Como planejar VLSM para uma empresa com filiais

1. Por que VLSM e não um /24 para tudo

Dar um /24 para cada VLAN é o atalho mais comum. Ele é fácil de lembrar, mas gasta endereços e quebra a sumarização. Uma VLAN de gerência com 20 equipamentos usaria 254 endereços. Um enlace entre dois roteadores usaria outros 254.

VLSM (máscara de tamanho variável) resolve isso. Cada segmento recebe o menor bloco que atende o número de hosts. A RFC 950 definiu a máscara de sub-rede; a RFC 4632 (CIDR) consolidou o roteamento sem classes, em que o que vale é o prefixo e não a classe A, B ou C do endereço.

A regra do tamanho é uma só. Para h hosts, procure o menor número de bits de host b tal que 2^b − 2 ≥ h. O prefixo é 32 − b. Os dois endereços descontados são o da rede e o de broadcast.

Para 300 usuários, por exemplo: 2⁸ − 2 = 254 não basta; 2⁹ − 2 = 510 basta. O prefixo é /23, máscara 255.255.254.0, e sobram 210 endereços.

2. O levantamento: quantos hosts em cada segmento

O primeiro passo não é a calculadora. É a lista de equipamentos por VLAN, contada no inventário e conferida com quem opera cada área. Neste caso, os números de hoje são estes:

Se você jogar esses números direto na ferramenta, o plano fica justo demais. Veja a matriz dentro de um /22:

Os servidores ficam com 2 endereços livres e o Wi-Fi com 6. No primeiro servidor novo, alguém vai ter de renumerar uma VLAN. Por isso entra a margem.

3. Margem de crescimento: 30% em cada VLAN

Use uma margem fixa e escrita no projeto. Aqui adotamos 30%, arredondando para cima. A conta é simples: hosts × 1,30.

A margem nem sempre muda o prefixo. Os 20 equipamentos da gerência viram 26 e continuam em um /27. Já os 60 servidores viram 78 e pulam de /26 para /25. Esse salto é a razão de fazer a conta antes de configurar.

4. Um bloco por site, alinhado

Agora some os blocos de cada site. A matriz usa 992 endereços; o menor bloco potência de 2 que comporta isso tem 1.024 endereços, um /22. Cada filial soma 240 endereços e cabe em um /24 (256).

Por que um bloco único por site? Porque o roteador da matriz precisa de uma rota só para cada filial, e o firewall precisa de uma regra só para "tudo da filial 2". Se as VLANs de um site ficarem espalhadas pelo /20, cada mudança vira uma lista de exceções.

A primeira tentativa coloca a matriz em 10.40.0.0/22. O VLSM dentro dele fecha, mas com 96,9% do bloco ocupado já no primeiro dia. Sobram 32 endereços para tudo o que a matriz ainda vai ganhar.

Como a matriz é o site que mais cresce, damos a ela o dobro: um /21. A alocação fica assim, do maior para o menor, cada bloco começando em um múltiplo do seu tamanho:

Alinhar é obrigatório. Um /24 só pode começar em um endereço cujo último octeto é 0. Um /21 só pode começar em 10.40.0.0 ou 10.40.8.0 dentro deste /20. A calculadora de sub-rede mostra isso na tabela de redes vizinhas.

5. O VLSM dentro de cada site

Com o bloco de cada site definido, rode o VLSM dentro dele. A matriz, em 10.40.0.0/21:

O plano usa 992 de 2.048 endereços (48,4%). O restante do /21, 1.056 endereços a partir de 10.40.3.224, fica livre para novas VLANs ou para aumentar uma das atuais sem sair do bloco da matriz.

Cada filial recebe o mesmo desenho. A filial 1, em 10.40.8.0/24:

As filiais 2 e 3 repetem a estrutura em 10.40.9.0/24 e 10.40.10.0/24. Só muda o terceiro octeto. Para quem opera, isso vale ouro: a VLAN de câmeras de qualquer filial fica em .224/28, e o gateway de usuários pode ser sempre o .1.

6. Enlaces entre os sites: /30 ou /31

Os três enlaces matriz–filial são ponto a ponto. Com /30, cada um gasta 4 endereços (rede, dois hosts e broadcast). A RFC 3021 permite usar /31 nesses enlaces: os dois endereços do bloco viram endereços de interface, sem rede e sem broadcast. Cada enlace gasta 2.

Reservamos o último /28 do bloco, 10.40.15.240/28, para infraestrutura. Os enlaces ficam assim:

Com /30, os três enlaces usariam 12 endereços; com /31, usam 6. A economia é pequena aqui, mas em uma rede com dezenas de enlaces ela libera blocos inteiros. Antes de adotar /31, confirme que os dois equipamentos do enlace aceitam o prefixo.

7. Sumarização: quais rotas anunciar

O ganho do plano aparece na tabela de rotas. Em vez de anunciar cada VLAN, cada site anuncia o próprio bloco. E a matriz pode anunciar as três filiais juntas para o resto da rede.

A sumarização de rotas das três filiais dá 10.40.8.0/22 (máscara 255.255.252.0, wildcard 0.0.3.255). Esse resumo cobre 1.024 endereços, 256 a mais do que as três filiais usam. Esses 256 são exatamente o /24 seguinte, 10.40.11.0/24: deixe-o reservado para a quarta filial e o resumo continua exato.

Somando matriz e filiais, o resumo de tudo é 10.40.0.0/20, com 1.280 endereços além dos blocos alocados. Do /20 original, o plano usa 2.832 endereços (sites mais o /28 de infraestrutura) e deixa 1.264 livres para os próximos anos.

8. Roteiro para repetir em outra empresa

1. Faça o inventário por VLAN, com quem opera cada área.
2. Defina a margem por escrito e aplique a todos os segmentos.
3. Calcule o bloco de cada segmento e some por site.
4. Arredonde cada site para a potência de 2 seguinte e aloque do maior para o menor, alinhado.
5. Rode o VLSM dentro de cada site e padronize a posição das VLANs entre filiais.
6. Reserve um bloco de infraestrutura para enlaces e loopbacks.
7. Confira a sumarização e reserve os blocos que mantêm o resumo exato.

Perguntas frequentes

Posso usar a primeira e a última sub-rede do bloco?

Pode. A RFC 1878 já tratava como obsoleta a prática de descartar a sub-rede "toda zero" e a "toda um". A própria RFC registra que o software atual pode usar todas as sub-redes definidas pela máscara.

Por que 10.40.0.0 e não 192.168.x.x?

As duas faixas são privadas pela RFC 1918, assim como 172.16.0.0/12. A 10.0.0.0/8 é a maior delas e facilita planos com muitos sites. Prefira um bloco pouco previsível: se a rede de casa de quem acessa por VPN usar a mesma faixa da empresa, as rotas entram em conflito.

E se uma filial crescer além do /24?

Se o /24 vizinho estiver livre e o bloco ficar alinhado, ela passa para um /23. Se não estiver, a filial ganha um segundo bloco e a rota resumida deixa de ser exata. Por isso vale reservar espaço ao lado dos sites que tendem a crescer, como fizemos com a matriz.

Preciso refazer as contas à mão?

Não. Abra a calculadora VLSM, informe o bloco do site e uma linha por segmento (nome e número de hosts). Ela ordena, alinha e mostra a sobra de cada sub-rede. Para conferir um prefixo isolado, use a máscara por número de hosts.