami o podobnych zainteresowaniach ma też pozytywny wpływ na naszą motywację, oraz trudniej nam porzuć nasze planów. Takie są fakty i ciężko z tym się nie zgodzić. Oczywiście jeśli nie jesteś totalnym outsiderem, który za wszelką cenę unika innych ludzi. Po drugie oszczędzisz mnóstwo czasu na szukanie odpowiedzi, które możesz otrzymać od instruktora. Wiem, w internecie jest mnóstwo świetnych kursów (za chwilę o nich przeczytasz), ale żadne nagrane wcześniej wideo nie jest w stanie odpowiedzieć na 100% pytań. Możliwość uzyskania szczegółowego wytłumaczenia, kiedy jeszcze nie do końca wszystko rozumiesz, czy choćby nie wiesz, gdzie szukać odpowiedzi jest bardzo ważna. Najgorsze co Cię może spotkać to wyrobienie sobie złych nawyków oraz posiadanie błędnego przekonania o zrozumieniu danego zagadnienia. Kiedy już zdecydujesz się pójść na akademię, warto zasięgnąć języka na temat instruktorów. W dużej mierze to od prowadzącego zależy, ile wyniesiesz z zajęć. Nie sugeruj się ceną, lepiej iść do popularnego instruktora niż zaoszczędzić na kiepskim. Pieniądze zawsze możesz zarobić, czasu nie odzyskasz, więc potraktuj to szkolenie jako inwestycję, która w przyszłości Ci się zwróci gdy otrzymasz wymarzoną pracę. Uczęszczanie na akademię daje Ci również możliwość korzystania z programu Packet Tracer. Moim zdaniem jest to najlepszy dostępny na rynku symulatora sieci. Oczywiście właścicielem jest Cisco, więc dostępny jest wyłącznie sprzęt tego producenta. Jeśli nadal nie jesteś przekonany, że warto iść na akademię, przeczytaj wcześniejszy artykuł: [7 powodów, dla których warto brać udział w szkoleniach?](https://innasiec.pl/7-powodow-dla-szkolen/) ![](https://innasiec.pl/content/images/wordpress/2020/07/nauka-we-wlasnym-zakresie-teoria-1024x683.jpg) ## Teoria we własnym zakresie Dla osób, które zdecydują się uczęszczać na akademię, polecam zaopatrzyć się jedynie w książki z i wykorzystać pozostałe darmowe źródła wiedzy. Dla osób, które nie chcą iść na akademię, mam dobrą wiadomość. Przygotowanie się do CCNA we własnym zakresie jest jak najbardziej możliwe, choć wymaga zdecydowanie więcej samodzielnej pracy. Jako podstawę do nauki we własnym zakresie możemy wykorzystać książki wydawnictwa Ciscopress. Nie są może idealne, ale nie nie ma obecnie nic lepszego na rynku. Materiał w nich zawarty wystarczy jako solidne podwaliny w zakresie przygotowania teoretycznego. Książki dostępne są na oficjalnej stronie [https://www.](https://www.ciscopress.com/store/ccna-200-301-official-cert-guide-library-9781587147142?ref=innasiec.pl)[ciscopress](https://www.ciscopress.com/store/ccna-200-301-official-cert-guide-library-9781587147142?ref=innasiec.pl)[.com](https://www.ciscopress.com/store/ccna-200-301-official-cert-guide-library-9781587147142?ref=innasiec.pl) za około 48$. Jeśli zamiast czytać, wolisz obejrzeć nagrane szkolenie, mam dla Ciebie dwie propozycje w zależności od Twojej znajomości sieci komputerowych. Jeśli jesteś całkowicie początkującym, to nie znam lepszego szkolenia od tych z cbtnuggets, które prowadzi Jeremy Cioara. Potrafi on wytłumaczyć techniczne zagadnienia w sposób, który Cię nie uśpi, a do tego może nawet czasem się uśmiechniesz. Przygotuj się jednak, że tematy wymagające 5 minut, u Jeremy’ego trwają 15\. Szkolenia z jego udziałem są dostępne na platformie [cbtnuggets](ttps://www.cbtnuggets.com/certification-playlist/Cisco/ccna-200-301). Dostęp do całej platformy kosztuje 59$ miesięcznie, ale możesz skorzystać z darmowego tygodniowego trial-a i samemu ocenić czy Ci odpowiada. Dla osób, które mają już jakieś doświadczenie w sieciach komputerowych, polecam szkolenia [ine.com](https://ine.com/?ref=innasiec.pl). Materiały prezentują wysoki poziom, a wiedza podana jest w sposób rzeczowy i konkretny, bez zbędnego lania wody. Jednak są to najdroższe materiały w tym zestawieniu, dostęp do nich kosztuje 99$ miesięcznie. Świetnym źródłem wiedzy są również fora dyskusyjne takie jak polskie [ccie.pl](https://ccie.pl/?ref=innasiec.pl). Poza tym dostęp do nich jest darmowy, więc nawet jeśli nie chcesz się udzielać, zawsze możesz poczytać, na jakie problemy natrafili inni. Warto również dołączyć do grup na facebook-u skupionych wokół zagadnień sieciowych. ## Praktyka we własnym zakresie Egzaminy Cisco w tym i CCNA, składają się z serii pytań oraz wymagają wykonania pewnych czynności w symulatorze sieci. Tak, na egzaminie będziesz musiał, rozwiązać zadania w symulatorze CLI (Command line interface), dlatego praktyczne przygotowanie do egzaminu jest bardzo ważne. ### Fizyczny sprzęt – Home LAB Zanim zaczniesz gorączkowo przeszukiwać olx i allegro, nerwowo przeliczając pieniądze w portfelu, muszę Ci powiedzieć, że do egzaminu CCNA nie potrzebujesz **ŻADNEGO** fizycznego sprzętu. Obecnie dostępne symulatory i emulatory sieci są na tyle, dobre, że nie ma potrzeby, aby inwestować pieniądze w sprzęt. W mojej opinii zdecydowanie lepiej zaoszczędzone pieniądze jest wydać na dodatkowy kurs lub książki. ![Cisco Packet Tracer](https://innasiec.pl/content/images/wordpress/2020/07/Cisco-Packet-Tracer-1024x818.png) Cisco Packet Tracer ### Symulator sieci – Packet Tracer Do korzystania z Packter Tracer-a potrzebne jest konto na platformie netacad, które dostępne jest dla każdego studenta akademii CCNA. Jeśli jednak nie uczęszczasz na żadną, nie ma problemu. Zapisz się na darmowe szkolenie [introduction to packet tracer](https://www.netacad.com/courses/packet-tracer/introduction-packet-tracer?ref=innasiec.pl) i korzystaj do woli z możliwości, jakie oferuje. Największą zaletą Packet Tracer-a zwłaszcza dla osób początkujących, jest graficzna prezentacja ruchu sieciowego. Wystarczy przełączyć się w tryb symulacji i już widzimy jak nasze pakiety, poruszają się w sieci. PT umożliwia również zapisywanie i przekazywanie gotowych scenariuszy do rozwiązania. Ciekawostką jest również tryb multiuser, który pozwala łączyć kilka instancji PT ze sobą. Jednak co najważniejsze, możemy tutaj zrealizować każdy scenariusz oraz przelabować dowolną technologię na poziomie CCNA. Niestety część technologii jest okrojona, co później po przesiadce na prawdziwy sprzęt może przytłoczyć liczbą opcji konfiguracyjnych. Jednak na tym poziomie im mniej skomplikowania, tym lepiej. ![Eve-ng lab](https://innasiec.pl/content/images/wordpress/2020/07/Eve-ng-lab-1024x594.png) Eve-NG ### Emulator sieci – EVE-NG Jeśli nie potrzebujesz trybu symulacji z PT, lub nie podobają Ci się ograniczenia konfiguracyjne, zapoznaj się z Eve-ng, najpopularniejszym emulatorem sieci. Posiada on darmową wersję, która jest w zupełności wystarczająca dla osób początkujących. W zasadzie jeśli nie potrzebujesz budować laba na 1000+ urządzeń lub uruchamiać więcej niż jednego scenariusza na raz, to wersja community będzie ok. To, co różni Eve-ng od PT to praca z prawdziwymi systemami urządzeń sieciowych, kiedy Packet Tracer symuluje ich pracę. Dodatkowo EVE współpracuje ze wszystkimi najpopularniejszymi producentami. Więc jeśli poczujesz chęć, możesz łączyć ze sobą urządzenia różnych dostawców lub nawet uruchamiać serwery w ramach jednego scenariusza. Wiąże się to jednak z pewną niedogodnością. Każdy system urządzenia sieciowego w postaci obrazu musimy dostarczyć sami. Warto również podkreślić, że oficjalnie licencja Cisco nie pozwala na uruchomienie żadnego systemu IOS na urządzeniach innych niż fizycznych sprzęt z ich logo. Kolejnym ograniczeniem w korzystaniu z emulatora jest praktyczny brak możliwości korzystania z protokołów warstwy drugiej, a raczej brak dostępnych, działających obrazów, które by pozwalały na takie funkcjonalności. Eve-ng bez problemu uruchomisz na swoim komputerze jak również w chmurze. Jak to zrobić w GCP przeczytasz na blogu we wpisie [Konfiguracja eve ng w google cloud platform](https://innasiec.pl/konfiguracja-eve-ng-w-google-cloud-platform/). ## Powtórka materiału Powtórkę materiału warto zacząć… w środku nauki! Dokładnie, tak. Kiedy będziesz w połowie akademii lub innego szkolenia, zacznij przypominać sobie technologie, z którymi miałeś styczność na początku nauki. Dzięki temu będziesz na bieżąco z całym zakresem materiału oraz będziesz w stanie określić, które rozwiązania mogą być Twoją piętą achillesową. Po zakończeniu nauki odpowiedz sobie na pytanie, które z poruszonych zagadnień najmniej Ci się podobały i zacznij od nich powtórkę. Lepiej zacząć od najtrudniejszych dla Ciebie rzeczy, kiedy jesteś zmotywowany i zostawić sobie przyjemniejsze na później. Jeśli szukasz pomocy w powtórce, możesz zaopatrzyć się w książkę wydawnictwa ciscopress [31 days before CCNA](https://www.ciscopress.com/store/31-days-before-your-ccna-exam-a-day-by-day-review-guide-9780135964088?ref=innasiec.pl) w cenie 32$. Na Youtubie znajdziesz wiele kanałów takich jak [Jeremy’s IT Lab](https://www.youtube.com/channel/UC0Q7Hlz75NYhYAuq6O0fqHw?ref=innasiec.pl), [David Bombal](https://www.youtube.com/c/DavidBombal/playlists?ref=innasiec.pl) czy [Network Chuck](https://www.youtube.com/user/NetworkChuck?ref=innasiec.pl), które będą stanowić świetne uzupełnienie zdobytej do tej pory wiedzy. ![](https://innasiec.pl/content/images/wordpress/2020/07/przed-egzaminem-1024x683.jpg) ## Przed Egzaminem Pozwól, że na koniec dam Ci kilka rad, które mam nadzieję, że Ci pomogą. Nigdy, ale to nigdy nie ucz tuż przed egzaminem. Nie potrzebujesz dodatkowego stresu związanego, ze znalezieniem tuż przed egzaminem jakieś niejasnej informacji, która może być błędna lub nieaktualna. Naprawdę nie chcesz tego. Na egzamin postaraj się przyjechać wcześniej, abyś nie musiał się martwić o miejsce parkingowe czy znalezienie dokładnej lokalizacji centrum egzaminacyjnego. Warto również skorzystać wcześniej z toalety oraz na spokojnie zgłosić swoje przybycie i wypełnić odpowiednie formularze. Jako osoba nieposługująca się językiem angielskim jako ojczystym, masz dodatkowe 15 minut na zapoznanie się ze środowiskiem testowym. Zdecydowanie polecam poświęcić ten czas na rozpisanie sobie tabelki z podziałem na sieci, jak to zrobić, przeczytasz na blogu we wpisie [sprytny sposób na adresację podsieci](https://innasiec.pl/sprytny-sposob-na-adresacje-sieci/). Egzamin trwa 120 minut, a pytań i zadań łącznie będzie ponad 100\. Każde pytanie czytaj bardzo uważnie i staraj się za długo nie zastanawiać nad odpowiedzią. Zazwyczaj pierwsza, która przyjdzie Ci do głowy, jest tą właściwą. Pamiętaj, że zadania praktyczne zajmą Ci więcej czasu niż pytania teoretyczne. Nie przejmuj się jeśli nie możesz odpowiedzieć na jakieś pytanie, część z nich nie będzie nawet punktowana! Cisco umieszcza w egzaminach pytania testowe, które mogą pojawić się w późniejszych wersjach egzaminu lub zostaną odrzucone jeśli okażą się zbyt trudne, lub zbyt niejasne. ## Podsumowanie Poznałeś w artykule skuteczny sposób na przygotowanie się do egzaminu. Nie pozostało mi już nic więcej jak trzymać za Ciebie kciuki i życzyć Ci powodzenia. **Jeśli znasz inne skuteczne sposoby na przygotowanie się do egzaminu, napisz koniecznie w komentarzu!** ### Projektowanie sieci komputerowych URL: https://innasiec.pl/projektowanie-sieci-komputerowych/ Last updated: 2024-06-26T20:19:56.000Z W życiu każdego inżyniera przychodzi taki moment, kiedy musi zaprojektować sieć. Nie ma znaczenia, czy ma to być duże centrum danych, średniej wielkości kampus czy mikrosieć w małej firmie. Ważne jest odpowiednie przygotowanie do tego zadania. Bez dobrego planu jesteś skazany na porażkę, dlatego mam dla Ciebie listę najważniejszych rzeczy, o których musisz pamiętać. W dalszej części wpisu znajdziesz wskazówki, z których możesz skorzystać podczas projektowania sieci komputerowej. ## **Zbieranie wymagań** Jest to jeden z najczęściej bagatelizowanych punktów podczas pracy z sieciami komputerowymi. Sam popełniałem ten błąd. Dobrze, precyzyjnie ustalone wymagania techniczne to... nawet nie połowa sukcesu! Równie ważna jest wiedza, dlaczego klient chce modernizować sieć. Jakie problemy chce rozwiązać? Jakie ma plany co do dalszego rozwoju? Takie szersze spojrzenie na dany projekt pozwoli Ci lepiej zrozumieć swoje zadanie, uniknąć nieporozumień oraz zaoszczędzi mnóstwo czasu, który i tak będziesz musiał poświęcić na rozmowy z klientem. Dodatkowo osoba, która zleci Ci projekt, będzie miała poczucie, że dbasz o jej potrzeby oraz sprawisz wrażenie profesjonalisty, a z takimi ludźmi biznes lubi pracować. Odpowiedni dobór sprzętu Każdy z nas chciałby pracować z najnowszymi dostępnymi na rynku technologiami. Jednak projektując sieci komputerowe, musisz odłożyć na bok swoje ego i skupić się na dostarczeniu jak najlepszego rozwiązania. Dobierając sprzęt, musimy pamiętać o tym, że klient ma określony budżet. Prawdopodobnie ma również zespół, który jest odpowiedzialny za utrzymanie. Jeśli większość sieci klienta jest zbudowana w oparciu o rozwiązania Cisco, to nie ma większego sensu wpychać konkurencyjnego Junipera. Podobnie, w małym biurze nie powinno się stosować switchy typu Nexus czy QFX. ## Odpowiedni dobór sprzętu Każdy z nas chciałby pracować z najnowszymi dostępnymi na rynku technologiami. Jednak projektując sieci komputerowe, musisz odłożyć na bok swoje ego i skupić się na dostarczeniu jak najlepszego rozwiązania. Dobierając sprzęt, musimy pamiętać o tym, że klient ma określony budżet. Prawdopodobnie ma również zespół, który jest odpowiedzialny za utrzymanie. Jeśli większość sieci klienta jest zbudowana w oparciu o rozwiązania Cisco, to nie ma większego sensu wpychać konkurencyjnego Junipera. Podobnie, w małym biurze nie powinno się stosować switchy typu Nexus czy QFX. ## Hierarchiczny model sieci Podczas planowania naszej przyszłej sieci warto pamiętać, że może ona z czasem urosnąć w skali. Dlatego ważne jest już na samym początku rozważenie możliwości jej skalowalności. W tym przypadku pomocny okaże się hierarchiczny model sieci oraz modułowa konstrukcja warstw, o której dalsze informacje znajdziesz w kolejnym punkcie. **Hierarchiczny model sieci polega na grupowaniu poszczególnych urządzeń w warstwy w zależności od ich funkcji**. W najczęściej stosowanym obecnie modelu 3-tier wyróżniamy trzy warstwy o różnych zadaniach. Jeśli nie ma potrzeby dzielenia sieci na tak wiele poziomów lub w danej lokalizacji jest mniej sprzętu, mówimy o modelu collapsed-core. ![Tpologia 3-tier składająca się z warstwy szkieletowe, dystrybucyjnej i dostępowej](https://innasiec.pl/content/images/2024/06/3-tier-design.webp) ![Topologia collapse-core składająca się z warstwy core/dystrybucja i warstwy dostępowej](https://innasiec.pl/content/images/2024/06/collapsed-core.webp) ### Warstwa szkieletowa (core) Warstwa szkieletowa zapewnia usługi routingu zarówno w części LAN, jak i na styku między LAN-em a WAN-em. Ponieważ ma kluczowe znaczenie dla funkcjonowania sieci, należy zapewnić jej wysoką odporność na awarie. Zaleca się stosowanie różnych metod redundancji na tym poziomie, zarówno fizycznych (takich jak zapasowe źródła zasilania), jak i redundancji urządzeń czy łączy WAN. ### Warstwa Dystrybucyjna W języku polskim termin "warstwa agregacji" lepiej odzwierciedla funkcje tego segmentu niż "warstwa dystrybucyjna". W tej warstwie powinny być agregowane wszystkie urządzenia pracujące w warstwie dostępowej. **Urządzenia agregacyjne powinny mieć bezpośrednie połączenie ze wszystkimi innymi urządzeniami w sieci, co czyni je idealnym miejscem do ustanowienia root bridge'a dla STP**. Dodatkowo stanowią one granicę między poszczególnymi warstwami, pozwalając jedynie niezbędnemu ruchowi przechodzić do części rdzeniowej sieci. ### Warstwa Dostępowa Warstwa Dostępu zapewnia dostęp dla użytkowników i serwerów w sieci. Tutaj implementowane są zabezpieczenia przed nieautoryzowanym dostępem fizycznym, takie jak uwierzytelnianie dot1X czy port security. ## Projektowanie modułowe Projektowanie modułowe jest ściśle związane z wcześniej omawianym podziałem sieci na wyspecjalizowane warstwy. Oznacza to, że konfigurując wszystkie urządzenia w danej warstwie, wykorzystamy bardzo zbliżoną konfigurację. Przykładowo, gdy spojrzymy na switche w warstwie dostępowej, posiadają one taką samą funkcję, umożliwiając dostęp do sieci. W miarę awansowania w hierarchii sieci, urządzenia dystrybucyjne nie posiadają portów dostępowych; ich głównym zadaniem jest przesyłanie danych pomiędzy użytkownikami w ramach sieci LAN lub przesyłanie ich do warstwy rdzeniowej. Takie podejście sprawia, że nasz projekt jest łatwo skalowalny, prosty w zarządzaniu oraz ułatwia późniejsze rozwiązywanie problemów. ## Segmentacja sieci – VLAN-y i subnetting Podstawowym elementem każdej sieci LAN są VLAN-y. Stworzenie jednolitej struktury VLAN-ów oraz ich przypisanie do fizycznych interfejsów znacząco ułatwia późniejsze zarządzanie siecią. Tak przygotowana struktura powinna zostać zastosowana w całej sieci. Jednak nie zawsze możemy sobie pozwolić na pozostawienie nieużywanych portów, dlatego warto przyjąć schemat kolejności przypisywania portów do VLAN-ów. Na przykład pierwsze porty będą portami dla użytkowników lokalnych, następnie będziemy podłączać porty dla punktów dostępowych, drukarek itd. ![Przykład podłączenia różnych typoów urządzeń i użytkowników do przełącznika](https://innasiec.pl/content/images/2024/06/vlan-podzial.webp) Mając już ustaloną docelową strukturę podziału naszej sieci na poszczególne vLany, możemy przystąpić do przypisania odpowiednich pul adresów. W przypadku typowej sieci LAN, w warstwie trzeciej otrzymamy jedną pulę adresową, na przykład 10.0.0.0/16\. Następnie należy podzielić ją na mniejsze podsieci zgodnie z wymaganiami. ![](https://innasiec.pl/content/images/2024/06/vlan-tabela-pula-adresowa.webp) Dobierając wielkość poszczególnych podsieci, należy pamiętać o obecnych oraz nadchodzących trendach. Obserwuje się obecnie znaczący wzrost ilości urządzeń podłączanych bezprzewodowo. Każdy współczesny laptop posiada możliwość połączenia się z siecią WiFi, jednak nie wolno zapominać o korzystaniu również z komórek, tabletów itp. Zaleca się: - Stosowanie jednego punktu dostępowego na dziesięciu, piętnastu użytkowników. - Bezprzewodowe punkty dostępowe powinny być podłączone poprzez linki 1Gbps i zasilane za pomocą POE. ## Trendy w rozwoju sieci **Sieci komputerowe są jednym z najrzadziej modernizowanych elementów środowiska IT.** Dlatego projektując, musisz pamiętać o uwzględnieniu nie tylko obecnych wymagań, ale także przyszłych oczekiwań wobec infrastruktury. Oprócz rosnących wymagań dotyczących dostępnej przepustowości, warto być świadomym zmieniających się trendów w samym sposobie dostępu do sieci. **Liczba podłączeń sieci LAN w sposób przewodowy spada, jednakże nie oznacza to, że liczba użytkowników oraz urządzeń maleje.** Tendencja jest wręcz przeciwna. W ostatnich latach zaobserwowano gwałtowny wzrost liczby urządzeń korzystających z sieci. Zmieniło się jedynie medium z przewodowego na bezprzewodowe. Kolejnym **istotnym trendem jest BYOD (ang. Bring Your Own Device).** Użytkownicy stają się coraz bardziej świadomi swoich potrzeb oraz mają własne preferencje odnośnie środowiska, w którym pracują. Ważne jest więc zapewnienie odpowiednich polityk dostępu do sieci wewnętrznych, które jasno określają, do jakich zasobów może uzyskać dostęp pracownik korzystający z własnego sprzętu. ## Konwencja nazewnictwa Jeśli sieć, którą projektujemy, będzie stanowić element większej infrastruktury, nie powinniśmy tworzyć własnej konwencji nazewnictwa. W takim przypadku lepiej przyjąć istniejącą. Jeśli jednak masz okazję stworzyć własną konwencję, pamiętaj, aby była jak najbardziej funkcjonalna. Idealna konwencja nazewnictwa to taka, która pozwala jedynie na określenie rodzaju urządzenia (router, switch, Access-Point, firewall itp.), fizycznej lokalizacji oraz funkcji lub przeznaczenia poprzez samą nazwę urządzenia. ![Przykładowe konwencje nazewnictwa](https://innasiec.pl/content/images/2024/06/przyklady-konwencji-nazewnictwa-urzadzen-sieciowych.webp) ## Nadsubskrypcja Tworząc swój design, warto pamiętać, że jest to sztuka kompromisów. Chcielibyśmy wszyscy mieć super szybkie łącze, np. 1 Gbps, ale zarezerowanie takiej przepustowości przez cały czas było by bardzo kosztowne. Rezerwowanie takiego pasma dla serwerów ma sens, ale dla użytkownika końcowego już niekoniecznie. Aby zapewnić odpowiedni transfer danych bez generowania dodatkowych kosztów, warto skorzystać z nadsubskrypcji. Polega to na udostępnieniu określonej przepustowości wielu użytkownikom, którzy następnie są agregowani do znacznie mniejszej prędkości w górę sieci. Statystycznie większość użytkowników przez większość czasu wykorzystuje niewielką część dostępnej przepustowości. **Dzięki nadsubskrypcji każdy użytkownik może teoretycznie korzystać z pełnej przepustowości, jednak nie wszyscy jednocześnie, bez konieczności utrzymywania nieużywanej dedykowanej ścieżki większość czasu.** ![Przykład zastosowania nadsubskrypcji w praktyce](https://innasiec.pl/content/images/2024/06/wspolczynnik-nadsubskrypcji.webp) ## Typowe konfiguracje sieci komputerowych W tym akapicie omówimy najczęściej występujące rodzaje konfiguracji. Przeanalizujemy możliwe scenariusze połączenia warstwy dostępowej z dystrybucyjną za pomocą L2 oraz L3 z modelu ISO/OSI. Pamiętaj, że projektowanie sieci komputerowych to sztuka kompromisów. Nie istnieje jeden idealny design. Każdy ma swoje zalety oraz wady, które należy wziąć pod uwagę podczas projektowania. ### Topologia L2 z STP Jest to najprostsza możliwa do zrealizowania topologia. Wymaga minimalnej konfiguracji, co przyspiesza proces wdrożenia. Niestety, **korzystanie z domyślnej konfiguracji STP powoduje, że niektóre interfejsy przechodzą w stan blokowania**, co prowadzi do utraty dostępnej przepustowości. ![Topologia L2 z wykorzystaniem STP](https://innasiec.pl/content/images/2024/06/Topologia-L2-z-STP.webp) **Plusy:** - Topologia łatwa w konfiguracji - Prosta konfiguracja **Minusy:** - Spanning-tree blokuje niektóre interfejsy - Wolna konwergencja sieci - Ukryta złożoność protokołu STP ### Topologia warstwy 2 z wykorzystaniem PVST lub FHRP W celu wyeliminowania problemu pętli w warstwie 2 podczas projektowania sieci komputerowych mamy dwa rozwiązania. Możemy ręcznie przyporządkować vLany do poszczególnych interfejsów uplinkowych lub skorzystać z protokołów redundancji bramy domyślnej. ![Przykładowa topologia z wykorzystaniem PVST lub FHRP](https://innasiec.pl/content/images/2024/06/Topologia-L2-z-PVST-lub-FHRP.webp) **Plusy:** - Wszystkie interfejsy są aktywne. - Szybka konwergencja. **Minusy:** - Większa złożoność konfiguracji. - Brak jednolitej konfiguracji. ### Topologia warstwy 3 Topologia oparta na mechanizmach warstwy trzeciej zapewnia automatyczne równoważenie ruchu, szybką konwergencję oraz jest odporna na powstawanie pętli. Niestety, wymaga największego nakładu pracy przy konfiguracji oraz jest najdroższa pod względem sprzętu. Co więcej, o czym wielu architektów zapomina, stawia największe wyzwania przed osobami, które później muszą utrzymywać sieć. ![Przykładowa topologia L3](https://innasiec.pl/content/images/2024/06/Topologia-L3.webp) **Plusy:** - Wszystkie interfejsy są aktywne - Szybka konwergencja - Aktywne równoważenia ruchu **Minusy:** - Największą złożoność konfiguracji - brak jednolitej konfiguracji - Wyższa cena zakupu sprzętu L3 ### **Usprawnienia topologii** Każda z wcześniej przedstawionych topologii ma swoje wady i zalety, jednak każda z nich może zostać ulepszona. Jedną z najprostszych metod jest stosowanie agregacji interfejsów. **Technologia ta nazywa się LAG (link aggregation) lub w przypadku Cisco - Port-channel. Polega ona na logicznym połączeniu kilku fizycznych interfejsów w jeden.** Dzięki temu unikamy pętli L2, posiadamy ujednoliconą konfigurację na kilku interfejsach oraz oferujemy wyższą łączną przepustowość. Pamiętaj jednak, że dostępna prędkość dla pojedynczego połączenia jest równa prędkości jednego fizycznego interfejsu - jest to ograniczenie wynikające z działania warstwy 2. **Kolejną metodą usprawnienia naszej topologii jest stosowanie mechanizmu stackowania urządzeń.** Jest to mechanizm polegający na połączeniu kilku fizycznych urządzeń w jedno logiczne. Dzięki temu eliminujemy możliwość powstania pętli oraz zmniejszamy liczbę urządzeń do zarządzania. **Ostatnią metodą, którą możesz zastosować, aby Twoja sieć była lepsza, jest redundancja.** Tutaj masz naprawdę szerokie pole do popisu, ponieważ możesz stosować nadmiarowe interfejsy np. w LAG-u, dodatkowe urządzenia zarządzane samodzielnie lub w stacku. Warto również rozważyć stosowanie zapasowych łączy WAN oraz zapasowych źródeł zasilania. ![Przykładowa topologia z zastosowaniem stackowania i LAG](https://innasiec.pl/content/images/2024/06/Stackowanie-oraz-agregacja-interfejsow.webp) ## To wszystko? Oczywiście, że nie. Poruszyliśmy jedynie najważniejsze zagadnienia, które są uniwersalne dla każdego projektu sieci komputerowej, niezależnie od tego, z jakim vendorem będziesz pracował. **Co dla Ciebie jest najważniejsze podczas projektowania? Z jakim sprzętem najchętniej pracujesz?** ### Metodologia Plan, Build, Operate URL: https://innasiec.pl/metodologia-plan-build-operate/ Last updated: 2024-06-26T20:41:24.000Z Projektowanie czegokolwiek, nie tylko w IT, wydaje się proste. Przypomina dziecięcą zabawę w budowanie zamku z klocków. Dobierasz odpowiednie elementy i gotowe, Twój projekt może zostać zakończony. Dla kogoś, kto przygląda się naszym staraniom z boku, finalnie tak to wygląda, lecz jak zawsze diabeł tkwi w szczegółach. Nie da się stworzyć optymalnie działającej sieci bez dobrego planu. Możemy oczywiście stworzyć działającą sieć, wystarczy przecież połączyć kilka routerów i switchy, o i może jeszcze gdzieś firewall. Zaszalejmy i wstawmy dodatkowo load balancer. Z takiej mieszanki otrzymujemy rozwiązanie, które będzie działać w chwili uruchomienia, ale co potem? Jeśli lubisz spać spokojnie, nie obawiając się dzwoniącego telefonu o 3 nad ranem od osób, którym akurat przypadło utrzymanie Twojego dzieła, lepiej, żebyś miał plan. Dobry plan designu Twojej sieci. ## Planuj – Buduj – Utrzymuj **Metodologia PBO** zaproponowana przez **Juniper’a** wyposaża nas w praktyczny schemat cyklu życia projektowanej sieci. Przedstawiony framework składa się z trzech podstawowych kategorii **Plane, Build** oraz **Operate.** Każda z nich składa się dodatkowo z dwóch podkategorii. ![Metologia PBO Plan, Build, Operate](https://innasiec.pl/content/images/wordpress/2020/04/metodologia_pbo_diagram-1024x683.jpg) Metologia PBO Plan, Build, Operate **Plan** to pierwsza z 3 faz życia naszej sieci. W trakcie jej trwania mamy do wykonania dwa zadania. **Assess**, czyli oszacowanie wymagań, jakie stoją przed naszym nowym projektem. Zanim jednak tym się zajmiemy, musimy upewnić się, czy mamy do czynienia ze środowiskiem **greenfield** (**projektujemy sieć całkowicie od zera**) czy **brownfield** (**rozbudowujemy, modernizujemy już istniejącą**). Opcja pierwsza jest zdecydowanie preferowana, ale niestety w prawdziwym życiu, znacznie rzadziej spotykana. W pracy ze środowiskiem **brownfield** naszym pierwszym zadaniem jest zaadresowanie wszystkich braków w danej sieci zgodnie z wymaganiami klienta. Następnie niezależnie od zastanego stanu musimy określić zakres naszej pracy. Musimy zastanowić się nad skalą naszego dzieła. Czy potrzebujemy designu zaledwie jednego segmentu, pojedynczej lokacji czy całej sieci? Kiedy już to wszystko wiemy, możemy dokonać analizy obecnego środowiska i zastanowić się jak najoptymalniej zaprojektować nową, odpowiadając zarówno na obecne potrzeby, jak również zostawiając margines na przyszły wzrost. **Design**, druga faza polega na stworzeniu konkretnego planu. Na tym etapie musimy stworzyć dwa dokumenty: - **High-level design HLD –** dokument opisujący logiczny projekt sieci. Zawiera szczegółowy plan uwzględniający wykorzystane protokoły, schematy adresacji oraz połączeń. Może również opisywać połączenie WAN. - **Low-level design LLD** – dokument opisujący fizyczny projekt sieci. Zawiera szczegółowy plan uwzględniający wykorzystane urządzenia sieciowe (switche, routery, Access Pointy), dokładny opis połączeń (wtyczki, medium) oraz fizycznego rozlokowania (umiejscowienie w/i racków). Rodzaj połączenia WAN powinien być na tym etapie już znany. Z projektowaniem nieodłącznie wiąże się jeszcze jeden dokument, **Bill of Materials (BoM)**, czyli lista elementów, które trzeba zamówić. Oprócz wymienionych wcześniej dokumentu potrzebujemy jeszcze szczegółowy plan działania. Na tym etapie zaproponujemy wstępne ramy czasowe, odpowiedzialności do rozdysponowania oraz zależności, jakie muszą być spełnione, aby projekt zakończył się sukcesem. ![Metodologia PBO](https://innasiec.pl/content/images/wordpress/2020/04/metodologia_pbo_plan_build-1024x683.jpg) ## Build Build to środkowa faza naszego cyklu. W trakcie jej trwania skupiamy się na zrealizowaniu naszego projektu. To ten czas, w którym nie pozostaje nam nic innego jak zakasać rękawy, zarówno te prawdziwe jak i wirtualne i wziąć się za tworzenie. Zasadniczo wydzielamy tutaj dwa zadania **Deploy** oraz później **Migrate.** W trakcie pierwszego kroku tworzymy fizyczne środowisko, wrzucamy przygotowaną konfigurację, łączymy ze sobą wszystkie urządzenia. W skrócie robimy wszystko by co niezbędne, by sieć działała. Drugi krok jest opcjonalny, zależnie od wytycznych projektowych, które przyjęliśmy, jeśli tworzyliśmy środowisko testowe to ten czas kiedy przerzucamy wszystko na produkcję. W zależności od skomplikowania i rozmiaru naszego designu możemy być poproszeni o stworzenie i przedstawienie: - **Proof of Concept (PoC)** rzeczywista implementacja zaproponowanego rozwiązania, zazwyczaj w odizolowanym środowisku. - **Pilot** implementacja rozwiązania w fizycznym środowisku, jej celem jest sprawdzenie założeń projektowych w „prawdziwym” zastosowaniu, zazwyczaj z udziałem użytkowników końcowych. ![metodologia PBO](https://innasiec.pl/content/images/wordpress/2020/04/metodologia_pbo_build_operate-1024x683.jpg) ## Operate Trzecia i zarazem ostatnia faza cyklu życia sieci składa się z dwóch elementów. Codziennego utrzymania istniejącego środowiska, na co składa się bieżący monitoring infrastruktury oraz reagowanie na incydenty. Drugim z elementów jest dalsza optymalizacja naszej sieci. Wraz z biegiem czasu dynamicznie zmieniają się wymagania co do naszego środowiska. Wzrasta liczba użytkowników, serwerów, jak również ilość przesyłanych danych. Obecnie zaproponowane rozwiązania mogą okazać się niewystarczające w przyszłości. Być może nasza sieć będzie potrzebowała zwiększenia przepustowości uplinków do 10,40 czy nawet 100Gb. Być może wymagane będzie zaimplementowanie nowoczesnych metod zarządzania przepływem ruchu. Może nasze nowe aplikacje zmuszą nas do przemyślenia naszych ustawień QoS. ### Wszystko co musisz wiedzieć o Cisco DevNet Associate DEVASC 200-901 URL: https://innasiec.pl/wszystko-co-musisz-wiedziec-o-cisco-devnet-devasc-200-901/ Last updated: 2024-06-21T09:22:20.000Z Dokładnie 24 lutego mieliśmy prawdziwą rewolucję w certyfikacji Cisco. Dość powiedzieć, że była to zmiana, jakiej w tym stuleciu jeszcze nie widzieliśmy. Cała wiedza o wymaganiach i poszczególnych ścieżkach poszła do kosza, a w ślad za nią podążyły egzaminy. Na samym tylko poziomie Associate zniknęło ich 10! Prawdziwa rzeźnia. I właśnie wtedy nieśmiało, pośród tego chaosu wychylił głowę on, DevNet. Nieślubny syn sieci komputerowych oraz programowania, któremu żadne API czy kontenery nie są straszne. ## devnet – co to w ogóle znaczy? Panie i Panowie, o to mamy pierwszą ścieżką sygnowaną marką Cisco, w której nie chodzi o wykucie na pamięć regułek i zasad panujących bezpośrednio w sieciach komputerowych. Wymagane do pozytywnego zaliczenia egzaminu podstawy to tylko 15% materiału. Mamy więc do czynienia z sytuacją nietypową. Próżno szukać słowa network w nazwie stanowiska, na którym najchętniej widziałyby nas panie (albo panowie) z HR, a jednak jeden z największych graczy na rynku sprzętu sieciowego widzi w tym nowy tort, z którego chętnie ukroiłby największy kawałek. **O co więc chodzi z tym Devnetem?** Już spieszę z odpowiedzią. **Cisco DevNet jest to ścieżka dedykowana programistom oraz innym pracownikom IT** (którzy naskrobali już swoje pierwsze Hello World!, albo jeszcze nie, ale by chcieli). Ścieżka, która ma pomóc budować i integrować aplikacje ze sprzętem, oprogramowaniem oraz API Cisco. Jeśli takie terminy jak **SDN, Cloud, VM, Security, IoT** nie są Ci obce, a do tego znasz podstawy pythona czy bash’a to może to być ścieżka dla Ciebie. ## trzy poziomy Jak każda inna ścieżka, **Cisco DevNet** również posiada trzy poziomy eksperckie. W chwili powstania tego wpisu dostępne są tylko dwa poziomy **Associate** i **Professional**, ale **Expert** jest zapowiedziany, więc liczymy, że są trzy. Specialist nie jest oficjalnie rozpoznawanym „poziomem” oznacza tylko, że zdałeś jeden z egzaminów Professional. ![Poziomy certyfikacji](https://innasiec.pl/content/images/wordpress/2020/04/Poziomy-certyfikacji-1024x683.jpg) ## Wymagania programowe Przejdźmy do omówienia jakie zagadnienia zostaną poruszone na egzaminie. Zostały one podzielone na 6 kategorii. Każda z nich obejmuje wąski wycinek tego czym DevOps żyje na codzień. Automatyzacja, migracja do chmury, SDN, API to tylko kilka z wielu zagadnień. Oprócz znajomości rozwiązań sygnowanych logo Cisco takich jak Meraki, DNA, NSO stawia się na popularne w branży rozwiązania jak Docker, Ansible. Poniżej krótkie omówienie każdej z kategorii oraz oficjalna lista zagadnień. ![Cisco DevNet diagram](https://innasiec.pl/content/images/wordpress/2020/04/Cisco-DevNet-diagram-1024x683.jpg) ### 1.0 Software Development and Design 15% Cisco wybrało Pythona jako swój wiodący język, tak więc jeśli chodzi o część poświęconą programowaniu mamy tu przede wszystkim tematy z tym związane. Na dzień dobry musimy wykazać się umiejętnością przetwarzania danych w formatach **XML, JSON, YAML** oraz **znajomością systemu kontroli wersji GIT.** ### 2.0 Understanding and Using APIs 20% API, czyli w tłumaczeniu na polski interfejs programistyczny aplikacji to temat wyceniony przez Cisco na 20%. Jeden z najobszerniejszych, w skład którego wchodzą zagadnienia związane z REST API, budowaniem zapytań, analizowaniem odpowiedzi (kody HTTP) oraz oczywiście rozwiązywaniem problemów z tym związanych. Nie zabrakło również odrobiny security i tak musimy znać popularne mechanizmy uwierzytelniania: tokeny, klucze. ### 3.0\. Cisco Platforms and Development 15% W tej części zostaniemy poproszeni o stworzenie skryptu w pythonie z wykorzystaniem SDK Cisco. Dodatkowo musimy wykazać się wiedzą na temat możliwości jakie dają rozwiązania do zarządzania naszą siecią takie jak **Cisco Meraki, Cisco DNA Center, ACI, Cisco SD-WAN oraz NSO.** Do opisowych tematów należą rozwiązania do zdalnej współpracy (m.in. **Webex Teams, Webex devices**) oraz security (**Firepower, Umbrella. AMP, ISE oraz ThreatGrid**). Do naszych zadań należy wykorzystanie API systemów Cisco do uzyskania określonych celów, np. wyciągnięcie listy urządzeń w sieci czy zarządzanie ustawieniami w Webex. ### 4.0 Application Deployment and Security 15% W tej części ocieramy się po trochu o rozwiązania wirtualizacyjne, musimy znać różnice pomiędzy maszynami wirtualnymi, kontenerami czy maszynami „bare metal”. Nie zabrakło również dawki szalenie popularnego obecnie **Docker’**a. Do postawionych zadań należy **umiejętność czytania dockerfile** oraz deployment samych obrazów. Przy okazji warto wspomnieć o **CI/CD** oraz testach jednostkowych w pythonie. W części security mamy najpopularniejsze zagrożenia OWASP (takie jak XSS, SQL injections, CSRF). ### 5.0 Infrastructure and Automation 20% Z zagadnień związanych z automatyzacją ponownie mamy do czynienia z workflow opartym na skryptach w pythonie z wykorzystaniem Cisco API – ACI, Meraki,DNA. Nie brakuje również rozwiązań takich jak Ansible, Puppet, Chef i Cisco NSO. Z tematów typowo teoretycznych mamy porównanie zarządzania na bazie kontrolera versus per urządzenie oraz ponownie zagadnienia związane z CI/CD. Umiejętność posługiwania się skryptami napisanymi w bashu również jest wskazana. ### 6.0 Network Fundamentals 15% Egzamin sygnuje Cisco, więc nawet bardzo podstawowa wiedza z zakresu sieci komputerowych jest wskazana. Do pozytywnego zaliczenia egzaminu należy zapoznać się z podstawowymi urządzeniami (switche, routery, firewalle i load balancery), zagadnieniami VLAN, sieci IP, typowe usługi DHCP, DNS, NAT, SNMP, NTP. Z ciekawostek zawarto również drobny troubleshooting typowych problemów jak problemy z NAT’em, proxy czy VPN. ### IPsec VPN URL: https://innasiec.pl/ipsec-vpn/ Last updated: 2024-06-26T06:52:18.000Z Bezpieczeństwo jest jednym z kluczowych czynników branych pod uwagę podczas projektowania sieci komputerowych. Na nic nam efektywnie skonfigurowany routing oraz wydajny LAN, jeśli nasze dane nie są odpowiednio zabezpieczone. Stworzenie odpowiednich warunków jest jeszcze trudniejsze, gdy mamy kilka lokalizacji, które muszą się ze sobą komunikować poprzez niezabezpieczoną sieć, jaką jest internet. W takim wypadku jest nam szczególnie potrzebne narzędzie, dzięki któremu zyskamy pewność, że nasze dane nie zostaną odczytane ani zmienione przez osoby niepowołane. Jak tego dokonać? Odpowiedź jest jedna: stosować VPN! Rozwiązań jest co najmniej kilka, a dziś przyjrzymy się IPSec! ### IPsec – IP Security IP Security, czyli IPSec, to jedno z najczęściej stosowanych rozwiązań VPN. Stanowi zestaw narzędzi, czyli framework, z którego możemy dowolnie wybierać poszczególne elementy, co daje spore możliwości konfiguracyjne. Nie zależnie od wybranego wariantu, **funkcjonalne połączenie VPN musi zapewnić cztery podstawowe wartości:** 1. **Poufność** \- zapewniana poprzez szyfrowanie. Komunikacja jest zrozumiała jedynie dla nadawcy i odbiorcy, którzy znają sposób na odszyfrowanie wiadomości. 2. **Integralność danych** \- realizowana poprzez haszowanie (tworzenie skrótu) lub użycie Hashed Message Authentication Code (HMAC), aby sprawdzić, czy dane odebrane są identyczne z tymi, które zostały wysłane. 3. **Uwierzytelnianie** \- oferuje częściową gwarancję, że odbiorca - i nadawca - są tymi, za kogo się podają. Możemy to osiągnąć korzystając z uwierzytelnienia zaraz po rozpoczęciu komunikacji na bazie uzgodnionych kluczy (pre-shared keys, PSK) lub podpisów cyfrowych. Drugą opcją jest ciągłe uwierzytelnianie dwóch stron transmisji przy użyciu HMAC. 4. **Ochrona przed powtórzeniem** \- wszystkie pakiety wysyłane poprzez VPN są numerowane po utworzeniu tunelu. W przypadku próby ponownego użycia pakietu urządzenie odbierające ### PROTOKÓŁ IKE (INTERNET KEY EXCHANGE) Protokół IKE (Internet Key Exchange) jest używany w IPsec do negocjacji i nawiązywania tuneli VPN. IKE jest strukturą zapewnianą przez **protokół ISAKMP (Internet Security Association and Key Management Protocol)** oraz dwie inne kluczowe protokoły zarządzania, **Oakley i Secure Key Exchange Mechanism (SKEME)**. IKE składa się z 2 faz: W fazie 1 IKE, urządzenia nawiązujące połączenie IPsec wybierają jeden z przygotowanych zestawów zabezpieczeń i wzajemnie się uwierzytelniają. W skład takiego zestawu wchodzi: - **Algorytm szyfrowania:** DES, 3DES lub AES - **Funkcja haszowania:** MD5 lub SHA - **Rodzaj uwierzytelniania:** PSK, kod jednorazowy RSA lub certyfikat RSA - **Grupa Diffiego-Hellmana**: im wyższa, tym lepsza, np. grupy IKE 14 i 24 używają 2048-bitowego DH - **Czas ważności tunelu (lifetime of connection)** – To jest jedyny parametr, który nie musi się zgadzać! W takim wypadku wybierany jest najkrótszy czas W fazie 2 IKE urządzenia uzgadniają materiał do tworzenia kluczy oraz algorytmy do szyfrowania danych przesyłanych przez tunel IPsec. **Istnieją dwie wersje IKE:** - **IKEv1** – Zdefiniowane w RFC 2409, Internet Key Exchange - **IKEv2** – Zdefiniowane w RFC 4306, Internet Key Exchange (IKEv2) Protocol W IKEv2 rozszerzono funkcję dynamicznej wymiany klucza oraz uwierzytelniania urządzeń. Uproszczono przepływ danych oraz wprowadzono środki umożliwiające naprawienie słabych punktów protokołu IKEv1\. **Różnice między IKEv2 a IKEv1 są następujące**: - W IKEv2 w fazie 1 mamy jedną wymianę pary komunikatów, nie ma już 2 trybów (agresywnego i głównego). - W IKEv2 w fazie 2 zachodzi prosta wymiana dwóch zamiast co najmniej 3 par wiadomości. ### Protokół Diffiego Hellmana Protokół Diffiego-Hellmana jest wykorzystywany do generowania wspólnego, tajnego materiału służącego do tworzenia kluczy (klucze symetryczne). Dzięki temu w pierwszej fazie protokołu IKE możemy przesłać nasze klucze publiczne przez internet w formie niezaszyfrowanej, co pozwoli nam później na bezpieczną, zaszyfrowaną komunikację. **Oto jak działa ten protokół:** 1. Obie strony ustalają publiczne parametry: - Wybierają dużą liczbę pierwszą 𝑝 i generator 𝑔 grupy multiplikatywnej modulo 𝑝. 2. Każda strona wybiera tajną liczbę: - Strona A wybiera tajną liczbę 𝑎. - Strona B wybiera tajną liczbę 𝑏. 3. Obie strony obliczają wartość publiczną: - Strona A oblicza 𝐴=𝑔𝑎mod 𝑝 i przesyła ją do B. - Strona B oblicza 𝐵=𝑔𝑏mod 𝑝 i przesyła ją do A. 4. Obie strony obliczają wspólny tajny klucz: - Strona A oblicza (𝑔𝑏)𝑎mod 𝑝. - Strona B oblicza (𝑔𝑎)𝑏mod 𝑝. - Ta sama wartość jest uzyskiwana po obu stronach i jest wspólnym tajnym kluczem. Warto zaznaczyć, że algorytm jest asymetryczny, ale klucze wynikowe są symetryczne. Dzięki temu protokołowi, **nawet jeśli ktoś przechwyci wartości publiczne 𝐴 i 𝐵, nie będzie w stanie łatwo obliczyć wspólnego tajnego klucza bez znajomości tajnych liczb 𝑎 i 𝑏**. To sprawia, że Diffie-Hellman jest używany do bezpiecznej wymiany kluczy w celu zapewnienia poufności komunikacji. ### Nagłówki IPsec Do implementacji IPsec można wykorzystać dwa protokoły warstwy 4: **ESP (IP protokół 50)** i **AH (IP protokół 51)**. Należy zauważyć, że **nagłówek autentykacji AH (Authentication Header) praktycznie nie jest używany**, **ponieważ nie zapewnia szyfrowania komunikacji**. ESP (Encapsulating Security Payload) jest stosowany do szyfrowania oraz częściowego uwierzytelniania danych. W przypadku korzystania z NAT-T, ten nagłówek jest ukryty za. ### Tryby połączeń VPN W przypadku połączeń VPN wyróżniamy dwa podstawowe typy: tryb tunelowy oraz tryb transportowy. - **Tryb transportowy** \- W tym trybie połączenie jest ustanawiane między prawdziwymi adresami nadawcy i odbiorcy. W przypadku przechwycenia pakietu w transporcie, atakujący zna dane odbiorcy i nadawcy, ale dzięki szyfrowaniu nie ma dostępu do zawartości pakietu. - **Tryb tunelowy** \- W tym trybie rzeczywiste adresy nadawcy i odbiorcy są ukryte za adresami urządzeń pośredniczących. W przeciwieństwie do trybu transportowego, do komunikacji nie jest wymagane bezpośrednie połączenie między urządzeniami końcowymi. ### Inicjalizacja połączenia typu site-to-site 1. Bramka VPN równorzędna inicjuje sesję do zdalnej bramki VPN. 2. Negocjacja parametrów połączenia fazy 1 (zarządzanie tunelem) ISAKMP/IKE. ISAKMP/IKE korzysta z portu UDP 500 (CISCO), inni dostawcy mogą używać losowo generowanych portów od 1023 wzwyż. 3. **Diffie-Hellman jest wykorzystywany do bezpiecznej wymiany kluczy** dla algorytmów szyfrowania oraz funkcji skrótu HMAC. 4. Obie urządzenia (bramki VPN) wzajemnie potwierdzają swoje tożsamości. 5. Faza 2 ISAKMP/IKE - **peery negocjują parametry oraz kluczowe informacje do zabezpieczenia** (dane przesyłane przez tunel utworzony w fazie 1 lub poprzez ponowne wykorzystanie Diffie-Hellmana). 6. Zakończenie tworzenia tunelu fazy 2, **rozpoczęcie przesyłania danych**. 7. W razie potrzeby odtworzenie tuneli fazy 1 lub 2 po upływie czasu ważności (wygaśnięciu okresu życia). ### Inicjalizacja połączenia typu remote-access 1. Klient VPN inicjuje sesję do zdalnego peer-a bramy VPN. 2. Negocjacja parametrów połączenia dla fazy 1 (zarządzanie tunelem) ISAKMP/IKE. ISAKMP/IKE korzysta z portu UDP 500 (CISCO), inne firmy mogą używać losowo generowanych portów 1023+. 3. **Diffie-Hellman jest wykorzystywany do bezpiecznej wymiany kluczy dla algorytmów szyfrowania oraz funkcji skrótu HMAC**. 4. Oba urządzenia (brama VPN) wzajemnie potwierdzają swoją tożsamość. 5. **OPCJONALNIE!** Uwierzytelnianie użytkownika, dla IPsec stosuje się XAUTH. Brama VPN sprawdza nazwę użytkownika i hasło. 6. **Implementacja zdalnego dostępu** poprzez Ipsec **pozwala na przekazywanie *„policy information”***. W przypadku zestawienia połączenia między dwoma różnymi dostawcami istnieje ryzyko, że klient nie zrozumie otrzymanych informacji. Poniżej skrócona lista możliwych przekazywanych danych: 1. Wewnętrzny adres IP (LAN wewnętrzny) lub adres logiczny 2. Typ połączenia (klient lub rozszerzenie sieciowe/LAN) 3. Nazwę domeny DNS 4. Adres serwera DNS 5. Adres serwera WINS 6. Polityki split tunneling 7. Polityki zapory ogniowej 8. Polityki split DNS 9. Listę zapasowych adresów bram VPN 7. **OPCJONALNIE**! Możliwe jest **wstrzykiwanie odwróconych tras (RRI)**. Klient może rozgłaszać trasy routingu do bramy VPN, która dalej je rozpropaguje w sieci wewnętrznej. 8. W fazie 2 ISAKMP/IKE **peery negocjują parametry oraz kluczowe informacje do zabezpieczenia** (dane przesyłane poprzez tunel utworzony w fazie 1 lub poprzez ponowne wykorzystanie Diffie-Hellmana). 9. Zakończenie tworzenia tunelu fazy 2, rozpoczęcie przesyłania danych. 10. Ewentualne odtworzenie tuneli fazy 1 lub 2 po wygaśnięciu czasu ważności (expire of lifetime). ## ISAKMP/IKE ### Faza 1 **Tryb main:** W tym trybie przeprowadzane są trzy dwukierunkowe wymiany pakietów, co łącznie daje 6 pakietów. 1. Peery negocjują sposób zabezpieczenia połączenia w fazie 1\. 2. Peery używają protokołu Diffiego-Hellmana do wymiany kluczowych informacji. 3. Peery uwierzytelniają się wzajemnie (PSK/RSA). **Tryb Aggresive:** W tym trybie odbywają się tylko dwie dwukierunkowe wymiany pakietów. 1. Peery negocjują zabezpieczenia połączenia w fazie pierwszej, przesyłają klucze publiczne DH, dane identyfikacyjne oraz wynik weryfikacji. 2. Potwierdzenie otrzymania pakietów z pierwszej wymiany, akceptacja warunków i utworzenie tunelu. ### Faza 2 **Faza 2 IKE posiada jedynie tryb Quick Mode**. Ten tryb określa, w jaki sposób zostanie zabezpieczone połączenie do przesyłania danych: 1. Negocjuje parametry bezpieczeństwa dla połączenia fazy drugiej. 2. Okresowe odnawianie kluczowych informacji. ## Tryby połączenie klienta ### **Tryb klienta** W tym trybie klient otrzymuje wewnętrzny adres IP od bramy VPN. Jeśli klientem jest fizyczne urządzenie, na przykład mały router SOHO, to to urządzenie dokonuje translacji PAT (port/address translation) dla urządzeń w swojej sieci LAN. Z perspektywy sieci VPN wszystkie urządzenia za klientem VPN posiadają ten sam adres IP, który otrzymują z puli DHCP bramy VPN. W każdym oddziale możliwe jest wykorzystanie tej samej puli adresów IP. W trybie klienta tunel do bramy VPN jest nawiązywany ręcznie lub automatycznie poprzez dowolny ruch wychodzący od klienta, ponieważ klient musi pobrać reguły split tunnelingu (określające, która część ruchu ma być filtrowana, a która nie). ![Ipsec client mode przykład działania](https://innasiec.pl/content/images/2024/06/ipsec_client_mode.webp) ### Tryb Rozszerzenia LAN Ten tryb symuluje połączenie typu site-to-site, ale z punktu widzenia bramy VPN na drugim końcu tunelu nadal jest traktowany jako klient. Pozwala to na zastosowanie wszystkich ustawień polityki informacyjnej dla grupy urządzeń. W odróżnieniu od połączenia w trybie klienckim, inicjowanie tunelu jest możliwe od strony bramy, a także umożliwia bezpośrednie połączenie z urządzeniami w SOHO ze względu na brak translacji PAT. W tym modelu wszystkie adresy w danej sieci VPN muszą być unikatowe. ![Ipsec tryb lan extension przykład działania](https://innasiec.pl/content/images/2024/06/ipsec_client_lan_ext.webp) ### Tryb site to site – s2s Ten rodzaj połączenia umożliwia bezpieczne połączenie dwóch lub więcej lokalizacji poprzez niezabezpieczoną sieć zewnętrzną, na przykład internet. Urządzenia brzegowe w każdej lokalizacji nawiązują bezpieczny tunel, a cała operacja VPN jest transparentna dla użytkownika. Najczęściej VPN typu site to site jest utożsamiany z L2L, czyli LAN to LAN. ![Tryb site2site IPsec VPN](https://innasiec.pl/content/images/2024/06/ipsec_client_site2site.webp) ## Konfiguracja IPsec Przedstawiona konfiguracja IPsec opisuje sposób łączenia site-to-site, co umożliwia bezpieczną, szyfrowaną komunikację między Bydgoszczą a Toruniem. **Konfiguracja routera Bydgoszcz** ``` crypto isakmp policy 10 - Tworzymy politykę dla Fazy pierwszej encr aes 256 - wybieramy algorytm szyfrowania authentication pre-share - wybieramy sposób uwierzytelnienia group 5 - wybieramy grupę DH lifetime 3600 - wybieramy czas ważności tunelu ! crypto isakmp key cisco address 10.2.0.2 - wybieramy hasło oraz podajemy adres peera dla IPsec ! crypto ipsec transform-set TRANSFORM_SET_1 esp-aes 256 esp-sha-hmac - Tworzymy politę dla fazy drugiej ! access-list 100 permit ip 192.168.1.0 0.0.0.255 192.168.3.0 0.0.0.255 - Tworzymy access listę która określa jaki ruch wpuszczać do tunelu IPsec ! crypto map STS_VPN 10 ipsec-isakmp - tworzymy crypto mapę która zepnie razem wszystkie wcześniej przygotowane elementy set peer 10.2.0.2 - określamy peera dla bezpiecznej komunikacji set transform-set TRANSFORM_SET_1 - wybieramy zestaw transformacji match address 100 - wybieramy access-listę ! interface FastEthernet0/0 - wybieramy interfejs na którym ma działać IPsec crypto map STS_VPN - przypinamy crypto mapę do interfejsu ``` **Konfiguracja routera Toruń** ``` crypto isakmp policy 10 encr aes 256 authentication pre-share group 5 lifetime 3600 ! crypto isakmp key cisco address 10.1.0.1 ! crypto ipsec transform-set TRANSFORM_SET_1 esp-aes 256 esp-sha-hmac ! crypto map STS_VPN 10 ipsec-isakmp set peer 10.1.0.1 set transform-set TRANSFORM_SET_1 match address 100 ! interface FastEthernet0/0 crypto map STS_VPN ``` ### Praktyczne projekty sieciowe - Paweł Zaręba URL: https://innasiec.pl/praktyczne-projekty-sieciowe-pawel-zareba/ Last updated: 2024-06-25T06:50:26.000Z Dobrych książek traktujących o sieciach komputerowych jest wyjątkowo mało. Zazwyczaj są to podręczniki przygotowujące do certyfikacji u konkretnego producenta sprzętu. Oczywiście nie ma w tym nic złego, ale zwykle są to pozycje napisane po angielsku (chwała im za to, do teraz mam awersję do security po przeczytaniu polskiej wersji podręcznika do CCNA Security). Żyjemy jednak w kraju nad Wisłą, gdzie posługujemy się językiem polskim i dla niektórych to właśnie będzie czynnikiem decydującym przy wyborze lektury. Na szczęście książka Pawła Zaręby „Praktyczne projekty sieciowe” jest napisane w naszym ojczystym języku z zachowaniem przyjętych zapożyczeń z języka Szekspira. ## KIM JEST AUTOR KSIĄŻKI? ![Paweł Zaręba](https://innasiec.pl/content/images/wordpress/2019/09/pawelzareba.jpeg) **Autorem książki jest Paweł Zaręba, który z branżą IT oraz ICT jest związany już od 10 lat**. Poniżej możesz przeczytać którą notkę biograficzną pochodzącą z jego książki: **Mgr inż. Paweł Zaręba** w branży IT (information technology) oraz ICT (information and communication technology) działa od ponad 10 lat. W 2009 roku ukończył informatykę w Wyższej Szkole Biznesu w Dąbrowie Górniczej, a w 2013 roku — studia podyplomowe na kierunku mechatronika w Wyższej Szkole Mechatroniki w Katowicach. **Jest certyfikowanym specjalistą Microsoft i Cisco.** Od początku swojej kariery zawodowej był związany z sieciami komputerowymi oraz środowiskiem sieciowo-serwerowym — rozpoczynał jako administrator systemów i sieci; pracował zarówno dla firm krajowych, jak i międzynarodowych. Obecnie jako network engineer w międzynarodowej korporacji jest odpowiedzialny za projektowanie, wdrażanie i utrzymanie sieci globalnej. ## Tematyka Książka traktuje o sieciach komputerach. To raczej kwestia oczywista i nikt nie powinien tutaj być zaskoczony. Omawiane projekty bazują typowo dla branży na produktach Cisco, ale co ciekawe wszystkie da się zrealizować w Packet Tracerze. Jeśli nie wiesz co PT, to już śpieszę z wyjaśnieniem, otóż jest to zaawansowany symulator sieci, który w obecnej wersji pozwala na przetestowanie różnych scenariuszy oraz przedstawia w sposób graficzny, jak w naszej sieci poruszają się pakiety. Dla osób początkujących jest to narzędzie po prostu świetne. Pozwala na własne oczy zobaczyć, jak urządzenia komunikują się ze sobą. W dowolnym momencie możemy podejrzeć, jak dany pakiet się zmienia oraz przykładowo, dlaczego został odrzucony. **Autor obiecuje nam już na wstępie, że w książce zostają poruszone zagadnienia, z którymi miał do czynienia na przestrzeni swojej 10-letniej kariery w sieciach.** I tak o to mamy do czynienia z sieciami WAN, LAN oraz WLAN. W listę protokołów z których skorzystamy, wpisują się: **VLAN, IPv4** oraz **IPv6** czy R**adius, Netflow, QoS** i **DHCP**. Oczywiście to tylko kilka przykładów. **Projekty w tej książce są tak dobrane, że osoby uczące się do CCNA są w stanie je zrozumieć oraz mieć frajdę z samodzielnego ich wdrożenia.** Oznacza to, że nie mamy tutaj suchych, laboratoryjnych przykładów jak działa konkretny protokół, ale otrzymujemy rozwiązania kompleksowe, wręcz produkcyjne. Takie podejście oferuje sporo frajdy oraz daje pogląd na to, z czym osoba początkująca może mieć do czynienia w przyszłości. ## Omawiane projekty ![praktyczne projekty sieciowe spis treści](https://innasiec.pl/content/images/wordpress/2019/09/praktyczne-projekty-sieciowe-spis-tresci-1024x768.jpg) Tytuł każdego z rozdziałów doskonale oddaje tematykę omawianego projektu, spójrzmy więc na spis treści: 1. **Wprowadzenie do sieci w pigułce – niezbędnik administratora sieci** 2. **Segmentacja sieci, czyli VLAN-y** 3. **Dostęp do internetu na bazie DSL oraz dial-up** 4. **Awaria w sieci LAN okiem admina – jak sobie poradzić?** 5. **VoIP – darmowe połączenia telefoniczne w oddziale firmy** 6. **VoIP między oddziałami – topologia fizyczna i logiczna** 7. **Redundancja w sieci: EtherChannel plus HSRP** 8. **Zdalny monitoring domu, czyli IoE w praktyce** 9. **Poczta i internet w smartfonie, czyli projekt sieci mobilnej** 10. **MPLS i VPN – komunikacja między oddziałami firmy** 11. **QoS, NetFlow i RADIUS w akcji, czyli trochę sieciowych technologii w praktyce** 12. **IoT w praktyce – inteligentny dom** 13. **Sieć w hotelu z wykorzystaniem kontrolera Wi-Fi oraz zapory ogniowej** Jak widać w spisie treści, praktycznie każdy rozdział dotyczy innej tematyki i korzysta z różnych technologii. Na minus muszę zaliczyć rozdział 10, który wprowadza w błąd, niestety nie skonfigurujemy żadnego połączenia na podstawie MPLS. Owszem to zagadnienie jest wytłumaczone w sposób dający ogólny pogląd na technologię, ale nie tego oczekuje się od „praktycznych projektów”. Po części jest to zapewne spowodowane brakiem wsparcia dla MPLS w Packet Tracer. ![Praktyczne projekty sieciowe ramka mpls](https://innasiec.pl/content/images/wordpress/2019/09/praktyczne-projekty-sieciowe-ramka-mpls-1024x768.jpg) ## Dla kogo jest ta książka? Najwięcej wartościowej treści znajdą w niej osoby dopiero rozpoczynające przygodę z sieciami komputerowymi. Bardzo dobrze to widać, już w pierwszym rozdziale, który jest swoistą powtórką z podstaw działania poszczególnych warstw stosu ISO/OSI. Każdy, kto przygotowuje się do CCNA( na takim poziomie są poruszane projekty) odnajdzie tu mnóstwo wartościowych projektów, które z pewnością ciekawie uzupełnią akademickie laby. ## ## Łyżka dziegciu w beczce miodu Przygotowując się do napisania tej recenzji, nabyłem ebook’a w celu zabrania go ze sobą na urlop. Ot, taka „lekka” odskocznia od podręczników na wieczorną lekturę… i skończyłem ją jeszcze przed wyjazdem! Tak, przeczytanie całej książki zajęło mi 4 wieczory. Duży wpływ na to miał z pewnością fakt, że każde zagadnienie jest bogato ilustrowane. Jeden obraz jest podobno wart więcej niż tysiąc słów i z pewnością coś w tym jest. Oprócz opisu każde nowe zagadnienie posiada odpowiednią ilustrację, na przykład omawiany na początku proces nadawania adresacji przez serwer DHCP. Niestety jednak nie obyło się bez drobnych błędów jak literówka – FSC zamiast pola FCS – czy pomylenie enkapsulacji z dekapsulacją na początku książki. Muszę również wspomnieć o poświęceniu zbyt wielu stron opisaniu mpls, z którego nie skorzystamy w żadnym projekcie. Fajnie, że ten protokół został poruszony, ale w książce o praktycznych projektach spodziewałem się wyłącznie praktycznych materiałów. ![Praktyczne projekty sieciowe DHCP](https://innasiec.pl/content/images/wordpress/2019/09/praktyczne-projekty-sieciowe-dhcp-1024x768.jpg) [ Praktyczne projekty sieciowe – kup książkę ](https://helion.pl/view/156926/praktyczne-projekty-sieciowe-pawel-zareba,ksipra?ref=innasiec.pl) Link powyżej jest linkiem afiliacyjnym, co oznacza, że otrzymam prowizję od sprzedaży. **Recenzja nie była w żaden sposób sponsorowana.** Dobrych książek o sieciach komputerowych jest niewiele. Zazwyczaj są to podręczniki przygotowujące do certyfikacji u konkretnego producenta sprzętu. Choć nie ma w tym nic złego, to często są one napisane po angielsku, co może stanowić barierę dla niektórych czytelników. Mamy jednak szczęście żyć w kraju, gdzie posługujemy się językiem polskim, co dla wielu może być decydującym czynnikiem przy wyborze lektury. Książka "Praktyczne projekty sieciowe" autorstwa Pawła Zaręby to jedna z nielicznych pozycji na rynku napisana w języku polskim. Autor zachował przy tym przyjęte zapożyczenia z języka angielskiego, co sprawia, że treść jest klarowna i łatwo przyswajalna. Dzięki temu czytelnicy mogą zgłębiać tajniki sieci komputerowych w swoim rodzimym języku, co z pewnością ułatwia proces nauki i zrozumienia skomplikowanych zagadnień. ### KIM JEST AUTOR KSIĄŻKI? ![Paweł Zaręba autor książki praktyczne projekty sieciowe](https://innasiec.pl/content/images/2024/06/pawelzareba.webp) Autor książki, Paweł Zaręba, związany jest z branżą IT oraz ICT od 10 lat. Poniżej znajdziesz jego biografię zaczerpniętą z książki: **Mgr inż. Paweł Zaręba działa w branży IT (technologia informacyjna) oraz ICT (technologia informacyjno-komunikacyjna) od ponad 10 lat.** W 2009 roku ukończył informatykę na Wyższej Szkole Biznesu w Dąbrowie Górniczej, a w 2013 roku studia podyplomowe z mechatroniki na Wyższej Szkole Mechatroniki w Katowicach. Posiada certyfikaty specjalisty Microsoft i Cisco. **Od początku swojej kariery zawodowej zajmował się sieciami komputerowymi oraz infrastrukturą sieciowo-serwerową**. Rozpoczynał jako administrator systemów i sieci, pracując zarówno dla firm krajowych, jak i międzynarodowych. Obecnie, jako inżynier sieciowy w międzynarodowej korporacji, odpowiada za projektowanie, wdrażanie i utrzymanie globalnej sieci. ### Tematyka książki Książka traktuje o sieciach komputerowych. To raczej oczywiste i nikt nie powinien być zaskoczony. O**mawiane projekty bazują typowo na produktach Cisco, ale co ciekawe, wszystkie da się zrealizować w Packet Tracerze**. Jeśli nie wiesz, co to jest PT, to już wyjaśniam - to zaawansowany symulator sieci, który w obecnej wersji pozwala na przetestowanie różnych scenariuszy oraz przedstawia w sposób graficzny, jak w naszej sieci poruszają się pakiety. Dla osób początkujących jest to po prostu świetne narzędzie. Pozwala na zobaczenie na własne oczy, jak urządzenia komunikują się ze sobą. W dowolnym momencie możemy podejrzeć, jak dany pakiet się zmienia oraz na przykład, dlaczego został odrzucony. Autor obiecuje nam już na wstępie, że w książce zostaną poruszone zagadnienia, z którymi miał do czynienia na przestrzeni swojej 10-letniej kariery w sieciach. I tak mamy do czynienia z sieciami WAN, LAN oraz WLAN. **Na liście protokołów, z których skorzystamy, znajdują się: VLAN, IPv4 oraz IPv6, Radius, Netflow, QoS i DHCP.** Oczywiście to tylko kilka przykładów. Projekty w tej książce są tak dobrane, że osoby uczące się do CCNA są w stanie je zrozumieć oraz cieszyć się z samodzielnego ich wdrożenia. Oznacza to, że nie mamy tutaj suchych, laboratoryjnych przykładów działania konkretnego protokołu, ale otrzymujemy rozwiązania kompleksowe, wręcz produkcyjne. Takie podejście oferuje dużo frajdy oraz daje pogląd na to, z czym osoba początkująca może mieć do czynienia w przyszłości. ### Omawiane projekty ![Praktyczne projekty sieciowe spis treści](https://innasiec.pl/content/images/2024/06/praktyczne-projekty-sieciowe-spis-tresci-1024x768.webp) Tytuł każdego z rozdziałów doskonale oddaje tematykę omawianego projektu, dlatego spójrzmy na spis treści: - Wprowadzenie do sieci w pigułce – niezbędnik administratora sieci - Segmentacja sieci, czyli VLAN-y - Dostęp do internetu na bazie DSL oraz dial-up - Awaria w sieci LAN z perspektywy admina – jak sobie poradzić? - VoIP – bezpłatne połączenia telefoniczne w siedzibie firmy - VoIP między siedzibami – topologia fizyczna i logiczna - Redundancja w sieci: EtherChannel oraz HSRP - Zdalny monitoring domu – IoE w praktyce - Poczta i internet w smartfonie – projekt sieci mobilnej - MPLS i VPN – komunikacja między siedzibami firmy - QoS, NetFlow oraz RADIUS w działaniu – trochę sieciowych technologii w praktyce - IoT w praktyce – inteligentny dom - Sieć w hotelu z wykorzystaniem kontrolera Wi-Fi oraz zapory ogniowej Jak widać w spisie treści, praktycznie każdy rozdział dotyczy innej tematyki i korzysta z różnych technologii. Na minus muszę zaliczyć rozdział 10, który wprowadza w błąd – niestety nie skonfigurujemy żadnego połączenia na podstawie MPLS. Owszem, zagadnienie to jest wyjaśnione w sposób ogólny, lecz od "praktycznych projektów" oczekuje się czegoś innego. Prawdopodobnie brak wsparcia dla MPLS w Packet Tracer ma tutaj znaczenie. ![praktyczne projekty sieciowe - ramka mpls](https://innasiec.pl/content/images/2024/06/praktyczne-projekty-sieciowe-ramka-mpls-1024x768.webp) ### Dla kogo jest ta książka? **Najwięcej wartościowej treści znajdą w niej osoby dopiero rozpoczynające przygodę z sieciami komputerowymi**. Bardzo dobrze to widać już w pierwszym rozdziale, który jest swoistą powtórką z podstaw działania poszczególnych [warstw stosu ISO/OSI](https://innasiec.pl/model-referencyjny-iso-osi/). Każdy, kto przygotowuje się do CCNA (na takim poziomie są poruszane projekty), odnajdzie tu mnóstwo wartościowych projektów, które z pewnością ciekawie uzupełnią akademickie laby. Ta książka stanowi doskonałe wsparcie dla osób rozpoczynających naukę w obszarze sieci komputerowych. Szczególnie przydatna będzie dla tych, którzy przygotowują się do egzaminu CCNA, ponieważ zawiera wiele praktycznych projektów, które mogą interesująco uzupełnić akademickie laboratoria. ### Łyżka dziegciu w beczce miodu Przygotowując się do napisania tej recenzji, nabyłem ebooka w celu zabrania go ze sobą na urlop. Ot, taka "lekka" odskocznia od podręczników na wieczorną lekturę… i skończyłem ją jeszcze przed wyjazdem! Tak, przeczytanie całej książki zajęło mi 4 wieczory. Duży wpływ na to miał z pewnością fakt, że każde zagadnienie jest bogato ilustrowane. Jeden obraz jest podobno wart więcej niż tysiąc słów i z pewnością coś w tym jest. Oprócz opisu każde nowe zagadnienie posiada odpowiednią ilustrację, na przykład omawiany na początku proces nadawania adresacji przez serwer DHCP. Niestety jednak nie obyło się bez drobnych błędów, jak literówka – FSC zamiast pola FCS – czy pomylenie enkapsulacji z dekapsulacją na początku książki. Muszę również wspomnieć o poświęceniu zbyt wielu stron na opisanie MPLS, z którego nie skorzystamy w żadnym projekcie. Fajnie, że ten protokół został poruszony, ale w książce o praktycznych projektach spodziewałem się wyłącznie praktycznych materiałów. ![](https://innasiec.pl/content/images/2024/06/praktyczne-projekty-sieciowe-dhcp-1024x768.webp) ![](https://innasiec.pl/content/images/2024/06/Praktyczne-projekty-sieciowe-Zare-ba.webp) #### Praktyczne projekty sieciowe Książka ***Praktyczne projekty sieciowe** bezboleśnie wprowadzi Cię w świat współczesnych technologii sieciowych. Przedstawia najistotniejsze informacje na temat ich możliwości oraz ograniczeń. W niezwykle praktyczny sposób uczy, jak radzić sobie z zadaniami stawianymi przed projektantami i administratorami sieci. [Kup książkę](https://helion.pl/view/156926/praktyczne-projekty-sieciowe-pawel-zareba,ksipra?ref=innasiec.pl) Link powyżej jest linkiem afiliacyjnym, co oznacza, że otrzymam prowizję od sprzedaży. **Recenzja nie była w żaden sposób sponsorowana.** ### Konfiguracja EVE-NG w Google Cloud Platform URL: https://innasiec.pl/konfiguracja-eve-ng-w-google-cloud-platform/ Last updated: 2024-06-26T11:45:32.000Z \[et\_pb\_section fb\_built=”1″ admin\_label=”section” \_builder\_version=”4.16″ global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\]\[et\_pb\_row admin\_label=”row” \_builder\_version=”4.16″ background\_size=”initial” background\_position=”top\_left” background\_repeat=”repeat” global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”4.16″ custom\_padding=”|||” global\_colors\_info=”{}” custom\_padding\_\_hover=”|||” theme\_builder\_area=”post\_content”\]\[et\_pb\_text admin\_label=”Text” \_builder\_version=”4.16″ background\_size=”initial” background\_position=”top\_left” background\_repeat=”repeat” global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\] **EVE-NG** (fork upadłego UNL) to obok GNS3 jeden z obecnie najpopularniejszych rozwiązań dostępnych na rynku. Pozwala na emulację oraz łączenie w sieci sprzęt różnych vendorów, jak i również różnych systemów operacyjnych. Umożliwia postawienie wirtualnego obrazu systemu linux – lub windows – i skonfigurowanie wszystkich typowych usług. Bez problemu przetestujesz nie tylko typowo sieciowe scenariusze, ale również te wymagające stosowania NTP, AAA, Radiusa, Tacacsa oraz bardziej zaawansowanych aplikacji. Właściwie ogranicza Cię, wyłącznie Twoja wyobraźnia. Do tego EVE-NG w odróżnieniu od GNS 3 pracuje w formie clientless. Co znacza, że jest uruchamiany na serwerze, a klient do podłączenia potrzebuje jedynie przeglądarki, ponieważ interfejs jest napisany w HTML5. ## Google Cloud Platform **GCP to usługa chmury publicznej od wielkiego brata.** Tworzy wielką trójcę dostawców usług chmurowych razem z **Amazon Web Services** oraz **Azure** od **Microsoftu**. Oprócz typowego udostępniania usług w modelu IaaS czy PaaS oferuje integrację ze swoimi typowymi usługami jak G-Suite, czy Google Maps. System rabatowania zaproponowany przez google opiera się na premiowaniu deklaracji użytkowania oraz ciągłości usług, czyli im więcej używasz, tym większy rabat dostajesz. **Google Cloud Platform oferuje darmowy, roczny program testowania swoich usług do kwoty 300USD.** ## Koszty labowania w chmurze Do **kalkulacji kosztów labowania** w **GCP** posłużymy się przykładem **maszyny wirtualnej o mocy 8 vCPU, 30GB RAM oraz 30GB dysku twardego.** Nasza VM będzie znajdowała się w regionie Europe-West3. To, co nas interesuje to: 1. Stała opłata za użytkowanie dysku 1,44$ / 5,60zł 2. Godzinowa stawka 0,345$ / 1,34zł Załóżmy, że będziemy labować 5 godzin tygodniowo, a każdy miesiąc ma 4 tygodnie. Koszt labowania wyniesie więc **4 tygodnie x 5godzin x 1,34zł + 5,60zł = 32,40zł** Cena w złotówkach została policzona po kursie 1USD – 3,89PLN Wszystkie dane dotyczące kosztów, które wziąłem do kalkukacji, możesz znaleźć na obrazku poniżej. ![Koszt labowania w chmurze GCP](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-labowanie-w-chmurze.png) ## Przygotowanie - Przejdź na stronę [http://console.cloud.google.com](http://console.cloud.google.com/?ref=innasiec.pl) i zaloguj się na swoje konto. Jeśli go nie posiadasz, będziesz musiał je założyć. **Podpięcie karty kredytowej jest obowiązkowe.** Google twierdzi, że prosi Cię o nią wyłącznie w celu odfiltrowania kont zakładanych przez boty i weryfikacji użytkowników. ![Logowanie do konta google w usłudze Google Cloud](https://innasiec.pl/content/images/wordpress/2019/08/google-cloud-getting-started-1024x266.png) - Standardowo **Google Cloud Platform (**w skrócie **GCP)** tworzy dla Ciebie pierwszy projekt o nazwie **My First Project.** W celu uniknięcia później przypadkowego usunięcia tego projektu zalecam utworzenie nowego. Projekt w GCP jest najwyższą formą (poza organizacją) agregacji wszystkich usług i zasobów. ![Zakładanie nowego projektu w GCP](https://innasiec.pl/content/images/wordpress/2019/08/nowy-projekt-eve-ng-1024x45.png) - W menu wyboru projektu wybieramy opcję **NOWY PROJEKT** dostępną w prawym, górnym rogu. ![Zakładanie nowego projektu w GCP](https://innasiec.pl/content/images/wordpress/2019/08/nowy-projekt-eve-ng-2-1024x77.png) - Utwórz nowy projekt o dowolnej nazwie, pamiętaj jednak, że nie możesz jej później zmienić. Tworząc nowe konto, masz możliwość utworzenia do 10 projektów, ja niestety mam już kilka w użyciu, tak więc pozostało mi 7 możliwych do wykorzystania w przyszłości. ![Finalizacja tworzenia nowego projektu w GCP](https://innasiec.pl/content/images/wordpress/2019/08/nowy-projekt-eve-ng-3-1024x820.png) - W tym momencie rozpoczął się proces tworzenia **Twojego projektu.** W praktyce oznacza, to, że **GCP** musi zainicjować usługę **Compute Engine**. Wybierz ją z listy i przejdź do menu **Instancje maszyn wirtualnych.** ![Menu Compute Engine oraz wybrane podmenu Instancje maszyn wirtualnych](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-instancje-maszyn-wirtualnych-934x1024.png) - Zaczekaj do momentu, aż przycisk utwórz teraz, stanie się aktywny i będziesz mógł co kliknąć. ![Tworzenie maszyny wirtualnej](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-tworzenie-maszyny-wirtualnej-1024x447.png) - Zanim utworzymy naszą pierwszą VM-kę na potrzeby EVE-NG, musimy najpierw przygotować odpowiedni obraz systemu operacyjnego. **Nasz emulator do poprawnej pracy wymaga zagnieżdżonej wirtualizacji (wirtualizacji w wirtualizacji).** W tym celu musimy, wejść do **CLI Cloud Shell,** z którego poziomu w sposób zbliżony do linuxowego basha możemy utworzyć potrzebny obraz systemu z aktywną opcją wsparcia vmx. ![](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-cloud-shell-cli-1024x386.png) - Kiedy jesteśmy już w **CLI Cloud Shell,** przystępujemy do utworzenia właściwego obrazu dysku. gcloud compute images create nested-ubuntu-focal --source-imagefamily=ubuntu-2004-lts --source-image-project=ubuntu-os-cloud --licenses https://www.googleapis.com/compute/v1/projects/vmoptions/global/licenses/enable-vmx - Jeśli wszystko przebiegło poprawnie, poniższy komunikat poinformuje Cię, że obraz jest gotowy. ![Komunikat poprawnie utworzonego obrazu dysku](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-cloud-shell-cli-done-1024x119.png) - Mając już wszystko przygotowane, możemy przystąpić do tworzenia VM-ki. Wróć do menu **Compute Engine** i wybierz z menu **Instancje maszyn wirtualnych**. ![Tworzenie maszyny wirtualnej](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-tworzenie-maszyny-wirtualnej-1024x447.png) - Nadaj nazwę swojej wirtualnej maszynie, wybierz region (im bliżej Ciebie, tym lepiej) oraz odpowiednie parametry swojej maszyny. Od tego, jak mocny procesor i ile pamięci RAM wybierzesz, będzie zależał Twój godzinowy koszt użytkowania labu. W przykładzie utworzyłem VM-kę z 8 wirtualnymi procesorami oraz 30GB RAM. ![](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-tworzenie-vm.png) - Zmień **obraz dysku rozruchowego** ze standardowego na przygotowany wcześniej **nested-ubuntu-focal.** ![Wybór obrazu dysku przy tworzeniu VM](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-wybor-dysku-1024x829.png) - W **regułach zapory sieciowej** zezwól na: - Ruch **HTTP** jeśli chcesz korzystać z wersji **EVE-NG Community** - Ruch **HTTPS** jeśli chcesz korzystać z wersji **EVE-NG Professional** Oczywiście powyższe reguły możesz później edytować. ![Zezwalanie na ruch HTTP (S) w regułach zapory sieciowej](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-ruch-http-https.png) - Kiedy maszyna wirtualna zostanie już przygotowana i uruchomiona, musimy połączyć się z nią po SSH, aby dokonać instalacji EVE-NG na naszym serwerze. ![Zalogowany użytkownik w ubuntu](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-bash-ubuntu.png) - Musisz zalogować się jako **root**, jest to **konto posiadające prawo do edycji systemu, instalacji pakietów oraz zmian w ustawieniach.** Używaj go tylko do zadań administracyjnych, kiedy jest to niezbędne. W celu podniesienia naszych uprawnień musimy skorzystać z jednego z dwóch poniższych poleceń. Pierwsze z nich loguje Cię na konto root i przenosi do katalogu domowego, drugie z nich podnosi uprawnienia, ale pozostawia Cię w bieżącym katalogu. sudo -i sudo su - Twórcy EVE-NG przygotowali skrypty, które automatyzują proces instalacji do maksimum. Nie ma sensu wymyślanie koła na nowo, więc z nich skorzystamy: - **Dla wersji professional zastosuj ten skrypt** wget -O - http://www.eve-ng.net/repo/install-eve-pro.sh | bash -i - **Dla wersji Community zastosuj ten skrypt** wget -O - http://www.eve-ng.net/repo/install-eve.sh | bash -i ![Rozpoczęcie procesu instalacji](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-proces-instalacji.png) - Po udanej instalacji zaktualizuj wszystkie aplikacje i usługi. apt-get update && apt-get upgrade -y - Następnie zrestartuj wirtualną maszynę. Poniższe polecenie wymusza na systemie wyłączenie, jednak zastosowanie przełącznika -r sprawia, że zostanie on nie wyłączony, a zrestartowany. Słowo now oznacza, kiedy polecenie ma zostać wykonane, z ang. now, czyli natychmiast, teraz. shutdown -r now - Połączenie SSH zostanie zerwane i należy je ponowić. Kliknij na przycisk połącz ponownie. ![Wznawianie połączenie z zrestartowaną maszyną](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-wznawianie-polaczenia.png) - Kiedy wyskoczy okno kreatora, naciśnij ctrl + c, aby przerwać proces i przelogować się na roota. sudo -i - Następnie postępuj zgodnie z zaleceniami instalatora. **Przy wyborze adresacji IP koniecznie wybierz DHCP.** ![Wybór adresacji IP oraz prawidłowo zaznaczona opcja DHCP](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-wybor-adresacji-ip.png) - **Poniższe polecenia są wyłącznie dla wersji Professional.** Pozwalają na instalację **Dockera**, który w wersji Community nie jest obsługiwany. sudo -i apt-get update apt-get install eve-ng-dockers **Właściwa instalacja EVE-NG jest już zakończona.** Pozostało nam jeszcze dodanie odpowiednich reguł w zaporze systemowej, aby możliwe było łączenie się do naszych urządzeń w labie poprzez połączenie telnet -> port konsolowy emulowanego hosta. - Przechodzimy do menu **Sieć VPC**, następnie wybieramy **Reguły zapory sieciowej.** ![Menu sieci VPC orac zakładka Reguły zapory sieciowej](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-menu-regul-zapory-sieciowej-1024x566.png) - Wybieramy opcję **Utwórz nową regułę zapory sieciowej.** ![Wybór opcji utwórz regułę zapory sieciowej](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-utworz-nowa-regule-1024x85.png) - Musimy teraz utworzyć dwa filtry dla zapory sieciowej, dla ruchu przychodzącego i wychodzącego z naszej maszyny wirtualnej. Zacznijmy od ruchu przychodzącego. 1. Jako kierunek ruchu wybieramy **ruch przychodzący.** 2. Jako działanie w przypadku zgodności **Zezwalaj.** 3. Jako Cele wybieramy **Wszystkie instancje w sieci.** 4. Jako filtr źródeł wybieramy **zakresy IP.** 5. Jako Zakresy źródłowych adresów IP wybieramy **0.0.0.0/0**, aby każdy host mógł się komunikować z naszą VM-kę. Jeśli chcesz, możesz tutaj sprecyzować swój adres IP, na przykład 150.0.0.0/32. 6. Jako protokoły i porty wybieramy Określone protokoły i porty, tcp w zakresie 0 -65535 ![Konfiguracja reguł zapory sieciowej dla ruchu przychodzącego w GCP](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-konfiguracja-reguly-firewall-dla-ruchu-przychodzacego.png) - Konfiguracja drugiego filtra, dla ruchu wychodzącego jest identyczne poza kierunkiem ruchu, który oznaczamy jako wychodzący. 1. Jako kierunek ruchu wybieramy **ruch wychodzący.** 2. Jako działanie w przypadku zgodności **Zezwalaj.** 3. Jako Cele wybieramy **Wszystkie instancje w sieci.** 4. Jako filtr źródeł wybieramy **zakresy IP.** 5. Jako Zakresy źródłowych adresów IP wybieramy **0.0.0.0/0**, aby każdy host mógł się komunikować z naszą VM-kę. Jeśli chcesz, możesz tutaj sprecyzować swój adres IP, na przykład 150.0.0.0/32. 6. Jako protokoły i porty wybieramy Określone protokoły i porty, tcp w zakresie 0 -65535 ![Konfiguracja reguł firewall dla ruchu wychodzącego](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-konfiguracja-reguly-firewall-dla-ruchu-wychodz%C4%85cego.png) Instalacja oraz konfiguracja EVE-NG na Google Cloud Platform właśnie dobiegła końca. Nie pozostaje nam już nic innego jak przejść do weryfikacji czy wszystko działa. - Wybierz menu Compute Engine i następnie Instancje maszyn wirtualnych - Kliknij zewnętrzny adres IP **Pamiętaj, że wersja Community korzysta z protokołu HTTP zamiast HTTPS (przeznaczony dla wersji professional). GCP powinno domyślnie przekierować Cię na stronę z wykorzystaniem szyfrowanego połączenia.** ![Wybór VM do otwarcia w przeglądarce](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-wybor-vm-do-otwarcia-w-przegladarce-1024x225.png) Jeśli wszystko przebiegło pomyślnie, Twoim oczom powinien się ukazać ekran logowania. **Dane do logowania:** - login: admin - hasło eve ![Ekran logowania do eve-ng](https://innasiec.pl/content/images/wordpress/2019/08/eve-ng-logowanie-1024x946.png) Oryginalną wersję instrukcji (w języku angielskim) oraz więcej informacji na temat EVE-NG takie jak instrukcje dodawania konkretnych obrazów, znajdziesz na stronie projektu [http://www.eve-ng.net](http://www.eve-ng.net/?ref=innasiec.pl). **Drogi czytelniku, a Ty czego używasz do labowania?** \[/et\_pb\_text\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\] ### NAT i PAT - Network/Port Address Translation URL: https://innasiec.pl/nat-network-address-translation/ Last updated: 2024-06-25T11:49:45.000Z Już **w połowie lat dziewięćdziesiątych ubiegłego wieku pula adresów IP w wersji 4 została całkowicie rozdysponowana**. Obecnie, aby ubiegać się o blok adresów, należy zapisać się na listę oczekujących lub odkupić od kogoś innego. Oczywiście nadal możliwe jest otrzymanie pojedynczego adresu IPv4 od swojego dostawcy usług internetowych, ale co w sytuacji, kiedy potrzebujemy więcej niż jeden taki adres? Rozwiązaniem tego problemu jest oczywiście [przejście na IPv6](https://innasiec.pl/ipv6-nastepca-ipv4/). Dostępna tam pula pozwala na przydzielenie po kilka milionów adresów każdej osobie na ziemi i wciąż pozostanie jeszcze wiele dla kolejnych pokoleń. Brzmi świetnie, ale jak to w życiu bywa, nie zawsze możemy skorzystać z IPv6\. W takim przypadku możemy wyłożyć pieniądze na stół i kupić dodatkowe adresy, albo skorzystać z prywatnych adresów oraz zastosować NAT. ### Network Address Translation Zasada działania NAT został zdefiniowany w dokumencie RFC 3022 i umożliwia hostom, które nie posiadają poprawnego, zarejestrowanego oraz unikalnego adresu IP, komunikację z innym hostem. Wewnątrz naszej sieci możemy korzystać z adresacji prywatnej, takiej jak 10.0.0.0/8 lub adresacji należącej do innej organizacji, na przykład 1.0.0.0/8, w naszej sieci lokalnej. **Jeśli nie korzystamy z usług, które powinny być dostępne spoza naszej sieci, nie ma potrzeby przypisywania hostom adresów publicznych**. W niektórych przypadkach, na przykład dla drukarek, nie jest to nawet wskazane. ![Zasada działania NAT](https://innasiec.pl/content/images/2024/06/nat-zasada-dzialania.webp) Komunikacja jest możliwa dzięki temu, że router wykorzystuje właściwy, publiczny adres IPv4 do reprezentowania adresów prywatnych z sieci LAN. W tym celu adres IP nadawcy (**źródłowy IP**) jest podmieniany w każdym wychodzącym pakiecie. Poniższy obrazek przedstawia przykładową translację adresów oraz wprowadza nowe terminy, o których za chwilę omówimy. ![](https://innasiec.pl/content/images/2024/06/nat-destination-nat.webp) **INSIDE LOCAL** - Słowo "**Inside**" odnosi się do faktu, że adres permanentnie należy do jednej z naszych podsieci. Patrząc z naszej perspektywy, adres należy do nas. - Termin "**local**" oznacza, że adres będzie stosowany do komunikacji lokalnie, wewnątrz naszej sieci, a nie w internecie. **INSIDE GLOBAL** - Słowo "**Inside**" odnosi się do faktu, że adres permanentnie należy do jednej z naszych podsieci. Patrząc z naszej perspektywy, adres należy do nas. - Termin "**global**" oznacza, że adres będzie stosowany do komunikacji na zewnątrz, z hostami dostępnymi w internecie. **OUTSIDE GLOBAL** - W procesie NAT ten adres reprezentuje adres dostępny w internecie i nie jest podmieniany w procesie Source NAT. **OUTSIDE LOCAL** - Termin ten ma zastosowanie jedynie w przypadku, gdy bierzemy pod uwagę **Destination NAT**. - Słowo "**outside**" odnosi się do faktu, że host, do którego wysłany został pakiet, jest ogólnodostępny w internecie. - Termin "**local**" oznacza, że prawdziwy odbiorca pakietu korzysta z adresacji prywatnej. ### Adresy prywatne – RFC 1918 Adresy prywatne w IPv4 to takie, które nie muszą być unikatowe w skali internetu. Oznacza to, że każdy w ramach swojej sieci może z nich korzystać. W tym celu IETF wydzieliło 3 specjalne podsieci: - **10.0.0.0/8** 10.0.0.0 – 10.255.255.255 - **172.16.0.0/12** 172.16.0.0 – 172.31.255.255 - **192.168.0.0/16** 192.168.0.0 – 192.168.255.255 Adresy prywatne stosujemy zawsze tam, gdzie nie potrzebujemy udostępniać zasobów w Internecie. Nie oznacza to oczywiście, że odłączasz się od sieci. Nadal masz możliwość komunikowania się z hostami posiadającymi publiczny, routowalny adres IPv4. ### Translacja źródłowa (Source NAT) **Najczęściej spotykaną formą jest translacja źródłowa (source NAT)**. Kiedy host w naszej sieci lokalnej wysyła pakiet do innego hosta w Internecie, router, który dokonuje translacji (zazwyczaj będzie to router brzegowy na styku do Internetu), podmienia **źródłowy adres IP (inside local)** na **adres dostępny globalnie (inside global).** Aby osiągnąć ten cel, mamy dwie opcje do wyboru. Możemy zdefiniować statycznie pary adresów **(inside local – inside global)** lub pozwolić, aby tworzyły się dynamicznie, na zasadzie kto pierwszy, ten lepszy. W chwili dokonania translacji router zapisuje w swojej pamięci daną parę, aby następnie wracając pakiet przekazać do właściwego hosta w sieci wewnętrznej. ![NAT w wersji statycznej, czyli translacja adresów jest z góry określona](https://innasiec.pl/content/images/2024/06/nat-statyczny.webp) ### Konfiguracja statycznego NAT NAT statyczny jest najprostszy do skonfigurowania, ale nadal wymaga uwagi. Należy odpowiednio skonfigurować interfejsy, na których ma zostać wykonana translacja, oraz utworzyć pary adresów prywatnych i publicznych. Pamiętaj, że istotna jest kolejność, w jakiej podajesz te adresy. 1. Użyj polecenia `ip nat inside` do konfiguracji interfejsu od strony LAN. 2. Zastosuj polecenie `ip nat outside` do konfiguracji interfejsu od strony spoza naszej sieci. 3. Na zakończenie, za pomocą komendy `ip nat source static inside-local inside-global`, utwórz statyczną mapę adresów do translacji. ``` interface GigabitEthernet0/0 ip address 10.0.0.2 255.0.0.0 ip nat inside ! interface GigabitEthernet0/1 ip address 150.0.0.1 255.255.255.0 ip nat outside ! ip nat inside source static 10.0.0.2 150.0.0.1 Router#show ip nat translation Pro Inside global Inside local Outside local Outside global --- 150.0.0.1 10.0.0.2 --- --- Router#show ip nat statistics Total translations: 1 (1 static, 0 dynamic, 0 extended) Outside Interfaces: GigabitEthernet0/1 Inside Interfaces: GigabitEthernet0/0 Hits: 21 Misses: 0 Expired translations: 0 Dynamic mappings: ``` ### Konfiguracja dynamicznego NAT Konfiguracja dynamicznego NAT różni się od statycznego. Nadal musimy zdefiniować, które interfejsy będą wejściowe (inside), a które wyjściowe (outside). Jednak zamiast tworzenia par statycznych, będziemy korzystać z innych mechanizmów. Stworzymy listę ACL, która będzie wskazywała adresy IP prywatne. Adresy publiczne (globalne) definiujemy, tworząc pulę (ang. pool). Na koniec pozostaje nam tylko połączyć te elementy razem. 1. Komendę `p nat inside` stosujemy w konfiguracji interfejsu po stronie naszej sieci wewnętrznej (tak jak w przypadku statycznego NAT). 2. Polecenie `ip nat outside` używamy w konfiguracji interfejsu po stronie sieci zewnętrznej (tak jak przy statycznym NAT). 3. Tworzymy **listę ACL (access control list)**, która określi, które adresy prywatne IPv4 mogą być przetłumaczone. 4. Tworzymy pulę adresów NAT za pomocą polecenia `ip nat pool nazwa pierwszy adres ostatni adres netmask maska podsieci`. 5. Na zakończenie łączymy wszystko w całość za pomocą polecenia `ip nat inside source list numer listy pool nazwa puli`. ``` interface GigabitEthernet0/0 ip address 10.0.0.2 255.0.0.0 ip nat inside ! interface GigabitEthernet0/1 ip address 150.0.0.1 255.255.255.0 ip nat outside ! ip nat pool INTERNET 150.0.0.1 150.0.0.5 netmask 255.255.255.0 ! ip nat inside list 1 pool INTERNET ! access-list 1 permit 10.0.0.2 ! Router#show ip nat statistics Total translations: 4 (0 static, 4 dynamic, 4 extended) Outside Interfaces: GigabitEthernet0/1 Inside Interfaces: GigabitEthernet0/0 Hits: 7 Misses: 8 Expired translations: 4 Dynamic mappings: -- Inside Source access-list 1 pool INTERNET refCount 4 pool INTERNET: netmask 255.255.255.0 start 150.0.0.1 end 150.0.0.5 type generic, total addresses 5 , allocated 1 (20%), misses 0 ``` ### PAT, czyli NAT overload NAT w swojej podstawowej postaci, zarówno statyczny, jak i dynamiczny, boryka się z istotnym problemem. Podczas tworzenia pary adresów inside local – inside global, przypisujemy jeden adres globalny do jednego prywatnego. W przypadku posiadania w domu 10 urządzeń, potrzebujemy 10 adresów publicznych. ``` Router#show ip nat translations Pro Inside global Inside local Outside local Outside global icmp 150.0.0.1:10 10.0.0.3:10 200.0.0.1:10 1200.0.0.1:10 icmp 150.0.0.2:1 10.0.0.2:1 200.0.0.1:1 200.0.0.1:1 ``` Rozwiązaniem tego problemu jest **PAT (Port Address Translation)**, który pozwala na translację wielu adresów prywatnych na jeden - lub kilka - publicznych. Dzieje się tak, ponieważ **w przypadku przeciążenia NAT następuje podmiana nie tylko adresu IP, ale również numeru portu**. Dzięki temu jesteśmy w stanie obsłużyć do 65 000 adresów prywatnych tylko przy użyciu jednego adresu IP publicznego. ![](https://innasiec.pl/content/images/2024/06/pat-nat-overload.webp) PAT czyli NAT overload ### Konfiguracja NAT overload Konfiguracja NAT overload przebiega w sposób identyczny jak NAT dynamiczny, z tą różnicą, że na końcu dodajemy słowo "overload". Musimy wskazać interfejsy, na których będzie dokonywana translacja **(ip nat inside oraz ip nat outside)**, **zdefiniować listę ACL** określającą adresy prywatne do tłumaczenia oraz **określić zakres adresów publicznych**. Możemy wskazać konkretny interfejs z adresem publicznym lub stworzyć pulę adresów. 1. Podobnie jak przy NAT, używamy komendy `ip nat inside` do konfiguracji interfejsu. Interfejs zewnętrzny konfigurujemy poleceniem ip nat outside. 2. Tak jak przy NAT dynamicznym, **tworzymy listę ACL**, która określa, które prywatne adresy IP będą tłumaczone na adresy publiczne. 3. **OPCJONALNIE** tworzymy pulę adresów publicznych: ip nat pool nazwa pierwszy IP ostatni IP netmask maska podsieci. 4. Na zakończenie łączymy wszystko w całość: `ip nat inside source list numer listy {interface nazwa interfejsu | pool nazwa} overload`. ``` interface GigabitEthernet0/0 ip address 10.0.0.2 255.0.0.0 ip nat inside ! interface GigabitEthernet0/1 ip address 150.0.0.1 255.255.255.0 ip nat outside ! ip nat inside source list 1 interface GigabitEthernet0/1 overload ! access-list 1 permit 10.0.0.2 access-list 1 permit 10.0.0.3 ! Router#show ip nat statistics Total translations: 7 (0 static, 7 dynamic, 7 extended) Outside Interfaces: GigabitEthernet0/1 Inside Interfaces: GigabitEthernet0/0 Hits: 28 Misses: 2 Expired translations: 0 Dynamic mappings: Router#show ip nat translation Pro Inside global Inside local Outside local Outside global tcp 150.0.0.1:1024 10.0.0.3:1025 200.0.0.1:23 200.0.0.1:23 tcp 150.0.0.1:1025 10.0.0.2:1025 200.0.0.1:23 200.0.0.1:23 ``` ### Rozwiązywanie problemów z NAT Na samym końcu omówmy troubleshootingu NAT, czyli rozwiązywaniu problemów z tą usługą. Problemy, z którymi możesz się spotkać, zazwyczaj wynikają z złej konfiguracji. Do najczęstszych błędów należą: 1. **Odwrócenie interfejsów inside i outside:** Upewnij się, że odpowiednie interfejsy mają przypisane polecenia ip nat inside oraz ip nat outside. Jeśli obie komendy są poprawne, zweryfikuj, czy interfejsy są ustawione w odpowiednich kierunkach, tj. inside w stronę sieci prywatnej, a outside w kierunku Internetu. 2. **Odwrócenie adresów IP w NAT statycznym:** Upewnij się, że najpierw podałeś adres IP prywatny, a następnie adres IP publiczny. Nie na odwrót. 3. **ACL:** Sprawdź, czy skonfigurowałeś ACL prawidłowo, tak aby obejmowało wszystkie adresy prywatne, które mają być przetłumaczone na adresy publiczne. 4. **Zbyt mała pula adresów publicznych:** W przypadku NAT dynamicznego pamiętaj, aby stworzyć pulę adresów publicznych o takiej samej wielkości jak liczba adresów prywatnych. 5. **Brak `overload` na końcu polecenia:** Jeśli nie dodasz overload na końcu konfiguracji PAT, router potraktuje polecenie jako NAT dynamiczny i przepuści jedynie pierwszego hosta, który wysyła pakiet. 6. **Brak ruchu:** PAT i NAT dynamiczny tworzą pary adresów dopiero w momencie otrzymania pakietów ze strony sieci inside. Jeśli nie będzie przekazywany żaden ruch, polecenie show ip nat translation nie pokaże żadnych wyników. ### DHCP - Wszystko, co musisz wiedzieć o dynamicznym przydzielaniu adresów IP URL: https://innasiec.pl/dhcp-dynamic-host-configuration-protocol/ Last updated: 2025-01-07T11:50:03.000Z W dzisiejszych czasach w większości przypadków, gdy chcemy skorzystać z zasobów internetu, wystarczy podłączyć nasz komputer do gniazdka sieciowego lub podłączyć się do sieci bezprzewodowej. Nie ma znaczenia, czy chcemy sprawdzić pocztę, posłuchać muzyki ze Spotify czy obejrzeć film na Netflixie. Cała konfiguracja naszej karty sieciowej (Network Interface Card – NIC) odbywa się bez naszego udziału. Jest to możliwe dzięki usłudze o nazwie **DHCP (Dynamic Host Configuration Protocol).** ## DHCP – **Dynamic Host Configuration Protocol** Obecnie standardem w sieciach jest protokół IP, który wymaga, aby każdy host miał unikalny adres IP w skali internetu oraz maskę podsieci (oczywiście upraszczając i nie biorąc pod uwagę NAT). Po uzyskaniu tych dwóch elementów potrzebujemy jeszcze adresu urządzenia, zazwyczaj routera lub switcha L3, który będzie działał jako nasza domyślna brama. Dla użytkownika końcowego istotne jest również posiadanie adresu serwera DNS, który umożliwi przekształcenie nazw domen na adresy IP. **W najprostszym przypadku potrzebujemy otrzymać następujące informacje od serwera DHCP:** - Unikalny adres IP - Maska podsieci - Adres domyślnej bramy - Adres serwera DNS ## DORA, DORA, DORA Kiedy musimy skonfigurować jedną kartę sieciową lub tylko kilka interfejsów, nie stanowi to problemu i możemy zrobić to ręcznie. Logujemy się do urządzenia i wpisujemy wszystkie komendy po kolei. I jak zawsze ma tu znaczenie efekt skali oraz wygody, jakie dane rozwiązanie oferuje. Ręczna konfiguracja w dużej skali nie jest ani wygodna, ani szybka. Nie wspominając o konieczności pilnowania wykorzystania puli adresów w podsieciach. ![Ręczna konfiguracja karty sieciowej na MacOS ](https://innasiec.pl/content/images/2024/06/konfiguracja_interfejsu_macos.webp) Jeśli nie wprowadzimy konfiguracji ręcznie, skąd nasza karta sieciowa ma wiedzieć, jaki adres IP, maskę podsieci i adres bramy domyślnej ma używać? W pomocy przychodzi nam zestaw wiadomości, które są wymieniane między klientem a serwerem DHCP. W branży te komunikaty są nazywane DORA, co wynika z pierwszych liter tych wiadomości: **D**iscovery – wysyłane przez klienta **O**ffer – wysyłane przez serwer DHCP **R**equest – wysyłane przez klienta **A**cknowledgement – wysyłane przez serwer DHCP Na poniższym obrazku możesz zobaczyć, jak to wygląda w sposób graficzny. ![Wymiana pakietów DHCP pomiędzy serwerem a klientem](https://innasiec.pl/content/images/2024/06/proces_dhcp_dora.webp) Prześledźmy jeszcze raz ten proces od samego początku. Kiedy interfejs sieciowy zostaje włączony do sieci, to w pierwszej kolejności sprawdza, czy posiada skonfigurowane odpowiednie parametry do pracy. 1. Klient wysyła wiadomość DHCP Discovery jako broadcast, czyli do wszystkich dostępnych odbiorców w danym segmencie sieci, aby odnaleźć serwer DHCP. 2. Serwer DHCP odpowiada, wysyłając DHCP Offer wraz z ofertą adresu IP jako wiadomość typu unicast, tylko do nadawcy. 3. Następnie klient odpowiada, wysyłając DHCP Request ponownie jako wiadomość typu broadcast, że akceptuje adres i będzie pod nim osiągalny. 4. Serwer DHCP wysyła DHCP Acknowledgement jako potwierdzenie przydzielenia adresu oraz dzierżawy dla klienta jako wiadomość typu unicast. ## Dzierżawa i odnawianie adresu IP O co chodzi z tą dzierżawą? Otóż każdy serwer DHCP ma z góry określoną pulę adresów, które może wykorzystać. Na przykład mając podsieć składającą się z 14 użytecznych adresów, chcielibyśmy zarezerwować pierwsze 3 adresy dla naszego routera, serwera plików i drukarki. W takim wypadku serwer DHCP może rozdać adresy od 4 do 14. Teraz wyobraź sobie, że jesteś w biurze, które zatrudnia 20 osób, ale pracują oni na 2 zmiany. Każdy z pracowników ma swojego laptopa, z którego korzysta w pracy. I teraz w momencie, gdy Karol przychodzi rano do pracy, dostaje adres 192.168.0.4, to serwer DHCP zapisuje w swoim rejestrze, że ten adres należy do Karola na przykład na 1 godzinę. Karol spędził w pracy 8 godzin, posługując się otrzymanym adresem, ale na koniec pracy wyłączył laptopa i zabrał go do domu. Standardowo serwer DHCP stara się potwierdzić ważność dzierżawy w połowie okresu jej trwania. Jeśli nie otrzyma potwierdzenia, że chcemy taki adres nadal używać, dany adres wróci do puli dostępnych adresów. Z tego faktu może skorzystać na przykład Adam, który przychodzi do pracy wieczorem i również otrzymuje adres 192.168.0.4\. Tak długo jak dzierżawa będzie odnawiana, ten adres będzie należał do Adama, nawet jeśli Karol przyjdzie do pracy, zanim Adam skończy swoją zmianę. ![relacja klient-serwer DHCP](https://innasiec.pl/content/images/2024/06/relacja_klient-serwerDHCP.webp) ## Pozostałe pakiety DHCP Oprócz pakietów wykorzystywanych w procesie DORA, klient oraz serwer DHCP mogą wymieniać dodatkowe pakiety: - **DHCPNAK:** Pakiet wysyłany przez serwer do klienta z informacją, że jego adres IP jest nieprawidłowy lub wygasła dzierżawa. - **DHCPDECLINE:** Pakiet wysyłany przez klienta do serwera z informacją, że adres jest w użyciu. - **DHCPRELEASE:** Pakiet wysyłany przez klienta do serwera z informacją, że adres zostaje zwolniony. - **DHCPINFORM:** Pakiet wysyłany przez klienta do serwera z prośbą o przesłanie wyłącznie informacji o konfiguracji sieci, gdy klient ma już zewnętrznie przypisany adres IP. ## Parametry przekazywane przez DHCP Jak już wcześniej wspomnieliśmy, serwer DHCP może dostarczyć nam adres IP, maskę podsieci, adres bramy domyślnej oraz adres serwera DNS. Jednak zdefiniowany w standardzie RFC 1533 pozwala na przekazanie znacznie większej ilości danych. Do pozostałych opcji, które możemy otrzymać z takiego serwera należy między innymi: - adres serwera TFTP - maksymalny rozmiar MTU - adres serwera SMTP - adres serwera NTP - Statyczne trasy routingu Specyficzne opcje DHCP są również wykorzystywane przez Control And Provisioning of Wireless Access Points (CAPWAP) Access Controller DHCP. ## IP helper Dotychczas omówiliśmy sytuację, gdy klient DHCP oraz serwer DHCP znajdują się w tej samej sieci lokalnej. Zazwyczaj takie rozwiązanie stosowane jest w domu lub w małym biurze, gdzie brzegowy router zapewnia także usługę DHCP. W większych organizacjach oraz u dostawców usług internetowych preferowane jest posiadanie serwera DHCP lub nawet kilku serwerów w jednym scentralizowanym punkcie, zamiast setek lub tysięcy rozproszonych w różnych lokalizacjach. Ułatwia to zarządzanie pulami adresów oraz pozwala na ich efektywne wykorzystanie. Napotykamy więc na problem, jak przekazać nasz pakiet typu broadcast do serwera przez internet oraz gdzie w ogóle wysłać taki pakiet. W takiej sytuacji pomocny okazuje się DHCP relay, który Cisco nazywa IP helper. IP helper definiujemy na interfejsie skierowanym w stronę danej sieci lokalnej lub pod interfejsem SVI. Jest to adres serwera DHCP. Ponadto, pomocnik IP działa jako przekaźnik (relay), przekształcając pakiety typu broadcast wysłane przez klienta w pakiety unicast kierowane do docelowego serwera. ``` Router(config-if)#ip address 192.168.0.1 255.255.255.0 Router(config-if)#ip helper-address 192.168.1.2 ``` ![dhcp z ip helperem](https://innasiec.pl/content/images/2024/06/dhcp_z_ip_helperem.webp) ## Ataki na usługę DHCP Usługa DHCP, podobnie jak wiele innych, może być wykorzystana zarówno w celu ułatwienia naszego życia, jak i do złych celów. - **Atak typu Starvation (wysycenie) polega na zapełnieniu puli adresów** poprzez wysyłanie fałszywych adresów MAC z jednego hosta do serwera DHCP. W efekcie nasz serwer odpowiada adresem IP na każdą wiadomość z żądaniem (DHCP Discovery). ![atak starvation wysycenie puli adresow ip](https://innasiec.pl/content/images/2024/06/starvation_wysycenie_puli_adresow_ip.webp) Formą obrony przed tego typu atakami jest DHCP snooping binding. Przechowuje on w pamięci switcha informację, że na konkretnym interfejsie klient już uzyskał adres IP (zapisuje parę MAC-IP oraz czas dzierżawy). W takiej sytuacji żaden nowy pakiet DHCP discovery nie zostanie przekazany dalej do końca czasu dzierżawy. - **Atak polegający na podmianie serwera DHCP** polega na ustawieniu w sieci drugiego serwera DHCP, który odpowiadał będzie na żądania od klientów, wysyłając podmienione dane. W konsekwencji klient DHCP może uzyskać adres bramy domyślnej lub adres serwera DNS kontrolowanego przez osobę nieupoważnioną. ![Podstawiony (rogue) serwer DHCP w siecie](https://innasiec.pl/content/images/2024/06/Podstawiony_serwer_DHCP.webp) Do obrony przed atakami służy pojęcie zaufanych interfejsów, z których mogą pochodzić odpowiedzi od serwera DHCP, oraz niezaufanych, z których odpowiedzi nie powinny pochodzić, ale te interfejsy wciąż mogą wysyłać pakiety od strony klienta. Interfejsem zaufanym będzie na pewno port, do którego podłączony jest serwer DHCP, oraz trunki, z których oczekujemy nadejścia pakietów DHCP. Do niezaufanych z zasady należą wszystkie pozostałe interfejsy, na których nie spodziewamy się odpowiedzi serwera. Zaufane interfejsy stanowią kluczowy element ochrony sieci przed potencjalnymi atakami, dlatego ważne jest, aby właściwie je skonfigurować i nadzorować. ## Konfiguracja DHCP na routerze Cisco Konfiguracja DHCP na routerze Cisco jest stosunkowo prosta. W pierwszej kolejności należy utworzyć i nazwać pulę, z której serwer DHCP będzie korzystał. Następnie należy przypisać konkretną sieć do tej puli. W kolejnym kroku należy zdefiniować adres bramy domyślnej oraz opcjonalnie adres serwera DNS. ``` Router(config)#ip dhcp pool BIURO Router(dhcp-config)#network 192.168.0.0 255.255.255.0 Router(dhcp-config)#default-router 192.168.0.1 ``` Warto rozważyć wyznaczenie części adresów z określonej puli do adresacji statycznej. Możemy to osiągnąć poprzez wykluczenie określonego zakresu adresów z puli przydzielanych przez serwer DHCP. ``` Router(config)#ip dhcp excluded-address 192.168.0.1 192.168.0.10 ``` Warto pamiętać, że nasz serwer będzie przydzielał adresy IP z puli zgodnej z adresem interfejsu, na którym otrzymał pakiet DHCP Discovery, lub zgodnej z adresem źródłowym, jeśli został użyty IP Helper. ![Przydział adresów przez serwer DHCP](https://innasiec.pl/content/images/2024/06/DHCP-serwer-w-jednej-sieci.webp) ## Weryfikacja usługi DHCP na routerze Cisco Aby zweryfikować poprawność konfiguracji usługi DHCP, możemy skorzystać z poniższych poleceń: - **show ip dhcp binding** – Wyświetla listę wszystkich przydzielonych adresów IP i informacje o klientach. ``` Router#show ip dhcp binding IP address Client-ID/ Lease expiration Type Hardware address 192.168.0.2 0003.E477.CDE8 -- Automatic ``` **show ip dhcp pool <*nazwa\_puli>*** – Wyświetla listę skonfigurowanych puli adresów IP oraz statystyki ich wykorzystania. ``` Router#show ip dhcp pool OFFICE Pool OFFICE : Utilization mark (high/low) : 100 / 0 Subnet size (first/next) : 0 / 0 Total addresses : 254 Leased addresses : 1 Excluded addresses : 0 Pending event : none 1 subnet is currently in the pool Current index IP address range Leased/Excluded/Total 192.168.0.1 192.168.0.1 - 192.168.0.254 1 / 0 / 254 ``` ## APIPA – Automatic Private IP Addressing Każdy interfejs sieciowy do komunikacji w warstwie 3 potrzebuje adresu IP. Co jednak w sytuacji, gdy nie został on skonfigurowany oraz nie mamy dostępu do serwera DHCP? W takim wypadku wkracza APIPA, czyli Automatic Private IP Addressing. Przydziela on adres IPv4 z puli 169.254.0.1 – 169.254.255.254, z domyślną maską 255.255.0.0\. Ten zakres adresów jest zarezerwowany przez IANA do celów automatycznej adresacji sieci lokalnych (LAN). W teorii adres przydzielony przez APIPA powinien zostać zastąpiony adresem otrzymanym z serwera DHCP, kiedy pojawi się on ponownie w sieci. ### Ścieżki certyfikacji dla inżyniera sieciowca URL: https://innasiec.pl/sciezki-certyfikacji-dla-inzyniera-sieciowego/ Last updated: 2024-06-23T20:16:37.000Z Już na samym początku swojej przygody z certyfikacją warto zastanowić się, po co mi ten certyfikat i czy będę miał dość samozaparcia, by go ukończyć. Oczywiście można zostać **brain-dump expertem** (osoba, która przed egzaminem „wykuła” na pamięć wszystkie pytania i odpowiedzi), jednakże należy pamiętać, że certyfikat nie zrobi roboty za Ciebie. I o ile będzie świetnie wyglądał w CV i z pewnością będzie plusem w oczach HR, jednak bez wiedzy i umiejętności zmarnujesz tylko swój i rekrutera czas. > ***Certyfikat nie zrobi za Ciebie roboty.*** Przed rozpoczęciem nauki koniecznie sprawdź, jakie jest zapotrzebowanie rynkowe lub w Twojej firmie na dany certyfikat. Pamiętaj, że pracując w IT, Twoim największym zasobem jest czas. Jeśli poświęcisz go na naukę, czegoś, czego nie będziesz w stanie w praktyce zastosować, to niestety właśnie zmarnowałeś okazję na zdobywanie doświadczenia z technologią, za którą jeśli nie obecny to z pewnością przyszły pracodawca zechce zapłacić. Jeżeli dopiero wchodzisz w branże R&S, tak naprawdę nie masz zbyt wielkiego wyboru jeśli chodzi swój pierwszy certyfikat. W 99% procentach przypadków powinien, to być **CCNA (Cisco Certified Network Associate).** W chwili obecnej oczywiście każdy liczący się producent sprzętu posiada własną ścieżkę certyfikacji, jednak nie są one tak rozbudowane i dotykające tak wielu aspektów sieci. W większości skupiając się na specyfice pracy z danym sprzętem. Jednak jeśli udało Ci się już załapać do pierwszej pracy, wybieraj certyfikację, która jest Ci potrzebna w danej pracy. ## Cisco Marka, której ogólnie nie trzeba nikomu przedstawiać. Właściwie w większości ogłoszeń o pracę dla sieciowców znajdziecie w wymaganiach wiedzę na poziomie CCNA/CCNP/CCIE. Posiadają bardzo rozbudowane drzewko szkoleniowe i zakres materiału, jaki obejmuje każdy z poziomów jest ogromny. Najniższy i pierwszy możliwy do uzyskania certyfikat to **CCENT (Cisco Certified Entry Networking Technician),** który uzyskujemy po zdaniu egzaminu **100-105 ICND1\.** Kolejnym krokiem w ścieżce certyfikacji jest **CCNA (Cisco Certified Network Associate)**, który otrzymujemy po zdaniu egzaminu **200-105 ICND2** lub **200-125 CCNA**, który to jest połączeniem ICND1 oraz ICND2\. Oczywiście podane egzaminy dotyczą ścieżki R&S. Kolejnym poziomem wtajemniczenia jest **CCNP (Cisco Certified Network Professional)** oraz najwyższy poziom ekspercki **CCIE (Cisco Certified Internetwork Expert).** Jedynie w ścieżce rozwoju Design występuję jeszcze jeden poziom wtajemniczenia **CCAr (Cisco Certified Architect)**), który ma ok. 10-20 osób na świecie, co jednak bardziej wynika z braku biznesowej potrzeby posiadania takiego certyfikatu niż jego elitarności. ![](https://innasiec.pl/content/images/wordpress/2019/01/Cisco_Certifications_Roadmap.png) Ścieżka certyfikacyjna Cisco ważna do 23 lutego 2020. > **Aktualne ścieżki Cisco ważne są do 23 lutego 2020**. O tym jak będzie, wyglądała certyfikacja po tym okresie możesz przeczytać we wpisie [nowosci-w-certyfikacji-cisco](https://innasiec.pl/nowosci-w-certyfikacji-cisco/). ## Juniper Choć mocno podgryzany przez nowych graczy na rynku jest nadal drugim po Cisco wiodącym dostawcą sprzętu sieciowego oraz certyfikacji. W dużej mierze jest to zasługa systemu Junos, który można kochać lub nienawidzić, ale be wątpienia nie da się przejść obok niego obojętnie. Jeden spójny system na wszystkich platformach od switchy, routerów po firewalle oraz dostęp do darmowych materiałów edukacyjnych poprzez Juniper Genuis czy świetny program Juniper Champion (niestety dostępny tylko dla partnerów) nie rzadko stanowią świetną alternatywę dla panującego lidera. W najpopularniejszej gałęzi, jaką jest Enterprise Routing & Switching również spotkamy podział na 4 poziomy. I tak najniższy poziom to Associate dostępny po zdaniu certyfikatu **JNCIA-Junos** potocznie zwanego Jańcią. Kolejnym krokiem w karierze jest poziom Specialist potwierdzony egzaminem **JNCIS-ENT**. Trzeci poziom to Professional, po którym otrzymujemy **JNCIP-ENT**. Dla prawdziwych ekspertów zarezerwowany jest ostatni poziom zwieńczony **JNCIE-ENT**. Co ważne od niedawna **Juniper wprowadził możliwość, odnawiania certyfikatów pomiędzy ścieżkami zdając egzamin z tego samego poziomu**, czyli przykładowo, aby przedłuży certyfikaty na poziomie Professional dla ścieżek SP i R&S, wystarczy zdać jeden z egzaminów JNCIP zamiast dwóch, jak miało to miejsce do tej pory. ![Ścieżka certyfikacyjna Juniper](https://innasiec.pl/content/images/wordpress/2019/01/juniper_certification_matrix.png) Ścieżka certyfikacyjna Juniper ## Nokia (Alcatel-Lucent) Możliwość certyfikacji pod sztandarem Nokii jest stosunkowo nowa, ponieważ możliwa stała się dopiero po zakupie **Alcatel-Lucenta** w 2016 roku. Ilość zagadnień poruszanych podczas poszczególnych szkoleń jest zdecydowanie mniejsza niż w przypadku Cisco. Nie powinno to w ogóle dziwić, ponieważ głównym targetem tutaj są sieciowcy pracujący w branży telekomunikacyjnej. Nawet sama nazwa całej **ścieżki certyfikacyjnej SRC Service Routing Certification** mówi jasno, na czym skupia się nokia. Najniższym poziomem jest **NRS I (Network Routing Specialist)** gdzie oprócz podstaw sieci poznamy między innymi MPLS oraz budowę serwisów typu VPLS, VPNR. Oczko wyżej mamy, jak nie trudno zgadnąć **NRS II (Network Routing Specialist),** następnie **3RP (Triple Play Routing Professional).** Zwieńczeniem ścieżki certyfikacyjnej jest **SRA** **(Nokia Service Routing Architect).** ![Ścieżka certyfikacyjna Nokia Networks](https://innasiec.pl/content/images/wordpress/2019/01/nokia_certification_matrix-1024x883.png) Ścieżka certyfikacyjna Nokia Networks ## F5 Przez większość głównie kojarzony za sprawą swoich load-balancerów F5 Networks rozwinęło swoje portfolio, coraz mocniej wpasowująć się w erę Chmury gdzie dostępność usług jest kluczowa. Świetnie to widać również w ścieżce certyfikacyjnej ktora może i mniej skupia się na typowej wiedzy „sieciowej” ale za to z pewnością nie można powiedzieć, że jest to wiedza w dzisiejszych czasach niepotrzebna. Ścieżka certyfikacyjna F5 Networks jest podzielona na 3 poziomy, każdy kolejny poziom wymaga zdania wszystkich egzaminów z poziomu niższego. Pierwszym certyfikatem, który stanowi podstawowę do dalszego kształcenia w ramach tego vendora, jest F5 Cerified Administrator, który to otrzymujemy po zdaniu dwóch egzaminów (101 i 201). Następnie czekają nas 6 egzaminów, które musimy zaliczyć jeśli myślimy o zdobyciu najwyższego certyfikatu, jakim jest F5 Certified Solution Expert. Na szczeście zdająć każdy z 6 egzaminów otrzymujemy odpowiedni certyfikat na poziomie F5 Certified Technology Specialist. Wyjątek stanowi F5-CTS LTM, do którego musimy zdać 2 egzaminy oraz posiadać ważny certyfikat F5-CA. ![Ścieżka certyfikacyjna F5](https://innasiec.pl/content/images/wordpress/2019/01/f5-certification-graphic-647x1024.png) Ścieżka certyfikacyjna F5 ### Wszystko co musisz wiedzieć o NRS I URL: https://innasiec.pl/wszystko-co-musisz-wiedziec-o-nrs-i/ Last updated: 2024-07-01T13:34:31.000Z Zaczynając swoją przygodę z sieciami komputerowymi, posiadamy do wyboru wiele ścieżek certyfikacyjnych prowadzonych przez różnych producentów sprzętu. Prawie każdy zna szkolenia Cisco i ich certyfikaty CCNA, CCNP czy wyjątkowo prestiżowy CCIE. Wielu słyszało również o szkoleniach Junipera, kilku osobom pewnie obiło się o uszy, o ścieżce Huawei’a czy popularnego wśród małych Mikrotika. Jednak wszystkie one dotyczą głównie sieci kampusowych. Nawet przeglądając oferty pracy dla inżynierów sieciowych, w wymaganiach znajdziesz jeden z poziomów zaawansowania zdefiniowany przez Cisco lub ich ekwiwalent. Jest jednak jedna specyficzna branża, w której udziały Cisco nie są już tak znaczące. Można śmiało powiedzieć, że przestają się liczyć w tym segmencie. Mowa oczywiście o branży Service Provider. W takim wypadku jeśli chcielibyśmy wejść w branżę, to jakim szkoleniem warto się zainteresować? > Jedną z bardziej rozpoznawalnych ścieżek Service Provider jest **Service Routing Certification (SRC)** od Nokii wcześniej Alcatel-Lucent. ## Certyfikaty Nokia ![Ścieżka certyfikacyjna Nokia Networks](https://innasiec.pl/content/images/wordpress/2019/01/nokia_certification_matrix-1024x883.png) ## Nokia Scalable IP Networks I Entry-levelem dla tego vendora jest ***Network Routing Specialist I (NRS I)***. W celu uzyskania tego tytułu należy zdać egzamin Nokia Scalable IP Networks 4A0-100 będący odpowiednikiem CCNA. W odróżnieniu od szkolenia Cisco, które napisane jest językiem bardzo przystępnym, Nokia oferuje szkolenia bardzo mocne technicznie bez zbędnego wodolejstwa oraz kolorowania, praktycznie sama esencja sieci. ## **Jakie zagadnienia pokrywa egzamin?** - Wprowadzenie do sieci komputerowych, historia oraz podstawy - Wprowadzenie do rodziny urządzeń sieciowych Nokii, zapoznanie z CLI oraz procesem bootowania systemu - Szczegółowe omówienie warstwy danych - Technologie warstwy 2 LAG, STP, VLANy - Adresacja IP oraz wszystko z nią związane VLSM, CIDR itp. - Omówienie protokołów warstwy 3 (ICMP, DHCP, NAT i PAT, filtrowanie pakietów) oraz ARP - Omówienie warstwy transportowej, porównanie TCP i UDP - Routing statyczny oraz dynamiczny na przykładzie OSPF’a - Podstawy BGP - Podstawy MPLS - Podstawy konfiguracji sieci MPLS oraz usług MPLS-VPN: - VPWS - VPLS - VPRN. Nie bez znaczenia jest fakt, że wszystkie technologie wykorzystywane przez Nokię oraz omówione w tym kursie zostały zdefiniowane przez IEEE, co oznacza, że nie ma tu żadnych własnościowych technologii. Wiedzę zdobytą ucząc się do egzaminu, będziesz mógł wykorzystać przy okazji pracy z urządzeniami każdego innego vendora dostępnego na rynku. ## **Przygotowanie do egzaminu** Przygotowanie do egzaminu jest możliwe na dwa sposoby. Pierwszy sposób to zapisać się na 4-dniowe szkolenie w pigułce organizowane przez Nokia EDU. Ilość przerabianego materiału, jest szczególnie dla osób niemających wcześniej styczności z sieciami przytłaczająca. Nie oszukujmy się, również dla osób mających już trochę doświadczenia wiele zagadnień będzie zupełnie nowych. Drugim ze sposobów jest zakup książki, tak zwanego self-study, której oficjalna cena to 49$. Materiał jest solidnie przygotowany i logicznie poukładany. Nie natrafisz tu na odniesienia do zagadnień, które będziesz omawiał dopiero później, jak to ma miejsce np. w cert-guidach Cisco. Treści jest również więcej, niż jest to przekazywane podczas szkolenia, jednakże nie mamy dostępu do laba, a jak wiadomo dostęp do CLI, to jest to co tygryski lubią najbardziej. ## **Laby, Laby, Laby** Jak już wiesz, aby zdać egzamin i uzyskać tytuł NRS I, nie będziesz musiał wykazać się umiejętnościami konfiguracji oraz pracy z CLI czy GUI. Jednakże nie po to przygotowujesz się do branżowego, nie ukrywajmy niszowego certyfikatu, aby wpisać go sobie tylko na linkedIN jak achievement. Dostęp do laba można uzyskać w dwojaki sposób. Możemy wykupić dostęp do oficjalnego laba Nokii, gdzie czekają już przygotowane, topologie pozwalające przećwiczyć wszystkie scenariusze zawarte w kursie oraz w self-guide. Drugim sposobem jest zdobycie vSIM \*.qcow2 obrazu SR OS do zamontowania jako emulowany KVM/QUEMU w UnetLabie lub GNS 3 czy zdobywającym popularność EVE-NG. ![Timos](https://innasiec.pl/content/images/wordpress/2019/07/alcatel-1024x555.png) ## **Jak wygląda sam egzamin?** Egzamin Alcatel-Lucent Scalable IP Networks #4A0-100 jest egzaminem teoretycznym w języku angielskim, który twa 75 minut i sprawdza Twoją wiedzę w około 50-70 pytaniach. Nie znajdziesz tutaj żadnych symulacji, nie będziesz musiał nic skonfigurować czy bawić się w przeciąganie i dopasowywanie obrazków. Pytania są wyłącznie teoretyczne i zawierają zwykle od 4 do 6 możliwych odpowiedzi. Jeśli zadanie wymaga zaznaczenia więcej niż jednej odpowiedzi, otrzymasz informację, ile opcji należy zaznaczyć. Pamiętaj, że pytania mogą być podchwytliwe, np. poproszą Cię o zaznaczenie odpowiedzi, która **nie pasuje** do danego zagadnienia. Każde pytanie wymaga zaznaczenia odpowiedzi, zanim przejdziesz do kolejnego, nie ma opcji powrotu. Jednak jeśli solidnie się przygotujesz, nie powinieneś spędzić więcej niż 30 sekund nad pojedynczym zagadnieniem. Zaliczenie uzyskuje się po osiągnięciu 80% pozytywnych odpowiedzi. ## **Czego spodziewać się na egzaminie?** Na egzaminie możesz spodziewać się oprócz pytań stricte dotyczących technologii również podstawowych pytań o historię Internetu (hello ARPANET), model ISO/OSI czy organizacje zarządzające adresacją IP oraz standardami sieciowymi. Jeśli chodzi o część techniczną pytań, jest ona zdecydowanie bardziej wymagająca od certyfikacji Cisco, nie ze względu na zawiłą budowę pytań, a ich szczegółowość. **Oprócz typowych pytań w stylu:** 1. Czym są i czym się różnią domeny kolizyjne od rozgłoszeniowych? 2. Czym jest i czym się różni full duplex od half duplex? 3. Co to jest SONET/SDH lub ATM? 4. Co to jest PPP? Jak wygląda jego nagłówek? 5. Na jakiej podstawie wybierana jest preferowana trasa routingu? 6. Jakie parametry muszą być zgodne, aby nawiązać relacje sąsiedztwa w OSPF? 7. Masz sieć 192.168.100.0 z maską 255.255.255.0, utwórz 8 podsieci. 8. Co to jest LAG? 9. Co to jest MPLS VPN i jakie są rodzaje obsługiwane przez routery 7750? 10. Co to jest SAP? Ile SAP’ów może być przypisanych do pojedyńczego portu? Poza pytaniami technicznych należy oczekiwać również pytań dotyczących produktów Nokii. W końcu to oni potwierdzą, że jesteś specjalistą nie tylko z zakresu sieci, ale również umiesz całkiem nieźle posługiwać się ich sprzętem. **Bądź gotowy odpowiedzieć na pytania w stylu:** 1. Jakie routery wchodzą w skład rodziny 7750 SR? Czym się różnią od siebie? 2. Co oznaczają skróty CPM, CFM, IOM, MDA ? Jaka jest ich funkcja i za co są odpowiedzialne? 3. Jaką ściężkę podąża pakiet z ingress portu do egress portu? 4. Do czego służą pliki boot.ldr, bof.cfg, TiMOS-m.n.Y.z, config.cfg? 5. Ile kart flashowych posiada każdy router? Gdzie znajduję się bieżąca konfiguracja? 6. Co to jest log-id? Jakie są predefiniowane warianty? 7. Jak poruszać się po drzewie komend? 8. Do czego służy interfejs System? 9. Opisz podstawy procesu bootowania. Oczywiście wymienione pytania nie pokrywają całego zakresu zagadnień, które pojawią się na egzaminie. Jednak dadzą Ci drobny przedsmak, czego możesz się spodziewać. Z własnego doświadczenia mogę z czystym sumieniem polecić pracę na sprzętach Nokii. Tak przyjemnego i łatwego w użyciu CLI, mogą tylko pozazdrościć pozostali producenci. Również rosnące ostatnimi czasy udziały Nokii w segmencie MPLS core zdecydowanie zachęcają do zapoznania się z tym sprzętem i ich certyfikacją. ### Wszystkie nowości w CCNA 200-301 URL: https://innasiec.pl/wszystkie-nowosci-w-ccna-200-301/ Last updated: 2024-06-26T11:45:59.000Z \[et\_pb\_section fb\_built=”1″ admin\_label=”section” \_builder\_version=”3.22″ global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\]\[et\_pb\_row admin\_label=”row” \_builder\_version=”3.25″ background\_size=”initial” background\_position=”top\_left” background\_repeat=”repeat” global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”3.25″ custom\_padding=”|||” global\_colors\_info=”{}” custom\_padding\_\_hover=”|||” theme\_builder\_area=”post\_content”\]\[et\_pb\_text admin\_label=”Text” \_builder\_version=”3.27.4″ background\_size=”initial” background\_position=”top\_left” background\_repeat=”repeat” global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\] Minęły już prawie 2 tygodnie od kiedy Cisco ogłosiło zmiany w swoim programie certyfikacyjnym. I trzeba to przyznać, zmiany te są wręcz fundamentalne, ale i potrzebne, świetnie odpowiadając na dynamicznie zmieniające się potrzeby rynku. Powiedzmy to sobie otwarcie, wchodząc w sieci, musimy mieć, chociaż podstawową wiedzę z wielu różnych specjalizacji. Pracując przy sieciach komputerowych, nie można już skupiać się wyłącznie na sieciach LAN. Musimy znać, chociaż podstawy sieci bezprzewodowych czy metod zabezpieczania sieci. > Na poziomie **Associate** do tej pory mieliśmy możliwość uzyskania, aż 10 różnych certyfikatów potwierdzających nasze umiejętności w danej dziedzinie. Teraz będzie tylko 1. I dokładnie to zrobiło Cisco, ze swoimi egzaminami CCNA łącząc je wszystkie w jeden egzamin i przenosząc specjalizację w danej dziedzinie na poziom Professional. **24 lutego 2020 pożegnamy następujące certyfikaty:** - CCNA Cloud - CCNA Collaboration - CCNA Cyber Ops - CCNA Data Center - CCDA - CCNA Industrial - CCNA Routing & Switching - CCNA Security - CCNA Service Provider - CCNA Wireless ## nowości w programie Zmian w certyfikacji mamy naprawdę wiele, więc zacznijmy od tego, co zostało **usunięte** z egzaminu. - **Podstawy sieci** – Model OSI - **LAN Switching** \-VTP, Stack - **Routing** – EIGRP, RIPv2, OSPFv3, Inter-VLAN routing - **Technologie WAN** – PPP, MLPP, PPPoE, GRE,BGP Warto również zauważyć, że w nowym spisie tematów na egzamin nie ma ani słowa o troubleshootingu. Każdy z tematów jest opisany co najwyżej jako Configure and verify. Wnioskuję z tego, że o ile tematów będzie więcej, to zostaną one potraktowane nieco płyciej. Do najważniejszych nowości zaliczamy trzy nowe duże działy: - **Podstawy sieci wifi** - **Podstawy bezpieczeństwa oraz next-gen firewalls i IPS’y** - **Automatyzacja i SDN** ## stare CCNA 200-125 Najobszerniejszym w kwestii materiału był oczywiście egzamin **CCNA Routing & Switching 200-125**. I to na tym egzaminie oczywiście będzie bazował, nowy CCNA rozszerzając odpowiednio zakres materiału. Nadal możliwe jest podejście do 2 egzaminów. 100-105, który pokrywa materiał z ICND1 i daje tytuł CCENT – Cisco Certified Entry Technician. Do „pełnego” CCNA musimy jeszcze pozytywnie zaliczyć 200-105, czyli ICND2. Same egzaminy trwają 90 minut i są prowadzone w języku angielskim. Osoby, dla których język angielski nie jest językiem ojczystym, mogą liczyć na dodatkowe kilka minut na przygotowanie się do egzaminu. ## nowe ccna 200-301 Nowy egzamin CCNA ma na celu zastąpić wszystkie dotychczasowe 10 egzaminów i przygotować solidne podstawy dla osób zaczynających swoją certyfikację. Zadanie nie jest łatwe, obecnie wchodzące w branżę sieci muszą nie tylko znać podstawy działania sieci lan, ale coraz częściej wymaga się od nich wiedzy z zakresu wireless oraz podstaw security. Do zagadnień na nowym egzaminie dodano również tematy wcześniej pokrywane w osobnej ścieżce design. Całkowicie nowe są za to tematy pokrywające tak modną ostatnio automatykę i programowanie. Wydłużeniu uległ czas samego egzaminu, który teraz będzie teraz trwał 120 minut. ## Kiedy nowy egzamin? Egzamin CCNA 200-301 można będzie zdawać już od 24 lutego 2020\. Do tego czasu można zdać jeszcze egzamin CCNA 200-125 na starych zasadach. \[/et\_pb\_text\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\] ### Nowości w certyfikacji Cisco URL: https://innasiec.pl/nowosci-w-certyfikacji-cisco/ Last updated: 2024-06-24T19:54:41.000Z > Cisco ogłosiło jednak, że od 24 lutego 2020 czeka nas prawdziwa rewolucja w dotychczasowych ścieżkach certyfikacji. ## Obecne ścieżki certyfikacji Cisco ![Obecna certyfikacja Cisco](https://innasiec.pl/content/images/wordpress/2019/06/obecna_certyfikacja_cisco-1024x669.png) Jak widać na powyższym screenie **na poziomie Associate mamy obecnie 10! różnych ścieżek certyfikacji.** Poziom wyżej, czyli Professional pozwala na zdobycie certyfikatu z 8 różnych ścieżek. Z kolei poziom Expert wyróżnia 7 różnych możliwych do realizacji certyfikatów. Powyżej mamy jeszcze poziom Architekta (niewidoczny na obrazku) gdzie mamy tylko jedną ścieżkę, która kończy się uzyskaniem **CCAr**. Zdobycie tytułu Cisco Certified Architect jest oczywiście zwieńczeniem ścieżki związanej z designem. ## Kiedy wchodzą w życie zmiany? **Wszystkie zmiany w sposobie certyfikacji wchodzą w życie 24 lutego 2020 roku.** Oznacza, to, że jeśli planujesz zdobyć któryś z obecnie dostępnych CCNA, CCNP czy CCIE musisz się pospieszyć. Po tej dacie nie będzie możliwe podejście do egzaminów na starych zasadach. ## Nowe ścieżki certyfikacji ![Nowości w certyfikacji Cisco](https://innasiec.pl/content/images/wordpress/2019/06/nowe_certyfikaty_cisco_2020-1024x424.png) Już na pierwszy rzut oka widać, że liczba dostępnych certyfikatów uległa znacznemu zmniejszeniu. Pożegnamy certyfikat **CCENT** z poziomu **Entry, k**tóry mogliśmy uzyskać po zdaniu egzaminu **ICND 100-105.** ## Poziom Associate – CCNA Ogromnie zmiany czekają nas na poziomie **Associate, który** do tej pory pozwalał na zdobycie największej liczby certyfikatów z różnych ścieżek. Pożegnamy za to następujące tytuły: - CCNA Cloud - CCNA Collaboration - CCNA Cyber Ops - CCNA Data Center - CCDA - CCNA Industrial - CCNA Routing & Switching - CCNA Security - CCNA Service Provider - CCNA Wireless Po wprowadzonych zmianach pozostanie jedyny, słuszny CCNA, który uzyskamy po zdaniu nowego egzaminu 200-301\. Cisco pozycjonuje osobę podchodząca do CCNA jako posiadająca co najmniej 1 rok doświadczenia, podstawową wiedzę o adresacji IP oraz solidną znajomość podstaw sieci. ## Poziom Professional – CCNP Poziom CCNP również doczekał się roszady, choć już nie tak dużej jak w przypadku CCNA. Dostępne będą następujące ścieżki: - CCNP Enterprise - CCNP Security - CCNP Collaboration - CCNP Data Center - **Cisco Certified DevNet Professional – całkowita nowość** Dotychczas kiedy chcieliśmy osiągnąć certyfikację na poziomie professional, najpierw musieliśmy zdać odpowiedni egzamin z poziomu niższego CCNA. Odpowiednio chcąc otrzymać CCNP Security, musieliśmy najpierw mieć CCNA Security. > Od 24 lutego 2020, aby uzyskać CCNP nie trzeba mieć CCNA z danej ścieżki. Co więcej, nie trzeba mieć w ogóle CCNA. Możliwe będzie zdanie egzaminy typu core i później już konkretnego dla wybranej specjalizacji. Z pewnością ta wiadomość ucieszy wszystkich tych, których CCNP wygasło i stali przed koniecznością ponownego zdawania egzaminów Associate i Professional. ## Poziom Expert – CCIE Zmieniając fundamenty swojej certyfikacji, Cisco nie mogło również zapomnieć o swojej wisience na torcie, czyli CCIE. Dotychczas, aby uzyskać poziom ekspercki, należało zdać egzamin pisemny oraz egzamin praktyczny w labie. Po wprowadzeniu zmian wymagane będzie zdanie egzaminu typu core z poziomu CCNP oraz wyłącznie laba do CCIE. Przykładowo, aby otrzymać CCIE Security, musimy zdać **CCNP SCOR 300-701** oraz spędzić 8 godzin na egzaminie praktycznym. Dostępne będą następujące CCIE: - CCIE Enterprise Wireless - CCIE Enterprise Infrastructure - CCIE Security - CCIE Service Provider - CCIE Collaboration - CCIE Data Center W ważniejszych zmian warto wspomnieć również o wydłużeniu ważności egzaminu, który teraz należy odnowić co 3 lata, a nie jak dotychczas co 2 lata. ## Nowa ścieżka DevNet Podczas konferencji Cisco ogłosiło również całkowicie nową ścieżkę DevNet, która będzie się skupiać programowaniu (głównie w pythonie) oraz znajomości takich zagadnień jak IoT, Cloud czy DevOps. Dostępne będą 4 standardowe poziomy: - Cisco Certified DevNet Associate - Cisco Certfied DevNet Professional - Cisco Certified DevNet Specialist - Cisco Certified DevNet Expert – wkrótce ## Co z obecnymi certyfikatami? Obecnie uzyskane certyfikaty zostaną przekonwertowane do nowego systemu już 24.02.2020\. Czyli zdając teraz np. CCNA Security, otrzymany nowy tytuł CCNA, oraz badge potwierdzający nasze umiejętności z gałęzi security. Wyjątek stanowi CCENT, jego posiadacze muszą zdać ICND 2, aby uzyskać tytuł CCNA lub będą zmuszeni do zdania nowego egzaminu w przyszłym roku. ## Recertyfikacja Aktualizacja nie ominęła również sposobu, w jaki Cisco podchodzi do recertyfikacji. Wszystkie nowe certyfikaty włączając w to CCNA, Specialist, CCNP oraz CCIE będą ważne przez 3 lata. ## Czy warto teraz zdawać egzaminy? No właśnie, a co z tymi, którzy rozpoczęli swoje przygotowania do egzaminów, zanim Cisco wypuściło swoją bombę? **Jeśli jesteś w stanie zdać swój wybrany egzamin w ciągu najbliższych 9 miesięcy (ostatni dzień na starych warunkach to 23.02.2020) to tak, warto zdać jeszcze na starych zasadach.** Różnice materiału z pewnością bedą wymagały powiększenia zakresu wiedzy, którą będziemy musieli przyswoić. ### Co to jest Cloud computing? URL: https://innasiec.pl/co-to-jest-cloud-computing/ Last updated: 2024-06-26T11:46:10.000Z \[et\_pb\_section fb\_built=”1″ admin\_label=”section” \_builder\_version=”3.22″ global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\]\[et\_pb\_row admin\_label=”row” \_builder\_version=”3.25″ background\_size=”initial” background\_position=”top\_left” background\_repeat=”repeat” global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\]\[et\_pb\_column type=”4\_4″ \_builder\_version=”3.25″ custom\_padding=”|||” global\_colors\_info=”{}” custom\_padding\_\_hover=”|||” theme\_builder\_area=”post\_content”\]\[et\_pb\_text admin\_label=”Text” \_builder\_version=”3.27.4″ background\_size=”initial” background\_position=”top\_left” background\_repeat=”repeat” global\_colors\_info=”{}” theme\_builder\_area=”post\_content”\] Z perspektywy administratora lub inżyniera IT to bardzo rozległa i pełna wspólnych zależności gałąź technologiczna. Możesz być jednym z najlepszych w wąskiej specjalizacji, w sieciach, w security, w bazach danych czy systemach i usługach. Musisz jednak zawsze pamiętać, że końcowym efektem pracy jest dostarczenie kompletnego produktu dla użytkowników. **Termin Cloud computing odnosi się do pewnego sposobu dostarczenia usługi skupiając się bardziej na samej usłudze niż na całej technologicznej otoczce która jej towarzyszy.** Innymi słowy jest to podejście które bardziej dotyczy tego co dostarczamy niż w jaki sposób. W końcu musimy być wobec siebie szczerzy, większość klientów interesuje cena i jakość niż technologie ukryte pod maską. > **Co to jest cloud?** > > **Serwery linuxowe. Przeważnie** ## Wirtualizacja serwerów Kiedy myślisz o serwerze zapewne pierwsze co przychodzi Ci na myśl to maszyna typu Blade zainstalowana w szafie rackowej gdzieś w data center. Kiedy masz już ten obraz, zastanawiasz się pewnie z czego się składa. Jakie i jak szybkie procesory posiada? Ile pamięci RAM zainstalowano oraz jak duża przestrzeń dyskowa jest dostępna? Przez chwilę pewnie pomyślisz również o jego położeniu w szafie oraz jak jest chłodzony. **Jednak z punktu widzenia dostarczanej usługi termin serwer odnosi się bardziej do systemu operacyjnego (OS) niż do sprzętu**. Posiadając jeden fizyczny serwer jesteśmy w stanie uruchomić i udostępnić kilka lub kilkanaście zwirtualizowanych serwerów (VM). Dzieje się tak ponieważ obecnie jest bardzo ciężko wykorzystać w pełni możliwości naszego sprzętu korzystając wyłącznie z jednej usługi. Z punktu widzenia security wirtualizowanie VM to również dobre rozwiązanie pozwalające współdzielić zasoby sprzętowe jednak pozostawiając warstwę aplikacyjna podzieloną pomiędzy usługobiorców którzy są od siebie odizolowani. Klienci mimo, że korzystają z jednej fizycznej maszyny, nie mają dostępu do aplikacji i systemu drugiego użytkownika. Ma to również ogromny sens biznesowy. Po co kupować lub wynajmować cały serwer za setki lub tysiące złotych kiedy potrzebujemy wyłącznie kilku lub kilkanastu procent jego wydajności do uruchomienia na przykład serwera WWW. ## Podstawy wirtualizacji serwerów Tradycyjne, zorientowane na fizyczny sprzęt podejście określało mianem serwera każdy komputer który świadczył jakieś usługi. Mógł być to zarówno stary PC wstawiony do piwnicy i umożliwiający grę w Quake’a z kolegami, jak i typowe dla data center serwery typu Blade. Każdy z nich charakteryzują jednak te same 4 podstawowe parametry: CPU, RAM, przepustowość łącza (sieć) oraz powierzchnia dyskowa (storage). ![](https://innasiec.pl/content/images/wordpress/2019/05/architektura_jednego_serwera.jpg) Architektura jednego serwera: hardware zarządzany przez jeden system operacyjny W takim modelu jak widoczny powyżej, każdy fizyczny serwer pracuje pod kontrolą jednego systemu operacyjnego. Wszystkie dostępne zasoby i moc obliczeniowa są współdzielona przez różne usługi, ale system w którym pracują jest dla nich wspólny. Takie podejście jest dobre w momencie kiedy mamy bardzo mało różnych usług do uruchomienia, wydajność naszej maszyny jest ograniczona lub nie chcemy (na przykład z powodów bezpieczeństwa) współdzielić zasobów z innymi. W dzisiejszych czasach jednak większość firm podąża w kierunku maksymalizacji zysków poprzez optymalizację kosztów. Jak to zrobić? Oczywiście idąc z stronę chmury oraz wirtualizacji. Współczesnie praktycznie każdy fizyczny serwer posiada więcej mocy obliczeniowej niż potrzeba dla jednego systemu. Pomyślmy przez chwilę o współczesnych procesorach. Każdy z nich posiada kilka lub kilkanaście rdzeni które posiadają odpowiednio większą ilość wątków. Dzięki temu w jednym cyklu pracy procesora moglibyśmy wykonać określoną ilość operacji x liczba rdzeni x liczba wątków. Jednak tego nie zrobimy ponieważ istnieje bardzo niewiele aplikacji w pełni wielowątkowych. Dzięki zastosowaniu hypervisora (pomyśl o nim jak o nadrządcy) jesteśmy w stanie potraktować każdy wątek procesora jako wirtualny (vCPU). Możemy wtedy takie vCPU zgrupować i przypisać ich dowolną liczbę do VM (virtual machines). ![](https://innasiec.pl/content/images/wordpress/2019/05/architektura_wirtualizacji_serwerow.png) Architektura wirtualizacji serwerów: wspólny hardware, niezależne systemy operacyjne zarządzane przez hypervisora Virtual Machines to zwirtualizowane systemy operacyjne które współdzielą ze sobą fizyczne możliwości maszyny. Do zarządzania nimi oraz alokacji potrzebnych im zasobów służy hypervisor. Obecnie do najpopularniejszych należą: - **Vmware vCenter** - **Citrix XenServer** - **KVM** - **Microsoft HyperV** Dzięki nim możemy dowolnie tworzyć, zatrzymywać, uruchamiać, usuwać czy migrować nasze VM pomiędzy różnymi fizycznymi maszynami nawet w czasie rzeczywistym. ## Virtual Network Functions **Virtual Network Fuctions w skrócie VNF to wirtualna instacja każdego urządzenia sieciowego działająca w chmurze.** W ten sposób możemy realizować funkcje switcha ale również routera czy firewalla. Nic nie stoi na przeszkodzie by uruchomić własną instancję **ASAv** w VM oraz **CSR (Cloud Services Router).** ## Wirtualne switche W tradycyjnym modelu każdy fizyczny serwer był wyposażony w jedną lub więcej kart sieciowych które będziemy nazywać **NIC (Network interface card)**. W takim wypadku dostęp do sieci wystarczyło zrealizować poprzez podłączenie fizycznego switcha do naszej maszyny i już mieliśmy dostęp do sieci. Co jednak gdy mamy kilka wirtualnych systemów, które z założenia są od siebie logicznie odseparowane? Oczywiście musimy podłączyć te systemy do switcha który zapewni odpowiednia separację i tagowanie. Dlatego większość hypervisorów posiada wbudowane vSwitche na wzór zwirtualizowanego ethernetowego switcha. ![](https://innasiec.pl/content/images/wordpress/2019/05/virtualny_vswitch_vnic.png) Podstawowa wirtualna infrastruktura: fizyczny serwer, vSwitch, VMki Należy pamiętać, że takie wirtualne switche zapewniają jedynie podstawową funkcjonalność switchy. Jeśli oczekujesz i potrzebujesz zaawansownych opcji switchy typowych dla Data center nic nie stoi na przeszkodzie, aby kupić ich zwirtualizowane wersje. Dla przykładu Cisco posiada w swojej ofercie wirtualne switche Nexus 1000v. Juniper oferuje swoje switche z rodziny vQFX10000\. Jeśli jesteś zagorzałym razem projektów Open source może zainteresować Cię projekt Open Switch. ## Usługi Cloud Computing Cloud computing to tak naprawdę sposób oferowania usług IT. Odpowiednie wykorzystanie narzędzi takich jak wirtualizacja jak również wykorzystanie sprzętu stworzonego do clouda. Jednakże nie można tu mówić, że musisz mieć to, to i to i już oferujesz usługi chmurowe. Aby mówić o takich usługach musi być spełnione 5 warunków: - **Usługi na żądanie**: Usługobiorca sam decyduje kiedy i jakie usługi chce oraz może je dowolnie zatrzymywać, pauzować i uruchamiać. Wszystko bez integerencji dostawcy usług. - **Dostęp z dowolnego urządzenia :** Usługi muszą być dostępne z dowolnego urządzenia (oczywiście z każdego gdzie prawnie jest to dozwolone). - **Pula zasobów:** Usługobiorca może dowolnie konfigurować jakie zasoby potrzebuje w danej chwili z dostępnej puli. - **Elastyczność:** Uzytkownik może w dowolnej chwili zwiększyć lub zmniejszyć parametry swojej usługi bez potrzeby czekania na rekację zespołu technicznego w Data Center. Oznacza to, że nie jest ograniczony sztywnymi parametrami fizycznych maszyn i może dowolnie skalować parametry swojej usługi zakupując dodatkową moc obliczeniową, przestrzeń dyskową czy pamieć RAM. - **Mierzalność usług:** Dostawca jest w stanie dostarczyć raport wykorzystania usług zarówno w celach informacyjnych jak i do celów rozliczeniowych. > Usługi cloud muszą spełniać 5 warunków > > Dostępne na żądanie i wiele urządzeń, Elastyczne i Mierzalne ORAZ względnie nieograniczone ## Chmura prywatna Teraz kiedy już wiemy jakie warunki musimy spełnić by mówić o usługach w pełni chmurowych możemy przystąpić do ich podziału ze względu na odbiorcę. Jednym z rodzajów jest chmura prywatna o której mówimy w momencie gdy usługi cloudowe są dostarczane wewnątrz jednej organizacji. Prywatna w tym znaczeniu, że dysponujemy wszystkimi narzędziami do dostarczenia usług spełniających 5 wymaganych warunków do naszych współpracowników. Najczęściej oznacza to znaczącą optymalizację istniejących procesów dostarczania usług poprzez automatyzację oraz wykreślenie człowieka pośredniczącego. Innymi słowy tam gdzie wcześniej był potrzebny administrator który na żądanie użytkowników towrzył dla nich odpowiednie VM, teraz mamy najcześciej katalog usług z których deweloper czy operator może wybrać czego potrzebuje i może to sobie samodzielnie wyklikać. ## Chmura publiczna W przeciwieństwie do chmu prywatnej gdzie usługi były dostarczne wewnątrz jednej organizacji w chmurze publicznej mamy do czynienia ze zjawiskiem przeciwnym. Usługi dostarczane przez jedną firmę są dostępne dla wielu klientów poza tą organizacją. Oczywiście 5 warunków chmury musi być nadal spełnionych. ## Chmura i model „As a service” **Termin As a sevice z angielskiego oznacza „jako usługa”. Oznacza to , że takie usługi kupujemy w modelu abonamentowym podobnie jak to robimy z numerem telefonu.** Do tej pory z całym tym cloudowym zamieszaniem omawialiśmy jedynie zamawiania przez użytkownika jakiś usług z dostępnego katalogu. No więc właśnie, jakie usługi oferuje nam chmura? Wiemy już, że dzięki wirtualizacji może zamówić cały gotowy do pracy system operacyjny wewnątrz VM. Takie najprostsze podejście do tematu określamy jak **IaaS – Infrastructure as a Service**, czyli infrastruktura jako usługa. ## IaaS – Infrastructure as a Service W tym modelu otrzymujemy dostęp do gotowej instancji wirtualnego serwera o zamówionych przez nas parametrach. Wybieramy parametry sprzętowe które są nam potrzebne oraz jeden z przygotowanych przez dostawcę obrazów systemu operacyjnego. W tym miejscu warto wspomnieć, że nasz dostawca gwarantuje dostępność sprzętową oraz sieciową wirtualnej maszyny czyli właśnie infrastruktury. Mamy również pewność, że każdy z predefiniowanych obrazów będzie działał prawidłowo w momencie instalacji. Od momentu uruchomienia writualnej maszyny VM użytkownik odpowiada za dalsze samodzielne skonfigurowanie oraz doinstalowanie potrzebnych aplikacji. ![](https://innasiec.pl/content/images/wordpress/2019/05/Infrastracture-as-a-service-IasS.png) IaaS – Infrastracture as a Service Oczywiście nadal po stronie dostawcy leży zapewnie odpowiedniego łącza sieciowego oraz wszelkich szczegółów odnośnie naszej maszyny. W tym panelu, który umożliwia uruchomienie, zatrzymanie czy zrestartowanie systemu w razie potrzeby bez kontaktu z usługodawcą. Na poniższym obrazku możesz przeczytać, że tworzymy przykładowa instację w Europie wybierając 16 wątków procesora do pary z 104 GB pamięci RAM. Wybrany dysk twardy to 1 TB SSD z zainstalowanym na pokładzie Debianem w wersji 9\. Jak szaleć to szaleć 😉 ![Gcloud instancja testowa](https://innasiec.pl/content/images/wordpress/2019/05/gcloud_instancja-1024x600.png) Gcloud – tworzenie nowej instancji VM ## SaaS – Software as a Service Software as a service oznacza, że użytkownik końcowy otrzymuje aplikację jako usługę chmurową. W przeciwieństwie do IaaS nie musimy wybierać parametrów wirtualnej maszyny oraz systemu operacyjnego czy przejmować się instalacją dodatkowych aplikacji. Tym wszystkim zajmuje się usługodawca który prawdopodobnie zarządza kilkoma, kilkunastoma VMkami, aby dostarczyć nam konkretną aplikację w modelu subskrypcyjnym. **Do aplikacji działających jako SaaS zaliczamy na przykład wszystkie usługi przechowywania plików – Google drive, Dropbox, Onedrive czy Apple iCloud.** Kolejnym przykładem aplikacji jako usługa jest Microsoft Exchange, czyli nasz prywatny serwer poczty jednak bez konieczności instalacji pakietów czy zarządzania wirtualnymi maszynami. ![](https://innasiec.pl/content/images/wordpress/2019/05/SaaS-software-as-a-service.png) Software as a Service ## PaaS – Platform as a Service Platform as a Service czyli platforma jako usługa to preinstalowane środowisko gotowe do pracy. Usługa zazwyczaj jest skierowana do programistów którzy dzięki temu nie muszą troszczyć się o aktualizację systemu, jego licencjonowanie oraz nie muszą jednorazowo wydawać tysięcy na zakup potrzebnego sprzętu. W ten sposób płacą wyłącznie za wykorzystane w danym okresie zasoby. Przykładem takiej usługi jest App Engine dostępny w Google Cloud oraz Lamba dostępna w AWS od Amazona. ![](https://innasiec.pl/content/images/wordpress/2019/05/gcloud_appengine-1024x462.png) PaaS – Platform as a Service ## Połączenia WAN do chmury Wykorzystywanie internetu do połączenia się z chmurą jest błogosławieństwem oraz przekleństwem zarazem. Szeroko dostępna usługa dostępu do internetu pozwala w sposób szybki oraz wygodny na połączenie z naszą chmurą. Nie musisz się przejmować jak oraz w jaki sposób uzyskasz połączenie ze swoim uługodawcą. Jednak korzystanie z internetu posiada szereg wad: - **Bezpieczeństwo:** Cały twój ruch jest podatny na podsłuchanie poprzez atak Man in the middle - **Przepustowość:** Przeniesienie swojej infrastruktury do chmury wymaga znacznego zwiększenia dostępnej prędkości na łączu WAN, jednocześnie nie mamy żadnej gwaracji, że gdzieś po drodze nasz ruch nie przytka któregoś z łącz ISP - **QoS**: Internet z założenia nie dostarcza żadnych usług QoS - **Brak WAN SLA**: Praktycznie żadnej z ISP nie jest w stanie zagwarantować SLA na łączach do każdego miejsca na świecie. Jednymi z opcji na rozwiązanie chociaż części z tych problemów jest zakupienie usługi prywatnego łącza WAN i wpięcie bezpośrednio do infrastruktury lub ustanowienie tunelu VPN do dostawcy chmury. Kolejną opcją jest wykupienie opcji MPLS VPN i spięcie jej pomiędzy naszym ISP i chmurą. ## Główni gracze Usługi chmurowe stają się coraz popularniejsze jednak nadal tort dzielą między sobą głównie trzy firmy: - **[AWS Amazon web services](https://aws.amazon.com/?ref=innasiec.pl)**[ ](https://aws.amazon.com/?ref=innasiec.pl)– obecnie najpopularniejszy z dostawców usług chmurowych oferujący bardzo intuicyjny panel sterowania oraz szeroki zakres usług. - **[Microsoft Azure](https://azure.microsoft.com/pl-pl/?ref=innasiec.pl) –** Jeśli szukasz usługi opartej o Windows serwer lub jedną z usług od Microsoftu wybór jest właściwie jeden. - **[Google Cloud](https://cloud.google.com/?ref=innasiec.pl)** – Ilością usług nie ustępuje AWS’owi, świetnie integruje się z Gsuite. Każda z tych firm oferuje darmowy okres testowy, dzięki czemu możesz przetestować ich usługi kompletnie za darmo. ## Czy chmura zabierze Ci pracę? Pora odpowiedzieć sobie na pytanie, które pojawia się wyjątkowo często. Również coraz częściej w wymaganiach na stanowiska sieciowa pojawia sięw wymaganiach znajomość zagadnień cloudowych. Niestety mie ma jednej, dobrej odpowiedzi na to pytanie. Na pewno rola chmury będzie znacząco wzrastać i popyt na tradycyjny networking będzie malał. Wiele firm zamiast inwestować we własną infrastrukturę lub kolakcję po prostu zakupi potrzebne usługi. Z drugiej strony chmura nie jest magicznym tworem i nadal wymaga, aby ktoś nią zarządzał. Możliwość uruchamiania VNF jako instancji VM nie oznacza, że wiedza jak je skonfigurować jest już nie potrzeba. Popyt na osoby techniczne będące w stanie administrować całymi sieciami cloudowymi będzie rosnął. > Praca w IT ma to do siebie, że wymaga ciągłego doskonalenia oraz doszkalania, a chmura z pewnością jest przyszłością i zabierze pracę jedynie tym którzy stoją w miejscu. \[/et\_pb\_text\]\[/et\_pb\_column\]\[/et\_pb\_row\]\[/et\_pb\_section\] ### VTP - Vlan trunking protocol URL: https://innasiec.pl/vtp-vlan-trunking-protocol/ Last updated: 2024-06-24T13:58:56.000Z Zarządzanie sieciami lan składającymi się z kilku lub kilkunastu switchy nie jest proste. Dodatkowo separacja użytkowników poprzez zastosowanie vlanów nie ułatwia naszej codziennej pracy. Dodanie nowych użytkowników w całkowicie nowym vlanie ciągnie za sobą konieczność zalogowania się do **WSZYSTKICH** switchy które będą musiały wiedzieć o danym vlanie. W najlepszym wypadku będą to tylko switche w warstwie accesowej oraz dystrybucja/core. W najgorszym… cóż czeka Cię pracowity dzień. ## VTP na pomoc Rozumiejąc, że inżynierzy zajmujący się obsługą sieci mają ciekawsze rzeczy do roboty niż dodawanie vlanów na switchach, Cisco stworzyło **VTP – virtual trunking protocol**. Nie daj się zmylić nazwie, ten protokół pracujący w warstwie drugiej nie ma nic wspólnego z trunkami. Tak, mamy protokół z trunkiem w nazwie, ale nie tworzący trunków jak ma to miejsce w przypadku **DTP – Dynamic trunking protocol.** Co więc robi VTP? W wielkim uproszczeniu przenosi informację o WSZYSTKICH vlanach, ich id (vlan-id) oraz jeśli skonfigurowane – nazwy. Tyle, albo aż tyle. Musisz pamiętać, że VTP sprawia, że wszystkie switche w Twojej sieci będą miały spójną bazę vlanów, ale nadal musisz ręcznie skonfigurować porty dostępowe przypisując im odpowiednie vlany. Pamiętaj, że możliwość edycji bazy vlanów w jednym miejscu i poźniejsze jej rozesłanie do wszystkich switchy pozwala zarówno na dodanie jak i ich usunięcie. > > **Przez nieuwagę jednym poleceniem możesz usunąć wszystkie vlany, kładąc całą sieć na łopatki.** To ten moment w którym możesz się pakować, z pewnością będziesz sławny 😀 ## Tryby VTP **Switche wykorzystujące VTP do synchronizacji vlanów muszą należeć do jednej wspólnej domeny VTP**. Jako, że tablica vlanów jest wyłącznie jedna na switchu ( w przeciwieństwie do tablicy routingu), switch może należeć wyłącznie do jednej domeny. **Dodatkowo switche mogą pracować w 3 trybach, jako server, client oraz transparent**. Pierwszy z nich oznacza switch który może edytować bazę vlanów. Drugi z nich oznacza switche które będą aktualizować swoje bazy vlanów zgodnie z informacją w wiadomości VTP. Nie mogą za to tworzyć lub usuwać vlanach z sieci. Ta opcja jest zablokowana i spotkasz się z komunikatem odmawiającym akceptacji nowego vlanu. Ostatni z trybów transparent sprawia, że switch nie bierze aktywnego udziały w komunikacji VTP. To znaczy, że nie przetwarza danych zawartych w pakietach VTP, ale w zależności od wykorzystywanej wersji może je przekazywać dalej. | **Tryb** | **Server** | **Client** | **Transparent** | | ---------------------------------------- | ---------- | ---------- | --------------- | | Może edytować bazę vlanów | Tak | Nie | Nie | | Może aktualizować swoją listę vlanów | Tak | Nie | Tak | | Może aktulizować wspólną listę vlanów | Tak | Nie | Nie | | Przesyła pakiety summary adv. co 5 minut | Tak | Tak | Nie | | Może używać vlanów 1-1005 | Tak | Tak | Tak | | Może używać vlanów 1006-4095 | Nie | Nie | Tak | ## Synchronizacja VTP Konfiguracja nowego vlanu odbywa się w dobrze Ci już znany sposób poprzez wydanie komendy **vlan** *vlan-id.* Dopiero następnie switch w trybie serwer rozsyła dane o aktualizacji listy vlanów do wszystkich inych switchy w ramach swojej domeny. W skrócie proces ten wygląda mniej więcej tak: - Switch w trybie serwer tworzy nowy vlan - Aktualizacja zostaje wysłana poprzez wszystkie porty w trybie **trunk (na tych samych portach switch oczekuje aktualizacji)** - Switch po otrzymaniu aktualizacji sprawdza czy jej parametry zgadzają się z tymi które ma skonfigurowane lokalnie (wersja protokołu, nazwa domeny, hasło) - Jeśli aktualizacja spełniła wszystkie wymagania oraz posiada wyższy numer rewizji, następuje synchronizacja. ![Aktulizacja VTP rozesłana ze switcha Serwer i następnie przekazana przez Clienta dalej](https://innasiec.pl/content/images/wordpress/2019/05/switch_serwer_update_vtp.png) W tym miejscu warto wspomnieć czym jest ta rewizja. **Otóż każdy switch kiedy rozpoczyna proces VTP posiada swoja bazę danych z numerem rewizji 0\.** Po każdej aktulizacji otrzymanej czy wykonanej lokalnie numer rewizji jest zwiększany o 1 przed dalszym przesłaniem informacji. Jest to bardzo niebezpieczny mechanizm o czym będzie w dalszej części artykułu. Jednak prawidłowo stosowany, spełnia swoje zadanie i cała nasza sieć posiada spójną bazę vlanów. ## Wymagania dla poprawnego działania VTP Kiedy połączymy ze sobą dwa switche pracujące jako client lub server do poprawnego działania VTP musimy spełnić jeszcze kilka warunków: - Połączenie pomiędzy switchami musi być skonfigurowane jako funkcjonujący trunk ( ISL lub dot1Q) - Switche muszą należeć do tej samej domeny, z uwzględnieniem faktu, że nazwa musi być identyczna pod względem wielkości liter. Domena Testowa i testowa nie są przez Cisco traktowane jako jednakowe. - Jeśli choć jeden switch ma skonfigurowane hasło VTP, pozostałe muszą równie je posiadać. Domeny VTP pozwalają na stworzenie kolejnej warstwy separacji na poziomie vlanów, gdzie w każdej domenie możemy mieć skonfigurowane vlany niezależnie. Pamiętaj, że switch może należeć tylko do jednej takiej domeny. Hasło VTP wprowadza kolejny mechanizm pozwalający dodatkowo zabezpieczyć naszą sieć przez złośliwym lub przypadkowym podłączeniem nowego switcha z wyższym numerem rewizji. ## Niebezpieczeństwo nowego switcha **Pamiętaj, że numer rewizji jest przechowywany w pamięci NVRAM i nie jest resetowany przez zanik zasilania.** Jak już pewnie się domyślasz dostawienie nowego switcha w trybie serwer z rewizją wyższą niż w naszej sieci może sprawić, że cała lista vlanów w sieci zostanie usunięta lub zmodyfikowana. Wcześniej wspominaliśmy, że tylko serwer może aktulizować naszą listę vlanów. **Cóż, nie jest to do końca prawdą. Otóż switch w trybie client nie może wykonać polecenia dodającego lub usuwającego vlany z sieci. Jednakże może i powinien przesyłać pakiety z aktulizacjami bazy vlanów.** Już się domyślasz o co chodzi? J**eśli dołączymy do naszej sieci switch w trybie client przy pierwszym podłączeniu wyśle on swoją bazę vlanów jako aktualizację VTP.** W takim wypadku inne switche (client i serwer) sprawdzą czy numer rewizji jest wyższy i jeśli tak, to zaktualizują swoją bazę zgodnie z informacją otrzymaną w pakiecie. ![Aktualizacja VTP ze switcha Client kładąca na łopatki sieć](https://innasiec.pl/content/images/wordpress/2019/05/nowy_switch_client_w_sieci.png) Z tego miejsca polecam wyrobienie sobie nawyku sprawdzania dwa razy konfiguracji VTP przed dodaniem nowego switcha do istniejącej sieci. **Jeśli Twój nowy switch ma numer rewizji wyższy niż pozostałe switche w domenie masz dwie opcje**. Zmienić jego tryb na transparent i ponownie na client lub server. Druga opcja to zmienić mu tymczasowo nazwę domeny, taka zmiana wymusi na switchu wyzerowanie numeru rewizji. ## VTP Pruning Standardowo switche Cisco przekazują ramki poprzez trunki w każdym skonfigurowanym vlanie. Jak dobrze wiesz switche przekazują również ramki broadcast ( oraz unknow unicast – ramki których odbiorca nie jest w tablicy CAM) w każdym aktywnym vlanie na trunku. Pakiety muszą zostać przetworzone przez każde urządzenie które je odbiera, ale niekoniecznie jest jego odbiorcą i poprostu odrzuca taki pakiet. I znowu wszystko zależy od efektu skali. W małej sieci w której mamy 4 switche na krzyż, te kilka dodatkowych pakietów nie stanowi problemu, jednak w sieciach w których mamy ponad kilkanastu lub kilkuset użytkowników możemy już mówić o setkach lub tysiącach dodatkowych pakietów. Dla przykładu jeśli w naszej sieci tylko 5 z 20 switchy ma porty accessowe w vlanie 100, to tylko te switche powinny wymieniać między sobą pakiety w tym vlanie. Jedną z opcji rozwiązania tego problemu jest ręczne skonfigurowanie na trunkach jakie vlany powinny być dozwolone. Jednakże takie rozwiązanie jest nawet bardziej czasochłonne niż sama konfiguracja nowych vlanów. Zdecydowanie lepszą opcją jest włączenie opcji **VTP pruning**. Oznacza ona tyle, że VTP może dynamicznie kontrolować w jakich vlanach switch ma porty accesowe. Następnie dzięki tej wiedzy ruch tylko z tych vlanów jest przepuszczany przez trunki. ![VTP prunning w praktyce](https://innasiec.pl/content/images/wordpress/2019/05/vtp_pruning.png) **W podsumowaniu co widzimy na powyższym obrazku:** - Switch numer 4 otrzymał informację VTP o vlanie 50, ale nie posiada żadnego portu accesowego powiązanego z tym vlanem. W odpowiedzi wysyła aktualizację do switcha numer 1, aby usunął vlan 50 z łączącego ich trunku. - Switch numer 1 usuwa vlan 50 z trunku do switcha numer 4\. W wyniku czego, żadne pakiety z tego vlanu nie zostaną przekazane do switcha 4. Dzięki temu jednemu prostemu zabiegowi jesteśmy w stanie ograniczyć ilość przesyłanych danych w naszej sieci poprzez ograniczenie zalewania sieci pakietami. Jest to jedna z kilku zalet i powodów dla których powinniśmy stosować VTP w swojej sieci. ## Pakiety VTP Pakiet VTP może pochodzić od switcha w trybie client i prosić o przesłanie aktualnych informacji o domenie w której się znajduje lub vlanie o którym brakuje informacji. Oczywiście również sam serwer wysyła pakiety w przypadku zmian w sieci. Nazwy pakiety pozostały w oryginalnym (angielskim) nazewnictwie dla łatwiejszej później pracy z nimi. Pakiety mogą występować w trzech formach: - **Summary advertisements** – Serwer rozsyła pakiety tego typu co 300 sekund czyli co 5 minut oraz po każdej aktualizacji bazy vlanów. Summary advertisement zawiera listę informacji o domenie takie jak: wersję protokołu, nazwę domeny, numer rewizji, znacznik czasu, hash MD5 (zakodowane hasło) oraz liczbę pakietów **subset advertisement** które zostaną przekazane. - **Subset advertisement** – Serwer rozsyła te pakiety po każdej zmianie na liście vlanów która miała miejsca w sieci. W tym pakiecie przekazywane są informacje odnośnie konkretnych zmian takich jak stworzenie lub usunięcie vlanu, zawieszeniu lub aktywacji vlanu oraz o wielkości MTU. - **Advertisement requst –** Switch w trybie client może poprosić o przesłanie informacji odnośnie dowolnego vlanu. Może to się zdarzyć na przykład gdy przypadkowo skasujemy plik vlan.dat, lub switch należy do domeny, ale posiada w swojej bazie vtp niższy numer rewizji niż ten w summary advertisement. ## Wersje VTP Na dzień publikacji artykułu Cisco wprowadziło 3 wersje protokołu VTP. **Wersja 1 oraz 2 są bardzo zbliżone do siebie i w obecnych czasach w kwesti konfiguracji, działania oraz diagnozowania problemów można je traktować jednakowo.** Dodatkowo możemy mieć w sieci switch pracujący jako serwer w wersji 1 oraz drugi switch serwer pracujący w wersji 2, a jednak oba będą wymieniały się informacjami. **Jedyna znacząca różnica pomiędzy tymi dwoma wersjami pojawią w sposobie działania switchy w trybie transparent.** W założeniu tryb ten miał za zadanie przekazywanie pakietów VTP pomiędzy innymi switchami w domenie. Jednakże, aby tego dokonać wersja VTP musi być taka sama dla nadawcy pakietu i switcha w trybie transparent. ## VTP w wersji 3 Najnowsza wersja tego protokołu wprowadza kilka znaczących usprawnień które znacząco odróżniają ją od jej poprzedniczek. - Powiększono zakres dostępnych vlanów z standordowego zakresu do rozszerzonego (1-4095). - Dodano przekazywanie informacji odnośnie private vlan Trzecią znaczącą nowością jest możliwość przekazywania innych informacji niż tylko tablice vlanów ( dla przykładu informacje o MST). Dodatkowo zwiększono również możliwości konfiguracyjne poprzez zastąpienie ustawień globalnych na ustawienia per port. W najnowszej wersji dodano 4 tryb w którym może pracować VTP, a jest to tryb off. Można z powodzeniem stosować go w konfiguracji portów na stykach sieci. ## Konfiguracja VTP Konfiguracja VTP jest stosunkowo prosta w porównaniu do możliwości jakie oferuje. Całość w momencie gdy mamy już naszą sieć zaplanowaną sprowadza się do następujących kroków: ![](https://innasiec.pl/content/images/wordpress/2019/05/vtp_w_akcji_1.png) Status VTP na switchu server oraz na nowym switchu client - Wejdź do globalnego trybu konfiguracyjnego i użyj polecenie **vtp {server|client|transparent}** - Następnie komendą **vtp domain** *nazwa\_domeny* dołącz switch do wybranej domeny - **(Opcjonalnie)** Użyj polecenia **vtp password** *hasło* - **(Opcjonalnie)** Użyj polecenia **vtp pruning.** Polecenie to może być zastosowane jedynie na switchu serwer - **(Opcjonalnie)** Użyj polecenia **vtp version {1|2},** aby poinformować switch lokalnie jakiej wersji ma używać ![](https://innasiec.pl/content/images/wordpress/2019/05/vtp_w_akcji_2.png) Status VTP na switchu server oraz na switchu client ## Troubleshooting VTP W odróżnieniu od reszty konfiguracji którą switche przechowują w **running-confingu** lub **startup-configu**, **konfiguracja VTP jest przechowywana w pliku vlan.dat w pamięci flash**. Z tego powodu nie da się zweryfikować czy dane są poprawnie wymieniane poprzez sprawdzenie komendy **show run**. W celu sprawdzenia czy nasz switch należy do domeny oraz czy poprawnie wymienił się informacji należy wydać polecenie **show vtp status.** Natomiast do sprawdzenia hasła służy polecenie **show vtp password.** Kiedy chcemy dodać nowy switch do naszej sieci nie wystarczy się na niego zalogować i skasować konfigurację startową – **erase startup-config** – oraz zrebootować. **Konfiguracja vlanów oraz vtp pozostanie nietknięta w pliku vlan.dat, który również należy skasować, aby otrzymać „czysty” switch.** Przejdźmy teraz przez proces troubleshootingu w którym poznasz dobry sposób na sprawdzenie, dlaczego vtp nie działa tak jak to zaplanowałeś. - Sprawdź nazwę urządzenia oraz topologię swojej sieci włączając w to sprawdzenie które interfejsy idą do którego switcha oraz w takim trybie pracuje. - Dla każdej pary połączonych ze sobą bezpośrednio switch, a które mają odmienne bazy vlanów sprawdź: - Aktualizacje VTP przenoszone są tylko poprzez trunki, sprawdź konfigurację interfejsów po obu stronach - Sprawdź czy oba switche należą do tej samej domeny (**show vtp status**) - Sprawdź czy posiadają takie samo hasło (**show vtp password**) - Sprawdź czy są w stanie obsługiwać te same wersji vtp (**show vtp status**) - Sprawdź czy w twojej sieci jest wiecej niż jeden switch pracujący jako serwer i czy mają one te same ustawienie ### Protokół IPv4 URL: https://innasiec.pl/ipv4-protokol/ Last updated: 2024-07-01T13:31:00.000Z **Protokół komunikacyjny IP** działa w **warstwie 3 modelu TCP/IP** niezależnie od warstwy fizycznej. Oznacza to, że sposób podłączenia hosta - poprzez port rj-45, światłowód czy komunikację bezprzewodową - nie ma znaczenia. Urządzenia mogą korzystać z różnych mediów fizycznych, pozostając w tej samej sieci i korzystając ze wspólnej adresacji. Dzięki **protokołowi ARP (Address Resolution Protocol)** możemy poinformować warstwę drugą który **adres fizycznych (MAC)** odpowiada konkretnemu adresowi logicznemu warstwy trzeciej. Dzięki temu jesteśmy w stanie skomunikować urządzenia w tej samej domenie rozgłoszeniowej. Jeśli jednak chcemy skomunikować się z hostem, serwerem czy usługą znajdującą się w innej podsieci, potrzebujemy protokołu routingu warstwy trzeciej inaczej trasowania np. [ospf](https://innasiec.pl/podstawy-ospf-teoria/) lub [eigrp.](https://innasiec.pl/eigrp-protokol-routingu-distance-vector/) Możemy również oczywiście wykorzystać trasy statyczne. [OSPF - Routing w oparciu o link state | teoriaOspf (ang. Open Shortest Path First) to obecnie jeden z najchętniej wybieranych protokołów IGP. Podobnie EIGRP czy IS-IS funkcjonuje w ramach jednego obszaru atonomicznego. Oznacza to, że zajmuje się routingiem w ramach sieci zarządzanej przez jedną firmę lub organizację.Współcześnie stosujemy OSPF w wersji 2 dla IPv4 oraz w wersji![](https://amigurumi-polecat.pikapod.net/content/images/size/w256h256/2024/06/recreate-02.png)Inna SiećRafał Rudewicz![](https://amigurumi-polecat.pikapod.net/content/images/wordpress/2017/05/ospf-open-shortest-path-first.png)](https://innasiec.pl/podstawy-ospf-teoria/) [EIGRP - Routing Distance Vector od CiscoEnhanced IGRP Pierwsze protokoły routingu dynamicznego korzystały z logiki przekazywania pakietów charakteryzującej obecne protokoły Distance (odległość) Vector (kierunek). W tamtych czasach powszechnie stosowanymi protokołami był RIP w wersji pierwszej, oraz niedługo później wydany IGRP. Jednak we wczesnych latach 90 kiedy „zakończyła się” wojna o standaryzację sieciową i zaczęto odchodzić![](https://amigurumi-polecat.pikapod.net/content/images/size/w256h256/2024/06/recreate-02.png)Inna SiećRafał Rudewicz![](https://amigurumi-polecat.pikapod.net/content/images/wordpress/2017/10/eigrp-Enhanced-Interior-Gateway-Routing-Protocol.png)](https://innasiec.pl/eigrp-protokol-routingu-distance-vector/) ## Protokół IP Protokół IP jest z natury bezpołączeniowy. Oznacza to, że nie nawiązuje się sesji między hostami, a komunikacja odbywa się na żądanie. Nie ma pewności, czy host, z którym ostatnio się komunikowaliśmy, jest nadal osiągalny. Protokół nie gwarantuje dostarczenia danych w całości ani ich części; w tym zakresie polega na warstwie czwartej. Do czego służy nam ten protokół? Spełnia dwie bardzo istotne funkcje. **Zapewnia spójny system adresacji wykorzystywany globalnie** i umożliwia odnalezienie interfejsu sieciowego oraz trasy do niego. Adres IP zarówno nadawcy, jak i odbiorcy, jest przekazywany w sposób niezmieniony przez całą trasę. Występuje wyjątek od tej reguły w postaci NAT, gdzie najczęściej ukrywamy adresy sieci wewnętrznej na routerze brzegowym, zamieniając go na publiczny. Nagłówek protokołu IPv4 przedstawiony jest w formie tabeli, co ułatwia zrozumienie zawartych w nim pól oraz ich wielkość. ![](https://innasiec.pl/content/images/2024/06/naglowek_ip4.webp) Do najważniejszych pól nagłówka należą: - **Wersja** – określa wersję pakietu IP oraz strukturę nagłówka. Dla IPv4 wartość wynosi 4. - **Długość** – określa długość nagłówka wyrażoną jako wielokrotność 32-bitowego słowa. Minimalna wartość to 5. - **Typ usługi** – informuje następny router o wymaganiach dotyczących obsługi pakietu. Odpowiada polu CoS w warstwie drugiej. - **Długość całkowita** – określa długość całego pakietu z nagłówkiem i danymi, maksymalnie 65 535 bajtów (16 bitów). - **Identyfikacja** – umożliwia złożenie fragmentowanych danych w całość. - **Flagi** – dwa bity: czy jest to ostatni fragment oraz czy może być fragmentowany. - **Przesunięcie fragmentu** – wskazuje pozycję fragmentu względem oryginału. - **Czas życia TTL** – określa pozostały czas życia danych w sekundach, zmniejsza się o 1 przy przejściu przez router, maksymalnie 255. - **Protokół** – identyfikuje protokół warstwy wyższej danych. - **Suma kontrolna** – służy do sprawdzenia integralności nagłówka. - **Adres nadawcy i odbiorcy**. - **Opcje** – umożliwiają przyszłą implementację nowych opcji. - **Uzupełnienie** – dopełnia pole opcji do pełnych 32 bitów. ### Adresacja IPv4 **Adres IP to 32-bitowy ciąg zer i jedynek przypisany interfejsowi sieciowemu lub grupie interfejsów** (także adresy broadcast i multicast) lub całej sieci. Dla wygody zapisujemy go w formie dziesiętnej, rozdzielając kropkami na 4 ośmiobitowe oktety o wartościach od 0 do 255\. Poniżej znajduje się przykład adresacji IP z wykorzystaniem prywatnej puli adresowej. Zagadnienie maski podsieci będzie omówione w dalszej części artykułu. ![](https://innasiec.pl/content/images/2024/06/wlasciwosci_adresacja_ipv4_w_systemie_windows.webp) 💡 Warto zauważyć, że adresy warstwy trzeciej nie muszą jednoznacznie identyfikować fizycznych urządzeń. ### Klasy adresów Na początku istnienia protokołu IP w warstwie 4, ilość dostępnych adresów wydawała się wystarczająca. Ograniczanie wielkości sieci wynikało z wydajności routerów oraz chęci separacji podsieci. Adresy IP były przydzielane w dużych blokach znacznie przekraczających rzeczywiste potrzeby odbiorców. Same protokoły routingu były stosunkowo prymitywne i opierały się na klasach adresów. **Standard IP podzielił pulę wszystkich możliwych kombinacji 32-bitowych adresów na pięć klas**. Przynależność do klasy jest określana przez wartość pierwszego oktetu. Klasa A otrzymała prawie połowę wszystkich dostępnych adresów, reprezentowana przez sieci zaczynające się od 1 do 126\. Klasa B otrzymała ćwierć adresów, zaczynających się od 128-191\. Najpopularniejsza nadal klasa C zawiera 1/8 dostępnych adresów, zaczynających się od 192-223\. Wszystkie wymienione klasy zawierają adresy przeznaczone do komunikacji typu unicast, gdzie każdy adres powinien być przypisany do jednego hosta. ![](https://innasiec.pl/content/images/2024/06/podzial_sieci_ip_na_klasy.webp) **IPv4 stosuje 3 klasy dla adresów unicastowych** z konkretnym powodem. Każda sieć z klasy A pozwala na adresację 16 777 214 hostów. Ze względu na tak duże możliwości adresacyjne istnieje jedynie 126 takich sieci. Klasa B, nieco mniejsza, pozwala na adresację 65 654 hostów dla 16 385 sieci. Najpopularniejsza do dzisiaj klasa C umożliwia adresację 254 interfejsów sieciowych i pozwala na stworzenie aż 2 097 152 podsieci. Adresy do komunikacji multicastowej, rozpoczynające się od 224-239, są przypisane do klasy D. Ostatnia klasa E pierwotnie była oznaczona jako eksperymentalna, lecz obecnie przeznaczona jest do wykorzystania w przyszłości. Cała sieć o numerach 0 oraz 127 jest zarezerwowana. ## Prywatne adresy IP Początkowo wszystkie adresy miały być routowalne w Internecie. Jak wiemy, zarówno ilość dostępnych adresów miała na to pozwolić, jak również względy bezpieczeństwa nie były jeszcze tak istotne. Jednakże z biegiem czasu i przy zastraszającym tempie wykorzystania całej puli zauważono, że wiele hostów wcale nie musi być osiągalnych, a wręcz nie powinno być spoza naszej sieci. Jeśli nie udostępniasz na swoim komputerze żadnych treści oraz nie potrzebujemy możliwości drukowania na naszej drukarce będąc na drugim końcu świata, nie potrzebujesz publicznego adresu IP (trasowalnego w Internecie). To samo dotyczy komputerów w wielu firmach czy uczelniach, które często nawet jeśli są serwerami, nie zawsze chcemy, aby ktoś z zewnątrz miał do nich dostęp. Wychodząc na przeciw tym oczekiwaniom, **IANA wydała RFC 1819, w którym wydzieliła 3 pulę adresów IP, które mogą być wykorzystywane w sieciach prywatnych**: 10.0.0.0 – 10.255.255.255 (10/8 prefix) 172.16.0.0 – 172.31.255.255 (172.16/12 prefix) 192.168.0.0 – 192.168.255.255 (192.168/16 prefix) Dlatego wewnątrz sieci prywatnych, na przykład w sieciach domowych stosujemy adresację 192.168.0.0/24\. Następnie nasz dostawca internetu stosuje [**NAT (Network Address Translation)**](https://innasiec.pl/nat-network-address-translation/), „tłumacząc” wszystkie nasze adresy (i sąsiada też 😉) na adresy publiczne. Warto również wspomnieć, że **w protokole IP nie ma mechanizmu, który by uniemożliwił trasowanie sieci prywatnych w Internecie**. Jest to zdefiniowane w RFC 1819, jednakże trasowanie jest nadal możliwe. ## Maska podsieci W celu lepszego zrozumienia, czym jest maska podsieci, odpowiedzmy sobie na pytanie: czym jest podsieć? Jest to sieć składająca się z następujących po sobie kolejno adresów. Dysponujemy 32 bitami do zaadresowania, co daje nam sporo możliwości. Jednak jak możemy określić, które z 4 miliardów adresów należą do naszej sieci i nie powinny być wykorzystywane przez innych? Odpowiedzią na to pytanie jest maska podsieci, składająca się z ciągu następujących po sobie jedynek i zer. Jak dobrze wiemy, dla maski podsieci bity przyjmują wartość 1 wyłącznie od lewej strony. Dzięki temu łatwo możemy określić wartość maski dla danego oktetu. ![Wartości dziesiętne możliwe do zaadresowania w masce podsieci](https://innasiec.pl/content/images/2024/06/wartosci_maski_podsieci.webp) Dlaczego jednak maska podsieci jest maską? Ponieważ, gdy "nałożymy" maskę podsieci - podobnie jak prawdziwą maskę - na nasz adres IP, otrzymamy informację o sieci, do której należy nasz host, oraz jak duża jest ta sieć. Posłużymy się przykładem znanego już nam hosta 192.168.0.100/24 i zamienimy go na system binarny. ![](https://innasiec.pl/content/images/2024/06/adres_ipv4_maska_podsieci.webp) Kiedy już mamy gotową zamianę, wystarczy podstawić wartości adresu IP oraz maski, aby ukazał się przed nami idealny schemat. Patrzymy, które bity mają wartość 1 zarówno dla adresu, jak i dla maski. Przepisujemy je do kolejnego rzędu i w ten sposób otrzymujemy adres naszej sieci. ![](https://innasiec.pl/content/images/2024/06/nakladanie_maski_podsieci.webp) Korzystając z naszego przykładu, wiemy, że nasz host o adresie 192.168.0.100/24 należy do sieci 192.168.0.0/24\. Co jednak z bitami, które mają wartość 0 w naszej masce? Są to bity, które możemy wykorzystać jako adresy hostów w naszej sieci. W naszym przypadku mamy 8 bitów, co daje nam łącznie 256 adresów hostów. Jednakże w każdej sieci (z wyjątkiem /31 i /32) mamy dwa specjalne adresy – adres sieci jako pierwszy adres oraz ostatni adres, który jest adresem rozgłoszeniowym. ## CIDR – Classless Inter-domain Routing Jak wspomnieliśmy wcześniej, podczas projektowania protokołu IPv4 nikt nie przewidywał, że obecny Internet rozrośnie się do tak ogromnej skali, jak ma to miejsce dzisiaj. Każdy z nas posiada przynajmniej kilka urządzeń podłączonych do sieci - komputer, telefon, telewizor, konsolę czy inteligentny zegarek. W rzeczywistości, to nawet nie jest szczyt góry, jaką dla nas przygotowuje IoT, gdzie praktycznie każde urządzenie elektryczne może komunikować się za pomocą IP. Dochodzimy do punktu, w którym potrzebujemy ogromnych ilości podsieci, ale niekoniecznie o wielkości zdefiniowanej w oryginalnych klasach adresowych. Na przykład, do zaadresowania połączenia punkt-punkt potrzebujemy 2 adresów. Najmniejsza klasa C oferuje 254 użyteczne adresy. Tak więc, aby zaadresować 2 interfejsy sieciowe, marnujemy 252 adresy, które nie mogą być wykorzystane nigdzie indziej. **Wychodząc naprzeciw potrzebie lepszego dopasowania wielkości naszych sieci, powstało Classless InterDomain Routing.** Co on wprowadził do sieci? Początkowo klasy adresów miały z góry zdefiniowane maski. Klasa A /8, klasa B /16 oraz klasa C /24, jednak z zastosowaniem CIDR możemy tworzyć klasy sieci z maską podsieci o dowolnej długości. ![](https://innasiec.pl/content/images/2024/06/cidr_wielkosc_sieci.webp) Wszystkie współczesne protokoły routingu pozwalają na wykorzystanie CIDR, jednak należy pamiętać, że pierwsze protokoły routingu, takie jak RIPv1, obsługują jedynie routing klasowy. ## VLSM – Variable Length Subnet Mask Kolejnym rozwiązaniem usprawniającym efektywne wykorzystanie sieci IPv4 jest **Variable Length Subnet Mask – VLSM**. Rozwiązanie to jest bardzo podobne do **Classless Inter-Domain Routing**, ponieważ również pozwala na podzielenie większej podsieci na kilka mniejszych. Jednak jak zawsze diabeł tkwi w szczegółach. Wykorzystanie maski podsieci nie było konieczne, ponieważ na podstawie pierwszego oktetu można było określić przynależność adresu do danej klasy. Dzięki temu rozmiar był z góry ustalony. Jednak wraz z CIDR podział większej sieci, np. /16, na mniejsze zakładał wykorzystanie masek o tej samej długości, np. /24\. **Możliwość utworzenia podsieci o różnych długościach maski wprowadzono dopiero w VLSM.** W ten sposób możemy otrzymać blok adresów IPv4 o długości /24 i podzielić go na kilka /26, jednocześnie wydzielając jeszcze mniejsze sieci o długości /30. ### Zabawne RFC URL: https://innasiec.pl/zabawne-rfc/ Last updated: 2024-07-01T13:37:52.000Z RFC czyli Request For Comment jest to zbiór dokumentów szczegółowo opisujących protokoły, oraz specyfikacje techniczne wymagane do ustandaryzowanej implementacji danego zagadnienia. Jest to swoista biblia dla sieciowców w której znajdują się wszystkie obecnie stosowane standardy utworzone przez EITF. Wydawało by się, że w tak poważnym zbiorze danych nie ma miejsca na żarty, w końcu zaglądają i czytają to codziennie tysiące osób na całym świecie. Nic bardziej mylnego, sieciowcy również mają poczucie humoru, specyficzne ale jednak. ## RFC 1149 IP over Avian Carriers (IPoAC) ![](https://innasiec.pl/content/images/wordpress/2019/01/RFC-1149-IP-over-Avian-Carriers-IPoAC-1024x681.jpg) Wydany 1 kwietnia 1990 przez David Waitzman’a RFC 1149 opisuje sposób transmisji datagramu IP z wykorzystaniem gołębia pocztowego. Standard ten niestety oferuje niską przepustowość o stosunkowo wysokich opóźnieniach oraz sporym ryzyku utraty danych. Jak wysokim? W celu sprawdzenia tego Linux User Group z Bergen w Norwegii wysłali 9 pakietów ping, każdy niesiony przez 1 gołębia. Niestety współczynnik dostarczonych danych wyniósł jedynie 65%, jedynie 4 pakiety zostały skutecznie dostarczone. Czas dostarczenia pakietu wynosił pomiędzy 3000 do ponad 6000 sekund . 64 bytes from 10.0.3.1: icmp_seq=0 ttl=255 time=6165731.1 ms Standard został zaprojektowany do komunikacji typu punkt-punkt. Typowa wartość MTU wynosi 0,256 grama oraz jest uzależniona od długości nogi gołębia. Paradoksalnie starsze „nośniki” są w stanie przenosić większe ilości danych od młodszych osobników. ## RFC 2549 IP over Avian Carriers with Quality of Service 9 lat po wydaniu oryginalnego standardu IPoAC doczekaliśmy się implementacji QoS. Dzięki temu otrzymaliśmy następujące dostępny klasy serwisów: Concorde , pierwsza klasa, biznesowa, coach ( klasa ekonomiczna). Jako jedyny znany protokół sieciowy wykorzystwanie IPoAC z QoS oferuje zbieranie mil wraz z każdym pakietem. Klasa concorde oferuje przyspieszony transport danych oraz dodatkowo wraz z pierwszą klasą dodatkowe 50% mil. Możliwym do zastosowanym algorytem kolejkowania jest WFQ. ![](https://innasiec.pl/content/images/wordpress/2019/03/WFQ.png) Weighted fair queueing (WFQ) Nowością jest również możliwość implementacji komunikacji typu multicast, wymaga ona jednak sklonowania gołębią. Z dokumentu dowiadujemy się również, że średni TTL dla gołębi wynosi 15lat oraz o proponowanym rozszerzeniu standardu również na pingwiny jednak bez powodzenia (nie latały). ## RFC 5514 IPv6 over Social Network ![facebook](https://innasiec.pl/content/images/wordpress/2019/03/facebook.png) RFC 5514 IPv6 over Social Network 1 kwietnia 2009 został opublikowany eksperymentalny protokół IPoSN mający na celu znacząco podnieść ilość dostępnych routerów wykorzytujących IPv6\. Jak słusznie zauważył autor Eric Vyncke nowy standard IP nie był – nadal w sumie nie jest – w powszechnym użyciu w przeciwieństwie do mediów społecznościowych. Do głównych założeń architektonicznych należy: - Każdy użytkownik portalu społecznościowego posiada przynajmniej jeden adres IPv6 loopback oraz pełni funkcję routera - Każdy znajomy lub osoba z która nawiązaliśmy kontakt stanowią połączenie punkt-punkt Wykorzystując fakt, że większość użytkowników social media posiada rozbudowaną sieć kontaktów tworzy to idealne warunki dla implementacji topologii typu mesh (wiele połączeń pomiędzy rożnymi końcówkami). Zalecanym protokołem routing jest RIPng ponieważ jest względnie odporny na jitter(nierównomierne opóźnienie pomiędzy pakietami w transmisji) oraz nie rozsyła wszystkich informacji o zmianach w topologii do swoich sąsiadów. IPoSN doczekał się swojej implementacji w postaci aplikacji na facebooku – IPv6overFacebook – niestety jest już ona usunięta. ## RFC 5841 TCP Option to Denote Packet Mood ![](https://innasiec.pl/content/images/wordpress/2019/03/ascii-happyface.png) RFC 5841 TCP Option to Denote Packet Mood Typowe pakiety IP zostały stworzone w celu przenoszenia danych i nie są w stanie odczuwać emocji. Jednakże skoro w codziennej komunikacji wielu z nas używa emotikonek dlaczego nie udostępnić by takiej możliwości datagramom? Dokładnie na ten sam pomysł wpadło dwóch członków IETF Richard Hay oraz Warren Turkal w 2010\. Dzięki tym gentleman już teraz możemy oznaczyć pakiet który jesteśmy zmuszeni reatransmitować po raz kolejny jako „wściekły”. Technicznie rozwiązano to jako implementacja pola opcji w nagłówku TCP z wykorzystaniem wartości 25 do oznaczania zmiennej jako przekazywana emocja. Pole pozwala na użycie 4-5 bajtów **Zaproponowane kodowanie znaków w ascii:** ``` Binarnie Dec Hex Znaki ======== === === ===== 010 0101 37 25 % 010 1000 40 28 ( 010 1001 41 29 ) 011 1010 58 3A : 011 1011 59 3B ; 011 1110 62 3E > 100 0000 64 40 @ 100 0100 68 44 D 100 1111 79 4F O 101 0000 80 50 P 110 1111 111 6F o 111 1100 124 7C | ``` ``` ASCII Emocja ===== ==== :) Happy :( Sad :D Amused %( Confused :o Bored :O Surprised :P Silly :@ Frustrated >:@ Angry :| Apathetic ;) Sneaky >:) Evil ``` ## RFC 3251 Electricity over IP ![](https://innasiec.pl/content/images/wordpress/2019/03/rfc3251-elektrycznosc-po-ip.jpg) Posiadanie dwóch osobnych sieci zamiast jednej zawsze prowadzi do zwiększonej biurokracji i dodatkowych kosztów. Dlaczego by zatem nie przesyłać elektryczności z wykorzystaniem istniejącej sieci IP? Do tego celu 1 kwietnia 2002 roku Bala Rajagopalan zaproponował MPLampS: Mostly Pointless Lamp Switching. **Terminologia użyta w dokumencie:** - **LSR: Load-Switching Router** – Urządzenie stosowane w sieci core MPLampS. - **RSVP: Rather Screwed-up, but router Vendors Push it** – Protokół sygnalizujący. - **RSVP-TE: RSVP with Tariff Extensions** – Adaptacja RSVP w sieci MPLampS, do wykorzystania w przypadku stosowania różnych taryf. - **CRLDP: for CRying out Loud, Don’t do rsvP** – Konkurencyjny do RSVP protokół sygnalizujący. - **OSPF: Often Seizes-up in multiPle area conFigurations** – Hierachiczny protokół routingu. - **ISIS: It’s not oSpf, yet It somehow Survives** – Kolejny protokół routingu. - **VPN: Voltage Protected Network** – Pozwala klientom z wieloma lokalizacjami na otrzymywanie energii elektrycznej o znikomej fluktuacji napięcia z powodu zakłóceń od innych klientów. ### Wszystko, co musisz wiedzieć o maskach podsieci w sieciach komputerowych URL: https://innasiec.pl/sprytny-sposob-na-adresacje-sieci/ Last updated: 2025-01-07T11:55:26.000Z Chcąc czy nie chcąc, na początku swojej przygody z sieciami IP musisz poznać zasady rządzące adresacją. Dowiedziałeś się już, że adres IPv4 składa się z 32 bitów. W zapisie decymalnym jest podzielony na cztery oktety rozdzielone kropkami, a w każdym z nich możesz użyć wartości od 0 do 255 (oczywiście niedowolnych). Przygotowując się do swojego prawdopodobnie pierwszego sieciowego certyfikatu będziesz musiał wykazać się znajomością metody **Classless Inter-Domain Routing** w skrócie **CIDR** oraz **Variable Lenght Subnet Mask** w skrócie **VLSM**. Ilość informacji oraz zapewne całkowicie nowych dla Ciebie zasad potrafi być przytłaczająca. Nie martw się, nikt z nas nie jest w stanie wszystkiego zapamiętać. Na egzaminie musisz wykazać się znajomością technologii, a nie umiejętnością wykucia olbrzymiej ilości materiału na pamięć. Poniżej przedstawiam Ci mój sposób na radzenie sobie z adresacją na egzaminach. Wystarczy, że w czasie przeznaczonym na przygotowanie się do egzaminu rozpiszesz sobie poniższą tabelkę na kartce (lub w czasie kiedy będzie Ci potrzebna). ## Magiczna tabelka na egzamin ![](https://innasiec.pl/content/images/wordpress/2019/03/ip_subnetting_podstawa.png) Przedstawiona powyżej tabelka w pierwszym rzędzie reprezentuje 8 bitów, z których składa się każdy oktet. Drugi rząd przedstawia odpowiadającą danemu bitowi wartość. Ostatnie dwie linijki przedstawiają najpopularniejsze maski, z którymi możesz się spotkać. Tabelkę należy rozpatrywać zarówno wykorzystując konkretne kolumny jak i rzędy. Dla przykładu, aby określić jak zapisać maskę /19 wiemy, że musimy wykorzystać 3 bity z 3 oktetu, czyli maska będzie wyglądać 255.255.224.0\. Na pierwszy rzut oka widać również, że w danej podsieci mamy 32 adresy. Teraz może to wydawać Ci się zawiłe i niezrozumiałe. Spokojnie, za chwilkę powtórzymy wszystkie potrzebne zasady IPv4. ## Liczenie binarne **Każdy adres składa się z 32 bitów, które dzielimy na oktety po 8 bitów.** Jak zapewne dobrze pamiętasz, maska sieciowa również składa się z 32 bitów, jednakże tutaj wszystkie bity od lewej strony mające wartość 1 określają która część adresu należy do podsieci. Z kolei pozostałe wartości binarne powinny reprezentować wyłącznie wartość 0 i określać konkretne urządzenie. Spójrzmy jak to wygląda, na przykładzie popularnej podsieci prywatnej 192.168.100.0 z maską 255.255.255.0 czyli /24\. Wiemy, że adres klasy C czyli właśnie z wykorzystaniem maski o długości 24 bitów określa adres sieci wykorzystując pierwsze 3 oktety pozostawiając nam 4 na adresację urządzeń końcowych. ![IP subnetting - liczby binarne](https://innasiec.pl/content/images/wordpress/2019/03/ip_subnetting_liczby_binarne-1024x384.png) Do pełnego zrozumienia zagadnienia musimy sobie jeszcze przypomnieć jak prawidłowo przekształcać wartość binarną, którą reprezentuje ciąg jedynek i zer na system dziesiętny. Każdy pojedynczy bit reprezentuje wartość potęgi liczby dwa. Zaczynając liczyć od prawej strony mamy więc 2^0 i kolejno aż do 2^7, co doskonale widać na przykładzie. Teraz nie pozostaje nam nic innego niż drogą eliminacji „zapalać” bity, które będą nam potrzebne. Robimy to w taki sposób, że od szukanej wartości na przykład 192 staramy się odjąć wartość każdego bitu po kolei patrząc od lewej strony. Oczywiście wartość takiego odejmowania musi być dodatnia. ![](https://innasiec.pl/content/images/wordpress/2019/03/ip_subnetting_liczby_binarne_kalkulacja.png) ## Sposoby zapisu maski podsieci Maska podsieci podobnie jak adres ipv4 składa się z 32 bitów podzielonych na 4 oktety po 8 bitów każdy. Oznacza to, że wartości dziesiętne jakie możemy wykorzystać są z góry ustalone i stanowią sumę wykorzystanych bitów w danym oktecie. Tak więc w celu otrzymania podsieci o notacji /8 wykorzystujemy wszystkie 8 bitów od lewej strony jako adres sieci. Pozostałe 24 bity możemy zaadresować jako hosty w naszej sieci (oczywiście ostatni adres podsieci nie może zostać wykorzystany do niczego innego niż broadcast). Analogicznie jeśli chcemy otrzymać podsieć o masce /16 wykorzystujemy w pełni pierwsze dwa oktety po 8 bitów oraz dla maski /24 wykorzystujemy 3 oktety. Kiedy tworzymy sieci w oparciu o pełne oktety – sieci /8, /16, /24 – mówimy o sieciach klasowych. Do czego wykorzystuje się maski podsieci? Oczywiście do określania wielkości danej sieci. Najłatwiej to zrozumieć skupiając się na czwartym oktecie i maskach od /24 w górę do /32. Tak więc wykorzystując maskę 255.255.255.0 – z notacją /24 -możemy wykorzystać wszystkie bity i mamy 256 adresów w naszej sieci, wartości od 0 do 255\. Jeśli pożyczymy 1 bit do części określającej Twoją sieć zyskujemy dwie sieci o masce /25 z zapisem maski 255.255.255.128\. Kiedy pożyczymy 2 bity otrzymujemy maskę 255.255.255.192 dla 4 sieci. ![](https://innasiec.pl/content/images/wordpress/2019/03/ip_subnetting_maska_podsieci.png) Pamiętaj, że w każdej podsieci mamy dwa adresy specjalnym przeznaczeniu. Adres sieci, który jest pierwszym adresem w danej podsieci i ostatni adres, który jest adresem rozgłoszeniowym. ## CIDR Classless Inter-domain routing Wróćmy do naszego przykładu kiedy mieliśmy sieć o wielkości 256 adresów ( /24), ale potrzebujemy tak naprawdę 2 mniejsze? W takim przypadku stosujemy **CIDR** i z jednej sieci /24 robimy dwie /25\. Niestety nie jesteśmy w stanie zawsze stworzyć idealnie dopasowanej do naszej potrzeb sieci. Na przykład nie jesteśmy w stanie stworzyć podsieci z 34 możliwymi do zaadresowania hostami. Musimy w takim wypadku zastosować większą sieć /26 i pogodzić się ze zmarnowaniem pozostałych adresów. Pozwala nam to na bardzo szybkie przeliczenie ile możemy utworzyć podsieci z daną liczbą hostów. Spójrz na obrazek poniżej, w którym zaznaczyłem kolorami konkretne pary. I tak dla przykładu stosując maskę /26 otrzymamy 4 podsieci z 64 adresami (62 na hosty +2 specjalne). Odwrotnie stosując maskę /30 otrzymany 64 sieci z 4 adresami. Jedynie sieć /32 pozwala wyłącznie na zaadresowanie jednego hosta w związku z czym nie ma potrzeby określania początku podsieci oraz adresu broadcast. ![](https://innasiec.pl/content/images/wordpress/2019/03/ip_subnetting_liczba_podsieci_vs_liczba_host%C3%B3w.png) Dlaczego potrzebujemy to wiedzieć? Ponieważ na egzaminach powinieneś spodziewać się pytań w stylu „Jakiej maski podsieci należy użyć w celu zaadresowania 15 hostów lub 500 hostów”. Umiejętność swobodnego operowania (czy to w głowie, czy na kartce) maskami może być również weryfikowana podczas zadań praktycznych, gdzie może być celowo zastosowana zła wartość. Pamiętaj, że sieci komputerowe pracują według sztywnych zasad świata binarnego. ## Kilka słów na koniec Mam nadzieję, że zawarte w tym artykule porady okażą się przydatne i pomogą Ci swobodnie rozprawić się z pytaniami dotyczący tworzenia oraz kalkulacji podsieci. Pamiętaj również, że podana tabelka to przykład, który powinien Ci pomóc i nie musisz się go sztywno trzymać. Jeśli wolisz inny układ, to śmiało go stosuj. Życzę powodzenia na egzaminach oraz zachęcam do pozostawienia komentarza. ### Inna sieć 2.0 - Reaktywacja URL: https://innasiec.pl/inna-siec-2-0-reaktywacja/ Last updated: 2024-07-01T13:36:15.000Z Minęło już całkiem sporo czasu od kiedy ostatni raz pojawił się wpis na innasieć.pl. Właściwie to 14 kwietnia 2018 opublikowałem artykuł [IPv6 następca protokołu IPv4 ](https://innasiec.pl/2018/04/14/ipv6/)i od tego czasu przez blisko rok nie pojawił się żaden nowy post. Skąd aż taka duża przerwa w publikacjach? Cóż głównym czynnikiem była tu bez wątpienia zmiana pracy oraz wyzwania które postawiła przede mną całkowicie zmieniając sposób mojej pracy. Bez bicia muszę się przyznać, że potrzebowałem dobrych kilku miesięcy, aby wdrożyć się w całkowicie nowe dla mnie procedury oraz poznać kolejnego vendora z którym będę miał okazję pracować – **Cześć Juniper!** Innasieć zawsze była projektem małego bloga, na którym będę mógł podzielić się z Tobą swoją wiedzą oraz przemyśleniami. Nigdy nie była nigdzie reklamowana oraz promowana. Początkowo grono czytelników zamykało się raczej w kręgu znajomych co również potwierdzały liczby z google analytics. W samym kwietniu po publikacji ostatniego artykułu i w sumie szesnastego w ogóle, stronę odwiedziło raptem 160 osób. Tak, w całym miesiącu zainteresowanych artykułami było tylko 160 osób, co daje ok 5 unikatowych użytkowników dziennie. Co po blisko roku istnienia strony w internecie było dla mnie naprawdę słabym wynikiem. Wszystko zmierzało ku temu, aby zamknąć projekt wraz z wygaśnięciem domeny. ## Pora powrotu do pisania Pewnego razu miałem okazję porozmawiać twarzą w twarz z Łukaszem z Nastykusieci. Podczas typowego korporacyjnego small talku padło pytanie o bloga czy jeszcze będę pisał. Powiem szczerze, że byłem tym pytaniem zaskoczony, nie spodziewałem się, że ktokolwiek tutaj jeszcze zagląda po tak długim czasie bez publikacji nowych artykułów. Kiedy sprawdziłem wtedy aktualne wyniki w GA byłem naprawdę mocno zaskoczony, liczba odwiedzających wzrosła prawie czterokrotnie w stosunku do kwietnia 2018\. ## Czego nie udało się zrealizować? Jak to zwykle bywa, rzeczywistość zweryfikowała źle oszacowane i zbyt optymistyczne założenia. Poniżej lista celów, którymi podzieliłem się w pierwszym wpisie [na dobry poczatek](https://innasiec.pl/na-dobry-poczatek/) na blogu : - Materiałów, które pomogą Tobie i mnie przygotować się do egzaminów - ~~Przykładów z budowy sieci i praktycznych rozwiązań~~ - ~~Cheatsheet’ów abyś nie musiał przeszukiwać już całego internetu~~ - ~~Własnych przemyśleń na temat sieci i tematyki która dotyczy osób pracujących lub chcących zacząć pracę jako sieciowiec~~ - ~~Teksty powinny pojawiać w zależności od poruszanej tematyki, od zaledwie kilku do kilkunastu w miesiącu.~~ Ze wszystkich celów, które miały zostać zrealizowane na innasiec.pl udało się jedynie stworzyć kilka materiałów, które powinny zainteresować szczególnie osoby przygotowujące się do egzaminu CCNA. Pozostałych założeń nie udało się zrealizować jednakże nie zostaną one porzucone. Wyjątkiem jest częstotliwość publikacji, które od teraz będą pojawiać się zawsze w piątki rano. ## Co się zmieniło? Nie moglibyśmy mówić o wersji 2.0 jeśli nic by się nie zmieniło, a jedynie powróciłbym do pisania. Nie zmienił się silnik, na którym oparta jest strona. Nadal będą wykorzystywał starego dobrego WordPressa, jednak zmieniła się szata graficzna. **Do ważniejszych zmian należy:** - Migracja strony do thecamels.org. Zrzucenie z siebie konieczności samodzielnego administrowania hostingiem pozwoliło wygospodarować sporo czasu, który mogę poświęcić na przygotowanie kolejnych artykułów. - Przebudowanie czy właściwie przeprojektowanie układu strony i kategorii oraz adresów podstron, aby jak najbardziej ułatwić nawigowanie po blogu. - Strona jest już w pełni dostępna po HTTPS dzięki zainstalowaniu certyfikatu SSL. ## Na koniec: Zachęcam Cię, abyś podzielił się swoją opinią na temat nowej wersji blogu. Jak zawsze jeśli masz pomysł na artykuł, chętnie zapoznam się z Twoją propozycją. Nie wahaj się również ani chwili zadać nurtujących Cię pytań. Życzę miłej lektury i do przeczytania! ### Wszystko, co musisz wiedzieć o protokole IPv6 URL: https://innasiec.pl/ipv6-nastepca-ipv4/ Last updated: 2025-01-07T11:52:08.000Z Dlaczego potrzebujemy nowego standardu adresacji sieciowej? Adres IPv4 składa się z 32 bitów, co pozwala na adresowanie kilku miliardów hostów. Mimo że to duża liczba, od 2011 roku nie ma już wolnych bloków adresowych umożliwiających dalszy wzrost liczby publicznie dostępnych urządzeń. Mimo że można stosować NAT (tłumaczenie adresów sieciowych) i CIDR (bezklasowe routowanie między domenami), są to rozwiązania tymczasowe. IPv6 jest powszechnie akceptowanym i opisanym w standardzie RFC 2460 następcą dobrze znanego już protokołu IP w wersji 4\. IPv6 używa adresów zapisanych za pomocą 128 bitów, co daje 10 000 000 000 000 000 000 000 000 000 razy więcej adresów niż w IPv4. ## Co stało się z IPv5? Logiczne wydawałoby się, że protokół, który miałby być następcą IPv4, nosiłby numer 5\. Niestety ten **numer został wykorzystany dla eksperymentalnego protokołu Internet Stream Protocol, który miał przekazywać treści audio i wideo.** Protokół ten nigdy nie był szeroko stosowany, ale jego rozwiązania zostały wdrożone w 6 wersji protokołu IP. **IPv5 nigdy nie miał zastąpić IPv4, lecz miał funkcjonować równolegle.** ## Nagłówek IPv6 Podobnie jak w przypadku IPv4, w protokole IP w wersji 6 mamy zdefiniowany nagłówek zawierający adresy nadawcy i odbiorcy. Mimo że adresy te są dłuższe, sam nagłówek zawiera mniej pól i jest łatwiejszy w przetwarzaniu dla routera, co było zamierzoną decyzją. Dobrze znane pole TTL zostało zastąpione polem Limit Skoku. 💡 Nagłówek IPv6 o stałej długości 40 bitów jest łatwiejszy do przetworzenia niż mniejszy nagłówek IPv4 o zmiennej długości (ok. 20 bitów). Nagłówek składa się z następujących pól - **Version**: Określa wersję protokołu IP; wartość tego pola wynosi 6. - **Class** : Pole Klasy służy do oznaczenia ruchu pakietu IPv6 za pomocą **DSCP (Differentiated Services Code Point)**, który określa sposób obsługi pakietu i ma zastosowanie w **QoS**. - **Flow Label**: 20-bitowe pole służące do oznaczania strumienia pakietów IPv6. - **Payload Lenght**: Określa długość danych zawartych w pakiecie. - **Next Header**: 8-bitowe pole określające rodzaj informacji znajdującej się za podstawowym nagłówkiem. Ta informacja może określać protokół warstwy wyższej, takie jak TCP/UDP, lub być nowym opcjonalnym nagłówkiem rozszerzeń. Obsługiwane protokoły zostały zdefiniowane przez IANA. - **Hop Limit**: Liczba przeskoków, odpowiednik pola TTL (Time to Live) w nagłówku pakietów IPv4. - **Source Address**: 128-bitowe pole określające adres IP nadawcy. - **Destination Address**: 128-bitowe pole określające adres docelowy pakietu. ![Schemat nagłówka IPv6](https://innasiec.pl/content/images/2024/06/IPv6-header.webp) ## Adresacja IPv6 Posługiwanie się 128-bitowym adresem byłoby wyjątkowo problematyczne, jak również trudne w zapisie. Dlatego IPv6 definiuje krótszy heksadecymalny format, który wymaga maksymalnie 32 znaków z zakresu 0-F (1 heks = 4 bity). | Heks | Binarnie | Heks | Binarnie | | ---- | -------- | ---- | -------- | | 0 | 0000 | 8 | 1000 | | 1 | 0001 | 9 | 1001 | | 2 | 0010 | A | 1010 | | 3 | 0011 | B | 1011 | | 4 | 0100 | C | 1100 | | 5 | 0101 | D | 1101 | | 6 | 0110 | E | 1110 | | 7 | 0111 | F | 1111 | Jednakże posługiwanie się 32-znakowymi adresami może być uciążliwe, dlatego istnieje kilka sposobów na skrócenie takiego zapisu do minimum. Jedną z możliwości jest usuwanie zer wiodących. Co to oznacza? Najlepiej to zobaczyć na przykładzie: **FE00:0000:0000:0000:0001:0000:0000:0056** można zapisać jako **FE00:0:0:0:1:0:0:56**. W każdym kwartecie usunięto wszystkie zera znajdujące się z lewej strony, pozostawiając co najmniej jeden znak w każdym hekstecie (inna nazwa na kwartety). Jednak co, jeśli chcielibyśmy jeszcze bardziej skrócić ten zapis? Proszę bardzo! **FE00:0:0:0:1:0:0:56** można skrócić do **FE00::1:0:0:56**. Korzystając z zasady usuwania zer wiodących, zastąpiono największy zestaw kwartetów składających się z samych zer dwukropkami. Tego rodzaju podmianę można przeprowadzić tylko raz, gdyż w innym przypadku router nie będzie wiedział, ile hekstetów trzeba uzupełnić zerami i w jakim miejscu. ❗ FE00::1::56 Taki zapis jest niepoprawny. Niemożliwe jest jednoznaczne określenie liczby hekstetów składających się z zer, które należy wstawić w miejsce ::. ## Rodzaje adresów IPv6 | Rodzaj adresu | Pierwszy Hekstet zaczyna się do | | -------------- | --------------------------------------------------------------------- | | Global Unicast | 2 lub 3 (oryginalnie); obecnie każdy nie rezerwowany do innego użytku | | Unique local | FD | | Multicast | FF | | Link Local | FE80 | **Globalny unicast** \- Adresy, podobnie jak w IPv4, są ogólnie uważane za routowalne w Internecie. Po otrzymaniu prefixu IPv6 tylko jedna organizacja może z niego korzystać. W przeciwieństwie do zastępowanego standardu, tutaj nie ma pojęcia klasowości; pierwsze 64 bity tworzą adres sieci (w tym 16 bitów na podsieć), a pozostałe 64 bity odpowiadają za adres hosta. **Unique local** \- Adresy, podobnie jak prywatne adresy IPv4 (nie routowalne w Internecie), mogą być wykorzystywane wewnątrz każdej prywatnej sieci lokalnej. Zasada tworzenia adresu unique local jest prosta: Pierwsze 8 bitów adresu to FD, kolejne 40 bitów adresu to dowolnie wybrany adres, następne 16 bitów pozostawiamy na stworzenie podsieci, a ostatnie 64 bity określają adres hosta. **Multicast** \- Adresy działają podobnie jak adresy multicast w IPv4\. Pakiet jest wysyłany tylko do konkretnej grupy odbiorców. Poniżej lista najczęściej spotykanych adresów multicast w IPv6: Wszystkie urządzenia FF02::1, Wszystkie routery FF02::2, OSPF FF02::5 oraz FF02::6, RIPng FF02::9, EIGRP FF02::A. **Link Local** \- W IPv6 zaimplementowano dodatkowy unicastowy adres zawarty w puli FE80::/10, gdzie następne 54 bity to zera. Taki adres funkcjonuje tylko wewnątrz jednej podsieci. W przeciwieństwie do innych adresów, nie jest wykorzystywany do przenoszenia danych użytkowników, lecz jest używany przez protokoły IPv6, np. routingu, NDP (Neighbor Discovery Protocol). Routery z włączonym IPv6 jako adres next hop zawsze podają adres link-local drugiego routera. ![Przykład wykorzystania adresacji link-local](https://innasiec.pl/content/images/2024/06/link-local.webp) 💡 W protokole IPv6 nie ma adresów typu broadcast. Ten rodzaj komunikacji został zastąpiony bardziej wydajną komunikacją multicastową. ## Protokół Neighbor Discovery **Protokół Neighbor Discovery (NDP lub ND) zastępuje dobrze znanego protokołu ARP w IPv6 i definiuje pakiety ICMPv6**, takie jak R**outer Solicitation, Router Advertisement, Neighbor Solicitation** oraz **Neighbor Advertisement**. Pakiety NDP są wykorzystywane między innymi do wykrywania zduplikowanych adresów (**Duplicate Address Detection - DAD)** oraz do wykrywania niedostępności sąsiada **(Neighbor Unreachability Detection - NUD)**. - **Router Solicitation** \- Type 133 – Host wysyła pakiet żądania routera (Router Solicitation - RS), aby odnaleźć wszystkie dostępne routery w sieci. Każdy router obsługujący IPv6 odpowiada pakietem Router Advertisement - RA. - **Router Advertisement** \- Type 134 – Router ogłasza swoją obecność w danej sieci w określonych odstępach czasu lub w odpowiedzi na pakiet RS. W pakiecie RA zawarte są między innymi dane potrzebne do samodzielnego wygenerowania adresu IPv6 przez hosta. - **Neighbor Solicitation** \- Type 135 – Pakiety NS są stosowane przez urządzenie do poznania adresu warstwy łącza danych (MAC address) oraz zweryfikowania, czy dany host jest nadal dostępny pod zapisanym adresem. Neighbor Advertisement - Type 136 – Host wysyła pakiet Neighbor Advertisement - NA w odpowiedzi na pakiety NS. ## Przyznawanie adresów IPv6 Konfiguracja statycznego adresu IP w wersji 6 nie różni się znacznie od tej dla IP w wersji 4\. Mamy możliwość podania pełnego adresu 128-bitowego z maską końcową (najczęściej /64). Możemy również użyć skróconej wersji adresu, pamiętając o zasadach pomijania zer wiodących oraz możliwości zastąpienia ciągu zer podwójnym dwukropkiem. **Konfiguracja adresacji IP z użyciem serwerów DHCP, tzw. stateful address configuration, nie różni się od tej stosowanej w IPv4\.** Nowością jest natomiast metoda **Stateless Address Auto Configuration (SLAAC)**. Polega ona na dostarczeniu przez router prefiksu, który ma być używany na interfejsie. Pozostała część adresu jest generowana na podstawie reguły zwanej EUI-64. ## **Stateless Address Auto Configuration** (SLAAC) i EUI-64 Metoda EUI-64 polega na dodaniu adresu MAC (z pewnymi modyfikacjami) do 64-bitowego prefiksu otrzymanego od routera w naszej sieci w celu uzyskania pełnego, funkcjonalnego adresu IP o długości 128 bitów. Adres MAC składa się z 48 bitów, więc aby utworzyć poprawny adres, musimy uzupełnić go o brakujące 16 bitów. Dla tego celu dzielimy adres na pół (dwie połowy po 8 znaków zapisane w heksadecymalnym formacie) i dodajemy w środku FFFE. Dodatkowo, 7 bit z pierwszej połowy zostaje zamieniony - jeśli był on wcześniej równy 0, teraz zapisujemy 1, a jeśli był równy 1, teraz zapisujemy 0. Prefiks otrzymany od routera + Pierwsza połowa MAC + FFFE + Druga połowa MAC Jeśli nie chcesz konwertować adresu MAC na postać binarną za każdym razem, możesz skorzystać z poniższej tabeli. Należy pamiętać, że interesuje nas 7 bit - wiemy już, że zmiana nastąpi w drugim znaku zapisanym w formacie heksadecymalnym (każdy znak heksadecymalny odpowiada wartości reprezentowanej przez 4 bity). | Heks | | Heks | | ---- | --- | ---- | | 0 | <-> | 2 | | 1 | <-> | 3 | | 4 | <-> | 6 | | 7 | <-> | 9 | | 8 | <-> | A | | 9 | <-> | B | | C | <-> | E | | D | <-> | F | ## Adres multicast "Solicited-Node" Jak już wiesz, adresy multicast służą do komunikacji wyłącznie w grupie urządzeń, które dołączyły do danej grupy. W tym celu wykorzystywany jest adres multicast "Solicited-Node" (SNMA). Kiedy dynamicznie tworzymy adres IPv6 (który powinien być unikalny, biorąc pod uwagę, że adres MAC powinien być unikalny), warto sprawdzić, czy inny host w naszej sieci nie używa już tego adresu. Aby to zrobić, wysyłamy pakiet do grupy multicastowej o adresie FF02:0000:0000:0000:0000:001:FF\_\_:\_ \_ \_ \_ (lub w skrócie FF02::1F), gdzie ostatnie 6 znaków (24 bity) pochodzą z adresu unicast. Ważne jest, aby nie podawać adresu źródłowego. Brak odpowiedzi oznacza, że adres jest wolny i można go wykorzystać. ## Adres Anycast To dowolny adres unicastowy, który może być skonfigurowany na wielu urządzeniach. Kiedy host wysyła pakiet na taki adres, router przekazuje go jedynie do najbliższego routera obsługującego dany adres. Co najmniej dwa routery mogą skonfigurować ten sam adres IPv6, oznaczając go jako anycast. Gdy inny router otrzyma pakiet skierowany na ten adres, przekaże go tylko do najbliższego routera. ![Routery z adresem anycast](https://innasiec.pl/content/images/2024/06/Router-Anycast.webp) Poniżej przykładowa konfiguracja i weryfikacja. ``` R1#configure terminal R1(config)#interface gigabitethernet 0/0 R1(config-if)#ipv6 address 2001:1:1:1:2::99/128 anycast R1(config-if)#ipv6 address 2001:1:1:1::11/64 ``` ``` R1#show ipv6 interface gigabitethernet0/0 Global unicast address)es: 2001:1:1:1::11, subnet is 2001:1:1:1::/64 2001:1:1:1:2::99, subnet is 2001:1:1:1:2::99/128 [ANY] ``` ## Pozostałe adresy IPv6 Na zakończenie pozostały nam jeszcze dwa rodzaje adresów – adres pętli zwrotnej oraz nieokreślony. **Pętla zwrotna** w IPv6 wykorzystuje adres 0000:0000:0000:0000:0000:0000:0000:0001/128, który można skrócić do ::1/128. **Adres nieokreślony** w IPv6 to 0000:0000:0000:0000:0000:0000:0000:0000/0, a w skrócie ::/0. ### GRE - Generic Routing Encapsulation URL: https://innasiec.pl/tunel-gre/ Last updated: 2024-06-24T19:56:11.000Z GRE to mechanizm pozwalający na enkapsulację jednego protokołu w drugi oraz zapewniający komunikację pomiędzy dwoma urządzeniami. Rozwiązanie to jest stosowane jako enkapsulacja pakietu IP w kolejny pakiet IP z nagłówkiem GRE i przesłanie go poprzez sieć ISP lub Internet. W celu umożliwienia komunikacji pomiędzy dwoma urządzeniami tworzony jest wirtualny tunel GRE poprzez wirtualne interfejsy *tunnel* które muszą być w tej samej podsieci. Dzięki temu możliwe jest wykorzystanie GRE do stworzenia zarówno połączenia pomiędzy dwoma urządzeniami (połączenie punkt-punkt), jak również możemy stworzyć **DMVPN – Dynamic Multipoint VPN.** ## Routing Korzystając z tunelu GRE, router traktuje wirtualny interfejs tunnel jak każdy inny interfejs w topologii punkt-punkt który posiada adres ipv4\. Routery wykorzystują ustanowiony tunel do nawiązania relacji sąsiedztwa w dynamicznych protokołach routingu i wzajemnie wymieniają się trasami. Otrzymane w ten sposób podsieci umieszczane są w tablicy routingu z interfejsem wyjściowym ustawionym jako tunel oraz adresem następnego przeskoku jako adres IPv4 interfejsu tunel na drugim końcu tunelu. ![](https://test.innasiec.pl/wp-content/uploads/2019/01/gre-schemat.png) **Konfigurując interfejs tunel należy pamiętać o kilku zasadach, a mianowicie:** - Adres Ip Tunelu to adres z podsieci tunelu - Źródło tunelu (tunel source) to fizyczny interfejs wyjściowy - Cel tunelu to adres IP publiczny na interfejsie fizycznym drugiego końca tunelu ![](https://test.innasiec.pl/wp-content/uploads/2019/01/gre-source-destination.png) ## Podstawowa konfiguracja Konfiguracja tunelu ogranicza się w zasadzie wyłącznie do konfiguracji wirtualnego interfejsu tunel. Poleceniem **interface tunnel 0** wchodzimy w menu konfiguracji interfejsu. Oczywiście zamiar 0 możemy podać dowolnie wybraną liczbę, nie ma wymogu zgodności na obu końcach tunelu. Definiujemy wykorzystanie enkapsulacji **tunnel mode gre ip.** Następnie musimy podać adres ipv4 oraz podać interfejs wyjściowy poleceniem **tunnel source gigabitethernet 0/0** i cel tunelu **tunnel destination 1.1.1.2.** 1. Wejdź w konfigurację interfejsu **interface tunnel 0** 2. Włącz enkapsulację **tunnel mode gre ip** 3. Podaj adres **ip address 10.1.1.2** 4. Podaj fizyczny interfejs wyjściowy **tunnel source gigabitethernet 0/0** 5. Podaj cel tunelu **tunnel destination 1.1.1.2** ![](https://test.innasiec.pl/wp-content/uploads/2019/01/gre-konfiguracja.png) Konfiguracja routera 0 Router0(config)#interface tunnel 0 Router0(config-if)#tunnel mode gre ip Router0(config-if)#ip address 10.1.1.1 255.255.255.0 Router0(config-if)#tunnel source gigabitEthernet 0/0 Router0(config-if)#tunnel destination 1.1.1.2 Konfiguracja routera 1 Router1(config)#interface tunnel 0 Router1(config-if)#tunnel mode gre ip Router1(config-if)#ip address 10.1.1.2 255.255.255.0 Router1(config-if)#tunnel source gigabitEthernet 0/0 Router1(config-if)#tunnel destination 1.1.1.1 ## Weryfikacja konfiguracji: Zweryfikujmy czy wszystko działa jak należy: Router0(config)#interface tunnel 0 Router1#show ip interface brief Interface IP-Address OK? Method Status Protocol GigabitEthernet0/0 1.1.1.2 YES manual up up GigabitEthernet0/1 unassigned YES unset administratively down down GigabitEthernet0/2 unassigned YES unset administratively down down Tunnel0 10.1.1.2 YES manual up up Router1#show interfaces tunnel 0 Tunnel0 is up, line protocol is up (connected) Hardware is Tunnel Internet address is 10.1.1.2/24 Encapsulation TUNNEL, loopback not set Keepalive not set Tunnel source 1.1.1.2 (GigabitEthernet0/0), destination 1.1.1.1 Tunnel protocol/transport GRE/IP Router1#ping 1.1.1.1 Type escape sequence to abort. Sending 5, 100-byte ICMP Echos to 1.1.1.1, timeout is 2 seconds: !!!!! Success rate is 100 percent (5/5), round-trip min/avg/max = 0/0/1 ms ### Protokoły WAN - HDLC, Point-to-point protocol PPP URL: https://innasiec.pl/protokoly-wan-hdlc-ppp/ Last updated: 2024-06-24T20:32:17.000Z Wykupując od dostawcy dedykowane łącze, otrzymujemy usługę w warstwie 1 modelu ISO/OSI. Twój dostawca, zgodnie z umową, zobowiązuje się do dostarczenia każdego wysłanego bitu. HDLC był powszechnie stosowany w technologiach WAN (połączenie klient -> ISP) jako protokół warstwy drugiej w połączeniach punkt-punkt. Standardowa **ramka HDLC zaproponowana przez IEEE spełnia tylko kilka istotnych funkcji**. Jak każdy inny protokół warstwy łącza danych, posiada nagłówek pozwalający określić początek ramki oraz pole FCS, które pozwala określić, czy ramka nie uległa uszkodzeniu podczas transmisji. Cisco dodało dodatkowe pole "Type", określające, jaki protokół warstwy wyższej jest używany. Pozwala to na równoczesne stosowanie dwóch różnych protokołów, np. IP w wersjach 4 i 6. Mówiąc o łączach szeregowych, trzeba pamiętać, że nie są one udostępniane z standardowymi prędkościami znanych z interfejsów Ethernetowych. Prędkości nie są ujednolicone, istnieją dwie równoległe konwencje prędkości dostępne dla Ameryki (linia T) oraz dla Europy (linia E). | Nazwa standardu prędkości | Prędkość wyrażona w kilobitach na sekundę | | ------------------------- | ----------------------------------------- | | DS0 | 64Kbps. | | Fractional T1 | Wielokrotność 64Kbps, maksymalnie do x24. | | DS1 (T1) | 1.544Mbps (24 DS0) | | E1 (Europa) | 2.048Mbps (32 DS0) | | DS3 (T3) | 44.736 Mbps (28 DS1) | | E3 (Europa) | 34 Mbps (16 E1) | ### Konfiguracja HDLC Standardowe interfejsy sieciowe nie wymagają konfiguracji warstwy pierwszej - wystarczy podłączony kabel, ani warstwy drugiej. W przypadku interfejsu administracyjnie zamkniętego może być konieczne wydanie komendy `no shutdown`. Podobnie jak w przypadku interfejsów Ethernetowych, wystarczające powinno być nadanie odpowiedniego adresu, na przykład poprzez wpisanie komendy `ip address`. **Wchodzimy do konfiguracji interfejsu i wydajemy polecenia:** - `ip address adres_ip mask` - `no shutdown` **Pozostałe polecenia są opcjonalne**, jeśli interfejs jest aktywny w warstwach pierwszej i drugiej (**up/up**), ale mogą być konieczne, jeśli interfejs jest w stanie (**up/down**): - `encapsulation hdlc` – wymuszamy enkapsulację HDLC na interfejsie - `clock rate` wybrana\_prędkość - `bandwidth` wybrana\_prędkość ### PPP Point to Point protocol Protokół PPP jest podobny do HDLC - oba są protokołami warstwy łącza danych używanymi w połączeniach szeregowych. Jednak w przeciwieństwie do HDLC, który jest standardem IEEE oraz Cisco HDLC, PPP wprowadzony w 1990 roku, posiada dodatkowe usprawnienia. PPP, czyli Protokół Punkt-Punkt, został zdefiniowany w 1990 roku i wyposażony w kilka dodatkowych funkcji w porównaniu do swojego poprzednika, HDLC. ### Funkcje PPP - Definiuje nagłówek i stopkę. - Wspiera zarówno połączenia synchroniczne, jak i asynchroniczne - Poprzez dodanie pola "Type" w nagłówku, możliwe jest obsługiwane różnych protokołów warstwy 3 przy użyciu pojedynczego połączenia. - Wspiera autentykację za pomocą protokołów Password Authentication Protocol (PAP) oraz Challenge Handshake Authentication Protocol (CHAP). - Wspiera funkcję Multilink, która pozwala na grupowanie kilku interfejsów WAN w jeden logiczny, z zastosowaniem load-balancingu. - Umożliwia detekcję błędów, pozwalając na ustalenie procentowej tolerancji dla błędów przed wyłączeniem interfejsu. Obsługuje również kompresję danych. - Definiuje podwarstwę **Network Control Protocols (NCP)**, w której zdefiniowane są protokoły kontrolne wspierające integrację protokołów warstwy wyższej. Na przykład, dla IPv4 w PPP zdefiniowany jest IPCP, który odpowiada za połączenie między warstwą 2 i 3. ### Elementy PPP **Ramka HDLC-podobna** Definiuje zawartość ramki, która została stworzona na bazie oryginalnie zaproponowanej przez IEEE ramki HDLC. **Protokół Kontroli Łącza LCP** Subwarstwa definiują funkcje, które ułatwiają komunikację z warstwą fizyczną oraz usprawniają pracę warstwy łącza danych. Zawiera funkcje takie jak: - **Magic number** – każdy router wysyłając ramkę umieszcza w niej swój losowo wybrany numer, jeśli otrzyma ramkę z tym numerem, ramka jest traktowana jako zapętlona, a interfejs powinien zostać automatycznie wyłączony. - **Monitorowanie jakości łącza** – wyłącza interfejs po przekroczeniu progu tolerancji na błędy. - **Multilink PPP** – pozwala na równoważenie ruchu poprzez kilka interfejsów połączonych ze sobą logicznie. - **PAP lub CHAP** – wspiera autentykację. Subwarstwa PPP definiuje kategorie protokołów, z których każdy odpowiada za komunikację z innym protokołem wartstwy sieciowej. Na przykład dla IP w wersji 4 mamy zdefiniowany IPCP, dla IP w wersji 6 IPv6CP, dla Cisco Discovery Protocol CDP mamy CDPCP. ### Autentykacja PPP Jedną z fundamentalnych kwestii dotyczących bezpieczeństwa jest zweryfikowanie, czy druga strona naszej komunikacji jest tym, za kogo się podaje, oraz czy powinna otrzymać przesyłane do niej dane. Zazwyczaj nie jesteśmy w stanie fizycznie sprawdzić, jakie urządzenie znajduje się po drugiej stronie "kabla" i czy przypadkiem nie zostało podmienione. W protokole PPP mamy do dyspozycji dwie metody autentykacji drugiej strony komunikacji: - **Password authentication Protocol - PAP** - **Challenge Handshake Authentication Protocol - CHAP** Oba protokoły wymieniają dane między sobą, jednak z pewnymi różnicami. Jedną z kluczowych różnic między tymi dwoma protokołami jest kwestia, kto inicjuje proces autentykacji. **W przypadku PAP jest to router, który ma zostać uwierzytelniony, natomiast w CHAP sytuacja wygląda odwrotnie - to router autentykujący stawia wyzwanie (challenge) drugiej stronie**. Kolejną różnicą jest sposób przesyłania hasła: **PAP przekazuje hasło w formie niezaszyfrowanej**, co oznacza, że każdy podsłuchujący może je odczytać, podczas gdy **CHAP korzysta z funkcji haszującej MD5.** ![Autentykacja PAP](https://innasiec.pl/content/images/2024/06/Autentykacja-WAN.webp) **Stosowanie protokołu PAP ze względów bezpieczeństwa nie jest najlepszym rozwiązaniem w dzisiejszych czasach**. Istnieją jednak pewne wyjątki od tej zasady. PAP powinien być nadal używany w przypadku starszych urządzeń, które nie obsługują protokołu CHAP. Ponadto, gdy chcemy zasymulować proces logowania i uwierzytelniania użytkownika, konieczne jest zastosowanie PAP ze względu na jawność przekazywanych komunikatów. ``` hostname Bob Bob(config)# username Ted password Buggie Bob(config)# interface serial 0/0/0 Bob(config-if)# ip address 10.1.1.1 255.255.255.252 Bob(config-if)# encapsulation ppp Bob(config-if)# ppp authentication pap Bob(config-if)# ppp pap sent-username Bob password Fuzzy ``` ``` R2#hostname Ted Ted(config)# username Bob password Fuzzy Ted(config)# interface serial 0/0/0 Ted(config-if)# ip address 10.1.1.2 255.255.255.252 Ted(config-if)# encapsulation ppp Ted(config-if)# ppp authentication pap Ted(config-if)# ppp pap sent-username Ted password Buggie ``` Uwierzytelnianie poprzez CHAP jest znacznie bezpieczniejsza od PAP ze względu na zastosowanie jednokierunkowej funkcji hashującej MD5\. Oznacza to, że hash jest generowany każdorazowo (jest unikatowy) i losowo. Nawet jeśli zostanie podsłuchany, nie ma możliwości na jego podstawie odtworzenia oryginalnych danych do logowania ani ich ponownego wykorzystania. ❗ PAP i CHAP działają w subwarstwie LCP. Jeśli proces uwierzytelniania nie powiedzie się, LCP pozostanie zamknięte. ``` R1#hostname Bob Bob(config)# username Ted password Buggie Bob(config)# interface serial 0/0/0 Bob(config-if)# ip address 10.1.1.1 255.255.255.252 Bob(config-if)# encapsulation ppp Bob(config-if)# ppp authentication chap ``` ``` R2#hostname Ted Ted(config)# username Bob password Buggie Ted(config)# interface serial 0/0/0 Ted(config-if)# ip address 10.1.1.2 255.255.255.252 Ted(config-if)# encapsulation ppp Ted(config-if)# ppp authentication chap ``` ![](https://innasiec.pl/content/images/2024/06/uwierzytelnianie_wan_chap.webp) ### Co to jest Multilink? Multilink PPP jest użyteczną funkcją w ramach protokołu PPP w sytuacji posiadania co najmniej dwóch równoległych interfejsów sieciowych pomiędzy dwoma urządzeniami. Dzięki MLPPP możliwe jest połączenie tych fizycznych interfejsów w jeden interfejs logiczny. Przede wszystkim, umożliwia to zwiększenie przepustowości między urządzeniami, jednocześnie redukując skomplikowanie połączeń w warstwie 3 sieci. Dodatkowo, **MLPPP wprowadza mechanizm rzeczywistego balansowania obciążenia**, polegający na podziale ramek na mniejsze jednostki, które są wysyłane równocześnie przez wiele interfejsów i ponownie składane na urządzeniu docelowym. **Bez zastosowania MLPPP, konieczne byłoby przydzielenie osobnych podsieci dla każdego indywidualnego łącza**, co skutkowałoby dodatkowymi relacjami sąsiedztwa w protokołach routingu oraz koniecznością wprowadzenia dodatkowych wpisów tras o równoważnym priorytecie. ![Multilink PPP pomiędzy dwoma routerami](https://innasiec.pl/content/images/2024/06/multilink_ppp.webp) ### Konfiguracja Multilink ``` Bob(config)# interface serial 0/0 Bob(config-if)# encapsulation ppp Bob(config-if)# ppp multilink group 1 Bob(config)# interface serial 0/1 Bob(config-if)# encapsulation ppp Bob(config-if)# ppp multilink group 1 Bob(config)# interface multilink 1 Bob(config-if)# ip address 10.1.1.1 255.255.255.252 Bob(config-if)# encapsulation ppp Bob(config-if)# ppp multilink Bob(config-if)# ppp multilink group 1 ``` ``` Ted(config)# interface serial 0/0 Ted(config-if)# encapsulation ppp Ted(config-if)# ppp multilink group 1 Ted(config)# interface serial 0/1 Ted(config-if)# encapsulation ppp Ted(config-if)# ppp multilink group 1 Ted(config)# interface multilink 1 Ted(config-if)# ip address 10.1.1.2 255.255.255.252 Ted(config-if)# encapsulation ppp Ted(config-if)# ppp multilink Ted(config-if)# ppp multilink group 1 ``` ### Weryfikacja konfiguracji Multilink W celu zweryfikowania poprawnego działania multilinku można sprawdzić jego konfigurację zarówno jako interfejsu logicznego, jak również zweryfikować konfigurację jako elementu protokołu punkt-punkt. Na koniec warto również upewnić się, czy fizyczne interfejsy składowe są poprawnie podniesione (stan up/up). ``` Bob#show interfaces multilink 1 Multilink1 is up, line protocol is up Hardware is multilink group interface Internet address is 10.1.1.1/30 MTU 1500 bytes, BW 3088 Kbit/sec, DLY 100000 usec, reliability 255/255, txload 1/255, rxload 1/255 Encapsulation PPP, LCP Open, multilink Open Open: IPCP, CDPCP, loopback not set Bob#show ppp multilink Multilink1, bundle name is Ted Endpoint discriminator is Ted Bundle up for 00:46:33, total bandwidth 3088, load 1/255 Receive buffer limit 24000 bytes, frag timeout 1000 ms 0/0 fragments/bytes in reassembly list 0 lost fragments, 1 reordered 0/0 discarded fragments/bytes, 0 lost received 0x6A received sequence, 0x70 sent sequence Member links: 2 active, 0 inactive (max not set, min not set) Se1/1, since 00:46:34 Se1/0, since 00:46:33 Bob#show ip interface brief Interface IP-Address OK? Method Status Protocol FastEthernet0/0 unassigned YES unset administratively down down FastEthernet0/1 unassigned YES unset administratively down down Serial1/0 unassigned YES unset up up Serial1/1 unassigned YES unset up up Serial1/2 unassigned YES unset administratively down down Serial1/3 unassigned YES unset administratively down down Multilink1 10.1.1.1 YES manual up up ``` ### Redhat dla developerów za darmo URL: https://innasiec.pl/redhat-za-darmo-dla-developerow/ Last updated: 2024-06-24T13:59:51.000Z Redhat jest bez wątpienia jedną z najbardziej rozpoznawalnych biznesowych marek Linuksowych na świecie, a sama ścieżka certyfikacyjna jest jedną z bardziej pożądanych w branży i jest to w pełni zasłużona sytuacja. Wieloletnia obecność na rynku, ciągle rosnąca stabilność usług, profesjonalny support oraz długie wsparcie dla aplikacji to wszystko złożyło się na obecną sytuację. Niestety nie ma róży bez kolców, to wszystko kosztuje i to kosztuje nie mało. W końcu głównym odbiorcą są korporacje i firmy, które nie mogą sobie pozwolić na żadne problemy z serwerami. ## Centos, fedora czy redhat? Co jednak w sytuacji gdy potrzebujesz przetestować swoje aplikacje lub po prostu chcesz nauczyć się pracy z linuksami, lub uczysz się do egzaminu? Do tej pory miałeś dwa wyjścia, zainteresować się centosem, który **jest skompilowaną przez społeczność wersją RHEL’a bez wsparcia ze strony Red Hat inc.** Dopóki nie potrzebujesz wgryzać się w specyficzne zachowanie systemu, można przyjąć, że systemy są identyczne, jednak jak zawsze diabeł tkwi w szczegółach. Inną opcją jest skorzystanie z Fedory, która **posiada wsparcie wielkiego brata,** jednak jest nastawiona na szybkie aktualizacje dostarczające nowe udogodnienia kosztem stabilności oraz wsparcie w obsłudze problemów zapewnia społeczność skupiona wokół dystrybucji. **Sytuację zmienił kompletnie Redhat Inc., oferując wszystkim chętnym darmową wersję dla deweloperów.** ## **Co zawiera Red hat development suite?** W ramach darmowej licencji otrzymujesz: - **Red Hat Enterprise Linux Server –** Pełna niekomercyjna wersja systemu operacyjnego. - **Narzędzia deweloperskiego z długim okresem wsparcia –** Każda główna wersja systemu Redhat oferuje 10-letnie wsparcie również dla wszystkich „podstawowych” narzędzi deweloperskich, które będą przez cały czas wspierane. - **Narzędzia deweloperskiego z regularnymi aktualizacjami –** Redhat inc. zapewnia coroczne atualizacje kluczowych komponentów takich jak języki programowania (GCC, Python, Node.js, etc.) i środowiska programistyczne (Eclipse, Git, etc.), bazy danych open source (PostgreSQL, MongoDB, etc), serwery webowe (Apache httpd, Nginx, etc.); wszystko dostępne w ramach Red Hat Software Collection i Red Hat Developer Toolset. ## **Na co czekasz?** Pobierz już teraz swoją darmową wersję Red Hata. Przejdź na [stronę](http://red.ht/1Suvt82?ref=innasiec.pl), kliknij pobierz, zaakceptuj regulamin i gotowe. To takie proste. Licencja jest ważna przez rok i przed upływem tego czasu należy ją przedłużyć lub zamówić nową. Jak to zrobić? Najprościej pobrać nową instalkę, wtedy do naszego konta zostanie przypisana nowa licencja. ![](http://test.innasiec.pl/wp-content/uploads/2017/10/redhat-subskrypcja-1-1024x147.png) ### BGP - Border gateway protocol po raz pierwszy w CCNA URL: https://innasiec.pl/bgp-border-gateway-protocol/ Last updated: 2024-06-25T06:55:04.000Z Po raz pierwszy w historii Cisco postanowiło umieścić podstawy Border Gateway Protocols w CCNA R&S. Oczywiście wcześniej external BGP był wspominany jako jeden ze współczesnych protokołów routingu wykorzystywany do wymiany informacji o trasach pomiędzy AS (autonomous system), jednak dopiero zdając CCNA 3.0, będziesz umiał skonfigurować oraz przeprowadzić troubleshooting tego protokołu. **CCNA** **R&S skupia się wyłącznie eBGP single-homed (połączenie do ISP jednym łączem) wersji dla ipv4\. W rzeczystych środowiskach produkcyjnych firmy posiadające wyłącznie jedno podłączenie do ISP nie zaprzątają sobie głowy BGP.** BGP jest obecnie jedynym współcześnie używanym protokołem **exterior gateway protocol (EGP)**. Należy do protokołów path vector, posiada wiele opcji konfiguracyjnych (Ich ilość wystarcza na pokrycie materiałów CCNA poprzez CCNP aż do CCIE i nadal uczysz się czegoś nowego) oraz pozwala na ogromną skalowalność i robi to świetnie. **Tak na marginesie obecna pełna tablica *„routingu Internetu”* zawiera ponad 700 tysięcy wpisów!** ![](https://test.innasiec.pl/wp-content/uploads/2019/01/wzrost-bgp-na-przestrzeni-lat.png) Zdjęcie pochodzi ze strony http://bgp.potaroo.net/ **Do głównych zalet należy zaliczyć:** - Protokół routingu typu path vector - Obsługuje VLSM, CIDR oraz summaryzację - Pełna informacja o trasach rozsyłana na starcie, potem tylko aktualizacje - Połączeniowy tryb komunikacji z użyciem portu 179 - Złożona metryka, na podstawie której wyznaczane są trasy - Dobra skalowalność, rozrastanie sieci nie stanowi problemu - Możliwe jest kierowanie ruchem poprzez odpowiednią konfigurację atrybutów metryki ## **Rozgłaszanie tras** BGP rozgłasza prefixy, wykorzystując podobny mechanizm wymiany informacji co protokoły IGP. Aby wysłać informację (BGP update), jeden z routerów musi posiadać informację o routowalnym w internecie prefiksie. Routery, które posiadają relację sąsiedztwa, nazywane są peer’ami. **W odróżnieniu od protokołów IGP, które rozgłaszają adresy nazywane *podsieciami*, adresy rozgłaszane przez BGP nazywane są *prefiksami*, *blokami adresów* oraz prawidłowo w odniesieniu do BGP *Network Layer Reachability Information (NLRI)*.** ![](https://test.innasiec.pl/wp-content/uploads/2019/01/bgp-routing-information.png) W powyższym przypadku korporacja posiada **relację sąsiedztwa (peering relationship)** ze swoim lokalnym ISP 1, do którego przesyła informację o posiadanym bloku adresów 192.10.10.0/24\. Następnie ISP 1 przesyła NLRI dalej do ISP2 który przesyła update do ISP 3 i tak dalej, aż wszystkie routery w Internecie będą znały trasę do sieci 192.10.10.0/24\. Bardzo ważną rolę w BGP odgrywa **Autonomous system number (ASN).** Identycznie jak ma to miejsce w EIGRP, termin autonomous system odnosi się do autonomicznej sieci. BGP wykorzystuje ASN – numer identyfikujący AS – w wielu aspektach konfiguracji między innymi w mechanizmach zapobiegania pętlą routingu czy wyborze najlepszej ścieżki jednak jest to poza zakresem CCNA R&S. ## **Rozgłaszanie publicznego prefixu do internetu** Rozważmy teraz typową sytuację, w której mamy dwa eBGP peeery. Z jednej strony korporację posiadająca blok adresów klasy C 192.10.10.0/24, który został podzielony na podsieci 192.10.10.0/29 oraz 192.10.10.128/26, oraz prywatny blok adresów klasy A 10.0.0.0/8\. Które podsieci zostały rozgłoszone do routera ISP poprzez eBGP? Oczywiście tylko cała klasa C 192.10.0.0/24\. Stanie się tak, ponieważ **z punktu widzenia ISP interesujący jest jedynie fakt, posiadania przez peera całej klasy C**. Ruch do poszczególnych podsieci będzie i tak przechodził przez ten styk. Obecnie tablice BGP posiadają ponad 700 tysięcy wpisów, wyobraź sobie jak bardzo by urosły gdyby zawierały informację o wszystkich podsieciach na świecie? **Prywatne klasy adresów nie powinny być rozgłaszane do internetu, nawet jeśli tak się stanie, ISP natychmiast odfiltruje takich ruch.** ![](https://test.innasiec.pl/wp-content/uploads/2019/01/korpo-do-isp.png) W drugą stronę ISP rozgłasza default-route do korporacji. Dlaczego tak? Załóżmy, że ISP 1 rozgłosi wszystkie prefiksy i router brzegowy korpo umieści wszystkie trasy w swojej tablicy routingu. Jaki adres następnego skoku będą posiadać wszystkie trasy? Oczywiście routera brzegowego ISP 1. ## **Wybór najlepszej trasy z BGP** Podobnie jak protokoły IGP BGP również posiada coś na wzór metryki, dzięki której wybierana jest najlepsza trasa. Jednakże BGP wykorzystuje nieco inne podejście do tego procesu. Po pierwsze BGP nie ma jednej definicji metryki. W rzeczywistości wykorzystuje atrybuty ścieżki (path attributes). BGP rozgłasza prefiksy wraz z listą atrybutów (sprzęt Cisco rozpoznaje 11 atrybutów). Ze względu, że wybór najlepszej trasy jest podejmowany na podstawie zestawu atrybutów wybranych przez administratora, możliwa jest bardzo precyzyjna konfiguracja, jak chcemy zarządzać przesyłanymi danymi. BGP wykorzystuje proces nazywany **selekcją najlepszej trasy.** Kiedy router otrzymuje **pakiet BGP update** zawierający prefix, który już jest w tabeli routingu, musi podjąć decyzję czy nowa trasa jest lepsza od dotychczasowej. Aby to ustalić, przeprowadzana jest seria porównań (zwykle około 10) na podstawie parametrów trasy. Takie porównywanie wymaga znacznie mniej pracy niż przykładowo uruchomienie procesu SPF dla protokołu OSPF. **Jednym z atrybutów biorących udział w porównaniu jest *AS\_Path (PA) k*tóry zawiera listę wszystkich ASN, które znajdują się na ścieżce do danego bloku adresów.** Przypomina to metrykę liczby przeskoków w RIP’ie, jednakże każdy skok to cały AS zamiast pojedyńczego routera. ![](https://test.innasiec.pl/wp-content/uploads/2019/01/bgp-as-path.png) ## **Styk internetu** Termin styk internetu odnosi się zarówno połączenia pomiędzy użytkownikiem końcowym/korporacją a ISP, jak również do połączeń ISP do ISP. **Na potrzeby CCNA R&S musisz znać tylko jeden model takiego styku zwany *single-homed*.** Pamiętaj jednak, że to nie jedyny możliwy sposób połączenia. Takie rozwiązanie ma oczywiście swoje plusy i minusy. Jeśli łącze ulegnie uszkodzeniu, tracimy dostęp do internetu do czasu naprawienia awarii. Analogiczna sytuacja występuje w przypadku awarii routerów brzegowych. Z drugiej strony takie połączenie jest zdecydowanie tańsze od rozwiązań bazujących na redundancji, czy to poprzez dołożenie dodatkowych łączy do jednego ISP, czy poprzez podłączenie do kolejnych ISP. ![](https://test.innasiec.pl/wp-content/uploads/2019/01/bgp-styk-internetu.png) **Termin Dual odnosi się do sytuacji gdy posiadamy dwa lub więcej łączy do jednego ISP.** Każdy z tych wzorców może być zastosowany do dowolnego łącza WAN, bez różnicy czy będzie to DSL, światłowód itd. ## **Konfiguracja BGP** W odróżnieniu od protokołów IGP takich jak OSPF czy EIGRP w BGP nie ma dynamicznego odkrywania sąsiadów. Wszystkie peery muszą zostać wprowadzane przez administratora. Do komunikacji wykorzystywany jest port TCP 179\. Po nawiązaniu sesji TCP dwa peery sprawdzają wzajemnie, czy powinno ustanowić relację sąsiedztwa. Jeśli weryfikacja zakończy się pomyślnie, rozpoczyna się przesyłanie pakietów BGP update z NLRI. Konfiguracja BGP rozpoczynamy od polecenia **router BGP** **asn** (numer AS, do którego należy router). Router przenosi nas wtedy do konfiguracji BGP. Następnie w celu nawiązania relacji sąsiedztwa musimy wprowadzić polecenie **neighbor *ip\_adres* remote-as** **asn.** ![](https://test.innasiec.pl/wp-content/uploads/2019/01/bgp-peery.png) ISP1#show running-config router bgp 1 neighbor 192.168.100.1 remote-as 1001 R1#show running-config router bgp 1001 neighbor 192.168.100.2 remote-as 1 Polecenie **show tcp brief** pokazuje wszystkie połączenia TCP, terminowane na routerze nie ograniczając się wyłącznie do BGP, jednak może być z powodzeniem wykorzystywane do sprawdzania poprawności relacji sąsiedztwa. ISP1#show tcp brief TCB Local Address Foreign Address (state) 1590F400 192.168.100.2.179 192.168.100.1.1025 ESTABLISHED R1#show tcp brief TCB Local Address Foreign Address (state) 1590F400 192.168.100.1.1025 192.168.100.2.179 ESTABLISHED ## Weryfikacja Polecenie **show ip bgp summary** pokazuje informacje na temat działającego protokołu na routerze oraz listę peerów. W celu sprawdzenia, czy dany peer należy do eBGP, czy do iBGP należy porównać numery AS (nie ma bezpośredniej informacji). Ostatnia kolumna **State/PfxRcd** informuje, w jakim stanie jest relacja sąsiedztwa z danym peerem. Jeśli relacja jest poprawnie nawiązana, taki status nazywa się Established. W takim wypadku zamiast nazwy stanu wyświetlana jest liczba prefixów pobranych od sąsiada. | **Idle** | Sąsiad został administracyjnie wyłączony (**neighbor shutdown**) lub router oczekuje na ponowne nawiązanie relacji. | | --------------- | ----------------------------------------------------------------------------------------------------------------------------------------- | | **Connect** | Została podjęta próba zestawienia sesji TCP jednak nie została prawidłowo zakończona. | | **Active** | Połączenie TCP zostało poprawnie zestawione, jednak żadna wiadomość BGP nie została jeszcze wysłana. | | **Opensent** | Połączenie TCP zostało poprawnie zestawione, router wysłał pierwszą wiadomość w celu nawiązania relacji sąsiedztwa **(BGP Open message)** | | **Openconfirm** | Połączenie TCP zostało poprawnie zestawione, router otrzymał wiadomość BGP Open message. Relacja sąsiedztwa nadal nie ustanowiona. | | **Established** | Routery są obecnie peer’ami BGP i mogą wymieniać informacje | ISP1 #show ip bgp summary BGP router identifier 192.168.100.2, local AS number 1 Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd 192.168.100.1 4 1001 39 25 5 0 0 00:23:46 4 R1#show ip bgp summary BGP router identifier 192.168.100.1, local AS number 1001 Neighbor V AS MsgRcvd MsgSent TblVer InQ OutQ Up/Down State/PfxRcd 192.168.100.2 4 1 39 25 5 0 0 00:23:46 4 W celu rozgłoszenia tabeli BGP należy umieścić dany prefix w tablicy routingu. Do tego celu można wykorzystać polecenie **network *ip\_adres* mask** **maska.** Polecenie **network** jednak ma nieco inne zastosowanie niż w protokołach IGP. **Sprowadza się to do:** - Rozgłaszania tras dla całych klasowych sieci lub publicznych bloków adresów Rozgłaszania tras dla podsieci publicznych bloków adresów Rozgłaszania tras dla całych bloków adresów nawet jeżeli w tabeli routingu znajduje się wyłącznie podsieci danego bloku ## **Rozgłaszanie klasowego prefixu z Static Discard Route** Routery ISP nie potrzebują osobnych tras do korporacyjnych podsieci. Zamiast tego zdecydowanie lepszą opcją jest rozgłaszanie poprzez korporację całych bloków adresowych. Jednakże jeśli router korpo nie posiada trasy dla całego bloku adresowego **(w naszym przypadku korpo router posiada wyłącznie podsieci 192.10.10.0/29 i 192.10.10.128/26 zamiast 192.10.10.0/24**) niemożliwe jest dodanie tego bloku poleceniem **network** do tablicy BGP. Rozwiązaniem tego problemu jest stworzenie trasy nazywanej **discard route.** Polega to na stworzeniu trasy do całego bloku adresowego kierującej na interfejs **null0** poprzez polecenie **ip route *ip\_adress maska* null0\.** Od tej pory możemy dodać blok do tablicy BGP i wszystkie pakiety pasujące do danej maski zostaną odrzucone, jednakże pakiety adresowane do naszych podsieci nadal zostaną dostarczone, ponieważ routery przeszukując tablice routingu, poszukują najdłuższego dopasowania. ISP1#show ip route bgp B 192.10.10.0/24 [20/0] via 192.168.100.1, 00:11:39 R1#show ip route S 192.10.10.0/24 is directly connected, Null0 ### 7 powodów dla których warto brać udział w szkoleniach URL: https://innasiec.pl/7-powodow-dla-szkolen/ Last updated: 2024-06-26T11:46:19.000Z Coraz częściej spotykam się z poglądem, że nie warto brać udziału w szkoleniach, skoro w internecie można znaleźć masę materiałów za darmo lub dostępne są dosyć tanie książki (w porównaniu do ceny kursu). Co ciekawe zwykle takie poglądy prezentują osoby, które na danym szkoleniu nie były, a nawet nie mają pojęcia o temacie, tylko gdzieś, kiedyś, coś słyszały. Powtarzają dalej, bo przecież to takie **popularne w internecie** **„nie znam się, ale wypowiem się”*.* I o ile mogę się zgodzić, że szkolenia zwykle nie należą do tanich, to uważam, że porównywanie korzyści płynących z samodzielnej nauki i uczęszczania na kurs nie ma większego sensu. Szkolenie to zawsze wiedza dostępna w książkach plus siedem dodatkowych korzyści, które opisałem poniżej. Oczywiście mówimy o porządnym szkoleniu, prowadzącym przez osoby kompetentne. > **W końcu jakość szkolenia zależy od osoby je prowadzącej.** ## **Kurs to nie tylko suchy materiał** Wiele osób o tym zapomina, ale udział w szkoleniu zapewnia Ci nie tylko dostęp do prezentacji i wiedzy dostępnej w podręczniku, ale przede wszystkim oferuje kontakt z osobą, która posiada wiedzę w danym temacie. Bardzo szybko to docenisz gdy tylko Twoja sieć nie będzie działać, jak to sobie zaplanowałeś, a nastąpi to bardzo szybko. Jasne, są fora internetowe, na których możesz założyć wątek i zadać pytanie. Nie rzadko otrzymasz odpowiedź, ale musisz pamiętać, że równie dobrze ktoś może, nawet nie celowo wprowadzić Cię w błąd. ![](https://test.innasiec.pl/wp-content/uploads/2019/01/nauka-w-grupie-1024x683.jpg) ## Na zajęciach poznajesz ludzi Szkolenia prowadzone są zwykle w małych grupach od 3 do 18 osób, co sprzyja **nawiązywaniu nowych znajomości z ludźmi, którzy chcą lub co lepsza może już pracują w IT.** To daje ogromną szansę, że ktoś szepnie Ci słówko, jak pracuje się w firmie X, do której planujesz aplikować, albo, że w Y będą/szukają do działu Z. Nie raz, nie dwa rekrutacje były zakończone jeszcze przed dodaniem ogłoszenia przez HR. Nie jest to żadną tajemnicą, że zdecydowanie łatwiej znaleźć pracę gdy ktoś nas poleci niż z ogłoszenia. W końcu lepiej pracuje nam się, z ludźmi których znamy i lubimy. ![](http://test.innasiec.pl/wp-content/uploads/2017/10/duza-ksiazka-pelna-wiedzy-1-1024x768.jpg) ## Wiedza spoza materiału Ludzie rozmawiają ze sobą i bardzo chętnie dzielą się swoimi doświadczeniami, które mogą nie przydać Ci się na egzaminie, ale bardzo prawdopodobne, że spotkasz się z taką sytuacją w pracy. **Pamiętaj, że** **lepiej uczyć się na cudzych błędach niż na własnych.** Nie rzadko sami instruktorzy, bazując na swoim doświadczeniu z danym materiałem, doskonale wiedzą co kursant powinien wiedzieć, a nie koniecznie znajduje się w oficjalnie przygotowanych materiałach. I tego już niestety nie znajdziesz w książce. ## Akademie współpracują z pracodawcami Akademie bardzo często są objęte programami partnerskimi z lokalnymi oddziałami firm IT. Jest to typowa sytuacja win-win, gdzie pracodawca otrzymuje kandydatów o wymaganych umiejętnościach, a akademia zyskuje remonę oraz nie rzadko sprzęt, na którym mogą realizować zajęcia. Nie ma co ukrywać, zwykle naszą motywacją do podjęcia się certyfiakcji jest chęć zmiany pracy lub uzyskania lepiej płatnego stanowiska. Nie ma w tym kompletnie nic złego, w który końcu pracodawca chce płacić swoim pracownikom więcej i więcej tylko za to, że przychodzą do pracy nie wnosząc żadnej nowej wartości? ![](http://test.innasiec.pl/wp-content/uploads/2017/10/praca-ze-sprzetem-1-1024x684.jpg) ## Kontakt z fizycznym sprzętem Ze względu na specyfikę swoich szkoleń nie wszyscy vendorzy organizują swoje szkolenia tak, aby kursant miał fizyczny kontakt ze sprzętem. Osobiście uważam, że możliwość obejrzenia oraz pracy z fizycznym sprzętem przynajmniej na początku swojej kariery w sieciach jest bardzo ważna. Pozwala to lepiej zrozumieć co w danej chwili dzieje się z naszym sprzętem. Alternatywą jest oczywiście zakup własnego sprzętu i stworzenie domowego laba. **Prędzej czy później trzeba będzie wstać od biurka i podejść do rack’a, tak więc lepiej być na to przygotowanym.** ## Zniżka na egzamin Zdając końcowy egzamin w akademii Cisco, dostajemy możliwość wygenerowania vouchera uprawniającego do 58% zniżki na egzamin certyfikujący. Tym sposobem możemy zaoszczędzić prawie 200 dolców! **Pamiętaj, że jesteś upoważniony tylko do jednego kuponu (albo na ICND 1 dostępny po 1 semestrze, albo od razu na CCNA), a ważność wygenerowanego kuponu to 3 miesiące od zdania egzaminu!** ![](http://test.innasiec.pl/wp-content/uploads/2017/10/kasa-motywacja-1-1024x683.jpg) ## Zapłaciłem, to już skończę Tak to już jest, że jeśli coś jest za darmo lub relatywnie tanio to tego nie szanujemy. Dotyczy to niestety również naszej edukacji. Zdecydowanie łatwiej jest nam się zmotywować do nauki jeśli ktoś od nas tego wymaga lub uczymy się w grupie. Dotyczy to zwłaszcza certyfikatów, które pokrywają bardzo obszerny materiał i wymagają poświęcenia sporej ilości czasu na naukę. ### EIGRP - Routing Distance Vector od Cisco URL: https://innasiec.pl/eigrp-protokol-routingu-distance-vector/ Last updated: 2024-06-26T14:09:24.000Z Pierwsze protokoły routingu dynamicznego korzystały z logiki przekazywania pakietów charakteryzującej obecne protokoły wektorów odległości. W tamtych czasach powszechnie stosowanymi protokołami były RIP w wersji pierwszej, oraz niedługo później wydany IGRP. Jednak we wczesnych latach 90., kiedy "zakończyła się" wojna o standaryzację sieciową i zaczęto odchodzić od własnościowych rozwiązań na rzecz sieci opartych o routery, LAN i TCP/IP, pojawiła się potrzeba lepszych protokołów routingu. Tak powstały jako ulepszone wersje swoich protoplastów RIPv2, EIGRP, OSPFv2\. RIP zachował swoją logikę wektorów odległości, OSPF zaprezentował coś zupełnie nowego, czyli routing stanu łącza, a Cisco wraz ze swoim EIGRP zaproponowało coś pomiędzy. | | RIPv2 | EIGRP | OSPF | | ------------------------------------- | ------------ | ----------------------------- | -------------------- | | Metryka ustalana na podstawie | Ilość skoków | Przepustowość oraz opóźnienie | Koszt | | Okresowo wysyła całą tablicę routingu | Tak | Nie | Nie | | Okresowo wysyła pakiety Hello | Nie | Tak | Tak | | Stosuje route poisoning | Tak | Tak | Tak | | Budowa hierarchiczna | Nie | Nie Tak | | | Stosuje split horizon | Tak | Tak | Nie | | Stosowany adres multicast | 224.0.0.9 | 224.0.0.10 | 224.0.0.5, 224.0.0.6 | | Metryka „nieskończości” | 16 | 232 – 1 | 224 – 1 | Powyższa tabelka dokładnie opisuje różnice między poszczególnymi protokołami routingu, jednak potrzebuje kilku słów wyjaśnienia. **Czym jest "route poisoning"?** Ponieważ nie istnieje mechanizm odwołujący się do sieci w aktualizacjach, routery wysyłają aktualizację sieci, podając metrykę nieskończoności. W takim przypadku router odbierający informację o zmianie uzna daną trasę za nieosiągalną. ### EIGRP - protokół wektorów odległości czy stanu łącza? Odpowiedź na to pytanie nie jest tak oczywista, jak się mogłoby wydawać. EIGRP, podobnie jak protokoły wektorów odległości, posiada metrykę dla każdej trasy i zdolność do komunikacji tylko z bezpośrednimi sąsiadami. Jednakże, **w przeciwieństwie do protokołów stanu łącza, EIGRP nie rozsyła regularnie tabel routingu, lecz przesyła jedynie częściowe informacje o zmianach w sieci.** EIGRP, podobnie jak [OSPF](https://innasiec.pl/podstawy-ospf-teoria/), używa trójstopniowego modelu dołączania nowego routera do sieci. W każdym etapie tworzona jest tabela topologii, sąsiadów oraz routingu. - **Odkrywanie sąsiadów:** Router wysyła pakiety Hello na adres multicastowy 224.0.0.10 w celu odnalezienia potencjalnych routerów pracujących w EIGRP. Następuje podstawowa weryfikacja, czy dany router może zostać sąsiadem. Jeśli wynik jest pozytywny, sąsiad zostaje dodany do tablicy. - **Wymiana informacji o topologii:** Sąsiedzi wymieniają pełne informacje o topologii tylko podczas nawiązywania sąsiedztwa. Następnie przekazywane są jedynie aktualizacje dotyczące zmian w sieci. Te informacje są dodawane do tablicy topologii. - **Wypełnianie tablicy routingu:** Każdy router analizuje własną tablicę topologii i wybiera trasy do konkretnej podsieci o najniższej metryce. Wybrana trasa jest następnie dodawana do tablicy routingu. ### Nawiązywanie relacji sąsiedztwa Z perspektywy pojedynczego routera sąsiadem nazwiemy każdego routera EIGRP, z którym mamy bezpośrednie połączenie, adresy w tej samej podsieci oraz jesteśmy w tym samym systemie autonomicznym. Do nawiązywania sąsiedztwa EIGRP wykorzystuje okresowo wysyłane pakiety HELLO. **Po odkryciu nowego routera następuje sprawdzenie, czy podstawowe wymogi do nawiązania relacji są spełnione:** - Czy router przechodzi poprawnie autentykację? - Czy routery są w tym samym systemie autonomicznym AS? - Czy routery są w tej samej podsieci? - Czy wartości K dla metryk EIGRP są takie same? (więcej informacji przy obliczaniu metryki) W odróżnieniu od OSPF, routery EIGRP przechodzą do stanu przekazywania informacji natychmiast po nawiązaniu relacji sąsiedztwa. ### Rodzaje pakietów EIGRP W EIGRP wyróżniamy 5 rodzajów pakietów, które w zależności od swojego przeznaczenia mogą być wysyłane na adres multicastowy lub adres unicastowy. **Hello** - Wykorzystywane do odkrywania sąsiadów - Wysyłane bez potwierdzenia - Wysyłane na adres multicast **Update** - Wykorzystywane do propagowania informacji - Wysyłane za potwierdzeniem - Wysyłane na adres unicast lub multicast **Query** - Wysyłane w odpytaniu o konkretną trasę - Wysyłane na adres unicast lub multicast **Reply** - Odbiorca oczekuje potwierdzenia otrzymania - Wysyłane w odpowiedzi na pakiety Query - Wysyłane na adres unicast **Acknowledgement** - Wysyłane w celu potwierdzenia otrzymania danych - Wysyłane na adres unicast ### Pakiety Update **EIGRP wykorzystuje pakiety aktualizacji do rozsyłania informacji o topologii do sąsiadów**. Pakiety aktualizacji są wysyłane na adres multicastowy 224.0.0.10 (ten sam, na który wysyłane są pakiety HELLO), gdy zachodzi potrzeba poinformowania więcej niż jednego routera w danej podsieci. W przeciwnym wypadku pakiety kierowane są na adres unicastowy sąsiada. **EIGRP wysyła pakiety HELLO bez użycia UDP lub TCP, zamiast tego wykorzystuje protokół Reliable Transport Protocol (RTP).** RTP dostarcza mechanizmów pozwalających na przesyłanie danych jednakowo za potwierdzeniem lub bez potwierdzenia otrzymania danych. Dzięki temu router wysyłający pakiet aktualizacji wie, czy został on poprawnie dostarczony czy powinien zostać przesłany ponownie. Kolejnym powodem zastosowania RTP była chęć stworzenia protokołu niezależnego od warstwy sieciowej. Dzięki temu EIGRP może być również wykorzystany w sieciach AppleTalk czy IPX. ### Algorytm DUAL EIGRP wykorzystuje algorytm Diffusing Update Algorithm (DUAL) w celu zapewnienia ścieżek (podstawowej oraz zapasowej) do danej podsieci z uwzględnieniem braku pętli routingu. Proces decyzyjny obliczania każdej ścieżki jest wykonywany przez DUAL Finite State Machine (FSM). Śledzi on wszystkie trasy i na podstawie metryki EIGRP wybiera najefektywniejsze (o najniższej metryce) ścieżki do umieszczenia w tablicy routingu. Przeliczanie metryk jest operacją mocno obciążającą procesor, dlatego EIGRP stara się dokonywać takich przeliczeń jak najrzadziej. Jest to możliwe poprzez przechowywanie zapasowych tras w tablicy topologii. W przypadku awarii podstawowej trasy, kolejna może zostać natychmiast przeniesiona z tablicy topologii do tablicy routingu. **Algorytm DUAL zapewnia:** - Szybką zbieżność - Minimalne użycie łącza poprzez aktualizacje protokołu - Ścieżki wolne od pętli routingu - Zapasowe ścieżki, które mogą być natychmiastowo użyte ### **Feasible i Reported Distance** Zanim rozpoczniemy rozmowę o konwergencji i sposobie wyboru najlepszej trasy przez router, musisz zapoznać się z kilkoma terminami specyficznymi dla EIGRP. **Feasible Distance (FD)**: Lokalna metryka do osiągnięcia konkretnej podsieci obliczona na routerze. **Zgłoszona Odległość (RD) lub Odległość Reklamowana (AD)**: Metryka do osiągnięcia podsieci otrzymana od sąsiada (routera next-hop). **Successor**: To najlepsza droga do konkretnej podsieci, która zostanie umieszczona w tablicy routingu. **Feasible Successor**: To zapasowa trasa do konkretnej podsieci, nieumieszczona w tablicy routingu, lecz w tablicy topologii. Aby trasa została uznana za Feasible Successor, jej RD musi być mniejsza niż FD. Innymi słowy, aby trasa mogła być uznana za **Feasible Successor**, metryka do osiągnięcia podsieci od sąsiada musi być mniejsza niż metryka do osiągnięcia przez Sukcesora. 💡 Trasa może być uznana za ****Feasible Successor**, gdy metryka do osiągnięcia podsieci od sąsiada jest mniejsza niż metryka do osiągnięcia podsieci przez ****Successor**. ![Przykład kalkulacji metryk dla EIGRP](https://innasiec.pl/content/images/2024/06/EIGRP2.webp) W powyższym przypadku wyraźnie widać, że: - **Trasa przez R2 będzie Successorem**, ponieważ ma najniższą metrykę. - **Metryka RD routera R3 jest niższa niż metryka Successora**, więc ta trasa może być traktowana jako feasible successor. 10 < 150 ### **Logika algorytmu DUAL** ![FSM dla algorytmu DUAL](https://innasiec.pl/content/images/2024/06/DUAL-fsm.webp) ### Metryka EIGRP Do obliczenia metryki EIGRP można wykorzystać kilka parametrów: 1. Przepustowość (Bandwidth) (K1) 2. Obciążenie (Loading) (K2) 3. Opóźnienie (Delay) (K3) 4. Wiarygodność (Reliability) (K4 i K5) **Pełny wzór na metrykę wygląda następująco:** Metryka = (K1 \* BW + ((K2 \* BW) / (256 - obciążenie)) + K3 \* opóźnienie) \* (K5 / wiarygodność + K4) GDZIE: BW = 10^7 / Przepustowość w Kbps Jednak najczęściej stosowaną wersją algorytmu jest: Metryka = (10^7 / najniższa wartość przepustowości) + całkowite opóźnienie (delay / 10) \* 256 Oznacza to, że przepustowość najwolniejszego łącza plus suma opóźnień wszystkich łączy na trasie (podzielona przez 10), pomnożona przez 256\. To standardowa wersja algorytmu, którą urządzenia Cisco stosują od razu po podłączeniu. ![Kalkulacja metryki EIGRP](https://innasiec.pl/content/images/2024/06/EIGRP_kalkulacja_metryki.webp) Na powyższym obrazku widzimy router R2 podłączony za pomocą portu gigabitowego do podsieci 172.16.0.0\. Domyślnie ten port ma przepustowość 1000000kbps oraz opóźnienie 100\. Podstawiając te dane do wzoru, otrzymujemy FD dla R2\. **EIGRP zaokrągla wynik dzielenia 10^7/przepustowość w dół!** FD dla R2 = (10^7/1000000 +100/10)\*256 = 5120 FD uzyskany w ten sposób jest przesyłany jako RD do sąsiadów, w tym przypadku do R1\. Oprócz RD przekazywana jest informacja o najwolniejszym łączu (wszystkie łącza mają jednogigabitową przepustowość) oraz łączne opóźnienie już podzielone przez 10. FD dla R1 = (10^7/1000000 + (100+10) / 10)\*256 = 5376 ### **Podstawowa konfiguracja** Konfiguracja EIGRP jest bardzo podobna do konfiguracji OSPF. Polecenie `router eigrp ASN` (numer systemu autonomicznego) uruchamia protokół EIGRP na routerze i przenosi do trybu konfiguracji. Podobnie jak w OSPF, polecenie `network` aktywuje wszystkie interfejsy w danej podsieci. Następnie EIGRP próbuje znaleźć sąsiadów oraz rozgłosić podsieci podłączone do swoich interfejsów. - Użyj polecenia `router eigrp ASN`. - Skonfiguruj poleceniem `network adres-ip` jeden lub więcej interfejsów. - Opcjonalnie skonfiguruj ręcznie identyfikator routera `eigrp router-id adres-ip`. - Opcjonalnie zmień wartość timera Hello na interfejsie `ip hello-interval eigrp ASN nowy-czas` lub timer Hold (czas oczekiwania) na interfejsie `ip hold-time eigrp ASN nowy-czas`. - Opcjonalnie zmień wartości Bandwidth oraz Delay na konkretnych interfejsach. Opcjonalnie zmień wartości `maximum-path` liczba oraz `variance` multiplier. - Opcjonalnie wyłącz auto-sumaryzację `no auto-summary`. ``` R3(config)#router eigrp 1 R3(config-router)#network 10.0.0.0 ``` ### Konfiguracja bez sumaryzacji Wydanie tych samych trzech poleceń na wszystkich routerach pozwoli nam stworzyć w pełni funkcjonalną sieć opartą na protokole EIGRP. ``` R3(config)#router eigrp 1 R3(config-router)#network 10.0.0.0 R3(config-router)#no auto-summary ``` Nasza prosta konfiguracja uruchomiła EIGRP w AS 1 (wszystkie routery muszą być w tym samym AS, aby nawiązać sąsiedztwo). Zakres dostępnych numerów jest identyczny jak dla procesów w OSPF i wynosi 1-65535. ### Weryfikacja konfiguracji Zweryfikujmy, czy wszystko działa, jak należy. ``` R3#show ip eigrp neighbors IP-EIGRP neighbors for process 1 H Address Interface Hold Uptime SRTT RTO Q Seq (sec) (ms) Cnt Num 0 10.4.1.1 Gig0/0 11 00:02:37 40 1000 0 78 1 10.6.1.1 Gig0/1 13 00:02:37 40 1000 0 276 ``` ``` R3#show ip eigrp topology IP-EIGRP Topology Table for AS 1/ID(10.6.1.2) Codes: P - Passive, A - Active, U - Update, Q - Query, R - Reply, r - Reply status P 10.1.0.0/16, 1 successors, FD is 5376 via 10.4.1.1 (5376/5120), GigabitEthernet0/0 P 10.2.0.0/16, 1 successors, FD is 5376 via 10.6.1.1 (5376/5120), GigabitEthernet0/1 P 10.3.0.0/16, 1 successors, FD is 5120 via Connected, GigabitEthernet0/2 P 10.4.0.0/16, 1 successors, FD is 2816 via Connected, GigabitEthernet0/0 P 10.5.0.0/16, 2 successors, FD is 3072 via 10.4.1.1 (3072/2816), GigabitEthernet0/0 via 10.6.1.1 (3072/2816), GigabitEthernet0/1 P 10.6.0.0/16, 1 successors, FD is 3328 via 10.4.1.1 (3328/3072), GigabitEthernet0/0 P 10.6.1.0/24, 1 successors, FD is 2816 via Connected, GigabitEthernet0/1 ``` ``` R3#show ip route Gateway of last resort is not set 10.0.0.0/8 is variably subnetted, 10 subnets, 3 masks D 10.1.0.0/16 [90/5376] via 10.4.1.1, 00:02:45, GigabitEthernet0/0 D 10.2.0.0/16 [90/5376] via 10.6.1.1, 00:02:45, GigabitEthernet0/1 C 10.3.0.0/16 is directly connected, GigabitEthernet0/2 L 10.3.1.1/32 is directly connected, GigabitEthernet0/2 C 10.4.0.0/16 is directly connected, GigabitEthernet0/0 L 10.4.1.2/32 is directly connected, GigabitEthernet0/0 D 10.5.0.0/16 [90/3072] via 10.4.1.1, 00:02:45, GigabitEthernet0/0 [90/3072] via 10.6.1.1, 00:02:45, GigabitEthernet0/1 D 10.6.0.0/16 [90/3328] via 10.4.1.1, 00:02:45, GigabitEthernet0/0 C 10.6.1.0/24 is directly connected, GigabitEthernet0/1 L 10.6.1.2/32 is directly connected, GigabitEthernet0/1 ``` ### STP - wszystko co musisz o nim wiedzieć URL: https://innasiec.pl/spanning-tree-protocol/ Last updated: 2024-06-26T12:45:52.000Z Jest to jeden z protokołów, które po prostu działają niezawodnie, a jedyne problemy, które mogą się pojawić, wynikają nie z błędów w protokole, lecz z projektowania naszej sieci. Po co właściwie potrzebujemy tego protokołu? **Działający na warstwie 2 protokół łącza danych rozwiązuje problemy z ramkami oraz redundancją.** Oczywiście wszyscy pragniemy redundancji, jednak z uwagi na obsługę ramek typu broadcast oraz unknown unicast (wszystkie takie ramki są przesyłane przez switch przez wszystkie interfejsy oprócz tego, na którym dana ramka została otrzymana), łatwo wprowadzić w nieład tablice adresów MAC (adres nadawcy ramki może pojawić się na różnych interfejsach) oraz wywołać burzę broadcastową (switche rozsyłają pakiety oraz je duplikują na wszystkich interfejsach). **Ze względu na brak mechanizmu kontroli czasu życia ramki w sieci (w warstwie 3 mamy TTL) raz wysłane dane mogą krążyć w sieci LAN bez końca** (routery nie przekazują takich pakietów poza sieć). Co zatem robi STP, aby temu zapobiec? Tworzy drzewo połączeń między switchami, umożliwiając komunikację między nimi tylko jedną ścieżką (po wykryciu awarii jest możliwe przekazywanie ruchu alternatywną ścieżką, ale w danym momencie tylko jedna ścieżka jest aktywna). ![Topologia trzech switchy z wyłączonym przez STP interfejsem, aby zapobiec powstawaniu pętli](https://innasiec.pl/content/images/2024/06/spanning-tree-protocol-3switch.webp) ### Elekcja root switcha Jak każde drzewo, również S**TP potrzebuje swojego korzenia (roota)**, od którego wszystko będzie się dalej rozchodzić. Jak tego dokonać? **Podczas elekcji switche komunikują się za pomocą specjalnych ramek BPDU** – Bridge Protocol Data Unit, które zawierają Bridge ID składający się z priorytetu + rozszerzonego identyfikatora systemu (identyfikator VLANu) oraz adresu MAC. | Switch | Priorytet | MAC | | ------ | --------- | -------------- | | S1 | 32769 | 0090.0C4E.0AA0 | | S2 | 32769 | 00D0.BC03.515B | | S3 | 32769 | 0030.A34B.5A28 | Proces elekcji wygrywa switch z najniższym BID-em. Od teraz wszystkie porty wychodzące od tego switcha będą portami desygnowanymi i będą przekazywać cały ruch. W naszej topologii S3 został wybrany rootem. Ponieważ wszystkie switche mają ten sam priorytet 32769, porównujemy adresy MAC. Porty z S1 oraz S2 w stronę S3 są portami typu root. Dlaczego? Ponieważ posiadają najniższy koszt dotarcia do root switcha. | Prędkość portu | IEEE koszt w 1998 | koszt w 2004 I później | | -------------- | ----------------- | ---------------------- | | 10Mbps | 100 | 2000000 | | 100Mbps | 19 | 200000 | | 1Gbps | 4 | 20000 | | 10Gbps | 2 | 2000 | | 100Gbps | N/A | 200 | | 1Tbps | N/A | 20 | **W przypadku połączenia pomiędzy S1 i S2 z jednej strony mamy port typu designed, a z drugiej strony port typu blocking**. Co istotne, port w stanie blocking nie przepuszcza ruchu, ale nadal odbiera i interpretuje ramki BPDU. Dlaczego? Ponieważ standardowo **root switch rozsyła co sekundę ramki BDPU, które są przekazywane dalej w ramach drzewa STP**. Jeżeli switch nie otrzyma takiej ramki w ciągu 20 sekund (10 x 2 sekundy – typowy dead interval), rozpoczyna rekalkulację drzewa STP, aby umożliwić dalszą komunikację w sieci. | Timer | Domyślna wartość | Opis | | ------------- | ------------------------------ | ------------------------------------------------------------------------------- | | Hello | 2s | Czas pomiędzy wysłaniem kolejnych pakietów Hello przez root’a. | | MaxAge | 10x wartość timera Hello (20s) | Czas oczekiwania przez switch na pakiet Hello zanim rozpocznie przeliczanie STP | | Forward Delay | 15s | Czas jaki switch pozostaje w stanie listening oraz learning | | 10Gbps | 2 | 2000 | | 100Gbps | N/A | 200 | | 1Tbps | N/A | 20 | ### Stany portów w STP Stany STP w skrócie informują, co port ma zrobić z otrzymanymi ramkami: czy powinien je dyskretnie odrzucić, przetworzyć czy przesłać dalej. Switch może przełączyć port przesyłający dane w stan blokowania. Jednak przełączenie portu, który odrzuca dane, do portu przesyłającego dane, wymaga przejścia przez kilka stanów: **blokowanie -> nasłuchiwanie -> nauka -> przekazywanie.** | Stan | Przesyła ramki z danymi? | „Uczy się” MAC adresów? | | ---------- | ------------------------ | ----------------------- | | Blocking | Nie | Nie | | Listening | Nie | Nie | | Learning | Nie | **Tak** | | Forwarding | **Tak** | **Tak** | | Disabled | Nie | Nie | | 1Tbps | N/A | 20 | **Port w stanie Listening usuwa wszystkie stare adresy MAC z tabeli**, aby uniknąć pętli. Dodatkowo, **w stanie Blocking dyskretnie odrzuca** wszystkie pakiety. **Port w stanie Learning nadal nie przekazuje danych dalej**, ale wpisuje odebrane źródłowe adresy MAC do tablicy. ### Role portów w STP Stany portów w STP są ściśle powiązane z ich rolami. W tabeli zawarłem informacje dotyczące występowania poszczególnych ról, ponieważ niektóre z nich zostały dodane jako nowość w RSTP. | Funkcja | Rola portu | STP/RSTP | | -------------------------------------------------- | --------------- | -------- | | Najlepszy link w kierunku root switch’a | Root Port | STP/RSTP | | Zastępuje root port w przypadku awarii linku | Alternate port | RSTP | | Port przenoszący traffic, w głąb domeny kolizyjnej | Designated port | STP/RSTP | | Zastąpi port desygnowany w przypadku awarii linku | Backup port | RSTP | | Administracyjnie położony port | Disabled | STP/RSTP | | 1Tbps | N/A | 20 | ### Ewolucja protokołu Spanning-Tree PVST+ Protokół Spanning-Tree zapobiega powstawaniu pętli poprzez umożliwienie przesyłania danych tylko przez porty desygnowane oraz root, a pozostałe przełącza w stan blokowania. W rezultacie tracimy możliwość wykorzystania pełnej przepustowości switcha lub nawet prostego równoważenia ruchu. Cisco doszło do tego samego wniosku i stworzyło PVSTP+, co jest ulepszeniem protokołu STP poprzez tworzenie instancji spanning tree dla każdego VLANu. Dzięki temu, poprzez odpowiednie manipulowanie kosztami, możemy przesyłać dane z różnych VLANów przez różne łącza. To zapewnia równoważenie obciążenia ruchem w sieci, nie rezygnując jednocześnie z redundancji. ![Per Vlan Spanning Tree - root switch na różnych przełącznikach](https://innasiec.pl/content/images/2024/06/pervlan-spanning-tree-protocol.webp) ### Rapid Spanning Tree Mimo że STP działa dobrze, zdarzają się sytuacje, w których ujawniają się jego niedoskonałości. Na przykład, gdy zawiedzie nam port typu desygnowanego, **STP potrzebuje około 50 sekund!, aby przełączyć się z blokowania na przekazywanie pakietów** (20 sekund oczekiwania na pakiety BPDU, 15 sekund nasłuchiwania, 15 sekund nauki). 50 sekund w XXI wieku to jak wieczność! W celu rozwiązania tego problemu powstał protokół RSTP, którego działanie jest stosunkowo proste. Po wyborze root switcha wysyła on pakiet BPDU przez wszystkie porty i przełącza je w tryb odrzucania. Jeśli sąsiedni switch chce komunikować się przez dany port, odsyła pakiet BPDU i port zostaje odblokowany. Proste, prawda? Dodatkowo przełączenie portu z trybu odrzucania pakietów na tryb przekazywania praktycznie następuje w kilka sekund (MaxAge wynosi 3x Hello). 💡 Cisco oczywiście udoskonaliło RSTP, umożliwiając korzystanie z zalet PVST+ dzięki czemu mamy Rapid PVST+ ### Multiple Spanning Tree Protocol (MSTP) MSTP jest zainspirowany protokołem MISTP (Multiple Instance STP) opracowanym przez firmę Cisco. Opracowany przez IEEE, umożliwia przypisanie kilku VLAN-ów do jednej instancji STP, co jest bardzo wygodne, gdy mamy wiele VLAN-ów i nadal chcemy zachować pełną kontrolę nad ruchem w sieci. W urządzeniach Cisco MSTP jest implementowany jako MST i pozwala na utworzenie do 16 instancji RSTP. | Protokół | Standard | Konwergencja | Przeliczanie STP | | ----------- | ------------- | ------------ | ---------------------- | | STP | 802.1D | Wolna | Dla wszystkich VLAN’ów | | PVST+ | Cisco | Wolna | Dla każdego VLAN’u | | RSTP | 802.1W | Szybka | Dla wszystkich VLAN’ów | | Rapid PVST+ | Cisco | Szybka | Dla każdego VLAN’u | | MSTP | 802.1S, Cisco | Szybka | Dla każdej instancji | [Multiple Spanning Tree MSTPDziałanie protokołu Spanning Tree polega na zapobieganiu tworzenia pętli w sieci. Jednakże prowadzi to do nieoptymalnego wykorzystania infrastruktury sieciowej. Problem ten został rozwiązany poprzez wprowadzenie PVST, gdzie każdy VLAN posiada własną instancję STP. Niemniej jednak, rozwiązując jedną kwestię, napotkaliśmy na kolejną. STP jest protokołem bardzo obciążającym CPU, a utrzymanie wielu![](https://innasiec.pl/content/images/size/w256h256/2024/06/recreate-02.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/wordpress/2022/01/Multiple-Spanning-Tree-Protocol.jpeg)](https://innasiec.pl/multiple-spanning-tree-mstp/) ### Co jeszcze potrafi STP? Postęp jest czymś całkowicie pożądanym i oczekiwanym nawet w przypadku elementów, które działają dobrze. Dlatego STP posiada kilka dodatków przyspieszających jego pracę oraz zwiększających bezpieczeństwo sieci. - **Portfast** – Porty te natychmiast przechodzą w stan przekazywania danych i są od razu desygnowane, ponieważ zazwyczaj są to porty, do których podłączeni są użytkownicy końcowi, którzy nie powinni wpływać na naszą instancję STP. - **BPDUguard** – Ustawia się na portach, które nie powinny otrzymywać BPDU. Jeśli port otrzyma ramkę BPDU, natychmiast przechodzi w stan error-disable. - **BPDU filter** – Ustawia się na portach, które nie powinny przesyłać pakietów BPDU. Jeśli ustawimy BPDU filter na tym samym porcie co BPDUguard, ten drugi zostanie nadpisany. - **Root Guard** – W przeciwieństwie do innych ulepszeń, root guard nie może być używany globalnie i musi być przypisany bezpośrednio do interfejsu. Root guard zapobiega temu, aby port zmienił stan z desygnowanego na root. ### VPN - Czym jest wirtualna sieć prywatna? URL: https://innasiec.pl/vpn-czym-jest-wirtualna-siec-prywatna/ Last updated: 2024-06-26T12:53:56.000Z Profesorowie z Uniwersytetu Kalifornijskiego w Los Angeles, projektując ARPANET w 1969 roku, mieli bardzo proste zadanie: stworzyć sieć komunikacyjną pomiędzy zaufanymi urządzeniami bez centralnego punktu wymiany danych. W tamtych czasach nikt nie brał pod uwagę, jak bardzo na przestrzeni lat powiększy się ilość urządzeń podłączonych do Internetu. Wraz ze wzrostem ilości oraz rangi przesyłanych danych pojawiła się potrzeba odseparowania ruchu konkretnych użytkowników oraz zabezpieczenia pakietów przed podsłuchaniem (ang. sniffing). Ogromna ilość technologii pozwalających na implementację rozwiązań VPN tworzących prywatną, wirtualną sieć sprawia, że bardzo trudno podać jednolitą i pasującą do wszystkich rozwiązań definicję. Jedną z popularniejszych jest: „sieć stworzona z publicznie dostępnych połączeń z zastosowaniem szyfrowania oraz innych mechanizmów zapewniających bezpieczeństwo danych, oraz pozwalających na dostęp wyłącznie autoryzowanym użytkownikom”. Osobiście w**olę znacznie prostszą definicję VPN jako połączenie, zazwyczaj szyfrowane, pomiędzy dwoma elementami sieciowymi (urządzenia końcowe lub całe sieci), które niekoniecznie są bezpośrednio połączone.** **V – Virtual (Wirtualna)** Sieć korzystająca z publicznie dostępnych połączeń (zazwyczaj internetu), tworząca logiczną całość, niezależnie od infrastruktury. Taka sieć nie musi być fizycznie odseparowana od innych użytkowników. **P – Private (Prywatna)** Jedynie autoryzowani użytkownicy są w stanie zrozumieć przesyłane dane dzięki zastosowaniu między innymi szyfrowania oraz numerowania pakietów. **N – Network (Sieć)** Utworzone połączenie z punktu widzenia użytkownika jest zwykle podobne do połączenia w sieci LAN, np. poprzez zastosowanie prywatnej puli adresów. ### Po co w ogóle stosujemy VPN? Większość protokołów, które powstały we wczesnych latach istnienia internetu, były projektowane do rozwiązania jednego konkretnego problemu. Tak powstał telnet, aby umożliwić zdalne logowanie się do innego urządzenia. Oczywiście, pomyślano o wykorzystaniu pary login/hasło, ale te dane są nadal przesyłane w formie tekstu przez niezabezpieczoną sieć. Protokoły POP oraz SMTP umożliwiają przesyłanie i odbieranie wiadomości e-mail, ale także powielają błędy telnetu. Wyobraź sobie teraz przesyłanie danych swojej karty kredytowej przez internet, kiedy każdy mógłby je podejrzeć i dowolnie wykorzystać. Prawda, że nie brzmi to dobrze? **VPN stosujemy w celu uniknięcia trzech rodzajów ataków sieciowych:** 1. **Podsłuchiwanie pakietów** \- Atakujący przechwytuje pakiety oraz odczytuje dane przesyłane czystym tekstem. 2. **Podszywanie się (spoofing)** \- Atakujący udaje autoryzowanego nadawcę, np. poprzez zmianę źródłowego adresu IP. 3. **Atak typu Man in the Middle** \- Atakujący przechwytuje pakiet, podmienia dane w nim zawarte oraz przesyła zmodyfikowany pakiet dalej do docelowego odbiorcy. ### Rodzaje VPN Zanim przejdziemy do omówienia głównych typów VPN-ów oraz trzech głównych kategorii, należy również wspomnieć o dwóch typach, w jaki dane są przesyłane w ramach sieci VPN: 1. **Tryb tunelowy** – W tym trybie połączenie nie jest zestawiane bezpośrednio pomiędzy urządzeniami, które nawiązują połączenie. Po drodze są wykorzystywane inne elementy sieciowe, które ukrywają prawdziwe adresy IP. Tryb tunelowy jest wykorzystywany do przesyłania danych użytkowników z biura regionalnego oraz pracownika zdalnego do serwera syslog, gdzie routery służą jako bramy domyślne dla komunikacji w ramach VPN. 2. **Tryb transportowy** – W tym trybie połączenie jest zestawiane z użyciem prawdziwego źródłowego oraz docelowego adresu IP. Tryb transportowy jest wykorzystywany do przesyłania danych pomiędzy routerem w głównej siedzibie oraz serwerem syslog. ![Rodzaje topologii VPN](https://innasiec.pl/content/images/2024/06/vpn_topology.webp) ak zapewne się domyślasz, **tunelowanie jest zdecydowanie częściej wykorzystywane do zestawiania połączeń VPN**. Dzieje się tak, ponieważ ta metoda oferuje następujące zalety w porównaniu z transport mode: - **Zapewnia skalowalność** – Za zestawienie połączenia odpowiada odpowiednie, zwykle dedykowane do tego urządzenie, oferujące wystarczającą wydajność do przeprowadzania wszystkich procesów związanych z szyfrowaniem oraz deszyfrowaniem ruchu. - **Zapewnia elastyczność** – Dodanie urządzenia do sieci VPN wymaga minimalnych nakładów pracy, ponieważ nowy element będzie ukryty za bramą domyślną VPN, co nie wymaga zmian w konfiguracji pozostałych urządzeń. - **Ukrywa komunikację** – Prawdziwy adres IP zarówno nadawcy, jak i odbiorcy, jest ukryty przed podsłuchiwaniem w przypadku przechwycenia pakietów przez atakującego znajdującego się pomiędzy bramami VPN. - **Wykorzystuje prywatne adresy** – Odbiorca i nadawca mogą używać tej samej puli adresów zarówno prywatnych, jak i publicznych, ponieważ pakiet i tak jest enkapsulowany, przechodząc przez bramę domyślną VPN. ### Typy sieci VPN generalnie określają, które urządzenia są odpowiedzialne za nawiązanie połączenia. Wyróżniamy 2 główne typy VPN: 1. **Site-to-Site VPN** Zwany również LAN-to-LAN (L2L VPN), tworzy tunel łączący dwie bramy VPN. Na obu końcach tunelu znajdują się urządzenia dokonujące translacji adresów, zabezpieczenia pakietów i przesyłania ich poprzez publiczną sieć. 2. **Remote Access VPN** Połączenie jest nawiązywane między bramą VPN w centralnym biurze a pojedynczym urządzeniem użytkownika w zdalnej lokalizacji. Można również spotkać się z dwoma innymi typami: - **Firewall VPN** Zasada działania jest identyczna jak w przypadku site-to-site, jednak z dodatkową warstwą zabezpieczeń poprzez wykorzystanie reguł bezpieczeństwa firewalli. - **User-to-User VPN** Jest to typ VPN wykorzystujący tryb transportu danych w sieci VPN między dwoma urządzeniami, dla których zestawiono dedykowane połączenie. ### ACL - Wszystko co musisz wiedzieć o listach dostępu URL: https://innasiec.pl/acl-access-control-lists/ Last updated: 2024-06-25T20:10:00.000Z Listy kontrolne dostępu to zestawy poleceń, które określają, które pakiety mogą być przyjęte lub odrzucone przez sieć w zależności od zawartości segmentów w nagłówkach. Filtrowanie może być wykonane na podstawie adresu IP źródłowego, co określa standardowe listy dostępowe, lub w bardziej rozbudowanej formie - na podstawie adresu IP źródłowego i/lub docelowego, protokołu oraz konkretnej liczby portu TCP/UDP. Dodatkowo, każda lista ACL jest przypisywana do interfejsu w określonym kierunku (in lub out). ![Przykładowa topologia sieci z wykorzystaniem ACL](https://innasiec.pl/content/images/2024/06/acl.webp) Poprawnie skonfigurowane listy ACL zapewniają: - Podstawową optymalizację ruchu w sieci poprzez odrzucanie niepożądanych pakietów. - Dodatkową warstwę zabezpieczeń poprzez ściśle określone reguły, które definiują, które hosty/podsieci mogą się ze sobą komunikować. - Ograniczenie dostępu użytkownikom do zasobów sieciowych poprzez filtrowanie ruchu na podstawie protokołów, np. ftp lub http/https. ### Logika ACL Tworząc listę reguł, ważne jest pamiętanie, że router szuka dopasowania w kolejności, aż znajdzie pierwsze pasujące. Jeśli na początku listy znajdują się zbyt ogólne reguły, istnieje ryzyko, że ruch, który powinien być zablokowany przy właściwej konfiguracji, zostanie przepuszczony. Dlatego kluczowe jest odpowiednie uporządkowanie reguł w liście, aby najbardziej szczegółowe reguły były umieszczone na początku. W ten sposób zapewnimy, że ruch sieciowy zostanie poprawnie zidentyfikowany i przetworzony zgodnie z oczekiwaniami. ![Logika pracy ACL](https://innasiec.pl/content/images/2024/06/ACL-logic-1.webp) ### Standardowe listy ACL Listy ACL dzielą się zasadniczo na standardowe (tylko dla protokołu IPv4) i rozszerzone (dla protokołów IPv4/IPv6) oraz ze względu na sposób identyfikacji na numeryczne i nazwane. Standardowe ACL tworzymy poprzez wpisanie polecenia `access-list`, a następnie podanie identyfikatora listy (słownie lub numerycznie). Następnie określamy, czy ruch ma być zezwolony (permit) lub zabroniony (deny). Na końcu definiujemy zakres adresów objętych listą dostępu, podając adres IP podsieci/hosta oraz maskę odwrotną (wildcard mask) lub używając słowa kluczowego any. ``` R1(config)#access-list 1 permit 192.168.0.0 0.0.0.255 R1(config)#access-list 1 deny any ``` **Wildcard mask tworzymy następująco:** 255.255.255.255 – 255.255.255.000 odejmujemy maskę podsieci \= 000.000.000.255 Do każdej ACL możemy dodatkowo dodać opis, używając polecenia `remark`. ``` R1(config)#access-list 1 remark Permit hosts from 192.168.0.0 LAN R1#show running-config | include access-list 1 access-list 1 remark Permit hosts from 192.168.0.0 LAN access-list 1 permit 192.168.0.0 0.0.0.255 access-list 1 deny any ``` Gotową listę ACL należy przypisać do odpowiedniego interfejsu w właściwym kierunku (ruch wchodzący – in lub wychodzący – out). ``` R1(config)#interface fastethernet 0/1 R1(config-if)#access-group 1 in ``` ACL dla dostępu do konsoli lub wirtualnego terminalu dodajemy za pomocą polecenia access-class. ``` R1(config)#line vty 0 4 R1(config-line)#access-class 1 in ``` ### ### Rozszerzone listy ACL Rozszerzone listy ACL pozwalają bardziej precyzyjnie określić rodzaj ruchu dla konkretnej listy poprzez określenie adresu IP źródłowego i docelowego, rodzaju protokołu oraz numeru portu. Tworzenie rozszerzonych ACL polega na wydaniu polecenia `access-list`, podaniu identyfikatora listy (słownie lub numerycznie) oraz określeniu, czy ruch ma być przepuszczony (permit) czy odrzucony (deny). Dodatkowo można zdecydować, czy router ma filtrować pakiety TCP/UDP lub inne protokoły, np. IGMP. W rozszerzonych listach ACL oprócz adresu IP źródłowego należy również zdefiniować zakres docelowych adresów objętych listą dostępową. Ostatnim krokiem jest podanie portu lub zakresu portów. Ponieważ niektóre protokoły wymagają nawiązania połączenia w obu kierunkach, należy zezwolić na nawiązanie sesji na żądanie pochodzące z sieci wewnętrznej poprzez opcję `established`. ``` R1(config)#access-list 103 permit tcp 192.168.0.0 0.0.0.255 any eq ssh R1(config)#access-list 103 deny any any R1(config)#access-list 104 permit tcp any 192.168.0.0 0.0.0.255 eq 80 R1(config)#access-list 105 permit tcp any 192.168.0.0 0.0.0.255 established ``` ### Modyfikacja ACL Istniejące listy możemy edytować na dwa sposoby. **Pierwszym sposobem jest usunięcie konkretnej listy dostępowej i wprowadzenie jej od nowa.** Należy jednak pamiętać, że dana lista dostępu nadal będzie widoczna pod interfejsami, do których została zastosowana. To może prowadzić do całkowitego zablokowania ruchu, ponieważ na końcu każdej listy dostępu znajduje się niejawne deny any. ``` R1(config)#no access-list 103 ``` Drugi sposób to wykorzystanie numerów sekwencyjnych. Wprowadzając nowe pozycje do listy, są one automatycznie numerowane. Możliwe jest usunięcie lub nadpisanie konkretnej reguły, podając jej numer sekwencyjny. ``` R1#show access-lists Extended IP access list 103 10 permit tcp 192.168.0.0 0.0.0.255 any eq ssh 20 deny any any R1(config)#ip access-list extended 103 R1(config-ext-nacl)#no 10 R1#show access-lists Extended IP access list 103 20 deny any any ``` ### Listy ACL w IPv6 Listy ACL dla adresów IP w wersji 6 są bardzo podobne do rozszerzonych list dostępowych IPv4, jednak mają kilka różnic. Wszystkie listy są nazwane (nazwy muszą się różnić od tych dla IPv4), nie ma już numerowanych list. Zniknęły również maski blankietowe. **Na końcu każdej ACL zawsze pojawiają się niejawnie:** - permit icmp any any nd-na - permit icmp any any nd-ns Ponieważ **IPv6 porzuciło mechanizm ARP do wykrywania hostów w sieci lokalnej na rzecz usługi warstwy 3 Neighbor Discovery**, automatycznie zezwalamy na stosowanie komunikatów **Neighbor Discovery — Neighbor Advertisement (nd-na)** oraz **Neighbor Discovery — Neighbor Solicitation (nd-ns)**. ``` R1(config)#ipv6 access-list NO-ACCESS-LAN R1(config-ipv6-acl)# deny ipv6 any 2001:db8:cafe:30::/64 R1(config-ipv6-acl)# end ``` Gotową listę ACL należy przypisać do odpowiedniego interfejsu w odpowiednim kierunku (ruch wchodzący – in lub wychodzący – out). ``` R1(config)#interface gigabitethernet 0/1 R1(config-if)# ipv6 traffic-filter NO-ACCESS-LAN in ``` Listę dostępu dla dostępu konsolowego lub terminala wirtualnego dodajemy w taki sam sposób jak w przypadku listy ACL dla protokołu IPv4. ``` R1(config)#line vty 0 4 R1(config-line)#access-class NO-ACCESS-LAN in ``` ### Najlepsze praktyki dotyczące konfiguracji ACL **Standardowe ACL powinno być umieszczone jak najbliżej celu**, ponieważ filtrujemy ruch na podstawie źródła pakietu. Natomiast **Extended ACL powinno być umieszczone jak najbliżej źródła ruchu**, aby precyzyjnie określić, który rodzaj ruchu jest niepożądany. Dzięki takiej praktyce filtrowania możemy zaoszczędzić przepustowość w naszej sieci. **Na końcu każdej listy ACL zaleca się dodanie "permit" lub "deny any"**. Dzięki temu możliwe jest dokładniejsze monitorowanie statystyk listy. Warto zauważyć, że standardowo każde ACL kończy się domyślnie opcją "deny any". ### Implementacja jednoobszarowego OSPF'a | praktyka URL: https://innasiec.pl/ospf-konfiguracja-na-cisco/ Last updated: 2024-06-26T13:12:11.000Z Jeśli jeszcze nie zapoznałeś się z teorią dotyczącą OSPF, polecam zajrzeć do wpisu na blogu opisującego podstawy. [OSPF - Routing w oparciu o link state | teoriaOspf (ang. Open Shortest Path First) jest obecnie jednym z najczęściej wybieranych protokołów IGP. Podobnie jak EIGRP czy IS-IS, działa w ramach jednej domeny autonomicznej, co oznacza, że zajmuje się routowaniem w obrębie sieci zarządzanej przez jedną firmę lub organizację. Współcześnie stosujemy OSPF w wersji 2 dla IPv4 oraz w![](https://innasiec.pl/content/images/size/w256h256/2024/06/recreate-02.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/wordpress/2017/05/ospf-open-shortest-path-first.png)](https://innasiec.pl/podstawy-ospf-teoria/) W ramach praktyki przećwiczymy tworzenie jednoobszarowego OSPF łączącego dwie sieci LAN. Do celów testowych wykorzystamy dwa routery oraz po dwa komputery symulujące sieci lokalne. Oczywiście jest to tylko przykładowa, bardzo prosta implementacja OSPF dla pojedynczego obszaru. Nic nie stoi na przeszkodzie, aby w pojedynczym obszarze było znacznie więcej routerów oraz urządzeń końcowych, o ile nasze urządzenia mają wystarczającą moc obliczeniową. ![Przykładowa topologia pokazująca konfigurację OSPF](https://innasiec.pl/content/images/2024/06/ospf-1-obszarowy.webp) W podanej powyżej topologii mamy dwie sieci LAN: 10.0.0.0/8 i 20.0.0.0/8, oraz sieć pomiędzy routerami 192.168.0.0/24. Adresacja wygląda następująco: R1 - GigabitEthernet0/0 - 192.168.0.1 GigabitEthernet0/1 - 10.0.0.1 R2 - GigabitEthernet0/0 - 20.0.0.1 GigabitEthernet0/1 - 192.168.0.2 PC0 - FastEthernet0 - 10.0.0.2 PC1 - FastEthernet0 - 10.0.0.3 PC3 - FastEthernet0 - 20.0.0.2 PC4 - FastEthernet0 - 20.0.0.3 ### Podstawowa konfiguracja OSPF ``` R1(config)#router ospf 1 R1(config-router)#network 192.168.0.1 0.0.0.0 area 0 R1(config-router)#network 10.0.0.1 0.0.0.0 area 0 R1(config-router)#passive-interface gigabitEthernet 0/1 ``` ``` R2(config)#router ospf 1 R2(config-router)#network 192.168.0.2 0.0.0.0 area 0 R2(config-router)#network 20.0.0.1 0.0.0.0 area 0 R2(config-router)#passive-interface gigabitEthernet 0/1 ``` Podane powyżej polecenia wymagają kilku słów wyjaśnienia: **R1(config)#router ospf 1** – Rozpoczynamy proces OSPF o numerze 1\. Równocześnie na jednym urządzeniu może funkcjonować kilka różnych procesów. Zakres identyfikatora procesu mieści się pomiędzy 1 a 65 535\. Identyfikator procesu nie jest jednoznaczny z przynależnością do konkretnej strefy. 💡 Pamiętaj, że numery procesów na poszczególnych urządzeniach nie muszą być identyczne... o ile nie budujesz superbackbone'a w MPLS L3VPN. Więcej o superbackone przeczytasz na blogu: [5 rzeczy w OSPF, o których mogłeś nie wiedziećOSPF jest najbardziej skomplikowanym protokołem routingu. Pokuszę się o stwierdzenie, że jest nawet bardziej skomplikowany od BGP. Obsługuje 5 różnych rodzajów topologii fizycznych oraz 6 rodzajów obszarów. Posiada ponad 10 różnych pakietów LSA oraz prawdziwe zatrzęsienie opcji konfiguracyjnych. Nie zrozum mnie źle, OSPF na podstawowym poziomie jest protokołem bardzo łatwym![](https://innasiec.pl/content/images/size/w256h256/2024/06/recreate-02.png)Inna SiećRafał Rudewicz![](https://innasiec.pl/content/images/wordpress/2021/02/5-rzeczy-w-ospf-o-ktorych-mogles-nie-wiedziec.jpg)](https://innasiec.pl/5-rzeczy-w-ospf-o-ktorych-mogles-nie-wiedziec/) **R1(config-router)#network 10.0.0.1 0.0.0.0 area 0** – Słowo "network" w tym przypadku jest wyjątkowo podstępne, **ponieważ OSPF rozgłasza interfejsy, a nie całe sieci.** Zastosowana tutaj maska wildcard wyznacza, które interfejsy należy dodać do strefy 0, w tym przypadku dodajemy wyłącznie interfejs z adresem IP 10.0.0.1\. Pamiętaj, że cała sieć 10.0.0.1/8 zostanie rozgłoszona poprzez LSU, nie tylko sam interfejs. **R1(config-router)#passive-interface gigabitEthernet 0/1** – Wyłącza interfejs z komunikacji w ramach ustalania sąsiedztwa w protokole OSPF oraz jego utrzymywania. Sprawdźmy czy konfiguracja działa. Pingujemy z PC3 do PC2. ``` C:\>ping 10.0.0.2 Pinging 10.0.0.2 with 32 bytes of data: Reply from 10.0.0.2: bytes=32 time=17ms TTL=126 Reply from 10.0.0.2: bytes=32 time<1ms TTL=126 Reply from 10.0.0.2: bytes=32 time<1ms TTL=126 Reply from 10.0.0.2: bytes=32 time<1ms TTL=126 Ping statistics for 10.0.0.2: Packets: Sent = 4, Received = 4, Lost = 0 (0% loss), Approximate round trip times in milli-seconds: Minimum = 0ms, Maximum = 17ms, Average = 4ms ``` ### Dodatkowe komendy, które warto znać ``` R1(config)#router ospf 1 R1(config-router)#router-id 10.0.0.1 ``` **R1(config-router)#router-id 10.0.0.1** – Parametr r**outer-id jest brany pod uwagę w procesie elekcji DR/BDR** w przypadku, gdy istnieje kilka routerów z takim samym, wygrywa ten z najwyższym priorytetem. Router-id pełni rolę identyfikatora urządzenia w procesie OSPF oraz znajduje się na liście sąsiadów. Warto zauważyć, że **router-id jest rozgłaszany tylko podczas nawiązywania sąsiedztwa**. Jeśli w przyszłości zechcesz zmienić ten parametr, konieczne będzie również wyczyszczenie procesu OSPF. ``` R1#clear ip ospf process ``` **R1#clear ip ospf process –** Całkowicie czyści wszystkie procesy. ``` R1(config)#interface gigabitEthernet 0/0 R1(config-if)#ip ospf priority 50 ``` **R1(config-if)# ip ospf priority 50** – Polecenie to ustawia wartość priorytetu interfejsu podczas elekcji DR/BDR. ``` R1(config)#interface gigabitEthernet 0/0 R1(config)#ip ospf cost 1586 ``` **R1(config)#ip ospf cost 1586** – Ten polecenie zmienia wartość kosztu przejścia pakietów przez dany interfejs. Domyślnie wartość tego parametru jest obliczana poprzez podzielenie przepustowości interfejsu przez wartość referencyjną. ``` R1(config)#ip route 0.0.0.0 0.0.0.0 gigabitEthernet 0/0 R1(config)#router ospf 1 R1(config-router)# default-information originate ``` **R1(config-router)# default-information originate** – Nasz router rozgłasza trasę domyślną do pozostałych sąsiadów w ramach swojego obszaru. 💡 Pamiętaj, że ta komenda powinna być zazwyczaj stosowana tylko na routerach ASBR – (Autonomous System Boundary Router). ``` R1> show ip protocols ``` **R1> show ip protocols** – Wyświetla informacje o wszystkich uruchomionych protokołach na routerze. ``` R1> show ip ospf ``` **R1> show ip ospf** – Wyświetla podstawowe informacje o działających procesach na routerze. ``` R1> show ip neighbor ``` **R1> show ip neighbor** – Wyświetla informacje o sąsiadach oraz ich aktualny status. ``` R1>show ip ospf database ``` **R1>show ip ospf database** – Wyświetla zawartość bazy danych OSPF na routerze ### Vlan - wszystko co musisz wiedzieć o wirtualnych sieciach LAN URL: https://innasiec.pl/konfiguracja-vlan-cisco-switch/ Last updated: 2024-07-01T13:30:41.000Z Sieć LAN (z języka angielskiego local area network), czyli sieć lokalna, obejmuje zazwyczaj wszystkie urządzenia znajdujące się na danym obszarze. Granice tej sieci zazwyczaj wyznacza router, który posiada połączenie z internetem. ### Ethernet W początkach standardu Ethernet wszystkie urządzenia były podłączone do jednego medium transmisyjnego. Każdy mógł się komunikować z każdym, ale w danym momencie tylko jeden host mógł przesyłać dane. **Mechanizm CSMA/CD (z ang. Carrier Sense Multiple Access with Collision Detection) wykrywał, kiedy łącze jest zajęte** i zapobiegał wysyłaniu danych w tym samym momencie przez więcej niż jednego nadawcę. Jeśli w danym czasie dwa urządzenia zaczęłyby wysyłać dane, ramki uległyby uszkodzeniu. Taką sytuację nazywamy kolizją. **W przypadku kolizji oba urządzenia przerywały transmisję, a następnie czekały losowy czas przed ponowną próbą wysłania danych**. Dzięki tej technice unikano konfliktów i zapewniano sprawną komunikację w sieci Ethernet. ### Huby Huby były pierwszymi urządzeniami sieciowymi, które umożliwiły zwiększenie liczby urządzeń podłączonych do jednej sieci. Nie posiadały jednak żadnej logiki. Przekazywały pakiety otrzymane na jednym porcie na wszystkie pozostałe. W rezultacie zwiększały domeny kolizyjne oraz rozgłoszeniowe. ![Kolizja pakietów w sieci z wykorzystaniem hub-a](https://innasiec.pl/content/images/2024/06/Domena-kolizyjna-huby.webp) ### Switche Następcami hubów są switche, inaczej nazywane przełącznikami. Pozwoliły one na ograniczenie domen kolizyjnych do pojedynczych połączeń pomiędzy urządzeniami. ![](https://innasiec.pl/content/images/2024/06/domena-kolizyjna-switch.webp) Wraz z rozwojem sieci rozwiązano problem half-duplexu, umożliwiając obu stronom transmisji przesyłanie danych naraz w trybie full-duplex. Dzięki temu **rozwiązano problem kolizji oraz zwiększono praktycznie dwukrotnie przepustowość łączy (half vs full duplex)**. Pozostają jednak **wyzwania związane z wielkością domen rozgłoszeniowych**, gdzie **pakiety broadcast** oraz **unknown unicast** są **przekazywane do wszystkich urządzeń**, a także kwestie separacji użytkowników oraz zapewnienia bezpieczeństwa. ### VLAN – Virtual LAN **Sieci VLAN pozwalają na logiczną agregację hostów na mniejsze podsieci w ramach jednej dużej sieci LAN**. Dzięki wirtualnym sieciom LAN możemy rozdzielić użytkowników w ramach jednego switcha, zamiast kupować nowe urządzenia dla każdej nowej grupy. Istnieje wiele powodów, dla których chcemy podzielić naszą sieć lokalną na mniejsze segmenty. Między innymi pozwala to na ograniczenie domen rozgłoszeniowych, co przekłada się na mniejszą ilość ruchu, którą muszą obsłużyć nasze urządzenia sieciowe. Również ze względów bezpieczeństwa separacja hostów jest bardzo ważna. Wyobraź sobie taką sytuację: prowadzisz firmę, w której zatrudniasz handlowców, księgowych i własny dział IT. Twoi księgowi potrzebują dostępu do systemów księgowych, handlowcy dostępu do internetu, a dział IT administracyjnego dostępu do urządzeń. Bez odseparowania sieciami VLAN wszyscy mieliby dostęp do wszystkiego, co jest oczywiście bardzo niepożądaną sytuacją. Zdecydowanie lepszym pomysłem jest ograniczenie dostępu tylko do niezbędnych zasobów przedsiębiorstwa. ![Podział użytkowników na osobne vlany w ramach jednego przełącznika](https://innasiec.pl/content/images/2024/06/sieci-vlan-w-praktyce.webp) ### Zalety stosowania VLAN-ów - Bezpieczeństwo - Zmniejszenie ruchu w sieci poprzez ograniczenie domen rozgłoszeniowych - Zmniejszenie kosztów ze względu na lepsze wykorzystanie dostępnych łączy - Łatwiejsze zarządzanie zasobami (agregacja użytkowników i urządzeń o podobnych wymaganiach) ### Rodzaje VLAN-ów VLANy można podzielić ze względu na ich identyfikator numeryczny: - **Podstawowe** – te, których ID wynosi od 1 do 1005 (1002-1005 są zarezerwowane i nie mogą być używane) - **Rozszerzone** – ID od 1006 do 4094 Możliwe jest również dokonanie podziału ze względu na ich przeznaczenie: - **Voice** – dla urządzeń korzystających z VoIP - **Management** – do separacji administracyjnego dostępu do urządzeń - **Data** – dla zwykłego ruchu generowanego przez użytkowników i urządzenia sieciowe - **Default** – podstawowy VLAN, do którego domyślnie przypisywane są wszystkie porty (VLAN 1) - **Native** – Ramki z tego VLANu przesyłane są poprzez trunk bez tagowania. ### Konfiguracja VLAN-ów Aby przedstawić konfigurację sieci VLAN, utworzymy trzy VLAN-y zgodnie z wcześniej przedstawionym przykładem: - **VLAN 10** – Dział Handlowy - **VLAN 20** – Dział Księgowy - **VLAN 30** – Dział IT ```Cisco Switch# configure terminal Switch(config)# vlan 10 Switch(config-vlan)# name Handlowy Switch(config-vlan)# vlan 20 Switch(config-vlan)# name Ksiegowy Switch(config-vlan)# vlan 30 Switch(config-vlan)# name IT Switch(config-vlan)# end ``` Samo utworzenie VLAN-ów nie wystarczy. Jak już wiesz, na nieskonfigurowanym switchu każdy port należy do domyślnego VLAN-u (VLAN 1). Musimy przypisać odpowiednie VLAN-y do portów. ``` Switch#conf t Enter configuration commands, one per line. End with CNTL/Z. Switch(config)#interface fastEthernet 0/1 Switch(config-if)#switchport access vlan 10 Switch(config-if)#interface fastEthernet 0/2 Switch(config-if)#switchport access vlan 20 Switch(config-if)#interface fastEthernet 0/3 Switch(config-if)#switchport access vlan 30 Switch(config-if)#end ``` Na koniec pozostaje jeszcze weryfikacja, czy wszystko działa poprawnie. ``` Switch# show vlan brief VLAN Name Status Ports ---- -------------------------------- --------- ------------------------------- 1 default active Fa0/4, Fa0/5, Fa0/6, Fa0/7 Fa0/8, Fa0/9, Fa0/10, Fa0/11 Fa0/12, Fa0/13, Fa0/14, Fa0/15 Fa0/16, Fa0/17, Fa0/18, Fa0/19 Fa0/20, Fa0/21, Fa0/22, Fa0/23 Fa0/24, Gig0/1, Gig0/2 10 Handlowy active Fa0/1 20 Ksiegowy active Fa0/2 30 IT active Fa0/3 1002 fddi-default active 1003 token-ring-default active 1004 fddinet-default active 1005 trnet-default active Switch#show interface status Port Name Status Vlan Duplex Speed Type Fa0/1 notconnect 10 auto auto 10/100BaseTX Fa0/2 notconnect 20 auto auto 10/100BaseTX Fa0/3 notconnect 30 auto auto 10/100BaseTX Fa0/4 notconnect 1 auto auto 10/100BaseTX Fa0/5 notconnect 1 auto auto 10/100BaseTX Fa0/6 notconnect 1 auto auto 10/100BaseTX ``` ### Trunk i tagowanie dot1Q **Domyślnie każdy port w switchu działa w trybie access (dostępowym) i przynależy wyłącznie do jednego VLAN-u**. Oznacza to, że na danym porcie ruch może odbywać się wyłącznie w ramach jednej sieci VLAN, do której należy. Co jednak w sytuacji, gdy potrzebujemy przesłać dane z więcej niż jednego VLAN-u przez dany port, na przykład między dwoma switchami? Wtedy należy taki port przestawić w tryb Trunk. Trunk to nic innego jak interfejs, który przesyła dane pochodzące z więcej niż jednego VLAN-u. ![Połączenie typu trunk pomiędzy dwoma przełącznikami](https://innasiec.pl/content/images/2024/06/trunk-pomiedzy-switchami.webp) P**rzed przesłaniem danych przez trunk, switch dodaje do ramki 32-bitowy tag, wykorzystując enkapsulację np. dot1q**. Wyjątkiem są dane pochodzące z vlanu natywnego (native vlan), które są przesyłane jako nietagowane. Skład vlan tagu obejmuje następujące pola: - **Tag protocol identifier (TPID)** 16 bitów, dla dot1Q wynoszący 0x8100 - **Priority code point (PCP)** 3-bitowe pole dla celów Class of Service, skrótowo QoS dla warstwy 2 - **Drop elgible indicator (DEI)** 1-bitowe pole wskazujące, czy pakiet może zostać odrzucony w przypadku problemów z przepustowością - **Vlan identifier (VLAN ID)** 12-bitowe pole wskazujące, z którego vlanu pochodzi pakiet. ### Konfiguracja trunk Konfiguracja portu, który ma pełnić funkcję trunk, jest bardzo prosta. ``` Switch#conf t Switch(config)#interface gig0/1 Switch(config-if)#switchport mode trunk ``` 💡 W przypadku starszych przełączników przed skonfigurowaniem interfejsu w trybie trunk, może być konieczne zdefiniowanie rodzaju enkapsulacji za pomocą polecenia: `switchport trunk encapsulation dot1q` ``` Switch#configure terminal Switch(config)# vlan 99 Switch(config-vlan)# name native Switch(config-vlan)# exit Switch(config)#interface gigabitEthernet 0/1 Switch(config-if)#switchport trunk native vlan 99 Switch(config-if)#switchport trunk allowed vlan 2-98,100-1001 Switch(config-if)#end ``` Do modyfikacji, jakie VLAN-y mogą zostać przesłane przez trunk, służą dodatkowe modyfikatory: - **all:** wszystkie VLAN-y dozwolone - **add:** dodaje VLAN-y do listy dozwolonych - **remove:** usuwa VLAN-y z listy - **none:** żaden VLAN nie może być przesyłany - **except:** wszystkie VLAN-y oprócz podanych ### OSPF - Routing w oparciu o link state | teoria URL: https://innasiec.pl/podstawy-ospf-teoria/ Last updated: 2024-06-25T19:49:18.000Z Ospf (ang. Open Shortest Path First) jest obecnie jednym z najczęściej wybieranych protokołów IGP. Podobnie jak [EIGRP](https://innasiec.pl/eigrp-protokol-routingu-distance-vector/?ref=amigurumi-polecat.pikapod.net) czy IS-IS, działa w ramach jednej domeny autonomicznej, co oznacza, że zajmuje się routowaniem w obrębie sieci zarządzanej przez jedną firmę lub organizację. **Współcześnie stosujemy OSPF w wersji 2 dla IPv4 oraz w wersji 3 dla IPv6.** **Protokół OSPF cieszy się popularnością, ponieważ:** - Wykorzystuje algorytm SPF (Dijkstry) do wybierania najlepszej trasy - Jest bardzo prosty do wdrożenia w podstawowej konfiguracji - Posiada szeroki zakres opcji konfiguracyjnych - Posiada 5 różnych rodzajów obszarów, które określają wspólną politykę wobec tras spoza obszaru (normal, stub, totally stub, not so stubby, totally not so stubby) - Posiada hierarchiczną strukturę obszarów - Wszystkie routery w danym obszarze są świadome wszystkich możliwych tras, co umożliwia bardzo szybką konwergencję - Przy odpowiedniej konfiguracji można osiągnąć konwergencję w zaledwie kilka milisekund. - Posiada podstawowe mechanizmy bezpieczeństwa > Nawigacja w Twoim aucie korzysta z algorytmu SPF do wyznaczania trasy – dokładnie tego samego algorytmu używa OSPF. > > Wszystko to możliwe jest dzięki Panu o nazwisku **Dijsktra** – dzięki stary! *😉* Nie bez znaczenia jest również fakt, że **OSPF był od samego początku protokołem otwartym, który działa na sprzęcie każdego producenta.** W przeciwieństwie do wspomnianego już EIGRP, który przez pewien czas był dostępny jedynie dla routerów Cisco. ### Protokół routingu na podstawie stanu łącza **OSPF** wraz z **IS-IS** należą do grupy **protokołów routingu typu link-state**. Oznacza to, że **każdy router w danym obszarze, zwanym area, posiada identyczną bazę topologii, na podstawie której wybiera najkorzystniejszy wpis do tablicy routingu**. Jednakże wraz ze wzrostem liczby routerów w danym obszarze, wzrasta także liczba przesyłanych pakietów. W celu ograniczenia tego zjawiska routery są dzielone hierarchicznie na obszary. Z centralnie umieszczonym obszarem 0 (ang. area 0, backbone), przez który muszą przechodzić wszystkie informacje. 💡 ****OSPF jest protokołem link state jedynie wewnątrz obszaru**, informacje o podsieciach są rozsyłane przez routery brzegowe – ****ABR i ASBR** – w formie ****zsumaryzowanej informacji (gotowych ścieżek)**. Oznacza to, że między obszarami OSPF zachowuje się jak protokół distance-vector. Podstawowymi **cechami odróżniającymi protokoł OSPF od protokołów typu distance-vector** są: - **Metryki/koszty przejścia** pakietu przez dany link - **Oszczędność pasma**, ponieważ uaktualnienia są wysyłane jedynie w przypadku zmiany stanu łącza, a nie w formie okresowych rozgłoszeń - **Szybka konwergencja** – zdolność do uzyskania stanu stabilnego po wykryciu zmiany w drzewie połączeń sieciowych - **Struktura hierarchiczna** – zastosowanie obszarów w celu zmniejszenia liczby przesyłanych pakietów, z centralnie położonym obszarem 0 (backbone) - **Wsparcie dla VLSM (Variable Length Subnet Mask)** – cecha niektórych protokołów trasowania umożliwiająca podzielenie i rozróżnianie podsieci z już istniejących sieci - **Możliwość uwierzytelniania sąsiadów** – przyległych routerów w rozumieniu konkretnej instancji OSPF ### Koszt i metryka OSPF Koszt danego łącza obliczamy poprzez podzielenie referencyjnej przepustowości (wartość referencyjna może być dowolnie skonfigurowana) przez przepustowość interfejsu. W danym obszarze **wszystkie routery powinny mieć taką samą wartość referencyjną, najlepiej odpowiadającą najszybszemu interfejsowi.** **Koszt** \= **Referencyjna przepustowość / przepustowość interfejsu** Przykład: Koszt = 100 Mbps / 100 Mbps = 1 Jeśli potrzebujesz większej kontroli nad ruchem w Twojej sieci, możesz ręcznie dostosować koszt dla każdego z interfejsów. Po obliczeniu kosztów dla każdej trasy do podsieci (suma wszystkich kosztów interfejsów w drodze do celu), router umieszcza trasę z najniższym kosztem w tablicy routingu. Należy pamiętać, że g**dy istnieje więcej niż jedna ścieżka o takim samym koszcie prowadząca do danej podsieci, możliwe jest zastosowanie równoważenia obciążenia**, które jest realizowane przez CEF (Cisco Express Forwarding). ### Topologie sieci OSPF Komunikacja pomiędzy urządzeniami zależy od fizycznego medium, które je łączy. Wyróżniamy 5 rodzajów topologii: - point-to-point, - point-to-multipoint, - Broadcast Multiaccess, - Nonbroadcast Multiaccess, - Virtual Links. ### Sieć typu punkt-punkt (Point to Point) O sieciach punkt-punkt mówimy, gdy dwa routery są połączone bezpośrednio. Medium transmisyjne jest wykorzystywane jedynie do komunikacji między nimi. **Z uwagi na jednoznaczną relację przylegania, nie ma potrzeby przeprowadzania elekcji DR i BDR**. Przykładem takiej sieci są połączenia szeregowe. Nawet interfejsy Ethernet, które są bezpośrednio ze sobą połączone kablem, są traktowane jako topologia typu broadcast i wymagają zmiany na punkt-punkt za pomocą polecenia network-type point-to-point. ### Sieć typu punkt-wielopunkt (Point to Multipoint) Sieci punkt-wielopunkt występują, gdy jeden interfejs łączy się z wieloma innymi. Taka grupa połączeń jest traktowana jako sieć punkt-punkt zawarta w jednym interfejsie. **W tym przypadku nie ma konieczności wyboru DR i BDR**. ### Sieć typu Broadcast Multiaccess Do sieci wielodostępnych zaliczamy między innymi sieci Ethernet. W takim modelu możliwe jest rozsyłanie informacji do wszystkich hostów w sieci, a medium jest współdzielone. **W związku z tym niezbędny jest wybór DR oraz BDR, aby zapobiec nadmiernemu tworzeniu się połączeń przylegania**. Pakiety hello są rozsyłane na adres multicastowy 225.0.0.5. ### Sieć typu Nonbroadcast Multiaccess Sieci punkt-wielopunkt, które z jakiegoś powodu nie umożliwiają rozsyłania pakietów broadcastowych i multicastowych, nazywamy właśnie sieciami typu wielodostęp niemultikierunkowy. **Fizycznie taka sieć jest realizowana w połączeniach punkt-punkt i konieczne jest przeprowadzenie elekcji DR i BDR**. Pakiety LSA rozsyłane są na adresy unicastowe. ### Połączenia wirtualne (Virtual Links) Każdy obszar w danej sesji OSPF powinien przylegać bezpośrednio do obszaru 0 (obszaru backbone). Jednak zdarza się, że nie ma takiej możliwości i wtedy należy utworzyć połączenie wirtualne poprzez obszary pośredniczące, tak aby ostatecznie osiągnąć relacje przylegania z obszarem backbone. ![Poglądowy schemat gdzie tworzone są relacje DR-BDR oraz DRother](https://innasiec.pl/content/images/2024/06/OSPF-DR-BDR.webp) ### Nawiązywanie relacji przylegania Kiedy podłączamy nowy router do obszaru, nie wystarczy połączyć go z siecią, aby otrzymał on wszystkie informacje od sąsiednich urządzeń. Konieczne jest wcześniejsze zsynchronizowanie tablic topologii oraz obliczenie nowych tras na routerach w danym obszarze. Pierwszym krokiem w tym procesie jest nawiązanie relacji przylegania. Routery przechodzą wtedy kolejno przez następujące stany: 1. **Stan Down** – Router wysyła pakiety Hello na multicastowy adres 224.0.0.5 (AllSPFRouters), informując o swojej obecności w sieci. Pola adresów DR i BDR w danym obszarze zawierają wartość 0.0.0.0\. 2. **Stan Init** – Router oczekuje na odpowiedź od innych routerów pracujących w tym samym obszarze. Okres oczekiwania zazwyczaj wynosi czterokrotność timera pakietu Hello (na routerach Cisco jest to 10 sekund). Z odebranych pakietów router dowiaduje się o adresach DR i BDR. Jeśli nie otrzyma takiej informacji, rozpoczyna proces wyboru nowego DR i BDR. Router z najwyższym ID zostaje wybrany na DR. Zwycięzca elekcji dodaje nowy router do swojej tablicy topologii oraz wysyła swoje ID wraz z listą wszystkich znanych sąsiadów. 3. **Stan Two-way** – Nowo dołączony router widzi swoje ID w uzyskanej liście sąsiadów, co powoduje nawiązanie poprawnego sąsiedztwa między routerami. 4. **Stan Exstart** – Bazując na adresie IP, router o wyższym adresie uzyskuje pierwszeństwo w rozpoczęciu procedury wymiany informacji. 5. **Stan Exchange** – Routery wymieniają się pakietami DDP (Database Description Packet). Ponieważ nowy router nie ma żadnej wiedzy o topologii obszaru poza bezpośrednio sąsiadującymi urządzeniami, otrzymuje ją od DR, który wysyła serię pakietów DDP zawierających informacje o obszarze. Przyłączone sieci nazywane są linkami. 6. **Stan Loading** – Ponieważ pakiety DDR zawierają tylko zsumowane informacje o połączeniach, nowy router może potrzebować dodatkowych informacji o konkretnym łączu. Wysyła wtedy żądanie LSR (Link State Request) do DR i oczekuje odpowiedzi w postaci pakietu LSU (Link State Update). 7. **Stan Full** – Wszystkie routery posiadają taką samą bazę topologii oraz znają wszystkie linki w danym obszarze. ### Rodzaje pakietów LSA - **Router-link (LSA typ 1)** – zawiera informacje o wszystkich połączeniach routera oraz listę wszystkich sąsiadów. Ten rodzaj LSA jest rozsyłany tylko w obrębie obszaru i jest wysyłany przez każdego routera uczestniczącego w procesie OSPF. - **Network-link (LSA typ 2)** – Wysyłany przez router DR, zawiera listę wszystkich routerów w danym obszarze, dla których działa jako DR i z którymi nawiązał sąsiedztwo. Ten rodzaj LSA jest rozsyłany tylko w obrębie obszaru. - **Summary link (LSA typ 3)** – przekazywane między obszarami, podsumowują informacje o sieciach w danym obszarze. Są tworzone przez ABR. - **ASBR Summary** **(LSA typ 4)** – przekazywane między obszarami, zawierają informacje o lokalizacji ASBR. W pakiecie LSA 4 znajdują się informacje o ABR, który wysłał pakiet, oraz o ASBR, do którego można dotrzeć dzięki niemu. - **External link (LSA typ 5)** – zawiera informacje o sieciach redystrybuowanych z innych protokołów lub innych instancji OSPF. Rozsyłane są przez ASBR. Wyróżniamy 2 podtypy: - **Typ 1** – metryka jest sumą kosztu dojścia po OSPF oraz metryki zewnętrznego protokołu; - **Typ 2** – metryka obejmuje jedynie koszt zewnętrznego protokołu; - **Multicast LSA (LSA typ 6)** \- nieobsługiwane i nieużywane.. - **NSSA External Link (LSA typ 7)** – to specjalny typ stworzony dla obszarów NSSA i służy do przekazywania informacji o sieciach redystrybuowanych. Podobnie jak LSA 5, ma 2 typy. Tworzone są przez ASBR. ![](https://innasiec.pl/content/images/2024/06/OSPF-Routing-Link-State.webp) ### O czym należy pamiętać przy sumaryzacji? Router **ABR dokonuje sumaryzacji na granicy jednego lub więcej obszarów** w danej instancji OSPF. Z kolei **ASBR dokonuje sumaryzacji i redystrybucji na granicy systemu autonomicznego**, znanego jako AS. Pamiętaj, że sumaryzować można tylko podsieci, które przylegają do obszaru i które router ma w swojej tablicy routingu. **Krótkie podsumowanie dotyczące sumaryzacji:** - Sumaryzacji mogą dokonywać jedynie ABR-y i ASBR-y. - Można sumaryzować do dowolnego rozmiaru podsieci (podsieć musi być oczywiście potęgą liczby 2). - Sumaryzację należy skonfigurować ręcznie, uważnie planując sieć przy podziale na obszary. ### Rodzaje obszarów w OSPF **Backbone Area** – nazywany również obszarem 0\. Wszystkie obszary muszą przylegać bezpośrednio do tego obszaru lub poprzez wirtualne łącze. W nim rozsyłane są wszystkie rodzaje pakietów LSA, a pakiet typu 7 LSA jest konwertowany na typ 5 LSA. **Standard Area** – obszar dołączony do obszaru 0\. Każdy router posiada pełną wiedzę o topologii obszaru, do którego należy, oraz bazę topologii. **Stub Area** – obszar, w którym nie akceptuje się informacji o podsieciach pochodzących z redystrybucji poprzez zablokowanie pakietów typu 5 LSA. Dozwolona jest wymiana informacji z innymi obszarami w ramach jednej instancji OSPF. Aby wysłać pakiety do innych podsieci spoza OSPF, stosujemy trasę domyślną. **W obszarze stub nie powinien występować ASBR.** **Totally Stub Area** – obszar, który nie akceptuje żadnych pakietów LSA zawierających zsumaryzowane informacje o innych podsieciach (pakietów LSA 3, 4, 5) spoza obszaru TSA. Pakiety kierowane do podsieci spoza obszaru OSPF są przesyłane za pomocą trasy domyślnej. **Not So Stubby Area (NSSA)** – obszary te nie akceptują informacji z redystrybucji, co oznacza blokadę pakietów typu 4 i 5 LSA. Dozwolone są jednak informacje sumaryczne. Informacje o trasach z innych obszarów są rozpowszechniane wewnątrz obszaru NSSA za pomocą pakietów LSA 7\. Informacje o trasach z obszaru NSSA do innych obszarów są przesyłane tylko przez routery ABR po konwersji na typ 5 LSA. **W przeciwieństwie do obszaru stub, w NSSA może występować ASBR**. Obszary typu **stub** oraz **Totally Stub** nie akceptują pakietów typu 5 LSA. Dlatego nałożone są na nie pewne ograniczenia. **Niedozwolone są następujące działania:** - Przekazywanie informacji o trasach spoza danego obszaru - Tworzenie wirtualnych połączeń (virtual links) - Redystrybucja tras z innych protokołów routingu do innych - Brak routerów działających jako ASBR - Wszystkie routery w tym obszarze muszą być typu stub - Obszary te nie mogą być obszarami 0 (obszarem głównym) ### Wszystko co musisz wiedzieć o CCNA Security 2.0 URL: https://innasiec.pl/ccna-security-2-0/ Last updated: 2024-06-26T12:54:37.000Z # CCNA Security – co to jest dokładnie? **CCNA Security to specjalistyczny kurs dotyczący bezpieczeństwa sieci za pomocą rozwiązań Cisco.** Jeśli do tej pory skróty takie jak ESA, WSA, IPS brzmiały dla Ciebie co najmniej egzotycznie, cóż po tym kursie będziesz z łatwością posługiwał się tymi terminami. Do pełnego zrozumienia materiału wymagana jest wiedza na poziomie CCENT, ponieważ część rozwiązań dotyczących bezpieczeństwa jest zawarta już w ICDN I. **Do uzyskania tytułu, obowiązkowe jest posiadanie ważnego certyfiakty CCNA R&S lub wyższego.** W programie przewidziano powtórkę z ACL oraz bezpieczeństwa warstwy drugiej oraz mocno rozszerzono tematykę zabezpieczania dostępu do urządzeń sieciowych. Położono również większy nacisk na konfigurację firewalli oraz VPN. Akademia **Cisco CCNA Security** jest przewidziana na jeden semestr, tak więc jeśli masz już **CCNA R&S** w kilka tyogdni możesz zdobyć kolejny moim zdaniem ciekawy certyfikat. ## Co zostało zmienione? Cisco podążając za obecnymi na rynku trendami ( albo i nadganiając zaległości) dodało do egzaminu: - **802.1x** – standard IEEE kontroli dostępu do sieci przewodowych i bezprzewodowych - **Cisco Identity Services Engine (ISE)** – rozwiązanie Cisco do zarządzania polityką dostępu do sieci urządzeń końcowych - **Bring Your Own Device (BYOD)** - **Cisco Cloud Web Security (CWS)** - **Cloud & Virtualization** ## Co zostało zaktualizowane? Sekcja dotycząca **Intrusion Prevention System** w skrócie IPS doczekała się aktualizacji oraz poszerzenia. I oprócz dotychczasowego materiału doszły nam rozwiązania **Cisco Next-Generation Intrusion Prevention System** w skrócie **NGIPS,** takie jak usługi **FirePOWER (usługa firewalla)**, **FireSIGHT Management Center,** and **Cisco Advanced Malware Protection (AMP).** Sekcja dotycząca kryptografii również doczekała nowości. Pożegnano algorytmy MD5 oraz DES, a wprowadzono SSL, RSA, DH i inne. Położono również większy nacisk na umiejętność pracy w CLI. Zmiejszono za to nacisk na **ACL (access cotrol** **list)** które teraz są już na poziomie CCENT. Standardowo już, aby było trudniej się zorientować co się zmieniło i dlaczego tak mało, wszystkie sekcje i podsekcje dostały nowe nazwy. ### Wszystkie nowości w CCNA v3.0 URL: https://innasiec.pl/wszystkie-nowosci-ccna-v3-0/ Last updated: 2024-06-26T12:54:47.000Z ## Umarł król, niech żyje król Dobiegł końca 3 letni okres kadencji **certyfikacji CCNA 200-120** oczywiście w wersji Routing & Switiching. Cisco po raz kolejny stara się dopasować nową wersję do obecnych standardów rynkowych oraz uwzględnia widoczne trendy. Jednak już patrząc na samą zmianę numeracji wersji egzaminu na **CCNA 200-125** widać, że wprowadzone zmiany to ewolucja, a nie rewolucja. Czy to dobrze? Uważam, że tak. Technologie sieciowe starzeją się bardzo powoli, w końcu to ogromny biznes który musi gwarantować jak najwyższą możliwą kompatybilność oraz dostępność. ## Krótko o certyfikacji 1. Egzamin nadal zdajemy w **Person VUE** 2. Możemy podejść do jednego dużego egzaminu **CCNA 200-125** lub zdać 2 mniejsze: 1. **ICND1 (100-105)** po 2 drugim semestrze akademii. Po zdaniu otrzymujemy **certyfikat CCENT** 2. **ICND2 (200-105)** po 4 semestrze akademii. Po zdaniu egzaminu razem z ICND1 otrzymujemy **certyfikat CCNA** 3. Egzamin nadal trwa 90minut plus bonusowe 15minut dla osób dla których angielski nie jest podstawowym językiem ## Co usunięto? 1. Porównanie mostków (bridges) i koncentratorów (hubs) 2. VSAT, ISDN, Frame Relay, T1/E1, DSL. cellular 3. Opisy VRRP oraz GLBP 4. Troubleshoot warstwy 1 – są omówione najczęstsze przypadki, ale wyłącznie opisowo 5. Monitoring NetFlow ## Co dodano? 1. Cloud ( Cisco wprowadziło nawet nową ścieżkę **certyfikacji CLOUD**) 2. LLDP 3. VTP 4. Konfiguracja wielu arei OSPF w wersji 2 (IP v4) oraz 3( IP v6) 5. Konfiguracja EIGRP w wersji dla IP v6 6. Konfiguracja RIP v2 7. MLPPP 8. DMVPN 9. eBGP 10. QoS 11. 802.1X 12. DHCP Snooping 13. ACL dla IPv6 14. API-EM Path Trace ACL Analyst Tool 15. ICMP Echo-based IP SLA 16. SPAN 17. Network Programmability 18. SDN Wyrażnie widać mocniejszy nacisk położony na IP w wersji 6 oraz protokoły i technologie z tym związane. Nie zabrakło oczywiście również wstępu do SDN i cloud co uważam za świetne posunięcie, jest to zdecydowanie kierunek w którym warto się rozwijać, a już na pewno należy znać podstawy. ### Na dobry początek.... URL: https://innasiec.pl/na-dobry-poczatek/ Last updated: 2024-07-01T13:34:57.000Z Drogi czytelniku jest mi niezmiernie miło, że postanowiłeś odwiedzić mój blog, pozwól, że się przedstawię i opowiem Ci trochę o tym, czego możesz w tym miejscu się spodziewać. Nazywam się Rafał i jestem pasjonatem sieci komputerowych który oprócz wewnętrznej potrzeby poszerzania własnej wiedzy, ma ochotę dzielenia się swoją wiedzą i doświadczeniem. Zdecydowanie nie jestem sieciową alfą i omegą, daleko mi również do eksperta, jednakże chciałbym stworzyć miejsce wypełnione przydatnymi treściami do których sam chciałbym się zwrócić w potrzebie. Na co dzień zajmuje się monitorowaniem i reagowaniem na incydenty głównie w obszarze sieci WAN i MAN. Jeśli interesują Cię szczegóły mojej pracy zawodowej zapraszam do odwiedzenia mojego profilu na [Linkedin](http://www.linkedin.com/in/rafalrudewicz?ref=innasiec.pl) lub po prostu napisz do mnie korzystając z [formularza](https://innasiec.pl/kontakt/). ## Dla kogo jest ten blog? Dla każdego kto choć trochę interesuje się sieciami komputerowymi i choć trochę chce poszerzać swoją wiedzę, Zarówno studenci poszukujący gotowych rozwiązań swoich studenckich zadań, jak i osób aktywnie działających w branży szukających prostych i zwięzłych odpowiedzi znajdą tutaj ( mam taką nadzieję) coś dla siebie. ## Czego możesz spodziewać się na blogu? - Materiałów które pomogą Tobie i mnie przygotować się do egzaminów - Przykładów z budowy sieci i praktycznych rozwiązań - Cheatsheet’ów abyś nie musiał przeszukiwać już całego internetu - Własnych przemyśleń na temat sieci i tematyki która dotyczy osób pracujących lub chcących zacząć pracę jako sieciowiec ## Jak często będą pojawiać się teksty na blogu? Teksty powinny pojawiać w zależności od poruszanej tematyki, od zaledwie kilku do kilkunastu w miesiącu. Ceniąc sobie Twój i swój czas wolałbym uniknąć składania wiążących obietnic i umieszczania na blogu treści z których jakości nie będę zadowolony. Na pierwszy ogień z pewnością pójdzie kompletny kurs CCNA oraz pewne dodatki ze stajni Nokii (poprzednio Alcatel-Lucent) w końcu ich szkolenia i sprzęt wcale nie są gorsze. Jeśli masz pomysł na artykuł, chętnie zapoznam się z Twoją propozycją. Nie wahaj się również ani chwili zadać nurtujących Cię pytań. Życzę miłej lektury i do przeczytania!