nmcli本身不提供广播抑制功能，广播抑制是交换机或网卡硬件层面的机制；Linux内核和NetworkManager未通过nmcli暴露相关配置接口，仅能间接配合环境准备、禁用广播源服务或创建VLAN隔离广播域。
nmcli 本身不提供广播抑制（Broadcast Storm Control）功能。广播抑制是交换机或网卡硬件层面的流量控制机制，Linux 内核和 NetworkManager 均未通过 nmcli 暴露相关配置接口。
广播风暴控制通常依赖以下三类实现方式，而 nmcli 仅能间接配合其中基础网络环境准备：
确认物理网卡是否支持广播抑制硬件能力
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
- 运行
ethtool -i enp129s0f0查看驱动类型（如ixgbe、i40e、mlx5_core），部分高端网卡（如 Intel X710、Mellanox ConnectX 系列）在固件/驱动中支持 ingress 广播限速，但需厂商工具启用 - 检查内核是否暴露控制节点：
ls /sys/class/net/enp129s0f0/device/ | grep -i "storm\|broadcast"；若无输出，说明驱动未导出该功能
使用 ethtool 配置入向广播限速（如驱动支持）
某些支持 DCB 或 QoS 的网卡可通过 ethtool 设置接收方向的广播/多播包速率上限：
- 启用硬件队列并绑定策略（需先确认支持）：
ethtool -K enp129s0f0 rx off tx off ethtool --set-ring enp129s0f0 rx 1024 tx 1024
- 若网卡支持
storm-control扩展参数（极少数，如部分 Broadcom BCM574xx 固件）：ethtool --set-priv-flags enp129s0f0 storm-control on ethtool --set-priv-flags enp129s0f0 broadcast-threshold 1000
⚠️ 注意：上述参数非标准，是否生效取决于驱动实现，执行前务必查阅对应网卡数据手册
通过软件层降低广播影响（nmcli 可参与的部分）
虽然不能“抑制”广播帧本身，但可减少广播源与响应行为：
- 关闭不必要的 IPv6 自动配置，避免重复地址检测（DAD）和路由器通告（RA）引发的广播/多播泛滥：
nmcli connection modify enp129s0f0 ipv6.method ignore nmcli connection modify enp129s0f0 ipv6.ignore-auto-routes yes ipv6.ignore-auto-dns yes
- 禁用 NetBIOS、LLMNR、mDNS 等易产生局域网广播/多播的服务：
nmcli connection modify enp129s0f0 ipv4.dns-search "" ipv4.ignore-auto-dns yes systemctl disable --now avahi-daemon systemd-resolved
- 配置防火墙规则丢弃非必要广播包（仅限本机接收侧，不影响转发）：
nft add rule inet filter input ip destination 255.255.255.255 counter drop nft add rule inet filter input ip protocol udp ip dport { 137, 5353 } counter drop
真正有效的广播抑制应在交换机侧配置
- 在接入交换机端口启用广播风暴抑制（如 Cisco 的
storm-control broadcast level 5，华为的broadcast-suppression 5） - 划分更小的二层广播域（VLAN）：nmcli 可协助创建 VLAN 子接口并隔离流量，从逻辑上缩小广播范围
nmcli connection add type vlan con-name enp129s0f0.100 dev enp129s0f0 id 100 nmcli connection modify enp129s0f0.100 ipv4.method disabled ipv6.method ignore nmcli connection up enp129s0f0.100
不复杂但容易忽略
