Jak nastavit Wi-Fi router v roce 2026 — TP-Link, WPA3, mesh

Pán přivezl router v igeliťáku se slovy: „V kuchyni to jede, v ložnici nic. Vyměnil jsem ho dvakrát, vyměnil jsem poskytovatele, koupil jsem antény z Číny. Pomozte mi.“ Klasika pondělního rána. Rodinný dům z 90. let, betonové stěny silné jako obranné valy, jeden router u pracovního stolu v přízemí — a ložnice o patro výš, na druhém konci. Žádný router za 800 Kč to fyzicky nepokryje, ať má antény dlouhé jak budete chtít.

Tohle není článek o tom, že Wi-Fi je magie. Je to návod, jak si router pojmenovat, zabezpečit a rozhodnout, jestli vám stačí jeden, nebo potřebujete dva — psaný technikem, který má za sebou 18 let dílny v Brně a viděl všechno od stočených antén v zásuvce přes „heslo: 12345678“ až po WPA3 incompatibility s prarodičovským tabletem.

Co potřebujete před začátkem

• Router s napájením a ethernetovým kabelem od poskytovatele (WAN port, většinou modře nebo oranžově odlišený).
• Notebook nebo telefon v dosahu routeru. Pro první nastavení doporučujeme drát do LAN portu — Wi-Fi se vám během konfigurace bude resetovat.
• Údaje od poskytovatele — pokud používá PPPoE (T-Mobile, Vodafone DSL), potřebujete jméno a heslo. U běžné kabelovky / optiky přes router stačí „dynamic IP“ (DHCP).
• 15 minut klidu. První nastavení rozhodně nedělejte, když máte za chvíli online schůzku.

Drtivá většina ekonomických routerů má dnes podobné rozhraní — TP-Link Archer, ASUS RT, D-Link DIR, Tenda i operátorské Zyxel a Sercomm. Postup níže demonstrujeme na TP-Link (nejrozšířenější značka v ČR), ale principy platí všude.

Poznámka k ilustracím: screenshoty níže jsou z TP-Link admin rozhraní z roku 2014 (model WR841N) — ukazují stejný princip jako dnes, jen vizuálně starší. Novější TP-Link (Archer od ~2020) dnes nastavujete přes mobilní aplikaci TP-Link Tether, případně přes cloud TP-Link ID, ale názvy položek (SSID, region, šifrování) zůstávají stejné.

Krok 1 — přihlášení do administrace

Připojte router do zásuvky, počkejte minutu, až naběhne (LED svítí a přestanou blikat). Pak na notebooku/mobilu otevřete prohlížeč a do adresního řádku napište:

• 192.168.0.1 (TP-Link, D-Link, Tenda)
• 192.168.1.1 (ASUS, většina operátorských)
• tplinkwifi.net nebo routerlogin.net (alternativa pro novější TP-Link / Netgear)

Otevře se přihlašovací okno. U routerů zhruba do roku 2018 byl výchozí účet admin / admin (nebo admin / prázdné heslo). U novějších modelů vás první přihlášení rovnou vyzve k vytvoření vlastního admin hesla — nepřeskakujte, jiná cesta dovnitř není.

Když se přihlásit nedaří

Nejčastější tři důvody:

1. Router byl už nastavený a heslo si nepamatujete. Řešení: factory reset. Najděte zapuštěné tlačítko Reset (špička propisky), držte 20 sekund, pusťte, počkejte dvě minuty, než router naběhne. Všechna nastavení se vrátí na výrobní.
2. Špatná IP. Otevřete na Windows příkazový řádek a napište ipconfig, najděte řádek Default Gateway — to je IP routeru. Na Macu / Linuxu příkaz ip route nebo route -n.
3. Notebook na jiné síti. Když jste připojeni na 4G hotspot z mobilu, prohlížeč se na 192.168.0.1 nedostane. Wi-Fi i hotspot vypněte, použijte ethernetový kabel.

Krok 2 — orientace v admin rozhraní (LAN, WAN)

Po přihlášení uvidíte dashboard se základními informacemi o routeru. Dvě sekce, které potřebujete znát:

• LAN — vnitřní nastavení vaší domácí sítě. IP rozsah (typicky 192.168.0.x nebo 192.168.1.x), DHCP server (rozdává IP adresy klientům). Tyhle hodnoty 99 % uživatelů nemění.
• WAN — venkovní strana, propojení s poskytovatelem internetu. Tady se vyplňuje typ připojení (DHCP / PPPoE / static IP) a vidíte MAC adresu, kterou si někteří poskytovatelé párují k portu.

Co konkrétně hledat ve Status panelu (nebo dashboardu u novějších modelů):

• Firmware Version — pamatujte si ho, hodí se při hledání aktualizací.
• LAN IP routeru — typicky 192.168.0.1 nebo 192.168.1.1 (= adresa, na kterou se přihlašujete).
• WAN IP — pokud je vyplněná a typicky vypadá jako veřejná (např. 89.x.x.x u UPC/Vodafone), router je správně připojený k poskytovateli. Pokud vidíte 0.0.0.0 nebo prázdné pole, problém je na lince mezi routerem a poskytovatelem.
• WAN MAC — to je adresa, kterou poskytovatel vidí. Pokud měníte router, opište si ji ze starého a v novém ji buď naklonujte (MAC Clone), nebo nahlaste poskytovateli.

Tip z praxe: Když po výměně routeru najednou nejede internet, ale router se „připojil“ a všechny LED svítí zeleně, většinou je problém právě v MAC párování. V ekonomických administracích bývá funkce MAC clone (klonování) — zkopíruje MAC z původního routeru a poskytovatel si toho ani nevšimne. Někdy stačí zavolat na linku poskytovatele a říct novou MAC, vyřídí to do pěti minut.

Krok 3 — pojmenování sítě (SSID) a výběr pásma

V levém menu klikněte na Wireless → Wireless Settings (u novějších administrací stačí Wi-Fi v úvodním dashboardu).

• SSID — vlastní název sítě. Tady doporučujeme nedávat jméno + číslo bytu (Novakovi_3B) — sousedé to vidí. Stačí cokoliv neutrálního: domov, Modrazidle, pekarna. Co vám sedne, jen ne výchozí TP-Link_A4F2.
• Region — zvolte Czech Republic. Nezdá se to, ale ovlivňuje to legálně povolená pásma a maximální vysílací výkon. Špatný region = buď slabší signál, nebo riziko, že rušíte radary letadel (ne, opravdu, na 5 GHz).
• Channel — kanál, na kterém vysíláte. Většina lidí může nechat Auto. Ručně se to vyplatí jen v paneláku, kde máte kolem 15 sousedních sítí — pak doporučuju aplikaci WiFi Analyzer (Android) nebo airport -s na macOS, najdete nejméně přeplněný kanál.

2,4 GHz vs. 5 GHz vs. 6 GHz — co vybrat

Dnešní routery vysílají na dvou nebo třech pásmech současně. V administraci je každé pásmo na samostatné záložce. Co znamenají:

Pásmo	Dosah	Rychlost	Hodí se pro
2,4 GHz	Nejdelší (přes zdi)	Pomalejší (až ~150 Mbps)	IoT (chytré žárovky, váhy), starší zařízení
5 GHz	Středně (zdi tlumí víc)	Rychlejší (až ~1200 Mbps)	Notebook, telefon, stream Netflixu
6 GHz (Wi-Fi 6E/7)	Krátký	Nejrychlejší (až ~5 Gbps), žádné rušení	Nejnovější MacBooky, herní PC v rámci jedné místnosti

Doporučení pro 90 % domácností: používejte stejné SSID i heslo na 2,4 i 5 GHz a nechte router, ať sám rozhoduje (funkce Smart Connect nebo Band Steering). Tablety u rodičů na lince zůstanou na 2,4, váš notebook v obýváku přejde na 5. Bezúdržbově.

Krok 4 — zabezpečení (WPA2, WPA3)

Otevřete Wireless Security. Tady volíte typ šifrování. Nabídka v ekonomickém routeru typicky vypadá takhle:

• None / Open — bez šifrování. Nikdy. I když máte „jen tiskárnu“.
• WEP — prolomené v roce 2007. Pokud vám router nabízí jen WEP, je čas na nový router (vážně, 18 let starý hardware).
• WPA-PSK — slabší, prolomitelné s dostatečně dlouhým provozem. Nepoužívat.
• WPA2-PSK — dnes minimum. AES-CCMP šifrování, bezpečné pro běžnou domácnost.
• WPA3-Personal — ideální volba pro novou síť. Lepší ochrana proti slovníkovému útoku (SAE handshake), forward secrecy.
• WPA2/WPA3 mixed mode — kompromis. WPA3 pro nové klienty, WPA2 fallback pro starší (Windows 7, iPhone 6, Android 9 a starší).

V poli PSK Password zadejte heslo o 8 až 63 znacích. Praktická pravidla:

• Délka před složitostí. Heslo kavova-konvice-modra-2026 je bezpečnější než Aa1! × 4. Slovníkový útok ho neuhodne, lidsky se pamatuje.
• Nepoužívat opakovaně heslo, které máte na e-mail nebo internetbanking. Wi-Fi heslo občas dáváte hostům, dětem, zedníkům — nesmí mít hodnotu.
• Měňte ho alespoň jednou za tři roky a pokaždé, když odejde někdo, komu jste ho předali (uklízečka, bývalý partner, host).

Potvrďte Save → Reboot. Router se restartuje, vaše zařízení se musí znovu přihlásit (s novým heslem). Hotovo.

Když vám staré zařízení odmítá WPA3

Klasický scénář: nastavíte WPA3, váš nový iPhone se připojí, ale prarodičovský tablet z roku 2017 se kouká jak puk. WPA3 podporuje až iOS 13 (iPhone 7+), Android 10, Windows 10 build 1903 a novější. Pro starší klienty:

1. WPA2/WPA3 mixed mode — pokud router umí. Funguje pro většinu kombinací.
2. Druhá Wi-Fi síť na 2,4 GHz s WPA2 — vyhradíte pásmo pro IoT a starší zařízení, hlavní síť necháte WPA3.
3. Guest network — některé routery umí třetí síť pro hosty, kde můžete nechat WPA2 a omezit přístup k LAN.

Hotovo. A co dál?

Wi-Fi máte pojmenovanou a zabezpečenou. Zařízení se připojí. Tohle ale není konec, jen polovina cesty. Před tím, než zavřete admin, projděte si:

• Změňte výchozí heslo administrátora (pokud router neforsoval při prvním přihlášení). admin/admin na routeru je jako kreditka v zásuvce u dveří.
• Vypněte WPS (Wi-Fi Protected Setup) — historicky prolomený protokol. Stačí, abyste hostovi řekli heslo, WPS nepotřebujete.
• Aktualizujte firmware — System Tools → Firmware Upgrade. U TP-Link a ASUS to dnes většinou jde automaticky přes admin nebo aplikaci v mobilu (TP-Link Tether, ASUS Router). Bez updatů je router za 2 roky děravý jak ementál.
• Vypněte vzdálenou administraci přes WAN, pokud ji nepotřebujete. 99 % domácích uživatelů ji nepotřebuje a je to hlavní vstupní vektor pro botnety.
• Guest network pro hosty — oddělená síť, hosti nevidí na vaši tiskárnu ani NAS.

Když jeden router nestačí — mesh

Vrátíme se k pánovi z úvodu. Jeho problém nešel vyřešit lepším nastavením. Šel vyřešit jen druhým vysílacím bodem uprostřed domu. Tomu se říká mesh.

Mesh sady (typicky 2 nebo 3 jednotky v krabici) se postaví do různých místností, propojí se buď bezdrátově, nebo ideálně ethernetovým kabelem (backhaul), a klient mezi nimi přechází bez výpadku — telefon v ruce, jdete z obýváku do ložnice, na obrazovce streamu se nezasekne ani frame.

Co se v Brně osvědčilo:

• TP-Link Deco X50 / X55 — dvojice ~2 500 Kč, Wi-Fi 6, dobrý kompromis cena/výkon, aplikace Deco snadná i pro netechnické.
• ASUS ZenWiFi XD5 / XT8 — pokročilejší, AiMesh kompatibilní s ostatními ASUS routery, lepší pro pokročilé.
• Operátorský router + samostatná Eero / Deco — stávající operátorský box přepnete do bridge módu a mesh řeší celé pokrytí. Kombinace, kterou děláme nejčastěji.

Co nedělat: kupovat „silnější antény“ od neznámých čínských prodejců na Amazonu. Maximální vysílací výkon je v EU regulovaný (100 mW na 2,4 GHz, 200 mW na 5 GHz), antény ho zákonně nezvýší. To, co zvýší, je směrovost — ale směrovat antény v paneláku je zbytečné, signál vám stejně rozbijí stěny.

FAQ — nejčastější dotazy

Jaké je nejlepší výchozí heslo pro Wi-Fi v roce 2026? Žádné. Doporučujeme frázi ze 4 nesouvisejících slov + dvouciferné číslo, např. kavova-konvice-modra-26. Délka 20+ znaků, slovníkový útok ji neuhodne, lidsky se pamatuje. Nikdy nepoužívat heslo, které máte i jinde (mail, banka, soc. sítě).

Co je rozdíl mezi WPA2 a WPA3? WPA3 (od 2018) má lepší ochranu proti slovníkovému útoku přes nový handshake (SAE / Dragonfly), individuální šifrování pro otevřené sítě (OWE) a forward secrecy. Pro běžnou domácnost je rozdíl v praxi malý, ale pokud máte novou techniku, není důvod nezapnout WPA3 nebo aspoň mixed mode WPA2/WPA3.

Mám oddělit 2,4 a 5 GHz na samostatná SSID? Většinou ne. Moderní routery (Wi-Fi 5 a novější) mají Smart Connect / Band Steering, který klienta sám nasměruje na lepší pásmo. Oddělení dává smysl jen pokud máte hodně IoT zařízení (chytré žárovky, váhy), která se na 5 GHz nepřipojí — pak udělejte druhou síť domov-IoT jen na 2,4 GHz.

Vyplatí se router od poskytovatele, nebo si koupit vlastní? Operátorský router je často dostatečný pro byt do 60 m². Pro rodinné domy, půdní byty s kovovou střechou nebo prostory přes tři místnosti se vyplatí vlastní router (ideálně mesh). Operátorský box přepnete do bridge módu, vlastní router řeší Wi-Fi, NAT, DHCP a port forwarding.

Jak často mám aktualizovat firmware? Ideálně automaticky (TP-Link Tether, ASUS Router Auto Update). Pokud manuálně, koukněte se aspoň jednou za 6 měsíců. Po každém oznámeném zranitelnostním CVE pro vaše zařízení (sledujte stránku výrobce) update neodkládejte — botnety jako Mirai a TheMoon žijí z neaktualizovaných routerů.

Funguje Wi-Fi 6E / Wi-Fi 7 v ČR legálně? Ano. 6 GHz pásmo je v ČR uvolněné od 2021 pro Wi-Fi 6E (LPI — low-power indoor). Wi-Fi 7 (standard 802.11be ratified 2024) běží na 2,4 + 5 + 6 GHz současně. Smysl dává, pokud máte zařízení, které ho podporuje (MacBook M3+, Galaxy S24 Ultra, herní PC s kartou Intel BE200), a router za 5 000 Kč+. Pro běžnou domácnost je Wi-Fi 6 (5 GHz) ještě roky dostačující.

Když si na to netroufnete

Tohle všechno zvládne většina lidí sama. Pokud ale jste u kroku „nemůžu se přihlásit do administrace, neznám výchozí IP, router blika oranžově“ a začíná vás bolet z toho hlava — od toho jsme tady. V ITHOPE řešíme:

• Nastavení nového routeru v dílně i na místě (Brno, blízké okolí)
• Mesh deploy v rodinných domech a kancelářích — měření signálu, návrh počtu uzlů, drátové backhauly
• Bezpečnostní audit firemní Wi-Fi — segmentace, guest VLAN, RADIUS pro Enterprise sítě
• Diagnostika padajícího internetu — kabel od poskytovatele, MAC párování, výměna kabelu, výměna routeru

Volejte +420 775 556 063 nebo si pište na info@ithope.cz. Většinou vás dokážeme provést telefonicky během 15 minut, drahé výjezdy nejsou nutné.

---

Související služby: Servis PC a notebooků · IT pro firmy — sítě · Záchrana dat

Autor: Tomáš Kopřiva — 18 let v dílně, viděl všechno od WEPu po WPA3. Korekce: Miroslav Jaroš.