Router biztonságos beállítása: 9 lépés, amit az első fél órában tegyél meg

A router az otthonod legfontosabb hálózati eszköze, és jellemzően a legelhanyagoltabb is. Bekötik, működik, és onnantól évekig senki nem nyúl hozzá. Közben minden eszközöd rajta keresztül éri el az internetet: a telefonod, a laptopod, a tévéd, az okosizzóid és a kamerád is. Ha a router gyengén van beállítva, az az egész háztartás biztonságát érinti.

Ez a cikk az Otthoni hálózat sorozat második része. Az első részben arról volt szó, milyen routert érdemes venni. Most azt nézzük meg, mit állíts be rajta az első fél órában, akár új eszközről van szó, akár a szolgáltatótól kapott, évek óta üzemelő dobozról. A lépések nagy része gyártótól függetlenül ugyanaz, csak a menüpontok neve és helye tér el.

Hogyan lépj be a router kezelőfelületére?

A router beállításait egy webes felületen vagy a gyártó telefonos alkalmazásán keresztül éred el. A webes felülethez olyan eszközről kell csatlakoznod, amely a routered hálózatán van, lehetőleg kábelen.

• A router címe leggyakrabban 192.168.0.1 vagy 192.168.1.1. A pontos címet a router alján lévő matricán, a kézikönyvben, vagy a géped hálózati beállításaiban az „alapértelmezett átjáró” sorban találod.
• Írd be ezt a címet a böngésző címsorába, és jelentkezz be a matricán vagy a kézikönyvben megadott adatokkal.
• Az újabb routerek az első bekapcsoláskor egy beállítóvarázslón vezetnek végig, és kötelezően új jelszót kérnek.

Ha a szolgáltatódtól kapott eszközt használsz, előfordulhat, hogy a beállítások egy része zárolva van, vagy csak az ügyfélkapun, illetve a szolgáltató alkalmazásán keresztül módosítható. A lenti lépések közül ilyenkor is a legtöbbet meg tudod tenni.

1. Cseréld le az adminisztrátori jelszót

A routernek két külön jelszava van, és ezeket sokan összekeverik. Az egyik a Wi-Fi jelszava, amellyel az eszközeid csatlakoznak. A másik az adminisztrátori jelszó, amellyel a beállításokhoz férsz hozzá. Ez utóbbi a fontosabb: aki ismeri, az átírhatja a hálózatod összes beállítását.

A régebbi routereken a gyári admin jelszó gyakran minden példányon ugyanaz volt, és a típus alapján bárki kikereshette. Az újabb eszközökön jellemzően egyedi, a matricára nyomtatott jelszó van, de azt is érdemes lecserélni, mert bárki leolvashatja, aki a router közelébe kerül.

Az új admin jelszó legyen hosszú, egyedi, és tárold jelszókezelőben. Erről a Digitális önvédelem sorozat első része szól: így válassz és állíts be jelszókezelőt. Ha a router felülete engedi a felhasználónév módosítását, azt is érdemes megváltoztatni az alapértelmezett „admin”-ról.

2. Frissítsd a firmware-t, és kapcsold be az automatikus frissítést

A router is számítógép, saját szoftverrel, amelyet firmware-nek hívnak. Ebben ugyanúgy találnak biztonsági hibákat, mint bármely más szoftverben, és a gyártók frissítésekkel javítják őket. Egy évek óta nem frissített router ismert, dokumentált sebezhetőségekkel üzemel.

1. Keresd meg a kezelőfelületen a firmware- vagy rendszerfrissítés menüpontot.
2. Telepítsd az elérhető frissítést. A folyamat alatt a router újraindul, ez néhány percig tart; közben ne kapcsold ki.
3. Ha van automatikus frissítés, kapcsold be. A legtöbb újabb router éjszakára időzítve, magától telepíti a javításokat.

Nézd meg azt is, kap-e még egyáltalán frissítést az eszközöd. A gyártók néhány év után megszüntetik a régebbi modellek támogatását, és onnantól a felfedezett hibákat senki nem javítja ki. Ha a routered évek óta nem kapott frissítést, és a gyártó oldalán lezárt termékként szerepel, ideje lecserélni. A szolgáltatótól bérelt eszközöket jellemzően a szolgáltató frissíti távolról; ha nagyon régi a doboz, kérhetsz újabbat.

Az amerikai kiberbiztonsági ügynökség, a CISA rendszeresen ad ki figyelmeztetéseket aktívan kihasznált routersebezhetőségekről, a magyar Nemzeti Kibervédelmi Intézet oldalán pedig magyarul is megjelennek a fontosabb riasztások.

3. Állíts be erős Wi-Fi titkosítást és jelszót

A Wi-Fi titkosítás határozza meg, hogy a levegőben utazó adataidat ki tudja elolvasni, és ki tud csatlakozni a hálózatodhoz. A beállításoknál több lehetőséget látsz, ezek közül kell választanod.

• WPA3-Personal: a jelenlegi szabvány. Ellenáll a jelszó offline találgatásának, és akkor is védi a korábbi forgalmat, ha a jelszó később kiderül. Ha minden eszközöd támogatja, ezt válaszd.
• WPA2/WPA3 vegyes mód: átmeneti megoldás, ha vannak régebbi eszközeid, amelyek nem tudnak WPA3-at. Az újak WPA3-mal, a régiek WPA2-vel csatlakoznak.
• WPA2-Personal (AES): még elfogadható, ha a routered nem tud ennél jobbat, de csak erős jelszóval.
• WEP, WPA, TKIP, nyílt hálózat: ezek elavultak vagy semmilyen védelmet nem adnak. Ne használd őket.

A Wi-Fi Alliance biztonsági összefoglalója részletesen bemutatja a szabványok közti különbségeket. A 6 GHz-es sávon a WPA3 kötelező, vagyis a Wi-Fi 6E és Wi-Fi 7 eszközök ezen a sávon eleve csak ezzel működnek.

A Wi-Fi jelszó legyen legalább 14–16 karakter hosszú. Itt is a hossz számít: néhány véletlenszerűen választott szó egymás után jobb, mint egy rövid, bonyolult karaktersor, és a vendégeknek is könnyebb begépelni. Ne használd benne a nevedet, a címedet vagy a hálózat nevét.

A hálózat nevét (SSID) is érdemes megváltoztatni. A gyári név gyakran elárulja a router gyártóját és típusát, ami fölösleges információ egy támadónak. A név ne tartalmazzon személyes adatot, például a vezetéknevedet vagy a lakásszámodat. A hálózatnév elrejtése viszont nem ad valódi védelmet: a rejtett hálózat is könnyen felderíthető, cserébe az eszközeid nehezebben csatlakoznak hozzá.

4. Kapcsold ki a WPS-t

A WPS (Wi-Fi Protected Setup) azt a kényelmi funkciót jelenti, amellyel egy gombnyomással vagy egy nyolcjegyű PIN-kóddal lehet eszközt csatlakoztatni a hálózathoz. A PIN-kódos változat tervezési hibája miatt a kód viszonylag kevés próbálkozással kitalálható, és aki megszerzi, az a Wi-Fi jelszó ismerete nélkül is csatlakozhat.

A legbiztosabb, ha a WPS-t teljesen kikapcsolod. Ha valamelyik eszközöd, például egy régebbi nyomtató csak így tud csatlakozni, kapcsold be a csatlakoztatás idejére, és utána azonnal kapcsold vissza.

5. Tiltsd le a távoli elérést és az UPnP-t

Két funkció van, amely kényelmes, de fölöslegesen nagy kockázatot jelent.

Távoli adminisztráció

Ez teszi lehetővé, hogy a router beállításait az internet felől, vagyis otthonról távol is elérd. Ha be van kapcsolva, a bejelentkező felületed a világ bármely pontjáról elérhető, és automatizált programok folyamatosan próbálkoznak rajta. A legtöbb embernek erre semmi szüksége nincs. Kapcsold ki, és a beállításokat csak a saját hálózatodról érd el.

A gyártók felhős alkalmazásai más elven működnek: a router maga kapcsolódik ki a gyártó szerveréhez, nem nyit bejövő kaput. Ez biztonságosabb megoldás, de ilyenkor a gyártói fiókod védelme lesz a kulcs. Legyen rajta egyedi jelszó és kétlépcsős azonosítás.

UPnP

Az UPnP (Universal Plug and Play) lehetővé teszi, hogy a hálózatodon lévő eszközök és programok maguktól nyissanak kaput a routeren az internet felé. Ez kényelmes a játékkonzoloknak, de azt is jelenti, hogy egy fertőzött gép vagy egy rosszul megírt okoseszköz a tudtod nélkül elérhetővé teheti magát kívülről. Ha nincs rá kifejezetten szükséged, kapcsold ki. Ha egy játék vagy alkalmazás emiatt nem működik megfelelően, kézzel is beállíthatsz kaputovábbítást csak arra az egy eszközre és portra.

Érdemes időnként átnézni a kaputovábbítási (port forwarding) szabályok listáját is, és törölni mindent, amit nem te állítottál be, vagy amire már nincs szükség.

6. Hozz létre vendéghálózatot, és tedd oda az okoseszközöket

A vendéghálózat egy második Wi-Fi hálózat ugyanazon a routeren, külön névvel és jelszóval. Az ide csatlakozó eszközök elérik az internetet, de nem látják a fő hálózatod eszközeit: a gépedet, a hálózati tárolódat, a nyomtatódat.

Két dologra kiváló:

• Vendégeknek. Nem kell kiadnod a fő hálózat jelszavát, és a vendég esetleg fertőzött telefonja vagy laptopja nem fér hozzá az eszközeidhez. A vendégjelszót bármikor lecserélheted.
• Okoseszközöknek. Az okosizzók, konnektorok, kamerák, tévék és robotporszívók szoftvere gyakran ritkán frissül, és ezek az eszközök a hálózat leggyengébb pontjai. Ha külön hálózaton vannak, egy feltört eszközről nem lehet továbblépni a laptopodra.

A vendéghálózat beállításánál keresd azt az opciót, amely megtiltja a helyi hálózat elérését, illetve az eszközök egymás közötti kommunikációját (ezt kliens- vagy AP-izolációnak hívják). Egyes okoseszközök helyi vezérléséhez szükség van arra, hogy a telefonod ugyanazon a hálózaton legyen; ezeknél próbáld ki, működnek-e külön hálózatról is. Az okosotthon-szabványokról és arról, mely eszközök működnek felhő nélkül, az okosotthon-útmutatónkban olvashatsz.

7. Állíts be megbízható DNS-t

A DNS az internet telefonkönyve: ez fordítja le a weboldalak nevét a gépek által használt számokra. Alapesetben a szolgáltatód DNS-szerverét használod, de a routerben megadhatsz mást is, és az a hálózat minden eszközére érvényes lesz.

Néhány nyilvános DNS-szolgáltató többet nyújt az alapnál. A Quad9 például alapértelmezetten blokkolja az ismert kártékony és adathalász címeket, a Cloudflare 1.1.1.1 pedig a sebességre és az adatvédelemre helyezi a hangsúlyt, és kínál kártevőszűrős, illetve családi szűrős változatot is. Ez nem helyettesíti az odafigyelést, de egy plusz védelmi réteg, amely a tévét és az okoseszközöket is lefedi.

Az újabb routerek és operációs rendszerek támogatják a titkosított DNS-t (DNS over HTTPS vagy DNS over TLS), amellyel a lekérdezéseid nem olvashatók le a hálózaton. Ha a routered tudja, érdemes bekapcsolni.

8. Nézd át, mi csatlakozik a hálózatodra

A kezelőfelületen van egy lista a csatlakoztatott eszközökről. Érdemes időnként végignézni, és azonosítani minden tételt. Az eszközök neve nem mindig beszédes, ezért segíthet, ha egyenként lekapcsolod a Wi-Fi-t a saját eszközeiden, és megnézed, melyik tűnik el a listáról.

Ha ismeretlen eszközt találsz, cseréld le a Wi-Fi jelszót, és csatlakoztasd újra a sajátjaidat. A jelszócsere akkor is jó ötlet, ha a jelszót az évek során sok embernek odaadtad.

A MAC-cím alapú szűrés, vagyis amikor csak az előre felvett eszközök csatlakozhatnak, sok munkával jár, és kevés védelmet ad, mert a MAC-cím könnyen hamisítható. Az erős titkosítás és a jó jelszó ennél sokkal többet ér.

9. Kapcsold be a tűzfalat, és mentsd el a beállításokat

A router beépített tűzfala alapesetben be van kapcsolva, és blokkolja a kívülről érkező, nem kért kapcsolatokat. Ellenőrizd, hogy így van-e, és ne kapcsold ki. Ha a routered kínál IPv6-tűzfalat is, annak szintén bekapcsolva kell lennie.

A „DMZ” nevű beállítást, amely egy kiválasztott eszközt teljes egészében kitesz az internet felé, otthoni környezetben ne használd.

Ha mindennel végeztél, a legtöbb router lehetővé teszi a beállítások mentését egy fájlba. Készíts ilyen mentést, és tedd el biztos helyre: egy gyári visszaállítás vagy eszközcsere után percek alatt visszatöltheted. A mentés érzékeny adatokat tartalmazhat, ezért kezeld úgy, mint egy jelszót.

Mi a helyzet a szolgáltatótól kapott eszközzel?

A szolgáltatói modem-router kombinált eszközök kényelmesek, de jellemzően kevesebb beállítást engednek, és a Wi-Fi-teljesítményük sem mindig erős. Két dolgot tehetsz.

• Használd úgy, ahogy van, és állítsd be rajta mindazt, amit enged: admin jelszó, Wi-Fi titkosítás és jelszó, WPS kikapcsolása, vendéghálózat.
• Tedd mögé a saját routeredet. A szolgáltatói eszközt ilyenkor érdemes híd (bridge) módba állítani, hogy csak modemként működjön, és a saját routered végezze az összes hálózati feladatot. Ezzel elkerülöd a kettős címfordítást, amely játékoknál és egyes szolgáltatásoknál gondot okozhat. A híd módot nem minden szolgáltató engedi az ügyfélnek beállítani; ilyenkor az ügyfélszolgálattól kell kérni.

Haladóknak: alternatív firmware

Ha a routered gyári szoftvere már nem kap frissítést, vagy többet szeretnél kihozni belőle, létezik nyílt forráskódú alternatíva. Az OpenWrt sok routertípusra telepíthető, rendszeresen frissül, és olyan funkciókat ad, amelyek a gyári szoftverből gyakran hiányoznak: részletes tűzfalszabályok, több elkülönített hálózat, reklám- és kártevőszűrés, VPN.

Ez nem kezdőknek való: a telepítés típusonként eltér, egy rossz lépés használhatatlanná teheti az eszközt, és a gyártói garancia is elveszhet. Ha viszont szeretsz bütykölni, egy régebbi, de támogatott router új életet kaphat vele.

Gyors ellenőrzőlista

1. Egyedi adminisztrátori jelszó, jelszókezelőben tárolva.
2. Friss firmware, bekapcsolt automatikus frissítés.
3. WPA3 vagy WPA2/WPA3 vegyes mód, hosszú Wi-Fi jelszó.
4. Semleges hálózatnév, személyes adat nélkül.
5. WPS kikapcsolva.
6. Távoli adminisztráció és UPnP kikapcsolva.
7. Vendéghálózat a vendégeknek és az okoseszközöknek.
8. Megbízható, lehetőleg szűrő DNS.
9. Csatlakoztatott eszközök listája átnézve.
10. Tűzfal bekapcsolva, beállítások elmentve.

Gyakori kérdések

Milyen gyakran kell a routert újraindítani?

Egy jól működő routert nem kell rendszeresen újraindítani. Ha gyakran lefagy vagy belassul, az firmware-hibára, túlmelegedésre vagy elöregedett eszközre utal.

Érdemes éjszakára kikapcsolni a Wi-Fi-t?

Biztonsági szempontból nem sokat számít, ha a hálózat jól van beállítva. Viszont az automatikus frissítések és az okoseszközök jellemzően éjszaka dolgoznak, ezért a kikapcsolás több gondot okozhat, mint amennyi hasznot hoz.

A legtöbb routeren beállítható időzítés, ha mégis szeretnéd.

Honnan tudom, hogy feltörték a routeremet?

Intő jel, ha megváltozott az admin jelszó vagy a DNS-beállítás, ismeretlen kaputovábbítási szabályt találsz, vagy a böngésződ váratlan oldalakra irányít. Ilyenkor állítsd vissza a routert gyári állapotba, frissítsd a firmware-t, és állíts be mindent újra, új jelszavakkal.

Kell VPN az otthoni hálózatra?

Az otthoni hálózat védelméhez nem. A VPN arra jó, hogy nyilvános Wi-Fi-n védje a forgalmadat, vagy hogy távolról biztonságosan elérd az otthoni eszközeidet. Ez utóbbira sokkal jobb megoldás, mint a kaputovábbítás.

A 2,4 és az 5 GHz-es hálózatnak legyen külön neve?

Általában nem szükséges: ha azonos a név, az eszközök maguk választják ki a jobb sávot. Külön név akkor hasznos, ha egy régebbi okoseszköz csak 2,4 GHz-en tud csatlakozni, és a közös név megzavarja a beállítását.

Összefoglalva

A router biztonságos beállítása nem igényel szakértelmet, csak fél órát és egy kis odafigyelést. A legtöbbet az egyedi admin jelszó, a friss firmware, a WPA3 titkosítás és a WPS, a távoli elérés és az UPnP kikapcsolása hozza. A vendéghálózat elkülöníti a vendégeket és a ritkán frissülő okoseszközöket, a szűrő DNS pedig az egész háztartásnak ad egy plusz védelmi réteget.

Ha ezzel megvagy, a hálózatod alapjai rendben vannak. A sorozat következő részében azt nézzük meg, hogyan lesz jó a jel a lakás minden pontján: a router elhelyezéséről, a mesh rendszerekről és a kábelezésről lesz szó. További hardveres útmutatókat a PC & Hardver rovatban találsz.