路由器的「WPA3」怎麼設：與 WPA2 的相容性與實際差異
很多網友會以為 WPA3 就是「AES-256 版的 WPA2」，其實不是。WPA3-Personal 維持使用 AES-CCMP-128 加密，真正改變的是「怎麼確認對方知道密碼」以及「金鑰怎麼產生、怎麼更新」。以下分三個面向說明這些差異在實際使用上的意義。
SAE 取代 PSK：對抗離線字典攻擊的關鍵
PSK 的做法是：用戶端與 AP 各自用密碼加上 SSID 等資訊，推導出同一把 PMK（Pairwise Master Key），再用四次握手確認彼此算出來的結果一致。因為推導過程是公開演算法，攻擊者只要錄到握手封包，就能離線進行「猜密碼 → 算 PMK → 比對」的迴圈，用 GPU 加速每秒可以測試數十萬到數百萬組密碼。
SAE（Simultaneous Authentication of Equals，對等同時認證）則採用一種稱為 Dragonfly 的密碼學握手協定。它的關鍵在於：雙方必須「即時互動」才能完成驗證，而且每一次連線的交換內容都不相同。攻擊者就算錄下了整段 SAE 握手，也無法從中離線驗證任何一組候選密碼，因為驗證需要 AP 端的即時參與。這使得傳統的離線字典攻擊直接失效，攻擊者唯一的選擇是「線上猜測」，而線上猜測會受到速率限制與鎖定機制約束，實務上幾乎不可能成功。
這代表什麼？代表即使你用了相對簡單的密碼，WPA3 也能提供遠高於 WPA2 的實質保護。當然，這不是叫你用「12345678」——線上猜測依然存在，密碼強度還是要顧，只是 WPA3 大幅提高了攻擊成本。
前向保密（Forward Secrecy）的實際意義
前向保密的意思是：即使未來某一天主密碼（也就是你設定的 Wi-Fi 密碼）被洩漏，攻擊者也無法解密「過去已經發生過」的通訊內容。在 WPA2 的世界裡，只要密碼外流加上握手掌有紀錄，歷史流量就有可能被還原；WPA3 的 SAE 每次連線都會產生獨立且不可回溯的金鑰，讓「今天拿到密碼」不等於「昨天聽到的封包就能解開」。
對一般家庭用戶來說，這聽起來有點抽象，但實際情境很常見：你在咖啡廳、在租屋處、在朋友家連過同一組密碼，或者密碼曾經抄在紙上被看到。有了前向保密，至少過去的流量不會因為一次密碼外洩而全部曝光。這也是為什麼近年來企業與政府單位在採購無線設備時，會把 WPA3 列為必要規格。
PMF 管理框架保護與 192 位元企業模式
PMF（802.11w Management Frame Protection）是 WPA3 的強制要求，它針對的是 Wi-Fi 的「管理框架」——包含連線、斷線、認證等控制訊號。在沒有 PMF 的情況下，任何人都可以偽造「解除認證」框架把你踢下線；有了 PMF，這些框架會被加上訊息完整性檢查碼（MIC），裝置收到偽造訊息會直接丟棄。這對於防止「假熱點誘導重連」這類釣魚手法特別有效。
另外，WPA3-Enterprise 還提供了一個選項：192 位元安全模式（192-bit Security Mode）。這不是把 AES 換成 256 位元而已，而是整合了 CNSA（商業國家安全演算法套件）的一整套規範，包含 GCMP-256 加密、384 位元的 ECDHE 金鑰交換、SHA-384 雜湊等。這個模式主要針對政府、金融、醫療等需要合規的場域，一般家庭完全用不到，但如果你在設定企業級 AP 時看到這個選項，就知道它是給高安全需求環境準備的。
比較項目
WPA2
WPA3
標準發布年份
2004 年（802.11i）
2018 年（Wi-Fi CERTIFIED WPA3）
個人版金鑰交換
PSK + 四次握手
SAE（Dragonfly）
離線字典攻擊
可行，且效率高
不可行
前向保密
不支援
支援
管理框架保護（PMF）
選用（802.11w，多數裝置預設不啟用）
強制啟用（個人版與企業版）
加密演算法
AES-CCMP-128
個人版 AES-CCMP-128；企業版可選 GCMP-256
企業版認證
802.1X + EAP
802.1X + EAP，另有 192 位元模式可選
開放式網路保護
無（公共 Wi-Fi 完全明文）
OWE（Enhanced Open）可加密無密碼網路
相容性
幾乎所有裝置支援
需 AP 與用戶端同時支援
三、WPA3 的四種模式，別只認得 Personal
路由器後台常見的 WPA3 選項其實不只一種，很多使用者看到「WPA3-Personal」、「WPA3-Enterprise」、「WPA2/WPA3 混合」這些名詞就卡住了。以下把四種主要模式逐一拆解，順便說明哪些場合會用到。
WPA3-Personal（SAE）：家用主力
這是絕大多數家庭使用者會用到的模式，也就是「用一組密碼連線」的個人版。它的核心就是前面介紹的 SAE 握手。設定時你只需要輸入一組 8 到 63 字元的密碼，路由器與裝置就會自動以 SAE 完成驗證。要注意的是，WPA3-Personal 強制啟用 PMF，如果你的裝置不支援 PMF，就無法連上「純 WPA3」的網路——這正是後面相容性問題的根源。
另外，部分路由器在 WPA3-Personal 模式下會提供額外的選項，例如「群組金鑰更新間隔」、「PMF 強制/可選」等。除非你有特殊需求，這些保持預設值即可。
WPA3-Enterprise 與 192 位元模式：企業與校園環境
WPA3-Enterprise 使用 802.1X 認證搭配 RADIUS 伺服器，每一位使用者都有自己的帳號密碼或憑證，而不是共用一組 Wi-Fi 密碼。這種模式適用於公司行號、學校、醫療院所等需要個別追蹤使用者的場合。對一般家庭來說完全不需要，因為你得額外架設 RADIUS 伺服器，設定門檻高上許多。
至於 192 位元模式，則是在 WPA3-Enterprise 之上再套用更嚴格的演算法組合。它的存在主要是為了滿足政府與金融業的合規要求，一般家用路由器通常也不會提供這個選項。
WPA3-Enhanced Open（OWE）：公共 Wi-Fi 的救星
OWE（Opportunistic Wireless Encryption，機會性無線加密）是 WPA3 家族中比較少人注意、但實用價值很高的一員。它針對的是「不需要密碼」的開放式網路，例如咖啡廳、機場、飯店的免費 Wi-Fi。傳統的開放網路是完完全全的明文，任何人只要連上同一個 AP，就能用簡單工具看到其他使用者的封包；OWE 則是讓裝置與 AP 之間自動協商出一把隨機金鑰，即使沒有密碼，也能提供相當於「每個人一條獨立加密通道」的效果。
對一般家庭用戶而言，OWE 的意義在於：當你架設訪客網路時，可以選擇啟用 OWE，讓訪客在不用輸入密碼的情況下仍有基本的加密保護。不過要注意，舊裝置不支援 OWE，連上後可能還是以明文運作，所以如果訪客網路的目的是「方便」，還是得多加評估。
WPA2/WPA3 混合模式（Transition Mode）：相容性的折衷方案
嚴格來說，混合模式不算是 WPA3 的「第五種」模式，而是路由器為了相容性提供的過渡設定。它的作法是：同一個 SSID 同時接受 WPA2-PSK 與 WPA3-SAE 的連線請求，支援 WPA3 的裝置走 SAE，不支援的裝置自動退回 WPA2 的四次握手。對多數家庭來說，這是最實用的選擇，因為你不需要為了一台老印表機而讓整個網路停留在 WPA2。
但混合模式也有代價：因為它必須保留 WPA2 的相容通道，所以「離線字典攻擊」的風險仍然存在——攻擊者還是可以錄下 WPA2 裝置的握手封包來猜密碼。因此混合模式比較像是「過渡期的最佳解」，而不是「最安全的解」。如果你的所有裝置都支援 WPA3，建議還是切到純 WPA3。
四、相容性實測：哪些裝置會出事？
這一段是雅寶社區網友最常問的部分。很多人打開 WPA3 之後發現「家裡某台裝置連不上」，然後就一頭霧水地關掉。其實問題通常不是路由器壞了，而是裝置端的支援度不足。以下整理幾個常見的災情與判斷方式。
常見的相容性災情
1. 老舊手機與平板：Android 10 以後、iOS 13 以後的裝置基本上都支援 WPA3-Personal，但如果是 Android 8 或更早的機型，可能完全不支援，甚至在混合模式下也會出現連線不穩的狀況。iPhone 的部分，iOS 13 起支援 WPA3，若是更舊的機型就要留意。
2. 智慧家電與 IoT 裝置：這是最大宗的問題來源。掃地機器人、智慧插座、網路攝影機、電子鎖、智慧電視等裝置，為了壓低成本，Wi-Fi 模組往往只支援 2.4GHz 與 WPA2-PSK，而且韌體更新緩慢。這類裝置在純 WPA3 環境下幾乎一定連不上，在混合模式下則通常可以運作。
3. 印表機與事務機：不少家用印表機的無線模組只支援 WPA2，而且選單裡根本沒有 WPA3 的選項。如果你把路由器切到純 WPA3，印表機就會從網路上「消失」。
4. 遊戲主機與電視盒：部分較舊的遊戲主機與電視盒對 WPA3 的支援並不完整，尤其是在 2.4GHz 頻段。建議先確認官方支援清單，或直接在混合模式下測試。
5. 舊款筆電的無線網卡：2018 年以前的筆電，無線網卡驅動程式可能不支援 SAE。這類情況可以透過更新驅動程式解決，但如果網卡本身太舊，就只能走 WPA2。
WPA2/WPA3 混合模式到底該不該開？
我的建議是：除非你確定家中所有裝置都支援 WPA3，否則一開始先開混合模式。這樣做的好處是「新裝置享受 WPA3、老裝置繼續用 WPA2」，不會因為一台掃地機器人就讓整個網路降級。等到你確認所有常用裝置都能正常連線之後，再考慮是否切換到純 WPA3。
判斷方式很簡單：把路由器切到混合模式，然後逐一檢查每台裝置的連線狀態。多數路由器後台的「已連線裝置」頁面會顯示每個用戶端目前使用的加密協定（例如 WPA2-PSK 或 WPA3-SAE），你可以藉此盤點哪些裝置還在用 WPA2。對於那些不支援 WPA3 的裝置，可以考慮把它們隔離到訪客網路或獨立的 2.4GHz SSID，讓主網路維持純 WPA3。
另外補充一點：混合模式在某些路由器上會標示為「WPA2/WPA3 Personal」、「WPA2-PSK [AES] & WPA3-SAE」或「WPA3 Transition Mode」，名稱不同但意思相同。看到這些字樣就代表它同時接受兩種協定。
五、實戰設定教學：各家路由器怎麼開 WPA3
接下來進到實際操作。雖然各家路由器的介面長得不一樣，但邏輯都是「登入後台 → 找到無線設定 → 選擇安全性模式 → 儲存並重新連線」。以下先講通用流程，再補充常見品牌的實際路徑。
通用設定流程
步驟一：確認路由器支援 WPA3。不是所有路由器都有 WPA3 選項。通常 2019 年之後推出的機種比較有機會，而且部分舊機種需要先更新韌體才會出現。你可以到官方網站的規格頁或韌體更新說明確認。
步驟二：登入路由器後台。在瀏覽器輸入路由器的管理位址，常見的有 192.168.0.1、192.168.1.1、192.168.50.1，或是品牌提供的網域名稱（例如 router.asus.com、tplinkwifi.net、dlink.com 等）。帳號密碼通常是機器底部的標籤資訊，如果你曾經改過但忘記了，就得重置路由器。
步驟三：找到無線安全設定。路徑通常是「無線網路 → 無線設定 → 安全性」或「Wireless → Security」。有些路由器會把 2.4GHz 與 5GHz 分開設定，記得兩個頻段都要檢查。
步驟四：選擇安全性模式。在下拉選單中選擇「WPA3-Personal」或「WPA2/WPA3 混合」（依你的需求）。如果路由器提供「SAE」字樣，那就是純 WPA3 個人版。
步驟五：儲存並重新連線。儲存後路由器通常會重啟無線服務，所有裝置會短暫斷線。這時你需要手動讓裝置重新連線，並輸入原本的 Wi-Fi 密碼。
步驟六：驗證。連線後確認裝置是否正常上網，並回到路由器後台查看該裝置使用的加密協定是否為 WPA3。
常見品牌的實際路徑參考
ASUS（華碩）：登入後台 → 左側選單「無線網路」→「一般設定」→ 找到「驗證方式」→ 選擇「WPA2/WPA3 Personal」或「WPA3-Personal」。ASUS 的部分機種另外提供「WPA3-Enterprise」與「WPA2/WPA3 Enterprise」選項，家用請選 Personal 系列。
TP-Link：登入後台 →「基本」→「無線網路」→「無線網路安全」→「安全性」下拉選單 → 選擇「WPA2/WPA3 Personal」或「WPA3-SAE」。部分較新的型號在「進階」→「無線網路」→「無線網路安全」中設定。
D-Link：登入後台 →「設定」→「無線網路」→「無線網路設定」→「安全模式」→ 選擇「WPA3-Personal」或「WPA2/WPA3 混合」。
Netgear：登入後台 →「無線網路」→「無線安全設定」→「安全性選項」→ 選擇「WPA3-Personal」或「WPA2-PSK [AES] + WPA3-SAE」。
小米／紅米路由器：登入後台 →「常用設定」→「Wi-Fi 設定」→「加密方式」→ 選擇「WPA2/WPA3」或「WPA3」。小米的介面版本差異較大，若找不到選項請先更新韌體。
中華電信數據機（含 Wi-Fi 機型）：多數中華電信提供的數據機介面較為精簡，不一定開放 WPA3 選項。如果你的數據機沒有 WPA3，可以考慮關閉數據機的 Wi-Fi 功能，改接一台支援 WPA3 的路由器，由路由器負責無線網路。
Mesh 系統（如 Deco、Orbi、Nest Wifi）：通常透過手機 App 設定，路徑在「Wi-Fi 設定」→「安全性」或「進階設定」中。Mesh 系統的節點韌體必須一致，建議全部更新到最新版本再開啟 WPA3。
設定完成後怎麼驗證
驗證方式有幾種。最直接的是回到路由器後台的「用戶端清單」或「已連線裝置」頁面，多數機種會顯示每個裝置目前使用的加密方式。其次，在 Windows 電腦上可以開啟命令提示字元，輸入 netsh wlan show interfaces，輸出的「驗證」欄位會顯示目前連線使用的協定（例如 WPA3-Personal、WPA2-Personal）。Android 手機則可以進入 Wi-Fi 設定 → 點選目前連線的網路 → 查看「安全性」欄位。
如果你想更嚴謹地確認 SAE 握手是否真的發生，可以使用 Wireshark 搭配支援監聽模式的無線網卡來觀察連線過程，不過這對一般使用者來說門檻較高，通常用路由器後台的資訊就足夠了。
六、常見問題與排錯
設定完 WPA3 之後，最常遇到的就是「連不上」與「連上但不穩」兩類問題。以下整理幾個實務上最常見的狀況與處理方式。
開了 WPA3 之後裝置連不上怎麼辦？
第一招：退回混合模式。先確認問題是不是出在「純 WPA3 不相容」。把設定改成 WPA2/WPA3 混合，如果裝置就能連上，那就代表它不支援 SAE 或 PMF。這時你有兩個選擇：一是維持混合模式，二是把該裝置移到獨立的 2.4GHz SSID（僅開 WPA2）。
第二招：更新裝置的驅動程式或韌體。很多「不支援 WPA3」的問題其實是驅動程式太舊。Windows 筆電可以到無線網卡廠商官網下載最新驅動；手機則確認系統已更新到最新版本。IoT 裝置如果有 App 可以更新韌體，也建議一併處理。
第三招：檢查 PMF 設定。部分路由器的 WPA3 模式會提供「PMF 強制」與「PMF 可選」兩種選項。如果裝置連不上，可以試著把 PMF 改成「可選」，讓不支援 PMF 的裝置仍能連線。不過要注意，這樣做會降低對解除認證攻擊的防護。
第四招：確認頻段與頻道。有些裝置只支援 2.4GHz，而且對某些頻道或頻寬較敏感。試著把 2.4GHz 的頻寬設為 20MHz、頻道固定在 1、6、11 其中之一，通常能改善連線穩定度。
第五招：重置網路設定。在裝置端「忘記此網路」再重新連線，有時可以解決快取造成的認證失敗。如果還是不行，可以考慮重置路由器的無線設定。
WPA3 會影響網速嗎？
這是另一個常見的誤解。WPA3-Personal 使用的加密演算法與 WPA2 相同（AES-CCMP-128），差別主要在握手流程。SAE 握手的運算量確實比四次握手高一些，但那只發生在「連線建立」的瞬間，對於已經連線的資料傳輸並不會造成明顯影響。實測上，WPA2 與 WPA3 在相同硬體條件下的吞吐量差異通常在個位數百分比以內，一般家用寬頻根本感受不到。
真正可能影響速度的是「舊裝置在混合模式下頻繁重試」或「路由器 CPU 效能不足導致 SAE 握手變慢」。如果你使用的是較舊的路由器，開啟 WPA3 後發現連線變慢，可以觀察路由器 CPU 使用率是否飆高，必要時更新韌體或考慮升級設備。
智慧家電、印表機、遊戲機怎麼辦？
對於不支援 WPA3 的裝置，最實用的做法是「分網管理」。你可以在路由器上開一個獨立的 2.4GHz SSID（例如「Home-IoT」），安全性設為 WPA2-PSK，專門給這些裝置使用；主網路則維持 WPA3 或混合模式。這樣既能享受 WPA3 的保護，又不會讓老裝置變成孤兒。
另外，有些路由器支援「訪客網路」功能，可以設定訪客網路只開 WPA2，並限制其無法存取主網路的裝置。這種做法對於智慧家電來說也很適合，因為多數家電只需要連網更新或遠端控制，不需要與主網路內的電腦、NAS 互通。
至於遊戲機，如果是較新的機種（例如近幾年的主機），通常已經支援 WPA3；若遇到連線問題，先確認系統更新到最新版本，再測試混合模式。印表機的部分，多數情況下直接接回 WPA2 網段最省事。
七、結論：什麼情況該開 WPA3？
回到最初的問題：WPA3 到底該不該開？我的建議可以歸納成三種情境。第一，如果你的路由器與所有常用裝置都支援 WPA3，而且你重視安全性，那就直接開純 WPA3，享受 SAE 與前向保密帶來的好處。第二，如果家中有 IoT 裝置、舊印表機或老手機，請先開「WPA2/WPA3 混合模式」，讓新舊裝置各取所需，等未來逐步汰換裝置後再切換。第三，如果路由器本身不支援 WPA3，也不需要急著換機，先把 WPA2 的密碼強度顧好、關閉 WPS、定期更新韌體，安全性仍有基本保障。
最後提醒幾個容易被忽略的細節：WPA3 不是萬靈丹，它防的是「離線破解」與「管理框架攻擊」，但對於「密碼太弱被線上猜中」還是無能為力，所以密碼該有的長度與複雜度還是要有。此外，路由器的韌體更新、WPS 功能關閉、管理介面密碼更改，這些基本功的影響往往比「有沒有開 WPA3」更大。與其糾結要不要開 WPA3，不如把整個無線環境的安全習慣一起顧好。
如果你在設定過程中遇到任何疑難雜症，歡迎到雅寶社區・頂客論壇的 3C 科技教學版發文討論，附上路由器型號、裝置型號與錯誤訊息，會更容易讓熱心網友幫你診斷。祝大家都能在安全與相容性之間找到最適合自己的設定方式。
```
💬 想說點什麼？
歡迎到留言板分享你的想法、心得或疑問。
💬 前往留言板 →