🗺️

Arquitetura da Rede

Três camadas independentes: conexões físicas, segmentação lógica e fluxo dos pacotes

Esta página documenta a arquitetura da infraestrutura em três camadas distintas: a topologia física (equipamentos e enlaces), a segmentação lógica (VLANs) e o fluxo do tráfego (caminho dos pacotes). Cada camada é independente. O firewall é um par em alta disponibilidade de Máquinas Virtuais executando no cluster Proxmox VE — não é um appliance físico. Nomes, IDs de VLAN e endereços apresentados aqui são ilustrativos.

1. Fluxo Físico

Conexões entre equipamentos — o caminho que o sinal percorre

🌐

Internet — Operadora A

Fibra óptica até a ONU da operadora A

🌐

Internet — Operadora B

Fibra óptica até a ONU da operadora B

⬇

🔀

sw-core-01 — Switch de núcleo (Layer 2)

Recebe as duas ONUs diretamente, cada uma em uma porta própria associada a uma VLAN de WAN isolada. As demais conexões partem do núcleo como troncos 802.1Q para o cluster e para a camada de distribuição.

⬇

🖥️

Cluster Proxmox VE — 3 nós + backup

pve-node-01 · pve-node-02 · pve-node-03 + pbs-01 (backup dedicado). Cada servidor recebe um tronco 802.1Q do núcleo; o par de firewall (fw-01 / fw-02) roda como VMs em nós distintos.

📡

Distribuição e acesso

rt-dist-01 (roteador de distribuição) · sw-acc-01 (switch de acesso com dois uplinks redundantes protegidos por STP) · ap-01 (access point) — todos alimentados por troncos a partir do núcleo.

Valores ilustrativos — IDs de VLAN, endereços e nomes reais ficam na documentação interna.

2. Fluxo Lógico — Segmentação

Como as VLANs trafegam entre os equipamentos

🌐

Links das operadoras em VLANs de WAN isoladas

Cada ONU entra no núcleo em uma VLAN de WAN exclusiva (VLAN 901 · WAN A e VLAN 902 · WAN B), sem contato com as zonas internas

⬇

🔀

Núcleo transporta as VLANs (somente Layer 2)

sw-core-01 não roteia: comuta as VLANs de WAN e as zonas internas pelos troncos 802.1Q até o cluster e a distribuição

⬇

🖥️

Firewall em HA recebe as VLANs pelo tronco

fw-01 (ativo) e fw-02 (standby) rodam como VMs em nós distintos do cluster e possuem uma interface lógica por VLAN — WAN A, WAN B e cada zona interna

⬇

🛡️ Processamento centralizado — firewall em HA (fw-01 / fw-02)

Firewall stateful NAT DHCP Balanceamento de links Failover VPN Roteamento entre zonas Publicação de serviços DNS interno recursivo com filtragem

⬇

🔧 100 · Gerência 🖥️ 110 · Servidores 🌍 120 · Publicação web (DMZ) ⚙️ 130 · Serviços críticos 🤖 140 · IoT e automação 💻 150 · Usuários 📱 160 · Visitantes 💾 170 · Backup e monitoramento

Valores ilustrativos — IDs de VLAN, endereços e nomes reais ficam na documentação interna. Cada zona usa uma sub-rede 10.0.<VLAN>.0/24 com gateway .1 no firewall.

⬅ Zonas de infraestrutura

Gerência, servidores, DMZ, serviços críticos e backup seguem pelos troncos do núcleo até o cluster Proxmox VE

➡ Zonas de usuários e dispositivos

Usuários, IoT e visitantes seguem do núcleo para a distribuição: roteador de distribuição, switch de acesso e access points

3. Fluxo do Tráfego

Caminho percorrido pelos pacotes — do dispositivo do cliente até a internet

💻

Cliente

Estação em uma zona interna; o gateway padrão é o endereço .1 da zona, no firewall

⬇

📡

Acesso / distribuição

O quadro entra pelo access point ou switch de acesso já associado à VLAN da zona e sobe ao núcleo pelo uplink ativo (o redundante fica bloqueado pelo STP)

⬇

🔀

Núcleo Layer 2 — tronco 802.1Q

sw-core-01 comuta o quadro pelo tronco até o nó do cluster que hospeda o firewall ativo

⬇

🛡️ Processamento — firewall ativo (VM no cluster)

Política entre zonas → NAT → Balanceamento e seleção do link de saída → Failover → VPN (quando aplicável) → Consultas DNS encaminhadas ao resolvedor interno recursivo com filtragem

⬇

🔀

Núcleo — VLAN de WAN

O pacote volta ao núcleo marcado com a VLAN de WAN do link escolhido (A ou B) e é entregue na porta da ONU correspondente

⬇

📡

ONU da operadora A / B

Terminação óptica — ethernet → fibra

⬇

🌐

Internet

Saída com o endereço público do link escolhido (ex.: 203.0.113.10)

↩ Tráfego de retorno

Percorre o caminho inverso
ONU → núcleo (VLAN de WAN) → firewall (estado da conexão) → núcleo → distribuição → cliente

⇄ Tráfego entre zonas

Também passa obrigatoriamente pelo firewall
núcleo → firewall → núcleo — o switch de núcleo nunca roteia entre VLANs

Observações sobre a Arquitetura

🖥️ O firewall é um par de Máquinas Virtuais em alta disponibilidade (fw-01 ativo / fw-02 standby), executado em nós distintos do cluster Proxmox VE. Não é um appliance físico.
🔀 O switch de núcleo atua exclusivamente em Layer 2: recebe as ONUs diretamente, isola cada link em sua VLAN de WAN e transporta todas as VLANs por troncos 802.1Q, sem roteamento, NAT ou DHCP.
📡 Distribuição e acesso — roteador de distribuição, switch de acesso com dois uplinks redundantes protegidos por STP e access points, todos alimentados por troncos a partir do núcleo.
🛡️ Toda a inteligência de camada 3 (roteamento entre zonas, firewall, NAT, DHCP, VPN, balanceamento e failover dos links) está centralizada no firewall em HA; a resolução de nomes usa DNS interno recursivo com filtragem.
🔒 Versão pública — nomes, IDs de VLAN e endereços são ilustrativos. Mapa de portas, inventário e configurações ficam na documentação interna.

Confira o inventário completo de equipamentos ou os diagramas da infraestrutura.

📦 Ver Inventário 📊 Ver Diagramas