Два метода шифрования в одной строке настроек
В настройках беспроводной сети часто встречаются два независимых параметра: режим проверки пароля (WPA, WPA2, WPA3) и метод шифрования данных (AES или TKIP). Первый отвечает за то, как устройство доказывает, что знает пароль. Второй — за то, как именно шифруются кадры, летящие по воздуху между телефоном и роутером.
TKIP появился как временная мера, когда старые сетевые карты умели работать только с прежним алгоритмом, а безопасность потребовалось поднять быстро. Он строился поверх старой схемы и унаследовал часть её ограничений. AES (в Wi-Fi он называется CCMP) — самостоятельный современный подход, для которого в устройства закладывали отдельное аппаратное ускорение.
Поэтому пара «WPA2 + AES» считается нормой для дома, а «WPA + TKIP» — наследием, которое встречается в очень старых устройствах. Подробнее о самом стандарте можно прочитать в словаре: WPA2.
Чем AES и TKIP отличаются на практике
Разница видна в нескольких пунктах, которые важны владельцу сети.
| Параметр | AES (CCMP) | TKIP |
|---|---|---|
| Уровень защиты | Современный, используется в WPA2 и WPA3 | Устаревший, считается слабым |
| Скорость | Полная скорость стандартов 802.11n и новее | Обычно ограничена уровнем старых режимов |
| Поддержка новыми стандартами | Обязателен | Не допускается в Wi-Fi 4 и новее на полной скорости |
| Совместимость | Практически все устройства последних лет | Только очень старые адаптеры |
Особенно заметен второй пункт: стандарты 802.11n и новее не рассчитаны на работу с TKIP на полной скорости. Если в роутере включён смешанный режим, часть устройств может получить скорость заметно ниже возможной, а в ряде реализаций роутер вообще отказывается использовать высокие скорости при активном TKIP.
Отдельно стоит помнить, что метод шифрования не спасает от слабого пароля. Даже AES не защитит сеть, если пароль состоит из восьми цифр подряд.
Какие сочетания встречаются в меню роутера
Названия пунктов у разных производителей отличаются, но смысл сводится к нескольким вариантам.
- WPA2-Personal (иногда WPA2-PSK) с AES — рекомендуемый вариант для сети, где нет очень старых устройств.
- WPA2/WPA3-Personal — смешанный режим, полезен, если в доме есть и новые, и не очень новые гаджеты.
- WPA3-Personal — самый современный вариант, но часть старых устройств его не поддерживает.
- WPA/WPA2 Mixed с «AES+TKIP» — режим совместимости, который включает слабый метод ради старых клиентов.
- Open или «Без защиты» — сеть без шифрования, для дома не подходит.
Если в выпадающем списке шифрования есть строка вроде «Auto» или «AES/TKIP», она означает, что роутер согласится на любой из методов, который предложит клиент. Пока в сети нет причин для этого, лучше выбрать явное значение AES.
Как безопасно перейти на AES
Перед сменой настроек полезно понимать, что все подключённые устройства придётся подключить заново, если поменяется режим защиты. Поэтому переключать шифрование лучше в удобное время и с запасом: подготовьте пароль от сети и доступ к веб-интерфейсу по кабелю.
- Войдите в веб-интерфейс роутера по адресу и данным, указанным на наклейке корпуса.
- Откройте раздел настроек беспроводной сети и найдите пункты «Режим безопасности» и «Шифрование».
- Выберите WPA2-Personal и метод AES. Если есть режим WPA2/WPA3, его тоже можно использовать.
- Убедитесь, что пароль достаточно длинный и уникальный, а не заводской и не короткий.
- Сохраните настройки и подождите, пока сеть перезапустится.
- На каждом устройстве «забудьте» сеть и подключитесь заново, введя пароль.
Если после переключения какое-то устройство не видит сеть или не соединяется, не спешите возвращать TKIP. Сначала проверьте, есть ли у устройства обновление прошивки, и убедитесь, что вы не ошиблись при вводе пароля.
Когда старое устройство не подключается
Иногда в доме остаётся принтер, камера или игровая приставка, выпущенные много лет назад. Такие устройства могут уметь только WPA с TKIP. Тогда есть несколько разумных путей, и включение слабого режима для всей сети — далеко не единственный.
Во-первых, стоит проверить обновление прошивки самого устройства: производители иногда добавляли поддержку WPA2. Во-вторых, старое устройство можно подключить кабелем, если у него есть порт Ethernet. В-третьих, многие роутеры умеют создавать отдельную гостевую сеть или вторую сеть с другими параметрами, и слабый режим можно ограничить ею, отделив от основной сети с компьютерами и телефонами.
Если ничего из этого не подходит, стоит взвесить, что важнее: сохранить старый гаджет или защитить всю сеть. Часто замена устройства оказывается более разумным решением, чем ослабление защиты для всех. Отдельно вопрос выбора режима защиты разобран в материале о WPA3 и совместимости.
Как проверить, какой режим сейчас включён у вас
Если вы не помните, что выбрано в настройках, это легко узнать двумя способами. Первый — открыть веб-интерфейс роутера и посмотреть раздел беспроводной сети: там указаны режим защиты и шифрование для каждого диапазона. Второй — заглянуть в свойства подключения на компьютере или телефоне: система обычно показывает тип защиты сети, например «WPA2-Personal».
На что обратить внимание при осмотре:
- отдельно проверьте оба диапазона, 2,4 и 5 ГГц: у них бывают разные настройки, если сети называются по-разному;
- проверьте гостевую сеть, если она включена: её часто оставляют со старыми параметрами;
- посмотрите, не выбрано ли «Auto» в поле шифрования: тогда допускается и слабый метод;
- убедитесь, что длина пароля не короче двенадцати символов, а лучше больше.
Если система пишет, что сеть использует устаревшую защиту, это как раз сигнал проверить режим. Современные телефоны иногда сами предупреждают о слабой защите. Причина обычно в TKIP или в режиме WPA без цифры два. Отдельные сообщения об этом разобраны в разделе ошибок, например для iOS.