Tags: Layer 2 · Layer 3 · OSI · VLAN · BGP · OSPF · Switching · Routing · MPLS

Por Duarte Spínola · 3 de Julho de 2026

Layer 2 vs Layer 3: Quando Usar Cada Camada de Rede em 2026

Layer 2 (Data Link Layer) e Layer 3 (Network Layer) são duas camadas fundamentais do modelo OSI. A diferença entre switching e routing é uma das decisões mais importantes no design de qualquer rede — desde uma PME com dois switches até um data center com milhares de hosts. Este guia explica o que cada camada faz, quando usar uma ou outra, e como tomar a decisão correcta em cenários reais de sysadmin.

Para contextos complementares sobre networking, consulta os artigos sobre FortiGate Firewall, Azure VPN Gateway, Diagnóstico de Conectividade Linux e CGNAT: Verificar e Contornar.

Conteúdos

1. Modelo OSI: As 7 Camadas

O modelo OSI (Open Systems Interconnection) divide a comunicação de rede em 7 camadas. Para sysadmins, as camadas mais relevantes são a 2 (Data Link) e a 3 (Network):

# Camada Função Exemplos
7 Application Interface com a aplicação HTTP, HTTPS, DNS, SMTP
6 Presentation Formatação e encriptação TLS, SSL, JPEG
5 Session Gestão de sessões NetBIOS, RPC
4 Transport Entrega fiável TCP, UDP
3 Network Routing entre redes IP, BGP, OSPF, MPLS
2 Data Link Switching dentro de uma rede Ethernet, VLAN, MAC, STP
1 Physical Meio físico Cabo UTP, fibra, Wi-Fi

A regra de ouro: Layer 2 liga dispositivos na mesma rede. Layer 3 liga redes diferentes.

2. Layer 2: O Que É e Como Funciona

A Layer 2 (Data Link Layer) é responsável pela comunicação dentro de uma mesma rede local. Usa endereços MAC (Media Access Control) para identificar dispositivos e frames Ethernet para transportar dados.

Conceitos Fundamentais

  • MAC Address — endereço físico único de cada interface de rede (ex: 00:1A:2B:3C:4D:5E). 48 bits, atribuído pelo fabricante.
  • Frame Ethernet — unidade de dados na Layer 2. Contém MAC origem, MAC destino, dados e FCS (Frame Check Sequence).
  • Switch — dispositivo que opera na Layer 2. Aprende MAC addresses e encaminha frames apenas para a porta correcta (em vez de broadcast para todas).
  • Broadcast domain — conjunto de dispositivos que recebem o mesmo broadcast. Um switch não separa domínio de broadcasts (um router sim).
  • Collision domain — cada porta de um switch é um domínio de colisão separado (full-duplex, sem colisões).

Como um Switch Funciona

# Quando um switch recebe um frame:
# 1. Lê o MAC origem e regista na MAC Table (aprendizagem)
# 2. Lê o MAC destino:
#    a) Se está na MAC Table -> envia só para essa porta (unicast)
#    b) Se NAO está -> flood para todas as portas (menos a origem)
#    c) Se é broadcast (FF:FF:FF:FF:FF:FF) -> flood para todas

# Verificar MAC table num switch Cisco:
show mac address-table

# Exemplo de output:
#   VLAN    MAC Address      Type    Ports
#   ----    -----------      ----    -----
#   1       00aa.bbcc.ddee   DYNAMIC Gi1/0/1
#   1       00aa.bbcc.ddff   DYNAMIC Gi1/0/2
#   10      0011.2233.4455   DYNAMIC Gi1/0/10

# Verificar ARP cache num host Linux:
ip neigh show
# 192.168.1.1 dev eth0 lladdr 00:1a:2b:3c:4d:5e REACHABLE

💡 Dica: Layer 2 é rápido. Um switch encaminha frames em hardware (ASIC), com latência de microssegundos. Não há routing, não há lookup de IP, não há TTL. É a forma mais eficiente de mover dados dentro de uma rede local.

3. Layer 3: O Que É e Como Funciona

A Layer 3 (Network Layer) é responsável pela comunicação entre redes diferentes. Usa endereços IP (Internet Protocol) e protocolos de routing para encaminhar pacotes entre redes.

Conceitos Fundamentais

  • IP Address — endereço lógico que identifica uma interface numa rede (ex: 192.168.1.10/24). 32 bits (IPv4) ou 128 bits (IPv6).
  • Router — dispositivo que opera na Layer 3. Encaminha pacotes IP entre redes diferentes com base na tabela de routing.
  • Tabela de routing — lista de redes conhecidas e para onde enviar tráfego. Cada entrada tem: destino, gateway, interface, métrica.
  • Gateway padrão — para onde enviar pacotes que não conhecem destino. Tipicamente o router da rede.
  • TTL (Time To Live) — cada pacote IP tem um TTL que decrementa em cada salto (hop). Evita loops infinitos.

Como um Router Funciona

# Quando um router recebe um pacote IP:
# 1. Lê o IP destino
# 2. Consulta a tabela de routing (longest prefix match)
# 3. Se encontrar rota -> reencaminha para a interface correcta
# 4. Se não encontrar -> descarta (ICMP destination unreachable)
# 5. Decrementa TTL. Se TTL=0, descarta (ICMP time exceeded)

# Verificar tabela de routing no Linux:
ip route show
# default via 192.168.1.1 dev eth0 proto dhcp metric 100
# 10.0.0.0/24 via 10.0.0.254 dev eth1 proto static
# 192.168.1.0/24 dev eth0 proto kernel scope link src 192.168.1.10

# Verificar tabela de routing num router Cisco:
show ip route

# Exemplo:
# Gateway of last resort is 192.168.1.1 to network 0.0.0.0
# S*   0.0.0.0/0 [1/0] via 192.168.1.1
# C    192.168.1.0/24 is directly connected, GigabitEthernet0/0
# S    10.0.0.0/24 [1/0] via 10.0.0.254

4. Switching (L2) vs Routing (L3)

A diferença prática entre switching e routing:

Aspecto Switching (L2) Routing (L3)
Endereçamento MAC (físico) IP (lógico)
Unidade de dados Frame Packet
Âmbito Mesma rede (LAN) Redes diferentes
Dispositivo Switch Router / L3 switch
Latência Microssegundos Milissegundos
TTL Nao há Sim (decrementa)
Broadcast Sim (todo o domínio) Nao (limitado por router)
Tabela MAC table Routing table
Escalabilidade Limitada (broadcast) Elevada (hierárquica)
Hardware ASIC (hardware) ASIC ou CPU

5. VLANs e Trunking 802.1Q

As VLANs (Virtual LANs) permitem dividir um switch físico em múltiplas redes lógicas na Layer 2. Cada VLAN é um domínio de broadcast separado — broadcasts numa VLAN não chegam a outras.

# Configurar VLANs num switch Cisco

# Criar VLANs
conf t
vlan 10
  name DADOS
vlan 20
  name VOZ
vlan 30
  name CONVIDADOS
exit

# Atribuir portas a VLANs (access ports)
interface range Gi1/0/1-10
  switchport mode access
  switchport access vlan 10
  spanning-tree portfast
exit

interface range Gi1/0/11-15
  switchport mode access
  switchport access vlan 20
  spanning-tree portfast
exit

interface range Gi1/0/16-20
  switchport mode access
  switchport access vlan 30
  spanning-tree portfast
exit

# Configurar trunk port (liga switches, transporta múltiplas VLANs)
interface Gi1/0/24
  switchport mode trunk
  switchport trunk allowed vlan 10,20,30
  switchport trunk encapsulation dot1q
exit

# Verificar VLANs
show vlan brief
show interfaces trunk

Trunking 802.1Q

Um trunk transporta tráfego de múltiplas VLANs num só cabo físico. A tag 802.1Q adiciona 4 bytes ao frame Ethernet com o ID da VLAN, permitindo que o switch receptor saiba a que VLAN o frame pertence.

# Linux: configurar VLANs numa interface (tagged)
# Tens uma interface eth0 e queres criar sub-interfaces para VLAN 10 e 20

# Carregar módulo 802.1Q
sudo modprobe 8021q

# Criar sub-interface para VLAN 10
sudo ip link add link eth0 name eth0.10 type vlan id 10
sudo ip addr add 10.10.10.1/24 dev eth0.10
sudo ip link set eth0.10 up

# Criar sub-interface para VLAN 20
sudo ip link add link eth0 name eth0.20 type vlan id 20
sudo ip addr add 10.20.20.1/24 dev eth0.20
sudo ip link set eth0.20 up

# Verificar
ip -d link show eth0.10
# Deve mostrar: vlan protocol 802.1Q id 10

# Persistente (Ubuntu/Debian - netplan):
# eth0.10:
#   addresses: [10.10.10.1/24]
# eth0.20:
#   addresses: [10.20.20.1/24]

6. Routing Inter-VLAN

VLANs diferentes são redes IP diferentes. Para que comunicem entre si, precisas de um router ou switch L3 que faça routing entre elas.

Opção 1: Router on a Stick (Router Externo)

# Router Cisco com trunk para o switch

interface GigabitEthernet0/0.10
  encapsulation dot1Q 10
  ip address 10.10.10.254 255.255.255.0
exit

interface GigabitEthernet0/0.20
  encapsulation dot1Q 20
  ip address 10.20.20.254 255.255.255.0
exit

interface GigabitEthernet0/0.30
  encapsulation dot1Q 30
  ip address 10.30.30.254 255.255.255.0
exit

# O router faz routing entre as 3 VLANs
# Cada VLAN usa o IP do router como gateway padrão

Opção 2: Switch L3 (SVI – Switch Virtual Interface)

# Switch L3 (ex: Cisco Catalyst) com SVIs

# Activar routing L3 no switch
ip routing

# Criar SVI para cada VLAN
interface vlan 10
  ip address 10.10.10.254 255.255.255.0
exit

interface vlan 20
  ip address 10.20.20.254 255.255.255.0
exit

interface vlan 30
  ip address 10.30.30.254 255.255.255.0
exit

# Verificar
show ip route
# Deve mostrar as 3 redes como "directly connected"

# Vantagem: routing em hardware (ASIC), muito mais rápido que router externo

7. Spanning Tree e Problemas de L2

A Layer 2 tem uma limitação crítica: loops. Se ligares dois switches com dois cabos (redundância), os broadcasts circulam em loop infinito (tempestade de broadcast) e derrubam a rede.

O Spanning Tree Protocol (STP) — IEEE 802.1D — resolve isto bloqueando portas redundantes. Se o link principal cair, o STP activa a porta bloqueada. Mas a convergência é lenta (30-50 segundos com STP tradicional).

Protocolo Convergência Notas
STP (802.1D) 30-50s Original, lento
RSTP (802.1w) 1-3s Rapid, recomendado
MSTP (802.1s) 1-3s Multiple STP, várias instâncias

⚠ Aviso: Os problemas de Layer 2 são os mais difíceis de diagnosticar. Um loop de broadcast pode derrubar uma rede inteira em segundos. Sempre activar STP/RSTP em todos os switches, mesmo em redes pequenas.

8. Protocolos de Routing L3

Protocolo Tipo Uso
Static Manual Redes simples, rotas padrão
OSPF Link-state, IGP Redes internas médias/grandes
BGP Path-vector, EGP Entre organizações, cloud, ISP
EIGRP Cisco proprietário Redes Cisco-only
RIP Distance-vector Obsoleto, evitar
MPLS Switching de labels WANs, provedores, VPNs L3 
# OSPF básico num router Cisco
router ospf 1
  network 10.10.10.0 0.0.0.255 área 0
  network 10.20.20.0 0.0.0.255 área 0
  network 10.30.30.0 0.0.0.255 área 0
  passive-interface default
  no passive-interface GigabitEthernet0/0
exit

# Verificar vizinhos OSPF
show ip ospf neighbor

# Verificar rotas OSPF
show ip route ospf

# BGP básico
router bgp 65001
  neighbor 10.0.0.1 remote-as 65002
  network 10.10.10.0 mask 255.255.255.0
exit

show bgp summary

9. Comparação Directa L2 vs L3

Critério Layer 2 Layer 3
Latência Mínima (μs) Ligeira (ms)
Escalabilidade Limitada Elevada
Broadcast Sim (problema em escala) Limitado (ok)
Redundância STP (lento) ECMP (rápido)
TTL Nao Sim
Isolamento VLANs (frágil) Subnets (robusto)
Troubleshooting Difícil Fácil (traceroute)
Segmentação VLAN Subnet + ACL
Custo de equipamento Switch L2 (baixo) Switch L3/Router (maior)

10. Quando Usar Layer 2

  • Rede local pequena — até ~200 dispositivos numa só VLAN
  • Acesso de utilizadores — portas de acesso de switches a PCs/impressoras
  • Tráfego de voz — VLAN separada para telefones IP (baixa latência)
  • iSCSI / storage — tráfego de storage beneficia de L2 directo (sem routing)
  • Clusters de alta performance — HPC, bases de dados em cluster
  • Ligações ponto-a-ponto — interconexão directa entre dois sites sem routing
  • Redes de gestão — VLAN de gestão de equipamento (out-of-band)
  • Quando a latência é crítica — trading, gaming, VoIP

11. Quando Usar Layer 3

  • Redes médias e grandes — mais de 200-500 dispositivos
  • Múltiplas localizações — escritórios em sites diferentes
  • Ligação à Internet — routing para o ISP
  • Ligação à cloud — AWS, Azure, Google Cloud
  • Segmentação de segurança — DMZ, redes de servidores, redes de clientes
  • Redundância — múltiplos caminhos com convergência rápida
  • WAN — ligações entre data centers, MPLS, VPNs
  • Quando precisas de ACLs — filtragem de tráfego entre redes
  • Quando precisas de multicast routing — vídeo, IPTV
  • Quando a rede cresce — separar em subnets para conter broadcasts

12. Design Moderno: L3 até ao Access

A tendência moderna em data centers e redes enterprise é routing até ao access layer (L3 access). Em vez de uma grande rede L2 com VLANs estendidas, cada rack ou cada switch de acesso é um subnet L3 separado, com routing entre racks.

Aspecto Design Tradicional (L2 access) Design Moderno (L3 access)
Domínio de broadcast Grande (toda a VLAN) Pequeno (1 rack)
Convergência STP (30-50s) OSPF/BGP (1-3s)
Caminhos múltiplos 1 (STP bloqueia) Todos (ECMP)
Troubleshooting Difícil Traceroute funciona
Escalabilidade Limitada Elevada

💡 Dica: A excepção ao L3 access são os clusters de hipervizores (VMware HA, Proxmox, Hyper-V Live Migration) que precisam de L2 para migração de VMs em caliente. Nesses casos, usa L2 apenas para a VLAN de migração e L3 para todo o resto.

13. Exemplos Práticos de Configuração

PME com 2 VLANs (Dados + Voz)

# Switch L2 (access) + Switch L3 (core)

# Switch Access (L2):
vlan 10
  name DADOS
vlan 20
  name VOZ
exit

# Portas para PCs (VLAN 10)
interface range Gi1/0/1-20
  switchport mode access
  switchport access vlan 10
  spanning-tree portfast
exit

# Portas para telefones IP (VLAN 20 com voice VLAN)
interface range Gi1/0/21-30
  switchport mode access
  switchport access vlan 10
  switchport voice vlan 20
  spanning-tree portfast
exit

# Trunk para switch L3
interface Gi1/0/48
  switchport mode trunk
  switchport trunk allowed vlan 10,20
exit

# Switch L3 (core):
ip routing

interface vlan 10
  ip address 10.10.10.1 255.255.255.0
exit

interface vlan 20
  ip address 10.20.20.1 255.255.255.0
exit

# DHCP para PCs
ip dhcp pool DADOS
  network 10.10.10.0 255.255.255.0
  default-router 10.10.10.1
  dns-server 10.10.10.5 8.8.8.8
exit

# DHCP para telefones
ip dhcp pool VOZ
  network 10.20.20.0 255.255.255.0
  default-router 10.20.20.1
  option 150 ip 10.20.20.10
exit

# ACL para isolar voz de dados
ip access-list extended VOZ-ISOLAR
  permit ip 10.20.20.0 0.0.0.255 10.20.20.0 0.0.0.255
  permit udp 10.20.20.0 0.0.0.255 any eq 5060
  deny ip 10.20.20.0 0.0.0.255 10.10.10.0 0.0.0.255
exit

interface vlan 20
  ip access-group VOZ-ISOLAR in
exit

Linux como Router L3

# Activar routing no Linux
echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward

# Persistente
echo "net.ipv4.ip_forward = 1" | sudo tee /etc/sysctl.d/99-routing.conf
sudo sysctl -p /etc/sysctl.d/99-routing.conf

# Configurar 2 interfaces em redes diferentes
sudo ip addr add 10.10.10.1/24 dev eth0
sudo ip addr add 10.20.20.1/24 dev eth1

# Rota estática para outra rede
sudo ip route add 10.30.30.0/24 via 10.20.20.254 dev eth1

# Rota padrão (Internet)
sudo ip route add default via 192.168.1.1 dev eth2

# NAT para Internet (masquerading)
sudo iptables -t nat -A POSTROUTING -o eth2 -j MASQUERADE
sudo iptables -A FORWARD -i eth0 -o eth2 -j ACCEPT
sudo iptables -A FORWARD -i eth2 -o eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT

# Verificar tabela de routing
ip route show

# Verificar forwarding
cat /proc/sys/net/ipv4/ip_forward
# Deve mostrar: 1

14. Problemas Comuns e Diagnóstico

Problema Camada Sintoma Diagnóstico
Broadcast storm L2 Rede lenta, CPU switches alta show interfaces | i broadcast
Loop L2 L2 Perda total de conectividade show spanning-tree, verificar STP
VLAN mismatch L2 Hosts não comunicam show vlan, verificar access/trunk
Gateway errado L3 Hosts na mesma VLAN comunicam, entre VLANs não ip route, ping gateway
Rota em falta L3 Ping falha para rede remota traceroute, show ip route
ARP poisoning L2 Tráfego interceptado, MITM arp -a, Dynamic ARP Inspection
TTL expirado L3 traceroute mostra salto onde para traceroute, show ip route

15. Boas Práticas

  • Usar L2 para acesso, L3 para distribuição/core — design hierárquico clássico
  • Limitar domínio de broadcasts — máximo 200-500 hosts por VLAN
  • Sempre activar RSTP — mesmo em redes pequenas, prevenir loops
  • Separar VLANs por função — dados, voz, convidados, gestão, servidores
  • Usar ACLs L3 — para segmentação de segurança entre VLANs
  • Activar DHCP snooping — prevenir DHCP rogue na L2
  • Activar Dynamic ARP Inspection — prevenir ARP spoofing
  • Activar Port Security — limitar MACs por porta
  • Documentar VLANs e subnets — tabela de alocação actualizada
  • Usar L3 access em data centers — melhor escalabilidade e troubleshooting
  • Trunk apenas o necessário — não fazer trunk de todas as VLANs para todos os switches
  • Monitorizar broadcasts — alertar se taxa de broadcast > 10% do tráfego

16. Checklist de Design de Rede

  • ☐ Inventariar número de dispositivos por localização
  • ☐ Definir VLANs por função (dados, voz, convidados, gestão, servidores)
  • ☐ Alocar subnets por VLAN (deixar margem para crescimento)
  • ☐ Escolher modelo: L2 access (tradicional) ou L3 access (moderno)
  • ☐ Se L2 access: definir trunk ports e VLANs permitidas
  • ☐ Se L3 access: configurar OSPF/BGP entre switches de acesso
  • ☐ Activar RSTP em todos os switches
  • ☐ Configurar DHCP snooping
  • ☐ Configurar Dynamic ARP Inspection
  • ☐ Configurar Port Security (máximo 2-3 MACs por porta de acesso)
  • ☐ Definir ACLs L3 entre VLANs críticas (ex: convidados → servidores)
  • ☐ Configurar SNMP para monitorização de broadcasts
  • ☐ Documentar topologia, VLANs, subnets, gateways
  • ☐ Testar failover (desligar link principal e verificar convergência)
  • ☐ Verificar que traceroute funciona entre todas as redes

Artigos Relacionados

Este artigo aborda conceitos do modelo OSI (IEEE 802.1D, 802.1Q, 802.1w) e protocolos de routing (OSPF, BGP, MPLS). Para aprofundar, consulta a documentação Microsoft sobre networking e os guias de configuração Cisco. Licença: CC BY-SA 4.0.

Este artigo foi útil?

Duarte Spínola

Artigos  

Deixe um Comentário