路由器是家庭/辦公網絡的「大門」，一旦失守，隱私竊取、流量劫持、設備入侵、法律風險接踵而至。本文以TP-LINK為例，構建從物理連接到策略配置的全鏈路安全加固體系。

一、 物理連接基線（拓撲正確性前提）

1. 入戶線(電話線/光纖/網線)→ Modem/光貓 WAN口
2. Modem LAN口 → 路由器 WAN口 (網線1)
3. 路由器 LAN口(任意) → 電腦網口 (網線2，用於初始配置)
4. 電話線接入需加分頻器：入戶線→分頻器→一端接電話、一端接Modem

二、 管理界面登錄與三類憑證區分

瀏覽器輸入192.168.1.1或tplogin.cn（底部標簽確認）→ 登錄頁面需區分三組憑證：

類別	來源	用途
路由器管理帳號/密碼	出廠默認admin/admin 或 首次設置自定義	登錄Web管理界面/APP管理
運營商寬帶賬號/密碼	ISP提供(撥號上網用)	WAN口PPPoE撥號認證
WiFi無線名稱/密碼	用戶自定義(SSID/PSK)	無線終端連接認證

三、 設置向導核心安全配置（5步鎖死）

1. 上網方式：選「PPPoE(ADSL虛擬撥號)」—— 多數家庭寬帶模式
2. 運營商賬號/密碼：準確填入ISP提供信息
3. SSID(無線名稱)策略：
   • ✅ 個性化、無規律字符組合(如HomeNet_7X9K)
   • ❌ 禁用：姓名/拼音/手機號/門牌號/默認TP-LINK_XXXX/品牌詞
   • 原理：SSID洩露所有者身份 → 針對性社工/暴力破解成功率指數級上升
4. 加密協議與密碼強度（核心防線）：
   • 協議：WPA2-PSK (AES) / WPA3-SAE（優先）。禁用WEP/WPA-TKIP/WPS/PIN碼（已知漏洞可秒破）
   • 密碼規範：≥16位，包含大小寫字母+數字+特殊符號(@#$%^&*)
   • 熵值估算：8位純數字≈33比特熵(1小時破解)；16位混合字符≈100+比特熵(億年級)
   • 密碼管理：紙質備份/密碼管理器存儲，定期輪換(季度/半年)
5. 完成向導→重啟路由器生效

四、 進階加固清單（登錄後補充配置）

• 關閉遠程Web管理：系統工具→遠程管理→禁用(防公網暴力破解)
• 修改默認管理地址：網絡參數→LAN口設置→IP改為192.168.x.1(x≠1,如88/99)，登錄地址隨之變更
• 修改管理端口：80→8080/8888等非標準端口
• 啟用防火牆/SPI/DoS防護：安全設置→開啟所有防護選項
• MAC地址過濾(白名單模式)：僅允許已知設備MAC接入(維護成本高，視需求啟用)
• 訪客網絡隔離：開啟Guest Network，隔離主網絡設備/NAS/數據
• 定期固件升級：系統工具→在線升級/手動刷寫官網最新固件，修補CVE漏洞
• 備份配置文件：系統工具→備份配置，故障/重置後快速恢復

五、 客戶端配置收尾

電腦無線網卡屬性→IPv4→「自動獲取IP」+「自動獲取DNS」。拔網線，手機/電腦用新SSID/強密碼連接，驗證上網正常。

安全心法：路由器安全不是一次配置，而是持續運營。強密碼+WPA3+關閉WPS/遠程管理+定期升級+訪客隔離，構建纵深防御體系。