路由器的安全策略

路由器安全策略的核心不是“设一个复杂WiFi密码”，而是把攻击面压到最小：管理面不暴露、固件能更新、无线加密到位、端口按需开放、异常可发现、配置可恢复。家庭或小办公室至少完成六件事：修改管理员密码、关闭WAN侧管理、启用自动更新、使用WPA3或WPA2-AES、关闭WPS、按需关闭UPnP与端口映射。做不到全部时，优先处理前三项。

一、管理面与上网面分开

适用场景：任何路由器。判断标准：从公网无法打开管理页，内网管理页不响应ping或只允许指定设备。步骤：登录管理后台，修改默认管理员用户名/密码，密码独立于WiFi密码；找到“远程管理/云管理/WAN访问”，关闭或限制源IP；关闭“允许从WAN Ping”；若厂商云服务非必需，解绑或关闭。注意：不要用默认admin/admin；不要把管理端口映射到公网；需要外网管理时用VPN，而非暴露HTTP页。

二、固件与账号：把更新当日常

适用场景：所有在用路由器，尤其是Mesh和运营商光猫路由一体机。判断标准：固件为厂商最新稳定版，且设备未停止支持。步骤：开启自动更新；每月手动检查一次；订阅厂商安全公告；更新前备份配置。账号策略：管理员密码12位以上、唯一；禁用未使用的账号；开启两步验证（若支持）。注意：已停止支持（EOL）的设备不再收到补丁，应更换；运营商设备可要求桥接或改管理员密码。

三、无线加密与访客网络

判断标准：无线使用WPA3-SAE，或WPA2-AES/CCMP过渡；禁用WEP、TKIP、WPS。步骤：SSID用正常名称，不依赖隐藏；关闭WPS/QSS/PBC；访客网络开启AP隔离/客户端隔离，设置独立密码和限速；IoT设备优先放访客网络或独立SSID。注意：隐藏SSID不会阻止扫描，还可能影响漫游；访客网络不能访问内网管理页和NAS；若路由器支持VLAN，可把访客/IoT与主网络分段。

四、远程访问、端口与UPnP

适用场景：需要在外访问NAS、摄像头、游戏联机。判断标准：公网开放端口越少越好，DMZ必须关闭。步骤：先查“端口转发/虚拟服务器/UPnP映射表”，删除不认识规则；UPnP按需开启，用完关闭；远程访问优先VPN（WireGuard、IPSec、OpenVPN）而非端口映射；必须映射时限制源IP、改外网端口、只开必要协议。注意：摄像头、NAS管理页不要直接暴露公网；IPv6防火墙同样要设默认拒绝入站，不要只盯IPv4。

五、设备可见性、日志与恢复

判断标准：能列出当前客户端，能识别未知设备，能恢复配置。步骤：每周或每月查看DHCP客户端列表、系统日志、流量统计；发现陌生设备先改WiFi密码、踢出设备、查端口映射；导出配置并加密保存；记录宽带账号、管理地址、固件版本。注意：日志容量有限，关键事件及时截图；恢复出厂后必须重做上述策略，不能沿用旧密码。

六、特殊场景：AP模式、Mesh与旧设备

适用场景：多路由组网、旧路由当扩展。步骤：路由器当AP时关闭DHCP和NAT，保留无线AP功能，LAN口接主路由LAN，管理IP设为主网段未用地址；Mesh节点固件保持一致，关闭WPS和远程管理；旧设备只当交换机/AP，不承担路由和防火墙。注意：双重NAT会引入端口映射问题；若主路由不支持VLAN，至少用访客网络隔离IoT。物理层面：把路由器放在不易被随意重置的位置，留意重置按钮。 安全策略要能执行和复查。建议每季度花10分钟：检查固件、管理入口、端口映射和客户端列表；出现异常先断网、改密码、查映射、恢复备份。路由器不是设完就忘的设备，持续维护比单次“高强度密码”更有效。