F1000-AI-65安全策略问题

security-zone name Trust

 import int vl 2

二层VLAN接口安全域没放通。

防火墙在二层模式（透明 / 桥接）下，BRAS ping 不通防火墙 VLAN 接口，但改成三层模式就通，说明问题不在安全策略，而在二层接口配置、ARP / 流量转发逻辑上。
一、先理清你的组网和问题点
防火墙 G1/0/17 属于 Trust 域，带 VLAN 2
防火墙 G1/0/2 属于 Untrust 域，带 VLAN 2
防火墙配置了 VLAN 2 三层接口（IP: 10.128.255.86）
BRAS 端 IP：10.128.255.85，和防火墙直连
现象：
防火墙接口设为 三层，加入 Trust 域 → BRAS ping 防火墙 IP 通
防火墙接口设为 二层，仅导入 VLAN 2 → BRAS ping 防火墙 IP 不通，但 ARP/MAC 能看到
安全策略是全放通的（any-local、local-any、trust-untrust、untrust-trust）
二、为什么三层通、二层不通？
1. 二层模式下，防火墙 VLAN 接口的 “流量接收条件” 不一样
三层模式：接口直接 IP 化，本身会响应 ARP、ICMP，只要接口 UP 就通。
二层模式（透明 / 桥接）：
防火墙的 VLAN 2 接口是三层虚接口，只有在该 VLAN 的流量通过防火墙转发时，才会被唤醒并响应。
当接口仅导入 VLAN 但未配置桥接 / 透明模式时，BRAS 发往防火墙 VLAN 接口的 ARP/ICMP 请求，不会被防火墙接收处理，只会在二层转发里丢弃。
2. 关键：二层接口是否加入了桥接组 / 透明模式
你现在的配置：
cli
security-zone name Trust
import interface GigabitEthernet1/0/17 vlan 2
import vlan 2
这只是把接口和 VLAN 加入安全域，没有配置桥接（Bridge）/ 透明模式。
防火墙的二层接口必须加入同一个桥接组（Bridge），才能转发该 VLAN 的流量。
否则，接口只是一个 “二层端口”，不会处理 VLAN 内的三层流量（比如 ping 防火墙 VLAN 接口）。
三、二层模式下的正确配置（让 BRAS 能 ping 通防火墙 VLAN 接口）
1. 配置桥接组（透明模式核心）
cli
# 创建桥接组，把两个接口加入同一个桥接组
bridge 1
port GigabitEthernet1/0/17
port GigabitEthernet1/0/2
quit

# 配置VLAN 2的三层接口（IP地址）
interface Vlan-interface2
ip address 10.128.255.86 255.255.255.0
quit
2. 安全域配置（和你原来的配置对比）
cli
security-zone name Trust
import interface GigabitEthernet1/0/17 vlan 2
import vlan 2
security-zone name Untrust
import interface GigabitEthernet1/0/2 vlan 2
（这部分你原来的配置是对的，不需要改）
3. 验证配置
cli
display bridge 1
display interface Vlan-interface2
display arp | include 10.128.255.86
桥接组状态正常，接口都在组内
VLAN 2 接口状态 UP
BRAS 侧 ARP 表能看到防火墙的 MAC
四、如果配置了桥接还是不通，排查这几点
1. 检查桥接模式下的流量转发
cli
display bridge forwarding-table
看是否有 VLAN 2 的 MAC 转发条目。
2. 检查防火墙是否开启了二层转发
cli
display bridge
确认桥接组状态为 UP。
3. 检查防火墙本地 ARP 响应
在 BRAS 上 ping 防火墙 IP 的同时，在防火墙上抓包：
cli
packet-filter 1000 permit icmp any any
interface GigabitEthernet1/0/17
packet-filter 1000 inbound
quit
display packet-filter interface GigabitEthernet1/0/17
看防火墙是否收到了 BRAS 的 ICMP 请求包，是否回复。
五、一句话总结
你的问题核心是：防火墙在二层模式下，接口没有加入桥接组，导致 BRAS 发往防火墙 VLAN 接口的流量无法被防火墙接收处理，ping 不通；改成三层模式后接口直接 IP 化，能正常响应，所以通了。