| 模式名 | WPA2/WPA3 Mixed（厂商叫法不一） |
|---|---|
| 优点 | 老终端可用，新终端走 SAE |
| 代价 | 仍保留 WPA2 握手面 |
迁移路径建议
迁移路径建议
1) 混合模式上线，观察 WPA3 终端占比
2) 占比达标后评估切 WPA3-only
3) 老终端另设兼容 SSID（限时保留）过渡模式是迁移工具，不应作为长期终态；制定退役时间表。
本包目录（397 条）
无线基础与标准67 条信道与干扰优化49 条
加密与接入认证65 条
- WPA2-Personal（CCMP/AES）
- WPA3-Personal（SAE）
- 无线安全机制演进总览
- PMF 管理帧保护（802.11w）
- PEAP + MSCHAPv2：企业常见组合
- WPA2-Enterprise（802.1X）
- 四次握手与密钥派生
- RADIUS 服务器基础（端口与共享密钥）
- Deauth 泛洪与掉线原因码
- EAP-TLS：双向证书认证
- 802.1X 认证流程与三个角色
- 访客网络与客户端隔离
- WPA3 过渡模式（混合模式）
- 服务器证书校验：不可省略的一步
- WPA3-Enterprise（企业版）
- WPS 快速配置与安全风险
- 仿冒热点（Evil Twin）与识别
- EAP 方法选择对照
- Windows 客户端 802.1X 配置要点
- OWE 机会无线加密
- Wi-Fi 口令（PSK）强度与策略
- PSK 与 802.1X 的选择
- 开放网络（无加密）的风险与用途
- TKIP / CCMP / GCMP 加密算法对比
- PMK / PTK / GTK 密钥体系
- 动态 VLAN 下发（Tunnel-Private-Group-ID）
- Portal 认证（Captive Portal）要点
- PEAP 认证失败的常见原因
- CCMP：AES 计数器模式加密
- 非法 AP（Rogue AP）检测与处置
- EAP-TTLS：隧道 + 内层认证
- DPSK / iPSK：每设备独立预共享密钥
- 无线安全自查清单
- WEP 加密及其淘汰原因
- KRACK：WPA2 握手重装攻击（已修复）
- WIDS / WIPS 无线入侵检测与防御
- RADIUS 计费与上网审计
- 常见 RADIUS 服务器软件选型
- RADIUS 认证日志定位方法
- EAPOL 报文的角色
- PSK 离线字典风险的原理与对策
- RADIUS 证书的名称与 SAN 要求
- 隐匿 SSID：安全价值有限
- radtest：RADIUS 认证快速验证
- EAP-TLS 部署检查清单
- 6GHz 的强制安全要求
- WPA（TKIP）过渡机制
- GCMP-256 与 192 位安全套件
- RADIUS CoA 动态授权变更
- MAC 地址过滤的局限与用法
- 证书轮换与到期管理
- MAC 认证旁路（MAB）
- Dragonblood：WPA3 SAE 侧信道问题（已缓解）
- 其它 EAP 方法：FAST / TEAP / LEAP
- 会话时长与重认证（Session-Timeout）
- WPA2/WPA3 混合模式的兼容问题
- SAE 哈希到元素（H2E）
- FragAttacks：帧聚合与分片设计缺陷（已修复）
- RADIUS Filter-Id 与 ACL 下发
- RadSec：RADIUS over TLS
- Wi-Fi Easy Connect（DPP）免配置入网
- PSK 定期更换的实践
- SAE 群组与合规要求
- EAP-PWD：口令型 EAP 方法
- EAP-SIM / EAP-AKA 与运营商 Wi-Fi
WPA3 过渡模式（混合模式）
同一 SSID 同时允许 WPA2 与 WPA3 客户端接入：便于平滑迁移，但过渡期的安全强度由较低者决定。
易错点
- 过渡模式下部分老网卡会反复尝试 WPA2、握手失败率高，排查要区分终端类型
- 过渡模式不能启用 192 位套件，两者互斥
数据来源与参考
- Wi-Fi Alliance WPA3 迁移指南