無線網路因無需物理佈線、訊號穿牆而面臨更高入侵風險。落實以下七項基礎防護，可構建多層次防禦體系，大幅降低被入侵、蹭網、竊聽機率。

一、修改所有預設值（最基本、最有效）

同品牌/型號路由器出廠預設：管理 IP (192.168.1.1)、帳號 (admin)、密碼 (admin/1234/空白)、SSID (廠牌型號)。
必改項目：

• 管理帳密 → 複雜度 12+ 字元，異於 Wi-Fi 密碼
• 管理 IP → 非預設網段 (如 192.168.88.1)
• SSID → 無個資關聯獨特名稱
• 關閉遠端管理 (WAN 端存取管理介面)

此原則適用 ADSL Modem、路由器、交換器、AP、NAS、IP Cam 等所有網管設備。

二、禁止 SSID 廣播（隱身模式）

關閉「允許 SSID 廣播」/「啟用 SSID 廣播」。
效果：掃描清單不顯示，連線需手動輸入完整 SSID。
適用：固定使用者環境（家庭/辦公室），已知裝置可預先設定自動連線。
注意：WinXP 需勾選「即使網路未廣播也連線」；現代 OS 無影響。

三、啟用 MAC/IP 過濾（白名單機制）

路由器 → 無線安全/存取控制 → MAC 過濾：

• 模式：**「允許名單內裝置」**（白名單），而非「禁止名單內裝置」（黑名單，維護成本高）
• 逐一加入家庭/公司所有裝置 MAC 位址（手機：設定→關於→狀態；電腦：ipconfig /all 實體位址）
• 搭配「靜態 DHCP/地址保留」：綁定 MAC → 固定 IP，雙重保障
• IP 過濾：限制特定 IP 段存取管理介面/特定埠口

四、手動指定 IP / 關閉 DHCP（小規模網路最強）

裝置 ≤ 10 台時，**完全關閉 DHCP 伺服器**，所有裝置手動設定靜態 IP。
優勢：

• 陌生裝置連上 Wi-Fi 也**拿不到 IP**，無法通訊、無法掃描內網
• 管理員一眼識別：在線清單中非預分配 IP 即為異常
• 無 DHCP 服務攻擊面（DHCP 饋餓、偽造 DHCP 伺服器）

大規模環境：保留 DHCP 但啟用「靜態綁定」+「MAC 過濾」+「802.1X Radius 認證」。

五、設定強力加密金鑰（WPA2-AES / WPA3-SAE）

• **淘汰 WEP/WPA-TKIP**（分鐘級破解）
• **強制 WPA2-PSK (AES/CCMP)** 或 **WPA3-SAE**
• 密鑰：**16 字元以上**，大小寫+數字+符號，非字典單字、非個資衍生
• 定期更換（半年/人員異動時）
• 企業級：WPA2/3-Enterprise (802.1X + Radius)，每人獨立帳密/憑證

六、啟用防 Ping / WAN 端 ICMP 封鎖

路由器 → 安全設定 → WAN 口 Ping / ICMP 封鎖 → ☑ **忽略來自 WAN 口的 Ping/ICMP 請求**。
效果：阻擋自動掃描腳本發現存活主機、減少 DoS 攻擊面、隱藏裝置指紋。

七、主動掃描鄰近無線環境（知己知彼）

定期（月/季）執行：

1. 關閉自家 AP/路由器無線
2. 手機/筆電掃描周圍 Wi-Fi：記錄 SSID、頻道、訊號強度、加密類型、廠商 (OUI)
3. 分析：同頻道干擾？鄰居開放式/弱加密熱點？疑似惡意雙生熱點？
4. 依掃描結果：調整自家頻道避開擁擠頻道、確認加密強度、必要時降低發射功率
5. 確認無異常 → 重新開啟自家無線

工具推薦：WiFi Analyzer (Android)、inSSIDer/NetSpot (Win/Mac)、airodump-ng (Linux/Kali)。

安全意識：七分制度、三分技術

• 建立「網路資產清單」：所有聯網裝置 MAC、IP、用途、負責人
• 制定「訪客網路政策」：隔離訪客網路、限時、限速、無內網存取
• 定期「滲透測試/漏洞掃描」：內部或委外專業紅隊演練
• 事件響應預案：發現入侵/洩漏 → 隔離 → 取證 → 根除 → 恢復 → 複盤

技術手段會過時，安全意識須持續迭代。從今天開始，檢查您的路由器後台，逐項落實這七大注意事項。