單純隱藏 SSID（停用廣播）只能阻擋「隨意掃描」的小白蹭網族，無法對抗 NetStumbler、Kismet、Airodump-ng 等專業無線掃描工具（仍可捕獲 Probe Request/Response/Beacon 幀解析隱藏 SSID）。本文提供「隱藏 SSID + 關閉 DHCP + 修改 LAN 子網」三重防護，大幅提高非法接入門檻。

第一層：停用 SSID 廣播（基礎隱身）

1. 登入路由器管理介面 → 「無線設定」/「無線基本設定」。
2. 取消勾選「啟用 SSID 廣播」/「隱藏 SSID」/「Broadcast SSID」。
3. 儲存/套用，路由器無線指示燈可能短暫熄滅再亮起。

效果：Windows/macOS/手機「可用網路列表」不再顯示該 SSID。

連線方式：裝置需手動「新增網路」→ 輸入確切 SSID、加密方式、密碼、頻段（2.4/5GHz）→ 連線。

局限：
① 管理幀仍廣播 BSSID (MAC)，工具仍可發現「隱藏網路」。
② 客戶端主動發送 Probe Request 洩露 SSID（已連線裝置會主動喊話）。
③ 相容性問題：部分舊裝置/物聯網設備不支援連接隱藏 SSID。

第二層：關閉 DHCP 伺服器 + 手動指定靜態 IP（切斷「自動獲取 IP」通道）

1. 路由器「DHCP 伺服器」→ 停用。
2. 每台合法裝置手動設定：
   IP：192.168.100.100 (自訂網段)
   掩碼：255.255.255.0
   閘道：192.168.100.1 (路由器 LAN IP)
   DNS：1.1.1.1 / 8.8.8.8 或路由器 IP

原理：駭客掃描到隱藏 SSID、破解密碼（或無密碼）關聯成功後，若無 DHCP 分配 IP，且不知 LAN 子網範圍，無法與閘道通訊，自然無法上網。TCP/IP 通訊前提：同一廣播域內 IP 必須同網段。

第三層：修改 LAN 口 IP 為非標準私有網段（混淆網段特徵）

1. 路由器「LAN 口設定」→ IP 位址改為非常用網段：
   172.16.x.1 / 10.x.x.1 / 192.168.x.1 (x ≠ 0,1,2,10,11,100,192,254 等常見值)
   例：172.16.42.1、10.10.10.1、192.168.233.1
2. 子網掩碼保持 255.255.255.0 (/24)。
3. 同步更新合法裝置靜態 IP 為新網段。

效果：駭客常預設掃描 192.168.0.x/1.x/2.x/100.x/192.168.1.1 等熱門網段/閘道，修改後大幅降低被盲目掃描命中機率。

進階加固（建議疊加）

• WPA3-SAE / WPA2-PSK (AES)：禁用 WEP/WPA/TKIP，密碼 16+ 字元混合大小寫數字符號。
• MAC 位址過濾（白名單）：僅允許已知裝置 MAC 關聯（駭客可偽造 MAC，但增加攻擊成本）。
• 關閉 WPS / WPS PIN：PIN 碼極易暴力破解 (Reaver/Bully)，必須關閉。
• 降低發射功率：僅覆蓋使用區域，減少外溢被掃描機率。
• 啟用客戶端隔離 (AP Isolation)：無線裝置間無法互訪，限制橫向滲透。
• 定期更換密碼/SSID：季度輪換，失竊裝置自動失效。
• 企業級：802.1X (RADIUS) + 憑證認證：根除共享密碼風險，每裝置/每用戶獨立憑證。

驗證與維護

1. 手機/電腦「掃描網路」確認不顯示 SSID。
2. 手動新增網路連線測試所有合法裝置。
3. 用 Wi-Fi Analyzer / NetSpot / Acrylic Wi-Fi 掃描確認：
   - 仍可見 BSSID (MAC) 與頻道，但 SSID 顯示 <隱藏網路>/<隱藏 SSID>。
   - 無其他可疑同頻/鄰頻強訊號干擾。
4. 半年檢查一次「連接裝置清單」，發現未知裝置立即踢出、換密碼、檢查日誌。

適用場景與取捨

場景	建議策略
家庭/小辦公	隱藏 SSID + WPA3 強密碼 + 關閉 WPS 即夠，DHCP 開啟方便客人/新裝置
高安需求/敏感資料/防內鬼	三重防護全開 + MAC 白名單 + 802.1X + 降低功率 + 定期審計
物聯網/智慧家居多	勿隱藏 SSID（多裝置相容性差），改用 VLAN 隔離 IoT、主網分開，獨立 SSID+密碼
公共區域/咖啡廳	開放 SSID + Captive Portal (Portal 認證) + 速率限制 + 客戶端隔離

安全無絕對，只有提高攻擊成本。三重防護讓蹭網族「找不到門、進不了屋、連不上網」，安心用網零負擔。