四次握手在做什么
WPA2 的四次握手在关联之后进行，作用是确认双方持有相同的 PMK（由口令与 SSID 推导），并派生加密数据帧所需的密钥：单播用的 PTK 与组播用的 GTK。四步消息都由 EAPOL-Key 帧承载，AP 先发随机数，终端回自己的随机数与校验值，AP 再下发加密套件与组密钥，终端最后确认。整个过程成功后才放行数据帧，因此它是「能连上但上不了网」类问题的枢纽环节。
基本信息
| 消息 | EAPOL-Key 1~4，AP 与终端交替发送 |
|---|---|
| 产物 | PTK（单播会话密钥）与 GTK（组密钥） |
| 依据 | 口令加 SSID 推导 PMK，再结合双方随机数派生 PTK |
| 失败现象 | 连上又掉、反复重连、提示密码错误 |
| 常见原因 | 口令错误、PMF 不匹配、加密套件不同、链路丢包 |
四步消息与失败点
| 消息 | 方向 | 失败表现与原因 |
|---|---|---|
| 消息 1 | AP 到终端 | AP 发出随机数，终端无响应多为终端侧问题 |
| 消息 2 | 终端到 AP | 终端回随机数与校验值，校验错误说明口令不符 |
| 消息 3 | AP 到终端 | 下发组密钥与加密套件，失败多为 PMF 或套件不匹配 |
| 消息 4 | 终端到 AP | 终端确认，缺失常见于链路丢包或终端放弃 |
Wireshark 观察
Wireshark 观察
过滤 eapol # 只保留四次握手相关帧
过滤 wlan.fc.type_subtype == 12 # 查看 Deauth 是否伴随握手失败
# 消息 2 反复重传 → 口令或校验问题
# 消息 4 无响应 → 终端未确认，常见于链路丢包典型使用场景
- 排查「连上又掉」：确认失败发生在第几步
- 口令变更后验证终端是否全部更新
- 企业认证排障：区分是 802.1X 阶段还是密钥阶段失败
- 无线安全评估：检查是否使用弱口令导致离线穷举风险
- 新终端兼容性验证：确认加密套件与 PMF 协商是否一致
失败怎么定位
先看在哪一步断：如果 AP 从没收到终端的消息 2，问题多在终端或上行链路；如果消息 2 校验不通过，直接核对口令与 SSID 是否变更；如果消息 3 之后没有回复，先检查 PMF 配置与加密套件是否匹配，例如 AP 强制 PMF 而终端不支持。定位手段上，AP 侧日志通常比终端提示更可靠，因为终端往往统一报「密码错误」。如果现场存在大量重传，则要先解决空口质量，再判断握手逻辑。
抓包抓到四次握手即可供离线校验口令（WPA2），这正是弱口令风险的来源。
WPA3 的 SAE 交换流程与 WPA2 四次握手不同，排障时不要沿用同一套判定逻辑。