Скрытый SSID и фильтрация MAC: почему это не защита и какие проблемы создаёт

Две настройки роутера, которые любят включать «для безопасности»: скрыть имя сети и добавить в белый список MAC-адреса. Обе создают ощущение контроля и обе не защищают от того, от чего вы хотите защититься. Зато обе регулярно ломают подключение, роуминг и работу новых устройств.

Скрытый SSID: что происходит на самом деле

Когда вы включаете «скрытую сеть», точка доступа перестаёт передавать имя сети в служебных кадрах (beacon). Но:

имя всё равно передаётся в кадрах ассоциации, когда клиент подключается;
клиент, который уже знает сеть, сам рассылает probe request с её именем — то есть выдаёт и сеть, и себя;
любой анализатор эфира показывает такие сети за секунды.

То есть скрытие SSID — это не защита, а сокрытие удобства. При этом побочные эффекты реальны:

новые устройства не находят сеть автоматически, требуется ручное добавление профиля;
увеличивается время подключения: клиент сканирует дольше;
в диапазоне 6 ГГц скрытая сеть плохо сочетается с механизмом PSC — клиент может вообще её не обнаружить;
в mesh-сетях и при роуминге клиент дольше ищет точку;
батарея ноутбука и телефона расходуется активнее из-за лишних probe-запросов.

Отдельный нюанс приватности: probe request с именем домашней сети — это как раз то, что позволяет отслеживать перемещения устройств. Скрытый SSID не устраняет проблему, а иногда делает поведение клиента более предсказуемым.

Фильтрация MAC: почему это не контроль доступа

Белый список MAC-адресов означает: «пускать только устройства с этими адресами». Проблема в том, что MAC-адрес:

передаётся открыто в каждом кадре;
легко подделывается программно на большинстве адаптеров;
не аутентифицирует пользователя — это идентификатор железа, а не секрет.

Злоумышленнику достаточно посмотреть адрес разрешённого устройства (например, ноутбука, который уже подключён) и скопировать его. Фильтрация MAC не является механизмом безопасности ни в домашней сети, ни в офисе. Wi-Fi Alliance и вендоры оборудования относят её к «гигиеническим», а не защитным мерам.

Где фильтрация MAC реально мешает

Windows 10 и Windows 11 умеют использовать случайные аппаратные адреса для Wi-Fi: есть глобальная настройка и отдельная для каждой сохранённой сети.

Параметры → Сеть и Интернет → Wi-Fi → «Случайные аппаратные адреса» (глобально) или «Управление известными сетями» → выбрать сеть → включить случайный адрес.

Что происходит при включённом белом списке:

ноутбук подключается с новым случайным MAC и не проходит фильтр;
администратор видит «устройство не подключается», хотя пароль верный;
приходится либо отключать рандомизацию, либо добавлять новый адрес при каждом изменении.

В корпоративной сети та же проблема возникает с гостевыми порталами, которые привязывают сессию к MAC.

Что настроить вместо этого

Мера	Что даёт	Ограничения
WPA3-Personal (SAE) с длинным паролем	стойкость к офлайн-подбору, защита управляющих кадров	нужен драйвер с поддержкой WPA3
WPA2-PSK с паролем 16+ символов	базовая защита для старого парка	уязвим к офлайн-перебору при слабом пароле
WPA3/WPA2-Enterprise (802.1X)	индивидуальные учётные данные, отзыв доступа	нужен RADIUS-сервер
Гостевой SSID с изоляцией клиентов	гости не видят вашу локальную сеть	не защищает от атак на сам шлюз
Отключение WPS	закрывает известный вектор подбора PIN	кнопка WPS перестаёт работать
Обновление прошивки роутера	закрывает известные уязвимости	требует регулярного внимания
Отключение удалённого администрирования	уменьшает поверхность атаки	нужен физический доступ для настройки

Если нужен именно контроль доступа «свои/чужие», правильный путь — 802.1X с RADIUS или отдельный гостевой SSID с изоляцией, а не список MAC.

Когда скрытый SSID всё же оправдан

Почти никогда — как мера безопасности. Исключения:

Снижение визуального шума в эфире, где много сетей (косметический эффект).
Тестовый стенд, где важно, чтобы устройства не подключались автоматически.
Специфические требования совместимости со старым оборудованием, которое иначе ведёт себя некорректно.

Во всех случаях это осознанный компромисс, а не защита.

Практическая проверка: не ломает ли вас фильтр

Если устройство «не видит» или «не подключается» к сети:

Проверьте, не включён ли белый список MAC на роутере.
Посмотрите фактический MAC адаптера:
```
getmac /v
```
или в netsh wlan show interfaces (строка Physical address).
Сравните с адресом в списке роутера. Помните, что при включённой рандомизации адрес меняется.
Если сеть скрытая, добавьте её вручную: Параметры → Wi-Fi → «Скрытая сеть» → имя и тип безопасности.

Ограничения и предостережения

Не отключайте WPA3 ради «совместимости со всем»: сначала обновите драйверы и прошивки.
Не используйте фильтрацию MAC как единственную меру в офисе: она создаёт ложное чувство контроля и усложняет поддержку.
Не публикуйте скриншоты с SSID и BSSID в соцсетях: это лишняя информация о вашей инфраструктуре.
Помните, что скрытая сеть не скрывает трафик: для конфиденциальности нужен шифрованный протокол (HTTPS, VPN).

FAQ

Скрытый SSID усложняет взлом? Практически нет. Имя сети видно в кадрах подключения и в probe-запросах клиентов. Это не барьер для того, кто умеет работать с анализатором.

Фильтрация MAC защищает от соседа? Нет. MAC подделывается за минуту, а адрес разрешённого устройства виден в эфире.

Почему после включения фильтра MAC перестал подключаться новый ноутбук? Скорее всего, у него включена случайная MAC-адресация. Отключите её для этой сети или добавьте адрес в список.

Что лучше: скрыть SSID или отключить WPS? Отключить WPS и включить WPA3 — это реальные меры. Скрытие SSID — косметика с побочными эффектами.

Можно ли использовать фильтрацию MAC в дополнение к WPA3? Можно, но пользы почти нет, а поддержка усложняется. Если политика требует — документируйте, что это не средство аутентификации.