wifi安全规范

判断一个WiFi是否达到基本安全线，可以看五件事：无线加密是否为WPA2-AES或WPA3，路由器管理入口是否改掉默认密码并关闭远程访问，固件是否能及时更新，访客与物联网设备是否隔离，以及是否定期检查陌生设备。任何一项缺失，都意味着风险高于必要水平，应优先整改。以下规范适用于家庭、小型办公和一般企业无线网络，企业环境还需结合802.1X、VLAN和日志审计执行。

加密与认证：先看协议

家庭和小型办公优先启用WPA3；若终端兼容性不足，选WPA2/WPA3混合模式。只能选WPA2时，必须使用AES-CCMP，禁用TKIP、WEP和开放网络。企业网络应使用WPA2-Enterprise或WPA3-Enterprise，配合802.1X和证书认证，避免全员共用同一个PSK。 操作路径通常是：登录路由器后台→无线设置→安全模式→选择WPA3或WPA2-AES→保存并重启。旧设备不支持新协议时，可单独开一个受限SSID，限制其访问内网，而不是把主网络降级到WEP。隐藏SSID和MAC白名单不能替代加密，只能作为辅助。

密码与管理入口

WiFi密码至少12位，混合大小写字母、数字和符号，不要使用手机号、门牌号、生日、公司名或品牌名。路由器管理密码必须独立设置，不能与WiFi密码相同，也不能保留admin/admin等默认值。修改默认管理员用户名，关闭WAN口远程管理、云管理等非必要入口，只允许局域网内访问。 密码不必频繁更换，但发生人员离职、设备丢失、疑似泄露或发现陌生连接时，应立即更换。访客密码单独设置，并可定期轮换。若路由器支持，开启登录失败锁定和二次验证。

固件、服务与路由器维护

购买支持WPA3和安全更新的正规品牌路由器。建议按以下清单维护：

• 开启自动更新，或每月手动检查一次固件；
• 更新前备份配置，更新后确认无线设置未被重置；
• 关闭WPS PIN，若必须使用WPS，只用按钮方式并在用完后关闭；
• 按需关闭UPnP、Telnet、FTP、远程WEB等不必要服务；
• 需要端口映射时，只开放必要端口并限制来源IP。

SSID不要包含姓名、房号、公司名或设备型号。路由器放置位置应避免从室外轻易接入，默认管理地址和账号不要公开张贴。

访客网络与设备隔离

把访客、智能家居、办公终端分开：家庭可设主网络、访客网络和IoT网络三个SSID；企业应划分VLAN，并用ACL限制跨网段访问。访客网络必须开启AP隔离，禁止访问内网设备、NAS、打印机和路由器管理页。 摄像头、智能音箱等IoT设备若无法单独隔离，至少放入访客网络或独立子网，并关闭其不必要的云服务和端口。办公网络中，服务器区、财务区和普通办公区应分别隔离，无线用户默认不能横向访问其他终端。隔离的目的是缩小单点被攻破后的影响范围。

公共WiFi、远程接入与应急检查

在公共WiFi下不处理网银、邮箱等敏感事务，除非使用可信VPN且网站为HTTPS。关闭设备自动连接和自动加入开放网络，开启随机MAC地址以降低追踪。远程办公应通过企业VPN和多因素认证接入，不要用端口映射直接暴露内网服务。 日常每月查看路由器连接设备列表和日志，发现陌生设备先断开外网，再修改管理密码和WiFi密码，关闭WPS和远程管理，更新固件。若怀疑固件被篡改，备份必要配置后恢复出厂并重新设置。企业环境可增加WIDS/WIPS、RADIUS日志和异常告警，保留至少30天日志用于追溯。

小结

WiFi安全的最低基线是：WPA2-AES或WPA3、强密码、独立管理入口、关闭WPS和远程管理、及时更新固件、访客与内网隔离、定期检查连接设备。它不需要复杂设备，但需要持续维护。建议每季度做一次配置复核，人员或设备变动后及时调整权限与密码。达不到上述基线时，先整改加密、管理入口和固件三项，再处理隔离与审计。