Фильтрация по MAC-адресам в роутере: как работает и почему не защищает всерьёз

У каждого сетевого адаптера есть MAC-адрес, и роутер видит его в каждом принятом кадре. Функция фильтрации создаёт список адресов и правило: пускать только перечисленные (белый список) либо блокировать отдельные (чёрный список). Настройка находится в разделе безопасности беспроводной сети и позволяет добавить устройства вручную или выбрать из числа подключённых.

Принцип понятен и работает без пароля: даже если чужой человек знает ключ сети, но его адаптер не в списке, подключение отклоняется.

MAC-адрес передаётся в кадрах открытым текстом даже в защищённых сетях: он нужен, чтобы кадр дошёл до адресата, и шифрование его не скрывает. Значит, любой, кто слушает эфир, видит адреса разрешённых устройств. Установить такой же адрес на своём адаптере для опытного человека — вопрос нескольких минут; он подделывается программно в большинстве операционных систем.

Поэтому фильтрация по MAC не заменяет хороший пароль и современное шифрование, а лишь добавляет небольшой барьер против случайных подключений.

Современные операционные системы по умолчанию используют для каждой сети Wi-Fi случайный «частный» MAC-адрес: так делают iOS начиная с 14-й версии, Android начиная с 10-й и Windows при включённой опции. Смысл — затруднить отслеживание человека по адресу в разных местах.

Последствие для домашней сети: в белый список надо вносить именно тот адрес, который телефон использует для вашей сети, а не аппаратный. Если после смены настроек адрес изменился (или сеть «забыли» и подключились заново), устройство потеряет доступ. Иногда для стабильной работы приходится включать в свойствах сети использование аппаратного адреса.

Есть сценарии, где фильтр удобен: ограничить доступ ребёнка к сети по расписанию в связке с родительским контролем, выдать закреплённый адрес принтеру (DHCP-резервирование) или заблокировать конкретное устройство соседа, которое подключилось по подобранному паролю. В некоторых корпоративных сетях список адресов служит дополнительным уровнем вместе с входом по учётным записям.

Использовать его как единственную защиту нельзя. Надёжнее сочетать WPA2 или WPA3 с длинным паролем.

Сначала посмотрите MAC-адреса устройств: в Windows его показывает команда ipconfig /all в поле «Физический адрес», на Linux — ip a. Затем добавьте их в список роутера, не включая режим «разрешить только перечисленным» до тех пор, пока не занесёте все нужные устройства, иначе можно отрезать себя от сети. После включения проверьте, что новое устройство действительно не подключается. Подробнее о самих адресах — в статье про MAC-адрес.

MAC-адрес полезен и вне контекста безопасности. В DHCP-сервере роутера вы можете привязать конкретный адрес к MAC-адресу устройства: принтер, камера или сервер всегда получают один и тот же IP, что упрощает проброс портов и настройку. Эта функция не ограничивает доступ, а лишь стабилизирует адресацию.

Родительский контроль в роутерах тоже часто строится на MAC-адресах: сеть определяет устройство по адресу и применяет расписание или ограничения. Случайные частные адреса усложняют такой подход, потому что при смене адреса правило перестаёт действовать. Поэтому для устройств детей в настройках Wi-Fi лучше выбирать постоянный аппаратный адрес.

Для более надёжного разграничения используйте отдельные сети (гостевую, для «умных» устройств), а также учётные записи в режиме Enterprise, где вход привязан к пользователю, а не к адресу адаптера. MAC-фильтр останется вспомогательным инструментом.

Это мелочь, но она экономит время. Учтите ещё один момент: при смене роутера или сбросе список адресов исчезает вместе с остальными настройками, а его восстановление вручную требует времени. Поэтому вместе с копией конфигурации сохраняйте отдельную таблицу устройств с их именами и адресами, это пригодится и для DHCP-резервирования, и для разбора чужих подключений.