Como configurar VLANs no Mikrotik e isolar sua rede

Por que você precisa separar sua rede com VLANs

Imagine que sua casa ou escritório possui computadores de trabalho, câmeras de segurança, impressoras e celulares de visitantes conectados ao mesmo roteador Wi-Fi. Na prática, isso significa que qualquer aparelho comprometido pode acessar diretamente o disco rígido do seu computador principal. Para resolver esse problema de segurança sem precisar comprar cabos e roteadores separados para cada dispositivo, usamos uma tecnologia chamada VLAN, que funciona como paredes virtuais dentro da mesma rede física.

Em termos simples, uma VLAN (Virtual Local Area Network) pega um único cabo ou switch e o divide em vários caminhos isolados através de etiquetas numéricas nos pacotes de dados. Nenhum dispositivo de uma VLAN consegue conversar diretamente com outra VLAN sem passar por uma regra de roteamento ou firewall. Para entender mais sobre a importância dessa separação lógica, você pode consultar o guia sobre como configurar VLANs em switches gerenciáveis com segurança, que detalha os princípios de blindagem de portas e endereçamento.

No ecossistema da Mikrotik, o sistema operacional chamado RouterOS gerencia essas divisões com muita flexibilidade, embora exija atenção aos detalhes de configuração. Cada ambiente ganha uma identidade própria, permitindo que a automação residencial, a rede de convidados e o servidor de arquivos fiquem em mundos completamente separados. É uma estratégia indispensável tanto para pequenas empresas que lidam com dados sigilosos quanto para entusiastas que querem proteger sua rede doméstica contra invasões.

Entendendo os conceitos de Access, Trunk e VLAN ID

Antes de abrir a tela de configuração do seu equipamento Mikrotik, precisamos esclarecer três termos fundamentais que aparecem o tempo todo na administração de redes. O primeiro deles é o VLAN ID, que nada mais é do que um número de identificação de 1 a 4094 carimbado em cada pacote de dados para indicar a qual grupo ele pertence. Se um pacote não tem etiqueta, ele geralmente cai na chamada VLAN nativa ou padrão da porta.

O segundo conceito essencial é a porta de acesso, conhecida no meio técnico como porta Access. Ela é usada para ligar dispositivos comuns que não entendem de VLANs, como uma impressora antiga, uma smart TV ou um computador desktop. Quando o pacote sai da porta Access em direção ao computador, a etiqueta VLAN é removida; quando entra, a etiqueta é adicionada automaticamente pelo switch ou roteador.

O terceiro termo é a porta de tronco, ou Trunk, responsável por carregar várias VLANs diferentes ao mesmo tempo por um único cabo de rede. É o que usamos para ligar o roteador principal da Mikrotik a um switch inteligente ou a um ponto de acesso Wi-Fi corporativo. Para aprofundar seu conhecimento sobre o isolamento físico e lógico de infraestruturas, vale a pena ler o artigo sobre como isolar redes locais com VLANs em switches e proteger dados.

Passo a passo para criar VLANs no RouterOS da Mikrotik

Vamos agora colocar a mão na massa configurando o RouterOS através da interface gráfica WinBox ou da linha de comando. O processo exige atenção para não perder o acesso ao equipamento durante as alterações de portas físicas. Certifique-se de realizar os ajustes usando uma porta que não será modificada imediatamente ou via conexão de resgate.

A primeira etapa consiste em definir a interface física principal, geralmente chamada de bridge, onde todas as redes virtuais serão ancoradas. Abra o terminal do seu Mikrotik ou siga a sequência de menus para criar as interfaces virtuais associadas ao número da VLAN desejado, como ilustrado no exemplo abaixo para criar a VLAN 20 destinada aos convidados.

/interface vlan add name=vlan20-convidados vlan-id=20 interface=bridge1

Com a interface virtual criada, a segunda etapa é atribuir um endereço IP exclusivo para essa nova rede, que funcionará como o portal de entrada e saída, conhecido tecnicamente como gateway. O comando a seguir define o endereço IP 192.168.20.1 para a nossa nova VLAN de convidados.

/ip address add address=192.168.20.1/24 interface=vlan20-convidados network=192.168.20.0

A terceira e última etapa essencial para que os dispositivos ganhem acesso à internet automaticamente é configurar o serviço de distribuição de endereços IP, chamado DHCP Server. Criamos um pool de IPs e atrelamos o serviço à interface da VLAN recém-criada, permitindo que qualquer visitante receba um endereço válido assim que conectar ao Wi-Fi dedicado.

/ip pool add name=pool-convidados ranges=192.168.20.10-192.168.20.250
/ip dhcp-server add name=dhcp-convidados interface=vlan20-convidados address-pool=pool-convidados disabled=no
/ip dhcp-server network add address=192.168.20.0/24 gateway=192.168.20.1

Configurando regras de firewall para isolar o tráfego

Criar as VLANs e os endereços IP separa os grupos logicamente, mas por padrão o roteador Mikrotik permite que redes diferentes conversem entre si para facilitar a comunicação inicial. Para garantir um isolamento real e impedir que a rede de convidados acesse os computadores do escritório, precisamos criar regras de bloqueio no firewall do RouterOS.

As regras de filtragem devem ser inseridas na tabela de encaminhamento (forward) do firewall, instruindo o roteador a descartar qualquer pacote que tente ir da faixa de IP dos convidados para a faixa de IP da rede corporativa principal. É fundamental posicionar essas regras de bloqueio antes das regras que permitem o tráfego geral, garantindo a ordem correta de leitura pelo sistema.

Além de bloquear o acesso entre redes internas, lembre-se de liberar o acesso exclusivo à internet para a VLAN restrita, permitindo que naveguem na web sem tocar nos servidores locais. Para cenários industriais ou ambientes que exigem proteções adicionais para maquinários e controladores lógicos programáveis, vale a pena consultar as orientações em como isolar VLANs industriais e proteger PLCs contra ataques.

Considerações finais sobre manutenção e segurança de redes

Implementar VLANs em equipamentos Mikrotik transforma completamente o nível de maturidade e segurança de uma rede corporativa ou residencial. Ao dividir os ambientes, você reduz drasticamente a superfície de ataque e impede que uma falha em um dispositivo IoT ou em um computador de visitante comprometa toda a infraestrutura da organização.

Manter a documentação dos VLAN IDs e das faixas de IP atualizada é um hábito que poupa horas de dor de cabeça em futuros diagnósticos de falhas. Revise periodicamente suas regras de firewall e mantenha o RouterOS sempre atualizado com as correções de segurança mais recentes fornecidas pelo fabricante, garantindo estabilidade e proteção contínua.