F5000防火墙看不到对端设备的LLDP信息

1. F5000 Inline 接口对（forward 转发模式）默认不会透传 LLDP；LLDP 是目的 MAC 为组播的控制报文，防火墙 CPU 会捕获上送，不会直接从接口对转发出去，需要手工开启 lldp transparent enable 才透传。
2. 你现象根源：VLAN10 的 0/1 口是 Inline 接口对，没有开启 LLDP 透传，对端 LLDP 报文被 F5000 捕获到 CPU，不转发；VLAN20 的 5/6 口不是 Inline 接口对，是普通二层 access 口，F5000 收到 LLDP 直接上送本地 LLDP 模块，所以 display lldp neighbor 能看到邻居。

对端设备开lldp功能了吗

组网说明：F5000 V7，RBM 双机，0‑1 是转发模式接口对；0/1 属于接口对成员口；5、6 是普通二层 access 接口，不属于接口对。现象：5、6 口能学到 LLDP 邻居；0、1 口接设备看不到 LLDP 邻居。

核心回答你的第二个疑问：LLDP 报文会不会被接口对直接转发出去？

转发模式接口对（interface‑pair），会直接透传 LLDP 这类二层组播协议报文，报文直接跨接口对转发，不会上送到防火墙 CPU 处理。 这就是你现象的根本原因：

1. 5、6 口不是接口对成员口，收到对端发来的 LLDP 报文会上送防火墙 CPU，设备可以解析，所以display lldp neighbor‑information能看到邻居。
2. 0 口、1 口属于转发模式 interface‑pair 成员口：对端发过来的 LLDP 二层组播报文，硬件直接跨接口对转发到对向接口，报文不会上送给防火墙 CPU 做 LLDP 解析，防火墙本地学不到 LLDP 邻居；但报文本身是可以穿过防火墙到达另外一侧设备。

⚠️区分两种模式接口对：

• 转发模式 interface‑pair：二层报文硬件透传，LLDP/BPDU/LACP 直接跨接口转发，不上 CPU；防火墙本端接口看不到邻居。
• 桥模式 interface‑pair：报文会上送 CPU 处理安全策略，LLDP 报文可以被设备本地接收解析，可以看到邻居。

排查确认命令

两种解决办法，按需选

方案 1（保留转发模式接口对，这是业务最优）

接口对维持转发模式不变，防火墙本身看不到接口对两端 LLDP 邻居属于产品正常行为。 如果需要查看 0/1 口对端设备 LLDP 信息，只能把调试电脑接在接口对的另外一侧设备上查看，防火墙侧无法获取。

方案 2：改成桥模式接口对（代价：所有流量过安全策略检查，性能损耗）

把 interface‑pair 从forward转发模式改成bridge桥模式。

桥模式下所有流量（包括 LLDP、BPDU）都会上送 CPU，走安全策略，防火墙接口可以正常解析 LLDP 邻居。 注意：桥模式接口对，跨接口对业务流量要放行域间安全策略，否则业务会断。

重要风险：改成 bridge 模式之后，0‑1 之间所有流量必须配置安全策略 permit，否则业务直接不通；大流量场景会有性能下降。

额外踩坑补充（RBM 双机场景）

1、RBM 主备环境，两台设备都要确认 interface‑pair 模式，主备配置必须保持一致。 2、转发模式接口对只会透传二层报文，IP 报文同样直接硬件转发，不走安全策略，不需要配置域间策略。 3、不要试图在转发模式 interface‑pair 成员口下面调整 lldp admin‑status rx/txrx，报文根本不上 CPU，配置不会生效。

简单小结

1、转发模式 interface‑pair：LLDP 报文直接透传跨接口对，不上送 CPU，防火墙本端接口看不到 LLDP 邻居，报文本身可以穿过防火墙给到对端设备。 2、普通物理口（5、6）不属于接口对，收到 LLDP 会上 CPU，能够正常显示邻居，和你现场现象完全吻合。 3、想要防火墙 0、1 口看到 LLDP 邻居，需要把接口对改成 bridge 桥模式，但业务流量要配置安全策略放行，会带来性能开销；业务优先建议保留 forward 转发模式，不在防火墙侧看这两个接口的 LLDP。