Надёжная сеть начинается не со «сложного» названия Wi‑Fi, а с актуального роутера, защищённой панели управления и реального разделения устройств. Ниже — практическая схема: как закрыть опасные функции, выбрать шифрование, изолировать гостей и IoT, а затем проверить, что настройки действительно работают. 1. Сначала защитите сам роутер Обновите основу сети Проверьте точную модель и аппаратную ревизию роутера, установите последнюю официальную прошивку и включите автоматические обновления. Если производитель больше не выпускает исправления безопасности, устройство разумнее заменить: сложный пароль не компенсирует известные уязвимости в неподдерживаемом ПО. Задайте уникальный пароль администратора, который не совпадает с паролем Wi‑Fi и не используется в других сервисах. Панель управления должна открываться только из доверенной локальной сети; удалённое управление через интернет отключите. 2. Выберите правильное шифрование Предпочтительный режим — WPA3-Personal Если часть техники его не поддерживает, используйте WPA2-Personal с AES/CCMP. Не выбирайте WEP, старый WPA, TKIP и устаревшие смешанные режимы: совместимость с очень старым устройством не стоит ослабления всей сети. Парольная фраза должна быть длинной, уникальной и сохранённой в менеджере паролей. Отключите WPS, если он не нужен. 3. Уберите лишние входы в сеть Каждая неиспользуемая функция увеличивает поверхность атаки Отключите UPnP, DMZ, переадресацию портов, файловые, FTP- и медиасерверы, если вы не можете ясно объяснить, зачем они нужны. Не оставляйте порт открытым «на всякий случай». Если домашнему сервису действительно требуется входящее соединение, разрешайте только минимально необходимый доступ и регулярно пересматривайте правило. Проверьте межсетевой экран отдельно для IPv4 и IPv6. Защищённая конфигурация IPv4 не гарантирует, что те же ограничения действуют для IPv6. 4. Отделите гостей и умные устройства Гостевая сеть должна давать интернет, а не доступ к вашему дому Создайте её с отдельным паролем и включите изоляцию гостей от основной LAN. Если роутер умеет изолировать клиентов друг от друга, активируйте и эту функцию: гостевым телефонам обычно незачем обмениваться данными напрямую. Устройства IoT — камеры, колонки, розетки и бытовую технику — по возможности вынесите в отдельную сеть. Учтите, что изоляция может мешать локальному управлению и трансляции мультимедиа; добавляйте исключения точечно, а не открывайте всю основную сеть. Проверьте результат со своего устройства. Интернет должен работать, но панель роутера, компьютеры, NAS, принтеры и камеры основной сети должны быть недоступны. Повторите проверку для IPv4 и IPv6. Агрессивное сканирование для этого не требуется. 5. Проверяйте и умейте восстановиться Название переключателя не гарантирует защиту После изменений проверьте фактическую изоляцию, список клиентов, DNS, шифрование, удалённое управление, DMZ, UPnP и правила портов. Повторяйте такой осмотр после обновлений, сброса настроек и подключения нового устройства. Сохраните резервную копию проверенной конфигурации в защищённом месте. При подозрении на компрометацию отключите внешнее соединение, смените административные и Wi‑Fi-пароли с доверенного устройства, обновите прошивку и заново проверьте настройки. Не публикуйте пароли, резервные копии, внешние адреса, серийные номера и захваты трафика. Что почитать и попробовать • CISA Secure Our World Практические рекомендации по обновлениям, сильным уникальным паролям и защите домашних устройств. Коротко о стандартах • WPA3-Personal Предпочтительный современный режим защиты домашней беспроводной сети; при несовместимости устройств допустим WPA2-Personal с AES/CCMP. Я в соцсетях TG TikTok Сетка Пикабу MAX