威脅模型：鄰居蹭網、路過駭客掃描、物聯網裝置被招募入僵屍網
目標：以最低成本將風險降至可接受水準 (風險 = 威脅 × 脆弱性 × 資產價值)。
步驟一：隱藏 SSID (Service Set Identifier)
- 登入路由器管理介面 (通常 192.168.1.1/192.168.0.1)。
- 無線設定 → SSID 改為無個資特徵名稱 (如
HomeNet_5G)。
- **關閉 SSID 廣播** (Hide SSID / Disable Broadcast)。
- 裝置連線時需手動輸入 SSID (Windows:「管理已知網路 → 新增」; 手機:「新增網路 → 輸入 SSID」)。
效用：阻擋隨意掃描工具 (NetStumbler/Kismet/手機 Wi-Fi 列表) 發現，提高攻擊門檻。
步驟二：強制 WPA3 / WPA2-AES 加密
- **嚴禁 WEP / WPA-TKIP** (可在 1-10 分鐘內破解)。
- 優先啟用 **WPA3-SAE (Simultaneous Authentication of Equals)**：抗離線字典攻擊、前向保密、每次握手獨立金鑰。
- 舊裝置不支援 WPA3 時，退而求其次用 **WPA2-AES (CCMP)**，密碼 ≥ 20 字元高熵值 (密碼管理器生成)。
- **關閉 WPS (Wi-Fi Protected Setup)** — PIN 碼極易暴力破解 (Reaver/Bully)。
步驟三：MAC 地址過濾 (白名單模式)
- 取得各裝置 MAC：Win+R →
cmd → ipconfig /all → 尋找「實體位址」 (格式 AA-BB-CC-DD-EE-FF)。
- 路由器「無線 MAC 過濾」→ 「僅允許名單內裝置存取」→ 逐一加入家庭所有裝置 MAC。
效用：雖可被 MAC Spoofing 繞過，但能阻擋 99% 機會性蹭網者與自動化掃描腳本。
步驟四：限制 DHCP IP 池大小
家中裝置數固定 (如 5 台) → 設定 DHCP 池僅 5 個 IP (例：192.168.1.100 - 192.168.1.104)。
當所有授權裝置上線後，入侵者無法獲取 IP，直接斷絕網路層連線。
**進階**：啟用 **靜態 DHCP 綁定 (DHCP Reservation)**，MAC-IP 固定對應，配合防火牆規則僅允許清單內 IP 存取 Internet/管理介面。
額外加分項
- 路由器管理介面**僅允許有線/特定無線裝置存取**、修改預設埠 (80/443→8443)、強制 HTTPS、啟用 MFA (若支援)。
- 固件自動更新 / 手動每月檢查更新。
- 開啟 **訪客網路** 隔離 IoT/訪客裝置，禁止存取主網段/NAS/管理介面。
- 啟用 **DNS over HTTPS (DoH) / DNS over TLS (DoT)** 或指向安全 DNS (1.1.1.1/9.9.9.9/8.8.8.8) 防劫持。