Tags: Layer 2 · Layer 3 · Cloud · MPLS · VPN · Azure · AWS · Google Cloud · Console Connect · Interconexão
Por Duarte Spínola · 3 de Julho de 2026
Layer 2 vs Layer 3: Qual a Melhor Conexão para Ligar à Cloud em 2026
Ligar a infraestrutura on-premise à cloud pública é uma decisão arquitectural crítica. A escolha entre uma conexão Layer 2 (Data Link Layer) e Layer 3 (Network Layer) afecta o desempenho, a complexidade de routing, o custo e a flexibilidade. Este guia explica as diferenças técnicas, quando escolher cada opção e como configurar cada uma, com base na documentação original da Console Connect e na experiência prática de sysadmins.
Para contextos complementares sobre networking, consulta os artigos sobre Azure VPN Gateway Site-to-Site, FortiGate Firewall NAT e VPN, Cloudflare Tunnel Zero Trust e CGNAT: Verificar e Contornar.
Conteúdos
- 1. Modelo OSI: O Que São Layer 2 e Layer 3
- 2. Interconexão Layer 2: Como Funciona
- 3. Interconexão Layer 3: Como Funciona
- 4. Componentes Necessários para Layer 2
- 5. Componentes Necessários para Layer 3
- 6. Comparação Detalhada L2 vs L3
- 7. Quando Escolher Layer 2
- 8. Quando Escolher Layer 3
- 9. Configurar uma Conexão Layer 2
- 10. Configurar uma Conexão Layer 3
- 11. Suporte nos Principais Cloud Providers
- 12. Cenário Prático para PME
- 13. Boas Práticas
- 14. Checklist de Implementação
1. Modelo OSI: O Que São Layer 2 e Layer 3
Antes de escolher, é importante perceber a diferença técnica entre as duas camadas do modelo OSI:
| Aspecto | Layer 2 (Data Link) | Layer 3 (Network) |
|---|---|---|
| Endereçamento | MAC addresses | IP addresses |
| Protocolo | Ethernet, VLAN, STP | IP, BGP, OSPF, MPLS |
| Routing | Nao há — é ponto-a-ponto | Sim — routing dinâmico entre redes |
| Topologia | Switched (VLAN/802.1Q) | Routed (IP/MPLS) |
| Broadcast | Sim (broadcast domain) | Nao (domínio limitado) |
| Latência | Mínima (sem routing) | Slight overhead (routing) |
| Complexidade | Baixa (sem routing) | Média-Alta (BGP/OSPF) |
Numa conexão Layer 2, o tráfego é transmitido como num switch Ethernet — um circuito virtual ponto-a-ponto (VLAN) que liga duas localizacoes. Não há routing; tens controlo total da configuracao IP em ambas as pontas.
Numa conexão Layer 3, o tráfego é encaminhado (routed) entre redes. O provedor configura e gere o routing por ti, tipicamente usando MPLS ou BGP. É ideal para ligar múltiplas localizacoes entre si e à cloud.
2. Interconexão Layer 2: Como Funciona
Uma interconexão Layer 2 é um circuito virtual Ethernet ponto-a-ponto (VLAN) que liga duas localizacoes — por exemplo, o escritório e um tenant na cloud pública — através da infraestrutura do provedor. O tráfego percorre a rede como se os dois pontos estivessem no mesmo switch.
Características principais:
- Simples e high-performance — baixa latência, sem overhead de routing
- Ponto-a-ponto — liga duas localizacoes, nao múltiplas
- Controlo total de routing — configuras IP/BGP nas duas pontas
- Custo potencialmente mais baixo — sem serviços de routing do provedor
- Requer skills de networking — precisas de configurar routing em ambos os lados: no CPE (Customer Premise Equipment) e no tenant cloud
💡 Dica: A interconexão Layer 2 é como um “cabo Ethernet virtual” entre duas localizacoes. Tudo o que enviar de um lado chega ao outro — mas tens de configurar o IP routing tu mesmo.
3. Interconexão Layer 3: Como Funciona
Uma interconexão Layer 3 usa routing IP para ligar múltiplas redes. Na Console Connect, isto é implementado através do CloudRouter — uma VPN Layer 3 baseada em MPLS carrier-grade que cria uma malha completa (full-mesh) lógica de conexões dentro da rede do provedor.
Características principais:
- Multi-localizacao — liga vários escritórios, data centres e tenants cloud num só router
- Routing gerido — o provedor configura e mantém o routing automaticamente
- Malha completa — todas as localizacoes falam entre si sem configuracao manual de cada par
- Class of Service — 3 classes para priorizar tráfego por tipo de aplicação
- Simples de pedir — especificas nome, largura de banda e prazo (mínimo 1 mês)
- Ideal para quem nao tem skills de routing — o provedor gere tudo
💡 Dica: O Layer 3 é a escolha quando tens 3 ou mais localizacoes para ligar à cloud, ou quando nao queres gerir BGP/OSPF internamente. O CloudRouter cria a malha automaticamente.
4. Componentes Necessários para Layer 2
Para encomendar, aprovisionar e configurar uma interconexão Layer 2, precisas de três componentes principais:
| Componente | Descrição |
|---|---|
| Tenant na cloud pública | Um tenant em AWS, Azure, Google Cloud, Oracle, Vultr ou IBM. O provedor tem ligações pré-estabelecidas de alta capacidade para estes parceiros. |
| Access Port | Uma porta Edge (escritório) ou Data Centre Port (data centre) que fornece a conexão Ethernet física. Podes reutilizar a mesma porta para outras ligações se tiver largura de banda disponível. |
| Interconexão Layer 2 | O circuito virtual (VLAN) entre o Access Port e o tenant cloud. É o que transporta o tráfego em cada direção. |
5. Componentes Necessários para Layer 3
Para uma rede baseada em CloudRouter (Layer 3), precisas de:
| Componente | Descrição |
|---|---|
| CloudRouter | A aplicação de routing. Normalmente só precisas de um — liga todas as localizacoes e tenants cloud. Podes adicionar mais depois. |
| Sites e recursos | Edge Ports, Data Centre Ports, tenants cloud ou aplicações SaaS para anexar ao CloudRouter. |
| Class of Service | 3 classes para priorizar diferentes tipos de tráfego (ex: voz, dados, backup). |
O CloudRouter é encomendado no portal do provedor, especificando nome, largura de banda total e prazo base (mínimo 1 mês). O aprovisionamento é quase instantâneo.
6. Comparação Detalhada L2 vs L3
| Característica | Layer 2 | Layer 3 |
|---|---|---|
| Topologia | Ponto-a-ponto | Malha completa (full-mesh) |
| Routing | Gerido pelo cliente | Gerido pelo provedor |
| Latência | Mínima | Ligeiro overhead |
| Complexidade | Baixa (mas requer skills IP) | Muito baixa (provedor gere) |
| Multi-localizacao | Nao (uma VLAN por par) | Sim (malha automática) |
| Custo | Potencialmente mais baixo | Inclui serviço de routing |
| Controlo | Total (configuras tudo) | Parcial (provedor gere routing) |
| Class of Service | Nao | Sim (3 classes) |
| Provisionamento | Rápido (self-service) | Rápido (quase instantâneo) |
| BGP necessário | Sim (nas duas pontas) | Nao (provedor gere) |
7. Quando Escolher Layer 2
Escolhe uma interconexão Layer 2 quando:
- Uma localizacao principal — as tuas aplicações cloud comunicam principalmente com uma só localizacao (ex: escritório sede)
- Queres controlo total de routing — tens skills internos para configurar BGP e IP routing em ambas as pontas
- Largura de banda flexível — precisas de uma ligação privada directa com bandwidth ajustável
- Custo mínimo — nao queres pagar pelo serviço de routing gerido
- Latência mínima — cada milissegundo conta (ex: trading financeiro, gaming)
- Reutilizacao de porta — já tens um Access Port e queres adicionar uma VLAN cloud
💡 Dica: O Layer 2 é a escolha mais simples e económica quando só precisas de ligar um site à cloud. Mas lembra-te: tens de gerir o routing IP tu mesmo — tanto no CPE como no tenant cloud.
8. Quando Escolher Layer 3
Escolhe uma interconexão Layer 3 quando:
- Múltiplas localizacoes — precisas de ligar vários escritórios, data centres e tenants cloud entre si
- Nao tens skills de routing — queres que o provedor configure e mantenha o routing automaticamente
- Malha completa — todas as localizacoes precisam de falar com todas as outras
- Class of Service — precisas de priorizar diferentes tipos de tráfego (voz, vídeo, dados, backup)
- Múltiplos clouds — queres ligar a AWS, Azure e Google Cloud num só router lógico
- Simplicidade operacional — preferes que alguem gere o routing por ti
- Crescimento futuro — planeias adicionar mais sites e queres uma arquitectura escalável
9. Configurar uma Conexão Layer 2
Exemplo de configuracao de uma conexão Layer 2 para Azure ExpressRoute e AWS Direct Connect:
Azure ExpressRoute (Layer 2)
# Azure ExpressRoute via Layer 2 (VLAN)
# O provedor fornece um VLAN ID e Service Key
# 1. No portal Azure: criar ExpressRoute circuit
# - Provider: Console Connect (ou outro)
# - Peering location: Amsterdam
# - Bandwidth: 50 Mbps
# - Peering: Private (BGP)
# 2. Configurar BGP no CPE (ex: Cisco router)
# - VLAN: 100 (fornecido pelo provedor)
# - IP peer: 192.168.1.1/30 (Azure) / 192.168.1.2/30 (CPE)
# - ASN Azure: 12076
# - ASN CPE: 65001
# Configuração Cisco IOS:
interface GigabitEthernet0/0.100
encapsulation dot1Q 100
ip address 192.168.1.2 255.255.255.252
no shutdown
router bgp 65001
neighbor 192.168.1.1 remote-as 12076
neighbor 192.168.1.1 activate
network 10.0.0.0 mask 255.0.0.0
exit
# Verificar BGP
show bgp summary
show bgp neighbors 192.168.1.1AWS Direct Connect (Layer 2)
# AWS Direct Connect via Layer 2 (VLAN)
# 1. No console AWS: criar Direct Connect gateway
# - Name: dc-gateway-empresa
# - ASN: 65001
# 2. Criar Virtual Interface (VIF)
# - Type: Private VIF
# - VLAN: 200
# - BGP peer IP: 169.254.1.1/30 (AWS) / 169.254.1.2/30 (CPE)
# - BGP ASN AWS: 64512
# - BGP ASN CPE: 65001
# 3. Configurar no CPE
interface GigabitEthernet0/0.200
encapsulation dot1Q 200
ip address 169.254.1.2 255.255.255.252
no shutdown
router bgp 65001
neighbor 169.254.1.1 remote-as 64512
neighbor 169.254.1.1 activate
network 10.0.0.0 mask 255.0.0.0
exit
# 4. Verificar no AWS console
# VPC > Direct Connect > Virtual Interfaces
# Estado deve ser "up"10. Configurar uma Conexão Layer 3
Numa conexão Layer 3, o provedor gere o routing. Precisas apenas de:
# Layer 3 via CloudRouter (Console Connect)
# 1. No portal Console Connect:
# - Criar CloudRouter
# - Name: cr-empresa-pt
# - Bandwidth: 100 Mbps
# - Term: 1 month
# - Provisionamento: quase instantâneo
# 2. Anexar sites ao CloudRouter:
# - Edge Port (escritório Lisboa)
# - Data Centre Port (data centre Lisboa)
# - AWS Direct Connect (tenant AWS)
# - Azure ExpressRoute (tenant Azure)
# 3. Configurar Class of Service (opcional):
# - Class 1 (alta prioridade): voz, video
# - Class 2 (média): aplicacoes interativas
# - Class 3 (baixa): backup, replicacao
# 4. O provedor configura BGP automaticamente
# - Nao precisas de configurar BGP no CPE
# - O provedor anuncia as tuas redes para a cloud
# - A cloud anuncia as suas redes para ti
# - Malha completa: todos os sites falam entre si
# 5. Verificar no portal:
# - CloudRouter status: Active
# - Conexoes anexadas: 4 (2 sites + 2 clouds)
# - Latência: ~2-5ms entre sites11. Suporte nos Principais Cloud Providers
| Cloud Provider | Layer 2 | Layer 3 | Serviço |
|---|---|---|---|
| AWS | ✓ | ✓ | Direct Connect (L2 VLAN) / Direct Connect Gateway (L3) |
| Azure | ✓ | ✓ | ExpressRoute (L2/L3) / ExpressRoute Direct |
| Google Cloud | ✓ | ✓ | Dedicated Interconnect (L2) / Partner Interconnect |
| Oracle Cloud | ✓ | ✓ | FastConnect |
| IBM Cloud | ✓ | ✓ | Direct Link |
| Vultr | ✓ | ✓ | Cloud Connect |
⚠ Nota: Para PMEs em Portugal, o Azure ExpressRoute é a opçao mais comum devido à forte integracao Microsoft 365/Entra ID. O AWS Direct Connect é preferido para workloads AWS-heavy. Ambos suportam Layer 2 e Layer 3.
12. Cenário Prático para PME
Cenário A: PME com 1 escritório + 1 tenant Azure
Recomendado: Layer 2
- 1 Access Port no escritório (ex: 50 Mbps)
- 1 interconexão Layer 2 para Azure ExpressRoute
- Configurar BGP no router do escritório
- Custo: mais baixo, latência mínima
- Skills necessários: BGP básico, subnetting
Cenário B: PME com 3 escritórios + 2 clouds (Azure + AWS)
Recomendado: Layer 3 (CloudRouter)
- 1 CloudRouter (100 Mbps total)
- 3 Access Ports (Lisboa, Porto, Coimbra)
- 2 conexões cloud (Azure ExpressRoute + AWS Direct Connect)
- Malha completa automática entre todos os sites
- Custo: inclui routing gerido
- Skills necessários: nenhum (provedor gere routing)
| Critério | Cenário A (L2) | Cenário B (L3) |
|---|---|---|
| Sites | 1 | 3 |
| Clouds | 1 (Azure) | 2 (Azure + AWS) |
| BGP no CPE | Sim | Nao |
| Malha | Nao aplicável | Automática |
| Class of Service | Nao | Sim (3 classes) |
13. Boas Práticas
- Comeca com Layer 2 se tens 1-2 sites — mais barato e mais simples
- Migra para Layer 3 quando cresces — 3+ sites justifica o CloudRouter
- Usa BGP com MD5 — protege sessões BGP contra hijacking
- Implementa QoS — prioriza voz/vídeo sobre backup/replicacao
- Monitoriza latência e jitter — usa SNMP ou Prometheus para alertar degradação
- Redundância — se o link for crítico, considera dois circuitos por provedores diferentes
- Documenta o routing — BGP ASNs, peers, prefixos anunciados
- Testa failover — simula queda do link e verifica convergência
- Usa prefix-lists — limita que prefixos sao anunciados/preenchidos via BGP
- Considera VPN como backup — IPsec sobre Internet como fallback
14. Checklist de Implementação
Layer 2
- ☐ Verificar suporte do cloud provider (ExpressRoute/Direct Connect/Interconnect)
- ☐ Encomendar Access Port no provedor
- ☐ Encomendar interconexão Layer 2 (VLAN)
- ☐ Configurar BGP no CPE (ASN, peers, prefixos)
- ☐ Configurar BGP no tenant cloud
- ☐ Testar conectividade (ping, traceroute)
- ☐ Verificar latência e largura de banda
- ☐ Configurar prefix-lists (filtrar anúncios BGP)
- ☐ Activar BGP MD5 authentication
- ☐ Documentar configuração
- ☐ Testar failover (se houver redundância)
Layer 3
- ☐ Encomendar CloudRouter no provedor
- ☐ Especificar largura de banda total e prazo
- ☐ Anexar sites (Edge Ports / Data Centre Ports)
- ☐ Anexar tenants cloud (Azure, AWS, Google Cloud)
- ☐ Configurar Class of Service (3 classes)
- ☐ Verificar malha completa no portal
- ☐ Testar conectividade entre todos os pares
- ☐ Verificar latência entre sites
- ☐ Configurar alertas de degradação
- ☐ Documentar topologia e routing
- ☐ Testar failover de cada site
Artigos Relacionados
- Azure VPN Gateway Site-to-Site: Configuracão Completa
- FortiGate Firewall: NAT, VPN e IPsec
- Cloudflare Tunnel: Zero Trust sem VPN
- CGNAT: Como Verificar e Contornar
- Diagnóstico de Conectividade Linux Avançado
Artigo adaptado e expandido a partir de conteúdo original da Console Connect (18 Dezembro 2023, por Alex Hawkes). Adaptado para PT-PT com configuracoes técnicas adicionais. Licença: CC BY-SA 4.0.
