Одна SSID и несколько VLAN с аппаратным ускорением

Вся суть здесь в следующем: один SSID, несколько VLAN, каждый из которых назначен отдельному мосту. Итак, сценарий такой: клиент подключается к SSID, и по умолчанию ему присваивается VLAN 1 с отключенной переадресацией и отключённой аутентификацией. Пока что я буду вручную авторизовывать клиентов по их MAC-адресу в списке доступа. Как только клиент подключится и пройдет аутентификацию, ему будет назначен нужный VLAN. Клиенты из разных VLAN должны быть полностью изолированы и иметь доступ только к шлюзу по умолчанию. Какой подход здесь будет оптимальным? Кто-нибудь может поделиться примером конфигурации?

Случайно не подскажете пример конфигурации для caps-man с ACL? А как насчёт ручной настройки без caps-man? Есть какие-нибудь примеры? Сейчас пытаюсь реализовать что-то вроде VLAN на мосту внутри другого моста. https://wiki.mikrotik.com/wiki/Manual:Layer2_misconfiguration

А что если я хочу использовать User Manager и WifiWave2 вместо CAPSMAN?

Только настоящий псих будет использовать capsman, я его избегаю, как ковид, смеюсь. Единственный случай — если у вас так много capacs, что ими невозможно управлять иначе, но в таком случае я бы всё равно поругал вас за то, что вы набрали столько устройств, которые большинство считает некачественным вайфаем.

Этот чёртов Engenius, с которым меня заставили работать вчера, имеет функцию myPSK. Можно назначать разные пароли на один и тот же SSID, а потом эти пароли распределяются на разные VLAN. Эта функция входит в их Pro-лицензию, и за неё надо платить по 50 долларов в год с каждой точки доступа в сети. Точки доступа там действительно были мозгами системы с достаточно серьёзным "панельным управлением". Красивые графики, стильный интерфейс… Но проблема была в коммутаторах при вчерашнем развёртывании. Похоже, Engenius абсолютно врал в своей рекламе (никакого, чёрт возьми, удивления), что с их Pro-лицензией… Ты получаешь карты топологии, ВКЛЮЧАЯ устройства не из Engenius. Да ну… Это вообще не работает. Поддержка сказала, что им нужно проверить, почему всё работает не так, как обещали и показывали. Это даже есть в их онлайн-документации и демонстрациях. Ты даже не можешь открыть таблицу хостов на коммутаторах. В итоге остаёшься в полном замешательстве, пытаясь понять, куда что воткнуто. (И если думаешь, что мне плевать на Mikrotik из-за драйверов для Wi-Fi… Просто подожди, что я сделаю с этим менеджером проекта за такой провал.)

С другой стороны, Cambium при использовании EPSK делает именно то, что обещал. Можно использовать пароль без привязки к MAC-адресу с определённым VLAN. Или связать MAC-адрес с паролем, чтобы выбрать VLAN. Радиопроизводительность их оборудования WiFi 6 ближе к Ruckus, на которое я полагаюсь уже много лет. А вот наружная точка доступа у них хуже — примерно до колена мне по качеству.