taap.digital

taap.digitalhttps://taap.digital/Radar e Guias do taap.digital: notícias de redes analisadas e casos práticos com a conta aberta, pela Redação Grupo TAAP.pt-BRWed, 14 Oct 2026 05:52:14 -0300https://taap.digital/marca/logo-quadrado-512.pngtaap.digitalhttps://taap.digital/ DNS raiz troca a chave KSK: o que conferir no resolvedorhttps://taap.digital/radar/dns-raiz-nova-chave-ksk-2024-resolvedoreshttps://taap.digital/radar/dns-raiz-nova-chave-ksk-2024-resolvedoresWed, 14 Oct 2026 06:00:00 -0300Redação Grupo TAAPProtocolosDesde 11 de outubro de 2026 a raiz do DNS é assinada pela KSK-2024 (key tag 38696). Veja como conferir a âncora de confiança no BIND, Unbound e Knot.Molho de chaves antigas pretas sobre fundo claroA troca da chave que assina a raiz do DNS aconteceu no domingo, 11 de outubro, como previsto. Quem opera resolvedor com validação DNSSEC precisa confirmar que a chave nova está na lista de âncoras de confiança. Se não estiver, o resolvedor para de responder a qualquer nome.

Molho de chaves antigas pretas sobre fundo claro

]]> BIND de 2015 na lista da CISA: o DNS que ninguém atualizouhttps://taap.digital/radar/bind-cve-2015-5477-tkey-cisa-kev-2026https://taap.digital/radar/bind-cve-2015-5477-tkey-cisa-kev-2026Wed, 14 Oct 2026 06:00:00 -0300Redação Grupo TAAPSegurançaOnze anos depois, a CISA incluiu no catálogo KEV a CVE-2015-5477, que derruba o BIND com uma consulta TKEY. Como achar servidores DNS antigos na rede.Chave metálica sobre fundo pretoA falha é de 2015, tem correção desde 2015 e mesmo assim entrou no catálogo de vulnerabilidades exploradas em outubro de 2026. O recado é claro: a CISA tem evidência de que a falha é explorada, e isso só acontece porque ainda há servidores DNS rodando versões do BIND de mais de uma década.

Chave metálica sobre fundo preto

Leia no site

]]> MikroTik: falha no SSH do RouterOS entra na lista da CISAhttps://taap.digital/radar/mikrotik-routeros-ssh-cisa-kev-setembro-2026https://taap.digital/radar/mikrotik-routeros-ssh-cisa-kev-setembro-2026Wed, 14 Oct 2026 06:00:00 -0300Redação Grupo TAAPSegurançaCISA confirma exploração de falhas do RouterOS no SSH e no btest. Veja versões corrigidas (7.24.3, 7.23.6, 6.49.21), o filtro de gerência e a conta da janela.Roteador com quatro luzes acesas sobre a mesaRoteadores MikroTik estão em boa parte dos provedores regionais do Brasil, muitas vezes na borda e no concentrador. Em setembro, três falhas do RouterOS entraram no catálogo da CISA de vulnerabilidades com exploração confirmada. A principal permite abrir uma sessão SSH sem login. A correção existe, mas a primeira versão era incompleta.

Roteador com quatro luzes acesas sobre a mesa

]]> Anatel corta Wi-Fi em 6 GHz para 500 MHz: a conta dos canaishttps://taap.digital/radar/anatel-6-ghz-wi-fi-500-mhz-canaishttps://taap.digital/radar/anatel-6-ghz-wi-fi-500-mhz-canaisWed, 14 Oct 2026 06:00:00 -0300Redação Grupo TAAPRegulaçãoWi-Fi 6E e 7 ficam com 5.925–6.425 MHz no Brasil e a Anatel abriu consulta sobre Wi-Fi outdoor com AFC. Veja quantos canais sobram em cada largura.Roteador Wi-Fi branco com várias antenasEm agosto, a Anatel restringiu o Wi-Fi à parte de baixo da faixa de 6 GHz. Em setembro, abriu duas consultas para levar o Wi-Fi de 6 GHz para áreas externas, com controle automático de frequência. Para quem projeta redes sem fio, a conta muda: são 500 MHz em vez de 1.200 MHz.

Roteador Wi-Fi branco com várias antenas

]]> Switch Zyxel GS1900 na lista da CISA: o ataque vem da LANhttps://taap.digital/radar/zyxel-gs1900-cve-2026-7273-vlan-de-gerenciahttps://taap.digital/radar/zyxel-gs1900-cve-2026-7273-vlan-de-gerenciaWed, 14 Oct 2026 06:00:00 -0300Redação Grupo TAAPInfraestruturaA CVE-2026-7273 deixa um atacante na rede local executar comandos em switches Zyxel GS1900 sem senha. Firmware corrigido e VLAN de gerência com a conta.Switch de rede preto com cabos conectados em rackSwitches de acesso gerenciáveis costumam ficar fora do radar da segurança: estão no armário do andar, funcionam e ninguém mexe. Em setembro, uma falha na interface web dos Zyxel GS1900 entrou no catálogo de vulnerabilidades exploradas da CISA. O ataque não vem da internet: vem de dentro da rede local.

Switch de rede preto com cabos conectados em rack

]]> Cisco FMC com nota 10: a gerência do firewall virou alvohttps://taap.digital/radar/cisco-fmc-cve-2026-20079-gerencia-de-firewallhttps://taap.digital/radar/cisco-fmc-cve-2026-20079-gerencia-de-firewallWed, 14 Oct 2026 06:00:00 -0300Redação Grupo TAAPSegurançaA CISA incluiu a CVE-2026-20079 do Cisco Secure Firewall Management Center no catálogo KEV. Veja versões corrigidas, teste de indício e como isolar a gerência.Cadeado prateado fechado sobre fundo azulO FMC é o console que configura os firewalls Cisco de uma empresa. Quem controla o console controla as regras de todos os firewalls. Em setembro, uma falha que dá acesso de root ao FMC sem senha entrou na lista de vulnerabilidades exploradas da CISA. É a segunda falha do FMC no catálogo em pouco mais de um mês.

Cadeado prateado fechado sobre fundo azul

]]> VPN na mira: falhas no Cisco ASA/FTD e no IKE do Windowshttps://taap.digital/radar/vpn-asa-ftd-ike-windows-cisa-kev-agosto-2026https://taap.digital/radar/vpn-asa-ftd-ike-windows-cisa-kev-agosto-2026Wed, 14 Oct 2026 06:00:00 -0300Redação Grupo TAAPSegurançaEm agosto a CISA listou como exploradas a CVE-2026-20349 (VPN SSL do Cisco ASA e FTD) e a CVE-2026-33824 (IKE do Windows). O que fazer no concentrador de VPN.Notebook aberto com teclado iluminado em ambiente escuroO concentrador de VPN fica, por definição, aberto para a internet. Em uma semana de agosto, duas falhas em serviços de VPN de fabricantes diferentes entraram na lista da CISA de vulnerabilidades exploradas. Uma derruba firewalls Cisco; a outra permite executar código em servidores Windows que respondem a IKEv2.

Notebook aberto com teclado iluminado em ambiente escuro

]]> RFC 10001: DNS precisa responder em IPv4 e em IPv6https://taap.digital/radar/rfc-10001-dns-ipv4-ipv6-bcp-91https://taap.digital/radar/rfc-10001-dns-ipv4-ipv6-bcp-91Wed, 14 Oct 2026 06:00:00 -0300Redação Grupo TAAPIPv6A RFC 10001 (BCP 91) substitui a RFC 3901 e pede servidores DNS alcançáveis nas duas versões do IP. Veja o que muda na zona, no resolvedor e no plano IPv6.Rack de equipamentos de rede em sala escura com luzes verdesA primeira RFC com número de cinco dígitos a chegar ao nosso Radar trata de um tema de operação diária: DNS em rede com IPv4 e IPv6. A recomendação de 2004 pedia pelo menos um servidor alcançável em IPv4. A nova pede que zonas e resolvedores funcionem bem nas duas versões.

Rack de equipamentos de rede em sala escura com luzes verdes

]]> RFC 10038: localizador SRv6 entregue por DHCPv6https://taap.digital/radar/rfc-10038-srv6-locator-dhcpv6https://taap.digital/radar/rfc-10038-srv6-locator-dhcpv6Wed, 14 Oct 2026 06:00:00 -0300Redação Grupo TAAPIPv6A RFC 10038 cria a opção IA_SRV6_LOCATOR (código 149) para o DHCPv6 entregar o localizador SRv6 a cada roteador. Veja como planejar o bloco de localizadores.Feixe de luzes azuis e roxas em fundo escuroEm redes com Segment Routing sobre IPv6, cada roteador precisa de um localizador, um prefixo IPv6 de onde saem os seus identificadores de segmento. Até agora, isso era configurado à mão ou por automação própria. A RFC 10038 permite que o roteador peça o localizador a um servidor DHCPv6, do mesmo jeito que um roteador de cliente pede um prefixo delegado.

Feixe de luzes azuis e roxas em fundo escuro

]]> FortiOS: o atalho que sobrevive à atualização entra no KEVhttps://taap.digital/radar/fortios-cve-2025-68686-symlink-ssl-vpn-persistenciahttps://taap.digital/radar/fortios-cve-2025-68686-symlink-ssl-vpn-persistenciaWed, 14 Oct 2026 06:00:00 -0300Redação Grupo TAAPSegurançaA CISA listou como explorada a CVE-2025-68686 do FortiOS, que contorna a correção do symlink da SSL-VPN. Versões afetadas e por que atualizar não basta.Cadeado verde e prateado sobre fundo amareloEsta falha não abre a porta de entrada. Ela serve para quem já entrou ficar lá dentro, mesmo depois da atualização. É a lição mais incômoda do ano para quem administra firewall: aplicar a correção e considerar o caso encerrado não basta.

Cadeado verde e prateado sobre fundo amarelo

Leia no site

]]> Wildcard em ACL: liberar uma faixa de filiais em uma linhahttps://taap.digital/guias/wildcard-acl-firewall-faixa-de-filiaishttps://taap.digital/guias/wildcard-acl-firewall-faixa-de-filiaisTue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasComo montar a wildcard de uma ACL para 16 filiais em uma linha, o que fazer quando a faixa não fecha em potência de 2 e quando usar wildcard não contígua.Cadeado vermelho sobre o teclado de um computadorO servidor do sistema de gestão precisa aceitar conexões de todas as filiais e de mais nada. São dezesseis redes /24. Dá para escrever dezesseis linhas na ACL ou uma só, se a conta da wildcard fechar. Mostramos a conta, o caso em que ela não fecha e o truque da wildcard não contígua.

Cadeado vermelho sobre o teclado de um computador

]]> Quanto tempo leva para migrar 10 TB entre data centershttps://taap.digital/guias/tempo-migrar-10-tb-entre-data-centershttps://taap.digital/guias/tempo-migrar-10-tb-entre-data-centersTue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasConta aberta da migração de 10 TB por um link de 1 Gbps: bits, overhead do quadro Ethernet, TB contra TiB, janela de fim de semana e o limite de uma conexão TCPCabos de rede organizados em um rack de data centerA diretoria quer saber se a migração cabe no fim de semana. São 10 TB de um data center para outro, por um link de 1 Gbps. A resposta depende de quatro contas: bits, overhead, unidade e quantas conexões levam os dados.

Cabos de rede organizados em um rack de data center

]]> Sumarização de rotas entre filiais com a conta abertahttps://taap.digital/guias/sumarizacao-de-rotas-entre-filiaishttps://taap.digital/guias/sumarizacao-de-rotas-entre-filiaisTue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasSeis filiais em /24: qual rota resumida anunciar, quanto espaço ela cobre a mais, quando dividir em duas rotas e por que a rota de descarte evita loops.Vista aérea de uma cidade iluminada à noiteUma regional com seis filiais anuncia seis rotas para o resto da rede. Dá para trocar por uma só? Às vezes sim, às vezes a rota resumida cobre endereços que não são seus. Fizemos a conta bit a bit e mostramos as duas saídas.

Vista aérea de uma cidade iluminada à noite

]]> Quantos dispositivos PoE cabem no orçamento do switchhttps://taap.digital/guias/quantos-dispositivos-poe-cabem-no-switchhttps://taap.digital/guias/quantos-dispositivos-poe-cabem-no-switchTue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasConta aberta do orçamento PoE de um switch de 24 portas com câmeras, access points e PTZ: potência por classe, regra dos 80% e o que fazer quando não cabe.Várias câmeras de segurança instaladas lado a lado em uma paredeTer 24 portas PoE não quer dizer que dá para ligar 24 equipamentos PoE. Quem manda é o orçamento de potência do switch. Montamos um caso com câmeras, access points e duas câmeras PTZ e fizemos a conta classe por classe.

Várias câmeras de segurança instaladas lado a lado em uma parede

]]> Quantas sub-redes /64 cabem em um /56https://taap.digital/guias/quantas-sub-redes-64-cabem-em-um-56https://taap.digital/guias/quantas-sub-redes-64-cabem-em-um-56Tue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasO provedor entregou um /56 IPv6 para a filial. Quantas redes /64 cabem, onde elas ficam no endereço e como dividir o bloco sem depender do prefixo atual.Roteador branco com cabo de rede conectado na traseiraA filial ligou o link novo e o roteador recebeu um /56 do provedor. A pergunta que chega ao suporte é simples: quantas redes isso dá? A resposta cabe em uma potência de 2, mas o que fazer com ela pede um pouco mais de conta.

Roteador branco com cabo de rede conectado na traseira

]]> PoE++ (802.3bt) para access points Wi-Fi 7 e câmeras PTZhttps://taap.digital/guias/poe-802-3bt-access-point-wifi-7-camera-ptzhttps://taap.digital/guias/poe-802-3bt-access-point-wifi-7-camera-ptzTue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasConta aberta de um andar com access points Wi-Fi 7 em classe 6 e câmeras PTZ em classe 8: potência no switch e no aparelho, tipo de porta e divisão da carga.Access point Wi-Fi branco instalado sobre uma eletrocalhaOs access points novos pedem classe 6 e as câmeras PTZ externas pedem classe 8. O switch tem portas PoE++ suficientes, mas não tem watts para todo mundo. Fizemos a conta com as classes do IEEE 802.3bt e mostramos duas formas de fechar o projeto.

Access point Wi-Fi branco instalado sobre uma eletrocalha

]]> Plano de endereçamento IPv6 para uma empresa com um /48https://taap.digital/guias/plano-enderecamento-ipv6-empresa-48https://taap.digital/guias/plano-enderecamento-ipv6-empresa-48Tue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasComo dividir um /48 IPv6 entre matriz, filiais e infraestrutura: um /52 por site, um /64 por VLAN, enlaces /127 e a numeração que facilita a operação.Prédio comercial com fachada de vidro azulA empresa recebeu um /48 e ninguém sabe por onde começar. Em IPv6 não se conta host: conta-se sub-rede. Montamos o plano inteiro com a conta aberta, do bloco da empresa até o /64 de cada VLAN, com uma numeração que qualquer pessoa da equipe consegue ler.

Prédio comercial com fachada de vidro azul

]]> Como planejar VLSM para uma empresa com filiaishttps://taap.digital/guias/planejar-vlsm-empresa-com-filiaishttps://taap.digital/guias/planejar-vlsm-empresa-com-filiaisTue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasPlano de endereçamento VLSM passo a passo para matriz e três filiais: margem de crescimento, blocos alinhados por site, enlaces /31 e rotas sumarizadas.Equipamento de rede com vários cabos Ethernet conectadosUma empresa com matriz e três filiais recebeu o bloco 10.40.0.0/20 para a rede interna. Montamos o plano inteiro com a conta aberta: quanto cada segmento precisa, onde cada site fica, como numerar os enlaces e quais rotas anunciar.

Equipamento de rede com vários cabos Ethernet conectados

]]> Orçamento de perda em fibra óptica: um enlace de 18 kmhttps://taap.digital/guias/orcamento-de-perda-enlace-fibra-opticahttps://taap.digital/guias/orcamento-de-perda-enlace-fibra-opticaTue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasComo calcular o orçamento de perda de um enlace monomodo de 18 km: atenuação da fibra, conectores, emendas, margem e a comparação com o transceptor.Feixe de fibras ópticas iluminadas em fundo escuroAntes de comprar o transceptor, faça a conta da perda. Pegamos um enlace monomodo de 18 km entre dois prédios de uma empresa e somamos cada decibel: fibra, conectores, emendas e margem. No fim, comparamos com o que o óptico aguenta.

Feixe de fibras ópticas iluminadas em fundo escuro

]]> Por que a janela TCP limita a velocidade em links longoshttps://taap.digital/guias/janela-tcp-bdp-links-alta-latenciahttps://taap.digital/guias/janela-tcp-bdp-links-alta-latenciaTue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasProduto banda × atraso (BDP) com a conta aberta: por que um link de 1 Gbps com 150 ms de RTT entrega poucos Mbps por conexão e como o window scaling resolve.Grandes antenas parabólicas em campo aberto ao amanhecerA filial tem um link de 1 Gbps, mas a cópia de arquivos para o data center em outro continente não passa de poucos megabits por segundo. O problema quase nunca é o link: é quanto dado o TCP pode deixar em trânsito antes de esperar a confirmação.

Grandes antenas parabólicas em campo aberto ao amanhecer

]]> Faixa de IP para CIDR: liberar um fornecedor no firewallhttps://taap.digital/guias/faixa-de-ip-para-cidr-liberar-fornecedor-firewallhttps://taap.digital/guias/faixa-de-ip-para-cidr-liberar-fornecedor-firewallTue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasO fornecedor mandou uma faixa de IPs e o firewall só aceita CIDR. Como converter sem liberar endereços a mais, com três faixas de exemplo e a conta aberta.Cadeado dourado apoiado sobre o teclado de um notebook"Libere de 203.0.113.10 até 203.0.113.100." O pedido chega por e-mail e o firewall só aceita objetos em CIDR. Arredondar para um /24 resolve em um minuto e abre o firewall para mais endereços do que foi pedido. Fizemos a conversão exata, bloco por bloco.

Cadeado dourado apoiado sobre o teclado de um notebook

]]> Enlace de fibra multimodo dentro de um prédio: a contahttps://taap.digital/guias/enlace-fibra-multimodo-dentro-do-prediohttps://taap.digital/guias/enlace-fibra-multimodo-dentro-do-predioTue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasOrçamento de perda de um backbone multimodo de 180 m entre a sala técnica e um andar: por que os conectores pesam mais que a fibra e quanto sobra de margem.Luz azul passando por cabos de fibra óptica em ambiente escuroEm um prédio, a fibra é curta e a atenuação por quilômetro quase não aparece na conta. O que pesa são os pontos de conexão: cada distribuidor, cada cordão, cada emenda de pigtail. Fizemos o orçamento de um backbone multimodo de 180 metros, decibel por decibel.

Luz azul passando por cabos de fibra óptica em ambiente escuro

]]> BDP em link satelital LEO e em fibra: a conta da distânciahttps://taap.digital/guias/bdp-satelite-leo-vs-fibrahttps://taap.digital/guias/bdp-satelite-leo-vs-fibraTue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasQuanto atraso a física impõe a um link por satélite em órbita baixa, em órbita geoestacionária e por fibra, e o que isso significa para o BDP e a janela TCP.Satélite em órbita sobre a Terra coberta de nuvensUma filial remota pode ser atendida por fibra ou por um serviço de satélite em órbita baixa. Antes de comparar planos, vale saber o piso que a física impõe a cada caminho. Fizemos a conta com a velocidade da luz e mostramos como o RTT medido entra no BDP.

Satélite em órbita sobre a Terra coberta de nuvens

]]> Backup pela WAN: janela TCP e a vazão que sobra de verdadehttps://taap.digital/guias/backup-pela-wan-janela-tcp-vazao-realhttps://taap.digital/guias/backup-pela-wan-janela-tcp-vazao-realTue, 13 Oct 2026 06:00:00 -0300Redação Grupo TAAPGuiasO backup noturno da filial não termina antes do expediente. A conta da vazão necessária, do teto por janela TCP e por perda e dos fluxos em paralelo.Rodovia à noite com rastros de luz dos carrosO link da filial é de 1 Gbps, o backup tem seis horas por noite e mesmo assim termina depois que o expediente começa. O gargalo quase nunca está no contrato do link. Fizemos a conta de cada limite, um por vez, até achar o que manda.

Rodovia à noite com rastros de luz dos carros

]]>