Arquitectura, controladora, puntos de acceso y VLAN

En una red inalámbrica gestionada, la controladora (física, virtual o en la nube, según el fabricante) guarda la configuración de cada nombre de red (SSID), reparte la de los puntos de acceso, controla su firmware y decide qué canal y qué potencia usa cada radio. Un punto de acceso solo, sin controladora, hace lo que su propia configuración le diga.

El tráfico de datos de los clientes puede tomar dos caminos, según el fabricante y el SSID. En el modo local, el punto de acceso lo entrega al conmutador al que está conectado, ya con la VLAN del SSID. En el modo túnel, lo encapsula hacia la controladora (algunos fabricantes usan CAPWAP, RFC 5415) y es ella quien lo entrega a la red. El camino cambia dónde se aplican las reglas y qué tienen que permitir los conmutadores.

Cada SSID se asigna a una VLAN y esa VLAN decide con quién comparte red el cliente. La VLAN de gestión es la que usan los administradores y los propios puntos de acceso para hablar con la controladora: ningún SSID de usuarios ni de dispositivos debería caer en ella, porque quien se conecte quedaría en la misma red que la administración del sistema inalámbrico.

La política de la empresa lo dice: ningún SSID en la VLAN de gestión. Compara ssids con vlans y con politica_red.

Los puntos de acceso también se administran, y esa administración es una superficie. La política pide solo https desde la VLAN de gestión. Cualquier otro canal de administración (telnet envía todo, incluida la clave, sin cifrar) es un hallazgo aunque nadie lo haya usado todavía.

Revisa la columna administracion_por de puntos_de_acceso.

Un punto de acceso es un equipo de red con software propio: sus fallos se corrigen con versiones nuevas del fabricante. La política de esta empresa fija un firmware mínimo, y esa cifra es de la empresa, no una norma. Un equipo cuya versión es anterior al mínimo incumple; uno que tiene exactamente el mínimo cumple.

Separar la gestión no es un adorno de diseño: reduce quién puede alcanzar la administración del sistema.