1. 項目概述為什么我們需要理解STP的選舉機制如果你管理過稍微復(fù)雜一點的二層網(wǎng)絡(luò)比如一個有幾臺交換機連接起來的辦公網(wǎng)或者小型數(shù)據(jù)中心大概率遇到過網(wǎng)絡(luò)環(huán)路的問題。癥狀很典型網(wǎng)絡(luò)時斷時續(xù)交換機CPU飆升甚至整個網(wǎng)絡(luò)癱瘓。廣播風(fēng)暴就像一場網(wǎng)絡(luò)內(nèi)的“交通大堵塞”數(shù)據(jù)包在環(huán)路里瘋狂打轉(zhuǎn)直到耗盡所有帶寬和交換機資源。生成樹協(xié)議Spanning Tree Protocol STP就是為解決這個問題而生的“交通管制員”。STP的核心思想很巧妙它允許物理上存在環(huán)路但在邏輯上通過阻塞Blocking某些端口來“剪斷”環(huán)路形成一棵無環(huán)的樹狀拓撲。這棵樹是怎么長出來的呢關(guān)鍵就在于選舉。STP通過一套嚴謹?shù)倪x舉算法自動在網(wǎng)絡(luò)中選出唯一的“樹根”根橋并為每個非根橋確定通往樹根的最佳路徑根端口以及在每個網(wǎng)段上選出負責(zé)轉(zhuǎn)發(fā)數(shù)據(jù)的“守門員”指定端口。所有沒被選上的端口則進入阻塞狀態(tài)從而消除環(huán)路。理解根橋、根端口、指定端口的選舉是掌握STP乃至其現(xiàn)代演進版本RSTP MSTP的基石。這不僅僅是背幾個概念而是理解交換機之間如何通過交換BPDU橋協(xié)議數(shù)據(jù)單元這種“選舉選票”來達成共識最終構(gòu)建出一個穩(wěn)定、無環(huán)的邏輯網(wǎng)絡(luò)。無論是進行網(wǎng)絡(luò)排錯、優(yōu)化收斂速度還是規(guī)劃高可用網(wǎng)絡(luò)架構(gòu)這套選舉邏輯都是你繞不開的核心知識。接下來我們就一層層剝開選舉過程的神秘面紗。2. STP選舉的核心邏輯與報文基礎(chǔ)在深入選舉細節(jié)前我們必須先理解STP賴以運作的“貨幣”和“規(guī)則”也就是BPDU報文和關(guān)鍵的比較參數(shù)。STP的所有選舉決策都基于交換機之間定期發(fā)送的BPDU報文。你可以把BPDU想象成候選人的“競選宣言”里面包含了決定選舉結(jié)果的所有關(guān)鍵信息。2.1 BPDU報文選舉的“選票”BPDU有兩種主要類型配置BPDU和TCN BPDU。選舉過程主要使用配置BPDU。每個配置BPDU都攜帶以下核心字段它們構(gòu)成了選舉的四大比較準(zhǔn)則優(yōu)先級依次降低根橋ID這是最重要的字段。它標(biāo)識了發(fā)送此BPDU的交換機所認為的“根橋”是誰。注意BPDU里不一定是發(fā)送者自己的ID而是它當(dāng)前認知的最佳根橋ID。根橋ID由兩部分組成優(yōu)先級 MAC地址。根路徑開銷從發(fā)送此BPDU的交換機到達它所認為的根橋的累計路徑開銷。路徑開銷基于鏈路帶寬帶寬越高開銷值越小。發(fā)送者橋ID發(fā)出這個BPDU的交換機自身的ID同樣由優(yōu)先級 MAC地址組成。發(fā)送者端口ID發(fā)出這個BPDU的端口的ID由端口優(yōu)先級 端口編號組成。選舉的本質(zhì)就是交換機之間互相比較收到的BPDU。比較的順序是嚴格的先比根橋ID根橋ID小的勝出如果根橋ID相同則比較根路徑開銷開銷小的勝出如果前兩項都相同則比較發(fā)送者橋ID小的勝出如果還相同最后比較發(fā)送者端口ID小的勝出。這個“四步比較法”是貫穿所有選舉環(huán)節(jié)的金科玉律。2.2 初始狀態(tài)一切從宣稱自己開始當(dāng)網(wǎng)絡(luò)剛啟動或者拓撲發(fā)生變化時所有交換機都處于一種“無知”狀態(tài)。此時每臺交換機都“自以為王”認為自己是網(wǎng)絡(luò)中的根橋。因此每臺交換機最初發(fā)出的BPDU中其“根橋ID”字段填寫的是自己的橋ID“根路徑開銷”字段填0因為到自己開銷為0“發(fā)送者橋ID”填自己的橋ID“發(fā)送者端口ID”填發(fā)出端口的ID。隨后這些BPDU會在網(wǎng)絡(luò)中洪泛。交換機在每個端口上都會收到來自其他鄰居的BPDU。收到BPDU后交換機會嚴格按照上述“四步比較法”將收到的BPDU與自己在對應(yīng)端口上保存的“最佳BPDU”進行比較。如果收到的BPDU更優(yōu)它就會更新自己的認知并基于這個更優(yōu)的BPDU重新計算和向外發(fā)送新的BPDU。這個過程不斷迭代最終所有交換機都會對“誰是根橋”、“最佳路徑是什么”達成一致網(wǎng)絡(luò)進入穩(wěn)定狀態(tài)。注意這里有一個關(guān)鍵點交換機發(fā)送的BPDU中的“根橋ID”和“根路徑開銷”反映的是它當(dāng)前認知的最佳信息而不是它自己的信息除非它自己就是根橋。這是理解BPDU傳遞和選舉遞推的關(guān)鍵。3. 根橋選舉誰是網(wǎng)絡(luò)的核心根橋是整個生成樹邏輯拓撲的“樹根”是所有流量的匯聚點和中轉(zhuǎn)站。一個穩(wěn)定的網(wǎng)絡(luò)其根橋的位置應(yīng)該經(jīng)過精心規(guī)劃通常要放在網(wǎng)絡(luò)核心、性能最優(yōu)的設(shè)備上。如果讓選舉自動進行結(jié)果可能出乎意料。3.1 選舉過程詳解根橋的選舉非常簡單粗暴全網(wǎng)橋ID最小的交換機獲勝。橋ID是一個8字節(jié)的字段由2字節(jié)的橋優(yōu)先級和6字節(jié)的MAC地址組成。比較規(guī)則首先比較橋優(yōu)先級數(shù)值越小越優(yōu)先。默認優(yōu)先級是32768。如果優(yōu)先級相同則比較MAC地址MAC地址越小越優(yōu)先。選舉過程模擬 假設(shè)網(wǎng)絡(luò)中有三臺交換機SWAMAC: 00-01-02-AA-AA-AA SWBMAC: 00-01-02-BB-BB-BB SWCMAC: 00-01-02-CC-CC-CC。它們優(yōu)先級都是默認的32768。啟動后每臺交換機都向外發(fā)送BPDU宣稱自己是根橋根橋ID自己的橋ID。SWA收到SWB發(fā)來的BPDU比較根橋ID優(yōu)先級都是32768比較MAC00-01-02-AA-AA-AA 00-01-02-BB-BB-BB所以SWA認為自己的BPDU更優(yōu)忽略SWB的。同理SWB收到SWA的BPDU比較后發(fā)現(xiàn)SWA的MAC更小于是SWB承認SWA是更優(yōu)的根橋。SWB停止宣稱自己是根橋轉(zhuǎn)而發(fā)送BPDU其中根橋ID為SWA的ID根路徑開銷為到達SWA的鏈路開銷。SWC也會經(jīng)歷類似過程最終全網(wǎng)所有交換機都認同SWA的橋ID最小SWA當(dāng)選為根橋。3.2 根橋規(guī)劃與優(yōu)化實踐讓STP自動選舉根橋是網(wǎng)絡(luò)管理的大忌。因為MAC地址通常是出廠燒錄的你無法控制哪臺設(shè)備MAC地址更小。這可能導(dǎo)致根橋落在接入層一臺性能羸弱的交換機上使得所有跨交換機的流量都繞道這里形成次優(yōu)路徑和性能瓶頸。實操心得如何手動指定根橋絕對不要依賴自動選舉。最佳實踐是在設(shè)計階段就明確指定根橋和備份根橋。主根橋指定在核心交換機上使用命令spanning-tree vlan [vlan-id] root primary。這條命令會自動將該交換機的優(yōu)先級降低到一個比32768小的值通常是24576確保其當(dāng)選。備份根橋指定在另一臺核心或匯聚交換機上使用命令spanning-tree vlan [vlan-id] root secondary。這條命令會將優(yōu)先級設(shè)置為28672使其成為主根橋失效時的首選接替者。精確控制你也可以直接使用spanning-tree vlan [vlan-id] priority [0-61440]命令將優(yōu)先級設(shè)置為4096的倍數(shù)。數(shù)值越小優(yōu)先級越高。注意事項根橋的選舉是基于每個VLAN的在PVST或MSTP模式下。這意味著不同VLAN可以有不同的根橋以實現(xiàn)流量的負載分擔(dān)。在規(guī)劃時需要對每個VLAN或每個MST實例進行單獨設(shè)計。根橋應(yīng)該放置在網(wǎng)絡(luò)拓撲中心、性能強勁、可靠性高的設(shè)備上。避免放在邊緣或性能差的設(shè)備上。修改優(yōu)先級后會觸發(fā)一次新的生成樹計算可能導(dǎo)致網(wǎng)絡(luò)短暫中斷請在維護窗口操作。4. 根端口選舉尋找回家的最佳路徑確定了“國王”根橋之后其他所有非根交換機都需要確定一條通往國王的“最佳朝圣之路”。這條路徑的終點端口就是該交換機的根端口。每臺非根橋有且只有一個根端口。4.1 選舉過程詳解根端口的選舉是在每臺非根交換機上本地獨立進行的。交換機會在所有非阻塞的端口上分別收集到來自鄰居的BPDU然后為每個端口計算出一個“最佳BPDU”。最后交換機比較所有端口上的“最佳BPDU”擁有最優(yōu)BPDU的那個端口就被選舉為根端口。如何比較哪個端口的BPDU更優(yōu)依然是那“四步比較法”但比較的對象是端口上保存的BPDU信息比較根橋ID所有端口收到的BPDU其根橋ID都應(yīng)該是相同的都是當(dāng)前公認的根橋。所以這一步通常打平。比較根路徑開銷這是決定根端口最關(guān)鍵的一步。交換機將每個端口收到的BPDU中攜帶的“根路徑開銷”加上該端口自身的鏈路開銷得到從本交換機通過該端口到達根橋的總路徑開銷。擁有最小累計根路徑開銷的端口勝出。比較發(fā)送者橋ID如果累計開銷相同例如交換機通過兩個不同的鄰居連接到根橋且兩條鏈路帶寬相同則比較這兩個端口收到的BPDU的“發(fā)送者橋ID”數(shù)值小的勝出。這相當(dāng)于選擇“上游鄰居”中橋ID更小的那條路。比較發(fā)送者端口ID如果連上游鄰居的橋ID都相同例如同一臺交換機的兩個端口連接到本機則比較收到的BPDU中的“發(fā)送者端口ID”數(shù)值小的勝出。這相當(dāng)于選擇對端交換機的那個具體端口。4.2 路徑開銷的計算與影響路徑開銷是選舉根端口的核心依據(jù)。IEEE最初定義了基于鏈路帶寬的舊標(biāo)準(zhǔn)開銷值后來修訂為新標(biāo)準(zhǔn)以適應(yīng)更高的帶寬?，F(xiàn)代交換機通常允許選擇標(biāo)準(zhǔn)。常見鏈路帶寬對應(yīng)的路徑開銷IEEE 802.1D-1998 舊標(biāo)準(zhǔn) / IEEE 802.1t-2001 新標(biāo)準(zhǔn)鏈路帶寬舊標(biāo)準(zhǔn)開銷新標(biāo)準(zhǔn)開銷10 Mbps1002,000,000100 Mbps19200,0001 Gbps420,00010 Gbps22,00040 Gbps-500100 Gbps-200計算示例 假設(shè)根橋是SWA。SWB通過兩個端口連接網(wǎng)絡(luò)端口G1/0/1以1Gbps鏈路直連SWA端口G1/0/2以100Mbps鏈路連接到SWCSWC再以1Gbps鏈路連接SWA。端口G1/0/1的累計開銷收到BPDU開銷(0) 本端口開銷(4) 4 (舊標(biāo)準(zhǔn))端口G1/0/2的累計開銷收到BPDU開銷(4來自SWC) 本端口開銷(19) 23 (舊標(biāo)準(zhǔn)) 顯然端口G1/0/1累計開銷更小因此被選為SWB的根端口。實操心得路徑開銷的調(diào)整有時為了流量工程我們需要讓流量走某條特定路徑。除了調(diào)整根橋位置更精細的方法是調(diào)整路徑開銷。增加開銷在希望被阻塞的端口上使用命令spanning-tree cost [value]手動增加其路徑開銷使其在選舉中“落敗”。減少開銷在希望被選中的端口上手動減少其路徑開銷。注意事項修改路徑開銷的影響范圍是局部的只影響本交換機端口的出方向選舉。務(wù)必在修改前計算清楚避免造成意外的環(huán)路或次優(yōu)路徑。同時確保網(wǎng)絡(luò)兩端設(shè)備采用相同的開銷標(biāo)準(zhǔn)否則可能導(dǎo)致計算不一致。5. 指定端口選舉網(wǎng)段上的唯一轉(zhuǎn)發(fā)者在確定了根橋和每臺非根橋的根端口后生成樹已經(jīng)初步成型但還有一個問題在一個共享網(wǎng)段比如一條直連鏈路或連接Hub的網(wǎng)段上可能連接了多臺交換機。為了避免環(huán)路這個網(wǎng)段上只能有一個端口負責(zé)向該網(wǎng)段轉(zhuǎn)發(fā)流量這個端口就是指定端口。5.1 選舉過程詳解指定端口的選舉是在每個網(wǎng)段上獨立進行的。所有連接到該網(wǎng)段的交換機端口都會參與競選。選舉的目標(biāo)是選出一個“代表”負責(zé)向這個網(wǎng)段轉(zhuǎn)發(fā)來自生成樹方向的流量通常是來自根橋方向的流量。選舉的比較規(guī)則依然是“四步比較法”但比較的內(nèi)容是各端口向外發(fā)送的BPDU注意不是收到的BPDU。哪個端口能發(fā)送出最優(yōu)的BPDU哪個端口就成為該網(wǎng)段的指定端口。具體比較邏輯如下比較BPDU中的根橋ID能發(fā)送出根橋ID最小的BPDU的端口勝出。由于根橋ID全網(wǎng)一致這步通常平局。比較BPDU中的根路徑開銷能發(fā)送出根路徑開銷最小的BPDU的端口勝出。這是最關(guān)鍵的一步。對于一臺交換機來說它發(fā)送的BPDU中的根路徑開銷等于它自己到達根橋的最小累計根路徑開銷即通過其根端口計算出的值。因此在一個網(wǎng)段上哪臺交換機離根橋“更近”累計開銷更小它的端口就能勝出。比較BPDU中的發(fā)送者橋ID如果累計開銷相同則比較發(fā)送BPDU的交換機自身的橋ID小的勝出。比較BPDU中的發(fā)送者端口ID如果連橋ID都相同即同一臺交換機的兩個端口連在同一網(wǎng)段這很少見則比較端口ID小的勝出。一個關(guān)鍵推論根橋的所有活動端口永遠是指定端口。因為根橋發(fā)送的BPDU中根路徑開銷為0這是全網(wǎng)最小的開銷值所以在任何它連接的網(wǎng)段上它都能勝出。5.2 選舉結(jié)果與端口狀態(tài)確定經(jīng)過根橋、根端口、指定端口的三輪選舉后每個端口都有了明確的角色根端口非根交換機上通往根橋的最佳路徑端口。指定端口每個網(wǎng)段上負責(zé)轉(zhuǎn)發(fā)數(shù)據(jù)的端口。非指定端口在網(wǎng)段選舉中失敗的端口。這個端口將被置為阻塞狀態(tài)。阻塞狀態(tài)的端口不會轉(zhuǎn)發(fā)用戶數(shù)據(jù)幀只監(jiān)聽BPDU報文以此物理連通但邏輯斷開環(huán)路。場景示例分析 假設(shè)一個簡單三角拓撲SWA根橋連接SWB和SWCSWB和SWC之間也有一條鏈路。SWA的兩個端口由于是根橋都是指定端口DP。SWB連接SWA的端口收到根橋開銷為0的BPDU累計開銷最小成為SWB的根端口RP。SWC連接SWA的端口同理成為SWC的根端口RP。SWB與SWC之間的鏈路網(wǎng)段需要選舉一個指定端口。SWB和SWC到達根橋SWA的累計開銷相同假設(shè)鏈路帶寬相同。接下來比較橋ID假設(shè)SWB橋ID更小。那么SWB發(fā)送的BPDU更優(yōu)因此SWB連接SWC的端口成為指定端口DP。SWC連接SWB的端口在選舉中失敗成為非指定端口進入阻塞狀態(tài)。至此邏輯樹形成SWA為根SWB和SWC分別通過根端口連接SWASWB-SWC之間的鏈路被SWC側(cè)的阻塞端口邏輯上切斷環(huán)路消除。6. 常見問題與實戰(zhàn)排錯指南理論清晰了但在實際運維中STP問題依然令人頭疼。下面是一些典型問題及其排查思路結(jié)合Wireshark抓包分析讓你能快速定位根源。6.1 典型問題速查表問題現(xiàn)象可能原因排查思路與解決方法網(wǎng)絡(luò)間歇性中斷廣播風(fēng)暴STP未運行或配置錯誤導(dǎo)致環(huán)路根橋位置不佳引起次優(yōu)路徑。1. 使用show spanning-tree檢查各交換機STP狀態(tài)確認無阻塞端口異常轉(zhuǎn)為轉(zhuǎn)發(fā)。2. 檢查根橋是否按規(guī)劃選舉。3. 在關(guān)鍵鏈路抓包查看BPDU是否正常發(fā)送。部分VLAN不通在PVST環(huán)境下某個VLAN的根橋被意外搶占或阻塞端口異常。1. 使用show spanning-tree vlan [id]檢查特定VLAN的拓撲。2. 確認該VLAN的根橋和備份根橋配置是否正確。鏈路聚合后STP異常將多個物理端口加入Eth-Trunk后STP仍基于物理端口處理。1. 確保在Eth-Trunk接口上啟用STP而非僅在物理口上。2. STP將整個聚合組視為一個邏輯端口進行選舉和開銷計算。收斂速度慢使用傳統(tǒng)STP802.1D故障恢復(fù)需要30-50秒。1.強烈建議啟用RSTP802.1w或MSTP802.1s。RSTP能將收斂時間縮短至1-2秒。2. 檢查是否有邊緣端口PortFast配置可應(yīng)用于連接終端設(shè)備的端口。根橋頻繁切換網(wǎng)絡(luò)中有多臺交換機優(yōu)先級相同且MAC地址接近或BPDU報文丟失。1. 手動配置主/備份根橋優(yōu)先級確保差異明顯。2. 檢查鏈路質(zhì)量排除BPDU因丟包導(dǎo)致根橋認知不一致。6.2 實戰(zhàn)排錯使用Wireshark解密BPDU命令行查看狀態(tài)是基礎(chǔ)但抓包分析能讓你看到最真實的選舉過程。在疑似有問題的鏈路或交換機端口上進行鏡像抓包過濾stp或llc協(xié)議。分析要點確認BPDU發(fā)送者查看BPDU中的“Bridge Identifier”發(fā)送者橋ID和“Port Identifier”發(fā)送者端口ID確認是哪臺設(shè)備、哪個端口發(fā)出的。查看根橋信息重點關(guān)注“Root Identifier”字段。全網(wǎng)所有正常的BPDU中這個字段應(yīng)該完全一致即都是當(dāng)前公認的根橋ID。如果發(fā)現(xiàn)不一致說明網(wǎng)絡(luò)中存在“橋ID更小”的設(shè)備在宣稱自己是根這會導(dǎo)致根橋漂移和拓撲震蕩。檢查路徑開銷查看“Root Path Cost”字段。結(jié)合你已知的網(wǎng)絡(luò)拓撲計算這個開銷是否合理。不合理的開銷可能意味著鏈路帶寬協(xié)商錯誤或者某臺交換機上的路徑開銷被手動誤配。觀察BPDU發(fā)送間隔STP默認每2秒發(fā)送一次配置BPDU。如果抓包發(fā)現(xiàn)某臺設(shè)備長時間不發(fā)送BPDU可能是該端口的STP被禁用或者鏈路層故障。一個排錯案例 用戶報告網(wǎng)絡(luò)時快時慢。show spanning-tree顯示根橋是一臺接入層交換機SW-D而非規(guī)劃的核心交換機SW-Core。抓包分析在SW-Core上抓包發(fā)現(xiàn)收到的來自SW-D的BPDU中Root Identifier竟然是SW-D自己且其橋優(yōu)先級為4096低于SW-Core的8192。根源有人在SW-D上錯誤配置了spanning-tree vlan 1 priority 4096。解決在SW-Core上配置spanning-tree vlan 1 root primary在SW-D上恢復(fù)默認優(yōu)先級或配置為spanning-tree vlan 1 root secondary。6.3 高級注意事項與配置技巧BPDU保護在連接終端設(shè)備如PC、服務(wù)器的端口上務(wù)必啟用spanning-tree bpduguard enable。這些端口本不應(yīng)收到BPDU。如果意外收到例如用戶接了一臺交換機該端口會被立即置為err-disable狀態(tài)防止非法設(shè)備擾亂STP拓撲。根保護在不應(yīng)成為根橋的交換機端口上如下聯(lián)口啟用spanning-tree guard root。如果該端口收到了更優(yōu)的BPDU聲稱有更好的根橋端口會進入root-inconsistent阻塞狀態(tài)從而保護當(dāng)前根橋的地位。環(huán)路保護在單向鏈路故障場景下阻塞端口可能收不到BPDU而誤認為路徑失效轉(zhuǎn)而進入轉(zhuǎn)發(fā)狀態(tài)引起環(huán)路。spanning-tree loopguard default可以防止這種情況它讓端口在收不到BPDU時保持在阻塞狀態(tài)。MSTP區(qū)域配置一致如果使用MSTP必須確保區(qū)域內(nèi)所有交換機的MST配置區(qū)域名、修訂號、VLAN與實例的映射關(guān)系完全一致否則會導(dǎo)致生成樹計算分裂形成環(huán)路。理解STP的選舉機制就像是掌握了二層網(wǎng)絡(luò)自我組織的底層語言。從根橋的全局核心地位到根端口的本地最優(yōu)路徑選擇再到指定端口的網(wǎng)段仲裁每一步都體現(xiàn)了分布式系統(tǒng)通過簡單規(guī)則達成復(fù)雜一致性的智慧。雖然傳統(tǒng)STP因其緩慢的收斂速度已逐漸被RSTP/MSTP取代但其選舉思想一脈相承。在實際網(wǎng)絡(luò)中我的建議是永遠不要依賴默認選舉結(jié)果一定要結(jié)合網(wǎng)絡(luò)物理拓撲和流量模型通過手動指定根橋、調(diào)整路徑開銷、啟用保護特性等手段將生成樹的邏輯拓撲掌控在自己手中。配置完成后利用show spanning-tree summary、show spanning-tree vlan [id]等命令進行驗證并在關(guān)鍵鏈路定期進行抓包審計確保網(wǎng)絡(luò)的穩(wěn)定與高效。