如何过滤或阻止指定网段的arp广播

H3C S6520X‑EI / S5120V2‑SI 抑制摄像机大量 ARP 广播
抓包现象：大量海康摄像机源192.168.1.0/24网段，ARP‑Request 广播 Who has 192.168.1.1（频繁请求网关），广播风暴占用带宽。
⚠️重要警告：不能全盘丢弃 192.168.1.0/24 全部 ARP 报文，ARP 应答报文必须放行；只过滤ARP‑Request（OP=1 请求包），否则摄像机之间二层互通、网关 ARP 应答全部异常。
两台交换机差异：
S6520X‑EI：V7 平台，支持用户自定义 ACL 5000，可以匹配 ARP 源 IP，精准过滤 ARP 请求。
S5120V2‑SI：V5 平台，没有用户自定义 ACL，二层 ACL 4000 无法解析 ARP 内部 IP 字段，不能按源 IP 网段过滤 ARP，只能用 ARP 限速、ARP‑Detection、端口隔离方案。
方案一：S6520X‑EI（V7）精准过滤 ARP‑Request 请求报文【推荐】
使用 user‑defined ACL 5000，匹配：以太网类型 0x0806 (ARP)，ARP 操作码 OP=1 (ARP 请求)，源发送 IP 属于192.168.1.0/24，丢弃；ARP 应答 OP=2 完全放行。
shell
system‑view
#用户自定义ACL 5000
acl user‑defined 5000
#丢弃：ARP(0x0806)，ARP请求OP=1，ARP发送端源IP 192.168.1.0/24
rule deny l2 0806 ffff 8 0001 ffff 14 192.168.1.0 ffffff00
#放行所有其他ARP（ARP应答、其他网段ARP）
rule permit l2 0806 ffff
rule permit ip
quit

#在摄像机所在VLAN视图下发包过滤（VLAN内过滤，全局生效）
vlan 10
packet‑filter user‑defined 5000 inbound
quit
说明：在 VLAN 下 inbound，该 VLAN 内所有端口收到摄像机的 ARP 请求直接丢弃；摄像机本身上网不受影响，只是不再向外广播 ARP 请求网关报文。
也可以在接入摄像机的物理端口 inbound 应用packet‑filter user‑defined 5000 inbound。
方案二：两台机型通用：ARP 报文限速（不丢包，抑制广播频率，最稳妥，不破坏业务）
不直接丢弃报文，限制每秒 ARP 报文最大数量，抑制摄像机高频扫描，不会误杀正常 ARP，S5120V2‑SI、S6520X‑EI 都支持。
shell
system‑view
#全局ARP限速，整机
arp rate‑limit 100
#或者在摄像机接入VLAN内限速
vlan 10
arp rate‑limit 50
quit
#接入端口单独限速（摄像机端口）
interface GigabitEthernet 1/0/1
arp rate‑limit 20
quit
数值根据现场调小，限制每秒 ARP 报文数量，缓解广播风暴，不会断业务，生产优先考虑限速。
方案三：S5120V2‑SI (V5) 没有 user‑defined ACL，可选方案
S5120V2‑SI不能按 ARP 源 IP 网段过滤 ARP 请求，可用下面组合：
ARP 报文限速（上面方案二），优先实施。
开启ARP‑Detection+DHCP‑Snooping：摄像机是静态 IP，配置静态 IP‑MAC 绑定，不在绑定表的 ARP 请求丢弃；摄像机多，配置量大。
shell
dhcp snooping enable vlan 10
arp detection enable vlan 10
#摄像机端口配置静态绑定
interface GigabitEthernet1/0/1
arp detection static‑binding ip 192.168.1.11 mac xxxx‑xxxx‑xxxx
quit
网络优化：摄像机独立 VLAN；摄像机端口开启端口隔离，摄像机之间二层隔离，减少广播扩散。
方案四：根源优化（建议调整摄像机本身）
海康摄像机频繁发Who has网关ARP 请求，是摄像机内部参数：
关闭摄像机的 ARP 扫描、网络探测、设备发现功能；
修改 ARP 探测间隔，降低发送频率；从源头减少报文，交换机侧就不用过滤。
⚠️重大风险提醒
❌绝对不要简单用 ACL 全盘 deny 源 192.168.1.0/24 arp，会把ARP 应答报文也丢弃，摄像机完全无法通信；必须区分 ARP 请求 OP=1、应答 OP=2。
S5120V2‑SI V5 版本没有 user‑defined ACL，做不到按 ARP 源 IP 过滤 ARP 报文，只能限速 / ARP‑Detection 绑定。
过滤 ARP‑Request 之后：摄像机本身上网、访问 NVR 录像正常；摄像机不会再广播请求网关，但是网关主动访问摄像机不受影响。

过滤不了