Proyecto · OLT V-SOL V1600G1-B + ONU V2808-8GL-PSE + Omada + Mikrotik

En un colegio de Neuquén teníamos que armar la red completa con el equipamiento que ya se había comprado. Lo que se pedía era esto:

• Fibra óptica a todo el edificio, desde la sala de rack hasta cada sector.
• Wifi en todos lados, con roaming entre aulas.
• Una red separada para cada sector: administración, profesores, tecnología, alumnos y salón de conferencias.
• Control del ancho de banda, por red y por usuario.
• Pizarras interactivas conectadas, a las que lleguen los profesores.
• Telefonía IP y cámaras de seguridad.

En esta entrada cuento cómo lo armamos: el diseño, la sala de rack, la red de fibra, la configuración del MikroTik, la OLT V-SOL y Omada, y el checklist que usamos para la puesta en marcha. La división del edificio en sectores está simplificada, pero la lógica es la del proyecto.

El equipamiento

Cómo funciona GPON, en dos minutos

Si nunca trabajaste con GPON, esto es lo que hay que tener claro antes de seguir.

Del puerto PON de la OLT sale un solo hilo de fibra hasta un splitter. El splitter divide la luz en 32 salidas, y cada salida va a una ONU. Desde la ONU en adelante ya es cobre: cable UTP a los APs, teléfonos, cámaras y PCs.

El splitter es pasivo: no se alimenta, no se configura y no tiene IP. La OLT ni sabe que existe. Solo ve las ONUs que hay detrás, cada una identificada por su número de serie.

Por el mismo hilo viajan la bajada y la subida, en dos longitudes de onda distintas. En la bajada (1490 nm) a todas las ONUs les llega todo, y cada una se queda con lo suyo. Para que una ONU no pueda leer el tráfico de otra, la bajada va cifrada con AES.

En la subida (1310 nm) cada ONU transmite en un turno que le asigna la OLT. Si dos transmitieran a la vez, las señales se pisarían en el splitter. El DBA (asignación dinámica de ancho de banda) decide cuánto turno le toca a cada una, según los T-CONT configurados.

Números para tener a mano: 2,488 Gbps de bajada y 1,244 Gbps de subida, compartidos entre todas las ONUs del mismo puerto PON, con un alcance típico de 20 km.

Las VLANs pasan por la fibra dentro de GEM ports. El MikroTik manda las VLANs tagueadas, la OLT mete cada una en un GEM port de la ONU, y la ONU la vuelve a sacar por el puerto LAN que corresponde:

El diseño general

Todo el ruteo lo hace el MikroTik. La OLT y las ONUs funcionan como un switch de capa 2 que lleva las VLANs desde la sala de rack hasta cada sector.

La V1600G1-B tiene 8 puertos PON. Usamos 4, uno por cada splitter 1x32, y cada splitter cubre un sector del edificio. Los otros 4 puertos quedan libres para crecer.

Pusimos los splitters en el rack y no en cada sector. Así quedan todos a mano para medir, cambiar o pasar una ONU de un puerto PON a otro. Cada sector recibe una troncal de 12 fibras, cada ONU usa un hilo, y los hilos que sobran quedan de reserva. En un edificio grande, con sectores muy lejos, también se puede llevar un solo hilo por sector y poner el splitter en el DIO.

La sala de rack

El rack de 45U y 1000 mm de profundidad quedó organizado por zonas. Arriba la fibra, en el medio la red y los servicios, y abajo la energía. La UPS y las baterías van abajo de todo porque son lo más pesado.

Entre cada grupo de equipos va un organizador de cables, y sobran organizadores y bandejas para crecer. Los 9U libres del medio sirven para un patch panel de cobre o un switch, si algún día hacen falta puertos en la misma sala.

Así quedaron los puertos del MikroTik:

Algo que tuvimos que resolver aparte: la UPS cubre el rack, pero no las ONUs de los sectores. Si se corta la luz en un sector, se apagan los APs, teléfonos y cámaras que dependen de esa ONU. Las opciones son conectar las ONUs a un circuito respaldado o poner una UPS chica en cada punto.

Plan de VLANs y direcciones

Las cinco redes del colegio son para los usuarios. Sumamos tres redes de infraestructura, para que la telefonía, las cámaras y la gestión de los equipos no compartan red con los usuarios.

En todas las redes el gateway es la .1. Los equipos con IP fija:

Qué puede hablar con qué:

• Todas las redes salen a internet, menos las cámaras.
• Profesores → Tecnología, para proyectar en las pizarras.
• Administración → Cámaras, para que la dirección vea el NVR.
• Gestión → todo, para administrar los equipos.
• Todo lo demás entre VLANs está bloqueado. Por ejemplo, desde Alumnos no se llega a Administración.

La red de fibra

Así va un hilo, de la OLT a la ONU:

1. OLT → splitter. Patch cord desde el SFP del puerto PON hasta la entrada del splitter, en la bandeja del rack.
2. Splitter → bandeja de la troncal. Cada salida del splitter se cruza con un patch al hilo de la troncal del sector.
3. Troncal de 12 fibras. Cable G.652D hasta el sector, con pigtails SC/APC fusionados en las dos puntas: bandeja en el rack, DIO en el sector.
4. DIO → roseta. Fibra drop plana hasta la roseta junto a la ONU, terminada con conectores de campo SC/APC.
5. Roseta → ONU. Patch cord hasta la ONU. De la ONU sale el cobre Cat6 a los puestos, con un jack CommScope en cada punta.

Ojo con los conectores

Antes de comprar los patch cords tuve que revisar los conectores de cada equipo. Todo el material de fibra que se compró es SC/APC (verde), pero muchos módulos SFP de OLT vienen SC/UPC (azul), y la V2808 también aparece publicada con puerto SC/UPC. La regla es azul con azul y verde con verde. Si se une un APC con un UPC, las puntas no apoyan bien, se pierden varios dB y se pueden rayar las férulas. Donde se cruzan los dos tipos van patch cords híbridos SC/UPC – SC/APC.

Presupuesto óptico

La luz pierde potencia en cada tramo, y casi toda la pérdida se la lleva el splitter:

Con un SFP clase B+ que entrega unos +3 dBm, la ONU recibe entre −17 y −18,5 dBm. Está lejos del límite de sensibilidad (−28 dBm), así que hay margen para suciedad, empalmes de reparación y envejecimiento. Si una ONU da peor que −25 dBm, lo más probable es un conector sucio o una fibra muy curvada.

Configuración del MikroTik

RouterOS 7. La cargué desde el puerto técnico, con Safe Mode activado. El VLAN filtering del bridge lo prendí al final, porque en ese momento cambia por dónde llega el acceso al router.

Bridge y VLANs

# Bridge único con todas las VLANs; filtering se activa al final
/interface bridge
add name=br-lan vlan-filtering=no

/interface bridge port
add bridge=br-lan interface=sfp-sfpplus1 frame-types=admit-only-vlan-tagged comment="Uplink OLT"
add bridge=br-lan interface=ether2 pvid=99 frame-types=admit-only-untagged-and-priority-tagged comment="OC200"
add bridge=br-lan interface=ether3 pvid=60 frame-types=admit-only-untagged-and-priority-tagged comment="UCM6304"
add bridge=br-lan interface=ether4 pvid=70 frame-types=admit-only-untagged-and-priority-tagged comment="NVR"
add bridge=br-lan interface=ether5 pvid=99 frame-types=admit-only-untagged-and-priority-tagged comment="UPS SNMP"
add bridge=br-lan interface=ether16 pvid=99 frame-types=admit-only-untagged-and-priority-tagged comment="Puerto tecnico"

/interface bridge vlan
add bridge=br-lan tagged=br-lan,sfp-sfpplus1 vlan-ids=10,20,30,40,50
add bridge=br-lan tagged=br-lan,sfp-sfpplus1 untagged=ether3 vlan-ids=60
add bridge=br-lan tagged=br-lan,sfp-sfpplus1 untagged=ether4 vlan-ids=70
add bridge=br-lan tagged=br-lan,sfp-sfpplus1 untagged=ether2,ether5,ether16 vlan-ids=99

/interface vlan
add interface=br-lan name=vlan10-admin vlan-id=10
add interface=br-lan name=vlan20-profes vlan-id=20
add interface=br-lan name=vlan30-tecno vlan-id=30
add interface=br-lan name=vlan40-alumnos vlan-id=40
add interface=br-lan name=vlan50-salon vlan-id=50
add interface=br-lan name=vlan60-voip vlan-id=60
add interface=br-lan name=vlan70-cctv vlan-id=70
add interface=br-lan name=vlan99-gestion vlan-id=99

/ip address
add address=10.10.10.1/24 interface=vlan10-admin
add address=10.10.20.1/24 interface=vlan20-profes
add address=10.10.30.1/24 interface=vlan30-tecno
add address=10.10.40.1/22 interface=vlan40-alumnos
add address=10.10.50.1/24 interface=vlan50-salon
add address=10.10.60.1/24 interface=vlan60-voip
add address=10.10.70.1/24 interface=vlan70-cctv
add address=10.10.99.1/24 interface=vlan99-gestion

DHCP

Un pool por VLAN. Acá van Administración, Alumnos y Gestión como ejemplo; el resto se arma igual. Alumnos y Salón llevan leases cortos porque los equipos cambian mucho. La red de cámaras no lleva DHCP: las cámaras van con IP fija.

/ip dns
set allow-remote-requests=yes servers=1.1.1.1,8.8.8.8

/ip pool
add name=pool-admin ranges=10.10.10.100-10.10.10.250
add name=pool-alumnos ranges=10.10.40.20-10.10.43.250
add name=pool-gestion ranges=10.10.99.100-10.10.99.200

# Opción 138: los APs Omada encuentran al OC200 (10.10.99.2 en hexadecimal)
/ip dhcp-server option
add name=omada-controller code=138 value=0x0a0a6302

/ip dhcp-server
add name=dhcp-admin interface=vlan10-admin address-pool=pool-admin lease-time=8h
add name=dhcp-alumnos interface=vlan40-alumnos address-pool=pool-alumnos lease-time=1h
add name=dhcp-gestion interface=vlan99-gestion address-pool=pool-gestion lease-time=1d

/ip dhcp-server network
add address=10.10.10.0/24 gateway=10.10.10.1 dns-server=10.10.10.1
add address=10.10.40.0/22 gateway=10.10.40.1 dns-server=10.10.40.1
add address=10.10.99.0/24 gateway=10.10.99.1 dns-server=10.10.99.1 dhcp-option=omada-controller

Listas de interfaces, firewall y NAT

/interface list
add name=WAN
add name=LAN
/interface list member
add list=WAN interface=ether1
add list=LAN interface=vlan10-admin
add list=LAN interface=vlan20-profes
add list=LAN interface=vlan30-tecno
add list=LAN interface=vlan40-alumnos
add list=LAN interface=vlan50-salon
add list=LAN interface=vlan60-voip
add list=LAN interface=vlan70-cctv
add list=LAN interface=vlan99-gestion

/ip firewall filter
# Acceso al router
add chain=input action=accept connection-state=established,related
add chain=input action=drop connection-state=invalid
add chain=input action=accept protocol=icmp
add chain=input action=accept in-interface=vlan99-gestion comment="Administrar el router solo desde Gestion"
add chain=input action=accept in-interface-list=LAN protocol=udp dst-port=53,67
add chain=input action=accept in-interface-list=LAN protocol=tcp dst-port=53
add chain=input action=drop
# Tráfico entre redes
add chain=forward action=accept connection-state=established,related
add chain=forward action=drop connection-state=invalid
add chain=forward action=drop in-interface=vlan70-cctv out-interface-list=WAN comment="Camaras sin internet"
add chain=forward action=accept in-interface-list=LAN out-interface-list=WAN comment="Salida a internet"
add chain=forward action=accept in-interface=vlan20-profes out-interface=vlan30-tecno comment="Profesores a pizarras"
add chain=forward action=accept in-interface=vlan10-admin out-interface=vlan70-cctv comment="Direccion ve camaras"
add chain=forward action=accept in-interface=vlan99-gestion comment="Gestion llega a todo"
add chain=forward action=drop comment="Resto entre VLANs bloqueado"

/ip firewall nat
add chain=srcnat out-interface-list=WAN action=masquerade

No hay regla de FastTrack a propósito: el tráfico que pasa por FastTrack saltea las colas de ancho de banda que se arman más abajo.

Activar el filtrado de VLANs

# Desde ether16 vas a quedar en VLAN 99: poné tu notebook en 10.10.99.x o tomá DHCP
/interface bridge set br-lan vlan-filtering=yes

Configuración de la OLT V-SOL

La idea es que todas las ONUs usen el mismo mapeo de VLANs. Así una SSID tiene la misma VLAN en todo el edificio y el roaming funciona. Lo que cambia entre ONUs es qué VLAN sale por cada boca. Los nombres de los menús cambian según el firmware, pero los pasos son estos:

1. Gestión de la OLT. Cambiar la contraseña por defecto. IP 10.10.99.3/24, gateway 10.10.99.1, gestionada por la VLAN 99 a través del uplink. Deshabilitar Telnet si se usa SSH o la web.
2. VLANs. Crear las VLAN 10, 20, 30, 40, 50, 60, 70 y 99, y agregarlas todas como tagueadas en el uplink.
3. Perfiles DBA. Definen cuánto puede subir cada ONU. La gestión y la telefonía llevan ancho asegurado, las cámaras un mínimo garantizado, y los datos usan lo que quede libre.
4. Perfil de línea. T-CONTs y GEM ports, cada GEM asociado a su VLAN. Un único perfil para todas las ONUs del colegio.
5. Perfiles de puertos. Uno por tipo de ONU: aula, administración y salón/laboratorio. Indican qué VLAN sale por cada boca, si va tagueada o no, y si lleva PoE.
6. Autorizar las ONUs. En la lista de ONUs no autorizadas aparece el número de serie (SN) de cada una. Se autoriza, se le asignan los perfiles y se le pone un nombre con su ubicación, por ejemplo B-05-Aula-3B. SN, ubicación y puerto PON van a una planilla.
7. Verificar. Cada ONU tiene que estar online, con Rx entre −8 y −25 dBm y una distancia coherente con el recorrido real.

T-CONTs y GEM ports

Así, si los alumnos saturan la subida, el teléfono y la gestión de los APs siguen funcionando, y las cámaras no pierden grabación.

Bocas de la ONU según el lugar

Acá tuve que hacer la cuenta del PoE, porque todo lo que cuelga de cada ONU se alimenta desde ella. La página oficial de la V2808-8GL-PSE no dice el presupuesto total; algunas tiendas publican 120 W, con hasta 30 W por boca. Una ONU de aula alimenta un AP (≈ 17 W), dos cámaras (≈ 7 W cada una) y un teléfono (≈ 3 W): unos 34 W en total, así que el margen sobra aunque el total real fuera bastante menor. Lo que sí controlé boca por boca es que la del AP entregue 802.3at (PoE+), que es lo que pide el EAP620 HD.

Wifi con Omada

1. OC200. IP fija 10.10.99.2, conectado al ether2 del MikroTik. Sitio "Colegio", país Argentina, zona horaria de Buenos Aires.
2. Adopción. Los APs toman IP en la VLAN 99, que les llega sin tag por la boca LAN1 de la ONU. Con la opción 138 del DHCP encuentran al OC200 y aparecen como pendientes. Se adoptan y se les pone nombre por aula.
3. SSIDs. Cada una con su VLAN, según la tabla de abajo.
4. Roaming. Fast Roaming (802.11k/v/r) y band steering activados en la configuración del sitio. Si algún equipo viejo de los alumnos no se conecta con 802.11r, se puede dejar 802.11r solo en las redes del personal.
5. Radio. 5 GHz a 20 o 40 MHz en las aulas, para que los APs vecinos no se pisen. 2,4 GHz a 20 MHz en los canales 1, 6 y 11. Potencia media: hay un AP cada pocas aulas y no hace falta más.
6. Horarios. Con la programación de WLAN, la red de alumnos se apaga fuera del horario escolar.

Cinco SSID es un buen máximo. Cada SSID suma anuncios en el aire y le quita tiempo de transmisión a los clientes. Si después hacen falta otras redes, mejor sumarlas solo en los APs donde se usan.

Para proyectar desde una notebook de Profesores a una pizarra en Tecnología, el firewall ya deja pasar el tráfico. Si la pizarra se descubre por mDNS (AirPlay o Chromecast), el MikroTik tiene que repetir esos anuncios entre las dos VLANs. Desde RouterOS 7.16 se hace así:

/ip dns set mdns-repeat-ifaces=vlan20-profes,vlan30-tecno

Telefonía y cámaras

Telefonía IP

La UCM6304 queda en 10.10.60.2, y los 20 teléfonos van en la VLAN 60, alimentados por PoE desde la ONU. Para que los teléfonos se aprovisionen solos, el DHCP de la VLAN 60 entrega la opción 66 con la IP de la central:

/ip dhcp-server option
add name=prov-ucm code=66 value="'10.10.60.2'"
/ip dhcp-server network
set [find address=10.10.60.0/24] dhcp-option=prov-ucm

El GRP2602P tiene dos bocas. Para conectar una PC detrás del teléfono, la boca de la ONU tiene que ir en trunk: la VLAN de la PC sin tag y la 60 tagueada, y en el teléfono se configura la VLAN 60.

Cámaras

• NVR en 10.10.70.2 y cámaras de 10.10.70.11 a .35, sin salida a internet.
• Para ver las cámaras desde afuera, una VPN en el MikroTik (WireGuard) en vez de abrir puertos o usar el P2P del fabricante.
• Retención estimada: 25 cámaras de 8 MP en H.265 a unos 4 Mbps generan cerca de 1 TB por día. Con 16 TB son unas dos semanas de grabación continua. Grabando por detección de movimiento dura bastante más.

Control de ancho de banda

Se controla en dos niveles. El MikroTik limita el total de cada red y lo reparte en partes iguales entre los usuarios conectados (PCQ). Omada pone un tope por usuario en cada SSID. Los valores son para un enlace de ejemplo de 600 Mbps; hay que ajustarlos al servicio contratado.

# PCQ: reparte el total de cada cola en partes iguales entre las IPs activas
/queue type
add name=pcq-bajada kind=pcq pcq-classifier=dst-address pcq-rate=0
add name=pcq-subida kind=pcq pcq-classifier=src-address pcq-rate=0

# max-limit = subida/bajada
/queue simple
add name=profesores target=10.10.20.0/24 max-limit=100M/250M queue=pcq-subida/pcq-bajada
add name=tecnologia target=10.10.30.0/24 max-limit=50M/150M queue=pcq-subida/pcq-bajada
add name=alumnos target=10.10.40.0/22 max-limit=80M/200M queue=pcq-subida/pcq-bajada
add name=salon target=10.10.50.0/24 max-limit=40M/100M queue=pcq-subida/pcq-bajada

La suma de los límites pasa los 600 Mbps a propósito. Casi nunca están todas las redes al máximo a la vez, y así ninguna red sola puede ocupar todo el enlace.

La puesta en marcha

Antes de llevar los equipos al colegio, armamos un modelo sobre la mesa: MikroTik, OLT, un splitter, dos ONUs, un AP, un teléfono y una cámara. Ahí cargamos la configuración completa y la probamos, así llegó probada a la instalación. Fue el mejor momento para encontrar los detalles, como los conectores APC y UPC, sin tener a nadie esperando.

Para la instalación en el edificio armamos este checklist, y fue esencial para hacer un buen trabajo. Lo fuimos tachando punto por punto:

• Medir cada hilo de la troncal con power meter u OTDR y rotular las dos puntas.
• Todas las ONUs online, con Rx entre −8 y −25 dBm.
• Cada boca de cada ONU entrega IP de la VLAN que corresponde.
• Recorrer el edificio con una videollamada por wifi y comprobar que el roaming no la corta.
• Medir velocidad en cada SSID y verificar los límites.
• Desde Alumnos, comprobar que no se llega a 10.10.10.0/24 ni a la OLT.
• Desde Profesores, proyectar en una pizarra.
• Llamadas entre internos y hacia afuera.
• El NVR graba las 25 cámaras y la dirección las ve.
• Cortar la luz del rack, ver cuánto dura la UPS y si llegan las alertas SNMP.
• Guardar copias de configuración: /export del MikroTik, OLT, backup de Omada, UCM y NVR.
• Planilla final: SN de cada ONU, ubicación, puerto PON, hilo y nivel de Rx.

La planilla del último punto es lo que más se agradece después. Cuando una ONU da problemas, con el nombre ya sabés dónde está, por qué puerto PON entra y qué Rx tenía el día de la instalación.

Si querés profundizar en Omada, están las entradas del controlador Omada en Docker y de la configuración inicial del ER605.