第 9 章：QoS 与 802.11 帧完全手册

Posted on 2026-09-14 Edited on 2026-09-19 In WiFi , Protocol Symbols count in article: 80k Reading time ≈ 1:13

"协议帧是无线世界的语言——每一种帧都是一句话，每一个字段都是一个词。"

¶ 本章导读

本章分为两大部分：

第一部分（9.1）：802.11e/WMM 的 QoS 机制——如何让不同类型的数据获得不同的优先级。

第二部分（9.2 ~ 9.9）：基于 IEEE 802.11-2024 标准，完整梳理所有帧类型、帧结构、字段定义，以及全部 Tag Element（Element ID 0~254）和扩展元素（Extended Element，Element ID 255 + Extension）。这是一份查询手册——当你在抓包中看到某个帧或某个 Tag 不认识时，翻到这里就能找到答案。

¶ 第一部分：QoS — 交通优先级

¶1 802.11e / WMM — 交通优先级

¶1.1 为什么需要 QoS？

在没有 QoS 的 WiFi 中，所有设备和所有类型的流量都用同样的 DCF 机制竞争信道。这意味着：

语音通话的延迟可能高达数百毫秒（不可接受）
文件下载可能抢占所有带宽
视频流可能出现卡顿

¶1.2 四个接入类别（Access Category）

802.11e 定义了 4 个接入类别，从高优先级到低优先级：

AC	名称	典型应用	IFS 优先级	CWmin	CWmax
AC_VO	Voice（语音）	VoIP、通话	最高	3	7
AC_VI	Video（视频）	视频流、视频会议	高	7	15
AC_BE	Best Effort（尽力而为）	网页浏览、邮件	中	15	1023
AC_BK	Background（后台）	文件下载、备份	最低	15	1023

交通比喻：
AC_VO（语音） = 急救车（120）——最高优先级，其他车必须让路
AC_VI（视频） = 警车（110）——高优先级，但要让急救车
AC_BE（尽力而为） = 私家车——普通优先级
AC_BK（后台） = 自行车——最低优先级

¶1.3 EDCA（Enhanced Distributed Channel Access）

EDCA 是 802.11e 的核心接入机制。它修改了 DCF 的参数，让高优先级的流量更容易获得信道：

EDCA 接入优先级 — 急救车 > 警车 > 私家车 > 自行车

AIFS（Arbitration Interframe Space）：

AIFS[AC] = SIFS + AIFSN[AC] × Slot Time

AC	AIFSN	AIFS (OFDM)
AC_VO	2	34 μs
AC_VI	2	34 μs
AC_BE	3	43 μs
AC_BK	7	79 μs

交通比喻：AIFS 就像不同车辆的 "启动延迟"——急救车（AC_VO）只等 2 个时隙，私家车（AC_BE）要等 3 个时隙。加上退避窗口的差异，急救车几乎总是能先通过路口。

¶1.4 TXOP（传输机会）

TXOP（Transmission Opportunity）是 802.11e 引入的另一个重要概念：获得信道后，可以连续传输多长时间。

AC	典型 TXOP 限制
AC_VO	2.080 ms（可以发多个语音帧）
AC_VI	4.096 ms（可以发多个视频帧）
AC_BE	0（单帧，无 TXOP）
AC_BK	0（单帧，无 TXOP）

交通比喻：TXOP 就像绿灯持续时间——急救车的绿灯可能只持续 1.5ms，但足够它通过整个路口。私家车（AC_BE/BK）的绿灯只够过一辆车（单帧），想连续过车就得重新排队竞争。

TXOP Limit 的特殊值：

TXOP Limit = 0：不是 "不限时间"，而是 "每个 TXOP 只能发一个 MSDU/A-MSDU"
TXOP Limit > 0：单位是 32 μs，比如值为 65（= 65×32 = 2080 μs ≈ 2.08 ms）

TXOP 内部的帧交换：

在 TXOP 期间，STA 可以连续发送多个帧，帧间只需 SIFS（无需重新竞争）：

STA ──[Data]──►AP    (SIFS)
STA ◄──[ACK]──AP    (SIFS)
STA ──[Data]──►AP    (SIFS)
STA ◄──[ACK]──AP    (SIFS)
STA ──[Data]──►AP    (SIFS)
STA ◄──[ACK]──AP
     ◄─── TXOP 期间 ───►

交通比喻：TXOP 期间就像 "绿灯时间内你可以连续过好几辆车"——不用每过一辆就重新等红灯。

¶1.5 EDCA 参数的编码与传播

ECWmin / ECWmax — 指数编码：

标准中 CW 值不是直接存储的，而是存储指数形式：

1 2	CWmin = 2^ECWmin - 1 CWmax = 2^ECWmax - 1

例如 ECWmin=4 → CWmin=15，ECWmin=1 → CWmin=1。

EDCA 参数由 AP 统一下发：

STA 自己不决定 EDCA 参数，而是从 AP 的 Beacon / Probe Response 中的 EDCA Parameter Set 元素（Element ID 12）获取。AP 可以随时修改参数，STA 必须遵从。

EDCA Parameter Set 元素结构：

 1字节   1字节   1字节      1字节       4字节       4字节       4字节       4字节
┌───────┬───────┬──────────┬──────────┬───────────┬───────────┬───────────┬───────────┐
│ID=12  │Length │QoS Info  │Update    │AC_BE     │AC_BK     │AC_VI     │AC_VO     │
│       │       │          │EDCA Info │Parameter │Parameter │Parameter │Parameter │
│       │       │          │          │Record    │Record    │Record    │Record    │
└───────┴───────┴──────────┴──────────┴───────────┴───────────┴───────────┴───────────┘

读这张图抓主干：ID=12 定位元素，QoS Info 携带更新计数，四个 AC 参数块按 BE/BK/VI/VO 顺序排布——AP 就靠这一条元素统一下发竞争参数。

每个 AC Parameter Record（4 字节）：

 B0  B3│B4│B5 B6│B7│ B0  B3│B4  B7│  2字节
┌──────┬──┬─────┬──┬──────┬──────┬──────────┐
│AIFSN │AC│ ACI │Re│ECWmin│ECWmax│TXOP Limit│
│      │M │     │sv│      │      │          │
└──────┴──┴─────┴──┴──────┴──────┴──────────┘

子字段	说明
AIFSN	仲裁帧间隔数（最小值为 2）
ACM	准入控制标志（见 9.1.6）
ACI	AC 索引（0=BE, 1=BK, 2=VI, 3=VO）
ECWmin / ECWmax	竞争窗口指数
TXOP Limit	传输机会限制（单位 32 μs，0 = 单帧）

Update Count 机制：

QoS Info 字段中有一个 EDCA Parameter Set Update Count（4 bit）。STA 检测到这个计数器变化时，就知道 AP 修改了 EDCA 参数，需要重新读取。

交通比喻：就像交管局发布的 "交通规则修订公告"——公告编号变了，就说明规则改了，所有司机都要重新学习。

¶1.6 ACM — 准入控制

每个 AC 都有一个 ACM（Admission Control Mandatory） 位。当 ACM=1 时：

STA 不能直接使用该 AC 发送数据
必须先发送 ADDTS Request（Action 帧，Category=1）附带 TSPEC 元素
AP 根据当前负载决定是否批准
批准后回复 ADDTS Response，分配具体的 medium time

为什么需要准入控制？

假设一个 AP 下有 50 台设备，都用 AC_VO 发数据——如果没有准入控制，"全员急救车" 反而会导致谁都走不了（碰撞概率暴增）。ACM 就是 "急救车通行证制度"——你必须先申请，交管局批准了才能走急救车道。

企业网络的典型配置：

AC	ACM	说明
AC_VO	1（必须申请）	保护语音质量，防止滥用
AC_VI	0 或 1	视频会议通常需要申请
AC_BE	0	普通数据不需要申请
AC_BK	0	后台下载不需要申请

¶1.7 TSPEC — QoS 的 "合同"

TSPEC（Traffic Specification）元素（Element ID 13）是 QoS 的核心契约——它详细描述了一个流量流的特征和需求。

 1字节  1字节  3字节   2字节    2字节    4字节    4字节    4字节    4字节
┌──────┬──────┬───────┬────────┬────────┬────────┬────────┬────────┬────────┐
│ID=13 │Len   │TS Info│Nominal │Maximum │Minimum │Maximum │Inacti- │Suspen- │
│      │      │       │MSDU    │MSDU    │Service │Service │vity    │sion    │
│      │      │       │Size    │Size    │Interval│Interval│Interval│Interval│
└──────┴──────┴───────┴────────┴────────┴────────┴────────┴────────┴────────┘

 4字节    4字节    4字节    4字节    4字节    4字节    4字节    2字节    2字节
┌────────┬────────┬────────┬────────┬────────┬────────┬────────┬────────┬────────┐
│Service │Minimum │Mean    │Peak    │Burst   │Delay   │Minimum │Surplus │Medium  │
│Start   │Data    │Data    │Data    │Size    │Bound   │PHY     │Bandwd  │Time    │
│Time    │Rate    │Rate    │Rate    │        │        │Rate    │Allow.  │        │
└────────┴────────┴────────┴────────┴────────┴────────┴────────┴────────┴────────┘

关键参数详解：

参数	说明	交通比喻
Nominal MSDU Size	典型包大小	货物的标准箱尺寸
Mean Data Rate	平均数据速率（b/s）	每小时平均车流量
Peak Data Rate	峰值数据速率	高峰期最大车流量
Delay Bound	延迟上限（μs）	"必须在 X 分钟内到达"
Min PHY Rate	最低物理层速率	"最低限速"
Surplus Bandwidth Allowance	余量系数（如 1.1 = 多预留 10%）	"多留 10% 的车道容量"
Burst Size	最大突发量（字节）	"一次最多来 X 辆车"
Inactivity Interval	无流量超时时间	"多久没车就收回通行证"

TS Info 字段关键子字段：

子字段	位	说明
Traffic Type	B0	0 = 不规则（非周期），1 = 规则（周期）
TSID	B1~B4	Traffic Stream ID (0~15)
Direction	B5~B6	00 = 上行，10 = 下行，01 = 直连，11 = 双向
Access Policy	B7~B8	00 = 保留，10=EDCA，01=HCCA（DMG 为 SPCA），11=HEMM（HCCA+EDCA 混合，DMG 为 SEMM）
Aggregation	B9	0 = 不聚合，1 = 聚合
APSD	B10	0 = 不使用，1 = 使用省电
User Priority	B11~B13	用户优先级 (0~7)

交通比喻：TSPEC 就像 "特种车辆通行证申请表"——你要填清楚 "车多大、跑多快、最晚几点到、走哪条路"，交管局审核通过才发通行证。

¶1.8 HCCA — 集中式接入（几乎未部署）

802.11e 实际定义了两种信道接入机制：

机制	方式	部署情况
EDCA	分布式（STA 自己竞争）	广泛部署（WMM）
HCCA	集中式（AP 轮询分配）	几乎未部署

HCCA 的思路是 AP 充当 "协调员"（HC, Hybrid Coordinator），轮询每个 STA 分配精确的信道时间。理论上 HCCA 可以提供硬实时保证（比如 "每 20ms 给你 5ms 的信道时间"），但实现太复杂——AP 需要一个实时调度器，还要处理各种边界情况。所以现实世界只用了 EDCA。

交通比喻：EDCA 是 "大家自己抢路，但急救车优先"；HCCA 是 "交管中心统一调度，精确到毫秒给每辆车分配通行时间"。后者理论上更完美，但成本太高。

¶1.9 MU EDCA — 802.11ax 的争用降级

802.11ax 引入了一个巧妙的机制：MU EDCA 参数。

在 OFDMA 场景下，AP 通过 Trigger 帧调度多个 STA 同时上行发送。问题是：如果 STA 完成 Trigger 调度的传输后，马上又用正常的 EDCA 参数去抢信道，很容易和还没被调度的 STA 碰撞。

解决方案：STA 收到 Trigger 帧并完成传输后，临时切换到更保守的 EDCA 参数（更大的 CW、更长的 AIFSN），在下一个 EDCA TXOP 或 Beacon 间隔后恢复正常。

MU EDCA Parameter Set 元素（Element ID Extension 38，Element ID = 255）：

 1字节     1字节    1字节         4字节×4
┌─────────┬────────┬────────────┬──────────────┐
│ID=255   │Length  │Ext ID=38   │MU AC_BE/BK/ │
│         │        │            │VI/VO Record │
└─────────┴────────┴────────────┴──────────────┘

争用降级的效果：

参数	正常 EDCA (AC_BE)	MU EDCA (AC_BE)
AIFSN	3	7~15
ECWmin	4 (CWmin=15)	5~15
ECWmax	10 (CWmax=1023)	10~15

交通比喻：就像 "刚抢到路的车，下一轮要多等一会儿"——让还没走的车有机会通过，避免 "赢家通吃"。

¶1.10 QMF — 管理帧的优先级管理

默认情况下，所有管理帧都用 AC_VO 发送（最高优先级）。但 QMF（QoS Management Frame）机制允许 AP 重新映射管理帧的优先级：

QMF Policy 元素通过 QACM（QACM = QoS Access Category Mapping）字段，把特定的管理帧子类型映射到指定的 AC：

QACM 字段	说明
Management Frame Subtype	要映射的管理帧子类型
AC	目标接入类别
Individually Addressed	是否适用于单播帧
Group Addressed	是否适用于组播帧

默认 QMF 策略：所有管理帧 → AC_VO。

为什么要改？ 如果网络中有大量低优先级的管理帧（比如测量报告、WNM 通知），都走 AC_VO 会挤占真正的语音流量。QMF 让 AP 把这些 "不那么紧急" 的管理帧降到低优先级 AC。

交通比喻：默认所有公务车都走急救车道，但 QMF 允许 "环卫车走普通车道，只有救护车走急救车道"。

¶1.11 WMM 与 802.11e 的关系

概念	说明
802.11e	IEEE 标准（2005），定义了 EDCA + HCCA + TSPEC + Block ACK
WMM	Wi-Fi Alliance 认证，只实现了 EDCA 部分
WMM-PS	WMM 省电模式（U-APSD）
WMM-SA	WMM 调度准入（对应 TSPEC/ADDTS）

现实中的 "QoS" 通常指 WMM（即 EDCA）。802.11e 的 HCCA 和完整的 TSPEC 调度几乎没有实际部署。

¶1.12 重传与 QoS 的交互

不同 AC 有不同的重传行为：

交互	说明
短帧重试限制	不同 AC 可以有不同的短帧重试次数（默认 7）
长帧重试限制	不同 AC 可以有不同的长帧重试次数（默认 4）
丢帧策略	达到重试上限后丢弃，高优先级帧优先重传

交通比喻：急救车如果第一次没通过路口，会比私家车更快地再次尝试。

¶1.13 默认 EDCA 参数表

非传感器 STA 的默认参数（AP 未下发 EDCA Parameter Set 时使用）：

AC	CWmin	CWmax	AIFSN	TXOP Limit (OFDM)
AC_BK	aCWmin (15)	aCWmax (1023)	7	0（单帧）
AC_BE	aCWmin (15)	aCWmax (1023)	3	0（单帧）
AC_VI	(aCWmin+1)/2-1 (7)	aCWmin (15)	2	6.016 ms / 4.096 ms
AC_VO	(aCWmin+1)/4-1 (3)	(aCWmin+1)/2-1 (7)	2	3.264 ms / 2.080 ms

注意：ACI（AC Index）和 AC 的映射：

ACI	AC	说明
0	AC_BE	Best Effort
1	AC_BK	Background
2	AC_VI	Video
3	AC_VO	Voice

关键细节：ACI 的编码顺序和优先级顺序不同！AC_BE=0, AC_BK=1, AC_VI=2, AC_VO=3。这是历史遗留问题——802.11e 按 "传输类别" 编码而非 "优先级" 编码。

¶ 第二部分：802.11 帧完全手册

¶2 帧格式基础 — 通用骨架

¶2.1 通用 MAC 帧格式

所有 802.11 帧（除极少数例外）都遵循一个通用骨架。理解这个骨架，就理解了所有帧的基础。

 2字节    2字节    6字节    6字节    6字节    2字节    0/2/6字节   0/4字节    变长     4字节
┌────────┬────────┬────────┬────────┬────────┬────────┬──────────┬──────────┬────────┬────────┐
│ Frame  │Duration│Address │Address │Address │Sequence│ Address  │  QoS /   │ Frame  │  FCS   │
│Control │  /ID   │   1    │   2    │   3    │Control │    4     │HT Control│  Body  │        │
└────────┴────────┴────────┴────────┴────────┴────────┴──────────┴──────────┴────────┴────────┘
│◄──────────────── MAC Header ──────────────────────►│◄── 可选 ──►│◄─ 有效载荷 ─►│◄─ 校验 ─►│

交通比喻：MAC Header 就像信封——上面写着 "谁发的、发给谁、这封信是什么类型"。Frame Body 是信的内容，FCS 是信封上的验证码（确保信没被篡改）。

各字段概览：

字段	大小	说明
Frame Control	2 字节	帧类型、子类型、各种标志位
Duration/ID	2 字节	NAV 值或 AID（用于 PS-Poll）
Address 1	6 字节	接收地址（RA）
Address 2	6 字节	发送地址（TA）
Address 3	6 字节	用途取决于帧类型（BSSID/DA/SA）
Sequence Control	2 字节	分段号 + 序列号
Address 4	0 或 6 字节	仅在 Data 帧 To DS=1 & From DS=1 时存在
QoS Control	0 或 2 字节	仅在 QoS 数据帧中存在
HT Control	0 或 4 字节	仅在 +HTC=1 时存在
Frame Body	0~7951 字节	有效载荷（数据或管理信息元素）
FCS	4 字节	CRC-32 校验

这个字段顺序不是随意的——固定宽度、必现的字段排在最前，可选的 QoS/HT Control 靠后，变长 Body 与 FCS 收尾，让硬件能用一次固定偏移的解析就把帧头读完。

¶2.2 Frame Control 字段详解（2 字节 / 16 bit）

Frame Control 是每个 802.11 帧的 "身份证"，包含了帧的基本属性。

 B0  B1│B2  B3│B4  B5  B6  B7│  B8 │  B9 │ B10│ B11│ B12│ B13│ B14│ B15│
┌──────┬──────┬──────────────┬─────┬─────┬────┬────┬────┬────┬────┬────┤
│Proto │ Type │   Subtype    │To DS│From │More│Retr│ PM │More│Prot│+HTC│
│Ver   │      │              │     │ DS  │Frag│ y  │    │Data│ect │    │
└──────┴──────┴──────────────┴─────┴─────┴────┴────┴────┴────┴────┴────┘
 2 bit   2 bit    4 bit       1 bit 1 bit 1bit 1bit 1bit 1bit 1bit 1bit

子字段	位	说明
Protocol Version	B0~B1	协议版本，固定为 0（PV1 为 1）
Type	B2~B3	帧类型：00 = 管理，01 = 控制，10 = 数据，11 = 扩展
Subtype	B4~B7	帧子类型（见下方完整表格）。Data 帧中 B7 是 QoS 标志
To DS	B8	1 = 发往分布式系统（AP）
From DS	B9	1 = 来自分布式系统（AP）
More Fragments	B10	1 = 还有后续分段
Retry	B11	1 = 这是重传帧
Power Management	B12	1 = 发送端将进入省电模式
More Data	B13	1=AP 缓存了更多数据给该 STA
Protected Frame	B14	1=Frame Body 已加密
+HTC	B15	1 = 帧包含 HT Control 字段

交通比喻：Frame Control 就像快递单上的 "品类标签"——它告诉系统 "这是普通包裹还是加急件，要不要签收确认，里面有没有易碎品"。

¶2.3 Duration/ID 字段（2 字节）

这个字段有双重身份：

值范围	Bit15	Bit14	含义
0~32767	0	0	Duration 值（微秒），用于 NAV 设置
32768~49151	1	0	保留
49152~65535	1	1	AID（PS-Poll 帧中使用，标识 STA）

交通比喻：Duration 就像 "预计占用道路时间"——告诉其他车辆 "我要用这条路 X 微秒，你们别来抢"。而在 PS-Poll 中，它变成了 "我的会员号是 XXX"。

¶2.4 地址字段规则

地址字段的含义取决于帧类型和 To DS / From DS 的组合：

管理帧和控制帧：

Address 1 = RA（接收方）
Address 2 = TA（发送方）
Address 3 = BSSID

数据帧（非 Mesh STA）：

To DS	From DS	Addr 1	Addr 2	Addr 3	Addr 4
0	0	RA=DA	TA=SA	BSSID	无
0	1	RA=DA	TA=BSSID	SA	无
1	0	RA=BSSID	TA=SA	DA	无
1	1	RA	TA	DA	SA

交通比喻：地址字段就像快递单上的地址——"To DS=1, From DS=0" 意味着 "从你家寄到快递站"，Address 1 是快递站地址（RA=BSSID），Address 2 是你的地址（TA=SA），Address 3 是最终收件人（DA）。

¶3 帧类型与子类型 — 完整清单

¶3.1 四大帧类型

802.11 定义了四大帧类型，由 Frame Control 的 Type 字段（B2~B3）决定：

Type 值	类型	说明
00	Management（管理帧）	网络管理：发现、认证、关联
01	Control（控制帧）	信道控制：确认、RTS/CTS、Block ACK
10	Data（数据帧）	用户数据传输
11	Extension（扩展帧）	DMG Beacon、S1G Beacon

¶3.2 全部子类型完整表

¶3.2.1 管理帧子类型（Type = 00）

Subtype 值	子类型名称	说明
0000	Association Request	STA 请求关联到 AP
0001	Association Response	AP 回复关联结果
0010	Reassociation Request	STA 请求重新关联（漫游）
0011	Reassociation Response	AP 回复重新关联结果
0100	Probe Request	STA 主动探测周围 AP
0101	Probe Response	AP 回复探测请求
0110	Timing Advertisement	时间公告
0111	Reserved	保留
1000	Beacon	AP 周期性广播（每 ~100ms）
1001	ATIM	IBSS 中的通知（Announcement Traffic Indication Message）
1010	Disassociation	断开关联
1011	Authentication	身份认证
1100	Deauthentication	断开认证
1101	Action	动作帧（触发各种操作）
1110	Action No Ack	无需确认的动作帧
1111	Reserved	保留

¶3.2.2 控制帧子类型（Type = 01）

Subtype 值	子类型名称	说明
0000~0001	Reserved	保留
0010	Trigger	触发帧（HE/BE UL MU）
0011	TACK	时间确认
0100	Beamforming Report Poll	波束成形报告轮询
0101	VHT/HE NDP Announcement	VHT/HE 空数据包公告
0110	Control Frame Extension	控制帧扩展（见下方扩展表）
0111	Control Wrapper	控制帧包装
1000	Block Ack Request (BlockAckReq)	请求 Block ACK
1001	Block Ack (BlockAck)	批量确认
1010	PS-Poll	省电轮询
1011	RTS	请求发送
1100	CTS	清除发送
1101	Ack	确认
1110	CF-End	无竞争期结束
1111	Reserved	保留

¶3.2.3 控制帧扩展（Subtype = 0110，通过 B8~B11 进一步区分）

Extension 值 (B11~B8)	子类型名称	说明
0000	Sector Ack	扇区确认
0001	Block Ack Schedule	Block ACK 调度
0010	Poll	轮询（DMG）
0011	SPR	服务期请求（DMG）
0100	Grant	授权（DMG）
0101	DMG CTS	DMG 清除发送
0110	DMG DTS	DMG 数据传输开始
0111	Grant Ack	授权确认
1000	SSW	扇区扫描（DMG）
1001	SSW-Feedback	扇区扫描反馈
1010	SSW-Ack	扇区扫描确认
1011	TDD Beamforming	TDD 波束成形
1100~1111	Reserved	保留

¶3.2.4 数据帧子类型（Type = 10）

Subtype 值	子类型名称	QoS?	说明
0000	Data	否	普通数据帧
0001	EBCS Data	否	EBCS 数据帧
0010	Reserved	—	保留
0011	Reserved	—	保留
0100	Null	否	无 Frame Body（用于省电通知）
0101	Reserved	—	保留
0110	Reserved	—	保留
0111	Reserved	—	保留
1000	QoS Data	是	QoS 数据帧
1001	QoS Data +CF-Ack	是	QoS 数据 + CF 确认
1010	QoS Data +CF-Poll	是	QoS 数据 + CF 轮询
1011	QoS Data +CF-Ack +CF-Poll	是	QoS 数据 + CF 确认 + CF 轮询
1100	QoS Null	是	QoS 空帧（无数据，仅 QoS 控制）
1101	Reserved	—	保留
1110	QoS CF-Poll	是	QoS CF 轮询
1111	QoS CF-Ack +CF-Poll	是	QoS CF 确认 + CF 轮询

交通比喻：
Null 帧 = 空车跑一趟——不载货，但告诉 AP "我还醒着，别把我的包裹扔了"
QoS Data = 加急快递——贴了优先级标签，快递站会优先处理

¶3.2.5 扩展帧子类型（Type = 11）

Subtype 值	子类型名称	说明
0000	DMG Beacon	定向多吉赫兹 Beacon（60 GHz）
0001	S1G Beacon	S1G Beacon（Sub-1 GHz，IoT）
0010~1111	Reserved	保留

¶4 控制帧详解 — 交通信号灯

控制帧是 802.11 的 "交通信号系统"——它们不携带用户数据，而是协调信道的使用。

¶4.1 通用控制帧格式

控制帧的 MAC Header 比数据帧简单得多——通常只有 Frame Control、Duration/ID 和 Address 1（RA），有些控制帧还有额外字段。

 2字节    2字节    6字节     可变      4字节
┌────────┬────────┬────────┬─────────┬────────┐
│ Frame  │Duration│Address │  额外   │  FCS   │
│Control │  /ID   │  1(RA) │  字段   │        │
└────────┴────────┴────────┴─────────┴────────┘

控制帧为何省掉 Address 3/4？因为它们不承载用户数据、无需四地址寻址——RTS/CTS/ACK 只靠一个 RA（加可选 TA）就能完成信道协调与确认，省下的地址字段缩短帧长、降低空口与解析开销，让短控制帧更快抢到信道。

¶4.2 RTS（Request To Send）

帧格式：

字段	大小	说明
Frame Control	2 字节	Type=01, Subtype=1011
Duration	2 字节	本次传输预计占用信道的时间（微秒）
RA	6 字节	接收方 MAC 地址
TA	6 字节	发送方 MAC 地址
FCS	4 字节	校验

总大小：20 字节

交通比喻：RTS 就像在路口按下 "请求通行" 按钮——"我要过马路了，请所有车暂停"。

¶4.3 CTS（Clear To Send）

帧格式：

字段	大小	说明
Frame Control	2 字节	Type=01, Subtype=1100
Duration	2 字节	RTS 中的 Duration - SIFS - CTS 传输时间
RA	6 字节	原 RTS 发送方的 MAC 地址
FCS	4 字节	校验

总大小：14 字节

交通比喻：CTS 就像路口的绿灯——"好，你可以过了，其他车请等待"。

¶4.4 ACK（Acknowledgment）

帧格式：

字段	大小	说明
Frame Control	2 字节	Type=01, Subtype=1101
Duration	2 字节	原帧 Duration - SIFS - ACK 传输时间
RA	6 字节	原发送方的 MAC 地址
FCS	4 字节	校验

总大小：14 字节

交通比喻：ACK 就像签收确认——"包裹收到了，一切正常"。

¶4.5 PS-Poll（Power Save Poll）

帧格式：

字段	大小	说明
Frame Control	2 字节	Type=01, Subtype=1010
AID	2 字节	AP 分配给 STA 的关联标识（高 2 位为 11）
BSSID	6 字节	AP 的 MAC 地址
TA	6 字节	STA 的 MAC 地址
FCS	4 字节	校验

总大小：20 字节

交通比喻：PS-Poll 就像睡醒后按门铃——"我醒了，有我的快递吗？"

¶4.6 CF-End（Contention-Free End）

帧格式：

字段	大小	说明
Frame Control	2 字节	Type=01, Subtype=1110
Duration	2 字节	设为 0（释放信道）
RA	6 字节	广播地址
BSSID	6 字节	AP 的 MAC 地址
FCS	4 字节	校验

总大小：20 字节

交通比喻：CF-End 就像路口恢复——"特殊管制结束，所有车辆恢复自由通行"。

¶4.7 BlockAckReq（Block Ack Request）

BlockAckReq 用于请求 Block ACK 确认，配合 A-MPDU 批量传输使用。

通用格式：

字段	大小	说明
Frame Control	2 字节	Type=01, Subtype=1000
Duration	2 字节	NAV 值
RA	6 字节	接收方地址
TA	6 字节	发送方地址
BAR Control	2 字节	Block ACK 类型、TID 等
BAR Information	变长	起始序列号等
FCS	4 字节	校验

BAR Control 字段（2 字节）：

子字段	位	说明
BAR Ack Policy	B0	0=Normal, 1=No Ack
Type	B1~B4	0000=Reserved, 0001=Multi-TID, 0010=Compressed, 0011=Extended Compressed, 0100=GCR
Reserved/Group	B5~B11	保留或 GCR Group Address
TID	B12~B15	Traffic Identifier

Compressed BlockAckReq variant（最常用）：

字段	大小	说明
BAR Control	2 字节	如上
Starting Sequence Control	2 字节	起始序列号（高 4 位 = Fragment, 低 12 位 = Sequence）

交通比喻：BlockAckReq 就像物流中心拿出一张发货清单——"这是今天发的所有包裹编号，请逐个核对告诉我哪些到了"。

¶4.8 BlockAck（Block Acknowledgment）

BlockAck 是对 BlockAckReq 的响应，使用 Bitmap 标记每个帧的接收状态。

通用格式：

字段	大小	说明
Frame Control	2 字节	Type=01, Subtype=1001
Duration	2 字节	NAV 值
RA	6 字节	请求方地址
TA	6 字节	响应方地址
BA Control	2 字节	类型、TID 等
BA Information	变长	起始序列号 + Bitmap
FCS	4 字节	校验

Compressed BlockAck variant（最常用）：

字段	大小	说明
BA Control	2 字节	同 BAR Control
BA Starting Sequence Control	2 字节	起始序列号
BA Bitmap	8 字节 (64 bit)	每一位对应一个 MPDU：1 = 成功，0 = 失败

Bitmap 的含义：

起始序列号 = 100
Bitmap = 1101 0110 ...
         ││││ │││└─ Seq 100: 成功 ✓
         ││││ ││└── Seq 101: 失败 ✗
         ││││ │└─── Seq 102: 成功 ✓
         ││││ └──── Seq 103: 成功 ✓
         │││└────── Seq 104: 失败 ✗
         ││└─────── Seq 105: 成功 ✓
         │└──────── Seq 106: 成功 ✓
         └───────── Seq 107: 成功 ✓

Multi-STA BlockAck variant（HE/BE 使用，支持同时确认多个 STA）：

字段	大小	说明
BA Control	2 字节	Type=0101 (Multi-TID + Multi-STA)
Per AID TID Info	6 字节 ×N	每个 STA 的 AID + TID + Bitmap

交通比喻：BlockAck 就像车队到达后的 "货物清单核对"——不是逐个签收，而是拿着清单一次性核对，标记哪些到了、哪些丢了。

¶4.9 Trigger 帧（HE/BE）

Trigger 帧是 802.11ax (HE) 引入的重要控制帧，用于调度上行多用户传输（UL MU）。

帧格式：

字段	大小	说明
Frame Control	2 字节	Type=01, Subtype=0010
Duration	2 字节	NAV 值
RA	6 字节	广播地址
TA	6 字节	AP 地址
Common Info	变长	触发公共信息
User Info	变长 ×N	每个被调度 STA 的信息
FCS	4 字节	校验

Common Info 字段：

子字段	大小	说明
Trigger Type	4 bit	0=Basic, 1=BFRP, 2=MU-BAR, 3=MU-RTS, 4=BSRP, 5=GCR MU-BAR, 6=BQRP (Bandwidth Query Report Poll), 7=NFRP (NDP Feedback Report Poll), 8=Ranging
UL Length	2 字节	上行 PPDU 长度
More TF	1 bit	是否有更多 Trigger
CS Required	1 bit	是否需要载波侦听
UL BW	2 bit	上行带宽
UL STBC	1 bit	是否使用 STBC
AP TX Power	1 字节	AP 发射功率
UL Spatial Reuse	2 字节	空间复用参数
UL Target RSSI	1 字节	目标接收功率

Trigger 变体：

Trigger Type	名称	用途
0	Basic Trigger	调度 STA 上行发送数据
1	BFRP	请求波束成形报告
2	MU-BAR	批量请求 Block ACK
3	MU-RTS	批量请求 CTS
4	BSRP	请求缓冲区状态报告
5	GCR MU-BAR	GCR 批量请求 Block ACK
6	BQRP	带宽查询报告轮询
7	NFRP	NDP 反馈报告轮询

交通比喻：Trigger 帧就像交管中心的 "集体调度令"——"所有编号 1~8 的车辆，现在可以同时出发了，走你们各自的车道"。

¶4.10 VHT/HE NDP Announcement

用于通知 STA 即将进行 NDP（Null Data Packet）波束成形测量。

帧格式：

字段	大小	说明
Frame Control	2 字节	Type=01, Subtype=0101
Duration	2 字节	NAV 值
RA	6 字节	接收方地址
TA	6 字节	发送方地址
STA Info	变长 ×N	每个 STA 的信息（AID + Feedback Type 等）
FCS	4 字节	校验

¶5 数据帧详解 — 货运卡车

数据帧是 802.11 的核心——用户数据的载体。

¶5.1 通用数据帧格式

 2字节   2字节   6字节   6字节   6字节   2字节  0/6字节  0/2字节  0/4字节  变长    4字节
┌───────┬───────┬───────┬───────┬───────┬──────┬───────┬───────┬───────┬───────┬──────┐
│ Frame │Durat- │Addr   │Addr   │Addr   │Seq   │Addr   │  QoS  │  HT   │ Frame │ FCS  │
│Control│ ion/ID│  1    │  2    │  3    │Ctrl  │  4    │Control│Control│ Body  │      │
└───────┴───────┴───────┴───────┴───────┴──────┴───────┴───────┴───────┴───────┴──────┘
│◄──────────────── MAC Header ─────────────────────────────────────────►│

各字段存在条件：

字段	存在条件	大小
Frame Control	始终存在	2 字节
Duration/ID	始终存在	2 字节
Address 1	始终存在	6 字节
Address 2	始终存在	6 字节
Address 3	始终存在	6 字节
Sequence Control	始终存在	2 字节
Address 4	To DS=1 且 From DS=1 时存在	6 字节
QoS Control	QoS 子类型时存在（Subtype B7=1）	2 字节
HT Control	+HTC=1 时存在	4 字节
Frame Body	除 Null/QoS Null 外都存在	0~7951 字节
FCS	始终存在	4 字节

¶5.2 QoS Control 字段详解（2 字节）

QoS Control 是 QoS 数据帧的核心——它携带了优先级和流量管理信息。

 B0  B1  B2  B3│B4 │B5  B6│ B7  │B8  B9  B10 B11 B12 B13 B14 B15│
┌──────────────┬───┬──────┬──────┬───────────────────────────────┐
│     TID      │EOS│ Ack  │A-MSDU│TXOP Duration Requested /       │
│   (4 bit)    │P  │Policy│Present│Queue Size (8 bit)             │
└──────────────┴───┴──────┴──────┴───────────────────────────────┘

读这张图抓四段：TID 定优先级，EOSP 标服务期结束，Ack Policy 定确认方式，末尾 8 位按帧类型切换为 TXOP 或 Queue Size。

子字段	位	说明
TID	B0~B3	Traffic Identifier (0~15)，映射到 4 个 AC
EOSP	B4	End of Service Period，1 = 服务期结束
Ack Policy	B5~B6	00=Normal ACK, 01=No ACK, 10=No explicit ACK, 11=Block ACK
A-MSDU Present	B7	1=Frame Body 是 A-MSDU
TXOP Limit	B8~B15	或 Queue Size 或 A-MSDU Type（取决于帧类型）

TID 到 AC 的映射：

TID	AC	优先级
1, 2	AC_BK	最低
0, 3	AC_BE	中
4, 5	AC_VI	高
6, 7	AC_VO	最高

这 8 个 TID 折叠进 4 个 AC：驱动把 TID 对 8 取余得到 UP，再按上表映射到 AC，最终落入固件的 4 个硬件发送队列；每个队列绑定独立的 AIFSN/CW/TXOP 竞争参数，高优先级 TID 因此更早抢到信道。

交通比喻：TID 就像快递单上的 "优先级标签"——TID=7 的包裹会被快递站当作 "当日达" 优先处理，TID=1 的包裹则当作 "经济快递" 排在最后。

¶5.3 A-MSDU（Aggregate MSDU）

A-MSDU 允许将多个 MSDU 聚合到一个帧中，减少帧头开销。

Basic A-MSDU 子帧格式：

 6字节  6字节  2字节   变长    0~3字节
┌──────┬──────┬──────┬───────┬────────┐
│  DA  │  SA  │Length│ MSDU  │Padding │
└──────┴──────┴──────┴───────┴────────┘
│◄──────── A-MSDU 子帧头 ────►│

每个子帧（最后一个除外）填充到 4 字节对齐
最大子帧大小：3839 字节（或 7935 字节，取决于实现）
所有子帧的 TID 必须相同

Short A-MSDU 子帧格式（仅 DMG）：

 2字节    变长     0~3字节
┌────────┬───────┬────────┐
│ Length │ MSDU  │Padding │
└────────┴───────┴────────┘

交通比喻：A-MSDU 就像 "拼车"——多个小包裹拼到一辆大卡车上，共用一个车头（MAC Header），节省了开销。

¶5.4 数据帧子类型详解

¶5.4.1 Data（Subtype 0000）

最基础的数据帧，不含 QoS Control 字段。用于非 QoS STA。

¶5.4.2 Null Data（Subtype 0100）

Frame Body 为空。不携带任何用户数据，专门用于 MAC 控制目的：

省电通知：STA 发送 Null（PM=1）告诉 AP "我要睡觉了"
唤醒通知：STA 发送 Null（PM=0）告诉 AP "我醒了"

¶5.4.3 QoS Data（Subtype 1000）

最常用的 QoS 数据帧。包含 QoS Control 字段，支持优先级和 A-MSDU。

¶5.4.4 QoS Null（Subtype 1100）

QoS 版本的 Null 帧。用于：

QoS STA 的省电通知
TXOP 保持

¶5.4.5 QoS Data +CF-Ack / +CF-Poll / +CF-Ack +CF-Poll

PCF（点协调功能）相关的 QoS 数据帧变体，实际部署中很少使用。

交通比喻：
Data = 普通货车——拉货走人
Null = 空车巡检——不拉货，但告诉调度中心 "我在"
QoS Data = 带优先级标签的货车——走专用车道

¶6 管理帧详解 — 网络管理

管理帧是 WiFi 网络的 "行政系统"——设备发现、身份认证、关联建立、漫游切换，全靠管理帧。

¶6.1 通用管理帧格式

 2字节   2字节   6字节   6字节   6字节   2字节  0/4字节   变长     4字节
┌───────┬───────┬───────┬───────┬───────┬──────┬───────┬───────┬──────┐
│ Frame │Durat- │Addr   │Addr   │Addr   │Seq   │  HT   │ Frame │ FCS  │
│Control│ ion/ID│  1    │  2    │  3    │Ctrl  │Control│ Body  │      │
└───────┴───────┴───────┴───────┴───────┴──────┴───────┴───────┴──────┘
│◄──────────────── MAC Header ──────────────────►│

管理帧的 Frame Body 由一系列 ** 信息元素（Information Elements, IE）** 组成，格式为：

 1字节    1字节    变长
┌────────┬────────┬──────────┐
│Element │Length  │  Info    │
│  ID    │        │          │
└────────┴────────┴──────────┘

¶6.2 Beacon 帧（Subtype 1000）

Beacon 是 WiFi 网络最重要的管理帧——AP 每隔约 100ms（默认 100 TU，1 TU = 1024 μs）广播一次，告诉所有设备 "我在这里，这是我的信息"。

Beacon Frame Body 顺序表（共 94 个字段 / 元素，按顺序排列）：

顺序	信息	是否必须	说明
1	Timestamp	必须	8 字节，AP 的 TSF 定时器值
2	Beacon Interval	必须	2 字节，Beacon 间隔（单位 TU）
3	Capability Information	必须	2 字节，能力标志位
4	SSID	必须	网络名称
5	Supported Rates	必须	支持的速率（最多 8 个）
6	DSSS Parameter Set	条件	2.4 GHz 时必须，含信道号
7	IBSS Parameter Set	条件	仅 IBSS
8	TIM	条件	仅 AP，流量指示图
9	Country	条件	国家代码和信道信息
10	Power Constraint	条件	功率约束
11	Channel Switch Announcement	可选	信道切换公告
12	Quiet	可选	静默期
13	IBSS DFS	条件	IBSS 动态频率选择
14	TPC Report	条件	发射功率控制报告
15	ERP	条件	扩展速率 PHY 标志
16	Extended Supported Rates	条件	超过 8 个速率时必须
17	RSN	条件	安全信息（WPA2/WPA3）
18	BSS Load	条件	BSS 负载信息
19	EDCA Parameter Set	条件	QoS 参数
20	QoS Capability	条件	QoS 能力
21	AP Channel Report	条件	AP 信道报告
22~67	...	条件 / 可选	各种 HT/VHT/HE 能力和操作元素
68~93	...	条件 / 可选	FILS、WUR、EBCS 等高级特性
Last-1	Vendor Specific	可选	厂商自定义
Last	MME	条件	管理帧保护 MIC

交通比喻：Beacon 就像路边的指示牌——每隔一定距离就有一个，告诉路过的人 "这里是 XX 路口，限速 XX，有 XX 服务"。

¶6.3 Probe Request（Subtype 0100）

STA 主动扫描时发送，用于发现周围的 WiFi 网络。

Frame Body：

顺序	信息	是否必须
1	SSID	必须（可为广播 SSID）
2	Supported Rates	必须
3	Request	可选（请求特定元素）
4	Extended Supported Rates	条件
5	DSSS Parameter Set	可选
6	Supported Operating Classes	可选
7	HT Capabilities	条件
8	VHT Capabilities	条件
9	HE Capabilities	条件
10	SSID List	可选
11	Extended Request	可选
12~18	...	可选（S1G、EHT 等能力）
Last-1	Vendor Specific	可选

¶6.4 Probe Response（Subtype 0101）

AP 对 Probe Request 的回复，内容与 Beacon 几乎完全相同（但不是周期性的，而是按需发送）。

Probe Response 的 Frame Body 顺序与 Beacon 基本一致，额外包含：

Extended Supported Rates（如果超过 8 个速率）

¶6.5 Authentication（Subtype 1011）

身份认证帧，用于建立 STA 和 AP 之间的信任关系。

Frame Body：

顺序	信息	大小	说明
1	Authentication Algorithm Number	2 字节	0=Open System, 1=Shared Key, 3=SAE, 4=FILS
2	Authentication Transaction Sequence Number	2 字节	事务序列号（1, 2, 3, 4...）
3	Status Code	2 字节	结果状态（仅在响应帧中）
4	Challenge Text	可选	Shared Key 认证的挑战文本
5	RSN	可选	SAE/FILS 认证时包含
6	MIC	可选	管理帧保护
Last-1	Vendor Specific	可选

SAE（WPA3）认证流程：

STA → AP: Auth (Seq=1, SAE Commit)
AP → STA: Auth (Seq=2, SAE Commit)
STA → AP: Auth (Seq=3, SAE Confirm)
AP → STA: Auth (Seq=4, SAE Confirm, Status=成功)

¶6.6 Deauthentication（Subtype 1100）

断开认证，将 STA 从网络中完全移除。

Frame Body：

顺序	信息	大小
1	Reason Code	2 字节
Last-1	Vendor Specific	可选
Last	MME	条件

¶6.7 Association Request（Subtype 0000）

认证通过后，STA 请求与 AP 建立关联。

Frame Body：

顺序	信息	是否必须
1	Capability Information	必须
2	Listen Interval	必须
3	SSID	必须
4	Supported Rates	必须
5	Extended Supported Rates	条件
6	Power Capability	可选
7	Supported Channels	可选
8	RSN	条件
9	QoS Capability	条件
10	RM Enabled Capabilities	条件
11	Mobility Domain (MDE)	条件
12	Supported Operating Classes	条件
13	HT Capabilities	条件
14	20/40 BSS Coexistence	可选
15	Extended Capabilities	条件
16~28	...	条件（VHT/HE/EHT 能力等）
Last-1	Vendor Specific	可选

¶6.8 Association Response（Subtype 0001）

AP 对 Association Request 的回复。

Frame Body：

顺序	信息	是否必须
1	Capability Information	必须
2	Status Code	必须
3	Association ID (AID)	必须
4	Supported Rates	必须
5	Extended Supported Rates	条件
6	EDCA Parameter Set	条件
7	QoS Capability	条件
8	RSN	条件
9	Mobility Domain (MDE)	条件
10	Supported Operating Classes	条件
11	HT Capabilities	条件
12	HT Operation	条件
13~30	...	条件（VHT/HE/EHT 操作参数等）
Last-1	Vendor Specific	可选

¶6.9 Reassociation Request/Response（Subtype 0010/0011）

STA 漫游时使用。与 Association 基本相同，额外包含：

额外字段	说明
Current AP Address	当前关联的 AP 地址（6 字节）

¶6.10 Disassociation（Subtype 1010）

断开关联，但不删除认证。

Frame Body：

顺序	信息	大小
1	Reason Code	2 字节
Last-1	Vendor Specific	可选
Last	MME	条件

¶6.11 ATIM（Subtype 1001）

Announcement Traffic Indication Message。仅在 IBSS 中使用，Frame Body 为空。用于通知 IBSS 中的其他 STA "我有数据要发给你"。

¶6.12 Timing Advertisement（Subtype 0110）

时间公告帧，用于同步 TSF 定时器。

Frame Body：

顺序	信息	说明
1	Timestamp	8 字节
2	Capability Information	2 字节
3	Country	条件
4	Time Advertisement	条件
5	Time Zone	条件
Last-1	Vendor Specific	可选

¶6.13 Action 帧（Subtype 1101）

Action 帧是 802.11 最灵活的管理帧——它通过 Category + Action 的组合，支持大量的操作类型。

通用格式：

顺序	信息	大小
1	Category	1 字节
2	Action	1 字节
3+	可变字段	取决于具体 Action

Action Category 完整表：

Category 值	名称	说明
0	Spectrum Management	频谱管理（信道切换等）
1	QoS	QoS 操作（TSPEC、ADDTS 等）
2	Reserved	保留
3	Block Ack	Block ACK 协商（ADDBA/DELBA）
4	Public	公共操作（任何人可用）
5	Radio Measurement	无线测量
6	Fast BSS Transition	快速 BSS 切换（802.11r）
7	HT	HT 操作（802.11n）
8	SA Query	安全关联查询（管理帧保护）
9	Protected Dual of Public Action	受保护的公共操作
10	WNM	无线网络管理
11	Unprotected WNM	未保护的 WNM
12	TDLS	隧道直接链路建立
13	Mesh	Mesh 网络操作
14	Multihop	多跳操作
15	Self-protected	自保护操作（SAE 等）
16	DMG	定向多吉赫兹操作
17	Allocated to the Wi-Fi Alliance	分配给 Wi-Fi 联盟
18	Fast Session Transfer	快速会话传输
19	Robust AV Streaming	鲁棒 AV 流
20	Unprotected DMG	未保护的 DMG
21	VHT	VHT 操作（802.11ac）
22	Unprotected S1G	未保护的 S1G
23	S1G	S1G 操作
24	Flow control	流量控制
25	Control Response MCS Negotiation	控制响应 MCS 协商
26	FILS	快速初始链路建立
27	CDMG	CDMG 操作
28	CMMG	CMMG 操作
29	GLK	GLK 操作
30	HE	HE 操作（802.11ax）
31	Protected HE	受保护的 HE 操作
32	WUR	唤醒无线电
33	Reserved	保留
34	Protected Fine Timing	受保护的精确定时
35–125	Reserved	保留
126	Vendor-specific Protected	厂商自定义（受保护）
127	Vendor-specific	厂商自定义

常用的 Action 帧示例：

Block Ack 类别 (Category=3)：

Action 值	名称	说明
0	ADDBA Request	请求建立 Block ACK 协议
1	ADDBA Response	回复 Block ACK 请求
2	DELBA	删除 Block ACK 协议

HT Action 类别 (Category=7)：

Action 值	名称	说明
0	Notify Channel Width	通知信道宽度
1	SM Power Save	空间复用省电
2	PSMP	功率节省多轮询
3	Set PCO Phase	设置 PCO 阶段
4	CSI	信道状态信息
5	Non-HT Beamforming	非 HT 波束成形
6	MIMO CSI	MIMO 信道状态信息
7	MIMO CSI Feedback	MIMO CSI 反馈

交通比喻：Action 帧就像 "行政公文"——有不同的 "公文类型"（Category），每个类型下有不同的 "具体事项"（Action）。比如 Category=3, Action=0 就是 "申请建立批量签收协议"。

¶6.14 Action No Ack（Subtype 1110）

与 Action 帧相同，但接收方不需要回复 ACK。用于不需要确认的操作，如信道切换公告。

¶7 扩展帧详解

¶7.1 DMG Beacon（Subtype 0000）

60 GHz 定向多吉赫兹 Beacon。用于 DMG（毫米波）网络中的设备发现和同步。

帧格式：

字段	大小	说明
Frame Control	2 字节	Type=11, Subtype=0000
Duration	2 字节	NAV 值
BSSID	6 字节	DMG BSSID
Beacon Frame Control	2 字节	DMG 特有的控制字段
Timestamp	8 字节	TSF 定时器
Beacon Interval	2 字节	Beacon 间隔
DMG Parameters	变长	DMG 网络参数
Frame Check Sequence	4 字节	校验

¶7.2 S1G Beacon（Subtype 0001）

Sub-1 GHz Beacon，用于 IoT（物联网）场景。与普通 Beacon 不同，S1G Beacon 使用更紧凑的格式。

帧格式：

字段	大小	说明
Frame Control	2 字节	Type=11, Subtype=0001（含 BSS BW、Security 等）
Duration	2 字节	NAV 值
BSSID	6 字节	S1G BSSID
Timestamp	8 字节	TSF 定时器
Short Beacon Interval	2 字节	短 Beacon 间隔
Change Sequence	1 字节	变更序列号
Short SSID	4 字节	SSID 的哈希值
Access Network Options	1 字节	接入网络选项
Frame Body	变长	信息元素
FCS	4 字节	校验

¶8 Tag 元素完全手册 — Element ID 0~254

Tag 元素（Information Elements）是管理帧和扩展帧的 "有效载荷"。本节按 Element ID 收录常用与已分配元素，Reserved 及冷门已分配元素从略。每个元素都有统一的格式：

 1字节    1字节    变长
┌────────┬────────┬──────────┐
│Element │Length  │Information│
│  ID    │        │          │
└────────┴────────┴──────────┘

字段	大小	说明
Element ID	1 字节	元素类型标识（0~254 为普通元素，255 为扩展元素入口）
Length	1 字节	Information 字段的长度（不含 ID 和 Length 本身）
Information	0~255 字节	元素的具体数据，格式由 Element ID 决定。可以为 0 字节（如 SSID 通配符、TPC Request）

交通比喻：Tag 元素就像 "标签贴纸"——每个标签上写着一类信息（网络名称、支持的速率、安全参数……）。管理帧就是一沓这样的标签贴纸，按顺序排列。

¶8.1 Element ID 0：SSID

SSID（Service Set Identifier） — 网络名称，是 STA 在扫描时最先关注的元素。

 1字节   1字节   0~32字节
┌────────┬──────┬──────────┐
│ ID=0   │Len   │ SSID     │
│        │(0~32)│          │
└────────┴──────┴──────────┘

字段	大小	说明
Element ID	1 字节	固定为 0
Length	1 字节	0~32，SSID 的字节数
SSID	0~32 字节	网络名称，UTF-8 编码。Length=0 表示 "任意 SSID"（通配符）

特殊用法：

Probe Request 中 Length=0：STA 不指定 SSID，AP 可以回复任何 SSID 的 Probe Response
隐藏 SSID：AP 在 Beacon 中发送 Length=0 的 SSID，STA 必须用 Probe Request 指定 SSID 才能发现
最大长度：32 字节（标准限制，不是协议限制——Length 字段可以更大，但实际 SSID 不超过 32）

交通比喻：SSID 就像店铺招牌——"星巴克" 三个字就是 SSID。隐藏 SSID 就像把招牌摘掉，你得走到门口问 "这里是星巴克吗？" 才能找到。

¶8.2 Element ID 1：Supported Rates and BSS Membership Selectors

Supported Rates — 声明 STA 支持的数据速率。每个速率用 1 字节编码。

 1字节   1字节    1字节    1字节    ...
┌────────┬──────┬────────┬────────┬───────┐
│ ID=1   │Len   │Rate 1  │Rate 2  │ ...   │
│        │(1~8) │        │        │       │
└────────┴──────┴────────┴────────┴───────┘

字段	大小	说明
Element ID	1 字节	固定为 1
Length	1 字节	1~8，速率数量
Rate N	1 字节 / 个	每个速率的编码值

速率编码规则：

每个 Rate 字节的最高位（B7）为 1 表示必选速率（Basic Rate），为 0 表示可选速率。低 7 位编码速率值，单位为 0.5 Mbps。

Rate 字节: B7    B6~B0
           │     │
           │     └── 速率值 = (B6~B0) × 0.5 Mbps
           │
           └── 1=必选速率(Basic Rate), 0=可选速率

常见速率编码：

字节值	含义
0x02	1 Mbps（可选）
0x82	1 Mbps（必选）
0x04	2 Mbps（可选）
0x84	2 Mbps（必选）
0x0B	5.5 Mbps（可选）
0x0C	6 Mbps（可选）
0x12	9 Mbps（可选）
0x16	11 Mbps（可选）
0x18	12 Mbps（可选）
0x24	18 Mbps（可选）
0x2C	22 Mbps（可选）
0x30	24 Mbps（可选）
0x42	33 Mbps（可选）
0x48	36 Mbps（可选）
0x60	48 Mbps（可选）
0x6C	54 Mbps（可选）

BSS Membership Selector（802.11-2024 扩展）：当 Rate 字节值 ≥ 0x7E（126）时，不再表示速率，而是表示 BSS 成员选择器（如 HT-Required、VHT-Required、HE-Required）。这用于声明 "本 BSS 要求支持某代技术"。

交通比喻：Supported Rates 就像 "限速牌"——上面写着 "本路段支持 10、20、40、80 km/h"，其中 10 和 20 是必须支持的（Basic Rate），40 和 80 是可选的。BSS Membership Selector 就像 "本路段只允许四轮以上车辆通行"。

¶8.3 Element ID 3：DSSS Parameter Set

DSSS Parameter Set — 包含 DSSS/HR-DSSS/ERP PHY 的参数，最重要的是当前信道号。

 1字节   1字节   1字节
┌────────┬──────┬──────────┐
│ ID=3   │Len=1 │Current   │
│        │      │Channel   │
└────────┴──────┴──────────┘

字段	大小	说明
Element ID	1 字节	固定为 3
Length	1 字节	固定为 1
Current Channel	1 字节	当前使用的信道号（如 1、6、11）

使用场景：

出现在 Beacon、Probe Response 中，告诉 STA 当前 AP 使用哪个信道
出现在 Probe Request 中，告诉 AP 本 STA 在哪个信道上监听
对于 2.4 GHz DSSS/HR-DSSS/ERP PHY 是必需的

交通比喻：DSSS Parameter Set 就像 "当前车道编号"——告诉其他车辆 "我在第 6 车道"。

¶8.4 Element ID 5：TIM

TIM（Traffic Indication Map） — AP 在 Beacon 中告知 STA"有你的缓存数据"。

 1字节   1字节   1字节     1字节       1~251字节
┌────────┬──────┬────────┬──────────┬───────────────┐
│ ID=5   │Len   │DTIM   │Bitmap    │ Partial       │
│        │      │Count/ │Control   │ Virtual       │
│        │      │Period │          │ Bitmap        │
└────────┴──────┴────────┴──────────┴───────────────┘

子字段	大小	说明
DTIM Count	1 字节	距下一个 DTIM 的 Beacon 数（0 表示当前就是 DTIM）
DTIM Period	1 字节	DTIM 周期（如 3 表示每 3 个 Beacon 一次 DTIM）
Bitmap Control	1 字节	B0 = 广播 / 组播指示标志，B1~B7=Bitmap Offset
Partial Virtual Bitmap	1~251 字节	位图，每一位对应一个 AID

Bitmap Control 详解：

Bitmap Control:
  B0        B1~B7
  │         │
  │         └── Bitmap Offset（位图偏移，用于压缩）
  │
  └── Multicast/Broadcast 指示：
      0 = 没有广播/组播缓存数据
      1 = 有广播/组播缓存数据

Partial Virtual Bitmap 编码：

位图的每一位对应一个 STA 的 AID（Association ID）
位 = 1：AP 有该 STA 的缓存数据（STA 应该醒来接收）
位 = 0：AP 没有该 STA 的缓存数据（STA 可以继续睡眠）
位图可以压缩：Bitmap Offset 指定从哪个 AID 开始，前面全是 0 的部分可以省略

为什么用偏移压缩而非固定全长位图？AID 通常按关联顺序稀疏分配、活跃缓存只集中在少数 STA——若每个 Beacon 都发满 251 字节全位图，绝大多数位是 0，纯属空口浪费；Bitmap Offset 让 AP 只发「首个置 1 位到最后一个置 1 位」的窗口，典型场景下 TIM 从上百字节压到几字节。

DTIM 机制：

普通 TIM：每个 Beacon 都发送，指示单播缓存数据
DTIM：每 N 个 Beacon 一次（N=DTIM Period），同时指示广播 / 组播缓存数据
STA 在 DTIM 时醒来，检查是否有广播 / 组播数据需要接收

交通比喻：TIM 就像快递站的 "待取件通知"——贴在门口，用位图告诉你 "编号 1、5、12 的包裹到了，快来取"。DTIM 就像 "公告栏"——每 3 天贴一次，告诉你 "有群发包裹到了"。

¶8.5 Element ID 6：IBSS Parameter Set

IBSS Parameter Set — 包含 IBSS（Ad-hoc 网络）的参数。

 1字节   1字节   2字节
┌────────┬──────┬──────────┐
│ ID=6   │Len=2 │ATIM      │
│        │      │Window    │
└────────┴──────┴──────────┘

字段	大小	说明
Element ID	1 字节	固定为 6
Length	1 字节	固定为 2
ATIM Window	2 字节	ATIM 窗口大小（单位：TU，1 TU = 1024 μs）

ATIM 窗口：

ATIM（Announcement Traffic Indication Message）窗口是 IBSS 中 STA 通知其他 STA "有你的数据" 的时间段
在 ATIM 窗口内，STA 发送 ATIM 帧通知目标 STA 不要进入省电模式
ATIM 窗口结束后，STA 之间交换数据
如果 ATIM Window=0，表示不使用 ATIM 机制

交通比喻：ATIM Window 就像 "集市开市前的叫卖时间"——摊主们先喊一声 "我有货要卖给你"，喊完之后再正式交易。

¶8.6 Element ID 7：Country

Country — 包含国家代码和信道使用规则，是监管域的核心元素。

 1字节   1字节   2字节     变长
┌────────┬──────┬─────────┬──────────────────────┐
│ ID=7   │Len   │Country  │First/Number/MaxPower │
│        │      │String   │三元组列表            │
└────────┴──────┴─────────┴──────────────────────┘

子字段	大小	说明
Country String	2 字节	ISO 3166-1 国家代码（如 "US"、"CN"、"JP"）
Country String 第 3 字节	1 字节	环境类型：空格 (0x20)= 室内 + 室外，'I'(0x49)= 仅室内，'O'(0x4F)= 仅室外
Subband Triplet 列表	0+ 字节（每组 3 字节）	每个三元组定义一个信道子带的规则。可以为空（仅声明国家代码），但实际使用中通常至少有 1 组

Subband Triplet 格式（每个三元组 3 字节）：

 1字节        1字节         1字节
┌────────────┬─────────────┬────────────────┐
│First Chan  │Number of    │Max TX Power    │
│Number      │Channels     │(dBm)          │
└────────────┴─────────────┴────────────────┘

字段	说明
First Channel Number	子带的起始信道号
Number of Channels	子带中的信道数量
Max TX Power	该子带的最大允许发射功率（dBm）

为什么用「起始信道 + 信道数」而非逐信道列举？监管域的可用信道与功率上限几乎总是按连续区间划分——2.4 GHz 的 1~13、5 GHz 的 149~153 都是一段连续区间；一个三元组就能压入整段区间的规则，一条 Country 元素可承载多个子带，而非为几十个信道各写一条。

示例：

1
2
3

Country String: "CN " (中国，室内+室外)
Subband Triplet 1: (1, 13, 20)   → 信道 1~13，最大 20 dBm
Subband Triplet 2: (149, 5, 23)  → 信道 149~153，最大 23 dBm

Country String 中的特殊值：

第 3 字节 = 0x20（空格）：室内和室外均可
第 3 字节 = 'I'（0x49）：仅室内
第 3 字节 = 'O'（0x4F）：仅室外
第 3 字节 = 0x04：全球统一（非特定国家）

交通比喻：Country 元素就像 "入境须知"——写着 "你在中国境内，2.4 GHz 频段信道 1~13 可用，最大功率 20 dBm"。不同国家有不同的 "交通规则"。

¶8.7 Element ID 10：Request

Request — STA 向 AP 请求特定的元素（在 Probe Request 中使用）。

 1字节   1字节    1字节    1字节    ...
┌────────┬──────┬────────┬────────┬───────┐
│ ID=10  │Len   │Req.    │Req.    │ ...   │
│        │      │Elem ID │Elem ID │       │
│        │      │   1    │   2    │       │
└────────┴──────┴────────┴────────┴───────┘

字段	大小	说明
Element ID	1 字节	固定为 10
Length	1 字节	请求的元素数量（≥1，至少请求 1 个元素）
Requested Element ID N	1 字节 / 个	STA 想要的元素的 Element ID

使用场景：

STA 在 Probe Request 中放入 Request 元素，告诉 AP"请在 Probe Response 中包含这些元素"
例如：Request 元素中包含 Element ID 50（Extended Supported Rates），AP 就会在 Probe Response 中包含该元素
这样可以减少 Probe Response 的大小，只发送 STA 需要的信息

交通比喻：Request 就像 "点菜单"——你告诉服务员 "我要菜单（SSID）、酒水单（Supported Rates）和今日特价（TIM）"。

¶8.8 Element ID 11：BSS Load

BSS Load — AP 报告当前 BSS 的负载情况，帮助 STA 选择最佳 AP。

 1字节   1字节   2字节      1字节         2字节
┌────────┬──────┬──────────┬─────────────┬──────────────┐
│ ID=11  │Len=5 │Station   │Channel      │Available     │
│        │      │Count     │Utilization  │Admission     │
│        │      │          │             │Capacity      │
└────────┴──────┴──────────┴─────────────┴──────────────┘

子字段	大小	说明
Station Count	2 字节	当前关联的 STA 数量
Channel Utilization	1 字节	信道利用率（0~255，表示 0%~100%），值越大越繁忙
Available Admission Capacity	2 字节	可用的准入容量（单位：32 μs / 秒），用于 EDCA 准入控制

Channel Utilization 计算：

利用率百分比 = (Channel Utilization / 255) × 100%

示例：
  Channel Utilization = 128 → 约 50% 利用率
  Channel Utilization = 200 → 约 78% 利用率
  Channel Utilization = 255 → 100% 利用率（极度繁忙）

使用场景：

出现在 Beacon 和 Probe Response 中
STA 的 AP 选择算法可以参考 BSS Load，避免选择过于繁忙的 AP
802.11k 无线测量框架的核心元素之一

交通比喻：BSS Load 就像高速公路入口的 "路况信息牌"——"当前车流量 78%，建议绕行"。

¶8.9 Element ID 12：EDCA Parameter Set

EDCA Parameter Set — AP 向 STA 下发 EDCA 参数，替代 STA 的默认值。

 1字节   1字节   1字节      4字节         4字节        2字节
┌────────┬──────┬──────────┬─────────────┬────────────┬────────────┐
│ID=12   │Len   │QoS Info  │AC_BE       │AC_BK      │AC_VI      │
│        │      │+Reserved │Params      │Params     │Params     │
└────────┴──────┴──────────┴─────────────┴────────────┴────────────┘

续: 2字节
┌────────────┐
│AC_VO      │
│Params     │
└────────────┘

读这张图抓两个锚点：ID=12 定位元素，后面四个 AC 参数块按 BE/BK/VI/VO 顺序排布，每个块再拆成 AIFSN/CW/TXOP 三段。

每个 AC 参数块（4 字节）的格式：

 2字节          1字节              1字节
┌──────────────┬──────────────────┬──────────────────┐
│ECWmin/ECWmax │AIFSN             │TXOP Limit        │
│(CW 参数)     │                  │                  │
└──────────────┴──────────────────┴──────────────────┘

子字段	大小	说明
ECWmin	4 位	最小竞争窗口指数（CWmin = 2^ECWmin - 1）
ECWmax	4 位	最大竞争窗口指数（CWmax = 2^ECWmax - 1）
AIFSN	4 位	仲裁帧间间隔数（AIFS = SIFS + AIFSN × Slot Time）
Reserved	1 位	保留
ACI	2 位	AC 索引（00=AC_BE, 01=AC_BK, 10=AC_VI, 11=AC_VO）
TXOP Limit	2 字节	TXOP 限制（单位：32 μs），0 表示单帧

QoS Info 子字段：

QoS Info (1 字节):
  B0~B3      B4       B5       B6       B7
  │          │        │        │        │
  │          │        │        │        └── More Data Ack
  │          │        │        └── TXOP Request
  │          │        └── Queue Request
  │          └── Q-Ack
  └── EDCA Parameter Set Update Count (4 bit)
      (参数更新计数，STA 检测参数是否变化)

这些参数构成一条从 AP 到 STA 固件的完整通路：AP 把 EDCA Parameter Set 写入 Beacon / Probe Response / Association Response 下发；STA 驱动解析出每个 AC 的 AIFSN、ECWmin/ECWmax 与 TXOP Limit，写入固件竞争参数表；此后固件每次竞争信道，都按 AIFS = SIFS + AIFSN × Slot Time 计算等待时长，并从 0 ~ 2^ECWmin - 1 随机抽取退避窗口——AIFSN 越小、ECWmin 越小，越早发起传输。

默认 EDCA 参数：

AC	CWmin	CWmax	AIFSN	TXOP Limit
AC_BK	15 (aCWmin)	1023 (aCWmax)	7	0
AC_BE	15 (aCWmin)	1023 (aCWmax)	3	0
AC_VI	7 (aCWmin/2)	15 (aCWmin)	2	4.096 ms
AC_VO	3 (aCWmin/4)	7 (aCWmin/2)	2	2.080 ms

交通比喻：EDCA Parameter Set 就像 "交通管制指令"——AP 告诉所有车辆："救护车（AC_VO）等 2 个信号周期就能通行，普通车（AC_BE）等 3 个周期，慢车（AC_BK）等 7 个周期"。

¶8.10 Element ID 13：TSPEC

TSPEC（Traffic Specification） — STA 向 AP 请求流量规格，用于准入控制和调度。

 1字节   1字节   55字节
┌────────┬──────┬──────────────────────────────┐
│ID=13   │Len   │TS Info + TSPEC 参数          │
│        │=55   │                              │
└────────┴──────┴──────────────────────────────┘

这张图是流量合同的骨架：TS Info 头 3 字节定方向与策略，后面 16 个参数字段按字节偏移依次排开，抓包时逐个对齐即可读全一条合同。

TS Info 字段（3 字节）：

位	子字段	说明
B0	Traffic Type	0 = 不规则（非周期），1 = 规则（周期）
B1~B4	TSID	Traffic Stream ID（0~15）
B5~B6	Direction	00 = 上行，10 = 下行，01 = 直连，11 = 双向
B7~B8	Access Policy	00 = 保留，10=EDCA，01=HCCA（DMG 为 SPCA），11=HEMM（HCCA+EDCA 混合，DMG 为 SEMM）
B9	Aggregation	是否允许聚合
B10	APSD	是否使用自动省电
B11~B13	User Priority	用户优先级（0~7）
B14~B15	TS Info Ack Policy	确认策略
B16	Schedule	调度
B17~B23	Reserved	保留

TSPEC 主要参数：

参数	大小	说明
Nominal MSDU Size	2 字节	标称 MSDU 大小（位），B15 = 固定 / 可变标志
Maximum MSDU Size	2 字节	最大 MSDU 大小（位）
Minimum Service Interval	4 字节	最小服务间隔（μs）
Maximum Service Interval	4 字节	最大服务间隔（μs）
Inactivity Interval	4 字节	不活动超时间隔（μs）
Suspension Interval	4 字节	挂起超时间隔（μs）
Minimum Data Rate	4 字节	最小数据速率（bps）
Mean Data Rate	4 字节	平均数据速率（bps）
Peak Data Rate	4 字节	峰值数据速率（bps）
Maximum Burst Size	4 字节	最大突发大小（字节）
Delay Bound	4 字节	延迟上限（μs）
Minimum PHY Rate	4 字节	最小 PHY 速率（bps）
Surplus Bandwidth Allowance	2 字节	剩余带宽余量（定点数，13.3 格式）
Medium Time	2 字节	AP 分配的介质时间（32 μs / 秒）

使用场景：

STA 通过 ADDTS Request 帧发送 TSPEC 给 AP
AP 根据当前负载决定是否接受（ADDTS Response）
如果接受，AP 返回 Medium Time（分配了多少信道时间）
用于语音、视频等需要 QoS 保证的流量

交通比喻：TSPEC 就像 "包车合同"——你告诉运输公司 "我需要每 20ms 发一班车，每车 160 字节，延迟不超过 50ms"。运输公司评估后说 "可以，给你分配 30% 的车道时间"。

¶8.11 Element ID 14：TCLAS

TCLAS（Traffic Classification） — 定义流量分类规则，将数据帧映射到特定的 Traffic Stream。

 1字节   1字节   1字节     1字节        1字节      变长
┌────────┬──────┬────────┬─────────────┬──────────┬──────────┐
│ID=14   │Len   │User    │Classifier   │Classifier│Classifier│
│        │      │Priority│Type         │Mask      │Data      │
└────────┴──────┴────────┴─────────────┴──────────┴──────────┘

子字段	大小	说明
User Priority	1 字节	用户优先级（0~7），255 表示不比较
Classifier Type	1 字节	分类器类型（见下表）
Classifier Mask	1 或 3 字节	指定哪些字段参与匹配（Type 6 用 3 字节，其余用 1 字节）
Classifier Data	2+ 字节	分类规则的具体数据。最小长度取决于 Classifier Type（Type 0 最少 14 字节，Type 1 最少 12 字节等）

Classifier Type 定义：

Type	名称	匹配字段
0	Ethernet	源 MAC + 目的 MAC + 以太网类型
1	TCP/UDP over IPv4	源 IP + 目的 IP + 源端口 + 目的端口 + DSCP + 协议
2	IPv4	源 IP + 目的 IP + DSCP + 协议
3	IPv6	源 IP + 目的 IP + 流标签
802.1Q	VLAN	VLAN 标签
4	TCP/UDP over IPv6	源 IP + 目的 IP + 源端口 + 目的端口 + DSCP + 流标签
5	802.1Q/QoS	802.1Q 标签
6	Filter Offset	帧内容偏移匹配

交通比喻：TCLAS 就像 "快递分拣规则"——"凡是发往北京的包裹（目的 IP 匹配），走空运通道（AC_VI）"。

¶8.12 Element ID 15：Schedule

Schedule — AP 向 STA 下发 HCCA 调度信息。

 1字节   1字节   2字节     4字节       4字节
┌────────┬──────┬────────┬────────────┬────────────┐
│ID=15   │Len   │Schedule│Service     │Schedule    │
│        │      │Info    │Start Time  │Interval    │
└────────┴──────┴────────┴────────────┴────────────┘

续: 2字节
┌────────────┐
│TXOP Limit  │
└────────────┘

子字段	大小	说明
Schedule Info	2 字节	调度信息标志（聚合、确认策略等）
Service Start Time	4 字节	服务开始时间（μs）
Schedule Interval	4 字节	调度间隔（μs）
TXOP Limit	2 字节	TXOP 限制（32 μs 单位）

交通比喻：Schedule 就像 "班车时刻表"——"每隔 20ms 发一班车，每次占用车道 3ms"。

QoS 契约类元素至此告一段落，接下来一组元素围绕发射功率管理展开。

¶8.13 Element ID 32：Power Constraint

Power Constraint — AP 告知 STA 本地的最大允许发射功率约束（由监管要求决定）。

 1字节   1字节   1字节
┌────────┬──────┬──────────────┐
│ID=32   │Len=1 │Local Power   │
│        │      │Constraint    │
└────────┴──────┴──────────────┘

字段	大小	说明
Local Power Constraint	1 字节	最大允许发射功率的降低值（dB）

计算方式：

实际最大发射功率 = 监管最大功率 - Local Power Constraint

示例：
  监管最大功率 = 20 dBm
  Local Power Constraint = 3 dB
  实际最大发射功率 = 20 - 3 = 17 dBm

使用场景：

AP 在 Beacon 和 Probe Response 中发送
用于动态频率选择（DFS）场景，当检测到雷达时降低发射功率
STA 必须遵守此约束

交通比喻：Power Constraint 就像 "限速调整"——原本限速 120 km/h，因为施工路段限速降到 100 km/h（降低 20 km/h）。

¶8.14 Element ID 33：Power Capability

Power Capability — STA 告知 AP 自己的最小和最大发射功率能力。

 1字节   1字节   1字节       1字节
┌────────┬──────┬───────────┬───────────┐
│ID=33   │Len=2 │Min Power  │Max Power  │
│        │      │Capability │Capability │
└────────┴──────┴───────────┴───────────┘

字段	大小	说明
Minimum Transmit Power Capability	1 字节	STA 能发射的最小功率（dBm）
Maximum Transmit Power Capability	1 字节	STA 能发射的最大功率（dBm）

使用场景：

STA 在 Association Request 中发送
AP 用于功率控制和信道管理
AP 可以根据 STA 的功率能力决定是否允许关联

交通比喻：Power Capability 就像 "车辆规格表"——"我的发动机最小输出 50 马力，最大输出 200 马力"。

¶8.15 Element ID 34：TPC Request

TPC Request（Transmit Power Control Request） — 请求对端报告发射功率和链路余量。

 1字节   1字节   1字节
┌────────┬──────┬──────────┐
│ID=34   │Len=0 │(无数据)  │
└────────┴──────┴──────────┘

字段	大小	说明
Element ID	1 字节	固定为 34
Length	1 字节	固定为 0（无额外数据）

使用场景：

STA 或 AP 发送 TPC Request，请求对端回复 TPC Report
用于链路自适应功率控制
802.11h 定义的机制

交通比喻：TPC Request 就像 "请问你的信号怎么样？"——你问对方 "你能听到我多大声？"

¶8.16 Element ID 35：TPC Report

TPC Report（Transmit Power Control Report） — 报告发射功率和链路余量。

 1字节   1字节   1字节         1字节
┌────────┬──────┬─────────────┬─────────────┐
│ID=35   │Len=2 │Transmit     │Link Margin  │
│        │      │Power        │             │
└────────┴──────┴─────────────┴─────────────┘

字段	大小	说明
Transmit Power	1 字节	发送该帧时使用的发射功率（dBm，2 的补码）
Link Margin	1 字节	链路余量（dB，2 的补码），在 Beacon/Probe Response 中保留

精度：发射功率报告值的容差为 ±5 dB。

使用场景：

响应 TPC Request 或 Link Measurement Request
也可包含在 Beacon 和 Probe Response 中（此时 Link Margin 保留）
AP 根据报告调整 STA 的发射功率

交通比喻：TPC Report 就像 "信号质量报告"——"我用 17 dBm 的功率发送，你收到后还有 12 dB 的余量"。

¶8.17 Element ID 36：Supported Channels

Supported Channels — STA 报告自己支持的信道子带。

 1字节   1字节    1字节         1字节          ...
┌────────┬──────┬─────────────┬──────────────┬───────┐
│ID=36   │Len   │First Chan   │Number of     │ ...   │
│        │      │Number       │Channels      │       │
│        │      │(子带1)      │(子带1)       │       │
└────────┴──────┴─────────────┴──────────────┴───────┘

字段	大小	说明
First Channel Number	1 字节 / 对	子带的起始信道号
Number of Channels	1 字节 / 对	子带中的信道数量

示例：

1
2
3

(1, 13)   → 支持信道 1~13（2.4 GHz）
(36, 8)   → 支持信道 36~64（5 GHz UNII-1）
(149, 5)  → 支持信道 149~161（5 GHz UNII-3）

使用场景：

STA 在 Association Request 中发送
AP 用于信道管理，避免将 STA 分配到不支持的信道
802.11h 定义的机制

交通比喻：Supported Channels 就像 "车辆适配道路清单"——"我只能在高速公路和国道上跑，不支持山路"。

功率之外，信道如何切换、链路质量如何测量，由下面几个元素定义。

¶8.18 Element ID 37：Channel Switch Announcement

Channel Switch Announcement — AP 或 STA 宣布即将切换到新信道。

 1字节   1字节   1字节         1字节            1字节
┌────────┬──────┬─────────────┬────────────────┬─────────────┐
│ID=37   │Len=3 │Channel      │New Channel     │Channel      │
│        │      │Switch Mode  │Number          │Switch Count │
└────────┴──────┴─────────────┴────────────────┴─────────────┘

子字段	大小	说明
Channel Switch Mode	1 字节	0=STA 可继续发送，1=STA 必须停止发送
New Channel Number	1 字节	要切换到的新信道号
Channel Switch Count	1 字节	距离切换的 TBTT 数（1 = 下一个 TBTT，0 = 帧发送后任意时间）

Channel Switch Count 编码（Mesh STA 特殊）：

B7=0：时间单位为 2 TU，B6~B0 为时间值
B7=1：时间单位为 100 TU，B6~B0 为时间值
例如：0x82 = 200 TU，0x05 = 10 TU

使用场景：

AP 在 Beacon 和 Probe Response 中发送
IBSS STA 也可以发送
Mesh STA 使用特殊编码
Channel Switch Mode=1 时，STA 必须立即停止发送，直到切换完成

交通比喻：Channel Switch Announcement 就像 "前方道路施工，请在 X 分钟内切换到 Y 车道"。Mode=1 就像 "立即停止，等待指挥"。

¶8.19 Element ID 38：Measurement Request

Measurement Request — 请求对端执行特定的无线测量。

 1字节   1字节   1字节         1字节             1字节       变长
┌────────┬──────┬─────────────┬─────────────────┬──────────┬──────────┐
│ID=38   │Len   │Measurement  │Measurement      │Measurement│Measurement│
│        │      │Token        │Request Mode     │Type       │Request   │
└────────┴──────┴─────────────┴─────────────────┴──────────┴──────────┘

子字段	大小	说明
Measurement Token	1 字节	非零标识符，用于匹配 Request 和 Report
Measurement Request Mode	1 字节	请求模式标志（见下）
Measurement Type	1 字节	测量类型（见下表）
Measurement Request	0+ 字节	特定类型的测量请求数据。Enable=0 时包含具体请求，Enable=1 且非触发测量时可以为空（0 字节）

Measurement Request Mode 位定义：

位	名称	说明
B0	Parallel	1 = 与下一个 Request 并行执行
B1	Enable	1 = 控制测量请求/报告的启用/禁用
B2	Request	请求模式标志
B3	Report	报告模式标志
B4	Duration Mandatory	1 = 测量持续时间必须严格执行

Measurement Type 定义：

Type	名称	说明
0	Basic	基本测量（BSS、OFDM 前导码、雷达等）
1	CCA	清闲信道评估
2	RPI Histogram	接收功率指示直方图
3	Channel Load	信道负载
4	Noise Histogram	噪声直方图
5	Beacon	Beacon 帧测量
6	Frame	帧统计
7	STA Statistics	STA 统计
8	LCI	位置信息
9	Transmit Stream	发送流 / 类别测量
255	Measurement Pause	暂停测量

交通比喻：Measurement Request 就像 "交通调查任务"——"请在明天上午 8~9 点，对 6 车道的车流量进行统计，结果告诉我"。

¶8.20 Element ID 39：Measurement Report

Measurement Report — 报告测量结果。

 1字节   1字节   1字节         1字节             1字节       变长
┌────────┬──────┬─────────────┬─────────────────┬──────────┬──────────┐
│ID=39   │Len   │Measurement  │Measurement      │Measurement│Measurement│
│        │      │Token        │Report Mode      │Type       │Report    │
└────────┴──────┴─────────────┴─────────────────┴──────────┴──────────┘

子字段	大小	说明
Measurement Token	1 字节	与对应的 Request 匹配，自主报告时为 0
Measurement Report Mode	1 字节	报告状态标志
Measurement Type	1 字节	测量类型（与 Request 相同）
Measurement Report	0+ 字节	特定类型的测量报告数据。Late/Incapable/Refused 任一为 1 时为空（0 字节）

Measurement Report Mode 位定义：

位	名称	说明
B0	Late	1 = 请求到达太晚，无法执行
B1	Incapable	1=STA 不具备执行该类型测量的能力
B2	Refused	1=STA 拒绝执行该测量

Beacon Report（Type=5）的关键字段：

字段	大小	说明
Operating Class	1 字节	操作类别
Channel Number	1 字节	测量信道
Measurement Duration	2 字节	测量持续时间
Reported Frame Info	1 字节	报告帧信息
RCPI	1 字节	接收信道功率指示
RSNI	1 字节	接收信噪比指示
BSSID	6 字节	被测 BSS 的 BSSID
Antenna ID	1 字节	天线 ID
Parent TSF	4 字节	父 TSF 时间戳

交通比喻：Measurement Report 就像 "交通调查报告"——"6 车道上午 8~9 点的车流量为 1200 辆，平均速度 45 km/h，最繁忙时段为 8:30"。

¶8.21 Element ID 40：Quiet

Quiet — AP 定义一个静默期，在此期间所有 STA 必须停止发送。

 1字节   1字节   1字节      2字节         4字节       2字节
┌────────┬──────┬──────────┬────────────┬───────────┬──────────┐
│ID=40   │Len=6 │Quiet     │Quiet       │Quiet      │Quiet     │
│        │      │Count     │Period      │Duration   │Offset    │
└────────┴──────┴──────────┴────────────┴───────────┴──────────┘

子字段	大小	说明
Quiet Count	1 字节	距下一个静默期的 TBTT 数
Quiet Period	1 字节	静默周期（多少个 TBTT）
Quiet Duration	2 字节	静默持续时间（TU）
Quiet Offset	2 字节	从 TBTT 开始的偏移（TU）

使用场景：

用于雷达检测（DFS）——AP 要求所有 STA 安静，以便检测微弱的雷达信号
用于信道测量——在无干扰的环境下测量信道质量
Channel Switch Mode=1 时也会触发静默

交通比喻：Quiet 就像 "临时交通管制"——"从现在起第 5 分钟开始，管制 3 分钟，所有车辆禁止通行"。

测量与静默之后，ERP 元素回到新旧设备共存的保护机制。

¶8.22 Element ID 42：ERP

ERP（Extended Rate PHY） — 报告 2.4 GHz 频段中 ERP（802.11g）的使用状态。

 1字节   1字节   1字节
┌────────┬──────┬──────────┐
│ID=42   │Len=1 │ERP       │
│        │      │Info      │
└────────┴──────┴──────────┘

ERP Info 位定义：

位	名称	说明
B0	Non-ERP Present	1 = 有关联的非 ERP STA（如 802.11b）
B1	Use Protection	1 = 需要使用保护机制（RTS/CTS 或 CTS-to-Self）
B2	Barker Preamble Mode	1 = 需要使用长前导码（Barker）

保护机制：当 Non-ERP Present=1 时，ERP STA 必须使用保护机制确保非 ERP STA 能正确解码：

RTS/CTS：ERP STA 先发 RTS，非 ERP STA 回 CTS，其他 STA 设置 NAV
CTS-to-Self：ERP STA 发 CTS 给自己，其他 STA 设置 NAV

为什么 ERP STA 需要「保护」？802.11b 的非 ERP STA 只能解调 DSSS/CCK 帧，听不懂 OFDM 帧——若 ERP STA 直接发 OFDM 帧，非 ERP STA 会误以为信道空闲、在传输中途抢发造成碰撞。保护机制先用它们听得懂的帧把 NAV 设起来，让它们在 ERP 帧传输期间保持安静。

交通比喻：ERP 就像 "混行道路标志"——"本路段有自行车（非 ERP STA）通行，汽车（ERP STA）请减速并保持安全距离（使用保护机制）"。

¶8.23 Element ID 45：HT Capabilities

HT Capabilities — 802.11n（High Throughput）的核心能力元素。

 1字节   1字节   2字节          1字节        4字节
┌────────┬──────┬──────────────┬────────────┬────────────────┐
│ID=45   │Len   │HT Capability │A-MPDU      │Supported MCS   │
│        │      │Info          │Parameters  │Set             │
└────────┴──────┴──────────────┴────────────┴────────────────┘

续: 2字节          2字节         4字节          2字节
┌────────────────┬─────────────┬──────────────┬──────────────┐
│HT Extended     │TX Beam-     │Antenna       │Extended      │
│Capability      │forming      │Selection     │Capabilities  │
│Info            │Capabilities │Capabilities  │              │
└────────────────┴─────────────┴──────────────┴──────────────┘

读这张图抓两点：前四块（HT Capability Info、A-MPDU Parameters、Supported MCS Set）是能力主体，后四块（Extended、Beamforming、Antenna Selection）是可选尾巴——抓包时先读前四块，就能判断一台 802.11n 设备的核心能力。

HT Capability Info 关键位：

位	名称	说明
B0	LDPC Coding	支持 LDPC 编码
B1	Supported Channel Width	0 = 仅 20 MHz，1=20+40 MHz
B2~B3	SM Power Save	空间复用省电模式
B4	HT-Greenfield	支持 Greenfield 格式
B5	SGI for 20 MHz	20 MHz 短保护间隔（400 ns）
B6	SGI for 40 MHz	40 MHz 短保护间隔
B7	TX STBC	支持发送 STBC
B8~B9	RX STBC	支持接收 STBC（0 = 不支持，1₃₌₁3 个空间流）
B10	HT-Delayed BlockAck	支持延迟 BlockAck
B11	Maximum A-MSDU	0=3839 字节，1=7935 字节
B12	DSSS/CCK in 40 MHz	40 MHz 下支持 DSSS/CCK
B14~B15	Forty MHz Intolerant	40 MHz 不容忍标志

A-MPDU Parameters：

位	说明
B0~B1	Maximum A-MSDU Length Exponent（0~3）
B2~B3	Minimum MPDU Start Spacing
B4~B6	Maximum A-MPDU Length Exponent（最大 A-MPDU = 2^(13+exp) - 1 字节）

Supported MCS Set（16 字节）：

B0~B76：支持的 MCS 索引（每个位对应一个 MCS）
B77~B95：保留
B96~B111：TX 最高支持的空间流数
B112~B127：保留

MCS Set 之所以用位图而非速率列表，是因为各设备支持的 MCS 组合稀疏且不连续——一位对应一个 MCS，能在固定 16 字节里紧凑、独立地宣告任意组合，还给未来新增 MCS 留出保留位；A-MPDU 长度用指数（2^(13+exp)）编码，则是为了用 3 位覆盖从约 8 KB 到 64 KB 的宽跨度。

交通比喻：HT Capabilities 就像 "车辆性能规格表"——"本车支持 4 车道并行（4 空间流），最高时速 300 km/h（MCS 31），支持涡轮增压（SGI），支持混合动力（LDPC）"。

¶8.24 Element ID 46：QoS Capability

QoS Capability — 声明 STA/AP 的可选 QoS 能力，与 EDCA Parameter Set 配套出现。

 1字节   1字节   1字节
┌────────┬──────┬──────────┐
│ID=46   │Len=1 │QoS Info  │
└────────┴──────┴──────────┘

结构与 EDCA Parameter Set 里的 QoS Info 共用同一字段：AP 侧 B4~B7 依次为 Q-Ack、Queue Request、TXOP Request、More Data Ack，声明 "能否处理带 Queue Size / TXOP Duration Requested 的 QoS Data 帧"；STA 侧则用这几位承载各 AC 的 U-APSD 触发/投递使能。复用同一字节，是因为能力声明只需几个标志位，不必为 AP/STA 各设一种元素。

交通比喻：QoS Capability 就像车辆的 "特种通行资质牌"——先声明 "我能走急救车道、能接调度指令"，AP 才敢下发对应的 QoS 参数。

¶8.25 Element ID 48：RSNE

RSNE（Robust Security Network Element） — WPA2/WPA3 的核心安全元素，声明安全参数。

 1字节   1字节   2字节     4字节     2字节     4×N字节    2字节
┌────────┬──────┬─────────┬─────────┬─────────┬──────────┬──────────┐
│ID=48   │Len   │Version  │Group    │Pairwise │Pairwise  │AKM       │
│        │      │         │Cipher   │Cipher   │Cipher    │Suite     │
│        │      │         │Suite    │Count    │List      │Count     │
└────────┴──────┴─────────┴─────────┴─────────┴──────────┴──────────┘

续: 4×N字节    2字节        变长           变长
┌──────────────┬───────────┬──────────────┬──────────────┐
│AKM Suite     │RSN        │PMKID List    │Group Mgmt    │
│List          │Capabilities│(可选)        │Cipher Suite  │
│              │           │              │(可选)         │
└──────────────┴───────────┴──────────────┴──────────────┘

这张图是安全协商清单：加密算法（Group/Pairwise Cipher）、认证方式（AKM）与能力标志（RSN Capabilities）三段为主体，尾部的 PMKID 与组管理算法是可选尾巴。

子字段	大小	说明
Version	2 字节	固定为 1
Group Cipher Suite	4 字节	组播加密算法 OUI+Type
Pairwise Cipher Suite Count	2 字节	成对加密算法数量
Pairwise Cipher Suite List	4×N 字节	成对加密算法列表
AKM Suite Count	2 字节	认证密钥管理算法数量
AKM Suite List	4×N 字节	AKM 算法列表
RSN Capabilities	2 字节	能力标志
PMKID List	0 或 16×N 字节	PMKID 列表（用于 FT）。可选字段，Length 足够大时才有
Group Management Cipher Suite	0 或 4 字节	组管理加密算法（BIP）。可选字段，仅当 MFPC=1 时才有

RSN Capabilities 关键位：

位	名称	说明
B0	Pre-Auth	支持预认证
B1	No Pairwise	支持仅组播加密
B2~B3	PTKSA Replay Counter	PTKSA 重放计数器数量
B4~B5	GTKSA Replay Counter	GTKSA 重放计数器数量
B6	MFPR	管理帧保护必需（Required）
B7	MFPC	管理帧保护能力（Capable）
B8	Joint Multi-band RSNA	联合多频段 RSNA
B9	PeerKey	PeerKey 支持
B12	SPP A-MSDU	SPP A-MSDU 能力
B13	SPP A-MSDU Required	SPP A-MSDU 必需
B14	PBAC	基于策略的准入控制

Cipher Suite OUI+Type 编码（4 字节）：

OUI + Type	算法
00-0F-AC:0	使用 Group Cipher
00-0F-AC:1	WEP-40
00-0F-AC:2	TKIP
00-0F-AC:3	WRAP
00-0F-AC:4	CCMP（AES-128）
00-0F-AC:5	WEP-104
00-0F-AC:6	BIP-CMAC-128
00-0F-AC:7	保留
00-0F-AC:8	GCMP-128
00-0F-AC:9	GCMP-256
00-0F-AC:10	CCMP-256
00-0F-AC:11	BIP-GMAC-128
00-0F-AC:12	BIP-GMAC-256
00-0F-AC:13	BIP-CMAC-256

AKM Suite OUI+Type 编码：

OUI + Type	认证方式
00-0F-AC:1	802.1X（企业级）
00-0F-AC:2	PSK（预共享密钥）
00-0F-AC:3	FT over 802.1X
00-0F-AC:4	FT over PSK
00-0F-AC:5	802.1X + SHA-256
00-0F-AC:6	PSK + SHA-256
00-0F-AC:7	TDLS
00-0F-AC:8	SAE（WPA3 个人级）
00-0F-AC:9	FT over SAE
00-0F-AC:10	APPeerKey（SHA-256）
00-0F-AC:11	802.1X（Suite B，SHA-256）
00-0F-AC:12	802.1X（CNSA Suite，SHA-384）
00-0F-AC:13	FT over 802.1X（SHA-384）
00-0F-AC:14	FILS（SHA-256）
00-0F-AC:15	FILS（SHA-384）
00-0F-AC:16	FT-FILS（SHA-256）
00-0F-AC:17	FT-FILS（SHA-384）
00-0F-AC:18	None（RSNA，OWE 用）
00-0F-AC:19	FT over PSK（SHA-384）
00-0F-AC:20	PSK + SHA-384

示例：WPA2-Personal RSNE：

Version: 1
Group Cipher: 00-0F-AC:4 (CCMP)
Pairwise Cipher Count: 1
Pairwise Cipher: 00-0F-AC:4 (CCMP)
AKM Count: 1
AKM Suite: 00-0F-AC:2 (PSK)
RSN Capabilities: 0x000C (MFPC=1, MFPR=0)

为什么加密与认证都写成 OUI+Type 的 4 字节套件选择器、而不是固定枚举？因为安全算法会被不断淘汰和新增——OUI 字段保留给第三方厂商扩展，Type 由 IEEE 分配，套件用「Count + List」结构就能表达任意数量的候选，抓包方也能一眼看出「支持几种、各是什么」。分组密钥与成对密钥分开声明，则是因为组播是 AP 对全体 STA 广播、只能选一个统一算法，而成对密钥可以按 STA 逐一协商最强算法。

交通比喻：RSNE 就像 "安全协议书"——上面写着 "我们用 AES 加密（CCMP），用 WPA3 认证（SAE），支持管理帧保护（MFPC）"。不同的安全配置就像不同的安全等级——从 "铁锁"（WEP）到 "强密码箱"（WPA3）。

¶8.26 Element ID 50：Extended Supported Rates

Extended Supported Rates — 当支持的速率超过 8 个时，超出部分放在这个元素中。

 1字节   1字节    1字节    1字节    ...
┌────────┬──────┬────────┬────────┬───────┐
│ID=50   │Len   │Rate 1  │Rate 2  │ ...   │
│        │      │        │        │       │
└────────┴──────┴────────┴────────┴───────┘

格式与 Element ID 1（Supported Rates）完全相同。两个元素合在一起，总共最多可以声明 253 个速率。

交通比喻：Extended Supported Rates 就像 "补充限速牌"——正反面限速牌写不下，就再加一块。

能力与速率声明之后，是邻居发现与移动性相关的一组元素。

¶8.27 Element ID 51：AP Channel Report

AP Channel Report — AP 告知 STA 自己知道的其他可用信道。

 1字节   1字节   1字节       1字节    1字节    ...
┌────────┬──────┬───────────┬────────┬────────┬───────┐
│ID=51   │Len   │Operating  │Channel │Channel │ ...   │
│        │      │Class      │  1     │  2     │       │
└────────┴──────┴───────────┴────────┴────────┴───────┘

子字段	大小	说明
Operating Class	1 字节	操作类别（决定信道频率和间距）
Channel N	1 字节 / 个	可用的信道号列表

使用场景：

出现在 Beacon 和 Probe Response 中
用于信道切换——AP 告诉 STA"如果需要切换，这些信道都可以用"
也用于 Beacon Report——STA 可以在这些信道上进行 Beacon 测量

交通比喻：AP Channel Report 就像 "可用车道清单"——"当前在第 6 车道，如果需要切换，第 1、11、36、149 车道都可用"。

¶8.28 Element ID 52：Neighbor Report

Neighbor Report — AP 报告邻居 AP 的信息，帮助 STA 进行快速 BSS 切换。

 1字节   1字节   6字节     1字节       1字节       2字节
┌────────┬──────┬─────────┬───────────┬───────────┬──────────┐
│ID=52   │Len   │BSSID    │BSSID      │Operating  │Channel   │
│        │      │         │Information│Class      │Number    │
└────────┴──────┴─────────┴───────────┴───────────┴──────────┘

续: 1字节       变长
┌──────────────┬──────────────────┐
│Phy Type      │Optional          │
│              │Subelements       │
└──────────────┴──────────────────┘

子字段	大小	说明
BSSID	6 字节	邻居 AP 的 BSSID
BSSID Information	4 字节	邻居 AP 的能力信息
Operating Class	1 字节	操作类别
Channel Number	1 字节	邻居 AP 的信道号
Phy Type	1 字节	PHY 类型
Optional Subelements	变长	可选子元素（如 TSF、Country 等）

BSSID Information 位定义：

位	说明
B0~B2	AP Reachability（可达性：0 = 未知，1 = 可达，2 = 可能不可达）
B3	Security（是否需要安全认证）
B4~B7	Key Scope（密钥范围）
B8~B13	Capabilities（能力标志：CF Pollable、CF Poll Request、Privacy 等）
B14	Mobility Domain（是否在同一移动域）
B15~B22	High Throughput（HT 能力标志）
B23~B30	Very High Throughput（VHT 能力标志）

交通比喻：Neighbor Report 就像 "附近加油站列表"——"前方 500 米有中石化（BSSID），在第 11 车道（Channel 11），24 小时营业（可达），支持会员卡（安全）"。

¶8.29 Element ID 54：MDE（Mobility Domain Element）

MDE — 定义快速 BSS 切换（FT）的移动域。

 1字节   1字节   2字节      1字节
┌────────┬──────┬──────────┬──────────────┐
│ID=54   │Len=3 │Mobility  │FT Capability │
│        │      │Domain ID │& Policy      │
└────────┴──────┴──────────┴──────────────┘

子字段	大小	说明
Mobility Domain ID	2 字节	移动域标识符（MDID），同一域内的 AP 可以快速切换
FT Capability & Policy	1 字节	B0=Over-DS 支持，B1=Resource Request 支持

FT 切换方式：

Over-the-Air（OTA）：STA 直接与目标 AP 进行 FT 握手
Over-the-DS（ODS）：STA 通过当前 AP 转发 FT 握手到目标 AP

交通比喻：MDE 就像 "连锁店会员卡"——"星巴克中国区（MDID=0x0001）的会员，在任何分店都能快速结账（快速切换）"。

¶8.30 Element ID 55：FTE（Fast BSS Transition Element）

FTE — 包含快速 BSS 切换（FT）的密钥信息。

 1字节   1字节   16字节      16字节      变长
┌────────┬──────┬───────────┬───────────┬──────────────┐
│ID=55   │Len   │PMK-R0     │PMK-R1     │Optional      │
│        │      │Name       │Name       │Parameters    │
└────────┴──────┴───────────┴───────────┴──────────────┘

子字段	大小	说明
PMK-R0 Name	16 字节	PMK-R0 的标识符
PMK-R1 Name	16 字节	PMK-R1 的标识符
Optional Parameters	变长	可选参数（如 R0KH-ID、R1KH-ID、GTK 等）

FT 密钥层次：

PMK (来自认证)
  └── PMK-R0 (根密钥，由 MDID + R0KH-ID + S0KH-ID 派生)
        └── PMK-R1 (由 PMK-R0 + R1KH-ID + S1KH-ID 派生)
              └── PTK (由 PMK-R1 + ANonce + SNonce 派生)

交通比喻：FTE 就像 "快速通关凭证"——"持有 PMK-R0 会员卡的用户，可以直接在分店生成临时通行密钥（PTK），无需重新登记（重新认证）"。

¶8.31 Element ID 56：TIE（Timeout Interval Element）

TIE — 声明各种超时间隔。

 1字节   1字节   1字节         4字节
┌────────┬──────┬─────────────┬──────────────┐
│ID=56   │Len=5 │Timeout      │Timeout       │
│        │      │Interval Type│Value         │
└────────┴──────┴─────────────┴──────────────┘

子字段	大小	说明
Timeout Interval Type	1 字节	超时类型（见下表）
Timeout Value	4 字节	超时值（单位由类型决定）

Timeout Interval Type：

Type	名称	单位	说明
1	Reassociation Deadline	TU	重新关联截止时间
2	Key Lifetime	TU	密钥生命周期
3	Association Comeback	TU	关联回退时间

交通比喻：TIE 就像 "保质期标签"——"这张通行证的有效期是 3600 TU（约 3.7 秒）"。

¶8.32 Element ID 59：Supported Operating Classes

Supported Operating Classes — STA 报告自己支持的操作类别。

 1字节   1字节   1字节      1字节    1字节    ...
┌────────┬──────┬──────────┬────────┬────────┬───────┐
│ID=59   │Len   │Current   │Op Class│Op Class│ ...   │
│        │      │Op Class  │  1     │  2     │       │
└────────┴──────┴──────────┴────────┴────────┴───────┘

子字段	大小	说明
Current Operating Class	1 字节	当前使用的操作类别
Operating Class N	1 字节 / 个	支持的操作类别列表

** 操作类别（Operating Class）** 定义了信道频率和间距的组合，详见 802.11 标准 Annex E。

交通比喻：Supported Operating Classes 就像 "驾照类型"——"我持有 C1（20 MHz 信道）和 B1（40 MHz 信道）驾照"。

¶8.33 Element ID 60：Extended Channel Switch Announcement

Extended Channel Switch Announcement — 扩展版信道切换公告，支持更宽带宽。

 1字节   1字节   1字节         1字节        1字节          1字节
┌────────┬──────┬─────────────┬────────────┬──────────────┬──────────────┐
│ID=60   │Len=4 │Channel      │New Channel │Channel       │New Operating │
│        │      │Switch Mode  │Number      │Switch Count  │Class         │
└────────┴──────┴─────────────┴────────────┴──────────────┴──────────────┘

子字段	大小	说明
Channel Switch Mode	1 字节	0 = 可继续发送，1 = 必须停止
New Channel Number	1 字节	新信道号
Channel Switch Count	1 字节	距离切换的 TBTT 数
New Operating Class	1 字节	新的操作类别

与 Element ID 37 的区别：增加了 New Operating Class 字段，支持跨操作类别切换（如从 20 MHz 切换到 40 MHz）。

交通比喻：Extended Channel Switch Announcement 就像 "全面换道通知"——"不仅换车道，还要换道路类型（从国道切换到高速公路）"。

¶8.34 Element ID 61：HT Operation

HT Operation — AP 声明 802.11n 的操作参数。

 1字节   1字节   1字节       16字节       2字节      2字节     1字节
┌────────┬──────┬───────────┬────────────┬──────────┬─────────┬──────────┐
│ID=61   │Len   │Primary    │HT          │HT        │OP Mode  │STBC     │
│        │      │Channel    │Operation   │Basic     │         │         │
│        │      │Number     │Info        │MCS Set   │         │         │
└────────┴──────┴───────────┴────────────┴──────────┴─────────┴──────────┘

HT Operation Info 关键位：

位	名称	说明
B0~B1	Secondary Channel Offset	0 = 无辅助信道（SCN），1 = 上方（SCA），3 = 下方（SCB）
B2	STA Channel Width	0=20 MHz，1=20/40 MHz
B3	RIFS Mode	RIFS 模式
B4~B7	Reserved	保留
B8~B9	HT Protection	保护机制
B10	Nongreenfield HT STAs Present	非 Greenfield HT STA 存在
B11	Reserved	保留
B12	OBSS Non-HT STAs Present	OBSS 非 HT STA 存在
B13~B20	Channel Center Frequency Segment 2	信道中心频率段 2
B21~B29	Reserved	保留
B30	Dual Beacon	双 Beacon
B31	Dual CTS Protection	双 CTS 保护
B32	STBC Beacon	STBC Beacon
B33~B39	Reserved	保留

为什么 HT 能力与操作要拆成两个元素——HT Capabilities 声明能力、HT Operation 声明当前参数？因为能力是设备属性、相对固定，而操作参数（主信道、辅助信道偏移、保护机制）会随 AP 部署环境动态变化；拆开之后，Beacon 只需周期携带 HT Operation，HT Capabilities 只在关联时交换一次，省下每帧重发能力清单的开销。

交通比喻：HT Operation 就像 "车道使用规则"——"主车道在第 6 车道，辅道在第 6 车道上方（20 MHz），支持双车道并行（40 MHz），有慢车时需要保持距离（保护机制）"。

¶8.35 Element ID 62：Secondary Channel Offset

Secondary Channel Offset — 声明辅助信道相对于主信道的位置。

 1字节   1字节   1字节
┌────────┬──────┬──────────────────────┐
│ID=62   │Len=1 │Secondary Channel     │
│        │      │Offset                │
└────────┴──────┴──────────────────────┘

值	名称	说明
0	SCN	无辅助信道
1	SCA	辅助信道在主信道上方
2	保留	—
3	SCB	辅助信道在主信道下方

交通比喻：Secondary Channel Offset 就像 "辅道位置指示"——"辅道在主道的上方（高频方向）"。

¶8.36 Element ID 65：RSNI

RSNI（Received Signal to Noise Indicator） — 接收信噪比指示，用 1 字节量化接收信号相对噪声的余量。

 1字节   1字节   1字节
┌────────┬──────┬──────────┐
│ID=65   │Len=1 │RSNI      │
└────────┴──────┴──────────┘

字段	大小	说明
Element ID	1 字节	固定为 65
Length	1 字节	固定为 1
RSNI	1 字节	信噪比指示（0.5 dB 步长，-10 dB ~ +117 dB，255 = 不可用）

RSNI 由 RCPI（接收信道功率）与 ANPI（平均噪声 + 干扰功率）之比换算而来——比单纯报功率更能反映「信号比底噪高多少」，是 Beacon 测量报告判断链路余量的关键指标。

交通比喻：RSNI 就像「信号比马路噪音高出多少分贝」——不是问你车灯多亮，而是问车灯在路灯映衬下还能看清多少。

¶8.37 Element ID 71：Multiple BSSID

Multiple BSSID — AP 声明自己支持多个虚拟 BSSID。

 1字节   1字节   1字节         1字节
┌────────┬──────┬─────────────┬──────────────┐
│ID=71   │Len   │Max BSSID    │BSSID Index   │
│        │      │Indicator    │              │
└────────┴──────┴─────────────┴──────────────┘

子字段	大小	说明
Max BSSID Indicator	1 字节	n，最大 BSSID 数 = 2^n
BSSID Index	1 字节	当前 BSSID 的索引（0~2^n-1）

Multiple BSSID 机制：

一个物理 AP 可以虚拟出 2^n 个 BSSID
BSSID 0 是 Transmitted BSSID（实际发送 Beacon）
BSSID 1~2^n-1 是 Nontransmitted BSSID（通过 Reduced Neighbor Report 告知）
所有虚拟 BSSID 共享相同的无线资源

交通比喻：Multiple BSSID 就像 "一房多户"——同一栋楼（物理 AP）有多个门牌号（BSSID），每个住户（STA）看到不同的 "门牌"。

¶8.38 Element ID 72：20/40 BSS Coexistence

20/40 BSS Coexistence — 802.11n 引入的共存协调元素，在 20 MHz 与 40 MHz BSS 之间交换 "能不能开宽信道" 的诉求。

 1字节   1字节   1字节
┌────────┬──────┬──────────────────┐
│ID=72   │Len=1 │20/40 BSS         │
│        │      │Coexistence Info  │
└────────┴──────┴──────────────────┘

1 字节信息字段按位打包：B0=Information Request（请求对方回一份共存管理帧）、B1=Forty MHz Intolerant（禁止对端开 40 MHz）、B2=20 MHz BSS Width Request（请求对端退回 20 MHz）、B3/B4=OBSS 扫描豁免请求/授予。这些是 "即时诉求" 而非长期参数，用位图一次携带最省字节，也便于在 Action 帧里快速转发。

交通比喻：20/40 BSS Coexistence 就像 "并排车道协商"——"我这边有自行车（非 HT STA），请你暂时别开双车道，免得剐蹭"。

¶8.39 Element ID 74：Overlapping BSS Scan Parameters

Overlapping BSS Scan Parameters — AP 下发的 OBSS 扫描参数，规定 STA 探测邻近 BSS 时的驻留时长与触发阈值。

 1字节   1字节   2字节×7
┌────────┬──────┬──────────────────────────┐
│ID=74   │Len   │OBSS Scan Passive/Active  │
│        │      │Dwell … Activity Threshold│
└────────┴──────┴──────────────────────────┘

七个 2 字节字段依次为：Passive/Active Dwell（单次扫描驻留，TU）、BSS Channel Width Trigger Scan Interval（宽度触发扫描间隔，秒）、Passive/Active Total Per Channel（每信道累计扫描上限）、BSS Width Channel Transition Delay Factor、OBSS Scan Activity Threshold（活跃度阈值，0.01% 单位）。由 AP 统一发参数而非让 STA 自定，是为让全 BSS 的扫描行为可预测，避免某台 STA 扫描过久、抢占信道。

交通比喻：OBSS Scan Parameters 就像交警统一规定的 "绕行勘察规范"——每辆车勘察多久、多久勘察一次，全按同一张表来，免得有人堵在路口反复勘察。

¶8.40 Element ID 76：MME

MME（Management MIC Element） — 管理帧保护完整性校验元素，为组播管理帧和受保护 Beacon 提供防伪造与防重放。

 1字节   1字节   2字节     6字节      8/16字节
┌────────┬──────┬─────────┬──────────┬──────────┐
│ID=76   │Len   │Key ID   │IPN/BIPN  │MIC       │
└────────┴──────┴─────────┴──────────┴──────────┘

字段	大小	说明
Key ID	2 字节	选择校验密钥
IPN/BIPN	6 字节	接收重放计数器，防重放
MIC	8 或 16 字节	完整性校验摘要

Key ID 选密钥、IPN 防重放、MIC 出摘要——三者合力保证组播管理帧与受保护 Beacon 不被篡改或重放，802.11w（PMF）就靠它保护 Beacon、Deauth 等关键管理帧。

交通比喻：MME 就像贴在公文上的防伪封条——封条编号（IPN）防止旧公文被重复使用，封条上的签名（MIC）保证内容没被涂改。

¶8.41 Element ID 90：BSS Max Idle Period

BSS Max Idle Period — AP 告知 STA 最大空闲时间，超过则断开关联。

 1字节   1字节   2字节        1字节
┌────────┬──────┬────────────┬──────────────┐
│ID=90   │Len=3 │Max Idle    │Idle Options  │
│        │      │Period      │              │
└────────┴──────┴────────────┴──────────────┘

子字段	大小	说明
Max Idle Period	2 字节	最大空闲时间（单位：1000 TU，约 1.024 秒）
Idle Options	1 字节	B0=Protected Keep-Alive（受保护的保活帧）

使用场景：

AP 在 Beacon 和 Probe Response 中发送
STA 必须在 Max Idle Period 内发送至少一个帧（数据帧或保活帧），否则 AP 将断开关联
典型值：300（约 5 分钟）

交通比喻：BSS Max Idle Period 就像 "停车场超时规定"——"车辆停放超过 5 分钟未移动，将被拖走"。

省电与会话保活之外，AP 还要向 STA 亮明「我是什么类型的网络、能否直接上外网」——这一身份宣告由 Interworking 元素承担。

¶8.42 Element ID 107：Interworking

Interworking — 声明接入网络类型和互联网访问能力。

 1字节   1字节   1字节       6字节    2字节    1字节    1字节
┌────────┬──────┬───────────┬────────┬────────┬────────┬────────┐
│ID=107  │Len   │Access     │HESSID  │ANQP    │Domain  │Venue   │
│        │      │Network    │        │Elem ID │Name    │Name    │
│        │      │Options    │        │        │        │        │
└────────┴──────┴───────────┴────────┴────────┴────────┴────────┘

Access Network Options 位定义：

位	名称	说明
B0~B3	Access Network Type	接入网络类型
B4	Internet	1 = 有互联网访问
B5	ASRA	1 = 额外步骤需要认证
B6	ESR	1 = 紧急服务可达
B7	UESA	1 = 未授权频谱紧急服务可用

Access Network Type：

值	类型	说明
0	Private network	私有网络
1	Private network with guest access	私有网络（访客访问）
2	Chargeable public network	付费公共网络
3	Free public network	免费公共网络
4	Personal device network	个人设备网络
5	Emergency services only	仅紧急服务
6~14	保留	—
15	Test or experimental	测试或实验

交通比喻：Interworking 就像 "网络类型指示牌"——"这里是免费公共 WiFi（Type=3），可以上互联网（Internet=1），需要先登录（ASRA=1）"。

单个功能元素之外，Extended Capabilities 用一个位图打包宣告大量能力。

¶8.43 Element ID 127：Extended Capabilities

Extended Capabilities — 可变长的位图，声明扩展能力。

 1字节   1字节    1~8字节
┌────────┬──────┬──────────────────┐
│ID=127  │Len   │Extended          │
│        │      │Capabilities      │
│        │      │Bitmap            │
└────────┴──────┴──────────────────┘

关键位定义：

位	能力	说明
B0	BSS Coexistence Management	20/40 共存管理
B1	Extended Channel Switching	扩展信道切换
B3	PSMP Capability	PSMP 能力
B6	Event	事件能力
B7	Diagnostics	诊断能力
B8	Multicast Diagnostics	组播诊断
B9	Location Tracking	位置追踪
B10	FMS	FMS 能力
B11	Proxy ARP	代理 ARP
B12	Colocated Interference Reporting	同址干扰报告
B13	Civic Location	城市位置
B14	Geospatial Location	地理位置
B15	TFS	TFS 能力
B16	WNM Sleep Mode	WNM 省电
B17	TIM Broadcast	TIM 广播
B18	BSS Transition	BSS 切换
B19	QoS Traffic Capability	QoS 流量能力
B20	AC Station Count	AC STA 计数
B21	Multiple BSSID	多 BSSID
B22	Timing Measurement	时间测量
B23	Channel Usage	信道使用
B24	SSID List	SSID 列表
B25	DMS	DMS 能力
B26	UTC TSF Offset	UTC TSF 偏移
B27	TPU Buffer STA	TPU 缓冲 STA
B28	TDLS Peer U-APSD	TDLS 对等 U-APSD
B29	TDLS Channel Switching	TDLS 信道切换
B30	Interworking	互通
B31	QoS Map	QoS 映射
B32	EBR	EBR 能力
B33	SSPN Interface	SSPN 接口
B35	MSGCF Capability	MSGCF 能力
B36	TDLS Prohibited	TDLS 禁止
B37	TDLS Channel Switching Prohibited	TDLS 信道切换禁止
B38	Reject Unadmitted Frame	拒绝未准入帧
B39~B46	更多能力	继续扩展

为什么用可变长位图而非固定字段？扩展能力数量庞大且逐代递增——从 802.11n 的 20/40 共存到 802.11be 的 MLO，新能力只需在尾部追加新位、不必改动既有编号；STA 遇到未知位按 0 忽略，新旧设备得以互操作。

交通比喻：Extended Capabilities 就像 "车辆选装配置表"——每勾选一项，就多一种功能（支持 TDLS、支持 FMS、支持位置追踪……）。

进入 802.11ac 时代，VHT 能力元素接管高速协商与操作参数的宣告。

¶8.44 Element ID 191：VHT Capabilities

VHT Capabilities — 802.11ac（Very High Throughput）的核心能力元素。

 1字节   1字节  4字节              2字节            4字节
┌────────┬──────┬─────────────────┬───────────────┬───────────────┐
│ID=191  │Len   │VHT MAC          │VHT PHY        │Supported VHT  │
│        │      │Capabilities Info│Capabilities   │MCS and NSS    │
│        │      │                 │Info           │Set            │
└────────┴──────┴─────────────────┴───────────────┴───────────────┘

这张图是三段式：VHT MAC Capabilities 管 MAC 层能力（MPDU 长度、信道宽度、波束成形），VHT PHY Capabilities 管物理层能力，Supported VHT-MCS and NSS Set 逐空间流声明最高 MCS——三段合起来就是一台 802.11ac 设备的完整能力清单。

VHT MAC Capabilities Info 关键位：

位	名称	说明
B0~B1	Max MPDU Length	0=3895，1=7991，2=11454 字节
B2~B3	Supported Channel Width	0 = 仅 160 MHz，1=160+80+80 MHz
B4	Rx LDPC	支持接收 LDPC
B5	Short GI for 80 MHz	80 MHz 短 GI
B6	Short GI for 160 MHz	160 MHz 短 GI
B7	Tx STBC	支持发送 STBC
B8~B9	Rx STBC	支持接收 STBC（0~3）
B10	SU Beamformer	支持 SU 波束成形发送
B11	SU Beamformee	支持 SU 波束成形接收
B12~B14	Beamformee STS	波束成形 STS 能力（0~7）
B15~B17	Sounding Dimensions	探测维度（0~3）
B18	MU Beamformer	支持 MU 波束成形发送
B19	MU Beamformee	支持 MU 波束成形接收
B20	VHT TXOP Power Save	VHT TXOP 省电
B23~B25	Max A-MPDU Length	最大 A-MPDU 长度指数（2^(13+exp)-1）
B26~B27	VHT Link Adaptation	VHT 链路自适应
B28	Rx Antenna Pattern	接收天线模式一致性
B29	Tx Antenna Pattern	发送天线模式一致性

Supported VHT-MCS and NSS Set：

每个空间流（1~8）对应 2 位，编码支持的最大 MCS（0~9）
包含 Rx 和 Tx 两组

三段切分的用意：MAC 能力（MPDU 长度、聚合）与 PHY 能力（信道宽度、MCS）分属不同协商层次——前者决定帧级上限、后者决定频谱效率，分开声明让 MAC 与 PHY 各自演进，抓包时也能按层快速定位。

交通比喻：VHT Capabilities 就像 "超级跑车规格表"——"8 缸发动机（8 空间流），最高时速 500 km/h（MCS 9），支持自动驾驶（波束成形），支持涡轮增压（SGI）"。

¶8.45 Element ID 192：VHT Operation

VHT Operation — AP 声明 802.11ac 的操作参数。

 1字节   1字节   1字节         2字节           2字节
┌────────┬──────┬─────────────┬───────────────┬───────────────┐
│ID=192  │Len   │VHT          │VHT Basic      │VHT MCS       │
│        │      │Operation    │MCS Map        │Map           │
│        │      │Info         │               │              │
└────────┴──────┴─────────────┴───────────────┴───────────────┘

VHT Operation Info：

位	名称	说明
B0~B1	Channel Width	0=20/40 MHz（由 HT 决定），1=80 MHz，2=160 MHz，3=80+80 MHz
B2~B15	Channel Center Freq Seg0	中心频率段 0
B16~B23	Channel Center Freq Seg1	中心频率段 1
B24~B31	Basic VHT-MCS and NSS	基本 VHT-MCS 和 NSS

交通比喻：VHT Operation 就像 "车道使用规范"——"当前使用 80 MHz 带宽（4 车道并行），中心频率在信道 42"。

¶8.46 Element ID 194：Wide Bandwidth Channel Switch

Wide Bandwidth Channel Switch — 支持 80/160/80+80 MHz 带宽的信道切换。

 1字节   1字节   1字节           1字节             1字节
┌────────┬──────┬───────────────┬─────────────────┬─────────────────┐
│ID=194  │Len=3 │New Channel    │Channel Center   │Channel Center   │
│        │      │Width          │Freq Seg0        │Freq Seg1        │
└────────┴──────┴───────────────┴─────────────────┴─────────────────┘

子字段	大小	说明
New Channel Width	1 字节	新信道宽度（1=40 MHz，2=80 MHz，3=160 MHz，4=80+80 MHz）
Channel Center Freq Seg0	1 字节	中心频率段 0
Channel Center Freq Seg1	1 字节	中心频率段 1（80+80 时使用）

交通比喻：Wide Bandwidth Channel Switch 就像 "拓宽道路通知"——"前方道路从 2 车道拓宽到 4 车道"。

¶8.47 Element ID 195：Transmit Power Envelope

Transmit Power Envelope — 声明不同带宽下的最大发射功率。

 1字节   1字节   1字节
┌────────┬──────┬──────────────────────┐
│ID=195  │Len   │Max TX Power         │
│        │      │(每个带宽一个)        │
└────────┴──────┴──────────────────────┘

每个字节编码一个带宽下的最大 EIRP 功率（dBm，单位 0.5 dB）：

字节位置	对应带宽
第 1 字节	20 MHz
第 2 字节	40 MHz（可选）
第 3 字节	80 MHz（可选）
第 4 字节	160 MHz（可选）

交通比喻：Transmit Power Envelope 就像 "不同车道的限速"——"单车道限速 20，双车道限速 18，四车道限速 16"。

VHT 相关元素之后，RNR 与 TWT 分别服务于密集部署与省电。

¶8.48 Element ID 201：Reduced Neighbor Report

Reduced Neighbor Report（RNR） — 精简版邻居报告，用于 802.11ax/be 中发现同一物理 AP 上的其他 BSS。

 1字节   1字节   6字节     1字节       1字节       1字节
┌────────┬──────┬─────────┬───────────┬───────────┬──────────┐
│ID=201  │Len   │TBSSID   │TBSSID     │Operating  │Channel   │
│        │      │         │Parameters │Class      │Number    │
└────────┴──────┴─────────┴───────────┴───────────┴──────────┘

续: 变长
┌──────────────────┐
│Optional          │
│Subelements       │
└──────────────────┘

TBSSID Parameters 位定义：

位	说明
B0~B3	TBSSID Index（传输 BSSID 索引）
B4~B7	Reserved
B8~B15	Co-located AP Count（同址 AP 数量）

使用场景：

6 GHz 频段中，AP 使用 RNR 而不是传统 Neighbor Report
STA 通过 RNR 发现同一物理设备上的其他 BSS
用于 Multi-Link Operation（MLO）中的链路发现

交通比喻：RNR 就像 "楼内商户列表"——"这栋楼里还有星巴克（BSSID 1）、麦当劳（BSSID 2）、肯德基（BSSID 3）"。

¶8.49 Element ID 216：TWT（Target Wake Time）

TWT — 定义 STA 的目标唤醒时间，用于省电。

 1字节   1字节   1字节        15+字节
┌────────┬──────┬────────────┬──────────────────┐
│ID=216  │Len   │TWT Control │TWT Parameter     │
│        │      │            │Information       │
└────────┴──────┴────────────┴──────────────────┘

TWT Control 位定义：

位	说明
B0~B5	NDP Paging Indicator
B6	Responder PM Mode
B7	Broadcast TWT

TWT Parameter Information：

子字段	大小	说明
Request Type	2 字节	请求类型（Request/Respond/Suggest/Demand）
Target Wake Time	8 字节	目标唤醒时间（TSF 值）
Nominal Min Wake Duration	1 字节	最小唤醒持续时间
TWT Wake Interval Mantissa	2 字节	唤醒间隔尾数
TWT Wake Interval Exponent	1 字节	唤醒间隔指数

TWT 唤醒间隔计算：

TWT Wake Interval = TWT Wake Interval Mantissa × 2^TWT Wake Interval Exponent (μs)

示例：
  Mantissa = 512, Exponent = 10
  Interval = 512 × 2^10 = 524288 μs = 约 512 ms

TWT 类型：

Individual TWT：STA 与 AP 一对一协商的唤醒时间
Broadcast TWT：AP 广播的公共唤醒时间，多个 STA 共享
Announced TWT：STA 在唤醒时通知 AP 有数据要发送

交通比喻：TWT 就像 "闹钟设定"——"你设一个闹钟，每隔 512ms 响一次，每次响的时候醒来检查有没有新快递（缓存数据）"。

省电调度之外，还有一类内容标准无法统一规定——厂商私有扩展，交给 Vendor Specific 元素承载。

¶8.50 Element ID 221：Vendor Specific

Vendor Specific — 厂商自定义元素，用于非标准功能。标准原文没有规定 Vendor-specific content 的最小长度，可以为 0。

 1字节   1字节   3或5字节          0+字节
┌────────┬──────┬─────────────────┬──────────────────┐
│ID=221  │Len   │Organization     │Vendor-specific   │
│        │      │Identifier      │content           │
└────────┴──────┴─────────────────┴──────────────────┘

子字段	大小	说明
Organization Identifier	3 或 5 字节	厂商标识。3 字节为标准 OUI（IEEE 分配），5 字节为 OUI + Type（厂商自行扩展的类型字段）
Vendor-specific content	0+ 字节	厂商自定义内容。标准未规定最小长度，可为空（0 字节），具体格式由 Organization Identifier 的拥有者定义

Organization Identifier 格式说明：

3 字节格式：仅包含 OUI（如 00:50:F2），Vendor-specific content 从第 1 字节开始就是厂商数据
5 字节格式：OUI + OUI Type（如 00:50:F2:02），OUI Type 进一步区分同一厂商的不同用途（如 Microsoft 用 02 表示 WMM）
Length 字段 = Organization Identifier 长度 + Vendor-specific content 长度

常见 OUI：

OUI	厂商	常见用途
00:50:F2	Microsoft	WPA IE、WMM IE
00:90:4C	Broadcom	Broadcom 扩展
00:10:18	Broadcom	Broadcom 扩展
00:03:7F	Atheros	Atheros 扩展
50:6F:9A	Wi-Fi Alliance	Wi-Fi Alliance 标准扩展

WMM（Wi-Fi Multimedia） 就是通过 Vendor Specific 元素实现的（使用 5 字节 Organization Identifier）：

Organization Identifier: 00:50:F2:02 (Microsoft, OUI Type=WMM)
Vendor-specific content: Subtype(1字节) + 其他参数
  Subtype=0x01 → WMM Parameter Element
  Subtype=0x02 → WMM TSPEC Element

交通比喻：Vendor Specific 就像 "店家自定义的优惠券格式"——每家店的优惠券长得不一样，但都有店家标识（OUI）。

安全协议的补充声明由 RSNXE 承载，扩展元素的入口规则紧随其后。

¶8.51 Element ID 244：RSNXE

RSNXE（RSN Extension Element） — RSN 的扩展元素，用于声明 WPA3 等新安全特性的支持。

 1字节   1字节   1~4字节（至少 1 字节）
┌────────┬──────┬──────────────────┐
│ID=244  │Len   │RSN Extension     │
│        │      │Data              │
└────────┴──────┴──────────────────┘

RSN Extension Data 位定义：

位	名称	说明
B0	Protected TWT	支持受保护的 TWT
B1	SAE Hash-to-Element	支持 SAE Hash-to-Element
B2	Protected TM	支持受保护的时间测量
B3	SAE-PK	支持 SAE-PK（公钥认证）
B4~B7	Reserved	保留

使用场景：

WPA3-SAE 使用 RSNXE 来声明支持 Hash-to-Element（替代 Hunting-and-Pecking）
受保护的 TWT 需要在 RSNXE 中声明

为什么另立 RSNXE 而不是往 RSNE 里塞新位？RSNE 的 RSN Capabilities 只有 2 字节，WPA3 引入 Hash-to-Element、SAE-PK、Protected TWT 后位元几乎用尽；若改动 RSNE 格式会破坏老设备对主安全元素的解析。拆成独立元素后，新特性位往 RSNXE 尾部追加即可，RSNE 保持冻结、新旧设备互不干扰。

交通比喻：RSNXE 就像 "安全协议补充条款"——"除了主合同（RSNE）外，还支持指纹识别（SAE Hash-to-Element）和加密通信（Protected TWT）"。

¶8.52 Element ID 255：扩展元素入口

Element ID 255 是扩展元素的入口——它表示 "请继续读取 Element ID Extension 字段来确定具体是什么元素"。

 1字节     1字节     1字节           变长
┌─────────┬─────────┬───────────────┬──────────┐
│ ID=255  │ Length  │Element ID     │Information│
│         │         │Extension      │          │
└─────────┴─────────┴───────────────┴──────────┘

字段	大小	说明
Element ID	1 字节	固定为 255
Length	1 字节	含 Extension 字段的总长度（最小为 1，即只有 Extension 字段本身）
Element ID Extension	1 字节	实际的扩展元素 ID（0~255+）
Information	0+ 字节	扩展元素的具体数据，具体格式由 Element ID Extension 决定，可以为 0 字节

交通比喻：Element ID 255 就像 "请翻到附录"——正文写不下了（0~254 用完了），就用 255 指向附录继续写。

¶9 扩展元素完全手册 — Element ID 255 + Extension 0~255+

当 Element ID = 255 时，通过 Element ID Extension 字段进一步区分。扩展元素用于 802.11n/ac/ax/be 等新标准引入的功能，因为普通的 0~254 已经用完。

本节收录两部分：一是 IEEE 802.11-2024 Table 9-130 中已分配的扩展元素（含 HE/WUR/EDMG/DMG 等）；二是 802.11be-2024 修正案（WiFi 7）引入的 EHT/MLO 元素——802.11be 作为独立修正案发布、尚未并入 802.11-2024 正文，其 Extension 编号与 802.11-2024 的空位一一对应，故 9.9.4/9.9.5 单独标注「802.11be」。Reserved 及大量冷门已分配元素从略，从略清单见 9.9.6 末尾。

交通比喻：如果把 §9.8 的每个 Element 比作路边的一块块站牌——SSID 是站名、Supported Rates 是限速牌——那么每个帧字段就是站牌上的一行路标，而 Element ID 255 就像站牌右下角的「请见背面」：正面写满了，翻到扩展页继续读。

¶9.1 Extension 1~10：FILS 与基础扩展

Extension 1：Association Delay Info

 1字节    1字节     1字节         2字节
┌─────────┬────────┬─────────────┬────────────────┐
│ID=255   │Len     │Ext ID=1     │Association     │
│         │        │             │Delay           │
└─────────┴────────┴─────────────┴────────────────┘

字段	大小	说明
Association Delay	2 字节	预计关联延迟（单位：TU）

AP 在 Probe Response 中告知 STA 预计的关联延迟时间，帮助 STA 选择最佳 AP。

Extension 2：FILS Request Parameters

FILS（Fast Initial Link Setup） 是 802.11ai 定义的快速初始链路建立机制，目标是将关联时间从数百毫秒缩短到几十毫秒。

 1字节    1字节     1字节          变长
┌─────────┬────────┬──────────────┬──────────────────┐
│ID=255   │Len     │Ext ID=2      │FILS Request      │
│         │        │              │Data              │
└─────────┴────────┴──────────────┴──────────────────┘

使用场景：

STA 在 Probe Request 中包含 FILS Request Parameters
AP 在 Probe Response 中回复 FILS Indication Element
用于加速认证和关联过程

Extension 4：FILS Session

 1字节    1字节     1字节         8字节
┌─────────┬────────┬─────────────┬────────────────┐
│ID=255   │Len     │Ext ID=4     │FILS Session    │
│         │        │             │                │
└─────────┴────────┴─────────────┴────────────────┘

字段	大小	说明
FILS Session	8 字节	FILS 会话标识符，用于防重放

Extension 5：FILS HLP Container

HLP = Higher Layer Protocol。FILS HLP Container 在认证过程中携带高层协议数据（如 DHCP、ARP），实现 "认证 + 获取 IP" 的并行处理。

Extension 6：FILS IP Address Assignment

在 FILS 认证过程中，AP 可以直接分配 IP 地址给 STA，省去 DHCP 过程。

传统流程要串行完成「认证 → 关联 → 四次握手 → DHCP → 拿 IP」，每一步都是独立的空口往返。FILS 用两招打破串行：HLP Container 把 DHCP/ARP 报文塞进认证帧里并行传递，认证与拿 IP 同步进行；Extension 6 更让 AP 在认证时直接下发 IP、彻底免去 DHCP。认证本身再以哈希指纹压缩握手帧数，关联时间才从数百毫秒压到几十毫秒。

Extension 9：FTM Synchronization Information

FTM = Fine Timing Measurement。用于时间同步和测距。

 1字节    1字节     1字节         4字节      1字节       1字节
┌─────────┬────────┬─────────────┬──────────┬───────────┬──────────┐
│ID=255   │Len     │Ext ID=9     │TSF       │TSF Rate   │Reserved  │
│         │        │             │Offset    │           │          │
└─────────┴────────┴─────────────┴──────────┴───────────┴──────────┘

Extension 10：Extended Request

Extended Request 用于请求扩展元素（而不是普通的 Tag 元素）。

 1字节    1字节     1字节          1字节    1字节    ...
┌─────────┬────────┬──────────────┬────────┬────────┬───────┐
│ID=255   │Len     │Ext ID=10     │Ext ID  │Ext ID  │ ...   │
│         │        │              │  1     │  2     │       │
└─────────┴────────┴──────────────┴────────┴────────┴───────┘

¶9.2 Extension 16~93：服务发现与安全

Extension 16：Service Hash

用于 ANQP（Access Network Query Protocol）服务发现。为什么用哈希而非明文服务名？ANQP 查询里只携带服务名的哈希指纹——既避免在空口明文泄露完整服务名称，又把变长服务名压缩成定长值，减少 Probe/ANQP 帧开销。

Extension 17：CDMG Capabilities

CDMG（中国毫米波，802.11aj）能力声明——Extension 17 是 CDMG 能力元素，而非「CMC」；连接能力类的元素见 9.8.43 Extended Capabilities 位图。

Extension 93：Anti-Clogging Token Container

SAE（WPA3）的防洪泛机制——AP 要求 STA 返回 Cookie 证明其 IP 地址真实性。注意该元素的 Extension 号为 93（Extension 24 是 Enhanced Beam Tracking，属 802.11ad 波束跟踪，从略）。

¶9.3 Extension 35~59：HE (802.11ax) 核心元素

802.11ax（WiFi 6/6E）引入的扩展元素，是当前最常用的扩展元素组。

Extension 35：HE Capabilities

HE Capabilities 是 802.11ax 的核心能力元素，声明 STA 的 HE 能力。

 1字节    1字节     1字节         6字节        11字节
┌─────────┬────────┬─────────────┬────────────┬────────────────┐
│ID=255   │Len     │Ext ID=35    │HE MAC      │HE PHY          │
│         │        │             │Capabilities│Capabilities    │
│         │        │             │Info        │Info            │
└─────────┴────────┴─────────────┴────────────┴────────────────┘

续: 变长                变长
┌──────────────────────┬──────────────────────────┐
│Supported HE-MCS      │PPE Thresholds            │
│and NSS Set           │(可选)                    │
└──────────────────────┴──────────────────────────┘

读这张图抓两段：前 6 字节 HE MAC Capabilities 管省电/分段/聚合，后 11 字节 HE PHY Capabilities 管带宽/前导码打孔/MCS，末尾 PPE 阈值是可选尾巴。

子字段	大小	说明
HE MAC Capabilities Info	6 字节	MAC 层能力（48 位）
HE PHY Capabilities Info	11 字节	PHY 层能力（可变位数）
Supported HE-MCS and NSS Set	2~12 字节	支持的 MCS 和空间流数（每 2 字节编码一个带宽的 MCS-NSS 对）
PPE Thresholds	0+ 字节（可选）	PPE 阈值（用于编码选择）。STA 声明支持 PPE 时才有，否则不存在（0 字节）

HE MAC Capabilities 关键位：

位	能力	说明
B1	TWT Requester	支持 TWT 请求
B2	TWT Responder	支持 TWT 响应
B3	Fragmentation	分段能力
B4~B5	Max Frag MSDU	最大分段 MSDU 数
B6~B7	Trigger Frame MAC Padding	Trigger 帧 MAC 填充（0/4/8 字节）
B8	Multi-TID Aggregation RX	多 TID 聚合接收
B9~B11	HE Link Adaptation	HE 链路自适应
B12	All ACK	全部确认
B13	A-MSDU Fragmentation	A-MSDU 分段
B14~B17	BSR	缓冲区状态报告
B18	Broadcast TWT	广播 TWT
B19	QoS Data with A-MSDU	QoS 数据 A-MSDU
B20~B22	A-MSDU Fragmentation	A-MSDU 分段
B23	UL MU	上行 MU 能力

HE PHY Capabilities 关键位：

位	能力	说明
B1~B6	Channel Width	支持的信道宽度（20/40/80/160 MHz）
B7~B12	Preamble Puncturing	前导码打孔能力
B13~B17	Device Class	设备类别
B18	LDPC	LDPC 编码
B19~B21	HE SU PPDU	HE SU PPDU 能力
B22~B24	Doppler	多普勒能力
B25~B29	Max HE-LTF	最大 HE-LTF 数
B30~B33	HE ER SU PPDU	HE ER SU PPDU
B34~B36	PPE Thresholds	PPE 阈值
B41~B45	NDP Max NSTS	NDP 最大 NSTS
B55~B60	HE MU PPDU	HE MU PPDU
B66~B71	Triggered CQI Feedback	触发 CQI 反馈
B72~B74	Partial Bandwidth	部分带宽
B93~B97	Beamformee STS	波束成形接收 STS
B98	SU Beamformer	SU 波束成形
B99	SU Beamformee	SU 波束成形接收
B100	MU Beamformer	MU 波束成形
B101	MU Beamformee	MU 波束成形接收

为什么 MAC 与 PHY 要切成两段？因为 802.11ax 一口气引入了 OFDMA、MU-MIMO、BSS Color、TWT 等大量特性，单一能力位图装不下；分层切分让 MAC 层省电/分段与 PHY 层带宽/打孔互不干扰，未来新特性只需扩展对应段、不必整体重编号。

交通比喻：HE Capabilities 就像 "第六代汽车规格表"——"支持自动驾驶（TWT）、支持编队行驶（MU-MIMO）、支持多车道并行（160 MHz）、支持智能调度（Trigger Frame）"。

Extension 36：HE Operation

AP 声明 802.11ax 的操作参数。

 1字节    1字节     1字节         3字节         变长
┌─────────┬────────┬─────────────┬─────────────┬──────────────────┐
│ID=255   │Len     │Ext ID=36    │HE Operation │BSS Color         │
│         │        │             │Parameters   │Change            │
└─────────┴────────┴─────────────┴─────────────┴──────────────────┘

HE Operation Parameters 关键字段：

字段	大小	说明
BSS Color	6 位	BSS 颜色标识（0~63），用于空间复用
Default PE Duration	3 位	默认包扩展持续时间
TWT Required	1 位	是否要求 TWT
TXOP Duration RTS Threshold	7 位	TXOP 持续时间 RTS 阈值
VHT Operation Info Present	1 位	是否包含 VHT 操作信息
Co-Hosted BSS	1 位	是否共址 BSS
ER SU Disable	1 位	是否禁用 ER SU

BSS Color 机制：

每个 BSS 分配一个 6 位的颜色标识（0~63）
STA 通过 BSS Color 快速区分帧来自本 BSS 还是邻近 BSS
如果两个邻近 BSS 的 BSS Color 相同，会发生 "颜色冲突"，需要重新分配
BSS Color Change Announcement 元素用于通知颜色变更

交通比喻：BSS Color 就像 "出租车颜色"——北京的出租车是黄色的，上海的是绿色的，你在远处就能快速区分。

Extension 37：UORA Parameter Set

UORA（Uplink OFDMA Random Access）参数——定义 STA 使用 OFDMA 随机接入的参数。

 1字节    1字节     1字节         1字节         1字节
┌─────────┬────────┬─────────────┬─────────────┬────────────────┐
│ID=255   │Len     │Ext ID=37    │OBO          │SBO             │
│         │        │             │(OFDMA       │(Subchannel     │
│         │        │             │Back-Off)    │Based OFDMA)    │
└─────────┴────────┴─────────────┴─────────────┴────────────────┘

Extension 38：MU EDCA Parameter Set

MU EDCA 是 802.11ax 中为上行 MU 传输优化的 EDCA 参数。

 1字节    1字节     1字节         4字节×4
┌─────────┬────────┬─────────────┬──────────────────────────────┐
│ID=255   │Len     │Ext ID=38    │MU EDCA AC_BE/BK/VI/VO Params│
└─────────┴────────┴─────────────┴──────────────────────────────┘

MU EDCA 与普通 EDCA 的区别：

普通 EDCA：STA 在每次 TXOP 后重置竞争窗口
MU EDCA：STA 在收到 Trigger Frame 后，使用更大的竞争窗口（避免所有 STA 同时竞争）
MU EDCA 参数通常比普通 EDCA 更 "保守"（更大的 CW、更长的 AIFSN）

每个 MU EDCA AC 参数（4 字节）：

子字段	大小	说明
MU EDCA Timer	1 字节	MU EDCA 计时器（4 TU 单位）
ECWmin	4 位	最小竞争窗口指数
ECWmax	4 位	最大竞争窗口指数
AIFSN	4 位	仲裁帧间间隔数

交通比喻：MU EDCA 就像 "集体活动后的冷静期"——大家一起出发（Trigger Frame）后，先等一会儿再重新排队，避免所有人都挤在一起。

Extension 39：Spatial Reuse Parameter Set

空间复用参数——允许 STA 在检测到邻近 BSS 的信号时，降低自己的功率进行并行传输。

 1字节    1字节     1字节         1字节         1字节       1字节
┌─────────┬────────┬─────────────┬─────────────┬───────────┬──────────┐
│ID=255   │Len     │Ext ID=39    │SR Control   │Non-SRG    │SRG       │
│         │        │             │             │OBSS_PD    │OBSS_PD   │
│         │        │             │             │Max Offset │Max Offset│
└─────────┴────────┴─────────────┴─────────────┴───────────┴──────────┘

空间复用的核心思想：

如果 STA 检测到邻近 BSS 的信号强度低于某个阈值（OBSS_PD Max），就可以降低自己的发射功率进行并行传输
SRG（Spatial Reuse Group）OBSS_PD Max：同组 BSS 的阈值
Non-SRG OBSS_PD Max：不同组 BSS 的阈值
这提高了密集部署环境中的频谱效率

交通比喻：空间复用就像 "低声交谈"——如果隔壁桌的声音很小（信号弱），你就可以小声说话而不互相干扰。

Extension 42：BSS Color Change Announcement

AP 宣布 BSS Color 变更。

 1字节    1字节     1字节         1字节         1字节
┌─────────┬────────┬─────────────┬─────────────┬────────────────┐
│ID=255   │Len     │Ext ID=42    │New BSS      │Color Change    │
│         │        │             │Color        │Count           │
└─────────┴────────┴─────────────┴─────────────┴────────────────┘

字段	大小	说明
New BSS Color	1 字节	新的 BSS 颜色（低 6 位有效）
Color Change Count	1 字节	距离颜色变更的 TBTT 数

Extension 41：NDP Feedback Report Parameter Set

NDP（Null Data Packet）反馈报告参数，用于波束成形。

Extension 47：HE BSS Load

HE 版本的 BSS 负载报告，比普通 BSS Load 多了 STA 计数和空间流利用率。

Extension 59：HE 6 GHz Band Capabilities

6 GHz 频段的 HE 能力，用于 WiFi 6E。

¶9.4 Extension 106~135：EHT (802.11be) 核心元素

802.11be（WiFi 7）引入的扩展元素，支持 320 MHz 带宽、4096-QAM、MLO 等新特性。

Extension 108：EHT Capabilities

EHT Capabilities 是 802.11be 的核心能力元素。

 1字节    1字节     1字节         2字节         变长
┌─────────┬────────┬─────────────┬─────────────┬──────────────────┐
│ID=255   │Len     │Ext ID=108   │EHT MAC      │EHT PHY           │
│         │        │             │Capabilities │Capabilities      │
│         │        │             │Info         │Info              │
└─────────┴────────┴─────────────┴─────────────┴──────────────────┘

续: 2~12字节            0+字节（可选）
┌──────────────────────┬──────────────────────────┐
│Supported EHT-MCS     │EHT PPE Thresholds        │
│and NSS Set           │(可选)                    │
└──────────────────────┴──────────────────────────┘

读这张图与 HE Capabilities 同构：EHT MAC Capabilities 管链路 / MU 能力，EHT PHY Capabilities 管 320 MHz 与 4096-QAM，末尾 MCS-NSS 与 PPE 阈值收尾——延续 HE 的分层切法，让 WiFi 7 新增能力按层扩展、不必重排字段。

EHT MAC Capabilities 关键位：

位	能力	说明
B0	EHT-MCS and NSS	MCS 和空间流支持
B1	SU Beamformer	SU 波束成形发送
B2	SU Beamformee	SU 波束成形接收
B3	MU Beamformer	MU 波束成形发送
B4	MU Beamformee	MU 波束成形接收
B5~B9	Beamformee NSTS	波束成形接收 NSTS
B10~B12	Sounding Dimensions	探测维度
B13	NDP Max NSTS	NDP 最大 NSTS
B14~B16	Partial Bandwidth	部分带宽
B17~B21	Triggered SU Beamforming Feedback	触发 SU 波束成形反馈
B22~B26	Triggered MU Beamforming Feedback	触发 MU 波束成形反馈
B27	Triggered CQI Feedback	触发 CQI 反馈
B28	Partial Bandwidth DL MU-MIMO	部分带宽 DL MU-MIMO
B29	Partial BW UL MU-MIMO	部分带宽 UL MU-MIMO
B30	EHT MU PPDU with 4x EHT-LTF	EHT MU PPDU 4x EHT-LTF

EHT PHY Capabilities 关键位：

位	能力	说明
B0~B1	EHT SU PPDU	EHT SU PPDU 支持（320 MHz、160 MHz）
B2~B5	EHT-MCS 15	支持 EHT-MCS 15（4096-QAM）
B6~B9	EHT DL MU-MIMO	DL MU-MIMO 支持
B10~B13	EHT UL MU-MIMO	UL MU-MIMO 支持
B14~B17	NDP Max NSTS	NDP 最大 NSTS
B18~B20	Partial BW DL MU-MIMO	部分带宽 DL MU-MIMO
B21~B23	Partial BW UL MU-MIMO	部分带宽 UL MU-MIMO
B24~B27	EHT SU PPDU 2x EHT-LTF	EHT SU PPDU 2x EHT-LTF
B28	EHT PPDU with 4x EHT-LTF	EHT PPDU 4x EHT-LTF

交通比喻：EHT Capabilities 就像 "第七代超跑规格表"——"支持 16 车道并行（320 MHz），支持超高清传输（4096-QAM），支持多车编队（MLO），支持智能避障（前导码打孔）"。

Extension 106：EHT Operation

AP 声明 802.11be 的操作参数。

 1字节    1字节     1字节         1字节         变长
┌─────────┬────────┬─────────────┬─────────────┬──────────────────┐
│ID=255   │Len     │Ext ID=106   │EHT Operation│EHT MCS and NSS  │
│         │        │             │Info         │Set               │
└─────────┴────────┴─────────────┴─────────────┴──────────────────┘

EHT Operation Info：

字段	大小	说明
Channel Width	3 位	0=20 MHz, 1=40 MHz, 2=80 MHz, 3=160 MHz, 4=320 MHz
Channel Center Freq Seg0	8 位	中心频率段 0
Channel Center Freq Seg1	8 位	中心频率段 1
Disregard	1 位	忽略标志
EHT Default PE Duration	3 位	默认包扩展持续时间
Group Addressed BU Indication	1 位	组地址 BU 指示

Extension 107：Multi-Link

MLO（Multi-Link Operation）是 802.11be 最重要的新特性——允许 STA 同时使用多个链路。

 1字节    1字节     1字节         2字节         1字节       6字节
┌─────────┬────────┬─────────────┬─────────────┬───────────┬──────────┐
│ID=255   │Len     │Ext ID=107   │Multi-Link   │Common     │MLD MAC   │
│         │        │             │Control      │Info       │Address   │
└─────────┴────────┴─────────────┴─────────────┴───────────┴──────────┘

续: 1+字节（至少 1 个 Per-STA Profile）
┌──────────────────────────────────┐
│Per-STA Profile(s)                │
└──────────────────────────────────┘

读这张图抓两点：Multi-Link Control 定类型与 TID 映射，MLD MAC Address 标识多链路设备本体，后面每个 Per-STA Profile 对应一条链路的完整能力与操作参数——一份元素打包了整台多链路设备的全部链路参数。

Multi-Link Control 关键位：

位	名称	说明
B0~B1	Multi-Link Control Type	0=Probe Request, 1=Reassoc Req, 2=Reassoc Resp
B2~B5	Reserved	保留
B6	TID-To-Link Mapping	TID 到链路映射支持
B7	Frequency Separation	频率分离
B8~B10	AAR	AAR 支持

Per-STA Profile：每个链路有一个 Per-STA Profile，包含：

Link ID（链路 ID）
STA MAC Address（该链路上的 MAC 地址）
HT/VHT/HE/EHT Capabilities（该链路的能力）
HT/VHT/HE/EHT Operation（该链路的操作参数）

MLO 工作模式：

STR（Simultaneous Transmit and Receive）：多链路同时收发
NSTR（Non-STR）：多链路不能同时收发
eMLSR（Enhanced Multi-Link Single Radio）：单射频多链路监听

交通比喻：MLO 就像 "多通道快递"——你可以同时走高速公路（6 GHz）和国道（5 GHz），快递（数据）根据类型走不同的通道，一个堵了另一个继续走。

Extension 109：TID-To-Link Mapping

定义 TID（Traffic Identifier）到链路的映射关系。

 1字节    1字节     1字节         1字节         变长
┌─────────┬────────┬─────────────┬─────────────┬──────────────────┐
│ID=255   │Len     │Ext ID=109   │Mapping      │TID-to-Link      │
│         │        │             │Switch Time  │Mapping Data     │
└─────────┴────────┴─────────────┴─────────────┴──────────────────┘

字段	大小	说明
Mapping Switch Time	1 字节	映射切换时间（TU）
TID-to-Link Mapping Data	变长	每个 TID 对应的链路位图

映射模式：

默认映射：所有 TID 映射到所有链路
显式映射：每个 TID 指定映射到哪些链路

交通比喻：TID-To-Link Mapping 就像 "快递分拣规则"——"语音通话走高速公路（Link 0），视频走国道（Link 1），文件传输两条路都走"。

Extension 113：QoS Characteristics

声明一条流量流的 QoS 特征（方向、延迟上限、吞吐等参数），供 AP 在 MLO 中做流量调度与准入判断——AP 先知道流的延迟 / 吞吐诉求，才能把它映射到合适的链路。

Extension 135：Bandwidth Indication

声明信道带宽、中心频率以及可选的打孔子信道：Bandwidth Indication Information 字段与 EHT Operation 的 Operation Information 同构，Disabled Subchannel Bitmap 标记被前导码打孔禁用的子信道，供 320 MHz 部署时告知对端实际可用频谱。

核心能力与操作参数之外，MLO 省电、链路识别与 AID 点名等辅助元素由本节收尾。

¶9.5 Extension 110~141：EHT MLO 其余元素

Extension 110：Multi-Link Traffic Indication

MLO 省电用——AP 用位图指示每个链路上为 STA 缓存的流量状态，STA 据此决定要不要在某条链路上醒来。就像快递站按车道各挂一块「待取件看板」：高速公路（6 GHz）看板亮着、国道（5 GHz）看板空着，你就只去有货的车道取件，省得每条车道都跑一趟。

Extension 133：MLO Link Info

携带在单播管理帧里，用 Link ID Bitmap（2 字节）标识目标 STA 当前在哪条链路上工作，告诉对端「这帧是发给哪个链路上的 STA 的」。如果说 Multi-Link 元素是「总店招牌」，MLO Link Info 就是贴在包裹上的「收货门牌号」——一眼看清这帧该送到哪条链路的收件人手上。

Extension 134：AID Bitmap

AP 用位图列举一组 AID：Partial AID Bitmap 最多 2008 位，位 N 置 1 表示 AID=N 的 STA 在名单内，Bitmap Offset 压缩前置全 0 位。用于 Link Recommendation 帧等多链路场景，一次点名一组 STA。

Extension 141：TWT Information Extension

TWT 元素（Element ID 216）在 802.11be 下的扩展：Control 字段 + B-TWT Info，携带广播 TWT 相关的补充调度信息。就像闹钟设定里的「附加响铃规则」——基础 TWT 定好几点响，扩展信息再补充群组响铃的细节。

¶9.6 Extension 完整索引表

以下是 IEEE 802.11-2024 Table 9-130 所有已分配扩展元素的完整索引，并叠加 802.11be-2024 修正案（WiFi 7）引入的 EHT/MLO 元素（标注「802.11be」）。§9.9.1~9.9.5 已展开详述的元素在「详略」列标注「详」，未展开的冷门元素仅列名称——这是本手册的覆盖边界。

Extension	名称	来源 / 详略
0	Reserved	—
1	Association Delay Info	802.11ai 详
2	FILS Request Parameters	802.11ai 详
3	FILS Key Confirmation	802.11ai
4	FILS Session	802.11ai 详
5	FILS HLP Container	802.11ai 详
6	FILS IP Address Assignment	802.11ai 详
7	Key Delivery	802.11ai
8	Wrapped Data	802.11ai
9	FTM Synchronization Information	802.11mc 详
10	Extended Request	802.11 详
11	Estimated Service Parameters Inbound	802.11
12	FILS Public Key	802.11ai
13	FILS Nonce	802.11ai
14	Future Channel Guidance	802.11
15	Service Hint	802.11
16	Service Hash	802.11 详
17	CDMG Capabilities	802.11aj 详
18	Dynamic Bandwidth Control	802.11aj
19	CDMG Extended Schedule	802.11aj
20	SSW Report	802.11ad
21	Cluster Probe	802.11ad
22	Extended Cluster Report	802.11ad
23	Cluster Switch Announcement	802.11ad
24	Enhanced Beam Tracking	802.11ad
25	SPSH Report	802.11ad
26	Clustering Interference Assessment	802.11ad
27	CMMG Capabilities	802.11aj
28	CMMG Operation	802.11aj
29	CMMG Operating Mode Notification	802.11aj
30	CMMG Link Margin	802.11aj
31	CMMG Link Adaptation Acknowledgment	802.11aj
32	Diffie-Hellman Parameter	802.11
33	Password identifier	802.11
34	GLK-GCR Parameter Set	802.11
35	HE Capabilities	802.11ax 详
36	HE Operation	802.11ax 详
37	UORA Parameter Set	802.11ax 详
38	MU EDCA Parameter Set	802.11ax 详
39	Spatial Reuse Parameter Set	802.11ax 详
40	GAS Extension	802.11
41	NDP Feedback Report Parameter Set	802.11ax 详
42	BSS Color Change Announcement	802.11ax 详
43	Quiet Time Period	802.11ax
44	Vendor Specific Request	802.11
45	ESS Report	802.11
46	OPS	802.11
47	HE BSS Load	802.11ax 详
48	WUR Capabilities	802.11ba
49	WUR Operation	802.11ba
50	WUR Mode	802.11ba
51	WUR Discovery	802.11ba
52	Max Channel Switch Time	802.11
53	Estimated Service Parameters Outbound	802.11
54	OCI	802.11
55	Multiple BSSID Configuration	802.11ax
56	Non-Inheritance	802.11ax
57	Known BSSID	802.11ax
58	Short SSID List	802.11ax
59	HE 6 GHz Band Capabilities	802.11ax 详
60	UL MU Power Capabilities	802.11ax
61	EDMG Capabilities	802.11ay
62	EDMG Operation	802.11ay
63	EDMG Extended Schedule	802.11ay
64	EDMG Channel Measurement Feedback	802.11ay
65	EDMG Group ID Set	802.11ay
66	EDMG BRP Request	802.11ay
67	EDMG Training Field Schedule	802.11ay
68	EDMG Partial Sector Level Sweep	802.11ay
69	MIMO Setup Control	802.11ay
70	MIMO Poll Control	802.11ay
71	MIMO Feedback Control	802.11ay
72	MIMO Selection Control	802.11ay
73	EDMG Flow Control Extension Configuration	802.11ay
74	QoS-TU	802.11
75	Unsolicited Block Ack Extension	802.11
76	SAR Configuration	802.11
77	TDD Slot Structure	802.11ay
78	TDD Slot Schedule	802.11ay
79	TDD Route	802.11ay
80	Digital BF Feedback	802.11ay
81	TDD Bandwidth Request	802.11ay
82	TDD Synchronization	802.11ay
83	EDMG Wide Bandwidth Channel Switch	802.11ay
84	DMG Discovery Assistance	802.11ay
85	Extended Link Measurement	802.11
86	DMG STA Directional Transmit Activity Report	802.11ay
87	WUR PN Update	802.11ba
88	MSCS Descriptor	802.11
89	TCLAS Mask	802.11
90	Supplemental Class 2 Capabilities	802.11
91	OCT Source	802.11
92	Rejected Groups	802.11
93	Anti-Clogging Token Container	802.11 详
94	Secure HE-LTF Parameters	802.11ax
95	ISTA Passive TB Ranging Measurement Report	802.11az
96	RSTA Passive TB Ranging Measurement Report	802.11az
97	Passive TB Ranging LCI Table	802.11az
98	ISTA Availability Window	802.11az
99	RSTA Availability Window	802.11az
100	PASN Parameters	802.11az
101	Ranging Parameters	802.11az
102	Direction Measurement Results	802.11az
103	Multiple AOD Feedback	802.11az
104	Multiple Best AWV ID	802.11az
105	LOS Likelihood	802.11az
106	EHT Operation	802.11be 详
107	Multi-Link	802.11be 详
108	EHT Capabilities	802.11be 详
109	TID-To-Link Mapping	802.11be 详
110	Multi-Link Traffic Indication	802.11be 详
111	EBCS Parameters	802.11ax
112	EBCS TIM	802.11ax
113	QoS Characteristics	802.11be 详
114	AKM Suite Selector	802.11
115	DMG OCB	802.11ad
116	Originator Preferred MCS	802.11
117~132	Reserved	—
133	MLO Link Info	802.11be 详
134	AID Bitmap	802.11be 详
135	Bandwidth Indication	802.11be 详
136	Known STA Identification	802.11
137	Non-AP STA Regulatory Connectivity	802.11
138~140	Reserved	—
141	TWT Information Extension	802.11be 详
142	TWT Constraint Parameters	802.11ax
143	Tunneled PASN	802.11az
144~255	Reserved	—

WUR（Wake-up Radio，802.11ba） 是面向电池供电 IoT 设备的低功耗唤醒机制：主 802.11 射频可彻底休眠，只留一个微功耗伴随接收机监听唤醒包。Extension 48~51 依次承载 WUR 能力声明、AP 侧操作参数、STA 休眠 / 唤醒周期协商与 WUR 发现广播，Extension 87（WUR PN Update）负责唤醒帧序列号的防重放更新。

EDMG（Enhanced Directional Multi-Gigabit，802.11ay） 是 60 GHz 频段 DMG（802.11ad）的增强版，靠信道聚合（最高 8.64 GHz）与 MIMO（最多 8 流）把吞吐推到约 100 Gbps。Extension 61~63 依次声明 EDMG 能力、操作参数与扩展调度；64~86 承载波束细化（BRP）、MIMO 建立与 TDD 时隙调度等毫米波特有的链路管理。

测距类（802.11az） 把 WiFi 定位从 802.11mc 的逐对 FTM 扩展为一对多的触发式测距，AP 一次调度多个 STA 同步往返计时。Extension 95~97 承载被动触发测距（TB Ranging）的测量报告与 LCI 表，98~99 声明发起方（ISTA）/响应方（RSTA）的可用窗口，100~105 覆盖 PASN 安全参数、测距参数协商、到达角（AOD）反馈与 LOS 概率。

范围说明：本手册在 §9.9.1~9.9.5 展开详述了 FILS（1_{10）、服务发现（16/17）、安全（93）、HE（35}59）与 EHT/MLO（106_{141）等最常用元素，WUR（48}51/87）、EDMG（61_{86）与测距类（95}105）如上简述；其余已分配元素——CDMG/CMMG 毫米波类（18~31）等冷门元素——仅在此索引列名，不逐一展开字段格式。需要这些冷门元素的字段定义时，请查阅 802.11-2024 原文对应小节（9.4.2.x）。

¶10 本章总结

机制	作用	交通比喻
EDCA	不同优先级的流量获得不同的接入机会	急救车优先通行
TXOP	获得信道后可以连续传输的时间	绿灯持续时间
Frame Control	帧的 "身份证"，标识类型和属性	快递单品类标签
Management Frame	网络管理（发现、认证、关联、漫游）	行政公文
Control Frame	信道协调（RTS/CTS/ACK/BlockACK）	交通信号灯
Data Frame	用户数据传输	货运卡车
Extension Frame	DMG/S1G 扩展	特种车辆
Tag Element	管理帧的 "标签贴纸"，携带各种参数	信息标签
扩展元素	扩展标签（HE/EHT 等新特性）	新增信息标签

核心认知：

每一代都在解决前一代的具体缺陷——这不是随机演进，而是有明确因果关系的进化链
MAC 和 PHY 协同演进——物理层提供更高的原始速率，MAC 层提高实际效率
帧格式是协议的骨架——理解了帧格式，就理解了协议的核心
Tag 元素是协议的血肉——每种能力、每种参数，都通过 Tag 元素传递
QoS 是实际部署的关键——峰值速率不等于用户体验，优先级管理决定服务质量

¶ 附录：术语对照表

缩写	全称	中文
AID	Association ID	关联标识
AIFS	Arbitration IFS	仲裁帧间隔
A-MPDU	Aggregate MPDU	聚合 MPDU
A-MSDU	Aggregate MSDU	聚合 MSDU
BSS	Basic Service Set	基本服务集
BSSID	BSS Identifier	BSS 标识
CW	Contention Window	竞争窗口
DCF	Distributed Coordination Function	分布式协调功能
DS	Distribution System	分布式系统
EDCA	Enhanced Distributed Channel Access	增强分布式信道接入
EHT	Extremely High Throughput	极高吞吐量（802.11be）
FCS	Frame Check Sequence	帧校验序列
HE	High Efficiency	高效率（802.11ax）
HT	High Throughput	高吞吐量（802.11n）
IE	Information Element	信息元素
MAC	Medium Access Control	媒体接入控制
MCS	Modulation and Coding Scheme	调制编码方案
MPDU	MAC Protocol Data Unit	MAC 协议数据单元
MSDU	MAC Service Data Unit	MAC 服务数据单元
NAV	Network Allocation Vector	网络分配向量
OFDMA	Orthogonal Frequency Division Multiple Access	正交频分多址
PHY	Physical Layer	物理层
QoS	Quality of Service	服务质量
RA	Receiver Address	接收方地址
RSNE	Robust Security Network Element	鲁棒安全网络元素
SIFS	Short IFS	短帧间隔
SSID	Service Set Identifier	服务集标识
STA	Station	站
TA	Transmitter Address	发送方地址
TIM	Traffic Indication Map	流量指示图
TID	Traffic Identifier	流量标识
TSF	Timing Synchronization Function	定时同步功能
TXOP	Transmission Opportunity	传输机会
TWT	Target Wake Time	目标唤醒时间
VHT	Very High Throughput	甚高吞吐量（802.11ac）

¶ 全系列回顾

从 1997 年的小镇十字路口，到 2024 年的多维交通网络，WiFi 协议经历了 27 年的演进：

年份	标准	核心突破	速率	交通比喻
1997	802.11	CSMA/CA 基础	2 Mbps	小镇十字路口
1999	802.11b/a	CCK/OFDM	11/54 Mbps	双车道 / 快速路
2003	802.11g	OFDM 兼容	54 Mbps	快速路铺到老城区
2009	802.11n	MIMO + 40MHz	600 Mbps	立交桥
2013	802.11ac	256-QAM + MU-MIMO	6.93 Gbps	超级高速
2020	802.11ax	OFDMA + BSS Coloring	9.6 Gbps	智能交通
2024	802.11be	MLO + 4096-QAM	46 Gbps	多维交通网络