Como configurar VLANs em um switch MikroTik: guia passo a passo
Este guia cobre o processo geral de configuração de VLANs em um switch gerenciável MikroTik (linha CRS ou CSS), usando o RouterOS. Os nomes exatos de menu podem variar levemente entre versões do RouterOS/SwOS, mas a lógica de configuração é estável.
Antes de começar
Defina no papel, antes de tocar no equipamento:
- Quais VLANs você precisa (ex: VLAN 10 = corporativo, VLAN 20 = convidados, VLAN 99 = gerência);
- Quais portas do switch serão access (um único dispositivo final, uma única VLAN) e quais serão trunk (interligam switches/roteador, carregam múltiplas VLANs marcadas);
- Se o roteamento entre VLANs vai acontecer no próprio switch (se ele suportar L3) ou em um roteador dedicado.
Passo 1: Criar as interfaces VLAN
No RouterOS, isso é feito em Interfaces > VLAN, criando uma interface VLAN para cada VLAN ID definida no planejamento, associada à interface física ou bridge correspondente.
Passo 2: Configurar a bridge com VLAN filtering
Em switches MikroTik modernos, o caminho recomendado é usar uma bridge com VLAN filtering habilitado (em vez de VLANs por porta isoladas). Isso envolve:
- Adicionar todas as portas relevantes à mesma bridge;
- Em Bridge > VLANs, declarar quais VLANs passam (tagged) em quais portas — normalmente todas as VLANs nas portas trunk, e a VLAN untagged correspondente nas portas access;
- Definir o PVID (Port VLAN ID) de cada porta access, indicando a qual VLAN o tráfego não marcado (untagged) pertence;
- Habilitar “VLAN Filtering” na bridge — sem esse passo, as regras de VLAN ficam definidas mas não são de fato aplicadas.
Passo 3: Configurar as portas
- Portas access (ex: onde conecta um computador ou impressora): PVID definido para a VLAN correspondente, sem necessidade de tag;
- Portas trunk (ex: uplink para outro switch ou para o roteador): configuradas para aceitar/enviar tráfego tagged de todas as VLANs necessárias.
Passo 4: Testar antes de liberar em produção
Antes de migrar toda a rede, teste a configuração em uma porta isolada: conecte um dispositivo de teste na porta access de cada VLAN e confirme que ele recebe IP na sub-rede correta (se estiver usando DHCP por VLAN) e que o isolamento entre VLANs está funcionando conforme esperado nas regras de firewall.
Um erro comum nesse passo é esquecer de habilitar “VLAN Filtering” na bridge — a configuração parece correta, mas o tráfego continua passando sem segmentação real até esse passo ser concluído.
Passo 5: Firewall entre VLANs
Criar as VLANs sozinha não isola tráfego — é preciso configurar regras de firewall (no roteador ou no switch, se ele tiver capacidade L3) definindo explicitamente o que pode atravessar de uma VLAN para outra. Sem essa etapa, todas as VLANs continuam podendo se comunicar livremente através do roteamento padrão.
Perguntas frequentes
Preciso de um roteador separado para rotear entre VLANs?
Não necessariamente — switches MikroTik com capacidade L3 (como a linha CRS) podem rotear entre VLANs diretamente, mas o roteamento também pode ficar centralizado no roteador principal, dependendo da topologia.
Posso adicionar VLANs em uma rede já em produção sem interrupção?
É possível planejar a migração porta por porta para minimizar impacto, mas recomenda-se fazer isso fora do horário de maior uso e com um plano de rollback (configuração anterior salva) caso algo não funcione como esperado.
SwOS e RouterOS configuram VLAN da mesma forma?
Não exatamente — o SwOS (firmware simplificado de alguns switches MikroTik) tem uma interface mais limitada para VLANs comparado ao RouterOS completo. Verifique qual firmware seu modelo específico utiliza.
Conclusão
Configurar VLANs em um switch MikroTik é um processo direto uma vez que a lógica de bridge + VLAN filtering + PVID está clara — o erro mais comum não é técnico, é de planejamento: definir mal quais portas são trunk e quais são access antes de começar a configurar.
