Nova Atualização no Currículo CCNA R&S

Olá Pessoal,

Hoje de tarde foi oficialmente divulgado pelo programa Cisco Networking Academy que o atual currículo CCNA 5.0 Routing & Switching (RS) está em fase de substituição para o novo currículo CCNA 6.0. Os instrutores das academias oficiais já têm à sua disposição o curso complementar intitulado CCNA R&S Bridging Course com conteúdo adicional de adaptação às alterações entre os dois currículos. É justo destacar que a resposta do programa NetAcad para alinhar os cursos às novas alterações foi bem rápida!

Essa alteração acontece cerca de 3 anos após o lançamento do currículo CCNA R&S 5.0, ocorrido em março de 2013, que trouxe algumas mudanças estruturais importantes na maneira pela qual o curso de CCNA R&S era ministrado nas academias oficiais. Nessa nova atualização as mudanças foram menos estruturais e mais de conteúdo mesmo, oportunidade para remover alguns tópicos legados (ou menos utilizados) e adicionar outros mais alinhados com o mercado. Acho conveniente relacionar somente aqueles tópicos que foram removidos e adicionados para facilitar a organização das informações para aqueles que já estão em fase de estudos.

Os seguintes tópicos foram removidos:

• Frame-Relay
• WAN Serial
• CEF (Cisco Express Forwarding)
• Pilha-Dupla do IPv6
• VRRP e GLBP (em FHRP)

Os seguintes tópicos foram adicionados:

• Noção de Componentes da Infraestrutura (Firewall, AP, WLC)
• Arquitetura Tradicional em Camadas x Arquitetura de Núcleo Colapsado
• Configuração e Verificação da Autoconfiguração SLAAC em IPv6
• Endereço IPv6 Anycast
• Protocolo LLDP
• Fundamentos do Serviço DNS e DHCP
• Conceito de Topologias WAN (Single-Homed x Dual-Homed)
• Configuração Básica de BGP (eBGP)
• VPN (DMVPN, Site-to-Site e Client-to-Site)
• Monitoramento de Dispositivos via Syslog
• Backup e Recuperação de Configurações dos Dispositivos
• Conceitos de Computação em Nuvem
• Conceitos de SDN (Software-Defined Network)
• Conceitos de QoS
• Aplicação Patch Trace (APIC-EM)

Em termos de mudança, observa-se aquela tendência de cobrança cada vez maior por conteúdo relacionado a IPv6, incluindo práticas de configuração. Outra alteração que já era esperada desde a publicação do currículo anterior foi a remoção da tecnologia legada Frame-Relay. Das demais alterações, percebe-se uma maior carga de fundamentos relacionados a tópicos recentes que envolvem computação em nuvem e programabilidade de redes. Talvez as únicas surpresas tenham sido BGP e QoS que, até então, eram explorados apenas em outras certificações. 

O antigo exame composto 200-120 (CCNA v2.0) poderá ser realizado até 20/08/2016, assim como os exames individuais 100-101 (ICND1) e 200-101 (ICND2). O novo exame composto passa a ser identificado pelo código 200-125 (CCNA v3.0), enquanto que os novos exames individuais passam a ser identificados pelos códigos 100-105 (ICND1 v3.0) e 200-105 (ICND2 v3.0). A partir de 20/ago deste ano, o candidato a CCNA R&S somente poderá realizar os novos exames. 

Os pesos das categorias abordadas no exame estão dispostos da seguinte forma:

• [15%]  Fundamentos de Redes
• [21%]  Tecnologias de Switching (LAN)
• [23%]  Tecnologias de Roteamento
• [10%]  Tecnologias de Longa Distância (WAN)
• [10%]  Serviços de Infraestrutura
• [11%]  Segurança na Infraestrutura
• [10%]  Gerenciamento da Infraestrutura

Ao leitor interessado na relação detalhada de todo o conteúdo específico de cada uma das categorias acima, recomendo a leitura do blueprint oficial disponibilizado pela Cisco. Esse material pode ser acessado na íntegra a partir do link abaixo:

https://learningcontent.cisco.com/cln_storage/text/cln/marketing/exam-topics/200-125-ccna-v2.pdf

Bons estudos...

Samuel.

VPN Site-to-Site no Firewall Cisco ASA do Packet Tracer

Olá Pessoal,

No artigo anterior apresentei ao leitor os procedimentos para realizar aquelas configurações mais básicas do firewall Cisco ASA 5505 (clique aqui para ler), um componente incorporado no Cisco Packet Tracer desde junho/2014 (versão 6.1.0). Expliquei que as opções de configuração do dispositivo ainda são bastante limitadas no simulador e agora aproveito para explorar neste artigo outra funcionalidade suportada, dessa vez relacionada à configuração de uma VPN Site-to-Site (também chamada de LAN-to-LAN) entre duas unidades de uma empresa que possuem firewalls ASA na borda das suas redes.

Observem na topologia da figura abaixo que a empresa possui uma matriz em São Paulo que contém a rede local 192.168.100.0/24 e uma filial no Rio de Janeiro que contém a rede 192.168.200.0/24. Cada unidade possui um firewall ASA na borda que está diretamente conectado na Internet e também na rede local de sua respectiva unidade. O ASA será configurado para conectar as duas unidades remotas através da Internet pública, uma prática bastante comum no mercado como alternativa aos tradicionais links corporativos de longa distância (WAN) que são caros. As VPNs também são frequentemente utilizadas como solução de backup para empresas que já têm um link corporativo. 

Clique aqui para baixar o arquivo do laboratório (.pkt)

Abaixo vou trazer todas as configurações necessárias organizadas em diferentes seções e deixarei para fazer os comentários depois da relação dos comandos para facilitar a reprodução das configurações. A configuração do ASA 5505 em SP deve ficar da seguinte maneira:

!--
!-- 1. Configurações Básicas das Interfaces e Rota Default
!-- 

01. ciscoasa(config)# hostname ASA-SP
02. ASA-SP(config)# int vlan 1
03. ASA-SP(config-if)# nameif inside
04. ASA-SP(config-if)# security-level 100
05. ASA-SP(config-if)# ip address 192.168.100.1 255.255.255.0
06. ASA-SP(config-if)# int vlan 2
07. ASA-SP(config-if)# nameif outside
08. ASA-SP(config-if)# security-level 0
09. ASA-SP(config-if)# ip address 203.0.113.2 255.255.255.252
10. ASA-SP(config-if)# exit
11. ASA-SP(config)# route outside 0.0.0.0 0.0.0.0 203.0.113.1

!--
!-- 2. Definição do Perfil de Trafego (Objetos e ACLs)
!-- Repare que todo tráfego está liberado, uma prática não recomendada

12. ASA-SP(config)# object network LAN-SP
13. ASA-SP(config-network-object)# subnet 192.168.100.0 255.255.255.0
14. ASA-SP(config-network-object)# object network LAN-RJ
15. ASA-SP(config-network-object)# subnet 192.168.200.0 255.255.255.0
16. ASA-SP(config-network-object)# exit
17. ASA-SP# configure terminal
18. ASA-SP(config)# access-list TRAFEGO-VPN extended permit icmp object LAN-SP object LAN-RJ
19. ASA-SP(config)# access-list ENTRADA extended permit icmp any any
20. ASA-SP(config)# access-list ENTRADA extended permit  udp any any
21. ASA-SP(config)# access-list ENTRADA extended permit  tcp any any
22. ASA-SP(config)# access-group ENTRADA in interface outside

!--
!-- 3. Definição das Políticas de Segurança (IKEV1/IPSec)
!--

23. ASA-SP(config)# crypto ikev1 policy 1
24. ASA-SP(config-ikev1-policy)# authentication pre-share
25. ASA-SP(config-ikev1-policy)# encryption aes
26. ASA-SP(config-ikev1-policy)# hash sha
27. ASA-SP(config-ikev1-policy)# group 2
28. ASA-SP(config-ikev1-policy)# exit
29. ASA-SP(config)# crypto ikev1 enable outside
30. ASA-SP(config)# crypto ipsec ikev1 transform-set IPSEC esp-aes esp-sha-hmac

!--
!-- 4. Criação do Túnel Virtual p/ Site Remoto
!--

31. ASA-SP(config)# tunnel-group 198.51.100.2 type ipsec-l2l
32. ASA-SP(config)# tunnel-group 198.51.100.2 ipsec-attributes
33. ASA-SP(config-tunnel-ipsec)# ikev1 pre-shared-key SENHA
34. ASA-SP(config-tunnel-ipsec)# exit

!--
!-- 5. Definição da VPN (Junção dos Parâmetros de Segurança)
!--

35. ASA-SP(config)# crypto map VPN 1 match address TRAFEGO-VPN
36. ASA-SP(config)# crypto map VPN 1 set peer 198.51.100.2
37. ASA-SP(config)# crypto map VPN 1 set ikev1 transform-set IPSEC
38. ASA-SP(config)# crypto map VPN interface outside


A primeira seção (linhas de 01 a 11) traz apenas as configurações básicas das interfaces inside e outside, além da rota default que aponta para o provedor de cada unidade. No segundo bloco de configuração (linhas de 12 a 22) criamos dois objetos correspondentes às sub-redes da matriz (192.168.100.0/24) e da filial (192.168.200.0/24). Na sequência criaremos uma ACL dizendo que o tráfego de interesse da VPN será aquele originado na matriz (192.168.100.0/24) e destinado à filial (192.168.200.0/24), fazendo referência ao tráfego que sairá para a Internet através da interface outside (ACL TRAFEGO-VPN). Também aproveitaremos para permitir a entrada de tráfego vindo do site remoto na interface outside do ASA (ACL ENTRADA), já que sua política padrão não permite nada vindo da Internet.

Em relação às configurações de segurança (linhas de 23 a 30), primeiro é necessário definir uma política ISAKMP (IKEV1) para fins de estabelecimento dos canais cifrados entre as duas pontas remotas, através do qual será negociada associação (security association). Neste exemplo optamos por utilizar um par de chave compartilhada previamente configurado em cada site (pre-shared key). Também é necessário definir o conjunto de transformação do IPSec (transform-set) que será utilizado para realizar a cifragem dos pacotes de dados (AES) e também para autenticação (HMAC). São várias as opções de transform-set, por isso é importante estar atento para que ambos os lados sejam configurados de maneira idêntica nesse quesito.

Na sequência fazemos a configuração do túnel virtual entre os dois sites (linhas de 31 a 34), destacando que em cada localidade o nome do túnel deve fazer referência ao IP do site remoto. Por fim, nas linhas de 35 a 38, utilizamos o recurso crypto-map para unificar todas as configurações de segurança realizadas anteriormente e ativamos o túnel na interface outside do ASA para que a VPN possa ser estabelecida. Observem que é nessa etapa que utilizamos aquela ACL denominada TRAFEGO-VPN para instruir que todo tráfego entre as duas unidades remotas deverá ser direcionado pelo túnel, ao invés de roteado da maneira tradicional, além de criptografado antes de trafegar pela Internet pública.

A configuração do ASA no RJ é muito parecida, com alguns detalhes invertidos:

!--
!-- 1. Configurações Básicas das Interfaces e Rota Default
!--

ciscoasa(config)# hostname ASA-RJ
ASA-RJ(config)# int vlan 1
ASA-RJ(config-if)# nameif inside
ASA-RJ(config-if)# security-level 100
ASA-RJ(config-if)# ip address 192.168.200.1 255.255.255.0
ASA-RJ(config-if)# int vlan 2
ASA-RJ(config-if)# nameif outside
ASA-RJ(config-if)# security-level 0
ASA-RJ(config-if)# ip address 198.51.100.2 255.255.255.252
ASA-RJ(config-if)# exit
ASA-RJ(config)# route outside 0.0.0.0 0.0.0.0 198.51.100.1

!--
!-- 2. Definição do Perfil de Trafego (Objetos e ACLs)
!-- Repare que todo tráfego está liberado, uma prática não recomendada

ASA-RJ(config)# object network LAN-SP
ASA-RJ(config-network-object)# subnet 192.168.100.0 255.255.255.0
ASA-RJ(config-network-object)# object network LAN-RJ
ASA-RJ(config-network-object)# subnet 192.168.200.0 255.255.255.0
ASA-RJ(config-network-object)# exit
ASA-RJ# configure terminal
ASA-RJ(config)# access-list TRAFEGO-VPN extended permit icmp object LAN-RJ object LAN-SP
ASA-RJ(config)# access-list ENTRADA extended permit icmp any any
ASA-RJ(config)# access-list ENTRADA extended permit  udp any any
ASA-RJ(config)# access-list ENTRADA extended permit  tcp any any
ASA-RJ(config)# access-group ENTRADA in interface outside

!--
!-- 3. Definição das Políticas de Segurança (IKEV1/IPSec)
!--

ASA-RJ(config)# crypto ikev1 policy 1
ASA-RJ(config-ikev1-policy)# authentication pre-share
ASA-RJ(config-ikev1-policy)# encryption aes
ASA-RJ(config-ikev1-policy)# hash sha
ASA-RJ(config-ikev1-policy)# group 2
ASA-RJ(config-ikev1-policy)# exit
ASA-RJ(config)# crypto ikev1 enable outside
ASA-RJ(config)# crypto ipsec ikev1 transform-set IPSEC esp-aes esp-sha-hmac

!--
!-- 4. Criação do Túnel Virtual p/ Site Remoto
!--

ASA-RJ(config)# tunnel-group 203.0.113.2 type ipsec-l2l
ASA-RJ(config)# tunnel-group 203.0.113.2 ipsec-attributes
ASA-RJ(config-tunnel-ipsec)# ikev1 pre-shared-key SENHA
ASA-RJ(config-tunnel-ipsec)# exit

!--
!-- 5. Definição da VPN (Junção dos Parâmetros de Segurança)
!--

ASA-RJ(config)# crypto map VPN 1 match address TRAFEGO-VPN
ASA-RJ(config)# crypto map VPN 1 set peer 203.0.113.2
ASA-RJ(config)# crypto map VPN 1 set ikev1 transform-set IPSEC
ASA-RJ(config)# crypto map VPN interface outside

A configuração de VPN site-to-site no Packet Tracer ainda apresenta bastante instabilidade, por isso é normal que seja necessário forçar a geração do tráfego IPSec através da ferramenta de simulação do software para que o túnel seja estabelecido. Para saber se as configurações funcionaram, além de fazer o ping até as máquinas das unidades remotas, também é recomendado utilizar os comandos abaixo (destaque em amarelo) para exibir o status da VPN:

ASA-SP# show crypto isakmp sa

IKEv1 SAs:

  Active SA: 1
  Rekey SA: 0 (A tunnel will report 1 Active and 1 Rekey SA during rekey)

Total IKE SA: 1
1   IKE Peer: 198.51.100.2
    Type    : L2L             Role    : responder
    Rekey   : no              State   : QM_IDLE

There are no IKEv2 SAs


ASA-SP# show crypto ipsec sa

interface: outside
    Crypto map tag: VPN, seq num: 1, local addr 203.0.113.2

      permit icmp object MATRIZ-SP object FILIAL-RJ
      local   ident (addr/mask/prot/port): (192.168.100.0/255.255.255.0/1/0)
      remote  ident (addr/mask/prot/port): (192.168.200.0/255.255.255.0/1/0)
      current_peer 198.51.100.2
      (...) Saída Omitida
      local crypto endpt.: 203.0.113.2/0, remote crypto endpt.:198.51.100.2/0
      (...) Saída Omitida

Façam seus testes...

Samuel.

Configuração Básica do Firewall Cisco ASA no Packet Tracer

Olá Pessoal,

Desde a versão 6.1.0 do Cisco Packet Tracer, lançado em junho/2014, existe a opção de o usuário inserir um firewall ASA 5505 em seus laboratórios a partir da paleta de componentes que fica localizada no canto inferior esquerdo da interface do simulador (seção Security). Ainda que as opções de configuração do dispositivo sejam bastante limitadas no simulador, pelo menos é possível começar a interagir um pouco com o sistema operacional dessa appliance de segurança que tem suas próprias particularidades em comparação ao tradicional IOS utilizado em switches e roteadores.

Figura. Visão Frontal do Firewall Cisco ASA 5505

O sistema do firewall ASA tem muitas particularidades que devem ser compreendidas antes de configurar o equipamento. A seguir farei uma síntese das características principais do firewall para que possamos avançar na resolução de um laboratório simples. Por padrão o ASA 5505 vem configurado com 2 VLANs:

• VLAN 1: REDE INTERNA (inside) nas interfaces e0/1 até e0/7
• VLAN 2: REDE EXTERNA (outside) na interface e0/0

Infelizmente no Packet Tracer ainda não é possível criar uma terceira VLAN vinculada a uma zona de segurança, por exemplo para servidores públicos em uma DMZ, porque o dispositivo possui apenas uma licença básica. Ao tentar fazê-lo no simulador, o leitor receberá a seguinte mensagem de erro:

"This license does not allow configuring more than 2 interfaces with nameif and without a "no forward" command on this interface or on 1 interface(s) with nameif already configured."

Uma característica importante do ASA é que, por padrão, todo tráfego entrante na interface outside é negado, a menos que sejam configuradas regras de acesso (ACL) que permitam um determinado perfil de tráfego entrante. Cada interface é associada a uma zona de segurança através do parâmetro nameif, como pode ser observado nas linhas abaixo. Além disso, cada interface possui um nível de segurança (security-level) que varia de 0 a 100, sendo 0 o nível menos seguro (padrão na interface outside) e 100 o nível mais seguro (padrão nas interfaces inside). A configuração desse parâmetro é importante porque outro comportamento padrão do ASA é que todo tráfego originado por uma interface mais segura pode atravessar em direção a uma interface menos segura, no entanto o contrário não é permitido, ou seja, todo tráfego vindo de uma interface menos segura não pode atravessar em direção a uma interface mais segura.

interface Ethernet0/0
  nameif outside
  security-level 0
!
interface Ethernet0/1
  nameif inside
  security-level 100

O objetivo deste artigo é explorar algumas das particularidades técnicas de configuração do firewall Cisco ASA-5505, o modelo de entrada da família ASA (Adaptive Security Appliance) que vem sendo substituído pelo ASA-5506-X. Para fazê-lo será utilizado o laboratório apresentado na figura abaixo, lembrando que estaremos restritos a alguns dos recursos que são suportados pelo simulador Packet Tracer.

Clique aqui para baixar o arquivo do laboratório (.pkt)

Observe que o cenário é simples, onde existe uma rede interna 192.168.0.0/24 conectada à Internet através de um ASA. A interface e0/1 do ASA que está definida na zona inside (VLAN 1) é o gateway da rede interna (192.168.0.1), enquanto que a interface e0/0 definida na zona outside (VLAN2) recebe do provedor um IP na Internet (203.0.113.1). As configurações são realizadas nas interfaces do tipo VLAN, já que múltiplas portas físicas normalmente são associadas a sua respectiva zona de segurança através de uma VLAN. A interface e0/0 está associada à VLAN 2 pelo comando padrão "switchport access vlan 2". A configuração de associação das interfaces pode ser alterada de acordo com o ambiente do usuário a partir do mesmo comando seguido da VLAN correspondente.

A resolução deste laboratório requer os seguintes comandos:

01. ciscoasa> enable
02. ciscoasa# configure terminal
03. ciscoasa(config)# hostname ASA-FW
04. ASA-FW(config) # interface vlan 1
05. ASA-FW(config-if)# nameif inside
06. ASA-FW(config-if)# security-level 100
07. ASA-FW(config-if)# ip address 192.168.0.1 255.255.255.0
08. ASA-FW(config-if)# exit
09. ASA-FW(config)# interface vlan 2
10. ASA-FW(config-if)# nameif outside
11. ASA-FW(config-if)# security-level 0
12. ASA-FW(config-if)# ip address 203.0.113.1 255.255.255.252
13. ASA-FW(config-if)# exit
14. ASA-FW(config)# route outside 0.0.0.0 0.0.0.0 203.0.113.2
15. ASA-FW(config)# object network NAT-LAN
16. ASA-FW(config-network-object)# subnet 192.168.0.0 255.255.255.0
17. ASA-FW(config-network-object)# nat (inside,outside) dynamic interface
18. ASA-FW(config-network-object)# exit 
19. ASA-FW(config)# access-list ENTRADA extended permit icmp any any
20. ASA-FW(config)# access-list ENTRADA extended permit tcp any eq www any
21. ASA-FW(config)# access-group ENTRADA in interface outside

As configurações básicas da rede interna (interface vlan 1) foram realizadas nas linhas 04-07, oportunidade em que definimos a zona inside (nameif), o nível mínimo de segurança (100) e o IP (192.168.0.1/24). As configurações básicas da rede externa (interface vlan 2) foram realizadas nas linhas 09-12, oportunidade em que definimos a zona outside (nameif), o nível máximo de segurança (0) e o IP (203.0.113.1). Na linha 14 foi adicionada uma rota default (0.0.0.0 0.0.0.0) direcionando ao provedor a saída do tráfego para a Internet. Nas linhas 15-17 criamos um objeto associado à rede interna para realização da tradução dos endereços (NAT), procedimento necessário para que as máquinas com endereços privados sejam capazes de receber resposta dos servidores da Internet endereçados publicamente. Nas linhas 19-21 criamos e aplicamos uma regra para permitir o recebimento de respostas ping (ICMP) para testar a conectividade das máquinas da rede interna com o host remoto (1.1.1.1), já que o comportamento padrão do ASA é negar todo tráfego vindo de uma interface com security-level menor que o destino. Reparem que também permitimos a entrada de qualquer tráfego web de resposta (porta de origem = 80), assim as máquinas clientes conseguem acessar o servidor web através do navegador.

As configurações básicas podem ser visualizadas através dos comandos abaixo:

ASA-FW# show ip

(...) Saída Omitida

Current IP Addresses:

Interface Name  IP Address   Subnet Mask      Method

Vlan1 inside    192.168.0.1  255.255.255.0    manual

Vlan2 outside   203.0.113.1  255.255.255.252  manual

ASA-FW# show switch vlan

VLAN Name    Status Ports

---- -------------------------------- --------- -------------------------------

1    inside  up     Et0/1, Et0/2, Et0/3, Et0/4, Et0/5, Et0/6, Et0/7

2    outside up     Et0/0

ASA-FW# show route

(...) Saída Omitida

Gateway of last resort is 203.0.113.2 to network 0.0.0.0

C 192.168.0.0 255.255.255.0 is directly connected, inside

203.0.113.0/30 is subnetted, 1 subnets

C 203.0.113.0 255.255.255.252 is directly connected, outside

S* 0.0.0.0/0 [1/0] via 203.0.113.2

ASA-FW# show access-list

(...) Saída Omitida

access-list ENTRADA line 1 extended permit icmp any any(hitcnt=13) 0x3843e9e3
access-list ENTRADA line 2 extended permit tcp any eq www any(hitcnt=3) 0x7b11a3a4

Façam seus testes...

Samuel. 

Descoberta de Controladoras em WLAN Cisco (CUWN)

Olá Pessoal,

A arquitetura tradicional de redes sem fio (WLAN) é totalmente distribuída, sendo que os APs responsáveis pela área de cobertura do sinal são dispositivos autônomos, ou seja, independentes uns dos outros ou que qualquer elemento externo. Essa característica distribuída pode se tornar um grande problema em redes maiores que possuem uma grande área de cobertura, já que são necessários diversos APs para assegurar que todos os clientes móveis possam se conectar. 

O impasse é que apesar do modelo tradicional ser distribuído, o esforço de configuração é unificado porque deve existir coerência nas configurações dos APs, principalmente no planejamento de canais não sobrepostos e no que diz respeito à potência do sinal de transmissão para que haja células com algum grau de sobreposição a fim de evitar áreas de sombra. 

A Cisco possui uma solução própria de gerenciamento centralizado de redes sem fio denominada Cisco Unified Wireless Network (CUWN). Essa abordagem da Cisco basicamente separa as funções dos APs em dois novos componentes: (1) WLC e (2) LAP:

Fonte: CCNA Wireless 200-355 - Official Certification Guide (Cisco Press)

• WLC (Wireless LAN Controller): Todo o gerenciamento dos APs do ambiente passa a ser realizado por esse componente de maneira centralizada e automatizada, por exemplo através do RRM (Radio Resource Management) que permite a configuração dinâmica das células e dos canais de rádiofrequência;
• LAP (Lightweight Access Point): O LAP é um dispositivo que possui apenas as funções básicas para viabilizar o acesso dos clientes à rede wireless, ou seja, ele transfere toda a responsabilidade do plano de controle para o WLC.

Fonte: CCNA Wireless 200-355 - Official Certification Guide (Cisco Press)

Uma vez que o WLC assume o papel de elemento principal do ponto de vista de inteligência da rede WiFi, não há necessidade de nenhuma configuração nos LAPs, bastando a fixação adequada do equipamento na sua área de cobertura. Por outro lado, sem a presença de uma controladora o LAP não passa de uma caixa fria sem utilidade. É por isso que o LAP, assim que é ligado, imediatamente começa a buscar pela presença de uma ou mais controladoras que possam atendê-lo. Esse processo de descoberta é fundamental e pode ser configurado através de diferentes maneiras.

Um LAP precisa estabelecer um túnel CAPWAP (Control and Provisioning of Wireless Access Points) com uma ou mais controladoras WLC para que o tráfego de controle e de dados seja protegido, uma vez que será necessário passar pela infraestrutura cabeada, o que torna o tráfego dessas mensagens passível de tentativas de ataque. Nas sub-seções abaixo trago uma síntese dos principais métodos que um LAP utiliza na tentativa de descoberta de um WLC:

---

1. Mensagem de Descoberta em Broadcast no Link Local (Sub-Rede)

Uma primeira maneira simplista para descobrir um WLC é o LAP enviar uma mensagem "CAPWAP Discovery Request" (UDP/5246) de natureza broadcast para seu link local (sub-rede). Caso exista algum WLC no enlace, o LAP será respondido com uma mensagem "CAPWAP Discovery Response" e o túnel CAPWAP será estabelecido. A limitação dessa abordagem é que frequentemente o WLC está inserido em outra sub-rede diferente daquela em que os LAPs são instalados, ou seja, o tráfego de broadcast é interrompido na interface do roteador que é gateway da sub-rede de origem da mensagem de descoberta. Para contornar essa limitação é possível configurar a interface do roteador para realizar o relay (encaminhamento) das mensagens broadcast recebidas na porta UDP/5246, apontando para o(s) respectivo(s) controlador(es). Esse procedimento pode ser realizado através dos comandos abaixo:

Router(config)# ip forward-protocol udp 5246

Router(config)# interface g0/0

Router(config-if)# ip helper-address <WLC1-IP>

Router(config-if)# ip helper-address <WLC2-IP>

---

2. Utilização de Endereços de WLCs Previamente Armazenados

Um LAP pode estar previamente "abastecido" com os endereços de três WLCs, informação que fica armazenada na NVRAM (memória não volátil). Por exemplo, se um LAP já foi anteriormente associado com alguma controladora, as informações da controladora ficarão armazenadas na sua NVRAM. Dessa forma, não há necessidade de refazer o processo de descoberta em caso de boot do LAP, o que agiliza o processo de vínculo da LAP com sua(s) WLC(s).

---

3. Uso da Opção 43 do DHCP

Também é possível ensinar o endereço da(s) controladora(s) através da configuração da opção adicional 43 no servidor DHCP. Essa configuração não é assim tão simples quanto incluir a opção 43 no servidor DHCP e informar o IP da WLC. Na realidade, o conteúdo do campo da opção 43 do DHCP é uma string hexadecimal iniciada em 0xf1 que deve obedecer à seguinte estrutura:

"f1" + 4x"qtde WLCs" + "IP1+IP2+IP3"

A string hexadecimal necessariamente deve começar com "f1". Na sequência a string deve ser complementada com quatro vezes a quantidade de WLCs que existem na rede (em hexadecimal). Por fim, devem ser informados os IPs das controladoras de maneira sequencial (em hexadecimal). Por exemplo, assumindo uma rede com um único WLC (destaque em azul) que responde pelo IP 192.168.56.100 (destaque em amarelo), a string hexadecimal seria: f104c0a83864

Abaixo trago um exemplo de configuração de duas WLCs (.100 e .101) no escopo DHCP do IOS:

Router(config)# ip dhcp excluded-address 192.168.56.1 192.168.56.3
Router(config)# ip dhcp excluded-address 192.168.56.100 192.168.56.101
Router(config)# ip dhcp pool ESCOPO
Router(dhcp-config)# network 192.168.56.0 255.255.255.0
Router(dhcp-config)# default-router 192.168.56.1
Router(dhcp-config)# dns-servers 192.168.56.2 192.168.56.3
Router(dhcp-config)# domain-name nome.com.br
Router(dhcp-config)# option 43 hex f108c0a83864c0a83865

No link abaixo o leitor encontra mais informações na página de suporte da Cisco:
http://www.cisco.com/c/en/us/support/docs/wireless-mobility/wireless-lan-wlan/97066-dhcp-option-43-00.html

---

4. Uso de Nome DNS

Por padrão um LAP Aironet tenta resolver o nome CISCO-CAPWAP-CONTROLLER.localdomain, sendo que localdomain é o domínio em uso no ambiente da empresa e que foi aprendido via DHCP. Ou seja, através da inserção de um registro nos servidores DNS da empresa é possível mapear esse nome com o respectivo endereço IP da controladora principal que o LAP deverá criar vínculo.   

---

Samuel.

Novos Padrões WiFi: 802.11ad (WiGig) e 802.11ah (HiLow)

Olá Pessoal.

Há alguns anos escrevi um artigo intitulado "Padrão IEEE 802.11ac de Redes Wireless a 1Gbps", oportunidade em que abordei a atual tecnologia Gigabit WiFi (802.11ac) ainda em momento que esse padrão era apenas um rascunho. Desde então novas tecnologias WiFi vem sendo desenvolvidas, motivo pelo qual vou dedicar este artigo a três padrões recentes e interessantes de WLAN: 802.11ad (WiGig), 802.11af (WhiteFi) e 802.11ah (HaLow). Antes de explicar brevemente as particularidades de cada um, é importante esclarecer que nenhum deles é concorrente (ou mesmo uma evolução natural) do atual padrão 802.11ac, mas têm potencial de disseminação comercial para fins específicos. 

---

Padrão IEEE 802.11ad (WiGig)

A tecnologia WiGig tem por objetivo viabilizar redes multi-gigabit extremamente rápidas por operar em faixas de frequências altas da ordem de 60 GHz. Essa frequência ainda não é muito utilizada e tem uma faixa ampla de banda disponível. Apesar disso ser um grande atrativo, é importante destacar que faixas de frequência mais altas do espectro eletromagnético têm menor alcance e muita dificuldade em penetrar obstáculos, sendo incapazes de atravessar paredes, uma característica fundamental.

É por causa dessa característica que o WiGig é considerado uma tecnologia de redes sem fio de área pessoal (WPAN) que tem por objetivo principal viabilizar aquilo que chamamos de wireless docking para que diferentes dispositivos possam parear em um pequeno espaço, como por exemplo na substituição dos cabos HDMI entre dispositivos audiovisuais em uma sala de estar.

No entanto existe a possibilidade de desenvolvimento de dispositivos WLAN tri-band capazes de operar nas frequências de 2.4 GHz, 5 GHz e também 60 GHz. A idéia seria tirar máximo proveito da faixa de frequência de 60 GHz em comunicações entre dispositivos próximos para atingir velocidades maiores que 7 Gbps, de maneira que as demais comunicações entre dispositivos distantes e/ou separados por paredes ocorram através das frequências mais baixas de 5 GHz e 2.4 GHz, como já acontece atualmente.

---

Padrão IEEE 802.11af (WhiteFi ou Super WiFi)

É uma tecnologia que se propõe a utilizar os chamados espaços brancos de TV, ou seja, aquelas faixas de frequência do espectro das redes de TV que estão ociosas. Na realidade os espaços brancos de TV são faixas de frequência não utilizadas propositalmente para que haja uma distância natural entre os diferentes transmissores com a finalidade de evitar interferência entre canais próximos. Ocorre que esse espaço foi dimensionado para proteger o sinal de outras interferências terrestres que normalmente não ocorrem em várias regiões, o que implica em pouca eficiência no uso do espectro disponível.

Na prática essa tecnologia é considerada nebulosa porque ainda é difícil o esforço para organizar os rádios dincamicamente na utilização das diferentes frequências sem gerar interferência no serviço primário de televisão. Além disso, a proposta 802.11af em redes locais (WLAN) conflita em vários aspectos com outro grupo de trabalho que estuda os chamados rádios cognitivos (ou software-defined radio) de alcance geográfico da ordem de 100km através do padrão 802.22 de WRAN (Wireless Regional Area Network).

---

Padrão IEEE 802.11ah (HaLow)

A completa padronização do WiFi HaLow deve ocorrer ainda nesse ano. Trata-se de um padrão ideal para suportar a comunicação entre dispositivos portáteis no contexto da Internet das coisas (IoT). Ele opera em frequências abaixo do GHz, especificamente nas faixas não licenciadas nas proximidades dos 900 MHz, o que implica em maior área de cobertura e melhor penetrabilidade do sinal ao enfrentar obstáculos do que as frequências mais altas. Seu aspecto negativo é que nessa faixa faixa de frequência há pouca banda disponível, por exemplo apenas 26 MHz nos EUA, o que limita a aplicação da tecnologia para comunicações pouco volumosas, principalmente entre sensores telemétricos (machine-to-machine). Outro benefício é o baixo consumo de energia, um grande atrativo para dispositivos portáteis.

---

Samuel.

Lançamento do Cisco Packet Tracer 6.3.0

Olá Pessoal,

Recentemente a Cisco anuncionou oficialmente para a comunidade NetAcad o lançamento da "nova" versão do Simulador Cisco Packet Tracer 6.3 (6.3.0008), disponível para download no repositório oficial da Academia Cisco no NetSpace. Nessa versão não foi adicionado nenhum novo recurso, exceto que agora foi inserido um procedimento de login na inicialização do software.

Certamente o objetivo do login é priorizar os alunos matriculados em cursos das academias oficiais do programa Cisco Networking Academy (NetAcad). Para aqueles que não são alunos oficiais do programa NetAcad, ainda existe uma opção de login para visitantes (guest login) em que o usuário deve esperar 15 segundos toda vez que inicializa o software antes de ser lançado para o simulador com algumas limitações de recursos. Embora ainda não seja possível afirmar, é natural de se pensar que a inserção da autenticação nessa nova versão do simulador seja um indicativo de que a Cisco pode restringir o acesso do software em próximas versões somente para alunos da NetAcad, o que garantiria que as aulas seriam ministradas somente por instrutores oficiais habilitlados pela Cisco.

Também estou disponibilizando a nova versão do simulador Packet Tracer da Cisco® para download na seção "Downloads & Laboratórios" do blog (para Windows e Linux). Outro detalhe é que agora não existem mais duas versões diferentes para estudantes (student) e instrutores (instructor), uma vez que o procedimento de login é suficiente para enquadrar o privilégio do usuário. Baixem essa nova versão e relatem suas experiências com a ferramenta. Os laboratórios do meu livro são todos compatíveis com essa nova versão, por isso não deve haver problema nenhum em fazer a atualização.

Fiquem atentos...

Samuel. 

Novo Padrão NBASE-T de Gigabit Ethernet

Olá Pessoal,

Tradicionalmente a tecnologia Ethernet (IEEE 802.3) em redes cabeadas tem evoluído em saltos múltiplos de dez no que diz respeito à sua taxa de transmissão. O leitor pode observar na tabela abaixo uma síntese dessa evolução ao longo dos anos, considerando seu uso apenas nos cabos do tipo par-trançado. O objetivo deste artigo não é discutir as principais categorias de cabos par-trançado, por isso recomendo que os interessados no assunto cliquem aqui para ler outro artigo no blog. 

Outra tecnologia que evoluiu rapidamente em termos de taxas de transmissão foi o WiFi (IEEE 802.11) em redes sem fio. Atualmente o WiFi é imprescindível  porque permite que os recursos e serviços da rede, principalmente a Internet, possam ser acessados a partir dos dispositivos móveis dos usuários. Ocorre que o número de usuários com dispositivos móveis somente cresce e a qualidade do conteúdo multimídia consome cada vez mais banda, fatores que têm impulsionado a rápida evolução dessa tecnologia. 

A rede cabeada é o mecanismo de "escoamento" de tráfego responsável por prover banda suficiente para que os recursos da infraestrutura possam ser acessados de maneira satisfatória pela grande quantidade de usuários. Isso quer dizer que por trás de toda cobertura wireless, existe uma infraestrutura cabeada capaz de suportar a demanda dos usuários móveis. No entanto, por incrível que possa parecer, o fato é que os padrões WiFi conseguiram acompanhar o ritmo de desenvolvimento dos padrões Ethernet, de forma que agora os enlaces de acesso de apenas 1Gbps (Gigabit-Ethernet) não são mais suficientes para suportar os APs do atual padrão 802.11ac (Gigabit WiFi Wave2) que possuem taxas nominais da ordem de 3 a 6 Gbps. Para saber mais sobre o Gigabit WiFi (802.11ac), clique aqui para ler outro artigo do blog. 

A solução natural seria atualizar a infraestrutura cabeada para o próximo padrão, ou seja, para o 10GbE, mas existem alguns problemas técnicos em fazê-lo, além do alto custo das interfaces. Para manter o limite nominal do comprimento do cabo de par-trançado em 100 metros, a tecnologia 10GbE somente opera com o cabo do tipo Cat6A. A maioria do cabeamento instalado nas empresas para interligar os terminais e APs nos switches é Cat5e e Cat6. Isso quer dizer que além do alto custo de substituição das interfaces de todos os equipamentos da infraestrutura, também seria necessário reinstalar boa parte do cabeamento na empresa, algo totalmente inviável em termos de retorno do investimento, principalmente em projetos de cabeamento implantados/atualizados recentemente. 

Desde março de 2015 a aliança NBASE-T, originalmente fundada pela Cisco em conjunto com outras empresas, vem trabalhando na proposta do rascunho IEEE P802.3bz para amenizar esse impasse. Com perspectiva de aprovação do novo padrão em setembro de 2016, a proposta da aliança é conseguir atingir velocidades intermediárias entre os limiares de 1Gbps (Gigabit-Ethernet) e 10Gbps (10GbE), especificamente 2.5Gbps utilizando o cabeamento Cat5e (2.5GBASE-T) e 5Gbps utilizando o cabeamento Cat6 (5GBASE-T) já instalado nas empresas.

Ainda que a opção de evoluir para o padrão 10GbE seja a melhor solução técnica do ponto de vista de escalabilidade para permitir o crescimento da rede, é inegável que o NBASE-T será muito atrativo como solução de curto e médio prazos para permitir o crescimento da rede sem a necessidade de altos investimentos, o que permitirá que as empresas consigam diluir melhor seus custos e melhorar o retorno dos investimentos recém realizados em cabeamento. Os switches Multi-Gigabit da Cisco já são aderentes ao NBASE-T, sendo que o leitor pode encontrar mais informações sobre esses switches no link abaixo:

http://www.cisco.com/c/en/us/solutions/enterprise-networks/catalyst-multigigabit-switching/index.html

Samuel.