Tipos de rede, topologias e dispositivos: LANs e WANs

Uma rede interliga dispositivos para que possam trocar dados e compartilhar recursos. Abrir uma pasta compartilhada, imprimir um documento e carregar um site envolvem comunicação entre dispositivos, mas nem sempre seguem o mesmo caminho.

Dispositivos, enlaces e regras

Cada dispositivo conectado é um nó. Um dispositivo final cria ou recebe os dados: um notebook, telefone, servidor, impressora ou câmera. Um dispositivo intermediário, como um comutador, roteador, ponto de acesso ou firewall, encaminha ou controla os dados entre dispositivos finais. Um servidor continua sendo um dispositivo final mesmo quando atende a centenas de clientes.

Uma placa de interface de rede (NIC) fornece a conexão cabeada ou sem fio de um dispositivo a um meio de transmissão. O cabo Ethernet de cobre transporta sinais elétricos; o cabo de fibra óptica transporta luz e é adequado a enlaces mais longos ou locais com interferência elétrica. Wi-Fi, rede celular e Bluetooth usam rádio. Um notebook pode ter uma interface cabeada e uma interface sem fio.

Os dispositivos seguem protocolos, regras de comunicação acordadas. Ethernet cuida dos enlaces locais cabeados, Wi-Fi dos enlaces locais sem fio, o protocolo de internet (IP) transporta pacotes entre redes e o protocolo seguro de transferência de hipertexto (HTTPS) protege solicitações web. Seguir regras comuns permite que equipamentos de fabricantes diferentes funcionem juntos. Os dados circulam em unidades menores com endereços de origem e destino: quadros em enlaces locais e pacotes entre redes.

Dois endereços com funções diferentes

Um endereço MAC Ethernet comum tem 48 bits, apresentados como seis pares de dígitos hexadecimais. Uma interface tem um endereço atribuído pelo fabricante, mas o software pode usar um endereço atribuído localmente. Muitos telefones e notebooks usam endereços MAC privados de Wi-Fi que variam entre redes. Levar um notebook a outro escritório geralmente muda seu endereço IP; seu MAC cabeado normalmente permanece igual. Não considere um endereço MAC uma identidade imutável de um computador inteiro.

Capacidade, taxa alcançada e atraso

Largura de banda é a taxa máxima de dados de um enlace. Vazão é a taxa efetivamente alcançada. Latência é o atraso de percurso, geralmente medido em milissegundos. Um enlace de grande capacidade ainda pode ter um atraso longo, e o tráfego concorrente pode reduzir a vazão sem alterar a largura de banda anunciada.

As taxas de rede usam bits por segundo: 1 Mbps é 1.000.000 bit/s e 1 Gbps é 1.000 Mbps. Os tamanhos de arquivo usam bytes: 1 byte tem 8 bits. A diferença entre b minúsculo e B maiúsculo importa.

Para um arquivo de 1 GB em um enlace de 100 Mbps:

1. Converta bytes em bits: $\mathrm{1.000.000.000}\times 8=\mathrm{8.000.000.000}$ bits.
2. Divida pela taxa: $\mathrm{8.000.000.000}÷\mathrm{100.000.000}=80$ segundos.
3. A 1 Gbps, a mesma transferência ideal leva 8 segundos. A sobrecarga e o tráfego compartilhado tornam as transferências reais mais longas.

Um enlace de 100 Mbps, portanto, transporta no máximo 12,5 MB por segundo, não 100 MB por segundo. Diferencie também Wi-Fi de acesso à internet: o Wi-Fi conecta à rede local; um roteador e um provedor de serviços de internet (ISP) fornecem a rota para fora dela. A impressão local ainda pode funcionar durante uma queda da internet.

Os nomes das redes costumam descrever seu alcance e sua propriedade. Comece pelos dispositivos e locais que estão sendo interligados e depois pergunte quem opera os enlaces. A velocidade de uma conexão, por si só, não informa o tipo de rede.

De uma pessoa a escritórios distantes

Essas são categorias práticas com limites aproximados. Uma universidade pode possuir uma CAN entre seus prédios e contratar uma conexão WAN até um centro de pesquisa em outra cidade. Uma WAN rápida continua sendo uma WAN. A internet interliga redes globalmente e não tem um único proprietário; costuma ser descrita como a maior WAN.

Outros dois nomes respondem a perguntas diferentes. Uma rede de área de armazenamento (SAN) recebe esse nome por sua função de conectar servidores a armazenamento compartilhado. Pequeno escritório ou escritório doméstico (SOHO) descreve uma instalação pequena, muitas vezes construída em torno de um roteador de internet multifuncional.

Como locais distantes se conectam

Uma linha dedicada fornece uma conexão ponto a ponto exclusiva com largura de banda fixa. Uma rede de comutação multiprotocolo por rótulos (MPLS) de um provedor ou uma Metro Ethernet também pode interligar unidades empresariais. A banda larga empresarial pode usar linha digital de assinante (DSL) por cabeamento telefônico, cabo pela rede de televisão ou fibra até o imóvel. Rede celular 4G/5G e satélite alcançam locais onde conexões fixas são difíceis e podem fornecer enlaces de backup.

Uma VPN acrescenta um túnel criptografado sobre outra rede, muitas vezes a internet. A conexão física continua sendo fornecida por um provedor de serviços de internet; o túnel protege o tráfego entre suas extremidades. A SD-WAN gerencia vários enlaces WAN de forma centralizada e escolhe caminhos adequados para as aplicações. Por exemplo, um escritório pode ter enlaces de fibra e celular, com o tráfego das aplicações direcionado conforme as condições dos enlaces.

Por que uma taxa alta ainda pode parecer lenta

Um satélite geoestacionário está a cerca de 35.786 km acima do equador. Uma solicitação sobe e desce, e a resposta sobe e desce novamente. Mesmo a menor ida e volta desse tipo cobre aproximadamente 143.000 km. A cerca de 300.000 km/s, apenas o percurso do sinal leva cerca de 0,48 segundo, ou 480 ms. Os equipamentos e o restante do trajeto acrescentam mais atraso.

Satélites em órbita baixa estão muito mais próximos e têm menor atraso de percurso. Essa comparação diz respeito à latência, não ao número de bits que um serviço pode transportar por segundo. Um download grande e uma conversa de voz ao vivo podem, portanto, ser afetados de formas bem diferentes pela mesma conexão via satélite.

Um serviço pode ser solicitado a um sistema central ou compartilhado diretamente pelos computadores que o utilizam. Essas duas organizações mudam a forma de gerenciar contas, arquivos e backups. As funções pertencem ao software, por isso o formato do gabinete do computador diz pouco sobre o modelo de compartilhamento.

Um cliente solicita; um servidor fornece

Em redes cliente-servidor, clientes solicitam serviços a servidores dedicados. Um navegador é cliente de um servidor web. Um computador de escritório pode solicitar uma pasta compartilhada a um servidor de arquivos e enviar um trabalho por um servidor de impressão. E-mail, bancos de dados e entrada centralizada são outras funções comuns de servidores.

Um servidor de diretório e autenticação, como o Microsoft Active Directory, mantém contas e verifica logins. Um servidor do protocolo de configuração dinâmica de hosts (DHCP) distribui endereços de rede. Um servidor do sistema de nomes de domínio (DNS) resolve nomes, como “example.com”, em endereços. Uma máquina física pode executar vários serviços, enquanto um serviço muito requisitado pode ser distribuído entre várias máquinas.

O hardware de servidor é projetado para oferecer confiabilidade e atender a muitos usuários, mas um computador de mesa pode executar software de servidor. Da mesma forma, um serviço em nuvem continua usando o modelo cliente-servidor: o navegador solicita o serviço aos servidores do provedor.

Compartilhamento entre pares

Em redes ponto a ponto (P2P), cada computador pode solicitar e fornecer serviços. Três pessoas podem compartilhar pastas e uma impressora de seus próprios computadores. A pasta compartilhada depende do computador que a hospeda: desligue esse computador e sua pasta ficará indisponível.

Em um grupo de trabalho do Windows, cada computador mantém suas próprias contas. Se uma pessoa usa vários computadores, essas contas devem ser gerenciadas separadamente. Em um domínio, um diretório mantém as contas de forma centralizada. Um administrador pode desativar uma conta central quando um funcionário sai da empresa.

Escolha conforme o trabalho das pessoas

Um consultório odontológico começa com quatro computadores compartilhando uma impressora e uma pasta. O modelo ponto a ponto é simples nesse tamanho. Com 25 funcionários, prontuários precisam de acesso controlado, contas devem ser removidas centralmente e backups devem ser feitos todas as noites. Uma organização cliente-servidor, com servidores locais ou serviços em nuvem adequados, torna essas tarefas gerenciáveis.

A centralização também concentra a responsabilidade. Se um servidor fornece um serviço essencial, sua falha interrompe esse serviço, a menos que haja redundância. A redundância mantém um serviço disponível durante uma falha; backups restauram dados anteriores após perda ou dano. Uma organização pode precisar dos dois.

Algumas aplicações combinam organizações diferentes. Um serviço de chamadas de vídeo pode usar servidores centrais para entrada e localização de outros usuários e depois enviar mídia diretamente entre participantes. Descreva a função de cada parte em vez de presumir que toda conexão em uma aplicação segue um único modelo.

Uma topologia descreve quais dispositivos têm enlaces com quais outros dispositivos. A topologia física descreve equipamentos e cabos. A topologia lógica descreve como os dados circulam. Observe as conexões, não o contorno que um diagrama por acaso forma na página.

Acompanhe os enlaces e as possíveis falhas

As primeiras redes Ethernet sobre cabo coaxial usavam barramento. Redes locais (LANs) cabeadas modernas costumam usar estrelas e estrelas estendidas. Anéis continuam úteis em redes de fibra de provedores. Em uma rede de longa distância (WAN) de núcleo e ramificações, “hub” significa a unidade central, não um dispositivo hub Ethernet antigo.

Uma estrela é fácil de expandir porque um novo dispositivo final precisa de um cabo e de uma porta livre no centro. Ela também facilita limitar o efeito de uma falha de cabo. Seu centro continua sendo um ponto único de falha. Uma malha parcial gasta mais em enlaces selecionados para manter caminhos importantes disponíveis.

Conte os enlaces de uma malha completa uma única vez

Com cinco unidades, cada uma se conecta a outras quatro. A multiplicação dá 20 extremidades de enlaces, mas cada enlace foi contado nas duas extremidades. Divida por dois:

Aqui $n$ é o número de nós e $L$ é o número de enlaces não direcionados. Cinco unidades precisam de 10 enlaces e quatro portas por unidade. Dez unidades precisam de 45 enlaces e nove portas cada. Esse crescimento rápido torna a malha completa cara; a maioria das redes reserva enlaces adicionais para os locais que mais precisam deles.

As organizações física e lógica podem diferir

Um hub antigo pode ficar no centro de cabos dispostos fisicamente em estrela. Ele repete cada sinal recebido para as outras portas, de modo que todos os dispositivos escutam o tráfego compartilhado: logicamente, ele se comporta como um barramento. Equipamentos Token Ring também podiam usar cabeamento em estrela enquanto transmitiam dados por um anel lógico.

Um comutador moderno aprende os destinos e envia o tráfego de unidifusão conhecido pelo enlace correspondente, formando uma estrela lógica. Sistemas reais frequentemente combinam arquiteturas: cada filial tem uma estrela, as filiais se conectam à sede como ramificações, e a sede tem uma malha parcial. Essa combinação é uma topologia híbrida.

Uma rede de campus grande se torna mais fácil de expandir quando os comutadores têm funções claras. Uma arquitetura hierárquica separa as conexões dos dispositivos finais, as decisões sobre políticas e o transporte em alta velocidade. Essas são funções na rede, não andares de um prédio.

Três funções

Um enlace de subida transporta tráfego de um comutador de acesso em direção ao restante da rede. A camada de distribuição reúne muitas dessas conexões. É nela que normalmente se decide se o tráfego pode passar de uma rede interna para outra. O núcleo então transporta o tráfego entre blocos de distribuição. Manter a filtragem detalhada na distribuição evita tornar o backbone mais lento com processamento desnecessário.

Agrupar equipamentos por função também limita as interrupções. Uma falha em um comutador de acesso afeta os dispositivos conectados a ele, enquanto outros comutadores de acesso podem continuar funcionando. Adicionar outro bloco de acesso expande a rede sem redesenhar todas as conexões.

Duas camadas quando o campus é menor

Um núcleo colapsado combina as funções de distribuição e núcleo em um par de comutadores. Isso usa menos dispositivos e custa menos, sendo útil para um prédio com vários andares ou um campus menor. Oferece menos espaço para expansão e menos opções de redundância do que blocos de distribuição e um núcleo separados.

Um escritório muito pequeno com um comutador não precisa de camadas formais. No outro extremo, um campus com muitos prédios se beneficia de três camadas. Escolha a arquitetura pelo número de blocos, pelo tráfego que trocam e pela expansão necessária. Um comutador em um andar intermediário não é necessariamente um comutador de distribuição; ele pode simplesmente conectar os postos de trabalho daquele andar.

Analise uma arquitetura redundante

Suponha que três prédios tenham quatro andares cada, com um comutador de acesso por andar:

1. Há $3\times 4=12$ comutadores de acesso.
2. Cada comutador de acesso tem um enlace de subida para cada membro do seu par de distribuição.
3. O total é $12\times 2=24$ enlaces de subida.

Se um comutador de distribuição falhar, os comutadores de acesso ainda terão o outro enlace de subida e o outro comutador de distribuição. Se um comutador de acesso falhar, seus dispositivos finais ainda perderão a conexão imediata. Enlaces de subida redundantes protegem os caminhos acima do comutador de acesso; eles não substituem esse comutador.

Um comutador decide qual enlace local deve transportar um quadro. Ele aprende com o tráfego, sem precisar que um técnico insira o endereço de cada dispositivo final. Isso o torna mais eficiente que um hub antigo, que repete cada sinal para todas as outras portas.

Aprenda a origem, encaminhe ao destino

Um comutador armazena uma tabela de endereços MAC que associa endereços de interfaces a portas. Ao receber um quadro, ele aprende o endereço de origem na porta de entrada e depois procura o endereço de destino.

A inundação exclui a porta de entrada. Ela permanece dentro da VLAN do quadro. Entradas não utilizadas envelhecem e são removidas; 300 segundos é um valor padrão comum, permitindo que a tabela acompanhe dispositivos movidos ou desconectados.

Comece com uma tabela vazia, o computador A na porta 1, B na porta 2 e C na porta 3. A envia para B. O comutador aprende A na porta 1, mas ainda não aprendeu B, então envia por inundação às portas 2 e 3. C descarta o quadro porque ele é endereçado a B. B responde: o comutador aprende B na porta 2 e já conhece A, então envia apenas à porta 1. Depois, quadros de A para B podem ir apenas para a porta 2.

Sinais compartilhados e enlaces separados

Um hub faz todos os dispositivos finais compartilharem a largura de banda e se revezarem no envio: half duplex. Envios simultâneos causam colisões. Cada porta de comutador fornece um enlace separado e normalmente opera em duplex completo, enviando e recebendo ao mesmo tempo sem colisões. Os dispositivos ainda compartilham broadcasts dentro de sua VLAN, chamada de domínio de broadcast.

Um comutador não gerenciável funciona sem configuração. Um comutador gerenciável oferece configurações e monitoramento para VLANs, segurança de porta, alimentação e estatísticas de tráfego. Empresas usam comutadores gerenciáveis para controlar e observar suas redes.

Separe redes lógicas e forneça energia

Uma VLAN divide uma rede física comutada em redes locais (LANs) lógicas separadas, como as de funcionários, visitantes e câmeras. VLANs diferentes precisam de roteamento para trocar tráfego. Um comutador de camada 2 encaminha por endereço MAC; um comutador de camada 3 também roteia por endereço do protocolo de internet (IP) entre VLANs e sub-redes.

A alimentação por Ethernet (PoE) transporta energia e dados pelo mesmo cabo, sendo útil para telefones, câmeras e pontos de acesso. Os limites do lado do comutador e a potência do lado do dispositivo diferem porque a resistência do cabo consome parte da energia:

Verifique tanto o padrão suportado por uma porta quanto o orçamento total do comutador. Um comutador com portas suficientes ainda pode não ter potência suficiente para todos os dispositivos conectados.

Um comutador encontra uma porta de destino local; um roteador encontra um caminho para outra rede do protocolo de internet (IP). O roteador examina o endereço IP de destino de um pacote e consulta uma tabela de roteamento. Suas interfaces se conectam a redes diferentes.

Decida se o destino é local

Um notebook tem o endereço 192.168.10.25 na rede 192.168.10.0/24. Nessa rede /24, os três primeiros números identificam a rede. Seu gateway padrão é 192.168.10.1.

1. Uma solicitação de impressão para 192.168.10.40 permanece na mesma rede e passa pelo comutador até a impressora.
2. Uma solicitação para o servidor web 203.0.113.80 é destinada a outra rede.
3. O notebook envia esse pacote ao seu gateway padrão, a interface do roteador em sua rede local.
4. O roteador escolhe a próxima etapa em direção ao servidor.

Uma tabela de roteamento lista redes de destino com um próximo salto ou uma interface de saída. Uma rota padrão fornece um próximo salto quando nenhuma rota mais específica corresponde ao destino. Sem uma rota correspondente nem uma rota padrão, o roteador descarta o pacote. O gateway padrão do notebook e a rota padrão do roteador são configurações relacionadas em dispositivos diferentes, não nomes intercambiáveis para uma única configuração.

Roteadores separam domínios de broadcast locais comuns. Eles também reduzem em um o tempo de vida (TTL) de um pacote a cada salto roteado e o descartam quando chega a zero, impedindo que circule indefinidamente em um loop de roteamento.

Um roteador e um terminal de linha fazem trabalhos diferentes

Um roteador sem fio de pequeno escritório ou escritório doméstico (SOHO) combina um roteador, um pequeno comutador, um ponto de acesso, um firewall, um serviço de endereços do protocolo de configuração dinâmica de hosts (DHCP) e tradução de endereços de rede (NAT). A NAT permite que dispositivos privados compartilhem um endereço público de internet. Alguns equipamentos também incluem o modem. O Wi-Fi vem da função de ponto de acesso, não do roteamento em si.

Acompanhe uma solicitação à internet

Um notebook doméstico envia uma solicitação web por Wi-Fi ao ponto de acesso no equipamento multifuncional. O roteador encaminha o tráfego em direção ao provedor, a NAT traduz o endereço privado de origem e o modem ou ONT transporta o tráfego para o enlace de acesso do provedor. O provedor de serviços de internet (ISP) e outros roteadores o entregam ao servidor web. O tráfego de resposta retorna pelo dispositivo de borda até o notebook; seu caminho pela internet pode ser diferente do caminho de ida.

Roteadores de borda empresariais podem terminar túneis de rede privada virtual (VPN), usar dois provedores para oferecer resistência a falhas e aplicar qualidade de serviço (QoS) para priorizar tráfego sensível a atrasos, como voz. Um comutador de camada 3 é comum para roteamento interno rápido, enquanto um roteador de borda oferece as interfaces e os serviços de rede de longa distância (WAN) necessários na conexão com o provedor.

Um ponto de acesso sem fio (AP) conecta dispositivos Wi-Fi a uma rede local (LAN) cabeada. Ele faz a ponte dos quadros sem fio para a Ethernet por sua conexão ao comutador. Os usuários reconhecem a rede sem fio pelo identificador do conjunto de serviços (SSID), o nome exibido na lista de redes Wi-Fi do dispositivo.

Construa a cobertura em torno de conexões cabeadas

Um AP independente não roteia entre redes. Um roteador sem fio doméstico contém um AP e um roteador, o que pode ocultar essa diferença. Redes empresariais geralmente instalam APs separados onde os usuários precisam de cobertura e os conectam por cabo a comutadores gerenciáveis. A alimentação por Ethernet (PoE) pode alimentar cada AP por esse mesmo cabo.

A cobertura de rádio depende de paredes, materiais de construção, distância e interferência. Um AP pode atender a algumas salas ou a uma área aberta; uma sala com muitas pessoas pode precisar de mais capacidade mesmo quando a intensidade do sinal é boa. Configure APs vizinhos em canais que não se sobreponham para limitar a interferência entre suas transmissões.

Vários APs podem oferecer o mesmo SSID e as mesmas configurações de segurança em um prédio. Conforme uma pessoa caminha, o telefone pode passar para outro AP por roaming. Configurações consistentes apoiam essa movimentação, enquanto a cobertura e o comportamento do cliente ainda afetam a troca. Barras de sinal cheias descrevem a conexão de rádio com o AP, não a velocidade ou disponibilidade da internet além dele.

Gerencie vários pontos de acesso

O gerenciamento central pode aplicar SSIDs e configurações de segurança de forma consistente e ajustar canais e potência de transmissão. Ele reduz o trabalho de repetir mudanças em muitos dispositivos.

Onde o cabeamento é impossível, APs em malha e extensores de alcance retransmitem o tráfego sem fio. Esse enlace de retorno sem fio (backhaul) também consome tempo de transmissão, então saltos adicionais geralmente reduzem a vazão. Um enlace de retorno cabeado transporta o tráfego do AP diretamente ao comutador sem usar tempo de transmissão Wi-Fi nesses saltos de retransmissão.

Mantenha funcionários e visitantes separados

Use acesso protegido Wi-Fi 3 (WPA3), ou WPA2 quando equipamentos mais antigos exigirem. O modo Personal usa uma frase secreta compartilhada. O modo Enterprise verifica os logins individuais dos usuários por um servidor de autenticação, permitindo remover o acesso de uma pessoa sem substituir a senha compartilhada de todos. A privacidade equivalente à de redes cabeadas (WEP) teve sua segurança comprometida e é inadequada para o acesso de funcionários.

Considere um escritório com um AP em cada um de três andares. Cada um tem uma conexão PoE cabeada ao comutador do andar. Todos oferecem “Escritório” para funcionários e “Visitantes” para visitantes. O tráfego dos funcionários é associado à VLAN de funcionários, enquanto o tráfego de visitantes é associado a uma VLAN separada com regras que permitem acesso à internet e bloqueiam recursos internos. Um segundo SSID fornece um nome; a atribuição de VLAN e as regras de tráfego fornecem a separação efetiva.

Um firewall controla o tráfego entre redes ou zonas usando regras. As regras podem examinar origem, destino, protocolo e porta. Uma porta identifica um ponto de acesso a um serviço, como a porta 443 do protocolo de controle de transmissão (TCP) para tráfego web seguro.

Adeque a proteção ao tráfego

Um firewall de rede protege uma zona; um firewall de host protege um dispositivo. O firewall de host de um notebook continua sendo importante quando ele sai do escritório. Juntos, eles fornecem defesa em profundidade, com proteção em mais de um ponto.

Analise uma lista ordenada de regras

Muitos firewalls de rede usam processamento pela primeira correspondência: verificam as regras de cima para baixo e param na primeira correspondência. O tráfego sem correspondência recebe a política padrão, geralmente um bloqueio implícito. As regras de processamento variam entre produtos; por exemplo, o Firewall do Windows Defender dá precedência a bloqueios explícitos sobre permissões e normalmente permite o tráfego de saída.

Use um firewall de primeira correspondência com bloqueio por padrão e estas regras:

1. Permitir TCP 443 de qualquer origem para o servidor web 203.0.113.10.
2. Bloquear todo o tráfego de 198.51.100.0/24.
3. Permitir TCP 22 do administrador 198.51.100.7 para esse servidor web.

A solicitação TCP 22 do administrador chega primeiro à regra 2 e é bloqueada. A regra 3 nunca é aplicada. Mover a permissão específica do administrador para cima do bloqueio abrangente permite a passagem dessa conexão. A solicitação TCP 443 do mesmo administrador corresponde à regra 1 e é permitida. Uma solicitação de 192.0.2.50 para TCP 25 não corresponde a nenhuma das regras e chega ao bloqueio por padrão.

Separe serviços expostos do trabalho interno

Uma sub-rede protegida, também chamada de zona desmilitarizada (DMZ), abriga serviços públicos, como um servidor web. Ela fica atrás de regras que diferenciam a internet externa, a zona de serviços públicos e a rede interna. Se o servidor público for comprometido, os recursos internos ainda terão um limite controlado separado.

Um sistema de detecção de intrusão (IDS) examina uma cópia do tráfego de uma porta de espelhamento ou de um dispositivo de acesso ao tráfego de rede e emite alertas. Um sistema de prevenção de intrusão (IPS) fica em linha e pode descartar o tráfego enquanto ele passa. Ambos podem usar assinaturas de ataques conhecidos ou detectar comportamentos que diferem de uma linha de base normal. Assinaturas precisam de atualizações; a detecção de anomalias pode encontrar ataques desconhecidos, mas também gera alarmes falsos.

Um falso positivo sinaliza tráfego inofensivo; um falso negativo deixa de detectar um ataque real. Falsos positivos em um IPS em linha podem interromper o acesso de usuários legítimos. Um dispositivo de gerenciamento unificado de ameaças (UTM) combina funções como firewall, IPS, verificação, filtragem e rede privada virtual (VPN). A proteção ainda precisa de várias camadas: tráfego web ou de e-mail permitido pode transportar conteúdo prejudicial.

Dispositivos especializados de rede acrescentam serviços ao caminho básico de comutação e roteamento. Escolha um dispositivo pela função que desempenha. Um equipamento físico e uma máquina virtual podem executar a mesma função de rede.

Distribua e retransmita solicitações

Um balanceador de carga distribui solicitações entre um grupo de servidores atrás de um endereço virtual compartilhado. Ele verifica a integridade dos servidores e deixa de selecionar um servidor com falha. Com alternância circular entre S1, S2 e S3, as solicitações de 1 a 7 vão para S1, S2, S3, S1, S2, S3 e S1. Se S2 falhar na verificação de integridade, novas solicitações alternam entre S1 e S3. O menor número de conexões é outro método: escolhe-se o servidor com menos sessões ativas.

Um proxy direto age em nome de usuários que fazem solicitações à internet. Ele pode filtrar sites, armazenar conteúdo em cache e registrar acessos. Um proxy reverso age em nome de servidores que recebem solicitações, cuidando de tarefas como criptografia, armazenamento em cache ou distribuição de carga. Uma rede de distribuição de conteúdo (CDN) mantém cópias em muitos locais para que usuários recebam conteúdo de servidores próximos, reduzindo o atraso e a carga no servidor de origem.

Conecte unidades ou usuários remotos com segurança

Uma rede privada virtual (VPN) transporta tráfego de rede por um túnel criptografado sobre uma rede pública. Uma VPN entre redes interliga redes por gateways. Uma VPN de acesso remoto conecta o dispositivo de um usuário à organização. Um concentrador VPN termina muitos túneis de usuários remotos.

Uma configuração de tunelamento completo envia o tráfego de internet do dispositivo pelo túnel. Uma configuração de tunelamento dividido envia o tráfego selecionado da empresa pelo túnel e permite que outros tráfegos usem a conexão local à internet. Um proxy direto retransmite solicitações de uma aplicação; essa é uma função diferente de transportar tráfego de rede por um túnel. Verifique qual tráfego uma VPN está configurada para transportar antes de prever seu caminho.

Arquivos, blocos de disco e energia elétrica

O NAS geralmente usa os protocolos de arquivos SMB ou NFS. Uma SAN pode usar Fibre Channel ou iSCSI sobre Ethernet. Usuários veem uma pasta compartilhada no NAS; um servidor vê um volume de blocos da SAN. A diferença está no tipo de acesso oferecido, não apenas na quantidade de unidades de disco no gabinete.

Servidores empresariais costumam ser montados em racks e executar várias máquinas virtuais. Funções de rede como firewalls, roteadores e balanceadores de carga também podem ser executadas como dispositivos virtuais. Coloque os comutadores, o roteador e o firewall em alimentação protegida, além dos servidores: um servidor em funcionamento não consegue atender aos usuários por um comutador desligado. Um balanceador de carga mantém novas solicitações longe de servidores com falha, mas não restaura dados excluídos; backups atendem a essa finalidade.

Uma rede de pequena empresa tem uma sequência de funções conectadas. A linha do provedor termina em um modem ou terminal de rede óptica (ONT). Um roteador e um firewall protegem a borda. Um comutador principal interliga os servidores e o armazenamento aos comutadores de acesso, que conectam postos de trabalho, impressoras, câmeras e pontos de acesso sem fio (APs).

Conecte um dispositivo ao lugar certo

Um caminho cabeado típico é dispositivo → cabo de conexão → tomada de parede → cabo permanente na parede → painel de conexão → cabo de conexão → porta do comutador. O painel de conexão termina o cabeamento fixo; ele não comuta o tráfego. Dispositivos fixos que precisam de desempenho estável, incluindo armazenamento, impressoras, câmeras e APs, são bons candidatos a conexões cabeadas.

Dispositivos móveis se conectam à rede local sem fio (WLAN) usando o nome da rede de funcionários, ou identificador do conjunto de serviços (SSID). Use WPA3, ou WPA2 para equipamentos antigos compatíveis. Desative o Wi-Fi Protected Setup (WPS), especialmente seu método vulnerável por PIN. Atribua endereços do protocolo de internet (IP) reservados ou fixos a impressoras, câmeras e outros periféricos fixos para que seus usuários continuem conseguindo encontrá-los.

Calcule um orçamento de potência

Um comutador tem um orçamento total de alimentação por Ethernet (PoE) de 370 W. Ele reserva 30 W para cada um de seis APs PoE+ e 15,4 W para cada uma de quatro câmeras.

1. Alocação para APs: $6\times 30=180$ W.
2. Alocação para câmeras: $4\times \mathrm{15,4}=\mathrm{61,6}$ W.
3. Alocação total: $180+\mathrm{61,6}=\mathrm{241,6}$ W.
4. Orçamento restante: $370-\mathrm{241,6}=\mathrm{128,4}$ W.

Mais quatro dispositivos de 30 W precisam de 120 W e cabem no orçamento. Cinco precisam de 150 W e não cabem. Esses são os valores de reserva do lado do comutador; a potência entregue ao dispositivo é menor. Portas livres, por si só, não mostram se mais dispositivos alimentados funcionarão.

Prepare e teste a conexão

Altere as credenciais padrão, atualize o firmware, desative serviços não usados e coloque câmeras e dispositivos inteligentes em uma VLAN separada. Um gravador de vídeo em rede (NVR) recebe gravações das câmeras; telefones de voz sobre IP (VoIP), dispositivos de controle de acesso e dispositivos de medição são outros periféricos de rede comuns.

Verifique o indicador luminoso do enlace físico. No Windows, ipconfig mostra o endereço IP, a máscara e o gateway padrão; ip addr no Linux e ifconfig no macOS mostram os endereços das interfaces. Um dispositivo Windows configurado para o protocolo de configuração dinâmica de hosts (DHCP) que atribui a si mesmo automaticamente um endereço 169.254 não obteve um endereço DHCP. Verifique seu cabo ou conexão Wi-Fi e o serviço DHCP. Use ping para testar o gateway e depois um endereço ou nome na internet; um ping bloqueado também pode impedir uma resposta.

Um notebook de funcionário que imprime em uma impressora na própria sub-rede usa AP → comutador → impressora. Para um portal na nuvem, o caminho continua pelo comutador principal, firewall/roteador, terminal do provedor e provedor de serviços de internet (ISP) em direção à nuvem. Um roteador doméstico adicionado sem planejamento pode introduzir outro serviço de endereços e uma rede adicional; um AP gerenciado é a forma adequada de ampliar o Wi-Fi empresarial.

Um centro de dados abriga servidores, armazenamento e equipamentos de rede com refrigeração, segurança física e energia redundante. Uma organização pode operar suas próprias instalações, alugar espaço para seus equipamentos por meio de hospedagem de equipamentos ou usar as instalações de um provedor de nuvem. A rede precisa conectar tanto os usuários aos serviços quanto os serviços entre si.

Racks e direções do tráfego

Um rack de 19 polegadas padrão tem painéis frontais de 482,6 mm de largura. A altura dos equipamentos usa unidades de rack: 1U = 44,45 mm, e um rack comum de altura completa comporta 42U. Um comutador no topo do rack conecta os servidores de seu próprio rack; comutadores no fim da fileira reúnem os cabos dos servidores de uma fileira de racks.

O tráfego norte-sul entra ou sai do centro de dados, como uma solicitação de usuário a um site. O tráfego leste-oeste circula entre seus servidores, como um servidor web consultando um banco de dados ou um sistema de armazenamento copiando dados para outro servidor. Esses nomes descrevem relações, não direções de bússola em uma planta baixa.

Construa caminhos previsíveis entre servidores

Em uma rede spine-leaf, servidores se conectam a comutadores leaf, e cada leaf se conecta a cada spine. Na arquitetura básica, leaves não se conectam diretamente a outros leaves, e spines não se conectam diretamente a outros spines. O tráfego entre servidores em leaves diferentes segue leaf → spine → leaf.

Com quatro spines e oito leaves, a arquitetura precisa de $4\times 8=32$ enlaces entre leaves e spines. Um servidor no leaf 2 pode alcançar o leaf 7 por qualquer um dos quatro spines. A perda de um spine deixa três desses caminhos. Adicionar um leaf fornece mais portas para servidores; adicionar um spine fornece mais capacidade entre leaves. O comprimento uniforme dos caminhos é adequado a tráfego leste-oeste intenso, que pode percorrer caminhos mais longos em uma hierarquia tradicional de campus.

Vários computadores dentro de um host

A virtualização de servidores executa várias máquinas virtuais (VMs) em um host físico. Cada VM tem seu próprio sistema operacional. Um hipervisor aloca os recursos do host e fornece o hardware virtual que as VMs usam.

Um comutador virtual conecta VMs dentro do host e as conecta à rede física pelas interfaces de rede do host. Duas VMs no mesmo comutador virtual podem trocar tráfego sem usar um comutador físico, por isso pode ser necessário aplicar controle dentro da rede virtual.

Um contêiner reúne uma aplicação e suas dependências enquanto compartilha o núcleo do sistema operacional do host. Ele geralmente é menor e inicia mais rápido que uma VM com seu próprio sistema operacional. Docker é uma plataforma conhecida de contêineres.

A virtualização de funções de rede (NFV) executa funções como roteadores e firewalls como software em servidores comuns. As redes definidas por software (SDN) separam o plano de controle, que decide os caminhos do tráfego, do plano de dados, que encaminha o tráfego. Uma controladora central coordena essas decisões em toda a rede.

A computação em nuvem fornece recursos computacionais compartilhados sob demanda por uma rede. Os recursos podem ser provisionados e liberados rapidamente, e o uso é medido. A escolha importante é quais tarefas o provedor assume e quais permanecem com o cliente.

O que torna um serviço computação em nuvem?

O Instituto Nacional de Padrões e Tecnologia dos Estados Unidos (NIST) identifica cinco características: autosserviço sob demanda, amplo acesso à rede, agrupamento de recursos, elasticidade rápida e serviço medido. Um cliente pode solicitar recursos sem esperar que alguém instale hardware, acessá-los pela rede e ajustar a capacidade de um conjunto compartilhado. A medição torna o uso e as cobranças visíveis.

Os modelos de serviço dividem o trabalho

Amazon EC2 e Azure Virtual Machines são exemplos de IaaS. Azure App Service e Google App Engine são exemplos de PaaS. O e-mail do Microsoft 365 e o Salesforce são exemplos de SaaS.

No modelo de responsabilidade compartilhada, as instalações físicas e a infraestrutura subjacente do provedor ficam sob responsabilidade dele. Os clientes continuam responsáveis por seus dados e por quem pode acessá-los. Um sistema operacional sem atualizações de segurança em uma VM IaaS é responsabilidade do cliente. Um cliente SaaS não atualiza a aplicação do provedor, mas ainda remove usuários que saíram e define direitos de acesso. A cobertura e a retenção dos backups também precisam atender às necessidades do cliente.

Modelos de implantação descrevem quem usa a nuvem

Uma nuvem pública atende a muitos clientes na infraestrutura de um provedor. A multilocação compartilha hardware físico enquanto isola logicamente os recursos dos clientes. Uma nuvem privada atende a uma organização; ela pode estar nas instalações da organização ou ser hospedada em outro local. Uma nuvem híbrida conecta recursos privados ou locais a uma nuvem pública para que cargas de trabalho e dados possam ser compartilhados. Uma nuvem comunitária atende a organizações com necessidades comuns. Multinuvem significa usar mais de um provedor público.

Uma nuvem privada hospedada e uma sala de servidores local são, portanto, ideias diferentes. “Privada” descreve o público exclusivo da nuvem, não seu endereço físico.

Aumente a capacidade e acompanhe a demanda

Escalabilidade é a capacidade de aumentar a capacidade. O escalonamento vertical usa uma máquina maior; o horizontal adiciona mais máquinas. Elasticidade adiciona e remove recursos automaticamente conforme a demanda muda.

Uma loja virtual normalmente funciona com dois servidores. Uma promoção aciona mais oito, elevando o total a dez; depois, esses oito são removidos. Adicionar mais servidores é escalonamento horizontal, e adicioná-los e removê-los automaticamente conforme a demanda demonstra elasticidade. O uso da nuvem substitui grandes compras de hardware por custos contínuos de uso e provisionamento rápido. Equipamentos locais oferecem controle direto do hardware e da localização dos dados, e serviços locais podem continuar disponíveis durante uma queda da internet.

Uma nuvem privada virtual (VPC) é uma rede logicamente isolada dentro de uma nuvem pública. O Azure chama seu serviço correspondente de rede virtual, ou VNet. O cliente escolhe as faixas de endereços, divide-as em sub-redes e controla as rotas e os filtros entre os recursos.

Separe pontos de entrada públicos de serviços privados

Considere uma VPC com a faixa 10.0.0.0/16. Sua sub-rede pública, 10.0.1.0/24, abriga um balanceador de carga acessível ao público. Sua sub-rede privada, 10.0.2.0/24, abriga servidores de aplicações e um banco de dados.

Uma sub-rede pública tem uma rota para um gateway de internet. Um recurso acessível pela internet também precisa de endereçamento público adequado e regras que permitam o tráfego. Uma sub-rede privada não tem uma rota direta da internet para seus recursos. Seus servidores ainda podem fazer conexões de saída por um gateway de tradução de endereços de rede (NAT), por exemplo, para baixar atualizações. Esse gateway permite as respostas às conexões iniciadas sem oferecer aos clientes da internet uma forma direta de iniciar conexões com os servidores privados.

Colocar o banco de dados atrás de um limite privado mantém os visitantes externos no ponto de entrada. A aplicação acessa o banco de dados por um caminho interno permitido. Os rótulos “pública” e “privada” descrevem organizações de roteamento; eles devem ser compatíveis com os endereços e as regras para produzir o acesso pretendido.

Aplique filtros no nível certo

Grupos de segurança são associados a instâncias ou interfaces de rede. Listas de controle de acesso à rede (ACLs de rede) se aplicam nos limites das sub-redes. O comportamento varia conforme o provedor; na Amazon Web Services (AWS):

Para uma instalação simples de servidor web e banco de dados, permita a entrada na porta TCP 443 do grupo do servidor web para visitantes externos. Permita a porta TCP 3306 do banco de dados apenas para membros do grupo do servidor web. A regra do banco de dados limita a origem à camada web; ela não concede o mesmo acesso a todos os visitantes da internet. Combine esses filtros com roteamento privado e mantenha o banco de dados sem um caminho de entrada público.

Conecte o escritório à nuvem

Uma VPN entre redes criptografa o tráfego entre o gateway do escritório e a rede em nuvem pela internet. Ela é rápida de estabelecer e relativamente barata, mas depende da velocidade e do atraso variáveis da internet. Usuários remotos individuais usam uma VPN de acesso remoto.

Uma conexão privada dedicada, como AWS Direct Connect, Azure ExpressRoute ou Google Cloud Interconnect, evita a internet pública e fornece largura de banda e latência mais previsíveis. Ela custa mais e leva mais tempo para ser providenciada. “Conexão privada” identifica o caminho de transporte; não deduza desse nome uma garantia de criptografia.

Na arquitetura da loja virtual, o balanceador de carga público aceita visitantes, os servidores privados obtêm atualizações por NAT e os administradores usam a VPN entre o escritório e a nuvem. Manter esses três caminhos separados permite descrever exatamente quem pode iniciar cada conexão.

Um diagrama de rede transforma um conjunto de dispositivos e enlaces em uma representação que um técnico pode usar. Escolha a representação que responde à pergunta: onde algo está instalado, a qual rede pertence, como o tráfego circula ou quanto espaço ocupa no rack.

Escolha o desenho certo

Desenhos de camada 1 enfatizam cabos e portas. Desenhos de camada 2 enfatizam comutadores, VLANs e enlaces tronco, que transportam várias VLANs. Desenhos de camada 3 enfatizam roteadores, sub-redes, endereços do protocolo de internet (IP) e gateways. Detalhes físicos e lógicos também podem aparecer em desenhos combinados, por isso leia os rótulos e a legenda.

Interprete símbolos e rótulos

Convenções comuns representam um roteador como um círculo com setas, um comutador como uma caixa achatada, um firewall como uma parede de tijolos, um ponto de acesso (AP) com ondas de rádio e um servidor como uma torre ou dispositivo de rack. Uma nuvem oculta os detalhes internos da internet ou da rede de um provedor. Linhas contínuas frequentemente representam enlaces cabeados; linhas tracejadas podem representar enlaces sem fio ou túneis de rede privada virtual (VPN). A legenda determina o significado naquele desenho.

Um nome como “HQ-SW-02” identifica o segundo comutador da sede. Na notação comum da Cisco, “Gi1/0/2” identifica uma porta GigabitEthernet, enquanto “Te1/1/1” identifica uma porta de 10 gigabits. Rótulos como “1G” ou “10G” mostram a velocidade do enlace; “192.168.20.0/24” identifica uma sub-rede, e “VLAN 20 Visitantes” informa o número e a finalidade de uma rede lógica.

Acompanhe um caminho completo

Um desenho conecta Internet → FW1 → CORE-SW → ACC-SW1 → AP1. O enlace tronco do comutador transporta a VLAN 10 de funcionários e a VLAN 20 de visitantes. O servidor SRV1 está em CORE-SW na VLAN 30.

O caminho de um telefone de visitante até a internet é telefone → AP1 → ACC-SW1 → CORE-SW → FW1 → Internet. Para decidir se ele pode acessar SRV1, verifique as políticas de roteamento e firewall entre a VLAN 20 e a VLAN 30. Compartilhar um caminho físico de comutadores não concede permissão entre redes separadas.

Conte o espaço no rack

Um rack de 42U tem $42\times \mathrm{44,45}=\mathrm{1.866,9}$ mm de altura de montagem. Dois painéis de conexão de 1U, dois comutadores de acesso de 1U, um firewall de 1U, um roteador de 1U, dois servidores de 2U, uma unidade de armazenamento de 2U e uma unidade de bateria de 2U usam:

$2+2+1+1+4+2+2=14$ U.

Restam $42-14=28$ U de espaço total de montagem. O diagrama de elevação mostra onde está esse espaço livre. Verifique a data, a versão e a condição de conforme executado do desenho antes de usá-lo para uma mudança.

Registros úteis permitem que outro técnico entenda a instalação sem precisar adivinhar. Atualize-os conforme a rede muda e mantenha uma cópia acessível durante uma interrupção. Uma instalação tecnicamente correta também precisa de uma entrega que os usuários possam acompanhar.

Mantenha registros com funções claras

Um inventário de ativos registra marca, modelo, número de série, localização, versão de firmware ou software, licenças e garantia de cada dispositivo. Inclua marcos do ciclo de vida, especialmente as datas de término das correções de segurança e do suporte técnico. Um anúncio de fim de vida inicia um processo de ciclo de vida; ele não necessariamente encerra as atualizações naquele dia.

O gerenciamento de endereços IP (IPAM) registra sub-redes e endereços atribuídos, reservados ou livres. Ele ajuda a evitar atribuições duplicadas e mostra onde encontrar dispositivos fixos, como impressoras e câmeras. Mantenha o plano de endereçamento consistente com os dispositivos realmente instalados.

Identifique as duas extremidades de cada cabo, além do painel de conexão e da tomada. Um mapa de cabeamento relaciona essas etiquetas ao serviço. Uma linha pode indicar: tomada “2.14” → painel B porta 14 → comutador ACC-SW2 porta 14 → VLAN 10 → impressora PRN-2F. Assim, um técnico pode identificar a porta correta sem puxar cabos para descobrir suas extremidades.

Registre o resultado instalado e cada mudança

A documentação conforme executado mostra o que foi realmente instalado, incluindo mudanças feitas durante o trabalho. O plano original registra a intenção; o registro conforme executado apoia a manutenção posterior. O gerenciamento de mudanças registra e aprova mudanças antes que aconteçam. Faça backup das configurações dos dispositivos e mantenha uma linha de base comprovadamente funcional para que uma mudança com falha possa ser revertida.

Se uma impressora for movida para outra tomada, atualize sua localização, a linha do mapa de cabeamento e o desenho afetado. Verifique se o registro de endereço e as informações da porta do comutador ainda correspondem à instalação. Uma única entrada correta entre vários registros contraditórios desperdiça tempo durante uma interrupção.

Interprete um compromisso de serviço

Um acordo de nível de serviço (SLA) define metas mensuráveis, como disponibilidade e tempo de resposta. Para converter a disponibilidade anual em tempo de indisponibilidade, primeiro determine a fração indisponível. Para um ano de 365 dias:

$365\times 24=8.760$ horas.

Com disponibilidade de 99,9%, a parcela indisponível é 0,1%, ou 0,001:

$\mathrm{0,001}\times 8.760=\mathrm{8,76}$ horas.

Com 99,99%, ela é 0,01%, ou 0,0001:

$\mathrm{0,0001}\times 8.760\times 60=\mathrm{52,56}$ minutos.

Leia o período de medição e as exclusões do contrato ao aplicar um SLA a um serviço real. Disponibilidade é diferente da rapidez com que o provedor responde inicialmente a um relato de falha.

Entregue o serviço em linguagem simples

Um breve guia do usuário explica a qual rede Wi-Fi de funcionários ou visitantes se conectar, como fazer a conexão, como adicionar a impressora necessária, quais são as regras de senha e a quem recorrer. Apresente as tarefas aos usuários e verifique se conseguem executá-las. Dê ao usuário uma instrução útil como “Conecte-se à rede Escritório e entre com sua conta de funcionário.”

Mantenha senhas de administrador e credenciais de acesso aos dispositivos em um gerenciador de senhas ou cofre protegido. Elas não devem ficar em um guia do usuário nem em um diagrama. Armazene uma cópia dos registros técnicos acessível durante uma interrupção, como uma pasta impressa no rack ou uma cópia protegida fora da rede que ela descreve.