路由器安全防護指南：十大關鍵設定阻擋駭客攻擊

路由器是家庭與企業網路的關鍵閘道，若設定不當極易成為駭客跳板。本文整理十項必備防護措施，從韌體更新、密碼強化、服務精簡到封包過濾，幫助建立纵深防禦體系。

十大路由器安全設定

1. 持續更新韌體： 定期檢查廠商釋出的韌體更新，修補程式碼漏洞、緩衝區溢位等弱點。啟用自動更新或訂閱安全公告。
2. 修改預設帳號密碼： 80% 入侵源自弱密碼。使用 12 字元以上、大小寫數字符號混合的強密碼，並修改預設管理帳號（如 admin）。
3. 停用 HTTP/ SNMP 管理介面： 僅保留 CLI（SSH）或 HTTPS 管理，關閉明文 HTTP、SNMP v1/v2c。若需 SNMP，請使用 v3 並限制來源 IP。
4. 封鎖 ICMP Ping 請求： 關閉 WAN 介面的 ICMP 回應，減少偵察資訊洩露（網段存活主機、MTU、OS 指紋）。
5. 禁止 WAN 端 Telnet/SSH 存取： 管理介面僅開放 LAN 介面存取，或透過 VPN 遠程管理。
6. 停用 IP 導向廣播： 防止 Smurf / Fraggle 類 DDoS 放大攻擊導致 CPU/記憶體耗盡。
7. 關閉 IP 來源路由與重導向： 防止封包繞過防火牆策略、竊取內網拓撲。
8. 實施封包過濾（ACL）： 僅允許必要服務（HTTP/HTTPS、DNS、郵件等）通過，封鎖其餘連接埠；限制管理介面來源 IP；啟用反欺騙（uRPF）。
9. 定期審核日誌： 啟用 Syslog 遠端傳送，分析登入失敗、拒絕連線、異常流量模式，早期發現入侵徵兆。
10. 停用非必要服務： 關閉 echo、chargen、discard、finger、BOOTP、CDP、LDP 等不用協議，減少攻擊面。

進階建議

• 啟用管理平面保護（MPP），限制管理協議僅能在特定介面接收。
• 部署入侵防禦系統（IPS）或雲端威脅情報整合，自動封鎖惡意 IP。
• 區隔網段（VLAN），將 IoT、客人、伺服器、管理網路隔離。
• 定期進行滲透測試與漏洞掃描，驗證防禦有效性。

路由器安全非一次設定即可高枕無憂，需持續監控、修補、審核。中小企業無專職網管時，建議採用雲端管理式安全服務（MSSP）協助防禦。