路由器安全：99.9% 攻擊可防，關鍵在於「配置到位」
蹭網、竊取隱私、植入惡意代碼、組建僵尸網絡、勒索軟件跳板——路由器一旦失守，全網設備淪陷。本文提供從基礎到進階的 15 項加固清單，構建纵深防禦體系。
第一層：身份認證與訪問控制（必做）
- 修改默認管理憑證：admin/admin → 複雜唯一密碼（≥16 位），存入密碼管理器
- 啟用 HTTPS 管理：導入 Let's Encrypt 證書或自簽證書，禁用 HTTP 明文傳輸
- 修改默認管理端口：80/443/8080 → 10000~65535 隨機高位端口
- 限制管理訪問來源：僅允許信任 IP/網段（管理電腦、堡壘機、VPN 客戶端）訪問管理界面
- 啟用雙因子認證 (2FA/MFA)：支持 TOTP (Google Authenticator/Authy) 的路由器優先開啟
- 禁用 Telnet/SSH 弱認證：僅允許密鑰登錄、禁用密碼登錄、修改默認端口 22/23
第二層：無線安全（必做）
- WPA3 / WPA2-AES 加密：禁用 WEP、WPA-TKIP、WPA/WPA2 混合模式
- 強 Wi-Fi 密碼：≥12 位、大小寫數字符號、不含個人信息、定期輪換
- 隱藏 SSID（可選）：關閉廣播，配合 MAC 白名單提高門檻（注意：不防專業掃描）
- 啟用 MAC 地址白名單：僅允許已登記設備連接（配合 Radius/802.1X 更強）
- 開啟 AP 隔離 / 客戶隔離：無線客戶端互不通訊，防橫向滲透、ARP 欺騙、局域網掃描
- 禁用 WPS/QSS/PIN 碼：極易被暴力破解（Reaver/PixieWPS），必須關閉
第三層：網絡邊界防護（進階）
- 啟用 SPI 防火牆 + DoS/DDoS 基礎防護：SYN Flood、UDP Flood、ICMP Flood 阈值設置
- 關閉不必要的 WAN 口服務：Ping 響應、UPnP、遠程管理、TR-069、CWMP、SNMP、IPsec 穿透（非必需）
- 端口最小化開放：僅映射業務必需端口，非標端口、IP 白名單、GeoIP 封鎖高風險國家
- 啟用入侵防禦 (IPS/IDS)：訂閱簽名庫自動更新，關鍵規則設為「阻斷」模式
- 配置 DNS 安全：DoH/DoT 加密解析、DNSSEC 驗證、惡意域名阻斷 (AdGuard Home/NextDNS/Pi-hole)
第四層：系統與供應鏈安全（專業）
- 固件簽名驗證/安全啟動：防止惡意固件刷寫、Rootkit 持久化
- 定期更新固件：訂閱廠家安全公告、CVE 監控、月度檢查升級、升級前備份配置
- 禁用調試/後門接口：JTAG、UART Console、隱藏 CLI 命令、硬件調試口物理封膠
- 配置審計與備份：配置變更日誌、定期異地備份、Git 版本控制、完整性校驗 (Hash)
- 供應鏈驗證：正規渠道採購、驗證序列號/防偽碼、拒絕二手/水貨/改版設備
不同場景安全基線
| 場景 | 基線等級 | 必做項目 | 進階項目 |
|---|
| 家庭/個人 | 基礎 | 1-12 項 | 13-15 項 |
| 小微辦公/SOHO | 標準 | 1-15 項 | 16-18 項 |
| 企業分支/門店 | 加強 | 1-18 項 | 19-22 項 + 中心管控 |
| 數據中心/核心節點 | 核心 | 1-22 項全項 | 零信任架構、微分段、威脅情報聯動、紅藍對抗演練 |
安全檢查自動化腳本思路
#!/bin/bash
# router_security_audit.sh
CHECKS=(
"default_credentials"
"https_enabled"
"mgmt_port_changed"
"ip_whitelist_enabled"
"wpa3_or_wpa2_aes"
"wifi_password_complexity"
"wps_disabled"
"ap_isolation_enabled"
"spi_firewall_enabled"
"dos_protection_enabled"
"unnecessary_services_disabled"
"port_minimization"
"ips_enabled"
"dns_security_enabled"
"firmware_latest"
"config_backup_recent"
"audit_log_enabled"
"supply_chain_verified"
)
for check in "${CHECKS[@]}"; do
# 實際調用路由器 API/SSH/CLI 檢查各項
echo "Checking $check ..."
done
事件響應預案
- 發現異常：隔離受影響設備（VLAN/端口關閉/黑名單）
- 保全證據：導出日誌、配置、流量包、內存鏡像
- 根因分析：攻擊向量、漏洞利用、橫向移動路徑
- 修復加固：補丁升級、配置變更、密鑰輪換、證書吊銷
- 復盤改進：更新基線、優化檢測規則、演練預案、知識庫沉澱
路由器安全不是一次性動作，而是持續的過程。「配置一次、備份驗證、定期審計、持續更新、有備無患」——將這 22 項清單內化為運維肌肉記憶，您的網絡邊界就能擋住 99.9% 的機會主義攻擊，為核心資產贏得寶貴的偵測與響應時間窗口。