Redes de computadores, protocolos TCP/IP e interoperabilidade

1. O que precisa funcionar para acessar um sistema?

Situação hipotética: um servidor público consegue imprimir no setor, mas não abrir um sistema na Internet. Alguma comunicação local funciona; isso não prova que o caminho externo, a localização pelo nome e o serviço estejam funcionando.

Uma rede interliga dispositivos para trocar dados e compartilhar recursos. Protocolos são as regras sobre formato, significado e sequência das mensagens. Estar conectado não basta: é preciso identificar o destino, encontrar um caminho e falar o protocolo do serviço.

No modelo cliente-servidor, o cliente solicita e o servidor oferece um serviço. São papéis de programas: uma máquina pode exercer ambos, e vários servidores podem atender um serviço. Em uma rede P2P, ou ponto a ponto, os participantes oferecem e consomem recursos entre si, sem servidor central para todas as trocas.

Alcance não é permissão de acesso

Uma WAN pode ser privada; uma LAN pode funcionar sem Internet. A Internet é a interligação mundial de redes; a Web é um de seus serviços, baseado em HTTP e HTTPS, protocolos de consulta a páginas e recursos explicados adiante. Correio eletrônico é outro serviço, embora possa ter interface no navegador.

Intranet usa tecnologias de Internet em ambiente de acesso restrito. Extranet oferece acesso controlado a parte desses recursos a usuários externos autorizados. Portanto, alcance geográfico, tecnologia e autorização são critérios diferentes; usar TCP/IP não torna uma rede pública.

2. Como os dispositivos se conectam

Os dados são representados por bits, valores 0 ou 1. Viajam por par trançado (pares de fios de cobre), fibra óptica (pulsos luminosos) ou rádio. Cada trecho de comunicação direta é um enlace. Ethernet é uma família de padrões de rede, usualmente cabeada, do IEEE 802.3; Wi-Fi usa a família IEEE 802.11 para comunicação sem fio. Enlaces de operadoras também podem empregar rádio, micro-ondas ou satélite.

Na nomenclatura clássica, Ethernet corresponde a 10 megabits por segundo; Fast Ethernet, a 100; Gigabit Ethernet, a 1 gigabit por segundo, ou 1.000 megabits por segundo. Taxa nominal não é velocidade útil garantida: controle, compartilhamento do meio, distância, interferência e retransmissões afetam o desempenho.

A topologia física descreve as conexões: estrela tem ponto central; barramento, cabo principal compartilhado; anel, circuito; malha, múltiplas interligações; híbrida combina formas. A topologia lógica descreve a circulação dos dados e pode diferir do desenho dos cabos.

Para distinguir os equipamentos, acompanhe sua decisão:

• Hub: repete o sinal recebido nas demais portas; não aprende endereços nem escolhe um destinatário.
• Switch: encaminha quadros, unidades de dados do enlace local, usando endereços MAC, que identificam interfaces nesse enlace. Aprende em que porta cada endereço aparece; destinatários desconhecidos e transmissões coletivas podem exigir envio por várias portas.
• Roteador: encaminha pacotes, unidades de dados com endereços IP, entre redes. Consulta rotas para escolher o próximo trecho do caminho.

O ponto de acesso, ou AP, conecta dispositivos Wi-Fi à rede local, tipicamente como ponte entre meios. Não é necessariamente um roteador. Modem adapta sinais ao meio de acesso; a ONT termina a conexão óptica de acesso. Um aparelho pode reunir essas funções e ainda oferecer um firewall, mecanismo que permite ou bloqueia tráfego segundo uma política. Funções reunidas no gabinete continuam sendo distintas.

3. Endereço, porta e sub-rede: a quem entregar?

Uma interface é um ponto de conexão à rede. MAC identifica a interface no enlace local; IP identifica logicamente o destino para encaminhar pacotes entre redes. Para distinguir o programa que receberá os dados, usa-se a porta de transporte, número associado ao serviço ou processo.

Um socket é um ponto de comunicação: endereço IP e porta, no contexto de um protocolo de transporte. TCP e UDP, estudados adiante, têm espaços de portas separados. Uma máquina pode ter várias interfaces, endereços e serviços; MAC, IP e porta não são sinônimos nem necessariamente permanentes.

3.1 Ler um endereço IPv4

Um endereço IPv4 tem 32 bits, separados em quatro octetos de oito bits, escritos usualmente como números decimais de 0 a 255. Em cada octeto, as posições valem, da esquerda para a direita, 128, 64, 32, 16, 8, 4, 2 e 1; somam-se as posições marcadas com 1.

Por exemplo, 192 = 128 + 64, portanto 11000000; 50 = 32 + 16 + 2, portanto 00110010. Aplicando o mesmo raciocínio aos quatro octetos:

192.168.10.50 = 11000000.10101000.00001010.00110010

A máscara separa a parte que identifica a rede da parte disponível para endereços dentro dela. Na notação CIDR, /24 significa que os primeiros 24 bits são o prefixo de rede. A máscara correspondente é 255.255.255.0: 24 bits 1 seguidos de oito bits 0.

3.2 Calcular o bloco, não decorar o último número

Em uma sub-rede IPv4 convencional, os bits restantes variam. Todos em 0 identificam a rede; todos em 1 formam o broadcast, destinado coletivamente aos participantes daquela sub-rede. Os endereços intermediários são utilizáveis por hosts, os dispositivos finais. Assim, para um prefixo de tamanho p:

No exemplo hipotético do setor: em 192.168.10.0/24, a rede é .0, o broadcast é .255 e os hosts vão de .1 a .254. Se esse bloco for dividido em /26, cada sub-rede terá 64 endereços, começando em .0, .64, .128 e .192. No bloco 192.168.10.64/26, a rede é .64, os hosts vão de .65 a .126 e o broadcast é .127. Logo, broadcast não termina obrigatoriamente em 255.

Para dimensionar uma rede, escolha o menor número de bits de host que comporte a demanda: 1.000 hosts exigem dez bits, pois 2⁹ − 2 = 510 e 2¹⁰ − 2 = 1.022. Restam 22 bits de rede: /22, máscara 255.255.252.0. Havendo prefixo explícito, ele determina o bloco, não a classificação histórica em classes A, B ou C.

A subtração de dois tem exceções: /31 pode usar os dois endereços em um enlace ponto a ponto; /32 identifica um único endereço. Não aplique a fórmula de hosts usuais mecanicamente a esses casos.

3.3 Endereços com finalidade especial

Endereço privado vale internamente, mas não é roteável como tal na Internet pública. No Windows, APIPA é a autoconfiguração IPv4 link-local: 169.254.x.x, em configuração automática e sem gateway, sugere falha na obtenção de configuração DHCP. Não prova defeito na placa nem se confunde com loopback.

4. Configurar, localizar e alcançar são tarefas diferentes

O computador do setor precisa de configuração, do endereço correspondente ao nome do sistema e do destinatário no enlace. DHCP, DNS e ARP resolvem problemas diferentes.

4.1 DHCP: obter configuração

O DHCP pode fornecer endereço IP, máscara, gateway, servidores DNS e prazo de uso do endereço, chamado concessão. O gateway padrão é o roteador usado para destinos sem uma rota mais específica.

A negociação inicial típica do DHCPv4 é resumida por DORA: o cliente procura servidores (Discover), recebe uma oferta (Offer), solicita a configuração escolhida (Request) e recebe a confirmação (Acknowledgment). Não confunda essa sequência de quatro mensagens com a abertura de uma conexão TCP.

Uma reserva associa um cliente a um endereço administrado pelo DHCP, útil para uma impressora que deve manter o endereço. Uma exclusão retira endereços da distribuição automática, permitindo administrá-los separadamente, por exemplo com configuração manual. Reserva não é desligar o serviço; exclusão, sozinha, não configura o equipamento.

4.2 DNS: descobrir dados a partir de nomes

Um nome de domínio dispensa memorizar endereços numéricos. O DNS é um sistema distribuído de nomes e registros: um resolvedor busca a informação ou reaproveita uma resposta em cache, armazenamento temporário. Servidores autoritativos mantêm as informações oficiais de uma zona, parcela administrada desse espaço de nomes.

Em ftp IN CNAME server01, ftp é apelido de server01, não autorização para transferir arquivos. Nome resolvido não comprova serviço disponível. DNS convencional usa porta 53 com UDP ou TCP, não exclusivamente um transporte.

4.3 ARP e gateway: entregar ao próximo participante

Conhecido o destino IPv4, o computador compara seu prefixo com o do destino usando a máscara. Na mesma sub-rede, entrega diretamente; fora dela, consulta uma rota e entrega ao próximo roteador, normalmente o gateway padrão. No enlace Ethernet, usa o ARP para descobrir qual endereço MAC corresponde ao IPv4 desse próximo participante.

No exemplo 192.168.10.50/24, uma impressora .60 é local. Já um destino fora de 192.168.10.0/24 exige roteamento. O quadro inicial será dirigido ao MAC do gateway, mas o pacote continuará destinado ao IP remoto, ressalvadas traduções de endereço. Não existe uma consulta ARP que atravesse a Internet para descobrir o MAC do servidor distante.

O gateway precisa ser alcançável no enlace, normalmente um endereço de host na mesma sub-rede, nunca seu broadcast. Em um bloco /29 iniciado em .0, .1 a .6 são hosts e .7 é broadcast: escolher .7 como gateway é erro de configuração.

5. Rotas, tradução e filtragem

A tabela de roteamento associa redes de destino a saídas e próximos saltos. Prevalece a rota compatível de prefixo mais específico. A rota padrão, 0.0.0.0/0 em IPv4, cobre os demais destinos; não equivale a atribuir 0.0.0.0 a um servidor.

Rotas estáticas são configuradas administrativamente e não aprendem sozinhas novos caminhos. Roteamento dinâmico usa protocolos para trocar informações e ajustar rotas, ao custo de maior complexidade.

Para comunicar uma rede privada com a Internet, pode haver NAT, tradução de endereços entre domínios de endereçamento. O NAT básico traduz endereços; NAPT, também chamado PAT, traduz endereços e portas. Assim, vários computadores podem compartilhar um endereço externo: as associações de portas permitem encaminhar cada resposta à comunicação interna correta.

Tradução não é configuração automática, criptografia nem política de segurança. O firewall decide o tráfego permitido, podendo considerar endereços, portas, protocolos e estado das conexões. O mesmo aparelho pode executar NAT, DHCP e filtragem, mas uma função não substitui as outras.

6. O que muda no IPv6

O IPv6 amplia o endereço para 128 bits, escritos em oito grupos de 16 bits. Cada grupo usa até quatro dígitos hexadecimais: 0 a 9 e A a F, em que A vale dez e F vale quinze. Cada dígito representa quatro bits.

Podem-se omitir zeros à esquerda de cada grupo e substituir uma sequência de grupos nulos por ::, uma única vez por endereço, para não tornar ambígua a quantidade omitida.

2001:0db8:0000:0000:0000:0000:fe00:0001
2001:db8:0:0:0:0:fe00:1
2001:db8::fe00:1

As três escritas representam o mesmo endereço. Não se pode transformar fe00 em fe: isso apagaria zeros à direita e mudaria o valor. Validade não é o mesmo que forma canônica: a representação padronizada pela RFC 5952 usa letras minúsculas, elimina zeros iniciais e comprime a maior sequência de grupos zero, escolhendo a primeira em caso de empate; não comprime um único grupo zero.

::1 é loopback; :: é o endereço não especificado; fe80::/10 é o prefixo link-local. IPv6 não tem broadcast: usa, entre outras formas de entrega, multicast, destinado a um grupo de interfaces.

O NDP, baseado em ICMPv6, descobre vizinhos e roteadores, resolve endereços de enlace e verifica alcançabilidade; participa também da detecção de endereços duplicados. Substitui e amplia funções que, no IPv4, incluem o ARP. Portanto, IPv6 não usa ARP.

Na SLAAC, o dispositivo pode formar endereços a partir de informações anunciadas por roteadores. O DHCPv6 pode fornecer parâmetros, endereços ou prefixos; pode coexistir com a SLAAC e não reproduz a sequência DORA do DHCPv4. O roteador padrão é descoberto pelos anúncios de roteador, não pelo DHCPv6.

7. Transportar dados não é garantir que o serviço funcionou

O IP encaminha pacotes, mas não garante, sozinho, entrega nem ordem. As aplicações escolhem como lidar com perdas e atrasos.

O TCP estabelece uma conexão e oferece à aplicação um fluxo ordenado de bytes, unidades de oito bits. Usa números de sequência, confirmações e retransmissões para recuperar perdas; o controle de fluxo evita exceder a capacidade do receptor e o controle de congestionamento ajusta o envio à situação da rede. Se a comunicação falhar definitivamente, a conexão pode terminar com erro: confiável não significa infalível.

A abertura usual, chamada three-way handshake, tem três etapas: SYN solicita sincronização; SYN-ACK sincroniza e confirma; ACK confirma a resposta. Essa conexão lógica não cria um cabo exclusivo entre as partes.

O UDP envia datagramas, mensagens independentes, sem estabelecimento prévio de conexão e sem garantias próprias de entrega, ordenação ou retransmissão. Tem menor sobrecarga de controle, mas não é “sempre mais rápido”. Voz e vídeo podem preferir receber dados recentes a esperar dados antigos; outros protocolos podem acrescentar confiabilidade sobre UDP. É o caso do QUIC, usado pelo HTTP/3.

O ICMP transporta mensagens de controle, erro e diagnóstico associadas ao IP. O comando ping envia solicitações de eco e observa respostas e tempo de ida e volta; não testa uma porta TCP ou UDP. No Windows, tracert envia sondagens com limites de salto crescentes. No IPv4, cada roteador decrementa o TTL; ao esgotá-lo, pode responder com tempo excedido. Essas respostas revelam os saltos do caminho.

8. Camadas: organizar as responsabilidades já vistas

A aplicação não precisa controlar diretamente os sinais no cabo. Cada camada oferece um serviço à superior e acrescenta informações para cumprir sua parte. Esse processo é o encapsulamento: dados da aplicação recebem informações de transporte, depois de rede e de enlace. No destino, o desencapsulamento entrega o conteúdo à camada correspondente.

Dados → segmento TCP ou datagrama UDP → pacote IP → quadro de enlace → bits transmitidos. “Datagrama” também pode designar a unidade do próprio IP; observe a camada mencionada.

O OSI é um modelo de referência de sete camadas; o modelo TCP/IP, na representação de quatro camadas, agrupa algumas dessas responsabilidades:

A correspondência é conceitual, não uma obrigação de implementar sete programas separados. Criptografia não fica exclusivamente em uma camada na prática; existem switches com funções de roteamento, e a camada de atuação de um firewall depende de sua implementação.

9. Protocolos usados pelos serviços

9.1 HTTP e HTTPS: pedido, resposta e proteção

No HTTP, o cliente faz uma requisição sobre um recurso, como página, arquivo ou cadastro. A resposta traz um código de estado e, quando cabível, uma representação do recurso. O método indica a intenção:

Um método seguro, como GET ou HEAD, não solicita alteração de estado como finalidade; isso não impede efeitos acessórios, como registrar o acesso. Seguro, nessa classificação, não quer dizer criptografado.

Os códigos agrupam resultados: 2xx indica sucesso; 3xx, redirecionamento ou ações relacionadas; 4xx, erro associado ao pedido do cliente; 5xx, falha do servidor ao atendê-lo. Os casos mais úteis são:

O HTTPS protege a comunicação HTTP por meio do TLS, que fornece confidencialidade, integridade e autenticação do servidor conforme a validação do certificado. Protege o canal; não garante que o conteúdo seja honesto nem corrige autorização defeituosa na aplicação.

HTTP/1.1 e HTTP/2 normalmente usam TCP; HTTP/3 usa QUIC sobre UDP, mantendo as funções HTTP de pedido e resposta. QUIC acrescenta conexões seguras e transporte confiável sobre UDP, mostrando por que ausência de garantia no protocolo inferior não impede garantia em outro nível.

9.2 Correio: envio não é leitura da caixa

O SMTP leva a mensagem do cliente ao serviço de envio e entre servidores de correio. Para consultar a caixa, IMAP mantém a visão das mensagens e pastas no servidor, favorecendo sincronização entre dispositivos. POP3 permite obter mensagens para o cliente; a permanência de cópias no servidor depende da configuração, não é proibida pelo protocolo.

No webmail, o navegador acessa a interface do serviço pela Web; isso não transforma SMTP em protocolo de leitura. Composição de mensagens e colaboração ficam no assunto próprio de correio eletrônico.

9.3 FTP, FTPS e SFTP: transferir arquivos

O FTP separa uma conexão de controle, para comandos e respostas, de conexões de dados, para arquivos e listagens. No modo ativo, o servidor inicia a conexão de dados para o cliente; no passivo, o cliente a inicia para uma porta indicada pelo servidor. Por isso, a autenticação pode funcionar, mas a transferência ser bloqueada por regras de rede.

FTP não tem criptografia intrínseca. FTPS acrescenta proteção TLS ao FTP. SFTP é outro protocolo de transferência, operando sobre SSH, que oferece comunicação remota protegida. FTPS e SFTP não são sinônimos, e o segundo não herda os dois canais do FTP.

9.4 Portas de referência

Portas são convenções de serviço, não garantias de que um programa esteja ativo; podem existir configurações não padronizadas.

10. Diagnosticar sem transformar indício em certeza

Na situação inicial, comece pela configuração e avance do caminho local ao serviço, mudando uma variável de cada vez. Os comandos abaixo são do Windows; versões e políticas podem afetar a saída e as permissões.

Se um destino responde por endereço, mas não por nome, investigue DNS. Se a rede local funciona e destinos externos não, confira máscara, gateway, rotas e acesso externo. Se o ping responde, mas o sistema não abre, examine serviço, porta, firewall e validação do certificado. Resposta de eco não é resposta da aplicação, e silêncio no ping pode ser filtragem; asteriscos no tracert indicam sondagens sem resposta, não necessariamente interrupção do encaminhamento.

ipconfig /flushdns limpa apenas o cache local do resolvedor, não corrige os registros autoritativos. ipconfig /release libera a concessão DHCPv4 e pode interromper a conexão; /renew solicita renovação. São ações sobre a configuração, não comandos de simples observação nem soluções universais para falhas de rede.

11. Interoperabilidade: trocar dados que possam ser usados

Exemplo hipotético: um sistema envia {"situacao":1}. A mensagem chega intacta, mas “1” significa “ativo” no emissor e “inativo” no destinatário. A rede funcionou; a decisão poderá estar errada. Interoperabilidade permite a sistemas e organizações cooperar com informações utilizáveis, não apenas conectar-se.

A dimensão técnica cuida de protocolos, formatos e processamento da troca. A semântica exige significados compartilhados para campos, códigos e unidades. A organizacional alinha processos, responsabilidades e acordos: quem mantém os códigos e corrige divergências? As dimensões são complementares.

11.1 Interface, arquitetura, protocolo e formato

Uma API é uma interface de programação: contrato de operações expostas por um sistema, com entradas e respostas previstas, não um banco de dados. Pode usar HTTP para os pedidos e JSON ou XML para representar dados. JSON organiza valores, objetos e listas; XML usa elementos marcados por etiquetas. Formato compatível não garante significado compartilhado.

REST é um estilo arquitetural: orienta a interação com recursos por uma interface uniforme, separa cliente e servidor e exige que cada requisição traga as informações necessárias ao seu entendimento, sem depender de contexto de sessão guardado pelo servidor entre pedidos. Não obriga o uso de JSON, e uma API que usa HTTP e JSON não é automaticamente REST. OpenAPI descreve interfaces HTTP, documentando operações, parâmetros e respostas; descrevê-las também não garante interoperabilidade semântica.

11.2 Padrões públicos e limites jurídicos

A e-PING estabelece premissas, políticas e especificações mínimas para interoperabilidade no Poder Executivo federal e suas interações com outros Poderes, entes e sociedade. O documento de referência de 2018 trabalha com as dimensões técnica, semântica e organizacional. A análise jurídica é necessária, mas não deve ser apresentada como uma quarta dimensão oficial desse documento.

A adoção deve ser observada pelos integrantes do SISP no planejamento da contratação, aquisição e atualização de sistemas e equipamentos. Para outros Poderes da União e demais entes federativos, é facultativa no regime das Portarias nº 92/2014 e nº 41/2019; não vincula automaticamente todo órgão brasileiro. A preferência por padrões abertos admite padrões proprietários transitoriamente no legado ou quando não existir padrão aberto, respeitados segurança e integridade. Legado são as soluções já existentes: devem evoluir nas manutenções e atualizações, sem substituição imediata obrigatória de tudo.

Na Lei nº 14.129/2021, a interoperabilidade integra as diretrizes do Governo Digital. A lei alcança a administração federal especificada no artigo 2º; para as administrações dos demais entes federados, seus comandos dependem de adoção por atos normativos próprios. A integração deve respeitar finalidade, competência, sigilos, LAI e LGPD, entre as normas indicadas no artigo 1º. É preciso verificar quem pode receber quais dados e para qual finalidade: capacidade técnica de compartilhar não equivale a autorização jurídica para fazê-lo.