192.168.1.1登录进去了然后呢？新手先做这5件安全设置，我是吃过亏才补的

先说我是怎么被吓到的。前年装宽带，师傅帮我设置完路由器就走了，管理密码是他在我身后问「设个啥」时随手输的admin123，我当时还觉得挺顺手。直到有天晚上刷到一条新闻，说有人家的摄像头被人远程看了半年，我去查自家路由器的设备列表，发现凌晨三点有一台陌生设备连过——虽然最后查实是对门邻居试密码蹭网未遂，但那晚我是真没睡好。第二天专门花了半天，把192.168.1.1后台里跟安全有关的设置翻了个遍。

后来帮亲戚朋友配路由器，我发现几乎没人做这些事：大家输完192.168.1.1、设好WiFi名字密码，就觉得完事了。其实登录进后台只是拿到了钥匙，门锁本身还是出厂状态。下面这5件事，是我按「优先级+花费时间」排的顺序，每件都不难，加起来半小时。

第一件：把管理密码从admin换成没人猜得到的

这是最要紧的一件，10分钟能搞定，但挡掉九成的风险。出厂状态的路由器，管理密码要么是admin，要么是admin/admin组合，要么干脆是空的——这意味着任何连上你家WiFi的人，输192.168.1.1加admin就能进你家路由器后台。进了后台能干嘛？看你在干嘛、改你DNS、把你家流量引到钓鱼页，WiFi密码改了都拦不住，因为人家用的是管理权限。

改的地方各品牌叫法不一，但都在系统设置附近：TP-Link老界面在「系统工具→修改登录口令」，新界面是「路由设置→修改管理员密码」；华为荣耀在「更多功能→路由器管理信息」；腾达水星在「系统设置→管理密码」。我手上一台TP-Link TL-WDR5620走的路径是系统工具，朋友的水星D191G是在系统设置里，找的时候认准「管理密码」「登录口令」这类字眼就对了。

密码怎么设有个平衡点：太简单等于没设，太复杂自己忘了又得走找回流程（那也麻烦，密码忘了怎么办我单独写过一篇）。我的做法是「一个长句+替换」：比如「wojia2019zhuo#mian」，比纯数字长得多但敲熟了不慢。千万别用WiFi密码同款——很多人图省事两个密码设成一个，蹭网的猜中一个等于中了俩。

第二件：WiFi密码顺便过一遍，WPA2起步别用WEP

既然进了后台，顺手看一眼WiFi的加密方式。位置一般在「无线设置」或「WiFi设置」里，找「安全模式」或「加密方式」那一栏。现在能看到WPA3最好，没有就选WPA2/WPA2-PSK，如果那一栏赫然写着WEP或者WPA，立刻改——WEP是十几年前的标准，网上有现成工具几分钟就能破，等于门上挂了把纸糊的锁。

密码本身也别再是12345678或者家里座机号。8位起步，字母数字混着来。改完记得家里所有设备得重连一遍，电视、摄像头、智能音箱都得输新密码，这步烦但值得。改完之后如果还担心有旧设备偷偷挂着，可以看防蹭网那篇的三层防护，MAC白名单怎么开、陌生设备怎么踢都写了。

顺带说一个我踩过的小坑：有的路由器后台有「WPS快速连接」功能，按一下路由器身上的键或者输8位PIN就能连WiFi，听着方便，但PIN码只有8位且前7位有效，暴力破解十来个小时能试完。我家那台当年就是WPS默认开着，后来我直接在无线设置里把它关了——反正我自己设备都输密码，用不上这功能。

第三件：关掉「远程管理」，这个开关九成人没注意过

这一件是我认为最容易被忽略的。路由器后台里有个功能叫「远程管理」或者「Web访问管理」「远程Web管理」，在「安全设置」或「系统工具」菜单下。它开了之后，外网的人也能访问你家路由器的登录页——也就是说全世界任何人输你家公网IP加端口号，就能看到和你输192.168.1.1一样的登录框，然后慢慢试你的管理密码。

普通家庭这个功能100%用不上，它本来是给远程帮公司维护网络的人用的。我查过我那台WDR5620，出厂默认是关的，但帮朋友看的一台刷过第三方固件的机器，这个口子是开着的，难怪他家的设备列表里偶尔有奇怪的记录。关法很简单：找到那个开关，选「禁用」或者把访问权限改成「仅局域网」，保存就行。

同一段设置里往往还有「UPnP」这个开关。这个别乱关——家里有游戏机、NAS、要用微信视频通话的，关了UPnP可能出各种连不上的毛病。它的风险在于自动给内网设备开端口，家里有老旧摄像头的话确实要留意，但我建议新手先不动它，真要管端口，等设备出了问题再针对性处理，一关了之是最容易把自己关残的。

第四件：固件升一下，那些年修掉的漏洞都在更新日志里

「固件升级」这四个字听着吓人，其实现在比以前安全多了。位置一般在「系统工具→固件升级」或「路由设置→系统升级」。我那台WDR5620买回来三年没升过级，点进去一看，累计了四个版本没更，更新日志里明晃晃写着「修复某安全问题」——具体修的啥没细说，但既然写了安全俩字，就是有人发现过洞。

现在的路由器升级大多是在线升级：点「检查更新」，有新版本就点升级，机器自己下载自己重启，三四分钟完事，不像老机器得去官网下bin文件再手动传。要注意两点：一是升级过程中千万别拔电源，断在半路真的会变砖，救砖又是一篇大文章；二是升级完所有设置一般会保留，但保险起见，家里如果有重要端口转发规则，先截个图存着。

至于要不要开「自动升级」，我倾向于开。固件更新堵的多数是安全洞，比稳定那一点点重要。我家是设了凌晨自动检查，一年也就更两三次，无感。TP-Link那套刷机变砖的血泪史如果不幸遇上了，救砖和防变砖写过一篇，先看那篇再动手。

第五件：管理地址和登录入口，改成只有自己顺手的

这件是加分项，前面四件做完再来考虑。192.168.1.1是全网皆知的默认地址，你可以把路由器的LAN口IP改成别的，比如192.168.55.1，以后登录就输这个新地址。位置在「网络参数→LAN口设置」，改完路由器会重启，之后你得记住新地址，忘了的话得reset才能回来——所以改之前把新地址写在路由器背面贴纸上，贴纸本来印的192.168.1.1正好划掉重写。

这一招防的是什么？主要是那些扫描默认地址的脚本和不太懂行的蹭网者。它不是加密，只是把门牌号换掉了，懂行的人扫一下网关照样能找到，所以它是锦上添花，不是保命符。要是家里有俩路由器级联，或者光猫也是192.168.1.1，改LAN口IP还能顺带解决地址撞车的问题，一举两得。不确定自家网关是几的，手机WiFi详情里那个「网关」就是答案，怎么查我写过一篇192.168.0.1的登录入口全流程，思路完全通用。

收个尾：一张表定顺序，照着勾

把这5件事压成一张表，下次配新路由器，登录进去之后照着从上往下勾，半小时收工：

有人可能觉得至于吗，一家庭路由器谁盯着你。这话对一半——没人专门盯着你，但扫描器是不挑人的，公网上一晚上能扫你家登录框几万次，赶上了就是赶上了。我那台改完之后又过了大半年，设备列表再没出过陌生名字。这5件事做完，你家路由器算是在小区里排得上号的安全水平了，剩下能做的就是隔两三个月想起来进后台看一眼设备列表，家里有几台设备心里有数，多出来的就是问题。