路由器的 6 个默认设置，大多数家庭从没改过

买回来插上电就用，是绝大多数家庭的真实状态

路由器是家里唯一一台 24 小时不关机、直接对着公网、还掌管所有设备流量的设备。但它也是最少被人打开设置页的设备——很多人从装机那天起，就没再登录过后台。

出厂默认值的设计目标是”插上就能用”，不是”用得安全”。这两件事在多数情况下并不冲突，但在几个关键项上是冲突的。下面六项，今天花二十分钟就能改完。

1. 管理后台：先改密码，再关掉远程访问

很多机型的后台默认账号密码是 admin / admin，或者印在机身底部。问题不在于密码简单，而在于部分固件默认允许从公网侧访问管理页面。

要做两件事：一是把管理密码改成一个独立的高强度密码（不要和 Wi-Fi 密码相同）；二是在设置里找到”远程管理””从互联网访问”之类的开关，确认它是关闭的。

顺带说一句，如果家里是光猫加路由的组合，建议把光猫改成桥接模式、由路由器拨号。双重 NAT 会让端口映射、远程访问、部分游戏联机都变得难以排查。

2. 加密方式：选 WPA2 或 WPA3，并且关掉 WPS

加密协议选 WPA2-PSK（AES）或 WPA3。不要再使用 WEP，也不要选”WPA/WPA2 混合”里的 TKIP 部分——TKIP 早已被证明不安全。

WPS 是另一个必须关掉的项。它的设计初衷是”按一下按钮就能连网”，但 PIN 码方式存在被穷举的先天缺陷，这个问题在 2011 年被公开提出后，一直没有得到彻底解决。方便和可被暴力破解，在这里是同一件事的两面。

如果你的设备都支持 WPA3，直接用 WPA3；如果家里有较老的智能家居设备连不上，选 WPA2/WPA3 混合模式，兼容性更稳。

3. UPnP：方便，但把开门权交给了内网程序

UPnP 允许内网设备自动在路由器上开端口，不需要人工配置。游戏主机、下载工具、部分视频通话软件都依赖它。

风险在于：任何一个在内网运行的软件，都可以借它把端口暴露到公网，而你不会收到任何提示。如果家里有摄像头、NAS 这类设备，这个风险会被放大。

建议做法是关闭 UPnP，需要时手动做端口映射。如果确实依赖它（比如主机联机），至少确保内网设备本身是干净的，并且定期看一眼端口映射列表有没有异常条目。

4. 双频要不要分开命名

现在多数路由器会把 2.4GHz 和 5GHz 合并成同一个名字，由设备自己选。这在小户型里体验不错，但在两种情况下会出问题：

• 智能家居设备连不上：不少 IoT 设备只支持 2.4GHz，合并命名时容易握手失败；
• 设备”粘”在慢频段：离得远时切到 2.4GHz，走回来却不切回 5GHz，速度一直上不去。

如果遇到这两种情况，把两个频段改成不同的名字（比如加 -5G 后缀），手动分配。代价是要多管理一个网络，收益是排障时能立刻定位问题在哪个频段。

另外，2.4GHz 的信道建议固定在 1、6、11 这三个互不重叠的选项之一，别用”自动”——自动选择往往在邻居路由器多的环境里反复跳变。

5. 固件和云管理

固件更新修的多是安全漏洞，但很多人从买到扔都没更新过一次。建议每季度登录后台看一次有没有新版本，更新时用有线连接，别在 Wi-Fi 上刷固件。

云管理功能要分开看：如果你确实需要在外网查看家里网络，它有价值；如果不需要，关掉能减少一个暴露面。用不到的功能开着，等于替别人保管一把钥匙。

6. 给智能设备单独划一块地

摄像头、扫地机、智能音箱这类设备，固件更新慢、安全投入少，是家庭网络里最薄弱的一环。多数路由器都提供”访客网络”或”IoT 网络”功能，核心价值是隔离：即使某台设备被攻破，也进不了你的电脑和 NAS。

开启时注意两点：一是关闭访客网络里的”允许访问内网设备”选项；二是如果需要在手机上看摄像头，确认隔离策略没有把这条路径也切断。

7. 位置比参数更重要

很多人花大价钱换路由器，却把它塞在弱电箱里。金属箱体对 Wi-Fi 信号的衰减，足以让一台好路由退化成一台差路由。

三条经验：放在房屋中心位置、离地一米以上、远离微波炉和无绳电话主机。天线如果是外置的，一根竖直、一根水平，能让不同朝向的设备都拿到较好的信号。

8. 一张对照表

写在最后

这六项加起来大概二十分钟，不需要任何专业知识，也不需要换设备。它们的共同点是：默认值为了”能连上”，而你要的是”只让该连的连上”。

家庭网络的安全从来不是靠某一台设备，而是靠几个不起眼的开关。大多数人不是不在意，只是不知道这些开关存在。今天知道了，就顺手改掉。

你家的路由器，上次登录后台是什么时候？