wapi 怎么用 无线安全协议使用详解

wapi 也就是无线局域网鉴别与保密基础结构，是我国自主制定的无线局域网安全协议，作用和 wifi 里面的 wpa wpa2 wpa3 类似，核心是在无线接入的时候做身份鉴别，同时对空中无线数据做加密保护，简单来说 wapi 就是国内标准的 wifi 安全认证加密方案，想要正常使用 wapi，前提是无线网卡 路由器 终端设备都必须原生支持 wapi，任意一端不支持，就无法建立 wapi 加密连接，很多普通家用路由器默认只开启 wpa 系列，没有 wapi 选项，所以大部分用户找不到 wapi 设置入口，wapi 主要应用在政企专网 涉密单位 部分定制设备，普通民用 wifi 很少默认启用，它和普通 wpa 不能混合随便连接，终端和 AP 两端的安全模式必须保持一致。

wapi 基础原理深度说明

wapi 分成两个核心模块，分别是鉴别模块 WAI 和保密模块 WPI，WAI 负责身份认证，采用证书鉴别方式，终端和 AP 都需要提前安装合法证书，连接的时候双向认证，不光 AP 验证终端身份，终端也会验证 AP 身份，这一点和 wpa 的单向认证有明显区别，WPI 负责无线帧加密，使用国密相关算法，防止无线信号在空中被抓包破解，wapi 还有不同版本，常见是 wapi 基础版，部分政企设备会使用增强版本，wapi 不能和 wpa2 同时在同一个 SSID 下并行工作，SSID 的安全模式一旦选定 wapi，这个无线名称就只接受支持 wapi 的终端接入。

wapi 启用连接完整操作步骤

第一步 确认硬件支持，查看路由器规格书，确认无线 AP 支持 wapi 功能，同时确认手机或者无线网卡驱动支持 wapi，普通消费级安卓苹果系统大多默认不开放 wapi，一般是定制政企系统才带有 wapi 选项。

第二步 导入证书，在 AP 也就是路由器里面导入 CA 根证书，还有 AP 自身的证书和私钥，同时在终端设备里面导入对应的用户证书，证书是 wapi 认证的核心，没有证书就算开启 wapi，终端连接也会鉴别失败。

第三步 进入路由器无线设置页面，找到安全模式下拉选项，把原来的 wpa2psk 改成 wapi，保存配置，等待无线 AP 重启生效，这个 SSID 就切换成 wapi 加密模式。

第四步 在终端设备打开无线列表，找到这个开启 wapi 的 SSID，选择连接，终端会自动发起 WAI 鉴别流程，调用已经安装的证书做双向认证，认证通过之后，链路建立，后续无线数据由 WPI 加密传输。

第五步 连接完成之后，可以在终端或者 AP 后台查看关联状态，确认鉴别成功，如果提示鉴别失败，优先检查证书是否过期 证书是否匹配 时间是否同步，终端和 AP 时间偏差过大会造成证书校验失败。

wapi 与 wpa 对比表格

常见异常排查要点

连接 wapi 失败最常见的几个原因，第一是证书过期，证书都有有效期，到期之后 WAI 鉴别直接拒绝接入，需要重新签发导入新证书，第二是终端和 AP 系统时间不一致，证书校验依赖时间，时间差太大就会判定证书无效，第三是 SSID 安全模式不匹配，终端不支持 wapi，但是强行连接 wapi 的 SSID，会一直获取 IP 失败或者认证报错，第四是 AP 固件没有开启 wapi 相关模块，部分设备硬件芯片支持，但是固件阉割了 wapi 选项，这种情况需要刷入政企版本固件，普通家用固件无法调出 wapi 设置。

补充区分，很多人会混淆 wapi 和 wifi，wapi 不是 wifi 本身，它只是 wifi 无线链路上面的一套安全协议，无线射频还是标准 wifi 射频，只是安全加密认证换成 wapi 标准，它不是独立的无线网络制式，不能脱离 wifi 射频单独工作。

总结，wapi 使用核心三点，两端设备支持 wapi，提前导入匹配证书，AP 无线安全模式设置为 wapi，终端发起证书双向鉴别，鉴别成功之后就可以正常接入，wapi 不是普通家用 wifi 的常规选项，主要面向有合规安全要求的专网环境。

【常见问题】

问题 1 普通家用路由器可以直接开启 wapi 吗

回答 1 普通家用路由器一般固件没有 wapi 模块，不能直接开启 wapi，想要使用 wapi 必须选择原生支持 wapi 的政企 AP 设备，并且终端也要支持 wapi，否则就算找到选项也无法完成 wapi 鉴别连接。

问题 2 wapi 连接失败是不是密码错误

回答 2 wapi 连接失败不是密码错误，wapi 采用证书双向鉴别，不是传统 wpa 的密码验证，wapi 鉴别失败大多是证书过期 证书不匹配或者终端 AP 时间不同步，这是 wapi 使用里面高频故障点。

问题 3 wapi 能不能和 wpa2 在同一个 SSID 同时生效

回答 3 wapi 不能和 wpa2 在同一个 SSID 同时生效，同一个无线 SSID 的安全模式只能二选一，如果 SSID 设置成 wapi，就只允许支持 wapi 的终端接入，普通 wpa2 终端无法连接这个 SSID。

问题 4 手机默认系统支持 wapi 吗

回答 4 普通公开版手机系统默认不开放 wapi 功能，wapi 一般只在政企定制终端里面预装相关模块，普通手机想使用 wapi，需要系统底层支持 wapi 协议栈，普通升级系统一般不会新增 wapi 能力。

【免责申明】

本文内容仅作为 wapi 协议技术参考，wapi 属于具备合规属性的无线安全标准，相关证书签发和专网部署需要按照相关管理规范执行，不同厂商 AP 和终端实现细节存在差异，操作请参考设备原厂手册，私自改造固件或者违规部署专网相关风险由操作者自行承担。