加固 Wi-Fi 路由器

除了选择强加密之外，您还可以应用许多实用设置来加固无线路由器，使其更难遭受攻击。加固意味着减少攻击者入侵或滥用网络的途径。本课将介绍管理员应采取的具体且与考试相关的步骤，帮助您保护 Wi-Fi 路由器，内容涵盖密码到固件。

先从基础设置开始：启用 WPA3；如果没有 WPA3，则使用采用 AES 的 WPA2，绝不要使用 WEP 或 WPA-TKIP。然后设置一个强度高且唯一的密码短语，长度足够长且随机，不要使用词典中的单词或默认密码。即使使用 WPA2，弱 PSK 也可能在离线状态下被破解，因此密码短语的质量会直接决定网络的实际安全程度。

路由器出厂时通常使用广为人知的默认管理员用户名和密码，例如 admin/admin；每种型号的这些信息都可能已发布在网上。能够访问管理员页面的攻击者可以接管路由器。请立即更改默认管理员凭据，换成强度高且唯一的密码。这可以保护路由器自身的配置，与用户连接 Wi-Fi 时使用的密码短语是两回事。

路由器固件包含运行 device 的软件，并且会随着时间推移获得安全修复。过时的固件可能存在已知且可被利用的漏洞。请定期更新固件以修补这些漏洞；如果支持自动更新，也请启用该功能。即使其他设置都很完善，未修补的路由器仍然容易成为攻击目标，因此保持固件为最新版本至关重要。

WPS（Wi-Fi 保护设置）允许用户按下按钮或输入较短的 PIN 来连接网络。这虽然方便，但 PIN 方法存在众所周知的安全问题：攻击者可以通过暴力破解 8 位 PIN 来获取 Wi-Fi 密码。最佳做法是禁用 WPS，尤其要禁用 PIN 功能，从而移除一条可以绕过强密码短语的便捷攻击路径。

为访客设置单独的访客网络。它可以提供互联网访问，同时将访客与您的主要网络 device 隔离，这样访客就无法访问您的计算机、打印机或共享文件。这种隔离也能限制任何已被入侵的访客 device 所造成的影响。使用独立密码的访客网络，是限制不可信用户暴露风险的简单而有效的方法。

请考虑您的 SSID（网络名称）。避免使用会透露个人信息或路由器型号的名称，因为这些信息可能帮助攻击者。有人建议隐藏 SSID（不广播 SSID），但它几乎不能提供真正的安全性：名称仍然可以被发现，而且还可能使连接变得复杂。强加密的重要性远高于隐藏网络名称。

MAC 过滤只允许列出的 device 硬件地址进行连接。它听起来很安全，但保护作用很弱，因为攻击者只要嗅探到一个有效地址，就可以轻易伪造 MAC 地址。它还可能带来管理上的麻烦。最多只能把 MAC 过滤看作一道很小的障碍，绝不能用它替代强加密和身份验证。

现在把这些内容整理成一份检查清单。下面的代码片段概括了最有价值的步骤。将这些措施结合使用，可以大幅缩小无线网络的攻击面。最重要的措施是使用强加密和强密码短语、更改管理员凭据、更新固件以及禁用 WPS；其余措施则提供有用的纵深防御。

许多路由器提供远程管理功能，允许您从互联网访问管理员页面。这虽然方便，但会让全世界的攻击者都能发现并尝试攻击路由器登录页面。除非确实需要，否则请禁用远程管理，使管理界面只能从您自己的网络内部访问。同时关闭其他未使用的服务，例如不需要时关闭 UPnP，以进一步缩小攻击面。

加固可以将一台默认且容易受攻击的路由器变成难以攻破的目标。请使用带有强密码短语的 WPA3 或 WPA2-AES，更改默认管理员凭据，更新固件，禁用 WPS，并添加访客网络。请了解，MAC 过滤和隐藏 SSID 只能提供有限帮助。综合采取这些措施，是保护任何无线网络的实用且经过考试验证的方法。

测试您对加固措施的掌握程度。

通过分层措施加固 Wi-Fi 路由器：启用带有强度高且唯一的密码短语的 WPA3 或 WPA2-AES；更改默认管理员凭据；定期更新固件；禁用 WPS（PIN 可以被暴力破解）；并添加隔离的访客网络。请了解，MAC 过滤（可被伪造）和隐藏 SSID只能提供有限的安全性。最有效的措施是强加密、强密码短语、已修补的固件以及禁用 WPS。