Bloquear AP´s (router´s home user) conectados na rede por usuarios.

[David Ferreira]

Tenho um problema com usuários que conectam um AP desses pra uso domestico tp-link por exemplo, em uma porta LAN do Switch e com isso "libera" conexão por Wi-Fi.

Existe alguma forma de bloquear para que não funcione esses AP´s? sendo que quando configurado e conectado ele funciona como uma bridge, já tentei bpdu-guard porem sem sucesso.

[Flavio Miranda]

Olá @David Ferreira 

BPDU guard tem outra função.  Ela serve para evitar que outro dispositivo tente ser root além daquele que você determinou como root.

 O que você precisa depende to AP e não do switch.  Um AP pode ser trabalhar como uma.bridge mas isso precisa ser suportado pelo AP.

Outro ponto é que sendo bridge ou não, se ele tiver propagando um SSID e os usuários tiver a senha, eles vão se conectar.

[David Ferreira]

Olá Flavio, agradeço pela resposta. 

vou tentar explicar melhor, o problema que temos. 

em algumas unidades da nossa rede não temos Wi-Fi, e isso foi por decisão da empresa. porem alguns usuários mais "expertos" trazem esses AP´s de casa e conectam na rede LAN para terem Wi-Fi. Imagine a falha que temos na segurança da rede.

o que eu preciso é bloquear para que esses "AP´s"(roteadores TP-link por exemplo. não funcionem quando conectados na rede por esses usuários. é possível fazer esse tipo de bloqueio? 

[Flavio Miranda · Accepted solution]

Ah ok, agora ficou muito mais claro.  Não é algo muito simples e pode depender de outros elementos de rede como um Radius server, por exemplo.

  Com um Radius server, você poderia habilitar authenticação na porta do switch de forma que apenas disposivos conhecidos conseguiriam se conectar. Esse controle pode ser feito via Active Directory (dominio) ou através de uma base de mac address (MAB). Existem uma enorme variedade de soluções para Radius desde Cisco ISE até OpenSource.

 Uma solução mais "simples" seria criar uma Access List no proprio switch e permitir apenas os dispositivos que você quer. Porem, toda solução de controle trás alguns potenciais problemas. Por exemple, quando você cria esses bloqueios, se um usuário trocar de maquina, vc precisa atualizar as configurações para permitir esse novo dispositivo. Ou se alguem vai visitar uma de suas unidades, etc.

Outro ponto é que o mac address deveria ser único por dispositivo, mas é possível burlar essa regra para alguns dispositivos. Então não dá para confiar 100%.

A solução mais eficaz nesse caso é Radius com authenticação via dominio.

[David Ferreira]

Boa, vou estudar essa opção de implantar um Radius. 

Valeu!

[Flavio Miranda]

Excelente @David Ferreira . Se precisar de alguma ajuda, so pingar aqui.