加密協定選擇：淘汰 WEP/WPA，強制 WPA2-AES / WPA3-SAE
| 協定 | 加密演算法 | 密鑰長度 | 安全等級 | 建議 |
|---|
| WEP | RC4 | 64/128-bit (10/26 Hex) | 極低 (分鐘級破解) | 禁用 |
| WPA-PSK (TKIP) | TKIP (RC4 變種) | 8-63 ASCII | 低 (KRACK 攻擊、可解密) | 禁用 |
| WPA2-PSK (AES) | CCMP (AES) | 8-63 ASCII | 高 (目前主流安全基線) | 家用首選 |
| WPA3-SAE | SAE (Dragonfly) + AES | 8-63 ASCII | 極高 (抗離線字典攻擊、前向保密) | 新裝置全支援時首選 |
| WPA2/WPA3-Enterprise | AES + 802.1X/RADIUS | 帳密/憑證 | 企業級最高 | 企業/機構部署 |
路由器後台黃金設定清單
- 安全模式：WPA2-PSK / WPA3-SAE 混合 (相容舊裝置) 或 僅 WPA3 (全新裝置環境)。
- 加密演算法：AES (CCMP)，勿選 TKIP/Auto (可能降級)。
- 密碼策略：≥ 12 字元，含 大寫+小寫+數字+特殊符號 (如
W1f!_Home_2024#)，避免字典詞/生日/電話。
- 關閉 WPS：PIN 碼暴力破解漏洞 (CVE-2011-0923) 影響所有支援 WPS 的路由器。
- 關閉 UPnP：除非確定需要 (如遊戲機/NAS 穿透)，否則關閉防惡意軟體開洞。
- 關閉遠程管理：僅允許 LAN 端管理介面存取。
- 啟用訪客網路：給訪客/IoT 用，隔離主網路檔案共享/NAS/管理介面。
進階防蹭三板斧
1. MAC 位址白名單 (最強管控，維護成本高)
- 路由器 → 無線 MAC 過濾 → 模式：允許名單中裝置。
- 逐一錄入自家手機/筆電/智慧電視/印表機 MAC。
- 新裝置上線需手動新增 MAC，極大提高蹭網門檻。
2. 隱藏 SSID (防誤連/低技術蹭網，非絕對安全)
- 無線設定 → 關閉 SSID 廣播。
- 連線時需手動輸入 SSID + 密碼。注意：駭客仍可透過監聽 Probe Request/Beacon 獲取隱藏 SSID，且會導致舊裝置 (XP/早期 Android) 無法連線。
3. 定期輪換密碼 + 安全軟體監控
- 每季更換一次 Wi-Fi 密碼，強制所有裝置重新驗證，清除潛在殘留授權。
- 安裝 360安全衛士/騰訊電腦管家/火綜 等「防蹭網/路由器管家」功能：一鍵掃描連線裝置、異常裝置踢除/限速、路由器弱掃 (弱密碼/漏洞/異常 DNS)。
企業/進階用戶：WPA2/WPA3-Enterprise (802.1X)
- 部署 RADIUS 伺服器 (Windows NPS / FreeRADIUS / Cisco ISE)。
- 每用戶獨立帳密/憑證，支援撤銷單一帳號不影響他人。
- 搭配動態 VLAN 指派、NAC 合規檢查、憑證自動部署 (SCEP/Intune)。
從加密協定、密碼強度、功能關閉、進階管控、定期輪換五層防護，構建鐵壁無線網路。