WPA3 и переходный режим WPA2/WPA3: почему ноутбук не подключается

Вы включили на роутере WPA3 (или режим «WPA2/WPA3 mixed»), и часть устройств перестала подключаться. Это не поломка роутера: WPA3 — не «ещё один пароль», а другой протокол рукопожатия с обязательной защитой служебных кадров. Разберём, что именно ломается и как получить защищённую сеть без выкидывания старой техники.

Чем WPA3 отличается от WPA2

Компонент	WPA2-Personal	WPA3-Personal
Аутентификация	PSK, четырёхэтапное рукопожатие	SAE (Simultaneous Authentication of Equals)
Защита от офлайн-подбора пароля	слабая: перехваченный handshake можно перебирать офлайн	сильная: каждая попытка требует обмена с точкой доступа
Защита служебных кадров (PMF, 802.11w)	опционально	обязательна
Прямая совместимость	—	с WPA2 только через переходный режим
Работа в 6 ГГц	запрещена	обязательна

Три вещи ломают подключение чаще всего: отсутствие поддержки SAE в драйвере, требование PMF и метод вычисления пароля (H2E).

Причина 1. Драйвер не умеет WPA3

Microsoft реализовала WPA3-SAE в Windows, но требуется поддержка драйвера (WDI 1.1.8 и новее). Intel указывает:

WPA3-Personal — Windows 10 версии 1903 или новее и драйвер 21.10.x или новее;
WPA3-PSK H2E — Windows 11 либо Windows 10 21H2+ и драйвер 22.70.x или новее.

Проверка на конкретном ноутбуке:

netsh wlan show drivers

В строке Authentication and cipher supported должны присутствовать WPA3-Personal и WPA3-Enterprise (набор зависит от драйвера). Если их нет — обновите драйвер Wi-Fi. Если и после обновления нет, адаптер, скорее всего, слишком старый.

Причина 2. PMF: обязателен для WPA3, но не для WPA2

Protected Management Frames защищают кадры управления от подделки (деаутентификация, disassociation). В WPA3-only сети PMF обязателен. В переходном режиме точка доступа должна:

объявлять PMF как «capable», а не «required»;
отклонять SAE-ассоциацию, если PMF не согласован.

Практика: если на роутере PMF выставлен Required, а ноутбук с WPA2-профилем не умеет PMF, он не подключится даже к «смешанной» сети. Если PMF выставлен Disabled, WPA3-клиенты могут не подключиться вовсе. Рабочая настройка переходного периода — PMF = Optional/Capable.

Причина 3. H2E и старые клиенты

SAE может вычислять пароль двумя методами: Hunting-and-Pecking (HnP) и Hash-to-Element (H2E). H2E быстрее и устойчивее, и в 6 ГГц он обязателен. Но старые клиенты H2E не поддерживают, и тогда в логах точки доступа видно отказ SAE (в терминах Cisco — статус 30).

Что делать:

Если сеть только 2,4/5 ГГц: на переходный период разрешите оба метода (H2E + HnP) или временно оставьте HnP.
Если сеть в 6 ГГц: H2E обязателен, старый клиент туда не попадёт по определению. Это нормально: 6 ГГц — сеть только для новых устройств.

Что делать по шагам

Проверьте поддержку на клиенте: netsh wlan show drivers → Authentication and cipher supported.
Обновите драйвер Wi-Fi с сайта OEM или Intel. Не с «драйвер-паков».
Определите, что именно включено на роутере: WPA3-only, WPA2/WPA3 transition, WPA3-Enterprise. Для дома нужен первый или второй вариант, но не Enterprise.
Выставьте PMF = Optional для переходного режима.
Разделите SSID по поколениям. Надёжная схема: Home (WPA2/WPA3 transition, 2,4+5 ГГц) для всего парка и Home_6G (WPA3-only, 6 ГГц) для новых устройств. В 6 ГГц переходный режим всё равно невозможен.
Удалите старый профиль сети на ноутбуке и подключитесь заново:
```
netsh wlan delete profile name="Home"
```
Windows хранит параметры безопасности в профиле; после смены режима старый профиль может конфликтовать.
Проверьте время и сертификаты, если используется WPA3-Enterprise с 802.1X: рассинхронизация часов ломает EAP-TLS.

Почему «WPA3 mixed» иногда хуже, чем два SSID

Переходный режим — компромисс:

он позволяет downgrade-атаки: злоумышленник может попытаться вынудить клиента использовать WPA2-PSK;
часть клиентов ведёт себя нестабильно при повторном подключении;
диагностика усложняется: непонятно, по какому протоколу подключилось устройство.

Два SSID с разными именами дают прозрачность: вы точно знаете, кто в какой сети. Минус — нужно вручную выбирать сеть на устройствах.

Ограничения

6 ГГц и WPA2 несовместимы. Если нужно поддерживать старый принтер, он останется на 2,4/5 ГГц — и это правильно.
WPA3-Enterprise 192-bit — отдельный режим с усиленными алгоритмами, требует поддержки и на клиенте, и в ОС. В домашней сети он не нужен и часто недоступен на бытовых роутерах.
Гостевые сети. Enhanced Open (OWE) даёт шифрование без пароля, но не заменяет WPA3 для доверенных устройств.
Старые IoT. Дешёвые камеры и розетки часто не умеют WPA3 и не обновляются. Для них — отдельный SSID на WPA2 с изоляцией клиентов.

FAQ

Windows 10 поддерживает WPA3? Да, начиная с версии 1903 (WPA3-Personal). WPA3-Enterprise и OWE появились в версии 2004. Но нужен ещё и драйвер с поддержкой — наличие Windows само по себе ничего не гарантирует.

Почему ноутбук подключается к WPA3, а телефон нет? Телефон старше или его прошивка не поддерживает SAE/PMF. Проверьте спецификации устройства; обновление прошивки иногда помогает.

Можно ли «заставить» старый ноутбук работать в WPA3? Только обновлением драйвера, и то если адаптер поддерживает необходимые функции. Программных обходов, которые были бы безопасны, нет.

Нужно ли включать WPA3, если у меня один ноутбук 2023 года? Да, это разумный шаг: WPA3 закрывает офлайн-подбор пароля и защищает управляющие кадры. Пароль всё равно должен быть длинным.

WPA3 спасает от «злого двойника»? Частично: PMF и SAE усложняют атаки, но не заменяют проверку сертификата в корпоративной сети и здравый смысл в публичных Wi-Fi.

WPA3 и переходный режим WPA2/WPA3: почему ноутбук не подключается и как это исправить