交换机网络环路导致MAC漂移及业务中断故障处理

问题描述

组网概述：核心交换机S12700E通过Eth-Trunk下联多台接入交换机S5735-L24T4S-A，接入交换机所有用户端口划入同一VLAN 10，全网启用STP。

故障现象：VLAN 10内大量终端上网慢、Ping网关丢包严重；S5735的CPU利用率从10%左右升至80%以上；日志反复打印MAC漂移（MAC move flapping）及接口流量超门限告警；多台终端MAC地址在多个端口间来回漂移。

影响范围：同VLAN下约200个终端业务受影响，其他VLAN正常。

告警信息

%MACMOVE/4/MAC_MOVE_FLAPPING: MAC address 5489-98xx-xxxx moves between port GE0/0/5 and GE0/0/12. %SECE/4/PORT_ATTACK_OCCUR: The port GE0/0/12 is attacked. CPU利用率： display cpu-usage 显示 cpu usage: 82%

处理过程

1. 执行display mac-address flapping，确认MAC在GE0/0/5与GE0/0/12之间漂移，初步判断该两个端口之间存在二层环路；

2. 执行display loopback-detection并在两个端口抓包分析，确认GE0/0/12下用户私接小交换机，且一根网线两头插入同一台小交换机形成自环；

3. 临时shutdown GE0/0/12端口，CPU利用率随即降至12%，业务恢复，进一步印证环路根因；

4. 永久处理：通知用户拆除私接设备及自环网线；全局及端口启用loopback-detection enable，配置检测到环路后block端口并告警；边缘端口启用stp edged-port+bpdu-protection；

5. 观察48小时，无MAC漂移告警，CPU稳定在10%左右，业务正常。

根因

用户私接小交换机且网线两端误插形成自环，广播报文在VLAN内成环引发广播风暴，导致MAC表项反复漂移、CPU利用率飙升、业务大面积中断。

解决方案

1. 拆除私接的小交换机及自环网线，恢复规范布线；

2. 接入端口启用loopback-detection（检测到环路block端口并上报告警）；

3. 用户端口配置stp edged-port + bpdu-protection，防止环路向全网扩散；

4. 处理后验证CPU利用率与业务均恢复正常。

建议与总结

• 接入交换机默认启用环路检测和STP边缘端口防护，作为开局标配；
• 加强办公区网线布线管理，禁止用户私自串接Hub/小交换机；
• 将MAC漂移告警、CPU利用率纳入网管监控，提前发现环路隐患；
• 经验总结：MAC在多个端口间漂移+CPU升高，是二层环路的典型特征，先查漂移端口对，再顺线排查即可快速闭环。