MAC地址是什么意思？和IP地址有什么区别，手机的随机MAC一次讲明白

头一回翻路由器设备列表想逮蹭网的，看到的是一串天书：64:BC:0C:8A:11:22。这是啥？后来限速失效、拉黑失灵、白名单把自己家手机拦门外，一堆怪事的根子全埋在这串字符上。它叫MAC地址，这篇我把它和IP的区别、认设备的窍门、还有随机MAC这个坑，一次说明白。

MAC是出厂身份证，IP是物业发的门牌

一个设备上网，身上揣着两个号。IP地址是门牌，192.168.31.108这种，由路由器的DHCP统一发放，号码是租给你的，租约到期、换个网段、重连一次，号就可能变。谁在发号、发多久，我在DHCP那篇里写过。

MAC地址是身份证。12个十六进制字符，写成6组，比如64:BC:0C:8A:11:22，出厂时烧在网卡芯片里。手机一个WiFi网卡一个MAC，蓝牙又是另一个，台式机插个网卡就多一个号。理论上全球唯一——IEEE给每家芯片厂商划一段号段，厂商往芯片里写的时候不许重号。

搬家换个比喻就懂了：人搬家，门牌换了，身份证号不换。我家路由器从192.168.31网段挪到192.168.1网段，手机IP从31.108变成1.112，但它在路由器里的限速规则还跟着走——因为路由器记的不是门牌，是身份证。

一串MAC怎么认设备：前六位是厂商暗号

MAC前6位字符叫OUI，是IEEE发给厂商的号段，等于姓氏。64:BC:0C开头的基本是小米系设备，A4:C1:38常见于乐鑫的物联网芯片，扫地机摄像头里一抓一大把。设备列表里那串厂商名，路由器就是拿前六位查表查出来的。想自己查，把前六位丢进macvendors.com这种查询页，回车就出厂商。

认蹭网的时候这招很好使。我在这台水星的设备列表文里写过认人三招，头一招就是查厂商：列表里十几台设备，厂商对得上家里家当的划走，剩下查不出厂商、又不眼熟的，重点盘问。

再教一个更快的野路子：看第二位字符。如果是2、6、A、E当中的一个，这个MAC不是出厂烧的真号，是系统随机生成的「本地地址」——十有八九是开了随机MAC的手机。比如我列表里那台72:3A:1C开头的老是查不出厂商，后来发现是丈母娘的OPPO开着「私有地址」。反过来，第二位是0、4、8、C的，基本是厂商真号。这一个字符，比查半天厂商省事。

路由器为什么认MAC不认IP：绑定限速拉黑全看它

路由器里所有「按设备」生效的功能，底层锚点全是MAC。道理很简单：IP会漂，MAC不会。断电重连、租约到期，IP说变就变；只要你别开随机MAC，MAC就是这台设备终身不换的记认。

静态绑定是把MAC和IP拴死，打印机、NAS、摄像头必做，不然端口转发隔三差五指错机器，绑定的做法单独写过一篇。限速是按MAC限，电视盒子抢带宽限它50兆下行。拉黑、禁用也是按MAC关门。包括儿童管控圈设备，圈的还是MAC，小米家长控制那篇我踩过的重复设备坑，就是MAC闹的。

这也解开了我早年的一个困惑：换了新路由器，黑名单里的贼怎么又进来了？因为规则存在旧路由器的存储里，跟机器不跟人。设备还是那个设备，MAC没变，但名单留在旧机器里没带过来。

随机MAC：手机厂商的好心，路由器功能的克星

先说厂商为什么这么干。2019年之前，你手机连过的每个WiFi，都能记下你的真MAC。商场、门店埋个探针，你逛街的路线、来的频率、在哪家店门口站了十分钟，全靠这个号串起来。MAC不变，等于身份证号印在脑门上逛街。所以Android 10和iOS 14起，手机连WiFi默认改用随机生成的假MAC，探针记的号当场作废。这功能本身是好事。

但很多人对它有个误解：以为随机MAC是每连一次换一个。不是。它是每个WiFi网络配一个固定的随机MAC——连你家是一个假号，连公司是另一个假号，各自稳定用下去。只有你把这个网络「忘记」重连，或者恢复出厂设置，它才换新号。所以随机MAC坑人的方式不是「天天换」，而是「你以为它是A，它其实是B」。

坑起来全家遭殃：限速限的是旧马甲，人家用新马甲照样跑满，限速失效的排查里这是头号原因；白名单一开，自己家换过马甲的手机先被拦在外面；家长控制圈了半天，孩子设备换个身份照玩不误；DHCP地址池还被这些「新设备」慢慢吃号。

开关怎么选，我的做法一句话：家里的网络，改成「使用设备MAC」；外面的WiFi，保持随机。家里有绑定、限速、家长控制、白名单这些按MAC吃饭的功能，随机MAC就是内鬼，到手机的WiFi详情页里，点开当前网络的详情，把「随机MAC/私有地址」关掉，改用设备MAC，从此这台手机在你家永远一个号。连商场、连酒店，随机开着，防的就是探针。摄像头、扫地机这类物联网设备用的基本都是真号，不受这事影响。

MAC能改写：过滤防不住贼，克隆能救拨号

说MAC烧死在芯片里，其实系统层面能改写。这一条带来两个后果，一好一坏。

坏的是MAC过滤防不住懂行的贼。路由器里的「MAC过滤/白名单」，原理是只放行名单内的MAC。可蹭网的人真要下功夫，能把自己电脑的MAC伪造成你名单里的号，门就开了。所以MAC过滤挡君子不挡小人，防蹭网的正路永远是16位强密码加关WPS，防蹭网那篇的立场至今没变。

好的是MAC克隆能救拨号。有些运营商装机时，把宽带账号和第一台拨号设备的MAC绑死了，你换台新路由器，怎么拨都是「服务器无响应」。解法就是把新路由器的MAC克隆成旧设备的MAC，运营商那边一看还是「老熟人」，放行。操作在网络参数的MAC地址克隆页，四步搞定，错误码那篇里写得细。

对号入座：你遇到的事，多半是MAC在作妖

把上面这些收成一张表，遇到怪事先对号：

收尾给个顺序：第一步，进设备列表，把家里每台设备的MAC认一遍，顺手看第二位，真号假号心里有账；第二步，家里有按MAC的功能的，挨个设备关掉随机MAC，一次性把内鬼清了；第三步，限速绑定失效的，按上面的表对号处理；第四步，换机拨不上号的想MAC克隆；第五步，防蹭网别指望MAC过滤，把密码升到16位、WPS关掉，比什么名单都硬。MAC这东西，平时看不见，出了事全是它——花十分钟认清它，值。