校园网二层环路防治技术研究.pdf

Vol.33No.Journalof MUC(NaturalSciencesEdition第3 3 卷第1期Feb.，2 0 2 42024年2 月中央民族大学学报（自然科学版）校园网二层环路防治技术研究孙光懿（天津音乐学院网络安全和信息化办公室，天津3 0 0 17 1）摘要：作为校园网常见问题，二层环路故障不仅隐蔽性强，而且定位也较为困难。文章分析了二层环路网络故障所带来的危害，给出了具体检测方法和防范措施。研究对于优化校园网运维管理体系，进一步提高校园网的可靠性和稳定性具有一定实践意义。关键词：校园网；二层环路；广播风暴中图分类号：TP393文献标识码：A文章编号：10 0 5-8 0 3 6 2 0 2 4）0 1-0 0 6 8-0 6随着教育信息化2.0 时代的到来1，国内各高校智慧校园建设持续走向深人。校园网作为重要基础设施，其高可靠性就显得尤为重要。为此校园网核心层和汇聚层通常被设计成穴余架构，以最大限度的消除单点故障。尽管余架构可以减少网络故障，但也存在网络环路的风险。网络环路有三层环路和二层环路之分 2 ，三层环路指的是路由环路，主要是由网络管理人员对路由协议配置不当所引起的。常见的动态路由协议均带有防环机制，而对于静态路由协议来说，网络管理人员通常采用部署黑洞路由的方式来防止产生三层环路。二层网络环路是最常见的校园网故障之一，网络中一旦发生二层环路必将会引发广播风暴、重复传输、MAC地址漂移等一系列问题，表现为网络延迟大、网速变慢，最终无法正常访问互联网。针对二层网络环路这一问题，并结合高校校园网实际，文中提出了几种检测方法和防治措施。1二层环路检测方法1.1二层交换机工作原理二层交换机工作在数据链路层 3 ，它可接收并转发网络中的数据帧，并利用数据顿中的源MAC地址来建立自身的MAC地址表，再根据其目的MAC地址进行转发。如果在MAC地址表中能够查找到目的MAC地址，交换机则将数据顿转发到相应端口。如果无法查找到，交换机则将数据顿向除源端口外的所有端口泛洪1.2查看交换机接口带宽利用率网络中一旦发生二层环路，其显著特点就是流量会异常增大 4，发生环路接口的带宽占用率往往超过90%。处于环路中心的广播报文会不断向整个广播域进行泛洪，接口带宽被广播报文所占用，导致正常单播报文因带宽不足而出现丢包的现象。以H3C交换机为例，管理者可多次使用dis counterrate inbound interface和dis counterrate inbound interface命令分别查看交换机接口进方向和出方向带宽收稿日期：2 0 2 3-0 5-0 3基金项目：2 0 2 2 年度天津市教委科研计划项目“基于IPv6的高校校园网演进升级研究”（2 0 2 2 SK116）作者简介：孙光懿（197 9-），男（汉族），天津人，天津音乐学院高级工程师，主要研究方向：计算机网络、信息技术、大数据、数据库技术。69孙光懿：校园网二层环路防治技术研究第1期利用率。如果交换机某个端口的出方向和入方向带宽利用率均比较大，则说明该交换机可能存在单端口二层环路（数据报文从交换机某端口发出，而后又从该端口收到）。如果交换机某个端口只有单方向带宽利用率比较大，则网络中有可能存在双臂环路（数据报文从交换机某端口发出，而后又从另一台交换机某端口收到该报文）。此时管理者需要排查其上下游设备引起的二层环路1.3查看MAC地址是否发生了漂移如果交换机同一Vlan下两个端口均学习到了相同的MAC地址，且先前学习到的MAC地址表项被后学习到的MAC地址表项所覆盖，那么则认为网络中发生了MAC地址漂移 5。需要注意的是：（1)如果网络中频繁发生MAC地址漂移的现象，且总是在两个特定端口之间发生漂移，那么很可能网络中存在二层环路。（2）现实中有多种原因均可造成MAC地址发生漂移。即使网络中发生了MAC地址漂移，也不意味着网络中一定存在二层环路。但如果网络中存在二层环路，则一定会发生MAC地址漂移。以H3C交换机为例，使用命令dismac-addressmac-move可查看MAC地址漂移记录。如图1所示。在漂移记录中，Vlan表示MAC地址对应端口所属Vlan，Cu r r e n t p o r t 表示MAC地址漂移后的新端口，Sourceport表示MAC地址迁移前端口，Lasttime表示发生MAC地址漂移的最近一次时间，Times表示MAC地址发生漂移的次数。从图1中可以发现：虚拟局域网Vlan6内的MAC地址0 0 2 3-2 4d7-ab26在交换机端口G1/0/0/18和G1/0/0/6之间不断发生漂移，漂移次数共计2 3 4次。ACaddtresVLANaurrertPotSourceTS73XGE10/0/45X6E20238:53:93666606866026666564BafXCE433:500023-24d7ab26GE10/O/18GE2028228138:4823GEIVO/O/18GE1AO/O/62D202718:45:25工258696C35:90a1GE1O/O/18E20227185O:16A72-D34a654:5BB08g-a574-1ea2GE/O/O18262D217414:42GEXOLOTO202D2CDadGEI/O/D/18GEI2024O3137:47工acif-beeGE2218145:18bOB3-GE1/O/O/1B22214:59:5a-67GE2218:a2:26E210148:4619edoBaob65foGE1VO/O/19GE220218:42:08148oeo-absofadGEVO/O/2G213:15:51oco2-bfof-t4aeGE1V0/0/292218:33:42236c92-bf2d-58f242:45aodaGF1/0/0/20GE1TO/O/62022:46:5935724d7GELVO/O/6234图1交换机MAC地址漂移记录Fig.1SwitchMACaddressdriftrecord1.4查看交换机LLDP信息LLDP协议是IEEE定义的一种数据链路层发现协议6-7 ，通常用于查看交换机邻居信息（华为、H3C等厂商交换机均支持该协议）。管理者利用该协议可将本端二层设备的管理地址、设备名称、接口标识等信息发送给对端邻居。当邻居收到上述信息后，会将其以MIB的形式进行存储。以H3C交换机为例，管理者可用过dis lldp neighbor-informationlist命令，查看数据链路层邻居设备相关信息。如发现同一邻居设备存在两个本地端口，则说明网络中有可能存在二层环路。1.5查看交换机CPU利用率如果交换机CPU利用率长时间超过6 0%，同时其端口指示灯又伴有同频闪烁的现象【8 ，则网络中可能存在二层环路。需要注意的是：（1）不同厂商交换机查看CPU利用率的命令会有所不同。（2）如果网络中存在着过量的ARP请求报文或ICMP重定向报文，那么也会造成交换机CPU利用率的升高。2二层环路防治机制2.1使用生成树协议生成树协议9是一种使用最为广泛的二层防环机制。它可以在余网络环境中，选举出最优路径和次优路径，并通过阻塞次优路径的方式来构建无环网络。当最优路径出现故障时，则会激活次优路径来恢复网络的连通性。网络中的交换机开启生成树协议后，首先会使用桥协议数据单元（包含了协议ID、根桥ID、发送交换机桥ID、根路径开销等数据字段）来相互交换各自STP信息，并用其确定当前网第3 3 卷中央民族大学学报（自然科学版）70络拓扑结构。其次，会进行生成树协议的计算，选举出网络中的根交换机、非根交换机上的根端口、每条链路上的指定端口以及既不是根端口也不是指定端口的非指定端口。其中，根端口主要负责向根交换机转发数据顿；指定端口主要负责转发数据顿和BPDU报文；非指定端口通常处于阻塞状态，用来防止二层环路，该端口只能接收和处理BPDU报文，但不能转发BPDU报文和用户数据帧。传统生成树协议8 0 2.1D经过多年的不断优化改进，后续已衍生出多个版本。其中，快速生成树协议（RSTP）和多生成树协议（MSTP)应用最为广泛。RSTP协议【0)有效解决了传统生成树协议收敛时间过长的问题。它省去了传统生成树协议中的监听工作状态，只保留了丢弃、学习、转发三种工作状态。当网络发生故障时，处于丢弃状态的端口可快速过渡到转发状态。MSTP协议是在RSTP协议基础上发展起来的，它的出现有效减少了网络中生成树实例的总量，进而大幅降低了交换机CPU的开销。除此之外，它还可实现基于VLAN流量的负载均衡，这是其他版本生成树协议所不具备的。为使读者能够熟练掌握如何利用生成树协议进行防环，我们通过三台交换机SW1、SW 2、SW 3 和终端计算机PC1、PC2 构建了一个环形网络，该网络内只部署了Vlan50一个网段。其中，三台交换机之间通过TRUNK接口互联。PC1与交换机SW2的g1/0/1接口相连，PC2与交换机SW3的g1/0/2接口相连。网络拓扑如图2 所示。由于三台交换机之间存在二层环路，因此我们需要在全网开启生成树协议，以防止网络内产生广播风暴。需要注意的是：一、不同品牌的交换机开启生成树协议的配置命令会有所不同。二、生成树协议只对多端口环路有效，无法检测端口外部环路。以H3C交换机SW2为例，在全局模式下开启生成树协议，相关配置如下：【SW 2 s t p g l o b a l e n a b l e/在全局模式下开启生成树协议SW 2 s t p mo d e ms t p/配置成多生成树工作模式SW2stpbpdu-protection/开启BPDU保护功能。SW2stptc-protectionenable/开启TC报文保护功能。SW 2 s t p t c-p r o t e c t i o n t h r e s h o l d 7/10 秒钟内，交换机在收到TC报文后刷新MAC地址表与ARP表最高次数为7 次。SW2-GigabitEthernetl/0/1 stp edged-port enable/开启边缘端。2.2开启端口环回检测功能交换机端口开启环回检测功能后，会发送环路检测报文，一旦该交换机的任意端口又收到了该环路检测报文，交换机就会判定收到报文端口所在链路存在自环，或存在外部环路。例如端口下联Hub中存在二层环路。如果Access端口被检测到存在环回，那么该端口会被交换机置为Block状态（该状态下的端口无法转发数据报文），并向终端发送告警和日志信息。与此同时，交换机删除该端口对应的Mac地址表项。如果Trunk端口被检测到存在环回，则该端口不会被交换机置为Block状态，仅向终端发送告警和日志信息。只有在开启端口环回检测受控功能的情况下，交换机才会将该Trunk端口置为Block状态，并向终端发送告警和日志信息。需要注意的是：（1)端口环回检测功能无法对多端口环路进行检测，需要开启生成树协议加以解决。（2）对于传统三层架构的校园网汇聚交换机和二层接人交换机下联Trunk端口均有必要开启端口环回检测功能。（3）如果用户在全局模式下开启环回检测功能，那么对指定Vlan的所有端口均有效。（4）如果用户在接口视图下开启环回检测功能，那么只对该端口有效。（5）默认情况下，端口环回检测功能处于关闭状态为展示如何利用端口环回检测功能进行防环，我们通过三台H3C交换机SW1、SW 2、SW 3 构建了一个存在二层环路的小型网络，且网络内只部署了Vlan40一个网段。其中，交换机SW1的Trunk端口G1/0/0/1、G 1/0/0/2 分别与交换机SW2的Trunk端口G1/0/0/1和交换机SW3的Trunk端口G1/0/0/1互联。交换机SW2的Trunk端口G1/0/0/2和交换机SW3的Trunk端口G1/0/0/2互联。网络拓扑如图3 所示。第1期孙光懿：校园网二层环路防治技术研究71SW1trunktrunktrunktrunkSW2SW3trunktrunkg1/0/1g1/0/2PC1PC2图2环形网络拓扑Fig.2Ring network topologyS#1g1/0/181/0/2tynkg1/0/1tktrpkg1/0/1g1/0/2g1/0/2trunktrunkSV2SW3图3环路检测组网Fig.3Loopdetection network以交换机SW1为例，开启端口环路检测能自动关闭出现环路的端口。具体配置命令如下：SW1loopback-detectionglobal enablevlan40/在全局模式下开启端口环回检测功能。SW1loopback-detection interval-time60/配置端口环回检测时间间隔为6 0 秒，默认为3 0 秒。SW1loopback-detectionglobal action shutdown/配置端口环回检测处理模式为shutdown。为了验证上述配置是否达到了预期效果，首先，在全局模式下使用dislogbuffer命令查看交换机SW1的日志信息。其次，使用displayloopback-detection命令查看交换机SW1端口环回检测功能的运行状态。最后，使用displayinterface命令分别查看g1/0/1和g1/0/2端口的工作状态信息。（1）使用dislogbuffer命令查看交换机SW1的日志信息；（2）使用disloopback-detection命令查看交换机SW1端口环回检测功能的运行状态；（3）使用displayinterface命令分别查看g1/0/1和g1/0/2端口的工作状态信息。可以发现，当交换机SW1在开启端口回环检测功能后，成功发现了其G1/0/0/1端口、G1/0/0/2端口存在环路。由于该交换机端口回环检测功能处理模式为shutdown，因此上述两个端口在出现环路后均被自动关闭2.3利用RLDP协议进行防环RLDP协议【12 属于锐捷网络私有协议，常用于环路、单向链路、双向链路等二层网络故障检测。当交换机某一端口处于Linkup状态并开启RLDP协议后，该端口会周期性地发送探测报文，并希望邻居端口发送响应报文和探测报文。当链路工作正常时，链路上的端口不仅能收到邻居端口发来的探测报文，而且还能收到邻居端口发来的探测响应报文。否则，链路就被认为存在异常。如果一个开启RLDP协议的端口，收到了自已的探测报文，那么就认为网络中存在环路故障。在实践中RLDP协议对于下联网络存在二层环路，具有很好的检测效果。如果链路中的端口只能发送探测报文或接收邻居端口发送中央民族大学学报（自然科学版）第3 3 卷72的探测报文，那么就被认为存在单向链路故障。如果链路中的端口既无法发送探测报文，又无法接收到报文，那么就被认为存在双向链路故障。需要注意的是：（1）由于RLDP协议是基于端口来运行的，因此在使用该协议时需要明确哪些端口需要开启RLDP协议。（2）启用RLDP协议时，需指定诊断类型及处理模式。（3）如果交换机端口类型为路由模式，RLDP故障处理仅支持警告、阻塞、关闭端口等三种处理模式。（4）当诊断类型为环路检测且处理模式为阻塞时，CPU仍能收到该端口发送的报文，故通常选择关闭端口处理模式。（5)RLDP故障处理模式阻塞功能尽量不和生成树协议同时使用。这是因为存在生成树协议允许端口转发报文，但此时该端口正处于阻塞状态的情况，为展示如何利用RLDP协议进行防环，以锐捷交换机为例，给出利用RLDP协议进行防环的详细配置。具体如下所示：Switch（c o n f i g）#r l d p e n a b l e/在全局模式下开启rldp协议Switch（c o n f i g）#r l d p d e t e c t-i n t e r v a l 15/配置rldp协议发送探测报文的时间间隔为15秒。Switch（c o n f i g）#e r r d i s a b l e r e c o v e r y i n t e r v a l 10 0/设置端口自动恢复间隔时间Switch（c o n fig-if)#r ld p p o r tlo o p-d e te c t s h u td o w n-p o r t/在gO/1接开启rldp协议2.4在端口开启广播风暴抑制功能当网络中存在二层环路，不可避免地会在网络中引发广播风暴 13-14，数据顿重复转发（数据顿不同于IP数据包，它无避免无限转发的TTL机制）。大量重复数据顿挤占有限的网络带宽，最终造成网络瘫痪。为避免二层环路引起广播风暴，管理者有必要在配置交换机时启用端口广播风暴抑制功能。启用该功能后，当发往端口的广播流量超过预设值后，交换机将对其做丢弃处理。以H3C交换机为例，broadcast-suppression与storm-constrain命令均可实现端口的广播风暴抑制功能。其中，storm-constrain命令是基于软件来实现对广播流量进行抑制（对交换机整体性能影响较大）；而broadcast-suppression命令是基于硬件来实现对广播流量进行抑制（对交换机整体性能影响较小），故在实践中多采用broadcast-suppression命令开启广播风暴抑制功能。具体配置如下：SW-G i g a b i t Et h e r n e t l/0/1 b r o a d c a s t-s u p p r e s s i o n 7 0/设备端口允许通过的最大广播流量不能超过端口带宽的7 0%。2.5限制交换机接口可学习最大MAC地址数量网络中一旦产生二层环路，交换机二层环路接口会在短时间内学习到大量的MAC地址，最终耗尽MAC地址表资源，造成数据顿无法正常转发。为此，网络管理人员可采用限制交换机接口可学习最大MAC地址数量的办法(15】,来避免广播风暴的产生。当交换机接口学习到的MAC地址数量到达预先设定的最大值后，如果收到数据顿的源MAC地址不在MAC地址表中，那么将禁止转发。只有源MAC地址在MAC地址表中的数据帧才能被正常转发。以H3C交换机为例，使用命令mac-addressmax-mac-count来限制交换机接口可学习最大MAC地址数量。2.6应用VLAN技术减少广播域作用范围尽管二层交换机无法隔离广播域，但网络管理人员可以通过应用VLAN技术【16 将一个物理局域网在逻辑上隔离为多个广播域（VLAN所发出的广播帧不会被转发给其他VLAN）。这样，即使网络中发生了二层环路，其影响范围也仅限于VLAN内，从而有助于提高校园网的安全性与稳定性。33 讨 论建设一个具有高可靠性和高稳定性的校园网对实施教育信息化战略行动，打造与学校发展相适应的教育数字化环境具有重要的作用。二层环路作为校园网中影响范围最广、危害最大、最易发生的网络故障，其识别与防范至关重要。通过文中给出的检测方法和防范措施，对校园网进行合理规划并细化完善交换机配置，不仅能有效减少二层环路的发生，而且还能最大限度地减小二层环路的影响，责任编辑：王向华孙光懿：校园网二层环路防治技术研究第1期73参考文献：1SIVASUBRAMANIANB.CCNPSWITCH学习指南M.北京：人民邮电出版社，2 O11.2贾娟，汪斌强，杨帅.一种基于VRRP的核心路由器高可用性方法研究与实现J.电子技术与应用，2 0 0 7，（0 2）：110-112.3冯昊，黄治虎，伍技祥.交换机/路由器配置与管理M.北京：清华大学出版社，2 0 10.4 王芳，韩国栋.路由器访问控制列表及其实现技术研究 J.计算机工程与设计，2 0 0 7，2 8（2 3）：56 3 8-56 3 9.5杨妹，罗佳.基于PacketTracer软件的小型局域网设计与仿真 J.实验技术与管理，2 0 15,3 2（0 1）：150-152.6马素刚，赵婧如，孙韩林.计算机组网实验教程M.西安：西安电子科技大学出版社，2 0 14.7孙中全.以太网交换机环路防范技术研究 J.长春师范大学学报，2 0 2 0,3 9（0 2）：3 7-40.8陈彬，段昕，李海英，等.网络环路防止技术研究J.云南师范大学学报（自然科学版），2 0 17,3 7（0 3）：55-58.9郭彦伟，郑建德.生成树协议与交换网络环路研究J.厦门大学学报（自然科学版），2 0 0 6，（S1）：3 0 1-3 0 4.10白海.利用RLDP协议解决网络环路故障J.中国教育网络，2 0 12，（11）：7 8.11孙光懿.基于HSRP和STP协议的网络余仿真J.首都师范大学学报（自然科学版），2 0 18，3 9（0 3）：16-2 3.D0I:10.19789/j.1004-9398.2018.03.004.12张钢，黄小波.思科虚拟实验平台的构建 J.实验室研究与探索，2 0 10，（0 8）：2 16-2 18.13徐济成，朱昊，李静月.基于VRRP的网络鲁棒性研究 J.重庆文理学院学报，2 0 15,3 4（0 2）：95-98.14张钢.思科虚拟实验平台的构建 J.实验室研究与探索，2 0 10，（0 8）：2 16-2 18.15王文彦.计算机网络实践教程M.北京：人民邮电出版社，2 0 14.16王隆杰.思科网络实验室CCNP实验指南M.北京：电子工业出版社，2 0 12.Research on the Prevention and Control Technology of the Second LayerLoop in Campus NetworkSUN Guangyi(Office of Network Security and Information Technology,Tianjin Conservatory of Music,Tianjin 300171,China)Abstract:The second layer loop fault,as a common fault in the campus network,is not only highlyhidden,but also difficult to locate.This paper analyzes the hazards caused by two-layer loop faultsand provides specific identification methods and preventive measures.The research has certain prac-tical significance for optimizing the campus network operation and maintenance management system,and further improving the reliability and stability of the campus network.Key words:campus network;layer 2 network loop;broadcasting storm