linux修改mac地址本质是覆盖驱动层源地址标识而非重写硬件rom；必须严格按down→address→up三步执行，推荐02开头地址以确保单播和本地管理位正确，改后需用tcpdump验证真实发包地址，并避开networkmanager干扰。

Linux 中修改网卡 MAC 地址本质是覆盖驱动层的源地址标识，不是重写硬件 ROM。所谓“物理硬件伪装”实际是让系统对外表现成另一台设备——这在授权绑定、网络准入、测试隔离等场景很实用，但需注意合法合规与网络策略限制。

临时修改：三步必须严格执行

内核禁止在接口 UP 状态下改 MAC，否则报 Device or resource busy 或静默失败。正确顺序如下：

• 关闭接口：sudo ip link set dev eth0 down（把 eth0 换成你的真实接口名，如 enp0s31f6、wlan0）
• 设置新地址：sudo ip link set dev eth0 address 02:11:22:33:44:55（推荐以 02 开头，确保第 0 位为 0（单播）、第 1 位为 1（本地管理））
• 启用接口：sudo ip link set dev eth0 up

改完后用 ip link show eth0 | grep "link/ether" 查看是否生效。注意：此时 IP 地址可能还在用旧租约，若断网，需手动续租：sudo dhclient eth0（DHCP）或重配静态 IP。

验证是否真正生效

ip link show 只反映内核软状态，不能代表真实发包内容。关键验证步骤：

Computer Use Linux

顶级 Linux 计算机使用技能，配套独立自举运行时，无需本地 Claude 安装、私有原生模块等。

下载

• 抓一个出向包：sudo tcpdump -i eth0 -c 1 -e -n | head -1
• 检查输出首行中冒号分隔的六组十六进制数，是否与你设的完全一致
• 若 ip link 显示新值但 tcpdump 仍是旧值，说明驱动、虚拟化平台（如 AWS 的 ens5）或 hypervisor 拦截了变更，此时任何软件配置都无效

永久修改：避开 NetworkManager 干扰

NetworkManager 默认会检测并还原“非预期”的 MAC，导致你刚设好几秒就回退。两种可靠方案：

• 停用 NM 临时操作：sudo systemctl stop NetworkManager，完成修改后再 start
• 用 nmcli 持久配置：
  sudo nmcli connection modify "Wired connection 1" 802-3-ethernet.mac-address 02:11:22:33:44:55
sudo nmcli connection down "Wired connection 1" && sudo nmcli connection up "Wired connection 1"
  确认当前值用：nmcli device show eth0 | grep HWADDR（不是 ip link）

不建议直接改 /etc/sysconfig/network-scripts/ifcfg-eth0 中的 HWADDR 或 MACADDR，多数现代发行版已弃用该方式，易触发 Device has different MAC address than expected 错误。

物理伪装的边界与风险

MAC 地址可被软件层覆盖，但无法绕过以下硬性限制：

• 某些网卡驱动（如部分 Realtek RTL8168）明确禁用 MAC 修改，ip link set address 会直接报 Operation not supported
• 云平台（AWS/Azure/GCP）和企业级交换机常做 MAC 白名单或防欺骗检测，非法变更会导致出向包被丢弃
• 同一局域网内若存在相同 MAC 的设备，将引发 ARP 冲突，表现为间歇性断网、响应延迟、抓包看到重复应答
• 部分软件授权机制校验的是 BIOS + 主板 + 网卡 MAC 组合指纹，单改 MAC 不足以绕过

真正有效的硬件伪装，往往需要配合网卡更换、固件重刷或使用支持 MAC 虚拟化的 SR-IOV 设备，普通用户日常操作以软件层覆盖为主即可。