MikroTik · MEO · FiberGateway · VoIP · IPTV · RouterOS · VLAN · SIP · IGMP · firewall

Duarte Spínola · 27 junho 2026

Substituir o FiberGateway da MEO por MikroTik mantendo VoIP e IPTV em 2026

Substituir  |  ✎ Duarte Spínola  |  2026-06-15

O FiberGateway da MEO (modelos GR231, GR241 e variantes) é o equipamento que a operadora entrega por omissão a clientes fibra empresariais e particulares com serviço de voz e IPTV. Embora cumpra o essencial — entregar internet, VoIP e television por fibra óptica — fica rapidamente curto para quem precisa de controlo de rede real: não tem modo bridge formal, o WiFi é limitado, não suporta VPN IPsec nativa de forma fiável e a firewall é opaca. Substituí-lo por um MikroTik com RouterOS permite manter VoIP e IPTV funcionais e ganhar gestão completa da rede. Este guia cobre todo o processo em 2026 — desde a arquitetura de VLANs da MEO à configuração de SIP, IGMP proxy, firewall hardening e migração sem downtime. Para referência oficial de comandos consulta a documentação oficial RouterOS da MikroTik e os RFC 3261 (SIP) e RFC 3376 (IGMP v3) do IETF.

Conteúdos

1. Porque substituir o FiberGateway

O FiberGateway da MEO é um equipamento fechado, gerido em grande parte pela operadora via TR-069. Embora exista um painel administrativo, as opções avançadas são escassas e o firmware é controlado pela MEO. Para uma residência simples isto chega, mas para uma PME ou utilizador avançado torna-se uma limitação séria.

Limitações principais do FiberGateway

Limitação Impacto prático MikroTik resolve?
Sem modo bridge formal Impossível ter router próprio a fazer PPPoE directo sem NAT duplo Sim — ONT separada + MikroTik elimina NAT duplo
WiFi fraco e single-band Cobertura insuficiente, roaming inexistente em casas médias/grandes Sim — WiFi Wave 2 e CAPsMAN para roaming
Sem VPN IPsec/site-to-site Impossível ligar filiais ou teletrabalho seguro nativamente Sim — IPsec, WireGuard, L2TP/IPsec nativos
Firewall opaca e limitada Regras pouco granulares, sem logs detalhados, sem listas dinâmicas Sim — filter/NAT/mangle completas + Address Lists
Gestão remota da MEO (TR-069) A operadora pode reconfigurar/reiniciar o equipamento sem aviso Sim — controlo total do utilizador
Sem QoS/queue granular IPTV/VoIP não podem ser priorizados correctamente Sim — queues HTB/PCQ com prioridade por VLAN
Port forwarding limitado Poucos slots, sem hairpin NAT confiável, sem DMZ real Sim — dst-nat, hairpin, DMZ nativa

Informação: A MEO não oferece modo bridge oficial nos FiberGateway GR231/GR241. A substituição por MikroTik pressupõe uma ONT separada (ver secção 3) ou o uso do FiberGateway como ONT-only com NAT em cascata (solução sub-óptima).

Para uma visão comparativa de soluções de firewall empresarial alternativa, consulta os artigos sobre FortiGate: Firewall Policies, NAT e VPN IPsec e OPNsense: Firewall, NAT, VPN e IDS aqui no kbase.pt.

2. Modelos MikroTik recomendados

A escolha do modelo MikroTik depende do tipo de ligação (GPON, XGS-PON, ETTH), do caudal contratado e do número de APs WiFi necessários. Em 2026 os modelos com WiFi 6/6E e CPUs ARM de 4 núcleos dominam o mercado PT.

Modelo CPU / RAM Portas WiFi Caso de uso
hAP ax2 (L41) — specs ARM dual-core 864 MHz / 1 GB 5× 1 GbE WiFi 6 dual-band 2×2 Casa/escritório até ~800 Mbps; o mais popular em PT
hAP ax3 (L47) — specs ARM quad-core 1.7 GHz / 1 GB 5× 2.5 GbE + 1× 1 GbE WiFi 6 2×2 + 4×4 PME com IPTV 4K e ~1 Gbps
RB5009UG+S+IN — specs ARM quad-core 1.4 GHz / 1 GB 7× 2.5 GbE + 1× SFP+ Sem WiFi (router puro) Sede PME, link 2 Gbps+, APs externos
RB4011iGS+ — specs ARM quad-core 1.4 GHz / 1 GB 10× 1 GbE + 1× SFP+ Opção +ac (WiFi 5) Sede PME com muitos clientes LAN
L009UiGS-RM ARM dual-core 800 MHz / 256 MB 8× 1 GbE + 1× 2.5 GbE + SFP Sem WiFi Router edge + APs externos (custo baixo)

Dica: Para a maioria das instalações PT com MEO Fibra até 1 Gbps, o hAP ax2 é o ponto de equilíbrio entre preço, WiFi 6 e capacidade de roteamento com IPTV/VoIP. O RB5009 fica reservado para PMEs que precisam de SFP+ ou links >1 Gbps.

Os detalhes completos de cada equipamento, incluindo throughput de IPsec e switching, estão nas páginas oficiais da MikroTik — products. Para comparação com alternativas de outras marcas, consulta DrayTek Vigor: Configuração Completa do Router.

3. Pré-requisitos: ONT separada vs integrada

A peça mais crítica de toda a migração é obter uma ONT (Optical Network Terminal) separada do FiberGateway. Em PT, a MEO entrega por omissão um FiberGateway com ONT integrada — o que obriga a manter o equipamento da operadora na cadeia de rede. Sem ONT separada, a única alternativa é usar o FiberGateway como ONT-only, com NAT duplo.

Cenários possíveis

Cenário Como obter Qualidade
ONT separada + MikroTik Pedir à MEO via suporte empresarial ou technical ticket; nem sempre concedido Ideal — sem NAT duplo
FiberGateway como ONT-only (DMZ) Configurar DMZ para o IP do MikroTik no FiberGateway Aceitável — NAT duplo, VoIP mais complexo
ONT integrada (sem alternativa) Situação inicial — impossível tirar FiberGateway Má — não recomendado

Aviso: A MEO não tem obrigação contractual de fornecer ONT separada. Em 2026, alguns relatos indicam que suporte técnico pode fornecer uma ONT Huawei/ZTE em substituição do FiberGateway, sobretudo em clientes empresariais. Insistir de forma cordial e justificar com necessidades de VPN/IPsec costuma ajudar.

Como pedir a ONT separada à MEO

  1. Contactar o suporte MEO Empresas (ou particular via linha técnica) e justificar a necessidade: VPN site-to-site, equipamento próprio certificado, compliance.
  2. Pedir expressamente a substituição do FiberGateway por ONT bridge (modelo Huawei HG8240 ou similar).
  3. Se recusarem, solicitar pelo menos o acesso a modo router neutralizado (DMZ para IP interno fixo do MikroTik).
  4. Confirmar que o serviço VoIP e IPTV se mantém — a MEO deve entregar as credenciais SIP ou mantê-las configuráveis na ONT.
  5. Se a MEO recusar totalmente, a alternativa é usar o FiberGateway em DMZ para o MikroTik e extrair as credenciais SIP manualmente (ver secção 7).

Perigo: Nunca troques o equipamento da MEO sem avisar — a activação da ONT está associada ao serial number e ONU ID provisionado no OLT da operadora. Uma ONT não provisionada não sincroniza. A troca física deve ser feita ou coordenada com a MEO.

4. Arquitetura de rede: ONT → MikroTik → switch/APs

A arquitetura recomendada isola cada serviço da MEO numa VLAN distinta, todas a terminar no MikroTik que assume o papel de router/gateway/firewall. A ONT entrega tráfego tagged ou untagged conforme o tipo de ligação; o MikroTik classifica e processa cada VLAN.

Topologia típica

                  ┌────────────┐     ┌──────────────────────┐
  Fibra MEO ─────► │   ONT      │ ──► │      MikroTik        │
  (GPON/XGS-PON)  │ (bridge)   │ eth1│  hAP ax2 / RB5009    │
                  └────────────┘     │  VLAN 100 → IPTV     │
                                     │  VLAN 106 → VoIP     │
                                     │  VLAN 1  → MGMT      │
                                     │  sem VLAN → internet │
                                     └─────┬────────┬───────┘
                                           │        │
                                  ┌────────┘        └─────────┐
                                  ▼                            ▼
                          ┌──────────────┐           ┌──────────────────┐
                          │ Switch L2    │           │  APs WiFi (cAP)   │
                          │ (CRS/CSS)    │           │  CAPsMAN roaming  │
                          └──────┬───────┘           └──────────────────┘
                                 │
                       ┌─────────┼─────────┐
                       ▼         ▼         ▼
                   STB IPTV  PC/Smart   ATA SIP
                   (VLAN100) (VLAN 1)  (VLAN106)

Plano de VLANs recomendado

VLAN ID Serviço Sub-rede interna Notas
— (sem tag) Internet (WAN) DHCP/PPPoE público Conforme tipo de ligação MEO
100 IPTV (multicast) DHCP da MEO (geralmente 10.x) IGMP proxy para multicast
106 VoIP (SIP/RTP) DHCP da MEO (10.x ou 192.168.x) Credenciais SIP extraídas
1 Gestão / LAN 192.168.88.0/24 Rede interna de utilizadores
20 Guest 192.168.20.0/24 Isolada, só internet

Informação: Os IDs de VLAN 100 e 106 correspondem aos deployments mais comuns da MEO em Portugal. No entanto, estes valores podem variar por região/OLT — confirma os IDs reais com um sniff de tráfego na porta do FiberGateway antes de aplicar (ver secção 5).

Para arquitecturas mais complexas com múltiplas sedes e VPN IPsec inter-site, consulta também pfSense: Firewall, NAT e VPN e o artigo sobre CGNAT da MEO em CGNAT na MEO: Como Verificar e Contornar.

5. Configurar VLANs da MEO

A MEO entrega três serviços sobre o mesmo par óptico, separados por VLANs. Para o MikroTik processar correctamente, criamos interfaces VLAN sobre a porta WAN (ether1) e atribuímos cada uma à bridge ou interface lógica correspondente. A documentação de referência está em MikroTik — VLAN e MikroTik — Bridging and Switching.

Como descobrir as VLANs reais da MEO

Antes de aplicar a configuração, convém confirmar as VLANs que chegam do lado WAN. A forma mais fiável é sniffar a porta do FiberGateway original com um switch mirror ou usar o próprio MikroTik com uma porta em modo promíscuo: 

# No MikroTik, sniffer na porta WAN durante alguns minutos
/tool sniffer
set interface=ether1 only-headers=yes duration=120
start
# Após 2 minutos, ver tráfego por VLAN
/tool sniffer protocol 802.1Q print

Criar as VLANs no RouterOS

# Assumindo ether1 = uplink da ONT (WAN)
# VLAN 100 = IPTV (multicast)
/interface vlan
add name=vlan-iptv vlan-id=100 interface=ether1 disabled=no comment="IPTV MEO"

# VLAN 106 = VoIP (SIP/RTP)
/interface vlan
add name=vlan-voip vlan-id=106 interface=ether1 disabled=no comment="VoIP MEO"

# Internet: normalmente sem VLAN (untagged) sobre ether1
# Em alguns deployments MEO Empresas a internet vem também em VLAN (ex.: 10)
# Ajustar conforme o sniffer acima mostrou

# Confirmar
/interface vlan print

Dica: Em RouterOS v7+ prefere-se usar /interface bridge com vlan-filtering=yes em vez de interfaces VLAN standalone sobre a bridge. Para setups simples com WAN numa porta física dedicada, as interfaces VLAN standalone são mais legíveis e funcionam sem problemas.

VLAN-aware bridge (alternativa RouterOS v7)

# Criar bridge WAN com vlan-filtering
/interface bridge
add name=bridge-wan vlan-filtering=yes frame-types=admit-only-vlan-tagged

# Adicionar ether1 (uplink ONT) como trunk
/interface bridge port
add bridge=bridge-wan interface=ether1 pvid=1

# Definir VLANs permitidas na bridge
/interface bridge vlan
add bridge=bridge-wan tagged=bridge-wan vlan-ids=100,106
add bridge=bridge-wan untagged=ether1 vlan-ids=1

# Interfaces VLAN lógicas sobre a bridge
/interface vlan
add name=vlan-iptv vlan-id=100 interface=bridge-wan
add name=vlan-voip vlan-id=106 interface=bridge-wan

Para mais detalhes sobre o modelo VLAN-filtering da MikroTik consulta o guia oficial Manual: Bridge — VLAN Filtering.

6. Configurar internet: PPPoE vs DHCP

A MEO entrega internet sobre dois tipos de ligação distintos, conforme o serviço:

  • DHCP cliente — típico em fibra particular com IP dinâmico (muitas vezes sob CGNAT).
  • PPPoE — usado em alguns serviços empresariais e em ligações onde a MEO fornece credenciais (user/password) para o tunel PPPoE sobre a VLAN de internet.

A diferença é importante porque afecta como configuramos a interface WAN no MikroTik. Em qualquer dos casos, é sobre a interface que transporta a internet (sem VLAN na maioria dos casos, ou na VLAN dedicada em empresariais).

Caso A: DHCP cliente (mais comum em particular)

/ip dhcp-client
add interface=ether1 disabled=no add-default-route=yes use-peer-dns=yes \
    use-peer-ntp=yes comment="WAN MEO DHCP"

# Verificar se recebeu IP
/ip dhcp-client print detail

Caso B: PPPoE cliente (serviços empresariais)

/interface pppoe-client
add name=pppoe-meo interface=ether1 user="meo_user@meo" password="PASSWORD" \
    add-default-route=yes use-peer-dns=yes disabled=no \
    comment="WAN MEO PPPoE"

# Se a internet vier em VLAN dedicada (ex.: 10), usar essa interface
# /interface pppoe-client add name=pppoe-meo interface=vlan-internet ...

# Confirmar
/interface pppoe-client print
/ppp active print

Aviso: Em serviços MEO com CGNAT, o IP público que aparece no MikroTik é interno da operadora (100.64.0.0/10). Para serviços que precisam de IP público fixo (acesso remoto, port forwarding), confirma se tens IP público real e considera contornar CGNAT — ver CGNAT na MEO: Como Verificar e Contornar.

Default route e DNS

# Garantir que a rota default sai pela WAN correcta
/ip route
add dst-address=0.0.0.0/0 gateway=pppoe-meo check-gateway=ping distance=1
# Ou em DHCP, o add-default-route=yes já trata disto

# DNS upstream (pode usar-se o da MEO ou públicos)
/ip dns
set servers=8.8.8.8,1.1.1.1 allow-remote-requests=yes

7. Configurar VoIP/SIP no MikroTik

O VoIP da MEO usa SIP sobre a VLAN 106. O router MikroTik pode actuar como gateway SIP para um ATA/telefone IP, ou encaminhar o tráfego para um PBX interno. As credenciais SIP (user, password, servidor de registo) não são divulgadas oficialmente pela MEO, mas podem ser extraídas do FiberGateway antes da migração.

Extrair credenciais SIP do FiberGateway

Vários métodos concretizados pela comunidade PT:

  1. Acesso admin via painel web — em alguns firmwares, navegando para a página de VoIP/SIP mostra as credenciais (parcialmente mascaradas).
  2. Sniffer de tráfego — capturar pacotes SIP REGISTER na porta LAN do FiberGateway com o telefone SIP conectado; o Authorization header tem o user e o digest revela a password.
  3. Backup de configuração — exportar config do FiberGateway e inspecionar o XML/JSON por campos SIP_User / SIP_Password.
  4. Pedir à MEO — em casos raros, suporte técnico fornece as credenciais se justificado por equipamento próprio certificado.

Perigo: O sniffing de credenciais SIP em equipamento próprio é legal em Portugal para uso pessoal/empresarial sobre serviço contratado, mas deve ser feito com cuidado e registado. Nunca partilhar credenciais SIP — permitem fazer chamadas facturadas à titularidade do cliente.

Configurar cliente DHCP na VLAN 106

# A MEO atribui IP à interface VoIP por DHCP
/ip dhcp-client
add interface=vlan-voip disabled=no add-default-route=no use-peer-dns=no \
    comment="VoIP MEO DHCP"

Rota estática para o servidor SIP da MEO

O tráfego SIP deve sair pela VLAN 106 e não pela internet. A MEO costuma usar um servidor de registo em 10.x.x.x (rede interna da operadora): 

# Descobrir o servidor SIP (geralmente recebido via DHCP option 120 ou 43)
# Adicionar rota para a rede SIP via gateway da VLAN 106
/ip route
add dst-address=10.0.0.0/8 gateway=vlan-voip distance=1 comment="Rota SIP MEO"
# Ajustar a rede conforme o IP do servidor SIP real

SIP ALG — desativar obrigatoriamente

O SIP ALG (Application Layer Gateway) é uma funcionalidade de NAT que reescreve os headers SIP (Contact, Via, SDP). Embora seja teoricamente útil, na prática causa problemas de áudio unidireccional, registo que falha e chamadas sem som — sobretudo com a implementação da MEO. No MikroTik, o SIP ALG não está ativo por omissão, mas convém confirmar. 

# Verificar regras SIP helper (em RouterOS v6)
/ip firewall service-port print
# Se o sip estiver enabled, desativar:
/ip firewall service-port sip set ports=5060,5061 disabled=yes

# Em RouterOS v7, o service-port foi reformulado; confirmar:
/ip firewall service-port print

Dica: Se usares um PBX interno (Asterisk, 3CX) ou ATA, regista-o directamente na VLAN 106 (IP da MEO) e deixa o MikroTik fazer apenas routing/firewall entre VLANs. Evitar NAT entre a VLAN 106 e a LAN interna sempre que possível — o RTP agradece.

Firewall para VoIP

# Permitir tráfego SIP/RTP entre VLAN 106 e rede SIP
/ip firewall filter
add chain=forward in-interface=vlan-voip out-interface=bridge-lan \
    protocol=udp port=5060 action=accept comment="SIP MEO -> LAN"
add chain=forward in-interface=bridge-lan out-interface=vlan-voip \
    protocol=udp port=5060 action=accept comment="LAN -> SIP MEO"
# RTP: intervalo UDP dinâmico — abrir 10000-20000 se necessário
add chain=forward in-interface=vlan-voip out-interface=bridge-lan \
    protocol=udp port=10000-20000 action=accept comment="RTP MEO"

Para especificação técnica do protocolo SIP, consulta o RFC 3261 e o guia da MikroTik em MikroTik — SIP.

8. Configurar IPTV: IGMP proxy e multicast

O IPTV da MEO é distribuído por multicast sobre a VLAN 100. O set-top-box (STB) sintoniza um canal fazendo um join IGMP para um endereço multicast (224.0.0.0/4). O MikroTik tem de:

  1. Receber IP da MEO na VLAN 100 (DHCP cliente).
  2. Encaminhar pedidos IGMP join/leave da LAN para a VLAN 100 (IGMP proxy).
  3. Encaminhar tráfego multicast da VLAN 100 para a LAN.
  4. Fazer IGMP snooping para não inundar a LAN com todos os canais.

DHCP cliente na VLAN 100

/ip dhcp-client
add interface=vlan-iptv disabled=no add-default-route=no use-peer-dns=no \
    comment="IPTV MEO DHCP"

IGMP proxy

# Interface upstream = VLAN 100 (origem multicast da MEO)
# Interface downstream = bridge-lan (clientes com STB)
/routing igmp-proxy
set quick-leave=yes

/routing igmp-proxy interface
add interface=vlan-iptv upstream=yes
add interface=bridge-lan downstream=yes

# Rota estática para os grupos multicast via VLAN 100
/ip route
add dst-address=224.0.0.0/4 gateway=vlan-iptv distance=1 comment="Multicast IPTV MEO"

IGMP snooping na bridge LAN

Sem IGMP snooping, o multicast é flooded para todas as portas da bridge, saturando a LAN. Com snooping, só as portas que pediram um canal específico recebem esse tráfego. Documentação: MikroTik — IGMP Snooping e RFC 3376 (IGMPv3). 

/interface bridge
set bridge-lan igmp-snooping=yes multicast-querier=yes \
    multicast-router-advertisements=yes

Informação: Em RouterOS v7, o multicast-querier é necessário se não há outro router IGMP querier na LAN. Sem ele, os switches downstream podem não aprender os grupos correctamente.

Firewall para IPTV

# Permitir IGMP (protocol 2) e multicast (224.0.0.0/4)
/ip firewall filter
add chain=forward in-interface=vlan-iptv out-interface=bridge-lan \
    protocol=igmp action=accept comment="IGMP MEO -> LAN"
add chain=forward in-interface=vlan-iptv out-interface=bridge-lan \
    dst-address=224.0.0.0/4 action=accept comment="Multicast IPTV -> LAN"
add chain=forward in-interface=bridge-lan out-interface=vlan-iptv \
    protocol=igmp action=accept comment="IGMP join/leave LAN -> MEO"

# Aceitar multicast na chain input (para o próprio router)
/ip firewall filter
add chain=input protocol=igmp action=accept comment="IGMP input"
add chain=input dst-address=224.0.0.0/4 action=accept comment="Multicast input"

Dica: O STB MEO pode fazer DHCP option 60 com vendor-class “MEO” para pedir IP na VLAN 100 automaticamente. Se tiveres um switch L2 managed, configura a porta do STB como untagged VLAN 100 e o uplink como tagged. Senão, usa o MikroTik como router entre VLANs (como acima).

9. Configurar WiFi no MikroTik

Em 2026, a maioria dos MikroTik recentes (hAP ax2/ax3, cAP ax) suporta WiFi Wave 2 com driver wifiwave2 em RouterOS v7, oferecendo 802.11ax (WiFi 6), WPA3, MU-MIMO e roaming 802.11r/k/v. Documentação: MikroTik — WifiWave2.

Configuração básica (single AP)

# Em RouterOS v7.12+, usar interface wifiwave2
/interface wifiwave2
add name=wifi-2.4ghz master-interface=wifi1 \
    configuration.ssid="kbase-PT" configuration.mode=ap \
    security.authentication-types=wpa2-psk security.wpa2-pre-shared-key="PASSWORD_FORTE" \
    disabled=no

add name=wifi-5ghz master-interface=wifi2 \
    configuration.ssid="kbase-PT" configuration.mode=ap \
    security.authentication-types=wpa2-psk security.wpa2-pre-shared-key="PASSWORD_FORTE" \
    configuration.band=5ghz disabled=no

# Atribuir à bridge LAN
/interface wifiwave2 set wifi-2.4ghz,wifi-5ghz datapath.bridge=bridge-lan

CAPsMAN para múltiplos APs (roaming)

Para instalações com vários APs MikroTik (cAP ax), o CAPsMAN (Controlled Access Point system Manager) centraliza a configuração e permite roaming sem fios transparente. Documentação: MikroTik — CAPsMAN. 

# No router/controlador CAPsMAN
/capsman manager
set enabled=yes ca-certificate=auto certificate=auto

/capsman provisioning
add name=provisioning-default master-configuration=cfg-master \
    slave-configuration=cfg-slave name-format="cap-%I" name-prefix=""

/capsman configuration
add name=cfg-master ssid="kbase-PT" mode=ap \
    security.authentication-types=wpa2-psk \
    security.wpa2-pre-shared-key="PASSWORD_FORTE" \
    datapath.bridge=bridge-lan

# Nos APs (cAP ax), em modo CAP:
/interface wifiwave2 cap
set enabled=yes interfaces=wifi1,wifi2 discovery=multicast
/capsman manager interface
add interface=bridge-lan

Dica: Ativa 802.11r (fast transition) e 802.11k/v (BSS transition) na configuração CAPsMAN para roaming fluido entre APs. Em RouterOS v7.12+ o wifiwave2 suporta estas funcionalidades nativamente.

Rede WiFi guest isolada

# SSID guest sobre VLAN 20
/interface wifiwave2
add name=wifi-guest master-interface=wifi1 \
    configuration.ssid="kbase-guest" configuration.mode=ap \
    security.authentication-types=wpa2-psk security.wpa2-pre-shared-key="GUEST_PASS" \
    datapath.bridge=bridge-guest disabled=no

# VLAN 20 (guest) na bridge
/interface bridge vlan
add bridge=bridge-lan tagged=bridge-lan,wifi1 vlan-ids=20

10. Firewall MikroTik: filter rules, NAT, hardening

A firewall do MikroTik é uma das suas maiores vantagens sobre o FiberGateway — completamente programável, com listas de endereços dinâmicas, mangle para marcação de pacotes e logging granular. Documentação: MikroTik — Filter Rules e MikroTik — NAT.

Regras base (drop tudo por omissão)

# chain=input — tráfego para o próprio router
/ip firewall filter
add chain=input action=accept connection-state=established,related comment="established/related input"
add chain=input action=drop connection-state=invalid comment="drop invalid input"
add chain=input action=accept protocol=icmp comment="accept ICMP input"
add chain=input action=accept in-interface=bridge-lan comment="accept LAN input"
add chain=input action=drop comment="drop all other input"

# chain=forward — tráfego que atravessa o router
add chain=forward action=fasttrack-connection connection-state=established,related \
    comment="fasttrack"
add chain=forward action=accept connection-state=established,related \
    comment="established/related forward"
add chain=forward action=drop connection-state=invalid comment="drop invalid forward"
add chain=forward action=accept in-interface=bridge-lan out-interface=ether1 \
    comment="LAN -> WAN"
add chain=forward action=accept in-interface=bridge-lan out-interface=vlan-voip \
    comment="LAN -> VoIP"
add chain=forward action=accept in-interface=bridge-lan out-interface=vlan-iptv \
    comment="LAN -> IPTV"
# Regras IPTV/IGMP já acima
add chain=forward action=drop comment="drop all other forward"

NAT

# Masquerade LAN -> WAN (internet)
/ip firewall nat
add chain=srcnat out-interface=ether1 action=masquerade comment="NAT internet"

# NAT LAN -> VLAN 106 (VoIP) — alguns deployments precisam
add chain=srcnat out-interface=vlan-voip action=masquerade comment="NAT VoIP"

# NAT LAN -> VLAN 100 (IPTV) — alguns deployments precisam
add chain=srcnat out-interface=vlan-iptv action=masquerade comment="NAT IPTV"

Hardening

# desativar serviços desnecessários
/ip service disable telnet,ftp,www
/ip service set winbox address=192.168.88.0/24
/ip service set ssh address=192.168.88.0/24
/ip service set api address=192.168.88.0/24

# Ativar only HTTPS se necessário
/ip service set www-ssl disabled=no certificate=auto

# desativar MAC server (descoberta MAC)
/tool mac-server set 0 disabled=yes
/tool mac-server mac-winbox set 0 disabled=yes

# desativar bandwidth-server
/tool bandwidth-server set enabled=no

# desativar discovery
/ip neighbor discovery-settings set discover-interface-list=none

# Definir DNS cache apenas interno
/ip dns set allow-remote-requests=yes

# Time NTP
/system ntp client set servers=0.pool.ntp.org,1.pool.ntp.org enabled=yes

# Atualizar RouterOS
/system package update check

Aviso: Aplicar action=drop em chain=input/forward sem aceitar primeiro established/related bloqueia tudo, incluindo sessões legítimas em curso. A ordem das regras é determinística — testa sempre com uma sessão Winbox ativa antes de confirmar.

Address Lists dinâmicas (bloquear ataques)

# Bloquear hosts que fazem brute-force SSH/Winbox
/ip firewall filter
add chain=input protocol=tcp dst-port=22 action=add-src-to-address-list \
    address-list=ssh-blacklist address-list-timeout=1d \
    src-address-list=ssh-stage3 connection-state=new
add chain=input protocol=tcp dst-port=22 action=add-src-to-address-list \
    address-list=ssh-stage3 address-list-timeout=1m \
    src-address-list=ssh-stage2 connection-state=new
add chain=input protocol=tcp dst-port=22 action=add-src-to-address-list \
    address-list=ssh-stage2 address-list-timeout=1m \
    src-address-list=ssh-stage1 connection-state=new
add chain=input protocol=tcp dst-port=22 action=add-src-to-address-list \
    address-list=ssh-stage1 address-list-timeout=1m connection-state=new
add chain=input src-address-list=ssh-blacklist action=drop comment="drop SSH bruteforce"

Para uma comparação com firewalls mais robustas, consulta os artigos sobre FortiGate: Firewall Policies, NAT e VPN IPsec, OPNsense: Firewall, NAT, VPN e IDS e pfSense: Firewall, NAT e VPN.

11. Port forwarding e DMZ no MikroTik

O FiberGateway permite port forwarding limitado e tem um “DMZ” que mais não é do que um forwarding all-ports para um IP interno. No MikroTik tudo é configurável e granular. Documentação: MikroTik — NAT.

Port forwarding simples (dst-nat)

# Encaminhar porta 443 (HTTPS) para servidor interno 192.168.88.10
/ip firewall nat
add chain=dstnat in-interface=ether1 protocol=tcp dst-port=443 \
    action=dst-nat to-addresses=192.168.88.10 to-ports=443 \
    comment="HTTPS -> servidor interno"

# Encaminhar intervalo de portas RTP para PBX
add chain=dstnat in-interface=ether1 protocol=udp dst-port=10000-10500 \
    action=dst-nat to-addresses=192.168.88.20

Hairpin NAT (NAT loopback)

O hairpin NAT permite que um cliente interno aceda a um servidor interno usando o IP público (útil quando se usa DDNS e os clientes internos resolvem o mesmo nome). Sem hairpin, o tráfego sai e volta — com NAT duplo falha. 

# 1. dst-nat: tráfego que chega da WAN para 443
/ip firewall nat
add chain=dstnat in-interface=ether1 protocol=tcp dst-port=443 \
    action=dst-nat to-addresses=192.168.88.10 to-ports=443

# 2. hairpin: tráfego da LAN que tenta atingir o IP público
add chain=srcnat out-interface=bridge-lan src-address=192.168.88.0/24 \
    dst-address=192.168.88.10 protocol=tcp dst-port=443 \
    action=masquerade comment="hairpin NAT"

# 3. dst-nat: tráfego da LAN que tenta atingir o IP público
add chain=dstnat in-interface=bridge-lan protocol=tcp dst-port=443 \
    action=dst-nat to-addresses=192.168.88.10 to-ports=443

DMZ real

# Encaminhar TODAS as portas para 192.168.88.50 (DMZ host)
/ip firewall nat
add chain=dstnat in-interface=ether1 action=dst-nat \
    to-addresses=192.168.88.50 comment="DMZ host"

# Importante: a regra acima não cobre portas já usadas pelo router
# (22, 8291, etc.) — usar com cuidado e só se realmente necessário

Perigo: Configurar DMZ real expõe completamente o host interno à internet. Em 2026, com scanners automáticos a tentar explorar todos os IPs públicos em minutos, um DMZ sem firewall no host é um risco grave. Prefere port forwarding explícito e firewal rules de allowlist.

12. DDNS no MikroTik para acesso remoto

A MEO atribui IP dinâmico (e em muitos casos sob CGNAT, sem IP público real). Para acesso remoto confiável, há três caminhos:

  1. DDNS clássico com serviço público (DuckDNS, No-IP, ChangeIP) — só funciona se tiveres IP público (mesmo dinâmico).
  2. Cloudflare DDNS via API script — actualiza registo A no teu domínio com o IP público actual.
  3. Tunnel reverso / VPN (WireGuard, ZeroTier, Tailscale) — contorna CGNAT sem IP público. Ver CGNAT na MEO: Como Verificar e Contornar.

Script DDNS via Cloudflare API

# Script que corre de 5 em 5 minutos via /system scheduler
# Substituir CF_TOKEN, CF_ZONE, CF_RECORD
:local cfToken "SEU_TOKEN_CLOUDFLARE"
:local cfZone "ZONE_ID"
:local cfRecord "router.minhaempresa.pt"
:local cfApi "https://api.cloudflare.com/client/v4"

# Obter IP público actual
:local currentIP
/tool fetch url="https://api.ipify.org" mode=https keep-result=yes as-value
:set currentIP ($result)

# Buscar record ID
:local recordId
/tool fetch url="$cfApi/zones/$cfZone/dns_records?name=$cfRecord" \
    mode=https http-method=get http-header="Authorization:Bearer $cfToken" \
    keep-result=yes as-value
# (lógica de parse omitida — ver script completo na wiki)

# atualizar se diferente
/tool fetch url="$cfApi/zones/$cfZone/dns_records/$recordId" \
    mode=https http-method=put \
    http-header="Authorization:Bearer $cfToken,Content-Type:application/json" \
    http-data="{\"type\":\"A\",\"name\":\"$cfRecord\",\"content\":\"$currentIP\"}"

Scheduler para correr o DDNS

/system scheduler
add name=ddns-update interval=5m on-event="/system script run ddns-cloudflare" \
    start-time=startup comment="DDNS Cloudflare 5min"

Dica: Em 2026, a forma mais robusta de acesso remoto sem IP público é WireGuard com endpoint intermediário (VPS com IP público) ou Tailscale. O MikroTik suporta WireGuard nativamente em RouterOS v7. Documentação: MikroTik — WireGuard.

13. Troubleshooting

Após a migração, os três problemas mais comuns são IPTV parado, VoIP sem áudio e internet lenta. Esta secção cobre diagnóstico passo a passo.

IPTV parado / sem imagem

Sintoma Causa provável Comando de diagnóstico
STB não recebe IP VLAN 100 não configurada ou DHCP não chega ao STB /ip dhcp-client print where interface=vlan-iptv
Imagem congela / pixeliza Multicast não chega, IGMP snooping incorrecto /routing igmp-proxy interface print
Só primeiro canal funciona quick-leave desactivado, STB não envia leave /routing igmp-proxy set quick-leave=yes
Vários canais ao mesmo tempo na LAN IGMP snooping off — multicast flooded /interface bridge set bridge-lan igmp-snooping=yes 
# Ver tráfego IGMP e multicast em tempo real
/tool sniffer
set interface=bridge-lan protocol=igmp only-headers=no duration=60
start
# Ver grupos multicast aprendidos pelo snooping
/interface bridge mdb print

VoIP sem áudio (one-way audio)

  1. SIP ALG ativo — confirmar que está desactivado (ver secção 7).
  2. NAT incorrecto — o RTP usa portas altas; o masquerade tem de cobrir o intervalo UDP dinâmico. Verificar /ip firewall nat print para a regra src-nat na VLAN 106.
  3. Registo SIP sem renovar — verificar /ip firewall connection print para ligações UDP 5060 na VLAN 106.
  4. Rota para servidor SIP errada — a rota para a rede SIP deve sair pela VLAN 106, não pela internet.
  5. Firewall a bloquear RTP — confirmar regras forward aceitam UDP 10000-20000 (ou intervalo configurado no ATA/PBX).

Internet lenta / com perdas

# Verificar caudal e perdas na WAN
/interface monitor ether1 once
/interface pppoe-client monitor pppoe-meo

# Ver utilização de CPU (queues podem saturar)
/system resource print
/system resource cpu print

# Verificar se fasttrack está ativo
/ip firewall filter print where action=fasttrack-connection

# Teste de velocidade directa do router
/tool speed-test
# ou
/tool fetch url="https://speed.cloudflare.com/__down?bytes=104857600" mode=https

Informação: Em links MEO com mais de ~500 Mbps, o fasttrack é essencial — sem ele, a CPU do MikroTik torna-se o bottleneck porque todos os pacotes passam pelo caminho de firewall completo.

14. Erros comuns e soluções

Tabela consolidada de erros mais frequentes reportados em migrações do FiberGateway para MikroTik em Portugal.

Erro / sintoma Causa Solução
Sem internet após migrar VLAN errada ou tipo de ligação (PPPoE vs DHCP) incorrecto Sniffar WAN, confirmar modo de ligação com a MEO
VoIP regista mas não tem áudio SIP ALG ativo ou RTP bloqueado desativar SIP ALG, abrir RTP na firewall
IPTV só mostra 1 canal IGMP quick-leave off, leave não processado /routing igmp-proxy set quick-leave=yes
IPTV com pixelização Multicast flooded sem snooping ativar IGMP snooping na bridge LAN
Perda de registo SIP periódica Timeout UDP muito curto na firewall Aumentar UDP connection timeout para 60s+
Caudal muito abaixo do contratado Fasttrack desactivado ou CPU saturada ativar fasttrack; modelo MikroTik subdimensionado
DDNS não actualiza Script com erro de parse ou CGNAT Confirmar IP público real; usar tunnel reverso se CGNAT
Perde acesso remoto após reboot Serviços sem allowlist ou IP mudou Usar DDNS + allowlist dinâmica por DDNS
WiFi lento / desconexões Canal saturado ou driver antigo atualizar RouterOS; fazer site survey e mudar canal
Hairpin NAT não funciona Falta a regra src-nat masquerade na LAN Adicionar regra srcnat com out-interface=bridge-lan
ONT não sincroniza ONT não provisionada no OLT da MEO Contactar MEO para provisionar serial number
STB MEO não sintoniza STB espera DHCP option 60 vendor-class-id “MEO” Configurar DHCP server com option 60 match

Dica: Em migrações para PME, convém manter o FiberGateway da MEO em standby durante 1-2 semanas com a mesma VLAN wiring, para fallback rápido se algo correr mal com o MikroTik. Documentar a configuração original (export do FiberGateway) antes da troca.

15. Checklist de migração sem downtime

Migração completa do FiberGateway para MikroTik sem cortar serviço. Segue a ordem indicada; cada passo deve ser validado antes de avançar.

Antes da migração (preparação)

# Tarefa Verificação
1 Pedir ONT separada à MEO (ou confirmar DMZ) ONT entregue ou DMZ confirmada
2 Extrair credenciais SIP do FiberGateway User, password, servidor de registo
3 Sniffar tráfego WAN do FiberGateway Confirmar VLANs 100/106 (ou valores reais)
4 Backup da configuração do FiberGateway Export config guardado
5 atualizar MikroTik para RouterOS estável recente v7.14+ recomendado
6 Configurar MikroTik offline (VLANs, firewall, NAT) Backup/export pronto

Janela de migração (execução)

# Tarefa Verificação
7 Ligar ONT ao MikroTik (ether1) Luz PON/LOS verde estável
8 Aplicar config VLANs 100/106 + DHCP/PPPoE Recebe IP público na WAN
9 Testar internet (ping, speed-test) Caudal dentro do contratado
10 Aplicar IGMP proxy e snooping; testar STB Canais sintonizam sem pixelização
11 Configurar SIP/ATA/PBX; testar chamada Chamada com áudio bidireccional
12 Aplicar firewall hardening final Regras ativas, sem drops indevidos
13 ativar DDNS / tunnel remoto Acesso remoto funcional
14 Backup final do MikroTik (.backup + .rsc) Ficheiros guardados offsite

Pós-migração (verificação)

# Tarefa Verificação
15 Monitorizar logs 24-48h Sem drops, sem tentativas intrusão anormais
16 Testar reboot MikroTik (configuração persiste) Sobe tudo automaticamente
17 Confirmar IPTV/VoIP após 24h Registo SIP renovado, STB sem perdas
18 Desligar/devolver FiberGateway à MEO (se aplicável) Acta de devolução
19 Documentar config final + credenciais no gestor seguro Bitwarden/KeePass atualizado
20 Agendar revisão semestral (firmware, firewall, logs) Lembrete no calendário

Dica: Faz a janela de migração numa altura de baixo uso (domingo de manhã, por exemplo). Tem o FiberGateway da MEO guardado e pronto a religar em 5 minutos — se algo correr mal com o MikroTik, é só trocar o cabo WAN de volta para o FiberGateway e o serviço fica de pé enquanto depuras o problema.

Perigo: Em ligações MEO com IP dinâmico sob CGNAT, after a reboot o IP público interno (100.64.x.x) pode mudar. Se usares DDNS ou port forwarding, confirma se tens IP público real antes de investir tempo nessas configurações. Caso estejas sob CGNAT, a única forma fiável de acesso remoto é tunnel reverso (WireGuard/Tailscale) — ver CGNAT na MEO: Como Verificar e Contornar.

Conclusão

Substituir o FiberGateway da MEO por MikroTik em 2026 é uma operação perfeitamente viável que recupera controlo total sobre a rede — firewall granular, VPN nativa, WiFi 6 com roaming, QoS por VLAN e gestão sem interferência da operadora. O caminho passa por obter uma ONT separada (ou usar o FiberGateway em DMZ), descobrir as VLANs reais (100/106 ou alternativas), configurar PPPoE/DHCP na WAN, montar IGMP proxy para IPTV, configurar SIP com ALG desactivado, e aplicar firewall hardening completo. A migração bem feita resulta em melhor desempenho, mais segurança e flexibilidade muito superior ao equipamento da operadora.

Para aprofundar configurações de firewall e VPN em ambientes mistos MikroTik + outras marcas, consulta no kbase.pt os artigos FortiGate: Firewall Policies, NAT e VPN IPsec, DrayTek Vigor: Configuração Completa do Router, OPNsense: Firewall, NAT, VPN e IDS, pfSense: Firewall, NAT e VPN e CGNAT na MEO: Como Verificar e Contornar. Para documentação técnica oficial consulta RouterOS docs, VLAN, NAT, SIP, IGMP Snooping, CAPsMAN, WireGuard, WifiWave2, Filter Rules, Bridging and Switching da MikroTik e os RFC RFC 3261 (SIP), RFC 3376 (IGMPv3) do IETF.

Artigos Relacionados

← Voltar ao Índice

Este artigo foi útil?

Duarte Spínola

Artigos  

Deixe um Comentário