1. 双核心高可用网络VRRP、OSPF、VLANIF、MSTP、STP是怎么咬合在一起的跑过企业网项目的人应该都有这种体会单核心的网络好做一台核心交换机把VLANIF、DHCP、默认路由全部扛下来配置简单排查也直观。怕就怕客户提双核心业务不能断这时候VRRP、OSPF、VLANIF、MSTP、STP这五个词就会同时出现在一张拓扑图里。很多人单拎每个技术点都懂VRRP会配OSPF会起进程MSTP实例也能敲但组合在一起就容易出问题——不是网关飘了就是流量绕路严重的直接二层环路把业务打瘫。这篇文章想聊的就是这五个技术点在同一个网络里协同工作的完整逻辑和配置实战。拓扑以华为eNSP模拟器为准我按双核心、双汇聚、多接入的三层园区网架构来搭VLAN划分、MSTP实例规划、VRRP主备联动、OSPF路由对接全部落地。适合正在准备HCIP、或者在公司里要独立交付中小型网络项目的朋友参考。先说一个最常见的翻车场景核心A上跑着VRRP主网关但MSTP把阻塞端口放错了位置导致业务数据从核心A收进来二层转发却要绕到核心B再出去来回路径不对称延时直接拉满丢包率肉眼可见地升高。这个案例我后面会完整复盘排查链路。在开始之前得先把五者的分工理清楚STP/MSTP负责二层无环VRRP负责网关冗余VLANIF负责网关落脚点OSPF负责三层路径动态收敛。它们不在一个层次干活但最终服务的都是同一件事让流量有路走、有备用路走、而且万一主路断了能快速切到备用路。2. 为什么单生成树STP不够用MSTP多实例的规划逻辑STP本身解决的是交换网络的环路问题。只要存在两条以上的物理链路就一定需要生成树协议把其中一条逻辑上堵塞不然广播帧会翻来覆去地转圈MAC表疯狂抖动最终整个二层域瘫痪。RSTP比STP收敛快很多但在一个VLAN数量较多的网络里RSTP有个致命限制所有VLAN共用一棵生成树。也就是说我堵住的那条链路对所有VLAN都是堵的无法做到VLAN 10走这条VLAN 20走那条的负载分担。MSTPMultiple Spanning Tree Protocol就是为这个场景设计的。它把多个VLAN映射到一个实例instance每个实例独立计算生成树不同实例可以阻塞不同的端口。这样就能让整网流量分成几股各走各的冗余链路带宽利用率翻倍又不产生环路。它的开销在于配置复杂度——所有交换机上的MST域配置必须一致包括域名、修订号、VLAN与实例的映射关系任何一台对不上实例协商就会出问题。我在这个项目里把业务VLAN做了如下划分目的VLANIP网段网关办公业务VLAN 10、3010.0.10.0/24、10.0.30.0/2410.0.10.254、10.0.30.254服务器业务VLAN 20、4010.0.20.0/24、10.0.40.0/2410.0.20.254、10.0.40.254核心间互联VLAN 20010.0.200.0/30-Core与出口路由器互联VLAN 30010.0.300.0/30-管理网段VLAN 10010.0.100.0/2410.0.100.254MSTP实例规划以业务主备方向一致为原则。instance 1映射VLAN 10和30主根桥放在核心Ainstance 2映射VLAN 20和40主根桥放在核心B。这样做的目的是让不同业务的二层转发主用路径分别落在两台核心上配合后面的VRRP主备设计形成一个完整的主备分担架构而不是所有业务都挤在一台核心上。配置MSTP时有一个非常容易忽略的点修改完MST域配置后必须执行active region-configuration激活否则所有交换机虽然能看到配置但协商仍然按默认单实例进行你的多实例规划根本不生效。华为交换机上核心设备的MSTP配置大致如下stp mode mstp stp region-configuration region-name HUAWEI-MSTP revision-level 1 instance 1 vlan 10 30 instance 2 vlan 20 40 active region-configuration stp instance 1 root primary stp instance 2 root secondary注意我在核心A上把instance 1设为主根、instance 2设为备根。核心B正好反过来。接入交换机只需要保持MST域配置一致不需要手动指定根桥。新接入的终端端口建议配上stp edged-port enable防止终端反复上下电触发全网TC报文风暴这个坑后面单独讲。3. VRRP与MSTP的主备协同网关冗余和转发路径不抓好方向就会绕路VRRP的原理理解起来不难多台三层设备组成一个虚拟路由器对外提供一个虚拟IP作为终端网关Master处理流量Backup处于待命状态。正常情况下Master优先级高发免费ARP通告所有终端都把ARP表指向Master的真实MAC地址。它解决的是网关层面的单点故障——核心挂了Backup顶上终端网络感知不到变化。真正麻烦的是VRRP和MSTP的方向必须保持步调一致。用我的拓扑说明VLAN 10的VRRP主设备是核心A那么VLAN 10的二层主用路径也必须以核心A为主根。如果VRRP主在AMSTP却把核心A接入方向的端口阻塞了数据帧从终端发到汇聚层汇聚层查MAC表发现出口走核心A但生成树把这条路径堵了只能从另一条链路绕到核心B核心B再通过核心互联链路把数据送回核心A。这就造成了三层网关在A、二层转发却在B绕一圈的尴尬局面。因此我在规划VRRP时刻意让MSTP实例和VRRP实例成对出现业务VLANVRRP组虚拟IPMaster设备对应MSTP主根VLAN 10、30vrid 10、vrid 3010.0.10.254、10.0.30.254核心Ainstance 1VLAN 20、40vrid 20、vrid 4010.0.20.254、10.0.40.254核心Binstance 2这样VLAN 10业务在核心A上收网关、二层数据也在核心A附近流动两边路径一致。核心A的压力会大一些但这是有意的业务分担设计——两台核心各扛一半业务的转发压力。VRRP配置里还有一个关键点eNSP模拟器上vrid不能直接用1华为设备把vrid 1留作其他协议使用从vrid 2开始配置才踏实。我刚学的时候在这个细节上栽过跟头配了vrid 1之后display vrrp怎么都看不到虚拟IP在接口上生效。核心A上VLAN 10的VRRP配置片段interface Vlanif10 ip address 10.0.10.253 255.255.255.0 vrrp vrid 10 virtual-ip 10.0.10.254 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 10 vrrp vrid 10 track interface GigabitEthernet0/0/1 reduced 30优先级120配合抢占延时10秒是一种比较稳妥的组合。如果核心A的上行出口断开VRRP会通过track机制感知接口Down把优先级降30核心B的优先级变成110自动接管网关。这里我不建议把reduced值设得太大曾经见过有人设60的结果核心A只是接口闪断一下VRRP还没来得及恢复核心B抢过去恢复后核心A又抢回来网络来回抖了三四次才稳定下来。合理的做法是reduced之后优先级仍略高于Backup的基础值或者配合抢占延时让链路彻底稳定后再协商切换。4. VLANIF网关与OSPF对接三层路由的宣告边界和防环思路VLANIF就是把VLAN和三层的IP接口绑定在一起核心交换机上起VLANIF作为网关是老生常谈。但是VLANIF配合OSPF时有一个很容易出问题的点宣告网段时反掩码写错、或者把不必要的物理接口也宣告进了OSPF。企业网里OSPF不建议搞太复杂核心、汇聚之间跑Area 0就够不需要把骨干区域切成碎块。拓扑里核心A、核心B之间通过VLANIF 200互联二者的互联地址分别是10.0.200.1和10.0.200.2它们和汇聚之间各起Area 0。我在核心A上的OSPF配置ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 10.0.10.0 0.0.0.255 network 10.0.30.0 0.0.0.255 network 10.0.100.0 0.0.0.255 network 10.0.200.0 0.0.0.3核心B类似宣告VLAN 20、40、管理网段以及互联网段。汇聚交换机只需要把上联接口所在网段和业务网段宣告进去保持OSPF区域一致即可。注意一点核心A和核心B之间的互联链路是必须进入OSPF的否则两台核心之间学习不到对端直连路由VRRP发生切换时下方汇聚设备无法通过核心互连路径找到新网关所在的位置。出口方向更讲究。核心A和核心B各自通过一根物理链路连到出口路由器R1R1跑OSPF宣告骨干网段同时在R1上配置一条指向运营商网关的默认路由再通过OSPF的default-route-advertise下发到整网。核心A和核心B上也各配置一条静态默认路由指向R1作为OSPF里明细路由之外的兜底。这样内部设备访问外网时路由表里会同时存在两条默认路由访问走向取决于OSPF的选路和等价负载策略。如果想省事也可以只让核心A发布默认路由另一个保持静默但那样出口单点风险就很高了。OSPF规划上讲一下精确宣告的原则——很多人喜欢直接把整个网段通过一条network 10.0.0.0 0.0.0.255.255粗暴宣告这在实验室里没问题到了生产环境会造成路由信息不精确也不便于故障定位。我一般按VLAN一个网段一条宣告哪怕多写两行命令至少在display ip routing-table里能一眼看出每个业务网段是否被正确学习到。5. 全链路配置清单从核心到接入的完整落地方案说了这么多规划逻辑把完整配置整理出来。先用文字描述一下拓扑方便对号入座核心A和核心B上面各连着汇聚交换机SW3和SW4汇聚下面挂接入交换机SW5、SW6接入交换机面向终端。核心A的GigabitEthernet0/0/1连R1GigabitEthernet0/0/2连核心BGigabitEthernet0/0/3连SW3核心B的GigabitEthernet0/0/1连R1GigabitEthernet0/0/2连核心AGigabitEthernet0/0/3连SW4。出口路由器R1的GigabitEthernet0/0/0连运营商模拟网段GigabitEthernet0/0/1、0/0/2分别连核心A和核心B。核心A的全量参考配置如下核心B把VRRP优先级、MSTP根桥角色、OSPF router-id对应着反着来即可sysname SW1 vlan batch 10 20 30 40 100 200 interface GigabitEthernet0/0/3 port link-type trunk port trunk allow-pass vlan 10 20 30 40 100 # 上联R1端口 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 300 interface Vlanif10 ip address 10.0.10.253 255.255.255.0 vrrp vrid 10 virtual-ip 10.0.10.254 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 10 vrrp vrid 10 track interface GigabitEthernet0/0/1 reduced 30 interface Vlanif30 ip address 10.0.30.253 255.255.255.0 vrrp vrid 30 virtual-ip 10.0.30.254 vrrp vrid 30 priority 120 vrrp vrid 30 track interface GigabitEthernet0/0/1 reduced 30 interface Vlanif20 ip address 10.0.20.252 255.255.255.0 vrrp vrid 20 virtual-ip 10.0.20.254 vrrp vrid 20 priority 100 interface Vlanif40 ip address 10.0.40.252 255.255.255.0 vrrp vrid 40 virtual-ip 10.0.40.254 vrrp vrid 40 priority 100 interface Vlanif100 ip address 10.0.100.253 255.255.255.0 vrrp vrid 100 virtual-ip 10.0.100.254 vrrp vrid 100 priority 120 vrrp vrid 100 track interface GigabitEthernet0/0/1 reduced 30 interface Vlanif200 ip address 10.0.200.1 255.255.255.252 stp mode mstp stp region-configuration region-name HUAWEI-MSTP revision-level 1 instance 1 vlan 10 30 instance 2 vlan 20 40 active region-configuration stp instance 1 root primary stp instance 2 root secondary ospf 1 router-id 1.1.1.1 default-route-advertise always area 0.0.0.0 network 10.0.10.0 0.0.0.255 network 10.0.20.0 0.0.0.255 network 10.0.30.0 0.0.0.255 network 10.0.40.0 0.0.0.255 network 10.0.100.0 0.0.0.255 network 10.0.200.0 0.0.0.3 ip route-static 0.0.0.0 0.0.0.0 10.0.300.2核心B上最核心的差异是instance 2 root primaryinstance 1 root secondaryVLAN 20和40的VRRP priority提高VLAN 10和30的VRRP保持默认优先级OSPF router-id改用2.2.2.2互联地址为10.0.200.2。两台核心的VRRP和MSTP方向完全匹配才能让整个二层三层的转发路径保持一致。汇聚交换机SW3的主要配置sysname SW3 vlan batch 10 20 30 40 100 interface GigabitEthernet0/0/1 port link-type trunk port trunk allow-pass vlan 10 20 30 40 100 interface GigabitEthernet0/0/2 port link-type trunk port trunk allow-pass vlan 10 20 30 40 100 stp mode mstp stp region-configuration region-name HUAWEI-MSTP revision-level 1 instance 1 vlan 10 30 instance 2 vlan 20 40 active region-configurationSW4的MST域配置和SW3必须完全一致否则两台核心各自选举出来的根桥在汇聚层没法协同工作二层树就会分成一个个孤立的片段跨交换机通信直接断掉。接入交换机其实更简单划VLAN、配置trunk、开启MSTP域即可。但接入层有一个细节值得强调连接终端的端口一定要配stp edged-port enable。我见过一个网管平台一上线就导致全网MAC表疯狂刷新的案例原因就是接入交换机连服务器网卡的口没有配边缘端口网卡状态每次微变都会触发一次TC置位生成树重新收敛核心交换机CPU飙到90%。配了边缘端口以后终端设备上下电完全不会影响生成树拓扑。6. 验证命令与四个实战踩坑完整的排查链路复盘配置全部下发后验证顺序比配置顺序更重要。我习惯按先看网关再看二层最后看路由的次序排查这个次序和很多人的习惯相反但实践证明它能最快暴露问题。第一步看VRRP状态[S1]display vrrp确认所有VLANIF接口上的VRRP Master都在预期的设备上。如果发现VLAN 10的Master跑到了核心B先别急着debug去检查MSTP实例的根桥和端口阻塞状态。第二步看MSTP实例[S1]display stp instance 1 brief [S1]display stp instance 2 brief重点确认汇聚交换机SW3的上联端口在instance 1里是转发状态在instance 2里如果阻塞也不必慌张这正好验证了多实例分流的设计。如果两个实例里同一组端口的角色完全一致说明MST域配置或实例映射有机器没生效逐个检查active region-configuration是否都执行过。第三步看OSPF邻居和路由[S1]display ospf peer brief [S1]display ip routing-table核心A和核心B之间、它们与R1之间应该都建立Full邻居关系。路由表里应该能看到对端核心宣告的业务网段以及R1下发的默认路由。如果业务网段路由缺失优先检查反掩码和宣告网段有没有写错而不是马上怀疑OSPF进程故障。下面聊四个我在实际操作中反复踩过的坑每一个都对应一次真实的网络故障。坑一vrid 1不可用。eNSP和部分真机版本上VRRP的vrid 1被保留配置了vrid 1以后始终不出现Master状态。正确做法是直接从vrid 10或者其他数字开始。这个细节官方文档里不会写只有实操多了才会发现。坑二VRRP主备和MSTP主根方向不一致。症状是VLAN 10的PC访问外网偶尔通、偶尔不通。用tracert一看数据先到核心A下一个跳点却变成核心B再跳回核心A来回绕。根本原因是VRRP把网关落在核心A但VLAN 10的生成树主根在核心B导致二层流量全部涌向核心B核心B再通过互联链路转给核心A。解决方向只有一条让VRRP的Master设备与对应MSTP实例的主根桥严格绑定在同一台设备上。坑三上行track的reduced值不合理。设置太小会导致上行断开但优先级压不下去备份切不过来设置太大则会造成频繁误切换。把reduced配成30、并把Backup设备的优先级设为默认100整体比较均衡。还有一点preempt-mode的抢占延时建议配10秒左右否则接口闪断恢复后立刻抢占VRRP会在几秒内来回倒换两次造成ARP表反复刷新。坑四接入层缺少边缘端口和BPDU保护。前面提到了边缘端口的问题再补充一个BPDU保护在接入层面向终端的端口上同时配上stp edged-port enable和stp bpdu-protection。如果终端侧意外接入了另一台交换机BPDU保护会让该端口直接进入error-down状态而不是参与生成树选举、改变整网拓扑这对减小故障半径非常关键。这四个坑总结下来其实指向同一个核心教训企业和园区网络里二层无环、网关冗余、三层路由这三层设计不是孤立的。MSTP的实例规划决定了VRRP的主备方向VRRP的优先级设计又决定了OSPF路由的流量走向。任何一环单独优化都可能把问题转嫁给另外一环。我在实际项目中习惯先把VRRP和MSTP的映射关系做成一张表就像上面那张业务VLAN与主备方向对照表配置之前先对表配置之后再逐行核对这样能省掉后面大量的排错时间。最后分享一个个人习惯在eNSP里做完整个实验我会把核心设备的关键配置导出存成文本然后重新加载设备验证一次确保配置不是碰巧跑通而是真正落盘。真机上操作时我还会先抓一段时间的display cpu-usage和display logbuffer观察VRRP切换和OSPF收敛过程中有没有异常日志。网络设备的故障往往不是配置当场报错的而是跑了一周之后才慢慢暴露所以验证环节多花十分钟比上线后加班排查一晚上划算得多。