VLAN (Virtual Local Area Network) é uma forma de dividir uma rede física em múltiplas redes lógicas isoladas, sem precisar de hardware separado para cada uma. Com VLANs, você coloca servidores, usuários, câmeras e dispositivos IoT em segmentos que não se falam — mesmo passando pelo mesmo switch.
Por que não deixar tudo numa rede só?
Imagine que sua empresa tem 200 pessoas num escritório. Servidores de banco de dados, estações de trabalho dos funcionários, câmeras de segurança IP, impressoras, e o sistema de controle de acesso físico estão todos pendurados na mesma rede. Um funcionário curioso roda um scanner de rede e enxerga tudo: servidores, câmeras, impressoras, outros computadores. Uma câmera com firmware desatualizado e senha padrão é comprometida por um atacante externo — e a partir dela ele tem acesso à mesma rede dos servidores.
Esse cenário acontece em empresas de todos os tamanhos. A ausência de segmentação de rede é um dos problemas de segurança mais comuns e mais ignorados na infraestrutura corporativa.
VLANs resolvem isso sem exigir cabeamento físico separado para cada segmento.
Como VLAN funciona: o papel do 802.1Q
Na prática, VLANs funcionam com marcação de pacotes. O padrão IEEE 802.1Q define como um switch adiciona uma tag de 4 bytes em cada quadro Ethernet, identificando a qual VLAN aquele tráfego pertence. O número da VLAN (VLAN ID) vai de 1 a 4094 — o suficiente para qualquer ambiente corporativo.
Quando um dispositivo envia um pacote, o switch olha para a porta de onde ele veio e sabe em qual VLAN aquele dispositivo está configurado. O pacote é marcado com o VLAN ID correspondente e só encaminhado para portas do mesmo VLAN — a menos que haja uma regra explícita de roteamento entre VLANs.
As portas do switch têm dois modos:
- Porta de acesso (access): conectada a um dispositivo final (computador, servidor, câmera). Pertence a uma VLAN específica; o dispositivo não “sabe” que está numa VLAN.
- Porta de trunk: conectada a outros switches ou a roteadores. Carrega tráfego de múltiplas VLANs simultaneamente, com as tags 802.1Q preservadas.
O roteamento entre VLANs precisa passar por um roteador ou por um switch Layer 3 com capacidade de roteamento — o que dá controle explícito sobre quem pode falar com quem entre segmentos.
Exemplos práticos de segmentação por VLAN
Uma arquitetura típica de rede corporativa usa pelo menos quatro VLANs:
VLAN de Servidores (ex: VLAN 10): onde ficam os servidores de produção — banco de dados, ERP, aplicações internas. Acesso restrito: só usuários autorizados e sistemas que precisam se comunicar com os servidores chegam aqui. Regras de firewall entre VLANs bloqueiam acesso desnecessário.
VLAN de Usuários (ex: VLAN 20): estações de trabalho dos funcionários. Acesso à internet e aos servidores necessários para o trabalho, sem visibilidade dos outros segmentos. Se um computador de usuário for infectado por malware, o alcance lateral é contido dentro dessa VLAN.
VLAN de IoT e periféricos (ex: VLAN 30): câmeras IP, impressoras, sistemas de controle de acesso, dispositivos de videoconferência. Esses dispositivos raramente recebem atualizações de firmware e são vetores de ataque conhecidos. Isolá-los numa VLAN sem acesso à rede de servidores limita o dano potencial de um comprometimento.
VLAN de Gestão (ex: VLAN 99): interfaces de administração de switches, roteadores, servidores e outros equipamentos de infraestrutura. Acesso extremamente restrito, idealmente acessível só de estações de trabalho de administradores específicas. Essa VLAN nunca deve ser acessível de VLANs de usuários comuns.
Wi-Fi Corporativo (ex: VLAN 40) e Wi-Fi Guest (ex: VLAN 50): o Wi-Fi para convidados precisa ter acesso à internet e absolutamente nada mais — nem servidores, nem a rede de usuários corporativos. Manter guest em VLAN separada é o básico de qualquer política de segurança de rede sem fio.
VLAN vs Sub-rede: qual a diferença?
A confusão é comum. VLAN e sub-rede são conceitos diferentes que geralmente caminham juntos.
VLAN é uma construção de camada 2 (enlace de dados) — ela segmenta broadcasts e isola tráfego no nível dos switches. É uma decisão de rede local.
Sub-rede é uma divisão lógica no espaço de endereçamento IP (camada 3). Define o range de endereços IP que um grupo de dispositivos usa.
Na prática, cada VLAN tipicamente corresponde a uma sub-rede diferente. VLAN 10 usa 192.168.10.0/24; VLAN 20 usa 192.168.20.0/24. Mas são conceitos independentes: você pode ter múltiplas sub-redes numa mesma VLAN (embora seja raro) ou a mesma sub-rede espalhada por múltiplas VLANs (o que cria complexidade).
O que importa na prática: o isolamento que a VLAN provê é de camada 2. Para controlar comunicação entre VLANs, você precisa de roteamento (camada 3) — e aí entra o firewall ou ACL para decidir o que passa.
Como VLANs se encaixam em arquitetura cloud
Em cloud privada, o conceito de VLAN se traduz em redes virtuais. No CloudStack (usado na Cloud Privada Adentro), cada VPC (Virtual Private Cloud) ou rede isolada é implementada internamente com VLANs ou VXLANs sobre a infraestrutura física. O resultado é o mesmo: isolamento de tráfego entre ambientes de clientes diferentes ou entre departamentos do mesmo cliente.
Para conectar sua rede física corporativa (com suas VLANs) ao ambiente cloud, você geralmente usa uma VPN site-to-site ou link dedicado. A topologia espelha o conceito: seus segmentos on-premise mapeiam para redes isoladas no lado cloud.
| Cenário | VLAN recomendada |
|---|---|
| Servidores de produção | VLAN dedicada, acesso restrito por firewall |
| Estações de trabalho | VLAN de usuários, sem visibilidade de servidores críticos |
| Câmeras e IoT | VLAN isolada, sem acesso à rede interna |
| Wi-Fi de visitantes | VLAN com acesso só à internet |
| Administração de infra | VLAN de gestão, acesso mínimo e monitorado |
Quer revisar a segmentação de rede da sua empresa antes de migrar para cloud? Os especialistas da Adentro podem apoiar o redesenho da sua arquitetura.