Como configurar VLANs em switches para isolar rede IoT e servidores

Por que segmentar sua rede com VLANs?

Imagine um escritório onde o tráfego da rede de visitantes, câmeras de segurança e servidores de dados compartilham os mesmos cabos e interruptores. Em um cenário assim, qualquer dispositivo comprometido na rede IoT pode, teoricamente, tentar acessar diretamente seu banco de dados. Uma VLAN (Virtual Local Area Network) é justamente a técnica que divide essa grande rede única em segmentos menores e isolados, funcionando como se existissem vários switches independentes rodando dentro de um único equipamento.

Na prática, isso significa que um pacote enviado por um sensor de temperatura não chega aos servidores, a menos que você configure explicitamente uma rota entre eles. Esse isolamento é vital para a segurança corporativa, diminuindo o risco de movimentação lateral de atacantes e otimizando a performance, já que cada VLAN mantém seu próprio domínio de broadcast. Caso precise de mais estabilidade em ambientes complexos, entender como usar storm control no switch é o próximo passo natural.

Entendendo a diferença entre portas Access e Trunk

A configuração de uma VLAN no switch baseia-se em dois tipos principais de portas: Access e Trunk. A porta Access é a mais comum; ela conecta o dispositivo final (como um computador, impressora ou sensor IoT) e carrega tráfego apenas de uma rede específica, sem que o dispositivo saiba que faz parte de uma VLAN. O switch remove qualquer 'etiqueta' antes de entregar o dado ao equipamento.

Já a porta Trunk funciona como uma autoestrada para várias VLANs ao mesmo tempo. Ela é usada para conectar o switch ao roteador ou a outro switch. Para que isso funcione, o switch adiciona um identificador especial em cada pacote, o padrão 802.1Q, que diz a qual rede aquele tráfego pertence. Se você estiver configurando uma rede mais robusta, pode ser útil consultar nosso guia sobre como configurar VLAN por porta em switch gerenciável para CFTV para ver aplicações específicas.

Passo a passo: Configurando VLANs no seu switch

Abaixo, apresentamos o procedimento lógico para criar a segmentação. Embora cada fabricante (como Cisco, Aruba ou Ubiquiti) tenha sua interface, a lógica de CLI segue um padrão rigoroso. Substitua os valores pelos IDs que você definiu para sua infraestrutura.

1. Crie a VLAN no banco de dados do switch: vlan 10 (para IoT) e vlan 20 (para servidores).
2. Defina a porta do dispositivo IoT como acesso: interface GigabitEthernet 0/1, switchport mode access, switchport access vlan 10.
3. Configure a porta do servidor também em modo access: interface GigabitEthernet 0/2, switchport mode access, switchport access vlan 20.
4. Configure o trunk para o roteador (o 'cérebro' que fará o tráfego transitar entre elas): interface GigabitEthernet 0/48, switchport mode trunk, switchport trunk allowed vlan 10,20.

Considerações finais sobre segurança e roteamento

Criar as VLANs no switch é apenas metade do caminho. Como os dispositivos estão em segmentos isolados, eles não se comunicarão sozinhos. É necessário que o roteador ou um switch de camada 3 realize o Inter-VLAN routing. Nesse momento, você deve aplicar regras de Firewall ou Access Control Lists (ACLs) para permitir apenas o tráfego necessário, como um servidor coletando dados de telemetria dos sensores IoT, sem permitir que o sensor inicie conexões com outros ativos da rede.

Manter a higiene de rede também envolve monitoramento contínuo. Se você notar tráfego inesperado saindo de portas que deveriam estar quietas, pode ser necessário realizar análises mais profundas, como detalhado em como monitorar tráfego de rede em portas específicas com tcpdump. A segmentação eficaz não é algo que se faz uma única vez, mas um processo de revisão constante para garantir que, caso um dispositivo seja invadido, o impacto permaneça confinado ao seu segmento original.