Sumarização de rotas entre filiais com a conta aberta

1. O que a sumarização faz

Sumarizar é anunciar um prefixo mais curto no lugar de vários prefixos mais longos. A RFC 4632, que descreve o CIDR, chama isso de agregação: um bloco contíguo e alinhado de endereços passa a ser alcançado por uma rota só.

O ganho aparece em três lugares. A tabela de rotas do núcleo fica menor. Uma filial que cai e volta não gera atualização para a rede inteira, porque a rota resumida continua lá. E as regras de firewall e os filtros de rota podem tratar a regional como um bloco.

O risco também é um só: a rota resumida pode cobrir endereços que não estão atrás daquele roteador. Por isso a conta precisa mostrar não só o resumo, mas quanto ele cobre a mais.

2. A conta bit a bit

Os dois primeiros octetos são iguais em todas as filiais (172.20). A diferença está no terceiro. Escreva o terceiro octeto de cada rede em binário:

Os 5 primeiros bits do terceiro octeto são iguais em todas as linhas: 00010. Somando aos 16 bits dos dois primeiros octetos, são 16 + 5 = 21 bits em comum. O resumo é o primeiro endereço com esses bits e o resto zerado: 172.20.16.0/21.

A sumarização de rotas faz exatamente essa conta e mostra os dois endereços em binário, com os bits em comum destacados.

3. Quanto o resumo cobre a mais

Um /21 tem 2¹¹ = 2.048 endereços, ou 8 redes /24. As filiais usam 6. Sobram 512 endereços: as redes 172.20.22.0/24 e 172.20.23.0/24, que ficam dentro do resumo sem pertencer a nenhuma filial.

Isso é um problema? Depende de onde essas duas redes estão:

• Livres e reservadas para a regional: o resumo é seguro. A sétima e a oitava filiais entram nelas e o resumo continua o mesmo.
• Usadas em outro lugar da rede: o resumo atrai para a regional um tráfego que é de outro site. Funciona enquanto a rota mais específica do outro site estiver presente, como mostra a seção 5, e falha quando ela some.

Antes de anunciar qualquer resumo, confira no plano de endereçamento o que está nos endereços a mais.

4. Duas rotas exatas

Se 172.20.22.0/24 e 172.20.23.0/24 não são da regional, a saída é anunciar mais de uma rota, sem sobra. Decompondo a faixa de 172.20.16.0 a 172.20.21.255 em blocos alinhados:

Duas rotas no lugar de seis, e nenhum endereço que não seja das filiais. A faixa de IP para CIDR faz essa decomposição para qualquer intervalo.

5. Prefixo mais longo vence

O que acontece quando o resumo cobre uma rede que está em outro lugar? A RFC 1812, que lista os requisitos de roteadores IPv4, define a escolha da rota pelo prefixo mais longo (longest match). Entre as rotas que casam com o destino, o roteador fica com a de maior comprimento de prefixo.

Suponha que 172.20.22.0/24 esteja em outra regional, que anuncia esse /24. Um pacote para 172.20.22.10 casa com 172.20.16.0/21 e com 172.20.22.0/24. O /24 é mais longo e vence. O tráfego vai para o lugar certo.

O problema aparece quando o /24 some, por exemplo, quando o enlace daquela regional cai. Aí só sobra o resumo, e o pacote vai para a regional errada. É por isso que um resumo com sobra só é seguro quando a sobra é sua.

6. A rota de descarte

Há um segundo cuidado, dentro da própria regional. Se o roteador anuncia 172.20.16.0/21 e recebe um pacote para 172.20.23.5, que nenhuma filial usa, o que ele faz? Se ele tiver uma rota padrão apontando para o núcleo, devolve o pacote ao núcleo, que manda de volta para a regional por causa do resumo. O pacote fica em loop até o TTL acabar.

A RFC 4632 trata disso: o roteador que cria um agregado deve descartar o tráfego que casa com o agregado e não tem rota mais específica. Na prática, configura-se uma rota para o próprio resumo apontando para uma interface de descarte (em muitos equipamentos chamada de null). As rotas /24 das filiais, mais longas, continuam valendo; o que sobra é descartado na regional, sem voltar ao núcleo.

Confira na documentação do seu equipamento se a rota de descarte é criada junto com o resumo ou se precisa ser configurada à mão, e verifique a tabela de rotas depois da mudança.

7. Quando as filiais não estão alinhadas

O caso fácil é quando as redes começam em um múltiplo do tamanho do resumo. Veja o que acontece se as mesmas seis filiais tivessem sido numeradas de 172.20.14.0/24 a 172.20.19.0/24:

Agora só os 3 primeiros bits do terceiro octeto são iguais. O resumo vira 172.20.0.0/19, com 8.192 endereços, dos quais 6.656 sobram. Duas redes /24 do outro lado do limite (a 14 e a 15) fizeram o resumo crescer 4 vezes.

A decomposição exata pede duas rotas, 172.20.14.0/23 e 172.20.16.0/22. A lição é de planejamento: reserve para cada regional um bloco alinhado desde o início. O guia de VLSM para empresa com filiais mostra como alocar os blocos de cada site em limites alinhados.

8. Resumo de resumos

O mesmo raciocínio vale um nível acima. Suponha que a empresa tenha quatro regionais, cada uma com um /21 alinhado, como a do caso:

O resumo das quatro é 172.20.0.0/19, com 0 endereços a mais: os blocos se encostam e o resumo é exato. Para quem está fora da empresa, por exemplo um parceiro ligado por VPN, toda a rede da empresa nessa faixa vira uma rota só.

Quanto a tabela encolhe em cada nível? Com seis filiais por regional e quatro regionais:

A redução parece pequena com 24 filiais. Em redes com centenas de sites, ela decide o tamanho da tabela e o volume de atualizações quando algum enlace oscila.

9. Roteiro antes de anunciar um resumo

1. Liste as redes atrás do roteador e calcule o resumo.
2. Veja quantos endereços ele cobre a mais e onde eles estão no plano.
3. Se a sobra for de outro site, divida em rotas exatas.
4. Se a sobra for sua, configure a rota de descarte para o resumo.
5. Depois da mudança, confira a tabela de rotas no núcleo e teste um endereço da sobra.

Perguntas frequentes

O resumo das oito redes, incluindo as duas livres, é exato?

Sim. Com 172.20.16.0/24 a 172.20.23.0/24, o resumo continua 172.20.16.0/21 e a sobra cai para 0. Reservar as duas redes para as próximas filiais mantém o resumo sem desperdício.

E se as filiais tiverem tamanhos diferentes?

A regra não muda. Com uma filial em /23 e outras em /25, o resumo continua sendo o prefixo comum entre o primeiro endereço da menor rede e o último endereço da maior. Por exemplo, 172.20.16.0/22 resume 172.20.16.0/23, 172.20.18.0/25 e 172.20.18.128/25, com 256 endereços a mais. A calculadora aceita prefixos misturados na mesma lista.

Vale para IPv6?

O raciocínio de bits em comum é o mesmo, com 128 bits em vez de 32. A ferramenta de sumarização do site trabalha só com IPv4; para IPv6, prefira um plano alinhado desde o início, como no guia do /48 para uma empresa.

Qual é a wildcard do resumo, para ACL ou OSPF?

O complemento da máscara: 0.0.7.255. A calculadora wildcard faz a conversão nos dois sentidos.

A rota resumida esconde falhas?

Esconde do núcleo, de propósito. Se uma filial cai, o núcleo continua mandando o tráfego para a regional, que descarta pela rota de descarte. O monitoramento da filial precisa estar na regional ou no próprio site.

Um resumo pode começar em qualquer endereço?

Não. Um prefixo /n sempre começa em um endereço cujos bits depois dos n primeiros são zero. O resumo 172.20.16.0/21 é válido porque 16 é múltiplo de 8 (um /21 ocupa 8 valores do terceiro octeto). Um "172.20.18.0/21" não existe como bloco: o /21 que contém 172.20.18.0 começa em 172.20.16.0. A calculadora já devolve o primeiro endereço alinhado.

Posso confiar só na calculadora?

A conta, sim: ela é a mesma deste guia. A decisão de anunciar, não. Ela depende do seu plano de endereçamento e de onde estão os endereços que o resumo cobre a mais.