二层排障 · 35 分钟
二层环路应急处置
根据广播、MAC 漂移和拓扑变化证据隔离环路并恢复业务。
1. 需求与验收
楼层网络出现广播风暴，需先止损、再定位根因，禁止通过重启全部交换机碰运气。
学习目标
- 能够解释“二层环路应急处置”的业务目标、技术前提和影响范围。
- 能够比较四厂商关键命令差异并按计划完成配置、验证与回滚。
- 能够根据设备状态和端到端业务证据定位常见错误，而不是依赖试错。
业务验收标准
- 基础实验区 VLAN 100、进阶实验区 VLAN 110 的端口、VLAN 与地址状态和规划表一致。
- 验证清单全部达到预期，且未影响范围外业务。
- 能够使用变更前证据完成回滚并恢复原业务状态。
2. 范围、风险与窗口
范围约束
- 只变更本案例需求和步骤明确列出的对象。
- 管理连接中断、合法业务失败或输出偏离预期时立即停止并回滚。
不在范围
- 运营商公网、终端操作系统和应用内部配置不在本案例范围。
维护窗口：建议预留 90 分钟，最后 15 分钟只用于验收和回滚判断。
影响：可能中断范围内业务或放宽安全边界。
缓解：执行前按设备、接口、VLAN/前缀和方向四项交叉核对。
影响：交付后仍可能存在回程、策略或故障切换问题。
缓解：同时执行配置、协议/表项和业务正反例验收。
3. 现网与目标拓扑
现网状态
当前状态尚未满足“楼层网络出现广播风暴，需先止损、再定位根因，禁止通过重启全部交换机碰运气。”；实施前必须用本案例前检命令记录真实设备、接口、协议和业务基线。
目标拓扑
4. 设备与接口
| 设备 | 接口 | 对端 | 用途 | 类型 |
|---|---|---|---|---|
| Access-SW1 | GE0/0/1 | Client-1 Ethernet0 | 业务终端接入与正反例测试 | Access |
| Access-SW1 | GE0/0/24 | Core-SW1 GE0/0/24 | 接入到核心的受控上联 | Trunk |
5. VLAN 与 IP 规划
| 区域 | VLAN | 网段 | 网关 |
|---|---|---|---|
| 办公网 | 10 | 10.10.10.0/24 | 10.10.10.1 |
6. 实施前检查
- 确认设备型号、软件版本、当前提示符和带外路径。
- 导出当前配置并采集相关接口、表项、协议和日志。
- 从真实终端保存变更前允许与禁止业务结果。
7. 实施步骤
- 确认范围并冻结基线
核对需求“楼层网络出现广播风暴，需先止损、再定位根因，禁止通过重启全部交换机碰运气。”，采集设备、接口、配置、协议和业务现状，确认维护窗口、停止条件及带外路径。
- 配置广播风暴抑制
在办公接入口把广播上升阈值设置为 1%，下降阈值设置为 0.5%，并观察计数而不直接关闭接口。 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 配置二层环路检测
在测试接入口启用环路检测和关闭动作，通过受控回环验证告警、接口动作与恢复流程。 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 查看 MAC 漂移与移动记录
根据同一 MAC 在不同接口间移动定位环路或接线错误 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 查看生成树拓扑变化统计
确认拓扑变化次数、最近来源端口和发生时间 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 执行正反例和回滚演练
按案例验收项分别证明允许业务成功、禁止业务被拒绝；触发停止条件时只撤销本案例对象，并重复原测试。
- 提交证据并交接
提交实际配置差异、验证输出、故障记录、回滚结果和遗留风险，由实施人与审核人分别签字。
8. 四厂商配置
华为 · Campus-Core-1
VRP · V200R019 及以上 / V200R019 及以上（支持环回检测的平台）
interface GigabitEthernet 0/0/1 broadcast-suppression pps 1000 system-view interface GigabitEthernet 0/0/1 loopback-detect enable loopback-detect action shutdown display mac-address flapping record display stp topology-change
华三 · Campus-Core-1
Comware · 7.1 及以上 / 7.1 及以上（支持环回检测的平台）
interface GigabitEthernet 1/0/1 broadcast-suppression pps 1000 system-view loopback-detection global enable interface GigabitEthernet 1/0/1 loopback-detection enable loopback-detection action shutdown display mac-address mac-move display stp tc
思科 · Campus-Core-1
IOS · 15.2 及以上
configure terminal interface GigabitEthernet0/1 storm-control broadcast level 1.00 0.50 storm-control action trap configure terminal interface GigabitEthernet0/1 spanning-tree guard loop show mac address-table notification mac-move show spanning-tree detail | include topology change|from
锐捷 · Campus-Core-1
RGOS · 11.x 及以上
configure terminal interface GigabitEthernet 0/1 storm-control broadcast level 1.00 0.50 configure terminal interface GigabitEthernet0/1 spanning-tree guard loop show mac address-table move update show spanning-tree detail | include topology change|from
9. 验证与验收
display interface GigabitEthernet 0/0/1检查接口广播计数、丢弃计数和抑制配置是否符合预期。
display loopback-detect核对启用接口、检测状态和异常动作记录。
display mac-address flapping statistics读取实际状态或计数器，确认“根据同一 MAC 在不同接口间移动定位环路或接线错误”已经满足。
display stp brief读取实际状态或计数器，确认“确认拓扑变化次数、最近来源端口和发生时间”已经满足。
10. 故障定位
合法广播流量被丢弃，可能导致地址解析或业务发现异常。；先采集正常峰值，再分阶段设置阈值并观察丢弃计数。
受保护端口继续中断，合法终端无法接入。；确认环路已经消除，再按设备恢复机制或接口启停流程恢复并观察。
仅凭配置回显判断成功，可能遗漏接口状态、协议协商或上下游不一致。；执行 display mac-address flapping statistics，结合变更前基线和对端状态逐项复核；异常时使用本主题回滚命令恢复。
仅凭配置回显判断成功，可能遗漏接口状态、协议协商或上下游不一致。；执行 display stp brief，结合变更前基线和对端状态逐项复核；异常时使用本主题回滚命令恢复。
11. 回滚方法
华为
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
undo broadcast-suppression undo loopback-detect action shutdown 无需回滚（只读操作） 无需回滚（只读操作）
华三
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
undo broadcast-suppression undo loopback-detection action shutdown 无需回滚（只读操作） 无需回滚（只读操作）
思科
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
no storm-control action trap no spanning-tree guard loop 无需回滚（只读操作） 无需回滚（只读操作）
锐捷
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
no storm-control broadcast level 1.00 0.50 no spanning-tree guard loop 无需回滚（只读操作） 无需回滚（只读操作）
12. 交付物
- 变更前基线、需求与影响范围确认记录。
- 实际配置差异及配置、协议/表项、业务三层验证证据。
- 异常、停止、回滚和复测记录，以及交接后的责任人与巡检项。