上周帮朋友收拾他家那套宽带进门第一眼就是光猫和路由器摞在一起电源线缠成一团他媳妇手机连上Wi-Fi随口问了句“这能用就行吧”我随手点开浏览器输了192.168.1.1管理口令居然还是设备背面印的出厂那串。联通光猫加路由器这套组合装完之后真正做过安全设置的人不多大多数人的状态就是师傅调通、能刷视频、能打游戏然后几年不动。可这几年家里联网的设备从三五个涨到二三十个摄像头、扫地机、智能插座全都挂在同一个网段里默认配置那点防护能力早就不够看了。这篇就围绕安全地把联通光猫和路由器配置到能上网这件事从链路角色分工、光猫模式选择、后台权限和口令、无线加密、防火墙与UPnP取舍一直到IPv6和常见故障排查按我实际动手的顺序一条条讲清楚尽量给到能直接照着做的参数和步骤。1. 先把链路捋清楚光猫、路由器和上网到底谁在干活1.1 家庭宽带的物理链路与角色分工很多人配置卡壳根源是没分清这段链路上谁负责什么。光纤入户后接到光猫光猫正式名字叫ONU它的第一件事是光电转换把运营商局端过来的光信号变成电信号第二件事是完成宽带认证联通这边常见的是PPPoE拨号也有部分地区走IPoE动态分配。光猫处理完这两件事才谈得上把网络交给下一跳。路由器接在光猫后面干的是内网地址分配、NAT转发、无线覆盖、访客隔离这些活。我习惯把这套结构类比成小区门禁加单元门。光猫是小区大门负责验证你是不是本小区业主宽带账号认证路由器是单元门负责分配你家几零几DHCP、拦住外人乱进NAT和防火墙。两套门都装好家里才既通又稳。麻烦在于不少联通装维默认把光猫也当成路由器用自己拨号、自己发Wi-Fi这时候你再接一台路由器就变成了门禁套门禁双重NAT、端口映射失效、外网访问内网设备统统出问题IPv6的表现也会变得很别扭。理解这层分工之后后面所有配置选择都变得有据可依。你要问的第一个问题不是“路由器买哪个牌子”而是“这台光猫现在到底在干什么”。登录光猫后台看一眼WAN连接状态比在路由器上瞎折腾半小时有用得多。我一般先确认三件事光猫是路由模式还是桥接模式、宽带账号是光猫在拨还是路由器在拨、光猫的Wi-Fi有没有在同时发射。这三个答案决定了你后面要动哪一侧的配置。1.2 光猫的两种工作模式路由模式和桥接模式怎么选光猫出厂默认几乎都是路由模式也就是它自己拨号、自己发Wi-Fi、自己给下面设备分地址。这种模式的好处是开箱即用师傅装完就能上网对只上一台手机、一台电视的家庭完全够用。坏处也明显运营商定制固件里的功能普遍被裁剪防火墙规则、端口映射、UPnP、IPv6前缀下发都做得比较粗糙而且光猫的无线性能和带机量通常不如独立路由器。桥接模式则是让光猫退回到只做光电转换和线路认证的角色拨号任务交给路由器。这样链路变成一根干净的网线路由器直接面对运营商网络端口映射、IPv6、DDNS、外网访问这些功能才能正常工作。我自己家里和给朋友配的几套只要路由器不算太老都倾向于改桥接。判断标准很简单如果你有公网IPv6需求、要在外面访问家里的NAS或摄像头、要挂机下载做端口映射、家里联网设备超过十五台桥接模式基本是必选项。不过桥接不是没有代价。改了桥接以后光猫自带的Wi-Fi会失效如果家里某些角落原来靠光猫信号补盲就得重新规划覆盖。另外桥接配置涉及VLAN ID和拨号账号填错一个数字就是直接断网改之前最好把原来的WAN连接参数拍张照。还有一点部分联通定制光猫的桥接选项在普通用户账号下是灰的需要管理员权限才能改这个后面单独说。1.3 账号信息与设备归属哪些东西必须提前拿到手动手之前先把信息凑齐比中途到处找要省事得多。需要准备的有四样宽带账号和密码、光猫的普通用户口令、光猫的管理员口令、路由器的管理地址和口令。宽带账号通常印在装机单或者当时签约的短信里格式像手机号或者一串数字加区号密码有可能是身份证后六位或者装机时设的六位数。光猫的普通用户账号多半贴在设备底部标签上常见是useradmin加一串随机密码这个账号能看状态、能改Wi-Fi但改不了WAN连接和桥接。管理员账号权限更高能改的东西全但正因为如此运营商一般不给普通用户。这个地方我要说清楚想要管理员权限正规途径是带着机主身份证去联通营业厅申请或者拨打客服热线说明需求也可以请上门装维师傅当面协助操作。网上流传的各种“工具”“专用软件”我不建议碰来源不明的程序本身就可能带风险而且不同批次固件差异很大折腾半天未必成功还容易把设备搞成半砖。路由器这边相对自由管理地址常见是192.168.1.1、192.168.0.1或者tplogin.cn这类域名登录口令在第一次配置时自己设。如果之前是别人帮你配的又不记得口令长按Reset键恢复出厂是最干脆的办法代价是原来的Wi-Fi名称和密码要重设一遍。我一般建议把宽带账号、光猫管理员口令、路由器口令单独记在一个只有家里人知道的地方不要直接写在设备背面。2. 动手前的准备安全设置的底层逻辑2.1 为什么默认配置不能直接用出厂配置是为“最快能上网”设计的不是为“长期安全”设计的。第一层风险来自口令光猫和路由器的默认口令在网上是公开的同一批次设备可能几百上千台都长一个样只要有人扫到你家公网地址上有开放的管理端口就能直接试默认口令登进来。第二层风险来自功能开关UPnP、远程管理、WPS这些默认打开的选项本意是方便实际都是攻击面。第三层风险更隐蔽来自固件本身。运营商定制固件为了统一管理往往保留了一些远程维护通道普通用户看不到但不代表不存在。再加上很多人家里的路由器几年不升级固件厂商已经修补的漏洞还留在设备里。热词里那个“某个安全设置将其检测为易受攻击的驱动程序”说的就是这类情况系统层面提示的驱动或组件风险跟网络设备固件长期不更新是同一类问题。我处理这套东西的思路是先做减法再做加法先关掉所有用不到的功能把攻击面压到最小再按需求逐项打开必要的功能每开一项就记下来它是干什么的。这套逻辑套在光猫和路由器上都成立比照着某个教程勾一堆选项可靠得多。2.2 三个必须先改的默认项不管后面怎么规划有三项我每次都会先改。第一项是管理口令光猫的管理员口令如果拿到了改成自己的强口令路由器的管理口令必须改别用admin、别用12345678、别用手机号十位以上混合大小写加数字是最低要求。第二项是无线密码出厂那串印在设备上、全楼都知道的Wi-Fi密码必须换掉加密方式选WPA2-PSKAES或WPA3绝对不要选WEP和TKIP。第三项是关闭WPS这个功能本意是免输密码快速连接实际是PIN码可以被暴力尝试的入口家里不差那几十秒输密码的时间。改口令这件事有个细节值得注意就是不要用同一套口令打天下。光猫管理口令、路由器管理口令、Wi-Fi密码、宽带拨号密码这四个最好各不相同。因为一旦某一处泄露攻击者拿同一套口令去试其他设备等于一路畅通。我见过有人图省事全设成一个结果智能摄像头被入侵顺藤摸瓜连路由器一起被改最后整个内网的东西都被翻了一遍。2.3 配置前需要记录的信息清单动手之前拿张纸或者开个备忘录把下面这些记下来宽带账号和密码、光猫原来的WAN连接参数VLAN ID、连接类型、服务类型、光猫LAN口地址和网段、路由器WAN口获取方式、家里需要固定IP的设备MAC地址。桥接改失败要回滚的时候这些就是救命信息。VLAN这块单独说一句联通的宽带上网业务通常绑定一个VLAN ID各地数值不一样常见的有几十、几百甚至上千的编号。拨号连接里这个号填错表现就是一直拨不上或者连接上很快掉。原来的参数在哪看进光猫WAN配置页面找到那条状态是Connected或者Active的连接把里面的VLAN ID抄下来。如果桥接后路由器拨不上第一个要查的就是这个数字。3. 光猫侧的安全配置实操3.1 进入管理界面与正规获取更高权限的途径浏览器输光猫的LAN口地址常见是192.168.1.1联通部分设备是192.168.101.1。先用普通账号登录把能看到的页面翻一遍重点看WAN状态、Wi-Fi设置、设备信息、日志这四块。普通账号看不到WAN配置说明需要管理员权限。前面说过正规途径只有营业厅、客服、上门装维这三种不要因为网上有现成工具就去试那些工具针对特定型号特定固件版本成功率不稳定而且你无法确认它除了开权限还做了什么。拿到管理员权限之后第一件事不是改配置而是把原有的WAN连接截图存档。我第一次改桥接就吃过亏参数记岔了一位折腾到晚上才恢复。存档之后再看清楚光猫当前是路由模式还是桥接以及下面有多少台设备通过光猫的Wi-Fi上网。3.2 关掉那些用不上的远程入口光猫后台里跟远程访问有关的选项能用不到的一律关。TR-069远程管理协议是运营商用来远程下发配置的普通用户关掉之后可能影响运营商侧的自动维护所以要不要关得权衡但像远程Web管理、远程Telnet、UPnP这些没有特殊需求就关掉。管理端口的远程访问尤其危险公网上扫描器天天在找开放的管理页面你开着就等于把家门钥匙挂在门口。Wi-Fi这块光猫自带的无线如果决定不用就干脆关掉别让它一边发信号一边你又不用白白增加一个入口。有朋友家里光猫Wi-Fi开着密码还是出厂的结果楼上邻居一直蹭着还顺手在光猫后台改了DNS网页被劫持到广告页这种例子不少见。关掉之后如果你家路由器覆盖不到卫生间或者阳台再单独用一台设备做覆盖不要图省事把光猫Wi-Fi重新打开。3.3 无线与DHCP的取舍如果最终决定用光猫路由模式那DHCP就留在光猫上路由器改成AP模式或者关闭WAN口拨号避免双重NAT。这种情况下网段只有一层192.168.1.x统一由光猫分配设备之间互访顺畅。反过来如果决定桥接光猫的DHCP要关掉无线也要关掉所有地址分配交给路由器。有个坑要提前讲某些联通定制光猫的DHCP开关在普通界面里是灰的热词里也出现过“联通给的光猫路由器不能关闭DHCP”这种困扰。遇到这种情况要么用管理员账号在隐藏页面里关要么干脆把光猫改桥接拨号交给路由器DHCP自然就绕开了。还有种折中做法把路由器LAN口地址改成光猫网段里的另一个地址两台设备同网段但不冲突光猫DHCP和路由器DHCP只保留一个开启避免地址池打架导致设备时不时掉线。3.4 桥接配置的关键参数与操作顺序桥接配置的顺序我总结成四步先记参数、再建桥接连接、再关无线和DHCP、最后在路由器上拨号验证。进入WAN配置页面新建一条连接连接类型选桥接或Bridge绑定你要用的LAN口VLAN ID填原来记下的那个数值服务类型按原有设置匹配。保存之后把原来的路由模式连接删掉或者置为无效否则两条连接可能抢线路。这里有个容易忽略的点桥接连接绑定的LAN口要和实际接路由器的口一致接错了就是拨号无响应。另外部分地区联通宽带在桥接后需要配合MAC地址如果拨号一直失败可以尝试在路由器上克隆原来光猫WAN口的MAC地址。改完桥接先别急着走开用电脑直连光猫对应的LAN口PPPoE拨号试一次能拨通再回去接路由器出问题的时候排查范围小得多。4. 路由器侧的安全配置实操4.1 上网方式选择与拨号配置光猫桥接完成路由器这边把WAN口连接类型设成PPPoE填入宽带账号和密码保存后等拨号结果。成功的话WAN口状态会显示获取到的公网地址和DNS。如果一直拨不上依次检查账号密码有没有多空格、VLAN是否需要在路由器侧配置多数家用路由器不支持VLAN这种情况要么换支持VLAN的设备要么让光猫保留路由模式、网线是不是插在WAN口而不是LAN口。有些联通线路走IPoE也就是不需要拨号WAN口设成动态IP自动获取即可。判断依据是原来光猫的WAN连接类型如果是IPoE路由器选DHCP。还有些地区开通了双栈IPv4和IPv6分开配置这个后面讲IPv6的时候再说。拨号成功后我习惯把WAN口MTU调成1492PPPoE封装会占用8字节默认1500可能导致大包分片部分网站上不去或者加载卡顿就是这个原因。4.2 管理口令与后台访问控制路由器管理后台的安全设置是重点。口令刚才说过要改强口令这里补充两点。第一是限制管理后台的访问来源多数路由器可以设置只允许LAN侧访问管理页面把WAN侧管理关掉这个开关有的叫“远程管理”有的叫“Web远程访问”关掉。第二是如果路由器支持管理端口修改把默认的80或8080改成不常见的高位端口能减少被扫描器碰到的概率不过这属于锦上添花前提还是口令要够强。还有个小细节部分路由器支持登录失败锁定连续输错几次就锁定一段时间这个功能建议打开能挡掉相当一部分口令尝试。如果路由器还支持双因素验证比如登录时再输一次动态码管理员账号能开就开。我自己的做法是把路由器的管理账号单独设不用家里其他人常用的昵称也不和Wi-Fi密码重复。4.3 无线加密、名称与访客网络的规划无线加密选WPA2-PSKAES或WPA3如果家里有老设备连不上WPA3就退回WPA2不要为了兼容老设备去开WPA/WPA2混合加TKIP。Wi-Fi名称建议不要用默认的比如CMCC开头那种一看就知道是联通定制设备也别用门牌号、姓名拼音这类能定位到个人的信息简单中性就行。访客网络是我强烈建议打开的功能。摄像头、智能音箱、扫地机器人、电视盒子这些都放访客网络主网络只留手机、电脑、NAS这些需要互访的设备。这样做的好处是一台智能设备被入侵它也只能在访客网络里活动摸不到你的电脑和存储。多数中端以上路由器都支持访客网络打开时记得勾选“禁止访客访问内网”。还有一点访客网络的密码也要单独设别和主Wi-Fi一样。4.4 防火墙、UPnP与端口映射的取舍路由器防火墙默认开启保持开启就好一般不需要动。需要留意的是UPnP这个功能让内网设备自动向路由器申请开端口方便游戏联机和下载工具提速代价是任何内网程序都能悄悄开一个对外的口子。我的建议是默认关闭需要的时候手动做端口映射虽然麻烦一点但你知道开了哪些端口、开给哪台设备。端口映射的原则是最小必要。要远程访问NAS就只映射NAS需要的那个端口不要图省事把NAS整台机器设成DMZ主机。DMZ等于把设备完全暴露在公网上一旦这台设备有漏洞后果直接。映射的时候还要注意内网IP要固定在路由器里给目标设备做DHCP静态绑定否则设备重新获取地址后映射就失效了。做完映射自己在外网用手机流量验证一次确认能不能通别等真要用的时候才发现没生效。4.5 IPv6的正确开启方式IPv6这块热词里“小米路由器公网IPv6”出现得挺多说明关注的人不少。开启流程分两边光猫桥接模式下路由器WAN口连接类型选PPPoE同时把IPv6打开选择DHCPv6或者SLAAC方式获取地址和前缀如果运营商下发了/60或/64的前缀路由器就能给内网设备分配公网IPv6地址。这时候每个设备都有自己的公网地址不再依赖NAT理论上外网可以直接访问。安全上的考量随之而来。IPv6没有NAT这层天然屏障内网设备直接暴露所以路由器防火墙的IPv6规则必须开启默认拒绝外部主动连接只放行你明确要开放的端口。很多路由器的IPv6防火墙默认是开的但也有些型号默认放行装好之后一定要测试一下从外部网络尝试连接内网某台设备的IPv6地址连不上才是正常状态。另外IPv6地址长且会变化做远程访问的时候配合DDNS使用才方便。5. 实测验证与常见故障排查5.1 配置完成后怎么验证是真的生效配完不要只看拨号成功就完事我一般走一遍清单。第一电脑和手机连主Wi-Fi能正常打开网页、能解析域名说明DNS没问题。第二用手机流量访问家里路由器的公网地址测试端口确认映射生效或者确认不该开的端口确实没开。第三登录路由器后台看已连接设备列表把不认识的设备踢掉并拉黑顺便核对一下有没有设备偷偷连上访客网络。第四检查IP地址分配确认和网关地址在同一网段。第五看路由器日志里有没有反常的登录失败记录或者反复的WAN口重拨。验证桥接是否真的生效有个简单办法看路由器的WAN口地址如果是公网地址并且和你在外部查到的地址一致说明路由器确实在直接面对运营商如果WAN口拿到的是192.168或者10开头的地址那说明上游还有一层NAT要么桥接没改成功要么运营商本身做了地址转换。5.2 常见问题速查表现象可能原因处理思路拨号一直失败VLAN ID填错、账号密码错、MAC绑定核对原WAN参数尝试克隆MAC能拨通但网页打不开DNS异常、MTU过大改DNS为公共DNSMTU调1492桥接后Wi-Fi没了光猫无线被关闭正常现象用路由器覆盖光猫DHCP关不掉定制固件限制改桥接或用管理员权限处理外网访问内网失败双重NAT、端口未映射改桥接做静态IP加端口映射IPv6能获取地址但访问不了外网防火墙拦截、前缀未下发检查IPv6防火墙规则和前缀长度设备频繁掉线地址池冲突、无线信道干扰只留一个DHCP信道改自动或固定5.3 几个容易踩的坑和我的处理习惯第一个坑是网线插错口。光猫桥接后网线要从光猫的LAN口接到路由器的WAN口接成LAN到LAN就变成交换机模式路由器不拨号整个网络反而靠光猫的旧配置在跑看着能上网其实链路没变。这个错误我见过好几次尤其是设备外观相似的时候。第二个坑是改完配置不重启。光猫和路由器的部分设置保存后需要重启才生效尤其是WAN连接和桥接模式。改完立刻测试可能还是旧状态误以为配置失败来回改反而把参数改乱。我的习惯是每改一项保存后重启一次再验证。第三个坑是固件版本太老。路由器固件建议保持在官方最新稳定版不要用来源不明的第三方固件也不要随便刷非官方版本刷坏了保修和远程维护都没了。光猫固件一般不自己动如果运营商有推送更新按提示重启完成就行。第四个坑是密码管理混乱。设备多了光猫口令、路由器口令、Wi-Fi密码、访客密码、宽带账号很容易记混。我建议用一个密码管理器或者至少写在一个离线的地方别存在浏览器自动填充里就完事换设备的时候就抓瞎。6. 长期维护固件、备份与月度检查6.1 配置备份与恢复演练配置做完之后路由器的配置文件记得导出备份。多数路由器在系统工具里有“备份配置”选项导出一个文件存好。光猫这边管理员账号下也有类似功能或者至少把关键页面截图存档。备份的意义在于将来恢复出厂设置、换设备、固件升级出问题的时候能快速回到已知可用的状态。我自己的习惯是每次大改动之前先备份一次改完验证通过再备份一次文件名带上日期。光猫的宽带账号、VLAN ID、管理员口令这几项单独记一份不放在备份文件里因为备份文件可能被人拿到。恢复的时候注意部分路由器不允许跨固件版本直接导入配置升级前后要留意。6.2 固件更新与安全检查的节奏固件更新不用天天看但也不能几年不管。我的节奏是每季度登录一次路由器后台看看有没有新固件提示有就升升级前备份配置升级后重连验证。光猫固件一般由运营商统一推送用户端能做的有限但可以留意设备运行是否异常。安全检查我列了个简单清单每月花五分钟过一遍已连接设备列表有没有陌生设备、管理后台登录日志有没有异常、Wi-Fi密码有没有需要更换、访客网络是否正常隔离、UPnP是不是还在关闭状态、IPv6防火墙规则有没有被改动。这份清单看着琐碎但真出问题的时候能帮你快速定位是哪一环出了状况。6.3 从一台设备扩展到全屋网络的思路家里网络不是配一次就完事设备在增加需求在变。今天只需要手机上网明天可能加了NAS、加了摄像头、加了远程办公。扩展的时候记住一条原则每加一台需要外网访问的设备想清楚它该放在哪个网段、需要开放哪个端口、是否需要单独隔离。摄像头这类设备建议单独划一个网段或者放进访客网络只允许它出网、不允许它访问内网其他设备很多路由器把这个功能叫“设备隔离”或者“AP隔离”。如果覆盖不够优先考虑有线回程的Mesh节点或者AP面板不要一味加无线中继中继会吃掉一半带宽还增加干扰。网线能到的地方就拉网线这是最稳的方案。设备多了以后把关键设备做DHCP静态绑定整理一份自己的设备清单写清楚每台设备的MAC、IP、用途下次排查的时候不用一台台去猜。这套东西搭好之后联通光猫加路由器这条链路才算真正既通又稳该开的开、该关的关剩下的就是日常那五分钟的检查。