Компьютерные сети для кибербезопасности: LAN, WAN, PAN, VLAN и топологии

Чтобы разбираться в кибербезопасности, недостаточно знать названия инструментов для анализа трафика или поиска уязвимостей. Сначала нужно понимать, как вообще устроена сеть: где заканчивается один сегмент, через какое устройство пакет попадёт в другой, кто увидит broadcast-трафик и почему два компьютера, подключённые к одному коммутатору, необязательно находятся в одной логической сети.

В этом руководстве разберём основные типы компьютерных сетей — PAN, LAN, WLAN, CAN, MAN и WAN, отдельно выясним, почему VLAN стоит в другой категории, а затем сравним топологии: звезду, шину, кольцо, дерево, mesh и гибридные схемы.

Для кибербезопасности особенно важны три вопроса: какие устройства находятся в одном сегменте, где проходит граница маршрутизации и какие правила контролируют трафик между сегментами. Название LAN или WAN само по себе ещё не отвечает на эти вопросы.

Что такое компьютерная сеть

Компьютерная сеть — это совокупность устройств, которые могут обмениваться данными через проводные или беспроводные каналы связи.

Узлами сети могут быть:

• компьютеры и ноутбуки;

• смартфоны;

• серверы;

• принтеры;

• IP-камеры;

• IoT-устройства;

• коммутаторы;

• маршрутизаторы;

• точки доступа Wi-Fi.

Например, домашняя схема может выглядеть так:

Ноутбук ─┐
Телефон ─┼── Wi-Fi роутер ─── Интернет
ПК ──────┘

Но даже эта простая картинка скрывает несколько уровней. Устройства могут находиться в одной LAN, подключаться к роутеру по разным технологиям, иметь частные IP-адреса и выходить во внешнюю сеть через один default gateway.

Типы компьютерных сетей: короткая таблица

VLAN нельзя ставить в один ряд с LAN, MAN и WAN без пояснения. LAN/WAN описывают масштаб сети, а VLAN — способ логически разделить коммутируемую инфраструктуру на отдельные broadcast domains.

PAN — персональная сеть

PAN, Personal Area Network — небольшая сеть вокруг одного человека и его устройств.

Типичный пример:

Наушники ← Bluetooth → Телефон ← Bluetooth → Часы

К PAN можно относить соединения между смартфоном, wearable-устройствами, ноутбуком и периферией через Bluetooth, USB или другие технологии малого радиуса действия.

Плюсы:

• простая организация;

• не требуется отдельная инфраструктура;

• подходит для персональных устройств;

• обычно небольшой радиус связи.

Что важно для безопасности:

• режим обнаружения Bluetooth;

• процедура pairing;

• устаревшая прошивка устройств;

• ненужные включённые беспроводные интерфейсы.

Для специалиста по ИБ PAN напоминает, что сетевой периметр пользователя не заканчивается Ethernet или Wi-Fi. Bluetooth-наушники, часы и другие периферийные устройства тоже являются участниками обмена данными.

LAN — локальная сеть

LAN, Local Area Network объединяет устройства в ограниченной физической области — например, доме, офисе или здании. Cisco определяет LAN именно как набор подключённых устройств в одной физической локации; при этом сама LAN может включать как проводные, так и беспроводные устройства.

Упрощённая офисная LAN:

PC-1 ──┐
PC-2 ──┼── Switch ─── Router
NAS ───┤
Printer┘

Сегодня основой проводных локальных сетей обычно служит Ethernet и коммутаторы.

Что характерно для LAN

• сеть контролирует одна организация или владелец;

• относительно небольшая географическая область;

• высокая локальная пропускная способность;

• часто используются частные IPv4-адреса;

• выход во внешние сети осуществляется через маршрутизатор или firewall.

Какие IP-адреса часто встречаются внутри LAN

RFC 1918 резервирует три IPv4-диапазона для частных сетей:

Private IPv4 ranges

10.0.0.0/8

172.16.0.0/12

192.168.0.0/16

Поэтому адрес вроде 192.168.1.25 обычно имеет смысл только внутри частной сети и сам по себе не маршрутизируется в глобальном интернете.

Частный IP не означает «защищённый IP». Это только модель адресации. Безопасность обеспечивают firewall, сегментация, контроль доступа, обновления систем и другие меры.

WLAN — беспроводная локальная сеть

WLAN, Wireless Local Area Network — это локальная сеть, в которой конечные устройства используют беспроводное соединение, чаще всего Wi-Fi.

Важно: WLAN — не «сеть большего или меньшего размера, чем LAN». Это разновидность локальной сети по используемой среде доступа.

Laptop ))) 
Phone  ))) ── Access Point ── Switch ── Router
Tablet )))

LAN и WLAN — в чём разница

CAN — сеть кампуса

CAN, Campus Area Network соединяет несколько LAN в пределах ограниченной территории, принадлежащей одной организации: университетского кампуса, промышленного комплекса или группы корпоративных зданий.

Условно:

Корпус A LAN ─┐
Корпус B LAN ─┼── Campus Backbone ── Internet
Корпус C LAN ─┘

Cisco в актуальной программе CCST использует именно термин Campus Area Network. Выражение Corporate Area Network тоже можно встретить в литературе, но Campus Area Network — более безопасный термин для обучения и сертификации.

CAN обычно больше отдельной LAN, но меньше MAN и WAN.

MAN — городская сеть

MAN, Metropolitan Area Network охватывает территорию города или крупной агломерации и может объединять несколько локальных или кампусных сетей.

Пример — операторская инфраструктура, связывающая офисы организации или узлы связи в пределах города.

На практике границы между CAN, MAN и WAN не задаются универсальным количеством километров. Классификация помогает описывать масштаб и административную модель, но конкретный проект всё равно анализируют по реальной инфраструктуре.

WAN — глобальная сеть

WAN, Wide Area Network соединяет сети на больших географических расстояниях.

Например:

Офис Москва LAN ──┐
                  ├── WAN ── Data Center
Офис Казань LAN ──┤
Офис Омск LAN ────┘

Организация обычно не контролирует все физические каналы WAN самостоятельно: часть инфраструктуры предоставляют телеком-операторы или облачные провайдеры.

Интернет часто приводят как пример глобальной сети, но технически точнее называть его глобальной сетью сетей: множество автономных сетей связаны между собой маршрутизацией.

VLAN — почему это не просто «ещё один тип сети»

VLAN, Virtual Local Area Network — технология логической сегментации коммутируемой сети.

Представим один физический switch:

        Switch

PC бухгалтерии ─ port 1 ─ VLAN 10
PC бухгалтерии ─ port 2 ─ VLAN 10

PC разработчика ─ port 3 ─ VLAN 20
PC разработчика ─ port 4 ─ VLAN 20

Физически все четыре устройства могут быть подключены к одному коммутатору, но логически VLAN 10 и VLAN 20 являются разными L2 broadcast domains.

Актуальная документация Cisco определяет VLAN именно как логическое разделение сети на меньшие broadcast domains. IEEE 802.1Q является базовым стандартом для VLAN и VLAN bridging.

Зачем нужны VLAN

• сегментировать устройства по назначению;

• уменьшать область распространения broadcast-трафика;

• отделять пользовательские сети от серверных;

• создавать отдельные сети для гостей, телефонии, IoT или управления;

• упрощать применение политик доступа.

Пример корпоративной схемы:

VLAN сама по себе не является полноценной защитой. Чтобы трафик VLAN 10 попал в VLAN 20, требуется L3-маршрутизация. Именно на этой границе обычно нужно применять firewall rules, ACL и другие политики. Наличие разных VLAN без правильно настроенных межсетевых правил не решает задачу безопасности автоматически.

Зачем типы сетей нужны специалисту по кибербезопасности

Во время анализа инфраструктуры названия помогают быстро понять масштаб, но гораздо важнее перевести схему в вопросы безопасности.

Для кибербезопасности полезнее мыслить не «это LAN или WAN?», а цепочкой endpoint → сегмент → gateway → policy → следующий сегмент.

Что такое топология сети

Сетевая топология описывает расположение узлов и связей между ними.

Но у топологии есть как минимум два взгляда:

• физическая — как реально соединены кабели, точки доступа и устройства;

• логическая — каким образом организованы пути обмена и сегментация трафика.

Они могут не совпадать.

Например, физически 48 компьютеров подключены звездой к одному switch. Но логически они могут находиться в пяти VLAN и вообще не иметь прямого L3-доступа друг к другу.

Для расследования инцидента или аудита одной физической схемы недостаточно. Нужны также VLAN, подсети, маршруты, firewall rules и другие элементы логической топологии.

Топология «звезда» — Star

В топологии звезда конечные устройства подключаются к центральному узлу.

      PC1
       |
PC2 --SW-- PC3
       |
      PC4

В современной Ethernet LAN центральным устройством обычно является switch. Домашний Wi-Fi-роутер тоже может физически играть роль центра, поскольку часто объединяет router, switch и access point в одном корпусе.

Преимущества:

• отказ одного кабеля обычно затрагивает один endpoint;

• легко искать неисправности;

• просто добавлять устройства;

• удобно централизованно управлять подключениями;

• хорошо соответствует современному switched Ethernet.

Недостатки:

• центральный switch становится критичным элементом;

• требуется отдельный кабель к каждому узлу;

• пропускная способность uplink может стать bottleneck.

Именно star — хороший первый образ современной проводной локальной сети. Но в большом офисе несколько таких звёзд обычно объединяются в иерархию, превращаясь в tree/hierarchical star.

Топология «шина» — Bus

В классической bus topology устройства подключены к общей среде передачи:

PC1 ── PC2 ── PC3 ── PC4
=========================
        общий кабель

В исторических Ethernet-сетях это был общий коаксиальный сегмент.

Преимущества:

• простая концепция;

• меньше кабеля;

• исторически низкая стоимость небольшой сети.

Недостатки:

• общая среда является общей точкой отказа;

• сложнее локализовать повреждение;

• узлы разделяют одну среду передачи;

• плохо масштабируется.

Упоминание коллизий относится прежде всего к классическому shared Ethernet. В современной switched full-duplex Ethernet LAN эта модель передачи уже не является обычным режимом работы.

Топология «кольцо» — Ring

В кольце каждый узел соединяется с соседями так, что связи образуют замкнутый путь.

PC1 ─── PC2
 |       |
PC4 ─── PC3

Преимущества:

• предсказуемая структура путей;

• можно строить резервируемые двойные кольца;

• применяется в некоторых операторских и промышленных сетях.

Недостатки:

• простое одиночное кольцо чувствительно к разрыву;

• расширение и диагностика сложнее, чем у обычной star topology;

• трафик может проходить через промежуточные узлы.

Фраза «сломался один узел — вся ring-сеть перестала работать» справедлива для простейшего незарезервированного кольца, но не для всех современных ring-архитектур. Существуют двойные кольца и механизмы обхода отказавшего участка.

Топология «дерево» — Tree

Tree topology формирует иерархию:

             Core
            /    \
         SW-A    SW-B
        /   \    /   \
      PC1  PC2 PC3  PC4

Такой подход хорошо отражает многие реальные корпоративные сети, где есть уровни access, distribution и core.

Преимущества:

• удобно масштабировать;

• можно структурировать сеть по зданиям и этажам;

• понятно организуются уровни инфраструктуры;

• удобна централизованная агрегация.

Недостатки:

• отказ верхнего элемента влияет на целую ветвь;

• на uplinks возникает агрегация трафика;

• для отказоустойчивости нужно резервирование.

Mesh — ячеистая топология

В mesh topology узлы имеют несколько путей связи.

Partial mesh:

A ─── B
|\    |
| \   |
C ─── D

В full mesh каждый узел имеет прямую связь с каждым другим.

Зачем mesh

Главное преимущество — альтернативные пути. Если одна связь недоступна, трафик потенциально может пройти другим маршрутом.

Плюсы:

• высокая избыточность;

• нет зависимости от одного пути;

• хорошая отказоустойчивость при правильном проектировании.

Минусы:

• больше связей;

• дороже оборудование;

• сложнее маршрутизация и troubleshooting;

• full mesh быстро становится непрактичным при росте числа узлов.

Mesh Wi-Fi и roaming — не одно и то же

В домашней mesh Wi-Fi-системе несколько точек могут связываться друг с другом и передавать трафик через mesh backhaul. Пользователь при этом перемещается между зонами покрытия.

Но способность клиента переключаться между access points — это отдельная тема roaming. Наличие mesh само по себе не означает, что ноутбук всегда идеально и мгновенно переходит между точками.

Гибридная топология

Большинство реальных крупных сетей нельзя честно свести к одной картинке.

Например:

        Data Center
          /     \
        Core ─── Core
       /            \
  Access SW       Access SW
   / | \            / | \
 PCs WiFi          PCs WiFi

Здесь одновременно видны элементы tree, star и partial mesh.

Поэтому термин hybrid topology часто лучше описывает production-инфраструктуру.

Сравнение топологий

Как на самом деле выглядит современная офисная сеть

Теперь объединим всё вместе.

                    Internet
                       |
                   Firewall
                       |
                   L3 Core
                 /    |     \
                /     |      \
          VLAN 10  VLAN 20  VLAN 30
           Users    Servers   Guest
             |         |        |
          Access     Access    Wi-Fi
          Switch     Switch      AP

Физически это может быть tree topology.

Логически — несколько VLAN.

В каждом VLAN может существовать отдельная IP subnet.

Для связи между VLAN используется L3 routing.

На маршруте можно применять security policy.

Именно такое многослойное представление — физические связи + VLAN + IP subnets + routing + firewall rules — понадобится дальше при изучении сетевой безопасности.

Практика: изучаем собственную сеть без атак

Для первого упражнения не нужен Kali Linux и не нужно сканировать чужую инфраструктуру. Можно исследовать только свой компьютер и собственную домашнюю сеть.

Практикуйтесь только на собственных устройствах или в лаборатории, где у вас есть разрешение. Даже пассивный сбор сетевого трафика может быть ограничен правилами организации или законодательством. Wireshark отдельно рекомендует сначала убедиться, что захват трафика разрешён.

Windows

Посмотреть сетевые параметры Windows

ipconfig /all

route print

arp -a

Linux

Посмотреть сетевые параметры Linux

ip addr

ip route

ip neigh

Что искать

1. IP-адрес активного интерфейса.

2. Prefix/subnet mask.

3. Default gateway.

4. DNS? servers.

5. MAC address.

6. Соседние устройства в ARP/neighbor table.

Например, если ваш компьютер имеет:

IP:      192.168.1.25
Mask:    255.255.255.0
Gateway: 192.168.1.1

вы уже можете сделать несколько выводов: адрес относится к RFC 1918 private range, а 192.168.1.1 вероятно является L3 gateway для этой subnet.

Как увидеть путь за пределы своей LAN

На Windows:

Windows traceroute

tracert 1.1.1.1

На Linux:

traceroute 1.1.1.1

Первый hop часто является вашим default gateway. Следующие переходы уже относятся к маршруту через внешнюю инфраструктуру.

Не стоит считать traceroute точной картой всей сети: маршрутизаторы могут не отвечать на диагностические пакеты, а прямой и обратный пути могут различаться.

Практика с Wireshark: смотрим свой трафик

Wireshark позволяет захватывать пакеты с сетевых интерфейсов и анализировать протоколы. Для первого знакомства достаточно захватывать только трафик собственного компьютера.

Официальное руководство Wireshark подчёркивает две вещи: нужно выбрать правильный интерфейс и иметь необходимые права на capture. Программа поддерживает Ethernet, 802.11 и другие типы интерфейсов.

Пять безопасных display filters для начала

Wireshark display filters

arp

dns

icmp

tcp

vlan

Они позволяют отдельно посмотреть:

• arp — разрешение IPv4-адресов в MAC внутри локального сегмента;

• dns — запросы разрешения имён;

• icmp — диагностический IP-трафик вроде ping;

• tcp — TCP-сегменты;

• vlan — кадры с VLAN-информацией, если они вообще видимы на выбранном интерфейсе.

На обычном access-порту конечный компьютер зачастую не увидит 802.1Q tag, потому что switch снимает тег перед передачей кадра endpoint. Поэтому отсутствие vlan в Wireshark не доказывает отсутствие VLAN в инфраструктуре.

Практика без реального оборудования: Cisco Packet Tracer

Для изучения топологий удобно использовать сетевой симулятор. Cisco Networking Academy предоставляет Packet Tracer и отдельный начальный курс по работе с ним.

Простая лаборатория

1. Разместите один switch и четыре PC.

2. Соедините все PC со switch — получится физическая star topology.

3. Назначьте устройствам адреса одной subnet и проверьте связь.

4. Затем логически разделите две пары устройств на разные VLAN.

5. Посмотрите, как физическая топология остаётся прежней, а логическая меняется.

6. Добавьте router/L3 switch, если хотите изучить inter-VLAN routing.

Это упражнение хорошо показывает главный тезис статьи: физическая схема сети и логическая схема трафика — не одно и то же.

Как читать схему сети глазами специалиста по безопасности

Получив network diagram, не пытайтесь сразу искать «уязвимое устройство». Сначала восстановите модель доверия.

Чек-лист анализа сетевой схемы

1. Какие endpoint-группы существуют?

2. Какие IP subnets назначены каждой группе?

3. Какие VLAN существуют?

4. Где находятся L2 boundaries?

5. Где выполняется routing?

6. Где стоит firewall?

7. Какие сегменты имеют доступ к Internet?

8. Есть ли guest network?

9. Отделена ли management network?

10. Где находятся серверы?

11. Какие внешние WAN links существуют?

12. Есть ли резервные пути?

13. Какие устройства являются single point of failure?

14. Где можно наблюдать нужный трафик?

15. Кто имеет право изменять сетевую конфигурацию?

Это уже практическая база для дальнейшего изучения network security, но без попыток атаковать инфраструктуру.

Почему VLAN важна в кибербезопасности

Представим офис без сегментации:

Users
Servers
Cameras
Printers
Guest Wi-Fi
           ↓
      одна большая LAN

Даже если это технически работает, все устройства оказываются в слишком большой общей логической области.

Более управляемый вариант:

VLAN 10 — users
VLAN 20 — servers
VLAN 30 — cameras
VLAN 40 — printers
VLAN 50 — guest

После этого можно отдельно определить межсегментные правила.

Плохая логика: «Мы положили серверы в отдельный VLAN — значит они защищены».

Правильная логика: «Мы разделили broadcast domains, после чего контролируем inter-VLAN routing через конкретные политики доступа».

Как топология влияет на безопасность и отказоустойчивость

Типичные ошибки новичков

1. Считать VLAN физической сетью

VLAN — логическая конструкция. Две VLAN могут проходить через одни и те же физические switches.

2. Путать subnet и VLAN

Они часто соответствуют друг другу в проектах, но это понятия разных уровней: VLAN относится к L2-сегментации, IP subnet — к L3 addressing.

3. Считать WLAN отдельным размером сети

WLAN — wireless LAN. Это скорее отличие по среде подключения.

4. Называть любую сеть компании CAN

CAN обычно относится к campus scale — нескольким близким LAN под управлением одной организации.

5. Считать Internet одной обычной WAN

Для обучения так сказать допустимо, но технически интернет — глобальная взаимосвязь множества автономных сетей.

6. Путать mesh с roaming

Mesh описывает связи между сетевыми узлами; roaming — переход клиента между точками доступа.

7. Думать, что VLAN автоматически даёт безопасность

Нужна политика inter-VLAN communication.

8. Считать все ring-сети хрупкими

Резервированные кольца могут переживать отказ одного пути.

9. Учить bus как типичную современную Ethernet LAN

Bus важна для понимания истории shared-media networks, но современный switched Ethernet обычно строится иначе.

В каком порядке изучать компьютерные сети для кибербезопасности

После этой статьи разумный порядок такой:

1. LAN, WAN и сетевые устройства.

2. Ethernet и MAC addresses.

3. IPv4 и IPv6.

4. Subnetting.

5. ARP.

6. Switching.

7. VLAN и 802.1Q.

8. Routing и default gateway.

9. TCP и UDP.

10. DNS и DHCP.

11. NAT.

12. Firewall и ACL.

13. Wireshark.

14. Только затем — более сложные темы сетевой безопасности.

Если хотите изучать тему системно, на ResizeWeb есть отдельная подборка курсов по сетевым технологиям и актуальный рейтинг курсов по информационной безопасности.

Когда дойдёте до архитектуры серверной инфраструктуры, пригодится также материал о балансировке нагрузки: там подробно разобраны L4/L7, сетевые пути и точки отказа.

Официальные и первичные источники

• Cisco: What Is Computer Networking? — базовые типы сетей.

• Cisco CCST Networking — официальная классификация LAN, WAN, MAN, CAN, PAN и WLAN в учебных целях.

• IEEE 802.1Q — bridges и VLAN.

• Cisco: Routing Between VLANs — VLAN и broadcast domains.

• RFC 1918 — private IPv4 address space.

• Wireshark User's Guide — capture и анализ трафика.

Что нужно запомнить

Компьютерные сети можно классифицировать по разным признакам, поэтому PAN, LAN, WLAN, WAN и VLAN нельзя механически складывать в один список без объяснения.

• PAN — сеть вокруг персональных устройств.

• LAN — локальная сеть ограниченной территории.

• WLAN — беспроводная LAN.

• CAN — несколько LAN внутри кампуса.

• MAN — городская сеть.

• WAN — сеть на больших расстояниях.

• VLAN — логическая L2-сегментация.

По физическому и логическому устройству сети могут быть star, bus, ring, tree, mesh или hybrid.

Для кибербезопасности важнее всего научиться переводить все эти термины в реальную карту: какое устройство → в каком VLAN/subnet → через какой gateway → по каким правилам → может обратиться к какому другому сегменту. Именно с этой модели начинается понимание сетевой защиты.

Частые вопросы

Что такое компьютерная сеть простыми словами?

Это группа устройств, которые соединены проводными или беспроводными каналами и могут обмениваться данными.

Какие бывают компьютерные сети?

По масштабу часто выделяют PAN, LAN, CAN, MAN и WAN. WLAN обозначает беспроводную локальную сеть, а VLAN — логическое разделение switched LAN.

Что такое LAN?

Local Area Network — сеть в ограниченной физической области, например доме, офисе или здании.

Чем WLAN отличается от LAN?

WLAN является разновидностью LAN, где устройства подключаются по беспроводной технологии, обычно Wi-Fi. LAN может включать как проводные, так и wireless endpoints.

Что такое PAN?

Personal Area Network объединяет персональные устройства на небольшом расстоянии, например телефон, smartwatch и Bluetooth-наушники.

Что такое WAN?

Wide Area Network соединяет сети на больших географических расстояниях — например филиалы компании в разных городах.

Что такое VLAN?

Virtual Local Area Network — логический broadcast domain внутри коммутируемой сети. VLAN позволяет разделять устройства независимо от того, к какому физическому switch они подключены.

VLAN и subnet — одно и то же?

Нет. VLAN относится к канальному уровню и разделяет broadcast domains. Subnet относится к IP-адресации сетевого уровня. В практических сетях им часто делают соответствие один к одному, но это разные понятия.

Что такое топология сети?

Это описание того, как узлы и связи организованы физически или логически. Основные учебные модели — star, bus, ring, tree, mesh и hybrid.

Какая топология используется чаще всего?

В современных switched Ethernet LAN конечные устройства обычно подключаются по схеме star к коммутаторам, а несколько коммутаторов образуют иерархическую tree/hybrid topology.

В чём плюсы и минусы звезды?

Плюсы — простое масштабирование и диагностика, а отказ отдельного endpoint-кабеля не ломает остальные подключения. Минус — зависимость от центрального switch и его uplink.

Где используется топология шина?

Она важна прежде всего для изучения исторических shared-medium LAN и некоторых специализированных систем. Для современной офисной Ethernet LAN типичнее switched star/tree.

Что такое mesh?

Mesh — топология с несколькими связями между узлами, позволяющая иметь альтернативные пути. Она повышает избыточность, но увеличивает сложность и стоимость.

Почему сетевые топологии важны для кибербезопасности?

Они помогают понять, где находится трафик, какие устройства могут взаимодействовать напрямую, где проходят точки маршрутизации и какие узлы являются критическими для всей инфраструктуры.