Dia 4: Ethernet e Switching — VLANs, Trunking 802.1Q e STP

No Dia 3 abordámos o protocolo ARP e a detecção de dispositivos na rede local. Hoje descemos ao nível 2 do modelo OSI para explorar a tecnologia que domina as redes cabladas modernas: o Ethernet. Vamos cobrir switches L2, VLANs, trunking 802.1Q, Spanning Tree Protocol e canal de portas — os blocos fundamentais de qualquer infraestrutura de rede empresarial ou doméstica gerida.

Neste artigo

1. Introdução ao Ethernet e Switching

O Ethernet é o padrão de rede local mais utilizado no mundo, definido inicialmente pela IEEE na norma 802.3. Opera na camada física (L1) e na camada de ligação de dados (L2), sendo responsável por enquadrar os dados em frames e endereçar cada interface através do endereço MAC. A norma evoluiu desde os primeiros 10 Mbps coaxiais até 400 Gbps em ligações de fibra modernas, mantendo o mesmo formato de frame e o mesmo princípio de endereçamento MAC.

Um switch L2 é um dispositivo que interliga múltiplos hosts numa mesma rede local. Ao contrário do antigo hub — que retransmitia cada frame a todas as portas — o switch aprende os endereços MAC das máquinas ligadas às suas portas e encaminha cada frame apenas para a porta correcta. Isto reduz drasticamente o tráfego de difusão e melhora a segurança e o desempenho da rede.

A tabela de encaminhamento de MACs é construída dinamicamente: quando um frame chega a uma porta, o switch regista o MAC de origem e a porta por onde entrou. Quando chega um frame destinado a um MAC conhecido, o switch envia-o apenas para a porta correcta. Se o MAC for desconhecido ou se for um endereço de difusão (FF:FF:FF:FF:FF:FF), o switch inunda todas as portas excepto a de origem.

ℹ As VLANs segmentam o domínio de difusão ao nível 2, reduzindo tráfego de difusão e melhorando a segurança entre departamentos.

2. VLANs — Conceito e Configuração

Uma VLAN (Virtual LAN) é uma rede local virtual, criada logicamente dentro de um switch. Em vez de ter três redes físicas separadas — cada uma com o seu switch —, podemos ter três VLANs no mesmo switch, isolando o tráfego como se fossem redes distintas. Cada porta do switch é atribuída a uma VLAN, e os frames só circulam entre portas da mesma VLAN (ou entre VLANs através de um router).

Os dois modos principais de porta num switch são:

  • Access — liga a um dispositivo final (PC, impressora, ponto de acesso) que não tem conhecimento de VLANs. Cada porta access pertence a uma única VLAN.
  • Trunk — liga switches entre si (ou a routers) e transporta tráfego de múltiplas VLANs simultaneamente, identificado por uma tag 802.1Q.

O isolamento de VLANs funciona por defeito: dois PCs em VLANs diferentes não conseguem comunicar entre si ao nível L2, mesmo estando ligados ao mesmo switch. Para que comunicassem, seria necessário um router (ou switch L3) que faça o encaminhamento entre VLANs — o chamado router-on-a-stick.

No Linux, é possível criar VLANs directamente no sistema operativo usando subinterfaces VLAN, sem necessidade de hardware dedicado:

# Criar VLAN no Linux (bridge + VLAN)
ip link add link eth0 name eth0.10 type vlan id 10
ip addr add 192.168.10.1/24 dev eth0.10
ip link set up eth0.10

Em switches Cisco, a configuração de VLANs é feita em modo de configuração global:

# Configurar VLAN em switch Cisco (exemplo)
enable
configure terminal
vlan 10
name Vendas
exit
interface gigabitEthernet 0/1
switchport mode access
switchport access vlan 10

O comando vlan 10 cria a VLAN com ID 10 no switch e o comando name Vendas atribui-lhe um nome descritivo. A interface gigabitEthernet 0/1 é configurada como porta access na VLAN 10.

VLAN ID Nome Sub-rede típica Uso
1 default — VLAN nativa (não usar para dados)
10 Vendas 192.168.10.0/24 Departamento comercial
20 IT 192.168.20.0/24 Equipa técnica
30 Convidados 192.168.30.0/24 Rede isolada para visitantes
99 Gestão 192.168.99.0/24 Acesso administrativo ao switch

3. Trunking 802.1Q

O padrão IEEE 802.1Q, actualizado em 2022 (IEEE 802.1Q-2022), define o mecanismo de trunking — a inserção de uma etiqueta de 4 bytes no cabeçalho do frame Ethernet para identificar a VLAN a que pertence. Esta tag é adicionada pelo switch quando o frame entra numa porta trunk e removida quando sai por uma porta access, sendo transparente para o dispositivo final.

A estrutura da tag 802.1Q contém dois campos principais:

  • TPID (Tag Protocol Identifier) — 2 bytes, valor 0x8100, que indica ao receptor que o frame tem uma tag 802.1Q.
  • TCI (Tag Control Information) — 2 bytes, que contém o VLAN ID (12 bits, permitindo 4094 VLANs, de 1 a 4094) e 3 bits de prioridade (802.1p) para QoS.

A VLAN 1 é a VLAN nativa por defeito: frames sem tag que chegam a uma porta trunk são atribuídos à VLAN nativa. Por segurança, recomenda-se mudar a VLAN nativa para um ID não utilizado e nunca atribuir dados sensíveis a essa VLAN.

# Trunk 802.1Q
interface gigabitEthernet 0/24
switchport mode trunk
switchport trunk allowed vlan 10,20,30

O comando switchport trunk allowed vlan restringe quais VLANs podem atravessar o trunk. Por defeito, todas as VLANs activas são permitidas, mas em produção deve-se limitar apenas às necessárias — princípio do menor privilégio aplicado ao encaminhamento L2.

Campo Tamanho Função
TPID 2 bytes Identifica o frame como 802.1Q (0x8100)
PCP 3 bits Prioridade 802.1p (QoS)
DEI 1 bit Drop Eligible Indicator
VID 12 bits VLAN ID (1–4094)

4. Spanning Tree Protocol (STP/RSTP)

O Spanning Tree Protocol (STP), definido na norma IEEE 802.1D (e posteriormente refinado como RSTP na 802.1w), é o mecanismo que evita ciclos numa rede de switches com ligações redundantes. Sem STP, se existirem dois caminhos entre dois switches, os frames circularão indefinidamente, gerando uma tempestade de difusão que pode derrubar a rede em segundos.

⚠️ Um cabo ligado entre duas portas de switch sem STP activo cria um ciclo de rede (tempestade de difusão) que pode derrubar toda a rede em segundos.

O STP funciona elegendo um bridge raiz — o switch central da topologia — e, em seguida, calculando o caminho mais curto para a raiz a partir de cada switch. As portas que não fazem parte do caminho mais curto são colocadas em estado de blocking, eliminando os ciclos. Se uma ligação falhar, o STP recalcula a árvore e activa um caminho alternativo.

Os estados das portas no STP clássico (802.1D) são:

  • Blocking — a porta não encaminha frames nem aprende MACs; apenas recebe BPDUs.
  • Listening — a porta prepara-se para activar; 15 s por defeito.
  • Learning — a porta aprende MACs mas ainda não encaminha; 15 s por defeito.
  • Forwarding — a porta encaminha frames normalmente.

O RSTP (Rapid Spanning Tree Protocol, 802.1w) reduz o tempo de convergência de 30–50 segundos para 1–3 segundos, introduzindo novos estados (Discarding, Learning, Forwarding) e papéis adicionais (Alternate, Backup). É o padrão recomendado em todas as redes modernas.

# Verificar STP
show spanning-tree

O comando show spanning-tree mostra o estado actual da árvore: qual é o bridge raiz, o custo do caminho para a raiz, e o estado de cada porta. Para definir manualmente o bridge raiz (boa prática de desenho), usa-se:

# Definir bridge raiz e activar RSTP
spanning-tree mode rapid-pvst
spanning-tree vlan 10,20,30 root primary
Característica STP (802.1D) RSTP (802.1w)
Tempo de convergência 30–50 s 1–3 s
Estados de porta 5 3
Papéis de porta 2 (Root, Designated) 5 (Root, Designated, Alternate, Backup, Disabled)
Recomendado em 2026 Não Sim

5. Port Channels (LACP)

Um canal de porta (ou agregação de ligações) combina múltiplas ligações físicas num único canal lógico, aumentando a largura de banda e providenciando redundância. Se uma das ligações falhar, o tráfego é redistribuído pelas restantes sem interrupção. O padrão IEEE 802.3ad define o protocolo LACP (Link Aggregation Control Protocol), que negoceia automaticamente a agregação entre os dois lados da ligação.

As vantagens do LACP são claras:

  • Largura de banda aumentada — 2 ligações de 1 Gbps actuam como um canal de 2 Gbps.
  • Redundância — se uma ligação cai, as restantes mantêm o serviço.
  • Balanço de carga — o tráfego é distribuído por hash de MAC/IP/porta de origem.
  • Configuração simplificada — uma interface lógica em vez de várias físicas.

Para configurar LACP num switch Cisco, agrupa-se portas físicas num channel-group:

# Port Channel com LACP
interface range gigabitEthernet 0/1-2
channel-group 1 mode active
exit
interface port-channel 1
switchport mode trunk
switchport trunk allowed vlan 10,20,30

O modo active força a negociação LACP no lado local. O modo passive aguarda que o outro lado inicie — útil quando não se tem controlo sobre o equipamento remoto. No Linux, o LACP é suportado pelo módulo bonding com modo 802.3ad:

# Bond LACP no Linux
ip link add bond0 type bond mode 802.3ad
ip link set eth0 master bond0
ip link set eth1 master bond0
ip addr add 192.168.10.1/24 dev bond0
ip link set up bond0

6. Configuração Prática em Switches Geridos

Vamos juntar os conceitos anteriores numa configuração completa de um switch gerido. O cenário é uma pequena empresa com três departamentos (Vendas, IT, Convidados) numa topologia de dois switches ligados por um trunk LACP com STP activo.

A configuração abaixo resume os passos essenciais:

enable
configure terminal

# Criar VLANs
vlan 10
name Vendas
vlan 20
name IT
vlan 30
name Convidados
vlan 99
name Gestão
exit

# STP em modo rapid-pvst
spanning-tree mode rapid-pvst
spanning-tree vlan 1-4094 root primary

# Portas access
interface range gigabitEthernet 0/1-10
switchport mode access
switchport access vlan 10
spanning-tree portfast
exit

interface range gigabitEthernet 0/11-15
switchport mode access
switchport access vlan 20
spanning-tree portfast
exit

interface range gigabitEthernet 0/16-20
switchport mode access
switchport access vlan 30
spanning-tree portfast
exit

# Trunk LACP para o segundo switch
interface range gigabitEthernet 0/23-24
channel-group 1 mode active
exit

interface port-channel 1
switchport mode trunk
switchport trunk allowed vlan 10,20,30,99
exit

# VLAN de gestão
interface vlan 99
ip address 192.168.99.2/24
no shutdown
exit

# Guardar
end
write memory

O comando spanning-tree portfast nas portas access acelera a transição para forwarding quando se liga um dispositivo — pula os estados Listening e Learning, assumindo que portas de acesso não geram ciclos. Deve ser usado apenas em portas ligadas a dispositivos finais, nunca em ligações switch-para-switch.

Para verificar a configuração, os comandos mais úteis são:

# Verificar estado
show vlan brief
show interfaces trunk
show spanning-tree
show etherchannel summary
show mac address-table

7. Erros Comuns e Lista de verificação

Os problemas mais frequentes em redes com VLANs e STP resultam de configurações descuidadas ou de mal-entendidos sobre como estas tecnologias interagem. Abaixo estão os erros recorrentes e uma lista de verificação de verificação.

Erro Causa Solução
Broadcast storm Ciclo físico sem STP activo Activar RSTP em todos os switches
VLAN mismatch no trunk VLANs permitidas diferentes em cada lado Verificar show interfaces trunk nos dois switches
Hosts na mesma VLAN não comunicam Porta configurada noutra VLAN Confirmar switchport access vlan na porta
LACP não activa Modo passive nos dois lados Pelo menos um lado em modo active
Convergência lenta após falha STP clássico (802.1D) em uso Migrar para RSTP (802.1w)
Root bridge incorrecto Eleição automática escolheu switch periférico Definir root priority manualmente no switch central

Lista de verificação de verificação:

  • RSTP activo em todos os switches da topologia.
  • Root bridge definido manualmente no switch mais central.
  • PortFast activado apenas em portas de acesso (nunca em trunks).
  • VLANs permitidas no trunk coincidem em ambos os lados.
  • VLAN nativa mudada para um ID não utilizado (não usar VLAN 1).
  • VLAN de gestão (99) configurada com IP e acesso restrito.
  • LACP em modo active em pelo menos um lado de cada agregação.
  • Tabela de MACs e estado do STP verificados com show após alterações.

Artigos Relacionados

Fontes Oficiais

No próximo dia continuamos a descer nas camadas do modelo OSI, explorando o encaminhamento ao nível 3 — encaminhamento estático, dinâmico e os principais protocolos de encaminhamento. O Dia 16 voltará às VLANs com um guia prático de configuração, e o Dia 9 abordará firewalls e a filtragem de tráfego entre VLANs.