如何保护家里的 Wi-Fi 路由器

家里的路由器夹在你拥有的一切设备和互联网之间。手机、电脑、电视、摄像头、智能音箱，还有早就被遗忘的旧平板，都要信任它。可是大多数人只是插上电，输入一次 Wi-Fi 密码，之后再也没打开过设置页面。这很可惜，因为只需要改几项设置，每项花几分钟，就能堵住家庭网络最常被利用的那些漏洞。

本文是一份可以直接照做的清单，涵盖管理员密码、Wi-Fi 加密、固件更新、建议关闭的功能、访客网络、查看已连接设备、路由器的 DNS，最后说明路由器上的 VPN 在哪些方面有用、在哪些方面没用。不同品牌、不同固件版本的菜单名称并不一致，文中的叫法仅供参考，如果你的菜单用词不同，请对照说明书或厂商的支持页面。

为什么要重视路由器

路由器本质上是一台运行软件的小电脑，而软件难免有缺陷。不怀好意的人很清楚，大量家用路由器仍在运行旧固件，使用默认或容易猜的密码。常见的问题包括：有人猜到了管理员账号，网络里的设备被用于你没有预期的用途，或者 DNS 设置被悄悄改掉，让你在不知不觉中进入假冒网站。你不必是什么重要目标，自动化扫描会尝试一切能连上的设备。

好消息是，大多数情况下你面对的并不是专家。你只需要比隔壁那户更难下手，下面的清单正是为此设计的。

有两个密码要分清，人们经常把它们混为一谈：

• Wi-Fi 密码：在手机或电脑上加入网络时输入的密码。
• 管理员密码：打开路由器设置页面时输入的密码，通常是在浏览器里输入路由器标签上印的地址。

两个都要管，而且不应该相同。

第 1 步：修改默认管理员密码

很多路由器出厂时的管理员账号密码与成千上万台设备相同，或者直接印在机身底部的标签上。如果你从没改过，任何能进入你家网络的人，比如访客、曾经借过 Wi-Fi 密码的邻居，或者被入侵的设备，都有可能打开你的设置页面。

修改方法：

1. 连接家里的网络，在浏览器中打开路由器的设置页面。地址和默认账号通常在标签或说明书上。
2. 找到类似 Administration、System、Management 或 Account 的菜单，名称因品牌和版本而异。
3. 设置一个又长又独一无二的新管理员密码。用几个互不相关的词组成的短语效果不错。不要与 Wi-Fi 密码或其他账号的密码重复。
4. 如果路由器允许修改管理员用户名，也一并改掉。
5. 把新密码存进密码管理器，或写下来放在家里不显眼的私密位置，不要贴在路由器上。

如果真的忘记了管理员密码，大多数路由器可以恢复出厂设置，但恢复出厂会清除 Wi-Fi 名称、密码和其他所有设置，需要全部重新设置。

第 2 步：选对 Wi-Fi 安全模式

Wi-Fi 安全模式决定了设备与路由器之间的无线信号如何加密。一般在 Wireless、Wi-Fi 或 Security 菜单里。简单来说：

模式	含义	建议
开放（无密码）	任何人都能加入，没有 Wi-Fi 层面的加密	家里不要用
WEP	非常老旧，容易被破解	避免；如果这是唯一选项，应更换路由器
WPA / WPA2 搭配 TKIP	较旧、较弱的组合	尽量避免
WPA2 搭配 AES（WPA2-PSK）	兼容面广，密码够强时可以接受	适合旧设备的备选方案
WPA3	较新，对猜密码的防护更好	所有设备都支持时的最佳选择
WPA2/WPA3 混合	新旧设备可同时连接	实用的折中方案

如果路由器有混合模式，它通常是让新设备用上 WPA3、同时让旧设备继续连接的最简单办法。切换之后如果有旧设备连不上，先试混合模式，再考虑退回更弱的设置。

无论选哪种模式，Wi-Fi 密码都很重要。要用较长的短语，而不是一个短词后面加几个数字，因为长度才是让猜密码变慢的关键。也不要用手机号、门牌号或路由器品牌名当密码，这些是别人最先会试的。

第 3 步：保持固件更新

固件是路由器内部的软件。厂商会发布更新来修补安全漏洞，长期不更新的路由器可能带着已公开的漏洞用上好几年。请找名为 Firmware、Software Update、Maintenance 或 System 的菜单。

• 看看是否有自动更新选项，有的话就打开。有些路由器只提供手动检查，那就每隔几个月设一次提醒。
• 如果路由器是宽带运营商提供的，运营商可能会远程为你更新，所以你也许根本看不到更新按钮。拿不准时可以问运营商。
• 非常老的型号会停止更新。如果厂商宣布某个型号已结束支持，建议考虑更换，因为之后不会再有新的安全修复。

更新过程中不要中途关闭路由器，等它完成、指示灯恢复正常。

第 4 步：关闭用不到的功能

路由器带有不少方便的功能，方便归方便，也给别有用心的人多留了尝试的入口。逐项检查，把不需要的关掉：

• WPS（Wi-Fi Protected Setup）：通过按键或输入简短 PIN 码连接设备。PIN 码方式在不少路由器上有已知的弱点，即使是按键方式也只是偶尔才用到。不用的话就关闭。
• 远程管理（Remote administration）：允许从互联网而不是只在家里打开路由器设置页面。除非你有明确需求并且知道如何保护，否则保持关闭。如果出门在外需要访问家里的网络，正确设置的 VPN 比把管理页面敞开给全世界要安全。
• UPnP：允许设备自动请求路由器开放端口。对游戏和部分摄像头很方便，但被入侵的设备也能借此开门。如果家里没有设备需要，可以关掉再看一切是否正常。
• 不再需要的端口转发规则：为摄像头、游戏服务器或已经卖掉的设备设置的旧规则，可能被遗忘在那里。把解释不清的规则删掉。

一次只改一项，这样一旦家里有东西不能用了，就知道是哪个开关造成的。

第 5 步：设置访客网络

访客网络是路由器上的第二个 Wi-Fi 名称，与主网络相互隔离。客人可以上网，但通常看不到你的电脑、打印机或共享文件夹。

访客网络适合两类设备：

1. 来访的客人：朋友和亲戚不需要访问你家的设备，你也不知道他们手机的状况。
2. 智能家居设备：智能插座、灯泡、摄像头、扫地机器人等设备往往很少更新，受到的审视也比手机少。把它们放在访客网络上，可以限制它们能触及的范围。迁移之后要确认设备的 App 仍能使用，因为有些设备在配置时需要与手机处于同一网络。关于这一取舍，可参阅智能家居与 VPN一文。

创建访客网络时，密码要与主 Wi-Fi 不同。如果路由器有"客户端隔离"或 AP isolation 之类的选项，建议打开，这样访客之间也互相看不到。有些路由器还可以给访客网络设置时间或速度限制，各品牌叫法不同。

第 6 步：查看谁在连接

每台路由器都能显示已连接设备的列表，通常在 Device list、Connected devices、DHCP clients 或 Attached devices 之类的菜单。建议每月看一次，或者在更换 Wi-Fi 密码之后看一次。

• 把每一项与你拥有的设备对应起来。手机型号、电视品牌、电脑名称都是正常的。
• 不认识的名称不一定是入侵者，有些设备会使用奇怪的厂商名称。无法确认时，可以逐个关闭自己的设备，看哪一项消失。
• 如果发现解释不了的设备，就更换 Wi-Fi 密码，这会让所有人掉线，然后只重新连接你自己的设备。
• 有些路由器在新设备加入时会提醒你，如果有这个功能，请打开。

第 7 步：看看路由器的 DNS

DNS 是把网站名称转换成地址的系统。想了解基础知识，可以读 Cloudflare 的什么是 DNS。默认情况下，路由器通常使用宽带运营商的 DNS。有些人会改用别的公共解析服务或面向家庭的服务，以提升稳定性或屏蔽已知的有害网站。这个选项通常在 Internet、WAN 或 DHCP 设置里。

请确认路由器里的 DNS 地址是你自己选的，或者是运营商设置的。如果看到不认识的地址，可能意味着有人改过，应当清除该字段、修改管理员密码并更新固件。修改 DNS 会影响网络里的所有人。关于路由器 DNS 与 VPN 如何配合，可以继续阅读路由器 DNS 与 VPN。

路由器上的 VPN 什么时候有用，什么时候没用

路由器上的 VPN 可以让家里所有设备的流量都经过 VPN，包括装不了 VPN 应用的设备，比如部分智能电视和游戏机。这是它的主要优势，也不用逐台设备记得去开 VPN。如果这符合你的家庭情况，Help Center 里的在路由器上设置 VPN指南说明了需要检查的事项，路由器 VPN 与 VPN 应用的对比则可以帮你比较两种方式。

同样重要的是，要讲清楚路由器 VPN 做不到的事：

• 它不能修复薄弱的管理员密码、过旧的固件或对外开放的远程管理页面，这些需要靠上面的步骤解决。
• 设备离开家之后它就不再起保护作用。你在咖啡馆里的手机需要自己的 VPN 应用。
• 它可能让网速变慢，因为路由器要加密所有流量，而有些路由器的处理器性能一般。另外它是整个家庭共用的一项设置，如果有家人需要不同的方案，可能得改用应用。
• 并非所有路由器都支持 VPN 客户端，有些运营商提供的路由器还锁定了这项功能。

一个简单的例子：王先生一家

假设一家人住在成都，路由器是宽带运营商三年前装的。管理员密码仍是标签上的默认值，Wi-Fi 使用 WPA2，WPS 是开着的，爸爸唯一改过的密码就是 Wi-Fi 密码。曾经借用过 Wi-Fi 的邻居还留着密码，去年来做客的亲戚也一样。

一天晚上，女儿发现网页加载有些奇怪。爸爸登录路由器，看到三台不认识的设备，还发现远程管理是开启的。他花了一小时按清单逐项处理：设置新的长管理员密码，更新固件，关闭 WPS 和远程管理，更换 Wi-Fi 密码并使用 WPA2/WPA3 混合模式，给客人和智能插座建了访客网络，并把主网络上每台设备的名称记了下来。他还检查了 DNS 字段，发现与运营商的设置一致。并没有发生什么严重的事，但他把一直敞开的几扇门关上了。

局限与注意事项

• 菜单名称各不相同。 一个品牌叫 Guest Network 的功能，另一个品牌可能叫 Guest Wi-Fi 或 Visitor Access。如果找不到某项设置，可能是路由器不支持，这也许是向运营商咨询或更换旧路由器的理由。
• 运营商托管的路由器可能隐藏某些设置，或者远程重置。请向运营商确认你可以修改哪些内容。
• 没有什么是万无一失的。 这些步骤降低风险，但不会让网络变得绝对无法被攻破。
• 不要盲目照搬网上的教程。 那些让你开放端口、安装非官方固件或在 DNS 字段里填入陌生地址的建议，可能制造新的问题。请以厂商自己的文档为准。

如果想进一步了解保护隐私的习惯，EFF 的 Surveillance Self-Defense 指南是不错的补充读物。

总结

保护家用路由器，其实就是一份简短的清单：修改管理员密码，使用 WPA3 或 WPA2 并配上较长的 Wi-Fi 密码，保持固件更新，不需要时关闭 WPS 和远程管理，把客人与智能设备放进访客网络，时常查看已连接设备，并清楚 DNS 来自哪里。路由器上的 VPN 可以为无法安装应用的设备增加加密，但它是这些基础措施的补充，而不是替代。

如果你觉得 VPN 适合你的家庭或出行，可以随时在价格页面慢慢了解各个选项。