LLDP: o que é o protocolo IEEE 802.1AB e como ele descobre os dispositivos da rede

LLDP (Link Layer Discovery Protocol) é o protocolo de camada 2, padronizado pelo IEEE como 802.1AB, com que switches, roteadores, telefones IP, pontos de acesso e outros equipamentos anunciam periodicamente aos vizinhos diretamente conectados quem são: nome, porta, endereço de gerência e capacidades. Cada equipamento guarda o que recebe numa base de dados (a LLDP MIB), e um software de gerência que consulta essas bases via SNMP consegue desenhar sozinho o mapa da rede — a chamada descoberta automatizada de dispositivos.

Por ser um padrão aberto, o LLDP funciona entre equipamentos de fabricantes diferentes, ao contrário de protocolos proprietários como o CDP. Este guia explica como o protocolo LLDP funciona por dentro (quadro, TLVs, temporizadores), o que é a LLDP MIB, para que serve o LLDP-MED em telefonia IP e PoE, como configurar e — ponto que muitos textos erram — quais são os riscos de segurança de deixá-lo ligado em todas as portas.

O que o LLDP faz — e o que ele não faz

• Anuncia, não pergunta. Cada porta com LLDP ativo envia seus dados em intervalos regulares. Não há pedido e resposta: quem recebe só armazena.
• Só alcança o vizinho direto. O quadro LLDP usa um endereço multicast que switches compatíveis com IEEE 802.1D não encaminham. O que você vê numa porta é o equipamento ligado diretamente a ela, não a rede inteira.
• Não configura nada sozinho. O LLDP básico só informa. Quem usa a informação é o administrador, o software de gerência ou extensões como o LLDP-MED.
• Não tem autenticação nem criptografia. Os dados trafegam em claro e podem ser falsificados por qualquer equipamento conectado à porta.

Como funciona o protocolo LLDP

Cada anúncio é um quadro Ethernet que carrega uma LLDPDU (LLDP Data Unit). O quadro tem características fixas que ajudam a reconhecê-lo numa captura:

O TTL diz ao vizinho por quanto tempo a informação vale. Se ele não receber novo anúncio nesse prazo (cabo desligado, equipamento desligado, LLDP desativado), a entrada é apagada. Com os valores padrão, um vizinho que sumiu desaparece da tabela em cerca de 2 minutos. Quando um equipamento vai ser desligado de forma ordenada, ele pode enviar uma LLDPDU com TTL zero, que remove a entrada na hora.

TLVs: o que vai dentro de uma LLDPDU

A LLDPDU é uma sequência de blocos TLV (Type-Length-Value): 7 bits de tipo, 9 bits de comprimento e o valor. Os três primeiros são obrigatórios e nessa ordem; os demais são opcionais.

As extensões do tipo 127 é que tornam o LLDP útil além do inventário. As da IEEE 802.1 informam, por exemplo, a VLAN nativa da porta e a agregação de links; as da IEEE 802.3 informam velocidade e duplex configurados e a potência PoE. Com isso, um vizinho que anuncia VLAN ou duplex diferentes do seu denuncia um erro de configuração antes que ele vire chamado.

LLDP MIB e SNMP: como a descoberta vira mapa de rede

O que cada equipamento aprende fica na LLDP MIB, definida na própria IEEE 802.1AB. Ela tem tabelas para os dados locais (o que o equipamento anuncia) e remotos (o que ele recebeu de cada porta), e é lida via SNMP. Um sistema de gerência que conhece um switch lê a tabela de vizinhos, descobre os IPs de gerência deles, consulta cada um e repete o processo. Ao final, tem a topologia física — qual porta de qual switch liga a qual equipamento — sem ninguém ter documentado à mão. A integração com plataformas de monitoramento está detalhada em integração do LLDP com softwares de gerenciamento de rede.

Exemplo prático: achar onde está um equipamento

Uma câmera IP parou de responder e ninguém sabe em que porta ela está. Com LLDP ativo no switch e na câmera, o comando de vizinhos do switch (na CLI de muitos fabricantes, show lldp neighbors) lista, porta por porta, o nome e o modelo do equipamento conectado. Em segundos você sabe que a câmera está na porta 14, que o enlace negociou 100 Mb/s em vez de 1 Gb/s e que o próximo passo é testar o cabo. Em servidores Linux, o pacote lldpd faz o mesmo papel (lldpcli show neighbors). O passo a passo em switches da linha IRD.Net está em como ativar e monitorar LLDP em switches IRD.Net.

LLDP-MED: telefonia IP, localização e PoE

O LLDP-MED (Media Endpoint Discovery) é uma extensão publicada pela TIA como ANSI/TIA-1057, em abril de 2006, voltada a terminais como telefones IP. Ele acrescenta TLVs para:

• Política de rede: o switch informa ao telefone em qual VLAN de voz e com qual prioridade (802.1p e DSCP) ele deve marcar o tráfego. O telefone se configura sozinho ao ser conectado.
• Localização: o switch pode informar a localização física associada à porta, usada em chamadas de emergência.
• Energia estendida (PoE): o terminal informa quanto de potência realmente precisa, e o switch reserva só isso do seu orçamento PoE.
• Inventário: fabricante, modelo, número de série e versão de firmware do terminal.

Independentemente do LLDP-MED, as normas PoE IEEE 802.3at e 802.3bt também usam LLDP para que o dispositivo alimentado e o switch negociem a potência com mais precisão do que a classificação física permite. Em projeto com muitos telefones, câmeras e pontos de acesso, essa negociação define quantos equipamentos o mesmo switch PoE gerenciável consegue alimentar. Uso do LLDP-MED para inventário está em gestão de inventário com LLDP e LLDP-MED.

LLDP × CDP × LDP: não confunda

Em rede com equipamentos de vários fabricantes, o LLDP é a escolha: é o idioma comum. Muitos equipamentos rodam LLDP e o protocolo proprietário ao mesmo tempo. Quem procura “protocolo LDP” querendo descoberta de dispositivos quase sempre está atrás do LLDP.

Como configurar o LLDP: boas práticas

1. Verifique o estado padrão. Em muitos switches gerenciáveis o LLDP já vem ativo; em outros, precisa ser habilitado globalmente (por exemplo, lldp run em equipamentos com CLI no estilo Cisco) e, às vezes, por porta.
2. Mantenha os temporizadores padrão (30 s e multiplicador 4), a menos que haja motivo. Reduzir o intervalo acelera a detecção de mudanças e aumenta pouco o tráfego, mas não traz ganho na maioria das redes.
3. Preencha nome e descrição. Um System Name significativo (“SW-ACESSO-GALPAO2”) vale mais do que o MAC no mapa de topologia.
4. Ative TLVs de que você precisa: Management Address para a descoberta via SNMP; extensões 802.3 para conferir duplex e PoE; LLDP-MED onde houver telefones IP.
5. Desligue a transmissão em portas não confiáveis — veja a próxima seção.

Segurança: o que o LLDP expõe

O LLDP não oferece autenticação nem criptografia, e não serve para barrar dispositivos não autorizados: um intruso simplesmente não roda LLDP, ou anuncia dados falsos. O que ele faz é o oposto — entrega a quem estiver na porta o modelo do switch, a versão de firmware, a VLAN e o IP de gerência, um bom ponto de partida para um ataque. As práticas recomendadas são:

• Deixar o LLDP transmitindo nos enlaces entre equipamentos de infraestrutura e para terminais gerenciados (telefones, APs).
• Desabilitar a transmissão, ou colocar em “só recepção”, em portas voltadas para redes de terceiros, salas públicas, operadora e internet.
• Usar o LLDP como ferramenta de visibilidade, e controle de acesso de verdade com IEEE 802.1X, segurança de porta e segmentação por VLAN.

Erros comuns com LLDP

• Esperar ver a rede inteira numa porta. O LLDP mostra só o vizinho direto. A topologia completa vem da coleta em todos os equipamentos.
• Switch não gerenciável no meio do caminho. Ele não participa do LLDP. Dependendo de encaminhar ou não esse multicast, a porta do switch gerenciável mostra o equipamento além dele, nada, ou vários vizinhos ao mesmo tempo — e o mapa fica incoerente nesse trecho.
• Vizinho que “some e volta”. Intervalo e TTL inconsistentes, ou enlace instável. Confira os contadores de erros da porta.
• Mapa de topologia sem IPs. O TLV Management Address está desativado ou o equipamento não tem IP de gerência configurado.
• LLDP ativo em porta de cliente ou operadora. Vaza informação de infraestrutura. Desligue a transmissão nessas portas.

Onde o LLDP é mais útil

Em data centers e redes corporativas, o LLDP alimenta a documentação viva da topologia e reduz o tempo para localizar falhas (veja também LLDP na descoberta e no mapeamento automático da rede). Em telefonia IP, o LLDP-MED elimina a configuração manual de VLAN de voz. Em plantas industriais, onde a pessoa que atende a falha nem sempre é quem montou a rede, saber pelo switch qual equipamento está em cada porta poupa horas de rastreamento de cabo.

Para isso, o LLDP precisa estar no equipamento: ele é recurso de switches gerenciáveis, não de não gerenciáveis. Na IRD.Net, o switch gerenciável L3 de 8 portas Gigabit com 4 SFP+ 10G lista LLDP entre os serviços de rede na especificação, ao lado de SNMP v1/v2/v3 — a combinação necessária para a descoberta automática. Para chão de fábrica, veja também os switches industriais, conferindo o suporte a LLDP na ficha de cada modelo.

Perguntas Frequentes

O que é LLDP?

LLDP (Link Layer Discovery Protocol) é o protocolo IEEE 802.1AB com que equipamentos de rede anunciam aos vizinhos diretamente conectados sua identidade, porta, endereço de gerência e capacidades. É padrão aberto e funciona entre fabricantes diferentes.

Para que serve o protocolo LLDP?

Para descobrir qual equipamento está ligado em cada porta, montar automaticamente o mapa da topologia via SNMP, detectar erros de configuração entre vizinhos (VLAN, duplex) e, com o LLDP-MED e as normas PoE, configurar telefones IP e negociar potência.

O que é LLDP MIB?

É a base de informações de gerência definida na IEEE 802.1AB onde cada equipamento guarda os dados que anuncia e os que recebeu dos vizinhos. Ela é consultada via SNMP por softwares de monitoramento para montar a topologia da rede.

Qual a diferença entre LLDP e CDP?

Fazem a mesma coisa — descoberta de vizinhos na camada 2 —, mas o LLDP é padrão aberto do IEEE e o CDP é proprietário da Cisco. Em rede com mais de um fabricante, use LLDP.

LLDP e LDP são a mesma coisa?

Não. LDP (Label Distribution Protocol, RFC 5036) distribui rótulos em redes MPLS. LLDP é descoberta de dispositivos vizinhos na camada de enlace.

É seguro deixar o LLDP ligado?

Nas portas entre equipamentos de infraestrutura e para terminais gerenciados, sim. Em portas voltadas para redes não confiáveis, desligue a transmissão: o LLDP não tem autenticação e expõe modelo, firmware e IP de gerência a quem estiver conectado.