路由器是家庭網路的大門，若設定不當，等於大門敞開讓駭客、惡意程式自由出入。本文整理 9 項實務設定，助你建立如磚牆般堅固的網路防線。
1. 建立 IP 位址進出過濾規則
在邊界路由器設定 ACL（存取控制清單）：
- 出站：僅允許內部合法 IP 範圍（如 192.168.x.x、10.x.x.x、172.16-31.x.x）存取網際網路，阻擋偽造來源 IP 的攻擊封包。
- 進站：封鎖來源 IP 為私有/保留/回送位址（127.0.0.1、224.0.0.0 以上多播、240.0.0.0 以上 E 類）的封包，防止 IP Spoofing 攻擊。
2. 立即修改預設管理帳號密碼
調查顯示 80% 入侵源自弱密碼。請：
- 將預設 admin/admin、admin/1234 等改為長度 12 字元以上、含大小寫數字符號的強式密碼。
- 定期更換，勿使用生日、電話等易推測資訊。
3. 關閉 IP 直接廣播
防止 Smurf 攻擊（攻擊者偽造來源 IP 送出 ICMP Echo 廣播，導致所有主機回應癱瘓網路）。
- Cisco 路由器指令：
no ip directed-broadcast（介面模式下）。
- 其他品牌請參考手冊關閉「IP Directed Broadcast」或「Broadcast Forwarding」。
4. 依安全等級規劃連接埠過濾策略
- 高安全環境：採「預設拒絕，明確允許」原則，僅開放必要埠（如 Web 80/443、SMTP 25/587、DNS 53）且限定來源 IP。
- 一般環境：採「預設允許，已知惡意埠拒絕」策略，重點封鎖高風險埠：
139/445 (SMB/NetBIOS 暴力破解)、31337 (Back Orifice)、1433/3306 (資料庫)、3389 (RDP) 等。
5. 停用不必要的服務與遠端管理
- 關閉路由器的 Telnet、HTTP、SNMP 等明文管理介面，改用 SSH、HTTPS。
- 僅允許特定管理 IP 存取管理介面。
6. 啟用防火牆與入侵偵測/防禦 (IDS/IPS)
若路由器支援，開啟 SPI 防火牆、DoS 防護、惡意網址封鎖等功能。
7. 無線網路加密與隔離
- 採用 WPA3（或至少 WPA2-AES），設定強式預共享金鑰 (PSK)。
- 開啟 AP 隔離，防止無線客戶端互相存取。
- 訪客網路與主網路隔離（不同 VLAN/子網）。
8. 固件更新與日誌稽核
- 定期檢查廠商官網更新固件，修補已知漏洞。
- 啟用系統日誌，並定期匯出分析異常登入、攻擊嘗試記錄。
9. 實體安全與備份設定
- 將路由器置於上鎖機櫃，防止物理重置。
- 定期匯出設定檔備份，災難發生時可快速還原。
資安非一次性工程，而是持續的過程。完成上述 9 步驟後，請排定每季檢視日誌、更新固件、審查規則，才能真正守護家庭數位資產安全。
