VLAN não é burocracia: por que segmentar a rede corporativa

Muitas redes corporativas crescem como uma única rede plana: computadores, impressoras, câmeras, telefones IP, servidores e o Wi-Fi de visitantes compartilhando o mesmo domínio de broadcast e a mesma faixa de endereços. Funciona até o dia em que um equipamento comprometido enxerga tudo, um loop derruba o escritório inteiro ou ninguém consegue explicar de onde vem determinado tráfego. Segmentar com VLANs não é formalidade de projeto; é uma das medidas de maior retorno para segurança e operação de uma rede.

O que é uma VLAN, em termos práticos

Uma VLAN (Virtual LAN, padronizada pelo IEEE 802.1Q) divide um switch físico, ou um conjunto de switches, em várias redes lógicas isoladas na camada 2. Cada VLAN é um domínio de broadcast separado: um equipamento em uma VLAN não recebe broadcasts nem consegue falar diretamente com equipamentos de outra VLAN.

Para que duas VLANs se comuniquem, o tráfego precisa passar por um equipamento de camada 3, normalmente um firewall ou um switch com roteamento. É exatamente esse ponto de passagem que dá valor à segmentação: ali você decide o que pode e o que não pode trafegar entre os segmentos.

Alguns conceitos que aparecem em qualquer projeto:

• Porta de acesso (access/untagged): pertence a uma única VLAN; o dispositivo conectado não sabe que existe VLAN.
• Porta tronco (trunk/tagged): transporta várias VLANs entre switches, firewall, hipervisores ou access points, identificando cada quadro com uma tag.
• VLAN nativa: a VLAN que trafega sem tag em um tronco. Deixá-la como a VLAN padrão de usuários é uma fonte comum de erros e de risco.
• SVI ou interface de VLAN: a interface de camada 3 que serve de gateway para a sub-rede da VLAN.

Por que segmentar: os ganhos reais

Contenção de incidentes

Em uma rede plana, um computador infectado pode varrer e tentar alcançar todos os outros dispositivos, incluindo servidores, câmeras e equipamentos com firmware desatualizado. Com segmentação, o movimento lateral fica limitado ao próprio segmento e ao que o firewall permite. Isso não impede o incidente, mas reduz significativamente seu alcance.

Dispositivos que você não controla

Câmeras IP, impressoras, controladores de acesso, TVs e equipamentos de automação raramente recebem atualizações com a mesma frequência que estações de trabalho. Colocá-los em VLANs próprias, sem acesso à internet ou com acesso restrito ao que realmente precisam, é uma forma prática de conviver com esse risco.

Visitantes e dispositivos pessoais

O Wi-Fi de visitantes deve ter acesso apenas à internet. Sem VLAN, a única forma de garantir isso é confiar em isolamento do access point, que nem sempre está configurado corretamente. Com VLAN e regra de firewall, a separação é explícita e verificável.

Desempenho e estabilidade

Domínios de broadcast menores significam menos tráfego desnecessário chegando a cada equipamento. Além disso, problemas de camada 2, como loops ou tempestades de broadcast, ficam restritos à VLAN afetada em vez de derrubar a rede inteira.

Operação e diagnóstico

Quando cada tipo de dispositivo tem sua faixa de endereços, fica muito mais fácil ler logs, criar regras, aplicar QoS para voz e identificar rapidamente de onde vem um tráfego anômalo. Um endereço IP passa a dizer algo sobre o equipamento.

Como pensar o plano de VLANs

O erro mais comum é criar VLANs por departamento sem pensar em requisitos de acesso. A pergunta que orienta o desenho é: quais grupos de dispositivos têm o mesmo perfil de risco e precisam do mesmo tipo de acesso?

Um ponto de partida razoável para um escritório de porte médio:

Um exemplo de plano de endereçamento correspondente, usando faixas privadas RFC 1918:

VLAN  Nome         Sub-rede          Gateway      Observação
10    GERENCIA     10.10.10.0/24     10.10.10.1   sem DHCP; IPs fixos documentados
20    SERVIDORES   10.10.20.0/24     10.10.20.1   IPs fixos; DHCP desabilitado
30    USUARIOS     10.10.30.0/23     10.10.30.1   DHCP 10.10.30.50-10.10.31.250
40    VOZ          10.10.40.0/24     10.10.40.1   DHCP com opções de telefonia
50    IOT          10.10.50.0/24     10.10.50.1   sem saída à internet por padrão
90    VISITANTES   172.16.90.0/24    172.16.90.1  isolada; só internet
999   NATIVA-NULA  (sem IP)          -            VLAN nativa dos troncos, sem uso

Note que o número da VLAN e o terceiro octeto coincidem; esse tipo de convenção simples economiza tempo em diagnóstico. A VLAN nativa dos troncos é mantida em um ID sem uso, e a VLAN 1 não é usada para tráfego de produção.

O firewall é onde a segmentação ganha sentido

Criar VLANs e liberar tudo entre elas no firewall entrega pouco além de organização. O valor vem da política entre segmentos. Algumas práticas consistentes:

• Comece pelo princípio de negar por padrão entre VLANs e libere apenas o necessário, por origem, destino e porta.
• Registre o motivo de cada regra e quem a solicitou; regras sem dono tendem a ficar para sempre.
• Restrinja o acesso à VLAN de gerência a poucas origens, de preferência via VPN administrativa com autenticação forte.
• Controle também a saída para a internet em segmentos como IoT, que raramente precisam de acesso irrestrito.
• Habilite logs para regras de bloqueio entre VLANs internas; eles mostram rapidamente dependências esquecidas e tentativas de movimento lateral.

Em ambientes virtualizados, a segmentação continua dentro do hipervisor: as máquinas virtuais devem ser associadas às VLANs corretas, e a interface de gerência do host não deve ficar na mesma rede das VMs de usuários.

Cuidados na implantação

Segmentar uma rede em produção mexe com endereços, gateways e regras de acesso. Alguns cuidados reduzem o risco:

Inventário antes de tudo

Levante quais dispositivos existem, onde estão conectados e com quem conversam. Equipamentos com IP fixo configurado manualmente são os que mais causam surpresas após a migração.

Migração por etapas

Migre um segmento por vez, começando pelos de menor impacto, como visitantes e IoT. Mantenha temporariamente regras mais amplas e restrinja depois de observar o tráfego real nos logs.

Cuidado com o acesso de gerência

Alterar VLAN de gerência ou tronco de uplink remotamente pode cortar seu próprio acesso. Tenha acesso por console ou fora de banda, ou agende reinício automático da configuração anterior caso a nova não seja confirmada. E documente o rollback antes de começar.

DHCP e serviços de suporte

Cada VLAN precisa de DHCP (ou relay), DNS e, conforme o caso, NTP e opções específicas para telefonia ou provisionamento. Esquecer o relay DHCP é uma causa clássica de "a rede nova não funciona".

Checklist de uma segmentação bem feita

• Inventário de dispositivos e fluxos de comunicação levantado.
• Plano de VLANs e sub-redes documentado, com convenção de numeração.
• VLAN 1 fora de uso para produção e VLAN nativa dos troncos definida em ID sem uso.
• Portas de acesso configuradas explicitamente; portas sem uso desabilitadas ou em VLAN isolada.
• Política de firewall entre VLANs com negação por padrão e regras justificadas.
• Acesso à gerência restrito a origens autorizadas.
• Wi-Fi de visitantes isolado e sem acesso a redes internas.
• DHCP, DNS e relay validados em cada segmento.
• Logs de bloqueio habilitados e revisados após a migração.
• Diagrama e plano de endereçamento atualizados e acessíveis à equipe.

Como a Trihelix pode ajudar

A Trihelix projeta e implementa segmentação de redes corporativas, desde o levantamento de dispositivos e fluxos até o plano de VLANs, a configuração de switches, access points e firewall e a documentação final. Planejamos a migração em etapas, com plano de retorno definido para cada janela de mudança. Se a sua rede ainda é plana ou cresceu sem padrão, podemos avaliar o cenário e propor um caminho viável. Saiba mais em Redes e conectividade ou fale com a Trihelix.