VLAN e Bridge no Mikrotik para redes FTTH: como organizar o tráfego

É comum encontrar rede de provedor pequeno onde tudo trafega junto: gerência dos equipamentos, autenticação de cliente e uplink de backbone, tudo na mesma VLAN (ou pior, sem VLAN nenhuma). Funciona por um tempo, até o dia em que um broadcast storm derruba a rede inteira, ou um cliente mal-intencionado consegue "enxergar" a interface de gerência de uma OLT porque ela está na mesma rede lógica que o tráfego de navegação.

VLAN e Bridge não são a mesma coisa

Vale desfazer uma confusão comum antes de configurar qualquer coisa: Bridge agrupa interfaces físicas para que se comportem como uma única interface lógica de camada 2 (útil, por exemplo, para juntar portas de um switch com uma interface do roteador). VLAN segmenta o tráfego dentro de uma mesma infraestrutura física, criando redes lógicas isoladas que compartilham o mesmo cabo ou a mesma bridge, mas não se enxergam entre si sem uma regra explícita permitindo.

Uma segmentação básica que já resolve muita coisa

Para uma rede FTTH de provedor pequeno, uma separação mínima razoável costuma ser:

• VLAN de gerência: onde ficam os IPs de administração de OLT, Mikrotik, switches e outros equipamentos ativos — acessível só pela equipe técnica, idealmente via VPN.
• VLAN de clientes (PPPoE/IPoE): por onde trafega a autenticação e os dados dos assinantes, isolada da gerência.
• VLAN de uplink: dedicada à conexão com a operadora de trânsito ou backbone entre POPs.

Em redes GPON, é comum ainda existir uma VLAN específica por OLT ou por serviço (dados, voz, IPTV), dependendo de como o provisionamento das ONUs foi desenhado.

Como isso aparece na configuração do Mikrotik

Na prática, cada VLAN é criada como uma interface lógica em cima de uma interface física ou de uma Bridge (Interface > VLAN), recebendo um ID próprio. As regras de firewall e os pools de IP são então aplicados por VLAN, não pela interface física genérica — é isso que garante, por exemplo, que um dispositivo conectado à VLAN de clientes nunca consiga alcançar a VLAN de gerência, mesmo estando fisicamente na mesma bridge ou switch.

O erro que aparece quando a rede cresce sem planejamento

Provedores que começam pequenos e vão conectando OLT nova, switch novo e POP novo sem revisar o desenho de VLANs acabam com uma "colcha de retalhos": VLANs reaproveitadas para propósitos diferentes em pontos diferentes da rede, IDs duplicados sem querer, e ninguém mais com clareza total do desenho real. Documentar o plano de VLANs (o que cada ID representa, em qual equipamento) desde o início evita esse acúmulo silencioso de dívida técnica.

Rede organizada facilita o resto da operação

Uma rede segmentada corretamente não só é mais segura — ela também torna o monitoramento e o diagnóstico de problemas mais rápidos, porque é possível isolar exatamente onde um incidente está acontecendo. O ZISP acompanha via SNMP as interfaces de rede do Mikrotik integrado, o que fica mais eficaz quando a segmentação por VLAN já separa claramente gerência de tráfego de cliente. Para conhecer o sistema, acesse sistema.zisp.com.br.