第一支柱：設備安裝與安全基線配置
- 修改默認憑證：廠商默認用戶名/密碼為首要攻擊面
- SSID策略：自定義SSID、關閉廣播（隱藏不等於安全，但提高攻擊門檻）
- 加密強制：僅啟用WPA3/WPA2-AES，禁用WEP/WPA-TKIP
- 管理介面隔離：僅允許有線管理VLAN訪問Web/SSH/HTTPS
第二支柱：設備佈局與信號工程
- AP採用蜂窩式重疊覆蓋，相鄰信道非重疊（2.4GHz用1/6/11）
- 發射功率按實際覆蓋需求調整，避免過強造成同頻干擾
- 工具鏈：NetStumbler(免費)、
Ekahau/AirMagnet(專業)進行現場勘測、熱力圖分析、盲區定位
第三支柱：故障快速定位機制
- 建立基線性能指標：關鍵位置RSSI、SNR、重傳率、延遲
- 常見故障模式：
- 「連得上、傳不動」→ 信道干擾/重傳率高/雙工不匹配
- 「斷斷續續」→ 漫遊閾值不當/AP負載過高/DHCP耗盡
- 「完全搜不到」→ AP掉電/信道違規/客戶端驅動問題
- 分級響應：L1遠程重啟AP → L2現場頻譜分析 → L3廠商RMA
第四支柱：流量可視化與威脅狩獵
- 部署無線側抓包：AiroPeek(商業)、
Wireshark/Ethereal(開源免費)
- 關注指標：協議分佈、Top Talkers、異常DHCP/ARP、未授權AP、Deauth攻擊
- 聯動有線側防火牆/IDS實現有線無線協同封堵
第五支柱：主動滲透測試與合規審計
- War-driving：車載設備掃描周邊無線洩漏
- War-chalking：標記開放/弱加密AP位置
- 滲透清單：WPS破解、PMKID攻擊、EAP降級、客戶端偽裝、企業級認證繞過
- 季度一次完整滲透，月度自動化掃描，變更後驗證性測試
第六支柱：架構級安全隔離——DMZ化無線接入
核心原則：所有無線設備視為不可信區域
- AP/WLC部署在無線DMZ（邏輯隔離，非物理）
- 無線流量經新一代防火牆深度檢測後方可進入內網
- 遠程/移動用戶強制VPN（IPsec/SSL）回穿內網
- 嚴格出站策略：僅允許業務必要端口/協議/目標
無線管理不是「裝好就不管」，而是持續的工程迭代：規劃→部署→驗證→監控→優化→審計→再規劃。