Comparacao de ACLS em Switches de Camada 2 e Camada

Introdução

Definição e escopo

ACLs em switches de Camada 2 vs Camada 3 é a comparação que muitos engenheiros de redes industriais e projetistas procuram quando precisam equilibrar segurança, desempenho e operabilidade. Neste artigo vamos tratar de MAC-ACLs, VLAN-ACLs (VACL) e IP-ACLs (IPv4/IPv6), e explicar onde o comportamento difere entre Camada 2 (L2) e Camada 3 (L3), alinhando vocabulário técnico necessário para decisões de projeto. Palavras-chave como MAC ACL, VACL, IP ACL, TCAM, ARP, roteamento assimétrico aparecerão naturalmente ao longo do texto.

Relevância para o público

A comparação é crítica para Engenheiros Eletricistas, Projetistas OEM, Integradores de Sistemas e Gerentes de Manutenção Industrial porque a escolha entre aplicar regras no L2 ou L3 impacta superfície de ataque, latência, escalabilidade e visibilidade para auditoria. Normas e boas práticas de segurança industrial, como IEC 62443, e requisitos de conformidade de hardware (por exemplo, IEC/EN 62368-1 para segurança elétrica) também influenciam as decisões de implantação.

Estrutura do artigo

A seguir abordaremos: definição e termos chave; impactos em segurança e performance; checklist de decisão; passos de implementação (com exemplos de configuração e verificação); comparação técnica aprofundada (TCAM, ordem de processamento, troubleshooting); e um plano estratégico com automação e auditoria. Para mais artigos técnicos consulte: https://blog.ird.net.br/

1) O que são ACLs e como elas funcionam em switches de Camada 2 vs Camada 3 (introdução e termos-chave)

O que é uma ACL

Uma Access Control List (ACL) é um conjunto de regras que permite ou nega tráfego com base em atributos do pacote ou do quadro. Em L3, as ACLs operam tipicamente sobre campos de IP (endereço de origem/destino, portas TCP/UDP, protocolos). Em L2 falamos de MAC-ACLs, VLAN ACLs (VACL) e port ACLs, que filtram por MAC address, VLAN tag (802.1Q) e, em alguns equipamentos, por campos L2 estendidos como EtherType ou 802.1X.

Diferença operacional L2 vs L3

A principal diferença é o ponto do pipeline de processamento: ACLs L2 são aplicadas no ponto de comutação do frame antes de qualquer encaminhamento IP — úteis para contenção de tráfego local e mitigação de ataques no broadcast domain. ACLs L3 são aplicadas no roteamento, oferecendo filtragem mais granular por IP/porta e melhores opções de logging/auditoria. O impacto em hardware varia: L2 costuma ficar no datapath do ASIC/TCAM; L3 pode exigir mais capacidade de TCAM e, em casos extremos, fallback para CPU.

Termos-chave essenciais

Familiarize-se com: TCAM (Ternary Content-Addressable Memory) — para lookup rápido de regras; ASIC/CPU — onde o processamento ocorre; VACL, MAC ACL, Port ACL, Extended/Standard IP ACLs, IPv6 ACLs; hitcount/logging, order of evaluation (a ordem das regras importa), e métricas operacionais como throughput, latência e MTBF do equipamento. Para segurança industrial, correlacione decisões com IEC 62443 e práticas de gerenciamento de mudanças.

2) Por que a comparação entre ACLs em Camada 2 e Camada 3 importa: impactos em segurança, performance e operação

Impacto em segurança

Filtrar no L2 (por MAC ou VACL) reduz a superfície de ataque dentro do mesmo domínio de broadcast e pode bloquear tráfego malicioso antes de o pacote alcançar switches superiores. Contudo, MAC spoofing ou a mobilidade de hosts (ex.: laptops/terminals móveis) podem contornar controles puramente L2. Em L3, a filtragem por IP e porta provê controle semântico maior e melhor integração com sistemas de auditoria e SIEM; padronizações como IEEE 802.1X e políticas baseadas em identidade são complementares.

Impacto em performance

Aplicar ACLs em L2 frequentemente resulta em menor latência quando implementado em hardware (ASIC/TCAM). Porém, o custo em recursos de TCAM cresce com regras por porta/VLAN. Em L3, regras complexas (por exemplo, controle por porta TCP/UDP) demandam mais entradas de TCAM e podem levar a fallback para a CPU se o hardware esgotar recursos, impactando throughput e introduzindo jitter — crítico em redes industriais determinísticas.

Impacto operacional

A manutenção de regras em L2 tende a aumentar com mobilidade de ativos e políticas dinâmicas; já no L3, regras centradas em sub-redes facilitam gestão em arquiteturas roteadas. Além disso, a auditoria e o log são melhores em L3 (endereços IP, portas, protocolos) para correlação com eventos em SIEMs. Para ambientes regulados, alinhe com requisitos de documentação e mudança da IEC 62443 e boas práticas de governança.

3) Critérios de projeto e casos de uso: quando optar por ACLs em switches L2 ou L3 (checklist de decisão)

Checklist de decisão — critérios técnicos

Considere: topologia (flat vs roteada), mobilidade dos hosts, necessidade de segmentação por VLAN, requisitos de segurança (bloqueio por MAC vs por IP), capacidade de TCAM do switch (número de entradas), exigência de auditoria/log, impacto na latência e tolerância a roteamento assimétrico. Em sistemas críticos, inclua MTBF e redundância dos equipamentos nas decisões.

Casos de uso típicos para ACLs L2

• Proteção de VLANs em ambientes industriais onde dispositivos têm endereços MAC fixos (PLC, HMIs).
• Bloqueio de tráfego ARP malicioso ou frames não autorizados entre portas do mesmo switch.
• Implementação de port-security para prevenir MAC flooding e ataques de CAM table.

Casos de uso típicos para ACLs L3

• Segmentação entre redes de produção e TI com políticas por IP/porta (ex.: permitir só Modbus/TCP entre controladores e SCADA).
• Filtragem de tráfego este-oeste entre sub-redes e integração com firewall ou sistemas IDS/IPS.
• Cenários com mobilidade e NAT onde o controle por IP é mais prático e auditável.

4) Como implementar ACLs em switches de Camada 2 e Camada 3 — passo a passo, exemplos de configuração e verificação

Passo a passo — staging e validação

1. Planejamento: mapeie hosts, VLANs, fluxos desejados e riscos. Documente mudanças em sua CMDB.
2. Staging: implemente em laboratório/DMZ com capture de tráfego (tcpdump/port-mirror).
3. Deploy gradual: aplique primeiro em unidades de baixa criticidade, monitore counters/hits, depois expanda.
4. Rollback: documente comandos de remoção e checkpoints de configuração.

Exemplos de comandos (sintaxe genérica)

• MAC ACL (exemplo Cisco-like):
  • mac access-list extended BLOQUEIA_MAC
  • permit host aa:bb:cc:dd:ee:ff any vlan 10
  • interface Gig1/0/1
  • mac access-group BLOQUEIA_MAC in
• VLAN ACL (VACL):
  • vlan access-map VACL_PERMIT 10
  • match ip address 101
  • action forward
  • vlan filter VACL_PERMIT vlan-list 10
• IP ACLs (L3 standard/extended):
  • ip access-list extended CTRL_PRODUCAO
  • permit tcp 10.1.0.0 0.0.255.255 any eq 502
  • deny ip any any log
  • interface Vlan10
  • ip access-group CTRL_PRODUCAO in
• IPv6 ACLs:
  • ipv6 access-list IPV6_PROD
  • permit tcp 2001:db8::/64 any eq 502

Verificação e troubleshooting

Use comandos de verificação: show access-lists, show ip interface, show mac address-table, show policy-map interface, show hardware access-list counters. Monitore hit counts para validar regras. Para troubleshooting, use captures (port-mirror), show logging, e debug com cautela (evitar em produção). Planeje tempos de rollback e janelas de manutenção.

5) Comparação técnica aprofundada e armadilhas comuns: desempenho, TCAM, ordem de processamento e troubleshooting

TCAM, tabelas e impacto no hardware

A maioria dos switches de alto desempenho usa TCAM para aplicar ACLs em hardware com baixa latência. No entanto, TCAM é um recurso finito: regras complexas (match por prefixos, portas, ACLs por porta/VLAN) consomem entradas rapidamente. Equipamentos industriais podem ter TCAM reduzido (ex.: centenas a poucos milhares de entradas) — dimensione regras para evitar fallback para CPU, o que causa queda de throughput.

Ordem de processamento e comportamento de frames

A ordem de avaliação de regras e de processamento L2 vs L3 é uma armadilha comum: em muitos switches, o tráfego bridged dentro de uma VLAN é avaliado por VACL antes de ser roteado; porém, ARP e broadcast podem ser tratados separadamente. Roteamento assimétrico (path diferente de ida/volta) pode fazer com que ACLs L3 bloqueiem respostas legítimas; considere estados de sessão e use stateful inspection em firewalls quando necessário.

Erros comuns e mitigação

• Aplicar ACLs sem medir hitcounts. Mitigação: validar com counters antes do bloqueio definitivo.
• Confiar apenas em MAC ACL para dispositivos móveis — risco de spoofing. Mitigação: usar 802.1X + MAB.
• Exceder capacidade de TCAM levando a fallback para CPU. Mitigação: consolidar regras, usar prefix aggregation, e upgrades de hardware se necessário.
• Falta de logs e auditoria. Mitigação: habilitar logging e integrar com SIEM/NMS.

6) Plano estratégico e tendências: automação, auditoria, práticas recomendadas e roadmap para gerenciar ACLs em L2/L3

Governança e operação contínua

Estabeleça políticas formais para governança de ACLs: processo de revisão periódica, controle de versões (Git para configs), aprovações de mudança e testes automatizados. Inclua KPIs como número de regras, hit rate, número de mudanças por mês e tempo médio de rollback. Correlacione com requisitos da IEC 62443 para segurança de ambientes industriais.

Automação e integração

Automatize implantação e verificação com ferramentas como Ansible, NETCONF/YANG, ou APIs REST do switch. Scripts podem validar contagens (show counters), gerar diffs e aplicar rollback automático ao detectar impacto. Integração com SIEM/NAC (ex.: para bloquear dispositivos detectados como comprometidos) é cada vez mais essencial.

Tendências e roadmap

Tendências relevantes: microsegmentação, políticas baseadas em identidade (SASE/zero trust), SDN para gestão centralizada de ACLs, e uso de telemetry (gNMI, streaming) para visibilidade em tempo real. Para aplicações que exigem robustez em forwarding e controle granular, a série de switches industriais da IRD.Net oferece opções com TCAM dimensionado e suporte a VACL/IP ACL — ver catálogo de produtos: https://www.ird.net.br/produtos. Para projetos que demandam alta disponibilidade e políticas centralizadas, avalie a integração com controladores SDN e automação via Ansible disponível na linha de produtos: https://www.ird.net.br/switches-industriais

Conclusão

Em suma, a escolha entre ACLs em Camada 2 ou Camada 3 deve ser guiada por topologia, requisitos de segurança, mobilidade de hosts, capacidade de hardware (TCAM) e necessidades de auditoria. ACLs L2 são eficientes para contenção local e redução de latência quando implementadas corretamente em hardware; ACLs L3 oferecem maior granularidade, melhor visibilidade para auditoria e integração com SIEMs. Evite armadilhas comuns como esgotamento de TCAM, roteamento assimétrico e falta de validação de regras.

Recomendo: faça um inventário detalhado dos fluxos, valide regras em ambiente de testes, monitore hitcounts e integre tudo a um processo de governança com automação. Para informações e exemplos aplicados à linha de produtos IRD.Net, consulte nossos artigos e materiais técnicos no blog: https://blog.ird.net.br/ e entre em contato para avaliação de equipamentos e soluções.

Gostou do artigo? Tem dúvidas específicas sobre um caso de uso (ex.: Modbus/TCP entre VLANs, ARP spoofing em L2, ou dimensionamento de TCAM)? Deixe sua pergunta ou comente abaixo — vamos responder com exemplos práticos e, se desejar, um roteiro de implementação adaptado ao seu ambiente.