無線網路（Wi-Fi）訊號穿牆透室、覆蓋半徑可達 300 公尺，便利的背後是赤裸裸的安全危機：任何範圍內裝有無線網卡的裝置皆可嘗試連線、竊聽封包、盜用頻寬、入侵內網。本文系統梳理無線網路四大核心防護層次，助您建立「易守難攻」的無線堡壘。
威脅模型：為什麼無線天生不安全？
- 廣播本質：微波訊號向四周輻射，物理邊界無法阻擋電波外洩。
- 被動竊聽：攻擊者無需連線，僅用監聽模式網卡即可捕獲明文傳輸的帳號、密碼、郵件、瀏覽紀錄。
- 主動入侵：破解弱加密、偽裝合法 AP（Evil Twin）、ARP 欺騙、DHCP 搶佔、惡意代碼注入。
- 資源盜用：蹭網消耗頻寬、利用您的 IP 從事非法活動導致法律風險。
現狀認知：WEP/WPA/WPA2/WPA3 演進與局限
早期 IEEE 802.11 標準僅定義 WEP（有線等效隱私），因 RC4 金鑰重複、IV 空間小、無完整性檢查，極易在分鐘級破解。WPA 引入 TKIP 動態金鑰與 MIC 完整性檢查過渡修補；WPA2 強制採用 AES-CCMP（基於 AES 的計數器模式 CBC-MAC 協議），成為長達十年的黃金標準；WPA3 進一步引入 SAE（同時驗證等效）防禦離線字典攻擊、前向保密、192-bit 企業級加密套件。**家用環境請務必選用 WPA2-AES（或 WPA3），嚴禁 WEP/WPA-TKIP。**
四大防護支柱：逐層設定指南
1. 強制加密與強健金鑰（資料機密性基石）
- 登入 AP 管理介面（通常
192.168.1.1 或 192.168.0.1，詳見底部標籤）。
- 無線安全性設定 → 選擇 WPA2-Personal (AES) 或 WPA3-Personal。
- 設定 預共享金鑰 (PSK)：長度 ≥ 16 字元，混合大小寫、數字、符號（如
Tr0ub4dor&3WiFi!2024），避免字典詞彙、個資、電話號碼。
- 儲存並重啟 AP 生效。
用戶端同步：Windows「網路和共用中心」→ 管理無線網路 → 刪除舊設定檔 → 重新連線輸入新金鑰。
2. 修改並隱藏 SSID（降低被發現機率）
- 修改預設 SSID：廠商預設 SSID（如 TP-LINK_XXXX、default）洩露設備型號，助長針對性攻擊。改為無個資特徵的隨機名稱（如
HomeNet_7X9K）。
- 停用 SSID 廣播：AP 設定中取消「啟用 SSID 廣播」/「隱藏 SSID」。連線時需手動輸入 SSID，雖無法阻擋主動掃描工具（Kismet、Airodump-ng 仍可捕獲 Probe Request/Response），但能阻擋 90% 以上的機會性掃描與蹭網腳本。
3. AP 物理佈放優化（物理層面訊號控制）
- 置中部署：將 AP 放置於覆蓋區域幾何中心，訊號均勻分布，減少外溢。
- 避開門窗外牆：靠近玻璃窗、薄隔牆會大幅增加訊號外洩範圍。
- 調整發射功率：若 AP 支援，將發射功率降至剛好覆蓋自用區域（如 50%-75%）。
- 定向天線：長條型覆蓋區域（如走廊、縱深客廳）可換裝定向天線（八木/平板），將能量聚焦目標區域。
4. 存取控制與進階防護（授權邊界）
- MAC 位址過濾（白名單）：AP 設定 → 無線 MAC 過濾 → 「僅允許清單內裝置連線」 → 逐一輸入自家裝置 MAC（手機設定 → 關於手機 → 狀態查看）。注意：MAC 可偽造（macchanger），屬「誠實者防君子」措施，需配合 WPA2 使用。
- 關閉 WPS（Wi-Fi Protected Setup）：PIN 碼機制存在暴力破解漏洞（Reaver 攻擊），必須徹底停用。
- 停用遠端管理/UPnP/SNMP：除非必要，關閉所有來自 WAN/LAN 的管理介面存取。
- 啟用 AP 隔離/客戶隔離：防止連線裝置互相存取（ARP 欺騙、橫向滲透），訪客網路必開。
- 建立訪客網路：獨立 SSID、獨立 VLAN/子網、限制頻寬、定時關閉，供來賓/IoT 裝置使用，隔離核心內網。
進階防禦：企業級功能下放家用
- RADIUS (802.1X) 驗證：配合 FreeRADIUS + WPA2-Enterprise，每用戶獨立憑證/帳密，支援撤銷單一裝置權限，避免共用 PSK 風險。
- VPN 穿透：即使破解 Wi-Fi 加密，內網服務仍需 VPN 憑證才能存取。
- 入侵偵測 (WIDS/WIPS)：部分高階 AP 內建，可偵測偽裝 AP、解除驗證攻擊、異常流量。
- 固件自動更新：開啟自動更新或定期手動檢查，修補 KRACK、FragAttacks、DNS 重綁等 0-day 漏洞。
最小可行性安全清單（必做）：
- ✅ WPA2-AES / WPA3 + 強 PSK (≥16 字元複雜度)
- ✅ 修改預設 SSID + 隱藏廣播
- ✅ 關閉 WPS + 遠端管理
- ✅ AP 置中佈放 + 適度降低發射功率
- ✅ 建立訪客網路隔離 IoT/來賓
- ✅ 固件保持最新
無線安全非一次設定終身免疫，而是持續的「防護態勢管理」。定期稽核連線裝置清單、更換 PSK、更新固件，才能在便利與安全間找到平衡點。
