路由器远程Web管理要不要开？这个开关一开后台就挂到公网上，密码被人试了一周

同事老纪出差前干了件事：把他家华硕路由器里的「Web Access from WAN」打开了，想着在外面也能随时进192.168.1.1的后台改东西。一周后回家翻系统记录，登录失败刷了一页又一页，账号清一色admin，来源IP全是境外段。他给我发截图的时候，那个开关还开着。

先把两码事分开：App远程和Web远程管理不是一个东西

很多人把这两件事混在一起，其实方向完全反着。

你在公司用米家、TP-LINK、智慧生活这些App管家里路由器，走的是出站：路由器自己主动连到厂商的云上，你手机上的指令也从云那头中转回来。全程不需要公网IP，不需要开任何端口，家大门一直关着。这条路我之前专门写过一篇，绑定一次人在哪儿都能管，手机远程管理的那五家绑定法。

Web远程管理是反过来的入站：把后台页面直接挂在WAN口的一个端口上，常见是8080，然后全世界的连接都能来敲门。一个是你出门办事，一个是大门敞开等人上门，听着都能办事，危险程度天差地别。

这个开关藏在哪里，五家长得不一样

我挨家翻了一遍，位置和有无差别比想象中大：

几句话补充。水星和TP的老款是那种蓝色分栏界面才有这个菜单，现在的新款云路由器图形界面里翻不到了，远程统一走MERCURY ID和TP-LINK ID的App，水星的远程管理我实测过，能干的事不少还更安全。小米更干脆，官方固件从没给过Web远程这扇门，在外面进后台只有米家和小米WiFi两条App路，31.1后台里都有什么我盘过一遍，进阶功能都得电脑在局域网里才能碰。

华为家用机也是同一个路数，Web远程基本不给，远程那点事全装在智慧生活App里。真正把这开关当正经功能做的是企业级机器，网吧、宿舍楼、连锁店那种几十台设备要管的场景，人家还带账号分组和权限。家用机上的这个选项，说白了就是把企业功能砍剩一个开关塞给你。

所以你要是翻自家后台找不到这个选项，多半是好事——没这扇门，就不存在忘关的问题。固件版本不同菜单叫法有出入，认准「远端」或「远程」加上「Web管理」这俩词一起出现才算数。

为什么劝你别开：老纪那一周的账

老纪家宽带是电信的，有公网IP，这点很关键——开关一开，后台是真的挂在公网上了。要是你家路由器WAN口拿到的是100.64开头的地址，属于运营商大院内网，这个开关开了也白开，外面的包根本路由不进来，公网IP怎么看我写过三步自查。但别拿这个当安全感，运营商一个割接配置就变了。

为什么这扇门这么招人？8080是扫描器的第一梯队端口，跟22、23、3389排一排的，端口号那篇我列过这张名单。家宽的80和443运营商是封着入站的，可8080不在封禁名单里，照样扫得到。家用后台的防线就一道管理密码，你是一个人手动输，对面是字典全自动跑。老纪的密码还好是16位的，那些IP敲了一周愣是没进去；要是他还在用装机师傅设的弱密码，这后台早就换主人了。2016年Mirai那波六十万台路由器摄像头被拿下，进门方式就是弱口令硬试，路由器被黑的迹象我写过自查五处，远程管理残留就是其中一处。

还有一层：密码挡得住试密码的，挡不住试漏洞的。固件半年不升级，已知的洞就躺在那儿，扫描器不只带字典还带漏洞库。

老纪导出来看的那批失败记录还有个细节：账号一栏除了admin，还夹着root和ubnt，一看就是字典在批量跑。人家根本不管你家是什么牌子，IP段扫过去，见着开着的8080就挨个试一遍。华硕系统记录只留最近几百条，他翻到底才估出来，一周下来少说几千次敲门。也就是说你开着的每一天，都有几百个陌生人在摸你家大门的锁。

真要在外面管路由器，四条路按这个顺序走

第一条，厂商App，九成人的需求到这就结束了。改WiFi名和密码、踢设备、看在线列表、远程重启，一个端口都不用开，上文那张对照表里最安全的一列。想改密码顺手把管理密码也换掉，三条密码别改错地方，管远程那道的是管理密码。

第二条，VPN回家。连上家里内网之后，敲192.168.1.1跟坐在客厅里一模一样，什么功能都在，三条VPN回家的路我都跑通过，这是我自己的主力方案。

第三条，IPv6直连，进阶玩法。家里和手机两头都有v6的话，后台地址栏直接填家里的v6地址就能进，记得路由器防火墙放行，v6直连的前缀和防火墙两道坎我单独写过。好处是不花一分钱，坏处是地址会变，得配DDNS。

第四条才是Web远程，实在要开就上三件套：端口躲开8080改到四五千的闲端口，华硕那个HTTPS only的选项勾上，管理密码拉到16位混合。最重要的一条规矩——用完当天关，别让门过夜。

老纪最后选了第一条。开关关掉，密码改掉，固件升到最新。那些境外IP估计还在敲，敲的是一扇已经关上的门。

也有一小撮人真离不开这开关，比如做民宿的老唐，五套房子五个后台，不开远程就得挨个跑腿。他那种用法，除了三件套还得加一条：水星老款那个「允许的远端IP」的框别留空，能限就限到自己常用的出口段，把敲门名单从全世界缩到几个人。普通家用真到不了这一步，App加VPN怎么都够使了。

顺手自查：你家的开关是开着的吗

三步，五分钟。第一步，照上面那张五家路径表去后台翻一眼，找不到就是没有，找到了看是不是「关」。第二步，系统记录里搜「登录失败」这类字样，路由器日志怎么看我写过关键字眼，要是有一串一串的失败记录而你最近没输错过密码，那就是有人在敲门。

第三步有点讲究：用手机流量在浏览器里敲一遍你的后台地址加端口。注意必须切流量测，人在家里连着WiFi测不准，NAT回流会让包在家门口拐弯，在家测端口转发的那个坑我踩过，测出来不通不代表外面不通。

顺序给一个：查开关→翻日志→关开关→改管理密码→升固件。前两步是体检，后三步是打疫苗，一套下来十分钟，比出一趟差安心多了。