Módulo 1, Lição 1 — Endereços IP, Sub-redes e Roteamento

Tempo estimado: 8h · Pré-requisito: Módulo 0

---

1. Antes de tudo: por que isso importa pra você

Você quer o pfSense controlando "toda a rede interna e os acessos". Mas o pfSense não faz mágica — ele só sabe decidir, com base em números, o que deixa passar e o que bloqueia, e pra onde cada pacote deve ir. Se você não entende os números, você não vai conseguir ler uma regra de firewall e saber se ela está certa ou errada. É só isso. Vamos aprender a ler os números.

---

2. O que é um endereço IP (a analogia da casa)

Imagina uma rua. Toda casa nessa rua tem um número — sem número, o carteiro não sabe onde entregar a carta. Numa rede de computadores é a mesma coisa: todo dispositivo que quer mandar ou receber dados precisa de um número único, chamado endereço IP.

Um endereço IP (versão 4, a mais comum, chamada IPv4) é escrito como 4 números de 0 a 255, separados por ponto:

192.168.1.81

Esse não é um exemplo qualquer — é o IP real usado como exemplo em toda a jornada deste curso, conferido com o comando:

ip -brief addr show

Se você rodar esse comando agora na sua máquina, vai ver algo parecido com:

enp9s0    UP    192.168.1.81/24   ...

enp9s0 é o nome da sua placa de rede física. 192.168.1.81 é o endereço dela. O /24 a gente explica já já — é a parte mais importante de tudo isso.

2.1 Por que 4 números de 0 a 255?

Cada um desses 4 números é um byte (8 bits), e um byte guarda valores de 0 a 255 (2⁸ = 256 valores possíveis, começando do 0). Você não precisa saber fazer conta em binário de cabeça, mas precisa saber que existe um limite: nunca vai existir um IP 192.168.1.300, porque 300 estoura o que um byte aguenta.

---

3. IP privado vs IP público (a analogia do condomínio)

Aqui está a distinção mais importante da lição inteira, porque ela é a base de tudo que vem depois — inclusive do Módulo 4 inteiro (pfSense) e de metade do Módulo 5 (Wazuh).

Imagina um condomínio fechado. Dentro do condomínio, os apartamentos têm números — "Apartamento 12", "Apartamento 34". Esses números só fazem sentido dentro do condomínio. Se você mandar uma carta pra "Apartamento 12" sem o endereço do condomínio, ela nunca vai chegar em lugar nenhum do resto da cidade. Só depois de sair pelo portão é que o endereço "de fora" (rua, número, cidade) importa.

É exatamente assim que funciona a internet:

• IP privado — só existe dentro da sua rede local, "dentro do condomínio". Faixas reservadas pra isso (nunca vão aparecer na internet pública):
  • 192.168.0.0 até 192.168.255.255
  • 10.0.0.0 até 10.255.255.255
  • 172.16.0.0 até 172.31.255.255
• IP público — o "endereço da rua", único no mundo inteiro, é como o resto da internet te encontra.

Exemplo real:

Máquina	IP	Tipo	Por quê
Um PC de casa	192.168.1.81	Privado	Está na faixa 192.168.x.x — só existe dentro da rede local
Uma VPS na internet	2.24.15.9	Público	Único no mundo — é assim que um domínio te encontra pela internet

Percebe a diferença de proposta? Uma VPS precisa de IP público porque estranhos na internet inteira precisam conseguir alcançá-la. Um PC de uso pessoal não precisa — na verdade, é bom que ele não tenha, porque um IP privado, sozinho, já é praticamente invisível de fora (mais sobre isso na Lição 3, quando falarmos de NAT).

💡 Dica de professor: se você já ouviu falar "meu roteador tem NAT" ou "preciso abrir uma porta no roteador", isso é exatamente essa história — o PC está "dentro do condomínio" (rede privada) e alguma coisa (o roteador) fica na portaria traduzindo o que entra e sai. Guarda essa palavra, NAT, ela é o tema da Lição 3.

---

4. Sub-redes e máscara — a analogia do bairro e da rua

Agora o pulo do gato. Você viu 192.168.1.81/24 — o que é esse /24?

Pensa assim: dentro do "condomínio" (rede privada), você pode ter vários blocos separados, tipo bairros dentro de uma cidade. A máscara de sub-rede é a régua que diz: "os primeiros X números do endereço identificam o bairro (a rede); o que sobra identifica a casa (o dispositivo) dentro desse bairro".

O /24 é a forma curta (chamada notação CIDR) de escrever a máscara 255.255.255.0. Ele significa: os primeiros 24 bits (ou seja, os 3 primeiros números do IP) são o "bairro"; só o último número é a "casa".

192.168.1.81/24
└──┬──┘ └┬┘
  bairro  casa
(rede)   (host)

Isso quer dizer que todo dispositivo que começa com 192.168.1. está no mesmo "bairro" (mesma sub-rede), e consegue conversar diretamente, sem precisar de um "portão" (gateway) no meio. Um dispositivo 192.168.2.50, por exemplo, já é de outro bairro — pra falar com ele, o tráfego tem que passar por um roteador.

4.1 Quantas "casas" cabem em cada "bairro"?

Essa é a conta mais útil que você vai fazer no dia a dia de firewall/rede. A regra:

Número de endereços possíveis = 2^(32 − tamanho da máscara)

Máscara (CIDR)	Bits pra "casa"	Endereços totais	Hosts utilizáveis*	Uso típico
/30	2	4	2	Link ponto-a-ponto (ex: WAN entre dois roteadores)
/29	3	8	6	Rede bem pequena, um punhado de dispositivos
/24	8	256	254	Rede doméstica/escritório típica
/16	16	65.536	65.534	Rede corporativa grande

* "Utilizáveis" é sempre 2 a menos que o total, porque dois endereços de cada bloco são reservados: o primeiro é o endereço de rede (identifica o bloco todo, não pode ser usado por um dispositivo) e o último é o endereço de broadcast (usado pra mandar uma mensagem pra "todo mundo do bairro" de uma vez).

Exemplo real de uma rede doméstica típica: 192.168.1.0/24

• Endereço de rede: 192.168.1.0 (não pode ser IP de ninguém)
• Primeira casa utilizável: 192.168.1.1 (que, coincidência nenhuma, costuma ser o gateway — veremos já já)
• Última casa utilizável: 192.168.1.254
• Endereço de broadcast: 192.168.1.255

💡 Dica de professor: isso não é decoreba — é a conta que você vai fazer toda vez que for planejar uma VLAN nova no pfSense. "Quero uma rede só pra convidados com no máximo 20 dispositivos" → você sabe que um /27 (32 endereços, 30 utilizáveis) já resolve, não precisa gastar um /24 inteiro (254 endereços) à toa.

---

5. Gateway — o portão de saída

Voltando à analogia do condomínio: dentro do bairro, todo mundo se enxerga direto. Mas se uma "carta" precisa sair do bairro — ir pra outro bairro, ou pra fora da cidade (internet) — ela passa por um único portão de saída. Esse portão, numa rede, chama-se gateway (também chamado de default gateway ou roteador padrão).

Exemplo real:

ip route | grep default

default via 192.168.1.1 dev enp9s0 proto dhcp src 192.168.1.81 metric 100

Traduzindo essa linha: "pra qualquer destino que eu não conheça diretamente, manda via (via) o endereço 192.168.1.1, saindo pela interface (dev) enp9s0". 192.168.1.1 é o roteador de casa — o "portão".

Note que 192.168.1.1 também está dentro da faixa 192.168.1.0/24 — o gateway sempre precisa estar no mesmo "bairro" que você, senão você não conseguiria nem mandar a carta pra ele em primeiro lugar.

---

6. Tabela de rotas — o GPS da rede

Se o gateway é o portão de saída padrão, a tabela de rotas é o mapa completo: pra cada destino (ou grupo de destinos), qual caminho seguir. O comando ip route (sem filtro) mostra o mapa inteiro:

ip route

Cada linha é uma regra do tipo: "pra chegar em [tal rede], vá por [tal caminho]". A maioria das máquinas simples (como um notebook) tem só 1 ou 2 linhas: a rota pra rede local (direta, sem gateway) e a rota default (tudo mais, via gateway). Um roteador de verdade — e é isso que o pfSense vai ser — tem dezenas ou centenas de linhas, uma pra cada rede que ele sabe alcançar.

💡 Dica de professor: quando o pfSense estiver de pé, ip route (ou o equivalente dele, netstat -rn) vai ser um dos primeiros comandos que você roda pra debugar "por que esse dispositivo não está saindo pra internet". 90% dos problemas de rede do mundo real são "a rota errada" ou "o gateway errado".

---

7. Juntando tudo: o caminho de um pacote

Vamos seguir o percurso completo de um pedido simples: um PC (192.168.1.81) quer visitar um site qualquer na internet.

1. O PC olha o IP de destino (ele primeiro precisa descobrir isso via DNS, mas vamos simplificar) e pergunta: "esse destino está no meu bairro (192.168.1.0/24)?"
2. Não está (é um servidor lá fora). Então o PC manda o pacote pro gateway (192.168.1.1).
3. O gateway (o roteador de casa) olha a tabela de rotas dele e manda o pacote pra frente, até eventualmente chegar no servidor de destino, que tem IP público e está diretamente na internet.
4. A resposta faz o caminho inverso.

Esse é literalmente o desenho que o Proxmox+pfSense vão mudar: hoje o "portão" de uma rede doméstica típica é o roteador padrão; depois de montado, o pfSense é que vai ser esse portão pra tudo que estiver atrás dele.

---

8. Exercícios práticos

Roda estes comandos de verdade, no seu terminal, agora:

Exercício 1 — Descubra seu próprio IP e máscara:

ip -brief addr show

Anote: qual interface está UP? Qual o IP dela? Qual a máscara (o número depois da /)?

Exercício 2 — Descubra seu gateway:

ip route | grep default

Exercício 3 — Calcule sem usar calculadora: se sua rede é 192.168.1.0/24,

• (a) qual é o endereço de broadcast?
• (b) quantos hosts utilizáveis cabem?
• (c) o endereço 192.168.1.1 pode ser usado por um dispositivo comum, ou está reservado?

Exercício 4 — Compare com sua VPS do Módulo 0. Rode:

ssh root@SEU_IP "ip -brief addr show"

O IP que aparece ali é privado ou público? Como você sabe, só de olhar pro número?

Exercício 5 (mão na massa, mais avançado) — Instale o traceroute se não tiver (sudo apt install traceroute) e rode:

traceroute uptechdesk.com

Cada linha da saída é um "salto" (roteador) no caminho até o servidor. Você não precisa entender cada salto — só observe que existem vários portões entre você e o destino final, não só o seu.

Responda o questionário abaixo pra fechar a lição.