Чек-лист безопасности роутера и Wi-Fi для небольшого офиса
Практика3 минРедакция Innovialabs
Коротко
Смените пароль администратора роутера, обновите прошивку, включите WPA3 или WPA2-AES, отключите WPS, UPnP и удалённое управление, вынесите гостей в отдельную сеть и регулярно проверяйте список подключённых устройств.
Короткий ответ
Роутер — входная дверь офисной сети. Большинство проблем с ним возникает не из-за сложных атак, а из-за заводских настроек: стандартного пароля, старой прошивки и включённых «удобных» функций. Базовая защита укладывается в десяток пунктов и занимает около часа.
Чек-лист
| Пункт | Что сделать |
|---|---|
| Пароль администратора | Сменить на длинный уникальный, хранить в менеджере паролей |
| Прошивка | Обновить и включить автообновление, если оно есть |
| Шифрование Wi-Fi | WPA3 или WPA2-AES, без WEP и TKIP |
| WPS | Отключить |
| UPnP | Отключить, если нет конкретной необходимости |
| Удалённое управление | Отключить доступ к панели из интернета |
| Гостевая сеть | Отдельный SSID, изолированный от рабочей сети |
| Подключённые устройства | Проверять список и убирать неизвестные |
Пароль администратора и доступ к панели
Пароль от Wi-Fi и пароль от панели управления роутером — разные вещи. Второй часто остаётся заводским, а он нередко напечатан на наклейке или легко находится в интернете по модели.
- Задайте длинный уникальный пароль и, если можно, смените стандартный логин
admin. - Отключите вход в панель по Wi-Fi для гостей и, если роутер позволяет, разрешите управление только с определённых устройств или только по кабелю.
- Используйте HTTPS для входа в панель, если он поддерживается.
Прошивка
Производители закрывают уязвимости через обновления. Если роутер давно не получает прошивок, это сигнал к замене.
- Проверьте версию в панели и на сайте производителя.
- Включите автоматическое обновление, если оно есть.
- Потребительские модели, снятые с поддержки, в офисе лучше не держать.
WPA2 или WPA3
- WPA3-Personal — современный стандарт, лучше защищает от подбора пароля.
- WPA2-Personal с AES — допустимый вариант, если часть устройств не поддерживает WPA3.
- Переходный режим WPA2/WPA3 — компромисс для смешанного парка устройств.
- WEP, WPA и TKIP — устарели, их нужно выключить.
Пароль Wi-Fi делайте длинным: фраза из нескольких слов надёжнее короткого набора символов. Меняйте его, когда уходит сотрудник, который его знал.
Если в офисе больше нескольких человек, присмотритесь к WPA2/WPA3-Enterprise с отдельными учётными записями: тогда при увольнении отключается один логин, а не меняется общий пароль.
WPS, UPnP и удалённое управление
- WPS позволяет подключиться кнопкой или PIN-кодом. PIN-режим исторически уязвим к подбору. Отключите WPS полностью.
- UPnP разрешает устройствам внутри сети самим открывать порты наружу. Это удобно для игровых консолей, но опасно в офисе: заражённое устройство может открыть доступ к себе. Отключите и пробрасывайте порты вручную, только если они действительно нужны.
- Удалённое управление (WAN access) открывает панель роутера в интернет. Если нужен удалённый доступ к сети, используйте VPN, а не открытую панель.
Сегментация сети
Разделите сеть хотя бы на две части:
- рабочая — компьютеры сотрудников, NAS, принтеры;
- гостевая — посетители и личные телефоны, без доступа к рабочим устройствам.
Камеры видеонаблюдения и другие «умные» устройства по возможности тоже выносите в отдельную сеть или VLAN.
Проверка подключённых устройств
В панели роутера есть список клиентов (DHCP-клиенты или «подключённые устройства»). Раз в месяц просматривайте его:
- переименуйте известные устройства, чтобы новые сразу бросались в глаза;
- неизвестное устройство заблокируйте и смените пароль Wi-Fi;
- для важных устройств закрепите IP-адреса — так проще разбираться.
Частые ошибки
- Менять только пароль Wi-Fi и забыть про пароль панели.
- Оставлять включённым WPS, потому что «им никто не пользуется».
- Пускать гостей в ту же сеть, где стоит NAS с документами.
- Открывать порт панели роутера наружу ради удалённой настройки.
- Годами не проверять, выходят ли обновления для модели.