作为网络工程师STP生成树协议是迈不过去的一道坎。不管是刚入行的新人还是偶尔要碰一下交换机配置的运维朋友迟早都会跟它打交道。很多人背下了端口状态和选举规则但一到真实网络环境遇到交换机端口不亮、网络一卡一卡的就不知道问题出在哪。这篇文章我想换个讲法不光是罗列知识点而是把STP从“为什么需要它”到“怎么配置排查”整个链路串起来讲透最后再把我实际踩过的一些坑分享出来希望能帮大家真正把这个协议用明白。1. STP到底解决了什么问题1.1 没有STP的二层网络会发生什么要理解STP得先理解它为什么存在。假设一个网络里只有两台傻瓜交换机它们之间用一根网线连着这时候一切正常。但如果网络规模变大为了保证可靠性运维人员通常会用多条链路把两台交换机连接起来或者把多台交换机接成环形拓扑——这样一来单条链路断了不会导致整个网络瘫痪冗余性有了。可问题也随之而来二层网络是允许广播帧存在的。当一台设备发送ARP请求或者DHCP广播时这个帧会在交换机之间反复转发。如果物理拓扑中存在环路广播帧就会在环路里无限循环最后把交换机CPU和链路带宽全部耗尽整个网络直接瘫痪。这种现象叫“广播风暴”。你可能觉得“风暴”这个词有点夸张但真遇到过一次就会明白一点都不夸张。很多年前我在一家公司处理过一次故障某台服务器区多接了根网线形成了环路结果整个办公楼里连网页都打不开交换机CPU跑到了90%以上拔掉那根线才恢复。没有STP机制兜底的时候环路故障就是以这种非常暴力的方式体现出来的。除了广播风暴环路还会带来一个隐蔽问题MAC地址表震荡。交换机学习MAC地址时如果同一个MAC从不同端口反复收到帧交换机就会不断更新自己的转发表项导致数据帧被错误转发出现间歇性丢包。这个症状比广播风暴更隐蔽排查起来也更费劲。1.2 冗余和防环的矛盾那有人会问既然环路这么危险干脆不用环路拓扑不就行了理论上可以但实际网络设计里冗余链路是刚需。核心交换机和接入交换机之间、汇聚层和设备之间如果没有冗余链路任何一根光纤被挖断、任何一个光模块损坏就会导致大范围断网这是企业网络和运营商网络完全不能接受的。所以网络设计者遇到的问题是既要保留物理环路的冗余能力又要阻止逻辑上的数据转发环路。STP协议就是为这个矛盾而生的。它的核心思路非常朴素通过特定的算法把物理拓扑中的冗余链路逻辑上阻断掉只保留一条最优的无环路径。当这条最优路径发生故障时再自动把之前被阻断的端口放开恢复通信。这个过程有点像城市交通管制平时为了避免拥堵某些匝道是封闭的一旦主路发生事故交警会立刻打开封闭匝道引导车流绕行。STP做的事情就是不断监测主路状态随时准备切换备用通路。1.3 STP跟其他防环协议的关系很多人会问现在有了RSTP、MSTP甚至还有SPB、TRILL这些新兴技术我干嘛还要学基础STP这个想法我特别理解但我的建议是基础STP是所有生成树协议的根基它的概念框架——根桥选举、端口角色、BPDU报文——在RSTP和MSTP里依然延续着。你把经典STP搞懂后面学RSTP只需花很小力气适应增量变化反过来如果直接啃RSTP很多细节你知其然不知其所以然遇到诡异问题照样抓瞎。经典STP使用的是IEEE 802.1D标准定义了最原始的生成树算法。虽然现在很多场景里已经被802.1wRSTP和802.1sMSTP取代但理解802.1D依然是理解所有生成树变体的“第一块积木”。所以这篇我们花大篇幅把基础STP讲透后面再单独写RSTP和MSTP的进阶内容。2. STP的核心工作原理2.1 BPDU报文与选举机制概述STP能工作的基础是交换机之间会持续交换一种协议报文叫做BPDUBridge Protocol Data Unit桥协议数据单元。BPDU里携带了大量关键信息最重要的几个字段包括根桥IDRoot ID由优先级和MAC地址组成标识当前拓扑里被选为“树根”的交换机。根路径开销Root Path Cost表示本设备到根桥的距离数值越小越优。桥IDBridge ID本交换机自己的ID同样由优先级和MAC组成。端口ID标识BPDU是从哪个端口发出的用于最终决定哪个端口转发、哪个端口阻塞。计时器相关字段包括Hello Time、Max Age、Forward Delay等控制着STP的状态收敛节奏。BPDU报文默认每2秒发送一次即Hello Time这个频率是可以在交换机上调整的但一般不建议乱改除非你对这些计时器的含义和代价非常清楚。选举机制可以浓缩为一句话整个网络先选出一棵“根”然后其他所有交换机各自计算到根的最短路径最短路径上的端口成为转发端口非最短路径上的端口被阻塞。选举的优先级顺序是根桥ID最小者获胜到根桥路径开销最小者获胜发送者桥ID最小者获胜端口ID最小者获胜。这四个比较条件依次执行直到比出唯一结果。2.2 根桥选举谁才是“村长”根桥是整个生成树的中心所有路径开销都以它为起点计算。那怎么决定谁当根桥呢比较BPDU里的根桥ID数值最小的交换机成为根桥。桥ID一共8个字节前2个字节是优先级Priority后6个字节是交换机MAC地址。华为和思科的默认优先级都是32768。当所有交换机的优先级相同时就比较MAC地址MAC地址最小者当选根桥。优先级这个参数是可以手动设置的而且一定是4096的倍数。如果想让某台性能更强、位置更核心的交换机成为根桥最稳妥的做法是直接把它优先级改成0或4096让它板上钉钉地成为根桥。千万别只依赖默认优先级和MAC比较因为MAC地址哪个最小不受你控制根桥落在哪里完全看“命”。我在实际项目里惯用的做法是核心交换机优先级设为4096备用核心设为8192接入层交换机保持默认32768。这样无论网络里设备怎么接根桥永远是我预期中的那台核心设备不会因为以后加了新交换机导致根桥漂移。再补充一个关键概念BPDU里的根桥ID不是一成不变的。每台交换机初始都认为自己是根桥发出以自己为根的BPDU当收到比自己更优秀的根桥信息时就承认对方是根之后发出的BPDU里根桥ID字段就变成对方的ID了。这种“改口”机制让整棵收敛中的树一步步向唯一根桥收敛。2.3 路径开销的确定通信界的“GPS导航”路径开销是STP选路的基础它反映了某条链路到根桥的“成本”。成本越低链路质量越好越容易被选为转发路径。IEEE 802.1D标准最初定义的路径开销跟带宽成反比后来为了避免非线性带来的问题802.1t里又调整了计算方式。实际中不同厂商可能有略微差异但常见的对应关系大致如下10Mbps链路路径开销100100Mbps链路路径开销191Gbps链路路径开销410Gbps链路路径开销225Gbps/40Gbps及以上开销为1这组数值比较直观带宽越大、开销越小。但是要注意不同厂商在802.1t标准下计算方法有差异比如某些老款设备还有一套旧标准数值会不一样。所以配置跨厂商混搭网络时最好核对一下两端设备支持的路径开销计算方式不然后果很隐蔽——选路结果跟你预想的完全不一样排查半天又看不到任何报错。2.4 端口角色与端口状态STP收敛完成后每个端口会得到一个角色角色决定了它的命运根端口Root Port非根桥上距离根桥最近的端口负责把数据发送到根桥。指定端口Designated Port每个网段上距离根桥最近的端口负责向该网段转发数据。阻塞端口Blocking Port既不是根端口也不是指定端口的端口逻辑上被阻断不转发数据帧但持续监听BPDU。替代端口Alternate Port/备份端口Backup Port这是RSTP里的概念经典STP里统一叫阻塞端口但作用类似作为备用路径存在。除了角色端口还有状态机。经典STP的端口状态有5种Disabled禁用端口被管理员手动关闭不参与生成树计算。Blocking阻塞端口不转发数据帧但持续接收BPDU监听拓扑变化。Listening监听端口开始参与生成树选举只收发BPDU不转发数据帧。Learning学习端口可以学习MAC地址但不转发数据帧。这一步是为了避免刚切换路径时出现临时环路。Forwarding转发端口正常收发数据帧工作状态。从Blocking到Forwarding要经历监听和学习两个过渡状态默认各需要15秒Forward Delay的一半所以总共需要30秒左右端口才能开始转发数据这就是STP著名的“慢收敛”问题。在RSTP里这个时间被压缩到了秒级甚至毫秒级原因就是取消了这两个状态引入了快速切换机制。3. 经典STP数据转发流程实操演示3.1 三层结构的组网拓扑设计为了让过程好理解我设计一个简单的三层组网场景两台核心交换机Core-1和Core-2两台接入交换机Access-1和Access-2各自用千兆链路互联形成一个典型的冗余环。这个拓扑在企业网里非常常见既能保证任何一台核心故障时业务不中断又能在接入层和核心层之间提供链路冗余。为了方便查看STP效果我在配置里把Core-1优先级设为4096Core-2设为8192接入交换机保持默认。PC分别接在Access-1和Access-2下用于验证业务连通性。这个拓扑的预期结果应该是Core-1当选根桥两个接入交换机到Core-1的链路成为转发路径到Core-2的某条链路被阻塞形成无环逻辑拓扑。整个过程不需要人为干预全凭STP自动计算非常直观非常适合拿来演示原理。3.2 交换机基础配置模拟器里我用华为的eNSP来演示因为eNSP对零基础学习者比较友好图形化界面直观命令风格也接近真实华为设备。如果你手头是思科设备或者锐捷、H3C命令虽然不完全一样但思路完全一致。STP默认是开启的也就是说你不需要额外敲命令设备上电后就会自动跑802.1D。但要方便观察我会开启STP的调试日志和报文统计功能。先说华为设备的基础配置。假设我们只需要设置优先级# Core-1 sys sysname Core-1 stp priority 4096 stp enable # Core-2 sys sysname Core-2 stp priority 8192 stp enable接入层交换机Access-1和Access-2保持默认配置即可关键是确保STP已启用stp enable这几行命令就完成了最基础的STP配置。优先级设置的位置是系统视图全局配置下不是接口视图我要特别提醒一下很多新手会搞混把priority敲到接口视图里结果设备直接报错。3.3 选举结果的查看与解读配置完成后等设备跑几秒钟用查看命令来确认选举结果display stp bridge brief display stp interface g0/0/1display stp bridge brief会列出每台交换机的桥ID、根ID、根端口等信息。正常情况下Core-1的优先级是4096、MAC地址最小所以它应该显示为“I am root bridge”也就是自己就是根桥。Core-2和两台接入交换机的根桥ID指向Core-1。再来看接入交换机某个端口的详细STP状态你会发现Access-1有两个物理端口连到两台核心。其中开销较小、选举更优的那个端口角色是DESI指定端口或ROOT状态为FORWARDING另一个端口角色显示为ALTE替代端口或BLOCK状态为DISCARDING华为设备阻塞状态的叫法。关键核查方式是逐台看根端口方向对不对在非根桥上根端口应该指向根桥方向。比如在Access-1上如果连Core-1的端口对应root端口就说明它选的路是正确的数据会先走到Core-1再由Core-1逐步转发到其他交换机。如果根端口指向了Core-2说明路径开销计算有意外需要查看优先级或端口开销配置。3.4 抓包观察BPDU报文如果你想从报文层面理解STPWireshark抓包是再好不过的途径。在交换机上镜像端口或者在模拟器里的链路上抓包可以看到交换机每2秒发送一次的BPDU报文。BPDU报文的目的MAC地址是固定的组播地址01:80:C2:00:00:00LLC层协议标识DSAP/SSAP都是0x42。点开BPDU字段你可以看到根桥ID、根路径开销、桥ID、端口ID、计时器参数等所有关键信息。我建议你多抓几个不同位置的BPDU做对比在根桥上抓可以看到根桥ID字段是自己的桥ID根路径开销是0在非根桥上抓根路径开销不再是0而是该交换机到达根桥的计算结果。这个对比能让你直观理解“根路径开销是会逐跳累积的”这一点。之前有个同事看协议文档一直不理解“根路径开销”是怎么传递的我让他抓了根桥和二层交换机的BPDU现场对比他一下就看明白了。有时候文字不如抓包来得直接。4. STP的收敛过程与故障切换4.1 正常收敛的时间线分析从交换机启动到端口进入转发状态STP需要经历一系列状态。拿一台刚上电的接入交换机举例它的端口会这样演变端口UP后先进入阻塞状态持续接收BPDU等待网络信息。经过一段延迟Max Age默认20秒如果端口认为自己可以成为指定端口或根端口会进入监听状态开始参与BPDU交互和选举。监听状态持续15秒Forward Delay的一半期间端口只处理BPDU不学MAC地址。如果端口角色依然被保留进入学习状态再花15秒学MAC地址。学习结束端口进入转发状态正常转发数据。加起来一台交换机从UNP到能正常转发业务数据理论上需要50秒左右Max Age 20秒 Listening 15秒 Learning 15秒。这就是经典STP最被人诟病的地方慢真慢。如果主链路断了备份端口进入转发也需要时间阻塞端口要转成监听等待Max Age到期最长20秒再经过15秒监听、15秒学习总共最长50秒。考虑到应用层还有TCP超时重传等机制业务中断的实际感知时间可能会更久。4.2 链路故障后的切换验证实操验证是理解STP切换最好的方式。在刚才那个拓扑里我手动把Core-1和Access-1之间的链路shutdown掉然后每隔几秒查看一次STP状态变化。第一步在Access-1上查看端口状态确认那根连接Core-2的备份链路口从原来的DISCARDING变成了FORWARDING。这个过程中还会看到端口经过Listening和Learning的过渡。我实测在eNSP里整个过程大约需要40到50秒才能完全恢复转发。第二步从PC1去ping PC2观察丢包情况。如果开启了持续ping你会看到从链路断开到恢复之间有几十秒的丢包窗口时间长度跟收敛时间基本对应。第三步把Core-1那条链路重新恢复UP观察STP把备份链路再次阻塞掉的过程。这时你会发现主链路恢复转发很快因为直连链路故障能立即感知但备份链路重新阻塞也比较快因为选举会重新发生之前被阻塞的端口角色被替换后马上进入阻塞状态。这个实验虽然简单但特别能强化你对STP收敛过程的理解。很多人只在文档里读过“STP收敛慢”但不自己动手配一次根本领会不到50秒意味着什么——这期间业务会长时间中断。4.3 拓扑变化通知TCN机制当网络拓扑发生变化时交换机会发送TCNTopology Change NotificationBPDU来通知根桥。TCN机制是个容易被忽略、但很重要的细节。假设某台接入交换机检测到自己的一个转发端口DOWN了拓扑发生变化它会向根端口方向发送TCN BPDU一路传到根桥。根桥收到TCN后会回复TCATopology Change Acknowledgement确认收到并在一段时间内设置拓扑变化标志收到根桥返回的TC标志后所有交换机都会把MAC地址表的老化时间临时缩短到Forward Delay通常15秒。为什么要缩短MAC老化时间因为拓扑变化后之前学到的MAC地址可能已经不可达了如果还用老地址表维护数据帧会被错误转发。缩短老化时间让交换机更快地清掉旧表项重新学习正确路径。TCN的设计思路很好但代价是整个收敛期间网络会有一段时间的MAC地址学习状态如果网络规模大、拓扑变化频繁可能会产生瞬时的广播增多。这也是为什么后来RSTP对TCN处理做了大幅改进直接在本地传播拓扑变化信息效率高得多。5. 常见故障与排查技巧实录5.1 端口一直处于阻塞状态的原因很多新手配置完STP后发现某个明明应该转发的端口状态一直是BLOCK或DISCARDING第一反应就是“设备坏了”。实际上这个状态多半是正确的结果说明STP认为这条链路是冗余路径故意让它阻塞。遇到这种情况先确认拓扑里是否真的存在环路。如果只有两台交换机一条链路理论上不应该出现阻塞端口如果有多条链路互联、形成环形或者网状拓扑有阻塞端口反而是正常的。判断端口该不该阻塞的步骤先看哪台交换机是根桥。所有根桥上的端口默认都是指定端口不会阻塞非根桥上只有一个端口能成为根端口其他端口要么是指定端口连接到它的下游网段要么是阻塞端口。所以思路很清晰路径开销最差、桥ID更差、端口ID更差的端口才被阻塞只要比对着选举四条规则逐一排查总能找到原因。5.2 BPDU被丢弃导致环路故障有一类故障非常隐蔽就是BPDU报文在传输过程中被丢弃导致设备误以为网络里没有其他交换机或没有环路从而放开所有端口形成真实的环路广播风暴随之而来。这种情况常见于以下场景两个交换机之间的链路经过光传输设备或者第三方介质转换器这些设备可能不透明转发组播MAC地址BPDU的组播MAC 01:80:C2:00:00:00被过滤掉了。链路两端配置了不同的VLAN而STP报文只在VLAN 1里跑某些厂商默认情况导致其他VLAN没有生成树保护。某些端口配置了PortFast或边缘端口后仍然接收BPDU却没有正确处理也会形成环路。排查思路是优先确认物理链路是透明的二层通道再检查配置里是否一致最后抓包确认BPDU在链路上实测可见。如果BPDU在中间某跳消失了那问题多半出在二层透明传输设备上。我自己遇到过最典型的一次客户两个办公区之间走光收发器组环BPDU经过光收发器时被吃掉两边交换机都认为自己是根桥所有端口全部转发广播风暴一下把办公网上打瘫痪。后来在光收发器上做了特殊处理或换用支持BPDU透传的设备才解决。5.3 STP慢收敛的替代方案经典STP收敛时间太长在大部分对业务连续性要求高的网络里已经不够用了。如果不想全面升级到RSTP/MSTP有个折中方案是使用STP的增强特性比如华为和思科都支持的类似“PortFast”的端口特性。PortFast的思路是对于只连接终端设备PC、服务器、打印机的端口让它们跳过Listening和Learning两个状态直接进入Forwarding从而减少端口UP到转发的时间延迟。这个特性特别适合接入交换机上的终端端口因为终端端口不会连接其他交换机不可能形成环。但注意PortFast是一把双刃剑如果把连接交换机的端口配置成PortFast端口会跳过STP计算一旦真的形成环路广播风暴就会立刻发生STP完全来不及干预。所以配置PortFast前必须确认该端口只接终端不接任何交换设备。更稳妥的做法是在PortFast基础上再开启BPDU保护BPDU Guard这样一旦该端口收到BPDU就立即禁用端口err-disable保护网络不被环路侵害。实际项目里接入层PC端口我基本都开启了PortFastBPDU Guard组合既保证了终端快速上线又防止有人误插一根交换机网线导致环路。5.4 常见问题速查表我自己把STP相关的常见问题整理成了一张速查表方便排障时快速对照现象可能原因排查命令处理建议端口一直Blocking拓扑冗余设计本来就该阻塞display stp interface对照选举规则确认是否是预期结果端口频繁在阻塞/转发间切换物理链路不稳定或BPDU抖动display logbuffer看日志检查光模块、网线、协商状态所有端口都是转发网络广播风暴BPDU被丢弃或PortFast误配在两台设备上抓包确认二层链路透明检查PortFast配置根桥不是预期的设备优先级/桥ID比较结果与预期不符display stp bridge手动调整核心交换机优先级链路恢复后业务恢复很慢经典STP收敛时间长display stp考虑升级RSTP/MSTP或启用增强特性加了新交换机后MAC表剧烈震荡新设备形成未预期环路display mac-address检查新设备STP是否开启、配置是否一致这张表覆盖了STP常见故障的90%场景排查时按表操作基本能定位问题根源。6. 实操中的几点经验心得STP这类协议光看文档是学不踏实的必须在模拟器或真机上亲手推演几遍才能理解透彻。我建议初学的人至少做三个实验一是在环状拓扑下验证根桥选举和端口阻塞结果二是模拟链路故障掐表记录业务中断时间三是在图上加一台优先级更低的交换机观察根桥迁移过程。这三个实验做完STP的基本原理就真正内化了。实际工程项目里我最后还有几条心得供参考第一优先级规划永远比事后补救重要。新网络规划阶段就明确哪台是根桥、哪台是备用根桥直接把优先级写死。别等网络里设备多了、拓扑复杂了再临时调整那会儿改优先级的风险很大搞不好会引起全网STP重收敛。第二跨厂商设备对接时务必核对路径开销标准。不同厂商在802.1t里的具体实现有细微差异混搭组网时沿着链路算一遍开销别偷懒。我曾经在一个项目里因为思科和H3C的路径开销算法差异导致数据中心的主备链路选路跟设计完全相反排查了很久才发现是开销计算不一致。第三STP不是越关越好。有些运维嫌STP收敛慢直接把STP关掉。如果你有充分理由比如用的堆叠、MLAG等本身有环路抑制的技术关掉也不是完全不行但普通二层网络里关掉STP等于拆了安全气囊真出环路就是事故级别。我倾向于保留STP配合RSTP或MSTP使用既有快速收敛又能防环。第四日志和监控要提前配好。STP拓扑变化是可以用日志记录的华为设备上开启stp topology-change日志后一旦网络里出现频繁的拓扑不稳定能第一时间在日志里看到端倪。在生产网络里我最依赖的就是日志而不是等用户报障。以上就是我这次想分享的全部内容了从BPDU选举到收敛切换再到故障排查STP这个协议虽然老但值得每个网络人都吃透。后面我打算再写RSTP和MSTP的进阶用法结合这篇文章的基础会更容易上手。