Netværk

Netværk inddeles efter udstrækning (personlige, lokale, regionale og vidtstrakte netværk - PAN, LAN, MAN og WAN), efter topologi (bus, ring, stjerne, mesh) og efter, hvordan de deler kapaciteten. Telefonnettet brugte traditionelt kredsløbskobling, hvor en fast vej og båndbredde reserveres i hele samtalens varighed; computernetværk bruger pakkekobling, hvor data hakkes op i pakker, der deler forbindelserne gennem statistisk multipleksing. Pakkekobling udnytter kapaciteten langt bedre ved trafik, der kommer i ryk, men prisen er varierende forsinkelse og mulige tab, når køerne løber over. Fysisk er et moderne kontor-LAN en switchet stjerne: Hver enhed har sin egen forbindelse til en switchport, og switchene er forbundet med hinanden og med routere.

Inden for et LAN er det linklaget, der står for leveringen. Ethernet (IEEE 802.3) og Wi-Fi (IEEE 802.11) bærer frames adresseret med 48-bit MAC-adresser. En switch lærer, hvilken MAC-adresse der sidder bag hvilken port, og gemmer det i sin forwarding-tabel (CAM-tabel); frames til ukendte adresser og broadcasts sendes ud på alle porte i det samme broadcast-domæne. VLAN'er (IEEE 802.1Q) deler ét fysisk switchnet op i flere logiske broadcast-domæner, og routere forbinder domænerne på IP-laget. ARP (RFC 826) binder lagene sammen ved at finde den MAC-adresse, der hører til en IPv4-adresse, og Spanning Tree Protocol forhindrer de løkker, som redundant kabling ellers ville skabe.

Ydeevne beskrives med båndbredde (forbindelsens kapacitet), throughput (det, der faktisk opnås), latens (summen af udbredelses-, transmissions-, kø- og behandlingsforsinkelse), jitter og pakketab. Båndbredde-forsinkelses-produktet angiver, hvor mange data der skal være undervejs for at fylde en vej ud: Ved 1 Gbit/s og 10 ms rundturstid er det omkring 1,25 MB, og derfor har transportprotokoller brug for store vinduer på hurtige, lange strækninger.

Det lokale netværk blev bygget på tillid, og mange klassiske angreb udnytter det. ARP-spoofing lader en maskine på samme segment påstå, at den har en anden maskines IP-adresse, og placere sig i midten; MAC-flooding fylder switchens tabel, så den sender trafik ud på alle porte; falske DHCP-servere uddeler en ondsindet gateway eller DNS-server. Administrerede switche modvirker det med dynamic ARP inspection, DHCP snooping og port security, og IEEE 802.1X lader en switch eller et adgangspunkt kræve autentifikation, før en enhed overhovedet får netværksadgang. På designniveau lader et fladt netværk, hvor alle enheder kan nå alle andre, én kompromitteret bærbar scanne og angribe hele organisationen - derfor er netværkssegmentering, opdaterede netværkstegninger og en oversigt over tilsluttede enheder grundlæggende kontroller.