無線網絡因信號無邊界特性，天然比有線網絡更難防護。廠商提供 WEP 加密、隱藏 SSID、關閉 DHCP、MAC/IP 過濾等功能，但實戰效果如何？本文以 802.11g 設備為例，逐項實測揭秘，助您構建多層次防禦體系。

一、 開啟 WEP 加密：基礎門檻，非絕對堡壘

WEP（有線等效隱私）是早期標準，分 64 位（10 字符）與 128 位（26 字符）兩種密鑰長度。關鍵提醒：出廠默認關閉加密，必須手動開啟！實測中，啟用 64 位 WEP 後，Network Stumbler 等掃描工具仍能發現網絡存在，但無密碼無法連接，達到基本阻隔效果。缺點：WEP 破解工具成熟，僅能防君子難防小人，條件允許請升級 WPA2/WPA3。

二、 禁止 SSID 廣播：隱形斗篷，非隱身衣

SSID 是網絡名稱，廠商默認值易被字典攻擊。修改為個性化名稱後關閉廣播，Windows XP 等客戶端掃描列表確實不再顯示該網絡，達到「掩人耳目」效果。代價：客戶端需手動輸入 SSID 連接，連接效率略降；且專業掃描工具（Kismet、Airodump-ng）仍可通過探針請求/響應捕獲隱藏 SSID，不可作為唯一防線。

三、 禁用 DHCP 服務：斷絕「自動上網」便利

關閉 DHCP 後，非法用戶雖能關聯 AP、獲取信號，但無法獲得 IP、網關、DNS 等參數，無法上網。實測確認：信號可見但無法通信。維護成本：合法設備需手動配置靜態 IP，管理負擔隨設備數增長而增加，適合設備固定的小型場景。

四、 啟用 MAC/IP 地址過濾：白名單制，精準准入

MAC 過濾：僅允許列表內 MAC 訪問，需注意選擇「僅允許列表內生效」而非「禁止列表內」。IP 過濾：配合禁用 DHCP，為合法設備分配固定 IP 並加入白名單。實測雙重過濾後，即使破解加密、獲取 SSID、手動配置 IP，非授權設備仍被路由器屏蔽，安全性最高，但維護最繁。

五、 綜合防護建議：分層防御，按需組合

• 家庭/小微企業：WPA2/WPA3-AES + 強密碼 + 修改默認 SSID + 關閉 WPS + 關閉遠程管理，通常已足夠。
• 高安全需求：在上述基礎上啟用 MAC 白名單、關閉 DHCP、啟用客戶端隔離、部署無線入侵檢測系統（WIDS）。
• 公共熱點：採用 Captive Portal + RADIUS 認證 + VLAN 隔離 + 流量審計，勿依賴上述靜態措施。

六、 額外警示：公共 Wi-Fi 的隱私陷阱

機場、會議室等公共無線環境下，務必關閉文件/打印機共享、關閉網絡發現、啟用防火牆公共網絡配置檔、使用 VPN 加密流量，防止同一二層網絡內的惡意用戶竊取數據。

結語：單一措施皆可提供基礎保護，但無絕對安全。採用「加密認證+准入控制+流量監測」的縱深防御體系，並定期更新固件、修改密鑰、審計設備清單，方能在便利與安全間取得動態平衡。