银河麒麟V10修改MAC地址须绕过kysec拦截：图形界面克隆仅限有线且需持续在线；终端命令临时生效；永久生效必须禁用kysec后通过rc.local脚本实现。
在银河麒麟V10系统中修改网卡物理地址（MAC地址）时，若发现图形界面设置后拔掉网线就还原、终端命令重启即失效、或脚本写入后完全不生效，大概率是kysec安全机制正在拦截底层网络配置——它会静默丢弃未授权的MAC变更操作，必须按场景选择对应路径才能真正改成功。
图形界面克隆MAC地址（仅限有线连接且需持续在线）
该方法最快，适合临时办公或快速验证，但【拔掉网线或禁用有线连接后，MAC会立即恢复为硬件原始值】，无法用于断网环境或无线场景。
点击右下角网络图标 → 选择“有线网络” → 在已启用的连接右侧点击齿轮图标 → 切换到“以太网”选项卡 → 找到“克隆MAC地址”输入框。
填入目标MAC地址，格式必须为xx:xx:xx:xx:xx:xx（十六进制、冒号分隔），首字节不可为01、03、09等组播标识；第二字符建议为2、6、A或E，表示本地管理地址。
勾选“自动连接” → 点击“保存” → 断开并重连有线网络使配置生效。
终端临时修改MAC地址（重启即失效，适合调试验证）
这一步直接作用于内核网络栈，不经过NetworkManager，能快速测试新MAC是否被交换机或网关接受，但系统重启、网卡重载或NetworkManager服务重启后全部丢失。
第一步：执行ip link show或ifconfig -a，确认目标网卡名称（如ens33、enp0s3）。
第二步：关闭网卡：sudo ip link set dev [接口名] down。若跳过此步，系统会报错“Device or resource busy”。
第三步：设置新MAC：sudo ip link set dev [接口名] address aa:bb:cc:dd:ee:ff（请替换为合法十六进制地址，且首字节第二字符须为2/6/A/E，否则内核拒绝设置）。
第四步：重新启用网卡：sudo ip link set dev [接口名] up。
第五步：验证结果：ip link show [接口名] | grep link/ether，确认输出中MAC已变更。
开机自动永久修改MAC（需禁用kysec，全平台通用）
这是唯一能绕过kysec拦截、实现真正持久化的方案，适用于飞腾、龙芯、兆芯及Intel平台。kysec不关闭，任何rc.local或NetworkManager配置都会被静默丢弃。
方法一：通过/etc/rc.local启动脚本（推荐用于传统BIOS或简单部署）
编辑GRUB参数：sudo vim /etc/default/grub，将GRUB_CMDLINE_LINUX_SECURITY="audit=0 security=kysec"改为GRUB_CMDLINE_LINUX_SECURITY="audit=0 security=\"\""。
更新启动配置：sudo update-grub && sudo reboot——这一步不可跳过，否则kysec仍处于激活状态。
创建可执行脚本：sudo vim /etc/rc.local，在exit 0前插入三行（以ens33为例）：ip link set dev ens33 downip link set dev ens33 address 00:11:22:33:44:55ip link set dev ens33 up
赋予执行权限：sudo chmod +x /etc/rc.local。
