WiFi加密别乱选：家用只分这3档

[WiFi技术]#网络安全

WiFi加密别乱选：家用只分这3档

新路由器买回家，加密方式那一栏你选的是哪个？WPA3、WPA2、WPA2/WPA3 混合，还有一堆看不懂的缩写，是不是随手点了个默认？

或者听人说“选最安全的”，结果家里的扫地机器人、老摄像头、老人机全连不上？

再或者，路由器用了五六年，后台还写着 WEP、WPA，你却一直没管？

先别急着一步切到纯 WPA3。加密方式不是越新越好：选新了，老设备可能连不上；选旧了，密码再复杂也补不回协议的短板。

今天一篇讲完，给你一张 3 档对照图，照着选就行。内容有点长，建议先收藏。

一句话结论：家用加密只分 3 档

30 秒决策路径：

  • 新路由器，设备大多是近三年买的 → 先设 WPA2/WPA3 混合，用一周；都能连，再切 纯 WPA3。
  • 有五年以上的老手机、老笔记本、智能家居 → 混合模式，别硬切纯 WPA3。
  • 路由器后台只有 WPA2 → 选 WPA2-PSK（AES），别选 TKIP；密码 16 位以上。
  • 后台只有 WEP、WPA → 换路由器，别犹豫。

💡 划重点：先保证全家能连，再谈安全上限。 一上来就切纯 WPA3，老设备掉线，最后还得改回去。

Part 1｜为什么加密方式比密码更要紧？

打个比方：密码是钥匙，加密方式是锁芯。

钥匙再复杂，锁芯是纸糊的，门也守不住。反过来，锁芯够好，钥匙普通一点，也比“好钥匙配烂锁”强。

无线加密就是这么个逻辑。四代标准，四把锁：

  • WEP（1997）：最早的锁，钥匙固定不变，早就被淘汰。后台还显示 WEP，等于门没锁。
  • WPA（2003）：WEP 的紧急补丁，用 TKIP 动态换钥匙，但本身也有已知问题，今天不该再用。
  • WPA2（2004）：用了二十年的主力，AES-CCMP 算法本身很硬。它的短板不在算法，在认证握手：密码太弱，握手环节就可能被利用。KRACK 漏洞（2017）也出在握手环节，后来靠固件修补。
  • WPA3（2018）：把“对暗号”换成了 SAE。不是把密码发过去比对，而是双方做一道只有知道密码才能算对的数学题，每次都不一样。想拿回家慢慢猜？这条路基本堵死。

WPA3 还多了两个实在的好处：

  1. 前向保密：每次连接用不同的临时密钥。哪怕哪天密码泄露，之前被截获的流量也很难再解开。
  2. 强制管理帧保护（PMF）：以前有人用假断开指令把你家摄像头踢下线，WPA3 把这类管理帧也保护起来。

但 WPA3 不是万能药。弱密码照样可能被在线猜；早期实现还有 Dragonblood 漏洞，厂商陆续修补过，老固件不一定。所以：加密方式要选对，密码也不能摆烂，固件该升还得升。

❌ 错误做法：只改密码，加密方式那一栏看都不看

✅ 正确做法：先确认加密方式，再设强密码

💡 划重点：密码决定“要猜多久”，加密方式决定“能不能拿回家猜”。

Part 2｜你家到底该选哪档？

别按“购买年份”判断，这是最容易踩的坑。

很多人以为“2018 年以后买的设备都支持 WPA3”。不对。大量 2019-2024 年的智能家居——摄像头、扫地机、门锁、灯泡——仍然只支持 WPA2。你一刀切到纯 WPA3，它们就集体掉线。

最容易掉队的通常是：5 年以上的老手机、老笔记本、只支持 2.4G 的智能家居、部分打印机和电视盒子。

正确做法是“先混后纯”：

  1. 先把路由器设成 WPA2/WPA3 混合模式；
  2. 全家正常用一周，重点看老手机、老笔记本、摄像头、扫地机、门锁；
  3. 都能连、都稳定，再切 纯 WPA3；
  4. 如果某个老设备掉线，退回混合模式，或者把它单独放到访客/IoT 网络里。

混合模式的意思是：新设备走 WPA3，老设备回落到 WPA2。它不是“永久方案”，而是迁移期的桥。整网的安全水位，取决于最弱的那台设备；等老设备换掉，就该把桥拆了。

那路由器不支持 WPA3 怎么办？

  • 选 WPA2-Personal（AES），不要选 TKIP，也不要用“WPA/WPA2 混合”；
  • 密码至少 12 位，建议 16 位以上；
  • 路由器如果已经用了五六年，把它列进换机计划。WPA2 还能用，但新路由器通常支持 WPA3，早晚要换。

❌ 错误做法：看到 WPA3 就直接切，结果老设备全掉线

✅ 正确做法：先混合试一周，再切纯 WPA3

💡 划重点：兼容性不是看年份，是看设备实际能不能连。

Part 3｜5 步设置，照着做就行

第 1 步｜找到路由器后台

看路由器机身底部的标签，上面写着管理地址（常见是 192.168.1.1、192.168.0.1，或者 tplogin.cn、miwifi.com 这类域名）。用手机或电脑连上自家 WiFi，浏览器打开，登录。

不同品牌、不同型号的菜单名不一样，别照抄网上的型号教程；找不到就搜“无线设置”“安全设置”“加密”。

第 2 步｜先设混合模式

在“无线设置 / WiFi 设置 / 安全设置”里找到“加密方式 / 安全模式”，选 WPA2/WPA3 混合模式。保存后，路由器会重启无线，所有设备会掉线一次。

第 3 步｜观察一周，再决定要不要切纯 WPA3

这一周重点看：老人的手机、旧笔记本、摄像头、扫地机、智能门锁。都能连、都稳定，再切 WPA3-Personal（WPA3-SAE）。有一个掉线，就退回混合模式。

第 4 步｜设一个真正强的密码

至少 12 位，建议 16 位以上；大小写字母、数字、符号混着来；别用生日、手机号、姓名拼音、连续数字。一个好记的办法：拿一句只有你知道的话，取每个字的首字母，再插两个符号和数字。

第 5 步｜关掉 WPS，改掉后台密码

WPS 那个“按一下按钮就能连”的功能，8 位 PIN 码有已知缺陷，建议直接关掉。后台管理员密码如果还是 admin/admin，或者印在机身贴纸上，也一起改掉。

顺手再看一眼固件更新，有就更，别拖。

⚠️ 改加密方式不是“点一下保存”就完事：所有设备都要重新连一次，智能家居可能还要重新配网。预留 30 分钟，最好白天做，别在晚上家人看电视时改。

改完有设备连不上，怎么办？

  1. 先在该设备上“忘记网络”，重新输密码连一次；
  2. 还不行，退回 WPA2/WPA3 混合模式，别硬扛；
  3. 这台设备如果实在老旧，单独放到访客网络或 IoT 网络，主网继续跑纯 WPA3；
  4. 如果是智能家居，按说明书重新配网，别只改路由器这边。

❌ 错误做法：晚上家人正用网，随手把加密方式切了

✅ 正确做法：白天改，改完逐个确认设备，尤其是智能家居

💡 划重点：改加密是“全家设备重新认门”，不是“改个密码”那么简单。

Part 4｜3 个最常见的误区

误区一：隐藏 SSID 更安全。

上篇已经讲透了：隐藏只是不广播 WiFi 名字，不是隐身；安全靠的是认证和加密。没看的，去“路由器设置”合集里补，这里不重复。

误区二：密码够复杂就万事大吉。

密码再复杂，WPS 开着，也可能被绕过；加密方式还停在 WEP/WPA，密码等于白设。正确的组合是：强密码 + 关 WPS + WPA3（或 WPA2-AES）。

误区三：混合模式可以一直开着。

混合模式是过渡，不是终点。如果家里所有设备都支持 WPA3，就应该关掉混合，只跑纯 WPA3；一直开着，整网的安全上限会被 WPA2 拖住。只有一种情况例外：你确实还有老设备要养。

❌ 错误做法：把“隐藏 SSID”“复杂密码”“混合模式”当成三道保险

✅ 正确做法：加密方式选对，密码够强，WPS 关掉，老设备逐步淘汰

💡 划重点：安全不是把开关全打开，是把最弱的那块板补上。

顺便说一句：企业级加密，家里为什么用不上？

有人问：企业级加密是不是更高级？家里能不能也上？

企业级（WPA2/WPA3-Enterprise）强的不是“锁芯”，是钥匙管理：每个人一个独立账号，离职可以单独吊销，谁在什么时候连过网有日志，还能按部门分到不同网段。这套东西靠的是 802.1X + RADIUS 服务器，家里为几台设备搭一套，成本和麻烦都不值。

企业级强的不是锁，是钥匙管理。 家里一把钥匙开一扇门，够用；真要提高安全性，先把加密方式、密码、WPS、固件这四件事做好，比折腾企业级实在得多。

家庭 WiFi 加密自查表（可截图）

这张图建议直接存进相册。以后换路由器、改密码，或者家里又添了新设备，拿出来对一遍就行。

你家路由器后台的加密方式，写的是 WPA2 还是 WPA3？评论区说说，我帮你判断要不要改。

资料参考：Wi-Fi Alliance WPA3 规范（2018）；KRACK 研究（2017）；Dragonblood 研究（2019）。

这里是 Robot实验室，只讲家庭网络那点事。