Uma VLAN de gerenciamento de switch sentada na mesma rede plana que sua tomada inteligente é um dos erros de rede doméstica mais comuns — e o mais explorável. Depois que um dispositivo IoT é comprometido, esse comprometimento se torna movimento lateral para seu laptop de trabalho, seu NAS e seu telefone. Segmentar sua rede doméstica em VLAN (isolando o tráfego de IoT, convidados, trabalho e gerenciamento) é a atualização de segurança mais barata que você pode dar a si mesmo. Esses sete aplicativos para segmentação VLAN de rede doméstica no desktop são o conjunto de ferramentas.

As opções abrangem a pilha roteador-firewall (onde residem as regras), as ferramentas de monitoramento de rede (para que você possa ver se está funcionando) e as ferramentas de documentação (para que você se lembre do que fez).

O que procurar em um kit de ferramentas de segmentação VLAN

Comparação rápida

AplicativoMelhor paraPlano gratuitoPreço inicialPlataformas
pfSense Community EditionRoteador/firewall de código abertoSim, totalmenteGratuitoPC x86, virtual
OPNsenseFork pfSense de código abertoSim, totalmenteGratuitoPC x86, virtual
UniFi NetworkMelhor UX para configuração VLANSim (com hardware)Software gratuito, hardware variaCliente Web/Mac/Win/Linux
OpenWrtReutilize roteadores de consumidor antigosSim, totalmenteGratuitoRoteadores compatíveis
WiresharkCaptura e análise de pacotesSim, totalmenteGratuitoWin/Mac/Linux
TailscaleConecte VLAN isoladasSim (Pessoal)Cerca de $5/usuário/mês (Premium)Win/Mac/Linux/iOS/Android
ZabbixMonitore tráfego por VLANSim (código aberto)GratuitoServidor Linux
NetBoxDocumente alocações IP/VLANSim (código aberto)GratuitoServidor Linux

Os aplicativos

1. pfSense Community Edition, a base

pfSense Community Edition é o roteador/firewall baseado em FreeBSD de código aberto que executa a maioria das redes domésticas que vale a pena mencionar. A versão CE é gratuita, repleta de recursos e tem VLAN em tudo: interfaces marcadas, regras de firewall por VLAN, escopos DHCP por VLAN, DNS por VLAN.

O assistente de configuração o guia através da primeira VLAN com clareza. A interface web é desatualizada, mas cada recurso que você precisa está lá. Os aparelhos comerciais mantidos pela Netgate começam em torno de $200, mas a maioria dos usuários domésticos executa pfSense em um mini-PC Protectli ou em um PC comercial recuperado.

Onde fica aquém : A interface é de 2014 e parece assim. O ecossistema de pacotes está encolhendo em comparação com OPNsense. As mudanças de licenciamento recentes da Netgate em torno do CE deixaram alguns membros da comunidade nervosos.

Preços:

Plataformas: PC x86, máquinas virtuais, aparelhos Netgate.

Baixar: pfSense Community Edition em pfsense.org

Conclusão: Escolha isto se você quer o roteador/firewall doméstico mais testado em batalha e pode tolerar uma interface da era 2014.

2. OPNsense, o fork moderno

OPNsense ramificou de pfSense em 2015 e a lacuna se ampliou desde então. A interface é mais limpa, o ritmo de lançamento é mais rápido e o ecossistema de pacotes agora supera o pfSense. A configuração VLAN é a área onde OPNsense lidera mais claramente: o assistente de interface e regras é um dos mais limpos em qualquer roteador/firewall.

O sistema de plugins torna a adição de recursos (Wazuh, CrowdSec, Wireguard, AdGuard) quase trivial. A Business Edition da Deciso adiciona GeoIP e outros recursos corporativos, mas a Community Edition tem tudo que um usuário doméstico precisa.

Onde fica aquém : Alguns pacotes pfSense não têm equivalentes no OPNsense. A responsividade da interface web pode ficar para trás em hardware de nível baixo (menos de 2 GB de RAM). A documentação é mais fina do que o pfSense.

Preços:

Plataformas: PC x86, máquinas virtuais, aparelhos Deciso.

Baixar: OPNsense em opnsense.org

Conclusão: Escolha isto se você quer a UX de configuração VLAN mais limpa no espaço do roteador de código aberto.

3. UniFi Network, a melhor UX

UniFi Network é o gerenciamento web e aplicativo da Ubiquiti para seu hardware. Se você comprar um gateway UniFi e switches, a configuração VLAN é ponto e clique na interface web: crie uma rede, escolha um ID de VLAN, anexe pontos de acesso, arraste regras. A visualização do Site Manager mostra quais dispositivos estão em qual VLAN em um relance.

O problema é o bloqueio de hardware. UniFi Network funciona apenas com hardware UniFi. Uma configuração inicial (Dream Machine + alguns switches e APs) custa de $600 a $1000. Dentro desse ecossistema, a experiência é a melhor no espaço de rede doméstica.

Onde fica aquém : Bloqueio de hardware. O software tem interrupções periódicas quando o ciclo de atualização da Ubiquiti envia bugs. As regras de firewall avançadas requerem CLI, que a maioria dos usuários não vai tocar.

Preços:

Plataformas: Hardware UniFi necessário. A interface de gerenciamento é baseada em navegador e também possui aplicativos Win/Mac/Linux/iOS/Android.

Baixar: UniFi Network em ui.com

Conclusão: Escolha isto se você quer a melhor UX de rede doméstica e não se importa com o custo do hardware.

4. OpenWrt, reutilize roteadores antigos

OpenWrt entra nos roteadores de consumidor e os transforma em caixas Linux com VLAN em tudo. Se você tiver um Archer TP-Link ou um Linksys WRT não utilizado, o OpenWrt pode dar-lhe uma segunda vida como um switch com suporte a VLAN para um segmento de laboratório isolado.

A interface web LuCI trata a configuração VLAN com clareza. A lista de roteadores suportados pela comunidade é enorme. O problema é que o flashing nem sempre é trivial — alguns roteadores podem ficar inúteis se forem marcados incorretamente e nem todo hardware de consumidor oferece suporte ao OpenWrt.

Onde fica aquém : A compatibilidade de hardware é acerta ou erra. O processo de flashing pode danificar um roteador com a sequência errada. O CPU e a RAM em roteadores de consumidor mais antigos limitam quais recursos você pode executar.

Preços:

Plataformas: Roteadores compatíveis (verifique openwrt.org/toh).

Baixar: OpenWrt em openwrt.org

Conclusão: Escolha isto se você tiver um roteador antigo que oferece suporte ao OpenWrt e deseja reutilizá-lo como uma ponte com suporte a VLAN.

5. Wireshark, captura de pacotes

Wireshark é o analisador de pacotes que lhe diz se a sua segmentação VLAN está realmente funcionando. Configure uma porta espelho em seu switch gerenciado, aponte o Wireshark para ele e verifique se o tráfego VLAN não está vazando entre segmentos. Esta é a etapa “confiar, mas verificar” que a maioria dos usuários domésticos pula.

Os lançamentos da versão 4.x melhoraram a cobertura do decodificador para protocolos modernos (HTTP/3, Tailscale, WireGuard) e a nova visualização Conversas torna a contabilidade do tráfego por VLAN muito mais fácil.

Onde fica aquém : A curva de aprendizado é real. Wireshark é a ferramenta para pessoas que sabem o que estão procurando; os novos usuários podem passar uma hora sem encontrar o que precisam.

Preços:

Plataformas: Windows, macOS, Linux.

Baixar: Wireshark em wireshark.org

Conclusão: Escolha isto para a etapa de verificação “minha segmentação VLAN realmente funcionou?”. Cada rede doméstica com VLAN se beneficia dela.

6. Tailscale, conecte VLAN isoladas

Tailscale resolve o problema “Segmentei meu IoT para uma VLAN que não pode acessar a internet, mas agora meu Home Assistant na minha rede principal não pode acessar o dispositivo”. A VPN mesh do Tailscale fornece a cada dispositivo um IP estável entre VLAN e internet, para que você possa rotear tráfego específico através de sua segmentação sem soltá-lo.

O recurso MagicDNS permite que você alcance homeassistant.tail-scale.ts.net de qualquer lugar, em qualquer dispositivo, sem fazer furos no seu firewall. As melhorias recentes do ACL adicionaram regras conscientes de VLAN por dispositivo, que antes eram apenas CLI.

Onde fica aquém : O nível gratuito é generoso, mas limitado a 100 dispositivos, que uma casa inteligente pode atingir. Alguns roteadores (particularmente de nível corporativo) precisam de configuração adicional para permitir UDP do Tailscale. O plano gratuito oferece suporte a um proprietário do Tailnet, que é bom para uso individual, mas limita configurações familiares.

Preços:

Plataformas: Windows, macOS, Linux, iOS, Android, mais suporte do SO do roteador.

Baixar: Tailscale em tailscale.com

Conclusão: Escolha isto para conectar acesso entre VLAN sem enfraqucer suas regras de firewall.

7. Zabbix, monitoramento por VLAN

Zabbix monitora interfaces de rede, incluindo subinterfaces VLAN individuais, com resolução por segundo. Depois de ter segmentação VLAN, o Zabbix diz o que está realmente fluindo através de cada segmento para que você possa detectar tráfego lateral incomum ou um dispositivo barulhento.

Os lançamentos da versão 7.x adicionaram uma interface web mais limpa e painéis aprimorados. O Zabbix Agent é executado no Windows, macOS e Linux, para que você possa monitorar dispositivos em cada VLAN diretamente. A votação SNMPv3 contra seu roteador ou switches fornece estatísticas de tráfego por VLAN.

Onde fica aquém : A configuração inicial é pesada — você precisa de um servidor Linux (ou contêiner), um banco de dados e uma hora de trabalho de configuração. A interface tem uma curva de aprendizado.

Preços:

Plataformas: Servidor Linux (com agentes Windows/Mac/Linux opcionais).

Baixar: Zabbix em zabbix.com

Conclusão: Escolha isto se você deseja visibilidade de longo prazo nos padrões de tráfego por VLAN e tem uma caixa Linux para executá-lo.

8. NetBox, documente alocações VLAN

NetBox é a ferramenta IPAM (gerenciamento de endereço IP) e DCIM (gerenciamento de infraestrutura de data center) usada pelos provedores de serviços. Seis meses após configurar VLAN 20 para “laptops de escritório,” você terá esquecido quais portas do switch estão marcadas, qual é o IP do gateway e qual escopo DHCP o serve. NetBox resolve isto.

A importação CSV permite que você carregue redes existentes em massa. A visualização de gráficos mostra sobreposição e conflitos de alocação VLAN. O sistema de Campos Personalizados permite que você marque uma VLAN com notas como “renumerar quando movo o switch de IoT.”

Onde fica aquém : Excessivo para uma rede doméstica VLAN única. A configuração é a mais pesada nesta lista — Postgres, Redis, Python, um servidor web. A interface prioriza precisão sobre velocidade.

Preços:

Plataformas: Servidor Linux (Docker Compose funciona bem).

Baixar: NetBox em netbox.dev

Conclusão: Escolha isto se você configurou quatro ou mais VLAN e quer que a documentação permaneça honesta.

Como escolher o correto

Para uma configuração doméstica básica com duas ou três VLAN: OPNsense + switch gerenciado + Wireshark para verificação. A interface OPNsense o guia através da configuração VLAN; o Wireshark a verifica.

Para um lar UniFi existente: UniFi Network para a camada de roteamento/firewall, mais Wireshark para verificação. UniFi lida com o resto.

Para uma configuração com roteadores de consumidor antigos que você deseja reutilizar: OpenWrt nos roteadores secundários, com OPNsense ou pfSense no Protectli na borda.

Para disciplina de documentação: NetBox. Até mesmo para três VLAN, se paga depois de seis meses.

Para acesso entre VLAN sem enfraqucer seu firewall: Tailscale. É a forma mais limpa de atingir um dispositivo isolado do seu telefone.

Perguntas frequentes

Preciso de VLAN na minha rede doméstica?

Se você tiver algum dispositivo IoT (tomadas inteligentes, câmeras, campainhas, assistentes de voz) e também tiver um laptop de trabalho ou NAS, sim. O IoT comprometido é o ponto de entrada mais comum para ataques de rede doméstica, e uma rede plana transforma um dispositivo ruim em risco de movimento lateral.

Posso fazer VLAN sem comprar um novo roteador?

Se seu roteador existente é compatível com OpenWrt, sim. Caso contrário, planeje substituir o roteador (com pfSense/OPNsense em um mini-PC ou com hardware UniFi) ou adicione um roteador com suporte a VLAN separado entre o existente e o resto da rede.

OPNsense ou pfSense é melhor para uso doméstico?

OPNsense para novas configurações em 2026. A interface é mais limpa, o ritmo de lançamento é mais rápido e o ecossistema de plugins é maior. pfSense ainda é excelente e possui mais documentação, portanto, se você achar os tutoriais do pfSense mais fáceis de seguir, essa é uma razão válida para escolhê-lo.

Qual é a forma mais barata de obter segmentação VLAN?

Faça flash de um roteador compatível com OpenWrt (um TP-Link Archer C7 usado custa cerca de $40 usado) e combine com um switch gerenciado TP-Link TL-SG108E (cerca de $30). Total menos de $70. Não tão limpo quanto OPNsense + Protectli + switches UniFi, mas funciona.

Preciso de um switch inteligente para VLAN funcionar?

Sim. As tags VLAN precisam de switches que respeitem 802.1Q. Os switches não gerenciados removem tags e quebram a segmentação. TP-Link TL-SG108E e Netgear GS308E são as opções mais confiáveis e baratas por menos de $40.