Como migrar de switch não gerenciável para gerenciável sem downtime

Trocar um switch não gerenciável por um gerenciável tem três riscos concretos: loop de broadcast na transição, PoE que não sobe porque o budget não fecha e VLAN marcada errada no uplink. Downtime perto de zero não vem de trocar rápido — vem de o switch novo chegar ao rack já configurado e testado.

Levantamento prévio: sem planilha não existe rollback

Documente o switch atual porta a porta antes de encostar em cabo. O mínimo:

• Porta física e o que está nela — AP, câmera, catraca, desktop, impressora, servidor, uplink. Etiquete cada cabo com o número da porta antes de puxar.
• MAC e IP dos equipamentos críticos — é o que permite conferir, depois da troca, se o dispositivo voltou na porta e na VLAN certas.
• VLAN de destino de cada porta e se ela será access ou trunk. O 802.1Q insere 4 bytes no quadro, com VID de 12 bits: 4.094 VLANs utilizáveis, já que 0 e 4095 são reservados. Defina qual VLAN sai sem tag em cada trunk: quadro sem tag cai na VLAN nativa, e é daí que vem a maioria dos “sumiu o tráfego de um segmento só”.
• Classe PoE de cada dispositivo alimentado e os uplinks: velocidade, meio (cobre ou SFP) e se há agregação (LAG/LACP) a recriar.

Bancada: o switch novo entra no rack pronto

Suba firmware, crie as VLANs, defina trunks e portas de acesso, configure o LAG e exporte o backup da configuração — tudo isso antes de o equipamento ir ao rack.

Crie uma VLAN de gerência separada, com IP fixo. O motivo é operacional: se a gerência ficar junto do tráfego de usuário na VLAN 1, uma tempestade de broadcast derruba seu acesso ao equipamento no exato momento em que você precisa dele para diagnosticar. Garanta também acesso por console serial, que sobrevive a erro de VLAN.

Feche a conta de PoE budget antes, somando as classes reais contra a potência da fonte. Por porta, segundo os padrões IEEE: 802.3af entrega 15,4 W no switch e 12,95 W no dispositivo; 802.3at, 30 W e 25,5 W; 802.3bt Type 3, 60 W e 51 W; Type 4, 90 W e 71,3 W. Um switch de 24 portas com 370 W de budget não alimenta 24 dispositivos 802.3at simultâneos (24 × 30 = 720 W). Se estourar, priorize portas na bancada, não no escuro com câmera desligando.

A troca: STP primeiro, ordem das portas depois

Habilite RSTP no switch novo antes de plugar o primeiro cabo. O 802.1w foi incorporado à revisão IEEE 802.1D-2004, e a diferença é o seu downtime: o STP clássico leva cerca de 30 a 50 segundos para convergir (dois forward delays de 15 s, somados ao max age de 20 s), enquanto o RSTP converge em centenas de milissegundos numa rede bem configurada.

O loop é o risco maior justamente na transição, porque o switch antigo não roda STP nem bloqueia porta. Nunca deixe os dois switches ligados entre si e ao core ao mesmo tempo. Ordem que funciona: uplink primeiro, validar gerência e trunk, depois portas de acesso em blocos de 4 a 8, com os críticos por último, já com o caminho provado.

Nas portas de usuário, ative proteção de borda (edge/portfast com BPDU guard): a porta sobe sem esperar convergência e se desliga ao receber BPDU, impedindo que um switch de mesa assuma a raiz da árvore.

Validação e plano de rollback

Antes de encerrar a janela, confira contra a planilha:

• Tabela MAC — cada MAC crítico na porta e na VLAN esperadas.
• DHCP e ping em cada VLAN, inclusive entre segmentos que devem e que não devem se falar.
• Consumo PoE real por porta contra o budget calculado.
• Contadores de erro e log de STP — CRC subindo indica cabo ou duplex, não o switch novo; topology change repetido significa link instável, não rede estabilizando.

O rollback é físico: mantenha o switch antigo no rack, energizado e desconectado, até o fim do dia útil seguinte. Com cabos etiquetados e a planilha porta a porta, voltar leva minutos. Só retire o equipamento antigo depois de validar a rede em horário de pico, com o backup da nova configuração salvo fora do switch.