1. 項(xiàng)目概述為什么STP是網(wǎng)絡(luò)工程師的“必修課”如果你剛接觸網(wǎng)絡(luò)或者正在準(zhǔn)備網(wǎng)工認(rèn)證聽到“STP”這個(gè)詞可能會有點(diǎn)懵。但只要你開始接觸交換機(jī)開始搭建一個(gè)超過兩臺設(shè)備的網(wǎng)絡(luò)STP生成樹協(xié)議就是你繞不開的一道坎。我干了十幾年網(wǎng)絡(luò)從最初在機(jī)房里看著環(huán)路導(dǎo)致全網(wǎng)癱瘓的指示燈狂閃到后來設(shè)計(jì)大型數(shù)據(jù)中心的多路徑冗余STP以及它的各種演進(jìn)版本一直是底層網(wǎng)絡(luò)穩(wěn)定性的基石。簡單說沒有STP你的二層網(wǎng)絡(luò)就像沒有交通信號燈和規(guī)則的城市道路廣播風(fēng)暴會瞬間讓網(wǎng)絡(luò)癱瘓。這次我就結(jié)合自己踩過的坑和實(shí)際項(xiàng)目經(jīng)驗(yàn)把STP從原理到配置再到排錯給你徹底講透。無論你是正在學(xué)習(xí)備考的準(zhǔn)網(wǎng)工還是工作中需要維護(hù)交換網(wǎng)絡(luò)的工程師這篇內(nèi)容都能幫你建立起清晰、實(shí)用的知識框架。2. STP核心原理與工作機(jī)制深度拆解2.1 二層環(huán)路的危害不只是廣播風(fēng)暴為什么需要STP根源在于以太網(wǎng)二層交換的工作原理。交換機(jī)基于MAC地址表進(jìn)行數(shù)據(jù)幀轉(zhuǎn)發(fā)對于未知單播幀、廣播幀和組播幀默認(rèn)進(jìn)行泛洪Flooding。當(dāng)網(wǎng)絡(luò)中存在物理環(huán)路時(shí)一個(gè)廣播幀會在環(huán)路中被無限循環(huán)轉(zhuǎn)發(fā)和復(fù)制像滾雪球一樣在極短時(shí)間內(nèi)耗盡所有鏈路帶寬和交換機(jī)CPU資源這就是廣播風(fēng)暴。我早年遇到過最典型的一次故障一個(gè)辦公網(wǎng)因?yàn)榕R時(shí)拉了一根網(wǎng)線形成環(huán)路半小時(shí)內(nèi)全網(wǎng)癱瘓ping值上千毫秒核心交換機(jī)CPU利用率沖到100%。這還只是表面現(xiàn)象更深層的危害包括MAC地址表震蕩同一個(gè)MAC地址從不同端口學(xué)習(xí)到導(dǎo)致MAC地址表項(xiàng)被頻繁更新轉(zhuǎn)發(fā)效率極低。多幀復(fù)制同一數(shù)據(jù)幀通過不同路徑到達(dá)目的主機(jī)導(dǎo)致上層應(yīng)用收到重復(fù)數(shù)據(jù)可能引發(fā)不可預(yù)知的錯誤。STP的核心使命就是通過邏輯上阻塞Blocking環(huán)路中的某些端口將一個(gè)有環(huán)的物理拓?fù)湫藜舫梢粋€(gè)無環(huán)的樹形邏輯拓?fù)鋸亩谔峁┤哂噫溌返耐瑫r(shí)杜絕環(huán)路的產(chǎn)生。2.2 STP的選舉過程一場公平的“競賽”STP構(gòu)建無環(huán)樹的過程本質(zhì)上是基于一系列參數(shù)進(jìn)行選舉。理解這場選舉就理解了STP的靈魂。選舉遵循一個(gè)嚴(yán)格的優(yōu)先級順序。1. 選舉根橋Root Bridge這是整個(gè)STP域的核心所有流量的“總指揮”。選舉依據(jù)是橋IDBridge ID。橋ID由兩部分組成橋優(yōu)先級默認(rèn)32768和交換機(jī)的MAC地址。數(shù)值越小越優(yōu)。先比較橋優(yōu)先級如果相同則比較MAC地址MAC地址小的勝出。注意在實(shí)際網(wǎng)絡(luò)中務(wù)必手動指定核心、性能穩(wěn)定的交換機(jī)為根橋。依賴自動選舉比較MAC地址很可能讓一臺接入層交換機(jī)成為根橋?qū)е铝髁柯窂酱蝺?yōu)。這是我們初期組網(wǎng)常犯的錯誤。2. 選舉根端口Root Port在非根橋上需要選出一個(gè)去往根橋“最近”的端口這就是根端口。每臺非根橋有且只有一個(gè)根端口。選舉依據(jù)是到根橋的路徑開銷Root Path Cost。路徑開銷基于鏈路帶寬計(jì)算帶寬越高開銷值越小。如果路徑開銷相同則比較上行交換機(jī)的橋ID、上行交換機(jī)的端口ID等依次比較。3. 選舉指定端口Designated Port在每個(gè)物理網(wǎng)段鏈路上需要選出一個(gè)負(fù)責(zé)轉(zhuǎn)發(fā)數(shù)據(jù)的“代表”端口這就是指定端口。選舉規(guī)則是比較該網(wǎng)段上各端口發(fā)出的BPDU中所攜帶的到根橋的路徑開銷開銷最小的端口勝出。根橋上的所有端口都是指定端口。4. 阻塞剩余端口既不是根端口也不是指定端口的端口將被置為阻塞狀態(tài)。該端口只接收STP的BPDU報(bào)文不轉(zhuǎn)發(fā)任何用戶數(shù)據(jù)流量從而打破環(huán)路。為了讓你更直觀地理解端口角色和狀態(tài)我整理了下表端口角色所在設(shè)備職責(zé)最終狀態(tài)穩(wěn)定后根端口 (RP)非根橋通往根橋的最佳路徑端口轉(zhuǎn)發(fā) (Forwarding)指定端口 (DP)每條鏈路上負(fù)責(zé)轉(zhuǎn)發(fā)該鏈路上的數(shù)據(jù)轉(zhuǎn)發(fā) (Forwarding)阻塞端口非根橋且非指定端口邏輯上斷開環(huán)路阻塞 (Blocking/Discarding)2.3 BPDUSTP的“選舉通信協(xié)議”上面所有的選舉都依賴于交換機(jī)之間周期性地交換一種特殊的協(xié)議報(bào)文BPDU橋協(xié)議數(shù)據(jù)單元。你可以把它理解為交換機(jī)的“選票”和“公告”。BPDU里攜帶了決定選舉結(jié)果的所有關(guān)鍵信息根橋ID發(fā)送者認(rèn)為的根橋是誰。根路徑開銷發(fā)送者到根橋的累計(jì)開銷。發(fā)送者橋ID誰發(fā)送的這個(gè)BPDU。發(fā)送者端口ID從哪個(gè)端口發(fā)出的。交換機(jī)通過比較收到的BPDU和自身生成的BPDU來執(zhí)行選舉算法。默認(rèn)每2秒發(fā)送一次稱為Hello Time。這里有個(gè)關(guān)鍵點(diǎn)只有指定端口才會主動向所在網(wǎng)段發(fā)送BPDU。阻塞端口只會監(jiān)聽BPDU這保證了網(wǎng)絡(luò)拓?fù)湫畔⒌膯蜗驒?quán)威傳遞。3. 從經(jīng)典STP到快速STP的演進(jìn)與配置實(shí)戰(zhàn)3.1 經(jīng)典STP的痛點(diǎn)收斂太慢上面講的其實(shí)是IEEE 802.1D定義的經(jīng)典STP。它在理論上是完美的但在實(shí)際生產(chǎn)中有一個(gè)致命缺點(diǎn)收斂速度太慢。端口從啟動到最終轉(zhuǎn)發(fā)數(shù)據(jù)需要經(jīng)歷一系列狀態(tài) 阻塞Blocking→ 偵聽Listening15秒→ 學(xué)習(xí)Learning15秒→ 轉(zhuǎn)發(fā)Forwarding。 這意味著即使鏈路故障切換網(wǎng)絡(luò)也需要至少30秒偵聽學(xué)習(xí)甚至50秒從阻塞開始才能恢復(fù)。對于現(xiàn)代網(wǎng)絡(luò)應(yīng)用30秒的宕機(jī)是無法接受的。3.2 快速生成樹協(xié)議RSTP的核心優(yōu)化為了解決收斂慢的問題IEEE 802.1w定義了RSTP。RSTP完全兼容STP但做了大量改進(jìn)收斂時(shí)間可以縮短到1秒以內(nèi)。其核心優(yōu)化在于端口角色細(xì)化在RP和DP的基礎(chǔ)上增加了備份端口Backup Port用于共享式鏈路備份指定端口和替代端口Alternate Port用于備份根端口。這使得端口角色更清晰切換邏輯更高效。端口狀態(tài)簡化從5種簡化為3種丟棄Discarding、學(xué)習(xí)Learning、轉(zhuǎn)發(fā)Forwarding。丟棄狀態(tài)對應(yīng)了原來的阻塞、偵聽和禁用狀態(tài)。引入提議/同意機(jī)制這是RSTP快速收斂的關(guān)鍵。當(dāng)點(diǎn)到點(diǎn)鏈路兩端的端口角色確定為指定端口和根端口后它們會通過快速握手機(jī)制Proposal/Agreement跳過偵聽和學(xué)習(xí)狀態(tài)直接進(jìn)入轉(zhuǎn)發(fā)狀態(tài)。這個(gè)機(jī)制在鏈路剛接通或指定端口角色變更時(shí)觸發(fā)。BPDU處理方式改變在RSTP中每個(gè)交換機(jī)都會主動從所有端口周期性地發(fā)送BPDU即使沒收到根橋的作為保活機(jī)制。如果連續(xù)3個(gè)Hello Time默認(rèn)6秒沒收到對端發(fā)來的BPDU就認(rèn)為鏈路失效立即觸發(fā)重新計(jì)算而不像STP需要等待Max Age20秒超時(shí)。3.3 多實(shí)例生成樹協(xié)議MSTP的價(jià)值無論是STP還是RSTP整個(gè)交換網(wǎng)絡(luò)都只有一棵生成樹。這意味著所有VLAN都共享同一棵邏輯樹所有阻塞端口對所有VLAN都無效無法實(shí)現(xiàn)基于VLAN的流量負(fù)載分擔(dān)。為了解決這個(gè)問題IEEE 802.1s定義了MSTP。MSTP允許你將多個(gè)VLAN映射到一個(gè)生成樹實(shí)例中。不同的實(shí)例可以有不同的根橋和拓?fù)鋸亩鴮?shí)現(xiàn)流量負(fù)載均衡讓Instance 1的流量走上行鏈路AInstance 2的流量走上行鏈路B充分利用冗余鏈路。故障隔離一個(gè)實(shí)例的拓?fù)渥兓粫绊懫渌麑?shí)例。配置MSTP的關(guān)鍵步驟是定義MST域包括域名、修訂級別和VLAN與實(shí)例的映射關(guān)系。域內(nèi)所有交換機(jī)必須配置完全相同的這三項(xiàng)參數(shù)才能正常協(xié)商。3.4 基礎(chǔ)配置命令與示例以華為設(shè)備為例理論懂了上手配置才是關(guān)鍵。下面我以華為交換機(jī)常用的RSTP/MSTP模式為例展示核心配置。# 進(jìn)入系統(tǒng)視圖 system-view # 將生成樹協(xié)議模式設(shè)置為RSTP默認(rèn)可能是MSTP stp mode rstp # 配置本交換機(jī)為根橋主根或備份根橋 stp root primary # 設(shè)置為主根設(shè)備會自動將橋優(yōu)先級調(diào)整為0 stp root secondary # 設(shè)置為備份根設(shè)備會自動將橋優(yōu)先級調(diào)整為4096 # 手動調(diào)整橋優(yōu)先級數(shù)值必須為4096的倍數(shù) stp priority 0 # 在端口上調(diào)整端口開銷和優(yōu)先級用于精細(xì)控制路徑選擇 interface GigabitEthernet 0/0/1 stp cost 20000 # 修改端口開銷影響根端口選舉 stp port priority 64 # 修改端口優(yōu)先級影響指定端口選舉16的倍數(shù) # 配置邊緣端口連接PC/服務(wù)器的端口應(yīng)配置此命令使其立即進(jìn)入轉(zhuǎn)發(fā)狀態(tài)且不觸發(fā)拓?fù)渥兓?stp edged-port enable # 更推薦使用自動識別邊緣端口全局開啟BPDU保護(hù)后收到BPDU的邊緣端口會被Shutdown stp bpdu-protection # 切換到MSTP模式并進(jìn)行配置 stp mode mstp stp region-configuration region-name MY_MST_REGION # 配置域名 revision-level 1 # 配置修訂級別 instance 1 vlan 10 to 20 # 將VLAN 10-20映射到實(shí)例1 instance 2 vlan 30 to 40 # 將VLAN 30-40映射到實(shí)例2 active region-configuration # 激活配置 # 為不同的MST實(shí)例指定根橋 stp instance 1 root primary stp instance 2 root secondary4. 高級特性與網(wǎng)絡(luò)設(shè)計(jì)最佳實(shí)踐4.1 關(guān)鍵保護(hù)機(jī)制防環(huán)與防攻擊生成樹協(xié)議本身是防環(huán)的但錯誤的接線或惡意攻擊仍可能破壞它。因此必須配置保護(hù)功能。BPDU保護(hù)BPDU Protection在全局開啟stp bpdu-protection后所有被配置為edge-port的端口一旦收到BPDU該端口將被立即Error-Down。這可以有效防止用戶私自接入交換機(jī)破壞拓?fù)洹?shí)操心得務(wù)必在連接終端PC、服務(wù)器、IP電話、AP的所有接入端口上配置stp edged-port enable并全局開啟BPDU保護(hù)。這是接入層交換機(jī)的標(biāo)準(zhǔn)安全配置。根保護(hù)Root Protection在指定端口上配置stp root-protection。如果該端口收到了更優(yōu)的BPDU即有人宣稱自己是更好的根橋端口會進(jìn)入“根不一致”狀態(tài)并停止轉(zhuǎn)發(fā)數(shù)據(jù)從而保護(hù)當(dāng)前根橋的地位。當(dāng)收不到更優(yōu)BPDU后端口會自動恢復(fù)。應(yīng)用場景通常在連接下級或不可控網(wǎng)絡(luò)的端口上配置。環(huán)路保護(hù)Loop Protection在根端口或替代端口上配置stp loop-protection。如果由于單向鏈路故障該端口收不到上游的BPDU它會認(rèn)為自己是根端口并試圖轉(zhuǎn)入轉(zhuǎn)發(fā)狀態(tài)這可能形成環(huán)路。環(huán)路保護(hù)會將該端口置為阻塞狀態(tài)。注意在MSTP中需要在實(shí)例視圖下為端口配置。TC保護(hù)TC Protection拓?fù)渥兓疶CBPDU會泛洪導(dǎo)致交換機(jī)短時(shí)間內(nèi)清空MAC表對網(wǎng)絡(luò)造成沖擊。TC保護(hù)可以限制單位時(shí)間內(nèi)處理TC BPDU的次數(shù)。命令如stp tc-protection threshold 10。4.2 生成樹網(wǎng)絡(luò)設(shè)計(jì)原則根據(jù)我的項(xiàng)目經(jīng)驗(yàn)一個(gè)健壯的生成樹網(wǎng)絡(luò)設(shè)計(jì)應(yīng)遵循以下原則層次化設(shè)計(jì)明確核心層、匯聚層、接入層。根橋和備份根橋應(yīng)固定在核心層或匯聚層的高性能設(shè)備上。位置決定角色根橋位置應(yīng)位于網(wǎng)絡(luò)邏輯中心且性能最優(yōu)、最穩(wěn)定。通常為核心交換機(jī)。根端口方向所有非根橋的根端口方向應(yīng)指向根橋形成清晰的“枝葉”狀。阻塞點(diǎn)位置阻塞端口應(yīng)出現(xiàn)在冗余鏈路的末端或非關(guān)鍵路徑上確保主路徑最優(yōu)。VLAN與MSTP實(shí)例規(guī)劃根據(jù)業(yè)務(wù)流量模型規(guī)劃VLAN并將需要負(fù)載分擔(dān)的VLAN組映射到不同的MST實(shí)例。例如將數(shù)據(jù)VLAN和語音VLAN映射到不同實(shí)例分別指定不同的根橋路徑。鏈路類型識別確保交換機(jī)之間的鏈路尤其是Trunk鏈路被正確識別為“點(diǎn)對點(diǎn)”模式stp point-to-point force-true這樣才能觸發(fā)RSTP的快速收斂機(jī)制。5. 故障排查與日常維護(hù)實(shí)錄5.1 常見故障現(xiàn)象與排查思路STP相關(guān)故障通常表現(xiàn)為網(wǎng)絡(luò)環(huán)路或部分網(wǎng)絡(luò)不通。以下是我總結(jié)的排查流程現(xiàn)象確認(rèn)全網(wǎng)或局部網(wǎng)絡(luò)訪問極慢、丟包、交換機(jī)CPU/端口利用率異常高。使用display interface brief查看是否有端口收發(fā)流量嚴(yán)重不對稱如接收廣播包數(shù)量異常巨大。檢查物理拓?fù)溥@是第一步也是最關(guān)鍵的一步。排查是否有違規(guī)的臨時(shí)接線形成了物理環(huán)路。血的教訓(xùn)至少一半的STP問題源于物理層。檢查STP狀態(tài)display stp brief # 查看所有端口的STP角色和狀態(tài) display stp # 查看全局STP詳細(xì)信息確認(rèn)根橋、協(xié)議模式 display stp instance 1 brief # 查看MSTP特定實(shí)例的狀態(tài)確認(rèn)根橋是否符合設(shè)計(jì)預(yù)期。檢查端口角色是否正確RP、DP、AP等。檢查是否有端口在“Discarding”和“Forwarding”之間頻繁震蕩。檢查BPDUdisplay stp interface GigabitEthernet 0/0/1 # 查看端口詳細(xì)的STP信息包括收到的BPDU確認(rèn)端口是否能收到正確的BPDU。如果收不到可能是單向鏈路、接口故障或?qū)Χ宋撮_啟STP。檢查保護(hù)功能使用display stp abnormal-port查看是否有端口因保護(hù)機(jī)制如BPDU保護(hù)被關(guān)閉。檢查配置一致性對于MSTP使用display stp region-configuration確認(rèn)域內(nèi)所有交換機(jī)的域名、修訂級別、VLAN-實(shí)例映射表是否完全一致。不一致會導(dǎo)致交換機(jī)處于不同的域形成獨(dú)立生成樹計(jì)算極易成環(huán)。5.2 典型故障案例MSTP域配置不一致導(dǎo)致環(huán)路這是我處理過的一個(gè)真實(shí)案例。一個(gè)新建數(shù)據(jù)中心兩核心交換機(jī)做堆疊下聯(lián)多臺接入交換機(jī)。設(shè)計(jì)采用MSTP實(shí)現(xiàn)負(fù)載分擔(dān)。上線后部分服務(wù)器間歇性不通。排查過程在服務(wù)器網(wǎng)卡抓包發(fā)現(xiàn)大量重復(fù)的廣播幀和未知單播幀疑似環(huán)路。登錄接入交換機(jī)Adisplay stp brief發(fā)現(xiàn)其將自己選舉為MST Instance 0CIST的根橋這不符合設(shè)計(jì)根橋應(yīng)在核心。檢查MSTP域配置display stp region-configuration發(fā)現(xiàn)其域名與核心交換機(jī)配置的域名差了一個(gè)字母DATACENTERvsDATACENTRE。由于域名不一致接入交換機(jī)A認(rèn)為自己與核心交換機(jī)不在同一個(gè)MST域于是獨(dú)立進(jìn)行生成樹計(jì)算并將自己選為根。而它與核心之間的物理鏈路又是連通的數(shù)據(jù)幀在兩個(gè)獨(dú)立的生成樹域之間形成了“橋接”最終導(dǎo)致環(huán)路。解決方法修正接入交換機(jī)A的MST域名使其與核心交換機(jī)完全一致并確認(rèn)VLAN映射表相同。配置同步后環(huán)路立即消失。5.3 日常維護(hù)命令與監(jiān)控狀態(tài)監(jiān)控display stp brief是最常用的快速狀態(tài)查看命令。統(tǒng)計(jì)信息display stp [instance instance-id] statistics可以查看TC BPDU的收發(fā)數(shù)量突然增多可能意味著網(wǎng)絡(luò)拓?fù)洳环€(wěn)定。錯誤診斷display stp error packet查看錯誤的STP報(bào)文。日志監(jiān)控務(wù)必開啟STP的日志和告警功能關(guān)注端口狀態(tài)變化、根橋變更、保護(hù)機(jī)制觸發(fā)等日志信息它們是發(fā)現(xiàn)潛在問題的第一手資料。生成樹協(xié)議是二層網(wǎng)絡(luò)的“穩(wěn)定器”理解它、用好它、管好它是網(wǎng)絡(luò)工程師從入門到精通的必經(jīng)之路。它不像路由協(xié)議那樣變化多端但它的穩(wěn)定與否直接決定了網(wǎng)絡(luò)基礎(chǔ)的牢固程度。多動手搭環(huán)境實(shí)驗(yàn)多思考選舉過程遇到問題按照“物理層-協(xié)議狀態(tài)-配置一致性”的思路層層排查你就能越來越得心應(yīng)手。最后記住一個(gè)原則在允許的情況下盡量使用RSTP或MSTP替代經(jīng)典的STP對于任何生產(chǎn)網(wǎng)絡(luò)都必須配置BPDU保護(hù)和根橋保護(hù)。