Mật khẩu Wi-Fi của bạn không phải là thứ duy nhất bảo vệ mạng của bạn — các cài đặt này cũng quan trọng

Tôi thích đặt mật khẩu Wi-Fi vì tôi thích làm cho chúng trở nên khó đoán. Tôi sẽ vui vẻ kết hợp các từ, số, ký hiệu, và bất kỳ cụm từ kỳ quặc nào chỉ có tôi hiểu, rồi cảm thấy hài lòng khi không ai có thể dò tìm mạng của tôi. Một mật khẩu mạnh chắc chắn là quan trọng, nhưng nó cũng là phần dễ bị đánh giá quá cao nhất trong bảo mật mạng gia đình.

Bộ định tuyến của bạn làm nhiều việc hơn là chỉ phát Wi-Fi. Nó quyết định ai có thể tham gia, các thiết bị giao tiếp với nó như thế nào, liệu các chế độ bảo mật cũ còn được phép hay không, liệu truy cập từ bên ngoài có khả thi hay không, và liệu TV thông minh của bạn có được cấp cùng mức độ tin cậy như laptop hay không. Menu của bộ định tuyến khác nhau rất nhiều giữa các thương hiệu, và các hệ thống lưới thường ẩn các phần thú vị bên trong ứng dụng điện thoại, nhưng đây là những cài đặt mà tôi sẽ kiểm tra trước khi tự khen mình vì một mật khẩu Wi-Fi thông minh.

Thay đổi đăng nhập quản trị của router, không chỉ mật khẩu Wi-Fi

Mật khẩu quản trị không giống mật khẩu Wi-Fi

Mật khẩu Wi-Fi kiểm soát ai có thể tham gia mạng của bạn. Đăng nhập quản trị viên của router kiểm soát ai có thể thay đổi mạng. Chúng không phải là cùng một thứ, ngay cả khi nhiều người trong tâm trí gộp chúng dưới danh mục "mật khẩu router" và bỏ qua. Tài khoản quản trị viên là phòng điều khiển. Nó có thể đổi tên mạng của bạn, thay đổi mật khẩu Wi-Fi, cập nhật phần mềm, kích hoạt truy cập từ xa, điều chỉnh cài đặt DNS, mở cổng và đôi khi xem mọi thiết bị kết nối với router. Nếu ai đó có mật khẩu Wi-Fi, họ có thể sử dụng kết nối của bạn. Nếu ai đó có mật khẩu quản trị viên router, họ có thể viết lại các quy tắc của toàn bộ mạng.

Cuộc khảo sát năm 2025 của Broadband Genie với 3.242 người dùng Internet cho thấy 81% chưa bao giờ thay đổi mật khẩu quản trị viên của router, và 69% chưa bao giờ thay đổi mật khẩu Wi-Fi của router. Đây không phải là một sơ sót nhỏ. Các trang web như routerpasswords.com duy trì cơ sở dữ liệu do cộng đồng quản lý, liệt kê tên đăng nhập và mật khẩu mặc định cho gần như mọi nhà sản xuất router. Bạn có thể truy cập, chọn một thương hiệu từ menu thả xuống và ngay lập tức xem thông tin đăng nhập mặc định. Tuy nhiên, các luật bảo vệ người tiêu dùng ở một số khu vực như Luật PSTI của Vương quốc Anh đang bắt đầu khắc phục vấn đề này bằng cách cấm mật khẩu mặc định chung trên các thiết bị mới sản xuất.

Đăng nhập vào bảng điều khiển quản trị của router của bạn — thường là 192.168.0.1 hoặc 192.168.1.1 trên trình duyệt — mặc dù các hệ thống mesh như Google, Amazon, Eero, Netgear và TP-Link Deco sẽ điều hướng việc này thông qua một ứng dụng trên điện thoại thông minh. Tìm các thiết lập tài khoản quản trị, thay đổi cả tên người dùng (nếu giao diện cho phép) và mật khẩu, và hãy tạo mật khẩu độc nhất thay vì tái sử dụng từ nơi khác. Nếu router của bạn được quản lý hoàn toàn qua một ứng dụng liên kết đám mây, thì đăng nhập vào ứng dụng đó về cơ bản chính là mật khẩu quản trị mới, vì vậy hãy xử lý nó tương ứng. Ngoài ra, hãy kiểm tra xem quyền truy cập quản trị từ xa có được bật không. Nếu bạn không có lý do để cấu hình router từ quán cà phê, hãy tắt nó đi.

Sử dụng WPA3 nếu bộ định tuyến của bạn cho phép lựa chọn

Những chế độ cũ già đi tệ

Cài đặt mã hóa của bộ định tuyến của bạn bảo vệ liên kết không dây giữa các thiết bị của bạn và bộ định tuyến. Đó là phần mà ai đó ở gần có thể cố gắng tấn công vì mạng của bạn phát sóng qua không khí. HTTPS vẫn quan trọng đối với các trang web và dịch vụ bạn sử dụng, nhưng chế độ bảo mật Wi-Fi của bạn quyết định mức độ bảo vệ cho kết nối không dây tại chỗ.

WPA3 là tiêu chuẩn bảo mật Wi-Fi hiện tại và là lựa chọn mà tôi sẽ chọn trước tiên nếu bộ định tuyến và các thiết bị của tôi hỗ trợ. Cải tiến lớn nhất của nó đối với người dùng gia đình là SAE, một phương thức xác thực mạnh hơn làm cho các cuộc tấn công bẻ khóa mật khẩu ngoại tuyến trở nên khó khăn hơn nhiều so với WPA2-Personal. Nói một cách đơn giản, ai đó không nên có thể chụp được handshake Wi-Fi của bạn, rời đi và sau đó ung dung thử phá mật khẩu của bạn.

WPA2 không phải là vô dụng, đặc biệt là khi sử dụng mật khẩu mạnh và mã hóa AES, nhưng các chế độ cũ như WEP và WPA thường nên được coi là vật trưng bày trong bảo tàng. Nếu router của bạn vẫn đang sử dụng một trong hai chế độ này, thì vấn đề không còn nằm ở mật khẩu nữa. Chế độ bảo mật mới là vấn đề.

Mở cài đặt không dây của router và tìm mục bảo mật hoặc danh sách thả xuống mã hóa. Chọn WPA3-Personal nếu có sẵn. Nếu điều đó khiến các thiết bị cũ ngắt kết nối, chế độ chuyển tiếp WPA2/WPA3 là một thỏa hiệp hợp lý vì phần cứng mới có thể sử dụng WPA3 trong khi các thiết bị cũ quay về WPA2. Nếu WPA3 không có, sử dụng WPA2-Personal với AES. Tránh TKIP và WEP, và hãy nghi ngờ bất kỳ router nào vẫn hiển thị các chế độ bảo mật cũ như là lựa chọn bình thường vào năm 2026.

Một bộ định tuyến hoạt động vẫn có thể là một bộ định tuyến không được hỗ trợ

Bộ định tuyến trên kệ của bạn không miễn nhiễm chỉ vì nó hoạt động

Một bộ định tuyến có thể chuyển tiếp lưu lượng Netflix của bạn một cách đáng tin cậy trong khi chạy phần mềm với ba năm lỗ hổng chưa được vá. Hai điều này hoàn toàn không liên quan, và chính vì lý do đó mà các bộ định tuyến cũ là một trong những thiết bị bị bỏ qua nhất cần cập nhật phần mềm thường xuyên.

Hầu hết mọi người chỉ nghĩ đến việc thay router khi Wi-Fi trở nên chậm hoặc tín hiệu bắt đầu hoạt động không ổn định. Hỗ trợ bảo mật thì tinh vi hơn. Khi một router đạt đến cuối vòng đời, nhà sản xuất sẽ ngừng phát hành các bản cập nhật firmware và vá lỗi bảo mật. Bất kỳ lỗ hổng nghiêm trọng nào được phát hiện sau thời điểm đó có thể sẽ không bao giờ được khắc phục, ngay cả khi router vẫn trông ổn trên kệ và vẫn kết nối mọi điện thoại trong nhà với mạng.

Điều này không mang tính lý thuyết. Vào tháng 5 năm 2025, FBI đã cảnh báo rằng các bộ định tuyến hết hạn sử dụng đang trở thành mục tiêu của các dịch vụ tội phạm mạng sử dụng phần mềm độc hại ảnh hưởng đến các thiết bị cũ, biến chúng thành các máy chủ trung gian để che giấu các hoạt động độc hại. Đó là thực tế khó chịu của thiết bị mạng không được hỗ trợ: bộ định tuyến của bạn có thể trở nên hữu ích cho người khác mà không báo trước cho bạn dấu hiệu rõ ràng nào.

Đối với các bộ định tuyến vẫn còn được hỗ trợ, hãy kiểm tra bảng quản trị để tìm mục cập nhật phần mềm hoặc firmware, thường nằm dưới mục Quản trị, Nâng cao, Hệ thống hoặc Bảo trì. Bật cập nhật tự động nếu tùy chọn này tồn tại. Nhiều bộ định tuyến hiện đại và hệ thống mesh đã hỗ trợ cập nhật qua ứng dụng hoặc tự động, nhưng tôi vẫn khuyên nên kiểm tra thay vì đoán. Nếu mẫu bộ định tuyến của bạn chưa nhận được cập nhật firmware trong vài năm, hãy kiểm tra trang hỗ trợ của nhà sản xuất để biết tình trạng. "Vẫn hoạt động" không đồng nghĩa với "vẫn được hỗ trợ." Nếu nó chính thức đã hết vòng đời, việc thay thế là giải pháp sạch sẽ nhất.

Tắt các tính năng tiện ích mà bạn không sử dụng

Đóng các cửa phụ

Một số tính năng của bộ định tuyến được thiết kế ưu tiên sự tiện lợi trước và bảo mật sau, đây là lý do chính khiến bạn có thể quyết định tắt UPnP và WPS trên bộ định tuyến của mình.

WPS (Wi-Fi Protected Setup) được thiết kế để giúp việc tham gia mạng dễ dàng hơn bằng cách cho phép bạn nhấn một nút hoặc nhập một mã PIN ngắn thay vì gõ toàn bộ mật khẩu Wi-Fi. Phương pháp nút bấm ít rắc rối hơn phương pháp PIN, nhưng tôi vẫn không thích để WPS bật khi không cần thiết. Cách dùng PIN đã gặp phải các vấn đề bảo mật trong nhiều năm, và nghiên cứu năm 2025 của NetRise phát hiện rằng Pixie Dust, một lỗ hổng liên quan đến WPS lần đầu được tiết lộ vào năm 2014, vẫn ảnh hưởng đến thiết bị mạng dành cho người tiêu dùng và doanh nghiệp nhỏ. Trong phân tích của mình về 24 thiết bị thuộc sáu nhà cung cấp, chỉ có bốn thiết bị từng được vá lỗi.

Đó là đủ với tôi. Tôi không quan tâm WPS tiện lợi đến mức nào nếu tôi chỉ sử dụng nó một lần trong vài năm. Vì vậy, tôi đã tắt nó trong cài đặt không dây và bây giờ nhập mật khẩu thủ công.

UPnP, hay Universal Plug and Play, phức tạp hơn vì nó thực sự có thể hữu ích. Nó cho phép các thiết bị trong mạng của bạn tự động mở cổng trên bộ định tuyến của bạn, giúp các bảng điều khiển trò chơi, máy chủ phương tiện và trung tâm nhà thông minh tránh được cấu hình thủ công. Vấn đề là phần mềm độc hại trong mạng của bạn có thể lợi dụng sự tiện lợi giống như vậy. Một thiết bị có thể yêu cầu bộ định tuyến mở đường ra thế giới bên ngoài không phải là thiết bị mà tôi muốn tin tưởng một cách một cách mù quáng.

Nếu bạn không chắc chắn rằng mình cần UPnP, hãy tắt nó đi. Nếu có gì đó bị hỏng, bạn có thể quyết định có bật lại nó hay tạo một quy tắc chuyển tiếp cổng thủ công riêng thay thế. Khi bạn đang ở phần cài đặt đó, hãy xem lại bất kỳ quy tắc chuyển tiếp cổng nào hiện có và xóa bất kỳ mục nào bạn không còn nhận ra. Cài đặt bộ định tuyến có xu hướng tích tụ những phần thừa từ những thử nghiệm mà bạn đã quên mình từng thực hiện.

Đặt thiết bị nhà thông minh ở nơi nó có thể ít gây hư hại hơn

Tách khách và thiết bị thông minh trước khi chúng trở thành vấn đề của mọi người

Mỗi thiết bị trong cùng một mạng về nguyên tắc có thể giao tiếp với mọi thiết bị khác. Điều đó thuận tiện khi mọi thứ đều đáng tin cậy. Nó kém thú vị hơn khi laptop, điện thoại, NAS, TV thông minh, camera, bóng đèn thông minh giá rẻ và ổ cắm thương hiệu bí ẩn của bạn đều nằm trong cùng một phòng.

Các thiết bị nhà thông minh không tự động nguy hiểm, nhưng chúng thường có thói quen cập nhật yếu hơn điện thoại và laptop. Một số nhận được cập nhật trong nhiều năm. Một số chỉ nhận được một cập nhật rồi sau đó rơi vào trạng thái firmware quên lãng. Nếu một trong những thiết bị đó bị xâm nhập, tôi thà chúng không có đường trực tiếp tới các máy nơi tôi lưu trữ tập tin, tài khoản và công việc của mình, đó là lúc thiết lập mạng khách giúp ích. Hầu hết các bộ định tuyến hiện đại cho phép bạn tạo một mạng Wi-Fi riêng với tên và mật khẩu riêng. Trong nhiều cấu hình, các thiết bị trên mạng khách có thể truy cập internet nhưng không thể tự do dò khảo mạng chính của bạn. Điều đó làm cho nó trở thành nơi hữu ích cho TV thông minh, camera, loa, ổ cắm, bóng đèn và các thiết bị khác không cần truy cập vào laptop của bạn.

Máy in là ngoại lệ khó xử. Việc chuyển một máy in sang mạng khách có thể làm việc phát hiện thiết bị cục bộ trở nên phiền phức, vì vậy tôi sẽ chỉ làm điều đó nếu bộ định tuyến của bạn hỗ trợ thiết lập một cách rõ ràng hoặc nếu bạn cảm thấy thoải mái trong việc khắc phục sự cố in ấn sau này.

Ngoài ra, hãy tìm một cài đặt cách ly khách hàng. Trên một số bộ định tuyến, mạng khách vẫn cho phép các thiết bị khách giao tiếp với nhau trừ khi bật tính năng cách ly. Bật tính năng này có thể hạn chế mức độ rắc rối mà một thiết bị bị xâm nhập có thể gây ra cho các thiết bị khác trên cùng mạng khách.

Không có gì trong số này mất nhiều thời gian, vì vậy hãy xem qua các cài đặt này

Một mật khẩu Wi-Fi mạnh vẫn đáng để có, và tôi sẽ tiếp tục làm cho mật khẩu của mình khó đoán. Nhưng nó chỉ là một lớp trong hệ thống thiết lập. Tốt là không có cài đặt nào tôi liệt kê ở trên yêu cầu gì ngoài một trình duyệt, vài phút và chút tò mò về bảng quản trị đã nằm ở 192.168.something kể từ khi bộ định tuyến được lắp đặt. Các cài đặt trên bao quát hầu hết những gì làm suy yếu một mạng gia đình vốn dĩ an toàn.