摘要

  • RFC 9797 说明，随机或变化的 MAC 地址能够切断一条直接关联路径；但账户、证书、协议特征、无线特征或其他稳定标识仍可能把多个地址时期重新连在一起。
  • MAC 地址是特定链路上的转发名称，也可以作为本地状态的索引。它本身既不是设备或用户的已认证身份，也不是授权凭据，更不能证明旧策略应继续生效。
  • 本文提出本地、最小化且会过期的“隐私—连续性收据”，把地址时期、信任场景、认证引用、策略、状态迁移、仍暴露的稳定信号和服务结果连接起来。这是 Daniel Kade 的编辑方法，不是 IETF 或 IEEE 字段。

先拆开开头那句话。“系统里有这个 MAC”最多说明某个组件在某个链路、某个时间观察到了一个地址。它没有说明地址是否被仿冒，没有说明物理终端是否相同，没有说明操作者是谁，也没有说明昨天的许可今天仍有效。

长期稳定的 MAC 曾让这些区别显得多余。DHCP 租约、门户会话、交换表项、服务质量规则、计费记录、风控限制和工单历史都可以挂在同一个键上。只要键不变，系统就像“认识”终端。等隐私机制更换地址，表面上的认识突然消失，于是随机化被视为故障源。

RFC 9797 作为 MADINAS 工作组发布的信息类 RFC，并没有规定所有设备必须采用同一种轮换频率。它描述的是随机和变化 MAC 地址对网络运营的影响，以及不同信任环境下的取舍。真正的问题不是要不要永远固定或永远变化，而是哪一种连续性确有必要、由谁决定、依据什么证据、保留多久。

转发名称只能证明转发名称

ARP、IPv6 邻居发现、DHCP 和二层转发都需要观察链路地址。MAC 在这里有明确作用：帮助当前链路把帧送往接口。把它作为查找本地记录的第一把钥匙也并非错误，错误在于让这把钥匙继承它所指向记录的保证等级。

一个终端可能因隐私策略、虚拟化、硬件更换或配置变化而使用多个地址。一个地址也可能被复制、重用或冲突。相同字符串提供了可关联性，不提供密码学认证；不同字符串表示观察发生变化，不证明主体已经更换。

因此，系统必须分别回答：当前用哪个地址转发？哪些观察可以被关联？哪一个设备或用户通过了认证？哪一版策略授予了什么权限？哪些业务状态应该延续？运行中的代码最终产生了什么结果？如果界面只有“已知设备”一个绿灯，它就掩盖了这些问题之间的矛盾。

随机化不是把原本可靠的身份破坏了。很多时候，它只是揭示原来的“身份”从未超出稳定索引。修复方向应是把必要连续性移到合适的凭据上，而不是强迫设备继续暴露不必要的链路历史。

少一条关联线，不等于没有关联线

当设备不再跨网络或长时间重复使用一个 MAC 时，观察者失去了最直接的相等匹配。对于想把多次出现连成轨迹的人，这确实提高了成本。隐私收益是真实的，但其边界必须写清楚。

设备仍可能暴露登录账户、客户端证书、应用令牌、主机名、DHCP 选项、稳定的 IPv6 标识、无线特征、流量节奏或时间—位置连续性。RFC 7217 和 RFC 8981 也提醒我们，IPv6 层同样存在稳定与临时标识的选择。只改变 MAC 而保留更高层的固定令牌，可能让设置页显示“随机化已开启”，实际关联能力却几乎不变。

评价隐私不能只问功能开关，而要问：谁在观察、要连接哪些事件、处于什么范围、还能看到哪些稳定信号。企业网络可以用经同意的设备证书恢复工作权限，这不等于它有权建立跨场景永久轨迹。公共网络可以提供短期接入而无需知道民事身份。滥用处置可以保存与事件相称的证据，而无需把每个地址变成长期档案。

反过来也一样：稳定地址不能证明同一行为者。关联性是一种能力，可能有运营价值，也可能产生隐私代价；把它叫作身份，同时夸大了证据质量、淡化了收集成本。

信任是场景关系，不是终端永久属性

RFC 9797 区分完全、选择性和零信任等环境，是因为相同地址策略不可能适合所有地方。受管企业网络可能为明确目的获得更多连续性；临时使用的场所网络只需要短期会话；尚未关联时的扫描暴露应更少。同一终端对不同已知网络也可以采取不同策略。

“完全信任”不能自动变成无限留存。“零信任”也不能成为偷偷采集更强指纹的理由。选择性信任最需要治理：明确服务目的、所需凭据、可见人员、期限和撤回路径。

可操作的单位是“地址时期”：一个地址、一个网络场景、开始和结束时间，以及该时期的目的。把本期与上一期连接起来，应被视为一个独立决定。这样既保护隐私，也帮助运维区分预期轮换、地址冲突和真正的仿冒。

状态迁移必须有意识，权限不能靠猜测复制

地址一变，多台状态机可能各自给出诚实却不一致的答案。DHCP 保留旧租约并创建新租约；无线控制器留下过期站点；门户再次要求同意；计费系统开启第二个会话；服务质量或隔离例外仍绑在旧值上；客服界面把同一终端画成两个对象。

并非所有状态都该延续。临时转发表项可以自然过期。订阅权益可以依据已认证账户重建。管理员权限应重新验证。针对用户的速率限制需要跟随适当主体，却不能永久黏在以后可能被其他设备重用的地址上。

RFC 3539 所体现的韧性思路很有用：传输或索引发生短暂变化，不必等于服务权威已经消失。DHCP、地址解析、认证、授权和计费拥有不同的时钟与证据源。把它们合并为“认识/不认识”二值，会使故障无法解释。

迁移还需要反面保护。如果新时期继承付费权益、隔离豁免或管理角色，必须证明它与有权主体之间的关系。答案不能只是“它看起来像旧 MAC”，否则系统仍把待证明的地址当作证明本身。

只保留必要连接的隐私—连续性收据

本文提出的隐私—连续性收据是本地、最小化且短期的。它先记录地址时期：网络场景、会话引用、观察到的 MAC、开始与结束时间，以及已知的轮换原因。它记录当时的信任关系，却不把该关系推广到其他网络。

随后，收据把身份与授权分开。如果存在认证过的用户或设备引用，就记录保证来源而非复制秘密；再记录策略版本、决定、作用域和到期时间。如果不存在认证证据，就明确写成不存在，绝不让 MAC 补位成为身份。

连续性部分说明哪些状态被丢弃、重建或转移：租约、门户会话、计费上下文、访问角色、速率限制或支持记录。结果部分记录运行后的有限观察，例如正常接入、重复挑战、会话重复或服务恢复。它也可说明某个高层固定标识使轮换失去隐私效果，但不应采集通用行为指纹。

最后，收据必须过期。留存期服从服务目的，而不是服从“技术上还能关联多久”。访问仅限负责该决定的团队。汇总指标可以用于改善兼容性，单个时期之间的连接不得外流为中央设备画像。

这不是新协议、RFC 字段、IEEE 要求或统一数据库。它只要求拒绝两种容易但错误的结论：“新 MAC 就是新人”和“旧 MAC 仍有旧权限”。

标准描述问题，运行事实仍需本地证明

RFC 9797 没有 IANA 行动，也不证明任何厂商、终端类型或运营商已采用特定方案。IEEE 802.11bh 讨论 802.11 中面向随机和变化 MAC 的增强服务；标准修订的存在仍不是某款产品部署或合规的证据。

IETF 可以把交互与风险写清。终端软件选择并执行地址策略。网络决定需要何种连续性。身份系统提供独立凭据。应用可能继续暴露其他稳定信号。真实代码负责删除、重建或迁移状态，而本地观察才回答服务是否成功、关联是否真的减少。

Heng Lu 关于最小初始规范、本地未来决定、自愿采用与运行代码的区分，在这里防止四类偷换：把标准文本当作部署事实，把设置当作结果，把可关联性当作身份，把历史记录当作当前授权。

长期可持续的结论不是“全部轮换”或“全部固定”。连续性是一项有边界的授予：只为明确服务保留最小连接，用与风险相称的证据建立它，观察效果，并允许它如期结束。

来源