Tại sao cần bảo vệ mạng gia đình?
Router gia đình là "cửa ngõ" vào mọi thiết bị: laptop, điện thoại, TV, camera, loa thông minh, tủ lạnh, console game... Tấn công vào router/IoT tăng vọt (Mirai, Mozi, VPNFilter). Bảo vệ mạng nhà = Bảo vệ dữ liệu cá nhân, tài chính, riêng tư gia đình.
Checklist 10 bước bảo vệ mạng gia đình (Ưu tiên cao → thấp)
- Đổi mật khẩu quản trị Router (Admin Password) ngay lập tức.
- Mặc định (admin/admin, admin/password) là mục tiêu #1 của botnet.
- Dùng mật khẩu ≥16 ký tự, lưu trong Password Manager.
- Cập nhật Firmware Router tự động / định kỳ.
- Bật Auto-update nếu có. Kiểm tra hàng tháng trang support hãng (Asus, TP-Link, Netgear, Ubiquiti, Synology, Fritz!Box...).
- Firmware cũ = lỗ hổng RCE, CSRF, Authentication Bypass đang được khai thác tự động.
- Cấu hình Wi-Fi an toàn nhất.
- Bảo mật: **WPA3-Personal (SAE)** > **WPA2-PSK (AES)**. **TUYỆT ĐỐI KHÔNG WEP, WPA-TKIP, WPA2-TKIP.**
- Mật khẩu Wi-Fi: ≥12 ký tự, ngẫu nhiên, không từ điển.
- SSID: Không dùng tên cá nhân/địa chỉ. Tắt **Broadcast SSID** (ẩn tên) - *tùy chọn, có thể gây khó khăn kết nối thiết bị cũ*.
- Tắt **WPS (Wi-Fi Protected Setup)** - lỗ hổng PIN brute-force nghiêm trọng.
- Tắt **UPnP** (Universal Plug and Play) - cho phép thiết bị tự mở port nguy hiểm.
- Tắt **Remote Management / Web Access from WAN** - trừ khi cực kỳ cần (dùng VPN thay thế).
- Tạo mạng khách (Guest Network) cho IoT & Khách.
- Cách ly: IoT (camera, đèn, plug, TV) + Khách trên mạng Guest. Mạng chính (Main/Private) chỉ cho Laptop, Phone, PC tin cậy.
- Bật **AP Isolation / Client Isolation** trên Guest (và Main nếu có) - thiết bị không thấy nhau.
- Chặn Guest truy cập giao diện quản trị router (Access Intranet: Disable).
- Bật Firewall Router + Đóng port không cần thiết.
- SPI Firewall: Enable.
- DoS Protection: Enable.
- Port Forwarding / DMZ / UPnP: **Chỉ mở port thực sự cần** (ví dụ: game server, self-hosted service). Đóng lại sau khi dùng xong.
- DNS Bảo vệ (Protective DNS) cho toàn mạng.
- Cài trên router: **NextDNS**, **Control D**, **OpenDNS FamilyShield**, **Quad9 (9.9.9.9)**, **Cloudflare for Families (1.1.1.3)**.
- Chặn: Malware, Phishing, Tracking, Qu告, Adult (tùy chọn), C2/Telemetry.
- Lợi ích: Bảo vệ **tất cả thiết bị** (kể cả IoT không cài app được) mà không cài phần mềm trên từng máy.
- VPN trên Router (Toàn mạng) hoặc thiết bị cá nhân.
- Router hỗ trợ: Asus (OpenVPN/WireGuard client), GL.iNet, OpenWrt, DD-WRT, pfSense/OPNsense.
- Kết nối tới VPN provider (Mullvad, Proton, IVPN, self-hosted VPS) → Mã hóa toàn bộ traffic ra Internet, ẩn IP nhà, chặn ISP tracking.
- Hoặc cài VPN client trên từng thiết bị (dễ hơn, linh hoạt hơn).
- Bảo vệ Endpoint (Thiết bị cuối).
- PC/Mac: Windows Defender (đủ tốt) / Bitdefender / Kaspersky / ESET + **Malwarebytes Free** quét thủ công.
- Phone: iOS (Lockdown Mode nếu nguy hiểm cao), Android (Google Play Protect + cập nhật Security Patch).
- **Cập nhật OS & App tự động** - quan trọng nhất.
- Password Manager (Bitwarden, 1Password, KeePassXC) - Mật khẩu duy nhất, mạnh cho mọi tài khoản. Bật 2FA (Authenticator App / Hardware Key YubiKey > SMS).
- Backup dữ liệu quan trọng (3-2-1 Rule).
- 3 bản sao, 2 loại lưu trữ khác nhau (SSD ngoài, NAS, Cloud), 1 bản ngoại địa (Cloud/Offsite).
- NAS gia đình (Synology, QNAP, TrueNAS) + Hyper Backup / Cloud Sync.
- Test restore định kỳ.
- Giám sát & Nhận thức.
- App router: Xem danh sách thiết bị kết nối (Device List) hàng tuần. Phát hiện thiết bị lạ.
- Cảnh báo email/app khi thiết bị mới kết nối (hỗ trợ trên Asus, UniFi, Eero, Google Nest).
- Đào tạo gia đình: Không click link lạ, không cài app ngoài Store, nhận diện phishing, bảo mật mật khẩu.
Mô hình bảo vệ mạng gia đình hiện đại (Defense in Depth)
Internet │ ▼ [Modem ISP] ── (Bridge Mode) ──▶ [Router Chính (Firewall, DNS, VPN, VLAN, Guest Net, Auto Update)] │ │ │ ├── [Main Wi-Fi (WPA3)] ──▶ Laptop, Phone, PC (Endpoint Protection) │ ├── [Guest Wi-Fi (WPA3, Isolation)] ──▶ Khách │ └── [IoT VLAN/Network (WPA2/3, Isolation, No Internet Access tùy chọn)] ──▶ Camera, Smart Plug, TV │ ▼ [Protective DNS (NextDNS/Quad9)] ──▶ Chặn Malware/Phishing/Tracking/C2 ở cấp DNS
Router khuyến nghị cho người dùng gia đình nâng cao (2024)
- Dễ dùng, bảo mật tốt, cập nhật lâu: **Asus (RT-AX86U Pro, GT-AX6000, ZenWiFi Pro)** - AiProtection Pro (Trend Micro) miễn phí trọn đời, OpenVPN/WireGuard client, VLAN, Guest Net, NextDNS tích hợp.
- Open Source / Tùy biến cao: **GL.iNet (Flint 2, Beryl AX)** - OpenWrt 기반, WireGuard/OpenVPN/Tailscale client, AdGuard Home, NextDNS, VLAN, sangat nhỏ gọn.
- Prosumer / Doanh nghiệp nhỏ: **Ubiquiti UniFi (Dream Machine SE, UDR)** - VLAN, IDS/IPS, DPI, Guest Portal, quản lý tập trung, cần kiến thức network.
- Budget: **TP-Link Archer AX55/AX73 (OpenWrt support)**, **Xiaomi Mi Router AX3000/AX6000 (OpenWrt unlock)**.
Tóm lại: Bảo vệ mạng gia đình không phải "cài xong quên". Là quy trình: **Cấu hình chặt chẽ Router (bước quan trọng nhất) → DNS Protection → Endpoint Hardening → Backup → Giám sát & Giáo dục**. Bắt đầu từ 3 bước đầu (Admin Pass, Firmware, Wi-Fi/WPS) đã loại bỏ 80% rủi ro phổ biến.