MAC 随机化之后企业网络怎么认设备：IETF Persistent-Device-Id 提案解析
过去二十年里，企业网络的访问控制有一个心照不宣的假设：一台设备的 MAC 地址不变。802.1X 认证旁路（MAB）靠它识别打印机和摄像头，NAC 设备画像靠它关联策略，DHCP 绑定靠它分配固定地址，合规审计靠它生成设备级日志。这个假设从 2019 年开始崩塌。Android 10、iOS 14、Windows 10 陆续把 MAC 随机化设为默认，到 2025 年超过 80% 的接入设备用的是随机地址。网络侧突然发现：连上的设备一个都不认识了。
2026 年 4 月，Cisco 和 HPE 的工程师向 IETF 提交了一份 Internet-Draft，定义一个新的 RADIUS 属性 Persistent-Device-Id，试图在不破坏隐私的前提下，给网络侧一个稳定的设备身份。这份草案目前还在讨论阶段，但它代表了行业对这个问题的一个明确回答方向。
随机化到底打碎了什么
先说清楚问题有多严重。在企业环境里，依赖 MAC 稳定性的系统不止一个。
MAB 认证。 打印机、IP 电话、IoT 传感器这类没法输入用户名密码的设备，网络靠它们的 MAC 地址放行。随机化之后，同一台打印机每天可能换一个地址，MAB 规则根本写不下去。
设备画像与策略执行。 NAC 系统会根据 MAC 关联设备类型、操作系统、已安装补丁，然后下发 VLAN 或 ACL。地址一变，画像数据就断成碎片，同一台设备会被当成几十台新设备。
许可证计量。 不少网络设备和安全软件按接入设备数计费，MAC 是去重键。随机化让计数虚高，企业可能为实际不存在的"设备"付费。
合规审计。 HIPAA 要求追踪访问电子病历的设备，FISMA 要求联邦机构持续监控接入设备，PCI-DSS 要求记录处理支付数据的设备。这些法规都要求设备级的审计轨迹，而 MAC 一旦不再稳定，轨迹就断了。
RFC 9797 在 2025 年 6 月系统梳理了这些影响，但没有给出协议层的解决方案。IEEE 802.11bh-2024 在二层引入了会话连续性机制，但它只管链路层，管不到 RADIUS 所在的 AAA 层。Persistent-Device-Id 就是在填这个缺口。
Persistent-Device-Id 的工作方式
核心思路很直接：既然客户端的 MAC 不再可信，那就由网络侧来分配一个稳定身份。
具体流程是这样的。设备首次接入网络，完成 802.1X 认证（或者 MAB）之后，RADIUS 服务器在 Access-Accept 消息里附带一个 Persistent-Device-Id 属性，值是一个 GUID。接入设备（NAD，也就是交换机或无线控制器）把这个 GUID 记下来，和当前会话关联。
之后设备的 MAC 地址不管怎么变——是每两周旋转一次，还是重新关联时换了一个——只要重新认证通过，RADIUS 服务器就返回同一个 GUID。NAD 用 GUID 而不是 MAC 来识别设备，这样设备画像、策略、计费、审计都能延续。
这个属性的设计有几个关键点。
由网络分配，不依赖客户端改造。 设备不需要安装任何软件，也不需要操作系统支持。GUID 在 RADIUS 消息里传递，对终端完全透明。这让它能覆盖 IoT 设备这类无法升级的场景。
基于证书绑定。 服务器怎么知道两次认证来自同一台物理设备？靠客户端证书里的身份。802.1X EAP-TLS 认证时，设备出示证书，服务器从证书里提取唯一标识（比如 SAN 里的某个字段），作为分配和检索 GUID 的依据。这样即使 MAC 变了，证书没变，服务器就能返回同一个 GUID。
不可变且全局唯一。 GUID 一旦分配就不再改变，也不会重用。一台设备在整个生命周期里只有一个 Persistent-Device-Id。这保证了审计轨迹的连续性。
可选的不透明化。 草案允许网络把 GUID 加密后再下发，这样即使被第三方截获，也无法关联到具体设备。这是为了在隐私和可管理性之间取得平衡。
它解决了什么，又没解决什么
Persistent-Device-Id 解决的是网络侧的设备识别问题。有了它，NAC 系统可以重新建立稳定的设备档案，MAB 可以改用 GUID 而不是 MAC，合规审计也有了连续的设备标识。对于依赖 802.1X 的企业网络，这是一个相对平滑的过渡方案，不需要替换现有的认证基础设施。
但它有明确的边界。
不解决用户隐私问题。 这个 GUID 是网络分配给设备的，目的就是让网络能持续识别设备。对于用户来说，这意味着即使你开启了 MAC 随机化，企业网络仍然能追踪你的设备。这不是 bug，是设计目标——企业网络本来就需要知道接入的是什么设备。它解决的是"网络怎么管理设备"，不是"用户怎么躲开网络"。
依赖 802.1X 证书体系。 没有客户端证书的设备（比如用 MAB 的打印机），服务器无法可靠地判断两次接入是否来自同一台物理设备。草案里提到可以用设备指纹等辅助手段，但可靠性不如证书。这意味着纯 MAB 环境的收益有限。
不覆盖非企业网络。 这个机制只在有 RADIUS 认证的网络里生效。咖啡店的开放 Wi-Fi 没有 RADIUS 服务器，自然也不会分配 GUID。所以它不影响普通用户在公共网络里的隐私。
仍然是草案。 Internet-Draft 的有效期是六个月，可能被修改、取代甚至放弃。在它成为 RFC 之前，没有厂商会大规模实现。Cisco 和 HPE 是主要推动者，实际落地可能要等到 2027 年以后。
它和现有方案的关系
这个领域不止一个提案。IEEE 802.11bh-2024 定义了二层的 Device ID 机制，让 AP 能在 MAC 变化时维持会话。IETF 的 MADINAS 工作组（RFC 9724）梳理了随机化对各种网络服务的影响。Persistent-Device-Id 处在 AAA 层，和这些是互补关系，不是替代。
另外，不少厂商已经有私有的设备标识方案。比如 Cisco 的 ISE 可以用多种属性（证书、MDM 注册状态、DHCP fingerprint）综合判断设备身份。Persistent-Device-Id 的价值在于把这件事标准化，让不同厂商的 NAD 和 RADIUS 服务器能互操作。
对网络管理员的意义
如果你在管企业网络，这份草案的核心信息是：别再等 MAC 随机化消失了，它不会消失。 现在就该做几件事。
第一，把依赖 MAC 的访问控制逐步迁移到 802.1X。特别是 MAB，能不用就不用，实在要用的设备（打印机、摄像头）尽量走 802.1X EAP-TLS。
第二，NAC 和审计系统选择支持多维设备身份的产品。未来的设备身份不会是单一字段，而是证书、GUID、指纹的组合。
第三，关注 Persistent-Device-Id 的进展。如果它成为标准，主流厂商的 RADIUS 和 NAD 都会支持，到时候迁移成本会低很多。
对于本站的用户，这个话题可能略显遥远。但它解释了一个趋势：MAC 地址正在从"设备身份证"变成"临时会话标签"，真正的身份正在上移到协议层和证书层。这也是为什么本站的查询结果越来越多地显示"未找到"——不是数据库过时了，是设备主动选择了不可被识别。