OWE 解决什么问题
OWE（Opportunistic Wireless Encryption）来自 RFC 8110：在完全开放的网络上，无需口令也能为每个终端建立独立的加密链路。它解决的是「开放网络空口明文可被旁听」的问题——同一热点下不同终端互相看不到对方的流量。它不做身份认证，因此防旁听不防蹭网，接入控制仍需 Portal 或独立策略。
基本信息
| 全称 | Opportunistic Wireless Encryption（RFC 8110） |
|---|---|
| 商用名 | Wi-Fi Enhanced Open |
| 加密方式 | 基于 Diffie-Hellman 的匿名密钥交换 |
| 认证能力 | 不认证用户身份 |
| 典型用途 | 访客热点、图书馆、机场等开放环境 |
典型使用场景
- 访客网络没有口令，但希望空口流量加密
- 公共区域热点需要防止同网段旁听
- 合规场景要求开放网络不出现明文流量
- 从传统开放网络向加密过渡，分批更新终端
- 与 Portal 组合：加密交给 OWE，准入交给 Portal
部署要点
部署要点
# AP 侧把 SSID 安全模式选为 OWE（Enhanced Open）
# 过渡模式允许 OWE 与明文终端共存，混合期需限制明文终端
# 终端支持：Win10 1903+、Android 10+、iOS 13+ 普遍支持
# 验证：抓包确认关联过程使用 OWE 的 DH 参数并启用 PMF与相邻方案对比
| 方案 | 加密 | 认证 | 适用 |
|---|---|---|---|
| 开放网络 | 无 | 无 | 已不推荐 |
| OWE | 有（匿名） | 无 | 公共热点，需另配准入 |
| OWE + Portal | 有 | 有（浏览器认证） | 访客与公共场所主流做法 |
| WPA2-PSK | 有 | 共享口令 | 小微与家庭 |
| WPA3-SAE | 有 | 共享口令，抗离线穷举 | 新设备为主的场景 |
OWE 提供的是防旁听而非防蹭网：接入控制仍需 Portal、白名单或独立策略来决定谁可以上网。
过渡模式会放行明文终端，混合期仍存在明文流量风险；用策略限制明文终端可访问的网段，并在终端更新完成后关闭过渡模式。
部分老终端扫描到 OWE 网络时会显示为「开放」，与真正的无加密热点在界面上难以区分，需要在用户指引中说明。