Na crtežu je prikazana blok šema hotelske mreže

Uzet je primer hotela sa oko 20 soba , restoranom i caffe barom , konferenciskom salom i svim pratećim za jedan hotel sa 4 zvezdice. Već peta zvezdica ima preterane zahteve i mnogi investitori odustaju od ove zvezice koja je pomalo nedostižna ako nemate veće investicije.

Blok šema nije konačna i može se proširivati shodno potrebama.

Vrlo je bitno da se zna da je ovo neki minimum za četri zvezdice kao primer.

U nastavku sa člancima naše pozicioniranje i neke konfiguracije uglavnom će se odnositi na hotele sa 4 zvezice i jeftinijim sistemima koji zadovaljavaju sve potrebe kao i skuplji sitemi.

Jedan od ključnih faktora je stabilnost a on pre svega zavisi od kvaliteta opreme. To jedino može da se odradi sa poznatim brend uređajima koji po nekoliko puta poskupljuju sistem IT NETWORK hotela. Obično kada se radi o petoj zvezdici hotela to se onda koristi.

Faza 1 → CORE ROUTING (RB4011)
Faza 2 → SWITCHING (Aruba 1930 + 1830)
Faza 3 → VLAN ACTIVATION
Faza 4 → WIFI (AP25)
Faza 5 → VOIP (Yeastar + Fanvil)
Faza 6 → SECURITY LOCKDOWN
Faza 7 → MONITORING (Zabbix)
Faza 8 → DASHBOARD (Grafana)
Faza 9 → VALIDATION + FAILOVER TEST

Na slici je prikazana segmentisana mreža sa centralnim ruterom koji razdvaja infrastrukturu na 7 odvojenih “network” celina (logički bi to tipično bili VLAN-ovi ili zasebni fizički portovi). Svaka celina ima svoje krajnje uređaje i namenu.

1) Centralna topologija

Ruter je u vrhu i izgleda kao centralna tačka (core) koja se grana ka:
- Network 1 (LAN – kancelarijski/poslovni uređaji)
- Network 2 (WiFi – access point-ovi)
- Network 3 (VoIP – telefonska centrala i ekstenzije)
- Network 4 (LAN sobe – mreža hotelskih soba)
- Network 5 (LAN Smart TV – TV uređaji)
- Network 6 (Video nadzor – kamere + NVR)
- Network 7 (Obezbeđenje – alarmni sistemi)

Ovo je dobar koncept jer odvaja kritične servise (POS/VoIP/NVR/alarm) od gostiju/TV/soba.

2) Network 1 – LAN (poslovna mreža)

Uređaji: Server, više PC, Fiskalne kase, Magaćin.

Ovo je “core business” segment: POS/kase i server ne bi smeli da se mešaju sa gostima ili IoT.
Preporuka: najstrože politike, pristup samo ka potrebnim servisima (npr. ERP, štampači, update).

3) Network 2 – WiFi

Prikazano je više AP-ova po lokacijama/spratovima (podrum, prizemlje, I/II sprat).

Deluje kao više pristupnih tačaka vezanih u istu WiFi mrežu (verovatno PoE switch iza).
Ključna napomena: na dijagramu je WiFi jedan “network”, ali u praksi je bolje imati:
- Guest WiFi (izolovan, samo Internet)
- Staff WiFi (kontrolisan pristup prema LAN/Serveru)
- opcionalno IoT WiFi (za uređaje tipa TV/termostati ako su WiFi)

4) Network 3 – VoIP

Uređaji: Centrala + mnogo ekstenzija (A1–A20, recepcija, bar…).

VoIP treba da bude odvojen zbog kvaliteta (QoS) i bezbednosti.
Preporuke:
- QoS/DSCP prioritet za SIP/RTP
- ograničiti pristup iz drugih VLAN-ova (npr. samo menadžment iz admin LAN-a)

5) Network 4 – LAN sobe

Ovo deluje kao mreža za sobne priključke (A1–A20).

Tipično se ovde javljaju potrebe za izolacijom klijenata (da sobe ne vide jedna drugu).
Preporuke:
- “client isolation” / PVLAN / per-port isolation (zavisno od opreme)
- samo Internet + eventualno pristup portal serveru (ako postoji)

6) Network 5 – LAN Smart TV

Smart TV uređaji po sobama/zonama (A1–A20 + dodatni TV u recepciji/baru/restoranu).

Dobra praksa je držati TV/IoT u zasebnom segmentu (kao što je ovde).
Preporuka: TV-ovima dozvoliti samo izlaz ka Internetu i eventualno ka lokalnom IPTV/management serveru (ako postoji), nikako prema poslovnom LAN-u.

7) Network 6 – Video nadzor

Uređaji: NVR + kamere (Ulaz, Fasada, Bar, Hodnici, Lift, Kuhinja…).

Odvojen VLAN je ispravno.
Preporuke:
- pristup NVR-u samo iz admin LAN-a (Network 1) i eventualno iz bezbednosne sobe
- zabrana kameri da ide na Internet (osim ako baš mora za cloud, i tada strogo)

8) Network 7 – Obezbeđenje

Uređaji: Jablotron, PPC, SOS centrala.

Ovo je kritična zona, treba maksimalno izolovati.
Preporuka: samo neophodna komunikacija (npr. prema monitoring centru ili kontrolnom panelu), bez pristupa iz WiFi/soba/TV.

Ključni zaključci (šta je dobro i šta bih proverio)

Dobro:

Jasna segmentacija po funkciji (LAN, WiFi, VoIP, sobe, TV, CCTV, alarm).
CCTV i alarm odvojeni od svega ostalog.

Šta bih proverio/tražio u dokumentaciji:

Da li su “Network 1–7” stvarno VLAN-ovi sa trunkovima ka switch-evima ili su fizički odvojene mreže?
Da li postoji centralni switch (nije nacrtan) i gde su PoE portovi za AP/kamere/VoIP.
Pravila na ruteru/firewall-u:
- Guest WiFi → samo Internet
- Sobe/TV → samo Internet (i izolacija međusobno)
- VoIP → ograničeno + QoS
- CCTV/Alarm → izolovano, admin pristup samo iz LAN-a
IP plan (opseg adresa), DHCP po segmentima, DNS/NTP, i da li postoji captive portal za goste.

Ispod je praktična analiza kako bih to složio i šta bih proverio.

1) Predlog VLAN-ova (mapiranje na tvoje “Network 1–7”)

Tipično:

Network sa slike	Namena	Predlog VLAN ID	Napomena
1	LAN (server, PC, fiskalne kase)	10	“Admin/Office”
2	WiFi (AP-ovi; više SSID)	20/21/22	Ne jedan VLAN, nego više po SSID
3	VoIP	30	QoS poželjno
4	LAN sobe	40	izolacija klijenata po portovima (PVLAN/port isolation)
5	Smart TV	50	IoT segment, samo Internet
6	Video nadzor	60	NVR + kamere, bez Interneta za kamere
7	Obezbeđenje	70	maksimalno izolovati

Dodatno preporučujem:

VLAN 99 – Management (switch/AP management, pristup samo iz LAN-a)
(Opcionalno) VLAN 100 – Guest WiFi ako želiš da gostima bude potpuno odvojeno od “Network 2”.

2) Fizička topologija (što je najrealnije sa Aruba 1830/1930)

Jedan switch (najčešće 1930) neka bude core/distribucija.
RB4011 ide na core switch preko jednog trunk porta (nosi sve VLAN-ove).
Drugi switch-evi (1830/1930) se ka core-u povezuju trunk linkom.
Krajnji uređaji (PC, kamere, TV, telefoni) idu na access portove u svom VLAN-u.

Trunk portovi: tagged VLAN-ovi (10,20,21,22,30,40,50,60,70,99…)
Access portovi: untagged jedan VLAN + PVID taj VLAN.

3) WiFi: Aruba AP-ovi ili nešto drugo?

Po slici ima više AP-ova. Ključ: da li AP-ovi podržavaju više SSID i VLAN tagging.

Ako da: trunk do AP-a (tagged VLAN-ovi za SSID-ove), i jedan “native/untagged” VLAN za management (ili sve tagged).
Preporučeno SSID/VLAN:
- STAFF → VLAN 10 ili 21 (sa pristupom internim resursima po potrebi)
- GUEST → VLAN 100 (samo Internet)
- IoT/TV (ako je WiFi) → VLAN 50

Ako su AP-ovi Aruba Instant On: lako se mapira SSID→VLAN.

4) Izolacija “LAN sobe” (Network 4) – bitna stavka

Najveći praktični problem u hotelu/pansionu je da sobe ne smeju da vide jedna drugu.

Opcije:

Najbolje: per-port izolacija / “protected ports” / PVLAN-like funkcija na Aruba (zavisi od modela i režima rada).
Ako switch to ne daje kako treba: može se postići i kroz dizajn:
- sobe na poseban switch gde su portovi “isolated”
- ili sobe preko zasebnog access switch-a i L3 izolacija uz ograničavanje L2 broadcast domena (teže)

Na Aruba 1930 postoji “Port Isolation/Protected” (u praksi proveriti u GUI/CLI tačno kako se zove u tvojoj verziji). Cilj: portovi u VLAN 40 ne komuniciraju međusobno, samo ka gateway-u.

5) MikroTik RB4011 – šta treba da radi

RB4011 je dovoljno jak za:

VLAN interfejse (na trunk portu)
DHCP server po VLAN-u
NAT ka Internetu
firewall inter-VLAN politike
(po želji) VPN za udaljeni pristup (WireGuard/IPsec)

Preporučeni IP plan (primer):

VLAN10 LAN: 10.10.10.0/24 (GW .1)
VLAN21 Staff WiFi: 10.10.21.0/24
VLAN100 Guest: 10.10.100.0/24
VLAN30 VoIP: 10.10.30.0/24
VLAN40 Sobe: 10.10.40.0/22 ili /24 (zavisi koliko portova)
VLAN50 TV: 10.10.50.0/24
VLAN60 CCTV: 10.10.60.0/24
VLAN70 Alarm: 10.10.70.0/24
VLAN99 Mgmt: 10.10.99.0/24

6) Firewall pravila (suština politike)

Minimalna “sigurna” politika:

Dozvoli:

VLAN10 (LAN admin) → pristup svemu (ili bar: NVR, VoIP centrala, switch mgmt)
VLAN99 (Mgmt) → samo iz VLAN10 (admin)
VoIP VLAN30 → Internet samo koliko treba (SIP provider), i ka centrali
CCTV VLAN60:
- kamere → NVR (lokalno)
- admin (VLAN10) → NVR/kamere (upravljanje)
Alarm VLAN70 → samo ka svojim servisima/monitoringu (ako treba)

Zabrani:

Guest VLAN100 → bilo šta interno (sve privatne mreže), samo Internet
TV VLAN50 → bilo šta interno, samo Internet (i eventualno DNS/NTP)
Sobe VLAN40 → zabrani pristup drugim VLAN-ovima (osim DNS/NTP); samo Internet
Sobe međusobno: rešiti na switch-u izolacijom portova + na Mikrotiku blokirati inter-client ako dođe do rutiranja.

7) QoS (VoIP) – “nice to have”

Ako imate VoIP preko istog uplinka:

označavanje DSCP (EF za RTP) ili simple queues
prioritet na WAN izlazu za SIP/RTP
Na Aruba strani može trust DSCP na trunk/voice VLAN.

Predlog VLAN-ova (konkretno za tvoju situaciju)

Predlog (možeš promeniti ID-jeve, ali logika neka ostane):

VLAN 10 – LAN/Office (server, PC, kase)
VLAN 30 – VOICE (IP telefoni + centrala)
VLAN 40 – ROOMS-DATA (internet port u sobi, izolovan)
VLAN 50 – IPTV/SmartTV (sobe TV + IPTV uređaji)
VLAN 60 – CCTV (kamere + NVR)
VLAN 70 – Alarm/Security (Jablotron/PPC/SOS)
VLAN 99 – Network Management (IP adrese za switch-eve, AP management ako želiš odvojeno)
VLAN 100 – Guest WiFi (samo internet)
(Opc.) VLAN 21 – Staff WiFi (ako želiš odvojeno od VLAN10)

Napomena: na slici Network 5 je “LAN Smart TV”; u praksi ti IPTV/TV u sobama najčešće treba kao posebni VLAN (gore VLAN50).

3) Sobe – 3 porta po sobi (kako to pravilno “ožičiti”)

Idealno je da svaka soba ima zidnu utičnicu sa 3 fizička kabla do patch panela/switch-a. Onda na switch-u:

Port “IP telefon” (u sobi) = access / untagged VLAN 30 (+ opcija LLDP-MED/voice VLAN)
Port “Internet” (u sobi) = access / untagged VLAN 40 + port isolation (da sobe ne vide jedna drugu)
Port “IPTV” (u sobi) = access / untagged VLAN 50

Izolacija soba (najbitnije)

Za VLAN 40 (ROOMS-DATA) treba:

L2 izolacija na switch-u: “protected/isolated ports” u istom VLAN-u (svaki sobni data port izolovan od drugih sobnih data portova).
L3 pravila na MikroTik-u: VLAN40 ne sme pristupati VLAN10/30/50/60/70/99, samo Internet + DNS/NTP po potrebi.

Ako ArubaOS-Switch na tvojim modelima nema port isolation kako treba, alternativa je “teže” rešenje (više VLAN-ova po sobi ili dodatni uređaji). Ali u velikom broju slučajeva Aruba to podržava.

4) AP-25 Instant On – SSID/VLAN preporuka

U Instant On napravi:

SSID GUEST → VLAN 100 (client isolation uključen na SSID-u ako postoji)
SSID STAFF → VLAN 21 ili 10 (zavisno koliko želiš da staff ima pristup LAN-u)
(Opc.) SSID IOT → VLAN 50 (ako ikad bude IoT na WiFi)

Na ArubaOS-Switch portu gde je AP:

trunk/tagged: VLAN 100 (+ VLAN 21 ili 10)
native/untagged: VLAN 99 (ako želiš da AP-ovi dobiju mgmt IP iz VLAN99) ili može i sve tagged, ali Instant On često očekuje untagged za mgmt (zavisi kako ga postaviš).

5) VoIP (VLAN30) – QoS i pristup

Centrala i telefoni u VLAN30.
MikroTik: dozvoli VLAN30 → Internet samo ka SIP trunk/provajderu (ako postoji), i prema centrali.
QoS: na RB4011 (WAN egress) prioritizuj SIP/RTP; na Aruba portovima možeš uključiti “voice VLAN” i trust DSCP ako telefoni markiraju.

6) CCTV (VLAN60) + NVR eksterni pristup (mobilni)

Imaš dve bezbedne opcije:

Opcija A (preporučena): VPN do RB4011

Uključi WireGuard na RB4011.
Telefon se poveže VPN-om, pa aplikacija pristupa NVR-u kao da si lokalno.
Prednosti: nema otvaranja portova, značajno bezbednije.

Opcija B: Port forwarding ka NVR-u

Ako baš mora “direktno”:

Otvori samo portove koje NVR traži (HTTPS/RTSP/vendor port), ograniči izvor (ako može), stavi jaku lozinku, ažuriraj firmware.
Idealno: objavi preko reverse proxy ili makar promeni default portove + geoblok + brute-force zaštita.
Ovo je rizičnije od VPN-a.

Firewall logika:

Kamere u VLAN60 → samo ka NVR (lokalno).
VLAN10 (admin) → NVR i kamere za upravljanje.
VLAN60 → zabraniti ka ostalim internim VLAN-ovima; Internet samo ako je nužno.

7) IPTV VLAN (VLAN50) – važna napomena

Ako je “IPTV” multicast (IGMP):

Na Aruba switch-u uključi IGMP snooping na VLAN50.
Ako imaš IPTV gateway/provider uređaj, trebaće IGMP querier ili upstream koji to radi.
Ako nije multicast (samo Smart TV internet), onda VLAN50 tretiraj kao IoT: samo Internet, blok ka LAN-u.

8) MikroTik RB4011 – servisna podela

RB4011 tipično:

Jedan port (npr. ether1) WAN
Jedan port (npr. ether2) trunk ka core Aruba switch-u
VLAN interfejsi na ether2 (10/21/30/40/50/60/70/99/100)
DHCP serveri per VLAN (osim gde ima statike, npr. switch mgmt)
NAT za “internet VLAN-ove”
Inter-VLAN firewall “deny by default”, pa eksplicitne dozvole

1) Ciljna arhitektura (što je najispravnije za tvoj slučaj)

RB4011: inter-VLAN rutiranje, DHCP, NAT, firewall, (preporučeno) WireGuard VPN.
Aruba 1930 (core): svi VLAN-ovi, trunk ka RB4011 i trunkovi ka 1830.
Aruba 1830 (access): access portovi za sobe/telefone/TV/kamere + trunk uplink ka 1930.
AP-25 (Instant On): SSID→VLAN mapiranje, trunk port sa VLAN-ovima za SSID-ove.

Sobe imaju 3 fizička porta → to je idealno: VOICE (VLAN30), DATA izolovan (VLAN40), IPTV multicast (VLAN50).

2) VLAN plan (preporuka)

Koristi ovo kao “jedan izvor istine”:

VLAN 10 = Office LAN (server, PC, kase)
VLAN 21 = Staff WiFi (opciono, preporučujem odvojeno od VLAN10)
VLAN 30 = VoIP
VLAN 40 = Rooms DATA (internet port u sobi, izolovan)
VLAN 50 = IPTV (multicast)
VLAN 60 = CCTV (kamere + NVR)
VLAN 70 = Obezbeđenje/alarm
VLAN 99 = Network management (switch-evi, eventualno AP mgmt)
VLAN 100 = Guest WiFi (samo internet)

IP plan (primer, možeš promeniti):

10.10.10.0/24 (VLAN10 GW .1)
10.10.21.0/24
10.10.30.0/24
10.10.40.0/22 (ako mnogo soba; inače /24)
10.10.50.0/24
10.10.60.0/24
10.10.70.0/24
10.10.99.0/24
10.10.100.0/24

3) Trunkovi: RB4011 ↔ 1930 i 1930 ↔ 1830

RB4011 ↔ Aruba 1930 (core)

Port na 1930: TRUNK
- Tagged: 10,21,30,40,50,60,70,99,100
- Untagged/native: preporuka nijedan (ako ArubaOS-Switch zahteva untagged, stavi 99 kao native, ali bolje je sve tagged i jasno definisano)
Na RB4011: na tom fizičkom portu (npr. ether2) kreiraš VLAN interfejse za sve gore navedene VLAN ID-jeve.

1930 ↔ 1830 uplink

Uplink portovi: TRUNK
- Tagged: svi VLAN-ovi koji su potrebni na tom access switch-u (najčešće: 30,40,50,60,100,21,99…)
- Ako na tom 1830 nema npr. CCTV, nema potrebe nositi VLAN60.

4) Port šabloni (kako tačno setovati access portove)

(A) Soba – port za IP telefon

Switch port: access / untagged VLAN 30
Po želji: Voice VLAN opcije (LLDP-MED), ali pošto je fizički odvojen port, access VLAN30 je dovoljno.

(B) Soba – port za Internet (izolovan)

Switch port: access / untagged VLAN 40
PLUS: uključi port isolation / protected port za sve “rooms data” portove u VLAN40
Cilj: uređaji iz soba ne mogu L2 da pričaju međusobno, već samo ka gateway-u (RB4011) i dalje ka Internetu.

Ako ArubaOS-Switch nudi opciju tipa “Protected” ili “Port Isolation”, primeni je baš na te portove.

(C) Soba – IPTV port (multicast)

Switch port: access / untagged VLAN 50
Na switch-u: IGMP Snooping = ON za VLAN50 (na svim switch-evima koji nose IPTV).
Ako IPTV ulazi preko nekog provajder CPE porta:
- Taj port je access VLAN50 ili trunk ako CPE taguje (najčešće access).
- Na tom VLAN-u treba da postoji IGMP Querier ako ga provajder ne obezbeđuje kroz svoju opremu. U praksi često provajderov uređaj glumi querier; ako ne, moraš obezbediti querier (nekad može switch; MikroTik može, ali zavisi od topologije i da li želiš L3 tu).

5) WiFi (AP-25 Instant On) – trunk do AP-a