路由器是家庭數位大門，卻常被忽視。根據統計，超過 60% 家用路由器仍使用預設密碼、未更新韌體、開啟 WPS。本文整理 7 大必做防護措施，按優先序建構鐵壁防線。
1. 立即修改預設管理帳號/密碼 — 最高優先級
- 出廠預設
admin/admin、admin/1234、admin/(空白) 皆在駭客字典庫中。
- 登入後台 → 系統工具/管理設定 → 修改為 唯一用戶名 + 16 碼以上強密碼 (密碼管理器產生)。
- 啟用「僅允許有線/LAN 介面存取管理介面」 (若支援)，封鎖無線端管理。
2. 啟用最強無線加密 — WPA3 > WPA2-AES > WPA/WPA2 混合 > ❌ WEP/WPA-TKIP
- 路由器支援 WPA3 (SAE) → 僅啟用 WPA3 (或 WPA3/WPA2 混合相容舊裝置)。
- 僅支援 WPA2 → 強制 AES (CCMP)，禁用 TKIP (會拖慢速度至 54 Mbps 並有漏洞)。
- 密碼：≥ 12 碼、四類字元混合，避開字典單字。
3. 自訂 SSID 並隱藏品牌/型號資訊
- 預設 SSID (如
TP-Link_XXXX, ASUS_XX, MiWiFi_XX) 直接洩露廠牌/型號，助駭客查詢預設漏洞/預設密碼演算法。
- 改為無個人資訊、無品牌字樣的名稱：
HomeNet_5G, Office_Link, Net_2F。
- 不建議隱藏 SSID (停用廣播)：收益有限 (工具仍可偵測)，反而增加裝置 Probe Request 洩露風險、相容性問題。若堅持隱藏，請搭配 WPA3 強密碼。
4. MAC 位址白名單 — 輔助門禁 (非絕對)
- 後台 → 無線 MAC 過濾 →「僅允許清單內裝置」→ 加入自家所有裝置 MAC (手機/筆電/電視/印表機/智慧插座…)。
- 新裝置加入需登入後台新增 MAC，提高駭客偽造成本 (需嗅探合法 MAC 再偽造)。
- ⚠️ MAC 可偽造，不可作為唯一防線。
5. 關閉 WPS (Wi-Fi Protected Setup) — 必關項目
- WPS PIN 碼 (8 碼數字) 存在設計缺陷，可在 4~10 小時 內暴力破解 (Reaver, Bully 工具)，破解後直接取得 WPA/WPA2 密碼。
- 路由器後台 → 無線安全 / WPS → 停用 WPS (勿勾選「啟用 WPS」/「PIN 碼法」/「PBC 按鈕法」)。
- 若路由器無法關閉 WPS (舊型號)，建議更換新款支援關閉 WPS 的路由器。
6. 靜態 IP 分配 + 關閉 DHCP (進階/高安全需求)
- 關閉路由器 DHCP 伺服器，手動為每台信任裝置設定固定 IP (如 192.168.10.10~30)。
- 路由器防火牆/存取控制 → 僅允許該 IP 範圍存取網際網路/管理介面。
- 陌生裝置連上 Wi-Fi 也拿不到 IP/閘道/DNS，無法上網、無法存取路由器後台。
- 管理成本高，適合裝置固定、資安敏感家庭/工作室。
7. 調整發射功率與佈放位置，物理隔離訊號外洩
- 路由器後台 → 無線進階 → 發射功率 (Tx Power) 調至 中/低 (或 50~75%)，僅覆蓋自家範圍。
- 路由器置於住宅幾何中心，避免靠近窗戶/外牆/鄰家共用牆。
- 若鄰居 Wi-Fi 強烈干擾，手動固定非重疊頻道 (2.4G: 1/6/11；5G: UNII-1/2a/2c/3 非重疊 80MHz 區塊)。
- 必要時在牆面貼鋁箔/金屬網/電磁波屏蔽漆 (極端情況)。
加分項：企業級防護下放家用
- 訪客網路隔離： 開啟 Guest Network，隔離主網路 NAS/印表機/電腦，限制頻寬、定時關閉。
- DNS 防火牆 / 家長控制： 採用 NextDNS, OpenDNS FamilyShield, AdGuard Home (Docker/路由器直裝)，封鎖惡意域名、廣告、追蹤器、成人內容。
- 定期更新韌體： 開啟自動更新或每月手動檢查，修補 KRACK, FragAttacks, Log4j, DNSpoof 等關鍵漏洞。
- 備份設定檔： 完成上述設定後匯出備份，重置/換機可秒還原。
最小可行性防護 (MVP) 三步走：
- 改管理密碼 + Wi-Fi 密碼 (WPA2-AES/WPA3, 16 碼強密碼)
- 關閉 WPS
- 更新韌體至最新版
完成這三步，即可抵擋 99% 自動化掃描攻擊與蹭網腳本。安全無絕對，但提高攻擊成本超過獲利，駭客自然轉向更輕鬆的目標。