Tópicos de Redes CCNA Explicados em Detalhe: O Que É, Como Funciona e Por Que Importa

Redes CCNA do Zero: Binário, Sub-redes, VLSM, Roteamento e ACL

O CCNA é a certificação de nível iniciante da Cisco para engenheiros de redes. A prova (200-301) cobre como os dispositivos se conectam, como os dados encontram o caminho pela rede, como proteger a rede e como automatizá-la. Este artigo aborda cada tópico principal em detalhe. Para cada um, você verá o que é, como funciona passo a passo, os erros comuns e como ele aparece em uma rede real.

O que você precisa

Não é preciso programar. Você deve se sentir à vontade com um computador e saber, em linhas gerais, o que é um endereço IP. Para a parte de laboratório, você precisa de um simulador de rede, como o Cisco Packet Tracer.

Ilustração

Modelo OSI: as sete camadas da comunicação em rede. O endereçamento IP e o roteamento ficam na camada 3
Modelo OSI: as sete camadas da comunicação em rede. O endereçamento IP e o roteamento ficam na camada 3

Tópico 1: Modelo OSI e TCP/IP

Uma rede é difícil de consertar quando tudo se mistura em um só problema. O modelo divide a rede em camadas, de modo que cada camada tem uma tarefa e um conjunto de protocolos. O modelo OSI tem sete camadas. O TCP/IP é o modelo de quatro camadas usado na internet, e os dois se correspondem.

As sete camadas do OSI

Camada 7 Aplicação (HTTP, DNS, DHCP, como o programa os vê), 6 Apresentação (formatos de codificação e criptografia), 5 Sessão (abre e fecha o diálogo), 4 Transporte (TCP e UDP, portas, confiabilidade), 3 Rede (endereços IP e roteamento), 2 Enlace de dados (endereços MAC, quadros, switches), 1 Física (cabos, sinais, conectores). Uma ajuda útil para lembrar é a frase em inglês "All People Seem To Need Data Processing", que vai da camada 7 até a 1.

Encapsulamento: como os dados descem pelas camadas

Quando você envia uma página web, cada camada adiciona o seu próprio cabeçalho. A camada de transporte acrescenta o número da porta, a camada de rede acrescenta o endereço IP de origem e de destino, e a camada de enlace acrescenta os endereços MAC de origem e de destino, além de um trailer. O receptor remove os cabeçalhos na ordem inversa. Cada camada lê apenas o próprio cabeçalho, por isso um problema pode ser isolado em uma única camada.

Usando as camadas para resolver problemas

Se um PC não consegue acessar a internet, verifique de baixo para cima. A luz do link está acesa (camada 1)? A porta do switch está na VLAN correta (camada 2)? O endereço IP e o gateway padrão estão corretos (camada 3)? A porta está aberta no servidor (camada 4)? Esse método é mais rápido do que mudar configurações ao acaso.

TCP/IP na prática

O modelo TCP/IP tem quatro camadas: Acesso à Rede, Internet, Transporte e Aplicação. A camada Internet corresponde à camada 3 do OSI, e a camada Acesso à Rede abrange as camadas 1 e 2 do OSI. Os engenheiros usam os nomes do TCP/IP ao falar da internet, e os números do OSI ao falar das camadas de um dispositivo.

Tópico 2: Endereçamento e sub-redes IPv4

Um endereço IPv4 tem 32 bits. As pessoas o escrevem como quatro números decimais (octetos), cada um de 0 a 255. A sub-rede usa o comprimento do prefixo para definir qual parte do endereço identifica a rede e qual identifica o host.

Como uma rede /24 é dividida em quatro blocos /26, cada um com seu próprio endereço de rede e de broadcast
Como uma rede /24 é dividida em quatro blocos /26, cada um com seu próprio endereço de rede e de broadcast

Parte de rede e parte de host

Em 192.168.10.77/26, o /26 significa que os primeiros 26 bits são de rede e os últimos 6 bits são de host. Hosts na mesma rede compartilham os mesmos 26 primeiros bits. Mudar o prefixo muda o tamanho da rede: /24 tem 256 endereços, /25 tem 128, /26 tem 64, /27 tem 32, e assim por diante.

Endereço de rede, broadcast e faixa de hosts

O endereço de rede é o primeiro endereço do bloco, com todos os bits de host em 0. O endereço de broadcast é o último, com todos os bits de host em 1. Os endereços entre os dois são os endereços de host utilizáveis, exceto o primeiro e o último, que são reservados. Para 192.168.10.77/26, o bloco vai de 192.168.10.64 a 192.168.10.127, os hosts utilizáveis vão de .65 a .126, e são 62 no total.

Máscara de sub-rede e máscara wildcard

A máscara de sub-rede escreve os bits de rede como 1, então /26 é 255.255.255.192. A máscara wildcard é o inverso, 0.0.0.63, e é usada em ACLs e no OSPF da Cisco. Converter entre as duas é uma tarefa comum em provas: subtraia cada octeto de 255 para obter a wildcard.

Descobrindo rapidamente o tamanho do bloco

Pegue 256 e subtraia o último octeto da máscara que não seja 255. Para /26, a máscara termina em 192, então 256 − 192 = 64, que é o tamanho do bloco. Os endereços de rede então são 0, 64, 128 e 192. Esse truque responde "a qual sub-rede este endereço pertence?" em poucos segundos.

Configuração do equipamento: atribuir endereços às interfaces do roteador

Configure as interfaces LAN e WAN com endereço IPv4 e máscara, e ative cada uma com no shutdown. Confira com show ip interface brief: cada interface deve mostrar up e up.

! Roteador R1: interfaces LAN e WAN com endereços IPv4
enable
configure terminal
 hostname R1
 interface GigabitEthernet0/0
  description LAN-Sales
  ip address 192.168.10.1 255.255.255.192
  no shutdown
 exit
 interface GigabitEthernet0/1
  description WAN-to-ISP
  ip address 203.0.113.2 255.255.255.252
  no shutdown
 exit
end
write memory
! Verificar
show ip interface brief

Tópico 3: VLSM e planejamento de endereços

Sub-redes de tamanho fixo desperdiçam endereços. Um link ponto a ponto precisa de apenas 2 endereços, mas um /24 oferece 254. O VLSM (Variable Length Subnet Masking) permite que cada rede use um prefixo diferente, ajustado à sua necessidade.

Como o VLSM funciona

Comece pela maior necessidade. Dê à maior rede o menor prefixo que ainda comporte seus hosts, depois coloque a rede seguinte logo depois da primeira, e assim por diante. Para 50 hosts, você precisa de 6 bits de host (62 utilizáveis), então /26. Para 20 hosts, /27 (30 utilizáveis). Para 2 hosts, /30 (2 utilizáveis).

Regra de alinhamento

Cada bloco precisa começar em um múltiplo do próprio tamanho. Um /27 (32 endereços) pode começar em .0, .32, .64 e assim por diante, mas não em .10. Ignorar essa regra causa sub-redes sobrepostas, que é o erro mais comum de VLSM.

Sumarização

Sub-redes contíguas podem ser agrupadas em uma única rota maior. Por exemplo, 10.1.0.0/24 e 10.1.1.0/24 podem ser sumarizadas em 10.1.0.0/23. Um bom planejamento faz o roteador anunciar uma rota em vez de várias, e a tabela de roteamento permanece pequena.

Lista de verificação do planejamento

Calcule os hosts de cada rede e acrescente espaço para crescimento, ordene do maior para o menor, aloque os blocos com alinhamento e escreva a rede, o primeiro host, o último host e o gateway de cada uma. Um plano escrito evita a maioria dos erros de endereçamento, tanto em laboratório quanto em produção.

Tópico 4: Ethernet, switches e VLANs

Um switch conecta dispositivos dentro de uma mesma rede local. Ele opera na camada 2 e usa endereços MAC, que são endereços de hardware de 48 bits, para decidir para onde cada quadro vai.

Tabela de endereços MAC

Quando um quadro chega, o switch registra o endereço MAC de origem e a porta por onde ele entrou. Quando precisa enviar a um endereço MAC de destino já conhecido, ele encaminha apenas para a porta correspondente. Se o destino for desconhecido ou for um broadcast, o switch inunda o quadro por todas as portas, exceto a de entrada.

Domínio de colisão e domínio de broadcast

Cada porta de switch é um domínio de colisão separado, então os dispositivos não colidem entre si. Um domínio de broadcast é o conjunto de dispositivos que recebem os broadcasts uns dos outros. O switch deixa o domínio de broadcast do tamanho da rede, e um roteador ou uma VLAN é que o divide.

VLAN: separando redes em um mesmo switch

Uma VLAN é uma rede lógica identificada por um número. As portas são atribuídas a uma VLAN, então um host na VLAN 10 não consegue alcançar um host na VLAN 20 na camada 2. Cada VLAN normalmente tem sua própria sub-rede, e é necessário um roteador ou um switch de camada 3 para levar o tráfego de uma à outra. VLANs aumentam a segurança e reduzem o broadcast.

Porta de acesso e trunk

Uma porta de acesso transporta uma única VLAN e se conecta a um dispositivo final. Um trunk transporta várias VLANs entre switches, usando a marcação 802.1Q para indicar a qual VLAN cada quadro pertence. A VLAN nativa de um trunk transporta quadros sem marcação, e as duas pontas precisam concordar com isso.

Spanning Tree Protocol

Links redundantes formam loops. Sem proteção, os broadcasts circulariam para sempre e tomariam a rede. O Spanning Tree Protocol (STP) bloqueia algumas portas para que exista apenas um caminho ativo. Se o link ativo falhar, o STP libera o caminho de reserva. Cada switch elege um root bridge, e a porta de menor custo até o root permanece aberta.

Configuração do equipamento: criar VLANs e portas de acesso no switch

Crie a VLAN 10 e a VLAN 20, coloque as portas dos usuários nelas e configure o link para outro switch como trunk que transporta as duas VLANs. A segurança de porta limita a porta de vendas a dois endereços MAC aprendidos e bloqueia os demais.

! Switch SW1: VLANs, portas de acesso, trunk e segurança de porta
enable
configure terminal
 vlan 10
  name SALES
 exit
 vlan 20
  name IT
 exit
 interface range FastEthernet0/1 - 10
  switchport mode access
  switchport access vlan 10
 exit
 interface range FastEthernet0/11 - 20
  switchport mode access
  switchport access vlan 20
 exit
 interface FastEthernet0/1
  switchport port-security
  switchport port-security maximum 2
  switchport port-security violation restrict
  switchport port-security mac-address sticky
 exit
 interface GigabitEthernet0/1
  switchport mode trunk
  switchport trunk allowed vlan 10,20
  switchport trunk native vlan 99
 exit
end
write memory
! Verificar
show vlan brief
show interfaces trunk
show port-security interface FastEthernet0/1

Tópico 5: Roteamento: tabela de roteamento, rotas estáticas e OSPF

Um roteador conecta redes diferentes na camada 3. Ele decide o próximo salto de cada pacote consultando a tabela de roteamento, que contém a lista de redes que ele conhece e como alcançá-las.

Lendo a tabela de roteamento

Cada rota tem uma rede de destino, um prefixo, um próximo salto ou uma interface de saída, além de uma distância administrativa e uma métrica. Redes diretamente conectadas têm distância 0 e são adicionadas automaticamente. Rotas estáticas têm distância 1 por padrão. O roteador usa a rota com o prefixo mais longo que corresponde, e em caso de empate decide pela menor distância administrativa.

Rotas estáticas

Rotas estáticas são digitadas pelo administrador, por exemplo ip route 10.2.0.0 255.255.255.0 192.168.1.2. São simples, previsíveis e não consomem banda para anunciar rotas. Elas não percebem uma falha por conta própria, então são adequadas para redes pequenas e para uma rota padrão apontando para o provedor.

Rota padrão

A rota padrão 0.0.0.0/0 corresponde a qualquer destino. Ela só é usada quando nenhuma outra rota corresponde. Roteadores de filiais normalmente têm uma rota padrão apontando para a matriz ou para o provedor, o que mantém a tabela de roteamento pequena.

OSPF: protocolo de estado de enlace

Roteadores OSPF trocam informações sobre seus links e seus estados. Cada roteador constrói o mesmo mapa da rede e executa o algoritmo de Dijkstra para encontrar o caminho mais curto até cada destino, usando o custo. O OSPF converge rapidamente após uma falha e suporta áreas para que redes grandes continuem fáceis de gerenciar. Os vizinhos formam adjacências trocando pacotes Hello.

Distância administrativa e métrica

Quando um roteador aprende a mesma rede por duas fontes, a distância administrativa define em qual fonte confiar. Estática tem 1, OSPF tem 110. A métrica então decide entre rotas da mesma fonte. O OSPF usa o custo, que é baseado na largura de banda.

Configuração do equipamento: adicionar rota estática e OSPF

A rota estática informa ao roteador o caminho para uma rede que ele não vê diretamente. O OSPF permite que os roteadores aprendam as redes internas uns dos outros automaticamente. O comando passive-interface impede que os Hellos do OSPF sejam enviados na LAN, onde não são necessários.

! Roteador R1: rota estática para a rede de TI e OSPF para as redes internas
enable
configure terminal
 ip route 10.2.0.0 255.255.255.0 192.168.1.2
 ip route 0.0.0.0 0.0.0.0 203.0.113.1
 router ospf 1
  router-id 1.1.1.1
  network 192.168.10.0 0.0.0.63 area 0
  network 10.0.0.0 0.255.255.255 area 0
  passive-interface GigabitEthernet0/0
 exit
end
write memory
! Verificar
show ip route
show ip ospf neighbor
Como o roteador escolhe a rota: vários caminhos podem corresponder a um endereço, e vence a rota mais específica (prefixo mais longo)
Como o roteador escolhe a rota: vários caminhos podem corresponder a um endereço, e vence a rota mais específica (prefixo mais longo)

Tópico 6: NAT e PAT

As faixas de IP privado como 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16 são reservadas para uso interno. O tráfego dessas faixas não pode ser roteado na internet pública, então o roteador na borda traduz os endereços.

Inside local e inside global

Os termos usados no NAT são: endereço inside local é o endereço privado de um host, e endereço inside global é o endereço público que aparece fora da rede. O endereço outside é o endereço do host remoto. A tradução acontece na fronteira entre as interfaces inside e outside.

NAT estático

O NAT estático cria um mapeamento fixo de um para um, por exemplo 192.168.1.10 sempre vira 203.0.113.10. É usado para servidores que precisam ser acessados de fora, como um servidor web ou de e-mail.

NAT dinâmico

O NAT dinâmico atribui um endereço público de um pool a um host privado quando ele se conecta pela primeira vez, e devolve o endereço quando a sessão termina. Ainda exige um endereço público para cada host ativo, então economiza pouco endereço.

PAT (NAT overload)

O PAT mapeia muitos hosts privados para um único endereço público, mudando a porta de origem de cada sessão. O roteador guarda uma tabela de tradução com o endereço e a porta inside contra o endereço e a porta outside. É assim que uma casa ou um escritório com dezenas de dispositivos usa um único endereço IP público.

Configuração do equipamento: PAT e NAT estático

Muitos hosts inside compartilham um endereço outside por overload (PAT). O servidor web recebe um mapeamento fixo da porta pública 80 para o seu endereço privado. Marque cada interface como inside ou outside, ou o NAT não funciona.

! Roteador R1 (borda): PAT para a LAN inside e NAT estático para o servidor web público
enable
configure terminal
 access-list 1 permit 192.168.10.0 0.0.0.63
 ip nat inside source list 1 interface GigabitEthernet0/1 overload
 ip nat inside source static tcp 192.168.20.10 80 203.0.113.10 80
 interface GigabitEthernet0/0
  ip nat inside
 exit
 interface GigabitEthernet0/1
  ip nat outside
 exit
end
write memory
! Verificar
show ip nat translations
show ip nat statistics

Tópico 7: Listas de controle de acesso

Uma ACL é uma lista de regras em sequência que permite ou nega tráfego. Roteadores e switches a usam para filtrar pacotes, por exemplo para impedir que a rede de visitantes alcance a rede de servidores.

A ordem das regras importa

O equipamento verifica as regras de cima para baixo e aplica a primeira que corresponde. Ele não verifica o resto da lista. Uma regra ampla colocada acima de uma regra específica esconde a específica, então as regras mais específicas devem vir primeiro.

Negação implícita

Toda ACL termina com uma regra oculta de negar tudo. Se um pacote não corresponde a nenhuma regra, ele é descartado. Um erro comum é escrever apenas regras de negação e achar que o resto vai passar, mas a negação implícita o bloqueia.

ACL padrão e estendida

Uma ACL padrão filtra apenas pelo endereço de origem. Deve ser colocada perto do destino. Uma ACL estendida pode filtrar por endereço de origem e de destino, protocolo e número de porta, por exemplo permitindo somente TCP porta 443. Deve ser colocada perto da origem, para que o tráfego indesejado seja descartado logo no início.

Máscara wildcard em ACLs

As ACLs usam máscara wildcard em vez de máscara de sub-rede. A wildcard 0.0.0.255 corresponde a uma rede /24, e 0.0.0.0 corresponde a um único host. Escrever "any" equivale a 0.0.0.0 255.255.255.255.

Aplicando a ACL

Uma ACL não tem efeito até ser aplicada a uma interface em uma direção. Inbound filtra o tráfego que entra na interface, e outbound filtra o tráfego que sai dela. Escolher a direção correta é uma das decisões mais importantes ao configurar um filtro.

Configuração do equipamento: escrever uma ACL estendida

A ACL bloqueia Telnet da sub-rede de vendas para o servidor e permite o resto. A ordem das regras importa: a linha de negação precisa vir antes da permissão. Aplique-a em sentido inbound na interface LAN, para que o tráfego seja verificado ao entrar no roteador.

! ACL estendida no R1: bloquear Telnet da LAN de vendas para o servidor, permitir o resto
enable
configure terminal
 ip access-list extended SERVER-IN
  remark Bloquear Telnet de vendas para o servidor
  deny tcp 192.168.10.0 0.0.0.63 host 192.168.20.10 eq telnet
  permit ip any any
 exit
 interface GigabitEthernet0/0
  ip access-group SERVER-IN in
 exit
end
write memory
! Verificar
show ip access-lists SERVER-IN

Tópico 8: Serviços de rede: DHCP, DNS, NTP e logging

Os hosts dependem de vários serviços para funcionar corretamente. Sem eles, você precisaria digitar manualmente cada endereço, nome e horário.

DHCP: endereços automáticos

O DHCP segue quatro passos chamados DORA: Discover (o cliente transmite um pedido), Offer (o servidor oferece um endereço), Request (o cliente aceita) e Acknowledge (o servidor confirma o aluguel). O servidor também fornece o gateway padrão, os servidores DNS e o tempo de concessão. Um roteador pode atuar como servidor DHCP em uma filial pequena.

DNS: nomes para endereços

O DNS traduz nomes como www.example.com em endereços IP. O cliente pergunta ao servidor DNS configurado, que pode consultar outros servidores acima dele na hierarquia. Os registros comuns incluem A (endereço IPv4), AAAA (IPv6), MX (servidor de e-mail) e CNAME (alias). Falhas de DNS costumam parecer problemas de rede, então teste com o nome e com o endereço IP.

NTP: manter os relógios sincronizados

O NTP sincroniza o relógio dos dispositivos com uma fonte de horário. Horário preciso é importante para correlacionar logs quando um incidente de rede acontece em vários dispositivos, e para certificados, que só valem dentro de um período. Um dispositivo pode ser configurado como cliente de um servidor de horário, ou como servidor para outros dispositivos.

Syslog e SNMP

O syslog envia mensagens de eventos dos dispositivos para um servidor de log centralizado, onde você pode pesquisá-las. Cada mensagem tem um nível de severidade, de 0 (emergência) a 7 (depuração). O SNMP permite que um gerenciador solicite que os dispositivos informem contadores, como o tráfego das interfaces, e pode enviar traps quando algo acontece. O SNMP versão 3 acrescenta autenticação e criptografia.

Configuração do equipamento: configurar DHCP, DNS, NTP e logging

O pool DHCP distribui endereços para a LAN de vendas, e a faixa excluída mantém o roteador e os servidores fora do pool. DNS, NTP e o host de syslog fazem com que nomes, relógios e logs funcionem juntos.

! DHCP para a LAN de vendas, além de DNS, NTP e logging
enable
configure terminal
 ip dhcp excluded-address 192.168.10.1 192.168.10.10
 ip dhcp pool SALES
  network 192.168.10.0 255.255.255.192
  default-router 192.168.10.1
  dns-server 192.168.20.53
  lease 7
 exit
 ip domain-name example.local
 ntp server 192.168.20.123
 logging host 192.168.20.514
 service timestamps log datetime msec
end
write memory
! Verificar
show ip dhcp binding
show ntp status
show logging

Tópico 9: Noções de segurança e automação

A segurança começa protegendo o próprio dispositivo e depois o tráfego que passa por ele. A automação reduz a quantidade de mudanças manuais, que são propensas a erro.

Protegendo o acesso aos dispositivos

Use SSH em vez de Telnet, porque o Telnet envia senhas em texto puro. Defina um enable secret forte, um banner que avise usuários não autorizados e tempos limite de inatividade nas linhas console e VTY. Limite o acesso VTY à sub-rede de gerenciamento com uma ACL.

Segurança de porta

A segurança de porta limita quantos endereços MAC uma porta de switch pode aprender, e pode desativar a porta se um dispositivo novo se conectar. Isso impede que alguém conecte um switch ou falsifique um endereço MAC em uma porta pública. O modo sticky guarda os endereços aprendidos na configuração em execução.

AAA: autenticação, autorização e contabilidade

O AAA define quem pode entrar (autenticação), o que pode fazer depois de entrar (autorização) e registra o que faz (contabilidade). Normalmente usa um servidor centralizado, como TACACS+ ou RADIUS, para que as contas sejam gerenciadas em um único lugar.

Automação e programabilidade

Configurar muitos dispositivos manualmente é lento e propenso a erros. Uma API permite que um software leia e altere os dispositivos diretamente. Uma REST API usa métodos HTTP (GET, POST, PUT, DELETE) e envia dados em JSON, um formato de texto com pares de chave e valor. Controladores como o Cisco DNA Center aplicam uma única política a muitos dispositivos de uma vez.

Configuração do equipamento: proteger o acesso ao switch

Somente SSH é permitido nas linhas VTY, os usuários entram com contas locais, as sessões ociosas expiram e uma lista de acesso limita o gerenciamento a uma única sub-rede. Use suas próprias senhas fortes e nunca guarde senhas reais em notas compartilhadas.

! Proteger o acesso ao SW1: somente SSH, login local, timeout e somente a sub-rede de gerenciamento
enable
configure terminal
 hostname SW1
 ip domain-name example.local
 crypto key generate rsa modulus 2048
 username admin privilege 15 secret <strong-password>
 enable secret <strong-password>
 banner motd #Somente para usuários autorizados#
 ip access-list standard MGMT-ONLY
  permit 192.168.20.0 0.0.0.255
  deny any
 exit
 line vty 0 4
  transport input ssh
  login local
  exec-timeout 5 0
  access-class MGMT-ONLY in
 exit
end
write memory
! Verificar
show ip ssh
show running-config | section line vty

Prática em laboratório

O CCNA é uma prova prática, então ler sobre um tópico não basta. Monte uma pequena rede no simulador com dois switches, dois roteadores e três PCs. Siga os passos abaixo e confira cada resultado antes de avançar.

1. Planeje os endereços primeiro. Use o método VLSM sobre um /24 para três redes: de 50, 20 e 2 hosts.

2. Configure os PCs com endereço, máscara e gateway padrão conforme o seu plano.

3. Crie duas VLANs no switch, coloque um PC em cada VLAN e confirme que eles não conseguem se alcançar.

4. Conecte os switches com um trunk e verifique a VLAN nativa.

5. Adicione rotas estáticas em cada roteador e teste com ping e traceroute.

6. Adicione uma ACL que bloqueie um PC de alcançar o servidor, aplique-a na direção correta e teste novamente.

Próximos passos

Depois das bases, estude um tópico de cada vez, começando por sub-redes e roteamento, porque a maioria dos outros tópicos depende deles. Escreva um plano para cada laboratório antes de configurar qualquer coisa. A maioria dos problemas de laboratório vem de uma máscara errada, de um gateway errado ou de uma VLAN errada.

Resumo

O CCNA cobre como os dispositivos se conectam, como os pacotes são roteados entre redes, como manter a rede segura e como automatizá-la. As ideias centrais são sub-redes, switching com VLANs, roteamento com a regra do prefixo mais longo, NAT, ACLs e serviços de rede básicos. Estude cada ideia e depois verifique no laboratório.