nmcli 无法实现每次连接都随机生成新 mac，因其 cloned-mac-address 仅支持静态值或有限关键字（如 random 仅在激活时生成一次且可预测）；真防二层嗅探需结合 ip link set、networkmanager dispatcher 脚本及禁用自动 mac 管理。
不能直接用 nmcli 实现“每次连接都随机生成新 MAC”——它只支持静态克隆或固定值，不提供运行时随机化逻辑。真要防二层嗅探，得靠脚本+系统级配合，nmcli 只负责落地配置。
为什么 nmcli 的 cloned-mac-address 不等于“随机化”
nmcli connection modify $name 802-3-ethernet.cloned-mac-address 接收的是一个确定字符串，比如 00:11:22:33:44:55 或预设关键字 preserve/random/stable。但注意：
-
random是 NetworkManager 1.26+ 才支持的选项，且仅在连接激活时生成一次（不是每次重连都变），且生成规则受connection.stable-id影响，实际可预测性高 -
stable更偏向“同一设备每次连同一网络时用相同 MAC”，反而削弱随机性 - 所有这些模式都不触发内核级重随机，也不隔离不同网络间的 MAC 复用风险
真正能防二层嗅探的临时 MAC 随机化流程
必须绕过 nmcli 单点控制，组合使用：ip link set + 启动脚本 + 连接钩子。关键点：
- 网卡必须先
down才能改 MAC，否则报错RTNETLINK answers: Device or resource busy - 推荐用
ip link set dev $ifname address $(openssl rand -hex 3 | sed 's/../&:/g; s/.$//')生成后三段随机（前缀保留厂商段更安全，如00:1a:c2:$(...)） - NetworkManager 默认会覆盖手动设置的 MAC，所以得关掉它的自动管理：加
nmcli connection modify $name 802-3-ethernet.mac-address（留空）并设802-3-ethernet.cloned-mac-address preserve，再禁用 MAC 同步：nmcli connection modify $name ethernet.mac-address 00:00:00:00:00:00（无效占位） - 把随机赋值命令写进
/etc/NetworkManager/dispatcher.d/01-random-mac，并在脚本开头加if [ "$2" = "up" ]; then判断阶段，避免 down 时误操作
nmcli 配合随机化的最小可行配置
如果你坚持用 nmcli 主导，只能做到“每次重启后首次连接用新 MAC”，步骤如下：
- 生成随机值存入变量：
NEW_MAC=$(printf '%02x:%02x:%02x:%02x:%02x:%02x' $((RANDOM%256)) $((RANDOM%256)) $((RANDOM%256)) $((RANDOM%256)) $((RANDOM%256)) $((RANDOM%256))) - 写入连接配置：
nmcli connection modify "System eth0" 802-3-ethernet.cloned-mac-address "$NEW_MAC" - 强制重载并激活：
nmcli connection reload && nmcli connection up "System eth0" - ⚠️ 注意：该 MAC 在连接生命周期内固定，断连重连不会刷新；若需每次重连都变，必须用 dispatcher 脚本监听
pre-up阶段并调用ip link set
最易被忽略的一点：ARM 设备或嵌入式板卡上，BIOS/Bootloader 层可能硬编码了 MAC，ip link set 无法覆盖——这时得提前在 initramfs 或 u-boot 环境里做随机写入，nmcli 根本没机会介入。
