как сломать случайный MAC-адрес?

Я возвращаюсь к этой теме из прошлого, потому что продолжаю натыкаться на ту же проблему: как распознать и справиться с рандомизированными MAC-адресами. Я использую MAC-адреса устройств не из-за безопасности, а просто чтобы понимать, какое устройство какое, если нужно помочь с настройкой или разобраться с сетевыми проблемами, вызванными конкретным устройством. Эти случайные MAC-адреса меня просто выводят из себя. Я нашёл вот эту статью: https://community.cisco.com/t5/security-knowledge-base/random-mac-address-how-to-deal-with-it-using-ise/ta-p/4049321 В ней объясняется, что если в первом байте MAC-адреса нулевой бит равен нулю, а первый бит – единице, это признак того, что MAC-адрес рандомный. Хотел бы попробовать это на практике, но понятия не имею, как использовать эту информацию, чтобы DHCP блокировал MAC-адреса, если они распознаны как рандомные.

Хм, мне удалось написать скрипт, который срабатывает при выдаче DHCP-адреса {
  :log info "DHCP сработал";

  :if ($leaseBound = 1) do={

     :log info "Аренда адреса получена";

     :do {
       :local Comment [/ip dhcp-server lease get value-name=comment number=[/ip dhcp-server lease find address=$leaseActIP]];
      }

     :local FirstByte [:pick $leaseActMAC 1 2 ];

     :local FirstByteHex "0x$FirstByte";

     :local FirstByteNum [:tonum $FirstByteHex];

     :local StatusBytes ($FirstByteNum&0x3);

     :local MessageText "IP: $leaseActIP MAC: $leaseActMAC Имя: $"lease-hostname" Комментарий: $Comment";

     log info $MessageText;
     log info "Первый байт: $FirstByte $FirstByteHex";

    :log info $StatusBytes;

    :if ($StatusBytes = 2) do={
       :log info "Случайный MAC!!!!";
    }

   }
} Думаю, дальше будет проще: поменять аренду на статическую, добавить комментарий и заблокировать доступ. Было бы идеально, если бы я мог уведомить клиента, что использование случайного MAC запрещено, но, похоже, это довольно сложно реализовать.

Это почти то, чем я сейчас занимаюсь. Неизвестным MAC-адресам назначаются динамические IP из отдельного диапазона. Известным MAC-адресам я вручную назначаю статические IP. Я искал способ отделить настоящие аппаратные MAC-адреса от случайных виртуальных. Думаю, это сработает. Это позволяет мне решать, что с ними делать. По крайней мере пока, если я смогу просто помечать случайные MAC-адреса в комментариях, это будет большой помощью. Сейчас меня раздражает, что по какой-то причине скрипт неправильно читает существующие комментарии. Я просто получаю пустые строки.

У меня нет проблем с локально назначенными MAC-адресами, так как для входа в Wi-Fi требуется WPA2/EAP (Enterprise), и единственное, что имеет значение — это UserID, а не MAC-адрес. RADIUS-сервер — User Manager, и информация о userid хранится в атрибуте «Mikrotik-Wireless-Comment», который виден в таблице регистрации на AP и в Dude. Пользователь в User Manager добавляется в группу UM для правил очереди и файрвола. У группы есть атрибуты «Mikrotik-Address-list». Change of Authorization (CoA) иногда не работает даже с Mikrotik AP (сообщение об ошибке: «NAS не отвечает / NAS перезагружен / Disconnect NAK / …»).

Есть идеи, почему команда :local Comment [/ip dhcp-server lease get value-name=comment number=[/ip dhcp-server lease find address=$leaseActIP]] всегда возвращает пустую строку?

Это работает у меня: { :local Comment [/ip dhcp-server lease get [/ip dhcp-server lease find address=a.b.c.d] comment]; :put $Comment; }