Switching, Spanning Tree (STP) e Segurança Layer 2 no CCNA: De VLANs e Trunking 802.1Q a EtherChannel, Port Security e DHCP Snooping

📌 Metadados

• Slug: ccna-switching-vlan-stp-seguranca-camada-2
• Categoria: redes, tecnologia, seguranca
• Tags: ccna, cisco, switching, vlan, trunking 802.1q, spanning tree, stp rstp, etherchannel lacp, port security, dhcp snooping, seguranca layer 2
• Autor: Guilherme Nascimento (Especialista em Infraestrutura e Fundador da Hora Nerd)
• Tempo de Leitura: ~26 minutos

—

Se um roteador comete um erro de configuração na Camada 3 (Rede), o tráfego destinado a uma sub-rede específica é descartado ou segue um caminho subótimo. Contudo, se um switch comete um erro ou sofre um loop na Camada 2 (Enlace de Dados), toda a rede corporativa colapsa em questão de segundos.

A razão para essa fragilidade estrutural é biológica aos protocolos de rede: diferente dos pacotes IPv4 e IPv6, os quadros Ethernet (Camada 2) não possuem um campo de Time-to-Live (TTL). Uma vez que um frame de broadcast entra em um circuito fechado de switches interconectados, ele circula indefinidamente na velocidade do meio físico, multiplicando-se a cada salto até saturar os buffers de memória, travar as portas ópticas e paralisar por completo os equipamentos de infraestrutura.

Por essa razão, o exame Cisco CCNA 200-301 dedica uma parcela substancial de seu conteúdo aos Domínios 2 e 5 (Network Access e Security Fundamentals). Para garantir a resiliência e a segurança de redes empresariais, o engenheiro precisa dominar como os switches aprendem endereços físicos na tabela CAM, como segmentar domínios de broadcast com VLANs, como negociar troncos 802.1Q, como agregar largura de banda com EtherChannel (LACP), como blindar a topologia contra loops com Spanning Tree (STP/RSTP) e como repelir ataques clássicos de Camada 2 utilizando Port Security, DHCP Snooping e Dynamic ARP Inspection (DAI).

Neste guia completo, exploramos a mecânica interna desses protocolos e trazemos os roteiros de configuração prática no Cisco IOS CLI para gabaritar sua prova e operar redes de missão crítica.

—

⚙️ 1. Como Opera um Switch Ethernet: A Mecânica da Tabela CAM

Um switch de Camada 2 toma decisões de encaminhamento com base exclusivamente no endereço MAC de destino presente no cabeçalho Ethernet. Para isso, ele constrói dinamicamente uma tabela em memória de alta velocidade chamada Tabela CAM (Content Addressable Memory) ou MAC Address Table.

O ciclo de vida do tráfego em um switch é regido por 5 operações fundamentais:

flowchart TD
    FrameIn["Quadro Ethernet recebido na Porta X"] --> Op1["<b>1. Learning (Aprendizado)</b><br/>O switch lê o MAC de ORIGEM e associa à Porta X na tabela CAM com timer de 300s."]
    Op1 --> Check{"O MAC de DESTINO já está mapeado na tabela CAM?"}
    Check -->|Sim, em uma porta diferente| Op2["<b>2. Forwarding (Encaminhamento)</b><br/>Envia o quadro exclusivamente pela porta de destino mapeada."]
    Check -->|Sim, na mesma Porta X de entrada| Op3["<b>3. Filtering (Filtragem)</b><br/>Descarta o quadro para não reenviar na mesma porta de origem."]
    Check -->|Não (Unknown Unicast) ou Broadcast/Multicast| Op4["<b>4. Flooding (Inundação)</b><br/>Replica o quadro por TODAS as portas ativas da mesma VLAN, exceto a porta X."]
    Op1 -.->|Se passar 300 segundos sem tráfego| Op5["<b>5. Aging (Expiração)</b><br/>Entrada removida da tabela para liberar espaço na CAM."]

Domínio de Colisão vs. Domínio de Broadcast

• Domínio de Colisão: Área lógica onde dois dispositivos podem enviar dados simultaneamente e causar colisão física de sinal. Em switches modernos com portas operando em Full-Duplex, cada porta individual do switch é seu próprio domínio de colisão isolado.
• Domínio de Broadcast: Grupo de todos os dispositivos que recebem um quadro de broadcast (FF:FF:FF:FF:FF:FF). Por padrão de fábrica, todas as portas de um switch pertencem a um único domínio de broadcast. Para segmentá-lo, é obrigatório o uso de VLANs.

—

🏷️ 2. VLANs e Troncos IEEE 802.1Q: Segmentação Lógica

Uma VLAN (Virtual Local Area Network) divide um único switch físico em múltiplos switches lógicos isolados. Dispositivos na VLAN 10 (Financeiro) não conseguem se comunicar com dispositivos na VLAN 20 (Engenharia) na Camada 2, mesmo que estejam conectados lado a lado no mesmo switch.

Anatomia da Tag 802.1Q

Quando o tráfego precisa atravessar um link entre dois switches (Link Tronco / Trunk), o padrão internacional IEEE 802.1Q insere uma etiqueta de 4 bytes (32 bits) dentro do frame Ethernet original:

$$\begin{array}{|c|c|c|c|c|}
\hline
\text{MAC Destino (6B)} & \text{MAC Origem (6B)} & \mathbf{Tag\ 802.1Q\ (4B)} & \text{EtherType Original (2B)} & \text{Payload + FCS} \\
\hline
\end{array}$$

Os 4 bytes da etiqueta 802.1Q são estruturados da seguinte forma:
1. TPID (Tag Protocol Identifier – 16 bits): Fixado no valor hexadecimal 0x8100, indicando que o quadro contém marcação 802.1Q.
2. PCP (Priority Code Point – 3 bits): Usado para QoS na Camada 2 (Class of Service – CoS), permitindo priorizar tráfego de voz e vídeo (valores de 0 a 7).
3. DEI (Drop Eligible Indicator – 1 bit): Indica se o frame pode ser descartado em momentos de congestionamento extremo.
4. VID (VLAN Identifier – 12 bits): O identificador real da VLAN. Como $2^{12} = 4096$, suporta de 1 a 4094 VLANs utilizáveis (0 e 4095 são reservadas).

O Conceito e Perigos da “VLAN Nativa” (Native VLAN)

Por especificação do 802.1Q, existe uma VLAN Nativa no link tronco (por padrão, a VLAN 1 no Cisco IOS). Todo quadro pertencente à VLAN Nativa é transmitido sem nenhuma etiqueta 802.1Q através do link tronco.

Roteamento Inter-VLAN: Router-on-a-Stick vs. Switch Layer 3 (SVI)

Para permitir a comunicação entre diferentes VLANs com inspeção de segurança:

flowchart TD
    subgraph ROAS["Opção A: Router-on-a-Stick (ROAS)"]
        R1[Roteador com Subinterfaces<br/>g0/0/0.10 e g0/0/0.20] <== Tronco 802.1Q ==> SW1[Switch L2]
    end

    subgraph L3Switch["Opção B: Switch Multicamada (Switch L3 com SVIs)"]
        SWL3["Switch Layer 3<br/>• SVI interface vlan 10: 192.168.10.1<br/>• SVI interface vlan 20: 192.168.20.1<br/>• Roteamento em hardware ASIC via CEF"]
    end

Em redes de alta demanda corporativa, a Opção B (Switch L3 com SVIs) é a recomendada pela Cisco, pois o tráfego é roteado na velocidade do barramento de hardware (wire-speed) via Cisco Express Forwarding (CEF), sem sobrecarregar um link físico externo com o roteador.

—

🌲 3. Spanning Tree Protocol (STP & RSTP): A Blindagem Contra Loops

A redundância física é indispensável para alta disponibilidade: se conectamos dois cabos entre dois switches, a falha de um não derrubará o link. Contudo, em redes Ethernet comutadas, dois caminhos físicos paralelos formam um loop de Camada 2.

Sem o STP, um único frame ARP de broadcast disparado por uma estação gera uma Tempestade de Broadcast (Broadcast Storm):

flowchart LR
    PC[Estação de Trabalho] -->|Dispara ARP Broadcast| SW_A[Switch A]
    SW_A -->|Replica| SW_B[Switch B]
    SW_B -->|Replica de volta| SW_A
    SW_A -->|Loop Infinito na velocidade da luz| SW_B

As consequências de um loop L2 são imediatas:

• Uso de CPU dos switches salta para 100%;
• Corrupção total da tabela CAM (MAC Table Flapping / instabilidade de endereços saltando de porta em porta);
• Perda de conectividade para toda a rede local.

Como o STP 802.1D Opera: A Eleição do Root Bridge

O protocolo Spanning Tree (IEEE 802.1D) resolve esse problema elegendo uma topologia lógica em árvore livre de loops, bloqueando estrategicamente portas redundantes.

A base do STP é o Bridge ID (BID), formado por 8 bytes:

$$\begin{array}{|c|c|c|}
\hline
\text{Bridge Priority (4 bits)} & \text{System ID Extension – VLAN (12 bits)} & \text{MAC Address do Switch (48 bits / 6 bytes)} \\
\hline
\text{Múltiplos de 4096 (Padrão: 32768)} & \text{Número da VLAN (ex: 10)} & \text{Endereço físico único de hardware} \\
\hline
\end{array}$$

As 3 Etapas de Eleição do STP:

1. Eleição do Root Bridge (A Raiz da Árvore):
* O switch com o MENOR Bridge ID vence a eleição e torna-se o Root Bridge de toda a topologia.
* Se todos os switches mantiverem a prioridade padrão de fábrica (32768), o critério de desempate é o menor endereço MAC.
2. Eleição das Portas Raiz (Root Ports – RP):
Em cada switch não-raiz (Non-Root Bridge), elege-se uma única Root Port: a porta que tem o menor custo de caminho (Root Path Cost*) até o Root Bridge.
3. Eleição das Portas Designadas (Designated Ports – DP):
* Em cada segmento de rede (cabo entre dois switches), elege-se uma única Designated Port para encaminhar tráfego. Todas as portas no Root Bridge são sempre Designated Ports.
4. Portas Não Designadas / Alternativas (Alternate / Blocking Ports):
* Todas as portas que não foram eleitas nem como Root Port nem como Designated Port são colocadas em estado de BLOQUEIO (Discarding/Blocking). Elas escutam BPDUs para monitorar a topologia, mas não encaminham frames de dados dos usuários.

Rapid Spanning Tree Protocol (RSTP 802.1w)

O STP tradicional (802.1D) levava até 50 segundos para convergir uma rede após uma falha de link (20s de Max Age + 15s em Listening + 15s em Learning).

O RSTP (IEEE 802.1w / Rapid-PVST+ na Cisco) reduziu esse tempo para menos de 1 segundo através de um handshake explícito de negociação (Proposal/Agreement) entre portas ponto a ponto e da redução dos estados de porta:

Hardening de STP no Cisco IOS: PortFast e BPDU Guard

Em portas de acesso conectadas diretamente a estações de trabalho, notebooks ou servidores, não há risco de formação de loop por outro switch. Contudo, sem configuração especial, toda vez que um computador liga, a porta passa pelo ciclo de aprendizagem do STP, impedindo que o computador obtenha IP via DHCP a tempo.

! Habilita o PortFast: a porta passa direto para Forwarding sem esperar os timers
Switch(config)# interface GigabitEthernet0/1
Switch(config-if)# spanning-tree portfast

! Habilita o BPDU Guard: se alguém conectar um switch pirata na porta de acesso, 
! ela recebe uma BPDU e é desligada IMEDIATAMENTE (err-disabled)
Switch(config-if)# spanning-tree bpduguard enable

—

🔗 4. Agregação de Links com EtherChannel (LACP & PAgP)

Se você conectar dois cabos de 1 Gbps entre dois switches, o STP bloqueará um deles para evitar loop, desperdiçando 50% da capacidade física contratada.

O EtherChannel permite agrupar até 8 links físicos paralelos em uma única interface lógica virtual chamada Port-Channel. Para o STP, o canal se comporta como um único link de 8 Gbps, garantindo alta vazão e tolerância a falhas sem bloqueio de portas.

flowchart LR
    subgraph SemEtherchannel["Sem EtherChannel"]
        SWA1[Switch A] -- Link Ativo (1 Gbps) --> SWB1[Switch B]
        SWA1 -. Link Bloqueado pelo STP (X) .- SWB1
    end

    subgraph ComEtherchannel["Com EtherChannel (LACP)"]
        SWA2[Switch A] == Port-Channel 1 (2 Gbps Agregados) ==> SWB2[Switch B]
    end

Protocolos de Negociação de EtherChannel:

• LACP (Link Aggregation Control Protocol – IEEE 802.3ad / 802.1AX): O padrão aberto da indústria.

* Modo Active: Inicia ativamente a negociação enviando frames LACP.
* Modo Passive: Apenas responde se receber frames LACP do outro lado.
(Regra do Exame: Pelo menos um dos lados precisa estar em modo Active para fechar o canal).*

• PAgP (Port Aggregation Protocol): Protocolo legado proprietário da Cisco.

* Modo Desirable: Negocia ativamente.
* Modo Auto: Modo passivo de resposta.

• Static (Modo on): Força o canal sem nenhum protocolo de negociação. Não recomendado em produção, pois não detecta erros de cabeamento ou loops unidirecionais.

—

🛡️ 5. Hardening de Camada 2: Port Security, DHCP Snooping e DAI

A Camada 2 é uma das fronteiras mais atacadas em ambientes internos corporativos porque switches padrão confiam cegamente em qualquer sinal recebido em suas portas.

Abaixo estão os três pilares essenciais de defesa L2 cobrados no CCNA:

A. Port Security: Controle de Acesso por Endereço MAC

Permite restringir quantos e quais endereços MAC específicos têm autorização para transmitir dados em uma porta de acesso.

Switch(config)# interface GigabitEthernet0/2
Switch(config-if)# switchport mode access
Switch(config-if)# switchport port-security

! Define o número máximo de MACs simultâneos na porta (ex: 2 para PC + Telefone IP)
Switch(config-if)# switchport port-security maximum 2

! Modo Sticky: aprende o MAC da primeira máquina conectada e grava na running-config
Switch(config-if)# switchport port-security mac-address sticky

! Define a ação caso um terceiro desconecte o cabo e ligue seu próprio laptop:
Switch(config-if)# switchport port-security violation shutdown

Modos de Violação do Port Security:

• Protect: Descarta silenciosamente os frames do MAC invasor; não gera alerta nem log.
• Restrict: Descarta os frames, incrementa o contador de violações e envia mensagens via Syslog e SNMP trap.
• Shutdown (Padrão): Coloca a porta imediatamente em estado err-disabled (LED âmbar). A porta desliga e só reabre com intervenção do administrador (shutdown / no shutdown) ou via rotina errdisable recovery.

B. DHCP Snooping: Defesa Contra Rogue DHCP Servers

Em uma rede sem proteção, qualquer colaborador mal-intencionado ou usuário com um roteador Wi-Fi doméstico conectado incorretamente pode subir um servidor DHCP pirata (Rogue DHCP Server). Ele passa a distribuir gateways falsos, interceptando todo o tráfego da empresa (Man-in-the-Middle).

O DHCP Snooping divide as portas do switch em duas categorias:

• Portas Confiáveis (Trusted): Portas de uplink conectadas aos servidores DHCP corporativos ou roteadores legítimos. Pacotes DHCP Offer e ACK são autorizados.
• Portas Não Confiáveis (Untrusted): Portas onde usuários e estações de trabalho estão conectados. Se um pacote DHCP Offer ou DHCP ACK for detectado em uma porta untrusted, a porta é bloqueada imediatamente e o pacote é descartado.

Além disso, o DHCP Snooping constrói a DHCP Snooping Binding Table, um banco de dados que registra: [MAC Address, IP atribuído, Lease Time, VLAN, Porta Física].

Switch(config)# ip dhcp snooping
Switch(config)# ip dhcp snooping vlan 10,20

! Define a porta do uplink do servidor como Confiável
Switch(config)# interface GigabitEthernet0/24
Switch(config-if)# ip dhcp snooping trust

C. Dynamic ARP Inspection (DAI): Bloqueio de ARP Spoofing

O protocolo ARP não possui autenticação nativa: qualquer estação pode enviar um Gratuitous ARP falsificado afirmando: “Eu sou o IP 192.168.10.1 (Gateway) e meu MAC é AA:BB:CC”.

O Dynamic ARP Inspection (DAI) intercepta todas as requisições e respostas ARP em portas de acesso e valida se a relação IP-MAC confere com os dados legítimos registrados na DHCP Snooping Binding Table. Se o par não bater, o pacote ARP é descartado no ato, impedindo o envenenamento de tabela ARP.

Switch(config)# ip arp inspection vlan 10,20
Switch(config)# interface GigabitEthernet0/24
Switch(config-if)# ip arp inspection trust

—

🛠️ Laboratório Prático de Configuração no Cisco IOS CLI

Abaixo está o roteiro consolidado para configurar e auditar um switch de acesso empresarial com VLANs, Tronco LACP e Defesas de Camada 2:

! ================================================================
! CONFIGURAÇÃO COMPLETA DE SWITCH DE ACESSO (SW-ACESSO-01)
! ================================================================
Switch# configure terminal
Switch(config)# hostname SW-ACC-01

! 1. Criação das VLANs Departamentais
SW-ACC-01(config)# vlan 10
SW-ACC-01(config-vlan)# name CORPORATIVO
SW-ACC-01(config-vlan)# exit

SW-ACC-01(config)# vlan 20
SW-ACC-01(config-vlan)# name GUEST_WIFI
SW-ACC-01(config-vlan)# exit

SW-ACC-01(config)# vlan 999
SW-ACC-01(config-vlan)# name NATIVE_ISOLADA
SW-ACC-01(config-vlan)# exit

! 2. Configuração de Link Tronco com LACP (EtherChannel)
SW-ACC-01(config)# interface range GigabitEthernet0/23 - 24
SW-ACC-01(config-if-range)# channel-group 1 mode active
SW-ACC-01(config-if-range)# exit

SW-ACC-01(config)# interface port-channel 1
SW-ACC-01(config-if)# switchport mode trunk
SW-ACC-01(config-if)# switchport trunk native vlan 999
SW-ACC-01(config-if)# switchport trunk allowed vlan 10,20,999
SW-ACC-01(config-if)# exit

! 3. Configuração de Porta de Acesso com Hardening Completo
SW-ACC-01(config)# interface GigabitEthernet0/1
SW-ACC-01(config-if)# description ESTACAO-TRABALHO-FINANCEIRO
SW-ACC-01(config-if)# switchport mode access
SW-ACC-01(config-if)# switchport access vlan 10
! Otimização Spanning Tree
SW-ACC-01(config-if)# spanning-tree portfast
SW-ACC-01(config-if)# spanning-tree bpduguard enable
! Proteção de Porta
SW-ACC-01(config-if)# switchport port-security
SW-ACC-01(config-if)# switchport port-security maximum 1
SW-ACC-01(config-if)# switchport port-security mac-address sticky
SW-ACC-01(config-if)# switchport port-security violation restrict
SW-ACC-01(config-if)# exit

! 4. Ativação Global de DHCP Snooping e Dynamic ARP Inspection
SW-ACC-01(config)# ip dhcp snooping
SW-ACC-01(config)# ip dhcp snooping vlan 10,20
SW-ACC-01(config)# interface port-channel 1
SW-ACC-01(config-if)# ip dhcp snooping trust
SW-ACC-01(config-if)# ip arp inspection trust
SW-ACC-01(config-if)# exit
SW-ACC-01(config)# ip arp inspection vlan 10,20

Comandos de Diagnóstico e Auditoria no Cisco IOS

Execute os seguintes comandos privilegiados no terminal para validar sua infraestrutura:

! 1. Verifica quais portas pertencem a quais VLANs
SW-ACC-01# show vlan brief

! 2. Audita o status dos links troncos e VLANs autorizadas
SW-ACC-01# show interfaces trunk

! 3. Audita o Root Bridge e o estado das portas no Spanning Tree
SW-ACC-01# show spanning-tree vlan 10

! 4. Verifica a integridade e agregação de portas no EtherChannel
SW-ACC-01# show etherchannel summary

! 5. Audita portas com violação ou travadas em modo de erro
SW-ACC-01# show interfaces status err-disabled

—

🏁 Conclusão

Switching não é conectar cabos passivos em portas numeradas: é a engenharia cirúrgica que impede que tempestades de broadcast derrubem o core corporativo e que estações desprotegidas sejam alvos fáceis de ataques de homem-no-meio.

Ao dominar VLANs, Troncos 802.1Q, os estados de transição rápida do RSTP, a agregação com LACP e as três muralhas de segurança da Camada 2 (Port Security, DHCP Snooping e DAI), você não apenas garante uma pontuação excelente nas questões práticas e cenários do exame Cisco CCNA 200-301, mas desenvolve o rigor técnico que diferencia operadores amadores de engenheiros seniores de rede em ambientes de missão crítica.

✓

Guilherme Nascimento

Especialista & Fundador

Especialista em Infraestrutura, Cloud/DevOps e Cibersegurança | +10 anos de experiência prática

Profissional com mais de uma década atuando no campo de batalha da tecnologia corporativa. Especialista em arquiteturas resilientes, automação com Docker/Kubernetes, Hardening de Active Directory, Linux avançado e observabilidade SRE. Criador do ecossistema Hora Nerd, dedicado a desmistificar a tecnologia para profissionais e estudantes.

Cloud & DevOps Active Directory Hardening Linux SysAdmin Docker & CI/CD Observabilidade SRE

Conectar no LinkedIn GitHub