STP协议原理与eNSP实验：从环路风暴到网络稳定的二层防环实战

1. 从“环路风暴”到网络稳定：为什么我们需要STP？

如果你刚接触企业网络，或者正在用eNSP做实验，可能会遇到一个让人头疼的场景：为了网络冗余，你在两台交换机之间连接了两根网线。理论上，这应该让网络更可靠，对吧？但现实往往是，设备刚接上，整个网络的指示灯就开始疯狂闪烁，CPU占用率飙升，网络时断时续，甚至完全瘫痪。恭喜你，你很可能亲手制造了一场“广播风暴”。

广播风暴是二层网络（数据链路层）的经典灾难。在没有三层设备（路由器）隔离的情况下，广播帧、组播帧甚至某些未知单播帧会在交换机之间被无限循环转发。想象一下，一个广播包从交换机A的1口发到交换机B，B又从2口发回给A，A再发回给B……这个数据包就像在环形跑道上失控的赛车，永不停歇，迅速耗尽所有链路带宽和交换机的处理能力。而冗余链路，这个本意为提高可靠性的设计，恰恰是形成环路的元凶。

为了解决这个“成也冗余，败也冗余”的悖论，生成树协议（Spanning Tree Protocol, STP）应运而生。它的核心思想非常巧妙：允许物理环路存在，但在逻辑上通过阻塞（Blocking）部分端口，修剪出一棵无环的“树”。这棵树连通了网络中的所有交换机，但任意两点间只有唯一路径，从而杜绝了环路。当活动链路发生故障时，STP能重新计算，将之前阻塞的端口激活（转为转发状态），恢复网络连通性，实现冗余备份。所以，STP的本质是在“环路导致的网络瘫痪风险”和“链路冗余带来的可靠性提升”之间，找到了一个动态的、自动化的平衡点。

在eNSP中动手配置STP，绝不是为了点点鼠标、敲敲命令应付实验。其真正价值在于，你能直观地看到网络从“物理有环”到“逻辑无环”的收敛过程，理解根桥、根端口、指定端口这些抽象概念是如何在真实设备上选举和工作的。这是理解所有现代交换网络（包括其高级版本RSTP、MSTP）的基础。接下来，我们就从零开始，在eNSP里搭建一个典型环路场景，并一步步配置、分析和验证STP的行为。

2. 实验环境搭建：构建一个经典的三角环路拓扑

理论说得再多，不如亲手做一遍。我们首先在eNSP中还原一个最经典也最容易出问题的网络拓扑——三角环路。

2.1 设备选型与基础连接

打开eNSP，我们从左侧设备区拖拽三台交换机到拓扑区。对于STP实验，选择最基础的S5700系列交换机即可，它完整支持IEEE 802.1D STP协议，且命令与现网主流华为设备保持一致。

将三台交换机分别命名为SW1、SW2、SW3。命名的好处不仅是便于管理，在后续查看STP状态时，我们能一眼看出哪台设备在起作用。右键点击设备，选择“重命名”即可修改。

现在开始连线，构建环路：

1. 使用Copper（铜缆）线缆，将SW1的GigabitEthernet 0/0/1接口与SW2的GigabitEthernet 0/0/1接口连接。
2. 将SW2的GigabitEthernet 0/0/2接口与SW3的GigabitEthernet 0/0/1接口连接。
3. 最后，将SW3的GigabitEthernet 0/0/2接口与SW1的GigabitEthernet 0/0/2接口连接。

至此，一个物理上的三角环路就形成了：SW1-SW2-SW3-SW1。如果不启用任何防环协议，一旦网络中有广播帧，风暴将不可避免。

2.2 验证初始状态与环路现象（可选）

在配置STP之前，我们可以先“体验”一下没有STP的情况。虽然eNSP作为模拟器，不会像真机那样导致电脑卡死，但我们可以通过抓包来观察环路的形成。

1. 启动所有设备。
2. 在三台交换机上，暂时确保STP功能是关闭的（华为交换机默认在某些版本可能是开启的，我们先显式关闭）。依次进入每台交换机的系统视图（system-view），输入命令stp disable。
3. 在任意一条链路上（例如SW1和SW2之间）右键，选择“抓包”。
4. 在SW1上创建一个VLAN，并给连接PC的接口（可以临时接一台PC）发送一个广播包，例如执行ping 255.255.255.255（模拟广播流量）。
5. 观察抓包软件。在没有STP的情况下，你很可能会看到这个广播请求（如ARP请求）在三条链路上被不断重复、泛洪，数量急剧增长，这就是广播风暴的雏形。

这个步骤能让你深刻理解STP要解决的核心问题。做完后，记得在每台交换机上重新开启STP（stp enable），或者直接进行下一步的配置。

3. STP的核心机制解析：根桥、路径开销与端口角色

在动手配置命令前，必须理解STP算法运行的几个核心概念。这就像下棋的规则，不懂规则，看棋盘就是一片混乱。

3.1 桥ID（Bridge ID）与根桥（Root Bridge）选举

STP网络需要一棵树的“根”，所有计算都围绕这个根展开。这个根就是根桥。

如何选举根桥？交换机之间通过交换一种叫做BPDU（桥协议数据单元）的协议报文来沟通。BPDU中最关键的信息之一是桥ID。桥ID由两部分组成：

• 桥优先级：16位，默认值是32768。值越小，优先级越高。我们可以手动修改它来干预根桥选举。
• MAC地址：48位。当桥优先级相同时，MAC地址较小的交换机会成为根桥。MAC地址是设备的硬件标识，通常不可改，这提供了一个唯一的决胜依据。

选举过程很简单：启动后，所有交换机都“自以为”是根桥，并向外发送BPDU宣称自己。当收到其他交换机发来的BPDU时，会比较其中的根桥ID（最初就是对方的桥ID）。如果对方的根桥ID更优（优先级更高或相同但MAC更小），就“臣服”于它，并更新自己的BPDU，向外传播这个更优的根桥ID。最终，全网所有交换机都会认同桥ID最优的那一台为唯一的根桥。

为什么根桥的位置很重要？因为根桥上的所有端口都会成为指定端口（处于转发状态）。数据流向可以理解为以根桥为中心向外扩散。因此，根桥通常应该放置在网络核心、性能较高、位置稳定的交换机上。

3.2 路径开销（Path Cost）与根端口（Root Port）选举

确定了根桥后，非根桥需要找到一条通往根桥的最优路径。这条路径不是看跳数，而是看累积的路径开销。

路径开销是根据链路带宽计算的一个值，带宽越高，开销值越小。IEEE有新旧两套标准值，华为设备默认使用802.1t标准。例如：

• 10G链路：开销值 2
• 1G链路：开销值 4
• 100M链路：开销值 19
• 10M链路：开销值 100

每个非根桥会计算自己每个端口到达根桥的路径总开销。拥有最小根路径开销的那个端口，就会被选举为该交换机的根端口。根端口是非根桥上负责转发数据去往根桥的端口，它处于转发状态。

3.3 指定端口（Designated Port）与阻塞端口（Blocking Port）

选完根端口，树的主干就有了。接下来要决定每个网段（每条链路）上，由谁来负责转发数据，这个端口就是该网段的指定端口。

选举规则如下：

1. 比较网段两端端口发送的BPDU中所携带的根路径开销。开销更小的那一端成为指定端口。
2. 如果开销相同，则比较发送BPDU的发送者桥ID，桥ID更优（更小）的一方成为指定端口。
3. 如果发送者桥ID还相同（这通常发生在同一台交换机的两个端口连接同一台集线器或另一台交换机的两个端口，形成直连环路），则比较发送者端口ID（由端口优先级和端口编号组成），更小者胜出。

每个网段上只会有一个指定端口，它处于转发状态。而落败的那个端口，则会被置为阻塞状态。阻塞端口只接收BPDU，不转发任何用户数据流量，从而在逻辑上打破了环路。

总结一下端口角色与状态：

• 根端口：每个非根桥有且只有一个，指向根桥，转发状态。
• 指定端口：每个网段有且只有一个，负责转发本网段流量，转发状态。
• 阻塞端口：既不是根端口也不是指定端口的端口，逻辑上断开环路，阻塞/丢弃状态（不转发用户数据）。

4. eNSP中的STP基础配置与状态验证

理解了原理，现在我们在搭建好的三角环路拓扑中进行实际配置和验证。我们的目标是：控制SW1成为根桥，并观察STP如何自动阻塞端口打破环路。

4.1 启用STP并指定根桥

首先，确保所有交换机都已启动。我们通过命令行（CLI）进行配置。

1. 登录与全局启用STP： 依次右键点击SW1、SW2、SW3，选择“CLI”进入命令行界面。默认情况下，华为S5700交换机STP功能可能是启用的，但为了实验清晰，我们统一配置。

   <Huawei> system-view // 进入系统视图 [Huawei] sysname SW1 // 修改设备名称为SW1（如果之前没在界面重命名） [SW1] stp mode stp // 将STP模式设置为标准STP（IEEE 802.1D）。华为设备还支持更快的RSTP（rapid-spanning-tree）和MSTP（multiple-spanning-tree），这里我们用基础版。 [SW1] stp enable // 全局启用STP功能

   在SW2和SW3上重复同样的操作，将sysname改为对应的名字。

2. 配置SW1为根桥： 我们不依赖默认的MAC地址选举，而是主动将SW1设置为根桥。有两种常用方法：

   • 方法一：直接设置优先级。将SW1的桥优先级改为一个比默认值32768更小的值。

     [SW1] stp priority 0 // 将优先级设置为0，这是最高优先级，确保其成为根桥

   • 方法二：使用根桥快捷命令。华为设备提供了更直观的命令，系统会自动计算一个合适的优先级（通常是0或4096）。

     [SW1] stp root primary // 设置本交换机为主根桥

   这里我们使用stp root primary命令，更符合运维习惯。

   对于SW2和SW3，我们可以将其设置为备份根桥，或者什么都不做。为了演示，我们将SW2设置为备份根桥：

   [SW2] stp root secondary // 设置本交换机为备份根桥。当主根桥（SW1）失效时，它更有可能成为新的根桥。

   SW3保持默认配置即可。

4.2 查看STP状态与端口角色

配置完成后，STP协议会自动开始计算。计算需要时间（标准STP的收敛时间可能长达30-50秒）。我们可以使用一系列命令来验证结果。

1. 查看全局STP摘要信息： 在任意交换机上，使用display stp brief命令。这是最常用、信息最集中的命令。

   [SW1] display stp brief MSTID Port Role STP State Protection 0 GigabitEthernet0/0/1 DESI FORWARDING NONE 0 GigabitEthernet0/0/2 DESI FORWARDING NONE

   • Role列：端口角色。DESI是指定端口。
   • STP State列：端口状态。FORWARDING是转发状态。
   • 可以看到，作为根桥的SW1，它的两个端口都是指定端口且处于转发状态。这印证了根桥所有端口都是指定端口的理论。

   在SW2上查看：

   [SW2] display stp brief MSTID Port Role STP State Protection 0 GigabitEthernet0/0/1 ROOT FORWARDING NONE 0 GigabitEthernet0/0/2 DESI FORWARDING NONE

   • SW2的G0/0/1端口角色是ROOT（根端口），状态是FORWARDING。这是它去往根桥SW1的端口。
   • SW2的G0/0/2端口角色是DESI（指定端口），状态是FORWARDING。这是它去往SW3的链路上的指定端口。

   在SW3上查看：

   [SW3] display stp brief MSTID Port Role STP State Protection 0 GigabitEthernet0/0/1 ROOT FORWARDING NONE 0 GigabitEthernet0/0/2 ALTE DISCARDING NONE

   • 关键结果出现了！SW3的G0/0/1是根端口（指向SW2，因为通过SW2到根桥SW1的路径开销更优）。
   • SW3的G0/0/2端口角色是ALTE（替代端口，即阻塞端口），状态是DISCARDING（丢弃状态）。正是这个端口被STP协议逻辑阻塞，从而打破了三角环路！

2. 查看详细的STP信息： 如果想了解更详细的信息，比如根桥ID、本机桥ID、路径开销等，可以使用display stp命令。

   [SW3] display stp -------[CIST Global Info][Mode STP]------- CIST Bridge :32768.4c1f-ccb7-1111 // 本机桥ID：优先级. MAC地址 Config Times :Hello 2s MaxAge 20s FwDly 15s MaxHop 20 Active Times :Hello 2s MaxAge 20s FwDly 15s MaxHop 20 CIST Root/ERPC :0 .4c1f-ccb6-1111 / 4 // 根桥ID / 外部根路径开销（本机到根桥的开销） CIST RegRoot/IRPC :32768.4c1f-ccb7-1111 / 0 CIST RootPortId :128.1 // 根端口ID ...（后续还有端口详细信息）...

   从这里可以清晰看到，根桥的桥ID优先级是0（就是我们设置的SW1），本机到根桥的路径开销是4（假设是1G链路）。

4.3 验证网络连通性与故障切换

现在，逻辑树已经形成（SW1-SW2-SW3，且SW3的G0/0/2被阻塞）。我们验证一下网络连通性以及STP的冗余保护能力。

1. 基础连通性测试： 在拓扑中，给SW1、SW2、SW3分别连接一台PC，并配置同网段IP地址（例如192.168.1.1/24, .2/24, .3/24）。此时，PC1应该能ping通PC2和PC3。虽然物理上有环路，但逻辑上数据流是：PC3<->SW3<->SW2<->SW1<->PC1。流量不会经过被阻塞的SW3<->SW1链路。

2. 模拟链路故障，测试收敛： 这是STP价值的核心体现。我们手动关闭当前正在使用的、处于转发状态的关键链路。

   • 在SW2上，进入其根端口GigabitEthernet 0/0/1的接口视图，将其关闭。

     [SW2] interface GigabitEthernet 0/0/1 [SW2-GigabitEthernet0/0/1] shutdown

   • 立即在SW3上使用display stp brief命令观察（可以持续快速执行，或使用display stp brief | include ALTE过滤观察阻塞端口）。
   • 你会观察到，SW3上原来处于DISCARDING状态的G0/0/2端口，其状态会经历从DISCARDING->LEARNING->FORWARDING的转变。标准STP下，这个过程需要30秒左右（15秒Max Age + 15秒Forward Delay）。
   • 一旦端口变为FORWARDING，新的逻辑路径就形成了：PC3<->SW3<->SW1<->PC1。网络连通性得以恢复。

   这个实验直观地展示了STP的“破环”和“冗余切换”两大核心功能。

5. 进阶配置与常见问题排查

掌握了基础配置后，我们来看一些更贴近实际场景的配置和可能遇到的问题。

5.1 调整端口开销与优先级，影响路径选择

有时，网络管理员希望流量走特定的路径。例如，SW3连接SW1和SW2的两条链路，一条是万兆（10G），一条是千兆（1G）。我们自然希望流量优先走万兆链路。但STP默认选举结果可能不如人意（比如因为对端交换机ID更优，导致千兆链路成了指定端口）。这时就需要手动干预。

1. 调整端口优先级： 端口优先级影响指定端口的选举。在接口视图下，使用stp port priority命令。值越小越优先，但必须是16的倍数（如0, 16, 32, ... 240）。

   [SW3] interface GigabitEthernet 0/0/1 // 假设这是万兆口 [SW3-GigabitEthernet0/0/1] stp port priority 0 // 将该端口优先级设为最高

   这会使该端口在与其直连的对端端口竞争中，更容易成为指定端口。

2. 调整端口路径开销： 这是更直接的方法，通过改变本端口计算出的根路径开销，来影响根端口或指定端口的选举。开销值越小，路径越优。

   [SW3] interface GigabitEthernet 0/0/1 [SW3-GigabitEthernet0/0/1] stp cost 20000 // 手动设置一个较大的开销，使其“变差”

   注意：修改开销通常是为了“惩罚”某条链路，使其成为备份路径。要优先某条链路，应该修改其竞争链路的开销，使其变大。

5.2 eNSP实验中的典型问题与排查命令

在eNSP中做STP实验，可能会遇到一些“奇怪”的现象，通常与模拟器特性或配置有关。

• 现象一：STP状态不变化，端口一直处于Discarding状态。

  • 可能原因1：STP模式不匹配。检查所有交换机是否都运行在相同的STP模式（stp mode stp）。如果一台是STP，另一台是RSTP，它们可能无法正常协商。
  • 可能原因2：物理链路或协议未UP。使用display interface brief命令查看端口物理状态和协议状态是否为UP。如果链路没起来，STP无法工作。
  • 排查命令：

    display stp // 查看全局模式、根桥等信息 display interface GigabitEthernet 0/0/1 // 查看具体端口状态 display stp interface GigabitEthernet 0/0/1 // 查看指定端口的详细STP信息

• 现象二：根桥选举结果与预期不符。

  • 可能原因1：优先级配置未生效。确认命令是在系统视图下输入的stp priority <value>，并且没有在接口下配置错误的优先级。
  • 可能原因2：存在未发现的交换机。检查拓扑是否真的只有这三台交换机，有没有其他隐藏的连接或交换机也参与了选举。
  • 排查命令：

    display stp | include Bridge // 查看本机桥ID display stp | include Root // 查看公认的根桥ID

• 现象三：使用“STP根保护”等高级功能后端口被误阻塞。

  • 说明：根保护（stp root-protection）功能配置在指定端口上，一旦该端口收到更优的BPDU，会立即将其置为Discarding状态，以防止非法设备抢占根桥地位。在实验时，如果错误地在连接合法根桥的端口上开启了根保护，反而会导致链路中断。
  • 排查命令：

    display stp interface GigabitEthernet 0/0/1 | include Protection // 查看端口的保护功能 display stp abnormal // 查看STP的异常状态信息

5.3 从标准STP到RSTP：理解收敛速度的飞跃

在故障切换实验中，你应该感受到了标准STP缓慢的收敛速度（30-50秒）。这在现代网络中是无法接受的。因此，快速生成树协议（RSTP, IEEE 802.1w）成为了事实上的标准，它兼容STP，但将收敛时间从秒级缩短到了毫秒级（通常小于1秒）。

在eNSP中，你可以轻松地将模式切换到RSTP，体验其速度：

[SW1] stp mode rstp [SW2] stp mode rstp [SW3] stp mode rstp

切换后，重复之前的故障切换测试，你会发现端口状态几乎在链路断开的同时就完成了切换。RSTP的核心改进在于引入了新的端口角色（替代端口、备份端口）和端口状态（丢弃、学习、转发），并通过提议-同意机制（Proposal/Agreement）在点对点链路上实现快速收敛。对于所有新建网络，都强烈建议直接使用RSTP或更先进的MSTP。

6. 总结与延伸思考：STP在现代网络中的定位

通过这一系列的eNSP实验，我们从环路现象入手，理解了STP的必要性，动手配置并验证了其选举、破环、冗余切换的全过程，还探讨了路径优化和故障排查。STP是二层网络的基石协议，它的思想深刻影响了后续所有网络防环技术。

然而，也必须认识到标准STP的局限性：收敛慢、所有VLAN共享一棵树导致部分链路闲置。因此，在实际生产环境中：

1. 优先使用RSTP（802.1w）：它解决了收敛速度问题，配置命令与STP大部分兼容。
2. 在复杂VLAN环境中考虑MSTP（802.1s）：多生成树协议允许将多个VLAN映射到不同的生成树实例上，实现流量的负载分担。
3. 在纯二层数据中心网络中，可能会使用更激进的技术：如思科的FabricPath或基于SPB（最短路径桥接）、TRILL（多链路透明互联）的大二层技术，它们允许在二层网络中存在等价多路径，彻底摆脱了生成树的束缚。

但无论技术如何演进，理解STP的基本原理——根桥选举、路径开销计算、端口角色与状态——都是每一位网络工程师不可或缺的内功。eNSP提供了一个绝佳的无风险环境，让你可以反复“制造故障”、“修改参数”、“观察收敛”，将书本上的协议状态机转化为肌肉记忆。下次当你再看到网络拓扑中的环路时，你脑海中浮现的将不再是无序的线条，而是一棵由根桥生长出来、脉络清晰、动态生长的逻辑树。