Podstawy CCNA — plan nauki i pierwsza sieć

Ten poradnik pomoże Ci połączyć osobne tematy CCNA w jeden obraz: prześledzić drogę pakietu, skonfigurować małą sieć i znaleźć usterkę zamiast zgadywać. W przykładowym laboratorium dwa logicznie oddzielone segmenty (VLAN-y) komunikują się przez routing, pobierają adresy z DHCP, a lista reguł dostępu (ACL) ogranicza ruch — każdy krok odpowiada konkretnej części egzaminu. Na dzień 12 września 2026 r. Cisco podaje jako obowiązujący egzamin 200-301 CCNA v1.1. „Domena” oznacza tu kategorię wymagań egzaminacyjnych; jest ich sześć: network fundamentals, network access, IP connectivity, IP services, security fundamentals oraz automation and programmability. Cisco opublikowało już tematy wersji 2.0, ale odświeżony egzamin ruszy 3 lutego 2027 r. Sprawdź stronę egzaminu ponownie przed rejestracją.

Jak dane przechodzą przez sieć

Model warstw dzieli przesyłanie na poziomy, z których każdy dodaje informacje potrzebne na swoim etapie. Aplikacja tworzy dane, warstwa transportowa dodaje porty TCP lub UDP, IP adresy źródłowy i docelowy, a Ethernet adresy MAC dla bieżącego łącza. To dokładanie nagłówków nazywa się enkapsulacją. Na każdym routerze ramka warstwy 2 jest budowana od nowa, lecz docelowy adres IP zwykle pozostaje ten sam. Warto rozumieć ten proces, a potem powiązać go z nazwami jednostek danych (PDU): data, segment/datagram, packet i frame.

Urządzenia i Ethernet

Przełącznik uczy się źródłowych adresów MAC i przekazuje ramkę według tablicy MAC. Nieznany unicast oraz broadcast zalewa w obrębie VLAN-u. Router rozdziela domeny broadcastowe i wybiera następny skok na podstawie tablicy routingu. Access point łączy klientów bezprzewodowych z siecią, firewall egzekwuje politykę, a kontroler centralizuje część zarządzania.

VLAN, trunk, STP i EtherChannel

VLAN logicznie rozdziela jedną fizyczną infrastrukturę warstwy 2 na osobne segmenty. Port access przenosi zwykle jeden VLAN, a trunk 802.1Q wiele VLAN-ów oznaczonych tagami. Native VLAN wymaga spójności po obu stronach. STP (Spanning Tree Protocol) zapobiega pętlom, wybierając główny przełącznik i blokując nadmiarowe ścieżki. EtherChannel łączy zgodne łącza w jeden kanał logiczny; LACP (Link Aggregation Control Protocol) negocjuje tę grupę. Ćwicz także wykrywanie niezgodności VLAN, trybu trunk i parametrów kanału.

IPv4, IPv6 i podsieci

Musisz sprawnie wyznaczać sieć, broadcast, zakres hostów i nowy prefiks bez kalkulatora, a narzędzie używać do kontroli. Zacznij od IPv4, CIDR i VLSM. ARP mapuje IPv4 na adres warstwy 2 w lokalnym segmencie. IPv6 używa Neighbor Discovery, link-local, globalnych i unique-local adresów; nie ma broadcastu. Zobacz poradnik IPv6.

Routing i OSPF

Router wybiera najdłuższy pasujący prefiks. Źródłem trasy może być sieć bezpośrednio podłączona, wpis statyczny albo protokół dynamiczny, w którym routery wymieniają informacje. Trasa domyślna jest używana dopiero, gdy nie ma bardziej szczegółowej. W OSPF (Open Shortest Path First) poznaj tworzenie sąsiedztwa, identyfikator routera, koszt ścieżki, wybór routerów DR/BDR w sieci współdzielonej i konfigurację jednego obszaru; rozumiej, co musi się zgadzać między sąsiadami.

Usługi IP i sieci bezprzewodowe

DHCP dostarcza konfigurację adresową, DNS zamienia nazwy na adresy, NTP synchronizuje czas, a SNMP i syslog pomagają obserwować urządzenia i zdarzenia. NAT tłumaczy adresy, QoS porządkuje obsługę ruchu, a SSH zapewnia szyfrowane zarządzanie zamiast niezabezpieczonego Telnetu. W Wi-Fi odróżniaj częstotliwości radiowe (RF), kanał, pasmo, nazwę sieci (SSID), uwierzytelnianie i szyfrowanie; problemy z zasięgiem, zakłóceniami i pojemnością mają inne objawy.

Bezpieczeństwo

Stosuj najmniejsze uprawnienia, AAA, silne uwierzytelnianie, segmentację i bezpieczne protokoły zarządzania. Standardowa ACL jest oparta głównie na adresie źródłowym, rozszerzona może uwzględniać protokół, adresy i porty. Kolejność reguł ma znaczenie, a na końcu istnieje niejawne odrzucenie. Naucz się także port security, DHCP snooping, dynamic ARP inspection oraz podstaw VPN i zabezpieczeń Wi-Fi.

Automatyzacja i programowalność

Sieć oparta na kontrolerze rozdziela część decyzji i zarządzania od urządzeń wykonawczych. REST API używa metod takich jak GET, POST, PUT/PATCH i DELETE oraz kodów HTTP. JSON zawiera obiekty, tablice i wartości typowane; odczytaj zagnieżdżoną odpowiedź i odróżnij uwierzytelnienie od autoryzacji. Automatyzacja nie usuwa potrzeby rozumienia protokołów — błąd szablonu skaluje się szybciej niż błąd ręczny.

Metoda diagnozy

1. Zdefiniuj objaw, zakres i ostatnią zmianę.
2. Sprawdź warstwę fizyczną, stan interfejsu i liczniki błędów.
3. Zweryfikuj VLAN, trunk, tablicę MAC i STP.
4. Sprawdź adres, prefiks, bramę, ARP/ND i tablicę routingu.
5. Testuj po kolei: lokalny stos, brama, następny skok, DNS i aplikacja.
6. Zapisz hipotezę, wykonaj jeden kontrolowany test i udokumentuj wynik.

Laboratorium: dwa VLAN-y, DHCP i ACL

Przygotuj osobne, odizolowane laboratorium: router R1 z podinterfejsami 802.1Q, przełącznik S1 warstwy 2 i dwa komputery. Nazwy portów poniżej odpowiadają układowi Cisco 1941 + Catalyst 2960, który można odtworzyć w zgodnym symulatorze. Użyj urządzeń z pustą konfiguracją, bez połączenia z siecią domową, firmową ani Internetem. Gdy Twój model inaczej nazywa porty, zamień ich nazwy w całym przykładzie.

Schemat połączeń: PC-A — S1 Fa0/1 (VLAN10); PC-B — S1 Fa0/2 (VLAN20); S1 G0/1 — R1 G0/0 (trunk 802.1Q).

1. Skonfiguruj przełącznik S1

Połącz wskazane porty przewodami Ethernet i wpisz polecenia w konsoli S1. Catalyst 2960 używa trunku 802.1Q; nie wymaga polecenia wyboru enkapsulacji trunku. VLAN10 i VLAN20 są tagowane, a nie używane jako native VLAN.

enable
configure terminal
hostname S1
vlan 10
 name LAB_A
exit
vlan 20
 name LAB_B
exit
interface FastEthernet0/1
 switchport mode access
 switchport access vlan 10
 no shutdown
exit
interface FastEthernet0/2
 switchport mode access
 switchport access vlan 20
 no shutdown
exit
interface GigabitEthernet0/1
 switchport mode trunk
 switchport trunk allowed vlan 10,20
 no shutdown
end

2. Skonfiguruj routing i DHCP na R1

Każdy podinterfejs jest bramą jednego VLAN-u. R1 sam obsługuje DHCP w obu bezpośrednio podłączonych podsieciach, więc ten wariant nie potrzebuje relay ani ip helper-address. Wyłączenia .1–.9 chronią bramę i osiem adresów pozostawionych poza pulą.

enable
configure terminal
hostname R1
service dhcp
interface GigabitEthernet0/0
 no ip address
 no shutdown
exit
interface GigabitEthernet0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0
exit
interface GigabitEthernet0/0.20
 encapsulation dot1Q 20
 ip address 192.168.20.1 255.255.255.0
exit
ip dhcp excluded-address 192.168.10.1 192.168.10.9
ip dhcp excluded-address 192.168.20.1 192.168.20.9
ip dhcp pool LAB_A
 network 192.168.10.0 255.255.255.0
 default-router 192.168.10.1
exit
ip dhcp pool LAB_B
 network 192.168.20.0 255.255.255.0
 default-router 192.168.20.1
end

3. Sprawdź stan przed filtrowaniem

Ustaw oba komputery jako klientów DHCP. Poczekaj, aż porty zaczną przekazywać ruch, i odczytaj adresy poleceniem ipconfig w konsoli PC. Zapisz faktyczny adres PC-A i PC-B; nie zakładaj, że serwer zawsze przydzieli pierwszy wolny adres. Testy korzystają z adresów liczbowych, dlatego w tym laboratorium nie konfigurujemy DNS.

Pierwsza próba ping może utracić pakiet podczas ustalania ARP; powtórz ją. Przy trwałym braku odpowiedzi sprawdź powyższe stany oraz zaporę systemu PC. Najpierw uzyskaj działającą komunikację przed ACL, aby później oceniać skutki jednej zmiany.

4. Dodaj ACL i porównaj kierunek ruchu

Na R1 odrzuć pakiety z VLAN20 do VLAN10 przy wejściu na G0/0.20. Końcowe permit pozostawia pozostały ruch do ćwiczenia; nie jest to kompletna polityka zapory.

configure terminal
ip access-list extended LAB20_IN
 deny ip 192.168.20.0 0.0.0.255 192.168.10.0 0.0.0.255
 permit ip any any
exit
interface GigabitEthernet0/0.20
 ip access-group LAB20_IN in
end
show ip access-lists LAB20_IN

Powtórz ping z PC-B do rzeczywistego adresu PC-A: odpowiedzi nie są już oczekiwane, a licznik reguły deny powinien wzrosnąć, jeśli platforma raportuje liczniki. Ping PC-B do 192.168.20.1 nadal powinien działać. Ping rozpoczęty w PC-A do PC-B także może nie otrzymać odpowiedzi: powrotny pakiet PC-B → PC-A spełnia regułę deny. Ta ACL nie śledzi stanu połączenia.

Kontrolowany powrót do stanu wyjściowego na R1:

configure terminal
interface GigabitEthernet0/0.20
 no ip access-group LAB20_IN in
end

Ponownie sprawdź ping między klientami. Powyżej podano oczekiwane stany wynikające z konfiguracji, a nie zapis testu wykonanego przez IPTools na urządzeniach. Składnię i działanie odniesiono do dokumentacji Cisco: routing między VLAN-ami, serwer DHCP oraz ACL; zgodność konkretnego obrazu IOS lub symulatora trzeba sprawdzić podczas własnego uruchomienia.

Plan ośmiu tygodni i dalsze laboratoria

Po ukończeniu powyższego ćwiczenia rozbuduj osobne laboratoria o drugi przełącznik, STP, EtherChannel i routing między routerami. DHCP relay, OSPF, NAT i IPv6 wymagają dodatkowej topologii i konfiguracji; nie są częścią powyższego gotowego przykładu.

1. Tydzień 1: modele, Ethernet, adresacja.
2. 2: subnetting i VLSM.
3. 3: VLAN, trunk, STP, EtherChannel.
4. 4: routing statyczny i OSPF.
5. 5: IPv6 i usługi IP.
6. 6: wireless i bezpieczeństwo.
7. 7: automatyzacja, API, JSON.
8. 8: pełne laboratoria i próbne pytania według aktualnego blueprintu.

Ten poradnik jest mapą nauki, nie zamiennikiem oficjalnego blueprintu ani pełnego kursu. Wersję egzaminu i wagi domen sprawdzaj bezpośrednio u Cisco.