WPA2路由器设置页面上，加密那个下拉菜单里躺着AES和TKIP两个选项，类型多数人直接选了默认值就完事——可这俩货根本不是加密一个时代的东西。TKIP是类型2004年Wi-Fi联盟拿来应急的补丁，当时WEP被破解得底裤都不剩，加密硬件又跑不动更重的类型算法，于是加密拿RC4流密码硬套了个动态密钥轮换机制。AES呢？类型那是美国国家标准技术研究院2001年定稿的分组密码，后来被802.11i标准直接指定为CCMP协议的加密加密核心，压根没打算跟TKIP共存太久。类型
实际跑起来差距更明显。加密TKIP的类型加密流程像在旧马车上装涡轮——每次传输都要算一遍MIC校验码，还得按包序重放保护，加密路由器CPU稍弱就延迟飙升。类型我拿老款Linksys WRT54G实测过，加密开TKIP时局域网拷贝文件速度掉到12MB/s，切成AES直接飙到21MB/s。这还只是单设备，要是家里连了五六台智能设备，TKIP的碰撞重传能把信道塞成早高峰地铁。AES的硬件加速指令集（AES-NI）从2010年的酷睿处理器就开始内置，现代路由器芯片基本都带硬解，计算开销反而比TKIP更小。
安全层面差距更是降维打击。TKIP的MIC算法用的是Michael，设计时就承认有弱点——攻击者只需截获约10万到100万个数据包就能伪造合法消息。2012年有个叫Hole196的漏洞专门打它，能让局域网内攻击者直接解密其他设备的流量。AES-CCMP到现在没出过有效的理论攻击，唯一的突破口是暴力穷举，但128位密钥就算用全球超算集群也得算到宇宙热寂。更狠的是，Wi-Fi联盟从2012年起就强制要求新设备必须支持AES，TKIP只允许作为兼容模式存在——说白了就是给2005年前的老古董设备留条活路。
不过别急着把所有设备都切到AES。我见过太多人把WPA2-PSK（AES）设完密码就以为万事大吉，结果路由器管理页面开着远程访问，或者WPS功能没关——黑客根本不用费劲破解加密算法，直接绕道走后门就行了。另外，如果你家还有那种2010年前买的打印机或游戏掌机，它们可能只认TKIP，强行切AES会导致这些设备连不上网。我自己的处理办法：单独开个访客网络给老设备用，主网络全部AES，密码设成20位以上随机字符串。
说到底，AES和TKIP的对比就像固态硬盘跟机械硬盘的差距——不是优化不优化的问题，是底层架构的代沟。现在新出的Wi-Fi 6路由器干脆只保留AES选项，连TKIP的影子都见不着。要是你还在用支持TKIP的老路由器，我劝你直接换新，别折腾固件设置了——毕竟2018年WPA3标准落地后，连WPA2-AES都算“上一代”方案了。技术圈淘汰旧标准的速度，可比你换手机快多了。