Routing to proces podejmowania decyzji o tym, którą drogą przesłać pakiet do sieci docelowej, realizowany przez routery na podstawie tablic routingu. Adres IP pełni funkcję jednoznacznego identyfikatora interfejsu sieciowego w całej sieci — bez niego komunikacja między odległymi sieciami byłaby niemożliwa, ponieważ warstwa druga operuje wyłącznie w obrębie jednego segmentu LAN.

Warstwa trzecia wprowadza pojęcie sieci logicznej, która może obejmować wiele segmentów fizycznych połączonych routerami. Dzięki adresacji hierarchicznej (część sieciowa + część hosta) routing staje się skalowalny — router nie musi znać każdego hosta, wystarczy mu znajomość tras do poszczególnych podsieci, co radykalnie zmniejsza rozmiar tablic routingu.

W sieci Ethernet rozgłoszenia (broadcasty) docierają do wszystkich urządzeń w tej samej domenie kolizyjno-rozgłoszeniowej, co przy dużej liczbie hostów prowadzi do niepotrzebnego obciążania procesorów kart sieciowych wszystkich stacji. Każde urządzenie musi przerwać pakiet broadcastowy, nawet jeśli nie jest jego adresatem, co w skali setek lub tysięcy hostów powoduje znaczną degradację wydajności.

Tablica MAC w przełączniku ma ograniczoną pojemność — pamięć CAM (Content Addressable Memory) mieści zwykle od kilku tysięcy do kilkudziesięciu tysięcy wpisów, a przekroczenie tego limitu zmusza przełącznik do zalewania (floodingu) ramek na wszystkie porty, co jeszcze pogłębia problem rozgłoszeniowy. Podział sieci na mniejsze segmenty logiczne za pomocą routerów umożliwia izolację domen rozgłoszeniowych, ograniczając zasięg broadcastów wyłącznie do jednej podsieci.

Warstwa sieciowa enkapsuluje jednostkę danych PDU (Protocol Data Unit) w pakiet, dodając nagłówek zawierający adres źródłowy i docelowy warstwy trzeciej oraz takie pola jak TTL (Time to Live) czy identyfikator protokołu. Każdy router na trasie zmniejsza pole TTL o co najmniej jeden — gdy osiągnie zero, pakiet jest odrzucany, co zapobiega zapętlaniu się pakietów w sieci.

Fragmentacja w warstwie sieciowej dzieli pakiet na mniejsze części, gdy jego rozmiar przekracza MTU (Maximum Transmission Unit) łącza, a po stronie odbiorcy fragmenty są ponownie składane w całość. W protokole IPv6 zadanie fragmentacji przeniesiono wyłącznie na host nadawczy (fragmentacja po drodze jest zabroniona), co upraszcza działanie routerów i przyspiesza przetwarzanie pakietów.

Router, odbierając ramkę z interfejsu, usuwa jej nagłówek i zakończenie warstwy drugiej (de-encji), analizuje nagłówek pakietu warstwy trzeciej, po czym tworzy nową ramkę dopasowaną do technologii łącza wyjściowego — na przykład ramka Ethernet wejściowa może zostać przekształcona w ramkę PPP przy łączu szeregowym. Router nie modyfikuje adresów IP źródłowego i docelowego (chyba że stosuje NAT), ale adresy MAC źródłowy i docelowy ulegają całkowitej zmianie na każdym skoku.

Pakiet podróżujący przez Internet od nadawcy do odbiorcy przechodzi przez wiele routerów, z których każdy wykonuje tę samą sekwencję: odbiór ramki → dekapsulacja → odczyt adresu docelowego → sprawdzenie tablicy routingu → enkapsulacja w nową ramkę → wysłanie. Zjawisko to nazywa się routingiem z przeskokami (hop-by-hop) i stanowi fundament działania wszystkich sieci IP.

Router jest urządzeniem warstwy trzeciej, które podejmuje decyzję o przekazaniu pakietu na podstawie logicznego adresu docelowego zawartego w nagłówku IP. Każdy interfejs routera należy do innej podsieci IP, a router nie przesyła dalej rozgłoszeń warstwy drugiej (broadcastów L2) — tym samym izoluje domeny rozgłoszeniowe, co jest kluczową różnicą w stosunku do przełączników warstwy drugiej.

Tablica routingu przechowuje wpisy pochodzące z trzech źródeł: bezpośrednio podłączonych sieci (connected), tras statycznych konfigurowanych ręcznie przez administratora oraz tras dynamicznych pozyskiwanych przez protokoły rutingu, takie jak OSPF (Open Shortest Path First) czy BGP (Border Gateway Protocol). Router wybiera trasę o najdłuższym dopasowaniu prefiksu (longest prefix match), czyli najbardziej precyzyjną ścieżkę do celu.

Adres IPv4 ma długość 32 bitów — ponieważ człowiekowi trudno operować ciągami binarnymi, zapisuje się go w postaci czterech oktetów (8-bitowych grup) oddzielonych kropkami, każdy w zakresie 0–255. Binarny zapis każdego oktetu to osiem bitów, gdzie waga kolejnych pozycji wynosi odpowiednio 128, 64, 32, 16, 8, 4, 2 i 1 — suma wag zapalonych bitów daje wartość dziesiętną oktetu.

Konwersja między systemami jest niezbędna przy projektowaniu podsieci i obliczaniu adresów sieciowych. Na przykład adres 192.168.1.10 w zapisie binarnym to 11000000.10101000.00000001.00001010 — każda jedynka oznacza włączenie odpowiadającej jej wagi, a każde zero jej wyłączenie, co po zsumowaniu daje wspomniane wartości dziesiętne.

Adres IP jest podzielony na dwie logiczne części: identyfikator sieci (network ID) określa, do której podsieci należy urządzenie, a identyfikator hosta (host ID) jednoznacznie wskazuje konkretne urządzenie w obrębie tej sieci. Granicę między tymi częściami wyznacza maska podsieci — bez niej nie można stwierdzić, która część adresu należy do sieci, a która do hosta.

Gdy host chce wysłać pakiet do innego urządzenia, najpierw oblicza, czy adres docelowy znajduje się w tej samej podsieci — jeśli tak, wysyła ramkę bezpośrednio do odbiorcy przez przełącznik; jeśli nie, kieruje pakiet do bramy domyślnej (routera), która zajmuje się dalszym przekazaniem. Decyzja ta jest możliwa właśnie dzięki porównaniu identyfikatorów sieciowych.

Maska podsieci to 32-bitowa liczba, w której bity o wartości 1 oznaczają część sieciową adresu, a bity o wartości 0 — część hostową. W zapisie dziesiętnym maska przyjmuje postać ciągu czterech oktetów, na przykład 255.255.255.0 oznacza, że pierwsze 24 bity są częścią sieci, a pozostałe 8 bitów są przeznaczone dla hostów.

Notacja CIDR (Classless Inter-Domain Routing) upraszcza zapis maski, podając po adresie ukośnik i liczbę bitów sieciowych, np. /24 odpowiada masce 255.255.255.0. Im dłuższy prefiks (większa liczba po ukośniku), tym mniejsza liczba dostępnych hostów w podsieci, ale jednocześnie więcej możliwych podsieci w całej przestrzeni adresowej.

Operacja logiczna AND na poziomie bitów między adresem IP a maską podsieci pozwala wyznaczyć adres sieci — każdy bit adresu jest mnożony przez odpowiadający mu bit maski (1 × 1 = 1, 1 × 0 = 0). Ponieważ maska ma bity sieciowe ustawione na 1, a hostowe na 0, wynik AND zeruje wszystkie bity hosta, pozostawiając nienaruszone bity sieci — w ten sposób otrzymujemy adres sieciowy.

Przykładowo dla adresu 192.168.1.37 z maską 255.255.255.0 (/24) operacja AND daje 192.168.1.0 — jest to adres sieci. Zmiana choćby jednego bitu w adresie lub masce daje inny wynik, dlatego poprawność maski jest kluczowa przy konfiguracji interfejsów sieciowych i tras statycznych w routerach.

Adres sieci (pierwszy adres w podsieci) ma wszystkie bity hosta wyzerowane — nie można go przypisać żadnemu interfejsowi, ponieważ służy wyłącznie do identyfikacji całej podsieci w tablicach routingu. Adres rozgłoszeniowy (broadcast) ma wszystkie bity hosta ustawione na 1 — pakiet wysłany na ten adres trafia do wszystkich urządzeń w danej podsieci.

Liczbę hostów możliwych do zaadresowania w podsieci oblicza się według wzoru 2^n − 2, gdzie n to liczba bitów hosta. Odejmuje się dwa adresy właśnie dlatego, że jeden jest zarezerwowany dla adresu sieci, a drugi dla adresu rozgłoszeniowego. Na przykład w sieci /24 (8 bitów hosta) dostępnych jest 2^8 − 2 = 254 adresy dla urządzeń końcowych.

RFC 1918 definiuje trzy zakresy adresów prywatnych: 10.0.0.0/8 (ponad 16 milionów adresów), 172.16.0.0/12 (około 1 miliona adresów) oraz 192.168.0.0/16 (65 536 adresów). Adresy te mogą być używane dowolnie w sieciach wewnętrznych, ale nie są rutowane w publicznym Internecie — routery ISP odrzucają pakiety z takimi adresami źródłowymi.

Adresy publiczne są unikalne globalnie i przydzielane przez regionalne rejestry internetowe (RIPE NCC dla Europy, ARIN dla Ameryki Północnej itd.). Aby host z adresem prywatnym mógł komunikować się z Internetem, konieczne jest zastosowanie translacji adresów sieciowych (NAT), która zamienia prywatny adres źródłowy na publiczny adres interfejsu zewnętrznego routera.

Brama domyślna to adres IP routera, do którego host wysyła wszystkie pakiety przeznaczone dla sieci innych niż lokalna. Jeśli host nie zna trasy do konkretnej sieci docelowej, używa właśnie trasy domyślnej (0.0.0.0/0), której następnym skokiem jest adres bramy — bez tego wpisu host nie opuści swojej podsieci.

W konfiguracji hosta brama domyślna musi należeć do tej samej podsieci co interfejs hosta — w przeciwnym razie ramka nie może zostać dostarczona bezpośrednio na poziomie warstwy drugiej. Protokoły DHCP (Dynamic Host Configuration Protocol) automatycznie przekazują adres bramy domyślnej wraz z resztą parametrów konfiguracyjnych, zwalniając użytkownika z ręcznego wpisywania tych danych.

Podstawową konfigurację hosta w sieci IPv4 stanowią cztery parametry: adres IP jednoznacznie identyfikujący interfejs w sieci, maska podsieci określająca przynależność do podsieci, brama domyślna wskazująca router wyjściowy oraz adres serwera DNS (Domain Name System) tłumaczącego nazwy domenowe na adresy IP. Brak któregokolwiek z tych parametrów uniemożliwia prawidłową komunikację sieciową.

Adres DNS jest często pomijany przez początkujących administratorów — bez niego host nie jest w stanie rozwiązać nazwy takiej jak www.example.com na adres IP, choć nadal może komunikować się z innymi urządzeniami za pomocą samych adresów IP. W praktyce DNS jest krytyczny, ponieważ większość usług sieciowych (przeglądarki WWW, klienty poczty) opiera się na nazwach domenowych, a nie na adresach liczbowych.

W systemie Windows polecenie ipconfig /all wyświetla szczegółowe informacje o wszystkich interfejsach sieciowych, w tym adres fizyczny MAC, adres IPv4, maskę podsieci, bramę domyślną, serwery DNS oraz status dzierżawy DHCP. W systemach Linux odpowiednikiem jest polecenie ip addr (lub przestarzałe ifconfig), które pokazuje podobne dane, ale w bardziej zwięzłej formie.

Polecenia te są podstawowym narzędziem diagnostycznym przy rozwiązywaniu problemów sieciowych — pozwalają szybko sprawdzić, czy host otrzymał poprawną konfigurację od serwera DHCP, czy nie występuje konflikt adresów IP (komunikat o duplikacie adresu) oraz czy interfejs ma łączność fizyczną (link-local address lub status media disconnected). Bez tych informacji dalsza diagnostyka, taka jak testowanie łączności poleceniem ping, może być myląca.

Historyczny podział adresów IPv4 na klasy A (1.0.0.0–126.255.255.255), B (128.0.0.0–191.255.255.255) i C (192.0.0.0–223.255.255.255) opierał się na sztywnych maskach — odpowiednio /8, /16 i /24. Prowadziło to do ogromnego marnotrawstwa przestrzeni adresowej, ponieważ organizacja potrzebująca 300 adresów musiała otrzymać całą klasę B (65 534 adresy), z której większość pozostawała niewykorzystana.

Standard CIDR (Classless Inter-Domain Routing) zniósł sztywne klasy i wprowadził dowolne maski o dowolnej długości, umożliwiając precyzyjne dopasowanie wielkości podsieci do rzeczywistych potrzeb — na przykład /23 (512 adresów) dla potrzeby 300 hostów zamiast klasy B. CIDR pozwolił też na agregację tras (route aggregation lub supernetting), co radykalnie zmniejszyło rozmiar tablic routingu w routerach szkieletowych Internetu.

Każdy wpis w tablicy routingu zawiera co najmniej cztery podstawowe elementy: adres sieci docelowej wraz z maską (określające, do której podsieci wpis się odnosi), adres następnego skoku (next-hop), czyli adres IP kolejnego routera na drodze do celu, oraz interfejs wyjściowy, przez który router ma wysłać pakiet. Dodatkowo metryka (koszt) określa preferencję trasy — im niższa wartość, tym trasa jest bardziej atrakcyjna.

Router porównuje adres docelowy pakietu ze wszystkimi wpisami w tablicy, wybierając ten o najdłuższym dopasowaniu prefiksu — na przykład dla celu 192.168.1.100 spośród tras 192.168.0.0/16 i 192.168.1.0/24 wybrana zostanie ta druga, ponieważ jest bardziej precyzyjna. Trasa domyślna (0.0.0.0/0) ma najkrótszy prefiks i jest używana tylko wtedy, gdy żaden inny wpis nie pasuje do adresu docelowego.

Po odebraniu ramki z interfejsu fizycznego router sprawdza pole FCS ramki warstwy drugiej, aby zweryfikować jej integralność. Jeśli adres MAC docelowy w ramce nie jest zgodny z adresem interfejsu routera ani adresem rozgłoszeniowym, ramka jest odrzucana na poziomie warstwy łącza. Po potwierdzeniu poprawności ramki router usuwa nagłówek warstwy drugiej i odczytuje nagłówek IP, analizując przede wszystkim docelowy adres IP oraz pole TTL (Time to Live).

Zanim router sięgnie po tablicę routingu, dekrementuje wartość TTL w pakiecie — jeśli spadnie do zera, pakiet jest odrzucany, a nadawca otrzymuje komunikat ICMP Time Exceeded. Następnie router przeszukuje tablicę routingu w poszukiwaniu najdłuższego dopasowania prefiksu (longest prefix match) dla docelowego adresu IP. Gdy wpis zostanie znaleziony, router tworzy nową ramkę warstwy łącza: podmienia adres MAC źródłowy na własny adres interfejsu wyjściowego, a docelowy na adres MAC następnego skoku (next-hop) uzyskany przez ARP.

W systemie Cisco IOS polecenie `show ip route` wyświetla tablicę routingu IP, w której każdy wpis oznaczony jest literowym kodem źródła trasy. Kod C oznacza sieć bezpośrednio podłączoną (connected), L — lokalny adres interfejsu (local), S — trasę statyczną (static), a S* — domyślną trasę statyczną (static default). Kody O, D i R pochodzą odpowiednio z protokołów dynamicznych: OSPF, EIGRP oraz RIP, przy czym każdy z tych protokołów ma własną miarę odległości (metrykę) i priorytet administracyjny.

Administrative distance (AD) to wartość liczbowa określająca wiarygodność źródła trasy — im niższa, tym bardziej zaufane źródło. Dla tras bezpośrednio podłączonych AD wynosi 0, dla tras statycznych 1, dla tras EIGRP 90, OSPF 110, a dla RIP 120. Gdy router otrzymuje informację o tej samej sieci docelowej z dwóch różnych protokołów, wybiera wpis o niższej wartości AD, co zapobiega konfliktom w tablicy routingu.

Trasa bezpośrednio podłączona (oznaczona kodem C) pojawia się w tablicy routingu automatycznie w momencie przypisania adresu IP z maską do interfejsu routera i podniesienia jego stanu administracyjnego oraz fizycznego (up/up). Router zakłada wówczas, że cała przestrzeń adresowa zdefiniowana przez kombinację adresu i maski znajduje się za tym interfejsem, co pozwala mu kierować pakiety bezpośrednio do hostów w tej samej podsieci bez konieczności odpytywania jakiegokolwiek protokołu routingu.

Wraz z trasą C dodawana jest automatycznie trasa L (local), która wskazuje dokładnie na adres IP przypisany do interfejsu. Trasa L ma maskę /32, ponieważ reprezentuje pojedynczy interfejs routera, a nie całą podsieć. Gdy interfejs zostanie wyłączony administracyjnie (shutdown) lub wystąpi awaria fizyczna, obie trasy — zarówno C, jak i L — są natychmiast usuwane z tablicy routingu, co uniemożliwia dalszą transmisję przez to łącze.

Routing statyczny wymaga ręcznego wprowadzenia każdej trasy przez administratora, co daje pełną kontrolę nad ścieżkami przepływu danych w sieci i eliminuje ryzyko związane z niepożądanymi aktualizacjami pochodzącymi od sąsiednich routerów. Rozwiązanie to jest bezpieczne, ponieważ router nie wysyła żadnych informacji o swoich trasach poza sieć lokalną, a sam nie ufa reklamacjom pochodzącym z protokołów dynamicznych. Trasy statyczne są także całkowicie przewidywalne — nie ulegają zmianie przy fluktuacjach łącza ani przy zmianach topologii, co ułatwia diagnostykę.

Zasadniczą wadą routingu statycznego jest brak skalowalności: w sieci składającej się z kilkudziesięciu lub więcej routerów ręczne utrzymanie wszystkich wpisów staje się niepraktyczne i wysoce podatne na błędy konfiguracji. Ponadto trasy statyczne nie adaptują się do awarii łącza — jeśli router pośredni ulegnie awarii, pakiety kierowane trasą statyczną są odrzucane, dopóki administrator nie zmodyfikuje konfiguracji ręcznie. Z tych powodów routing statyczny stosuje się głównie w sieciach brzegowych oraz w trasach domyślnych, gdzie liczba wpisów jest niewielka.

W systemie Cisco IOS polecenie `ip route` przyjmuje składnię: `ip route sieć_docelowa maska {adres_następnego_skoku | interfejs_wyjściowy} [dystans_administracyjny]`. Na przykład `ip route 192.168.10.0 255.255.255.0 10.0.0.2` informuje router, że pakiety do sieci 192.168.10.0/24 mają być przekazywane do routera o adresie 10.0.0.2. Opcjonalny parametr AD pozwala ustawić priorytet trasy statycznej względem tras poznanych dynamicznie.

W systemie Linux trasę statyczną dodaje się poleceniem `ip route add` — na przykład `ip route add 192.168.20.0/24 via 10.0.0.1 dev eth0`. W przeciwieństwie do Cisco IOS, w systemie Linux maskę podaje się w notacji prefiksu CIDR, a nie w formacie dziesiętnym z kropkami. Trasy statyczne w Linuksie są nietrwałe (znikają po restarcie), chyba że zostaną umieszczone w odpowiednim pliku konfiguracyjnym dystrybucji, na przykład /etc/network/interfaces w Debianie lub przez skrypty ifup.

Trasa domyślna (domyślna brama) to wpis w tablicy routingu o adresie sieci 0.0.0.0 i masce 0.0.0.0, który odpowiada prefiksowi 0.0.0.0/0. Router używa tej trasy, gdy dla przychodzącego pakietu nie znajdzie żadnego bardziej szczegółowego dopasowania w tablicy routingu — stanowi ona mechanizm awaryjny dla całego ruchu, którego miejsce docelowe nie jest jawnie zdefiniowane. W systemie Cisco IOS trasa domyślna może być statyczna (oznaczona kodem S*) lub poznana dynamicznie przez protokół routingu.

Brama ostatniej szansy (gateway of last resort) to pojęcie określające adres IP następnego skoku, do którego router przekazuje pakiety pasujące do trasy domyślnej. W warunkach domowych jest to zazwyczaj adres interfejsu LAN routera dostawcy usług internetowych. W konfiguracji Cisco trasę domyślną można ustawić poleceniem `ip route 0.0.0.0 0.0.0.0 adres_bramy`, a w systemie Linux komendą `ip route add default via adres_bramy`.

Routing dynamiczny polega na automatycznej wymianie informacji o dostępnych sieciach pomiędzy routerami za pomocą wyspecjalizowanych protokołów, takich jak OSPF, EIGRP czy RIP. Routery uczestniczące w tym samym protokole dynamicznym okresowo wysyłają i odbierają komunikaty zawierające wpisy tablic routingu, dzięki czemu każdy router samodzielnie buduje obraz topologii sieci bez ingerencji administratora. W przypadku zmiany topologii, na przykład awarii łącza, routery automatycznie przeliczają ścieżki i propagują zaktualizowane informacje do sąsiadów.

Główną zaletą routingu dynamicznego jest zdolność do samoadaptacji (self-healing) — sieć jest odporna na pojedyncze awarie, a pakiety są przekierowywane alternatywnymi ścieżkami bez ręcznej interwencji. Protokoły dynamiczne różnią się między sobą szybkością zbieżności (convergence), złożonością obliczeniową, metryką wyboru ścieżki oraz zakresem skalowalności. OSPF zapewnia szybką zbieżność w dużych sieciach korporacyjnych, podczas gdy RIP, ze swoją prostą metryką liczby skoków, sprawdza się wyłącznie w niewielkich topologiach.

Protokoły bram wewnętrznych (IGP — Interior Gateway Protocols) działają wewnątrz jednego systemu autonomicznego (AS), czyli sieci zarządzanej przez jedną organizację. Do najpopularniejszych protokołów IGP należą OSPF (Open Shortest Path First) oparty na algorytmie Dijkstry, EIGRP (cisco) oraz RIP (Routing Information Protocol) używający algorytmu Bellmana-Forda. IGP-y są zoptymalizowane pod kątem szybkiej zbieżności i precyzyjnej metryki, co jest kluczowe w sieciach LAN/WAN o złożonej topologii.

Protokoły bram zewnętrznych (EGP — Exterior Gateway Protocols) służą do wymiany tras między różnymi systemami autonomicznymi, głównie w rdzeniu Internetu. Jedynym powszechnie stosowanym protokołem EGP jest BGP (Border Gateway Protocol), który opiera się na politykach routingu, a nie na metrykach technicznych — administratorzy poszczególnych AS-ów decydują, które trasy reklamować sąsiadom i jakim warunkom podlegają. BGP jest protokołem ścieżek wektorowych (path vector) i wymaga starannej konfiguracji, ponieważ błędy w polityce mogą prowadzić do blackholingu ruchu na globalną skalę.

Protokół ARP (Address Resolution Protocol) jest niezbędny, gdy router lub host zna docelowy adres IP warstwy trzeciej, ale nie zna odpowiadającego mu adresu MAC warstwy drugiej. W takiej sytuacji nadawca wysyła ramkę ARP Request na adres rozgłoszeniowy MAC (FF:FF:FF:FF:FF:FF) w ramach swojej podsieci, pytając: „Kto ma adres IP X.X.X.X?”. Wszystkie hosty w segmencie odbierają to żądanie, ale odpowiada (unicastem) tylko ten, którego adres IP jest zgodny z zapytaniem, przesyłając swój adres MAC w pakiecie ARP Reply.

Router przed opuszczeniem pakietu przez interfejs wyjściowy musi zbudować nową ramkę warstwy drugiej, w której adres MAC źródła należy do niego, a adres MAC przeznaczenia należy do następnego skoku. Aby go poznać, router zagląda do lokalnej tablicy ARP (ARP cache), a jeśli wpis nie istnieje, inicjuje zapytanie ARP. Wpis ARP pozostaje w pamięci podręcznej przez ograniczony czas (zwykle kilka minut), po czym wygasa i w razie potrzeby jest odświeżany, co zapobiega gromadzeniu się nieaktualnych informacji o adresach fizycznych.

Przestrzeń adresowa IPv4 wynosi 2^32, czyli około 4,3 miliarda unikalnych adresów, co w latach osiemdziesiątych XX wieku wydawało się liczbą niewyczerpalną. Dynamiczny rozwój Internetu, upowszechnienie smartfonów, laptopów i urządzeń IoT spowodowały, że liczba ta okazała się dramatycznie niewystarczająca. W lutym 2011 roku organizacja IANA rozdała ostatnie bloki adresów regionalnym rejestrom (RIR), a w 2017 roku ARIN (Ameryka Północna) ogłosiła wyczerpanie swojej puli adresów IPv4.

Konsekwencje wyczerpania adresów IPv4 są odczuwalne na całym świecie: dostawcy usług internetowych muszą stosować translację NAT (Network Address Translation) na szeroką skalę, co komplikuje architekturę sieci i utrudnia komunikację end-to-end. Rozwiązaniem docelowym jest protokół IPv6 z przestrzenią 2^128 adresów, który oprócz ogromnej puli adresów oferuje wbudowane bezpieczeństwo IPsec, uproszczoną strukturę nagłówka oraz autokonfigurację bezstanową (SLAAC). Mimo tych zalet migracja do IPv6 postępuje wolno ze względu na koszty modernizacji infrastruktury i konieczność utrzymania współistnienia obu protokołów w trybie podwójnego stosu (dual stack).

NAT (Network Address Translation) to mechanizm, w którym router z interfejsem w sieci prywatnej (inside) i interfejsem w sieci publicznej (outside) zamienia prywatne adresy źródłowe pakietów na jeden lub więcej publicznych adresów IP. Gdy host z sieci wewnętrznej (np. 192.168.1.10) wysyła pakiet do Internetu, router zapamiętuje w tablicy translacji (NAT table) oryginalne parametry sesji: adres źródłowy, port źródłowy, adres docelowy i port docelowy, a następnie podmienia adres źródłowy na własny adres publiczny.

Tablica NAT przechowuje mapowania między prywatnymi a publicznymi adresami wraz z informacją o porcie, co pozwala routerowi odwrócić translację dla pakietów powracających z Internetu — na podstawie docelowego portu i adresu router odszukuje odpowiedni wpis i przekazuje pakiet do właściwego hosta wewnętrznego. NAT rozwiązuje problem ograniczonej liczby publicznych adresów IPv4, ale jednocześnie łamie zasadę komunikacji end-to-end, utrudnia działanie protokołów przenoszących adresy IP w warstwie aplikacji (np. FTP, SIP) i wymaga dodatkowych mechanizmów, takich jak ALG (Application Layer Gateway) lub STUN/TURN w przypadku VoIP.

PAT (Port Address Translation), znany również jako NAT z przeciążeniem (NAT Overload), to wariant NAT, w którym wiele prywatnych adresów IP wewnątrz sieci lokalnej jest mapowanych na jeden publiczny adres IP, co umożliwia jednoczesne prowadzenie tysięcy sesji przez jedno łącze internetowe. Router rozróżnia poszczególne sesje na podstawie numeru portu źródłowego warstwy transportowej (TCP lub UDP) — każda nowa sesja otrzymuje unikalny port źródłowy na interfejsie zewnętrznym, nawet jeśli pierwotnie wiele hostów wewnętrznych używało tego samego portu.

Mechanizm PAT jest podstawą działania domowych routerów broadbandowych: kilkanaście urządzeń (laptopy, telefony, telewizory Smart TV) współdzieli jedno publiczne IP dostarczone przez operatora. Router prowadzi szczegółową tablicę translacji, w której przechowuje pięcioelementową krotkę: protokół, prywatne IP:port, publiczne IP:port, docelowe IP:port. Kluczowym ograniczeniem PAT jest wyczerpanie puli dostępnych portów (65535 portów na jeden adres IP) oraz problemy z protokołami, które wymagają stałego portu lub inicjują sesje zwrotne z zewnątrz, jak VoIP czy gry sieciowe.

Konfiguracja NAT z przeciążeniem (PAT) na routerze Cisco wymaga kilku kroków. Najpierw definiuje się listę dostępu (ACL) określającą, które adresy wewnętrzne podlegają translacji — na przykład `access-list 1 permit 192.168.1.0 0.0.0.255`. Następnie poleceniem `ip nat inside source list 1 interface serial 0/0/0 overload` wiąże się zdefiniowaną listę z interfejsem zewnętrznym, włączając mechanizm przeciążenia portów. Bez słowa kluczowego `overload` router działałby w trybie dynamicznego NAT 1:1, co wymagałoby tylu publicznych adresów, ile prywatnych hostów jednocześnie inicjuje sesje.

Ostatnim krokiem jest oznaczenie interfejsów poleceniami `ip nat inside` na interfejsie wewnętrznym (LAN) oraz `ip nat outside` na interfejsie zewnętrznym (WAN). Router Cisco samodzielnie zarządza tablicą translacji, a jej zawartość można podejrzeć komendą `show ip nat translations`. Wpisy są dynamicznie dodawane przy nawiązywaniu nowych sesji i usuwane po zakończeniu transmisji lub po upływie czasu bezczynności (idle timeout), co zapobiega przepełnieniu tablicy nieaktualnymi mapowaniami.

NAT statyczny (Static NAT) tworzy stałe, ręcznie zdefiniowane mapowanie w relacji 1:1 między adresem prywatnym wewnątrz sieci lokalnej a publicznym adresem IP na zewnątrz. W przeciwieństwie do NAT dynamicznego lub PAT, mapowanie to jest trwałe i nie wymaga inicjacji sesji z wewnątrz — pakiety przychodzące z Internetu na określony publiczny adres IP są zawsze przekazywane do tego samego prywatnego hosta. Na routerze Cisco konfiguruje się je poleceniem `ip nat inside source static 192.168.1.100 203.0.113.10`.

Static NAT znajduje zastosowanie przede wszystkim przy udostępnianiu usług z sieci wewnętrznej do Internetu — na przykład serwera WWW, serwera poczty elektronicznej lub terminala VPN. Ze względu na mapowanie 1:1 każde wystawione urządzenie zużywa oddzielny publiczny adres IP, co jest kosztowne w warunkach deficytu publicznych IPv4. Alternatywą jest przekierowanie portów (port forwarding) w połączeniu z PAT, gdzie wiele serwerów wewnętrznych może współdzielić jeden publiczny adres IP, a router kieruje ruch na podstawie numeru portu docelowego.

Ręczne przypisywanie adresów IP każdemu urządzeniu w sieci o znaczącej liczbie hostów jest podatne na błędy konfiguracji, takie jak literówki w adresie, nieprawidłowa maska podsieci czy pomylenie adresu bramy domyślnej. Konsekwencją może być nie tylko brak łączności pojedynczego urządzenia, ale także konflikt adresów (IP address conflict), gdy dwa hosty otrzymają ten sam adres IP — wówczas jeden z nich lub oba tracą łączność, a diagnostyka takiego problemu w sieci z setkami stacji roboczych bywa czasochłonna.

Brak scentralizowanego zarządzania adresacją uniemożliwia również łatwe skalowanie sieci. Gdy administrator musi zmienić schemat adresacji (np. przejść do innej podsieci), musi ręcznie przekonfigurować każde urządzenie, co jest praktycznie nierealne w sieci powyżej kilkudziesięciu węzłów. Problemy te pogłębiają się w środowiskach z urządzeniami mobilnymi, które często zmieniają punkt przyłączenia do sieci — ręczna konfiguracja IP dla każdego nowego połączenia jest nieakceptowalna z punktu widzenia wygody użytkownika i czasu pracy działu IT.

Dynamic Host Configuration Protocol (DHCP) automatyzuje proces przydzielania adresów IP i innych parametrów konfiguracji sieciowej. Serwer DHCP przechowuje pulę adresów (scope) i na żądanie klienta przydziela mu adres IP na określony czas (lease time), po którym adres może zostać odnowiony lub zwrócony do puli. Oprócz adresu IP klient otrzymuje także adres bramy domyślnej, adres serwera DNS oraz maskę podsieci, co całkowicie eliminuje potrzebę ręcznej konfiguracji na stacji roboczej.

Protokół DHCP opiera się na transporcie UDP i wykorzystuje port 67 dla serwera oraz port 68 dla klienta. Komunikacja między klientem a serwerem może odbywać się w ramach jednej podsieci (przez rozgłoszenie warstwy drugiej) lub za pośrednictwem agenta przekazującego (DHCP relay agent), który pośredniczy między klientem a serwerem znajdującym się w innej sieci VLAN. Czas dzierżawy (lease time) dobiera się w zależności od charakteru sieci — krótki (np. 1 godzina) w sieciach z dużą rotacją urządzeń (hotspoty, Wi-Fi publiczne), dłuższy (24–48 godzin) w sieciach stałych.

Proces uzyskania adresu IP przez klienta DHCP składa się z czterech etapów, znanych pod akronimem DORA: Discover, Offer, Request, Acknowledgment. W pierwszej fazie (Discover) klient, który nie ma adresu IP, wysyła komunikat rozgłoszeniowy z adresem źródłowym 0.0.0.0 i docelowym 255.255.255.255, zawierający identyfikator transakcji (XID). Serwer DHCP odbiera to żądanie i w fazie Offer odpowiada komunikatem zawierającym proponowany adres IP, czas dzierżawy oraz parametry konfiguracyjne — oferta jest wstępnie zarezerwowana, ale jeszcze nie przypisana na stałe.

W trzeciej fazie (Request) klient odsyła do serwera komunikat z potwierdzeniem wyboru oferty (w przypadku wielu serwerów klient wybiera jeden). Serwer kończy proces fazą Acknowledgment, w której potwierdza przypisanie adresu, finalizuje dzierżawę i rejestruje mapowanie w swojej bazie. Po pomyślnym zakończeniu DORA klient konfiguruje interfejs sieciowy otrzymanymi parametrami. W przypadku wygaśnięcia połowy czasu dzierżawy klient próbuje odnowić dzierżawę (DHCPREQUEST unicastem), co pozwala zachować ten sam adres IP bez przerywania połączeń sieciowych.

Po skonfigurowaniu puli DHCP za pomocą polecenia `ip dhcp pool` oraz zdefiniowaniu sieci i bramy domyślnej, administrator musi wykluczyć adresy zastrzeżone dla urządzeń infrastrukturalnych, takich jak routery, przełączniki czy serwery, używając polecenia `ip dhcp excluded-address` w trybie konfiguracji globalnej. Bez tego zabiegu router mógłby przydzielić adres interfejsu bramy innemu hostowi, co nieodwracalnie zerwałoby łączność w podsieci. Opcjonalne parametry, jak adres serwera DNS czy domeny wyszukiwania, przekazywane są w opcjach DHCP 6 i 15.

Warto pamiętać, że Cisco IOS domyślnie wiąże dzierżawę na 24 godziny, co można zmienić komendą `lease`. Kluczową zaletą DHCP na routerze jest scentralizowane zarządzanie przestrzenią adresową w małych i średnich sieciach — administrator nie musi ręcznie konfigurować statycznych adresów na każdym komputerze, a wyłączenie zakresu chroni adresy krytyczne przed przypadkowym przydzieleniem.

Kombi-urządzenie SOHO (ang. Small Office / Home Office) łączy w jednej obudowie funkcje routera warstwy 3, przełącznika warstwy 2 (najczęściej 4-portowego), punktu dostępu bezprzewodowego, serwera DHCP oraz sprzętowej zapory sieciowej (NAT/firewall). Dzięki takiej integracji użytkownik domowy otrzymuje pojedyncze urządzenie, które po podłączeniu do łącza ISP i skonfigurowaniu przez kreator WWW natychmiast udostępnia Internet wszystkim urządzeniom w sieci lokalnej.

Z punktu widzenia warstwy 3 najważniejszym elementem takiego urządzenia jest translacja adresów NAT (PAT), która pozwala dzielić jeden publiczny adres IPv4 między wiele prywatnych hostów. Współczesne routery SOHO oferują także zaawansowane funkcje, takie jak QoS priorytetyzujące ruch VoIP czy gry sieciowe, oraz proste listy ACL dla rodzicielskiej kontroli dostępu, choć ich wydajność i niezawodność ustępują dedykowanym urządzeniom klasy korporacyjnej.

Lista kontroli dostępu (ACL) to sekwencyjnie przetwarzana lista reguł `permit` (zezwól) lub `deny` (odrzuć), którą stosuje się na interfejsie routera do filtrowania ruchu przychodzącego lub wychodzącego. Każda reguła jest sprawdzana po kolei; po pierwszym dopasowaniu router natychmiast wykonuje daną akcję i pomija dalsze wpisy, co oznacza, że kolejność reguł ma kluczowe znaczenie dla poprawności filtrowania.

Na końcu każdej listy ACL domyślnie istnieje niejawna reguła `deny any` (ang. implicit deny), która odrzuca cały ruch niespełniający żadnej z jawnie zdefiniowanych reguł. Dlatego administrator musi zawsze pamiętać o dodaniu odpowiedniej reguły zezwalającej na ruch zarządczy (np. SSH) przed zastosowaniem ACL na interfejsie — w przeciwnym razie niejawna odmowa natychmiast odetnie dostęp do routera.

Standardowa ACL (numery 1–99 oraz 1300–1999) filtruje wyłącznie na podstawie źródłowego adresu IP, co czyni ją prostą, ale mało precyzyjną — nie rozróżnia przeznaczenia, protokołu ani portu warstwy transportowej. Z tego powodu standardowe ACL stosuje się najczęściej jak najbliżej miejsca docelowego ruchu, ponieważ nie są w stanie odróżnić np. ruchu WWW od poczty elektronicznej.

Rozszerzona ACL (numery 100–199 oraz 2000–2699) pozwala natomiast określić protokół (TCP, UDP, ICMP), źródłowy i docelowy adres IP oraz numery portów, co daje możliwość precyzyjnego blokowania tylko wybranych usług. Dzięki temu rozszerzone ACL umieszcza się jak najbliżej źródła ruchu, oszczędzając pasmo — przykład to zezwolenie wyłącznie na ruch HTTP do serwera WWW, przy jednoczesnym blokowaniu pozostałych usług na tym samym hoście.

ICMP (Internet Control Message Protocol) jest protokołem pomocniczym warstwy sieciowej, służącym do raportowania błędów i diagnostyki połączeń. Do najważniejszych komunikatów należą: Destination Unreachable (typ 3) informujący, że pakiet nie może dotrzeć do celu z powodu nieosiągalnej sieci, hosta lub portu, Time Exceeded (typ 11) wysyłany, gdy czas życia pakietu (TTL) wygasł, oraz Echo Request (typ 8) i Echo Reply (typ 0) używane w narzędziu ping.

Routery generują komunikaty ICMP również w sytuacji, gdy odebrany pakiet jest zbyt duży dla łącza wychodzącego — wtedy wysyłany jest komunikat Fragmentation Needed (kod 4 w typie 3), kluczowy dla mechanizmu PMTUD (Path MTU Discovery). Bez ICMP wiele protokołów warstw wyższych nie mogłoby dostosować rozmiaru pakietów do możliwości łącza, co prowadziłoby do ich cichego odrzucania i problemów z łącznością.

Narzędzie ping wysyła pakiety ICMP Echo Request do hosta docelowego i mierzy czas odpowiedzi (RTT – Round Trip Time), informując o liczbie utraconych pakietów, co pozwala szybko ocenić dostępność urządzenia oraz jakość łącza. Stabilny czas odpowiedzi rzędu kilku milisekund w sieci lokalnej świadczy o sprawnym okablowaniu i przełącznikach, natomiast wzrost RTT lub utrata pakietów mogą wskazywać na przeciążenie łącza lub uszkodzenie fizyczne.

Narzędzie traceroute wykorzystuje pole TTL (Time to Live) w nagłówku IP do śledzenia trasy pakietu: wysyła kolejne datagramy z TTL rosnącym od 1, a każdy router, który zmniejszy TTL do zera, odsyła komunikat ICMP Time Exceeded. W efekcie otrzymujemy listę adresów IP wszystkich routerów pośrednich wraz z czasem odpowiedzi, co jest nieocenione przy lokalizacji wąskich gardeł lub asymetrii ścieżek w rozległych sieciach ISP.

Podstawowym powodem wprowadzenia IPv6 było wyczerpanie puli adresów IPv4 — w lutym 2011 roku IANA rozdała ostatnie bloki adresów, a regionalne rejestry (RIPE, ARIN) wyczerpały swoje zapasy w kolejnych latach. IPv6 stosuje 128-bitowy adres, co daje około 3,4×10^38 możliwych adresów, czyli ponad 665 biliardów adresów na każdy milimetr kwadratowy powierzchni Ziemi, całkowicie eliminując problem niedoboru.

IPv4 opierał się na modelu end-to-end, który został naruszony przez powszechne stosowanie NAT — translacja adresów łamie zasadę przejrzystej komunikacji między hostami. IPv6 przywraca ten model, zapewniając każdemu urządzeniu globalnie unikalny adres publiczny, co upraszcza aplikacje peer-to-peer, VoIP i gry sieciowe oraz eliminuje konieczność stosowania przekierowywania portów w bramach domowych.

Adres IPv6 zapisuje się jako osiem 16-bitowych grup w zapisie szesnastkowym, oddzielonych dwukropkami, np. 2001:0db8:85a3:0000:0000:0000:0042:8329. Aby skrócić zapis, można pominąć wiodące zera w każdej grupie oraz zastąpić najdłuższy ciąg grup zerowych podwójnym dwukropkiem (::), co daje formę 2001:db8:85a3::42:8329 — skrócenie stosuje się tylko raz, aby uniknąć niejednoznaczności.

Standardowym prefiksem sieci lokalnej w IPv6 jest /64, co oznacza, że pierwsze 64 bity stanowią prefiks sieciowy, a pozostałe 64 bity identyfikują interfejs. Taka długość prefiksu jest wymagana przez mechanizm SLAAC do automatycznej konfiguracji adresów i pozostawia ogromną przestrzeń dla identyfikatorów interfejsów — wystarczającą, by każdy host mógł generować wiele adresów jednocześnie (prywatne, publiczne, tymczasowe).

IPv6 wprowadza mechanizm SLAAC (Stateless Address Autoconfiguration), który pozwala hostowi automatycznie skonfigurować adres na podstawie prefiksu rozgłaszanego przez router w pakietach Router Advertisement — bez potrzeby centralnego serwera DHCP. Dzięki SLAAC każde urządzenie samo generuje swój identyfikator interfejsu (np. metodą EUI-64 lub losowo) i weryfikuje jego unikalność za pomocą ND (Neighbor Discovery), eliminując ręczne konfiguracje w sieciach dowolnej wielkości.

IPv6 natywnie wspiera IPsec (Authentication Header i Encapsulating Security Payload), co zapewnia szyfrowanie i uwierzytelnianie na poziomie warstwy sieciowej bez dodatkowych nakładek. Ponadto IPv6 całkowicie rezygnuje z rozgłaszania (broadcastu), zastępując go transmisją grupową (multicast) i unicastem, co znacząco zmniejsza niepotrzebny ruch w sieci i poprawia wydajność routingu w środowiskach operatorskich.

Router jako urządzenie warstwy 3 realizuje szereg kluczowych funkcji sieciowych: trasowanie pakietów między podsieciami na podstawie tablicy routingu, translację adresów NAT umożliwiającą współdzielenie publicznych adresów IPv4, serwer DHCP do automatycznego przydzielania konfiguracji IP oraz listy ACL do filtrowania ruchu według zdefiniowanych reguł bezpieczeństwa.

Nowoczesne routery rozszerzają swój zakres o zaporę ogniową (stateful firewall) inspekcyjną na poziomie sesji, tunelowanie VPN (IPsec, OpenVPN, WireGuard) dla bezpiecznej komunikacji przez sieć publiczną oraz mechanizmy QoS (Quality of Service) gwarantujące odpowiednie pasmo dla krytycznych aplikacji, takich jak telemedycyna czy transmisje wideo w czasie rzeczywistym. Każda z tych funkcji może być konfigurowana zarówno z linii poleceń (CLI), jak i przez graficzny interfejs zarządzania.

Warstwa sieciowa stanowi spoiwo całego Internetu — to właśnie adresacja IP i routing umożliwiają komunikację między milionami autonomicznych sieci (AS) zarządzanych przez różnych operatorów na całym świecie. Bez jednolitego protokołu warstwy 3, którym dziś jest IP (IPv4 i IPv6), każda sieć LAN pozostałaby izolowaną wyspą, a globalna łączność na skalę planety nie byłaby możliwa.

Kluczowym osiągnięciem projektowym jest decyzyjność warstwy 3: router podejmuje autonomiczne decyzje o przekazywaniu pakietu, kierując się wyłącznie adresem docelowym i zawartością tablicy routingu, bez znajomości aplikacji czy danych użytkownika. Ta bezstanowość i prostota pozwala skalować Internet do miliardów urządzeń, a protokoły routingu dynamicznego, takie jak BGP, zapewniają automatyczne dostosowywanie tras do zmian topologii w skali globalnej.

Podstawowa diagnostyka warstwy 3 rozpoczyna się od sprawdzenia konfiguracji IP hosta za pomocą polecenia `ipconfig` (Windows) lub `ip addr` (Linux) — należy zweryfikować adres IP, maskę podsieci oraz bramę domyślną. Następnie wykonuje się ping do bramy domyślnej, aby potwierdzić łączność w sieci lokalnej, a później ping do adresu publicznego, np. 8.8.8.8, co weryfikuje działanie routingu i NAT.

W przypadku problemów z łącznością należy uruchomić traceroute do docelowego hosta, co wskaże, na którym przeskoku następuje przerwanie trasy. Wgląd w lokalną tablicę routingu (`route print` lub `ip route`) pozwala sprawdzić, czy istnieje domyślna trasa (0.0.0.0/0), a polecenie `arp -a` ukazuje mapowanie adresów IP na adresy MAC w sieci lokalnej, co pomaga wykryć konflikty adresów lub brak odpowiedzi protokołu ARP.

Protokół IP, który dziś stanowi fundament Internetu, został wprowadzony 1 stycznia 1983 roku podczas tzw. Flag Day, kiedy ARPANET całkowicie przesiadł się z protokołu NCP na pakietową rodzinę TCP/IP. W latach 90. wprowadzono bezklasowy routing CIDR (Classless Inter-Domain Routing), który zastąpił sztywny podział na klasy A, B, C, umożliwiając elastyczne dzielenie przestrzeni adresowej i spowalniając wyczerpywanie adresów.

Kolejną rewolucją było powszechne zastosowanie NAT (Network Address Translation) w połowie lat 90., które tymczasowo przedłużyło żywotność IPv4, ale wprowadziło komplikacje w komunikacji end-to-end. Obecnie trwa stopniowe wdrażanie IPv6 — według danych Google udział IPv6 w ruchu globalnym przekracza 45%, a w sieciach operatorów mobilnych sięga nawet 70%, co świadczy o nieuchronnej, choć rozłożonej w czasie, ewolucji warstwy sieciowej.

Warstwa sieciowa modelu OSI jest odpowiedzialna za adresację logiczną, trasowanie pakietów między różnymi sieciami oraz fragmentację datagramów. W ramach części 4 omówiliśmy budowę i klasy adresów IPv4, mechanizm maski podsieci i VLSM, protokół ARP, zasadę działania routerów oraz tablic routingu, a także protokoły DHCP i NAT umożliwiające automatyzację konfiguracji i współdzielenie adresów.

Następnie szczegółowo przeanalizowaliśmy listy kontroli dostępu ACL w wersji standardowej i rozszerzonej, protokół ICMP oraz narzędzia diagnostyczne ping i traceroute. Część poświęconą zakończyliśmy wprowadzeniem do IPv6 — jego budową adresu, zaletami (SLAAC, IPsec, brak NAT) oraz perspektywami adopcji — co stanowi naturalny kierunek rozwoju warstwy sieciowej w dobie wyczerpania adresów IPv4.