本地恢复安全边界
路由器 TFTP 恢复与 TFTP 数据外传有什么区别？
同一个简单文件传输协议，既可能出现在正常的局域网固件恢复教程中，也可能出现在路由器安全警报里。关键区别不在 TFTP 这三个字，而在谁发起传输、传什么文件、文件发往哪里，以及路由器管理接口是否暴露或已被控制。
2026 年 7 月联合安全警报说的是什么？
NSA、CISA、FBI、澳大利亚网络安全中心、英国 NCSC 等机构发布的联合警报指出，俄罗斯国家支持的攻击者会扫描公网路由器，寻找仍允许 SNMPv1 / SNMPv2 且接受默认或常见 community string 的设备。
取得 SNMP 管理权限后，攻击者可以利用配置复制 OID，命令路由器把自身配置文件通过 TFTP 发往攻击者控制的 VPS 或被入侵服务器。危险动作的起点是暴露、弱口令或被滥用的路由器管理权限，不是普通的本地固件恢复请求。
主要来源：澳大利亚网络安全中心联合警报、英国 NCSC 公告。这些机构没有为 Router Recovery 或任何商业产品背书。
协议相同，信任边界完全不同
| 问题 | 本地路由器恢复 | 配置文件外传 |
|---|---|---|
| 为什么使用 TFTP？ | 按照设备的本地恢复流程，把用户选择的恢复固件传给路由器。 | 把路由器配置文件传到攻击者控制的服务器。 |
| 谁发起关键操作？ | 设备所有者主动准备 Mac、固件、网线和恢复模式。 | 攻击者先取得或滥用路由器管理权限，例如弱 SNMP 写权限。 |
| 文件传输方向 | 从用户的 Mac TFTP Server 发往路由器。 | 从路由器发往外部 TFTP 目的地。 |
| 传输什么文件？ | 用户主动选择并放入服务文件夹的恢复固件。 | 可能包含凭据和敏感网络信息的路由器配置。 |
| 正常网络范围 | 临时私有恢复网段，最好使用 Mac 与路由器直连网线。 | 可被外部访问的管理路径和攻击者控制的目的地。 |
让恢复用 TFTP Server 保持本地、临时
如果 macOS 要求允许本地传入连接，只应在恢复期间、可信本地网络中授权。不要为了本地直连恢复而全局关闭防火墙或在路由器上创建公网端口转发。
如果你管理的是公网路由器
这属于企业网络管理安全工作，不是 App 恢复任务。应遵循厂商和联合警报：关闭不需要的 SNMP；支持时从 SNMPv1/v2 迁移到 SNMPv3；删除默认 community string；用 ACL 限制管理协议；监测敏感 OID；除非确属必要并受到严格监控，否则阻止外部 TFTP 和 SNMP 流量。
如果发现异常配置复制、向未知目的地发送 TFTP 文件或未授权管理操作，应按潜在安全事件处理，保留日志并执行组织的事件响应流程。
常见问题
TFTP 本身是恶意软件吗？
不是。TFTP 是一种没有认证的简单文件传输协议。风险取决于网络暴露范围、访问控制、传输的文件和两端由谁控制。
Router Recovery 会下载路由器配置吗？
不会。Router Recovery 不使用 SNMP，不请求路由器配置文件，也不提取路由器数据；它的 TFTP 路径只在局域网传输用户选择的恢复固件。
恢复结束后还要保持 TFTP Server 运行吗？
不需要。恢复尝试完成后应停止服务、清理服务文件夹中的临时文件，并恢复 Mac 的正常网络和防火墙设置。
边界防火墙应该允许 TFTP 吗？
普通本地恢复不需要。联合警报建议阻止外部 UDP 69，除非确属关键业务需要并受到严格监控。Mac 与路由器直连恢复不应依赖公网暴露。
继续普通恢复路径
如果你的型号指南明确要求 TFTP recovery，请回到本地检查清单：准确型号、可信固件、Mac 临时静态 IP、直连网线、要求的文件名和恢复模式。