雙MST故障關機

前沿拓展：

12、配置MSTP超時時間

在運行生成樹算法的網絡中，如果設備在配置的超時時間內沒有收到上游設備發送的BPDU，就認為上游設備已經出現故障，本設備會重新進行生成樹計算。

由于上游設備繁忙，有時設備在較長的時間內收不到上游設備發送的BPDU。在這種情況下一般不應該重新進行生成樹計算，因此，在穩定的網絡中，可以配置超時時間，以減少網絡資源的浪費。

如果設備在超時時間（超時時間＝Hello Time × 3 × Timer Factor）內沒有收到上游設備發送的BPDU，則生成樹會重新進行計算。

[Huaweimstprocess1]stp timerfactor ?

INTEGER<110> Aged out time factor, the default value is 3

13、配置MSTP定時器

在生成樹的計算過程中，用到了以下三個時間參數：

1、Forward Delay：

用于確定狀態遷移的延遲時間。在運行生成樹算法的網絡中，當網絡拓撲結構發生變化時，因為新的BPDU配置消息需要經過一定的時間才能傳遍整個網絡，所以本應被阻塞的端口可能還來不及被阻塞而之前被阻塞的端口已經不再阻塞，這樣就有可能會形成臨時的環路。為了避免這種情況引起的臨時環路，可以通過Forward Delay定時器設置延時時間，即在這個延時時間內所有端口會臨時被阻塞。

2、Hello Time：

用于檢測鏈路是否存在故障。生成樹協議每隔Hello Time時間會發送配置BPDU報文，以確認鏈路是否存在故障。如果設備根端口在Hello Time時間內沒有收到BPDU，則會由于消息超時而重新計算生成樹。

3、Max Age：

用于確定配置消息是否超時。設備根據Max Age時間來確定端口收到的配置消息是否超時。如果端口收到的配置消息超時，則需要重新計算。

在配置上述三個時間參數時，同一環網中的設備配置時間建議保持一致。

通常情況下，不建議通過本配置直接調整上述三個時間參數。由于這三個時間參數的取值與網絡規模有關，因此建議通過調整網絡直徑，使生成樹協議自動調整這三個時間參數的值。當網絡直徑取缺省值時，這三個時間參數也分別取其各自的缺省值。

根交換設備的Hello Time、Forward Delay以及Max Age三個時間參數取值之間應該滿足如下公式，否則網絡會頻繁震蕩。2 × (Forward Delay －1.0 second) >= Max Age；Max Age >= 2 × (Hello Time + 1.0 second)。

13.1、配置交換設備的Forward Delay時間

[Huaweimstprocess1]stp timer forwarddelay ?

INTEGER<4003000> STP forward delay in centiseconds, in steps of 100, the default value is 1500

13.2、配置交換設備的Hello Time時間

[Huaweimstprocess1]stp timer hello ?

INTEGER<1001000> Hello time in centiseconds, in steps of 100, the default value is 200

13.3、配置交換設備的Max Age時間

[Huaweimstprocess1]stp timer maxage ?

INTEGER<6004000> Max age in centiseconds, in steps of 100, the default value is 2000

14、配置影響生成樹計算的鏈路聚合帶寬最大連接數

接口的路徑開銷是生成樹計算的重要依據，路徑開銷值改變時，會重新進行生成樹計算。而接口的路徑開銷是受帶寬影響的，因此可以通過改變接口帶寬來影響生成樹的計算。

圖1 配置影響鏈路聚合帶寬的最大連接數示例

如上圖1所示，設備A與設備B通過兩條EthTrunk鏈路相連，EthTrunk1含有3條狀態為Up的成員鏈路，Eth–Trunk2含有2條狀態為Up的成員鏈路。假設每條成員鏈路的帶寬都相同，且設備A被選舉為根橋：

EthTrunk1的帶寬大于EthTrunk2的帶寬。STP計算后，設備B上EthTrunk1接口被選為Root port，EthTrunk2接口被選為Alternate port。

當配置EthTrunk1接口影響帶寬的最大連接數為1后，STP計算的EthTrunk1接口的路徑開銷大于EthTrunk2的開銷，將會重新進行生成樹計算，設備B上EthTrunk1接口將變為Alternate port，EthTrunk2變為Root port。

配置的影響帶寬的最大連接數僅影響生成樹協議計算接口的路徑開銷，并不影響實際鏈路帶寬。EthTrunk接口在轉發流量時的實際帶寬仍然是由活動接口數決定的。

[Huawei]interface EthTrunk 1

[HuaweiEthTrunk1]max bandwidthaffectedlinknumber ?

INTEGER<18> The data of bandwidthaffectedlinknumber

15、配置端口的鏈路類型

點到點鏈路可幫助實現快速收斂。與點到點鏈路相連的兩個端口如果為根端口或者指定端口，則端口可以通過傳送同步報文（Proposal報文和Agreement報文）快速遷移到轉發狀態，減少了不必要的轉發延遲時間。

如果當前以太網端口工作在全雙工模式，則當前端口相連的鏈路是點到點鏈路，選擇參數forcetrue實現快速收斂。

如果當前以太網端口工作在半雙工模式，可通過執行命令 forcetrue強制鏈路類型為點對點鏈路，實現快速收斂。

[HuaweiGigabitEthernet0/0/2]stp pointtopoint ?

auto Decided by Spanning Tree Protocol (STP)

forcefalse Disable point to point link

forcetrue Enable point to point link

16、配置端口的最大發送速率

端口在每個Hello Time時間內BPDU的最大發送數目值越大，表示單位時間內發送的BPDU越多，則占用的系統資源也越多。適當的配置該值可以限制端口發送BPDU的速度，防止在網絡拓撲動蕩時，MSTP占用過多的帶寬資源。

[HuaweiGigabitEthernet0/0/2]stp transmitlimit ?

INTEGER<1255> Count of transmission limit

17、配置設備執行MCheck操作

在運行MSTP的設備上，如果某個端口和另一臺運行STP的設備連接，則該端口會自動遷移到STP兼容工作模式。如果運行STP的設備被關機或移走，該端口無法自動遷移回RSTP模式，此時需要在該端口上執行MCheck操作，將端口手動遷移到MSTP模式。

以下情況端口無法自動遷回MSTP模式，需要在端口上執行MCheck操作，將端口手動遷移到MSTP模式：

運行STP的交換設備被關機或移走；運行STP的交換設備切換為MSTP模式。

[Huawei]stp mcheck

或

[HuaweiGigabitEthernet0/0/2]stp mcheck

18、配置邊緣端口和BPDU報文過濾功能

在MSTP里面，如果某一個指定端口位于整個網絡的邊緣，即不再與其他交換設備連接，而是直接與終端設備直連，這種端口叫做邊緣端口。

邊緣端口不接收處理配置BPDU報文，不參與RSTP運算，可以由Disable直接轉到Forwarding狀態，且不經歷時延，就像在端口上將MSTP禁用。

配置為邊緣端口后，端口仍然會發送BPDU報文，這可能導致BPDU報文發送到其他網絡，引起其他網絡產生震蕩。因此可以配置邊緣端口的BPDU報文過濾功能，使邊緣端口不處理、不發送BPDU報文。

在全局模式下配置邊緣端口和BPDU報文過濾功能后，設備上所有的端口不會主動發送BPDU報文，且均不會主動與對端設備直連端口協商，所有端口均處于轉發狀態。

這將可能導致網絡成環，引起廣播風暴，請用戶慎用。

在端口模式下配置邊緣端口和BPDU報文過濾功能后，端口將不處理、不發送BPDU報文。該端口將無法成功與對端設備直連端口協商STP協議狀態，請慎用。

在stp中，不參與生成樹計算的端口可以采用stp disable命令關閉。

18.1、將端口配置成邊緣端口

[HuaweiGigabitEthernet0/0/2]stp edgedport ?

disable Disable edge port

enable Enable edge port

[HuaweiGigabitEthernet0/0/2]stp edgedport enable

18.2、配置當前端口為BPDU filter端口

[HuaweiGigabitEthernet0/0/2]stp bpdufilter enable

18.3、配置當前設備上所有端口為邊緣端口

[Huawei]stp edgedport default

18.4、配置當前設備上所有端口為BPDU filter端口

[Huawei]stp bpdufilter default

19、配置MST域的最大跳數

在運行MSTP的二層網絡中，交換設備之間靠MST BPDU進行信息的交互。在MST BPDU中，包含一個記錄該BPDU剩余生存跳數的字段。

根交換設備發送的BPDU的剩余生存跳數為MST域的最大跳數。

非根交換設備發送的BPDU的剩余生存跳數為MST域的最大跳數減去本交換設備距根交換設備的跳數。

如果交換設備收到的BPDU中攜帶的剩余生存跳數為0，則交換設備將該BPDU丟棄。

因此，MST域內生成樹的最大跳數會決定生成樹的網絡規模大小。通過配置當前MST域的最大跳數，從而控制生成樹的網絡規模。

[Huaweimstprocess1]stp maxhops ?

INTEGER<140> STP max hops

20、配置設備的BPDU保護功能

邊緣端口直接和用戶終端相連，正常情況下，邊緣端口不會收到BPDU報文。如果攻擊者偽造BPDU惡意攻擊交換設備，當邊緣端口接收到BPDU報文時，交換設備會自動將邊緣端口設置為非邊緣端口，并重新進行生成樹計算，從而引起網絡震蕩。通過使能BPDU保護可以防止偽造BPDU惡意攻擊。

交換設備上啟動BPDU保護功能后，如果邊緣端口收到BPDU報文，交換設備將關閉這些端口，同時通知網管系統。在未使能端口自動恢復功能時，必須由網絡管理員手動恢復端口狀態。

[Huaweimstprocess1]stp bpduprotection

如果用戶希望被errordown的邊緣端口可自動恢復，可通過配置使能端口自動恢復功能，并設置延遲時間，即在系統視圖下執行命令errordown autorecovery cause bpduprotection interval intervalvalue，使能端口管理狀態自動恢復為Up的功能，并設置端口自動恢復為Up的延時時間使被關閉的端口經過延時時間后能夠自動恢復。配置時需要注意：

缺省情況下，未使能處于errordown狀態的端口狀態自動恢復為Up的功能，所以才沒有缺省延遲時間值。當用戶配置該命令時，必須指定恢復延遲時間。

取值越小表示端口的管理狀態自動恢復為Up的延遲時間越短，端口Up/Down狀態震蕩頻率越高。

取值越大表示端口的管理狀態自動恢復為Up的延遲時間越長，端口流量中斷時間越長。

自動恢復僅對配置errordown autorecovery命令之后發生errordown的端口有效，對配置此命令之前已經errordown的端口不生效。

21、配置設備的TC保護功能

如果攻擊者偽造拓撲變化BPDU報文惡意攻擊交換設備，交換設備短時間內會收到很多拓撲變化BPDU報文，頻繁的刪除MAC或者ARP表項操作會給設備造成很大的負擔，也給網絡的穩定帶來很大隱患。

啟用TC保護功能后，在單位時間內，交換設備處理拓撲變化報文的次數可配置。如果在單位時間內，交換設備在收到拓撲變化報文數量大于配置的閾值，那么設備只會處理閾值指定的次數。對于其他超出閾值的拓撲變化報文，定時器到期后設備只對其統一處理一次。這樣可以避免頻繁的刪除MAC地址表項和ARP表項，從而達到保護設備的目的。

21.1、配置設備處理閾值指定數量的拓撲變化報文所需的時間

[Huaweimstprocess1]stp tcprotection interval ?

21.2、配置MSTP進程在收到TC類型BPDU報文后，單位時間內處理TC類型BPDU報文并立即刷新轉發表項的閾值。

[Huaweimstprocess1]stp tcprotection threshold ?

INTEGER<1255> The threshold of TCBPDU protection, default is 1

配置后，在stp tcprotection interval指定的時間內，設備只會處理stp tcprotection threshold指定數量的拓撲變化報文，對于其他的報文會延遲處理，所以可能會影響生成樹的收斂速度。

例如，時間設定為10秒，閾值設定為5，則設備收到拓撲變化報文后，在10秒內只會處理最開始收到的5個拓撲變化報文，對于后面收到的報文則會等10秒超時后再統一處理。

22、配置端口的Root保護功能

由于維護人員的錯誤配置或網絡中的惡意攻擊，網絡中的合法根交換設備有可能會收到優先級更高的BPDU報文，使得合法根交換設備失去根交換設備的地位，引起網絡拓撲結構的錯誤變動。

這種不合法的拓撲變化，可能會導致原來應該通過高速鏈路的流量被牽引到低速鏈路上，造成網絡擁塞。為了防止這種情況發生，可在交換設備上部署Root保護功能，通過維持指定端口的角色來保護根交換設備的地位。當端口的角色是指定端口時，配置的Root保護功能才生效。

在MSTP多進程的環中，建議端口阻塞不要配置在與根保護端口直連的鏈路上。

[HuaweiGigabitEthernet0/0/5]stp binding process 1

[HuaweiGigabitEthernet0/0/5]stp rootprotection

23、配置端口的環路保護功能

在運行MSTP協議的網絡中，根端口和其他阻塞端口狀態是依靠不斷接收來自上游交換設備的BPDU報文維持。當由于鏈路擁塞或者單向鏈路故障導致這些端口收不到來自上游交換設備的BPDU報文時，交換設備會重新選擇根端口。原先的根端口會轉變為指定端口，而原先的阻塞端口會遷移到轉發狀態，從而造成交換網絡中可能產生環路。為了防止以上情況發生，可部署環路保護功能。

在啟動了環路保護功能后，如果根端口或Alternate端口長時間收不到來自上游設備的BPDU報文時，則向網管發出通知信息（此時根端口會進入Discarding狀態，角色切換為指定端口），而Alternate端口則會一直保持在阻塞狀態（角色也會切換為指定端口），不轉發報文，從而不會在網絡中形成環路。直到鏈路不再擁塞或單向鏈路故障恢復，端口重新收到BPDU報文進行協商，并恢復到鏈路擁塞或者單向鏈路故障前的角色和狀態。

由于Alternate端口是根端口的備份端口，如果交換設備上有Alternate端口，需要在根端口和Alternate端口上同時配置環路保護。

[HuaweiGigabitEthernet0/0/2]stp binding process 1

[HuaweiGigabitEthernet0/0/2]stp loopprotection

24、配置設備的共享鏈路保護功能

共享鏈路保護功能用在交換設備雙歸屬接入網絡的場景中。當共享鏈路故障時，通過共享鏈路保護功能，使本設備的工作模式強制轉換為RSTP，配合使用根保護功能，可以避免網絡環路。

[Huawei]stp process 1

[Huaweimstprocess1]stp linkshareprotection

25、配置端口Proposal/Agreement機制的遷移方式

Proposal/Agreement機制，目前交換設備的端口支持以下兩種方式：

1、增強方式：當前端口在計算同步標志位時計算根端口。

上游設備發送Proposal報文，請求進行快速遷移，下游設備接收到后，把與上游設備相連的端口設置為根端口，并阻塞所有非邊緣端口。

上游設備繼續發送Agreement報文，下游設備接收到后，根端口轉為Forwarding狀態。

下游設備回應Agreement報文，上游設備接收到后，把與下游設備相連的端口設置為指定端口，指定端口進入Forwarding狀態。

2、普通方式：當前端口在計算同步標志位時忽略根端口。

上游設備發送Proposal報文，請求進行快速遷移，下游設備接收到后，把與上游設備相連的端口設置為根端口，并阻塞所有非邊緣端口，根端口轉為Forwarding狀態。

下游設備回應Agreement報文，上游設備接收到后，把與下游設備相連的端口設置為指定端口，指定端口進入Forwarding狀態。

華為數據通信設備和其他制造商的設備進行互通時，需要根據其他制造商設備的Proposal/Agreement機制，選擇端口使用增強的快速遷移機制還是普通的快速遷移機制。

[HuaweiGigabitEthernet0/0/3]stp noagreementcheck 配置為普通的快速遷移方式，缺省為增強的快速遷移機制。

26、配置端口收發MSTP協議的報文格式

MSTP協議報文存在兩種格式，一種為dot1s，即IEEE802.1s規定的報文格式，另一種為legacy，是一種私有報文格式。

配置時，可以指定報文的格式，也可以配置MSTP協議報文格式自適應的功能，即根據收到的MSTP協議報文格式自動切換端口支持的MSTP協議報文格式，使報文格式與對端匹配。

[HuaweiGigabitEthernet0/0/3]stp compliance ?

auto Protocol type is auto

dot1s Protocol type is 802.1s

legacy Protocol type is legacy

27、使能摘要偵聽功能

當華為設備與其他制造商的設備互連時，在域名、修訂級別、VLAN實例映射表全都一致的情況下，由于雙方BPDU報文密鑰不一致，會導致兩臺設備不能正常互通，在這種情況下，需要在交換設備上使能摘要偵聽功能。在MST域中的交換設備上進行以下配置，實現華為設備的BPDU報文密鑰與其他制造商設備的BPDU報文密鑰一致。

[HuaweiGigabitEthernet0/0/3]stp configdigestsnoop

拓展知識：