家庭 Wi‑Fi 如何保護才更安全？如果你只打算做一件事提升家庭 Wi‑Fi 安全，那件事不應只是「把密碼改複雜一點」。真正有效的做法，是同時收緊管理員密碼、無線加密、固件更新、訪客網絡和 IoT 裝置隔離。FTC、CISA 和 Apple 的公開建議其實都指向同一件事：家庭網絡的風險，往往出在舊設定、預設設定，以及長期沒有人管理的設定上。［1］［2］［3］常見的「屋企 Wi‑Fi 點樣保護」問題，答案通常就落在這幾項容易被遺忘的設定上。

關鍵要點

家庭 Wi‑Fi 安全的核心不是單一技巧，而是一組設定同時生效。［1］［2］

管理員密碼、WPA3/WPA2、固件更新和關閉 WPS，通常是最先要做的幾步。［1］［2］［3］

把訪客裝置和 IoT 裝置從主網絡分開，往往比單純換密碼更能降低橫向風險。

路由器只要仍使用預設配置，就很難算是已加固。

家庭網絡防的是本地入口；外出連酒店和咖啡店熱點時，鏈路加密又是另一層問題。

很多人把家中 Wi‑Fi 當成「能上網就可以」的基礎設施，但它其實更像家庭數碼生活的總入口。門鎖鬆一點，影響就不只是網絡不穩，還可能波及電腦、手機、攝影機和 NAS。

如果你想先確認「是否已被人蹭網」或「路由器是否被動過手腳」，可以先讀檢查有沒有人未經許可使用 Wi‑Fi和檢查路由器有沒有被入侵的跡象。想把這類家庭網絡問題放回更大的安全框架理解，也可以看網絡安全完整指南；如果你更關心普通家庭應先補哪些私隱和暴露面，減少日常私隱暴露會更貼近日常情境。

家庭 Wi‑Fi 如何保護？先把安全理解成哪幾層

拆開來看，會更容易做對：

路由器管理層：誰能進入後台、誰能修改配置；
無線接入層：其他人能否輕易連上你的 Wi‑Fi；
局域網分層：連進來之後，能接觸到哪些裝置；
維護層：固件、DNS、遠端管理等長期設定有否失控。［1］［2］［3］

多數家庭網絡出問題，不是因為攻擊特別高深，而是其中一層長期預設開啟、長期沒有更新，或者長期沒有人檢查。

更改前先確認路由器屬於你，或已獲管理員授權。記錄型號、固件、路由器／接入點模式及可用的本地管理地址，離線保留受支援的設定備份；Apple 建議改設定前備份，並在更改後檢查裝置。［3］備份可能包含憑據，須妥善保護。安排本地復原入口和維護時間，記錄目前無線加密、訪客規則及管理設定，不把秘密複製到共享清單。本文按文件整理，作者未在你的路由器完成端到端實測；下文檢查描述預期結果。

家居 Wi-Fi 安全設定中應優先檢查哪些？

1. 先改路由器後台管理員密碼

Wi‑Fi 密碼和路由器後台密碼不是同一回事。前者決定誰能連網，後者決定誰能改規則。FTC 和 CISA 都建議家庭用戶盡早改掉預設管理員憑據。［1］［2］

如果你現在仍使用出廠時那組帳號密碼，優先級應直接拉到最高。

2. 無線加密優先用 WPA3，不行再退到 WPA2

Apple 的路由器建議文件和 CISA 的家庭網絡建議都指向同一方向：舊協議不應繼續當預設設定。［2］［3］如果你的裝置和路由器都支援，優先用 WPA3；如果兼容性不夠，再穩定使用 WPA2。

如果你不確定自己目前用的是甚麼，可以先看網絡安全密鑰是甚麼？如何查看 Wi‑Fi 密碼與安全類型。

3. 關閉 WPS 和不必要的遠端管理

WPS 最大的問題不是「方便」，而是它往往帶來額外攻擊面。遠端管理也是一樣，除非你真的有明確需要，否則關閉通常更穩。［1］［2］

IPv6 管理介面要與 IPv4 連接埠轉發分開核對。具有全球可路由 IPv6 地址，不代表管理服務在該介面監聽，也不代表路由器／主機入站規則容許存取或應用程式認證有效。RFC 6092 建議家居閘道預設不向外網提供管理服務，但這只是建議，不能證明你的型號實際設定。［5］在廠商介面把管理限制至預定可信 LAN 或私人途徑，同時檢查 IPv6 與 IPv4 規則。ICMPv6 ping 有回應既不代表管理頁開放，也不代表裝置已被入侵；應檢查指定管理服務及存取政策，不關閉防火牆，也不把 ping 被阻擋當成安全結論。

4. 固件更新別拖

固件更新不只是加入新功能，更常見的價值是修補已知漏洞和兼容問題。Apple 也把自動固件更新列為推薦設定之一。［3］

如果你已經忘記上次更新是甚麼時候，通常就是該更新的時候。

5. 把訪客網絡和 IoT 裝置分出去

這是很多家庭最容易忽略、但實際收益很高的一步。

訪客網絡不只是給朋友使用，也適合放臨時裝置和低信任裝置。攝影機、掃地機械人、電視盒、智能插座這類 IoT 裝置，更新慢、數量多、權限分散，最好不要長期和電腦、手機、辦公裝置混在同一個平面。

只有不同 SSID 不能證明隔離。功能取決於型號、固件及路由器／接入點模式；例如 TP-Link 文件的訪客選項容許存取本地網絡，開啟它就會改變邊界。［4］支援時關閉訪客到 LAN 的存取，再從獲授權的訪客裝置檢查已知正常的測試目標：

若訪客政策容許上網，互聯網存取應正常。
主 LAN 測試服務與 NAS 檔案服務應拒絕存取；已啟用 IPv4 和 IPv6 時，分別核對相應途徑。
路由器與 NAS 管理頁應拒絕訪客存取；只檢查可達性，不在訪客網絡輸入管理員憑據。

先從可信主 LAN 裝置確認目標服務正常，避免把服務離線誤當隔離。能看到受保護服務的登入頁仍代表網絡可達，不能當作網絡隔離。訪客仍可存取受保護目標時，停止搬移裝置，修正受支援規則或選擇真正隔離的網絡。需要本地探索的裝置可能失去部分功能；評估影響後，只容許文件明確支援的窄範圍例外。

6. 重新看一次 SSID、DNS 和 DHCP 設定

這幾項不一定最先出問題，但一旦被改，影響會比較大。Apple 的路由器建議也強調 DHCP、DNS 和 NAT 這類基礎設定的一致性。［3］

對普通家庭來說，不一定要手動調很多參數，但至少要知道：

SSID 不要保留太有辨識度的預設名稱；
DNS 不要莫名其妙被改成陌生地址；
網絡內最好只有一個主要 DHCP 伺服器。

這些做法看似「進階」，但不是最優先

Apple 建議關閉隱藏 SSID 及 MAC 位址過濾。隱藏名稱不會令網絡無法被偵測，MAC 位址亦可被複製或更改。不要為舊裝置保留 WEP、WPA 或 TKIP；優先選 WPA3 Personal，需要兼容時可用 WPA2/WPA3 過渡模式，或 WPA2 Personal 配合 AES。［3］

如果你想用最省事的順序做完

按這個順序通常最穩：

改管理員密碼；
確認無線加密為 WPA3 或 WPA2；
關閉 WPS 和不必要的遠端管理；
更新固件；
建好訪客網絡，把 IoT 裝置逐步遷過去；
再回頭檢查裝置列表和關鍵配置。

這套順序的好處是，先鎖好最關鍵的門，再慢慢做精細整理。

每次只改一項。儲存後確認本地管理仍可用，讓預定無線裝置重新連線，並重做受影響的允許／拒絕檢查。若管理入口消失或必要裝置無法重連，停止繼續更改，經已記錄的本地復原途徑只還原最後一項；入口不可用時，查該型號復原說明。不要中斷固件更新，不自行猜測降級步驟，也不在沒有復原計劃時重設出廠設定。更新或還原配置後，重新驗證訪客隔離及管理邊界；匯入設定不代表舊限制仍然生效。

總結

家庭 Wi‑Fi 安全不是只改一個密碼，而是把後台、無線接入、局域網分層和維護一起收緊。
管理員密碼、WPA3/WPA2、固件更新、關閉 WPS 和分網，是最值得優先做的幾步。
IoT 裝置和訪客裝置盡量不要跟主要辦公裝置長期混在同一網絡。
家中網絡加固和公共熱點防護不是同一件事，別混成一個問題處理。

常見問題（FAQ）

家庭 Wi‑Fi 安全最先應做哪一步？

通常先改路由器後台管理員密碼，再檢查無線加密和固件狀態。［1］［2］

只把 Wi‑Fi 密碼設複雜，就夠了嗎？

通常不夠。管理員密碼、WPS、遠端管理和固件更新同樣關鍵。

WPA2 現在還能用嗎？

如果兼容性要求使用 WPA2，應選用 WPA2 Personal（AES），避免 TKIP 和舊的 WPA/WPA2 混合模式。如果路由器和所有需要連接的裝置都支援 WPA3 Personal，便優先選用它。［3］

家居 Wi-Fi 真的有必要開訪客網絡嗎？

訪客及低信任裝置適合使用它，但前提是型號及規則確實做到隔離。單有訪客 SSID 並不足夠，仍須驗證訪客無法存取主 LAN、NAS 及管理頁。［4］

固件多久看一次比較合適？

沒有絕對固定周期，但如果路由器支援自動更新，建議開啟；不支援的話，至少定期檢查一次。［3］

免責聲明：本文僅供一般家庭網絡安全教育參考，不構成針對特定型號路由器的技術支援建議。不同品牌後台名稱、選單路徑和功能項可能有差異。

AethoVPN 只涉及裝置的 VPN 流量；路由器韌體更新、高強度 Wi‑Fi 密碼、訪客隔離及管理員權限仍須分別設定。

來源：

FTC Consumer Advice - How To Secure Your Home Wi-Fi Network — https://consumer.ftc.gov/articles/how-secure-your-home-wi-fi-network
CISA - Home Network Security (archived guidance, 2021) — https://www.cisa.gov/news-events/news/home-network-security
Apple Support - Recommended settings for Wi-Fi routers and access points — https://support.apple.com/en-us/102766
TP-Link — How to set up a Guest Network (model/mode-dependent local-network access) — https://www.tp-link.com/us/support/faq/2798/
RFC 6092 — Recommended Simple Security Capabilities in Customer Premises Equipment for Providing Residential IPv6 Internet Service, §3.5 — https://www.rfc-editor.org/rfc/rfc6092.html

Sources checked 2026 年 10 月 9 日。

延伸閱讀：

家庭 Wi‑Fi 如何保護才更安全？由路由器到 IoT 的關鍵設定