| 风险 | 流量可被旁听、易被假冒 AP、易被蹭网 |
|---|---|
| 适用 | 访客网络（配合隔离与 Portal） |
| 增强 | 启用 OWE（机会无线加密） |
访客网络最小配置
访客网络最小配置
独立 SSID + 独立 VLAN + 客户端隔离
下行限速 + 仅放行 DNS/DHCP/Portal 地址机场、酒店的开放热点若非 OWE，用户数据在空口上基本是明文（除应用层 TLS）。
本包目录（397 条）
无线基础与标准67 条信道与干扰优化49 条
加密与接入认证65 条
- WPA2-Personal（CCMP/AES）
- WPA3-Personal（SAE）
- 无线安全机制演进总览
- PMF 管理帧保护（802.11w）
- PEAP + MSCHAPv2：企业常见组合
- WPA2-Enterprise（802.1X）
- 四次握手与密钥派生
- RADIUS 服务器基础（端口与共享密钥）
- Deauth 泛洪与掉线原因码
- EAP-TLS：双向证书认证
- 802.1X 认证流程与三个角色
- 访客网络与客户端隔离
- WPA3 过渡模式（混合模式）
- 服务器证书校验：不可省略的一步
- WPA3-Enterprise（企业版）
- WPS 快速配置与安全风险
- 仿冒热点（Evil Twin）与识别
- EAP 方法选择对照
- Windows 客户端 802.1X 配置要点
- OWE 机会无线加密
- Wi-Fi 口令（PSK）强度与策略
- PSK 与 802.1X 的选择
- 开放网络（无加密）的风险与用途
- TKIP / CCMP / GCMP 加密算法对比
- PMK / PTK / GTK 密钥体系
- 动态 VLAN 下发（Tunnel-Private-Group-ID）
- Portal 认证（Captive Portal）要点
- PEAP 认证失败的常见原因
- CCMP：AES 计数器模式加密
- 非法 AP（Rogue AP）检测与处置
- EAP-TTLS：隧道 + 内层认证
- DPSK / iPSK：每设备独立预共享密钥
- 无线安全自查清单
- WEP 加密及其淘汰原因
- KRACK：WPA2 握手重装攻击（已修复）
- WIDS / WIPS 无线入侵检测与防御
- RADIUS 计费与上网审计
- 常见 RADIUS 服务器软件选型
- RADIUS 认证日志定位方法
- EAPOL 报文的角色
- PSK 离线字典风险的原理与对策
- RADIUS 证书的名称与 SAN 要求
- 隐匿 SSID：安全价值有限
- radtest：RADIUS 认证快速验证
- EAP-TLS 部署检查清单
- 6GHz 的强制安全要求
- WPA（TKIP）过渡机制
- GCMP-256 与 192 位安全套件
- RADIUS CoA 动态授权变更
- MAC 地址过滤的局限与用法
- 证书轮换与到期管理
- MAC 认证旁路（MAB）
- Dragonblood：WPA3 SAE 侧信道问题（已缓解）
- 其它 EAP 方法：FAST / TEAP / LEAP
- 会话时长与重认证（Session-Timeout）
- WPA2/WPA3 混合模式的兼容问题
- SAE 哈希到元素（H2E）
- FragAttacks：帧聚合与分片设计缺陷（已修复）
- RADIUS Filter-Id 与 ACL 下发
- RadSec：RADIUS over TLS
- Wi-Fi Easy Connect（DPP）免配置入网
- PSK 定期更换的实践
- SAE 群组与合规要求
- EAP-PWD：口令型 EAP 方法
- EAP-SIM / EAP-AKA 与运营商 Wi-Fi
开放网络（无加密）的风险与用途
开放网络不加密也不认证：任何人均可接入并监听空口流量，仅适合配合 Portal/OWE 的访客场景。
易错点
- 开放网络上的注册/登录页务必用 HTTPS，否则凭据会在空口暴露
- 访客网络要开客户端隔离，防止访客互访或扫描内网
数据来源与参考
- Wi-Fi Alliance OWE 说明
- RFC 8110