First batch

NETWORKING.md

@@ -183,7 +183,7 @@ Root DS → .com DNSKEY → .com DS → example.com DNSKEY → example.com RRSIG
 
 ### BGP path selection algoritmus
 
-BGP router vybírá jedinou nejlepší cestu podle následujících kriterií (v pořadí priority):
+BGP router vybírá jedinou nejlepší cestu podle následujících kritérií (v pořadí priority):
 
 1. **WEIGHT** (Cisco-specific) — nejvyšší weight (local to router)
 2. **LOCAL_PREF** — nejvyšší local preference (v rámci AS)
@@ -329,6 +329,165 @@ Viz také: [CLOUD.md](CLOUD.md) — cloud architektura, multi-AZ, hybrid cloud k
 - **Segment Routing (SR-MPLS / SRv6)** — zjednodušení MPLS, programovatelné cesty
 - **Zero Trust Networking** — mikrosegmentace, identity-based access, never trust / always verify
 
+## Rozšířená témata podle knih
+
+### TCP/IP Illustrated (Stevens, ISBN 978-0321336316)
+
+Klíčové architektonické principy dle knihy:
+
+- **End-to-End Argument** — korektnost a kompletnost komunikace může být zajištěna pouze na úrovni aplikace, nikoliv nižších vrstev. Síť má být "hloupá", koncové stanice "chytré".
+- **Fate Sharing** — veškerý stav nutný k udržení aktivní komunikace musí být uložen na koncových bodech (endpoints), nikoliv v síti.
+- **Layering** — hierarchické vrstvení protokolů dle OSI modelu; každá vrstva zapouzdřuje PDU z vyšší vrstvy a přidává vlastní hlavičku.
+- **Multiplexing/Demultiplexing** — protokoly na stejné vrstvě koexistují díky identifikátorům (IP proto, TCP/UDP port).
+- **Sliding window** — efektivní využití linky při vysoké latenci (window size = bandwidth × RTT).
+
+Kniha pokrývá celý TCP/IP stack od linkové vrstvy (Ethernet, ARP, PPP) přes IP, ICMP, DHCP, NAT, DNS, UDP, TCP (connection management, timeout, retransmission, congestion control, keepalive) až po aplikace (SNMP, Telnet, FTP, SMTP, NFS, HTTP).
+
+### AI Data Center Network Design (Subramaniam, ISBN 978-0-13-543628-8)
+
+Komplexní, vendor-agnostický průvodce návrhem síťové infrastruktury pro AI clustery.
+
+**Klíčové koncepty:**
+
+- **Rail-Optimized Design (ROD)** — propojení GPU napříč racky po "kolejích" (rail), každá kolej tvoří nezávislou síť pro all-reduce komunikaci. Minimalizuje latenci pro synchronní training.
+- **Rail-Unified Design (RUD)** — sdílená network fabric pro všechny GPU, flexibilnější, ale vyšší nároky na load balancing.
+- **RoCEv2 (RDMA over Converged Ethernet)** — primární transport pro AI clustery: vyžaduje lossless fabric (ECN, PFC, DCQCN, SFC, CSIG).
+- **Load balancing pro AI** — ECMP nestačí, nutné dynamic/global load balancing (DLB/GLB), flowlet-based rebalancing, per-packet spraying.
+- **Topologie** — Clos (3-stage/5-stage), Dragonfly, Torus pro škálování na desítky tisíc GPU.
+- **Ultra Ethernet Consortium (UEC)** — nový standard pro Ethernet v AI clastrech (2025+), řeší omezení RoCEv2.
+- **Storage pro AI** — NVMe-oF, GPUDirect Storage, parallel file systems pro checkpointing a dataset loading.
+- **KPIs** — Job Completion Time (JCT), tail latency, fabric utilization, PFC storm detection.
+
+### Cloud Networking and Resilience (Critelli, ISBN 979-8868824357)
+
+Praktický průvodce budováním resilientních cloudových sítí (Apress, 2026). Autor je EMEA Lead pro Networking & Resilience v AWS.
+
+**Vrstvový přístup k resilienci (podle OSI modelu):**
+
+| Vrstva | Opatření |
+|--------|----------|
+| L1 (Fyzická) | Redundantní přípojky, diverse fibre paths, DWDM |
+| L2 (Linková) | MLAG, LACP, spanning-tree rychlá konvergence |
+| L3 (Síťová) | BGP multi-homing, AS path prepend, Anycast |
+| L4 (Transportní) | Connection draining, slow start, health checky |
+| L7 (Aplikační) | DNS failover, global load balancing, cell-based architektury |
+
+**Regulatorní rámce:** DORA (Digital Operational Resilience Act), NIS2 — vyžadují pravidelné testování resiliency, chaos engineering, business continuity plány.
+
+**AIOps v resilienci:** ML-based predikce traffic patternů, automatické škálování, proaktivní fault detection (přechod od reaktivního monitoringu k prediktivní prevenci).
+
+### Zero Trust in Resilient Cloud and Network Architectures (Halley et al., ISBN 978-0-13-820460-0)
+
+Cisco Press — praktická příručka pro nasazení Zero Trust architektur v hybridních a cloudových prostředích.
+
+**Implementační rámec:**
+
+- **User and Device Trust** — ověření identity uživatele i zařízení před udělením přístupu (SSE — Security Service Edge).
+- **Application Access Policies** — granulární pravidla na úrovni aplikace, nikoliv IP adresy.
+- **Greenfield vs Brownfield** — nové sítě stavěné jako Zero Trust od základu vs. migrace existující infrastruktury.
+- **Automation** — Terraform, Ansible pro provisioning; Meraki, EVPN, Pub/Sub telemetrie.
+- **Industrial Zero Trust** — rozšíření konceptu do OT/ICS prostředí.
+- **Quantum security** — příprava na post-quantum kryptografii v síťových architekturách.
+
+### The Segmentation Blueprint (Kulkarni, ISBN 978-0-13-546236-2)
+
+Cisco Press (2026) — pragmatický průvodce segmentací sítě od VLAN po nanosegmentaci.
+
+**Evoluce segmentace:**
+
+| Generace | Technologie | Rozsah |
+|----------|-------------|--------|
+| Tradiční | VLAN, ACL, firewall | Podsíť / subnet |
+| Mikrosegmentace | Security Groups, Network Policies | Workload / instance |
+| Nanosegmentace | Service mesh (Istio, Linkerd), mTLS | Aplikace / API / proces |
+
+**Maturity model segmentace:**
+1. **Initial** — flat network, žádná segmentace
+2. **Basic** — VLANy, firewall mezi environmenty
+3. **Defined** — Security Groups, service access policies
+4. **Managed** — Mikrosegmentace, Network Policies, EVPN
+5. **Optimized** — Nanosegmentace, service mesh, Zero Trust, AI-driven policy management
+
+**Klíčová metrika:** Blast radius — kolik workloadů je ohroženo při kompromitaci jednoho uzlu. Cílem je redukce na minimum.
+
+### Segment Routing for SP and Enterprise Networks (Deragisch, ISBN 978-0-13-823101-9)
+
+Cisco Press (2024) — ucelený průvodce Segment Routingem pro MPLS i IPv6 data plane.
+
+**SR-MPLS vs SRv6:**
+
+| Vlastnost | SR-MPLS | SRv6 |
+|-----------|---------|------|
+| SID délka | 20 bit (MPLS label) | 128 bit (IPv6 address) |
+| Data plane | MPLS | IPv6 + SRH (Segment Routing Header) |
+| Signalizace | IGP (IS-IS/OSPF) extensions | IGP + BGP extensions |
+| Zrání | Mature, široce nasazeno | Emerging, standardizace dokončena |
+| Use case | SP sítě, MPLS migration | Cloud, DC, 5G, end-to-end programovatelnost |
+
+**Výhody SR oproti klasickému MPLS:**
+- Eliminace LDP/RSVP-TE (signaling je součástí IGP)
+- Traffic engineering state přesunutý z uzlů do packet headerů (source routing)
+- Fast reroute (FRR) bez dodatečných protokolů
+- Egress Peer Engineering (EPE) — výběr exit pointu AS
+- Mikro-loop avoidance při konvergenci
+
+**Migrační strategie:** Greenfield (nová síť), Brownfield (postupná migrace z MPLS), "SR in a box" — kombinace SR a LDP.
+
+### Understanding and Designing Azure Networking (Stuart, Moreno, 2025)
+
+Praktický průvodce návrhem Azure sítí od dvou Microsoft Solution Engineers (bývalí CCIE).
+
+**Klíčová témata:**
+
+| Oblast | Klíčové služby a koncepty |
+|--------|--------------------------|
+| **Topologie** | Hub-and-spoke, Virtual WAN, multi-hub designs, Azure Route Server |
+| **Hybridní konektivita** | ExpressRoute, VPN Gateway, SD-WAN integrace |
+| **Multi-cloud** | Azure ↔ AWS/GCP, cross-cloud fabrics |
+| **Bezpečnost** | NSG, Azure Firewall, DDoS Protection, WAF, AVNM, ZTNA |
+| **DNS & PaaS** | Private Link, Private DNS Zones, Private Resolver, hybrid DNS forwarding |
+| **Application delivery** | Azure Load Balancer, App Gateway, Front Door, Traffic Manager |
+| **Monitoring** | Network Watcher, Traffic Analytics, Azure Monitor, Policy-as-code |
+
+**Design decision framework:** Sbírej požadavky → analyzuj constraints → vyber topologii → implementuj → monitoruj.
+
+### Mastering Next-Gen Juniper Data Centers (Chatterjee, ISBN 978-0-13-533636-6)
+
+Addison-Wesley (2026) — hands-on průvodce EVPN VXLAN fabrikami na Juniper zařízeních.
+
+**Klíčové architektury:**
+
+- **EVPN VXLAN fabric** — multi-tenant overlay sítě s BGP EVPN control plane a VXLAN data plane.
+- **Multivendor interoperability** — detailní postupy pro EVPN napříč Juniper, Cisco NX-OS, Arista EOS.
+- **Multicast v EVPN VXLAN** — intra-subnet i inter-subnet multicast design (IGMP/MLD proxying, PIM, EVPN Type-6/7 routes).
+- **Day-2 operations** — Juniper Apstra pro automatizaci (Terraform provider), telemetrie (gNMI, OpenConfig).
+- **Service chaining** — propojení NGFW, load balancerů v rámci fabric.
+- **DCI s EVPN** — Over-the-Top (OTT) i Integrated Interconnect (VXLAN stitching, MPLS transit).
+
+**Evoluce od předchozí knihy (Deploying Juniper Data Centers with EVPN VXLAN, 2024):** Rozšíření o pokročilá témata — multicast, interoperability, Apstra Day-2, observability stack.
+
+### Intelligent Cloud Networking: AI-Driven Resource Management (Yadav, ISBN 9364220110)
+
+Průnik AI/ML a cloudového network managementu (Addition Publishing, 2026).
+
+**Aplikace AI v síťovém managementu:**
+
+| Oblast | Technika | Přínos |
+|--------|----------|--------|
+| **Flow prediction** | LSTM, Transformer | Predikce traffic patternů, proaktivní škálování |
+| **Flow classification** | CNN, RL | Identifikace typů provozu pro QoS |
+| **Load balancing** | DRL (Deep RL) | Dynamická distribuce zátěže, redukce congestion |
+| **Resource management** | Q-learning, DQN | Optimalizace alokace CPU/memory/network |
+| **Routing optimization** | DRL, GNN | Adaptivní routing podle aktuálních podmínek |
+| **Congestion control** | ML-based CC | Prediktivní řízení congeste (místo reakce na loss) |
+| **Anomaly detection** | Autoencoders, Isolation Forest | Detekce útoků a anomálií v reálném čase |
+| **Blockchain security** | Smart contracts | Decentralizované řízení přístupu, audit trail |
+
+**Technologické směry:**
+- **Ultra Ethernet Consortium (UEC)** — nová generace Ethernetu pro AI, lossless fabric, telemetrie, adaptive routing.
+- **Path Aware Networking** — aplikace si vybírá cestu podle aktuálních podmínek (latence, loss, cena).
+- **Self-optimizing networks** — uzavřená smyčka: telemetrie → AI analýza → automatická akce → zpětná vazba.
+
 ## Best practices
 
 - **Segmentace sítě** — oddělení environmentů (dev/staging/prod), vrstev (web/app/db)
@@ -394,3 +553,5 @@ PFS (Perfect Forward Secrecy) — při kompromitaci privátního klíče nelze d
 ```
 
 Typický řetěz: `Leaf Cert → Intermediate CA → Root CA` (self-signed, v trust store).
+
+*Poslední revize: 2026-06-03*