内容摘要：路由器固件里藏着一行没人注意的转发规则，能把整个内网的数据包悄悄送到外网一台服务器上。这事不是段子，是上周我在帮朋友排查网速异常时亲眼撞见的。 他那台某品牌AX3000，买了不到半年，平时就刷刷视频打

路由器固件里藏着一行没人注意的由漏洞转发规则，能把整个内网的由漏洞数据包悄悄送到外网一台服务器上。这事不是由漏洞段子，是由漏洞上周我在帮朋友排查网速异常时亲眼撞见的。

他那台某品牌AX3000，由漏洞买了不到半年，由漏洞平时就刷刷视频打打游戏。由漏洞最近老说晚上八点左右卡得厉害，由漏洞测速却显示带宽正常。由漏洞我登进后台看流量统计，由漏洞发现一个怪现象：每天固定时段，由漏洞WAN口上行流量会突然飙到2Mbps左右，由漏洞持续十几分钟，由漏洞然后回落。由漏洞设备列表里也没多出陌生终端。由漏洞起初以为是运营商那边的问题，打电话问，客服说线路没问题，建议重启光猫。重启完确实好了两天，第三天又犯。

我让他把路由器恢复出厂设置，重新配好WiFi，改掉默认管理员密码。当晚八点，上行流量又起来了。这就不是配置残留的问题了。

抓包吧。我在他电脑上装了Wireshark，镜像了路由器LAN口流量。等了半小时，抓到一批发往一个荷兰IP的UDP包，端口是4789，载荷很小，几十字节，间隔均匀。查了一下，4789是VXLAN的标准端口。一个家用路由器，往境外发VXLAN封装的数据，这说不通。

把固件下载下来解包，在/etc/init.d/目录下发现一个叫network_optimize的脚本，开机自启。脚本内容很简单：从NVRAM里读一个叫svc_tunnel的变量，如果非空，就启动一个轻量级隧道客户端，把特定类型的流量——主要是DNS查询和HTTP明文请求——转发到变量指定的远端。这个变量在出厂时是空的，但固件里留了一个远程配置接口，通过TR-069协议可以下发。TR-069本来是运营商远程管理光猫用的，这路由器也开了，端口还暴露在公网。

问题就出在这。路由器默认启用了TR-069，ACS服务器地址指向一个已经停止解析的域名。但固件里写死了备用地址，一旦主地址超时，就切到备用。备用地址是那台荷兰服务器。整个逻辑是：设备联网→尝试连接原厂ACS→失败→切备用→备用下发svc_tunnel变量→隧道启动→开始转发数据。全程不需要用户做任何操作，后台静默完成。

我翻了翻该品牌的官方论坛，去年就有用户反馈类似问题，帖子被删了。Reddit上有个讨论串，有人贴出抓包截图，评论区说是“云加速功能”，建议关闭“智能网络优化”。但设置界面里根本没有这个开关。它藏在开发者模式里，需要连续点击版本号七次才能调出来。

这事的性质，往轻了说是固件设计缺陷，往重了说就是预留后门。家用路由器是家庭网络的出口，所有明文流量都经过它。DNS查询被转发出去，意味着你访问哪些网站、什么时候访问、频率如何，全在别人手里。HTTP请求被转发，意味着你提交的表单数据、Cookie、甚至内网设备的HTTP管理页面，都可能被截获。HTTPS能挡住内容，但挡不住元数据。

更麻烦的是，这种漏洞很难被普通用户发现。流量特征不明显，不占满带宽，不影响正常上网。要不是我朋友对延迟敏感，天天打竞技游戏，根本不会注意到那十几分钟的抖动。

我给他的处理方案是：刷OpenWrt，彻底换掉原厂固件。刷完以后，同样的网络环境，上行流量曲线平得像条直线。他问我，那些没刷机的人怎么办。我说，要么等厂商良心发现推个更新，要么自己动手。等，大概率等不来。

路由器这东西，买回来第一件事应该是改密码、关远程管理、查固件更新。但现实是，大部分人插上电就不管了。厂商吃准了这点。一个几百块的设备，硬件利润薄，靠什么赚钱？数据呗。你家里的网络入口，在别人眼里就是一座金矿。挖不挖，什么时候挖，取决于他们什么时候缺钱。

我后来把抓到的包和固件分析发给了那个品牌的安全邮箱，自动回复说“已收到，将在五个工作日内处理”。今天第七天了，没动静。