PPPoE Server no MikroTik RouterOS, passo a passo

PPPoE não é só para provedor de internet. Dentro do MikroTik RouterOS, o PPPoE Server transforma qualquer porta Ethernet em um ponto de autenticação individual: cada dispositivo precisa de usuário e senha para entrar na rede, recebe IP fixo e um limite de banda próprio — sem tocar em VLAN, sem MAC binding e sem depender de switch gerenciado. É a forma mais direta de dar identidade a uma rede compartilhada (coworking, condomínio, hotel, laboratório) usando só o roteador que já está no rack.

Por que PPPoE em vez de VLAN ou filtro por MAC

VLAN isola segmentos, mas não identifica pessoas: qualquer um que plugar na porta certa entra. Filtro por MAC trava fácil pela troca de placa de rede ou spoofing. O PPPoE resolve os dois problemas de uma vez, porque a autenticação fica na camada de enlace, antes de qualquer IP ser distribuído:

• Sem sessão PPPoE autenticada, o cliente não recebe endereço IP nem rota — a porta física fica “muda” para tráfego direto.
• Cada usuário pode ter local-address, remote-address (IP fixo) e rate-limit próprios, cadastrados por indivíduo, não por porta.
• Revogar acesso é apagar um secret — não precisa reconfigurar switch nem VLAN.
• Funciona sobre a mesma infraestrutura Ethernet existente, sem comprar switch gerenciado.

A desvantagem é o overhead do encapsulamento PPPoE (cerca de 8 bytes por pacote, então o MTU efetivo cai para 1492) e a dependência de um roteador MikroTik fazendo esse papel — mas para redes de até algumas centenas de usuários, o ganho de controle compensa.

Pré-requisitos

Um RouterBOARD ou CHR com RouterOS 7.x, acesso via WinBox, WebFig ou terminal SSH, e uma porta Ethernet dedicada aos clientes PPPoE (não a porta de uplink para a internet). O nível de licença do equipamento já resolve a maioria dos casos: RouterBOARDs saem de fábrica com Level 4, que libera 200 túneis PPPoE simultâneos — suficiente para a imensa maioria de redes internas.

Passo a passo: configurando o PPPoE Server

1. Crie o pool de endereços que será distribuído aos clientes PPPoE:

   /ip pool add name=pool-pppoe ranges=10.10.10.2-10.10.10.254

2. Crie o perfil PPP com o IP do próprio roteador (gateway dos clientes), o pool de IPs, DNS e um limite de banda padrão:

   /ppp profile add name=perfil-pppoe local-address=10.10.10.1 \
       remote-address=pool-pppoe dns-server=1.1.1.1,8.8.8.8 \
       rate-limit=10M/10M

3. Cadastre os usuários como PPP secrets. Dá para fixar o IP de cada um e sobrescrever a banda do perfil individualmente:

   /ppp secret add name=usuario1 password=SenhaForte123! \
       service=pppoe profile=perfil-pppoe \
       remote-address=10.10.10.5
   
   /ppp secret add name=usuario2 password=OutraSenhaForte! \
       service=pppoe profile=perfil-pppoe \
       remote-address=10.10.10.6 rate-limit=5M/5M

4. Ative o servidor PPPoE na porta Ethernet voltada para os clientes (troque ether2 pela porta real do seu equipamento):

   /interface pppoe-server server add \
       service-name=rede-interna interface=ether2 \
       default-profile=perfil-pppoe one-session-per-host=yes \
       disabled=no

   O parâmetro one-session-per-host=yes impede que o mesmo MAC abra duas sessões ao mesmo tempo, o que evita duplicação de IP por reconexão automática do cliente.

5. Confirme que a porta não tem IP direto configurado. Se ether2 não estiver em nenhuma bridge nem tiver endereço IP próprio, o tráfego só passa depois da autenticação PPPoE — é essa ausência de rota “crua” que isola a rede, sem precisar de regra extra de firewall.

   /ip address print where interface=ether2

   Se aparecer algum endereço nessa porta, remova-o com /ip address remove [find interface=ether2] antes de liberar o serviço em produção.

6. Teste a partir de um cliente criando uma nova conexão PPPoE no Windows, Linux ou no próprio MikroTik cliente, usando o usuário e senha cadastrados. A sessão deve aparecer em:

   /ppp active print

Limitando banda e revogando acesso por usuário

O rate-limit aceita o formato upload/download e pode ter burst (pico temporário acima do limite) no formato completo rate/rate burst-limit/burst-limit burst-threshold/burst-threshold burst-time/burst-time. Para revisar quem está limitado a quanto:

/ppp secret print detail

Para suspender um usuário sem apagar o cadastro, basta desabilitá-lo — a sessão ativa cai na hora:

/ppp secret disable usuario2
/ppp active remove [find name=usuario2]

Perguntas frequentes

PPPoE Server derruba o desempenho da rede?
O encapsulamento reduz o MTU útil para 1492 bytes e adiciona um processamento extra por pacote. Em RouterBOARDs com CPU dedicada (séries CCR) o impacto é desprezível até centenas de sessões; em modelos de entrada, vale monitorar o uso de CPU com /system resource print sob carga.

Dá para usar o mesmo roteador como servidor e cliente PPPoE ao mesmo tempo?
Sim. É comum o roteador ser cliente PPPoE da operadora (interface WAN) e, ao mesmo tempo, servidor PPPoE para a rede interna (interface LAN) — são papéis independentes em interfaces diferentes.

Quantos usuários simultâneos o PPPoE Server aguenta?
O limite vem da licença do RouterOS: Level 4 (padrão de fábrica na maioria dos RouterBOARDs) libera 200 túneis PPPoE; Level 5 sobe para 500; Level 6 é ilimitado.

Preciso de firewall adicional para proteger a rede?
O PPPoE já isola o acesso não autenticado, mas vale complementar com uma regra de firewall bloqueando tráfego entre sessões PPPoE (isolamento de clientes), especialmente em redes de hóspedes ou coworking:
/ip firewall filter add chain=forward in-interface=<pppoe-*> out-interface=<pppoe-*> action=drop

O que acontece se eu esquecer um endereço IP configurado na porta Ethernet do PPPoE?
Qualquer dispositivo plugado nessa porta ganha acesso direto à rede sem autenticação, anulando o isolamento — por isso o passo 5 do guia é obrigatório antes de colocar o serviço em produção.

Conclusão

PPPoE Server no MikroTik entrega autenticação individual, IP fixo e controle de banda por usuário usando só o roteador que já está instalado — sem investir em switch gerenciado ou reestruturar VLANs. Para redes com dezenas ou centenas de usuários que hoje dividem a mesma porta sem controle nenhum, é o ajuste de maior custo-benefício disponível no RouterOS. O próximo passo natural é combinar os perfis PPP com o User Manager do MikroTik para relatórios de consumo por usuário.