Mámě umřel router. Jak vybrat nový a zabezpečit domácí Wi-Fi

Mámin router umřel. A mě to poprvé v životě potěšilo.

Staré routery mají totiž jednu nepříjemnou vlastnost: po konci podpory nezhasnou. Kontrolky svítí, Wi-Fi funguje, Netflix hraje. Jen bezpečnostní opravy už chodit nemusí. Z pohledu běžného člověka je všechno v pořádku. Pokud se ale objeví zneužitelná chyba, zůstane z routeru krabička bez opravy, která běží ve dne v noci.

Tady je postup, podle kterého jsem vybíral a nastavoval router mámě. Bez síťařského slovníku a bez představy, že každý byt potřebuje zařízení za deset tisíc.

Rychlá verze: Zjisti přesný model routeru. Ověř, zda ještě dostává bezpečnostní aktualizace. Pokud ano, aktualizuj ho a projdi nastavení níže. Pokud podporu ukončil výrobce nebo poskytovatel internetu, je čas na výměnu.

Nejdřív zjisti, co vlastně doma máš

Router je krabička, která propojuje domácí zařízení s internetem a většinou vysílá Wi-Fi. Může být:

od poskytovatele internetu, který ho také spravuje a aktualizuje,
tvůj vlastní, který musíš aktualizovat ty,
kombinovaný modem a router, takže ho nemůžeš nahradit libovolnou krabičkou bez ověření u poskytovatele.

Přesný výrobce a model bývá na štítku zespodu. Nehledej jen značku. Označení jako RT-AX52, Archer C6 V3 nebo FRITZ!Box 7530 AX je důležité včetně hardwarové verze.

Pokud je router od poskytovatele, začni telefonátem na podporu. Zeptej se:

Aktualizujete firmware automaticky?
Je tento konkrétní model stále podporovaný?
Vyměníte ho, pokud už bezpečnostní aktualizace nedostává?

Nekupuj nový router dřív, než víš, zda současná krabička není zároveň modemem nebo nevyžaduje speciální údaje pro připojení, IPTV či telefon.

Když připojíš vlastní router za router poskytovatele bez režimu bridge, může vzniknout takzvaný double NAT. Není to samo o sobě bezpečnostní chyba, ale může komplikovat hry, VPN nebo přesměrování portů. Nejdřív se proto domluv s poskytovatelem, které zapojení podporuje.

Jak poznat, že podpora skončila

Do vyhledávače napiš přesný model a slova support, firmware, security updates nebo end of life. Dívej se na web výrobce, ne na náhodnou poradnu.

Hledej tři věci:

datum poslední dostupné aktualizace,
veřejnou informaci o délce bezpečnostní podpory,
seznam ukončených modelů označený jako EOL nebo End of Life.

Samotné stáří posledního firmwaru ještě není definitivní důkaz. Některé routery dostávají aktualizace jen při nalezení chyby. Pokud výrobce model označil jako nepodporovaný, je rozhodnuto. Když datum podpory nikde nenajdeš, zeptej se výrobce nebo poskytovatele. Pokud ti bezpečnostní aktualizace nedokáže potvrdit, naplánuj výměnu.

Britské NCSC doporučuje nepodporovaná zařízení vyměnit, jakmile je to možné. Důvod je jednoduchý: objevená chyba zůstane bez opravy, zatímco návod k jejímu zneužití může být veřejný.

Není to teoretická hrozba. NÚKIB v dubnu 2026 popsal globální síť domácích routerů TP-Link, které přes zranitelnost CVE-2023-50224 ovládl ruský státní aktér APT28. Měnil na nich nastavení DHCP a DNS a mezi zasaženými byly i cíle v Česku. První doporučení NÚKIB pro zařízení na konci životnosti bylo zvážit jejich výměnu.

Kdy router opravdu vyměnit

Výměna dává smysl, když platí alespoň jeden z těchto bodů:

výrobce nebo poskytovatel ukončil bezpečnostní podporu,
router nabízí jen WEP, staré WPA nebo WPA2 s TKIP místo WPA2-AES,
nejde změnit heslo správce nebo vypnout správu z internetu,
aktualizace selhávají a výrobce už neposkytuje nový firmware,
router se restartuje, vypadává nebo nezvládá rychlost připojení,
potřebuješ pokrýt další místnosti a současné řešení nestačí.

Naopak samotný věk není automatický rozsudek. Podporovaný router, který zvládá připojení a má bezpečné nastavení, není nutné vyhazovat jen proto, že vyšel novější standard Wi-Fi.

Jak vybrat nový router bez lovení marketingových čísel

Čísla typu AX1800 nebo BE7200 nejsou rychlost, kterou uvidíš na jednom telefonu. Jsou to součty teoretických rychlostí různých pásem. Pro běžný byt rozhodují jiné věci.

Wi-Fi 6 navíc neznamená pásmo 6 GHz. To přidává až Wi-Fi 6E. Pro běžný byt je důležitější podpora, pokrytí a správné nastavení než co nejvyšší číslo na krabici.

Malý byt a internet do 1 Gb/s

Hledej:

Wi-Fi 6,
WPA3 a současně režim WPA2/WPA3 pro starší zařízení,
gigabitový WAN port a gigabitové LAN porty,
automatické aktualizace,
dohledatelnou stránku podpory a ideálně zveřejněnou délku bezpečnostních aktualizací.

Pro běžné připojení ve stovkách Mb/s není potřeba drahý herní router. U gigabitového tarifu už si jen ověř, co od něj čekáš: gigabitový port stačí pro běžný provoz, ale kvůli režii sítě na jednom zařízení neuvidíš přesně 1000 Mb/s.

Velký byt, patro nebo tlusté zdi

Jeden dražší router nepřepere fyziku. Často pomohou dva správně umístěné přístupové body nebo mesh. Pokud je to možné, propojené kabelem. Router neschovávej do skříně, za televizi ani na zem do rohu bytu.

Internet rychlejší než 1 Gb/s

Zkontroluj, že router má alespoň 2,5Gb/s WAN port. Pokud chceš tuto rychlost i kabelem do počítače nebo NASu, potřebuješ 2,5Gb/s také na LAN straně. Gigabitový port by jinak vytvořil strop.

Router pro rodiče, který budeš spravovat ty

Hodí se přehledná aplikace, upozornění na aktualizace a bezpečná vzdálená správa přes účet výrobce s vícefaktorovým ověřením. To ale není totéž jako vystavit administrační stránku routeru přímo do internetu. Tu nech vypnutou.

Co jsem koupil mámě

Máma má malý byt a nově připojení 1000 Mb/s. Vybral jsem ASUS RT-AX52 přibližně za tisíc korun. Má Wi-Fi 6, WPA3, gigabitový WAN, tři gigabitové LAN porty a v březnu 2026 dostal další firmware. K 26. červenci 2026 navíc není na globálním seznamu ukončených produktů ASUS. Nejde o spolupráci a pro jiný byt nebo připojení může být lepší úplně jiný model.

Jeho gigabitové porty jsou pro mámin běžný provoz dostatečné. Kdo ale chce z tarifu vyždímat maximum na jednom zařízení, počítá s rychlejším připojením do budoucna nebo kupuje router na delší dobu, měl by se dívat po modelu s 2,5Gb/s WAN portem. Přes Wi-Fi pak rychlost stejně ovlivní telefon či notebook, vzdálenost, zdi a okolní sítě.

Je tu ale důležitá poznámka, kterou by měl obsahovat každý poctivý tip na router: v britském prohlášení k zákonu PSTI uvádí ASUS pro RT-AX52 minimální bezpečnostní podporu do 31. prosince 2026. Jde o údaj pro britský trh, ne o oznámení globálního konce podpory. Výrobce ji navíc může prodloužit. Je to ale jediný veřejný termín, o který se dnes můžeme opřít.

Proto nekopíruj slepě můj model. Kopíruj postup výběru. Pokud nakupuješ dnes a chceš zařízení na více let, ověř si aktuální datum podpory a dej přednost modelu, u kterého výrobce slibuje delší období. Na stejném britském seznamu má například odlišný model RT-AX52 Pro uvedenou minimální podporu do konce roku 2029.

Nastavení nového routeru za 15 minut

Názvy položek se u jednotlivých výrobců liší. Hledej slova Administration, System, Wireless, Security, Firmware nebo použij aplikaci výrobce.

1. Nejdřív aktualizuj firmware

Ještě před připojením celé domácnosti zkontroluj aktualizace. Pokud router umí automatické aktualizace, zapni je a nastav čas, kdy krátký restart sítě nebude vadit.

Automatiku jednou za několik měsíců stejně zkontroluj. Aktualizace může selhat nebo čekat na restart.

2. Nastav unikátní heslo správce

Heslo do administrace routeru není heslo k Wi-Fi. Chrání samotné nastavení sítě.

Použij dlouhé a unikátní heslo, ideálně uložené ve správci hesel.
Nepoužívej stejné heslo jako k e-mailu nebo Wi-Fi.
Pokud router při prvním spuštění vynutí vytvoření nového hesla, je to dobře.

Do nastavení se obvykle dostaneš přes adresu uvedenou na štítku nebo v manuálu. Nemusí to být vždy 192.168.1.1.

3. Zapni WPA3 nebo WPA2/WPA3

Pro novější zařízení použij WPA3-Personal. Pokud se starší televize, tiskárna nebo chytrá zásuvka nepřipojí, nastav přechodový režim WPA2/WPA3-Personal.

Pokud router nabízí volbu šifrování, u WPA2 použij AES. WEP, původní WPA a TKIP už do domácí sítě nepatří.

Heslo k Wi-Fi udělej dlouhé, ale takové, které dokážeš nadiktovat návštěvě. Dobře funguje několik nesouvisejících slov. Příjmení, adresa nebo telefonní číslo do názvu sítě ani hesla nepatří.

4. Vypni WPS

WPS usnadňuje připojení tlačítkem nebo krátkým PINem. Hlavně PINová varianta má problematickou bezpečnostní historii. Pokud WPS vědomě nepoužíváš, vypni ho.

5. Vypni správu routeru z internetu

Položky jako Remote Administration, Remote Management, Web Access from WAN, Telnet nebo SSH ze strany internetu nech vypnuté.

Spravovat router z telefonu přes zabezpečenou aplikaci výrobce může být v pořádku. Veřejně přístupná administrační stránka na WAN rozhraní je něco jiného a běžná domácnost ji nepotřebuje.

U routeru od poskytovatele bez domluvy nevypínej služby označené TR-069, CWMP nebo USP. Poskytovatel je může používat právě pro bezpečné doručování konfigurace a aktualizací. Nejsou totéž jako veřejná administrace pro tebe.

6. Hosty odděl od hlavní sítě

Guest Network použij pro návštěvy. Zapni izolaci hostů od vnitřní sítě, pokud ji router nabízí. Host pak dostane internet, ale neuvidí NAS, tiskárnu ani ostatní zařízení.

Chytrou televizi, kameru nebo zásuvku můžeš dát do oddělené IoT nebo hostovské sítě jen tehdy, když pak dál funguje jejich ovládání. Některé levnější routery hosty skutečně izolují, jiné jen vytvoří druhé jméno Wi-Fi. Ověř to v manuálu.

Děti automaticky nepatří na síť pro hosty. Rodičovská pravidla řeš samostatně a počítej s tím, že žádný filtr nenahradí domluvu ani nastavení přímo v telefonu.

7. Neotvírej zbytečně porty

Firewall nech zapnutý. DMZ, přesměrování portů a správu přes HTTP nezapínej jen proto, že to doporučil náhodný návod.

U UPnP je rozumný výchozí stav vypnuto. Některé hry, konzole nebo videohovory ho ale mohou potřebovat. Když něco přestane fungovat, zjisti proč a povol jen to, co skutečně používáš.

8. Zkontroluj připojená zařízení

Seznam Connected Devices, Clients nebo DHCP Clients ukáže, co je v síti. Neznámý název nemusí být útočník. Telefony používají náhodné MAC adresy a některá zařízení se představí jen jako výrobce čipu.

Když si nejsi jistý, zařízení doma postupně vypínej a sleduj, co ze seznamu zmizí. Opravdu cizí zařízení zablokuj a změň heslo Wi-Fi.

9. Ulož si konfiguraci

Po dokončení si ulož zálohu nastavení, pokud ji router nabízí. Heslo správce dej do správce hesel a poznamenej si model, datum nákupu a odkaz na stránku podpory. Při další bezpečnostní chybě nebudeš začínat od nuly.

Volitelně: ochranné DNS

DNS filtr může blokovat spojení na domény známé malwarem nebo phishingem ještě před načtením stránky.

Cloudflare nabízí:

1.1.1.2 a 1.0.0.2 pro blokování známého malwaru,
1.1.1.3 a 1.0.0.3 pro blokování malwaru a obsahu pro dospělé.

Je to užitečná další vrstva, ne kouzelný štít. Nezastaví podvod na legitimní napadené stránce, nerozpozná každou novou doménu a zařízení s vlastním šifrovaným DNS může nastavení routeru obejít.

Když po změně něco nefunguje

Nedělej pět změn najednou. Vrať poslední krok a zkus:

restartovat router i problémové zařízení,
u starého zařízení přepnout z čistého WPA3 na WPA2/WPA3,
ověřit, zda zařízení v hostovské síti nepotřebuje komunikaci s telefonem,
zkontrolovat požadavky hry nebo konzole před zapnutím UPnP či portů,
zavolat poskytovateli, pokud nefunguje samotné internetové připojení.

Tovární reset nech až jako poslední možnost. Smaže nastavení a u některých připojení budeš znovu potřebovat údaje od poskytovatele.

Checklist k uložení

☐ Znám přesný model a hardwarovou verzi routeru
☐ Výrobce nebo poskytovatel stále vydává bezpečnostní aktualizace
☐ Firmware je aktuální a automatické aktualizace jsou zapnuté
☐ Heslo správce je unikátní a jiné než heslo Wi-Fi
☐ Wi-Fi používá WPA3 nebo WPA2/WPA3 s AES
☐ WPS a správa z internetu jsou vypnuté
☐ Hosté jsou oddělení od hlavní sítě
☐ Firewall je zapnutý a DMZ není zbytečně otevřená
☐ Vím, která zařízení jsou připojená
☐ Mám uloženou konfiguraci a odkaz na podporu
☐ Dvakrát ročně si připomenu kontrolu firmwaru a podpory

Nejdůležitější není koupit nejdražší router. Nejdůležitější je koupit zařízení, které výrobce stále opravuje, a jednou ho správně nastavit.