大型企业园区、数据中心我们经常可能会遇到环路的情况遇到该情况时企业的整体网络会出现卡顿一会好一会卡网络无法使用造成整个企业的业务中断对企业的正常生产经营带来的灾难本文章从环路的发现确定故障原因及时终止环路以及项目中交换设备配置的最佳实践另外附上华三、华为、锐捷三家产商交换机环路检测的配置案例。一、环路故障的条件1、大型全交换的的网络生成树协议的使用原本交换网络中的生成树协议用在链路防环生成树对数据传输链路进行环路修剪做到了线路冗余和环路的避免但是在实际的使用中根桥的不确定随意接入交换设备设备间线路的冗余等都有可能导致环路的产生。2、接入交换机的环路检测功能未使用造成环路流量上行波及整个交换网络。从接入测来看由于接入的是终端设备私拉乱接的情况非常严重在这种环境下我们可以配置交换机的环路检测并对出现环路的情况进行端口block或者shutdown从而减少环路的影响波及范围同时对终端接入测接入带有stp协议的交换机自接入测配置交换机bpdu防护阻止交换机的异常接入。二、环路的发现1、环路生成过程中用到的协议生成树协议、环路检测协议1生成树协议https://www.h3c.com/cn/d_200804/603182_30003_0.htm#_Toc3314947922单机环路检测设备自身的环路检测功能当检测到设备本身出现环路的情况将对现有的环路端口进行关闭有三种模式建议选择shutdown模式https://www.h3c.com/cn/d_202503/2386076_30005_0.htm2、发现方式1终端到网关的通讯状态表现为终端到核心网关的出现间歇性的丢包或者网络中断网络通讯异常并表现为大面积的影响范围非一台机器的情况。2交换机日志及流量当配置了交换机环路检测的情况日志会显示端口出现环路检测的状况并出现关闭该端口的情况其次交换机的端口出现流量饱和超出历史使用流量的最高阈值。出现mac地址漂移的情况同一个mac地址在多个端口之间同时学习来回切换次数暴增在有无线终端接入的情况下可能会出现mac地址在多个ap或者交换机之间来回切换的情况这种情况需要区分开3交换机的物理内存和cpu的使用量发生变化当出现环路时交换机的cpu和内存出现暴增的情况对排查者来看表现为终端登录卡顿远程连接可能出现无法连接的情况。4上层的交换机生成树状态的变化如果未配置接入交换机的环路检测的功能环路会随着vlan及交换机向上层交换设备泛洪从而导致上层交换机或全局出实现环路的情况在交换机日志中会出现生成树拓扑变更的情况。通过拓扑变更的情况找到对应的交换机并排查三、故障定位1、在核心交换机上查看日志情况及生成树转发情况核心交换机作为生成树的根是所有流量转发的根设备经常性的接收到拓扑变更的情况需要检查同步变更的源头交换设备并登录到该设备上进行检查设备工作状态2、地址漂移的情况固网的情况下出现mac地址漂移次数暴增的情况找到该漂移端口的具体位置及所接的设备分级找到该设备的具体接入故障点3、找到环路设备或多余的线缆需要确认后将其关闭或者清除整体网络才能恢复正常。四、生成树协议和单机防环使用环境1、生成树和单机防环的协议两者的工作原理不一样生成树是协议级防环主动协商阻塞环路检测是机制级防环被动检测流量回环前者适用于复杂网络拓扑后者专防接入层私接小交换机造成的微环。2、生成树在3层网络中通过生成树计算阻塞环路端口实现数据的正常转发阻止环路的发生在实际环境中会通过计算阻塞掉一个端口形成单一的数据流转数3、单交换机防环通过检测本交换机上的流量回环将发生回环的2个端口shutdown从而阻止环路的发生其他端口流量正常转发不会收到环路的影响。概念及命令里表1生成树根桥、指定端口、根端口2root-protection防抢根桥指定端口配置3loop-protection防单通环路根端口配置4edged-port边缘端口接主机或AP等5bpdu-protection接入交换机防止非授权交换机接入6loopback-detection单体交换机防环五、项目中的最佳实践三层环境1、核心交换机数据中心1核心交换机建议开启生成树并开启根桥确认核心交换机的生成树核心交换地位默认mstp[H3C]stp instance 0 root primary 全局开启 级别4096 默认交换机级别32768其他端口也就默认开启了stp协议2其他指定端口开启根保护root-protection[H3C-GigabitEthernet1/0/1]stp root-protection防止抢根非授权交换机的接入2、汇聚交换机楼宇汇聚交换设备1汇聚交换机开启生成树协议命令同上2上联端口开启loop-protection根端口开启防环3其他指定端口开启根保护root-protection3、接入交换机纯粹终端接入1开启全局生成树协议2其他端口开启单体交换机防环loopback-detection3上联端口关闭单体防环4其他端口配置bpdu-protection有交换机接入的情况关闭该选项可以配置root-protection二层环境少了汇聚层接入直接接入核心常见于数据中心区域1、核心层核心层配置如同上三层配置2、接入层配置如同三层模式接入配置六、具体品牌交换机配置1、H3C交换机1核心交换机启用生成树协议[H3C]stp mode mstp 默认情况H3C交换机已经启用了MSTP协议启用并确定根桥[H3C]stp instance 0 root primary启用指定端口根防护[H3C-GigabitEthernet1/0/1]stp root-protection2汇聚交换机启用生成树协议[H3C]stp mode mstp 默认情况H3C交换机已经启用了MSTP协议启用上联根端口[H3C-GigabitEthernet1/0/2]stp loop-protection启用下联口根防护[H3C-GigabitEthernet1/0/3]stp root-protection3接入交换机启用生成树协议[H3C]stp mode mstp 默认情况H3C交换机已经启用了MSTP协议启用上联根端口[H3C-GigabitEthernet1/0/4]stp loop-protection启用其他端口本机防环【端口视图下开启环路检测】#进入接口二在SW1开启接口视图下所有vlan的环路检测。H3Csystem-view[H3C]interface gigabitethernet 1/0/2[H3C-GigabitEthernet1/0/5] loopback-detection global enable vlan all#接口二下配置环路检测处理的模式为端口shutdown。[H3C-GigabitEthernet1/0/5] loopback-detection global action shutdown[H3C-GigabitEthernet1/0/5]quit#保存配置[H3C]save force启用其他边缘端口[H3C-GigabitEthernet1/0/5]stp edged-port启用其他端口BPDU防护[H3C]stp bpdu-protection全局开启[H3C]errdisable recovery cause bpdu-protection[H3C]errdisable recovery interval 3002、华为交换机1核心交换机system-viewsysname Core-Masterstp enablestp mode mstp # 设置实例0为主根桥优先级自动4096 stp instance 0 root primary【核心 ↔ 汇聚 下联Trunk口DP指定端口】interface GigabitEthernet0/0/1port link-type trunkport trunk allow-pass vlan all stp root-protection2汇聚交换机定位上行连接核心下联接入交换机上行口loop-protection关闭环路检测下联接入口root-protection关闭环路检测汇聚交换机不配置 edge-port、bpdu-protection【上行Trunk 连接核心】interface GigabitEthernet0/0/24port link-type trunkport trunk allow-pass vlan allstp loop-protectionundo loopback-detect enable【下联接入交换机 Trunk口】interface GigabitEthernet0/0/1port link-type trunkport trunk allow-pass vlan allstp root-protectionundo loopback-detect enable3接入交换机全局默认边缘端口 BPDU 保护上行口取消边缘端口、配置 loop-protection、关闭环路检测下行用户口开启 loopback-detect 自环检测增加 errdisable 自动恢复system-viewsysname Accessstp enablestp mode mstpstp region-configurationregion-name MST-Arevision-level 1active# 全部端口默认边缘端口stp edged-port default# 全局启用BPDU保护stp bpdu-protection# 配置error-disable自动恢复BPDU保护触发端口关闭后自动恢复errdisable recovery cause bpdu-protectionerrdisable recovery interval 300# 【上联汇聚端口】interface GigabitEthernet0/0/24port link-type trunkport trunk allow-pass vlan allundo stp edged-portstp loop-protectionundo loopback-detect enable# 【下行终端端口 批量配置】port-group group-member GigabitEthernet 0/0/1 to GigabitEthernet 0/0/23port link-type accessloopback-detect enableloopback-detect action shutdown3、锐捷交换机1核心交换机configure terminalsysname Core-Masterspanning-tree mode mstp# MST域配置全网必须相同spanning-tree mst configurationname MST-Arevision 1exit# 设置实例0为主根桥spanning-tree instance 0 root primary# 下联汇聚Trunk口DP指定端口interface GigabitEthernet 0/1switchport mode trunkswitchport trunk allowed vlan allspanning-tree rootguard2汇聚交换机定位上行核心、下联接入不配置 portfast、bpduguardconfigure terminalsysname Aggspanning-tree mode mstpspanning-tree mst configurationname MST-Arevision 1exit# 上行连接核心interface GigabitEthernet 0/24switchport mode trunkswitchport trunk allowed vlan allspanning-tree loopguardno loop-detection enable# 下联接入交换机Trunk口interface GigabitEthernet 0/1switchport mode trunkswitchport trunk allowed vlan allspanning-tree rootguardno loop-detection enable3接入交换机重点全局 portfast bpduguard上行口关闭 portfast、开启 loopguard、关闭环路检测下行 Access 口开启 loop-detection 端口自环检测配置 errdisable 自动恢复configure terminalsysname Accessspanning-tree mode mstpspanning-tree mst configurationname MST-Arevision 1exit# 所有端口默认PortFast边缘端口spanning-tree portfast default# 全局开启BPDU保护spanning-tree bpduguard enable# errdisable自动恢复bpduguard触发端口关闭后自愈errdisable recovery cause bpduguarderrdisable recovery interval 300# 上联汇聚Trunk口interface GigabitEthernet 0/24switchport mode trunkswitchport trunk allowed vlan allno spanning-tree portfastspanning-tree loopguardno loop-detection enable# 批量下行用户端口interface range GigabitEthernet 0/1-23switchport mode accessloop-detection enableloop-detection action shutdown功能锐捷命令部署位置作用Root 根保护spanning-tree rootguard核心 / 汇聚下联交换机 Trunk 口DP阻止下游设备抢占全网根桥Loop 环路保护spanning-tree loopguard汇聚 / 接入上行 Trunk 口RP/Alternate光纤单向通信故障防止环路BPDU 保护spanning-tree bpduguard enable接入交换机配合 portfast边缘端口收到 BPDU 直接 errdisable端口环路检测loop-detection enable接入下行 Access 用户口终端自环、私接傻瓜交换机备注spanning-tree mst configurationname MST-Arevision 1默认情况下如果不手动配置实例映射所有 VLAN 默认归属 instance 0CIST 实例七、总结通过以上分析大型园区使用stp的情况下通过stp和环路防护完全可以实现交换网络环路控制减少业务的中断的风险提高企业的经营效益。2026-07-12合肥
大型企业园区、数据中心我们经常可能会遇到环路的情况遇到该情况时企业的整体网络会出现卡顿一会好一会卡网络无法使用造成整个企业的业务中断对企业的正常生产经营带来的灾难本文章从环路的发现确定故障原因及时终止环路以及项目中交换设备配置的最佳实践另外附上华三、华为、锐捷三家产商交换机环路检测的配置案例。一、环路故障的条件1、大型全交换的的网络生成树协议的使用原本交换网络中的生成树协议用在链路防环生成树对数据传输链路进行环路修剪做到了线路冗余和环路的避免但是在实际的使用中根桥的不确定随意接入交换设备设备间线路的冗余等都有可能导致环路的产生。2、接入交换机的环路检测功能未使用造成环路流量上行波及整个交换网络。从接入测来看由于接入的是终端设备私拉乱接的情况非常严重在这种环境下我们可以配置交换机的环路检测并对出现环路的情况进行端口block或者shutdown从而减少环路的影响波及范围同时对终端接入测接入带有stp协议的交换机自接入测配置交换机bpdu防护阻止交换机的异常接入。二、环路的发现1、环路生成过程中用到的协议生成树协议、环路检测协议1生成树协议https://www.h3c.com/cn/d_200804/603182_30003_0.htm#_Toc3314947922单机环路检测设备自身的环路检测功能当检测到设备本身出现环路的情况将对现有的环路端口进行关闭有三种模式建议选择shutdown模式https://www.h3c.com/cn/d_202503/2386076_30005_0.htm2、发现方式1终端到网关的通讯状态表现为终端到核心网关的出现间歇性的丢包或者网络中断网络通讯异常并表现为大面积的影响范围非一台机器的情况。2交换机日志及流量当配置了交换机环路检测的情况日志会显示端口出现环路检测的状况并出现关闭该端口的情况其次交换机的端口出现流量饱和超出历史使用流量的最高阈值。出现mac地址漂移的情况同一个mac地址在多个端口之间同时学习来回切换次数暴增在有无线终端接入的情况下可能会出现mac地址在多个ap或者交换机之间来回切换的情况这种情况需要区分开3交换机的物理内存和cpu的使用量发生变化当出现环路时交换机的cpu和内存出现暴增的情况对排查者来看表现为终端登录卡顿远程连接可能出现无法连接的情况。4上层的交换机生成树状态的变化如果未配置接入交换机的环路检测的功能环路会随着vlan及交换机向上层交换设备泛洪从而导致上层交换机或全局出实现环路的情况在交换机日志中会出现生成树拓扑变更的情况。通过拓扑变更的情况找到对应的交换机并排查三、故障定位1、在核心交换机上查看日志情况及生成树转发情况核心交换机作为生成树的根是所有流量转发的根设备经常性的接收到拓扑变更的情况需要检查同步变更的源头交换设备并登录到该设备上进行检查设备工作状态2、地址漂移的情况固网的情况下出现mac地址漂移次数暴增的情况找到该漂移端口的具体位置及所接的设备分级找到该设备的具体接入故障点3、找到环路设备或多余的线缆需要确认后将其关闭或者清除整体网络才能恢复正常。四、生成树协议和单机防环使用环境1、生成树和单机防环的协议两者的工作原理不一样生成树是协议级防环主动协商阻塞环路检测是机制级防环被动检测流量回环前者适用于复杂网络拓扑后者专防接入层私接小交换机造成的微环。2、生成树在3层网络中通过生成树计算阻塞环路端口实现数据的正常转发阻止环路的发生在实际环境中会通过计算阻塞掉一个端口形成单一的数据流转数3、单交换机防环通过检测本交换机上的流量回环将发生回环的2个端口shutdown从而阻止环路的发生其他端口流量正常转发不会收到环路的影响。概念及命令里表1生成树根桥、指定端口、根端口2root-protection防抢根桥指定端口配置3loop-protection防单通环路根端口配置4edged-port边缘端口接主机或AP等5bpdu-protection接入交换机防止非授权交换机接入6loopback-detection单体交换机防环五、项目中的最佳实践三层环境1、核心交换机数据中心1核心交换机建议开启生成树并开启根桥确认核心交换机的生成树核心交换地位默认mstp[H3C]stp instance 0 root primary 全局开启 级别4096 默认交换机级别32768其他端口也就默认开启了stp协议2其他指定端口开启根保护root-protection[H3C-GigabitEthernet1/0/1]stp root-protection防止抢根非授权交换机的接入2、汇聚交换机楼宇汇聚交换设备1汇聚交换机开启生成树协议命令同上2上联端口开启loop-protection根端口开启防环3其他指定端口开启根保护root-protection3、接入交换机纯粹终端接入1开启全局生成树协议2其他端口开启单体交换机防环loopback-detection3上联端口关闭单体防环4其他端口配置bpdu-protection有交换机接入的情况关闭该选项可以配置root-protection二层环境少了汇聚层接入直接接入核心常见于数据中心区域1、核心层核心层配置如同上三层配置2、接入层配置如同三层模式接入配置六、具体品牌交换机配置1、H3C交换机1核心交换机启用生成树协议[H3C]stp mode mstp 默认情况H3C交换机已经启用了MSTP协议启用并确定根桥[H3C]stp instance 0 root primary启用指定端口根防护[H3C-GigabitEthernet1/0/1]stp root-protection2汇聚交换机启用生成树协议[H3C]stp mode mstp 默认情况H3C交换机已经启用了MSTP协议启用上联根端口[H3C-GigabitEthernet1/0/2]stp loop-protection启用下联口根防护[H3C-GigabitEthernet1/0/3]stp root-protection3接入交换机启用生成树协议[H3C]stp mode mstp 默认情况H3C交换机已经启用了MSTP协议启用上联根端口[H3C-GigabitEthernet1/0/4]stp loop-protection启用其他端口本机防环【端口视图下开启环路检测】#进入接口二在SW1开启接口视图下所有vlan的环路检测。H3Csystem-view[H3C]interface gigabitethernet 1/0/2[H3C-GigabitEthernet1/0/5] loopback-detection global enable vlan all#接口二下配置环路检测处理的模式为端口shutdown。[H3C-GigabitEthernet1/0/5] loopback-detection global action shutdown[H3C-GigabitEthernet1/0/5]quit#保存配置[H3C]save force启用其他边缘端口[H3C-GigabitEthernet1/0/5]stp edged-port启用其他端口BPDU防护[H3C]stp bpdu-protection全局开启[H3C]errdisable recovery cause bpdu-protection[H3C]errdisable recovery interval 3002、华为交换机1核心交换机system-viewsysname Core-Masterstp enablestp mode mstp # 设置实例0为主根桥优先级自动4096 stp instance 0 root primary【核心 ↔ 汇聚 下联Trunk口DP指定端口】interface GigabitEthernet0/0/1port link-type trunkport trunk allow-pass vlan all stp root-protection2汇聚交换机定位上行连接核心下联接入交换机上行口loop-protection关闭环路检测下联接入口root-protection关闭环路检测汇聚交换机不配置 edge-port、bpdu-protection【上行Trunk 连接核心】interface GigabitEthernet0/0/24port link-type trunkport trunk allow-pass vlan allstp loop-protectionundo loopback-detect enable【下联接入交换机 Trunk口】interface GigabitEthernet0/0/1port link-type trunkport trunk allow-pass vlan allstp root-protectionundo loopback-detect enable3接入交换机全局默认边缘端口 BPDU 保护上行口取消边缘端口、配置 loop-protection、关闭环路检测下行用户口开启 loopback-detect 自环检测增加 errdisable 自动恢复system-viewsysname Accessstp enablestp mode mstpstp region-configurationregion-name MST-Arevision-level 1active# 全部端口默认边缘端口stp edged-port default# 全局启用BPDU保护stp bpdu-protection# 配置error-disable自动恢复BPDU保护触发端口关闭后自动恢复errdisable recovery cause bpdu-protectionerrdisable recovery interval 300# 【上联汇聚端口】interface GigabitEthernet0/0/24port link-type trunkport trunk allow-pass vlan allundo stp edged-portstp loop-protectionundo loopback-detect enable# 【下行终端端口 批量配置】port-group group-member GigabitEthernet 0/0/1 to GigabitEthernet 0/0/23port link-type accessloopback-detect enableloopback-detect action shutdown3、锐捷交换机1核心交换机configure terminalsysname Core-Masterspanning-tree mode mstp# MST域配置全网必须相同spanning-tree mst configurationname MST-Arevision 1exit# 设置实例0为主根桥spanning-tree instance 0 root primary# 下联汇聚Trunk口DP指定端口interface GigabitEthernet 0/1switchport mode trunkswitchport trunk allowed vlan allspanning-tree rootguard2汇聚交换机定位上行核心、下联接入不配置 portfast、bpduguardconfigure terminalsysname Aggspanning-tree mode mstpspanning-tree mst configurationname MST-Arevision 1exit# 上行连接核心interface GigabitEthernet 0/24switchport mode trunkswitchport trunk allowed vlan allspanning-tree loopguardno loop-detection enable# 下联接入交换机Trunk口interface GigabitEthernet 0/1switchport mode trunkswitchport trunk allowed vlan allspanning-tree rootguardno loop-detection enable3接入交换机重点全局 portfast bpduguard上行口关闭 portfast、开启 loopguard、关闭环路检测下行 Access 口开启 loop-detection 端口自环检测配置 errdisable 自动恢复configure terminalsysname Accessspanning-tree mode mstpspanning-tree mst configurationname MST-Arevision 1exit# 所有端口默认PortFast边缘端口spanning-tree portfast default# 全局开启BPDU保护spanning-tree bpduguard enable# errdisable自动恢复bpduguard触发端口关闭后自愈errdisable recovery cause bpduguarderrdisable recovery interval 300# 上联汇聚Trunk口interface GigabitEthernet 0/24switchport mode trunkswitchport trunk allowed vlan allno spanning-tree portfastspanning-tree loopguardno loop-detection enable# 批量下行用户端口interface range GigabitEthernet 0/1-23switchport mode accessloop-detection enableloop-detection action shutdown功能锐捷命令部署位置作用Root 根保护spanning-tree rootguard核心 / 汇聚下联交换机 Trunk 口DP阻止下游设备抢占全网根桥Loop 环路保护spanning-tree loopguard汇聚 / 接入上行 Trunk 口RP/Alternate光纤单向通信故障防止环路BPDU 保护spanning-tree bpduguard enable接入交换机配合 portfast边缘端口收到 BPDU 直接 errdisable端口环路检测loop-detection enable接入下行 Access 用户口终端自环、私接傻瓜交换机备注spanning-tree mst configurationname MST-Arevision 1默认情况下如果不手动配置实例映射所有 VLAN 默认归属 instance 0CIST 实例七、总结通过以上分析大型园区使用stp的情况下通过stp和环路防护完全可以实现交换网络环路控制减少业务的中断的风险提高企业的经营效益。2026-07-12合肥
