Síťová topologie pro robotickou a AI výpočetní laboratoř

Robotická laboratoř není kancelář, není datacentrum a není ani domácí lab. Je to malá, ale nezvykle náročná síť: hrst zařízení s velmi odlišnými profily provozu sdílí jeden a tentýž drát. Humanoid streamuje stereo video na inferenční server. Vývojářský workstation stahuje 70GB checkpoint modelu. Čtyřnožec se prochází po místnosti a hledá svou dokovací stanici. Port IPMI mezitím tiše hlásí otáčky ventilátoru.

Když topologii navrhnete špatně, projevy jsou ošklivé a nepřímé: robot se zasekává ve chvíli, kdy kolega pushuje Docker image; tail latence inferenčního serveru se zdvojnásobí, jakmile se někdo připojí na Wi-Fi; synchronizace gradientů na fine-tuningový stroj záhadně vykazuje špičky 200 ms v době oběda. Když ji navrhnete dobře, síť zůstane neviditelná — a nic jiného od ní ani nechcete.

Tento článek je o tom, jakou podobu má taková síť v roce 2026 mít. Komu je určen: integrátorům a stavitelům laboratoří, kteří stavějí „lab v krabici“ — jeden až čtyři roboty, jeden nebo dva inferenční servery Kentino AI, několik vývojářských workstationů a k tomu úložiště a správu, které to celé spojují. Není to referenční architektura pro hyperscalera. Není to ani rozpočtová domácí sestava. Je to přesně ten střed.

Cíl: „lab v krabici“

Referenční nasazení pro tento článek:

• 1–4 roboty — humanoidi, čtyřnožci, nebo kombinace. Primárně Wi-Fi 6E, během vývoje volitelně drátové připojení.
• 1–2 inferenční servery Kentino AI — 4× nebo 8× GPU (5090 / RTX Pro 6000 Blackwell), na nich vLLM / SGLang pro VLM a LLM.
• 1–2 úložné stroje / NAS — datasety, checkpointy, nahrané záznamy ze senzorů. Obvykle jeden ZFS stroj s NVMe cache.
• 2–6 vývojářských workstationů — inženýři pouštějí ROS 2, Isaac Sim, trénují fine-tuny a přesouvají data.
• Správní rovina — IPMI/BMC na každém serveru, switche, přístupové body, lokální DNS/DHCP server.

Celkem: 15–40 aktivních síťových zařízení. Elektricky by to utáhl jediný switch. Důvod, proč jsou v návrhu níže switche dva, není kapacita — je to oddělení poruchové domény, PoE rozpočet a snaha udržet provoz robotů a provoz GPU na fyzicky oddělených drátech, aby si jeden nemohl vyhladovět druhý.

Fyzická topologie

Dva fyzické switche, jeden firewall, jeden nebo dva přístupové body. Servery Kentino AI jsou na páteřním switchi na 25 GbE; přístupový switch agreguje workstationy a přístupové body; roboty se připojují přes vyhrazené SSID na 6 GHz.

Dva fyzické switche, jeden firewall, jeden nebo dva přístupové body. Servery Kentino AI a úložný stroj jsou na páteřním switchi na 25 GbE. Přístupový switch sbírá drátová, ale pomalejší zařízení — workstationy, přístupové body, IPMI, kamery — a uplinkem se připojuje k páteři na 10 GbE. Roboty se připojují přes Wi-Fi 6E na vyhrazeném SSID.

Proč 25 GbE mezi páteří a Kentino AI? Protože dvouportová karta ConnectX-6 Lx SFP28 je v roce 2026 nejlevnější důvěryhodnou volbou (€700–€900 běžná cena, z druhé ruky někdy méně) a 25 GbE bohatě stačí na sbíhající se inferenční provoz jednoho serveru. Model 70B Q4 streamující tokeny čtyřem robotům najednou se pohybuje v řádu desítek Mbit/s. Přesun checkpointu modelu je největší datovou událostí dne a 25 GbE zvládne 100 GB za ~35 sekund. Zákazníci, kteří trénují na více uzlech, potřebují 100 GbE — tomu se věnují N01 a N08 — to je ale jiná síť než ta, o které je tento článek.

Dimenzování rychlostních tříd

Dvě věci, které je dobré si zapamatovat:

• V laboratoři s jedním serverem 100 GbE nepotřebujete. Lidé ji předepisují proto, že datasheet vypadá působivě. Skutečný trvalý síťový tok serveru Kentino AI jsou „odcházející tokeny“ (Mbit/s) plus občasné přesuny checkpointů (jednotky Gb/s). Drát v čistě inferenční laboratoři nikdy není úzkým hrdlem.
• Wi-Fi je vždy nejpomalejší článek. Počítejte s tím. Dobré spojení na 6 GHz s klientem Wi-Fi 6E dá reálnou propustnost 1.2–1.8 Gb/s na 10 m v přímé viditelnosti, s latencí 3–8 ms a jitterem ±2 ms za slušných podmínek. Senzorové streamy robota (jedna nebo dvě RGB-D kamery po 1080p30) potřebují trvale ~150–300 Mb/s; rezervy máte dost — dokud se na stejné SSID nepřipojí někdo další.

Segmentace do VLAN

Tato síť má šest VLAN ne kvůli firemní hygieně. Je to proto, aby jedno zlobící zařízení nemohlo zkazit den druhému.

Rozdělení, které lidi překvapí: roboty a Kentino AI jsou v různých VLAN, přestože spolu neustále komunikují. Směrování mezi VLAN je úkolem firewallu/routeru a právě tam se vynucuje, kdo s kým smí mluvit. Kdyby roboty a Kentino AI sdílely jednu VLAN, kompromitovaný robot (a spotřebitelští humanoidi s sebou útočnou plochu nesou) by měl plochý přístup na L2 k GPU serveru. To je v každém alespoň trochu seriózním nasazení jednoznačné „ne“.

Druhé rozdělení, které stojí za to hájit: správní rovina má vlastní VLAN, tečka. Rozhraní IPMI/BMC se už dvě desetiletí dodávají s backdoory od výrobců a je rozumné předpokládat, že to tak zůstane. Dostanou vlastní podsíť, vlastní přístupová pravidla a nesměruje k nim nikdo kromě admin notebooku ve správní VLAN.

Pravidla firewallu

Mezi VLAN výchozí zákaz. Teprve pak výjimky:

Dvě vyhraněná pravidla, která stojí za zmínku:

• Roboty nemají přístup na internet. Lidé se tomu brání, protože to rozbije telemetrii a aktualizace firmwaru od výrobce. Dobře. Povolte konkrétní aktualizační server výrobce v servisním okně a pak ho zase zavřete. Výchozí stav zní: „tenhle robot nemůže volat domů.“
• Přístup Kentino AI do WAN je jen na vyžádání. Při stahování modelu nebo kontejneru otevřete port 443. Jinak ho nechte zavřený. Inferenční server nemá na webu co pohledávat a rozhodně nechcete, aby se skript curl zvědavého vývojáře stal cestou, kterou červ odnese Váš dataset.

Nastavení Wi-Fi

Úplně nejčastější chybou při stavbě Wi-Fi v robotické laboratoři je „však roboty dáme na kancelářské SSID“. To SSID sdílí telefony, notebooky, tiskárny, chytrá lednička a tři lidé na hovoru v Teams. Rozptyl latence je brutální a reaktivní chování robota se rozpadne.

Správná odpověď:

• Jedno SSID na každou VLAN. „lab-robots“ na VLAN 10, „lab-dev“ na VLAN 30, „lab-guest“ na VLAN 99. Správní VLAN nemá bezdrátovou přítomnost vůbec.
• Robotické SSID běží výhradně na 6 GHz. Žádných 2.4 GHz, žádný fallback na 5 GHz. Ano, znamená to, že se starší zařízení nepřipojí — o to právě jde. Na 6 GHz je dramaticky méně kolizí, protože populace starších zařízení je tam v roce 2026 prakticky nulová.
• Šířka kanálu 80 MHz, ne 160. 160 MHz vypadá v datasheetu lépe, ale dva přístupové body na 160 MHz ve stejné budově se navzájem dusí. 80 MHz na 6 GHz Vám dá čtyři až šest čistých kanálů a předvídatelnou latenci.
• Jeden přístupový bod na ~60–80 m² pracovní plochy robota, pokud možno v přímé viditelnosti. Pokud má laboratoř zdi, přidejte další přístupový bod. Roaming na Wi-Fi 6E se zapnutým 802.11r/k/v funguje dobře, ale robot uprostřed úkolu přepnutí mezi body neocení.
• Na robotickém SSID vypněte airtime fairness. Výchozí nastavení zvýhodňuje pomalejší klienty; Vy ale chcete, aby robot — jediný uživatel toho SSID — dostal každý vysílací slot.

Z hardwaru roku 2026: cenově rozumnou volbou jsou UniFi U6 Enterprise (Wi-Fi 6E, ~€450) nebo novější U7 Pro / E7 (Wi-Fi 7, €189 / €499+). Řada Aruba 650 a Cisco Meraki MR jsou enterprise alternativy za 2–3× vyšší cenu; mají příjemnější správu a lepší rádia při vysoké hustotě klientů — ani jedno ovšem laboratoř s jedním serverem a dvěma roboty reálně nepotřebuje.

Synchronizace času — PTP a NTP

Rozcházení hodin mezi robotem a serverem rozbíjí fúzi senzorů nenápadně a trapně. Rozdíl 20 ms způsobí, že stereo hloubková pipeline vytváří duchy. Rozdíl 100 ms vede k tomu, že plánovač manipulace považuje chapadlo za někde, kde není.

Dvě úrovně řešení:

• NTP s chronyd proti lokálnímu serveru stratum-1 (Raspberry Pi s GPS modulem, ~€80 se vším, nebo firewall ve funkci stratum-2). Na drátové LAN dosáhne přesnosti ~1 ms, přes Wi-Fi ~5–20 ms. Pro většinu robotické práce to stačí.
• PTP (IEEE 1588v2) s hardwarovým časovým razítkováním na switchích, které to umí. Řady MikroTik CRS3xx/CRS5xx podporují PTP boundary clock se synchronizací v řádu nanosekund; zvládnou to i Aruba CX 6300 a Cisco Catalyst. Na drátových cestách se dostanete pod mikrosekundu, přes Wi-Fi pod milisekundu.

Pro 1–2 roboty NTP stačí. Pusťte chronyd na každém uzlu, nasměrujte ho na lokální master, sledujte odchylku a nechte si hlásit drift >5 ms. U čtyř a více robotů nebo u jakéhokoli nasazení s fúzí senzorů napříč stroji pusťte na drátové straně PTP a NTP nechte jako zálohu. Tak či onak, drift sledujte. Laboratoří, které kdysi před dvěma lety jednou pustily apt install ntp a od té doby „mají synchronizovaný čas“, je velké množství.

DNS, DHCP a IPAM

Lokální resolver ve správní rovině, tečka. Pi-hole nebo Unbound na malém virtuálu to zvládne. Důvody:

1. Roboty a inferenční servery musí přeložit vllm.lab.local, nas.lab.local a podobně, aniž by se muselo chodit do WAN.
2. Chcete jedno místo, kam přidáte záznam, když zprovozníte nový endpoint Kentino AI.
3. Pi-hole Vám navíc zdarma blokuje reklamu a telemetrii v celé síti, takže zatoulaný provoz „volání domů“ od výrobců zůstane mimo Vaše dráty.

DHCP zvlášť pro každou VLAN, nastavené na firewallu/routeru (UDM Pro Max, OPNsense i pfSense to zvládají dobře). Rezervace pro všechno, na čem záleží — roboty, servery, přístupové body, IPMI, switche, NAS. Dynamické pooly jsou jen pro návštěvy a dočasné workstationy. Robot, který po každém restartu dostane jinou IP, je robot, jehož launch soubory v ROS 2 se každé úterý rozbijí.

Monitoring

Laboratoř bez monitoringu je laboratoř, kde se problémy diagnostikují až podle následků. Ve správní rovině provozujte standardní stack:

• Prometheus sbírá SNMPv3 ze switchů, čítače síťových karet (node_exporter), metriky GPU (dcgm_exporter) a metriky inferenčního serveru (vLLM vystavuje Prometheus nativně).
• Grafana dashboardy: vytížení jednotlivých portů, propustnost po VLAN, teplota a vytížení GPU, drift PTP/NTP, dostupnost připojení robotů.
• Alerty které se skutečně spustí: čítač PFC pause > 0 na kterémkoli portu (znamená, že někdo zahlcuje RDMA, které v téhle síti vůbec nemáte mít, ale stejně to zkontrolujte), teplota GPU > 80 °C, časový drift > 5 ms, anomálie v počtu klientů na přístupovém bodě.

SNMPv3, ne v2c. Laboratoř je dost malá na to, aby práce navíc zabrala patnáct minut — a bezpečnost navíc je skutečná.

Konkrétní rozpis — 1 server, 2 roboty, 4 workstationy

Funkční nákupní seznam pro referenční nasazení s poctivými cenami, v EUR bez DPH, polovina roku 2026:

Pro srovnání: samotný server Kentino AI s osmi GPU stojí €40–70k, oba humanoidi po €30–80k. Síť tvoří 5–10 % celkových nákladů a přitom je to ta část, která nejspíš rozhodne o tom, jestli laboratoř funguje, nebo ne.

Pokud je rozpočet napnutý, rozumně se dá škrtat takto: místo páteřního switche nasaďte MikroTik CRS504-4XQ-IN (4× QSFP28, breakouty na 16× 25 GbE, ~€700) a smiřte se s menším počtem portů; při pracovní ploše <60 m² si vystačte s jedním přístupovým bodem; vynechte GPS zdroj NTP a spokojte se s chrony přes WAN.

Časté přešlapy

Zhruba v pořadí podle toho, jak často se vymstí:

• Míchání robotického provozu s běžnou kancelářskou Wi-Fi. Rozptyl latence zabíjí reaktivní chování. První rada při každém hovoru typu „robot se seká“ zní: „dejte mu vlastní SSID na 6 GHz“.
• Poddimenzované buffery na levných switchích. Osmiportový 10G switch za €200 zvládne dvě zařízení v pohodě a položí se, jakmile na stejný uplink dosednou čtyři uzly. AI provoz je nárazový; buffery switche náraz pohltí. Nejlevnějším důvěryhodným switchem s hlubokými buffery je v tomto článku Aruba CX 6300 (sdílený buffer 8/16/32 MB); MikroTik CRS5xx je mělčí, ale pro laboratoř s jedním serverem postačí.
• Žádný PTP master, žádná kontrola NTP. Synchronizace času „funguje“, dokud nepřestane — a fúze senzorů mezitím tiše selhává. Sledujte odchylku a nastavte alarm.
• Špatně spočítaný PoE rozpočet. Switch se chlubí „PoE++“ a Vy zjistíte, že jeho celkový rozpočet je 200 W, z toho polovinu spotřebují kamery, o kterých Vám nikdo neřekl, a přístupový bod při startu podpětí shodí. Sečtěte příkony a nechte si 30% rezervu.
• Robot, který smí volat domů. Aktualizace firmwaru od výrobce v úterý ráno stáhne nový model, ten změní latenci palubní inference a ta rozbije časování chapadla. Pokaždé. Zablokujte robotu výstup do WAN na firewallu a aktualizace řiďte ručně.
• Žádný monitoring, dokud se něco nerozbije. Laboratoř půl roku bez problémů běží. Pak začne přístupový bod dvakrát denně odpojovat klienty a týden si toho nikdo nevšimne, protože nejsou žádné dashboardy. Než se v tom někdo začne hrabat, změnily se čtyři další věci a nikdo už neumí říct, co selhalo první.

Upřímný pohled

Většina robotických laboratoří svou síť přepálí tam, kde nemusí, a poddimenzuje v tom, na čem záleží. Lidé předepíší páteř na 100 GbE pro inferenční laboratoř s jedním serverem a robota pak pověsí na kancelářskou Wi-Fi. Koupí Cisco Catalyst 9300X s hlubokými buffery a jedou plochou L2 bez jakékoli segmentace do VLAN.

Návrh v poměru 80/20 pro laboratoř roku 2026 s jedním serverem a 1–4 roboty je malý a nenápadný:

• 25 GbE mezi páteřním switchem a serverem Kentino AI. Jedna síťová karta, jeden DAC, hotovo.
• 10 GbE mezi páteří a přístupovým switchem. Dva DAC kabely.
• Jeden páteřní switch, jeden přístupový switch, jeden firewall, jeden nebo dva přístupové body.
• Šest VLAN, firewall ve výchozím stavu vše zakazující, oddělená SSID podle role.
• NTP z lokálního zdroje, pod dohledem.
• Prometheus + Grafana na malém virtuálu.

Celkové náklady na síť: pod €7k. Doba zprovoznění: zhruba týden, pokud je kabeláž hotová. Tohle utáhne skutečnou produkční laboratoř; další stupeň — páteř na 100 GbE, routovaná Clos topologie, AI switche s hlubokými buffery — je pro trénink na více serverech, a to je území článků N04, N08 a K02.

Toto je součást Kentino Wiki, referenční série o AI výpočtech, robotice a systémech, které je propojují. Připomínky a opravy uvítáme na info@kentino.com.