- 更新路由器韌體並更改所有預設密碼（包括管理員密碼），以減少已知漏洞。
- 設定 WiFi 時，請使用 WPA3 或 WPA2-AES 加密、無法辨識的 SSID 和強密碼，避免使用過時的協定和不安全的選項。
- 透過在不需要時停用遠端管理、WPS 和 UPnP、限制連接埠以及使用內建防火牆來加強安全性。
- 將設備單獨放置在訪客網路上，定期檢查連接的設備，並保持所有設備更新，以持續保護設備安全。
如果你一直覺得家裡的Wi-Fi“沒問題，因為它能用”，卻從未費心檢查過路由器設置，那麼你的客廳裡就潛藏著一個安全隱患。路由器是所有裝置連接網路的入口：電腦、手機、智慧電視、網路攝影機、智慧音箱…如果這個入口沒有正確關閉，任何人都可以入侵。
除了鄰居偷偷連接到你的網路之外，配置錯誤的路由器還可能導致你的通訊被攔截、個人資料被竊取，甚至你的網路連線被用於犯罪活動。好消息是，你無需成為系統管理員就能大幅提升網路安全性：只需進行一些精心設計的調整，就能顯著增強家庭或小型辦公室網路的安全性。
為什麼保護路由器設定如此重要？
路由器就像您私人網路和外部世界之間的守門人：它決定哪些流量可以進入，哪些流量可以輸出，以及哪些裝置可以連接。就像您不會敞開家門一樣，將路由器保留所有「出廠」設定而不進行檢查也是不明智的。幾乎所有設備都配備了旨在實現快速連接而非最高安全性的通用參數。
我們說的不僅僅是Wi-Fi網路。防火牆設定、無線加密、DHCP、網路位址轉換（NAT）、開放連接埠等等，都至關重要。每一個錯誤的設定都可能成為攻擊者窺探或滲透的另一個漏洞。
此外，路由器幾乎全天候24小時開機，而且往往多年無人維護。這意味著，如果不進行更新，路由器就會累積已知的安全漏洞，而網路犯罪分子深諳如何利用這些漏洞。就像您需要更新手機或電腦一樣，路由器也需要維護。
更糟的是，被入侵的路由器不僅會影響效能。它也可以被用作殭屍網路的一部分，發動DDoS攻擊，操縱DNS將你重定向到虛假的銀行或社群媒體網站，或對你的通訊發動中間人攻擊。
簡而言之：保護路由器就是保護你的網路、你的設備，在許多情況下，也包括你的數位身分和你的錢包。花時間保護路由器是值得的。
路由器設定錯誤的風險
如果路由器設定保持出廠預設狀態或隨意更改，問題遠不止連線速度慢那麼簡單。主要的網路安全風險可以歸納為幾個重要類別，務必牢記在心。
最直接的影響之一是未經授權的網路存取。入侵者一旦連接到你的 Wi-Fi，就會佔用你的頻寬，使網路飽和，導致網路中斷或速度大幅下降。雖然這很煩人，但這幾乎是所有問題中最輕微的一個。
網路資訊外洩的危害遠比這嚴重得多。安全性低的路由器很容易讓不法分子攔截網路流量、嗅探數據、監控用戶訪問的網頁和使用的服務，甚至竊取憑證和敏感數據，尤其是在訪問加密不足的網站或使用不安全協議的情況下。
如果攻擊者成功攻破路由器，他們就能控制整個本地網絡，存取共用檔案、攝影機、麥克風或連接的儲存裝置。然後，他們可以監視用戶、定位設備、提取照片或文檔，甚至用惡意軟體鎖定設備。
另一個令人擔憂的情況是臭名昭著的DNS劫持。攻擊者會修改你路由器上設定的DNS伺服器，這樣當你輸入網路銀行或社群網路的網址時，跳到的就不是合法的網站，而是一個旨在竊取你的使用者名稱和密碼的假網站。在你看來，“一切似乎都很正常”，但實際上，你正在與網路犯罪分子對話。
別忘了還有法律風險：如果有人利用你的網路連線發送大量垃圾郵件、發動拒絕服務（DoS/DDoS）攻擊或下載非法內容，那麼記錄下來的IP位址就是你路由器的IP位址。到時候要證明這並非你所為，可就麻煩了。
最後，許多惡意軟體攻擊活動會瞄準存在漏洞的路由器，將其變成殭屍網路。一旦感染，您的電腦效能可能會下降，同時還會參與協同攻擊，而您除了網路連線不穩定之外，不會察覺到任何明顯的異常。
在進行任何操作之前：請先造訪並備份設定。
在開始更改設定之前，最好按部就班地進行操作。首先，安全地存取路由器的控制面板，如果可以，請儲存目前設定的副本，以防需要恢復到先前的狀態。
理想情況下，如果您的電腦離路由器很近，請使用乙太網路線連接。有線連線可以避免干擾，並降低在調整敏感設定時意外連接到公共 Wi-Fi 網路或他人 Wi-Fi 網路的風險。如果您別無選擇只能使用 Wi-Fi，請確保您連接的是自己的網路。
大多數情況下，您可以透過在網頁瀏覽器中輸入類似192.168.1.1 或 192.168.0.1的位址來存取您的路由器。此資訊通常與預設管理員使用者名稱和密碼一起貼在裝置底部或背面的標籤上。
如果您沒有標籤或說明書，可以上網搜尋您路由器的確切型號（通常由您的網路服務供應商提供，例如 Movistar、Orange、Vodafone、Jazztel 等），並查閱官方指南。許多舊款路由器的預設密碼組合是 admin/admin、admin/1234 或類似格式，顯然需要盡快變更。
進入管理面板後，找到匯出或儲存目前配置的選項。並非所有路由器都支援此功能，但如果您的路由器支持，請使用它。這樣，如果測試失敗或您更改了某些設定導致連線中斷，您可以恢復到先前的狀態。
更新韌體：堵住漏洞的第一步
製造商和網路服務供應商會定期發布新的韌體版本，以增加功能、提升效能並修復可能被攻擊者利用的漏洞。如果您多年來一直使用同一台路由器且從未更新過，那麼您很可能容易受到已知漏洞的攻擊。
根據路由器型號的不同，更新過程可以是自動的，也可以是手動的。許多現代路由器在管理選單中都提供了「檢查更新」選項，甚至還有行動應用程式可以用來檢查和運行更新。而對於其他型號，您需要從官方網站下載更新文件，然後透過控制面板手動上傳。
在網路服務供應商 (ISP) 提供的路由器上，更新通常是遠端推送的，通常在清晨，這很容易察覺，因為設備會不時自動重新啟動。即便如此，最好還是存取控制面板，檢查已安裝的韌體版本，並確認它是否與您路由器型號的最新版本相符。
在執行此操作的同時，請確保您的裝置（PC、手機、平板電腦）也保持最新狀態，因為只需保持路由器和連接到路由器的裝置都保持最新狀態，即可減少許多 WiFi 相容性或安全問題。
WiFi 安全：網路名稱、加密方式和密碼
下一個主要領域是無線網路安全。這涉及三個關鍵要素：網路名稱 (SSID)、加密方法和 Wi-Fi 密碼。這三者共同決定了第三方入侵網路的難易度。
首先，從網路名稱入手，最好避免使用預設的 SSID。許多路由器都附有類似 MOVISTAR_XXXX、JAZZTEL_1234、Livebox-ABCD 等的標識符。這些標識符會洩漏路由器的型號和運營商訊息，使攻擊者更容易取得通用憑證或利用特定漏洞。請將 SSID 變更為不會洩漏您的身分、裝置品牌或位置資訊的名稱。
關於加密，目前建議在路由器和裝置支援的情況下使用 WPA3-Personal。它是最新、最可靠的標準。如果不支援 WPA3-Personal，至少要設定 WPA2-Personal (AES)。務必避免使用 WEP、舊版 WPA 或混合模式（例如 WPA/WPA2 與 TKIP），因為它們不安全，在某些情況下甚至會降低效能。
您的 Wi-Fi 密碼應該要夠複雜且獨一無二。切勿使用您的姓名、愛犬的名字或「Madrid2024」之類的字眼。理想情況下，應建立包含大小寫字母、數字和符號的長密碼，且密碼與您的網路名稱或個人資訊沒有任何直接關聯。使用密碼管理器可以大幅簡化這個過程。
如果你的服務提供者給你的路由器上印著一個隨機密碼，這可以作為初始密碼，但最好還是將其更改為你能控制且不易從 SSID 猜到的密碼。如果你忘記了密碼，可以隨時將路由器恢復出廠設置，但需要注意的是，之後你需要重新配置所有設定。
關於隱藏 SSID，有一點要注意：它幾乎無法提供任何真正的安全性。 「隱藏」的網路會持續廣播，並且很容易被基本的 Wi-Fi 分析工具偵測到。此外，它們還會強制您的裝置不斷廣播其名稱，這可能會洩露您的隱私。因此，最好保持 SSID 可見，並將重點放在強大的加密和設定強密碼上。
製造商和蘋果公司建議的安全設置
一些廠商，尤其是蘋果（針對其生態系統），會發布相當清晰的指南，指導用戶如何設定才能避免出現「網路不安全」或「安全等級低」的警告。遵循這些指南通常可以提高連線的安全性和穩定性。
關於無線安全，建議盡可能使用 WPA3-Personal 加密；如果新舊設備混用，則可使用WPA2/WPA3 過渡模式。如果以上兩種方案皆不可行，則最低可接受的方案是使用 AES 加密的 WPA2-Personal 加密。
強烈建議不要使用較舊的協議，例如僅使用 WPA、WEP（即使是帶有 802.1X 的「動態」變體）或任何在密碼名稱中包含 TKIP 的配置。這些選項不僅存在安全漏洞，還可能導致效能問題，並在新設備上引發持續的警報。
此外，建議在典型的家庭網路中，同一台路由器上的所有頻段（2,4 GHz、5 GHz 以及如果適用的話，6 GHz）使用相同的 SSID。為每個頻段分配不同的名稱可能會導致裝置連線不正常或在不同頻段之間無序切換，這對於行動裝置來說尤其成問題。
另一個可能導致 iPhone、iPad 或 Mac 警告的問題是加密 DNS被封鎖。如果您的路由器或網際網路服務供應商不允許使用 HTTPS 或 TLS 的 DNS，某些系統會顯示警告。在這種情況下，通常可以透過更新韌體、檢查建議的安全設置，並在必要時聯繫您的互聯網服務提供者或切換到更現代的公共 DNS 伺服器來解決問題。
關於系統服務，蘋果堅持要求在其設備上啟用無線網路的定位服務，因為各國法規對頻道和發射功率都有限制。如果您完全停用與 Wi-Fi 相關的定位服務，可能會遇到無法檢視附近網路、使用隔空投送 (AirDrop) 或隔空播放 (AirPlay) 或穩定連線到存取點等問題。
路由器管理：管理者密碼、遠端存取和WPS
路由器管理員密碼是最關鍵的設定之一，也是許多人容易忘記的設定。這不是 Wi-Fi 密碼，而是用來存取控制台的密碼。如果保留預設值，實際上等於邀請任何人嘗試破解。
通常情況下，首次登入時，您會看到類似 admin、1234 甚至空白的使用者名稱。登入後，您應該做的第一件事是進入「管理」、「安全性」或「進階設定」部分，並將管理員密碼變更為強密碼且獨一無二的密碼。如果您的路由器允許，也請更改使用者名稱；不要保留預設的「admin」。
與此密切相關的是遠端存取控制台。某些型號可讓您透過網際網路從本地網路外部管理路由器。如果您管理多個裝置或需要在工作場所存取路由器，這將非常方便；但對於家庭使用者而言，這通常是不必要的風險。
如果沒有特別特殊的需求，請停用遠端管理。在許多路由器上，如果您想完全封鎖遠端管理，可以將管理 IP 位址設定為 0.0.0.0 或 255.255.255.255，或直接取消選取安全性選單中的「遠端管理」核取方塊。暴露在網路上的接取點越少越好。
另一個敏感問題是Wi-Fi保護設定（WPS）。這項功能旨在簡化新設備的連接，使用者可以透過按下實體按鈕或輸入8位PIN碼來完成連接。但問題在於，這種PIN碼很容易被暴力破解，大幅降低WPA2加密的安全性。
盡可能進入路由器的WPS選單並將其停用。連接新設備的確會稍慢一些（需要輸入密碼），但啟用WPS帶來的風險遠大於其所謂的便利性。如果您需要連接中繼器或電力線轉接器，只需設定一次即可。
防火牆、NAT、連接埠和UPnP：控制進出流量
路由器「使用者友善」介面背後隱藏著一系列網路功能，這些功能決定了路由器如何與網路通訊。其中最重要的包括防火牆、網路位址轉換 (NAT)、連接埠管理以及 UPnP 等服務。
幾乎所有現代路由器都內建了防火牆，能夠根據安全規則過濾傳入和傳出的流量。建議保持防火牆啟用狀態，僅在確實需要時才打開特定端口，例如用於線上遊戲、家庭伺服器、IP攝影機或其他特定服務。
NAT（網路位址轉換）功能是將您內部網路中的私人 IP 位址轉換為您的網際網路服務供應商指派給您的公用 IP 位址。通常情況下，只有路由器執行此轉換。如果您在多個裝置上啟用了 NAT（例如，在數據機上啟用，然後在另一個路由器上啟用），則可能會遇到常見的「雙重 NAT」問題——為避免這種情況，請參閱如何正確連接兩個路由器。
當我們談到開啟或關閉連接埠時，指的是指定允許哪些類型的網路連線進入您的網路。您的路由器理論上有 65.536 個連接埠；預設情況下，大多數連接埠是關閉的。您應該只打開絕對必要的端口，並在不再使用時將其關閉，因為打開的未使用端口會給攻擊者帶來可乘之機。如果您不確定如何操作，請參閱有關如何在路由器上安全開啟連接埠的指南。
UPnP（通用即插即用）是另一種危險的便利功能。它允許本地網路上的應用程式和設備自動打開和關閉路由器上的端口，而無需您進行任何配置。這聽起來不錯，但如果您的電腦或遊戲機上安裝了惡意軟體，它可以利用 UPnP 在您不知情的情況下存取網路。許多人更傾向於停用 UPnP 並手動管理所需的連接埠。
有些路由器也提供「DMZ主機」功能：本質上是指定一個對外部網路更開放（過濾更少）的內部IP位址。此功能僅在非常特定且受控的場景下才有意義。在普通的家庭環境中，最好完全不使用DMZ。
需要監控的 DHCP、DNS 和其他網路設定。
除了無線網路方面，還有一些網路設定值得檢查，以避免衝突並減少攻擊面。主要包括DHCP 伺服器、DNS 配置以及無線電模式和通道寬度等參數。
路由器的 DHCP 伺服器負責為每個連接的設備分配內部 IP 位址。通常情況下，網路中只有一個 DHCP 伺服器。如果您不小心在其他裝置上啟用了 DHCP（例如，另一個路由器處於錯誤模式），則可能會出現 IP 位址衝突，導致裝置無法瀏覽網際網路或某些資源無法存取。
DHCP 租約時間表示 IP 位址為特定裝置保留的時間。如果有許多設備經常連接和斷開連接，您可能需要縮短此時間，以便更快地回收地址。在一般家庭環境中，預設值通常就足夠了。
關於 DNS，您的路由器通常會使用網路服務供應商的伺服器，並將解析結果分發給您的裝置。如果您想使用速度更快的公共 DNS 伺服器或對加密查詢支援更好的伺服器，可以變更路由器上的 DNS 設定。但請注意：如果您設定的 DNS 伺服器不支援加密 DNS，而您的裝置又依賴此功能，則可能會收到隱私警告。
關於 Wi-Fi 無線模式（802.11n、ac、ax 等）和頻段（2,4 GHz、5 GHz、6 GHz），通常建議啟用所有相容模式，以便每個裝置都能使用其支援的最新模式。但是，在 2,4 GHz 頻段，建議將通道寬度設定為 20 MHz，以減少對藍牙和其他附近網路的干擾。
在 5 GHz 和 6 GHz 頻段，您可以啟用更高的頻寬和自動頻道選擇功能，以更好地利用資料容量。如果您的路由器自動頻道選擇功能不佳，您可以手動測試不同的頻道，並選擇幹擾最小、穩定性最高的頻道，尤其是在您居住的建築物內周圍有很多網路的情況下。
MAC位址過濾、客戶端隔離和白名單/黑名單
許多路由器都包含額外的存取控制功能，例如 MAC 位址過濾、Wi-Fi 用戶端隔離和白名單/黑名單。雖然這些功能各有用途，但了解它們的限制至關重要，以免過度依賴它們。
MAC位址是每個設備網路介面卡的唯一識別碼。 MAC過濾允許你指定「哪些設備可以連接，哪些設備不能連接」。理論上，這似乎意味著完全控制，但實際上，任何具備一定技術水平的攻擊者都可以偽造授權的MAC位址，因此不應將此機製作為唯一的安全屏障。
白名單（僅允許特定設備）和黑名單（阻止特定設備）可以作為額外的安全層，用於移除網路中檢測到的不需要的設備，或在您控制所有硬體的環境中限制哪些設備可以連接。但始終要配合良好的加密技術和強密碼。
WiFi用戶端隔離（有時也稱為「AP隔離」或「用戶端隔離」）可防止連接到相同無線網路的裝置相互發現。這在訪客網路或公共區域尤其有用，因為在這些環境中，您不希望一個用戶端的筆記型電腦能夠掃描到另一個客戶端的手機。
在家中訪客網路上啟用此隔離功能，可降低訪客攜帶感染病毒的筆記型電腦攻擊您其他裝置的風險。但是，如果您依賴檔案共用、使用網路印表機或向智慧電視串流內容，則可能不希望在主網路上啟用此功能。
簡而言之，這些功能是全球戰略中的有用工具：它們不會取代現代加密或強密碼，但它們有助於微調誰可以連接以及設備如何相互互動。
訪客網路、存取控制和負責任的使用
保持網路整潔有序的最佳實踐之一是將主設備的流量與訪客、不太可靠的設備或智慧家庭設備的流量分開。這就是訪客 Wi-Fi 網路的作用，幾乎所有現代路由器都支援建立訪客 Wi-Fi 網路。
想法很簡單：在路由器的選單中，啟用第二個無線網絡，並為其設定獨立的名稱和密碼，同時指定該網路是否可以存取內部網路上的其他設備，還是只能存取互聯網。理想情況下，訪客應該只能存取該網絡，而不能看到您的電腦、NAS 設備或印表機。
這個訪客網路非常適合家裡來客人、不太注意下載內容的兒童或青少年，以及一些不太可靠的「廉價」物聯網設備，例如不知名品牌的智慧燈泡、Wi-Fi插座或攝影機。即使其中任何一台設備遭到入侵，潛在的損失也相當有限。
一些路由器還允許您限制訪客網路的頻寬或過濾特定內容。這樣，您可以防止有人過度下載佔用大量網路連接，或封鎖不適合兒童造訪的網站。這些限制通常可以在家長控製或QoS設定中找到。
另一個好習慣是定期更改您的 Wi-Fi（或訪客網路）密碼，尤其是在您與許多人分享密碼的情況下。您無需過於頻繁，但定期更改密碼可以降低舊密碼洩露或被記錄在不安全的地方的風險。
最後，請記住，您的路由器並非堅不可摧或萬無一失。如果您幾天不用它（例如長途旅行、度假等），將其完全關閉可以消除攻擊面並節省能源。這是終極安全措施：關閉的設備無法被駭客入侵。
網路安全監控、維護和習慣
正確設定路由器固然重要，但安全性並非一成不變。隨著時間的推移，新的漏洞會出現，您會添加更多設備，您的使用習慣也會發生變化……因此，定期檢查某些方面並養成良好的使用習慣至關重要。
定期（例如每月一次）存取路由器的控制面板，查看已連接設備列表，包括有線和無線設備。如果您看到不認識的名稱或 MAC 位址，則您的網路可能已被入侵。在這種情況下，請立即變更 Wi-Fi 密碼，考慮啟用 MAC 位址過濾，並檢查其他安全設定。
有許多網路掃描應用程式和工具可以幫助您建立裝置清單、偵測開放埠並提醒您注意潛在漏洞。許多現代路由器甚至都包含「安全掃描」功能，可以檢查自身配置以及連接設備的配置。
別忘了，即使你的路由器很安全，過時或感染病毒的設備同樣會成為攻擊入口。務必將所有作業系統、瀏覽器和應用程式更新到最新版本，並在你的電腦和行動裝置上使用可靠的安全解決方案。
如果您特別注重瀏覽時的隱私，不妨考慮在路由器上直接安裝 VPN 。這樣，所有離開您網路的流量都會透過加密隧道傳輸到 VPN 提供者。但是，這需要正確配置，並且您應該意識到它可能會影響網路效能。
歸根結底，關鍵在於將良好的初始設定與最少的監控和更新相結合。只要花些時間了解基礎知識，並且不要讓路由器多年無人看管，即使你不是專家，也能維持相當不錯的安全等級。
花點時間檢查韌體、調整 WiFi 加密、更改預設密碼、禁用 WPS 或遠端管理等不必要的訪問，並利用訪客網路或內建防火牆等功能，可以將普通的路由器變成更可靠的連接、設備和個人資訊的守護者。
