Коли потрібне PPPoE-з’єднання у Windows

• Кабель провайдера підключений напряму до комп’ютера, без роутера.
• Роутер працює в режимі моста (bridge), і авторизацію виконує комп’ютер.
• Потрібно тимчасово перевірити, чи працює лінія, коли роутер підозрюється у поломці.

Якщо у вас є роутер і він налаштований на PPPoE, на комп’ютері нічого створювати не треба: інтернет уже працює через роутер. Що таке PPPoE і чим відрізняється від DHCP, ми розібрали в окремій статті.

Покрокове налаштування PPPoE у Windows 10

1. Натисніть Win + I, відкрийте Мережа та Інтернет.
2. Зліва виберіть Набір номера (Dial-up), праворуч — Налаштувати нове підключення.
3. У майстрі виберіть Підключення до Інтернету → Далі.
4. Якщо з’явиться запитання «Використати наявне підключення?», виберіть Ні, створити нове підключення.
5. Виберіть Високошвидкісне (з PPPoE).
6. Введіть Ім’я користувача і Пароль з договору. Поставте галочку «Запам’ятати цей пароль». У полі «Ім’я підключення» напишіть, наприклад, назву провайдера.
7. Натисніть Підключити. Windows перевірить з’єднання і повідомить «Підключення до Інтернету готове до використання».

Та сама процедура працює у Windows 11: Параметри → Мережа та Інтернет → Набір номера → Налаштувати нове підключення.

Альтернативний шлях через Панель керування

Натисніть Win + R, введіть ncpa.cpl → Enter — відкриється список мережевих підключень. Далі Alt → Файл → Нове вхідне підключення не підходить; натомість у Панелі керування → Центр керування мережами → Створення і налаштування нового підключення або мережі → Підключення до Інтернету → PPPoE. Майстер той самий.

Як підключатися і відключатися

Клацніть значок мережі в треї → виберіть створене з’єднання → Підключити. Або через Параметри → Набір номера. Для швидкого доступу можна створити ярлик на робочому столі:

rasdial "Назва підключення" логін пароль

Ця команда підключає PPPoE з командного рядка, а rasdial "Назва підключення" /disconnect — відключає.

Автоматичне підключення при запуску Windows

Windows 10 не підключає PPPoE сама. Найнадійніший спосіб — Планувальник завдань:

1. Win + R → taskschd.msc → Створити просте завдання.
2. Тригер: При вході в систему.
3. Дія: Запустити програму, у полі «Програма» — rasdial, у полі «Аргументи» — "Назва підключення" логін пароль.
4. У властивостях завдання поставте «Виконувати з найвищими правами» і на вкладці Параметри — «Якщо завдання не вдалося, перезапускати кожні 1 хв».

Альтернатива — покласти bat-файл із командою rasdial у папку автозавантаження (shell:startup), але тоді пароль зберігається у відкритому вигляді.

Помилки PPPoE у Windows і що з ними робити

Перевірка після підключення

Відкрийте командний рядок і виконайте ipconfig: має з’явитися адаптер PPP з назвою вашого підключення і публічною IP-адресою. Потім ping 1.1.1.1 — відповіді означають, що інтернет працює. Якщо адреса є, а сайти не відкриваються, виконайте ipconfig /flushdns або вручну пропишіть DNS 1.1.1.1 у властивостях PPPoE-підключення (вкладка Мережа → IPv4).

Як видалити PPPoE-підключення

Параметри → Мережа та Інтернет → Набір номера → клацніть підключення → Видалити. Або в ncpa.cpl правою кнопкою на з’єднанні → Видалити.

Часті запитання

The post Налаштування PPPoE у Windows 10 і 11: покрокова інструкція та помилки 651, 691, 720 appeared first on worm.org.ua.

Навіщо iperf, якщо є Speedtest

Онлайн-тести міряють шлях до сервера тестування через весь інтернет і залежать від його завантаження. iperf міряє конкретну ділянку, яку ви вибрали: між двома комп’ютерами в офісі, між роутером і сервером, через Wi-Fi або через VPN. Так знаходять, де саме втрачається швидкість: у кабелі, в точці доступу, у комутаторі чи у провайдера.

Установка

• Ubuntu/Debian: sudo apt install iperf3
• CentOS/Rocky: sudo dnf install iperf3
• Windows: завантажте збірку iperf3 для Windows, розпакуйте в папку і запускайте з командного рядка з цієї папки або додайте її в PATH. Брандмауер попросить дозвіл при першому запуску сервера.
• macOS: brew install iperf3
• MikroTik: вбудованого iperf немає, але є Tools → Bandwidth Test зі своїм протоколом; для тесту до MikroTik користуйтеся ним.
• Android/iOS: є застосунки з iperf3 всередині, зручно для перевірки Wi-Fi з телефону.

Важливо: iperf2 і iperf3 несумісні між собою. Сервер і клієнт мають бути однієї версії.

Базовий тест

На першому комп’ютері (сервер):

iperf3 -s

На другому (клієнт):

iperf3 -c 192.168.1.10

Результат:

[ ID] Interval           Transfer     Bitrate         Retr
[  5]   0.00-10.00  sec  1.09 GBytes   938 Mbits/sec    0             sender
[  5]   0.00-10.00  sec  1.09 GBytes   936 Mbits/sec                  receiver

Рядок sender — скільки відправив клієнт, receiver — скільки прийняв сервер. Різниця між ними і колонка Retr (повторні передачі TCP) показують втрати. На гігабітному кабелі норма — 930–945 Мбіт/с, Retr близько нуля.

Корисні ключі

Як читати результат

• Гігабітний кабель: 930–945 Мбіт/с. Якщо близько 94 Мбіт/с — лінк піднявся на 100 Мбіт: пошкоджена пара в кабелі, поганий обтиск або порт комутатора на 100 Мбіт.
• Wi-Fi 5 (802.11ac): 300–600 Мбіт/с поблизу точки доступу на 80 МГц каналі. Через дві стіни — 100–200. Якщо 50 і менше — перевантажений канал або клієнт підключився на 2,4 ГГц.
• Один потік різко повільніший за -P 4 — обмеження процесора на одному з кінців або шейпер провайдера на потік.
• Високий Retr — втрати пакетів: кабель, дуплекс mismatch, перевантажений комутатор.
• UDP: Lost/Total понад 0,1% при заданій швидкості — лінія не витримує цю швидкість без втрат.

Типові сценарії

1. Перевірка нового кабелю або комутатора: два ноутбуки, iperf3 -c host -t 30 в обидва боки з -R.
2. Чи «тягне» роутер тариф провайдера: iperf3-сервер на VPS з гігабітним каналом, клієнт удома. Якщо до сервера провайдера (деякі українські провайдери тримають публічні iperf-сервери) швидкість повна, а до VPS ні — вузьке місце за межами провайдера.
3. VPN-тунель: тест до сервера всередині тунелю і поза ним покаже накладні витрати шифрування.
4. Wi-Fi по кімнатах: сервер на дротовому комп’ютері, клієнт на ноутбуці або телефоні, обхід квартири з -t 15 у кожній точці.

Типові помилки

• unable to connect to server: Connection refused — сервер не запущений або брандмауер блокує порт 5201. У Windows дозвольте iperf3.exe у брандмауері, у Linux відкрийте порт: sudo ufw allow 5201.
• the server is busy running a test — iperf3-сервер обслуговує одного клієнта за раз. Зачекайте або запустіть другий сервер на іншому порту.
• Швидкість у Windows удвічі нижча, ніж у Linux — старі збірки iperf3 для Windows через Cygwin повільні. Використовуйте свіжу збірку або додайте -P 4.
• Клієнт показує більше, ніж сервер — це нормально: дивіться на рядок receiver, саме він показує реально доставлені дані.

Якщо потрібно перевірити канал між пристроями Cisco без зовнішнього комп’ютера, в IOS є вбудований аналог — TTCP. А коли швидкість у нормі, але з’єднання все одно «тупить», проблема може бути в маршруті — перевірте його через tracert.

Часті запитання

The post iperf3: як виміряти реальну швидкість мережі між двома комп’ютерами appeared first on worm.org.ua.

Як працює SNMP

У схемі два учасники:

• Агент — вбудована в пристрій служба, яка знає його стан і відповідає на запити.
• Менеджер — система моніторингу (Zabbix, PRTG, LibreNMS, Cacti), яка періодично опитує агентів і будує графіки.

Менеджер надсилає запит «дай значення OID 1.3.6.1.2.1.2.2.1.10.5», агент відповідає числом — наприклад, кількістю байтів, що пройшли через п’ятий порт. Запити йдуть раз на 30–300 секунд. Крім опитування, агент сам може повідомити про подію — це trap: лінк упав, температура перевищила поріг, пристрій перезавантажився.

OID і MIB: як пристрій описує себе

OID (Object Identifier) — це адреса параметра у вигляді дерева чисел. Стандартна гілка для всіх пристроїв починається з 1.3.6.1.2.1 (MIB-2): тут аптайм, опис системи, таблиця інтерфейсів із лічильниками трафіку. Приватні гілки виробників починаються з 1.3.6.1.4.1: далі йде номер виробника (9 — Cisco, 171 — D-Link, 890 — ZyXEL, 14988 — MikroTik) і його власні параметри: температура, вентилятори, PoE.

MIB (Management Information Base) — текстовий файл, який перекладає числа у зрозумілі імена: 1.3.6.1.2.1.1.3.0 = sysUpTime. Без MIB система моніторингу все одно працює, просто показує числа замість назв.

Найкорисніші стандартні OID:

Повні списки OID для конкретних моделей ми зібрали у статтях про D-Link і Edge-Core.

Версії SNMP: v1, v2c, v3

Community — це фактично пароль у v1 і v2c. Заводське значення public (читання) і private (запис) потрібно змінити одразу, а запис (write) взагалі вимкнути, якщо він не потрібен.

Порти і фаєрвол

• UDP 161 — менеджер надсилає запити агенту. Відкривайте тільки з адреси сервера моніторингу.
• UDP 162 — агент надсилає trap менеджеру. Відкривається на сервері моніторингу.

Не публікуйте SNMP в інтернет: відкритий порт 161 зі стандартним community — один з найчастіших способів дізнатися все про вашу мережу, а також інструмент для DDoS-атак із підсиленням.

Як перевірити, що SNMP працює

У Linux встановіть пакет snmp (Debian/Ubuntu) або net-snmp-utils (CentOS) і виконайте:

snmpget -v2c -c public 192.168.1.10 1.3.6.1.2.1.1.3.0
snmpwalk -v2c -c public 192.168.1.10 1.3.6.1.2.1.2.2.1.8

Перша команда поверне аптайм, друга пройде по всій таблиці стану портів. Для SNMPv3:

snmpwalk -v3 -l authPriv -u monitor -a SHA -A "AuthPass" -x AES -X "PrivPass" 192.168.1.10 system

Якщо відповіді немає — перевірте, чи увімкнено SNMP на пристрої, чи правильний community, чи дозволена ваша адреса в ACL і чи не блокує фаєрвол UDP 161. Для Windows є графічні MIB-браузери (наприклад, від iReasoning), які показують дерево OID наочно.

Як увімкнути SNMP на обладнанні

• Cisco: Налаштування SNMP у Cisco — community, ACL, trap.
• MikroTik: /snmp set enabled=yes, community у /snmp community, обов’язково обмежте addresses.
• Linux-сервер: пакет snmpd, у /etc/snmp/snmpd.conf рядок rocommunity ВашCommunity 192.168.1.5.
• Windows: компонент «Служба SNMP» через «Додаткові компоненти», community та дозволені хости — у властивостях служби.

Куди далі

Після того як пристрої відповідають на snmpwalk, додайте їх у систему моніторингу: Zabbix має готові шаблони для більшості виробників, які самі знайдуть порти і побудують графіки трафіку. Сповіщення про падіння лінку зручно отримувати у месенджер — як це зробити, описано у статті Zabbix і Telegram.

Часті запитання

The post Що таке SNMP простими словами: OID, MIB, версії v1/v2c/v3, порти 161 і 162 appeared first on worm.org.ua.

Що знадобиться

• Zabbix 6.0, 6.4 або 7.x. У цих версіях медіатип Telegram є «з коробки». Для Zabbix 5.0 він також є, але з меншою кількістю параметрів.
• Доступ сервера Zabbix до api.telegram.org по HTTPS. Якщо сервер у закритій мережі, потрібен проксі.
• Акаунт Telegram, із якого ви створите бота.

Крок 1. Створіть бота в Telegram

1. Відкрийте чат з @BotFather, надішліть /newbot.
2. Вкажіть ім’я (будь-яке) та юзернейм, який закінчується на bot, наприклад office_zabbix_bot.
3. Збережіть токен виду 7123456789:AAH.... Це пароль бота, нікому його не показуйте.

Крок 2. Дізнайтеся chat ID

Для особистих сповіщень напишіть боту будь-яке повідомлення (наприклад, /start), потім відкрийте в браузері:

https://api.telegram.org/bot<ТОКЕН>/getUpdates

У відповіді знайдіть "chat":{"id":123456789 — це ваш chat ID. Для групи додайте бота в групу, напишіть у ній повідомлення і повторіть запит: ID групи буде з мінусом, наприклад -1001234567890. Якщо бот не бачить повідомлень у групі, вимкніть у @BotFather режим приватності: /setprivacy → Disable.

Крок 3. Увімкніть медіатип Telegram

1. Zabbix → Alerts → Media types (у Zabbix 6.0: Administration → Media types).
2. Відкрийте Telegram, у параметрі Token вставте токен бота. Параметр ParseMode можна залишити порожнім або поставити HTML чи Markdown для форматування.
3. Поставте галочку Enabled і натисніть Update.
4. Натисніть Test, введіть свій chat ID і будь-який текст: повідомлення має прийти в Telegram.

Якщо тест не проходить, перевірте доступ сервера до api.telegram.org:

curl -s https://api.telegram.org/bot<ТОКЕН>/getMe

Крок 4. Додайте медіа користувачу

1. Users → Users → виберіть користувача (наприклад, Admin) → вкладка Media → Add.
2. Type: Telegram, Send to: ваш chat ID.
3. When active: 1-7,00:00-24:00, Use if severity: оберіть рівні, зазвичай від Warning і вище.

Для групи адміністраторів зручніше створити окремого користувача Zabbix «telegram-group» з chat ID групи і додати його до групи користувачів з правами читання на потрібні хости.

Крок 5. Створіть дію (Action)

1. Alerts → Actions → Trigger actions → Create action.
2. Name: Telegram alerts. Conditions: за потреби обмежте групою хостів або рівнем важливості.
3. Вкладка Operations → Add: Send to users — ваш користувач, Send only to — Telegram.
4. Додайте також Recovery operations, щоб отримувати повідомлення про відновлення.
5. Enabled → Add.

Шаблон повідомлення

Стандартні шаблони медіатипу вже містять ім’я хоста, тригер і час. Якщо хочете компактніше, у Media types → Telegram → Message templates замініть текст проблеми на:

🔴 {TRIGGER.STATUS}: {TRIGGER.NAME}
Хост: {HOST.NAME} ({HOST.IP})
Важливість: {TRIGGER.SEVERITY}
Час: {EVENT.DATE} {EVENT.TIME}
Значення: {ITEM.LASTVALUE1}

Для відновлення:

🟢 Відновлено: {TRIGGER.NAME}
Хост: {HOST.NAME}
Тривалість: {EVENT.DURATION}

У ParseMode поставте HTML, якщо використовуєте теги <b> чи посилання в шаблоні.

Типові помилки

Що ще варто налаштувати

• Ескалація. У дії додайте другий крок через 30 хвилин: якщо проблема не вирішена, повідомлення піде керівнику.
• Тиша вночі. У медіа користувача обмежте час активності для Warning, а для Disaster залиште цілодобово.
• Окремі чати для мережі, серверів і сервісів: створіть кількох користувачів із різними chat ID і різними правами.

Якщо ви тільки будуєте моніторинг мережевого обладнання, збір даних із комутаторів зручно робити через SNMP — ми описали потрібні OID для D-Link і Edge-Core, а також налаштування SNMP у Cisco.

Часті запитання

The post Zabbix і Telegram: як налаштувати сповіщення за 15 хвилин appeared first on worm.org.ua.

Статична і динамічна адреса: у чому різниця

Важливий нюанс: динамічна адреса може бути «білою» (публічною) або «сірою» (за CGNAT провайдера). Статична адреса завжди біла — саме тому її замовляють.

Як дізнатися, статична чи динамічна адреса у вас

1. Відкрийте будь-який сервіс «мій IP» (наприклад, пошуковий запит «my ip» у Google) і запишіть адресу.
2. Зайдіть у роутер і подивіться адресу на WAN-інтерфейсі. Якщо вона збігається із записаною — у вас біла адреса. Якщо на WAN адреса виду 10.x.x.x, 100.64.x.x–100.127.x.x або 172.16–31.x.x — ви за NAT провайдера, адреса сіра.
3. Перезавантажте роутер і перевірте ще раз. Адреса змінилася — динамічна. Не змінилася — можливо, статична, але краще уточнити у провайдера: деякі видають «умовно постійні» динамічні адреси.
4. Остаточна відповідь — у договорі або особистому кабінеті: послуга «Статична IP-адреса» підключена або ні.

Як отримати статичну IP-адресу в Україні

Київстар (домашній інтернет)

Послуга «Статична IP-адреса» підключається в застосунку Мій Київстар або через контакт-центр. Активується зазвичай протягом доби, адреса приходить в SMS. На мобільному інтернеті Київстар статичну адресу не надає — для 4G-роутерів потрібно шукати інші рішення, наприклад VPN зі своїм сервером.

Vodafone Україна

Для домашнього інтернету статичний IP замовляється через підтримку або кабінет. На мобільному інтернеті є корпоративна послуга з виділеним APN для бізнес-абонентів.

Укртелеком

Послуга «Фіксована IP-адреса» для ADSL і оптичних підключень, заявка через кабінет або 0 800 506 800. Після підключення в налаштуваннях PPPoE адреса видається автоматично, нічого змінювати на роутері не треба.

Воля, Ланет, Тріолан та місцеві провайдери

Практично всі мають таку послугу за 30–80 грн. Деякі видають адресу через DHCP із прив’язкою до MAC роутера: тоді при заміні роутера потрібно повідомити нову MAC-адресу або клонувати стару.

Starlink

Стандартні тарифи дають тільки адресу за CGNAT. Публічна адреса доступна на бізнес-тарифах (Priority), і навіть там вона динамічна. Для домашнього користувача Starlink вихід один — VPN-тунель до сервера з білою адресою.

Що робити після підключення

1. Перевірте, що адреса на WAN роутера стала тією, яку надіслав провайдер. Якщо провайдер видав дані для ручного введення — тип WAN «Static IP», заповніть адресу, маску, шлюз і DNS. Для MikroTik команди є в інструкції з налаштування hAP ac2.
2. Налаштуйте проброс портів (port forwarding) до потрібного пристрою: камери, сервера, NAS.
3. Закрийте все зайве: змініть стандартні паролі, вимкніть доступ до адмінки роутера з інтернету, оновіть прошивки. Біла адреса сканується ботами вже в перші години.
4. Для зручності прив’яжіть до адреси доменне ім’я або безкоштовний DDNS.

Коли статична адреса не потрібна

• Доступ до камер через хмару виробника (Hikvision Hik-Connect, Dahua, TP-Link Tapo) — працює через сірий IP.
• Віддалений доступ через VPN-сервіси з «нульовою конфігурацією» (Tailscale, ZeroTier, WireGuard через свій VPS) — тунель будується зсередини, біла адреса не потрібна.
• DDNS — вирішує проблему змінної адреси, але тільки якщо адреса біла. Якщо ви за CGNAT, DDNS не допоможе.

Якщо ваш провайдер видає сіру адресу і відмовляється дати білу, розберіться, що таке CGNAT і як його обійти, — про це окрема стаття Що таке CGNAT.

Часті запитання

The post Статична IP-адреса: що це, навіщо потрібна і як отримати у Київстар, Vodafone, Укртелеком appeared first on worm.org.ua.

Як працює PPPoE

Протокол PPP створювався для модемних з’єднань телефонною лінією: він умів перевіряти логін і пароль, стискати дані й рахувати трафік. Коли з’явився Ethernet, провайдери захотіли залишити цю схему обліку — так PPP «загорнули» в Ethernet-кадри. Підключення проходить у два етапи:

1. Discovery. Клієнт надсилає широкомовний запит PADI «хто тут сервер доступу?», сервер (BRAS) відповідає PADO, клієнт обирає його (PADR) і отримує номер сесії (PADS).
2. Session. Всередині сесії PPP перевіряє логін і пароль (PAP або CHAP), потім через IPCP видає клієнту IP-адресу, адреси DNS і шлюз.

Після цього весь трафік абонента йде всередині PPP-тунелю до BRAS провайдера, а той уже випускає його в інтернет. Сесія живе, поки роутер увімкнений; після перезавантаження з’єднання встановлюється знову.

PPPoE, DHCP і IPoE: у чому різниця

IPoE (IP over Ethernet) — це маркетингова назва звичайного DHCP-підключення з авторизацією на стороні провайдера за MAC-адресою або портом. Для абонента це найпростіший варіант: під’єднав кабель — інтернет є.

Як дізнатися, який тип підключення у вас

1. Подивіться договір або особистий кабінет провайдера: якщо там є логін і пароль для інтернету (не для кабінету), це PPPoE.
2. Зайдіть у роутер, розділ WAN або Інтернет: тип підключення вказаний явно — PPPoE, Dynamic IP (DHCP) або Static IP.
3. Під’єднайте комп’ютер напряму до кабелю провайдера. Якщо інтернет з’явився сам — DHCP. Якщо ні — швидше за все PPPoE або прив’язка за MAC.

Налаштування PPPoE: загальна схема

На будь-якому роутері потрібно три речі: вибрати тип WAN «PPPoE», ввести логін і пароль із договору, зберегти. Назва сервісу (Service Name) і AC Name зазвичай залишаються порожніми. Команди для конкретних пристроїв:

• MikroTik — у статті налаштування MikroTik hAP ac2, розділ WAN.
• Cisco — PPPoE-клієнт на Cisco і відлагодження PPPoE у Cisco.
• Ubuntu Linux — PPPoE-клієнт на Ubuntu.
• Windows 10 і 11 — з’єднання створюється у Параметрах → Мережа та Інтернет → Набір номера, без роутера.

Типові помилки PPPoE і що вони означають

Чи потрібен PPPoE сьогодні

Провайдери поступово переходять на IPoE/DHCP: він простіший для абонентів і менше навантажує обладнання. Але PPPoE не зник. Він лишається там, де потрібна жорстка прив’язка сесії до облікового запису, на ADSL і в мережах, побудованих 10–15 років тому. Для абонента різниці у швидкості на сучасному роутері немає: PPPoE обробляється апаратно, і 1 Гбіт/с проходить без втрат. Проблеми виникають тільки на старих бюджетних роутерах, де процесор не встигає інкапсулювати пакети.

Якщо провайдер видав вам логін і пароль — це PPPoE, і статична адреса в ньому можлива так само, як у DHCP. Як її отримати і навіщо вона потрібна, читайте у статті Статична IP-адреса.

Часті запитання

The post Що таке PPPoE і чим він відрізняється від DHCP та IPoE appeared first on worm.org.ua.

Навіщо потрібен VLAN

• Безпека. Гості Wi-Fi, камери відеоспостереження і бухгалтерія в різних VLAN не можуть звертатися одне до одного напряму.
• Порядок у мережі. Широкомовний трафік (ARP, DHCP, пошук пристроїв) не виходить за межі своєї VLAN, тому велика мережа не «шумить».
• Економія. Замість окремого комутатора для кожного відділу — один комутатор, поділений логічно.
• Гнучкість. Перенести співробітника в іншу мережу можна, змінивши налаштування порту, а не перекладаючи кабель.

Типовий приклад для провайдера: один кабель від будинкового комутатора несе VLAN 100 для інтернету, VLAN 200 для IPTV і VLAN 300 для керування обладнанням.

VLAN ID і тег 802.1Q

Щоб комутатор розумів, до якої VLAN належить кадр, у заголовок Ethernet вставляється тег розміром 4 байти за стандартом 802.1Q. У ньому 12 біт відведено під номер VLAN — тому діапазон 1–4094 (0 і 4095 зарезервовані). Ще 3 біти — пріоритет (802.1p), який використовують для QoS, наприклад щоб голосовий трафік ішов першим.

Кадр із тегом називають tagged (маркованим), без тегу — untagged (немаркованим). Звичайні комп’ютери, принтери, телевізори не розуміють тегів: вони надсилають і очікують тільки untagged-кадри.

Типи портів: access і trunk

У термінології Cisco порти називаються access і trunk. У D-Link, ZyXEL, Edge-Core та інших виробників для кожного порту окремо вказується, у яких VLAN він tagged, у яких untagged, і який PVID (Port VLAN ID) присвоювати вхідним кадрам без тегу. Логіка та сама, різняться лише меню.

Native VLAN і PVID

На trunk-порту один VLAN можна передавати без тегу — це native VLAN (у Cisco) або VLAN, що відповідає PVID порту (у інших виробників). За замовчуванням це VLAN 1. Кадри без тегу, які приходять на порт, комутатор відносить саме до цієї VLAN.

Дві практичні поради:

• Native VLAN має збігатися на обох кінцях кабелю, інакше трафік потрапить «не туди». Cisco попереджає про це повідомленням Native VLAN mismatch.
• Не використовуйте VLAN 1 для робочого трафіку: заводські налаштування всіх портів у VLAN 1, і будь-який новий пристрій одразу потрапляє в неї.

Як VLAN спілкуються між собою

Комутатор другого рівня ізолює VLAN повністю. Щоб комп’ютер із VLAN 10 відкрив сайт на сервері у VLAN 20, потрібен маршрутизатор або L3-комутатор. Є два варіанти:

• Router on a stick — роутер підключений одним trunk-кабелем, на ньому створені підінтерфейси для кожної VLAN зі своєю адресою. Так роблять на MikroTik і Cisco у невеликих мережах.
• L3-комутатор — інтерфейси VLAN (SVI) створюються на самому комутаторі, маршрутизація йде на швидкості портів. Варіант для офісів і провайдерів.

Правила фаєрвола між VLAN пишуться саме на цьому маршрутизаторі: наприклад, камерам заборонити доступ в інтернет, а гостям — у мережу офісу.

Типова схема домашньої або офісної мережі

Як налаштувати VLAN на різному обладнанні

Команди для конкретних комутаторів ми описали в окремих інструкціях:

• Cisco Switch: створення, редагування та видалення VLAN
• Налаштування VLAN у комутаторах ZyXEL
• QinQ (подвійне тегування) у комутаторах D-Link — для провайдерів, яким мало 4094 VLAN

На домашніх роутерах без підтримки 802.1Q VLAN налаштувати не вийде: потрібен керований комутатор (від 1 500 грн за 8 портів) або роутер на RouterOS чи OpenWrt.

Часті помилки

• Порт залишили access у VLAN 1, а пристрій очікує tagged-трафік — лінк є, адреси немає.
• На одному кінці trunk, на іншому access — працює тільки native VLAN.
• Забули дозволити VLAN на trunk (на Cisco команда switchport trunk allowed vlan) — VLAN існує, але через магістраль не проходить.
• Не створили DHCP-сервер для нової VLAN — пристрої отримують адреси 169.254.x.x.

Часті запитання

The post Що таке VLAN простими словами: VLAN ID, tagged і untagged порти, native VLAN, trunk appeared first on worm.org.ua.

Навіщо потрібен nslookup

• Сайт не відкривається — перевірити, чи перетворюється ім’я на адресу і чи правильна ця адреса.
• Після переїзду сайту або зміни DNS-записів дізнатися, чи оновилися вони у різних DNS-серверів.
• Знайти поштові сервери домену (MX), сервери імен (NS), перевірити SPF або DKIM (TXT).
• Дізнатися, яке ім’я прив’язане до IP-адреси (зворотний запит, PTR).

Команда є у Windows, Linux і macOS із однаковим синтаксисом. У Linux вона входить до пакета dnsutils (Debian, Ubuntu) або bind-utils (CentOS, Fedora).

Базова перевірка: nslookup домен

C:\> nslookup worm.org.ua
Сервер:  one.one.one.one
Address:  1.1.1.1

Не авторитетна відповідь:
Ім'я:     worm.org.ua
Address:  185.x.x.x

Перші два рядки — DNS-сервер, який відповів (той, що вказаний у налаштуваннях адаптера або роутера). Далі — ім’я й адреса. Якщо адрес кілька (A і AAAA або кілька A-записів) — виводяться всі.

«Не авторитетна відповідь» (Non-authoritative answer) — не помилка. Так позначається відповідь із кешу проміжного сервера, а не від сервера, який безпосередньо обслуговує зону домену. Для звичайної перевірки це нормально.

Запит до конкретного DNS-сервера

nslookup worm.org.ua 8.8.8.8
nslookup worm.org.ua 1.1.1.1

Так перевіряють, чи вже розійшлися зміни DNS: один сервер може віддавати нову адресу, інший — стару з кешу. Щоб отримати відповідь від авторитетного сервера, спочатку дізнайтеся NS-записи домену, потім запитайте один з них напряму.

Типи записів: -type

Приклад перевірки пошти:

nslookup -type=MX gmail.com
gmail.com    MX preference = 5, mail exchanger = gmail-smtp-in.l.google.com
gmail.com    MX preference = 10, mail exchanger = alt1.gmail-smtp-in.l.google.com

Менше значення preference означає вищий пріоритет.

Зворотний запит: ім’я за IP-адресою

nslookup 8.8.8.8
Ім'я:     dns.google
Address:  8.8.8.8

Так перевіряють PTR-запис. Він важливий для поштових серверів: без правильного PTR листи часто потрапляють у спам.

Інтерактивний режим

Якщо ввести nslookup без параметрів, відкриється власний рядок команд утиліти:

> server 8.8.8.8
> set type=MX
> worm.org.ua
> set type=A
> set debug
> exit

set debug показує повну відповідь сервера з TTL кожного запису — зручно, щоб зрозуміти, скільки ще сервери триматимуть стару адресу в кеші.

Типові помилки і що вони означають

• Non-existent domain (NXDOMAIN) — такого імені немає. Перевірте написання або те, чи створено запис у панелі DNS.
• Request timed out — DNS-сервер не відповідає. Перевірте підключення або спробуйте інший сервер: nslookup domain 1.1.1.1.
• Server failed — помилка на стороні DNS-сервера, часто через неправильну конфігурацію зони.
• Старий IP після зміни записів — спрацював кеш. Зачекайте, поки мине TTL, і очистіть локальний кеш командою ipconfig /flushdns.

nslookup чи dig

У Linux і macOS адміністратори частіше користуються dig: він виводить відповідь у форматі, близькому до файлу зони, і зручніший для скриптів. nslookup виграє тим, що є у Windows без установки і має однаковий синтаксис усюди. Аналог запиту MX у dig: dig MX worm.org.ua +short.

Якщо DNS працює правильно, а сайт усе одно недоступний, перевірте маршрут до сервера командою tracert.

Часті запитання

The post nslookup: як перевірити DNS-записи з командного рядка appeared first on worm.org.ua.

Як працює трасування маршруту

Кожен IP-пакет має поле TTL (time to live) — кількість вузлів, яку він може пройти. Утиліта надсилає пакети з TTL = 1, 2, 3 і так далі. Перший маршрутизатор відкидає пакет з TTL = 1 і повідомляє про це, другий — пакет з TTL = 2, і так до кінцевого вузла. Так крок за кроком будується список усіх маршрутизаторів на шляху. Windows використовує для цього ICMP-пакети, Linux за замовчуванням — UDP, тому результати іноді відрізняються.

tracert у Windows

tracert google.com

Приклад результату:

Трасування маршруту до google.com [142.250.184.206]
з максимальною кількістю стрибків 30:

  1    <1 мс    <1 мс    <1 мс  192.168.1.1
  2     2 мс     2 мс     2 мс  10.20.0.1
  3     5 мс     4 мс     5 мс  lag-1.bras1.kyiv.example.net [91.x.x.x]
  4     9 мс     8 мс     9 мс  ix.dtel-ix.net [193.25.180.x]
  5    10 мс    10 мс    10 мс  142.250.184.206

Трасування завершено.

Корисні параметри:

traceroute у Linux і macOS

traceroute google.com
traceroute -n google.com        # без DNS-імен
traceroute -I google.com        # через ICMP, як у Windows
traceroute -T -p 443 google.com # через TCP на порт 443, коли ICMP і UDP блокують

В Ubuntu і Debian утиліта встановлюється командою sudo apt install traceroute. У macOS вона є одразу. Альтернатива — mtr: він показує те саме, але безперервно оновлює статистику втрат і затримок по кожному вузлу, що зручно для пошуку нестабільних ділянок:

mtr -n google.com

Як читати результат

• Стрибок 1 — ваш роутер. Затримка має бути менше 1–2 мс по кабелю і до 5–10 мс по Wi-Fi. Якщо більше — проблема у домашній мережі.
• Стрибки 2–4 — мережа провайдера. Тут нормальні значення 2–15 мс у межах міста.
• Різке зростання затримки на якомусь вузлі, яке зберігається далі до кінця, — вузьке місце на цій ділянці.
• Зростання тільки на одному вузлі, а далі знову низька затримка — не проблема: маршрутизатор просто неохоче відповідає на ICMP, транзитний трафік він пропускає нормально.
• Три зірочки * * * на одному вузлі — він не відповідає на службові пакети, але це ще не означає обрив.
• Зірочки до самого кінця після якогось вузла — пакети далі не проходять. Саме цей вузол і повідомляйте провайдеру.

Що робити, якщо tracert показує зірочки

1. Перевірте, чи взагалі доступний кінцевий вузол: ping host. Багато серверів блокують ICMP повністю, тоді зірочки в кінці — норма.
2. Спробуйте в Linux трасування через TCP (traceroute -T -p 443): такі пакети виглядають як звичайне з’єднання і проходять там, де ICMP заблоковано.
3. Порівняйте трасування з різних мереж: з кабелю, з мобільного інтернету. Якщо обрив у тому самому місці — проблема на стороні цільового сервера або його провайдера.
4. Якщо обрив на 2–3 стрибку — звертайтеся до свого провайдера і додайте до звернення результат команди.

Типові сценарії

• Високий пінг у грі. Трасування до ігрового сервера покаже, на якому вузлі з’являється затримка: якщо на першому — Wi-Fi, якщо на закордонних — маршрутизація провайдера.
• Сайт не відкривається. Якщо трасування доходить до кінця, проблема не в мережі, а в сервері чи DNS: перевірте nslookup.
• Скарга провайдеру. Додайте результат tracert -d і час тестування: підтримка побачить проблемний вузол без додаткових запитань.

Якщо tracert показує нормальний маршрут, але швидкість низька, вузьке місце шукають уже іншими інструментами — наприклад, iperf або його аналогом TTCP на Cisco. Базові налаштування адаптера перед трасуванням перевіряйте командою ipconfig.

Часті запитання

The post tracert і traceroute: як трасувати маршрут у Windows, Linux і macOS appeared first on worm.org.ua.

Як запустити ipconfig

Натисніть Win + R, введіть cmd і Enter. Для команд, що змінюють налаштування (/release, /renew, /flushdns), запускайте командний рядок від імені адміністратора: Пуск → введіть cmd → правою кнопкою → Запуск від імені адміністратора. У PowerShell і Windows Terminal команда працює так само.

ipconfig без параметрів

C:\> ipconfig

Адаптер Ethernet Ethernet:
   DNS-суфікс підключення . . . . . : lan
   IPv4-адреса . . . . . . . . . . . : 192.168.1.15
   Маска підмережі . . . . . . . . . : 255.255.255.0
   Основний шлюз . . . . . . . . . . : 192.168.1.1

Показує тільки основне: адресу, маску і шлюз кожного адаптера. Цього достатньо, щоб дізнатися свою локальну IP-адресу або адресу роутера (рядок «Основний шлюз»).

ipconfig /all — повна інформація

ipconfig /all

Додатково виводить:

• Фізична адреса — MAC-адреса адаптера.
• DHCP увімкнено — чи отримує адаптер адресу автоматично.
• DHCP-сервер і час оренди адреси.
• DNS-сервери — куди комп’ютер надсилає запити на імена.
• Опис — модель мережевої карти, корисно при пошуку драйвера.

Саме ipconfig /all просить підтримка провайдера, коли потрібно перевірити, чи отримав комп’ютер правильні налаштування.

ipconfig /flushdns — очистити DNS-кеш

ipconfig /flushdns
Кеш резолвера DNS успішно очищено.

Windows зберігає відповіді DNS-серверів у локальному кеші. Якщо сайт переїхав на нову адресу, а ви все ще бачите стару або помилку «не вдається знайти DNS-адресу сервера», очищення кешу вирішує проблему. Також допомагає після зміни DNS-серверів у налаштуваннях адаптера або роутера.

Подивитися поточний вміст кешу можна командою ipconfig /displaydns, а зареєструвати ім’я комп’ютера на DNS-сервері домену — ipconfig /registerdns.

ipconfig /release і /renew — нова адреса від DHCP

ipconfig /release
ipconfig /renew

/release відмовляється від поточної адреси, /renew запитує нову у DHCP-сервера (зазвичай у роутера). Використовуйте цю пару, коли:

• комп’ютер отримав адресу 169.254.x.x (APIPA) — це означає, що DHCP-сервер не відповів;
• після заміни роутера або зміни підмережі старі налаштування «зависли»;
• інтернет є на інших пристроях, а на цьому комп’ютері немає.

Якщо адаптерів кілька, можна вказати конкретний: ipconfig /renew "Ethernet". Для IPv6 є окремі варіанти /release6 і /renew6.

Усі параметри ipconfig

Типовий сценарій діагностики

1. ipconfig — є адреса з підмережі роутера (192.168.x.x або 10.x.x.x)? Якщо 169.254.x.x — переходьте до кроку 3.
2. ping 192.168.1.1 — відповідає шлюз? Якщо ні, проблема в кабелі, Wi-Fi або роутері.
3. ipconfig /release та ipconfig /renew — отримати адресу заново.
4. ipconfig /flushdns — якщо сайти не відкриваються за іменем, але ping 8.8.8.8 працює.
5. Якщо після цього не допомогло, скиньте мережевий стек: netsh winsock reset і netsh int ip reset, потім перезавантаження.

Аналоги ipconfig в інших системах

• Linux: ip addr (або застаріла ifconfig), DNS-кеш — resolvectl flush-caches.
• macOS: ifconfig або ipconfig getifaddr en0 для адреси конкретного інтерфейсу; очищення DNS — sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder.

Повну добірку мережевих команд Windows, включно з netsh для ручного налаштування адреси, дивіться у статті Налаштування мережі у Windows із командного рядка. Трасування маршруту до вузла описано в статті про tracert, перевірка DNS-записів — у статті про nslookup.

Часті запитання

The post ipconfig: усі команди з прикладами — /all, /flushdns, /release, /renew appeared first on worm.org.ua.