防火牆非IP ARP包處理機製

防火牆對於非IP、非ARP的二層數據包處理機製如下：

1. 默認處理機製：

• 對於合法格式的二層非IP/非ARP幀（如合法的LLDP、STP等協議幀），防火牆默認會進行二層轉發。
• 異常格式或違反安全策略的幀會被丟棄（如無效幀校驗或觸發安全防護機製）。

2. 控製命令：
   可通過以下方式精細化控製二層轉發行為：

• MAC地址過濾：mac-address blackhole xxxx-xxxx-xxxx # 丟棄特定MAC的流量 mac-address maximum 端口學習數量 # 限製MAC學習數量防禦泛洪
• VLAN過濾：vlan 10 forbidden-port # 禁止非授權端口收發該VLAN流量
• 端口安全策略：interface GigabitEthernet1/0/1 port-security enable port-security max-mac-count 5 # 限製學習MAC數量
• ACL控製（基於MAC的ACL）：acl mac 4000 rule 0 deny source-mac 0001-0203-0405 ffff-ffff-ffff rule 5 permit 應用ACL到接口：interface GigabitEthernet1/0/1 packet-filter mac 4000 inbound

3. 特殊場景控製：

• 通過arp detection enable開啟ARP檢測後，會嚴格檢查ARP報文合法性，但不會影響其他協議的二層幀轉發。
• 在透明模式部署時，建議啟用loopback-detection防止二層環路。

建議根據實際業務需求，通過MAC ACL或端口安全策略實現對非IP流量的精細化控製。默認轉發機製下，合法的二層協議幀均可穿透防火牆，但異常流量會被安全模塊攔截。