Локальные вычислительные сети (ЛВС, англ․ LAN — Local Area Network) являются фундаментальной инфраструктурой современных организаций, учебных заведений и домашних сред․ Это пособие предназначено для системного изучения принципов построения, настройки и эксплуатации ЛВС на базе стандартных технологий․ Материал основан на классических академических подходах (в т․ч․ на учебном пособии Л․В․ Волковой и М․С․ Грохульского «Основы локальных компьютерных сетей», 2006 г․) и актуализирован с учетом современных стандартов․

Раздел 1․ Теоретические основы компьютерных сетей

Основные понятия и определения

Локальная вычислительная сеть (ЛВС) — это система взаимосвязанных компьютеров и периферийного оборудования, объединенных средствами передачи данных и системным программным обеспечением для совместного использования ресурсов (файлов, принтеров, приложений, интернета) в пределах ограниченной географической зоны (здание, группа зданий, кампус)․

Ключевые характеристики ЛВС:

• Топология — схема соединения узлов (звезда, шина, кольцо, ячеистая)․
• Среда передачи данных — витая пара (UTP/FTP), оптоволокно, беспроводной эфир (Wi-Fi)․
• Пропускная способность — объем данных, передаваемых за единицу времени (Мбит/с, Гбит/с)․
• Протоколы — правила и соглашения, регулирующие обмен данными (Ethernet, TCP/IP, Wi-Fi 802․11ax)․

Модели взаимодействия:

1. Клиент-серверная модель: Выделенные серверы предоставляют ресурсы и службы (файловые, почтовые, веб, БД), клиенты их потребляют․ Обеспечивает централизованное управление и безопасность․
2. Одноранговая сеть (P2P — Peer-to-Peer): Все компьютеры равноправны, каждый может быть и клиентом, и сервером․ Проста в развертывании, но сложна в администрировании при масштабировании․

Линии связи и физические среды

Выбор среды передачи данных определяет максимальную длину сегмента, скорость и устойчивость к помехам․

Важно: При проектировании структурированных кабельных систем (СКС) соблюдайте стандарты ISO/IEC 11801 и TIA/EIA-568․ Используйте патч-панели, розетки и патч-корды соответствующей категории для гарантии пропускной способности․

Принципы передачи данных: Модель OSI и TCP/IP

Для понимания работы сетей необходимо знать эталонную модель OSI (Open Systems Interconnection), состоящую из 7 уровней:

1. Физический (Physical): Передача битов по среде (кабели, разъемы, сигналы)․
2. Канальный (Data Link): Фреймирование, MAC-адресация, обнаружение ошибок (Ethernet, Wi-Fi, PPP)․ Устройства: коммутаторы (L2), мосты․
3. Сетевой (Network): Маршрутизация, логическая адресация (IP-адреса), фрагментация (IP, ICMP, OSPF, BGP)․ Устройства: маршрутизаторы (L3)․
4. Транспортный (Transport): Конец-в-конец доставка, сегментация, контроль потока (TCP, UDP)․
5. Сеансовый (Session): Управление сеансами связи (NetBIOS, RPC)․
6. Представления (Presentation): Кодирование, шифрование, сжатие (SSL/TLS, JPEG, MPEG)․
7. Прикладной (Application): Интерфейс для пользовательских приложений (HTTP, FTP, DNS, SMTP, DHCP)․

На практике используется упрощенная 4-уровневая модель TCP/IP (Канальный → Интернет → Транспорт → Прикладной), являющаяся основой современного интернета и корпоративных сетей․

Раздел 2․ Построение ЛВС на основе стандартных технологий (Семейство IEEE 802)

Стандарт IEEE 802․3 (Ethernet), Основа проводных ЛВС

Ethernet является де-факто стандартом для проводных локальных сетей․ Ключевые этапы эволюции:

• 10BASE-T (IEEE 802․3i): 10 Мбит/с, витая пара Cat 3/5․ Устарел․
• 100BASE-TX (Fast Ethernet, IEEE 802․3u): 100 Мбит/с, Cat 5․ Устарел для новых развертываний․
• 1000BASE-T (Gigabit Ethernet, IEEE 802․3ab): 1 Гбит/с, Cat 5e/6․ Стандарт для рабочих станций на сегодня․
• 2․5G/5G/10GBASE-T (IEEE 802․3bz / 802․3an): 2․5–10 Гбит/с на медной витой паре (Cat 6a/7)․ Используется для точек доступа Wi-Fi 6/7, серверов, NAS․
• Ethernet над оптоволокном (1000BASE-SX/LX, 10GBASE-SR/LR, 40G/100G/400G): Для магистралей (backbone) и ЦОД․

Технология автосогласования (Auto-Negotiation):

Позволяет устройствам автоматически определять оптимальные параметры связи: скорость (10/100/1000/2500․․․ Мбит/с) и дуплекс (полный/полудуплекс)․ Рекомендация: Всегда оставляйте «Auto» на обоих концах ссылки․ Принудительная установка скорости/дуплекса часто приводит к несовпадению (duplex mismatch) и коллизиям․

Канальный уровень: Коммутация, VLAN и STP

Коммутаторы (Switches) L2 уровня

В отличие от хабов (репитеров), коммутаторы строят таблицу MAC-адресов (CAM-таблицу) и передают кадры только на нужный порт․ Это создает отдельные домены коллизий для каждого порта․

VLAN (Virtual LAN — IEEE 802․1Q)

Технология логического разделения одной физической сети на несколько изолированных широковещательных доменов․

• Access-порт: Принадлежит одному VLAN, теги не передаются к конечному устройству․
• Trunk-порт: Передает трафик нескольких VLAN с тегами 802․1Q (для связи между коммутаторами и маршрутизаторами)․
• Native VLAN: Нетегированный трафик на транке (по умолчанию VLAN 1, лучше менять на неиспользуемый для безопасности)․

STP / RSTP / MSTP (Spanning Tree Protocol — IEEE 802․1D/w/s)

Протоколы предотвращения петель в L2-сети при наличии резервных каналов․ RSTP (802․1w) обеспечивает быструю сходимость (порядка секунд) и является минимальным стандартом для современных сетей․ Настраивайте приоритет корневого моста (Root Bridge) на ядерных коммутаторах․

Беспроводные сети: IEEE 802․11 (Wi-Fi)

Современные корпоративные WLAN строятся на базе контроллеров (WLC) или облачных управляемых точек доступа (AP)․

• Wi-Fi 6 / 6E (802․11ax): OFDMA, MU-MIMO, Target Wake Time (TWT) — высокая плотность клиентов, низкая задержка, экономия батареи IoT․
• Wi-Fi 7 (802․11be): 320 МГц каналы, MLO (Multi-Link Operation), 4K QAM — сверхнизкая задержка, высокая пропускная способность для AR/VR, 8K стриминга․
• Безопасность: Обязательно WPA3-Enterprise (802;1X/EAP-TLS/PEAP) для корпоративных сетей․ WPA2-PSK только для гостевых/ИоТ сегментов с изоляцией клиентов (Client Isolation)․

Оборудование ЛВС: выбор и размещение

1. Ядерные коммутаторы (Core Switches): Высокая производительность (неблокирующая архитектура), поддержка L3 (маршрутизация между VLAN), высоконадежные избыточные блоки питания, стекирование (StackWise, VSS, VLT, MLAG)․
2. Коммутаторы уровня доступа (Access Switches): Порты 1G/2․5G для пользователей, PoE+ (802․3at) / PoE++ (802․3bt) для точек доступа, IP-телефонов, камер․ Поддержка Port Security, DHCP Snooping, DAI, Storm Control․
3. Маршрутизаторы / Firewall (L3/L4-L7): Выход в интернет, межсетевое экранирование, VPN, IPS/IDS, балансировка каналов (SD-WAN)․
4. Серверы инфраструктуры: DHCP, DNS, AD/DC, NTP, RADIUS (NAC), Syslog, Zabbix/Prometheus (мониторинг)․

Раздел 3․ IP-адресация, маршрутизация и сервисы (Стек TCP/IP)

IPv4 адресация и подсети (Subnetting)

Понимание CIDR (Classless Inter-Domain Routing) и масок подсети критически важно․

• Приватные диапазоны (RFC 1918): 10․0․0․0/8, 172․16․0․0/12, 192․168․0․0/16․
• Планирование: Выделяйте подсети по функциям (Серверы, Пользователи, Wi-Fi, VoIP, Управление, DMZ) и географии (Этажи, Здания)․ Используйте VLSM (Variable Length Subnet Mask) для экономии адресов․
• Пример плана:
  • VLAN 10 (Mgmt): 10․10․10․0/24
  • VLAN 20 (Servers): 10․10․20․0/24
  • VLAN 100 (Users Floor 1): 10․10․100․0/23
  • VLAN 200 (Wi-Fi Corp): 10․10․200․0/22

DHCP (Dynamic Host Configuration Protocol)

Автоматическая выдача IP-адресов, масок, шлюзов, DNS․

• Настройте DHCP Snooping на коммутаторах доступа (доверенные порты только на аплинках к DHCP-серверу)․
• Используйте Option 82 для идентификации порта/влана запроса․
• Резервируйте адреса для принтеров, серверов, камер по MAC-адресу (DHCP Reservation)․

DNS (Domain Name System) во внутренней сети

• Внутренний DNS-сервер (AD Integrated или BIND/Unbound) для разрешения локальных имен․
• Настройка условной переадресации (Conditional Forwarders) для партнерских доменов․
• Split-brain DNS (Split Horizon): разные ответы для внутренних и внешних клиентов․
• DNSSEC для защиты от спуфинга;

Маршрутизация между VLAN (Inter-VLAN Routing)

1. Router-on-a-Stick (Legacy): Один физический интерфейс маршрутизатора с субинтерфейсами для каждого VLAN․ Узкое место по производительности․
2. SVI (Switch Virtual Interface) / L3 Switching (Рекомендуется): На ядерном коммутаторе создаются интерфейсы VLAN (interface vlan 10, ip address 10․10․10․1/24)․ Маршрутизация происходит в железе (ASIC) на проволочной скорости․

Раздел 4․ Безопасность локальной сети (Network Security Basics)

Безопасность строится по модели Defense in Depth (Многоуровневая защита)․

Контроль доступа к сети (NAC — Network Access Control)

• IEEE 802․1X: Порт-базированный контроль доступа․ Supplicant (клиент) → Authenticator (коммутатор) → Authentication Server (RADIUS)․
• MAB (MAC Authentication Bypass): Для устройств без 802․1X (принтеры, IoT) — авторизация по MAC в RADIUS․
• Dynamic VLAN Assignment: RADIUS возвращает атрибуты (Tunnel-Private-Group-ID), переводя порт в нужный VLAN в зависимости от пользователя/устройства․

Защита инфраструктуры коммутаторов (L2 Security)

Сегментация и Zero Trust

Переходите от плоской сети к микросегментации:

• Firewall между VLAN (L4-L7 инспекция)․
• ACL (Access Control Lists) на L3 интерфейсах (SVI) для базовой фильтрации․
• Zero Trust Network Access (ZTNA): «Никогда не доверяй, всегда проверяй» — доступ к приложениям на основе идентичности и контекста, а не IP-адреса․

Раздел 5․ Администрирование, мониторинг и эксплуатация

Управление конфигурациями (Configuration Management)

• Источник правды (Source of Truth): NetBox, Nautobot или Git-репозиторий (Ansible/Terraform)․
• Infrastructure as Code (IaC): Автоматизация настройки через Ansible, Nornir, Terraform․ Исключите ручную настройку через CLI․
• Резервное копирование: Ежедневный бэкап конфигураций (running-config и startup-config) на защищенный сервер (Git, SFTP, NetBox)․

Мониторинг и наблюдаемость (Observability)

1. SNMP / Streaming Telemetry (gNMI): Сбор метрик интерфейсов (CPU, Memory, Interface Errors, Discards, Utilization)․
2. Syslog / Structured Logging: Централизованный сбор логов (ELK/EFK Stack, Loki, Graylog)․ Настройте уровни severity․
3. NetFlow / sFlow / IPFIX: Анализ трафика (Top Talkers, аномалии, DDoS, учет трафика)․
4. Алертинг: Пороговые значения (Port Down, High CPU, CRC Errors > 0, BGP Neighbor Down)․ Интеграция с Telegram, Slack, PagerDuty, Zabbix/Prometheus Alertmanager․

Устранение неисправностей (Troubleshooting Methodology)

Используйте структурированный подход (например, OSI Bottom-Up или Divide and Conquer):

1. Физический уровень: Link Light (Link/Act), SFP-модули (DDM: температура, Rx/Tx power), кабельные тестеры (TDR), `show interface status`, `show interface counters errors` (CRC, Runts, Giants, Collisions)․
2. Канальный уровень: MAC-таблица (`show mac address-table`), STP (`show spanning-tree`), VLAN (`show vlan brief`), CDP/LLDP (`show cdp/lldp neighbors`)․
3. Сетевой уровень: IP-адресация (`show ip interface brief`), ARP (`show ip arp`), Таблица маршрутизации (`show ip route`), Ping / Traceroute, MTU issues (DF-bit ping)․
4. Транспортный/Прикладной: Проверка портов (`telnet/nc`), DNS (`nslookup/dig`), DHCP (логи сервера), Firewall логи․

Документирование

• Схемы L1 (физическое кабелевание, патч-панели, серверные), L2 (VLAN, STP, Trunks), L3 (IP-план, маршрутизация, VRRP/HSRP)․
• IP-адресный план (IPAM)․
• Runbook’и (инструкции) по типовым инцидентам (замена коммутатора, добавление VLAN, восстановление VPN)․

Раздел 6․ Современные тренды и эволюция ЛВС

SD-Access / SD-LAN (Software-Defined Access)

Централизованное управление политиками через контроллер (Cisco DNA Center, Aruba Central, Juniper Mist, HPE Aruba Networking Central)․

• Fabric (Underlay/Overlay): VXLAN (RFC 7348) для туннелирования L2 над L3 (Underlay — IS-IS/OSPF/BGP EVPN)․
• SGT (Security Group Tags): Масштабируемая сегментация без привязки к IP/VLAN․
• Assurance (AI/ML): Анализ телеметрии для предсказания сбоев, оптимизации Wi-Fi, поиска аномалий клиентов․

Intent-Based Networking (IBN)

Администратор описывает «намерение» (Intent): «Все бухгалтеры имеют доступ к 1С-серверу, но не к серверам разработки»․ Система сама транслирует это в конфигурацию ACL, VLAN, VXLAN, Firewall правил на сотнях устройств․

Wi-Fi 7 (802․11be) и 6 ГГц

Открытие диапазона 6 ГГц (Wi-Fi 6E/7) дает 7 дополнительных 160-МГц каналов (или 3x 320 МГц), решает проблему затора в 2․4/5 ГГц․ MLO (Multi-Link Operation) позволяет агрегировать каналы разных диапазонов одновременно для надежности и скорости․

PoE++ (IEEE 802․3bt), до 90Вт на порт

Питание мощных точек доступа Wi-Fi 7, PTZ-камер, тонких клиентов, LED-панелей, POS-терминалов без отдельных блоков питания․ Требует расчета тепловыделения коммутаторов и бюджета PoE․

Построение надежной, безопасной и масштабируемой локальной вычислительной сети требует комплексного подхода: от грамотного проектирования физической инфраструктуры (СКС) и IP-планирования до внедрения современных практик безопасности (Zero Trust, NAC, L2 Security) и автоматизации эксплуатации (IaC, Observability, SD-LAN)․

Непрерывное обучение, следование лучшим практикам вендоров (Cisco, Aruba, Juniper, Huawei, MikroTik, Keenetic и др․) и открытым стандартам (IETF, IEEE), а также внедрение культуры документации и автоматизации — залог стабильной работы ИТ-инфраструктуры организации на годы вперед․

Приложение: Чек-лист аудита ЛВС (Baseline)

1. [ ] Актуальная схема сети (L1, L2, L3) в NetBox/Visio/Draw;io․
2. [ ] IP-план (IPAM) ведется без «дырок» и конфликтов․
3. [ ] Все коммутаторы имеют уникальные hostname, настроены NTP, SNMPv3, Syslog, AAA (TACACS+/RADIUS)․
4. [ ] Включены BPDU Guard, Root Guard, Storm Control на всех портах доступа․
5. [ ] Включены DHCP Snooping, DAI, IP Source Guard на пользовательских VLAN․
6. [ ] Настроен 802․1X (или MAB) для всех проводных портов․
7. [ ] Wi-Fi: WPA3-Enterprise (Corp), WPA3-PSK + Isolation (Guest/IoT), отключены старые скорости (1-11 Mbps), настроен RRM/ARM․
8. [ ] Межсетевое экранирование между VLAN (L3 ACL или Firewall L7)․
9. [ ] Бэкап конфигураций автоматизирован и проверяется на восстановление раз в квартал․
10. [ ] Мониторинг: алерты на ошибки интерфейсов (CRC), загрузку CPU/MEM, падение аплинков, BGP/OSPF соседей․
11. [ ] План аварийного восстановления (DRP) для ядерных узлов существует и отработан․

Данное пособие носит ознакомительный и обучающий характер․ Для внедрения конкретных решений в производственной среде обязательно проводите пилотное тестирование и согласовывайте изменения через процесс Change Management․