家用路由器安全加固 12 条：别让软路由变成肉鸡
软路由 7×24 小时在线、有公网 IP、性能还不弱——在扫描器眼里，这是完美的"肉鸡"候选。每年都有家用路由器被拿下后用来挖矿、发垃圾邮件，甚至成为攻击他人的跳板，而机主浑然不觉。下面 12 条按优先级排列，每条一句话讲清原理，并给出 LuCI 里的操作路径，照着做一遍，你的路由器就超过了 90% 的家庭用户。
先做这 4 条：堵住高危口子
1. 修改默认 root 密码
原理：出厂默认密码和弱口令是全网扫描器爆破的第一目标，改掉等于关掉最容易进的那扇门。 操作：LuCI → 系统 → 管理权，设置一个 12 位以上的强密码，SSH 和 LuCI 共用这个密码。
2. 禁止从外网访问管理界面
原理：LuCI 和 SSH 暴露在公网等于把大门钥匙孔亮给全世界看，99% 的家庭不需要从外网管路由器。 操作：LuCI → 网络 → 防火墙，确认 WAN 区域的"入站数据"为拒绝；再到"流量规则"里检查没有放行 80/443/22 端口的规则。需要远程管理就用 VPN 回家，别直接暴露端口。
3. 关闭不需要的服务
原理：每个开着的服务都是一个潜在的攻击面，Telnet、FTP 这类明文协议尤其危险。 操作：LuCI → 系统 → 启动项，把 Telnet、FTP 等不用的服务禁用。只保留你明确在用的服务，拿不准的先关掉，出问题再开。
4. 及时更新固件与软件包
原理：旧固件的已知漏洞是公开的，攻击者照着漏洞库扫一遍就行，更新是最便宜的防御。 操作：LuCI → 系统 → 软件包，定期点更新；大版本固件升级前先备份配置（见第 11 条）。
再做这 4 条：收紧访问控制
5. SSH 改用密钥登录，换掉默认端口
原理：密码再强也怕字典爆破，密钥登录直接让爆破失效；换端口则能躲掉 99% 的自动化扫描。 操作：把公钥写入 /etc/dropbear/authorized_keys，在"服务 → SSH"或配置文件里关掉密码登录，把端口从 22 改成 20000 以上的高位端口。改之前务必先测试密钥能登录成功，否则把自己锁在门外。
6. 防火墙 WAN 入站保持默认拒绝
原理：默认拒绝意味着"没明确允许的都进不来"，是防火墙最安全的工作模式。 操作：LuCI → 网络 → 防火墙 → 常规设置，WAN 区域的入站设为"拒绝"，出站和转发保持"接受"。端口转发规则一条一条按需加，加一条记一条用途。
7. WiFi 用 WPA2/WPA3 + 强密码
原理：WiFi 密码是邻居和蹭网者离你内网最近的一道墙，弱密码几分钟就能被跑字典跑出来。 操作：LuCI → 网络 → 无线，加密方式选 WPA2-PSK/WPA3-SAE 混合模式（老设备兼容）或纯 WPA3，密码 12 位以上、大小写加数字。顺手把 2.4G 和 5G 的 SSID 分开命名，方便管理。
8. 开访客网络并做好隔离
原理：客人手机、朋友的设备安全性未知，隔离后即使中招也碰不到你的 NAS 和内网设备。 操作：LuCI → 网络 → 无线，新建一个访客 SSID，绑定到单独的访客接口/防火墙区域，开启"客户端隔离"，只允许访客上外网、不允许访问内网。
最后这 4 条：纵深防御与好习惯
9. IoT 设备单独 VLAN（概念）
原理：摄像头、智能音箱这类 IoT 设备漏洞多、很少更新，一旦被黑会横向攻击内网其他设备，单独划一个网段等于给它们建了个"隔离间"。 操作思路：在"网络 → 交换机/接口"里新建 VLAN 和接口，把 IoT 设备接过去，防火墙里只允许它们上外网、禁止访问主内网。这是进阶操作，不熟悉 VLAN 可以先从第 8 条的访客网络练手。
10. 关闭 WPS
原理：WPS 的 PIN 码只有 8 位且可分段爆破，开着等于给 WiFi 密码留了个后门。 操作：LuCI → 网络 → 无线 → 对应 SSID 的设置，确认 WPS 处于关闭状态。现在设备配网都用 APP 或扫码，WPS 早该退役了。
11. 定期备份配置
原理：加固做得再好，一次误操作或变砖都可能前功尽弃，备份是唯一的后悔药。 操作：LuCI → 系统 → 备份/升级 → 生成备份，下载 backup-*.tar.gz 存到电脑和网盘各一份。每次大改配置前都先备份一次，养成习惯。
12. 定期看一眼日志
原理：攻击发生前通常有征兆——凌晨的陌生 SSH 登录尝试、异常的外连，日志里都写着。 操作：LuCI → 状态 → 系统日志，每月花 5 分钟扫一眼，重点关注：来自外网的 SSH 登录失败、陌生的端口转发、CPU/流量在你没用网时的异常升高。发现不对劲先改密码、查启动项。
补充：怎么判断路由器可能已经被入侵
加固之前，先花 5 分钟自查有没有"已经中招"的迹象。出现下面任何一条都别大意：
- 系统日志里有大量来自外网 IP 的 SSH 登录尝试，尤其是凌晨时段；
- 路由器没人用的时候，CPU 占用率长期居高不下，或上行流量异常放大；
- 防火墙的端口转发规则里多出你没加过的条目；
- DNS 设置被改成了陌生的地址，或 DHCP 下发的网关不是你的路由器。
如果高度怀疑已被入侵，最稳妥的做法是：备份重要配置后重刷干净固件，不要只改个密码就以为没事了——入侵者可能留了后门。重刷后再按本文 12 条从头加固一遍。
加固检查清单：一张表自查
12 条做完后，对着这张表逐项打勾，确认没有遗漏：
| 编号 | 检查项 | 完成 |
|---|---|---|
| 1 | root 密码已改为 12 位以上强密码 | ☐ |
| 2 | LuCI/SSH 无法从外网直接访问 | ☐ |
| 3 | Telnet 等无用服务已关闭 | ☐ |
| 4 | 固件和软件包为近期版本 | ☐ |
| 5 | SSH 已换密钥登录 + 非默认端口 | ☐ |
| 6 | 防火墙 WAN 入站为默认拒绝 | ☐ |
| 7 | WiFi 为 WPA2/WPA3 + 强密码 | ☐ |
| 8 | 访客网络已开启并隔离内网 | ☐ |
| 9 | IoT 设备已隔离或已有隔离计划 | ☐ |
| 10 | WPS 已关闭 | ☐ |
| 11 | 配置备份已存到电脑和网盘 | ☐ |
| 12 | 本月已检查过一次系统日志 | ☐ |
建议把这张表保存下来，每季度复查一次。网络环境一直在变——新设备入网、固件升级、家人新需求，安全是持续的过程，不是一次性工程。每次复查只花 10 分钟，但能确保之前的加固没有随时间松动。
总结
12 条浓缩成三句话：高危口子先堵（改密码、关外网管理、关多余服务、勤更新），访问控制收紧（SSH 密钥化、防火墙默认拒绝、WiFi 强密码、访客隔离），好习惯兜底（IoT 隔离、关 WPS、勤备份、看日志）。安全投入和风险永远是 trade-off，但上面这 12 条的成本只是一个晚上的时间，换来的却是实实在在的安心，这笔买卖怎么算都划算。安全没有一劳永逸，但把这 12 条做完，你的软路由就已经比绝大多数家庭网络难啃得多。今晚就花半小时，从第 1 条开始动手。