Esto ya excede un poco el marco y tal vez sea innecesariamente paranoico, pero personalmente recomiendo también una autenticación Radius para los puertos del switch que se dirigen hacia afuera a los AP. La mayoría de los switches administrados soportan al menos una forma sencilla de esto. Si compras un switch de 24 puertos, probablemente también pueda hacerlo. De lo contrario, simplemente revisa la hoja de datos. En el manual generalmente también se explica cómo configurarlo.
Con esto te aseguras de que no se pueda conectar ningún otro dispositivo que no sea el punto de acceso al cable de red. De lo contrario, cualquiera podría conectar el cable a su computadora y comprometer tu red. Sin embargo, para eso alguien tendría que entrar en tu jardín y desmontar el punto de acceso. Un caso poco probable, pero la posibilidad existe. Lo implementaremos, ya que hemos llevado varios cables LAN hacia afuera (timbre, punto de acceso, wallbox, caseta de jardín, etc.).