Comenzaré diciendo que, si bien algunos puntos de acceso pueden configurarse como un cliente para autenticarse en un puerto de conmutación protegido por 802.1X, no todos pueden hacerlo. Además, no puede habilitar 802.1X en un puerto troncal / etiquetado, por lo que no podrá hacer esto si tiene un punto de acceso configurado para manejar múltiples VLAN (es decir, múltiples asignaciones de SSID / VLAN con un AP autónomo o alguna los proveedores con 802.11ac se están alejando del túnel de todo el tráfico a los controladores).
No tengo conocimiento de un punto de acceso que funcione en modo de "sesión múltiple" como usted describe. Creo que el primer obstáculo aquí es que el AP funciona como un NAS en sí mismo, por lo que el cliente ya se está autenticando en la red. Esto podría requerir una segunda autenticación 802.1X por parte del cliente al conmutador.
El segundo obstáculo es que esto interrumpiría cualquier capacidad de ejecutar múltiples SSID en diferentes VLAN o tener la dirección IP de administración de AP en una VLAN diferente a la de los usuarios. En un modo de "sesión múltiple", por lo general, todos los dispositivos deben tener la misma asignación de VLAN o se les negará el acceso.
En última instancia, los puntos de acceso son parte de su infraestructura y siempre debe considerar la seguridad física para toda la infraestructura. ¿Cómo está asegurando su conmutador para cambiar los enlaces que no participan en 802.1X? Esto también es una vulnerabilidad de seguridad si no se asegura adecuadamente.
Por ejemplo, comenzaría con algún tipo de dispositivo de bloqueo de cable como este de Panduit . Si bien no es perfecto, a menos de $ 10 por AP, hace que un cable sea mucho más difícil (ya sea por accidente o por manipulación) para retirarlo sin la herramienta "clave".
Si quisiera más seguridad, usaría un gabinete para contener el AP y el cableado. Estos van desde los $ 50-300 por ubicación y brindan diferentes niveles de seguridad (según la marca / modelo). Si va con un gabinete de metal, necesitará usar una antena externa para evitar que el gabinete interfiera con la señal, lo que puede agregar costos adicionales.