过渡模式是什么
WPA3 过渡模式（厂商常称混合模式或 WPA2/WPA3 混合）让同一个 SSID 同时接受 WPA2 与 WPA3 客户端：支持 SAE 的新终端走 WPA3 握手，老终端仍用 WPA2 的 PSK 流程。它的目的是平滑迁移，代价是过渡期内网络的安全强度由较弱的一方决定。
定位与退役
过渡模式是迁移工具而不是终态：只要还保留 WPA2 握手面，就仍然存在针对离线字典攻击的暴露。合理做法是上线混合模式后统计 WPA3 终端占比，占比达标并完成老设备替换后切换到 WPA3 单模，同时为确实无法升级的设备单独保留一个限时 SSID。
基本信息
| 模式名称 | WPA2/WPA3 混合模式，各家产品叫法不一 |
|---|---|
| 工作机制 | 同一 SSID 同时广播 WPA2 与 WPA3 能力，终端自行协商 |
| 优点 | 老终端可继续接入，新终端自动用上 SAE |
| 代价 | 保留 WPA2 握手面，安全强度取较低者 |
| 与 192 位套件 | 互斥：启用过渡模式时不能使用 192 位安全套件 |
三种模式对比
| 模式 | 兼容终端 | 安全强度 | 适用阶段 |
|---|---|---|---|
| WPA2 单模 | 最广 | 较低，存在离线字典攻击面 | 迁移前或无法升级的老环境 |
| WPA2/WPA3 混合 | 广 | 取较低者，过渡期折中 | 迁移过程中的中间态 |
| WPA3 单模 | 较新终端 | 高，强制 SAE 与 PMF | 迁移完成后的目标态 |
迁移路径建议
迁移路径建议
# 1) 先以混合模式上线，观察 WPA3 终端占比与失败率
# 2) 定位无法上 WPA3 的终端型号，评估升级或替换
# 3) 占比达标后切换 WPA3 单模，老终端另设限时兼容 SSID
# 4) 兼容 SSID 设定退役时间表，到期关闭并停用典型使用场景
- 企业办公网从 WPA2 升级：用混合模式避免一次性大面积掉线
- 访客网络升级：终端型号繁杂，混合模式过渡期更稳妥
- IoT 网络评估：先统计有多少设备不支持 WPA3，再决定切换节奏
- 排障对照：同一型号终端在两种模式下表现差异，用于定位兼容问题
- 合规整改：为满足安全要求逐步关闭 WPA2 握手面
- 新装场景：新建网络直接上 WPA3 单模，不必经过混合阶段
过渡模式是迁移工具，不应作为长期终态，上线时就要制定退役时间表，否则安全改造会停在中间状态。