路由器怎么设置更安全：10 分钟改完七项，堵住四个默认漏洞
路由器是家里唯一 24 小时在线、又直通外网的设备，但多数人装完就再没登录过后台。出厂默认的管理密码、开着的 WPS、默认启用的 UPnP、从不升级的固件——这四项就是最常见的入口。这篇按「外网 → 无线 → 内网 → 管理」的攻击面顺序，给出 10 分钟能做完的七项设置。
先看四个默认漏洞
| 默认项 | 风险 | 怎么改 |
|---|---|---|
| 管理后台弱密码 / 默认密码 | 同网段设备或被远程登录后可直接改配置 | 改成 16 位随机密码，存密码管理器 |
| WPS 一键连接 | PIN 可被暴力破解，绕过 WiFi 密码 | 后台关闭 WPS |
| UPnP 自动端口映射 | 内网设备可自行把端口暴露到公网 | 关闭；需要时手动做端口转发 |
| 远程管理（WAN 访问后台） | 外网可直接打开管理页爆破 | 关闭「远程管理 / 云管理」 |
七项设置，10 分钟做完
- 改管理密码：不要用 WiFi 密码，单独设一个长密码；顺手把管理地址从默认的 `192.168.1.1` 改成别的网段（可选，防批量扫描）。
- 关闭远程管理：包括「云管理」「远程 Web」「DDNS 管理入口」，除非你确实需要在外网访问后台。
- 加密方式选 WPA2/WPA3：不要用 WEP、WPA（TKIP）；老设备只支持 WPA 时，把它放进访客网络。
- 关闭 WPS：按一下就能连的便利，代价是 PIN 可被穷举。
- 关闭 UPnP：需要外网访问 NAS、摄像头时，手动做端口转发并限定来源 IP。
- 开访客网络：智能音箱、摄像头、扫地机、访客手机全放访客网络，与电脑、NAS 隔离。
- 升级固件并开自动更新：路由器的漏洞补丁主要靠固件，长期不升级等于长期带洞。
无线侧：三个细节
- SSID 不含个人信息：别用「张三家的 WiFi」「1203 室」，避免被针对性猜测；
- WiFi 密码要长：12 位以上随机串或 4 词短语，家人输入一次即可；
- 关闭「按需开启」的隐藏网络：隐藏 SSID 并不提升安全性，反而让排障更麻烦。
内网侧：设备与权限
| 检查项 | 为什么 | 频率 |
|---|---|---|
| 已连接设备列表 | 发现陌生设备蹭网或被入侵 | 每月一次 |
| 端口转发规则 | 旧规则可能指向已换掉的设备 | 每季度 |
| 摄像头默认密码 | 弱密码摄像头是被控重灾区 | 装好立刻改 |
| NAS / 远程访问 | 暴露面越大，越需要双因素 | 变更时 |
这些做法其实没用
- 隐藏 SSID：扫描工具照样能发现，只是让访客连不上；
- 绑定 MAC 地址：MAC 可伪造，防蹭网有效、防入侵有限；
- 只改 WiFi 密码不改管理密码：连上 WiFi 的人仍可登录后台；
- 关了 SSID 广播就关 WPS：两件事无关，WPS 该关还得关。
常见问题
改了路由器密码，智能设备要重连吗？
如果只改管理密码，不影响 WiFi 连接；改 WiFi 密码则需要所有设备重新输入。建议把智能设备放访客网络，改主网络密码时不受影响。
UPnP 关了，游戏和下载会受影响吗？
部分 P2P、联机游戏依赖 UPnP 自动开端口。关闭后如果联机异常，可以手动为特定设备做端口转发，比全局开着安全得多。
怎么知道路由器有没有被入侵？
看三点：连接设备列表有无陌生设备、DNS 设置有没有被改、固件版本是否被降级。发现异常立即恢复出厂设置、升级固件、改所有密码。
小结
路由器安全的优先级是：管理密码 → 关远程管理 → 关 WPS/UPnP → WPA2/WPA3 → 访客网络隔离 → 固件更新。七项里前四项 5 分钟就能完成，收益最大。做完再谈「防蹭网」这类次要问题。