开放网络的风险
开放网络既不加密也不认证：任何人只要进入覆盖范围就能接入，空口流量可被旁听，也容易遭遇假冒热点（钓鱼 AP）。在现代部署里它只适合一种场景——访客网络，并且必须配合客户端隔离、Portal 准入与限速。若确实需要开放式的便捷接入，应改用 OWE（机会无线加密），至少把空口流量保护起来。
基本信息
| 主要风险 | 流量可被旁听、易被假冒 AP、易被蹭网 |
|---|---|
| 适用场景 | 访客网络，配合隔离与 Portal |
| 增强方案 | 启用 OWE（机会无线加密） |
| 最小配置 | 独立 SSID + 独立 VLAN + 客户端隔离 + 限速 |
| 合规相关 | 实名与日志要求需在准入层解决 |
典型使用场景
- 商场、酒店、机场的公共热点
- 临时活动场地的一次性网络
- 访客网络建设时的安全基线确认
- 评估是否把开放网络升级为 OWE
- 排查开放网络中出现的钓鱼热点风险
访客网络最小配置
访客网络最小配置
# 独立 SSID + 独立 VLAN + 客户端隔离
# 下行限速，仅放行 DNS、DHCP 与 Portal 地址
# Portal 页面使用 HTTPS，避免凭据在空口暴露
# 开启管理帧保护（PMF），降低管理帧被伪造的风险开放网络与 OWE 对比
| 项目 | 开放网络 | OWE |
|---|---|---|
| 空口加密 | 无 | 有，匿名密钥交换 |
| 旁听风险 | 高 | 低 |
| 身份认证 | 无 | 无，仍需 Portal 配合 |
| 客户端兼容性 | 最好 | 需较新系统版本支持 |
机场、酒店的开放热点若不启用 OWE，用户数据在空口上基本是明文（除应用层 TLS），旁听门槛很低。
开放网络上的注册或登录页面务必使用 HTTPS，否则凭据会在空口暴露，这是最容易被忽略的高危点。
访客网络要开启客户端隔离，防止访客之间互访或对内网进行扫描探测。
钓鱼热点常模仿公共热点名称：开放网络下用户无法通过加密验证 AP 真伪，管理帧保护只能降低伪造概率而无法根治，还需要在用户指引中提醒核对网络名称。