Quando a sua OLT depende de uma VLAN específica para acessar a Internet, siga uma abordagem ordenada:
- Crie a VLAN no MikroTik: em Interfaces/VLAN, adicione a VLAN com o ID fornecido (por exemplo, 110) na interface física ou bridge correta. Confirme se é tronco (tagged) ou acesso (untagged) conforme o desenho da rede.
- Endereçamento e Gateway: associe um IP à interface VLAN, ou configure um cliente DHCP nessa VLAN, conforme a topologia. Ajuste as rotas padrão se necessário.
- Firewall: libere o tráfego exigido para a gestão e serviços da OLT na cadeia de input; proteja o restante.
- Na plataforma da OLT: cadastre a VLAN recém-criada, informando o ID exato e uma descrição clara para facilitar a operação e troubleshooting futuro.
- Switching: valide PVID nas portas de acesso e tagging nas portas de tronco. Portas erradas com tagging incorreto são a causa mais comum de falhas.
Após salvar, a VLAN deve aparecer na lista de disponíveis e a OLT passará a ter conectividade conforme a política de rede definida.
Port Forwarding para servidor web interno (HTTP/HTTPS)
Para publicar um servidor web local nas portas 80 e 443:
- Crie regras de dstnat para TCP 80 e 443, direcionando para o IP interno do servidor. A interface de entrada deve ser a WAN.
- Ordenação de NAT: posicione as regras de dstnat antes da regra de masquerade geral para evitar conflitos.
- Firewall: adicione regras de input/forward permitindo apenas o necessário. Prefira filtrar por porta e, se possível, por origem.
- Hairpin NAT: se clientes internos acessarem o site pelo IP público, habilite hairpin para evitar loops e falhas de acesso local.
- Consistência de IP: fixe o IP do servidor (reserva DHCP ou IP estático). Mudanças de IP quebram o redirecionamento.
- Camada de aplicação: se usar um proxy reverso, valide certificados e headers X-Forwarded-Proto para HTTPS adequado.
Checklist de troubleshooting
- WireGuard: porta UDP liberada, handshakes ocorrendo, Allowed Address corretos, rotas presentes e MTU ajustada.
- VLAN: ID correto, tagging no tronco, PVID no acesso, IP na interface VLAN e rotas válidas.
- NAT/Firewall: contadores de pacotes das regras incrementando, ordem de NAT correta, testes com ferramentas de diagnóstico do MikroTik.
- ISP: confirme se a porta UDP do WireGuard não está bloqueada e se há IP público ou reencaminhamento adequado no modem.
- DNS e NTP: resoluções funcionando e horário sincronizado para evitar falhas sutis em VPN e TLS.
Erros comuns (e como evitar)
- Allowed Address excessivo no S2S (por exemplo, 0.0.0.0/0 sem necessidade) causando roteamento indevido.
- Esquecer rotas para as redes remotas do túnel, resultando em tráfego sem retorno.
- VLAN ID errado ou tagging incorreto em portas de switch, derrubando a conectividade da OLT.
- Falta de Hairpin NAT para acessos internos ao IP público do próprio serviço.
- Regras de Firewall permissivas na WAN. Sempre restrinja ao mínimo necessário.
Conclusão
Com esse passo a passo, você tem um roteiro sólido para implementar VPN WireGuard (S2S e acesso remoto), habilitar VLANs para sua OLT e publicar seu servidor web com segurança. Ao unir boas práticas de roteamento, firewall e organização de endereçamento, sua rede MikroTik ganha desempenho, previsibilidade e proteção. Pronto para colocar em prática e elevar o nível da sua infraestrutura?
Deixe uma resposta