Hướng dẫn thiết lập an ninh mạng không dây tại nhà: 12 bước bảo vệ Wi-Fi toàn diện

Thiết lập an ninh Wi-Fi gia đình - Checklist 12 bước

Router Wi-Fi là "cửa ngõ" vào mạng gia đình. Bảo vệ nó tốt = Bảo vệ mọi thiết bị kết nối (Laptop, Phone, Smart TV, Camera, IoT...).

Kết nối máy tính với Router (Cáp LAN khuyên dùng, hoặc Wi-Fi).
Mở trình duyệt → Gõ IP Router (Thường: 192.168.1.1, 192.168.0.1, 192.168.2.1, 10.0.0.1, https://routerlogin.net, https://tplinkwifi.net...).
Đăng nhập: Xem nhãn dưới Router (Mặc định thường: admin / admin, admin / password, admin / 1234, user / user). ĐỔI NGAY MẬT KHẨU ADMIN MẠNH (Bước 2).

Mật khẩu mạnh: ≥15 ký tự, ngẫu nhiên, chữ hoa/thường/số/ký tự đặc biệt. Lưu trong Password Manager (Bitwarden, 1Password, KeePass).
Tắt Remote Management (Quản trị từ xa) / WAN Access to Admin. Chỉ cho phép truy cập từ LAN.

Vào Administration / System Tools / Firmware Upgrade → Check/Download/Install bản mới nhất từ trang web hãng.
Bật Auto-update nếu có. Firmware cũ = Lỗ hổng 0-day/RCE sẵn sàng bị khai thác.

Security Mode: WPA2-PSK (AES) hoặc WPA2/WPA3-Personal (Transition) hoặc WPA3-Personal (nếu mọi thiết bị hỗ trợ). TUYỆT ĐỐI KHÔNG: Open, WEP, WPA-TKIP, WPA2-TKIP.
Wi-Fi Password (WPA Key / Passphrase): ≥12 ký tự, ngẫu nhiên, không từ điển, không thông tin cá nhân. Ví dụ: Tr@iC@yC0ngNgh3!2024 (hoặc dùng Passphrase: correct-horse-battery-staple-vietnam).
SSID (Network Name): Đổi tên mặc định (Linksys, TP-Link, DLink...). Không dùng tên cá nhân, địa chỉ, hãng router. VD: HomeNet_5G, Family_WiFi.
Ẩn SSID (Hide SSID): Tùy chọn. Giảm tầm nhìn nhưng không tăng bảo mật thực (dễ bypass). Có thể gây khó khăn kết nối thiết bị cũ.

WPS (PIN/Push Button) có lỗ hổng Brute-force PIN (CVE-2011-0923) cho phép hacker lấy pass Wi-Fi trong vài giờ. TẮT HOÀN TOÀN WPS.

Guest Network: Cho khách, thiết bị không tin cậy. Cách ly (AP Isolation/Client Isolation) khỏi mạng chính (LAN). Giới hạn băng thông, truy cập Internet only.
IoT Network (VLAN/Subnet riêng): Camera, Smart Bulb, Plug, TV, Robot hút bụi... Thiết bị IoT thường bảo mật kém, không update firmware. Cách ly khỏi mạng chính (Laptop, Phone, NAS). Chặn truy cập IoT → LAN. Chỉ cho IoT → Internet (cập nhật firmware, cloud vendor).

Thay DNS mặc định của ISP bằng: Cloudflare (1.1.1.1 / 1.1.1.2 - Malware, 1.1.1.3 - Family), Quad9 (9.9.9.9 - Block Malware), NextDNS (Custom blocklist, Analytics), Google (8.8.8.8 - Basic).
Bật DNS over HTTPS (DoH) / DNS over TLS (DoT) trên Router (nếu hỗ trợ) hoặc trên từng thiết bị/Client. Ngăn ISP/Attacker theo dõi/tamper truy vấn DNS.

Tắt: UPnP (Universal Plug and Play - nguy hổng cho IoT/Malware mở port tự động), Telnet, SSH, FTP, TFTP, SNMP, CWMP/TR-069 (ISP management - nếu không cần), Ping from WAN (Block ICMP).
Chỉ bật dịch vụ thực sự cần (VD: VPN Server nếu bạn tự host).

Cài VPN Client (WireGuard/OpenVPN) trực tiếp trên Router (nếu Router hỗ trợ: AsusWRT-Merlin, OpenWrt, GL.iNet, MikroTik, Keenetic, Ubiquiti).
Toàn bộ thiết bị trong nhà (kể cả TV, IoT không cài app VPN) tự động đi qua VPN. Bảo vệ Privacy, Bypass Geo-block, Chặn Tracking.
Hoặc dùng VPN Client trên từng thiết bị (Dễ hơn, linh hoạt hơn).

Vị trí trung tâm, cao, thoáng, xa thiết bị gây nhiễu (Lò vi sóng, Bluetooth, Điện thoại không dây cũ, Tường dày).
Tắt Wi-Fi (hoặc toàn bộ Router) khi đi vắng nhà nhiều ngày (Du lịch, Tết). Giảm bề mặt tấn công, tiết kiệm điện.

Tháng: Kiểm tra Firmware update, Đổi pass Wi-Fi (năm 1-2 lần hoặc khi nghi ngờ rò rỉ), Xem log Router (Unknown devices, Blocked attacks).
Quý: Quét lỗ hổng nội bộ (Nessus Essentials free, OpenVAS), Kiểm tra thiết bị kết nối (Kick unknown devices), Review Port Forwarding/DMZ rules.
Năm: Tham gia đào tạo nhận thức an ninh cho gia đình (Phishing, Scam, Password, Privacy).