凌晨两点十七分，我盯着屏幕上的红色告警，后背发凉。那台放在出租屋角落的小米路由器，指示灯像往常一样幽幽地闪着蓝光，但我知道，事情不对劲了。

三天前，我在一个Telegram群里看到有人高价收购“干净IP”的虚拟币钱包地址，说是要做“跨链套利”。我没当回事，直到昨晚，我发现自己钱包里那点刚挖出来的狗狗币，正一笔一笔地流向一个陌生地址。转账记录显示，这些交易都经过了家里那台小米路由器的VPN通道——而我，从来没有主动开启过任何VPN服务。

那一刻我意识到，我的路由器可能已经被“借”走了。不是物理上的，而是逻辑上的——有人通过固件漏洞，把它的VPN功能变成了一个隐蔽的代理节点，用来中转那些见不得光的虚拟币交易。而我，成了那个替罪羊。

这件事促使我花了整整一周时间，把小米路由器的VPN协议从底层到应用层彻底研究了一遍。今天这篇东西，不是那种干巴巴的说明书，而是我踩过坑之后，想跟你分享的“保命指南”。如果你家里也有一台小米路由器，如果你也偶尔碰点虚拟币，那接下来的内容，请你一个字一个字看完。

第一幕：你的VPN，可能正在“裸奔”

先别急着反驳。我知道你肯定想：“我路由器上那个VPN开关，我从来没打开过啊。”对，问题就出在这里——默认关闭不等于安全。小米路由器（尤其是那些刷了开发版固件或者老款型号）的VPN模块，很多时候是作为一个独立服务常驻在系统里的，只是没有暴露在管理界面上而已。

我用nmap扫了一下自己路由器的端口，发现UDP 500、4500（IPsec/IKEv2）和TCP 1723（PPTP）居然是开放的。这些端口对应着标准的VPN协议。也就是说，哪怕你在后台看不到任何VPN设置，这些“后门”依然在监听。

更可怕的是，我翻看了系统日志，发现有一条来自海外IP的“IKE SA INIT”请求记录，时间戳正好是我钱包被盗的前一天。这意味着，攻击者已经尝试建立IPsec隧道了。而我的路由器，用的是默认的预共享密钥（PSK）——就是出厂设置里那个“admin”或者“123456”。

这不是危言耸听。 在虚拟币圈子里，有一种专门的“路由器挖矿劫持”手法：攻击者通过弱口令或者固件漏洞，进入你的路由器，开启PPTP或L2TP服务，然后把你的带宽和IP当作“跳板”，用来做混币交易、洗钱，甚至发起DDoS攻击。你不仅损失了带宽，还可能因为IP被标记为“高风险”而无法登录任何交易所。

为什么小米路由器成了重灾区？

原因有三点，都很现实：

1. 用户基数大：小米路由器在国内智能家居市场占有率极高，随便扫一个C段IP，就能碰到几十台。
2. 固件更新慢：部分老型号（比如R3G、R3P）已经停止维护，但依然有大量用户在用，漏洞无人修补。
3. 默认配置宽松：为了“易用性”，小米把很多安全选项默认关闭了，比如防火墙的“丢弃无效VPN报文”选项，默认是勾选掉的。

所以，如果你还在用默认密码，或者从没检查过路由器的开放端口，那你现在就应该拿起手机，打开米家APP，去“路由设置”里看一眼。

第二幕：实战——从“裸奔”到“铠甲”的五个步骤

下面这些操作，是我用一台刷了OpenWrt的小米AX9000和一台原厂固件的Redmi AX3000分别测试过的。原厂固件能做的优化有限，但依然能大幅提升安全性。如果你是技术党，我建议直接刷OpenWrt，但那是后话，我们先说原厂固件怎么改。

第一步：关闭所有非必要VPN服务

登录路由器管理后台（通常是192.168.31.1），找到“高级设置” -> “VPN” -> “服务端”。你会发现里面有PPTP、L2TP、IPsec三个选项卡。

我的建议是：全部关闭。 如果你真的需要远程访问家里网络，用WireGuard或者OpenVPN（如果固件支持）代替，不要用PPTP和L2TP。这两个协议在2024年已经被证明是“纸糊的”——PPTP的MSCHAPv2认证可以被暴力破解，L2TP如果没有IPsec加密，等同于明文传输。

操作路径：每个选项卡里都有一个“启用”按钮，把它关掉，然后点击“保存”。注意： 有些固件版本里，VPN服务端和客户端是分开的，你要确保“服务端”这一侧全部关闭，而不是“客户端”。

第二步：修改管理端口和IP绑定

默认情况下，路由器的Web管理界面监听在80和443端口，而且对所有IP开放。这意味着，任何能访问到你路由器公网IP的人，都可以尝试登录。

优化方案： - 将管理端口改为一个不常用的高位端口，比如8443。 - 开启“仅允许内网管理”——这样，只有连接到你Wi-Fi或LAN口的设备才能访问管理界面。 - 如果固件支持，绑定管理IP为你的手机或电脑的固定IP。

在“高级设置” -> “系统” -> “管理”里，找到“Web管理”选项，修改端口，勾选“仅允许LAN访问”。这一步能挡掉90%的脚本攻击。

第三步：加固IPsec，如果必须用

我知道有些朋友为了“科学上网”或者“跨区挖矿”，必须用IPsec。那好，我们退而求其次，把IPsec配置得稍微像样点。

• 更换预共享密钥：别再用“123456”了。生成一个32位以上的随机字符串，包含大小写字母、数字、特殊符号。比如：Kx#9pQz!2LmN$7vR。
• 关闭野蛮模式：在IPsec设置里，默认可能开启“野蛮模式”（Aggressive Mode）。这个模式会把身份信息以明文形式发送，很容易被嗅探。改成“主模式”（Main Mode）。
• 限制对端IP：如果你知道自己的公网IP是固定的，在“对端IP”那里填上你自己的IP，其他IP一律拒绝连接。

第四步：开启防火墙的“反VPN劫持”规则

小米路由器自带的防火墙，默认规则比较宽松。我们需要手动添加几条规则。

进入“高级设置” -> “防火墙” -> “自定义规则”。在规则编辑框里，粘贴以下内容（适用于原厂固件，OpenWrt请用iptables）：

iptables -I INPUT -p udp --dport 500 -j DROP iptables -I INPUT -p udp --dport 4500 -j DROP

丢弃所有非预期的TCP 1723报文（防止PPTP暴力破解）

iptables -I INPUT -p tcp --dport 1723 -j DROP

仅允许来自内网的管理连接（防止外部登入后台）

iptables -I INPUT -p tcp --dport 8443 -s 192.168.31.0/24 -j ACCEPT iptables -I INPUT -p tcp --dport 8443 -j DROP

保存后，重启防火墙。这几条规则的意思是：除非是你主动发起的VPN连接（由内向外），否则所有从外部进来的VPN握手请求，直接丢弃。这样，即使攻击者知道你的IP，也无法建立隧道。

第五步：固件升级与刷机（进阶）

如果你用的是老款小米路由器，比如R3G，我强烈建议你刷一个第三方固件，比如OpenWrt或者Padavan。原因很简单：原厂固件已经停止安全更新，但OpenWrt社区还在维护。

刷机过程不复杂，但需要一点动手能力。简单来说： 1. 下载对应型号的OpenWrt固件（去官网查）。 2. 在小米路由器后台，选择“系统升级” -> “手动升级”，上传固件。 3. 等待重启，然后通过SSH登录路由器。

刷完OpenWrt后，你就能用上真正的WireGuard了。WireGuard的配置比IPsec简单，而且内核级加密，性能更好，更安全。

第三幕：虚拟币场景下的特殊注意事项

好了，现在你的路由器已经不再是“裸奔”状态了。但如果你跟我一样，家里有矿机或者跑着节点，还有几个额外的坑要避开。

坑一：VPN和矿池的“IP冲突”

很多矿池（尤其是海外矿池）会封禁VPN出口IP，因为那些IP往往被滥用过。如果你开着VPN去连接矿池，很可能导致“stale share”或者直接被拒绝连接。

我的建议是： 挖矿流量不要走VPN。在OpenWrt里，可以用策略路由，让矿机网段的流量直连，其他设备走VPN。原厂固件做不到这么精细，那就干脆别开VPN。

坑二：DNS泄漏

这是最阴险的一个坑。即使你用了VPN，如果DNS请求没有走VPN隧道，你的真实IP还是会暴露。攻击者可以通过DNS查询历史，追踪到你的物理位置。

在OpenWrt的VPN接口设置里，勾选“Use custom DNS servers”，填上1.1.1.1和9.9.9.9。同时，在防火墙规则里，把所有发往53端口的UDP/TCP流量强制重定向到本地DNS代理。

坑三：冷钱包与热路由隔离

如果你用路由器上的VPN来签名虚拟币交易（有些朋友图方便，在路由器上挂了个轻钱包），那你要注意了——VPN隧道的加密终点，是路由器的CPU。如果路由器被攻破，你的私钥就暴露了。

最安全的做法： 永远不要在任何网络设备（包括路由器）上存储私钥。用硬件钱包，或者用一台永不联网的电脑做冷签名。VPN只负责传输数据，不负责保管资产。

第四幕：事件复盘——我是怎么被“借”走带宽的

回到开头那个场景。我后来通过日志分析，还原了整个攻击链：

1. 攻击者扫描到我路由器的UDP 500端口开放，且响应了ISAKMP报文。
2. 他用默认PSK（admin）尝试握手，居然成功了——因为我从来没改过出厂设置。
3. 建立IPsec隧道后，他使用路由器作为代理，连接到了某个混币服务。
4. 我的公网IP被标记为“高风险”，导致我自己的交易所账号被风控。

整个过程，我的带宽被占用了大约3Mbps，但我毫无察觉，因为小米路由器的QoS默认不显示VPN流量。

所以，我写这篇东西，就是希望你别犯同样的错误。虚拟币的世界，黑客盯上的不只是你的交易所账户，还有你家里的网络设备。一台路由器，如果被植入恶意VPN服务，轻则损失带宽，重则被用来洗钱，甚至惹上官司。

最后的检查清单

在你关掉这篇文章之前，花五分钟做这几件事：

1. 登录路由器后台，把管理员密码改成20位以上的随机密码。
2. 关闭所有VPN服务端选项。
3. 修改Web管理端口为8443，并勾选“仅LAN访问”。
4. 在防火墙自定义规则里，粘贴上面那几行iptables命令。
5. 如果固件有更新，立刻升级。如果型号太老，考虑刷OpenWrt。

做完这些，你至少能挡住95%的脚本攻击。剩下的5%，需要你保持警惕——不要随便点开陌生链接，不要下载来路不明的固件，更不要把你的路由器管理密码告诉任何人，哪怕他声称是“小米客服”。

我的那台路由器，现在已经刷了OpenWrt，用上了WireGuard，并且把矿机网段和日常上网网段做了物理隔离。钱包也换了新的，冷存储。至于那个偷我带宽的家伙，我没追查下去——因为日志显示，他的源IP来自一个已经被多家安全机构标记的僵尸网络。

但我知道，他还会找下一个目标。希望你不是。