开了 WPA3 老设备连不上怎么办
把 SSID 切成 WPA3 后，不支持该安全模式的终端会直接搜不到或连不上。两种症状的含义不同：搜不到，说明终端完全不支持这种安全类型，扫描时就会忽略该网络；能搜到但连不上，说明终端声称支持但在 SAE 或管理帧保护交互中失败，多与实现差异有关。前者的处理方式是改用混合模式或单独保留一个兼容 SSID，后者可以先抓包看 SAE 交互停在哪一步。
基本信息
| WPA3 个人版 | SAE 握手，较早期终端不支持 |
|---|---|
| 过渡模式 | 同一 SSID 同时支持 WPA2-PSK 与 WPA3-SAE |
| 症状差异 | 搜不到表示完全不支持；连不上表示支持但交互失败 |
| 检查点 | 是否强制管理帧保护、终端是否支持相关特性、是否在兼容名单内 |
| 6GHz | 强制 WPA3，没有过渡选项 |
排查步骤
排查步骤
1. 确认该终端官方规格是否支持 WPA3
2. 临时切换到过渡模式，验证能否接入
3. 抓包查看 SAE 交互是否完成
4. 若过渡模式可用，评估长期保留兼容 SSID 的必要性症状对照
| 症状 | 含义 | 处理 |
|---|---|---|
| 搜不到该 SSID | 终端不支持该安全类型 | 使用过渡模式或单独兼容 SSID |
| 能搜到但反复失败 | SAE 或管理帧保护交互不兼容 | 抓包定位，必要时更新终端固件 |
| 个别型号失败 | 实现差异 | 对照同型号其他设备与固件版本 |
| 全部终端失败 | 网络侧配置错误 | 核对安全模式与过渡配置 |
典型使用场景
- 安全加固后老设备批量掉线
- 新采购的 WPA3 路由或 AP 上线
- 6GHz 频段部署时的终端准入验证
- 零散 IoT 与打印机无法接入新网络
- 需要同时兼顾安全要求与兼容性
长期怎么规划
长期停留在 WPA2 会持续承担口令被抓包离线破解的风险，因此更合理的做法是分层：新终端使用的主 SSID 保持 WPA3，为老设备单独保留一个兼容 SSID，并在交换机侧限制该 SSID 的访问范围，只允许访问必需的内部资源。随着老设备逐步淘汰，再把兼容 SSID 下线。这种分层方案让安全要求与兼容需求各自得到满足，也便于统计还有多少设备依赖兼容网络。
部分终端对「过渡模式加管理帧保护强制」的组合兼容性差，遇到个别设备失败时先做单机对照。
过渡模式下老终端仍走 WPA2 流程，因此口令强度要求不会降低，兼容网络同样需要强口令。