วิธีตั้งค่าเราเตอร์ Wi-Fi ที่บ้านให้ปลอดภัย

เราเตอร์ที่บ้านเป็นจุดเชื่อมระหว่างทุกอย่างที่คุณมีกับอินเทอร์เน็ต ไม่ว่าจะเป็นมือถือ โน้ตบุ๊ก ทีวี กล้องวงจรปิด ลำโพงอัจฉริยะ หรือแท็บเล็ตเครื่องเก่าที่ลืมไปแล้ว ทุกชิ้นต้องไว้ใจเราเตอร์ตัวนี้ แต่คนส่วนใหญ่ใช้วิธีเสียบปลั๊ก กรอกรหัส Wi-Fi ครั้งเดียว แล้วไม่เคยเปิดหน้าตั้งค่าอีกเลย ซึ่งน่าเสียดาย เพราะการปรับแค่ไม่กี่อย่าง ใช้เวลาอย่างละไม่กี่นาที ก็ปิดช่องทางที่ถูกใช้โจมตีเครือข่ายบ้านบ่อยที่สุดไปได้มาก

บทความนี้เป็นเช็กลิสต์ที่ลงมือทำตามได้ ครอบคลุมรหัสผ่านแอดมิน การเข้ารหัส Wi-Fi การอัปเดตเฟิร์มแวร์ ฟีเจอร์ที่ควรปิด เครือข่ายแขก การตรวจรายชื่ออุปกรณ์ที่เชื่อมต่อ DNS ของเราเตอร์ และช่วงท้ายจะพูดถึงว่า VPN บนเราเตอร์ช่วยตรงไหนและไม่ช่วยตรงไหน ชื่อเมนูของแต่ละยี่ห้อและแต่ละเวอร์ชันไม่เหมือนกัน ให้ถือคำในบทความเป็นแนวทาง หากเมนูของคุณใช้ชื่ออื่นให้ดูคู่มือหรือหน้าสนับสนุนของผู้ผลิตประกอบ

ทำไมเราเตอร์จึงสำคัญ

เราเตอร์คือคอมพิวเตอร์เครื่องเล็กที่รันซอฟต์แวร์ และซอฟต์แวร์ย่อมมีข้อผิดพลาด ผู้ไม่หวังดีรู้ดีว่าเราเตอร์ตามบ้านจำนวนมากยังใช้เฟิร์มแวร์เก่าและรหัสผ่านเริ่มต้นหรือรหัสที่เดาง่าย ปัญหาที่พบบ่อยคือมีคนเดารหัสแอดมินได้ อุปกรณ์ในเครือข่ายถูกนำไปใช้ในทางที่คุณไม่ได้ตั้งใจ หรือมีคนแอบเปลี่ยนค่า DNS ทำให้คุณเข้าเว็บปลอมโดยไม่รู้ตัว และไม่จำเป็นว่าคุณต้องเป็นเป้าหมายสำคัญอะไร เพราะการสแกนอัตโนมัติจะลองกับทุกเครื่องที่เข้าถึงได้

ข่าวดีคือส่วนใหญ่คุณไม่ได้สู้กับผู้เชี่ยวชาญ คุณแค่ต้องทำให้ตัวเองเป็นเป้าที่ยากกว่าบ้านถัดไป ซึ่งเช็กลิสต์ด้านล่างทำได้ตรงจุดนั้น

รหัสผ่านที่ต้องแยกให้ออกมีสองตัว และคนมักสับสนกัน

• รหัส Wi-Fi คือรหัสที่คุณพิมพ์บนมือถือหรือโน้ตบุ๊กเพื่อเข้าเครือข่าย
• รหัสแอดมิน คือรหัสที่ใช้เปิดหน้าตั้งค่าของเราเตอร์ โดยปกติเปิดผ่านเบราว์เซอร์ด้วยที่อยู่ที่พิมพ์ไว้บนสติกเกอร์ของเราเตอร์

ทั้งสองตัวต้องดูแล และไม่ควรเป็นรหัสเดียวกัน

ขั้นที่ 1 เปลี่ยนรหัสแอดมินเริ่มต้น

เราเตอร์หลายรุ่นมาพร้อมชื่อผู้ใช้และรหัสผ่านที่เหมือนกันกับเครื่องอื่นอีกเป็นพันเครื่อง หรือพิมพ์ไว้ใต้ตัวเครื่อง ถ้าคุณไม่เคยเปลี่ยน ใครก็ตามที่เข้าเครือข่ายบ้านได้ เช่น แขก เพื่อนบ้านที่เคยขอรหัส Wi-Fi หรืออุปกรณ์ที่ถูกแฮก ก็อาจเปิดหน้าตั้งค่าของคุณได้

วิธีเปลี่ยน

1. เชื่อมต่อเครือข่ายที่บ้าน แล้วเปิดหน้าตั้งค่าของเราเตอร์ในเบราว์เซอร์ ที่อยู่และรหัสเริ่มต้นมักอยู่บนสติกเกอร์หรือในคู่มือ
2. มองหาเมนูอย่าง Administration, System, Management หรือ Account ชื่อจะต่างกันตามยี่ห้อและเวอร์ชัน
3. ตั้งรหัสแอดมินใหม่ที่ยาวและไม่ซ้ำกับที่ไหน วิธีง่ายๆ คือใช้วลีสั้นๆ ที่ประกอบจากหลายคำที่ไม่เกี่ยวข้องกัน อย่าใช้ซ้ำกับรหัส Wi-Fi หรือรหัสของบัญชีอื่น
4. ถ้าเราเตอร์ให้เปลี่ยนชื่อผู้ใช้แอดมินจากค่าเริ่มต้นได้ ให้เปลี่ยนด้วย
5. เก็บรหัสใหม่ไว้ในโปรแกรมจัดการรหัสผ่าน หรือจดเก็บไว้ในที่เป็นส่วนตัวในบ้าน อย่าแปะไว้บนตัวเราเตอร์

หากลืมรหัสแอดมินจริงๆ เราเตอร์ส่วนใหญ่รีเซ็ตกลับค่าโรงงานได้ แต่การรีเซ็ตจะลบชื่อ Wi-Fi รหัส และการตั้งค่าอื่นทั้งหมด คุณต้องตั้งใหม่เองทั้งหมด

ขั้นที่ 2 เลือกโหมดความปลอดภัยของ Wi-Fi ให้เหมาะสม

โหมดความปลอดภัยของ Wi-Fi กำหนดวิธีเข้ารหัสสัญญาณไร้สายระหว่างอุปกรณ์กับเราเตอร์ โดยทั่วไปจะอยู่ในเมนู Wireless, Wi-Fi หรือ Security สรุปง่ายๆ ได้ดังนี้

โหมด	ความหมาย	คำแนะนำ
เปิดโล่ง (ไม่มีรหัส)	ใครก็เข้าได้ และไม่มีการเข้ารหัสระดับ Wi-Fi	ไม่ควรใช้ที่บ้าน
WEP	เก่ามากและถูกเจาะได้ง่าย	หลีกเลี่ยง ถ้าเป็นตัวเลือกเดียวควรเปลี่ยนเราเตอร์
WPA / WPA2 แบบ TKIP	ชุดเก่าและอ่อนกว่า	หลีกเลี่ยงถ้าทำได้
WPA2 แบบ AES (WPA2-PSK)	รองรับกว้างและใช้ได้ถ้ารหัสผ่านแข็งแรง	ตัวเลือกสำรองที่ดีสำหรับอุปกรณ์เก่า
WPA3	ใหม่กว่า ป้องกันการเดารหัสได้ดีกว่า	ดีที่สุดถ้าอุปกรณ์ทุกชิ้นรองรับ
WPA2/WPA3 แบบผสม	อุปกรณ์เก่าและใหม่ต่อพร้อมกันได้	ทางสายกลางที่ใช้งานได้จริง

ถ้าเราเตอร์มีโหมดผสม มักเป็นวิธีที่ง่ายที่สุดในการใช้ WPA3 กับอุปกรณ์ใหม่ โดยที่อุปกรณ์เก่ายังต่อได้ หากเปลี่ยนแล้วมีอุปกรณ์เก่าบางตัวต่อไม่ได้ ให้ลองโหมดผสมก่อนจะถอยไปใช้โหมดที่อ่อนกว่า

ไม่ว่าจะเลือกโหมดไหน รหัส Wi-Fi ก็สำคัญ ควรใช้วลีที่ยาว ไม่ใช่คำสั้นๆ ต่อท้ายด้วยตัวเลข เพราะความยาวคือสิ่งที่ทำให้การเดาช้าลง และอย่าใช้เบอร์โทรศัพท์ เลขที่บ้าน หรือชื่อยี่ห้อเราเตอร์เป็นรหัส เพราะเป็นสิ่งแรกที่คนจะลอง

ขั้นที่ 3 อัปเดตเฟิร์มแวร์อยู่เสมอ

เฟิร์มแวร์คือซอฟต์แวร์ที่อยู่ในตัวเราเตอร์ ผู้ผลิตออกอัปเดตเพื่อปิดช่องโหว่ด้านความปลอดภัย เราเตอร์ที่ไม่เคยอัปเดตอาจมีช่องโหว่ที่ถูกเปิดเผยแล้วค้างอยู่เป็นปี ให้มองหาเมนู Firmware, Software Update, Maintenance หรือ System

• ดูว่ามีตัวเลือกอัปเดตอัตโนมัติหรือไม่ ถ้ามีให้เปิดไว้ บางรุ่นมีแค่ปุ่มตรวจสอบด้วยตัวเอง ก็ควรตั้งเตือนตัวเองทุกไม่กี่เดือน
• ถ้าเราเตอร์มาจากผู้ให้บริการอินเทอร์เน็ต ผู้ให้บริการอาจอัปเดตให้จากระยะไกล คุณจึงอาจไม่เห็นปุ่มอัปเดตเลย หากไม่แน่ใจให้สอบถามผู้ให้บริการ
• รุ่นที่เก่ามากอาจเลิกได้รับอัปเดต ถ้าผู้ผลิตประกาศว่ารุ่นนั้นหมดอายุการสนับสนุนแล้ว ควรพิจารณาเปลี่ยนเครื่อง เพราะจะไม่มีการแก้ช่องโหว่ใหม่อีก

อย่าปิดเราเตอร์กลางคันระหว่างอัปเดต รอจนเสร็จและไฟสถานะกลับเป็นปกติ

ขั้นที่ 4 ปิดฟีเจอร์ที่ไม่ได้ใช้

เราเตอร์มีฟีเจอร์อำนวยความสะดวกหลายอย่าง ซึ่งสะดวกก็จริง แต่ก็เพิ่มช่องทางให้ผู้ไม่หวังดีลองเข้ามาด้วย ลองไล่ดูและปิดอันที่ไม่จำเป็น

• WPS (Wi-Fi Protected Setup) ใช้เชื่อมอุปกรณ์ด้วยการกดปุ่มหรือพิมพ์ PIN สั้นๆ วิธี PIN เคยมีจุดอ่อนที่รู้กันดีในเราเตอร์หลายรุ่น และแม้แต่วิธีกดปุ่มก็ใช้นานๆ ครั้ง ถ้าไม่ได้ใช้ ให้ปิด
• การเข้าถึงเราเตอร์จากระยะไกล (Remote administration) ทำให้เปิดหน้าตั้งค่าจากอินเทอร์เน็ตได้ ไม่ต้องอยู่ในบ้าน ถ้าไม่มีเหตุผลชัดเจนและไม่รู้วิธีป้องกันให้ปิดไว้ หากต้องเข้าถึงเครือข่ายบ้านตอนเดินทาง การใช้ VPN ที่ตั้งค่าถูกต้องปลอดภัยกว่าการเปิดหน้าแอดมินทิ้งไว้ให้คนทั้งโลกเห็น
• UPnP ให้อุปกรณ์ขอให้เราเตอร์เปิดพอร์ตเองโดยอัตโนมัติ สะดวกสำหรับเกมและกล้องบางรุ่น แต่ก็ทำให้อุปกรณ์ที่ถูกแฮกเปิดประตูได้เช่นกัน ถ้าไม่มีอะไรที่บ้านต้องใช้ ให้ลองปิดแล้วดูว่ายังใช้งานได้ปกติไหม
• กฎ Port forwarding ที่ไม่ใช้แล้ว กฎเก่าของกล้อง เซิร์ฟเวอร์เกม หรืออุปกรณ์ที่ขายไปแล้วอาจค้างอยู่โดยไม่มีใครจำได้ ลบอันที่อธิบายไม่ได้ออก

ให้เปลี่ยนทีละอย่าง ถ้ามีอะไรในบ้านใช้งานไม่ได้ จะได้รู้ว่าสวิตช์ตัวไหนเป็นสาเหตุ

ขั้นที่ 5 ตั้งเครือข่ายแขก

เครือข่ายแขกคือชื่อ Wi-Fi ที่สองบนเราเตอร์เครื่องเดิม แต่แยกออกจากเครือข่ายหลัก ผู้มาเยี่ยมใช้อินเทอร์เน็ตได้ แต่โดยปกติจะมองไม่เห็นโน้ตบุ๊ก เครื่องพิมพ์ หรือโฟลเดอร์ที่แชร์ในบ้านของคุณ

เครือข่ายแขกเหมาะกับอุปกรณ์สองกลุ่ม

1. ผู้มาเยี่ยม เพื่อนและญาติไม่จำเป็นต้องเข้าถึงอุปกรณ์ในบ้านคุณ และคุณก็ไม่รู้ว่าโทรศัพท์ของเขาอยู่ในสภาพไหน
2. อุปกรณ์สมาร์ตโฮม ปลั๊กอัจฉริยะ หลอดไฟ กล้อง หุ่นยนต์ดูดฝุ่น และของคล้ายกันมักอัปเดตไม่บ่อยและถูกตรวจสอบน้อยกว่าโทรศัพท์ การวางไว้ในเครือข่ายแขกช่วยจำกัดสิ่งที่มันเข้าถึงได้ แต่หลังย้ายต้องเช็กว่าแอปของอุปกรณ์ยังใช้ได้ เพราะบางรุ่นต้องอยู่เครือข่ายเดียวกับมือถือตอนตั้งค่า ดูข้อแลกเปลี่ยนนี้เพิ่มเติมในบทความVPN สำหรับสมาร์ตโฮม

เมื่อสร้างเครือข่ายแขก ให้ตั้งรหัสต่างจาก Wi-Fi หลัก ถ้าเราเตอร์มีตัวเลือกชื่อ Client isolation หรือ AP isolation ให้เปิด เพื่อไม่ให้แขกมองเห็นกันเองด้วย เราเตอร์บางรุ่นตั้งเวลาหรือจำกัดความเร็วของเครือข่ายแขกได้ ชื่อเมนูต่างกันตามยี่ห้อ

ขั้นที่ 6 ตรวจว่าใครเชื่อมต่ออยู่

เราเตอร์ทุกเครื่องแสดงรายชื่ออุปกรณ์ที่เชื่อมต่ออยู่ได้ มักอยู่ในเมนู Device list, Connected devices, DHCP clients หรือ Attached devices ควรเปิดดูเดือนละครั้ง หรือหลังเปลี่ยนรหัส Wi-Fi

• จับคู่ทุกรายการกับของที่คุณมี ชื่อรุ่นโทรศัพท์ ยี่ห้อทีวี หรือชื่อคอมพิวเตอร์ถือว่าปกติ
• ชื่อที่ไม่รู้จักไม่ได้แปลว่าเป็นผู้บุกรุกเสมอไป อุปกรณ์บางชิ้นใช้ชื่อผู้ผลิตแปลกๆ ถ้าระบุไม่ได้ ให้ปิดอุปกรณ์ของคุณทีละเครื่องแล้วดูว่ารายการไหนหายไป
• หากพบอุปกรณ์ที่อธิบายไม่ได้ ให้เปลี่ยนรหัส Wi-Fi ซึ่งจะตัดการเชื่อมต่อของทุกคน แล้วเชื่อมต่อเฉพาะอุปกรณ์ของคุณใหม่
• เราเตอร์บางรุ่นแจ้งเตือนเมื่อมีอุปกรณ์ใหม่เข้าเครือข่าย ถ้ามีให้เปิดไว้

ขั้นที่ 7 ดู DNS ของเราเตอร์

DNS คือระบบที่แปลงชื่อเว็บไซต์เป็นที่อยู่ ถ้าอยากเข้าใจพื้นฐาน บทความอธิบายของ Cloudflare เรื่อง DNS คืออะไร เป็นจุดเริ่มต้นที่ดี โดยปกติเราเตอร์จะใช้ DNS ของผู้ให้บริการอินเทอร์เน็ต บางคนเปลี่ยนไปใช้ DNS สาธารณะอื่นหรือแบบที่เหมาะกับครอบครัว เพื่อให้เสถียรขึ้นหรือบล็อกเว็บอันตรายที่รู้จักแล้ว ตัวเลือกนี้มักอยู่ในเมนู Internet, WAN หรือ DHCP

ให้ตรวจว่าที่อยู่ DNS ในเราเตอร์เป็นค่าที่คุณเลือกเอง หรือที่ผู้ให้บริการตั้งให้ ถ้าเจอที่อยู่ที่ไม่รู้จัก อาจเป็นสัญญาณว่ามีคนแก้ไข ให้ล้างค่าในช่องนั้น เปลี่ยนรหัสแอดมิน และอัปเดตเฟิร์มแวร์ การเปลี่ยน DNS มีผลกับทุกคนในเครือข่าย เรื่องที่ DNS ของเราเตอร์ทำงานร่วมกับ VPN อย่างไรอ่านต่อได้ในบทความเรื่อง DNS ของเราเตอร์กับ VPN

VPN บนเราเตอร์ช่วยตอนไหน และไม่ช่วยตอนไหน

VPN บนเราเตอร์ส่งทราฟฟิกของทุกอุปกรณ์ในบ้านผ่าน VPN รวมถึงอุปกรณ์ที่ลงแอป VPN ไม่ได้ เช่น สมาร์ตทีวีหรือเครื่องเล่นเกมบางรุ่น นี่คือจุดแข็งหลัก และคุณไม่ต้องจำว่าต้องเปิด VPN ทีละเครื่อง หากฟังดูเข้ากับบ้านคุณ คู่มือ Help Center เรื่องการตั้งค่า VPN บนเราเตอร์บอกสิ่งที่ต้องตรวจสอบ และบทความVPN บนเราเตอร์เทียบกับแอป VPNช่วยเปรียบเทียบสองแนวทาง

แต่ต้องพูดให้ชัดเหมือนกันว่า VPN บนเราเตอร์ไม่ได้ทำอะไรบ้าง

• ไม่ได้แก้รหัสแอดมินที่อ่อน เฟิร์มแวร์เก่า หรือหน้าตั้งค่าที่เปิดให้เข้าจากภายนอก เรื่องเหล่านั้นต้องแก้ด้วยขั้นตอนข้างต้น
• ไม่ได้ปกป้องอุปกรณ์เมื่อพกออกนอกบ้าน มือถือที่ใช้ในร้านกาแฟต้องมีแอป VPN ของตัวเอง
• อาจทำให้การเชื่อมต่อช้าลง เพราะเราเตอร์ต้องเข้ารหัสทุกอย่าง และเราเตอร์บางรุ่นมีตัวประมวลผลไม่แรงนัก อีกทั้งเป็นการตั้งค่าเดียวสำหรับทั้งบ้าน หากสมาชิกบางคนต้องการรูปแบบอื่นอาจต้องใช้แอปแทน
• เราเตอร์ทุกรุ่นไม่ได้รองรับ VPN client และเราเตอร์ของผู้ให้บริการอินเทอร์เน็ตบางรุ่นล็อกฟีเจอร์นี้ไว้

ตัวอย่างง่ายๆ ครอบครัวคุณสมชาย

สมมติว่าครอบครัวหนึ่งในเชียงใหม่ใช้เราเตอร์จากผู้ให้บริการอินเทอร์เน็ตที่ติดตั้งมาสามปี รหัสแอดมินยังเป็นค่าเริ่มต้นบนสติกเกอร์ Wi-Fi ใช้ WPA2 เปิด WPS ไว้ และรหัสเดียวที่คุณพ่อเคยเปลี่ยนคือรหัส Wi-Fi เพื่อนบ้านที่เคยยืมใช้ Wi-Fi ยังมีรหัสอยู่ เช่นเดียวกับญาติที่มาเยี่ยมเมื่อปีก่อน

เย็นวันหนึ่งลูกสาวสังเกตว่าหน้าเว็บโหลดแปลกๆ คุณพ่อจึงเข้าไปดูเราเตอร์ เจออุปกรณ์สามชิ้นที่ไม่รู้จัก และเห็นว่าเปิดการเข้าถึงจากระยะไกลไว้ เขาไล่ทำตามเช็กลิสต์ภายในชั่วโมงเดียว ตั้งรหัสแอดมินใหม่ที่ยาว อัปเดตเฟิร์มแวร์ ปิด WPS และการเข้าถึงจากระยะไกล เปลี่ยนรหัส Wi-Fi ใช้โหมด WPA2/WPA3 ผสม ตั้งเครือข่ายแขกสำหรับผู้มาเยี่ยมและปลั๊กอัจฉริยะ และจดชื่ออุปกรณ์ทั้งหมดบนเครือข่ายหลัก เขายังเช็กช่อง DNS และพบว่าตรงกับค่าของผู้ให้บริการ ไม่มีอะไรร้ายแรงเกิดขึ้น แต่เขาได้ปิดประตูที่เปิดค้างไว้เรียบร้อยแล้ว

ข้อจำกัดและสิ่งที่ควรระวัง

• ชื่อเมนูไม่เหมือนกัน สิ่งที่ยี่ห้อหนึ่งเรียก Guest Network อีกยี่ห้ออาจเรียก Guest Wi-Fi หรือ Visitor Access ถ้าหาการตั้งค่าไม่เจอ อาจเป็นเพราะเราเตอร์ไม่รองรับ ซึ่งอาจเป็นเหตุผลให้สอบถามผู้ให้บริการหรือเปลี่ยนเราเตอร์เก่า
• เราเตอร์ที่ผู้ให้บริการดูแล อาจซ่อนบางการตั้งค่าหรือรีเซ็ตจากระยะไกล ควรถามผู้ให้บริการว่าคุณปรับอะไรได้บ้าง
• ไม่มีอะไรสมบูรณ์แบบ ขั้นตอนเหล่านี้ลดความเสี่ยง แต่ไม่ได้ทำให้เครือข่ายไม่มีทางถูกเจาะ
• อย่าทำตามบทความแปลกๆ แบบไม่ตรวจสอบ คำแนะนำที่ให้เปิดพอร์ต ติดตั้งเฟิร์มแวร์ที่ไม่เป็นทางการ หรือวางที่อยู่ที่ไม่คุ้นเคยลงในช่อง DNS อาจสร้างปัญหาใหม่ ให้เชื่อเอกสารของผู้ผลิตเป็นหลัก

หากสนใจแนวทางปกป้องความเป็นส่วนตัวเพิ่มเติม คู่มือ Surveillance Self-Defense ของ EFF เป็นแหล่งอ่านประกอบที่ดี

สรุป

การรักษาความปลอดภัยเราเตอร์ที่บ้านมีรายการสั้นๆ คือ เปลี่ยนรหัสแอดมิน ใช้ WPA3 หรือ WPA2 พร้อมรหัส Wi-Fi ที่ยาว อัปเดตเฟิร์มแวร์ ปิด WPS และการเข้าถึงจากระยะไกลถ้าไม่จำเป็น แยกผู้มาเยี่ยมและอุปกรณ์สมาร์ตโฮมไปไว้เครือข่ายแขก ตรวจรายชื่ออุปกรณ์เป็นระยะ และรู้ว่า DNS มาจากไหน VPN บนเราเตอร์เพิ่มการเข้ารหัสให้อุปกรณ์ที่ลงแอปไม่ได้ แต่เป็นส่วนเสริมของพื้นฐานเหล่านี้ ไม่ได้มาแทนกัน

หากคิดว่า VPN เหมาะกับบ้านหรือการเดินทางของคุณ ก็ดูตัวเลือกได้ตามสบายที่หน้าราคา