無線網路訊號半徑可達 300 公尺，意味著範圍內任何裝置皆可嘗試連線。未加密的無線網路等同公開廣播你的網頁瀏覽、郵件內容、帳號密碼。建構安全無線環境，需從加密、識別、物理佈署三面向著手。
主要威脅向量
- 竊聽： 明文封包被嗅探工具（如 Wireshark）擷取
- 蹭網/入侵： 未授權裝置接入內網，竊取檔案、植入惡意程式
- 中間人攻擊： 偽裝 AP 欺騙用戶連線，攔截認證資訊
四大防護措施詳細實作
1. 正確設定網路金鑰（WPA2-AES 為首選）
步驟：
- 有線連接 AP 管理介面（通常 192.168.1.1）
- 登入 → 無線設定 → 安全選項 → 選 WPA2-PSK (AES)
- 設定強密碼（8-63 字元，混合大小寫、數字、符號）
- 重啟 AP 生效
- 用戶端：網路連線 → 無線網路連線 → 內容 → 關聯 → 資料加密選 WPA2-PSK → 輸入相同金鑰
避坑： WEP 64/128-bit 極易破解（幾分鐘），嚴禁使用。WPA-TKIP 亦有漏洞，務必選 WPA2-AES（或 WPA3）。
2. 修改預設 SSID 並關閉廣播
- 預設 SSID（如 "TP-LINK"、"default"）洩露設備品牌，助長字典攻擊
- 自訂唯一、無個人資訊的 SSID（如 "HomeNet_7X9K"）
- 停用 SSID 廣播： 管理介面取消「啟用 SSID 廣播」，用戶端需手動輸入 SSID 連線，大幅降低被發現機率
3. 優化天線佈局：物理層面的安全
- AP 置於使用區域幾何中心，訊號均勻覆蓋目標區
- 避免靠近窗戶、外牆、金屬物體，減少訊號外洩
- 若為定向天線，調整波束指向室內
- 降低發射功率（若 AP 支援）至剛好覆蓋需求範圍
4. 進階存取控制：MAC 位址過濾 + 關閉無用服務
- MAC 存取控制清單 (ACL)： 僅允許已登記 MAC 位址的裝置連線（管理介面 → 無線 → MAC 過濾 → 新增允許清單）。注意：MAC 可偽造，屬第二道防線
- 關閉 SNMP： 防止管理資訊洩露
- 關閉遠端管理： 僅允許有線區域網路存取 AP 管理介面
- 固件更新： 定期檢查廠商安全性更新
安全性現狀與心法
802.11a/b/g/n/ac/ax 標準皆支援上述功能，但僅能防禦一般入侵。高階攻擊者可破解 WPA2（KRACK）、偽造 MAC、解調隱藏 SSID。真正的安全在於：分層防禦 + 持續更新 + 最小權限原則。企業環境建議部署 802.1X/RADIUS 認證、WPA3-Enterprise、無線入偵系統 (WIPS)。
家用/中小企業：WPA2-AES 強密碼 + 修改 SSID + 關閉廣播 + MAC 過濾 + 關閉遠管 + 固件更新，即可構建高門檻防線，讓多數蹭網者與腳本小子望而卻步。
