Se me ocurre, a ver que te parece?
Crear un ámbito nuevo para el dhcp al que estén conectados los AP, de esta forma el direccionamiento de red seria diferente al de las otras redes, luego como las cuentas de los usuarios si son de AD podría autenticarlos y dejarlos entrar en la red, pero
como el direccionamiento es diferente no podrían llegar a la red de "servicios" y al ser Wifi daría igual que se cambiaran la ip porque el medio físico no les permite llegar a mi red.
Debes saber que los usuarios que usaran esa wifi ya tienen cuenta en el dominio, lo que sucede es que los equipos que usan son de cliente y esto significa que yo no lo puedo controlar.
De esta forma podría tener controlado quien accede a la red, sin tener que hacer mas gestión que la que ya se hace, bueno en este caso en las reglas del radius abría que crear un grupo donde estarían las cuentas de los usuarios que usan los equipos
agenos al dominio.
Que te parece, así sabría quien se puede conecar, no tendría que meter ningún free radius ni ningún otro sistema de gestión de usuarios y estaría seguro en tanto que los equipos no accederían a la red del AD.
Gracias por tus opiniones
Carlos Del Prado
