O que é um roteador e qual sua função em redes industriais?

Nos conteúdos anteriores falamos sobre endereço IP, máscara de sub-rede e VLAN.

Agora surge uma pergunta importante: o que acontece quando dois equipamentos que estão em redes IP diferentes precisam se comunicar?

É aí que entra o roteador, ou router. Um router é um equipamento de rede responsável por encaminhar pacotes entre diferentes redes IP.

Enquanto um switch opera principalmente conectando equipamentos dentro de uma rede Ethernet, o router atua na camada 3 do modelo OSI e permite que a comunicação atravesse a fronteira entre diferentes sub-redes.

Um exemplo simples

Imagine duas áreas da planta:

Rede da máquina A

192.168.10.0/24

Rede da máquina B

192.168.20.0/24

Um CLP possui o endereço:

192.168.10.10

e um servidor possui:

192.168.20.50

Como as máscaras indicam que eles pertencem a redes IP diferentes, o CLP não envia o pacote diretamente ao servidor como faria com outro dispositivo de sua própria subnet. Ele precisa enviar o pacote para um equipamento capaz de alcançar a outra rede. Esse equipamento pode ser um router ou um switch Layer 3 com função de roteamento.

Como o router decide para onde enviar o pacote?

O router analisa o endereço IP de destino e consulta sua tabela de roteamento.

Essa tabela indica quais redes o equipamento conhece e através de qual interface ou próximo salto cada uma delas pode ser alcançada.

Podemos imaginar uma versão bastante simplificada:

Se chegar um pacote destinado a 192.168.20.50, o router identifica que aquela rede pode ser alcançada através da interface correspondente e encaminha o pacote.

Essa é a função básica do roteamento.

Onde entra o gateway?

Quando configuramos o endereço IP de um equipamento, é comum encontrarmos três parâmetros:

IP

192.168.10.25

Máscara

255.255.255.0

Gateway padrão

192.168.10.1

A máscara permite ao dispositivo descobrir se o destino está em sua própria rede. Se estiver, ele pode tentar comunicar diretamente com o destino. Se estiver fora daquela rede, o pacote precisa ser enviado ao default gateway, desde que a aplicação utilize comunicação IP roteável.

Na prática, esse gateway padrão costuma ser o endereço de uma interface de router ou de um equipamento Layer 3 conectado àquela subnet.

Portanto, podemos pensar no gateway padrão como: o caminho que o dispositivo utiliza quando precisa alcançar uma rede que não é a sua.

Existe, porém, uma atenção à terminologia. Em automação, também chamamos de gateway um equipamento que integra tecnologias diferentes, como um gateway PROFIBUS/PROFINET.

Esse é outro uso da palavra. Um default gateway IP e um gateway de protocolo não são necessariamente a mesma coisa.

Router e switch são a mesma coisa?

Não. A diferença fundamental está na informação utilizada para tomar a decisão de encaminhamento.

Um switch Ethernet Layer 2 encaminha quadros com base nos endereços MAC.

Para isso, ele aprende quais endereços MAC estão associados a quais portas e constrói sua tabela MAC.

Um router encaminha pacotes IP entre redes diferentes com base nos endereços IP e em sua tabela de roteamento.

De forma simplificada:

Na prática, um único equipamento pode desempenhar mais de uma dessas funções.

Existem, por exemplo, switches Layer 3 que também realizam roteamento.

Por isso, é mais importante entender a função que está sendo executada do que tentar identificar o equipamento apenas pela aparência física.

Porém, um router é mais comumente apresentado no formato ou aparência de um Switch.

ARP e tabela MAC não são a mesma coisa

Essa diferença também ajuda a entender o funcionamento da rede.

Um switch Layer 2 aprende os endereços MAC observando os quadros que chegam às suas portas.

Ele pode descobrir, por exemplo:

00:11:22:33:44:55 → porta 3

00:AA:BB:CC:DD:EE → porta 7

Essa informação fica em sua tabela MAC.

ARP tem outra função.

O Address Resolution Protocol ajuda um dispositivo IPv4 a descobrir qual endereço MAC está associado a determinado endereço IP dentro do domínio local.

Podemos ter, por exemplo:

192.168.10.25 → 00:11:22:33:44:55

Portanto:

tabela MAC: MAC → porta

tabela ARP: IP → MAC

Apesar de os dois mecanismos estarem relacionados durante uma comunicação Ethernet/IP, eles não são a mesma coisa.

O que é NAT?

Alguns routers e outros equipamentos de rede também podem executar Network Address Translation, ou NAT.

NAT altera a representação de endereços IP quando o tráfego atravessa determinados limites da rede.

Na indústria existe um exemplo bastante útil. Imagine um fabricante que entrega várias máquinas idênticas e utiliza exatamente o mesmo endereçamento interno em todas elas:

Máquina 1

192.168.1.10 → CLP
192.168.1.20 → IHM
192.168.1.30 → inversor

Máquina 2

192.168.1.10 → CLP
192.168.1.20 → IHM
192.168.1.30 → inversor

Como essas máquinas foram construídas isoladamente, repetir a configuração facilita padronização, software e manutenção. O problema aparece quando queremos conectar as duas à mesma infraestrutura externa.

Os mesmos endereços não podem simplesmente aparecer duplicados dentro do mesmo domínio de comunicação. Com NAT, os endereços internos de cada máquina podem ser traduzidos para endereços externos diferentes.

Por exemplo:

Máquina 1

192.168.1.10 ↔ 10.10.1.10

Máquina 2

192.168.1.10 ↔ 10.10.2.10

Assim, a rede superior enxerga endereços distintos mesmo que as máquinas utilizem internamente a mesma configuração. Esse é um uso bastante comum de NAT em arquiteturas industriais modulares.

NAT elimina a necessidade de endereçamento?

Não. Cada dispositivo ainda precisa possuir um endereço válido dentro do domínio em que opera. NAT apenas realiza uma tradução entre diferentes representações de endereço.

Por isso, ele deve ser entendido como uma ferramenta de integração e organização da arquitetura, não como uma forma de evitar o planejamento de endereços IP.

Router e firewall são a mesma coisa?

Também não. Um router precisa decidir para onde encaminhar o pacote. Um firewall decide se aquela comunicação deve ser permitida de acordo com regras e políticas.

Por exemplo: o router sabe como chegar da rede 192.168.10.0/24 à rede 192.168.20.0/24.

O firewall pode determinar que é permitida a comunicação: CLP 192.168.10.10 -> TCP porta X -> Servidor 192.168.20.50, enquanto outras comunicações entre essas mesmas redes sejam bloqueadas.

Alguns routers possuem funções de firewall incorporadas. Isso não torna os dois conceitos equivalentes.

Em uma arquitetura industrial maior, separar essas funções ajuda bastante a entender quem está encaminhando o tráfego e quem está aplicando a política de cybersecurity.

E QoS?

Alguns routers também oferecem recursos de Quality of Service, ou QoS. Esses mecanismos permitem classificar e priorizar diferentes tipos de tráfego quando há disputa pelos recursos disponíveis. Isso pode ser útil em determinadas arquiteturas, mas QoS não cria largura de banda.

Se um enlace estiver inadequadamente dimensionado ou congestionado, a priorização ajuda a definir qual tráfego deve receber preferência, mas não elimina o problema de capacidade.

E o router em uma rede PROFINET?

Aqui existe uma diferença especialmente importante. PROFINET utiliza diferentes tipos de comunicação. 

A comunicação cíclica PROFINET IO RT entre IO Controller e IO Device utiliza Ethernet diretamente em camada 2.

Por isso, ela não deve ser tratada como um pacote IP convencional que pode simplesmente atravessar routers.

A diretriz de projeto atual da PI é explícita: quando uma célula PROFINET é conectada por router a outras sub-redes ou a uma camada de agregação, comunicações baseadas em IP podem atravessar esse router, mas os dados de processo PROFINET não.

Isso cria uma distinção importante.

Imagine duas células de automação:

O router pode permitir comunicação IP entre equipamentos das duas células e com sistemas de nível superior. Mas não devemos assumir que ele simplesmente roteará a troca cíclica PROFINET IO entre Controller e Device.

É por isso que, em um projeto PROFINET, precisamos pensar cuidadosamente sobre onde estão os limites das células de automação.

E comunicação entre dois CLPs?

Depende da forma como eles comunicam. Se dois controladores trocam informações utilizando um protocolo ou serviço baseado em IP, e existe uma rota adequada entre suas redes, essa comunicação pode atravessar um router.

Mas dizer apenas:

“comunicação entre CPUs pode ser roteada”

é genérico demais.

O que define isso é qual mecanismo de comunicação está sendo utilizado.

A PI inclusive apresenta diferentes soluções para comunicação entre grupos funcionais, incluindo conexão direta, PN/PN Coupler e comunicação IP através de routers, cada uma com características próprias.

O router cria uma fronteira na arquitetura

Esse talvez seja o conceito mais importante deste conteúdo.

Um router não é apenas um equipamento que “manda pacotes para outro lugar”.

Ao separar diferentes sub-redes, ele cria um limite de camada 3 dentro da arquitetura.

Essa fronteira pode ser utilizada para:

• separar máquinas ou células;
• conectar diferentes VLANs e subnets;
• conectar automação a redes superiores;
• controlar o alcance de determinados tipos de tráfego;
• aplicar políticas de roteamento;
• permitir NAT quando necessário.

Mas existe uma pergunta que o router sozinho não responde:

só porque existe uma rota entre duas redes significa que todo tráfego entre elas deveria ser permitido?

Não.

E é exatamente aí que entra o próximo componente da jornada: o firewall.

No próximo conteúdo vamos entender como ele controla as comunicações entre redes e por que simplesmente segmentar uma planta não é suficiente para protegê-la.