MikroTik e UniFi na mesma rede: quem faz o quê
É provavelmente a combinação mais comum em rede corporativa brasileira: MikroTik roteando e o UniFi fazendo o WiFi. Cada um é muito bom no que faz — o RouterOS entrega roteamento, firewall e PPPoE por um preço que ninguém bate; o UniFi entrega WiFi com roaming e gestão que a MikroTik nunca priorizou.
O problema não é técnico, é de fronteira. Quando não fica claro quem cuida de cada camada, aparecem os sintomas clássicos: dois servidores DHCP na mesma rede, VLAN configurada de um lado só, e rede de convidados que enxerga a rede interna. Este guia define a divisão que funciona.
A regra que resolve 90% dos casos
O MikroTik é o dono da camada 3. O UniFi é o dono da camada 2 sem fio. Traduzindo: tudo que é IP, rota, DHCP, NAT e firewall fica no MikroTik. Tudo que é SSID, rádio, canal, potência e roaming fica no UniFi. Quando os dois tentam fazer a mesma coisa, alguém perde.
Divisão de papéis, item por item
| Função | Quem faz | Por quê |
|---|---|---|
| Roteamento e rotas | MikroTik | É o gateway da rede; o AP nem participa disso |
| Firewall e NAT | MikroTik | Regras entre VLANs e saída para a internet |
| Servidor DHCP | MikroTik | Um só por rede — ver o erro clássico abaixo |
| Criação da VLAN (L3) | MikroTik | Interface VLAN, IP de gateway e DHCP daquela faixa |
| Tag da VLAN no WiFi | UniFi | O AP marca o tráfego do SSID com a VLAN certa |
| SSID, senha e banda | UniFi | Configuração de rádio é do controlador de WiFi |
| Roaming entre APs | UniFi | É justamente o que o ecossistema resolve bem |
| Isolamento de convidados | Os dois | UniFi isola cliente-a-cliente; MikroTik bloqueia o acesso à rede interna |
| Limite de banda por SSID | UniFi | Simples de aplicar por grupo de usuário |
| QoS por serviço/destino | MikroTik | Precisa enxergar o tráfego roteado |
Os três erros que mais aparecem
1. Dois servidores DHCP na mesma rede
É o mais comum e o mais confuso de diagnosticar, porque funciona na maior parte do tempo. Acontece quando alguém cria a rede no UniFi como "Corporate" com DHCP habilitado, enquanto o MikroTik já entrega DHCP naquela VLAN.
O sintoma é intermitente por natureza: alguns dispositivos pegam IP do MikroTik e funcionam; outros pegam do UniFi, recebem um gateway que não roteia e ficam sem internet. Reiniciar o aparelho "resolve" — até a próxima renovação de concessão.
A regra: se o gateway é MikroTik, a rede no UniFi deve ser criada como VLAN-only (a Ubiquiti chama de Third-Party Gateway), não como Corporate. VLAN-only só aplica a marcação da VLAN e deixa L3 e DHCP inteiramente com o roteador. Vale saber que Corporate com DHCP é ignorado em silêncio quando não existe um gateway UniFi (UDM/USG) adotado no site — o que faz o erro passar despercebido na configuração e só aparecer em campo.
2. VLAN configurada só de um lado
Marcar a VLAN 30 no SSID do UniFi não cria a VLAN 30 na rede. Se o MikroTik não tiver a interface VLAN, o IP de gateway e o DHCP correspondentes, o cliente conecta no WiFi, recebe sinal ótimo e não navega — porque o tráfego marcado chega a um lugar que não existe.
São quatro coisas que precisam existir no MikroTik para uma VLAN de WiFi funcionar:
A porta trunk é a que mais esquece. A porta do switch (ou da bridge) que vai até o access point precisa entregar a VLAN marcada. Se ela estiver como acesso numa VLAN só, o tráfego marcado é descartado — e o sintoma é idêntico ao de não ter criado a VLAN. Vale destacar que mexer em VLAN filtering de bridge no MikroTik pode derrubar o próprio acesso ao equipamento, então esse é o passo para fazer com calma e com acesso alternativo à mão.
3. Rede de convidados que enxerga a rede interna
Marcar "Guest Network" no UniFi faz menos do que a maioria supõe sem um gateway Ubiquiti: aplica isolamento entre os clientes do próprio SSID, mas não impede que aquele tráfego alcance a sua rede interna — porque quem decide o que vai de uma VLAN para outra é o roteador.
O bloqueio real é uma regra de firewall no MikroTik: negar o tráfego da VLAN de convidados em direção às faixas internas, permitindo só a saída para a internet. Sem essa regra, o convidado está numa VLAN separada — e chegando na sua rede pela porta da frente.
Como o Mikrosinc resolve os dois lados
A dificuldade prática desse cenário não é conceitual, é operacional: são duas ferramentas diferentes, e a configuração de uma depende da outra estar certa. Você configura a VLAN no UniFi e vai ao painel do MikroTik conferir se a interface existe.
No Mikrosinc, os dois ficam no mesmo painel. Ao criar uma rede WiFi com VLAN, o assistente pergunta quem é o gateway; escolhendo um MikroTik já cadastrado, ele lê o roteador e mostra um checklist do que falta — interface VLAN, IP de gateway, DHCP e NAT — e cria o que estiver faltando com um clique. A porta trunk permanece como aviso manual, justamente pelo risco de derrubar o acesso ao equipamento.
E quando um cliente reclama de WiFi, a topologia mostra o AP, os dispositivos conectados nele e o sinal de cada um, ao lado do roteador da mesma empresa — sem trocar de ferramenta no meio do diagnóstico. Os detalhes estão em Gestão UniFi na nuvem.
Prefere que a gente configure isso com você?
Deixe seu contato — retornamos pelo WhatsApp em horário comercial.
Os dois lados da rede num painel só
Roteador e access point do mesmo cliente lado a lado, com checklist de VLAN e correção em um clique.
Testar 14 dias