家庭网络的安全感常来自「能上网就行」，直到陌生设备出现在路由列表里。周期性自查比事后灭火便宜得多，尤其是默认口令仍未修改的路由器。
从网关开始
登录管理界面，修改出厂管理员密码；关闭远程管理（WAN 侧 Web/SSH）。确认固件版本，有安全公告时优先升级。
连接设备清点
- 对照家中真实设备核对 MAC 与主机名；陌生条目先隔离或改 Wi-Fi 密码。
- 访客网络与主网络分 SSID；智能插座与摄像头不要与 PC 同网段无隔离。
- 核对 DNS 是否被指向未知服务器，见 DNS 工作机制。
向外延伸
台式机启用防火墙；笔记本在公共场合用公用配置。需要远程回家访问时，用明确授权的隧道，而不是把管理端口直接暴露到互联网。
光猫与路由双层管理
国内常见光猫拨号 + 路由器 NAT。只改路由密码而光猫仍默认，攻击者可从 WAN 侧尝试管理口。两层口令都要换，并关闭远程维护除非运营商要求。
UPnP 与端口映射
游戏与下载软件常自动打洞映射端口，可能意外暴露内网服务。无需求时在路由关闭 UPnP，改用手动映射并记录用途。
下一代协议
启用 IPv6 时核对接口边界防火墙，避免内网设备意外获全球地址却无过滤。可与 IP 地址 专题一起阅读。
智能门锁与摄像头
IoT 设备默认密码呼啸于僵尸网络扫描列表。首次通电即改口令，并阻断其访问台式机文件共享。
固件订阅通知
订阅厂商安全通告邮件，比等新闻曝光更快得知需升级的 CVE。
来宾网络带宽
给访客限速可防止邻居孩子在你宽带上下载盗版资源连累 IP 信誉。QoS 不是豪华功能，现代路由大都支持。
年终盘点时拍下当前连接设备清单，与实物对照，比凭记忆记得「好像只有六台」更靠谱。
MQTT 默认端口
智能家居若暴露 1883 端口到公网，会被僵尸网络快速订阅。在网关阻断入站，仅允许内网设备对话。
租房轮换租客时，前任留下的智能家居未解绑，新房客可远程开门。入住首日重置网关、改 SSID，并向原房东确认云账户已移除旧设备。
对讲门铃若走 P2P 穿 NAT，固件洞可导致陌生人远程预览。关注厂商 CVE 通告与强制更新推送。
打印机固件十年来从不更新，却连着合同扫描件。单独 VLAN 放打印设备，比期待它「只内网很安全」更现实。
发现异常先断网再拍照留存证据。
延伸阅读：Windows 网络安全设置。