Ir para o conteúdo

Capítulo 9 – Configurar a Rede Local (LAN)

Introdução

A rede local (LAN) é a espinha dorsal de qualquer ambiente corporativo — por onde circulam os dados críticos entre usuários, servidores e dispositivos de infraestrutura.

Após concluir a instalação inicial e o acesso ao OPNsense, o próximo passo é estruturar a rede interna e suas VLANs, organizando o tráfego e estabelecendo bases sólidas para segurança e escalabilidade.

A segmentação em VLANs é uma das práticas mais importantes em redes modernas.
Ela permite aplicar políticas distintas de acesso e segurança, reduzindo riscos e otimizando o gerenciamento.
Por exemplo, impede que um visitante na rede Wi-Fi de convidados tenha o mesmo nível de acesso que um servidor corporativo.

Neste capítulo, você aprenderá a:

  • Alterar a sub-rede padrão da LAN, ajustando o endereço IP do firewall e do servidor DHCP;
  • Criar múltiplas VLANs (Servidores, Corporativo, Wi-Fi corporativo e Wi-Fi convidados);
  • Configurar cada VLAN com endereço IP e máscara adequados;
  • Ativar o serviço DHCP (Dnsmasq) para atribuição automática de IPs dentro de cada rede;
  • Criar regras iniciais de firewall para garantir conectividade básica entre as redes.

O objetivo é que, ao final deste capítulo, o ambiente esteja dividido em redes isoladas e funcionais, pronto para receber regras de segurança mais refinadas nos próximos passos.

Importante

As regras criadas neste capítulo serão propositalmente amplas para fins de teste e conectividade.
Em capítulos posteriores, aplicaremos o princípio do menor privilégio, restringindo o tráfego entre as redes.

Alterando a Sub-rede da VLAN Padrão

  1. Acesse Interfaces → LAN.
  2. Altere o endereço IP do firewall de 192.168.1.1 para 192.168.254.1/24.
  3. Clique em Save, mas ainda não em Apply.
  4. Vá em Services → Dnsmasq DNS & DHCP → DHCP ranges.
  5. Clique em Edit e ajuste o intervalo de IPs:
    • Início: 192.168.254.41
    • Fim: 192.168.254.254
  6. Clique em Save e depois em Apply.
  7. Retorne a Interfaces → LAN e clique em Apply no topo.
  8. No computador cliente, execute ipconfig /release && ipconfig /renew.
  9. Acesse novamente o firewall em https://192.168.254.1.

Criando as VLANs

Agora que a LAN foi ajustada, é hora de criar as VLANs que representarão os diferentes segmentos da rede.

  1. Vá em Interfaces → Devices → VLAN.
  2. Clique em + Add.
  3. Selecione a interface física (geralmente LAN).
  4. Preencha:
    • Name: vtnet0_vlan10
    • VLAN Tag: 10
    • Description: SERVIDORES
  5. Clique em Save.
  6. Repita para as VLANs:
    • 20 → CORPORATIVO
    • 30 → WIFI_CORP
    • 40 → WIFI_GUEST
  7. Reflita os nomes das VLANs criadas para manter a padronização (ex.: vtnet0_vlan20, vtnet0_vlan30, etc.).
  8. Clique em Apply.

Configurando as Interfaces VLAN

  1. Vá em Interfaces → Assignments.
  2. Em + Assign a new interface, registre as VLANs uma a uma.

  3. Para cada VLAN registrada:

    • Acesse Interfaces → [VLAN];
    • Marque Enable Interface;
    • Selecione Static IPv4;
    • Atribua um endereço IP conforme a tabela:
    VLAN Função Endereço IP / Máscara
    10 Servidores 192.168.10.1/24
    20 Corporativo 192.168.20.1/24
    30 Wi-Fi Corporativo 192.168.30.1/24
    40 Wi-Fi Convidado 192.168.40.1/24

  4. Clique em Save e depois em Apply.

As interfaces agora estão ativas e com endereços definidos.
O próximo passo é habilitar o serviço DHCP em cada uma delas.

Desabilitando o Serviço ISC DHCP

A partir da versão 25.7, o OPNsense utiliza o Dnsmasq DHCP & DNS como serviço DHCP padrão.
Para evitar conflitos, desative o serviço antigo caso ainda esteja habilitado:

  1. Vá em Services → ISC DHCPv4 → [LAN].
  2. Desmarque Enable.
  3. Clique em Save.

Procedimento opcional

Caso não encontre [LAN] no submenu do ISC DHCPv4, isso indica que ele já está desativado.

Habilitando o DHCP (Dnsmasq) nas VLANs

  1. Acesse Services → Dnsmasq DNS & DHCP → General.
  2. Marque Enable.
  3. Em Interface, selecione LAN e todas as VLANs.
  4. Defina Listen port = 0 para manter o Unbound como DNS principal.
  5. Clique em Apply.

  6. Em DHCP ranges, clique em + Add e configure cada interface:

    Interface Início Fim Domínio
    LAN 192.168.254.41 192.168.254.245 citrait.corp
    SERVIDORES 192.168.10.41 192.168.10.245 citrait.corp
    CORPORATIVO 192.168.20.41 192.168.20.245 citrait.corp
    WIFI_CORP 192.168.30.41 192.168.30.245 citrait.corp
    WIFI_GUEST 192.168.40.41 192.168.40.245 citrait.corp

  7. Clique em Save e depois em Apply.

Criando Regras de Firewall Iniciais

Por padrão, novas interfaces bloqueiam todo o tráfego (exceto DHCP).
Para fins de teste, criaremos regras de liberação geral em cada VLAN.

  1. Vá em Firewall → Rules → SERVIDORES.
  2. Clique em + Add.
  3. Marque Log packets handled by this rule.
  4. Descrição: Liberação Geral Servidores.
  5. Clique em Save e depois em Apply.
  6. Repita o processo para as demais VLANs.

Após aplicar, os dispositivos em qualquer VLAN devem conseguir acessar a Internet e comunicar-se entre redes, conforme as regras temporárias criadas.

Observações Importantes

  • Alteração do IP da LAN: ao mudar o endereço padrão, a sessão web será perdida temporariamente.
  • Sincronização do range DHCP com o IP da interface: sempre ajuste o intervalo após modificar a sub-rede.
  • Nomenclatura padronizada: use nomes claros como SERVIDORES, CORPORATIVO, WIFI_CORP, WIFI_GUEST.
  • Associação de VLANs: o switch físico deve estar configurado como trunk para transportar as VLANs.
  • Regras padrão: o OPNsense bloqueia todo o tráfego até que regras explícitas sejam criadas.

Boas Práticas

  • Padronize endereços: use o número da VLAN no IP (ex.: VLAN 30 → 192.168.30.1/24).
  • Documente a topologia: registre VLANs, IPs e funções em um inventário de rede.
  • Segmente por função: servidores, usuários, convidados, IoT etc.
  • Valide cada rede: teste conectividade, DNS e acesso à Internet após configurar.
  • Comece permissivo, depois restrinja: as regras criadas aqui são temporárias.
  • Planeje o crescimento: mantenha consistência para futuras VLANs e expansões.

Conclusão

A LAN e as VLANs estão configuradas e operacionais, fornecendo conectividade isolada e controlada.
Nos próximos capítulos, aplicaremos técnicas de agregação de portas para garantir alta disponibilidade da rede local com o firewall.