無線路由器預設配置極不安全：無加密、默認弱口令、廣播 SSID、開放 DHCP。鄰居蹭網輕則分流帶寬，重則竊取數據、植入惡意代碼。本文提供六大加固措施，構建多層防護體系。

一、無線加密 (必做、最關鍵)

• 登錄路由器 Web 管理頁 →「無線設置」→「無線安全設置」。
• 安全類型選 WPA2-PSK (AES) 或 WPA3-Personal (設備支持)。
• 密碼：8-63 位 ASCII，建議 12 位以上大小寫+數字+符號 (如 MyWifi@2024!)。
• 加密算法選 AES (CCMP)，避免 TKIP (不安全、限制 802.11n/ac 速率)。
• 密鑰更新周期：3600 秒 (1小時) 或保持默認。

WEP 極其不安全 (分鐘級破解)，WPA (TKIP) 已淘汰。必須用 WPA2-AES 或 WPA3。若舊設備不支持，考慮淘汰設備而非降級加密。

二、修改管理員賬號密碼 (必做)

• 系統工具 / 管理設置 →「修改登錄密碼」。
• 用戶名改為非 admin (如 home_admin)；密碼高強度，異於 WiFi 密碼。
• 防止路由器被劫持、DNS 被篡改、固件被刷入後門。

三、修改管理端口 (進階)

• 默認 HTTP 80 / HTTPS 443。改為非常用端口 (如 8080、8443、隨機 >10000)。
• 訪問時需輸入 `https://192.168.1.1:8080`，增加掃描/暴力破解成本。

四、關閉 DHCP 服務器 (高安全/靜態規劃環境)

• DHCP 自動分配 IP，方便但讓陌生設備連上即得 IP。
• 關閉後，所有設備需手動配置靜態 IP (IP/掩碼/網關/DNS)。
• 缺點：新設備接入麻煩、手機/客人設備不便。家庭環境不建議關閉，企業/高安全可考慮。

五、修改 LAN IP 子網 (防衝突/防掃描)

• 默認 192.168.1.1/24 或 192.168.0.1/24，極易與上層網絡/VPN 衝突，也易被掃描腳本猜中。
• 改為隨機私網段：如 10.23.45.1、172.28.10.1、192.168.123.1。
• 修改後需重新按新網關 IP 登錄管理頁，客戶端重新獲取 IP (或改靜態)。

六、隱藏 SSID (廣播關閉)

• 無線設置 →「隱藏 SSID」/「關閉 SSID 廣播」。
• 掃描列表不再顯示 WiFi 名稱，連接時需手動輸入精確 SSID + 密碼。
• 缺點：設備首次連接麻煩、部分舊設備不支持隱藏 SSID 連接、無法阻止專業嗅探工具 (Kismet/Airodump-ng) 發現。安全性邊際收益低，不建議作為核心手段。

七、啟用防火牆 IP/MAC 過濾 (白名單模式)

• 安全設置 / 防火牆 →「MAC 地址過濾」→ 模式選「只允許列表中 MAC 訪問」→ 添加所有授權設備 MAC (手機設置/關於手機/路由器客戶端列表查看)。
• 「IP 地址過濾」：限制特定 IP 段訪問互聯網/管理頁面。
• MAC 可偽造，僅作輔助阻擋誤連/低級攻擊。

額外建議

• 固件保持最新：定期檢查廠商官網/APP 升級，修復漏洞 (KRACK、FragAttacks 等)。
• 關閉 WPS (QSS/WPS 鍵/ PIN 碼) ：極易被暴力破解 (Reaver)。
• 關閉遠程管理 (WAN 口訪問管理頁) ：除非極需求，否則關閉。
• 開啟訪客網絡：訪客/智能家居設備隔離主網絡，無法訪問內網設備/管理頁。

安全是體系工程：強加密 + 強管理密碼 + 關閉 WPS + 固件更新 = 99% 場景下的足夠安全。隱藏 SSID、關 DHCP、MAC 過濾屬「纏繞式防禦」，成本高收益低，酌情啟用。