TI Ninja
O que é VLAN e quando separar uma rede em VLANs
Em um escritório, computadores do administrativo, câmeras e dispositivos de visitantes compartilham a mesma rede lógica. Separar esses grupos começa por entender quais comunicações são necessárias.
Rede plana: tudo no mesmo domínio de broadcast
Imagine um escritório em que computadores, câmeras e dispositivos de visitantes compartilham a mesma rede lógica. Quando um equipamento envia broadcast, esse tráfego alcança o domínio correspondente. Antes de separar a rede, o suporte precisa entender quem está junto e quais comunicações são necessárias.
Esse cenário é didático, não um caso de cliente. A pergunta prática é: os visitantes precisam estar no mesmo grupo dos computadores administrativos? Organizar essa resposta evita criar VLANs apenas porque existe a opção no switch. Comece pelo uso da rede, depois passe à configuração.
O que é VLAN: uma rede física, redes lógicas separadas
VLAN significa rede local virtual. Ela permite dividir uma infraestrutura de switches em grupos lógicos, em vez de depender apenas da topologia física dos switches. A documentação de um fabricante de switches descreve essa organização por função ou aplicação; aqui usamos só os conceitos.
Um domínio de broadcast por VLAN
Um broadcast de uma VLAN permanece naquele domínio. Assim, os dispositivos de um grupo não passam a compartilhar o mesmo broadcast dos demais apenas porque usam o mesmo switch físico. A configuração das portas e das ligações entre switches precisa refletir essa separação.
Na bancada, desenhe os grupos antes de abrir o painel: nome da VLAN, função e portas que pertencem a ela. Se outro técnico trocar um cabo, esse registro ajuda a perceber que a mudança física pode ter colocado o dispositivo em outra rede lógica.
Porta de acesso e porta trunk: qual a diferença?
No cenário básico, uma porta de acesso conecta um dispositivo a uma VLAN. Uma porta trunk transporta várias VLANs por uma ligação, como a conexão entre switches, usando a identificação prevista pelo padrão IEEE 802.1Q. Não basta criar o nome da VLAN e esquecer por onde seu tráfego vai passar.
O guia do fabricante diferencia associação de porta de acesso e trunk, inclusive a lista de VLANs permitidas. Os comandos e os padrões do equipamento variam: siga o manual do fabricante. Não copie uma linha de configuração encontrada para outro sistema como se fosse universal. Evite usar a VLAN 1 para dados de usuário, conforme a recomendação do guia técnico.
Cuidado: em um trunk pode existir uma VLAN nativa cujo tráfego segue sem marcação; confira a configuração dos dois lados, em vez de assumir que todo quadro sempre leva uma etiqueta.
Uma VLAN, uma sub-rede: por que costumam andar juntas?
VLAN é a separação lógica na rede comutada; sub-rede é a organização do endereçamento IP. Na prática comum, você associa uma sub-rede a cada VLAN. O próprio guia do fabricante descreve essa associação frequente, sem transformar os dois conceitos em sinônimos.
Planeje endereço de rede, máscara, gateway e faixa de distribuição de cada grupo. Use a calculadora de sub-rede para conferir limites. Um nome como “Convidados” ajuda humanos, mas não substitui a configuração IP nem determina quais acessos serão permitidos.
Como VLANs conversam: roteamento entre redes
Para a comunicação IP entre VLANs, entra um dispositivo de camada 3, como roteador ou switch com essa capacidade. O guia do fabricante afirma que o tráfego entre VLANs precisa ser roteado. Criar duas VLANs no switch não configura automaticamente esse caminho.
Antes de permitir a comunicação, escreva a necessidade: qual origem precisa acessar qual destino e para fazer o quê? No atendimento, “precisa funcionar tudo” é uma descrição insuficiente. Uma impressora compartilhada e um painel de administração podem exigir decisões diferentes.
Exemplo ilustrativo: administrativo, convidados e câmeras
Considere este laboratório com endereços privados da RFC 1918. Os números são exemplos de planejamento, não dimensionamento de uma empresa real nem valores a copiar para a rede em produção.
| Grupo | VLAN de exemplo | Sub-rede de exemplo |
|---|---|---|
| Administrativo | 10 | 192.168.10.0/24 |
| Convidados | 20 | 192.168.20.0/24 |
| Câmeras | 30 | 192.168.30.0/24 |
No exemplo, convidados não precisam alcançar o administrativo. Para câmeras, liste quais equipamentos autorizados precisam consultá-las. Transforme essa intenção em regras no dispositivo responsável pelo controle entre redes e teste os acessos permitidos e os bloqueados.
Guarde também o mapa das portas. Se um computador do administrativo receber configuração de convidados depois de mudar de mesa, a primeira pergunta será em qual porta ele entrou e a qual VLAN essa porta pertence.
DHCP em cada VLAN: servidor local ou relay
O cliente começa a descoberta DHCP por broadcast. Como roteadores não encaminham esse broadcast por padrão, um servidor em outra sub-rede exige configuração adicional, como DHCP relay. O guia de diagnóstico DHCP do fabricante descreve esse caminho.
Confira o atendimento de cada sub-rede, os parâmetros entregues e a configuração do relay conforme o fabricante. Ter um serviço DHCP funcionando no administrativo não demonstra que os convidados chegarão a ele. O artigo o que é DHCP detalha a negociação e a concessão.
Erros comuns: porta errada e trunk sem a VLAN
- VLAN criada, porta sem associação: confira onde o dispositivo entrou e qual VLAN está atribuída à porta.
- Trunk sem a VLAN permitida: verifique a lista de passagem ao longo da ligação entre switches.
- VLAN nativa diferente entre as pontas: compare os dois lados conforme o manual.
- Endereçamento incoerente: compare IP, máscara, gateway e escopo com o plano daquela VLAN.
Altere uma condição por vez e registre o resultado. Se você muda porta, endereço e regra juntos, fica difícil saber qual alteração resolveu o sintoma. Comece no ponto de conexão do cliente e acompanhe o caminho desenhado.
VLAN não é firewall
A separação de domínios ajuda a organizar a rede, mas não define sozinha toda a política de acesso. Se houver roteamento e permissões amplas entre os grupos, a divisão não substitui regras. O guia do fabricante também alerta para riscos de configuração incorreta de VLANs.
VLAN separa; quem decide o que passa entre as redes são as regras de roteamento e de firewall. Confira separação, roteamento e controle como etapas diferentes. Veja o checklist de segurança de rede para encaixar o planejamento em uma rotina de manutenção.
Próximos passos
Monte o plano do laboratório, confira as faixas na calculadora e explique como cada cliente recebe IP. Depois simule uma porta na VLAN errada e registre o diagnóstico. Use somente um ambiente próprio de estudo; siga o manual para os comandos e não reproduza a falha em uma rede de trabalho.
Perguntas frequentes
O que é VLAN?
VLAN é uma rede local virtual: uma divisão lógica de uma rede física em redes separadas, cada uma com seu próprio domínio de broadcast.
Para que serve uma VLAN?
Para separar tráfego por setor, função ou tipo de dispositivo, reduzindo broadcast desnecessário e facilitando organização e controle entre redes.
Qual a diferença entre porta de acesso e porta trunk?
No cenário básico, uma porta de acesso atende uma VLAN e uma porta trunk transporta várias VLANs, normalmente com marcação IEEE 802.1Q e possíveis exceções como a VLAN nativa.
Preciso de roteamento para duas VLANs conversarem?
Sim: VLANs diferentes são redes diferentes, então a comunicação entre elas passa por um dispositivo de camada 3 (roteador ou switch L3).
Uma VLAN equivale a uma sub-rede?
São conceitos diferentes, mas no planejamento comum cada VLAN costuma ser associada a uma sub-rede IP própria.
VLAN e VPN são a mesma coisa?
Não: VLAN separa redes dentro da infraestrutura local; VPN cria um túnel entre redes ou dispositivos por outra rede, como a internet.
Fontes oficiais
- Cisco — Configure VLAN (guia de fabricante)
- Cisco — diagnóstico DHCP (documentação de fabricante)
- RFC Editor — RFC 1918: endereços privados
Links conferidos em 24/10/2026. Guias de fabricante não definem menus universais.