A IA está transformando a forma como trabalhamos pode impulsionar nossa produtividade quando utilizada de forma eficaz. Nesse vídeo produzido pelo time HPE Networking são abordados os seguintes tópicos:
Aproveitar a IA como consultor e assistente para gerenciar, automatizar e solucionar problemas da sua rede;
Aplicar técnicas de engenharia de prompts para interações mais eficazes com IA;
Usar configurações baseadas em modelos para otimizar a implantação;
Realizar pesquisas rápidas e inteligentes em documentação técnica;
Solucionar problemas de rede simples e complexos com a assistência da IA;
Gerar scripts em Python dinamicamente com IA;
Comunicar-se com a IA por meio de chamadas REST API para automação avançada.
O Application Recognition and Control (ARC) é uma funcionalidade recente nos switches da linha CX, onde os equipamentos realizam Deep Packet Inspection (DPI) do tráfego de usuários.
Essa funcionalidade é especialmente útil para administradores que precisam de políticas avançadas de priorização, bloqueio ou monitoramento de tráfego, garantindo desempenho e segurança em ambientes corporativos.
Com o ARC, é possível analisar padrões de tráfego mesmo em fluxos criptografados, oferecendo importantes para otimização de rede. A integração com o Aruba Central simplifica o gerenciamento, permitindo que as políticas sejam aplicadas de forma centralizada e escalável.
Os benefícios do ARC integrado ao Aruba Central incluem visibilidade completa em camada 7 de mais de 3.700 aplicações e categorias, permitindo a análise detalhada de versões TLS, datas de expiração de certificados e estatísticas de conexão. Além disso, possibilita a aplicação de políticas baseadas em aplicativos, integração com IPFIX para exportar estatísticas de fluxo a coletores externos, e oferece um resumo das principais categorias de aplicativos em uso. O recurso de “time travel” também permite visualizar o tráfego de aplicações em datas e horários específicos, facilitando análises retrospectivas.
Para utilizar o ARC, é necessário validar se o modelo do Switch e o firmware é compativel com a funcionalidade, assim como uma conta no Aruba Central configurada como coletor IPFIX e uma assinatura Foundational ativa (assumindo assume que o switch CX já está adicionado ao Aruba Central, possui uma licença válida e está configurado com conectividade básica, sendo gerenciado totalmente pela plataforma).
Atualmente, esse recurso está disponível nas famílias 6200, 6300 e 6400, permitindo maior controle e visibilidade sobre as aplicações em rede.
A funcionalidade ARC utiliza DPI (Deep Packet Inspection) para identificar aplicações de rede, fornecendo visibilidade e estatísticas detalhadas ao administrador. O mecanismo de DPI opera em cada placa de linha nos switches da série 6400 ou em cada membro do stack nos modelos 6300, analisando os primeiros pacotes de um fluxo TCP/UDP para reconhecer a aplicação. Embora o IPFIX não seja obrigatório para o reconhecimento de aplicações, ele é necessário para reportar estatísticas de fluxo ao administrador. Portanto, o IPFIX deve estar habilitado, pois é responsável por exportar essas informações para um coletor interno ou externo.
O Traffic Insight (TI) atua como um coletor IPFIX interno, monitorando dados recebidos de exportadores de fluxo como o IPFIX. Ele consegue rastrear múltiplas requisições simultaneamente, exibindo os dados na WebUI do switch e disponibilizando essas informações via APIs, que são utilizadas pelo Aruba Central. Vale destacar que o IPFIX é um padrão aberto, compatível com diversos fabricantes de rede, e seu formato é praticamente idêntico ao NetFlow, exceto por alguns campos adicionais.
Antes de iniciar a configuração, é necessário desativar dois recursos: o “IP Source Lockdown” (que previne spoofing de endereço IP por porta) e o “IP Source Lockdown Resource Extended” (que estende dinamicamente os recursos de hardware do IP Source Lockdown). Além disso, para utilizar a visibilidade de aplicações, basta uma assinatura Foundational do Aruba Central nos switches. No entanto, o controle de aplicações (incluindo geração de tags de cliente e criação de políticas) exige uma assinatura Advance.
Existem dois modos de operação: o modo padrão (default) e o modo rápido (fast). A principal diferença entre eles está na quantidade de pacotes necessários para identificar as aplicações. Enquanto o modo padrão analisa cerca de 6 pacotes, o modo rápido requer apenas aproximadamente 2 pacotes, permitindo uma identificação 50 milissegundos mais rápida.
É importante observar que, no modo rápido, algumas informações não são capturadas, diferentemente do modo padrão. Isso inclui atributos TLS, códigos de motivo DNS e URLs. Portanto, a escolha entre os modos deve considerar a necessidade entre velocidade de detecção e a profundidade dos dados coletados.
O ARC pode ser habilitado tanto por porta quanto por função (role). Veja abaixo a configuração necessária para ativar o ARC em nível de porta em switches da série 6300. Observação: não é recomendável habilitá-lo em portas de uplink.
Ao utilizar o modo rápido (Fast mode), o sistema identifica o nome da aplicação, sua categoria e descrição, porém com limitações na coleta de metadados.
no ip source-lockdown resource-extended
!
flow-tracking
enable
!
app-recognition
enable
mode fast
!
interface 1/1/4-1/1/5
description clients-ports
no shutdown
no routing
app-recognition enable
exit
O EVE-NG (Emulated Virtual Environment – Next Generation) é uma plataforma de virtualização usada para emular redes, dispositivos e sistemas operacionais, permitindo a criação de laboratórios complexos para testes e estudos em TI. Suportando uma variedade de imagens de dispositivos de rede (como Aruba, Cisco, Juniper, Fortinet e outros), o EVE-NG é amplamente utilizado por profissionais e estudantes para simular topologias de rede realistas sem a necessidade de hardware físico. Com uma interface web intuitiva, integração com ferramentas como Wireshark e capacidade de executar máquinas virtuais, o EVE-NG se destaca como uma solução eficiente para treinamento, certificações e desenvolvimento de projetos de redes.
A ferramenta esta disponível em versões Community (gratuita) e Professional (paga), a ferramenta é compatível com diversos hipervisores como VMware e KVM.
A Aruba disponibiliza laboratórios guiados para a configuração dos Switches Aruba CX Estes documentos irão guiá-lo através de alguns cenários e tecnologias típicos de funcionalidades do AOS-CX. Sinta-se à vontade para baixá-los, implementá-los e depois fazer alterações, variações e melhorias:
A arquitetura Gen7 da HPE Aruba representa um avanço significativo no design de ASICs para redes, superando várias limitações das gerações anteriores. Diferente dos modelos tradicionais com pipelines fixos – que impõem restrições rígidas ao processamento de pacotes – esta nova abordagem introduz maior flexibilidade na manipulação de tráfego. A implementação de mecanismos como Virtual Output Queuing (VoQ) e alocação dinâmica de TCAM que permite um gerenciamento mais eficiente dos recursos de hardware, especialmente em cenários com tráfego heterogêneo.
Do ponto de vista técnico, a principal inovação está na capacidade de adaptação dinâmica. Um chip ASIC ou Circuito Integrado de Aplicação Específica é uma peça especial que é fabricada para executar apenas uma função específica e não pode ter seu funcionamento alterado posteriormente. Enquanto ASICs convencionais exigem reinicializações para reconfigurações profundas, o Gen7 possibilita ajustes em tempo real em parâmetros como QoS e ACLs. Essa característica se mostra particularmente relevante em ambientes com requisitos variáveis, onde a rigidez arquitetural tradicional frequentemente resulta em subutilização de recursos ou necessidade de overprovisioning.
A transição para arquiteturas mais flexíveis reflete uma mudança mais ampla nas demandas das infraestruturas de rede. Com a crescente diversificação de cargas de trabalho e a adoção de novas tecnologias, a capacidade de reconfiguração dinâmica tornou-se um requisito fundamental. Essa evolução não elimina completamente os desafios de projeto – ainda existem trade-offs entre flexibilidade e desempenho bruto – mas oferece um caminho mais sustentável para a evolução das redes corporativas.
O resultado disso é mais estabilidade, confiabilidade e melhor utilização dos recursos de hardware pelo software. Além disso, o Gen 7 inclui alta performance, incluindo VOQ (Virtual Output Queuing) – uma tecnologia que evita o head-of-line blocking e otimiza o fluxo de tráfego nos switches de rede. Esse recurso, comum em switches de data center, também está disponível no ambiente corporativo, como nos modelos CX 6400 e CX 6300.
Por fim, os ASICs oferecem programabilidade flexível, que dependendo do modelo de implantação, do caso de uso e do ambiente, é possível ajustar e programar dinamicamente o ASIC para atender às necessidades específicas.
O VOQ (Virtual Output Queuing) é um mecanismo avançado de gerenciamento de filas em switches e roteadores, projetado para eliminar o problema de head-of-line blocking (HOL blocking) – um gargalo comum em arquiteturas de rede tradicionais.
Como Funciona?
Filas Dedicadas por Porta de Saída
Em switches convencionais, os pacotes são armazenados em uma única fila compartilhada, podendo causar congestionamento se um pacote à frente estiver esperando por uma porta ocupada.
No VOQ, cada porta de saída tem sua própria fila virtual no buffer de entrada. Assim, pacotes destinados a portas diferentes não competem pelo mesmo espaço.
Eliminação do HOL Blocking
Se um pacote não pode ser encaminhado imediatamente (por exemplo, se a porta de destino está ocupada), somente essa fila específica é bloqueada, enquanto pacotes para outras portas continuam fluindo.
Alocação Dinâmica de Largura de Banda
O VOQ permite agendamento inteligente (usando algoritmos como Round Robin ou Weighted Fair Queuing) para priorizar tráfego crítico e otimizar a utilização do switch.
Vantagens do VOQ
Permite maior eficiência na comutação (evita desperdício de largura de banda devido a bloqueios), permite baixa latência (pacotes não ficam presos atrás de outros em filas compartilhadas), oferece justiça no tráfego (prevê starvation, onde alguns fluxos monopolizam a banda) e escalabilidade (essencial para data centers e redes de alta capacidade)
Aplicações Típicas
Data Centers (evita congestionamento em switches spine-leaf)
Redes Corporativas (melhora desempenho em cenários com múltiplos serviços, como VoIP e vídeo)
Switches Programáveis (usado em ASICs modernos)
Comparação com Arquiteturas Tradicionais
Modelo Tradicional
VOQ
Uma fila compartilhada por entrada
Múltiplas filas virtuais (uma por porta de saída)
Risco alto de HOL blocking
Elimina HOL blocking
Ineficiência em tráfego assimétrico
Alta eficiência mesmo com cargas desbalanceadas
Imaginando que o switch é um grande organizador de tráfego de dados, e o VOQ (Virtual Output Queuing) é seu sistema de filas inteligentes. Em vez de uma única fila “desorganizada”, ele cria filas separadas e organizadas para cada destino, evitando congestionamentos no encaminhamento do tráfego.
O tráfego é dividido em dois tipos Unicast e Flood.
No final, o switch usa um sistema de pesos para decidir quanto de cada tipo de tráfego envia – mantendo tudo equilibrado, sem deixar ninguém esperando demais.
Geralmente, para o tráfego unicast, cada módulo de entrada contém oito VOQs por porta de destino (uma para cada nível de prioridade). O perfil da fila define qual VOQ armazena cada pacote, enquanto o perfil de agendamento determina a ordem de transmissão. Os pacotes aguardam nas VOQs até serem selecionados pelo scheduler para cruzar o fabric do switch, sendo temporariamente armazenados em uma fila de transmissão reduzida na porta de saída. Já o tráfego flood (broadcast, multicast e unknown-unicast) segue um caminho separado, com oito VOQs por módulo de destino, onde cópias dos pacotes são replicadas para cada módulo alvo antes da transmissão.
O agendamento final combina ambas as filas (unicast e flood) usando um algoritmo Weighted Fair Queuing (WFQ). Esse scheduler atribui um peso fixo, como por exemplo, de 4 para tráfego unicast e 1 para flood, assegurando que pacotes replicados representem cerca de 20% do tráfego total quando ambas as filas estão ativas. Essa abordagem equilibra eficiência e justiça, priorizando tráfego direcionado sem negligenciar a entrega multidestino (flood).
As tecnologias de virtualização e computação em nuvem vem tomando espaço nos Data Centers e alterando assim a sugestão do modelo tradicional do modelo rede de três camadas Core, Agregação e Acesso.
O modelo tradicional de 3 camadas é eficiente para o tráfego “Norte-Sul”, onde o tráfego percorre o caminho de dentro para fora do Data Center. Este tipo de tráfego é tipicamente utilizado em serviços web, como exemplo, podemos citar o tráfego norte-sul onde há grande volume no modelo de comunicação cliente remoto/servidor.
Esse tipo de arquitetura tradicional é normalmente construído para redundância e resiliência contra falhas em equipamentos ou cabos, organizando portas de bloqueio pelo protocolo Spanning-Tree (STP), a fim de evitar loops de rede.
A arquitetura Spine Leaf é uma maneira inteligente de organizar redes em data centers. Ela é ótima para ambientes que precisam de alto desempenho e baixa latência. As tendências da comunicação entre máquinas nos Data Centers exigem uma arquitetura que sustente as demandas para o tráfego “Leste-Oeste”, ou tráfego de servidor para servidor.
Dependo da configuração lógica do “antigo” modelo tradicional de 3 camadas, o tráfego poderia atravessar todas as camadas para chegar no host de destino entre máquinas no mesmo Data Center, podendo introduzir dessa maneira uma latência imprevisível ou mesmo falta de largura de banda nos uplinks.
A arquitetura leaf-spine é uma topologia de rede escalável e de alta performance, amplamente utilizada em data centers. Ela é composta por duas camadas principais: a camada leaf (folha), que consiste em switches de acesso conectados diretamente aos servidores ou dispositivos finais, e a camada spine (espinha), formada por switches de núcleo que interconectam todos os switches leaf. Cada switch leaf está conectado a todos os switches spine, criando uma malha completa que oferece múltiplos caminhos entre qualquer par de dispositivos na rede. Essa estrutura é projetada para evitar loops naturalmente, já que os switches leaf não se conectam diretamente entre si, nem os switches spine se interligam, eliminando a possibilidade de caminhos redundantes que possam causar loops.
Para gerenciar o encaminhamento de dados e garantir a prevenção de loops, a arquitetura leaf-spine utiliza protocolos de roteamento modernos, como BGP (Border Gateway Protocol) ou OSPF (Open Shortest Path First), em vez de protocolos tradicionais como o Spanning Tree Protocol (STP). Esses protocolos são capazes de calcular os melhores caminhos com base em métricas, evitando loops de forma eficiente. Além disso, a rede aproveita todos os links ativos por meio de técnicas como o Equal-Cost Multi-Path (ECMP), que distribui o tráfego de forma equilibrada entre os múltiplos caminhos disponíveis. Como todos os caminhos entre leaf e spine têm o mesmo custo (geralmente um número fixo de saltos), o ECMP permite que o tráfego seja balanceado, maximizando a utilização da largura de banda e evitando gargalos.
Essa combinação de prevenção de loops e utilização de todos os links ativos traz diversas vantagens, como alta disponibilidade, baixa latência e escalabilidade. A rede se torna mais resiliente a falhas, pois, se um link ou switch falhar, o tráfego pode ser redirecionado instantaneamente por outros caminhos. A latência é mantida baixa, já que o número de saltos entre qualquer par de dispositivos é sempre o mesmo (normalmente dois saltos: leaf → spine → leaf). Além disso, a arquitetura permite a adição de novos switches leaf ou spine sem interromper o funcionamento da rede, tornando-a ideal para ambientes de data center que exigem alta performance, escalabilidade e confiabilidade.
VxLAN e BGP EVPN
A arquitetura leaf-spine também pode ser aprimorada com a integração de tecnologias como VXLAN (Virtual Extensible LAN) e BGP EVPN (Ethernet VPN), que ampliam sua funcionalidade e eficiência em ambientes de data center modernos. O VXLAN permite a criação de redes overlay sobre a infraestrutura física, encapsulando tráfego de camada 2 em pacotes de camada 3, o que possibilita a extensão de redes locais virtuais (VLANs) além dos limites físicos tradicionais. Já o BGP EVPN atua como protocolo de controle, fornecendo uma maneira eficiente de gerenciar a distribuição de informações de rede e a conectividade entre os dispositivos.
A combinação de VXLAN com BGP EVPN traz benefícios significativos, como a simplificação da segmentação de rede, a melhoria da escalabilidade e a facilitação da migração de cargas de trabalho entre diferentes ambientes. Com o BGP EVPN, a rede pode gerenciar de forma dinâmica os endereços MAC e as informações de roteamento, reduzindo a complexidade operacional e permitindo uma melhor utilização dos recursos. Além disso, essa integração suporta cenários de multi-tenancy, onde múltiplos clientes ou aplicações podem compartilhar a mesma infraestrutura física de forma segura e isolada.
Ao adotar VXLAN com BGP EVPN em uma arquitetura leaf-spine, a rede se torna ainda mais robusta e adaptável, capaz de suportar demandas modernas como virtualização, cloud computing e mobilidade de workloads. Essa combinação não apenas mantém as vantagens já existentes da topologia leaf-spine, como prevenção de loops e uso eficiente de links, mas também adiciona camadas de flexibilidade e controle, tornando-a uma solução ideal para data centers de próxima geração.
Vantagens da arquitetura spine leaf em data centers modernos
A arquitetura Spine Leaf é uma opção interessante para data centers modernos, oferecendo várias vantagens. Aqui estão alguns pontos importantes a considerar:
Redução de latência: Isso significa que os dados são transferidos mais rapidamente, resultando em uma experiência mais ágil para os usuários.
Facilidade de expansão: Você pode adicionar novos dispositivos com facilidade, sem complicações, quando seu negócio cresce.
Gerenciamento de tráfego: Essa arquitetura ajuda a evitar sobrecarga nas redes, melhorando a eficiência.
Otimização de recursos: Garante que a largura de banda esteja disponível quando você realmente precisa dela.
Automação nas redes spine leaf
Quando falamos sobre automação e segurança em redes, especialmente na Arquitetura leaf-spine, é importante lembrar como essas ferramentas podem facilitar o dia a dia. Imagine ajustar diversas configurações em poucos cliques, ao invés de gastar horas na configuração de cada equipamento. Isso não só economiza tempo, mas também minimiza erros humanos. Além disso, a segurança é fundamental: com o aumento das ameaças digitais, ter camadas de proteção, como segmentação, firewalls e monitoramento constante, é essencial para proteger os dados. Criar zonas seguras dentro da rede ajuda na detecção de comportamentos estranhos.
Gerenciamento de oversubscription e configuração de switches
Gerenciar a oversubscription é fundamental na Arquitetura Spine Leaf. Basicamente, isso significa conectar mais dispositivos do que a largura de banda permite. Isso pode funcionar bem se for planejado corretamente. Aqui estão alguns pontos a considerar:
Relação de oversubscription: Defina uma relação adequada com base na sua carga de trabalho. Por exemplo, uma relação de 4:1 pode ser ideal para certos cenários.
Configuração dos links: Ajuste bem os links entre os switches spine e leaf para garantir eficiência e reduzir o risco de lentidão.
Monitoramento constante: Acompanhe o tráfego para detectar possíveis gargalos antes que eles se tornem problemas sérios.
Antes de projetar uma arquitetura leaf-spine, é importante saber quais são as necessidades futuras e atuais. Por exemplo, se você tem um número de 100 servidores e que poderá escalar até 500, você precisa ter certeza de o Fabric poderá ser dimensionado para acomodar as necessidades futuras. Há duas variáveis importantes para calcular a sua escalabilidade máxima: o número de uplinks em um switch leaf e o número de portas nos switches spine. O número de uplinks em um switch leaf determina quantos Switches spine você terá no fabric.
Já os equipamentos de WAN podem ser posicionados em um Switch leaf separado para esse fim, nomeado como border-leaf.
No mundo conectado de hoje, onde dados, voz e vídeo convergem nas redes corporativas, a alta disponibilidade é crucial para o sucesso dos negócios. Uma rede local (LAN) bem projetada é a base para garantir essa disponibilidade. E uma das melhores maneiras de construir uma LAN robusta e eficiente é adotar um design hierárquico.
Por que um design hierárquico?
Imagine sua rede como um prédio com andares bem definidos. Cada andar tem uma função específica, o que facilita a organização e o gerenciamento. O design hierárquico funciona da mesma forma, dividindo a rede em camadas distintas. Isso traz diversas vantagens:
Gerenciamento Simplificado: Com uma estrutura organizada, fica mais fácil monitorar, configurar e manter a rede.
Escalabilidade: Expandir a rede se torna mais simples, pois novas camadas podem ser adicionadas conforme a necessidade, sem afetar a estrutura existente.
Troubleshooting Eficaz: A divisão em camadas facilita a identificação e resolução de problemas, agilizando o diagnóstico e minimizando o tempo de inatividade.
Um design hierárquico é a chave para uma LAN eficiente, escalável e fácil de gerenciar, garantindo a alta disponibilidade que sua empresa precisa.
A feature QinQ (802.1q sobre 802.1q), conhecido também como Stacked VLAN ou VLAN sobre VLAN, suporta a utilização de duas TAGs 802.1q no mesmo frame para trafegar uma VLAN dentro de outra VLAN – sem alterar a TAG original.
Para o cliente é como se a operadora tivesse estendido o cabo entre os seus Switches. Já para a Operadora não importa se o cliente está mandando um frame com TAG ou sem TAG, pois ele adicionará mais uma TAG ao cabeçalho e removerá na outra ponta apenas a ultima TAG inserida.
Em resumo, o tráfego no sentido de entrada na porta configurada com QinQ, adicionará uma TAG 802.1q ao quadro, mesmo em casos que já houver a marcação de VLANs, entretanto no sentido de saída, é removido apenas a última TAG acrescentada, sendo mantida a TAG 802.q inserida pelo cliente.
Um switch conecta a rede do cliente (com VLANs 10 e 20) à rede do provedor usando a S-VLAN 100:
<Sysname> system-view
[Sysname] interface GigabitEthernet1/0/1
[Sysname-GigabitEthernet1/0/1] qinq enable
[Sysname-GigabitEthernet1/0/1] port vlan 100
Neste exemplo, todos os frames que entram na interface GigabitEthernet1/0/1 receberão a tag S-VLAN 100.
Exemplo de Configuração de QinQ Seletivo:
Mapear a C-VLAN 10 para a S-VLAN 100 e a C-VLAN 20 para a S-VLAN 200:
<Sysname> system-view
[Sysname] vlan mapping 10 to 100
[Sysname] vlan mapping 20 to 200
[Sysname] interface GigabitEthernet1/0/1
[Sysname-GigabitEthernet1/0/1] qinq selective
[Sysname-GigabitEthernet1/0/1] port link-type hybrid
[Sysname-GigabitEthernet1/0/1] undo port hybrid vlan 100
[Sysname-GigabitEthernet1/0/1] port hybrid tagged-vlan 100
[Sysname-GigabitEthernet1/0/1] undo port hybrid vlan 200
[Sysname-GigabitEthernet1/0/1] port hybrid tagged-vlan 200
Verificação:
display interface <tipo-de-interface> <número-da-interface>: Exibe informações sobre a interface, incluindo a configuração de QinQ.
Capturas de pacotes (usando um analisador de protocolo como o Wireshark) podem ser usadas para verificar as tags VLAN nos frames.
Considerações Importantes:
MTU (Maximum Transmission Unit): O QinQ adiciona bytes extras ao frame, o que pode exigir o ajuste do MTU nas interfaces envolvidas para evitar fragmentação. Geralmente, aumenta-se o MTU para 1504 ou 1508 bytes. O comando é: [Sysname-GigabitEthernet1/0/1] mtu 1504.
Interoperabilidade: Certifique-se de que os switches em ambas as extremidades da conexão QinQ sejam compatíveis e estejam configurados corretamente.
Configurando
No Exemplo acima deveremos configurar nos Switches A e B uma VLAN para cada cliente e a configurar as interfaces conectadas aos Switches do cliente, como qinq enable. Como detalhe, percebam que é necessário desabilitar o STP em cada interface para os BPDU’s de cada empresa não interferir na topologia STP de cada uma. Segue abaixo a configuração dos Switches A e B:
Vlan 10
name clienteA
!
Vlan 11
name clienteB
!
Vlan 12
name clienteC
!
Interface GigabitEthernet x/y/z
port link-type access
qinq enable
stp disable
Em caso de necessidade de transporte de protocolos de camada 2 como CDP, LLDP, STP e etc, é possivel utilizar na interface algum dos comandos abaixo:
A configuração dos Switches de cada cliente não sofre nenhuma alteração em particular e a visão de cada um será como se os Switches estivessem diretamente conectados.
COMUTADORES 