大型企业园区、数据中心，我们经常可能会遇到环路的情况，遇到该情况时，企业的整体网络会出现卡顿，一会好，一会卡，网络无法使用，造成整个企业的业务中断，对企业的正常生产经营带来的灾难，本文章从环路的发现，确定故障原因，及时终止环路以及项目中交换设备配置的最佳实践，另外附上华三、华为、锐捷三家产商交换机环路检测的配置案例。

一、环路故障的条件

1、大型全交换的的网络，生成树协议的使用；

原本交换网络中的生成树协议用在链路防环，生成树对数据传输链路进行环路修剪，做到了线路冗余和环路的避免，但是在实际的使用中根桥的不确定，随意接入交换设备，设备间线路的冗余等都有可能导致环路的产生。

2、接入交换机的环路检测功能未使用，造成环路流量上行，波及整个交换网络。

从接入测来看，由于接入的是终端设备，私拉乱接的情况非常严重，在这种环境下，我们可以配置交换机的环路检测，并对出现环路的情况进行端口block或者shutdown，从而减少环路的影响波及范围，同时对终端接入测接入带有stp协议的交换机，自接入测配置交换机bpdu防护，阻止交换机的异常接入。

二、环路的发现

1、环路生成过程中用到的协议：生成树协议、环路检测协议

（1）生成树协议

https://www.h3c.com/cn/d_200804/603182_30003_0.htm#_Toc331494792

（2）单机环路检测

设备自身的环路检测功能，当检测到设备本身出现环路的情况，将对现有的环路端口进行关闭（有三种模式，建议选择shutdown模式）

https://www.h3c.com/cn/d_202503/2386076_30005_0.htm

2、发现方式

（1）终端到网关的通讯状态

表现为终端到核心网关的出现间歇性的丢包或者网络中断，网络通讯异常，并表现为大面积的影响范围非一台机器的情况。

（2）交换机日志及流量

当配置了交换机环路检测的情况，日志会显示端口出现环路检测的状况，并出现关闭该端口的情况；其次交换机的端口出现流量饱和，超出历史使用流量的最高阈值。

出现mac地址漂移的情况，同一个mac地址在多个端口之间同时学习，来回切换次数暴增（在有无线终端接入的情况下，可能会出现mac地址在多个ap或者交换机之间来回切换的情况，这种情况需要区分开）

（3）交换机的物理内存和cpu的使用量发生变化

当出现环路时，交换机的cpu和内存出现暴增的情况，对排查者来看表现为终端登录卡顿，远程连接可能出现无法连接的情况。

（4）上层的交换机生成树状态的变化

如果未配置接入交换机的环路检测的功能，环路会随着vlan及交换机向上层交换设备泛洪，从而导致上层交换机或全局出实现环路的情况，在交换机日志中会出现生成树拓扑变更的情况。（通过拓扑变更的情况找到对应的交换机并排查）

三、故障定位

1、在核心交换机上查看日志情况及生成树转发情况，核心交换机作为生成树的根，是所有流量转发的根设备，经常性的接收到拓扑变更的情况，需要检查同步变更的源头交换设备，并登录到该设备上进行检查设备工作状态；

2、地址漂移的情况，固网的情况下，出现mac地址漂移次数暴增的情况，找到该漂移端口的具体位置及所接的设备，分级找到该设备的具体接入故障点；

3、找到环路设备或多余的线缆，需要确认后，将其关闭或者清除，整体网络才能恢复正常。

四、生成树协议和单机防环使用环境

1、生成树和单机防环的协议两者的工作原理不一样，生成树是协议级防环（主动协商阻塞），环路检测是机制级防环（被动检测流量回环），前者适用于复杂网络拓扑，后者专防接入层私接小交换机造成的微环。

2、生成树在3层网络中，通过生成树计算阻塞环路端口，实现数据的正常转发，阻止环路的发生，在实际环境中会通过计算阻塞掉一个端口，形成单一的数据流转数；

3、单交换机防环，通过检测本交换机上的流量回环，将发生回环的2个端口shutdown，从而阻止环路的发生，其他端口流量正常转发不会收到环路的影响。

概念及命令里表：

（1）生成树根桥、指定端口、根端口

（2）root-protection（防抢根桥）指定端口配置

（3）loop-protection（防单通环路）根端口配置

（4）edged-port（边缘端口，接主机或AP等）

（5）bpdu-protection（接入交换机，防止非授权交换机接入）

（6）loopback-detection（单体交换机防环）

五、项目中的最佳实践

三层环境：

1、核心交换机（数据中心）

（1）核心交换机建议开启生成树，并开启根桥，确认核心交换机的生成树核心交换地位；（默认：mstp）

[H3C]stp instance 0 root primary 全局开启 级别：4096 （默认交换机级别：32768）其他端口也就默认开启了stp协议

（2）其他指定端口开启根保护：root-protection

[H3C-GigabitEthernet1/0/1]stp root-protection（防止抢根，非授权交换机的接入）

2、汇聚交换机（楼宇汇聚交换设备）

（1）汇聚交换机开启生成树协议（命令同上）

（2）上联端口开启loop-protection（根端口开启防环）

（3）其他指定端口开启根保护：root-protection

3、接入交换机（纯粹终端接入）

（1）开启全局生成树协议

（2）其他端口开启单体交换机防环（loopback-detection）

（3）上联端口关闭单体防环

（4）其他端口配置bpdu-protection（有交换机接入的情况，关闭该选项，可以配置root-protection）

二层环境：（少了汇聚层，接入直接接入核心，常见于数据中心区域）

1、核心层（核心层配置如同上三层配置）

2、接入层（配置如同三层模式接入配置）

六、具体品牌交换机配置

1、H3C交换机

（1）核心交换机

启用生成树协议：[H3C]stp mode mstp （默认情况H3C交换机已经启用了MSTP协议）

启用并确定根桥：[H3C]stp instance 0 root primary

启用指定端口根防护：[H3C-GigabitEthernet1/0/1]stp root-protection

（2）汇聚交换机

启用生成树协议：[H3C]stp mode mstp （默认情况H3C交换机已经启用了MSTP协议）

启用上联根端口：[H3C-GigabitEthernet1/0/2]stp loop-protection

启用下联口根防护：[H3C-GigabitEthernet1/0/3]stp root-protection

（3）接入交换机

启用生成树协议：[H3C]stp mode mstp （默认情况H3C交换机已经启用了MSTP协议）

启用上联根端口：[H3C-GigabitEthernet1/0/4]stp loop-protection

启用其他端口本机防环：

【端口视图下开启环路检测】

#进入接口二，在SW1开启接口视图下所有vlan的环路检测。

<H3C>system-view

[H3C]interface gigabitethernet 1/0/2

[H3C-GigabitEthernet1/0/5] loopback-detection global enable vlan all

#接口二下配置环路检测处理的模式为端口shutdown。

[H3C-GigabitEthernet1/0/5] loopback-detection global action shutdown

[H3C-GigabitEthernet1/0/5]quit

#保存配置

[H3C]save force

启用其他边缘端口：[H3C-GigabitEthernet1/0/5]stp edged-port

启用其他端口BPDU防护：[H3C]stp bpdu-protection（全局开启）

[H3C]errdisable recovery cause bpdu-protection

[H3C]errdisable recovery interval 300

2、华为交换机

（1）核心交换机

system-view

sysname Core-Master

stp enable

stp mode mstp # 设置实例0为主根桥，优先级自动4096 stp instance 0 root primary

【核心 ↔ 汇聚 下联Trunk口（DP指定端口）】

interface GigabitEthernet0/0/1

port link-type trunk

port trunk allow-pass vlan all stp root-protection

（2）汇聚交换机

定位：上行连接核心，下联接入交换机

1. 上行口：loop-protection，关闭环路检测
2. 下联接入口：root-protection，关闭环路检测
3. 汇聚交换机不配置 edge-port、bpdu-protection

【上行Trunk 连接核心】

interface GigabitEthernet0/0/24

port link-type trunk

port trunk allow-pass vlan all

stp loop-protection

undo loopback-detect enable

【下联接入交换机 Trunk口】

interface GigabitEthernet0/0/1

port link-type trunk

port trunk allow-pass vlan all

stp root-protection

undo loopback-detect enable

（3）接入交换机

全局默认边缘端口 + BPDU 保护

上行口取消边缘端口、配置 loop-protection、关闭环路检测

下行用户口开启 loopback-detect 自环检测

增加 errdisable 自动恢复

system-view

sysname Access

stp enable

stp mode mstp

stp region-configuration

region-name MST-A

revision-level 1

active

# 全部端口默认边缘端口

stp edged-port default

# 全局启用BPDU保护

stp bpdu-protection

# 配置error-disable自动恢复（BPDU保护触发端口关闭后自动恢复）

errdisable recovery cause bpdu-protection

errdisable recovery interval 300

# 【上联汇聚端口】

interface GigabitEthernet0/0/24

port link-type trunk

port trunk allow-pass vlan all

undo stp edged-port

stp loop-protection

undo loopback-detect enable

# 【下行终端端口 批量配置】

port-group group-member GigabitEthernet 0/0/1 to GigabitEthernet 0/0/23

port link-type access

loopback-detect enable

loopback-detect action shutdown

3、锐捷交换机

（1）核心交换机

configure terminal

sysname Core-Master

spanning-tree mode mstp

# MST域配置（全网必须相同）

spanning-tree mst configuration

name MST-A

revision 1

exit

# 设置实例0为主根桥

spanning-tree instance 0 root primary

# =========下联汇聚Trunk口（DP指定端口）=========

interface GigabitEthernet 0/1

switchport mode trunk

switchport trunk allowed vlan all

spanning-tree rootguard

（2）汇聚交换机

定位：上行核心、下联接入；不配置 portfast、bpduguard

configure terminal

sysname Agg

spanning-tree mode mstp

spanning-tree mst configuration

name MST-A

revision 1

exit

# =========上行连接核心=========

interface GigabitEthernet 0/24

switchport mode trunk

switchport trunk allowed vlan all

spanning-tree loopguard

no loop-detection enable

# =========下联接入交换机Trunk口=========

interface GigabitEthernet 0/1

switchport mode trunk

switchport trunk allowed vlan all

spanning-tree rootguard

no loop-detection enable

（3）接入交换机

重点：

• 全局 portfast + bpduguard
• 上行口关闭 portfast、开启 loopguard、关闭环路检测
• 下行 Access 口开启 loop-detection 端口自环检测
• 配置 errdisable 自动恢复

configure terminal

sysname Access

spanning-tree mode mstp

spanning-tree mst configuration

name MST-A

revision 1

exit

# 所有端口默认PortFast边缘端口

spanning-tree portfast default

# 全局开启BPDU保护

spanning-tree bpduguard enable

# errdisable自动恢复（bpduguard触发端口关闭后自愈）

errdisable recovery cause bpduguard

errdisable recovery interval 300

# =========上联汇聚Trunk口=========

interface GigabitEthernet 0/24

switchport mode trunk

switchport trunk allowed vlan all

no spanning-tree portfast

spanning-tree loopguard

no loop-detection enable

# =========批量下行用户端口=========

interface range GigabitEthernet 0/1-23

switchport mode access

loop-detection enable

loop-detection action shutdown

备注：spanning-tree mst configuration

name MST-A

revision 1

默认情况下：如果不手动配置实例映射，所有 VLAN 默认归属 instance 0（CIST 实例）

七、总结

通过以上分析，大型园区使用stp的情况下，通过stp和环路防护完全可以实现交换网络环路控制，减少业务的中断的风险，提高企业的经营效益。

2026-07-12

合肥