做网络这行你要是没在半夜被电话叫醒处理过全网瘫痪职业生涯可能都不算完整。而十次瘫痪里至少有三四次跟二层环路脱不了干系。STP生成树协议这个从IEEE 802.1D年代就存在的协议说它老掉牙也好说它过时也罢它至今仍然是每一台交换机上的默认守护者。这篇文章想把我自己这些年对STP的理解、从标准STP到RSTP再到MSTP的演进脉络以及一套实际可用的MSTP负载均衡配置一次性串起来讲清楚。不管你是刚考软考网络工程师的新人还是在机房熬了多年的老兵这篇都值得你花十分钟读完。1. 一次广播风暴事故理解为什么要破环1.1 事故经过双链路冗余为何反而宕机前几年帮一个客户做核心网络改造拓扑很简单两台核心交换机下挂四台接入交换机每台接入都分别上联到两台核心形成冗余。原以为双上联是高可用设计结果上线一个月某个晚间业务低峰期全网突然卡死ping网关延迟从1ms飙到3000多ms连管理网段都进不去。我远程登录核心设备CPU占用率直接顶到99%接口计数器里广播包数量以每秒几万个的速度疯涨。这个故障的根源就是二层环路。接入交换机同时连了两台核心核心之间又有一条互联链路物理拓扑上就形成了一个环。冗余链路本来是好事可在没有破环机制的二层网络里它就是广播帧的放大器。1.2 二层环路的本质广播帧的自我复制二层交换机的转发依据是MAC地址表。一个广播帧到达交换机后交换机会把它从除了入接口以外的所有接口复制转发出去。如果网络里存在环路这个广播帧就会在环上不断循环每经过一台交换机就复制一次数量按指数级别膨胀。比如一个广播帧从A口进来从B口和C口出去经过环路上的其他交换机又绕回来从这个A口重新进入交换机然后再次从B、C口发出去。如此反复几秒钟就能把交换机的CPU和带宽全部占满。更麻烦的是MAC地址表也会在这种风暴中疯狂抖动。交换机原本学习到的正确MAC地址对应关系被不断刷新成错误条目导致单播帧也开始被泛洪。这就是为什么环路故障不仅仅是慢而是整张网彻底不可用。1.3 破环的两个思路链路聚合与生成树解决环路直觉上最直接的办法是把冗余链路捆成一条。这就是链路聚合Link Aggregation的思路——把多条物理链路聚合成一条逻辑链路既增加了带宽又不会产生环路。但链路聚合要求所有成员链路连接的是同一对设备物理上存在局限性。更通用的方案是生成树协议。它的核心思想很简单物理拓扑上允许有环但逻辑上通过阻塞某些冗余端口把环形的物理拓扑修剪成一棵无环的树。拓扑发生改变时再重新计算并放开备份链路。这样既保留了冗余链路的可用性又避免了循环转发。STP就是干这个事的。2. STP原理精读BPDU、根桥选举、端口状态机2.1 BPDU报文字段与传递规则STP的工作基础是BPDUBridge Protocol Data Unit桥协议数据单元。交换机之间通过交换BPDU来传递生成树信息。每个BPDU里最关键的几个字段是根桥IDRoot ID、桥IDBridge ID、路径开销Path Cost、端口IDPort ID以及一系列计时器参数。BPDU的传递规则可以这样理解整个网络先选出一个根桥然后其他所有交换机从根桥方向学习信息并把自己计算出的到根桥的最短路径开销写入BPDU继续向下游传递。正常情况下根桥每2秒主动发送一次配置BPDU非根桥收到之后会更新自己的信息并继续转发。如果某台交换机在Max Age默认20秒内一直收不到更优的BPDU它就认为上游路径出了问题会重新发起生成树计算。2.2 根桥和根端口的选择逻辑生成树计算的第一步是选举根桥。比较依据是Bridge ID它由两部分组成优先级默认32768可配置步长4096加上交换机的MAC地址。优先级数值越小越优如果优先级相同MAC地址越小越优。所以两台默认配置的交换机MAC小的那台会成为根桥——这就是为什么很多人发现根桥莫名其妙是一台不起眼的设备。选出根桥之后每台非根桥交换机要确定自己的根端口RPRoot Port即到达根桥路径开销最小的那个端口。如果两条路径开销一样就比较对端交换机的Bridge ID再相同就比较对端端口ID直到选出一个确定的结果。每条链路上还要确定一个指定端口DPDesignated Port这条链路上离根桥更近的一端会成为指定端口负责向对端转发BPDU。剩下的既不是根端口也不是指定端口的端口统统进入阻塞状态Blocking。2.3 从Blocking到Forwarding端口状态的完整旅程传统STP的端口状态有五种Disabled、Blocking、Listening、Learning、Forwarding。这里最值得记住的是Blocking到Forwarding的耗时过程Blocking状态持续20秒Max Age这是等待故障恢复的窗口之后进入Listening状态持续15秒Forward Delay这时候端口参与BPDU的收发和根桥选举但不转发数据再进入Learning状态也是15秒开始学习MAC地址但依然不转发数据最后进入Forwarding状态正常转发数据帧所以一个端口从阻塞到真正能转发数据最长需要50秒。这50秒就是传统STP的收敛时间也是它被诟病的最大痛点链路故障后备份链路要等将近一分钟才能激活对现代业务来说完全不可接受。2.4 手动推演一个三台交换机的最小拓扑为了把选举过程讲透我拿三台交换机举例。假定SW1优先级最高比如4096成为根桥SW2和SW3分别通过两条链路连到SW1SW2和SW3之间也有一条链路形成一个三角形环。根桥是SW1它上面所有端口都是指定端口处于Forwarding状态。SW2面对两条候选路径一条直连SW1开销假设为20000百兆链路另一条经过SW3再到SW1开销是200002000040000。所以SW2直连SW1的端口会成为根端口。SW3同理直连SW1的端口是根端口。最后看SW2和SW3之间的那条链路两端谁是指定端口比较到根桥的开销SW2的开销是20000SW3也是20000那就比较端口所在交换机的Bridge ID假设SW2更优SW2侧的端口成为指定端口SW3侧端口被阻塞。这个推演过程并不复杂但它是理解一切生成树变体的基础。无论是RSTP还是MSTP选举的根本逻辑都是比开销、比ID、比端口只是效率和维度发生了变化。3. 传统STP的三大痛点与RSTP的加速思路3.1 50秒收敛一个用户就能感知的故障窗口传统STP最大的问题就是慢。50秒的收敛时间意味着当核心链路断开终端用户会经历将近一分钟的网络中断。这在办公网络里可能只是抱怨几句但在证券交易、工业生产控制这类场景里一分钟的断网可能意味着真金白银的损失。慢的根本原因在于它的老化机制太保守。端口状态迁移必须依靠一系列计时器超时才能推进协议本身没有主动确认机制只能被动地等待。就像一个人过马路明明绿灯亮了还要站在原地等20秒确认没车才肯迈步效率自然低。3.2 P/A握手与边缘端口把收敛时间压到毫秒级RSTPRapid Spanning Tree ProtocolIEEE 802.1w解决的思路是不再依赖计时器而是引入主动握手机制。当一条链路上的指定端口和下游端口建立连接时双方通过Proposal/AgreementP/A握手上游端口发送Proposal下游端口如果确认自己不是根端口就发送Agreement应答双方立刻进入Forwarding状态。整个过程只需要一个握手周期不再需要等待15秒或20秒的计时器。RSTP还引入了边缘端口Edge Port概念。连接终端PC、打印机、服务器的端口理论上不会接收到BPDU也就不可能形成环路这些端口可以直接进入Forwarding状态省去完整的状态迁移过程。不过要注意如果边缘端口意外收到了BPDU说明有人把交换机接错了位置这时候需要有保护机制来处理后面我会专门讲。RSTP还重新定义了端口角色增加了Alternate替代端口根端口的备份和Backup备份端口指定端口的备份这让拓扑变更时的切换路径更加明确。3.3 从PVST到MSTPVLAN与生成树的绑定关系传统STP和RSTP都是在整个交换网络里运行一棵生成树所有VLAN共用一条逻辑转发路径。这意味着不管你有多少个VLAN所有流量都走同一条树状路径冗余链路永远处于阻塞状态带宽利用率很低。思科率先提出了PVSTPer VLAN Spanning Tree每VLAN生成树每个VLAN单独运行一棵生成树。这样不同VLAN的流量可以走不同的路径实现了二层负载均衡。但PVST有个问题VLAN数量多时BPDU的数量和CPU开销都成倍增长而且它是思科私有协议跨厂商互通很麻烦。IEEE 802.1s标准的MSTPMultiple Spanning Tree Protocol多生成树协议就是来统一这个局面的。它把多个VLAN映射到同一个生成树实例Instance里每个实例独立选举根桥、独立计算路径。这样既保留了负载均衡能力又把实例数量控制在一个合理范围内还能通过标准报文与其他厂商设备互通。华为设备上的MSTP实现也遵循这个标准。4. MSTP负载均衡实战拓扑规划、配置到验证4.1 负载均衡的原理不同VLAN走不同实例MSTP实现负载均衡的逻辑一句话就能讲明白把不同的VLAN划分到不同的实例再让不同的交换机分别成为这些实例的根桥数据流量就会按照VLAN的归属被引导到不同的上行路径上。比如你有VLAN 10、20、30、40四个业务网段四台接入交换机都双上联到核心SW1和SW2。传统STP只会保留一条上行链路另外一条所有VLAN都阻塞。MSTP的做法是实例1承载VLAN 10和20让SW1当根桥那么这两个VLAN的流量默认从SW1走实例2承载VLAN 30和40让SW2当根桥这两个VLAN的流量默认从SW2走。两边核心都有流量经过两条上行链路都被利用起来而且任意一台核心宕机另一台还能通过实例角色切换接管全部VLAN。4.2 实战拓扑双核心四台接入这次实验环境我用的是一对华为S5720做核心四台S5700做接入。设备型号不重要命令逻辑在华为全系列交换机上都一致。物理连接如下SW1和SW2之间两条链路做链路聚合Eth-Trunk 1保证核心之间的大带宽和无环接入交换机SW3、SW4、SW5、SW6分别用两条GE口上联SW1和SW2VLAN规划VLAN 10、20划给实例1VLAN 30、40划给实例2这里有个规划细节核心之间先做链路聚合再让接入交换机双上联到两台核心物理上确实还存在通过接入交换机构成的环路所以MSTP依然需要运行。但核心互联从两条物理链路变成一条逻辑链路生成树的计算结果会更稳定也不会因为核心链路单点故障导致STP重新收敛。4.3 华为设备MSTP完整配置过程首先在所有交换机上启用MSTP并配置区域。同一区域内的交换机区域名、修订版本号、VLAN与实例的映射关系必须完全一致否则它们会被视为不同的MST区域生成树计算会变成区域间协作而不是区域内协作。SW1上的配置sysname SW1 vlan batch 10 20 30 40 stp mode mstp stp region-configuration region-name LAB revision-level 1 instance 1 vlan 10 20 instance 2 vlan 30 40 active region-configuration这一步的关键是active region-configuration很多人配置完实例映射后忘了执行这条命令导致配置没有生效。接着为SW1设置实例优先级让它成为实例1的根桥、实例2的备份根桥stp instance 1 priority 4096 stp instance 2 priority 8192SW2上的配置除了实例优先级相反之外其余完全相同sysname SW2 vlan batch 10 20 30 40 stp mode mstp stp region-configuration region-name LAB revision-level 1 instance 1 vlan 10 20 instance 2 vlan 30 40 active region-configuration stp instance 1 priority 8192 stp instance 2 priority 4096接入交换机SW3到SW6的配置只需要启用MSTP并同步区域配置即可不需要手动调整优先级。它们会自动选举各自的根端口和指定端口。以SW3为例sysname SW3 vlan batch 10 20 30 40 stp mode mstp stp region-configuration region-name LAB revision-level 1 instance 1 vlan 10 20 instance 2 vlan 30 40 active region-configuration这样实例1的根桥是SW1实例2的根桥是SW2。接入交换机上实例1的根端口会倾向于选择上联SW1的那条链路实例2的根端口倾向于选择上联SW2的那条链路。流量自然被分流。4.4 验证与效果display stp命令怎么看配置完成后重点用几条display命令验证。先看区域配置是否一致display stp region-configuration输出会显示区域名、修订级别和实例映射表。四台接入交换机的输出必须完全一致。再看每个实例的根桥信息display stp instance 1 brief display stp instance 2 briefinstance 1的Bridge ID应该是SW1的桥IDinstance 2的应该是SW2的。如果发现两个实例的根桥都是同一台设备说明优先级配置没生效或者BPDU没有正常传递。查看端口角色是验证负载均衡是否生效的关键。在SW3上执行display stp instance 1 interface GigabitEthernet0/0/1 brief display stp instance 2 interface GigabitEthernet0/0/1 brief正常情况下连接SW1的GE0/0/1在实例1里是根端口Role为Root连接SW2的GE0/0/2在实例1里是替代端口Alternate处于阻塞状态而实例2恰好相反。这就说明VLAN 10、20的流量从SW3上行走了SW1方向VLAN 30、40走了SW2方向。5. MSTP运维实战中的坑与防护配置5.1 实例映射不一致一个区域边界上的经典事故MSTP最隐蔽的坑是不同设备上的VLAN和实例映射不一致。比如SW3上配置的是instance 1对应VLAN 10、20而SW4上配置的是instance 1对应VLAN 10、30。两台设备虽然区域名相同但映射表不一致它们会被视为分属两个MST区域。此时跨区域的链路会按照CIST公共与内部生成树来协商区域边界端口会阻塞掉一部分VLAN的流量表现为某几个VLAN突然不通而display stp看端口状态还是正常的。排查这种问题一定要把每台设备的display stp region-configuration输出拉出来逐条对比。我在实际运维中用脚本批量采集所有交换机的区域配置比对映射表一次就抓出了三台接入交换机的配置偏差。这个经验值得推广任何涉及MSTP网络的变更区域配置比对应该作为变更前的强制检查项。5.2 根桥位置设计数据流量与生成树流量的关系根桥的位置直接决定数据流量的走向。很多人以为配置了优先级根桥就一定会按预期工作但其实还要考虑上游设备的桥ID。如果网络里混着不同品牌的交换机默认优先级都是32768MAC地址小的那台会成为根桥。你可能精心设计了SW1当实例1的根桥但由于SW3的MAC比SW1小在某些实例上SW3意外当选了根桥导致所有流量在接入层就绕了一圈上行链路带宽被浪费。我的建议是所有核心设备显式配置较低优先级接入设备保持默认或配置更高优先级。同时定期用display stp检查每个实例的根桥是否与设计一致。因为MSTP负载均衡的本质是流量跟着根桥走根桥选错负载均衡就是空谈。5.3 生成树安全防护BPDU保护与根保护生产网络中端口误接交换机、恶意设备伪造BPDU、配置错误导致根桥漂移这些事我都遇到过。有三类防护必须配BPDU保护BPDU Protection用于边缘端口。如果某个下联PC的端口意外收到了BPDU说明有人接入了交换机BPDU保护会让这个端口直接进入Error-Down状态防止环路扩散。配置命令是stp bpdu-protection加上这条全局命令后所有边缘端口自动获得BPDU保护能力。Error-Down的接口需要手动恢复也可以用restart auto-recovery使能自动恢复。根保护Root Protection用于指定端口。它保证配置了根保护的端口即使收到更优的BPDU也不会让交换机改变自己的根桥角色。如果你的核心交换机是手工指定的根桥在所有指定端口上配置根保护非常有必要。配置命令interface GigabitEthernet0/0/1 stp root-protection环路保护Loop Protection解决的是单向链路故障问题。当交换机只收不到BPDU但链路上还有数据流量时标准STP会误判上游故障而放开阻塞端口形成新环路。环路保护会让该端口在收不到BPDU时进入Discarding状态而不是Forwarding状态从根上避免这种假故障。这个配置建议加在所有根端口和替代端口上。最后提一下TC保护。频繁的拓扑变更会产生大量TCN BPDU冲击CPU。华为设备默认开启TC保护每2秒内最多只处理一定数量的拓扑变更消息这能有效防止上层设备CPU过载。配置命令stp tc-protection我的个人习惯是接入层端口全部设成边缘端口并开启BPDU保护核心层所有互联端口开启根保护和环路保护TC保护保持默认开启。这套组合在多个项目的生产环境里跑过几乎没有因为生成树问题出过事故。最后一个建议是无论你多熟悉命令变更之后一定要做一次冗余链路倒换测试。手动拔掉核心到接入的主用链路观察备用路径是否在秒级内接管流量。这一步能验证的不只是配置还有你对整个网络的掌控力。生成树这东西配好了安安静静配错了鸡飞狗跳多测一次半夜少接一个电话。