Todo diagrama de rede é uma frase escrita com poucas palavras, e três delas sustentam quase toda a estrutura. A prova de fundamentos da F5, hoje aposentada, pedia ao candidato que explicasse a função e o propósito de um roteador, de um firewall e de um switch, e também que interpretasse diagramas de rede. As duas coisas andam juntas por um bom motivo: ninguém consegue ler o diagrama sem saber o que cada caixa faz com o tráfego.
O switch: o tráfego dentro da rede
O switch trabalha na camada 2, de enlace (data link): ele encaminha frames (quadros) entre as suas portas com base nos endereços Media Access Control (MAC). A memória do switch é a forwarding database (FDB), a tabela que associa cada MAC a uma porta, e a documentação da bridge do Linux descreve sem rodeios os três comportamentos dele; os dois primeiros são flags por porta, ligadas por padrão (bridge(8) do Linux):
- Learning (aprendizado). A opção da porta "Controls whether a given port will learn MAC addresses from received traffic or not": o switch lê o MAC de origem de cada frame e anota a porta por onde ele chegou.
- Flooding (inundação). A opção "Controls whether unicast traffic for which there is no FDB entry will be flooded towards this given port": um frame destinado a um MAC que o switch ainda não aprendeu sai por todas as portas, menos pela porta por onde entrou.
- Aging (envelhecimento). Cada entrada fica guardada por "the time a will be kept in the FDB after a packet has been received from that address"; no Linux, o padrão é de 300 segundos, "(300 * USER_HZ)" na notação do kernel (kernel do Linux, Ethernet bridging).
Com VLANs, o lookup (a busca na FDB) usa duas chaves: uma bridge que entende VLANs (-aware) encaminha os frames "based on their destination MAC address and VLAN tag (both must match)" (kernel do Linux, mesma fonte), e é assim que um único switch mantém várias redes de camada 2 separadas; o artigo VLANs e 802.1Q explica isso em detalhe. O flooding também explica por que um loop é fatal na camada 2: um frame que fica dando voltas num anel por causa do flooding não tem nada que o pare, e é esse o problema que o spanning tree existe para resolver.
A finalidade do switch é a entrega local: muitos equipamentos numa mesma rede, e cada frame chegando só aonde deve chegar. Quando um diagrama mostra servidores ligados a uma caixa de onde saem muitas linhas curtas, essa caixa é um switch, e tudo o que está ligado nele fica na mesma sub-rede, a menos que o switch esteja dividido em VLANs. A história de como o switch nasceu da bridge está em bridges e switches.
O roteador: o tráfego entre redes
O roteador trabalha na camada 3, de rede. A 1812, que define os requisitos para roteadores IPv4, resume o papel dele numa linha: "In the Internet model, constituent networks are connected together by IP datagram forwarders which are called routers or IP routers" (RFC 1812, junho de 1995, seção 2.2.3). O roteador encaminha consultando uma tabela de roteamento, e o mesmo documento descreve o que acontece com cada datagrama que passa por ele: o roteador "generally removes the Link Layer header a message was received with, modifies the IP header, and replaces the Link Layer header for retransmission" (seção 1). O pacote mantém os endereços IP de origem e de destino de ponta a ponta, mas os endereços MAC mudam a cada roteador.
Essa alteração no header (cabeçalho) IP tem um motivo. Todo roteador decrementa o (time to live), e uma das características que a RFC 1812 lista é que o roteador "Drops datagrams whose time-to-live fields have reached zero" (seção 2.3): por isso, um loop de roteamento acaba sozinho, ao contrário de um loop entre switches. No diagrama, o roteador é a caixa onde a sub-rede muda (de um lado 10.1.0.0/24, do outro 10.2.0.0/24), e o endereço dele em cada segmento é o que os hosts daquele segmento chamam de default gateway.
O firewall: o que pode passar
A definição vem da diretriz do : "Firewalls are devices or programs that control the flow of network traffic between networks or hosts employing differing security postures" (NIST SP 800-41 Rev. 1, setembro de 2009). O switch pergunta "para onde isso vai", o roteador pergunta "qual é o caminho até lá" e o firewall pergunta "isso deveria passar?". O capítulo da diretriz sobre tecnologias mostra até onde essa resposta evoluiu (NIST SP 800-41 Rev. 1, PDF, seção 2.1):
- Packet filtering (filtro de pacotes), regra por regra, com base em endereços, protocolos e portas, avaliando cada pacote isoladamente.
- Stateful inspection (inspeção com estado), que "keeps track of each connection in a state table": uma resposta passa porque o request que a originou passou.
- Firewalls de aplicação, que olham dentro do protocolo que trafega numa porta.
- Application-proxy gateways (proxies de aplicação), em que "Each successful connection attempt actually results in the creation of two separate connections": uma do cliente até o proxy e outra do proxy até o destino real.
- As tecnologias da mesma família, que o capítulo também cobre: servidores proxy dedicados, (virtual private networking), NAC (network access control), UTM (unified threat management), (web application firewall) e firewalls para infraestruturas virtuais.
No diagrama, o lugar natural do firewall é a fronteira: entre a internet e todo o resto, entre as redes de usuários e o data center, entre as camadas (tiers) de uma aplicação. A seta que atravessa o firewall é o jeito de o diagrama dizer que ali acontece uma decisão de política.
Como ler o diagrama
Com os três papéis claros, ler o diagrama vira algo mecânico. Siga um fluxo do cliente até o servidor, da esquerda para a direita: cada switch é um hop (uma passagem por um equipamento) local, dentro de uma mesma sub-rede; cada roteador é uma fronteira de sub-rede e uma decisão de roteamento; cada firewall é um ponto de controle de política que pode, sem avisar ninguém, ser o motivo de uma conexão nunca se estabelecer. Na vida real, um mesmo equipamento muitas vezes acumula papéis, e é por isso que um bom diagrama desenha funções, e não produtos.
Um application delivery controller como o BIG-IP entra nesse mesmo desenho como um caso especial, que faz o papel dos três ao mesmo tempo. Ele faz switching e roteamento dentro das suas próprias interfaces e VLANs, aplica política como um firewall e, além disso, termina as conexões e abre conexões novas, no mesmo formato de duas conexões do proxy de aplicação descrito acima, coisa que nenhum switch ou roteador comum faz. É entender essa diferença que permite prever, só olhando o diagrama, onde um endereço muda, onde um pacote pode ser descartado por política e onde uma captura vai mostrar duas conexões em vez de uma.
| Equipamento | Camada | Decide com base em | O que altera | Como aparece um loop ou um erro |
|---|---|---|---|---|
| Switch | 2 | MAC de destino e VLAN | nada no frame | um broadcast storm |
| Roteador | 3 | IP de destino e tabela de roteamento | o header de camada 2 e o TTL | pacotes expirando no caminho |
| Firewall | 3 a 7 | política e estado da conexão | nada; os endereços, se fizer ; a conexão inteira, se atuar como proxy | uma conexão que nunca se completa |
| Application delivery controller | 2 a 7 | virtual server, pool e política | endereços, portas e, muitas vezes, a conexão inteira | duas capturas que não batem |
Fontes
- bridge(8) do Linux, iproute2: aprendizado e inundação por porta, a base de encaminhamento (lida em 2026-10-07)
- Documentação do kernel do Linux, Ethernet bridging: tempo de envelhecimento da FDB e o seu padrão, filtragem por VLAN, STP (lida em 2026-10-07)
- RFC 1812, Requirements for IP Version 4 Routers, junho de 1995: seções 1, 2.2.3 e 2.3 (lida em 2026-10-07)
- NIST SP 800-41 Rev. 1, Guidelines on Firewalls and Firewall Policy, 28 de setembro de 2009: a definição (lida em 2026-10-07)
- NIST SP 800-41 Rev. 1, texto completo: seção 2.1, tecnologias de firewall (lida em 2026-10-07)