- As VLANs segmentam a rede física em redes lógicas isoladas, reduzindo o tráfego de broadcast e melhorando o desempenho.
- O uso correto de portas de acesso, trunks e VLANs nativas é fundamental para prevenir ataques de VLAN hopping e spoofing de switch.
- O roteamento entre VLANs deve sempre ser acompanhado por ACLs ou firewalls que controlem precisamente quem pode se comunicar com quem.
- VACL, PVLAN e gerenciamento rigoroso de portas não utilizadas reforçam a segurança e o controle em redes empresariais complexas.
Se você gerencia uma rede corporativa, sabe que manter tudo funcionando de forma rápida e segura não é tarefa fácil. À medida que equipes, serviços e aplicativos crescem, transmissões, gargalos e problemas de segurança começam a surgir em todos os lugares.
Uma das ferramentas mais poderosas para organizar esse caos são as VLANs (Redes Locais Virtuais) . Bem projetadas e configuradas, elas permitem segmentar a rede, reduzir o tráfego desnecessário, isolar departamentos e proteger serviços críticos… mas, se mal implementadas, podem se tornar uma barreira de segurança ou um pesadelo administrativo.
O que exatamente é uma VLAN e por que ela é importante para a segurança?
Uma VLAN é essencialmente uma rede lógica separada que opera na mesma infraestrutura física: os mesmos switches, o mesmo cabeamento, os mesmos pontos de acesso Wi-Fi. Logicamente, os dispositivos em uma VLAN se comportam como se estivessem em uma LAN separada, mesmo que estejam localizados em andares diferentes ou em prédios diferentes.
Isso permite que um grupo de PCs, servidores, telefones IP, impressoras ou câmeras IP forme seu próprio domínio de broadcast , isolado de outros grupos. Os pacotes de broadcast e multicast permanecem dentro de sua VLAN, em vez de inundar toda a rede, melhorando o desempenho e facilitando o controle de quem pode ver quem.
Em ambientes empresariais, é comum criar VLANs para diferentes departamentos (contabilidade, engenharia, marketing) , para separar o tráfego de gerenciamento, para voz, para visitantes, para IoT ou até mesmo uma VLAN de backup dedicada. Cada uma possui suas próprias regras de roteamento, segurança e qualidade de serviço.
Além disso, as VLANs são um componente essencial das estratégias de segmentação e Zero Trust : as redes não são mais consideradas "totalmente confiáveis" e as superfícies de ataque são definidas. Uma falha ou infecção em uma VLAN não deve causar o colapso de toda a organização em um efeito dominó.
Conceitos básicos: portas de acesso, troncos e VLAN nativa
Para compreender plenamente a configuração e a segurança de VLANs, três conceitos são cruciais: portas de acesso, portas trunk e VLANs nativas . Dominar esses três conceitos facilita muito todo o resto.
Uma porta de acesso é uma porta de switch que transporta tráfego de uma única VLAN para um dispositivo final: um PC, impressora, câmera IP, telefone, etc. O tráfego sai do switch e segue para o dispositivo sem uma tag 802.1Q. Internamente, o switch sabe a qual VLAN o dispositivo pertence, mas o dispositivo não vê a tag.
Uma porta trunk é uma ligação entre dispositivos de rede (switch-switch, switch-roteador, switch-AP) através da qual várias VLANs trafegam simultaneamente . Nesse caso, os frames carregam a tag 802.1Q indicando a qual VLAN pertencem. Isso permite que as VLANs sejam estendidas por toda a topologia e que múltiplas redes lógicas passem pelo mesmo link físico.
A VLAN nativa é a VLAN usada para tráfego não etiquetado em um link 802.1Q. Cada quadro que entra em uma porta trunk sem uma etiqueta é atribuído a essa VLAN nativa. Por padrão, em muitos dispositivos, é a VLAN 1, e é aqui que os problemas de segurança começam se essa configuração não for alterada.
Arquitetura e projeto de redes com VLANs
Em redes de médio e grande porte, uma topologia de três camadas é comumente utilizada : núcleo, distribuição e acesso. Cada camada tem um papel específico, e a forma como essas camadas são combinadas com VLANs é de grande importância prática.
A camada de acesso consiste nos switches que conectam diretamente usuários e dispositivos finais. Esses switches possuem o maior número de portas de acesso e é onde a maioria das VLANs de usuário, voz, IoT e outras são definidas. É aqui que a atribuição de portas e as práticas de segurança física (prevenção de conexões de cabos não autorizadas) exigem maior atenção.
A camada de distribuição consiste em switches que agregam o tráfego de múltiplos switches de acesso . Normalmente, é o ponto onde ocorre o roteamento entre VLANs, ACLs mais refinadas são aplicadas, links de fibra óptica são terminados, links (EtherChannel) são adicionados e políticas mais avançadas (QoS, controle de tempestades, etc.) são implementadas.
A camada central abriga os links de distribuição e o gateway para a internet ou redes externas. Em redes muito grandes, o núcleo normalmente lida apenas com comutação de alta velocidade , com pouquíssimas funções adicionais, para reduzir a latência e a complexidade.
Ao projetar uma rede com VLANs, é aconselhável primeiro definir quais grupos lógicos são necessários (por função, criticidade, nível de confiança, etc.) e, em seguida, implementá-los em um esquema IP bem planejado (sub-redes, máscaras, VLSM, intervalos dinâmicos e estáticos) e em uma alocação clara de portas em cada switch.
Tipos de VLAN e usos comuns
O padrão mais difundido para etiquetar quadros em links de tronco é o IEEE 802.1Q . Ele adiciona 4 bytes ao cabeçalho Ethernet com o ID da VLAN e outros campos, permitindo que o switch saiba exatamente a qual VLAN cada quadro pertence sem precisar encapsular o quadro inteiro.
Ao configurar VLANs com 802.1Q em switches, cada porta pode ser marcada como etiquetada ( tagged) ou não etiquetada (untagged) para uma VLAN específica. Uma porta pode ser etiquetada em várias VLANs (típico de um trunk), mas não etiquetada em apenas uma delas (aquela que o dispositivo final verá se for uma porta de acesso).
Além das VLANs padrão baseadas em 802.1Q, existem outras modalidades comumente usadas em ambientes corporativos: VLANs baseadas em porta, VLANs baseadas em MAC, VLANs de gerenciamento, VLANs de controle, VLANs nativas personalizadas, VLANs híbridas e até mesmo VXLANs em data centers e ambientes de nuvem, onde milhões de redes lógicas são necessárias. Tecnologias como 802.1X e VLANs dinâmicas para alocação e segurança avançadas também devem ser consideradas.
A VLAN de gerenciamento é usada exclusivamente para acesso administrativo a switches, roteadores, pontos de acesso, firewalls e sistemas de monitoramento. Normalmente, ela possui sua própria sub-rede IP e listas de controle de acesso (ACLs) rigorosas que restringem quem pode entrar. Gerenciar dispositivos das mesmas VLANs que os usuários é uma péssima ideia.
A chamada VLAN de controle é dedicada ao tráfego de protocolos de rede internos: STP, protocolos de roteamento, CDP, LLDP, VTP, etc. Separar esse tráfego do tráfego de dados ou de gerenciamento reduz o ruído, melhora a estabilidade e permite a aplicação de medidas de segurança específicas.
VLAN 1, VLAN nativa e por que elas representam um problema de segurança.
Na maioria dos switches, a VLAN 1 é configurada como a VLAN padrão e nativa em todas as portas. Isso significa que, se não for alterada, todo o tráfego não etiquetado que entra em um trunk será roteado para a VLAN 1, e todas as portas serão consideradas parte dela.
O problema é que qualquer atacante minimamente experiente sabe disso. A VLAN 1 é um alvo principal para ataques de salto de VLAN , falsificação de switch e outros que exploram configurações padrão para se infiltrar em outras VLANs.
Em um ataque de spoofing de switch, por exemplo, o atacante conecta seu dispositivo a uma porta onde o DTP está ativo no modo dinâmico e negocia um link de tronco com o switch, obtendo acesso a várias VLANs que nunca deveriam alcançar um host.
Em um ataque de dupla marcação, duas tags 802.1Q são misturadas no mesmo quadro, aproveitando-se do fato de a VLAN nativa trafegar sem tag, para tentar saltar de uma VLAN para outra através de um trunk mal protegido.
Por todos esses motivos, as recomendações de segurança atuais são claras: não use a VLAN 1 para usuários , não a deixe como VLAN nativa em trunks, não atribua a ela um endereço IP de gerenciamento e, se possível, isole-a ou mesmo filtre-a para que não transporte tráfego de produção.
Melhores práticas para projeto e alocação de portos
Uma das decisões cruciais na configuração de VLANs é como atribuir portas do switch a cada VLAN e o que fazer com as portas não utilizadas. Parece trivial, mas tanto o desempenho quanto a segurança dependem disso.
Em portas de acesso, é uma boa prática deixar sempre apenas uma VLAN sem tag (a do usuário ou dispositivo em questão) e marcar as demais como excluídas. Isso impede que a interface "enxergue" VLANs que não lhe pertencem, mesmo que alguém altere as configurações acidentalmente.
Em enlaces de tronco, recomenda-se configurar explicitamente quais VLANs são permitidas (por exemplo, `switchport trunk allowed vlan 10, 20, 99`) em vez de repassar todas as VLANs da rede. Cada tronco deve transportar apenas as VLANs que realmente precisa.
Para portas não utilizadas, a prática mais segura é desativá-las , atribuí-las a uma VLAN "buraco negro" sem gateway ou DHCP e garantir que não estejam marcadas como portas trunk nem tenham o DTP ativado. Isso impede que alguém conecte um dispositivo e apareça repentinamente na rede de produção.
Em ambientes com um grande número de portas, é essencial documentar minuciosamente o que está conectado a cada interface , etiquetar os cabos e manter os diagramas de cabeamento atualizados. Muitos problemas de conectividade VLAN são causados simplesmente pela movimentação de cabos sem a devida atualização da documentação; um guia de cabeamento ajuda a prevenir erros.
VLANs "sem saída" e portas não utilizadas
Uma técnica simples e muito eficaz para proteger portas livres é criar uma VLAN "sem saída" , ou seja, uma VLAN sem DHCP, roteamento e serviços, e colocar nela todas as portas de acesso que não estão sendo usadas.
A ideia é que, mesmo que alguém conecte um dispositivo a uma dessas portas, esse host não receberá um endereço IP, não terá um gateway, não poderá alcançar outros dispositivos e seu tráfego permanecerá completamente isolado. É uma espécie de limbo de rede.
Em muitos ambientes, um ID reconhecível, como VLAN 777, 999 ou 4094 , é usado para essa finalidade. O switch é configurado para excluir todas as outras VLANs dessas portas, nenhuma interface de Camada 3 é definida para essa VLAN e ela não é anunciada em nenhum roteador.
Além disso, recomenda-se que o DTP seja desativado em todas as portas de acesso com o comando `switchport nonegotiate` , para que elas nunca tentem se tornar troncos automaticamente negociando com o vizinho.
VLANs para voz, dados e dispositivos especiais
Em redes com telefonia IP e tráfego de voz , é prática comum separar o tráfego de voz em uma VLAN específica, distinta da VLAN dos PCs. O motivo é duplo: requisitos de qualidade de serviço e segurança.
O tráfego de voz é altamente sensível à latência, jitter e perda de pacotes. Se misturado indiscriminadamente com downloads pesados, streaming de vídeo ou backups, as chamadas se degradam rapidamente. Separar a voz em sua VLAN permite priorizá-la com QoS e aplicar políticas mais precisas.
Além disso, os telefones IP normalmente possuem seus próprios recursos de marcação VLAN (802.1Q): eles são conectados em cascata com o PC, com a porta para a rede atuando como um tronco (voz marcada, dados não marcados) e a porta para o PC atuando como porta de acesso. Isso exige configurações de porta mais precisas para evitar vulnerabilidades de segurança.
Também é uma boa ideia separar dispositivos IoT, sistemas de automação residencial, câmeras IP, televisores, tomadas inteligentes , etc., em VLANs específicas. Esses dispositivos geralmente têm segurança deficiente e firmware mal mantido, sendo melhor mantê-los fora da mesma rede lógica que PCs de gerenciamento ou servidores críticos.
No mundo do Wi-Fi, a maioria dos pontos de acesso profissionais permite associar um SSID a cada VLAN . Isso estende a segmentação da rede cabeada para a rede sem fio: VLAN de gerenciamento, VLAN corporativa, VLAN de IoT, VLAN de convidados, cada uma com seu próprio SSID e regras.
Roteamento entre VLANs, ACLs e firewalls
Por definição, as VLANs não conseguem "enxergar" umas às outras na Camada 2. Se você deseja que dispositivos em VLANs diferentes se comuniquem, é necessário utilizar a Camada 3: roteamento entre VLANs. Isso geralmente é feito em um roteador, firewall ou switch de Camada 3.
Existem duas abordagens principais. A primeira é usar um roteador ou firewall compatível com 802.1Q conectado a uma rede de switches. O roteador cria subinterfaces (uma por VLAN), atribui endereços IP a elas e atua como gateway. O firewall , por sua vez, impõe regras detalhadas sobre quem pode se comunicar com quem.
A segunda abordagem consiste em utilizar um switch gerenciável de Camada 3 na camada de distribuição ou núcleo. Interfaces VLAN (SVIs) são criadas nesse switch, atuando como gateways para cada sub-rede. O próprio switch gerencia o roteamento interno e as ACLs correspondentes, descarregando essa tarefa do roteador de borda.
Em ambos os casos, é fundamental complementar esse roteamento com listas de controle de acesso (ACLs) ou regras de firewall rigorosas. A existência de um caminho IP entre VLANs não significa que todo o tráfego deva ser permitido. O filtro deve ser feito com base na origem, destino, portas, protocolos e direção da conexão.
Um exemplo típico: a VLAN de convidados só pode acessar a Internet, a VLAN de IoT só pode se comunicar com servidores específicos (como NTP, syslog ou um broker MQTT), a VLAN de alunos não pode acessar a VLAN de gerenciamento, a VLAN de backup só inicia conexões com o servidor de backup, etc.
Protocolos de gerenciamento de VLAN: VTP e empresa
Em grandes redes com muitos switches, criar VLANs manualmente em cada dispositivo é impraticável e propenso a erros. Por esse motivo, protocolos como o VTP (VLAN Trunking Protocol) no ecossistema Cisco permitem a distribuição centralizada da lista de VLANs.
O VTP define três modos de operação para um switch: servidor, cliente e transparente . Os servidores podem criar, renomear ou excluir VLANs e enviar essas informações para os clientes dentro do mesmo domínio. Os clientes recebem e aplicam as alterações, mas não as modificam. Os clientes transparentes não processam o banco de dados de VLANs; eles apenas retransmitem as informações.
Esses tipos de protocolos simplificam muito a vida, mas têm suas desvantagens: um erro em um switch de servidor, uma senha VTP mal gerenciada ou um switch antigo reintroduzido na rede com um banco de dados desatualizado podem destruir repentinamente a configuração de VLAN em toda a organização.
Portanto, em muitos projetos atuais, é preferível usar o VTP em modo transparente ou não usá-lo de todo, gerenciando as VLANs com ferramentas de automação (Ansible, modelos, controladores centralizados, etc.) ou com um projeto mais estático e controlado.
Segurança avançada: VACL, PVLAN e mitigação de ataques.
À medida que a rede cresce e a criticidade aumenta, as VLANs sozinhas se tornam insuficientes. Para controlar o tráfego de forma mais granular dentro de uma VLAN, podem ser utilizadas VACLs (ACLs de VLAN ou mapas de VLAN) , permitindo que o tráfego seja filtrado ou redirecionado no nível da VLAN, e não apenas em interfaces específicas.
As VACLs são configuradas definindo mapas de acesso por VLAN que usam listas de acesso IP ou MAC e especificam o que fazer com o tráfego correspondente: permitir a passagem, bloqueá-lo, enviá-lo para uma porta de monitoramento, redirecioná-lo etc. Elas são então aplicadas globalmente a uma ou mais VLANs no switch.
Para casos em que se deseja isolar hosts dentro da mesma sub-rede, existem VLANs privadas (PVLANs) . Estas começam com uma VLAN primária, que geralmente é onde o gateway está localizado, e então criam VLANs secundárias associadas de dois tipos: isoladas e comunitárias.
As VLANs secundárias isoladas permitem que cada host veja apenas o gateway, mas não outros hosts, mesmo que estejam na mesma VLAN secundária isolada. As VLANs secundárias comunitárias permitem que um grupo de hosts veja uns aos outros e o gateway, mas não outros grupos na mesma VLAN primária.
Em relação a ataques específicos, além do que já foi discutido sobre a VLAN 1 e o DTP, é crucial mitigar o salto de VLAN por meio da dupla marcação (double tagging) . Para isso, recomenda-se alterar a VLAN nativa para uma VLAN não utilizada pelos hosts, remover a VLAN nativa dos trunks, se possível, desabilitar o DTP, definir explicitamente as portas como de acesso ou trunk e usar comandos para garantir que a VLAN nativa esteja sempre marcada (tagged), descartando o tráfego não marcado (untagged).
Diagnóstico e manutenção de redes com VLANs
Configurar uma rede com VLANs é apenas metade do trabalho; a outra metade é mantê-la e solucionar problemas sem enlouquecer. Problemas típicos de conectividade em VLANs geralmente têm causas bastante comuns. Para guias e procedimentos práticos, consulte recursos sobre solução de problemas de rede.
Por um lado, existem erros físicos: cabos movidos de uma porta para outra sem atualizar a documentação, portas configuradas como acesso onde deveria haver um trunk, ou vice-versa, links redundantes mal definidos que terminam em loops se o STP não estiver configurado corretamente.
Por outro lado, existem falhas lógicas: VLANs criadas em alguns switches, mas não em outros, listas de VLANs permitidas em trunks que estão configuradas incorretamente , intervalos DHCP que não correspondem às máscaras ou gateways que estão configurados incorretamente nos dispositivos finais.
As principais ferramentas de diagnóstico são os comandos usuais: show vlan, show interfaces trunk, show spanning-tree, show ip interface brief, ping, traceroute , etc. Combinar esses comandos com capturas de tráfego em portas específicas e um bom sistema de monitoramento ajuda bastante.
É recomendável também revisar periodicamente as ACLs, regras de firewall, PVLANs, VACLs e configurações de gerenciamento para garantir que nenhuma lacuna tenha sido deixada após alterações, expansões ou migrações do projeto.
Documentação clara (esquemas de VLAN, intervalos de IP, atribuições de portas, descrição das políticas de acesso entre VLANs) e registro rigoroso de alterações são quase tão importantes quanto os próprios comandos de configuração.
Com segmentação bem planejada, VLANs devidamente rotuladas, gerenciamento prudente de VLANs nativas, roteamento entre VLANs protegido por ACLs e hábitos de manutenção consistentes, uma rede corporativa pode obter um salto considerável em segurança, desempenho e controle sem a necessidade de reconstruir toda a infraestrutura física.
