30 câmeras num galpão: por que a /27 não serve

A armadilha da /27

A conta "30 câmeras, 30 vagas" parece perfeita. A /27 tem 32 endereços; tirando o endereço da rede e o broadcast, sobram 30. Só que uma rede de câmeras nunca tem só câmeras. Alguém precisa receber as imagens (o gravador), alguém liga os cabos (os switches, que nos modelos gerenciáveis têm IP próprio) e alguém faz a ponte com o resto da empresa (o roteador).

O problema aparece no dia da instalação: a câmera número 27 não consegue endereço, ou pior, alguém dá a ela um IP que já era do gravador. Dois aparelhos com o mesmo IP brigam pela rede, e a imagem das câmeras fica caindo sem motivo aparente.

Passo 1: listar tudo o que pega IP

No galpão do exemplo, a lista completa ficou assim:

Se o seu gravador tiver duas placas de rede, se houver um computador de monitoramento na mesma rede ou um access point para a portaria, eles também entram na conta. Uma boa forma de conferir é olhar o projeto elétrico: cada ponto de rede com algo ligado é, em geral, um IP.

Passo 2: a conta da máscara

Com 34 aparelhos, a rede precisa de 34 + 2 = 36 endereços. Os 2 a mais são o endereço da rede (todos os bits de aparelho em zero) e o broadcast (todos em um), que serve para falar com todos de uma vez, como descreve a RFC 919.

Agora é procurar a menor potência de 2 que caiba:

A /26 tem 64 endereços e 62 vagas. Sobram 28 (45%) para crescer. A divisão de uma rede em pedaços com a máscara vem da RFC 950; a escrita com barra e o uso de qualquer tamanho de prefixo, do CIDR (RFC 4632).

Passo 3: conferir a folga

Câmera é o tipo de aparelho que só aumenta: um portão novo, uma doca a mais, um ponto cego descoberto depois de um incidente. A regra de bolso que usamos nos guias é somar 30% antes de escolher a máscara:

A /26 aguenta. Ela só deixa de servir quando a rede passar de 62 aparelhos, o que, mantendo os 4 equipamentos de apoio, quer dizer 58 câmeras.

Passo 4: escolher o bloco e montar a faixa

Em redes internas usamos endereços privados, da faixa 192.168.0.0/16 da RFC 1918. No exemplo, as câmeras ficam em 192.168.50.0/26:

O resto da /24, a partir de 192.168.50.64, fica livre para outras redes da empresa, como a do escritório ou a de visitantes.

Passo 5: um mapa de IPs fixos

Câmeras e gravador funcionam melhor com IP fixo: o gravador procura cada câmera por um endereço, e se o endereço mudar, a câmera some da tela. Por isso, nessa rede, quase tudo tem endereço definido à mão. Uma organização simples, que deixa o número da câmera fácil de achar:

Com esse mapa, a câmera 1 fica no final .11, a câmera 2 no .12, e assim por diante: a câmera k fica em .10 + k. Quando alguém disser "a câmera 17 caiu", você já sabe que o endereço dela é 192.168.50.27.

Se o roteador dessa rede tiver DHCP ligado, deixe a faixa dele fora de todos os endereços da tabela, ou simplesmente desligue o DHCP nessa sub-rede. Faixa de DHCP cruzando com IP fixo é uma causa frequente de dois aparelhos com o mesmo endereço.

Por que separar as câmeras do resto da rede

Colocar as câmeras numa sub-rede própria tem três vantagens práticas:

1. Organização. Se o IP está entre 192.168.50.1 e 192.168.50.62, é equipamento de vigilância. Fica fácil achar um problema.
2. Controle de acesso. O tráfego entre a rede das câmeras e a do escritório passa pelo roteador ou firewall, e ali você decide quem pode ver o gravador.
3. Menos mistura. As mensagens de broadcast de uma sub-rede não chegam às outras, então os computadores do escritório não recebem o "barulho" da rede das câmeras, e vice-versa.

Para bloquear ou liberar a rede inteira das câmeras numa lista de acesso (ACL), o roteador usa a máscara wildcard, que é a máscara ao contrário. Para a /26, ela é 0.0.0.63, e a linha fica 192.168.50.0 0.0.0.63. A documentação da Cisco explica a regra: bit 0 confere, bit 1 ignora (Cisco). Veja o passo a passo no guia Como ler uma máscara wildcard em uma ACL.

E com outro número de câmeras?

A mesma conta, somando os mesmos 4 equipamentos de apoio (gravador, dois switches e roteador):

Repare no salto: entre 30 e 60 câmeras a resposta muda de /26 para /25, porque cada bit a mais dobra o tamanho da rede. Projetos grandes, com várias dezenas de câmeras, costumam ter mais de um gravador e mais switches; some cada um deles na lista.

Erros comuns

1. Contar só as câmeras. É o erro deste caso: a /27 cabe 30, e a rede tem 34.
2. Usar o IP de fábrica de todas as câmeras. Muitas câmeras saem da caixa com o mesmo endereço. Ligue e configure uma de cada vez, senão elas entram em conflito.
3. Misturar a faixa do DHCP com os IPs fixos. Separe as faixas no papel antes de configurar.
4. Esquecer a máscara nos aparelhos. Com IP fixo, a máscara é digitada em cada câmera. Se uma ficar com /24 e o gravador com /26, os dois discordam sobre quem está na rede e a imagem cai de vez em quando.
5. Usar o endereço do broadcast. O 192.168.50.63 não vai em nenhum aparelho.

Roteiro para o dia da instalação

Com a máscara e o mapa de IPs no papel, a instalação fica mais tranquila. A ordem que evita retrabalho:

1. Configure o roteador primeiro. Crie a sub-rede 192.168.50.0/26 com o gateway em 192.168.50.1 e decida se o DHCP fica ligado ou desligado nela.
2. Ligue o gravador e dê a ele o IP fixo 192.168.50.2, com máscara 255.255.255.192 e gateway 192.168.50.1.
3. Ligue uma câmera por vez. Troque o IP de fábrica pelo endereço do mapa, confira a máscara e só então ligue a próxima.
4. Cadastre cada câmera no gravador pelo endereço novo, na ordem da tabela. Assim o canal 1 do gravador é a câmera 1, e o IP termina em .11.
5. Guarde o mapa junto do gravador. Uma planilha simples com câmera, local, IP e MAC poupa horas na próxima manutenção.

Se o projeto crescer além das 58 câmeras que cabem, não é preciso refazer tudo: dá para criar uma segunda sub-rede de câmeras no espaço livre da /24, a partir de 192.168.50.64.

Perguntas frequentes

Posso deixar as câmeras na mesma rede dos computadores?

Pode, desde que a máscara tenha vaga para todos. Para um escritório com 34 aparelhos de câmera e mais 40 de computadores e celulares (exemplo), seriam 74 aparelhos, o que pede a /25. Funciona, mas você perde as vantagens de separar descritas acima.

Qual a máscara para 30 aparelhos, sem contar nada mais?

A /27, com 30 vagas. Veja a resposta pronta em máscara para 30 computadores. Só use se forem mesmo 30 e a rede não for crescer.

A /26 tem 64 ou 62 vagas?

Tem 64 endereços e 62 vagas. Os 2 que faltam são o endereço da rede e o broadcast. Veja a máscara /26 explicada.

O gateway precisa ser o primeiro IP?

Não é obrigatório, mas é o costume: o roteador fica no .1 (aqui, 192.168.50.1). O importante é que todos os aparelhos usem o mesmo gateway e que ele esteja dentro da faixa.

Preciso de um roteador separado para as câmeras?

Não necessariamente. Muitos roteadores e firewalls de empresa aceitam várias sub-redes ao mesmo tempo, cada uma numa porta ou numa VLAN. Confira o manual do seu equipamento.

Teste com o número de aparelhos da sua rede de câmeras na calculadora Qual máscara usar, que já vem preenchida com 34 logo abaixo.