Redesenhando a rede do Homelab: introduzindo Core L3 Cisco e OPNsense

Um dos maiores desafios em um homelab é a arquitetura de rede. É muito comum começar com uma estrutura totalmente plana (todos os hosts na mesma VLAN), o que atende bem aos testes iniciais, mas logo vira um gargalo com a expansão dos serviços.

No passado, a adoção de um switch MikroTik CRS226-24G-2S+RM resolveu o problema imediato ao permitir a criação de VLANs e a segmentação do tráfego, mas ainda assim, a arquitetura continuava engessada, limitando a execução de novos projetos.

Essa limitação, aliada à chegada de novas tecnologias e à necessidade de explorar outras soluções, foi o que motivou o redesenho completo da rede — e a escrita deste artigo.

O texto está estruturado em fases que registram a evolução da topologia. Cada etapa detalha objetivos, endereçamento, configurações e validações.

Fase 0 - Arquitetura & Objetivos

1. Estado Original

• Cenário inicial: O homelab foi originalmente construído em torno de uma arquitetura simples, centralizada no OPNsense como gateway, firewall e elemento de roteamento entre as VLANs. A conectividade interna era concentrada em um único switch, atendendo simultaneamente às funções de switching, transporte de VLANs e conexão dos principais serviços do ambiente.
• Topologia / Setup: OPNsense -> Trunk 802.1Q -> MikroTik CRS226-24G-2S+RM
• Equipamentos e tecnologias em uso: O ambiente utilizava OPNsense como firewall/gateway, MikroTik CRS226 como switch principal, VLANs 802.1Q para segmentação lógica e TrueNAS/Proxmox como plataformas para armazenamento e virtualização. A arquitetura era funcional e adequada ao estágio inicial do homelab, mas concentrava responsabilidades importantes em poucos elementos da infraestrutura.

2. Limitações Identificadas

• Gargalo 1 — Concentração de funções: O desenho concentrava switching, transporte de VLANs e interconexão dos principais componentes em um único equipamento, limitando a evolução da arquitetura e aumentando a dependência do switch central.
• Gargalo 2 — Separação limitada entre funções de rede: A arquitetura não representava claramente uma divisão entre routing, security e switching, dificultando a exploração prática de uma arquitetura hierárquica e de responsabilidades mais próximas das encontradas em ambientes corporativos.
• Gargalo 3 — Baixa capacidade de experimentação: A infraestrutura anterior atendia bem às necessidades operacionais do homelab, porém oferecia poucas oportunidades para estudar, de forma prática, conceitos como inter-VLAN routing, políticas de acesso, redundância de funções, arquitetura de campus e operação de equipamentos de rede enterprise.

3. Objetivos

• Objetivo Principal: Reestruturar a arquitetura de rede do homelab, introduzindo uma separação mais clara entre firewall/security, routing e switching, utilizando o Cisco C1111-4P e o Catalyst 3560CX como elementos dedicados da nova arquitetura.
• Objetivos Secundários:
  1. Transformar o homelab em uma plataforma prática para estudo e experimentação de Cisco IOS, switching, routing e segurança de rede.
  2. Evoluir a segmentação existente, preservando as VLANs e políticas já estabelecidas onde fizer sentido.
  3. Reduzir a concentração de responsabilidades em um único equipamento.
  4. Criar uma arquitetura que permita testar diferentes cenários sem comprometer desnecessariamente os serviços existentes.
  5. Documentar o processo de migração, incluindo decisões, trade-offs, problemas encontrados e validações realizadas.
  6. Aproximar o desenho do homelab de princípios utilizados em arquiteturas de infraestrutura de ambientes corporativos, mantendo a escala compatível com um laboratório doméstico.

Fase 1 — Estabelecendo o núcleo L3

1. Objetivo

Estabelecer o primeiro domínio de roteamento do homelab utilizando:

• Cisco Catalyst 3560CX como switch Layer 3 / core;
• Cisco C1111-4P como roteador upstream;
• um enlace Layer 3 ponto a ponto entre os equipamentos;
• roteamento inter-VLAN realizado pelo 3560CX;
• rotas estáticas entre os dois equipamentos.

Nesta etapa ainda não existe OSPF, BGP, NAT, Internet ou OPNsense conectado.

O objetivo é construir e validar uma base funcional de roteamento antes de introduzir protocolos de roteamento dinâmico.

2. Topologia

INCLUIR O DESENHO DA TOPOLOGIA AQUI

3. Endereçamento

Gateways dos hosts:

VLAN 10 → 10.10.10.1
VLAN 20 → 10.10.20.1

4. Papel de cada equipamento

O 3560CX atua como Layer 3 Core.

Responsabilidades nesta etapa:

• criar as VLANs;
• fornecer os gateways das VLANs através de SVIs;
• realizar o roteamento inter-VLAN;
• manter as redes diretamente conectadas;
• encaminhar tráfego externo para o C1111;
• utilizar o C1111 como default next-hop.

O roteamento é habilitado através de:

ip routing

O C1111 atua como roteador upstream do domínio.

Responsabilidades nesta etapa:

• fornecer o próximo salto para fora das redes diretamente conectadas ao 3560CX;
• manter rotas de retorno para as VLANs internas;
• participar do enlace Layer 3 ponto a ponto com o 3560CX.

Nesta etapa ele ainda não possui uma conexão WAN/Internet funcional.

5. Enlace Layer 3 entre os equipamentos

O enlace entre os equipamentos utiliza:

C1111 Gi0/0/0
        │
        │ 10.255.255.0/30
        │
3560CX Gi0/12

Endereçamento:

C1111  → 10.255.255.1/30
3560CX → 10.255.255.2/30

A interface foi convertida de Layer 2 para Layer 3:

interface GigabitEthernet0/12
 description P2P-to-C1111
 no switchport
 ip address 10.255.255.2 255.255.255.252
 no shutdown

O comando

no switchport

faz com que a interface deixe de ser uma porta de switch Layer 2 e passe a funcionar como uma interface roteada Layer 3.

O roteamento Layer 3 do Catalyst é habilitado através de:

ip routing

interface GigabitEthernet0/0/0
 description P2P-to-3560CX
 ip address 10.255.255.1 255.255.255.252
 no shutdown

6. VLANs

Foram criadas duas VLANs iniciais.

vlan 10
 name MANAGEMENT

Rede: 10.10.10.0/24| Gateway: 10.10.10.1

vlan 20
 name SERVERS

Rede: 10.10.20.0/24| Gateway: 10.10.20.1

7. SVIs

O gateway de cada VLAN é uma Switched Virtual Interface (SVI) no 3560CX.

interface Vlan10
 description Management-SVI
 ip address 10.10.10.1 255.255.255.0
 no shutdown

interface Vlan20
 description Servers-SVI
 ip address 10.10.20.1 255.255.255.0
 no shutdown

Essas interfaces representam os gateways Layer 3 das respectivas VLANs.

8. Portas de teste

interface GigabitEthernet0/1
 description TEST-MGMT
 switchport mode access
 switchport access vlan 10
 no shutdown

Host conectado:

10.10.10.10/24
Gateway: 10.10.10.1

interface GigabitEthernet0/2
 description TEST-SERVER
 switchport mode access
 switchport access vlan 20
 no shutdown

Host conectado:

10.10.20.10/24
Gateway: 10.10.20.1

9. Tabela de roteamento — 3560CX

Após habilitar ip routing, o Catalyst passou a conhecer as redes diretamente conectadas:

C 10.10.10.0/24 → Vlan10
L 10.10.10.1/32 → Vlan10

C 10.10.20.0/24 → Vlan20
L 10.10.20.1/32 → Vlan20

C 10.255.255.0/30 → GigabitEthernet0/12
L 10.255.255.2/32 → GigabitEthernet0/12

Onde:

• C = Connected
• L = Local

10. Roteamento inter-VLAN

Nesse estágio, o 3560CX possui:

VLAN 10
10.10.10.0/24
Gateway 10.10.10.1

        ↕
   Layer 3 Routing
        ↕

VLAN 20
10.10.20.0/24
Gateway 10.10.20.1

Como o ip routing está habilitado no Catalyst, o equipamento pode encaminhar pacotes entre essas duas redes.

Foi validado com sucesso:

10.10.10.10 → 10.10.20.10
10.10.20.10 → 10.10.10.10

Isso confirma o funcionamento do roteamento inter-VLAN.

11. Rota default do 3560CX

O Catalyst não possui, nesta etapa, uma rota específica para redes externas.

Foi então criada uma rota default:

ip route 0.0.0.0 0.0.0.0 10.255.255.1

Representação:

                       DEFAULT
                          │
                          ▼
                      10.255.255.1
                          │
                          ▼
                       C1111

Tabela:

S* 0.0.0.0/0 [1/0] via 10.255.255.1

Onde:

• S = Static
• * = candidate default
• 0.0.0.0/0 = qualquer destino não conhecido por uma rota mais específica
• 10.255.255.1 = next-hop

12. Rotas de retorno no C1111-4P

O C1111 precisa saber como retornar às redes internas.

Foram configuradas:

ip route 10.10.10.0 255.255.255.0 10.255.255.2

ip route 10.10.20.0 255.255.255.0 10.255.255.2

Tabela resultante:

S 10.10.10.0/24 → 10.255.255.2
S 10.10.20.0/24 → 10.255.255.2

C 10.255.255.0/30 → Gi0/0/0
L 10.255.255.1/32 → Gi0/0/0

Assim existe simetria:

             ida
VLAN 10 ──► 3560CX ──► C1111
                    10.255.255.1

             volta
VLAN 10 ◄── 3560CX ◄── C1111
                    10.255.255.2

Esse mesmo princípio vale para VLAN 20.

13. Conceito importante: rota ≠ ARP

Um dos pontos fundamentais validados nesta etapa foi a diferença entre:

• tabela de roteamento
• CEF
• ARP

Para um destino como:

8.8.8.8

o 3560CX não precisa descobrir o MAC de 8.8.8.8.

Primeiro ele consulta o encaminhamento:

8.8.8.8
   │
   ▼
CEF
   │
   ▼
0.0.0.0/0
   │
   ▼
next-hop 10.255.255.1
   │
   ▼
GigabitEthernet0/12

Então o ARP é necessário para descobrir o MAC do next-hop diretamente conectado:

10.255.255.1

e não de:

8.8.8.8

14. Validação do CEF

Foi utilizado:

show ip cef 8.8.8.8

Resultado:

0.0.0.0/0
  nexthop 10.255.255.1 GigabitEthernet0/12

Isso confirma o caminho de encaminhamento:

Destino:
8.8.8.8

Rota utilizada:
0.0.0.0/0

Next-hop:
10.255.255.1

Interface:
GigabitEthernet0/12

15. Fluxo de um pacote entre VLANs

Exemplo:

NixOS
10.10.10.10
      │
      │ destino 10.10.20.10
      ▼
Gateway 10.10.10.1
      │
      ▼
3560CX
      │
      │ routing
      ▼
VLAN 20
      │
      ▼
10.10.20.10

O host percebe que 10.10.20.10 está fora da sua rede /24, portanto envia o quadro ao seu gateway:

10.10.10.1

O 3560CX então roteia o pacote para: 10.10.20.10

16. Fluxo de um pacote para uma rede externa

Exemplo conceitual:

NixOS
10.10.10.10
      │
      ▼
Gateway
10.10.10.1
      │
      ▼
3560CX
      │
      │ sem rota específica
      ▼
Default Route
0.0.0.0/0
      │
      ▼
10.255.255.1
      │
      ▼
C1111

Nesta etapa o fluxo termina conceitualmente no C1111 porque ainda não existe uma rede externa configurada.

17. Comandos de verificação

18. Validação final da Etapa 1

show ip route

Deve apresentar, conceitualmente:

S* 0.0.0.0/0 via 10.255.255.1

C  10.10.10.0/24 → Vlan10
L  10.10.10.1/32 → Vlan10

C  10.10.20.0/24 → Vlan20
L  10.10.20.1/32 → Vlan20

C  10.255.255.0/30 → Gi0/12
L  10.255.255.2/32 → Gi0/12

Deve apresentar:

S 10.10.10.0/24 via 10.255.255.2
S 10.10.20.0/24 via 10.255.255.2

C 10.255.255.0/30 → Gi0/0/0
L 10.255.255.1/32 → Gi0/0/0

10.10.10.10 ↔ 10.10.20.10
        │
        └── inter-VLAN routing OK

3560CX ↔ C1111
        │
        └── L3 P2P OK

C1111 → 10.10.10.1
        │
        └── OK

C1111 → 10.10.20.1
        │
        └── OK

19. Persistência

Após a validação final, foi executado nos dois equipamentos:

copy running-config startup-config

Após isso, o estado da Etapa 1 estará persistido em startup-config.

20. Estado final

INCLUIR O DESENHO DA TOPOLOGIA AQUI

3560CX
├── Connected
│   ├── 10.10.10.0/24
│   ├── 10.10.20.0/24
│   └── 10.255.255.0/30
│
└── Static Default
    └── 0.0.0.0/0
        └── 10.255.255.1

C1111
├── Connected
│   └── 10.255.255.0/30
│
└── Static
    ├── 10.10.10.0/24
    │   └── 10.255.255.2
    │
    └── 10.10.20.0/24
        └── 10.255.255.2

21. O que esta etapa estabeleceu

Ao final desta etapa, o homelab possui seu primeiro domínio de roteamento Layer 3 funcional.

Foram estabelecidos os seguintes fundamentos:

1. VLANs como domínios Layer 2;
2. SVIs como gateways Layer 3;
3. roteamento inter-VLAN;
4. interfaces físicas convertidas em interfaces Layer 3;
5. enlace ponto a ponto /30;
6. redes diretamente conectadas;
7. rotas estáticas;
8. rota default;
9. next-hop;
10. ARP para resolução do próximo salto;
11. CEF para encaminhamento;
12. rotas de retorno;
13. persistência da configuração.

O domínio funciona sem a necessidade de protocolo de roteamento dinâmico.

Na próxima etapa, o objetivo será introduzir OSPF, substituindo progressivamente as rotas estáticas por roteamento dinâmico e observando como o comportamento do domínio muda.