适用场景

二层环路是内网最凶的故障之一：一个接错的口，几分钟能把全网打瘫。防的手段就三样：STP 配置规范、接入口开 BPDU 保护、聚合链路正确配置并验证。

配置步骤（链路聚合 LACP 配置与验证）

# 1) 静态/动态聚合（示例：动态 LACP）
interface Bridge-Aggregation 1
 link-aggregation mode dynamic
 port link-type trunk
 port trunk permit vlan all

interface GigabitEthernet1/0/1
 port link-aggregation group 1
interface GigabitEthernet1/0/2
 port link-aggregation group 1

# 2) 验证
 display link-aggregation verbose
# 关注：成员口是否 Selected（Unselected 说明对端不一致）

# 3) 常见不一致原因
#  - 对端未配置聚合
#  - 成员口速率/双工不一致
#  - VLAN 允许列表不一致
#  - 一端静态一端动态

# 4) 故障演练：拔掉一个成员口，观察流量是否平滑

关键参数与建议

  • STP 模式统一：全网统一 RSTP 或 MSTP，避免混用
  • 根桥固定：核心交换机手工设为根桥（优先级 0 或 4096），不要让接入设备抢根
  • 边缘端口：接入口启用边缘端口 + BPDU 保护（接到交换机/环路时自动 err-disable）
  • 聚合规范：跨设备聚合用堆叠/M-LAG，成员口数量与速率一致，模式用 LACP
  • 流量分布：配置合适的哈希（源+目的 MAC/IP），避免单成员口跑满
  • 告警：STP 拓扑变更、端口 err-disable、广播包速率异常要告警
  • 巡检：根桥、阻塞端口、聚合状态、错误计数按月看
  • 接入口：面向用户/办公区端口一律不做 Trunk，防止私接交换机

容易踩的坑

  • 一端做了聚合另一端没做，形成环路或丢包
  • 成员口跨不同板卡/设备但没做跨设备聚合（M-LAG/堆叠）
  • 成员口速率不一致，只有一个 Selected
  • 聚合容量算成全部成员之和，实际哈希不均
  • 聚合上跑关键业务却没做成员口故障演练
  • 只看接口 Up，不看聚合是否 Selected

验证与巡检

display link-aggregation verbose | include 'Selected|Unselected|Aggregation'
display interface Bridge-Aggregation 1

# 关键：全部成员 Selected；无错误计数增长
# 演练：断开成员口，业务不中断
  • 巡检：成员口全 Selected、速率一致、VLAN 一致、半年一次断开演练

小结

二层验收：接入口插成环不瘫网（BPDU 保护生效）、根桥与设计一致、聚合链路状态正常、广播速率在阈值内。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。