无密码WiFi认证：超越预共享密钥
本指南为IT经理、网络架构师和场所运营总监提供了一份实用的路线图，以消除共享WiFi密码并迁移到基于身份、证书驱动的认证。它涵盖了基于PSK的网络的安全和合规失败、802.1X和EAP-TLS的技术架构，以及Identity PSK（iPSK）作为IoT和遗留设备关键过渡技术的作用。酒店业、零售业和公共部门的场所运营商将找到可操作的迁移策略、真实世界的实施场景以及可衡量的业务成果，以证明投资的合理性。
Listen to this guide
View podcast transcript
执行摘要
预共享密钥（PSK）在过去二十多年里一直是企业场所保护无线网络的默认机制。在拥有200间客房的酒店、全国性零售连锁店或接待数千名访客的会议中心里，共享的WiFi密码是一种常见的固定配置——印在钥匙卡上、显示在屏幕上、在前台低声传递。然而，这种普遍性掩盖了一个关键漏洞：PSK在规模上无法提供身份识别、审计追踪或有意义的撤销能力。
对于须遵循PCI DSS、GDPR或内部安全指令的IT领导者来说，共享密码已不再是一个站得住脚的立场。本指南提供了迁移到无密码WiFi认证的业务案例和技术路线图——特别是基于证书的IEEE 802.1X与EAP-TLS认证，并以Identity PSK（iPSK）作为过渡机制，用于不支持企业认证协议的设备。无论您是在管理酒店物业的 访客WiFi ，还是保护跨越数百个地点的零售网络，前进的道路清晰、可实现且可衡量。
技术深入探讨
为什么PSK在企业规模下会失败
WPA2-PSK在企业环境中的根本缺陷是网络访问与用户身份完全脱节。当所有设备使用相同的加密密钥时，网络无法区分合法员工、受感染的IoT设备或通过社交媒体照片获取密码的外部威胁行为者。
这会产生三个随着部署规模扩大而日益严重的问题：
1. 零身份归因。 在PSK部署下，网络日志只记录MAC地址，而不是实际的用户或设备所有者。在安全事件期间，这会使IT团队完全失明。您可以看到某台设备行为异常；却无法确定这是谁的设备或它服务于什么业务功能。
2. 撤销困境。 如果员工在困难情况下离职，或设备报告丢失，共享PSK模型下唯一可用的补救措施就是为网络上的每一台设备更改密码。在繁忙的 酒店业 环境中——一家拥有300台员工设备、200个IoT传感器和50台销售点终端的酒店——密码轮换是一个多小时的运营事件，IT团队会不惜一切代价避免。结果是密码多年不变。
3. 合规失败。 PCI DSS要求8.2规定，对持卡人数据环境中的系统的访问必须与个人用户账户绑定。共享密码从定义上就是不合规的。同样，GDPR的问责原则要求组织证明能够控制谁可以访问处理个人数据的系统。共享WiFi密码无法提供这样的证据。
802.1X架构
IEEE 802.1X是基于端口的网络访问控制标准，是企业WiFi安全的基础。与接入点上的简单密码检查不同，802.1X引入了一个三方认证框架：
| 角色 | 组件 | 功能 |
|---|---|---|
| 申请人（Supplicant） | 客户端设备（笔记本电脑、手机） | 提交凭证以请求网络访问 |
| 认证者（Authenticator） | 无线接入点 | 将凭证传递给认证服务器；执行访问决策 |
| 认证服务器（Authentication Server） | RADIUS服务器 | 根据身份提供者验证凭证；返回访问决策 |
接入点充当策略执行点，而不是决策者。这种关注点分离在架构上意义重大：这意味着认证逻辑、身份数据和访问策略都集中存放，而不是分布在数十个接入点上。对于多站点部署，这是变革性的。如需深入探索RADIUS架构选项，请参阅我们的 云RADIUS与本地RADIUS：IT团队决策指南 。
EAP-TLS：无密码WiFi认证的黄金标准
虽然802.1X通过可扩展认证协议（EAP）支持多种凭证类型，但真正的无密码体验是通过**EAP-TLS（传输层安全）**实现的。EAP-TLS完全依赖数字证书进行相互认证——客户端向服务器出示证书，服务器向客户端出示证书，从而建立双向信任。 证书生命周期如下：
- 证书颁发机构（CA）——可以是内部（Microsoft AD CS）或基于云的（通过Intune的SCEP/NDES）——为每个受管设备颁发唯一的客户端证书。
- 证书通过MDM（Intune、Jamf或类似工具）自动配置到设备上。
- 当设备连接到802.1X SSID时，它将此证书提交给RADIUS服务器。
- RADIUS服务器根据CA的信任链验证证书，并检查证书撤销列表（CRL）或OCSP响应程序。
- 如果有效，RADIUS服务器返回Access-Accept，可选地包括VLAN分配属性。
这种架构完全消除了凭证盗窃。没有密码可拦截、重放或钓鱼。撤销是手术式的：从CRL中移除证书或在身份提供者（Azure AD、Okta、Google Workspace）中禁用用户账户，会立即阻止该特定设备，而不会影响任何其他用户。
Identity PSK（iPSK）：关键的过渡技术
实现全面802.1X采用的最大障碍是企业场所中异构的设备环境。智能电视、无线POS终端、IP摄像头、环境 传感器 以及遗留的医疗或工业设备通常缺乏处理EAP-TLS证书所需的软件申请人。强迫这些设备使用共享PSK SSID会破坏整个迁移。
Identity PSK（iPSK）——也被不同供应商称为Multiple PSK（MPSK）或Dynamic PSK（DPSK）——优雅地解决了这个问题。从设备的角度来看，它使用密码连接到一个标准的WPA2/WPA3-Personal网络。从网络的角度来看，RADIUS服务器已为该特定设备的MAC地址或用户组分配了一个唯一的加密密钥。接入点强制执行此映射，确保每个设备的密钥仅授权访问该设备授权的网络段。
对于 零售 环境，这意味着每个无线条码扫描器都可以拥有自己唯一的iPSK，并分配到专用的IoT VLAN。如果扫描器被盗，只有其特定密钥被撤销。网络的其余部分不受影响。
实施指南
阶段1：发现与分段
在修改任何网络配置之前，使用您的 WiFi分析 平台进行全面的设备审计。目标是将每个连接的设备归类到三个桶之一：
- 受管设备： 已注册MDM的企业笔记本电脑、平板电脑和手机。这些是完全EAP-TLS 802.1X的候选对象。
- BYOD设备： 员工个人设备或访客智能手机。这些需要一个无摩擦的入职门户来配置证书或唯一凭证。
- 无头/IoT设备： 智能电视、POS终端、打印机、传感器以及任何没有用户界面或802.1X申请人的设备。这些是iPSK的候选对象。
此分段驱动每一个后续的架构决策。不要跳过它。
阶段2：为IoT和遗留设备部署iPSK
配置您的RADIUS服务器以支持iPSK，通过为所有无头设备创建MAC到PSK的映射。大多数企业级RADIUS平台（包括云RADIUS解决方案）都原生支持此功能。通过RADIUS属性（Tunnel-Type、Tunnel-Medium-Type、Tunnel-Private-Group-ID）为每个设备组分配适当的VLAN。
对于拥有大量IoT资产的场所——例如拥有数百个智能房间设备的酒店——将RADIUS服务器与物业管理系统（PMS）或楼宇管理系统（BMS）集成，以在新设备投入使用时自动配置iPSK。
阶段3：为受管设备部署802.1X
对于MDM管理的设备，迁移应对最终用户完全透明。配置您的MDM同时推送以下内容：
- 客户端证书（由CA通过SCEP或NDES颁发）。
- WiFi配置文件，指定802.1X SSID，将EAP-TLS作为认证方法，并提供用于服务器验证的RADIUS服务器证书。
一旦配置文件部署完成，设备将在后台自动认证到新的802.1X SSID。在过渡期间并行运行旧的PSK SSID，通过RADIUS日志监控采用情况。
阶段4：BYOD入职门户
对于员工个人设备和访客访问，部署网络入职门户。用户体验应该是：连接到临时的入职SSID → 使用企业单点登录进行认证 → 门户自动配置证书和WiFi配置文件 → 设备无缝连接到802.1X SSID。此过程应不需要用户具备技术知识。有关适用于面向访客部署的门户设计原则，请参阅 现代酒店业WiFi解决方案：您的客人值得拥有的 。
阶段5：停用旧的PSK SSID
一旦监控确认所有设备都已迁移到802.1X SSID或使用iPSK的SSID，安排停用旧的共享PSK网络。提前向利益相关者传达切换日期，并在前48小时内保持回滚计划。
最佳实践
永远不要依赖MAC认证绕过（MAB）来保证安全。 虽然MAB广泛用于IoT入职，但它不提供真正的安全性。MAC地址以明文传输，极易被欺骗。任何能观察到设备MAC地址的攻击者都可以冒充它。始终优先选择iPSK，它强制执行唯一的加密密钥，优于MAB。
自动化证书生命周期管理。 证书会过期。从网络的角度看，过期的客户端证书与被撤销的证书无法区分——设备只是失去连接。在PKI和MDM平台中实施主动警报，在证书到期前充分更新。90天证书加上30天更新窗口是一种常见且合理的配置。
在客户端验证RADIUS服务器证书。 一个经常被忽视的配置是指示申请人验证RADIUS服务器的证书。如果不这样做，设备容易受到恶意AP攻击，攻击者可以搭建假的RADIUS服务器来收集凭证。始终在MDM推送的WiFi配置文件中配置受信任的CA和服务器证书名称。
从第一天起就实施动态VLAN分配。 利用RADIUS授权属性，根据用户身份或组成员身份将用户和设备划分到适当的VLAN中。员工设备、访客设备、IoT设备和POS终端绝不应共享广播域。这限制了在遭受入侵时的横向移动。
在新部署中与WPA3-Enterprise保持一致。 对于新的接入点部署，在采购需求中指定WPA3-Enterprise（192位模式）。这提供了符合CNSA Suite的加密算法，并消除了遗留漏洞。有关硬件选择指导，请参阅 无线接入点定义：您的终极2026指南 。有关SD-WAN集成考虑，请参阅 现代企业的核心SD WAN优势 。
故障排除与风险缓解
证书过期导致的服务中断
这是802.1X部署发布后最常见的故障原因。症状：设备突然大规模失去WiFi连接，通常发生在特定日期。根本原因：客户端或RADIUS服务器证书已过期。
缓解措施： 实施监控，当证书链中的任何证书（CA根证书、中间证书、服务器证书或相当比例的客户端证书）距离到期不足60天时，向IT团队发出警报。通过MDM/SCEP自动化客户端证书续订。
RADIUS服务器高可用性
如果RADIUS服务器不可达，没有任何设备可以进行认证，整个无线网络将无法访问。在酒店或零售环境中，这是关键的操作失败。
缓解措施： 至少部署两个RADIUS服务器（主用和备用）配置为故障转移对。对于云RADIUS，确保提供商提供地理冗余架构，其服务等级协议（SLA）满足您的操作要求。配置所有接入点在主服务器超时后3-5秒内尝试备用RADIUS服务器。
BYOD设备上的申请人配置错误
当用户手动配置802.1X设备（而不是使用自动入职门户）时，他们经常选择错误的EAP类型、跳过服务器证书验证或输入错误的身份字符串。这会产生大量的帮助台工单。
缓解措施： 完全消除手动配置。所有BYOD设备必须通过自动门户进行入职，该门户推送完整且经过验证的WiFi配置文件。禁用用户手动添加802.1X SSID的选项。
IoT设备MAC地址旋转
现代移动操作系统（iOS 14+、Android 10+）默认使用随机化的MAC地址，这会破坏iPSK的MAC到PSK映射。
缓解措施： 对于企业管理的BYOD设备，使用MDM在公司SSID上禁用MAC随机化。对于消费级IoT设备，在其网络设置中配置设备使用持久的MAC地址。对于访客设备，使用单独的入职流程来配置唯一凭证，而不是依赖MAC地址映射。
投资回报率与业务影响
迁移到无密码WiFi认证的业务案例在多个维度上都具有说服力：
| 影响领域 | PSK现状 | 迁移后 |
|---|---|---|
| 密码轮换成本 | 每次轮换需4-8小时IT时间，乘以站点数量 | 零——没有共享密码需要轮换 |
| 离职安全 | 手动、破坏性、经常延迟 | 自动、即时、对其他用户零干扰 |
| 事件响应 | 无法将流量归因于特定用户 | 完全身份归因，即时设备隔离 |
| 合规态势 | 不符合PCI DSS第8.2条 | 合规；提供完整审计追踪 |
| 帮助台工单量 | 高——密码共享、轮换混乱 | 低——自动入职，无密码可遗忘 |
对于每季度轮换一次共享PSK的50个地点零售连锁店，仅运营节省——消除每年四次跨50个站点的密码轮换事件——就可以代表每年数百小时的IT时间。合规风险缓解的价值更难量化，但影响显著更大：与访问控制不足相关的PCI DSS违规发现可能导致罚款、卡组织处罚和补救成本，这些成本远高于迁移成本。
除了安全性，具备身份感知的网络还能释放重要的运营情报。当每个设备都有身份时，您的 WiFi分析 平台就可以提供更丰富的设备类型、驻留时间和网络使用模式数据。这些数据可直接用于场所优化、人员配置决策以及 交通 枢纽和大型场所越来越期望提供的个性化体验。
超越共享密码不仅仅是一次安全升级。这是对网络基础设施运营成熟度和弹性的一项基础性投资。
Key Definitions
Pre-Shared Key (PSK)
所有用户和设备共享的单一密码，用于通过WPA2-Personal或WPA3-Personal认证到WiFi网络。
场所WiFi的遗留默认设置。部署操作简单，但在企业规模上由于缺乏每用户身份且无法进行目标撤销，从根本上说是不安全的。
IEEE 802.1X
用于基于端口的网络访问控制的IEEE标准，为尝试连接到LAN或WLAN的设备提供认证机制，要求每个设备单独向中央认证服务器进行认证。
企业WiFi安全的基础标准。IT团队在用基于身份的访问控制替换共享密码时会遇到此标准，它是EAP-TLS部署的前提条件。
EAP-TLS（可扩展认证协议 — 传输层安全）
一种802.1X认证方法，在客户端设备和认证服务器上都使用数字证书进行相互认证，不涉及密码。
无密码WiFi的黄金标准。被认为是最安全的EAP方法，因为它完全消除了凭证盗窃——没有密码可供钓鱼、重放或暴力破解。
RADIUS（远程认证拨入用户服务）
一种网络协议，为网络访问提供集中化的认证、授权和计费（AAA）管理。在WiFi部署中，RADIUS服务器位于接入点和身份提供者之间。
任何802.1X部署的核心基础设施组件。IT团队必须在本地RADIUS（例如Microsoft NPS）和云RADIUS解决方案之间做出决定，这一决定会显著影响集成复杂性和运营开销。
Identity PSK（iPSK）
一种WiFi认证功能，通过RADIUS服务器为每个单独的设备或用户组分配一个唯一的预共享密钥，同时向连接设备呈现为标准WPA2/WPA3-Personal网络。
保护不支持802.1X申请人的IoT和遗留设备的关键过渡技术。提供每设备身份和撤销，而无需对连接设备进行任何更改。
申请人（Supplicant）
客户端设备（笔记本电脑、智能手机）上的软件组件，它实现EAP协议，并与认证者（接入点）通信以在802.1X认证期间提交凭证。
IoT设备、传统POS终端和许多消费电子产品缺乏申请人，这是它们无法使用标准802.1X并需要iPSK等替代方案的主要原因。
MAC认证绕过（MAB）
一种网络访问方法，仅基于设备的MAC（媒体访问控制）地址授予连接权限，无需任何加密凭证。
广泛用作无头设备的回退方案，但本质上不安全，因为MAC地址以明文广播，易于欺骗。应尽可能替换为iPSK。
动态VLAN分配
一种RADIUS授权功能，指示接入点将经过认证的设备放入特定的虚拟局域网（VLAN），该VLAN基于用户身份、组成员身份或设备类型，由RADIUS服务器确定。
对于多租户或混合用途环境中的网络分段至关重要。确保访客设备、企业笔记本电脑、IoT传感器和POS终端自动相互隔离，而无需为每个段设置单独的物理SSID。
证书撤销列表（CRL）
由证书颁发机构（CA）维护的定期发布的列表，标识在计划到期日期之前被撤销的证书。
RADIUS服务器验证客户端证书未被撤销的机制。IT团队必须确保RADIUS服务器能够到达CRL分发点；无法访问的CRL可能导致认证失败或安全漏洞，具体取决于配置的故障打开/故障关闭策略。
EAP-PEAP（受保护的可扩展认证协议）
一种802.1X认证方法，创建加密的TLS隧道，然后在该隧道内使用用户名和密码对用户进行认证。
从PSK到完整证书认证的常见跳板。比PSK更安全，但仍依赖密码，使其易受凭证盗窃攻击。EAP-TLS是无密码部署的首选最终状态。
Worked Examples
一家拥有300间客房的豪华酒店目前对所有后台员工设备使用一个共享的WPA2-PSK：用于客房服务的平板电脑、用于餐饮的无线POS终端以及维护用笔记本电脑。IT总监需要在本季度内保护此网络以符合PCI DSS要求，但不能承受运营人员任何停机。他们应如何进行迁移？
迁移应分四步进行，在整个过渡期间新旧网络并行运行。
步骤1 — 部署云RADIUS。 实施与酒店Azure Active Directory集成的云基础RADIUS服务器。这提供了认证骨干网，无需本地硬件。
步骤2 — 为POS终端和IoT实施iPSK。 对于无法支持802.1X申请人的无线POS终端，配置RADIUS服务器根据每个终端的MAC地址发放唯一的iPSK。将所有POS设备分配到与一般员工网络隔离的专用VLAN。这立即满足了PCI DSS分段要求，而无需触碰设备本身。
步骤3 — 为平板电脑和笔记本电脑进行MDM部署。 使用酒店的MDM（Intune）静默地将EAP-TLS证书和新的802.1X WiFi配置文件推送到客房服务平板电脑和维护笔记本电脑。设备将自动迁移到新的SSID，无需任何用户操作。
步骤4 — 监控并停用。 将旧的PSK SSID与新的802.1X和iPSK SSID并行运行两周。监控RADIUS认证日志，确认所有设备均已迁移。确认后，禁用旧的SSID。
预期结果：六周内实现PCI DSS合规；零运营停机；IT团队获得完整的设备身份可见性和每设备撤销能力。
一家拥有500个门店的全国性零售连锁店，其企业后台WiFi网络使用一个共享的WPA2-PSK。当一位区域经理离职时，IT必须协调所有门店更改密码，这经常导致门店经理被锁定，并在营业时间内无法访问库存管理系统。CISO希望完全消除这种风险。推荐采用什么架构？
解决方案是全面部署802.1X与EAP-TLS，并与公司的Okta身份提供者集成。
架构：
- 部署云RADIUS服务，通过RADIUS代理或原生RADIUS协议与Okta集成。
- 使用Intune将客户端证书和802.1X WiFi配置文件推送到所有500个门店的企业管理Windows笔记本电脑和平板电脑。
- 配置RADIUS服务器根据Okta组成员身份（例如，门店经理、区域经理、IT管理员）执行动态VLAN分配。
离职集成：
- 当HR停用离职员工的Okta账户时，RADIUS服务器立即拒绝该用户证书的任何新认证尝试。
- 该员工在账户停用后几秒钟内，在所有500个门店同时失去WiFi访问权限。
- 所有其他员工保持连接，不受中断。
BYOD考虑：
- 对于使用个人设备访问公司WiFi的员工，部署一个通过Okta SSO认证的自助入职门户。该门户为个人设备配置一个唯一的证书，该证书也与Okta账户关联，并在离职时自动撤销。
Practice Questions
Q1. 一所大学校园需要保护学生宿舍的无线网络。学生带来的设备包括笔记本电脑、智能手机、游戏机和智能音箱。大学希望确保每个学生的设备与其他学生的设备隔离，但不能在个人设备上安装MDM配置文件。应该部署哪种认证策略，以及如何实现设备隔离？
Hint: 游戏机和智能音箱缺乏802.1X申请人。考虑如何将iPSK与动态VLAN分配结合，实现每学生隔离，无需MDM。
View model answer
部署一个与自助入职门户集成的iPSK解决方案。学生使用大学SSO凭证认证到门户，并注册其设备的MAC地址（包括缺乏802.1X申请人的游戏机和智能音箱）。RADIUS服务器为每个学生生成唯一的iPSK，并将所有注册的MAC地址映射到该学生的密钥。动态VLAN分配将使用特定学生iPSK的所有设备放入个人微段或私有VLAN（PVLAN）中，防止学生设备之间的横向通信。对于支持802.1X的笔记本电脑和智能手机，入职门户可以选择性地为EAP-TLS配置证书和WiFi配置文件，为这些设备提供更强的安全性，同时保持对游戏机和智能音箱的iPSK兼容性。
Q2. 一家医院正在审计其无线网络以符合HIPAA。他们发现50台无线输液泵使用共享的WPA2-PSK连接，因为供应商声明这些泵不支持EAP-TLS。安全团队建议将这些泵移至开放（未加密）网络段上的MAC认证绕过（MAB），以从临床环境中移除共享密码。这是正确的做法吗？如果不是，他们应该怎么做？
Hint: 评估移除加密的安全影响与MAC地址欺骗的风险。考虑iPSK提供了什么MAB没有提供的。
View model answer
不。移至开放网络上的MAB是一次重大的安全倒退。它完全移除了无线加密，意味着输液泵的所有流量——包括任何临床数据——都以明文传输，无线电范围内的任何人都可以拦截。此外，MAC地址极易被欺骗，意味着攻击者可以冒充泵来访问临床网络段。正确的方法是iPSK。输液泵将连接到一个看起来标准的WPA2-PSK网络，保持无线加密。RADIUS服务器为每个泵的MAC地址分配一个唯一的、复杂的PSK。这提供了单独的設備身份（每個泵在日志中是可區分的）、目標撤銷（可以隔離單個泵而不影響其他泵）以及保持加密——所有這些都不需要對泵固件或供應商支持進行任何更改。
Q3. 您已为2,000台企业管理的笔记本电脑成功部署了802.1X与EAP-TLS。您手动测试了一台笔记本电脑，它连接完美。然后您使用MDM将WiFi配置文件推送到所有2,000台设备。第二天早上，服务台收到数百个电话，报告没有笔记本电脑能连接到公司WiFi。两个最可能的根本原因是什么，以及如何诊断和解决每个原因？
Hint: EAP-TLS需要客户端提供两样东西：一个有效的客户端证书以出示给服务器，以及验证服务器证书的能力。考虑MDM推送可能已交付了WiFi配置文件但没有必要的证书。
View model answer
两个最可能的根本原因是：(1) MDM推送了WiFi配置文件，但未能为设备配置客户端证书。配置文件指示申请人使用EAP-TLS，但如果没有客户端证书出示，认证立即失败。通过检查MDM部署报告中的证书配置状态，并查看RADIUS服务器日志中的“未提交证书”错误进行诊断。通过确保MDM证书配置文件（SCEP或PKCS）作为依赖项在WiFi配置文件之前部署来解决。(2) 设备不信任RADIUS服务器的证书。WiFi配置文件指定了EAP-TLS，但没有包含用于服务器验证的受信任CA证书，导致申请人拒绝RADIUS服务器的证书。通过检查受影响设备上的申请人日志中的“服务器证书验证失败”错误进行诊断。通过将根CA证书（或特定的RADIUS服务器证书）添加到MDM WiFi配置文件的受信任证书部分来解决。手动测试成功是因为测试设备可能已从先前的配置中安装了CA证书，或者在手动测试期间未强制执行服务器验证。
Q4. 一个会议中心每年举办200场活动，从一天的商品交易会到为期一周的住宿会议。每个活动都有不同的组织者，要求为其参会者提供品牌化的WiFi。目前，场馆为每个活动创建一个新的共享PSK。场馆的IT经理希望转向更具可扩展性、更安全的模式。您会推荐什么架构？
Hint: 考虑访问的临时性、事件范围性质以及品牌化的需求。思考如何将iPSK与Captive Portal结合以满足这两种需求。
View model answer
实施与场馆活动管理系统集成的动态iPSK模型。对于每个活动，系统自动生成一个唯一的iPSK，其范围限定在活动期间。参会者通过活动注册确认或组织者的品牌化入职门户接收此密钥。RADIUS服务器将该活动的iPSK映射到该活动的专用VLAN，确保并发活动之间的完全隔离。活动结束时，iPSK自动过期，无需手动清理。对于需要品牌化Captive Portal体验的组织者，在iPSK SSID之上部署一个门户层，在授予完全网络访问权限之前展示组织者的品牌。该模型消除了手动PSK管理开销，提供了每活动网络隔离，并为IT团队提供了哪些设备连接到哪个活动的完整审计追踪。