Um domínio de broadcast é segmento Camada 2 onde todo dispositivo recebe todo frame de broadcast (ARP, DHCP, NetBIOS, etc.). Mantê-lo pequeno é prática recomendada de design de rede.
Problemas de Desempenho
- Tempestades de Broadcast: Um único loop ou NIC malcomportado pode inundar o segmento, consumindo toda largura de banda e CPU em todo host.
- Sobreposição de Domínio de Colisão (Hubs Legados): Em mídia compartilhada, colisões forçam backoff exponencial, matando throughput.
- Overhead de Interrupção: Todo broadcast interrompe NIC/CPU de cada host para processar frames não destinados a ele.
- Inundação ARP/NDP: Sub-redes grandes = tabelas ARP massivas, lookups lentos, tempestades ARP gratuitas.
Riscos de Segurança
- Sniffing/Spoofing: Um host comprometido pode ARP-poisonar toda VLAN, MITM todo tráfego.
- Movimento Lateral: Malware espalha via descoberta broadcast (SMB, mDNS, LLMNR).
- Vazamento de Dados: Broadcasts sensíveis (opções DHCP, anúncios de serviço) alcançam endpoints não autorizados.
Dores de Gestão
- Troubleshooting abrange centenas de portas.
- Políticas (ACLs, QoS) são grosseiras na Camada 2.
- Convergência spanning-tree desacelera com diâmetro.
Solução: Segmentar com Camada 3
- Use roteadores ou switches Camada 3 para dividir rede em múltiplas sub-redes/VLANs /24 (ou menores).
- Broadcasts param no roteador; só tráfego unicast/multicast roteado cruza.
- Aplique ACLs, firewalls, QoS por segmento.
- Design típico: VLANs de acesso ≤ 250 hosts; Core/Distribution roteado.
Alternativas Modernas
- VXLAN/EVPN: Estende Camada 2 sobre tecido Camada 3 com flooding controlado.
- PVLANs (Private VLANs): Isola portas dentro da mesma VLAN.
- Micro-segmentação: Firewalls baseados em host (Cilium, Calico) em Kubernetes/nuvem.
Regra prática: Se não justifica /23, não construa.
