STP防环与OSPF选路：回路配置实战与排错

前阵子A同学发来一个eNSP实验包，说OSPF邻居全都Full，路由表也齐，可一ping业务网段就大面积丢包，交换机指示灯狂闪。进去一看，三台设备两条链路接成三角形，二层交换机上的STP被关掉了，广播帧在回路里转圈，CPU直接被抬满。把STP重新开起来、边缘端口配上BPDU保护，问题当场消失。这件事很典型：回路配置和OSPF单独拎出来都不难，难的是二层防环与三层选路要配合好。很多人看到“回路”两个字会想到Loopback回环接口，也有人指交换机双上行形成的物理环路，这两个在同一个实验里都会碰到，我干脆放在一起讲。下面这套内容，刚接触网络实验的新手可以照着敲，做过园区网运维的可以直接跳到第4节看排查表。所有命令和地址都来自可复现的实验环境，参数计算过程也一并写清楚，照着搭一遍，基本能把回路与OSPF的常见坑踩个七七八八。

1. 先想清楚：回路和OSPF到底在解决什么问题

1.1 为什么网络里非要留一条“回路”

真实网络里，冗余链路不是可选项，而是底线。接入交换机只上一根线到核心，线缆被施工队挖断、光模块老化、接口进水，整层楼就断网。所以园区网常见做法是接入双上行、核心双互联，物理上必然形成一个或多个闭合回路。回路带来两个直接问题：二层广播帧没有TTL，会在环里无限复制；三层路由如果手工写错，数据包也会在两个网关之间来回弹。前者靠STP/MSTP把环路修剪成一棵树，后者靠OSPF的SPF算法算出一棵无环最短路径树。你可以把STP理解成“把多余的门先锁上，只留一条通道”，把OSPF理解成“每个路口都有一张全网地图，按路况自己选最快路线”。两者一个管二层转发面，一个管三层控制面，缺了谁都不行。

实验里我故意保留物理回路，不做Eth-Trunk，就是为了观察STP阻塞哪条口、OSPF怎么选路。等验证完再改成链路聚合，对比带宽和收敛差异。这个顺序很重要：先看见问题，再优化方案，比一上来就堆配置更容易记住。

1.2 为什么这个场景选OSPF而不是静态路由

三五台设备的小网络，静态路由确实够用，配置直观、不跑协议、不占CPU。但一旦链路变成回路，静态路由的维护成本立刻上来：每加一个网段，所有沿途设备都要补路由；主链路断了，靠浮动静态路由切换，收敛时间取决于BFD或者路由优先级，手工维护容易漏。OSPF的优势在于邻居自动发现、拓扑变化自动泛洪、每台设备独立算路，断一条链路后只要还有备用路径，路由表会在秒级重新收敛。

更关键的是，OSPF天然适合“核心-汇聚-接入”这种分层结构。核心层跑Area 0，汇聚层按楼栋或业务划Area 1、Area 2，区域边界做汇总，既控制LSDB规模，又把故障域限制住。静态路由做不到这种层次化。当然，OSPF不是没有代价：邻居建立需要参数匹配，区域划分要考虑骨干区域连通性，重分发时还要防环。这些代价换来的是可扩展性，设备数量一多就值回票价。

1.3 实验拓扑与地址规划

拓扑按“两台核心三层交换机 + 一台出口路由器 + 两台接入交换机”来搭。CORE1与CORE2之间跑两条Trunk链路，故意形成二层回路；CORE1、CORE2分别接R1，形成三层三角回路；SW1、SW2双上行到两台核心，再形成接入层回路。VLAN按业务划分：VLAN 10办公、VLAN 20实验、VLAN 99管理。OSPF进程1，Router ID手工指定，全部接口先放Area 0，后续再演示区域划分。

地址规划如下，反掩码别写错，这是新手最容易翻车的地方：

192.0.2.0/24是文档测试用地址，拿来做模拟外网不会和真实业务冲突。Loopback接口在这里有两个作用：一是作为OSPF的Router ID，物理口down了也不影响协议身份；二是作为稳定的32位主机路由注入OSPF，方便验证选路。很多人把“回路配置”理解成只配Loopback，其实链路冗余形成的物理环路才是实验重点，两个都要覆盖。

2. 核心机制拆解：二层防环与三层选路怎么配合

2.1 二层回路：STP到底阻塞了哪条线

两台核心交换机之间两条线都放通VLAN 10、20、99，如果不跑STP，广播帧从CORE1的GE0/0/1出去，从CORE2的GE0/0/1回来，再从CORE1的GE0/0/2出去，循环放大，几秒钟就能把接口队列打满。STP的做法是选一个根桥，再算每条链路的根路径开销，最后把多余端口置为阻塞。根桥选举看桥优先级，默认32768，我把CORE1调成4096，CORE2保持默认，CORE1稳定当根。两条互联链路里，CORE2上收到BPDU较优的那条口变根端口，另一条变阻塞口，逻辑拓扑就被剪成了一棵树。

这里有个容易误解的点：阻塞口不是完全不转发，它仍然收BPDU，只是不收发业务数据。一旦主链路断了，阻塞口经过Listening、Learning、Forwarding三个状态，大约30秒（默认参数）才恢复转发。想快一点可以配RSTP或MSTP，把收敛压到秒级。eNSP里默认就是MSTP，命令上直接stp mode mstp，再划实例。生产环境里接入层双上行，我一般会配边缘端口加BPDU保护：接终端的口设成stp edged-port enable，一旦有人私接交换机导致BPDU从边缘口进来，stp bpdu-protection直接把口shutdown，防止环路扩散。这个组合比单纯开STP更稳。

还有一点，STP只防二层环路，防不了三层路由环路。有人把两条三层链路都配上IP，然后两边互指默认路由，数据包在CORE1和CORE2之间来回弹，TTL耗尽。这种问题STP管不了，得靠OSPF的SPF或者静态路由的精确规划。

2.2 三层回路：OSPF的SPF和防环逻辑

OSPF每台路由器维护一个LSDB，里面存着各类LSA。Router LSA描述本设备有哪些接口、连了谁、开销多少；Network LSA描述广播网段的DR；Summary LSA描述区域间路由。SPF算法以自己为根，算出到每个目的网段的最短路径树。因为算法基于图论，只要LSDB一致，算出来的路径天然无环。区域间路由靠ABR做汇总，ABR只会把Area 1的路由传给Area 0，不会把从Area 0学到的路由再传回Area 1，这条规则叫水平分割，是OSPF防环的核心。

实验里的三角回路，CORE1到R1有两条路：直连GE0/0/2，或者经CORE2绕行。OSPF会选开销小的那条。默认参考带宽100Mbps，千兆口开销算出来是0.1，取整为1，百兆口也是1，区分不出来。所以我通常把参考带宽改成1000或10000：bandwidth-reference 1000之后，千兆口开销1，百兆口开销10，选路才有意义。这个参数要在同一区域的所有设备上保持一致，否则算出来的路径可能不对称。

OSPF邻居建立过程也值得记一下：Down、Init、2-Way、ExStart、Exchange、Loading、Full。广播网络上，非DR/BDR之间停在2-Way是正常的；ExStart卡住多半是MTU不一致；Exchange卡住可能是LSA请求超时；一直Init说明单向收到Hello，检查链路或认证。把状态机记住，排查时看一眼display ospf peer就能定位大半问题。

2.3 OSPF关键参数与开销计算

下面这张表是我做实验时贴在旁边的参数速查，改之前先对一遍：

开销计算举个例子：CORE1的GE0/0/1是千兆口，参考带宽改成1000后，开销=1000/1000=1；如果某条链路降速到百兆，开销=1000/100=10。OSPF选路时把沿途出接口开销累加，CORE1到R1的Loopback1，走直连是1，走CORE2绕行是1+1=2，直连优先。如果直连链路断了，OSPF会在Dead时间40秒后宣告邻居失效，重新算路切到绕行路径。想更快可以配BFD联动，把检测压到毫秒级，但实验里没必要，先把基础收敛观察清楚。

网络类型改成p2p也有讲究：两台路由器直连的接口，广播网络会选DR/BDR，多了一次选举和Network LSA，收敛稍慢。改成ospf network-type p2p后不选DR，直接建立邻接，LSDB更小。注意两端必须都改，一端广播一端p2p，邻居起不来。

2.4 回路配置的几个硬性注意点

第一，STP和OSPF不要互相打架。核心交换机上既有Vlanif跑OSPF，又有物理口跑STP，STP拓扑变化会触发TC（拓扑变更）报文，清空MAC表，短暂 flooding。MSTP里把业务VLAN映射到同一实例，减少TC范围；边缘端口配BPDU保护，防止接入侧私接设备引发震荡。

第二，Loopback口不要配成STP边缘口，它是三层接口，不参与STP。Loopback的作用是稳定Router ID和注入主机路由，配ip address 1.1.1.1 32即可，不需要stp edged-port。

第三，OSPF的network命令用反掩码，不是子网掩码。network 192.168.10.0 0.0.0.255表示整个/24，写成255.255.255.0就错了，邻居和路由都出不来。这个错误新手犯得最多，命令行下不会报错，但路由表里什么都没有。

第四，互联口如果配了silent-interface，Hello包不发，邻居永远起不来。静默接口只配在连接终端的Vlanif上，别配到路由器互联口。

第五，做链路聚合时，Eth-Trunk成员口的速率、双工、VLAN配置必须一致，否则聚合口起不来。eNSP里用LACP模式更稳，手工模式容易一端主动一端被动导致协商不一致。

3. 动手实现：从零搭出带冗余回路的OSPF网络

3.1 拓扑搭建与基础配置

先在eNSP里拖两台三层交换机、一台路由器、两台二层交换机，按前面的接口连好。启动设备后先改主机名、配Loopback，再配物理接口。命令以CORE1为例，CORE2和R1照着地址表替换：

system-view sysname CORE1 interface LoopBack0 ip address 1.1.1.1 32 interface GigabitEthernet0/0/1 ip address 10.0.12.1 30 interface GigabitEthernet0/0/2 ip address 10.0.13.1 30

R1的配置类似，两个物理口分别接CORE1和CORE2，Loopback0做Router ID，Loopback1模拟外网。配完先display ip interface brief看一眼，接口必须是UP，IP不能冲突。eNSP里有时候设备启动慢，接口状态没起来就配OSPF，邻居会卡在Init，等几秒再查。

基础配置阶段不要急着开OSPF，先把二层跑通。CORE1和CORE2之间的两条线先配Trunk，放通VLAN 10、20、99；SW1、SW2的上行口也配Trunk，下行口配Access划到对应VLAN。这时候如果不配STP，广播风暴马上来，所以Trunk配完立刻开MSTP。

3.2 二层VLAN与Trunk配置

CORE1上创建VLAN并配Trunk：

vlan batch 10 20 99 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 99 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 99

CORE2同样处理。SW1、SW2的上行口配Trunk，下行接PC的口配Access：

vlan batch 10 20 99 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 99 interface Ethernet0/0/1 port link-type access port default vlan 10 stp edged-port enable

MSTP配置要全网一致，region-name、revision-level、实例映射三样必须相同，否则会当成不同区域，STP计算出问题：

stp mode mstp stp region-configuration region-name LAB revision-level 1 instance 1 vlan 10 20 instance 2 vlan 99 active region-configuration

CORE1设根桥：stp instance 1 root primary，CORE2设备份根：stp instance 1 root secondary。配完用display stp brief看端口角色，应该能看到一条互联口是ROOT，另一条是ALTE（阻塞）。如果两条都是DESI，说明根桥没选对或者实例没生效。

这里有个实操细节：eNSP里改完MSTP配置必须active region-configuration，不激活等于没配。很多人抄了命令但漏了这句，回头查半天。还有，边缘端口配了stp edged-port enable之后，最好全局开stp bpdu-protection，否则边缘口收到BPDU不会自动处理，环路照样来。

3.3 三层SVI与OSPF进程配置

VLAN二层通了之后，在核心交换机上配SVI作为网关。CORE1：

interface Vlanif10 ip address 192.168.10.254 24 interface Vlanif20 ip address 192.168.20.254 24 interface Vlanif99 ip address 192.168.99.1 24

CORE2对应配192.168.10.253、192.168.20.253、192.168.99.2。两台核心同时做网关会有一个问题：PC的ARP请求可能学到两个网关的MAC，回包路径不一致。实验里可以先只让CORE1的SVI起OSPF，CORE2的SVI先不宣告，等验证完再加。生产环境一般上VRRP，这里不展开，避免拓扑太复杂。

OSPF配置在CORE1上：

ospf 1 router-id 1.1.1.1 bandwidth-reference 1000 area 0 network 10.0.12.0 0.0.0.3 network 10.0.13.0 0.0.0.3 network 192.168.10.0 0.0.0.255 network 192.168.20.0 0.0.0.255 network 192.168.99.0 0.0.0.255 network 1.1.1.1 0.0.0.0

CORE2的Router ID用2.2.2.2，宣告10.0.12.0/30、10.0.23.0/30、两个业务网段和Loopback。R1用3.3.3.3，宣告两个互联网段、Loopback0和Loopback1。注意R1的Loopback1是192.0.2.1/24，宣告时反掩码0.0.0.255。

互联口建议改成p2p网络类型，减少DR选举：

interface GigabitEthernet0/0/2 ospf network-type p2p

两端都要改。改完reset ospf process重启进程，或者等邻居超时重建。eNSP里重启OSPF会短暂断邻居，实验环境无所谓。

3.4 验证：邻居、路由表、断链测试

配置完成后按顺序查三样东西。第一看邻居：

display ospf peer brief

正常应该看到CORE1与CORE2、R1都是Full。如果CORE1和CORE2之间是2-Way，检查是不是网络类型不一致或者DR选举问题。第二看路由表：

display ip routing-table protocol ospf

CORE1应该学到R1的Loopback1（192.0.2.0/24），下一跳有两条：直连10.0.13.2和绕行10.0.12.2。OSPF只把开销小的放进主路由表，开销大的作为备份，用display ospf routing能看到候选路径。第三做断链测试：在CORE1上shutdownGE0/0/2，观察40秒内路由是否切到CORE2绕行，PC ping外网是否恢复。恢复后再undo shutdown，看路由是否切回。

断链测试有个现象要注意：直连链路down的瞬间，OSPF邻居失效，CORE1重新算路，但PC的ARP缓存还指着原来的网关MAC，可能丢几个包。实验里可以手动reset arp all加速恢复。生产环境靠VRRP和BFD联动，切换快得多。

3.5 路由汇总与默认路由下发

实验拓扑小，不汇总也没事。但真实园区网Area 1有几十个网段，ABR上不做汇总，Area 0的LSDB会被撑大。汇总命令在ABR上配：

ospf 1 area 1 abr-summary 192.168.16.0 255.255.240.0

把Area 1的连续网段汇总成一条/20，减少LSA数量。注意汇总掩码要写子网掩码，不是反掩码，和network命令相反，这里容易混。

出口R1可以下发默认路由，让核心交换机不用配静态默认：

ospf 1 default-route-advertise always

always表示不管本地有没有默认路由都下发，适合R1通过其他方式上网的场景。如果R1自己有默认路由，去掉always更稳，避免路由抖动。下发之后，CORE1和CORE2的路由表里会出现0.0.0.0/0，下一跳指向R1的两个接口，同样按开销选主备。

4. 常见问题排查实录

4.1 OSPF邻居起不来的六种典型情况

第一种，卡在Init。说明本端收到了对端Hello，但对端没收到本端的。检查互联口有没有被silent-interface静默，或者两端Hello/Dead间隔不一致。eNSP里改过Hello间隔的要重启OSPF进程才生效。

第二种，卡在ExStart。八成是MTU不一致。两端接口MTU默认1500，如果一端改过，DD报文协商失败。要么改成一致，要么在接口下配ospf mtu-ignore。这个命令是权宜之计，生产环境别乱用，MTU不一致会导致大包丢弃。

第三种，卡在2-Way。广播网络上非DR/BDR之间停在2-Way是正常的，但如果两台路由器之间应该是邻接却停在2-Way，检查DR优先级和Router ID，看是不是被其他设备抢了DR。

第四种，邻居Full但路由表没有OSPF路由。检查network命令的反掩码，最常见的是把0.0.0.255写成255.255.255.0。另外看区域号是否一致，Area 0和Area 1的接口不能直接建邻接。

第五种，邻居反复Up/Down。检查链路质量，eNSP里可能是接口震荡；也可能是Router ID冲突，两台设备配了同一个Loopback地址，OSPF会不断重置邻居。

第六种，认证失败。两端认证模式或密码不一致，邻居停在Init或Down。实验里配MD5认证：

interface GigabitEthernet0/0/2 ospf authentication-mode md5 1 cipher 你的实验密码

密码自己定，两端必须完全一致。改完认证要重启OSPF进程。

4.2 路由表里有路由但不通

这种情况比邻居起不来更隐蔽。先tracert看路径断在哪一跳，再逐跳display ip routing-table查往返路由。常见原因有三个：一是回程路由缺失，PC所在网段宣告了，但外网模拟网段没宣告，去包有回包无；二是ACL或防火墙拦截，实验里一般没有，但如果你加了traffic-filter要检查方向；三是ARP没学习到，SVI起来但PC网关MAC不对，display arp看一眼。

还有一种情况是OSPF学了路由但下一跳不可达。比如CORE1学了192.0.2.0/24，下一跳是10.0.13.2，但10.0.13.0/30没在路由表里，递归查找失败，路由不生效。检查互联口有没有宣告进OSPF。

4.3 二层环路引发的广播风暴

症状很直接：ping大面积丢包、设备CPU飙升、接口指示灯狂闪、display interface看到广播包数量暴涨。这时候先别急着抓包，看STP状态：

display stp brief display stp instance 1

如果所有端口都是DESI/ROOT，没有ALTE，说明没有阻塞口，环路没被剪断。检查MSTP region配置是否一致，边缘端口有没有误配到交换机互联口，BPDU保护有没有开。eNSP里还可以看MAC地址表漂移：

display mac-address

同一个MAC在兩個接口之间反复出现，基本就是环路。处理办法：先把疑似环路的口shutdown，恢复业务后再慢慢查。生产环境配风暴抑制作为兜底：

interface GigabitEthernet0/0/1 storm-control broadcast min-rate 1000

不同版本模拟器对风暴抑制的支持不一样，配不上就以STP和BPDU保护为主。

4.4 排查速查表

5. 实操心得与优化建议

5.1 实验环境里的几个小技巧

eNSP跑多台设备时，内存吃得厉害，建议把不用的设备先关机，抓包只在关键接口开。配置命令可以提前写成文本，用粘贴的方式灌进去，比逐行敲快得多。但粘贴之前一定要检查接口编号，eNSP里GE0/0/1和GE0/0/2插错位置是常事，配完display ip interface brief对一遍最稳。

保存配置也有讲究：eNSP里save之后最好再导出拓扑包，下次打开直接恢复。实验做到一半想对比方案，可以复制一份拓扑改名字，别在同一个工程里反复改，容易把之前的配置覆盖掉。我习惯每个阶段存一个快照：基础配置、STP生效、OSPF邻居Full、断链测试，出问题能快速回退。

还有，Loopback地址别随手用1.1.1.1这种容易被其他实验占用的网段，可以按设备编号规划，比如CORE1用10.255.0.1/32，CORE2用10.255.0.2/32。这样多个实验工程同时开也不冲突。

5.2 从实验到真实网络的迁移注意

实验里敢随便reset ospf process，真实网络里这么干会全网震荡。生产环境改OSPF参数要挑窗口期，改之前先display ospf peer和display ip routing-table留底，改完对比。参考带宽这种全局参数，全网设备必须统一，只改一台会导致选路不对称，去包走一条路、回包走另一条，防火墙状态检测直接丢包。

STP这边，真实网络里边缘端口一定要配BPDU保护，接入交换机下联口别配成Trunk放通所有VLAN，按需放通。有人为了省事配port trunk allow-pass vlan all，结果一个私接路由器把全网VLAN都带进来，环路范围扩大。按业务规划VLAN，管理VLAN和业务VLAN分开，能减少很多莫名其妙的故障。

最后说个我踩过的坑：有次做OSPF区域划分，把CORE2的互联口划到Area 1，CORE1还在Area 0，邻居死活起不来。OSPF要求非骨干区域必须通过ABR接骨干区域，两台路由器直连口必须在同一区域才能建邻接。区域边界要放在ABR上，不是随便找台设备就划。这个规则实验里容易忽略，真实网络里一错就是大片断网，配之前先在纸上画清楚区域边界，比事后排查省时间。