Isolando Duas Redes em Um Roteador: VLANs, Firewalls e ACLs Explicados

Executar duas redes completamente separadas — cada uma com acesso à internet, mas sem visibilidade dos dispositivos da outra — é um requisito comum para redes de convidados, isolamento de IoT ou separação de tráfego profissional e pessoal. Veja como alcançar isso usando um único roteador ou switch de Camada 3.

1. Defina Sub-redes Distintas

Atribua faixas de IP que não se sobreponham:

Rede A (ex.: LAN): 192.168.10.0/24 (Gateway: 192.168.10.1)
Rede B (ex.: Convidados/IoT): 192.168.20.0/24 (Gateway: 192.168.20.1)

Cada sub-rede obtém seu próprio escopo DHCP no roteador.

2. Implemente VLANs (Redes Locais Virtuais)

Este é o método mais limpo e escalável. Seu roteador/switch deve suportar marcação VLAN 802.1Q.

Crie a VLAN 10 para a Rede A e a VLAN 20 para a Rede B.
Atribua portas físicas do switch à VLAN apropriada (portas de acesso, não marcadas).
Configure as interfaces virtuais do roteador (SVIs) como gateways para cada VLAN (192.168.10.1 na VLAN 10, 192.168.20.1 na VLAN 20).
Ative o Roteamento Inter-VLAN (switching de Camada 3) para que o roteador possa passar tráfego entre VLANs e para a WAN.

3. Bloqueie Tráfego Inter-VLAN com Regras de Firewall / ACLs

Por padrão, o roteador fará roteamento entre VLANs. Você deve negar explicitamente.

Firewall Stateful (preferido): Crie uma regra na interface LAN_IN ou VLAN: Origem: sub-rede VLAN 10, Destino: sub-rede VLAN 20, Ação: Descarte. Repita no sentido inverso. Permita tráfego de retorno established/related para respostas da WAN.

ACLs Stateless (em switches de Camada 3): Aplique uma ACL de entrada em cada interface VLAN negando a sub-rede da outra VLAN. Exemplo (estilo Cisco):

ip access-list extended BLOCK_VLAN20 deny ip 192.168.10.0 0.0.0.255 192.168.20.0 0.0.0.255 permit ip any any interface vlan 10 ip access-group BLOCK_VLAN20 in

Crítico: Garanta que as regras permitam que cada VLAN alcance o IP do gateway do próprio roteador (para DHCP/DNS) e a interface WAN (internet), mas não a sub-rede da outra VLAN.

4. Configuração de NAT

Ambas as sub-redes normalmente compartilham o mesmo IP público via NAT (PAT). A regra NAT do roteador simplesmente traduz qualquer tráfego de saída de 192.168.10.0/24 ou 192.168.20.0/24 para a interface WAN. Nenhum NAT por VLAN especial é necessário, a menos que você tenha múltiplos IPs públicos.

5. Isolamento Wireless (Se Usar o Mesmo AP)

Se um único ponto de acesso serve ambas as redes via múltiplos SSIDs:

Maie cada SSID para sua VLAN (SSID "Casa" → VLAN 10, SSID "Convidados" → VLAN 20).
Ative o Isolamento de Cliente (AP Isolation) no SSID de Convidados para impedir que clientes wireless conversem entre si.

Checklist de Verificação

✅ Dispositivos na Rede A recebem 192.168.10.x, Rede B recebem 192.168.20.x.
✅ Ambos conseguem fazer ping para 8.8.8.8 e navegar na web.
✅ Dispositivo na Rede A não consegue fazer ping, acessar compartilhamentos ou serviços na Rede B (e vice-versa).
✅ Nenhum consegue acessar o IP do gateway do outro (opcional, mas recomendado).
✅ Interface de gerenciamento do roteador acessível apenas pela Rede A (VLAN admin confiável).

Esta arquitetura escala: adicione VLAN 30 para câmeras, VLAN 40 para servidores, cada uma com políticas de firewall personalizadas. O princípio permanece: segmente na Camada 2 (VLANs), roteie na Camada 3, filtre na Camada 3/4 (Firewall/ACL).