路由安全，是個大話題。

路由器的后臺設置項太過專業，蹭網卡風靡一時，傳說中的黑客似乎厲害的沒影 ...... 看起來家里這臺路由器根本就沒得救了。只要有位稍懂的黑客盯上，分分鐘被攻破。

但是我們忽略了最重要的東西：其實通過路由本身的安全防護，已經可以做到一個非常高的安全水平。
下邊宅客君將告訴大家，如何利用這些熟悉而又陌生的路由安全設置，來打造一臺 99.9% 的黑客都攻不破的安全路由器。

MAC 白名單機制

在眾多防護機制中，MAC 地址白名單絕對是一等一的標配功能。上至千元頂配，下探幾十元小 mini，這個功能一定妥妥的在著。不過別因此小看它，這可是關乎路由防蹭網的殺器。

大家應該都有聽過 " 蹭網卡 "、"Wi-Fi 萬能鑰匙 " 這兩種東西。第一種專治 Wi-Fi 密碼，最強的 WPA2 加密有可能幾分鐘能破掉（弱密碼、強字典的特別場景）；即使是一個強密碼破不掉，說不定哪天你一位訪客手機上有個類似 " 萬能鑰匙 " 的 App，手一滑，這個無線密碼還是被公諸于眾了。

以上是表示，大家的無線密碼并不可靠。而 MAC 白名單機制卻可以保障不被蹭網，每臺想上網的設備，必須曾經被你加入過白名單，新的陌生設備只能在內網流浪。

MAC 白名單功能位于左側菜單 " 高級設置 " 內，如果你家里設備較多，設置白名單得下苦功夫了。

AP 隔離

前邊說過，即使做了 MAC 白名單，新的陌生設備還是在內網亂逛，這可不行，有危險。要是這個陌生設備技藝高超，一個 " 混雜模式 " 監聽走起，內網信息就全被它收過去了。

AP 隔離是個好東西。有它在，連入局域網的設備間都是隔離的，數據不互通。這時的陌生設備技藝再高超也沒法來監聽你上網的數據了。

不過它也有缺點，比如導致局域網軟件基本沒法使用。包括 QQ 的局域網速傳、飛鴿傳書等一大票功能都要廢掉，目前還不確定局域網游戲對戰、文件共享（SMB）這些功能是否能用，但目測可能性不大。

AP 隔離算是稍微高級的功能，百元以上的傳統路由基本支持。但需要提醒，智能路由由于歷史不長，有些廠商可能也還未做到這一功能。

庖丁小道

在講完無線的外網、內網安全后，其實還有些旁門小道可以聊聊。

端口。普通路由上一般可能會開放 80（遠程訪問）、23（SSH）以及某些隨機端口（廠商測試用），不過按照安全準則，還是盡量不開設端口。前不久某 T 大廠由于在穩定版固件中未關閉測試端口，結果成了安全界大笑話。

防 DDOS。這個模塊很重要，如果路由被 DDOS，整個網速會下降的很厲害。防 DDOS，就是保證路由遭受時用戶不受影響。

802.X。它是一個企業級的功能，每臺設備需要輸入賬號密碼才能去連接，服務器驗證登陸信息并返回是否可以接入網絡、何等權限等。802.X 可以一定程度上充當 MAC 白名單的作用。

… ..

如文章開頭所說，路由安全是個大話題。以上大部分是保證無線網絡的安全，關于有線網絡，因為在家里，我們默認它是安全狀態的，有問題直接拔線就行。另一部分龐大復雜的 VLAN 機制就不講了。

知乎曾有一貼 " 蹭網之后，能做些什么？" 引發了廣泛討論，而依照我們以上設置：開啟白名單驗證，入侵者就沒法通過網絡上網；后臺防 DDOS 后，暴力破解后臺密碼不行了；開啟 AP 隔離后，所有嗅探都被廢掉。看到沒，安全等級是不是一下子提高了 N 倍，至少一般入侵者可不行。怎么著也得手中肉雞多多、0day 多多。

不過想做到安全，也意味著要付出代價。現在我們的 " 內網 " 算是名存實亡了，每次新設備接入也得費點心去確認。這臺路由，你得費心了。

附上述知乎貼內給出的小白安全建議，知易行難，僅作科普：

1、路由器連接密碼要復雜一點，比如 testak47521test 要比 ak47521 好很多

2、趕緊把路由器管理后臺的帳號和密碼改掉。90% 的懶人還在 admin admin

3、不要告訴不可信人員你的 Wi-Fi 密碼。

4、移動設備不要越獄不要 ROOT，ROOT/ 越獄后的設備等于公交車隨便上

5、常登陸路由器管理后臺，看看有沒有連接不認識的設備連入了 Wi-Fi，有的話斷開并封掉 Mac 地址。封完以后馬上修改 Wi-Fi 密碼和路由器后臺帳號密碼。

6、綁定 IP MAC 地址

7、More