VLANs e segmentação de rede: contendo o estrago antes dele acontecer

A maioria das redes corporativas ainda é uma coisa só. Computador do financeiro, notebook de visitante, câmera de segurança, impressora, relógio de ponto e servidor de arquivos, todos na mesma faixa de IP, todos podendo conversar com todos. Funciona — até o dia em que uma dessas máquinas é comprometida.

A partir daí, o atacante tem acesso irrestrito a tudo. Não porque ele é habilidoso, mas porque a rede foi construída assim.

Por que a rede plana é o problema

Ransomware moderno raramente entra direto no servidor. O caminho típico é outro: chega por e-mail em uma estação comum, ganha acesso, e então se move lateralmente — varre a rede procurando compartilhamentos abertos, credenciais reutilizadas e serviços vulneráveis. Em uma rede plana, essa varredura encontra tudo.

Segmentar não impede a entrada. Impede que a entrada vire desastre. É a diferença entre perder uma estação e perder a empresa.

Como dividir

Um erro comum é segmentar por departamento no organograma. O critério útil é outro: o que cada grupo precisa alcançar e qual o risco que ele representa.

A linha das câmeras merece destaque. Equipamentos de CFTV e IoT costumam rodar firmware antigo, com senha padrão e sem previsão de atualização. São, com frequência, o elo mais fraco — e quase nunca precisam de acesso à internet. Isolá-los é a segmentação com melhor retorno pelo esforço.

Criando as VLANs no FortiGate

Cada VLAN vira uma interface lógica sobre a porta física, com sua própria faixa de IP:

config system interface
    edit "vlan-financeiro"
        set vdom "root"
        set ip 192.168.20.1 255.255.255.0
        set allowaccess ping
        set device-identification enable
        set role lan
        set interface "internal"
        set vlanid 20
    next
    edit "vlan-cameras"
        set vdom "root"
        set ip 192.168.40.1 255.255.255.0
        set allowaccess ping
        set role lan
        set interface "internal"
        set vlanid 40
    next
end

No switch, a porta que liga ao firewall precisa ser tronco, transportando as VLANs marcadas; as portas dos dispositivos ficam como acesso, na VLAN correspondente.

A parte que realmente segmenta

Criar VLAN não segmenta nada sozinho. O isolamento vem das políticas de firewall entre elas. E o princípio é inverter a lógica padrão: negar tudo e liberar o necessário.

config firewall policy
    edit 0
        set name "estacoes-para-servidores"
        set srcintf "vlan-estacoes"
        set dstintf "vlan-servidores"
        set srcaddr "all"
        set dstaddr "srv-arquivos" "srv-erp"
        set action accept
        set schedule "always"
        set service "SMB" "HTTPS" "ERP-3050"
        set utm-status enable
        set ips-sensor "interno"
        set logtraffic all
    next
    edit 0
        set name "visitantes-so-internet"
        set srcintf "vlan-visitantes"
        set dstintf "wan1"
        set srcaddr "all"
        set dstaddr "all"
        set action accept
        set schedule "always"
        set service "ALL"
        set utm-status enable
        set webfilter-profile "visitantes"
        set nat enable
    next
end

Duas decisões importantes aparecem aí. A política de estações não libera a VLAN de servidores inteira — libera dois servidores em três serviços. E ela tem IPS aplicado, porque tráfego interno também precisa ser inspecionado: é justamente por ali que o movimento lateral acontece.

Já os visitantes só têm caminho para a WAN. Não existe política deles para nenhuma VLAN interna, e a ausência da regra é o que garante o isolamento.

Implantar sem parar a empresa

Segmentar uma rede em produção assusta porque uma regra faltando derruba um sistema. O caminho seguro é gradual:

1. Mapeie o que conversa com o quê. Ligue o registro de tráfego e observe por duas semanas. Você vai descobrir dependências que ninguém documentou;
2. Comece pelo mais fácil e mais valioso — visitantes, câmeras e impressoras. São segmentos com poucas dependências e alto ganho de segurança;
3. Crie as políticas em modo permissivo, liberando amplamente mas com log ligado, e observe o que realmente passa;
4. Aperte gradualmente, trocando "liberado" por serviços específicos, um segmento por vez;
5. Deixe uma regra final de negação com log. Quando algo quebrar, o registro dessa regra diz exatamente qual conexão faltou liberar.

O último item vale ouro no dia a dia: transforma "o sistema parou depois da mudança" em uma linha de log com origem, destino e porta.

Ganhos que aparecem além da segurança

• Broadcast contido — em redes grandes, tráfego de broadcast em domínio único degrada o desempenho de todos;
• Diagnóstico mais rápido — problema em um segmento não se confunde com o resto;
• Priorização por segmento — dá para garantir banda para voz e limitar o Wi-Fi de visitantes;
• Conformidade demonstrável — mostrar que a rede que trata dados sensíveis é isolada é um argumento concreto em auditoria de LGPD.

Por onde começar amanhã

Se a rede da sua empresa é plana e a ideia parece grande demais, comece por um único movimento: tire os visitantes e as câmeras da rede interna. São duas VLANs, poucas regras, quase nenhuma dependência — e elimina os dois vetores mais comuns de comprometimento inicial.

A TRIAT projeta e implanta segmentação de rede em Fortinet com esse processo gradual, mapeando as dependências reais antes de apertar qualquer regra, para que a rede fique mais segura sem parar a operação.