Arquitectura de VLAN y PSK por unidad: un recorrido de diseño para redes MDU

Asigne a cada departamento su propia VLAN cuando las unidades tengan puertos cableados y el edificio tenga unos cientos de departamentos. Un proyecto BTR de 250 departamentos utiliza alrededor de 256 de los 4,094 ID de VLAN IEEE 802.1Q. Para sitios con alta rotación, como una residencia universitaria (PBSA) de 800 camas, coloque la segmentación en la clave única de cada residente, con políticas por clave en unas pocas VLAN compartidas.

¿Debería cada departamento tener su propia VLAN?

No siempre. Todos los residentes en un proyecto de vivienda en renta (BTR), unidad multidomicilio (MDU) o residencia universitaria (PBSA) necesitan una red privada. Su laptop, Smart TV e impresora deben comunicarse entre sí, y los dispositivos de nadie más deben poder verlos. Esa es la experiencia del hogar con seguridad empresarial, y puede ofrecerla de dos maneras.

VLAN por departamento. Cada unidad obtiene su propia LAN virtual (VLAN). Una VLAN es un dominio de difusión independiente de capa 2 con su propia subred y rango DHCP. Un servidor RADIUS le indica al punto de acceso a qué VLAN se une cada dispositivo. RADIUS es el protocolo de autenticación que verifica cada dispositivo y devuelve su política de red. El tráfico entre unidades debe cruzar una puerta de enlace de capa 3, y su firewall lo bloquea allí.

Política vinculada a la clave. Cada residente recibe una clave precompartida (PSK) única en un SSID compartido. Los proveedores llaman a esto PSK de identidad (iPSK), PSK privada (PPSK), PSK múltiple o PSK dinámica. La clave identifica al residente y la red aplica la política vinculada a ella. Los dispositivos con la misma clave pueden comunicarse entre sí. Los dispositivos con diferentes claves no pueden, incluso en una VLAN compartida. Purple llama a esto una Red de Área Privada (PAN): una burbuja de red privada que viaja con la clave.

Ambos diseños aíslan a los residentes correctamente. Se diferencian en dónde se aplica el aislamiento y en cuánta configuración debe mantener. La elección depende de cuatro factores:

• puertos cableados en las unidades
• rotación de residentes
• recuento total de segmentos
• lo que admiten sus puntos de acceso y switches

Las siguientes secciones analizan cada factor con recuentos de unidades para un proyecto BTR de 250 departamentos y una residencia PBSA de 800 camas.

Dónde difieren realmente las VLAN por unidad y la política basada en claves

El límite de 4,094 VLAN y cuándo se alcanza realmente

IEEE 802.1Q lleva el ID de VLAN en un campo de 12 bits. Eso da 4,096 valores. Los ID 0 y 4,095 están reservados, lo que deja 4,094 ID utilizables. El límite se aplica por dominio de capa 2, no por organización, por lo que dos edificios detrás de un límite enrutado pueden reutilizar los mismos ID.

Un solo edificio rara vez alcanza los 4,094 solo con las VLAN de los residentes. Se alcanza el límite en tres situaciones:

• Un campus de varios bloques ejecuta un dominio plano de capa 2. Cinco residencias de 800 camas en un núcleo necesitan 4,000 VLAN de residentes antes de agregar al personal, CCTV o la gestión del edificio.
• Segmenta por cama y por puerto. Si cada cama también recibe una VLAN cableada independiente, su recuento se duplica.
• Agrega una VLAN de IoT por unidad para cerraduras o termostatos inteligentes, lo que duplica la cifra de nuevo.

El límite práctico suele llegar antes. Las variantes de Spanning Tree por VLAN ejecutan una instancia de Spanning Tree por VLAN, y las plataformas de switches limitan las instancias muy por debajo de 4,094. Los controladores inalámbricos y las puertas de enlace también publican sus propios límites para las VLAN y las interfaces de capa 3. Verifique esas tres cifras de las fichas técnicas antes de comprometerse. El máximo de 802.1Q es el número incorrecto para planificar.

Si supera el límite, tiene dos salidas limpias. Coloque un límite enrutado en cada edificio y reasigne los ID de VLAN dentro de cada uno. O migre a VXLAN, definido en RFC 7348, cuyo identificador de segmento de 24 bits permite alrededor de 16 millones de segmentos. Multiple Spanning Tree, originalmente IEEE 802.1s y ahora parte de 802.1Q, mapea muchas VLAN en unas pocas instancias. Eso elimina la restricción del Spanning Tree.

Cómo asigna RADIUS un residente a una VLAN

RFC 3580 define la asignación dinámica de VLAN. Cuando RADIUS acepta un dispositivo, el mensaje Access-Accept lleva tres atributos:

• Tunnel-Type = VLAN (13)
• Tunnel-Medium-Type = 802 (6)
• Tunnel-Private-Group-ID = el ID de VLAN para ese departamento

El punto de acceso o switch coloca el dispositivo en esa VLAN. El mapeo reside en el registro del residente, por lo que su teléfono se conecta a la misma VLAN en el departamento, el gimnasio o la terraza.

La forma en que el servidor identifica al propietario del dispositivo depende del método de autenticación:

• IEEE 802.1X (WPA2-Enterprise o WPA3-Enterprise). El residente inicia sesión con una credencial o certificado, y RADIUS lo busca directamente.
• PSK por clave. El controlador o el servidor RADIUS compara la clave que presentó el dispositivo con el registro del residente, y luego devuelve el nombre de la VLAN o de la política.

Los proveedores implementan esa búsqueda de claves de forma diferente. Siga la documentación de su plataforma para conocer los pasos de configuración.

PSK gana en edificios residenciales por una razón práctica. Las Smart TV, consolas de videojuegos, bocinas inteligentes e impresoras rara vez admiten 802.1X, pero una clave funciona en todos ellos.

Verifique si su plataforma admite PSK por clave con WPA3-Personal. Muchas implementaciones de PSK por clave se lanzaron en WPA2-Personal. SAE (Autenticación Simultánea de Iguales, la negociación de WPA3-Personal) cambia la forma en que se puede comparar una clave, y la compatibilidad varía según el proveedor y el firmware.

Cuando un residente se muda de departamento o se va del edificio, la autorización dinámica de RADIUS ayuda. Está definida en RFC 5176 y permite al servidor desconectar una sesión o aplicar una nueva política de inmediato.

Higiene del dominio de difusión (broadcast)

Cada VLAN es un dominio de difusión. Las solicitudes ARP, la detección DHCP y los protocolos de detección multicast llegan a todos los dispositivos que forman parte de ella. Esos protocolos incluyen mDNS, que usan AirPlay y Chromecast, y SSDP. En WiFi, las tramas de difusión y multicast se envían a una velocidad de datos básica. Consumen tiempo de aire en cada punto de acceso que maneja la VLAN.

Una VLAN por unidad mantiene cada dominio limitado a un hogar, aproximadamente entre ocho y 36 dispositivos. La detección funciona dentro del departamento sin necesidad de una puerta de enlace mDNS, y nada se filtra al departamento de al lado.

Una VLAN compartida puede albergar cientos de dispositivos de muchos residentes, por lo que requiere una higiene activa:

• Proxy ARP o supresión de ARP en el punto de acceso, para que el AP responda las solicitudes ARP en lugar de inundarlas.
• Conversión de multicast a unicast o filtrado de broadcast en la SSID del residente.
• Un gateway mDNS con alcance por clave, para que los destinos de transmisión de un residente aparezcan solo en sus propios dispositivos.
• Un límite de tamaño. Nuestra regla práctica es unos pocos cientos de clientes por VLAN compartida. Divida por piso o bloque si se supera esa cifra.

Algunas plataformas aplican la agrupación a nivel de clave de forma nativa. Por ejemplo, Wireless Personal Network de Cisco Meraki agrupa los dispositivos por PSK de identidad e aisla los grupos entre sí en una VLAN compartida. En un entorno Meraki, pruebe el roaming rápido de forma paralela. Nuestra guía sobre Cisco Meraki 802.11r adaptativo vs habilitado cubre este comportamiento.

Diseño del alcance de DHCP por segmento

Planificamos de ocho a 12 dispositivos por residente. Esa es la cifra de planificación de Purple y cubre:

• teléfonos, laptops, tabletas y relojes
• televisiones, consolas y bocinas
• dispositivos de hogar inteligente

Calcule el tamaño de cada alcance a partir de la ocupación máxima de la unidad, no del promedio.

Luego agregue un margen para direcciones MAC privadas. Tanto Apple como Google randomizan la dirección MAC de un dispositivo por red de forma predeterminada. Una nueva dirección aleatoria toma una nueva concesión (lease). Acorte los tiempos de concesión para que las direcciones abandonadas regresen al pool en menos de un día y mantenga libre al menos un tercio de cada alcance.

Prefijo	Direcciones utilizables	Concesiones después del gateway	Ajuste
/28	14	13	No recomendado: un residente con 12 dispositivos deja uno libre
/27	30	29	Un residente con 12 dispositivos, 17 libres
/26	62	61	Tres residentes con 12 dispositivos, 25 libres
/23	510	509	Un piso de 25 residentes con 12 dispositivos, 209 libres

Ejecute DHCP en el gateway o en un servidor central con DHCP relay en cada interfaz VLAN. Un diseño por unidad necesita un alcance y un relay por VLAN, por lo que un edificio de 250 departamentos tiene 250 alcances. La ventaja es que una dirección IP identifica el departamento, lo que acelera la resolución de fallas. En las VLAN compartidas, la dirección ya no se mapea a una unidad. Usted localiza al residente a través de la contabilidad de RADIUS, que registra la clave, la dirección MAC y la sesión.

Factor	VLAN por departamento	Política portada por la clave
Dónde se aplica el aislamiento	Gateway de Capa 3 y firewall	Punto de acceso o controlador
VLANs de residentes utilizadas	Una por unidad	Una por piso o bloque
Puertos cableados en las unidades	Mismo segmento que el WiFi, a través de puerto VLAN o autenticación MAC	Requiere un diseño cableado independiente
Detección de AirPlay y Chromecast	Funciona dentro de la VLAN, sin gateway	Requiere un gateway mDNS con alcance por clave
Tamaño del dominio de broadcast	Un hogar, hasta unos 36 dispositivos	Hasta unos pocos cientos de dispositivos
Alcances de DHCP	Uno por unidad	Uno por VLAN compartida
Dependencia de hardware	Asignación dinámica de VLAN (RFC 3580)	PSK por clave más aislamiento por clave
Mejor adaptación	BTR y MDU con puertos cableados y estancias largas	PBSA, aparthoteles, campus de múltiples bloques

Cuándo una VLAN por departamento es la decisión correcta

Elija una VLAN por departamento cuando se cumpla la mayoría de estas condiciones:

• Las unidades tienen puertos cableados. Una VLAN transporta la TV cableada, el hub inteligente y los dispositivos WiFi del residente, por lo que la transmisión (casting) funciona en ambos.
• Las estancias duran meses o años. El mapa de VLAN a unidad rara vez cambia.
• El conteo de segmentos se mantiene muy por debajo de los límites de su plataforma. Cuentestancias de spanning tree, VLANs de controlador e interfaces de gateway.
• Su equipo de seguridad desea aislamiento en capa 3, con registros de firewall por segmento.
• El soporte necesita la dirección IP para identificar la unidad sin una búsqueda RADIUS.

Escenario práctico: un esquema BTR de 250 puertas

Situación. Un bloque build-to-rent de 250 departamentos, desde estudios hasta de dos recámaras, con un máximo de tres residentes por unidad. Cada departamento tiene puertos cableados para una TV y un hub para el hogar inteligente. El piso de amenidades tiene un gimnasio, una sala de co-working y una terraza en la azotea. El personal, el sistema de CCTV, la administración del edificio y los visitantes de la sala necesitan su propia red.

Lo que se hizo.

• Una VLAN por departamento: 250 VLANs de residentes.
• Seis VLANs de infraestructura: administración, personal, CCTV, administración del edificio, IoT y una red de Guest WiFi para visitantes en las áreas de amenidades. Eso suma 256 IDs de VLAN en total.
• Un /26 uniforme por departamento. Tres residentes con 12 dispositivos equivalen a 36 dispositivos, lo que deja 25 concesiones (leases) libres. Una sola plantilla cubre cada unidad.
• Un /18 para todos los alcances de residentes. Los 250 alcances /26 caben dentro de un solo /18 de espacio privado RFC 1918, con seis bloques /26 restantes.
• Cableado e inalámbrico en un mismo segmento. RADIUS asigna la clave de cada residente a la VLAN de su departamento, y los puertos cableados del departamento se encuentran en la misma VLAN.
• Multiple Spanning Tree mapea las 256 VLANs en un número reducido de instancias.

Resultado (cifras de diseño).

• 256 de 4,094 IDs de VLAN utilizados, aproximadamente el 6%.
• 256 alcances DHCP y 256 interfaces de capa 3, gestionados desde una plantilla de reglas de firewall.
• Cada dirección de residente identifica su departamento.
• Una segunda fase de 250 puertas llevaría el total a 506 VLANs, aún alrededor del 12% del espacio de IDs.

Cuándo la segmentación basada en políticas es la decisión correcta

Elija la política asociada a la clave cuando se cumpla la mayoría de estas condiciones:

• La rotación es alta. Los ingresos anuales o las estancias por noche hacen que el mantenimiento de VLAN por unidad sea un trabajo recurrente.
• Los residentes se desplazan por todo el edificio, incluidas salas de estudio, cafeterías y gimnasios.
• La privacidad por cama llevaría los conteos de VLAN a cientos o miles.
• Las habitaciones no tienen puertos cableados, o los puertos sirven únicamente para los sistemas del edificio.
• Sus puntos de acceso admiten PSK por clave, aislamiento por clave y mDNS delimitado.

Escenario práctico: una residencia universitaria de 800 camas

Situación. Una universidad opera una residencia estudiantil de 800 camas distribuida en cuatro bloques de ocho pisos, con 25 camas por piso. Los estudiantes viven en departamentos compartidos de cinco a ocho habitaciones alrededor de una cocina común. Los compañeros de departamento esperan privacidad entre sí, por lo que la segmentación se realiza por cama. La mayoría de las camas cambian de ocupante al inicio de cada año académico.

Opción A: una VLAN por cama.

• 800 VLANs de residentes.
• Una /27 por cama alberga 12 dispositivos con 17 libres, lo que suma 25,600 direcciones y requiere una /17.
• 800 ámbitos DHCP y 800 interfaces de puerta de enlace.
• Cada VLAN configurada en trunk hacia todos los puntos de acceso que un estudiante pudiera usar, lo que significa todo el sitio.

Opción B: política vinculada a la clave.

• Cada estudiante recibe una clave única al registrarse.
• Una VLAN compartida por piso genera 32 VLANs de residentes.
• Cada /23 ofrece 509 concesiones frente a 300 dispositivos (25 estudiantes a 12 dispositivos), dejando 209 libres.
• Los 32 ámbitos /23 se ajustan en una /18.
• El aislamiento por clave se ejecuta en los puntos de acceso, con una puerta de enlace mDNS delimitada por clave. Proxy ARP y multicast-a-unicast se ejecutan en el SSID.

Lo que se hizo. Opción B. La clave asigna a cada estudiante a la VLAN de su piso principal. Un estudiante que camina hacia la cafetería conserva la misma dirección y política. Las 32 VLANs están configuradas en trunk hacia todos los puntos de acceso, una carga mucho más ligera que 800.

Resultado (cifras de diseño).

• 32 VLANs de residentes en lugar de 800, una reducción del 96%.
• 32 ámbitos DHCP en lugar de 800.
• La mitad del espacio de direcciones: una /18 en lugar de una /17.
• Dominios de broadcast de aproximadamente 300 dispositivos cada uno, dentro de nuestra regla de trabajo.
• La rotación anual significa revocar y reemitir claves únicamente, sin cambios en VLANs, ámbitos o trunks.

Escenario práctico: un aparthotel de 120 unidades

Situación. Un aparthotel de 120 departamentos distribuido en seis pisos, 20 departamentos por piso. Las estancias van de una a 14 noches. Los huéspedes traen reproductores en streaming y esperan transmitir desde sus teléfonos. La recepción proporciona el acceso a WiFi al momento del registro.

Lo que se hizo.

• Cada estancia recibe su propia clave al registrarse, asignada a un grupo de políticas por departamento.
• Las estancias cortas tienen menos dispositivos, por lo que el plan utiliza ocho dispositivos por huésped y dos huéspedes por departamento. Eso equivale a 320 dispositivos por piso.
• Cada piso obtiene una VLAN /23, lo que deja 189 concesiones libres.
• El diseño revoca cada clave al momento de la salida.

Resultado (cifras de diseño).

• Seis VLANs de residentes en lugar de 120, una reducción del 95%.
• Seis ámbitos DHCP.
• Sin cambios de VLAN entre estancias.
• La transmisión de contenido funciona dentro de cada estancia mediante el ámbito mDNS por clave.

Para obtener una visión más amplia sobre redes para huéspedes, visite nuestra página de Hoteles.

Lo que cuesta operar cada diseño

Ningún diseño cambia su cantidad de puntos de acceso. Eso está determinado por la densidad de dispositivos y la cobertura. El costo operativo radica en la cantidad de objetos que configura, modifica y en los que soluciona problemas.

Elemento a mantener	BTR de 250 puertas, VLAN por departamento	PBSA de 800 camas, VLAN por cama	PBSA de 800 camas, política por clave
VLANs de residentes	250	800	32
Ámbitos DHCP	250	800	32
Interfaces de puerta de enlace Capa 3	250	800	32
Espacio de direcciones privadas	/18	/17	/18
VLANs con trunking hacia cada AP (con 6 de infraestructura)	256	806	38
Aislamiento aplicado en	Firewall del gateway	Firewall del gateway	Punto de acceso o controlador
Cambio al rotar de residente	Reemitir clave	Reemitir clave	Reemitir clave

Con una VLAN por unidad, el costo se centra en la gestión de cambios. Cada bloque nuevo añade VLANs, scopes, interfaces de gateway, entradas de firewall y cambios de trunking en cada switch del trayecto. Plantillee y automatice ese trabajo, o se desincronizará.

Con la política respaldada por la clave, el costo se desplaza a otra parte. Dependerá de las funciones por clave del firmware y de la licencia de sus puntos de acceso. La solución de problemas también pasa de las direcciones IP a los registros de contabilidad RADIUS, por lo que debe capacitar a su equipo de soporte para interpretarlos.

Purple Multi-Tenant WiFi opera como una superposición en la nube sobre el hardware que ya posee. Nuestra solución RADIUS en la nube emite una clave a cada residente y devuelve su VLAN o política. Las altas, cambios y bajas se gestionan desde un único panel de control. Purple es independiente del hardware en:

• Cisco Meraki
• HPE Aruba
• Ruckus
• Juniper Mist
• Ubiquiti UniFi
• Cambium
• Extreme Networks
• Fortinet

Purple opera en más de 80,000 ubicaciones en vivo y gestionó 440 millones de inicios de sesión en 2024, según datos propios de Purple. Purple cuenta con la certificación ISO 27001 y cumple con el GDPR. Para entender por qué la segmentación rara vez requiere puntos de acceso nuevos, lea Por qué su próxima actualización de WiFi no requiere hardware nuevo.

Cómo decidir para sus instalaciones

Su situación	Recomendación	Por qué
Hasta unas 500 unidades, puertos cableados, contratos de arrendamiento de 12 meses o más	VLAN por departamento	Los servicios cableados y WiFi comparten un segmento; el uso de ID se mantiene cerca del 12%
PBSA con privacidad por cama y rotación anual	Política por clave, una VLAN compartida por piso	96% menos VLANs en 800 camas; sin replanteamiento en cada ingreso
Aparthotel o departamentos con servicios para estancias de días	Política por clave	Las claves siguen a la estancia; el mapa de VLANs nunca cambia
Campus de varios bloques en un núcleo de capa 2, más de 3,000 segmentos	Límite enrutado por edificio, o VXLAN, y luego cualquiera de los modelos	4,094 IDs por dominio de capa 2
Departamentos con puertos cableados y departamentos compartidos en un solo sitio	Híbrido: VLAN por departamento donde existan puertos, política por clave en lo demás	Cada modelo aplicado donde radican sus fortalezas
Puntos de acceso sin aislamiento por clave	VLAN por departamento, o planifique una actualización de firmware o de AP	El aislamiento se tiene que aplicar en algún lugar

Siga estos cinco pasos antes de comprometerse con un diseño.

1. Cuente sus segmentos. Cuente las unidades o camas, luego añada las VLANs de infraestructura y cualquier multiplicador cableado o IoT. Compare el total con los límites de su spanning tree, controlador y gateway, no con 4,094.
2. Calcule el tamaño de los scopes según la ocupación máxima. Multiplique los residentes por 12 dispositivos, luego mantenga libre al menos un tercio de cada scope.
3. Confirme las funciones por clave con su proveedor. Verifique el soporte de PSK por clave, asignación de VLAN por clave, aislamiento por clave, mDNS delimitado y WPA3-Personal en su firmware.
4. Evaluación de densidad. Tener de 8 a 12 dispositivos por residente cambia la cantidad de puntos de acceso. Nuestra guía de WiFi Site Surveys cubre la planificación.
5. Pruebe el roaming entre el departamento y los espacios de amenidades. Si los residentes se desplazan entre pisos, ajuste 802.11r y 802.11k. Consulte 802.11r and 802.11k on Android para configuraciones específicas de cada proveedor.

Preguntas frecuentes

¿Purple Multi-Tenant WiFi funciona con los puntos de acceso que ya están en mi edificio?

Sí. Purple es independiente del hardware y funciona como una capa en la nube sobre Cisco Meraki, HPE Aruba, Ruckus, Juniper Mist, Ubiquiti UniFi, Cambium, Extreme Networks y Fortinet. Usted conserva sus puntos de acceso y switches. Purple proporciona el RADIUS en la nube y la capa de identidad que otorga a cada residente una clave y devuelve su VLAN o política. Si elige la segmentación basada en políticas, confirme que su firmware sea compatible con PSK por clave e aislamiento por clave.

¿Podemos pasar de una contraseña compartida en el edificio a claves por unidad sin reemplazar el hardware?

Sí, si sus puntos de acceso admiten PSK por clave o asignación dinámica de VLAN. Purple se integra sobre la infraestructura existente, por lo que no se requiere reemplazar ningún equipo. Ejecute el nuevo SSID de residentes junto con el antiguo y, luego, migre a los residentes unidad por unidad. Elimine la contraseña compartida una vez que el último residente se haya cambiado. Planifique su mapa de VLAN o políticas y los rangos de DHCP antes de que el primer residente realice el cambio.

¿Cuántas VLAN puede admitir un solo edificio MDU?

Hasta 4,094 por dominio de capa 2, el límite establecido por el ID de VLAN de 12 bits en IEEE 802.1Q. En la práctica, los límites de instancias de spanning tree, los límites de VLAN del controlador y la cantidad de interfaces de gateway suelen ser los primeros obstáculos. Un proyecto BTR de 250 puertas con seis VLAN de infraestructura utiliza 256 ID. Los campus que necesiten más deben colocar un límite enrutado en cada edificio o migrar a VXLAN.

¿La segmentación basada en claves es tan segura como una VLAN por departamento?

Sí, siempre que su plataforma aplique el aislamiento entre claves en el punto de acceso o en el controlador. La diferencia radica en el punto de aplicación. Una VLAN por unidad bloquea el tráfico entre unidades en el gateway de capa 3. La política basada en claves lo bloquea antes de que el tráfico salga del punto de acceso. Pruebe esto desde un dispositivo de residente. Confirme que no puede acceder a los dispositivos de otro residente ni descubrir sus objetivos de transmisión.

¿Los smart TVs, consolas y dispositivos IoT funcionarán en una red de residentes segmentada?

Sí. Ambos diseños utilizan una clave precompartida, la cual funciona en dispositivos sin soporte para 802.1X, como smart TVs, consolas de videojuegos y bocinas inteligentes. Los dispositivos de cada residente comparten su propia VLAN o grupo de claves, por lo que la transmisión de contenido y la impresión funcionan dentro del hogar. En VLAN compartidas, agregue un gateway mDNS delimitado por clave para que el descubrimiento de dispositivos se mantenga privado para cada residente.

¿Cómo maneja Purple los datos de los residentes bajo GDPR?

Purple cuenta con la certificación ISO 27001 y cumple con el GDPR. Cada clave se vincula a un registro de residente en la capa RADIUS en la nube. La contabilidad de RADIUS registra qué clave y dispositivo tuvieron cada sesión, lo que facilita la resolución de fallas y las solicitudes de acceso. Cuando un residente se muda, se revoca su clave, y el proceso de altas, bajas y cambios cierra su acceso a la red desde un solo panel de control.

¿Qué sucede con los dispositivos de un residente cuando se muda?

Pierden el acceso en cuanto revocas la clave o credencial. Cuando tus puntos de acceso lo admiten, la autorización dinámica de RADIUS (RFC 5176) desconecta las sesiones activas de inmediato. Con una VLAN por departamento, la VLAN y el alcance DHCP permanecen listos para el siguiente residente. Con una política basada en claves, no hay nada que volver a planificar: simplemente le asignas una nueva clave al nuevo residente.