Imagine uma empresa em BH com 50 funcionários onde o financeiro, a TI e os visitantes com Wi-Fi compartilham a mesma rede. Um colaborador na recepção consegue enxergar o servidor de arquivos. O switch fica sobrecarregado com tráfego de broadcast que não deveria cruzar segmentos diferentes. Qualquer problema de conectividade pode aumentar o tempo de diagnóstico significativamente. Esse tipo de cenário é frequente em redes sem segmentação planejada, e uma causa comum é a ausência de VLANs, o que começa, invariavelmente, com a escolha errada entre Trunk Port vs Access Port
Neste artigo, explicamos a diferença entre Trunk Port e Access Port e como isso impacta diretamente a segmentação da sua rede. Você vai entender o comportamento de cada tipo de porta, ver os comandos Cisco para configurar cada um e aprender a identificar os erros mais comuns antes que eles derrubem o tráfego do seu ambiente. A 4Infra trabalha com esse tipo de configuração em projetos de infraestrutura para empresas em Belo Horizonte, e os cenários descritos aqui refletem situações reais do dia a dia.
Somos uma empresa especializada em Tecnologia da Informação, Microsoft 365 Suporte no Brasil e Instalação de Wifi 7. Atendemos presencialmente as cidades de Belo Horizonte e região metropolitana, e oferecemos atendimento remoto para Rio de Janeiro, São Paulo, Salvador, Brasília, Vitória, Goiânia e Porto Alegre. Atuamos com soluções e serviços de TI personalizados (outsourcing) e disponibilizamos profissionais capacitados para atuar in loco. Para demais localidades, consulte a viabilidade através do e-mail [email protected].
Sumário
O que é uma Access Port e como ela se comporta na rede
Uma Acces Port é a interface do switch que conecta dispositivos finais: desktops, notebooks, impressoras, câmeras IP e telefones. Ela pertence a uma única VLAN e o tráfego que passa por ela é sempre untagged, os frames não carregam nenhuma etiqueta de identificação de VLAN. O dispositivo conectado não precisa saber em qual VLAN está; o switch cuida dessa associação automaticamente.
O comportamento interno é direto: quando um frame chega ao switch por uma Access Port, o switch o associa à VLAN configurada naquela porta. Quando o frame sai em direção ao dispositivo final, o switch remove qualquer tag antes de encaminhar. Se a Access Port receber um frame com a tag de uma VLAN diferente da configurada, o switch descarta o pacote e não registra o endereço MAC de origem na tabela. Por padrão, toda porta pertence à VLAN 1 se nenhuma configuração for aplicada, o que representa um risco de segurança em ambientes sem segmentação planejada.
Como o switch trata frames em uma Access Port
O processo de atribuição acontece na camada 2, de forma transparente para o dispositivo final. O switch recebe o frame sem tag, consulta a configuração da porta e encaminha o tráfego dentro do domínio de broadcast correto. Essa invisibilidade da VLAN para o dispositivo final é justamente o que torna a Acces Port adequada para equipamentos comuns de escritório. Se um PC recebesse frames com tag 802.1Q sem estar preparado para interpretá-los, o tráfego seria descartado ou processado incorretamente.
Onde a Access Port aparece na topologia corporativa
Em uma rede segmentada com três VLANs, financeiro na VLAN 10, TI na VLAN 20 e visitantes na VLAN 30, cada tomada de rede conectada a um computador do financeiro será configurada como Access Port na VLAN 10. As impressoras do escritório ficam na VLAN 10 ou em uma VLAN dedicada de impressão. Os pontos de acesso Wi-Fi que entregam apenas uma rede sem fio para visitantes são conectados em Access Port da VLAN 30. A porta access é sempre a ponta da rede: o ponto onde o usuário final “toca” a infraestrutura.
O que é uma Trunk Port e como o 802.1Q entra na história
Uma Trunk Port transporta tráfego de múltiplas VLANs simultaneamente em um único cabo. Ela aparece principalmente nos links entre switches de acesso e o switch core, entre o switch e o roteador para roteamento inter-VLAN (topologia router-on-a-stick), e entre o switch e servidores de virtualização como VMware ESXi ou Hyper-V. Sem uma Trunk Port, seria necessário um cabo físico separado para cada VLAN entre os equipamentos, algo inviável em qualquer ambiente real.
O padrão IEEE 802.1Q é o mecanismo que torna o trunk possível. Ele adiciona uma tag de 4 bytes ao frame Ethernet original, logo após o campo de endereço MAC de origem, identificando a qual VLAN aquele frame pertence. Com 12 bits dedicados ao identificador de VLAN (VID), o 802.1Q suporta até 4.094 VLANs distintas em um único link físico.
Como a tag 802.1Q é inserida no frame Ethernet
A tag 802.1Q é composta por dois campos de 16 bits cada. O primeiro é o TPID (Tag Protocol Identifier), com valor fixo de 0x8100, que sinaliza para o switch receptor que aquele frame carrega uma tag de VLAN. O segundo campo é o TCI (Tag Control Information), que contém 3 bits de prioridade para qualidade de serviço (CoS/802.1p), 1 bit de DEI e os 12 bits do VID. Como o frame original é modificado com esses 4 bytes adicionais, o FCS (Frame Check Sequence) no final do frame é recalculado para garantir a integridade dos dados. Dispositivos finais comuns, como PCs, não interpretam essa tag: ela existe exclusivamente para switches e equipamentos de rede.
O que é a native VLAN e por que ela existe
A native VLAN é a única VLAN que trafega sem tag em um link trunk. Quando o switch recebe um frame untagged em uma Trunk Port, ele o atribui automaticamente à native VLAN configurada naquela porta, identificada internamente como PVID. Por padrão, a native VLAN é a VLAN 1 em switches Cisco. O ponto crítico aqui é que ambos os lados do link trunk precisam ter a mesma native VLAN configurada: se um switch usa VLAN 1 como nativa e o outro usa VLAN 99, o tráfego untagged será entregue em VLANs diferentes em cada lado, causando perda de conectividade e potencial vazamento de dados entre segmentos que não deveriam se comunicar.
Diferença entre Trunk Port vs Access Port na prática: quando usar cada uma
A escolha entre os dois tipos de porta não é técnica no sentido abstrato: ela depende do que está conectado à interface. Se é um dispositivo final que não entende VLAN, use porta access. Se é um equipamento de rede que precisa transportar tráfego de múltiplas VLANs, use Trunk Port. Configurar acidentalmente um PC em uma Trunk Port é um erro comum que resulta em falta de conectividade, porque o dispositivo não consegue processar os frames tagueados que chegam.
Access Port: a escolha certa para dispositivos finais
Qualquer interface que conecta um dispositivo sem suporte a VLAN deve ser configurada como porta access. O switch cuida de toda a lógica de associação à VLAN, e o dispositivo opera normalmente sem nenhuma configuração adicional. Isso vale para PCs, notebooks, impressoras, câmeras IP e telefones IP sem suporte a VLAN. A simplicidade é justamente a força dessa abordagem: o usuário final nunca percebe que está em uma rede segmentada, mas o tráfego dele fica isolado dos outros segmentos.
Trunk Port: a espinha dorsal do tráfego entre switches
A Trunk Port aparece em três cenários principais. No link de uplink entre o switch de acesso (onde os usuários se conectam) e o switch core (que centraliza o roteamento), ela é indispensável. O mesmo vale para o link entre o switch e o roteador quando o roteamento inter-VLAN é feito via subinterfaces, e também para o link entre o switch e o servidor de virtualização, permitindo que VMs em VLANs diferentes compartilhem o mesmo adaptador físico de rede. Em todos esses casos, a Trunk Port carrega as VLANs permitidas de forma simultânea, com cada frame devidamente etiquetado com seu VID.
Configurando Trunk Port vs Access Port em switches Cisco
A configuração via CLI Cisco é direta quando você sabe o que cada comando faz. Vale mencionar que o DTP (Dynamic Trunking Protocol) vem ativo por padrão em switches Cisco IOS, o que significa que portas podem negociar automaticamente um trunk com qualquer dispositivo conectado. A prática recomendada é sempre definir o modo manualmente, sem depender dessa negociação automática, deixar o DTP ativo em portas de usuário representa uma brecha de segurança, conforme orientações de hardening para dispositivos Cisco. Para referência rápida de comandos, um cheat sheet de comandos Cisco pode acelerar a implementação e o diagnóstico.
Comandos para configurar uma Access Port
A sequência abaixo força a porta ao modo access e a atribui à VLAN 10:
interface fastethernet0/1
switchport mode access
switchport access vlan 10O comando switchport mode access desativa completamente o DTP naquela interface e impede que ela negocie um trunk com qualquer dispositivo conectado. O switchport access vlan 10 associa todos os frames untagged recebidos nessa porta à VLAN 10. Sem esse segundo comando, a porta fica na VLAN 1 por padrão.
Comandos para configurar uma Trunk Port
Para links entre switches, a configuração recomendada inclui definir o encapsulamento (necessário em switches mais antigos), o modo trunk, as VLANs permitidas explicitamente e a native VLAN:
interface fastethernet0/2
switchport trunk encapsulation dot1q
switchport mode trunk
switchport trunk native vlan 99
switchport trunk allowed vlan 10,20,30
switchport nonegotiateO switchport trunk allowed vlan define exatamente quais VLANs podem trafegar naquele link, evitando que VLANs desnecessárias gerem tráfego broadcast indesejado. O switchport nonegotiate desativa o DTP na Trunk Port, eliminando o risco de um dispositivo externo forçar a negociação de um novo trunk. Configurar a native VLAN para uma VLAN dedicada diferente da VLAN 1, como a VLAN 99, é uma recomendação de segurança para reduzir a exposição a ataques de double-tagging, já que a VLAN 1 é o alvo clássico desse tipo de exploração.
Erros comuns em trunks e como diagnosticar com comandos show
A maioria dos problemas de comunicação entre VLANs em ambientes corporativos tem origem em um punhado de erros de configuração. Saber identificar cada um com os comandos certos reduz significativamente o tempo de diagnóstico.
Os três mismatches que derrubam o tráfego entre VLANs
O mismatch de encapsulamento ocorre quando um lado do trunk está em dot1q e o outro em ISL, o protocolo proprietário Cisco mais antigo. Já o mismatch de native VLAN acontece quando os dois switches estão com valores diferentes, VLAN 1 de um lado e VLAN 99 do outro, por exemplo. O sintoma clássico desse segundo caso é o warning CDP %CDP-4-NATIVE_VLAN_MISMATCH nos logs do switch, uma mensagem padronizada gerada automaticamente pelo protocolo CDP ao detectar a divergência. O terceiro erro é a VLAN ausente na lista de allowed VLANs, o que causa perda de tráfego seletiva: dispositivos de algumas VLANs se comunicam normalmente enquanto outros ficam sem conectividade, dificultando o diagnóstico inicial.
Comandos show para identificar o problema rapidamente
O fluxo de diagnóstico segue uma sequência lógica. Comece confirmando se o trunk está ativo e quais VLANs estão permitidas:
show interfaces trunk:verifica o modo operacional do trunk, as VLANs permitidas e as VLANs ativas no link.show interfaces:exibe o encapsulamento configurado, a native VLAN e o modo operacional da porta.show vlan:confirma se a VLAN foi criada no switch, porque uma VLAN pode estar permitida no trunk mas inexistente no banco de VLANs do switch.show running-config:verifica a configuração exata aplicada na interface, incluindo allowed VLANs e native VLAN.
O roteiro de verificação é simples: o trunk está ativo? A VLAN existe no switch? Ela está na lista de allowed VLANs? A native VLAN é igual nos dois lados do link? Responder essas quatro perguntas resolve a grande maioria dos problemas de trunking em ambientes corporativos. Para guias práticos de diagnóstico e resolução de problemas em VLANs, veja este material sobre troubleshooting de VLANs.
Para um aprofundamento na diferença entre Trunk Port e Access Port em termos práticos e exemplos, recursos online com comparações e laboratórios fazem a diferença ao treinar equipes de operação.
Segmentação de rede bem feita precisa de projeto, não de tentativa e erro
Erros de configuração em trunks e VLANs em ambientes reais não são apenas inconvenientes técnicos: eles causam indisponibilidade de serviços, brechas de segurança e dificuldade severa de diagnóstico. Em redes que cresceram sem planejamento, esses problemas se acumulam silenciosamente até o momento em que um incidente expõe toda a fragilidade da infraestrutura.
O que pode dar errado sem planejamento de VLAN e trunk
Os cenários mais comuns em redes sem projeto estruturado incluem tráfego de visitantes acessando a rede interna por falta de segmentação, loops de camada 2 causados por configuração incorreta de trunks sem Spanning Tree adequado e a VLAN de gerenciamento dos switches exposta porque a native VLAN padrão (VLAN 1) nunca foi alterada. Esses problemas aparecem especialmente em empresas que foram expandindo a infraestrutura de rede ao longo dos anos sem revisar a arquitetura original, adicionando switches e pontos de acesso sem documentação ou padronização.
Como a 4Infra projeta e configura redes segmentadas para empresas em BH
A 4Infra Consultoria atua no projeto e configuração de infraestrutura de redes corporativas em Belo Horizonte, com foco em empresas de pequeno e médio porte que precisam de uma rede segura, estável e auditável. Nosso processo inclui o levantamento completo do ambiente atual, o projeto de rede para empresas com VLANs definidas por função e risco, a configuração dos switches gerenciáveis com documentação detalhada de cada porta e VLAN, e a validação da conectividade antes da entrega. O objetivo é uma rede onde o tráfego do financeiro, da TI e dos visitantes não se mistura, o acesso remoto é controlado e o diagnóstico de problemas futuros se torna mais rápido e objetivo.
Se a sua empresa em BH precisa estruturar ou revisar a segmentação de rede, fale com a 4Infra. Nossa equipe faz o diagnóstico do ambiente atual e apresenta um projeto realista para modernizar a infraestrutura sem interrupção das operações.
Conclusão
Entender a diferença entre trunk port e access port é o alicerce de qualquer projeto de rede com VLANs. A porta access serve dispositivos finais com tráfego untagged em uma única VLAN por interface. A Trunk Port carrega múltiplas VLANs simultaneamente via 802.1Q, sendo indispensável em links entre switches, roteadores e servidores de virtualização.
Na prática, os erros que mais aparecem são sempre os mesmos: native VLAN divergente nos dois lados do link, DTP ativo em portas que deveriam ser estáticas e VLANs fora da lista de allowed VLANs. Com os comandos show interfaces trunk, show interfaces switchport e show vlan, você tem o suficiente para diagnosticar qualquer um desses cenários com rapidez. Dominar a diferença entre Trunk Port e porta access, e configurar cada uma corretamente, é o primeiro passo concreto para uma rede corporativa realmente segmentada, segura e fácil de manter.
Perguntas Frequentes (FAQs) – Trunk Port vs Access Port: Qual a Diferença?
Qual a diferença entre porta trunk e porta access?
Uma porta access pertence a uma única VLAN e troca frames sem tag, adequada para dispositivos finais como desktops e impressoras. Uma porta trunk transporta múltiplas VLANs num único cabo usando o padrão IEEE 802.1Q, adicionando tags para identificar a VLAN de cada frame.
Quando devo usar uma porta access na minha rede?
Use porta access nas tomadas que conectam dispositivos finais (desktops, notebooks, câmeras IP, telefones) e em pontos de acesso Wi‑Fi que entregam apenas uma rede para visitantes. A porta access mantém a VLAN invisível para o dispositivo final, simplificando a configuração dos equipamentos de escritório.
Quando uma porta deve ser configurada como trunk?
Configure trunk nos links entre switches, entre switch e roteador para roteamento inter‑VLAN (topologia router-on-a-stick) e entre switch e servidores de virtualização como VMware ESXi ou Hyper‑V. O trunk evita a necessidade de cabos separados para cada VLAN, transportando múltiplos domínios de broadcast em um único link.
O que acontece se uma porta access receber um frame taggeado de outra VLAN?
O switch descarta o pacote e não registra o endereço MAC de origem na tabela se a tag não corresponder à VLAN configurada na porta access. Isso evita tráfego de VLANs indevidas, mas também pode causar perda de conectividade se a porta estiver mal configurada.
Por que deixar todas as portas na VLAN 1 é um risco de segurança?
Por padrão, portas não configuradas pertencem à VLAN 1, o que une vários departamentos no mesmo domínio de broadcast e facilita o excesso de tráfego e acessos indevidos. Ambientes sem segmentação planejada aumentam tempo de diagnóstico e exposição de recursos, como ilustrado pelo cenário em BH descrito no artigo.
Como identificar e evitar erros comuns ao escolher entre trunk e access?
Verifique o modo da porta (access ou trunk) e confirme a VLAN atribuída às portas de usuário; assegure que links inter‑equipamentos estejam em trunk quando precisarem transportar várias VLANs. Monitore tráfego de broadcast, evite deixar portas em VLAN 1 sem necessidade e siga as orientações e comandos Cisco citados no artigo para validar a configuração antes que problemas afetem o tráfego.
