# วิธีตั้งค่าเราเตอร์ Wi-Fi ที่บ้านให้ปลอดภัย: รหัสแอดมิน เฟิร์มแวร์ WPA3 และปิด WPS

> คู่มือตั้งค่าเราเตอร์ Wi-Fi ที่บ้านให้ปลอดภัยทีละขั้นจากคำแนะนำของ NSA, Apple, Wi-Fi Alliance และ ThaiCERT ตั้งแต่รหัสแอดมิน เฟิร์มแวร์ WPA3 ไปจนถึงปิด WPS

- ประเภท: คู่มือ · หมวด: Networking
- เผยแพร่: 2026-10-22T12:55:00.000Z · อัปเดต: 2026-10-22T12:55:00.000Z
- โดย: กองบรรณาธิการ THAI DATA, THAI DATA IT BUSINESS ENTERPRISE
- ที่มา: https://thaidata.co.th/network/secure-home-router-settings-wi-fi-guide/

## สรุปประเด็นสำคัญ

- NSA แนะนำให้ตั้งค่าเราเตอร์เป็น **WPA3** หรือ WPA2/WPA3 เมื่อมีอุปกรณ์รุ่นเก่า ใช้รหัสผ่าน Wi-Fi ยาว **อย่างน้อย 20 ตัวอักษร** และเปิด Protected Management Frames
- หน้าช่วยเหลือของ Apple ที่เผยแพร่ **14 กรกฎาคม 2026** ให้เปิดการอัปเดตเฟิร์มแวร์อัตโนมัติ ปิดการซ่อนชื่อเครือข่ายและการกรอง MAC และหลีกเลี่ยง WEP, TKIP และ WPA/WPA2 Mixed Mode
- CERT/CC ระบุว่าช่องโหว่ในการออกแบบ PIN ของ **WPS** ลดจำนวนครั้งที่ต้องเดาเหลือ **11,000 ครั้ง** และแนะนำให้ปิด WPS ในหน้าตั้งค่าเราเตอร์
- NSA ให้ปิดการจัดการจากระยะไกลและ **UPnP** แบ่งเครือข่ายหลัก Guest และ IoT ออกจากกัน และรีบูตเราเตอร์อย่างน้อยสัปดาห์ละ **1 ครั้ง**
- ThaiCERT รายงานเมื่อ **2 กรกฎาคม 2026** ว่าบอตเน็ต RustDuck โจมตีเราเตอร์และอุปกรณ์ IoT ที่ใช้รหัสผ่านเริ่มต้น และแนะนำให้เปลี่ยนรหัสผ่าน อัปเดต และเปลี่ยนอุปกรณ์ที่หมดอายุการสนับสนุน

การตั้งค่าเราเตอร์ Wi-Fi ที่บ้านให้ปลอดภัยทำได้เองจากหน้าเว็บหรือแอปของผู้ผลิต โดยเปลี่ยนรหัสแอดมิน เปิดอัปเดตเฟิร์มแวร์อัตโนมัติ ตั้ง WPA3 ด้วยรหัสผ่าน Wi-Fi ยาวอย่างน้อย 20 ตัวอักษรตามคำแนะนำของ NSA แยก Guest network และปิด WPS, UPnP กับการจัดการจากระยะไกล

คู่มือนี้เรียบเรียงจากเอกสาร Best Practices for Securing Your Home Network ของ NSA (ฉบับ 1.0 กุมภาพันธ์ 2023) หน้าการตั้งค่าที่แนะนำสำหรับเราเตอร์ของ Apple (เผยแพร่ 14 กรกฎาคม 2026) Wi-Fi Alliance, CERT/CC และ ThaiCERT ตรวจข้อมูล ณ 22 ตุลาคม 2026 ชื่อเมนูในหน้าตั้งค่าเราเตอร์ต่างกันตามยี่ห้อและรุ่น คู่มือนี้จึงเรียกการตั้งค่าด้วยชื่อที่ใช้กันทั่วไป ให้เทียบกับคู่มือหรือแอปของเราเตอร์ที่ใช้อยู่

## ก่อนตั้งค่าเราเตอร์ต้องเตรียมอะไร

- **ช่องทางเข้าหน้าตั้งค่าเราเตอร์** Apple แนะนำให้ใช้หน้าเว็บสำหรับการกำหนดค่าหรือแอปที่ผู้ผลิตเราเตอร์ให้มา และดูรายละเอียดจากเอกสารที่มากับเราเตอร์หรือสอบถามผู้ผลิต
- **สำรองการตั้งค่าเดิม** Apple ให้สำรองการตั้งค่าที่มีอยู่ไว้ก่อน เผื่อต้องคืนค่า
- **อัปเดตเฟิร์มแวร์เราเตอร์และอุปกรณ์ในบ้านก่อน** Apple ให้ตรวจว่าเฟิร์มแวร์เราเตอร์เป็นรุ่นล่าสุด และติดตั้งอัปเดตซอฟต์แวร์ล่าสุดของอุปกรณ์ก่อนเปลี่ยนการตั้งค่า
- **เผื่อเวลาเชื่อมต่อใหม่** หลังตั้งค่าเราเตอร์ อาจต้องสั่งลืมเครือข่าย (forget) บนอุปกรณ์แต่ละเครื่องแล้วเชื่อมต่อใหม่
- **รู้ว่าเราเตอร์เป็นของใคร** NSA ระบุว่าผู้ให้บริการอินเทอร์เน็ตอาจให้โมเด็มหรือเราเตอร์มาตามสัญญา และแนะนำให้พิจารณาใช้เราเตอร์ของตนเองต่อจากโมเด็มของผู้ให้บริการ เพื่อควบคุมการตั้งค่าได้มากขึ้น

![แผนภาพของ NSA สรุปแนวปฏิบัติด้านความปลอดภัยของอุปกรณ์ในบ้าน](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secure-home-router-settings-wi-fi-guide/nsa-home-network-best-practices-figure.webp?v=4ab1fe60) _(ภาพ: National Security Agency (NSA))_

## ตั้งค่าเราเตอร์ส่วนไหนก่อน: รหัสแอดมินและเฟิร์มแวร์

### ขั้นตอนที่ 1: เปลี่ยนรหัสผ่านแอดมินของเราเตอร์

รหัสผ่านแอดมินคือรหัสที่ใช้เข้าหน้าตั้งค่าเราเตอร์ ไม่ใช่รหัสสำหรับต่อ Wi-Fi ThaiCERT รายงานว่าบอตเน็ต RustDuck ซึ่งพบมาตั้งแต่กุมภาพันธ์ 2026 แพร่ด้วยการเดารหัสผ่านบริการ Telnet และ SSH ที่ใช้รหัสผ่านอ่อนหรือรหัสผ่านเริ่มต้น และโจมตีช่องโหว่ของเราเตอร์กับอุปกรณ์ IoT คำแนะนำของ ThaiCERT คือเปลี่ยนรหัสผ่านเริ่มต้น ส่วน NSA ให้ตั้งการยืนยันตัวตนที่แข็งแรงบนเราเตอร์ ใช้รหัสผ่านที่ไม่ซ้ำกับบัญชีอื่น และใช้โปรแกรมจัดการรหัสผ่าน (password manager) ช่วยจำ

### ขั้นตอนที่ 2: อัปเดตเฟิร์มแวร์และเปิดอัปเดตอัตโนมัติ

ในหน้าตั้งค่าเราเตอร์ ให้หาการตั้งค่า "การอัปเดตเฟิร์มแวร์อัตโนมัติ" (Automatic firmware updates) แล้วตั้งเป็น "เปิดใช้งาน" ตามคำแนะนำของ Apple ซึ่งระบุว่าการอัปเดตช่วยเรื่องความเสถียร ประสิทธิภาพ และความปลอดภัย และอาจเพิ่มตัวเลือกความปลอดภัยใหม่ให้เลือก NSA ระบุว่าเราเตอร์คือประตูเข้าเครือข่ายบ้าน เราเตอร์ที่ไม่ได้แพตช์ถูกเจาะได้ง่ายกว่า และอาจลามไปถึงอุปกรณ์อื่นในบ้าน จึงควรอัปเดตแพตช์ล่าสุด โดยเลือกการอัปเดตอัตโนมัติเมื่อทำได้

NSA ยังแนะนำให้รีบูตเราเตอร์ สมาร์ตโฟน และคอมพิวเตอร์อย่างน้อยสัปดาห์ละครั้ง เพราะเคยมีรายงานมัลแวร์ที่ฝังในเราเตอร์บ้านแบบไม่ถาวร การรีบูตเป็นประจำช่วยล้างออกได้

## ตั้งค่าเราเตอร์ให้ใช้ WPA3 อย่างไร

### ขั้นตอนที่ 3: เลือกความปลอดภัย WPA3 Personal และตั้งรหัสผ่านยาว

หน้าช่วยเหลือภาษาไทยของ Apple แนะนำการตั้งค่า "ความปลอดภัย" ตามลำดับนี้

1. **WPA3 Personal** ปลอดภัยที่สุดในปัจจุบัน ใช้ได้กับอุปกรณ์ทุกเครื่องที่รองรับ Wi-Fi 6 (802.11ax) และอุปกรณ์รุ่นเก่าบางรุ่น
2. **WPA2/WPA3 Transitional** โหมดผสม ให้อุปกรณ์ที่รองรับใช้ WPA3 และให้อุปกรณ์รุ่นเก่าใช้ WPA2 Personal (AES)
3. **WPA2 Personal (AES)** ใช้เมื่อเลือกสองแบบแรกไม่ได้ และเลือกการเข้ารหัสแบบ AES

สิ่งที่ไม่ควรใช้ ได้แก่ WPA/WPA2 Mixed Mode, WPA Personal, WEP ทุกแบบ, ทุกตัวเลือกที่มีคำว่า TKIP และการปิดความปลอดภัย (ไม่มี/เปิด) ซึ่ง Apple ระบุว่าเสี่ยงแม้ปิดชั่วคราวหรือใช้กับ Guest network

NSA เพิ่มว่ารหัสผ่าน Wi-Fi สำหรับ WPA3 หรือ WPA2/3 ควรยาวอย่างน้อย 20 ตัวอักษร และควรเปิด Protected Management Frames (PMF) ถ้าเราเตอร์มีให้เลือก

![หน้าช่วยเหลือภาษาไทยของ Apple แนะนำให้ตั้งค่าเราเตอร์เป็น WPA3 Personal หรือ WPA2/WPA3 Transitional และระบุโหมดเก่าที่ไม่ควรใช้](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secure-home-router-settings-wi-fi-guide/apple-router-wpa3-settings-thai.webp?v=b7607372) _(ภาพ: Apple (ภาพหน้าจอ))_

## ตั้งค่าเราเตอร์เรื่องชื่อ Wi-Fi: ต้องซ่อน SSID ไหม

### ขั้นตอนที่ 4: ตั้งชื่อเครือข่ายใหม่ และไม่ต้องซ่อนหรือกรอง MAC

- **ชื่อเครือข่าย (SSID)** ตั้งเป็นชื่อเดียวที่ไม่ซ้ำใครสำหรับทุกย่านความถี่ ไม่ใช้ชื่อเริ่มต้นอย่าง linksys, netgear, dlink หรือ wireless (Apple) NSA ก็แนะนำให้เปลี่ยน SSID เริ่มต้นเป็นชื่อเฉพาะ
- **เครือข่ายที่ซ่อนอยู่** ตั้งเป็น "ปิดใช้งาน" NSA ระบุว่าการซ่อน SSID ไม่ได้เพิ่มความปลอดภัยและอาจทำให้เชื่อมต่อมีปัญหา ส่วน Apple ระบุว่าการซ่อนไม่ได้ป้องกันการตรวจหา และอาจทำให้อุปกรณ์เปิดเผยข้อมูลที่ใช้ระบุตัวผู้ใช้ได้
- **การกรองที่อยู่ MAC** ตั้งเป็น "ปิดใช้งาน" เพราะ Apple ระบุว่าที่อยู่ MAC คัดลอกหรือปลอมได้ง่าย และอุปกรณ์ Apple บางเครื่องใช้ที่อยู่ MAC ต่างกันในแต่ละเครือข่าย

[หน้าเก่าของ CISA เรื่อง Securing Wireless Networks](https://www.cisa.gov/news-events/news/securing-wireless-networks) (กุมภาพันธ์ 2021) เคยแนะนำให้ซ่อน SSID และกรอง MAC แต่ CISA จัดหน้านั้นเป็นเอกสารเก็บถาวรที่อาจไม่ตรงกับแนวทางปัจจุบันแล้ว คู่มือนี้จึงยึดคำแนะนำของ NSA และ Apple

## แยก Guest network และ IoT ในหน้าตั้งค่าเราเตอร์อย่างไร

### ขั้นตอนที่ 5: เปิดเครือข่ายแขกและแยกอุปกรณ์ IoT

NSA ให้แบ่งเครือข่ายไร้สายในบ้านอย่างน้อยเป็น 3 ส่วน คือ Wi-Fi หลัก, Guest Wi-Fi และเครือข่าย IoT เพื่อไม่ให้อุปกรณ์ที่ปลอดภัยน้อยกว่าคุยกับอุปกรณ์ที่ปลอดภัยกว่าได้โดยตรง NSA ยกตัวอย่างอุปกรณ์ IoT ไว้ เช่น กล้องวงจรปิด เครื่องใช้ไฟฟ้า และอุปกรณ์อัจฉริยะ

ในหน้าตั้งค่าเราเตอร์ ฟีเจอร์นี้มักชื่อ Guest network หรือเครือข่ายแขก ถ้าเราเตอร์สร้างเครือข่ายแยกได้มากกว่าหนึ่งชุด ให้ใช้ชุดหนึ่งกับแขกและอีกชุดกับอุปกรณ์ IoT ข้อควรจำคือเครือข่ายแขกก็ต้องตั้ง WPA3 หรือ WPA2/WPA3 พร้อมรหัสผ่าน เพราะ Apple ระบุว่าการปิดความปลอดภัยเป็นความเสี่ยงแม้เป็น Guest network และแนะนำให้ตั้ง DHCP lease time ของ Guest network ไว้ 1 ชั่วโมง ส่วนเครือข่ายบ้านตั้ง 8 ชั่วโมง

## ปิด WPS ในหน้าตั้งค่าเราเตอร์ทำไม

### ขั้นตอนที่ 6: ปิด WPS (Wi-Fi Protected Setup)

WPS คือมาตรฐานที่ Wi-Fi Alliance สร้างขึ้นเพื่อให้ตั้งค่าเครือข่ายไร้สายในบ้านง่ายขึ้น ประกาศช่องโหว่ VU#723755 ของ CERT/CC ระบุว่าการออกแบบการยืนยันตัวตนด้วย PIN 8 หลักทำให้ผู้โจมตีรู้ว่าครึ่งแรกของ PIN ถูกหรือไม่ และหลักสุดท้ายเป็นเลขตรวจสอบ จำนวนครั้งที่ต้องเดาจึงลดจาก 10^8 เหลือ 11,000 ครั้ง เราเตอร์จำนวนมากไม่ล็อกหลังเดาผิดหลายครั้ง ผู้ที่อยู่ในระยะสัญญาณจึงอาจได้รหัสผ่าน Wi-Fi หรือแก้การตั้งค่าเราเตอร์ได้

CERT/CC ระบุว่ายังไม่มีวิธีแก้ที่ใช้ได้จริง ทางเลี่ยงคือปิด WPS ในเมนูการตั้งค่าของเราเตอร์ ซึ่งแต่ละยี่ห้ออาจเรียกว่า external registrar, router PIN หรือ WiFi Protected Setup ประกาศนี้ออกครั้งแรก 27 ธันวาคม 2011 และแก้ไขล่าสุด 10 พฤษภาคม 2012 ถ้าจำเป็นต้องใช้ WPS ให้ตรวจกับผู้ผลิตก่อนว่ารุ่นที่ใช้ป้องกันการเดา PIN แล้วหรือไม่

![ประกาศช่องโหว่ VU#723755 ของ CERT/CC อธิบายว่า PIN ของ WPS ถูกเดาได้ภายใน 11,000 ครั้ง และแนะนำให้ปิด WPS](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secure-home-router-settings-wi-fi-guide/cert-wps-pin-vulnerability-note.webp?v=622acd8d) _(ภาพ: CERT Coordination Center (ภาพหน้าจอ))_

## ปิด UPnP และการจัดการจากระยะไกลในหน้าตั้งค่าเราเตอร์

### ขั้นตอนที่ 7: ปิด Remote management, UPnP และบริการที่ไม่ใช้

NSA ให้จำกัดการดูแลเราเตอร์ไว้ในเครือข่ายภายในเท่านั้น ได้แก่

- ปิดความสามารถในการจัดการจากระยะไกล (remote administration หรือ remote management) และตั้งค่าเราเตอร์จากเครือข่ายในบ้านเท่านั้น
- ปิด Universal Plug-n-Play (UPnP) เพื่อปิดช่องที่ผู้โจมตีอาจใช้เจาะเครือข่าย

ThaiCERT ให้คำแนะนำแนวเดียวกันในรายงานบอตเน็ต RustDuck คือปิดบริการ Telnet, SSH และ Android Debug Bridge ที่ไม่จำเป็น และไม่เปิดหน้าจัดการอุปกรณ์ (management interface) ให้เข้าถึงจากอินเทอร์เน็ต

![ข้อความของ ThaiCERT เรื่องบอตเน็ต RustDuck ที่โจมตีเราเตอร์ผ่าน Telnet และ SSH ที่ใช้รหัสผ่านเริ่มต้น พร้อมคำแนะนำให้ปิดบริการที่ไม่จำเป็น เปลี่ยนรหัสผ่าน และเปลี่ยนอุปกรณ์ที่หมดอายุ](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secure-home-router-settings-wi-fi-guide/thaicert-rustduck-router-advice.webp?v=17ded4cf) _(ภาพ: ThaiCERT (ภาพหน้าจอ))_

## ตั้งค่าเราเตอร์ส่วน Firewall, NAT และ DHCP

### ขั้นตอนที่ 8: ตรวจไฟร์วอลล์และให้มีตัวจ่าย IP เพียงตัวเดียว

NSA ให้ตรวจว่าเราเตอร์มีไฟร์วอลล์พื้นฐานและ NAT (network address translation) ซึ่งป้องกันไม่ให้ระบบภายในถูกสแกนจากภายนอก และถ้าผู้ให้บริการอินเทอร์เน็ตรองรับ IPv6 เราเตอร์ต้องมีไฟร์วอลล์สำหรับ IPv6 ด้วย NSA ระบุว่า Access Point ทั่วไปมักไม่มีความสามารถเหล่านี้

Apple แนะนำให้เปิด NAT และ DHCP บนอุปกรณ์เพียงตัวเดียวในเครือข่าย ถ้าทั้งโมเด็มของผู้ให้บริการและเราเตอร์ของเราเปิด NAT พร้อมกันจะเกิด double NAT ที่ทำให้บางบริการใช้ไม่ได้ ถ้าเปิด DHCP สองตัวอาจเกิด IP ชนกันจนบางเครื่องต่ออินเทอร์เน็ตไม่ได้ ส่วน WMM ซึ่งจัดลำดับความสำคัญให้งานวิดีโอและเสียงควรเปิดไว้ เพราะการปิดอาจกระทบประสิทธิภาพและความเสถียร

## ควรเปลี่ยนเราเตอร์ใหม่เมื่อไร

NSA ระบุว่าเราเตอร์ควรถูกเปลี่ยนเมื่อหมดอายุการสนับสนุน (end-of-life) เพื่อให้ยังได้รับแพตช์เมื่อพบช่องโหว่ใหม่ ThaiCERT ก็แนะนำให้พิจารณาเปลี่ยนอุปกรณ์ที่หมดอายุการสนับสนุนเพื่อลดความเสี่ยง ถ้าหน้าตั้งค่าเราเตอร์ไม่มีเฟิร์มแวร์ใหม่มานาน ให้ดูหน้าสนับสนุนของผู้ผลิตว่ารุ่นที่ใช้ยังได้รับการอัปเดตหรือไม่

เมื่อซื้อเครื่องใหม่ NSA แนะนำให้เลือกอุปกรณ์ที่ได้รับรอง WPA3-Personal Wi-Fi Alliance ระบุว่า WPA3 เป็นข้อบังคับสำหรับอุปกรณ์ Wi-Fi CERTIFIED และเครือข่าย WPA3 ต้องใช้ Protected Management Frames บทความ[ซื้อเราเตอร์ Wi-Fi 7 ต้องดูอะไร](https://www.wi-fi.org/beacon/jeff-platon/buying-wi-fi-7-router-here-what-matters) ของ Wi-Fi Alliance เตือนว่าคำว่า "Wi-Fi 7" บนกล่องไม่เท่ากับตรา Wi-Fi CERTIFIED 7 ซึ่งผ่านการทดสอบรวมถึง WPA3 และตรวจสถานะการรับรองได้ที่ Wi-Fi Alliance Product Finder

![หน้า Security ของ Wi-Fi Alliance ระบุว่า WPA3 เป็นข้อบังคับของอุปกรณ์ Wi-Fi CERTIFIED และเครือข่าย WPA3 ต้องใช้ Protected Management Frames](https://thaidata-co-th.s3.ap-southeast-1.amazonaws.com/thaidata.co.th/images/articles/secure-home-router-settings-wi-fi-guide/wifi-alliance-wpa3-mandatory.webp?v=8d762e28) _(ภาพ: Wi-Fi Alliance (ภาพหน้าจอ))_

## ตั้งค่าเราเตอร์ย่าน 2.4, 5 และ 6 GHz อย่างไร

หน้าการตั้งค่าที่แนะนำของ Apple ให้ตั้งค่าเราเตอร์แบบหลายย่านดังนี้

- **ย่านความถี่** เปิดทุกย่านที่เราเตอร์รองรับ และใช้ชื่อเครือข่ายเดียวกันทุกย่าน ถ้าตั้งชื่อ 2.4 GHz, 5 GHz และ 6 GHz แยกกัน อุปกรณ์อาจเชื่อมต่อได้ไม่เสถียร
- **โหมดสัญญาณวิทยุ** ตั้งเป็น "ทั้งหมด" เพื่อให้อุปกรณ์ทุกรุ่นใช้โหมดที่เร็วที่สุดที่ตัวเองรองรับ
- **ช่องสัญญาณ** ตั้งเป็น "อัตโนมัติ" ถ้ามีเราเตอร์หลายตัวที่อยู่ใกล้กัน ให้แต่ละตัวใช้ช่องต่างกัน
- **ความกว้างช่องสัญญาณ** ตั้ง 20 MHz สำหรับ 2.4 GHz เพื่อลดปัญหากับเครือข่ายข้างเคียงและอุปกรณ์บลูทูธ ส่วน 5 GHz และ 6 GHz ตั้งเป็น "อัตโนมัติ"

สำหรับย่าน 6 GHz แผนที่กฎระเบียบของ Wi-Fi Alliance จัดประเทศไทยอยู่ในกลุ่มที่เปิดช่วง 5925/5945–6425 MHz ไม่ใช่ทั้งช่วงถึง 7125 MHz รายละเอียดประกาศ กสทช. และจำนวนช่องที่ใช้ได้อ่านได้ใน[บทความเทียบ Wi-Fi 8 vs Wi-Fi 7 vs Wi-Fi 6E](/network/wi-fi-8-vs-wi-fi-7-vs-wi-fi-6e-comparison/)

## เช็กลิสต์ตั้งค่าเราเตอร์ที่บ้าน

| การตั้งค่า (ชื่อที่ใช้ทั่วไป) | ค่าที่แนะนำ | อ้างอิง |
| --- | --- | --- |
| รหัสผ่านแอดมิน | เปลี่ยนจากค่าเริ่มต้น ใช้รหัสผ่านไม่ซ้ำ | ThaiCERT, NSA |
| Firmware update | เปิดอัปเดตอัตโนมัติ และรีบูตสัปดาห์ละครั้ง | Apple, NSA |
| Security / Encryption | WPA3 Personal หรือ WPA2/WPA3 Transitional รหัสผ่าน 20 ตัวอักษรขึ้นไป | Apple, NSA |
| Protected Management Frames | เปิดถ้ามี | NSA, Wi-Fi Alliance |
| SSID | ชื่อเฉพาะ ชื่อเดียวทุกย่าน ไม่ซ่อน | Apple, NSA |
| MAC filtering | ปิดใช้งาน | Apple |
| Guest / IoT network | แยกจากเครือข่ายหลัก และตั้งรหัสผ่าน | NSA, Apple |
| WPS | ปิด | CERT/CC |
| Remote management, UPnP, Telnet/SSH | ปิด | NSA, ThaiCERT |
| Firewall, NAT, DHCP | เปิดไฟร์วอลล์ (รวม IPv6) NAT และ DHCP บนอุปกรณ์ตัวเดียว | NSA, Apple |
| อายุเครื่อง | เปลี่ยนเมื่อหมดการสนับสนุน | NSA, ThaiCERT |

## ปัญหาที่พบบ่อยหลังตั้งค่าเราเตอร์

| อาการ | วิธีแก้ |
| --- | --- |
| อุปกรณ์เก่าต่อ Wi-Fi ไม่ได้หลังเปลี่ยนเป็น WPA3 | เปลี่ยนเป็น WPA2/WPA3 Transitional ซึ่งให้อุปกรณ์เก่าใช้ WPA2 Personal (AES) |
| อุปกรณ์ที่เคยต่อไว้เชื่อมต่อไม่ได้ | สั่งลืมเครือข่ายบนอุปกรณ์นั้นแล้วเชื่อมต่อใหม่ เพื่อให้ใช้การตั้งค่าใหม่ |
| บางบริการบนเครือข่ายหรืออินเทอร์เน็ตใช้ไม่ได้ | ตรวจว่าไม่ได้เปิด NAT ทั้งบนโมเด็มและเราเตอร์ (double NAT) |
| บางเครื่องต่ออินเทอร์เน็ตไม่ได้เพราะ IP ชน | เปิด DHCP บนอุปกรณ์เพียงตัวเดียว |
| iPhone หรือ Mac เตือนว่าเครือข่ายมีความปลอดภัยต่ำ | ปรับเราเตอร์ให้ใช้ WPA3 หรือ WPA2/WPA3 Transitional และเลิกใช้ WEP, TKIP |
| Guest network แจก IP ไม่พอ | ลด DHCP lease time ของ Guest network เหลือ 1 ชั่วโมง |

## คนทำงานที่บ้านในไทยควรทำอะไรเพิ่ม

เราเตอร์บ้านไม่ได้อยู่นอกสายตาผู้โจมตี ThaiCERT เผยแพร่รายงานบอตเน็ต RustDuck ที่ใช้เราเตอร์ กล้อง IP และกล่อง Android ที่ตั้งค่าไม่ปลอดภัยไปโจมตีแบบ DDoS ข่าวช่องโหว่เราเตอร์และอุปกรณ์เครือข่ายรุ่นใหม่ ๆ ติดตามได้จากประกาศของ ThaiCERT

สำหรับคนที่ใช้เครือข่ายบ้านทำงาน NSA แนะนำให้เชื่อมต่อเครือข่ายองค์กรผ่าน VPN ใช้อุปกรณ์และบัญชีที่องค์กรจัดให้เมื่อทำได้ และไม่ย้ายไฟล์งานไปมาระหว่างเครื่องส่วนตัวกับเครื่องที่ทำงาน ฝ่ายไอทีขององค์กรจึงควรแนบเช็กลิสต์ตั้งค่าเราเตอร์นี้ไว้ในนโยบายทำงานจากบ้าน เพราะเราเตอร์ที่บ้านของพนักงานอยู่นอกการดูแลขององค์กร

ดูข่าวและคู่มือเครือข่ายเรื่องอื่นได้ที่[หมวด Network](/network/)

## คำถามที่พบบ่อย

### ตั้งค่าเราเตอร์ที่บ้านให้ปลอดภัยต้องเริ่มจากอะไร?

เริ่มจากเปลี่ยนรหัสผ่านแอดมินที่มากับเครื่อง อัปเดตเฟิร์มแวร์และเปิดการอัปเดตอัตโนมัติ แล้วตั้งความปลอดภัย Wi-Fi เป็น WPA3 Personal หรือ WPA2/WPA3 Transitional พร้อมรหัสผ่านยาว จากนั้นปิด WPS, UPnP และการจัดการจากระยะไกล ตามคำแนะนำของ NSA, Apple และ ThaiCERT

### ควรเลือก WPA3 หรือ WPA2 ในหน้าตั้งค่าเราเตอร์?

เลือก WPA3 Personal ถ้าทุกอุปกรณ์รองรับ ถ้ามีอุปกรณ์รุ่นเก่า Apple แนะนำ WPA2/WPA3 Transitional ซึ่งให้อุปกรณ์ใหม่ใช้ WPA3 และอุปกรณ์เก่าใช้ WPA2 Personal (AES) ส่วน WPA2 Personal (AES) ใช้เมื่อเลือกสองแบบแรกไม่ได้ และไม่ควรใช้ WEP, TKIP หรือ WPA/WPA2 Mixed Mode

### ซ่อนชื่อ Wi-Fi (SSID) ช่วยให้ปลอดภัยขึ้นไหม?

ไม่ช่วย และไม่จำเป็นต้องตั้งค่าเราเตอร์ให้ซ่อน NSA ระบุว่าการซ่อน SSID ไม่ได้เพิ่มความปลอดภัยและอาจทำให้อุปกรณ์เชื่อมต่อมีปัญหา ส่วน Apple ระบุว่าการซ่อนชื่อเครือข่ายไม่ได้ซ่อนเครือข่ายจากการตรวจหา และอาจทำให้อุปกรณ์เปิดเผยข้อมูลที่ระบุตัวผู้ใช้ได้ ให้ตั้งชื่อเฉพาะที่ไม่ใช่ชื่อเริ่มต้นและใช้ WPA3 แทน

### ทำไมต้องปิด WPS บนเราเตอร์?

CERT/CC ของมหาวิทยาลัย Carnegie Mellon ระบุว่าการออกแบบ PIN 8 หลักของ WPS ทำให้ผู้โจมตีรู้ว่าครึ่งแรกของ PIN ถูกหรือไม่ จำนวนครั้งที่ต้องเดาจึงลดเหลือ 11,000 ครั้ง ผู้ที่อยู่ในระยะสัญญาณอาจได้รหัสผ่าน Wi-Fi หรือแก้การตั้งค่าเราเตอร์ได้ ทางแก้ที่แนะนำคือปิด WPS

### เราเตอร์ที่ได้จากผู้ให้บริการอินเทอร์เน็ตต้องตั้งค่าเองไหม?

ควรตรวจเอง NSA ระบุว่าผู้ให้บริการอินเทอร์เน็ตอาจให้โมเด็มหรือเราเตอร์มาตามสัญญา และแนะนำให้พิจารณาใช้เราเตอร์ของตนเองต่อจากโมเด็มของผู้ให้บริการเพื่อควบคุมการตั้งค่าได้มากขึ้น ไม่ว่าเครื่องเป็นของใคร ให้ตรวจรหัสแอดมิน เฟิร์มแวร์ WPA3 และ WPS ตามคู่มือนี้ หรือถามผู้ให้บริการว่าส่วนใดผู้ใช้ปรับเองได้


## แหล่งอ้างอิง

- [Best Practices for Securing Your Home Network (Cybersecurity Information Sheet, Feb 2023 Ver. 1.0)](https://media.defense.gov/2023/Feb/22/2003165170/-1/-1/0/CSI_BEST_PRACTICES_FOR_SECURING_YOUR_HOME_NETWORK.PDF) — National Security Agency (NSA)
- [การตั้งค่าที่แนะนำสำหรับเราเตอร์ Wi-Fi และจุดเชื่อมต่อ](https://support.apple.com/th-th/102766) — Apple
- [Security](https://www.wi-fi.org/security) — Wi-Fi Alliance
- [Vulnerability Note VU#723755: WiFi Protected Setup (WPS) PIN brute force vulnerability](https://kb.cert.org/vuls/id/723755) — CERT Coordination Center, Carnegie Mellon University
- [RustDuck Botnet Found Targeting Routers and IoT Devices for DDoS Attacks](https://www.thaicert.or.th/en/2026/07/02/rustduck-botnet-found-targeting-routers-and-iot-devices-for-ddos-attacks/) — ThaiCERT
- [Regulations Enabling 6 GHz Wi-Fi](https://www.wi-fi.org/regulations-enabling-6-ghz-wi-fi) — Wi-Fi Alliance