MAC 认证为什么会失败
MAC 认证（MAB，MAC Authentication Bypass）让 AP 或交换机把终端 MAC 当用户名和密码去 RADIUS 查，命中白名单就放行，常用于打印机、摄像头、IP 电话这类装不了 802.1X 客户端的设备。失败几乎都发生在「比对的字符串对不上」：书写格式不同、终端开了随机 MAC、登记的还是旧网卡，或者 MAC 压根没入库。它是弱标识，不能当强认证用。
基本信息
| 全称 | MAB（MAC Authentication Bypass） |
|---|---|
| 执行设备 | 无线 AP/AC、接入交换机 |
| 比对对象 | 终端真实 MAC ↔ RADIUS 或本地白名单 |
| 常见书写 | aabb.ccdd.eeff / AA:BB:CC:DD:EE:FF / AA-BB-CC-DD-EE-FF |
| 安全强度 | 弱（MAC 可伪造），只作补充手段 |
典型使用场景
- 打印机、IP 电话、摄像头等无 802.1X 客户端的设备接入
- 802.1X 失败时的兜底：先试证书，不中再走 MAB
- 访客或临时设备按 MAC 做限期白名单
- IoT 批量入网时用 OUI 前缀做粗粒度管控
- 排查「换了网卡或主机后突然连不上」
核对步骤
核对步骤
# 1 从 AP 客户端表或抓包取终端报文的真实源 MAC
# 2 与 RADIUS/白名单逐字符比对，统一成小写无分隔符
# 3 确认终端未开启「随机硬件地址」（Win/Android 默认开启）
# 4 看 RADIUS 日志的 Access-Reject 原因属性，别只看成败失败对照
| 现象 | 常见原因 | 处理 |
|---|---|---|
| 同类设备全部失败 | 白名单未加载或规则写错 | 核对 RADIUS 用户文件与匹配规则 |
| 单台失败 | 格式不一致或录错一位 | 统一格式后重新登记 |
| 昨天好今天坏 | 终端启用了随机 MAC | 关闭随机化或按随机段登记 |
| 换网卡后失败 | MAC 变化未重新登记 | 重新采集并更新白名单 |
Windows 10/11、Android、iOS 默认对每个 SSID 使用随机 MAC，这是 MAC 认证「莫名失效」的头号来源；企业网通常要求受管终端关闭随机化，改用 802.1X 证书认证。
MAB 应与 802.1X 组合：证书不中再走 MAB 兜底，并对 MAB 放行的终端单独划分 VLAN、单独限速，避免一台伪造 MAC 的机器直接拿到内网权限。