無線網絡無處不在，卻也暗藏盜聽、蹭網、跳板攻擊等風險。本文系統梳理常見安全誤區、加密協議演進、路由器硬設定與管理軟技巧，助你構建多層次防禦體系。

一、 常見誤區：以為安全其實「門戶大開」

• 隱藏 SSID：僅阻擋誤連，駭客輕易透過探測請求或解除認證攻擊獲取真實 SSID。
• MAC 位址過濾：MAC 可偽造，無法阻擋有心人士。
• 降低發射功率：高增益天線可遠距離接收，縮小覆蓋反而犧牲自身使用體驗。
• 僅靠 WEP 加密：等同無加密，數分鐘即破。

二、 加密協議演進：WPA2/WPA3 才是正解

協議	加密核心	安全性	建議
WEP	RC4 + 靜態金鑰	極低（分鐘級破解）	禁用
WPA-TKIP	RC4 + 動態金鑰	中（存在解密/注入攻擊）	淘汰中
WPA2-AES (CCMP)	AES-CCMP	高（僅怕弱密碼暴力破解）	主流推薦
WPA3-SAE	AES-GCMP + SAE 握手	極高（抗離線字典攻擊、前向保密）	新裝置首選

三、 路由器硬核設定清單

1. 管理介面：修改預設帳號密碼、關閉遠端管理、啟用 HTTPS 存取。
2. 無線安全：WPA2-AES 或 WPA3、密碼 ≥12 字元複雜度、關閉 WPS。
3. 固件自動更新：修補 CVE 漏洞（如 HNAP、DNS 劫持等）。
4. 訪客網路：獨立 SSID/VLAN、啟用 AP 隔離、限制頻寬與存取權限。
5. 防火牆/DoS 防護：開啟 SPI 防火牆、封鎖 Ping、防禦 SYN Flood。
6. 日誌與告警：記錄登入嘗試、異常連線，配合郵件/APP 推播。

四、 公共熱點生存法則

• 優先使用 4G/5G 行動網路或受信任 VPN。
• 瀏覽器強制啟用 HTTPS Everywhere / HSTS。
• 避免登入敏感帳號、進行金融交易。
• 關閉檔案分享、AirDrop、藍牙等非必要服務。

五、 企業/校園級進階部署

• 802.1X (EAP-TLS/PEAP) + RADIUS，憑證雙向認證，杜絕密碼外洩。
• 動態 VLAN 指派：依身份劃分網段，實現最小權限原則。
• 無線入侵防禦系統 (WIPS)：偵測惡意 AP、解除認證攻擊、異常流量。
• 定期滲透測試與無線電頻譜巡檢。

無線安全非單一設定即可一勞永逸，而是「技術 3 分、管理 7 分」的持續運營。從今天起，檢視路由器設定、更新固件、換上強密碼，為數位生活加把鎖。