PMF 引发的兼容问题
PMF（管理帧保护，802.11w）对管理帧做加密与完整性校验，能防止伪造的去关联与解除认证攻击。开启后个别终端连不上，通常是两类原因：终端本身不支持该能力，或 AP 侧配置为强制要求而不是可选协商，导致不支持的终端在关联阶段被直接拒绝。
怎么处置
排查的关键是看关联阶段而不是猜密码问题：抓包观察关联请求中的能力位，确认终端是否声明了支持，以及失败发生在哪一步。处置方式一般采取分级：对兼容性要求高的网段保留能力协商模式，对安全要求高的网段再启用强制，避免一刀切导致老设备批量掉线。
基本信息
| 能力差异 | 较老终端可能不支持该能力，强制要求时关联失败 |
|---|---|
| 模式选择 | 能力协商（可选）与强制要求两种策略，可按网段分级 |
| 排查手段 | 抓包查看关联请求中的能力位与失败阶段 |
| 常见处置 | 兼容网段保留可选模式，敏感网段再启用强制 |
| 关联特性 | 启用更高安全等级时通常同时强制该能力 |
抓包关注点
抓包关注点
# 关注关联与重关联请求中的 RSN 能力位
# 观察客户端是否声明支持管理帧保护
# 确认失败发生在关联阶段还是认证阶段
# 把失败终端按型号归类，判断是普遍问题还是个别兼容问题配置模式对照
| 模式 | 行为 | 适用 |
|---|---|---|
| 关闭 | 不启用管理帧保护 | 不推荐，存在伪造管理帧风险 |
| 能力协商 | 支持则启用，不支持则兼容 | 存量终端复杂的网段 |
| 强制要求 | 不支持的终端直接拒绝接入 | 安全要求高、终端可控的网段 |
典型使用场景
- 开启安全加固后部分终端掉线：先核对终端是否支持该能力
- 新装网络安全配置：按网段选择协商或强制模式
- IoT 批量接入失败：确认设备能力与配置模式是否匹配
- 排障定位：用抓包区分关联失败与认证失败
- 合规整改：为敏感网段启用更强模式并单独评估终端
- 故障复盘：把能力位检查纳入标准排障步骤
更高安全等级与 PMF 常常联动：使用更高安全模式时同时要求该能力，终端兼容范围会相应收窄。