Как се защитава домашна или офис мрежа

Повечето домашни и малки офис мрежи работят години наред с паролата на рутера „admin/admin“, фабричен фърмуер от 2019 г. и 20 умни устройства в една и съща мрежа с лаптопа, на който е банкирането. Нищо лошо не се случва – до деня, в който се случи. Добрата новина: 80 % от риска се затваря с десетина настройки в рутера, които отнемат под час и не струват нищо.

Списъкът по-долу е подреден по важност. Ако имате само 10 минути – направете първите три стъпки.

Какво ще ви трябва

• Достъп до рутера (адрес и парола от етикета, ако не са сменяни)
• Компютър, свързан с кабел – при някои промени Wi-Fi се прекъсва
• Мениджър на пароли или лист хартия, прибран на сигурно място
• 15 минути за инвентаризация: кои устройства са свързани към мрежата

Стъпка по стъпка

1. Сменете паролата за администрация на рутера. Това е паролата за менюто на рутера, не за Wi-Fi. Фабричните са публични (admin, 1234, или напечатани на етикета, който всеки гост вижда). Сложете уникална парола с 12+ знака и я запишете. Ако рутерът поддържа и смяна на потребителското име – сменете и него.
2. Обновете фърмуера. Меню „Firmware Update“/„System → Update“. Повечето уязвимости на рутери се затварят точно с фърмуер. Включете автоматичните обновявания, ако има такава опция. Рутер, за който производителят не е пускал обновяване 3+ години, подлежи на смяна (нов, приличен Wi-Fi 6 рутер струва 50–100 €).
3. Изключете достъпа до администрацията от интернет. „Remote Management“/„Web Access from WAN“ – изключено. Същото за Telnet и SSH от WAN. Ако ви трябва отдалечен достъп – само през VPN.
4. Настройте Wi-Fi криптирането. WPA3 или WPA2/WPA3 смесен режим; WPA2-AES е минимумът. WEP и WPA (TKIP) се разбиват за минути – изключете ги. Паролата за Wi-Fi – минимум 12–16 знака, без името на фирмата или адреса. Не крийте SSID – не помага, а пречи.
5. Изключете WPS. Бутончето за „свързване с едно натискане“ (WPS) има PIN режим, който се атакува за часове, независимо колко силна е паролата ви. Менюто е „Wireless → WPS“ – Disable.
6. Изключете UPnP. UPnP позволява на всяко устройство в мрежата да си отвори порт към интернет само – камера, телевизор или заразен компютър. Изключете го („NAT → UPnP“). Ако игрова конзола се оплаква за „NAT type“, отворете ръчно само нейните портове.
7. Направете гост мрежа. Отделна Wi-Fi мрежа („Guest Network“) с опцията „изолация“/„без достъп до локалната мрежа“. Там влизат гости, клиенти, телефоните на децата и всичко временно. Те имат интернет, но не виждат принтера, NAS-а и компютрите ви.
8. Отделете IoT устройствата. Умни крушки, контакти, камери, прахосмукачки, телевизори и всички „китайски“ устройства с облачно приложение – в отделна мрежа. При обикновен рутер най-лесно е втора гост мрежа, посветена на IoT (някои рутери позволяват 2–4 SSID). При офис – отделен VLAN. Целта: пробита камера за 20 € да не може да стигне до счетоводния компютър.
9. Прегледайте свързаните устройства. В списъка „Connected devices“ разпознайте всяко едно. Непознато устройство = сменете Wi-Fi паролата веднага. Докато сте там – изключете Wi-Fi на устройства, които ползват кабел.
10. Защитете самите устройства. Сменете фабричната парола на всяка камера, NAS, принтер и умно устройство с уеб интерфейс. Включете автоматични обновявания на телефони и компютри. За офис: отделна парола на всеки служител за Wi-Fi (WPA3-Enterprise/RADIUS) или поне смяна на паролата при напускане.

Съвети и чести грешки

• Филтърът по MAC адрес не е защита – MAC адресите се виждат във въздуха и се фалшифицират за секунди. Не губете време с него.
• Рутерът на доставчика с ограничено меню? Поискайте да го превключат в режим „bridge“ и сложете свой рутер – така контролирате всичко.
• В офис с повече от 10–15 души и чувствителни данни: отделни VLAN за служители, гости и принтери/камери, управляем суич и, по възможност, защитна стена с филтриране (OPNsense, MikroTik, UniFi).
• Паролата за Wi-Fi, залепена на стената в офиса, е паролата на всеки, който някога е влизал там. Сменяйте я поне веднъж годишно и винаги след напускане на служител.
• DNS филтриране (NextDNS, Cloudflare за семейства 1.1.1.3, AdGuard DNS) в рутера спира голяма част от фишинг и зловредните домейни за всички устройства наведнъж.
• Не оставяйте стария рутер „за всеки случай“ включен в мрежата – забравен, необновяван рутер е точно това, което търсят ботовете.
• Бекъпирайте настройките на рутера (System → Backup) след като приключите – при нулиране ще ги върнете за минута.

Често задавани въпроси

Трябва ли да сменям името на Wi-Fi мрежата (SSID)?

Полезно е да не е фабричното (напр. „TP-Link_5F2A“), защото то издава модела на рутера и улеснява търсенето на уязвимости. Не включвайте фамилията, фирмата или номера на апартамента.

Как да разбера дали рутерът ми е компрометиран?

Признаци: сменени DNS сървъри в настройките, които не сте слагали; непознати правила за port forwarding; реклами и пренасочвания на всички устройства; рутерът не позволява обновяване. Решение: нулиране до фабрични настройки, обновяване на фърмуера, нови пароли – в този ред.

Достатъчна ли е защитната стена на рутера?

За дом – да, ако входящите връзки са затворени (без port forwarding/UPnP/DMZ). За офис с отдалечен достъп и сървъри – по-добре отделна защитна стена с VPN и журнали.