智能设备只支持2.4GHz，开启WPA3后为什么配不上网？

路由器升级后，手机和电脑都正常，旧摄像头、插座或扫地机却停在“正在连接”。设备写着支持2.4GHz，只说明它能使用这个频段，不代表它认识WPA3、SAE或PMF。

最省时间的办法不是来回改主网络，而是建立一个临时2.4GHz测试SSID。设备能否接入，会直接告诉你问题在加密兼容、手机配网过程，还是设备本身。

查说明书或厂商页面，记录它支持的频段、WPA2/WPA3、加密算法和配网方式。很多旧IoT仅支持2.4GHz的WPA2-PSK/AES；WPA3-Personal使用SAE，并要求受保护管理帧，旧固件可能无法完成握手。不要仅依据包装上的Wi-Fi标志推断。

说明书里找这几项：

1. 记录型号与固件版本
2. 确认仅2.4GHz还是双频
3. 确认WPA2、WPA3和PMF要求
4. 查看是否需要蓝牙或二维码配网

说明书只写2.4GHz、没有WPA3或SAE时，先按WPA2设备处理。厂商提供新固件，可升级后再试；没有固件支持，继续调整主路由的信号强度不会解决认证失败。

临时创建独立2.4GHz SSID，使用WPA2-PSK/AES、简单但足够长的密码，关闭隐藏SSID和不必要的快速漫游特性。不要使用WEP、TKIP或开放网络。若设备能接入，说明硬件和基础无线正常，问题集中在安全模式或高级特性。

测试SSID这样设置：

1. 独立2.4GHz SSID
2. WPA2-PSK/AES
3. 关闭隐藏SSID与802.11r做对照
4. 配网成功后记录差异

设备能接入测试SSID，说明无线硬件和密码输入基本正常，差异就在加密或高级功能。仍然失败时，再查配网方式、密码字符、设备重置状态和距离。

WPA2/WPA3 Transition允许两类客户端接入，但部分旧设备仍会被SAE、PMF可选状态或路由器实现影响。混合模式失败时，不要把主网络整体降级；给旧IoT保留独立WPA2网络，并通过防火墙限制它访问主设备。

混合模式失败时这样处理：

1. 先试WPA2/WPA3混合模式
2. 失败则保留独立WPA2 IoT网
3. 禁止IoT主动访问管理网
4. 只开放DNS、NTP和必要云服务

混合模式可以让新旧设备共存，但老固件仍可能失败。此时给IoT设备保留独立WPA2网络，比把手机、电脑所在的主网络整体降级更合适。

很多App要求手机在配网时连接2.4GHz，双频同名、智能切换或Mesh漫游会让手机回到5GHz。可临时关闭5GHz或使用独立2.4GHz SSID完成配网；配完恢复原设置，再验证设备能否自动重连。不要长期为了一个旧设备关闭高频段。

手机参与配网时：

1. 手机关闭蜂窝数据做对照
2. 临时固定到2.4GHz
3. 关闭VPN与私有DNS做对照
4. 配完恢复5GHz并重启设备

手机固定在2.4GHz后能够完成配网，说明双频合一或漫游影响了App的配网过程。完成后恢复5GHz，重启智能设备，确认它能够自己重新连接。

独立IoT网络的目的不是只让设备连上，还要限制风险。给它单独网段或访客策略，默认禁止访问NAS、电脑和路由器管理页；如果投屏或本地控制需要跨网段，再按目标IP和端口最小放行。每次修改保存原配置，验证失败立即恢复。

接入后检查访问权限：

1. IoT与主网隔离
2. 保留DHCP和DNS
3. 按需放行本地控制
4. 记录并撤销临时兼容设置

IoT设备能上网后，测试它是否被禁止访问NAS、电脑和路由器管理页。本地控制需要跨网段时，只开放对应设备和端口，不要把两个网络完全放通。

设备完全看不到SSID，先检查2.4GHz是否启用、频道和隐藏网络；能看到SSID但提示密码错误，重点看WPA2、WPA3和PMF；已经连上Wi-Fi却无法在App里完成绑定，再查手机频段、蓝牙权限、VPN、DNS和厂商云服务。把这三种现象分开，能少做很多恢复出厂。

• 设备重启后能自动连接，不依赖手机再次配网。
• 主网络继续使用原来的安全设置。
• IoT网络无法随意访问电脑、NAS和管理页面。

临时关闭5GHz、VPN或漫游只用于定位。配网完成后恢复原设置，再做一次重启测试。