Redes
VLAN na prática: como (e por que) segmentar a rede da empresa
Rede "chapada", onde tudo enxerga tudo, é cômoda até o dia em que uma câmera comprometida ou um notebook de visitante tem caminho livre até o servidor. Segmentar com VLANs resolve isso — e ainda melhora o desempenho.
Uma VLAN (rede local virtual) divide um switch físico em várias redes lógicas isoladas. Dispositivos em VLANs diferentes só conversam se o firewall ou o roteador permitir — e essa é exatamente a ideia: decidir o que pode falar com o quê, em vez de deixar tudo aberto por padrão.
Por que segmentar
- Contenção de incidente: um ransomware numa estação não alcança servidores nem câmeras se não houver rota liberada.
- Superfície de ataque menor: IoT, câmeras e impressoras (firmware que raramente é atualizado) ficam longe dos dados.
- Desempenho: broadcast fica contido em cada segmento; a rede não "congestiona junto".
- Controle de visitantes: Wi-Fi de visitante com saída só para a internet, sem enxergar a rede interna.
- Conformidade: isolar o ambiente que trata dados sensíveis facilita auditoria (LGPD, PCI).
Um conjunto mínimo de VLANs
| VLAN | O que fica aqui | Pode acessar |
|---|---|---|
| Servidores | AD, ERP, arquivos, virtualização | Nada inicia conexão para fora; só responde |
| Estações | Desktops e notebooks corporativos | Servidores (portas específicas) e internet |
| Voz / VoIP | Telefones IP | Central telefônica e internet |
| Câmeras / CFTV | Câmeras e NVR | Apenas o NVR; sem internet, salvo acesso remoto controlado |
| Visitantes | Wi-Fi de visitante | Somente internet |
| Gerência | Acesso admin a switches, firewall, APs | Restrito à TI |
O que a segmentação exige
- Switches gerenciáveis (L2 no mínimo; L3 se quiser roteamento entre VLANs no próprio switch).
- Firewall fazendo o roteamento entre VLANs com política — é ali que você escreve "estações falam com o servidor de arquivos na porta 445, e só".
- Cabeamento com patch panel identificado, para saber qual porta pertence a qual VLAN.
- APs Wi-Fi com suporte a múltiplos SSIDs mapeados para VLANs (corporativo, visitante).
Erros comuns
- Criar as VLANs e depois liberar "any-any" entre elas — separação no diagrama, não na prática.
- Deixar a VLAN de gerência acessível de qualquer ponto da rede.
- Esquecer o CFTV: câmeras na mesma rede das estações é o padrão de fábrica e o pior cenário.
- Não documentar o mapa de VLANs — a próxima mudança quebra algo sem ninguém saber por quê.
Nota da RELIC
Na maioria dos projetos que assumimos no Grande ABC, os switches já eram gerenciáveis — só nunca tinham sido configurados. Segmentar uma rede existente costuma ser questão de projeto e política de firewall, sem troca de equipamento.
Quer segmentar a sua rede?
A RELIC projeta e implanta segmentação com VLANs, switches gerenciáveis e política de firewall para empresas de São Bernardo do Campo, do Grande ABC e da Região Metropolitana de São Paulo. Veja o escopo completo do serviço de switches e VLANs.
Falar com um consultor