环路让MAC满网乱窜？漂移联动让流量抑制自动出手

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

风暴的前奏：MAC在多个口之间横跳

二层网络里环路有个阴险的征兆：MAC地址在多个端口之间反复横跳，同一台设备的表项一会儿指向这个口、一会儿指向那个口，这叫MAC漂移。漂移的背后多半是环路或终端异常，风暴随影而至。过去运维的处理链条是被动的：先收到告警，再人工去查漂移端口，然后手动在接口上压流量抑制——等这一串做完，业务往往已经卡了几分钟。把中间的人工环节省掉，让检测到漂移直接触发接口流量抑制，这就是MAC漂移联动流量抑制要解决的事。

机制一句话：漂移即收紧

它的机制一句话讲清：设备开启MAC漂移检测后，一旦检测到MAC地址发生漂移，自动触发对漂移接口的流量抑制；抑制的力度按承诺信息速率CIR或百分比指定，还可以强制报文按这个联动阈值转发。相当于给每个接口预装了一道一旦漂移就自动收紧的动态闸门，故障被压在萌芽的接口上，不再向全网蔓延。

配置本体一条命令

进入系统视图后，按规划指定抑制阈值——CIR精确限速或百分比限速二选一：

system-view

storm suppression mac-address flapping { percent-value | cir cir-value [ kbps | mbps | gbps ] } [ force ]

末尾那个可选的force参数值得单独说：加上它，报文将强制按照MAC漂移联动流量抑制的阈值进行转发，联动生效更硬性；不加则按常规抑制逻辑处理。阈值取值的原则与静态流量抑制一致——给正常业务留足余量，只拦漂移引发的异常流量，接入口的经验做法是从较小阈值起步、结合业务观察逐步放开。

两个前提与一套搭档

两个前提别落下。其一，联动的触发源是MAC漂移检测，设备上要先开启漂移检测功能，联动才有火种；其二，联动是触发式的，配置本身不产生动作，验收时要靠一次真实的漂移来检验——测试口构造一个环路让MAC漂移发生，观察漂移接口是否被自动套上抑制阈值，风暴是否被压在单口之内，告警与联动动作的时间先后是否符合预期。

日常运维里它和另外几件工具是搭档关系：生成树防环路于未然，环路检测定位具体断点，漂移联动则在环路已经发生、风暴正在起步的窗口里争取时间。三者叠加，二层网络的故障半径从全网缩到单口。还有一点经验：联动触发后别只顾着恢复业务，顺着漂移接口往下查物理连线与终端，把环路的根因拔掉才是收尾，否则抑制一撤、风暴再来。

人工响应是分钟级，联动是秒级——漂移联动流量抑制与环路检测一起列入二层防护基线，新网点上线即带，欢迎搜索关注贵州诚鑫致达科技，获取更多二层环路防护的实操经验。

企业存储选型参考｜贵州诚鑫致达

做海量监控接入与长期归档，群晖机型参考：HD6500 · RS3621xs+ · DS2422+。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。