Você sabe instalar um roteador — mas sabe por que o IP padrão dele é uma porta aberta para qualquer atacante?
“O Wi-Fi funciona. A impressora não aparece. O sistema do caixa trava. E você tem 20 minutos antes de abrir.”
Era uma sexta-feira de manhã. Uma loja de roupas havia mudado de endereço. A equipe de TI do fornecedor havia instalado um roteador na quinta-feira à noite: plugou o cabo da operadora, ligou o roteador, confirmou que tinha acesso à internet e foi embora.
Na sexta de manhã: o Wi-Fi funcionava para quem tentava acessar o Instagram. A impressora de etiquetas não aparecia em nenhum computador. O sistema de PDV não conseguia conectar no servidor local. E o gerente da loja estava no telefone com a franqueadora explicando por que a filial nova não conseguia abrir.
O técnico que foi chamado para resolver fez a primeira pergunta certa em menos de dois minutos: “Qual é o intervalo de IPs que o roteador está distribuindo?”
A resposta revelou o problema inteiro. O roteador estava em modo automático e havia escolhido o range 192.168.0.x. O servidor do PDV estava configurado com IP fixo 192.168.1.10 — o padrão da rede anterior. A impressora esperava receber o IP 192.168.1.50 via DHCP e estava em um segmento diferente do que o roteador estava distribuindo.
Três dispositivos. Três endereços que não se falavam. Nenhuma mensagem de erro clara. E um técnico que havia “instalado tudo” na véspera sem revisar o endereçamento.
Esse post é sobre como evitar essa sexta-feira de manhã.
O que é uma rede SOHO — e por que ela existe
SOHO é a sigla para Small Office/Home Office: o ambiente de rede de um escritório pequeno, uma filial de empresa, um consultório, uma loja, ou um home office estruturado. É distinto de uma rede doméstica simples (que geralmente não precisa de configuração nenhuma) e de uma rede corporativa completa (que tem departamento de TI dedicado, switches gerenciáveis, e VLANs por função).
A rede SOHO fica no meio: tem necessidades reais de segmentação, controle de acesso, impressoras compartilhadas e às vezes servidores locais — mas com orçamento e equipe limitados. É exatamente o ambiente onde a maioria dos técnicos de campo começa a trabalhar, e é onde o Objetivo 2.6 do CompTIA A+ se concentra.
O que o exame cobra aqui é prático: você precisa conseguir configurar uma rede desse tipo do zero — endereçamento IP, roteador, segurança básica — e identificar o que está errado quando algo falha.
Endereçamento IP: a fundação de tudo
Antes de ligar qualquer cabo, você precisa entender como os endereços funcionam. Esse é o conceito que, quando mal compreendido, causa exatamente o problema da loja de roupas acima.
IPv4: privado vs. público
Cada dispositivo em uma rede precisa de um endereço IP para se comunicar. No mundo IPv4, existem dois tipos de endereço que você precisa distinguir com clareza:
Endereços privados são usados dentro da rede local. Eles não são roteáveis na internet — um roteador não encaminha tráfego com origem ou destino em endereço privado diretamente para fora. Os três ranges reservados são:
| Range | Classe | Uso típico |
|---|---|---|
10.0.0.0 – 10.255.255.255 | Classe A | Redes corporativas grandes |
172.16.0.0 – 172.31.255.255 | Classe B | Redes médias |
192.168.0.0 – 192.168.255.255 | Classe C | SOHO, doméstico |
O range 192.168.x.x é o que você vai encontrar em praticamente todo roteador SOHO de fábrica.
Endereços públicos são os IPs atribuídos pela operadora e usados na internet. Seu roteador doméstico ou do escritório tem exatamente um endereço público — a interface WAN. Todos os dispositivos da rede local saem para a internet usando esse único IP público, graças ao NAT (que vamos ver em seguida).
IPv6: por que está no exame (e na sua rede)
O IPv4 tem um problema conhecido: ele tem aproximadamente 4,3 bilhões de endereços disponíveis, e já os esgotamos. O IPv6 resolve isso com endereços de 128 bits, como 2001:0db8:85a3::8a2e:0370:7334.
Na prática, a maioria das redes SOHO hoje roda IPv4 internamente e recebe um endereço IPv6 da operadora para conectividade à internet. O exame não cobra configuração avançada de IPv6 no nível SOHO — mas cobra que você saiba reconhecer um endereço IPv6 e entender que ele coexiste com o IPv4 na maioria dos ambientes atuais.
APIPA: o sinal de que algo está errado
Quando um dispositivo não consegue obter um endereço IP via DHCP — seja porque o roteador está fora do ar, o cabo está mal conectado, ou o serviço DHCP travou — o sistema operacional atribui automaticamente um endereço no range 169.254.x.x. Isso é o APIPA (Automatic Private IP Addressing).
O dispositivo com APIPA consegue se comunicar apenas com outros dispositivos que também estejam com APIPA no mesmo segmento. Ele não consegue acessar a internet, não consegue imprimir em impressoras de rede, e não consegue acessar servidores.
Se você ver um IP 169.254.x.x em qualquer diagnóstico, o problema não é o site que não abre — é que o dispositivo nunca recebeu um IP válido. Essa é a primeira coisa que ipconfig vai te mostrar, e é onde o diagnóstico começa.
Estático vs. dinâmico
IP dinâmico é o padrão para a maioria dos dispositivos: o roteador executa o serviço DHCP, distribui endereços de um pool pré-configurado, e cada dispositivo recebe um IP diferente a cada conexão (ou mantém o mesmo por um período, dependendo da configuração de lease time).
IP estático é atribuído manualmente no próprio dispositivo. É o padrão para servidores locais, impressoras de rede, câmeras IP, e qualquer dispositivo que outros precisam encontrar sempre no mesmo endereço. Se a impressora hoje está em 192.168.1.50 e amanhã o DHCP a coloca em 192.168.1.73, os computadores configurados para imprimir no IP 192.168.1.50 vão parar de funcionar.
DHCP reservation (ou static lease) é o meio-termo: você configura o roteador para sempre entregar o mesmo IP para um dispositivo específico com base no MAC address dele. O dispositivo ainda usa DHCP — mas sempre recebe o mesmo endereço. É a solução elegante para impressoras e câmeras em ambientes SOHO.
Subnet mask e gateway: duas configurações que não podem estar erradas
A subnet mask define quais endereços fazem parte da mesma rede local. Em uma rede SOHO típica com endereço 192.168.1.0 e máscara 255.255.255.0, todos os endereços de 192.168.1.1 a 192.168.1.254 estão na mesma rede e se comunicam diretamente. Um dispositivo em 192.168.2.x está em outra rede — e o tráfego entre eles precisa passar pelo roteador.
O default gateway é o endereço do roteador na rede local — geralmente 192.168.1.1 ou 192.168.0.1. Qualquer tráfego com destino fora da rede local (incluindo internet) é enviado para esse endereço. Se o gateway estiver errado ou não responder, o dispositivo tem acesso local mas não acessa nada externo.
NAT: como um IP público alimenta 30 dispositivos
Network Address Translation é o mecanismo que permite que todos os dispositivos da sua rede local saiam para a internet usando um único endereço IP público.
Quando você acessa um site a partir do seu notebook, o roteador substitui o IP privado de origem (192.168.1.10) pelo IP público da interface WAN e mantém uma tabela de mapeamento. Quando a resposta volta, o roteador consulta a tabela e encaminha os pacotes de volta para o dispositivo correto.
Para o usuário, é invisível. Para o técnico, é fundamental entender porque é exatamente aqui que o port forwarding entra.
Port forwarding: deixar tráfego entrar
NAT funciona perfeitamente para conexões iniciadas de dentro para fora. Mas e quando alguém de fora precisa acessar algo dentro da sua rede? Por padrão, o roteador não sabe para qual dispositivo interno encaminhar uma conexão que chega na porta 80, por exemplo.
Port forwarding é a configuração que resolve isso: você diz ao roteador que conexões chegando na porta X devem ser encaminhadas para o IP Y na porta Z.
Exemplo real: uma loja com câmeras de segurança que precisa ser acessada remotamente. As câmeras estão em 192.168.1.20 ouvindo na porta 8080. Você configura o port forwarding: conexões chegando na porta 8080 do IP público → encaminhar para 192.168.1.20:8080.
Port triggering é uma variante: a porta só fica aberta para entrada quando o dispositivo interno iniciou uma conexão de saída que “disparou” o gatilho. É mais seguro que port forwarding fixo para aplicações específicas, como algumas configurações de videogame.
DMZ (Demilitarized Zone) é o nível mais extremo: você coloca um dispositivo em DMZ e o roteador encaminha para ele todo o tráfego externo que não tem regra específica. Use com muita cautela — o dispositivo na DMZ fica exposto a toda internet sem proteção do firewall do roteador.
Segurança: o que você configura antes de entregar a rede
Esse é o ponto que muitos técnicos pulam — e que o exame cobra com frequência em cenários de “qual deveria ser o primeiro passo”.
Troque as credenciais padrão
Todo roteador SOHO sai de fábrica com usuário e senha padrão — geralmente admin/admin, admin/password, ou algo igualmente previsível. Essas credenciais são públicas e indexadas. Se você entregar uma rede com senha padrão, qualquer pessoa na rede local (ou às vezes pela WAN se a administração remota estiver habilitada) pode acessar o painel do roteador.
A primeira configuração é sempre: trocar o usuário e senha do painel administrativo.
Desabilite o que não usa
- Administração remota pela WAN: a maioria dos roteadores SOHO permite acessar o painel de administração via internet. Isso é conveniente e extremamente perigoso. Desabilite.
- WPS (Wi-Fi Protected Setup): o botão WPS facilita conectar dispositivos sem digitar senha, mas tem vulnerabilidades conhecidas (o ataque de PIN brute-force). Desabilite.
- UPnP (Universal Plug and Play): permite que dispositivos da rede local abram portas automaticamente no firewall do roteador. Conveniente para jogos e algumas aplicações, mas cria brechas sem visibilidade. Avalie desabilitar em ambientes que exigem mais controle.
Configure a rede sem fio corretamente
- SSID personalizado (não use o padrão do fabricante — ele identifica o modelo do roteador)
- WPA3 onde suportado, WPA2 (AES/CCMP) onde não — nunca WEP, nunca WPA com TKIP
- Senha forte (não use só letras minúsculas)
- Considere redes de convidados separadas para dispositivos que não precisam de acesso à rede interna
QoS (Quality of Service)
Em uma rede SOHO com múltiplos usuários e tipos de tráfego, QoS permite priorizar tipos específicos de dados. Você pode configurar para que videoconferências e VoIP (que são sensíveis a latência) tenham prioridade sobre downloads de arquivos (que toleram atraso). Isso é especialmente relevante em conexões com largura de banda limitada.
O mapa mental da configuração SOHO
INTERNET │ │ (IP público, fornecido pela operadora) │[ROTEADOR / MODEM] │ ├── Interface WAN: IP público │ ├── Interface LAN: 192.168.1.1 (gateway padrão) │ ├── DHCP server: distribui 192.168.1.100–200 │ ├── NAT: traduz privado ↔ público │ ├── Firewall: bloqueia entrada não solicitada │ └── Port forwarding: exceções específicas │ ├── [Switch] ──── PCs, servidores (IP fixo ou reserva DHCP) ├── [Access Point] ──── Notebooks, celulares (IP dinâmico) └── [Impressora de rede] ──── IP fixo: 192.168.1.50
Cada componente tem um papel específico. O roteador decide o que entra e sai. O DHCP distribui endereços. O NAT esconde a rede interna. O port forwarding faz exceções controladas.
O bypass consciente
Cobrimos aqui os fundamentos de configuração SOHO que o CompTIA A+ cobra no Objetivo 2.6 — endereçamento IPv4/IPv6, APIPA, estático vs. dinâmico, NAT, port forwarding, e segurança básica.
O que você ainda não viu aqui (de propósito):
O exame lista sub-objetivos específicos sobre subnet mask e como calcular ranges de rede. Eu expliquei a máscara 255.255.255.0 como exemplo padrão — mas o exame pode apresentar cenários com máscaras como 255.255.255.128 ou 255.255.0.0, e a lógica de quais endereços são válidos naquela rede muda completamente.
Se você abrir o documento oficial da CompTIA e procurar os exemplos de sub-redes no Objetivo 2.6, vai encontrar exatamente o que precisa para resolver questões de cenário com máscaras não-padrão. Essa é a diferença entre quem acerta 80% das questões desse objetivo e quem acerta 100%.
O documento está em inglês. Isso é intencional da minha parte — porque o técnico que lê documentação primária em inglês tem uma vantagem real no mercado. E você já está lendo essa série. Então já está na frente.
No próximo post
Agora que você sabe configurar uma rede SOHO, a próxima pergunta é: como ela se conecta com o mundo externo?
Post 09 → Tipos de Conexão à Internet e Tipos de Rede (Objetivo 2.7): fibra, cabo, DSL, satélite, celular, WISP — e os tipos de rede (LAN, WAN, PAN, MAN, SAN, WLAN). Por que um escritório que paga pelo link de fibra mais caro ainda sofre com latência em videochamadas, e como o tipo de conexão afeta as decisões de configuração que você acabou de aprender.
Este é o Post 08 da trilha CompTIA A+ em português. Se você chegou aqui direto, recomendo começar pelo Post 01 — Apresentação da trilha para entender o contexto e a metodologia.
Wendel Neves é profissional de cibersegurança e automação. Esta série cobre o CompTIA A+ V15 (220-1201 e 220-1202) em ordem sequencial de objetivos, com foco em aplicação prática no mercado brasileiro.