無線網路被蹭網不僅佔用頻寬、降低速度，更可能導致法律責任（他人從事違法行為由你 IP 出口）、資料外洩、裝置被入侵。本文提供分層防護策略。

第一層：加密認證（必要基礎）

• 協定：唯一啟用 WPA3-Personal (SAE) 或 WPA2-AES (CCMP)。禁用 WEP、WPA-TKIP、WPA/WPA2 混合模式（TKIP 降級攻擊）。
• 密碼強度：≥ 16 字元、大小寫+數字+符號、非字典詞、不含個資。例：K7#mP9@vL2!xQ4$wZ。
• 企業級：WPA3-Enterprise / WPA2-Enterprise (802.1X + RADIUS)，每用戶獨立憑證/帳號，支援憑證吊銷、動態 VLAN 指派。

第二層：隱藏與存取控制

• 隱藏 SSID：關閉「廣播 SSID」，需手動輸入名稱連線。注意：非絕對安全（Beacon 探測、探測請求仍洩露 SSID），但能阻擋掃描工具隨意發現。
• MAC 位址過濾（白名單）：僅允許已登記 MAC 連線。注意：MAC 可偽造（macchanger/登錄表/驅動屬性），屬「誠實者防君子」措施，需配合加密使用。
• 客戶端隔離 (AP Isolation / Client Isolation)：開啟後，無線客戶端間無法直接通訊（防橫向掃描、ARP 欺騙、共享資料夾洩露），僅能存取上游閘道/網際網路。

第三層：射頻與物理層控制

• 降低發射功率：僅覆蓋自用區域（客廳/辦公室），減少外溢被路過者掃描。室內建議 17-20 dBm（預設常 23-27 dBm）。
• 選擇乾淨頻道：2.4GHz 僅用 1/6/11 非重疊頻道，用 Wi-Fi Analyzer 掃描鄰居佔用最少者；5GHz/6GHz 頻道多、干擾少，優先使用。
• 關閉 WPS (Wi-Fi Protected Setup)：PIN 碼極易暴力破解（Reaver/Bully），必須關閉。
• 關閉 UPnP：減少惡意軟體自動開啟埠口風險。

第四層：監控與客戶端管理

• 定期稽核連線裝置：路由器管理介面 → 用戶端列表 → 核對陌生 MAC/主機名/廠商（OUI 查詢）。
• 啟用 ARP 防火牆/防禦：電腦端安裝 ARP 防火牆（如 360 ARP 防火牆、Comodo、Windows 內建 netsh advfirewall 規則），攔截 ARP 欺騙、偵測重複 IP/MAC。
• 訪客網路隔離：開啟 Guest Network（獨立 SSID、VLAN、DHCP 池、頻寬限制、無法存取內網/管理介面）。
• 不使用時關閉無線/路由器電源：物理斷絕，最徹底但犧牲便利性。

路由器後台快速自檢清單

項目	建議設定	檢查頻率
加密方式	WPA3-AES / WPA2-AES	每季
密碼複雜度	≥16 字元、高熵值	每半年輪換
SSID 廣播	關閉（隱藏）	每季
MAC 白名單	啟用 + 定期核對	每月
客戶端隔離	啟用	每季
發射功率	17-20 dBm	每季
WPS	關閉	每季
固件版本	最新穩定版（安全修補）	每月檢查
管理介面	HTTPS + 非標準埠 + IP 白名單 + 強密碼 + MFA	每季

進階：企業級無線安全 (WPA3-Enterprise / 802.1X)

• RADIUS 伺服器 (NPS/FreeRADIUS/ClearPass/ISE) + AD/LDAP 整合。
• EAP-TLS（雙向憑證認證，最高安全）、EAP-PEAP-MSCHAPv2（帳密+伺服器憑證）、EAP-TTLS/PAP。
• 動態 VLAN 指派：依用戶群組/裝置合規/姿態評估分配不同 VLAN/ACL。
• 憑證自動簽發/吊銷 (SCEP/EST/Intune/MDM 整合)。