HCIE-DATACOM · 第 1 章

网络基础与
以太网交换技术

TCP/IP 模型回顾 · 以太网帧 · VLAN · 链路聚合 · STP/RSTP/MSTP · 堆叠与 CSS · 环路防护 —— 园区网的地基，HCIE 实验环境中最先配置、排错中最常背锅的部分。

授课 6 学时 实验 4 学时 笔试高频 · LAB 必用
HCIE-DataCom 全套课件第 1 章 / 共 13 章

本章学习目标

原理层：能讲清楚

  • 以太网帧结构与 VLAN 802.1Q 的字节级细节
  • STP → RSTP → MSTP 的演进逻辑与收敛机制差异
  • 链路聚合 LACP 的协商与负载分担原理
  • 堆叠 / CSS 的建立、分裂与 MAD 检测

实战层：能动手做

  • 规划 VLAN / IP 编址并完成三层互通
  • 配置 Eth-Trunk、MSTP 多实例并与 VRRP 联动
  • 配置堆叠 + 双归，处理堆叠分裂
  • 用 display 命令完成二层故障定位
考点提示HCIE 笔试爱考"端口角色 / 状态机 / 计时器 / 字段含义"这类细节；LAB 中本章内容是开局配置，速度和准确率直接影响全局时间。
1.1

TCP/IP 模型与数据封装

先统一"语言"，后面 12 章都建立在这套分层之上

分层职责封装与解封装以太网帧

分层模型：各层的职责边界

层次核心职责典型协议 / 单元HCIE 考点对应
应用层业务表达HTTP、DHCP、BGP、NETCONFSDN 北向、自动化
传输层端到端、可靠性TCP / UDP · 段 SegmentBGP(179)、LDP、NETCONF(830)
网络层逻辑寻址、路由IP、ICMP · 包 PacketIGP/BGP、QoS DSCP、ACL
数据链路层帧转发、介质访问Ethernet、802.1Q · 帧 FrameVLAN、STP、LACP、EVPN VXLAN 外层
物理层比特传输电 / 光 / 无线 · 比特 Bit端口协商、光模块排错
讲师强调排错时"自底向上"逐层验证：先看端口 up/up，再看 VLAN/STP，再看路由 —— 这就是第 13 章方法论的第零步。

以太网帧格式（Ethernet II）

前导码7B SFD1B 目的 MAC6B 源 MAC6B Type/LEN2B Data（46 ~ 1500B）载荷 FCS4B Type ≥ 0x0600 → Ethernet II Type 常见值：IPv4=0x0800 · ARP=0x0806 · VLAN=0x8100 · IPv6=0x86DD · MPLS=0x8847
Ethernet II 帧结构（IEEE 802.3 若 Type < 0x0600 则该字段为长度，后接 LLC/SNAP）
必背MTU 默认 1500B 指的就是 Data 字段；VLAN Tag(4B) 加在源 MAC 之后、Type 之前。
考题VXLAN 报文 UDP 端口 4789、外层封装会带来约 50B 开销 → 需调大 MTU 或开启 jumbo。
1.2

VLAN 虚拟局域网

隔离广播域的基本手段 · 端口类型是 LAB 开局必配项

802.1Q 帧Access / Trunk / HybridVLAN 间路由

802.1Q 帧结构：Tag 插在哪

目的 MAC 源 MAC 802.1Q Tag · 4 字节 TPID 0x8100 TCI Type Data TCI 16bit 拆解： Priority(3b) CFI/DEI(1b) VLAN ID(12b) → VID 范围 0~4095，可用 1~4094 Priority = 802.1p，共 0~7 三个比特 → QoS 章节的伏笔；0 和 4095 为保留值
Tag 位于源 MAC 与 Type 之间：TPID(2B) + TCI(2B)
实验习惯VLAN 1 是默认 VLAN，生产环境建议规划独立管理 VLAN；命名统一（如 vlan batch 10 20 30 + description）便于 LAB 阅卷与排错。

端口类型：收发规则对比

类型接收不带 Tag接收带 Tag发送规则典型场景
Access打上 PVIDVLAN = PVID 才收，否则丢弃剥离 Tag 发送连 PC / AP / 服务器
Trunk打上 PVIDVLAN 在允许列表则收默认 VLAN 剥 Tag，其余保留 Tag交换机互联 / 上联
Hybrid打上 PVIDVLAN 在允许列表则收untagged 列表剥 / tagged 列表保留（逐 VLAN 配）同一 VLAN 二层隔离、语音数据混合口
# Trunk 典型配置
interface GigabitEthernet0/0/24
 port link-type trunk
 port trunk allow-pass vlan 10 20 30 100
 port trunk pvid vlan 999
易错点PVID 对 Trunk 的意义：对端发来的无 Tag 报文归入 PVID；本端默认 VLAN 出方向剥 Tag。两端 Trunk 的 PVID 不一致 → 部分 VLAN 不通但 others 正常，经典"半通"故障。

本征 VLAN（Native VLAN）安全

PVID 建议 idle 处理，不与业务 VLAN 复用，避免 VLAN hopping 攻击。

VLAN 间路由：两条路

单臂路由（Router-on-a-Stick）

  • 路由器子接口 .10、.20 终结 VLAN
  • Trunk 承载多 VLAN，所有流量挤一根线
  • 子接口需 dot1q termination vid + arp broadcast enable
  • 现网多用于小网点 / 出口设备能力受限场景

三层交换机 SVI（主流）

  • interface Vlanif10 作为网关
  • 硬件转发，性能高、时延低
  • 配合 VRRP 做网关冗余（第 9 章）
  • 数据中心 / 大园区：网关上移到 VXLAN VTEP（第 7/12 章）
# SVI + DHCP，园区开局模板
vlan batch 10 20
interface Vlanif10
 ip address 10.1.10.254 255.255.255.0
 dhcp select interface        # 或指向 DHCP 服务器 relay
interface GigabitEthernet0/0/1
 port link-type access
 port default vlan 10
1.3

链路聚合 Eth-Trunk

2

带宽叠加 + 链路冗余，且与 STP 无环天然兼容（聚合口被视为一个口）

Eth-Trunk 两种模式

维度手工负载分担LACP 模式
协商无协议，直接生效两端交换 LACPDU（每 1s，可 30s）
成员选择全部为 Active区分 Active（M）与 Standby（S）端口
故障感知仅物理 down 才切换链路故障 / 对端异常均能感知并切换
误配置保护无（两端配置不一致照样可能半通）有系统 ID / LACP 系统优先级校验
典型用途对端不支持 LACP（如部分服务器/堆叠直连）生产主流：交换机互联、堆叠双归上行
条件成员口要求：速率一致、双工一致、同为二层/三层口；两端成员数量与编号可不同，但活动链路上限（默认 8）需匹配。
考点LACP 抢占（lacp preempt enable）默认关闭；系统 LACP 优先级小者优（默认 32768），先比较优先级再比较 MAC 确定主动端。

负载分担：哈希选链路

报文字段输入 src-mac / dst-mac / src-ip / dst-ip / port… 哈希算法 （逐流 Flow-based） 成员链路 1 成员链路 2 成员链路 3 同一条流永远走同一条链路 → 避免乱序，但可能负载不均
Eth-Trunk 逐流负载分担（默认 src-mac 与 dst-mac）
  • 命令：eth-trunk load-balance 可选 src-ip / dst-ip / src-dst-ip / src-mac / dst-mac / enhanced 模式等
  • 排错思路：某条链路流量打满而其余空闲 → 大概率是哈希字段选择与流量模型不匹配（如大量同源不同目的，配了 src-mac）
1.4

STP → RSTP → MSTP

二层防环三兄弟：从 30~50 秒收敛进化到秒级 / 亚秒级

根桥选举端口角色与状态三个计时器MSTP 多实例

为什么需要 STP：环路三宗罪

① 广播风暴

广播帧在环中无限复制，链路带宽瞬间耗尽，MAC 地址表震荡。

② MAC 表漂移

同一源 MAC 从多个端口学到，表项来回翻动。

③ 重复帧

接收方收到同一帧的多个副本，上层协议紊乱。

版本标准收敛 VLAN 支持
STP（802.1D）整网一棵树30~50s（ Listening→Learning→Forwarding 各 15s Forward Delay）不感知 VLAN（公共树 CST）
RSTP（802.1w）边缘端口 / 根端口 / 指定端口 + proposal-agreement 机制通常 < 1s~几秒仍一棵树
MSTP（802.1s）多实例（MSTI）共享一棵 CSTRSTP 级 + 按实例阻断多实例独立拓扑，实现链路负载分担
生产共识全交换三层化 + Eth-Trunk/堆叠的今天，STP 只作为兜底防环；但 LAB 与笔试仍是高频考点——尤其计时器与端口角色。

根桥选举与端口角色（STP）

BPDU 四要素比较

  1. 最小 Root ID（优先级 + MAC，优先级步长 4096，默认 32768）
  2. 到根最小 Root Path Cost（RPC，出端口 cost 累加）
  3. 最小 Sender BID
  4. 最小 Port ID（优先级 + 端口号）
链路速率Cost（802.1t，华为新）
10M2,000,000
100M200,000
1G20,000
10G2,000

端口角色

  • RP 根端口：非根桥上，去根最优路径（每台交换机唯一）
  • DP 指定端口：每条链路上，负责转发该段流量
  • AP 备份端口（RSTP）：替代根端口，主 RP 失效秒级切换
  • BP 备份指定端口：替代 DP
  • Disabled / ALTB 阻塞：不转发用户流量
RSTP 快在哪① 边缘端口（连接终端）立即转发不参与计算；② proposal/agreement 握手让新链路快速协商指定端口；③ 根/指定端口故障由 AP/BP 直接顶上，不再依赖计时器。

STP 三个计时器与状态迁移

Blocking只收 BPDU ListeningForward Delay 15s Learning学 MAC · 15s Forwarding正常转发 Hello Time 2s（BPDU 周期） Max Age 20s（BPDU 老化） Forward Delay 15s ×2
STP 状态机：Blocking → Listening → Learning → Forwarding
必背三计时器关系：Max Age = 2×(Hello) 的整数倍，Forward Delay 由网络直径推导。改计时器只在根桥上改，全网同步。

RSTP 状态精简为 3 个

Discarding（≈Blocking/Listening 合并）/ Learning / Forwarding。角色与状态解耦，是理解 RSTP 快速收敛的钥匙。

MSTP：多实例 + 与 VRRP 联动

# MSTP 与 VRRP 联动模板（经典双活网关）
stp region-configuration
 region-name RG1
 revision-level 1
 instance 1 vlan 10 30
 instance 2 vlan 20 40
 active region-configuration
# S1：stp instance 0 priority 4096
stp instance 1 priority 4096   # S1 做实例1根
# S2：stp instance 2 priority 4096
# Vlanif10 网关在 S1（VRRP Master）
interface Vlanif10
 vrrp vrid 10 virtual-ip 10.1.10.254
 vrrp vrid 10 priority 120

设计原则

  • VLAN 10 走 S1：S1 是 MSTI1 根桥 且 是 VRRP Master
  • VLAN 20 走 S2：对称地成为 MSTI2 根桥 + Master
  • 上行 Eth-Trunk + 下行堆叠 → 无环且双活
一致性要求MSTP 域三要素（域名 / 修订级别 / VLAN-实例映射）必须全网一致，否则退化为 CST；改完必须 active 才生效。
保护机制BPDU 保护（边缘口收 BPDU 即 shutdown）、根保护（指定口上防新根）、环路保护、TC 保护——笔试常考触发条件与作用端口。
1.5

堆叠 iStack 与集群 CSS

把 N 台当 1 台管：单点管理 IP、跨设备 Eth-Trunk、免 STP

堆叠 / CSS 核心机制

堆叠系统（逻辑单机） 一套配置 · 一个管理 IP · 一张表 Member 1（Master） Member 2（Standby） 堆叠线（业务口/堆叠卡互联） 上行核心设备 跨设备 Eth-Trunk（双归） Port1 → M1 Port2 → M2
堆叠 + 双归：任意一台成员故障 / 单链路故障，转发与网关都不切换（无感）

角色竞选

优先级高 → MAC 小 → 上电早。主备倒换后配置仍保留（配置同步到所有成员）。

分裂检测 MAD堆叠线缆全断 → 两台都认为自己是 Master，IP/MAC 冲突。MAD 检测方式：直连检测（中间无设备）/ 代理检测（经过 Eth-Trunk 上联设备）。检测到多主后，非 Master 成员自动进入 Recovery 状态关闭业务口。

SVF 纵向虚拟化与二层防环补充

SVF（Parent + Leaf，纵向堆叠）

  • 核心/汇聚作 Parent（AS），接入交换机作 Leaf（桥接 CS）
  • 接入设备即插即用，由 Parent 统一管理
  • 替代传统"一控多"网管，园区网简化利器

其他防环 / 隔离手段

  • 端口隔离（port-isolate）：同 VLAN 二层隔离，三层仍可互通（isolate all 则三层也隔离）
  • 环路检测（loopback-detection）：检测端口自环 / 设备误接
  • DHCP Snooping / BPDU 保护（见第 8 章）
方案关联第 12 章园区方案：堆叠+Eth-Trunk+双归 是当前可靠性设计"铁三角"；在堆叠环境可关 STP（环路概率极低）但 LAB 中保留并调优是稳妥做法。

本章排错命令包

display vlan                          # VLAN 与端口归属
display port vlan                     # 端口 × VLAN 矩阵（排错第一刀）
display stp brief                     # 各实例端口角色与状态（最常用）
display stp region-configuration      # 域配置是否一致
display eth-trunk                     # 成员口状态 / LACP Actor 信息
display lacp statistics eth-trunk 1   # LACPDU 收发统计
display stack                         # 堆叠成员与角色（CSS: display css status）
display mac-address                   # MAC 学习情况，判断"学到没有/从哪学的"
display interface GigabitEthernet0/0/1 # 端口协商速率双工/错包统计
排错顺序VLAN 不通四步：① 端口 up？② 端口 VLAN 归属（access/trunk + allow-pass）？③ MAC 是否学到 / MAC 漂移告警？④ STP 是否把口置 Discarding（display stp brief 一眼定案）。

核心知识要点速记 考前 10 分钟过一遍

考点必背细节频度
802.1Q Tag4 字节 = TPID(0x8100) + TCI（3b 优先级 + 1b CFI + 12b VID）；MTU 1500 指 Data 字段★★
端口三类型Access 收无 Tag 打 PVID、发剥 Tag；Trunk 默认仅放行 VLAN 1；Hybrid 逐 VLAN 决定 tag/untagged；PVID 不一致 = 半通故障★★★
STP 选举根桥：优先级（默认 32768，步长 4096）→ MAC 小者胜；RP：根开销 → 对端桥 ID → 对端 PID → 本端 PID；Blocking→Forwarding 至少 30s（15+15）★★★
RSTP 提速 4 机制Proposal/Agreement（依赖全双工点对点链路）、边缘端口、替代/备份端口、根端口与指定端口快速切换★★★
MSTP 域三要素域名 + 修订级别 + VLAN 与实例映射表，三者一致才同域；实例必须与 VRRP 组对齐才能真双活★★★★
LACP主动端：系统优先级（默认 32768，小者优）→ 系统 MAC；负载分担逐流哈希；max active-linknumber 控活动口上限★★★
堆叠 / CSS竞选：优先级 → MAC；MAD 分裂检测（直连 / 代理）；冲突后低优先级方业务口 error-down★★★
三层保护BPDU 保护（边缘口收 BPDU → error-down）、根保护（指定口收更优 BPDU → Discarding）、环路保护（根/替代口超时转 Discarding）★★
易错陷阱① Trunk 未放行新 VLAN ≠ 端口故障（display port vlan 一眼定位）；② 边缘端口收到 BPDU 会丧失边缘属性参与计算；③ 根保护触发后端口进 Discarding 而非 error-down，与 BPDU 保护动作区分。

练习重点 笔试 × LAB 双线

笔试刷题方向

  1. MSTP + VRRP 双活设计（多选常客）：实例 1 根桥与 VRRP Master 同侧，错位即次优路径
  2. RSTP vs STP：端口角色/状态对照判断题，替代口 ≠ 备份口（防环对象不同）
  3. LACP 主动端判定：优先级小者决定端口的 Active/Standby 分配
  4. Hybrid 收发规则：给定配置推演帧是否带 Tag（手推三遍）
达标线本章题库 ≤5 分钟完成；STP 四要素选举口算零失误。

实验强化清单

  1. 故意制造 3 类故障并修复：Trunk 漏放 VLAN、两端 PVID 不一致、MSTP 域名不一致
  2. 复刻双活组网：堆叠核心 + 跨设备 Eth-Trunk + MSTP/VRRP 实例对齐
  3. 边缘口下挂一台交换机，观察 BPDU 保护触发后的状态与日志
验证命令自查display stp brief / region-configuration、display eth-trunk 1、display port vlan —— 每条输出的每一列都能讲清含义才算过关。

本章小结

以太网帧Ethernet II：DMAC+SMAC+Type(≥0x0600)+Data+FCS；MTU 1500 指 Data；802.1Q Tag 4B = TPID+TCI（3b 优先级+1b CFI+12b VID）。
VLANAccess 收无 Tag 打 PVID、发剥 Tag；Trunk allow-pass 控制放行；Hybrid 逐 VLAN 决定 tag/untagged；PVID 不一致 → 半通故障。
链路聚合LACP 模式区分 Active/Standby，支持故障快速切换；负载分担逐流哈希，字段选错 → 单链路打满。
STP 家族根桥选举四要素；RP/DP/AP/BP 角色；STP 30~50s → RSTP 秒级（proposal-agreement + 边缘口）→ MSTP 多实例，与 VRRP 实例对齐实现双活。
堆叠 / CSSN 台逻辑合一，跨设备 Eth-Trunk 双归；角色竞选 优先级→MAC→上电时间；分裂靠 MAD（直连/代理）检测。
排错主线物理 up → VLAN 归属 → MAC 学习 → STP 状态 → （三层）网关，逐层收敛。

课后思考 先想后翻实验

同一 Trunk 链路上，VLAN 10 通、VLAN 20 不通，端口均 up。给出至少 3 种可能原因与对应验证命令。
RSTP 中 proposal/agreement 机制为什么能在秒级完成收敛？边缘端口如果不慎接到交换机会发生什么、靠什么机制保护？
两台堆叠成员之间所有堆叠线断开（MAD 检测线也断）会发生什么？业务侧有什么表现？如何恢复？
一台交换机 10GE 口下联 1GE 口（自协商关闭，强制 10G/1G 各自配置），流量通吗？说明 STP Cost 与聚合负载在这类不对称链路上的坑。

实验 1：园区二层开局 LAB · 2 学时

eNSPS5700×4 + PC×4目标：30 分钟完成

任务书

  1. 规划 VLAN 10/20，四台交换机互联全部 Trunk
  2. S1/S2 组 MSTP：实例 1（VLAN10）根 S1、实例 2（VLAN20）根 S2
  3. S1-S4、S2-S4 各建一条 LACP Eth-Trunk（观察 Active/Standby）
  4. PC1-PC4 按下表验证互通与路径
验证点预期
display stp brief（S3/S4）实例1/2 阻塞口分别在不同链路
拔掉 S1-S4 链路VLAN20 流量无感知，VLAN10 秒级切换
tracert PC1→PC4路径与实例设计一致
shutdown 一个成员口LACP 备份口转 Active，丢包 ≤ 数个
评分点角色命名规范 / VLAN 描述 / 验证截图齐全 —— 从第一次实验就按 LAB 考试习惯要求自己。