波仔
📡 第六章 高速普及的无线LAN及其基础知识
📄 一句话概括

MAC 白名单是最常见的「接入控制」，也是最容易被绕过的一种。 它挡的是「不知道名单存在的人」，不是「想进来的人」。

📝 本节和前面几节的关系

上一节讲关联（怎么连），这一节讲「谁能连」。 注意「接入控制」与「认证」不是一回事：前者看「设备」，后者看「人」。

一、MAC 地址是明文发的

每一帧的头部都带源 MAC 与目的 MAC，而且不加密。 所以「拿到某个合法设备的 MAC」只需要一张支持监听模式的网卡。

然后改自己的 MAC：Linux 上一条命令，Windows 上改注册表或设备属性。 整个过程不到一分钟，不需要任何工具。

所以 MAC 白名单的安全强度，等价于「一个大家都知道的口令」——因为它不是秘密，只是「没说出口」。 而一旦有人抓过一次包，它就等于公开了。

二、维护成本随规模暴涨

白名单的真正问题不是安全，是运维：每台新设备要登记、每台换机要改、每台报废要删。

规模 录入工作量 变更频率

30 台 半小时 每月一两台 300 台 一天 每周十几台 3000 台 一周以上 每天几十台

而流程一旦成为瓶颈，就会出现「先全放开、回头再补」——于是白名单名存实亡，但「我们有白名单」这句话还在。 这种「有制度但没执行」的状态，比没有制度更危险，因为它会让人误以为这一层是有效的。

三、正确用法是「加一层」

白名单不是不能做，是不能「单独做」：

与 802.1X 一起用：先认证身份（人），再核对设备（MAC 或证书）。 两个条件都满足才放行。 这时白名单的作用是「防止合法用户带自己的私设备进来」。

与「端口安全」一起用：有线侧同样适用，原理一样，强度也一样（弱）。

只在「设备固定、数量少、位置固定」的场景单独用：打印机、摄像头、门禁读头。 这些设备不换、不动、也不会被带出去，白名单维护成本低，而「被冒用」的风险也低。

一句话结论：MAC 白名单是「管理工具」，不是「安全机制」。 把它当安全机制用，得到的是一份「看起来很严」的文档，和一条「其实很松」的网络。

四、动手 Demo：MAC 白名单为什么只是「心理安慰」

这段说明 MAC 地址是明文发的、改成别人的 MAC 只要一分钟，再按三种规模算白名单的录入与变更工作量。

rows = [
    (u"30 台", u"半小时", u"每月一两台"),
    (u"300 台", u"一天", u"每周十几台"),
    (u"3000 台", u"一周以上", u"每天几十台"),
]

实跑输出：

--------------------------------------------------------------------
MAC 白名单为什么只是「心理安慰」
--------------------------------------------------------------------
**「只允许名单上的设备连」听起来很安全，但它挡的是「不知道名单存在的人」。**

**第一件事：MAC 地址是明文发的。**
  每一帧的头部都带源 MAC 与目的 MAC，不加密。
  用一张支持监听模式的网卡，几秒钟就能收集到一屋子 MAC。
  然后在系统里改成那个 MAC 就行——这只需要一条命令。

**第二件事：维护成本随规模暴涨。**

  设备数      手工录入     换机频率
  ---------------------------------------
  30 台       半小时       每月一两台
  300 台      一天         每周十几台
  3000 台     一周以上     每天几十台

**算 300 台设备的场景**：**每周十几台换机，每台要走「登记 MAC、录进系统、通知本人」三步。**
**这不是技术问题，是流程问题——而流程一乱，就会有人图省事「干脆先全放开」。**

**所以白名单的正确用法是「加一层」，不是「当唯一防线」**：
  与 802.1X 一起用（先认证身份，再核对设备）。
  与「端口安全」一起用（有线侧同样适用）。
  只在「设备固定、数量少」的场景单独用，比如打印机、摄像头。

「MAC 是明文发的」这一条是全部问题的根源：它不是「难猜」，是「广播」。 所以 MAC 白名单的安全性，取决于「有没有人抓过包」，而这对一个想进来的人来说，是最低门槛。

注意「300 台要一天」这个数：它说明白名单的瓶颈在「流程」而不是「技术」。 而流程一旦成为瓶颈，实际执行就会打折扣——这才是白名单在真实网络里失效的方式。

最后那句「管理工具不是安全机制」是本节的落点： 它在很多场景都适用——凡是「靠隐蔽」的措施，都是管理手段，而「靠数学」的措施（加密、证书）才是安全机制。

30 秒实验

  1. 查一下你单位有没有 MAC 白名单，它的变更流程走几步。
  2. 在 Linux 上试一下改 MAC 需要几条命令。
  3. 想一想：为什么打印机适合用白名单，笔记本不适合？

常见误区

  1. 以为 MAC 白名单能防住入侵。MAC 明文广播，改一下就行。
  2. 以为白名单越严越好。流程一卡，实际执行就会打折扣。
  3. 以为「有白名单」就等于「有控制」。制度与执行是两件事。
自测三问（点开对答案） 1. MAC 白名单为什么容易被绕过？ —— MAC 地址在每帧头部明文发送，抓到后改自己的 MAC 即可。 2. 白名单的真正瓶颈是什么？ —— 运维流程：录入、变更、删除都靠手工，规模一大就跟不上。 3. 白名单适合什么场景单独使用？ —— 设备固定、数量少、位置固定的场景，如打印机、摄像头。

下一节：从「看设备」进到「看人」——认证的演进。

相关笔记