路由器防火墙SPI和DoS防护要不要开？关SPI提速的说法我实测了一圈，开关又原样改回去了

上个月帮亲戚翻出一台吃灰的老TP路由器，进后台清理设置，翻到防火墙页面愣了一下：「SPI防火墙」和「DoS防护」两个开关摆在那，一个开着一个关着。想起好些年前搜「路由器怎么提速」，满屏教程的第一条都是「把SPI防火墙关了」，评论区还一堆人说关完网速起飞。这说法到底还作不作数，我把家里两台机器翻出来实测了一圈，顺便把这两个开关的底细摸清了。

先说清楚SPI是干嘛的：门口那个查台账的

路由器防火墙这个词太笼统，SPI是其中最核心的一层，全称Stateful Packet Inspection，状态包检测。听着唬人，干的事不复杂。

普通的包过滤就像小区保安只看条子——你来串门，他瞄一眼访问单上的地址和门牌号，格式对就放行。SPI是保安手里多了一个台账本：你家电脑先发出去一个请求，他记一笔「3排2座发往5排8座，上午10点」；过会儿有人自称从5排8座来回访，他翻台账一对，确实有这笔，放行。要是冒出来一个从没登记过的陌生外网IP直接来敲门，台账上查无此人，拦下。

关键在后半截。你的电脑主动发出去的连接，回程包放行；外面没人邀请硬闯进来的包，默认拦。家用宽带下这层判断基本感知不到，因为它只管「进门」方向，你刷视频下载游戏全是「出门」生意。

说到这得补一句公道话：家里路由器其实还有一道更粗的天然屏障，就是NAT本身。你没做过端口转发，外网的包压根找不到门进你家，具体我在端口转发和DMZ那篇里算过账。SPI是NAT之外的第二道保险，防的是异常回包、会话劫持这类绕正门走的流量，顺带还是一堆功能的地基——TP的IP地址过滤、访问控制，官方文档写明了必须先开防火墙总开关才生效，SPI一关这些跟着瘫。

这两个开关藏在哪：五个品牌挨个说

先说清楚，不是每台路由器都有这俩开关。我把家里和帮人装机攒下的路径列一张表：

两个细节。一是华硕官方FAQ里，DoS防护那一栏直接标注了「非必要设置」，默认给你关着——厂商自己的态度就很说明问题。二是TP的DoS防护等级藏得深，在系统工具→系统参数里单独调，不在防火墙页面，我第一次找也绕了俩弯。小米用户看到这可以直接跳过下半篇，31.1后台和米家App里都没给你留这个门，防火墙永远开着，想关都没地方关。

顺带一提，华硕那个防火墙页面里还睡着一个「响应Ping要求」的子选项，出厂默认否。外面拿扫描器批量探活，靠的就是挨家挨户发Ping，谁回话谁家里有机器。默认不回话挺好，别手贱改成是。

关SPI能提速？这教程的来路我扒了一下

「关SPI提速」不是瞎编，是十来年前的真经验。那会儿的机器比如AC68U、早期的WDR系列，CPU单核几百MHz，SPI要逐包查台账，CPU真扛不住。更要命的是 SPI 和硬件加速互相打架：SPI开着，CTF这种硬加速就使不上劲，千兆口只能跑六七百。关掉SPI，硬加速放行，速度立刻回900多。这套玩法在当年是实打实的。

问题是中国家庭路由器早就换了两三代了。我拿家里的华硕RT-AX86U实测：开着SPI，千兆宽带有线测速941；关掉SPI重测，939；来回切了三轮，数字都在940上下晃，差值完全埋在测速误差里。CPU占用也瞄了一眼，下载满速时单核也就百分之十几，逐包检测这点开销现在的芯片根本不看在眼里。路由器CPU什么时候真的成为瓶颈，我在CPU那篇里专门算过账，家用场景千兆宽带内，SPI这点消耗排不上号。

真想榨速度，路子也轮不到动防火墙。华硕去LAN→交换机控制看NAT加速是不是选了Disable，改回Auto就行；开了QoS、流量监控这类功能会让硬加速自动失效，这个冲突我在QoS那篇里写过。手里还压着十年前的老机器、关SPI确实能救一把的，那机器本身也到岁数了，寿命的事我劝你先看这篇再决定救不救。

DoS防护默认关，是有道理的

DoS防护盯的是攻击特征：ICMP洪水、UDP洪水、半连接洪水，一堆假包涌进来把线路或机器灌死。听着该开对吧？但家用场景有两个现实。

一是你被定向DoS的概率低到可以忽略。这年头大半家宽连公网IP都没有，前面压着运营商一层CGNAT，外面想打你都寻不到门牌，判断方法在查公网IP那篇里，三步就能确认。真有公网IP还做了端口转发的，被人盯上的前提也一般是跟谁结了仇，普通人家不够这个待遇。

二是误伤才是家常便饭。我图新鲜把DoS防护开了一周，qBittorrent一挂下载就出事：速度爬到一半开始断流，日志里一串被拦截记录。原因不复杂——BT的本质就是同时跟几十上百个peer疯狂收发包，流量特征跟UDP洪水几乎一个模子，防护模块分不清坏人和勤奋。类似的还有PS5联机时不时抽风，NAT类型莫名从2掉到3，我后来想想跟那个时期对得上，联机排障的路子在NAT类型那篇里。

所以华硕官方FAQ写得很直白：开启DoS防护后如果某些应用出现连接异常，关闭它。翻译过来就是，这功能是给真会被打的人预备的，普通家庭开着纯属给自己添堵。

什么情况真的要动这两个开关

不搞一刀切，对号入座：

SPI本身我的态度很明确：家用别关。速度上占不到便宜，前面实测数据摆着；安全上白丢一层保险；顺手还把IP过滤这类功能的地基拆了。这跟当年劝你关WPS是一个思路——后台里真正值得警惕的开关，我在WPS那篇和UPnP那篇里挨个盘过，SPI排不进黑名单，WMM也别乱动，这篇有实测。

收尾给个顺序

第一进后台看有没有这俩开关，没有的省心。第二有开关的，SPI保持开，DoS防护出厂是关的就让它关着。第三家里断流掉速先别赖防火墙，回想最近动过什么，BT党直接去查DoS防护。第四想提速的去看NAT加速那一页，别拿防火墙开刀。第五固件保持更新，比什么防护开关都实在，自动升级怎么选看这篇。

到头来就一句话：这俩开关是十年前CPU不够用年代留下的话题，现在的机器上，「全默认」就是最优解。真手痒想优化，去动信道、摆位、Mesh，那些才是现在还作数的老手艺。