路由器作為網路邊界守門人，同樣面臨駭客攻擊風險。中小企業常缺乏專職網管，以下 10 招基礎防護措施必須落實：
- 持續更新韌體/作業系統
廠商定期釋出修補程式碼漏洞、緩衝區溢位、邏輯錯誤的韌體。訂閱廠商安全公告，建立定期更新機制 (如季度)。
- 修改預設帳密
統計顯示 80% 以上入侵源自弱/預設密碼。設定強密碼：≥12 碼、大小寫+數字+符號、不含字典詞。定期輪換。
- 停用 HTTP Web 管理與 SNMP
HTTP 明文傳輸易遭竊聽/中間人攻擊。改用 SSH/HTTPS/CLI (Console/SSH) 管理。若未使用 SNMP 監控，務必關閉 (Cisco 曾有 SNMP GRE 隧道漏洞)。
- 封鎖 WAN 介面 ICMP Echo Request (Ping)
Ping 掃描是駭客偵察網路拓撲、存活主機的第一步。WAN 介面 ACL 拒絕 ICMP Echo Request，內部測試可暫時開放。
- 禁止 WAN 介面 Telnet 存取
Telnet 明文傳輸帳密，極度危險。管理僅允許來自信任內網 IP (或跳板機) 透過 SSH/HTTPS 存取。
- 停用 IP 定向廣播
定向廣播可被濫用放大 DoS 攻擊 (Smurf Attack)，導致 CPU/記憶體耗盡。介面配置 `no ip directed-broadcast`。
- 停用 IP 來源路由與重導向
來源路由允許發送者指定路徑，繞過防火牆策略；ICMP Redirect 可被惡意修改主機路由表。兩者皆應全域關閉。
- 實施封包過濾 (ACL)
預設拒絕，僅放行必要服務：TCP 80/443 (Web)、25/110/587/993/995 (郵件)、53 (DNS)、VPN 埠等。並依來源 IP 範圍限制管理存取。
- 定期審核安全日誌
啟用 Syslog 送至中央日誌伺服器。每日/每週檢視：登入失敗暴力破解、異常連線、ACL 拒絕記錄、CPU/記憶體異常飆升。早期發現入侵徵兆。
- 關閉所有非必要服務
預設開啟的小服務 (echo/chargen/discard/TCP/UDP small servers、CDP、HTTP/HTTPS Server、SNMP Agent、NTP Master 等) 皆為攻擊面。`no service tcp-small-servers`、`no service udp-small-servers`、`no cdp run` 等。
原則：最小權限、縮減攻擊面、纏深防禦、持續監控。路由器安全非一次設定，而是持續運維過程。