路由器是家庭/企業網絡的「大門」，大門不牢，裡面再多鎖也沒用。本文提供分級防護清單，從必做的基礎配置到進階的企業級策略，按需配置，構建纵深防禦體系。

第 0 級：買對硬體，贏在起跑線

• 選購支援自動安全更新、官方長期維護 (LTS) 韌體、開放原始碼友善 (OpenWrt/Asuswrt-Merlin/OPNsense 相容) 的品牌/型號
• 避開：停產 > 3 年、無韌體更新記錄、預設密碼無法修改、已知未修補漏洞 (CVE) 的產品

第 1 級：基礎加固 (全民必做，5 分鐘完成)

1. 修改管理員帳密：admin / 複雜密碼 (16+ 字元、大小寫數字符號)，啟用HTTPS 管理、僅 LAN 存取管理介面、關閉 Telnet/SSH/HTTP
2. 無線加密：WPA3-SAE (優先) / WPA2-PSK (AES) 混合模式，嚴禁 WEP/WPA/TKIP/開放系統
3. Wi-Fi 密碼：20+ 字元隨機字串 (密碼管理器生成)，定期輪換 (半年/年)
4. 關閉 WPS (PIN 碼)：極易遭 Pixie-Dust 攻擊破解，僅保留 PBC 按鍵模式或全關
5. 修改預設 SSID：勿用品牌/型號/個資，避免洩露設備指紋
6. 關閉遠端管理 (WAN 存取管理介面)：除非極度必要且配合 VPN/IP 白名單/非標準埠/雙因子認證
7. 升級最新韌體：上電首件事，啟用自動更新 (若信任廠商推送品質)

第 2 級：進階防護 (有 NAS/伺服器/遠端辦公/智慧家庭者必做)

1. MAC 位址白名單 (存取控制)：僅允許已知 MAC 連接。注意：MAC 可偽造，屬「誠實者防君子」層級，不可當唯一防線
2. AP 隔離 / 客戶端隔離 / 訪客網路隔離：無線裝置間無法互訪，防止橫向滲透。副作用：局域網共享/投屏/遊戲串流失效，需權衡
3. 啟用防火牆預設拒絕 (Default Deny)：
   — WAN→LAN：全部拒絕，僅放行 DNAT/端口映射/VPN 所需埠
   — LAN→WAN：預設允許，可選擇性阻擋高風險埠 (TCP 23/135/139/445/1433/3389 等)
   — 裝置間：VLAN 劃分 + 跨 VLAN ACL
4. DoS/DDoS 防護：開啟 SYN Flood/ UDP Flood/ ICMP Flood 防護、設定合理閾值 (如 SYN 100/s)、啟用 Cookie 保護
5. 埠口掃描防護：啟用 Port Scan Detection，自動封鎖掃描源 IP
6. DNS 安全：
   — 強制 LAN 裝置使用路由器 DNS (攔截 DNS 劫持)
   — 啟用 DoH (DNS over HTTPS) / DoT (DNS over TLS) 上游解析
   — 整合 威脅情報封鎖清單 (OISD, HaGeZi, NextDNS, AdGuard Home 自建)

第 3 級：企業/高安全需求 (專業網管/資安人員領域)

1. VLAN 微分割：管理、伺服器、IoT、訪客、DMZ、OT/ICS 完全隔離，跨段僅通必要埠
2. 802.1X + RADIUS (FreeRADIUS/Windows NPS)：有線/無線統一認證，動態 VLAN 指派，憑證基礎 (EAP-TLS) 最強
3. 入侵偵測/防禦 (IDS/IPS)：Suricata/Snort 規則集 (ET Pro/ET Open/Talos)，內聯/旁路部署
4. 零信任網路存取 (ZTNA)：Tailscale/ZeroTier/Cloudflare Tunnel/Twistlock，不暴露任何埠口給公網
5. 流量審計與威脅狩獵：Zeek (Bro) + Elastic/Splunk，全封包捕獲 (需硬體支援)、JA3 指紋分析、異常行為基線
6. 供應鏈安全：簽名韌體驗證、SBOM (軟體物料清單)、CVE 訂閱與 72 小時修補 SLA
7. 硬體信任錨：TPM 2.0 / Secure Boot / measured boot，防範供應鏈植入/惡意韌體

快速自檢清單 (列印貼機殼)

[ ] 管理密碼 ≥16字元複雜度  [ ] 僅LAN可管理  [ ] HTTPS管理
[ ] Wi-Fi WPA3/WPA2-AES      [ ] 密碼≥20字元隨機  [ ] WPS全關
[ ] SSID無個資/品牌資訊    [ ] 遠端管理關閉  [ ] 韌體最新版
[ ] 防火牆預設拒絕WAN入站  [ ] DoS防護開啟   [ ] 埠掃描防護
[ ] DNS加密(DoH/DoT)        [ ] 威脅情報封鎖  [ ] 訪客網路隔離
[ ] 重要裝置MAC+IP綁定      [ ] 定期檢查裝置清單  [ ] 配置備份異地存儲

給不同角色的建議

• 普通家庭：做完第 1 級 + 訪客網路 + 家長控制，安全達 95%+
• 技術發燒友/遠端工作者：第 1-2 級全做 + 自建 AdGuard Home/NextDNS + WireGuard 回家 + 定期備份配置
• 中小企業/工作室：第 1-2 級全做 + VLAN 分割 (辦公/伺服器/訪客) + 802.1X + 雙 WAN 備援 + 遠端 VPN (WireGuard) + 週期備份/演練
• 高安全/合規單位：第 3 級全上 + 專業防火牆 (OPNsense/pfSense/FortiGate) + SIEM + 紅藍軍演練 + 供應鏈審計

安全非一次性工程，而是持續的過程。從今天開始，每項配置都問自己：「這會擴大攻擊面嗎？必要嗎？有補償措施嗎？」