Cisco 200-301: Switching Ethernet e Encaminhamento de Camada 2 — Guia de estudos
Faz parte do Cisco CCNA 200-301 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Cisco, ou faça testes cronometrados no ExamRoll.io.
Visão Geral
Switches Ethernet encaminham quadros de Camada 2 dentro de um domínio de broadcast aprendendo e consultando uma tabela de endereços MAC (também chamada de tabela CAM). Os switches tomam decisões por quadro com base no MAC de destino, na VLAN e no estado da interface de saída (egress). O comportamento correto depende do aprendizado preciso de MACs, de parâmetros de link estáveis e de proteções contra loops e abusos na Camada 2. Esta seção explica a lógica operacional, os trade-offs de design, os modos de falha e os métodos de verificação relevantes para o switching em produção.
Aprendizado, Encaminhamento, Filtragem e Flooding de MAC
Os switches aprendem os endereços MAC de origem inspecionando o MAC de origem e a VLAN na entrada (ingress) e associando essa tupla à interface receptora. As entradas são dinâmicas por padrão e expiram após um temporizador de inatividade (comumente 300 segundos em switches de campus da Cisco). O envelhecimento (aging) remove entradas não utilizadas, liberando espaço e auxiliando na mobilidade; temporizadores muito curtos aumentam o flooding de unicast desconhecido, enquanto temporizadores muito longos arriscam encaminhamento obsoleto e tabelas maiores.
Lógica de encaminhamento por quadro:
- Unicast com MAC de destino conhecido na VLAN: encaminha pela única porta associada (a menos que essa porta seja a mesma da entrada, caso em que o switch filtra/descarta para evitar reflexão).
- Unicast com MAC de destino desconhecido na VLAN: faz o flooding por todas as outras portas ativas naquela VLAN (flooding de unicast desconhecido).
- Broadcast (ff:ff:ff:ff:ff:ff): faz o flooding para todas as outras portas na VLAN. Broadcasts são necessários para protocolos como ARP e alguns protocolos de descoberta.
- Multicast: sem snooping, muitos switches tratam o multicast como broadcast e fazem o flooding dentro da VLAN. Com IGMP snooping (IPv4) ou MLD snooping (IPv6), os switches restringem o multicast às portas com receptores interessados, reduzindo o tráfego desnecessário.
Entradas de MAC estáticas podem ser configuradas para encaminhamento determinístico ou para fixar dispositivos em contextos de alta segurança. O uso excessivo de entradas estáticas complica as operações; prefira o aprendizado dinâmico com controles.
Modos de falha comuns:
- MAC flapping: o mesmo MAC aparece em múltiplas interfaces em rápida sucessão, geralmente devido a loops ou caminhos assimétricos. Os sintomas incluem mensagens de log e atualizações incessantes da CAM.
- Esgotamento da CAM: a tabela se enche devido à escala ou a um ataque, causando flooding elevado de unicast desconhecido e potencial vazamento de dados entre as portas de acesso.
Comandos úteis:
undefined
undefined
undefined
undefined
undefined
Portas de Acesso, Estados Operacionais e Port Security
Portas de acesso transportam uma única VLAN e se conectam a endpoints. Configure-as explicitamente para remover ambiguidades e reduzir os riscos relacionados a trunks.
Exemplos:
undefined
undefined
undefined
undefined
undefined
Estados operacionais do link reportados pelo switch:
- connected/up: link e protocolo de linha ativos (up); os quadros serão encaminhados se não estiverem bloqueados administrativamente.
- notconnect/down: nenhum link físico detectado.
- administratively down: configurado como shutdown (desativado administrativamente).
- err-disabled: interface desabilitada por recursos de proteção (como violações de port security, detecção de loop ou ações de storm control).
O Port security limita quantos endereços MAC podem aparecer em uma porta de acesso e o que fazer em caso de violação. Isso mitiga o MAC-flooding, hubs não autorizados e movimentações casuais de dispositivos.
Exemplo com aprendizado sticky:
undefined
undefined
undefined
undefined
undefined
undefined
undefined
MACs aprendidos com sticky se tornam entradas de MAC seguras gravadas na configuração em execução (running configuration); salve a configuração para persistir entre reinicializações. Você também pode configurar MACs seguros estáticos.
Modos de violação:
- protect: descarta silenciosamente os quadros com MACs desconhecidos/violadores. Sem trap SNMP ou syslog; é o menos disruptivo e o menos visível.
- restrict: descarta os quadros violadores, incrementa o contador de violações e gera syslog/trap SNMP; é o preferido para ter visibilidade sem derrubar o link.
- shutdown (padrão): coloca a porta em estado de err-disabled, exigindo uma reativação manual (shutdown/no shutdown) ou uma recuperação automática temporizada.
Recuperação e visibilidade:
undefined
undefined
undefined
undefined
Trade-offs: os modos protect/restrict mantêm o link ativo, mas podem mascarar problemas; o modo shutdown é “barulhento”, mas impõe a política de forma inequívoca e interrompe todo o tráfego do segmento comprometido.
Decisões de Encaminhamento, Contadores, Duplex/Velocidade e Solução de Problemas
A correção do encaminhamento começa com um aprendizado preciso. Quando o tráfego não é entregue, verifique se o MAC de destino realmente existe na tabela, corresponde à porta e VLAN corretas e se as portas de entrada (ingress) e saída (egress) estão operacionais.
Principais etapas de solução de problemas:
- Confirmar a associação à VLAN e o modo da porta: show interfaces switchport
- Verificar o aprendizado de MAC: show mac address-table dynamic address H.H.H
- Procurar por eventos de MAC flapping no log: show logging
- Verificar o estado e os erros da interface: show interfaces INTERFACE
- Validar vizinhos CDP/LLDP e o cabeamento: show cdp neighbors detail, show lldp neighbors detail
Contadores de interface e o que eles indicam:
- input errors: agregado de problemas no lado do recebimento, incluindo CRC, runts, giants. Quando um quadro falha na verificação FCS, tanto os contadores de input errors quanto os de CRC aumentam.
- CRC: quadros recebidos com erros de FCS; comumente problemas de cabeamento, interferência elétrica ou incompatibilidade de duplex.
- runts: quadros menores que 64 bytes, frequentemente relacionados a colisões em half-duplex.
- giants: quadros maiores que o MTU sem truncamento; pode ser um problema de tagging ou MTU mal configurado.
- late collisions: colisões detectadas após os primeiros 64 bytes; normalmente ocorrem devido a links half-duplex ou comprimento de cabo excessivo, além dos padrões Ethernet.
- output errors: falhas de transmissão; podem ser congestionamento ou problemas de hardware.
Negociação de duplex e velocidade:
- A autonegociação é necessária para links de cobre 1000BASE-T e mais rápidos; forçar a velocidade em um lado e usar ‘auto’ no outro pode causar incompatibilidade de duplex (uma ponta em full, a outra em half). Os sintomas incluem erros de CRC, colisões tardias e baixo throughput.
- A melhor prática é usar ‘auto speed’ e ‘auto duplex’ de ponta a ponta em switches modernos, com Auto-MDIX habilitado, a menos que estejam conectados a dispositivos legados ou que não negociam, onde configurações forçadas e correspondentes são necessárias.
- Verifique com
undefined
e
undefined
.
A descoberta de vizinhos com CDP e LLDP ajuda a identificar o que está conectado, a porta remota, as VLANs e, às vezes, o endereçamento IP. Use-os durante a ativação e a solução de problemas, e desabilite-os onde a política de segurança proíbe o vazamento de informações de descoberta de dispositivos.
Exemplos:
- Habilitar/desabilitar globalmente: no cdp run lldp run
- Na interface: no cdp enable lldp transmit lldp receive
- Verificação: show cdp neighbors detail show lldp neighbors detail
Conscientização sobre Ataques de Camada 2, Storm Control e Sintomas de Loop
Ameaças básicas de Camada 2 e suas mitigações:
- Inundação de endereços MAC (estouro da CAM): o invasor envia quadros com muitos MACs de origem falsificados (spoofed) para esgotar a tabela, causando inundação de unicast desconhecido e possível interceptação de tráfego (sniffing). Mitigue com port security (limitar a contagem de MACs, sticky/static), desabilite portas não utilizadas e monitore a utilização da CAM.
- Vazamento de informações por descoberta: CDP/LLDP podem revelar a plataforma e as VLANs; desabilite em portas de acesso não confiáveis.
- Switches não autorizados (rogue) ou loops: conectar switches não gerenciados pode formar loops, produzindo tempestades de broadcast e MAC flapping. Use PortFast, BPDU Guard e ferramentas de detecção de loop.
O Storm control limita as taxas de broadcast, multicast e unicast desconhecido para conter tempestades, preservando o tráfego normal.
Exemplo: interface gigabitEthernet1/0/20 storm-control broadcast level 1.00 0.50 storm-control multicast level 1.00 0.50 storm-control action shutdown
Os níveis são expressos como uma porcentagem da largura de banda do link ou em pps, dependendo da plataforma. Configure um plano de recuperação se usar ‘shutdown’ como ação:
- show storm-control
- errdisable recovery cause storm-control
- errdisable recovery interval 300
Sintomas e indicadores de loop:
- Pico súbito e sustentado nos contadores de broadcast, multicast e unicast desconhecido em muitas portas.
- A utilização da CPU nos switches aumenta acentuadamente; instabilidade do plano de controle.
- Logs de MAC flapping mostrando o mesmo MAC movendo-se rapidamente entre as portas.
- Timeouts de ARP e falhas intermitentes de aplicativos em toda a VLAN.
Previna loops com um design resiliente (sem interconexões L2 não gerenciadas), recursos de spanning tree (PortFast em portas de acesso, BPDU Guard para desativar portas que recebem BPDUs) e tecnologias como UDLD em fibra para detectar falhas unidirecionais. Comandos de verificação:
- show spanning-tree vlan X
- show spanning-tree interface INTERFACE detail
- show processes cpu sorted
Comandos de Verificação e Solução de Problemas de Switch
A visibilidade operacional é fundamental para a saúde da Camada 2. Comandos comumente usados:
- Interface e contadores: show interfaces, show interfaces counters errors, show interfaces status
- Tabela MAC: show mac address-table [dynamic|static], clear mac address-table dynamic
- VLAN e modo da porta: show vlan brief, show interfaces switchport
- Segurança de porta: show port-security, show port-security interface INTERFACE, show errdisable recovery
- Descoberta: show cdp neighbors detail, show lldp neighbors detail
- Tempestades de tráfego e loops: show storm-control, show spanning-tree, show logging
- Saúde do sistema: show processes cpu history, show platform hardware capacity (dependente do modelo)
Quando houver suspeita de um problema no encaminhamento de quadros, reproduza o tráfego e observe os contadores em tempo real com o terminal monitor e comandos show sucessivos para identificar o domínio da falha (endpoint, cabo, interface, VLAN, malha do switch).
Cenário de Problema Prático
A Contoso Health Labs está enfrentando quedas intermitentes em chamadas de voz e baixo desempenho de desktops na VLAN 20 após adicionar vários telefones IP e pequenos switches não gerenciáveis nas áreas de trabalho.
Abordagem:
- Estabeleça uma linha de base e isole o impacto.
- Justificativa: Use show interfaces counters errors e show processes cpu sorted para detectar se o problema é localizado ou sistêmico. Alta utilização de CPU e aumento nos contadores de broadcast/unknown-unicast em muitas portas sugerem uma tempestade ou loop de Camada 2.
- Valide duplex/velocidade e cabeamento.
- Justificativa: Nas portas de acesso principais, execute show interfaces status e show interfaces INTERFACE para confirmar a-full e velocidades correspondentes. Picos de ’late collisions’ e CRC indicam incompatibilidade de duplex ou problemas de cabo; corrija configurando ambas as extremidades para ‘auto’ ou valores forçados correspondentes e substitua os cabos suspeitos.
- Identifique e contenha loops.
- Justificativa: Verifique os logs em busca de ‘MAC flapping’. Habilite o PortFast e o BPDU Guard em todas as portas de acesso para desativar automaticamente (err-disable) as portas que recebem BPDUs de switches não autorizados ou não gerenciáveis. Isso interrompe os loops formados por mini-switches conectados em cascata. Configuração:
undefined
undefined
undefined
- Implemente o controle de tempestade (storm control) nas portas de acesso.
- Justificativa: Limite o tráfego de broadcast, multicast e unknown-unicast para evitar que tempestades sobrecarreguem a VLAN e a CPU, preservando o tráfego de VoIP durante as falhas. Configuração:
undefined
undefined
undefined
undefined
undefined
undefined
- Aplique a segurança de porta (port security) com MACs ‘sticky’ nas portas voltadas para o usuário.
- Justificativa: Evite ‘MAC flooding’ e hubs não autorizados limitando a contagem de MACs por porta para o telefone mais um PC. Use o modo ‘restrict’ para manter os links ativos enquanto registra as violações. Configuração:
undefined
undefined
undefined
undefined
undefined
undefined
undefined
- Restrinja a inundação de multicast com IGMP snooping.
- Justificativa: Se os telefones IP usam serviços multicast, habilite o IGMP snooping e garanta que exista um ‘querier’ para construir estados de encaminhamento multicast precisos, reduzindo a inundação desnecessária na VLAN 20.
- Verifique a topologia de vizinhos e limpe a exposição da descoberta.
- Justificativa: Use show cdp neighbors detail e show lldp neighbors detail para validar a ordem de cabeamento switch-telefone-PC. Desabilite o CDP/LLDP em portas onde a política não permite o vazamento de informações para dispositivos não gerenciáveis.
- Monitore e valide a estabilidade.
- Justificativa: Após as alterações, acompanhe os contadores de erro, as estatísticas de storm-control e a estabilidade da tabela CAM com show mac address-table count. Garanta que não haja eventos recorrentes de ’err-disable’ e confirme a qualidade da chamada por meio do feedback do usuário e das métricas de QoS. Isso fecha o ciclo entre a configuração e a qualidade de serviço mensurável.
← Fundamentos de Rede e Infraestrutura Física · Todos os domínios · VLANs →
Pratique estas questões → · Prática cronometrada no ExamRoll.io →
Pass the whole exam — not just this question
You found this answer. Get every verified question and explanation in one place, and save hours of prep. Free to start.
Passe no seu exame →