Projeto de segmentação lógica da infraestrutura utilizando VLANs, roteamento entre redes, políticas de firewall e isolamento de serviços. O objetivo foi projetar, implementar e documentar uma rede corporativa funcional que reproduz os desafios de segmentação e segurança encontrados em ambientes de médio e grande porte, utilizando equipamentos e softwares amplamente adotados no mercado corporativo.
Visão lógica da arquitetura: dois links de operadora chegam a um switch de núcleo Layer 2, um firewall em alta disponibilidade faz todo o roteamento entre as zonas e a distribuição leva cada zona até o seu ambiente. Modelos de equipamento, endereçamento e IDs de VLAN não são publicados por segurança
Cada camada da rede foi planejada para atender requisitos específicos de segurança, desempenho e disponibilidade
Switch gerenciável no núcleo da rede. Os links das operadoras chegam direto nele e seguem isolados em VLANs próprias até o firewall. Servidores e equipamentos de distribuição ficam em portas tronco 802.1Q.
Par de firewalls virtualizados em HA (ativo e standby), em servidores físicos diferentes. Centraliza o roteamento entre as zonas, firewall stateful, NAT, DHCP, VPN IPSec/SSL e o balanceamento e failover dos dois links.
A rede é dividida em zonas de segurança por finalidade e nível de confiança, cada uma em sua VLAN 802.1Q. O tráfego entre zonas passa obrigatoriamente pelo firewall e é controlado por políticas.
Switches e roteadores de distribuição levam as zonas até cada ambiente, sem funções de gateway. Uplinks redundantes para o núcleo protegidos por Spanning Tree (STP).
Túneis IPSec site-to-site para conexão com filiais, L2TP/IPSec para acesso remoto de colaboradores e SSL VPN para acesso web a recursos internos.
Links de rádio, antenas direcionais e torres com experiência em provedor de internet, e Wi-Fi de alta densidade para grandes eventos e feiras com access points 360°, integrados à rede cabeada.
Cabeamento estruturado, montagem e organização de racks e documentação de portas e conexões para operação confiável dos equipamentos de rede e servidores.
Métricas e análise de tráfego dos equipamentos de rede, SIEM centralizado e detecção de intrusão com resposta automatizada.
Cada zona tem propósito e políticas de acesso próprias. IDs de VLAN e endereçamento ficam apenas na documentação interna
| Zona | Finalidade |
|---|---|
| WAN | Links das operadoras, isolados até o firewall |
| Gerência | Administração da infraestrutura e dos equipamentos |
| Servidores | Serviços internos e de apoio |
| Publicação web | Sites e aplicações expostos à internet, separados da rede interna |
| Serviços críticos | Sistemas essenciais à operação |
| IoT e automação | Dispositivos inteligentes, sem acesso às demais zonas |
| Usuários | Estações de trabalho e dispositivos pessoais |
| Visitantes | Wi-Fi de convidados com acesso apenas à internet |
| Backup e monitoramento | Cópias de segurança, logs e telemetria |
Fabricantes, softwares e protocolos com que trabalho neste projeto
O que este projeto proporcionou em termos de conhecimento e capacidade operacional
Os links das operadoras chegam direto no switch de núcleo, sem roteador intermediário. O switch só comuta e separa as zonas; todo o roteamento e a segurança ficam centralizados no firewall.
Dois links de internet com balanceamento e failover automático, e o próprio firewall em HA em nós diferentes do cluster: a queda de um provedor ou de um servidor não derruba a rede.
Rede segmentada em zonas de segurança, da publicação web exposta à internet até backup e monitoramento. Tráfego isolado e políticas de firewall entre zonas.
Pi-hole para bloqueio de anúncios e tracking + Unbound como resolvedor DNS recursivo, garantindo privacidade e controle total sobre as consultas DNS.
Este projeto faz parte do Laboratório de Infraestrutura. Explore outros projetos ou consulte a documentação técnica completa.
