Construir uma rede empresarial segmentada no Cisco Packet Tracer

Objetivo e âmbito

Construir uma pequena rede empresarial no Cisco Packet Tracer, sem hardware físico. O projeto começa com VLANs e chega a uma rede GUEST que recebe DHCP, resolve um nome externo do laboratório e acede por PAT a um serviço HTTP específico, mantendo as redes internas USERS e SERVERS bloqueadas.

É uma simulação, não um desenho completo de firewall em produção nem um teste de desempenho real. Os endereços são fictícios. A WAN e o serviço externo usam endereços reservados para documentação; não proporcionam Internet real. A configuração foi construída em oito exercícios. As observações abaixo foram reportadas nesses exercícios; não há ficheiro .pkt nem capturas anexadas.

Topologia

PC-USER       192.168.10.21 (DHCP)  VLAN 10  Fa0/1
PC-SERVER     192.168.20.10 (fixo)  VLAN 20  Fa0/2
SERVER-INT    192.168.20.20 (fixo)  VLAN 20  Fa0/4  DNS + HTTP
PC-GUEST      192.168.30.21 (DHCP)  VLAN 30  Fa0/3
                         |
                    SW1 (2960)
                    Gi0/1 trunk
                         |
                   R1 Gi0/0 (2911)
                   subinterfaces 802.1Q
                   R1 Gi0/1: 203.0.113.2/30
                         |
                   ISP Gi0/0: 203.0.113.1/30
                   ISP Gi0/1: 198.51.100.1/24
                         |
                   SERVER-EXT: 198.51.100.10/24
                   DNS + HTTP: portal.test

Pré-requisitos

Instala o Cisco Packet Tracer e adiciona dois routers 2911, um switch 2960, três PCs e dois Server-PT. Liga as portas conforme a topologia. O servidor da VLAN 20 usa 192.168.20.20/24 e gateway 192.168.20.1; o externo usa 198.51.100.10/24 e gateway 198.51.100.1. Define os endereços em Desktop > IP Configuration. Guarda uma cópia antes de cada alteração importante.

1. VLANs e trunk no SW1

enable
configure terminal
vlan 10
 name USERS
vlan 20
 name SERVERS
vlan 30
 name GUEST
interface fastEthernet0/1
 switchport mode access
 switchport access vlan 10
interface fastEthernet0/2
 switchport mode access
 switchport access vlan 20
interface fastEthernet0/3
 switchport mode access
 switchport access vlan 30
interface fastEthernet0/4
 switchport mode access
 switchport access vlan 20
interface gigabitEthernet0/1
 switchport mode trunk
end
write memory

show vlan brief deve mostrar Fa0/1 na VLAN 10, Fa0/2 e Fa0/4 na VLAN 20 e Fa0/3 na VLAN 30. show interfaces trunk deve mostrar Gi0/1 em trunk, com as VLANs 10, 20 e 30 ativas e em forwarding. Executa show em Switch#; se estiveres no modo de configuração, usa end ou do show ....

2. Router-on-a-stick no R1

enable
configure terminal
interface gigabitEthernet0/0
 no shutdown
interface gigabitEthernet0/0.10
 encapsulation dot1Q 10
 ip address 192.168.10.1 255.255.255.0
interface gigabitEthernet0/0.20
 encapsulation dot1Q 20
 ip address 192.168.20.1 255.255.255.0
interface gigabitEthernet0/0.30
 encapsulation dot1Q 30
 ip address 192.168.30.1 255.255.255.0
end
write memory

Cada subinterface é o gateway de uma VLAN. Valida com show ip interface brief. Nesta fase inicial, o routing entre VLANs está aberto; a política GUEST é aplicada mais à frente.

3. DHCP para USERS e GUEST

Mantém os servidores com IP fixo. No R1:

configure terminal
ip dhcp excluded-address 192.168.10.1 192.168.10.20
ip dhcp excluded-address 192.168.30.1 192.168.30.20
ip dhcp pool USERS
 network 192.168.10.0 255.255.255.0
 default-router 192.168.10.1
 dns-server 192.168.20.20
ip dhcp pool GUEST
 network 192.168.30.0 255.255.255.0
 default-router 192.168.30.1
 dns-server 198.51.100.10
end
write memory

Seleciona Desktop > IP Configuration > DHCP no PC-USER e no PC-GUEST. As concessões observadas foram 192.168.10.21 e 192.168.30.21. Confirma o IP atual em ipconfig e compara-o com show ip dhcp binding. Uma concessão antiga pode permanecer na tabela após a mudança de VLAN; a tabela, por si só, não prova o endereço atualmente configurado no PC.

4. DNS e HTTP interno e externo

No SERVER-INT, ativa Services > DNS e cria um registo A ikw.test → 192.168.20.20; ativa Services > HTTP. No SERVER-EXT, cria portal.test → 198.51.100.10 e ativa HTTP. Estes nomes só existem no laboratório.

Depois de configurar a WAN e o NAT, o PC-USER deve abrir http://ikw.test. O PC-GUEST deve abrir http://portal.test, mas não http://192.168.20.20.

5. ISP simulado e rota por defeito

No R1:

configure terminal
interface gigabitEthernet0/1
 ip address 203.0.113.2 255.255.255.252
 no shutdown
exit
ip route 0.0.0.0 0.0.0.0 203.0.113.1
end
write memory

No ISP:

enable
configure terminal
interface gigabitEthernet0/0
 ip address 203.0.113.1 255.255.255.252
 no shutdown
interface gigabitEthernet0/1
 ip address 198.51.100.1 255.255.255.0
 no shutdown
end
write memory

A partir do R1, ping 203.0.113.1 e ping 198.51.100.10 devem funcionar antes de configurar NAT. Se o R1 não chegar ao SERVER-EXT, verifica primeiro a interface do ISP, IP, gateway do servidor e cabo. No laboratório observado, o gateway WAN respondeu 5/5, mas o servidor externo inicialmente devolveu unreachable devido a um erro de configuração; a conectividade foi corrigida antes do NAT.

6. PAT no R1

A ACL standard seguinte seleciona as redes de origem para tradução; não constitui a política de segurança da rede GUEST.

configure terminal
access-list 1 permit 192.168.10.0 0.0.0.255
access-list 1 permit 192.168.20.0 0.0.0.255
access-list 1 permit 192.168.30.0 0.0.0.255
interface gigabitEthernet0/0.10
 ip nat inside
interface gigabitEthernet0/0.20
 ip nat inside
interface gigabitEthernet0/0.30
 ip nat inside
interface gigabitEthernet0/1
 ip nat outside
ip nat inside source list 1 interface gigabitEthernet0/1 overload
end
write memory

Testa http://198.51.100.10 a partir de PC-USER e PC-GUEST. Depois consulta:

show ip nat translations
show ip nat statistics

A tabela observada traduziu 192.168.10.21 e 192.168.30.21 para o endereço inside-global 203.0.113.2, com sessões ICMP e TCP/80. O PAT distingue sessões através de portas ou identificadores ICMP. O número de traduções pode mudar entre comandos porque as entradas temporárias expiram; Misses não é, por si só, prova de perda de pacotes.

7. Política de acesso mínimo da rede GUEST

Nos exercícios anteriores, começámos por bloquear GUEST para SERVERS e depois também para USERS. A política final substituiu essas regras por uma ACL de entrada. Se seguires diretamente este guia, aplica apenas a política final:

configure terminal
ip access-list extended GUEST_MINIMUM_ACCESS
 permit udp any eq 68 any eq 67
 permit udp 192.168.30.0 0.0.0.255 host 198.51.100.10 eq 53
 permit tcp 192.168.30.0 0.0.0.255 host 198.51.100.10 eq 53
 permit tcp 192.168.30.0 0.0.0.255 host 198.51.100.10 eq 80
 deny ip any any
exit
interface gigabitEthernet0/0.30
 ip access-group GUEST_MINIMUM_ACCESS in
end
write memory

A primeira linha permite pedidos DHCP mesmo quando o cliente ainda não tem IP da VLAN GUEST. O DNS pode usar UDP ou TCP 53; neste teste usou UDP. O HTTP para o servidor externo usa TCP 80. A última linha bloqueia as redes internas e todos os outros destinos. É uma política estreita para o laboratório, não uma regra geral de Internet para convidados: não permite HTTPS, NTP, outros DNS ou dependências de aplicações reais.

Matriz de validação

Os contadores finais comunicados foram: 3 ocorrências para DHCP, 2 para DNS UDP, 5 para HTTP TCP e 67 para o bloqueio final. São contadores acumulados e não identificam, por si só, um cliente ou pedido específico. A regra DNS TCP não teve ocorrências neste teste, compatível com o uso de UDP.

Exercício de troubleshooting: VLAN errada

A mudança de Fa0/1 da VLAN 10 para a VLAN 30 fez o PC-USER receber 192.168.30.22 após renovar DHCP. show vlan brief mostrou Fa0/1 na VLAN 30 e show interfaces trunk confirmou que o trunk estava operacional. Após repor Fa0/1 na VLAN 10 e renovar DHCP, o site interno voltou a abrir.

Lê o caso detalhado de troubleshooting da VLAN errada para conhecer evidências, hipóteses alternativas, correção e reversão.

Reversão e limites

Guarda uma cópia do Packet Tracer antes de cada fase. Para remover a restrição final num laboratório isolado, retira ip access-group GUEST_MINIMUM_ACCESS in da GigabitEthernet0/0.30 ou restaura o projeto guardado. Remover a ACL abre temporariamente o routing entre VLANs para GUEST, pelo que isto não é uma instrução de rollback para produção.

O Packet Tracer aproxima o comportamento dos equipamentos. Uma rede real exige política de saída explícita, firewall stateful, gestão segura, verificação de versões e testes de DNS, HTTPS, hora, atualizações e dependências aplicacionais. Este projeto não utilizou hardware físico nem uma rede de produção.