Warstwa sieciowa modelu OSI, czyli warstwa trzecia, stanowi kluczowy element infrastruktury komunikacyjnej w sieciach WLAN. To właśnie na tym poziomie następuje logiczne adresowanie urządzeń za pomocą protokołu IP, co umożliwia identyfikację hostów w całej sieci globalnej, a nie tylko w obrębie lokalnej domeny kolizyjnej. W kontekście sieci bezprzewodowych warstwa trzecia odpowiada za przekazywanie pakietów pomiędzy różnymi podsieciami i segmentami sieci, co jest niezbędne do funkcjonowania rozległych instalacji opartych na punktach dostępowych. Bez warstwy sieciowej ruch generowany przez stacje klienckie WLAN pozostawałby uwięziony w obrębie pojedynczej sieci lokalnej, uniemożliwiając dostęp do zasobów internetowych i komunikację z urządzeniami w odległych lokalizacjach. W przeciwieństwie do warstwy drugiej, która operuje na ramkach i adresach MAC, warstwa trzecia operuje na pakietach i adresach IP, co nadaje sieci WLAN charakter routowalny i skalowalny.

Routing, czyli proces wyznaczania optymalnej ścieżki dla pakietów, odbywa się w warstwie trzeciej z wykorzystaniem tablic routingu przechowywanych w routerach i przełącznikach warstwy trzeciej. W sieciach WLAN routing nabiera szczególnego znaczenia w architekturach kontrolerowych, gdzie ruch pomiędzy sieciami VLAN obsługiwanymi przez różne punkty dostępowe musi być skutecznie kierowany do odpowiednich bram domyślnych. Dodatkowo warstwa sieciowa izoluje wyższe warstwy modelu OSI od szczegółów implementacyjnych warstwy łącza danych, co oznacza, że aplikacje korzystające z transmisji TCP nie muszą znać specyfiki medium transmisyjnego, czy jest to skrętka miedziana, światłowód, czy fala radiowa w standardzie 802.11. Proces enkapsulacji w warstwie trzeciej polega na dodaniu nagłówka IP do danych otrzymanych z warstwy transportowej, a następnie przekazaniu tak powstałego pakietu do warstwy łącza danych w celu dalszej enkapsulacji w ramkę.

Współczesne sieci WLAN coraz częściej wykorzystują zaawansowane funkcje warstwy trzeciej, takie jak równoważenie obciążenia i polityki jakości usług oparte na adresach IP. Zrozumienie mechanizmów działania warstwy sieciowej jest fundamentem do projektowania skalowalnych i bezpiecznych sieci bezprzewodowych.

Podstawowym zadaniem warstwy sieciowej jest zapewnienie komunikacji między urządzeniami znajdującymi się w różnych sieciach logicznych, co w przypadku WLAN oznacza konieczność poprawnego kierowania ruchu pomiędzy poszczególnymi sieciami VLAN przypisanymi do różnych SSID. Gdy klient bezprzewodowy chce skomunikować się z serwerem znajdującym się w innej podsieci, jego ramka 802.11 musi zostać przetłumaczona na pakiet IP i przekazana do routera, który na podstawie docelowego adresu IP podejmie decyzję routingu. Bez tej fundamentalnej zdolności do przekraczania granic sieci lokalnych każde urządzenie WLAN mogłoby komunikować się wyłącznie z innymi stacjami w tej samej domenie rozgłoszeniowej. Proces ten wymaga sprawnej współpracy między warstwą łącza danych a warstwą sieciową, ponieważ ramka 802.11 musi zostać rozpakowana, a zawarty w niej pakiet IP przekazany do odpowiedniej tablicy routingu. W architekturach z kontrolerem WLAN decyzje routingu mogą być podejmowane centralnie, co zwiększa spójność polityk transmisyjnych w całej infrastrukturze.

Logiczne adresowanie realizowane przez warstwę sieciową polega na przypisaniu każdemu interfejsowi sieciowemu unikalnego adresu IP, który jednoznacznie identyfikuje zarówno urządzenie, jak i sieć, do której należy. W środowisku WLAN adresacja IP jest szczególnie istotna przy konfiguracji serwerów DHCP obsługujących pule adresów dla poszczególnych sieci VLAN, ponieważ to właśnie na podstawie adresu IP punkt dostępowy lub kontroler WLAN podejmuje decyzje o filtrowaniu ruchu i priorytetyzacji transmisji. Proces dzierżawienia adresów IP w sieciach bezprzewodowych odbywa się dynamicznie i wymaga sprawnej współpracy warstwy trzeciej z warstwą łącza danych, aby uniknąć konfliktów adresacji i zapewnić płynną mobilność użytkowników przemieszczających się między punktami dostępowymi. Dodatkowym wyzwaniem w sieciach WLAN jest konieczność obsługi roamingu, podczas którego urządzenie klienckie zmienia punkt dostępowy, ale powinno zachować ten sam adres IP, co wymusza stosowanie protokołów takich jak Mobile IP lub rozwiązań tunelujących.

Routing statyczny i dynamiczny to dwa główne tryby wyznaczania ścieżek transmisji stosowane w sieciach WLAN średniej i dużej wielkości. Protokoły routingu dynamicznego, takie jak OSPF czy EIGRP, automatycznie aktualizują tablice routingu w odpowiedzi na zmiany topologii sieci, co ma ogromne znaczenie w rozległych kampusowych sieciach bezprzewodowych.

Adres MAC, przypisany fabrycznie do każdego interfejsu sieciowego przez producenta karty, jest adresem fizycznym działającym w warstwie łącza danych modelu OSI i służy wyłącznie do komunikacji w obrębie tej samej sieci lokalnej. W sieciach WLAN adres MAC odgrywa kluczową rolę w procesie autoryzacji stacji klienckich oraz w mechanizmach filtrowania dostępu, jednak nie przenosi żadnej informacji o położeniu urządzenia w sieci rozległej. Każda karta bezprzewodowa posiada unikalny czterdziestośmiobitowy identyfikator MAC, który jest wykorzystywany przez punkty dostępowe do śledzenia stacji klienckich w ramach procesu asocjacji i roamingu. Adres MAC jest adresem płaskim bez struktury hierarchicznej, co oznacza, że na jego podstawie nie można określić, w której części sieci znajduje się urządzenie. W standardzie 802.11 adres MAC pojawia się w ramce aż w czterech różnych polach adresowych, co pozwala na obsługę takich funkcji jak przekazywanie przez punkt dostępowy czy transmisja bezpośrednia między stacjami.

Adres IP natomiast jest adresem logicznym nadawanym przez administratora sieci lub serwer DHCP i może ulegać zmianie w zależności od sieci, do której urządzenie jest aktualnie podłączone. W przeciwieństwie do adresu MAC, adres IP zawiera w sobie informację hierarchiczną umożliwiającą lokalizację urządzenia w globalnej strukturze Internetu, co pozwala routerom na podejmowanie decyzji o kierowaniu ruchu. Gdy laptop z kartą WLAN przenosi się z domowej sieci do biurowej, jego adres MAC pozostaje niezmieniony, ale adres IP ulega zmianie, ponieważ urządzenie trafia do nowej podsieci logicznej zarządzanej przez inny serwer DHCP. Hierarchiczna natura adresów IP umożliwia agregację tras routingu, co znacząco zmniejsza rozmiar tablic routingu w rdzeniu Internetu i przyspiesza proces przekazywania pakietów w rozległych sieciach WLAN.

Współdziałanie obu typów adresów jest niezbędne do poprawnego działania sieci WLAN. Protokół ARP pośredniczy między nimi, mapując adresy IP na odpowiadające im adresy MAC w lokalnym segmencie sieci, co umożliwia finalne dostarczenie pakietu do docelowej karty bezprzewodowej.

Protokół IP został zaprojektowany jako protokół bezpołączeniowy, co oznacza, że przed wysłaniem pakietu nie nawiązuje się sesji ani połączenia logicznego między nadawcą a odbiorcą. Każdy pakiet IP podróżuje przez sieć niezależnie od pozostałych, a routery podejmują decyzje routingu dla każdego pakietu osobno, co w sieciach WLAN może prowadzić do zjawiska zmiennej kolejności dostarczania datagramów. Ta cecha protokołu IP jest szczególnie odczuwalna w środowiskach bezprzewodowych, gdzie niestabilność łącza radiowego powoduje, że pakiety wysłane jako pierwsze mogą dotrzeć do celu później niż pakiety wysłane po nich. Bezpołączeniowy charakter IP sprawia, że nie ma potrzeby utrzymywania stanu połączenia na routerach pośrednich, co upraszcza konstrukcję infrastruktury sieciowej i zwiększa jej odporność na awarie. W kontekście sieci WLAN brak nawiązywania połączenia oznacza, że każdy pakiet może zostać skierowany inną trasą, co jest wykorzystywane w mechanizmach równoważenia obciążenia między punktami dostępowymi.

Zawodność protokołu IP przejawia się w tym, że nie gwarantuje on dostarczenia pakietu do miejsca przeznaczenia, nie zapewnia kontroli błędów ani mechanizmów retransmisji na poziomie warstwy sieciowej. W praktyce sieci WLAN oznacza to, że pakiety IP mogą zostać utracone na skutek zakłóceń radiowych, przeciążenia punktu dostępowego lub błędów w tablicach routingu bez żadnego powiadomienia wysyłającego. Odpowiedzialność za niezawodność transmisji przeniesiona jest na protokoły wyższych warstw, głównie TCP, który wykrywa utratę pakietów i inicjuje ich retransmisję, co w bezprzewodowych sieciach lokalnych prowadzi do zwiększonego narzutu protokołowego. Protokół ICMP stanowi jedyne rozszerzenie IP umożliwiające raportowanie błędów i diagnostykę, jednak jego komunikaty nie są obowiązkowe i mogą być blokowane przez zapory sieciowe w infrastrukturze WLAN.

Mimo tych ograniczeń protokół IP pozostaje niekwestionowanym standardem komunikacji w sieciach WLAN dzięki swojej prostocie i uniwersalności. Jego bezstanowa natura ułatwia skalowanie infrastruktury oraz implementację zaawansowanych mechanizmów równoważenia obciążenia i failover w rozległych instalacjach bezprzewodowych.

Nagłówek pakietu IP jest strukturą danych zawierającą niezbędne informacje kontrolne umożliwiające poprawne przekazanie datagramu przez sieć. W wersji IPv4 nagłówek ma minimalną długość dwudziestu bajtów i składa się z pól takich jak wersja protokołu, długość nagłówka, typ usługi, całkowita długość pakietu oraz pola identyfikacji i flagi kontrolujące proces fragmentacji. W sieciach WLAN maksymalna jednostka transmisyjna jest często mniejsza niż w sieciach przewodowych ze względu na dodawanie nagłówków ramek 802.11, co sprawia, że fragmentacja pakietów IP zachodzi częściej niż w tradycyjnych sieciach Ethernet. Pole typu usługi pozwala na oznaczanie pakietów odpowiednim priorytetem, co w sieciach WLAN ma szczególne znaczenie dla transmisji głosu i wideo w czasie rzeczywistym. Każde z pól nagłówka pełni ściśle określoną funkcję i jest przetwarzane przez routery na trasie transmisji, co wpływa na opóźnienia i szybkość przekazywania datagramów.

Pole Time To Live jest licznikiem dekrementowanym przez każdy router na trasie pakietu i zapobiega zapętleniu się datagramu w sieci w przypadku błędów routingu. Gdy wartość TTL spadnie do zera, router odrzuca pakiet i wysyła do nadawcy komunikat ICMP o przekroczeniu czasu, co w praktyce sieci WLAN stanowi użyteczne narzędzie diagnostyczne przy testowaniu ścieżek transmisji za pomocą polecenia traceroute. Suma kontrolna nagłówka IP chroni przed uszkodzeniem danych kontrolnych podczas transmisji, jednak W sieciach WLAN integralność całej ramki (w tym danych) jest weryfikowana przez pole FCS (Frame Check Sequence) na warstwie 2, co eliminuje ryzyko przekazania uszkodzonych danych do warstwy sieciowej. Suma kontrolna nagłówka IP stanowi zatem dodatkową, redundantną warstwę ochrony. Pole identyfikacji oraz flagi More Fragments i Don't Fragment współpracują ze sobą, aby umożliwić poprawne składanie datagramów po stronie odbiorcy, co w heterogenicznych sieciach WLAN z różnymi wartościami MTU jest procesem krytycznym dla zachowania integralności transmisji.

Fragmentacja pakietów IP zachodzi, gdy rozmiar datagramu przekracza maksymalną jednostkę transmisyjną łącza, co w kontekście WLAN jest szczególnie istotne przy transmisji multimediów i dużych plików. Ponowne składanie fragmentów następuje dopiero w docelowym hoście odbiorcy, co zwiększa złożoność obliczeniową i opóźnienia w sieciach obsługujących wiele równoczesnych strumieni danych.

Adresacja IPv4 opiera się na trzydziestodwubitowych liczbach binarnych, które dla wygody użytkowników zapisywane są w notacji kropkowo-dziesiętnej składającej się z czterech oktetów oddzielonych kropkami. Każdy oktet może przyjmować wartości od zera do dwustu pięćdziesięciu pięciu, co daje w sumie nieco ponad cztery miliardy teoretycznie możliwych adresów, jednak z powodu rezerwacji adresów specjalnych i podziału na klasy rzeczywista liczba dostępnych adresów jest znacznie mniejsza. W sieciach WLAN adresacja IPv4 pozostaje dominującym standardem mimo rosnącej popularności IPv6, ponieważ większość urządzeń klienckich i punktów dostępowych wciąż obsługuje protokół IPv4 jako podstawowy. Adresy zarezerwowane, takie jak adres sieci z bitami hostowymi wyzerowanymi oraz adres rozgłoszeniowy z bitami hostowymi ustawionymi na jeden, pomniejszają pulę adresów dostępnych dla urządzeń końcowych w każdej podsieci. W standardzie IPv4 wyróżnia się również adresy specjalne, takie jak pętla zwrotna 127.0.0.1, która jest wykorzystywana do testowania stosu TCP/IP w urządzeniach WLAN.

Wyczerpanie puli adresów IPv4 stało się faktem na początku drugiej dekady dwudziestego pierwszego wieku, gdy regionalne rejestry internetowe ogłosiły brak wolnych bloków adresowych do przydziału. W praktyce sieci WLAN problem ten jest łagodzony poprzez powszechne stosowanie translacji adresów sieciowych oraz adresów prywatnych, co pozwala wielu urządzeniom w tej samej sieci lokalnej współdzielić jeden publiczny adres IP. Mechanizm NAT w routerach domowych i biurowych umożliwia jednoczesną pracę dziesiątek urządzeń WLAN za pojedynczym adresem publicznym, co znacząco opóźniło konieczność masowej migracji do IPv6 w sektorze sieci bezprzewodowych. Translacja adresów sieciowych wprowadza jednak dodatkowe opóźnienia i komplikacje, szczególnie w przypadku protokołów czasu rzeczywistego oraz połączeń przychodzących inicjowanych z zewnątrz sieci lokalnej.

Ograniczenie liczby dostępnych adresów IPv4 wymusza na administratorach sieci WLAN staranne planowanie przestrzeni adresowej i stosowanie mechanizmów oszczędzania adresów. Coraz więcej nowoczesnych punktów dostępowych i kontrolerów WLAN oferuje pełną obsługę dwustosu protokołów IP, umożliwiając stopniowe przejście na adresację IPv6 bez konieczności wymiany całej infrastruktury.

Historycznie adresy IPv4 dzielono na klasy: A (prefiks /8, zakresy 1.0.0.0–126.255.255.255), B (prefiks /16, zakresy 128.0.0.0–191.255.255.255) i C (prefiks /24, zakresy 192.0.0.0–223.255.255.255). Ten system okazał się nieefektywny i został zastąpiony przez CIDR (Classless Inter-Domain Routing), o którym mowa w dalszych slajdach.

Każdy adres IPv4 można podzielić na dwie logiczne części: część sieciową jednoznacznie identyfikującą podsieć, do której należy urządzenie, oraz część hostową wskazującą konkretny interfejs w obrębie tej podsieci. Granica między tymi częściami jest wyznaczana przez maskę podsieci, która określa, które bity adresu należą do identyfikatora sieciowego, a które do identyfikatora hosta. W kontekście sieci WLAN podział na część sieciową i hostową ma kluczowe znaczenie przy projektowaniu architektury VLAN i segmentacji ruchu między różnymi grupami użytkowników. Im dłuższa część sieciowa adresu, tym więcej podsieci można utworzyć w ramach danej przestrzeni adresowej, ale tym mniej urządzeń może znajdować się w każdej z tych podsieci. Administrator sieci WLAN musi znaleźć optymalny balans między liczbą sieci a pojemnością każdej z nich w zależności od wielkości obsługiwanego biura lub kampusu.

Identyfikator sieciowy Network ID jest używany przez routery do podejmowania decyzji o kierowaniu pakietów, ponieważ urządzenia sieciowe porównują docelowy adres IP z wpisami w tablicy routingu na podstawie właśnie części sieciowej. Gdy klient WLAN wysyła pakiet do innego urządzenia o tym samym identyfikatorze sieciowym, transmisja odbywa się bezpośrednio w warstwie łącza danych bez angażowania routera. Jeśli natomiast część sieciowa adresu docelowego różni się od części sieciowej adresu źródłowego, pakiet musi zostać przekazany do bramy domyślnej, która jest routerem odpowiedzialnym za przekazywanie ruchu do innych sieci. W sieciach WLAN z wieloma sieciami VLAN brama domyślna dla poszczególnych podsieci jest często zintegrowana z kontrolerem WLAN lub przełącznikiem warstwy trzeciej, co upraszcza zarządzanie ruchem między sieciami.

Identyfikator hosta musi być unikalny w obrębie danej podsieci, ponieważ każdy interfejs sieciowy w tym samym segmencie logicznym potrzebuje odrębnego adresu do poprawnej komunikacji. W sieciach WLAN dynamiczny przydział identyfikatorów hostów przez serwer DHCP automatycznie zapewnia tę unikalność, zwalniając administratora z konieczności ręcznej konfiguracji każdego urządzenia. Adres zerowy w części hostowej jest zarezerwowany jako adres sieci, a adres z wszystkimi jedynkami w części hostowej jest adresem rozgłoszeniowym danej podsieci.

Maska podsieci jest trzydziestodwubitową liczbą binarną, która w połączeniu z adresem IP określa, które bity reprezentują identyfikator sieci, a które identyfikator hosta w danej podsieci. W zapisie binarnym maska zawiera ciąg kolejnych jedynek od strony najbardziej znaczących bitów, po którym następują zera odpowiadające przestrzeni adresów hostów. Najpopularniejsza maska 255.255.255.0 oznacza, że pierwsze dwadzieścia cztery bity trzydziestodwubitowego adresu stanowią część sieciową, pozostawiając osiem bitów na adresację hostów w obrębie podsieci. Maska nie jest adresem IP i nie może być przypisana interfejsowi sieciowemu jako samodzielny adres, a jedynie jako parametr konfiguracyjny określający zasięg sieci logicznej. W sieciach WLAN błędnie skonfigurowana maska podsieci prowadzi do problemów z komunikacją między urządzeniami, które mogą być niesłusznie kierowane do bramy domyślnej zamiast komunikować się bezpośrednio w obrębie sieci lokalnej.

Działanie maski podsieci można zobrazować poprzez operację logiczną AND wykonaną na adresie IP i masce, która w wyniku daje identyfikator sieci Network ID. Na przykład dla adresu IP 192.168.1.10 z maską 255.255.255.0, wynik operacji AND wskazuje, że adres sieci to 192.168.1.0. W sieciach WLAN poprawne skonfigurowanie maski podsieci jest niezbędne do prawidłowego odróżniania ruchu lokalnego od ruchu kierowanego do innych sieci, co bezpośrednio wpływa na wydajność transmisji. Operacja AND wykonywana jest przez stos protokołowy systemu operacyjnego przy każdej próbie wysłania pakietu, aby określić, czy adres docelowy znajduje się w tej samej podsieci. Znajomość maski podsieci jest również niezbędna przy konfiguracji serwerów DHCP, które na jej podstawie określają zakres dostępnych adresów w danej puli.

Wybór odpowiedniej maski podsieci determinuje maksymalną liczbę urządzeń, które mogą być obsłużone w danej sieci WLAN. Maska 255.255.255.0 pozwala na adresację maksymalnie dwustu pięćdziesięciu czterech hostów, co w przypadku dużych instalacji biurowych często wymaga stosowania masek o mniejszej liczbie bitów sieciowych, takich jak 255.255.240.0.

Notacja CIDR, czyli bezklasowe routowanie międzydomenowe, została wprowadzona w celu zastąpienia sztywnego podziału adresów na klasy A, B i C bardziej elastycznym systemem przydziału przestrzeni adresowej. W notacji CIDR maska podsieci zapisywana jest za pomocą ukośnika i liczby określającej liczbę bitów sieciowych, co znacząco upraszcza zapis i zmniejsza ryzyko błędów konfiguracyjnych. Na przykład zapis /24 oznacza maskę 255.255.255.0 i jest najczęściej spotykanym prefiksem w sieciach WLAN klasy biurowej i domowej. Wprowadzenie CIDR pozwoliło na bardziej efektywne wykorzystanie przestrzeni adresowej poprzez możliwość dzielenia puli adresów na podsieci o dowolnej wielkości, a nie tylko według sztywnych granic klasowych. Dzięki CIDR możliwe stało się stosowanie podsieci o długości prefiksu różnej od standardowych wartości ośmiu, szesnastu i dwudziestu czterech bitów, co daje administratorom ogromną elastyczność.

Prefiks /8 odpowiada historycznej klasie A i oznacza maskę 255.0.0.0, pozostawiając aż dwadzieścia cztery bity na część hostową, co daje ponad szesnaście milionów adresów w jednej sieci. W praktyce sieci bezprzewodowych tak duże podsieci są niezwykle rzadko stosowane ze względu na ograniczenia wydajnościowe i bezpieczeństwa wynikające z rozmiaru domen rozgłoszeniowych. Znacznie częściej spotyka się prefiksy /24, /22 i /16, które oferują lepszy balans między liczbą dostępnych adresów a kontrolą ruchu rozgłoszeniowego. Prefiks /28, który pozostawia tylko cztery bity na hosty, jest często używany w sieciach WLAN przeznaczonych dla małych grup roboczych lub gości, gdzie potrzeba zaledwie kilkunastu adresów.

Zastosowanie notacji CIDR w sieciach WLAN umożliwia precyzyjne dopasowanie rozmiaru podsieci do rzeczywistych potrzeb liczby urządzeń klienckich bez marnowania przestrzeni adresowej. Dzięki CIDR administrator może stworzyć podsieć o rozmiarze /27 dla małego biura mieszczącego zaledwie trzydzieści urządzeń lub prefiks /23 dla rozległej instalacji kampusowej obsługującej ponad pięćset punktów dostępowych.

Adresy prywatne IPv4 zostały zdefiniowane w dokumencie RFC 1918 jako zakresy adresów przeznaczone wyłącznie do użytku wewnątrz sieci lokalnych i nieroutowalne w publicznym Internecie. Trzy podstawowe bloki adresów prywatnych to zakres 10.0.0.0/8, zakres 172.16.0.0/12 oraz najpopularniejszy w sieciach WLAN zakres 192.168.0.0/16. Adresy prywatne mogą być swobodnie używane przez każdego bez konieczności uzyskiwania zgody organów rejestracyjnych, co znacząco ułatwia konfigurację domowych i firmowych sieci WLAN. Mimo że adresy prywatne nie są routowalne w Internecie, ich stosowanie w połączeniu z NAT pozwala na komunikację z sieciami zewnętrznymi poprzez mapowanie wielu adresów prywatnych na jeden adres publiczny. W sieciach WLAN adresy z zakresu 10.0.0.0/8 są często wybierane przez duże organizacje ze względu na ogromną przestrzeń adresową wynoszącą ponad szesnaście milionów adresów dla pojedynczej sieci.

Adresy publiczne są przydzielane przez regionalne rejestry internetowe, takie jak RIPE dla Europy, i mogą być routowane w globalnej sieci Internet bez żadnych ograniczeń. W praktyce sieci WLAN każde urządzenie końcowe, takie jak smartfon, laptop czy tablet, otrzymuje adres prywatny od lokalnego serwera DHCP, a dostęp do Internetu umożliwia router wykonujący translację adresów sieciowych. Mechanizm ten nie tylko oszczędza cenne adresy publiczne, ale także stanowi podstawową linię obrony przed nieautoryzowanym dostępem z zewnątrz, ponieważ urządzenia z adresami prywatnymi są domyślnie niewidoczne z poziomu Internetu.

Rola organizacji IANA polega na globalnym zarządzaniu pulą adresów IP oraz koordynacji działań regionalnych rejestrów internetowych. W kontekście sieci WLAN decyzje IANA dotyczące alokacji adresów publicznych i definiowania nowych standardów mają bezpośredni wpływ na dostępność przestrzeni adresowej dla nowych instalacji bezprzewodowych na całym świecie.

Mechanizm NAT, zdefiniowany w RFC 3022, stanowi kluczowe rozwiązanie problemu wyczerpywania się publicznych adresów IPv4 w sieciach lokalnych, w tym w domowych sieciach Wi-Fi. Router z funkcją NAT przechowuje dynamiczną tablicę tłumaczenia adresów, w której rejestruje powiązania między prywatnymi adresami IP urządzeń wraz z numerami portów źródłowych a publicznym adresem interfejsu WAN. Każda sesja wychodząca z sieci lokalnej otrzymuje wpis w tablicy NAT, co pozwala routerowi na poprawne kierowanie odpowiedzi z internetu z powrotem do właściwego urządzenia Wi-Fi.

Działanie tablicy NAT opiera się na mechanizmie PAT, który umożliwia wielu urządzeniom współdzielenie jednego publicznego adresu IP poprzez unikalne numerowanie portów źródłowych. Gdy smartfon w sieci Wi-Fi wysyła zapytanie DNS do serwera zewnętrznego, router zamienia prywatne źródło 192.168.1.10:34567 na publiczne 83.10.20.30:56789 i zapisuje tę translację w tablicy. Wpis w tablicy NAT zawiera adres źródłowy i docelowy przed translacją oraz po translacji, a także stempel czasowy, który umożliwia automatyczne usuwanie nieaktywnych połączeń po określonym czasie bezczynności.

Router musi również obsługiwać mechanizm hairpinning, aby urządzenia w tej samej sieci lokalnej mogły komunikować się poprzez publiczny adres IP, co jest częstym wyzwaniem w sieciach WLAN. Współczesne routery Wi-Fi implementują również funkcję UPnP, która umożliwia aplikacjom automatyczne tworzenie reguł przekierowania portów w tablicy NAT, co jest niezbędne dla poprawnego działania gier sieciowych i komunikatorów peer-to-peer.

Proces uzyskiwania adresu IP przez urządzenie Wi-Fi rozpoczyna się automatycznie zaraz po pomyślnym nawiązaniu połączenia z punktem dostępowym na warstwie łącza danych. Klient DHCP, będący domyślnie aktywny we wszystkich systemach operacyjnych smartfonów, laptopów i tabletów, wysyła komunikat DHCP Discover jako transmisję rozgłoszeniową na adres 255.255.255.255 z portu źródłowego 68 na port docelowy 67. Ponieważ nowe urządzenie nie ma jeszcze własnego adresu IP, w nagłówku IP pakietu DHCP źródłowym adresem IP jest 0.0.0.0, a polem adresu docelowego jest adres rozgłoszeniowy, co gwarantuje dotarcie komunikatu do wszystkich hostów w segmencie sieci.

Serwer DHCP w routerze Wi-Fi nasłuchuje na porcie 67 i po odebraniu komunikatu Discover rozpoczyna proces selekcji odpowiedniego adresu IP z dostępnej puli. W typowej sieci domowej pula adresów jest zdefiniowana w zakresie na przykład od 192.168.1.100 do 192.168.1.200, a serwer DHCP upewnia się, że proponowany adres nie jest aktualnie używany przez inne urządzenie. Router zapamiętuje identyfikator klienta zawarty w komunikacie Discover, co pozwoli mu na późniejsze jednoznaczne przypisanie adresu do konkretnego urządzenia Wi-Fi.

Warto podkreślić, że cała komunikacja DHCP odbywa się w warstwie trzeciej modelu OSI, ale jest ściśle uzależniona od działania warstwy drugiej, ponieważ ramki Ethernet muszą być poprawnie dostarczone do wszystkich urządzeń w sieci lokalnej. W sieciach WLAN z punktem dostępowym pracującym w trybie izolacji klientów komunikaty DHCP Discover mogą być blokowane przed dotarciem do innych klientów bezprzewodowych, ale zawsze trafiają do serwera DHCP zintegrowanego z routerem. Nowoczesne routery obsługują również opcję DHCP Relay, która umożliwia korzystanie z zewnętrznego serwera DHCP znajdującego się w innej podsieci, co jest przydatne w bardziej złożonych konfiguracjach sieci korporacyjnych.

Warto pamiętać, że DHCP to technicznie protokół warstwy aplikacji (L7), komunikujący się za pomocą protokołu UDP (warstwa L4, porty 67 i 68). Jego rola polega na automatycznej konfiguracji parametrów warstwy trzeciej.

Po otrzymaniu komunikatu DHCP Discover serwer DHCP na routerze Wi-Fi przygotowuje komunikat DHCP Offer zawierający propozycję konfiguracji dla nowego urządzenia. W pakiecie Offer znajduje się proponowany adres IP, który serwer rezerwuje tymczasowo dla klienta, zapobiegając jednoczesnemu przydzieleniu go innemu urządzeniu. Serwer dołącza również maskę podsieci, która określa, która część adresu IP należy do sieci lokalnej, a która identyfikuje poszczególne hosty w tej sieci.

Kolejnymi kluczowymi parametrami w komunikacie DHCP Offer są adres bramy domyślnej oraz adres serwera DNS, które są niezbędne do poprawnego funkcjonowania urządzenia w sieci WLAN. Brama domyślna wskazuje na adres IP routera w sieci lokalnej, zazwyczaj 192.168.1.1 lub 192.168.0.1, i jest punktem wyjścia dla całego ruchu kierowanego do sieci zewnętrznych. Serwer DNS natomiast umożliwia rozwiązywanie nazw domenowych na adresy IP, a w routerach domowych rolę resolwera DNS pełni najczęściej sam router, który przekazuje zapytania do serwerów operatora internetowego.

Parametr lease time, czyli czas dzierżawy adresu IP, informuje urządzenie, jak długo może korzystać z przyznanej konfiguracji, zanim będzie musiała zostać odnowiona. Domyślny czas dzierżawy w routerach domowych wynosi zazwyczaj 24 godziny, ale może być konfigurowany w zakresie od kilku minut do nawet tygodnia. W momencie przekroczenia połowy czasu dzierżawy klient DHCP automatycznie rozpoczyna procedurę odnowienia bez konieczności ponownego przechodzenia całego procesu od początku.

Po otrzymaniu jednej lub więcej ofert DHCP od różnych serwerów klient Wi-Fi dokonuje wyboru i wysyła komunikat DHCP Request, który potwierdza akceptację konkretnej propozycji. Komunikat ten jest nadawany jako rozgłoszeniowy, aby wszystkie serwery DHCP w sieci zostały poinformowane o decyzji klienta i mogły zwolnić zarezerwowane wcześniej adresy. W treści żądania klient umieszcza pole identyfikatora serwera, które wskazuje, z której oferty zamierza skorzystać, co jest istotne w sieciach z wieloma serwerami DHCP.

Serwer DHCP odbiera komunikat Request i finalizuje proces poprzez wysłanie komunikatu DHCP ACK, który stanowi ostateczne potwierdzenie przydzielenia konfiguracji. W tym momencie serwer tworzy trwały wpis w swojej bazie danych, łączący adres MAC klienta z przyznanym adresem IP, maską podsieci, bramą domyślną i serwerem DNS. Klient po otrzymaniu ACK konfiguruje swój interfejs sieciowy zgodnie z otrzymanymi parametrami i rozpoczyna normalną komunikację w sieci WLAN.

Jeśli serwer DHCP nie może przydzielić żądanego adresu, wysyła komunikat DHCP NAK, który zmusza klienta do rozpoczęcia całego procesu od nowa od fazy DHCP Discover. W przypadku problemu z uzyskaniem adresu DHCP system może skorzystać z mechanizmu APIPA (Automatic Private IP Addressing), omówionego szczegółowo w dalszej części prezentacji.

Brama domyślna pełni fundamentalną rolę w procesie routingu, ponieważ to właśnie do niej urządzenie Wi-Fi kieruje cały ruch przeznaczony do sieci zewnętrznych. Gdy laptop lub smartfon musi wysłać pakiet danych, system operacyjny porównuje docelowy adres IP z własną maską podsieci, aby określić, czy cel znajduje się w tej samej sieci lokalnej. Jeśli adres docelowy nie należy do lokalnej podsieci, urządzenie nie próbuje samodzielnie znaleźć trasy, lecz przekazuje pakiet bezpośrednio do bramy domyślnej wskazanej w konfiguracji DHCP.

Decyzja o routingu w systemie operacyjnym opiera się na logicznej operacji AND pomiędzy adresem docelowym a maską podsieci, której wynik jest porównywany z adresem sieci lokalnej. Na przykład dla adresu IP 192.168.1.50 i maski 255.255.255.0 operacja AND daje wynik 192.168.1.0, który jest identyfikowany jako adres sieci lokalnej. Jeśli wynik operacji AND dla adresu docelowego 8.8.8.8 i maski 255.255.255.0 daje 8.8.0.0, co nie zgadza się z siecią lokalną, pakiet jest niezwłocznie przekazywany do bramy domyślnej na adres 192.168.1.1.

W sieciach WLAN brama domyślna jest zawsze adresem IP routera w interfejsie sieci lokalnej, który jednocześnie pełni funkcję serwera DHCP i punktu dostępowego. Jeśli brama domyślna zostanie skonfigurowana nieprawidłowo lub ulegnie awarii, urządzenia Wi-Fi zachowują łączność lokalną, ale tracą możliwość komunikacji z internetem. Warto zaznaczyć, że w zaawansowanych konfiguracjach sieciowych można zdefiniować wiele bram domyślnych z różnymi metrykami, co umożliwia implementację mechanizmów failover i równoważenia obciążenia między różnymi łączami internetowymi.

Router domowy, nazywany często bramą sieciową, stanowi centralne urządzenie integrujące funkcje punktu dostępowego WLAN, przełącznika Ethernet i routera warstwy trzeciej. W praktyce każdy nowoczesny router Wi-Fi łączy w sobie trzy odrębne urządzenia: przełącznik obsługujący komunikację między urządzeniami w sieci lokalnej na warstwie drugiej, punkt dostępowy zarządzający transmisją bezprzewodową oraz router odpowiedzialny za przekazywanie pakietów między różnymi sieciami. Dzięki tej integracji użytkownik domowy otrzymuje kompletne urządzenie za cenę znacznie niższą niż suma kosztów poszczególnych komponentów zakupionych osobno.

Router w sieci WLAN przechowuje tablicę routingu, która zawiera informacje o znanych sieciach i interfejsach, przez które można do nich dotrzeć, oraz o domyślnej trasie do internetu. Gdy pakiet z sieci lokalnej ma zostać wysłany do serwera w internecie, router sprawdza swoją tablicę routingu, a następnie przekazuje pakiet przez interfejs WAN do routera dostawcy usług internetowych. Router domowy wykonuje również tłumaczenie adresów NAT na każdym pakiecie opuszczającym sieć lokalną, zastępując prywatny adres źródłowy publicznym adresem interfejsu WAN.

Większość routerów domowych oferuje zaawansowane funkcje, takie jak zapora sieciowa filtrująca ruch przychodzący i wychodzący według zdefiniowanych reguł bezpieczeństwa. Wbudowany serwer DHCP, system DNS proxy oraz obsługa jakości usług pozwalają na priorytetyzację ruchu sieciowego, co jest szczególnie przydatne podczas wideokonferencji lub streamingu w sieci WLAN obciążonej wieloma urządzeniami.

Tablica routingu, nazywana również tablicą tras, stanowi kluczową strukturę danych w każdym routerze, przechowującą informacje o dostępnych sieciach i sposobach dotarcia do nich. Każdy wpis w tablicy routingu zawiera adres sieci docelowej wraz z maską, adres następnego skoku, interfejs wyjściowy oraz metrykę określającą koszt lub priorytet danej trasy. W routerach domowych tablica routingu jest stosunkowo niewielka i zawiera zazwyczaj kilka wpisów dla sieci lokalnej, sieci operatora oraz trasę domyślną prowadzącą do internetu.

Trasa domyślna, oznaczona w tablicy routingu jako 0.0.0.0/0, jest najważniejszym wpisem, który określa, gdzie kierować pakiety, gdy żadna bardziej szczegółowa trasa nie pasuje do adresu docelowego. Gdy router otrzymuje pakiet z sieci WLAN przeznaczony do serwera internetowego, przeszukuje tablicę routingu w poszukiwaniu najdłuższego dopasowania maski. Jeśli nie znajdzie konkretnej trasy, pakiet jest przekazywany zgodnie z trasą domyślną do routera dostawcy usług internetowych, który odpowiada za dalsze kierowanie ruchu w sieci szkieletowej.

Routery domowe najczęściej korzystają z routingu statycznego, gdzie administrator ręcznie konfiguruje wpisy w tablicy, oraz z protokołu DHCP do automatycznego uzyskiwania trasy domyślnej. W bardziej złożonych sieciach korporacyjnych stosuje się dynamiczne protokoły routingu, takie jak OSPF czy BGP, które automatycznie wymieniają informacje o trasach między routerami. Wpisy w tablicy routingu podlegają mechanizmowi ważności, a nieaktualne trasy są usuwane po określonym czasie, co zapobiega kierowaniu pakietów do nieistniejących sieci w przypadku zmiany topologii.

Protokół ARP, zdefiniowany w RFC 826, jest niezbędnym mechanizmem warstwy trzeciej umożliwiającym mapowanie adresów IP na adresy MAC w sieciach Ethernet i WLAN. Gdy urządzenie Wi-Fi chce wysłać pakiet IP do innego hosta w tej samej sieci lokalnej, musi najpierw poznać adres MAC tego hosta, ponieważ ramki Ethernet wymagają fizycznego adresu docelowego. Proces ten rozpoczyna się od wysłania rozgłoszeniowego zapytania ARP Request na adres MAC FF:FF:FF:FF:FF:FF, które dociera do wszystkich urządzeń w segmencie sieci, zawierającego pytanie o adres MAC odpowiadający konkretnemu adresowi IP.

Urządzenie, którego adres IP zgadza się z zapytaniem, odpowiada komunikatem ARP Reply zawierającym swój adres MAC, wysłanym już jako transmisja kierowana bezpośrednio do adresu MAC nadawcy. Otrzymana odpowiedź jest natychmiast zapisywana w tablicy ARP cache, która przechowuje mapowania IP-MAC przez określony czas, zazwyczaj od kilku do kilkunastu minut. Dzięki mechanizmowi cache kolejne zapytania do tego samego hosta nie wymagają ponownego rozgłaszania ARP, co znacząco redukuje ruch w sieci WLAN i poprawia wydajność komunikacji.

W sieciach WLAN protokół ARP ma szczególne znaczenie ze względu na ograniczoną przepustowość kanału radiowego i podatność na ataki typu ARP spoofing. W środowisku bezprzewodowym atakujący może wysyłać sfałszowane odpowiedzi ARP, aby przekierować ruch ofiary przez swoje urządzenie i przechwytywać dane. Nowoczesne punkty dostępowe implementują mechanizmy ochronne, takie jak dynamiczne sprawdzanie ARP czy segregacja klientów w osobnych sieciach VLAN, które zapobiegają nieautoryzowanemu podsłuchiwaniu ruchu w sieci WLAN.

W korporacyjnych sieciach WLAN zarządzanych przez kontroler (WLC) często stosuje się mechanizm Proxy ARP. Kontroler przechwytuje zapytania ARP wysyłane przez klientów bezprzewodowych i odpowiada na nie z własnej pamięci podręcznej. Dzięki temu dramatycznie ograniczany jest kosztowny ruch rozgłoszeniowy (broadcast) w powietrzu, zwalniając cenne medium transmisyjne.

Warto również zauważyć, że protokół ARP operuje niejako pomiędzy warstwami L2 i L3 modelu OSI – pakiety ARP są osadzane bezpośrednio w ramkach warstwy łącza danych (Ethernet/Wi-Fi), bez nagłówka IP.

System DNS stanowi rozproszoną, hierarchiczną bazę danych, która umożliwia tłumaczenie łatwych do zapamiętania nazw domenowych na numeryczne adresy IP zrozumiałe dla urządzeń sieciowych. Hierarchia DNS zaczyna się od serwerów głównych, które zarządzają domenami najwyższego poziomu, a następnie przechodzi przez serwery domen drugiego poziomu, aż do serwerów autorytatywnych dla konkretnych domen. Gdy użytkownik w sieci Wi-Fi wpisuje w przeglądarce adres strony internetowej, system operacyjny najpierw sprawdza lokalny plik hosts, a następnie kieruje zapytanie do skonfigurowanego resolvera DNS.

Zapytanie rekurencyjne w DNS oznacza, że resolver DNS, którym w domowej sieci WLAN jest najczęściej router, bierze na siebie pełną odpowiedzialność za znalezienie odpowiedzi. Resolver routera kontaktuje się z serwerem głównym, który kieruje je do serwera domeny najwyższego poziomu, a ten z kolei do autorytatywnego serwera docelowej domeny. Każdy serwer w tej hierarchii zwraca adres następnego serwera, który może posiadać bardziej szczegółowe informacje, aż do momentu uzyskania ostatecznego adresu IP odpowiadającego żądanej nazwie.

Routery domowe pełnią funkcję lokalnego resolvera DNS, który buforuje odpowiedzi na zapytania, co znacząco przyspiesza kolejne żądania do tych samych domen. Mechanizm cache DNS przechowuje pary nazwa-adres IP przez czas określony przez parametr TTL, który jest ustawiany przez autorytatywny serwer DNS danej domeny. W przypadku awarii serwera DNS dostawcy internetowego, wiele nowoczesnych routerów Wi-Fi oferuje możliwość skonfigurowania alternatywnych resolverów, takich jak Google DNS czy Cloudflare DNS, co zapewnia ciągłość dostępu do zasobów internetowych.

Podobnie jak DHCP, DNS jest protokołem warstwy aplikacji (L7), działającym na bazie UDP (port 53) i TCP (dla większych odpowiedzi). Służy translacji nazw domenowych na adresy IP, ułatwiając pracę warstwy trzeciej.

Protokół ICMP, zdefiniowany w RFC 792, pełni fundamentalną rolę w diagnostyce i raportowaniu błędów w sieciach IP, w tym w sieciach WLAN. Najbardziej znanym narzędziem wykorzystującym ICMP jest program ping, który wysyła komunikaty Echo Request do docelowego hosta i oczekuje na odpowiedź Echo Reply. Czas odpowiedzi mierzony przez ping pozwala oszacować opóźnienie transmisji, zwane latencją, które jest kluczowym parametrem jakości połączenia w sieciach bezprzewodowych.

Komunikat ICMP Echo Request zawiera unikalny identyfikator oraz numer sekwencyjny, które umożliwiają dopasowanie odpowiedzi do wysłanego zapytania i wykrycie ewentualnych strat pakietów. Brak odpowiedzi na zapytanie ping nie zawsze oznacza awarię urządzenia docelowego, ponieważ wiele routerów i serwerów ma skonfigurowane zapory blokujące ruch ICMP ze względów bezpieczeństwa. W sieciach WLAN pakiet ICMP może zostać utracony z powodu zakłóceń radiowych, zbyt dużego zasięgu od punktu dostępowego lub przeciążenia kanału transmisyjnego przez inne urządzenia.

Oprócz diagnostyki typu ping protokół ICMP dostarcza również komunikatów Destination Unreachable, które informują nadawcę o niemożności dostarczenia pakietu do celu. Komunikat Time Exceeded jest wysyłany, gdy pakiet przekroczy maksymalną liczbę skoków, co jest podstawą działania narzędzia traceroute służącego do mapowania trasy pakietu przez kolejne routery. W kontekście sieci WLAN protokół ICMP jest również wykorzystywany przez router do wykrywania MTU ścieżki, co pozwala na optymalne dopasowanie rozmiaru pakietów do warunków panujących w sieci bezprzewodowej.

Komunikat ICMP Destination Unreachable jest generowany przez router lub host docelowy, gdy pakiet nie może zostać doręczony z przyczyn innych niż przekroczenie czasu. W sieciach WLAN szczególnie często spotykane są kody oznaczające brak dostępności sieci, hosta lub portu, co może wynikać z tymczasowej utraty łączności z punktem dostępowym. Gdy stacja bezprzewodowa próbuje wysłać dane do adresata znajdującego się poza zasięgiem sieci WLAN, router graniczny odsyła właśnie ten komunikat, informując nadawcę o niepowodzeniu.

Komunikat ICMP Time Exceeded pojawia się w dwóch głównych sytuacjach: gdy czas życia pakietu wygasł podczas wędrówki przez sieć lub gdy nie udało się złożyć wszystkich fragmentów datagramu przed upływem limitu czasowego. To drugie zdarzenie ma szczególne znaczenie w sieciach bezprzewodowych, gdzie utrata pojedynczego fragmentu może skutkować odrzuceniem całego pakietu. Narzędzie traceroute wykorzystuje celowe generowanie komunikatów Time Exceeded poprzez wysyłanie pakietów z kolejno zwiększaną wartością TTL, co pozwala na mapowanie trasy przesyłania danych.

Fragmentacja pakietów IP zachodzi wtedy, gdy rozmiar ramki przekracza wartość MTU obowiązującą na danym łączu. MTU dla protokołu IP w sieciach WLAN wynosi standardowo 1500 bajtów, identycznie jak w Ethernecie. Ramka 802.11 dopuszcza ładunek MSDU do 2304 bajtów, co daje wystarczający margines na enkapsulację standardowego pakietu IP wraz z nagłówkami warstwy 2. Mechanizm Path MTU Discovery pozwala uniknąć fragmentacji poprzez wykrycie najmniejszej wartości MTU na całej trasie, choć w praktyce bywa zawodny, gdy routery nie generują wymaganych komunikatów ICMP.

Pole TTL w nagłówku IPv4, a w przypadku IPv6 znane jako Hop Limit, stanowi licznik określający maksymalną liczbę przeskoków między routerami, jakie pakiet może wykonać. Każdy router pośredniczący w trasie zmniejsza wartość tego pola o jeden, a po osiągnięciu zera odrzuca pakiet i odsyła komunikat ICMP Time Exceeded. Mechanizm ten został zaprojektowany jeszcze w czasach ARPANET, aby zapobiegać sytuacjom, w których zagubione pakiety krążyłyby po sieci w nieskończoność, marnując przepustowość łączy.

Dobór wartości początkowej TTL ma istotne znaczenie praktyczne w diagnostyce sieci WLAN. Systemy operacyjne stosują różne wartości domyślne: Linux i Android zazwyczaj ustawiają TTL na 64, systemy Windows używają 128, natomiast starsze systemy Unix sięgają po 255. Znajomość tych wartości pozwala administratorowi sieci na szybkie określenie systemu operacyjnego źródła ruchu podczas analizy logów czy ruchu sieciowego, co bywa przydatne przy wykrywaniu nieautoryzowanych urządzeń.

Z punktu widzenia bezpieczeństwa sieci WLAN, pole TTL może być wykorzystywane przez atakujących do omijania zabezpieczeń w technikach takich jak Nmap Idle Scan. Nowoczesne firewalle i systemy IPS potrafią analizować anomalie w wartościach TTL, identyfikując próby fałszowania pakietów. W praktyce administracyjnej warto pamiętać, że zbyt niska wartość początkowa TTL może powodować problemy z łącznością w rozległych sieciach korporacyjnych, gdzie trasa routingu przekracza standardowe 64 przeskoki.

Fragmentacja pakietów IP na poziomie warstwy trzeciej jest niezbędna, gdy rozmiar datagramu przewyższa maksymalną jednostkę transmisji obowiązującą na danym interfejsie sieciowym. Proces ten polega na podziale oryginalnego pakietu na mniejsze części, z których każda otrzymuje własny nagłówek IP z odpowiednio ustawionymi polami identyfikacji, flag i przesunięcia. W sieciach WLAN kwestia fragmentacji nabiera szczególnego znaczenia, ponieważ ramki 802.11 mogą podlegać dodatkowej fragmentacji na poziomie warstwy drugiej, niezależnej od fragmentacji IP.

Pole Fragment Offset w nagłówku IPv4 określa pozycję danego fragmentu względem początku oryginalnego datagramu, wyrażoną w jednostkach ośmiu bajtów. Flagi zawierają bit Don't Fragment, który nakazuje routerom odrzucenie pakietu zamiast jego fragmentacji, oraz bit More Fragments informujący odbiorcę o istnieniu kolejnych fragmentów. Składanie fragmentów odbywa się po stronie odbiorcy, który buforuje je do momentu otrzymania wszystkich części, mierząc czas za pomocą wewnętrznego timera.

Fragmentacja niesie ze sobą szereg problemów natury wydajnościowej i bezpieczeństwa w środowisku WLAN. Utrata pojedynczego fragmentu wymusza retransmisję całego pakietu, co przy wysokim poziomie zakłóceń radiowych znacząco obniża przepustowość łącza. Z perspektywy bezpieczeństwa fragmentacja bywa wykorzystywana do omijania systemów wykrywania włamań poprzez celowe dzielenie pakietów w sposób utrudniający analizę treści, a ataki typu Fragment Overlap czy Tiny Fragment stanowią znane techniki obchodzenia reguł firewalli.

Problem wyczerpania puli adresów IPv4 wynika z fundamentalnego ograniczenia protokołu zaprojektowanego w latach siedemdziesiątych dwudziestego wieku, który przewidywał maksymalnie 4,3 miliarda unikatowych adresów. W momencie tworzenia specyfikacji nikt nie spodziewał się tak gwałtownego rozwoju internetu ani upowszechnienia urządzeń mobilnych, czujników IoT czy wszechobecnej łączności sieciowej. Regionalne rejestry internetowe, takie jak RIPE dla Europy czy ARIN dla Ameryki Północnej, rozdysponowały ostatnie wolne bloki adresów odpowiednio w latach 2012 i 2015.

W odpowiedzi na niedobór adresów operatorzy sieci WLAN masowo wdrożyli mechanizm translacji adresów sieciowych, znany jako NAT, który pozwala wielu urządzeniom współdzielić jeden publiczny adres IPv4. Carrier-Grade NAT, nazywany również Large Scale NAT, stanowi rozwinięcie tej koncepcji stosowane przez dostawców usług internetowych, gdzie translacja odbywa się już na poziomie infrastruktury operatorskiej. Rozwiązanie to umożliwia obsługę tysięcy abonentów za pomocą zaledwie kilku publicznych adresów, jednak niesie ze sobą istotne ograniczenia związane z przekierowywaniem portów i protokołami wymagającymi bezpośredniej komunikacji.

Konsekwencje wyczerpania adresów IPv4 są szczególnie odczuwalne w kontekście sieci bezprzewodowych, gdzie każde urządzenie klienckie tradycyjnie wymagało unikatowego adresu. Coraz częściej stosuje się podwójną translację NAT, co utrudnia działanie aplikacji peer-to-peer, gier sieciowych oraz protokołów VoIP. Długoterminowym rozwiązaniem pozostaje migracja do IPv6, która w Polsce postępuje stosunkowo wolno.

Protokół IPv6 został opracowany przez grupę roboczą IETF jako odpowiedź na wyczerpanie puli adresów IPv4, oferując przestrzeń adresową o długości 128 bitów. Liczba możliwych adresów jest tak gigantyczna, że na każdy metr kwadratowy powierzchni Ziemi przypada ich ponad sześćset trylionów, co całkowicie eliminuje problem niedoboru adresacji. Zapis szesnastkowy podzielony jest na osiem grup po cztery znaki szesnastkowe, oddzielone dwukropkami, z możliwością skracania poprzez pomijanie zer wiodących oraz zastępowanie najdłuższego ciągu zer podwójnym dwukropkiem.

Nagłówek IPv6 został znacząco uproszczony w porównaniu z poprzednikiem, co przekłada się na wydajniejsze przetwarzanie pakietów przez routery i przełączniki. Stała długość nagłówka wynosząca 40 bajtów oraz rezygnacja z pola sumy kontrolnej na rzecz mechanizmów warstwy drugiej przyspieszają routing sprzętowy. Opcjonalne informacje przenoszone są w osobnych nagłówkach rozszerzeń, które routery analizują tylko w razie potrzeby, co stanowi istotną różnicę w stosunku do stałego nagłówka IPv4 z opcjami o zmiennej długości.

Wbudowane wsparcie dla IPsec w protokole IPv6 pierwotnie uznawano za obowiązkowe, choć obecne implementacje traktują je jako opcjonalną funkcjonalność bezpieczeństwa. Dla środowisk WLAN przejście na IPv6 oznacza możliwość rezygnacji z translacji NAT, co upraszcza konfigurację przekierowań portów dla kamer IP czy serwerów plików. Mimo tych zalet adopcja IPv6 w sieciach domowych i korporacyjnych pozostaje ograniczona, głównie ze względu na konieczność modernizacji starszych urządzeń.

Autokonfiguracja bezstanowa SLAAC stanowi jeden z najważniejszych mechanizmów IPv6 w kontekście sieci WLAN, pozwalający urządzeniom na samodzielne uzyskanie adresacji bez udziału serwera DHCP. Proces rozpoczyna się od wysłania przez stację zapytania Router Solicitation do grupy multicastowej wszystkich routerów, na które router odpowiada komunikatem Router Advertisement zawierającym prefiks sieci oraz dodatkowe parametry konfiguracyjne. W sieciach bezprzewodowych routery wysyłają te komunikaty okresowo, co umożliwia nowo dołączającym klientom natychmiastowe skonfigurowanie interfejsu bez zbędnej zwłoki.

Adres interfejsu w metodzie EUI-64 tworzony jest poprzez wstawienie szesnastobitowej wartości FFFE pomiędzy pierwszą a drugą połowę adresu MAC karty sieciowej, a następnie odwrócenie siódmego bitu określającego uniwersalność adresu. Rozwiązanie to zapewnia unikatowość adresu w skali globalnej, jednak budzi zastrzeżenia natury prywatności, ponieważ adres MAC producenta staje się jawny w ruchu sieciowym. W odpowiedzi na te obawy protokół IPv6 wprowadził adresy tymczasowe generowane losowo, które podlegają regularnej rotacji, utrudniając śledzenie aktywności użytkownika.

Mechanizm SLAAC współdziała z protokołem NDP odpowiadającym za wykrywanie sąsiadów i rozwiązywanie adresów, który zastępuje funkcje znane z ARP w IPv4. Router Advertisement precyzuje między innymi czas życia prefiksu, co pozwala na płynną zmianę dostawcy usług internetowych bez konieczności rekonfiguracji klientów. Administrator sieci bezprzewodowej powinien pamiętać o odpowiednim skonfigurowaniu interwałów wysyłania RA, gdyż zbyt częste komunikaty powodują niepotrzebny wzrost ruchu radiowego.

Mechanizm Dual Stack stanowi najpopularniejszą strategię migracji z protokołu IPv4 do IPv6, polegającą na jednoczesnym uruchomieniu obu stosów protokołów na każdym interfejsie sieciowym. Urządzenie skonfigurowane w tym modelu posiada zarówno adres IPv4, jak i IPv6, a aplikacje decydują o wyborze protokołu na podstawie rezultatów zapytań DNS. W sieciach WLAN oznacza to, że punkt dostępowy oraz stacje klienckie muszą obsługiwać obie wersje protokołu, co podwaja zapotrzebowanie na zasoby obliczeniowe i pamięciowe kontrolera sieci.

Zasada preferencji IPv6 jest realizowana poprzez mechanizm Happy Eyeballs, który nakazuje klientowi próbę połączenia za pomocą IPv6 w pierwszej kolejności, z równoczesnym pomiarem czasu odpowiedzi. Jeśli połączenie IPv6 nie powiedzie się w ciągu kilkuset milisekund, aplikacja automatycznie przełącza się na IPv4, zapewniając użytkownikowi płynne działanie bez widocznych opóźnień. Rozwiązanie to sprawdza się doskonale w środowiskach WLAN o zmiennej jakości łącza radiowego, gdzie tymczasowe problemy z zasięgiem mogłyby zakłócić komunikację IPv6.

Wdrożenie Dual Stack w infrastrukturze bezprzewodowej wymaga starannego planowania przestrzeni adresowej oraz konfiguracji serwera DHCP zarówno dla IPv4, jak i DHCPv6. Problematyczne bywają starsze urządzenia klienckie, których stos IPv6 zawiera błędy powodujące spowolnienie całego połączenia. Mimo tych wyzwań Dual Stack pozostaje rekomendowanym podejściem przez organizacje takie jak NASK czy operatorów komórkowych.

Mechanizm tunelowania w kontekście IPv6 polega na kapsułkowaniu pakietów tego protokołu wewnątrz pakietów IPv4, co umożliwia ich przesyłanie przez starszą infrastrukturę sieciową niewspierającą natywnego IPv6. Każdy pakiet IPv6 jest otaczany dodatkowym nagłówkiem IPv4 z odpowiednim polem protokołu, a po dotarciu do punktu docelowego następuje dekapsułkowanie i odtworzenie oryginalnego pakietu. W sieciach WLAN tunele znajdują zastosowanie przede wszystkim u dostawców usług internetowych oraz w sieciach korporacyjnych, gdzie łączność IPv6 musi być zapewniona pomimo braku wsparcia ze strony operatora szkieletowego.

Standard 6to4 zakłada automatyczne tworzenie tuneli pomiędzy izolowanymi wyspami IPv6 z wykorzystaniem publicznych adresów IPv4 jako punktów końcowych. Specjalny prefiks 2002 poprzedza 32-bitowy adres IPv4, tworząc w efekcie 48-bitowy prefiks routingu globalnego, co pozwala na komunikację bez centralnego rejestru. Protokół Teredo, opracowany przez firmę Microsoft, został zaprojektowany z myślą o urządzeniach znajdujących się za translatorami NAT, co czyni go szczególnie przydatnym w domowych sieciach WLAN, gdzie router wykonuje translację adresów.

Kapsułkowanie pakietów niesie ze sobą konsekwencje wydajnościowe, ponieważ dodatkowy nagłówek zwiększa narzut protokołowy i zmniejsza przestrzeń dostępną dla danych użytkownika. W sieciach bezprzewodowych problem dodatkowego narzutu jest szczególnie odczuwalny ze względu na ograniczoną przepustowość kanału radiowego. Z perspektywy bezpieczeństwa tunele utrudniają działanie firewalli i systemów IPS, ponieważ oryginalna treść pakietu IPv6 jest ukryta przed inspekcją.

Firewall filtrujący pakiety w warstwach 3 i 4 analizuje adresy IP (warstwa 3) oraz numery portów protokołów transportowych i flagi TCP (warstwa 4). W środowisku WLAN zapora sieciowa stanowi kluczowy element architektury bezpieczeństwa, chroniąc użytkowników przed nieautoryzowanym dostępem z zewnątrz oraz izolując ruch pomiędzy poszczególnymi segmentami sieci. Filtrowanie bezstanowe podejmuje decyzje na podstawie pojedynczego pakietu bez analizy kontekstu połączenia, co czyni tę metodę szybszą, ale mniej skuteczną wobec zaawansowanych ataków.

Firewalle stanowe znacząco podnoszą poziom bezpieczeństwa poprzez śledzenie stanu każdej sesji sieciowej i dopuszczanie wyłącznie pakietów odpowiadających nawiązanym połączeniom. Mechanizm ten jest szczególnie istotny w sieciach WLAN o dużym zagęszczeniu użytkowników, gdzie możliwość szybkiego odróżnienia legalnego ruchu od ataku typu SYN flood decyduje o stabilności całej infrastruktury. Listy kontroli dostępu pozwalają na precyzyjne definiowanie reguł zezwalających lub blokujących ruch według harmonogramów, adresów źródłowych i docelowych oraz typów protokołów.

Konfiguracja reguł firewall w sieci bezprzewodowej wymaga uwzględnienia specyfiki protokołów zarządzania WLAN, takich jak CAPWAP czy LWAPP, które muszą być wyłączone spod ogólnych reguł filtrowania. Błędnie skonfigurowana lista ACL może zablokować ruch pomiędzy kontrolerem a punktem dostępowym, powodując całkowitą utratę łączności dla wszystkich klientów. Współczesne systemy kontroli dostępu do sieci wspierają filtrowanie dynamiczne, które automatycznie dostosowuje reguły na podstawie profilu użytkownika.

Sieci gościnne w infrastrukturze WLAN realizowane są poprzez wydzielenie osobnej sieci wirtualnej VLAN, która logicznie oddziela ruch użytkowników zewnętrznych od korporacyjnych zasobów wewnętrznych. Każda sieć VLAN stanowi odrębną domenę rozgłoszeniową na poziomie warstwy drugiej, a routing między nimi odbywa się za pośrednictwem firewalla lub routera warstwy trzeciej. Rozwiązanie to umożliwia administratorowi zdefiniowanie odrębnych zasad bezpieczeństwa dla gości, ograniczając im dostęp wyłącznie do internetu przy jednoczesnym blokowaniu komunikacji z wewnętrzną infrastrukturą firmową.

Izolacja klientów na poziomie warstwy trzeciej stanowi mechanizm uniemożliwiający bezpośrednią komunikację pomiędzy urządzeniami podłączonymi do tego samego punktu dostępowego lub kontrolera WLAN. Funkcja ta, nazywana Client Isolation lub Public Secure Packet Forwarding, zapobiega rozprzestrzenianiu się złośliwego oprogramowania i atakom typu man-in-the-middle wewnątrz sieci bezprzewodowej. Działanie izolacji polega na odrzucaniu pakietów, których adres docelowy należy do tej samej podsieci co adres źródłowy, chyba że ruch jest kierowany do bramy domyślnej.

Implementacja izolacji L3 w praktyce oznacza, że klienci sieci gościnnej mogą jedynie wysyłać zapytania DNS i nawiązywać połączenia z internetem, ale nie widzą innych urządzeń w tej samej sieci. Administrator powinien jednak pamiętać o wyłączeniu izolacji w sytuacjach, gdy działanie aplikacji wymaga lokalnej komunikacji, na przykład przy udostępnianiu plików przez AirDrop czy drukowaniu przez AirPlay.

W praktyce administracyjnej sieci WLAN decyzja między routingiem statycznym a dynamicznym ma kluczowe znaczenie dla stabilności i wydajności całej infrastruktury. Routing statyczny, polegający na ręcznym definiowaniu tras przez administratora, znajduje zastosowanie w niewielkich sieciach bezprzewodowych o przewidywalnej topologii, gdzie liczba routerów nie przekracza kilku urządzeń. Administrator samodzielnie wprowadza wpisy do tablic routingu, co eliminuje ruch związany z wymianą informacji routingowej, ale jednocześnie wymaga ręcznej interwencji przy każdej zmianie topologii.

Protokoły routingu dynamicznego, takie jak OSPF, EIGRP i BGP, automatyzują proces wykrywania sąsiadów i aktualizacji tablic routingu, co jest nieocenione w środowiskach bezprzewodowych, gdzie dostępność punktów dostępowych może się zmieniać. OSPF, działający w oparciu o algorytm Dijkstry, oblicza najkrótsze ścieżki w sieci i szybko reaguje na zmiany topologii. EIGRP oferuje szybszą konwergencję dzięki algorytmowi DUAL i wspiera routing dla wielu protokołów warstwy sieciowej. Protokół BGP, stosowany głównie między systemami autonomicznymi, znajduje zastosowanie w dużych sieciach korporacyjnych łączących wiele lokalizacji za pośrednictwem łączy WAN.

W praktyce inżynierskiej często stosuje się podejście hybrydowe, w którym routing statyczny obsługuje stabilne połączenia szkieletowe, a protokoły dynamiczne odpowiadają za segmenty sieci o zmiennej topologii. Kluczowe jest monitorowanie tablic routingu i regularne audyty konfiguracji, aby uniknąć pętli routingu i zapewnić spójność ścieżek transmisyjnych.

Podział protokołów routingu na kategorie IGP i EGP wynika z zakresu ich działania oraz charakterystyki systemów autonomicznych, które stanowią podstawową jednostkę administracyjną w globalnym internecie. System Autonomiczny, oznaczany unikalnym numerem ASN, to zbiór sieci zarządzanych przez jedną organizację, które stosują spójną politykę routingu wewnętrznego. W kontekście sieci WLAN, system autonomiczny może obejmować wszystkie sieci bezprzewodowe w obrębie przedsiębiorstwa, łącznie z kontrolerami WLC i punktami dostępowymi zarządzanymi centralnie.

OSPF, jako protokół stanu łącza, utrzymuje pełną mapę topologii sieci w bazie danych LSDB i oblicza trasy przy użyciu algorytmu najkrótszej ścieżki, co pozwala na precyzyjne sterowanie ruchem w rozległych sieciach WLAN z wieloma strefami roamingowymi. EIGRP łączy cechy protokołów wektorowych i stanu łącza, oferując zaawansowane mechanizmy równoważenia obciążenia i filtrowania tras. Protokół EGP, którego jedynym współczesnym przedstawicielem jest BGP, działa na poziomie międzysystemowym i odpowiada za wymianę informacji o dostępności sieci między różnymi systemami autonomicznymi.

Typowym rozwiązaniem jest zastosowanie OSPF jako protokołu wewnątrz każdego systemu autonomicznego oraz BGP do wymiany tras między systemami, co zapewnia zarówno szczegółową kontrolę nad routingiem wewnętrznym, jak i elastyczne zarządzanie politykami na granicach sieci. Administratorzy sieci bezprzewodowych muszą pamiętać o odpowiednim oznaczaniu tras pochodzących z różnych protokołów.

W warstwie trzeciej modelu OSI transmisja danych może przybierać trzy podstawowe formy: unicast, multicast oraz broadcast, z których każda znajduje odmienne zastosowanie w sieciach WLAN. Transmisja unicast, kierowana do pojedynczego odbiorcy identyfikowanego przez unikalny adres IP, stanowi dominującą formę komunikacji w sieciach bezprzewodowych i obsługuje typowe czynności, takie jak przeglądanie stron internetowych czy pobieranie plików. W sieci Wi-Fi ramki unicast są potwierdzane przez odbiorcę za pomocą ramek ACK, co zapewnia niezawodność transmisji, ale jednocześnie generuje dodatkowy narzut protokołu. Każda transmisja unicast, mimo że adresowana do jednego odbiorcy, jest fizycznie nadawana na antenę, a pozostałe stacje odbierają ją jako szum, co w gęsto zaludnionych sieciach WLAN prowadzi do wzrostu interferencji.

Transmisja multicast, kierowana do grupy odbiorców zrzeszonych w określonej sesji grupowej, jest szeroko wykorzystywana w aplikacjach strumieniujących multimedia, telekonferencjach oraz w systemach dystrybucji sygnału telewizyjnego przez sieć bezprzewodową. Transmisja broadcast, kierowana do wszystkich urządzeń w danej sieci, jest wykorzystywana przede wszystkim do celów odkrywania usług i adresów, na przykład podczas wysyłania zapytań ARP lub ogłoszeń DHCP. W sieciach WLAN nadmierne użycie transmisji broadcast może prowadzić do przeciążenia kanału radiowego, ponieważ każda ramka broadcast jest odbierana i przetwarzana przez wszystkie stacje w zasięgu.

Ograniczenie niepożądanego ruchu broadcast w sieciach bezprzewodowych jest jednym z kluczowych zadań administratora, realizowanym poprzez segmentację sieci za pomocą VLAN-ów oraz stosowanie protokołów takich jak IGMP snooping. Współczesne kontrolery WLC oferują zaawansowane mechanizmy optymalizacji ruchu multicast, w tym konwersję ramek multicast na unicast dla klientów znajdujących się w trybie oszczędzania energii.

Transmisja multicast w sieciach Wi-Fi stanowi szczególne wyzwanie techniczne ze względu na fundamentalne różnice między przewodowym a bezprzewodowym medium transmisyjnym. W sieciach Ethernet przewodowych ramki multicast są dostarczane wyłącznie do portów switcha, które należą do danej grupy multicastowej, co minimalizuje niepotrzebne obciążenie infrastruktury. W przypadku sieci WLAN punkty dostępowe transmitują ramki multicast z najniższą dostępną szybkością transmisji, aby zapewnić ich odbiór przez wszystkie stacje, niezależnie od jakości łącza radiowego. Oznacza to, że ruch multicast w sieci bezprzewodowej jest nadawany z prędkością podstawową, na przykład 1 lub 2 Mb/s, co dramatycznie obniża efektywną przepustowość kanału i wydłuża czas zajętości medium.

Dodatkowym problemem jest brak mechanizmów potwierdzeń dla ramek multicast w standardzie 802.11, ponieważ punkt dostępowy nie oczekuje ramek ACK od poszczególnych odbiorców, co czyni transmisję multicast z natury zawodną. Co więcej, stacje pracujące w trybach oszczędzania energii mogą nie być aktywne w momencie nadawania ramek multicast, co wymusza na punkcie dostępowym buforowanie tych ramek i wysyłanie ich w określonych oknach transmisyjnych, zwanych okresami DTIM.

Aby złagodzić negatywny wpływ multicastu na wydajność sieci WLAN, producenci infrastruktury bezprzewodowej opracowali szereg technik optymalizacyjnych, takich jak konwersja multicast na unicast dla klientów obsługujących tę funkcję. Innym podejściem jest stosowanie protokołu IGMP snooping bezpośrednio na kontrolerze WLC, który monitoruje ruch IGMP i dostarcza ramki multicast tylko do punktów dostępowych, w których zasięgu znajdują się subskrybenci danej grupy.

Adres loopback 127.0.0.1, należący do przestrzeni adresowej 127.0.0.0/8, jest jednym z najważniejszych narzędzi diagnostycznych w sieciach komputerowych, w tym również w infrastrukturze WLAN. Adres ten nie jest przypisany do żadnego fizycznego interfejsu sieciowego, lecz stanowi wirtualny interfejs wewnętrzny implementowany bezpośrednio w stosie TCP/IP systemu operacyjnego. Wszelkie pakiety wysłane na adres 127.0.0.1 są kierowane z powrotem do nadawcy bez opuszczania hosta, co pozwala na testowanie poprawności działania stosu protokołów bez konieczności angażowania fizycznej karty sieciowej. W kontekście rozwiązywania problemów z łącznością bezprzewodową, test polegający na wykonaniu polecenia ping wobec 127.0.0.1 jest pierwszym krokiem w diagnostyce różnicowej, ponieważ pozwala wykluczyć uszkodzenie samego stosu TCP/IP.

Zakres adresów 127.0.0.0/8 rezerwuje ponad 16 milionów adresów, choć w praktyce wykorzystywany jest wyłącznie adres 127.0.0.1. W dokumentacji RFC 1122 określono, że żaden adres z tej puli nie powinien pojawić się w sieci jako adres źródłowy ani docelowy, a routery mają obowiązek odrzucać pakiety z adresem loopback napotkane na fizycznych interfejsach. Mechanizm ten zapobiega przypadkowemu rozgłaszaniu pakietów loopback do sieci zewnętrznych, co mogłoby prowadzić do niejednoznaczności routingu i potencjalnych ataków typu reflection.

Zaawansowani administratorzy sieci WLAN wykorzystują interfejs loopback do budowania tuneli VPN oraz jako punkt końcowy dla sesji zarządzania out-of-band, co umożliwia dostęp do urządzenia nawet w przypadku awarii interfejsów transmisyjnych. W środowiskach z routingiem dynamicznym, adres loopback jest często używany jako router ID w protokołach OSPF i BGP, ponieważ zapewnia stabilny identyfikator niezależny od stanu fizycznych interfejsów.

Adresacja APIPA, określana również jako adresy link-local IPv4, obejmuje zakres 169.254.0.0/16 i stanowi mechanizm automatycznej konfiguracji adresu IP w przypadku braku dostępności serwera DHCP. Gdy klient sieci bezprzewodowej nie otrzymuje odpowiedzi na rozgłoszeniowe zapytania DHCP Discover, system operacyjny uruchamia procedurę autokonfiguracji, wybierając losowy adres z puli link-local i weryfikując jego unikalność w sieci lokalnej za pomocą protokołu ARP. Mechanizm ten został zdefiniowany w dokumencie RFC 3927 jako sposób na zapewnienie podstawowej łączności w sieciach ad-hoc oraz w sytuacjach awaryjnych. W kontekście sieci WLAN, adres APIPA pojawia się najczęściej wtedy, gdy klient ma nawiązaną sesję Wi-Fi z punktem dostępowym, ale nie może uzyskać adresu z sieciowej puli DHCP z powodu awarii serwera.

Adresy link-local charakteryzują się brakiem możliwości routingu, co oznacza, że pakiety z adresem źródłowym z zakresu 169.254.0.0/16 nigdy nie opuszczają sieci lokalnej i są odrzucane przez routery na granicach podsieci. W praktyce użytkownik sieci WLAN widzi adres APIPA jako symptom problemów z łącznością, ponieważ mimo pełnego połączenia z punktem dostępowym nie ma dostępu do zasobów sieciowych poza swoją siecią lokalną. Dla administratora pojawienie się wielu adresów APIPA w dziennikach punktu dostępowego jest wyraźnym sygnałem ostrzegawczym wskazującym na awarię infrastruktury DHCP.

W nowoczesnych sieciach WLAN sterowanych przez kontroler, mechanizm APIPA jest rzadziej spotykany, ponieważ kontrolery często pełnią funkcję serwera DHCP dla klientów. W systemach operacyjnych Windows adres APIPA jest rozpoznawalny po charakterystycznym komunikacie o ograniczonym dostępie do sieci, który informuje użytkownika o braku pełnej łączności IP.

Podział sieci na podsieci, zwany subnettingiem, jest fundamentalną techniką zarządzania przestrzenią adresową IPv4, która pozwala na efektywne wykorzystanie dostępnych adresów oraz poprawę wydajności i bezpieczeństwa sieci WLAN. Proces subnettingu polega na pożyczeniu bitów z części hostowej maski podsieci i przeznaczeniu ich na identyfikację podsieci, co zwiększa liczbę dostępnych sieci kosztem zmniejszenia maksymalnej liczby hostów w każdej z nich. W środowisku bezprzewodowym dzielenie sieci na mniejsze podsieci umożliwia wydzielenie osobnych segmentów dla poszczególnych pięter budynku, stref gościnnych czy sieci dla urządzeń IoT, co ogranicza rozmiar domen rozgłoszeniowych i minimalizuje niepożądany ruch broadcast.

Obliczanie podsieci wymaga zrozumienia zależności między maską podsieci a liczbą dostępnych adresów, co w praktyce inżynierskiej wspomagane jest przez kalkulatory podsieci lub skrypty automatyzujące. W przypadku sieci WLAN kluczowe znaczenie ma prawidłowe zaplanowanie wielkości podsieci w oparciu o przewidywaną liczbę klientów jednocześnie podłączonych do danego punktu dostępowego. Błędne oszacowanie liczby wymaganych adresów może prowadzić do wyczerpania puli adresowej w segmencie sieci, co uniemożliwia nowym klientom uzyskanie adresu IP.

W rozbudowanych sieciach WLAN obejmujących wiele lokalizacji, subnetting umożliwia także logiczne grupowanie adresów według kryterium geograficznego lub funkcjonalnego, co upraszcza zarządzanie routingiem i politykami bezpieczeństwa. Na przykład wszystkie punkty dostępowe na pierwszym piętrze budynku mogą otrzymywać adresy z podsieci 10.1.1.0/24, a na drugim piętrze z 10.1.2.0/24, co pozwala na szybką identyfikację lokalizacji urządzenia na podstawie adresu IP.

Technika VLSM stanowi rozwinięcie klasycznego subnettingu, wprowadzając możliwość stosowania różnych masek podsieci w obrębie jednej sieci nadrzędnej, co pozwala na znacznie elastyczniejsze i efektywniejsze gospodarowanie przestrzenią adresową IPv4. W odróżnieniu od tradycyjnego podziału na równe podsieci, VLSM umożliwia dopasowanie wielkości podsieci do rzeczywistych potrzeb liczby hostów w danym segmencie, eliminując marnotrawstwo adresów. W kontekście sieci WLAN jest to szczególnie istotne, ponieważ poszczególne punkty dostępowe czy grupy klientów mogą wymagać bardzo różnej liczby adresów, od zaledwie kilku dla łączy zarządzających po kilkaset dla stref ogólnodostępnych.

Implementacja VLSM w sieci bezprzewodowej wymaga starannego planowania hierarchii adresowej, ponieważ podsieci o różnych maskach nie mogą na siebie nachodzić. W przypadku routingu dynamicznego, protokoły bezklasowe, takie jak OSPF i EIGRP, natywnie obsługują VLSM i przesyłają w aktualizacjach maskę podsieci wraz z adresem sieci. Z kolei protokoły klasowe, takie jak starsze wersje RIP, nie wspierają VLSM i wymagają stosowania jednakowej maski w całej sieci. Dlatego przy projektowaniu sieci bezprzewodowej z VLSM zaleca się stosowanie protokołów routingu bezklasowych.

Praktycznym przykładem zastosowania VLSM w sieci WLAN może być podział sieci 10.0.0.0/16 na podsieci o różnych rozmiarach: /22 dla głównej sieci klienckiej, /26 dla sieci zarządzania punktami dostępowymi, /27 dla sieci gościnnej oraz /30 dla łączy szkieletowych między przełącznikami. Takie podejście pozwala na zaoszczędzenie tysięcy adresów w porównaniu z klasycznym podziałem na równe podsieci.

Adres sieci oraz adres rozgłoszeniowy to dwa specjalne adresy w każdej podsieci IPv4, które pełnią kluczowe role w komunikacji sieciowej i nie mogą być przypisywane interfejsom hostów. Adres sieci to pierwszy adres w danym zakresie podsieci, w którym wszystkie bity części hostowej mają wartość zero, i służy wyłącznie do identyfikacji samej sieci w tablicach routingu oraz w procesach decyzyjnych protokołów warstwy trzeciej. Adres rozgłoszeniowy, z kolei, to ostatni adres w podsieci, w którym wszystkie bity części hostowej są ustawione na jeden, i jest wykorzystywany do wysyłania pakietów do wszystkich urządzeń w danej podsieci jednocześnie.

Obliczanie adresu sieci i adresu rozgłoszeniowego wymaga wykonania operacji logicznej AND między adresem IP a maską podsieci w celu uzyskania adresu sieci, oraz operacji OR z maską uzupełnioną do jedynek dla adresu rozgłoszeniowego. W środowisku bezprzewodowym błędy w obliczeniach tych adresów mogą prowadzić do sytuacji, w której klienci nie mogą nawiązać łączności z serwerem DHCP lub ruch broadcast między segmentami jest blokowany przez nieprawidłowo skonfigurowane zapory sieciowe.

W praktyce administracyjnej sieci WLAN zaleca się prowadzenie dokumentacji adresowej zawierającej wyraźne oznaczenie adresów sieci i broadcast dla każdej podsieci, co ułatwia diagnozowanie problemów i planowanie rozbudowy infrastruktury. Narzędzia takie jak kalkulatory podsieci online czy wbudowane funkcje systemów zarządzania siecią pozwalają na szybkie i bezbłędne wyznaczanie tych adresów.

Routing między VLAN-ami, znany również jako inter-VLAN routing, stanowi kluczową technikę umożliwiającą komunikację między urządzeniami znajdującymi się w różnych sieciach VLAN, co w środowisku WLAN odpowiada komunikacji między klientami podłączonymi do różnych SSID. W standardowej architekturze VLAN, hosty w różnych sieciach VLAN nie mogą bezpośrednio komunikować się ze sobą na poziomie warstwy drugiej, ponieważ każda VLAN stanowi odrębną domenę rozgłoszeniową, a do wymiany danych niezbędny jest router działający na warstwie trzeciej. W praktyce sieci bezprzewodowej oznacza to, że klient podłączony do sieci gościnnej nie może bez zezwolenia uzyskać dostępu do zasobów sieci korporacyjnej.

Architektura router-on-a-stick, będąca elastycznym rozwiązaniem, wykorzystuje pojedynczy interfejs fizyczny routera podzielony na wiele subinterfejsów logicznych, z których każdy obsługuje inną sieć VLAN poprzez odpowiednie oznakowanie ramek 802.1Q. W konfiguracji tej łącze między routerem a przełącznikiem działa jako trunk, przenosząc ruch z wielu VLAN jednocześnie, a subinterfejsy routera pełnią funkcję bram domyślnych dla poszczególnych sieci VLAN. W środowisku WLAN kontroler sieci bezprzewodowej często pełni rolę router-on-a-stick, obsługując routing między VLAN-ami przypisanymi do różnych SSID na tym samym punkcie dostępowym.

Nowoczesne przełączniki wielowarstwowe oferują możliwość routingu między VLAN-ami bezpośrednio w sprzęcie, bez konieczności kierowania ruchu do zewnętrznego routera, co znacząco poprawia wydajność i redukuje opóźnienia w sieci bezprzewodowej. Niezależnie od wybranej metody, kluczowym aspektem jest zapewnienie spójności polityk bezpieczeństwa oraz odpowiedniego priorytetyzowania ruchu dla aplikacji wrażliwych na opóźnienia.

Rozróżnienie między roamingiem warstwy drugiej a mobilnością warstwy trzeciej ma kluczowe znaczenie dla zrozumienia ciągłości sesji w rozległych sieciach WLAN. Roaming L2 występuje w obrębie tej samej podsieci IP i polega na przełączaniu się stacji między punktami dostępowymi bez zmiany adresu IP. Mechanizm ten jest stosunkowo prosty i szybki, ponieważ adresacja IP pozostaje niezmieniona. Problem pojawia się jednak w momencie, gdy klient WLAN przekracza granicę podsieci i musi zmienić swój adres IP. Wówczas dotychczasowe połączenia warstwy transportowej, takie jak sesje TCP, zostają zerwane. Konieczne staje się zastosowanie protokołów mobilności L3, które ukrywają zmianę punktu przyłączenia przed aplikacjami.

Mobile IP, opisany w standardzie RFC 5944, jest protokołem warstwy trzeciej umożliwiającym utrzymanie stałego adresu macierzystego pomimo zmiany podsieci. Klient rejestruje swój adres tymczasowy u agenta macierzystego, który przekierowuje pakiety za pomocą tunelowania IP-in-IP. W sieciach WLAN mechanizm ten pozwala na swobodne przemieszczanie się między różnymi podsieciami bez przerywania aktywnych transmisji. Niestety, Mobile IP wprowadza dodatkowe opóźnienia związane z trójkątnym routingiem oraz koniecznością rejestracji u agenta macierzystego. Z tego powodu w praktycznych wdrożeniach często stosuje się szybsze mechanizmy, takie jak Proxy Mobile IPv6 czy protokoły własnościowe producentów kontrolerów WLAN.

IPsec jest zestawem protokołów zabezpieczających komunikację w warstwie trzeciej poprzez szyfrowanie i uwierzytelnianie każdego pakietu IP. W sieciach WLAN, gdzie transmisja radiowa jest podatna na przechwycenie, IPsec stanowi skuteczne zabezpieczenie przed podsłuchem i modyfikacją danych. Protokół ten działa w dwóch głównych trybach: transportowym, który szyfruje jedynie ładunek pakietu z zachowaniem oryginalnego nagłówka IP, oraz tunelowym, gdzie cały pakiet IP jest szyfrowany i umieszczany w nowym nagłówku. Tryb tunelowy jest powszechnie stosowany w sieciach VPN umożliwiających bezpieczne łączenie oddziałów firm z centralą przez publiczną infrastrukturę internetową.

Do wymiany kluczy szyfrowania IPsec wykorzystuje protokół IKE, który negocjuje parametry bezpieczeństwa i uwierzytelnia obie strony połączenia. IKE działa w dwóch fazach: pierwsza tworzy bezpieczny kanał sterujący, a druga negocjuje parametry dla konkretnego połączenia IPsec. W praktyce wdrożeniowej kluczowy jest dobór odpowiednich algorytmów szyfrowania, takich jak AES-GCM, oraz mechanizmów uwierzytelniania, na przykład certyfikatów X.509. W sieciach WLAN należy również uwzględnić wpływ szyfrowania IPsec na wydajność transmisji, ponieważ każdy pakiet wymaga dodatkowego przetwarzania obliczeniowego.

Anycast to technika adresacji warstwy trzeciej, w której ten sam adres IP jest przypisany do wielu fizycznych serwerów rozmieszczonych w różnych lokalizacjach geograficznych. Ruch kierowany na ten adres jest automatycznie przekierowywany do najbliższego dostępnego węzła, co poprawia czas odpowiedzi i zwiększa niezawodność usługi. Podstawą działania anycast jest protokół BGP, który umożliwia ogłaszanie tego samego prefiksu IP z wielu autonomicznych systemów. Routery w rdzeniu internetu wybierają najkrótszą ścieżkę do prefiksu na podstawie metryk BGP, co w praktyce oznacza kierowanie ruchu do serwera najbliższego geograficznie.

Najbardziej znanym zastosowaniem anycast jest system DNS, gdzie główne serwery nazw oraz wielu dostawców DNS używa anycast do dystrybucji zapytań na całym świecie. Dzięki temu zapytanie DNS trafia do najbliższego serwera, co skraca czas odpowiedzi i zwiększa odporność na ataki DDoS. Sieci CDN również intensywnie wykorzystują anycast do kierowania żądań klientów do najbliższego węzła z treściami. Należy jednak pamiętać, że anycast nie gwarantuje trwałości sesji, ponieważ zmiana topologii BGP może spowodować przekierowanie ruchu do innego węzła w trakcie trwania połączenia.

Kapsułkowanie, czyli enkapsulacja, jest fundamentalnym mechanizmem umożliwiającym przepływ danych przez wszystkie warstwy modelu OSI. W warstwie trzeciej dane pochodzące z warstwy transportowej, w postaci segmentów TCP lub datagramów UDP, zostają opakowane w pakiet IP poprzez dołączenie nagłówka zawierającego adresy źródłowy i docelowy. Proces enkapsulacji przebiega od góry stosu protokołów w dół, gdzie każda warstwa dodaje swój własny nagłówek do otrzymanych danych. W rezultacie segment z warstwy transportowej staje się pakietem w warstwie trzeciej, który następnie jest przekształcany w ramkę w warstwie łącza danych i ostatecznie w strumień bitów w warstwie fizycznej.

W sieciach WLAN proces enkapsulacji ma swoją specyfikę związaną z dodatkowym nagłówkiem 802.11, który zastępuje standardowy nagłówek Ethernet. Przed transmisją radiową pakiet IP zostaje opakowany w ramkę 802.11 zawierającą adresy MAC trzech lub czterech stron transmisji. Po stronie odbiorczej zachodzi proces odwrotny, czyli dekapsulacja, polegający na kolejnym odrzucaniu nagłówków poszczególnych warstw. Odbiornik rozpoczyna od interpretacji bitów w warstwie fizycznej, następnie odtwarza ramkę, z której wydobywa pakiet IP, a z niego segment transportowy.

Internet Rzeczy stawia przed warstwą trzecią nowe wyzwania związane z ograniczonymi zasobami obliczeniowymi i energetycznymi urządzeń końcowych. IPv6 jest naturalnym wyborem dla IoT ze względu na ogromną przestrzeń adresową umożliwiającą bezpośrednie adresowanie miliardów czujników bez konieczności stosowania translacji NAT. Rozszerzenie 6LoWPAN dostosowuje IPv6 do pracy w sieciach o małej mocy i niskiej przepływności, takich jak standard IEEE 802.15.4. Protokół ten wprowadza kompresję nagłówków IP z czterdziestu do zaledwie kilku bajtów, co jest kluczowe w sieciach czujników o ograniczonej przepustowości.

Protokoły Zigbee i Thread, działające powyżej warstwy łącza IEEE 802.15.4, korzystają z 6LoWPAN jako warstwy adaptacyjnej dla IPv6. Zigbee definiuje własny stos sieciowy i jest szeroko stosowane w automatyce budynkowej, oświetleniu i systemach inteligentnego domu. Thread natomiast został zaprojektowany jako protokół IP-natywny z mesh networking, co oznacza, że każde urządzenie może pełnić funkcję routera dla sąsiednich węzłów. W kontekście warstwy trzeciej, SLAAC umożliwia automatyczną konfigurację adresów IPv6 przez czujniki bez konieczności udziału serwera DHCP.