您正在周五深夜审查 WLAN 变更。控制器为您提供了受保护管理帧的三种设置：禁用、可选和必选，而该 SSID 上的每台设备都将在周一早晨切身感受到这一选择的影响。设置得过于宽松，伪造的断开连接攻击依然有效；设置得过于严格，建筑内的打印机、扫描仪和较旧的笔记本电脑将完全无法接入。本指南将这一选择视为其真实本质，即一项针对单个 SSID 的强制执行决策，且其兼容性成本是可以通过规划来应对的。
受保护的管理帧（PMF）的作用
在繁忙的 WLAN 上，设备可能会在没人动过密码或破译加密的情况下断开连接。原因可能是伪造的管理帧 - 一种指示设备断开连接的无线电消息。保护管理帧 (PMF) 有助于防止此类消息被误认为是真实合法的。
PMF 旨在解决的安全漏洞
管理帧承载建立、维护和终止无线连接的指令。它们本身不传输电子邮件、患者记录或视频呼叫等数据内容。在采用 PMF 之前，无线电覆盖范围内的攻击者可以伪造取消身份验证或取消关联的消息。接收到该消息的设备可能会离开网络，即使其加密的用户数据流量并未受到破坏。
PMF 源于 2009 年发布的 IEEE 802.11w 修正案，该修正案解决了伪造管理帧的问题，特别是强制断开合法用户连接的消息，如 Wi-Fi Alliance 关于受保护管理帧的概述 所描述。它为受保护的控制流量增加了 完整性检查和来源身份验证。接入点或客户端可以验证受保护消息的发送者，并直接拒绝未能通过检查的消息，而不是盲目地执行命令。
受保护的单播管理帧也可以进行加密，从而确保一对一指令的私密性与真实性。PMF 涵盖去身份验证和去关联帧，以及用于无线电测量、块确认、快速 BSS 过渡、频谱管理和服务质量的动作帧。这些消息可以终止会话、报告无线电状况、确认数据块、支持转移到另一个接入点或管理语音和视频流量。
PMF 不包含什么
PMF 保护的是控制流量，而不是用户数据。它与 WPA2 或 WPA3 协同工作，而不是取代身份验证、加密或授权。Wi-Fi 联盟将 PMF 描述为一种有助于抵御断开连接、蜜罐和恶魔双胞胎攻击的方法。它不会建立用户的身份，也不会决定谁可以访问网络。
PMF 是一种补充性安全控制措施。身份验证决定了谁被允许进入，加密技术保护数据安全，而 PMF 则保护维持会话连接的指令。
无线接入点和客户端都必须支持 PMF，且该设置分别应用于每个加密的 SSID。这使得强制执行成为一项逐个网络决定的策略，而不是对整个场所进行一键设置。过渡模式的网络通常允许使用 PMF 而不强制要求，因此较旧的客户端仍能连接。代价是无法使用 PMF 的客户端在该 SSID 上无法获得保护。在选择强制执行的力度之前，请充分评估客户端组合和网络的漫游需求。
选择禁用（Disabled）、可选（Optional）或必需（Required）模式
每个 WLAN 可以运行三种 PMF 模式之一，该模式决定了哪些设备保持连接，哪些设备处于暴露状态。在修改生产环境配置之前，请将此表作为你的参考指南。
| 模式 | 工作机制 | 对旧版设备的影响 | 伪造取消身份验证威胁 | 最佳应用场景 |
|---|---|---|---|---|
| Disabled（已禁用） | 无管理帧保护 | 可连接到任何网络 | 完全暴露于风险中 | 即将被淘汰的隔离旧版网络 |
| Optional（可选） | 仅在客户端和 WLAN 均支持时使用 PMF | 旧版设备仍可继续连接 | 非 PMF 客户端暴露于风险中 | WPA2 和 WPA3 过渡期 SSID |
| Required（必需） | 仅与支持 PMF 的客户端建立关联 | 不兼容的设备无法加入网络 | 对每个已关联的客户端实施保护 | 纯 WPA3 及高安全性 SSID |
已禁用
禁用它不会给您带来任何保护，也没有兼容性成本。之前能够加入的每个客户端现在仍然可以加入，之前生效的每个伪造取消身份验证帧现在仍然有效。请仅针对已隔离、已记录并设定了淘汰日期的孤立旧版网络保留此设置。如果没有设定日期，禁用状态就会慢慢变成永久状态。
可选
在可选模式下，仅当 WLAN 和客户端都支持 PMF 时，客户端才会使用它。因此，较旧的设备可以保持连接，但不支持 PMF 的关联依然暴露于伪造管理帧攻击之下。这是过渡期间的必然折衷。你的现代手机和笔记本电脑能获得保护，你的旧设备能继续工作，并且在没有注明适用客户端范围的情况下，你不应将该 SSID 报告为完全受保护。
必选
在强制模式（required mode）下，仅当客户端协商 PMF 时才允许关联。这是仅限 WPA3 的 SSID 和高安全性环境的正确设置，但与不兼容的老旧设备将无法连接。这并非降级模式；设备不会以较低的安全级别加入，而是会一直保持断开状态，直到您修复驱动程序、更新固件或将其移至其他网络。
有两个技术要点常让管理员感到困惑。首先，Cisco 的 802.11w 配置指南 提出了一个先决条件：可选或强制性 PMF 需要具有适当身份验证和密钥管理配置的 WPA，并同时启用 RSN 信息元素 与 AES 加密。如果您的加密或 RSN 设置不匹配，该模式的表现将与标签所示不符。其次，Xerox 技术文档警告称，网络与设备设置不匹配可能会导致通信失败，并指出 WPA3 个人版和 WPA3 企业版通常将 PMF 设为必选，而过渡配置可能将其保持为可选。
默认规则： 仅限 WPA3 和高安全性 SSID 必须启用（Required），过渡期间混合 WPA2 和 WPA3 SSID 可选启用（Optional），仅在明确退役日期的隔离旧版网络上禁用（Disabled）。
如果您正在权衡此方案与整体身份验证设计的关系，企业身份验证模型的选择将与 PMF 模式密切相关。在锁定任何一项设置之前，非常值得重新审视您的 WPA Enterprise 配置选项。将这两项决策结合起来考虑，即可避免在从未评估过客户端兼容性的 SSID 上强行启用 PMF。
为什么 PMF 对漫游和取消认证攻击至关重要
伪造的解除身份验证帧会使附近的客户端与接入点断开连接。然后客户端尝试重新连接，而持续伪造的帧会使其无法稳定连接。用户会遇到看似随机的 WiFi 掉线，而服务台看到的则是没有明显覆盖故障的连接问题。
运行中业务中断的具体表现
当临床医生在病房之间移动时，病房平板电脑可能会断开连接。学生可能会在讲座期间失去网络访问。在这两种情况下，加密可以保持完好，密码也可以保持私密，但服务仍然中断了。PMF 允许站点或接入点通过检查受保护的管理消息是否真实来拒绝伪造的指令。
漫游使得这些管理帧的作用不仅限于断开连接。当手机在多个无线接入点之间移动时，快速 BSS 切换动作帧有助于协调切换过程。如果攻击者伪造或干扰这些消息，当用户穿过走廊时，通话可能会卡顿或挂断。PMF 保护相关的动作帧，包括用于射频测量、块确认、频谱管理和服务质量操作的动作帧。接收设备可以验证切换指令，而不是盲目接受。
标准配置文件及其局限性
SSID 设置是针对每个网络做出的决策。在用于漫游的 SSID 上，权衡 PMF 增加的保护与在该设置下是否每个客户端都能关联并完成切换。这对 Passpoint 同样重要：身份验证方法并不能消除检查客户端将要加入的网络上的 PMF 兼容性的需求。
有关算法的详细信息，请参阅 Cisco 的 802.11w PMF 配置指南。实际应用中的局限性同样重要：仅靠管理帧保护并不能防止所有取消身份验证攻击。在安全设计中应保持射频监控和无线入侵防御功能，并在 企业 WiFi 安全策略 中将 PMF 与身份验证及监控统一规划。
PMF 保护通过无线跃点的管理流量。访客数据在传输到接入点之外时也需要保护。用于访客数据的 TLS 和 IPsec 解释了有助于保护该流量安全的协议。
按设备类型划分的兼容性影响
您的用户会提出比标准更简单的问题：哪些设备会崩溃？答案取决于 PMF 支持究竟存在于何处。它是由接入点与客户端的 WiFi 驱动程序及请求方共同协商的，因此仅仅拥有支持 PMF 的接入点并不能保证任何事情。驱动程序过旧的笔记本电脑可能会在某个 SSID 上连接失败，而更新的手机却能在同一个 SSID 上顺利加入。
| 设备类别 | 典型 PMF 支持情况 | 设置为必选时的风险 | 建议设置 |
|---|---|---|---|
| 支持 WPA3 的现代手机和笔记本电脑 | 通常支持 | 低 | WPA3 SSID 上设为必选 |
| 配备 WPA2 时代驱动程序的 WiFi 5 笔记本电脑和手机 | 通常支持，取决于驱动程序 | 中 | 混合 SSID 上设为可选，更新驱动程序 |
| 较旧的仅支持 WPA2 的 IoT 传感器和智能插座 | 通常不支持 | 高 | 独立 SSID 或身份 PSK |
| 传统打印机和扫描仪 | 通常不支持 | 高 | 有线连接或专用传统 SSID |
| 运行旧固件的手持扫描仪 | 取决于固件 | 中至高 | 在强制执行前测试固件 |
将这些行视为典型模式，而非保证。请根据厂商文档以及您自己的设备清单核实每个型号，因为同一类别的两个设备在驱动程序更新后可能会有不同的表现。该表格告诉您首先看哪里，而您的测试关联会告诉您真实情况。
企业级关联规则
对于 802.1X 网络，协商是明确的。英国教育网络机构 Jisc 指出，WPA3-Enterprise 在仅限 WPA3-Enterprise 模式下需要 PMF，此时无线接入点会广播管理帧保护必选能力，而兼容的终端必须在关联期间协商 PMF，正如 Jisc 的 WPA3、Wi-Fi 6E 和 eduroam 指南 中所述。如果终端无法协商该能力，关联过程将不会继续。
如果你运行 eduroam 或其他基于证书的网络，这一点尤为重要，因为 WPA3-Enterprise 可以在保留基于证书的身份验证的同时，从 WPA2-Enterprise 平滑演进。你的证书可能非常完美，但老旧的客户端请求程序（supplicant）仍可能在 PMF 上失败。在强制执行之前，请验证接入点和客户端请求程序，并在变更后密切监控关联失败情况和旧版设备清单。
请留意这种典型症状：设备依然可以顺利连接到旧的 SSID，但始终无法加入新的 SSID，且没有明显的密码或证书错误。这种现象表明存在能力不匹配的问题，而非凭据问题。
如果设备加入旧网络却静默拒绝新网络，请在重新颁发任何证书之前先检查 PMF 支持能力。
该信号提醒你在进行任何其他更改之前，先对设备资产进行全面盘点。在此阶段凭空猜测只会将故障从试点小组扩大到整栋大楼。
如何分步推广强制 PMF
请按顺序执行这些步骤，因为每个步骤都能保护下一个步骤。为了省下一天时间而跳过资产盘点，通常会导致日后耗费一周时间来处理难以解释的工单。
清点目标 SSID 上的每台设备。 记录每台设备的型号、操作系统、WiFi 驱动程序版本和固件，因为 PMF 支持通常取决于驱动程序，而非硬件标识。标记任何无法识别的设备，因为未知设备往往会在强制实施时带来意想不到的问题。
确认控制器前提条件。 检查 WLAN 是否支持启用了 AES 加密 和 RSN 信息元素 的 PMF，因为可选模式和必选模式都依赖于这两者。请在试点之前完成此项检查，以便测试客户端行为，而不是排查配置文件错误。
创建一个设置为可选的试点 SSID。 将其认证方式调整为与生产环境完全一致，使 PMF 成为您测试的唯一变量。用户此时不应察觉到任何变化，这正是目的所在。您是在收集证据，而不是宣布变更。
将测试组迁移到试点 SSID 上至少运行一个工作周。 选择会在大楼内频繁漫游的企业笔记本电脑和手机，然后每天记录关联失败和漫游中断情况。整周放在同一张办公桌上的设备无法反映快速 BSS 过渡行为。
修复、隔离，然后强制执行
修复能解决的问题，隔离无法修复的设备。 首先应用驱动程序和固件更新，重新测试每台设备，并将真正无法替换的老旧设备放入带有更严格网络控制的独立隔离 SSID 中。切勿为了适应一台打印机而降低主 SSID 的安全级别。
将生产 SSID 切换为必选。 将其应用于您的 WPA3 或高安全性 SSID，保持混合 SSID 为可选，并对照相同的配置文件检查每个 AP 组。如果有某个组保留了旧设置，就会导致设备在前台正常、在楼上却失败的棘手故障。
在强制实施后监控两周。 关注关联失败和漫游中断情况，并将其与试点日志进行对比。如果关键设备组出现故障，可以通过更改单个 PMF 设置来进行回滚，而无需重建 WLAN。
为什么一次只做一项变更很重要： 当 PMF 是你唯一修改的设置时，回滚只需要在单个配置文件上修改一项设置。如果同时更改密码算法、身份验证和 PMF，你将永远无法得知是哪一个设置导致扫描仪发生故障。
上线后继续保留试点 SSID。它将成为您下一次设备更新、下一次固件发布以及您计划从可选更改为必选的下一个 SSID 的测试平台。一个可以平稳重复的上线流程，远比没有人敢再碰的英雄式周末突击修改有价值得多。
解决启用 PMF 后连接失败的故障
启用 PMF 后的大多数故障并非由于安全机制破损，而是不匹配问题：不支持 PMF 的客户端、接入点组之间存在差异的 WLAN 配置档案、不一致的漫游设置，或者在没有警告的情况下更改了默认值的固件更新。请从您能看到的症状开始排查。
| 现象 | 可能原因 | 解决方法 |
|---|---|---|
| 设备拒绝加入设为必选 PMF 的 SSID | 客户端缺少 PMF 支持或驱动程序已将其禁用 | 更新驱动程序，或将设备移至设为可选 PMF 的 SSID |
| 设备可加入某个 AP 但无法加入其他 AP | 控制器配置文件或 AP 组之间的 PMF 设置不一致 | 对齐每个 AP 组上的 WLAN 配置文件 |
| 漫游期间频繁掉线 | 客户端与 WLAN 之间的快速过渡设置不一致 | 检查 802.11r 设置并查看客户端漫游日志 |
| 固件更新后出现故障 | 厂商更新更改了默认 PMF 模式 | 每次升级后重新检查 WLAN 安全设置 |
按照此诊断顺序进行排查
首先检查客户端。 确认设备的 PMF 支持能力及其正在运行的驱动程序版本，而不是你上一季度部署的版本。一台漏掉更新的笔记本电脑就可能产生看起来像基础架构故障的工单。
接下来比较各个控制器组之间的 WLAN 配置档案。导出安全配置档案，并检查服务于该 SSID 的每个接入点组上的 PMF 模式、密码和身份验证是否一致。配置档案不一致解释了大多数与位置相关的故障，即同一台设备在建筑物的某个区域可以正常工作，但在另一个区域却失败了。
在发生失败的切换期间查看漫游日志。如果设备在静止时可以正常关联，但在移动时断开连接，请检查 802.11r 快速过渡设置以及失败瞬间客户端的漫游决策。PMF 会保护过渡帧，因此这里的分歧表现为永远无法完成的漫游。
还有两个不太明显的起因值得关注。使用传统安全协议配置的 Passpoint 配置文件可能会连接后断开，因为设备携带的配置文件不再符合 WLAN 当前的预期。控制器对 RADIUS 授权变更的支持也会影响重新身份验证，因此在策略更改后失败的会话可能根本不是 PMF 故障。
在进行任何更改之前，请务必导出并保存开始前的配置。这样，一旦出现问题，只需进行一次还原即可，无需花上一整个下午依靠记忆重新构建设置。当您的测试小组在一整天（包含所有人同时到达、漫游并加入呼叫的高峰时段）中都能生成干净的关联日志时，就说明问题已经解决。切勿在安静的周日测试无误后就贸然宣布成功。
Passpoint、OpenRoaming 和 Purple 部署
PMF 设置并非孤立存在。它们决定了访客和员工接入网络的方式，特别是在无需每次都通过 Captive Portal 验证、旨在自动完成连接的场景中。
Passpoint（也称为 Hotspot 2.0 或 IEEE 802.11u）允许设备使用 ANQP 查询自动发现网络并进行认证。它运行在 WPA2 或 WPA3 企业级网络上，因此该 WLAN 上的 PMF 模式直接决定了伪造帧保护能否顺畅延续到这些连接中。如果将 Passpoint SSID 保持为可选，则仅保护具备能力的客户端，就像手动加入的 SSID 一样。如果您正在规划这一演进路径，请在客人发现问题之前，了解 Passpoint 认证和漫游 如何与您的 WLAN 安全配置文件协同工作，从而帮助您提前发现不匹配的问题。
OpenRoaming 基于 Passpoint 风格的配置文件构建，因此通过它配置的设备继承了与任何其他 Passpoint 客户端相同的安全路径。设备上的配置文件与 WLAN 上的 PMF 设置必须保持一致。当二者不一致时，故障表现往往像漫游问题而非安全设置问题，这就是为什么配置文件测试应该包含在 PMF 试点中、而不是在试点之后才进行的原因。
在 Passpoint WLAN 上强制执行前需进行的检查
在 Passpoint WLAN 上设置强制 PMF 之前，请确认不止 PMF 开关本身。兼容性还取决于场所控制器中的 RADIUS、授权变更（CoA）和围墙花园（walled-garden）支持，其中任何一个环节出现缺口，无论你的 PMF 选择多么完善，都会破坏访客的网络体验。请验证 ANQP 响应，测试策略变更后的重新身份验证，并持已配网的设备在现场走动，以确认接入点之间的漫游是否稳定。
硬件层面的问题比许多场所设想的要简单。我们将 Purple 作为云重叠层运行在场所现有的接入点上，因此无需拆除和替换任何硬件，PMF 的更改完全发生在您现有基础架构的 WLAN 配置文件中。这意味着您的试点测试、回滚和策略实施均在您现有的设备上完成，而身份验证层则位于其上。
对于员工设备，这一原则同样适用。员工 WiFi 通过托管的 EAP-TLS 证书为员工设备提供入网配置，因此在安全策略变更后无需轮换共享密码。证书与 PMF 分别解决不同的问题，即身份验证与管理帧完整性，它们可以在 WPA3-Enterprise SSID 上完美结合。无论您使用什么平台，在将其切换为“必选”之前，请务必与供应商确认每个托管 SSID 预期的 PMF 模式，并记录每个 SSID 的协商设置，以免日后重建配置文件时无意中撤销该设置。
首先在高安全性 SSID 上强制执行 PMF
PMF 是无线安全的一部分，但不能替代其他安全机制。它可以保护指定的单播和组播管理帧，但无法验证用户身份，不能替代 WPA2 或 WPA3 加密，无法检测伪造接入点，也不能将开放的访客网络直接转换为加密的企业网络。英国的相关指南指出，WPA3 是新无线部署的首选标准，并根据基于个人的身份验证机制，将个人预共享密钥网络与企业网络区分开来。企业模式对于规模较大及受监管的企业尤为重要，详见 北爱尔兰企业 WiFi 保护访问指南。
填补剩余空白的防御层
- 基于证书的接入可验证设备和用户身份；PMF 则不具备此功能。
- 在访客、员工和设备 SSID 之间进行网络隔离，可限制受损或老旧客户端能够访问的资源。
- 流氓 AP 检测有助于识别 PMF 无法从空中消除的恶意孪生无线接入点。
- 对关联失败和去身份验证突发进行事件监控，有助于区分攻击行为与配置问题。
按 SSID 规划 PMF，权衡安全需求与需要连接的设备。WPA3 正成为 6 GHz 频段设备的基线标准，使得兼容性检查和过渡规划变得越发紧迫。在员工网络上，Passpoint、xPSK、证书 WiFi 和基于 MDM 的 WiFi 提供了不同的连接方式，因此你可以将身份验证与设备类别进行匹配，而不是强迫每个客户端都走同一条路线。
在试点通过后，在 WPA3-Enterprise 和其他高安全性 SSID 上设置强制 PMF。在规划淘汰老旧设备的同时，将混合模式 SSID 保持为可选状态，并禁止员工流量使用任何开放式 SSID。按设备类型记录关联结果：这可以为您提供确凿数据，明确哪些 SSID 可以转为强制模式，以及哪些较旧的客户端仍在带来兼容性成本。
Purple 为员工 WiFi 提供托管的 EAP-TLS 证书，避免了需要定期轮换的共享密码。其访客 WiFi 和员工访问权限运行在场馆现有接入点之上的云平台上。要根据您的硬件和身份提供商规划部署，请访问 Purple。
