关于 WiFi 的大多数常见建议往往最不实用。简单一句“开启 WPA3”并不能告诉你谁仍然可以进入网络、他们连接后能访问哪些资源，或者当合同结束或住户搬出时你能多快撤销其权限。
WiFi 安全类型至关重要，一些陈旧的技术需要立即停用。但仅凭 WPA3 标签 或单独的访客 SSID 并不能证明访问是安全的。请通过三个问题来评估每个网络：谁或什么设备通过了身份验证？该身份可以访问什么？以及你能以多快的速度撤销其权限？
WiFi 安全类型按防护等级和状态对比
2016 年，英国政府建议各机构切勿部署 WEP，称其在密码学上极为脆弱，并建议不要使用初代 WPA，因为其 TKIP 协议容易受到已公开的 Beck-Tews 和 Ohigashi-Morii 攻击。这使得 WPA2 成为 英国政府关于共享工作场所无线网络的指南 中实际的工作场所基线。WEP、采用 TKIP 的 WPA、WPA2 和 WPA3 并不是同一种技术的变体。它们是保护能力有实质性差异的代际演进。
| 安全类型 | 保护级别 | 2026 年状态 | 典型适用场景 |
|---|---|---|---|
| Open（无加密） | 无，空中传输的流量可被读取 | 不可接受 | 不适用于任何业务流量 |
| WEP | 密码学上已被破译 | 禁用 | 仅限旧版硬件（如果仍在使用） |
| 带有 TKIP 的 WPA | 存在已知的公开攻击方式 | 禁用 | 无 |
| WPA2-Personal (PSK, AES-CCMP) | 长密码保护下安全性强，所有用户共享同一个密钥 | 基线标准 | 小型办公室、家庭、混合旧版客户端 |
| WPA3-Personal (SAE) | 可抵御离线密码猜测攻击 | 客户端支持时的首选 | 现代家庭和小型办公室 |
| WPA2/WPA3-Enterprise (802.1X) | 基于每位用户或每台设备的凭据 | 企业组织标准 | 员工和受控设备 |
| Passpoint / OpenRoaming | 通过 EAP 进行加密自动登录 | 快速增长，基于认证 | 场馆、交通枢纽、运营商分流 |
| iPSK | 单个 SSID 上每台设备拥有唯一密钥 | 对旧版设备和 IoT 实用 | 酒店服务业、住宅、IoT |
| 开放 SSID 上的 Captive Portal | 网页登录，无线链路未加密 | 单独使用时安全性较弱 | 访客接入，仅限配合网络隔离和 TLS 时使用 |
首要移除的破损安全协议
开放式网络、WEP 和带有 TKIP 的 WPA 实际上属于同一个安全层级，尽管它们的失效方式各不相同。开放式网络不会对空中传输进行任何加密。WEP 的加密机制存在严重缺陷，而在更好的密码套件成为标准之后，TKIP 仍长期受到一系列已知攻击的影响。
英国消费者和公共部门的指南也指出了相同的方向。如 信息专员办公室关于 WiFi 安全的建议 所述，建议使用 WPA2 或 WPA3，不应使用 WEP 和 WPA，且网络不应在未经加密的情况下设置为 Open。如果您在活跃的 SSID 上发现这三种情况中的任何一种，需要做出的决定不是去调整哪一个 - 而是用哪种现代类型替换它，以及如何处理依赖于它的设备。
适用于家庭和小微场所的共享密钥类型
采用 AES-CCMP 的 WPA2-Personal 和采用 SAE 的 WPA3-Personal 都依赖于所有人共享的密码。在用户群体较小、稳定且可信的环境中（例如家庭或人员流动极少的小型办公室），这种模式是可行的。然而，当数十名员工、承包商、访客或居民都知道同一个密钥时，它作为一种运营模式（而非密码学本身）就会变得越来越脆弱。
使用长且唯一的密码对 WPA2-Personal 有很大帮助。但这并不能提供基于个人身份的责任追溯。当有人离职时，你唯一的彻底撤销方式就是为所有人更改密钥，并重新连接每一台合规设备。
面向企业与场所的基于身份认证类型
采用 802.1X 的 WPA2/WPA3-Enterprise、Passpoint 和 OpenRoaming 将接入权限绑定到身份或配置的配置文件，而不是单个可重复使用的密码。iPSK 则介于这两个世界之间。每个设备在同一个 SSID 上拥有自己的密钥，因此您可以移除一台电视、门锁或扫描仪，而不会干扰其他设备。
请区别对待 Captive Portal。它是一种登录方法，而非加密技术。开放 SSID 上的 Portal 可以识别访客、展示条款并使会话过期，但它不会对无线链路进行加密，因此在应用层仍然需要 TLS，并在后台进行网络隔离。
实用规则：首先检查状态列。移除任何标注为禁用或不可接受的选项，然后在实际设备和用户组合能够支持的前提下，选择剩余最强安全级别的行。
最后一点可以避免常见的审计失败。许多团队先选择了一个首选协议，随后发现某个门禁控制器或扫描枪无法支持，于是就将整个网络的安全级别降低。正确的做法是为现代客户端保留高安全性的默认设置，并将例外设备单独隔离开来。
WPA2 与 WPA3 在实际应用中的区别
WPA2-Personal 和 WPA3-Personal 之间的核心区别在于攻击者在监听连接尝试后能做什么。WPA2 使用预共享密钥握手。捕获该握手的攻击者可以将其带走，并在离线状态下以其硬件允许的任何速度猜测密码，而无需再次与您的接入点通信。
WPA3-Personal 将该交互替换为同时平等身份验证（SAE）。每次猜测都需要与接入点进行新的交互式交换。这消除了针对捕获握手包进行离线猜测攻击的实用性，使弱密码更难被利用 - 尽管选择强密码仍然是正确的做法。
WPA3 在握手协议之外增加的安全特性
WPA3 要求使用 Protected Management Frames，这使得针对已连接客户端的伪造管理流量攻击变得更加困难。它还提供 前向保密 功能。即使密码日后泄露，该泄露本身也不会暴露此前捕获的流量。
这存在硬性约束。运行在 6 GHz 频段 的 WiFi 设备必须使用 WPA3，这是在 IEEE 802 LAN/MAN 标准委员会提交给 Ofcom 关于其 2025/26 工作计划的证词 中提出的观点。如果您正在规划 6 GHz 覆盖，WPA3 支持绝非可选偏好 - 它是客户端和接入点必备要求的一部分。
混合 WPA2/WPA3 过渡模式 是常用的过渡桥梁。它可以在较新客户端使用 SAE 的同时保持较老客户端的连接，但由于保留了 WPA2，这也留下了降级路径。请将其作为带有退出条件的迁移状态，一旦客户端设备条件允许，请立即切换至仅 WPA3 模式。
为什么带有 WPA2 标签并不等于证明安全的凭据
WPA2 仍然需要仔细的配置和补丁更新。2017 年 10 月，英国国家网络安全中心报告披露了影响 WPA2 网络的 KRACK 漏洞，同时强调 WPA2 仍然比 WEP 或 WPA 更安全。KRACK 同样影响 WPA2-Personal 和 WPA2-Enterprise，因此单凭标签永远无法证明客户端或接入点是安全的。
NCSC 的回应仍然是正确的运营范例。正如国家网络安全中心关于 KRACK 漏洞的指南中所描述的那样，为客户端和基础架构打补丁，用 AES-CCMP 替换已废弃的 TKIP，并保持固件获得厂商支持。在一个运行着已停止支持固件且未打补丁的 WPA2 网络中，其实际安全状况比其设置页面所显示的要更为脆弱。
WPA3 同样无法解决共享密钥问题。它能更好地保护无线链路，但如果离职员工都知道 WPA3-Personal 密码，仍然无法实现按人计账，也没有可以单独关闭的个人开关。
共享密钥、身份认证与证书对比
WPA 标签并不能说明谁可以进入网络或他们可以访问什么内容。访问控制取决于身份认证方法、网络策略以及凭据注销的速度。共享密码虽然可以加密流量，但要移除一名离职员工，可能需要更改每台设备上的密码。借助基于身份的访问控制，管理员可以禁用某个账户、证书或设备密钥，同时保持其他连接不受影响。
| 接入模式 | 撤销机制 | 按人问责 | 入网配置工作量 | 旧版设备支持 |
|---|---|---|---|---|
| 共享 PSK (WPA2/WPA3-Personal) | 全站点更改密码 | 无 | 低 | 良好 |
| iPSK | 撤销单个设备密钥 | 按设备，非按人 | 中等 | 良好 |
| 基于证书的 802.1X | 撤销证书或设备 | 按设备 | 初始工作量高 | 对较旧客户端的支持有限 |
| 基于目录登录的 802.1X (Microsoft Entra ID, Google Workspace, Okta) | 禁用目录账户 | 按用户 | 中等 | 在不支持 EAP 的情况下支持有限 |
| Passpoint / OpenRoaming | 在提供商处撤销身份 | 按用户（通过身份提供商） | 用户侧工作量低 | 需要支持 Passpoint 的设备 |
| Captive Portal | 会话或上网券过期 | 按上网券或账户，设备控制较弱 | 低 | 良好 |
每种模型在日常管理中的维护成本
共享 PSK 部署速度快，但当访问权限需要更改时，管理成本会非常高。所有设备都使用相同的密码进行连接，因此员工离职、承包商离开或凭据泄露都会导致需要进行全站点范围的更改。届时，每一台合规设备都需要重新配置新密码。
iPSK 为每台设备分配独立的密钥，同时保留了熟悉的密码设置方式。它非常适合电视、楼宇控制以及其他无法使用企业级身份验证的设备。管理员可以撤销单台设备的密钥，但该密钥仅标识设备，而不标识使用它的个人。
带有证书的 802.1X 可以对受控设备进行身份验证。由于必须正确颁发、更新和撤销证书，设置工作相对较多。但部署完成后，设备丢失或报废时只需将其移除即可，无需更改用户的密码或重新配置整个星期的密钥。
通过 Microsoft Entra ID、Google Workspace 或 Okta 实现与目录关联的 802.1X，可将网络访问与个人账户绑定。在员工离职时禁用该账户，即可取消其访问权限，而不会影响其他用户。身份生命周期与网络策略之间的关系是 面向员工、访客和租户的基于身份的网络 的核心。仅凭身份验证仍无法定义访问范围：应用网络策略和网络切片，使每个身份只能访问其所需的系统。
医院承包商测试场景
以一家拥有 300 张床位的医院为例。承包商需要为固定项目提供无线访问，临床设备需要不间断的连接，而设施设备则共享物理网络基础架构。当合同结束时，应当能够在不重新为输液泵、移动工作站或建筑传感器配置密钥的情况下，取消承包商的访问权限。
共享的员工密码会让管理变得困难，除非医院在全院范围内进行更改。目录账户允许管理员通过禁用身份来取消承包商的访问权限。设备证书满足了另一种需求：临床设备作为设备进行身份验证，并在员工离职时保持连接。仍然必须通过独立的网络策略来控制每个账户或设备可以访问的内容。
英国政府无线网络安全标准 SS-019 是无线安全要求的参考基准。作为实用建议，当客户端支持时，请选择 WPA3-Enterprise；如果旧版客户端有所需要，则选择 带 AES-CCMP 的 WPA2-Enterprise。请将该选择视为设计的一部分，而不是访问权限已得到妥善控制的充分证明。
客户端支持设定了实际的限制。EAP 和基于证书的访问需要在每台设备上配备合格的客户端软件（supplicant）和可靠的配置。较旧的手机、嵌入式控制器和许多 IoT 设备可能不支持它们。应该将这些设备放在具有适当密钥的独立网络段上，并限制该网络段可以访问的内容，而不是降低整个网络的访问安全性。
加密回答的是流量是否能在空中被读取。身份回答的则是该人或设备根本是否应该出现在这里。
按行业推荐的安全类型
首先从最接近您业务的行业行开始，然后将退守逻辑应用于您最老旧的设备类型。模式是一致的。员工和托管设备转向基于身份的接入，访客获得加密但隔离的接入，而老旧设备获得自己的密钥或网络切片，而不是强迫整个网络降级。
| 行业 | 主要类型 | 旧版设备的备用方案 | 关键控制 |
|---|---|---|---|
| 酒店和酒吧 | 员工使用 Passpoint 或 802.1X，访客使用 WPA3 或采用 iPSK 的 WPA2 | 电视和门禁系统使用 iPSK 密钥 | 访客网络与物业系统隔离 |
| 零售和购物中心 | 员工设备使用 802.1X，顾客使用 Passpoint 或 Captive Portal | 扫描仪和 POS 终端使用 iPSK | 支付系统与访客网络保持隔离 |
| 医疗保健 | 临床设备使用带有设备证书的 802.1X | 医疗和建筑 IoT 的专用网段 | 网络分段和补丁更新周期 |
| 交通枢纽和体育场馆 | 支持运营商分流的 Passpoint 和 OpenRoaming | 基于 TLS 的 Captive Portal | 重点在于容量和漫游，而非仅靠加密 |
| 住宅、长租公寓 (BTR) 和学生公寓 | 每位住户使用 WPA3-Personal 或 iPSK | 智能锁和旧款电视使用 iPSK | 退房时撤销密钥 |
| 企业办公室 | WPA3-Enterprise 或带有 802.1X 的 WPA2-Enterprise | 具备客户端隔离功能的独立访客 SSID | 与目录服务关联的权限撤销 |
| 多租户场所 | 每个租户使用 iPSK，员工使用单点登录 (SSO) | 在硬件支持的情况下，每个租户使用独立的 SSID | 经过测试的租户隔离 |
在不削弱默认安全性的情况下应用退守方案
酒店业展示了为什么单一方案很少适用于整个场所。员工需要可撤销的接入，访客需要低门槛的加密接入，而客房电视或门禁系统可能只能处理密码。对员工使用 Passpoint 或 802.1X，保持访客流量远离物业管理系统，并将客房硬件放置在可单独撤销的 iPSK 密钥上。
零售业的网络边界要求更为严格。支持的员工手持设备应划归 802.1X 网络；扫描枪和 POS 终端可以在受限网络分段中使用 iPSK；顾客接入绝对不能成为通往支付系统的路径。如果防火墙策略设置错误，顾客网络再便利也无济于事。
对于办公室而言，最大的运营收益来自于将无线接入与人们用于电子邮件和应用程序的现有目录相关联。针对 基于目录接入和撤销权限的员工 WiFi 进行专项设计，可将离职权限回收变作一步操作，而无需单独提交可能被人遗忘的网络工单。
医疗机构和住宅场所处于同一种设备难题的两端。医院无法随意更换临床或建筑设备，因此证书涵盖托管的临床设备，并由专用网段包含其余设备。学生公寓和长租公寓（build-to-rent）方案的入住者更换频繁，因此退租时即失效的个人独享密钥，比强迫所有人使用其游戏机根本不支持的企业级登录要重要得多。
何时需要重新核对方案选择
当发生以下任何变化时，请重新审查对应映射：
- 新设备类别： 新的支付终端、门禁系统或医疗设备可能需要自己的切片或密钥模型。
- 员工流动率高： 季节性招聘或频繁使用承包商会导致共享密码的控制成本极高。
- 未打补丁的旧设备： 从未接收更新的设备需要更严格的隔离，而不是更广泛的网络访问权限。
- 租户变更： 新租户或居民入驻时应触发更新密钥和隔离测试。
在大多数场所中，为了达到完美的协议图表而更换每个端点是不切实际的。将每个设备类别映射到它在实际中能够支持的最强模型，然后使用网络切片来限制安全薄弱或无法管理的类别可以访问的内容。
审计您当前的 WiFi 设置
WPA 标签和访客 SSID 并不意味着访问已受到控制。请审查每个网络的加密方式、其接受的身份、客户端可以访问的系统以及撤销访问权限的速度。首先检查路由器或控制器的配置，然后通过手机或笔记本电脑测试连接。
在更改任何配置前建立资产清单
记录每个 SSID 和接入点，包括被遗忘的测试网络，以及为无人能识别的设备保留的 WEP 或 TKIP 设置。按类型对连接的设备进行分组：员工笔记本电脑和手机、访客设备、支付终端、临床设备、楼宇管理和通用 IoT。无法支持现代身份认证的设备类型可能需要受限的备用方案，而不是直接访问员工网络。
在接入点或控制器上，记录每个 SSID 配置的安全模式。在已连接的设备上，打开网络详情并检查显示的安全类型：WEP 或 TKIP 表示老旧的安全协议；WPA2-Personal 或 WPA2-Enterprise 代表 WPA2，而 WPA3-Personal 或 WPA3-Enterprise 则代表 WPA3。不同操作系统的标签有所不同，因此请使用控制器配置来确认模棱两可的结果。同时记录接入点、控制器和代表性客户端的固件版本。在陈旧的固件上运行正确的协议并不意味着完成了安全控制。
决定优先事项的五项检查
- 内部访问已加密： 移除用于访问内部系统的开放、WEP 或 TKIP 网络。仅当 TLS 能够保护流量且测试确认访客隔离有效时，才可保留开放的访客 SSID。
- 固件处于最新版本： 检查无线接入点、控制器和有代表性的客户端，而不仅仅是单一设备。
- 访客隔离生效： 以访客身份连接，并测试对员工系统、支付系统和建筑系统的访问权限，以及对其他访客客户端的可视性。
- 员工访问与身份挂钩： 禁用一个测试账户，并验证该用户是否会立即失去 WiFi 访问权限。
- IoT 访问受到受控： 确认设备清单为最新状态，未知设备清晰可见，且 IoT 设备使用独立的密钥或受限网段。
单凭访客 SSID 并不能证明已实现隔离。只有当访客设备无法访问内部地址或其不应看到的其他客户端时，才算通过检查。记录谁或什么设备对每个 SSID 进行身份验证、这些连接可以访问什么以及如何撤销接入权限。按暴露风险对故障进行排序，然后使用该资产清单制定迁移优先级。
在不中断设备的情况下平滑迁移传统网络
WPA3 标签并不能证明网络就是安全的，独立的访客 SSID 也不能保证绝对隔离。请按照先消除弱设置、隔离无法支持现代身份认证的设备、然后再更改员工和访客连接方式的顺序进行迁移。在此过程中全程测试访问和注销。这一顺序既能保护脆弱设备，又能在故障演变为恢复共享网络的原因之前将其显现出来。
按顺序执行的六个步骤
- 修补固件并禁用 WEP 与 TKIP：在更改身份验证前更新客户端和接入点固件。在更改 802.11r 快速漫游或中继器设置之前，请查阅供应商针对您固件的指导说明。协议设置无法弥补易受攻击或不受支持的软件缺陷。
- 限制老旧设备类型：将无法使用现代身份验证的设备迁移至 iPSK 或具有严格目标规则的专用 SSID。用于在共享基础设施上实现单个设备密钥的 xPSK 允许电视或锁使用凭据密码，而无需在整个园区共享同一个密钥。在可能的情况下为每台设备设置单独的密钥，以便您可以在不中断其他设备的情况下撤销访问权限。
- 将员工迁移至与目录关联的 802.1X：将访问权限连接至 Microsoft Entra ID、Google Workspace 或 Okta，以便正常的离职流程也能同步删除网络访问权限。Purple 以及其他供应商原生或基于目录的选项可以提供身份验证层。请验证禁用账户是否确实阻断了 WiFi 访问，而不是假设目录连接会自动处理权限撤销。
- 将访客迁移至加密隔离的访问：在场地和客户端设备支持的情况下使用 Passpoint 或 OpenRoaming。否则，请通过 TLS 提供 Captive Portal，启用客户端隔离，并将访客设备视为不可信设备。确认访问策略限制了访客可以触及的范围。
- 测试过渡模式，然后将其移除：启用 WPA2/WPA3 过渡模式并测试每种设备类型。在客户端允许的情况下迁移至仅限 WPA3 模式。记录导致无法进行此更改的具体设备类型，并制定解决计划，而不是默认保留过渡模式。
- 从访客设备测试隔离性：以访客身份加入并尝试访问内部地址、其他访客、接入点管理界面和业务系统。调整防火墙和 VLAN 规则，直到每个被禁止的路由均无法连通。只有当网络策略（而非临时的客户端问题）导致连接失败时，被阻断的连接才是有效的。
60 间客房的酒店案例分析
一家拥有 60 间客房的酒店 使用一个全城皆知的共享访客密码，POS 收银机处于同一个网络中，且较旧的电视无法使用企业级登录。该酒店将客房转移到按房间或按设备划分的 iPSK，将收银机置于受限的网络段中，并让员工保持基于目录关联的访问。每台电视保留其可使用的密钥，同时可以撤销丢失的密钥，而无需更改整个酒店的访问权限。
只有在对控制措施进行测试后，项目才算完成。加入访客网络并确认无法访问收银机和员工系统。撤销房间密钥并验证其不再授予访问权限。保留测试结果，作为网络隔离和身份控制有效的证据。
独立的 SSID 只是一个名称。隔离则是经过测试的防火墙和路由规则结果。
根据 GOV.UK 上的 2025 年网络安全漏洞调查结果，英国政府的 2025 年网络安全漏洞调查报告指出，93% 的组织为员工和访客设立了独立的 WiFi。然而，独立的网络名称并不意味着 VLAN 规则已阻止未授权流量、客户端无法相互访问，或者前承包商已失去访问权限。
如果您的审计清单发现了漏洞，请从弱设置开始，逐步完成迁移步骤，记录哪些设备和访问路径仍需关注。如果检查通过，请继续测试：安排季度审查，在网络变更后重新测试隔离状态，并在出现新设备类型时更新设备清单。无论网络宣称使用何种 WPA 版本，配置漂移都可能破坏合理的设计。
如果共享密码、缓慢的离职权限撤销或未经测试的访客隔离仍然是维系您网络安全薄弱纽带，Purple 可通过 Microsoft Entra ID、Google Workspace 或 Okta 为员工和访客提供基于身份的接入、为老旧设备提供单设备密钥以及与目录关联的权限撤销。在规划迁移之前，请先评估它与您现有接入点的协同工作方式。
