無線網路安全：核心原則與六大實務配置
無線網路普及帶來便利，也引入獨特安全挑戰。有線網路存取點位置固定、物理可控；無線訊號卻無形穿透牆壁，覆蓋範圍內任何裝置皆可嘗試連線。建立安全無線存取點（AP）的核心原則是「防止資訊向非授權外部洩漏」。以下六大關鍵配置步驟，能有效將風險降至最低。
一、規劃天線安裝位置：物理層面的第一道防線
目標是將訊號能量集中在授權區域，最小化向外洩漏。
- 置中部署：AP 天線置於辦公/生活區域幾何中心，訊號均向輻射覆蓋目標區。
- 遠離外牆窗戶：玻璃、木門對微波幾乎透明，訊號易外洩至街道、鄰棟。避免天線直對窗戶、玻璃幕牆。
- 利用建築結構：承重牆、電梯井、機房牆壁可作為天然屏障，阻擋訊號向非授權區域延伸。
- 方向性天線：長走廊、倉庫等狹長區域，改用定向天線（八木、平板天線）聚焦覆蓋，大幅減少側向/後向輻射。
二、啟用強力加密協定：棄用 WEP，強制 WPA2/WPA3
WEP（Wired Equivalent Privacy）自 2001 年被證明存在嚴重漏洞（RC4 金鑰排程缺陷），數分鐘即可破解，嚴禁使用。
- 最低標準：WPA2-Personal (AES/CCMP)，預共享金鑰（PSK）長度 ≥ 20 字元，混合大小寫、數字、符號。
- 企業級最佳：WPA2-Enterprise / WPA3-Enterprise，搭配 RADIUS 認證伺服器（802.1X/EAP），每位用戶獨立憑證/帳號，支援金鑰動態更新、前向保密。
- WPA3 優勢：SAE（Simultaneous Authentication of Equals）取代 PSK，防禦離線字典攻擊；強制使用 GCMP-256 加密；支援 192-bit 安全套件。
三、自訂 SSID 並停用廣播：降低被發現機率
- 修改預設 SSID：廠商預設值（如 "TP-Link_XXXX", "ASUS", "default"）會洩露設備品牌/型號，助長針對性攻擊。自訂無特徵名稱（如 "Net_Zone_7F"），避免洩露公司/住戶身分。
- 停用 SSID 廣播：Beacon Frame 不再公開 SSID，一般掃描清單不顯示。連線時需手動輸入 SSID。雖無法阻擋主動掃描工具（Kismet, Airodump-ng），但能阻擋 90% 以上的機會性蹭網與自動連線嘗試。
四、停用 DHCP 服務：增加入侵者側向移動難度
關閉 AP/路由器 DHCP Server，改用靜態 IP 指派或集中式 IPAM 管理。
- 入侵者即使破解加密連上 AP，仍無法自動取得合法 IP、子網路遮罩、閘道、DNS 參數。
- 需手動猜測私有網段（10.x, 172.16~31.x, 192.168.x）、閘道 IP、DNS IP，大幅增加偵察時間與被發現機率。
- 配合靜態 ARP 綁定、IP-MAC-Port 綁定，進一步防範 ARP 欺騙與 IP 衝突攻擊。
五、停用或強化 SNMP 管理介面
- 不需遠端監控時：徹底停用 SNMP v1/v2c（明文 Community String "public"/"private" 極易竊聽）。
- 必須啟用時：僅啟用 SNMP v3（支援認證與加密），設定複雜的用戶名/認證密鑰/隱私密鑰，限制僅允許管理主機 IP 存取（ACL）。
- 定期審核 MIB 物件存取權限，最小權限原則。
六、部署存取控制清單（ACL/MAC 過濾）：精準管控終端
- MAC 位址過濾（白名單）：僅允許已登錄 MAC 的裝置關聯。雖 MAC 可偽造，但能阻擋腳本小子與自動化掃描工具。
- 802.1X 入口控制（企業級）：整合 RADIUS，裝置/用戶雙重驗證，動態下發 VLAN、ACL、QoS 策略。
- 自動化同步：支援 TFTP/REST API 定期下載最新授權清單，避免多 AP 手動同步的人為疏失。
延伸建議：纵深防禦策略
- 網段隔離：訪客網路、IoT 設備、核心業務分離不同 VLAN，啟用 AP 隔離防止裝置間互訪。
- 入侵偵測/防禦 (WIDS/WIPS)：部署專用感測器或路由器內建功能，偵測惡意 AP、Deauth 攻擊、暴力破解、異常流量。
- 客戶端健康檢查 (NAC)：連線前強制檢查防毒軟體、補丁版本、磁碟加密狀態，不合規導向修復區。
- 定期滲透測試：年度委託紅隊演練，驗證配置有效性。
無線網路安全非一次設定終身免責，需持續監控、修補、演練，方能構建韌性防禦體系。