diff --git a/sites/BCN01-LAB/MANUAL_STEPS.md b/sites/BCN01-LAB/MANUAL_STEPS.md
new file mode 100644
index 0000000..698a63e
--- /dev/null
+++ b/sites/BCN01-LAB/MANUAL_STEPS.md
@@ -0,0 +1,33 @@
+# Pasos manuales — BCN01-LAB
+
+Configuraciones que no pueden gestionarse via Terraform (limitaciones del provider v1.9.0)
+y deben aplicarse directamente en el Meraki Dashboard.
+
+---
+
+## Client VPN (L2TP/IPSec)
+
+**Dashboard:** Security & SD-WAN → Client VPN
+
+| Parámetro | Valor |
+|-----------|-------|
+| Estado | Enabled |
+| Subnet VPN | `10.2.58.0/23` |
+| Authentication | RADIUS |
+| RADIUS server | IP del Okta RADIUS Agent, puerto `1812` |
+| RADIUS secret | Ver secret de Okta RADIUS Agent |
+
+> **Nota:** El provider `CiscoDevNet/meraki` v1.9.0 no incluye el resource
+> `meraki_appliance_vpn_client_vpn`. Cuando el provider lo soporte, esta
+> configuración deberá migrarse a `sites/BCN01-LAB/vpn.auto.tfvars`.
+
+---
+
+## OWE (Opportunistic Wireless Encryption) — SSID EQT-CORPO
+
+**Dashboard:** Wireless → SSIDs → EQT-CORPO → Edit settings → Security
+
+Activar manualmente **"Opportunistic Wireless Encryption"**.
+
+> Terraform gestiona `auth_mode = "open-enhanced"` correctamente, pero la
+> activación inicial de OWE puede requerir confirmación manual en el Dashboard.