MikroTik and Omada: restaurant and hotel WiFi

Qué vas a conseguir

Una red de local en la que cada cosa va por su sitio: TPV, datáfonos, personal, cámaras y clientes en redes separadas, con la fibra respaldada por 4G, un cortafuegos que se entiende de un vistazo y la configuración guardada fuera del router. Y saber qué mirar cuando un salón lleno dice que la WiFi no va.

Antes de empezar

Un router MikroTik con RouterOS 7 y una salida 4G: un router 4G en un puerto propio o un MikroTik con módem LTE integrado.
Switches y puntos de acceso TP-Link Omada con su controlador: software, hardware (OC200 u OC300) o en la nube. Las rutas de menú de esta guía son las del controlador 6.
El plan de VLAN de la guía de hotel en pre-apertura. Aquí se usan las mismas: 10 gestión, 20 personal, 30 TPV, 40 datáfonos, 70 IoT y 100 clientes.

1. Las VLAN: una red por uso

VLAN	Uso	Subred	Puede llegar a
10	Gestión de red	10.40.10.0/24	Todos los equipos de red; solo IT
20	Personal y oficina	10.40.20.0/24	Internet, impresoras de oficina
30	TPV, comanderos, impresoras de cocina	10.40.30.0/24	Internet (integrador y nube del TPV)
40	Datáfonos	10.40.40.0/24	Solo internet, hacia el proveedor de pagos
70	IoT: cámaras, climatización, música	10.40.70.0/24	Internet; mejor, solo la nube de cada fabricante
100	WiFi de clientes	10.40.100.0/22	Solo internet

En el MikroTik, un bridge con filtrado de VLAN y una interfaz con su IP por cada red. El puerto ether5 es el troncal hacia el switch Omada:

RouterOS · terminal (Winbox › New Terminal)

›/interface bridge add name=bridge1 vlan-filtering=no›/interface bridge port add bridge=bridge1 interface=ether5›/interface bridge vlan add bridge=bridge1 tagged=bridge1,ether5 vlan-ids=10,20,30,40,70,100›/interface vlan add interface=bridge1 name=vlan30-tpv vlan-id=30›/ip address add address=10.40.30.1/24 interface=vlan30-tpv# lo mismo para 10, 20, 40, 70 y 100; después el DHCP de cada una›/interface bridge set bridge1 vlan-filtering=yes

Activar vlan-filtering puede dejarte fuera. Hazlo con Safe Mode (Ctrl+X en el terminal): si se corta la sesión, el router deshace los cambios.

En el controlador Omada, sin gateway Omada, cada red se crea solo como VLAN (el DHCP lo da el MikroTik), y perfiles de puerto: troncal hacia cada punto de acceso, la 30 sin etiquetar para un TPV y la 40 para un datáfono.

2. La WiFi de clientes: portal, aislamiento y límites

Tres SSID bastan; cada uno de más consume tiempo de aire con sus balizas:

Brisa-Staff en la VLAN 20, WPA2/WPA3 con clave que se cambia cuando alguien deja la empresa.
Brisa-TPV en la VLAN 30, para los comanderos, con clave que solo conoce IT.
Brisa-Clientes en la VLAN 100, con portal.

Omada · Network Config › WLAN › Brisa-Clientes

SecurityWPA2/WPA3-Personal (o abierta con portal, según la política del local)

Guest Network

Advanced Settings

VLAN100

Client Rate Limitperfil Clientes · bajada 10 Mbps · subida 3 Mbps

Apply

Guest Network aísla a los clientes de la red interna: navegan, pero no ven los TPV ni a otros clientes.
El portal está en Network Config › Authentication › Portal: sin autenticación con aceptación de condiciones, contraseña simple o vales (voucher) para el hotel. Pon un Authentication Timeout razonable (un día) para no pedir el portal en cada comida.
Sin gateway Omada, el portal funciona para los clientes inalámbricos. Elige un portal: el de Omada o el Hotspot del MikroTik, no los dos.
El límite por cliente lo pone Omada; el total de la red de clientes, el MikroTik, para que siempre quede ancho de banda para el TPV:

RouterOS · límite total de la WiFi de clientes

›/queue simple add name=clientes target=10.40.100.0/22 max-limit=40M/150M›/ip dhcp-server set dhcp-clientes lease-time=2h

max-limit es subida/bajada para todos los clientes juntos. Una /22 con concesiones de dos horas evita que un salón lleno agote las direcciones.

3. Doble WAN: fibra y 4G

Rutas recursivas: el router comprueba con un ping a un destino de internet que la fibra llega, no solo que el cable tiene luz.

RouterOS · fibra principal, 4G de respaldo

›/ip route add dst-address=1.0.0.1/32 gateway=203.0.113.1 scope=10 comment="sonda fibra"›/ip route add dst-address=0.0.0.0/0 gateway=1.0.0.1 target-scope=11 check-gateway=ping distance=1 comment="fibra"›/ip route add dst-address=0.0.0.0/0 gateway=192.168.8.1 distance=2 comment="4G"›/ip firewall nat add chain=srcnat out-interface-list=WAN action=masquerade›/tool netwatch add host=1.0.0.1 type=icmp interval=30s down-script=":log warning \"fibra caida: trafico por 4G\""

La IP de la sonda siempre sale por la fibra. No uses la misma que los servidores DNS del router: con la fibra caída, el router se quedaría sin DNS.
El 4G tiene datos limitados. Con la fibra caída, los datáfonos y el TPV sí; los clientes, no:

RouterOS · sin clientes por el 4G

›/ip firewall filter add chain=forward src-address=10.40.100.0/22 out-interface=ether2-4g action=drop comment="sin clientes por 4G" place-before=0

Prueba el respaldo de verdad una vez al mes: desconecta la fibra, cobra con tarjeta, imprime en cocina y vuelve a conectarla.

4. El cortafuegos mínimo

Parte de la configuración por defecto de RouterOS 7, que ya protege la entrada, y añade el reenvío entre redes:

RouterOS · reenvío entre VLAN (en este orden)

›/ip firewall filter add chain=forward connection-state=established,related action=accept›/ip firewall filter add chain=forward connection-state=invalid action=drop›/ip firewall filter add chain=forward in-interface-list=LAN-INTERNA out-interface-list=WAN action=accept›/ip firewall filter add chain=forward in-interface=vlan100-clientes out-interface-list=WAN action=accept›/ip firewall filter add chain=forward in-interface=vlan10-gestion action=accept comment="IT a todo"›/ip firewall filter add chain=forward action=drop comment="entre VLAN, nada mas"

LAN-INTERNA es una lista de interfaces (Interfaces › Interface List) con las VLAN 20, 30, 40 y 70. Lo que no está permitido está prohibido: una regla nueva para el CashDro o el PMS se añade, con comentario, antes de la última.
La gestión del router, solo desde la VLAN 10: /ip service set winbox address=10.40.10.0/24, lo mismo para ssh, y /ip service disable telnet,ftp,www,api si no los usas.

5. Copias de configuración y firmware

RouterOS · copia antes de cada cambio

›/export file=rtr-brisa-2026-10-30›/system backup save name=rtr-brisa-2026-10-30 password=********›/system scheduler add name=export-semanal interval=7d on-event="/export file=auto-export"

/export es texto y sirve para comparar versiones (oculta las claves salvo con show-sensitive); /system backup es binario, cifrado y solo para el mismo equipo.
Las dos copias salen del router (Winbox › Files o SFTP) y se guardan con el resto de la documentación del local.
En Omada, la copia del controlador, que incluye todos los sitios, y la copia automática programada. Sin ella, cambiar el controlador obliga a adoptar de nuevo cada equipo.
Firmware: RouterOS en el canal stable o long-term (/system package update install) y después /system routerboard upgrade con otro reinicio. En Omada, primero un punto de acceso y luego el resto, con un firmware compatible con la versión del controlador.

6. El ticket: "la WiFi va lentísima en la boda"

Sábado, 21:15. Boda de 220 invitados en el salón del hotel. Los invitados se quejan de la WiFi y, peor, los camareros dicen que los comanderos tardan en enviar comandas.

¿Es la WiFi o internet? /interface monitor-traffic ether1 muestra la fibra saturada de subida. /tool torch interface=vlan100-clientes lo explica: un equipo de la red de clientes sube a 80 Mbps, todo el vídeo de la boda a la nube.
¿Por qué no lo frenó la cola? /queue simple print stats da la cola clientes casi a cero. Las conexiones van por FastTrack, y lo que va por FastTrack se salta las colas simples. Se excluye la red de clientes de la regla: /ip firewall filter set [find action=fasttrack-connection] src-address=!10.40.100.0/22 dst-address=!10.40.100.0/22. A los dos minutos la cola limita y la subida baja a 40 Mbps.
Descartar lo demás: /ip dhcp-server lease print count-only where server=dhcp-clientes da 612 de 1.019 direcciones: no es el DHCP. En Omada, los dos puntos de acceso del salón tienen 140 clientes cada uno y el canal de 2,4 GHz muy ocupado.
Los comanderos comparten tiempo de aire con los invitados. Esta noche, se baja el límite por cliente. Para la próxima: más puntos de acceso en el salón, clientes solo en 5 GHz en los eventos y canales de 20 o 40 MHz.
El cierre: causa (FastTrack saltándose la cola), solución (regla corregida en todos los locales) y, para eventos, pedir al organizador el número de invitados una semana antes.

La subida es lo que se satura primero en un evento: cuando está llena, hasta la bajada se resiente.

Siguientes pasos

La guía de hotel en pre-apertura tiene el plan completo de VLAN de un hotel y los proveedores de cada una.
La de Zabbix: monitorizar un restaurante o un hotel vigila este router, sus dos salidas a internet y los switches.
La de Cisco: switches y routers del Nivel 4 explica las VLAN y los troncales con más detalle.
Comprobar cada mañana la línea de respaldo, con los TPV y las impresoras, es parte de la idea del repositorio 34-venue-service-readiness de mi GitHub; la red de un hotel antes de abrir, de 24-hospitality-it-preopening.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.

What you'll get

A venue network where everything goes in its place: POS, card terminals, staff, cameras and guests on separate networks, with the fibre backed up by 4G, a firewall you can read at a glance and the configuration stored outside the router. And knowing what to look at when a full function room says the WiFi does not work.

Before you start

A MikroTik router running RouterOS 7 and a 4G connection: a 4G router on its own port or a MikroTik with a built-in LTE modem.
TP-Link Omada switches and access points with their controller: software, hardware (OC200 or OC300) or cloud. The menu paths in this guide are those of controller 6.
The VLAN plan from the hotel pre-opening guide. The same ones are used here: 10 management, 20 staff, 30 POS, 40 card terminals, 70 IoT and 100 guests.

1. VLANs: one network per use

VLAN	Use	Subnet	Can reach
10	Network management	10.40.10.0/24	All network devices; IT only
20	Staff and office	10.40.20.0/24	Internet, office printers
30	POS, handhelds, kitchen printers	10.40.30.0/24	Internet (integrator and POS cloud)
40	Card terminals	10.40.40.0/24	Internet only, towards the payment provider
70	IoT: cameras, air conditioning, music	10.40.70.0/24	Internet; better, only each vendor's cloud
100	Guest WiFi	10.40.100.0/22	Internet only

On the MikroTik, a bridge with VLAN filtering and one interface with its IP per network. Port ether5 is the trunk to the Omada switch:

RouterOS · terminal (Winbox › New Terminal)

›/interface bridge add name=bridge1 vlan-filtering=no›/interface bridge port add bridge=bridge1 interface=ether5›/interface bridge vlan add bridge=bridge1 tagged=bridge1,ether5 vlan-ids=10,20,30,40,70,100›/interface vlan add interface=bridge1 name=vlan30-tpv vlan-id=30›/ip address add address=10.40.30.1/24 interface=vlan30-tpv# the same for 10, 20, 40, 70 and 100; then each one's DHCP›/interface bridge set bridge1 vlan-filtering=yes

Turning on vlan-filtering can lock you out. Do it with Safe Mode on (Ctrl+X in the terminal): if the session drops, the router undoes the changes.

In the Omada controller, without an Omada gateway, each network is created as a VLAN only (the MikroTik provides DHCP), plus port profiles: a trunk to each access point, 30 untagged for a till and 40 for a card terminal.

2. Guest WiFi: portal, isolation and limits

Three SSIDs are enough; every extra one uses airtime with its beacons:

Brisa-Staff on VLAN 20, WPA2/WPA3 with a key that is changed when someone leaves the company.
Brisa-POS on VLAN 30, for the handhelds, with a key only IT knows.
Brisa-Guests on VLAN 100, with a portal.

Omada · Network Config › WLAN › Brisa-Guests

SecurityWPA2/WPA3-Personal (or open with a portal, depending on the venue's policy)

Guest Network

Advanced Settings

VLAN100

Client Rate LimitGuests profile · download 10 Mbps · upload 3 Mbps

Apply

Guest Network isolates guests from the internal network: they can browse, but they cannot see the tills or other guests.
The portal is in Network Config › Authentication › Portal: no authentication with terms acceptance, simple password or vouchers for the hotel. Set a sensible Authentication Timeout (one day) so the portal does not appear at every meal.
Without an Omada gateway, the portal works for wireless clients. Choose one portal: Omada's or the MikroTik Hotspot, not both.
Omada sets the per-client limit; the MikroTik sets the total for the guest network, so there is always bandwidth left for the POS:

RouterOS · total limit for guest WiFi

›/queue simple add name=guests target=10.40.100.0/22 max-limit=40M/150M›/ip dhcp-server set dhcp-guests lease-time=2h

max-limit is upload/download for all guests together. A /22 with two-hour leases stops a full function room from running out of addresses.

3. Dual WAN: fibre and 4G

Recursive routes: the router checks with a ping to an internet destination that the fibre gets through, not just that the cable has link.

RouterOS · main fibre, 4G backup

›/ip route add dst-address=1.0.0.1/32 gateway=203.0.113.1 scope=10 comment="fibre probe"›/ip route add dst-address=0.0.0.0/0 gateway=1.0.0.1 target-scope=11 check-gateway=ping distance=1 comment="fibre"›/ip route add dst-address=0.0.0.0/0 gateway=192.168.8.1 distance=2 comment="4G"›/ip firewall nat add chain=srcnat out-interface-list=WAN action=masquerade›/tool netwatch add host=1.0.0.1 type=icmp interval=30s down-script=":log warning \"fibre down: traffic on 4G\""

The probe IP always goes out through the fibre. Do not use the same one as the router's DNS servers: with the fibre down, the router would be left without DNS.
4G has a data allowance. With the fibre down, card terminals and the POS yes; guests, no:

RouterOS · no guests over 4G

›/ip firewall filter add chain=forward src-address=10.40.100.0/22 out-interface=ether2-4g action=drop comment="no guests over 4G" place-before=0

Test the backup for real once a month: unplug the fibre, take a card payment, print in the kitchen and plug it back in.

4. The minimum firewall

Start from the RouterOS 7 default configuration, which already protects input, and add forwarding between networks:

RouterOS · forwarding between VLANs (in this order)

›/ip firewall filter add chain=forward connection-state=established,related action=accept›/ip firewall filter add chain=forward connection-state=invalid action=drop›/ip firewall filter add chain=forward in-interface-list=LAN-INTERNAL out-interface-list=WAN action=accept›/ip firewall filter add chain=forward in-interface=vlan100-guests out-interface-list=WAN action=accept›/ip firewall filter add chain=forward in-interface=vlan10-mgmt action=accept comment="IT to everything"›/ip firewall filter add chain=forward action=drop comment="between VLANs, nothing else"

LAN-INTERNAL is an interface list (Interfaces › Interface List) with VLANs 20, 30, 40 and 70. What is not allowed is forbidden: a new rule for the CashDro or the PMS is added, with a comment, before the last one.
Router management only from VLAN 10: /ip service set winbox address=10.40.10.0/24, the same for ssh, and /ip service disable telnet,ftp,www,api if you do not use them.

5. Configuration backups and firmware

RouterOS · backup before every change

›/export file=rtr-brisa-2026-10-30›/system backup save name=rtr-brisa-2026-10-30 password=********›/system scheduler add name=weekly-export interval=7d on-event="/export file=auto-export"

/export is text and good for comparing versions (it hides secrets unless you add show-sensitive); /system backup is binary, encrypted and only for the same device.
Both copies leave the router (Winbox › Files or SFTP) and are kept with the rest of the venue's documentation.
In Omada, the controller backup, which includes every site, and the scheduled automatic backup. Without it, replacing the controller means adopting every device again.
Firmware: RouterOS on the stable or long-term channel (/system package update install) and then /system routerboard upgrade with another reboot. In Omada, one access point first and then the rest, with firmware compatible with the controller version.

6. The ticket: "the WiFi is painfully slow at the wedding"

Saturday, 21:15. A wedding for 220 guests in the hotel's function room. The guests complain about the WiFi and, worse, the waiters say the handhelds are slow to send orders.

Is it the WiFi or the internet? /interface monitor-traffic ether1 shows the fibre's upload saturated. /tool torch interface=vlan100-guests explains it: one device on the guest network is uploading at 80 Mbps, the whole wedding video going to the cloud.
Why didn't the queue stop it? /queue simple print stats shows the guests queue at almost zero. The connections go through FastTrack, and FastTracked traffic skips simple queues. The guest network is excluded from the rule: /ip firewall filter set [find action=fasttrack-connection] src-address=!10.40.100.0/22 dst-address=!10.40.100.0/22. Two minutes later the queue is limiting and the upload drops to 40 Mbps.
Rule out the rest: /ip dhcp-server lease print count-only where server=dhcp-guests gives 612 of 1,019 addresses: it is not DHCP. In Omada, the room's two access points have 140 clients each and the 2.4 GHz channel is very busy.
The handhelds share airtime with the guests. Tonight, the per-client limit is lowered. Next time: more access points in the room, guests on 5 GHz only at events and 20 or 40 MHz channels.
Closing: cause (FastTrack skipping the queue), fix (rule corrected in every venue) and, for events, ask the organiser for the guest count a week before.

Upload is what saturates first at an event: when it is full, even download suffers.

Next steps

The hotel pre-opening guide has a hotel's full VLAN plan and the vendors behind each one.
The Zabbix: monitoring a restaurant or hotel guide watches this router, its two internet links and the switches.
The Level 4 Cisco switches and routers guide explains VLANs and trunks in more detail.
Checking the backup line every morning, with the tills and printers, is part of the idea behind the 34-venue-service-readiness repository on my GitHub; a hotel's network before opening, of 24-hospitality-it-preopening.

Is something missing, or different in your environment? Get in touch and I'll fix it.

Tech Career Lab · newsletter

¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.

Apúntate y llévate las 33 ideasSign up and get the 33 ideas →