Wi‑Fi 完全指南：从 802.11 协议到 Wi‑Fi 7、AC+AP 与 Mesh 工程组网

Wi‑Fi 的难点从来不只是"选哪台路由器"。它同时涉及无线电频谱、协议兼容、共享空口、终端能力、认证与加密、交换与路由、供电和布线。只盯着包装盒上的"AX6000""BE19000"，很容易买到参数很高、体验却不稳定的设备。

本文从一条完整的数据路径出发，系统讲清 IEEE 802.11 协议族、Wi‑Fi 4/5/6/6E/7、兼容模式、频段与信道、漫游、AC+AP、Mesh、安全、规划、验收与排障。读完后，你应能回答三个工程问题：瓶颈在哪里、应该选什么架构、怎样验证它真的有效。

目录

1. [先建立正确模型：Wi‑Fi 不等于互联网](#先建立正确模型：Wi‑Fi 不等于互联网)
2. [IEEE 802.11 协议族与命名](#IEEE 802.11 协议族与命名)
3. 频段、信道与速率的底层逻辑
4. [Wi‑Fi 4、5、6、6E、7 逐代解析](#Wi‑Fi 4、5、6、6E、7 逐代解析)
5. 兼容模式：能连上，不等于用得好
6. [漫游与 802.11k/v/r](#漫游与 802.11k/v/r)
7. [单路由、独立 AP、AC+AP、云管与 Mesh](#单路由、独立 AP、AC+AP、云管与 Mesh)
8. [AC+AP 的设计与部署](#AC+AP 的设计与部署)
9. [Mesh 组网的收益与代价](#Mesh 组网的收益与代价)
10. 射频、信道、容量与布线规划
11. [安全：从 WEP 到 WPA3](#安全：从 WEP 到 WPA3)
12. 验收与排障方法
13. 典型场景方案与采购清单
14. 术语速查与权威资料

---

1. 先建立正确模型：Wi‑Fi 不等于互联网

Wi‑Fi 是基于 IEEE 802.11 的无线局域网接入技术。它主要解决终端到接入点之间的"最后一段无线链路"，并不自动等于宽带、运营商网络或互联网。

一条常见的数据路径是：

手机/电脑 → 无线空口 → AP → 交换机/路由器 → 光猫/网关 → 运营商 → 互联网服务

因此，"网慢"至少可能出在六处：

• 终端网卡能力、驱动或省电策略；
• 无线信号、干扰、重传与空口拥塞；
• AP 的射频、CPU、固件或上联端口；
• 交换机、VLAN、网关、防火墙与 DNS；
• 光猫、宽带套餐及运营商链路；
• 对端服务器、内容分发网络或应用本身。

1.1 必须先分清的术语

术语	中文含义	工程解释
STA	无线站点	手机、电脑、摄像头等连接 Wi‑Fi 的终端，也可泛指具备 802.11 接口的设备
AP	无线接入点	提供无线接入并连接有线分布系统；家用"无线路由器"通常把 AP、路由、交换与防火墙合在一台设备中
SSID	服务集标识	用户看到的 Wi‑Fi 名称；多个 AP 可以广播相同 SSID
BSSID	基本服务集标识	通常对应某个 AP 射频接口上的一个虚拟无线网络标识，形式类似 MAC 地址
BSS	基本服务集	一个 AP 与当前关联终端构成的基本无线小区
ESS	扩展服务集	多个 BSS 通过分布系统组成同一逻辑无线网络，是多 AP 漫游的基础
DS	分布系统	连接 AP 的后端网络，常见实现是以太网交换网络
WLAN	无线局域网	无线网络的技术总称；Wi‑Fi 是最主流实现
路由器	三层转发设备	在不同 IP 网络间转发，常同时承担 NAT、DHCP、防火墙等功能；它与 AP 是不同角色

1.2 三个常见误解

1. 信号满格，所以互联网一定快 信号格只是终端厂商对接收强度的粗略映射，不代表信噪比、重传率、信道占用或宽带质量。
2. 千兆宽带，Wi‑Fi 就该恒定跑满千兆 无线是半双工共享介质，还有协议开销、竞争、确认与重传；终端的空间流和信道宽度往往也小于 AP。
3. 多放几个 AP 就会更快 新增 AP 只有在合理复用不同信道、控制功率并具备足够回程时才增加容量；同信道堆叠反而会争夺同一份空口时间。

---

2. IEEE 802.11 协议族与命名

IEEE 负责制定 802.11 的 MAC 与 PHY 标准；Wi‑Fi Alliance（Wi‑Fi 联盟）负责互操作认证和面向市场的代际命名。IEEE 标准、Wi‑Fi 代际名称、产品认证并不是同一件事。

2.1 影响最广的速率主线

标准	首次发布年份	主要频段	最高信道宽度	代表性最高 PHY 速率	关键变化
802.11	1997	2.4 GHz；另有红外 PHY	因 PHY 而异：DSSS 约 22 MHz、FHSS 约 1 MHz	2 Mb/s	同时定义 DSSS、FHSS 与红外 PHY，奠定 WLAN 的 MAC 与 PHY 基础
802.11b	1999	2.4 GHz	约 22 MHz	11 Mb/s	DSSS/CCK，普及早期 Wi‑Fi
802.11a	1999	5 GHz	20 MHz	54 Mb/s	引入 OFDM；频段更清洁但早期成本较高
802.11g	2003	2.4 GHz	20 MHz	54 Mb/s	在 2.4 GHz 使用 OFDM，并兼容 802.11b
802.11n	2009	2.4/5 GHz	40 MHz	600 Mb/s	MIMO、信道绑定、帧聚合；对应 Wi‑Fi 4
802.11ac	2013	5 GHz	160 MHz	约 6.93 Gb/s	更宽信道、256‑QAM、下行 MU‑MIMO；对应 Wi‑Fi 5
802.11ax	2021	2.4/5/6 GHz	160 MHz	约 9.61 Gb/s	OFDMA、上下行 MU‑MIMO、BSS 着色、TWT；对应 Wi‑Fi 6/6E
802.11be‑2024	2025 年出版	2.4/5/6 GHz	320 MHz	约 23.06 Gb/s	MLO、4096‑QAM、多资源单元、前导码打孔；对应 Wi‑Fi 7

Wi‑Fi Alliance 于 2018 年引入简化的数字代际命名，并把已经存在的 802.11n/ac 追溯映射为 Wi‑Fi 4/5；认证计划从 Wi‑Fi 6 起正式采用代际名称。今天常用的映射是 Wi‑Fi 4=n、Wi‑Fi 5=ac、Wi‑Fi 6/6E=ax、Wi‑Fi 7=be。网络上所谓"Wi‑Fi 1/2/3"多是对 b/a/g 的非官方追溯叫法，不宜当作正式认证名称。

2.2 不只追求速度：重要功能修订

很多工程能力来自字母后缀修订，而不是"Wi‑Fi 数字代际"。这些修订后来往往被并入新版 802.11 主标准。

修订	作用	常见关联
802.11e	无线服务质量机制	WMM、语音/视频优先级
802.11h	5 GHz 频谱与功率管理	DFS 动态频率选择、TPC 发射功率控制
802.11i	增强认证与加密	WPA2/802.1X 安全基础
802.11k	无线资源测量	邻居报告，帮助终端减少漫游扫描
802.11r	快速 BSS 切换	提前派生/复用密钥上下文，降低漫游认证时延
802.11s	IEEE 网状网络机制	多跳无线分布系统；不等同于所有消费级 Mesh 产品
802.11u	与外部网络互通	热点发现、Passpoint/Hotspot 2.0 相关基础
802.11v	无线网络管理	BSS 切换管理、终端引导等
802.11w	保护管理帧	PMF，降低伪造解除认证/解除关联等风险
802.11ah	1 GHz 以下低功耗远距离 WLAN	Wi‑Fi HaLow、物联网
802.11ad/ay	60 GHz 毫米波	WiGig，短距离超高速，遮挡敏感
802.11az	下一代定位	更精细的测距与定位能力

---

3. 频段、信道与速率的底层逻辑

3.1 2.4、5、6 GHz：不是简单的"越高越快"

频段	主要优势	主要代价	典型使用建议
2.4 GHz	终端兼容最广；传播与穿墙通常较好	可复用信道少；蓝牙、微波炉和大量物联网设备造成拥挤	物联网、远距离低带宽；通常采用 20 MHz，谨慎保留旧协议
5 GHz	覆盖、容量、可用信道数量较平衡	穿透损耗通常高于 2.4 GHz；部分信道受 DFS 约束	手机、电脑、电视等主力终端；家庭常用 80 MHz，高密环境常用 20/40 MHz
6 GHz	没有 2.4/5 GHz 旧终端占用；适合连续宽信道	仅 6E/7 终端可用；覆盖与穿墙更具挑战；安全和监管要求更严格	近距离高速、低时延、无线回程；先确认本地区法规和设备能力

6 GHz 必须附带地区条件 Wi‑Fi 6E/7 的硬件支持，不代表在所有国家和地区都能启用 6 GHz，也不代表可用频宽、功率类别和室内外规则一致。以中国大陆为例，截至本文核验日期，现行 802.11be 无线局域网设备型号核准技术要求列出的工作频率为 2400--2483.5、5150--5350 和 5725--5850 MHz，不含 6 GHz；同时，中国已将 6425--7125 MHz 确定用于 IMT，相关脚注又明确在频率使用规划和兼容条件确定前不投入实际部署。因此不能照搬美国 5.925--7.125 GHz 规则；美国的低功率室内、超低功率与受 AFC 协调的标准功率设备也有不同适用范围，并非所有设备都以相同功率使用整段频谱。中国大陆销售设备的Wi‑Fi 7不应被默认理解为可用 6 GHz/320 MHz。部署必须以设备中国型号、当前射频核准与工信部规则为准，切勿通过修改地区码规避监管。

3.2 信道宽度：更宽不一定更好

20、40、80、160、320 MHz 可以类比道路宽度。宽信道提高单次传输的峰值，却会占用更多连续频谱，减少相邻 AP 可复用的独立信道，并更容易碰到干扰或 DFS 事件。

• 家庭低密环境： 5 GHz 的 80 MHz 往往是速度与稳定性的平衡点；160 MHz 要求 AP、终端、频谱和回程同时支持。
• 公寓密集环境： 邻居很多时，40 或 80 MHz 可能比 160 MHz 更稳定。
• 企业高密环境： 20/40 MHz 通常能换来更多独立信道和更好的容量复用；应按勘测结果决定。
• Wi‑Fi 7 的 320 MHz： 需要可用的 6 GHz 连续频谱，地区不支持 6 GHz 时无法凭 5 GHz 单独获得连续 320 MHz。
• 2.4 GHz： 通常坚持 20 MHz。1/6/11 是跨地区和跨设备最常见的保守非重叠规划，但实际可用信道仍应遵守本地法规并结合现场频谱。

3.3 包装盒速率从哪里来

可以把物理层速率近似理解为：

PHY 速率 ≈ 有效信道宽度 × 每个符号承载的比特 × 编码效率 × 空间流数量 ÷ 符号时间

实际协商结果取决于以下因素的共同最小值：

• AP 和终端共同支持的协议代际；
• 共同支持且现场可用的信道宽度；
• 空间流数量，取 AP 与终端能力的较小值；
• 信噪比所允许的 MCS（调制与编码方案）；
• 保护间隔、前导码、编码、资源单元和聚合方式；
• 监管域、发射功率、DFS/AFC 等限制。

高阶 QAM 把更多比特装进一个符号，但星座点更密，对信噪比和射频链路质量要求更高。4096‑QAM 并不是"隔几堵墙仍能提速"的魔法，更常发生在距离较近、干扰低的区域。

**空间流也常被营销误读。**标准可支持的最大空间流不代表终端实际具备这么多射频链。多数手机和轻薄本是 2×2，部分物联网设备只有 1×1；即使连接单链路 8 流或多射频合计流数更高的 AP，单条链路也只能使用双方共同支持的流数。AP 的更多射频链主要有利于多用户并发、波束成形和总体容量。

"AX3000" "BE19000" 通常是厂商把不同频段、不同射频或空间流组合下的最高 PHY 速率相加得到的产品等级，不是一台终端能获得的保证吞吐。判断设备时，应逐项看 2.4/5/6 GHz 射频规格、空间流、最大信道宽度、MLO 组合、有线端口和 CPU，而不是只看一个总数。

3.4 无线空口为什么跑不满 PHY 速率

Wi‑Fi 是基于竞争的共享半双工介质：同一冲突域内，能彼此听见且使用同一信道的 AP 与终端需要轮流发送。数据之外还存在前导码、帧间间隔、随机退避、确认帧、管理帧、加密封装和重传。

在干净、近距离、单终端、大数据流测试中，应用层 TCP 吞吐可能达到协商 PHY 速率的约 50%～70%；这只是经验区间，不是标准承诺。多终端、小包、双向业务、干扰、Mesh 无线回程或广域网测试都会进一步降低结果。工程测试必须同时记录 PHY 协商速率、局域网吞吐、互联网吞吐，三者不能混用。

空口效率的关键不是"每台设备平均分带宽"，而是谁消耗了多少空口时间。低速终端发送同样大小的数据需要占用更久；过低的基础速率还会让 Beacon 等管理帧消耗更多时间。因此旧终端不会必然把所有新终端的协商速率锁到旧值，但它可能通过保护机制、管理开销和长时间占用显著拖累整个信道容量。

3.5 用 dBm 和 SNR 看信号，不看"几格"

• RSSI： 接收信号强度，通常用负 dBm 表示；例如 −60 dBm 强于 −75 dBm。
• 噪声底： 环境噪声水平，同样用 dBm 表示。
• SNR： 信噪比，近似为 RSSI−噪声底。例如 RSSI 为 −65 dBm、噪声底为 −92 dBm，则 SNR 约为 27 dB。
• 重传率： 能直接反映丢帧、碰撞和链路不稳定，但需结合包型、方向和负载分析。
• 信道利用率： 显示空口忙碌程度，却不单独说明忙碌来自自己的业务、邻居 Wi‑Fi 还是非 Wi‑Fi 干扰。

常见设计起点是：普通数据业务在主要区域争取 −67～−70 dBm 或更好，实时语音通常以 −67 dBm 或更好、SNR 约 25 dB 或更高作为初始目标。这些不是普适验收线；终端灵敏度、速率、带宽、噪声、应用和厂商实现不同，最终必须用目标终端和目标业务现场验证。

---

4. Wi‑Fi 4、5、6、6E、7 逐代解析

代际	IEEE 对应	频段	最大信道宽度	最高调制	单链路最大空间流	理论最高 PHY 速率*	代际重点
Wi‑Fi 4	802.11n	2.4/5 GHz	40 MHz	64‑QAM	4	600 Mb/s	MIMO、帧聚合、信道绑定
Wi‑Fi 5	802.11ac	5 GHz	160 MHz	256‑QAM	8	约 6.93 Gb/s	宽信道、波束成形、下行 MU‑MIMO
Wi‑Fi 6	802.11ax	2.4/5 GHz	160 MHz	1024‑QAM	8	约 9.61 Gb/s	高密效率、OFDMA、上下行 MU‑MIMO、TWT、BSS 着色
Wi‑Fi 6E	802.11ax	6 GHz（产品通常也兼容其他频段）	160 MHz	1024‑QAM	8	约 9.61 Gb/s	把 Wi‑Fi 6 能力扩展到 6 GHz；不是新的 IEEE PHY 代际
Wi‑Fi 7	802.11be	2.4/5/6 GHz	320 MHz	4096‑QAM	8	约 23.06 Gb/s	MLO、MRU、前导码打孔、更宽信道与更高峰值

表中为单链路标准极限组合的物理层理论值，用于理解代际上限；普通 1×1/2×2 终端和实际产品不会达到这一数值。802.11be 早期曾讨论 16 条空间流，最终标准没有定义该能力；多射频 AP 标注的"总空间流"也不能当成单链路空间流。各认证功能还可能存在必选与可选项，购买时必须查看具体型号证书和数据表。

对手机和笔记本更有参考价值的是 2×2 终端的理论上限：

2×2 终端组合	理论最高 PHY 速率
Wi‑Fi 4，40 MHz	300 Mb/s
Wi‑Fi 5，80 MHz	866.7 Mb/s
Wi‑Fi 5，160 MHz	1.733 Gb/s
Wi‑Fi 6/6E，80 MHz	1.201 Gb/s
Wi‑Fi 6/6E，160 MHz	2.402 Gb/s
Wi‑Fi 7，160 MHz、4096‑QAM	2.882 Gb/s
Wi‑Fi 7，320 MHz、4096‑QAM	5.765 Gb/s

最后一项只有在终端和 AP 都支持 320 MHz/4096‑QAM、当地允许相应 6 GHz 频谱且链路质量足够时才可能协商。中国大陆当前监管频段下不应把它作为可用预期。最终 802.11be 的 8 流、320 MHz 单链路理论上限约 23.06 Gb/s；"16 流/46 Gb/s"来自未进入最终标准的早期讨论。

4.1 Wi‑Fi 4（802.11n）：MIMO 进入主流

802.11n 是重要分水岭：它同时覆盖 2.4 和 5 GHz，通过多天线 MIMO、20/40 MHz 信道、短保护间隔、A‑MPDU/A‑MSDU 帧聚合与块确认显著提高效率。

工程上仍需注意：

• 2.4 GHz 使用 40 MHz 很容易侵占相邻网络频谱，密集环境通常不推荐；
• 标称 600 Mb/s 需要 4 条空间流、40 MHz 和相应保护间隔，普通终端多达不到；
• 只支持 2.4 GHz 的 802.11n 终端，会把自己留在最拥挤的频段；
• Wi‑Fi 4 设备可继续使用，但若它承担关键业务，安全、驱动与性能往往比"能否关联"更值得担心。

4.2 Wi‑Fi 5（802.11ac）：把高速主战场放到 5 GHz

Wi‑Fi 5 只定义在 5 GHz 上。它把最大信道宽度扩展到 160 MHz（含 80+80 MHz），调制提高到 256‑QAM，标准最高支持 8 条空间流，并在后期能力中加入下行 MU‑MIMO。

所谓 Wave 1/Wave 2 是产业阶段划分而不是两个独立 IEEE 标准：Wave 1 常见 80 MHz 和 SU‑MIMO；Wave 2 扩展了 160/80+80 MHz、更多空间流与下行 MU‑MIMO。大量在用终端只支持 2×2、80 MHz，其典型最高协商速率为 866.7 Mb/s，实际吞吐通常明显低于这个数字。

4.3 Wi‑Fi 6（802.11ax）：重点从"一个人多快"转向"很多人是否高效"

• OFDMA： 把信道划分成资源单元（RU），由 AP 调度多个终端在一次传输机会中并行收发，尤其适合大量小包和高密环境。
• 上下行 MU‑MIMO： 利用不同空间流同时服务多个终端；它与 OFDMA 分别在空间域和频率域提高并发效率。
• BSS 着色与空间复用： 在物理层快速区分本 BSS 与重叠 BSS，在满足门限与功率条件时减少不必要等待；它不是消除同信道干扰。
• TWT： AP 与终端协商目标唤醒时间，降低电池设备长期监听空口的功耗，也可减少无序竞争。
• 1024‑QAM 与更密的 OFDM 子载波： 在链路质量足够时提高峰值；Wi‑Fi 6 的核心价值仍是效率，而非只看最高速率。

这些能力需要 AP、终端、驱动和业务模式配合。一个连接到 Wi‑Fi 6 AP 的 Wi‑Fi 5 终端不会突然具备 OFDMA；早期或低成本 Wi‑Fi 6 产品也未必实现所有可选能力。

4.4 Wi‑Fi 6E：E 代表扩展到 6 GHz

Wi‑Fi 6E 仍采用 802.11ax，区别在于设备具备 6 GHz 工作能力。6 GHz 没有 802.11a/b/g/n/ac 旧终端，因而可减少旧协议保护和拥挤，并为 80/160 MHz 宽信道提供更多空间。

6E 的三个边界必须说清：

1. 不是所有 Wi‑Fi 6 都是 6E。 Wi‑Fi 6 终端可能只支持 2.4/5 GHz。
2. 频谱由监管机构决定。 不同国家开放范围、功率类别、室内外规则、AFC 要求都可能不同。
3. 6 GHz 不保留旧安全兼容。 Wi‑Fi 6E 认证要求 WPA3 或 Enhanced Open（OWE）并要求 PMF；传统开放网络和 WPA2 不能直接作为 6 GHz 的旧式安全模式。

4.5 Wi‑Fi 7（802.11be）：不只是一条更宽的路

1. 320 MHz 信道： 在开放足够 6 GHz 频谱的地区把最大连续带宽翻倍；实际产品、终端与本地监管域是否支持仍需逐项确认。按本文核验时的中国大陆型号核准频段，不能把国内 Wi‑Fi 7 等同于 6 GHz/320 MHz。
2. 4096‑QAM： 每个符号承载的比特数从 1024‑QAM 的 10 bit 增至 12 bit，理想条件下峰值提高 20%，但要求更高 SNR。
3. MLO（多链路操作）： 让同一多链路设备在多个链路上协调工作，可用于聚合吞吐、分流时延或链路冗余。
4. MRU（多资源单元）： 一个终端在一次调度中可获得多个资源单元，提高碎片频谱的利用率与调度灵活性。
5. 前导码打孔： 宽信道局部受干扰时，避开被占用的子信道继续使用其余频谱，而不是把整个宽信道全部放弃。

Wi‑Fi Alliance 于 2024 年启动 Wi‑Fi CERTIFIED 7，明确列出 320 MHz、MLO 和 4K‑QAM 等先进能力；IEEE 802.11be‑2024 则于 2025 年正式出版。具体认证特性有必选和可选差异，固件也可能分阶段实现，因此"写着 Wi‑Fi 7"不等于"具备三频、320 MHz、4K‑QAM 和你期望的 MLO 组合"。

4.6 MLO 到底能带来什么

MLO 的工程价值可理解为三种策略：

• 聚合： 同时利用多条链路，提高总吞吐；需要 AP 与终端拥有相应并发射频能力。
• 分流： 把时延敏感业务放到更空闲的链路，降低排队和竞争；收益取决于实现和现场负载。
• 冗余/快速切换： 当一条链路拥塞或受干扰时，利用另一条链路提高可靠性。

不要把 MLO 简化成"2.4+5+6 GHz 速率必然全部相加"。多链路工作模式、并发射频数量、终端功耗、监管域、信道组合、安全套件、驱动和厂商实现都会限制结果。消费级产品还常把 AP 的跨频段总容量与单终端 MLO 峰值混在宣传中，采购时要查清终端侧最大链路数、每链路空间流和可同时工作的频段组合。

---

5. 兼容模式：能连上，不等于用得好

现代 AP 在同一频段上通常可以同时服务多代终端。关联时，AP 与终端会协商双方共同支持的协议、信道宽度、空间流、MCS、加密套件和能力信息；每个终端并不必然以同一速率传输。

5.1 兼容的四层含义

1. 频段兼容： 只支持 2.4 GHz 的设备看不到 5/6 GHz；Wi‑Fi 5 的 802.11ac PHY 只工作在 5 GHz，但双频 Wi‑Fi 5 产品往往另有 2.4 GHz 的 802.11n 射频能力。
2. PHY 兼容： 新 AP 可在相应频段上使用旧前导码、速率和保护机制与旧终端通信。
3. 安全兼容： 终端必须支持 SSID 要求的 AKM、密码套件和 PMF；"支持 Wi‑Fi 6"不自动等于支持所有 WPA3 配置。
4. 业务兼容： 关联成功后还要通过 DHCP、DNS、VLAN、门户、访问控制与应用验证，不能把所有失败都归为"Wi‑Fi 不兼容"。

5.2 老设备会不会拖慢新设备

正确答案是：不会简单地把所有设备锁到老设备速率，但会消耗更多共享空口。 主要代价包括：

• 低速终端发送同样数据需要更长空口时间；
• 旧制式共存可能触发 RTS/CTS、CTS‑to‑Self 等保护；
• Beacon、广播/组播和部分控制帧常使用较低基础速率；
• 老终端可能有更差的接收灵敏度、驱动和省电实现，引发重传；
• 过多 SSID 会按每个 BSSID 周期发送管理帧，进一步增加开销；
• WPA/TKIP 等旧安全组合可能使某些设备无法启用高吞吐模式。

因此，判断是否关闭旧协议，要看终端盘点与空口数据，不能一键照抄"只开最新模式"。医疗、仓储、门禁、打印机与 IoT 设备可能仍依赖旧能力；把它们迁移到独立 SSID/VLAN 往往比降低主网标准更稳妥。

5.3 一套可落地的兼容配置思路

以下是通用方向，不是对所有厂商界面的固定命令：

网络	频段与协议建议	安全建议	目的
主力终端网	5 GHz 的 ac/ax/be；当地允许时增加 6 GHz ax/be	优先 WPA3；迁移期可在 2.4/5 GHz 使用 WPA2/WPA3 Transition	服务手机、电脑、电视与高性能终端
IoT 兼容网	2.4 GHz，20 MHz；按实际终端保留 g/n/ax，确需时才保留 b	无法支持 WPA3 的设备使用独立 WPA2‑CCMP/AES，不使用 TKIP	隔离老旧和低功耗设备
访客网	2.4/5 GHz 按需；当地允许时另行规划 6 GHz	2.4/5 GHz 优先 OWE；确需兼容可保留 Open+Portal，但无线链路未加密。6 GHz 只能用 OWE 或合规 WPA3，Portal 可叠加但不提供链路加密	只访问互联网，不进入内网；验证客户端隔离范围
企业受管网	5/6 GHz 优先，按勘测规划宽度	WPA3‑Enterprise（802.1X/EAP，优先 EAP‑TLS）；迁移期评估 WPA2‑Enterprise	独立身份、证书、授权和审计

配置时还应遵循以下顺序：

1. 盘点 AP、终端、操作系统、驱动对协议、频段、WPA3、SAE、H2E、PMF、802.1X 的真实支持；
2. 先升级固件与驱动，再做小范围试点；
3. 立即淘汰 WEP、WPA、TKIP 与 WPS PIN；
4. 主网优先现代协议，少数旧设备进入独立、受限的 IoT 网络；
5. 调整最低基础速率前做覆盖复测，避免盲目缩小小区导致边缘掉线；
6. 逐步停用 Transition 模式，主网最终收敛到 WPA3‑only 与 PMF Required；
7. 每次变更都记录关联成功率、认证时延、重传、漫游和业务指标，并准备回退。

5.4 同名 SSID 还是分频段命名

• 同名 SSID： 便于终端在频段与 AP 间选择，适合正常生产网络；基础设施可用频段引导和 802.11v 辅助，但最终选择仍受终端策略影响。
• 分开命名： 便于测试、排障与兼容特殊设备；代价是用户可能手动固定在不合适的频段，并增加配置管理复杂度。
• 6 GHz 场景： 同名并不代表旧终端能连接 6 GHz。AP 可以在不同频段为同一逻辑 WLAN 发布符合各频段要求的 BSS，但 6 GHz 本身仍必须满足 WPA3/OWE 与 PMF 规则。

没有"所有家庭都必须合并 SSID"或"所有工程都必须拆分"的绝对答案。生产网通常优先同名与统一策略，临时诊断或老旧 IoT 场景再采用专用 SSID。

---

6. 漫游与 802.11k/v/r

多个 AP 使用相同 SSID、安全策略和连通的分布系统，只是提供了漫游的基础。什么时候离开原 AP、选择哪一个新 AP，通常由终端主导。 基础设施可以提供信息、建议、快速认证和适度引导，却不能让所有终端按同一门限行动。

6.1 一次漫游通常经历什么

1. 发现与扫描： 终端通过 Beacon、Probe 和邻居报告了解周边 BSS。
2. 决策： 终端依据自己的 RSSI、SNR、丢包、负载、频段偏好与厂商算法选择目标 AP。
3. 认证与密钥处理： 根据 Personal/Enterprise、安全模式和快速切换能力完成认证。
4. 重新关联： 终端向目标 AP 发送 Reassociation Request，网络迁移会话状态。
5. 数据恢复： 保持或重建 VLAN、IP、QoS 和应用会话；跨子网漫游还需要更复杂的移动性设计。

6.2 k、v、r 各做什么

能力	核心作用	不能替代什么
802.11k	提供邻居报告与测量信息，缩小扫描范围	不替终端决定何时漫游
802.11v	通过 BSS Transition Management 等机制向终端建议更合适的 BSS	建议可被终端拒绝；不是强制无损切换
802.11r	Fast BSS Transition，减少切换时重复认证和密钥协商开销	不解决覆盖洞、同信道拥塞或终端粘滞本身

启用 802.11r 前必须做终端兼容测试，部分老旧或特殊 IoT 设备可能无法正确关联。可按厂商能力采用自适应/混合 FT，或为不兼容设备提供独立 WLAN。

6.3 好漫游首先来自好射频

漫游优化的正确顺序是：

• 保证相邻 AP 在目标业务门限处有合理重叠，而不是出现覆盖断层；
• 避免 AP 功率过大，使终端下行"听得见"但上行"喊不回去"；
• 合理关闭极低基础速率，缩小过大的逻辑小区，但变更后必须复测；
• 规划非重叠信道，避免目标 AP 与原 AP 长期争夺同一空口；
• 统一 SSID、认证、VLAN 与 QoS 策略；
• 再启用 k/v/r、负载均衡与终端引导，并用真实语音/视频终端走测。

"把踢下线 RSSI 设得很高"并不是专业漫游优化。阈值过激可能造成频繁切换、乒乓漫游或覆盖边缘完全无法连接；终端能力差异也会让同一阈值产生相反结果。

---

7. 单路由、独立 AP、AC+AP、云管与 Mesh

架构	管理方式	回程	优点	主要限制	常见场景
单台无线路由器	本机网页/应用	本机有线出口	成本低、部署快	覆盖与容量受单点限制	小户型、单间办公室
多台自治 AP	逐台独立管理或组成简单集群	以太网	无需专用控制器	策略、射频和排障难统一	少量 AP、小型场所
AC+瘦 AP	本地/虚拟控制器集中管理	通常以太网；数据可集中或本地转发	策略、射频、漫游、可观测性强	设计、授权、运维成本较高	企业、校园、酒店、医院
云管理 AP	云端管理、编排与遥测；实时关联、射频控制和转发位置依产品架构	以太网为主	多站点统一管理、上线方便	订阅、云依赖与数据治理需评估	连锁门店、分支机构
Mesh 多 AP	主节点/控制器协调，或采用分布式机制	有线或无线回程	少布线、扩展方便	无线回程受干扰与跳数影响	家庭、临时点位、难布线区域

这些类别可以重叠：企业 AP 也能使用 Mesh 无线回程，消费级 Mesh 也可用以太网回程，云管系统也可能包含本地控制器。选型时不要只看名称，要看控制面放在哪里、客户端数据怎么走、回程是什么、失败后还能做什么。

---

8. AC+AP 的设计与部署

这里的 AC 指 Access Controller（接入控制器），不要与 Wi‑Fi 5 的 802.11ac 混淆。所谓"AC+AP"，通常是控制器集中管理轻量/瘦 AP 的架构。

8.1 组件与职责

• AP： 完成射频收发、终端关联与部分 MAC/转发功能；通过 PoE 交换机获得网络和供电。
• AC/WLC： 统一下发 WLAN、安全、射频、漫游、QoS 与升级策略，收集状态和告警。
• PoE 交换机： 为 AP 供电，承载管理网络、CAPWAP 与上联，并按集中/本地转发模式承载所需业务 VLAN 或隧道；需核算单端口功率和整机 PoE 预算。
• 网关/防火墙： 负责跨 VLAN 路由、上网、访问控制、NAT 和安全策略。
• DHCP/DNS/NTP： 提供地址、名称解析和准确时间；证书、日志与认证都依赖正确时间。
• RADIUS/AAA/PKI： 企业身份认证、授权、计费与证书体系。
• 运维平台： 拓扑、日志、射频可视化、告警、抓包与体验分析。

8.2 控制流和数据流不要混为一谈

CAPWAP 定义了 AC 与 WTP/AP 之间的控制通道，并可承载数据通道。AC 侧知名 UDP 端口通常为 5246（控制）和 5247（数据），WTP/AP 侧可选择本地端口；除发现请求/响应外，CAPWAP 控制消息必须使用 DTLS 保护，数据通道是否使用 DTLS 则由策略与实现决定。交换机只是转发这些报文，CAPWAP 的逻辑端点仍是 AP 与 AC。

但实际产品存在多种转发方式：

• 集中转发： 客户端流量封装后回到控制器，再进入业务网络；策略统一，但控制器、隧道路径和上联必须按总流量设计。
• 本地转发： 控制器管理 AP，客户端数据在站点本地进入 VLAN；减少回传与广域网依赖，但本地交换与策略要正确配置。
• 混合/策略转发： 不同 SSID、站点或业务采用不同模式。

因此，"所有 AC+AP 的数据都经过 AC"是错误的；应以厂商架构与当前 WLAN 配置为准。CAPWAP 是开放标准，也不代表任意厂商的 AC 与 AP 能完整互管，实际仍受发现、固件、证书、功能和厂商支持矩阵约束。

8.3 一套标准部署流程

1. 需求建模： 统计区域、并发终端、应用吞吐、实时业务、访客、IoT、安全和可用性目标。
2. 预测设计： 结合平面图、材料、天线、终端能力和法规做初始 AP 点位与信道模型。
3. 现场勘测： 测噪声、邻居、非 Wi‑Fi 干扰与衰减；关键场景做 AP‑on‑a‑stick 实测。
4. 有线准备： 每个 AP 点位部署合规双绞线，规划 PoE、上联速率、VLAN、DHCP、DNS、NTP 和控制器可达性。
5. 控制器基础： 配置高可用、许可、国家/地区码、证书、管理员权限、备份和日志。
6. WLAN 与策略： 控制 SSID 数量，设置 WPA3/802.1X、VLAN、ACL、QoS、客户端隔离与门户。
7. 射频策略： 设置可用信道、信道宽度、功率范围、基础速率和 RRM，避免启用全自动配置后不做验证。
8. 分批上线： 先试点 AP 和代表性终端，再逐区扩展；保留变更窗口与回退方案。
9. 验收： 做覆盖、容量、漫游、认证、故障切换、PoE、上联与业务测试。
10. 持续优化： 根据高利用率、重传、粘滞终端、告警和工单调优，而不是长期只看在线状态。

8.4 高可用与故障边界

• AC 应考虑双机、集群或云服务可用性，并验证控制器失联后 AP 是继续转发、进入受限模式还是重启发现；
• DHCP、RADIUS、DNS、网关与交换核心同样可能成为单点；
• AP 双上联、链路聚合和双 PoE 并非所有型号都支持，且需要交换机和布线配合；
• 备份配置必须实际演练恢复；固件升级应验证 AP/AC/终端兼容矩阵；
• 控制器能优化射频，却不能突破墙体衰减、频谱拥塞和终端低发射功率这些物理边界。

---

9. Mesh 组网的收益与代价

Mesh Wi‑Fi 的核心不是"每个节点都能互相无线连接"这一句宣传，而是多个 AP 节点在统一协调或分布式机制下提供前端接入，并通过有线或无线回程把流量送回网关；例如 802.11s 可采用分布式选路，并不要求中央控制点。

9.1 前端与回程必须分开看

• 前端（fronthaul）： 节点与手机、电脑等终端通信的无线链路。
• 回程（backhaul）： 子节点与主节点/上游网络之间的链路，可以是以太网、专用回程射频/信道/链路，或与前端共享的无线射频。

回程优先级通常是：

以太网有线回程 ＞ 具备充足频谱的专用无线回程 ＞ 与终端共享的无线回程

有线回程无需占用前端空口承载回程；专用回程射频/信道/链路可减少与前端的直接争用，但仍工作在共享免许可频谱中，会受距离、墙体、同频干扰与节点硬件限制；共享无线回程通常部署简便、成本较低，却需要在同一射频上接收再转发。

"每多一跳速度必定减半"是过度简化。若同一半双工信道必须先收后发，单流吞吐确实可能大幅下降；但下降比例取决于专用/共享射频、频段、空间复用、协议效率、并发业务、链路质量和拓扑，不能用固定 50% 代替测试。

9.2 节点怎么摆

子节点必须放在仍能获得良好回程的位置，而不是放在已经完全没有信号的死角。一个实用方法是先在主节点与死角之间寻找回程质量良好的中间点，再用目标业务测试子节点覆盖。

• 避免把节点塞进弱电箱、金属柜、电视背后或落地角落；
• 无线回程尽量减少承重墙和斜穿墙；
• 优先星形或少跳拓扑，避免无必要的串联多跳；
• 重要办公设备、NAS、游戏主机与高清视频终端优先有线接入；Mesh 节点有条件时优先有线回程；
• 观察的是回程协商、重传、延迟和稳定性，不只是前端手机信号格。

9.3 EasyMesh、厂商 Mesh 与 802.11s

• Wi‑Fi CERTIFIED EasyMesh： Wi‑Fi Alliance 的多 AP 互操作认证框架，由控制器协调多个代理节点，可监测并自适应网络。它为跨品牌互操作提供基础，但具体版本、可选功能和厂商支持仍需核实。
• 厂商私有 Mesh： 同一品牌/系列往往有更完整的应用、回程选择和功能联动，但跨品牌通常不保证。
• IEEE 802.11s： 定义网状路径选择与多跳 WLAN 机制，是协议组件，不等于所有标注"Mesh Wi‑Fi"的消费产品。

仅看到"支持 Mesh"不足以判断兼容。应核对认证、固件版本、控制器/代理角色、支持的回程类型、频段组合、VLAN、访客网、漫游和有线回程能力。

9.4 AC+AP 和 Mesh 怎么选

维度	AC+AP（典型企业有线回程）	Mesh（典型家庭无线回程）
首要目标	可管理、可观测、策略一致、容量可扩展	降低布线门槛、快速扩展覆盖
回程	以太网/光纤，容量与时延可预测	可有线也可无线；无线质量决定上限
射频与信道	集中 RRM、专业勘测和细粒度策略	自动化程度高，手工控制通常较少
安全与分段	多 SSID/VLAN、802.1X、RADIUS、ACL 较完整	家庭主网/访客/IoT 为主，能力依产品
漫游	统一策略、k/v/r 与丰富可视化	同一系统内体验通常较好，终端仍主导
可用性	可设计控制器、交换、链路与电源冗余	主节点/回程常是关键故障点
成本与复杂度	前期设计和运维要求更高	入门简单，复杂网络的可控性较弱

决策建议：

• 能布线就优先布线。 家庭也可以使用 Mesh 产品的以太网回程，兼顾易管理与稳定性。
• 企业不应因"Mesh 听起来先进"而放弃有线 AP。 无线 Mesh 更适合临时、室外或确实无法布线的点位。
• 两者不是互斥。 企业 AC+AP 系统可为个别 AP 使用 Mesh 回程；家庭 Mesh 系统也可全部有线化。
• 先决定回程与管理，再决定 Wi‑Fi 代际。 稳定的 Wi‑Fi 6 有线 AP，常优于信号勉强、共享无线回程的 Wi‑Fi 7 节点。

---

10. 射频、信道、容量与布线规划

专业 WLAN 设计要同时回答两个问题：哪里能收到 ，以及高峰期够不够用。只做覆盖会在会议室、教室和宿舍得到"满格却卡"；只算容量又可能留下走廊、卫生间、楼梯和仓库死角。

10.1 从需求到验收的闭环

1. 需求表： 平面图与层高、墙体材料、室内外、终端类型、峰值人数、活跃比例、应用码率、漫游、安全和可用性。
2. 预测设计： 在图纸上建立衰减模型、初始点位、天线方向、信道宽度与容量模型。
3. 现场勘测： 记录邻居 Wi‑Fi、噪声、非 Wi‑Fi 干扰、材料衰减；关键场所用临时 AP 实测。
4. 有线设计： 确定每个 AP 的网线、PoE、交换机、上联、VLAN、网关、控制器和机房电源。
5. 分批部署： 先试点，再逐区上线；验证终端矩阵、安全和漫游。
6. 安装后勘测： 用目标终端验证主覆盖、次覆盖、SNR、信道复用、重传与业务体验。
7. 高峰验收： 空载测速不能代表容量，必须在预期并发和真实应用下测试。
8. 持续运营： 关注趋势、告警、失败阶段和工单，定期复核新增邻居与终端变化。

预测模型只能作为起点，不能替代现场测量；测试网卡也应接近实际终端能力。用高功率 4×4 专业适配器勘测，却让 1×1 扫码枪和低功率手机上线，容易严重高估覆盖。

10.2 覆盖数和容量数分别计算

可用下面的简化方法建立容量初稿：

区域忙时需求 ≈ 活跃终端数 × 每终端忙时平均业务量 × 突发与协议余量
所需射频小区数 ≈ 区域忙时需求 ÷ 单小区在目标终端与目标环境下的验证吞吐

最终 AP 数取覆盖设计与容量设计中更严格的一项。这里的"单小区吞吐"不能直接使用标准理论峰值，应来自同信道宽度、相近终端、相近 SNR 和并发模型的实验或现场数据。

还要区分关联数 与活跃数。数据表写"每个射频支持 256/512 个客户端"，通常是协议与资源上限，不代表这么多终端能同时开会、备份或看视频。

10.3 信道规划

2.4 GHz

• 高密和多 AP 环境通常使用 20 MHz；
• 1/6/11 是常见保守复用方案，但不是全球唯一合法信道组合；
• 同一区域不要让所有 AP 都以最大功率开启 2.4 GHz，可按 IoT 需求关闭部分射频；
• 不要为追求面板数字在拥挤的 2.4 GHz 强开 40 MHz。

5 GHz

• 20 MHz：信道复用与高密容量优先；
• 40 MHz：普通办公的常见折中；
• 80 MHz：低至中等 AP 密度、追求单终端速度；
• 160 MHz：需要足够干净的连续频谱、终端支持和更高 SNR，密集部署要谨慎；
• DFS 信道能扩展可用频谱，但检测到雷达后必须避让，可能经历信道可用性检查和切换。对实时业务和老终端应验证当地 DFS 事件行为与终端兼容性。

6 GHz

• 只在当地法规和设备监管域允许时规划；
• 可用范围决定能否形成 80/160/320 MHz，以及能形成多少个互不重叠信道；
• 不同功率类别及室内外场景的限制不同；部分地区的标准功率设备需要 AFC；
• 中国大陆当前 802.11be 型号核准频段不含 6 GHz，不能采用美版信道表做落地设计。

信道规划必须考虑三维空间。楼板、挑空、电梯井和楼梯会让上下层 AP 彼此听见；只画单层蜂窝图，常造成垂直方向严重同信道竞争。

10.4 功率、天线与点位

• 功率不是越大越好。 过大功率扩大竞争域、增加粘滞终端，并造成 AP 下行可达而终端上行无力的非对称链路。
• 以终端为基准。 设计时考虑最弱或最常见终端的发射功率与天线，不要让企业 AP 的大功率掩盖上行问题。
• 多频小区要匹配。 2.4 GHz 传播更远，常需把其功率设置得低于 5 GHz，避免终端长期停留在 2.4 GHz。
• 全向吸顶 AP 适合水平覆盖。 墙装、仓库高顶、走廊、室外和高密场馆可能更适合定向天线；必须按天线方向图设计。
• 远离遮挡。 不要把 AP 放进金属弱电箱、吊顶风管旁、承重梁后、电视柜或贴近大面积金属/水体的位置。
• 自动 RRM 不是免勘测按钮。 它能动态调信道和功率，却不能修复错误点位、覆盖洞或不足的回程。

10.5 PoE、网线与上联不能成为暗瓶颈

PoE 标准	PSE 端最大输出	PD 端标准可用功率	供电线对
IEEE 802.3af / Type 1	15.4 W	12.95 W	2 对
IEEE 802.3at / Type 2	30 W	25.5 W	2 对
IEEE 802.3bt / Type 3	60 W	51 W	4 对
IEEE 802.3bt / Type 4	90 W	约 71 W	4 对

表中 Type 3 的 60 W 上限对应四对供电；较低功率的部分 Type 3 等级可采用两对，仍应按具体 AP 的 Class、PSE 能力和线缆条件核对。

"90 W PoE++"通常是交换机 PSE 端上限，不是 AP 端能拿到 90 W。还要核对：

• 单端口支持的 Type/Class 与 AP 满功能功耗；
• 交换机整机 PoE 预算，而不是只看端口数量；
• LLDP/功率协商、线缆长度、线径、接头、束线温升；
• 低功率模式会否关闭 6 GHz/第二 5 GHz、减少空间流、限制 USB 或降低端口速率；
• 交换机、AC、网关和光模块是否接入 UPS；
• AP 是否需要 2.5/5/10GbE，上游交换与服务器能否配合。

Wi‑Fi 6/7 AP 在多终端聚合时可能突破 1GbE 上联，但这不表示每个 AP 都必须配 10GbE。应根据射频数量、空间流、信道宽度、并发模型和本地业务实测结果选择 1/2.5/5/10GbE。布线阶段预留合格六类或六类增强线缆，通常比后期返工更划算。

10.6 SSID、VLAN 与策略分段

一个可维护的企业基础模型是：

• 设备管理区： AP、交换机、控制器和运维平台使用独立管理 VLAN/OOB；只允许专用管理工作站、跳板机及明确授权的控制器、监控和运维服务，经防火墙/NAC 与强认证访问；
• 员工区： WPA3‑Enterprise（802.1X/EAP，优先 EAP‑TLS），通过 RADIUS/证书识别用户或设备；
• 访客区： 独立 VLAN、只出互联网、限制内网和管理面；客户端隔离要验证同 AP、跨 AP 以及同 VLAN 有线终端之间的实际执行范围；
• IoT 区： 独立 SSID/VLAN，最小权限访问指定服务器、DNS、NTP 和更新服务；
• 关键业务区： 按合规要求采用更严格的身份认证、ACL、审计与冗余。

VLAN 只是二层逻辑分段，不是防火墙。跨 VLAN 是否可访问，仍由三层 ACL、防火墙、身份策略和微分段决定；同 VLAN 内还可能需要无线客户端隔离，而隔离能力会受厂商和转发模式影响，不能替代网关 ACL/防火墙。

AP 上联是否配置 Trunk 取决于数据转发模式：自治 AP 或本地桥接通常要承载多个客户端 VLAN；集中 CAPWAP 转发时，客户端 VLAN 可能在控制器侧终止，AP 端不一定需要放行所有业务 VLAN。不要机械套用"所有 AP 口都必须 Trunk"或"所有 AP 口都必须 Access"。

SSID 也不是越多越好。增加 BSSID 通常会增加 Beacon、Probe Response 等管理开销；Multiple BSSID/EMA 等机制可降低部分重复开销，但不能把成本视为零。可用 802.1X/RADIUS 动态 VLAN、角色和 ACL 减少"一部门一 SSID"。具体上限取决于 Beacon 间隔、基础速率、频段、终端与厂商实现，工程目标应是在满足业务的前提下尽量少且一致。

10.7 建议的验收维度

维度	要验证什么	方法示例
覆盖	RSSI、SNR、上下行对称、主/次覆盖	安装后走测、目标终端采样
容量	忙时活跃用户、空口利用率、吞吐与延迟	并发业务压测、本地服务器测试
射频	同/邻信道竞争、非 Wi‑Fi 干扰、DFS、重传	频谱分析、控制器统计、抓包
漫游	切换时延、丢包、会话连续、粘滞/乒乓	语音或视频走测、漫游日志
安全	AKM、密码套件、PMF、证书、隔离	终端矩阵、RADIUS/抓包、越权测试
有线	AP 上联、PoE、VLAN、DHCP/DNS、网关	交换机计数器、断电/断链演练
运维	告警、备份、升级、回退、HA	故障注入、恢复演练、日志核对

---

11. 安全：从 WEP 到 WPA3

无线安全要分成四件事：**谁能接入、怎样建立密钥、数据用什么密码套件保护、管理帧是否受保护。**把它们都叫"加密方式"，会导致错误配置。

11.1 安全方案对比

方案	认证/密钥机制	数据保护	当前建议
Open	无	无（无线链路不加密）	不用于可信业务；公共网优先 OWE
WEP	静态共享密钥	RC4，短 IV 等结构性缺陷	禁止使用
WPA	PSK 或 802.1X	典型为 TKIP/RC4	过渡技术，禁止使用
WPA2‑Personal	共享 PSK，四次握手派生会话密钥	优先 CCMP‑128（常简称 AES）	老终端兼容下限；禁用 TKIP，使用长随机口令
WPA2‑Enterprise	802.1X/EAP + RADIUS	通常 CCMP‑128	旧企业终端迁移基线；严格验证服务器证书
WPA3‑Personal	SAE 密码认证密钥交换	CCMP/GCMP 等合规套件	现代家庭与小微网络首选
WPA3‑Enterprise	802.1X/EAP + RADIUS；可选 192 位安全模式	由配置的合规套件决定	受管企业网络首选，优先 EAP‑TLS
Enhanced Open	OWE，无用户口令和身份认证	每个连接独立加密	公共访客网优于传统 Open，但不能证明 AP 身份

WPA3‑Personal 的 SAE 是认证与密钥建立机制，不是"AES‑256 的别名"。它能显著提高离线字典攻击难度并提供前向保密，但弱密码仍可能遭受在线猜测、泄露或社会工程，因此仍应使用长、随机、唯一口令。

WPA2‑Personal 的"共享密码"也不等于所有单播帧永远使用同一把静态密钥；四次握手会为连接派生会话密钥。它的主要管理缺陷是共享凭据难以对单个用户撤销，泄露影响整个 SSID，并面临离线猜测风险。

11.2 Personal 与 Enterprise 的差别

• Personal： 部署简单，适合家庭和小型网络；共享口令的分发、撤销和审计能力有限。
• **Enterprise：**802.1X/EAP 让用户或设备拥有独立身份，RADIUS/AAA 可做认证、授权、计费与审计，并可单独禁用账号或吊销证书。
• EAP‑TLS： 通过服务器证书与客户端证书实现强双向身份认证，是企业优先方案；终端仍必须验证服务器证书链、服务器名、用途和信任根，同时还要管理客户端证书的签发、续期、吊销、时间同步与私钥保护。
• **服务器证书验证：**PEAP、EAP‑TTLS 等隧道式 EAP 同样必须校验 RADIUS 服务器证书链、服务器名、用途和信任根，否则终端可能向伪造网络泄露凭据。
• 192 位安全模式： 是 WPA3‑Enterprise 的可选高保障密码强度组合，不等于所有 WPA3‑Enterprise 都是 192 位，也不等于单独使用"AES‑192"。

Enterprise 的核心优势是身份、凭据和策略管理，不是天然让无线速度更快；它也不保证数据密码套件一定比正确配置的 Personal 更强。

11.3 PMF、OWE 分别保护什么

PMF（802.11w） 为已关联会话中的一部分健壮管理帧提供来源认证、完整性和重放保护，重点包括解除认证、解除关联和部分 Action 帧。它能降低常见伪造 deauth/disassociation 攻击，却不保护所有管理帧，不能阻止射频堵塞、所有拒绝服务攻击或所有恶意双胞胎。

• PMF Optional/Capable：支持的终端可协商保护，不支持的终端仍能连接且没有该保护；
• PMF Required：不支持 PMF 的终端不能连接；
• WPA3‑only 与 Enhanced Open（OWE）网络要求 PMF Required；6 GHz BSS 也要求 PMF；
• WPA2/WPA3 Transition 中，WPA3/SAE 连接必须协商 PMF；为了允许旧 WPA2/非 PMF 终端加入，BSS 通常仍以 PMF Capable/Optional 发布，因此旧终端并没有获得同等管理帧保护。

OWE（Enhanced Open） 在不要求密码和用户认证的情况下，为每个终端到 AP 的无线链路建立独立加密，主要防止附近人员被动嗅探。它不验证 AP 或运营者身份，不单独阻止恶意双胞胎或主动式中间人攻击，也不替代 HTTPS 或 VPN。Captive Portal 登录页更不等于无线链路已经加密。

11.4 6 GHz 的安全边界

6 GHz BSS 允许的基线包括 WPA3‑Personal（SAE，6 GHz 使用 H2E）、WPA3‑Enterprise 或 OWE，并要求 PMF。传统 Open、WEP、WPA/TKIP、WPA2 不能作为 6 GHz 的旧式兼容模式；该频段不允许 WPA2/WPA3 Personal 或 Enterprise Transition 回退到 WPA2，也不允许 Enhanced Open Transition Mode。

多频同 SSID 时，系统可在 2.4/5 GHz 为迁移中的旧终端提供合规过渡能力，而 6 GHz BSS 必须只发布 WPA3‑only 或 OWE 等满足新要求的安全组合。Portal 可以叠加在 OWE 之上做准入/条款确认，但 Portal 本身不提供无线链路加密。不能写成"旧 WPA2 手机通过同一 SSID 回退连接 6 GHz"。

Wi‑Fi 7/EHT/MLO 的完整认证能力还会涉及更严格的 AKM、密码套件、Beacon Protection 等要求；设备在普通 WPA2 SSID 上能够关联，不表示可以启用全部 802.11be 数据率和 MLO 能力，应以当前认证版本、固件与终端实现为准。

11.5 推荐迁移路径

1. 盘点终端对 WPA3、SAE/H2E、PMF、OWE、802.1X 与证书的支持；
2. 清除 WEP、WPA、TKIP、WPS PIN，更新 AP 固件与终端驱动；
3. 旧终端暂时保留 WPA2‑CCMP/AES，不让它们迫使主 SSID 降级；
4. 小范围试点 WPA2/WPA3 Transition，记录实际协商 AKM 与 PMF；
5. 不兼容 IoT 进入独立 WPA2‑CCMP SSID/VLAN，启用客户端隔离与最小防火墙策略；
6. 主网切换 WPA3‑only、PMF Required；企业网优先 WPA3‑Enterprise + EAP‑TLS；
7. 访客网支持时优先 OWE；必须在 2.4/5 GHz 保留 Open 时，明确链路未加密，并使用独立 VLAN、隔离和严格出口策略；
8. Transition Mode 只作为迁移工具，不作为永久终态。当全网同名 SSID 的安全配置已保持一致，且终端支持该机制时，可评估启用 Transition Disable 以防止后续降级；若其他地点仍为 WPA2‑only，支持该机制的终端可能无法连接；
9. 在口令泄露、人员离场、授权变化或风险触发时轮换共享口令；证书按生命周期续期/吊销；持续升级固件、关闭互联网侧管理，并监测异常 AP 与认证失败。

11.6 无效或不足的"安全感"

• 隐藏 SSID 仍可从其他管理帧与终端主动探测中发现，不是安全控制；
• MAC 地址可被监听和伪造，白名单只能作为辅助资产管理；
• VLAN 不等于防火墙；
• 门户页不等于链路加密；
• 即使密码复杂，只要多人共享且无法在成员离场或泄露后及时撤销，仍无法做到独立撤销和审计；
• 只买"支持 WPA3"的设备，却长期运行 WPA2/WPA3 混合模式，不能获得完整迁移收益。

---

12. 验收与排障方法

排障的第一原则是分层、对照、复现。先回答"影响谁、在哪里、从何时开始"，再改变配置；一次同时改信道、功率、安全和 DHCP，只会丢失因果关系。

12.1 标准排障顺序

1. 界定范围： 单终端/全部终端、单 AP/全站点、单频段/全部频段、固定地点/移动、持续/间歇。
2. 建立有线基线： 同一网关和服务器先测有线；若有线也慢，先排 WAN、服务器和网关。
3. 分离 WLAN 与互联网： 用局域网有线服务器做 iPerf3，再做互联网测速；前者测 WLAN/局域网，后者还包含运营商和远端。
4. **记录实际协商：**AP/BSSID、频段、信道、宽度、协议、NSS、MCS、GI、PHY 速率、AKM、密码套件、PMF。
5. 检查双向射频： 同时看终端接收 AP 与 AP 接收终端的 RSSI/SNR，识别上行弱、隐藏节点和非对称功率。
6. 看空口效率： 信道利用率、重传、错误、竞争、邻居与非 Wi‑Fi 干扰；满格也可能因空口忙而很慢。
7. 拆连接阶段： 扫描发现 → 802.11/SAE 认证 → 关联 → 四次握手或 EAP → DHCP → DNS → 应用。
8. 检查有线侧： AP 上联速率/双工、丢包、PoE、VLAN、DHCP Relay、网关、MTU、控制器/隧道。
9. 复现并抓证据： 固定终端、位置、时间和流量模型，保存终端日志、控制器日志、交换机计数器与无线抓包。
10. 一次只改一项： 变更后用相同方法复测，记录结果并决定保留或回退。

12.2 三个速度数字要同时看

指标	表示什么	常见误用
PHY/连接速率	当前无线调制、宽度、空间流等条件下的物理层速率	当成真实下载速度；忽略它会动态变化且上下行可不同
局域网有效吞吐	无线客户端到本地有线服务器的应用层速率	测试服务器或交换链路本身不足，却归咎于 Wi‑Fi
互联网吞吐	WLAN、网关、宽带、运营商与远端共同结果	仅凭一次公网测速判断 AP 射频性能

一个基本 iPerf3 测试可这样做：

# 有线服务器
iperf3 -s

# 无线终端测试上行，持续 30 秒、4 条并行流
iperf3 -c <服务器地址> -t 30 -P 4

# 无线终端测试下行
iperf3 -c <服务器地址> -t 30 -P 4 -R

测试前确认服务器有线端口、CPU 和磁盘不是瓶颈；吞吐测试尽量使用本地服务器、固定位置、固定信道并记录背景流量。UDP 用于丢包/抖动验证时要逐步加压，不能一开始就用远超链路能力的发送率制造假故障。

12.3 常用指标如何解释

SNR(dB) = RSSI(dBm) − 噪声底(dBm)

应用有效吞吐(Mb/s)
= 有效载荷字节数 × 8 ÷ 测量秒数 ÷ 1,000,000

丢包率
= (发送包数 − 接收包数) ÷ 发送包数 × 100%

• RSSI： 只说明接收强度，负值越接近 0 通常越强；不同芯片的报告会有偏差。
• SNR： 比只看 RSSI 更有意义；应尽量在同一接收端、同一信道、相近时间读取 RSSI 与噪声。
• 信道利用率： 近似为空口被 CCA 判断为忙的时间比例，可能包含本 AP、邻居 Wi‑Fi 和达到门限的非 Wi‑Fi 能量，不等于本 AP 流量或 CPU 使用率。
• 重传： 高重传提示干扰、碰撞、隐藏节点、弱信号或驱动问题；不同厂商的计数器分母不同，不能直接横向比较。
• MCS/NSS/宽度： 连续下降能帮助识别链路退化；单次截图不如时间序列。

−67 dBm、SNR 25 dB、利用率 50%、重传 20% 等数值常见于特定企业语音设计/验证指南，只能作为场景化参考，不能宣布为所有 Wi‑Fi 的统一合格线。普通数据、定位、工业与 IoT 的门限不同，最终以应用服务水平为准。

12.4 症状到方向的快速映射

症状	优先检查
信号强但吞吐低	同信道利用率、重传、终端 NSS/宽度、AP 上联、背景流量
只有一台设备慢	网卡驱动、省电、频段偏好、天线、VPN/安全软件、终端 CPU
高峰期慢、夜间快	容量、同信道竞争、SSID/管理开销、邻居网络和上联汇聚
靠近 AP 仍只有 54 Mb/s	是否回落旧协议、使用 WEP/TKIP、信道宽度或驱动受限
获得 Wi‑Fi 图标却上不了网	DHCP、网关、DNS、VLAN、门户、ACL，不先改射频
漫游时断语音	覆盖重叠、终端决策、k/v/r、认证时延、VLAN/IP 连续性
WPA3 无法连接	驱动、SAE/H2E、PMF、Transition、旧网络缓存、时间与固件
6 GHz 看不到或连不上	地区法规、型号监管域、6E/7 网卡、OS/驱动、安全与 PMF
Mesh 子节点信号满但慢	回程频段、回程 SNR/重传、跳数、共享空口、父节点负载
AP 随机重启/功能缺失	PoE 协商、整机预算、线缆、温度、固件、低功率模式

12.5 终端侧快速取证

• Windows 可用 netsh wlan show interfaces 查看 BSSID、信道、协议与收发速率，并用 netsh wlan show wlanreport 生成连接报告；
• Linux 常用 iw dev <接口> link 查看当前链路，配合 NetworkManager 日志；
• macOS 可使用系统"无线诊断"查看扫描、日志与基础射频信息；
• 企业环境应同时导出 AC/AP 客户端详情、认证阶段、RADIUS 日志和交换机端口计数器。

命令和字段会随系统版本、驱动与语言变化，文章中的命令用于定位思路，不替代当前系统文档。

---

13. 典型场景方案与采购清单

13.1 场景建议

小户型或单间办公室

• 一台位置居中的双频/三频路由器通常足够；
• 优先把设备放在开阔、略高且靠近主要使用区的位置，而不是弱电箱；
• 5 GHz 作为主力，2.4 GHz 服务 IoT；
• 先解决摆位和信道，再考虑新增节点。

大平层

• 装修期优先预留多个有线候选点位；实际启用数量按面积、墙体材料、终端容量与现场勘测决定；
• 可选有线 Mesh 或小型集中管理 AP；
• 使用同一 SSID/安全策略，按勘测分配 5 GHz 信道；
• 不要用多个路由器层层 NAT，子设备应运行 AP/桥接模式或统一 Mesh 模式。

复式、别墅和多层住宅

• 各层预留有线候选点位并考虑楼板的三维干扰；最终 AP 数量和启用位置由覆盖、容量与现场勘测决定；
• 核心工作区、影音室和 NAS 使用有线；
• 无法布线处再采用专用无线回程，减少串联跳数；
• 主节点、交换机、光猫与关键 AP 接 UPS。

小型办公室、门店

• 采用云管、嵌入式控制器或小型 AC+AP；
• 员工、访客、IoT 分区，访客只出互联网；
• 核算 PoE 预算、2.5GbE 上联和订阅许可；
• 预先验证收银、打印机、扫码枪、摄像头和语音终端。

企业、学校、酒店、医院

• 需求建模 + 预测设计 + 现场勘测 + 安装后验证；
• 控制器/云管理、RADIUS/PKI、动态策略、日志与高可用；
• 高密区域按容量选择 20/40 MHz，并对小区和功率做三维规划；
• 关键业务做漫游、并发、故障切换和安全验收；
• 无线 Mesh 只用于确实难以布线的补充点位。

13.2 Wi‑Fi 6 还是 Wi‑Fi 7

选择 Wi‑Fi 7 的合理理由包括：终端已逐步支持 802.11be/MLO、需要多千兆局域网、对低时延/可靠性有明确需求、设备更新周期长，或希望利用 MRU/打孔等效率能力。选择成熟 Wi‑Fi 6 仍然合理的场景包括：终端主要是 Wi‑Fi 5/6、宽带与有线回程不超过千兆、预算敏感，或需要经过充分验证的兼容性。

在中国大陆，不能把 Wi‑Fi 7 的购买价值简单等同于 6 GHz/320 MHz；现行型号核准频段不包含 6 GHz。应看设备在本地允许频段上的 MLO 组合、射频数量、空间流、打孔/MRU 实现、有线端口、CPU、固件和认证，而不是照搬海外评测。

Wi‑Fi 6E 只有在当地允许 6 GHz、AP 与终端都支持 6E 时才体现频谱价值。没有 6E 终端、没有合规 6 GHz 或回程不足，升级三频设备不会自动改善体验。

13.3 采购前逐项核对

无线能力

• 各频段分别支持什么协议，而不是只看整机 AX/BE 总数；
• 每个射频的 Tx×Rx:SS、最大宽度、调制与同时工作模式；
• Wi‑Fi 7 的 MLO 类型、可并发链路、MRU/打孔和固件状态；
• 目标国家/地区的监管域、型号核准与可用信道；
• WPA3、PMF、OWE、802.1X、k/v/r 与目标终端兼容性。

有线与供电

• WAN/LAN 是否为 1/2.5/5/10GbE，端口能否同时工作在所需速率；
• AP 上联和交换机汇聚是否会过订阅；
• PoE 标准、单端口 Class、整机预算与低功率降级行为；
• 网线等级、长度、模块、散热、安装支架和 UPS。

管理与生命周期

• 本地、嵌入式、AC 或云管模式；离线行为和数据路径；
• 最大 AP/客户端是硬上限还是推荐设计值；
• 许可/订阅、保修、固件周期、漏洞响应、配置备份与 API；
• AC/AP/交换机/网关的版本兼容矩阵和高可用方案；
• EasyMesh 是否真实认证、Controller/Agent 角色、版本与跨品牌功能边界。

13.4 最容易产生收益的升级顺序

1. 调整 AP/路由器位置，清理错误级联与双重 NAT；
2. 给固定设备布置有线接入，并为 AP/Mesh 节点布置有线回程；
3. 优化信道宽度、信道和功率；
4. 更新终端驱动、淘汰 WEP/WPA/TKIP，分离问题 IoT；
5. 补充合理数量的 AP 并统一管理；
6. 升级交换机 PoE 与多千兆上联；
7. 最后再为明确的终端和业务升级 Wi‑Fi 代际。

很多网络的最大提升来自点位、回程和配置，而不是把"6"换成"7"。

---

14. 术语速查与权威资料

14.1 术语速查

缩写	中文解释
PHY	物理层，负责调制、编码、信道与射频传输
MAC	介质访问控制层，负责帧、竞争、确认、关联等
MCS	调制与编码方案索引，综合调制阶数和编码率
NSS	空间流数量；单链路取 AP 与终端共同能力
OFDM	正交频分复用，把信道分成多个正交子载波
OFDMA	正交频分多址，把资源单元分配给多个用户
MIMO	多输入多输出，利用多天线进行空间复用/分集
MU‑MIMO	多用户 MIMO，在空间域同时服务多个终端
RU/MRU	资源单元/多资源单元，OFDMA 调度的频率资源块
MLO	多链路操作，Wi‑Fi 7 的多链路协调机制
DFS	动态频率选择，检测雷达并避让相关 5 GHz 信道
AFC	自动频率协调，部分地区 6 GHz 标准功率设备的协调机制
RRM	无线资源管理，动态调整信道、功率等
PMF	受保护管理帧，对部分健壮管理帧提供保护
SAE	WPA3‑Personal 使用的密码认证密钥交换
OWE	机会性无线加密，无口令但提供逐连接链路加密
802.1X	基于端口的网络访问控制框架，常配合 EAP/RADIUS
CAPWAP	AC 与无线终止点（WTP/AP）之间的控制和可选数据隧道协议
Fronthaul	Mesh 节点到无线终端的前端接入链路
Backhaul	AP/Mesh 节点到上游网络的回程链路

14.2 一页结论

1. Wi‑Fi 只是端到端网络的一段，排障必须先把 WLAN、LAN、WAN 和应用分开。
2. Wi‑Fi 4/5/6/6E/7 分别对应 n/ac/ax/ax‑6GHz/be；6E 不是新的 IEEE PHY 代际。
3. 最终 Wi‑Fi 7 单链路上限是 8 空间流、约 23.06 Gb/s；不是早期资料的 16 流、46 Gb/s。
4. Wi‑Fi 7 的关键价值是 MLO、MRU、打孔和效率改进，不只是 320 MHz；320 MHz 依赖当地 6 GHz 监管。
5. 中国大陆当前 802.11be 型号核准频段不含 6 GHz，不能照搬海外 6 GHz/320 MHz 参数。
6. Wi‑Fi 是共享半双工介质；低速终端不会锁死所有速率，却会通过空口时间和保护机制影响总容量。
7. 漫游通常由终端主导；k/v/r 分别辅助发现、建议迁移与缩短认证，不替代好射频。
8. AC+AP 描述集中控制，Mesh 描述多 AP 拓扑/回程；两者可以组合，有线回程通常最可靠。
9. 安全优先 WPA3；旧设备最低保留 WPA2‑CCMP/AES，禁止 WEP/WPA/TKIP，并用独立 VLAN/策略隔离。
10. 最好的网络来自需求、勘测、布线、配置、终端验证和持续运营，而不是最高的包装盒数字。

---

结语： 好 Wi‑Fi 的本质不是"更强的路由器"，而是让频谱、终端、回程、安全与业务形成可验证的系统。先把问题分层，再用数据做设计；先保证回程与空口效率，再追求峰值。这套方法比任何代际口号都更耐用。