👉 Por que o roteador da operadora não deveria ser o coração da sua rede

#cybersecurity #networking #security

Tem um momento em que a gente percebe que o roteador da operadora já não acompanha mais a nossa realidade.

Quando você começa a

acessar sua rede de fora,
integrar com cloud,
se preocupar com segurança de verdade,
ou montar um homelab mais sério,

aquele “tudo em um” com Wi-Fi deixa de fazer sentido.

Foi nesse ponto que eu cheguei no TP-Link Omada ER605.

À primeira vista ele estranha
👉 “Mas ele não tem Wi-Fi?”
Não tem.
E isso é justamente o que faz ele funcionar tão bem.

O ER605 não tenta ser bonito nem chamar atenção.
Ele fica ali, discreto, fazendo o trabalho pesado

administrando a rede,
protegendo os acessos,
controlando o tráfego,
balanceando links entre operadoras,
e mantendo tudo estável.

🔀 Multi-WAN e balanceamento de carga

O ER605 suporta mais de um link de internet.

Na prática, isso significa

balanceamento de carga entre WANs,
failover automático quando um link cai,
continuidade do acesso à internet e às VPNs.

Isso resolve um problema comum em setups domésticos e pequenos ambientes:
um único link como ponto único de falha.

🔐 VPN — acesso remoto sem expor serviços

O ER605 atua como ponto único de entrada da rede.

Nada fica exposto diretamente na internet.

Ele suporta

WireGuard (client-to-site) para acesso remoto seguro,
IPsec (site-to-site) para integração com cloud (ex.: AWS).

Características reais

criptografia ponta a ponta,
funcionamento com IP dinâmico via DDNS,
sem necessidade de port forwarding.

O acesso acontece como se estivesse local, mas com isolamento e controle.

🧱 Firewall — controle explícito de tráfego

Antes de qualquer observabilidade, vem a base.

O ER605 atua como firewall de borda, oferecendo

Stateful Firewall,
NAT,
SPI (Stateful Packet Inspection),
Flood Defense,
Packet Anomaly Defense,
regras explícitas de entrada e saída.

Nada entra por padrão.
O tráfego passa apenas quando é permitido.

🛡️ Proteções de ARP na rede local

Além das regras de camada 3, o ER605 aplica controles básicos de ARP no tráfego que passa pelo gateway.

Ele oferece

Anti-ARP Spoofing,
IP-MAC Binding.

Esses mecanismos ajudam a

reduzir tentativas de ARP spoofing mais comuns,
evitar conflitos de IP dentro da rede,
aumentar a previsibilidade e a confiabilidade do tráfego local.

Não substitui proteções avançadas de switch,
mas adiciona uma camada defensiva real no ponto central da rede.

📊 Monitoramento via SNMP (o que ele realmente expõe)

O ER605 suporta

SNMP v1 / v2c,
SNMP v3.

Via SNMP, ele expõe métricas básicas de interface, como

tráfego WAN/LAN (bytes in/out),
pacotes in/out,
erros de interface,
uptime do equipamento.

Essas métricas podem ser coletadas por ferramentas externas e usadas para visualização e histórico.

🗺️ Arquitetura lógica (somente o que existe de fato)

                 🌍 INTERNET
                      |
                ISP / WAN 1
                ISP / WAN 2
                 (Multi-WAN)
                      |
                ┌────────────────┐
                │   TP-Link      │
                │    ER605       │
                │────────────────│
                │ Gateway        │
                │ Load Balance   │
                │ Firewall       │
                │ NAT / SPI      │
                │ Flood Defense  │
                │ Anti-ARP       │
                │ IP-MAC Bind    │
                │ WireGuard VPN  │◀── Acesso remoto
                │ IPsec VPN      │◀── Cloud (ex.: AWS)
                │ SNMP           │──▶ Métricas básicas
                └────────────────┘
                      |
                   LAN / VLAN
                      |
                 Switch / Hosts

(Wi-Fi, dashboards e ferramentas de observabilidade são externos ao ER605)

🎯 Conclusão honesta

Com esse papel bem definido, o ER605 deixa de ser
❌ “roteador doméstico”

E passa a ser
✅ Gateway cabeado
✅ Firewall de borda
✅ Balanceador de links
✅ Concentrador de VPN
✅ Dispositivo de borda com métricas básicas

Nada além disso.
Nada a menos.

E é exatamente por não tentar fazer tudo que ele funciona tão bem.

Cloud não vive sem rede.
E rede não deveria ser uma caixa-preta.