WiFi安全认证

选择 Wi-Fi 安全认证，判断标准只有两条：认证方式决定“谁能接入”，加密协议决定“数据是否被保护”。家用优先 WPA3-SAE，设备不支持则选 WPA2-AES/CCMP；企业用 WPA2/WPA3-Enterprise 配合 802.1X；公共热点默认不可信，只做临时访问。看到 Open、WEP、TKIP 或仅网页登录，应视为不满足基本安全要求。

先分清认证与加密

认证解决“身份是否可信”，加密解决“传输是否可被窃听”。WPA2-PSK、WPA3-SAE 属于个人网络认证；WPA2/WPA3-Enterprise 配合 802.1X 属于集中认证；酒店、机场常见的网页登录属于门户认证，只控制准入，不等于加密。 操作时进入路由器或 AP 管理后台，找到“无线安全”设置。最低应选 WPA2-AES/CCMP；设备支持时选 WPA3-SAE 或 WPA3/WPA2 混合模式。不要使用 WEP、TKIP、WPA 原始模式。若安全类型显示 Open，说明没有认证和加密，任何人都能接入并可能监听流量。

家庭与小办公：优先 WPA3，至少 WPA2-AES

家庭和小型办公室通常没有 RADIUS 服务器，适合使用预共享密钥。WPA2-PSK 兼容性最好，WPA3-SAE 能抵御离线字典攻击，但老旧设备可能无法连接。若所有设备较新，选 WPA3-SAE；若存在旧设备，选 WPA2/WPA3 混合模式，再逐步淘汰旧设备。 可执行步骤：登录路由器后台；无线设置中选择 WPA3-SAE 或 WPA2-AES；设置 12 位以上随机密码，避免手机号、门牌号、品牌名；关闭 WPS；修改默认管理员密码；开启固件自动更新；为访客单独开启访客网络，并启用客户端隔离。密码建议使用密码管理器生成和保存，不要多户共用同一密码。若有人离职或搬家，应及时更换。

企业或组织：用 802.1X 做集中认证

企业、学校、园区不应共用同一个 Wi-Fi 密码，而应使用 WPA2/WPA3-Enterprise 和 802.1X。每个用户使用独立账号或证书，认证由 RADIUS 服务器完成，便于审计、吊销和按角色分配 VLAN。EAP-TLS 使用客户端证书，安全性较高；PEAP-MSCHAPv2 部署简单，但客户端必须校验服务器证书，否则容易接入伪造热点。 部署时先确定认证源，如 AD、LDAP 或证书系统；配置 RADIUS 与 AP 的共享密钥；选择 EAP 类型；为服务器配置可信证书；在客户端下发配置。禁用 EAP-MD5、LEAP 等弱方法，启用管理帧保护（PMF）。员工端如出现证书警告，不要直接忽略，应先确认是否为公司网络。

公共 Wi-Fi 与门户认证：默认不信任

公共 Wi-Fi 的网页登录、短信验证、房间号认证，只证明“允许你上网”，不保证流量加密。伪造热点、嗅探、会话劫持都可能发生。判断标准很简单：如果要求安装证书、描述文件或输入支付密码，立即停止连接。 必须使用时，关闭设备自动加入该网络；优先使用蜂窝数据；需要传敏感信息时启用可信 VPN；确认网站为 HTTPS；关闭文件共享和 AirDrop 等发现功能；使用完毕后选择“忘记此网络”。不要在公共 Wi-Fi 上登录网银、公司后台或输入重要账号。

容易被忽视的设置

WPS 的 PIN 方式可能被暴力破解，建议关闭；若必须用按钮配对，配对完成后也应关闭。PMF 能保护管理帧，WPA3 强制启用，WPA2 网络也建议开启。访客网络应独立密码、客户端隔离、限速，并可设置定时关闭。 MAC 地址过滤和隐藏 SSID 不是可靠认证，MAC 可被伪造，隐藏 SSID 仍可被探测。它们只能作为管理辅助。远程管理、UPnP、调试端口若不需要应关闭。定期查看已连接设备，发现陌生终端及时改密码并排查。

选择与检查清单

家庭：WPA3-SAE 优先，WPA2-AES 保底；密码 12 位以上；关闭 WPS；开启固件更新；访客网络隔离。企业：WPA3/WPA2-Enterprise + 802.1X；EAP-TLS 优先；校验服务器证书；启用 PMF；按人吊销账号。公共：不自动连接；不敏感操作；必要时用 VPN；用后清除网络。 快速检查：手机或电脑的 Wi-Fi 详情中查看“安全类型”；路由器后台确认加密模式；若显示 Open、WEP、TKIP，立即调整。安全认证不是一次设置就结束，密码管理、固件更新和设备审查同样重要。最低要求是 WPA2-AES，优先 WPA3；企业上 802.1X，公共热点默认不信任。