Wi-Fi 密碼再複雜也有被破解/分享風險。透過「非標準網段 + 關閉 DHCP/靜態 DHCP 綁定 MAC」雙重機制，從網路層根源封鎖未授權裝置取得合法 IP，實現更高階防護。
核心邏輯
- 路由器 LAN IP 改為非預設網段（如
10.10.10.1 或 172.16.88.1），減少掃描腳本命中率。
- 關閉通用 DHCP，改用「靜態 DHCP（MAC-IP 綁定）」，僅已知 MAC 獲固定 IP。
- 未綁定 MAC 的裝置連上 Wi-Fi 也**拿不到 IP**，無法通訊、無法上網、無法掃描內網。
步驟一：修改路由器 LAN IP 為特殊網段
登入路由器後台 → 網路參數/LAN 設定 → IP 位址：10.10.10.1（或 172.16.88.1、192.168.88.1 等非 192.168.0/1.x 常用網段）
子網路遮罩：255.255.255.0
儲存 → 路由器重啟，電腦重新獲取 IP（或手動設定）。
步驟二：電腦端手動設定靜態 IP（少量裝置適用）
Win 10/11：設定 → 網路和網際網路 → 以太網路/Wi-Fi → 編輯 IP 分配 → 手動 → IPv4 開啟：
IP：10.10.10.10（尾數 2-254，不衝突）
子網路遮罩長度：24（即 255.255.255.0）
閘道：10.10.10.1
慣用 DNS：114.114.114.114
備用 DNS：8.8.8.8
步驟三：決定 DHCP 策略（視裝置數量）
- 裝置 ≤ 10 台：**全關 DHCP**，全部手動指定 IP。最簡單、最安全、零 DHCP 攻擊面。
- 裝置 > 10 台 / 帶訪客：**保留 DHCP 但啟用靜態綁定**。路由器 → DHCP 伺服器 → 靜態地址分配 → 逐一加入「MAC + 固定 IP」。同時在「DHCP 設定」→ 地址池範圍**排除**已手動分配的 IP 段（如池設 10.10.10.100-150，靜態綁定用 10.10.10.10-50），避免衝突。
步驟四：配置靜態 DHCP 綁定（路由器後台）
- 進入「DHCP 伺服器」→「靜態地址分配」/「地址保留」/「MAC-IP 綁定」
- 「新增」→ 輸入 MAC 位址（無冒號/連字號，如
AABBCCDDEEFF）、指定 IP（如 10.10.10.10）、描述（如「父親手機」）
- 逐一完成所有家庭裝置（手機、筆電、平板、智慧電視、印表機、NAS…）
- 儲存生效。
步驟五：驗證與維護
- 自家裝置：連線 Wi-Fi → 自動獲取對應固定 IP → 正常上網
- 陌生裝置：連線 Wi-Fi → **無法獲取 IP（顯示 169.254.x.x 或連線失敗）** → 無法上網、無法存取內網資源
- 新增裝置：先取得 MAC（手機設定/路由器臨時開放 DHCP 獲取/掃描工具）→ 登入後台加入靜態綁定 → 裝置重新連線
- 定期檢查「用戶端列表」：是否有陌生 MAC 成功獲取 IP（若有，檢查靜態綁定是否遺漏/衝突）
IPv4 位址規劃小知識
- 私有網段三大塊：
10.0.0.0/8（1677 萬 IP）、172.16.0.0/12（104 萬 IP）、192.168.0.0/16（6.5 萬 IP）
- 避開
192.168.0.x、192.168.1.x、192.168.2.x 等極常用網段，降低衝突與掃描機率
- 慣例：路由器 IP 尾數設 .1 或 .254，方便記憶；伺服器/NAS 固定 .10-.20；DHCP 池 .100 起
- 每段第四組數字 1-254 可用，.0 為網路位址，.255 為廣播位址不可指派
局限與補充
- 無法防禦：已授權裝置被盜竊/借用、有線埠直插繞過無線管控、ARP 欺騙（需開啟 ARP 綁定/DAI）、IPv6 繞過（建議關閉路由器 IPv6 或同樣靜態綁定 IPv6 DUID）
- 企業級方案：802.1X Radius 認證（帳號密碼/憑證）、NAC 準入控制、VLAN 隔離、客網隔離
此法成本極低（零軟體零硬體），對家庭/小型辦公室極具性價比，配合 WPA3 加密、關閉 SSID 廣播、關閉 WPS，構成多層防禦纏深度防御體系。