从零保护家庭网络不被入侵
目录导读
- 为什么路由器安全设置至关重要？ —— 了解路由器被攻击的常见方式与后果
- 基础安全设置：改密码、换SSID、更新固件 —— 新手必做的第一步
- 进阶防护：禁用WPS、开启防火墙、设置访客网络 —— 提升安全等级的核心操作
- 无线加密与认证：WPA3 vs WPA2 vs WPA 如何选？ —— 最关键的加密协议选择
- 远程管理、UPnP、端口转发：该开还是该关？ —— 这些功能的风险与平衡
- 常见安全问答（FAQ） —— 解答大家最关心的问题
- 总结与行动清单 —— 一键对照，完成设置
为什么路由器安全设置至关重要？
很多家庭用户认为路由器装上、连上网就万事大吉。路由器是家庭网络的“大门”，一旦被攻破，攻击者可以监控你的上网记录、劫持DNS、注入恶意广告,甚至利用你的设备发起DDoS攻击。
根据网络安全公司报告，超过70%的家用路由器存在至少一个已知漏洞，而大多数用户从未修改过默认密码,以下都是真实风险：
- 黑客利用默认用户名和密码登录管理后台
- 路由器固件长期不更新，已知漏洞被批量利用
- WPS PIN码被暴力破解，几小时内无线密码告破
- 访客设备通过内网访问你的NAS或个人文件
关键认知： 路由器安全不是一劳永逸,而是一个持续维护的过程。
基础安全设置：改密码、换SSID、更新固件
修改管理员密码
绝大多数路由器默认用户名是 admin，密码是 admin 或 password（具体见机器背面贴纸）。这是最危险的状态。
操作步骤：
- 用浏览器登录路由器管理页面（通常为
168.0.1或168.1.1,具体查看路由器的网关地址） - 找到“系统工具”或“管理”菜单
- 将用户名改为非默认值（如
netadmin或自己设计的唯一名称） - 密码设置为 至少12位，包含大写、小写、数字和特殊符号的强密码
修改WiFi SSID（网络名称）
不要使用默认SSID（例如TP-LINK_XXXX、Tenda_XXXX），默认SSID会暴露路由器的品牌和型号,方便攻击者查找对应漏洞。
建议设置为不包含个人身份信息的名称，HomeWiFi_5G 或 Apartment_24，避免直接使用姓、地址或房号。
及时更新固件
固件是路由器的操作系统，厂商会定期发布更新修复安全漏洞，开启 “自动更新”（如有此选项）或定期（每月一次）进入管理页面检查更新。
重要提示： 购买路由器时，建议选择主流品牌且仍在提供固件支持的型号，低价杂牌路由器往往在售后后停止更新,安全隐患极大。
进阶防护：禁用WPS、开启防火墙、设置访客网络
为什么要坚决禁用WPS？
WPS（WiFi Protected Setup）是为了方便用户一键连接WiFi而设计，其PIN码验证机制存在严重漏洞，攻击者可以通过工具在数小时内暴力破解PIN码,从而获得你的无线密码。
操作： 在“无线设置”或“安全设置”菜单中，找到“WPS”选项，选择 关闭/禁用，如果你的路由器同时有“WPS按钮”和“PIN码”两种方式,务必全部关闭。
开启路由器内置防火墙（SPI防火墙）
大多数路由器内置SPI（状态包检测）防火墙，默认是开启的,但偶尔会被误关。
检查方法： 在安全设置或高级设置中，确保“SPI防火墙”或“防火墙”选项状态为 启用。
- 作用：过滤来自外网的恶意数据包,防止端口扫描和常见攻击。
- 注意：它并不等同于软件防火墙,但能提供基础防护。
设置访客网络（Guest Network）
强烈建议启用。 当朋友、快递员、或智能家居设备（如智能音箱、智能灯泡）需要上网时,将其连接到访客网络。
- 访客网络与主网络隔离，访客无法访问你的电脑、NAS、打印机等内部设备
- 可以为访客网络设置独立的密码，方便管理
- 对于“不可信”的智能设备，隔离在访客网络中更安全
操作： 在“无线设置”或“多SSID”菜单中启用“访客网络”，开启“禁止互访”或“AP隔离”选项。
无线加密与认证：WPA3 vs WPA2 vs WPA 如何选？
当前可用的加密协议（按安全性从高到低）
| 协议 | 安全等级 | 适用场景 |
|---|---|---|
| WPA3 | 最高 | 支持WPA3的新设备（2018年后大多数新手机、电脑） |
| WPA2-AES | 高 | 主流选择，几乎所有设备都支持 |
| WPA2-TKIP | 中低 | 仅用于老旧设备，应避免 |
| WEP/WPA | 不推荐 | 已被完全破解，不要使用 |
最佳实践
- 首选WPA3：如果你的路由器支持且所有设备兼容，选择WPA3-Personal，它提供了更强的密码保护（SAE握手协议,抵抗字典攻击）
- 否则选 WPA2-AES：这是当前最均衡、兼容性最好的方案
- 避免使用WPA2混合模式（自动选择TKIP或AES），因为TKIP安全性较差
- 密码强度：至少 8位以上，建议12位，使用大小写字母+数字+符号组合，不要使用字典单词
需要注意的误区
误区：路由器有2.4GHz和5GHz两个频段，需要分开设置吗？ 答案： 理想情况下应该，许多路由器允许为2.4G和5G分别设置SSID和加密方式，如果设备都支持，可以都使用WPA2-AES或WPA3，密码可以相同，但建议开启“智能漫游”功能（如果路由器支持）,避免跳频问题。
远程管理、UPnP、端口转发：该开还是该关？
远程管理：除非必要，请关闭
远程管理允许你在外网访问路由器后台，但它也是黑客攻击的入口。默认应关闭。
如果必须开启（例如出差需要管理路由器）,请：
- 使用VPN连接回家后内网访问，而不是直接开放
- 启用后务必限制访问IP范围（只允许你的固定公网IP）
- 使用HTTPS访问而非HTTP
- 设置强密码并定期更换
UPnP：开启还是关闭？有争议，但建议谨慎
UPnP（通用即插即用）允许局域网设备自动转发端口，方便游戏机、P2P软件、摄像头等使用。
- 优点： 方便，设备能自动获取所需端口
- 缺点： 很多恶意软件利用UPnP自动打开端口，作为后门
建议： 如果你不玩需要端口转发的游戏（如Xbox、PS5）或没有NAS/P2P下载需求，建议关闭UPnP，如果需要使用，可以临时开启,用完之后立即关闭。
端口转发：按需手动配置
与UPnP不同，手动配置端口转发更安全,你需要：
- 知道目标设备的局域网IP（如NAS的192.168.1.100）
- 明确需要开放的端口（如80/HTTP、443/HTTPS、22/SSH）
- 只开放最小必要端口，使用完毕后及时关闭
常见安全问答（FAQ）
Q1: 我换了家里路由器，需要把所有设备重新联网，太麻烦，不换密码行不行？
不建议。 大多数新路由器默认密码都是通用或简单的，攻击者可以通过扫描大众IP段并尝试默认密码入侵，建议花10分钟完成改密,一次性保障未来数年的安全。
Q2: 访客网络会让我自己的网速变慢吗？
通常不会。 访客网络只是逻辑隔离，带宽由主网络统一分配，但你可以设置“访客网络限速”来确保主设备体验优先。
Q3: 我关闭了SSID广播（隐藏WiFi），是不是就安全了？
不是。 隐藏SSID（“隐形网络”）只会阻止普通用户看见，但攻击者用无线嗅探工具（如Wireshark、Airodump-ng）仍能轻易发现你的网络，因为它会在探测时自动响应。更可靠的方案仍然是使用强密码和WPA2/WPA3加密。
Q4: 旧路由器（4年+）还有必要继续使用吗？
视厂商而定。 如果该型号仍在接收固件更新，可以继续使用；如果厂商已经停止提供固件，建议更换新路由器，4年以上无更新的路由器存在大量已知漏洞,被攻破风险很高。
Q5: 我需要定期重启路由器吗？
建议每月重启一次。 好处包括：清除长期运行积累的内存碎片、关闭可能持续开放的端口、让路由器重新获取防御机制（如DHCP租约更新）,可以设置定时自动重启。
总结与行动清单
完成以下步骤，你的家庭网络安全等级将提升80%以上：
- ✅ 初始化改密：修改管理员账号密码，取消默认信息
- ✅ 更改SSID：不使用默认名称，且不透露个人信息
- ✅ 更新固件：检查并安装最新固件，开启自动更新
- ✅ 禁用WPS：在无线设置中关闭WPS/PIN码验证
- ✅ 启用SPI防火墙：确保在高级设置中已开启
- ✅ 开启访客网络：专门用于访客和智能设备
- ✅ 加密选择：WPA3优先，至少WPA2-AES
- ✅ 关闭远程管理：除非必要，否则保持关闭
- ✅ 关闭或谨慎使用UPnP
- ✅ 定期重启：一月一次，或设置定时重启
附加建议： 如果路由器管理页面支持，启用“日志记录/告警”，可以记录异常登录尝试，一份日志在手,安全更放心。
最后提醒： 网络安全是一个动态过程，建议每3-6个月回顾一次本文的操作清单，确保设置没有因固件更新或误操作而变动，做好以上设置,你的家庭网络就能抵御绝大多数常规攻击。
