开源 hostapd：路由器 Wi‑Fi 热点背后的守护进程

家里路由一开，手机就能搜到 SSID、输密码、连上网。页面上改个信道、开个访客网络，好像只是点了几下。可对做网关、刷 OpenWrt、啃 Wi‑Fi 驱动的人来说，真正在底层管着"谁能连、用什么加密、Beacon 怎么发"的，常常是用户态里一个不显眼的进程：hostapd。

hostapd （host access point daemon）是开源的 IEEE 802.11 接入点（AP）与认证相关用户态守护进程 。它管 AP 侧管理：SSID、信道/频宽策略、WPA2/WPA3、802.1X/EAP、RADIUS 客户端等，并和 Linux 的 cfg80211 / mac80211 驱动栈对话。家用路由、随身 Wi‑Fi、软 AP，很多「热点」能力最后都会落到它（或同一家族里的 wpad 合体包）身上。

截至 2026 年 8 月，hostapd 的最新版本是 2.12，它和同仓库的 wpa_supplicant 一起发布（以 w1.fi 发布页为准）。

项目页：https://w1.fi/hostapd/
发布包：https://w1.fi/releases/
邮件列表 / 开发：hostap 相关列表与 git
许可：以发布包 LICENSE 为准（常见为 BSD 风格许可，产品使用请自行核对）

一、它到底是什么

名字可以拆开读：host 这边当 AP（热点），apd 是 access point daemon。官网定位很清楚：用户态守护进程，实现 802.11 AP 管理，以及 802.1X / WPA / WPA2 / WPA3 / EAP、RADIUS 客户端等认证相关能力。

和它成对出现、最容易搞混的是 wpa_supplicant：

	hostapd	wpa_supplicant
角色	AP / 认证端（热点侧）	STA / 申请端（手机、笔记本连热点）
典型场景	路由器开 Wi‑Fi、软 AP	电脑连公司 Wi‑Fi、嵌入式设备当客户端
配置	`hostapd.conf`	`wpa_supplicant.conf`
同源	常与 wpa_supplicant 同属 hostap 项目家族	同左

OpenWrt 里你还会看到 wpad ：把 hostapd / wpa_supplicant 能力打成可选合体包，省 Flash。概念上仍是「AP 侧用 hostapd 那套，STA 侧用 supplicant 那套」。

你在页面上看到的	底下常常对应
SSID 名称、是否隐藏	hostapd 里的 SSID / ignore_broadcast_ssid 等
密码、加密方式	wpa=、rsn、sae 等安全配置
信道、频宽	channel、ht_capab / vht / he 等相关项（还受驱动与监管域约束）
访客网络 / 多 SSID	多 BSS、多 interface 配置
企业级 802.1X	EAP + RADIUS 相关配置

hostapd 不是 Wi‑Fi 芯片驱动，也不是负责给手机发 IP 的 DHCP。驱动负责射频与帧收发；dnsmasq / odhcpd 一类负责地址；hostapd 站在中间偏「AP 控制面」：让这块无线口像一个合规的热点那样被扫描、关联、四次握手。

二、三个常见误解

≠ 装了 hostapd，任意网卡都能当完美路由 AP。

要驱动走 mac80211 + nl80211 这类现代路径，并且芯片/固件支持 AP 模式。有些 USB 网卡只适合 STA，软 AP 一开就怪；有些要特定固件才稳。hostapd 再强，也抬不动一块「根本不会当 AP」的卡。

≠ 改 conf 里的信道，就一定等于监管域允许、驱动真的切过去了。

信道、功率、DFS、带宽还受 regulatory domain 、驱动能力、国家码影响。配置写了 channel=36，不代表所有地区、所有芯片都能开。量产路由上这通常由整机 Wi‑Fi 管理组件和校准数据一起约束。

≠ hostapd 包办「上网」。

关联成功只说明无线链路和密钥协商过了。要上网，还得有桥接/路由、NAT、DNS、DHCP、防火墙。手机「连上了却没网」，很多时候 hostapd 日志是成功的，锅在三层或上游 WAN。

三、架构：用户态 AP，落在 mac80211 上面

从上往下分层

层	干什么
hostapd.conf / 管理界面	SSID、加密、信道策略、多 BSS......
hostapd 进程	AP 状态机、Beacon/管理帧策略、WPA 握手、802.1X
nl80211	用户态与内核无线配置的净接口
cfg80211 / mac80211	Linux 通用 802.11 栈
厂商 Wi‑Fi 驱动 + 固件	真正打射频、调度硬件队列

调试时常见分工：

hostapd 日志：关联失败、密码错误、SAE/WPA 握手失败、接口起不来
内核 / 驱动日志：firmware crash、DFS 雷达、校准、硬件错误
tcpdump / 空气抓包：Beacon、Assoc、EAPOL 是否按预期出现

对家用路由开发者，hostapd 往往不是「单独装来玩」的玩具，而是 整机 Wi‑Fi 服务里被拉起的一块：上层 Web/ubus/uci 改参数，落成 conf 或通过控制接口热更新，再 reload。

四、它常出现在哪些产品里

形态	说明
家用路由器 / Mesh 主节点	2.4G / 5G / 6G 多射频，多 SSID，访客网
OpenWrt / 软路由	wpad / hostapd 包，和网桥、防火墙一起组网
随身 Wi‑Fi / 热点共享	蜂窝上行 + WLAN AP
开发板软 AP	树莓派等用 USB/板载 Wi‑Fi 开热点做实验
企业 / 校园认证场景	802.1X + RADIUS（复杂度明显高于家用 PSK）

Wi‑Fi 6 / 7 时代，能力更多落在驱动与芯片；hostapd 仍负责把 安全套件、BSS 参数、多 SSID 等 AP 侧策略配齐。新特性是否可用，要看你手里的 hostapd 版本和驱动支持，缺一不可。

五、谁适合关注、谁可以先放一放

值得认真看的：

做 家用路由 / OpenWrt / 网关 Wi‑Fi，要查连不上、加密、多 SSID
需要区分 AP 问题还是 DHCP/NAT 问题
想理解 WPA2/WPA3、802.1X 在设备上落在哪一层
写驱动或系统集成时，要和用户态 AP 守护进程对齐接口

可以暂时不深挖的：

只做纯 STA 模组、从不做热点
只关心应用层 HTTP，不碰无线关联
完全闭源、厂商私有 Wi‑Fi 用户态栈（有的产品不用 hostapd，而用芯片厂定制 daemon）

六、怎么动手

先分清角色

设备是 AP 还是 STA？AP 看 hostapd；STA 看 wpa_supplicant。别拿手机连路由器的日志，去一台客户端设备的 conf 里找答案。
在 OpenWrt 或发行版上找到进程与配置

看是否有 hostapd / wpad 进程，配置落在哪（发行版路径不一）。家用路由常是整机框架生成 conf，而不是手写一份永久文件了事。
做一个最小可复现

单射频、单 SSID、WPA2-PSK，能被手机搜到并关联。先别上企业 802.1X 和花式多 BSS。
连不上时按层排查

扫得到吗 → 关联成功吗 → 四次握手过吗 → 拿到 IP 了吗 → 能 ping 网关吗。hostapd 主要覆盖到握手前后；IP 与上网要往后查。
再碰 WPA3 / Wi‑Fi 6 特性

新加密与新 PHY 能力，对 hostapd 版本、驱动、终端都敏感。一次只开一个变量，日志比较好读。

七、和相关组件怎么并列理解

组件	说明
hostapd	AP 侧用户态：热点与认证策略
wpa_supplicant	STA 侧用户态：去连别人的热点
mac80211	内核里的通用 802.11 框架
厂商 Wi‑Fi 驱动	芯片相关实现与固件接口
dnsmasq / odhcpd	局域网地址与 DNS，不负责关联
网桥 / netifd / 防火墙	把「连上无线」变成「能访问网络」

把它放进你熟悉的 OpenWrt 故事里：LuCI 改 Wi‑Fi → 生成配置 → hostapd/wpad 生效 → 手机关联 → DHCP 发地址 → 防火墙放行。少了 hostapd 这一环，SSID 往往根本不会按你想的方式出现在空中。

八、优缺点

优点

开源、久经考验，Linux AP 生态事实标准之一
与 mac80211/nl80211 路径清晰，文档与社区案例多
覆盖从家用 PSK 到 802.1X/RADIUS 的认证谱系
和 OpenWrt、发行版、嵌入式网关集成成熟

缺点

能力上限 heavily 依赖驱动与芯片，不是「装上就无敌」
配置项多，WPA3、MLO、多射频场景学习曲线陡
日志要结合内核/驱动一起看，单看 conf 容易误判
部分闭源方案不用它，对照产品时要对准具体用户态栈

九、写在最后

下次手机「连不上家里 Wi‑Fi」时，不妨多问一句：是空中接口和密钥协商没过，还是早就关联成功，只是没拿到能上网的地址？

hostapd 管的是前半句里偏 AP 的那一截：让路由的无线口成为可扫描、可关联、可加密的热点。对做家用路由和 OpenWrt 的人，它不是可选插件，而是 Wi‑Fi 人设背后的开源守护进程 。