Sieć z MAC filtering nie przepuszcza urządzenia

Sieć z filtrowaniem MAC nieprzepuszczająca urządzenia wskazuje na brak dodania adresu sprzętowego karty do listy dozwolonych na routerze.

Sieć z MAC filtering nie przepuszcza urządzenia – czym jest problem

Sieć z MAC filtering nie przepuszcza urządzenia wtedy, gdy punkt dostępowy lub router kontroluje dostęp na podstawie adresu sprzętowego interfejsu sieciowego i nie rozpoznaje podłączanego sprzętu jako dozwolonego. Adres MAC jest identyfikatorem przypisanym do karty Wi-Fi albo karty Ethernet. Nie jest to hasło do sieci, adres IP ani nazwa komputera. W typowej konfiguracji router otrzymuje informację o próbie połączenia, odczytuje adres MAC i porównuje go z listą ustaloną przez administratora. Jeżeli wpisu brakuje, urządzenie może nie uzyskać dostępu mimo prawidłowego hasła.

W praktyce objawy bywają różne. Sieć może być widoczna na liście, lecz połączenie kończy się komunikatem o braku możliwości dołączenia. Czasem urządzenie łączy się z punktem dostępowym, ale nie otrzymuje adresu IP. Innym razem dostęp działa tylko przez pewien czas, a po zmianie ustawień karty albo aktualizacji systemu połączenie przestaje być możliwe. Sam fakt, że inne komputery i telefony korzystają z tej samej sieci, nie wyklucza filtrowania MAC. Lista może obejmować wyłącznie wybrane urządzenia, a nowe wyposażenie pozostaje odrzucane.

Ograniczenie może być ustawione w trybie listy dozwolonych albo listy blokowanych. W pierwszym wariancie wpuszczane są tylko adresy wpisane przez administratora. W drugim większość urządzeń ma dostęp, z wyjątkiem tych, które zostały wskazane jako niepożądane. Dla osoby korzystającej z sieci oba przypadki mogą wyglądać podobnie, dlatego potrzebne jest sprawdzenie konfiguracji routera oraz komunikatów widocznych na urządzeniu.

Adres MAC a filtrowanie urządzeń w sieci

Adres MAC jest zwykle zapisywany jako sześć par znaków szesnastkowych, na przykład w formie z dwukropkami lub myślnikami. Każdy interfejs może mieć własny adres, dlatego komputer z kartą Wi-Fi i połączeniem przewodowym nie musi być widziany przez router jako jedno urządzenie. Wpisanie adresu karty Ethernet nie umożliwi dostępu przez Wi-Fi, a dodanie adresu Wi-Fi nie rozwiąże problemu z przewodem sieciowym. Z tego powodu przed zmianą ustawień trzeba ustalić, który interfejs jest faktycznie używany.

Trudność może wynikać także z prywatnego adresu sprzętowego. Współczesne systemy operacyjne potrafią stosować losowanie albo zmianę adresu MAC dla określonej sieci bezprzewodowej. Mechanizm ten ogranicza możliwość śledzenia urządzenia w różnych miejscach, lecz w sieci z ręcznie utrzymywaną listą dozwolonych adresów może spowodować odrzucenie połączenia. Router widzi wtedy inny identyfikator niż ten, który został wcześniej dodany przez administratora. W takiej sytuacji sprawdza się ustawienie prywatnego adresu dla konkretnej sieci i porównuje je z wpisem w panelu routera.

Nie należy mylić filtrowania MAC z kontrolą dostępu opartą na haśle, zabezpieczeniem WPA lub WPA2/WPA3, izolacją klientów oraz kontrolą rodzicielską. Każdy z tych mechanizmów działa na innym etapie. Błędne hasło zwykle prowadzi do odrzucenia uwierzytelnienia. Filtrowanie MAC może odrzucić urządzenie jeszcze przed uzyskaniem pełnego dostępu, nawet gdy hasło jest poprawne. Izolacja klientów pozwala na połączenie z siecią, ale może uniemożliwić kontakt z innymi urządzeniami. Rozróżnienie objawów ułatwia znalezienie właściwej przyczyny.

Warto również sprawdzić, czy wpis na liście nie zawiera liter pomylonych z cyframi, dodatkowych spacji albo nieprawidłowego separatora. Jeden znak wystarczy, aby router potraktował adres jako obcy. Część urządzeń pozwala wybrać sprzęt z listy aktywnych klientów i dodać go bez ręcznego przepisywania identyfikatora. Takie rozwiązanie ogranicza ryzyko pomyłki, ale nadal wymaga potwierdzenia, że wybrano właściwą kartę sieciową.

Sieć z filtrowaniem MAC i typowe przyczyny odrzucenia

Najczęstszą przyczyną jest brak aktualnego wpisu na liście dozwolonych. Dotyczy to nowych komputerów, wymienionych kart Wi-Fi, urządzeń po przywróceniu ustawień fabrycznych oraz sprzętu, który wcześniej korzystał z innego profilu sieciowego. Wymiana płyty głównej lub modułu bezprzewodowego również może sprawić, że pojawi się nowy adres MAC, mimo że nazwa komputera i system pozostały takie same.

Drugim źródłem kłopotów bywa aktywna funkcja losowania adresu. Jeżeli system tworzy inny identyfikator przy każdym połączeniu albo przy każdym profilu, ręczne dopisanie jednego adresu może nie wystarczyć. Trzeba ustalić, czy dla danej sieci ma być używany adres stały, prywatny czy zmienny, a następnie dopasować ustawienia po obu stronach. Nie powinno się wyłączać mechanizmu ochronnego bez sprawdzenia, w jaki sposób jest używana sieć i kto nią zarządza.

Możliwe jest także zastosowanie filtrowania na więcej niż jednym urządzeniu. W mieszkaniu może działać główny router oraz dodatkowy punkt dostępowy, wzmacniacz sygnału albo urządzenie dostawcy internetu. Każde z nich może posiadać własną listę kontroli. Dodanie adresu do jednego panelu nie zawsze zmieni zachowanie pozostałych elementów. Należy ustalić, z którym urządzeniem łączy się komputer i gdzie rzeczywiście podejmowana jest decyzja o dopuszczeniu.

Problem może pojawić się po zmianie nazwy sieci, odtworzeniu kopii konfiguracji lub aktualizacji oprogramowania routera. Ustawienia mogą zostać zastąpione wcześniejszą wersją, a lista urządzeń może zostać skrócona albo przeniesiona do innej sekcji. Czasem filtr działa tylko dla pasma 2,4 GHz lub wyłącznie dla pasma 5 GHz. Wtedy urządzenie może być dostępne po zmianie miejsca albo połączeniu z innym punktem, co utrudnia rozpoznanie przyczyny.

Jak sprawdzić sieć z MAC filtering bez pogłębiania problemu

Na początku warto zanotować dokładny komunikat wyświetlany przy próbie połączenia oraz ustalić, czy sieć jest widoczna. Następnie należy sprawdzić, czy inne urządzenia łączą się z tym samym punktem dostępowym. Jeżeli działa tylko sprzęt znajdujący się na wcześniej przygotowanej liście, podejrzenie filtrowania staje się uzasadnione. Przydatne jest także sprawdzenie, czy problem występuje zarówno przez Wi-Fi, jak i przez przewód, ponieważ każdy interfejs może mieć inny adres.

Adres karty można odczytać w ustawieniach połączenia sieciowego, w szczegółach aktywnego interfejsu albo za pomocą narzędzi systemowych. Należy wybrać adres przypisany do bieżącego połączenia, a nie identyfikator wirtualnego adaptera, wyłączonej karty lub tunelu. W urządzeniach mobilnych odpowiednia informacja może znajdować się w szczegółach zapisanej sieci. Nazwy poszczególnych opcji zależą od wersji systemu, dlatego istotne jest kierowanie się opisem aktywnego interfejsu, a nie samą kolejnością pozycji.

Jeżeli dostęp do panelu routera jest uprawniony, można sprawdzić sekcję poświęconą filtrowaniu adresów, kontrolom dostępu lub urządzeniom bezprzewodowym. Przed zapisaniem zmiany warto wykonać kopię konfiguracji albo przynajmniej zanotować dotychczasowe ustawienia. Należy dodać właściwy adres w odpowiednim trybie listy i upewnić się, że nie pozostaje aktywna reguła blokująca to samo urządzenie. Po zapisaniu konfiguracji trzeba odczekać na przeładowanie ustawień i ponowić połączenie.

Nie zaleca się wielokrotnego przywracania routera do ustawień fabrycznych bez zapisania danych potrzebnych do ponownej konfiguracji. Taki krok może usunąć nazwę sieci, hasło, reguły dostępu i ustawienia połączenia internetowego. Restart routera może być pomocny po zmianie konfiguracji, lecz sam restart nie doda brakującego adresu do listy. Podobnie usunięcie zapamiętanej sieci w komputerze może odświeżyć profil, ale nie zastąpi korekty reguł po stronie routera.

Kiedy zgłosić sieć z MAC filtering do serwisu

Zgłoszenie do serwisu jest zasadne, gdy nie można ustalić, który adres MAC jest aktywny, brak dostępu do panelu routera uniemożliwia zmianę listy albo problem występuje po wymianie podzespołów. Pomoc bywa potrzebna również wtedy, gdy kilka punktów dostępowych ma różne konfiguracje i nie wiadomo, który z nich odrzuca urządzenie. Weryfikacja może obejmować komputer, kartę sieciową, zapisany profil Wi-Fi oraz ustawienia urządzeń odpowiedzialnych za dostęp.

Przed przekazaniem zgłoszenia warto przygotować nazwę sieci, opis momentu wystąpienia problemu, informację o tym, czy inne urządzenia działają, oraz dane dotyczące ostatnich zmian. Nie powinno się przesyłać haseł w zwykłej wiadomości. Jeżeli konieczny jest dostęp do panelu, można przekazać go bezpośrednio podczas obsługi i po zakończeniu zmienić dane uwierzytelniające. Takie przygotowanie skraca rozpoznanie i ogranicza liczbę przypadkowych zmian.

W Warszawskim Pogotowiu Komputerowym 24/7 można zgłosić problem z urządzeniem, które nie przechodzi przez filtr MAC, gdy samodzielne sprawdzenie listy i profilu sieci nie przynosi rezultatu. Przy analizie rozdziela się problem z kartą sieciową od problemu z konfiguracją routera, sprawdza właściwy interfejs oraz ustala, czy prywatny adres sprzętowy nie zmienia identyfikacji. Dzięki temu można dobrać rozwiązanie do rzeczywistej przyczyny, zamiast przypadkowo wyłączać zabezpieczenia albo resetować całą konfigurację.