Warstwa druga modelu OSI odpowiada za niezawodne przesyłanie danych między sąsiednimi węzłami sieciowymi w obrębie tego samego segmentu. Operuje ona na jednostkach danych zwanych ramkami (ang. frames), które są enkapsulacją pakietów z warstwy trzeciej. Przełączniki podejmują decyzje o przekazywaniu ramek wyłącznie na podstawie adresów MAC źródła i przeznaczenia.

W przeciwieństwie do warstwy pierwszej, która zajmuje się transmisją bitów surowego sygnału, warstwa druga wykrywa błędy powstałe podczas fizycznego przesyłu za pomocą sumy kontrolnej FCS, lecz ich nie koryguje ani nie retransmituje ramek. Ramkę Ethernet poprzedza preambuła i znacznik początku ramki (SFD), a kończy pole FCS; w polu adresowym znajdują się adresy MAC, a dalej pole długości lub typu oraz dane użyteczne. Bez poprawnego działania warstwy łącza dane wyższe warstwy nie mogłyby być niezawodnie transportowane nawet w prostej sieci lokalnej.

Skróty użyte w tym slajdzie:
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
STP - Spanning Tree Protocol (protokół drzewa rozpinającego) - protokół warstwy 2 budujący logiczne drzewo bez pętli i blokujący nadmiarowe porty.
FCS - Frame Check Sequence (sekwencja kontrolna ramki) - pole z sumą kontrolną na końcu ramki służące do wykrywania błędów transmisji.
SFD - Start Frame Delimiter (znacznik początku ramki) - bajt oznaczający początek właściwej ramki Ethernet po preambule.

Koncentrator (hub) powiela każdy odebrany sygnał elektryczny na wszystkich pozostałych portach, nie analizując przy tym adresacji ani treści ramki. W rezultacie wszystkie urządzenia podłączone do huba współdzielą to samo medium transmisyjne, a każda kolizja powoduje konieczność retransmisji dla wszystkich nadawców jednocześnie. W sieci Ethernet opartej na hubach wydajność gwałtownie spada wraz ze wzrostem liczby urządzeń, ponieważ wzrasta prawdopodobieństwo kolizji.

W skrajnym przypadku, gdy dwa urządzenia nadają w tej samej chwili, ich sygnały nakładają się i ulegają zniekształceniu, co unieważnia obie transmisje. Protokół CSMA/CD wymaga wówczas od obu nadawców odczekania losowego czasu przed ponowną próbą wysłania danych. To właśnie ten problem - globalna domena kolizyjna - stał się główną motywacją do wprowadzenia urządzeń zdolnych do segmentacji ruchu na warstwie drugiej.

Skróty użyte w tym slajdzie:
CSMA/CD - Carrier Sense Multiple Access with Collision Detection (wielodostęp z nasłuchiwaniem nośnej i wykrywaniem kolizji) - protokół dostępu do współdzielonego medium Ethernet, który wykrywa kolizje i zarządza retransmisją.

Warstwa łącza danych (ang. Data Link Layer) jest drugą warstwą modelu OSI i stanowi pośrednika między transmisją fizyczną a komunikacją sieciową wyższych warstw. Została podzielona na dwie podwarstwy: LLC (Logical Link Control) odpowiedzialną za multipleksację protokołów sieciowych oraz MAC (Media Access Control) zarządzającą dostępem do medium fizycznego. Podział ten umożliwia współistnienie różnych technologii warstwy drugiej, takich jak Ethernet, Wi-Fi czy PPP, pod wspólnym interfejsem LLC.

Podwarstwa MAC jest ściśle związana z konkretnym typem medium i określa reguły, według których urządzenia uzyskują prawo do nadawania. LLC natomiast zapewnia identyfikację protokołu warstwy trzeciej (np. IPv4 lub IPv6) poprzez pola DSAP i SSAP, które występują w ramkach IEEE 802.2/802.3, a nie w ramkach Ethernet II, gdzie protokół wskazuje pole EtherType. Dzięki temu ramka może przenosić dane różnych protokołów sieciowych, a stacja odbierająca wie, do którego stosu protokołów przekazać odebrane dane.

Skróty użyte w tym slajdzie:
LLC - Logical Link Control (kontrola łącza logicznego) - podwarstwa warstwy łącza danych odpowiedzialna za multipleksację protokołów i kontrolę logicznego połączenia.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
IPv4 - Internet Protocol version 4 (protokół internetowy w wersji 4) - wersja protokołu IP używająca 32-bitowych adresów.
IPv6 - Internet Protocol version 6 (protokół internetowy w wersji 6) - wersja protokołu IP używająca 128-bitowych adresów.
DSAP - Destination Service Access Point (docelowy punkt dostępu do usługi) - pole nagłówka LLC wskazujące protokół odbiorcy.
SSAP - Source Service Access Point (źródłowy punkt dostępu do usługi) - pole nagłówka LLC wskazujące protokół nadawcy.
PPP - Point-to-Point Protocol (protokół punkt-punkt) - protokół warstwy łącza danych służący do transmisji pakietów przez połączenie punkt-punkt.

Adres MAC (Media Access Control) to 48-bitowy identyfikator przypisywany fabrycznie każdemu interfejsowi sieciowemu, zapisywany w pamięci EEPROM lub flash karty sieciowej. Pierwsze 24 bity stanowią identyfikator producenta (OUI - Organizationally Unique Identifier) nadawany przez IEEE, a pozostałe 24 bity są unikatowym numerem nadanym przez producenta. Adres ten jest powszechnie zapisywany w formacie szesnastkowym z dwukropkami, np. 00:1A:2B:3C:4D:5E.

Choć adres MAC jest nazywany adresem fizycznym, można go zmienić programowo w systemie operacyjnym, co jest stosowane w mechanizmach maskowania lub wirtualizacji. Adres MAC typu broadcast (FF:FF:FF:FF:FF:FF) służy do wysyłania ramek do wszystkich urządzeń w segmencie sieci, natomiast adresy multicast mają ustawiony najmniej znaczący bit pierwszego oktetu (bit I/G) na 1. IEEE prowadzi publicznie dostępny rejestr OUI, co pozwala jednoznacznie zidentyfikować producenta karty sieciowej na podstawie jej adresu MAC.

Skróty użyte w tym slajdzie:
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
OUI - Organizationally Unique Identifier (unikalny identyfikator organizacji) - pierwsze 24 bity adresu MAC przypisywane przez IEEE i identyfikujące producenta interfejsu.
EEPROM - Electrically Erasable Programmable Read-Only Memory (elektrycznie kasowalna programowalna pamięć tylko do odczytu) - pamięć nieulotna, w której zapisywany jest fabrycznie adres MAC.

Most (bridge) był pierwszym urządzeniem wprowadzającym inteligentną segmentację sieci Ethernet, działającym w całości na warstwie łącza danych. Dysponował zazwyczaj zaledwie dwoma portami i podejmował decyzje o przekazywaniu ramek na podstawie analizy adresów MAC, co odróżniało go od pasywnych koncentratorów. Ponieważ most opierał się na przetwarzaniu programowym przy użyciu ogólnego procesora, jego przepustowość była ograniczona do kilku tysięcy ramek na sekundę. Mosty są rozwiązaniem historycznym, zastąpionym przez przełączniki.

Most działał w trybie store-and-forward - odbierał całą ramkę, sprawdzał sumę kontrolną FCS, a dopiero potem decydował o retransmisji na drugi port. Opóźnienie wnoszone przez most zależało od implementacji i obciążenia, a w rozwiązaniach historycznych było znaczne, co stawało się problemem przy większym obciążeniu. Mimo tych ograniczeń mosty zrewolucjonizowały sieci lokalne, ponieważ umożliwiły podział jednej domeny kolizyjnej na dwa odizolowane segmenty, znacząco redukując liczbę kolizji.

Skróty użyte w tym slajdzie:
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
FCS - Frame Check Sequence (sekwencja kontrolna ramki) - pole z sumą kontrolną na końcu ramki służące do wykrywania błędów transmisji.

Mechanizm uczenia się mostu polega na analizie adresu źródłowego każdej odebranej ramki i zapisaniu go w tablicy MAC wraz z numerem portu, na którym ramka została odebrana. Jeśli most odbierze ramkę od nadawcy A na porcie 1, zapamiętuje, że adres A znajduje się za portem 1 i nie będzie już przesyłał ramek do A przez drugi port. Proces ten, w pełni automatyczny, nosi nazwę uczenia się wstecznego (ang. backward learning).

Wpis dla danego adresu jest aktualizowany, gdy urządzenie pojawi się na innym porcie. Tablica MAC mostu ma ograniczoną pojemność, a nieużywane wpisy są usuwane po upływie czasu życia (ang. aging time), który domyślnie wynosi 300 sekund. Gdy most otrzymuje ramkę z nieznanym adresem docelowym, wysyła ją na wszystkie porty z wyjątkiem portu źródłowego - jest to mechanizm zalewania (ang. flooding). Dzięki uczeniu się tablica MAC budowana jest dynamicznie bez potrzeby ręcznej konfiguracji, co było kluczową innowacją w stosunku do wcześniejszych rozwiązań.

Skróty użyte w tym slajdzie:
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.

Przełącznik (switch) jest ewolucyjnym następcą mostu, który zastąpił przetwarzanie programowe dedykowanymi układami ASIC (Application-Specific Integrated Circuit). Zastosowanie ASIC pozwoliło na podejmowanie decyzji o przekazywaniu ramek w czasie rzeczywistym, przy opóźnieniach rzędu kilku mikrosekund; wartość ta jest orientacyjna i zależy od platformy oraz funkcji. Przełączniki oferują obecnie od kilku do kilkuset portów, obsługując prędkości od 100 Mb/s do 800 Gb/s na jednym porcie.

Wewnętrzna architektura przełącznika opiera się na macierzy połączeniowej (ang. switch fabric), która umożliwia równoczesne zestawienie wielu ścieżek transmisyjnych między różnymi parami portów. Każdy port przełącznika dysponuje własnym buforem i kontrolerem MAC, co pozwala na niezależne negocjowanie prędkości i dupleksu. Współczesne przełączniki obsługują także zaawansowane funkcje warstwy trzeciej, takie jak trasowanie VLAN-ów czy QoS, zacierając granicę między przełącznikiem a routerem.

Skróty użyte w tym slajdzie:
ASIC - Application-Specific Integrated Circuit (układ scalony do zastosowań specjalnych) - wyspecjalizowany układ sprzętowy realizujący przekazywanie ramek z dużą szybkością.
CAM - Content-Addressable Memory (pamięć adresowalna zawartością) - pamięć sprzętowa przechowująca tablicę adresów MAC i przeszukiwana jednocześnie po zawartości.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
QoS - Quality of Service (jakość usług) - mechanizmy priorytetyzacji i kontroli ruchu sieciowego.

Każdy port przełącznika tworzy oddzielną domenę kolizyjną, co oznacza, że kolizja na jednym porcie nie wpływa na transmisję na żadnym innym porcie. W praktyce, jeśli do przełącznika podłączone są 24 urządzenia, mamy 24 niezależne domeny kolizyjne, podczas gdy w hubie o tej samej liczbie portów istnieje tylko jedna wspólna domena. Eliminacja współdzielenia medium pozwala każdej parze urządzeń komunikować się bez ryzyka wzajemnych zakłóceń.

Segmentacja domen kolizyjnych jest realizowana przez wewnętrzną logikę przełącznika, która izoluje ruch na poszczególnych portach do czasu podjęcia decyzji o przekazaniu ramki. Jeśli ramka ma być dostarczona do odbiorcy znajdującego się na tym samym porcie nadawcy, przełącznik nie transmituje jej na żadne inne porty. Dzięki temu całe pasmo łącza jest dostępne wyłącznie dla pary komunikujących się urządzeń, a nie współdzielone przez wszystkie stacje w sieci.

Domena kolizyjna to zbiór urządzeń sieciowych, których transmisje mogą ze sobą kolidować, gdy dwa lub więcej z nich nadaje jednocześnie. W sieci opartej na hubie każda karta sieciowa musi nasłuchiwać medium przed nadawaniem, a w razie wykrycia kolizji zastosować algorytm wykładniczego wycofania (ang. exponential backoff). Im więcej urządzeń znajduje się w tej samej domenie kolizyjnej, tym większe jest prawdopodobieństwo kolizji i tym niższa wypadkowa przepustowość sieci.

Przełącznik likwiduje wspólną domenę kolizyjną, ponieważ każdy port stanowi odizolowany segment. Dwie stacje podłączone do różnych portów przełącznika mogą nadawać jednocześnie, a ich ramki zostaną zbufforowane i przekazane niezależnie. W odróżnieniu od huba, który działa w warstwie fizycznej i powiela sygnał, przełącznik analizuje ramki logicznie, dzięki czemu kolizja na jednym porcie jest zjawiskiem lokalnym, niesłyszalnym dla innych portów.

W hubie wszystkie porty są połączone wewnętrznie wspólną magistralą elektryczną, która działa jak jedno współdzielone medium transmisyjne. Sygnał odebrany na dowolnym porcie jest wzmacniany i rozsyłany do wszystkich pozostałych portów bez żadnej filtracji ani buforowania. Taka konstrukcja sprawia, że hub jest urządzeniem warstwy fizycznej, nieposiadającym żadnej inteligencji sieciowej.

Przełącznik natomiast wykorzystuje macierz połączeniową (ang. crossbar switch fabric), która umożliwia jednoczesne zestawienie wielu niezależnych połączeń między parami portów. W przeciwieństwie do magistrali huba, macierz przełącznika jest połączeniem punkt-punkt, w którym dane nie są rozgłaszane na wszystkie porty. Wewnętrzna przepustowość macierzy nie zawsze jest prostą sumą przepustowości portów - część przełączników pracuje z nadsubskrypcją, w której łączna przepustowość portów przewyższa przepustowość macierzy. Wartość tę określa się mianem przepustowości wewnętrznej (ang. backplane bandwidth) i wyraża w gigabitach na sekundę.

Mikrosegmentacja to technika, w której każde urządzenie końcowe ma do dyspozycji dedykowany port przełącznika, tworząc osobny segment sieci o pełnym paśmie. Ponieważ na każdym segmencie znajduje się tylko jedno urządzenie, nie ma ryzyka kolizji, a protokół CSMA/CD staje się zbędny. Wyłączenie mechanizmu wykrywania kolizji pozwala na rezygnację z nasłuchiwania medium przed nadawaniem, co skraca czas oczekiwania i zwiększa efektywność transmisji.

Eliminacja CSMA/CD umożliwia pracę w trybie full-duplex, w którym urządzenie może jednocześnie nadawać i odbierać dane, podwajając teoretyczną przepustowość łącza. W trybie half-duplex, wymuszanym przez obecność wielu stacji w jednej domenie kolizyjnej, wykorzystanie łącza rzadko przekracza 50-60% jego nominalnej przepustowości. Mikrosegmentacja i full-duplex są ze sobą ściśle powiązane - dopiero wyeliminowanie kolizji pozwala w pełni wykorzystać zalety transmisji dwukierunkowej.

Skróty użyte w tym slajdzie:
CSMA/CD - Carrier Sense Multiple Access with Collision Detection (wielodostęp z nasłuchiwaniem nośnej i wykrywaniem kolizji) - protokół dostępu do współdzielonego medium Ethernet, który wykrywa kolizje i zarządza retransmisją.

Proces uczenia się tablicy MAC w przełączniku rozpoczyna się w momencie odebrania pierwszej ramki od podłączonego urządzenia. Przełącznik odczytuje adres źródłowy ramki i sprawdza, czy istnieje już wpis dla tego adresu w tablicy - jeśli nie, dodaje nowy rekord zawierający adres MAC, numer portu i znacznik czasowy. Jeśli wpis już istnieje, przełącznik aktualizuje znacznik czasu i ewentualnie koryguje numer portu w przypadku przeniesienia urządzenia do innego portu.

Parametr czasu życia (aging time) domyślnie wynosi 300 sekund w większości implementacji, ale może być konfigurowany przez administratora w zakresie od kilkunastu sekund do kilku godzin. Krótki czas starzenia jest korzystny w sieciach z częstymi zmianami topologii, ponieważ zapobiega przechowywaniu nieaktualnych wpisów. Po przekroczeniu czasu życia wpis jest usuwany, a kolejna ramka do tego adresu spowoduje zalanie (flooding) i ponowne nauczenie się lokalizacji urządzenia.

Skróty użyte w tym slajdzie:
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.

Gdy przełącznik odbiera ramkę, porównuje adres docelowy z zawartością tablicy MAC i podejmuje jedną z trzech decyzji. Jeśli adres docelowy jest przypisany do tego samego portu, z którego ramka nadeszła, przełącznik odrzuca ramkę (filtering), ponieważ odbiorca znajduje się w tym samym segmencie i już ją otrzymał. Jeśli adres docelowy znajduje się w tablicy i jest związany z innym portem, ramka jest przekazywana wyłącznie na ten port (forwarding).

Trzecia sytuacja ma miejsce, gdy adres docelowy nie znajduje się w tablicy MAC - przełącznik wysyła wówczas ramkę na wszystkie porty z wyjątkiem portu źródłowego (flooding). Mechanizm zalewania jest również używany dla ramek broadcastowych i multicastowych, które z definicji muszą dotrzeć do wielu odbiorców. Zbyt częste rozgłaszanie może prowadzić do przeciążenia sieci, dlatego nowoczesne przełączniki implementują mechanizmy ograniczające, takie jak storm control dla ruchu broadcastowego.

Skróty użyte w tym slajdzie:
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.

W systemie Cisco IOS tablicę adresów MAC można wyświetlić poleceniem `show mac address-table`, które pokazuje adres MAC, typ wpisu (dynamiczny, statyczny lub stały), numer VLAN oraz port przypisany do adresu. Wpisy dynamiczne są dodawane automatycznie przez proces uczenia się, natomiast wpisy statyczne mogą być zdefiniowane ręcznie przez administratora w celu zwiększenia bezpieczeństwa. Polecenie `show mac address-table count` podaje liczbę wpisów w tablicy oraz pojemność całkowitą, co jest przydatne przy diagnozowaniu przepełnienia tablicy.

Dodatkowe polecenia, takie jak `show mac address-table aging-time`, informują o skonfigurowanym czasie starzenia wpisów. Administrator może ręcznie wyczyścić tablicę poleceniem `clear mac address-table dynamic`, co jest pomocne po zmianie topologii sieci. W systemach operacyjnych innych producentów, jak Juniper JunOS czy Arista EOS, składnia poleceń różni się, ale koncepcja i informacje zwracane przez tablicę MAC pozostają takie same.

Skróty użyte w tym slajdzie:
CLI - Command-Line Interface (interfejs wiersza poleceń) - tekstowy interfejs służący do konfiguracji i diagnostyki urządzenia.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
CPU - Central Processing Unit (procesor centralny) - główny układ obliczeniowy urządzenia, w przełączniku widoczny także jako port wewnętrzny.

Dzięki mikrosegmentacji przełącznik może obsługiwać wiele równoczesnych transmisji między różnymi parami portów bez wzajemnych zakłóceń. Jeśli przełącznik ma 24 porty i każdy pracuje z prędkością 1 Gb/s, teoretyczna przepustowość sumaryczna może osiągnąć 48 Gb/s (24 × 1 Gb/s w każdą stronę). W praktyce przepustowość tę ogranicza wydajność macierzy połączeniowej i przepustowość magistrali wewnętrznej przełącznika.

Przełączniki nieblokujące (ang. non-blocking) są zaprojektowane tak, aby mogły obsłużyć pełną prędkość na wszystkich portach jednocześnie, bez utraty ramek. W przełącznikach blokujących niektóre transmisje mogą być opóźniane, jeśli wiele strumieni danych konkuruje o tę samą ścieżkę wewnętrzną. Wybór między przełącznikiem blokującym a nieblokującym zależy od charakterystyki ruchu sieciowego i budżetu - przełączniki nieblokujące są droższe ze względu na bardziej wydajną macierz połączeniową.

W standardach 10BASE-T i 100BASE-TX tryb full-duplex umożliwia jednoczesne nadawanie i odbieranie danych na tym samym łączu, ponieważ wykorzystuje dwie oddzielne pary przewodów: jedną do transmisji (TX) i drugą do odbioru (RX). W standardzie 100BASE-TX (Fast Ethernet) pary 1-2 służą do nadawania, a pary 3-6 do odbioru, co całkowicie eliminuje potrzebę wykrywania kolizji. Aby tryb full-duplex działał poprawnie, obie strony łącza muszą być skonfigurowane zgodnie - zarówno pod względem prędkości, jak i dupleksu.

Niezgodność dupleksu (ang. duplex mismatch) występuje, gdy jedna strona łącza pracuje w trybie full-duplex, a druga w half-duplex. Strona full-duplex nie nasłuchuje medium przed nadawaniem, podczas gdy strona half-duplex stosuje CSMA/CD, co prowadzi do kolizji i błędów ramek (tzw. late collisions). Objawy niezgodności dupleksu to duża liczba błędów CRC widoczna w interfejsie oraz niska przepustowość mimo pozornie poprawnego połączenia fizycznego.

Skróty użyte w tym slajdzie:
TX - Transmit (nadawanie) - ścieżka lub para przewodów służąca do wysyłania danych.
RX - Receive (odbiór) - ścieżka lub para przewodów służąca do odbierania danych.
CSMA/CD - Carrier Sense Multiple Access with Collision Detection (wielodostęp z nasłuchiwaniem nośnej i wykrywaniem kolizji) - protokół dostępu do współdzielonego medium Ethernet, który wykrywa kolizje i zarządza retransmisją.
CRC - Cyclic Redundancy Check (cykliczny kod nadmiarowy) - algorytm sumy kontrolnej wykrywający błędy transmisji.

W metodzie store-and-forward przełącznik odbiera całą ramkę do bufora, sprawdza poprawność sumy kontrolnej FCS (Frame Check Sequence) w polu FCS na końcu ramki, a dopiero po stwierdzeniu poprawności podejmuje decyzję o przekazaniu. Jeśli ramka jest uszkodzona, zostaje odrzucona, co zapobiega rozprzestrzenianiu błędnych ramek w sieci. Metoda ta zapewnia najwyższy poziom integralności danych, gdyż eliminuje ryzyko przekazania ramek z przekłamaniami bitów.

Opóźnienie wnoszone przez store-and-forward jest proporcjonalne do długości ramki - im większa ramka, tym dłużej przełącznik musi czekać na jej pełne odebranie. Dla ramki o maksymalnym rozmiarze 1518 bajtów w sieci 1 Gb/s opóźnienie wynosi około 12 mikrosekund, co jest akceptowalne w większości zastosowań. Metoda ta jest domyślnie stosowana w większości przełączników korporacyjnych, ponieważ bezpieczeństwo transmisji jest ważniejsze niż minimalne opóźnienie.

Skróty użyte w tym slajdzie:
FCS - Frame Check Sequence (sekwencja kontrolna ramki) - pole z sumą kontrolną na końcu ramki służące do wykrywania błędów transmisji.

W metodzie cut-through przełącznik rozpoczyna przekazywanie ramki natychmiast po odczytaniu adresu docelowego MAC, który znajduje się w pierwszych 6 bajtach nagłówka ramki. Eliminuje to konieczność buforowania całej ramki, co znacząco redukuje opóźnienie do zaledwie kilku mikrosekund. Odmiana fast-forward przekazuje ramkę już po odebraniu adresu docelowego, natomiast fragment-free odczekuje do odebrania pierwszych 64 bajtów, co pozwala odrzucić ramki powstałe w wyniku kolizji.

Główną wadą metody cut-through jest możliwość propagowania uszkodzonych ramek, ponieważ przełącznik nie sprawdza sumy kontrolnej FCS przed rozpoczęciem transmisji. Ramka z błędem może zostać przekazana do odbiorcy, który dopiero po odebraniu całej ramki stwierdzi jej uszkodzenie. Mimo to cut-through jest preferowane w środowiskach o niskim poziomie błędów, takich jak nowoczesne sieci światłowodowe, gdzie opóźnienie jest krytycznym parametrem, na przykład w zastosowaniach High-Frequency Trading (HFT).

Skróty użyte w tym slajdzie:
SFD - Start Frame Delimiter (znacznik początku ramki) - bajt oznaczający początek właściwej ramki Ethernet po preambule.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
FCS - Frame Check Sequence (sekwencja kontrolna ramki) - pole z sumą kontrolną na końcu ramki służące do wykrywania błędów transmisji.
HFT - High-Frequency Trading (handel wysokiej częstotliwości) - dziedzina zastosowań, w której kluczowe znaczenie ma bardzo niska latencja.

Fragment-free, zwany również cut-through bez fragmentów, oczekuje na odebranie pierwszych 64 bajtów ramki przed podjęciem decyzji o przekazaniu. W sieciach Ethernet ramki krótsze niż 64 bajty to tak zwane collision fragments lub runt frames - powstają one, gdy dwie stacje nadają jednocześnie i kolizja powoduje przerwanie transmisji. Przełącznik pracujący w tym trybie eliminuje takie uszkodzone ramki, nie pogarszając znacząco opóźnienia w porównaniu z czystym cut-through.

W praktyce tryb fragment-free sprawdza się dobrze w sieciach o umiarkowanym natężeniu ruchu, gdzie kolizje zdarzają się sporadycznie. Mimo że nie chroni przed błędami CRC w dalszej części ramki, to eliminuje najbardziej powszechny typ uszkodzeń w domenie kolizji.

Skróty użyte w tym slajdzie:
FCS - Frame Check Sequence (sekwencja kontrolna ramki) - pole z sumą kontrolną na końcu ramki służące do wykrywania błędów transmisji.
CRC - Cyclic Redundancy Check (cykliczny kod nadmiarowy) - algorytm sumy kontrolnej wykrywający błędy transmisji.

Opóźnienie wprowadzane przez przełącznik, nazywane latencją przełączania, ma kluczowe znaczenie w aplikacjach czasu rzeczywistego, takich jak VoIP czy wideokonferencje. W metodzie store-and-forward opóźnienie wynosi od kilkudziesięciu do kilkuset mikrosekund, ponieważ przełącznik musi odebrać całą ramkę, zweryfikować sumę CRC i dopiero wtedy wysłać ją do portu docelowego. W metodzie cut-through opóźnienie spada do kilku mikrosekund, kosztem braku kontroli błędów - różnica staje się zauważalna dopiero przy dużym obciążeniu sieci.

W nowoczesnych sieciach szkieletowych, gdzie przez przełącznik przepływa miliony ramek na sekundę, każde mikrosekundowe opóźnienie kumuluje się na każdym przeskoku między urządzeniami. Dla łączy 1 Gb/s ramka 1500 bajtów opóźnia się o około 12 µs, więc łańcuch dziesięciu przełączników pracujących w store-and-forward dodaje łącznie około 120 µs opóźnienia, co dla protokołów takich jak NFS czy iSCSI jest wartością znaczącą. Wartość około 1,2 ms dotyczy łączy 100 Mb/s. Dlatego w centrach danych często stosuje się przełączniki z możliwością przełączania w trybie cut-through, a krytyczne aplikacje projektuje się tak, by minimalizować liczbę przeskoków między urządzeniami.

Skróty użyte w tym slajdzie:
CRC - Cyclic Redundancy Check (cykliczny kod nadmiarowy) - algorytm sumy kontrolnej wykrywający błędy transmisji.
VoIP - Voice over Internet Protocol (telefonia przez protokół internetowy) - technologia transmisji mowy przez sieć IP.
NFS - Network File System (sieciowy system plików) - protokół udostępniania plików w sieci, wrażliwy na opóźnienia.
iSCSI - Internet Small Computer Systems Interface (internetowy interfejs małych systemów komputerowych) - protokół transportu poleceń SCSI przez sieć IP.

Przełączanie adaptacyjne łączy zalety obu metod: urządzenie domyślnie pracuje w trybie cut-through, zapewniającym niskie opóźnienie, ale monitoruje bieżący współczynnik błędów na każdym porcie. Gdy liczba uszkodzonych ramek CRC przekroczy zdefiniowany próg, przełącznik automatycznie przełącza dany port w tryb store-and-forward. Po ustabilizowaniu się łącza i spadku liczby błędów poniżej progu, port wraca do trybu cut-through.

Mechanizm ten jest szczególnie przydatny w sieciach, w których okresowo występują zakłócenia elektromagnetyczne (np. w halach produkcyjnych) lub gdy używane są przewody miedziane o niskiej jakości. Zastosowanie tej funkcji zależy od producenta i platformy, a próg przełączania można zwykle konfigurować przez interfejs CLI. Warto pamiętać, że przełączanie adaptacyjne wymaga buforowania całych ramek nawet w trybie cut-through, co nieznacznie zwiększa złożoność sprzętową układu ASIC.

Skróty użyte w tym slajdzie:
CRC - Cyclic Redundancy Check (cykliczny kod nadmiarowy) - algorytm sumy kontrolnej wykrywający błędy transmisji.
CLI - Command-Line Interface (interfejs wiersza poleceń) - tekstowy interfejs służący do konfiguracji i diagnostyki urządzenia.
ASIC - Application-Specific Integrated Circuit (układ scalony do zastosowań specjalnych) - wyspecjalizowany układ sprzętowy realizujący przekazywanie ramek z dużą szybkością.

Przełącznik warstwy łącza danych (L2) podejmuje decyzje forwardingu wyłącznie na podstawie adresów MAC i nie ingeruje w adresy IP ani w warstwę sieciową. Ramki rozgłoszeniowe (broadcast) z docelowym adresem MAC FF:FF:FF:FF:FF:FF są domyślnie przekazywane na wszystkie porty z wyjątkiem portu źródłowego. Oznacza to, że wszystkie urządzenia podłączone do jednego przełącznika (lub kaskadowo połączonych przełączników) znajdują się w tej samej domenie rozgłoszeniowej.

Brak segmentacji domeny rozgłoszeniowej prowadzi do problemów w rozbudowanych sieciach - każda ramka broadcastowa jest obsługiwana przez wszystkie stacje, nawet jeśli nie są adresatem. W sieci liczącej tysiąc hostów ruch broadcastowy może pochłonąć znaczną część przepustowości i obciążyć procesory wszystkich urządzeń. Rozwiązaniem tego problemu są sieci VLAN, które dzielą fizyczną sieć przełącznika na logicznie odizolowane domeny rozgłoszeniowe.

Skróty użyte w tym slajdzie:
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
IP - Internet Protocol (protokół internetowy) - protokół warstwy sieciowej odpowiedzialny za adresowanie i routing pakietów.

Domena rozgłoszeniowa to zbiór urządzeń, które odbierają wszystkie ramki broadcastowe wysłane w sieci - adres docelowy FF:FF:FF:FF:FF:FF oznacza, że ramka ma być dostarczona do każdej stacji w tej samej domenie. Przełącznik warstwy 2 przekazuje broadcasty na wszystkie swoje porty, nie wykonując żadnej filtracji. Jedynym urządzeniem, które naturalnie zatrzymuje propagację broadcastów, jest router pracujący w warstwie 3 (IP), ponieważ nie przekazuje on ramek między interfejsami na poziomie MAC.

Wielkość domeny rozgłoszeniowej ma bezpośredni wpływ na wydajność sieci - w standardzie Ethernet każda stacja musi przetworzyć każdą odebraną ramkę broadcastową w warstwie łącza, nawet jeśli wyższe warstwy protokołu TCP/IP odrzucą ją jako nieadresowaną do siebie. W sieciach liczących setki hostów może to powodować znaczne obciążenie procesora każdej stacji. Z tego powodu projektanci sieci dążą do ograniczania wielkości domen rozgłoszeniowych poprzez podział na mniejsze podsieci IP i stosowanie VLAN-ów.

Skróty użyte w tym slajdzie:
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
LAN - Local Area Network (lokalna sieć komputerowa) - sieć obejmująca ograniczony obszar, zwykle jedną lokalizację.
IP - Internet Protocol (protokół internetowy) - protokół warstwy sieciowej odpowiedzialny za adresowanie i routing pakietów.
TCP/IP - Transmission Control Protocol/Internet Protocol (protokół sterowania transmisją i protokół internetowy) - rodzina protokołów tworząca podstawę komunikacji w Internecie.

Protokół ARP (Address Resolution Protocol) jest niezbędny do działania sieci IP w technologii Ethernet, ponieważ umożliwia odwzorowanie adresu logicznego (IPv4) na adres fizyczny (MAC). Gdy host chce wysłać dane do innego hosta w tej samej sieci, wysyła ramkę ARP Request z broadcastowym adresem MAC FF:FF:FF:FF:FF:FF, pytając: „Kto ma adres IP X.X.X.X?”. Właściwy host odpowiada unicastową ramką ARP Reply ze swoim adresem MAC, a odpowiedź jest zapisywana w lokalnej tablicy ARP na potrzeby przyszłych transmisji.

Protokół DHCP (Dynamic Host Configuration Protocol) również korzysta z ramek broadcastowych w fazie początkowej - klient wysyła DHCP Discover na adres IP 255.255.255.255 z docelowym adresem MAC FF:FF:FF:FF:FF:FF, ponieważ nie zna jeszcze swojego adresu IP ani adresu serwera DHCP. Serwer DHCP odpowiada ramką DHCP Offer, która może być wysłana jako broadcast lub unicast, zależnie od stanu klienta i flagi w komunikacie. W sieciach IPv6 zamiast broadcastu używa się komunikatu Neighbor Solicitation wysyłanego do adresu multicast. Adres przydzielany przez serwer DHCP obowiązuje przez czas określony w dzierżawie. Oba protokoły obrazują, dlaczego broadcasty są potrzebne w sieci lokalnej - służą do automatycznego wykrywania i konfiguracji urządzeń bez ręcznego nadzoru.

Skróty użyte w tym slajdzie:
ARP - Address Resolution Protocol (protokół rozwiązywania adresów) - protokół odwzorowujący adresy IPv4 na adresy MAC w sieci lokalnej.
DHCP - Dynamic Host Configuration Protocol (protokół dynamicznej konfiguracji hosta) - protokół automatycznego przydzielania adresów IP i parametrów sieciowych.
IPv4 - Internet Protocol version 4 (protokół internetowy w wersji 4) - wersja protokołu IP używająca 32-bitowych adresów.
IPv6 - Internet Protocol version 6 (protokół internetowy w wersji 6) - wersja protokołu IP używająca 128-bitowych adresów.
IP - Internet Protocol (protokół internetowy) - protokół warstwy sieciowej odpowiedzialny za adresowanie i routing pakietów.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.

Pętla w sieci przełączanej powstaje, gdy istnieje więcej niż jedna aktywna ścieżka między dwoma przełącznikami - ramka broadcastowa wysłana przez jeden host jest przekazywana dalej przez każdy przełącznik, który następnie odbiera ją ponownie z innego portu i transmituje jeszcze raz. Proces ten powtarza się w nieskończoność, a każda kopia ramki jest rozsyłana na wszystkie porty, co prowadzi do lawinowego wzrostu ruchu w sieci. Zjawisko to nosi nazwę burzy broadcastowej (broadcast storm) i może całkowicie zablokować działanie sieci w ciągu kilku sekund.

Efektem burzy broadcastowej jest całkowite wysycenie przepustowości łączy - rzeczywisty ruch użytkowników nie ma szansy zostać przesłany, ponieważ wszystkie łącza są zajęte przez kopie tych samych ramek broadcastowych. Obciążenie procesorów przełączników i podłączonych stacji narasta lawinowo, często prowadząc do odmowy usługi (DoS). Aby zapobiec powstawaniu pętli, w sieciach przełączanych stosuje się protokół STP (Spanning Tree Protocol), który blokuje nadmiarowe porty, pozostawiając tylko jedną aktywną ścieżkę między każdą parą przełączników.

Skróty użyte w tym slajdzie:
STP - Spanning Tree Protocol (protokół drzewa rozpinającego) - protokół warstwy 2 budujący logiczne drzewo bez pętli i blokujący nadmiarowe porty.
DoS - Denial of Service (odmowa usługi) - atak lub skutek przeciążenia uniemożliwiający normalne korzystanie z usługi.

Protokół STP (Spanning Tree Protocol) zdefiniowany w standardzie IEEE 802.1D zapobiega powstawaniu pętli w sieciach przełączanych. Przełączniki wymieniają się ramkami BPDU (Bridge Protocol Data Units), na podstawie których wybierany jest przełącznik główny (root bridge) i wyznaczane są najkrótsze ścieżki do niego. Porty, które nie leżą na tych ścieżkach, są blokowane - nie przekazują ruchu, ale w dalszym ciągu nasłuchują BPDU, by w razie awarii aktywnej ścieżki przejść w stan forwarding.

Wadą klasycznego STP jest czas zbieżności (convergence) wynoszący od 30 do 50 sekund, co w nowoczesnych sieciach jest niedopuszczalnie długie. Protokół RSTP (Rapid Spanning Tree Protocol, IEEE 802.1w) skraca ten czas do kilku sekund, wprowadzając role portów alternate i backup oraz szybsze przejścia stanów portów. W środowiskach centrów danych często stosuje się jeszcze bardziej zaawansowane protokoły, takie jak MSTP (Multiple Spanning Tree Protocol, IEEE 802.1s), które pozwalają na równoważenie obciążenia między wieloma instancjami drzewa rozpinającego; w centrach danych stosuje się również rozwiązania wykraczające poza MSTP.

Skróty użyte w tym slajdzie:
STP - Spanning Tree Protocol (protokół drzewa rozpinającego) - protokół warstwy 2 budujący logiczne drzewo bez pętli i blokujący nadmiarowe porty.
RSTP - Rapid Spanning Tree Protocol (szybki protokół drzewa rozpinającego) - wersja STP z IEEE 802.1w o krótszym czasie zbieżności.
MSTP - Multiple Spanning Tree Protocol (protokół wielu drzew rozpinających) - rozszerzenie STP z IEEE 802.1s obsługujące wiele niezależnych instancji drzewa.
BPDU - Bridge Protocol Data Unit (jednostka danych protokołu mostu) - ramka sterująca wymieniana przez przełączniki w protokole STP.

Przełącznik niezarządzalny (unmanaged switch) to urządzenie działające w trybie „podłącz i graj” - nie ma interfejsu konfiguracyjnego, samodzielnie negocjuje szybkość i dupleks, a tablica adresów MAC jest zarządzana automatycznie. Jest to rozwiązanie tanie i proste, ale pozbawione jakichkolwiek mechanizmów bezpieczeństwa, QoS czy obsługi VLAN. Przełączniki niezarządzalne znajdują zastosowanie w sieciach domowych i małych biurach, gdzie wymagania co do kontroli ruchu są minimalne.

Przełącznik zarządzalny udostępnia interfejs konfiguracyjny (CLI, SNMP, HTTP/HTTPS), umożliwiający tworzenie VLAN-ów, konfigurację Port Security, STP/RSTP, agregację łączy (LACP) oraz monitorowanie ruchu. Zaawansowane modele oferują również funkcje warstwy 3, takie jak routing między VLAN-ami (inter-VLAN routing) czy listy kontroli dostępu ACL. Cena przełącznika zarządzalnego jest wyższa, ale elastyczność konfiguracji i możliwość diagnostyki sieci czynią go niezbędnym w środowiskach korporacyjnych i centrach danych.

Skróty użyte w tym slajdzie:
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
STP - Spanning Tree Protocol (protokół drzewa rozpinającego) - protokół warstwy 2 budujący logiczne drzewo bez pętli i blokujący nadmiarowe porty.
RSTP - Rapid Spanning Tree Protocol (szybki protokół drzewa rozpinającego) - wersja STP z IEEE 802.1w o krótszym czasie zbieżności.
LACP - Link Aggregation Control Protocol (protokół kontroli agregacji łączy) - protokół negocjujący i nadzorujący agregację wielu łączy fizycznych.
QoS - Quality of Service (jakość usług) - mechanizmy priorytetyzacji i kontroli ruchu sieciowego.
SNMP - Simple Network Management Protocol (prosty protokół zarządzania siecią) - protokół służący do monitorowania i zarządzania urządzeniami sieciowymi.
SSH - Secure Shell (bezpieczna powłoka) - protokół szyfrowanej zdalnej administracji urządzeniami.
CLI - Command-Line Interface (interfejs wiersza poleceń) - tekstowy interfejs służący do konfiguracji i diagnostyki urządzenia.
HTTP - Hypertext Transfer Protocol (protokół transferu hipertekstu) - protokół komunikacji klient-serwer używany między innymi do zarządzania przez przeglądarkę.
HTTPS - Hypertext Transfer Protocol Secure (bezpieczny protokół transferu hipertekstu) - wersja HTTP szyfrowana za pomocą TLS.
ACL - Access Control List (lista kontroli dostępu) - zestaw reguł filtrowania ruchu lub kontroli dostępu.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.

W systemie Cisco IOS konfiguracja interfejsu przełącznika rozpoczyna się od wejścia w tryb konfiguracji interfejsu poleceniem `interface GigabitEthernet0/1`. Szybkość transmisji ustawia się komendą `speed {10|100|1000}`, a tryb dupleksu poleceniem `duplex {half|full|auto}`, przy czym zaleca się pozostawienie ustawień automatycznych (auto) dla obu parametrów. Błędna konfiguracja dupleksu - na przykład half z jednej strony łącza i full z drugiej - prowadzi do licznych błędów CRC i znaczącego spadku wydajności.

VLAN na porcie przypisuje się komendą `switchport access vlan `, a włączenie funkcji PortFast dla pojedynczego portu dostępowego wykonuje się poleceniem `spanning-tree portfast`. PortFast pomija etapy nasłuchiwania i uczenia w STP dla portów dostępowych (edge ports), dzięki czemu host może uzyskać adres DHCP natychmiast po podłączeniu. Dla dodatkowego bezpieczeństwa można połączyć PortFast z funkcją BPDU Guard, która automatycznie wyłącza port po odebraniu ramki BPDU, zapobiegając atakom na protokół STP.

Skróty użyte w tym slajdzie:
CLI - Command-Line Interface (interfejs wiersza poleceń) - tekstowy interfejs służący do konfiguracji i diagnostyki urządzenia.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
STP - Spanning Tree Protocol (protokół drzewa rozpinającego) - protokół warstwy 2 budujący logiczne drzewo bez pętli i blokujący nadmiarowe porty.
CRC - Cyclic Redundancy Check (cykliczny kod nadmiarowy) - algorytm sumy kontrolnej wykrywający błędy transmisji.
DHCP - Dynamic Host Configuration Protocol (protokół dynamicznej konfiguracji hosta) - protokół automatycznego przydzielania adresów IP i parametrów sieciowych.
BPDU - Bridge Protocol Data Unit (jednostka danych protokołu mostu) - ramka sterująca wymieniana przez przełączniki w protokole STP.

Sieć VLAN (Virtual Local Area Network) umożliwia logiczny podział infrastruktury fizycznej na odizolowane segmenty warstwy 2, bez względu na fizyczne położenie urządzeń. Każda sieć VLAN stanowi odrębną domenę rozgłoszeniową - ramki broadcastowe nie są przekazywane między różnymi VLAN-ami bez użycia routera lub przełącznika warstwy 3. Dzięki temu administrator może rozdzielić ruchem poszczególne działy firmy (np. kadry, księgowość i IT) w ramach jednego przełącznika fizycznego.

Standard IEEE 802.1Q definiuje sposób tagowania ramek Ethernet znacznikiem VLAN (VLAN tag) o długości 4 bajtów, który jest wstawiany między źródłowy adres MAC a pole EtherType lub Length. Tag zawiera 12-bitowy identyfikator VLAN (VLAN ID) pozwalający na wyróżnienie maksymalnie 4094 sieci VLAN, a VLAN 1 jest domyślnym VLAN-em natywnym. Gdy ramka opuszcza port trunk łączący przełączniki, znacznik jest zachowywany; po dotarciu do portu dostępowego (access port) znacznik jest usuwany, a ramka trafia do stacji końcowej w formie standardowego Ethernet II.

Skróty użyte w tym slajdzie:
LAN - Local Area Network (lokalna sieć komputerowa) - sieć obejmująca ograniczony obszar, zwykle jedną lokalizację.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.

Funkcja Port Security ogranicza liczbę adresów MAC, które mogą być aktywne na pojedynczym porcie przełącznika - administrator definiuje maksymalną liczbę dozwolonych adresów (domyślnie 1) oraz sposób postępowania po jej przekroczeniu. W trybie `protect` ramki z nieznanego adresu MAC są odrzucane, ale port pozostaje aktywny. Tryb `restrict` działa podobnie, dodatkowo generując komunikat syslog i zwiększając licznik naruszeń. Tryb `shutdown` jest najsurowszy - port przechodzi w stan err-disable i wymaga ręcznego lub automatycznego przywrócenia.

Konfiguracja Port Security w Cisco IOS obejmuje polecenia: `switchport port-security` włączające funkcję na interfejsie, `switchport port-security maximum ` określające limit adresów MAC oraz `switchport port-security violation {protect | restrict | shutdown}` definiujące reakcję na naruszenie. Adresy MAC można wpisać statycznie lub pozwolić przełącznikowi na ich dynamiczne uczenie do określonego limitu. Należy pamiętać, że Port Security nie jest skutecznym zabezpieczeniem przed atakiem MAC spoofing, ponieważ atakujący może podszyć się pod dozwolony adres - w takiej sytuacji niezbędne są dodatkowe mechanizmy, takie jak 802.1X.

Skróty użyte w tym slajdzie:
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.

Atak MAC flooding polega na wysłaniu przez atakującego dużej liczby ramek Ethernet z losowymi adresami źródłowymi MAC w krótkim czasie. Tablica CAM (Content Addressable Memory) przełącznika ma ograniczoną pojemność - po jej wypełnieniu przełącznik nie może już zapamiętać nowych adresów i przechodzi w tryb awaryjny. W tym trybie ramki kierowane do nieznanych adresów MAC są rozsyłane na wszystkie porty, tak jak w koncentratorze (hubie), co umożliwia atakującemu przechwytywanie ruchu kierowanego do innych hostów.

Aby zabezpieczyć się przed atakiem MAC flooding, stosuje się funkcję Port Security, która ogranicza liczbę adresów MAC na porcie, lub dynamiczną kontrolę portów przez protokół 802.1X. Mechanizmem podstawowym jest Port Security, natomiast DHCP Snooping i DAI ograniczają inne rodzaje ataków, na przykład podszycie się pod serwer DHCP. Mimo tych zabezpieczeń administrator powinien regularnie monitorować obciążenie tablicy CAM oraz logi przełącznika w poszukiwaniu nietypowych zdarzeń.

Skróty użyte w tym slajdzie:
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
CAM - Content-Addressable Memory (pamięć adresowalna zawartością) - pamięć sprzętowa przechowująca tablicę adresów MAC i przeszukiwana jednocześnie po zawartości.
DHCP - Dynamic Host Configuration Protocol (protokół dynamicznej konfiguracji hosta) - protokół automatycznego przydzielania adresów IP i parametrów sieciowych.
DAI - Dynamic ARP Inspection (dynamiczna inspekcja ARP) - mechanizm weryfikujący ramki ARP, między innymi na podstawie bazy DHCP Snooping.

ARP spoofing (zwany również ARP poisoning) polega na wysyłaniu przez atakującego sfałszowanych ramek ARP Reply do ofiary, w których adres IP bramy domyślnej (lub innego hosta) jest powiązany z adresem MAC atakującego. Ofiara aktualizuje swoją tablicę ARP i od tego momentu cały ruch przeznaczony do bramy domyślnej trafia do maszyny atakującego. Atakujący może następnie przeglądać pakiety w trybie MITM (Man-in-the-Middle), modyfikować je lub blokować, zanim przekieruje je do prawdziwej bramy.

ARP nie zawiera uwierzytelniania, dlatego odpowiedzi są łatwe do podrobienia, a segmentacja VLAN ogranicza jedynie zasięg ataku. Skutecznym zabezpieczeniem przed ARP spoofingiem jest mechanizm DAI (Dynamic ARP Inspection), który działa w połączeniu z DHCP Snoopingiem. Przełącznik przechwytuje wszystkie ramki ARP i weryfikuje je względem bazy danych DHCP Snooping - jeśli adres MAC nadawcy nie zgadza się z danymi przypisanymi przez serwer DHCP, ramka jest odrzucana. Dodatkowo można stosować statyczne wpisy ARP na krytycznych urządzeniach oraz szyfrowanie ruchu na wyższych warstwach (IPsec, TLS), które uniemożliwia odczytanie danych nawet po przechwyceniu ramek.

Skróty użyte w tym slajdzie:
ARP - Address Resolution Protocol (protokół rozwiązywania adresów) - protokół odwzorowujący adresy IPv4 na adresy MAC w sieci lokalnej.
DAI - Dynamic ARP Inspection (dynamiczna inspekcja ARP) - mechanizm weryfikujący ramki ARP, między innymi na podstawie bazy DHCP Snooping.
MITM - Man-in-the-Middle (człowiek pośrodku) - atak polegający na przechwyceniu i ewentualnej modyfikacji ruchu między ofiarami.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
IP - Internet Protocol (protokół internetowy) - protokół warstwy sieciowej odpowiedzialny za adresowanie i routing pakietów.
DHCP - Dynamic Host Configuration Protocol (protokół dynamicznej konfiguracji hosta) - protokół automatycznego przydzielania adresów IP i parametrów sieciowych.
IPsec - Internet Protocol Security (bezpieczeństwo protokołu internetowego) - zestaw protokołów szyfrowania i uwierzytelniania ruchu IP.
TLS - Transport Layer Security (bezpieczeństwo warstwy transportowej) - protokół szyfrowania połączeń, chroniący dane przed odczytem po przechwyceniu.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.

Punkt dostępowy (Access Point) pełni rolę pomostu (bridge) między przewodową siecią Ethernet a bezprzewodową siecią Wi-Fi, pracując w warstwie łącza danych (L2). Ramki Ethernet ze strony przewodowej są przekształcane w ramki 802.11 i odwrotnie - AP nie wykonuje routingu IP, a jedynie przekazuje ramki między dwoma segmentami sieci. Dzięki temu urządzenia bezprzewodowe traktowane są jako pełnoprawni członkowie tej samej domeny L2 co urządzenia przewodowe, o ile znajdują się w tej samej sieci VLAN.

Współczesne punkty dostępowe obsługują standardy 802.11a/b/g/n/ac/ax (Wi-Fi 6) oraz 802.11be (Wi-Fi 7) i oferują zaawansowane funkcje, takie jak obsługa wielu sieci SSID mapowanych na różne VLAN-y, równoważenie obciążenia między pasmami 2,4 GHz i 5 GHz oraz mechanizmy QoS (WMM). W dużych wdrożeniach korporacyjnych stosuje się kontrolery WLC (Wireless LAN Controller), które centralnie zarządzają setkami punktów dostępowych, dbając o ciągłość sesji podczas roamingowania klientów między AP-ami (fast roaming zgodny z 802.11r).

Skróty użyte w tym slajdzie:
AP - Access Point (punkt dostępowy) - urządzenie warstwy 2 pełniące rolę pomostu między siecią przewodową a bezprzewodową.
SSID - Service Set Identifier (identyfikator zbioru usług) - nazwa sieci Wi-Fi widoczna dla klientów.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
QoS - Quality of Service (jakość usług) - mechanizmy priorytetyzacji i kontroli ruchu sieciowego.
WMM - Wi-Fi Multimedia (multimedia Wi-Fi) - mechanizm QoS dla ruchu bezprzewodowego w standardzie 802.11e.
WLC - Wireless LAN Controller (kontroler sieci bezprzewodowej) - urządzenie centralnie zarządzające wieloma punktami dostępowymi.
IP - Internet Protocol (protokół internetowy) - protokół warstwy sieciowej odpowiedzialny za adresowanie i routing pakietów.

Punkt dostępowy jest urządzeniem warstwy 2, a nie routerem - nie wykonuje translacji adresów NAT, nie przydziela adresów IP (wbudowany serwer DHCP występuje w wybranych modelach domowych i nie jest funkcją samego punktu dostępowego) i nie podejmuje decyzji routingu. Jego zadaniem jest wyłącznie konwersja ramek między medium przewodowym a bezprzewodowym oraz przekazywanie ich na podstawie adresów MAC. W domowym urządzeniu określanym potocznie „routerem” tak naprawdę mamy do czynienia z trzema odrębnymi urządzeniami w jednej obudowie: routerem L3, przełącznikiem L2 (zwykle 4-portowym) i punktem dostępowym Wi-Fi.

Konsekwencją pracy AP w warstwie 2 jest fakt, że wszystkie urządzenia bezprzewodowe podłączone do tego samego AP znajdują się w tej samej domenie rozgłoszeniowej co hosty w sieci przewodowej. Oznacza to, że ramki ARP i DHCP są przekazywane między segmentem Wi-Fi a Ethernetem bez żadnej filtracji. Jeśli potrzebna jest separacja ruchu między siecią przewodową a bezprzewodową, konieczne jest skonfigurowanie oddzielnych VLAN-ów dla poszczególnych sieci SSID oraz zastosowanie przełącznika zarządzalnego lub routera obsługującego tagowanie 802.1Q.

Skróty użyte w tym slajdzie:
AP - Access Point (punkt dostępowy) - urządzenie warstwy 2 pełniące rolę pomostu między siecią przewodową a bezprzewodową.
NAT - Network Address Translation (translacja adresów sieciowych) - mechanizm tłumaczenia adresów IP, którego punkt dostępowy sam nie wykonuje.
DHCP - Dynamic Host Configuration Protocol (protokół dynamicznej konfiguracji hosta) - protokół automatycznego przydzielania adresów IP i parametrów sieciowych.
IP - Internet Protocol (protokół internetowy) - protokół warstwy sieciowej odpowiedzialny za adresowanie i routing pakietów.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
SSID - Service Set Identifier (identyfikator zbioru usług) - nazwa sieci Wi-Fi widoczna dla klientów.
ARP - Address Resolution Protocol (protokół rozwiązywania adresów) - protokół odwzorowujący adresy IPv4 na adresy MAC w sieci lokalnej.

SSID to ciąg znaków o maksymalnej długości 32 bajtów, umieszczany w ramkach zarządzających Beacon i Probe Response. BSSID to 48-bitowy adres MAC interfejsu radiowego punktu dostępowego - każda radiowa karta AP ma unikalny BSSID, nawet jeśli wiele interfejsów nadaje ten sam SSID. Ukrywanie SSID (tzw. closed network) polega na wyłączeniu pola SSID w ramkach Beacon, ale SSID i tak jest przesyłany jawnie w ramkach Probe Request i Probe Response, co czyni tę technikę nieskuteczną z punktu widzenia bezpieczeństwa.

Narzędzia takie jak Kismet czy Airodump-ng bez trudu wykrywają ukryte SSID, gdy klient łączy się z siecią lub gdy wysyła ramkę Probe Request. W standardzie IEEE 802.11w-2009 wprowadzono zarządzanie ramkami chronionymi (Protected Management Frames), które zapobiega fałszowaniu ramek deautoryzacji i rozłączania. W praktyce filtrowanie SSID nie jest mechanizmem ochronnym, a jedynie utrudnia konfigurację nowym klientom.

Skróty użyte w tym slajdzie:
SSID - Service Set Identifier (identyfikator zbioru usług) - nazwa sieci Wi-Fi widoczna dla klientów.
BSSID - Basic Service Set Identifier (identyfikator podstawowego zbioru usług) - 48-bitowy adres MAC interfejsu radiowego punktu dostępowego.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
AP - Access Point (punkt dostępowy) - urządzenie warstwy 2 pełniące rolę pomostu między siecią przewodową a bezprzewodową.

CSMA/CA (Carrier Sense Multiple Access with Collision Avoidance) różni się od CSMA/CD stosowanego w Ethernetu tym, że w łączu radiowym nadajnik nie może jednocześnie słuchać własnej transmisji - nie jest w stanie wykryć kolizji w locie. Zamiast tego stosuje się unikanie kolizji: stacja przed transmisją nasłuchuje kanału (CCA - Clear Channel Assessment), a gdy kanał jest zajęty, czeka losowy czas Backoff. Wykrywanie kolizji zastąpiono potwierdzeniami - po odebraniu ramki stacja docelowa wysyła ramkę ACK, a jej brak oznacza konieczność retransmisji.

Mechanizm CCA opiera się na dwóch metodach: pomiarze mocy sygnału (Energy Detection) oraz detekcji preambuły 802.11 (Carrier Sensing). Próg CCA dla pasma 20 MHz w standardzie 802.11n i nowszych wynosi minus 82 dBm dla sygnałów tego samego standardu. Jeśli liczba retransmisji przekroczy limit, ramka jest odrzucana przez warstwę MAC. Domyślnie stosuje się 7 prób dla ramek krótkich i 4 próby dla ramek długich.

Skróty użyte w tym slajdzie:
CSMA/CA - Carrier Sense Multiple Access with Collision Avoidance (wielodostęp z nasłuchiwaniem nośnej i unikaniem kolizji) - protokół dostępu do medium radiowego, który stara się zapobiegać kolizjom.
CSMA/CD - Carrier Sense Multiple Access with Collision Detection (wielodostęp z nasłuchiwaniem nośnej i wykrywaniem kolizji) - protokół dostępu do współdzielonego medium Ethernet, który wykrywa kolizje i zarządza retransmisją.
CCA - Clear Channel Assessment (ocena zajętości kanału) - mechanizm nasłuchu kanału przed transmisją.
ACK - Acknowledgement (potwierdzenie) - ramka potwierdzająca odbiór danych; jej brak oznacza konieczność retransmisji.
RTS - Request to Send (żądanie nadawania) - ramka rezerwująca medium przed transmisją danych.
CTS - Clear to Send (zgoda na nadawanie) - ramka potwierdzająca rezerwację medium i informująca inne stacje o zajętości kanału.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.

Problem ukrytego węzła występuje, gdy dwie stacje (A i C) znajdują się w zasięgu tego samego punktu dostępowego, ale nie słyszą wzajemnie swoich transmisji. W efekcie obie mogą rozpocząć nadawanie w tym samym momencie, powodując kolizję ramek po stronie AP. Zjawisko to dotyczy szczególnie sieci o topologii rozproszonej, gdzie odległość między stacjami jest większa niż zasięg ich radia, lecz każda z nich łączy się z centralnym AP.

Problem nasila się w pasmach wyższych częstotliwości (5 GHz i 6 GHz), gdzie tłumienie sygnału jest silniejsze, a zasięg mniejszy. Rozwiązaniem jest mechanizm RTS/CTS, który wymusza rezerwację kanału przed transmisją - stacja wysyła krótką ramkę RTS, a AP odpowiada ramką CTS, słyszalną przez wszystkie węzły w swojej domenie. W praktyce RTS/CTS włącza się tylko dla ramek powyżej określonego progu długości (domyślnie 2347 bajtów; wartość zależy od producenta), aby uniknąć narzutu protokołu przy małych pakietach.

Skróty użyte w tym slajdzie:
AP - Access Point (punkt dostępowy) - urządzenie warstwy 2 pełniące rolę pomostu między siecią przewodową a bezprzewodową.
CSMA/CA - Carrier Sense Multiple Access with Collision Avoidance (wielodostęp z nasłuchiwaniem nośnej i unikaniem kolizji) - protokół dostępu do medium radiowego, który stara się zapobiegać kolizjom.
RTS - Request to Send (żądanie nadawania) - ramka rezerwująca medium przed transmisją danych.
CTS - Clear to Send (zgoda na nadawanie) - ramka potwierdzająca rezerwację medium i informująca inne stacje o zajętości kanału.

Ramka RTS (Request to Send) zawiera adres nadawcy, adres odbiorcy oraz pole Duration określające czas potrzebny na pełną wymianę ramek (RTS + CTS + data + ACK + przerwy SIFS). Punkt dostępowy po odebraniu RTS wysyła CTS (Clear to Send) z tym samym polem Duration, które jest odczytywane przez wszystkie inne stacje - ustawiają one lokalny licznik NAV (Network Allocation Vector) i wstrzymują transmisję na ten czas. Dzięki temu nawet węzły niewidzące nadawcy (ukryte) wiedzą, że kanał jest zajęty.

Wartość NAV jest przechowywana w każdym węźle jako wskaźnik zajętości kanału na poziomie MAC - nie jest to fizyczny pomiar CCA, lecz wirtualny mechanizm wykrywania nośnej. Długość wymiany RTS/CTS jest niewielka (20 bajtów RTS, 14 bajtów CTS), więc narzut protokołu jest akceptowalny przy większych ramkach danych. W standardzie 802.11e (Wi-Fi Multimedia) mechanizm EDCA wprowadza odstęp AIFS oraz okna rywalizacji dla klas ruchu, a nie modyfikację odstępu SIFS.

Skróty użyte w tym slajdzie:
RTS - Request to Send (żądanie nadawania) - ramka rezerwująca medium przed transmisją danych.
CTS - Clear to Send (zgoda na nadawanie) - ramka potwierdzająca rezerwację medium i informująca inne stacje o zajętości kanału.
NAV - Network Allocation Vector (wektor alokacji sieci) - wirtualny licznik zajętości kanału ustawiany na podstawie ramki CTS.
ACK - Acknowledgement (potwierdzenie) - ramka potwierdzająca odbiór danych; jej brak oznacza konieczność retransmisji.
SIFS - Short Interframe Space (krótki odstęp międzyramkowy) - najkrótszy odstęp czasu między kolejnymi ramkami w wymianie 802.11.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
CCA - Clear Channel Assessment (ocena zajętości kanału) - mechanizm nasłuchu kanału przed transmisją.
EDCA - Enhanced Distributed Channel Access (udoskonalony rozproszony dostęp do kanału) - mechanizm różnicowania dostępu do kanału dla klas ruchu w standardzie 802.11e.
AIFS - Arbitration Inter-Frame Space (odstęp międzyramkowy arbitrażu) - odstęp czasu wprowadzany przez EDCA dla poszczególnych klas ruchu.
AP - Access Point (punkt dostępowy) - urządzenie warstwy 2 pełniące rolę pomostu między siecią przewodową a bezprzewodową.

W trybie Root (znanym także jako Infrastructure Mode) AP działa jako punkt dostępowy podłączony przewodowo do sieci szkieletowej - jest to podstawowy tryb pracy, w którym AP przekazuje ramki między klientami bezprzewodowymi a siecią kablową. Tryb Repeater (wzmacniacz) odbiera sygnał od AP nadrzędnego i retransmituje go, działając jako most bezprzewodowy - wymaga jednak obsługi WDS (Wireless Distribution System) i powoduje spadek przepustowości o połowę na każdym skoku.

Tryb Bridge (most) łączy dwa segmenty sieci kablowej za pomocą łącza bezprzewodowego, najczęściej w topologii punkt-punkt (PtP) z dedykowanymi antenami kierunkowymi. Tryb Client (stacja kliencka) przekształca AP w zwykłą kartę sieciową Wi-Fi - np. router domowy w trybie Client może łączyć się z innym AP i udostępniać Internet swoim portom Ethernet. Współczesne kontrolery SD-WAN i systemy mesh (np. Google Wi-Fi, UniFi) zacierają te podziały, dynamicznie wybierając najlepszą rolę dla każdego węzła.

Skróty użyte w tym slajdzie:
AP - Access Point (punkt dostępowy) - urządzenie warstwy 2 pełniące rolę pomostu między siecią przewodową a bezprzewodową.
WDS - Wireless Distribution System (bezprzewodowy system dystrybucji) - system umożliwiający bezprzewodowe łączenie punktów dostępowych.
IoT - Internet of Things (internet rzeczy) - sieć urządzeń wbudowanych łączących się z siecią i wymieniających dane.
PtP - Point-to-Point (punkt-punkt) - topologia połączenia łączącego bezpośrednio dwa punkty.
SD-WAN - Software-Defined Wide Area Network (programowo definiowana rozległa sieć) - podejście do zarządzania siecią rozległą z użyciem centralnego sterowania.

Podstawowa jednostka strukturalna sieci 802.11 to BSS (Basic Service Set), składająca się z pojedynczego AP oraz wszystkich stacji klienckich z nim stowarzyszonych. Każdy BSS jest jednoznacznie identyfikowany przez BSSID (MAC interfejsu AP); BSSID identyfikuje BSS, a ramka danych w trybie infrastruktury ma jako adres docelowy adres MAC stacji, natomiast adres AP występuje jako BSSID oraz adres nadawcy. W trybie infrastruktury wszystkie ramki przechodzą przez AP - stacje nie komunikują się bezpośrednio między sobą, chyba że włączono tryb Tunneled Direct Link Setup (TDLS).

ESS (Extended Service Set) to zbiór wielu BSS połączonych tym samym SSID i siecią szkieletową (DS - Distribution System), umożliwiający płynne przejście (roaming) między komórkami. Roaming w 802.11 jest decyzją klienta - stacja samodzielnie wybiera AP na podstawie siły sygnału (RSSI), obciążenia kanału i listy preferowanych sieci. W standardzie 802.11r (Fast Roaming) zredukowano czas przełączania dzięki wcześniejszemu uzgodnieniu kluczy szyfrowania z docelowym AP.

Skróty użyte w tym slajdzie:
BSS - Basic Service Set (podstawowy zbiór usług) - podstawowa jednostka sieci Wi-Fi tworzona przez jeden punkt dostępowy i jego klientów.
ESS - Extended Service Set (rozszerzony zbiór usług) - zbiór wielu BSS połączonych systemem dystrybucyjnym i wspólnym SSID.
IBSS - Independent Basic Service Set (niezależny podstawowy zbiór usług) - sieć ad-hoc bez punktu dostępowego, w której stacje komunikują się bezpośrednio.
AP - Access Point (punkt dostępowy) - urządzenie warstwy 2 pełniące rolę pomostu między siecią przewodową a bezprzewodową.
BSSID - Basic Service Set Identifier (identyfikator podstawowego zbioru usług) - 48-bitowy adres MAC interfejsu radiowego punktu dostępowego.
SSID - Service Set Identifier (identyfikator zbioru usług) - nazwa sieci Wi-Fi widoczna dla klientów.
TDLS - Tunneled Direct Link Setup (tunelowe bezpośrednie zestawienie łącza) - mechanizm umożliwiający stacjom bezpośrednią komunikację z pominięciem punktu dostępowego.
DS - Distribution System (system dystrybucji) - sieć szkieletowa łącząca punkty dostępowe w ramach ESS.
RSSI - Received Signal Strength Indicator (wskaźnik siły odbieranego sygnału) - miara poziomu sygnału używana przez klienta przy wyborze punktu dostępowego.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.

Protokół WEP (Wired Equivalent Privacy) z 1997 roku używał 40- lub 104-bitowego klucza statycznego oraz algorytmu RC4 z wektorem inicjalizującym (IV) o długości 24 bitów. Ponieważ IV jest przesyłany jawnie i powtarza się po wyczerpaniu puli 16,7 miliona wartości, atakujący może przechwycić wystarczającą liczbę pakietów (kilkadziesiąt tysięcy w ruchliwych sieciach) i odzyskać klucz w kilka sekund. Standard 802.11i z 2004 roku definitywnie wycofał WEP, zastępując go WPA2.

WPA2-PSK z szyfrowaniem AES-CCMP (Counter Mode with CBC-MAC Protocol) jest nadal powszechnie stosowany, jednak jest podatny na ataki offline na hasło (PMKID lub słownikowy atak na 4-way handshake). WPA3 wprowadza protokół SAE (Simultaneous Authentication of Equals) - pochodną metody Dragonfly - który zapewnia bezpieczeństwo nawet przy słabych hasłach i uniemożliwia przechwycenie klucza parytetowego. Dodatkowo tryb OWE (Opportunistic Wireless Encryption) w WPA3 umożliwia szyfrowanie sieci otwartych, zapobiegając pasywnemu podsłuchiwaniu w hotspotach.

Skróty użyte w tym slajdzie:
WEP - Wired Equivalent Privacy (prywatność równoważna sieci przewodowej) - przestarzały mechanizm szyfrowania sieci Wi-Fi oparty na RC4.
WPA2 - Wi-Fi Protected Access 2 (chroniony dostęp Wi-Fi w wersji 2) - standard bezpieczeństwa Wi-Fi oparty na AES i CCMP.
WPA3 - Wi-Fi Protected Access 3 (chroniony dostęp Wi-Fi w wersji 3) - nowszy standard bezpieczeństwa Wi-Fi wprowadzający SAE.
IV - Initialization Vector (wektor inicjalizujący) - wartość początkowa używana w szyfrowaniu; w WEP miała tylko 24 bity.
RC4 - Rivest Cipher 4 (szyfr Rivesta 4) - strumieniowy algorytm szyfrowania używany w WEP.
AES - Advanced Encryption Standard (zaawansowany standard szyfrowania) - symetryczny algorytm szyfrowania używany w WPA2 i WPA3.
CCMP - Counter Mode with Cipher Block Chaining Message Authentication Code Protocol (tryb licznikowy z protokołem uwierzytelniania CBC-MAC) - tryb szyfrowania i uwierzytelniania ramek używany w WPA2.
CBC-MAC - Cipher Block Chaining Message Authentication Code (komunikat uwierzytelniający w trybie łańcuchowania bloków szyfru) - mechanizm uwierzytelniania używany w trybie CCMP.
PSK - Pre-Shared Key (współdzielony klucz wstępny) - hasło lub klucz współdzielony przez wszystkie urządzenia w sieci WPA2-Personal.
RADIUS - Remote Authentication Dial-In User Service (usługa zdalnego uwierzytelniania dostępu telefonicznego) - serwer uwierzytelniania używany w trybie WPA2-Enterprise.
SAE - Simultaneous Authentication of Equals (jednoczesne uwierzytelnianie równych stron) - mechanizm wymiany kluczy w WPA3 odporny na ataki słownikowe offline.
OWE - Opportunistic Wireless Encryption (oportunistyczne szyfrowanie bezprzewodowe) - mechanizm WPA3 szyfrujący otwarte sieci bez wspólnego hasła.
PMF - Protected Management Frames (chronione ramki zarządzające) - mechanizm IEEE 802.11w chroniący ramki zarządzające przed fałszowaniem.
PMKID - Pairwise Master Key Identifier (identyfikator głównego klucza parowania) - identyfikator używany w atakach offline na hasło WPA2-PSK.

Karta sieciowa (NIC) w warstwie łącza danych odpowiada za tworzenie ramek Ethernet: dodaje nagłówek z adresem MAC źródła i przeznaczenia, identyfikatorem EtherType oraz sekwencję kontrolną FCS (Frame Check Sequence) opartą na algorytmie CRC-32. Po stronie odbiorczej NIC weryfikuje FCS - jeśli suma kontrolna się nie zgadza, ramka jest odrzucana w milczeniu, bez powiadamiania warstwy wyższej. Karta filtruje również ramki według adresu MAC: odrzuca wszystkie, których adres docelowy nie jest jej własnym adresem, adresem rozgłoszeniowym (FF:FF:FF:FF:FF:FF) ani adresem multicastowym, na który karta została zaprogramowana.

Współczesne karty sieciowe korzystają z techniki offloadingu - część zadań L2 (obliczanie sumy kontrolnej TCP/IP, segmentacja dużych pakietów TSO/LSO) jest wykonywana sprzętowo, co odciąża procesor główny. Karty 10 GbE i szybsze używają interfejsu PCIe 3.0/4.0 i wielościeżkowego RSS (Receive Side Scaling), który rozdziela przychodzące ramki między wiele rdzeni procesora. W środowiskach serwerowych stosuje się funkcję SR-IOV, umożliwiającą bezpośrednie przypisanie funkcji wirtualnej NIC do maszyny wirtualnej z pominięciem hipernadzorcy.

Skróty użyte w tym slajdzie:
NIC - Network Interface Card (karta interfejsu sieciowego) - karta sieciowa realizująca warstwę łącza danych i warstwę fizyczną.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
FCS - Frame Check Sequence (sekwencja kontrolna ramki) - pole z sumą kontrolną na końcu ramki służące do wykrywania błędów transmisji.
PCIe - Peripheral Component Interconnect Express (szyna połączeń urządzeń peryferyjnych Express) - szeregowa magistrala służąca do podłączania kart rozszerzeń.
USB - Universal Serial Bus (uniwersalna magistrala szeregowa) - standard podłączania urządzeń peryferyjnych.
RJ-45 - Registered Jack 45 (zarejestrowane gniazdo 45) - złącze używane w okablowaniu Ethernet.
CRC - Cyclic Redundancy Check (cykliczny kod nadmiarowy) - algorytm sumy kontrolnej wykrywający błędy transmisji.
TCP/IP - Transmission Control Protocol/Internet Protocol (protokół sterowania transmisją i protokół internetowy) - rodzina protokołów tworząca podstawę komunikacji w Internecie.
TSO - TCP Segmentation Offload (odciążenie segmentacji TCP) - technika sprzętowego dzielenia dużych pakietów TCP przez kartę sieciową.
LSO - Large Send Offload (odciążenie dużej wysyłki) - technika sprzętowego dzielenia dużych buforów wysyłanych przez kartę sieciową.
RSS - Receive Side Scaling (skalowanie po stronie odbioru) - mechanizm rozdzielania odbieranych ramek między wiele rdzeni procesora.
SR-IOV - Single Root I/O Virtualization (wirtualizacja wejścia-wyjścia z jednym korzeniem) - mechanizm udostępniania funkcji wirtualnych karty sieciowej maszynom wirtualnym.

Agregacja łączy (Link Aggregation) zdefiniowana w standardzie IEEE 802.3ad (obecnie 802.1AX) pozwala na połączenie wielu fizycznych portów Ethernet w jeden interfejs logiczny (LAG). Ruch jest rozdzielany między łącza według algorytmu haszującego (hash), który może uwzględniać adresy MAC źródła i przeznaczenia, adresy IP oraz numery portów TCP/UDP. Dzięki haszowaniu wszystkie pakiety należące do jednej sesji trafiają do tego samego łącza, co zachowuje kolejność pakietów (nie ma potrzeby resekwencjonowania).

Protokół LACP (Link Aggregation Control Protocol) automatyzuje negocjację agregacji - wysyła ramki LACPDU w celu wykrycia sąsiedniego urządzenia, uzgodnienia parametrów i monitorowania stanu łącza. Standard przewiduje do 8 aktywnych łączy w grupie, niektórzy producenci oferują 16, przy czym część łączy może pełnić rolę rezerwowych. Przełącznik może tworzyć do 128 grup agregacji (liczby zależą od platformy sprzętowej i pojemności pamięci CAM).

Skróty użyte w tym slajdzie:
LACP - Link Aggregation Control Protocol (protokół kontroli agregacji łączy) - protokół negocjujący i nadzorujący agregację wielu łączy fizycznych.
LACPDU - Link Aggregation Control Protocol Data Unit (jednostka danych protokołu LACP) - ramka wymieniana przez urządzenia w celu negocjacji agregacji.
LAG - Link Aggregation Group (grupa agregacji łączy) - logiczna grupa portów fizycznych tworzących jeden interfejs.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
IP - Internet Protocol (protokół internetowy) - protokół warstwy sieciowej odpowiedzialny za adresowanie i routing pakietów.
TCP - Transmission Control Protocol (protokół sterowania transmisją) - protokół transportowy, którego numery portów mogą być używane w haszowaniu.
UDP - User Datagram Protocol (protokół datagramów użytkownika) - protokół transportowy, którego numery portów mogą być używane w haszowaniu.
CAM - Content-Addressable Memory (pamięć adresowalna zawartością) - pamięć sprzętowa przechowująca tablicę adresów MAC i przeszukiwana jednocześnie po zawartości.

Przełącznik warstwy 3 (zwany również przełącznikiem wielowarstwowym lub multilayer switch) łączy w jednym urządzeniu funkcje przełączania L2 z trasowaniem L3 realizowanym w dedykowanych układach ASIC. W przeciwieństwie do routera programowego, gdzie decyzja o przekazaniu pakietu jest podejmowana przez procesor ogólnego przeznaczenia, przełącznik L3 wykonuje trasowanie z wydajnością wire-speed, która zależy od platformy i profilu ruchu i sięga milionów pakietów na sekundę. Typowym przykładem są aktualne przełączniki Cisco Catalyst serii 9300 i 9500, które potrafią trasować zarówno protokół IPv4, jak i IPv6 na wielu portach jednocześnie.

Decyzja trasowania w przełączniku L3 opiera się na trzech głównych krokach: sprawdzeniu tablicy trasowania (FIB), zmianie adresów MAC w nagłówku ramki, oraz zmniejszeniu wartości pola TTL i ponownym obliczeniu sumy kontrolnej IP. Przełącznik L3 zazwyczaj obsługuje protokoły trasowania dynamicznego, takie jak OSPF, EIGRP i BGP (w modelach wyższych klas), ale w odróżnieniu od routera granicznego ma ograniczoną pamięć tablicy trasowania. W praktyce przełączniki L3 pełnią rolę szkieletową w sieciach przedsiębiorstw, zastępując tradycyjne routery dystrybucyjne.

Skróty użyte w tym slajdzie:
ASIC - Application-Specific Integrated Circuit (układ scalony do zastosowań specjalnych) - wyspecjalizowany układ sprzętowy realizujący przekazywanie ramek z dużą szybkością.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
IPv4 - Internet Protocol version 4 (protokół internetowy w wersji 4) - wersja protokołu IP używająca 32-bitowych adresów.
IPv6 - Internet Protocol version 6 (protokół internetowy w wersji 6) - wersja protokołu IP używająca 128-bitowych adresów.
FIB - Forwarding Information Base (baza informacji o przekazywaniu) - tablica trasowania używana przez przełącznik do wyboru portu wyjściowego.
TTL - Time to Live (czas życia) - pole pakietu IP zmniejszane przy każdym przeskoku, zapobiegające pętlom.
OSPF - Open Shortest Path First (najkrótsza ścieżka pierwsza) - protokół trasowania dynamicznego typu link-state.
EIGRP - Enhanced Interior Gateway Routing Protocol (ulepszony wewnętrzny protokół trasowania bram) - protokół trasowania dynamicznego firmy Cisco.
BGP - Border Gateway Protocol (protokół bram granicznych) - protokół trasowania między systemami autonomicznymi.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.

Podstawowa różnica między warstwą 2 a warstwą 3 tkwi w jednostce adresacji i zasięgu dostarczania ramek. Warstwa 2 operuje na adresach MAC (48 bitów, przypisanych na stałe do interfejsu) i dostarcza ramki tylko w obrębie jednej domeny kolizyjnej lub domeny rozgłoszeniowej - nie jest w stanie przekazać danych poza przełącznik bez trasowania. Warstwa 3 używa adresów IP (32 bity dla IPv4, 128 bitów dla IPv6), które mają strukturę hierarchiczną z częścią sieciową i hostową, co umożliwia skalowalne trasowanie w skali globalnego Internetu.

Domena rozgłoszeniowa warstwy 2 jest wyznaczana przez granice przełącznika (lub sieci VLAN) - ramka broadcast MAC (FF:FF:FF:FF:FF:FF) jest dostarczana do wszystkich portów w tej samej VLAN. Warstwa 3 natomiast nie propaguje pakietów broadcast przez routery - router zatrzymuje je na interfejsie, co zapobiega zalewaniu całej sieci ruchem rozgłoszeniowym. Z tego powodu projektowanie sieci opiera się na równowadze: im mniejsza domena L2, tym mniej niepotrzebnego ruchu broadcast, ale więcej konieczności trasowania.

Skróty użyte w tym slajdzie:
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
IP - Internet Protocol (protokół internetowy) - protokół warstwy sieciowej odpowiedzialny za adresowanie i trasowanie pakietów.
LAN - Local Area Network (lokalna sieć komputerowa) - sieć obejmująca ograniczony obszar, zwykle jedną lokalizację.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
STP - Spanning Tree Protocol (protokół drzewa rozpinającego) - protokół warstwy 2 budujący logiczne drzewo bez pętli i blokujący nadmiarowe porty.
OSPF - Open Shortest Path First (najkrótsza ścieżka pierwsza) - protokół trasowania dynamicznego typu link-state.
EIGRP - Enhanced Interior Gateway Routing Protocol (ulepszony wewnętrzny protokół trasowania bram) - protokół trasowania dynamicznego firmy Cisco.
BGP - Border Gateway Protocol (protokół bram granicznych) - protokół trasowania między systemami autonomicznymi.
IPv4 - Internet Protocol version 4 (protokół internetowy w wersji 4) - wersja protokołu IP używająca 32-bitowych adresów.
IPv6 - Internet Protocol version 6 (protokół internetowy w wersji 6) - wersja protokołu IP używająca 128-bitowych adresów.

Warstwa łącza danych (L2) modelu OSI jest odpowiedzialna za niezawodną komunikację między dwoma bezpośrednio połączonymi węzłami w tej samej sieci fizycznej lub logicznej. Do jej kluczowych funkcji należy enkapsulacja pakietów warstwy 3 w ramki (ang. frame) z odpowiednim nagłówkiem i zakończeniem, w tym adresowaniem MAC oraz sumą kontrolną FCS. Ponadto L2 odpowiada za kontrolę dostępu do medium (MAC sublayer) - w Ethernetu jest to CSMA/CD (historycznie) lub przełączanie pełnodupleksowe, a w sieciach Wi-Fi - CSMA/CA.

Funkcja detekcji błędów w L2 opiera się na ciągu CRC-32 umieszczonym w polu FCS - karta sieciowa oblicza sumę dla odebranej ramki i porównuje z wartością w ramce; w przypadku niezgodności ramka jest cicho odrzucana. W przeciwieństwie do warstwy transportowej (TCP) Ethernet w warstwie 2 nie retransmituje ramek, natomiast warstwa MAC sieci Wi-Fi stosuje retransmisje - odzyskiwanie zagubionych danych pozostaje zadaniem protokołów wyższych warstw. W sieciach przewodowych współczynnik błędów ramek (FER) jest bardzo niski (rzędu 10^-12), podczas gdy w łączach bezprzewodowych może sięgać 10^-4 lub więcej, co wymaga mechanizmów korekcji błędów (FEC) w standardach 802.11n/ac/ax.

Skróty użyte w tym slajdzie:
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
FCS - Frame Check Sequence (sekwencja kontrolna ramki) - pole z sumą kontrolną na końcu ramki służące do wykrywania błędów transmisji.
CSMA/CD - Carrier Sense Multiple Access with Collision Detection (wielodostęp z nasłuchiwaniem nośnej i wykrywaniem kolizji) - protokół dostępu do współdzielonego medium Ethernet, który wykrywa kolizje i zarządza retransmisją.
CSMA/CA - Carrier Sense Multiple Access with Collision Avoidance (wielodostęp z nasłuchiwaniem nośnej i unikaniem kolizji) - protokół dostępu do medium radiowego, który stara się zapobiegać kolizjom.
CRC - Cyclic Redundancy Check (cykliczny kod nadmiarowy) - algorytm sumy kontrolnej wykrywający błędy transmisji.
TCP - Transmission Control Protocol (protokół sterowania transmisją) - protokół transportowy, którego numery portów mogą być używane w haszowaniu.
FER - Frame Error Rate (współczynnik błędów ramek) - stosunek liczby błędnych ramek do wszystkich odebranych ramek.
FEC - Forward Error Correction (korekcja błędów z wyprzedzeniem) - mechanizm korekcji błędów stosowany w standardach 802.11n/ac/ax.

Wire-speed to termin określający zdolność przełącznika do przetwarzania i przekazywania ramek z prędkością równą szybkości interfejsu fizycznego. Dla portu Gigabit Ethernet oznacza to przepustowość 1 Gb/s w każdą stronę (full duplex), co przy minimalnej ramce 64 bajtów wraz z preambułą, znacznikiem SFD i przerwą międzyramkową wymaga obsłużenia około 1,488 mln ramek na sekundę (pps). Przełączniki osiągają tę wydajność dzięki dedykowanym układom ASIC (Application-Specific Integrated Circuit), które wykonują całe przetwarzanie ścieżki danych w sprzęcie, bez angażowania procesora ogólnego przeznaczenia.

ASIC przełącznika implementuje w krzemie takie funkcje, jak odczyt adresu MAC źródła, wyszukiwanie w tablicy CAM (Content-Addressable Memory) dla adresów oraz w pamięci TCAM dla reguł, dodanie lub usunięcie znacznika VLAN, aktualizację czasu wygaśnięcia wpisu, oraz przekazanie ramki do odpowiedniego portu wyjściowego. Wyszukiwanie w pamięci CAM odbywa się w jednym cyklu zegara (rzędu kilku nanosekund), niezależnie od liczby wpisów. Współczesne układy ASIC w przełącznikach 100 GbE (np. Broadcom Tomahawk 5) osiągają przepustowość 51,2 Tb/s i obsługują zaawansowane funkcje, takie jak VXLAN, ACL czy szyfrowanie MACsec.

Skróty użyte w tym slajdzie:
ASIC - Application-Specific Integrated Circuit (układ scalony do zastosowań specjalnych) - wyspecjalizowany układ sprzętowy realizujący przekazywanie ramek z dużą szybkością.
CPU - Central Processing Unit (procesor centralny) - główny układ obliczeniowy urządzenia, w przełączniku widoczny także jako port wewnętrzny.
CAM - Content-Addressable Memory (pamięć adresowalna zawartością) - pamięć sprzętowa przechowująca tablicę adresów MAC i przeszukiwana jednocześnie po zawartości.
SFD - Start Frame Delimiter (znacznik początku ramki) - bajt oznaczający początek właściwej ramki Ethernet po preambule.
TCAM - Ternary Content-Addressable Memory (trójstanowa pamięć adresowalna zawartością) - pamięć sprzętowa przechowująca reguły, między innymi ACL.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
VXLAN - Virtual Extensible Local Area Network (wirtualna rozszerzalna sieć lokalna) - protokół tunelowania sieci L2 w sieci L3.
ACL - Access Control List (lista kontroli dostępu) - zestaw reguł filtrowania ruchu lub kontroli dostępu.
MACsec - MAC Security (bezpieczeństwo MAC) - standard IEEE 802.1AE szyfrujący ruch na warstwie 2.
GbE - Gigabit Ethernet (Ethernet gigabitowy) - standard Ethernetu o przepustowości 1 Gb/s.
pps - packets per second (pakietów na sekundę) - jednostka określająca liczbę pakietów przetwarzanych w ciągu sekundy.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.

Niedopasowanie dupleksu (duplex mismatch) jest jednym z najczęstszych problemów w sieciach Ethernet - występuje, gdy jedna strona łącza działa w trybie pełnego dupleksu, a druga w półdupleksie. W takiej sytuacji strona półdupleksowa włącza mechanizm wykrywania kolizji i interpretuje ramki od strony pełnodupleksowej jako kolizję, co prowadzi do masowych retransmisji, błędów FCS i gwałtownego spadku przepustowości (efekt późnej kolizji). Diagnoza polega na sprawdzeniu liczników interfejsu: narastające wartości w kolumnach runts, CRC errors, collisions dla półdupleksu oraz frame check sequence errors dla pełnego dupleksu.

Burza rozgłoszeniowa (broadcast storm) zachodzi, gdy pętla w topologii L2 powoduje niekontrolowane namnażanie ramek broadcast - każdy przełącznik retransmituje ramkę na wszystkie porty, a ta wraca przez pętlę i jest retransmitowana ponownie. Mechanizmem obronnym jest STP (Spanning Tree Protocol) oraz funkcje ochronne, takie jak storm-control i BPDU Guard. Przepełnienie tablicy MAC (MAC table overflow) następuje, gdy atakujący wysyła ramki z losowymi adresami źródłowymi MAC, wypełniając pamięć CAM i zmuszając przełącznik do trybu zalewania (hub mode) - zapobiega temu limitowanie liczby adresów MAC na port (port security).

Skróty użyte w tym slajdzie:
CRC - Cyclic Redundancy Check (cykliczny kod nadmiarowy) - algorytm sumy kontrolnej wykrywający błędy transmisji.
FCS - Frame Check Sequence (sekwencja kontrolna ramki) - pole z sumą kontrolną na końcu ramki służące do wykrywania błędów transmisji.
STP - Spanning Tree Protocol (protokół drzewa rozpinającego) - protokół warstwy 2 budujący logiczne drzewo bez pętli i blokujący nadmiarowe porty.
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
CAM - Content-Addressable Memory (pamięć adresowalna zawartością) - pamięć sprzętowa przechowująca tablicę adresów MAC i przeszukiwana jednocześnie po zawartości.
BPDU - Bridge Protocol Data Unit (jednostka danych protokołu mostu) - ramka sterująca wymieniana przez przełączniki w protokole STP.
CPU - Central Processing Unit (procesor centralny) - główny układ obliczeniowy urządzenia, w przełączniku widoczny także jako port wewnętrzny.

Domena rozgłoszeniowa (broadcast domain) to zbiór urządzeń, które odbierają wzajemnie swoje ramki broadcast - w przełączanej sieci Ethernet bez VLAN jest to cała sieć L2, a po podziale na VLAN każda VLAN stanowi odrębną domenę. Zbyt duża domena rozgłoszeniowa powoduje marnowanie przepustowości: każdy host wysyła np. zapytania ARP (dla IPv4) lub Neighbor Solicitation (dla IPv6), które są obsługiwane przez wszystkie urządzenia w domenie, nawet jeśli nie dotyczą danej stacji. Orientacyjna wielkość domeny rozgłoszeniowej w sieci przedsiębiorstwa to 200-500 urządzeń, przy czym wartość ta zależy od charakteru ruchu i wydajności przełączników.

Projektowanie domen rozgłoszeniowych opiera się na odpowiednim przypisaniu VLAN do grup funkcjonalnych - osobna VLAN dla transmisji danych głosowych (VoIP), osobna dla ruchu zarządzającego, osobna dla gości i osobna dla urządzeń IoT. Router lub przełącznik L3 pełni funkcję bramy domyślnej dla każdej VLAN, umożliwiając komunikację między domenami. W IPv6 zamiast zapytań broadcast używane są komunikaty Neighbor Solicitation do adresów multicast. W nowoczesnych sieciach stosuje się zasadę zero-trust i mikrosegmentację opartą na mechanizmach takich jak Cisco TrustSec oraz grupach zabezpieczeń SGACL, co wykracza poza tradycyjny podział na VLAN.

Skróty użyte w tym slajdzie:
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
ARP - Address Resolution Protocol (protokół rozwiązywania adresów) - protokół odwzorowujący adresy IPv4 na adresy MAC w sieci lokalnej.
DHCP - Dynamic Host Configuration Protocol (protokół dynamicznej konfiguracji hosta) - protokół automatycznego przydzielania adresów IP i parametrów sieciowych.
NetBIOS - Network Basic Input/Output System (podstawowy sieciowy system wejścia-wyjścia) - interfejs programistyczny i protokół używany między innymi do rozgłaszania nazw w sieci lokalnej.
IP - Internet Protocol (protokół internetowy) - protokół warstwy sieciowej odpowiedzialny za adresowanie i routing pakietów.
VoIP - Voice over Internet Protocol (telefonia przez protokół internetowy) - technologia transmisji mowy przez sieć IP.
IoT - Internet of Things (internet rzeczy) - sieć urządzeń wbudowanych łączących się z siecią i wymieniających dane.
SGACL - Security Group Access Control List (lista kontroli dostępu grup zabezpieczeń) - mechanizm ACL oparty na grupach zabezpieczeń w rozwiązaniu Cisco TrustSec.
IPv4 - Internet Protocol version 4 (protokół internetowy w wersji 4) - wersja protokołu IP używająca 32-bitowych adresów.
IPv6 - Internet Protocol version 6 (protokół internetowy w wersji 6) - wersja protokołu IP używająca 128-bitowych adresów.

Warstwa łącza danych (L2) stanowi pomost między fizycznym medium transmisyjnym a warstwą sieciową, odpowiadając za niezawodną ramkę danych w obrębie jednego segmentu sieci. Przełącznik Ethernet (most wieloportowy) zastąpił koncentratory i mosty, wprowadzając mikrosegmentację - każdy port stanowi oddzielną domenę kolizyjną, co umożliwia jednoczesną transmisję wielu ramek bez kolizji. Protokół STP (802.1D), a następnie RSTP (802.1w) i MSTP (802.1s), eliminuje pętle w topologii sieci, zapewniając nadmiarowe ścieżki bez ryzyka burzy rozgłoszeniowej.

Sieci VLAN (802.1Q) dzielą jedną fizyczną sieć L2 na logicznie odizolowane segmenty, umożliwiając separację ruchu bez zmiany okablowania. W sieciach bezprzewodowych punkt dostępowy (AP) działa jako pomost L2 między klientami Wi-Fi a siecią kablową, enkapsulując ramki 802.11 do ramek Ethernet. Łącząc wszystkie te elementy - przełączanie, VLAN, STP, agregację łączy i bezpieczeństwo portowe - warstwa 2 dostarcza solidnego fundamentu dla komunikacji w sieciach lokalnych i kampusowych.

Skróty użyte w tym slajdzie:
MAC - Media Access Control (kontrola dostępu do medium) - podwarstwa warstwy łącza danych oraz 48-bitowy adres fizyczny interfejsu sieciowego używany do adresowania ramek.
STP - Spanning Tree Protocol (protokół drzewa rozpinającego) - protokół warstwy 2 budujący logiczne drzewo bez pętli i blokujący nadmiarowe porty.
RSTP - Rapid Spanning Tree Protocol (szybki protokół drzewa rozpinającego) - wersja STP z IEEE 802.1w o krótszym czasie zbieżności.
MSTP - Multiple Spanning Tree Protocol (protokół wielu drzew rozpinających) - rozszerzenie STP z IEEE 802.1s obsługujące wiele niezależnych instancji drzewa.
VLAN - Virtual Local Area Network (wirtualna sieć lokalna) - logicznie wydzielona sieć LAN stanowiąca osobną domenę rozgłoszeniową.
AP - Access Point (punkt dostępowy) - urządzenie warstwy 2 pełniące rolę pomostu między siecią przewodową a bezprzewodową.
DAI - Dynamic ARP Inspection (dynamiczna inspekcja ARP) - mechanizm weryfikujący ramki ARP, między innymi na podstawie bazy DHCP Snooping.
ARP - Address Resolution Protocol (protokół rozwiązywania adresów) - protokół odwzorowujący adresy IPv4 na adresy MAC w sieci lokalnej.
CSMA/CA - Carrier Sense Multiple Access with Collision Avoidance (wielodostęp z nasłuchiwaniem nośnej i unikaniem kolizji) - protokół dostępu do medium radiowego, który stara się zapobiegać kolizjom.
CSMA/CD - Carrier Sense Multiple Access with Collision Detection (wielodostęp z nasłuchiwaniem nośnej i wykrywaniem kolizji) - protokół dostępu do współdzielonego medium Ethernet, który wykrywa kolizje i zarządza retransmisją.
IP - Internet Protocol (protokół internetowy) - protokół warstwy sieciowej odpowiedzialny za adresowanie i trasowanie pakietów.