从路由器设置开始筑牢第一道防线
很多人觉得无线网络只要设个密码就安全了，其实远远不够。刚买回来的路由器默认都是通用管理账号，比如 admin/admin，这种信息在网上一搜一大把。第一时间修改管理后台的登录用户名和密码，是必须做的第一步。进入路由器管理页面后，别忘了关闭远程管理功能，避免外网直接访问你的设备设置。
启用强加密方式，拒绝老旧协议
在Wi-Fi加密类型中，WEP早已被证明不安全，连破解工具都成了公开资源。现在应该使用WPA3或至少WPA2-PSK（AES）加密模式。如果你家里的设备比较老，不支持WPA2以上标准，那就得考虑逐步淘汰这些设备了。毕竟为了一个旧打印机冒整个网络的风险，实在不划算。
合理划分网络区域，用好访客网络
家里来客人时，直接告诉他们主Wi-Fi密码？这等于把家门钥匙借出去还附带保险柜位置说明。大多数现代路由器都支持开启独立的访客网络，它和你主网络隔离，只能上网不能访问局域网内的NAS、摄像头或其他设备。公司里更该这么做，访客、员工、管理层各自分配不同SSID和权限，最小化横向渗透可能。
定期更新固件，别让漏洞长期开着门
厂商发布的固件更新往往修复了已知安全漏洞。比如某品牌路由器曾曝出远程命令执行漏洞，未打补丁的设备可能被黑客控制。打开自动更新选项或者每月手动检查一次固件版本，花不了几分钟，却能堵住不少潜在入口。有些企业环境还会部署集中管理系统统一推送更新，效率更高。
隐藏SSID并限制接入设备数量
虽然隐藏SSID不能完全防住专业攻击者，但至少能让普通扫描工具看不到你的网络名称，减少被盯上的几率。配合MAC地址过滤，只允许登记过的设备连接，虽然麻烦一点——每次新手机要手动添加，但在小型办公室或家庭环境中很实用。当然，MAC地址可以伪造，所以这只是辅助手段，不能当主力防护。
配置防火墙与监控异常流量
大多数家用路由器内置基础防火墙，确保它是开启状态。高级一点的型号支持自定义规则，比如阻止某些端口对外通信。如果发现某个智能灯泡频繁连接国外IP，那就有问题了。通过日志查看连接记录，结合第三方工具如Pi-hole做DNS层面拦截，能提前发现异常行为。企业级环境建议部署IDS（入侵检测系统），对无线流量实时分析。
企业级无线网络中的802.1X认证
大公司部署无线网不会只靠一个密码共享所有人。采用802.1X+EAP-TLS这类认证机制，每个员工用独立账号登录，配合RADIUS服务器验证身份。这样即使有人离职，只需停用其账户即可，不用重新改全网密码。证书绑定设备还能防止仿冒接入点欺骗。
代码示例：配置OpenWRT防火墙规则
如果你使用OpenWRT这类开源固件，可以通过以下配置增强安全性：
config rule \n\toption name \'Block_Outbound_Malicious_Port\' \n\toption src \'lan\' \n\toption dest_port \'4444\' \n\toption proto \'tcp\' \n\toption target \'REJECT\' \n\toption family \'ipv4\'这条规则会阻止内网设备向外部发起TCP 4444端口连接，常见于木马回传通信。
物理层面也不能忽视
无线信号穿墙太强也是隐患。曾经有案例显示，写字楼隔壁公司的员工无意中连上了邻居家的Wi-Fi，导致数据泄露。调整路由器天线方向或降低发射功率，把信号控制在必要范围内，既节能又安全。重要场所甚至可采用法拉第笼设计阻断信号外泄。