Síť v Linuxu

Síť je to, co spojí tvůj počítač se zbytkem světa, s routerem doma, s webem, se serverem v cloudu. V Linuxu se skoro všechno kolem sítě dá zjistit a nastavit z terminálu pár příkazy: jakou máš IP adresu, kudy data odcházejí ven (brána/gateway), jak se jméno jako github.com mění na IP, a co na tvém stroji zrovna poslouchá na síti. Až pochopíš těch pár vrstev, přestane být „nefunguje mi internet" magie a stane se z toho pár otázek, na které umíš odpovědět.

Pár pojmů na úvod

• IP adresa = číselná adresa počítače v síti, něco jako telefonní číslo. Verze IPv4 vypadá jako 192.168.1.42, novější IPv6 jako 2001:db8::1. Podle ní ostatní vědí, kam ti poslat data.
• Síťové rozhraní (NIC / interface) = „zásuvka do sítě". Fyzická karta (eth0, enp3s0), Wi-Fi (wlan0, wlp2s0) nebo virtuální (lo, docker0). Každé může mít vlastní IP.
• Brána (gateway / default route) = router, kterému stroj předá data, když cíl není v místní síti. Bez ní se dostaneš tak akorát na souseda v LAN, ale ne na internet.
• DNS = telefonní seznam internetu. Překládá jména (example.com) na IP adresy, protože lidé si pamatují jména a počítače potřebují čísla.
• Port = číslo „dveří" na jedné IP adrese. Web běží typicky na portu 80/443, SSH na 22. Jedna IP, hodně portů, každá služba má svoje.
• Loopback (127.0.0.1, localhost) = adresa „já sám". Data po ní nikdy neopustí počítač; slouží k tomu, aby spolu mluvily programy na jednom stroji.

IP adresa a rozhraní, kdo jsem v síti

Každý počítač v síti má aspoň jednu IP adresu a aspoň jedno rozhraní, přes které je připojený. Rozhraní si představ jako konkrétní kabel nebo Wi-Fi anténu; IP adresa je číslo, které na tom rozhraní „visí". Vypíšeš je příkazem ip addr (zkráceně ip a):

ip addr
# nebo krátce
ip a

Typický výstup (zkráceno):

1: lo: <LOOPBACK,UP,LOWER_UP> ...
    inet 127.0.0.1/8 scope host lo
2: enp3s0: <BROADCAST,MULTICAST,UP,LOWER_UP> ...
    inet 192.168.1.42/24 scope global dynamic enp3s0

Co z toho čteš:

• lo je loopback, vždy tam je, vždy má 127.0.0.1. K němu se dostaneme níž.
• enp3s0 je fyzické rozhraní, které má IP 192.168.1.42. To /24 je maska sítě, říká, které adresy jsou „místní" (tady 192.168.1.0–192.168.1.255).
• UP znamená, že rozhraní je aktivní. Když tam UP chybí, rozhraní je vypnuté a síť po něm nejede.

💡 Adresy 192.168.x.x, 10.x.x.x a 172.16–31.x.x jsou privátní, používají se v domácích a firemních sítích a na veřejném internetu je nikdo nevidí přímo. Ven jdeš přes router, který je „přeloží" na svou veřejnou IP (NAT).

Kudy data odcházejí ven, brána a routovací tabulka

IP adresa ti řekne, kdo jsi. Ale když chceš poslat data na github.com, počítač musí vědět kudy. K tomu slouží routovací tabulka, seznam pravidel „pro tenhle rozsah adres jdi tudy". Vypíšeš ji:

ip route
# nebo krátce
ip r

default via 192.168.1.1 dev enp3s0 proto dhcp ...
192.168.1.0/24 dev enp3s0 proto kernel scope link src 192.168.1.42

Dva řádky, dvě pravidla:

• 192.168.1.0/24 dev enp3s0: „adresy v mojí místní síti pošli přímo přes enp3s0". Soused v LAN je na dosah bez routeru.
• default via 192.168.1.1: default route neboli brána. „Cokoli, co nesedí na žádné konkrétnější pravidlo (= zbytek světa), pošli routeru 192.168.1.1." Ten to pošle dál.

Bez řádku default via ... se dostaneš jen do místní sítě a internet nejede, i když máš IP a kabel v pořádku. To je jeden z nejčastějších tichých problémů (viz Failure modes).

DNS, jak se jméno mění na IP

Do prohlížeče píšeš github.com, ale síť pracuje s IP adresami. Překlad jména na IP obstarává DNS. Když se zeptáš na github.com, počítač pošle dotaz na DNS server (typicky ten od providera nebo router) a dostane zpátky IP, na kterou se pak teprve připojí.

Kde je nastavené, koho se ptát:

• /etc/resolv.conf: klasický soubor se seznamem DNS serverů (nameserver 1.1.1.1). Historicky ho ladíš tady, ale na moderních systémech ho často spravuje automat a ručně editovat nemá smysl.
• systemd-resolved: na Fedoře, Ubuntu a spol. běžně vyřizuje DNS tahle služba. /etc/resolv.conf pak bývá jen symlink na ni (127.0.0.53). Stav zjistíš:

  resolvectl status
  

• /etc/hosts: malý ruční seznam „jméno → IP", který se prohlíží dřív než DNS. Zápis 127.0.0.1 localhost je tam vždycky. Když sem přidáš řádek, přebije DNS pro to jméno:

  # /etc/hosts
  192.168.1.50   muj-server.local
  

🚩 /etc/hosts je mocný, ale zákeřný: když sem někdy něco napíšeš a zapomeneš na to, jméno bude ukazovat „napořád" na tvou ručně zadanou IP a žádný DNS s tím nehne. První místo, kam kouknout, když se jméno chová divně.

Ověřit, jak se konkrétní jméno překládá:

dig github.com +short      # jen výsledné IP
host github.com            # čitelněji, i zpětně
getent hosts github.com    # funguje vždy (dig/host bývají v balíku bind-utils/dnsutils, nemusí být)

Porty a co poslouchá

Na jedné IP adrese může běžet spousta služeb naráz, rozlišují se portem. Když chceš vědět, co na tvém stroji naslouchá (čeká na příchozí spojení), použiješ ss:

ss -tulpn

Co znamenají ta písmenka:

• t = TCP, u = UDP (dva hlavní typy spojení),
• l = jen naslouchající sokety (listening),
• p = ukaž proces (který program to je), často chce sudo, jinak neuvidíš cizí,
• n = čísla místo jmen (nepřekládej porty na názvy, je to rychlejší a jasnější).

Ukázka výstupu:

Netid  State   Local Address:Port   Process
tcp    LISTEN  127.0.0.1:5432       postgres
tcp    LISTEN  0.0.0.0:22           sshd

Klíčový detail je Local Address:

• 127.0.0.1:5432: služba poslouchá jen na loopbacku. Dostane se k ní pouze program na tomtéž počítači. Zvenčí je neviditelná. (Tak je správně schovaná databáze.)
• 0.0.0.0:22: poslouchá na všech rozhraních, tedy i směrem do sítě. Kdokoli, kdo na stroj vidí (a projde firewallem), se může připojit.

Ten rozdíl 127.0.0.1 vs 0.0.0.0 je jeden z nejdůležitějších v celé kapitole, plete si ho spousta lidí a vede to buď k „proč se nemůžu připojit", nebo naopak k nechtěně vystavené službě.

Diagnostika, když něco nejede

Pár nástrojů, kterými rozklíčuješ „nefunguje mi internet" na konkrétní příčinu:

ping 1.1.1.1          # jde vůbec konektivita? (odpovídá vzdálená IP?)
ping github.com       # jde konektivita PŘES DNS? (funguje překlad jména?)
dig github.com        # jak se jméno překládá na IP (a odkud)
host github.com       # totéž, čitelněji
curl -I https://github.com   # skutečně navážu HTTP spojení? (hlavičky odpovědi)
wget -qO- https://example.com   # stáhni obsah (rychlá zkouška, že web odpovídá)
traceroute github.com   # kudy data putují: kde se cesta zasekne

Logika je vždycky od nejnižší vrstvy nahoru:

1. ping 1.1.1.1, mluví stroj vůbec ven? Když ne, problém je nízko (rozhraní, brána, kabel).
2. ping github.com, pokud IP pinguje, ale jméno ne, je rozbité DNS (viz Failure modes).
3. curl/wget, spojení navázané, teď jde o konkrétní službu (odpovídá web? správný port?).
4. traceroute, ukáže každý „skok" (router) po cestě; kde přestanou přibývat, tam je zádrhel.

💡 ping posílá tzv. ICMP pakety. Některé servery (a firewally) ping schválně ignorují, takže „neodpovídá na ping" ještě nutně neznamená „je mrtvý". Proto se hodí zkusit i curl na konkrétní port.

NetworkManager a nmcli (krátce)

Na desktopu i na spoustě serverů síť spravuje NetworkManager, služba, která se stará o připojení (zapamatuje si Wi-Fi, přidělí IP přes DHCP, nastaví DNS). Ovládat ji z terminálu umí nmcli:

nmcli device status         # přehled rozhraní a jejich stavu
nmcli connection show       # uložená připojení (profily)
nmcli device wifi list      # dostupné Wi-Fi sítě
nmcli device wifi connect "NazevSite" password "heslo"

💡 Příkazy ip jen ukazují a mění stav teď hned (a po rebootu se to ztratí). NetworkManager naopak drží trvalou konfiguraci. Proto: ip a a ip r na koukání a rychlou diagnostiku, nmcli (nebo GUI) na trvalé nastavení.

Loopback, 127.0.0.1 a localhost

Rozhraní lo a adresa 127.0.0.1 (jméno localhost) jsou zvláštní: data po nich nikdy neopustí počítač. Slouží k tomu, aby spolu mohly mluvit programy na jednom stroji, třeba tvá aplikace se připojí na databázi „na localhost:5432", i když je fyzicky na stejném počítači.

Proč je to užitečné:

• Bezpečnost: služba, která poslouchá jen na 127.0.0.1, je zvenčí nedosažitelná. Ideální pro věci, které nemají co dělat na internetu (databáze, interní admin).
• Vývoj: npm run dev typicky nastartuje web na http://localhost:3000; vidíš ho jen ty.
• Vždy funguje: loopback jede, i když nemáš žádnou síť ani kabel. ping 127.0.0.1 je test, že vůbec funguje síťová vrstva jádra.

Failure modes, časté omyly začátečníků

• „Internet nejede" = vždycky DNS? Ne vždy, ale často. Rozliš to: ping 1.1.1.1 jde, ale ping github.com ne → konektivita je v pořádku, rozbité je DNS (překlad jména na IP). Když nejde ani ping 1.1.1.1, je problém níž (rozhraní, brána).
• Zapomenutá brána (default route). Máš IP, rozhraní je UP, souseda v LAN pingneš, ale internet nikde. Podívej se do ip route, jestli tam vůbec je řádek default via .... Bez něj data ven nemají kudy odejít.
• Služba poslouchá jen na 127.0.0.1 místo 0.0.0.0. Aplikace „běží", ale z jiného počítače se na ni nepřipojíš, protože poslouchá jen na loopbacku. Zkontroluj ss -tulpn a Local Address. (Opačný průšvih: nechtěně nasloucháš na 0.0.0.0 a vystavíš do sítě něco, co nemáš.)
• /etc/hosts tiše přepisuje DNS. Jméno ukazuje na „špatnou" IP a dig přitom vrací něco jiného? Podívej se do /etc/hosts, ruční záznam tam přebíjí DNS a snadno se na něj zapomene.
• Změna přes ip po rebootu zmizí. ip addr add ... nastaví adresu jen dočasně. Trvale to patří do NetworkManageru (nmcli), jinak se po restartu diví, kam se nastavení podělo.

🛠️ Cvičení

1. Kdo jsem a kudy jdu ven. Najdi svou IP adresu a rozhraní, na kterém visí, a pak zjisti adresu své brány (default route). Které dva příkazy k tomu potřebuješ a kde v jejich výstupu ty údaje jsou?
2. Rozliš DNS od konektivity. Bez googlení popiš, čím ověříš, že problém je v DNS a ne v připojení. Které dva pingy a v jakém pořadí, a co který výsledek znamená?
3. Co na mně poslouchá. Vypiš naslouchající služby na svém stroji a u každé rozhodni, jestli je dostupná jen lokálně, nebo i ze sítě. Podle čeho to poznáš?
4. Přebij DNS přes /etc/hosts. Vysvětli, jak bys donutil jméno test.local ukazovat na 127.0.0.1, aniž bys sahal na jakýkoli DNS server. Proč to zabere?
5. Přelož jméno na IP dvěma způsoby. Zjisti IP adresu example.com a pak vysvětli, proč ping na to jméno může selhat, i když samotný překlad na IP funguje.

🧠 Otázky & odpovědi