wifi安全防护怎么做

判断一套WiFi是否安全，先看四个硬指标：管理后台是否改过默认密码、加密是否使用WPA2-AES或WPA3、是否把访客和智能设备分开、固件是否保持更新。四项中任何一项缺失，都建议尽快处理。WiFi安全不是装一个“防蹭网”功能就结束，而是把路由器、密码、网络分区和设备习惯一起管起来。

先改掉路由器最容易被利用的默认设置

新路由器到手后，不要直接插电就用。攻击者常尝试默认管理地址、默认账号和默认WiFi名称，因此第一步是进入管理后台完成以下操作：

• 修改管理员密码，使用独立的高强度密码，不与WiFi密码相同。
• 修改默认SSID，避免暴露路由器型号或门牌号。
• 关闭WPS一键连接。WPS的PIN码机制可能被暴力尝试，若必须使用，选择按钮配对并用完即关。
• 关闭远程管理、云管理或“从互联网访问路由器”功能，除非你明确需要并设置了强认证。
• 检查UPnP。它方便游戏和下载，但也可能让内网设备被意外暴露；不需要时关闭。
• 更新固件，并开启自动更新。若厂商已停止支持，建议更换路由器。

判断标准很简单：如果别人知道你的WiFi名称，能否在不知道密码的情况下通过WPS或默认后台进入？能，就是高风险。

加密方式选WPA3或WPA2-AES，别用WEP和TKIP

家用网络优先选择WPA3-Personal；若家中有较旧设备不兼容，可选WPA2/WPA3混合模式，或单独为旧设备开一个WPA2网络。企业或办公场景应使用WPA2/WPA3-Enterprise配合802.1X认证，而不是把统一密码发给所有人。 设置时注意：

• 加密算法选AES，不要选TKIP或WEP。WEP几分钟内就可能被破解，TKIP也已过时。
• WiFi密码至少12位，混合大小写、数字和符号，不要用手机号、生日、门牌号。
• 若路由器支持802.11w管理帧保护（PMF），在WPA3下建议启用；混合模式可能为兼容旧设备而降低保护。
• 定期更换访客密码，但主密码不必频繁更换，除非怀疑泄露。

密码强度比频繁改密码更重要。一个长而唯一的密码，通常比每月改成难记短密码更有效。

把网络分区：主网络、访客网络、IoT网络

家庭网络最实用的安全提升之一，是不要把手机、电脑、摄像头、智能音箱全放在同一个网络里。建议至少分三个SSID：

• 主网络：只给常用手机、电脑、NAS等需要互访的设备。
• 访客网络：给来访亲友、临时设备。开启客户端隔离，限制访问内网设备。
• IoT网络：给摄像头、扫地机器人、智能家电。设置独立密码，禁止访问主网络。

设置后要验证：连接访客WiFi，尝试访问NAS、打印机或路由器后台，如果还能访问，说明隔离未生效。IoT设备若支持，关闭不必要的远程访问和P2P直连功能。部分路由器把访客网络和IoT网络混在一起，购买或设置时看清是否支持VLAN、访客隔离和访问控制。

公共WiFi：默认把它当作不可信网络

在咖啡厅、酒店、机场连接公共WiFi时，最稳妥的做法是使用手机热点。如果必须使用公共WiFi：

• 关闭手机、电脑的“自动加入开放网络”功能，避免在不知情时连上同名假热点。
• 不登录网银、公司邮箱、社交账号等敏感服务；必须登录时确认网址为HTTPS，并尽量开启VPN。
• 遇到强制跳转的认证页面，不要输入重要账号密码；只输入商家提供的验证信息。
• 关闭文件共享、AirDrop的“所有人”可见、网络发现等功能。
• 离开后选择“忘记此网络”，避免设备自动回连。

公共WiFi的风险不只来自加密，还来自同一网络中的其他设备。即使网络有密码，也不代表它可信。

日常维护与监控：更新、最小权限、看设备列表

路由器安全需要少量但持续的维护。建议每季度做一次检查：

• 查看已连接设备列表，识别未知设备。发现陌生设备后，先改WiFi密码，再检查是否有人使用过访客网络。
• 关闭不用的功能，如远程Web管理、Telnet、FTP、打印服务器、USB共享。
• 为路由器管理后台设置仅局域网访问，必要时绑定固定管理IP。
• 不在社交平台晒出包含WiFi密码或路由器界面的照片。
• 如果使用Mesh或扩展器，确保每个节点都更新固件，且没有使用默认管理密码。

MAC地址过滤只能防误连，不能作为安全边界，因为MAC地址可以被伪造。它适合作为辅助，不应替代加密和强密码。

办公或高要求场景：认证、隔离和日志

办公室、工作室或对隐私要求较高的家庭，建议采用更完整的方案：使用WPA2/WPA3-Enterprise和RADIUS服务器，为不同部门或角色分配VLAN；访客网络只允许上网，不能访问内网；关闭路由器上的交换口或限制私接路由器；保留认证和连接日志，便于排查异常。若没有专业网管，可选择支持VLAN、防火墙规则和访客门户的企业级AP，并定期审查规则。 高要求场景的判断标准是：员工设备之间是否需要互访？访客能否进入内网？能否追溯某台设备何时接入？如果答案不清晰，就还有优化空间。

小结

WiFi安全防护的优先级可以这样排：先改默认管理密码和关闭WPS，再启用WPA3或WPA2-AES并设置强密码，然后做访客和IoT网络隔离，最后养成公共WiFi谨慎连接、定期更新固件和检查设备列表的习惯。不需要一次性做到最复杂，但每完成一项，实际风险都会下降。每季度花十分钟检查一次，通常比出事后再补救更省力。