wifi安全设置选什么

如果路由器支持，优先选 WPA3-Personal（SAE）；有旧设备需要兼容时，选 WPA2/WPA3 混合；最低也要 WPA2-Personal + AES/CCMP。WEP、WPA、TKIP 以及含 TKIP 的混合模式都应避免。企业网络则选 WPA2/WPA3-Enterprise，并配合 802.1X 认证。

加密模式：按兼容性排序

家用或小办公路由器的“无线安全”里常见以下选项：

• WPA3-Personal（SAE）：首选。较新手机、电脑支持时直接选它，通常默认启用 PMF。
• WPA2/WPA3-Personal 混合：次选。新设备走 WPA3，旧设备回落到 WPA2，适合设备较杂的家庭。
• WPA2-Personal AES/CCMP：安全底线。设备不支持 WPA3 时选它，不要选 TKIP。
• WPA/WPA2 混合、TKIP：不建议。TKIP 已过时，会拉低整体安全性。
• WEP、WPA、开放网络：不要用于家庭或办公。开放网络只适合强制门户的访客接入，且应隔离。

操作路径通常是：登录路由器管理页 → 无线设置 → 安全 → 选择模式 → 保存并重启。改 WPA3 后老设备连不上，可降为混合或 WPA2-AES；不要为了兼容而开启 TKIP。

密码与认证：个人和企业分开

个人网络使用 WPA2-PSK 或 WPA3-SAE。密码至少 12 位，混合大小写字母、数字和符号，不要用姓名、手机号、生日、门牌和常见词。用密码管理器生成并保存。除非泄露或人员变动，不必频繁更换。 企业办公优先 WPA3-Enterprise，兼容旧终端时用 WPA2-Enterprise。配合 802.1X/RADIUS，每人独立账号或证书，离职即停用。不要全员共享一个 PSK。若没有 RADIUS，至少使用 WPA2-PSK + AES + 强密码，并单独划分访客网络。

容易被误用的功能：WPS、隐藏 SSID、MAC 过滤

• WPS：建议关闭。PIN 方式存在被暴力尝试的风险；按钮方式较方便，但仍有风险。必须用时，按按钮配对，完成后关闭 WPS。
• 隐藏 SSID：不等于安全。专业工具仍可发现，且设备可能反复重连。可作减少普通用户看到的措施，不能替代加密和密码。
• MAC 过滤：只放行已知设备，但 MAC 地址可被伪造，维护成本高。只适合极小网络作补充，不应作为唯一防线。

基础组合是：WPA3 或 WPA2-AES + 强密码 + 关闭 WPS。

访客网络与物联网隔离

有访客、智能音箱、摄像头、扫地机、电视盒子时，建议开启访客网络：选 WPA2/WPA3，设独立强密码，启用“客户端隔离”或“禁止访问内网”。智能家居单独使用一个 SSID；需要手机控制时，尽量走厂商云或只开放必要端口。摄像头改默认密码、更新固件，能插网线就插网线。访客网络可设限速和定时关闭，减少长期暴露。

路由器管理与固件维护

管理面要改默认管理员密码，使用强且唯一的密码；关闭远程管理/WAN 管理。云管理必须开启时，用强密码和二次验证。UPnP 不需要就关。固件开启自动更新或定期检查，更新前备份配置。定期查看已连接设备，发现陌生设备先改 Wi-Fi 密码、踢出设备，再排查原因。PMF/802.11w 方面，WPA3 通常要求；WPA2 可选“启用”或“可选”，提高抗去认证攻击能力，旧设备不兼容时选“可选”。

小结

选择顺序：家用或小办公优先 WPA3-Personal，其次 WPA2/WPA3 混合，最低 WPA2-Personal AES。企业优先 WPA3-Enterprise，其次 WPA2-Enterprise，并配 802.1X。底线是：不用 WEP、WPA、TKIP；关闭 WPS；改管理密码；使用长随机密码；隔离访客和物联网；保持固件更新。兼容旧设备时可以按需降级，但不要长期停留在过时加密上。