Como configurar VLANs e roteamento inter-VLAN no switch

Por que segmentar sua rede corporativa com VLANs

Quando uma rede de computadores cresce além de meia dúzia de equipamentos, manter tudo no mesmo espaço físico e lógico passa a ser um risco operacional severo. Na prática, isso significa que qualquer lâmpada inteligente, câmera de segurança ou impressora barata conecta-se ao mesmo canal onde circulam dados financeiros sigilosos. Para resolver esse problema de segurança, utilizamos as VLANs, que são redes virtuais capazes de fatiar um único switch físico em vários compartimentos isolados logicamente. Em vez de comprar novos cabos e equipamentos para cada departamento, o administrador emite comandos para que portas específicas do switch pertençam apenas ao seu próprio universo virtual, bloqueando qualquer conversa direta não autorizada entre elas. Esse isolamento é a base de uma arquitetura de rede segura para serviços críticos, garantindo que o tráfego de visitantes ou de dispositivos IoT nunca colida com os servidores principais da empresa.

O perigo silencioso dos dispositivos IoT na rede

Dispositivos de Internet das Coisas (IoT) tornaram-se o calcanhar de Aquiles de muitas corporações modernas. Câmeras IP baratas, termostatos e assistentes de voz rodam sistemas operacionais simplificados, muitas vezes repletos de falhas de segurança conhecidas e sem atualizações periódicas de firmware por parte dos fabricantes. Na prática, se um invasor descobre uma brecha em uma lâmpada inteligente conectada à rede principal, ele ganha passe livre para varrer todos os computadores da mesa ao lado, roubar senhas e sequestrar arquivos. Ao isolar esses dispositivos em uma VLAN específica, criamos uma barreira intransponível na camada de enlace. Mesmo que o equipamento IoT seja totalmente comprometido, ele permanece confinado em uma ilha digital sem rotas diretas para o restante da infraestrutura empresarial, mitigando danos catastróficos.

Entendendo portas Access e Trunk no switch gerenciável

Para fazer essa mágica da segmentação acontecer, precisamos dominar os dois tipos fundamentais de portas em um switch gerenciável: a porta de acesso (Access) e a porta de tronco (Trunk). Uma porta Access é aquela onde conectamos os dispositivos finais, como computadores e impressoras. Ela remove qualquer etiqueta de identificação dos pacotes que saem e adiciona uma tag padrão para tudo o que entra, tratando o equipamento final como se estivesse sozinho na rede. Já a porta Trunk é a autoestrada que interliga switches diferentes ou conecta o switch a um roteador central. Nela, os pacotes trafegam acompanhados de uma etiqueta colorida (conforme o padrão IEEE 802.1Q), indicando exatamente a qual VLAN cada dado pertence. Assim, um único cabo de rede entre dois switches consegue transportar dezenas de VLANs diferentes sem misturar os fluxos de informação, otimizando custos e simplificando a passagem dos cabos pelas canaletas.

Como habilitar o roteamento inter-VLAN com segurança

Como o próprio nome diz, as VLANs isolam as redes de tal forma que os computadores de uma VLAN não conseguem enxergar os computadores de outra, o que é ótimo para a segurança, mas péssimo se um funcionário precisar acessar o servidor de arquivos. Para permitir que essas ilhas troquem dados de forma controlada, precisamos ativar o roteamento inter-VLAN. Na prática, isso significa colocar um porteiro inteligente entre as redes — que pode ser um roteador dedicado ou um switch de Camada 3 com recursos avançados. Quando o computador da VLAN 10 deseja falar com o servidor na VLAN 20, o pacote de dados viaja até esse roteador central. É nesse exato ponto de trânsito que aplicamos as regras de controle de acesso, decidindo quem pode falar com quem com base em endereços IP, portas de serviço e protocolos autorizados.

Implementando regras de firewall em Camada 2 e Camada 3

A segurança de uma rede segmentada não depende apenas do isolamento físico ou virtual, mas principalmente das políticas de tráfego aplicadas nas camadas 2 e 3 do modelo OSI. As regras de Camada 2 operam com base nos endereços físicos (MAC) das placas de rede, bloqueando conexões no nível do hardware antes mesmo que o protocolo IP seja processado. Já as regras de Camada 3 funcionam como listas de controle de acesso (ACLs) no roteador, inspecionando pacotes IP para barrar tráfego indesejado entre sub-redes. Na prática, podemos configurar uma regra que permita aos computadores da diretoria acessarem a impressora da VLAN de IoT, mas proíba terminantemente que a VLAN de IoT inicie qualquer conexão para dentro da rede administrativa. Isso transforma o firewall em um filtro cirúrgico, liberando apenas o que é estritamente necessário para o funcionamento do negócio e bloqueando o restante por padrão.

Passo a passo básico para configurar VLANs no switch

Para colocar a mão na massa em um switch gerenciável padrão de mercado, o procedimento inicial exige acesso via linha de comando (CLI) ou interface web. Abaixo, detalhamos os comandos fundamentais para criar a VLAN 10 (Corporativa) e a VLAN 20 (IoT), configurar as portas e definir uma porta trunk. Lembre-se de adaptar os números das interfaces conforme o modelo do seu equipamento. Execute os comandos abaixo com cuidado para não perder o acesso remoto ao switch durante o processo. Para complementar essa implementação em produção, vale conferir também nossas análises técnicas sobre Disco lento no Linux? Como achar gargalos de IOPS e latência e Por que usar Row-Level Security no PostgreSQL para isolar clientes.

1. Acesse o switch via cabo console ou SSH e entre no modo de configuração global digitando o comando de inicialização.
2. Crie as VLANs desejadas no banco de dados do switch e atribua nomes descritivos para facilitar a identificação futura.
3. Configure as portas de acesso dos dispositivos finais associando-as à VLAN correta e defina a porta de enlace trunk para interligação com o roteador.

enable
configure terminal
vlan 10
name Corporativa
vlan 20
name IoT
interface gigabitethernet 0/1
switchport mode access
switchport access vlan 10
interface gigabitethernet 0/2
switchport mode access
switchport access vlan 20
interface gigabitethernet 0/24
switchport mode trunk
end
write memory

Considerações finais sobre resiliência e manutenção da rede

Configurar VLANs e roteamento inter-VLAN em um switch gerenciável é um divisor de águas na maturidade operacional de qualquer infraestrutura de TI, seja em uma pequena empresa ou em um ambiente de homelab avançado. Manter a documentação da topologia atualizada e revisar periodicamente as regras de firewall garante que alterações futuras não abram brechas indesejadas. Com o isolamento adequado de dispositivos IoT e o controle rigoroso de tráfego nas camadas inferiores, você protege dados sensíveis contra ameaças externas e internas, assegurando que a tecnologia trabalhe a favor da produtividade e da tranquilidade do negócio.