DHCP, VLAN в AD⁠⁠

То есть Вы позволяете подключать приносное оборудование к корпоративной сети по кабелю? Отчаянный =) Но это все закончится, после первого падения всей сети. У Вас специалист информационной безопасности на предприятии есть?

Для этого формируется таблица mac адресов и привязывается к портам, в этом случае, воткнув в свой ноут кабель, юзер нихрена не получит.

802.1x

Автор не осилит. Как и MAC-based VLAN Groups

На этот случай zabbix. И отключение порта коммутатора. Пусть пишут служебку на имя руководителя.

на сколько понял, гуест-влан работает в связке с 802.1х
можно пробовать
есть ещё вариант, если минимальные навыки программирования есть - пишем скрипт.программу которая раз в 5 минут опрашивает свитч и получает связку мак-адрес - порт - влан и если мак-адреса нет в заранее определенном списке, то порт переводится в влан для экскрементов

в этом комменте ответил
#comment_345146038

У 1250 посмотри хардваре версию и фирмваре версию. Они от этого очень сильно отличаются

1 - vlan 0 не существует
2 - какие свитчи используются? вопрос вланов решают свитчи (коммутаторы) даже на длинках (правда вроде с 3000 серии начиная) есть функция влан по маку.
3 - если пользователи могут спокойно менять себе маки, то без административного запрета ты ничего не сделаешь

С пониманием механизмов работы сети, как у автора, это вызовет ещё больше сложностей

Провести инвентаризацию офисных пк, переписать их маки, разрешить dhcp только им. Остальных коммутировать отдельно и через др влан, придётся ставить управляемые коммутаторы.

я конечно админ аховый, а безопасник еще хуже - так что смотрел бы в сторону BYOD и как его настраивать правильно, а по хорошему всех левых в вай фай , а за привычку пихать кабеля во все незнакомые розетки - по рукам , ну или вариант Б просто не коммутировал бы свободные розетки. Человек выходит - ставишь оборудование и включаешь розетку.

Dhcp relay на маршрутизаторе и вланы на портах прописывать

А ноуты по кабелю или по wif-fi? По кабелю - значит заранее настроить порты, если wi-fi - то на точке доступа настроить для определенных ssid vlan.

Задача - трафик wifi точек завернуть в vlan? Ну, на mikrotik (capsman) я такое без особых проблем сделал

настроить правила для неизвестных клиентов?, ну т.е зарегистрированные (рабочие) в одну сеть, а личные(незарегистрированные) в другую