简介：本资源是一份面向网络初学者与通信技术从业者的Wi-Fi基础知识系统性整理文档，聚焦无线网络原理、协议演进与核心术语解析，帮助读者快速建立Wi-Fi技术认知框架，解决学习中术语混淆、协议差异不清、组网逻辑模糊等常见问题。文档为单文件Word格式（.doc），体积精简仅88KB，便于快速查阅与离线学习，内容涵盖Wi-Fi基本特性对比（如半双工、高误码率、易抓包等局限）、IEEE 802.11系列协议详解（802.11a/b/g/n的频段、速率及MAC层关键改进如HT-40与MIMO），以及WLAN体系核心概念——AP、Station、SSID、BSSID、BSS、DS等术语的定义、作用与相互关系。目前已有278人学习下载，适合备考认证、课程预习或工程实践前的知识扫盲，结构清晰、中英术语并重，兼顾准确性与可读性。
1. Wi-Fi 不是“无线以太网”：它连全双工都做不到，却靠一套反直觉的帧调度机制活了下来
你有没有试过在办公室连上 Wi-Fi 后，一边下载大文件、一边开 Zoom 会议、再同时刷网页——表面看一切流畅，但只要打开 Wireshark 抓包，立刻会发现：同一时刻，整个信道上只有一台设备在发数据，其他所有 Station 都在等；哪怕你手边有三台手机、两台笔记本、一个智能音箱，它们在物理层根本不能“同时说话”。这不是性能瓶颈，而是设计使然：Wi-Fi 的 MAC 层从根子上就拒绝全双工通信，甚至不承认“并发传输”这个概念。它用的不是以太网那种 CSMA/CD（载波监听多路访问/冲突检测），而是更苛刻的 CSMA/CA（冲突避免）——不是等撞上了再退避，而是在开口前先“敲门问好”。更反直觉的是：这个被广泛认为“只是无线版以太网”的技术，其底层帧结构里藏着至少 4 种地址字段、3 种方向标识、2 套端序规则，连 ACK 帧自己都不需要被确认。为什么？因为无线信道没有物理线缆兜底：信号会反射、衰减、被遮挡、被隔壁老王的微波炉干扰，出错率比千兆以太网高两个数量级。所以 Wi-Fi 不是把有线协议“无线化”，而是用一整套为“不可靠介质”量身定制的生存策略——从 Beacon 定时广播建立存在感，到 RTS/CTS 构建虚拟握手通道，再到 Fragmentation 主动切片降低重传代价。这份《Wi-Fi 基础知识讲解.doc》之所以值得深挖，正因为它没停留在“SSID 怎么填”“密码输错几次锁死”这种表层操作，而是把这套生存策略的骨架——802.11 帧格式、DS 字段语义、MAC 地址复用逻辑、Beacon 与 Probe 的协同机制——全摊开在你眼前。它不教你怎么连上 WiFi，它告诉你：当你点击“连接”那一刻，你的设备其实在和 AP 进行一场精密的、带超时重试的、状态机驱动的微型外交谈判。搞懂这个，你才真正跨过了“会用”和“能调”的分水岭。
2. 802.11 帧的地址迷宫：To DS / From DS 如何决定一个帧该往哪送、由谁解析
Wi-Fi 帧头里的地址字段，从来不是简单的“源地址→目的地址”二元映射。它是一张动态路由表，其解析逻辑完全取决于帧的类型和两个关键标志位：To DS（To Distribution System）和 From DS（From Distribution System）。这两个比特位构成的 2-bit 状态码，直接决定了帧中四个地址字段（Addr1–Addr4）各自扮演什么角色。这不是协议设计者的炫技，而是为了解决一个核心矛盾：无线终端（Station）和有线骨干网（DS，通常是 Ethernet）之间必须无缝桥接，但两者的数据链路层视角截然不同。Station 只认 AP 的 BSSID，而 DS 上的交换机只认 Station 的 MAC 地址——中间这层“翻译”工作，全压在 DS 字段上。
2.1 To DS / From DS 的四种组合及其真实语义
在 802.11 标准中，Data Frame 的帧控制字段（Frame Control）里明确划分了 To DS 和 From DS 两个比特。它们的组合定义了帧的流向和地址语义：
| To DS | From DS | 流向描述 | 典型场景 | Addr1 (DA) | Addr2 (SA) | Addr3 (BSSID) | Addr4 (可选) | 解析主体 |
|---|---|---|---|---|---|---|---|---|
| 0 | 0 | Station ↔ Station（Ad-hoc） | 无 AP 的点对点直连 | 目的 Station MAC | 源 Station MAC | — | — | Station |
| 0 | 1 | DS → Station（下行） | AP 转发来自有线网的数据给 Station | Station MAC | AP 的 BSSID | AP 的 BSSID | — | Station |
| 1 | 0 | Station → DS（上行） | Station 发送数据给有线网 | AP 的 BSSID | Station MAC | AP 的 BSSID | — | AP |
| 1 | 1 | DS ↔ DS（WDS 桥接） | 两个 AP 通过无线链路互连 | 接收端 AP 的 BSSID | 发送端 AP 的 BSSID | 接收端 AP 的 BSSID | 源 Station MAC | 接收端 AP |
提示：Addr3 在绝大多数情况下就是 BSSID（即 AP 的 MAC 地址），这是 Wi-Fi 网络的“锚点”。而 Addr1 和 Addr2 才是真正的“通信双方”，但它们的身份随 To/From DS 动态切换——这正是初学者抓包时最易混淆的点：看到 Addr1 是某个 MAC，就以为是目的地址，却忽略了它可能只是 AP 的 BSSID。
2.2 为什么必须这样设计？——从物理拓扑到逻辑抽象的必然选择
设想一个典型家庭网络：你的手机（Station）通过 Wi-Fi 连接到路由器（AP），路由器另一端连着光猫（属于 DS）。当手机访问百度时，数据流是：手机 → AP → 光猫 → 互联网。但在物理层，手机只能和 AP 通信，它不知道光猫的存在；光猫也只认识 AP 的 MAC，不认识手机。DS 字段就是在这两者之间架起的逻辑桥梁：
上行（To DS = 1, From DS = 0）：手机发送帧时，将 Addr1 设为 AP 的 BSSID（告诉 AP：“这是发给你的”），Addr2 设为自己 MAC（告诉 AP：“我发的”），Addr3 也设为 AP 的 BSSID（强化身份）。AP 收到后，根据 Addr2（手机 MAC）查内部关联表，知道该把数据转发到哪个有线口，并将帧重新封装为以太网帧，源 MAC 换成 AP 的 WAN 口 MAC，目的 MAC 换成光猫 MAC。
下行（To DS = 0, From DS = 1）：光猫发来的以太网帧到达 AP 后，AP 查表得知该帧要发给手机，于是构造 802.11 Data Frame：Addr1 = 手机 MAC（真目的），Addr2 = AP 的 BSSID（真源），Addr3 = AP 的 BSSID（锚点）。手机收到后，看到 To DS=0/From DS=1，立刻明白 Addr1 是自己的 MAC，Addr2 是 AP 的 BSSID，于是接受并解封装。
这种设计让 AP 成为一个“地址翻译器”，彻底解耦了无线侧和有线侧的地址空间。没有 To/From DS，Wi-Fi 就无法融入现有以太网基础设施——它就真的只是个玩具级的点对点协议。
2.3 抓包实证：Wireshark 中如何识别 To/From DS 状态
在 Wireshark 中，To DS 和 From DS 并不直接显示为字段名，而是隐含在帧的“Flags”字段和地址解析逻辑中。以下是一个典型上行帧（Station → AP）的解析过程：
Frame 123: 142 bytes on wire (1136 bits), 142 bytes captured (1136 bits) IEEE 802.11 Data, Flags: .......C (0x04) // C 表示 "To DS" bit is set Type/Subtype: Data (0x0020) Duration: 256 Addr1: aa:bb:cc:dd:ee:ff (AP's BSSID) // To DS=1, so Addr1 is AP's BSSID Addr2: 11:22:33:44:55:66 (Station MAC) // From DS=0, so Addr2 is Station's MAC Addr3: aa:bb:cc:dd:ee:ff (AP's BSSID) // Always BSSID in infrastructure mode Sequence: 123, Fragment: 0 [Protocols in frame: wlan:eth:ip:tcp]关键观察点：
Flags: .......C中的C即表示 To DS bit = 1（Wireshark 用 C 代表 “To DS”）；- Addr1 显示为 AP 的 MAC（aa:bb:cc:dd:ee:ff），而非手机 MAC，印证了“发给 AP”的语义；
- Addr2 显示为手机 MAC（11:22:33:44:55:66），说明这是手机发出的帧；
- Addr3 与 Addr1 相同，符合 BSSID 锚点原则。
若你看到一个帧的 Addr1 是手机 MAC，而 Flags 中显示F（From DS），那它一定是下行帧——AP 正在把数据推送给手机。
2.4 避坑：地址字段误读导致的三大经典翻车现场
现象 1：抓包看到大量“目的地址是 AP MAC”的帧，误以为是广播风暴或攻击流量
→原因：未理解 To DS=1 时 Addr1 必为 AP BSSID，这是所有上行帧的合法形态。Wireshark 默认按“目的地址”着色，导致所有上行帧被标红，引发误判。
→解决：在 Wireshark 的“View → Coloring Rules”中，禁用对 Addr1 的着色规则；或直接过滤wlan.fc.tods == 1查看所有上行帧，确认其行为符合预期。
现象 2：用arp -a查到的网关 MAC 与抓包中 Addr2 不一致，怀疑设备被劫持
→原因：arp -a显示的是有线侧（WAN 口）的 MAC，而 Addr2 是无线侧（BSSID）的 MAC。一台双频路由器通常有 3 个 MAC：WAN 口、2.4G BSSID、5G BSSID，三者常仅末字节不同（如a0:b1:c2:d3:e4:f0,a0:b1:c2:d3:e4:f1,a0:b1:c2:d3:e4:f2）。
→解决：用iw dev wlan0 link（Linux）或netsh wlan show interfaces（Windows）命令直接读取当前连接的 BSSID，与抓包 Addr2 对比。
现象 3：Station 休眠后，AP 缓存的数据帧在 DTIM 时刻发出，但抓包发现 Addr1 是广播 MAC（ff:ff:ff:ff:ff:ff）而非 Station MAC
→原因：DTIM 帧是特殊的多播帧，用于唤醒休眠 Station。此时 To DS=0/From DS=1，Addr1 被设为广播地址，表示“所有休眠 Station 请查收”，Station 收到后会主动向 AP 请求缓存数据。
→解决：过滤wlan.fc.fromds == 1 && eth.dst == ff:ff:ff:ff:ff:ff即可定位 DTIM 帧；后续的单播数据帧（Addr1 = Station MAC）才是真正的业务数据。
3. Beacon 与 Probe 的双轨制发现机制：为什么 Wi-Fi 既需要“广播喊话”，又允许“主动敲门”
Wi-Fi 网络的发现过程绝非简单的“AP 广播 SSID，手机扫描接收”这么简单。它是一套精心设计的双轨制机制：Beacon 帧负责被动广播，构建网络的“存在感”；Probe Request/Response 帧则支持主动探测，实现快速、精准的网络匹配。这两者不是冗余备份，而是针对不同场景的互补策略——Beacon 是 AP 的“日常打卡”，Probe 是 Station 的“定向寻人”。忽略任一轨，都会导致连接失败、漫游卡顿或扫描延迟。
3.1 Beacon 帧：AP 的定时心跳与网络名片
Beacon 帧由 AP 周期性广播（默认 100ms 间隔），是 Wi-Fi 网络的“心跳信号”。它的核心价值远不止宣告 SSID：
- 存在宣告（Presence Advertisement）：即使 Station 处于省电模式，也能通过监听 Beacon 知道 AP 仍在服务，避免误判断连；
- 参数同步（Parameter Synchronization）：携带 TIM（Traffic Indication Map）字段，告知休眠 Station “我这儿有你的缓存数据”；包含 ERP（Extended Rate PHY）、HT Capabilities 等 IE（Information Element），声明 AP 支持的速率、MIMO、信道宽度等能力；
- 时间基准（Timing Reference）：Beacon 中的 Timestamp 字段为整个 BSS 提供统一时间源，Station 用它校准本地时钟，确保省电唤醒、RTS/CTS 等时序敏感操作的精确性；
- 区域合规（Regulatory Compliance）：通过 Country IE 声明所在地区（Region），强制 Station 遵守该地区的发射功率、可用信道限制。
一个典型的 Beacon 帧结构如下（简化）：
Frame Control: 0x0080 (Type: Management, Subtype: Beacon) Duration: 0x0000 Addr1: ff:ff:ff:ff:ff:ff (Broadcast) // 所有 Station 都收 Addr2: aa:bb:cc:dd:ee:ff (AP's BSSID) // AP 自己的地址 Addr3: aa:bb:cc:dd:ee:ff (AP's BSSID) // BSSID 锚点 Sequence: 1234 Timestamp: 0x0000000000001234 // 微秒级时间戳 Beacon Interval: 0x0064 (100ms) // 下次 Beacon 时间 Capabilities: 0x0431 // ESS, Privacy, Short Preamble, etc. SSID: "MyHomeWiFi" // 网络名称 Supported Rates: 1(B), 2(B), 5.5(B), 11(B), 6, 9, 12, 18, 24, 36, 48, 54 DS Parameter Set: Channel 6 // 当前工作信道 TIM: DTIM Count=0, DTIM Period=1, Bitmap Control=0x00, Partial Virtual Bitmap=0x01 Country: CN 2.400-2.4835 @ 30, 5.150-5.250 @ 30, 5.250-5.350 @ 30 // 中国频段注意：Beacon 中的
DS Parameter Set字段明确告诉 Station：“我在信道 6 上”。Station 扫描时，必须逐个信道切换 Radio，监听该信道上的 Beacon。这就是为什么 Wi-Fi 扫描慢——它本质是串行的“信道轮询”。
3.2 Probe Request/Response：Station 的主动寻网与能力协商
当 Station 需要快速连接特定网络（如已知 SSID 的家庭 Wi-Fi），或环境中有多个 AP 时，被动等待 Beacon 效率太低。此时 Station 会主动发送 Probe Request，向周围广播：“谁是 SSID='MyHomeWiFi' 的 AP？请回复！”——这就是 Probe 机制。
- Probe Request：Station 发送，目标地址为广播（ff:ff:ff:ff:ff:ff），SSID 字段填写目标网络名（可为空，表示扫描所有网络），并携带自身支持的速率、能力 IE；
- Probe Response：AP 收到匹配的 Probe Request 后，立即单播回复，内容与 Beacon 几乎一致（含 SSID、Rates、Capabilities、TIM 等），但响应速度更快（毫秒级），且可携带 AP 特有的负载信息（如当前信道利用率）。
关键区别在于：Beacon 是 AP 的“广而告之”，Probe 是 Station 的“精准问询”。一个网络可以配置为“隐藏 SSID”（即 Beacon 中 SSID 为空），此时 Station 无法通过 Beacon 发现它，但只要知道 SSID，仍可通过 Probe Request 主动找到——这正是企业级网络常用的安全策略（虽不能防破解，但增加发现门槛）。
3.3 双轨协同：从扫描到关联的完整状态机
Station 的网络发现与连接，是一个严格的状态机驱动过程：
stateDiagram-v2 [*] --> Scanning Scanning --> PassiveScan: 监听 Beacon Scanning --> ActiveScan: 发送 Probe Request PassiveScan --> FoundAP: 收到匹配 Beacon ActiveScan --> FoundAP: 收到 Probe Response FoundAP --> Authentication: 发送 Authentication Request Authentication --> Association: 发送 Association Request Association --> Connected: 收到 Association Response (Status Code == 0)- Passive Scan（被动扫描）：Station 切换到每个信道，静默监听 100-200ms，等待 Beacon。耗时长（扫描 13 个信道需 1.3s+），但功耗低；
- Active Scan（主动扫描）：Station 在每个信道只停留 10-20ms，期间发送 Probe Request；若无响应，则切下一信道。速度快（13 信道约 200ms），但功耗高、易暴露扫描意图。
现代操作系统（如 Android、iOS）会智能混合两种模式：首次启动用 Active Scan 快速建库，后续后台扫描用 Passive Scan 节电。
3.4 避坑：扫描失败、连接延迟、漫游卡顿的底层排查路径
现象 1：手机在房间 A 能连上 Wi-Fi，走到房间 B 就频繁断连，但信号强度显示尚可
→原因：房间 B 的 AP 未开启或 Beacon Interval 设置过大（如 500ms），导致 Station 在移动中错过 Beacon，触发“失联”判定；或该 AP 的 DTIM Period 过长（如 10），休眠 Station 醒来后需等待多个 Beacon 才能取到数据，感知为卡顿。
→解决：登录 AP 管理界面，将 Beacon Interval 设为 100ms（默认值），DTIM Period 设为 1 或 2；用tcpdump -i wlan0 -s 0 -w beacon.pcap 'wlan type mgt subtype beacon'抓包验证 Beacon 发送频率。
现象 2：Station 扫描不到某个 AP，但用另一台设备能扫到
→原因：该 AP 启用了“隐藏 SSID”（Beacon 中 SSID IE 为空），而当前 Station 的扫描逻辑未触发 Active Scan（如系统设置为仅被动扫描），或 Station 固件 Bug 导致 Probe Request 构造错误（如未携带正确的 Supported Rates IE）。
→解决：在 Station 端手动添加网络（输入已知 SSID 和密码），强制触发 Probe 流程；或使用wpa_cli scan_ssid 1（Linux）命令强制发起 Active Scan。
现象 3：漫游时出现 2-3 秒黑屏（视频中断），但 RSSI 未跌穿阈值
→原因：旧 AP 的 Beacon 中未正确设置RSN IE（Robust Security Network）或HT Capabilities IE，导致新 AP 在 Association Request 阶段因能力不匹配拒绝接入；或 Station 的漫游决策算法过于保守，直到 RSSI < -80dBm 才触发切换，此时已处于弱信号边缘。
→解决：检查 AP 的 802.11n/ac 兼容性设置，确保 HT/VHT Capabilities IE 正确广播；在 Station 端启用“快速漫游”（802.11r/k/v），缩短认证与密钥协商时间。
4. RTS/CTS 与 Fragmentation：为对抗无线信道的“隐藏节点”与“高误码率”而生的两大生存术
有线以太网依赖物理线缆的确定性，Wi-Fi 却在开放空气中搏杀。这里没有“线缆兜底”，只有信号在墙壁、人体、金属间的反复反射与衰减。其结果是两大致命问题：隐藏节点（Hidden Node）导致冲突频发，高误码率（High BER）导致重传雪崩。802.11 协议没有选择硬抗，而是用 RTS/CTS 握手和 Fragmentation 分片这两套精巧的“防御性机制”，把不可靠的物理层，包装成相对可靠的逻辑链路。它们不是性能优化选项，而是 Wi-Fi 能在真实世界存活的底层基石。
4.1 RTS/CTS：用四次握手，在空中划出“独占信道”的虚拟时空
隐藏节点问题本质是无线信道的“不可见性”：Station A 和 Station B 同属一个 AP，但因距离过远或障碍物遮挡，彼此信号强度低于接收灵敏度，互相“看不见”。当 A 和 B 同时向 AP 发送数据时，AP 会同时收到两个冲突信号，全部丢弃，A 和 B 都需重传——重传又加剧冲突，形成恶性循环。
RTS/CTS（Request to Send / Clear to Send）机制用四次小帧交互，构建了一个“预约式”的信道使用协议：
- Station A 发送 RTS：帧中包含“我要发 X 字节数据，预计占用信道 Y 微秒”；
- AP 收到 RTS 后，广播 CTS：告诉所有能听到 AP 的 Station（包括隐藏的 B）：“接下来 Y 微秒，信道归 A 专用，请静默”；
- Station B 听到 CTS，立即进入退避状态：即使它没听见 A 的 RTS，但 CTS 是 AP 广播的，B 一定能收到；
- Station A 收到 CTS，开始发送数据帧；其他 Station 在 CTS 声明的时间内不抢信道。
这个过程的关键在于：CTS 的持续时间（Duration）字段，被所有 Station 解析并写入自己的 Network Allocation Vector（NAV）计时器。NAV 是一个虚拟的“信道忙”倒计时器，只要 NAV > 0，Station 就不会尝试发送——这相当于在物理信道之上，叠加了一层软件定义的“信道占用锁”。
// RTS 帧结构（简化） Frame Control: 0x00b4 (Type: Control, Subtype: RTS) Duration: 0x012c (300μs) // 告诉所有人：接下来 300μs 信道被预约 Addr1: aa:bb:cc:dd:ee:ff (AP's BSSID) // 发给 AP Addr2: 11:22:33:44:55:66 (Station A MAC) // CTS 帧结构（简化） Frame Control: 0x00c4 (Type: Control, Subtype: CTS) Duration: 0x012c (300μs) // 复制 RTS 的 Duration，广播给所有人 Addr1: 11:22:33:44:55:66 (Station A MAC) // 告诉 A：你可以发了提示：RTS/CTS 的开销巨大（4 个小帧 + 3 次 ACK），仅在数据帧较大（> 1500 字节）或网络环境恶劣（高隐藏节点比例）时启用。AP 的
RTS Threshold参数就是这个临界值——设为 2346 字节（最大 MSDU）即关闭，设为 0 则强制所有帧走 RTS/CTS。
4.2 Fragmentation：把大包切成“可重传单元”，用空间换时间
Wi-Fi 的误码率（BER）远高于以太网。一个 1500 字节的 TCP 段，在无线信道上传输，若某一位出错，整个帧就被丢弃，需重传全部 1500 字节。而 Fragmentation 将其切成多个小片段（Fragment），每个片段独立 CRC 校验、独立 ACK。即使一个片段出错，只需重传该片段，而非整个包。
- Fragmentation Threshold：设定最大片段大小（如 1024 字节）。原始帧若超过此值，则被切片；
- 每个 Fragment 包含：完整的 802.11 头（含 Seq#）、Fragment Number、More Fragments 标志位；
- 重传粒度：ACK 只确认成功接收的 Fragment，丢失的 Fragment 单独重传。
例如，一个 2000 字节的帧，设 Threshold=1024，则被切成：
- Fragment 0：1024 字节，More Fragments=1，Seq#=123，Frag#=0；
- Fragment 1：976 字节，More Fragments=0，Seq#=123，Frag#=1。
Station 收到 Fragment 0 后发 ACK；若 Fragment 1 丢失，AP 只重传 Fragment 1，无需再发 Fragment 0。
4.3 实战权衡：何时开 RTS/CTS？何时调 Fragmentation？
这不是“开或关”的二选一，而是基于网络实况的精细调节：
| 场景 | RTS/CTS 建议 | Fragmentation 建议 | 原因 |
|---|---|---|---|
| 家庭单 AP，2 台设备 | 关闭（Threshold=2346） | 默认（2346） | 隐藏节点少，开销大于收益 |
| 办公室多 AP，10+ Station | 开启（Threshold=1500） | 降低至 1024 | 高密度下隐藏节点普遍，分片降低重传成本 |
| 工业环境（金属厂房） | 强制开启（Threshold=0） | 降低至 512 | 信号衰减剧烈，误码率极高，必须最小化单次传输失败代价 |
| 视频会议（低延迟敏感） | 关闭 | 保持默认 | RTS/CTS 增加 2-3ms 延迟，视频更怕卡顿而非丢包 |
血泪经验：某高校实验室部署 20 台 Wi-Fi 摄像头，初始配置全默认，视频频繁卡顿。抓包发现大量重传，且 RTS/CTS 使用率 < 5%。后将 RTS Threshold 降至 1000，Fragmentation 降至 768，重传率下降 65%，卡顿消失——证明在高密度场景，防御性机制的收益远超开销。
4.4 避坑：RTS/CTS 与 Fragmentation 的三大隐形陷阱
现象 1：开启 RTS/CTS 后，吞吐量不升反降，ping 延迟飙升
→原因：RTS/CTS 的 Duration 字段计算错误（如 AP 固件 Bug），导致 NAV 计时器被设为极大值（如 0xFFFF），所有 Station 长时间“假忙”，信道实际空闲却无人敢用。
→解决：用 Wireshark 抓包，过滤wlan.fc.type_subtype == 0x001b || wlan.fc.type_subtype == 0x001c（RTS/CTS），检查 CTS 帧的 Duration 值是否合理（应 ≈ 数据帧传输时间 + ACK 时间）；若异常，升级 AP 固件。
现象 2：Fragmentation 设得很小（如 256），但抓包发现仍有大帧未被切片
→原因：Fragmentation 只作用于 MSDU（MAC Service Data Unit），即上层交给 MAC 层的原始数据。若上层（如 TCP）已做分段（MSS=1460），则 MAC 层收到的就是 1460 字节的 MSDU，Fragmentation Threshold=256 会将其切成 6 片；但若应用层发送 UDP 小包（如 DNS 查询 64 字节），则无需切片。
→解决：确认测试流量类型；用tcpdump抓取 IP 层，对比ip.len与wlan.fc.type_subtype == 0x0020 && wlan.fc.frag == 0的帧长度，验证切片是否生效。
现象 3：Station 关联后，AP 的管理界面显示“RTS/CTS 已启用”，但抓包看不到 RTS/CTS 帧
→原因：RTS/CTS 是 Station 和 AP 协商的结果。AP 的设置只是“允许”，最终是否启用，取决于 Station 的能力声明（在 Association Request 的 Supported Rates IE 中）和当前链路质量（Station 可能因信道良好而自主禁用）。
→解决：抓取 Association Request 帧，检查其 IE 中是否包含HT Capabilities或VHT Capabilities；若支持，Station 通常优先用更高效的 Block Ack 机制替代 RTS/CTS。
5. Wi-Fi 安全演进的本质：从 WEP 的“纸糊锁”到 WPA3 的“量子预备”加密体系
Wi-Fi 安全史，是一部不断修补“信任漏洞”的攻防简史。WEP 曾号称“有线等效隐私”，结果上线三年即被公开破解；WPA 是应急补丁，WPA2 成为十年黄金标准，而 WPA3 则直面物联网时代的新威胁。这份文档中关于 WEP/WPA/WPA2 的对比，绝非过时知识——它揭示了一个核心事实：Wi-Fi 加密不是静态的“开关”，而是动态的“协议栈协商”。从握手阶段的密钥派生，到数据帧的加密方式，每一步都嵌在 802.11 的帧交互中。理解这个栈，才能真正看懂 Wireshark 里那些EAPOL Key帧在干什么。
5.1 WEP：一个被设计就注定失败的“伪加密”
WEP 的失败，源于三个根本性设计缺陷：
- 静态密钥（Static Key）：所有用户共享同一密钥（40/104 位），密钥永不更新；
- 弱初始化向量（Weak IV）：IV 仅 24 位，且与密钥异或后作为 RC4 的种子。2^24 ≈ 1600 万次后 IV 必然重复，攻击者收集足够多重复 IV 的密文，即可用统计方法恢复密钥；
- 无完整性校验（No Integrity Check）：WEP 只做 CRC-32 校验，而 CRC 可被恶意篡改后仍保持合法——攻击者可翻转密文任意位，再重算 CRC，实现“选择性篡改”。
一个 WEP 加密帧的流程：
- Station 用共享密钥 K + 随机 IV 构造 RC4 密钥；
- 用 RC4 流加密明文 + CRC-32 校验码；
- 将 IV 明文附加在密文前，组成最终帧。
玄学时刻：2001 年，两位研究者仅用 50 万个 WEP 帧，就在 3 分钟内破解出密钥——这标志着 WEP 彻底死亡。文档中强调“802.11n 不支持 WEP”，正是因为其设计与高速率、MIMO 等新特性完全不兼容。
5.2 WPA/WPA2：从 TKIP 到 CCMP 的加密范式跃迁
WPA 是 Wi-Fi 联盟为填补 WPA2 标准空窗期推出的过渡方案，核心是 TKIP（Temporal Key Integrity Protocol）；WPA2 则全面采用 IEEE 802.11i 标准，强制使用 CCMP（Counter Mode with CBC-MAC Protocol），即 AES-CCM 加密。
| 特性 | WPA (TKIP) | WPA2 (CCMP) |
|---|---|---|
| 加密算法 | RC4（增强版） | AES-128 |
| 密钥更新 | 每个数据帧生成新密钥（Per-Packet Key） | 每个数据帧生成新密钥（Per-Packet Key） |
| 完整性校验 | Michael MIC（64 位，比 CRC 强，但仍可被 DoS） | CBC-MAC（128 位，密码学安全） |
| 抗重放 | 使用 TSC（TKIP Sequence Counter） | 使用 PN（Packet Number） |
| 性能开销 | 低（RC4 硬件加速普及） | 高（AES 需专用硬件，早期设备慢） |
WPA2 的四次握手（4-Way Handshake）是整个安全体系的核心：
- AP 发送 ANonce（随机数）给 Station；
- Station 发送 SNonce + MIC（用 PMK 计算的校验码）给 AP；
- AP 发送 GTK（Group Temporal Key，用于广播/组播）+ MIC 给 Station；
- Station 发送确认 + MIC 给 AP。
整个过程不传输 PMK（Pairwise Master Key），只用它派生出 PTK（Pairwise Transient Key），而 PTK 又被拆分为 KCK（校验密钥）、KEK（加密密钥）、TK（数据加密密钥）。这种分层密钥派生，确保即使 TK 泄露，也无法反推 PMK。
5.3 WPA3：面向未来的“量子预备”与“暴力防护”
WPA3 解决了 WPA2 的两大软肋：离线字典攻击（攻击者捕获握手包，回家暴力穷举）和开放网络无加密（咖啡馆 Wi-Fi 明文传输）。
- SAE（Simultaneous Authentication of Equals）：取代 PSK 的密钥协商协议。它基于 Diffie-Hellman，即使攻击者捕获全部握手帧，也无法进行离线穷举——每次尝试都需要与真实 AP 交互，天然防暴力；
- OWE（Opportunistic Wireless Encryption）：为开放网络（无密码）提供加密。Station 与 AP 通过 DH 协商会话密钥，所有数据帧加密，但不认证用户
本文还有配套的精品资源，点击获取
