WLAN 定義：Wireless Local Area Network
WLAN (Wireless Local Area Network，無線區域網路) 是以無線電波 (RF) 為傳輸媒介，在有限地理區域內 (建築物、園區) 實現裝置互聯的網路。它不是特定產品或協定，而是網路架構類型。
Wi-Fi (Wireless Fidelity) 是 IEEE 802.11 系列標準 的商標認證品牌，是 WLAN 最主流的實作技術。WLAN = 架構概念，Wi-Fi = 具體技術標準/認證。日常口語常混用，技術語境下需區分。
企業級 WLAN 部署五大經典難題 (專家視角)
難題 1：行動裝置該連 4G/5G 還是 Wi-Fi？
專家建議：
- 室內/固定場景優先 Wi-Fi：頻寬大、延遲低、無流量費、支援高密度併發 (802.11ax/be MU-MIMO/OFDMA)。
- 戶外/高移動性/無 Wi-Fi 覆蓋時用行動網路：廣域覆蓋、無縫漫游 (5G SA 切片)。
- 策略：裝置端啟用「智慧切換」/「Wi-Fi Assistant」：訊號差自動切 5G，訊號好優先 Wi-Fi。MDM/EMM 可下發策略強制企業裝置優先連企業 Wi-Fi (EAP-TLS 憑證認證)。
難題 2：鄰近企業/住戶能否蹭我 Wi-Fi？員工會不會連鄰居 Wi-Fi？
風險真實存在：
- 側向存取：訊號穿牆，鄰近單位可嘗試破解 (WPA2 字典攻擊、WPS PIN 碼暴力破解、KRACK 重裝攻擊、PMKID 攻擊)。
- 惡意雙生熱點：攻擊者架設同名 SSID、更強訊號熱點，誘騙員工連線，攔截流量 (中間人攻擊)。
- 員工誤連/刻意連鄰居 Wi-Fi：繞過企業防火牆/稽核，洩露敏感資料、感染惡意軟體再帶回內網。
對策： WPA3-Enterprise (SAE/192-bit)、EAP-TLS 雙向憑證驗證、禁用 WPS、啟用 802.11w (PMF)、無線入侵防禦系統 (WIPS) 偵測惡意 AP/側向攻擊、員工安全意識培訓、MDM 強制受管裝置僅連企業 Wi-Fi。
難題 3：筆電能否同時連 Wi-Fi (外網) 與有線 LAN (內網)？
可以，但需正確路由設定。
- Windows/macOS/Linux 均支援多介面同時啟用。
- 關鍵：內網介面 (有線) 不設預設閘道，僅透過靜態路由/DHCP 選項 121 學習內網網段；外網介面 (Wi-Fi) 保留預設閘道。
- 或使用虛擬網卡/VPN 虛擬介面 邏輯隔離，而非物理雙網卡。
難題 4：如何防禦 WPS (Wi-Fi Protected Setup) 攻擊？
WPS 設計初衷：簡化家用裝置配置 (PIN 碼/按鍵/ NFC)。
致命缺陷：PIN 碼 8 位數實為兩段 4 位數獨立驗證，離線暴力破解僅需 11,000 次嘗試 (數小時內)。工具：Reaver, Bully, wpscrack, PixieWPS (Pixie-Dust 攻擊更快)。
企業級防禦：
- 企業級 AP/控制器通常不支援/預設關閉 WPS (最根本)。
- SMB/分支辦公室使用消費級路由器時：**務必在後台關閉 WPS**。
- 啟用 WPA3-SAE (Simultaneous Authentication of Equals) 取代 WPA2-PSK，從根源移除 WPS 攻擊面。
- WIPS 持續掃描偵測 WPS 爆破嘗試並自動封鎖/告警。
難題 5：行動數據上限 + 雲端同步 (iCloud/OneDrive/Google Drive) 如何避免超額？
- 作業系統層面：iOS/Android 設定「低數據模式」/「計量網路」，限制背景同步、自動更新、高畫質串流。
- App 層面：各雲端服務 App 內設定「僅 Wi-Fi 同步/備份/上傳」。
- 企業 MDM/EMM：下發策略限制行動數據用量、封鎖特定 App 走行動網路、VPN 強制所有流量回企業閘道 (含雲端同步流量)。
- 路由器/防火牆層面：QoS 限制雲端同步流量頻寬/時段；應用識別封鎖/限速特定雲端服務。
- 用戶教育：定期查看「行動數據用量統計」，設定用量警示門檻。
企業級 WLAN 架構演進與關鍵技術
| 階段 | 架構 | 特點 | 代表技術/產品 |
|---|
| 獨立 AP (Fat AP) | 各自管理 | 設定分散、漫遊差、擴充難 | 早期家用/小型辦公路由器 |
| AC + Thin AP (集中式) | AC 集中控制、下發配置、處理認證/漫遊/策略 | 無縫漫遊 (PMK 快取/802.11r)、單點管理、擴充性好 | H3C, Huawei, Ruijie, Cisco WLC, Aruba Mobility Controller |
| 分散式/無控制器 (Controller-less / Virtual Controller) | AP 間選主協商、虛擬控制器、去中心化 | 無單點故障、部署簡單、適合中小分支 | Aruba Instant, Ubiquiti UniFi, TP-Link Omada, Ruijie Reyee |
| 雲管理 (Cloud-managed) | AP/交換機/防火牆雲端統一管理面板 | 零接觸部署 (ZTP)、多租戶、AI 運維、訂閱制 | Meraki, Mist (Juniper), Aruba Central, H3C Cloud, Ruijie Cloud |
| Wi-Fi 6/6E/7 (802.11ax/be) | PHY/MAC 層創新 | OFDMA、MU-MIMO 上/下行、1024/4096-QAM、BSS Coloring、TWT、MLO (多鏈路操作)、320MHz 頻寬 | 高密度、低延遲、高吞吐、低功耗 |
WLAN 安全最佳實務清單 (2024+)
- 認證：企業採 **WPA3-Enterprise (EAP-TLS)**，憑證雙向驗證；SMB 採 **WPA3-Personal (SAE)** 或 **WPA2-PSK (AES) + 強密碼 + 定期換密**。
- 加密：強制 **CCMP (AES)**，禁用 TKIP/WEP。
- 管理幀保護：啟用 **802.11w (PMF)**，防解除關聯/去認證攻擊。
- 網段隔離：VLAN 劃分 (員工/訪客/IoT/伺服器/管理)，ACL/防火牆限制跨 VLAN 存取。
- 客戶端隔離 / AP 隔離：同一 SSID/VLAN 下裝置無法直接互訪，防橫向滲透。
- WIPS/WIDS：專用感測器/AP 雙模偵測惡意 AP、偽裝 AP、Ad-hoc、暴力破解、洪水攻擊、異常流量。
- NAC (網路准入控制)：802.1X + RADIUS + 檢查裝置健康狀態 (防毒/補丁/合規) 才授權存取。
- 漫遊優化：802.11r (FT)、802.11k (鄰居報告)、802.11v (BSS 過渡管理) 實現毫秒級無縫漫遊。
- 頻譜分析/自動射頻調優：自動選擇最佳頻道/功率、避開 DFS 雷達、負載平衡 (頻段引導/負載均衡)。
- 固件/軟體持續更新：訂閱廠商安全公告，自動/排程更新。
總結
WLAN 是現代網路存取的主流形態。從家用 Wi-Fi 到企業級無線校園網，核心挑戰始終圍繞覆蓋與容量、安全與合規、漫遊與體驗、運維與成本。理解 WLAN 與 Wi-Fi 的關係、掌握 802.11 協定演進、落實分層防禦 (物理/連結/網路/應用/管理)、善用雲管理與 AI 運維，才能構建既開放又安全、既高效又彈性的無線網路環境。