PMF 是什么
PMF（管理帧保护，标准编号 802.11w）对断开、去认证与部分管理类帧做完整性校验。未启用时这些帧是明文且无鉴权的，任何人伪造一个源地址正确的 Deauth 帧，就能把终端踢下线，这也是许多「Wi-Fi 莫名掉线」的真实成因。启用后，双方之间的管理帧带校验信息，伪造帧会被直接丢弃。PMF 有三种配置状态：关闭、可选与强制；只有强制才真正提供保护，可选只是允许双方使用。
基本信息
| 全称 | Protected Management Frames，802.11w |
|---|---|
| 保护对象 | Deauth、Disassoc 与部分 Action 帧 |
| 配置状态 | 关闭 / 可选（Capable）/ 强制（Required） |
| 强制要求 | WPA3 与 6GHz 频段均强制启用 |
| 兼容影响 | 强制后不支持该特性的老终端无法接入 |
| 常见现象 | 未启用时有人伪造 Deauth 即可让终端掉线 |
三种配置的区别
| 配置 | 行为 | 适用 |
|---|---|---|
| 关闭 | 管理帧无保护，可被伪造 | 不推荐，仅极端兼容场景 |
| 可选 | 双方协商，均可使用但不强制 | 存量兼容的过渡阶段 |
| 强制 | 必须使用，否则拒绝接入 | 新网络与安全要求高的场景 |
抓包判读
抓包判读
PMF 启用后：Deauth 帧带保护标志（protected frame 位置位）
未启用：明文 Deauth 即可让终端掉线
# Wireshark 过滤断连：wlan.fc.type_subtype == 12
# 结合来源地址判断是正常踢除还是伪造泛洪典型使用场景
- 频繁「掉线重连」的网络：先确认是否被伪造管理帧干扰
- 高安全要求：防止攻击者用 Deauth 泛洪瘫痪网络
- 新建 WPA3 网络：强制 PMF 是标准要求
- 6GHz 部署：安全模式与频段都要求 PMF
- WIPS 联动：与无线入侵防护一起监控异常管理帧
兼容性的代价
PMF 强制会让不支持 802.11w 的老终端直接无法接入，这在打印机、老款手机与部分 IoT 模组上并不罕见。工程上的处理方式通常是分网络实施：新终端使用的主 SSID 开启强制 PMF，老设备单独划到兼容 SSID 并限制访问范围。判断某个终端是否支持 PMF，可以查看它对附近开启强制 PMF 的 AP 的关联行为——如果一直卡在关联阶段，基本可以确认不支持。实施前建议先在测试 SSID 上验证终端清单，再全网推行。
强制 PMF 后，不支持该特性的老终端将无法连接，需过渡模式或单独 SSID。
PMF 与 WIPS 是互补关系：PMF 让伪造管理帧失效，WIPS 负责发现并定位发起泛洪的设备。