CCNA 200-301 — sobre o exame e como usar este guia

O que é o CCNA 200-301

O CCNA (Cisco Certified Network Associate) é a certificação de rede de entrada da Cisco e uma das mais reconhecidas no mercado de TI. O exame 200-301 é o único exame da certificação e reúne em um só teste o conteúdo que antes era dividido entre o ICND1 e o ICND2.

Este guia segue o blueprint oficial (o roteiro de conteúdo publicado pela Cisco). O objetivo é que cada tópico cobrado pela prova tenha uma explicação didática aqui, em linguagem original — e, onde couber, a indicação do recurso oficial gratuito para aprofundar. Nada aqui substitui o laboratório prático nem o material oficial da Cisco, mas serve como referência de estudo organizada e alinhada ao exame.

Formato oficial do exame

Item	Valor
Código	200-301 CCNA
Duração	120 minutos
Número de questões	100
Resultado	Aprovado / Reprovado (não há nota numérica publicada)
Idiomas	Inglês (principal) e outros
Recomendado	CCNA de 120 horas de instrução (curso oficial) + prática

O exame é aprovado/reprovado (pass/fail). A Cisco não publica a nota de corte em pontos, apenas se o candidato passou. Por isso, o mais seguro é dominar todos os domínios, sem "chutar" área nenhuma.

Peso de cada domínio (blueprint oficial)

A distribuição abaixo é a do blueprint oficial e indica onde gastar seu tempo de estudo:

Domínio	Peso
1.0 Network Fundamentals	20%
2.0 Network Access	20%
3.0 IP Connectivity	25%
4.0 IP Services	10%
5.0 Security Fundamentals	15%
6.0 Automation and Programmability	10%

Como se vê, IP Connectivity (25%) é o maior bloco — roteamento e switching merecem a maior parte da atenção. Network Fundamentals e Network Access (20% cada) formam a base que todo o resto pressupõe.

Como usar este guia

1. Leia na ordem dos domínios (1 → 6): cada capítulo constrói sobre o anterior.
2. Pratique em laboratório. O CCNA é uma certificação de hands-on: configure roteadores e switches em um simulador/emulador (ex.: Cisco Packet Tracer) enquanto lê. Simulação sem prática não fixa.
3. Use o simulador de prova. Este repositório também tem o ccna-trainer, um simulador no estilo do exame (120 min, 100 questões, IOS). Use-o como checkpoint de progresso.
4. Cobre os anexos: a lista de comandos IOS e o glossário são as suas "fichas" de revisão final.

O que este guia é (e não é)

• É um material de estudo didático, original e alinhado ao blueprint.
• Não é cópia do Official Cert Guide nem material protegido por copyright. Para o aprofundamento completo (e a compra é recomendada pela maioria dos profissionais), adquira o guia oficial Cisco e faça os cursos da Cisco Networking Academy (ver anexo de recursos oficiais).

---

Vamos começar. O próximo capítulo trata do Domínio 1 — Network Fundamentals.

Domínio 1 — Network Fundamentals

Peso oficial: 20%. É a base de tudo: componentes de rede, topologias, cabeamento, TCP/UDP, endereçamento IPv4/IPv6 e conceitos de switching.

1.1 Papel e função dos componentes de rede

Entender qual dispositivo faz o quê é fundamental. Os principais:

• Roteador (Router): dispositivo de camada 3. Encaminha pacotes entre redes diferentes, tomando decisões com base em uma tabela de roteamento (roteamento estático ou dinâmico via protocolos como OSPF). Não faz forwarding baseado em MAC — usa endereços IP de destino.
• Switch de camada 2 (L2): encaminha quadros (frames) com base no endereço MAC. Mantém uma MAC address table aprendendo qual porta está associada a qual MAC. Operação: L2 switching.
• Switch de camada 3 (L3): além de L2, faz roteamento inter-VLAN (usa SVIs, switched virtual interfaces). Essencial para permitir tráfego entre VLANs sem roteador externo.
• Next-Generation Firewall (NGFW): inspeção de tráfego em várias camadas; controle de acesso baseado em aplicação, usuário e conteúdo; integra IPS/IDS.
• IPS/IDS (Intrusion Prevention/Detection): detectam e, no caso do IPS, bloqueiam tráfego malicioso assinando padrões de ataque.
• Access Point (AP) e Controladora sem fio (WLC): o AP provê a rede Wi-Fi; a controladora gerencia vários APs centralizadamente (configuração, SSID, roaming).
• Endpoint: dispositivos finais (PC, servidor, impressora, telefone IP) que originam e consomem o tráfego da rede.

Regra mental: switch = camada 2 (MAC), router = camada 3 (IP), AP = ponte para o mundo sem fio, firewall/IPS = segurança de borda.

1.2 Topologias de arquitetura

• Two-Tier (dois níveis): access + distribution. Usado em redes de campus pequenas/médias. Também chamada de "collapsed core" quando a camada de núcleo é incorporada à de distribuição.
• Three-Tier (três níveis): access → distribution → core. A camada de core (núcleo) é a espinha dorsal de alta velocidade e baixa latência; a distribution agrega e aplica políticas (roteamento, QoS, segurança); a access conecta os endpoints.
• Spine-Leaf: arquitetura de data center com escala horizontal. Cada folha (leaf, acesso) se conecta a todos os spines (núcleo), e os spines não se conectam entre si. Resultado: latência uniforme e nenhum salto extra entre qualquer par de dispositivos (igual número de saltos sempre).
• WAN (Wide Area Network): conecta sites geograficamente separados (ex.: MPLS, VPN IPsec, SD-WAN).
• SOHO (Small Office/Home Office): rede pequena; normalmente um roteador integrado (modem+roteador+switch+AP num aparelho só).
• Data center on-prem vs. cloud: on-prem = infraestrutura própria no prédio da empresa; cloud = recursos hospedados por provedor (ex.: AWS, Azure, GCP).

1.3 Tipos de interface e cabeamento físico

Fibra óptica — longas distâncias e alta largura de banda; imune a interferência eletromagnética:

• Single-mode (SMF): núcleo fino; transmite um único modo de luz; distâncias de quilômetros (ex.: 10 km+); usado em backbones/WAN.
• Multi-mode (MMF): núcleo mais grosso; vários modos de luz; distâncias de centenas de metros (ex.: até ~550 m); usado em data centers e horizontais.

Cobre (par trançado) — curtas distâncias (até 100 m por segmento em Ethernet):

• Cat5e: até 1 Gbps.
• Cat6: até 10 Gbps (a ~55 m); blindado ou não.
• Cat6a/Cat7: 10 Gbps a 100 m; melhor blindagem.

Conectores e interfaces comuns no exame:

• Ethernet: RJ45 (cobre), SFP/SFP+/QSFP (módulos ópticos/conectam fibra).
• Console: porta de gerenciamento serial/RJ45 para configuração inicial do equipamento (acesso out-of-band).
• USB: usada para armazenar IOS/imagens e backup de configuração.
• WAN: Serial (legado), T1/E1, módulos.

1.4 Problemas de interface e cabos

O exame cobra reconhecer sintomas e causas:

• Collisions (colisões): típicas em hubs (half-duplex), menos comuns em switches full-duplex. Em switches, "late collisions" indicam cabo comprido demais ou problema no link.
• Errors (erros): CRC errors, runt, giant — frequentemente apontam cabo danificado, interferência ou incompatibilidade de velocidade/duplex.
• Speed/duplex mismatch: quando uma ponta está configurada em full-duplex e a outra em half-duplex (ou velocidades diferentes). Sintoma: muitas colisões/erros e throughput baixo, mesmo com link "up".
• Verificação: usar show interfaces e show interfaces status para conferir velocidade, duplex, contadores de erro e CRC.

Sintoma clássico: link up, mas tráfego lento/instável → desconfie de mismatch de duplex/velocidade ou cabo ruim.

1.5 TCP vs UDP

Aspecto	TCP	UDP
Conexão	Orientado a conexão (3-way handshake)	Sem conexão (fire-and-forget)
Confiabilidade	Entrega garantida (ACKs, retransmissão)	Sem garantia de entrega
Ordenação	Garante ordem dos segmentos	Não garante ordem
Controle de fluxo/congestionamento	Sim (janelas, congestion control)	Não
Cabeçalho	Maior (20+ bytes)	Menor (8 bytes)
Uso	Web (HTTP/S), e-mail (SMTP/IMAP), FTP, SSH	VoIP, streaming, DNS, DHCP, TFTP

3-way handshake do TCP: SYN → SYN-ACK → ACK. Encerramento com FIN.

1.6 Endereçamento IPv4 e subnetting

• IPv4: 32 bits, 4 octetos, faixas de 0 a 255 por octeto (ex.: 192.168.1.10).
• Máscara de sub-rede: indica qual parte do endereço é rede e qual é host. Ex.: /24 = 255.255.255.0 = 24 bits de rede, 8 bits de host.
• Endereços especiais: rede (todos os bits de host 0), broadcast (todos os bits de host 1), loopback 127.0.0.0/8, link-local 169.254.0.0/16 (APIPA).

Cálculo rápido:

• Nº de hosts por sub-rede = 2^(bits de host) − 2 (reserva rede e broadcast).
• Ex.: /24 → 2⁸ − 2 = 254 hosts utilizáveis.
• Para uma sub-rede com n hosts, escolha o menor prefixo com 2^(bits de host) ≥ n + 2.

Exemplo de VLSM (Variable Length Subnet Mask): usar máscaras diferentes por sub-rede para não desperdiçar endereços. Ex.: de um bloco 192.168.0.0/24, criar:

• 192.168.0.0/25 (128 endereços) — 126 hosts
• 192.168.0.128/26 (64) — 62 hosts
• 192.168.0.192/27 (32) — 30 hosts
• 192.168.0.224/30 (4) — 2 hosts (links ponto a ponto)

1.7 Necessidade de endereçamento IPv4 privado

Endereços privados não são roteáveis na Internet e podem ser reutilizados livremente em redes internas. Reservados (RFC 1918):

• 10.0.0.0/8
• 172.16.0.0/12
• 192.168.0.0/16

Isso conserva o espaço público (que hoje está esgotado) e permite que a maioria dos hosts internos use endereços privados, com NAT (geralmente overload/pat) na borda para acessar a Internet. Também há a faixa link-local 169.254.0.0/16 (sem roteamento, autoconfigurada quando não há DHCP).

1.8 e 1.9 IPv6: esquema de endereçamento e configuração

• IPv6: 128 bits, 8 grupos de 16 bits hexadecimais (ex.: 2001:db8:abcd:1::1). Não é necessário fazer subnetting manual em todos os casos, mas usa prefixos (ex.: /64 para uma sub-rede LAN).
• Regra de compressão: zero à esquerda pode ser omitido (0db8 → db8) e um bloco contínuo de grupos zero pode ser :: (uma única vez).
• Prefixo global (GUA): começa com 2000::/3 (ex.: 2001:db8::/32 é o prefixo de documentação). ULA fc00::/7. Link-local fe80::/10.
• Configuração de endereço: SLAAC (Stateless Address Autoconfiguration — o host gera o endereço a partir do prefixo anunciado pelo router e de seu EUI-64/identificador), DHCPv6 (stateful) ou estático.
• Endereço de interface (interface ID): 64 bits. EUI-64: insere fffe no meio do MAC e inverte o sétimo bit.

1.10 Tipos de endereço IPv6

• Unicast: um único destino.
  • Global Unicast (GUA): 2000::/3 — roteável na Internet.
  • Link-local: fe80::/10 — apenas no mesmo segmento; usado para vizinhança (NDP) e como next-hop em roteamento.
  • ULA (Unique Local): fc00::/7 — equivalente aos IPv4 privados.
  • Loopback: ::1.
  • Non-specified: ::.
• Multicast: ff00::/8 — entrega para um grupo (ex.: ff02::1 = all nodes, ff02::2 = all routers, ff02::5 = OSPF).
• Anycast: um endereço atribuído a vários dispositivos; o tráfego chega ao mais próximo (do ponto de vista de roteamento).

NDP (Neighbor Discovery Protocol): substitui o ARP do IPv4; usa mensagens ICMPv6 (Neighbor Solicitation/Advertisement, Router Solicitation/Advertisement).

1.11 Parâmetros IPv4/IPv6 de uma WLAN

Ao configurar uma rede sem fio, lembre que a WLAN em si pode operar sobre IPv4 e/ou IPv6, mas o que o exame foca é o endereçamento do lado da rede e a coexistência:

• O AP/controladora e os clientes precisam de endereçamento (IPv4 ou IPv6) para comunicar.
• IPv6 na WLAN: os clientes usam SLAAC/DHCPv6; o router anuncia o prefixo.
• Parâmetros de SSID/segurança (WPA2/WPA3, PSK/802.1X) são independentes do esquema de endereçamento, mas o exame quer que você saiba quais parâmetros IP configurar (sub-rede, gateway, DHCP) tanto para v4 quanto v6 no contexto da WLAN.

1.12 Conceitos de switching (L2)

O coração da operação do switch:

• MAC learning (aprendizado): quando um frame chega em uma porta, o switch lê o MAC de origem e registra na MAC address table qual porta o viu.
• Frame forwarding (encaminhamento): com o MAC de destino na tabela, o switch encaminha só pela porta certa (encaminhamento seletivo).
• Flooding (inundação): se o MAC de destino não está na tabela (desconhecido), o switch encaminha o frame por todas as portas (exceto a de origem) — comportamento flood.
• Broadcast/multicast: também é inundado (encaminhado a todas as portas).
• MAC address table: tabela que associa porta ↔ MAC; envelhece entradas não usadas (aging time) para manter a tabela atualizada quando dispositivos se movem.

Quando o exame pergunta "por que um switch envia o frame para todas as portas?", a resposta é: MAC de destino desconhecido (não está na MAC address table) → flood.

---

Você dominou os fundamentos. Siga para o Domínio 2 — Network Access.

Domínio 2 — Network Access

Peso oficial: 20%. VLANs, trunks, EtherChannel, Spanning Tree e redes sem fio — a camada de acesso é onde a maioria dos problemas do mundo real acontece.

2.1 VLANs (configurar e verificar)

Uma VLAN (Virtual Local Area Network) divide um switch físico em várias redes de camada 2 isoladas, mesmo que os hosts estejam no mesmo equipamento. Broadcasts não atravessam VLANs.

• VLAN range normal: 1–1005. A VLAN 1 é a padrão e não deve ser usada por segurança. VLANs 1002–1005 reservadas (legado Token Ring/FDDI).
• Configurar: vlan 10 → nome (opcional) → atribuir portas:

  conf t
  vlan 10
   name SALES
  interface gi0/1
   switchport mode access
   switchport access vlan 10
  

• Verificação: show vlan brief (mostra VLANs e portas), show vlan, show interfaces switchport.
• Tráfego entre VLANs diferentes requer camada 3 (SVIs no switch L3 ou router).

2.2 Conectividade entre switches: trunks

Um trunk transporta tráfego de várias VLANs entre dois switches (ou switch→router) num único link, usando tagueamento 802.1Q.

• 802.1Q: padrão de tag; insere um campo de tag (4 bytes) com o ID da VLAN no frame. A VLAN nativa não é tagueada.
• DTP (Dynamic Trunking Protocol): negocia trunks automaticamente. Por segurança, usa-se switchport nonegotiate ou modo definido explicitamente.
• Configurar trunk:

  interface gi0/1
   switchport mode trunk
   switchport trunk allowed vlan 10,20,30
  

• Verificação: show interfaces trunk, show interfaces switchport.
• Regra prática: match de VLANs nativas e modos em ambos os lados, senão há problemas de comunicação.

2.3 Protocolos de descoberta de camada 2

• CDP (Cisco Discovery Protocol): proprietário Cisco; por padrão habilitado; anuncia informações (nome do dispositivo, plataforma, versão do IOS, VLAN, IP) ao vizinho direto.
• LLDP (Link Layer Discovery Protocol): padrão IEEE 802.1AB, multi-vendor; habilitado explicitamente em Cisco: lldp run.
• Ambos são camada 2 e só enxergam vizinhos diretamente conectados (um salto).
• Verificação: show cdp neighbors, show cdp neighbors detail, show lldp neighbors.
• Desabilitar CDP em interfaces de borda por segurança: no cdp enable / no lldp transmit.

2.4 EtherChannel

EtherChannel agrega múltiplas portas físicas em um único link lógico, aumentando largura de banda e dando redundância (e evita loops do STP tratando o bundle como um só link).

• Protocolos: LACP (IEEE 802.3ad, padrão) e PAgP (proprietário Cisco). LACP é o cobrado — use mode active (ativa) / mode passive (passivo).
• Configurar LACP:

  interface port-channel 1
   switchport mode trunk
  interface range gi0/1-2
   channel-group 1 mode active
  

• As portas de um bundle devem ser homogêneas (mesma velocidade, duplex, VLANs).
• Verificação: show etherchannel summary, show etherchannel port-channel.
• "Port-channel" = a interface lógica do bundle.

2.5 Rapid PVST+ (Spanning Tree)

O STP (Spanning Tree Protocol, 802.1D) previne loops em redes com links redundantes, bloqueando portas para garantir um único caminho lógico e criar uma topologia sem loop.

• Rapid PVST+ (Rapid Per-VLAN Spanning Tree Plus): executa RSTP (802.1w) por VLAN — convergência rápida e um spanning tree por VLAN. É o padrão recomendado.
• Papéis de porta: root port (caminho até a bridge raiz), designated port (encaminha), alternate/backup port (bloqueada, backup).
• Eleição da bridge raiz: a que tem o menor BID (Bridge ID) — prioridade + MAC.
• Cost (custo) do caminho: quanto menor, melhor (o caminho de menor custo até a raiz vence).
• Estado das portas (RSTP): discarding → learning → forwarding.
• Portfast: porta de acesso vira forwarding imediatamente (sem esperar o STP), usada para endpoints (não conecte switches nela). spanning-tree portfast + bpduguard.
• BPDUguard: desliga a porta se receber BPDU (proteção contra loop acidental).
• Verificação: show spanning-tree, show spanning-tree root, show spanning-tree vlan 10.

Memória: STP bloqueia portas para quebrar o loop; Rapid PVST+ faz isso por VLAN e converge rápido.

2.6 Arquiteturas sem fio da Cisco e modos de AP

• Autonomous AP (modo autônomo): o AP é configurado individualmente; "standalone". Cada AP decide e configura tudo sozinho. Prático em redes pequenas.
• Lightweight AP / Split-MAC: o AP "leve" depende de uma controladora (WLC); o AP faz o tempo real (rádio), a WLC faz o controle/gerenciamento. Configuração centralizada.
• AP modes (quando gerido pela WLC):
  • Local: modo normal, serve clientes.
  • Monitor: só sensoreia (roaming/segurança), não atende clientes.
  • FlexConnect: atende clientes mesmo se perder a conexão com a WLC (usado em filiais) — "locally switched".
  • Sniffer: captura tráfego.
  • Rogue detector: detecta APs não autorizados.
• Cloud/FlexConnect: os APs podem se registrar numa controladora em nuvem.

2.7 Conexões físicas de infraestrutura WLAN

• AP → switch: o AP se conecta a uma porta do switch.
• Access port vs trunk: se o AP só precisa de uma VLAN (ex.: VLAN de clientes + VLAN de gerência), usa-se trunk para levar múltiplas VLANs ao AP (tráfego de clientes + gerenciamento).
• WLC → switches: a controladora conecta a portas trunk (para as VLANs de clientes) e à rede de gerência.
• LAG (Link Aggregation): agrupa múltiplas portas na WLC para redundância/largura de banda.

2.8 Acesso de gerenciamento de AP e WLC

Maneiras de gerenciar AP/WLC:

• Console: acesso local inicial (out-of-band).
• SSH / Telnet: CLI remota (prefira SSH; Telnet é texto claro).
• HTTP/HTTPS: GUI da WLC/AP (prefira HTTPS).
• AAA (TACACS+/RADIUS): autenticação centralizada e autorização. TACACS+ separa autenticação/autorização/accounting e cifra tudo (proprietário Cisco); RADIUS é padrão aberto, usado também para autenticar clientes sem fio (802.1X).

Segurança de gerência: use HTTPS e SSH, nunca Telnet/HTTP em produção, e centralize com TACACS+/RADIUS.

2.9 Configuração de WLAN para conectividade de clientes (GUI)

O exame cobra configurar uma WLAN pela interface gráfica da WLC (os passos conceituais, não o clic exato):

1. Criar a WLAN (nome da SSID).
2. Definir security settings: modo (ex.: WPA2/WPA3-PSK) e senha, ou 802.1X (RADIUS) para clientes corporativos.
3. Definir QoS (voice/video/best-effort) conforme a necessidade.
4. Associar interface/VLAN da WLAN (a VLAN onde os clientes sem fio entram).
5. Configurar AP groups para segmentar APs e aplicar políticas por grupo.
6. Habilitar (enable) a WLAN para começar a transmitir a SSID.
7. Aplicar políticas de firewall (ACLs/sessão) se aplicável.

---

Base de rede pronta. Siga para o Domínio 3 — IP Connectivity (o de maior peso, 25%).

Domínio 3 — IP Connectivity

Peso oficial: 25% — o maior domínio. Roteamento: como o router decide, roteamento estático e OSPF. Este é o coração do CCNA.

3.1 Componentes da tabela de roteamento

A tabela de roteamento do router lista as redes que ele conhece e como alcançá-las. Componentes principais:

• Rede de destino (ex.: 192.168.10.0/24) e a máscara.
• Next-hop / interface de saída (ex.: via 10.0.0.1 ou Serial0/0/0).
• Métrica: custo do caminho (usada para escolher entre rotas do mesmo protocolo).
• Distância administrativa (AD): prioridade de confiança entre protocolos. Menor AD vence.
  • Conectada: 0
  • Estática: 1
  • EIGRP (resumo): 5
  • OSPF: 110
  • RIP: 120

Rotas na tabela:

• Rotas conectadas (C): redes diretamente nas interfaces do router.
• Rotas locais (L): endereços IP do próprio router.
• Rotas estáticas (S): configuradas manualmente.
• Rotas dinâmicas: aprendidas por protocolos de roteamento (ex.: OSPF).
• Rota padrão (default route): 0.0.0.0/0 — usada para tudo que não tem rota específica.

3.2 Como o router decide (decisão de encaminhamento)

O processo é LPM — Longest Prefix Match:

1. O router recebe um pacote com um IP de destino.
2. Procura a rota com o prefixo mais específico (máscara mais longa) que corresponda ao destino.
3. Se houver múltiplas rotas iguais (mesmo prefixo e métrica), faz load balancing (ECMP — Equal-Cost Multi-Path).
4. Sem correspondência: descarta o pacote (se não houver default route) e envia ICMP "destination unreachable".

Regra de ouro: o router escolhe a rota mais longa (mais específica), não a de "menor custo" genérica. Ex.: destino 192.168.10.5 com rotas 192.168.10.0/24 e 192.168.0.0/16 → usa a /24.

3.3 Roteamento estático (IPv4 e IPv6)

Rotas estáticas são configuradas manualmente — boas para redes pequenas, links de borda e como backup.

• Rota estática IPv4:

  ip route 192.168.20.0 255.255.255.0 10.0.0.2
  

  (destino, máscara, next-hop)
• Rota estática por interface de saída:

  ip route 192.168.20.0 255.255.255.0 Serial0/0/0
  

• Rota padrão:

  ip route 0.0.0.0 0.0.0.0 10.0.0.1
  

• IPv6:

  ipv6 route 2001:db8:2::/64 2001:db8:1::2
  ipv6 route ::/0 2001:db8:1::1
  

• Verificação: show ip route, show ip route static, show ipv6 route.
• show ip route static filtra só as estáticas.

3.4 OSPFv2 de área única

OSPF (Open Shortest Path First) é um protocolo de roteamento link-state que usa o algoritmo SPF (Dijkstra) para calcular o caminho de menor custo. É o protocolo IGP cobrado no CCNA.

• Área 0 (backbone): no CCNA você configura OSPF single-area (normalmente área 0).
• Custo (cost): OSPF calcula cost = 10⁸ / bandwidth (bps). Interfaces mais rápidas = custo menor. Pode-se ajustar com ip ospf cost.
• RID (Router ID): identifica o router no OSPF (endereço de loopback configurado, ou o maior IP ativo).
• Vizinhos: OSPF forma adjacências com roteadores na mesma área/link via Hello packets (multicast 224.0.0.5).
• Tabelas OSPF: vizinhos (show ip ospf neighbor), topologia (LSDB), roteamento (show ip route ospf).
• Configurar em IOS:

  router ospf 1
   router-id 1.1.1.1
   network 10.0.0.0 0.0.0.255 area 0
  

  (network usa wildcard mask: inverso da máscara)
• Verificação:
  • show ip ospf
  • show ip ospf interface
  • show ip ospf neighbor
  • show ip route ospf
• DR/BDR: em redes broadcast (Ethernet), OSPF elege DR e BDR para reduzir adjacências. Cada DROther tem adjacência com o DR/BDR.
• Hello/Dead timers: por padrão 10s/40s em broadcast; devem coincidir para formar vizinhança.
• Exemplo rápido de configuração de roteamento entre dois routers com OSPF:

  router ospf 1
   router-id 1.1.1.1
   network 10.1.1.0 0.0.0.255 area 0
   network 192.168.10.0 0.0.0.255 area 0
  

Pensar OSPF = "rotas dinâmicas, link-state, área única 0, custo por banda, menor caminho SPF".

3.5 First Hop Redundancy Protocol (FHRP)

Redundância do gateway padrão (first hop). Vários roteadores compartilham um IP virtual de gateway; se o roteador ativo cair, outro assume transparentemente para os hosts.

Protocolos:

• HSRP (Hot Standby Router Protocol): proprietário Cisco. Um router é ativo, outro standby; compartilham um IP virtual e um MAC virtual. Failover automático.
• VRRP (Virtual Router Redundancy Protocol): padrão aberto (IEEE 3761 / RFC); similar ao HSRP; usa master/backup.
• GLBP (Gateway Load Balancing Protocol): proprietário Cisco; além da redundância, faz balanceamento de carga entre os gateways (múltiplos AVG/AVF).

FHRP serve para os hosts não perceberem a queda do gateway (o IP virtual continua o mesmo). Não confundir com load balancing de roteamento.

---

Roteamento dominado. Siga para o Domínio 4 — IP Services.

Domínio 4 — IP Services

Peso oficial: 10%. Serviços que vivem no IP: NAT, NTP, DHCP/DNS, SNMP, syslog, QoS, SSH e transferência de arquivos.

4.1 NAT de origem interno (source NAT)

NAT (Network Address Translation) traduz endereços privados para públicos. Inside source NAT traduz o IP de origem de hosts internos ao saírem para a rede externa.

• Static NAT: tradução 1:1 fixa (um privado ↔ um público). Usada quando um host interno precisa ser alcançável de fora de forma consistente.

  ip nat inside source static 10.0.0.5 203.0.113.5
  

• Dynamic NAT com pool: um pool de endereços públicos é usado sob demanda (N:1 pool). Quando o pool esgota, novos hosts não conseguem sair.
• NAT Overload (PAT): a variante mais comum — muitos hosts privados usam um único endereço público, distinguidos pela porta TCP/UDP. É o NAT da maioria dos roteadores domésticos.

  access-list 1 permit 10.0.0.0 0.0.0.255
  ip nat inside source list 1 interface gi0/0 overload
  

• Interfaces: marcar ip nat inside (lado privado) e ip nat outside (lado público).
• Verificação: show ip nat translations, show ip nat statistics.

4.2 NTP (Network Time Protocol)

Sincronização de relógio entre dispositivos — essencial para logs coerentes e segurança.

• Um dispositivo pode ser cliente (busca hora) e/ou servidor (oferece hora) de NTP.
• Modo servidor:

  ntp master 4
  

• Modo cliente:

  ntp server 192.0.2.1
  

• Estratificação (stratum): quanto menor, mais próxima da fonte de tempo autoritária (stratum 1 = atômico; cliente típico = stratum 3+).
• Verificação: show ntp status, show ntp associations.

4.3 Papel de DHCP e DNS na rede

• DHCP (Dynamic Host Configuration Protocol): entrega automaticamente configuração IP aos hosts (endereço, máscara, gateway padrão, DNS, opções). Baseado em UDP (cliente 68, servidor 67), com DORA:
  • Discover (cliente busca servidor)
  • Offer (servidor oferece)
  • Request (cliente aceita)
  • Ack (servidor confirma)
• DNS (Domain Name System): resolve nomes de host para endereços IP (e vice-versa). Sem DNS, os usuários digitariam IPs. Portas: consulta UDP/53 (TCP/53 para grandes transferências).

4.4 SNMP (Simple Network Management Protocol)

Gerenciamento e monitoramento de dispositivos de rede.

• Gerenciador (NMS): o sistema que consulta e recebe informações (ex.: servidor de monitoramento).
• Agente SNMP: software no dispositivo gerenciado; responde a consultas e envia traps.
• OID (Object Identifier): identifica um valor a ser lido/gravado.
• Versões: v1/v2c (comunidade em texto claro) e v3 (autenticação e criptografia — recomendado). O exame valoriza o SNMPv3 por segurança.
• Traps/Informs: notificações assíncronas enviadas pelo agente ao gerenciador quando algo acontece.

4.5 Syslog

Registro de mensagens de log dos dispositivos, com facilidades (facilities) e severidades.

• Facility: categoria da mensagem (ex.: OSPF, interface, security, kernel).
• Severity levels (0–7):
  • 0 Emergency, 1 Alert, 2 Critical, 3 Error, 4 Warning, 5 Notice, 6 Informational, 7 Debug.
  • Quanto menor o número, mais grave.
• Os logs podem ir para o console, buffer, terminal e um servidor syslog central (logging host <ip>).
• Verificação: show logging.

"0 Emergency, 7 Debug" — grave para detalhe. Configure o nível mínimo com logging trap.

4.6 DHCP client e relay

• DHCP client: o dispositivo solicita endereço via DHCP (ex.: interface ip address dhcp).
• DHCP relay (ip helper-address): quando o servidor DHCP está em outra sub-rede, o roteador relaya (encaminha) as mensagens de broadcast do cliente para o servidor, já que broadcasts não atravessam roteadores:

  interface gi0/1
   ip helper-address 192.168.100.10
  

• Sem o relay, clientes de outras VLANs não conseguiriam receber IP.

4.7 QoS — Per-Hop Behavior (PHB)

QoS (Quality of Service) gerencia a qualidade do tráfego. O PHB é o comportamento que cada roteador aplica a um pacote (por salto):

• Classification (classificação): identificar o tipo de tráfego (por ACL, DSCP, porta, aplicação).
• Marking (marcação): marcar o pacote (ex.: definir o valor DSCP) para tratamento consistente ao longo do caminho.
• Queuing (fila) e congestion (congestionamento): priorizar o tráfego importante quando há congestionamento (ex.: filas LLQ/weighted fair que).
• Policing (policiamento): limita o tráfego; se exceder o limite, descarta ou remarca (não adiciona atraso; "drop excess").
• Shaping (modelagem): limita o tráfego bufferizando o excesso (adiciona atraso, mas não descarta; "buffer excess").

Diferença-chave: policing descarta o excesso (sem atraso); shaping segura/bufferiza (com atraso, sem descarte).

4.8 Acesso remoto com SSH

Substitua o Telnet por SSH (criptografado).

1. Ter hostname e domínio definidos.
2. Gerar chave RSA (crypto key generate rsa).
3. Criar usuário com senha.
4. Configurar vty para transport input ssh e autenticação local.

hostname R1
ip domain-name example.com
crypto key generate rsa
username admin secret cisco
line vty 0 4
 login local
 transport input ssh

• Verificação: show ip ssh, show ssh.
• O SSH usa a porta 22 (TCP).

4.9 TFTP/FTP

Transferência de arquivos (backup/restauração de IOS e configuração).

• TFTP (Trivial FTP): simples, sem autenticação, sobre UDP 69; rápido de usar; sem criptografia. Bom para backup de config na rede local.
• FTP (File Transfer Protocol): tem autenticação de usuário/senha (em claro), sobre TCP 21/20.
• Comandos úteis: copy running-config tftp:, copy tftp: flash:, archive.
• Para transferências mais seguras, o exame valoriza o SCP (sobre SSH) como alternativa.

---

Serviços prontos. Siga para o Domínio 5 — Security Fundamentals.

Domínio 5 — Security Fundamentals

Peso oficial: 15%. Segurança é obrigatória no CCNA: conceitos, ACLs, proteção de camada 2, AAA e segurança sem fio.

5.1 Conceitos-chave de segurança

• Threat (ameaça): qualquer coisa que possa explorar uma vulnerabilidade (ex.: malware, atacante).
• Vulnerability (vulnerabilidade): fraqueza que pode ser explorada (ex.: senha fraca, software desatualizado, porta aberta).
• Exploit: o ato/ferramenta que usa a vulnerabilidade para causar dano.
• Mitigation (mitigação): as medidas que reduzem o risco (patches, ACLs, segmentação, hardening).

Tipos comuns de ataque: phishing, malware (vírus, worm, trojan, ransomware), DDoS, MITM (man-in-the-middle), brute-force, spoofing (ex.: ARP spoofing), social engineering.

Fórmula mental: vulnerabilidade + ameaça = risco; exploit é a concretização; mitigação reduz o risco.

5.2 Elementos de um programa de segurança

• User awareness & training: treinar usuários para phishing e boas práticas (o elo mais fraco costuma ser humano).
• Physical access control: controlar o acesso físico a data centers, racks e equipamentos (identificação, biometria, sala trancada).
• Patch management, hardening e principle of least privilege (menor privilégio necessário).
• Backup e resposta a incidentes.
• Acesso por função (RBAC) e revisão de contas.

5.3 ACLs (Access Control Lists)

ACL é uma lista de regras permit/deny aplicada ao tráfego — filtra pacotes (por origem, destino, porta, protocolo). Muito cobrada.

• ACL padrão (numbered 1–99, 1300–1999): filtra apenas pelo IP de origem.
• ACL estendida (numbered 100–199, 2000–2699): filtra por origem e destino, protocolo e portas.
• ACLs nomeadas também existem.
• Wildcard mask: indica quais bits importam (0 = deve casar, 1 = tanto faz). Ex.: 0.0.0.255 = qualquer host da rede.
• Regra de ouro: ACLs são avaliadas em ordem, da primeira regra até encontrar match. Por fim, há um implicit deny all.
• Aplicar em interface com ip access-group (in/out).

Exemplo (bloquear telnet de um host):

access-list 101 deny tcp host 10.0.0.5 any eq 23
access-list 101 permit ip any any
!
interface gi0/0
 ip access-group 101 in

• Verificação: show access-lists, show ip access-lists, show ip interface.

Lembre sempre: implicit deny no final — sem permit explícito, tudo é bloqueado.

5.4 Segurança de camada 2

Protege o switch contra ataques locais:

• DHCP Snooping: trata a porta confiável (up-link) e as não confiáveis (hosts). Bloqueia mensagens DHCP não autorizadas (DHCP rogue) vindas de portas de acesso. Cria a DHCP Snooping Binding Table (IP↔MAC↔porta) — base para o DAI.
• Dynamic ARP Inspection (DAI): valida mensagens ARP contra a binding table do DHCP Snooping, bloqueando ARP spoofing/poisoning. Só funciona com DHCP Snooping habilitado.
• Port Security: limita quantos MACs podem entrar numa porta e define a ação para violação:
  • Limite de MAC (switchport port-security maximum N).
  • Ação em violação: shutdown (padrão, desliga a porta), restrict (descarta e registra), protect (descarta silenciosamente).
  • Envelhecimento e violações verificados em show port-security.
• Exemplo:

  interface gi0/2
   switchport mode access
   switchport port-security
   switchport port-security maximum 2
   switchport port-security violation shutdown
  

Sequência de defesa: DHCP Snooping → tabela binding → DAI valida ARP → Port Security limita MACs.

5.5 AAA — Authentication, Authorization, Accounting

• Authentication: quem é você (usuário/senha, cert, MFA).
• Authorization: o que você pode fazer (permissões, níveis de acesso).
• Accounting: o que você fez (logs/auditoria).

Protocolos AAA: TACACS+ (Cisco, separa os três serviços, cifra tudo) e RADIUS (padrão, combina auth+authz, senha cifrada apenas). RADIUS também é usado para 802.1X sem fio.

5.6 Protocolos de segurança sem fio

Evolução da proteção Wi-Fi:

• WEP (Wired Equivalent Privacy): antigo, quebrado, não use.
• WPA: TKIP; temporário, vulnerável.
• WPA2: AES-CCMP; o padrão por anos. Modos: Personal (PSK) e Enterprise (802.1X/RADIUS).
• WPA3: AES-GCMP / SAE (anti brute-force, forward secrecy); substitui o PSK por SAE (WPA3-Personal). Mais seguro; obrigatório nos padrões recentes.

PSK (Pre-Shared Key) = senha compartilhada (case-sensitive). Enterprise usa autenticação de usuário via RADIUS.

WPA3-Personal usa SAE em vez do PSK simples; WPA2/WPA3 Enterprise usam 802.1X/RADIUS.

5.7 Configurar WLAN com WPA2/WPA3 e 802.1X

Na GUI da WLC (conceitualmente):

• Selecionar a WLAN e o perfil de segurança.
• WPA2/WPA3-Personal: habilitar e definir a PSK (chave pré-compartilhada).
• WPA2/WPA3-Enterprise: configurar 802.1X, apontando para o servidor RADIUS (servidor de autenticação), que valida credenciais do usuário/device.
• Verificar que a WLAN está habilitada para os APs transmitirem a SSID.
• Práticas: usar WPA3 quando suportado, evitar PSKs fracos, e usar Enterprise/802.1X em ambientes corporativos.

---

Segurança coberta. Siga para o último domínio: 6 — Automation and Programmability.

Domínio 6 — Automation and Programmability

Peso oficial: 10%. A Cisco quer que o CCNA entenda o básico de redes programáveis: controladores, APIs REST, JSON e automação de configuração.

6.1 Como a automação impacta o gerenciamento de rede

• Velocidade e consistência: configurar dezenas/centenas de dispositivos sem erro humano, repetível.
• Agilidade (agility): provisionar serviços em minutos, não dias.
• Redução de erro humano: mudanças padronizadas via código em vez de CLI manual.
• Integração com CI/CD: aplicar e testar mudanças de rede como software.
• Visibilidade e compliance: a configuração desejada pode ser auditada automaticamente (drift detection).

6.2 Rede tradicional vs. rede baseada em controlador

• Tradicional: cada dispositivo é configurado individualmente (CLI/SDN out-of-band manual). Visão e política distribuídas; difícil escalar e auditar.
• Controller-based (SDN): um controlador centralizado (software) conhece o estado da rede e aplica políticas/encaminhamento de forma central, separando o plano de controle do plano de dados. Mais fácil automatizar, gerenciar e fazer políticas consistentes.

6.3 Arquiteturas SDN: overlay, underlay e fabric

• Underlay (camada base): a infraestrutura física (física/encaminhamento IP) que carrega o tráfego — a "estrada".
• Overlay (camada virtual): uma rede lógica montada sobre o underlay, usando tunelamento/encapsulamento (ex.: VXLAN, OTV). Separa o serviço lógico da topologia física.
• Fabric: a combinação integrada de underlay + overlay + controlador, oferecendo a rede como um sistema coerente e automatizado (ex.: Cisco SD-Access, VXLAN fabric).
• Plano de dados (data plane): encaminha pacotes (hardware/ASIC). Plano de controle (control plane): decide rotas/vizinhos (software). Plano de gerenciamento (management plane): configurar/monitorar.

6.4 Gerenciamento tradicional vs. Cisco DNA Center

• Tradicional (campus): cada switch/AP configurado por CLI; políticas manuais; provisão lenta.
• Cisco DNA Center: gerenciamento centralizado e automatizado do campus (SD-Access):
  • Provisionamento em massa, modelo de intent-based networking (políticas declarativas).
  • Automation, assurance (saúde da rede), análise, telemetria.
  • Plug and Play de novos dispositivos; templates e API.
• A ideia central: a política é expressada uma vez e o controlador aplica/verifica em toda a rede.

6.5 APIs REST

REST (Representational State Transfer) é o estilo de API mais comum.

• CRUD mapeia para verbos HTTP:
  • Create → POST
  • Read → GET
  • Update → PUT (substitui) / PATCH (parcial)
  • Delete → DELETE
• URI/endpoint: o recurso (ex.: GET /api/device/1).
• Códigos de status: 200 OK, 201 Created, 400 Bad Request, 401/403 (auth), 404 Not Found, 500 Server Error.
• Data encoding: JSON (mais comum), XML, YAML.
• Idempotência: GET, PUT, DELETE são idempotentes (várias chamadas iguais = mesmo resultado); POST não é.

Memorize o mapeamento: POST=create, GET=read, PUT/PATCH=update, DELETE=delete.

6.6 Mecanismos de gerenciamento de configuração

Automatizam o estado/configuração dos dispositivos ("Infrastructure as Code"):

• Ansible (Cisco preferido no exame): agentless — roda via SSH, push; usa YAML playbooks e modules. Declarativo, fácil de começar.
• Puppet: modelo pull com agente no dispositivo; usa linguagem própria (Puppet DSL) e catalog.
• Chef: modelo pull com agente; usa "recipes"/"cookbooks" em Ruby.
• SDN controllers e APIs também podem aplicar config (ex.: via Cisco DNA Center, IOS-XE NETCONF/RESTCONF).

6.7 Interpretar dados JSON

JSON é texto estruturado com chave: valor, agrupado em objetos { } e arrays [ ]. Você precisa ler e extrair dados.

Exemplo:

{
  "device": {
    "hostname": "R1",
    "ip": "10.0.0.1",
    "interfaces": [
      { "name": "GigabitEthernet0/0", "status": "up" },
      { "name": "GigabitEthernet0/1", "status": "down" }
    ]
  }
}

Leitura:

• device.hostname → "R1"
• device.ip → "10.0.0.1"
• device.interfaces[0].status → "up" (primeiro item do array)
• device.interfaces.length → 2

Num JSON, objeto = {} (coleção de pares chave:valor) e array = [] (lista ordenada). Bons valores para navegar: nomes de chave, ordem dos itens e tipos (string, número, booleano, array, objeto).

---

Você completou os 6 domínios. Reveja os anexos (comandos IOS, glossário e recursos oficiais) para a reta final.