Configurar protocolos e serviços de rede (UC00241)

Há um pacote premium desta unidade: um PowerPoint editável de 100 ou mais diapositivos, um manual em PDF e dois testes com correção. Esta sebenta continua gratuita.

Introdução

Esta sebenta ensina a configurar os protocolos e os serviços de uma rede de dados, do cabo até ao servidor de correio eletrónico. O objetivo é que sejas capaz de, perante uma rede real, identificar os seus elementos, atribuir corretamente os parâmetros dos protocolos, configurar os serviços que essa rede disponibiliza (domínio, utilizadores, grupos, encaminhamento) e configurar os serviços que a ligam à Internet (Web, FTP, correio eletrónico, DNS, SSL/TLS).

O percurso segue a sequência real de um técnico de redes: conhecer os tipos, características e topologias de rede, identificar os equipamentos ativos e passivos, dominar os modelos de referência OSI e TCP/IP, saber calcular e atribuir endereçamento IP, reconhecer os protocolos de rede mais comuns, configurar os parâmetros desses protocolos num sistema operativo, configurar o encaminhamento entre redes, instalar e configurar serviços de rede (domínio, grupos de trabalho, utilizadores), aplicar o Regulamento Geral de Proteção de Dados à gestão de utilizadores, configurar os serviços da Internet (Web, FTP, correio eletrónico, DNS, certificados SSL/TLS) e cumprir as normas e regulamentos aplicáveis à instalação de redes.

Objetivos de aprendizagem (referencial): configurar os parâmetros dos protocolos de rede; configurar os serviços de rede; e configurar os serviços da Internet, cumprindo orientações técnicas e as normas e regulamentos na instalação de redes.

Esta UC é comum a três percursos formativos, o de Técnico/a de Sistemas de Computação e Redes, o de Técnico/a de Desenvolvimento de Software e o de Técnico/a de Informática de Gestão, e isso não é acaso: quem instala e configura redes, quem desenvolve aplicações que comunicam pela rede, e quem gere sistemas de informação numa organização precisam todos de saber ler um endereço IP, perceber o que faz um gateway, e configurar corretamente os serviços de que as suas aplicações e os seus utilizadores dependem. Um programador que não perceba porque é que uma aplicação "não liga ao servidor" fora do ambiente de testes perde tempo a testar código quando o problema está, afinal, num parâmetro de rede mal configurado; um técnico de informática de gestão que não perceba a diferença entre um grupo de trabalho e um domínio não consegue planear corretamente o crescimento da rede de uma organização.

1. Redes de dados: tipos, características e topologias

Uma rede de dados é um conjunto de equipamentos ligados entre si, capazes de trocar informação segundo regras comuns. Essas regras chamam-se protocolos, e são o assunto central desta unidade. Antes de configurar protocolo nenhum, porém, é preciso saber classificar e descrever a rede onde se vai trabalhar.

Tipos de rede por extensão geográfica

A UC trabalha sobretudo ao nível da LAN (a rede local, dentro de um edifício) e da sua ligação à WAN (a Internet), que é onde entram os serviços da Internet estudados no capítulo 11.

Topologias físicas

A topologia descreve como os equipamentos estão fisicamente ligados entre si.

A topologia em estrela, com um switch central por piso ou por sala e um backbone a ligar os switches, é a mais usada em redes de escolas, escritórios e pequenas empresas, e é a que esta UC assume como referência.

Características de uma rede

Ao avaliar ou configurar uma rede, um técnico considera sempre:

• Largura de banda: a capacidade máxima teórica de transmissão de um meio, em bit/s (por exemplo, 1 Gbit/s numa porta Gigabit Ethernet).
• Débito real: o que se consegue transmitir na prática, sempre inferior à largura de banda nominal, por causa de sobrecarga de protocolo, colisões e congestão.
• Latência: o tempo que um pacote demora a percorrer a rede, do emissor ao recetor.
• Fiabilidade: a capacidade de entregar os dados sem erros, ou de os detetar e corrigir.
• Escalabilidade: a facilidade em crescer a rede sem a redesenhar por completo.
• Segurança: o controlo de quem acede à rede e aos dados que nela circulam.

Mapas físicos e mapas lógicos

Documentar uma rede exige dois tipos de mapa, que respondem a perguntas diferentes:

• Mapa físico: onde estão os cabos, as tomadas, os bastidores, os switches e os pontos de acesso. Responde a "por onde passa o cabo" e "onde está a tomada 14 da sala 3".
• Mapa lógico: como os endereços IP, as sub-redes e as VLAN estão organizados, independentemente da localização física dos equipamentos. Responde a "que sub-rede tem o departamento financeiro" e "que gateway usa a sala de servidores". As VLAN são explicadas em detalhe no capítulo 2.

Um técnico competente mantém os dois mapas atualizados: o físico para intervenções de cablagem, o lógico para configurar protocolos e diagnosticar problemas de encaminhamento.

Redes sem fios (Wi-Fi)

Além das redes cablada, a maioria das LAN atuais inclui uma componente sem fios, com as suas próprias características:

• Normas 802.11: cada geração (802.11n, 802.11ac, 802.11ax, também conhecido por Wi-Fi 6) traz mais débito e melhor gestão de vários dispositivos em simultâneo.
• Bandas de frequência: 2,4 GHz (maior alcance, mais interferência de outros equipamentos domésticos) e 5 GHz (menor alcance, menos interferência, mais débito).
• SSID: o nome pelo qual uma rede sem fios se identifica aos dispositivos.
• Canal: a faixa de frequência específica usada dentro de uma banda; em ambientes com várias redes sobrepostas, escolher canais pouco usados reduz interferência.
• Ponto de acesso (access point): liga os dispositivos sem fios à rede cablada; em equipamento doméstico é frequente estar combinado com o router numa única caixa, mas em redes empresariais são equipamentos distintos e geríveis, ligados por cabo a um switch.

A topologia sem fios acrescenta-se à topologia cablada, não a substitui: um posto de trabalho sem fios continua a depender de um access point, que por sua vez está ligado por cabo ao mesmo switch e à mesma infraestrutura estudada no resto deste capítulo.

Cabo ou sem fios: como escolher

Um técnico raramente escolhe "só cabo" ou "só sem fios": a decisão faz-se posto a posto, consoante a necessidade. Como referência:

Um servidor de ficheiros ou um posto de trabalho fixo de secretária deve ligar-se sempre por cabo, sempre que a tomada exista; a rede sem fios fica reservada para equipamento móvel e para onde a cablagem não é viável.

Exemplo resolvido · Classificar a rede de uma escola

Uma escola tem três pavilhões ligados por fibra ótica, cada pavilhão com um switch por piso ligado em estrela aos postos de trabalho, e uma ligação à Internet através de um router no pavilhão central.

Resolução: trata-se de uma LAN (rede local, dentro do campus da escola), com topologia em árvore (vários grupos em estrela, ligados por um backbone de fibra entre pavilhões), ligada à WAN (Internet) através de um único ponto de saída, o router do pavilhão central. O mapa físico mostraria os três pavilhões, os switches por piso e os percursos de fibra; o mapa lógico mostraria as sub-redes atribuídas a cada pavilhão ou departamento.

2. Elementos de rede: equipamentos ativos e passivos

Todo o equipamento de uma rede pertence a uma de duas categorias.

Equipamento passivo

O equipamento passivo não processa nem regenera o sinal: limita-se a conduzi-lo fisicamente.

• Cabo de par entrançado (UTP): categorias 5e, 6 e 6a, cada uma com uma largura de banda máxima diferente (cat 5e até 1 Gbit/s, cat 6 até 10 Gbit/s em distâncias curtas).
• Fibra ótica: monomodo (longas distâncias) e multimodo (distâncias curtas, dentro de um edifício), imune a interferência eletromagnética.
• Conectores RJ45: as fichas que terminam o cabo UTP.
• Tomadas de parede e patch panels: os pontos fixos de ligação, num bastidor ou junto do posto de trabalho.
• Bastidores (racks) e calhas técnicas: a estrutura que organiza e protege o cablagem.

Equipamento ativo

O equipamento ativo precisa de alimentação elétrica e processa o sinal de alguma forma.

• Switch: liga vários equipamentos numa LAN, encaminhando cada trama para a porta correta com base no endereço MAC de destino (funciona à camada de ligação de dados, camada 2 do modelo OSI).
• Router: liga redes diferentes entre si, encaminhando pacotes com base no endereço IP de destino (funciona à camada de rede, camada 3).
• Ponto de acesso (access point): liga equipamentos sem fios (Wi-Fi) à rede cablada.
• Firewall: filtra o tráfego entre redes segundo regras de segurança, permitindo ou bloqueando ligações.
• Servidor: computador dedicado a disponibilizar serviços de rede (ficheiros, autenticação, Web, correio eletrónico).
• Placa de rede (NIC): a interface física que liga cada equipamento à rede, com o seu próprio endereço MAC.

Um erro comum de iniciante é confundir hub com switch: o hub, hoje praticamente em desuso, repete o sinal por todas as portas sem olhar para o destino, criando um único domínio de colisão; o switch aprende os endereços MAC ligados a cada porta e envia a trama só para a porta certa, o que reduz drasticamente as colisões e aumenta o débito útil da rede.

Conectores de fibra ótica e alimentação por Ethernet (PoE)

Além do RJ45 usado no par entrançado, a fibra ótica usa os seus próprios conectores, entre os quais os mais comuns são o SC (encaixe quadrado, de pressão) e o LC (mais pequeno, usado em equipamento mais recente e denso). A escolha do conector depende do equipamento em cada ponta da ligação, e um técnico deve confirmar sempre a compatibilidade antes de encomendar cordões de fibra.

Uma funcionalidade cada vez mais comum em switches é o PoE (Power over Ethernet): a capacidade de transmitir energia elétrica pelo mesmo cabo de rede que transporta os dados, evitando a necessidade de uma tomada elétrica junto de cada equipamento. É especialmente útil para alimentar pontos de acesso Wi-Fi, câmaras de vigilância e telefones IP, que ficam muitas vezes em locais sem tomada elétrica próxima, como um teto ou um corredor.

Para testar e certificar a cablagem, um técnico usa ferramentas próprias: um testador de cabos, que confirma a continuidade e a correta correspondência dos pares num cabo UTP; um gerador de tons, que ajuda a identificar fisicamente, num painel com muitas tomadas, qual o cabo correspondente a uma ficha específica; e um alicate de crimpar, para montar conectores RJ45 nas pontas do cabo.

Segmentação lógica: VLAN

Dividir uma rede em sub-redes (capítulo 5) resolve o endereçamento, mas não resolve, por si só, a separação ao nível do switch. Num switch plano, todas as portas continuam no mesmo domínio de difusão, mesmo que os equipamentos ligados a ele tenham endereços IP de blocos diferentes: nada, ao nível do switch, os impede de comunicar entre si, e um equipamento pode a qualquer momento reconfigurar manualmente o seu endereço IP para uma gama que não devia alcançar. É este problema que a VLAN (Virtual Local Area Network) resolve.

Uma VLAN é uma rede local virtual, criada dentro de um ou mais switches, que divide as portas em grupos logicamente isolados uns dos outros, como se cada grupo estivesse ligado a um switch físico diferente. Duas portas na mesma VLAN trocam tráfego diretamente, à camada de ligação de dados; duas portas em VLAN diferentes não trocam tráfego nenhum entre si, mesmo ligadas ao mesmo switch físico, a não ser que um equipamento de camada 3 seja explicitamente configurado a encaminhar entre elas. É esta separação real, imposta pelo próprio switch, que torna a VLAN o mecanismo correto para isolar redes que não podem comunicar entre si, ao contrário de uma simples divisão em sub-redes diferentes dentro de um switch plano, que não impede coisa nenhuma ao nível da camada 2.

Cada VLAN identifica-se por um número, o VLAN ID (de 1 a 4094), e corresponde tipicamente a uma sub-rede IP própria: uma VLAN de visitantes, por exemplo, tem a sua própria VLAN ID e o seu próprio bloco de endereços, distintos dos da VLAN da rede interna.

Porta de acesso e porta trunk. Uma porta de switch configura-se de duas formas. A porta de acesso (access port) pertence a uma única VLAN e liga-se normalmente a um equipamento final, um posto de trabalho, uma impressora, um ponto de acesso Wi-Fi de uma só rede: o equipamento ligado não sabe sequer que existem VLAN, e troca tramas Ethernet normais, sem qualquer etiqueta. A porta trunk (porta de tronco) transporta o tráfego de várias VLAN em simultâneo pelo mesmo cabo físico, e liga-se tipicamente entre dois switches, ou entre um switch e um router (ou um switch de camada 3).

Etiquetagem 802.1Q. Para as duas pontas de uma porta trunk distinguirem a que VLAN pertence cada trama, a norma IEEE 802.1Q acrescenta um pequeno cabeçalho à trama Ethernet, com o VLAN ID incluído, ao atravessar a porta trunk. Uma porta de acesso nunca vê esta etiqueta: o switch acrescenta-a e retira-a automaticamente, na entrada e na saída da porta de acesso; só as portas trunk transportam tramas etiquetadas.

Encaminhamento entre VLAN. Como duas VLAN diferentes não comunicam diretamente à camada 2, um equipamento de uma VLAN só chega a um equipamento de outra VLAN através de encaminhamento de camada 3, tal como duas sub-redes IP diferentes precisam de um router (capítulo 8). Há duas formas comuns de o configurar: o router-on-a-stick, um único router ligado ao switch por uma porta trunk, com uma subinterface virtual por VLAN (por exemplo, GigabitEthernet0/0.10 para a VLAN 10 e GigabitEthernet0/0.20 para a VLAN 20), cada uma com o endereço de gateway da respetiva sub-rede; ou o switch de camada 3, em que se cria uma interface virtual por VLAN (uma SVI, switch virtual interface) com o respetivo gateway, e o próprio switch encaminha o tráfego entre elas, sem depender de um router externo, a opção mais usada em redes maiores por ser mais rápida e não depender de uma única porta trunk como ponto de passagem obrigatório. Em qualquer dos dois casos, o encaminhamento entre VLAN só acontece se for explicitamente configurado; por predefinição, VLAN diferentes permanecem isoladas, o comportamento que se quer, por exemplo, numa rede de visitantes.

Exemplo resolvido · Separar a rede de visitantes com VLAN

Uma escola quer que os visitantes usem uma rede Wi-Fi própria, sem qualquer acesso à rede interna (postos de trabalho, servidores, partilhas de ficheiros), mas com acesso à Internet.

Resolução: cria-se uma VLAN 10 para a rede interna e uma VLAN 20 para os visitantes, cada uma com a sua sub-rede (por exemplo, 192.168.10.0/24 para a VLAN 10 e 192.168.20.0/24 para a VLAN 20). O ponto de acesso Wi-Fi dos visitantes liga-se a uma porta de acesso do switch configurada na VLAN 20; os postos de trabalho e servidores internos ligam-se a portas de acesso na VLAN 10. A ligação entre o switch e o router (ou o switch de camada 3) faz-se por uma porta trunk, com etiquetagem 802.1Q, transportando as duas VLAN pelo mesmo cabo. No router, cria-se uma subinterface por VLAN, cada uma com o seu gateway, e configura-se uma regra de firewall que bloqueia explicitamente o tráfego da VLAN 20 para a VLAN 10, permitindo apenas a saída para a Internet. É esta combinação, VLAN dedicada mais regra de firewall entre VLAN, que garante o isolamento; atribuir aos visitantes apenas um bloco de endereços diferente, sem VLAN nem regra de firewall, não isola nada: qualquer visitante pode configurar manualmente um endereço da gama interna e aceder diretamente aos recursos da rede da escola.

Exemplo resolvido · Equipar um pequeno escritório

Um escritório com 12 postos de trabalho, um servidor de ficheiros e ligação à Internet por fibra precisa de ser equipado do zero.

Resolução: cablagem estruturada UTP cat 6 de cada posto até um patch panel no bastidor (equipamento passivo); um switch de 24 portas no bastidor para ligar os 12 postos, o servidor e as ligações de uplink (equipamento ativo); um router/firewall a fazer a ligação entre a LAN e a Internet, com NAT e regras de filtragem; e um ponto de acesso para os equipamentos móveis e visitantes, isolado numa sub-rede própria por razões de segurança.

Exemplo resolvido · Diagnosticar um posto de trabalho sem sinal

Um posto de trabalho recém-instalado não tem qualquer atividade nas luzes da placa de rede nem do switch, apesar de o cabo parecer bem ligado nas duas pontas.

Resolução: trata-se de um problema no equipamento passivo, o mais provável antes de sequer se pensar em protocolos: o cabo pode ter um par mal crimpado, o conector RJ45 pode não fazer bom contacto, ou o cabo pode estar danificado a meio do percurso, dentro da parede ou da calha técnica. Testa-se o cabo com um testador de cabos; se o teste falhar, testa-se com um cabo alternativo diretamente do posto ao switch para confirmar que o problema é mesmo o cabo instalado e não a placa de rede ou a porta do switch. Só depois de confirmada a camada física faz sentido avançar para a configuração dos protocolos, estudada nos capítulos seguintes.

3. O modelo OSI

O modelo OSI (Open Systems Interconnection) organiza, em sete camadas, todas as funções necessárias para dois equipamentos comunicarem numa rede. Cada camada resolve um problema específico e comunica apenas com a camada imediatamente acima e abaixo.

Um mnemónico comum em português para memorizar a ordem, de cima para baixo, é "Ana Ana Sabe Tudo Rir Livre à Frente" (Aplicação, Apresentação, Sessão, Transporte, Rede, Ligação de dados, Física); em inglês usa-se muitas vezes "All People Seem To Need Data Processing".

Encapsulamento

Quando um dado desce as camadas, no emissor, cada camada acrescenta o seu próprio cabeçalho (um processo chamado encapsulamento): a aplicação gera dados, a camada de transporte junta um cabeçalho TCP ou UDP (formando um segmento), a camada de rede junta um cabeçalho IP (formando um pacote), e a camada de ligação de dados junta um cabeçalho e um trailer Ethernet (formando uma trama), antes de converter tudo em bits para o meio físico. No recetor, o processo inverte-se: cada camada retira o seu cabeçalho e entrega o que resta à camada acima, num processo chamado desencapsulamento.

Que equipamento trabalha em que camada

Associar cada equipamento à camada em que atua ajuda a perceber o que ele consegue, e o que não consegue, fazer:

Um switch, por exemplo, nunca olha para o endereço IP de um pacote: só decide com base no endereço MAC de destino da trama, o que é suficiente para o seu trabalho, entregar dentro da mesma rede local. Só um router, à camada 3, olha para o endereço IP e decide o encaminhamento entre redes diferentes.

Exemplo resolvido · Identificar a camada de um problema

Um utilizador não consegue aceder a um sítio Web. O cabo de rede está bem ligado (a luz do switch acende), consegue enviar um ping para outros equipamentos da mesma rede, mas não consegue chegar a equipamentos fora dela.

Resolução: a camada física (camada 1) e a camada de ligação de dados (camada 2) estão a funcionar, porque o cabo liga e a comunicação dentro da mesma rede funciona. O problema está provavelmente na camada de rede (camada 3), no encaminhamento para fora da rede local, o que aponta para uma configuração de gateway incorreta ou em falta. Este raciocínio, camada a camada, é a base de qualquer diagnóstico de rede estruturado.

4. O modelo TCP/IP

O modelo TCP/IP é o modelo de referência realmente usado na Internet, mais simples do que o OSI, com quatro camadas.

O modelo TCP/IP junta numa só camada de "Aplicação" o que o OSI separa em três camadas (Aplicação, Apresentação e Sessão), porque na prática a maior parte dos protocolos aplicacionais trata destas três funções em conjunto. O nome do modelo vem dos dois protocolos mais importantes que nele correm: TCP (Transmission Control Protocol) na camada de transporte, e IP (Internet Protocol) na camada de Internet.

É este modelo, e não o OSI puro, que um técnico usa no dia a dia para configurar parâmetros de rede num sistema operativo: endereço IP e máscara (camada de Internet), portas TCP e UDP (camada de transporte), e nomes de serviço como HTTP ou DNS (camada de aplicação).

Porque coexistem os dois modelos

O modelo OSI nunca chegou a ser implementado na prática exatamente como foi desenhado, mas continua a ser o vocabulário comum para explicar e ensinar redes, precisamente porque separa as funções com mais detalhe. O modelo TCP/IP é o que efetivamente corre em todos os equipamentos ligados à Internet, e é nele que um técnico pensa quando configura parâmetros e diagnostica problemas. Uma forma prática de os relacionar: usa-se a linguagem do OSI para explicar e localizar um problema ("isto é um problema de camada 3"), e usa-se o modelo TCP/IP, e os seus protocolos concretos, para resolver esse problema (verificar o endereço IP, a máscara e o gateway).

Exemplo resolvido · Mapear um cenário real

Um posto de trabalho envia um pedido a um servidor Web através de HTTPS.

Resolução: na camada de aplicação, o browser gera um pedido HTTP, cifrado por TLS. Na camada de transporte, o TCP divide os dados em segmentos, numera-os e estabelece ligação com o servidor na porta 443. Na camada de Internet, o IP encapsula cada segmento num pacote com o endereço IP de origem e de destino, e decide o próximo salto a partir da tabela de encaminhamento. Na camada de acesso à rede, a placa de rede encapsula cada pacote numa trama Ethernet ou Wi-Fi e transmite-a fisicamente até ao próximo equipamento do caminho.

5. Endereçamento IP, redes e sub-redes

Cada equipamento numa rede TCP/IP precisa de um endereço IP único, para poder ser identificado e alcançado.

O endereço IPv4

Um endereço IPv4 tem 32 bits, escritos em notação decimal separada por pontos, em quatro grupos de 8 bits (octetos): por exemplo, 192.168.1.10. Cada octeto vai de 0 a 255.

Endereços privados e públicos

• Endereços privados (RFC 1918), reservados para uso interno e não encaminháveis na Internet: 10.0.0.0/8, 172.16.0.0/12 e 192.168.0.0/16. A maioria das redes locais usa endereços destas gamas.
• Endereços públicos, atribuídos pelos registos regionais da Internet, únicos em todo o mundo, e usados na fronteira entre a rede local e a Internet.

A ligação entre os dois mundos faz-se normalmente por NAT (Network Address Translation), uma função do router que traduz os endereços privados da LAN num único endereço público, na saída para a Internet.

Máscara de sub-rede e notação CIDR

A máscara de sub-rede divide o endereço IP em duas partes: a parte de rede (identifica a sub-rede) e a parte de anfitrião (host, identifica o equipamento dentro dessa sub-rede). A notação CIDR (Classless Inter-Domain Routing) escreve a máscara como um número depois de uma barra, indicando quantos bits pertencem à rede: /24 significa que os primeiros 24 bits (três octetos) são de rede.

Em qualquer sub-rede, o primeiro endereço identifica a própria rede (endereço de rede) e o último endereço é o endereço de difusão (broadcast); nenhum dos dois pode ser atribuído a um equipamento. É por isso que uma sub-rede /24, com 256 endereços possíveis, tem apenas 254 utilizáveis por equipamentos.

Dividir uma rede em sub-redes

Dividir uma rede maior em sub-redes mais pequenas (sub-redes, em inglês subnetting) tem várias vantagens: reduz o domínio de difusão, organiza os departamentos ou serviços em blocos lógicos separados, e permite aplicar regras de segurança diferentes a cada bloco.

Fórmulas úteis de subnetting

Duas fórmulas simples resolvem a maioria dos exercícios de endereçamento IP:

• Número de anfitriões utilizáveis por sub-rede: 2 elevado ao número de bits de anfitrião, menos 2 (um para o endereço de rede, outro para o de difusão). Por exemplo, numa /26 há 6 bits de anfitrião (32 − 26 = 6), logo 2⁶ − 2 = 62 anfitriões utilizáveis.
• Número de sub-redes criadas ao "pedir emprestados" bits ao anfitrião: 2 elevado ao número de bits pedidos. Por exemplo, pedir 2 bits a um /24 (passando a /26) cria 2² = 4 sub-redes.

Estas duas fórmulas, aplicadas em conjunto, permitem planear rapidamente qualquer divisão de rede: primeiro decide-se quantas sub-redes são precisas (o que fixa quantos bits pedir), depois confirma-se que sobram anfitriões suficientes em cada uma para o número de equipamentos previsto.

Noção de IPv6

O IPv4 oferece cerca de 4,3 mil milhões de endereços, um número que se revelou insuficiente para o crescimento da Internet. O IPv6 resolve esse limite com endereços de 128 bits, escritos em oito grupos de quatro dígitos hexadecimais separados por dois pontos, por exemplo 2001:0db8:0000:0000:0000:ff00:0042:8329, que pode ser abreviado para 2001:db8::ff00:42:8329 (os zeros consecutivos resumem-se a ::, uma única vez por endereço).

Algumas diferenças práticas relevantes para um técnico: o IPv6 não usa, em geral, NAT (há endereços que chegam para todos os equipamentos serem públicos), tem configuração automática sem necessidade de DHCP em muitos cenários, e coexiste normalmente com o IPv4 durante a fase de transição (dual stack), em que um equipamento tem simultaneamente um endereço IPv4 e um IPv6. Muitas redes empresariais e escolares em Portugal continuam a operar apenas em IPv4 internamente, mas um técnico deve reconhecer um endereço IPv6 e saber que os mesmos princípios de configuração (endereço, máscara ou prefixo, gateway, DNS) se aplicam.

Exemplo resolvido · Sub-redes de tamanhos diferentes (VLSM)

Uma empresa recebeu o bloco 172.16.0.0/24 e precisa de três sub-redes: uma com 100 postos de trabalho, outra com 50, e outra com 20, sem desperdiçar mais endereços do que o necessário.

Resolução: usa-se VLSM (Variable Length Subnet Masking), atribuindo a cada sub-rede a máscara mínima que a comporta. Para 100 anfitriões, precisa de pelo menos 126 endereços utilizáveis, o que corresponde a uma /25 (172.16.0.0/25, de 172.16.0.1 a 172.16.0.126). Para 50 anfitriões, uma /26 chega (62 utilizáveis: 172.16.0.128/26, de 172.16.0.129 a 172.16.0.190). Para 20 anfitriões, uma /27 chega (30 utilizáveis: 172.16.0.192/27, de 172.16.0.193 a 172.16.0.222). Ao contrário de dividir tudo em blocos iguais (o que obrigaria a usar /26 nas três, desperdiçando endereços na maior), o VLSM ajusta cada máscara à necessidade real de cada sub-rede.

Exemplo resolvido · Dividir uma rede /24 em quatro sub-redes

Uma escola recebeu o bloco 192.168.10.0/24 e precisa de dividi-lo em quatro sub-redes de igual dimensão, uma por cada departamento (Direção, Administrativo, Salas de aula, Laboratórios).

Resolução: para dividir um /24 em quatro partes iguais, "pedem-se emprestados" 2 bits ao anfitrião, passando de /24 para /26 (24 + 2 = 26), o que dá quatro sub-redes de 64 endereços cada (62 utilizáveis).

Cada departamento fica com o seu próprio bloco de endereços e o seu próprio domínio de difusão, sem alterar o número total de endereços disponíveis no bloco original.

6. Protocolos de rede: TCP, UDP e protocolos aplicacionais

Um protocolo é um conjunto de regras que define como dois equipamentos comunicam: o formato das mensagens, a ordem das trocas e o que fazer perante um erro.

TCP: entrega fiável e orientada à ligação

O TCP (Transmission Control Protocol) estabelece uma ligação antes de trocar dados, através de um cumprimento em três passos conhecido como three-way handshake (SYN, SYN-ACK, ACK), numera cada segmento, confirma a receção, reenvia o que se perde e controla o ritmo de envio para não sobrecarregar o recetor. É usado sempre que a entrega correta e completa dos dados é mais importante do que a rapidez: páginas Web, correio eletrónico, transferência de ficheiros.

UDP: entrega rápida e sem garantias

O UDP (User Datagram Protocol) envia os dados sem estabelecer ligação prévia, sem confirmação de receção e sem reenvio automático. É mais rápido e tem menos sobrecarga do que o TCP, e é a escolha certa quando a rapidez importa mais do que a garantia de entrega de cada pacote: consultas DNS, transmissão de vídeo e voz em tempo real, jogos em rede.

Protocolos aplicacionais mais comuns

Este conjunto de protocolos, indicado no referencial da UC, é o núcleo do que se configura nos capítulos seguintes: primeiro os parâmetros gerais de rede que permitem a qualquer protocolo funcionar (capítulo 7), depois os serviços que os disponibilizam dentro da rede local (capítulo 9) e na Internet (capítulo 11).

Outros protocolos de apoio

Além dos protocolos aplicacionais de serviço, um técnico lida com frequência com protocolos de suporte à própria rede:

• ICMP (Internet Control Message Protocol): usado para mensagens de controlo e diagnóstico, como o ping (pedido e resposta de eco) e as mensagens de erro que o tracert/traceroute interpretam para desenhar o caminho salto a salto.
• SSH (Secure Shell, porta 22): acesso remoto cifrado à linha de comandos de um equipamento, a alternativa segura ao antigo Telnet.
• Telnet (porta 23): acesso remoto à linha de comandos, sem cifragem; hoje considerado inseguro para qualquer uso fora de um laboratório isolado, precisamente porque transmite credenciais em texto simples.
• ARP (Address Resolution Protocol): traduz um endereço IP no endereço MAC correspondente, dentro da mesma rede local, um passo indispensável antes de qualquer trama poder ser entregue à camada de ligação de dados.

Exemplo resolvido · Escolher o protocolo certo

Uma aplicação escolar precisa de transmitir vídeo em direto de uma aula e, em simultâneo, permitir o download de um manual em PDF. Que protocolo de transporte é o mais adequado para cada caso?

Resolução: para o vídeo em direto, o mais adequado é UDP: um pequeno atraso ou a perda de um fotograma ocasional é preferível a esperar pela retransmissão, que causaria interrupções visíveis. Para o download do PDF, o mais adequado é TCP: o ficheiro tem de chegar completo e sem erros, ainda que demore mais alguns segundos.

Exemplo resolvido · Identificar um serviço pela porta

Uma ferramenta de análise de tráfego mostra um equipamento a receber ligações nas portas 80, 443 e 22. Sem mais informação, que serviços estão provavelmente a correr nesse equipamento?

Resolução: a porta 80 indica um servidor Web a responder em HTTP (sem cifragem); a porta 443 indica o mesmo servidor Web, ou outro, a responder em HTTPS (com SSL/TLS); a porta 22 indica um serviço SSH, usado para administração remota segura da linha de comandos. Nenhuma destas portas identifica com certeza absoluta o software exato a correr (várias aplicações podem escutar na mesma porta), mas a combinação das três é típica de um servidor Web administrado remotamente por SSH, com o site disponível tanto em HTTP como em HTTPS.

7. Configurar os parâmetros dos protocolos de rede

Este capítulo cobre a realização central desta UC: configurar os parâmetros dos protocolos de rede num equipamento, isto é, definir os valores que permitem a esse equipamento comunicar corretamente numa rede TCP/IP.

Os parâmetros essenciais de configuração

Qualquer equipamento numa rede TCP/IPv4 precisa de quatro parâmetros bem definidos:

• Endereço IP: a identificação única do equipamento na rede.
• Máscara de sub-rede: delimita a parte de rede e a parte de anfitrião do endereço.
• Gateway predefinido (default gateway): o endereço do router para onde o equipamento envia todo o tráfego destinado a fora da sua sub-rede.
• Servidores DNS: os endereços dos servidores que traduzem nomes (como www.exemplo.pt) em endereços IP.

Sem qualquer um destes quatro parâmetros, algo falha: sem IP e máscara, o equipamento nem sequer comunica na sua própria rede; sem gateway, comunica na rede local mas não chega à Internet; sem DNS, chega à Internet por endereço IP mas não consegue resolver nomes.

Configuração estática e configuração dinâmica

• Configuração estática: o técnico atribui manualmente os parâmetros, um a um. Usa-se em servidores e equipamentos de infraestrutura (routers, switches geríveis), que precisam de um endereço previsível e estável. Para impressoras de rede e pequenos servidores que só precisam de um endereço previsível, sem fazerem parte da infraestrutura central da rede, a alternativa profissional é a reserva DHCP por endereço MAC (capítulo 9), que dá o mesmo endereço sempre ao mesmo equipamento sem o tirar do controlo do DHCP.
• Configuração dinâmica (DHCP): um servidor DHCP (Dynamic Host Configuration Protocol) atribui automaticamente os quatro parâmetros a cada equipamento que entra na rede, por um período de tempo limitado (a "concessão" ou lease). Usa-se na maioria dos postos de trabalho e equipamentos móveis, para simplificar a gestão de uma rede com muitos dispositivos.

Configurar em Windows

Pela interface gráfica: em Definições de rede e Internet, propriedades do adaptador, protocolo TCP/IPv4, escolhe-se "Obter um endereço IP automaticamente" (DHCP) ou introduzem-se manualmente o endereço, a máscara, o gateway e os servidores DNS.

Pela linha de comandos (PowerShell), a mesma configuração é feita com:

# Consultar a configuração atual
Get-NetIPConfiguration

# Atribuir um endereço IP estático
New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 192.168.10.20 -PrefixLength 24 -DefaultGateway 192.168.10.1

# Definir os servidores DNS
Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 192.168.10.5,8.8.8.8

# Voltar a DHCP
Set-NetIPInterface -InterfaceAlias "Ethernet" -Dhcp Enabled

Configurar em Linux

Em distribuições modernas, com NetworkManager:

nmcli connection modify "Ligação com fios 1" ipv4.addresses 192.168.10.20/24
nmcli connection modify "Ligação com fios 1" ipv4.gateway 192.168.10.1
nmcli connection modify "Ligação com fios 1" ipv4.dns "192.168.10.5 8.8.8.8"
nmcli connection modify "Ligação com fios 1" ipv4.method manual
nmcli connection up "Ligação com fios 1"

Em servidores Ubuntu, a mesma configuração define-se de forma declarativa num ficheiro netplan (/etc/netplan/01-netcfg.yaml):

network:
  version: 2
  ethernets:
    eth0:
      addresses:
        - 192.168.10.20/24
      routes:
        - to: default
          via: 192.168.10.1
      nameservers:
        addresses: [192.168.10.5, 8.8.8.8]

A opção gateway4, usada em versões mais antigas do netplan para definir o gateway diretamente, está deprecada desde o Ubuntu 22.04; a forma atual é a secção routes, com to: default a identificar a rota predefinida e via a indicar o endereço do gateway.

Verificar a configuração

Depois de configurar, confirma-se sempre:

Outros parâmetros de protocolo

Além dos quatro essenciais, um técnico configura por vezes:

• MTU (Maximum Transmission Unit): o tamanho máximo de um pacote antes de ser fragmentado, tipicamente 1500 bytes em Ethernet.
• Velocidade e modo duplex da placa de rede: normalmente automáticos, mas por vezes forçados manualmente para resolver problemas de compatibilidade com equipamento antigo.
• IPv6: pode ser ativado ou desativado consoante a rede o suporte; muitas redes empresariais ainda funcionam apenas em IPv4.

Diagnóstico estruturado da configuração

Quando um equipamento "não tem rede", um técnico competente segue uma sequência lógica, camada a camada, em vez de tentar soluções ao acaso:

1. Camada física: o cabo está bem ligado? As luzes da placa de rede e do switch acendem?
2. Configuração local: ipconfig /all (ou ip addr show) mostra um endereço IP válido, coerente com a rede, e não um endereço de reserva (169.254.x.x, sinal de que o DHCP falhou)?
3. Rede local: ping ao gateway responde? Se não, o problema está entre o equipamento e o router.
4. Encaminhamento: ping a um endereço IP público (por exemplo, 8.8.8.8) responde? Se sim mas o passo anterior falhar, o problema é anterior a este; se este falhar mas o gateway responder, o problema está no encaminhamento do router para a Internet.
5. Resolução de nomes: nslookup ou dig a um nome conhecido funciona? Se o passo 4 funcionar mas este falhar, o problema está isolado ao DNS, não à ligação em si.

Esta sequência, dos parâmetros locais até ao DNS, isola rapidamente em que camada e em que parâmetro está o problema, evitando o erro comum de reiniciar equipamento sem perceber a causa.

Exemplo resolvido · Configurar um posto de trabalho estático

Um servidor de ficheiros precisa de um endereço fixo 192.168.10.5, na sub-rede 192.168.10.0/24, com gateway 192.168.10.1 e a usar como DNS o próprio servidor DNS interno (192.168.10.5, se o servidor também fizer DNS) e o DNS público 1.1.1.1 como reserva.

Resolução: em PowerShell, New-NetIPAddress -InterfaceAlias "Ethernet" -IPAddress 192.168.10.5 -PrefixLength 24 -DefaultGateway 192.168.10.1, seguido de Set-DnsClientServerAddress -InterfaceAlias "Ethernet" -ServerAddresses 192.168.10.5,1.1.1.1. Confirma-se com ipconfig /all (os quatro parâmetros aparecem corretos), ping 192.168.10.1 (confirma a ligação ao gateway) e nslookup www.exemplo.pt (confirma a resolução de nomes).

8. Configurar o encaminhamento (routing) e a gestão dos protocolos

Quando uma rede tem mais do que uma sub-rede, é preciso encaminhamento (routing): a decisão, tomada por um router ou por um equipamento com múltiplas interfaces, sobre por onde enviar cada pacote.

A tabela de encaminhamento

Cada router mantém uma tabela de encaminhamento, com entradas do tipo "para chegar à rede X, envia por esta interface, para este próximo salto". A entrada mais genérica, usada quando nenhuma outra entrada corresponde ao destino, é a rota predefinida (default route), normalmente escrita como 0.0.0.0/0.

Encaminhamento estático

No encaminhamento estático, o técnico define manualmente cada rota. É adequado para redes pequenas, com poucas sub-redes e topologia estável.

# Windows: adicionar uma rota estática
New-NetRoute -DestinationPrefix 192.168.20.0/24 -InterfaceAlias "Ethernet" -NextHop 192.168.10.1

# Linux: adicionar uma rota estática
sudo ip route add 192.168.20.0/24 via 192.168.10.1 dev eth0

Encaminhamento dinâmico

No encaminhamento dinâmico, os routers trocam informação entre si e recalculam automaticamente as rotas quando a topologia muda. Os protocolos mais conhecidos são o RIP (Routing Information Protocol, simples, baseado no número de saltos) e o OSPF (Open Shortest Path First, mais eficiente, usado em redes maiores). Esta UC não exige configurar protocolos de encaminhamento dinâmico em profundidade, mas é importante reconhecê-los e saber quando uma rede é grande e mutável o suficiente para justificar essa complexidade.

Ativar o encaminhamento num equipamento

Por predefinição, um sistema operativo comum não encaminha pacotes entre as suas interfaces; é preciso ativar essa função explicitamente:

• Windows Server: instala-se a função Routing and Remote Access (RRAS) e ativa-se o encaminhamento IPv4.
• Linux: define-se net.ipv4.ip_forward=1 no ficheiro /etc/sysctl.conf, ou temporariamente com echo 1 > /proc/sys/net/ipv4/ip_forward.

NAT como parte da gestão do encaminhamento

O NAT (visto no capítulo 5) é, na prática, uma função de encaminhamento: o router traduz os endereços privados da LAN para um único endereço público, mantendo uma tabela de tradução, e devolve as respostas ao equipamento interno correto. Sem NAT, uma rede com endereçamento privado não conseguiria comunicar diretamente com a Internet.

Publicar serviços na Internet: port forwarding (DNAT) e DMZ

O NAT visto atrás resolve a saída da LAN para a Internet, mas não resolve o problema inverso: como é que um pedido vindo de fora da rede, por exemplo um visitante a aceder ao site da empresa, chega a um servidor com endereço privado dentro da LAN? A resposta é o port forwarding, também chamado DNAT (Destination NAT): uma regra no router ou na firewall que redireciona, para um endereço e porta internos específicos, todo o tráfego recebido no endereço público numa determinada porta.

# Exemplo de regra DNAT (sintaxe iptables, Linux)
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j DNAT --to-destination 192.168.10.10:443
iptables -A FORWARD -p tcp -d 192.168.10.10 --dport 443 -j ACCEPT

A primeira regra traduz, no router, os pedidos que chegam à porta pública 443 para o endereço interno do servidor Web, 192.168.10.10, na mesma porta; a segunda regra, na cadeia FORWARD, autoriza explicitamente esse tráfego a atravessar a firewall, porque uma regra de DNAT sem a correspondente permissão de encaminhamento continua bloqueada por predefinição.

Para servidores expostos diretamente à Internet, um servidor Web ou de correio público, por exemplo, a boa prática é isolá-los numa DMZ (Demilitarized Zone), uma sub-rede própria, distinta tanto da Internet como da rede interna, ligada a uma interface dedicada da firewall. A firewall aplica então regras diferentes a cada fronteira: da Internet só entra tráfego para as portas dos serviços publicados na DMZ (por exemplo, 80, 443 e 25); da DMZ para a rede interna, o tráfego é bloqueado por predefinição, de modo que um servidor publicado que seja comprometido não sirva de ponto de partida direto para atacar a rede interna. É esta combinação, port forwarding para expor o serviço mais DMZ para conter o risco, que fecha o ciclo entre configurar um serviço da Internet (capítulo 11) e publicá-lo com segurança.

Ler o resultado de um tracert/traceroute

O comando tracert (Windows) ou traceroute (Linux) mostra, salto a salto, todos os routers atravessados até ao destino, com o tempo de resposta de cada um. É a ferramenta certa para localizar onde um encaminhamento falha:

1    <1 ms    <1 ms    <1 ms   192.168.10.1
2     7 ms     6 ms     7 ms   85.240.6.1
3    13 ms    12 ms    14 ms   72.14.239.1
4     *        *        *      Tempo esgotado para este pedido.
5    23 ms    22 ms    24 ms   8.8.8.8

Neste exemplo, o primeiro salto é o gateway local (192.168.10.1, o mesmo endereço privado configurado no capítulo 7), o segundo e o terceiro saltos já são endereços públicos, do operador de Internet e da rede de trânsito até ao destino; o quarto salto não respondeu (o que é normal em alguns routers configurados para não responder a ICMP, e não é por si só um erro), mas o quinto respondeu e o destino final foi alcançado, o que confirma que o encaminhamento, apesar de um salto silencioso a meio, está a funcionar corretamente. Se o percurso parasse de vez a meio, sem mais nenhuma resposta até ao fim, isso indicaria uma rota em falta ou um bloqueio a partir desse ponto.

Exemplo resolvido · Ligar duas sub-redes com uma rota estática

Uma escola tem duas sub-redes, 192.168.1.0/24 (salas de aula) e 192.168.2.0/24 (administração), ligadas a um router com duas interfaces: 192.168.1.1 e 192.168.2.1. Um posto de trabalho em 192.168.1.50 não consegue comunicar com um servidor em 192.168.2.10.

Resolução: o mais provável é que o posto de trabalho 192.168.1.50 não tenha o gateway 192.168.1.1 configurado, ou que o router não tenha o encaminhamento IPv4 ativado entre as duas interfaces. Confirma-se a configuração do posto de trabalho (capítulo 7), confirma-se que o router tem RRAS (ou ip_forward) ativado, e testa-se com ping 192.168.2.10 a partir do posto de trabalho e tracert 192.168.2.10 para confirmar o caminho salto a salto.

9. Configurar os serviços de rede: domínio, grupos de trabalho e utilizadores

Configurados os protocolos, o passo seguinte é configurar os serviços de rede: os mecanismos que organizam quem acede à rede e como os recursos são partilhados.

Grupo de trabalho e domínio

• Grupo de trabalho (workgroup): modelo descentralizado, típico de redes pequenas, sem servidor dedicado. Cada equipamento mantém a sua própria lista de utilizadores e permissões. Simples de configurar, mas difícil de gerir a partir de uma dezena de postos de trabalho.
• Domínio: modelo centralizado, com um ou mais servidores (controladores de domínio) a guardar uma base de dados comum de utilizadores, grupos e políticas, aplicada a todos os equipamentos que aderem ao domínio. Escala para centenas ou milhares de postos de trabalho, com gestão centralizada de contas e permissões.

Instalar o serviço de domínio

Em ambiente Windows Server, o serviço de domínio chama-se AD DS (Active Directory Domain Services).

1. Instala-se a função AD DS no gestor de servidores (ou com Install-WindowsFeature AD-Domain-Services em PowerShell).
2. Promove-se o servidor a controlador de domínio, criando uma nova floresta e um novo domínio (por exemplo, escola.local), com Install-ADDSForest -DomainName "escola.local".
3. Depois de reiniciar, o servidor passa a autenticar todos os equipamentos e utilizadores que aderirem ao domínio.

Nota sobre o nome do domínio. O sufixo .local, usado no exemplo acima por comodidade de laboratório, está reservado pela norma RFC 6762 para a resolução de nomes mDNS (a usada, por exemplo, pelo Bonjour da Apple e por muitos dispositivos de rede doméstica), e a própria Microsoft desaconselha o seu uso como domínio de Active Directory há vários anos, precisamente por este conflito. Num ambiente de produção, o domínio interno deve ser um subdomínio de um domínio que a organização realmente possua, por exemplo ad.escola.pt, ou usar o sufixo reservado .internal, nunca .local. O domínio interno do Active Directory (por exemplo, ad.escola.pt) e o domínio público da organização (escola.pt, usado no site e no correio eletrónico) são dois espaços de nomes distintos, geridos separadamente: o interno resolve-se apenas dentro da rede da organização, pelo DNS interno do controlador de domínio; o público resolve-se na Internet, pelo DNS público da organização.

Criar unidades organizacionais, grupos e utilizadores

Dentro do domínio, a organização faz-se em unidades organizacionais (OU), que agrupam utilizadores, grupos e equipamentos por critérios como departamento, turma ou função, e permitem aplicar políticas diferentes a cada grupo.

# Criar uma unidade organizacional
New-ADOrganizationalUnit -Name "Alunos" -Path "DC=escola,DC=local"

# Criar um grupo de segurança
New-ADGroup -Name "Alunos12A" -GroupScope Global -Path "OU=Alunos,DC=escola,DC=local"

# Criar um utilizador e adicioná-lo ao grupo
New-ADUser -Name "Ana Costa" -SamAccountName "acosta" -Path "OU=Alunos,DC=escola,DC=local" -Enabled $true -AccountPassword (ConvertTo-SecureString "Palavra-passe1!" -AsPlainText -Force)
Add-ADGroupMember -Identity "Alunos12A" -Members "acosta"

Gerir utilizadores e perfis

A gestão de utilizadores cobre todo o ciclo de vida de uma conta: criação, atribuição a grupos, definição de permissões, alteração e, no fim, desativação. Os perfis de utilizador guardam as definições pessoais (ambiente de trabalho, documentos, preferências), e num domínio podem ser configurados como perfis móveis, seguindo o utilizador entre postos de trabalho diferentes.

A boa prática de grupos é atribuir permissões a grupos, não a utilizadores individuais, e colocar os utilizadores dentro desses grupos: quando um aluno muda de turma, move-se de grupo, em vez de se reconfigurarem permissões uma a uma.

Um perfil móvel guarda-se num servidor e carrega-se em qualquer posto de trabalho do domínio em que o utilizador inicia sessão, o que é especialmente útil em salas de aula partilhadas por várias turmas, onde o mesmo aluno pode usar um computador diferente a cada aula e continuar a encontrar o seu ambiente de trabalho. Um perfil obrigatório é uma variante do perfil móvel em que as alterações feitas pelo utilizador não são guardadas entre sessões, útil em postos de acesso público ou salas de exame, onde cada sessão deve começar sempre do mesmo estado inicial.

O serviço DHCP como serviço de rede

O DHCP, referido no capítulo 7 do lado do posto de trabalho, é também configurado do lado do servidor, como um serviço de rede central:

1. Instala-se a função DHCP Server.
2. Define-se um âmbito (scope): a gama de endereços a distribuir, por exemplo 192.168.10.100 a 192.168.10.200, com a máscara, o gateway e os servidores DNS a atribuir a cada cliente.
3. Define-se a duração da concessão (lease), o tempo durante o qual um equipamento pode usar o endereço antes de o renovar.

Reservas DHCP por endereço MAC

Impressoras de rede e pequenos servidores beneficiam de um endereço sempre igual, mas não precisam, por isso, de sair do controlo do DHCP: a solução profissional é a reserva DHCP por endereço MAC (uma reservation), que associa, dentro do próprio âmbito, um endereço IP fixo ao endereço MAC de um equipamento específico. O equipamento continua a pedir o endereço por DHCP, como qualquer outro cliente, mas recebe sempre o mesmo, porque o servidor reconhece o seu endereço MAC e responde sempre com o mesmo endereço reservado. Isto evita o problema mais comum de um endereço atribuído manualmente: um endereço estático que caia dentro da gama do âmbito DHCP pode ser distribuído pelo servidor a outro equipamento e gerar um conflito de endereços (ver "Erros comuns"); uma reserva, por ficar registada no próprio servidor DHCP, nunca é atribuída a mais ninguém, e por isso é a resposta correta para impressoras e servidores que precisam de um endereço previsível sem deixarem de beneficiar da gestão centralizada do DHCP.

Partilha de ficheiros e impressoras

Ainda dentro dos serviços de rede, a partilha de ficheiros e a partilha de impressoras são dos serviços mais usados no dia a dia de qualquer organização. Num domínio, uma pasta partilhada define-se com permissões ao nível da partilha (quem acede pela rede) e permissões NTFS ao nível do sistema de ficheiros (o que cada um pode fazer, ler, escrever, apagar), aplicadas de preferência a grupos, seguindo o mesmo princípio já referido para a gestão de utilizadores. Uma impressora de rede publica-se no domínio, e as permissões de impressão seguem a mesma lógica de grupos.

Políticas de grupo (GPO)

As políticas de grupo (Group Policy Objects, GPO) permitem aplicar definições e restrições a conjuntos de utilizadores ou equipamentos de um domínio a partir de um único ponto central: por exemplo, forçar um ecrã de bloqueio automático ao fim de alguns minutos de inatividade, impedir a instalação de software não autorizado, ou mapear automaticamente uma unidade de rede assim que um aluno inicia sessão. As GPO aplicam-se a unidades organizacionais, o que reforça a importância de organizar bem os utilizadores e equipamentos em OU desde o início.

Exemplo resolvido · Preparar o domínio de uma escola

A escola vai criar um domínio escola.local, com uma OU para "Alunos" e outra para "Docentes", cada uma com um grupo próprio, e um servidor DHCP a atribuir endereços aos postos de trabalho das salas de aula.

Resolução: instala-se o AD DS e promove-se o servidor a controlador de domínio de escola.local; criam-se as OU "Alunos" e "Docentes"; dentro de cada uma, cria-se um grupo de segurança ("Alunos" e "Docentes") e os respetivos utilizadores, adicionados ao grupo correspondente; instala-se o DHCP Server, com um âmbito 192.168.10.100 a 192.168.10.200 para as salas de aula, com o gateway e o DNS interno do domínio como opções do âmbito, de modo a que qualquer posto de trabalho ligado a essas salas receba automaticamente os quatro parâmetros essenciais vistos no capítulo 7.

Exemplo resolvido · Partilhar uma pasta do departamento administrativo

O departamento administrativo precisa de uma pasta de rede onde todos os seus elementos possam ler e escrever, mas onde os alunos não tenham qualquer acesso.

Resolução: cria-se a pasta no servidor de ficheiros e o grupo de segurança "Administrativo" (se ainda não existir); atribuem-se, ao nível da partilha, permissões de leitura e escrita ao grupo "Administrativo"; atribuem-se, ao nível NTFS, as mesmas permissões ao mesmo grupo, e nega-se explicitamente o acesso ao grupo "Alunos"; qualquer funcionário adicionado ao grupo "Administrativo" passa automaticamente a ter acesso, sem ser preciso configurar permissões pasta a pasta para cada pessoa nova.

10. RGPD e gestão de utilizadores

A gestão de utilizadores não é só uma questão técnica: envolve dados pessoais, e por isso está sujeita ao Regulamento Geral de Proteção de Dados (RGPD).

Princípios do RGPD relevantes para um técnico de redes

• Minimização de dados: recolher e guardar apenas os dados pessoais estritamente necessários para o funcionamento da conta (nome, número de aluno ou funcionário, contacto), nunca mais do que isso.
• Limitação da finalidade: usar os dados apenas para o fim para que foram recolhidos (autenticação e gestão de contas), não para outros fins.
• Integridade e confidencialidade: proteger os dados contra acesso não autorizado, perda ou alteração, através de permissões corretas, cifragem quando aplicável e cópias de segurança.
• Limitação da conservação: não manter contas nem registos além do tempo necessário; desativar e, mais tarde, eliminar contas de quem já não pertence à organização.
• Responsabilização: manter registo das decisões e medidas tomadas (quem tem acesso a quê, e porquê), para poder demonstrar conformidade.

Boas práticas na gestão de contas

• Princípio do menor privilégio: cada utilizador só deve ter acesso ao que precisa para a sua função, nunca mais.
• Ciclo de vida da conta: criar a conta no momento certo, rever periodicamente as permissões, e desativar imediatamente a conta assim que a pessoa deixa a organização, transferindo ou arquivando os dados que sejam necessários manter.
• Política de palavras-passe: comprimento mínimo, complexidade adequada e, sobretudo, palavras-passe únicas por conta; a alteração forçada demasiado frequente tende a levar a palavras-passe mais fracas, e por isso as normas mais recentes privilegiam comprimento e verificação contra listas de palavras-passe conhecidas em vez de trocas obrigatórias a cada poucas semanas.
• Registo de acessos (logging): manter registos de quem acedeu a quê e quando, sobretudo em sistemas com dados sensíveis, conservados apenas pelo tempo necessário.

Violações de dados e responsabilidades

Quando ocorre uma violação de dados pessoais (por exemplo, um acesso não autorizado a uma base de dados de utilizadores), o RGPD impõe prazos e responsabilidades concretas: a organização deve, em geral, notificar a autoridade de controlo competente (em Portugal, a CNPD, Comissão Nacional de Proteção de Dados) no prazo de 72 horas após ter conhecimento da violação, sempre que essa violação constitua um risco para os direitos e liberdades das pessoas afetadas. Organizações de maior dimensão, ou que tratem dados sensíveis em maior escala, costumam ter um encarregado de proteção de dados (DPO), responsável por acompanhar a conformidade. Do ponto de vista técnico, o papel do técnico de redes é reduzir o risco de uma violação acontecer (permissões corretas, contas desativadas a tempo, registos de acesso) e, se acontecer, ajudar a reconstituir rapidamente o que foi afetado a partir desses mesmos registos.

Exemplo resolvido · Aplicar o RGPD à saída de um funcionário

Um funcionário do departamento administrativo sai da escola. A sua conta de domínio tem acesso à partilha de ficheiros do departamento e ao correio eletrónico institucional.

Resolução: no próprio dia da saída, desativa-se a conta no AD DS (Disable-ADAccount), em vez de a apagar de imediato, para preservar temporariamente os dados de que a organização ainda precise (documentos, mensagens relevantes para o serviço). Documenta-se a data e o motivo da desativação. Passado o prazo de conservação definido pela política interna da escola (alinhado com o princípio da limitação da conservação do RGPD), a conta e os dados pessoais não essenciais são eliminados. Durante todo o processo, só as pessoas com necessidade de o fazer (por exemplo, a direção e os serviços administrativos) têm acesso aos dados remanescentes.

11. Configurar os serviços da Internet: Web, FTP, correio eletrónico, DNS e SSL/TLS

Este capítulo cobre a terceira realização da UC: configurar os serviços da Internet, os que ligam a rede local ao mundo exterior ou que expõem serviços a partir dela.

Servidor Web (HTTP/HTTPS)

Um servidor Web disponibiliza páginas e aplicações através de HTTP (porta 80) e HTTPS (porta 443). Em Windows Server, a função chama-se IIS (Internet Information Services); em Linux, as opções mais comuns são o Apache e o Nginx.

Configurar um site envolve: definir a pasta raiz com o conteúdo, associar uma vinculação (binding) a um endereço IP, porta e nome de anfitrião, e, para HTTPS, associar um certificado SSL/TLS (ver mais adiante).

Servidor FTP

O FTP (File Transfer Protocol) transfere ficheiros entre um cliente e um servidor, usando a porta 21 para controlo e a porta 20 (ou uma gama de portas, em modo passivo) para os dados. Configurar um servidor FTP envolve definir a pasta partilhada, os utilizadores autorizados (por vezes com isolamento de utilizador, em que cada um só vê a sua própria pasta) e o modo de ligação, ativo ou passivo (o modo passivo é o mais compatível com firewalls e NAT, e por isso o mais usado hoje).

O FTP tradicional transmite dados e credenciais sem cifragem; sempre que possível, prefere-se FTPS (FTP sobre TLS) ou SFTP (transferência de ficheiros sobre SSH), que acrescentam cifragem à ligação.

Servidor DNS

O DNS (Domain Name System) traduz nomes (www.escola.pt) em endereços IP, e é indispensável para qualquer serviço da Internet ser encontrado pelo nome em vez de pelo endereço numérico.

• Zona de pesquisa direta: traduz nomes em endereços IP (registos A para IPv4, CNAME para nomes alternativos, MX para os servidores de correio de um domínio).
• Zona de pesquisa inversa: traduz endereços IP em nomes (registos PTR).

; Exemplos de registos numa zona DNS
www     IN  A       192.168.10.10
ftp     IN  CNAME   www.escola.local.
escola.local.  IN  MX  10  correio.escola.local.

Servidor de correio eletrónico

O servidor de correio eletrónico usa vários protocolos, cada um com um papel diferente:

• SMTP: envia mensagens entre servidores, e do cliente para o servidor de saída.
• POP3: descarrega as mensagens do servidor para o cliente, normalmente removendo-as do servidor.
• IMAP: sincroniza as mensagens entre o servidor e vários clientes, mantendo-as no servidor.

Instalar e configurar um servidor de correio eletrónico envolve: registar um registo MX no DNS do domínio, apontando para o nome do servidor de correio; configurar o servidor para aceitar mensagens destinadas ao próprio domínio; e, crucialmente, restringir o relay (o encaminhamento de mensagens para outros domínios) apenas a utilizadores autenticados, para não transformar o servidor num relay aberto usado para enviar spam, o que rapidamente levaria o domínio a ser colocado em listas negras.

SSL/TLS e certificados

SSL e o seu sucessor TLS cifram e autenticam uma ligação, garantindo que os dados não podem ser lidos nem alterados a meio do caminho, e que o servidor é de facto quem diz ser.

• Um certificado digital liga uma chave pública a uma identidade (por exemplo, o nome www.escola.pt), e é assinado por uma entidade certificadora (CA) de confiança.
• Um certificado autoassinado não é validado por nenhuma CA reconhecida, e por isso os browsers mostram um aviso; serve para testes internos, não para serviços públicos.
• Para um site público, gera-se um CSR (Certificate Signing Request) e submete-se a uma CA reconhecida (paga, ou gratuita como o Let's Encrypt), que devolve um certificado válido.
• O certificado associa-se à vinculação HTTPS do servidor Web; deve usar-se sempre uma versão atual do protocolo (TLS 1.2 ou TLS 1.3), evitando SSL e TLS antigos, já considerados inseguros.
• Os certificados têm prazo de validade e precisam de ser renovados antes de expirarem, sob pena de o site passar a mostrar um erro de segurança a todos os visitantes.

Proxy inverso e balanceamento de carga

Em redes maiores, é comum colocar um proxy inverso entre a Internet e os servidores reais: recebe todos os pedidos num único ponto, e reencaminha-os para o servidor Web (ou de correio, ou outro) correto, com base no nome do sítio pedido. Isto permite, entre outras vantagens, concentrar a gestão de certificados SSL/TLS num só ponto, e aplicar balanceamento de carga, distribuindo os pedidos por vários servidores idênticos quando um só não é suficiente para o volume de tráfego. Não é um tema obrigatório em profundidade nesta UC, mas é importante um técnico reconhecer o conceito ao encontrar uma arquitetura deste tipo.

Reforçar a configuração do correio eletrónico

Para reduzir ainda mais o risco de um domínio ser usado em ataques de falsificação de remetente (mesmo com o relay corretamente fechado, como visto atrás), é boa prática complementar o registo MX com registos de verificação de origem, como o SPF (que lista os servidores autorizados a enviar em nome do domínio) e o DKIM (que assina digitalmente as mensagens enviadas). Estes registos publicam-se também como registos DNS do tipo TXT, e ajudam os servidores recetores a distinguir correio legítimo de correio falsificado em nome do domínio da organização.

Exemplo resolvido · Publicar um site interno com HTTPS

A escola quer publicar o portal portal.escola.local internamente, com HTTPS e um certificado emitido pela CA interna da escola.

Resolução: instala-se a função de servidor Web (IIS), com a pasta do portal como raiz do site; cria-se um CSR para portal.escola.local e submete-se à CA interna, que devolve um certificado; associa-se esse certificado a uma vinculação HTTPS na porta 443; cria-se, na zona DNS interna, um registo A que aponte portal.escola.local para o endereço IP do servidor; confirma-se, num browser de um posto de trabalho do domínio, que https://portal.escola.local abre sem avisos de certificado e que o cadeado aparece fechado na barra de endereço.

Exemplo resolvido · Configurar um servidor FTP para a turma de multimédia

A turma de multimédia precisa de um servidor FTP interno onde cada aluno só veja a sua própria pasta de trabalho, acessível de qualquer posto de trabalho da escola.

Resolução: instala-se a função de servidor FTP; cria-se uma pasta base com uma subpasta por aluno; ativa-se o isolamento de utilizador, de modo a que, depois de autenticado, cada aluno seja automaticamente colocado na sua própria subpasta e não consiga navegar para as dos colegas; configura-se o servidor em modo passivo, com uma gama de portas definida e aberta na firewall, para evitar problemas de ligação a partir de postos de trabalho atrás de outros equipamentos de filtragem; testa-se a autenticação e o isolamento com pelo menos duas contas de aluno diferentes antes de disponibilizar o serviço à turma.

12. Normas, regulamentos e segurança na instalação de redes

A configuração de protocolos e serviços não existe isolada de regras técnicas e legais.

Normas de cablagem estruturada

A cablagem estruturada segue normas internacionais, como a ANSI/TIA-568 (antes TIA/EIA-568), que definem categorias de cabo (cat 5e, 6, 6a), distâncias máximas, e boas práticas de instalação: percursos separados de cablagem elétrica de potência, raios de curvatura mínimos, e etiquetagem consistente de cada tomada e cada porta do patch panel, ligada ao mapa físico da rede.

Segurança no trabalho

• Trabalhos em altura (calhas técnicas, tetos falsos) exigem equipamento e formação adequados.
• Nunca trabalhar em instalações elétricas ou junto delas sem confirmar que estão desligadas.
• Usar equipamento de proteção individual (EPI) adequado à tarefa (calçado, luvas, quando aplicável).
• Sinalizar zonas de obra e evitar obstruir vias de circulação e saídas de emergência durante a instalação.

Enquadramento legal e regulamentar

• O RGPD, já detalhado no capítulo 10, aplica-se a qualquer serviço que trate dados pessoais, o que inclui praticamente todos os serviços de rede e da Internet configurados nesta UC.
• As normas de segurança e saúde no trabalho aplicam-se a qualquer intervenção física na infraestrutura de rede.
• Regulamentos técnicos setoriais (por exemplo, sobre instalações elétricas) condicionam a forma como a cablagem e os equipamentos ativos podem ser instalados e alimentados.
• Contratos com fornecedores de acesso à Internet e com entidades certificadoras de SSL/TLS têm também obrigações e prazos próprios (por exemplo, a renovação atempada de certificados, vista no capítulo 11), que um técnico deve conhecer e acompanhar, não apenas os aspetos puramente técnicos da configuração.

Documentação e qualidade

• Manter os mapas físicos e lógicos (capítulo 1) atualizados após qualquer alteração.
• Certificar a cablagem com um testador de cabos, confirmando que cada ligação cumpre a categoria prevista e não tem defeitos (curto-circuito, pares trocados, comprimento excessivo).
• Registar as configurações aplicadas (endereços, âmbitos DHCP, zonas DNS, certificados) num documento de referência, para que qualquer técnico consiga retomar o trabalho sem ter de o redescobrir do zero.

Cumprir estas normas e regulamentos, ao mesmo tempo que se configuram protocolos e serviços, é o que separa uma instalação amadora de uma instalação profissional, sustentável e segura. Um técnico que domine os capítulos anteriores, mas ignore este último, corre o risco de entregar uma rede tecnicamente funcional que não resiste a uma auditoria, a uma fiscalização ou a um simples pedido de esclarecimento de um cliente sobre como os seus dados são tratados; um técnico que domine este capítulo sozinho, sem os anteriores, não chega sequer a ter uma rede a funcionar. É a combinação dos dois que define o perfil profissional que esta UC pretende formar.

Checklist final de instalação

Antes de dar uma instalação de rede por concluída, um técnico confirma sistematicamente:

• Todos os cabos certificados e etiquetados, com o mapa físico atualizado.
• Todos os equipamentos ativos com endereço IP e parâmetros de protocolo corretos (capítulo 7), testados com ping, tracert e nslookup.
• Encaminhamento a funcionar entre todas as sub-redes previstas (capítulo 8).
• Serviços de rede (domínio, DHCP, utilizadores e grupos) operacionais e testados com pelo menos uma conta de cada perfil (capítulo 9).
• Serviços da Internet publicados com certificados válidos e sem avisos de segurança (capítulo 11).
• Palavras-passe e permissões por defeito alteradas em todos os equipamentos ativos, nunca deixadas com as credenciais de fábrica.
• Documentação entregue: mapas, configurações e credenciais de administração guardadas em local seguro e acessível à equipa técnica responsável.

Segurança nas redes sem fios

A instalação de uma rede sem fios traz normas de segurança próprias: usar sempre WPA2 ou, preferencialmente, WPA3 como método de cifragem, nunca o WEP nem uma rede aberta sem palavra-passe para tráfego que não seja explicitamente público; escolher uma palavra-passe longa para a rede sem fios, distinta da palavra-passe de administração do próprio access point; e, em organizações maiores, dedicar aos visitantes uma VLAN própria (capítulo 2), com a sua sub-rede e o seu SSID, o ponto de acesso ligado a uma porta de acesso dessa VLAN, e uma regra de firewall que bloqueie explicitamente o tráfego dessa VLAN para a rede interna, permitindo só a saída para a Internet. Atribuir aos visitantes apenas um bloco de endereços diferente, num switch plano sem VLAN, não isola nada de facto: qualquer visitante pode configurar manualmente um endereço da gama interna e aceder aos recursos da rede interna.

Documentar incidentes

Sempre que uma intervenção corrige um incidente de rede (uma quebra de serviço, uma falha de segurança, uma configuração incorreta descoberta tarde), é boa prática registar o que aconteceu, quando, e como foi resolvido, num documento acessível à equipa técnica. Este registo, tal como os mapas físicos e lógicos, reduz o tempo de resolução da próxima ocorrência semelhante e sustenta a responsabilização exigida pelo RGPD sempre que o incidente envolva dados pessoais.

Erros comuns

• Confundir endereço de rede ou broadcast com um endereço de anfitrião, atribuindo, por exemplo, 192.168.10.0 ou 192.168.10.255 a um posto de trabalho.
• Esquecer o gateway predefinido, deixando o equipamento a comunicar na rede local mas sem acesso à Internet.
• Configurar servidores DNS errados ou inacessíveis, o que impede a resolução de nomes mesmo com o resto da configuração correta.
• Atribuir manualmente um endereço que já está dentro do âmbito do DHCP, criando um conflito de endereços, em vez de usar uma reserva DHCP por endereço MAC (capítulo 9) para os casos que precisam de um endereço previsível.
• Separar visitantes só por sub-rede, sem VLAN, o que não isola nada num switch plano: qualquer visitante pode reconfigurar manualmente o seu endereço IP e entrar na rede interna.
• Publicar um serviço sem DNAT nem regra de firewall correspondente, deixando um servidor tecnicamente configurado mas inacessível a partir da Internet.
• Esquecer de ativar o encaminhamento IPv4 num router ou servidor com várias interfaces, mesmo depois de definidas as rotas.
• Atribuir permissões diretamente a utilizadores individuais, em vez de a grupos, tornando a gestão insustentável à medida que a rede cresce.
• Não desativar contas de utilizadores que já saíram da organização, um incumprimento direto dos princípios do RGPD.
• Deixar um servidor de correio eletrónico em relay aberto, permitindo que seja usado por terceiros para enviar spam.
• Publicar um serviço em HTTPS com um certificado expirado ou autoassinado, gerando avisos de segurança nos utilizadores.
• Usar FTP tradicional para transferir credenciais ou dados sensíveis, sem cifragem, quando FTPS ou SFTP estão disponíveis.
• Esquecer o registo MX ao configurar um servidor de correio eletrónico, o que impede que outros servidores encontrem o domínio.
• Não testar a configuração com ping, tracert e nslookup antes de dar o trabalho por concluído.
• Não atualizar o mapa físico ou lógico depois de uma alteração, deixando a documentação desatualizada e inútil na próxima intervenção.
• Ignorar as normas de cablagem estruturada, misturando categorias de cabo ou excedendo distâncias máximas, o que degrada o débito real da rede.

Glossário

• PAN, LAN, MAN, WAN: redes classificadas pela extensão geográfica, de pessoal a mundial.
• Topologia: a forma como os equipamentos de uma rede estão fisicamente ligados entre si.
• Mapa físico: documento com a localização real de cabos, tomadas e equipamentos.
• Mapa lógico: documento com a organização de endereços IP e sub-redes.
• Equipamento passivo: cabo, conector ou tomada, que não processa o sinal.
• Equipamento ativo: switch, router ou servidor, que processa o sinal e precisa de alimentação.
• VLAN: rede local virtual, criada num switch, que separa portas em grupos logicamente isolados uns dos outros.
• Porta de acesso (access port): porta de switch que pertence a uma única VLAN, sem etiquetagem.
• Porta trunk: porta de switch que transporta o tráfego de várias VLAN pelo mesmo cabo, com etiquetagem 802.1Q.
• 802.1Q: norma que etiqueta uma trama Ethernet com o VLAN ID, numa porta trunk.
• Router-on-a-stick: router ligado a um switch por uma porta trunk, com uma subinterface por VLAN, a encaminhar entre elas.
• Switch: equipamento que liga vários dispositivos numa LAN, encaminhando por endereço MAC.
• Router: equipamento que liga redes diferentes, encaminhando por endereço IP.
• Modelo OSI: modelo de referência com sete camadas para a comunicação em rede.
• Modelo TCP/IP: modelo de referência com quatro camadas, usado na prática na Internet.
• Encapsulamento: processo de acrescentar cabeçalhos a um dado à medida que desce as camadas do modelo.
• Endereço IPv4: identificador de 32 bits de um equipamento numa rede TCP/IP.
• Máscara de sub-rede: valor que separa a parte de rede e a parte de anfitrião de um endereço IP.
• CIDR: notação que representa a máscara de sub-rede como um número de bits depois de uma barra.
• Sub-rede: divisão de uma rede maior em blocos de endereços mais pequenos.
• NAT: tradução de endereços privados de uma LAN para um endereço público, na saída para a Internet.
• DNAT (port forwarding): regra que redireciona o tráfego recebido numa porta pública para um endereço e porta internos.
• DMZ: sub-rede própria para servidores expostos à Internet, isolada tanto da Internet como da rede interna.
• Reserva DHCP (por MAC): endereço IP fixo, dentro do âmbito DHCP, associado ao endereço MAC de um equipamento.
• TCP: protocolo de transporte fiável e orientado à ligação.
• UDP: protocolo de transporte rápido, sem confirmação de entrega.
• Porta: número que identifica um serviço específico dentro de um equipamento.
• DHCP: serviço que atribui automaticamente os parâmetros de rede a um equipamento.
• Gateway predefinido: endereço do router para onde vai o tráfego destinado a fora da rede local.
• Encaminhamento (routing): decisão sobre por onde enviar cada pacote entre redes diferentes.
• Tabela de encaminhamento: lista de rotas conhecidas por um router.
• Rota predefinida: entrada da tabela de encaminhamento usada quando nenhuma outra corresponde ao destino.
• Grupo de trabalho (workgroup): modelo descentralizado de gestão de utilizadores, sem servidor dedicado.
• Domínio: modelo centralizado de gestão de utilizadores, equipamentos e políticas.
• AD DS: serviço de domínio do Windows Server, a base do Active Directory.
• Unidade organizacional (OU): agrupamento de contas e equipamentos dentro de um domínio.
• RGPD: Regulamento Geral de Proteção de Dados, que regula o tratamento de dados pessoais.
• Menor privilégio: princípio de atribuir a cada conta apenas o acesso estritamente necessário.
• Servidor Web: serviço que disponibiliza páginas e aplicações por HTTP ou HTTPS.
• FTP: protocolo de transferência de ficheiros entre cliente e servidor.
• DNS: sistema que traduz nomes de domínio em endereços IP.
• Registo MX: registo DNS que indica o servidor de correio eletrónico de um domínio.
• SMTP, POP3, IMAP: protocolos de envio e receção de correio eletrónico.
• Relay aberto: servidor de correio mal configurado, usado por terceiros para enviar spam.
• SSL/TLS: protocolos que cifram e autenticam uma ligação de rede.
• Certificado digital: documento eletrónico que liga uma chave pública a uma identidade, assinado por uma CA.
• Cablagem estruturada: sistema organizado de cabos e tomadas, seguindo normas técnicas como a TIA/EIA-568.
• SSID: o nome pelo qual uma rede sem fios se identifica aos dispositivos.
• WPA2/WPA3: protocolos de cifragem usados para proteger o acesso a uma rede sem fios.
• PoE: alimentação elétrica de um equipamento através do próprio cabo de rede.
• IPv6: versão do protocolo IP com endereços de 128 bits, sucessora do IPv4.
• VLSM: técnica de atribuir máscaras de sub-rede de tamanhos diferentes, ajustadas à necessidade de cada sub-rede.
• ARP: protocolo que traduz um endereço IP no endereço MAC correspondente, dentro da mesma rede local.
• SSH: protocolo de acesso remoto cifrado à linha de comandos de um equipamento.
• GPO (política de grupo): conjunto de definições aplicadas centralmente a utilizadores ou equipamentos de um domínio.
• Perfil móvel: perfil de utilizador guardado num servidor, disponível em qualquer posto de trabalho do domínio.
• Proxy inverso: equipamento ou serviço que recebe pedidos da Internet e os reencaminha para o servidor correto.
• Balanceamento de carga: distribuição de pedidos por vários servidores, para suportar mais tráfego.
• SPF, DKIM: registos DNS que ajudam a verificar se uma mensagem de correio eletrónico é legítima.
• DPO (encarregado de proteção de dados): responsável por acompanhar a conformidade de uma organização com o RGPD.

Síntese

Configurar protocolos e serviços de rede segue sempre a mesma lógica: primeiro conhecer a rede, o seu tipo, topologia e equipamentos, com mapas físicos e lógicos atualizados; depois dominar os modelos OSI e TCP/IP, que explicam por camadas como os dados viajam; depois atribuir corretamente o endereçamento IP, com máscara de sub-rede e, quando necessário, divisão em sub-redes; depois configurar os parâmetros dos protocolos (endereço IP, máscara, gateway e DNS) em cada equipamento, de forma estática ou por DHCP, e confirmar sempre com ping, tracert e nslookup; depois configurar o encaminhamento entre sub-redes, estático ou dinâmico, com o encaminhamento IPv4 ativado onde for preciso; depois configurar os serviços de rede, domínio, unidades organizacionais, grupos e utilizadores, com as boas práticas de menor privilégio e o RGPD sempre presente na gestão de contas; e por fim configurar os serviços da Internet, Web, FTP, DNS, correio eletrónico e certificados SSL/TLS, sempre com atenção à cifragem e à validade dos certificados. Em todas as fases, contam o cumprimento das orientações técnicas e das normas e regulamentos na instalação de redes. Domina este fluxo, do cabo ao certificado, e serás capaz de configurar protocolos e serviços de rede em qualquer organização.

Exercícios resolvidos

1. Um posto de trabalho tem o endereço 192.168.5.10/25. Qual é o endereço de rede e qual é o endereço de difusão (broadcast) desta sub-rede?

Resolução: uma máscara /25 (255.255.255.128) divide o último octeto em dois blocos de 128 endereços, de 0 a 127 e de 128 a 255. O endereço 192.168.5.10 está no primeiro bloco, por isso o endereço de rede é 192.168.5.0 e o endereço de difusão é 192.168.5.127.

2. Um equipamento consegue enviar ping para outros equipamentos da sua rede local, mas não consegue chegar a nenhum destino fora dela. Que parâmetro está mais provavelmente mal configurado?

Resolução: o gateway predefinido. O equipamento comunica bem dentro da própria sub-rede (camada de ligação de dados a funcionar), mas não sabe para onde enviar o tráfego destinado a outras redes, o que aponta diretamente para um gateway em falta ou incorreto.

3. Um utilizador acede a sítios Web por endereço IP mas não consegue aceder pelo nome (por exemplo, www.exemplo.pt). Qual é a causa mais provável?

Resolução: os servidores DNS configurados estão errados, inacessíveis, ou em falta. O acesso por endereço IP funciona porque não depende de resolução de nomes; o acesso por nome depende do DNS conseguir traduzir esse nome num endereço IP.

4. Uma escola quer dividir a rede 10.0.0.0/24 em duas sub-redes iguais. Que máscara deve usar, e quantos anfitriões utilizáveis tem cada sub-rede?

Resolução: dividir um /24 em duas partes iguais pede emprestado 1 bit ao anfitrião, passando para /25. Cada sub-rede fica com 128 endereços, dos quais 126 são utilizáveis (descontando o endereço de rede e o de difusão de cada bloco).

5. Um servidor de correio eletrónico recém-instalado está a ser usado por terceiros para enviar spam para fora do domínio. Qual é a causa mais provável e como se resolve?

Resolução: o servidor está configurado como relay aberto, a aceitar e reencaminhar mensagens de qualquer origem para qualquer destino. Resolve-se restringindo o relay apenas a utilizadores autenticados do próprio domínio, e confirmando que o servidor só aceita, sem autenticação, mensagens destinadas aos domínios que efetivamente aloja.

6. Um site interno em HTTPS mostra um aviso de segurança no browser, apesar de o certificado ter sido emitido corretamente há um ano. Que verificação deve ser feita primeiro?

Resolução: verificar a validade do certificado: certificados têm prazo de expiração e, um ano depois da emissão, é frequente estarem próximos do fim ou já expirados, consoante o prazo definido pela CA. Se o certificado tiver expirado, é preciso renová-lo e associar o novo certificado à vinculação HTTPS do servidor Web.

7. Um técnico adiciona uma rota estática num router, mas o tráfego entre as duas sub-redes continua a não passar. A rota está correta e confirmada com route print. O que mais pode faltar?

Resolução: falta provavelmente ativar o encaminhamento IPv4 no próprio router ou servidor (por exemplo, através do RRAS em Windows Server, ou de net.ipv4.ip_forward=1 em Linux). Uma rota bem definida na tabela de encaminhamento não tem efeito se o equipamento não estiver, à partida, autorizado a encaminhar pacotes entre as suas interfaces.

8. Um funcionário sai da empresa numa sexta-feira à tarde, mas a conta só é desativada na segunda-feira seguinte, por esquecimento. Que princípio do RGPD foi comprometido, e qual o risco concreto?

Resolução: foi comprometido o princípio da limitação da conservação, e, na prática, também o do menor privilégio: durante o fim de semana, uma conta com acesso válido a sistemas e dados pessoais ficou ativa sem que o seu titular devesse continuar a usá-la. O risco concreto é o de acesso não autorizado a dados pessoais durante esse período, sobretudo se a conta ficou também acessível a partir de fora das instalações. A prática correta é desativar a conta no próprio dia da saída, idealmente por um procedimento associado ao processo de saída de pessoal, não dependente de memória individual.