Dia 16: VLANs e 802.1Q — Configuração Prática em Switches

As VLANs (Virtual Local Area Networks) separam domínios de broadcast numa infra-estrutura física comum, permitindo isolar tráfego por departamento, função ou nível de segurança. O padrão IEEE 802.1Q adiciona uma etiqueta de 4 bytes ao quadro Ethernet para identificar a VLAN a que pertence. Hoje vamos configurar VLANs em três fabricantes de switches geridos, montar trunking 802.1Q, routar entre VLANs e identificar os erros mais comuns.

Este artigo é parte do Curso de Redes 30 Dias. No Dia 4 abordámos Ethernet, VLANs e Spanning Tree Protocol, e no Dia 2 falámos de subnetting e máscaras de rede. O Dia 17 cobrirá encaminhamento avançado com Policy Routing e Multicast.

1. Planeamento de VLANs

Antes de tocar num switch, é essencial desenhar o plano de VLANs numa folha de cálculo ou documento. Mapear cada VLAN a um nome, um ID numérico, uma sub-rede IP e um gateway. Uma convenção consistente evita confusão futura quando a rede cresce.

Regras de planeamento a respeitar:

• IDs 1 e 1002-1005 são reservados em Cisco IOS (VLAN 1 é predefinida, 1002-1005 são FDDI/Token Ring legacy). Não usar para tráfego de produção.
• VLAN nativa deve ser uma VLAN não usada para dados (ex: 999) para evitar ataques de VLAN hopping.
• VLAN de gestão separada (ex: 99) com acesso restringido por ACL.
• Naming convention consistente: sem espaços, sem acentos, máximo 32 caracteres.
• Sub-redes alinhadas com o ID da VLAN quando possível (VLAN 10 = 192.168.10.0/24).

2. Configuração em Switches Cisco

O Cisco IOS é o sistema operativo mais comum em switches empresariais. A configuração de VLANs faz-se em dois passos: criar as VLANs no banco de dados global e atribuir portas a cada VLAN.

2.1 Criar VLANs e configurar portas access

enable
configure terminal
vlan 10
  name Vendas
vlan 20
  name TI
vlan 30
  name Servidores
vlan 99
  name Gestao
exit
# Porta access
interface range gigabitEthernet 0/1-10
  switchport mode access
  switchport access vlan 10
  spanning-tree portfast

O switchport mode access fixa a porta como access (sem negociação de trunk). O spanning-tree portfast acelera a transição para forwarding em portas de utilizador final.

2.2 Configurar trunk 802.1Q

interface gigabitEthernet 0/24
  switchport mode trunk
  switchport trunk allowed vlan 10,20,30,99
  switchport trunk native vlan 999

O comando trunk allowed vlan restringe quais VLANs atravessam o trunk — não deixar todas passar por defeito. A VLAN nativa 999 transporta tráfego sem etiqueta; usar uma VLAN inutilizada evita VLAN hopping.

2.3 Verificação

show vlan brief
show interfaces trunk
show interfaces gigabitEthernet 0/24 switchport

3. Configuração em Switches HP/Aruba

Os switches HP/Aruba (ProCurve e ArubaOS-Switch) usam uma sintaxe diferente da Cisco. Em vez de switchport mode access, atribui-se portas com as palavras-chave untagged (access) e tagged (trunk).

# HP/Aruba — VLAN
vlan 10
  name "Vendas"
  untagged 1-10
  tagged 24
vlan 20
  name "TI"
  untagged 11-15
  tagged 24
vlan 30
  name "Servidores"
  untagged 16-20
  tagged 24
vlan 99
  name "Gestao"
  tagged 24
  ip address 192.168.99.2 255.255.255.0
exit
# VLAN nativa no trunk
vlan 999
  name "Nativa"
exit
interface 24
  untagged vlan 999

Em HP/Aruba, uma porta pode ser untagged numa só VLAN (equivalente a access) e tagged em várias VLANs simultaneamente (trunk 802.1Q). A VLAN nativa define-se atribuindo untagged na porta trunk.

3.1 Verificação

show vlans
show vlans ports detail
show trunk

4. Configuração em MikroTik

O RouterOS da MikroTik trata VLANs de forma flexível: podem ser criadas sobre interfaces físicas, bridges ou bonds. Em switches com chip de switching (CRS), pode-se usar hardware offload; em routers normais, o processamento é CPU-based.

4.1 VLAN sobre bridge

# MikroTik — VLAN
/interface vlan add name=vlan10 vlan-id=10 interface=bridge1
/interface vlan add name=vlan20 vlan-id=20 interface=bridge1
/interface vlan add name=vlan30 vlan-id=30 interface=bridge1
/ip address add address=192.168.10.1/24 interface=vlan10
/ip address add address=192.168.20.1/24 interface=vlan20
/ip address add address=192.168.30.1/24 interface=vlan30

4.2 Bridge VLAN filtering

No RouterOS v6.41+, o método recomendado é usar bridge VLAN filtering em vez de criar interfaces VLAN individuais sobre a bridge. Isto permite que o chip de switching faça offload.

/interface bridge add name=bridge1 vlan-filtering=yes
/interface bridge port
  add bridge=bridge1 interface=ether2 pvid=10
  add bridge=bridge1 interface=ether3 pvid=20
  add bridge=bridge1 interface=ether4 pvid=30
  add bridge=bridge1 interface=ether5 pvid=99
/interface bridge vlan
  add bridge=bridge1 vlan-ids=10 tagged=ether1 untagged=ether2
  add bridge=bridge1 vlan-ids=20 tagged=ether1 untagged=ether3
  add bridge=bridge1 vlan-ids=30 tagged=ether1 untagged=ether4
  add bridge=bridge1 vlan-ids=99 tagged=ether1 untagged=ether5

O pvid (Port VLAN ID) define a VLAN de entrada para tráfego sem etiqueta. O tagged indica portas trunk e untagged portas access.

5. Encaminhamento VLAN (Router-on-a-Stick)

Para que dispositivos em VLANs diferentes comuniquem, é necessário routar entre elas. Existem duas abordagens: router-on-a-stick (um router externo com sub-interfaces) e switch L3 (encaminhamento interno no próprio switch).

5.1 Router-on-a-Stick em Cisco

# Router-on-a-stick (Cisco)
interface gigabitEthernet 0/0
  no ip address
interface gigabitEthernet 0/0.10
  encapsulation dot1Q 10
  ip address 192.168.10.1 255.255.255.0
interface gigabitEthernet 0/0.20
  encapsulation dot1Q 20
  ip address 192.168.20.1 255.255.255.0
interface gigabitEthernet 0/0.30
  encapsulation dot1Q 30
  ip address 192.168.30.1 255.255.255.0

Cada sub-interface usa encapsulation dot1Q para associar a VLAN ID. A interface física fica sem IP e ligada a uma porta trunk do switch.

5.2 Switch L3 (inter-VLAN encaminhamento interno)

# Cisco L3 switch
ip encaminhamento
interface vlan 10
  ip address 192.168.10.1 255.255.255.0
interface vlan 20
  ip address 192.168.20.1 255.255.255.0
interface vlan 30
  ip address 192.168.30.1 255.255.255.0

O comando ip encaminhamento activa o forwarding L3 no switch. As SVIs (Switch Virtual Interfaces) são criadas com interface vlan N e funcionam como gateway de cada VLAN.

6. Voice VLAN

A voice VLAN separa tráfego de telefonia IP do tráfego de dados na mesma porta física. O telefone IP envia frames etiquetados com a VLAN de voz e o PC ligado ao telefone envia frames sem etiqueta (na VLAN de dados). O switch distingue-os automaticamente pelo campo 802.1Q.

6.1 Configuração Cisco

vlan 110
  name Voice
interface gigabitEthernet 0/1
  switchport mode access
  switchport access vlan 10
  switchport voice vlan 110
  spanning-tree portfast
  mls qos trust device cisco-phone
  mls qos trust cos

O switchport voice vlan 110 atribui a VLAN de voz. A porta continua em modo access para a VLAN de dados (10), mas aceita frames etiquetados 802.1Q para a VLAN 110. O CDP (Cisco Discovery Protocol) detecta o telefone e aplica QoS automaticamente.

6.2 Considerações de QoS

• CoS 5 (Class of Service) é reservado para voz no campo 802.1P (3 bits dentro da etiqueta 802.1Q).
• DSCP 46 (EF) é o valor recomendado para tráfego RTP de voz no nível L3.
• Confiar no telefone IP apenas se for gerido (para evitar marcação maliciosa de CoS).
• Largura de banda por chamada G.711: ~87 kbps com sobrecarga L2; G.729: ~31 kbps.

7. Erros Comuns e Lista de Verificação

A maioria dos problemas de VLAN resume-se a cinco categorias: portas mal atribuídas, VLANs não criadas na base de dados, trunk com VLANs não permitidas, VLAN nativa incompatível entre switches, e encaminhamento inter-VLAN ausente.