Como dividir a rede de uma pequena empresa em sub-redes

Por que dividir a rede em sub-redes

Numa rede única, todo aparelho enxerga todo aparelho. O celular de um visitante fica na mesma "rua" que o computador do financeiro e o gravador das câmeras. Dividir a rede em sub-redes cria ruas separadas. Para um aparelho de uma sub-rede falar com outra, o tráfego passa pelo roteador ou firewall, e é ali que você decide o que pode e o que não pode passar.

A divisão também deixa a rede mais organizada. Se o IP está entre 192.168.10.161 e 192.168.10.174, você já sabe que é câmera. Problemas ficam mais fáceis de achar, e as mensagens de broadcast de um setor não chegam aos outros.

A ideia de dividir uma rede com a máscara vem da RFC 950, de 1985. A escrita com barra, como /26, e a liberdade de usar prefixos de qualquer tamanho vêm do CIDR, descrito hoje na RFC 4632.

Passo 1: contar os aparelhos de cada setor

A conta só fica certa se a contagem estiver certa. Em cada setor, conte tudo o que pega IP: computadores, notebooks, celulares de quem trabalha ali, impressoras, telefones IP, access points e o próprio gateway (o IP do roteador naquela sub-rede também ocupa uma vaga).

No nosso caso, a lista ficou assim:

Os 2 a mais de cada linha são o endereço da rede e o broadcast. Eles existem em toda sub-rede e não podem ir em nenhum aparelho. A exceção é a /31, que veremos no passo 4.

Passo 2: achar a máscara de cada setor

Para cada setor, procure a menor potência de 2 que seja igual ou maior que os endereços necessários. É exatamente o que a calculadora Qual máscara usar faz:

O administrativo, com 50 aparelhos, precisa de 52 endereços. A potência de 2 seguinte é 64, que dá a /26 com 62 vagas. Já as câmeras precisam de 14 endereços e a /28 tem exatamente 16: cabem 14 e sobram 2. Ficou justo, e vamos voltar a isso no passo 5.

Passo 3: encaixar os blocos, do maior para o menor

Agora é preciso colocar os blocos dentro de 192.168.10.0/24. A regra que evita quase todos os erros é simples: comece pelo maior bloco e vá descendo. Cada bloco começa logo depois do anterior.

Isso funciona porque toda sub-rede precisa começar num endereço múltiplo do seu tamanho. Uma /26 tem 64 endereços, então só pode começar em .0, .64, .128 ou .192. Se você colocar os blocos grandes primeiro, os pequenos sempre caem em posições válidas.

Os blocos usam 178 endereços, de 192.168.10.0 até o fim da ligação roteador–firewall. Sobram 78 endereços livres a partir de 192.168.10.178, que ficam guardados para um setor novo.

Repare que a primeira sub-rede começa em 192.168.10.0, a chamada "sub-rede zero". Uma regra antiga mandava pular essa sub-rede. A Cisco explica que, desde o IOS 12.0, os roteadores dela aceitam a sub-rede zero por padrão (Cisco). Equipamentos atuais usam todas as sub-redes.

O erro clássico: bloco fora do lugar

E se alguém, por pressa, colocar o administrativo em 192.168.10.32/26? A calculadora corrige na hora: com máscara /26, o IP 192.168.10.32 pertence à rede 192.168.10.0/26, que vai de 192.168.10.0 a 192.168.10.63. Ou seja, o bloco "começaria" no meio de outro. Por isso vale a regra do passo 3. Teste qualquer sub-rede na calculadora de máscara de rede: se o "endereço da rede" que ela mostrar for diferente do que você digitou, o bloco está fora do lugar.

Passo 4: o link entre roteador e firewall

A ligação entre dois equipamentos só tem duas pontas. Com a /30 tradicional, ela gastaria 4 endereços para usar 2. A RFC 3021 permite usar a /31 em ligações ponto a ponto: são só 2 endereços, sem rede e sem broadcast, e os dois vão nos equipamentos.

No nosso plano, o link ficou com 192.168.10.176/31: um lado usa 192.168.10.176 e o outro 192.168.10.177. Se algum dos dois equipamentos não aceitar /31, use uma /30 (2 vagas) e encaixe o bloco logo depois das câmeras do mesmo jeito.

Passo 5: e a folga para crescer?

O plano acima cabe, mas está apertado. As câmeras ficaram com 2 vagas sobrando. Se a empresa comprar mais duas câmeras, a sub-rede inteira precisa mudar, e trocar a máscara depois dá trabalho: cada IP fixo tem de ser refeito.

Uma regra de bolso comum é contar com uns 30% a mais em cada setor. O link entre roteador e firewall fica de fora, porque continua tendo só duas pontas. Refazendo a conta com essa folga:

Somando os blocos com folga, o plano não cabe em 192.168.10.0/24. Só o administrativo passaria a usar metade da /24. A saída é usar uma rede maior: 192.168.10.0/23 tem 512 endereços, de 192.168.10.0 a 192.168.11.255. Com a mesma regra do maior para o menor:

Ainda sobram 222 endereços na /23, a partir de 192.168.11.34. Como 192.168.10.0/23 vem da faixa privada 192.168.0.0/16 da RFC 1918, você pode usá-la dentro da empresa sem pedir nada a ninguém.

Passo 6: colocar no roteador

Com o plano no papel, a configuração segue sempre a mesma ordem, em qualquer marca de equipamento:

1. Crie uma rede (ou VLAN) para cada setor no roteador ou firewall.
2. Dê ao roteador o primeiro IP livre de cada sub-rede. Ele vira o gateway daquele setor.
3. Ajuste o DHCP de cada setor para distribuir IPs só dentro da faixa daquela sub-rede, deixando alguns endereços de fora para impressoras e câmeras com IP fixo.
4. Crie as regras: visitantes só saem para a internet; câmeras só falam com o gravador.
5. Guarde a tabela do passo 3 num lugar que todo mundo ache.

Um cuidado na hora de configurar: a máscara digitada em cada aparelho com IP fixo tem de ser a mesma da sub-rede dele. Uma câmera com 255.255.255.0 dentro da sub-rede /28 acha que está numa rede bem maior e tenta falar direto com aparelhos que, para o roteador, estão em outra sub-rede.

Para testar cada sub-rede antes de configurar, use a calculadora logo abaixo. Ela já vem com a sub-rede do administrativo preenchida.

Perguntas frequentes

Posso usar 192.168.1.0 em vez de 192.168.10.0?

Pode. Qualquer rede dentro das faixas privadas da RFC 1918 serve. Só evite a mesma rede que o provedor ou o roteador da operadora já usa, para não haver conflito na hora de sair para a internet.

Preciso de um switch gerenciável para separar os setores?

Para separar por VLAN no mesmo cabeamento, sim, o switch precisa entender VLAN. Se cada setor tiver o seu próprio switch ligado numa porta diferente do roteador, a separação é física e um switch simples resolve.

O que acontece se eu errar a máscara num computador?

Ele vai calcular a própria rede de um jeito diferente do roteador. Os sintomas mais comuns são: falar com alguns aparelhos e com outros não, ou não chegar no gateway. Confira IP e máscara na calculadora de máscara de rede.

Não seria mais fácil dar uma /24 para cada setor?

Seria mais simples de lembrar, e a faixa privada 192.168.0.0/16 tem 256 redes /24. O custo é o desperdício: as câmeras usariam 12 de 254 vagas. Em redes pequenas isso não atrapalha. Se a empresa tiver outras filiais ligadas por VPN, porém, blocos menores e bem planejados evitam que as redes de um lugar colidam com as de outro.

Quantas sub-redes /26 cabem numa /24?

Quatro. Cada /26 tem 64 endereços, e 256 ÷ 64 = 4. Veja a lista completa em máscara /26.

Faça a conta com os aparelhos da sua empresa na calculadora Qual máscara usar e depois confira cada bloco na calculadora de máscara de rede.