入网的四个阶段
终端接入 WLAN 要依次走完扫描、认证、关联、密钥协商四个阶段。扫描阶段终端通过 Beacon 与 Probe Response 发现 SSID 并获知 AP 的能力信息；认证阶段在开放系统下基本只是握手确认；关联阶段终端提交自身能力与速率集，AP 返回关联响应；最后在 WPA2/WPA3 下完成四次握手或 SAE 交换，密钥就绪后才放行数据帧。抓包看到卡在哪一步，排查范围立刻缩小。
四个阶段的顺序
| 步骤一 | 扫描（Beacon 与 Probe 交互） |
|---|---|
| 步骤二 | 认证 Authentication（开放系统为主） |
| 步骤三 | 关联 Association |
| 步骤四 | 密钥协商（WPA 四次握手 / WPA3 SAE） |
| 后续 | DHCP 获取地址、网关可达性检查 |
各阶段失败怎么认
| 阶段 | 典型现象 | 常见原因 |
|---|---|---|
| 扫描 | 搜不到 SSID | 频段不支持、SSID 隐藏、信道不在终端信道表内 |
| 认证 | 认证失败提示 | 加密方式不匹配，开放认证本身极少失败 |
| 关联 | 关联被拒绝 | AP 达到最大终端数、能力不匹配、RADIUS 授权拒绝 |
| 密钥协商 | 反复重连或提示密码错误 | 密码错误、PMF 要求不一致、企业认证证书问题 |
| 获取地址 | 已连接但无网络 | DHCP 不可达、VLAN 配置错误、端口隔离或 ACL 拦截 |
故障定位口径
故障定位口径
扫描不到 SSID → 射频/频段/信道问题，先查信道与频段是否匹配
扫描到但认证失败 → 加密与安全策略问题
认证通过关联失败 → AP 容量、能力协商或认证服务器授权问题
关联成功握手失败 → 密码、证书、PMF 等密钥阶段问题
握手成功拿不到地址 → DHCP、VLAN、隔离策略等上层问题典型使用场景
- 用户报「连不上」时的第一层定位，快速判断问题在射频还是在上层
- 新 AP 上线验收：逐型号验证每个阶段的成功率
- 企业认证排障：区分是关联阶段还是 802.1X 阶段被拒
- 漫游异常分析：确认是重新关联变慢还是握手超时
- IoT 批量入网：定位某类设备卡在同一阶段
为什么按阶段查有效
无线连接失败的表象高度相似，都是「连不上」，但原因分布在完全不同的层面。把过程切成四段后，每一段对应的排查动作都不一样：射频层要调信道、功率与天线；关联层要看 AP 容量与能力协商；密钥层要看密码、证书与安全策略；地址层要查 DHCP 与 VLAN。如果不分段，就只能反复重启设备试运气。实操中最有效的证据是终端侧的连接日志与 AP 侧的关联记录，两者时间戳对齐后基本能定位到具体阶段。
多数「连不上」在抓包上表现为固定步骤卡住，按阶段定位比反复重启设备有效。
隐藏 SSID 仍会被 Probe Request 探测到，扫描不到往往不是隐藏导致的，优先检查频段与信道是否匹配。