中小企業無線網絡普遍存在「不設防」「配置漏洞」兩大隱患。默認帳號密碼、開放 SSID、無加密、DHCP 濫用、設備漏洞未修補，為入侵者敞開大門。本文提供五步建設路徑，從零構建合規無線安全基線。

兩大核心隱患剖析

隱患一：無線網絡「裸奔」零配置

• 網管缺乏安全意識，部署即用，保留廠商默認設置
• 默認 IP/用戶名/密碼網上可查，稍懂網絡即可接管設備
• 內網拓撲、設備清單、流量基線全暴露

隱患二：配置漏洞百出

• 覆蓋范圍有限 → 僥倖心理忽視安全
• 無線接入無需物理插線，繞過交換機/路由器准入控制
• 設置口令弱、DHCP 敞開、SSID 廣播、無數據加密
• 設備固件漏洞：KRACK、FragAttacks、Dragonblood 等歷代高危漏洞未修補

五步建設路徑：從基線到成熟

步驟一：給設備「換鎖」—— 憑證重置與強化

• 修改默認管理員帳號/密碼（admin/admin → 複雜唯一憑證）
• 支援修改用戶名的設備必須修改
• 密碼策略：≥16 位、大小寫+數字+符號、定期輪換（90 天）
• 禁用 Telnet/HTTP 管理，僅允許 SSH/HTTPS

步驟二：啟用軍級加密 —— WPA2-Enterprise/WPA3

• 淘汰 WEP/WPA-PSK（預共享鑰易洩露、離線破解）
• 部署 802.1X/RADIUS：AD/LDAP 整合、憑證基礎認證 (EAP-TLS/PEAP-MSCHAPv2)
• WPA3-SAE：防離線字典攻擊、前向保密、192 位加密套件
• 訪客網絡隔離：獨立 SSID/VLAN、帶寬限制、門戶認證、定期換鑰

步驟三：隱藏身份與收回控制權

• 關閉 SSID 廣播，修改默認 SSID 為無特徵名稱
• 禁用 DHCP，改用靜態 IP + MAC 白名單雙綁定
• 啟用 AP 隔離：無線客戶端互不通訊，阻斷橫向掃描

步驟四：邊界與內部雙重防護

• 無線接入側接入防火牆/ACL：僅允許業務必要埠/協議/目標
• 部署 WIPS (無線入侵防禦系統)：非法 AP 檢測、干擾源定位、惡意關聯阻斷
• 內網核心交換機配置 DAI (Dynamic ARP Inspection) + DHCP Snooping

步驟五：持續運營與應急響應

• 固件更新管理：訂閱廠商安全公告、月度檢查、維護窗口部署
• 無線審計：季度掃描非法 AP、弱加密、未授權設備
• 應急預案：非法 AP 發現 → 定位 → 隔離 → 溯源 → 整改 → 驗證
• 人員培訓：網管安全技能、員工無線使用規範、訪客接入流程

預算友好型落地建議

• 開源方案：FreeRADIUS + hostapd + OpenWrt/dd-wrt 佈建低成本 802.1X
• 雲管理 AP：Ubiquiti UniFi、TP-Link Omada、華為 AirEngine 等，Web 統一管控
• 分期建設：核心區先行（財務/研發/高管），邊緣區緩行

無線安全非一次配置，而是「掃描-加固-監控-演練-迭代」持續循環。中小企業從五步路徑起步，以最小成本構建最大防護，讓無線網絡成為業務加速器而非風險洼地。