先给结论：家庭网络的风险绝大多数不来自路由器型号旧，而来自六个从装机那天起就没人动过的默认设置。先花二十分钟把它们改完，再判断要不要换机。

六项逐个说

一、管理密码与公网访问

第一项最基础，收益最高。很多路由器的管理页密码是空的，或者全型号同一个默认密码。只要有人连上你的 WiFi，他就能改你的 DNS、开端口、看连接设备列表。

同时检查“允许从互联网访问管理页”这一项，它在不同厂商里叫法不一，但都是同一个意思。开了它就等于把管理入口挂到公网上，而上面那个默认密码就是钥匙。

二、WPS 一键配对

WPS 用八位 PIN 完成配对，而八位数字的搜索空间比看上去小很多，且很多型号不会在多次失败后锁定。它存在的目的就是 convenience，而你并不需要：密码输一次就存下了。关掉没有任何代价。

三、UPnP 自动开端口

UPnP 让内网设备自己向路由器请求开放端口。它确实方便，但反过来说，任何一个内网设备——包括一个被盯上的智能插件——都可以自己开入口。

这项是六项里唯一需要权衡的：关掉之后，部分游戏主机联机、NAS 远程访问、下载工具会需要你手动做端口映射。建议是关掉，然后在你真的需要时只针对具体设备开。

四、固件更新

路由器是很多人唯一不管的设备。它常年运行、常年接收入站、常年不被更新。厂商会推安全固件，只是没人装。

去管理页看固件页里写的是什么日期。如果已经两年以上没有新版本可下，那这个型号的“被支持”可能已经结束。这才是真正的换机信号，而不是速度慢。

五、访客网络与设备隔离

家里现在有一堆不能信任的设备：智能灯泡、摄像头、电视、扫地机器人。它们固件陈旧、常年在线、没有安全更新。把它们和你的电脑手机放在同一个局域网里，风险是双向流动的。

可行的做法是两档：访客网络给不信任设备，或者单独开一个 SSID 给物联网设备。开启“隔离”后它们之间也不能互访。代价是手机投屏、局域网打印可能受影响，需要把这两类设备放在同一个可信 SSID 里。

六、云管理与远程访问

现代路由器几乎都带厂商云管理，它需要一个外部服务器做中转。这个入口本身是一个风险面，而且它的更新与否完全取决于厂商。

如果你从不使用手机 APP 在外面看家里网络，建议关掉。需要时回家再配。

二十分钟的配置顺序

按这个顺序做，每一步都不依赖下一步：

1. 改管理密码，同时关掉公网访问管理页。
2. 升级固件（先升级再改其它，避免默认密码被新固件重置）。
3. 关 WPS。
4. 关 UPnP，记下你现在依赖的服务是否需要手动映射。
5. 开一个访客 SSID，把不信任的物联网设备搬过去。
6. 关云管理与远程访问。

两项检查可以在电脑上完成

改完之后确认加密方式与 DNS 归属：

# 看当前无线连接用的加密与验证方式
netsh wlan show interfaces

# 看本机现在用哪个 DNS 服务器
Get-DnsClientServerAddress -AddressFamily IPv4 |
  Where-Object {$_.ServerAddresses} |
  Select-Object InterfaceAlias, ServerAddresses

加密方式里看到 WEP 或者 TKIP，说明路由器已经旧到不支持现代加密，这是一个换机理由。DNS 里出现你没配过的地址，要么路由器被改过，要么运营商在推自己的解析。

什么信号才真的代表应该换

最后一行值得多说一句：多数“网速慢”是摆放与干扰，不是安全性也不是能力。换之前先把路由器从弱电箱里拿出来，把信道从自动改成手动试一次。

最后一句

路由器是你家里唯一 7x24 小时在线、又从来不被更新的设备。先把六项设置改完，然后每年上去看一眼固件页里那个日期。日期不再更新，就是换机的时候；日期还在更新，这台机器就还能用。