MAC 地址过滤是什么
MAC 过滤是在 AP 或 AC 上维护一份允许（或拒绝）列表，只有列表内的地址才能关联。它看起来直观，但在无线环境里几乎是纯登记手段：MAC 地址可以被随意修改成任意值，手机与笔记本默认开启的随机 MAC 又会让固定名单不断失效。因此它拦得住误连，拦不住有意绕过的人，不能作为安全机制使用。
基本信息
| 作用 | 按 MAC 允许或拒绝终端关联 |
|---|---|
| 弱点 | MAC 可伪造；随机 MAC 会使名单失效 |
| 运维代价 | 名单需随设备变动持续维护 |
| 合理用法 | 配合 802.1X/PSK，或用于设备登记与审计 |
| 不适用 | 作为唯一的安全防线 |
随机 MAC 带来的两难
随机 MAC 带来的两难
# 场景一：终端开启隐私地址 → 名单不断失效，合法用户被拒
# 场景二：要求用户关闭随机 MAC → 需靠终端管理策略统一下发
# 折中做法：受管 SSID 关闭随机，访客网络保持随机以保护隐私
# 备注：名单变更要有台账与审批，否则很快变成无人维护的配置典型使用场景
- 哑终端接入：打印机、摄像头等无法做 802.1X 的设备登记
- 准入辅助：与 802.1X 组合，对不支持的设备做例外登记
- 问题隔离：临时拒绝某台异常终端接入，争取处置时间
- 资产核对：把名单与资产台账比对，发现未登记的接入设备
- 访客登记：在前台登记设备的场景下作为二次核对手段
效果对照
| 使用方式 | 实际效果 |
|---|---|
| 唯一防线 | 无效，改 MAC 即可绕过，形成虚假安全感 |
| 与 802.1X 组合 | 对不支持 802.1X 的设备做补充登记，有实际价值 |
| 仅用于登记审计 | 有价值，可与资产台账交叉核对 |
| 长期无人维护 | 名单过期，合法设备被拒，反而制造故障 |
现场遇到「昨天还能连、今天连不上」且该终端近期更换过设备或系统更新，优先排查随机 MAC 与名单的冲突。
把名单当成资产台账来管理：记录设备名称、责任人、位置与有效期，过期项定期清理，避免名单无限膨胀。