1.1 MAC 地址的结构#

1
┌─────────────────────────────────────────────┐
2
│         MAC 地址（48 位 / 6 字节）          │
3
├────────────────┬────────────────┬──────────┤
4
│  OUI（厂商代码）│ NIC（网络接口） │  LAA   │
5
│   24 位        │    24 位       │  1 位    │
6
└────────────────┴────────────────┴──────────┘
7
示例：00:1A:2B:3C:4D:5E

MAC 地址的 48 位分为两部分：

其中第一字节的最低两位有特殊含义：

LAA 位是理解 MAC 地址”不需要全球唯一”的关键。当 LAA 位为 1 时，表示这个 MAC 地址是本地分配的，不保证全球唯一。操作系统和虚拟化软件经常使用 LAA 地址。

1.2 MAC 地址的类型#

1.3 MAC 地址的分配历史#

1970 年代，Xerox PARC 的 Bob Metcalfe 发明以太网时，MAC 地址的设计初衷确实是全球唯一。IEEE（前身是 Xerox 的地址分配机构）通过 OUI 机制确保每个厂商拿到的地址前缀不重复，厂商再确保后缀不重复。

但”全球唯一”从来不是协议正确运行的必要条件，只是管理上的便利。网络协议依赖的是局部唯一性，而非全局唯一性。

2.1 局域网内的寻址#

MAC 地址是二层（数据链路层）地址，只在本地网络中有意义。交换机根据 MAC 地址转发帧，但交换机不会把帧转发到其他局域网。

2.2 为什么不需要全球唯一？#

原因：

1. MAC 地址只在本地网络使用
2. 不同局域网之间通过路由器隔离
3. 路由器会重新封装数据包，改变源/目标 MAC 地址

关键点在于路由器的隔离作用。路由器连接两个不同的局域网，它在转发数据时会：

• 剥离进入接口的以太网帧头（包含源/目标 MAC）
• 根据 IP 路由表确定出接口
• 用出接口的 MAC 作为源 MAC，下一跳的 MAC 作为目标 MAC，重新封装帧

这意味着，MAC 地址在跨网络传输的过程中被替换了。远程主机永远不会看到你的原始 MAC 地址。

3.1 ARP 的工作原理#

ARP（Address Resolution Protocol）是理解 MAC 地址作用范围的关键协议。它将 IP 地址映射为 MAC 地址，但只在局域网内工作：

注意最后一个箭头：路由器发出的帧，源 MAC 变成了路由器出接口的 MAC 地址，目标 MAC 变成了主机 B 的 MAC 地址。原始发送方主机 A 的 MAC 地址已经不存在了。

3.2 ARP 表的作用范围#

1
# 查看本机的 ARP 表
2
arp -a
3
# 输出：
4
# ? (192.168.1.1) at aa:bb:cc:dd:ee:01 on eth0
5
# ? (192.168.1.100) at 00:1a:2b:3c:4d:5e on eth0
6
# 只能看到同一局域网内的 MAC 地址
7

8
# 尝试获取远程主机的 MAC 地址
9
# 不可能！远程主机不在同一二层网络
10
# 只能获取到默认网关（路由器）的 MAC 地址

ARP 表只包含同一局域网内的 IP-MAC 映射。跨越路由器的通信，你只能解析到路由器接口的 MAC 地址，永远无法解析到远程主机的 MAC 地址。

4.1 层次对比#

4.2 为什么需要两种地址#

一个常见的问题是：既然 IP 地址已经能唯一标识主机，为什么还需要 MAC 地址？

答案是分层解耦：

• IP 地址解决的是”逻辑上的端到端寻址”（从源主机到目的主机的路径）
• MAC 地址解决的是”物理上的下一跳寻址”（从当前节点到下一个节点的链路层传输）

这就像寄信：IP 地址相当于收信人的门牌号（逻辑地址），MAC 地址相当于邮递员当前要投递的那个信箱（物理地址）。邮递员在不同投递站之间传递时，信箱号会变，但收信人的门牌号不变。

4.3 数据包转发过程中地址的变化#

IP 地址全程不变，MAC 地址每一跳都变。这是理解 MAC 地址不需要全球唯一的核心论据。

5.1 MAC 地址表#

交换机维护一张 MAC 地址表（也叫 CAM 表），记录 MAC 地址与端口的对应关系：

交换机学习 MAC 地址的过程：

1. 收到帧时，记录源 MAC 和进入端口
2. 查找目标 MAC，找到则单播转发
3. 找不到则广播到所有端口（泛洪）

这张表只关心本地端口。交换机完全不知道其他交换机或路由器后面的 MAC 地址。

5.2 MAC 地址冲突在局域网内的影响#

如果同一局域网内出现两个相同的 MAC 地址：

1
# 两台设备 MAC 相同时的现象：
2
# 1. 交换机 MAC 地址表不断翻转（同一个 MAC 在两个端口之间切换）
3
# 2. 数据包被交替发往两个端口
4
# 3. 通信间歇性中断
5

6
# 查看交换机 MAC 地址表翻转
7
# Cisco: show mac address-table dynamic
8
# Linux bridge: bridge fdb show

同一局域网内 MAC 冲突是严重问题，但跨局域网的 MAC 冲突完全无影响。这就是为什么 MAC 地址只需要本地唯一。

6.1 虚拟机和容器#

虚拟化环境下，MAC 地址冲突是个实际问题：

1
# 虚拟机的 MAC 地址可能重复
2
# VMware 的 MAC 地址范围：00:50:56:00:00:00 - 00:50:56:3F:FF:FF
3
# KVM/QEMU 的 MAC 地址范围：52:54:00:xx:xx:xx（LAA 位为 1）
4

5
# Docker 容器的 MAC 地址
6
# 默认基于容器 ID 生成
7
docker inspect --format='{{.NetworkSettings.MacAddress}}' container_id
8
# 输出：02:42:ac:11:00:02（LAA 位为 1，本地管理地址）
9

10
# 同一主机上的容器在同一个虚拟网桥上
11
# MAC 地址由 Docker daemon 保证本地唯一
12
# 不同主机的容器可以有相同 MAC（在不同虚拟网络中）

大型云环境中，虚拟 MAC 地址的数量可能超过 IEEE 分配的物理 MAC 地址空间。这时”全球唯一”根本不可能保证，但只要在同一虚拟网络内不冲突就行。

6.2 MAC 地址克隆#

1
# ISP 可能将 MAC 地址与账号绑定
2
# 更换路由器时需要"克隆"旧 MAC
3

4
# Linux 下修改 MAC 地址
5
ip link set dev eth0 down
6
ip link set dev eth0 address 00:1A:2B:3C:4D:5E
7
ip link set dev eth0 up
8

9
# 或者使用 macchanger 工具
10
macchanger -m 00:1A:2B:3C:4D:5E eth0

MAC 地址克隆证明了：MAC 地址不需要全球唯一，只需要在当前连接的网络中不冲突。你克隆的 MAC 地址可能在地球另一端的某个局域网中也存在，但只要不在同一个局域网，就完全没问题。

6.3 MAC 地址随机化：隐私保护#

现代操作系统（iOS 8+、Android 8+、Windows 10+）在扫描 WiFi 时会使用随机 MAC 地址，这是对用户隐私的保护：

1
# macOS 查看 WiFi 扫描使用的随机 MAC
2
# 系统设置 → Wi-Fi → 详细信息 → 随机 MAC 地址
3

4
# Android 的 MAC 地址随机化
5
# 设置 → 网络 → 私有 DNS → 使用随机 MAC
6

7
# 这意味着：
8
# - 同一台设备在不同 WiFi 网络中使用不同的 MAC
9
# - 全球唯一性已经被主动打破
10
# - 但每个 WiFi 网络内的 MAC 仍然是唯一的

MAC 地址随机化彻底打破了”全球唯一”的迷思。一台设备每次连接不同的 WiFi 可能使用不同的 MAC 地址，但只要在同一个接入点下不冲突，通信就正常。

6.4 网卡厂商的 MAC 地址耗尽问题#

48 位 MAC 地址空间有 2^48 = 281,474,976,710,656 个地址，看起来很多。但 IEEE 分配 OUI 时，每个 OUI 只有 2^24 = 16,777,216 个地址。一个大型网卡厂商如果每年生产 1 亿片网卡，一个 OUI 只够用不到两个月。

解决方案是：厂商可以申请多个 OUI。但这也意味着，OUI 不能唯一标识一个厂商（一个厂商可能有多个 OUI）。全球唯一性在管理层面也在被稀释。

7.1 一个完整的跨网络通信示例#

假设主机 A（192.168.1.10）要访问主机 B（10.0.0.20）：

注意步骤 4 和步骤 8 中 MAC 地址的变化。IP 地址全程不变，MAC 地址在每一跳都被替换。

7.2 用 tcpdump 观察这一过程#

1
# 在主机 A 上抓包
2
sudo tcpdump -i eth0 -e -n arp or icmp
3

4
# 输出：
5
# ARP, Request who-has 192.168.1.1 tell 192.168.1.10, length 28
6
# ARP, Reply 192.168.1.1 is-at aa:bb:cc:dd:ee:01, length 28
7
# IP 192.168.1.10 > 10.0.0.20: ICMP echo request
8
#   源 MAC: aa:aa:aa:aa:aa:aa (主机A)
9
#   目标 MAC: aa:bb:cc:dd:ee:01 (路由器)

在主机 A 上，你只能看到目标是路由器的 MAC 地址，永远看不到主机 B 的 MAC 地址。

8.1 MAC 地址过滤为什么不可靠#

很多 WiFi 路由器提供 MAC 地址过滤功能，只允许特定 MAC 地址的设备连接。但这是一个很弱的安全措施：

1
# 攻击者可以轻易绕过 MAC 地址过滤：
2
# 1. 监听网络流量，获取已授权设备的 MAC 地址
3
# 2. 修改自己的 MAC 地址为已授权地址
4

5
# 使用 aircrack-ng 套件监听
6
airodump-ng wlan0mon
7
# 可以看到所有连接设备的 MAC 地址
8

9
# 修改 MAC 地址
10
ifconfig wlan0 down
11
ifconfig wlan0 hw ether 00:1A:2B:3C:4D:5E  # 使用已授权的 MAC
12
ifconfig wlan0 up

MAC 地址过滤不可靠的根本原因：MAC 地址不是身份认证机制。MAC 地址只是二层寻址标识，可以被轻易伪造。

8.2 iptables 中的 MAC 地址过滤#

1
# 在路由器上过滤特定 MAC 地址
2
iptables -A INPUT -m mac --mac-source 00:1A:2B:3C:4D:5E -j DROP
3

4
# 注意：这只在同一局域网内有效
5
# MAC 地址不会跨路由器传递，所以这个规则只能过滤直连设备

10.1 MAC 地址不需要全球唯一的原因#

10.2 与 IP 地址的本质区别#

10.3 现实中的 MAC 地址#

核心观点：MAC 地址和 IP 地址工作在不同的网络层次，有不同的作用范围和唯一性要求。MAC 地址只在本地链路有效，跨网络通信时会被路由器替换。这是网络分层设计的经典体现。全球唯一性是管理上的便利，而非协议运行的必要条件。