📇 DNS, DHCP a NAT

Tři pomocníci

O čem to je

Připojíš notebook k Wi-Fi a za vteřinu můžeš psát „seznam.cz“. Nic jsi nenastavoval. Postarali se o to tři neviditelní pomocníci: DHCP ti přidělil adresu, DNS přeložil jméno na číslo a NAT tě pustil do internetu, i když máš jen vnitřní adresu.

Když jeden z nich nefunguje, uživatel hlásí „nejde internet“. Technik musí poznat, který z nich to je.

Nové pojmy

Připomenutí: IP adresaČíselná adresa zařízení v síti, např. 192.168.1.20. Privátní adresy (192.168.x.x, 10.x.x.x, 172.16–31.x.x) se v internetu nesměrují.
Doménové jménoSnadno zapamatovatelné jméno počítače nebo služby.www.seznam.cz
DNSSystém doménových jmen. Funguje jako telefonní seznam: k jménu najde IP adresu.www.example.com → 93.184.215.14
DHCPSlužba, která zařízení po připojení automaticky přidělí IP adresu, masku, výchozí bránu a adresu DNS serveru. Adresu jen půjčí na určitou dobu.
NATPřeklad adres. Router vymění privátní adresu odesílatele za svou veřejnou adresu, aby se odpověď z internetu vrátila.

DHCP: jak dostaneš adresu

Výměna má 4 zprávy, podle prvních písmen DORA:

Discover: „Je tu DHCP server?“
Offer: „Nabízím 192.168.1.20.“
Request: „Chci tu adresu.“
Acknowledge: „Potvrzuji, je tvoje na 24 hodin.“

Před koncem výpůjčky si klient adresu prodlouží. Když se DHCP server neozve, Windows si dají adresu 169.254.x.x a internet nefunguje.

DNS: jak se jméno přeloží

Napíšeš www.example.com. Počítač se podívá do své paměti (cache).
Nenajde → zeptá se svého DNS serveru (obvykle u poskytovatele nebo v routeru).
Ten se ptá postupně: kořenového serveru („kdo zná .com?“), pak serveru domény .com („kdo zná example.com?“), nakonec autoritativního serveru domény example.com.
Autoritativní server odpoví IP adresou. DNS server ji předá počítači a uloží si ji na dobu TTL.

NAT: jedna veřejná adresa pro celý byt

Doma máš od poskytovatele obvykle jednu veřejnou IPv4 adresu, ale zařízení víc. Router si vede tabulku překladů: kdo zevnitř se s kým spojil a přes jaký port. Odpověď pak vrátí správnému zařízení. Této variantě se říká PAT (překlad i s porty).

Vnitřní socketVenkovní socket routeru
192.168.1.20:5100085.70.1.2:40001
192.168.1.21:5100085.70.1.2:40002
Notebook má 192.168.1.20, bránu 192.168.1.1, ping na 8.8.8.8 funguje, ale „seznam.cz“ se nenačte. Který pomocník selhal?
Adresa je v pořádku (DHCP funguje). Ping ven funguje, takže směrování i NAT jedou. Nefunguje překlad jmen → DNS. Ověř nslookup seznam.cz a nastavení DNS serveru.
Počítač má adresu 169.254.33.7. Co se stalo?
Adresa z rozsahu 169.254.0.0/16 si Windows přidělí samy, když nedostanou odpověď od DHCP. Zkontroluj kabel nebo Wi-Fi a jestli běží DHCP server (v routeru).
✗NAT chrání síť, takže firewall už nepotřebuju.
✓NAT jen překládá adresy. Pro ochranu je potřeba firewall s pravidly.

NAT sice běžně zabrání nevyžádaným spojením zvenku, ale to je vedlejší efekt. Nefiltruje obsah ani odchozí provoz a s přesměrováním portů otevírá cestu dovnitř.

DHCP přidělí adresu, masku, bránu a DNS (Discover, Offer, Request, Acknowledge). DNS přeloží jméno na IP adresu. NAT (PAT) přeloží privátní adresy na jednu veřejnou a pamatuje si porty.

Správce sítě

O čem to je

Ve firmě dostaneš úkol: rozdat adresy 100 počítačům, zařídit, aby tiskárna měla vždy stejnou adresu, zprovoznit firemní web pod jménem a zpřístupnit kameru zvenku. Na to potřebuješ umět nastavit DHCP, DNS záznamy a NAT.

Nové pojmy

DNSHierarchický systém, který překládá jména na IP adresy a zpět.
DoménaČást stromu jmen. Zprava doleva: kořen (tečka) → doména nejvyšší úrovně (TLD: cz, com) → doména 2. řádu (skola.cz) → subdoména (www.skola.cz).Doménu .cz spravuje sdružení CZ.NIC.
DNS záznamŘádek s informací o doméně v zóně autoritativního serveru. Má typ, hodnotu a TTL.
TTL záznamuJak dlouho (v sekundách) si smí ostatní servery odpověď pamatovat.TTL 3600 = hodina
DHCP rozsah (scope)Rozmezí adres, které DHCP server půjčuje, s nastavením masky, brány a DNS.192.168.1.100–192.168.1.199
RezervaceNastavení DHCP: zařízení s danou MAC adresou dostane vždy stejnou IP adresu.
Přesměrování portuPravidlo NAT: co přijde na veřejnou adresu routeru na určitý port, pošli na vnitřní zařízení.veřejná:8443 → 192.168.1.50:443

Nejdůležitější DNS záznamy

TypCo obsahujePříklad
AIPv4 adresu jménawww → 93.184.215.14
AAAAIPv6 adresu jménawww → 2001:db8::10
CNAMEpřezdívku, odkaz na jiné jménoeshop → www.skola.cz
MXpoštovní server domény (s prioritou)10 mail.skola.cz
NSautoritativní DNS servery doményns1.skola.cz
TXTlibovolný text, např. ověření domény, SPFv=spf1 …
PTRzpětný překlad: IP → jméno14.215.184.93.in-addr.arpa → www…

Spoj si typ záznamu s jeho účelem.

Nastavení DHCP serveru

  • Rozsah: např. 192.168.1.100–199 (mimo adresy serverů a tiskáren).
  • Maska: 255.255.255.0.
  • Výchozí brána: 192.168.1.1.
  • DNS servery: např. firemní 192.168.1.10.
  • Doba výpůjčky: např. 8 hodin pro hosty, 8 dní pro kancelář.
  • Rezervace pro tiskárnu podle její MAC adresy.

NAT: tři podoby

  • Statický NAT – jedna vnitřní adresa ↔ jedna veřejná (pro server).
  • PAT (NAT overload, maškaráda) – mnoho vnitřních adres za jednou veřejnou, rozlišení podle portů. Doma i ve firmách.
  • Přesměrování portu (DNAT) – zpřístupnění vnitřní služby zvenku.
Firma má web na serveru 192.168.1.50 a jednu veřejnou adresu 85.70.1.2. Co nastavíš, aby web šel z internetu pod jménem www.firma.cz?
1) V DNS zóně firma.cz záznam A: www → 85.70.1.2. 2) Na routeru přesměrování portu: TCP 443 (a 80) na 85.70.1.2 → 192.168.1.50. 3) Serveru dej pevnou adresu nebo DHCP rezervaci, aby se adresa nezměnila.
Změnil jsi A záznam s TTL 86400, ale někteří uživatelé ještě 10 hodin chodí na starou adresu. Proč?
TTL 86 400 s = 24 hodin. DNS servery po světě si starou odpověď smí pamatovat až den. Před plánovanou změnou se proto TTL dopředu sníží, třeba na 300 s.

Doplň.

✗Když nastavím DNS záznam, změna platí okamžitě všude na světě.
✓Změna se šíří postupně, až vyprší TTL starého záznamu v mezipaměti (cache) serverů.

DNS servery si odpovědi ukládají, aby se nemusely pořád ptát. Proto se TTL snižuje před plánovanou změnou.

DNS: hierarchie kořen → TLD → doména, záznamy A, AAAA, CNAME, MX, NS, TXT, PTR, s TTL. DHCP: rozsah, maska, brána, DNS, výpůjčka, rezervace podle MAC. NAT: statický, PAT pro mnoho zařízení, přesměrování portu pro služby zvenku.
🚪TCP, UDP a porty📶Wi-Fi: standardy a zabezpečení