MAC 地址随机化:各系统的行为差异与应对
十年前,一台手机的 WiFi 网卡在任何场合都暴露同一个 MAC 地址。商场只要在各处部署嗅探器,就能凭这个地址还原你的行走路线。为了堵住这个漏洞,主流系统陆续引入了 MAC 地址随机化。这项改动对隐私是好事,但给网络管理带来了实际麻烦。追踪问题的完整背景见MAC 地址的隐私影响。
随机化发生在两个阶段
扫描阶段。 手机搜索可用网络时会广播探测请求。这个阶段的源地址早已随机化,而且通常每次扫描都换一个,专门针对商场嗅探这类被动追踪。
关联阶段。 真正连上某个网络后使用的地址。这里的策略各系统不同,也是造成管理困扰的部分。
各系统的关联地址策略
| 系统 | 默认行为 | 地址稳定性 |
|---|---|---|
| iOS / iPadOS 14+ | 默认对每个 SSID 启用 | 同一网络内保持不变,可按网络关闭 |
| Android 10+ | 默认对每个 SSID 启用 | 同一网络内保持不变,部分版本会定期轮换 |
| Windows 10/11 | 默认关闭,可全局或按网络开启 | 开启后可选择每日轮换 |
| macOS 15+ | 默认启用 | 提供"固定"与"轮换"两档 |
关键点是:大多数系统的随机地址是按 SSID 固定的。同一台手机连你家路由器时地址不变,但连公司网络时是另一个地址。这让基于地址的识别在单一网络内仍然可行,跨网络追踪则失效。
怎么识别一个地址是随机的
看第一字节的第二个十六进制字符。如果是 2、6、A、E,说明本地管理位被置 1,这是随机地址的标志,在查询页一定查不到厂商。完整的判断规则见读懂 MAC 地址第一字节。
这也解释了一个常见现象:路由器客户端列表里一堆设备显示"未知厂商"。它们不是山寨设备,而是启用了隐私地址的正常手机。
对网络管理的影响
MAC 过滤基本失效。 本来就不该把它当安全措施,随机化只是让这一点更明显,原因见为什么 WiFi MAC 过滤不是安全措施。
DHCP 静态绑定会断。 按 MAC 分配固定 IP 的做法在客户端换地址后失效,需要改用其它标识或让用户关闭该网络的隐私地址。
计费与配额系统需要改造。 依赖 MAC 作为用户身份的校园网、酒店网络受影响最大,合理的替代是 802.1X 等真正的身份认证,参见802.1X 与 MAC 认证旁路。
资产盘点要换锚点。 用 MAC 做设备台账的思路需要补充其它字段,详见用 MAC 地址做网络资产盘点。
实务建议
对自己管理的网络,正确做法不是想办法绕过随机化,而是承认 MAC 地址不再是稳定身份。需要固定 IP 的服务器和打印机本来就不启用随机化,受影响的只有个人移动设备。让这些设备走 DHCP 动态地址,身份认证交给 802.1X 或门户认证,整体架构反而更干净。