防火墙非IP ARP包处理机制

防火墙对于非IP、非ARP的二层数据包处理机制如下：

1. 默认处理机制：

• 对于合法格式的二层非IP/非ARP帧（如合法的LLDP、STP等协议帧），防火墙默认会进行二层转发。
• 异常格式或违反安全策略的帧会被丢弃（如无效帧校验或触发安全防护机制）。

2. 控制命令：
   可通过以下方式精细化控制二层转发行为：

• MAC地址过滤：mac-address blackhole xxxx-xxxx-xxxx # 丢弃特定MAC的流量 mac-address maximum 端口学习数量 # 限制MAC学习数量防御泛洪
• VLAN过滤：vlan 10 forbidden-port # 禁止非授权端口收发该VLAN流量
• 端口安全策略：interface GigabitEthernet1/0/1 port-security enable port-security max-mac-count 5 # 限制学习MAC数量
• ACL控制（基于MAC的ACL）：acl mac 4000 rule 0 deny source-mac 0001-0203-0405 ffff-ffff-ffff rule 5 permit 应用ACL到接口：interface GigabitEthernet1/0/1 packet-filter mac 4000 inbound

3. 特殊场景控制：

• 通过arp detection enable开启ARP检测后，会严格检查ARP报文合法性，但不会影响其他协议的二层帧转发。
• 在透明模式部署时，建议启用loopback-detection防止二层环路。

建议根据实际业务需求，通过MAC ACL或端口安全策略实现对非IP流量的精细化控制。默认转发机制下，合法的二层协议帧均可穿透防火墙，但异常流量会被安全模块拦截。