Como isolar VLANs no MikroTik para proteger servidores e IoT

Por que separar dispositivos IoT e servidores no MikroTik?

Quando colocamos câmeras de segurança, lâmpadas inteligentes e servidores corporativos na mesma rede local, abrimos uma grande brecha de segurança. Dispositivos de internet das coisas (IoT) costumam ter atualizações de firmware escassas e vulnerabilidades fáceis de explorar por invasores. Para blindar o ambiente, precisamos dividir essa infraestrutura física em compartimentos isolados utilizando redes virtuais.

Na prática, isso significa criar barreiras lógicas para que um eletrodoméstico conectado à internet nunca consiga enxergar ou conversar diretamente com o banco de dados da empresa. Antes de mexer no roteador, vale lembrar que o isolamento também depende de uma boa infraestrutura física, como discutimos no guia sobre como configurar VLANs em switches para isolar rede IoT e servidores, garantindo que as tags de rede viajem intactas pelos cabos.

Criando as interfaces virtuais e o trunking no MikroTik

O primeiro passo prático no roteador MikroTik é criar as VLANs (Virtual Local Area Networks), que funcionam como divisórias invisíveis trafegando pela mesma porta física. Imagine um cano de água principal que é dividido internamente por dutos menores para separar água potável de água da chuva; a porta do roteador faz exatamente isso com os dados.

Para configurar isso no RouterOS, precisamos associar as novas redes virtuais à interface física principal que liga o roteador ao switch central, geralmente a porta ether1. Abaixo está o código executável para criar a VLAN de IoT (ID 20) e a de servidores (ID 10) usando a interface de linha de comando:

/interface vlan add name=vlan10-servidores vlan-id=10 interface=ether1
/interface vlan add name=vlan20-iot vlan-id=20 interface=ether1

Atribuindo endereços IP e configurando o entulho de rede

Com as interfaces virtuais criadas, o próximo passo é definir quem mora em cada casa, ou seja, atribuir os endereços de IP e as máscaras de sub-rede para cada VLAN. Cada faixa de IP representará um bairro diferente na nossa cidade digital, impedindo que os moradores de um bairro acessem o quintal do outro sem permissão expressa.

Para organizar isso de forma limpa, criamos o pool de endereços e vinculamos o DHCP Server, que distribui os IPs automaticamente para os aparelhos que se conectam. Veja como fazer isso diretamente no seu MikroTik através do terminal:

/ip address add address=192.168.10.1/24 interface=vlan10-servidores network=192.168.10.0
/ip address add address=192.168.20.1/24 interface=vlan20-iot network=192.168.20.0
/ip pool add name=pool-iot ranges=192.168.20.10-192.168.20.250
/ip dhcp-server add name=dhcp-iot interface=vlan20-iot address-pool=pool-iot disabled=no

Escrevendo as regras de firewall para bloquear o tráfego cruzado

A mágica da segurança acontece no firewall, que atua como o segurança na porta da boate decidindo quem entra e quem fica de fora. Por padrão, o MikroTik permite que todas as redes conversem entre si logo após a criação das interfaces, o que anula o isolamento se não intervirmos rapidamente.

Precisamos criar regras na tabela de filtro (Filter Rules) para proibir que a VLAN de IoT mande pacotes para a rede de servidores. Para debugar eventuais falhas de comunicação ou monitorar pacotes perdidos durante os testes de segurança, você pode usar técnicas semelhantes às abordadas em como monitorar tráfego de rede em portas específicas com tcpdump. Aqui estão os comandos para bloquear o acesso indesejado: Para aprofundar esses conceitos na prática em produção, confira também nossa análise técnica sobre Como testar cristal oscilador com osciloscópio na bancada.

/ip firewall filter
add chain=forward action=drop src-address=192.168.20.0/24 dst-address=192.168.10.0/24 comment='Bloqueia IoT acessando Servidores'
add chain=forward action=accept connection-state=established,related comment='Permite respostas estabelecidas'

Validando o isolamento e garantindo a operação segura

Depois de aplicar as regras de firewall, o trabalho não termina na linha de comando; é preciso testar se a barreira realmente funciona na prática. Tente disparar pings ou escanear portas a partir de um dispositivo na rede IoT em direção ao servidor de produção para confirmar que o tráfego foi descartado.

Manter o monitoramento ativo e revisar periodicamente os logs do roteador garante que nenhuma regra maliciosa seja burlada por futuras atualizações de firmware ou alterações de topologia. O isolamento de VLANs bem executado transforma uma rede vulnerável em um ambiente corporativo resiliente e seguro.