Po co w ogóle myśleć o LTE/5G jako łączu awaryjnym
Łącze zapasowe ma utrzymać podstawowe procesy biznesowe, gdy główny internet przestaje działać lub traci parametry. Router LTE/5G jako łącze awaryjne daje mobilność, szybkość wdrożenia i często niższy koszt niż druga światłowodowa trasa. Klucz jest w realistycznych oczekiwaniach: to nie kopia światłowodu, lecz bezpiecznik, który ma dostarczyć wystarczająco stabilnego łącza do krytycznych zadań. O powodzeniu decydują nie tyle same megabity, co opóźnienia, jitter, utrata pakietów i sposób przełączania sesji.
Poniżej znajdziesz praktyczne kryteria, jak ocenić realne transfery LTE/5G, jaka latencja jest osiągalna w normalnych warunkach oraz jak projektować stabilność w sieci firmowej, żeby przełączenie nie bolało użytkowników i systemów.
Brief pytań praktycznych od administratora
- Jakich realnych transferów i opóźnień mogę oczekiwać po LTE i 5G w godzinach pracy?
- Czy łącze komórkowe „pociągnie” VoIP, wideokonferencje i VPN SSL/IPsec bez chrupania?
- Jak zorganizować przełączanie (failover), żeby sesje nie zrywały się przy każdym flapie łącza?
- Co z publicznym adresem IP, CGNAT, IPv6 i dostępem z zewnątrz do usług?
- Jaki router klasy biznes poradzi sobie z dual-WAN, QoS i monitorowaniem SLA?
- Jak testować i dokumentować stabilność, żeby nie bazować na jednorazowym speedteście?
- Jakie scenariusze awarii są najczęstsze i jak ich uniknąć jeszcze przed wdrożeniem?
Kiedy LTE/5G ma sens jako łącze awaryjne w sieci firmowej
Profile ruchu: co naprawdę musi działać
Awaryjne LTE/5G ma utrzymać kluczowe usługi, a nie całą „normalną” konsumpcję. Najczęściej priorytetami są: VoIP i softphone’y, wideokonferencje w niskich rozdzielczościach, RDP/SSH do serwerów, ERP/CRM w chmurze, SaaS (poczta, komunikacja), tunel VPN do centrum danych oraz dostęp do aplikacji webowych. Backupy, aktualizacje systemów, synchronizacje chmur i streaming powinny być odcięte lub ograniczone na łączu mobilnym.
Prosty szacunek: małe biuro 15–30 osób, przy redukcji „tła” (Windows Update, OneDrive, YouTube), mieści się zwykle w 10–40 Mb/s downlink i 5–20 Mb/s uplink. Dla biura sprzedaży z intensywnym VoIP krytyczny jest uplink i jitter – nawet 5–10 Mb/s UL z niskim jitterem bywa wystarczające.
Przepustowość a opóźnienia: realne oczekiwania
LTE w realiach miejskich zapewnia zazwyczaj 20–150 Mb/s DL i 5–40 Mb/s UL, z opóźnieniami rzędu 25–70 ms (ping do sieci operatora) i jitterem 5–20 ms. Na 5G NSA typowe transfery to 100–500 Mb/s DL i 20–80 Mb/s UL, a opóźnienia często 15–35 ms. 5G SA w Polsce bywa ograniczone zasięgowo; tam, gdzie działa dobrze, potrafi zejść poniżej 15–20 ms. W godzinach szczytu stacje bazowe potrafią znacząco zwolnić – to trzeba uwzględnić, testując dokładnie wtedy, gdy biuro pracuje.
Różnica jakości łącza bywa większa między lokalizacjami niż między LTE a 5G: bliskość stacji, warunki radiowe (RSRP/RSRQ/SINR), obciążenie komórki i priorytety abonamentu mają kluczowe znaczenie.
Limity danych i koszty przy długich awariach
W planie awaryjnym przewiduj, że awaria może trwać dłużej niż godzinę. Wiele planów „nielimitowanych” ma FUP (Fair Usage Policy) – po przekroczeniu progu prędkości spadają. To akceptowalne, jeżeli QoS przytnie ruch niekrytyczny i pozostawi pasmo dla usług firmowych. Przy braku FUP lub ostrym lejku warto wdrożyć harmonogramy i traffic shaping: wyłącz aktualizacje, blokuj backupy, ograniczaj wideokonferencje do SD.
Sprzęt: routery, modemy i anteny, które nie zawiodą
Klasy rozwiązań sprzętowych: od sticka do SD‑WAN
Wariant minimalny to router z portem USB i modemem LTE jako backup. Działa, ale często bez zaawansowanego QoS, z ograniczonym monitoringiem SLA i przeciętnym radiem. Solidniejsze są routery SOHO/SMB z wbudowanym modemem LTE‑A/5G i gniazdami antenowymi – dostarczają dual‑WAN, podstawowy load‑balancing, reguły ruchu i monitoring. Klasa enterprise to urządzenia z 5G (często 4×4 MIMO), dual‑SIM, zasilaniem redundantnym, bogatym QoS, SD‑WAN i integracją z chmurą. Alternatywa: zewnętrzny CPE 5G na dachu (PoE) + router brzegowy w szafie.
Dopasowanie klasy sprzętu do ryzyka: jeżeli downtime liczy się w tysiącach złotych na godzinę, odkładanie budżetu na antenę i monitoring to fałszywa oszczędność. Dla mikrobiura wystarczy stabilny LTE‑A z dobrym uplinkiem i prostym QoS.
Moduły radiowe i pasma: na co zwrócić uwagę
LTE‑A (LTE‑Advanced) z agregacją pasm (CA) i 2×2/4×4 MIMO robi różnicę zwłaszcza w mieście. Obsługa pasm używanych przez operatora lokalnie (np. B3, B7, B20, B1, B28) i możliwość „band lock” daje przewidywalność. W 5G warto sprawdzić, czy urządzenie wspiera n78 (3,5 GHz) w twojej okolicy i jak pracuje w NSA (Non‑Standalone) – to najczęstszy scenariusz. 5G SA (Standalone) bywa dostępne punktowo; zysk to często niższe opóźnienia i stabilniejszy uplink.
Tip: w specyfikacji szukaj informacji o kategoriach LTE (Cat 12/18/20) i MIMO 4×4. W 5G sprawdź tryb EN‑DC (LTE+NR), bo to on decyduje o realnych prędkościach w NSA.
Anteny, sygnał i montaż: RSRP/RSRQ/SINR w praktyce
Parametry radiowe, które mają sens dla administratora: RSRP (moc sygnału), RSRQ (jakość) i SINR (stosunek sygnału do szumu). W skrócie: RSRP lepiej niż −95 dBm i SINR powyżej 10 dB zwiastują stabilne łącze dla VoIP; RSRQ powyżej −10 dB to dobry znak. Zewnętrzna antena kierunkowa, poprawny kąt i możliwie krótki przewód koncentryczny (tłumienie!) często stabilizują jitter bardziej niż „gonienie” maksimów prędkości.
Jeżeli budynek ekranowany, rozważ zewnętrzny CPE 5G/LTE i kabel ethernet do szafy. Zadbaj o uziemienie, odgromienie i przepusty kablowe – szczególnie na dachach i masztach. Dobrze skonfigurowany „band lock” potrafi wyciąć kapryśne pasmo z kiepskim uplinkiem, co poprawia RDP/VoIP.
Polaryzacja i MIMO mają realny wpływ na stabilność. Anteny krzyżowo spolaryzowane (±45°) poprawiają separację torów i redukują interferencje, ale tylko wtedy, gdy oba przewody są podobnej długości i jakości.
Przełączanie bez bólu: mechanizmy failover i trzymanie sesji
Przełączenie musi reagować na degradację jakości, a nie tylko „link down”. Zamiast polegać na samym stanie interfejsu WAN, skonfiguruj aktywne testy SLA (ICMP/TCP/UDP) do kilku celów jednocześnie: brama operatora, niezależny host w Internecie i adres w twoim DC/chmurze. Dopiero spadek dostępności/jakości u co najmniej dwóch celów powinien uruchamiać failover.
Kluczem są progi i histereza: np. 3 nieudane próby w ciągu 3 s (czas przełączenia ~3–5 s), powrót dopiero po 30–60 s stabilnych wyników. Dodaj tłumienie flapów (dampening), aby uniknąć „ping-ponga” między WAN‑ami. W SD‑WAN użyj per‑class SLA (oddzielne progi dla głosu i „reszty”).
Sesje a NAT: klasyczny NAT na brzegu nie „przeniesie” trwających połączeń na drugi WAN z innym adresem publicznym – TCP zrywa, SIP re‑REGISTER, RDP reconnect. Minimalizujesz ból, gdy:
- tunelujesz ruch krytyczny (VoIP/VPN) przez stały endpoint (IP w DC/chmurze),
- dla aplikacji HTTP/HTTP3 (QUIC) i Teams/Zoom zezwalasz na szybki reconnect (krótkie time‑outy NAT, brak agresywnego ALG),
- w SD‑WAN włączasz „session preservation” i steering całych przepływów, nie per‑pakiet.
Uwaga: ALG SIP w wielu routerach psuje sygnalizację za NAT‑em komórkowym. Wyłącz ALG i używaj SIP over TLS + SRTP albo trunku za VPN‑em. W praktyce to mniej resetów w trakcie przełączeń.
VPN przez łącze komórkowe: IPsec/SSL, MTU i CGNAT
CGNAT u operatora mobilnego zwykle eliminuje przekierowania portów. Rozwiązania:
– APN z publicznym IPv4 (Dynamic/Static) lub IPv6 z delegacją prefixu; w ofertach biznes często dostępne po zgłoszeniu. Alternatywa: tunel wychodzący do stałego punktu (VPS/DC) i terminowanie ruchu tam (WireGuard/IPsec/SSL‑VPN).
NAT‑T i IKEv2: dla IPsec w sieci mobilnej standardem jest NAT‑T (UDP/4500). Ustal DPD (Dead Peer Detection) 10–15 s i krótkie czas życia SA (np. 1 h), żeby szybciej przełączyć się na drugi WAN bez wiszących stanów. Dla SSL‑VPN (TLS) użyj keepalive na 10–15 s.
MTU/MSS: enkapsulacja + NAT‑T potrafią zredukować efektywny MTU. Zacznij od:
– test PMTUD: ping z flagą „bez fragmentacji” do endpointu tunelu i stopniowo zwiększaj rozmiar,
– ustaw TCP MSS‑clamp w tunelu na 1360–1380 bajtów (zależnie od stosu i szyfrowania),
– jeśli trafiasz na fragmentację, obniż MTU interfejsu tunelu (np. 1400–1420).
Wydajność szyfrowania: sprawdź, czy router akceleruje IPsec (AES‑GCM) w sprzęcie. Słaby CPU przy 5G „udławi” tunel mimo dobrego radia. Dla wielu lokalizacji rozważ hub‑and‑spoke: centralny węzeł w chmurze z BGP/OSPF nad IPsec (lub SD‑WAN), co upraszcza sterowanie trasami podczas failover.
QoS na łączu mobilnym: jak utrzymać głos i RDP
Kształtowanie (shaping) po stronie LAN/WAN jest ważniejsze niż „priorytet” u operatora. Ustaw shaping uplinku ~80–90% najniższej stabilnej wartości UL obserwowanej w godzinach szczytu – redukuje to bufferbloat w komórce. Dobre efekty daje fq_codel/cake z klasami dla: głos (EF), interaktywny (AF31/CS6), reszta (Best Effort), tło (CS1).
Klasyfikacja: ufaj znacznikom DSCP z sieci LAN (telefony/SBC/softphony), albo oznaczaj przy brzegu. Zadbaj o politykę dla UDP (VoIP/VDI) – ma priorytet, ale ogranicz policerem, aby pojedyncza konferencja nie „zjechała” całego UL. Ruch chmurowych dysków, aktualizacji i kopii oznacz na CS1 i twardo tnij w godzinach pracy.
Tip: jeśli router wspiera AQM, zacznij od target ~5–10 ms i interval ~100 ms dla uplinku. Przy wideokonferencjach stabilność (stały bitrate) > chwilowe piki.
Monitoring i testy w godzinach szczytu
Pomiary rób tam, gdzie boli: 9:00–12:00 i 13:00–16:00. Zbieraj wskaźniki per WAN i per tunel: latency, jitter (P95), utrata pakietów, dostępność sond do min. trzech celów. ICMP to za mało – dodaj TCP (np. port 443) oraz UDP (np. 50000/rtp) do własnego endpointu.
Jako test obciążeniowy użyj iperf3 UDP z 1–5 Mb/s w kilku strumieniach, rejestrując jitter i loss. Dla ruchu rzeczywistego sprawdź MOS dla VoIP (jeśli SBC to wspiera) oraz średni bitrate Teams/Zoom na spotkaniu testowym.
Testy awaryjne: przetnij fizycznie główny WAN lub wyłącz trackowane trasy. Kryteria akceptacji: czas przełączenia poniżej 5–10 s dla ruchu ogólnego, poniżej 3 s dla tunelu krytycznego (lub szybki reconnect aplikacji), brak utraty routingu zwrotnego. Zapisz procedurę (runbook): kto, czym i gdzie sprawdza, oraz gdzie są logi/metryki.
Dostęp z zewnątrz i adresacja przy CGNAT
Jeśli musisz „wystawić” usługę z biura w czasie pracy na LTE/5G, unikaj prób przekierowań portów za CGNAT. Zamiast tego:
– utrzymuj stały tunel wychodzący do hosta z publicznym adresem (VPS, DC), tam publikuj NAT/Reverse Proxy,
– dla aplikacji web użyj tuneli aplikacyjnych (np. reverse tunnel/ZTNA),
– z IPv6 możesz uzyskać delegację prefixu i publikować usługi natywnie – pod warunkiem kontroli filtracji i stabilności prefixu po przełączeniu SIM/komórki.
DNS: krótkie TTL dla rekordów usługowych i automatyczna aktualizacja (API) pomagają, ale bez stałego IP po stronie mobilnej to proteza – lepiej terminować ruch poza biurem.
Karta SIM, APN i wybór operatora
Nie każdy plan „nielimitowany” jest równy. Sprawdź FUP oraz apn‑class (priorytety QCI/5QI w 3GPP) – oferty M2M/Business miewają stabilniejszy UL i mniejszy jitter. Testuj co najmniej dwie sieci w tej samej lokalizacji; różnice wynikają z obciążenia komórek, nie tylko z „5G vs LTE”.
Dual‑SIM/dual‑operator: konfiguracja z różnymi operatorami redukuje ryzyko awarii regionalnej. Ustal profile APN: publiczny IPv4/IPv6 tam, gdzie wymagany jest inbound lub stabilny tunel. Zablokuj roaming międzynarodowy i włącz krajowy (jeśli wspierany) tylko jako plan B z ograniczeniami QoS.
Dwa krótkie scenariusze wdrożeń
Małe biuro sprzedaży (20 osób, VoIP + SaaS)
Router z 5G NSA + antena zewnętrzna MIMO, dual‑WAN z histerezą 3/30 s. QoS: EF dla SIP/RTP, AF31 dla RDP, CS1 dla OneDrive/Teams recordings. IPsec IKEv2 do DC z MSS‑clamp 1360. Harmonogram: w godzinach 9–17 blokada aktualizacji i backupów. Monitoring: TCP/443 i UDP/RTP do DC + ICMP do bramy operatora, alert po P95 jitter > 25 ms przez 2 min.
Oddział produkcyjny (SCADA + RDP, brak ekspozycji do Internetu)
Zewnętrzny CPE 5G na dachu (PoE) w trybie bridge do routera brzegowego. Brak publicznego IP – stały tunel WireGuard do chmury (VPS), route‑only do sieci centrali. Shaping UL na 8 Mb/s (90% najniższego stabilnego), fq_codel. Failover ćwiczony kwartalnie: odcięcie światłowodu na 5 min, weryfikacja utrzymania sesji RDP i czasu powrotu tras.
Najczęstsze wpadki i jak ich uniknąć
– Opieranie decyzji na jednym speedteście wieczorem; brak pomiarów jitter/loss w szczycie.
– Brak histerezy i tłumienia flapów – sieć „tańczy” między WAN‑ami co kilkanaście sekund.
– ALG SIP włączony przy tunelowaniu VoIP – losowe rejestracje i rwanie rozmów.
Sprzęt i radio: co naprawdę decyduje o transferze i pingu
W 5G NSA uplink często „idzie” przez LTE (EN‑DC), więc UL bywa słabszy niż DL mimo świetnego sygnału NR. Na pasmach TDD (np. n78) proporcje ramek DL/UL ograniczają czas na wysyłkę – przy obciążonej komórce ping i jitter rosną szybciej pod obciążeniem UL niż DL. 5G SA potrafi obniżyć RTT o kilka–kilkanaście ms i ustabilizować jitter, ale wymaga realnego zasięgu SA oraz wsparcia w routerze i sieci operatora.
Parametry radia, które najlepiej korelują z stabilnością (nie samym „szybkim” speedtestem): RSRQ i SINR. RSRP bywa wysoki nawet przy zakłóceniach, a to SINR i jakość schedulerów decydują o retransmisjach i skokach opóźnień.
- RSRQ: ≥ −9 dB – zwykle stabilny uplink i niskie straty; ≤ −12 dB – spodziewaj się retransmisji i jitteru.
- SINR: ≥ 10 dB – 64QAM działa sensownie; ≥ 18–20 dB – 256QAM i stabilny DL/UL; < 5 dB – pływające pingi mimo „pełnego zasięgu”.
- NSA RTT (do sieci operatora): typowo 18–40 ms bez obciążenia; w szczycie +10–30 ms i jitter P95 10–25 ms.
- Realne przepływności w biurach (sub‑6): DL 80–300 Mb/s „na czysto”, UL 10–50 Mb/s; w szczycie połowa tych wartości bywa normalna.
Router i anteny: modem z obsługą agregacji co najmniej 3CA w LTE i EN‑DC (NR + LTE) daje bardziej przewidywalny DL; UL ratuje 2×2 lub 4×4 MIMO z sensownym SINR i krótkimi przewodami RF (niska tłumienność). Nie każdy CPE 5G ma pełne 4×4 MIMO na wszystkich pasmach – sprawdź „band combos” w specyfikacji, zwłaszcza jeśli zakładasz lock pasm.
Tip: testuj pod obciążeniem UL (np. iperf3 UDP 2–5 Mb/s) i patrz na jitter/loss. Jeśli przy UL > 60–70% obserwujesz skok pingów, ustaw shaping na granicy, przy której jitter nie rośnie lawinowo.
Uwaga: „band lock” bez „cell lock” może ściągnąć ruch na zatłoczoną komórkę o tym samym paśmie. Jeśli router wspiera wybór eNB/gNB/PCI – lockuj świadomie, po wcześniejszym skaningu i porównaniu RSRQ/SINR oraz obciążenia.
Zasilanie, watchdogi i zdalne utrzymanie
Zapas energii: UPS z rzeczywistym czasem podtrzymania dla routera + CPE (często 10–25 W łącznie) i PoE‑injecora. W praktyce 30–60 min wystarczy, by „przeskoczyć” krótką przerwę bez przełączeń sesji.
Watchdog radiowy: skonfiguruj mechanizm, który po braku przejścia testów SLA do >1 celu przez np. 90–120 s wykona sekwencję: zresetuj interfejs komórkowy → przełącz profil APN → ewentualnie power‑cycle modemu (jeśli sprzęt wspiera). To gasi zawieszki stosu RIL/NR po długim handoverze.
Zdalny dostęp serwisowy: out‑of‑band przez drugi profil/SIM (CGNAT też wystarczy, jeśli łączysz się po zestawionym wcześniej tunelu wychodzącym). Alternatywa: PDU z funkcją zdalnego restartu PoE dla CPE na dachu. PIN na SIM wyłącz, a dane APN trzymaj w bezpiecznym profilu z autostartem – po zaniku zasilania sprzęt ma wstać sam.
Przykład z praktyki: po burzy PoE‑switch „wstał”, ale zewnętrzny CPE wisiał na zasilaniu. PDU z watchdogiem pingującym adres w chmurze zrobił automatyczny power‑cycle portu PoE po 120 s braku odpowiedzi – zespół nie musiał jechać na lokalizację.
Watchdogi konfiguruj warstwowo: najpierw retry testów i krótkie hold‑down na poziomie IP (np. 3–5 prób co 5 s), potem odświeżenie PDP/PDN (rekonfiguracja interfejsu komórkowego), a dopiero na końcu twardy power‑cycle modemu. Rozróżniaj awarie radiowe od problemów routingu: jeśli ICMP/TCP do bramy operatora działa, a cele w Internecie nie – nie resetuj modemu, tylko przełącz trasę lub tunel. Dobrą praktyką jest liczenie i eksport metryk resetów, powodów i czasów powrotu do zdrowia, żeby wykryć pętle naprawcze; zbyt agresywny watchdog potrafi pogarszać SLA bardziej niż sporadyczna degradacja radia.
Integracja z SD‑WAN i sterowanie ruchem przy degradacji
W SD‑WAN nie chodzi o „on/off”, tylko o reagowanie na brązowe awarie (brownout). Zdefiniuj progi per aplikacja, a nie globalnie dla całego linku. Przy wideokonferencjach lepszy jest dynamiczny steering na podstawie P95 jitter i utraty pakietów niż sama średnia latencji. Dla EF/VoIP ustaw przełączenie przy jitter P95 > 25 ms lub loss > 1%, z powrotem dopiero po 3–5 min stabilności poniżej progu (histereza).
Agregacja aktywna/aktywna sens ma tylko przy różnych operatorach. Per‑packet load‑balancing na tym samym sektorze komórkowym wprowadzi reorder i buforowanie – dla głosu lepsza jest duplikacja pakietów (packet replication) wyłącznie dla kilku klas ruchu, nigdy globalnie. FEC/duplikacja podnosi narzut o 15–30%, więc na łączu z FUP stosuj to oszczędnie i selektywnie.
Przykład: dla Teams/Zoom użyj tunelu SD‑WAN z buforem odtwarzającym 30–50 ms i włącz duplikację RTP tylko przy loss > 0,5% utrzymującą się dłużej niż 10 s. Dla SaaS/HTTP pozostań na podstawowym WAN nawet przy wyższym jitterze – toleruje więcej, a nadmiarowy overhead na LTE/5G szybciej „spala” pakiet danych.
Uwaga: „bonding” linków mobilnych (MLVPN/overlay z re‑orderem) działa, ale latencja rośnie o rozmiar bufora wyrównującego (często 40–120 ms). Nie stosuj go dla interaktywnego RDP/VoIP, jeśli podstawowy WAN jest jeszcze żywy i to on może nieść sesje wrażliwe.
MTU, MSS i oznaczenia DSCP w tunelach na LTE/5G
Ścieżka mobilna rzadko przenosi efektywne 1500 bajtów dla payloadu, zwłaszcza z IPsec/WireGuard i CGNAT. Jeśli PMTUD jest „wyciszone”, dostaniesz czarne dziury MTU (brak odpowiedzi na większe pakiety), co objawia się losowym wieszaniem połączeń TLS lub fragmentacją w środku tunelu i skokami RTT.
Bezpieczne wartości startowe: clamp MSS na 1360 dla IPsec/UDP (NAT‑T) oraz 1380–1400 dla WireGuard. Zawsze włącz kopiowanie DSCP do tunelu (np. copy‑dscp), bo wiele sieci mobilnych czyści znaczniki w ruchu otwartym – QoS zachowasz tylko wewnątrz zestawionego tunelu do miejsca, gdzie sterujesz kolejkowaniem.
- Krótka checklista MTU: ping z DF i rosnącym rozmiarem do własnego peer IP w tunelu; potwierdź brak fragmentacji w obie strony; włącz clamp na interfejsie LAN i w politykach VPN; sprawdź w zrzucie pakietów, czy DSCP/ECN przenosi się przez enkapsulację (pole TOS w nagłówku zewnętrznym).
Tip: jeśli ruch HTTP/S „wisi” tylko dla niektórych serwisów, przetestuj curl z –‑http1.1 i –‑http2 osobno. HTTP/2 częściej ujawnia błędne MTU przez długie strumienie i pakiety z TLS‑record > 1400 B.
FUP, limity i budżet danych – jak nie „zjeść” zapasu w godzinę
Plan awaryjny bez polityki zużycia danych kończy się zwykle twardym lejkiem w środku dnia. Zaplanuj budżet: miesięczny i dzienny. W symulacji przyjmij średni czas pracy na łączu mobilnym w miesiącu (np. 4–6 h) oraz spodziewany bitrate klas ruchu. Ustaw progi ostrzegawcze na 50/75/90% pakietu – i akcje automatyczne: blokada aktualizacji systemów, zatrzymanie backupów, ograniczenie bitrate wideokonferencji do SD.
W SD‑WAN lub na routerze dodaj liczniki per interfejs i per klasa, a także politykę „failback asap”: po powrocie światłowodu ruch masowy wraca natychmiast, ale przełącz dla nowych sesji; stare sesje real‑time migrują przy przerwie naturalnej lub po czasie T (np. 10 min), żeby nie wywoływać rwania rozmów.
Scenariusz z życia: weekendowa awaria i automatyczny re‑sync 1,5 TB plików po otwarciu biura. Dwie godziny później – FUP i 1 Mb/s na cały oddział. Remedium: tagowanie OneDrive/Drive jako CS1 + reguła PBR „Deny on LTE/5G” w godzinach 8–18 oraz harmonogram wymuszający pauzę synchronizacji na stacjach przy interfejsie mobilnym.
Instalacja anten i CPE na zewnątrz – szczegóły, które robią różnicę
UL i jitter częściej cierpią na słabym SINR niż na samym poziomie sygnału. Dla paneli MIMO ustaw polaryzacje ±45° i wykonaj powolny obrót w azymucie z obserwacją SINR/RSRQ pod lekkim obciążeniem UL (np. iperf3 UDP 2 Mb/s). Lockuj pasma/komórki dopiero po takim skaningu.
Unikaj długiego koncentryka – na 3,5 GHz tłumienie rośnie szybko; lepiej wynieść cały CPE na dach i zejść PoE/Ethernetem (mniej strat, prostszy serwis). Zastosuj odgromnik gazowy na koncentryku lub ochronniki PoE na skrętce, uziemienie masztu i pętlę okapową przewodów. Skrócisz czas powrotu po burzy i ograniczysz „dziwne” zawieszki modemu po przepięciu.
Tip: jeśli w okolicy są dwie stacje z tym samym pasmem, ale różnym obciążeniem, drobna zmiana tilt/azymutu potrafi „przeskoczyć” na mniej zajętą komórkę. Sprawdź po locku, czy handovery nie wracają uparcie do gorszej eNB/gNB.
Kiedy LTE/5G nie jest dobrym „backupem ogólnym”
Jeśli procesy w firmie wymagają stałego, dużego UL (render farmy w chmurze, ciągła replikacja macierzy), łącze mobilne będzie tylko ostatnią deską ratunku dla dostępu użytkowników, a nie dla systemów. W takiej sytuacji rozdziel rolę: mobilne wyłącznie dla ruchu interaktywnego i pracy biurowej, a zadania „ciężkie” zablokuj lub przenieś na bezpieczne okna czasowe. Lepszy ograniczony dostęp niż całkowita zapaść łącza po przekroczeniu FUP.
Najczęstszy strzał w stopę: traktowanie LTE/5G jak „drugiego światłowodu” i pozostawienie bez zmian aktualizacji, backupów i synchronizacji. Bez twardych polityk i progów budżetu danych nawet najlepszy QoS nie obroni łącza przed samoczynnym zatorowaniem i lejkowaniem w kluczowym momencie.
APN, CGNAT, IPv6 i łączność przychodząca bez publicznego IP
Większość kart M2M/Mobile operuje za CGNAT, więc ruch przychodzący nie dojdzie bezpośrednio. Trzy warianty do wyboru: prywatny APN z publicznym (często statycznym) adresem, odwrotne tunele wychodzące (reverse tunnel) do centrali lub SD‑WAN/overlay utrzymujący sesję z inicjatywy oddziału. Drugi i trzeci wariant są bardziej odporne na zmiany adresacji i reset PDP.
Keepalive’y pod CGNAT: UDP bywa wygaszany po 30–120 s bez ruchu. Ustaw podtrzymania 15–25 s dla tuneli UDP (WireGuard, IPsec NAT‑T), a dla TCP rozważ skrócenie SO_KEEPALIVE i/lub „ping” aplikacyjny, bo NAT często nie respektuje długich interwałów systemowych. Jeśli ESP/IPsec jest filtrowany, wymuś NAT‑T (UDP/4500) i sprawdź, czy operator nie ogranicza fragmentacji.
IPv6 na mobilnym bywa stabilniejsze, ale częste są scenariusze v6‑only + NAT64/CLAT. Sprawdź, czy router wspiera 464XLAT; bez CLAT część aplikacji v4‑only „zniknie”, mimo że ping do adresów v6 działa. DNS64 potrafi „schować” problem – w testach rób zapytania A i AAAA osobno, a w bazowych regułach firewalla dopuść zarówno v4, jak i v6 w tunelu.
Jeśli potrzebny jest dostęp serwisowy „z zewnątrz”, prostsze i tańsze od publicznego IP bywa stałe połączenie wychodzące z oddziału do jump‑hosta w DC. Po restarcie router sam zestawia tunel, a ty łączysz się odwróconą stroną. Działa także przy CGNAT i rotacji adresu.
Pomiar jakości i SLO dla łącza awaryjnego
Sam „link up” nic nie znaczy, gdy wideokonferencje klatkują. Zdefiniuj SLO per klasa ruchu i mierz je aktywnie, niskim wolumenem. Testy syntetyczne do 2–3 niezależnych celów: brama operatora (referencja radiowa), węzeł w kraju (rdzeń), węzeł zagraniczny (trasa). Mierz RTT, jitter P95/P99 i stratę w oknach kroczących 1–5 min; oddziel UL i DL (np. TWAMP/OWAMP lub iperf3 UDP z ograniczonym bitrate).
Korelacja metryk radiowych z IP dużo tłumaczy. Loguj RSRP/RSRQ/SINR, pasma/PCI/eNB/gNB i obciążenie komórki (jeśli CPE je podaje), a obok wskaźniki IP. Skok RSRQ i jednoczesny wzrost jitteru zwykle oznacza przeciążenie sektora, a nie awarię routera. Z drugiej strony stały RTT do bramy operatora i wyraźny wzrost do Internetu – to problem trasy/peeringu, a nie radia.
Praktyka: krótkie testy UDP 200–500 kb/s raz na minutę wystarczą do wniosków o jitter/loss, nie „przepalając” pakietu danych. Dla VoIP trzymaj oddzielny pomiar w klasie EF (DSCP 46) wewnątrz tunelu, żeby realnie widzieć kolejki po twojej stronie.
Przełączanie tras i NAT bez zrywania sesji bardziej niż to konieczne
Mechanika przełączeń powinna mieć histerezę i warstwy. Najpierw PBR (policy‑based routing) per klasa: ruch interaktywny i sterowanie przełącza się szybciej, masowy – z opóźnieniem i tylko jeśli naprawdę musi. Następnie statyczne trasy z obiektem track (SLA) i opóźnieniami down/up (np. delay‑down 10–20 s, delay‑up 60–180 s), a na końcu decyzje SD‑WAN.
NAT i ciągłość sesji: jeśli ruch idzie w overlayu (tunel stale terminowany w DC), 5‑tuplet aplikacji nie zmienia się przy zmianie WAN – sesje przetrwają. Jeśli korzystasz z NAT bez overlayu, przełączenie WAN zmieni IP źródłowe i większość TCP się rozłączy. Wtedy ogranicz failover do nowych połączeń dla klas wrażliwych, a istniejące utrzymuj na „starym” WAN do naturalnego wygaśnięcia (preempt delay).
Dodatkowo: osobne pule NAT na każdy WAN i spójne reguły QoS, żeby uniknąć różnic w klasyfikacji po przełączeniu. Blackhole/Null0 dla prefiksów docelowych bez trasy zapobiega „rozlewaniu” się ruchu w pętle w momencie flapów. Eksportuj powody i liczbę przełączeń – pętle down/up to zwykle zbyt agresywne progi lub za mało celów w SLA.
Bezpieczeństwo i segmentacja, gdy całość idzie przez radio
Tryb awaryjny nie może omijać polityk bezpieczeństwa. Domyślnie trzymaj outbound „default‑deny” dla segmentów niekrytycznych na interfejsie mobilnym i otwieraj tylko to, co potrzebne. Zarządzanie: wyłącznie przez zaufany tunel, GUI/SSH na interfejsie LTE/5G zamknięte lub ograniczone listą źródeł z centrali. UPnP off, NAT‑PMP off.
Segmentacja: goście/IoT bez prawa wyjścia na mobilnym albo z mocnym rate‑limit. Mikrosegmentacja w LAN (np. VRF/VLAN) pozwala zatrzymać „głodne” systemy aktualizacji i backupy bez dotykania ruchu pracowników. Dla DNS trzymaj lokalny resolver z polityką blokad aktualizacji przy stanie „na LTE”.
Operacyjnie: SIM i IMEI. Zablokuj możliwość użycia SIM poza wybranym urządzeniem (IMEI‑lock, jeśli operator oferuje), loguj zdarzenia wymiany SIM/modemu. Zadbaj o NTP po awarii – brak czasu to problemy z TLS i IPsec; lokalny serwer czasu w oddziale potrafi uratować poranek.
Dobór sprzętu i modemów: kategorie, agregacja i termika
Do roli awaryjnej unikaj dongli USB. Szukaj modemów LTE min. Cat 12–18 (3–5CA, 256‑QAM) z obsługą 4×4 MIMO w popularnych pasmach oraz UL‑CA, jeśli operator wspiera. W 5G zwróć uwagę na NSA z nośnikami n78/n77 i sensowną kotwicą LTE (anchor), a nie tylko „n” w specyfikacji. Zewnętrzne CPE z PoE wygrywa długością kabli i stabilnością RF.
Istotne drobiazgi: slot dual‑SIM z profilem przełączania i timerami (failover SIM nie może wyprzedzać polityk SD‑WAN), możliwość band/cell‑lock i eksportu metryk przez API, a także realne radiatory i obudowa z przepływem powietrza. Termiczne throttlingi modemu objawiają się najpierw spadkiem UL i rosnącym jitterem – lepiej zapobiegać, niż gasić watchdogiem.
Zasilanie bywa cichym zabójcą. Router z modemem 5G potrafi zrobić krótkie skoki poboru przy attach/retach (aktywacja nadajnika) – słabe PSU lub PoE o zbyt małym budżecie powoduje restarty, które wyglądają jak „losowe” zrywanie. Zostaw zapas 30–50% mocy, trzymaj jeden standard napięcia (12/24/48 V) i unikaj długich przewodów DC o małym przekroju.
