O que são VLANs e por que usá-las?

Muita gente acha que configurar uma VLAN é apenas criar um número e marcar uma porta como tagged ou untagged. Mas o problema começa quando você faz isso sem entender o caminho do tráfego. Na prática, uma VLAN mal planejada causa falha de comunicação, brecha de segurança e horas de troubleshooting.

Então, antes de abrir o Winbox, vamos entender o conceito.

O que é uma VLAN

VLAN (Virtual Local Area Network, ou rede local virtual) é uma forma de dividir uma rede física em várias redes lógicas independentes. Os equipamentos podem estar ligados no mesmo switch, mas, se estiverem em VLANs diferentes, para a rede eles estão em redes separadas.

Pense em um prédio comercial. O prédio é o mesmo, mas cada empresa tem a sua sala, com porta e chave próprias. Ninguém entra na sala do vizinho sem passar pela recepção. A VLAN é a sala, e o roteador com o firewall é a recepção que decide quem pode passar.

Tecnicamente, isso funciona com o padrão IEEE 802.1Q. Cada quadro Ethernet recebe uma etiqueta (tag) com o número da VLAN, de 1 a 4094. É assim que switches e roteadores sabem a qual rede cada pacote pertence.

Dois termos que você vai usar o tempo todo:

• Porta de acesso (untagged): porta onde fica um dispositivo final, como um computador ou uma impressora. O equipamento nem sabe que existe VLAN; quem coloca e tira a tag é o switch.
• Porta trunk (tagged): porta que transporta várias VLANs ao mesmo tempo, com as tags preservadas. É usada entre roteador e switch, entre switches ou até um access point com vários SSIDs.

Por que usar VLANs

• Segurança: a rede de visitantes não enxerga a rede administrativa. As câmeras não ficam expostas aos computadores dos usuários.
• Organização: cada setor ou tipo de dispositivo tem a sua faixa de IP, o que facilita a gestão e a documentação.
• Desempenho: cada VLAN é um domínio de broadcast separado. Menos broadcast circulando significa uma rede mais limpa.
• Controle: você aplica regras de firewall, limites de banda e prioridades por VLAN, e não por equipamento.
• Economia: você segmenta a rede sem precisar de um switch físico para cada setor.

Casos de uso comuns

• Empresa: VLANs separadas para administrativo, financeiro, visitantes, câmeras e telefonia VoIP.
• Wi-Fi: um único access point com uma rede corporativa e uma rede de visitantes, cada SSID em uma VLAN.
• Provedor de internet: VLAN de gerência para os equipamentos da rede e VLANs para separar POPs, OLTs ou grupos de clientes.
• Escritório pequeno: mesmo com poucos equipamentos, separar a rede de convidados e os dispositivos de IoT já faz uma grande diferença em segurança.

Passo a passo para configurar VLANs no MikroTik

Agora vamos para a prática. O método que vamos usar é o Bridge VLAN Filtering, o recomendado pela MikroTik no RouterOS v7. Ele trabalha com uma única bridge, centraliza as regras de VLAN em um só lugar e, nos equipamentos compatíveis, aproveita o hardware offload do chip de switch.

Pré-requisitos

• RouterOS v7 atualizado, de preferência na versão estável mais recente.
• Acesso pelo Winbox ou pelo terminal, de preferência por uma porta que não faça parte da bridge, como uma porta dedicada de gerência.
• Backup antes de qualquer alteração. Exporte a configuração e salve um backup binário.
• Janela de manutenção, se a rede estiver em produção. Configurar VLAN errado pode derrubar o acesso de todo mundo, inclusive o seu.
• Atenção ao hardware: o suporte a hardware offload com VLAN filtering depende do chip de switch. Nos switches da linha CRS3xx ele funciona muito bem; em outros modelos, o processamento pode ir para a CPU. Consulte a tabela de compatibilidade na documentação oficial da MikroTik.

/export file=backup-antes-vlan
/system backup save name=backup-antes-vlan

O cenário do exemplo

Vamos configurar um roteador MikroTik com o seguinte plano:

• ether1: WAN (internet), fora da bridge;
• ether2: trunk para um switch ou access point, levando as VLANs 10, 20 e 99 tagueadas;
• ether3: porta de acesso da VLAN 10 (administrativo);
• ether4: porta de acesso da VLAN 20 (visitantes).

Os nomes de interface e os endereços são apenas um exemplo. Adapte ao seu equipamento e confira se essas faixas não conflitam com redes que já existem no seu ambiente.

Passo 1: crie a bridge com o VLAN filtering desligado

O filtro só será ligado no final. Isso evita que você perca o acesso no meio da configuração.

/interface bridge
add name=bridge1 vlan-filtering=no comment="Bridge principal com VLANs"

Passo 2: adicione as portas e defina o PVID

O PVID (Port VLAN ID) diz em qual VLAN cai o tráfego sem tag que entra pela porta. Nas portas de acesso, ele é o número da VLAN daquele setor.

/interface bridge port
add bridge=bridge1 interface=ether2 comment="Trunk para switch/AP"
add bridge=bridge1 interface=ether3 pvid=10 comment="Acesso - Administrativo"
add bridge=bridge1 interface=ether4 pvid=20 comment="Acesso - Visitantes"

Passo 3: monte a tabela de VLANs da bridge

Aqui você diz quais portas participam de cada VLAN e de que forma. Repare que a própria bridge1 entra como tagged: isso é necessário para que o roteador (a CPU) receba o tráfego das VLANs e possa fazer o roteamento entre elas e para a internet.

/interface bridge vlan
add bridge=bridge1 vlan-ids=10 tagged=bridge1,ether2 untagged=ether3
add bridge=bridge1 vlan-ids=20 tagged=bridge1,ether2 untagged=ether4
add bridge=bridge1 vlan-ids=99 tagged=bridge1,ether2

Passo 4: crie as interfaces VLAN e os endereços IP

As interfaces VLAN são criadas sobre a bridge, e não sobre as portas físicas. Esse é um dos erros mais comuns de quem está começando.

/interface vlan
add interface=bridge1 name=vlan10-adm vlan-id=10
add interface=bridge1 name=vlan20-visitantes vlan-id=20
add interface=bridge1 name=vlan99-gerencia vlan-id=99

/ip address
add address=192.168.10.1/24 interface=vlan10-adm
add address=192.168.20.1/24 interface=vlan20-visitantes
add address=192.168.99.1/24 interface=vlan99-gerencia

Passo 5: configure o DHCP de cada VLAN

/ip pool
add name=pool-adm ranges=192.168.10.100-192.168.10.200
add name=pool-visitantes ranges=192.168.20.100-192.168.20.250

/ip dhcp-server
add name=dhcp-adm interface=vlan10-adm address-pool=pool-adm
add name=dhcp-visitantes interface=vlan20-visitantes address-pool=pool-visitantes

/ip dhcp-server network
add address=192.168.10.0/24 gateway=192.168.10.1 dns-server=192.168.10.1
add address=192.168.20.0/24 gateway=192.168.20.1 dns-server=192.168.20.1

Para usar o próprio roteador como DNS, como no exemplo, verifique se ele está habilitado para responder consultas (/ip dns set allow-remote-requests=yes) e se o firewall bloqueia DNS vindo da WAN. A VLAN de gerência normalmente usa IP fixo nos equipamentos, por isso ficou sem DHCP.

Passo 6: ajuste o tipo de quadro aceito em cada porta

Esse passo é o que deixa a configuração realmente profissional. Ele garante que a porta de acesso só aceite tráfego sem tag e que o trunk só aceite tráfego tagueado. Assim ninguém consegue “pular” de VLAN mandando um quadro com tag por uma porta de acesso.

/interface bridge port
set [find interface=ether2] frame-types=admit-only-vlan-tagged ingress-filtering=yes
set [find interface=ether3] frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes
set [find interface=ether4] frame-types=admit-only-untagged-and-priority-tagged ingress-filtering=yes

Passo 7: ligue o VLAN filtering

Antes de executar este comando, ative o Safe Mode (no terminal, Ctrl+X; no Winbox, o botão Safe Mode). Se você perder o acesso, o RouterOS desfaz a alteração automaticamente.

/interface bridge set bridge1 vlan-filtering=yes

Se você acessa o roteador por uma porta que está dentro da bridge sem VLAN, é aqui que o acesso pode cair. Por isso a recomendação de usar uma porta de gerência fora da bridge ou já estar conectado pela VLAN de gerência.

Passo 8: valide a configuração

Não adianta apenas configurar. Você precisa confirmar que está funcionando como planejado.

/interface bridge vlan print
/interface bridge port print detail
/interface bridge host print
/ip address print
/ip dhcp-server lease print

• A tabela de VLANs mostra as portas corretas como tagged e untagged?
• Os dispositivos de cada porta receberam IP da faixa certa?
• Um computador na ether3 navega e recebe IP 192.168.10.x?
• Um dispositivo na ether4 recebe IP 192.168.20.x?

Para desfazer: desligue o filtro com /interface bridge set bridge1 vlan-filtering=no ou restaure o backup feito no início.

Uma dica: ao publicar este passo a passo, vale incluir capturas de tela do Winbox nos menus Bridge > Ports, Bridge > VLANs e Interfaces > VLAN. Quem está começando costuma se localizar melhor com a imagem ao lado do comando.

Erros comuns que você deve evitar

• Ligar o VLAN filtering antes de terminar a configuração e perder o acesso ao equipamento.
• Esquecer de colocar a bridge como tagged na tabela de VLANs. Os dispositivos até se comunicam entre si, mas não chegam ao gateway.
• Criar a interface VLAN sobre a porta física (por exemplo, ether2) em vez da bridge.
• Misturar métodos antigos, como várias bridges e VLANs criadas direto nas portas, com o Bridge VLAN Filtering.
• Configurar o trunk de um lado só. As VLANs precisam estar tagueadas no roteador e também no switch ou AP do outro lado do cabo.
• Usar a VLAN 1 para tudo, inclusive para gerência.

Se você quer praticar esse tipo de configuração com acompanhamento, os treinamentos MikroTik da SIXCORE, online e presenciais, trabalham VLAN, bridge e switching em laboratório, do básico ao avançado.

Exemplos práticos de configurações de VLANs

Com a base pronta, vamos ver como essa mesma estrutura se adapta a cenários diferentes. Todos os exemplos partem da configuração do passo a passo anterior.

Cenário 1: empresa com rede de visitantes isolada

Criar a VLAN de visitantes não basta. Sem firewall, o MikroTik roteia normalmente entre as VLANs, e o visitante continua chegando à rede administrativa. O que isola de verdade é a regra de firewall.

/ip firewall filter
add chain=forward in-interface=vlan20-visitantes out-interface=ether1 action=accept comment="Visitantes: somente internet"
add chain=forward in-interface=vlan20-visitantes action=drop comment="Visitantes: bloqueia redes internas"
add chain=input in-interface=vlan20-visitantes protocol=udp dst-port=53,67 action=accept comment="Visitantes: DNS e DHCP"
add chain=input in-interface=vlan20-visitantes protocol=tcp dst-port=53 action=accept comment="Visitantes: DNS TCP"
add chain=input in-interface=vlan20-visitantes action=drop comment="Visitantes: sem acesso ao roteador"

Atenção: a ordem das regras importa. Se o seu roteador já tem regras de firewall, posicione essas antes de qualquer regra genérica de aceite (use place-before ou arraste no Winbox). Teste com um dispositivo na VLAN de visitantes: ele precisa navegar, mas não pode alcançar 192.168.10.1 nem nenhum IP da rede administrativa.

Cenário 2: pequena rede com câmeras e IoT separadas

Câmeras, TVs e dispositivos inteligentes raramente recebem atualização de segurança. Colocá-los em uma VLAN própria limita o estrago caso algum seja comprometido. Para adicionar uma VLAN 30 para câmeras na estrutura que já existe:

/interface bridge vlan
add bridge=bridge1 vlan-ids=30 tagged=bridge1,ether2

/interface vlan
add interface=bridge1 name=vlan30-cameras vlan-id=30

/ip address
add address=192.168.30.1/24 interface=vlan30-cameras

/ip firewall filter
add chain=forward in-interface=vlan10-adm out-interface=vlan30-cameras action=accept comment="ADM acessa cameras"
add chain=forward in-interface=vlan30-cameras connection-state=new action=drop comment="Cameras nao iniciam conexoes"

Assim, o administrativo consegue acessar as câmeras, mas as câmeras não iniciam conexões para nenhuma outra rede, nem para a internet. Se o seu sistema de monitoramento depende de nuvem, libere apenas os destinos necessários. Lembre-se também de configurar a VLAN 30 no switch onde as câmeras estão ligadas.

Cenário 3: access point com vários SSIDs

Esse é um dos usos mais comuns. O access point fica ligado na ether2, o trunk, e cada SSID é associado a uma VLAN: a rede corporativa na VLAN 10 e a rede de convidados na VLAN 20. A gerência do AP fica na VLAN 99.

Do lado do MikroTik, a configuração já está pronta. Do lado do AP, seja ele MikroTik, UniFi ou de outro fabricante, você precisa:

• associar cada SSID ao número de VLAN correto;
• configurar o IP de gerência do AP na VLAN 99;
• conferir se a porta do switch entre o roteador e o AP também está como trunk com essas VLANs.

Na prática, quando o Wi-Fi de visitantes “não pega IP”, o problema quase sempre está em uma VLAN que falta em algum ponto do caminho.

Cenário 4: provedor de internet

Em provedores, as VLANs organizam a rede de transporte e o atendimento aos clientes. Uma estrutura comum é:

• VLAN de gerência: rádios, switches, OLTs e demais equipamentos da rede com IP de gerência separado do tráfego de clientes;
• VLANs por POP, OLT ou região: isolam falhas e facilitam o diagnóstico;
• Servidor PPPoE sobre a VLAN: o concentrador atende os clientes de cada segmento pela interface VLAN correspondente.

/interface bridge vlan
add bridge=bridge1 vlan-ids=100 tagged=bridge1,ether2

/interface vlan
add interface=bridge1 name=vlan100-clientes vlan-id=100

/interface pppoe-server server
add interface=vlan100-clientes service-name=pppoe-clientes disabled=no

Esse é só o ponto de partida. Um concentrador PPPoE em produção também precisa de perfis, autenticação (normalmente via RADIUS), pools de endereço, IPv6 e regras de firewall bem definidas.

O que muda na prática

Quando a segmentação é bem feita, o resultado aparece no dia a dia:

• um problema em um segmento não derruba a rede inteira;
• o diagnóstico fica mais rápido, porque você sabe exatamente em qual rede está cada dispositivo;
• a rede de visitantes deixa de ser uma porta de entrada para a rede interna;
• novos setores ou serviços entram na rede sem bagunçar o que já funciona.

Dicas para otimizar sua rede com VLANs

Configurar VLAN é o começo. Manter a rede organizada, segura e fácil de diagnosticar ao longo do tempo é o que separa uma rede amadora de uma rede profissional.

Boas práticas de gestão de VLANs no MikroTik

• Planeje antes de configurar. Monte uma tabela com número da VLAN, nome, faixa de IP, gateway e onde ela passa. Uma rede profissional precisa ser planejada.
• Padronize os nomes. Algo como vlan10-adm e vlan20-visitantes deixa claro, em qualquer tela, o que cada interface faz.
• Use comentários. Portas, regras de firewall e VLANs comentadas economizam muito tempo no próximo troubleshooting, seu ou de outro profissional.
• Use uma única bridge com VLAN filtering em vez de várias bridges separadas.
• Tenha uma VLAN de gerência e não use a VLAN 1 para administrar os equipamentos.
• Documente e faça backup após cada mudança relevante. Um /export salvo fora do equipamento já resolve muita dor de cabeça.

Recomendações de segurança

• VLAN não é firewall. A segmentação só isola de verdade quando existem regras controlando o tráfego entre as VLANs.
• Restrinja o acesso ao roteador. Winbox, SSH e WebFig devem responder apenas à VLAN de gerência.
• Use frame-types e ingress-filtering em todas as portas, como no passo 6, para evitar que alguém injete tráfego com tag por uma porta de acesso.
• Desative portas que não estão em uso ou deixe-as em uma VLAN sem acesso a nada.

Recomendações de desempenho

• Confira o hardware offload. No menu Bridge > Ports, a coluna “H” indica se a porta está com offload ativo. Se não estiver, o tráfego da bridge passa pela CPU.
• Escolha o equipamento certo para cada função. Switches CRS3xx são ótimos para switching com VLAN; o roteamento entre VLANs com muito tráfego pede um roteador com CPU adequada.
• Acompanhe o uso de CPU depois de ativar as VLANs. Um aumento grande pode indicar que o offload não está funcionando como esperado.

Como monitorar e resolver problemas comuns

Quando algo não funciona, não saia trocando configuração aleatoriamente. Siga uma sequência lógica:

1. Camada física: o link está ativo? O cabo e a porta estão corretos?
2. VLAN na bridge: a VLAN existe na tabela e as portas estão como tagged ou untagged corretamente?
3. PVID e frame-types: a porta de acesso está com o PVID certo? O trunk aceita quadros tagueados?
4. Outro lado do cabo: o switch ou AP está com as mesmas VLANs configuradas?
5. Endereçamento e DHCP: o dispositivo recebeu IP da faixa certa?
6. Firewall e NAT: existe alguma regra bloqueando o tráfego ou faltando NAT para a internet?

Comandos que ajudam no diagnóstico:

/interface bridge vlan print
/interface bridge host print where vid=10
/ip dhcp-server lease print
/tool torch interface=vlan10-adm
/log print where topics~"dhcp"

Para monitoramento contínuo, ferramentas como The Dude, Zabbix e Grafana ajudam a acompanhar tráfego por VLAN, disponibilidade dos equipamentos e alertas antes que o usuário perceba o problema.

Próximo passo

VLAN é um daqueles assuntos que parecem simples até você precisar colocar em produção. Não importa o tamanho da rede: faça bem feito. Planeje, documente, valide e só depois coloque os usuários na nova estrutura.

Se você quer aprender a fazer isso com segurança, a SIXCORE oferece treinamentos MikroTik online e presenciais. No online, você estuda de onde estiver. No presencial, eu viajo pelo Brasil levando os treinamentos oficiais até os alunos, com laboratórios práticos e a prova para a certificação ao final do curso.

Conheça os treinamentos da SIXCORE e leve a sua rede para o próximo nível.