路由器是網絡邊界核心守門人，卻常被忽視安全加固。卡內基梅隆大學 CERT 統計：**80% 以上安全事件源於弱/默認密碼**。以下十大加固措施構建纵深防禦體系，適用家用/中小企業/分支機構路由器。

1. 及時更新固件/作業系統 — 基石

• 訂閱廠商安全公告/郵件列表/RSS
• 關鍵漏洞 (CVE) 24h 內打補丁：KRACK (CVE-2017-13077)、FragAttacks (CVE-2020-24588)、DNSpoof、HTTP/2 漏洞等
• 開啟自動更新 (如支持) 或定月檢查
• **開源固件優勢**：OpenWrt 主線內核 5.15/6.1/6.6 LTS，安全補丁上游同步極快

2. 修改默認憑證，強制強密碼策略 — 第一道防線

• 管理帳號：避開 admin/root/user，改為自定義 (如 netadmin_2024)
• 密碼：≥16 位，大小寫+數字+特殊符號，全網唯一，存入密碼管理器
  例：`R0ut3r_Adm!n_2024#Secure$`
• 啟用登錄失敗鎖定：5 次錯誤鎖定 15 分鐘
• HTTPS 管理：強制 HTTPS 訪問 Web 界面，禁用 HTTP

3. 禁用不安全管理協議：HTTP、Telnet、SNMP v1/v2c

• HTTP：明文傳輸密碼，必須禁用，僅允許 HTTPS
• Telnet：明文協議，禁用。僅內網管理段允許 SSH (密鑰認證)
• SNMP v1/v2c：社區字符串明文傳輸 (public/private)，**必須禁用**
  需監控時：僅啟用 SNMP v3 (AuthPriv: SHA-256 + AES-256)，限制來源 IP、只讀社區名
• Cisco 特有風險：SNMP 洩露配置信息，可被利用構造 GRE 隧道攻擊

4. 封鎖外部 ICMP Ping/探測 — 隱藏攻擊面

• 防火牆規則：拒絕 WAN 入方向 ICMP Type 0 (Echo Reply)、Type 8 (Echo Request)、Type 13/14 (Timestamp)、Type 17/18 (Mask Request/Reply)
• 保留內網 Ping 便於診斷
• 注意：完全禁 Ping 可能影響部分 MTU 發現/路徑 MTU (PMTUD)，建議允許「回應本地網段 Ping」

5. 禁用 WAN 口 Telnet/SSH/管理界面訪問 — 縮小攻擊面

• 管理界面/SSH/Telnet **僅綁定 LAN/IPv6 ULA/管理 VLAN 接口**
• 極特殊需遠程管理：
  - VPN (WireGuard/OpenVPN/Tailscale) 進內網再管理
  - 非標準高端口 + 密鑰認證 + 來源 IP 白名單 + 端口敲門

6. 禁用 IP 定向廣播 — 防 Smurf/DoS 放大攻擊

• 攻擊者向廣播地址發送偽造源 IP 的 ICMP Echo，所有主機回應受害者 → 流量放大
• Cisco: no ip directed-broadcast (接口級)
• 通用：邊界路由器/防火牆丟棄目標為廣播地址的報文

7. 禁用 IP 源路由/重定向 — 防繞過防火牆/流量劫持

• IP 源路由：發送者指定路徑，繞過安全策略 → no ip source-route
• ICMP 重定向：路由器告知主機「有更好路徑」，可被偽造劫持流量 → no ip redirects (接口級)
• 僅在極特殊網絡拓撲需求時啟用，並配合嚴格 ACL

8. 實施封包過濾 (ACL/防火牆規則) — 核心數據平面防護

原則：默認拒絕，最小授權

方向	策略示例
WAN→LAN (入站)	拒絕所有主動連接 允許：已建立/相關連接 (ESTABLISHED/RELATED) 允許：特定端口映射 (DNAT) 目標內網服務器端口 允許：VPN 服務器端口 (UDP 51820/1194 等)
LAN→WAN (出站)	允許所有 (家用) 企業：僅允許 HTTP/HTTPS/DNS/NTP/郵件/已批準業務端口 拒絕：高危端口 (135,139,445,1433,3306,3389,5900 等)
管理平面	僅允許管理網段/跳板機 IP 訪問 22/443/8443

• 針對惡意 IP 段 (已知 C2、掃描器、代理出口) 維護動態黑名單 (威脅情報餵養)

9. 定期審計安全日誌 — 可見性保障

• 日誌傳送至 Syslog 服務器 / SIEM / ELK / Loki，避免本地閃存覆蓋/被清除
• 關注事件：登錄失敗暴力破解、配置變更、固件升級、新設備接入、拒絕連接統計、CPU/內存異常
• 審計頻率：關鍵設備每日，一般每週，自動化告警規則覆蓋 24/7

10. 關閉所有非必要服務 — 最小化攻擊面

思科/華三/華為等設備默認開啟的「小服務」極易被濫用：

服務	端口/協議	風險	行動
Echo	TCP/UDP 7	DoS 放大、回環風暴	禁用
Chargen	TCP/UDP 19	DoS 放大 (放大因子 200-1000x)	禁用
Discard	TCP/UDP 9	DoS 消耗帶寬	禁用
Daytime	TCP/UDP 13	信息洩露、DoS	禁用
Finger	TCP 79	用戶信息枚舉	禁用
HTTP/HTTPS (管理)	TCP 80/443	Web 漏洞、暴力破解	僅 LAN/VPN 訪問，強制 HTTPS
SNMP	UDP 161/162	信息洩露、寫入攻擊	禁用或僅 v3 只讀+ACL
TFTP	UDP 69	配置/固件竊取/植入	禁用，升級用 SCP/SFTP
NTP	UDP 123	放大攻擊 (monlist)、時間篡改	僅作客戶端同步，不對外服務
DNS (遞歸)	UDP/TCP 53	開放遞歸 = 放大攻擊踏板	禁用遞歸，僅轉發內網請求

加固驗證清單 (執行完畢後逐項核對)

1. ✅ 管理密碼 ≥16 位強密碼，非默認帳號
2. ✅ 僅 HTTPS/SSH 管理，禁用 HTTP/Telnet/SNMPv1v2c
3. ✅ WAN 口禁 Ping、禁管理訪問、禁定向廣播、禁源路由/重定向
4. ✅ 入站默認拒絕，僅放行 DNAT 端口映射 + VPN 端口
5. ✅ 出站按需管控 (企業)，關閉高危端口出站
6. ✅ 所有小服務 (Echo/Chargen/Discard/Daytime/Finger/TFTP) 已禁用
7. ✅ 固件最新版，關鍵 CVE 已修補
8. ✅ 日誌外發 Syslog/SIEM，關鍵告警配置
9. ✅ 配置備份加密存儲，離線保留
10. ✅ 物理安全：機房/弱電箱鎖定，Console 口物理隔離

進階建議：部署 Suricata/Snort IDS/IPS (OpenWrt 可裝)、CrowdSec 群體威脅情報、Tailscale/WireGuard 零信任遠程管理、定期滲透測試 (Nmap/Nessus/OpenVAS 掃描自身)。