《无线网络安全部署规范》关键条款解读

NETWORKSECURITYSTANDARD无线网络安全部署规范关键条款解读标准体系·加密认证·架构隔离·物理管控·审计合规汇报时间：2026CONTENTS解读导览《无线网络安全部署规范》六大部分解读路径0601标准体系

与框架建立规范全景02加密

与认证条款聚焦核心要求03架构

与隔离条款解析分段控制04物理

与信号管控明确边界要求05审计

与日志合规落实留存义务06落地

实施指引形成行动清单标准体系与框架三项标准构成无线网络安全部署规范核心01规范依据三项标准构成规范体系GB/T25068.6-2025总体框架层2025年12月2日发布·2026年7月1日实施·修改采用ISO/IEC27033-6:2016提供无线网络访问安全总体框架。GB/T33565-2024系统技术要求层2024年11月1日实施·代替2017年版针对无线局域网接入系统给出具体安全技术要求。YD/T6811-2026场景管理指南层2026年4月15日发布·2026年8月1日实施聚焦公共场所无线局域网安全管理。三项标准分别从总体框架、系统技术要求、场景管理指南三个层面，构成本规范的完整依据。《无线网络安全部署规范》关键条款解读04/30标准框架国家标准确立总体安全框架1威胁识别2需求定义3控制落地标准正文按风险到控制的逻辑展开：先列威胁，再定需求，后给控制。7七类威胁01未授权访问02数据包嗅探03恶意无线AP04DoS攻击05蓝牙劫持06蓝牙漏洞攻击07Ad-hoc网络威胁6六项安全需求机密性完整性可用性身份鉴别授权可核查性9九大控制领域01无线安全策略02加密控制与实现03完整性评估04身份鉴别05访问控制06抵御DoS07DMZ隔离08漏洞管理09持续监控安全设计按四类场景区分WLANWMAN蓝牙其他无线技术部署顺序要求部署前须先完成威胁识别与需求定义，再逐项落实控制措施。GB/T25068.6无线网络安全关键条款解读05/30标准锚点接入系统标准锁定技术细则GB/T33565-2024

面向无线局域网接入系统，修订重点：适应技术演进扩展评估对象（TOE）边界新增分布式组件安全要求匹配AC+AP企业级组网威胁与安全目的15

类威胁3

项组织安全策略8

个环境假设据此提出11项TOE安全目的9项环境安全目的典型覆盖加密功能可信信道资源管理安全功能与等级10类要求81项组件按评估保障级划分EAL2+/EAL3/EAL4

三个等级等级适用场景EAL2+家庭、个人用户、有限商业EAL3组织、个人用户、一般商业EAL4政府、金融等专有高安全领域各等级在安全审计、密码支持、访问控制上递进加严，是选型与验收的核心依据。《无线网络安全部署规范》关键条款解读·GB/T33565-202406/30加密与认证条款加密与认证是无线安全第一道防线02条款解读淘汰弱协议是强制底线WEP

必须淘汰RC4流加密，密钥仅

40位，过短密钥须手动重设，长期重复使用初始化向量明文传递，5小时内可重复Aircrack免费工具几分钟即可破解WPA

同样受限采用TKIP，引入密钥重置机制底层仍基于RC4，列为逐步淘汰对象淘汰弱协议，是无线安全不可退让的底线《无线网络安全部署规范》关键条款解读08/30条款解读WPA3企业版成为强制要求强制节点2026年1月1日起，新建二级及以上等保对象无线网络禁用WPA2及更早协议，强制启用

WPA3-SAE2企业版。安全升级在SAE同步机制上新增随机盐值字段，抵御已公开的全部KRACK2变种攻击；兼容

Wi-Fi7MLO密钥同步。企业推荐支持

192位加密套件（AES-CCM模式），提供更高安全等级，为当前最推荐加密方式。《无线网络安全部署规范》关键条款解读09/30条款解读·密码支持国密算法写入密码支持要求双轨算法国密SM2SM3SM4国际AESRSA密钥全周期生成对称密钥走

WAPI

或

WPA2/3；非对称密钥须符合GB/T35276-2017销毁FCS_CKM.6

要求对易失性与非易失性存储中的明文密钥逻辑覆盖，防残留攻击WAPI落地采用椭圆曲线非对称密码与分组密码结合，实现身份鉴别、链路验证、访问控制与传输加密，是国密代表性路径。《无线网络安全部署规范》关键条款解读10/30条款解读802.1X与RADIUS构成企业认证基线认证基线802.1X+RADIUS

服务器验证身份，验证通过前不开放数据端口。EAP-TLS

最高安全客户端与服务端均部署数字证书，由内部

PKI

签发并设有效期。访客隔离动态预共享密钥（DPSK）为每位访客生成唯一密钥，离场自动失效。标准要求

FIA_802.1X_EXT.1

接入实体与RADIUS服务器通信《无线网络安全部署规范》关键条款解读11/30认证与访问控制口令强度与锁定阈值有明确要求口令长度GB/T33565-2024中

FIA_PMG_EXT.1

要求密码最小长度15字符且包含特殊字符，明显高于一般基线。临时场景校内私接路由器的临时管理场景中，通知要求密码长度不少于8位，且同时包含大小写字母、数字及特殊符号。锁定阈值FIA_AFL.1

要求配置会话锁定阈值，典型实践为连续3次失败后锁定15分钟，以阻断在线暴力破解。落地验证企业WLAN部署EAL3级AP和AC，启用

WPA3-SAE认证与

SM4加密后，攻击者企图通过破解弱口令进行未授权访问，被系统检测到连续失败尝试并锁定管理会话，成功抵御了攻击。《无线网络安全部署规范》关键条款解读12/30架构与隔离条款网络隔离决定安全边界03条款解读·网络分段多SSID绑定VLAN实现业务隔离分段规则01多SSID映射不同VLAN，强制绑定不同VLANID02办公网、访客网、IoT设备网不得同VLAN或未隔离收紧措施03IoT设备单独划分VLAN，仅允许访问必要云端服务04启用

PVLAN，阻止同一子网内设备直接通信风险场景访客终端可扫描并攻击内网办公设备网络边界由

VLAN逻辑隔离构筑，而非物理位置划定。《无线网络安全部署规范》关键条款解读14/30条款解读管理平面必须独立受限01管理流量与业务流量严格隔离管理VLAN独立成子网，仅授权运维终端IP

可访问管理接口严禁暴露在业务VLAN或互联网侧02账户分级，权限最小化独立强密码管理账户三类角色：只读账号、配置账号、超级管理员RBAC

划分访客、员工、管理员，差异化授权管理平面隔离，是权限失控前的最后一道闸。《无线网络安全部署规范》关键条款解读15/30条款解读分布式组网须落实组件安全分配瘦AP+AC架构在中大型网络广泛采用，安全责任分散于AP、AC、认证服务器之间，任一环节失守都可能影响整体。GB/T33565-2024

附录A规定分布式WLAN接入系统的组件间安全功能分配关系01AC部署方式设计阶段须明确AC的部署方式02AP接入方式明确AP接入方式，如

PoE交换机供电03组件安全职责明确各组件承担的认证、加密、访问控制职责安全功能在分布式架构下不得割裂或遗漏，直接约束采购时的产品选型与技术验收。《无线网络安全部署规范》关键条款解读16/30物理与信号管控物理安全是逻辑安全的前提04条款解读·物理安全AP部署位置受控于物理区域01位置禁区AP不得靠近外墙边缘、窗边等信号易外泄位置。02受控存放AP、AC必须置于带门禁的机房或机柜内并物理锁定，防止非授权接触

console口重置或篡改。03复杂环境多隔断、高损耗场景可增加AP数量或采用高增益天线，但须避开金属遮挡与强电磁干扰源。信号广播无边界，设备摆放失控则逻辑控制失效《无线网络安全部署规范》关键条款解读18/30条款解读信号边界以功率控制收紧边界衰减≤-75dBm高敏感区域边界处信号强度须衰减至-75dBm以下，降低外部截获可能。发射功率-67dBm~-50dBmAP建议控制在-67dBm至-50dBm，兼顾连接稳定与拦截风险。信道规划1/6/112.4GHz

采用1、6、11非重叠信道；5GHz

资源丰富，按实际选择。降功率原则满足覆盖→尽量降低满足覆盖前提下尽量降低发射功率，减少同频干扰。信号管控由此成为部署规范中少数可用数字精确验收的条款《无线网络安全部署规范》关键条款解读19/30配置面基线·SSID命名规范SSID命名的标准化要求命名禁区FORBIDDEN01敏感信息禁止入名不得包含组织、部门、业务功能等敏感信息02易被社工利用的名称Company_FinanceHR_Internal一类名称严禁使用03校园场景专项约束不得使用或包含单位中英文全称、简称、拼音，不得含敏感人物、科研项目、课题名称推荐做法RECOMMENDED01无意义化命名使用无意义字母数字组合或通用业务代号02高敏感业务网络原则上配置为隐藏SSID——不广播Beacon帧中的SSID隐藏不能阻止专业抓包探测，但可减少误连接与闲置扫描。《无线网络安全部署规范》关键条款解读20/30审计与日志合规审计留痕是合规底线05条款解读日志留存时限与要素有硬约束时限升级180

天公共无线接入日志留存由60天提升至180天≥6

个月公共上网场所留存时限进一步要求不少于6个月全要素清单01用户MAC地址、实名认证信息02接入时间、登录与退出时间03主叫号码、账号04访问的互联网目的地址、流量明细05互联网地址与内部网络地址对应关系合规含义日志系统须具备至少

6个月存储容量与可检索能力，不能只存连接记录，必须覆盖目的地址与流量信息，以满足网安部门溯源排查要求。《无线网络安全部署规范》关键条款解读22/30条款解读日志集中管理与告警联动STEP01记录范围WLC记录接入设备的

MAC地址、IP地址、连接时间及访问行为。STEP02集中存储日志统一接入

SIEM系统，保留至少

90天，满足合规要求。STEP03告警联动配置实时告警规则，检测SSID仿冒、暴力破解及非工作时间高频连接尝试，快速响应威胁。条款对应对应「无线网络持续监控」控制，要求部署具备动态监测能力，集中存储是事后溯源的数据底座。《无线网络安全部署规范》关键条款解读23/30条款解读实名认证与行为审计是法定义务义务主体面向公众提供无线上网服务的场所实名认证设备与措施违规后果责令限期改正警告罚款六个月以内停止联网停机整顿合规属性远高于技术属性《无线网络安全部署规范》关键条款解读24/30手机短信验证、真实身份信息核验禁止公共账号或固定密码等非实名方式禁止向身份不明或拒绝查验者提供服务前端设备符合国家或公共安全行业标准，并在公安部备案建设实名认证、行为审计、日志留存等安全保护技术措施与公安机关管理平台互联互通落地实施指引条款落地需要行动清单06分级落地从标准选型到分级落地选型逻辑按业务场景匹配安全等级，再核验产品功能组件。EAL2+家庭、个人用户、有限商业场景EAL3组织、个人用户、一般商业EAL4政府、金融等专有高安全等级领域EAL3功能组件要求EAL4增量要求技术标准与频段《无线网络安全部署规范》关键条款解读26/30FCS_RBG.1

增加随机比特生成具备重放检测（FPT_RPL.1）与可信更新（FPT_TUD_EXT.1）TSF

初始化（FPT_INI.1）基于证书的可信更新新建网络优先支持

Wi-Fi6规划

2.4GHz

与

5GHz

双频段部署，平衡覆盖范围与传输速率分场景落地分场景落实四项核心控制加密控制01全面禁用WEP，按等保要求升级至

WPA3-SAE2

企业版，支持国密算法，密钥销毁落实逻辑覆盖。认证控制02企业网络启用

802.1X

结合

EAP-TLS

与多因素认证；访客采用动态预共享密钥；口令最小长度

15字符，配置失败锁定。隔离控制03办公网、访客网、IoT网分设不同

SSID

与

VLAN，管理平面独立受限。信号控制04AP放置于受控区域，信号边界控制至

-75dBm

以下，发射功率保持

-67dBm至-50dBm，高敏感业务隐藏SSID。四项控制逐项落地，方能形成闭合防线。《无线网络安全部署规范》关键条款解读27/30条