信息技术数字 » 资源 » 安全路由器配置：完整实用指南
更新路由器固件并更改所有默认密码（包括管理员密码），以减少已知漏洞。
配置 WiFi 时，请使用 WPA3 或 WPA2-AES 加密、无法识别的 SSID 和强密码，避免使用过时的协议和不安全的选项。
通过在不需要时禁用远程管理、WPS 和 UPnP、限制端口以及使用内置防火墙来加强安全性。
将设备单独放置在访客网络上，定期检查连接的设备，并保持所有设备更新，以持续保护设备安全。
如果你曾经认为家里的WiFi“没问题，因为它能用”，但从未花时间查看过路由器的设置， 房间中央存在安全隐患。路由器是您所有设备（电脑、手机、智能电视、网络摄像头、智能音箱……）连接互联网的入口。如果这扇门没有关好，任何人都可以进入。
除了邻居“未经授权”连接到你的网络之外，配置错误的路由器也可能导致这种情况发生。 拦截您的通信、窃取个人数据或利用您的连接进行犯罪活动好消息是，你不需要成为系统管理员就能大大提高安全性：只需进行一些精心设计的调整，就能显著增强你的家庭或小型办公室网络。
为什么保护路由器设置如此重要？
路由器充当您私有网络与外部世界之间的守门人： 决定哪些东西可以进入，哪些东西可以离开，以及谁可以连接。就像你不会让前门敞开着一样，把路由器保留所有“出厂”设置且不做任何检查也是不明智的。几乎所有设备都配备了旨在实现快速连接的通用参数，而不是为了最高安全性。
我们说的不仅仅是WiFi网络，其他因素也会影响结果。 防火墙配置、无线加密、DHCP 和网络地址转换 (NAT)开放端口以及其他诸多问题。每一个错误的设置都可能成为攻击者窥探或潜入的又一个漏洞。
此外，路由器几乎全天候24小时开机，而且往往长达数年无人问津。这意味着，如果您不更新路由器， 它们会积累已知的漏洞，而网络犯罪分子知道如何利用这些漏洞。就像你需要更新手机或电脑一样，路由器也需要维护。
更糟糕的是，被入侵的路由器不仅仅会影响性能。它还可能被用作僵尸网络的一部分，执行…… 分布式DDoS, 操纵DNS将您重定向到虚假的银行或社交媒体网站或者允许中间人攻击你的通信。
简而言之：保护路由器就是保护您的网络、您的设备，而且在很多情况下， 你的数字身份和你的钱包值得花些时间研究一下。
路由器配置错误的风险
如果路由器配置保持出厂时的默认设置，或者随意更改，那么问题就远不止连接速度慢那么简单了。 主要网络风险可分为以下几类 这一点需要牢记。
最直接的影响之一是未经授权的网络访问。入侵者一旦连接到你的 Wi-Fi，就可以…… 消耗您的带宽，使网络饱和，导致网络中断或速度大幅下降。虽然这很烦人，但这几乎是我们遇到的问题中最轻微的一个。
网络信息泄露的危害要严重得多。安全防护薄弱的路由器很容易让不法分子拦截流量、嗅探信息或窃取数据。 监控您访问的页面、使用的服务，甚至窃取凭据和敏感数据尤其是在访问加密不足的网站或使用不安全的协议时。
如果攻击者成功攻破路由器，他们就能控制整个本地网络，从而达到目的。 访问共享文件、摄像头、麦克风或连接的存储系统通过这种方式，可以监视设备、定位设备、提取照片或文档，甚至使用恶意软件阻止它们。
另一个令人担忧的情况是臭名昭著的DNS劫持。攻击者会修改路由器上配置的DNS服务器，这样当你输入网上银行或社交网络的网址时， 你最终进入的不是正规网站，而是一个旨在窃取你的用户名和密码的假冒网站。在你看来“一切似乎都很正常”，但实际上你是在和网络罪犯对话。
别忘了法律风险：如果有人利用你的网络连接发送大量垃圾邮件、发起拒绝服务（DoS/DDoS）攻击或下载非法内容， 将被记录的 IP 地址是您路由器的 IP 地址。证明这件事不是你做的，真是件让人头疼的事。
最后，许多恶意软件攻击活动会瞄准存在漏洞的路由器，将其变成僵尸网络。一旦感染，您的计算机可能会遭受攻击。 在参与协同攻击时，你的表现会大幅下降而这一切，你除了网络连接不稳定之外，似乎什么都没注意到。
在进行任何操作之前：请先访问并备份设置。
在开始更改设置之前，最好按部就班地进行操作。第一步是安全地访问路由器的控制面板，如果可能的话， 保存当前配置的副本，以防需要恢复到之前的状态。.
理想情况下，如果您的电脑离路由器很近，您应该使用以太网线连接电脑。 有线连接可以避免干扰，并降低意外连接到公共或不熟悉的 WiFi 网络的风险。 在调整灵敏度设置时，如果只能使用 Wi-Fi，请确保连接到您自己的网络。
在大多数情况下， 访问路由器 这是通过在浏览器中输入地址来完成的，例如： 192.168.1.1或192.168.0.1该信息通常位于设备底部或背面的标签上，标签上还会附有默认的管理员用户名和密码。
如果没有标签或说明书，您可以上网搜索路由器的确切型号（通常由您的运营商提供：Movistar、Orange、Vodafone、Jazztel 等）。 请参阅官方指南在许多旧型号中，默认凭据是 admin/admin、admin/1234 或类似组合，这显然需要尽快更改。
双重验证：保护账户的完整指南进入管理面板后，找到以下选项： 导出或保存当前设置并非所有路由器都支持此功能，但如果您的路由器有此选项，请使用它。这样，如果测试失败或您更改了某些设置导致连接中断，您可以恢复到之前的状态。
更新固件：堵住漏洞的第一步
制造商和运营商都会发布新的固件版本，以增加功能、提高性能，以及 修复可能被攻击者利用的漏洞如果你多年来一直使用同一款路由器，并且从未进行过更新，那么你很可能已经遇到了已知漏洞。
根据型号的不同，更新过程可以是自动的，也可以是手动的。许多现代路由器在管理菜单中都有“检查更新”选项，甚至还有一些路由器配备了手动更新功能。 一款用于检查和启动更新的移动应用程序在其他情况下，您需要从官方网站下载文件，然后手动从面板上传。
在互联网服务提供商提供的路由器上，更新通常是远程推送的，一般在清晨，这很容易被注意到，因为 电脑会不时自动重启。即便如此，最好还是进入控制面板，检查一下你安装的固件版本是否与你型号的最新固件版本相符。
在进行此操作的同时，请确保您的设备（PC、手机、平板电脑）也已更新至最新版本，因为可能会出现许多 WiFi 兼容性或安全问题。 只要保持路由器及其连接设备的更新状态，就能减少这些问题。.
WiFi 安全：网络名称、加密方式和密码
下一个主要领域是无线网络安全。这涉及三个关键要素： 网络名称（SSID）、加密方式和 WiFi 密码他们共同决定第三方试图潜入的难易程度。
首先，从网络名称入手，最好避免使用默认的 SSID。许多路由器都带有类似 MOVISTAR_XXXX、JAZZTEL_1234、Livebox-ABCD 等的标识符。这些标识符会透露路由器的型号和运营商信息，而这些信息可能会泄露路由器的型号和运营商信息。 这使得攻击者更容易搜索通用凭据或利用特定漏洞。将 SSID 更改为不会识别您身份、不会泄露您的设备品牌或位置的名称。
关于加密，目前推荐的做法是使用 WPA3-Personal，前提是您的路由器和设备支持它。这是目前最先进、最可靠的标准。如果该选项不可用，至少要配置 WPA2-Personal (AES)。务必避免使用 WEP、旧版 WPA 或混合模式（例如 WPA/WPA2 与 TKIP），因为它们不安全，在某些情况下甚至会降低性能。
您的WiFi密码应该强而独特。不要使用您的名字、您爱犬的名字或“Madrid2024”。理想情况下，创建一个 一张长长的按键，上面混合了大写字母、小写字母、数字和符号。这与您的网络名称或个人信息没有直接关系。密码管理器可以大大简化这项任务。
如果你的服务提供商给你的路由器上贴着一张随机密钥的标签，这或许可以作为起点，但最好还是换成你自己可以控制的密钥。 这无法直接从 SSID 本身推断出来。如果您忘记了密码，您可以随时将路由器重置为出厂设置，但需要注意的是，之后您需要重新配置所有内容。
关于隐藏 SSID，需要记住一点： 它实际上无法提供任何真正的安全保障。“隐藏”网络会持续广播，并且可以使用基本的 Wi-Fi 分析工具检测到。此外，它们会强制您的设备不断广播其名称，这可能会泄露您的隐私。最好的办法是让您的网络保持可见，并专注于使用强加密和设置强密码。
制造商和苹果公司推荐的安全设置
一些制造商，特别是苹果公司（针对其生态系统），会发布相当清晰的指南，说明应该使用哪些参数来避免“不安全的网络”或“安全性弱”的警告。 应用这些标准通常可以提高连接的安全性和稳定性。.
关于无线安全，建议尽可能使用 WPA3-Personal 或其他模式。 WPA2/WPA3 过渡 如果您同时拥有新旧设备，或者两者都无法使用，那么最低可接受的方案是使用 AES 加密的 WPA2-Personal 加密。
强烈建议不要单独使用 WPA 等旧协议、WEP（即使是与 802.1X 结合使用的“动态”变体也不行）或任何包含以下内容的配置： TKIP 以加密的名义这些选项不仅存在安全隐患，还可能导致新设备出现性能问题和持续发出警报。
此外，建议在典型的家庭网络中，同一路由器的所有频段（2,4 GHz、5 GHz 以及如果适用的话，6 GHz）共享同一个 SSID。 给每个频段起不同的名字可能会导致设备连接不正常，或者随机从一个频段跳到另一个频段。这一点在移动设备上尤其容易出现问题。
另一个会在 iPhone、iPad 或 Mac 上触发警报的问题是阻止 加密DNS如果您的路由器或网络服务提供商不允许使用 HTTPS 或 TLS 进行 DNS 解析，某些系统会显示警告。在这种情况下，请更新固件，检查推荐的安全设置，并在必要时进行其他操作。 联系你的网络服务提供商或切换到更现代的公共DNS。 这通常是摆脱困境的方法。
关于系统服务，苹果公司坚持要求在其设备上启用无线网络的位置服务，因为每个国家的法规都限制了信道和发射功率。 如果完全禁用 WiFi 相关定位服务，您可能无法看到附近的网络。使用隔空投送、隔空播放或连接到稳定的接入点。
路由器管理：管理员密码、远程访问和WPS
路由器设置中最关键的设置之一，也是许多人容易忘记的，就是路由器的管理员密码。这不是 Wi-Fi 密码，而是用于访问控制面板的密码。 保留默认值实际上就是在邀请任何人尝试。.
通常情况下，首次登录时，您会看到类似 admin、1234 甚至空白的用户名。登录后，您应该做的第一件事是转到“管理”、“安全”或“高级设置”部分，然后 将管理员密码更改为强密码且唯一密码。如果你的路由器允许，也请更改用户名；不要保留默认的“admin”。
高级网状 VPN 网络：企业完整指南与此密切相关的是 远程访问 连接到控制台。某些型号允许您通过互联网从本地网络外部管理路由器。如果您管理多个设备或需要在工作场所访问路由器，这会很方便，但对于家庭用户来说，这通常是一种不必要的风险。
如果没有特别的需求，请禁用远程管理。在许多路由器上，如果您想完全阻止远程管理，可以将管理 IP 地址设置为 0.0.0.0 或 255.255.255.255，或者直接取消选中安全菜单中的“远程管理”复选框。 你向互联网暴露的渠道越少越好。.
另一个敏感点是 Wi-Fi 保护设置 (WPS)这项功能旨在方便新设备的连接，用户可以通过按下物理按钮或输入8位数的PIN码进行连接。但问题在于，这种PIN码容易受到暴力破解攻击，从而大幅降低WPA2加密的安全性。
尽可能进入路由器的WPS菜单并将其禁用。连接新设备确实会花费更长时间（您需要输入密码），但是 主动式 WPS 带来的风险远不及它所带来的所谓便利。如果需要连接中继器或PLC，只需连接一次即可。
防火墙、NAT、端口和UPnP：控制进出流量
路由器“用户友好”界面背后隐藏着一系列网络功能，这些功能决定了路由器如何与互联网通信。其中最重要的功能包括： 防火墙、网络地址转换 (NAT)、端口管理以及 UPnP 等服务.
几乎所有现代路由器都包含一个内置防火墙，该防火墙能够…… 根据安全规则过滤传入和传出的流量建议启用此功能，仅在确实需要用于在线游戏、家庭服务器、IP 摄像头或其他特定服务时才打开特定端口。
NAT（网络地址转换）功能是将您内部网络上的私有 IP 地址转换为您的互联网服务提供商分配给您的公共 IP 地址。通常情况下，只有路由器才会执行此转换。 如果您在多个设备上启用了 NAT（例如，在调制解调器上启用，然后在另一个路由器上启用）你可能会遇到臭名昭著的“双重NAT”问题——为了避免它，请看如何操作。 连接两个路由器 正确地
当我们谈到打开或关闭端口时，指的是指定允许哪些类型的互联网连接进入你的网络。路由器理论上有 65.536 个端口；默认情况下，大多数端口是关闭的。 您应该只打开绝对必要的端口，并在不再使用时将其关闭。因为开放的、未使用的端口会给攻击者带来可乘之机。如果您不确定，请参考相关指南。 在路由器上打开端口 以安全的方式
UPnP（通用即插即用）是另一种危险的便利技术。它允许本地网络上的应用程序和设备自动打开和关闭路由器上的端口，而无需您进行任何配置。这听起来不错，但是…… 如果恶意软件安装在您的电脑或游戏机上，它可以利用 UPnP 在您不知情的情况下访问互联网。许多人更喜欢禁用 UPnP 并手动管理所需的端口。
一些路由器还提供“DMZ主机”功能：本质上是指定一个对外部网络更开放（过滤更少）的内部IP地址。此功能仅在非常特定且受控的场景下才有意义。 在普通的家庭环境中，完全不使用DMZ要安全得多。.
需要监控的 DHCP、DNS 和其他网络设置。
除了无线网络方面，还有一些网络设置值得检查，以避免冲突并减少攻击面。主要包括： DHCP 服务器、DNS 配置以及一些参数，例如无线电模式或信道宽度。.
路由器的DHCP服务器负责为每个连接的设备分配内部IP地址。通常情况下，网络中只有一个DHCP服务器。 如果您不小心在另一台设备上也启用了 DHCP（例如，处于错误模式的第二个路由器）您可能会遇到 IP 冲突，导致设备无法浏览互联网或资源不可用。
DHCP 租约时间表示 IP 地址为特定设备保留的时间。如果您有很多设备连接和断开连接，这将非常有用。 稍微缩短这个时间，以便地址能更快地回收利用。在普通家庭中，默认值通常就足够了。
关于DNS，路由器通常使用您的互联网服务提供商的服务器，并将解析结果分发给客户端。您可以 更改路由器上的 DNS 设置 如果您想使用速度更快的公共 DNS 服务器或对加密查询支持更好的服务器，请注意：如果您配置的 DNS 服务器不支持加密 DNS，而您的设备需要该功能，则可能会收到隐私警告。
关于WiFi无线模式（802.11n、ac、ax等）和频段（2,4 GHz、5 GHz、6 GHz），通常来说，这样做是个好主意 保持所有兼容模式启用这样，每个设备都会使用其支持的最新版本。但是，在 2,4 GHz 频段，建议将信道宽度设置为 20 MHz，以减少对蓝牙和其他附近网络的干扰。
在 5 GHz 和 6 GHz 频段，您可以启用更高的带宽和自动信道选择功能，以更好地利用数据容量。如果您的路由器无法很好地处理自动信道选择，您可以…… 手动测试不同的频道，选择干扰最小、最稳定的频道。尤其是如果你住在周围有很多网络设施的大楼里。
MAC地址过滤、客户端隔离和白名单/黑名单
许多路由器都包含额外的访问控制功能，例如 MAC 地址过滤、Wi-Fi 客户端隔离和白名单/黑名单。虽然这些功能各有用途， 了解自己的极限很重要，这样才不会变得过于自信。.
MAC地址是每个设备网卡的唯一标识符。MAC过滤允许你指定“哪些设备可以连接，哪些设备不能连接”。理论上，这听起来像是完全控制，但实际上并非如此。 任何具备中等技术水平的攻击者都可以伪造合法的 MAC 地址。因此，不应将此机制作为唯一的安全屏障。
如何检测人工智能生成的网络钓鱼：迹象、风险和防御白名单（仅允许某些设备）和黑名单（阻止特定设备）可以作为额外的安全层。 弹出您在网络上检测到的不需要的设备或者，在您控制所有硬件的环境中，限制哪些人可以连接。但始终要配合良好的加密技术和强密码。
WiFi客户端隔离（有时也称为“AP隔离”或“客户端隔离”）可防止连接到同一无线网络的设备相互感知。这在以下情况下尤其重要： 访客网络或公共区域例如，您不希望一位顾客的笔记本电脑能够扫描另一位顾客的手机。
在家中访客网络上启用此隔离功能，可以降低访客携带感染病毒的笔记本电脑攻击您其他设备的风险。但是，如果您依赖文件共享、使用网络打印机或向智能电视串流内容，则可能不希望在主网络上启用此功能。
简而言之，这些功能是全球战略中的有用工具： 它们不能替代现代加密技术或强密码。但它们有助于微调谁可以联系以及团队之间如何互动。
访客网络、访问控制和负责任的使用
保持网络整洁有序的最佳实践之一是将主要设备的流量与访客、不太可靠的设备或智能家居设备的流量分开。这就是网络适配器的作用。 访客 WiFi 网络几乎所有现代路由器都允许你创建此功能。
思路很简单：在路由器菜单中启用第二个无线网络，设置其自身的名称和密码，并指定该网络是否可以访问内部网络上的其他设备，还是只能访问互联网。最明智的做法是…… 访客只能访问网络，但无法查看您的计算机、NAS 或打印机。.
这个访客网络非常适合来访的客人、不太注意下载内容的儿童或青少年，以及那些不太可靠的“廉价”物联网设备，例如： 来自不知名品牌的智能灯泡、WiFi插座或摄像头即使其中任何一个环节受到损害，潜在的损失也相当有限。
一些路由器还允许您限制访客网络的带宽或过滤某些内容。这样您就可以…… 防止有人肆意下载而占用整个网络连接 或者屏蔽不适合未成年人访问的网站。这些限制通常可以在家长控制或服务质量 (QoS) 设置中找到。
另一个好习惯是 请不时更改您的 WiFi（或访客网络）密码尤其是如果你已经和很多人共享了密码。虽然没必要过于谨慎，但定期更改密码可以降低旧密码泄露或被记录在不安全地方的风险。
最后，请记住路由器并非坚不可摧或万无一失。 如果您几天都不打算使用它（长途旅行、度假等），将其完全关闭可以消除攻击面。除了节省一些能源外，这也是终极安全措施：关闭的设备不会被黑客入侵。
网络安全监控、维护和习惯
正确设置路由器固然重要，但安全并非一成不变。随着时间的推移，新的漏洞会出现，您会添加新的设备，您的使用习惯也会发生变化……因此，定期更新至关重要。 定期回顾某些方面并养成良好的使用习惯.
定期（例如每月一次）登录路由器的控制面板，检查已连接设备列表，包括有线和无线设备。如果您看到不认识的名称或 MAC 地址， 您的网络可能已被入侵。在这种情况下，请立即更改您的 WiFi 密码，考虑启用 MAC 地址过滤，并检查其他安全设置。
有一些网络扫描应用程序和工具可以帮助您。 创建设备清单，检测开放端口，并提醒您注意潜在漏洞。许多现代路由器甚至集成了“安全分析”功能，可以检查自身的配置以及所连接设备的配置。
别忘了，即使你的路由器很安全，过时或受感染的设备同样也是危险的入侵点。 您的所有操作系统、浏览器和应用程序均已更新至最新版本并在计算机和移动设备上使用可靠的安全解决方案。
如果您特别关注浏览时的隐私，请考虑以下事项： VPN直接安装在路由器上 这或许会很有意思。这样一来， 所有离开您网络的流量都会通过加密隧道传输到 VPN 提供商。但是，需要正确配置，并且您应该记住，它可能会影响性能。
归根结底，关键在于将良好的初始设置与最少的监控和更新相结合。 你不需要成为专家也能保持相当高的安全水平。 如果你花些时间了解一些基本知识，并且不要让路由器闲置多年。
花些时间检查固件、调整 WiFi 加密、更改默认密码、禁用不必要的访问（例如 WPS 或远程管理），并充分利用访客网络或内置防火墙等功能，可以将一台“普通”路由器变成…… 更可靠的连接、设备和个人信息守护者.
相关文章：网络、路由器和配置教程完整指南
目录
为什么保护路由器设置如此重要？路由器配置错误的风险在进行任何操作之前：请先访问并备份设置。更新固件：堵住漏洞的第一步WiFi 安全：网络名称、加密方式和密码制造商和苹果公司推荐的安全设置路由器管理：管理员密码、远程访问和WPS防火墙、NAT、端口和UPnP：控制进出流量需要监控的 DHCP、DNS 和其他网络设置。MAC地址过滤、客户端隔离和白名单/黑名单访客网络、访问控制和负责任的使用网络安全监控、维护和习惯