为什么讨论定期换口令
企业无线常以预共享密钥（PSK）作为办公网接入方式。定期更换口令能压缩凭据泄露后的可用时间窗口，代价是全量终端都要重新连接，配置分散的设备还需人工更新。换不换、多久换一次，取决于网络规模、设备类型与合规要求，需要把执行流程和替代方案一起设计。
基本信息
| 主要目的 | 压缩凭据泄露后的可用时间窗口 |
|---|---|
| 主要成本 | 全量终端重连，配置需逐台更新 |
| 常见周期 | 季度或半年，需与真实风险等级匹配 |
| 高危遗漏 | 打印机、投屏、IoT 等无法自动更新的设备 |
| 替代路线 | 多 PSK（每设备独立密钥）、802.1X |
典型使用场景
- 合规驱动：安全基线要求无线口令定期更换时的落地方法
- 人员变动：离职集中期后更换口令，降低旧口令继续可用的时间
- 规模评估：设备量大时先评估替代方案，再决定是否坚持定期更换
- 变更窗口：选择低峰期执行，预留重连引导与遗留排查时间
- 遗留清理：换完逐项核对设备清单，确认已全部恢复
轮换流程
轮换流程
# 1) 提前通知并附设备清单（含 IoT、自助设备、投屏）
# 2) 低峰期在 AP 或控制器上更新口令，一次改完所有相关 SSID
# 3) 引导终端重新连接，现场支持与远程指导并行
# 4) 用遗留排查窗口逐台核对，记录未恢复设备与原因
# 5) 复盘：统计工单量，评估下个周期是否改用多 PSK 或 802.1X执行环节要点
| 环节 | 要点 | 常见问题 |
|---|---|---|
| 通知 | 提前告知并附设备清单 | 只通知员工，漏掉公共服务设备 |
| 执行 | 低峰期统一更新 | 分批改导致新旧口令并存 |
| 引导 | 现场与远程并行支持 | 支持人力不足，工单积压 |
| 复盘 | 统计工单与未恢复设备 | 不复盘，问题每个周期重演 |
设备量大时可以考虑迁移到 802.1X 或多 PSK，用机制替代定期换口令这件事本身。
多 PSK 或 802.1X 能把全员换口令变成按设备增量更新，一旦泄露影响面也更小。