过去二十年里，企业网络准入控制（NAC）有一个心照不宣的前提：一个设备的 MAC 地址在长时间内保持稳定。这个前提支撑着 MAB（MAC Authentication Bypass，见 802.1X 与 MAC 认证旁路）、Captive …
本地虚拟化那条线很简单：VMware 用 00:50:56、Hyper-V 用 00:15:5D、Xen 用 00:16:3E，查出来什么前缀就知道它跑在哪个平台上，虚拟机的 MAC 地址 那篇讲的就是这套。云上的故事没这么直接。AWS、A…
在企业网里，MAC 地址几乎就是二层的全部：交换机靠它建转发表，靠泛洪把未知单播送达，靠 MAC 地址表 定位一台设备接在哪个口。到了数据中心，这套逻辑被一个 overlay 包了起来。VXLAN 用 MAC-in-UDP 把租户的二层帧装…
在技术评审或采购会上，你几乎一定会听到这句话："MAC 地址只是硬件编号，不算个人信息。"到 2026 年，这个说法已经不成立了。欧盟法院过去两年连续两个判决，加上英国 ICO 的明确表述，都指向同一个结论：MAC 地址在绝大多数实际场景里…
MACsec（IEEE 802.1AE）是以太网链路层加密的标准。这几年企业网部署明显加速——Cisco Catalyst 9200/9800、Juniper、Aruba、FortiSwitch 都把 MACsec 作为基础能力，Cisco…
Wi-Fi 7（IEEE 802.11be）的招牌特性是多链路操作（Multi-Link Operation，MLO）。宣传里它能让一台设备同时用 2.4 GHz、5 GHz、6 GHz 三条链路，把延迟降到毫秒级、吞吐翻倍。但 MLO 带…
MAC 随机化是过去十年移动端隐私最重要的一道防线。iOS 8 起随机化探测请求，iOS 14 起按网络生成私有地址，iOS 18 又把关联阶段拆成 Off / Fixed / Rotating 三档。整条线把 MAC 从"全球唯一硬件指纹…
过去几年里，Apple 在客户端 MAC 随机化上走得很激进：iOS 8 起对探测请求随机化，iOS 14 起按网络生成私有地址，iOS 18 又把关联阶段拆成固定与轮换两档（细节见 iOS 18 的 MAC 随机化三档）。但有一类 MAC…
日志里出现 MACFLAP、MAC move 或“同一 MAC 在两个端口之间移动”，值班的人很容易直接想到二层环路。这个方向没错，但不够用。交换机看到的是一个现象：它刚从端口 A 学到某个源 MAC，紧接着又从端口 B 收到同一源 MAC…
抓一段交换机上联口的流量，Wireshark 里忽然多出一行 802.1Q Virtual LAN。很多人会先问：“这个 VLAN 是不是发包电脑自己带上的？”未必。VLAN 标签描述的是这帧在当前二层链路上属于哪个 VLAN；它可以由终端…
值班时经常会遇到这种对不上号的情况：控制器里手机显示已关联、认证也成功，网关上能看到它的 IP；登录接入交换机查这个 MAC，却什么也没有。先别重启 AP，也别急着把它当成地址随机化问题。客户端流量从 AP 怎么出去，决定了哪台交换机会学到…
第一次用监听模式看 Wi-Fi 抓包，很容易把 Address 1 当目的地址、Address 2 当源地址。这个习惯从以太网带过来，在最简单的场景里似乎没问题；一旦帧经过 AP，第三个地址就会让人困惑：它既可能是原始终端，也可能是最终目的…
过去二十年里，企业网络的访问控制有一个心照不宣的假设：一台设备的 MAC 地址不变。802.1X 认证旁路（MAB）靠它识别打印机和摄像头，NAC 设备画像靠它关联策略，DHCP 绑定靠它分配固定地址，合规审计靠它生成设备级日志。这个假设从…
升级到 iOS 18 之后，Wi-Fi 设置里"私有 Wi-Fi 地址"这个开关的名字变了，底下多出了三个选项：关闭、固定、旋转。很多人没注意到这个改动，但它其实是苹果过去几年里对 MAC 随机化机制最大的一次调整。理解这三档的区别，能解释…
在查询页输入一个 MAC 地址却得到"未找到",或者查出的厂商名字和手上的设备完全对不上号。这两种情况都很常见,原因通常不是数据库有问题。下面列出常见原因。 现代设备使用随机地址时，经常出现这种情况。 看第一字节的第二个十六进制字符,如果是…
MAC 地址看起来是理想的资产标识:全局唯一、不随 IP 变化、无需在设备上装任何代理就能收集。但直接把它当主键会在几年后带来麻烦。这里讲清楚它适合承担什么角色。 无需代理即可采集。 从交换机的 MAC 地址表、DHCP 租约、ARP 表就…
虚拟化环境里每个虚拟网卡都需要一个 MAC 地址。各家平台使用自己注册的 OUI 前缀,因此在查询页输入一个虚机地址往往能直接看出它跑在什么平台上,这在排查混合环境时很有用。 最后一条值得留意。52:54:00 的第一字节 0x52 是二进…
蓝牙设备也有一个 48 位地址,格式与 WiFi 的 MAC 地址一模一样,前 24 位同样是 IEEE 分配的 OUI,因此可以用同一个数据库查询厂商。但两者的隐私机制和使用方式差别很大。 蓝牙里这个地址叫 BD_ADDR(Bluetoo…
按 MAC 地址过滤是二层排查最常用的操作。Wireshark 有两套语法容易混淆:捕获过滤器用 BPF,显示过滤器用自己的表达式语言。写错语法是新手最常见的挫败来源。 显示过滤器写在 Wireshark 主界面的过滤栏,作用于已捕获的数据…
MAC 地址虽然出厂时烧入网卡,但驱动接受软件设定的值,因此在所有主流系统上都可以修改。常见的正当需求包括:替换故障设备时沿用原地址以免打乱 DHCP 绑定,测试网络准入策略,或规避把 MAC 当唯一凭据的糟糕设计。 用本地管理地址。 把第…
日志里出现一个陌生的 MAC 地址,或者需要找出是哪台机器在占用带宽,都需要从 MAC 地址反查到物理位置。这件事分两步:先确认它在网络上的存在,再收窄到具体端口。 扫描本网段的 ARP 响应。 arp-scan 是最快的办法,它直接发 A…
同一广播域里出现两个相同的 MAC 地址,后果不是彻底断网,而是间歇性、看起来随机的故障。正因为症状不稳定,这类问题往往被误判成线路或驱动问题,排查方向一开始就跑偏。 双方都时断时续。 交换机的 MAC 地址表只能记录一个端口。两台设备轮流…
ARP 协议不校验应答来源,这个设计缺陷让局域网中间人攻击的成本低到只需一台笔记本。了解攻击是怎么做的,才能判断哪些防御手段真正有效。 攻击者的目标通常是让受害主机把发往网关的流量送到自己手上。做法是持续向受害主机发送伪造的 ARP 应答,…
MAC 地址不含姓名,看起来只是一串十六进制数字。但它在很长一段时间里是一个全球唯一、终身不变、且在无线环境中明文广播的标识符。这三个特性叠加起来,使它成为过去十年最有效的线下追踪手段之一。 设备制造方和型号线索。 前 24 位是 IEEE…
十年前,一台手机的 WiFi 网卡在任何场合都暴露同一个 MAC 地址。商场只要在各处部署嗅探器,就能凭这个地址还原你的行走路线。为了堵住这个漏洞,主流系统陆续引入了 MAC 地址随机化。这项改动对隐私是好事,但给网络管理带来了实际麻烦。追…
很多路由器的管理界面把 MAC 地址过滤放在"安全"菜单下,这个位置具有误导性。MAC 过滤能起到的作用接近于零,理由不是它实现得不好,而是它试图保护的东西在设计上就是公开的。 WPA2 和 WPA3 加密的是数据载荷,帧头不加密。源 MA…
802.1X 是 IEEE 定义的端口级准入控制标准,在设备通过身份认证之前,交换机端口不转发任何业务流量。MAB 是为那些无法运行 802.1X 客户端的哑设备准备的退路,理解两者的差距对设计准入策略很重要。 请求者(Supplicant…
DHCP 把 IP 地址租给客户端时,需要一个标识来区分"这是谁",以便续租时给回同一个地址。这个标识在绝大多数实现里就是客户端的 MAC 地址。理解这条链路,能解释很多地址分配上的怪现象。 一次完整的地址获取包含四个报文,俗称 DORA:
同一个局域网内要把数据帧发给某台主机,必须知道它的 MAC 地址,但应用层给出的通常只有 IP 地址。填补这段空白的是 ARP,地址解析协议。两种地址各自的分工见MAC 地址与 IP 地址的分工。 假设 192.168.1.10 要访问 1…
交换机与集线器的根本差别在于它知道该把帧发往哪个端口,而这份知识来自一张动态维护的 MAC 地址表,也常被称为 CAM 表。理解它的三种行为,基本就理解了二层转发。 交换机不需要任何配置就能建表。每收到一个帧,它读取源 MAC 地址,记下"…
IPv6 的无状态地址自动配置(SLAAC)最初用 MAC 地址生成接口标识符,这个设计带来了严重的隐私问题,现在已被替代方案取代。这段演变值得了解,因为老设备和某些嵌入式系统仍在使用原始做法。 把 48 位 MAC 地址扩成 64 位接口…
查一个 MAC 地址能得到厂商名称,背后依靠的是 IEEE 注册管理机构(RA)维护的一套公开分配库。理解这套体系,能解释很多查询中遇到的困惑:为什么有的前缀是 6 位十六进制,有的却要看 7 位甚至 9 位;为什么同一家公司会拥有上千个前…
IP 组播要在以太网上传输,必须映射到一个二层组播地址,否则交换机不知道该怎么处理。这套映射规则是固定算法,不需要任何协议协商,理解它能解释很多抓包中看到的奇怪地址。 第一字节的最低位为 1 就是组播。写成十六进制,看第一字节是奇数还是偶数…
FF:FF:FF:FF:FF:FF 是最容易认出的 MAC 地址,但以太网里还有一批保留地址各有专门用途。抓包时认出它们,能省下大量在查询页徒劳查询的时间。 全 1 的 FF:FF:FF:FF:FF:FF 表示发给广播域内所有设备。交换机收…
MAC 地址的第一个字节里藏着两个标志位,它们决定了这个地址是厂商出厂烧进去的还是软件临时生成的,以及这一帧是发给一台设备还是一组设备。看懂这两位,能立刻判断出很多地址的性质。 第一字节的最低两位是标志位,其余六位才参与厂商标识: 注意这里…
初学网络的人常问:既然每台设备都有唯一的 MAC 地址,为什么还要 IP 地址?反过来也成立:既然有了 IP 地址能定位全网任意主机,MAC 地址还有什么用?答案在于两者解决的是不同层次的问题。 把数据包送达比作寄快递。IP 地址相当于收件…
MAC 地址是设备网卡的唯一硬件标识。你可能在这些场景需要它：把设备加入路由器白名单、排查网络故障、做设备盘点，或识别蹭网设备。下面按平台逐一说明。 方法一（命令行，最快）： 1. 按 Win + R，输入 cmd 回车 2. 输入 ipc…
现代手机和笔记本在扫描 Wi-Fi 时会不断发送探测请求帧（Probe Request）。早期这些帧携带设备真实的 MAC 地址，商场、机场等场所便能靠它长期追踪你的位置轨迹。为对抗这种追踪，iOS 与 Android 引入了 MAC 随机…
MAC地址（Media Access Control Address，媒体访问控制地址）是分配给网络接口的唯一硬件标识符，工作在OSI参考模型的数据链路层，用于在局域网（LAN）内唯一标识每台设备。 标准的MAC地址为48位，以12位十六进…
MAC地址欺骗（MAC Address Spoofing）是指攻击者伪造网络接口的MAC地址，冒充合法设备的技术。由于以太网交换机根据MAC地址表转发流量，欺骗可以绕过访问控制、实施中间人攻击（MITM）或造成网络混乱。 以太网帧的源MAC…