Capítulo 2 — Redes e serviços de internet
Mapa da aula
Aula 02 publicada. Mapa, exemplo, EX004.
flowchart TD
N0["2.1 Endereços e sub-redes"]
N1["2.2 VLANs e firewalls"]
N2["2.3 Conexões de saída para a nuvem"]
N3["2.4 Resolução de nomes"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4
N4 --> EX["Exemplo resolvido"]
EX --> Q["Exercício EX004"]
Desenho lógico
flowchart LR
N0["2.1 Endereços e sub-redes"]
N1["2.2 VLANs e firewalls"]
N2["2.3 Conexões de saída para a nuvem"]
N3["2.4 Resolução de nomes"]
N4["Síntese"]
N0 --> N1 --> N2 --> N3 --> N4 --> Q["EX004"]
[2.1 Endereços e sub-redes]
|
v
[2.2 VLANs e firewalls]
|
v
[2.3 Conexões de saída para a nuvem]
|
v
[2.4 Resolução de nomes]
|
v
[Síntese]
|
v
[Exemplo resolvido] --> [Exercício EX004]
Objetivos de aprendizagem
Você vai (1) ler um plano de endereçamento IP e identificar sub-redes; (2) explicar o que fazem uma VLAN e uma regra de firewall; (3) rastrear como um registrador conectado à nuvem alcança a internet; e (4) reconhecer os serviços que uma instalação expõe para fora.
2.1 Endereços e sub-redes
A NCS usa 10.10.0.0/24 para os escritórios, 10.20.0.0/24 para o controle da refrigeração e 10.30.0.0/24 para os registradores e as câmeras. Uma máscara /24 significa que os três primeiros números nomeiam a rede e o último nomeia o host. Dois dispositivos na mesma sub-rede conversam diretamente pelo switch; dispositivos em sub-redes diferentes precisam passar por um roteador ou firewall, que é onde a política pode ser aplicada. O rastreamento de Priya de uma leitura de registrador mostra as fronteiras em uso: o registrador reporta ao GW-LOG em 10.30.0.5, e a regra de firewall 21 permite que 10.30.0.5 alcance a nuvem do fornecedor em TCP 443. O mesmo firewall tem a regra 9, "any to 10.20.0.0/24, TCP 502, allow", que permite que qualquer endereço do escritório alcance a porta Modbus dos controladores de refrigeração.
2.2 VLANs e firewalls
Uma VLAN separa o tráfego logicamente em switches compartilhados. VLANs sozinhas não filtram: a filtragem acontece onde o tráfego é roteado entre elas. Uma regra de firewall nomeia origem, destino, protocolo e porta, e se deve permitir ou negar. Um bom padrão é "negar tudo o que não for explicitamente permitido". A regra 9 é o exemplo da NCS de uma regra que anula o padrão. Ela foi acrescentada no comissionamento para que a empresa contratada pudesse trabalhar a partir de qualquer porta, e ninguém a removeu. Com a regra 9 ativa, as VLANs continuam separando o tráfego de broadcast, mas o firewall entre 10.10.0.0/24 e 10.20.0.0/24 permite exatamente o fluxo que mais importa: Modbus do escritório para o PLC-R1 e o PLC-R2. O laboratório de Priya, mais adiante, encontra o OFFICE-7 usando-a.
2.3 Conexões de saída para a nuvem
O GW-LOG abre uma conexão HTTPS de saída (TCP 443) para a nuvem do fornecedor dos registradores. Conexões de saída são mais fáceis de proteger que as de entrada, porque ninguém na internet consegue iniciar uma sessão com o gateway — desde que o firewall não encaminhe também uma porta de entrada para ele. Ferramentas de suporte remoto muitas vezes acrescentam exatamente esse encaminhamento, e é assim que muitos dispositivos ficam expostos à internet. Na NCS, a regra 21 é apenas de saída; Priya verificou que não existe nenhum encaminhamento de porta para 10.30.0.5 e registrou essa verificação, para que a afirmação possa ser conferida de novo depois da próxima visita do fornecedor.
2.4 Resolução de nomes
O gateway encontra a nuvem por DNS. Se o gateway usa um servidor DNS interno, um erro de configuração nele pode quebrar o registro de temperaturas na planta inteira; se usa diretamente um resolvedor público, o firewall também precisa permitir isso. Anote qual dos dois. Para o GW-LOG, Priya descobriu que ele usava o servidor DNS interno do local, de modo que o conjunto de regras não precisava de exceção para um resolvedor público. Isso tem uma consequência para as falhas de certificado do Capítulo 22: quando o LOG-03 parou de enviar dados em 5 de outubro, o DNS era uma das dependências a descartar antes de culpar o certificado expirado. Uma nota de uma linha no inventário, "resolvedor do GW-LOG: DNS interno, 10.10.0.2", teria respondido a essa pergunta em segundos.
Exemplo resolvido (NCS sintética)
Priya rastreia uma leitura de registrador: registrador → rádio → GW-LOG (10.30.0.5) → regra de firewall 21 "10.30.0.5 to vendor cloud, TCP 443, allow" → internet. Ela também encontra a regra 9, "any to 10.20.0.0/24, TCP 502, allow", que sobrou do comissionamento. A regra 9 permite que os PCs do escritório alcancem a porta Modbus dos controladores de refrigeração; ela a sinaliza para revisão.
Caso sintético — Northgate Cold Storage. Os endereços e os números das regras são inventados.
Erros e limites
Um diagrama pode não corresponder ao firewall; a exportação da configuração é a evidência. Nunca teste regras enviando tráfego para controladores em produção sem uma permissão de trabalho.
Exercícios
- EX004 — Mesma sub-rede ou não? 10.20.0.11 e 10.20.0.40 estão na mesma /24? E 10.20.0.11 e 10.30.0.11? Rubrica: 3 = sim, não, com justificativa; 2 = só as respostas; 1 = uma certa; 0 = nada.
- EX005 — Reescrevendo a regra 9. Reescreva a regra 9 para que só a HMI-C (10.20.0.20) possa alcançar os controladores em TCP 502. Rubrica: 3 = origem 10.20.0.20, destinos os endereços dos CLPs, TCP 502, permitir, mais a negação padrão; 2 = pequena lacuna; 1 = continua "any"; 0 = nada.
- EX006 — Entrada versus saída. Explique por que o HTTPS de saída do GW-LOG tem menor risco que um encaminhamento de porta para ele. Rubrica: 3 = nenhuma sessão de entrada não solicitada vinda da internet; 2 = parcial; 1 = vago; 0 = nada.
Síntese
Endereços, VLANs, regras e DNS determinam quais conversas são possíveis; lê-los é como um tecnólogo encontra as conversas não intencionais.
Continue estudando — capítulo 02 de 30
← Capítulo 01 · Índice de capítulos do curso · Capítulo 03 →
Siga para a próxima lição escrita.