Tại sao cần bảo mật mạng nhà?
Mạng gia đình không bảo mật là đích dễ dàng cho: xâm nhập盗取 dữ liệu, cài mã độc, khai thác botnet, tấn công DDoS, truy cập camera/IoT, lừa đảo ngân hàng. May mắn là **không cần mua phần mềm** – chỉ cần cấu hình đúng và thói quen tốt.
1. Bảo mật Router – "Cánh cửa chính" của mạng
Đổi thông tin đăng nhập mặc định NGAY
- Truy cập giao diện router (192.168.1.1 / 192.168.0.1 / 10.0.0.1)
- Đổi **tên đăng nhập admin** (nếu cho phép) và **mật khẩu admin** mạnh (≥ 12 ký tự, không dùng từ điển)
- Tắt quản trị từ xa (Remote Management / Web Access from WAN)
Cập nhật Firmware thường xuyên
- Kiểm tra cập nhật hàng tháng hoặc bật tự động cập nhật (nếu có)
- Firmware cũ chứa lỗ hổng nghiêm trọng (VD: VPNFilter, KRACK, FragAttacks)
Cấu hình Wi-Fi an toàn
| Thiết lập | Khuyến nghị | Lý do |
|---|
| Chế độ mã hóa | WPA2-PSK (AES) hoặc WPA3-SAE | WEP/WPA/TKIP đã bị phá vỡ |
| Mật khẩu Wi-Fi | ≥ 12 ký tự, 섞 chữ hoa/thường/số/ký tự đặc biệt | Chống brute-force, dictionary attack |
| SSID (Tên mạng) | Đổi tên mặc định, không dùng tên cá nhân/địa chỉ | Giảm thông tin cho kẻ dòm ngó |
| Ẩn SSID | Không khuyến khích | Gây phiền toái kết nối, không tăng bảo mật thực sự |
| WPS (Wi-Fi Protected Setup) | TẮT HOÀN TOÀN | Lỗ hổng PIN WPS cho phép brute-force trong vài giờ |
| UPnP | Tắt (trừ khi cần cho game/console cụ thể) | Malware lợi dụng UPnP mở cổng tự động |
| Guest Network | Bật cho khách/Thiết bị IoT | Cô lập thiết bị không tin cậy khỏi mạng chính |
Tắt các dịch vụ không cần thiết
- Telnet, SSH, HTTP, FTP, SNMP, CWMP/TR-069 từ WAN
- Chỉ cho phép HTTPS (443) từ LAN để quản trị
Đặt lịch tắt Wi-Fi khi không dùng (tùy chọn)
Nhiều router cho phép lên lịch tắt Wi-Fi ban đêm/ngày làm việc – giảm bề mặt tấn công và tiết kiệm điện.
2. Bảo mật Thiết bị kết nối (Endpoint)
- Cập nhật OS & phần mềm: Bật tự động cập nhật Windows/macOS/Linux, iOS/Android, trình duyệt, Office
- Dùng tài khoản Standard (không Admin) cho hàng ngày – giới hạn quyền cài phần mềm độc hại
- Mật khẩu mạnh + 2FA: Dùng trình quản lý mật khẩu (Bitwarden, KeePass, 1Password), bật 2FA cho mọi tài khoản quan trọng
- Tường lửa host: Bật Windows Defender Firewall / macOS Firewall / ufw (Linux) – chặn kết nối đầu vào không mời
- Antivirus miễn phí tốt: Windows Defender (đã đủ tốt), ClamAV (Linux), Malwarebytes Free (quét thủ công)
- Mã hóa ổ cứng: BitLocker (Windows Pro), FileVault (macOS), LUKS (Linux) – bảo vệ dữ liệu nếu mất thiết bị
3. Phân đoạn mạng (Network Segmentation)
- Mạng chính (Trusted): Laptop, PC, điện thoại cá nhân – đầy đủ quyền
- Mạng khách (Guest): Khách đến chơi – chỉ ra Internet, không truy cập mạng chính
- Mạng IoT (Điện tử thông minh): Camera, đèn, plug, TV, tủ lạnh – cô lập, chặn truy cập LAN, chỉ cho ra Internet cần thiết
- Cách làm: Dùng VLAN (router hỗ trợ OpenWrt, pfSense, Ubiquiti, MikroTik, Asus Merlin) hoặc router có sẵn Guest Network/IoT Network
4. DNS an toàn (Bảo vệ cấp độ DNS)
- Đổi DNS router sang: Quad9 (9.9.9.9) – chặn malware/phishing, NextDNS – tùy chỉnh lọc, Cloudflare 1.1.1.1 for Families, OpenDNS FamilyShield
- Bật **DNS over HTTPS (DoH)** hoặc **DNS over TLS (DoT)** trên router (nếu hỗ trợ) hoặc trên từng thiết bị – ngăn chặn nghe lén/tamper DNS
5. VPN tại nhà (Tùy chọn nâng cao)
- Cài **WireGuard** hoặc **Tailscale** trên router (OpenWrt, pfSense, GL.iNet, Asus Merlin) hoặc Raspberry Pi
- Khi ra ngoài: kết nối VPN về nhà → truy cập thiết bị nội bộ an toàn, duyệt web qua mạng nhà (lọc DNS, chặn quảng cáo)
- Tailscale dễ cài nhất: cài app trên mọi thiết bị, tự tạo mesh VPN qua NAT
6. Giám sát & Phát hiện bất thường
- Kiểm tra **danh sách thiết bị kết nối** (DHCP Client List) trên router hàng tuần – phát hiện thiết bị lạ
- Bật **log bảo mật** trên router (nếu có) – xem попытки đăng nhập sai, port scan, DoS
- Dùng **Pi-hole** hoặc **AdGuard Home** trên Raspberry Pi/container – chặn quảng cáo, tracker, malware domain; cung cấp thống kê truy vấn DNS
7. Bảo vệ vật lý & Thói quen
- Đặt router ở vị trí trung tâm, khó tiếp cận vật lý bởi khách/lạ
- Gắn nhãn dán mật khẩu Wi-Fi ở nơi riêng tư (không dán trên router)
- Không chia sẻ mật khẩu Wi-Fi chính cho người lạ – dùng Guest Network
- Đổi mật khẩu Wi-Fi 6-12 tháng/lần hoặc khi nghi ngờ rò rỉ
- Backup cấu hình router định kỳ
Checklist nhanh (In ra dán cạnh router)
☐ Đổi user/pass admin router
☐ Cập nhật firmware mới nhất
☐ WPA2-AES / WPA3, pass ≥ 12 ký tự
☐ TẮT WPS, UPnP, Remote Management
☐ Bật Guest Network cho khách/IoT
☐ Đổi DNS sang Quad9/NextDNS/Cloudflare Families
☐ Bật tường lửa trên mọi thiết bị
☐ Cập nhật OS/phần mềm tự động
☐ Dùng mật khẩu mạnh + 2FA + Password Manager
☐ Mã hóa ổ cứng (BitLocker/FileVault/LUKS)
☐ Kiểm tra danh sách thiết bị kết nối hàng tuần
☐ Backup config router
Kết luận
Bảo mật mạng gia đình không cần phần mềm đắt tiền. **Cấu hình router chặt chẽ + thói dùng thiết bị an toàn + phân đoạn mạng + DNS bảo vệ + giám sát cơ bản** đã chặn được 90%+ tấn công phổ biến. Bắt đầu từ việc đổi mật khẩu admin router hôm nay!
