在CentOS服务器或桌面环境中，通过nmcli命令行工具配置Wi-Fi安全加密，是确保无线网络连接安全的关键步骤。很多用户可能习惯了图形界面，但在无GUI的服务器或远程管理场景中，nmcli提供了强大且高效的控制能力。本文将详细讲解如何使用nmcli配置WPA2或WPA3等安全加密协议，并管理Wi-Fi连接，整个过程涉及查看可用网络、创建安全连接配置文件和故障排查。
nmcli工具基础与Wi-Fi安全概述
nmcli是NetworkManager的命令行版本，它允许用户完全通过终端管理网络连接。对于Wi-Fi安全，常见的加密类型包括WPA2-PSK（目前最广泛使用）和更先进的WPA3-SAE，它们能有效防止未经授权的访问和数据窃听。在开始配置前，请确保NetworkManager服务正在运行，可通过
systemctl status NetworkManager
检查。如果未运行，使用
sudo systemctl start NetworkManager
启动。
扫描并识别可用的Wi-Fi网络
首先，你需要知道周围有哪些Wi-Fi网络及其安全类型。打开终端，输入命令
sudo nmcli device wifi list
或
sudo nmcli dev wifi
。这将列出所有检测到的SSID、信号强度、安全类型（如WPA2）等信息。记下你要连接的网络SSID和安全类型，这是配置加密参数的基础。
创建安全的Wi-Fi连接配置文件
核心步骤是创建一个新的连接配置文件，并指定加密方式。假设你要连接SSID为“MySecureWiFi”、使用WPA2-PSK加密的网络，密码为“StrongPassword123”。执行以下命令：
sudo nmcli connection add type wifi con-name "MySecureWiFi" ifname wlan0 ssid "MySecureWiFi" wifi-sec.key-mgmt wpa-psk wifi-sec.psk "StrongPassword123"
这里，“con-name”是你自定义的连接名称，“ifname”是无线接口名（通常为wlan0或wlp3s0，可用
ip link show
查看），“wifi-sec.key-mgmt wpa-psk”指定密钥管理为WPA2-PSK，“wifi-sec.psk”后面填入密码。如果网络使用WPA3-SAE，则将“wpa-psk”替换为“sae”。
高级加密参数与配置调整
为了进一步提升安全性，你可以调整更多参数。例如，隐藏SSID的网络需要额外设置：
sudo nmcli connection modify "MySecureWiFi" wifi.hidden yes
如果需要配置静态IP而非DHCP，可以添加：
sudo nmcli connection modify "MySecureWiFi" ipv4.method manual ipv4.addresses 192.168.1.100/24 ipv4.gateway 192.168.1.1 ipv4.dns 8.8.8.8
这能减少DHCP协议带来的潜在风险。此外，确保加密套件是最新的，避免使用已淘汰的TKIP，优先选择CCMP加密算法。
激活连接并验证安全状态
创建配置文件后，使用
sudo nmcli connection up "MySecureWiFi"
激活连接。验证是否成功，可运行
nmcli connection show --active
查看活动连接，或
iwconfig wlan0
检查接口详情。为了确认加密是否生效，可以查看连接的具体信息：
sudo nmcli connection show "MySecureWiFi" | grep wifi-sec
输出应显示“wifi-sec.key-mgmt: wpa-psk”等正确信息。同时，建议使用
sudo journalctl -u NetworkManager
查看日志，排查任何认证错误。
常见故障排查与安全最佳实践
如果连接失败，首先检查密码是否正确，以及网络是否要求其他认证方式（如企业级的WPA-Enterprise）。命令
sudo nmcli device wifi rescan
可以重新扫描网络。对于较旧的CentOS版本，可能需要更新NetworkManager和wpa_supplicant包以确保支持最新加密。安全最佳实践包括：定期更新Wi-Fi密码；使用复杂的PSK（至少20个字符）；在服务器环境中，若非必要则禁用Wi-Fi，改用有线连接；通过防火墙规则限制无线接口的访问。此外，考虑使用802.1X企业级加密以获得更高安全性。
自动化脚本与长期维护建议
对于需要批量部署的场景，可以将配置写入脚本。例如，创建一个bash脚本包含上述命令，并设置权限为仅root可读写。长期维护时，监控NetworkManager日志中的安全事件，定期审计网络配置。如果Wi-Fi配置变更，可先删除旧配置：
sudo nmcli connection delete "MySecureWiFi"
然后重新添加。记住，nmcli配置是持久化的，重启后仍会生效，这确保了服务器无线连接的安全稳定性。
总之，通过nmcli在CentOS上配置Wi-Fi安全加密，不仅适用于服务器，也适用于任何需要安全无线连接的Linux环境。掌握这些命令，你可以高效管理加密设置，抵御常见网络威胁，确保数据传输的机密性和完整性。始终遵循最小权限原则和加密强度最大化，是维护系统安全的基础。
