分支私接小交换机成环拖垮汇聚？华为环路检测按VLAN盯防自动关口

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

分支部门自己买台小交换机把几根网线一插，环路就埋下了。这种环不在汇聚交换机的直连接口上，而是藏在下挂的新建网络里，广播报文在环里转圈，汇聚交换机和它的上行网络一起遭殃。STP当然能防环，但下挂网络里的设备型号五花八门，未必都乖乖跑生成树，而且成环的VLAN范围往往一抓一大把。华为交换机的Loop Detection就是为这种场景准备的：支持按VLAN进行环路检测，可以同时检测4094个VLAN，周期性发出检测报文，报文从哪个口回来就说明哪里成环了。

官方典型组网

例子是这样的：企业新建分支网络接入汇聚交换机Switch，分支网络所属VLAN范围为10～20。新建网络可能因连接或配置错误而产生环路，进而影响Switch及其上行网络的通信，用户希望能在Switch上及时检测到新建分支网络中的环路，防止环路对Switch及其上行网络的冲击。需要检测的VLAN数大于8，思路就是在Switch上配置Loop Detection：在接口GE1/0/1上使能Loop Detection并指定检测VLAN，同时配置检测到环路后的处理动作，让Switch发现环路后能及时关闭接口。

全局与VLAN两级使能

先使能全局的Loop Detection功能：

<HUAWEI> system-view
[HUAWEI] sysname Switch
[Switch] loop-detection enable

创建分支网络所属的VLAN，并使能VLAN的Loop Detection功能：

[Switch] vlan batch 10 to 20
[Switch] loop-detection enable vlan 10 to 20

周期、告警与处理动作

配置Loop Detection检测报文的发送周期，这里设为10秒：

[Switch] loop-detection interval-time 10

接着打开Loop Detection告警开关，让检测到环路的动作有迹可循：

[Switch] snmp-agent trap enable feature-name ldttrap

然后进入下行接口，把接口的链路类型、放行VLAN和处理动作一次配齐：

[Switch] interface gigabitethernet 1/0/1
[Switch-GigabitEthernet1/0/1] port link-type hybrid
[Switch-GigabitEthernet1/0/1] stp disable
[Switch-GigabitEthernet1/0/1] port hybrid tagged vlan 10 to 20
[Switch-GigabitEthernet1/0/1] loop-detection mode port-shutdown
[Switch-GigabitEthernet1/0/1] quit

验证与一个排查提醒

配置完成后执行命令display loop-detection查看全局环路检测运行情况，再执行display loop-detection interface gigabitethernet 1/0/1看接口视图。官方示例的回显里能看到VLAN 10～20都使能了检测，而GE1/0/1在VLAN 10上的状态变成了Shutdown，说明VLAN 10检测到了环路，接口被自动关闭，环被掐断。

有一点官方文档特别提醒：对于Shutdown处理动作，系统检测到某个或某些VLAN环路后会把接口Shutdown，环路消失后就可能检测不到其余成环的VLAN了。也就是说这个动作保护网络很干脆，但排查时别忘了把接口下的各个VLAN挨个看一遍。另外，新建网络里的交换设备接口要配置为Trunk或Hybrid并放行相应VLAN，才能保证检测报文走通整条路。

下挂网络的环路看不见摸不着，等广播风暴起来再排查就晚了。把Loop Detection按VLAN布在汇聚层下行口，环一冒头接口自动关，网络其他部分安然无恙，这类接入侧成环故障也就从全网事故降级成了单点事件。欢迎搜索关注贵州诚鑫致达科技，获取更多交换机环路防护的实操经验。

企业存储选型参考｜贵州诚鑫致达

做机房存储、虚拟化或监控归档，群晖机型参考：FS6400（全闪存阵列） · SA3610 · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。西南地区多分支企业：跨区域数据集中存储与统一备份。