Linux修改MAC地址本质是覆盖驱动层源地址标识而非重写硬件ROM；必须严格按down→address→up三步执行，推荐02开头地址以确保单播和本地管理位正确，改后需用tcpdump验证真实发包地址，并避开NetworkManager干扰。
Linux 中修改网卡 MAC 地址本质是覆盖驱动层的源地址标识，不是重写硬件 ROM。所谓“物理硬件伪装”实际是让系统对外表现成另一台设备——这在授权绑定、网络准入、测试隔离等场景很实用，但需注意合法合规与网络策略限制。
临时修改：三步必须严格执行
内核禁止在接口 UP 状态下改 MAC，否则报 Device or resource busy 或静默失败。正确顺序如下：
-
关闭接口：
sudo ip link set dev eth0 down（把eth0换成你的真实接口名，如enp0s31f6、wlan0） -
设置新地址：
sudo ip link set dev eth0 address 02:11:22:33:44:55（推荐以02开头，确保第 0 位为 0（单播）、第 1 位为 1（本地管理）） -
启用接口：
sudo ip link set dev eth0 up
改完后用 ip link show eth0 | grep "link/ether" 查看是否生效。注意：此时 IP 地址可能还在用旧租约，若断网，需手动续租：sudo dhclient eth0（DHCP）或重配静态 IP。
验证是否真正生效
ip link show 只反映内核软状态，不能代表真实发包内容。关键验证步骤：
- 抓一个出向包：
sudo tcpdump -i eth0 -c 1 -e -n | head -1 - 检查输出首行中冒号分隔的六组十六进制数，是否与你设的完全一致
- 若
ip link显示新值但tcpdump仍是旧值，说明驱动、虚拟化平台（如 AWS 的ens5）或 hypervisor 拦截了变更，此时任何软件配置都无效
永久修改：避开 NetworkManager 干扰
NetworkManager 默认会检测并还原“非预期”的 MAC，导致你刚设好几秒就回退。两种可靠方案：
-
停用 NM 临时操作：
sudo systemctl stop NetworkManager，完成修改后再start -
用 nmcli 持久配置：
sudo nmcli connection modify "Wired connection 1" 802-3-ethernet.mac-address 02:11:22:33:44:55sudo nmcli connection down "Wired connection 1" && sudo nmcli connection up "Wired connection 1"
确认当前值用：nmcli device show eth0 | grep HWADDR（不是ip link）
不建议直接改 /etc/sysconfig/network-scripts/ifcfg-eth0 中的 HWADDR 或 MACADDR，多数现代发行版已弃用该方式，易触发 Device has different MAC address than expected 错误。
物理伪装的边界与风险
MAC 地址可被软件层覆盖，但无法绕过以下硬性限制：
- 某些网卡驱动（如部分 Realtek RTL8168）明确禁用 MAC 修改，
ip link set address会直接报 Operation not supported - 云平台（AWS/Azure/GCP）和企业级交换机常做 MAC 白名单或防欺骗检测，非法变更会导致出向包被丢弃
- 同一局域网内若存在相同 MAC 的设备，将引发 ARP 冲突，表现为间歇性断网、响应延迟、抓包看到重复应答
- 部分软件授权机制校验的是 BIOS + 主板 + 网卡 MAC 组合指纹，单改 MAC 不足以绕过
真正有效的硬件伪装，往往需要配合网卡更换、固件重刷或使用支持 MAC 虚拟化的 SR-IOV 设备，普通用户日常操作以软件层覆盖为主即可。
