2014年7月6日《電子報》第27期第13版《無線路由器安全設置中的注意事項》一文中提到：“目前的安全應用問題已經迫使用戶在設置時必須加強安全防范”。并提出了更改無線路由器默認登陸密碼、設置復雜密碼、不使用WEP加密方式、在無線局域網內不共享文件等解決辦法。無獨有偶，同期《電子報》第二版的《當心無線路由器“出賣”了你》一文也提出“無線上網要有安全意識”。如果無線網絡被攻破，輕則因帶寬流失影響上網體驗，重則導致資料被盜，甚至智能設備（如智能電視、智能手機、家用網絡監(jiān)控攝像頭等）被攻陷而被黑客控制。在實際使用中，怎樣才能確保無線網絡不被未授權的用戶登入和使用呢？我們可以多管齊下，全面防范，為無線網絡打造一堵堅固的銅墻鐵壁。
一、修改無線路由器默認登陸用戶名和密碼
路由器登陸用戶名和密碼是全面掌控一個路由器的鑰匙，拿到這個用戶名和密碼，任何人都能對路由器設置進行查看和修改，輕易取得上網賬號、密碼和無線登陸密碼等關鍵信息。更為嚴重的是，一些ISP提供使用寬帶賬號進行網絡消費或積分消費等服務，上網賬號密碼被他人知道后，就有可能導致財產損失。此外，別人登陸路由器后也可以修改路由器設置，使網絡出現(xiàn)異常。所以修改路由器的默認用戶名和密碼是保障網絡安全的首要措施。
修改無線路由器默認用戶名和密碼一般在路由器的“系統(tǒng)設置”選項里面。修改時要注意以下事項：用戶名避免使用admin、adsys、guest、root等常用名，也不要使用自己姓名的拼音等容易被他人猜到的組合。密碼不能與用戶名相同，最好由數字、大寫字母、小寫字母、符號混合而成，長度要大于8位，如果可以最好達到20位。絕不能用單位名、公司名、地名、生日等做密碼，這些密碼最易被居心不良者猜測到。設置好用戶名和密碼后，應當用筆寫下來，以防忘記。
二、啟用WPA/WPA2無線加密，設置復雜的長密碼，增加密碼破解難度
WEP加密可靠性極低，要保證無線網絡安全，必須使用WPA/WPA2加密方式。但是，WPA/WPA2加密在理論上雖然安全，仍存在被窮舉法破解的危險。設置不當的無線上網密碼，數分鐘內就會被攻破。故無線上網密碼同樣應盡量復雜，由要數字、大寫字母、小寫字母、符號混合而成，長度最好大于20位。
三、關閉無線路由器的WPS（或WSC）功能
WPS（Wi-Fi Protected Setup，中文名Wi-Fi保護設置）是簡化無線連接的一個技術，使用WPS功能，用戶可以把新設備簡便連接到無線網絡中。但是WPS技術也給無線網絡帶來了漏洞，在舊的沒有防WPS破解的路由器上，有心人僅用2小時就能破解無線登陸密碼，然后就可肆無忌憚地使用被破解的無線網絡或進行其他破壞。即使是有防WPS破解的無線路由器上，也有人稱，只要耐心跑PIN，亦能破解無線登陸密碼。尤為嚴重的是，筆者曾發(fā)現(xiàn)一些ISP定制的無線路由器共用同一個PIN碼，這意味著有心人能根據已知的PIN碼秒破無線網絡，即使你的無線密碼設置得多強大也無用。因此，為謹慎起見，關閉無線路由器的WPS功能更為安全，而我們付出的代價僅僅是在加入新的無線設備時手動選擇和輸入無線網絡的SSID及密碼而已。
四、啟用無線MAC過濾，杜絕非法用戶登入
MAC地址是網卡的硬件地址，具有全球唯一性，沒有任何兩張網卡的MAC地址是一樣的。而絕大多數無線路由器帶有無線MAC地址過濾功能，開啟這個功能，并選擇“允許表中MAC的無線連接(禁止其他MAC的無線連接)”選項（圖1，以磊科NR236W為例），然后把所有合法用戶的無線網卡的MAC地址填寫到列表中。設置好后，只有使用在表中列出MAC地址的無線網卡的電腦才能登陸無線網絡，未得到授權的網絡設備，就算知道無線密碼，在試圖登陸時也會被無線路由器拒絕。即使非法用戶使盡手段探知被允許的MAC地址，并用軟件方法把自己網卡的MAC地址修改為授權用戶的，也會由于同一網絡中不能存在兩個相同的MAC地址而使其中一個被擠下線，從而使非法入侵行徑暴露。
五、關閉SSID廣播，增加破解難度
要登陸無線網絡，首先要知道無線網絡的SSID。關閉SSID廣播能使普遍非法用戶無法查知無線網絡的SSID，提高安全性。需要注意的是，關閉SSID廣播后，加入新的無線設備時需手動指定SSID，否則將無法登陸無線網絡。
六、修改路由器默認IP地址
條件許可時，設置合適大小的DHCP地址池，綁定MAC與IP地址，不為非法用戶分配IP地址。
修改路由器默認IP地址，使試圖登陸路由器的非法用戶猜不到路由器的IP。條件許可時，禁用DHCP服務或為每臺電腦綁定IP址，并設置DHCP池的大小與設備數相當，使非法用戶不能通過DHCP查知在用的網段，從而使其無法使用網絡資源和攻擊網內設備。
更改后的路由器IP地址也要記下來，以防忘記。
如果所有用戶都會指定IP地址，則最好關閉DHCP服務器，所有電腦都手動指定IP。
七、在信號覆蓋良好的前提下，盡可能減小無線功率
破解無線網絡的首要條件是信號穩(wěn)定可靠，在信號不良的情況下破解成功率會大幅下降。因此，在保證使用范圍內所有設備的信號穩(wěn)定可靠的前提下，可以適當減小無線功率以縮小信號覆蓋范圍（圖2），使遠處的非法用戶得到的信號減弱，增加破解和登陸難度。
八、設置路由器定時關閉無線網絡，增加破解難度
現(xiàn)在不少無線路由器支持定時關閉無線網絡功能，通過這個功能能使無線路由器只在需要的時間段提供無線網絡服務。例如我們在工作日的9:00~17：00不在家，23:00~次日6：00休息，這段時間不需要使用無線網絡，通過設置無線路由器的定時關閉無線網絡功能在這兩個時段關閉無線網絡（不同路由器設置方法不同，具體設置參閱路由器廠家說明文檔），一是能減少家里的無線輻射，二是能降低無線路由器的功耗，更為重要的是，通常破解者用跑PIN的方法破解無線網絡需要長時間穩(wěn)定可靠的信號，當無法長時間連續(xù)得到穩(wěn)定信號后，破解者往往難以耐心繼續(xù)下去而轉移目標。
九、對于以蹭網為目的的非法用戶，還可以用以下方式加以限制：
1.通過QOS功能對合法的被綁定的IP地址外的其他IP地址進行限速，比如限制上傳、下載速度均為1Kb/s。這樣非法用戶就算用盡辦法連上網絡，這樣的上網速度也沒有可用性。
2.使用支持WEB網頁認證的無線路由器，讓用戶認證后才能上網；或使用支持PPPoE服務器的路由器，為用戶分配獨立的上網用戶名和密碼。這樣，即使破解者能登錄上無線網絡，由于沒有通過認證，也無法上網。除非他連無線中路由器的登陸用戶名和密碼也拿到手，才能進入路由器修改設置上網。
十、設置適當的權限
在無線網絡內共享機密文件時，共享文件應存儲在NTFS分區(qū)，并為相應用戶設置適當的權限，完全禁止來賓（guest）帳戶訪問，或干脆禁用來賓（guest）帳戶。在Windows控制面板里的“用戶管理”中，給每個用戶設置強密碼，以防被攻破。重要文件在網絡中傳送和保存時，還必須用其他方式進行加密，切忌以明文形式傳送。
一般情況下，做到前4點基本能保證無線網絡的安全性，如果以上10點都做好，基本上就萬無一失了。
◇廣西欽州 陳文宇
聯(lián)系客服
