网络中多台设备MAC地址前缀异常变更，是否遭遇攻击？

结论：大概率不是攻击，更可能是设备设计或网络机制导致 #

可能的原因： #

• 隐私性MAC随机化：不少智能设备、IoT设备现在默认开启局域网MAC随机化，为了避免被追踪，会固定设备专属的后缀部分，随机生成前缀。这种功能是系统层面自带的，不需要root权限就能生效。
• 厂商未使用官方OUI：部分小厂商没向IEEE购买正式的MAC前缀（OUI），会自行用未分配的前缀段，同时保留固定后缀来区分自家设备，重启时轮换前缀可能是厂商的自定义逻辑，比如规避MAC冲突。
• 网络设备的地址转换：如果你的网关、交换机带有MAC转换功能，可能会给接入的设备分配临时前缀，重启设备时重新分配，但保留原后缀来识别设备身份。

验证方法： #

• 查设备设置：进入设备的网络配置页，找“隐私MAC”“MAC随机化”这类开关，看是否处于开启状态。
• 咨询厂商：针对有异常的设备，直接问厂商是否存在这类MAC前缀轮换的设计，确认是否为正常行为。
• 监测网络流量：用Wireshark这类工具抓包，看这些设备的流量是否有异常（比如ARP欺骗包、大量异常广播），如果流量正常，基本可以排除攻击。

攻击可能性排除： #

常见的MAC相关攻击（比如ARP欺骗）一般是伪造MAC冒充其他设备，不会有“重启后前缀变、后缀固定”的规律，而且会伴随网络异常（断网、丢包、设备无法访问）。如果你的网络没出现这类问题，攻击概率极低。

内容的提问来源于stack exchange，提问作者AndiAna