🛠️ Configuração de Segurança de Rede: TP-Link ER605
Para garantir a resiliência do meu Homelab, configurei as camadas de defesa do roteador focando no equilíbrio entre segurança máxima e alta performance.
1. Camada 2: Proteção Anti-ARP Spoofing
Caminho: Network Security > IP-MAC Binding > ARP Scanning
O que foi ativado:Enable ARP Spoofing DefenseeSend GARP packets.
Por que: Esta opção protege a rede interna contra ataques de "Man-in-the-Middle". Ao ativar o GARP (Gratuitous ARP), o roteador informa constantemente aos dispositivos da rede qual é o endereço físico (MAC) correto do gateway. Isso impede que um atacante na rede local tente se passar pelo roteador para interceptar seus dados.
2. Camada 3 e 4: Defesa contra Ataques de Inundação (Flood Defense)
Caminho: Network Security > Attack Defense > Flood Defense
O que foi ativado: Filtros de inundação para TCP SYN, UDP e ICMP.
Por que: Defini limites de pacotes por segundo para evitar ataques de Negação de Serviço (DoS).
TCP SYN Flood: Impede que o roteador fique com conexões "penduradas" e trave.
ICMP Flood: Evita que um excesso de pings consuma a banda e o processamento do hardware.
3. Proteção contra Anomalias e Varreduras (Packet Anomaly)
Caminho: Network Security > Attack Defense > Packet Anomaly Defense
O que foi ativado: Bloqueio de TCP Scan (Stealth FIN/Xmas/Null), Ping of Death e Ping from WAN.
Por que: * TCP Scan: Torna o Homelab "invisível" para ferramentas como o Nmap, dificultando que um invasor descubra quais portas estão abertas.
Ping from WAN: Garante que o roteador não responda a requisições externas, protegendo o IP público de ser detectado por bots de varredura.
Anomalias: Bloqueia pacotes propositalmente malformados que tentam explorar falhas de memória no firmware do roteador.
🚫 Por que o Deep Packet Inspection (DPI) NÃO foi habilitado?
Caminho: Network Security > DPI > DPI Settings
Embora seja uma ferramenta poderosa para identificar aplicações (como saber se o tráfego é Netflix ou BitTorrent), decidi mantê-lo Desativado pelos seguintes motivos:
Gargalo de Performance (Throughput): O ER605 possui aceleração de hardware (Hardware Offloading) para rotear pacotes rapidamente. O DPI força o roteador a abrir e ler cada pacote (Camada 7). Isso exige muito da CPU, o que derrubaria a velocidade da conexão (ex: de 1Gbps para 300-400Mbps).
Latência e Jitter: A inspeção profunda adiciona milissegundos de processamento em cada pacote. Para um Homelab que roda serviços de monitoramento (Grafana) e VPNs (WireGuard), manter a latência o mais baixa possível é prioridade.
Ineficiência com Criptografia: Como 90% do tráfego web hoje é HTTPS, o roteador não consegue ver o conteúdo dentro do pacote sem um certificado SSL instalado em cada cliente. Sem isso, o DPI consome muita CPU para entregar pouquíssima informação útil.
Resumo da Estratégia: "Segurança robusta nas camadas de transporte e rede (L3/L4), mantendo o hardware livre do peso do DPI para garantir que o link de internet seja aproveitado em sua totalidade."