常见 Reason Code
| 代码 | 含义 |
|---|---|
| 1 | 未指定原因 |
| 2 | 先前认证失效（常伴随密钥变更） |
| 4 | 由于不活动被去关联 |
| 5 | AP 无法处理更多终端（过载） |
| 15 | 四次握手超时 |
| 23 | 802.1X 认证失败 |
Wireshark 过滤
Wireshark 过滤
wlan.fc.type_subtype == 12
查看 wlan.fixed.reason_code持续性 Deauth 泛洪可被 WIPS 检测；防御根本手段是启用 PMF 强制模式。
Deauth 泛洪与掉线原因码
伪造的去认证帧可强制终端掉线（未启用 PMF 时）；漫游、AP 踢除与故障也会产生 Deauth，需按原因码区分。
易错点
- 看到 Deauth 先看方向和原因码：AP 主动发出多为策略/负载，伪造泛洪则来源杂乱
- 原因码 15 通常指向口令/证书或链路质量问题，而非攻击
数据来源与参考
- IEEE 802.11-2020（Reason Code）
- Wireshark 显示过滤器参考