Síťové modely OSI TCP/IP: protokoly a zranitelnosti

# Přehled síťových modelů OSI, TCP/IP a protokolů pro vývojáře

Model OSI definuje sedm úrovní pro strukturování síťových interakcí, zatímco TCP/IP to zjednodušuje na čtyři. To umožňuje pochopit, jak se data transformují na každé etapě: od bitů na fyzické úrovni po uživatelská data na aplikační.

| Úroveň OSI | Úroveň TCP/IP | PDU | Účel |

|-------------|----------------|-----|------------|

| 7. Aplikační | 4. Aplikační | Data | Rozhraní pro aplikace a služby: HTTP, HTTPS, FTP, SMTP, DNS, SSH, IMAP, POP3, TFTP, NTP, DHCP, SNMP, BGP, RIP |

| 6. Prezentační | Sloučeno do Aplikační | Data | Syntaxe dat: šifrování, komprese, kódování (TLS/SSL, ASN.1, XDR, MIME) |

| 5. Relace | Sloučeno do Aplikační | Data | Řízení relací (NetBIOS, RPC, PPTP, SOCKS, SDP) |

| 4. Transportní | 3. Transportní | Segment/Datagram | Spolehlivé nebo rychlé doručování: TCP, UDP, SCTP, QUIC |

| 3. Síťová | 2. Mezi síťová | Packet | Routování: IP (IPv4/IPv6), ICMP, OSPF, EIGRP, IPsec, GRE, IGMP |

| 2. Kanaálová | 1. Přístup k síti | Frame | Lokální doručování podle MAC: Ethernet, Wi-Fi, PPP, HDLC, Frame Relay, STP, LACP, PPPoE |

| 1. Fyzická | Zahrnuto v Přístupu k síti | Bit | Přenos signálů: kabely, rádiové vlny, huby, USB, RS-232 |

Podrobný přehled protokolů na kanaálové úrovni

Kanaálová úroveň zajišťuje doručování v rámci LAN s použitím MAC adres. Ethernet (IEEE 802.3) tvoří rámy ve formátu Ethernet II (DIX), zranitelný vůči VLAN Hopping, ARP Spoofing, MAC Flooding. Nástroje: ip link, ethtool, wireshark.

Wi-Fi (IEEE 802.11) pracuje na 2.4/5/6 GHz, náchylný k WPA2/WPA3 Cracking, Evil Twin, Deauthentication. WPA2 používá AES-CCMP, WPA3 — SAE pro ochranu před brute force. Příkazy: aircrack-ng, iw, wpa_supplicant.

• VLAN (IEEE 802.1Q): Přidává 4bajtový tag do Ethernet rámu. Rizika: VLAN Hopping, Double Tagging. Nastavení: ip link add link ... type vlan.
• ARP: Broadcast požadavek IP-to-MAC. Zranitelnosti: Spoofing, Cache Poisoning. Kontrola: arp -a, arping.
• PPP: LCP pro kanál, NCP pro protokoly, PAP/CHAP. Rizika: Credential Theft. Řízení: pppd, pon/poff.
• STP/RSTP/MSTP: Blokuje smyčky, RSTP urychluje konvergenci. Útoky: Root Bridge Hijacking, BPDU Flooding.
• LACP (802.3ad): Agregace kanálů. Problémy: Misconfiguration, Hash Collision.
• LLDP/CDP: Objevování sousedů, rizika Information Disclosure. lldpctl, show cdp neighbors.
• PPPoE: PPP v Ethernet pro WAN (DSL, FTTx). Zranitelnosti: Session Hijacking.

Protokoly síťové úrovně a routování

Síťová úroveň odpovídá za mezi síťové routování. IPv4/IPv6: 32/128bitové adresy, SLAAC v IPv6. Útoky: IP Spoofing, NDP Spoofing. Diagnostika: ping, traceroute, ip route.

NAT/PAT zajišťuje odchod přes jednu veřejnou IP, narušuje end-to-end. ICMP pro diagnostiku (ping, traceroute), zranitelný k Flood a Tunneling.

Routování:

• BGP (L7, TCP/179): Mezi AS, politiky atributů. Rizika: Hijacking, Route Leaks. show ip bgp, bird.
• RIP (L7, UDP/520): IGP podle hop-count. show ip rip, frr.
• OSPF (L3, protokol 89): SPF algoritmus Dijkstry. show ip ospf.
• IPsec: AH/ESP v transportním/tunelovém režimu. strongswan.

Transportní úroveň a výše

TCP (L4): 3way handshake, řízení toku. Zranitelnosti: SYN Flood, Hijacking. netstat, ss.

UDP (L4): Bez připojení, pro rychlost. Útoky: Flood, Amplification. nc -u, iperf3.

QUIC (L4/L7, na UDP): 0-RTT, TLS vestavěné. curl --http3.

Aplikační úroveň:

• HTTP/HTTPS (80/443): Metody GET/POST. Rizika: XSS, CSRF.
• DNS (53 UDP/TCP): TCP pro zóny >512 bajtů. dig, nslookup.
• DHCP (67/68): DORA proces. dhclient.
• SSH (22): Klíče, fingerprint. ssh, scp.
• FTP/SFTP (20/21, 22): Cleartext v FTP.
• SMTP/IMAP/POP3: 25/465/587, 143/993, 110/995.
• SNMP (161/162 UDP): v3 bezpečné. snmpwalk.
• NTP (123 UDP): Amplification.

Co je důležité

• OSI — 7 úrovní pro teorii, TCP/IP — 4 pro praxi; protokoly se rozdělují odpovídajícím způsobem.
• Kanaálová úroveň se zaměřuje na MAC a rámy: Ethernet, Wi-Fi, VLAN, ARP.
• Síťová: IP adresování, routování (BGP, OSPF), bezpečnost (IPsec).
• Transportní: TCP pro spolehlivost, UDP/QUIC pro rychlost.
• Aplikační: HTTP, DNS, SSH — s důrazem na šifrování a autentizaci.

— Editorial Team