Configurar um MikroTik no escritório é uma das decisões de infraestrutura que mais impacta o dia a dia de uma empresa, para o bem ou para o mal. O equipamento entrega controle total da rede, suporte a VLANs, VPN nativa, firewall granular e gerenciamento de banda, e costuma ser significativamente mais econômico do que soluções de fabricantes de maior porte. O problema é que, ao contrário de roteadores domésticos, o MikroTik não configura sozinho. A curva de aprendizado existe, e ignorá-la custa caro.
Este guia mostra exatamente o que fazer para configurar um MikroTik no escritório e colocá-lo em operação em um ambiente pequeno ou médio. O percurso cobre o primeiro acesso via WinBox, a atribuição de IPs e DHCP, as regras de firewall e NAT, a segmentação com VLANs e a configuração de VPN WireGuard para acesso remoto, do zero até uma rede funcional e segura.
Como configurar o MikroTik no escritório: conexão física e primeiro acesso
Antes de qualquer configuração, os cabos precisam estar nas portas certas. O cabo da operadora vai na ether1, que é a interface WAN. O computador usado para configurar o roteador vai em qualquer outra porta, de preferência a ether2. Um erro comum é inverter os cabos, o que pode causar conflito de IP e dificultar o diagnóstico por não gerar mensagem de erro imediata.
Após energizar o equipamento, aguarde cerca de um minuto. Depois, baixe o WinBox no site oficial da MikroTik. O arquivo é executável direto, sem instalação. Abra o programa, clique na aba Neighbors e o roteador vai aparecer identificado pelo endereço MAC, mesmo que o IP ainda seja 0.0.0.0. Clique duas vezes no MAC, informe o usuário admin com senha em branco e conecte. Se o equipamento vier com senha de fábrica, ela está na etiqueta física.
Antes de qualquer configuração, faça o reset para estado zero. Vá em System > Reset Configuration, marque a opção No Default Configuration e confirme. O roteador reinicia sem nenhuma regra residual de fábrica ou de configurações anteriores. Esse passo evita conflitos difíceis de diagnosticar mais tarde.
Configurar MikroTik no escritório: IPs, DHCP e NAT
Com o roteador em estado limpo, o primeiro passo é definir os endereços IP. Se a operadora fornece IP fixo, vá em IP > Addresses, adicione o IP com máscara na interface ether1 e cadastre o gateway da operadora em IP > Routes. Se a operadora usa DHCP, vá em IP > DHCP Client, selecione a ether1 e ative o cliente. Para a rede interna, adicione o IP do gateway da LAN na ether2, por exemplo 192.168.1.1/24. Esse endereço será o gateway de todos os dispositivos do escritório.
Para distribuir IPs automaticamente, vá em IP > DHCP Server e clique em DHCP Setup. Selecione a interface de LAN, confirme o intervalo de endereços, informe o gateway e defina os servidores DNS, como 8.8.8.8. O assistente cria tudo automaticamente. Para impressoras, servidores e computadores fixos, crie reservas por endereço MAC na aba Leases: o dispositivo sempre receberá o mesmo IP sem precisar de configuração estática individual em cada máquina. Use tempo de concessão maior para dispositivos fixos, como 24 horas, e menor para Wi-Fi de visitantes.
Com a LAN configurada, ative o NAT para liberar o acesso à internet. Vá em IP > Firewall > NAT, crie uma nova regra com chain srcnat, out-interface ether1 e action masquerade. Essa regra faz com que todos os dispositivos da rede interna saiam para a internet usando o IP público do roteador, sem precisar de IP individual para cada um.
Firewall básico: o que bloquear antes de tudo
Sem regras de firewall, a interface WAN fica exposta diretamente à internet, e scanners automatizados detectam dispositivos desprotegidos com rapidez. As regras da cadeia input controlam o que pode acessar o próprio roteador e são a primeira linha de defesa.
Aplique as quatro regras fundamentais nessa ordem:
- Aceitar conexões com estado
establishederelated, que são as respostas de tráfego iniciado internamente. - Descartar conexões com estado
invalid. - Aceitar ICMP com limitação de taxa para diagnóstico, sem expor o roteador a ataques de negação de serviço.
- Descartar todo o restante na cadeia
inputcomo política padrão.
Além disso, restrinja o acesso ao WinBox e ao SSH. Crie uma lista de endereços com os IPs da rede interna e configure os serviços para aceitar conexões apenas dessa lista. Em IP > Services, desabilite telnet, ftp e www se não forem utilizados. Uma medida adicional que reduz bastante a exposição: altere a porta padrão do WinBox (8291) e do SSH (22) para portas fora do padrão, pois varreduras automatizadas geralmente buscam portas conhecidas e ignoram as demais.
Segmentando a rede com VLANs por departamento
Colocar todos os dispositivos do escritório na mesma rede é um risco. Um notebook de visitante comprometido pode varrer livremente os servidores internos. VLANs separam o tráfego em grupos isolados, e o MikroTik gerencia tudo isso no mesmo equipamento.
Planeje os segmentos antes de criar qualquer interface. Um modelo funcional para escritórios é:
- VLAN 10: funcionários, sub-rede
10.0.10.0/24, gateway10.0.10.1 - VLAN 20: convidados, sub-rede
10.0.20.0/24, gateway10.0.20.1 - VLAN 30: servidores, sub-rede
10.0.30.0/24, gateway10.0.30.1
Com o planejamento definido, vá em Interfaces > VLAN e crie cada interface com o ID correspondente associado à porta de tronco. Depois, em IP > Addresses, atribua o IP de gateway a cada interface VLAN. Por fim, use o DHCP Setup para criar um servidor DHCP separado por VLAN, com intervalo de endereços distinto para cada segmento. Cada grupo passa a receber IPs do seu próprio intervalo automaticamente. Se o escritório tiver switch gerenciável, configure as portas físicas como acesso ou tronco conforme o destino de cada cabo.
Um ponto crítico que costuma ser ignorado: sem regras de firewall na cadeia forward, as VLANs existem, mas não há isolamento real. O roteador permite tráfego entre elas por padrão. Adicione uma regra bloqueando tráfego com origem em 10.0.20.0/24 com destino a 10.0.10.0/24 e 10.0.30.0/24. Mantenha uma regra de aceite para tráfego de qualquer VLAN em direção à WAN, para que todos os grupos continuem com acesso à internet.
Controle de banda e VPN para funcionários remotos
Limitar a largura de banda da VLAN de convidados evita que um único usuário consuma toda a conexão durante uma reunião ou transferência pesada. No RouterOS, isso se resolve com Simple Queue. Vá em Queues > Simple Queues, crie uma fila com a sub-rede da VLAN de convidados como alvo e defina o Max Limit, por exemplo 5 Mbps de download e 2 Mbps de upload. O Simple Queue resolve a maioria dos casos em escritórios pequenos e médios. O Queue Tree existe para cenários mais complexos com priorização hierárquica, mas não é necessário na maior parte das instalações corporativas comuns.
Para funcionários que trabalham remotamente, o RouterOS 7.1 ou superior inclui suporte nativo e estável ao WireGuard. É a opção recomendada em 2026 por combinar desempenho superior ao L2TP/IPsec, configuração simplificada e criptografia moderna com ChaCha20. Antes de configurar, confirme a versão do sistema em System > Resources. Para atualizar, vá em System > Packages > Check for Updates.
A configuração básica do WireGuard segue estes passos:
- Crie a interface
wg0com porta de escuta 51820 e chave privada gerada automaticamente em Interfaces > WireGuard. - Atribua o IP do túnel à interface, por exemplo
10.0.0.1/24. - Adicione o par do funcionário com a chave pública do dispositivo dele e configure o
allowed-addresscom o IP do túnel desse par. - No firewall, aceite UDP na porta 51820 na cadeia
inpute permita o tráfego do túnel na cadeiaforward.
O funcionário instala o aplicativo WireGuard no dispositivo dele, importa o arquivo de configuração com a chave pública do roteador, o IP do endpoint e a porta, e a conexão está pronta. Se algum dispositivo legado não suportar WireGuard, o L2TP/IPsec ainda é uma alternativa válida, porém com configuração mais complexa e desempenho inferior.
Prefere delegar essa configuração a especialistas?
O guia acima cobre o essencial para configurar um MikroTik no escritório e deixá-lo operacional. Ambientes corporativos reais costumam exigir camadas adicionais: múltiplos switches gerenciáveis com filtragem de VLAN em Bridge, redundância de WAN com failover automático entre dois provedores, políticas de firewall mais granulares por usuário e monitoramento contínuo com alertas. Cada uma dessas camadas acrescenta complexidade que vai além de uma configuração inicial.
A Trinity TI é especializada em implementação e gerenciamento de redes corporativas MikroTik no Rio de Janeiro, com foco em PMEs que precisam de infraestrutura confiável desde o primeiro dia. A equipe atua do cabeamento estruturado até a configuração de VPN, e mantém suporte contínuo após a entrega em ambientes gerenciados.
Se a sua empresa prefere não administrar a rede internamente, entre em contato com a Trinity TI para uma avaliação do ambiente atual. Você recebe um diagnóstico claro do que precisa ser feito e um plano de implementação detalhado e previsível.
