上个周末，软路由圈炸了锅。
8月15日晚，爱快官方论坛发布公告，承认爱快系统正在遭受持续攻击，主要影响的是DNS服务，部分路由器被强制断网。IT之家官方同时给出了应急方案：升级到4.0.307及以上版本，或者安装3.7.24，已经出现DNS异常的，还要联系官方清理。两天后，IT之家跟进报道了这件事，事件算是彻底出了圈。
已经装了爱快的人，这几天要么在修复，要么在换系统。但今天想聊的是另一拨人：本来打算趁着暑假开学季装一台软路由，结果被这条新闻劝退在门口的。
先说结论：软路由还能装，爱快也还能用，但前提变了——不是"装好就一劳永逸"，而是"带着防御意识去装"。
一、这次事件，推翻爱快了吗？
先看攻击在一线是什么样子。有位同时跑着多条业务线的网维管理员，记录了自己爱快主路由被攻击时的状态：线路表里一条WAN的连接数直接掉到0，旁边另一条线路还正常挂着2096个连接。知乎后台日志里，"DNS服务器重新启动"的记录一条接一条地刷。他一直升级到3.7.24，才把局面稳住。知乎
再把视角拉远一点。知乎上那个"为啥软路由大多都是爱快加OpenWrt的组合"的老问题，浏览量超过160万。知乎爱快当主路由管拨号和分流、OpenWrt当旁路由管插件，这套分工是被无数人验证过的。这次攻击打的主要是DNS服务，主路由的拨号和NAT能力本身，并没有被"推翻"。
真正被推翻的，是一个隐藏前提：很多人以为软路由装完就永远安稳，密码不改，远程管理端口也敢直接开在公网上。这次的事说明，闭源商用系统也会被攻击，而且被攻击之后，只能等官方的热更新补丁。有用户的设备在热更新推送期间反复重启，网络折腾了一整天，那种"网络命脉攥在别人手里"的感觉，才是这次真正伤人的地方。
所以如果有人说"换OpenWrt吧，换了就安全了"，也别急着信。开源确实更透明，但开源不等于不会被攻击，只是应对方式不同：出了问题可以自己看代码、等社区补丁，而不是干等公告。安全的下限从来不在装哪个系统，而在怎么装、怎么管。
二、还想装的，先补上这3个前提
前提一：版本线装到安全版本。
不管是新下载的镜像，还是二手小主机里预装的系统，开机第一件事不是配置，而是看版本。这次的官方红线很清楚：4.0.307以上，或者3.7.24，低于这两条线的版本相当于裸奔。新机器没有历史包袱，装完直接更新到位；二手预装机则要逐一核实，别信卖家一句"已经处理过了"。
前提二：远程通道能少就少。
软路由最大的优点，同时也是最大的风险点：它是一台权限完整的系统。这次不少人意识到，自己曾经把远程管理开在公网，端口还是默认的。建议很简单：默认只在内网管理，实在需要外部管理，走自己可控的加密通道，别把路由器的管理端口直接暴露在公网。少一个通道，就少一扇被攻击者盯上的门。
前提三：关键功能不吊在一台设备上。
这是这次事件里最疼的教训。攻击期间，多拨失效、DDNS失效、DNS瘫痪，全都同时发生，就是因为这些功能全吊在一台爱快上。装机前先想两个问题：这台路由今晚挂掉，家里的设备还能不能正常解析域名，终端能不能留一份公共DNS兜底；有没有配置备份，出事后十分钟内能不能恢复到之前的状态。两个问题都答不上来，就先补完这门课再装机。
三、三类人，三套方案
第一类：纯新手，只想安稳上网。 说实话，建议先别碰软路由，直接买一台开箱即用的硬件路由。爱快自己也有Q6000这类硬件成品，同一套系统的能力搬进了成品设备，日常使用不受这次攻击事件影响。知乎等风头过去、功课做完，再考虑折腾也不迟。
第二类：已经研究过N100小主机、镜像都备好的人。 可以装，但按上面三个前提装。爱快主路由加OpenWrt旁路由的组合，到今天依然成立，关键是把版本、远程、备份逐条落实。这样装完，这次事件对你的影响其实很有限。
第三类：小店、工作室、宿舍楼这类业务用户。 别先问哪个系统最安全，先问网络断一小时损失多少。冗余和兜底优先：备用线路、备用设备、公共DNS兜底，这些比选系统更重要。系统可以换，业务不能停。
四、往后值得盯的3个信号
事件还没有结束。还在观望的，可以盯着三个信号：
一是官方对攻击源头的最终结论。到现在还没有公开说明攻击来自谁、用什么方式打的，这个结论的走向，决定它是一次偶发事件，还是长期风险的开始。
二是多拨、DDNS这类功能的修复进度。这次吐槽最集中的就是它们，恢复情况直接关系到爱快核心卖点的口碑。
三是官方会不会补上签名校验、应急通告这类安全机制。热更新能直接让设备重启，说明这条更新通道本身也需要加固。
三个信号都往好的方向走，开学季这波装机照常跟就行；信号转差，那"先买成品"的方案就更值了。
一句话收尾：这次攻击打的是爱快的系统，不是软路由的价值。真正该换的从来不是系统，而是"装一次用十年"的老观念。
