Perfiles y VLAN dinámicas

Con una VLAN dinámica el puerto no tiene la VLAN fija: el servidor la indica al autenticar, según un perfil. Un perfil es una regla del tipo «si la identidad cumple esta condición (un grupo del directorio, un tipo de equipo), entonces esta VLAN y esta lista de acceso». La persona de planta recibe la VLAN de planta y la de oficinas la de usuarios, aunque se sienten en el mismo puerto.

La ventaja es que el acceso depende de quién es, y no de dónde se enchufó. El riesgo es que el perfil equivocado concede de más a todo un grupo de una vez. Lee vlans y politica.

Además de la VLAN, un perfil puede aplicar una lista de acceso que limita lo que esa identidad alcanza dentro de su VLAN. Una lista que permite todo anula esa limitación: quien la recibe llega a cualquier destino de su red. Suele nacer de un pedido urgente («que mantenimiento no tenga problemas») y quedarse.

Revisa la columna lista_de_acceso de la política.

Los perfiles se evalúan en orden y se aplica el primero que coincide. Lo que debe pasar con quien se autentica bien pero no pertenece a ningún grupo previsto es una decisión de diseño. Si ese caso cae en una VLAN de producción, cualquier cuenta válida, incluso una que nadie ha clasificado, entra a la red de usuarios. Un perfil por defecto sano deja a esa identidad en una red limitada hasta que alguien decida su pertenencia.

Mira en asignaciones la columna grupos.

El perfil de autenticación fallida manda a la VLAN restringida, con una lista que solo permite alcanzar lo necesario para corregir el problema. Es una red de remediación, no un castigo. Un volumen alto allí es un dato: cuentas que fallan una y otra vez, o equipos mal configurados.

Cuenta las asignaciones a esa VLAN; cada fila es una decisión del servidor, aunque la identidad se repita.

Corregir un perfil muy amplio no se hace borrándolo a ciegas: primero se mide quién lo usa y se mueve a esas identidades a perfiles concretos, con el dueño de cada área; luego se cambia el perfil por defecto. Si no, se corta el acceso a quien trabaja.