Домашний Wi-Fi защищается десятью настройками роутера, и большинство из них делаются один раз за пятнадцать минут: сменить пароль администратора, включить WPA3 или хотя бы WPA2 с длинным паролем, отключить WPS и UPnP, вынести умные устройства в гостевую сеть, обновить прошивку. Ни одна из них не требует покупки нового оборудования. Ниже — что именно сделать и зачем, в порядке важности.
1. Сменить пароль от админки роутера
Пароль от Wi-Fi и пароль от настроек роутера — разные вещи. Второй часто остаётся заводским (admin/admin или напечатан на наклейке), и любой, кто подключился к сети, может перенастроить роутер: подменить DNS, открыть порты, перехватить трафик. Зайдите в панель (адрес обычно 192.168.0.1 или 192.168.1.1), найдите раздел «Система» или «Администрирование» и задайте длинный пароль. Сгенерировать его можно в генераторе паролей.
2. WPA3, если поддерживается, иначе WPA2-AES
В настройках беспроводной сети выберите WPA3 или смешанный режим WPA2/WPA3. Если роутер старый — WPA2 с шифрованием AES (CCMP). Не используйте WEP и WPA-TKIP: они взламываются за минуты. Пароль от Wi-Fi — от 12 символов; фразу из нескольких слов запомнить проще, чем набор символов.
3. Отключить WPS
WPS (кнопка «подключить одним нажатием» или PIN из восьми цифр) — известная дыра: PIN подбирается перебором за часы. Выключите WPS в настройках беспроводной сети; устройства подключайте по паролю.
4. Отключить UPnP
UPnP позволяет любому приложению в сети открывать порты на роутере наружу без вашего ведома. Удобно для игровых консолей, опасно для всего остального: заражённый гаджет откроет себе дверь из интернета. Выключите; если консоль или сервис потребует порт, откройте его вручную.
5. Гостевая сеть для умного дома и гостей
Телевизор, пылесос, лампочки, камеры и колонки редко обновляются и часто уязвимы. Создайте гостевую сеть с изоляцией клиентов и подключите к ней все умные устройства и гостей. Тогда взломанная лампочка не увидит ваш ноутбук. Основную сеть оставьте телефонам и компьютерам.
6. Обновить прошивку
Уязвимости роутеров находят регулярно, и производители закрывают их обновлениями, которые никто не ставит. Раздел «Обновление» в панели; у многих моделей есть автообновление — включите. Если роутеру больше пяти лет и обновлений нет, это единственный пункт, где стоит подумать о замене.
7. Отключить удалённый доступ к панели
«Управление из интернета», «облачный доступ», «удалённое администрирование» — выключите, если не пользуетесь. Панель роутера не должна быть доступна снаружи.
8. Сменить DNS роутера
По умолчанию роутер раздаёт DNS провайдера. Укажите публичный резолвер, а если роутер умеет — зашифрованный. Зачем это нужно и какие серверы выбрать — в статье что такое DNS.
9. Проверить, кто подключён
В панели есть список клиентов: имена устройств, адреса, MAC. Незнакомое устройство — повод сменить пароль Wi-Fi и включить фильтрацию. Как читать этот список и что делать с чужими — в статье кто подключён к моему Wi-Fi.
10. Спрятать сеть? Нет. Фильтр MAC? Опционально
Скрытие имени сети (SSID) не защищает: устройства всё равно передают его в эфир, а вам добавляет неудобств. Фильтрация по MAC-адресам защищает слабо (адрес подделывается), но отсекает случайных соседей; включайте, если не лень поддерживать список.
Что роутер не защищает
Даже идеально настроенный роутер шифрует только отрезок между устройством и собой. Дальше трафик идёт к провайдеру как есть: провайдер видит адреса сайтов, DNS-запросы и объём. Что именно — в статье что видит провайдер. Если хочется закрыть весь дом сразу, VPN настраивают на самом роутере или на втором роутере за ним; порядок — в статье VPN на роутере.
Чеклист
- Пароль админки сменён, длинный.
- WPA3 или WPA2-AES, пароль Wi-Fi от 12 символов.
- WPS выключен, UPnP выключен.
- Гостевая сеть с изоляцией для умных устройств.
- Прошивка обновлена, автообновление включено.
- Удалённый доступ к панели выключен.
- DNS заменён на публичный.
- Список клиентов проверен.
404 VPN даёт конфиг WireGuard для роутеров, которые его поддерживают, и приложения для остальных устройств; при обрыве туннеля срабатывает Kill Switch. Подробнее — на странице безопасности, начать — на главной.