Segmentação de VLANs para Homelab

O que Segmentação de VLANs para Homelab faz?

Como dividir uma rede doméstica em VLANs isoladas para que dispositivos IoT, convidados e seus PCs principais não possam se comunicar entre si. A atualização de segurança de maior impacto para uma rede doméstica.

Todas as regras de firewall mostradas aqui adicionam isolamento entre segmentos — elas não removem proteções existentes. Aplique as alterações em uma janela de manutenção e verifique a conectividade entre os segmentos após cada etapa antes de prosseguir.

Quando Usar

• Configurando VLANs em uma rede doméstica pela primeira vez
• Isolando dispositivos IoT (lâmpadas inteligentes, câmeras, TVs) de dispositivos confiáveis
• Criando uma rede Wi-Fi para convidados que não pode acessar dispositivos domésticos
• Explicando como as VLANs funcionam para alguém não familiarizado com o conceito
• Configurando portas trunk, portas de acesso e mapeamento SSID-para-VLAN
• Solucionando problemas de roteamento entre VLANs ou regras de firewall no pfSense/OPNsense/UniFi

Como Funciona

Sem VLANs — rede plana:
  Todos os dispositivos em 192.168.1.0/24
  Smart TV (potencial malware) → pode acessar seu NAS, PCs, tudo

Com VLANs:
  VLAN 10 — Confiável    192.168.10.0/24  (PCs, celulares, laptops)
  VLAN 20 — IoT        192.168.20.0/24  (TV inteligente, lâmpadas, câmeras)
  VLAN 30 — Servidores  192.168.30.0/24  (NAS, Pi, VMs)
  VLAN 40 — Convidados  192.168.40.0/24  (Wi-Fi para visitantes)
  VLAN 99 — Gestão      192.168.99.0/24  (interfaces web do switch/AP)

  Smart TV → bloqueada de acessar 192.168.10.0/24 e 192.168.30.0/24
  Convidados → apenas internet, não podem ver nenhum dispositivo doméstico

Modelo de Design de VLAN

VLAN  Nome          Sub-rede              Gateway            Propósito
10    confiavel     192.168.10.0/24     192.168.10.1    PCs, celulares, laptops
20    iot           192.168.20.0/24     192.168.20.1    Dispositivos domésticos inteligentes
30    servidores    192.168.30.0/24     192.168.30.1    NAS, Pi, auto-hospedado
40    convidados    192.168.40.0/24     192.168.40.1    Wi-Fi para visitantes
99    gestao        192.168.99.0/24     192.168.99.1    Interfaces web dos equipamentos de rede

Exemplos

Homelab típico com AP UniFi e switch gerenciado:

Cenário: Casa de 3 quartos, UniFi Dream Machine + switch UniFi 8 portas + 2 APs

VLAN 10 — Confiável    192.168.10.0/24   MacBook, iPhones, iPad
VLAN 20 — IoT        192.168.20.0/24   Nest thermostat, Philips Hue, Ring doorbell, smart TVs
VLAN 30 — Servidores  192.168.30.0/24   Synology NAS (192.168.30.10), Pi-hole (192.168.30.2)
VLAN 40 — Convidados  192.168.40.0/24   Wi-Fi para visitantes — apenas internet

Mapeamento SSID → VLAN:
  "Home"      → VLAN 10 (WPA2, senha forte, apenas dispositivos confiáveis)
  "IoT"       → VLAN 20 (WPA2, senha separada, impressa no roteador para configuração)
  "Guest"     → VLAN 40 (WPA2, senha simples que você pode compartilhar livremente)

Comportamento das portas do switch:
  Porta 1  → trunk para o roteador (VLANs marcadas 10,20,30,40,99)
  Porta 2  → trunk para APs (VLANs marcadas 10,20,40; o AP lida com a marcação por SSID)
  Porta 3  → acesso VLAN 30 (NAS — não marcada, sem necessidade de conhecimento de VLAN)
  Porta 4  → acesso VLAN 30 (Pi-hole — não marcada)
  Porta 5–8 → acesso VLAN 10 (estações de trabalho com fio)

Regras de firewall aplicadas (todas as regras adicionam isolamento, nenhuma remove proteções existentes):
  IoT → Confiável: BLOQUEAR
  IoT → Servidores: BLOQUEAR exceto 192.168.30.2:53 (DNS Pi-hole permitido)
  IoT → Internet: PERMITIR
  Convidados → Redes locais: BLOQUEAR
  Convidados → Internet: PERMITIR
  Confiável → todos os lugares: PERMITIR

Configuração UniFi

Criar Redes no Controlador UniFi

Configurações → Redes → Criar Nova Rede

Para cada VLAN:
  Nome: IoT
  Propósito: Corporativa  (fornece DHCP + roteamento)
  ID VLAN: 20
  Rede: 192.168.20.0/24
  IP do Gateway: 192.168.20.1
  DHCP: Ativar
  Faixa DHCP: 192.168.20.100 – 192.168.20.254

Mapear SSIDs para VLANs (UniFi)

Configurações → WiFi → Criar Novo WiFi

  Nome: IoT-Network
  Senha: <senha separada>
  Rede: IoT  ← selecione sua VLAN aqui
  # Todos os dispositivos conectados a este SSID caem na VLAN 20

  Nome: Guest
  Senha: <senha do convidado>
  Rede: Guest
  Política de Convidados: Ativar  ← isola convidados também uns dos outros

Regras de Firewall UniFi (Regras de Tráfego)

Configurações → Tráfego e Segurança → Regras de Tráfego

# Bloquear IoT de acessar a VLAN Confiável
  Ação: Bloquear
  Categoria: Rede Local
  Origem: IoT (192.168.20.0/24)
  Destino: Confiável (192.168.10.0/24)

# Permitir IoT acessar apenas a internet
  Ação: Permitir
  Origem: IoT
  Destino: Internet

# Bloquear Convidados de todas as redes locais
  Ação: Bloquear
  Origem: Guest
  Destino: Redes Locais

Configuração pfSense / OPNsense

Criar VLANs

Interfaces → Atribuições → VLANs → Adicionar

  Interface Pai: em1  (sua NIC de LAN)
  Tag VLAN: 20
  Descrição: IoT

# Repita para cada VLAN, depois atribua cada VLAN a uma interface:
Interfaces → Atribuições → Adicionar
  Selecione a VLAN que você criou → clique em Adicionar
  Ative a interface, defina o IP para o endereço do gateway (192.168.20.1/24)

DHCP para Cada VLAN

Serviços → Servidor DHCP → Selecione sua interface VLAN

  Ativar DHCP
  Faixa: 192.168.20.100 a 192.168.20.254
  Servidores DNS: 192.168.30.2  ← IP do Pi-hole se você tiver um

Regras de Firewall (pfSense/OPNsense)

# As regras são processadas de cima para baixo, a primeira correspondência vence.

# Na interface IoT (VLAN 20):
  Regra 1: Permitir IoT → DNS do Pi-hole  ← DEVE vir antes da regra de bloqueio RFC1918
    Protocolo: UDP/TCP
    Origem: rede IoT
    Destino: 192.168.30.2 porta 53
    Ação: Permitir

  Regra 2: Bloquear IoT → RFC1918 (todas as faixas IP privadas)
    Protocolo: qualquer
    Origem: rede IoT
    Destino: RFC1918  (192.168.0.0/16, 10.0.0.0/8, 172.16.0.0/12)
    Ação: Bloquear

  Regra 3: Permitir IoT → internet
    Protocolo: qualquer
    Origem: rede IoT
    Destino: qualquer
    Ação: Permitir

# Na interface Confiável (VLAN 10):
  Permitir tudo (dispositivos confiáveis podem acessar tudo)
    Origem: rede confiável
    Destino: qualquer
    Ação: Permitir

# Exceções adicionais para dispositivos IoT que precisam de serviços locais específicos:
  Inserir antes da Regra 2 (o bloqueio RFC1918):
    Protocolo: TCP
    Origem: rede IoT
    Destino: 192.168.30.x porta 8123  ← Home Assistant
    Ação: Permitir

Configuração MikroTik

# Etapa 1: Criar uma bridge com filtragem VLAN ativada
/interface bridge
add name=bridge vlan-filtering=yes

# Etapa 2: Adicionar portas físicas à bridge
# Porta trunk para roteador/uplink (marcada para todas as VLANs)
/interface bridge port
add bridge=bridge interface=ether1 frame-types=admit-only-vlan-tagged

# Porta de acesso para dispositivos confiáveis (VLAN 10 não marcada)
/interface bridge port
add bridge=bridge interface=ether2 pvid=10 frame-types=admit-only-untagged-and-priority-tagged

# Porta de acesso para dispositivos IoT (VLAN 20 não marcada)
/interface bridge port
add bridge=bridge interface=ether3 pvid=20 frame-types=admit-only-untagged-and-priority-tagged

# Etapa 3: Definir quais VLANs são permitidas em quais portas
/interface bridge vlan
add bridge=bridge tagged=ether1 untagged=ether2 vlan-ids=10
add bridge=bridge tagged=ether1 untagged=ether3 vlan-ids=20

# Etapa 4: Criar interfaces VLAN na bridge (IPs do gateway)
/interface vlan
add interface=bridge name=vlan10 vlan-id=10
add interface=bridge name=vlan20 vlan-id=20

# Etapa 5: Atribuir IPs do gateway
/ip address
add interface=vlan10 address=192.168.10.1/24
add interface=vlan20 address=192.168.20.1/24

# Etapa 6: Pools e servidores DHCP
/ip pool
add name=pool-confiável ranges=192.168.10.100-192.168.10.254
add name=pool-iot ranges=192.168.20.100-192.168.20.254

/ip dhcp-server
add interface=vlan10 address-pool=pool-confiável name=dhcp-confiável
add interface=vlan20 address-pool=pool-iot name=dhcp-iot

/ip dhcp-server network
add address=192.168.10.0/24 gateway=192.168.10.1
add address=192.168.20.0/24 gateway=192.168.20.1

# Etapa 7: Firewall — bloquear IoT de acessar a VLAN Confiável
/ip firewall filter
add chain=forward src-address=192.168.20.0/24 dst-address=192.168.10.0/24 \
    action=drop comment="Bloquear IoT para Confiável"

Portas Trunk vs Acesso no Switch

# Porta trunk: transporta múltiplas VLANs (marcadas) — conecta switch-a-switch, switch-ao-roteador, switch-ao-AP
# Porta de acesso: transporta uma VLAN (não marcada) — conecta a dispositivos finais (PC, câmera, NAS)

# Uma porta de switch gerenciado conectada ao seu roteador deve ser um trunk:
  VLANs Permitidas: 10, 20, 30, 40, 99

# Uma porta conectando a um PC deve ser uma porta de acesso:
  VLAN: 10 (confiável)
  Sem marcação — o PC não sabe nem se importa com VLANs

# Uma porta conectando a um AP deve ser um trunk:
  O AP marca o tráfego de cada SSID com o ID de VLAN correto
  VLANs Permitidas: 10, 20, 40  (quaisquer SSIDs que o AP atenda)

Anti-Padrões

# RUIM: Criar VLANs sem adicionar regras de firewall
# VLANs sem regras de firewall não fornecem segurança — o roteamento entre VLANs é aberto por padrão
# BOM: Adicione regras de bloqueio explícitas imediatamente após criar as VLANs

# RUIM: Colocar o Pi-hole na VLAN IoT
# Dispositivos IoT podem alcançá-lo, mas dispositivos confiáveis não (sem regras extras)
# BOM: Pi-hole na VLAN de Servidores com uma regra permitindo que todas as VLANs acessem a porta 53

# RUIM: VLAN nativa igual à VLAN de gestão
# Tráfego não marcado caindo na sua VLAN de gestão permite ataques de salto de VLAN
# BOM: Use uma VLAN não utilizada dedicada como nativa (ex. VLAN 999), mantenha o tráfego de gestão marcado

# RUIM: Mesma senha Wi-Fi para SSID IoT e SSID confiável
# Qualquer um que aprenda a senha pode conectar dispositivos IoT ao segmento errado

Melhores Práticas

• Comece com 4 VLANs: Confiável, IoT, Servidores, Convidados — adicione mais conforme necessário
• Coloque o Pi-hole na VLAN de Servidores (192.168.30.x)
• Adicione uma regra de firewall permitindo DNS (porta 53) de todas as VLANs para o IP do Pi-hole — antes de qualquer regra de bloqueio RFC1918
• Teste o isolamento após cada alteração de regra: da VLAN IoT, tente fazer ping em um dispositivo confiável — deve falhar
• Use uma VLAN de gestão para as interfaces web do switch e do AP e restrinja o acesso apenas à VLAN Confiável
• Documente seu design de VLAN em uma tabela (ID da VLAN, nome, sub-rede, propósito)

Habilidades Relacionadas

• homelab-network-setup
• homelab-pihole-dns
• homelab-wireguard-vpn