RADIUS вернул VLAN, которого сейчас нет на контроллере. Сессию можно отклонить либо направить в заранее выбранный запасной сегмент.
Возвращайтесь к Policy Profile
При включенном AAA override VLAN fallback контроллер использует базовый VLAN профиля, когда динамически назначенный сегмент недоступен для клиентской сессии. Связность сохраняется.
Оценивайте изменение прав
Fallback не просто устраняет ошибку подключения, а помещает пользователя в другую сеть, где ACL, сервисы и уровень доверия могут заметно отличаться. Безопасность важнее удобства.
Тестируйте намеренный отказ
В лаборатории верните несуществующий VLAN для отдельной учетной записи и проверьте итоговую policy, адрес, маршруты и журнал причины fallback. Скрытая подмена недопустима.
Разрешайте fallback только в специально ограниченный VLAN с явным мониторингом события. Пользователь не должен незаметно получать более широкие права лишь потому, что назначенный сервером целевой сегмент временно исчез из доступной конфигурации контроллера.
Основная функция описана в статье про AAA Override в Wi-Fi. Команду fallback документирует официальное руководство Cisco.
