除了設置複雜 Wi-Fi 密碼，MAC 地址過濾（MAC Address Filtering）是路由器進階安全功能，能依據裝置唯一的硬體位址（MAC），精準控制「誰能連 Wi-Fi」、「誰能上網」。本文以 TP-LINK 為例（其它品牌邏輯相同），詳細講解雙重 MAC 過濾設置、防火牆聯動與避坑指南。
核心概念：兩個不同的 MAC 過濾位置
許多用戶只設了一處，導致「能連 Wi-Fi 但上不了網」或「能上網但沒連 Wi-Fi」。路由器有兩套獨立過濾：
- 「安全設置 → MAC 位址過濾」： 控制能否通過路由器訪問 Internet（廣域網）。即「拿到 IP 後能不能出大門」。
- 「無線參數/無線安全 → MAC 位址過濾」： 控制能否關聯/連接到無線網路（區域網）。即「能不能進大門連上 Wi-Fi」。
最佳實踐：兩處同時啟用、同步維護白名單，雙重保險。
步驟 1：獲取允許裝置的 MAC 位址
- 法一：路由器「裝置清單/客戶端列表/終端管理」中查看已連裝置的 MAC，直接複製。
- 法二：裝置端查看：Win `ipconfig /all`（實體位址）、Mac `ifconfig en0`、手機「設定→關於手機→狀態/硬體資訊」。格式如 `AA:BB:CC:DD:EE:FF` 或 `AA-BB-CC-DD-EE-FF`。
步驟 2：設置「安全設置 → MAC 位址過濾」（控制上網權限）
- 登入路由器管理介面，進入「安全設置」→「MAC 位址過濾」。
- 勾選「啟用 MAC 位址過濾」。
- 選擇規則模式：「僅允許名單中啟用的 MAC 位址訪問 Internet」（白名單模式，推薦），或「禁止名單中...」（黑名單，維護成本高）。
- 點擊「新增條目」，填入 MAC 位址，狀態選「啟用」，備註裝置名（如「爸爸手機」、「智能電視」）。
- 重複添加所有家庭裝置 MAC。
- 關鍵：勾選「使所有條目生效」，點擊「儲存」。
- 同頁面勾選「開啟防火牆（總開關）」，增強防護。
步驟 3：設置「無線參數 → MAC 位址過濾」（控制連接權限）
- 進入「無線設置」→「無線安全/高級設置」→「MAC 位址過濾」。
- 勾選「啟用無線 MAC 位址過濾」。
- 選擇 「禁止名單中生效規則之外的 MAC 位址訪問本無線網路」（白名單模式）。即：不在名單 = 連不上 Wi-Fi。
- 添加相同的裝置 MAC 白名單，勾選「啟用」。
- 勾選「使所有條目生效」，儲存。
步驟 4：關鍵細節與避坑指南
- 新裝置入網流程： 先暫時關閉兩處過濾/或新增 MAC 後儲存 → 裝置連線 → 確認正常 → 重新開啟過濾。切勿讓客人/新裝置嘗試連線時被擋在門外以為壞了。
- 隨機 MAC / 私人位址（iOS 14+/Android 10+）： 裝置預設開啟「使用隨機 MAC」，導致每次連線 MAC 都變，白名單失效。解決： 在裝置 Wi-Fi 設定中，針對該熱點關閉「私人位址/隨機 MAC」，或將路由器看到的隨機 MAC 加入白名單（但會變）。建議關閉隨機 MAC以利管理。
- 雙頻合一/同 SSID： 2.4G/5G 同名時，裝置 MAC 通常相同（同一張無線網卡），一條白名單覆蓋雙頻。若分頻段不同名，需確認裝置連哪個頻段，MAC 同樣適用。
- 管理密碼 ≠ Wi-Fi 密碼： 修改管理密碼後，切勿在瀏覽器勾選「記住密碼」，否則他人用您電腦即可進後台改設定。自行記牢或用密碼管理器。
- 條目失效排查： 突然某裝置上不了網/連不上 Wi-Fi，優先檢查兩處 MAC 過濾「啟用」狀態是否被誤關閉、「使所有條目生效」是否取消勾選、MAC 是否變更（隨機 MAC/換網卡/換手機）。
MAC 過濾的局限性（必須知道）
- 非絕對安全： MAC 位址可在作業系統/驅動層面輕易偽造（`macchanger`、註冊表修改、Root 手機修改）。懂技術者幾分鐘繞過。
- 管理成本高： 家庭裝置多、客人來訪、換手機、換網卡、虛擬機/容器產生虛擬 MAC，頻繁改白名單很麻煩。
- 定位： 適合「固定裝置、低技術威脅環境、輔助防蹭網」的第二道防線。第一道永遠是 WPA2/WPA3 強密碼 + 關閉 WPS + 固件更新。
總結：雙重 MAC 過濾（無線連接層 + 廣域網訪問層）+ 白名單模式 + 關閉隨機 MAC + 定期審核白名單，能有效阻擋 99% 的蹭網與誤連。但請認清其非加密機制、可偽造、高維護成本的本質，作為深度防禦體系的一環而非唯一依賴。