Switches, VLANs e domínios de broadcast

O switch organiza a entrega dentro da rede local

Um switch Ethernet conecta interfaces e encaminha quadros dentro de uma rede local. Em vez de repetir todo quadro em todas as portas, ele observa o tráfego, aprende onde os endereços MAC aparecem e usa essa informação para escolher saídas.

Essa operação parece simples quando há apenas dois computadores. Ela se torna mais importante quando dezenas de portas, vários switches e grupos lógicos compartilham a infraestrutura. O equipamento precisa responder continuamente a três perguntas:

1. a qual rede local lógica pertence o quadro recebido?
2. em qual porta o endereço MAC de destino foi visto?
3. por quais portas esse quadro pode sair sem ultrapassar os limites daquela rede lógica?

Na terminologia dos padrões, o equipamento exerce funções de uma bridge MAC. “Switch” tornou-se o nome operacional comum para uma bridge com várias portas e encaminhamento implementado de maneira eficiente. A distinção histórica não muda o modelo central desta aula.

O conteúdo anterior explicou quadros Ethernet, endereços MAC, ARP e NDP. Agora o foco não é descobrir qual MAC corresponde a um IP, mas entender o que o switch faz quando o quadro já chegou a uma de suas portas.

A aprendizagem começa pelo endereço de origem

Todo quadro Ethernet comum informa um endereço MAC de origem e um de destino. Quando o switch recebe o quadro, ele pode associar a origem à porta de entrada e ao contexto lógico no qual o quadro foi classificado.

Considere estes participantes na VLAN 10:

• notebook A, MAC 02:00:00:00:00:0a, conectado à porta 1;
• servidor B, MAC 02:00:00:00:00:0b, conectado à porta 2.

Ao receber na porta 1 um quadro cuja origem é A, o switch aprende algo equivalente a:

Ele não aprende a localização de B apenas porque B aparece como destino. O campo de destino expressa onde o remetente deseja chegar, não por onde esse participante realmente transmitiu. A evidência de localização vem do MAC de origem observado na entrada.

Essa estrutura recebe nomes como tabela MAC, tabela de encaminhamento Ethernet, switching table ou Filtering Database (FDB). A interface de administração varia entre fabricantes, mas a ideia permanece: relacionar um endereço e seu domínio lógico às saídas aplicáveis.

O destino produz quatro decisões básicas

Depois de aprender a origem, o switch consulta o destino no contexto da VLAN.

Unicast conhecido

Se a tabela relaciona o destino a outra porta autorizada naquela VLAN, o quadro é encaminhado por essa saída. As demais portas não precisam recebê-lo.

Destino conhecido na mesma porta de entrada

Se o destino foi aprendido na própria porta pela qual o quadro chegou, o switch não precisa devolvê-lo para o mesmo segmento. Ele o filtra. Essa situação pode ocorrer quando há outros participantes atrás de uma interface, por exemplo em uma conexão com outro equipamento de camada 2.

Unicast desconhecido

Se não existe uma entrada para o MAC de destino, o switch ainda não sabe qual saída leva até ele. No comportamento básico, replica o quadro pelas demais portas participantes da mesma VLAN, exceto a entrada. Esse processo é chamado de flooding de unicast desconhecido.

Broadcast

Um quadro destinado a ff:ff:ff:ff:ff:ff é replicado pelas portas aplicáveis da VLAN, também sem retornar pela entrada na descrição básica. Protocolos como ARP dependem dessa capacidade para consultar participantes do domínio IPv4 local.

Quando B responde, seu MAC aparece como origem na porta 2. O switch aprende essa nova associação. Os próximos quadros de A para B podem seguir diretamente entre as duas portas enquanto as entradas continuarem válidas.

Multicast exige uma observação adicional. Sem informação específica sobre membros do grupo, ele pode ser replicado dentro da VLAN. Recursos como snooping podem restringir determinadas distribuições, mas isso depende do protocolo, da configuração e da implementação. “Multicast” não deve ser traduzido automaticamente como “enviar sempre por todas as portas”.

Flooding não é sinônimo de broadcast

Os dois comportamentos podem produzir cópias em várias portas, mas partem de motivos diferentes:

• no broadcast, o próprio endereço de destino representa todos os participantes do domínio;
• no unicast desconhecido, o destino representa uma interface, mas o switch ainda não sabe onde ela está;
• em certos multicasts, a replicação atende a um grupo e pode ser otimizada conforme a associação de membros.

Essa distinção ajuda no diagnóstico. Um volume alto de broadcast pode ter origem em descoberta, anúncio ou falha de uma aplicação. Unicast desconhecido persistente pode indicar entrada expirada, tráfego assimétrico, tabela sem capacidade, aprendizagem desabilitada ou endereço aparecendo por um caminho inesperado.

Entradas dinâmicas envelhecem e podem mudar de porta

Uma associação aprendida não deve permanecer eterna. Dispositivos são desconectados, máquinas virtuais migram e topologias mudam. Por isso, entradas dinâmicas possuem um mecanismo de aging: se a origem não for observada durante o período definido pela implementação, a entrada pode ser removida.

O tempo exato não é universal. Memorizar um único valor como regra de todos os switches cria diagnósticos incorretos. É melhor verificar o temporizador e o estado na plataforma usada.

Quando o mesmo MAC passa a aparecer em outra porta, a associação pode ser atualizada. Um movimento isolado pode ser legítimo. Mudanças rápidas e repetidas entre portas, conhecidas operacionalmente como MAC flapping, podem indicar:

• loop de camada 2;
• links ou agregações configurados de forma inconsistente;
• máquina virtual mudando de caminho;
• endereço duplicado ou falsificado;
• equipamento intermediário conectado de modo inesperado.

A tabela mostra onde uma origem foi vista, não comprova identidade, propriedade ou autorização. Como já discutido na aula anterior, um endereço MAC pode ser administrado localmente ou alterado.

Um domínio de broadcast define o alcance da difusão

O domínio de broadcast é o conjunto de interfaces que pode receber uma difusão de camada 2 originada naquele domínio. Um switch simples com todas as portas na mesma LAN estende esse alcance: o broadcast recebido em uma porta pode sair pelas demais portas participantes.

Roteadores não encaminham um quadro Ethernet de broadcast para outra rede como se toda a organização fosse um único enlace. A fronteira de camada 3 encerra aquele domínio. Isso impede que a difusão local se torne um mecanismo global da Internet.

Domínios grandes não são necessariamente inválidos, mas ampliam o conjunto de participantes afetados por broadcasts, flooding e falhas de camada 2. Também tornam mudanças e diagnóstico menos localizados. VLANs permitem dividir essa infraestrutura em várias LANs lógicas sem exigir um switch físico exclusivo para cada grupo.

VLAN cria uma LAN lógica sobre a infraestrutura compartilhada

Uma Virtual LAN (VLAN) reúne portas e participantes em uma rede local lógica. Quadros classificados em uma VLAN são aprendidos, filtrados e replicados no contexto dela. Um broadcast da VLAN 10 não deve simplesmente atravessar para a VLAN 20.

Isso permite que dispositivos conectados a diferentes switches façam parte da mesma LAN lógica e que portas vizinhas no mesmo equipamento pertençam a domínios diferentes. A localização física deixa de ser a única forma de agrupamento.

Uma tabela MAC consciente de VLAN costuma distinguir a combinação de VLAN e endereço. Isso é importante porque o encaminhamento não deve procurar o destino em um espaço global sem contexto. Conceitualmente:

O VLAN ID identifica a LAN lógica dentro do domínio de bridges. Nomes como “Usuários” ou “Servidores” ajudam pessoas e ferramentas de gestão, mas não substituem o identificador transportado ou a associação configurada.

VLAN e sub-rede IP são conceitos relacionados, não idênticos

VLAN organiza encaminhamento de camada 2 e broadcast. Uma sub-rede organiza endereços e decisões de entrega IP. Em projetos convencionais, cada VLAN de usuários recebe uma sub-rede IPv4 e um prefixo IPv6 próprios. Essa correspondência simplifica o modelo:

• VLAN 10 → 192.0.2.0/24 e 2001:db8:10::/64;
• VLAN 20 → 198.51.100.0/24 e 2001:db8:20::/64.

Entretanto, a VLAN não calcula máscara, não transforma automaticamente um endereço IP e não cria um gateway por si só. Os conceitos devem permanecer separados para que a equipe consiga localizar o problema correto.

Se dois hosts possuem configuração IP que sugere a mesma sub-rede, mas estão em VLANs diferentes sem uma ponte entre elas, a resolução de vizinhos não atravessa a separação e a comunicação falha. No sentido oposto, colocar endereços de redes IP diferentes na mesma VLAN não elimina a necessidade de roteamento entre eles.

Revise máscaras, prefixos e subnetting para a divisão lógica do IPv4 e endereçamento IPv6 para prefixos e autoconfiguração.

Portas de borda associam quadros a uma VLAN

Um dispositivo final comum não precisa conhecer a organização interna de VLANs do switch. A porta de borda pode classificar quadros recebidos sem tag em uma VLAN configurada e entregar ao dispositivo quadros no formato esperado por ele.

Muitos fabricantes chamam essa configuração de porta de acesso. O termo é útil para estudo, mas detalhes, modos e nomes variam. O princípio é que aquela associação de entrada fornece o contexto lógico ausente no quadro sem tag.

Quando dois switches precisam estender mais de uma VLAN pela mesma ligação, o enlace deve preservar a identidade de cada uma. É comum chamar esse enlace de trunk. A marcação IEEE 802.1Q permite carregar o VLAN ID junto ao quadro.

Uma VLAN só atravessa os enlaces nos quais sua participação é permitida e consistente. Criar a VLAN em um equipamento não garante que ela exista em todos os demais nem que qualquer trunk a transporte automaticamente.

A tag IEEE 802.1Q leva contexto no quadro

A marcação 802.1Q acrescenta quatro bytes entre os endereços MAC e o campo que originalmente indicava tipo ou comprimento. Em uma visão introdutória, ela contém:

• Tag Protocol Identifier (TPID): sinaliza a presença do tag;
• Priority Code Point (PCP): três bits usados para prioridade de tráfego;
• Drop Eligible Indicator (DEI): um bit relacionado à elegibilidade de descarte;
• VLAN Identifier (VID): doze bits que identificam a VLAN.

Os VLAN IDs usados para identificar VLANs ficam no intervalo de 1 a 4094. Os valores 0 e 4095 possuem significados reservados e não representam VLANs comuns nesse intervalo. A quantidade efetivamente suportada e as restrições de configuração dependem do equipamento.

Como a inserção ou remoção do tag altera o conteúdo sobre o qual a verificação do quadro é calculada, a bridge trata também os ajustes necessários ao formato e ao FCS na transmissão. O computador final não deve receber bytes inconsistentes apenas porque o quadro passou por um enlace marcado.

Tráfego sem tag em um trunk exige política consistente

Implementações podem permitir que um enlace 802.1Q também receba ou transmita determinados quadros sem tag. É comum existir o conceito de VLAN nativa ou uma associação padrão para esse tráfego, mas o comportamento exato precisa ser lido na documentação do equipamento.

Se as duas pontas interpretam o quadro sem tag em VLANs diferentes, o resultado pode ser perda de conectividade, mistura inesperada de domínios e exposição. Por isso, um diagnóstico de trunk deve confirmar em ambas as extremidades:

• quais VLANs são permitidas;
• quais quadros saem marcados ou sem tag;
• como a entrada sem tag é classificada;
• se o enlace realmente está no modo esperado;
• se há mensagens de inconsistência ou bloqueio.

Evite decorar “a VLAN X sempre é nativa”. Valores padrão são escolhas de plataforma e podem ser alterados. A propriedade importante é a consistência explícita entre as extremidades.

Comunicação entre VLANs exige uma decisão de camada 3

VLAN 10 e VLAN 20 são domínios de camada 2 diferentes. Para um host de uma alcançar um endereço IP da outra, o pacote precisa passar por uma função de roteamento, implementada por um roteador ou switch de camada 3.

O fluxo conceitual é:

1. o host compara o IP de destino com seu prefixo;
2. percebe que o destino está em outra rede;
3. envia o quadro ao endereço de enlace do gateway local;
4. o equipamento de camada 3 consulta rotas e políticas;
5. cria uma nova entrega de enlace no domínio de destino.

O switch de camada 2 não deve transportar o broadcast da VLAN 10 para a VLAN 20 para “fazer a comunicação funcionar”. A travessia correta encerra um quadro e cria outro conforme a decisão de camada 3. Gateway e tabelas de roteamento serão aprofundados na próxima aula.

Links redundantes podem criar loops de camada 2

Redundância é valiosa: se um cabo ou switch falhar, outro caminho pode manter a rede disponível. Entretanto, ativar caminhos paralelos sem um mecanismo de controle pode formar um ciclo.

Ethernet de camada 2 não possui um campo equivalente ao TTL do IP que diminua a cada switch. Um broadcast ou unicast desconhecido pode ser replicado, voltar por outra porta e ser replicado novamente. As consequências incluem:

• tempestade de broadcast ou flooding;
• múltiplas cópias do mesmo quadro;
• consumo intenso dos enlaces e do processamento;
• tabela MAC alternando a mesma origem entre portas;
• perda generalizada de conectividade.

Protocolos de árvore, como RSTP e MSTP definidos no conjunto IEEE 802.1Q, calculam uma topologia ativa sem ciclos. Um caminho redundante pode ficar logicamente bloqueado para o tráfego comum e ser reconsiderado quando a topologia muda.

STP não deve ser desligado apenas para fazer uma porta encaminhar mais rápido. Uma interface bloqueada pode estar cumprindo exatamente a proteção prevista. Projeto de raiz, custos, temporizadores, proteções de borda e múltiplas árvores exigem estudo próprio; aqui basta guardar que uma rede em bridge precisa oferecer um caminho ativo sem loops para cada contexto aplicável.

VLAN ajuda a segmentar, mas não substitui segurança

Separar usuários, servidores e administração em VLANs reduz o alcance de broadcast e cria pontos nos quais a comunicação de camada 3 pode ser controlada. Isso é útil para organização e para uma arquitetura de segurança.

Mas a VLAN, isoladamente, não:

• autentica o dispositivo conectado;
• criptografa os quadros;
• garante que a porta foi configurada corretamente;
• decide quais serviços IP podem atravessar o gateway;
• impede ataques dentro da mesma VLAN;
• substitui firewall, controle de acesso, monitoramento ou proteção do endpoint.

A política entre zonas deve ser aplicada onde os fluxos atravessam a fronteira apropriada. A relação entre segmentação, firewall e acesso mínimo está na aula de Segurança de redes: firewall, VPN e segmentação.

Diagnostique na ordem em que o switch decide

Imagine que o notebook A deveria alcançar um servidor da mesma VLAN, mas não recebe resposta. Um roteiro baseado em evidências é:

1. confirme link físico, interface ativa e erros de transmissão;
2. confira a VLAN de entrada da porta do notebook;
3. verifique se a VLAN está criada e ativa no caminho;
4. consulte a tabela MAC filtrando pela VLAN correta;
5. observe se o MAC de A aparece na porta esperada;
6. gere tráfego controlado e veja se o MAC do servidor é aprendido;
7. se o caminho cruza switches, compare VLANs permitidas e marcação nas duas pontas;
8. verifique estado de spanning tree e mudanças de topologia;
9. só avance para gateway se o destino estiver em outra sub-rede ou VLAN.

Se o MAC de origem não é aprendido, investigue se o quadro chega à porta e como é classificado. Se é aprendido na VLAN errada, corrija a associação antes de procurar uma rota. Se aparece alternando entre portas, preserve logs e examine um possível loop ou movimento inesperado.

Uma captura no host mostra quadros vistos por aquela interface, não toda a decisão interna do switch. Combine captura, contadores de porta, tabela MAC, associação de VLAN, estado dos enlaces e topologia. Limpar a tabela pode forçar reaprendizagem, mas também remove a evidência que explicaria o problema.

Erros comuns sobre switches e VLANs

• dizer que o switch aprende pelo destino: a aprendizagem dinâmica básica observa o MAC de origem na entrada;
• confundir unicast desconhecido com broadcast: ambos podem ser replicados, mas o endereço e o motivo são diferentes;
• imaginar que flooding alcança todas as portas do equipamento: ele respeita a VLAN, a porta de entrada e os estados aplicáveis;
• tratar tabela MAC como cadastro de identidade: ela registra localização observada, não autenticação;
• igualar VLAN e sub-rede: uma pertence à organização de camada 2; a outra, ao endereçamento IP;
• esperar comunicação direta entre VLANs: a travessia exige uma função de camada 3;
• achar que todo quadro possui tag: dispositivos em portas de borda frequentemente enviam e recebem quadros sem tag;
• permitir todas as VLANs em todo trunk por conveniência: isso amplia alcance e dificulta compreender a topologia;
• configurar apenas uma ponta do enlace: classificação e marcação precisam ser compatíveis nas duas extremidades;
• desligar spanning tree para liberar uma porta: o bloqueio pode estar impedindo um loop destrutivo;
• chamar VLAN de firewall: a separação cria uma fronteira útil, mas política e segurança exigem controles adicionais.

O que você deve guardar

O switch aprende a porta do endereço MAC de origem e consulta o destino para encaminhar, filtrar ou replicar o quadro. Entradas dinâmicas envelhecem, movimentos podem atualizar a tabela e unicast desconhecido é diferente de broadcast.

Cada VLAN forma uma LAN lógica e delimita um domínio de broadcast. Portas de borda podem classificar quadros sem tag, enquanto um enlace entre switches usa tags IEEE 802.1Q para preservar a identidade de múltiplas VLANs. VLAN não é sub-rede, gateway nem firewall.

Links redundantes precisam de uma topologia ativa sem ciclos. Protocolos de árvore mantêm a redundância física enquanto impedem que quadros circulem e se multipliquem indefinidamente.

Referências

• IEEE 802.1 — IEEE 802.1Q-2018: Bridges and Bridged Networks. Acesso em 28 ago. 2026.
• IEEE 802 — IEEE 802.1 overview of bridged networks and loop-free topologies. Acesso em 28 ago. 2026.
• IETF — RFC 4363: Definitions of Managed Objects for Bridges and VLAN Extensions. Acesso em 28 ago. 2026.
• Juniper Networks — Bridging and VLANs. Acesso em 28 ago. 2026.
• Juniper Networks — Layer 2 Forwarding Tables. Acesso em 28 ago. 2026.
• Juniper Networks — MAC Table Aging. Acesso em 28 ago. 2026.
• Cisco — VLAN Configuration Guide: Configure VLAN Trunking. Acesso em 28 ago. 2026.