无线网络：WiFi 标准、WPA3 与漫游

这一课你将能做到

1. 说出 2.4G/5G/6G 频段的取舍和常用 WiFi 标准的速率逻辑
2. 配置 WPA3-Personal / Enterprise 的 AP，并解释加密套件差别
3. 用「信号—干扰—容量」三要素诊断公司 Wi-Fi 慢的问题

为什么要学

Wi-Fi 是终端接入的第一公里，也是「网慢」投诉的最大来源。网工的无线功课：选 AP 位置、控信道功率、配认证与漫游。对后端，理解无线的不稳定，才能设计出对弱网友好的应用（重试、压缩、降级）。无线还有个特点：看不见摸不着，所有结论都要靠扫描和实测数据说话——这一课刻意让你每一步先跑命令再下判断。

先建立图像

2.4GHz: 3 个不重叠信道(1/6/11)，穿透强、速率低、拥挤(蓝牙/微波炉都在抢)
5GHz:   信道多、速率高、穿透弱，办公主力
6GHz(WiFi 6E/7): 干净、无旧设备拖累，但物理穿透更弱

        [AP]
       /  |  \
   手机  笔记本  IoT     ← 同一 AP 下终端先竞争空口（CSMA/CA：先听后说）
      \   |   /
      [AC 无线控制器]       ← 企业级：几十上百个 AP 统一配置
            │
        [核心交换]──[DHCP]──[RADIUS 认证服务器]

跟着做

步骤 1：扫描你周围的无线环境

nmcli dev wifi list       # SSID / 信道 / 信号强度 / 安全类型
sudo iw dev wlan0 scan | grep -E 'SSID|freq|signal'   # 更全的扫描

macOS：按住 Option 点 Wi-Fi 图标看信道与 RSSI；Windows：netsh wlan show networks mode=bssid。信号参考：优于 -60dBm 优秀，-70 一般，低于 -75 差。把扫描结果截图存档，这就是你的第一份无线勘测报告。

步骤 2：看本机连接质量

iw dev wlan0 link         # 当前信号、协商速率
iw dev wlan0 station dump

步骤 3：用树莓派 / 笔记本做一个 AP（理解认证）

hostapd 配置片段（WPA3-Personal）：

interface=wlan0
ssid=lab-ap
wpa_key_mgmt=SAE          # WPA3 的密钥管理；WPA2 对应 WPA-PSK
rsn_pairwise=CCMP         # AES-CCMP 加密
wpa=2

企业级（WPA3-Enterprise）走 802.1X：AP 把认证转给 RADIUS 服务器，逐人校验账号 / 证书——公司 Wi-Fi 输工号密码那种。

步骤 4：量化带宽

iperf3 -s                 # 在有线服务器上跑
iperf3 -c 服务器IP -t 20  # 在无线终端测，对比有线基准

测速时固定位置与朝向，一次只改一个变量（信道 / 位置 / 频段），否则数据没有可比性。

WiFi 标称速率（如 WiFi 6 的 1200Mbps）是空口峰值，实际过半就很好；不到一半先查信道干扰。

步骤 5：三层办公楼的信道规划演练

1 层：AP1-2.4G ch1   AP2-2.4G ch6   AP3-2.4G ch11
2 层：AP4-2.4G ch1   AP5-2.4G ch6   AP6-2.4G ch11   ← 跨层对齐，避免同频重叠
3 层：AP7-2.4G ch1   AP8-2.4G ch6   AP9-2.4G ch11
5G 信道多、间隔大，规划重点是功率收敛：相邻 AP 信号重叠 15-20%，让终端平滑漫游

口诀：同层错开、跨层对齐、功率收敛。AC 的「自动射频优化」也要人工复核——机器不知道你的墙体结构，纸面最优不等于现场最优。

讲清楚要点

1. 2.4G 只用 1/6/11：其他信道都会与相邻信道部分重叠，自建干扰。
2. WPA2 → WPA3 的核心升级：SAE 握手抗离线字典攻击、强制管理帧保护（PMF）、前向保密；老设备用「过渡模式」兼容。
3. 漫游的本质是终端决策：同一 ESSID 多 AP 下，终端按信号阈值切换；802.11k（邻区列表）/ v（AP 指挥切换）/ r（快速重认证）三件套加速。
4. 速率 = 调制阶数 × 码率 × 流数 × 频宽：信号差就降调制，速率砍半再砍半；「信号满格但很慢」通常是干扰而非强度。
5. 无线排查三要素：信号（RSSI）、干扰（同 / 邻频占用）、容量（单 AP 接的终端数与空口利用率）。
6. WiFi 标准速记：WiFi 4(802.11n, 2.4/5G) → 5(5G, 80MHz) → 6(5G/6G, OFDMA 高密场景) → 7(6G, 320MHz + 多链路)。数字越大峰值越高，但真实体验取决于空口利用率与干扰控制。

你可能会懵的地方

• 5G WiFi 和 5G 蜂窝是一回事吗？ 完全两回事。Wi-Fi 5GHz 是局域无线，5G NR 是运营商蜂窝网络，名字撞车纯属巧合。

• WPA3 也被爆过漏洞，还值得开吗？ 值得。Dragonblood 类漏洞已由厂商固件修复，SAE 仍显著优于 WPA2-PSK；企业场景直接上 WPA3-Enterprise + 证书。

• 为什么公司 Wi-Fi 要 802.1X 而不是共享密码？ 密码会流转、离职不清、无法定位人；802.1X 每人独立凭证，可吊销、可审计、可按组授权 VLAN；顺带还能按部门下发不同 VLAN 与带宽策略，这是共享密码永远做不到的。

• 漫游时 IP 会变吗？ 同一二层域内不会（AC 保证连续会话）；跨三层才需要新机制。这也是大办公室要求所有 AP 同 VLAN 的原因；若漫游时频繁掉线，先怀疑认证服务器响应慢而不是 IP 问题。

• 信号满格就一定快吗？ 不一定。满格 + 满干扰可能不如两格 + 干净信道；用 iperf3 实测为准。

错法对照

错法	问题	正解
2.4G 用信道 3	与 1/6 都重叠，三倍干扰	2.4G 只用 1/6/11
每个 AP 功率拉满	邻 AP 互踩、终端粘滞不漫游	按覆盖重叠 15-20% 调功率
各 AP 独立 SSID 各自密码	无法漫游，人肉重连	统一 SSID + 802.1X/RADIUS + AC 集中管理
拿理论速率当实际带宽	空口峰值 ≠ 吞吐	iperf3 实测，预留 30-50% 衰减
IoT 和办公终端同 SSID	弱设备拖慢整网空口	分 SSID/VLAN，限终端数与速率
只按信号强度选 AP 位置	干扰比强度更伤体验	勘测时同步记录信道占用再定点位
5G 只给一个窄信道	高密场景容量不足	按 AP 密度分配 80MHz 并控功率

卡点急救

1. 能连上但拿不到 IP：业务 VLAN 的 DHCP 断了；从 AC 看 AP 映射的 VLAN 与 DHCP 中继，别只盯着无线信号。
2. 频繁掉线重连：终端在多个 AP 间摇摆；调功率与最小 RSSI 踢人阈值，确认 802.11r 快速漫游已启用；同时检查是否只有特定型号终端掉线——驱动兼容问题很常见。
3. 网速忽快忽慢：查 AC 的信道利用率面板，找同频干扰源（邻居 AP / 微波炉），换信道或引导用户去 5G。

面试常问

• WPA2 和 WPA3 的区别？ 密钥交换从 PSK 升级为 SAE，抗离线字典攻击；强制 PMF 防管理帧伪造（去认证攻击）；企业版用 192 位安全套件。

• 办公室 Wi-Fi 慢，怎么排查？ 三层递进：看频段与信道占用（2.4G 拥挤就切 5G）→ 看 RSSI 与协商速率 → 看单 AP 终端数与空口利用率；最后 iperf3 定量对比有线基准。

• 802.11k/v/r 各起什么作用？ k 提供邻区信息辅助决策，v 由 AP 主动指挥终端切换，r 预先认证减少重协商；三者合称漫游三件套。

自测三问

1. 为什么 2.4GHz 只有三个互不干扰信道？
2. 漫游由谁发起？k/r/v 分别补什么短板？
3. 「信号满格但网速慢」最可能的原因是什么，怎么验证？

小结一句话

无线是把「共享空口」管理出秩序：频段选型定上限，信道功率定干扰，认证漫游定体验；一切结论以实测为准。

延伸

• Wi-Fi Alliance：WPA3 官方页
• 下一课：网络安全——ACL、VPN 与零信任。