前两天帮A同学排查家里的网络问题，一进门就被网速卡得怀疑人生。登录路由器后台看了一眼，好家伙，连接列表里除了她自己那几台设备，还挂着三个完全不认识的名字，其中一个正在满速下载。这个场景我见过太多次了。不是大家不想管WiFi安全，而是根本不知道从哪里下手——密码用生日、管理后台还是出厂默认、加密方式还停留在十几年前的老标准，这些在大多数人家里几乎是常态。

这篇就是用来解决这个问题的。家庭和公共WiFi的安全，从密码怎么设、路由器怎么配，到怎么发现有人蹭网、在外面连公共WiFi时要守住哪些底线，我都会按实际操作经验写清楚。不懂技术的新手，跟着章节一步步做就行；有基础的朋友可以直接跳到防蹭网和公共WiFi那两章，对照检查自己的配置有没有疏漏。

1. 先看清风险地图：家庭WiFi与公共WiFi到底怕什么

1.1 家庭WiFi的漏洞清单，你现在可能就占了好几条

家庭WiFi最大的问题是“内部过度信任”。所有设备连进同一个网络之后，它们在局域网里是可以互相访问的，一旦某台设备被攻破，攻击者就能拿它当跳板去扫描其他设备。这是我做安全配置时最常讲的逻辑：家庭网络的安全不能只防外贼，还要防内鬼，哪怕这个“内鬼”只是邻居蹭网的人。

先从最常见的风险说起。第一是WiFi密码太简单，生日、门牌号、连续数字，这种密码碰上暴力破解只是时间问题。第二是路由器管理后台还停留在出厂默认状态，任何人连上你的WiFi之后，在浏览器里输入管理地址就能用默认账号密码登录，这等于把保险柜钥匙放在保险柜顶上。第三是加密标准老旧，WEP和WPA早就被攻破了，还在用TKIP的设备基本等于没设防。第四是WPS按钮默认开启，这个功能的初衷是方便连接设备，实际却给暴力破解开了后门，攻击者可以反复试探PIN码。第五是没有访客网络，客人来了直接连主网络，智能电视、打印机、NAS全都暴露在同一张网里。第六是固件常年不更新，厂商修复了安全漏洞，你却一直运行着带漏洞的旧版本。第七是IoT设备不隔离，摄像头、智能音箱这类设备安全防护普遍较弱，一旦被利用就能变成内网跳板。

这七个问题单看都不起眼，但组合起来就是很多家庭网络的真实状态。我就见过密码用门牌号、管理后台开着默认账号、WPS还保持出厂开启的配置，外人连上WiFi之后几乎可以畅通无阻地访问所有设备。所以我建议你先别急着往下看，把这份清单当成自查表，逐条对照自己家路由器后台的设置，心里有底再动手。这样后面按步骤操作时，你才知道每一步到底在防谁。

1.2 公共WiFi的攻击手法：看起来是免费上网，实际是风险交换

公共WiFi的威胁模型和家庭完全不同。家庭至少是你自己控制的网络，公共WiFi则是一个完全开放的环境，你根本不知道同一网络里还连了谁。最常见的攻击方式有三种。

第一是钓鱼热点，也就是伪装成正常商家WiFi的同名网络。攻击者在咖啡厅、商场旁边架起一个叫“某咖啡厅免费WiFi”“酒店WiFi”之类的热点，用户分不清正牌和冒牌，连上之后就进了别人搭好的环境。第二是中间人监听，在开放网络里，攻击者可以截获你的HTTP流量，你输入的账号、密码、聊天内容都可能被看得一清二楚。第三是DNS劫持或虚假认证页钓鱼，你连上后弹出的“登录页面”不一定是真的，可能是攻击者伪造的，用来骗你输入手机号、验证码，甚至通过某个App授权登录。

这里有一条特别重要的边界要分清。在家庭WiFi里，你的对手主要是蹭网的人，他们往往只是想白嫖网速；但在公共WiFi里，你的对手可能是职业攻击者，目标就是你的账号和钱包。两者风险等级完全不同，对策也不同。下面把家庭和公共WiFi对应的防护重点放在表格里，方便对照。

2. 路由器与密码加固：把家庭网络调成“不欢迎陌生人”模式

2.1 登录管理后台后，先做这四件事

给任何家庭网络做安全加固，我都从路由器后台开始。不同品牌的后台地址稍有差别，常见的是在路由器底部铭牌上写着，浏览器输入后就能打开。如果找不到，用手机或电脑连接WiFi后查看网关地址也行。登录后别急着改名，先把下面四件事按顺序做了。

第一是修改管理员密码。这一步最重要，很多人却最容易忽略。出厂默认的admin/admin、admin/123456这类组合是公开的，谁都能查到。改密码时别用纯数字，建议字母加数字加符号，长度至少8位。第二是关闭WPS功能。这项默认开启的快速联网功能，通过PIN码交换实现连接，而PIN码只有8位且校验机制有缺陷，攻击者可以在几小时内破解。只要不是家里有特别老的设备必须靠WPS连接，就把它关了。第三是更新固件。现在主流路由器都能在后台一键更新，有些还支持自动更新。厂商很多安全补丁就是通过固件更新下发到设备上的，长期不更新等于明知有洞还继续住。第四是调整加密方式，这部分单独放一节说，因为它太关键了。

这四件事做完，路由器的基本防线就算立起来了。需要注意的是，改管理员密码和改WiFi密码是两回事：管理员密码管的是后台配置权限，WiFi密码管的是别人能不能接入网络。前者不能随便告诉家里人，后者反而需要家里人记牢。

2.2 加密方式选不对，设了密码也等于没设

路由器后台的无线设置里，加密方式一般有几种选项：WEP、WPA、WPA2、WPA3，以及WPA2/WPA3混合模式。安全性的差别很大，我的建议很明确：绝对不选WEP和WPA（TKIP），尽量选WPA2-AES，设备支持就选WPA3。

为什么要这样选？WEP是二十多年前的标准，破解工具遍地都是，几分钟就能拿下；WPA第一版使用的TKIP加密也存在已知弱点，同样不推荐。WPA2用AES加密，是目前兼容性最好的安全标准，绝大多数设备都支持。WPA3则在此基础上加入了更强的握手协议，用暴力试密码的难度大幅提升，还能防止离线跑字典攻击。家里如果都是近几年的手机和电脑，直接开WPA3；如果还有电视、摄像头等老设备，就选WPA2/WPA3混合模式，让新设备走WPA3、老设备继续用WPA2。这里有个细节一定要看：加密方式那一栏里选的是AES而不是TKIP，有些后台把WPA2-AES和WPA2-TKIP混在一起显示，选错了，安全性会明显下降。

另外提醒一句，改加密方式或改WiFi密码之后，所有已连接的设备都要重新输一次密码。别以为路由器“没断网”就万事大吉，过几天有人发现连不上网才想起来这回事。

2.3 真正的强密码不是难记，而是“无规律可循”

WiFi密码怎么设才算安全？标准答案很简单：长度至少12到16位，包含大小写字母、数字和符号，并且不能是任何字典里的单词、日期或连续字符。问题是这样的密码自己也记不住，于是很多人最后又用回生日加名字。

我的做法是口令短语加随机处理。找一句只有自己记得住的歌词或句子，把每个词的首字母串起来，中间混入数字和符号。这样生成的密码长度轻松超过16位，旁人毫无规律可循，你自己却能根据那句话慢慢回忆起来。当然，这只是演示思路，真正操作时不要照搬任何网上看到的现成口令。更推荐的是直接用密码管理器生成随机密码，再存到管理器里，需要连接新设备时从管理器里取。密码管理器的优势不是生成那一串乱码，而是让你彻底摆脱“必须记住每个密码”的负担。

还有一个容易被忽略的点：WiFi密码和管理员密码不要用同一套。这两把钥匙管的东西完全不同，一个管门锁一个管保险柜，锁芯都不该一样。另外，不要把WiFi密码随手写在便利贴上贴在路由器旁边，这等于告诉门口路过的人怎么进你家网络。真怕记不住，写在手机备忘录里或者用密码管理器都比贴墙上强。

3. 防蹭网实操：从发现陌生设备到彻底隔离的完整流程

3.1 三步自查：你家的网有没有被“白嫖”

判断有没有被蹭网，靠肉眼和网速都不太靠谱，真正可靠的方法是看路由器后台的“已连接设备”列表。具体操作分三步。

第一步，登录路由器管理后台，找到“终端管理”“已连接设备”或“DHCP客户端列表”之类的入口，这里会显示当前连接的所有设备的名称、MAC地址和IP地址。第二步，对照家里实际在用的设备：手机、笔记本、平板、电视、智能音箱、摄像头……挨个确认是不是自己家的。有不认识的设备先别急，可能是某次临时连过的智能设备，记不清就通过型号名辨认。第三步，用路由器自带的APP看设备在线状态。现在多数路由器都有手机管理端，能看到“陌生设备上线提醒”之类的功能。我个人的习惯是开启这类提醒，谁连了网一目了然。

如果列表里出现了自己完全不认识的设备，而且一直在占用大量带宽，那基本可以确定被蹭网了。这时候别直接改密码了事，先按下面一节的方法处理。

3.2 确认被蹭网后，四步清理干净

第一步，在后台把陌生设备拉进黑名单或直接禁用。大多数路由器后台都有“禁止联网”或“MAC过滤”的操作，能立刻把陌生设备踢出去。第二步，马上修改WiFi密码，并且用前面说的强密码规则。因为蹭网者只要还在你的网络里，改后台配置时他有可能继续访问，趁他还在线时锁掉网络最干净。第三，如果怀疑被利用得比较彻底，或者路由器固件太老，干脆恢复出厂设置，重置后再重新配置。这一步麻烦，但能清掉可能被植入的异常设置。第四，把“管理后台”的访问地址改一下，很多路由器支持在内网设置里调整管理地址，换成非常规的，陌生设备即使再来也不好找门。

这里有个实操心得：改密码后，旧的已连接设备会掉线，家里人会抱怨“网怎么断了”，这是正常现象。我处理蹭网问题时通常会提前在家庭群里说一声，让大家准备好重新输密码，少挨不少抱怨。

3.3 访客网络：给客人单独开一扇门，别再让客人进主卧

访客网络是我强烈建议每个家庭都开的设置。它相当于在同一个路由器上开了条独立通道：访客设备能上网，但无法访问主网络里的打印机、NAS、摄像头等设备。为什么重要？因为陌生人拿着你的WiFi密码进的是主网络，一旦知道密码，就可能尝试访问你家里的共享设备；而在访客网络里，即使对方想横向移动，也找不到路。

设置访客网络时要注意几个参数：开启访客网络后，把“允许访问内网”或“访问内部网络”这类选项关掉；SSID和主网络分开，密码单独设，不要用主WiFi密码；有条件的话开启“访客网络限速”，防止客人看视频把带宽全占走。说白了就是：热情好客可以，但别把家门钥匙和保险柜钥匙一起递过去。这个设置对家里有智能家居的用户格外重要，后面会再说到。

3.4 隐藏SSID和MAC过滤：有效，但别当保命符

隐藏SSID和MAC过滤是防蹭网话题里最常被提到的两个功能，我也用过，但必须说清楚它们的边界。

隐藏SSID的意思是让WiFi名称不再广播，别人搜不到你的网。听起来很有安全感，但实际效果有限：只要有人曾经连接过，或者用专门的扫描工具扫一下信道，SSID照样能被发现。它只能挡住“不会特意去找”的人，挡不住有动机的攻击者。MAC过滤则是把允许联网设备的MAC地址加入白名单，只有列表里的设备能连。这种方法能挡住大部分蹭网小白，但MAC地址是可以伪造的，攻击者抓到你设备的MAC后就能假扮成合法设备。

所以我的建议是：这两个功能可以作为家庭网络的附加层，但不能作为唯一的防蹭网手段。真正的核心防线还是强密码加WPA2/3加密，以及及时清理异常设备。MAC过滤设置起来比较麻烦，家里设备多的人改动一次要花不少时间，访客来的时候也容易误伤。把它当作“加固用的钉子”，而不是“锁门用的锁”。

3.5 三个容易被忽视的小技巧：功率、定时和限速

除了常规手段，防蹭网还可以从物理层面做文章。

第一个是调整信号发射功率。路由器后台通常有“信号强度”或“发射功率”选项，默认大多是“穿墙模式”。如果家里面积不大，把功率调到中等就够用了，WiFi信号勉强覆盖全屋即可，能减少被楼下邻居或街道上陌生人扫描到的概率。第二个是设置定时关网。多数路由器支持“WiFi定时”或“信号定时”功能，比如夜里两点到六点自动关闭WiFi。这个功能对睡眠质量有好处，也等于让攻击者少了一段攻击窗口。第三个是QoS限速。给不常用的智能设备设置较低的速度上限，就算某个设备被偷偷加进了网络，它也占不了多少带宽，至少不影响正常使用。

这三招都不复杂，但能明显提升日常使用体验。尤其是调节信号功率和定时关网，属于那种“设置一次就长期收益”的操作。

4. 公共WiFi安全使用守则：连接前中后各要做什么

4.1 连接前先做三查：别让“免费”两个字替你做判断

公共WiFi不是完全不能用，但要带着风险意识去用。连接之前，先做三个检查。

查名称：问问店员或查看店里的官方提示，确认WiFi的正规名称和连接方式。很多钓鱼热点就靠模仿商家名称忽悠人，比如正牌是“某咖啡厅”，钓鱼热点又叫“某咖啡厅免费WiFi”“某咖啡厅5G”，不仔细看很容易踩坑。查加密：真正的安全WiFi，在连接列表里通常带锁形图标，说明它至少用了WPA2加密；完全不带锁的开放网络，谁都能看到数据在裸奔。查授权：如果连接后要求提供手机号、验证码，甚至需要你用某个App扫码授权，先确认这是不是商家官方的认证页面。验证码一旦被拦截，比蹭网严重得多。

这三查不是复杂的技术操作，只是多花几秒钟的细心。遇到完全开放的、名称可疑的WiFi，我的原则很简单：宁可用自己的流量，也不去冒这个险。

4.2 连接中的三条铁律：不登录、不支付、不输密码

连接公共WiFi后，最容易被忽视的是使用习惯。我的建议可以总结成三条铁律。

第一，不在公共WiFi上登录银行应用、操作支付类功能。就算网络本身是加密的，你没法确定同一网络里有没有恶意监听者，更何况支付和银行相关操作必须走官方App，很多App对公共WiFi连接本来就会提出安全提醒。第二，不在公共WiFi上登录邮箱、社交账号等核心账号。如果必须登录，确认网址是HTTPS开头，并且开启双重验证，这样万一密码被撞库，还能靠验证码拦住。第三，不把公共WiFi设成“自动加入”。用完以后在系统设置里选择“忘记网络”，免得下次路过同一个热点时手机自动连上，你还没反应过来。

这三条铁律的核心逻辑是：公共WiFi只配用来做“不敏感的事”，比如查路线、看视频、刷新闻；所有跟身份、钱、隐私相关的操作，都放到手机流量或者自己的热点上完成。

4.3 把系统的防护调到“保守档”：几个实际可用的开关

即便只是用公共WiFi刷刷网页，一些系统层面的防护措施也建议提前打开，成本很低但收益明显。

第一个是关闭文件共享和网络发现。在电脑的系统设置里，进入“网络和共享中心”，关掉“网络发现”和“文件和打印机共享”；手机上也要注意，系统提示“是否允许此网络上的设备发现你的手机”时，选择不允许。这能防止同网络里的人访问你设备上的共享文件夹和各种服务。第二个是开启系统防火墙。防火墙平时开着问题不大，连接公共WiFi时尤其重要，它能拦截一部分未经请求的入站连接。第三个是设置浏览器和系统里的安全DNS。现在主流的操作系统和浏览器都支持“DNS加密”或“安全DNS”选项，开启后DNS查询不再明文传输，能减少被公共WiFi里的虚假DNS引导到钓鱼网站的风险。第四是在浏览器里开启“HTTPS优先”模式，访问网站时优先使用加密连接，对非HTTPS页面给出警告。

这些开关设置一次就长期有效，性价比很高。我自己的习惯是，把手机的自动连接陌生热点功能关掉，避免设备在不知情的情况下接进可疑网络。

4.4 外出场景的平替方案：个人热点才是真正的安全感

这些年在外面做网络排查时我观察到一个规律：真正重视账号安全的人，很少在公共WiFi上处理重要事情，他们普遍有两个选择，要么用手机流量，要么开个人热点给电脑用。

手机个人热点的做法很简单：在手机设置里打开“个人热点”，电脑通过WiFi连接手机即可。相比公共WiFi，个人热点的好处是网络环境和接入设备都完全掌握在自己手里，不存在陌生接入者，数据链路也相对安全。代价无非是耗一点流量和电量。现在很多套餐都有可观流量，日常办公、网银操作、登录重要系统等场景，用热点的成本远低于信息泄露的代价。

如果必须在外面开会、写文档，而流量又不够，那就回到前面说的原则：把公共WiFi当“低速公共公路”用，不上高价值资产，不碰敏感操作。真正靠谱的安全感来自减少暴露面，而不是依赖某个验证不了安全性的辅助工具。我更推荐这种“能不连就不连、连了就只做低风险动作”的朴素策略，它不依赖任何第三方服务，安全边界最清晰。

5. 常见问题排查速查：别让安全设置变成日常使用的大麻烦

5.1 家里网速突然变慢，先别急着怪运营商

网速变慢是家庭网络最常被提起的问题，但很多时候问题不在运营商，而在你自己家里。我的排查顺序是：先看路由器后台的设备列表，确认有没有陌生设备占带宽；再看是不是某个设备在后台偷偷下载更新；如果这些都没问题，再考虑重启路由器。路由器长时间不重启，缓存和连接表会膨胀，偶尔也会导致网速下降。

如果发现确实有设备占用了大额带宽，就用QoS限速，或者直接把陌生设备拉黑。值得注意的是，一些智能电视和摄像头会在夜间自动更新或上传数据，容易让人误以为“被蹭网”。所以看到后台设备列表里有个自己不熟悉的名字，先别急着拉黑，确认一下是不是自己家的某个设备，比如电视的无线网卡、光猫的访客接口，名称可能和你印象里完全不同。

5.2 明明没告诉别人密码，为什么还是有陌生设备连上来？

这个问题我遇到过好几回。排查后发现通常有几种原因：一是密码太弱，被暴力破解工具试出来了；二是有朋友来过家里，顺手把密码告诉了别人，消息一传十十传百；三是WPS功能没关，攻击者通过PIN码循环试探接入；四是路由器曾被完全控制，对方在内网里做了设备克隆。处理办法就是前面说的：拉黑、改密码、恢复出厂重新配置，一个都别省。

还有一个容易被忽略的点：很多路由器管理后台能看到“离线设备”和“连接记录”。有些蹭网者并不是全天在线，可能隔几天来一次。如果后台有“历史记录”功能，最好也定期看一眼。安全上有个观念需要转过来：不要认为自己“没发现异常”就代表安全，定期检查才是常态。

5.3 公共WiFi连上了，认证登录页却出不来的原因和应对

在外面连接商场、酒店的公共WiFi，经常遇到“已连接但无法上网”的情况，因为强制门户（也就是认证页）没弹出来。这时候我的做法是先打开浏览器随便访问一个页面，很多系统会自动重定向到认证页。如果还不行，就在浏览器地址栏输入一个正规网站的地址，触发强制门户重新跳转。仍然不行的话，可能是这个热点本身有问题，直接放弃，改用流量。

需要特别注意的是，正因为公共WiFi的认证页很常见，钓鱼攻击也喜欢伪装成认证页。如果页面突然要求你下载某个不明App、输入银行卡信息，或者授权某种“安全检测”，大概率是坑。正规商家的认证页只会做最基本的验证，不会索要过于敏感的信息。

5.4 设置完安全功能后，老设备连不上网怎么办

把加密方式从WPA2升到WPA3，或者打开MAC过滤后，家里的老设备可能就连接不上了。原因不复杂：老设备不支持WPA3，或者MAC地址没有被加入白名单。解决办法是选WPA2/WPA3混合模式，MAC过滤里把新老设备都加一遍。

这里也有个平衡：安全等级和兼容性经常冲突，没有必要为了追求最高安全标准让全家设备失联。我通常的建议是：优先保证主网络的安全等级，对特殊老设备专门用一个低一档的兼容网络，但它的覆盖范围尽量小，密码单独设置。毕竟，老设备本身的安全能力有限，让它待在低敏感的网络里，比暴露在主网络里更合理。

6. 写在最后：几个我长期坚持的安全习惯

6.1 我的月度检查清单：花三分钟换一整月的安心

安全问题最怕的不是配置少，而是配完之后再也不看。我自己的做法是：把“检查路由器”放进每月的闹钟提醒，每个月花三分钟干完下面几件事。第一，打开路由器后台看一眼在线设备列表，和在用的设备清单对一遍，有陌生设备当场拉黑并改密码；第二，检查固件更新，有新版就顺手升级；第三，看一眼WiFi密码是不是该换了，一般半年换一次；第四，手动重启一次路由器，让它清理连接表，也让自己养成熟练的操作习惯。

这套流程很轻，但收益极高。我处理过的异常连接，大都是在这三分钟里发现的，而不是等网速慢到忍无可忍才去查。安全不是一锤子买卖，它更像卫生习惯，定期做才有用。

6.2 几个非主流的思路：安全不等于复杂

做安全配置久了，反而觉得“少而精”比“多而乱”更有效。比如隐藏SSID和MAC过滤，我更多把它当作最后一层加固，而不是日常依赖；比如加密方式，我会为了老设备的兼容性留出低一档的独立网络，但主网始终保持在WPA3；再比如访客网络，不是每个家庭都开了它，而我几乎把所有客人连接都放在访客网络里，主网密码反而不经常换。

还有一点常被忽略的联动安全：WiFi安全只是账号安全的一部分。如果你在公共WiFi上登录的所有网站都开着双重验证，即便密码泄露，也能多一道防线；如果你所有密码都用密码管理器生成，就不存在“一套密码走天下”的风险。所以我把安全习惯按重要性排序：先管账号密码，再管路由器配置，最后管公共WiFi使用纪律。按这个顺序执行，投入的时间最少，安全感最强。

最后分享一个小动作：把“查看设备列表”设成每月提醒，比什么安全套路都实在。这套思路我自己用了很久，碰上被蹭网和异常连接的次数屈指可数，希望你也能从最基础的强密码和固件更新开始，一步步把家里的网络变成一个真正不欢迎陌生人的环境。