NetworkManager 支持原生 MAC 随机化，通过配置 cloned-mac-address=generate 可实现每次连接生成新随机 MAC，需清空 802-3-ethernet.mac-address 并重启连接验证生效。
在不安全局域网中，用随机 MAC 地址可降低设备被持续追踪的风险。nmcli 本身不生成随机值，但能配合系统策略启用「每次连接时自动使用新随机 MAC」——这是 NetworkManager 提供的原生隐私保护机制，无需手动计算或脚本干预。
确认 NetworkManager 支持并启用 MAC 随机化
NetworkManager 1.22+ 默认支持该功能，但需显式开启。检查当前配置：
- 运行 cat /etc/NetworkManager/conf.d/*.conf 2>/dev/null | grep -A5 -B5 random，看是否已有
mac-address-randomization设置 - 若无，新建配置文件：sudo tee /etc/NetworkManager/conf.d/10-mac-randomize.conf [device]
wifi.scan-rand-mac-address=yes
[connection]
ethernet.cloned-mac-address=generate
wifi.cloned-mac-address=generate
EOF - 保存后重启服务：sudo systemctl restart NetworkManager
为特定有线连接单独启用（推荐）
避免全局影响，更稳妥的做法是只对目标连接启用随机化：
- 先查出连接名：nmcli connection show，找到你要保护的有线连接（如 Wired connection 1）
- 设置 MAC 行为：nmcli connection modify "Wired connection 1" ethernet.cloned-mac-address generate
- 禁用固定 MAC 绑定（关键）：nmcli connection modify "Wired connection 1" 802-3-ethernet.mac-address ""
- 重载连接：nmcli connection down "Wired connection 1" && nmcli connection up "Wired connection 1"
验证是否生效
每次连接后，MAC 应变化且符合规范（多播位清零、本地管理位置 1）：
- 连接后立即查接口 MAC：ip link show eth0 | grep link/ether
- 断开再重连，对比两次输出是否不同
- 合法随机 MAC 示例：以 02:、06:、0a:、0e: 开头（第二字节为偶数，最低位为 0，次低位为 1）
注意事项与常见问题
某些场景下随机化可能失效，原因和解法如下：
- 连接失败提示 “permanent MAC address doesn't match”：说明配置仍绑定原始 MAC。执行 nmcli connection modify "xxx" 802-3-ethernet.mac-address "" 清空硬编码 MAC
-
重启后恢复原 MAC：确保没在
/etc/sysconfig/network-scripts/ifcfg-*或 systemd-networkd 配置中静态写死 HWADDR -
企业网络禁止随机 MAC：部分 802.1X 认证或 DHCP 绑定依赖固定 MAC，此时不应启用；可改用
preserve模式替代generate
