家庭与小型办公网络加固备忘录

## 起因 帮朋友看他的小店网络：一台运营商光猫、一台家用路由器、两台收银机、若干监控摄像头和店内的 Wi-Fi。查下来问题不少——路由器管理页还挂着默认密码，摄像头直接暴露在公网，Wi-Fi 用的是十几年前就破解的 WPA2 加密方式。他说"小店没人盯"，可现实是扫描器每天都在全网爬。 这篇把家用和小型办公网络的加固项按优先级列一遍，都是成本很低但收益很高的事。 ## 第一优先：管理面 **改掉所有默认密码。** 路由器、摄像头、交换机、NAS，凡是带 Web 管理页的，出厂密码必须换。这是被攻破最常见的原因，没有之一。 **关掉不必要的远程管理。** 路由器后台的"远程管理/远程维护"默认开着的话，等于把控制权挂到公网。除非确有需要，否则全关。 **管理页只在内网访问。** 如果必须远程管理，别开端口映射，用 VPN 或者带认证的内网穿透，并且限定来源 IP。 ## 第二优先：Wi-Fi - 加密方式选 **WPA2-AES 或 WPA3**，别用 WPA/WPA2 混合模式，也别用 WEP。 - 密码至少 12 位，纯 WPA 个人密码别用手机号、生日这类。 - **单独开一个访客网络**给顾客和 IoT 设备，与收银、监控的内网隔离。家用路由器基本都支持，五个开关的事。 - 关掉 WPS。这个按钮的安全漏洞已经很多年没修，等于留了条后门。 ## 第三优先：设备暴露面 **摄像头不要直接映射到公网。** 这是重灾区——大量摄像头被扫到后加入僵尸网络。正确做法是只在内网访问，外网要看就走 VPN 或者厂商云服务。 **UPnP 关掉。** 它会让内网设备自己往路由器上加端口映射，你根本不知道开了哪些口。有端口需求就手动加。 **梳理端口映射清单。** 在路由器上把已有的映射规则逐条看一遍，说不清用途的一律删。 ## 第四优先：监控摄像头与收银隔离 小店的网络理想结构是**三段**： ``` 光猫(桥接) → 路由器 → [收银 VLAN | 监控 VLAN | 顾客 Wi-Fi] ``` 监控和收银不要在同一广播域。不然任何一台摄像头被拿下，攻击者就能直接嗅探收银机的流量。用 VLAN 或者至少用两台物理设备分开，成本都不高。 ## 第五优先：固件与备份 - 路由器、交换机、摄像头固件定期看有没有更新。很多漏洞在固件里，厂商发了补丁没人打。 - 把路由器的配置**导出备份**，出问题能一键恢复。小店里"配置丢了找人上门重配"比更新固件贵得多。 - 收银机别用来下载软件、插来源不明的 U 盘。 ## 一份最小加固清单 按顺序打勾，一个下午能做完： 1. 所有设备默认密码已改 2. 路由器远程管理已关，UPnP 已关，WPS 已关 3. Wi-Fi 为 WPA2-AES/WPA3，密码 12 位以上 4. 访客网络已启用，顾客设备与内网隔离 5. 摄像头无公网映射，与收银不同网段 6. 端口映射清单已逐条确认 7. 固件已更新，配置已导出备份 ## 最后一句 安全这件事的性价比很奇怪：**最便宜的措施往往最有效**。上面七条不花一分钱，却能挡掉绝大多数自动化扫描。反倒是买很贵的防火墙却用默认密码，一点用都没有。