Redes para suporte de TI

Uma rede permite que dispositivos conectados troquem dados e compartilhem recursos. Seu nome informa seu alcance ou sua finalidade. Um cabo, um enlace de rádio e um túnel criptografado descrevem partes diferentes desse conjunto, portanto vários nomes de rede podem se aplicar a uma instalação.

De uma pessoa a várias instalações

Uma WLAN pertence à rede local; sem fio não significa internet. Um tablet pode acessar uma impressora local por Wi-Fi mesmo durante uma interrupção da internet. O roteador conecta essa rede local à WAN do provedor. A internet é a maior WAN.

A quantidade de dispositivos não determina o tipo. Três dispositivos em um apartamento e centenas de dispositivos em uma instalação de escritório podem formar LANs. Ao classificar uma rede, pergunte para onde vão seus enlaces e a que eles atendem.

O armazenamento tem sua própria distinção

Uma rede de área de armazenamento (SAN) dá aos servidores acesso a armazenamento compartilhado como blocos de disco. Um servidor vê esse armazenamento de modo semelhante a uma unidade conectada. O armazenamento conectado à rede (NAS) compartilha arquivos e pastas pela LAN comum. Um usuário que abre uma pasta compartilhada em um NAS está usando compartilhamento de arquivos; a presença de armazenamento em rede, por si só, não transforma a LAN do escritório em uma SAN.

Uma conexão privada sobre outra rede

Uma rede privada virtual (VPN) cria um túnel criptografado sobre uma rede existente, geralmente a internet. Uma VPN de acesso remoto conecta o dispositivo de um usuário à rede de um escritório. Uma VPN entre instalações conecta duas LANs de escritórios. O túnel protege o tráfego entre suas extremidades contra leitura ou alteração em trânsito. O cuidado com os dispositivos finais e a confiança nos sites continuam sendo tarefas separadas.

Acompanhe a conexão de uma pequena empresa

Uma oficina de reparos tem computadores de mesa cabeados, tablets com Wi-Fi e o celular de um técnico pareado com fones de ouvido. Os computadores usam a LAN, os tablets usam sua WLAN e os fones usam uma PAN. Uma filial em outra cidade acessa a oficina por uma VPN entre instalações transportada pela internet.

Se a oficina perder o acesso à internet, mas seu compartilhamento local de arquivos ainda abrir, a LAN continua transportando tráfego local. Verifique o lado da WAN antes de substituir o comutador da LAN. Se apenas um trabalhador em casa perder o acesso aos arquivos do escritório enquanto sites comuns funcionam, a VPN de acesso remoto é um bom ponto de verificação. Esses nomes ajudam a localizar a conexão afetada antes que alguém altere configurações.

Ao acompanhar um pacote de um notebook em direção à internet, você encontra várias funções: conectar-se à rede local, transportar tráfego dentro dela e encaminhar tráfego para outras redes. Um roteador de pequeno escritório ou residência (SOHO) costuma executar as três, mas cada função tem um nome diferente.

Conexões locais e limites da rede

Uma placa de rede (NIC) conecta um dispositivo por Ethernet ou Wi-Fi. Seu endereço de controle de acesso à mídia (MAC) normalmente tem 48 bits, escritos como 12 dígitos hexadecimais, como 3C-52-82-1A-7F-09. Endereços atribuídos pelo fabricante geralmente o identificam na primeira metade. Endereços Wi-Fi privados podem ser diferentes do endereço de hardware, portanto use o endereço realmente visto naquela rede ao definir configurações baseadas no dispositivo.

Um comutador aprende quais endereços são acessíveis por cada porta. Ele envia o tráfego unicast conhecido para a porta de destino; transmissões para todos e destinos desconhecidos são enviados às outras portas da mesma rede lógica. Um hub antigo repete sinais para todas as portas, compartilhando a capacidade e permitindo colisões.

Um comutador não gerenciável funciona sem configuração. Um comutador gerenciável oferece configurações e monitoramento. Suas redes locais virtuais (VLANs) dividem uma rede física em redes lógicas, como redes de funcionários e de convidados. A comunicação entre VLANs precisa de um roteador ou firewall. Um painel de conexão não faz comutação: cabos curtos ligam suas portas a um comutador enquanto os cabos permanentes da parede permanecem no lugar.

Leve energia junto com os dados

A alimentação pela Ethernet (PoE) alimenta pontos de acesso, câmeras e telefones IP por cabo de par trançado. Um comutador PoE fornece essa energia diretamente; um injetor a acrescenta a um enlace de um comutador comum.

Parte da energia é perdida no cabo. Verifique tanto o padrão de cada porta quanto o orçamento total do comutador. Três pontos de acesso PoE+ e quatro câmeras 802.3af podem exigir:

Um comutador de 150 W fica 1,6 W abaixo desse máximo planejado. Use um orçamento maior ou alimente uma câmera por um injetor com fonte própria.

Verifique o equipamento antes de alterá-lo

Um equipamento SOHO normalmente combina roteador, comutador LAN, AP, firewall, servidor de endereçamento automático e encaminhador de serviço de nomes. Um gateway do provedor também pode conter o modem. Ampliar a cobertura Wi-Fi pode exigir apenas um AP; substituir todo o gateway altera vários serviços de uma vez. Identifique cada equipamento pelas funções que ele realmente oferece.

Um host é um dispositivo com endereço de rede. Um servidor fornece serviços a outros dispositivos, chamados clientes. As funções de servidor descrevem trabalhos, não necessariamente máquinas físicas separadas: um computador pode executar várias funções, e um serviço pode funcionar em uma máquina virtual.

Associe a solicitação ao serviço

Um usuário pode acessar uma página web e ainda assim não conseguir abrir um banco de dados de contabilidade. Essas solicitações dependem de serviços diferentes. Identifique a função que falhou antes de concluir que todos os servidores estão indisponíveis.

É fácil esquecer o horário. A autenticação em domínio Windows normalmente permite uma diferença de relógio de até cinco minutos. Um PC nove minutos adiantado pode falhar na entrada mesmo com a senha correta. Sincronizar com a fonte de horário da rede trata a causa. O horário correto também contribui para as verificações de certificados e permite que técnicos comparem os horários dos eventos.

Reúna eventos e controle o acesso

Um servidor syslog reúne mensagens de dispositivos de rede e hosts, tradicionalmente por UDP 514. Registros centralizados permitem que um técnico compare um evento de comutador com um evento de firewall no mesmo horário.

Um servidor AAA oferece autenticação, autorização e contabilização: quem você é, o que pode fazer e um registro de sua atividade. Um servidor RADIUS pode verificar as contas Wi-Fi dos funcionários e registrar a atividade das sessões. Uma entrada bem-sucedida e a permissão para abrir um recurso são decisões separadas.

Reconheça equipamentos de rede

Um gateway de spam filtra mensagens recebidas antes da entrega. Um equipamento de gerenciamento unificado de ameaças (UTM) combina funções como firewall, prevenção de intrusões, verificação de malware e filtragem web. Um proxy faz solicitações em nome dos clientes e pode filtrá-las, armazená-las em cache ou registrá-las. Um balanceador de carga distribui solicitações entre servidores e evita servidores que falham nas verificações de integridade. Esses dispositivos podem estar no caminho do tráfego mesmo quando o computador do usuário está funcionando bem.

Dê suporte a dispositivos com controle limitado

Um sistema legado é um sistema antigo ainda em uso. Um sistema embarcado é um computador incorporado a um dispositivo para uma função específica. Nenhum desses nomes, por si só, indica se há atualizações. Verifique o produto e seu status de suporte.

Sistemas de supervisão, controle e aquisição de dados (SCADA) monitoram e controlam equipamentos como bombas e linhas de produção. Quando atualizações rápidas ou substituições são inviáveis, redes separadas e rigorosamente restritas reduzem a exposição. Dispositivos da Internet das Coisas (IoT) detectam condições ou atuam no mundo físico: câmeras, fechaduras e termostatos são exemplos. Altere as senhas padrão, aplique atualizações de firmware e separe-os dos computadores da empresa. O suporte a atualizações e as configurações disponíveis variam conforme o produto.

Um provedor de serviços de internet (ISP) conecta uma instalação à internet. Escolha um serviço conforme o trabalho das pessoas, as conexões disponíveis no local e os equipamentos necessários. Um número alto de velocidade de download, por si só, pode esconder um envio lento ou um atraso longo.

Compare os caminhos de conexão

Uma ONT converte o sinal de fibra em uma conexão que o roteador pode usar. A internet a cabo costuma usar um conector coaxial tipo F rosqueável. Uma linha digital de assinante (DSL) usa o conector telefônico RJ11, menor. Quando o serviço de voz compartilha a linha DSL, um filtro separa os sinais. A fibra que chega apenas até um armário na rua ainda deixa um trecho final de cobre cujo comprimento afeta a velocidade.

Interprete bits, bytes e as duas direções

Largura de banda é uma taxa de dados, geralmente em megabits por segundo (Mbps) ou gigabits por segundo (Gbps). Tamanhos de arquivo usam bytes: um byte contém oito bits. Um serviço de 100 Mbps pode transportar no máximo cerca de 12,5 megabytes por segundo (MB/s), antes da sobrecarga.

Para um download de 1,5 GB a 100 Mbps, converta o tamanho decimal do arquivo em megabits e divida:

Esse é o melhor caso, de dois minutos. A sobrecarga dos protocolos e o tráfego concorrente aumentam o tempo real.

Um plano assimétrico de 500/50 Mbps oferece até 500 Mbps de recebimento e 50 Mbps de envio. Um envio de 2 GB contém 16.000 megabits e leva pelo menos 320 segundos a 50 Mbps. Usar a taxa de recebimento levaria à previsão incorreta de 32 segundos. Backups e envio de vídeo usam a capacidade de envio.

Atraso é diferente de capacidade

Latência mede o atraso. Uma medição de ida e volta, como ping, informa em milissegundos o tempo de uma solicitação e sua resposta. Baixo atraso ajuda em chamadas, jogos e trabalho com área de trabalho remota, mesmo quando as taxas de dados são modestas.

Satélites geoestacionários orbitam a cerca de 35.786 km acima do equador. Apenas o longo trajeto de ida e volta leva cerca de 0,48 segundos; a latência típica de ida e volta é de aproximadamente 600 ms. Sistemas em órbita terrestre baixa usam satélites muito mais baixos e frequentemente alcançam cerca de 20–60 ms, com resultados que dependem do serviço e das condições.

Um escritório que faz chamadas enquanto envia backups se beneficia de fibra simétrica, se disponível. Uma oficina remota pode comparar rede sem fio fixa, rede móvel e satélite pelas condições de sinal e pelo atraso, além da velocidade. Uma segunda conexão, como uma conexão móvel de contingência, pode manter o trabalho essencial em andamento quando o enlace principal falha.

Escolha um cabo considerando a velocidade necessária, o comprimento completo do enlace, os conectores, a interferência e o espaço de instalação. Um comutador mais rápido não elimina uma limitação no caminho do cabo. Inclua cabos de conexão e conectores ao verificar o canal completo.

Ethernet por cobre

O cabo de par trançado tem quatro pares de fios de cobre. O trançamento ajuda a cancelar interferências elétricas. O par trançado não blindado (UTP) é adequado para escritórios comuns. O par trançado blindado (STP) acrescenta blindagem para locais com ruído elétrico e precisa de aterramento adequado.

O canal de 100 m normalmente permite 90 m de cabo fixo mais 10 m de cabos de conexão. Componentes de categoria inferior reduzem o desempenho que o canal completo pode garantir. Um cabo de conexão Cat5e em uma instalação Cat6a impede que todo o caminho seja tratado como Cat6a apenas porque o cabo fixo tem essa classificação.

A Ethernet usa um conector RJ45 de oito contatos. O RJ11, menor, é usado para conexões telefônicas e DSL. Eles servem a sinais diferentes.

Coloque cada fio no pino correto

Segure o plugue RJ45 com os contatos para cima, a trava para baixo e o pino 1 à esquerda. T568B, pinos 1 a 8, é branco/laranja, laranja, branco/verde, azul, branco/azul, verde, branco/marrom, marrom. O T568A troca os pares verde e laranja: branco/verde, verde, branco/laranja, azul, branco/azul, laranja, branco/marrom, marrom.

O mesmo padrão nas duas extremidades produz um cabo direto, usado em quase todas as conexões atuais. T568A em uma extremidade e T568B na outra produz o conhecido arranjo de cabo cruzado usado em enlaces antigos. Portas auto-MDI-X modernas se ajustam automaticamente. Siga o padrão do edifício de forma consistente.

Escolha a capa e o meio adequados

Um cabo classificado para plenum limita a propagação de chamas e a fumaça em espaços usados para circulação de ar, como um espaço de retorno de ar no teto. Um teto suspenso, por si só, não identifica um plenum. Use a classificação de capa exigida para o espaço real. Um cabo para enterramento direto é projetado para instalação no solo sem conduíte; a adequação para uso externo e enterramento deve corresponder ao trajeto.

Um cabo coaxial tem um condutor central cercado por isolamento e blindagem. RG6 com conector tipo F rosqueável atende à internet e à TV a cabo; RG59 e conectores BNC aparecem em instalações de vídeo antigas.

A fibra conduz luz, resiste à interferência elétrica e evita um caminho condutor entre edifícios. A fibra monomodo tem um núcleo de aproximadamente 9 µm e suporta enlaces longos com componentes ópticos a laser compatíveis. A fibra multimodo tem núcleo de 50 ou 62,5 µm e atende a enlaces mais curtos; 10GBASE-SR alcança cerca de 300 m em OM3 e 400 m em OM4. Combine o tipo de fibra e os dois transceptores. Conectores ST travam por giro, conectores SC encaixam ao empurrar e soltam ao puxar, e conectores LC, menores, têm trava.

Nunca olhe para a extremidade de uma fibra ou para uma porta óptica; a luz invisível do laser pode ferir seus olhos.

Para um trecho de 70 m e 10 Gbps por um teto de retorno de ar, escolha Cat6a classificado para plenum. Para um enlace de 400 m entre edifícios, a fibra atende ao alcance e à separação elétrica; a monomodo também deixa margem para expansão. OM4 com componentes ópticos adequados de 10 Gbps pode alcançar 400 m, mas tem pouca margem de distância.

Uma falha de cabo pode ser um condutor danificado, uma terminação ruim, um trajeto desconhecido ou um enlace que não atende ao requisito de desempenho. Escolha uma ferramenta que responda à pergunta concreta. Um teste bem-sucedido só tem significado dentro do que aquela ferramenta mede.

Monte e termine o enlace

Um decapador remove a capa sem cortar os condutores. Um alicate de crimpagem fixa um plugue modular: os contatos penetram nos fios e o alívio de tração prende a capa. Uma ferramenta de inserção por impacto pressiona os fios nos contatos de tomadas de parede, painéis de conexão ou blocos e corta suas extremidades.

Para fazer um cabo de conexão T568B:

1. Remova cerca de 25 mm da capa sem danificar os fios.
2. Organize os condutores na ordem T568B: branco/laranja, laranja, branco/verde, azul, branco/azul, verde, branco/marrom, marrom.
3. Corte as extremidades uniformemente, em cerca de 13 mm para um plugue adequado.
4. Insira os fios completamente, com a capa presa dentro do alívio de tração, e depois crimpe.
5. Termine a outra extremidade conforme o mesmo padrão e teste o cabo.

Use conectores adequados ao cabo e siga suas instruções de preparação. Em uma tomada ou painel, siga as indicações A ou B impressas. Mantenha os pares trançados até cerca de 13 mm da terminação; trechos longos destrançados aumentam a interferência entre os pares.

Teste a fiação ou certifique o desempenho

Um testador de cabos conecta uma unidade principal e uma unidade remota a extremidades opostas. Seu mapa de fios revela um condutor em circuito aberto, um curto-circuito entre condutores ou uma ligação incorreta. Um teste básico de oito luzes comprova a continuidade e a ordem dos pinos. Um certificador de cabos mede propriedades como comprimento, perda e diafonia para avaliar um canal classificado. Oito luzes, por si só, não comprovam desempenho de 10 Gbps.

Um gerador de tom e sonda rastreia um cabo. Conecte o gerador de tom a uma extremidade e use a sonda para localizar o cabo ou a porta do painel correspondente. O rastreamento identifica o trajeto; um teste de mapa de fios verifica suas conexões. Um plugue de teste de retorno devolve sinais transmitidos ao lado de recepção de uma porta para testar a interface localmente. Passar nesse teste ainda deixa o cabo real e o dispositivo da outra extremidade para verificar.

Observe sinais de rádio e tráfego em tempo real

Um analisador de Wi-Fi mostra nomes de rede, canais e intensidade do sinal recebido. A intensidade costuma ser um valor negativo em dBm: −50 dBm é mais forte que −75 dBm. Cerca de −67 dBm é uma meta comum de planejamento para voz e vídeo; o serviço real também depende de ruído e congestionamento. Valores abaixo de cerca de −80 dBm frequentemente resultam em serviço pouco confiável.

Um dispositivo de captura de tráfego de rede copia o tráfego de um enlace para uma porta de monitoramento usada por um analisador de pacotes ou monitor de segurança. Ele observa o tráfego; não atribui endereços aos clientes nem repara o cabeamento.

Examine uma tomada de parede desconhecida

Um notebook e um cabo de conexão de funcionamento comprovado falham em uma mesa recém-ocupada. Rastreie o cabo da parede até o painel de conexão com um gerador de tom. Teste entre o painel e a tomada de parede: o fio 3 está em circuito aberto. Inspecione e refaça a inserção na terminação afetada, teste novamente o mapa de fios e conecte a porta identificada do painel ao comutador. Por fim, verifique uma conexão de rede real. Substituir o cabo de conexão da mesa, já testado, deixaria a falha no enlace permanente.

Um endereço do Protocolo de Internet versão 4 (IPv4) identifica uma interface em uma rede. Ele contém 32 bits, exibidos como quatro octetos decimais separados por pontos. Cada octeto vai de 0 a 255, portanto 192.168.1.25 é uma notação válida e 192.168.1.300 não é.

Entenda a função de cada configuração

O servidor do Sistema de Nomes de Domínio (DNS) pode compartilhar o endereço do gateway porque um roteador frequentemente fornece ambos os serviços. As funções continuam separadas. Dispositivos podem se comunicar localmente sem um gateway; serviços de internet acessados por nome precisam das configurações adequadas de endereçamento, gateway e resolução de nomes.

Com a máscara 255.255.255.0, também chamada /24, os três primeiros octetos identificam a rede. 192.168.1.37 e 192.168.1.200 são locais um em relação ao outro. 192.168.0.200 está em outra rede. Nessa /24, .0 identifica a rede, .255 é o endereço de transmissão para todos e .1 a .254 são os 254 endereços de dispositivos. Um endereço deve ser único em sua rede local.

Reconheça endereços privados e especiais

As faixas IPv4 privadas são 10.0.0.0–10.255.255.255, 172.16.0.0–172.31.255.255 e 192.168.0.0–192.168.255.255. Elas podem ser reutilizadas dentro de organizações separadas e não são roteadas pela internet pública. Um roteador SOHO usa tradução de endereços de rede (NAT) para que clientes privados compartilhem um endereço IPv4 público. Verifique a faixa completa: 172.20.5.4 é privado; 172.32.0.1 está fora dela.

127.0.0.1 é o retorno local, que significa o próprio dispositivo. Enviar um ping a ele verifica o software de rede local sem enviar tráfego pelo cabo ou Wi-Fi.

169.254.x.x pertence ao endereçamento IPv4 de link local. O Windows chama o uso automático desses endereços de endereçamento IP privado automático (APIPA). Em um cliente Windows configurado para obter as configurações automaticamente, isso geralmente significa que não foi obtida uma concessão DHCP utilizável. Ele permite comunicação no enlace local, mas não fornece acesso roteado à internet. Um endereço de link local, por si só, identifica um sintoma, não qual cabo, servidor ou configuração o causou.

Interprete uma configuração real

No Windows, ipconfig mostra endereço, máscara e gateway. ipconfig /all acrescenta servidores DNS, endereço MAC físico, status do DHCP, concessão e seu servidor. No macOS, use Ajustes do Sistema > Rede > conexão > Detalhes; ifconfig lista informações da interface. No Linux, ip addr lista endereços e ip route mostra o gateway após “default via”.

Um PC com 192.168.1.37/24, gateway 192.168.1.1 e DNS 192.168.1.1 tem configurações consistentes. Outro PC com 169.254.88.14 e sem gateway precisa que o processo de endereçamento automático seja verificado. Confirme sua conexão física ou Wi-Fi e o serviço DHCP antes de solicitar uma nova concessão. Um gateway incorreto pode deixar a impressão local funcionando enquanto destinos externos falham.

A maioria dos dispositivos clientes deve obter suas configurações automaticamente. Alguns dispositivos precisam de um endereço previsível para que usuários e aplicativos possam encontrá-los. Escolha um método de endereçamento que atenda a essa necessidade e continue fácil de gerenciar quando a rede mudar.

Escolha quem controla as configurações

O Protocolo de Configuração Dinâmica de Hosts (DHCP) fornece as configurações de endereço, máscara, gateway e DNS. Um notebook móvel pode entrar em outra rede e receber as configurações adequadas para ela. Uma entrada estática permanece no dispositivo até ser alterada. Uma reserva mantém o dispositivo no DHCP, mas instrui o servidor a continuar atribuindo o mesmo endereço a ele.

Verifique o endereço que o servidor realmente vê, especialmente em dispositivos Wi-Fi que usam endereços MAC privados. Se esse identificador mudar, uma reserva existente pode deixar de corresponder.

Escolha um endereço estático seguro

Suponha que um roteador use 192.168.1.1/24 e seu intervalo DHCP vá de 192.168.1.100 a 192.168.1.199. Uma impressora pode usar 192.168.1.20 se esse endereço estiver livre e registrado. Insira a máscara 255.255.255.0, o gateway 192.168.1.1 e o servidor DNS aprovado para a rede.

Verifique as três condições do endereço:

1. O endereço estático pertence à rede local do gateway.
2. O DHCP não o atribuirá a outro cliente: ele está fora do intervalo ou foi excluído.
3. Nenhum outro dispositivo já o usa.

Um endereço fora do intervalo DHCP não está necessariamente livre. Outro técnico pode já tê-lo atribuído manualmente. Verifique os registros da instalação e os dispositivos atuais antes de usá-lo.

Interprete o sintoma causado por um campo incorreto

Um endereço IP duplicado pode causar acesso intermitente quando dois dispositivos reivindicam o mesmo endereço. Escolher um endereço manual dentro de um intervalo DHCP ativo cria esse risco quando o servidor o atribui posteriormente. Mova o endereço manual para fora do intervalo ou exclua-o e documente a alteração.

Uma máscara incorreta muda quais destinos o cliente considera locais. Um gateway ausente bloqueia outras redes enquanto recursos locais podem funcionar. Configurações DNS incorretas impedem consultas de nomes mesmo quando conexões a endereços IP conhecidos continuam funcionando. Um notebook mantido com uma configuração residencial estática pode, portanto, falhar ao entrar em uma rede de escritório.

Lide com a substituição de um roteador

Um roteador antigo usava 192.168.0.x; seu substituto usa 192.168.1.x. Uma impressora ainda fixada em 192.168.0.50/24 está agora na rede errada para os PCs. Mantenha a faixa LAN antiga no roteador substituto ou mude a impressora para um endereço não utilizado na nova faixa. Atualize as portas da impressora nos PCs se o endereço dela mudar. Renovar repetidamente as concessões dos PCs não alterará uma impressora configurada manualmente.

Um servidor DHCP fornece automaticamente configurações IP aos clientes. Em uma rede pequena, ele costuma fazer parte do roteador. O servidor gerencia endereços para uma rede e fornece opções como máscara de sub-rede, gateway padrão, servidores DNS e duração da concessão.

Acompanhe o DORA

Um novo cliente IPv4 normalmente usa quatro mensagens, lembradas pela sigla DORA:

1. Discover: o cliente transmite uma solicitação para encontrar um servidor.
2. Offer: um servidor propõe um endereço e configurações.
3. Request: o cliente solicita o uso de uma oferta selecionada.
4. Acknowledge: o servidor confirma a concessão e suas opções.

O DHCP usa UDP 67 no servidor e UDP 68 no cliente. A transmissão inicial permanece na rede local, a menos que um roteador a retransmita. Um cliente conectado não consegue obter uma concessão de um servidor inacessível apenas porque ele existe em outro ponto da organização.

Planeje endereços suficientes

Um escopo DHCP combina um intervalo de endereços com as opções dessa rede. Uma exclusão DHCP remove endereços da atribuição automática, muitas vezes para proteger dispositivos configurados manualmente. Uma reserva DHCP associa um endereço ao endereço MAC de um cliente.

Um intervalo de 192.168.1.100 a 192.168.1.199 contém 100 endereços porque as duas extremidades são contadas. Excluir .100 a .109 remove 10, deixando 90. Se 95 novos clientes precisarem simultaneamente de concessões e nenhum tiver uma concessão utilizável, cinco não conseguirão obtê-la. Clientes Windows nessa situação podem passar a usar endereços de link local 169.254.x.x. A ampliação de um intervalo ainda deve respeitar as atribuições estáticas e a faixa da rede local.

Entenda os tempos da concessão

Uma concessão DHCP autoriza o cliente a usar seu endereço por tempo limitado. Com as proporções padrão dos temporizadores, uma concessão de 24 horas é renovada com o servidor original após 12 horas. Se não conseguir, o cliente tenta qualquer servidor disponível após 21 horas. Quando a concessão expira sem renovação, ele deve deixar de usar o endereço concedido.

Clientes existentes com concessões válidas podem continuar funcionando durante uma interrupção do DHCP. Um cliente reiniciado muitas vezes pode reutilizar uma concessão memorizada que não expirou. Novos clientes sem concessões utilizáveis falham primeiro, portanto o fato de usuários já conectados funcionarem não elimina a suspeita sobre o DHCP.

No Windows, ipconfig /release libera uma concessão; ipconfig /renew solicita uma. Liberar a concessão interrompe a conexão desse cliente. Use esses comandos depois de verificar que existe um caminho funcional até o serviço DHCP desejado.

Reconheça configurações concorrentes ou incompatíveis

Um servidor DHCP não autorizado não tem autorização. Um roteador residencial sobressalente conectado por uma porta LAN pode oferecer a rede ou o gateway incorreto, produzindo resultados diferentes para clientes diferentes. Remova o serviço indesejado ou configure o dispositivo sobressalente como ponto de acesso com o DHCP desativado. Vários servidores autorizados são válidos quando configurados para coordenar suas ações.

Reservas dependem de um endereço MAC correspondente. Um MAC Wi-Fi privado fixo pode ser reservado; um que muda deixará de corresponder. Verifique o endereço visto pelo roteador e a configuração de privacidade do dispositivo para aquela rede.

O DHCP pode fornecer um endereço correto e um servidor DNS incorreto. Nesse caso, a concessão é bem-sucedida, mas o acesso a sites pelo nome falha. Inspecione as opções fornecidas, além do endereço.

O Protocolo de Internet versão 6 (IPv6) usa endereços de 128 bits. Os cerca de 4,3 bilhões de endereços possíveis do IPv4 são insuficientes para dar a cada dispositivo um endereço público exclusivo. O IPv6 oferece um espaço muito maior e geralmente funciona junto com o IPv4.

Interprete e abrevie a notação

Um endereço completo tem oito grupos de quatro dígitos hexadecimais, separados por dois-pontos. A notação hexadecimal usa 0–9 e a–f. Comece com:

2001:0db8:0000:0000:0000:ff00:0042:8329

Primeiro, remova os zeros à esquerda dentro dos grupos:

2001:db8:0:0:0:ff00:42:8329

Depois, substitua uma sequência consecutiva de grupos de zeros por :::

2001:db8::ff00:42:8329

Use :: no máximo uma vez. Duas ocorrências deixam incertas as posições dos grupos ausentes. Remova apenas zeros à esquerda: mudar db80 para db8 altera o endereço. Expanda um endereço abreviado restaurando grupos de zeros suficientes para formar oito grupos no total.

Reconheça os tipos de endereço

Uma interface com IPv6 habilitado cria automaticamente um endereço de link local. Ter um é normal. Um endereço global indica escopo global, mas o acesso funcional à internet também exige uma rota adequada e tráfego permitido. Um dispositivo pode ter ao mesmo tempo um endereço de link local, vários endereços globais e endereços temporários de privacidade que mudam. Isso não é um conflito de endereços.

O sufixo /64 normalmente indica o comprimento do prefixo de uma LAN. Um marcador de interface como %12 em fe80::1%12 identifica a interface de rede local; ele não faz parte do endereço.

Saiba de onde vêm as configurações

Com a autoconfiguração de endereços sem estado (SLAAC), o roteador anuncia um prefixo e o cliente cria um endereço. O DHCPv6 pode fornecer endereços ou outras configurações, incluindo servidores DNS. Os anúncios do roteador fornecem as informações do roteador padrão; o gateway muitas vezes aparece como um endereço de link local, como fe80::1.

Pilha dupla significa executar IPv4 e IPv6 juntos. Uma listagem do Windows pode mostrar um endereço IPv6 global, um endereço IPv6 de link local e gateways IPv4 e IPv6. Se aparecer apenas IPv6 de link local, uma configuração IPv4 válida ainda pode fornecer acesso à internet. Verifique qual família de protocolos uma conexão realmente usa antes de considerar todo o dispositivo offline.

O IPv6 não tem endereço de transmissão para todos. Redes residenciais geralmente fornecem aos dispositivos seus próprios endereços IPv6 globais em vez de usar NAT como no IPv4. O firewall do roteador continua controlando o tráfego de entrada; o escopo do endereço e a permissão para conectar são questões separadas.

O Sistema de Nomes de Domínio (DNS) transforma nomes como www.example.com em endereços. Ele é distribuído: servidores diferentes mantêm partes diferentes de uma hierarquia. Uma conexão funcional à internet e uma resolução de nomes funcional são requisitos separados.

Acompanhe a hierarquia

Leia www.example.com da direita para a esquerda. A raiz direciona solicitações a um domínio de nível superior (TLD), como .com. Os servidores desse TLD identificam os servidores autoritativos de example.com. Os servidores autoritativos mantêm os registros oficiais do domínio, incluindo nomes abaixo dele, como www.example.com.

Um dispositivo usa suas informações locais de nomes, incluindo seu cache e arquivo hosts. Se precisar de DNS, consulta o resolvedor recursivo configurado. Ele pode ser um servidor da empresa, um serviço do provedor, um resolvedor público ou um serviço acessado pelo roteador. O resolvedor responde a partir do cache quando possível. Caso contrário, segue os encaminhamentos da raiz ao TLD e ao servidor autoritativo e retorna o resultado. O DNS usa a porta 53.

Registros em cache têm prazo de validade

O tempo de vida (TTL) de um registro limita por quanto tempo ele pode ficar em cache. Um TTL de 3600 segundos permite uma hora; 300 segundos permite cinco minutos. Um registro autoritativo alterado não substitui imediatamente as cópias ainda válidas nos caches.

Antes de uma mudança planejada, reduza o TTL com antecedência suficiente para que as cópias antigas em cache expirem. No Windows, ipconfig /flushdns limpa o cache local, mas não o cache de um resolvedor em outro lugar. Limpar repetidamente o PC não pode forçar um resolvedor externo a esquecer uma resposta cujo TTL continua válido.

Verifique substituições locais e o resolvedor

O arquivo hosts associa nomes a endereços localmente. O Windows usa C:\Windows\System32\drivers\etc\hosts; macOS e Linux usam /etc/hosts. Uma entrada como “203.0.113.50 intranet.example.com” pode fazer os aplicativos desse dispositivo acessarem esse endereço sem uma consulta DNS. Se apenas um PC acessar um site antigo, inspecione substituições locais e caches.

Execute nslookup www.example.com para ver o servidor DNS e a resposta. “Resposta não autoritativa” significa que o resolvedor que respondeu não é autoritativo para aquele nome. Ele pode ter usado um cache ou feito uma nova consulta. Essa indicação é normal. Para comparar resolvedores, nslookup www.example.com 1.1.1.1 envia a consulta a um servidor especificado. Lembre-se de que nslookup consulta o DNS; ele não reproduz o comportamento de todos os aplicativos em relação ao arquivo hosts local.

Diferencie uma falha de nome de uma falha de conexão

Se um endereço de internet conhecido por responder retornar uma resposta a ping, mas um nome produzir “host não encontrado”, a resolução de nomes precisa de atenção. Verifique o servidor DNS configurado e compare os resultados das consultas. Um ping que excede o tempo limite, por si só, é inconclusivo: um host ou firewall pode bloquear ping enquanto outro serviço funciona. Se conexões por endereço também falharem, investigue a conectividade junto com o DNS.

PCs de uma empresa podem precisar de nomes internos como fileserver.corp.example.com. Use os servidores DNS internos aprovados. Substituí-los por um resolvedor público pode restaurar consultas públicas enquanto impede o acesso a recursos internos e a entrada no domínio. O gateway padrão e o servidor DNS são configurações independentes, mesmo quando um roteador residencial fornece ambos.

Um registro DNS tem nome, tipo, tempo de vida (TTL) e valor. O tipo indica o significado do valor. Interprete o tipo antes de decidir se o valor deve ser um endereço, outro nome, um destino de e-mail ou um texto de política.

Encontre hosts, nomes alternativos e destinos de e-mail

Um nome pode ter registros A e AAAA juntos. Um CNAME aponta para outro nome, cujo endereço deve então ser resolvido; colocar um endereço IP como destino confunde os tipos de registro. Um nome alternativo comum não pode ter seus próprios dados A, MX ou TXT.

Para registros MX, os menores números de preferência são tentados primeiro. Se example.com tiver 10 mail1.example.com e 20 mail2.example.com, os remetentes normalmente tentarão mail1 antes de mail2. O valor MX é um nome de host com registros de endereço, não o endereço IP do servidor de e-mail. Ele descreve o recebimento de mensagens para o domínio, não qual porta de envio de saída o aplicativo de e-mail de um usuário deve usar.

Interprete as três verificações de e-mail

O SPF publica os sistemas de envio permitidos em um registro TXT para o domínio usado no remetente do envelope da mensagem. Um registro pode incluir um endereço IP e uma lista de um provedor. Seu final -all marca um remetente sem correspondência como reprovado; ~all indica falha branda. A política do receptor determina o tratamento final. Publique um registro de política SPF para um domínio; vários registros de política SPF produzem um erro.

O DKIM acrescenta uma assinatura digital usando a chave privada do remetente. A chave pública é publicada sob um nome de seletor como selector1._domainkey.example.com. Um receptor a usa para verificar o domínio que assinou e as partes assinadas da mensagem. Uma assinatura válida diz respeito a essas partes assinadas; não garante que a mensagem seja honesta.

O DMARC acrescenta o alinhamento com o domínio visível no campo De. Pelo menos um método deve passar e estar alinhado: SPF ou DKIM. Passar em uma verificação de um domínio não relacionado é insuficiente. Uma política TXT em _dmarc.example.com pode solicitar p=none para monitoramento, p=quarantine para tratamento como suspeita ou p=reject para recusa, e indicar um destino para relatórios. Os receptores aplicam suas próprias políticas de tratamento.

Dê suporte a uma mudança de provedor

Uma empresa muda de provedor de e-mail e suas mensagens começam a chegar ao spam. Verifique se a política SPF existente autoriza o novo provedor e se a chave DKIM do provedor está publicada no seletor correto. Depois, verifique o alinhamento e os relatórios do DMARC. Criar um segundo registro SPF não é uma correção; atualize a única política. Separadamente, uma mudança de site altera dados A ou AAAA e pode deixar endereços antigos em cache em uso até que seus TTLs expirem.

Um endereço IP leva dados a um host. Um protocolo de transporte e um número de porta identificam o ponto de comunicação do programa nesse host. Portanto, uma regra de firewall precisa de mais que um endereço: tráfego TCP e UDP que usa o mesmo número representa casos separados.

Interprete um ponto de comunicação

Um protocolo é um conjunto de regras de comunicação. O Protocolo de Controle de Transmissão (TCP) e o Protocolo de Datagrama do Usuário (UDP) transportam dados de aplicativos sobre IP. Uma porta é um número de 0 a 65535. Portas bem conhecidas vão de 0 a 1023, portas registradas de 1024 a 49151 e portas dinâmicas/privadas de 49152 a 65535. O software cliente geralmente seleciona uma porta de origem efêmera, ou temporária, de uma faixa alta; os sistemas operacionais escolhem suas próprias faixas disponíveis.

Um socket de rede é um endereço IP e uma porta para um protocolo de transporte específico. Um notebook pode se conectar de 192.168.1.37:51544 a um servidor web em 203.0.113.10:443 por TCP. O servidor responde à porta 51544 do notebook. O cliente não precisa escutar na porta 443 só porque o servidor escuta nela.

Uma segunda conexão TCP entre os mesmos pontos de comunicação do cliente e do servidor usa uma porta de origem diferente no cliente. Várias abas do navegador também podem compartilhar uma conexão, com o protocolo web mantendo as solicitações separadas. Não conte as abas para deduzir a quantidade de conexões de transporte.

Compare o comportamento de entrega

O TCP numera os dados e recupera partes ausentes, o que é adequado para transferência de arquivos e muitas sessões web, de e-mail e remotas. O UDP tem menos sobrecarga incorporada. Ele é adequado para consultas curtas e tráfego de voz, vídeo e jogos sensível a atrasos. Se um pacote de voz antigo chegar tarde demais, reproduzi-lo pode ser menos útil do que continuar a chamada. Aplicativos podem acrescentar seus próprios mecanismos de confiabilidade sobre o UDP.

Chamar o UDP de “não confiável” significa que o próprio UDP não garante a entrega. Isso não significa que a maioria dos datagramas desapareça. Chamar o TCP de confiável significa que ele oferece detecção e recuperação enquanto a conexão funciona; ele não mantém um enlace interrompido ativo para sempre.

Combine as duas partes de uma regra

O DNS normalmente usa UDP 53 para consultas comuns, mas também usa TCP 53, inclusive para respostas grandes e transferências entre servidores. A Área de Trabalho Remota usa TCP 3389 e pode acrescentar UDP 3389. O HTTP/3 usa QUIC sobre UDP 443, portanto o tráfego web moderno não usa exclusivamente TCP.

Se um aplicativo exige UDP 3478, permitir TCP 3478 não abre o caminho necessário. Verifique em conjunto o transporte, a porta de destino e o host pretendido. Números de porta são padrões, não prova de identidade: um serviço web de gerenciamento pode usar 8443, e outro software pode ocupar uma porta conhecida. Identifique o serviço configurado, além de seu número.

As portas ajudam você a identificar qual parte do caminho de um aplicativo deve ser examinada. Acesso à web, envio de e-mail, leitura de e-mail, consulta de nomes e endereçamento automático usam serviços diferentes. Uma conexão de entrada de e-mail bem-sucedida diz pouco sobre as configurações de saída.

Acesso à web e segurança da conexão

O Protocolo de Transferência de Hipertexto (HTTP) normalmente usa TCP 80 e transporta tráfego web sem criptografia. O HTTPS normalmente usa TCP 443 com Segurança da Camada de Transporte (TLS). O TLS protege o tráfego em trânsito, e o navegador verifica o certificado do servidor. Um site de phishing também pode ter um certificado válido: a segurança da conexão e a honestidade do proprietário são questões separadas. O HTTP/3 transporta HTTPS sobre QUIC em UDP 443.

Envie e leia e-mails

O STARTTLS atualiza uma conexão para TLS; o TLS implícito começa com criptografia. Use em conjunto a porta e o modo de criptografia exigidos pelo provedor. Muitos provedores bloqueiam a porta 25 de saída em conexões residenciais para limitar o spam. Não substitua as configurações autenticadas de envio do aplicativo pela porta 25 usada entre servidores.

O POP3 baixa mensagens e muitas vezes remove as cópias do servidor. Pastas locais e status de leitura não são sincronizados entre dispositivos. O IMAP mantém a caixa de correio no servidor e sincroniza pastas e estado das mensagens. Ele é mais adequado quando um usuário trabalha com celular, notebook e webmail.

Se o recebimento de e-mails funciona, mas o envio falha, examine o nome do servidor SMTP, a porta de envio, o modo TLS e a autenticação. Alterar a porta IMAP de entrada afeta a parte da conta que está funcionando.

Migre um usuário de POP3 com cuidado

O celular e o notebook de um usuário mostram mensagens e status de leitura diferentes porque o POP3 criou conjuntos locais separados. Adicione a conta usando IMAP ou o tipo de conta compatível com o provedor. Copie as mensagens armazenadas apenas em um dispositivo para a caixa de correio no servidor e verifique-as em outro cliente. Remova a configuração POP3 antiga somente depois que as mensagens estiverem presentes com segurança. Excluí-la primeiro pode causar a perda de mensagens que não existem em outro lugar.

Mantenha separados os serviços de nomes e endereços

O Sistema de Nomes de Domínio (DNS) usa a porta 53, geralmente UDP para consultas comuns e TCP quando necessário. O Protocolo de Configuração Dinâmica de Hosts (DHCP) usa UDP 67 no servidor e 68 no cliente. O DNS encontra o endereço associado a um nome; o DHCP fornece a configuração do próprio cliente.

Para aprender os padrões, agrupe-os por tarefa: web 80/443, transferência de e-mail entre servidores 25, download de e-mail 110, sincronização de caixa de correio 143, consulta de nomes 53 e configuração IPv4 automática 67/68. Mantenha as portas criptografadas de e-mail junto dos padrões sem criptografia para que a configuração não se limite ao reconhecimento.

O trabalho de suporte frequentemente envolve comandos remotos, áreas de trabalho remotas, pastas compartilhadas ou transferência de arquivos. São tarefas diferentes. Escolha o serviço adequado à tarefa e evite enviar credenciais por uma conexão sem criptografia.

Gerenciamento remoto e transferência de arquivos

A conexão de dados do FTP é separada da conexão de comandos. O modo ativo usa a porta 20 do servidor; o modo passivo usa uma porta de dados escolhida pelo servidor. Abrir apenas a 21 pode, portanto, permitir a entrada enquanto as transferências falham. O FTPS acrescenta TLS ao FTP; o SFTP é um protocolo diferente transportado pelo SSH. Os nomes semelhantes não os tornam intercambiáveis nas configurações do cliente.

Use SSH em vez de Telnet para comandos remotos. O SSH também transporta SFTP e cópia segura (SCP). Para controle gráfico do Windows, acesse o RDP por uma VPN ou por um gateway de Área de Trabalho Remota. Expor o RDP diretamente com um encaminhamento de porta da internet atrai ataques contra o serviço.

Arquivos compartilhados e redes Windows antigas

O protocolo SMB usa TCP 445 para compartilhamento de arquivos e impressoras. Um caminho como \\fileserver\shared identifica uma pasta compartilhada. Windows, macOS, Linux e dispositivos NAS podem usar SMB. CIFS é o nome de uma versão inicial do SMB; às vezes os termos são usados de forma pouco precisa nos menus dos dispositivos.

Mantenha o SMBv1 desativado porque ele é obsoleto e inseguro. Uma conexão malsucedida com um dispositivo antigo exige verificar os protocolos suportados e atualizá-lo ou substituí-lo, não habilitar compartilhamento obsoleto em todo o escritório.

O NetBIOS sobre TCP/IP (NetBT) usa UDP 137 para nomes, UDP 138 para datagramas e TCP 139 para sessões, incluindo conexões SMB antigas. Redes modernas normalmente usam DNS para nomes e SMB diretamente em 445.

Diretórios e acesso restrito por firewall

O Protocolo Leve de Acesso a Diretórios (LDAP) consulta e atualiza informações de diretório, como usuários, grupos e catálogos de endereços. Sua porta normal é 389. O LDAPS usa TLS em TCP 636; o LDAP também pode atualizar a conexão para TLS em 389 quando configurado para STARTTLS. Uma copiadora pode consultar o diretório para obter endereços de e-mail dos funcionários.

Suponha que um firewall separe as redes de funcionários e de servidores. O acesso criptografado por linha de comando de um administrador a um servidor Linux precisa de TCP 22 para o servidor pretendido. Uma solicitação de pasta compartilhada precisa de TCP 445 para o servidor de arquivos. Áreas de trabalho remotas precisam de TCP 3389 de clientes VPN aprovados, opcionalmente com UDP para desempenho. Especifique origem, destino, transporte e porta em cada regra. Abrir uma faixa ampla porque várias tarefas falham esconde qual serviço é realmente necessário.

O Wi-Fi é a família de padrões 802.11 do IEEE para redes sem fio. O nome da geração informa a tecnologia suportada; a faixa, a largura do canal, o hardware do cliente e o ambiente afetam o que um dispositivo realmente alcança.

Associe gerações a faixas

Esses são totais ideais entre os fluxos suportados, não velocidades normais para um notebook. Tanto o ponto de acesso quanto o cliente devem suportar a faixa e os recursos necessários. Um dispositivo Wi-Fi 6 não passa a usar 6 GHz simplesmente porque o ponto de acesso suporta Wi-Fi 6E.

Equilibre alcance e espectro disponível

A faixa de 2,4 GHz geralmente alcança mais longe através de paredes, mas compartilha um espectro congestionado com redes próximas, Bluetooth e fornos de micro-ondas. A faixa de 5 GHz oferece mais opções de canais e muitas vezes taxas maiores em um alcance menor. A faixa de 6 GHz oferece espectro adicional e canais largos para dispositivos 6E e Wi-Fi 7 compatíveis, com alcance prático menor e segurança WPA3 para redes protegidas comuns.

Os números dos canais em 2,4 GHz estão separados por apenas 5 MHz, enquanto um canal típico ocupa cerca de 20 MHz. Os canais 1, 6 e 11 formam o plano usual de canais separados. O canal 3 se sobrepõe ao tráfego próximo dos canais 1 e 6. Compartilhar um canal planejado pode funcionar melhor do que criar uma sobreposição parcial.

As larguras incluem 20, 40, 80, 160 e, com Wi-Fi 7, 320 MHz. Canais mais largos aumentam as taxas potenciais, mas ocupam mais espectro e deixam menos canais independentes. Use 20 MHz em 2,4 GHz congestionado; 40 ou 80 MHz muitas vezes são adequados para 5 GHz. Escolha opções mais largas apenas quando o espectro disponível e os clientes as suportarem.

Configure o país ou a região corretamente. As faixas, os canais e a potência permitidos dependem do órgão regulador nacional. Alguns canais de 5 GHz exigem seleção dinâmica de frequência (DFS): o ponto de acesso detecta radar e muda de canal. Não copie um plano de canais de um equipamento configurado para outro país.

Reconheça as outras tecnologias de rádio

O Bluetooth forma redes de área pessoal próximas, normalmente em cerca de 10 m, usando 2,4 GHz. O pareamento envolve descoberta, seleção e confirmação. O Bluetooth de baixo consumo de energia atende pequenos dispositivos alimentados por bateria.

A comunicação por campo de proximidade (NFC) opera a centímetros de distância em 13,56 MHz para aproximações como pagamento ou acesso. A identificação por radiofrequência (RFID) lê etiquetas por rádio em distâncias definidas pelo sistema de etiquetas. Etiquetas passivas usam energia do leitor e não têm bateria. A NFC é uma forma especializada de RFID de curto alcance.

Para uma câmera atrás de paredes externas, experimente 2,4 GHz pelo alcance. Para um notebook compatível próximo que transfere arquivos grandes, 5 ou 6 GHz pode ser mais adequado. Fones de ouvido usam Bluetooth; um crachá de acesso usa um sistema RFID ou NFC apropriado.

Um roteador de pequeno escritório ou residência conecta a rede local ao provedor e muitas vezes fornece Wi-Fi, endereçamento automático e firewall. Configure primeiro o caminho físico, depois o gerenciamento, as configurações de internet e a LAN. Mantenha um registro para que outro técnico possa fazer a manutenção.

Conecte e proteja o gerenciamento

Conecte o modem ou terminal de rede óptica (ONT) à porta WAN ou de internet. Conecte computadores locais ou um comutador às portas LAN. Alguns modems a cabo memorizam o primeiro dispositivo conectado; reiniciar o modem após a substituição do roteador pode permitir que ele reconheça o substituto.

Abra o endereço de gerenciamento local do roteador, encontrado na etiqueta ou na configuração do gateway padrão de um cliente, ou use seu aplicativo compatível. Altere a senha padrão de administrador para uma senha forte e exclusiva. Use gerenciamento por HTTPS quando disponível e desative o gerenciamento pelo lado da internet, a menos que seja necessário. Atualize o firmware e habilite atualizações automáticas quando disponíveis. Substitua equipamentos que não recebem mais atualizações de segurança.

Ajuste as configurações WAN do provedor

O provedor determina o método. Escolher DHCP automático em um serviço que exige PPPoE pode deixar a rede local funcionando enquanto o acesso à internet falha. Um endereço WAN estático e um endereço LAN estático descrevem lados diferentes do roteador.

Para a LAN, escolha o endereço e a máscara do roteador, o intervalo DHCP, a duração da concessão, as opções de DNS e as reservas. Com 192.168.1.1/24 e um intervalo de .100–.199, deixe espaço fora do intervalo para dispositivos estáticos documentados.

Identifique a tradução anterior na rede

O NAT duplo ocorre quando um gateway do provedor roteia uma LAN privada e um segundo roteador roteia outra atrás dele. A navegação muitas vezes funciona, mas conexões de entrada e alguns aplicativos se tornam mais difíceis de dar suporte. Coloque o gateway do provedor em modo de ponte quando suportado ou transforme o segundo dispositivo em ponto de acesso. Um encaminhamento planejado pode funcionar por dois roteadores locais se ambos estiverem configurados.

Verifique o endereço WAN antes de organizar o acesso remoto. Um endereço privado pode indicar um roteador local anterior ou tradução pelo provedor. A faixa compartilhada 100.64.0.0–100.127.255.255 geralmente indica NAT de operadora (CGNAT). Com CGNAT, o encaminhamento do cliente, por si só, não pode abrir o endereço compartilhado do provedor. Solicite um endereço público ou use um método de acesso remoto projetado para essa situação.

Abra apenas o serviço desejado

Um encaminhamento de portas pode enviar TCP 8443 externo para 192.168.1.50:443. Dê ao dispositivo interno uma reserva ou endereço estático para que o destino permaneça estável. Um encaminhamento expõe esse serviço; use dispositivos atualizados e prefira uma VPN para acesso remoto. Evite a configuração ampla de host DMZ. O Universal Plug and Play (UPnP) permite que clientes criem mapeamentos automaticamente; deixe-o desativado, a menos que sua conveniência seja necessária.

Registre o método WAN, a faixa LAN, o intervalo DHCP, as reservas, os encaminhamentos, o nome da rede e onde as credenciais estão armazenadas. Exporte um backup da configuração se houver suporte. Verifique o acesso local e à internet a partir de um cliente depois de salvar as configurações.

Uma configuração Wi-Fi útil tem controles de acesso adequados e sinal utilizável onde as pessoas trabalham. Configure primeiro o nome e a segurança da rede, depois posicione os pontos de acesso, escolha canais e verifique o resultado nos locais dos clientes.

Nomeie a rede e proteja o acesso

O identificador do conjunto de serviços (SSID) é o nome visível da rede. Use um nome neutro que não revele endereço residencial, sobrenome da família ou modelo do roteador. Vários pontos de acesso ou nós de rede em malha podem compartilhar um SSID para permitir a passagem entre eles. O direcionamento de faixa ajuda dispositivos compatíveis a escolher entre faixas sob um único nome.

SAE significa autenticação simultânea de iguais. AES significa Padrão de Criptografia Avançada, a cifra na opção WPA2-AES.

Os modos de acesso protegido Wi-Fi (WPA) são diferentes da entrada de administração do roteador. Defina uma frase-senha Wi-Fi longa e exclusiva e uma senha de administrador diferente. Quatro ou cinco palavras aleatórias ou pelo menos 16 caracteres são um ponto de partida prático. Altere o acesso compartilhado quando pessoas que conheciam a frase-senha não devam mais se conectar.

Não use o obsoleto WEP, WPA com Protocolo de Integridade de Chave Temporal (TKIP) nem uma rede privada aberta. Desative a Configuração Protegida de Wi-Fi (WPS) porque seu método de PIN pode expor a frase-senha a ataques de adivinhação. Ocultar um SSID deixa-o detectável no tráfego sem fio. A filtragem de MAC pode ser contornada pela cópia de um endereço permitido e pode rejeitar dispositivos cujos endereços privados mudam. Nenhuma das medidas substitui uma criptografia forte.

Separe visitantes e dispositivos inteligentes

Dê aos convidados e aos dispositivos da Internet das Coisas uma rede separada. Confirme que ela bloqueia o acesso à LAN principal; o nome “convidados”, por si só, não testa o isolamento. O isolamento de clientes também impede que convidados acessem uns aos outros. Um visitante que consegue navegar, mas não consegue abrir o servidor de arquivos da equipe, pode estar observando a separação pretendida.

Leve o sinal aonde ele é necessário

Posicione o roteador ou ponto de acesso em local central, elevado e aberto. Paredes, armários metálicos, espelhos e água enfraquecem os sinais. Fornos de micro-ondas podem interferir em 2,4 GHz. Acrescente nós de rede em malha ou pontos de acesso quando um local não conseguir cobrir a instalação; um enlace de interligação por Ethernet transporta tráfego entre eles sem consumir o mesmo tempo de transmissão sem fio.

Um repetidor com um único rádio recebe e retransmite no mesmo canal, muitas vezes reduzindo aproximadamente pela metade a vazão disponível para o cliente. Coloque-o onde o sinal original ainda seja utilizável, não dentro da área sem cobertura.

Meça e escolha canais

Um analisador de Wi-Fi informa redes próximas, canais e intensidade em dBm. Quanto menos negativo, mais forte é o sinal. Suponha que o canal 1 tenha cinco redes, a mais forte em −48 dBm; o canal 6 tenha três, a mais forte em −62 dBm; e o canal 11 tenha uma em −85 dBm. O canal 11 é a melhor dessas opções separadas porque seu sinal concorrente é fraco. A contagem de redes, por si só, não mostraria a diferença de intensidade.

Percorra as áreas de trabalho e busque cerca de −67 dBm ou sinal mais forte onde ocorrem chamadas. Teste o desempenho útil dos aplicativos e a velocidade em vários locais. Registre o SSID, os canais, o modo de segurança e os locais dos APs para que alterações posteriores possam ser comparadas com a configuração funcional.