Cisco 200-301: VLANs, Trunks, Spanning Tree e EtherChannel — Guia de estudos

By Laurynas Brazys · 14 August 2026 · #cisco #200-301 #certification #exam-prep #study-guide

Faz parte do Cisco CCNA 200-301 — Guia de estudos. Pratique com respostas verificadas no centro de exames da Cisco, ou faça testes cronometrados no ExamRoll.io.

Visão Geral

VLANs (Virtual LANs), trunking, Spanning Tree Protocol (STP) e EtherChannel são tecnologias fundamentais da Camada 2 que segmentam domínios de broadcast, transportam múltiplas VLANs através de links, previnem loops e aumentam a largura de banda e a resiliência. O projeto correto e a configuração consistente evitam interrupções comuns causadas por incompatibilidades, loops e falhas de negociação. Esta seção explica o comportamento operacional, a intenção da configuração e os trade-offs, além de destacar os modos de falha que você provavelmente encontrará em projetos de campus e de pequenas empresas.

VLANs, Trunks e Roteamento Inter-VLAN

Criação de VLANs e atribuição de portas de acesso

• As VLANs segmentam logicamente um switch em múltiplos domínios de broadcast; um switch mantém uma tabela MAC separada por VLAN. Quadros com destino desconhecido são inundados (flooded) apenas dentro da VLAN.
• Defina as VLANs com IDs (1–4094). A VLAN 1 é a padrão/nativa por default; as VLANs 1002–1005 são reservadas. Evite o tráfego de usuários na VLAN 1 por segurança e clareza operacional.
• Portas de acesso transportam uma única VLAN de dados. Configure com switchport mode access e switchport access vlan X para evitar que o Dynamic Trunking Protocol (DTP) negocie um trunk inesperadamente.

VLANs de Voz e considerações de QoS

• Telefones IP comumente inserem uma tag 802.1Q interna para voz, enquanto um PC conectado em cascata (daisy-chained) através do telefone permanece sem tag na VLAN de acesso.
• Configure switchport voice vlan Y e confie nas marcações CoS de Camada 2 ou DSCP de Camada 3 de acordo com a política. Garanta que tanto a VLAN de acesso quanto a VLAN de voz sejam permitidas nos trunks upstream.

VLANs Nativas

• Em trunks 802.1Q, a VLAN nativa é enviada sem tag (untagged). Por segurança e clareza, defina uma VLAN nativa dedicada e não utilizada em ambos os lados e remova-a (prune) do acesso de usuários.
• Uma incompatibilidade (mismatch) de VLAN nativa pode causar vazamento de tráfego, anomalias no spanning-tree e exposição do plano de controle.

Trunks 802.1Q, listas de VLANs permitidas, tagging e negociação

• Um trunk 802.1Q transporta múltiplas VLANs marcando (tagging) os quadros com um ID de VLAN; a VLAN nativa não é marcada (untagged). Use o padrão IEEE 802.1Q com equipamentos de terceiros.
• Restrinja explicitamente o transporte com switchport trunk allowed vlan para limitar o tráfego de broadcast desnecessário e reduzir a superfície de ataque.
• O estabelecimento do trunk pode ser manual (switchport mode trunk) ou negociado com DTP. O modo dynamic desirable tenta ativamente formar um trunk; o dynamic auto é passivo. Com vizinhos não-Cisco, configure estaticamente o 802.1Q e considere usar switchport nonegotiate.

Exemplos curtos

vlan 10
 name Users
vlan 20
 name Voice

interface GigabitEthernet1/0/10
 switchport mode access
 switchport access vlan 10
 switchport voice vlan 20
 spanning-tree portfast
 spanning-tree bpduguard enable

interface GigabitEthernet1/0/48
 switchport trunk encapsulation dot1q
 switchport mode trunk
 switchport trunk native vlan 999
 switchport trunk allowed vlan 10,20,30

Roteamento Inter-VLAN

• Router-on-a-stick: Uma única interface de roteador com subinterfaces 802.1Q roteia entre as VLANs. A escalabilidade é limitada pela largura de banda da interface única e pelo encaminhamento via CPU em roteadores de baixo custo (low-end).
• Switch de Camada 3: Crie interfaces virtuais de switch (SVIs) por VLAN e habilite ip routing para roteamento inter-VLAN baseado em hardware. Oferece maior throughput e aplicação de políticas mais simples.

Exemplos curtos

! Router-on-a-stick
interface GigabitEthernet0/0.10
 encapsulation dot1q 10
 ip address 192.168.10.1 255.255.255.0
interface GigabitEthernet0/0.20
 encapsulation dot1q 20
 ip address 192.168.20.1 255.255.255.0

! Layer 3 switch with SVIs
ip routing
interface Vlan10
 ip address 192.168.10.1 255.255.255.0
interface Vlan20
 ip address 192.168.20.1 255.255.255.0

Incompatibilidades comuns e trade-offs

• Incompatibilidades (mismatches) de VLAN nativa ou de VLANs permitidas no trunk causam vazamento de VLANs (VLAN bleed) e hosts órfãos. Sempre valide ambas as pontas.
• Configurações incorretas de VLAN de voz/dados interrompem a conectividade do telefone/PC; verifique se o telefone envia o tráfego de voz com tag e se a confiança de QoS (QoS trust) é consistente.
• Evite a proliferação de VLANs (VLAN sprawl); documente os mapeamentos de VLAN para sub-rede e sumarize o roteamento sempre que possível.

Operação do Spanning Tree e Proteção Contra Loops

Propósito e comportamento

• O Ethernet não possui um TTL e falha em estado aberto (fails open) em caso de loops. O STP constrói uma árvore livre de loops bloqueando links redundantes, enquanto preserva um único caminho ativo por VLAN.
• A eleição da root bridge usa o menor bridge ID (prioridade + MAC). Defina roots determinísticas para cada VLAN ou instância. Exemplo: spanning-tree vlan 200 priority 0.

Funções de porta, estados e custo de caminho

• Funções: Root Port (melhor caminho de um switch não-root para a root), Designated Port (melhor caminho em um segmento), Alternate/Backup (portas de standby para prevenção de loops).
• Estados do 802.1D clássico: Blocking, Listening, Learning, Forwarding, Disabled. O Rapid STP (802.1w) os resume em Discarding, Learning, Forwarding.
• O custo do caminho é cumulativo; o menor é o preferido. Use os custos padrão do 802.1t ou ajuste-os explicitamente em links de alta velocidade para influenciar a seleção do caminho.

Rapid PVST+ e MST

• O Rapid PVST+ executa uma instância por VLAN e converge rapidamente através de handshakes e um processo de proposta/acordo em links ponto a ponto; é ideal para um número menor de VLANs que necessitam de controle granular.
• O MST mapeia múltiplas VLANs para algumas poucas instâncias, escalando em ambientes maiores. Todos os switches em uma região MST devem concordar no nome, revisão e mapeamento de VLAN para instância; caso contrário, eles interoperam em modo de compatibilidade PVST+ com árvores spanning tree subótimas.
• Mudanças de topologia: O 802.1D usa TCN BPDUs da designated bridge no segmento alterado; o RSTP sinaliza TC nos BPDUs a partir da root, fazendo com que as entradas da tabela CAM expirem rapidamente para limitar a duração da inundação (flooding).

Recursos de borda e proteção

• PortFast: Coloca imediatamente as portas de acesso no estado de encaminhamento (forwarding), evitando longos atrasos de convergência em links de host. Não habilite em links que possam se tornar de trânsito.
• BPDU Guard: Coloca uma porta PortFast em estado de err-disabled se um BPDU for recebido, protegendo contra loops acidentais através de switches não gerenciados.
• Root Guard: Impede que uma designated port se torne uma root port se BPDUs superiores forem recebidos; a porta é colocada no estado de root-inconsistent até que a ameaça seja removida.
• Loop Guard: Protege contra falhas unidirecionais ou perda de BPDUs em portas não designadas; mantém a porta bloqueada (loop-inconsistent) em vez de encaminhar erroneamente.
• BPDU Filter: Suprime o envio/processamento de BPDUs. Use apenas em situações rigidamente controladas (por exemplo, na borda da rede em hosts), pois o uso indevido pode criar loops.

Exemplos curtos

spanning-tree mode rapid-pvst
spanning-tree vlan 10,20 root primary
spanning-tree portfast default
spanning-tree bpduguard default

Modos de falha e troubleshooting

• Root bridge inesperada devido à prioridade padrão; defina explicitamente as prioridades da root/distribuição.
• Uma incompatibilidade (mismatch) de VLAN nativa pode arrastar BPDUs de controle para a VLAN errada. Alinhe as VLANs nativas nos trunks.
• Links de fibra unidirecionais: O Loop Guard ajuda, mas considere também ferramentas de monitoramento físico.

EtherChannel e Distribuição de Carga

Operação e protocolos

• O EtherChannel agrega enlaces paralelos em uma única porta lógica port-channel para aumentar a largura de banda e proporcionar failover rápido. O STP, as tabelas MAC e o roteamento enxergam um único enlace.
• O LACP (IEEE 802.1AX/802.3ad) é um padrão aberto; modos active/passive. O PAgP é proprietário da Cisco; modos desirable/auto. O modo on força o agrupamento (bundling) sem protocolo — use apenas quando ambos os lados estão configurados de forma idêntica e estática.
• A consistência entre os membros é obrigatória: velocidade/duplex, tipo de enlace (acesso ou trunk), VLANs permitidas e VLAN nativa, configurações de STP, MTU e o modo (Layer 3 versus Layer 2) devem ser idênticos. Inconsistências levam à suspensão de membros ou ao estado de errdisable.

Balanceamento de carga

• A distribuição de tráfego é baseada em fluxos (flow-based), usando um hash de campos como MAC de origem/destino, IP ou portas de Layer 4. Selecione um hash que diversifique seu padrão de tráfego típico.
• O balanceamento de carga por pacote (per-packet) não é suportado devido a problemas de ordenação; espere uma utilização desigual para um número pequeno de fluxos.

Port-channels de Layer 2 vs Layer 3

• Layer 2: Construa o bundle nas interfaces membro e no Port-Channel com switchport; em seguida, defina os atributos de acesso/trunk no Port-Channel.
• Layer 3: Configure no switchport no Port-Channel, atribua um IP e adicione os membros. Útil para uplinks de distribuição roteados.

Exemplos curtos

! LACP Layer 2 trunked port-channel
interface range Gi1/0/1-2
 channel-group 10 mode active
!
interface Port-channel10
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30

! Layer 3 port-channel
interface Port-channel20
 no switchport
 ip address 172.16.0.1 255.255.255.0

Armadilhas comuns

• Um lado com LACP, o outro com PAgP ou on: o bundle não será formado ou será formado de maneira inconsistente. Padronize o uso de LACP para ambientes multivendor.
• Membros com listas de VLANs permitidas ou VLANs nativas diferentes em um port-channel configurado como trunk causam blackholes inesperados.
• Alterar as configurações da interface membro em vez do Port-Channel leva a renegociações e instabilidade; aplique a configuração ao Port-Channel, não às interfaces físicas.

Higiene Operacional: VLAN Pruning, VTP e Isolamento de Falhas

VLAN pruning

• Faça o pruning manual com switchport trunk allowed vlan para evitar inundações (flooding) desnecessárias nos trunks.
• O VTP pruning (se estiver usando VTP) faz o pruning automaticamente com base na presença da VLAN, mas depende de anúncios (advertisements) precisos. O pruning manual é previsível e facilita a auditoria.

Conscientização e riscos do VTP

• O VTP propaga o banco de dados de VLANs por um domínio. Modos: server, client, transparent. Todos os switches em um domínio compartilham um nome e um número de revisão.
• Um dispositivo com um número de revisão mais alto e um banco de dados de VLANs vazio pode apagar as VLANs de todo o domínio ao ser conectado. A melhor prática é usar o modo VTP transparent (ou server com controles rígidos), definir senhas e redefinir o número de revisão ao reaproveitar equipamentos.

Problemas de mismatch a serem observados

• Mismatch de Native VLAN: produz vazamento no plano de controle e anomalias no STP. Alinhe a native VLAN em ambas as pontas.
• Mismatch de VLANs permitidas no trunk: causa alcançabilidade unidirecional para VLANs específicas.
• Mismatch de DTP: o modo dynamic auto para dynamic auto não forma um trunk; defina o modo explicitamente nos links entre switches.
• Porta de acesso na VLAN errada: causa comum de isolamento de hosts. Verifique com show interfaces switchport.

Prevenção de loops e isolamento de falhas

• Combine PortFast e BPDU Guard na borda (edge), Root Guard em direção ao acesso a partir da distribuição, e Loop Guard nos uplinks redundantes não designados.
• Use o storm control para limitar broadcast/multicast nas portas de acesso, restringindo o raio de impacto (blast radius) durante falhas.
• Solucione problemas com show spanning-tree detail para localizar TCNs e mudanças de papel/estado (role/state), show etherchannel summary para a saúde do bundle, e show mac address-table dynamic vlan X para confirmar o aprendizado. CDP/LLDP fornecem a identidade dos vizinhos e o mapeamento de portas quando a Camada 3 (Layer 3) está inoperante.

Cenário de Problema Prático

A Northwind Textiles está consolidando dois prédios em um único design de acesso e distribuição de campus. Requisitos: convergir rapidamente em caso de falhas de link, suportar VLANs de usuário e de voz, prevenir loops acidentais de dispositivos não gerenciados e garantir uma utilização equilibrada entre os uplinks redundantes.

Abordagem

1. Definir VLANs e padronizar a native VLAN

• Criar a VLAN 10 (Usuários) e a VLAN 20 (Voz). Reservar a VLAN 999 como nativa e mantê-la sem uso em outros locais. Configurar as portas de acesso com switchport mode access, switchport access vlan 10 e switchport voice vlan 20.
• Justificativa: A segmentação clara e uma native VLAN dedicada evitam o vazamento de tráfego não tageado (untagged) e simplificam a auditoria. A VLAN de voz garante que os telefones tagueiem o tráfego e recebam QoS.

2. Construir trunks 802.1Q determinísticos com pruning

• Nos links de acesso para distribuição, defina switchport mode trunk, switchport trunk encapsulation dot1q, switchport trunk native vlan 999 e switchport trunk allowed vlan 10,20 apenas.
• Justificativa: O trunking explícito evita a ambiguidade do DTP, uma native VLAN consistente previne mismatches, e o pruning reduz o escopo de broadcast e a superfície de ataque.

3. Implantar o Rapid PVST+ com controle de root e proteções de borda

• Habilite spanning-tree mode rapid-pvst. Defina o par de distribuição como root primário/secundário usando spanning-tree vlan 10,20 root primary/secondary. Habilite spanning-tree portfast default e spanning-tree bpduguard default nos switches de acesso; aplique spanning-tree guard root em direção ao acesso e loop guard nos uplinks redundantes.
• Justificativa: A convergência rápida limita o tempo de interrupção. O posicionamento do root estabiliza a seleção de caminhos. As proteções de borda previnem loops de dispositivos não gerenciados e falhas unidirecionais.

4. Agregar uplinks com EtherChannels LACP

• Agrupar dois ou mais links de acesso para distribuição usando channel-group X mode active em ambas as pontas. Configurar as interfaces Port-Channel como trunks com as mesmas VLANs permitidas e a native VLAN 999. Definir o port-channel load-balance do sistema como src-dst-ip.
• Justificativa: O LACP oferece negociação baseada em padrões, tratamento rápido de falhas de membros e detecta inconsistências. O hashing por pares de IP distribui o tráfego diversificado dos usuários entre os links.

5. Implementar SVIs de Camada 3 na distribuição para roteamento inter-VLAN

• Nos switches de distribuição, habilitar ip routing e criar SVIs para as VLANs 10 e 20 com HSRP/VRRP para redundância de gateway. Manter a camada de acesso puramente em Camada 2.
• Justificativa: O roteamento baseado em hardware na distribuição escala a vazão (throughput), localiza os domínios de falha e simplifica a aplicação de políticas e ACLs perto do core.

6. Fortalecer o comportamento de trunks e do VTP

• Definir todos os switches para vtp mode transparent e configurar switchport nonegotiate nos trunks para dispositivos de terceiros. Validar a simetria da native VLAN e das VLANs permitidas com comandos show e templates.
• Justificativa: Elimina o risco de apagamento por revisão do VTP e previne a formação indesejada de trunks por DTP, preservando uma topologia previsível e a integridade das VLANs.

7. Validar e monitorar

• Verificar os papéis (roles) do spanning tree com show spanning-tree vlan 10 detail, a saúde do EtherChannel com show etherchannel summary, e o aprendizado de MAC por VLAN. Habilitar o syslog para TCNs do STP e a recuperação de errdisable para o BPDU Guard com cautela.
• Justificativa: A validação contínua detecta desvios (drift) e destaca falhas de cabeamento ou configuração precocemente, minimizando o tempo médio para reparo (MTTR).

← Switching Ethernet e Encaminhamento de Camada 2 · Todos os domínios · Endereçamento IPv4 →

Pratique estas questões → · Prática cronometrada no ExamRoll.io →