Guia Definitivo de Switching Corporativo: Arquitetura, VLANs, Layer 2, Layer 3, PoE, STP e Dimensionamento de Redes de Alta Performance

Independentemente do fabricante escolhido, seja Cisco, HPE Aruba Networking, Huawei eKit, Fortinet, Juniper ou Extreme Networks, toda infraestrutura de rede moderna possui um elemento em comum: o switch.

Embora Access Points, Firewalls, Servidores e aplicações em nuvem recebam grande parte da atenção nos projetos de infraestrutura, é o switching que conecta todos esses componentes e garante que a comunicação ocorra de forma rápida, previsível e segura.

Nos últimos anos, o papel dos switches evoluiu significativamente. Eles deixaram de ser simples equipamentos responsáveis pelo encaminhamento de quadros Ethernet para se tornarem plataformas inteligentes capazes de executar funções de roteamento, segmentação, segurança, qualidade de serviço (QoS), alimentação elétrica via PoE, telemetria e automação.

Essa transformação foi impulsionada por diversas tendências tecnológicas:

• Crescimento do trabalho híbrido;
• Adoção de aplicações em nuvem;
• Expansão do Wi-Fi 6, Wi-Fi 6E e Wi-Fi 7;
• Popularização de dispositivos IoT;
• Telefonia IP;
• Videoconferência em alta definição;
• Inteligência Artificial;
• Automação industrial;
• Redes definidas por software (SDN).

Como consequência, erros de projeto no switching passaram a impactar diretamente toda a infraestrutura corporativa.

Um switch subdimensionado pode limitar a velocidade da rede, comprometer o desempenho dos Access Points, impedir a alimentação elétrica de dispositivos PoE, aumentar a latência das aplicações e dificultar futuras expansões.

Por outro lado, um projeto bem elaborado proporciona:

• maior disponibilidade;
• escalabilidade;
• segurança;
• facilidade de gerenciamento;
• melhor experiência para os usuários;
• redução do custo operacional.

É justamente por isso que projetos de switching devem ser conduzidos como projetos de engenharia, considerando não apenas a quantidade de portas disponíveis, mas também arquitetura, redundância, crescimento, capacidade de backbone, potência PoE, segmentação lógica e requisitos específicos do negócio.

Neste Guia Definitivo, apresentaremos uma visão completa sobre Switching Corporativo, abordando desde os conceitos fundamentais até práticas avançadas utilizadas em projetos empresariais, industriais, hospitalares, educacionais e centros logísticos.

O que você aprenderá neste guia

Ao final da leitura você será capaz de compreender:

• Como funciona o switching Ethernet;
• Diferenças entre hubs, bridges, switches e roteadores;
• O processo de aprendizagem de endereços MAC;
• Como switches Layer 2 e Layer 3 operam;
• Quando utilizar VLANs;
• Como funciona o STP e por que ele evita loops;
• O papel do Link Aggregation e do Stack;
• Como calcular o PoE Budget;
• Como dimensionar uplinks e backbone;
• Como escolher switches para Wi-Fi 7;
• Como projetar arquiteturas corporativas escaláveis;
• Quais erros evitar em projetos de switching.

Índice

1. O que é Switching?
2. Como funciona um Switch Ethernet
3. Como os switches aprendem endereços MAC
4. Arquitetura Hierárquica de Redes
5. Switches Layer 2
6. Switches Layer 3
7. VLANs
8. Protocolos STP, RSTP e MSTP
9. Link Aggregation e Stack
10. Ethernet Multigigabit
11. Power over Ethernet (PoE)
12. QoS em redes corporativas
13. Segurança em Switching
14. Switching para Wi-Fi 6, Wi-Fi 6E e Wi-Fi 7
15. Switching Industrial
16. Como dimensionar switches
17. Arquiteturas recomendadas
18. Checklist Técnico Xtech
19. Erros mais comuns
20. Engenharia em Campo
21. FAQ

1. O que é Switching?

O switching é o processo de encaminhamento inteligente de quadros Ethernet dentro de uma rede local (LAN), permitindo que dispositivos se comuniquem de maneira eficiente, rápida e organizada.

Enquanto um hub replica todos os pacotes para todas as portas, um switch identifica o dispositivo de destino e envia os dados apenas para a porta correta.

Essa característica reduz significativamente o tráfego desnecessário, melhora o desempenho da rede e aumenta a segurança da comunicação.

Em outras palavras, o switch funciona como um sistema inteligente de distribuição de tráfego, garantindo que cada quadro Ethernet seja entregue apenas ao destinatário correto.

Exemplo prático

Imagine um escritório com:

• 120 computadores;
• 45 telefones IP;
• 30 câmeras;
• 28 Access Points;
• impressoras;
• servidores;
• dispositivos IoT.

Sem switching inteligente, todo pacote transmitido seria recebido por todos os equipamentos da rede.

Além de desperdiçar largura de banda, esse comportamento aumentaria colisões, reduziria a performance e comprometeria aplicações críticas.

O switch elimina esse problema ao manter uma tabela de endereços MAC e encaminhar o tráfego somente para a porta correspondente ao destino.

Evolução dos equipamentos de rede

Da conectividade à inteligência da rede

Os primeiros switches tinham uma única responsabilidade: encaminhar quadros Ethernet entre dispositivos.

Os equipamentos atuais incorporam recursos muito mais avançados, como:

• VLANs;
• Roteamento entre VLANs;
• Qualidade de Serviço (QoS);
• Alimentação PoE/PoE++;
• Controle de acesso (ACLs);
• Autenticação IEEE 802.1X;
• Monitoramento por telemetria;
• Automação baseada em APIs;
• Integração com controladores SDN;
• Segmentação dinâmica.

Essa evolução transformou o switch em um elemento estratégico da infraestrutura de TI, capaz de suportar aplicações críticas e atender às demandas de ambientes altamente conectados.

✔ Recomendação da Xtech

Ao planejar uma infraestrutura de switching, evite basear a escolha apenas na quantidade de portas ou no menor preço. Avalie também:

• capacidade de comutação (switching capacity);
• taxa de encaminhamento (forwarding rate);
• buffers;
• recursos de redundância;
• suporte a protocolos de camada 2 e camada 3;
• capacidade PoE;
• velocidade dos uplinks;
• possibilidades de expansão e empilhamento.

Em muitos projetos, o custo inicial representa apenas uma pequena parte do investimento total. Escolher uma plataforma adequada desde o início reduz retrabalho, facilita futuras expansões e prolonga o ciclo de vida da infraestrutura.

2. Como funciona um Switch Ethernet

Para entender por que os switches são tão eficientes, é necessário compreender como eles processam os quadros Ethernet.

Sempre que um dispositivo transmite informações na rede, ele encapsula os dados em um quadro Ethernet (Ethernet Frame), que contém, entre outros campos:

• Endereço MAC de origem;
• Endereço MAC de destino;
• Tipo de protocolo (EtherType);
• Dados transportados (payload);
• Verificação de integridade (FCS).

Quando esse quadro chega a uma porta do switch, o equipamento executa uma sequência de decisões em poucos microssegundos:

1. Aprende o endereço MAC de origem e o associa à porta de entrada.
2. Consulta sua tabela CAM para localizar o MAC de destino.
3. Se o destino for conhecido, encaminha o quadro apenas para a porta correspondente.
4. Se o destino for desconhecido, realiza um flooding controlado, enviando o quadro para as demais portas da mesma VLAN (exceto a porta de origem).
5. Atualiza continuamente a tabela de endereços, removendo entradas antigas após o tempo de aging configurado.

Esse processo ocorre milhões de vezes por segundo em switches corporativos modernos, permitindo comunicação eficiente com baixa latência e alta disponibilidade.

3. Como os Switches Aprendem Endereços MAC

Um dos principais diferenciais entre um switch e um hub é a sua capacidade de aprender automaticamente onde cada dispositivo está conectado.

Esse processo ocorre continuamente e de forma totalmente transparente para o usuário.

Sempre que um quadro Ethernet chega a uma porta do switch, o equipamento analisa o endereço MAC de origem e registra essa informação em uma tabela interna chamada CAM Table (Content Addressable Memory), também conhecida por alguns fabricantes como MAC Address Table ou Forwarding Database (FDB).

É essa tabela que permite ao switch encaminhar os quadros apenas para o destino correto, evitando transmissões desnecessárias para toda a rede.

O que é um endereço MAC?

Todo equipamento conectado a uma rede Ethernet possui um identificador único chamado Media Access Control Address (MAC Address).

Esse endereço é gravado pelo fabricante da interface de rede e normalmente possui 48 bits, representados em formato hexadecimal.

Exemplo: 00:1A:2B:4C:5D:6E

Os primeiros 24 bits identificam o fabricante (OUI – Organizationally Unique Identifier), enquanto os 24 bits finais identificam o dispositivo.

Exemplos de dispositivos que possuem MAC Address

• Notebook
• Desktop
• Servidor
• Impressora
• Telefone IP
• Access Point
• Câmera IP
• Switch
• Firewall
• Smart TV
• Coletor de dados
• Dispositivos IoT

Praticamente qualquer equipamento Ethernet possui pelo menos um endereço MAC.

Como funciona o aprendizado?

Imagine o cenário abaixo.

Inicialmente, a CAM Table está vazia.

Primeiro pacote

O Notebook envia um quadro ao servidor.

O switch recebe o pacote pela Porta 1.

A primeira ação do switch é:

Aprender o MAC de origem.

Tabela:

Agora o switch já sabe onde está localizado esse notebook.

Destino desconhecido

Em seguida o switch verifica o MAC de destino.

Destino:

BB-BB-BB-BB-BB-BB

Como esse endereço ainda não existe na CAM Table, o switch não sabe onde está o servidor.

Então ocorre um processo chamado:

Unknown Unicast Flooding

O quadro é enviado para todas as portas da mesma VLAN, exceto para a porta de origem.

O servidor recebe o pacote.

Todos os demais equipamentos simplesmente o descartam.

Resposta do servidor

O servidor responde ao Notebook.

Agora acontece exatamente o mesmo processo.

O switch aprende:

Próximas comunicações

Agora o switch já conhece ambos os dispositivos.

Quando o Notebook enviar novos quadros:

Esse comportamento reduz drasticamente:

• Broadcasts desnecessários;
• Colisões;
• Consumo de banda;
• Latência.

Como funciona a CAM Table

A CAM Table é uma memória extremamente rápida.

Ela pode armazenar milhares ou até milhões de endereços MAC dependendo do modelo do switch.

Exemplo.

Observe que o mesmo endereço MAC sempre está associado a:

• uma VLAN
• uma porta

Entradas Dinâmicas

Normalmente os switches aprendem os dispositivos automaticamente.

Essas entradas são chamadas de:

Dynamic MAC Addresses.

Caso um notebook seja desconectado, o switch removerá essa informação após determinado tempo.

Esse mecanismo chama-se:

Aging Timer.

Aging Timer

Imagine um notebook que foi desligado.

O switch não pode manter eternamente essa informação.

Por isso existe um temporizador.

Na maioria dos fabricantes:

Tempo padrão:

300 segundos (5 minutos)

✔ Recomendação da Xtech

Evite alterar o Aging Timer sem uma necessidade específica. O valor padrão costuma representar um equilíbrio entre atualização rápida da tabela e estabilidade da operação.

Entradas Estáticas

Alguns equipamentos críticos podem possuir MACs cadastrados manualmente.

Exemplo:

Servidor

Controladora Wi-Fi

Firewall

Equipamentos industriais

Nesses casos a entrada permanece fixa.

Mesmo que o dispositivo fique desligado.

Como o Switch decide o que fazer?

Sempre que um quadro chega ao switch, ele executa uma lógica bastante simples.

Esse algoritmo é executado milhões de vezes por segundo.

Os quatro processos fundamentais do Switching

Todo switch Ethernet executa quatro operações básicas.

1. Learning

Aprende o endereço MAC de origem.

Atualiza a CAM Table.

2. Forwarding

Destino conhecido.

Envia apenas para a porta correta.

3. Flooding

Destino desconhecido.

Replica para todas as portas da mesma VLAN.

4. Filtering

Se origem e destino estiverem na mesma porta:

O quadro é descartado.

Não faz sentido retransmiti-lo.

Comparativo dos processos

Broadcast

Existe uma exceção importante.

Alguns quadros precisam ser enviados para todos os dispositivos.

Exemplos:

ARP

DHCP Discover

Alguns protocolos de descoberta

Nesses casos o endereço MAC de destino é:

FF:FF:FF:FF:FF:FF

Esse endereço representa um Broadcast Ethernet.

Todo equipamento pertencente àquela VLAN receberá esse quadro.

Broadcast Domain

Cada VLAN representa um domínio de broadcast.

Isso significa que:

Broadcasts da VLAN 10

↓

Não chegam à VLAN 20.

Essa é uma das principais vantagens da segmentação lógica.

Mais adiante veremos em detalhes como as VLANs reduzem tráfego desnecessário e aumentam a segurança da rede.

Engenharia em Campo

Durante uma auditoria realizada pela equipe da Xtech em um ambiente corporativo, identificamos uma degradação significativa no desempenho da rede causada por uma CAM Table instável. Após a investigação, constatou-se que um switch de acesso estava conectado em loop por meio de um cabo instalado incorretamente durante uma expansão.

Como consequência, o switch aprendia e reaprendia continuamente os mesmos endereços MAC em portas diferentes, fenômeno conhecido como MAC Flapping. Esse comportamento provocava encaminhamento incorreto de quadros, aumento do uso da CPU dos switches e perda intermitente de conectividade para diversos usuários.

A correção consistiu em eliminar o loop físico, habilitar o Rapid Spanning Tree Protocol (RSTP) e configurar mecanismos de proteção como BPDU Guard e Loop Guard nas portas de acesso.

Lição aprendida

Uma CAM Table saudável deve apresentar estabilidade. Alterações constantes de um mesmo endereço MAC entre portas diferentes são um forte indicativo de loops, conexões incorretas ou movimentação inadequada de equipamentos.

4. Arquitetura Hierárquica de Redes

À medida que as organizações cresceram, também aumentou a complexidade de suas redes.

O modelo antigo, baseado em um único switch central conectando todos os equipamentos, tornou-se insuficiente para atender aos requisitos atuais de desempenho, disponibilidade, segurança e escalabilidade.

Foi nesse contexto que surgiu a Arquitetura Hierárquica de Redes, um modelo amplamente adotado pela indústria que organiza a infraestrutura em camadas com responsabilidades bem definidas.

Essa abordagem oferece diversas vantagens:

• maior desempenho;
• facilidade de expansão;
• simplificação da administração;
• redução de domínios de falha;
• melhor escalabilidade;
• maior disponibilidade.

Na metodologia XNA Framework, esse modelo representa a base para praticamente todos os projetos corporativos.

O Modelo Hierárquico

Uma rede corporativa normalmente é composta por três camadas.

Por que dividir a rede em camadas?

Imagine um campus empresarial com:

• 1.500 usuários;
• 320 Access Points;
• 180 câmeras IP;
• 450 telefones IP;
• dezenas de switches;
• servidores;
• storage;
• aplicações críticas.

Se todos esses equipamentos fossem conectados diretamente entre si, a administração seria extremamente complexa.

Além disso:

• qualquer falha afetaria toda a empresa;
• seria difícil expandir a infraestrutura;
• o troubleshooting seria lento;
• haveria desperdício de banda.

A arquitetura hierárquica resolve esses problemas separando funções.

Camada de Acesso (Access Layer)

A camada de acesso representa o ponto onde os dispositivos finais se conectam à infraestrutura.

É nela que encontramos praticamente todos os equipamentos utilizados pelos colaboradores.

Equipamentos conectados

• Computadores
• Notebooks
• Impressoras
• Telefones IP
• Access Points
• Câmeras IP
• Coletores RF
• Dispositivos IoT
• Equipamentos industriais
• Smart TVs
• Terminais de autoatendimento

Principais funções

A camada de acesso é responsável por:

• conectar usuários;
• autenticar dispositivos;
• alimentar equipamentos PoE;
• aplicar VLANs;
• implementar QoS;
• realizar controle de acesso;
• aplicar políticas de segurança.

Recursos normalmente encontrados

• PoE+
• PoE++
• VLAN
• Voice VLAN
• Port Security
• 802.1X
• LLDP
• LLDP-MED
• QoS
• STP
• RSTP
• LACP

Velocidades mais comuns

✔ Recomendação da Xtech

Ao projetar a camada de acesso, considere não apenas a quantidade atual de portas, mas também a expansão prevista para os próximos cinco anos. É comum reservar entre 20% e 30% de portas livres, evitando substituições prematuras dos switches.

Camada de Distribuição (Distribution Layer)

A camada de distribuição atua como um ponto de agregação entre os switches de acesso e o núcleo da rede.

É também nessa camada que normalmente são implementadas diversas funções inteligentes.

Principais responsabilidades

• agregação dos switches de acesso;
• roteamento entre VLANs;
• aplicação de ACLs;
• políticas de QoS;
• redundância;
• sumarização de rotas;
• controle de broadcast;
• alta disponibilidade.

Serviços implementados

• Inter-VLAN Routing
• VRRP
• HSRP
• ACL
• OSPF
• QoS
• DHCP Relay
• Multicast

Por que ela é importante?

Imagine que existam:

30 switches de acesso.

Em vez de todos se conectarem diretamente ao Core, eles são agrupados em switches de distribuição.

Isso reduz:

• quantidade de conexões;
• complexidade;
• custo;
• risco operacional.

Exemplo

Essa arquitetura facilita redundância.

Caso um switch de distribuição apresente falha, outro pode assumir sua função.

Camada Core (Core Layer)

O Core representa o backbone da infraestrutura.

Seu principal objetivo é transportar grandes volumes de tráfego com:

• baixa latência;
• alta disponibilidade;
• máxima capacidade.

Ao contrário da camada de distribuição, o Core deve evitar processamento desnecessário.

Seu foco é encaminhar pacotes da forma mais rápida possível.

Características

• Altíssima capacidade
• Baixa latência
• Redundância
• Alta disponibilidade
• Uplinks ópticos
• Hardware de alto desempenho

Velocidades comuns

Engenharia em Campo

Em um projeto conduzido pela Xtech para um campus corporativo com mais de 900 colaboradores, verificou-se que o Core existente utilizava enlaces de 1 Gb/s, suficientes quando a empresa operava apenas aplicações locais.

Com a migração para Microsoft 365, videoconferências em alta definição e expansão do Wi-Fi 6, o backbone passou a operar frequentemente acima de 85% de utilização, provocando aumento de latência e degradação do desempenho em horários de pico.

A solução adotada foi substituir os enlaces por conexões ópticas redundantes de 25 Gb/s, mantendo os switches de acesso existentes. A mudança eliminou o gargalo do backbone sem a necessidade de substituir toda a infraestrutura.

Lição aprendida

O desempenho da rede é limitado pelo elo mais lento da arquitetura. Em muitos projetos, o problema não está nos Access Points ou nos switches de acesso, mas na capacidade insuficiente do Core.

Arquitetura Colapsada (Collapsed Core)

Nem todas as empresas precisam das três camadas.

Organizações de pequeno e médio porte frequentemente adotam uma arquitetura conhecida como Collapsed Core, na qual as funções de Core e Distribuição são concentradas em um único conjunto de switches.

Exemplo

Vantagens

• menor custo;
• menor complexidade;
• implantação mais rápida;
• administração simplificada.

Limitações

• menor escalabilidade;
• menor capacidade de crescimento;
• expansão mais limitada em grandes ambientes.

Quando utilizar?

Comparativo entre as camadas

A Arquitetura na metodologia XNA

Na metodologia XNA Framework, a definição da arquitetura ocorre durante a etapa de Arquitetura, após o entendimento do negócio e o diagnóstico do ambiente.

A decisão entre uma arquitetura hierárquica completa ou um Core colapsado leva em consideração fatores como:

• número de usuários;
• quantidade de switches;
• crescimento previsto;
• criticidade das aplicações;
• necessidade de alta disponibilidade;
• orçamento disponível;
• requisitos de desempenho.

Essa abordagem evita superdimensionamentos e garante que a infraestrutura permaneça escalável ao longo de seu ciclo de vida.

📐 Diagrama recomendado para esta seção

Este capítulo merece um diagrama em estilo Xtech Academy mostrando:

• Internet;
• Firewall NGFW;
• Dois switches de Core redundantes;
• Dois switches de Distribuição;
• Múltiplos switches de Acesso PoE;
• Access Points, notebooks, câmeras IP, telefones IP e impressoras conectados;
• Links de 10/25/40 Gb entre Core e Distribuição;
• Links de 1/2,5/5/10 Gb com PoE entre Acesso e dispositivos;
• Identificação visual das três camadas (Core, Distribuição e Acesso).

Esse será um dos principais diagramas do artigo e poderá ser reutilizado em diversos outros conteúdos da Xtech Academy.

5. Switches Layer 2

Os switches Layer 2 (L2) são responsáveis pelo encaminhamento de quadros Ethernet dentro de uma mesma rede local (LAN).

Seu funcionamento baseia-se na análise dos endereços MAC, permitindo que os dispositivos troquem informações com alta velocidade e baixa latência, sem a necessidade de roteamento.

Mesmo com a popularização dos switches Layer 3, os equipamentos Layer 2 continuam sendo amplamente utilizados na camada de acesso, onde sua função principal é conectar dispositivos finais de maneira eficiente e segura.

Na maioria das empresas, mais de 80% dos switches instalados pertencem à camada de acesso, tornando esse tipo de equipamento um dos componentes mais importantes da infraestrutura.

O que significa Camada 2?

O modelo OSI (Open Systems Interconnection) divide a comunicação em sete camadas.

O Layer 2 corresponde à Camada de Enlace de Dados (Data Link Layer).

Seu objetivo é garantir a comunicação entre dispositivos pertencentes ao mesmo domínio de rede.

Enquanto a Camada 3 trabalha com endereços IP, a Camada 2 utiliza exclusivamente endereços MAC.

Modelo OSI (Resumo)

O papel do Layer 2

O switch Layer 2 responde perguntas como:

• Em qual porta está o dispositivo de destino?
• O quadro pertence a esta VLAN?
• Existe algum loop ativo?
• Posso encaminhar este quadro imediatamente?

Ele não decide rotas IP nem realiza comunicação entre redes diferentes. Essa função pertence aos equipamentos Layer 3.

Como um Switch Layer 2 toma decisões?

O processo de decisão ocorre em poucos microssegundos.

Sempre que um quadro Ethernet chega ao switch, ele executa a seguinte sequência lógica:

Todo esse processamento é realizado por hardware especializado (ASICs), permitindo que switches modernos encaminhem milhões de quadros por segundo.

O que um Switch Layer 2 NÃO faz?

Apesar de extremamente rápido, existem limitações importantes.

Um switch Layer 2 não realiza:

• Roteamento IP;
• Comunicação entre sub-redes;
• Inter-VLAN Routing;
• Protocolos de roteamento (OSPF, BGP, RIP);
• NAT;
• Balanceamento de carga IP.

Essas funções pertencem aos switches Layer 3 ou aos roteadores.

Domínio de Colisão

Antes dos switches se tornarem populares, as redes utilizavam hubs.

Nos hubs, todos os dispositivos compartilhavam o mesmo meio físico.

Como consequência:

Apenas um equipamento podia transmitir por vez.

Caso dois dispositivos transmitissem simultaneamente, ocorria uma colisão.

Exemplo

Como o Switch resolveu esse problema?

Cada porta do switch representa um domínio de colisão independente.

Agora:

PC1 pode transmitir.

PC3 também pode transmitir.

Ao mesmo tempo.

Sem colisões.

Esse foi um dos maiores avanços da Ethernet moderna.

Full Duplex

Os switches atuais trabalham quase exclusivamente em Full Duplex.

Isso significa que transmissão e recepção ocorrem simultaneamente.

Como consequência:

• não existe CSMA/CD;
• não existem colisões;
• maior desempenho;
• menor latência.

Domínio de Broadcast

Embora cada porta represente um domínio de colisão separado, todas as portas pertencentes à mesma VLAN compartilham o mesmo domínio de broadcast.

Isso significa que um pacote ARP, por exemplo, será recebido por todos os dispositivos daquela VLAN.

Exemplo

Se PC1 enviar um ARP:

Todos recebem.

Agora imagine:

O broadcast da VLAN 10 não alcança a VLAN 20.

Essa é uma das principais razões para a utilização de VLANs em ambientes corporativos.

Tipos de Comutação

Nem todos os switches encaminham quadros da mesma forma.

Existem três métodos clássicos de comutação.

Store-and-Forward

É o método mais utilizado atualmente.

Vantagens

✔ Detecta quadros corrompidos.

✔ Maior confiabilidade.

✔ Compatível com velocidades diferentes.

Desvantagens

Pequeno aumento de latência.

Recomendação

É o modo utilizado na maioria dos switches corporativos.

Cut-Through

Neste método o switch começa a encaminhar o quadro assim que lê o endereço MAC de destino.

Não espera o recebimento completo.

Vantagens

Latência extremamente baixa.

Desvantagens

Pode encaminhar quadros corrompidos.

Aplicações

• Datacenters;
• HPC;
• Redes financeiras;
• Ambientes de baixíssima latência.

Fragment-Free

Representa um meio-termo.

O switch aguarda os primeiros 64 bytes.

Caso não existam colisões ou erros iniciais:

Encaminha imediatamente.

Comparativo

ASICs – O cérebro do Switch

Uma dúvida comum é:

Por que um switch consegue encaminhar milhões de quadros por segundo enquanto um computador comum não?

A resposta está nos ASICs (Application-Specific Integrated Circuits).

Diferentemente de um processador convencional, os ASICs são circuitos dedicados exclusivamente às funções de switching.

Eles executam em hardware tarefas como:

• consulta à CAM Table;
• encaminhamento de quadros;
• marcação de VLANs;
• QoS;
• ACLs;
• filtragem de tráfego;
• inspeção básica.

Graças a esses chips especializados, o processamento ocorre em velocidade de linha (line rate), sem depender da CPU principal para cada quadro recebido.

Capacidade de Comutação (Switching Capacity)

Um erro muito comum é escolher um switch apenas pela quantidade de portas.

Na prática, um dos indicadores mais importantes é a Switching Capacity, também chamada de Backplane Capacity.

Ela representa a quantidade máxima de dados que o switch consegue processar simultaneamente.

Exemplo

Switch: 48 portas Gigabit

Cada porta: 1 Gb/s Full Duplex

Cálculo: 48 × 1 × 2 = 96 Gb/s

Portanto, para operar todas as portas simultaneamente sem gargalos, esse switch deveria possuir uma capacidade mínima de 96 Gb/s.

Exemplo comparativo

Perceba que switches com a mesma quantidade de portas podem apresentar capacidades internas muito diferentes.

Taxa de Encaminhamento (Forwarding Rate)

Outro indicador frequentemente ignorado é a Forwarding Rate, medida em Mpps (Milhões de Pacotes por Segundo).

Ela representa quantos pacotes o switch consegue encaminhar por segundo.

Em aplicações com muitos pacotes pequenos, como voz sobre IP, IoT e ambientes industriais, esse parâmetro é tão importante quanto a largura de banda.

Exemplo

✔ Recomendação da Xtech

Ao comparar switches de fabricantes diferentes, nunca considere apenas:

• quantidade de portas;
• velocidade das interfaces;
• suporte a PoE.

Avalie também:

• Switching Capacity;
• Forwarding Rate;
• tamanho dos buffers;
• quantidade máxima de endereços MAC;
• capacidade da tabela ARP;
• quantidade de VLANs suportadas;
• desempenho do hardware (ASICs);
• suporte a recursos avançados de QoS e segurança.

Esses parâmetros são determinantes para a longevidade e o desempenho da infraestrutura.

Engenharia em Campo

Em uma substituição de switches realizada pela Xtech em um centro administrativo, o cliente possuía dois equipamentos de 48 portas Gigabit com especificações aparentemente idênticas. Ambos ofereciam PoE+, VLANs e gerenciamento web.

Entretanto, durante períodos de pico, usuários relatavam lentidão em aplicações de voz e videoconferência.

Após análise das especificações técnicas, identificou-se que o modelo antigo possuía Switching Capacity de apenas 104 Gb/s e Forwarding Rate de 77 Mpps, enquanto o modelo recomendado oferecia 176 Gb/s e 131 Mpps.

A troca eliminou os gargalos sem alterar o cabeamento ou a quantidade de Access Points.

Lição aprendida

A quantidade de portas não mede o desempenho de um switch. Em projetos corporativos, a capacidade interna de processamento é tão importante quanto a velocidade das interfaces.

6. Switches Layer 3

Durante muitos anos existia uma divisão muito clara:

• Switches conectavam dispositivos.
• Roteadores interligavam redes.

Com a evolução das redes corporativas, essa separação deixou de fazer sentido.

O aumento do número de VLANs, o crescimento das aplicações em nuvem e a necessidade de reduzir latência impulsionaram o desenvolvimento dos Switches Layer 3, equipamentos capazes de realizar tanto a comutação Ethernet quanto o roteamento IP em hardware.

Hoje, em praticamente toda infraestrutura corporativa moderna, os switches Layer 3 ocupam posições estratégicas na camada de Distribuição e, frequentemente, também no Core.

O que é um Switch Layer 3?

Um Switch Layer 3 combina duas funções:

• Switch Ethernet (Camada 2) → encaminhamento baseado em endereço MAC.
• Roteador IP (Camada 3) → encaminhamento baseado em endereço IP.

Na prática, ele consegue decidir:

“Este pacote permanece na mesma VLAN?”

ou

“Este pacote precisa ser encaminhado para outra rede?”

Essa decisão ocorre em microssegundos, utilizando ASICs dedicados, sem depender exclusivamente da CPU do equipamento.

Layer 2 × Layer 3

Quando um Switch Layer 2 deixa de ser suficiente?

Imagine uma empresa com três departamentos:

Financeiro

192.168.10.0/24

Comercial

192.168.20.0/24

Engenharia

192.168.30.0/24

Cada departamento está isolado em sua própria VLAN.

Todos os computadores da VLAN 10 conseguem conversar entre si.

O mesmo ocorre nas VLANs 20 e 30.

Entretanto:

O computador da VLAN 10 não consegue acessar um servidor localizado na VLAN 20.

Por quê?

Porque um switch Layer 2 não realiza roteamento entre redes diferentes.

Surge o Inter-VLAN Routing

Para permitir a comunicação entre VLANs, é necessário um dispositivo capaz de operar na Camada 3.

Existem duas possibilidades:

• utilizar um roteador;
• utilizar um switch Layer 3.

Hoje, a segunda opção é adotada na maioria dos projetos corporativos devido ao melhor desempenho e à menor latência.

O que é Inter-VLAN Routing?

Inter-VLAN Routing é o processo de permitir que dispositivos pertencentes a VLANs diferentes se comuniquem.

Exemplo:

Quando o computador envia um pacote para o servidor, o switch identifica que o destino pertence a outra rede IP.

Em seguida:

• consulta sua tabela de roteamento;
• determina a interface de saída;
• reescreve o quadro Ethernet;
• encaminha o pacote para a VLAN correta.

Tudo isso acontece em hardware, praticamente sem impacto perceptível na latência.

SVI – Switched Virtual Interface

Para que uma VLAN possa ser roteada, o switch precisa possuir uma interface lógica chamada SVI (Switched Virtual Interface).

Cada VLAN normalmente possui uma SVI correspondente.

Exemplo:

Essas interfaces funcionam como o gateway padrão para os dispositivos de cada VLAN.

Como ocorre o roteamento?

Vamos acompanhar um exemplo.

PC Financeiro

IP:

192.168.10.50

Servidor

IP:

192.168.20.100

Gateway Financeiro

192.168.10.1

Passo 1

O computador verifica:

“O destino pertence à minha rede?”

Resposta:

Não.

Passo 2

O pacote é enviado ao gateway.

192.168.10.1

Passo 3

O Switch Layer 3 recebe o pacote.

Consulta sua tabela de roteamento.

↓

Destino:

192.168.20.0/24

↓

Interface VLAN 20

Passo 4

O switch monta um novo quadro Ethernet.

Mantém o pacote IP original.

Altera apenas:

• MAC de origem;
• MAC de destino.

Passo 5

O servidor recebe o pacote.

Todo esse processo leva poucos microssegundos.

Tabela de Roteamento

Assim como um roteador, um switch Layer 3 mantém uma tabela de rotas.

Exemplo:

Quando o destino pertence a uma rede conhecida, o encaminhamento ocorre diretamente.

Caso contrário, utiliza-se a rota padrão em direção ao firewall ou roteador de borda.

ARP continua existindo

Mesmo realizando roteamento, o switch ainda precisa descobrir o endereço MAC do próximo dispositivo.

Para isso utiliza o protocolo ARP.

Por isso, switches Layer 3 mantêm simultaneamente:

• CAM Table;
• ARP Table;
• Routing Table.

As três tabelas fundamentais

Essas tabelas trabalham de forma integrada para permitir comunicação rápida e eficiente.

Protocolos de Roteamento

Em pequenas redes, as rotas podem ser configuradas manualmente.

Entretanto, ambientes corporativos maiores utilizam protocolos dinâmicos.

Os mais comuns são:

• OSPF
• BGP (em grandes organizações e provedores)
• IS-IS (ambientes específicos)
• RIP (legado)

O OSPF é o protocolo predominante em redes corporativas por sua rápida convergência e escalabilidade.

Recursos avançados de um Switch Layer 3

Além do roteamento, esses equipamentos normalmente oferecem:

• ACLs (Access Control Lists);
• DHCP Relay;
• VRRP;
• HSRP;
• ECMP;
• QoS avançado;
• Multicast;
• VRFs;
• IPv6;
• Policy-Based Routing (PBR).

Esses recursos tornam o switch Layer 3 uma peça central da arquitetura.

Onde utilizar Layer 3?

A escolha depende do papel desempenhado pelo equipamento.

Na prática:

• Camada de Acesso: predominância de switches Layer 2 com recursos de segurança e PoE.
• Camada de Distribuição: switches Layer 3 realizando roteamento entre VLANs.
• Core: switches Layer 3 de alta capacidade, com redundância e protocolos de roteamento.

✔ Recomendação da Xtech

Evite utilizar um único switch Layer 3 para concentrar todas as funções da rede em ambientes críticos.

Sempre que possível, implemente dois equipamentos em alta disponibilidade, utilizando protocolos como VRRP ou HSRP, garantindo continuidade da operação em caso de falha.

Além disso, mantenha o princípio de separar funções:

• Core: transporte rápido e resiliente.
• Distribuição: políticas, ACLs e roteamento.
• Acesso: conexão dos dispositivos finais.

Essa organização facilita a manutenção, reduz impactos de mudanças e aumenta a escalabilidade.

Engenharia em Campo

Em um projeto de modernização conduzido pela Xtech para um hospital, toda a comunicação entre VLANs era realizada por um roteador conectado em uma única interface trunk (router-on-a-stick). Durante períodos de pico, aplicações como prontuário eletrônico, telefonia IP e PACS apresentavam aumento de latência e perda de desempenho.

Após a migração do roteamento para dois switches Layer 3 redundantes na camada de distribuição, o tráfego passou a ser encaminhado diretamente em hardware. O resultado foi uma redução significativa na utilização do roteador, menor latência entre VLANs e maior disponibilidade da infraestrutura.

Lição aprendida

O roteamento entre VLANs deve ocorrer o mais próximo possível da origem do tráfego, preferencialmente na camada de distribuição, utilizando switches Layer 3 de alto desempenho. Essa arquitetura reduz gargalos, melhora a escalabilidade e prepara a rede para futuras expansões.

7. VLANs — O Guia Definitivo de Segmentação de Redes

Uma das maiores revoluções introduzidas pelos switches gerenciáveis foi a capacidade de dividir uma única infraestrutura física em diversas redes lógicas independentes.

Essa tecnologia é conhecida como VLAN (Virtual Local Area Network).

Hoje, praticamente toda rede corporativa utiliza VLANs para organizar usuários, aumentar a segurança, reduzir domínios de broadcast e facilitar a administração da infraestrutura.

Sem VLANs, empresas com centenas ou milhares de dispositivos operariam em um único domínio de broadcast, tornando a rede lenta, insegura e extremamente difícil de gerenciar.

O que é uma VLAN?

Uma VLAN é uma rede lógica criada sobre uma infraestrutura física de switching.

Em outras palavras:

Um único switch pode comportar diversas redes independentes, mesmo utilizando o mesmo cabeamento.

Imagine um prédio corporativo onde trabalham três departamentos:

• Financeiro
• Comercial
• Engenharia

Todos utilizam o mesmo switch.

Fisicamente existe apenas uma infraestrutura.

Logicamente teremos três redes diferentes.

             Switch

 ┌──────────────────────────────┐

 Porta 1 → Financeiro

 Porta 2 → Financeiro

 Porta 3 → Comercial

 Porta 4 → Comercial

 Porta 5 → Engenharia

 Porta 6 → Engenharia

 └──────────────────────────────┘

Embora todos estejam conectados ao mesmo equipamento, os computadores do Financeiro não recebem o tráfego de broadcast do Comercial ou da Engenharia.

É como se existissem três switches separados funcionando dentro de um único equipamento.

Por que as VLANs foram criadas?

Antes das VLANs, toda a empresa pertencia ao mesmo domínio de broadcast.

Isso significava que protocolos como:

• ARP
• DHCP Discover
• NetBIOS
• alguns protocolos de descoberta

eram enviados para todos os computadores da rede.

Imagine uma empresa com:

• 2.000 computadores
• 300 impressoras
• 250 telefones IP
• 180 câmeras
• 250 Access Points

Sem VLANs:

Todos os broadcasts seriam recebidos por todos os dispositivos.

O desperdício de banda seria enorme.

O problema do Broadcast

Exemplo.

Um notebook envia um ARP.

Pergunta:

“Quem possui o IP 192.168.10.20?”

Sem VLANs:

Todos recebem.

Mesmo quem não participa da comunicação precisa processar esse pacote.

Agora imagine milhares de dispositivos.

A solução

Criamos VLANs.

Benefícios das VLANs

A utilização de VLANs oferece vantagens muito além da simples organização da rede.

Entre os principais benefícios estão:

• Redução do domínio de broadcast;
• Melhor desempenho da rede;
• Maior segurança;
• Separação lógica entre departamentos;
• Facilidade de administração;
• Aplicação de políticas específicas;
• Escalabilidade;
• Isolamento de dispositivos críticos.

Além disso, VLANs permitem criar redes independentes para diferentes tipos de dispositivos, mesmo utilizando a mesma infraestrutura física.

Exemplos de segmentação

Uma empresa pode utilizar a seguinte estrutura:

Essa segmentação melhora a organização e facilita a aplicação de políticas de segurança.

VLAN ID

Cada VLAN possui um identificador numérico.

Esse número é chamado de:

VLAN ID

O padrão IEEE 802.1Q permite:

VLAN 1

até

VLAN 4094

As VLANs 0 e 4095 possuem funções especiais e não são utilizadas para segmentação convencional.

A VLAN 1

Por padrão, praticamente todos os switches possuem a VLAN 1 criada automaticamente.

Embora funcional, não é recomendável utilizá-la para usuários corporativos.

✔ Recomendação da Xtech

Reserve a VLAN 1 apenas para funções padrão do equipamento e crie VLANs específicas para usuários, servidores e gerenciamento. Essa prática reduz riscos de segurança e facilita a administração.

Como um Switch identifica a VLAN?

Quando um quadro Ethernet chega a uma porta de acesso (Access Port), o switch já sabe previamente a qual VLAN essa porta pertence.

Exemplo:

Assim, qualquer dispositivo conectado à porta Gi1/0/1 será automaticamente associado à VLAN 10.

Access Port

Uma Access Port transporta apenas uma VLAN.

Ela é utilizada para conectar dispositivos finais.

Exemplos:

• Computadores;
• Impressoras;
• Telefones IP (quando sem Voice VLAN);
• Servidores;
• Coletores;
• Câmeras.

Exemplo

Todo o tráfego dessa porta pertence exclusivamente à VLAN 20.

Trunk Port

Uma Trunk Port é utilizada quando precisamos transportar várias VLANs simultaneamente.

Ela normalmente conecta:

• Switch ↔ Switch;
• Switch ↔ Firewall;
• Switch ↔ Access Point;
• Switch ↔ Hypervisor;
• Switch ↔ Controladora Wi-Fi.

Exemplo

Nesse enlace passam várias VLANs ao mesmo tempo.

IEEE 802.1Q

Como o switch sabe a qual VLAN um quadro pertence ao atravessar um link trunk?

A resposta está no padrão IEEE 802.1Q.

Esse padrão adiciona uma pequena informação ao quadro Ethernet chamada:

Tag VLAN

Essa marcação contém o VLAN ID correspondente.

Quadro Ethernet tradicional

MAC Destino | MAC Origem | Dados | FCS

Quadro Ethernet com 802.1Q

MAC Destino | MAC Origem | TAG VLAN | Dados | FCS

Essa pequena modificação permite transportar milhares de VLANs pelo mesmo enlace físico.

Tagged e Untagged

Existem dois tipos principais de quadros.

Tagged

Possuem a marcação IEEE 802.1Q.

São utilizados em links trunk.

Untagged

Não possuem marcação.

São utilizados em portas de acesso.

Comparativo

Engenharia em Campo

Em uma expansão de escritório realizada pela Xtech, um novo switch foi conectado ao backbone utilizando uma porta configurada como Access, quando o correto seria uma Trunk. Como consequência, apenas a VLAN padrão era transportada entre os equipamentos, enquanto redes de telefonia IP, Wi-Fi corporativo e câmeras permaneciam inacessíveis.

A identificação do problema foi rápida por meio da análise da tabela de VLANs e da configuração das interfaces. Após a correção para o modo trunk, todas as VLANs passaram a trafegar normalmente pelo enlace.

Lição aprendida

Falhas na configuração de portas de acesso e trunk estão entre as causas mais comuns de indisponibilidade em redes corporativas. Padronizar configurações e documentar as VLANs reduz significativamente esse tipo de ocorrência.

Native VLAN

Quando um enlace opera em modo Trunk, praticamente todos os quadros Ethernet são transmitidos utilizando a marcação IEEE 802.1Q.

Existe, porém, uma exceção.

Uma VLAN pode trafegar sem marcação (Untagged).

Essa VLAN recebe o nome de:

Native VLAN

Como funciona?

Imagine dois switches ligados por uma porta Trunk.

Nesse exemplo:

• VLAN 10 → Tagged
• VLAN 20 → Tagged
• VLAN 30 → Tagged
• VLAN 99 → Native VLAN (sem tag)

Por que a Native VLAN existe?

Historicamente, ela foi criada para permitir compatibilidade com equipamentos que não suportavam IEEE 802.1Q.

Hoje praticamente todos os equipamentos suportam VLAN Tagging.

Mesmo assim, a Native VLAN continua existindo.

Problema de Segurança

Uma configuração incorreta da Native VLAN pode permitir ataques conhecidos como:

VLAN Hopping

Nesse tipo de ataque, um invasor tenta acessar outra VLAN utilizando falhas na configuração dos links Trunk.

✔ Recomendação da Xtech

Nunca utilize a VLAN 1 como Native VLAN.

Adote uma VLAN exclusiva, sem usuários conectados, apenas para essa finalidade.

Exemplo:

VLAN 999

Nome:

Native-Blackhole

Essa VLAN não deve possuir:

• usuários;
• servidores;
• Access Points;
• impressoras;
• câmeras.

Ela existe apenas para reduzir riscos de segurança.

Voice VLAN

Como isso é possível?

Graças à Voice VLAN.

Funcionamento

O telefone IP recebe duas conexões lógicas.

Dessa forma:

Os dados permanecem separados da telefonia.

Benefícios

• QoS simplificado
• Maior segurança
• Menor broadcast
• Facilidade de troubleshooting
• Melhor desempenho do VoIP

Como o telefone descobre a Voice VLAN?

Na maioria dos fabricantes isso ocorre através de:

LLDP-MED

ou

Cisco Discovery Protocol (CDP)

O switch informa automaticamente ao telefone qual VLAN utilizar.

Management VLAN

Outra boa prática é separar o gerenciamento da infraestrutura.

Ao invés de acessar switches utilizando a VLAN dos usuários:

Criamos uma VLAN exclusiva.

Exemplo.

VLAN 120

Management

Nela ficam:

• Switches
• Firewalls
• Controladoras Wi-Fi
• Access Points
• UPS inteligentes
• Storages
• Servidores de gerenciamento

Vantagens

• Maior segurança
• ACLs específicas
• Monitoramento simplificado
• Menor exposição

✔ Recomendação da Xtech

Nunca permita acesso administrativo aos equipamentos utilizando VLANs de usuários.

Sempre utilize uma VLAN exclusiva para gerenciamento.

Private VLAN (PVLAN)

Imagine um hotel.

Todos os quartos pertencem à mesma rede.

Mas:

Um hóspede não deve enxergar o notebook do outro.

A mesma necessidade ocorre em:

• Hotéis
• Hospitais
• Datacenters
• Redes de visitantes
• Ambientes acadêmicos

A solução é:

Private VLAN

Como funciona?

Em uma VLAN tradicional.

Todos conseguem conversar entre si.

Agora:

Private VLAN.

Os clientes:

✔ acessam o servidor.

❌ não acessam uns aos outros.

Tipos de PVLAN

Existem três tipos.

Promiscuous Port

Pode conversar com todas.

Normalmente:

Servidor.

Gateway.

Firewall.

Isolated Port

Só conversa com portas Promiscuous.

Não conversa com outras Isolated.

Community Port

Pode conversar apenas com portas da mesma comunidade.

Muito utilizada em datacenters.

VLAN para Wi-Fi

Redes Wi-Fi modernas normalmente utilizam diversas VLANs.

Exemplo.

Cada SSID é associado automaticamente à sua VLAN correspondente.

VLAN para IoT

IoT merece uma VLAN própria.

Motivos.

• Segurança
• Broadcast
• Atualizações
• ACLs
• Baixa confiança

Exemplos.

• Sensores
• Leitores RFID
• Controladores
• Smart TVs
• Automação Predial

VLAN para CFTV

Câmeras IP geram grande volume de tráfego.

Além disso:

Muitas possuem firmware pouco atualizado.

Boa prática.

VLAN 80

CFTV

Com ACLs específicas.

Permitindo apenas acesso ao:

• NVR
• Servidor VMS
• Estação de Monitoramento

VLAN para Impressoras

Parece exagero.

Mas faz bastante sentido.

Impressoras normalmente:

• permanecem anos sem atualização;
• utilizam protocolos antigos;
• possuem páginas web abertas.

Uma VLAN específica facilita:

• segurança;
• controle;
• auditoria.

Exemplo completo de segmentação

Observe que existe uma separação tanto funcional (voz, CFTV, IoT) quanto organizacional (Financeiro, RH, Engenharia). Em muitos projetos, combinar esses dois critérios facilita a aplicação de políticas de acesso e o crescimento da infraestrutura.

Planejamento de VLANs

Um dos maiores erros encontrados em redes corporativas é criar VLANs “conforme a necessidade aparece”.

Exemplo.

Empresa começa com:

VLAN 2

Depois cria:

VLAN 11

Depois:

VLAN 55

Depois:

VLAN 127

Depois:

VLAN 350

Depois:

VLAN 401

Depois ninguém sabe mais o que significa cada uma.

Recomendação

Planeje desde o início.

Por exemplo.

Essa padronização facilita documentação, troubleshooting e futuras expansões.

Engenharia em Campo

Em uma empresa com aproximadamente 1.200 colaboradores, a equipe da Xtech encontrou mais de 180 VLANs criadas ao longo de vários anos, sem qualquer convenção de nomenclatura ou documentação. Algumas VLANs não possuíam mais dispositivos conectados, outras estavam duplicadas entre filiais e diversas ACLs faziam referência a identificadores incorretos.

Foi realizado um processo de racionalização, reduzindo a infraestrutura para 48 VLANs padronizadas, agrupadas por função e criticidade. Além da simplificação operacional, o projeto reduziu o tempo médio de troubleshooting e facilitou futuras expansões da rede.

Lição aprendida

Uma VLAN mal planejada não gera problemas imediatamente, mas compromete a escalabilidade da rede ao longo dos anos. Investir tempo no desenho da segmentação lógica é muito mais barato do que reorganizar centenas de dispositivos após o crescimento da empresa.

Checklist Xtech para Planejamento de VLANs

Antes de implantar ou expandir uma infraestrutura, valide os seguintes itens:

Organização

• VLANs possuem nomenclatura padronizada.
• Existe documentação com ID, nome e finalidade de cada VLAN.
• Há uma convenção para novos projetos.

Segurança

• VLAN de gerenciamento separada.
• VLAN de visitantes isolada.
• IoT e CFTV segregados.
• Native VLAN dedicada e sem dispositivos.

Operação

• SSIDs mapeados corretamente para as VLANs.
• Trunks documentados.
• ACLs revisadas.
• Gateways e SVIs identificados.

Escalabilidade

• Faixas de VLAN reservadas para crescimento.
• Política de criação de novas VLANs definida.
• Inventário atualizado.

8. Spanning Tree Protocol (STP) — O Guia Definitivo

Quando uma empresa cresce, é natural adicionar novos switches para aumentar a quantidade de portas, ampliar a cobertura Wi-Fi ou criar caminhos redundantes.

A redundância é essencial para garantir alta disponibilidade. Afinal, se um enlace falhar, outro deve assumir automaticamente.

No entanto, existe um grande problema.

As redes Ethernet tradicionais não conseguem lidar com caminhos redundantes ativos sem um mecanismo de controle.

Sem esse mecanismo, ocorre o chamado loop de camada 2, uma das falhas mais críticas em redes corporativas.

Foi justamente para resolver esse problema que surgiu o Spanning Tree Protocol (STP), padronizado pelo IEEE como 802.1D.

O problema dos loops Ethernet

Imagine dois switches conectados por dois cabos.

À primeira vista parece uma excelente ideia.

Se um cabo falhar, o outro continua funcionando.

Na prática, porém, sem STP, ambos os enlaces permanecem ativos.

Como o Ethernet não possui um mecanismo nativo para impedir que um quadro circule indefinidamente, o resultado é um ciclo infinito de encaminhamento.

O que acontece durante um loop?

Imagine um broadcast ARP.

O quadro nunca desaparece.

Cada switch continua reenviando o pacote para o outro.

Em poucos segundos ocorre uma Broadcast Storm.

Broadcast Storm

Uma Broadcast Storm acontece quando milhares ou milhões de quadros de broadcast começam a circular continuamente pela rede.

Os sintomas são:

• utilização de 100% dos links;
• CPU elevada nos switches;
• degradação da telefonia IP;
• videoconferências interrompidas;
• perda de conectividade;
• lentidão generalizada;
• indisponibilidade de aplicações.

Em muitos casos, a rede inteira deixa de responder.

MAC Flapping

Outro efeito comum dos loops é o MAC Flapping.

Lembre-se de que o switch aprende endereços MAC observando a porta por onde o quadro chega.

Durante um loop, o mesmo endereço MAC passa a aparecer alternadamente em portas diferentes.

Exemplo:

O switch passa a reaprender continuamente o mesmo dispositivo.

Como consequência:

• encaminhamento incorreto;
• perda de pacotes;
• instabilidade;
• mensagens de log indicando MAC Move ou MAC Flapping.

Múltiplos Quadros Duplicados

Além dos broadcasts, quadros unicast também podem ser duplicados.

Imagine um servidor recebendo exatamente o mesmo pacote dezenas de vezes.

Aplicações sensíveis, como bancos de dados, VoIP e sistemas industriais, podem apresentar comportamento imprevisível.

A solução: STP

O objetivo do STP é simples.

Ele identifica automaticamente os caminhos redundantes da rede e mantém apenas um caminho ativo.

Os demais permanecem em espera.

Caso o caminho principal falhe, o enlace bloqueado é liberado automaticamente.

Como o STP funciona?

O primeiro passo é escolher um switch que será considerado o centro lógico da rede.

Esse equipamento recebe o nome de:

Root Bridge

Todos os demais switches calculam o melhor caminho até ele.

Os enlaces redundantes são bloqueados para evitar loops.

Eleição da Root Bridge

A eleição da Root Bridge é baseada no Bridge ID (BID).

O Bridge ID é composto por:

• prioridade (Bridge Priority);
• endereço MAC do switch.

Representação simplificada:

Bridge Priority

Por padrão, a prioridade é:

32768

Quanto menor o valor, maior a chance de o switch tornar-se a Root Bridge.

Exemplo

Em projetos corporativos, a Root Bridge deve ser definida intencionalmente, e não deixada para uma eleição automática.

✔ Recomendação da Xtech

Configure manualmente a Root Bridge nos switches de Core ou Distribuição.

Nunca permita que um switch de acesso, conectado a poucos usuários, seja eleito como Root Bridge apenas por possuir um endereço MAC menor.

BPDU – Bridge Protocol Data Unit

Para que todos os switches conheçam a topologia da rede, eles trocam mensagens especiais chamadas:

BPDUs (Bridge Protocol Data Units).

Esses quadros não transportam dados de usuários.

Sua função é informar:

• quem é a Root Bridge;
• custo dos enlaces;
• Bridge ID dos switches;
• alterações na topologia.

As BPDUs são fundamentais para manter a árvore lógica da rede atualizada.

Root Port

Após conhecer a Root Bridge, cada switch escolhe sua melhor porta em direção a ela.

Essa interface recebe o nome de:

Root Port.

Cada switch não-root possui apenas uma Root Port.

Exemplo

Essa será sempre a porta utilizada para alcançar a Root Bridge.

Designated Port

Em cada segmento da rede, uma porta é eleita para encaminhar o tráfego.

Ela recebe o nome de:

Designated Port.

Essas portas permanecem no estado de encaminhamento (Forwarding).

Alternate Port

Quando existem caminhos redundantes, uma das portas permanece bloqueada.

Essa interface é chamada de:

Alternate Port (no RSTP).

Ela não encaminha tráfego de usuários, mas permanece monitorando a topologia.

Se o caminho principal falhar, torna-se ativa rapidamente.

Estados das portas no STP clássico (802.1D)

O STP tradicional utiliza cinco estados.

Durante uma convergência, a porta percorre esses estados antes de começar a encaminhar tráfego.

Esse processo pode levar de 30 a 50 segundos, dependendo da configuração.

Convergência

Convergência é o tempo necessário para que todos os switches concordem com uma nova topologia após uma alteração.

Exemplos de eventos:

• queda de um enlace;
• desligamento de um switch;
• substituição de um equipamento;
• inclusão de um novo switch.

Quanto menor o tempo de convergência, menor o impacto para os usuários.

Engenharia em Campo

Durante a expansão de uma unidade industrial, um novo switch foi instalado por uma equipe terceirizada. Na tentativa de aumentar a disponibilidade, dois enlaces foram conectados entre switches de acesso, porém o equipamento recém-instalado possuía o STP desabilitado.

Em menos de um minuto, a rede apresentou uma Broadcast Storm. Sistemas supervisórios perderam comunicação, Access Points ficaram inacessíveis e a telefonia IP tornou-se indisponível.

A equipe da Xtech identificou rapidamente um aumento abrupto de tráfego broadcast e mensagens de MAC Flapping em diversos switches. Após isolar o enlace em loop e reativar o protocolo STP, a operação foi restabelecida.

Lição aprendida

Redundância sem controle de topologia é um risco, não uma vantagem. Todo enlace redundante em uma rede Layer 2 deve ser protegido por STP (ou por tecnologias equivalentes) e validado durante a implantação.

Evolução do Spanning Tree

O primeiro STP foi criado em uma época em que as redes Ethernet eram pequenas.

Naquele cenário, uma convergência de 30 a 50 segundos era aceitável.

Hoje isso seria desastroso.

Imagine interromper durante 40 segundos:

• uma chamada Microsoft Teams;
• uma cirurgia assistida por vídeo;
• um sistema MES industrial;
• um cluster VMware;
• um sistema ERP.

Por esse motivo surgiram novas versões do protocolo.

Evolução histórica

O objetivo permaneceu o mesmo:

Eliminar loops Ethernet.

O que mudou foi a velocidade com que a rede reage às mudanças de topologia.

Rapid Spanning Tree Protocol (RSTP)

O RSTP (IEEE 802.1w) é atualmente o protocolo padrão na maioria dos switches corporativos.

Ele mantém toda a lógica do STP tradicional, porém reduz drasticamente o tempo de convergência.

Na prática:

Um enlace que demorava cerca de 40 segundos para ser restabelecido no STP clássico pode voltar a operar em poucos segundos com o RSTP.

O que mudou?

No STP clássico:

Os estados foram simplificados, reduzindo o tempo necessário para que uma porta entre em operação.

Novos papéis das portas

Além das portas Root e Designated, o RSTP introduziu funções adicionais.

A presença da Alternate Port permite que o protocolo ative rapidamente um caminho alternativo sem recalcular toda a topologia.

Exemplo

Se o enlace principal falhar, a porta Alternate muda para o estado Forwarding quase imediatamente.

Multiple Spanning Tree Protocol (MSTP)

O MSTP (IEEE 802.1s) foi criado para ambientes que utilizam muitas VLANs.

Imagine um campus com:

• 150 VLANs;
• dezenas de switches;
• múltiplos enlaces redundantes.

Executar uma instância independente de STP para cada VLAN consumiria recursos desnecessários.

O MSTP resolve esse problema agrupando várias VLANs em uma mesma instância de Spanning Tree.

Exemplo

Assim, diversas VLANs compartilham a mesma árvore lógica.

Benefícios do MSTP

• menor consumo de CPU;
• menor utilização de memória;
• melhor escalabilidade;
• suporte a centenas de VLANs;
• convergência rápida.

Por esse motivo, é amplamente utilizado em grandes campi, universidades, hospitais e datacenters.

Path Cost

Quando existem vários caminhos até a Root Bridge, o STP precisa escolher o melhor.

Para isso utiliza um parâmetro chamado Path Cost.

Quanto menor o custo, mais desejável é o enlace.

Custos típicos

Observe que enlaces mais rápidos possuem custos menores e, portanto, tendem a ser escolhidos como caminho principal.

Como o caminho é escolhido?

Imagine a seguinte topologia:

Embora existam dois caminhos possíveis, o STP escolherá preferencialmente o enlace de 10 Gb/s, pois apresenta menor custo.

PortFast

Em uma rede convencional, toda nova porta precisa participar do processo de convergência do STP.

Isso pode atrasar a conexão de computadores e telefones IP.

O recurso PortFast elimina esse atraso em portas onde não existe risco de loops.

Onde utilizar?

Somente em portas conectadas a:

• computadores;
• notebooks;
• impressoras;
• telefones IP;
• câmeras;
• Access Points (quando recomendados pelo fabricante);
• dispositivos finais em geral.

Onde NÃO utilizar?

Nunca habilite PortFast em portas que conectam:

• switches;
• firewalls em bridge;
• hubs;
• equipamentos de camada 2 desconhecidos.

Nesses casos, um loop pode ser introduzido imediatamente.

BPDU Guard

O BPDU Guard complementa o PortFast.

Seu funcionamento é simples:

Se uma porta configurada para dispositivos finais receber uma BPDU, algo está errado.

Provavelmente alguém conectou um switch onde deveria existir apenas um computador.

Funcionamento

A porta entra automaticamente em estado de erro (err-disable), impedindo que um possível loop afete a rede.

✔ Recomendação da Xtech

Habilite BPDU Guard em todas as portas de acesso configuradas com PortFast. Essa combinação reduz significativamente o risco de loops causados por conexões indevidas de switches não autorizados.

Root Guard

O Root Guard impede que um switch inesperado seja eleito como Root Bridge.

Imagine que um usuário conecte um switch de baixo custo com prioridade configurada incorretamente.

Sem proteção, ele poderia assumir o papel de Root Bridge e alterar toda a topologia da rede.

Com o Root Guard:

• a porta permanece monitorando as BPDUs;
• se detectar uma tentativa de eleição indevida, bloqueia o enlace;
• a Root Bridge planejada permanece inalterada.

Loop Guard

Há situações em que uma porta deixa de receber BPDUs por falha física ou defeito no enlace.

Sem proteção adicional, o switch pode assumir incorretamente que aquele caminho está livre e colocá-lo em estado de encaminhamento.

O Loop Guard evita esse comportamento.

Enquanto a situação não é normalizada, a porta permanece em estado de proteção, impedindo a formação de loops.

Bridge Assurance

Em ambientes críticos, alguns fabricantes oferecem o recurso Bridge Assurance.

Seu objetivo é validar continuamente a troca de BPDUs entre switches.

Caso um enlace deixe de trocar essas mensagens de controle, ele é automaticamente retirado de operação.

Esse mecanismo aumenta a disponibilidade e reduz o risco de falhas silenciosas.

UDLD (UniDirectional Link Detection)

Nem toda falha de fibra óptica interrompe completamente o enlace.

Em alguns casos, a transmissão continua funcionando em apenas um sentido.

Essa condição é conhecida como falha unidirecional.

O protocolo UDLD detecta esse tipo de problema.

Exemplo:

Sem o UDLD, o STP pode interpretar incorretamente a topologia e criar situações de instabilidade.

Comparativo dos mecanismos de proteção

Engenharia em Campo

Durante a expansão de um campus educacional, um colaborador conectou um pequeno switch doméstico para adicionar portas em uma sala de aula. O equipamento foi ligado entre duas tomadas de rede diferentes, criando um loop físico.

Felizmente, todas as portas de acesso estavam configuradas com PortFast e BPDU Guard. Assim que o switch doméstico começou a enviar BPDUs, as interfaces foram automaticamente desabilitadas, isolando o problema antes que ele afetasse o restante da infraestrutura.

Lição aprendida

Os mecanismos de proteção do STP não são opcionais em redes corporativas. Recursos como PortFast, BPDU Guard, Root Guard e Loop Guard devem fazer parte do padrão de configuração de qualquer ambiente profissional, reduzindo riscos operacionais e aumentando a disponibilidade da rede

Boas práticas Xtech para STP

Antes de colocar uma rede em produção, valide os seguintes pontos:

• Definir manualmente a Root Bridge e uma Root secundária.
• Utilizar RSTP ou MSTP em vez do STP clássico.
• Habilitar PortFast apenas em portas de acesso.
• Ativar BPDU Guard em todas as portas PortFast.
• Utilizar Root Guard nas interfaces voltadas para a camada de acesso.
• Habilitar Loop Guard em enlaces redundantes.
• Utilizar UDLD em enlaces ópticos críticos.
• Documentar a topologia lógica e os caminhos redundantes.
• Validar a convergência durante testes de aceitação.

9. Link Aggregation (LACP, EtherChannel e Port Channel)

À medida que as redes crescem, também aumenta a necessidade de transportar grandes volumes de dados entre switches, servidores, storages, firewalls e controladoras Wi-Fi.

Em muitos casos, um único enlace de 1 Gb/s ou mesmo de 10 Gb/s deixa de ser suficiente.

Uma solução seria substituir todos os equipamentos por interfaces de maior velocidade.

Entretanto, isso normalmente implica custos elevados.

Uma alternativa muito mais eficiente consiste em combinar diversos enlaces físicos em um único enlace lógico.

Essa tecnologia é chamada de Link Aggregation.

O que é Link Aggregation?

Link Aggregation é a técnica que permite unir duas ou mais interfaces físicas para formar uma única conexão lógica.

Para os equipamentos conectados, esse conjunto é visto como uma única interface.

Na prática, os benefícios são:

• maior largura de banda;
• redundância;
• alta disponibilidade;
• melhor utilização dos enlaces;
• simplificação da administração.

Exemplo

Sem agregação.

Para a rede:

Esses quatro links funcionam como um único enlace lógico de maior capacidade.

Vantagens

Os principais benefícios são:

✔ aumento da capacidade;

✔ redundância automática;

✔ maior disponibilidade;

✔ balanceamento de carga;

✔ manutenção sem interrupção;

✔ menor risco de gargalos.

O problema sem Link Aggregation

Imagine dois switches ligados por dois cabos.

Sem LACP.

O STP bloqueará um dos enlaces.

Resultado.

Metade da largura de banda ficará inutilizada.

Com Link Aggregation.

Agora:

Todos os enlaces permanecem ativos.

Sem criar loops.

Como isso é possível?

Para o STP, o conjunto de interfaces passa a ser visto como um único enlace lógico.

Em vez de analisar quatro cabos separadamente, ele enxerga apenas um Port Channel.

Isso elimina o risco de loops e permite utilizar simultaneamente toda a capacidade disponível.

Terminologia dos fabricantes

Cada fabricante utiliza uma nomenclatura diferente.

Apesar dos nomes diferentes, o conceito é o mesmo.

Modos de Agregação

Existem duas formas principais de criar um grupo de enlaces.

Agregação Estática

Também chamada de:

Static LAG.

Nesse modo:

Os administradores configuram manualmente ambos os lados.

Não existe negociação automática.

Vantagens

Configuração simples.

Desvantagens

Maior risco de erro.

Sem detecção automática.

Pouca flexibilidade.

LACP

O padrão mais utilizado atualmente é o:

IEEE 802.3ad, posteriormente incorporado ao IEEE 802.1AX.

Seu nome é:

Link Aggregation Control Protocol (LACP).

Funcionamento

Os equipamentos trocam mensagens chamadas:

LACPDU.

Essas mensagens verificam:

• compatibilidade;
• velocidade;
• duplex;
• estado das portas;
• sincronização.

Somente interfaces compatíveis entram no grupo.

Vantagens

• Negociação automática.
• Detecção de falhas.
• Melhor disponibilidade.
• Fácil administração.
• Padronização entre fabricantes.

✔ Recomendação da Xtech

Sempre que possível, utilize LACP em vez de agregações estáticas. Além de facilitar a operação, ele detecta inconsistências de configuração e reduz significativamente o risco de indisponibilidade.

Estados do LACP

Cada interface pode operar em diferentes modos.

Exemplo

Resultado.

O Port Channel é estabelecido.

Se ambos estiverem em Passive.

Nada acontece.

Balanceamento de carga

Uma dúvida muito comum.

“Se tenho quatro links de 10 Gb, terei 40 Gb para uma única transferência?”

Na maioria dos casos.

Não.

O balanceamento ocorre por fluxo.

Exemplo

Cada fluxo permanece em um único enlace.

Isso evita problemas de ordem dos pacotes.

Algoritmos de Hash

Para decidir qual enlace será utilizado, os switches aplicam algoritmos de hash.

Os critérios mais comuns são:

• MAC de origem;
• MAC de destino;
• IP de origem;
• IP de destino;
• TCP/UDP Portas;
• combinação desses campos.

Exemplo

Assim, vários fluxos utilizam diferentes enlaces simultaneamente, aumentando a capacidade total do conjunto.

Dimensionamento

Imagine:

4 enlaces.

10 Gb cada.

Capacidade total.

40 Gb.

Mas:

Uma única sessão TCP.

↓

Continuará limitada à capacidade de um único enlace (10 Gb), salvo em implementações específicas como algumas tecnologias de multipath em camadas superiores.

Por outro lado, centenas de conexões simultâneas podem distribuir-se entre os enlaces, aproveitando praticamente toda a capacidade agregada.

Requisitos para formar um LAG

As interfaces normalmente precisam possuir características compatíveis.

Diferenças nesses parâmetros podem impedir a formação do grupo ou gerar comportamento inesperado.

Onde utilizar Link Aggregation?

Os cenários mais comuns incluem:

• Core ↔ Distribuição;
• Distribuição ↔ Acesso;
• Switch ↔ Firewall;
• Switch ↔ Servidor;
• Switch ↔ Storage;
• Switch ↔ Hypervisor;
• Switch ↔ Controladora Wi-Fi;
• Switch ↔ NAS.

Engenharia em Campo

Durante a modernização da infraestrutura de uma indústria, a equipe da Xtech identificou que dois switches de distribuição estavam conectados por apenas um enlace de 10 Gb/s. Em horários de pico, com tráfego proveniente de câmeras IP, Wi-Fi corporativo, sistemas ERP e backups, a utilização ultrapassava 90%, causando aumento de latência e filas nos buffers.

Após análise do padrão de tráfego, foi implementado um Port Channel com quatro enlaces de 10 Gb/s utilizando LACP. Além do aumento da capacidade agregada, a solução eliminou o ponto único de falha entre os switches. Testes posteriores demonstraram distribuição equilibrada dos fluxos e manutenção da conectividade mesmo durante a simulação da perda de um dos enlaces físicos.

Lição aprendida

Link Aggregation aumenta a capacidade total da infraestrutura e melhora a disponibilidade, mas não multiplica automaticamente a velocidade de uma única conexão. O ganho ocorre principalmente quando há múltiplos fluxos simultâneos distribuídos entre os enlaces.

Boas práticas Xtech para Link Aggregation

Antes de implantar um Port Channel, valide os seguintes pontos:

• Preferir LACP em vez de agregação estática.
• Garantir que todas as interfaces tenham a mesma velocidade e duplex.
• Verificar MTU e configurações de VLAN.
• Utilizar enlaces físicos de mesma tecnologia (fibra com fibra, cobre com cobre).
• Monitorar a distribuição dos fluxos para identificar desequilíbrios.
• Documentar a composição de cada Port Channel.
• Planejar capacidade considerando o crescimento futuro do tráfego.

10. Power over Ethernet (PoE)

Tradicionalmente, todo equipamento de rede precisava de duas conexões:

• cabo de dados;
• alimentação elétrica.

Isso significava instalar tomadas próximas aos dispositivos ou utilizar fontes individuais.

Em ambientes com dezenas ou centenas de Access Points, câmeras IP e telefones, essa abordagem aumenta custos, dificulta a instalação e torna a manutenção mais complexa.

O Power over Ethernet (PoE) resolve esse problema ao permitir que dados e energia trafeguem pelo mesmo cabo Ethernet.

O que é PoE?

Power over Ethernet é um conjunto de padrões IEEE que permite transmitir energia elétrica através do cabo de rede.

Assim, um único cabo pode fornecer:

• comunicação Ethernet;
• alimentação elétrica.

Sem necessidade de uma fonte externa para cada dispositivo compatível.

Como funciona?

Imagine um Access Point instalado no teto.

Sem PoE.

A alimentação e os dados percorrem o mesmo cabo.

Benefícios do PoE

Entre as principais vantagens estão:

• redução do custo de instalação;
• eliminação de fontes externas;
• maior flexibilidade de posicionamento;
• centralização da alimentação;
• facilidade de manutenção;
• integração com UPS e geradores;
• maior disponibilidade.

Em caso de falta de energia, basta manter o switch alimentado por um nobreak para que todos os dispositivos PoE continuem funcionando.

Equipamentos compatíveis

O PoE é amplamente utilizado para alimentar:

• Access Points;
• Telefones IP;
• Câmeras IP;
• Sensores IoT;
• Controladores de acesso;
• Leitores biométricos;
• Displays digitais;
• Terminais industriais;
• Iluminação inteligente;
• Equipamentos de automação predial.

Componentes do PoE

Existem dois elementos principais.

PSE (Power Sourcing Equipment)

É o equipamento responsável por fornecer energia.

Exemplos:

• Switch PoE;
• Midspan PoE;
• Injetor PoE.

PD (Powered Device)

É o equipamento alimentado.

Exemplos:

• Access Point;
• Telefone IP;
• Câmera;
• Sensor;
• Controlador de acesso.

Como a energia é entregue?

Antes de fornecer energia, o switch realiza um processo de detecção.

O fluxo simplificado é:

Se o dispositivo não for compatível com PoE, a porta permanece transmitindo apenas dados.

Essa negociação reduz o risco de energizar equipamentos incompatíveis.

Padrões IEEE

O PoE evoluiu ao longo dos anos para suportar dispositivos com maior consumo.

*A diferença ocorre devido às perdas naturais no cabo Ethernet.

Comparativo dos padrões

Classes de potência

Além dos padrões, o IEEE define classes para facilitar a negociação entre PSE e PD.

A disponibilidade de classes varia conforme o padrão IEEE suportado pelo equipamento.

PoE Budget

Este é um dos conceitos mais importantes para qualquer projeto.

Todo switch PoE possui um limite de potência total disponível, conhecido como PoE Budget.

Isso significa que, mesmo que todas as portas suportem PoE, não é garantido que todas consigam fornecer a potência máxima simultaneamente.

Exemplo

Switch:

48 portas PoE+

PoE Budget:

740 W

Isso não significa:

48 × 30 W = 1.440 W disponíveis.

Na realidade:

O switch consegue distribuir, no máximo:

740 W.

Cálculo do consumo

Imagine a seguinte instalação.

Consumo total:

440 W + 70 W + 112 W = 622 W

Margem de crescimento

Não é recomendável utilizar 100% do orçamento PoE.

✔ Recomendação da Xtech

Planeje o consumo para utilizar no máximo 70% a 80% do PoE Budget em operação normal. Essa margem facilita futuras expansões, absorve variações de consumo e reduz o risco de desligamentos automáticos quando novos dispositivos forem adicionados.

Dimensionamento para Wi-Fi

Os Access Points modernos apresentam consumos bastante diferentes.

Esses valores variam conforme o fabricante, quantidade de rádios ativos, portas multigigabit, USB, Bluetooth e recursos habilitados.

Dimensionamento para CFTV

Nem todas as câmeras possuem o mesmo consumo.

Sempre consulte a documentação do fabricante para dimensionar corretamente a infraestrutura.

Midspan PoE

Quando um switch não possui portas PoE, é possível utilizar um equipamento intermediário chamado Midspan ou Injetor PoE.

Embora útil em ampliações pontuais, essa solução aumenta a quantidade de equipamentos, pontos de falha e necessidade de gerenciamento.

PoE e Alta Disponibilidade

Uma vantagem importante do PoE é a centralização da alimentação.

Quando switches PoE são conectados a:

• UPS;
• geradores;
• sistemas redundantes de energia;

todos os dispositivos alimentados continuam operando mesmo durante interrupções da rede elétrica.

Isso é especialmente relevante para:

• telefonia IP;
• Wi-Fi corporativo;
• controle de acesso;
• CFTV.

Engenharia em Campo

Em uma implantação de Wi-Fi corporativo realizada pela Xtech, o cliente adquiriu switches PoE+ de 48 portas para alimentar 40 Access Points Wi-Fi 6 e 16 câmeras PTZ. Embora a quantidade de portas fosse suficiente, o orçamento PoE disponível era de apenas 370 W.

Durante a ativação, alguns equipamentos permaneceram desligados porque o switch atingiu o limite de potência e passou a priorizar determinadas portas conforme sua configuração.

A solução envolveu redistribuir a carga entre switches com maior capacidade de alimentação e substituir parte dos equipamentos por modelos com PoE Budget de 740 W, garantindo margem para futuras expansões.

Lição aprendida

Em projetos PoE, o número de portas nunca deve ser analisado isoladamente. O orçamento total de potência é um dos fatores mais críticos para garantir a operação contínua da infraestrutura.

Checklist Xtech para projetos PoE

Antes de especificar um switch, confirme:

Compatibilidade

• O padrão IEEE suportado atende aos dispositivos previstos.
• As portas oferecem potência suficiente por interface.

Dimensionamento

• O PoE Budget cobre o consumo total.
• Existe margem de crescimento de 20% a 30%.
• Equipamentos de maior consumo foram identificados.

Disponibilidade

• Switches PoE estão protegidos por UPS.
• Dispositivos críticos possuem redundância quando necessário.

Documentação

• Consumo estimado por dispositivo registrado.
• Potência disponível por switch documentada.
• Plano de expansão previsto.

11. Quality of Service (QoS)

As redes corporativas transportam diferentes tipos de tráfego ao mesmo tempo.

Enquanto um colaborador participa de uma reunião no Microsoft Teams, outro realiza um backup para a nuvem, um terceiro acessa o ERP da empresa e centenas de dispositivos IoT enviam telemetria.

Todos esses pacotes competem pelos mesmos enlaces.

Sem um mecanismo de priorização, aplicações sensíveis à latência podem sofrer degradação significativa durante períodos de congestionamento.

É justamente para resolver esse problema que existe o Quality of Service (QoS).

O que é QoS?

QoS é um conjunto de mecanismos que permite controlar como a rede trata diferentes tipos de tráfego.

Seu objetivo não é aumentar a capacidade dos enlaces, mas garantir que aplicações críticas recebam prioridade quando houver contenção de recursos.

Em outras palavras:

Quando todos querem utilizar a rede ao mesmo tempo, o QoS decide quem será atendido primeiro.

Um exemplo prático

Imagine uma rodovia com quatro faixas.

Enquanto o tráfego está leve, todos os veículos circulam normalmente.

Agora imagine um congestionamento.

Sem regras.

Ambulância

Carro

Ônibus

Caminhão

Todos disputando espaço

A ambulância ficará presa no trânsito.

Com prioridade.

Faixa Prioritária

↓

Ambulância

↓

Ônibus

↓

Demais veículos

O QoS faz exatamente isso com os pacotes da rede.

Quando o QoS realmente atua?

Enquanto existe largura de banda disponível, praticamente todos os pacotes são encaminhados imediatamente.

O QoS passa a fazer diferença quando ocorre:

• congestionamento;
• saturação dos enlaces;
• excesso de filas;
• competição entre aplicações.

Nesse momento, a política definida passa a controlar a ordem de transmissão dos pacotes.

Aplicações sensíveis

Nem todas as aplicações possuem os mesmos requisitos.

Uma perda de alguns segundos durante um backup normalmente não causa impacto.

Já uma interrupção de meio segundo em uma chamada de voz pode comprometer completamente a comunicação.

Os quatro pilares do QoS

1. Classificação (Classification)

O primeiro passo consiste em identificar o tipo de tráfego.

Essa identificação pode considerar diversos critérios.

Exemplos:

• endereço IP;
• VLAN;
• porta TCP ou UDP;
• protocolo;
• aplicação;
• usuário;
• SSID;
• DSCP existente.

Quanto melhor a classificação, mais eficiente será a política de QoS.

2. Marcação (Marking)

Após identificar o tráfego, a rede adiciona uma marca indicando sua prioridade.

Essa marca acompanha o pacote ao longo do caminho, permitindo que outros equipamentos a interpretem.

Os padrões mais utilizados são:

• DSCP (Differentiated Services Code Point), no cabeçalho IP;
• CoS (Class of Service), em quadros Ethernet com IEEE 802.1Q.

DSCP

O DSCP utiliza 6 bits do cabeçalho IP para indicar o tratamento desejado.

Alguns valores amplamente utilizados são:

✔ Recomendação da Xtech

Sempre que possível, preserve as marcações DSCP de ponta a ponta. Remarcar todo o tráfego indiscriminadamente pode eliminar os benefícios do QoS e dificultar o diagnóstico de problemas.

CoS (Class of Service)

O CoS é utilizado em redes Ethernet com VLANs.

Ele utiliza três bits presentes na marcação IEEE 802.1Q.

Isso permite definir oito níveis de prioridade.

Embora útil em redes locais, o CoS normalmente não atravessa roteadores, ao contrário do DSCP.

3. Filas (Queues)

Após classificados e marcados, os pacotes são colocados em filas.

Imagine um switch com quatro filas.

Quando o enlace estiver congestionado, o switch decidirá qual fila será atendida primeiro.

Algoritmos de escalonamento

Existem diferentes formas de atender as filas.

Os algoritmos mais comuns são:

Strict Priority (SP)

A fila de maior prioridade sempre é atendida primeiro.

É indicada para:

• VoIP;
• protocolos de controle.

Exige cuidado para evitar que tráfego prioritário monopolize o enlace.

Weighted Round Robin (WRR)

Cada fila recebe uma parcela proporcional do tempo de transmissão.

Exemplo:

Esse modelo oferece equilíbrio entre prioridade e justiça na distribuição da banda.

Weighted Fair Queuing (WFQ)

O WFQ distribui a capacidade considerando o peso e a quantidade de fluxos ativos.

É bastante eficiente para ambientes com múltiplas aplicações simultâneas.

Congestionamento

Quando a velocidade de chegada dos pacotes supera a capacidade do enlace, formam-se filas.

Se as filas atingirem seu limite, novos pacotes passam a ser descartados.

Sem QoS:

Todos os pacotes têm a mesma probabilidade de serem descartados.

Com QoS:

O descarte tende a ocorrer primeiro nas classes de menor prioridade, preservando aplicações críticas.

QoS para VoIP

Telefonia IP possui requisitos bastante rígidos.

Uma política de QoS deve garantir que esse tráfego tenha prioridade elevada em toda a rede.

QoS para Microsoft Teams

Aplicações de colaboração, como Microsoft Teams, combinam voz, vídeo e compartilhamento de conteúdo.

Uma prática comum é tratar esses fluxos em classes distintas:

As marcações DSCP recomendadas devem seguir as orientações do fabricante da aplicação e ser preservadas ao longo da infraestrutura.

QoS em redes Wi-Fi

O QoS também é essencial em redes sem fio.

O padrão IEEE 802.11e introduziu o Wi-Fi Multimedia (WMM), que organiza o tráfego em quatro categorias principais.

Os Access Points modernos normalmente fazem o mapeamento entre DSCP e WMM, permitindo manter a prioridade do tráfego também no meio sem fio.

Engenharia em Campo

Em uma implantação de Wi-Fi corporativo para um centro administrativo, a equipe da Xtech identificou reclamações frequentes de falhas em chamadas do Microsoft Teams durante o horário comercial. A análise mostrou que backups automáticos eram iniciados no mesmo período, ocupando grande parte da capacidade do enlace WAN.

Foi implementada uma política de QoS priorizando voz e vídeo, mantendo backups e sincronizações em classes de menor prioridade. Após a alteração, as videoconferências permaneceram estáveis mesmo durante as janelas de maior utilização da rede.

Lição aprendida

QoS não aumenta a largura de banda disponível. Seu papel é garantir que aplicações críticas mantenham desempenho aceitável quando a infraestrutura estiver sob carga.

Checklist Xtech para projetos de QoS

Antes de colocar uma política em produção, valide:

12. Segurança em Switching

Durante muitos anos, a segurança das redes corporativas concentrou-se no perímetro, onde firewalls protegiam a comunicação entre a rede interna e a Internet.

Com a evolução das ameaças, esse modelo tornou-se insuficiente.

Hoje, grande parte dos ataques ocorre dentro da própria rede corporativa, seja por dispositivos comprometidos, credenciais roubadas, equipamentos não autorizados ou movimentação lateral (Lateral Movement).

Nesse cenário, os switches desempenham um papel fundamental, aplicando controles diretamente na camada de acesso e impedindo que dispositivos não autorizados obtenham conectividade.

O conceito de Segurança na Camada de Acesso

A primeira pergunta que um switch moderno deve responder não é:

“Qual VLAN devo utilizar?”

Mas sim:

“Este dispositivo pode realmente utilizar esta rede?”

Essa mudança representa um dos pilares do modelo Zero Trust.

Nenhum dispositivo deve ser considerado confiável apenas porque está fisicamente conectado à infraestrutura.

Principais ameaças

Uma rede corporativa está sujeita a diversos tipos de ataques na Camada 2.

Entre os mais comuns:

• dispositivos não autorizados;
• switches clandestinos;
• MAC Flooding;
• DHCP Rogue;
• ARP Spoofing;
• VLAN Hopping;
• Broadcast Storm;
• ataques internos;
• movimentação lateral.

Cada uma dessas ameaças possui mecanismos específicos de mitigação.

Port Security

O Port Security é um dos recursos mais simples e eficientes disponíveis nos switches gerenciáveis.

Seu objetivo é limitar quais dispositivos podem utilizar determinada interface.

Como funciona?

Dependendo da política configurada, ele pode:

• gerar um alerta;
• bloquear a porta;
• descartar o tráfego do novo dispositivo.

Modos de violação

Os fabricantes normalmente oferecem três comportamentos.

Sticky MAC

Uma funcionalidade bastante utilizada é o Sticky MAC.

Nesse modo:

O primeiro dispositivo conectado é aprendido automaticamente.

Esse endereço passa a ser considerado autorizado.

Isso reduz o trabalho operacional em ambientes com muitos usuários.

✔ Recomendação da Xtech

Utilize Sticky MAC em ambientes administrativos, mas mantenha procedimentos claros para substituição de equipamentos. Em áreas de alta rotatividade, avalie o impacto operacional antes de limitar rigidamente o número de endereços MAC por porta.

IEEE 802.1X

Enquanto o Port Security valida o dispositivo, o IEEE 802.1X valida a identidade do usuário ou do equipamento.

É considerado o principal mecanismo de autenticação para acesso à rede corporativa.

Como funciona?

Participam três elementos.

O processo ocorre da seguinte forma:

1. O dispositivo conecta-se à porta.
2. A porta permanece bloqueada.
3. O switch solicita autenticação.
4. O servidor RADIUS valida as credenciais.
5. Apenas após a aprovação o acesso é liberado.

Benefícios

• autenticação centralizada;
• controle por usuário;
• controle por equipamento;
• aplicação dinâmica de VLANs;
• integração com Active Directory e outros serviços de identidade.

Network Access Control (NAC)

O NAC amplia o conceito do 802.1X.

Além de autenticar o dispositivo, ele verifica seu estado de conformidade.

Exemplos:

• antivírus atualizado;
• sistema operacional suportado;
• criptografia habilitada;
• firewall local ativo;
• agente corporativo instalado.

Dispositivos que não atendem às políticas podem ser colocados em uma VLAN de quarentena ou ter o acesso restrito.

DHCP Snooping

O protocolo DHCP é essencial para a distribuição automática de endereços IP.

Entretanto, um usuário mal-intencionado pode conectar um servidor DHCP não autorizado.

Esse equipamento passa a distribuir:

• gateways incorretos;
• DNS falsos;
• endereços inválidos.

Esse tipo de ataque é conhecido como:

Rogue DHCP.

Funcionamento do DHCP Snooping

O switch passa a diferenciar:

Somente portas confiáveis podem enviar respostas DHCP.

Qualquer tentativa de outro equipamento é bloqueada.

Dynamic ARP Inspection (DAI)

Outro ataque comum é o ARP Spoofing.

O invasor responde falsamente às solicitações ARP, fazendo com que os computadores enviem tráfego para ele.

Isso permite:

• espionagem;
• ataques Man-in-the-Middle;
• roubo de credenciais.

Como o DAI funciona?

O switch consulta a base criada pelo DHCP Snooping.

Se o endereço MAC não corresponder ao IP registrado:

O pacote ARP é descartado.

Fluxo simplificado

IP Source Guard

O IP Source Guard complementa o DHCP Snooping.

Ele impede que um dispositivo utilize um endereço IP diferente daquele que lhe foi atribuído.

Exemplo.

Notebook recebeu:

192.168.10.50

Tentativa de utilizar:

192.168.10.200

↓

Tráfego bloqueado.

Storm Control

Já estudamos as Broadcast Storms no capítulo de STP.

Mesmo assim, falhas podem ocorrer.

O Storm Control limita a quantidade de:

• Broadcast;
• Multicast;
• Unknown Unicast.

Caso o limite seja excedido:

O switch reduz ou bloqueia o tráfego excedente, protegendo os demais equipamentos.

Proteção contra MAC Flooding

Os switches armazenam endereços MAC em suas CAM Tables.

Um invasor pode tentar preenchê-las enviando milhares de MACs falsos.

Quando a tabela fica cheia:

O switch passa a operar como um hub, inundando quadros desconhecidos para várias portas.

Esse ataque é conhecido como:

MAC Flooding.

Mitigação

As principais medidas são:

• Port Security;
• limites de MAC por porta;
• monitoramento da CAM Table;
• alertas de eventos.

Proteção contra VLAN Hopping

Como vimos no capítulo de VLANs, uma configuração inadequada da Native VLAN pode permitir que um atacante alcance outras redes lógicas.

As principais recomendações são:

• nunca utilizar a VLAN 1 como Native VLAN;
• utilizar uma Native VLAN dedicada e sem usuários;
• desabilitar trunks desnecessários;
• restringir VLANs permitidas em cada trunk.

ACLs na camada de acesso

Muitos switches Layer 3 permitem aplicar Access Control Lists (ACLs) diretamente nas interfaces ou SVIs.

Exemplos:

• impedir que dispositivos IoT acessem servidores administrativos;
• permitir que câmeras IP comuniquem apenas com o VMS;
• restringir impressoras ao servidor de impressão;
• isolar redes de visitantes.

Essa abordagem reduz significativamente a movimentação lateral em caso de comprometimento de um dispositivo.

Segmentação baseada em função

Uma arquitetura moderna deve separar dispositivos conforme sua função.

Exemplo:

Essa segmentação reduz a superfície de ataque e facilita a aplicação do princípio do menor privilégio.

Hardening de switches

Além dos recursos de controle de acesso, é importante fortalecer a configuração dos equipamentos.

Checklist recomendado:

• Alterar credenciais padrão.
• Utilizar autenticação centralizada quando possível.
• Desabilitar serviços não utilizados (Telnet, HTTP sem TLS, protocolos legados).
• Utilizar SSH para administração remota.
• Restringir acesso administrativo por ACL.
• Sincronizar horário via NTP.
• Registrar eventos em servidor Syslog.
• Atualizar firmware regularmente.
• Realizar backups periódicos da configuração.
• Monitorar logs de autenticação e eventos de segurança.

Engenharia em Campo

Durante uma avaliação de segurança realizada pela Xtech em uma rede corporativa, foi identificado que qualquer colaborador podia conectar um switch doméstico em uma tomada de rede e expandir livremente o acesso para diversos dispositivos. Além disso, não havia autenticação 802.1X nem limitação de endereços MAC por porta.

Como parte do projeto, foram implementados Port Security, 802.1X integrado ao servidor RADIUS, DHCP Snooping, Dynamic ARP Inspection e uma VLAN de quarentena para dispositivos não conformes. Após a implantação, tentativas de conexão de equipamentos não autorizados passaram a ser bloqueadas automaticamente, reduzindo significativamente o risco de movimentação lateral e de ataques internos.

Lição aprendida

A segurança da rede começa na primeira porta do switch. Firewalls continuam sendo essenciais, mas uma estratégia moderna depende de controles distribuídos em toda a infraestrutura, especialmente na camada de acesso.

13. Dimensionamento de Switches Corporativos

O dimensionamento de switches é um processo de engenharia que envolve muito mais do que contar dispositivos conectados.

A infraestrutura deve ser projetada para suportar o cenário atual e o crescimento esperado ao longo dos próximos anos, mantendo desempenho, disponibilidade e facilidade de manutenção.

Um projeto subdimensionado gera saturação precoce, enquanto um superdimensionamento sem critérios aumenta os custos sem agregar benefícios proporcionais.

O objetivo é encontrar o equilíbrio entre capacidade, escalabilidade e investimento.

A Metodologia XNA para Dimensionamento

A Xtech adota uma metodologia estruturada para especificação de switches em projetos corporativos.

Cada etapa reduz riscos de erro e facilita futuras expansões.

Etapa 1 – Levantamento dos requisitos

Antes da escolha de qualquer equipamento, é necessário compreender o ambiente.

Algumas perguntas fundamentais incluem:

• Qual é a atividade da empresa?
• Quantos usuários existem atualmente?
• Qual é a previsão de crescimento?
• Existem filiais?
• Haverá telefonia IP?
• A infraestrutura utilizará Wi-Fi 6, Wi-Fi 6E ou Wi-Fi 7?
• Existe necessidade de alta disponibilidade?
• Há requisitos de conformidade (LGPD, ISO 27001, PCI DSS, IEC 62443)?
• O ambiente opera 24×7?

As respostas influenciam diretamente a arquitetura.

Etapa 2 – Inventário dos dispositivos

O próximo passo consiste em identificar todos os equipamentos que utilizarão portas Ethernet.

Exemplo:

Esse inventário deve ser validado junto às equipes de TI, Facilities e Segurança Patrimonial.

Etapa 3 – Classificação dos pontos

Nem todas as portas possuem os mesmos requisitos.

Uma classificação adequada facilita a escolha dos switches.

Etapa 4 – Cálculo de portas

Após o inventário, calcula-se a quantidade de portas necessária.

Exemplo:

Total: 502 portas.

Reserva técnica

Nunca se deve adquirir exatamente o número de portas calculado.

A recomendação é manter capacidade para crescimento.

✔ Recomendação da Xtech

Adote uma reserva técnica entre 20% e 30% para novas contratações, reformas, expansão de escritórios e instalação de novos dispositivos IoT.

Exemplo

502 portas

25% de reserva

=

628 portas

Esse ambiente poderá ser atendido por:

• 14 switches de 48 portas (672 portas disponíveis), ou
• uma combinação de switches de 48 e 24 portas conforme a distribuição física.

Switches de 24 ou 48 portas?

Essa decisão depende do layout da infraestrutura.

Switches de 24 portas

Vantagens

• Maior flexibilidade.
• Menor consumo elétrico.
• Melhor aproveitamento em racks pequenos.
• Ideal para filiais.

Desvantagens

• Maior quantidade de equipamentos.
• Mais uplinks.
• Maior consumo de portas no core.

Switches de 48 portas

Vantagens

• Melhor custo por porta.
• Menor quantidade de equipamentos.
• Menor ocupação de espaço em grandes ambientes.
• Redução da quantidade de uplinks.

Desvantagens

• Maior concentração de usuários em um único equipamento.
• Expansões podem exigir a instalação de outro switch completo.

Comparativo

Escolha dos uplinks

Os uplinks interligam switches de acesso à distribuição ou ao core.

Sua capacidade deve acompanhar o volume agregado de tráfego.

A definição depende do perfil de tráfego, do número de usuários e das aplicações críticas.

Oversubscription

Nem todo ambiente exige que a soma da velocidade das portas de acesso seja igual à capacidade dos uplinks.

Esse conceito é chamado de oversubscription.

Exemplo

Um switch possui:

• 48 portas de 1 Gb/s (48 Gb/s teóricos);
• dois uplinks de 10 Gb/s (20 Gb/s agregados).

A relação de oversubscription é:

48 ÷ 20 ≈ 2,4:1

Isso significa que nem todos os usuários conseguirão transmitir na velocidade máxima simultaneamente, o que é aceitável em muitos ambientes administrativos.

Relações recomendadas

Ambientes com aplicações críticas devem trabalhar com relações mais baixas para reduzir riscos de congestionamento.

Switching Capacity

Outro erro frequente é analisar apenas a velocidade das portas.

Também é necessário avaliar a Switching Capacity.

Ela representa a capacidade máxima de comutação interna do equipamento.

Exemplo:

48 portas de 1 Gb/s

4 portas de 10 Gb/s

Capacidade mínima recomendada:

≈ 136 Gb/s em full duplex.

Equipamentos com capacidade inferior podem apresentar gargalos internos.

Forwarding Rate

A Forwarding Rate indica quantos pacotes por segundo (pps) o switch consegue processar.

Ela é especialmente importante em ambientes com:

• VoIP;
• IoT;
• tráfego de pequenos pacotes;
• aplicações industriais;
• data centers.

Dois switches com a mesma quantidade de portas podem apresentar desempenhos muito diferentes nesse aspecto.

Buffer de memória

Os buffers armazenam temporariamente pacotes quando há congestionamento.

Switches com buffers muito pequenos podem apresentar perdas de pacotes durante picos de utilização.

Isso é especialmente relevante para:

• armazenamento em rede;
• videoconferência;
• backup;
• replicação de bancos de dados.

Tamanho da CAM Table

A tabela CAM deve ser compatível com a quantidade de dispositivos presentes na rede.

Ambientes como universidades, hospitais e campi industriais frequentemente exigem dezenas de milhares de entradas.

Uma CAM Table insuficiente pode provocar aumento de tráfego desconhecido (Unknown Unicast Flooding) e degradação do desempenho.

Quando utilizar Stacking?

Benefícios

• administração centralizada;
• alta disponibilidade;
• expansão simplificada;
• atualização facilitada;
• menor complexidade operacional.

Quando utilizar?

O Stacking é recomendado para:

• grandes escritórios;
• hospitais;
• universidades;
• indústrias;
• centros logísticos.

Em pequenas filiais, pode não ser necessário.

Dimensionamento por tipo de ambiente

Engenharia em Campo

Durante o projeto de modernização da infraestrutura de um centro de distribuição, a equipe da Xtech identificou que a expansão prevista para os próximos três anos aumentaria significativamente a quantidade de Access Points Wi-Fi 6, coletores de dados, câmeras IP e estações de trabalho.

Em vez de instalar switches suficientes apenas para a demanda atual, foi adotada uma reserva técnica de aproximadamente 25%, além de uplinks de 25 Gb/s entre a camada de acesso e distribuição. Essa decisão permitiu incorporar novos dispositivos sem substituição prematura dos equipamentos e evitou interrupções durante a expansão operacional.

Lição aprendida

O dimensionamento deve considerar o ciclo de vida da infraestrutura, e não apenas a fotografia do ambiente no momento da implantação. Projetos que contemplam crescimento, redundância e capacidade de processamento apresentam menor custo total de propriedade ao longo dos anos.

Checklist Xtech para Dimensionamento de Switches

Antes de especificar um switch, confirme:

14. Virtualização de Switches: Stacking, Virtual Chassis, VSF, IRF e MLAG

À medida que as redes corporativas cresceram, tornou-se inviável administrar dezenas de switches de forma totalmente independente.

Além do aumento da complexidade operacional, a configuração manual de cada equipamento elevava o risco de inconsistências, dificultava atualizações e aumentava o tempo de recuperação em caso de falhas.

Para resolver esses desafios, os fabricantes desenvolveram tecnologias que permitem agrupar múltiplos switches e fazê-los operar como uma única entidade lógica.

Embora cada fabricante utilize nomes diferentes, o objetivo é praticamente o mesmo:

• simplificar a administração;
• aumentar a disponibilidade;
• ampliar a capacidade da infraestrutura;
• reduzir pontos únicos de falha.

Evolução das arquiteturas

A evolução pode ser representada da seguinte forma:

Cada etapa trouxe maior escalabilidade e disponibilidade.

O que é Stacking?

O Stacking permite interligar diversos switches utilizando interfaces dedicadas ou portas específicas de alta velocidade.

Após o empilhamento:

• todos os switches compartilham uma única configuração lógica;
• existe apenas um plano de gerenciamento;
• a pilha é administrada por um endereço IP;
• um switch assume a função de líder (Master ou Commander).

Exemplo

Para o administrador, toda a pilha funciona como um único equipamento.

Componentes de um Stack

Uma pilha normalmente possui três funções.

Nos fabricantes modernos, a eleição do Master pode considerar:

• prioridade configurada;
• versão de software;
• capacidade do equipamento;
• tempo de operação (uptime).

Benefícios do Stacking

Entre as principais vantagens estão:

• gerenciamento centralizado;
• configuração única;
• menor quantidade de protocolos entre switches;
• expansão simplificada;
• possibilidade de atualização coordenada;
• redução do número de endereços IP de gerenciamento.

Topologias de empilhamento

Existem duas formas principais de interligação.

Topologia Linear

É simples de implementar, porém apresenta menor tolerância a falhas.

Topologia em Anel (Ring)

Nessa arquitetura, a comunicação pode ocorrer pelos dois sentidos do anel.

Caso um cabo de empilhamento seja interrompido, a pilha continua operando pelo caminho alternativo.

✔ Recomendação da Xtech

Sempre que o fabricante suportar, utilize topologia em anel. Ela oferece maior resiliência e reduz o impacto de falhas em cabos ou módulos de empilhamento.

Limitações do Stacking

Apesar das vantagens, o empilhamento possui algumas restrições.

Em geral:

• todos os switches devem ser compatíveis;
• normalmente pertencem à mesma família;
• utilizam versões de software compatíveis;
• existe um limite máximo de membros na pilha.

Dependendo do fabricante, esse limite varia entre quatro e doze equipamentos.

Virtual Chassis

Alguns fabricantes evoluíram o conceito tradicional de empilhamento.

Em vez de depender exclusivamente de cabos dedicados, passaram a utilizar interfaces Ethernet de alta velocidade.

Esse conceito recebe diferentes nomes.

No caso da Juniper:

Virtual Chassis.

O princípio é semelhante ao Stacking.

Entretanto:

A comunicação ocorre por enlaces Ethernet de alta velocidade, normalmente de 10, 25, 40 ou 100 Gb/s.

Benefícios

• maior distância entre equipamentos;
• flexibilidade de instalação;
• melhor aproveitamento da infraestrutura óptica;
• expansão facilitada.

IRF (Intelligent Resilient Fabric)

Na Huawei e H3C é comum encontrar o IRF.

O conceito é semelhante.

Diversos switches tornam-se um único equipamento lógico.

Benefícios adicionais incluem:

• convergência rápida;
• gerenciamento unificado;
• redundância do plano de controle;
• agregação de enlaces distribuídos.

VSF (Virtual Switching Framework)

Na HPE Aruba Networking, a tecnologia equivalente é o VSF.

Ela permite:

• empilhamento lógico;
• administração centralizada;
• atualização coordenada;
• redundância de controle.

Em modelos de maior capacidade também é possível encontrar o VSX, voltado para arquiteturas distribuídas de alta disponibilidade.

Cisco StackWise e StackWise Virtual

A Cisco utiliza diferentes tecnologias conforme a família de switches.

StackWise

Empilhamento físico tradicional.

Utiliza cabos dedicados.

Muito comum em switches de acesso.

StackWise Virtual

Mais recente.

Permite criar um único switch lógico utilizando dois equipamentos independentes conectados por interfaces Ethernet de alta velocidade.

Essa solução elimina algumas limitações do empilhamento físico tradicional.

Virtual Switching System (VSS)

Durante muitos anos, a Cisco utilizou o VSS em switches de núcleo.

Dois equipamentos físicos funcionam como um único switch lógico.

Características:

• plano de controle unificado;
• redundância;
• simplificação do STP;
• suporte a Port Channels distribuídos.

Embora novas plataformas tenham adotado tecnologias diferentes, o conceito permanece relevante em muitos ambientes corporativos existentes.

Multi-Chassis Link Aggregation (MC-LAG)

Até este ponto estudamos o LACP tradicional.

Entretanto, existe uma limitação importante.

No LACP convencional:

Todos os enlaces devem terminar no mesmo switch lógico.

Com o MC-LAG, isso muda.

Agora um servidor pode estabelecer um único Port Channel distribuído entre dois switches físicos independentes.

Exemplo

Se um dos switches falhar:

O servidor continua comunicando pelo outro enlace.

Benefícios do MC-LAG

• alta disponibilidade;
• eliminação de ponto único de falha;
• manutenção com menor impacto;
• melhor utilização dos enlaces;
• compatibilidade com LACP.

Comparativo das tecnologias

*No MC-LAG, os switches mantêm planos de gerenciamento próprios, mas operam de forma coordenada para a agregação de enlaces.

Quando utilizar cada tecnologia?

Impacto no Spanning Tree

Uma vantagem importante da virtualização é a redução da complexidade do STP.

Quando vários switches são vistos como um único equipamento lógico:

• diminui o número de Bridges na topologia;
• reduz portas bloqueadas;
• melhora o aproveitamento dos enlaces redundantes;
• acelera a convergência.

Isso simplifica o desenho da rede e melhora a eficiência do uso da infraestrutura.

Atualizações de software

Em ambientes empilhados, muitos fabricantes oferecem recursos de atualização coordenada.

Dependendo da plataforma, é possível:

• validar compatibilidade antes da atualização;
• atualizar todos os membros de forma sincronizada;
• reduzir tempo de indisponibilidade;
• manter redundância durante parte do processo.

É importante verificar as limitações e os procedimentos específicos do fabricante antes de executar atualizações em ambientes de produção.

Engenharia em Campo

Durante a expansão de um campus corporativo, a equipe da Xtech precisava interligar quatro switches de distribuição instalados em racks diferentes. A solução inicial previa administração individual de cada equipamento, o que aumentaria o esforço operacional e dificultaria futuras expansões.

Após análise da arquitetura, foi adotada uma solução de virtualização compatível com a plataforma escolhida. Os switches passaram a operar como uma única entidade lógica, com gerenciamento centralizado e Port Channels distribuídos para os switches de acesso. A mudança simplificou o gerenciamento, reduziu a quantidade de configurações repetitivas e aumentou a disponibilidade durante manutenções programadas.

Lição aprendida

Virtualização de switches não serve apenas para facilitar a administração. Ela reduz a complexidade da topologia, melhora o aproveitamento dos enlaces redundantes e aumenta a resiliência da infraestrutura quando corretamente projetada.

Checklist Xtech para Virtualização de Switches

Antes de implantar uma solução de empilhamento ou virtualização, confirme:

15. Gerenciamento e Monitoramento de Switches

Gerenciar um switch vai muito além de acessar sua interface web ou executar comandos via CLI.

Em uma infraestrutura moderna, cada switch é uma fonte contínua de informações sobre desempenho, disponibilidade, segurança e utilização da rede.

Quando essas informações são coletadas e analisadas de forma estruturada, é possível reduzir o tempo de detecção de falhas (Mean Time to Detect – MTTD), acelerar a recuperação (Mean Time to Repair – MTTR) e aumentar significativamente a disponibilidade dos serviços.

O ciclo do monitoramento

O gerenciamento moderno pode ser representado como um ciclo contínuo.

Esse ciclo transforma dados operacionais em ações preventivas.

O que monitorar?

Um erro comum é monitorar apenas se o switch está ligado.

Na prática, dezenas de indicadores devem ser acompanhados.

Quanto maior a criticidade da rede, maior deve ser o nível de monitoramento.

SNMP

O protocolo mais tradicional para monitoramento de equipamentos de rede é o Simple Network Management Protocol (SNMP).

Ele permite que uma plataforma de gerenciamento consulte informações operacionais dos switches.

Componentes do SNMP

Existem três elementos principais.

Onde:

• NMS (Network Management System): plataforma de monitoramento;
• MIB (Management Information Base): banco de objetos gerenciáveis;
• OID (Object Identifier): identificador único de cada métrica.

Versões do SNMP

✔ Recomendação da Xtech

Em ambientes corporativos, utilize SNMPv3 sempre que suportado. Evite SNMPv1 e SNMPv2c em redes de produção devido à ausência de mecanismos robustos de autenticação e criptografia.

Syslog

Enquanto o SNMP coleta métricas, o Syslog registra eventos.

Exemplos:

• reinicialização do switch;
• alteração de configuração;
• falha de fonte;
• autenticação de administrador;
• mudança de STP;
• perda de uplink;
• erro de hardware.

Fluxo

O armazenamento centralizado facilita auditorias e investigações de incidentes.

NTP

Um detalhe frequentemente negligenciado é a sincronização de horário.

Imagine investigar uma falha em que:

• firewall registra 10:00:15;
• switch registra 09:58:10;
• servidor registra 10:01:20.

Sem sincronização, correlacionar eventos torna-se extremamente difícil.

Por isso, todos os equipamentos devem utilizar um Network Time Protocol (NTP) comum.

NetFlow, sFlow e IPFIX

Monitorar apenas a utilização da interface nem sempre é suficiente.

Também é importante saber quem está utilizando a largura de banda.

É exatamente essa a função das tecnologias de análise de fluxos.

NetFlow

Desenvolvido originalmente pela Cisco.

Permite identificar:

• origem;
• destino;
• portas TCP/UDP;
• protocolo;
• quantidade de bytes;
• quantidade de pacotes;
• duração das conexões.

sFlow

Criado para reduzir o impacto de processamento.

Em vez de analisar todos os pacotes, realiza amostragem estatística.

É bastante utilizado em ambientes de alta velocidade.

IPFIX

O IP Flow Information Export (IPFIX) é um padrão aberto baseado na evolução do NetFlow.

Atualmente é suportado por diversos fabricantes e oferece maior flexibilidade na exportação de informações de tráfego.

Comparativo

LLDP

O Link Layer Discovery Protocol (LLDP) permite que dispositivos vizinhos troquem informações automaticamente.

Entre os dados anunciados:

• fabricante;
• modelo;
• porta utilizada;
• capacidades;
• VLAN de gerenciamento.

Exemplo

Essa funcionalidade facilita o inventário e o mapeamento automático da topologia.

LLDP-MED

Uma extensão do LLDP voltada para dispositivos multimídia.

É amplamente utilizada para:

• telefones IP;
• sistemas de voz;
• dispositivos de conferência.

Permite anunciar automaticamente parâmetros como VLAN de voz e políticas de QoS.

CDP

O Cisco Discovery Protocol (CDP) desempenha função semelhante ao LLDP, porém é proprietário da Cisco.

Em ambientes multivendor, recomenda-se priorizar o LLDP para garantir interoperabilidade.

Telemetria em tempo real

O monitoramento tradicional é baseado em consultas periódicas.

Exemplo:

SNMP a cada cinco minutos.

Entretanto, isso pode atrasar a identificação de eventos críticos.

As plataformas modernas adotam Streaming Telemetry, na qual o próprio equipamento envia informações continuamente para sistemas de coleta.

Vantagens

• menor latência na detecção;
• maior granularidade;
• redução do tráfego de consultas;
• melhor integração com ferramentas analíticas.

Indicadores (KPIs)

Uma operação madura deve acompanhar indicadores-chave.

Thresholds

Nem todo evento deve gerar um alerta.

É importante definir limites operacionais.

Esses valores devem ser ajustados ao perfil de cada ambiente.

Plataformas de monitoramento

Diversas soluções podem ser utilizadas para centralizar a operação.

A escolha depende do porte da organização, do orçamento e do nível de automação desejado.

Dashboards operacionais

Um bom painel de monitoramento deve fornecer, em tempo real:

• disponibilidade dos switches;
• utilização dos uplinks;
• consumo PoE;
• temperatura;
• membros do stack;
• eventos críticos;
• alertas de segurança;
• capacidade remanescente.

Evite dashboards excessivamente complexos. Informações críticas devem estar visíveis imediatamente para a equipe de operação.

Gerenciamento de configuração

Monitorar é importante, mas controlar mudanças também é.

Boas práticas incluem:

• backup automático das configurações;
• controle de versões;
• comparação entre configurações (configuration diff);
• registro de quem realizou alterações;
• aprovação de mudanças em ambientes críticos.

Essa disciplina reduz riscos operacionais e facilita a recuperação após falhas.

Engenharia em Campo

Durante a operação de uma rede corporativa distribuída, a equipe da Xtech observou alertas recorrentes de utilização elevada em um uplink de distribuição durante determinados horários do dia. Embora não houvesse indisponibilidade, os gráficos históricos mostravam crescimento constante do consumo ao longo dos meses.

A análise de fluxos identificou que novas câmeras IP e Access Points haviam sido adicionados sem atualização da documentação da infraestrutura. Com base nos dados coletados, foi possível ampliar a capacidade dos uplinks antes que ocorressem congestionamentos perceptíveis pelos usuários.

Lição aprendida

O monitoramento não deve servir apenas para detectar falhas. Sua maior contribuição é fornecer informações que permitam antecipar problemas e orientar decisões de capacidade e expansão.

Checklist Xtech para Gerenciamento e Monitoramento

Engenharia em Campo – Caso Integrado

Em um campus universitário com mais de 120 switches distribuídos entre prédios acadêmicos, laboratórios, bibliotecas e áreas administrativas, a equipe de operação enfrentava dificuldades para identificar a origem de interrupções intermitentes na rede sem fio. Embora os Access Points apresentassem funcionamento normal, usuários relatavam perdas ocasionais de conectividade.

Após a implantação de uma plataforma centralizada de monitoramento com SNMPv3, Syslog, LLDP e exportação de IPFIX, foi possível correlacionar eventos de mudanças de topologia STP, aumento de erros CRC em enlaces de fibra e picos de utilização nos uplinks. A análise revelou conectores ópticos com degradação física e um enlace subdimensionado para o crescimento do tráfego.

A substituição preventiva dos componentes e a ampliação dos uplinks eliminaram os incidentes antes que impactassem períodos de maior utilização, como matrículas e avaliações online.

Lição aprendida

Uma infraestrutura monitorada gera conhecimento operacional. Quanto mais dados históricos e indicadores confiáveis estiverem disponíveis, maior será a capacidade da equipe de TI de tomar decisões baseadas em evidências, reduzindo custos, indisponibilidades e riscos operacionais.

16. Projeto Completo de uma Rede Corporativa

Projetar uma rede corporativa é uma atividade multidisciplinar que envolve engenharia, arquitetura, segurança, disponibilidade, operação e planejamento financeiro.

Um bom projeto não começa escolhendo switches ou Access Points.

Ele começa entendendo o negócio.

Uma infraestrutura de rede deve suportar os processos da organização pelos próximos anos, acompanhando sua evolução tecnológica e operacional.

É justamente por isso que a Xtech desenvolveu a metodologia XNA (Xtech Network Architecture), baseada em oito etapas que reduzem riscos, aumentam a previsibilidade dos projetos e padronizam a documentação técnica.

Visão geral da metodologia XNA

Cada etapa produz informações que alimentam a fase seguinte.

Esse modelo evita decisões baseadas apenas em estimativas e garante rastreabilidade durante todo o ciclo de vida da infraestrutura.

Cenário do projeto

Para demonstrar a metodologia, utilizaremos um ambiente corporativo fictício, mas baseado em projetos reais executados pela Xtech.

Características gerais

Funcionamento:

• operação 24×7;
• telefonia IP;
• Microsoft Teams;
• ERP;
• sistemas de CFTV;
• controle de acesso;
• IoT predial;
• videomonitoramento.

Etapa 1 – Entendimento do Negócio

Antes de qualquer decisão técnica, é necessário compreender como a organização utiliza a tecnologia.

Perguntas fundamentais

Operação

• A empresa opera 24×7?
• Existem turnos?
• Há filiais?
• Existem ambientes críticos?

Aplicações

• ERP
• Banco de Dados
• Microsoft 365
• Teams
• Telefonia IP
• Wi-Fi Corporativo
• Wi-Fi Visitantes
• IoT
• CFTV

Crescimento

• Quantos colaboradores existem hoje?
• Qual a previsão para cinco anos?
• Haverá novos prédios?
• Haverá expansão do Wi-Fi?

✔ Recomendação da Xtech

Toda decisão de infraestrutura deve estar alinhada ao planejamento estratégico da organização. Projetar apenas para a demanda atual normalmente resulta em substituições prematuras e aumento do custo total de propriedade (TCO).

Etapa 2 – Diagnóstico da infraestrutura existente

Nesta fase é realizado um levantamento detalhado do ambiente.

Inventário

Principais problemas identificados

• ausência de redundância;
• oversubscription elevada;
• switches próximos ao limite de portas;
• ausência de monitoramento centralizado;
• VLANs criadas sem padrão;
• equipamentos sem atualização de firmware;
• topologia não documentada.

Etapa 3 – Levantamento físico

Antes do dimensionamento, deve ser realizado um levantamento detalhado da infraestrutura física.

Itens avaliados:

• racks;
• cabeamento estruturado;
• fibras ópticas;
• DIOs;
• patch panels;
• identificação;
• energia;
• UPS;
• climatização;
• espaço para expansão.

Exemplo

Essa etapa também identifica limitações físicas que podem impactar a arquitetura proposta.

Etapa 4 – Inventário de dispositivos

Todos os equipamentos conectados à rede devem ser classificados.

Etapa 5 – Classificação por criticidade

Nem todos os dispositivos possuem o mesmo impacto para o negócio.

Essa classificação orienta decisões sobre redundância, QoS e monitoramento.

Etapa 6 – Planejamento das VLANs

Uma estrutura organizada facilita segurança, operação e crescimento.

Exemplo

Boas práticas

• evitar utilização da VLAN 1;
• documentar finalidade de cada VLAN;
• manter numeração consistente entre unidades;
• reservar faixas para futuras expansões.

Etapa 7 – Dimensionamento dos switches

Com base no inventário e na reserva técnica de 25%, foi definido:

Todos os switches de acesso suportam:

• PoE+;
• uplinks de 10 Gb/s;
• empilhamento;
• SNMPv3;
• QoS;
• 802.1X.

Etapa 8 – Arquitetura hierárquica

A topologia proposta segue o modelo Core, Distribuição e Acesso.

Os enlaces entre Core e Distribuição utilizam agregação LACP e redundância física.

Etapa 9 – Planejamento do PoE

Foi realizado o levantamento de consumo de todos os dispositivos alimentados.

O consumo foi distribuído entre os switches, mantendo utilização inferior a 80% do orçamento PoE de cada equipamento.

Etapa 10 – Redundância

A alta disponibilidade foi tratada em diferentes níveis.

Etapa 11 – Segurança

Foram adotados os seguintes controles:

• 802.1X;
• Port Security;
• DHCP Snooping;
• Dynamic ARP Inspection;
• IP Source Guard;
• ACLs por VLAN;
• VLAN exclusiva de gerenciamento;
• SNMPv3;
• SSH;
• autenticação centralizada.

Etapa 12 – QoS

Classes definidas:

As marcações DSCP foram preservadas de ponta a ponta.

Etapa 13 – Monitoramento

Ferramentas utilizadas:

• SNMPv3;
• Syslog;
• NTP;
• IPFIX;
• LLDP;
• Dashboards operacionais;
• Backup automático de configuração;
• Alertas por e-mail e integração com sistemas ITSM.

Documentação entregue

Ao final do projeto, a documentação deve incluir:

Critérios de aceitação

Antes da entrega da infraestrutura, recomenda-se validar:

• Conectividade entre VLANs conforme políticas.
• Funcionamento do STP e convergência.
• Operação dos Port Channels.
• Consumo PoE dentro do planejado.
• Autenticação 802.1X.
• Redundância dos enlaces.
• Desempenho dos uplinks.
• Funcionamento do monitoramento.
• Backup e restauração de configurações.
• Documentação revisada.

Engenharia em Campo

Em um projeto de modernização de uma empresa com múltiplos edifícios administrativos e áreas industriais, a equipe da Xtech iniciou o trabalho com um levantamento detalhado do ambiente. Embora a infraestrutura atendesse às necessidades imediatas, foram identificadas limitações como switches próximos ao limite de portas, uplinks de baixa capacidade, ausência de documentação e crescimento acelerado do número de dispositivos IoT.

Aplicando a metodologia XNA, foi possível redesenhar a arquitetura com segmentação por VLANs, empilhamento de switches de acesso, redundância entre Core e Distribuição, planejamento de PoE, políticas de QoS e monitoramento centralizado. O projeto foi entregue acompanhado de diagramas, memoriais descritivos, plano de testes e documentação operacional, permitindo que a equipe interna assumisse a operação com maior previsibilidade e segurança.

Lição aprendida

Projetos bem-sucedidos não dependem apenas da escolha de bons equipamentos. O diferencial está em seguir uma metodologia estruturada, documentar cada decisão técnica e validar a infraestrutura antes da entrada em produção.

Checklist Final Xtech – Projeto de Rede Corporativa

Antes da entrega do projeto, confirme:

Conclusão do Guia

Ao longo deste Guia Definitivo de Switching Corporativo, percorremos desde os fundamentos da comutação Ethernet até o projeto completo de uma infraestrutura corporativa de alto desempenho. Foram abordados conceitos de arquitetura hierárquica, VLANs, STP, LACP, PoE, QoS, segurança, monitoramento, dimensionamento e metodologias de projeto.

Mais do que apresentar tecnologias, o objetivo deste material foi demonstrar como tomar decisões de engenharia baseadas em requisitos de negócio, desempenho, disponibilidade e escalabilidade. Em um cenário em que redes suportam aplicações críticas, ambientes industriais, hospitais, universidades e serviços em nuvem, a qualidade do projeto de switching influencia diretamente a continuidade das operações.

A metodologia XNA (Xtech Network Architecture) apresentada neste guia oferece uma abordagem estruturada para transformar necessidades de negócio em arquiteturas robustas, documentadas e preparadas para evoluir ao longo do tempo.