为什么是 AES，而不是 TKIP？

WPA2-AES 是当前最广泛兼容且仍然可靠的 Wi-Fi 加密选择，前提是你的设备不支持 WPA3，或需要兼顾一些较老的设备。

它的核心优势在于采用了 AES（高级加密标准） 算法，这是美国政府用于保护机密信息的加密标准，在密码学层面至今依然稳固。不过在路由器设置里，你需要特别注意避开“TKIP”这个陷阱。

为什么是 AES，而不是 TKIP？

WPA2 标准其实允许两种加密算法：AES（通常配合 CCMP 协议） 和 TKIP。TKIP 是为了兼容早期 WPA 设备而保留的过渡方案，它基于已被淘汰的 RC4 算法，安全性很弱，早已能被轻易破解。

很多路由器的安全选项会写成 “WPA2-PSK (TKIP+AES)” 或 “WPA/WPA2 混合模式”。如果你选择了这类混合选项，路由器可能会因为兼容性原因，允许设备退回到不安全的 TKIP 连接。因此，最安全的做法是手动强制选择仅使用 AES/CCMP 的模式。

如何正确配置？

在路由器的“无线安全设置”中，你应该寻找并选择类似以下的选项：

• 首选：WPA2-PSK (AES) 或 WPA2-Personal (AES/CCMP)。

• 次选（兼容模式）：WPA2/WPA3 混合模式（俗称 Transition Mode）。这能让新设备用 WPA3，老设备用 WPA2-AES 回退，是目前过渡期比较实用的选择。

• 务必避开：任何包含 TKIP、WPA（不带 2）、WEP 或 None 的选项。

已知风险与防护

WPA2-AES 并非完美无缺，但你不需要过度恐慌。

• KRACK 攻击（2017年）：这是一种针对 WPA2 握手过程的攻击，曾引起广泛关注。好消息是，这个漏洞早已被修补。只要你保持了手机、电脑和路由器固件的系统更新，就基本不受影响。

• 共享密钥的局限：WPA2-Personal 模式下，所有设备共用一个密码。理论上，知道密码的人如果截获了你的数据包，可能解密你的流量。防护建议：在咖啡厅、酒店等公共 WPA2 网络上，务必使用 VPN，或者确保你访问的网站启用了 HTTPS。

一句话总结：如果你的路由器没有 WPA3，那就放心地选择 WPA2 且加密方式强制为 AES，并设置一个足够长（12位以上）的复杂密码。这依然能抵御绝大多数常见的网络攻击。