VLAN: como separar e organizar a rede da empresa

Em muitas empresas, computadores, câmeras, impressoras, celulares, visitantes, servidores e equipamentos especiais estão conectados à mesma rede. Funciona, mas cria um ambiente em que dispositivos com funções muito diferentes passam a compartilhar o mesmo espaço lógico.

Uma VLAN é uma forma de separar essa rede em grupos independentes sem precisar instalar uma infraestrutura física completamente diferente para cada um deles.

O que significa VLAN?

VLAN é a sigla para Virtual Local Area Network, ou rede local virtual. Na prática, ela permite criar várias redes lógicas usando os mesmos switches e cabeamento.

Imagine um escritório com um único switch. Fisicamente, os cabos chegam ao mesmo equipamento. Com VLANs, algumas portas podem pertencer à rede corporativa, outras à rede de câmeras e outras podem carregar várias redes até um access point ou outro switch.

Cada VLAN normalmente recebe sua própria sub-rede IP e pode ter regras específicas de acesso.

Por que não deixar tudo na mesma rede?

Colocar todos os dispositivos juntos é simples, mas reduz o controle. Um equipamento comprometido ou mal configurado passa a ter alcance maior sobre o restante do ambiente.

Além de segurança, existe uma questão de organização. Quando cada tipo de dispositivo está em um segmento conhecido, fica mais fácil aplicar políticas, identificar tráfego, resolver problemas e documentar a infraestrutura.

Exemplos de VLAN em uma empresa

Rede corporativa

Computadores, notebooks e servidores usados pela equipe podem ficar em uma VLAN principal. Esse segmento costuma ter acesso aos sistemas internos e recursos compartilhados.

Rede de visitantes

Visitantes geralmente precisam apenas de internet. Uma VLAN separada permite impedir que esses dispositivos acessem estações, servidores, câmeras ou impressoras internas.

CFTV

Câmeras e DVR/NVR podem ficar isolados. Somente as estações ou sistemas autorizados precisam acessar esse segmento.

Equipamentos industriais e IoT

Máquinas, sensores e dispositivos conectados não precisam necessariamente enxergar toda a rede corporativa. É possível liberar apenas as comunicações realmente necessárias.

Telefonia IP

Em ambientes maiores, telefones IP podem ter uma VLAN própria para facilitar organização e políticas de qualidade de serviço.

VLAN é a mesma coisa que firewall?

Não. VLAN cria separação lógica, mas quem controla a comunicação entre redes normalmente é o roteador ou firewall.

Se a empresa cria uma VLAN de câmeras e permite comunicação irrestrita dela para a rede corporativa, a separação existe tecnicamente, mas o ganho de segurança é limitado.

A combinação correta é segmentação + regras de acesso. O firewall pode permitir, por exemplo, que apenas duas estações administrativas acessem o DVR, enquanto bloqueia todas as outras.

O que é uma porta access e uma porta trunk?

Esses termos aparecem com frequência em projetos de VLAN.

Uma porta access normalmente entrega uma única VLAN para um dispositivo final. Um computador ligado nessa porta não precisa saber que existe uma VLAN.

Uma porta trunk transporta múltiplas VLANs ao mesmo tempo. Ela é usada, por exemplo, entre switches, entre switch e firewall ou para um access point que transmite vários SSIDs, cada um associado a uma rede diferente.

O Wi-Fi também pode usar VLAN?

Sim. Esse é um dos usos mais comuns.

Um access point corporativo pode transmitir “Empresa” e “Visitantes”. O primeiro SSID entra na VLAN corporativa e o segundo na VLAN de convidados. A mesma infraestrutura física entrega duas redes com políticas diferentes.

Isso é muito mais seguro do que compartilhar a senha do Wi-Fi interno com visitantes.

Quais equipamentos são necessários?

Para implementar VLAN corretamente, os componentes envolvidos precisam suportar o recurso. Normalmente isso inclui:

• firewall ou roteador com suporte a VLAN;
• switch gerenciável;
• access points compatíveis, quando houver múltiplos SSIDs segmentados;
• configuração coerente de DHCP, DNS e regras de firewall.

Um switch não gerenciável pode continuar existindo em alguns pontos, mas limita o que pode ser feito com segmentação.

VLAN melhora desempenho?

O principal objetivo é organização e controle. Dependendo do ambiente, a segmentação também reduz domínios de broadcast e pode melhorar a administração do tráfego, mas não deve ser vendida como solução automática para internet lenta.

Se a empresa tem gargalo de link, Wi-Fi mal posicionado ou switch saturado, criar VLANs não elimina esses problemas.

Quais erros são comuns?

Um projeto de VLAN pode piorar a operação se não for bem planejado. Alguns erros recorrentes são:

• criar muitas redes sem necessidade;
• não documentar os IDs das VLANs e faixas IP;
• permitir tráfego entre todas as VLANs por padrão;
• esquecer dispositivos que dependem de descoberta local;
• misturar gerenciamento dos equipamentos com acesso de usuários;
• configurar trunks e portas access de forma inconsistente;
• não testar impressão, telefonia, câmeras e sistemas depois da mudança.

Segmentação precisa acompanhar a realidade da empresa, e não apenas seguir um desenho teórico.

Quando VLAN faz sentido para uma pequena empresa?

Não existe um número mágico de usuários. Uma empresa com oito pessoas e dezenas de câmeras ou equipamentos industriais pode se beneficiar mais de VLANs do que um escritório com 20 computadores e ambiente simples.

Os principais sinais são a existência de grupos com necessidades de acesso diferentes: visitantes, CFTV, servidores, IoT, telefonia ou áreas que precisam de isolamento.

A SY Consultoria projeta e organiza redes empresariais com segmentação, firewalls, switches e Wi-Fi corporativo, sempre buscando o nível de complexidade adequado à operação.

Perguntas frequentes

VLAN exige cabeamento separado?

Não. Essa é justamente uma das vantagens: diferentes redes lógicas podem compartilhar a mesma infraestrutura física compatível.

Um computador precisa ser configurado para usar VLAN?

Na maioria dos casos, não. Se ele estiver ligado a uma porta access, recebe a rede correspondente normalmente.

Posso ter Wi-Fi corporativo e de visitantes no mesmo access point?

Sim, desde que o equipamento suporte múltiplos SSIDs associados a VLANs e a rede esteja configurada para transportar esses segmentos.

VLAN impede completamente um ataque?

Não. Ela reduz alcance e ajuda a aplicar controles, mas deve fazer parte de uma estratégia que inclui firewall, atualizações, autenticação, proteção de endpoints e boas práticas de segurança.

Leia também: Para planejar a segmentação, veja também como montar uma rede empresarial segura e organizada.