「明明 100M 寬帶卻跑不滿、遊戲延遲飆升、視訊卡頓」，背後往往是鄰居/路人/舊裝置偷跑流量。本文結合第三方神器「路由衛士」與路由器原生功能，構建「發現-識別-處置-持續監控」防蹭網閉環。

現狀痛點：為什麼改密碼還被蹭？

• 密碼洩露：分享給訪客/親友 → 流傳 → 萬能鑰匙字典收錄
• WPS PIN 碼暴力破解：啟用 WPS PIN 的路由器可在數小時內破解
• 路由器漏洞 (CVE) 未修補：繞過認證直接掛載介面
• 物聯網設備 (智能插座/燈泡/攝像頭) 固件洩露 Wi-Fi 憑證
• 鄰居蹭網軟體自動嘗試常見弱密碼 (12345678、88888888、手機號)

方案一：路由衛士 (Windows 輕量級管理工具) 實戰

安裝與登入

1. 下載「路由衛士」綠色版 (官網/可信軟體站)，解壓執行
2. 彈出登入框：輸入路由器管理 IP (192.168.1.1)、帳密 (admin/admin 或已修改強密碼)
3. 支援主流品牌：TP-Link、D-Link、水星、迅捷、華為、小米 (部分)、華碩 (部分) 等

核心功能實操

• 即時掃描 (刷新按鈕)： 列出所有連線裝置：IP、MAC、裝置名 (廠商 OUI 解析)、上傳/下載即時速率、連線時長
• 裝置標記： 右鍵/點擊編輯 → 重命名為「我的手機」、「客廳電視」、「NAS」等，建立資產基線
• 異常發現與處置：
  • 出現未授權裝置 (如陌生廠商「ZTE」、「Huawei」非自有) → **一鍵「禁用/拉黑」** → 該 MAC 加入黑名單、斷開連線、禁止再次關聯
  • 誤禁自有裝置 → 黑名單列表中「啟用/移除」恢復
• 智能限速 (QoS 簡易版)：
  • 針對特定裝置設定上/下行上限 (如：訪客手機下載限 4Mbps、上傳限 1Mbps)
  • 保障遊戲/視訊會議/關鍵業務頻寬不被佔滿
  • 比路由器原生 IP 頻寬控制更直觀、裝置感知更準
• 定時任務： 設定「每晚 23:00 禁用兒童裝置」、「工作日 09-18 限速非工作裝置」

方案二：路由器原生防護 (免安裝、持久生效、跨平台)

1. 無線安全基線 (必做)

• 加密：**WPA2-PSK (AES) / WPA2/WPA3 混合 / WPA3-SAE** —— 禁用 WEP/WPA-TKIP/WPS PIN
• 密碼：12+ 複雜字元，**定期輪換 (季度/半年)**，不重複使用
• 隱藏 SSID (可選)：降低掃描可見度，配合手動連線

2. MAC 存取控制 (白名單模式推薦)

• 無線 → MAC 過濾 → 模式：僅允許列表內裝置連線
• 批次匯入已知裝置 MAC (從用戶列表/ARP 表/路由衛士導出)
• 新裝置接入流程：登入路由器 → 新增 MAC → 套用 → 裝置連線
• 優點：極強管控；缺點：維護成本高、MAC 可偽造、訪客不便

3. AP 隔離 / 用戶隔離 / SSID 隔離

• 無線進階 → 啟用 **AP 隔離** (同 SSID 無線用戶互不通)、**SSID 隔離** (不同 SSID/VLAN 隔離)
• 防禦：ARP 欺騙、掃描、橫向滲透、惡意軟體傳播

4. 關閉高風險功能

• **WPS (PIN 碼模式)：** 必須關閉，PBC 按鈕模式相對安全但建議全關
• **UPnP：** 除非確定需要 (如遊戲機/PT/NAS 自動穿透)，否則關閉，防範惡意埠映射暴露內網服務
• **遠程管理 (WAN 口管理)：** 必須關閉，或僅允許特定 IP/VPN 存取

5. 訪客網路 (Guest Network) 最佳實踐

• 建立獨立 SSID (如 Home_Guest)，啟用**訪客網路隔離** (無法存取主網路 LAN/IPTV/NAS)
• 設定頻寬上限 (如 20Mbps)、連線數限制、定時關閉 (如 23:00-07:00)
• 密碼簡單易記 (僅訪客用)，定期輪換，不影響主網路密碼

方案三：企業級/進階方案 (高價值資產/高風險環境)

• WPA3-Enterprise (802.1X/RADIUS)： 每用戶獨立帳密/憑證，無共享密鑰洩露風險，需部署 RADIUS (FreeRADIUS/NPS/Cloud RADIUS)
• WIPS/WIDS (無線入侵防禦/偵測系統)： 專用傳感器/AP 實時掃描：偽裝 AP (Evil Twin)、惡意雙生、解關聯洪水、異常關聯模式、未授權 AP
• NAC (網路准入控制)： 802.1X + 機器健康檢查 (防毒/補丁/合規) + 動態 VLAN 指派
• 無線流量鏡像/審計： 合規要求保留無線封包捕獲 (法證/審計)

持續運營體系：防蹭網非一次性動作

1. 每日/每周： App/路由衛士巡檢連線裝置，處理異常
2. 每月： 檢查日誌 (DHCP 租約、認證失敗、攻擊日誌)、審核 MAC 白名單
3. 每季： 輪換主/訪客 Wi-Fi 密碼、更新路由器韌體、檢查 CVE 修補狀態
4. 每年： 評估設備壽命、頻段規劃、安全策略、備份配置異地存儲

工具選擇建議

場景	推薦工具組合	理由
家庭/小辦公 (≤50 裝置)	路由器原生 (WPA3 + 訪客網 + 家長控制) + 官方 App 遠程管理	免安裝、持久、跨平台、官方維護、功能足夠
家庭/小辦公、需可視化即時限速/踢人	官方 App + 路由衛士 (Windows) 輔助	路由衛士介面更直觀、限速更靈活、支援多品牌
中型企業/多樓層/高安全要求	AC+AP 架構 + WPA2-Enterprise (RADIUS) + WIPS 模組 + NAC	集中管理、企業級安全、合規、可擴展
極客/自建/開發者	OpenWrt + 收集器 (Prometheus/Grafana) + 自動化腳本 (踢人/限速/告警)	完全可控、可編程、無廠商鎖定、社區生態豐富

防蹭網的核心不是「設多複雜的密碼」，而是**建立「已知裝置資產庫」+「實時可見性」+「一鍵處置能力」+「持續運營機制」**。路由衛士解決了「看得見、管得住」的即時體驗；路由器原生功能提供「持久、跨平台、免維護」的基線防護；兩者結合，讓蹭網者無處遁形，頻寬歸還正主。