Diagrama de topologia de rede: LAN do escritório, VPN site a site e uma VPC na nuvem

Peça o diagrama de rede a três pessoas e você vai receber três imagens diferentes: uma foto do rack, uma planilha de endereços IP e uma captura de tela do console da nuvem. Nenhuma delas responde às perguntas que surgem em uma revisão ou durante uma pane: quais segmentos existem, o que pode falar com o quê e como o tráfego circula entre o escritório e a nuvem.

Este guia monta um diagrama de topologia de rede lógica para uma pequena empresa típica, uma LAN de escritório com Wi-Fi e uma VPN site a site para uma VPC na nuvem, e cobre as convenções que mantêm esse tipo de diagrama legível.

Topologia física ou lógica

A maioria das conversas precisa da visão lógica. Deixe a física para quem trabalha no rack e não misture as duas na mesma página: números de porta ao lado da política do firewall tornam as duas mais difíceis de ler.

Topologias comuns, em resumo

• Estrela. Cada dispositivo se conecta a um switch central. Quase toda LAN de escritório é uma estrela ou uma árvore de estrelas.
• Malha. Os nós se conectam a vários outros, então o tráfego tem mais de um caminho. Comum entre switches de núcleo, em fabrics de data center e em sistemas Wi-Fi em malha.
• Híbrida. Redes reais combinam as duas: estrelas na borda, links redundantes no núcleo, túneis entre sites.

As topologias em barramento e em anel são, em grande parte, coisa do passado nas LANs modernas.

O exemplo: um escritório e uma VPC na nuvem

Uma empresa de 40 pessoas tem um escritório com notebooks para a equipe, Wi-Fi para visitantes, um servidor de arquivos e impressoras. O aplicativo interno roda em uma VPC na nuvem, e a equipe o acessa por uma VPN site a site em vez da internet pública.

O plano de endereçamento vem primeiro, porque o diagrama é construído a partir dele. Todas as faixas internas vêm dos blocos privados da RFC 1918, e o endereço público usa uma faixa de documentação da RFC 5737:

Duas regras orientam esse plano. Primeiro, o escritório (10.10.0.0/16) e a VPC (10.20.0.0/16) não podem se sobrepor, senão a VPN não consegue rotear entre eles. Segundo, evite 192.168.0.0/24 e 192.168.1.0/24 no escritório: muitos roteadores domésticos usam essas faixas, e quem trabalha de casa entraria em conflito com elas em uma VPN de cliente.

O firewall roteia entre as VLANs, então é nele também que a política vive:

A VPN site a site em um parágrafo

Uma VPN IPsec usa o IKE, na porta UDP 500, para autenticar os pares e combinar as chaves, e o ESP, protocolo IP 50, para transportar o tráfego criptografado; a porta UDP 4500 entra em jogo quando há um NAT no caminho. Na AWS, cada conexão Site-to-Site VPN tem dois túneis com endereços IP públicos diferentes, que terminam em um gateway privado virtual ou em um gateway de trânsito; configure os dois no seu firewall para que a manutenção de um túnel não deixe o escritório isolado. O lado do escritório precisa de um IP público fixo. O roteamento é estático ou dinâmico com BGP, e as tabelas de rotas da VPC precisam de rotas de volta para 10.10.0.0/16, propagadas pelo gateway privado virtual ou adicionadas manualmente.

O diagrama

Como ler:

• No alto à esquerda, a borda. O firewall do escritório tem o endereço público fixo e é o par IPsec. Ele roteia entre as três VLANs e aplica a tabela de políticas acima.
• No meio, a LAN do escritório. O switch central leva as VLANs 10, 20 e 30 em trunk. O ponto de acesso recebe energia e um trunk do switch e mapeia o SSID da equipe para a VLAN 10 e o SSID de visitantes para a VLAN 20.
• À direita, a nuvem. A aresta tracejada é a VPN IPsec, com dois túneis, até a VPC. O servidor de aplicação e o banco de dados gerenciado ficam em uma sub-rede privada sem rota a partir da internet.
• A legenda explica os estilos de linha: Ethernet, Wi-Fi, alimentação via Ethernet e WAN.

O que rotular

• A faixa e o ID de VLAN de cada segmento. Uma caixa chamada “Rede da equipe” sem 10.10.10.0/24 não pode ser conferida com nada.
• Gateways e pares da VPN. Qual dispositivo roteia cada segmento e quais endereços públicos formam o túnel.
• O que pode cruzar uma fronteira. Coloque a política nas arestas ou em uma tabela ao lado do diagrama, não só na configuração do firewall.
• O mapeamento de SSID para VLAN de cada rede sem fio.
• A direção de início da conexão onde ela importa, por exemplo que a sub-rede da nuvem só responde.

O que deixar de fora

• Cada notebook e cada telefone. Um nó por tipo de dispositivo e por segmento basta.
• Cores de cabo e números de porta em um diagrama lógico. Eles pertencem ao físico.
• Detalhes internos do provedor de nuvem. Os endpoints da VPN são do gateway privado virtual; você não precisa desenhar o lado da AWS do túnel.

Use uma legenda

Estilos de linha carregam significado em um diagrama de rede, então explique-os. Uma pequena legenda com Ethernet, Wi-Fi, alimentação via Ethernet, WAN e VPN leva um minuto para ser adicionada e poupa cada novo leitor de adivinhar. Se você colorir os segmentos, diga também o que as cores significam.

Mantenha atualizado

Diagramas de rede ficam desatualizados na primeira mudança não anunciada. Torne o diagrama parte da mudança: quando alguém adiciona uma VLAN, altera uma regra do firewall ou acrescenta um túnel, o ticket da mudança aponta para o diagrama atualizado, e um revisor confere os dois. Diagramas de arquitetura que não envelhecem descreve um fluxo de trabalho exatamente para isso. Para o lado da nuvem em mais detalhe, veja o guia do diagrama de VPC da AWS, e para substituir a rede plana do escritório por acesso baseado em identidade, o diagrama de arquitetura de confiança zero.

Monte no Archboard

1. Entre com Google ou GitHub e crie um diagrama.
2. Do pack Rede, adicione nós Internet, Firewall, Comutador e Sem fio para a borda e a LAN do escritório.
3. Adicione três molduras Sub-rede do pack Rede para as VLANs 10, 20 e 30, cada uma com sua faixa no campo CIDR da moldura, e coloque dentro de cada uma um nó Dispositivo ou Servidor: notebooks da equipe, dispositivos de visitantes, o servidor de arquivos.
4. Adicione uma moldura VPC do pack Rede com uma moldura Sub-rede dentro dela, e coloque na sub-rede um nó Instância de computação e um nó Banco de dados gerenciado do pack Nuvem.
5. Conecte os nós e defina o tipo de ligação de cada aresta (Ethernet, Wi-Fi, PoE ou WAN). Desenhe a VPN como uma aresta tracejada do firewall até a VPC.
6. Adicione uma Legenda de rede do pack Rede para os tipos de ligação.

O exemplo usa 15 nós de diagrama e fica dentro do plano Free. A página do caso de uso de redes mostra o que mais o pack Rede cobre.

Perguntas frequentes

Qual é a diferença entre um diagrama de rede e um diagrama de topologia de rede? Os termos costumam ser usados como sinônimos. Um diagrama de topologia enfatiza como segmentos e dispositivos se conectam; um diagrama de topologia lógica acrescenta faixas de endereços, roteamento e políticas.

O diagrama deve mostrar endereços IP? Mostre as faixas de cada segmento e os endereços dos gateways e dos pares da VPN. Os endereços de cada host pertencem a uma ferramenta de gerenciamento de endereços IP.

Por que colocar visitantes em uma VLAN separada? Para que o firewall possa dar a eles internet e nada mais. Em um segmento compartilhado, um dispositivo de visitante consegue alcançar impressoras, compartilhamentos de arquivos e tudo o mais que confia na rede local.

Preciso de dois túneis VPN? Na AWS, cada conexão vem com dois túneis, e os dois devem estar configurados no seu equipamento, para que um carregue o tráfego enquanto o outro está em manutenção.

Com que frequência um diagrama de rede deve ser atualizado? A cada mudança que afete endereçamento, roteamento ou regras de firewall. Vincule o diagrama ao processo de mudanças, e não a um calendário.

Comece grátis — um assento, sem cartão de crédito.