Projetar rede não é escolher equipamento: é tomar decisões que vão durar 5 a 10 anos e precisam ser compreendidas, operadas e justificadas por outras pessoas. Este guia consolida boas práticas de projeto para ambientes corporativos multi-site, datacenters e integração com nuvem, servindo como referência interna para engenheiros de redes e infraestrutura.
Como usar este guia: as seções 1–2 respondem "qual arquitetura adotar"; as seções 3–6 respondem "como detalhar o projeto"; as seções 7–8 respondem "como documentar e validar antes de implementar".
O modelo hierárquico clássico divide a rede em três camadas com funções bem definidas:
| Camada | Função | O que NÃO fazer nela |
|---|---|---|
| Core | Transporte rápido e simples entre blocos da rede | Filtragem complexa, NAT, serviços (DHCP etc.) |
| Distribuição | Agregação de acesso, fronteira L2/L3, políticas e sumarização de rotas | Conectar usuários finais diretamente |
| Acesso | Conexão de endpoints, segurança de borda (802.1X, port security), PoE | Roteamento entre sites |
Em datacenters modernos, o modelo evoluiu para spine-leaf: todo leaf conecta-se a todo spine, com saltos previsíveis (leaf → spine → leaf) e escalabilidade horizontal — para crescer, adiciona-se um leaf; para mais banda, um spine.
Hierárquico clássico (campus) Spine-Leaf (data center)
[Core A]====[Core B] [Spine1] [Spine2]
/ \ / \ / | \ / | \
[Dist A] [Dist B] [Dist C] [Leaf1][Leaf2][Leaf3][Leaf4]
/ \ / \ / \ | | | |
[Acc1][Acc2][Acc3]... servidores / storage / borda
| Plano | O que é | Boas práticas |
|---|---|---|
| Dados | Tráfego dos usuários/aplicações | Alta capacidade; nunca expor à gestão |
| Controle | Protocolos de roteamento, STP, LACP | Proteger com autenticação de vizinhança (MD5/TCP-AO no BGP), CoPP |
| Gestão | SSH, SNMP, syslog, AAA, NTP | Rede dedicada (OOB) ou VRF de gestão; acesso apenas via jump host |
Regra prática: se a rede de gestão compartilha o mesmo caminho físico e lógico do tráfego de produção, um loop ou saturação de dados derruba sua capacidade de administrar a rede exatamente quando você mais precisa.
Keep It Simple, Stupid: cada tecnologia adicionada precisa pagar seu custo operacional. Antes de inserir uma feature no projeto, pergunte: qual problema ela resolve que eu realmente tenho? Overlay, TRILL, FabricPath, empilhamento de features de fabricante — tudo isso é legítimo quando há requisito, e dívida técnica quando é vaidade. A melhor rede é a que o plantão das 3h da manhã consegue diagnosticar.
Indicado para sedes e campi com centenas a milhares de usuários. Fronteira L2/L3 na distribuição, uplinks redundantes do acesso, RSTP/MSTP como seguro contra loops e FHRP (VRRP/HSRP) no gateway dos usuários. Hoje, muitos fabricantes oferecem fabrics de campus (ex.: Cisco SD-Access) que automatizam esse modelo com overlay — avalie o custo de licenciamento e lock-in antes de adotar.
[Border Leaf]── Firewall ── Core/WAN
/ | \
[Spine 1] [Spine 2] [Spine N]
/ | \ / | \ / | \
[Leaf1][Leaf2][Leaf3]... (VXLAN VTEPs em cada leaf)
| | |
racks de servidores (dual-homed via MLAG/vPC em leafs par/ímpar)
| Tecnologia | Quando usar | Cuidados |
|---|---|---|
| SD-WAN | Muitas filiais, links mistos (MPLS + internet + LTE), necessidade de roteamento por aplicação e gestão centralizada | Dependência do controlador do fabricante; custo de assinatura; plano de saída se o fornecedor mudar |
| DMVPN | Filiais em hub-and-spoke sobre internet, com necessidade de spokes falarem direto (fase 2/3) | Escalabilidade do hub; complexidade de NHRP + IPsec; legado — avaliar migração para SD-WAN |
| ADVPN | Extensão do DMVPN no ecossistema Fortinet (atalhos dinâmicos spoke-to-spoke) | Proprietário: só faz sentido com FortiGate nas duas pontas |
O plano de endereçamento é o esqueleto da rede: se ele é hierárquico, a tabela de rotas é pequena e estável; se é caótico, nenhum protocolo salva. Regras:
10.10.0.0/16 para a matriz).| Uso | Convenção recomendada |
|---|---|
| Loopback (router-id, VTEP, BGP update-source) | /32 por equipamento, de um bloco exclusivo por site (ex.: 10.10.255.0/24) |
| Links ponto a ponto | /31 (RFC 3021) no IPv4; /127 (RFC 6164) no IPv6 — evita ataques de exaustão de Neighbor Discovery |
| Rede de gestão | Bloco exclusivo e anunciado apenas dentro da VRF de gestão (ex.: 10.255.0.0/16 global) |
| SVI/VLAN de usuários | /24 ou /23 conforme o tamanho do bloco de usuários |
Cenário: empresa com matriz (NAT), filial (MOS) e datacenter (DC), partindo de 10.0.0.0/8.
| Site | Supernet | Usuários | Servidores | Gestão | Links P2P | Loopbacks |
|---|---|---|---|---|---|---|
| Matriz (NAT) | 10.10.0.0/16 |
10.10.0.0/17 |
10.10.128.0/18 |
10.10.192.0/18 |
10.10.254.0/24 |
10.10.255.0/24 |
| Filial (MOS) | 10.20.0.0/16 |
10.20.0.0/18 |
10.20.64.0/19 |
10.20.96.0/19 |
10.20.254.0/24 |
10.20.255.0/24 |
| Datacenter | 10.30.0.0/16 |
— | 10.30.0.0/17 |
10.30.192.0/19 |
10.30.254.0/24 |
10.30.255.0/24 |
| Cloud (VPC AWS) | 10.100.0.0/16 |
— | 10.100.0.0/17 |
10.100.128.0/18 |
— | — |
| Reserva futura | 10.40.0.0/16–10.99.0.0/16 |
Com esse desenho, o WAN edge anuncia três rotas sumarizadas (10.10.0.0/16, 10.20.0.0/16, 10.30.0.0/16) em vez de centenas de sub-redes — falhas locais não propagam instabilidade entre sites.
| Critério | OSPF | BGP |
|---|---|---|
| Domínio típico | Intra-site, campus, underlay de DC | Inter-site, WAN, internet, nuvem, EVPN |
| Convergência | Rápida (segundos) | Mais lenta, porém controlável e estável |
| Política de roteamento | Limitada (áreas, métricas) | Rica (communities, local-pref, AS-path, MED) |
| Escala de prefixos | Milhares | Milhões |
| Complexidade operacional | Média | Alta |
Regras práticas:
passive-interface como padrão.Armadilha clássica: redistribuir tudo entre OSPF e BGP nos dois sentidos, nos dois roteadores de borda, sem tags — receita para loop de roteamento. Use tags de rota e políticas explícitas.
allowed vlan), nunca all.root guard, bpduguard e loopguard nas portas corretas.| Técnica | Camada | Função |
|---|---|---|
| VRRP (RFC 5798) / HSRP | L3 (gateway) | Gateway virtual ativo/passivo para endpoints; VRRP é padrão aberto |
| ECMP | L3 | Múltiplos caminhos de mesmo custo ativos simultaneamente; exige simetria e hash consistente |
| MLAG/vPC | L2 | Agregação multichassis para servidores/switches dual-homed |
| BFD (RFC 5880) | Detecção | Detecção de falha em milissegundos, acelerando OSPF/BGP/rotas estáticas |
QoS não cria banda: decide quem sofre quando falta. Princípios:
| Classe | DSCP | Tráfego | Tratamento |
|---|---|---|---|
| Voz (EF) | 46 | RTP de telefonia | Fila prioritária (LLQ) com policiamento |
| Vídeo interativo | 34 (AF41) | Videoconferência | Fila com banda garantida |
| Dados críticos | 26 (AF31) | Aplicações de negócio | Banda garantida |
| Best effort | 0 | Restante | Fila padrão |
| Scavenger | 8 (CS1) | Backup, P2P | Menor que best effort |
Checklist mínimo por equipamento:
Internet ── [FW borda] ──┬── DMZ pública (serviços expostos: proxy, e-mail relay)
├── Extranet (VPNs de parceiros, acesso por aplicação)
└── Inside (rede corporativa)
└── DC interno [FW interno]
| Métrica | O que significa | Armadilha típica |
|---|---|---|
| Throughput | Bits/s agregados | Número de marketing com todos os recursos desligados |
| PPS | Pacotes/s (define performance com quadros pequenos) | Caixa que faz 100 Gbps com 1500 bytes, mas afoga em tráfego de voz (64–256 bytes) |
| Buffer | Absorção de rajadas (microbursts) | Buffer pequeno em DC = descarte em incast (muitos servidores → um destino) |
| FIB/TCAM | Rotas e adjacências em hardware | Tabela cheia = tráfego pula para CPU e a caixa morre; verifique rotas de hoje × 3 |
| MAC/ARP/ND | Escala L2 | Crítico em leaf de DC e L3 de campus grande |
| Consumo/PoE | Watts úteis e orçamento PoE | Switch de acesso sem PoE+ suficiente para APs Wi-Fi 6/7 e câmeras |
| Feature set | Licenciamento (EVPN, MACsec, BGP) | Licença "base" que não inclui o protocolo do projeto |
| Critério | Appliance físico | Virtualizado (VM) | Whitebox + NOS |
|---|---|---|---|
| Performance | Máxima (ASIC) | Limitada pelo hypervisor/NIC | Máxima (mesmo ASIC dos grandes) |
| Custo | Alto | Baixo (usa infra existente) | Hardware barato, suporte à parte |
| Suporte | Um fornecedor só | Depende de hypervisor + vApp | Fragmentado (hardware ≠ software) |
| Agilidade | Baixa | Alta (clonar, snapshot) | Alta (automação, APIs) |
| Uso típico | Core, borda, firewall | Filial pequena, lab, cloud | DC em escala, equipe madura em automação |
Regra prática: whitebox não economiza nada se a equipe não opera automação e NOS desagregado — o TCO migra do hardware para as pessoas.
| Documento | Público | Conteúdo |
|---|---|---|
| HLD (High-Level Design) | Gestores, arquitetos, aprovadores | Requisitos e restrições, visão da solução, diagramas de alto nível, decisões tomadas e alternativas descartadas (com o porquê), riscos, estimativa de custos |
| LLD (Low-Level Design) | Quem implementa e opera | Plano de endereçamento detalhado, VLANs, VRFs, protocolos e parâmetros (áreas OSPF, ASNs, timers), templates de configuração, plano de testes e de rollback |
A seção mais valiosa do HLD é a de decisões e alternativas: daqui a três anos ninguém lembrará por que escolheram OSPF e não IS-IS — o documento precisa lembrar.
Plano de IP
| Rede | Máscara | VLAN | VRF | Função | Gateway | Site |
|---|---|---|---|---|---|---|
10.10.10.0 |
/24 | 110 | PROD | Estações administrativo | 10.10.10.1 (VRRP) |
NAT |
VLANs
| VLAN | Nome | Sub-rede | Gateway (FHRP) | Obs. |
|---|---|---|---|---|
| 110 | USR-ADM | 10.10.10.0/24 |
10.10.10.1 (VRRP 110) |
802.1X habilitado |
Roteamento
| Equipamento | Processo | Vizinho | Redes anunciadas | Política |
|---|---|---|---|---|
| prd-nat-cor01 | BGP 65010 | eBGP 64999 (operadora) | 10.10.0.0/16 |
prefix-list OUT-OPERADORA |
Regras de firewall
| # | Origem | Destino | Serviço | Ação | Justificativa | Dono | Revisão |
|---|---|---|---|---|---|---|---|
| 100 | USR-ADM | SRV-ERP | tcp/443 | Permitir | ERP corporativo | Financeiro | 2026-12 |
Antes de aprovar a implementação, valide:
Resiliência
Escalabilidade
Consistência e operação