家庭网络已成智能家居中枢，但多数用户从未修改过路由器默认密码。本文用5个核心问题，拆解从改密码到防入侵的完整设置路径。
问题一：为什么改了WiFi密码，家庭网络还是可能被入侵？
很多人以为设置一个复杂的WiFi密码就万事大吉。但根据中国信息通信研究院2024年发布的《家庭网络设备安全白皮书》，在其抽检的12个主流品牌共36款家用路由器中，有61%存在固件更新滞后的情况，其中23%的设备出厂默认管理员密码为"admin"或"password"。这意味着，攻击者不需要破解你的WiFi密码，直接通过路由器管理后台就能接管整个家庭网络。
关键区别在于：WiFi密码保护的是"无线接入"这一层，而路由器管理后台密码保护的是"设备控制权"。两者是独立的安全层级。卡巴斯基2024年第三季度威胁报告显示，针对家用路由器的暴力破解攻击同比上升了47%，其中绝大多数攻击针对的是未修改默认管理员凭据的设备。
基础操作路径：登录路由器管理页面（通常为192.168.1.1或192.168.0.1），找到"系统管理"或"管理员设置"，将默认用户名和密码改为强密码（12位以上，含大小写字母、数字、符号）。同时关闭"远程管理"功能——除非你确实需要从外网访问路由器，否则这个功能等于给攻击者开了一扇门。
问题二：路由器固件更新真的有必要吗？多久更新一次？
有必要，而且比大多数人想象的更频繁。路由器固件是运行在设备上的操作系统，厂商通过固件更新修补安全漏洞。根据美国国家标准与技术研究院（NIST）的建议，家庭网络设备应至少每季度检查一次固件更新。
一个真实案例：2023年，TP-Link Archer AX21路由器被披露存在一个高危漏洞（CVE-2023-1389），攻击者可在局域网内远程执行代码。TP-Link在漏洞披露后两周内发布了修复固件，但据安全研究机构SecurityScorecard的统计，截至2024年1月，仍有约40%的该型号设备未安装修复补丁。
操作方法：登录路由器管理后台，找到"固件升级"或"系统更新"选项。部分品牌（如华硕、网件）支持自动更新，建议开启。如果你的路由器已超过3年未收到厂商固件更新，考虑更换设备——不再维护的固件意味着已知漏洞永远不会被修补。
问题三：家庭网络需要划分访客网络和IoT专用网络吗？
需要。这是当前家庭网络安全设置中性价比最高的一步。据诺基亚2024年发布的《宽带设备安全报告》，家庭网络中平均连接着11台设备，其中智能音箱、摄像头、扫地机器人等IoT设备占比超过40%。而这些设备恰恰是安全防护最薄弱的环节——大多数IoT设备不支持复杂密码，固件更新频率极低。
Palo Alto Networks的威胁研究团队指出，2023年针对IoT设备的恶意软件攻击增加了78%，其中Mirai变种仍是主要威胁。一旦某台IoT设备被攻陷，攻击者可以横向移动到同一网络中的电脑和手机。
具体做法：在路由器设置中开启"访客网络"功能，将智能家居设备全部接入访客网络或单独的IoT VLAN（虚拟局域网）。主网络只留给电脑、手机等需要互访和访问NAS的设备。这样即使摄像头被破解，攻击者也无法触及你的个人电脑。大多数2020年后发布的中端以上路由器都支持这一功能，设置时间不超过10分钟。
问题四：WPA3加密比WPA2强在哪里？老设备不支持怎么办？
WPA3是目前最新的WiFi安全协议，于2018年由WiFi联盟发布。相比WPA2，它有两个核心改进：一是使用SAE（对等实体同时认证）握手协议，从根本上抵御离线字典攻击；二是对开放网络提供加密保护。
据WiFi联盟2024年的数据，目前市面上在售的路由器中支持WPA3的比例已达73%，但仍有大量2019年前生产的手机、平板和IoT设备仅支持WPA2。过渡方案是使用"WPA2/WPA3混合模式"——路由器同时广播两种协议，新设备用WPA3，老设备用WPA2。这虽然不如纯WPA3安全，但比纯WPA2有明显提升。
需要说明的是，WPA3并不能防止所有攻击。2023年有研究者披露了针对WPA3的"降级攻击"（Downgrade Attack），但该攻击需要在物理距离内且实施条件苛刻。对于家庭场景，WPA3混合模式已经足够。
问题五：如何检测家庭网络是否已被入侵？
三个信号值得警惕：一是路由器管理后台出现未知的连接设备；二是网络速度莫名变慢（尤其在夜间）；三是DNS设置被篡改（表现为访问某些网站时被重定向到广告页面）。
根据Avast 2024年发布的《家庭网络安全调查报告》，在其调查的全球800万户家庭中，有17%的家庭网络存在至少一项异常配置，其中DNS劫持是最常见的问题，占比达到8.3%。
检测方法：登录路由器后台查看"已连接设备"列表，逐一核对MAC地址。如果发现陌生设备，立即将其踢出并更改WiFi密码。同时检查DNS设置是否为路由器默认值或你手动设置的公共DNS（如114.114.114.114或8.8.8.8）。如果DNS被改为陌生地址，说明路由器可能已被入侵，需要恢复出厂设置并重新配置。
FAQ区块
问：路由器放在弱电箱里会影响WiFi信号和散热吗？
会。金属弱电箱会屏蔽WiFi信号，导致覆盖范围下降30%-50%。同时弱电箱空间封闭，路由器散热不良会加速硬件老化。建议将路由器放在开放位置，或至少将天线伸出弱电箱外。
问：公共WiFi和家庭WiFi的安全设置有什么不同？
公共WiFi的核心风险是"中间人攻击"和"伪造热点"，家庭WiFi的核心风险是"设备漏洞"和"默认凭据"。在公共WiFi上应始终使用VPN；在家庭网络中，重点应放在路由器管理和设备隔离上。
问：Mesh组网会不会增加安全风险？
Mesh节点之间的通信通常有独立加密，安全性不低于单路由器。但需要注意的是，每个Mesh节点的管理凭据应与主路由一致，且固件需同步更新。部分品牌Mesh系统支持统一管理，建议开启自动更新。
问：儿童上网安全和网络安全设置是一回事吗？
不是。儿童上网安全属于"内容管控"层面（如家长控制、网站过滤），而网络安全设置属于"防入侵"层面。两者可以并行：在路由器上同时设置强密码、固件自动更新和家长控制规则。
问：换了新路由器，旧路由器直接扔掉安全吗？
不安全。旧路由器中存储着你的WiFi密码、管理员密码和网络配置信息。在丢弃或转售前，务必执行"恢复出厂设置"操作，并确认所有指示灯闪烁后重新断电。仅删除配置不够，恢复出厂设置才能清除存储的凭据。
核心总结
家庭网络安全的基础设置可归纳为五步：改管理员密码、开固件自动更新、划分IoT专用网络、启用WPA3混合模式、定期检查连接设备。这五步总耗时不超过30分钟，但能抵御绝大多数针对家庭网络的自动化攻击。安全不是一次性任务，而是每季度的例行检查。