Segmentar uma rede corporativa com VLANs sem parar a produção
Plano de segmentação por função, ordem de execução e os erros de trunk que me custaram uma manhã.
Segmentar uma rede que já está em produção é menos sobre configuração e mais sobre sequência. A configuração é trivial; a ordem em que a aplicas é o que decide se alguém fica sem impressora às 9h da manhã.
Desenhar antes de tocar no switch
Comecei por mapear tudo o que estava na mesma /24: postos de trabalho, servidores, impressoras, câmaras, APs e um par de equipamentos industriais que ninguém sabia explicar. Só depois desse inventário é que faz sentido decidir fronteiras.
- VLAN 10 — Postos de trabalho e utilizadores de domínio
- VLAN 20 — Servidores e serviços internos
- VLAN 30 — Impressoras e dispositivos de escritório
- VLAN 40 — CCTV e IoT, sem saída para a Internet
- VLAN 99 — Gestão de equipamentos, acesso restrito
Trunks: onde tudo costuma partir
O erro clássico foi assumir a native VLAN. Um uplink com native diferente nas duas pontas dá tráfego a fluir de forma quase correta — o pior tipo de avaria, porque parece funcionar.
interface GigabitEthernet0/1
description UPLINK-CORE
switchport trunk native vlan 999
switchport trunk allowed vlan 10,20,30,40,99
switchport mode trunk
spanning-tree guard loopRegra que passei a seguir: native VLAN sempre numa VLAN morta (999) e nunca a 1.
Regras entre VLANs
No OPNsense a política é default deny e cada excepção fica documentada com o motivo. Postos falam com servidores em portas específicas, CCTV não fala com ninguém a não ser o NVR, gestão só é alcançável a partir da VLAN 99.
A migração foi feita VLAN a VLAN, fora de horas, com rollback preparado em cada passo. Quatro janelas curtas em vez de uma noite heroica.