Síťový InženýrOdpovědi na Pohovor

Začínám s požadavky: počet uživatelů, aplikací, potřeby šířky pásma, požadavky na redundanci a bezpečnostní omezení. Navrhuji správnou úroveň redundance — ne všechno potřebuje N+2, ale kritické služby by neměly mít jediné místo selhání. Nejprve vytvářím logický návrh (struktura VLAN, návrh směrování, topologie WAN) a teprve potom přecházím na fyzickou vrstvu. Dokumentuji IP adresaci, politiky QoS a bezpečnostní zóny. Dále plánuji implementaci v etapách s postupy pro rollback v každém kroku.

BGP (Border Gateway Protocol) je směrovací protokol internetu — směruje provoz mezi autonomními systémy (AS). V podnikových prostředích používám eBGP pro připojení k internetu (k ISP), podklad SD‑WAN a pro vícecloudové propojení. iBGP se používá k šíření tras v rámci velkých podnikových sítí, kde není praktické používat OSPF nebo EIGRP. BGP umožňuje přesnou kontrolu výběru cesty pomocí atributů jako AS‑path, local preference, MED a communities. Je to vhodná volba, když potřebujete směrování založené na politice mezi autonomními systémy.

Řídím se strukturovaným postupem: jasně definovat problém (co je ovlivněné, co ne, kdy to začalo), shromáždit data (logy, upozornění monitoringu, statistiky rozhraní), vytvořit hypotézu, otestovat ji tak, aby nedošlo k dalšímu narušení, provést opravu a ověřit obnovu. Používám OSI model jako rámec — fyzická, linková, síťová, transportní vrstva. Kontroluji spanning tree, sousedy CDP/LLDP, směrovací tabulky a logy v logickém pořadí. Během kritického výpadku dokumentuji každý krok, abych měl časovou osu pro post‑mortem.

Navrhoval a nasazoval jsem SD‑WAN řešení pomocí Cisco Viptela, VMware (VeloCloud) a Fortinet Secure SD‑WAN. Nahradil jsem MPLS kombinacemi broadbandu + LTE pro podklad, implementoval politiky směrování orientované na aplikace, dynamický výběr cesty na základě SLA metrik (latence, jitter, ztráta) a centralizovanou správu. SD‑WAN výrazně snížil náklady na WAN a zároveň zlepšil výkon aplikací hostovaných v cloudu. Klíčem úspěšného nasazení SD‑WAN je jasná klasifikace provozu a navržení SLA politik předem.

Používám obranu v hloubce: hranová bezpečnost (next‑gen firewally, mitigace DDoS), segmentace sítě (VLANy, mikrosegmentace, zóny zero trust), řízení přístupu (NAC, 802.1X, hodnocení stavu zařízení), šifrované komunikace (IPSec VPN, MACsec pro interní spojení) a monitoring (NetFlow, integrace se SIEM, IDS/IPS). Uplatňuji zásadu nejmenších oprávnění v pravidlech firewallu — deny all, povolit výjimky. ACL a pravidla firewallu audituji čtvrtletně a provádím pravidelné hodnocení zranitelností. Bezpečnost je kontinuální praxe, ne jednorázová konfigurace.

Navrhoval jsem síťové architektury v AWS a Azure: návrh VPC/VNet, Transit Gateway a Virtual WAN pro hub‑and‑spoke, Direct Connect a ExpressRoute pro privátní konektivitu a AWS PrivateLink/Azure Private Endpoint pro bezpečný přístup ke službám. Implementuji cloud‑native bezpečnost: Security Groups, NACLs a NSGs. Používám Terraform k nasazení a správě cloudové síťové infrastruktury jako kódu. Rozumím modelu sdílené odpovědnosti a zajišťuji, že plníme naši část bezpečnostních požadavků u každého cloudového nasazení.

Mám [CCNP/CCIE/PCNSE/NSE4] a udržuji je aktuální prostřednictvím požadavků CPD. Sleduji release notes od Cisco a dalších dodavatelů pro platformy, které spravuji, účastním se dodavatelských webinářů a používám labovací prostředí (GNS3, EVE‑NG nebo vendor sandboxes) k testování nových technologií a konfigurací před nasazením do produkce. Také sleduji síťovou komunitu — PacketPushers, fóra network engineering a materiály z konferencí NANOG pro vznikající trendy a diskuze o reálných implementacích.

Řídím se strukturovaným procesem change managementu: veškeré změny jsou zdokumentované s podrobným plánem, rollback postupem a testovacím plánem. Kategorizuji změny podle rizika (standardní, menší, major, emergency) a směruji je přes Change Advisory Board (CAB). Major změny nejprve testuji v laboratoři. Produkční změny provádíme v definovaných oknech údržby s týmem na konferenční lince (bridge) a vedu živou časovou osu provedených změn. Ověření po změně potvrzuje úspěch před ukončením bridge. Také píšu runbooky, aby změny mohli provádět i ostatní členové týmu.