Internet 5G dla firmy poza miastem - MikroTik LAMP 5G R16 na maszcie: z 13,5 na 316 Mb/s

Artykuł towarzyszy filmowi na moim kanale YouTube - film pokazuje rękę na sprzęcie i realne odczyty z terminala, a tekst porządkuje teorię, kryteria wyboru i checklisty, do których wygodnie wracać. Wszystkie liczby pochodzą z rzeczywistych pomiarów wykonanych podczas tego wdrożenia, nie z folderu reklamowego. Klient pozostaje anonimowy - opisuję mechanizm, nie adres.

Punkt wyjścia: radiolinia, która znika przy burzy

Dom na obrzeżach małego miasta - z jednej strony pole, z pozostałych wysokie świerki. Klient to administrator, który z domu zarządza serwerami po SSH i RDP. Internet od lokalnego operatora radiowego w taryfie „30/5" dawał w pomiarze 13,5 Mb/s pobierania i 2,7 Mb/s wysyłania przy pingu 68 ms, a przy każdej większej burzy łącze po prostu przestawało działać. Dla kogoś z otwartą sesją na produkcyjnym serwerze to nie jest niedogodność - to przestój w pracy.

Zanim padła decyzja o zakupie, wszedłem na dach obejrzeć, co tam wisi: Ubiquiti NanoStation M5 po latach na słońcu, z panelem wskaźników wykruszonym przez promieniowanie UV na wylot i wodą wchodzącą do środka. Działało wbrew wszystkiemu, ale na takim stanie nie buduje się pracy zdalnej.

Wymagania spisaliśmy przed oglądaniem sprzętu - i to jest lekcja numer zero każdego wdrożenia: stabilność ważniejsza niż maksymalna przepustowość, publiczny stały adres IP (bo klient chce wchodzić do swojej sieci z zewnątrz i wpisać jeden adres na listy dostępowe firewalli), sensowny upload pod SSH, RDP i backupy oraz montaż zewnętrzny z zasilaniem PoE.

Antena „17 dBi", która działa gorzej niż kawałek drutu

Intuicja instalatora podpowiada: obrzeża, pola, daleko od nadajnika - bierz antenę kierunkową z dużym zyskiem. Na krótkiej liście miałem anteny MikroTik z serii LHG, reklamowane zyskiem 17 dBi. Problem w tym, że zysk anteny zawsze zależy od częstotliwości, a nagłówek broszury podaje wartość szczytową.

Wykres zysku w funkcji częstotliwości z oficjalnej dokumentacji producenta pokazuje, że te 17 dBi antena osiąga w zakresie 1800-2600 MHz. Przy 800 MHz (pasmo B20) zostaje z tego 4-5 dBi, a przy 900 MHz (pasmo B8) zysk spada poniżej zera - do około minus pięciu decybeli. Zysk ujemny oznacza, że duża, poważnie wyglądająca antena kierunkowa działa na tym paśmie gorzej niż zwykły dipol, czyli symboliczny kawałek drutu.

A które pasma najczęściej zostają poza dużym miastem, daleko od nadajnika? Właśnie te niskie - 700, 800, 900 MHz, bo najlepiej się propagują. Marketingowe 17 dBi jest tam, gdzie sygnał i tak tłumi się najszybciej. Wniosek, który stosuję przy każdym zakupie: zawsze czytamy wykres, nigdy nagłówek.

Geometria wygrywa ze specyfikacją: mapa nadajników przed sklepem

Drugi krok kosztuje zero złotych i daje więcej niż wszystkie parametry razem wzięte: sprawdzenie, co faktycznie nadaje wokół lokalizacji. Serwis stacjebazowe.pl to darmowa mapa nadajników w Polsce z pasmami, azymutami sektorów i profilami terenu liczonymi z danych LiDAR - widać nie tylko gdzie stoi stacja, ale też czy między nią a dachem jest czysta linia widoczności.

W tym przypadku wyszło coś ciekawego: trzy stacje jednego operatora rozrzucone w łuku prawie dwustu stopni azymutu, najbliższa 700 metrów od domu. Z masztu widać to gołym okiem - jedno czyste okno na pole, reszta zasłonięta ścianą drzew. I tu pytanie kontrolne: jaki sens ma antena kierunkowa, skoro cele są w trzech różnych kierunkach? Żaden. Kierunkowa przywiązuje klienta do jednej stacji - jak ona ma gorszy dzień, klient ma gorszy dzień. Antena dookólna pozwala modemowi samemu wybrać najlepszą opcję w danym momencie.

W centrum miasta, z jednym nadajnikiem za oknem, wybór byłby odwrotny. Nie ma uniwersalnej odpowiedzi „kierunkowa czy dookólna" - jest odpowiedź wynikająca z geometrii konkretnej lokalizacji. Najpierw teren, potem sklep.

Dlaczego MikroTik LAMP 5G R16

Tak wygrał MikroTik LAMP 5G R16 - zewnętrzny router 5G z anteną dookólną, modemem Quectel RG520F (5G Release 16) i RouterOS na pokładzie. Trzy rzeczy ze specyfikacji miały realne znaczenie. Po pierwsze: pełne 5G SA i NSA, z obsługą pasma n78 (3400-3800 MHz), czyli głównego pasma szybkiego 5G w Polsce. Po drugie: MIMO 4×4 w dół i - rzadkość w tej klasie sprzętu - MIMO 2×2 w górę, dzięki czemu upload nie jest kaleką. Po trzecie: eSIM obok fizycznej karty SIM, co otwiera furtkę na zapasowy profil drugiego operatora.

Do tego dochodzi rzecz bezcenna przy urządzeniu wiszącym na maszcie: pełny RouterOS zamiast okrojonego panelu webowego. Firewall, terminal, komendy AT do modemu, skrypty - wszystko to, czego potrzebowałem w dalszej części wdrożenia, było na pokładzie.

Czego nie znajdziesz w broszurze producenta

Spot MikroTika o LAMP 5G R16 trwa dwie minuty i nie zawiera ani jednej liczby. Jego główne hasło brzmi „no more aiming antennas" - koniec z celowaniem anten. To prawda, ale tylko wtedy, gdy stacji jest kilka i stoją w różnych kierunkach; z jedną daleką stacją ta sama antena dookólna przegra z kierunkową. Spot tego nie powie, bo to zależy od adresu klienta, nie od urządzenia. Poniżej pięć rzeczy, które trzeba wiedzieć przed zakupem, a których w materiałach producenta nie ma.

Zysk anteny zależy od pasma. „17 dBi" z nagłówka może oznaczać minus pięć decybeli na paśmie, które akurat jest jedynym sensownym w danej lokalizacji. Liczy się wykres zysku w funkcji częstotliwości, nie wartość szczytowa.

Które pasmo nadaje najbliższa stacja, sprawdzasz sam. Producent nie wie, czy stacja 700 metrów od domu ma n78, czy tylko n1 i n28. Darmowa mapa nadajników z profilami terenu odpowiada na to w minutę.

W trybie NSA interfejs w spoczynku pokaże LTE, choćby 5G działało. Spot mówi o „LTE fallback", czyli zapasie. W NSA to mylące: LTE jest kotwicą, bez której warstwa 5G w ogóle nie wstaje. Diagnozuj pod obciążeniem.

„Stały IP" od operatora może być CGNAT-em. Test trwa minutę i ma jedno kryterium: adres na interfejsie musi być identyczny z adresem widzianym z internetu.

Publiczny adres to strzelnica od pierwszej sekundy. „RouterOS zrobi resztę" nie obejmuje wyłączenia telnetu i logowania hasłem. W logu z tego wdrożenia pierwsze pukanie botów przyszło dwie sekundy po podniesieniu adresu.

Testy na biurku, czyli zasada „na drabinie się nie debuguje"

Każdy sprzęt, który ma trafić na dach, przechodzi u mnie pełną weryfikację na biurku. Powód jest prozaiczny: diagnozowanie problemów na drabinie, przy zamontowanym urządzeniu, jest powolne, niewygodne i niebezpieczne. Wszystko, co da się sprawdzić na dole, sprawdzam na dole. Urządzenie trafiło najpierw do mnie, do Gorzowa - w zasięgu dwóch stacji z pasmem C, czyli idealnego laboratorium do sprawdzenia, co modem potrafi w dobrych warunkach.

I dobrze, bo pierwsza niespodzianka przyszła od razu: modem z kartą klienta, w mieście, w zasięgu dwóch stacji z 5G na 3600 MHz - a odczyt pokazuje czyste LTE. Gdzie 5G, za które klient płaci? Zamiast zgadywać, przeprowadziłem eliminację czterech możliwych przyczyn: zasięg (dwie stacje z n78 w promieniu 500 metrów - odpada), konfiguracja modemu (komendy AT pokazały tryb AUTO, nic niezablokowane, n78 na liście pasm - odpada), firmware (najnowszy - odpada) i karta SIM.

„Nie ma 5G" - najczęstsza pomyłka przy 5G NSA

Rozwiązanie zagadki nie leżało w karcie, tylko w mojej metodzie pomiaru. 5G w wariancie NSA (Non-Standalone) nie działa samodzielnie - warstwa 5G dokłada się do połączenia LTE dopiero wtedy, gdy faktycznie płyną dane. Modem w spoczynku może pokazywać samo LTE, choćby 5G działało wzorowo. Mierzyłem łącze na jałowym biegu i wyciągałem wnioski o silniku.

Jest i druga strona tego medalu, którą odkryłem przy nagrywaniu materiału: pole stanu połączenia na porcie AT modemu potrafiło raportować brak aktywnej sesji w chwili, gdy przez łącze płynęło ponad 360 Mb/s. Etykiety stanu kłamią w obie strony - raz ukryją działające 5G, raz pokażą warstwę NR, której nikt nie używa.

Prawdę mówią dwa wskaźniki, których nie da się podrobić: modulacja i realny transfer. W spoczynku modem pracuje na QPSK z zerowym indeksem MCS. Pod obciążeniem modulacja skacze na 64QAM po stronie LTE i 256QAM na warstwie 5G, a agregacja skleja nośną kotwiczną LTE z nośną n78 o szerokości 100 MHz i dodatkowymi pasmami LTE. Dlatego określenie „LTE fallback" z materiałów producenta jest w NSA nieprecyzyjne: LTE nie jest zapasem, tylko kotwicą, bez której 5G nie działa wcale. Diagnozując 5G, generuj ruch i patrz na modulację oraz przepływność - nie na etykiety.

Pomiary seriami: download zmienny, upload jak skała

Skoro 5G działa - pomiary. I kolejna zasada: pojedynczy speedtest to anegdota, dowodem jest seria pomiarów o różnych porach. Poza szczytem: 312/70 Mb/s. Wieczorem w szczycie: 251/77 Mb/s. Innego wieczoru, o tej samej porze: 459/79, a chwilę później 518/79 Mb/s. Rozrzut pobierania o setki megabitów między pomiarami to nie wada sprzętu, tylko ekonomia współdzielonego sektora - przepustowość zależy od chwilowego obciążenia stacji bardziej niż od czegokolwiek w konfiguracji.

Najciekawszy jest jednak upload: 70, 77, 79 Mb/s - praktycznie stały niezależnie od pory i obciążenia. To bezpośredni efekt MIMO 2×2 w górę i dokładnie to, czego potrzebuje administrator pracujący zdalnie, bo SSH, RDP i backupy jadą właśnie „w górę". Przy wyborze sprzętu pod pracę zdalną parametry uplinku są ważniejsze niż rekordowy download.

Publiczny adres czy CGNAT w przebraniu? Test w jedną minutę

Operatorzy komórkowi domyślnie wypuszczają klientów przez CGNAT - translację adresów po stronie operatora, w której setki abonentów dzielą jeden publiczny adres. Internet działa normalnie, ale ruch przychodzący - VPN, zdalny dostęp, monitoring - nie ma szans dotrzeć. Jeśli płacisz za „stały publiczny IP", warto zweryfikować, co naprawdę dostałeś.

Test trwa minutę i ma jedno kryterium: adres na interfejsie modemu musi być identyczny z adresem, który widzi internet (dowolna strona typu „what is my IP"). Ważny niuans z tego wdrożenia: adres za CGNAT-em wcale nie musi pochodzić z podręcznikowej puli 100.64.0.0/10 - na zwykłym APN-ie modem dostał adres z klasycznej puli prywatnej 10.0.0.0/8, a operatorzy potrafią użyć nawet adresów wyglądających na publiczne. Kryterium testu to zgodność obu adresów, nie ich „wygląd". Na APN-ie ze stałym IP oba adresy były identyczne - ruch przychodzący działa.

Hardening: boty znalazły adres w dwie sekundy

Publiczny adres IP zobowiązuje - i mam na to pomiar, nie opinię. Na routerze z publicznym adresem dodałem regułę firewalla, która niczego nie blokuje, tylko loguje każdy nowy pakiet przychodzący z internetu. Reguła weszła o 13:01:01. Pierwszy wpis pojawił się o 13:01:03 - dwie sekundy później ktoś z drugiego końca świata zapukał do portu 23, czyli telnetu. W pierwszej minucie doszły próby na SSH, port Plexa, UPnP i zdalny pulpit. W ciągu dwóch i pół godziny reguła zliczyła blisko 2900 takich pakietów.

To nie jest atak wymierzony w konkretnego klienta - boty skanują całą przestrzeń adresową internetu bez przerwy, a świeży adres trafia na strzelnicę od pierwszej sekundy. Dlatego minimum higieny wykonuję zawsze przed montażem, nie po: wyłączenie nieużywanych usług (telnet, FTP, WWW, API), przypięcie WinBox i SSH do segmentu zarządzania, logowanie SSH wyłącznie kluczem Ed25519 z wyłączonym logowaniem hasłem oraz wyłączenie domyślnego konta admin - po zweryfikowaniu nowego konta w osobnej sesji. Kolejność jest kluczowa: najpierw sprawdzasz, że nowe konto działa, dopiero potem zamykasz stare.

Wynik: z laboratorium na maszt

Po montażu na maszcie u klienta urządzenie zarejestrowało się z kotwicą LTE o parametrach lepszych niż w laboratorium (RSRP -70 dBm, SINR 18 dB) i dołożonym pasmem n78 ze stacji oddalonej o blisko półtora kilometra - tej dalszej, bo najbliższa nadaje 5G tylko na niskich pasmach. Speedtest z docelowej pozycji: 316/76 Mb/s - wynik praktycznie równy referencyjnym pomiarom miejskim poza szczytem.

Względem starej radiolinii, mierzonej z tej samej lokalizacji tego samego dnia (13,5/2,7 Mb/s), oznacza to dwudziestotrzykrotność pobierania i dwudziestoośmiokrotność wysyłania. Warto dodać uczciwie: pomiar wrześniowy, z liśćmi na drzewach, to warunki bliskie najgorszym w roku, a fluktuacje sygnału o kilka decybeli przy wietrze to norma, nie usterka. Ocena stabilności wymaga obserwacji przez tygodnie - i taka obserwacja właśnie trwa.

Jeśli to nie Ty będziesz to konfigurować: dwa pytania do informatyka

Większość tego artykułu jest dla osoby, która trzyma terminal. Jeśli jesteś właścicielem firmy i po prostu chcesz stabilnego łącza, zapamiętaj tylko dwa pytania, które warto zadać swojemu informatykowi albo instalatorowi, zanim ktokolwiek kupi sprzęt.

„Zanim kupisz antenę, pokaż mi, które pasmo nadaje najbliższa stacja." Odpowiedź powinna zawierać nazwę pasma i odległość do stacji, a nie zysk anteny z pudełka. Jeśli pada „17 dBi", to nie jest odpowiedź na to pytanie.

„Czy nasz adres na tym łączu jest publiczny, czy za CGNAT-em?" Jeśli firma potrzebuje zdalnego dostępu, VPN-u albo monitoringu, od tej odpowiedzi zależy, czy łącze w ogóle nadaje się do celu. Jeśli na któreś z pytań nie ma odpowiedzi w minutę, sprzęt nie powinien jeszcze jechać na dach.

Częste błędy i pułapki

Kupowanie anteny po zysku z nagłówka. Wartość „17 dBi" dotyczy zwykle wąskiego zakresu częstotliwości. Na pasmach niskich, które poza dużym miastem bywają jedynymi sensownymi, ta sama antena może mieć zysk ujemny. Zawsze proś o wykres zysku w funkcji częstotliwości i sprawdzaj wartości dla pasm, które realnie odbierzesz.

Ufanie taryfie zamiast pomiarowi. „30/5" w umowie okazało się 13,5/2,7 w speedteście. Zanim ocenisz, czy nowe łącze jest warte inwestycji, zmierz stare - to jedyny uczciwy punkt odniesienia.

Diagnozowanie 5G NSA w spoczynku. Bez aktywnej transmisji modem może pokazywać samo LTE, choć 5G działa poprawnie. Połowa „niedziałającego 5G" opisywanego w internecie to pomiary w stanie idle. Najpierw wygeneruj ruch, potem mierz.

Ślepa wiara w pola stanu modemu. Firmware potrafi raportować brak połączenia przy transferze setek megabitów i odwrotnie. Wiarygodne są modulacja (QPSK kontra QAM), agregacja nośnych i rzeczywista przepływność - nie etykiety.

Wyciąganie wniosków z jednego speedtestu. Przepustowość sieci komórkowej zależy od chwilowego obciążenia sektora. Miarodajna jest seria pomiarów o różnych porach dnia, z zapisaną godziną każdego pomiaru.

Ocenianie CGNAT po puli adresowej. „Nie mam adresu 100.64.x.x, więc nie mam CGNAT" - to błędne rozumowanie. Operator może użyć puli 10.x albo adresów wyglądających na publiczne. Jedynym kryterium jest zgodność adresu na interfejsie z adresem widzianym z internetu.

Wystawienie urządzenia na publiczny adres przed hardeningiem. Pierwsze pukanie botów przychodzi w sekundy, nie w godziny. Usługi trzeba przyciąć, dostęp przypiąć do sieci zarządzania, a logowanie hasłem wyłączyć, zanim urządzenie dostanie publiczny adres - nie po.

Wyłączanie starego konta admin przed weryfikacją nowego. Żelazna zasada: nowe konto testujesz w osobnej, równoległej sesji i dopiero po udanym logowaniu zamykasz stare. Kto zrobił to odwrotnie, ten wie, po co istnieje tryb recovery.

FAQ — najczęściej zadawane pytania

Czy internet 5G poza dużym miastem w ogóle ma sens?

Coraz częściej tak. Operatorzy rozbudowują pasmo n78 także w mniejszych miejscowościach, a zewnętrzny router z dobrą anteną potrafi odebrać sygnał ze stacji oddalonej o kilometr i więcej. Kluczem jest weryfikacja przed zakupem: mapa nadajników, pasma dostępnych stacji i profil terenu powiedzą więcej niż jakakolwiek reklama.

Antena kierunkowa czy dookólna do internetu LTE/5G?

To zależy od geometrii lokalizacji. Jedna stacja daleko i czysty kierunek - kierunkowa. Kilka stacji w różnych kierunkach - dookólna, bo pozwala modemowi wybierać najlepszą opcję w danym momencie. Sprawdź też wykres zysku anteny dla pasm, które realnie odbierzesz - nie wartość z nagłówka.

Producent mówi „koniec z celowaniem anten". Czy antena dookólna jest zawsze lepsza?

Nie. Hasło ze spotu jest prawdziwe w scenariuszu, dla którego LAMP powstał: kilka stacji w zasięgu, instalacje mobilne lub flotowe, brak czasu na ustawianie. Przy jednej dalekiej stacji i czystym kierunku antena kierunkowa z dodatnim zyskiem na właściwym paśmie da lepszy wynik. Decyzję podejmuje się na mapie nadajników i wykresie zysku, nie na haśle.

Dlaczego mój modem 5G pokazuje tylko LTE?

Najczęściej dlatego, że patrzysz na odczyt w spoczynku. W 5G NSA warstwa piątej generacji dokłada się do połączenia LTE dopiero pod ruchem. Wygeneruj transfer (np. speedtest) i sprawdź odczyt ponownie - w tym wdrożeniu dopiero wtedy pojawiała się warstwa NR z pasmem n78.

Jak sprawdzić, czy mam CGNAT?

Porównaj adres IP na interfejsie WAN routera z adresem, który pokazuje dowolna strona „what is my IP". Jeśli są różne - jesteś za CGNAT i ruch przychodzący z internetu do Ciebie nie dotrze. Uwaga: adres za CGNAT może pochodzić z puli 10.x, 100.64.x, a nawet wyglądać na publiczny - liczy się wyłącznie zgodność obu adresów.

Po co administratorowi publiczny stały adres IP?

Żeby łączyć się z własną siecią z zewnątrz (VPN do domu, zdalny dostęp, monitoring) i - co w tym wdrożeniu było kluczowe - żeby wpisać jeden stały adres na listy dostępowe firewalli zarządzanej infrastruktury. Dostęp po SSH i RDP do serwerów ograniczony do jednego źródłowego adresu to prosty i skuteczny element obrony.

Jakie prędkości realnie daje pasmo n78 poza miastem?

W tym wdrożeniu, ze stacją n78 oddaloną o około 1,5 km: 316/76 Mb/s z docelowej pozycji na maszcie, przy pomiarach miejskich sięgających 518/79 Mb/s. Wynik zależy od odległości, przeszkód terenowych i obciążenia sektora - dlatego zawsze mierz serią pomiarów, nie pojedynczym testem.

Czy router 5G na maszcie wymaga specjalnego zasilania?

Nie - urządzenia klasy LAMP 5G R16 zasilane są przez PoE, czyli tym samym kablem sieciowym, którym płyną dane. Na dach prowadzisz jeden przewód, a injector PoE zostaje w domu. Zadbaj o uszczelnienie przepustu kablowego (dławik) i przemyśl kwestię ochrony przeciwprzepięciowej.

Jak zabezpieczyć router z publicznym adresem IP?

Minimum: wyłącz nieużywane usługi (telnet, FTP, panel WWW, API), ogranicz dostęp do zarządzania do sieci lokalnej, przełącz SSH na logowanie kluczem z wyłączonym logowaniem hasłem i wyłącz domyślne konto administratora po zweryfikowaniu nowego. Zrób to przed wystawieniem urządzenia na publiczny adres - boty znajdą go w sekundy.

Co dalej — film i kolejne odcinki

Całe wdrożenie - z realnymi odczytami z terminala, wykresem zysku anteny i logiem botów pukających do świeżego adresu - zobaczysz w odcinku na kanale: MikroTik LAMP 5G R16 na maszcie: z 13 Mb/s na 316. Pierwszy polski test. Trzy najkrótsze dowody z tego wdrożenia - antena „17 dBi" gorsza od kawałka drutu, „nie ma 5G, a jest" oraz boty po dwóch sekundach - znajdziesz też jako Shorty na kanale. W kolejnym odcinku otwieram cykl o NIS2 od strony praktyka, zaczynając od kopii zapasowych: pełna, różnicowa, dziennik transakcji i opcja Copy Only, która potrafi uratować albo zniszczyć cały łańcuch kopii. Montaż na maszcie krok po kroku, weryfikacja kabla testerem i tryb passthrough trafią do osobnego odcinka montażowego.

Jeśli takie tematy - sieci, serwery i bezpieczeństwo infrastruktury od strony praktyka - są Ci bliskie, subskrybuj kanał Praktycznie o informatyce, żeby nie przegapić kolejnych odcinków.