路由器拉黑蹭网的第二天，它换个MAC又连上了，我是这么堵的

去年在路由器后台逮到一台蹭网的安卓机，我点了禁用，看着它从设备列表里消失，心里挺踏实。第二天晚上翻设备列表，又冒出来一台陌生设备，名字带个「Xiaomi-Redmi」的前缀，MAC跟昨天那台完全不一样。我第一反应是又来一台新的，刚要再禁用，多了个心眼：进它的详情页看了眼信号强度和连接时长——满格，凌晨两点还在传东西。我家墙皮没那么神，一晚上吸引两拨蹭网的，概率太小。后来才弄明白，这两台「不同设备」是同一部手机，人家开了随机MAC，禁用等于没禁。

这事我在水星D191G上前后折腾了四天，坑主要不在拉黑本身，在「你以为拉黑了，其实只是拉黑了一件马甲」。下面把认人、堵门、防复发的顺序记下来，水星和腾达的操作位置都写清了，两家的后台我都进去点过。

先确认它真是换马甲，不是新来的

设备列表里多一台陌生设备，别急着下结论。我后来固定看三个字段，对着看基本能锁定是不是同一个人。

重点说第三行。MAC前六位是厂商编号（OUI），正常设备能查到是小米还是华为产。手机开随机MAC后，生成的地址会带「本地管理位」，前缀查不出厂商，或者查出来是个压根不存在的注册号。我在设备列表乱码那篇里提过水星后台看MAC的位置，这里主要看前缀对不对劲。还有个笨但管用的办法：把可疑设备限速到512Kbps，蹭网的人第二天自己就不来了，真被冤枉的自家人会当场跟你抱怨——比拉黑温和，还能顺带验明正身。限速的入口在水星限速那篇里写过。

认人这步别省。我邻居就在自家路由器上把儿子的手机禁用了，那孩子手机自动换了MAC重连，他爸以为踢了个贼又踢，来来回回禁了四回。家里人的手机也开随机MAC，这是系统默认行为，不是人家的错。

为什么拉黑拦不住换MAC的

我拉黑那台手机的时候，路由器记下的其实是它当时用的那个MAC。禁用规则在MAC过滤表里躺着，写的是「这个地址不许上网」。手机下次连WiFi，系统生成一个新MAC，路由器一看地址表里没有这个号，按新设备放行。等于你在门上贴了张通缉令，通缉的是一件衣服，人换件外套就进来了。

这个机制水星腾达都一样，因为MAC过滤本来就是按地址拦人的。随机MAC的原理我在这不多展开，随机MAC那篇里画过图，一句话版本：每连一个WiFi（有的系统还会定期换），系统生成一个假地址，初衷是防商家追踪，副作用是路由器的MAC类功能全部打折——过滤、绑定、限速指定设备，认的全是假地址。

知道原理就明白为什么连环拉黑没用：你禁多少件「衣服」，它就能再生成多少件。我头两天就是这么耗的，禁了三次，它回来三次，第四次我学乖了，不跟它玩换装游戏，直接换锁。

第一道防线：换密码，把门彻底关上

蹭网的前提只有一个：它手机里存着你家WiFi密码。密码不换，拉黑、限速全是治标。换密码是唯一让对方「连都连不进来」的动作，随机MAC再花哨，密码不对它就停在门口。

我的做法是直接换成16位含大小写数字符号的串，别用家里人生日拼的——蹭网的人往往认识你，生日这种「只有熟人才知道」的密码，恰恰是最先被试的。改密码的操作在手机上五分钟搞定，具体步骤照手机改水星密码那篇走。改完那阵子家里设备挨个重连，智能插座和摄像头会掉线要重配，提前有个心理准备，别改完半夜看到摄像头离线吓一跳。

改密码还有个附带好处：路由器后台的管理密码也顺手换掉。我后来翻后台登录记录才发现，那阵子后台有几次陌生IP的登录尝试，不知道是蹭网的人顺手摸的还是巧合。管理密码和WiFi密码是两套体系，后台密码忘了怎么找回，水星后台密码那篇按两代界面分开写了，都换成不重样的。

第二道防线：关WPS，这扇侧门也得锁

换完密码我没敢松，因为WPS还在开着。WPS就是路由器上那个「一键配对」，8位PIN码能在几小时内被暴力试出来，试出来之后WiFi密码改一百遍都没用，人家从侧门进。蹭网的老手专挑开着WPS的路由器下手，这不是玄学，是工具自动跑的。

水星的入口在后台「无线设置」页，有个WPS开关或叫QSS的，直接关掉。腾达的藏在「无线设置-WPS」里，同样关。两家关完都建议重启一次无线，确认开关状态是灰的。我家那台水星关WPS之后，「蹭网手机」就再没出现过——它靠的就是密码被试出来加WPS兜底，两道都锁死，换十个MAC也没用，压根到不了认证那一步。

第三道防线：认MAC的笨办法，家里设备少再考虑

家里要是设备就三五台，也不怎么来客人，可以上「主人网络保护」或MAC白名单：名单里的MAC放行，名单外一律连得上WiFi上不了网。水星在「上网控制」里，腾达叫无线MAC过滤。这是最彻底的拦法，蹭网者密码蒙对了也断在门口。

代价有俩。一是来客人得手动放行，一月来三拨亲戚的家庭用着膈应。二是家里人手机的随机MAC一换，自己也会被拦在门外，等于给自己添堵——得先去每台手机的WiFi详情里把「随机地址」改成「使用设备MAC」。苹果路径是WiFi详情里的「私有WiFi地址」开关，安卓在WiFi网络的「隐私」或「高级」里。设备十台往上、常有客人的，我劝你别上白名单，改密码加关WPS加定期翻设备列表，这三件够了。拉黑踢下线这些操作万一要用，拉黑三档那篇分得最细，误拉了怎么捞回来也写了。

收尾：我的固定巡检节奏

现在我家一个月翻一次设备列表，固定四步，五分钟的事：

设备列表进出还看不太懂的，先补翻设备列表逮蹭网那篇，认人三招讲得细。最后提醒一句：拉黑不是没用，是对「换了马甲的老熟人」没用。新设备第一次冒头，拉黑照样管用；它要第二天换MAC回来，那就是密码层面的事了，别再跟过滤表较劲，直接换锁。我那四天里最有价值的教训就这一句——工具箱里锤子好用，但这次的问题是个螺丝。