無線蹭網不僅偷跑流量、拖慢網速，更可能導致隱私洩露、法律責任轉嫁 (如被盜用下載違法內容)。本文提供 **三重防線** 實戰配置，從基礎到進階，適配主流路由器 (TP-LINK/華為/小米/華三/斐訊/網件/OpenWrt)，助您構建「易用難破」的家庭無線安全體系。
第一防線：強密碼 + WPA3/WPA2-AES 加密 — 提高破解成本
- 密碼策略： ≥12 位，**大小寫字母 + 數字 + 特殊符號** (如 `K7#mP9$vL2@xQ`)，**不使用生日/電話/姓名/鍵盤走勢 (qwerty/12345678)**。
- 加密方式： 優先 **WPA3-Personal (SAE)**，不支援則 **WPA2-PSK (AES)**，**絕不使用 WEP/WPA/TKIP/混合模式** (極易破解)。
- 定期輪換： 每 3-6 個月更換一次，舊設備重新連接即可。
- 關閉 WPS (QSS/WPS/PBC) ： PIN 碼極易暴力破解 (Reaver 工具幾小時破解)，**務必關閉**。
第二防線：DHCP 服務器「縮容/關閉」 — 讓蹭網者「無 IP 可用」
方案 A：縮小地址池至「僅夠自家設備數」 (推薦，兼顧管理便利)
登入路由器 →「DHCP 服務器」→「DHCP 服務設置」：
• 起始地址：`192.168.1.100` (假設網關 192.168.1.1)
• 結束地址：`192.168.1.100 + N - 1` (N = 自家無線設備總數，如 5 台設備 → 結束 192.168.1.104)
• 保存。
效果：地址池僅 5 個 IP，第 6 台設備連上 WiFi 也無法獲取 IP，**直接斷網**。管理員發現新設備無法上網即可察覺異常。
方案 B：完全關閉 DHCP，全網靜態 IP (最高安全、維護成本高)
關閉 DHCP 服務器 → 每台授權設備手動設置靜態 IP/掩碼/網關/DNS。
優點：無 DHCP 服務，攻擊者無法自動獲取網絡參數。
缺點：新增設備繁瑣、手機漫遊不便、DHCP 衝突排查難。
**建議：核心設備 (NAS/伺服器/攝像頭) 靜態 IP + 地址保留；手機/筆電用縮容後的 DHCP 池。**
第三防線：無線 MAC 地址過濾 (白名單模式) — 硬件級准入控制
即使密碼洩露、DHCP 有漏洞，無授權 MAC 也無法關聯 AP。
操作步驟 (以 TP-LINK 經典界面為例，其他品牌邏輯一致)
- 收集授權設備 MAC：
- 手機：設置 → 關於手機 → 狀態 → MAC 地址 (或 WiFi 詳情)。
- 筆電：`ipconfig /all` / `ifconfig` / 設置 → 網絡 → 硬件屬性。
- 智能家居：App 設備信息/路由器客戶端列表複製。
- **批量複製存入文本文件備份** (Ctrl+C/V)，防輸入錯誤。
- 進入路由器「無線設置」→「無線 MAC 地址過濾」/「MAC 過濾」/「訪問控制」。
- 設置過濾規則： 選 **「允許名單中設備訪問」/「僅允許列表設備」/「白名單模式」**。
- 逐條添加： 「添加新條目」→ 粘貼 MAC (格式 `AA:BB:CC:DD:EE:FF` 或 `AABBCCDDEEFF`) → 備註設備名 (如 `iPhone_張三`、`Xiaomi_TV`) → 狀態「啟用/生效」→ 保存。
務必先加完所有設備再啟用總開關，否則自己也會被擋在外面！
- 啟用總開關： 「啟用無線 MAC 過濾」→ 保存/應用。路由器可能短暫斷開，重新連接即可。
緊急恢復方案 (誤操作導致自己連不上)
- 網線直連路由器 LAN 口 → 電腦設自動獲取 IP → 登入管理頁關閉 MAC 過濾 / 修正白名單。
- 或長按 Reset 8-10 秒恢復出廠 (會丟失所有配置，需重新設置)。
進階補充：隱藏 SSID、降低發射功率、啟用客戶端隔離 (AP Isolation)
- 隱藏 SSID： 掃描不到 WiFi 名稱，需手動輸入連接。缺點： 設備需主動廣播探測請求 (Probe Request) 洩露 SSID，反而增加暴露面；部分設備連接不穩定。**不推薦常規開啟**。
- 降低發射功率： 僅覆蓋自家區域 (如 50%-75%)，減少樓道/鄰居信號溢出，物理層面降低被發現概率。
- 啟用 AP 隔離 (Client Isolation/AP Isolation)： 無線客戶端互不通信，僅能訪問上行網關，**防止內網橫向滲透、局域網共享洩露、ARP 攻擊**，公共 WiFi/賓客網必開。
驗證清單：配完必測
- 自家所有設備正常連接、上網、局域網互訪 (未開 AP 隔離時)。
- 陌生手機輸入正確密碼 → 連接 WiFi 成功但**無法獲取 IP / 無法上網** (DHCP 縮容/靜態 IP 生效) 或 **直接關聯失敗** (MAC 白名單生效)。
- 路由器客戶端列表僅顯示授權設備，無未知 MAC。
三重防線疊加，破解成本呈指數級上升：破解密碼 (極難) → 猜中 DHCP 池內 IP (極難) → 克隆授權 MAC (需物理接觸/嗅探、且 IP 衝突即暴露)。一般竊網者遇到前兩關即放棄，**家庭環境下實現「實用級絕對安全」完全可行**。