为什么叫二层网络？#

• 二层网络指的是工作在同一个广播域内的网络
• 对应OSI模型里的第2层（数据链路层）

早期并没有二层这个说法，在OSI模型标准化之后才有；

关于MAC地址#

最早的MAC（Media Access Control Address）地址（由Xerox定义）设计初衷只是作为网卡在生产时的唯一“序列号”，用于工厂质检和库存管理，后来才被IEEE接手并标准化为网络第二层的寻址工具。在此之前是令牌环网、X.25等。

• X.25: 虚电路（Virtual Circuit）和存储转发 + 差错校验机制，专门用于广域网，速度太慢且开销大。
• 令牌环网: 令牌传递（Token Passing）机制，逻辑上数据是在一个环形里单向传输，有确定性，但成本高且会有单点故障。

关于二层技术#

二层技术本质就是局域网内部如何让数据从一台设备送到另一台设备的技术。

以太网 802.3标准#

以太网（Ethernet）是二层（数据链路层）的一种具体实现，但二层不等于以太网，以太网是二层协议族中最成功、最主流的一个具体实现。

IEEE 802.3（以太网）：定义了 MAC 层 + 物理层 PHY，负责帧封装、线缆传输

以太网定义了什么？

• 用MAC地址（48位）
• 用以太网帧格式（带源MAC、目标MAC、类型字段等）
• 早期用CSMA/CD，现在用全双工交换,不再需要抢空闲资源

802.3以太网标准报文如下：

• 7+1字节用于时钟同步，不算入帧长；
• 数据+填充 46-1500字节，不够需填充到46字节；
• 校验位4字节，CRC循环冗余校验32位；
• MAC地址：6字节，2字节已淘汰
• 最小帧长64字节：6+6+2+46+4=64字节
• 最大帧长1518字节：6+6+2+1500+4=1518字节

两个概念：

1. 冲突域： 物理层概念，取决于物理介质（网线、集线器）和是否共享传输通道，如集线器和中继器所有端口都在一个冲突域
2. 广播域： 数据链路层概念，取决于广播帧（目标MAC地址为 FF:FF:FF:FF:FF）能到达的范围，交换机的所有接口连接的节点属于一个广播域

LLC子层 802.2标准#

LLC（逻辑链路控制子层）：紧跟在以太网帧头后面，用一个3字节的标签（DSAP/SSAP）标明数据类型，由802.2标准定义。

其本质设计是为了充当翻译层，识别协议类型（IP/STP/IPX等），提供流量控制和错误通知。

TIP

运行在IEEE 802.3标准原始格式下的非IP协议，才会使用LLC头，如：STP（生成树协议）BPDU（DSAP/SSAP = 0x42）

STP基本概念#

ID

• BID（Bridge ID）：IEEE 802.1D 标准中规定 BID 是由 16 位的桥优先级（Bridge Priority）与桥 MAC 地址构成。BID 桥优先级占据高 16 位，其余的低 48 位是 MAC 地址。
• PID（Port ID）：PID 由两部分构成的，高 4 位是端口优先级，低 12 位是端口号。

路径开销

• 路径开销（Path Cost）是一个端口变量，是 STP 协议用于选择链路的参考值。
• 某端口到根桥累计的路径开销就是所经过的各个桥上的各端口的路径开销累加而成，这个值叫做根路径开销（Root Path Cost）

1. 根桥 RB

   • 树根
   • 是网桥 ID 最小的桥，通过交互配置 BPDU 协议报文选出最小的 BID。
   • 根桥（Root Bridge）对于一个 STP 网络，根桥在全网中只有一个，它是整个网络的逻辑中心，但不一定是物理中心。
   • 根桥会根据网络拓扑的变化而动态变化。网络收敛后，根桥会按照一定的时间间隔产生并向外发送配置BPDU，其他设备仅对该报文进行处理，传达拓扑变化记录，从而保证拓扑的稳定。

2. 根端口 RP

   • 往根桥的端口，向上
   • 去往根桥路径开销最小的端口，根端口负责向根桥方向转发数据，这个端口的选择标准是依据根路径开销判定。
   • 一台STP设备根端口有且只有一个，根桥上没有根端口。

3. 指定端口 DP

   • 向下的口
   • 指定桥转发配置消息的端口，负责转发数据给下游交换机或终端。
   • 每台非根交换机上只有一个，拥有指定端口的交换机也称为指定桥（Design Bridge）（在这个网段上的）。
   • 只有指定端口才发BPDU

4. 阻塞端口 BP

   • 逻辑上被阻塞，不转发数据，只监听BPDU报文，不发送BPDU报文。

数据流向根桥的逻辑上的向上向下，这样可能好理解点：

TIP

需要注意的是 STP中 BPDU是单向流动（从根桥往外发，RP只收不发）

网桥协议数据单元BPDU#

在了解比较原则前，先了解BPDU的帧。

BPDU(Bridge Protocol Data Unit)报文被封装在以太网数据帧中，目的 MAC 是组播 MAC：01-80-C2-00-00-00，Length/Type字段为 MAC 数据长度，后面是 LLC 头，LLC 之后是 BPDU 报文头。

BPDU帧一般分为两种：

1. 配置BPDU（Configuration BPDU）：用于生成树计算，选举根桥、根端口、指定端口。

• 在初始化过程中，每个桥都主动发送配置 BPDU。但在网络拓扑稳定以后，只有根桥主动发送配置BPDU，其他桥在收到上游传来的配置 BPDU 后，才触发发送自己的配置 BPDU。

2. TCN BPDU（Topology Change Notification BPDU）：当网络拓扑发生变化（比如端口挂了或恢复了），交换机用它向根桥打报告，根桥收到后会发送标志位通知全网快速刷新MAC地址表，避免数据包被错误转发。

• 置位的 TC 标记的配置 BPDU 报文主要是上游设备用来告知下游设备拓扑发生变化，请下游设备直接删除桥 MAC 地址表项，从而达到快速收敛的目的。
• 置位的 TCA 标记的配置 BPDU 报文主要是上游设备用来告知下游设备已经知道拓扑变化，通知下游设备停止发送 TCN BPDU 报文。

ps: 看华为手册 TCN的类型应该是 0x80，但CE12800实际触发带的是0x01

STP五种端口状态#

1
isabled（初始）
2
    ↓ （端口Up，全局STP开启）
3
Blocking（等待20秒Max Age，监听BPDU）
4
    ↓ （被选举为根端口或指定端口）
5
Listening（等待15秒，选举端口角色）
6
    ↓ （端口角色确认）
7
Learning（等待15秒，学习MAC地址）
8
    ↓ （Forward Delay超时）
9
Forwarding（正常转发数据）

TIP

华为设备默认运行在MSTP，且端口状态仅有 Forwardinging、Learning、Discarding三种

STP选举原则#

所有STP选举都基于BPDU（桥协议数据单元）中的四个关键字段，依次比较，数值越小越优：

整体流程： 选根桥 → 选根端口 → 选指定端口 → 选阻塞端口

1. 选举根桥

• 选举规则：依据桥ID选举，优先级数值最小 → 若优先级相同，则 MAC地址最小 者胜出。

2. 选举根端口

比较内容（依次比较，数值小者优）：

• 根路径开销（到达根桥的路径开销累计值）。
• 发送者桥ID（对端交换机的桥ID，即BPDU中的Sender Bridge ID）。
• 发送者端口ID（对端交换机的端口ID，即BPDU中的Sender Port ID）。 每台非根交换机只有一个根端口（朝向根桥的最优路径）。

3. 选举指定端口

比较内容（本质是比谁发的BPDU更优）：

• 根路径开销（该交换机到达根桥的路径开销）。
• 桥ID（若开销相同，比较该交换机的桥ID）。
• 端口ID（若桥ID也相同，比较该端口的端口ID）。 每个网段（即一条链路的两个端口之间）只有一个指定端口。

4. 选举阻塞端口

既不是根端口，也不是指定端口的端口，被逻辑阻塞。

RSTP的改进点#

1. 端口角色增加：新增Alternate Port 和 Backup Port

阻塞端口有了明确的分工（替根端口还是替指定端口）

2. 端口状态从5种减为3种

RSTP取消了长达15秒的Listening状态，端口一旦确定角色，直接进入Learning或Forwarding。

3. 收敛机制改变

• STP：下游交换机必须被动等待根桥发来的BPDU（每2秒一次），如果等不到，要硬等20秒（Max Age）才敢切换，收敛要50秒。
• RSTP：引入Proposal/Agreement（提议/同意）握手机制。

直连链路故障时，收敛时间从50秒缩短到毫秒级（通常<1秒）；网络边缘（连接终端）零等待。

4. 新增边缘端口

• 作用：连接PC、服务器、打印机的端口，不参与STP计算，一插上立即进入Forwarding状态（跳过Discarding和Learning），加速收敛。
• 安全增强（BPDU保护）：如果边缘端口意外收到了BPDU（说明有人私接交换机），RSTP会立即将其转换为普通STP端口，重新参与计算，防止环路。

5. 其他安全增强

• 根保护：启用 Root 保护功能的指定端口，其端口角色只能保持为指定端口，Root 保护功能只能在指定端口上配置生效。
• 环路保护：根端口或Alternate 端口长时间收不到来自上游的 RST BPDU 时，则向网管发出通知信息（如果是根端口则进入 Discarding 状态）。而阻塞端口则会一直保持在阻塞状态，不转发报文，从而不会在网络中形成环路。
• 防TC-BPDU攻击：启用防 TC-BPDU 报文攻击功能后，在单位时间内，交换设备处理 TC BPDU 报文的次数可配置。

在配置 BPDU 报文的格式上，除了保证和 STP 格式基本一致之外，RSTP 作了一些小变化：

• Type 字段，配置 BPDU 类型不再是 0 而是 2，所以运行 STP 的设备收到 RSTP 的配置BPDU 时会丢弃。
• Flags 字段，使用了原来保留的中间 6 位，这样改变的配置 BPDU 叫做 RST BPDU

PA机制#

P/A握手的核心是 优者发起提议，劣者回应同意。发起方一定是BPDU更优的那一端（指定端口），而不是固定指“下游”。

P/A（Proposal/Agreement）本身就是RSTP BPDU，不是独立的新报文。

• 场景A（下游主动）：如新加入一台交换机，下游交换机主动发出Proposal，加入网络同步
• 场景B（上游主动）：如两台交换机互联，BPDU更优的交换机主动发出Proposal，要求劣方立刻同步，确保新链路秒级开通。

TIP

P/A 机制要求两台交换设备之间链路必须是点对点的全双工模式。一旦 P/A 协商不成功，指定端口的选择就需要等待两个 Forward Delay，协商过程与 STP 一样。

MSTP基本概念#

通过 MSTP 把一个交换网络划分成多个域，每个域内形成多棵生成树，生成树之间彼此独立。每棵生成树叫做一个多生成树实例 MSTI（Multiple Spanning Tree Instance），每个域叫做一个 MST域（MST Region：Multiple Spanning Tree Region）。

一个MSTP域在逻辑上可以划分为多个MSTI，MSTI是所有运行STP/RSTP/MSTP 的交换设备经MSTP协议计算后形成的树状网络。

MST域 是多生成树域（Multiple Spanning Tree Region），由交换网络中的多台交换设备以及它们之间的网段所构成。通一个MST域包含以下特征：

• 都启动了 MSTP
• 具有相同的域名
• 具有相同的 VLAN 到生成树实例映射配置
• 具有相同的 MSTP 修订级别配置

MST域所具有的属性：

1. VLAN 映射表

• 维护VLAN和MSTI的映射关系
• 一个MSTI可包含多个VLAN，但一个VLAN只能属于一个MSTI

2. 总根 总根是 CIST（Common and Internal Spanning Tree）的根桥。 这里就有几个概念：

• CST（Common Spanning Tree）：全局，公共生成树 CST（Common Spanning Tree）是连接交换网络内所有 MST 域的一棵生成树。
• IST（Internal Spanning Tree）：局部，内部生成树 IST（Internal Spanning Tree）是各 MST 域内的一棵生成树。IST 是一个特殊的 MSTI，MSTI 的 ID 为 0，通常称为 MSTI0。
• CIST（Common and Internal Spanning Tree）：公共内部生成树，通过 STP 或 RSTP 协议计算生成的，连接一个交换网络内所有交换设备的单生成树，包含了CST和IST，即 CST + 所有域内 Instance 0 的全集

CST IST CIST如图所示，其中总根是CIST的根桥。

3. 主桥（Master Bridge） 也称为 IST（Internal Spanning Tree）Master，它是域内距离总根最近的交换设备，如果总根在 MST 域中，则总根为该域的主桥，如上图中的黄色设备。

4. 域根 域根（Regional Root）分为 IST 域根和 MSTI 域根。如上图所示，在 B0、C0 和 D0 中，IST 生成树中距离总根（CIST Root）最近的交换设备是 IST 域根。

MSTP报文#

MSTP 使用多生成树桥协议数据单元 MST BPDU（Multiple Spanning Tree Bridge Protocol Data Unit）作为生成树计算的依据。

因为MSTP是在RSTP的基础上扩展的，无论是域内的 MST BPDU 还是域间的，前 36 个字节和 RST BPDU 相同。但MSTP在尾部增加了MSTI专属信息：

MSTP拓展部分： 从第 37 个字节开始是 MSTP 专有字段。最后的 MSTI 配置信息字段由若干 MSTI 配置信息组连缀而成

之前提过MSTP会维护一个VLAN映射表，实际上MSTP不会携带VLAN信息，而是根据MST Configuration Digest字段来判断是否在同一域。

Region Name + Revision Level + Configuration Digest。三者完全一致才在同一域，才会处理MSTI信息。

MSTP状态和角色#

MSTP的端口状态机和RSTP完全相同，均从STP的5状态简化为3状态，即discarding、learning、forwarding。

MSTP 在 RSTP 的基础上新增了 2 种端口，MSTP 的端口角色共有 7 种：根端口、指定端口、Alternate端口、Backup 端口、边缘端口、Master 端口和域边缘端口。根端口、指定端口、Alternate 端口、Backup 端口和边缘端口的作用同 RSTP 协议中定义。

MSTP拓扑计算#

生成树收敛计算的方式都差不多，就是比较。

MSTP和RSTP的计算方式是一样的，都使用配置BPDU来计算。

各个域之间通过计算生成 CST(Common Spanning Tree)， 域内则通过计算生成多棵生成树，每棵生成树都被称为是一个多生成树实例。其中实例 0 被称为 IST（Internal Spanning Tree），其他的多生成树实例为 MSTI。

MSTI 和 CIST 都是根据优先级向量来计算的：

参与 CIST 计算的优先级向量依次为：{ 根交换设备 ID，外部路径开销，域根 ID，内部路径开销，指定交换设备 ID，指定端口 ID，接收端口 ID } CIST计算，简单来说就是多个MST域选出个最优的作为CIST根，然后将多个MST域视作单台交换设备计算，在域间生成CST，再和域内的IST合并就是CIST。

参与 MSTI 计算的优先级向量依次为：{ 域根 ID，内部路径开销，指定交换设备 ID，指定端口 ID，接收端口 ID } 在MST域内，不同实例相互独立，计算方式和普通STP计算过程一致。

这些向量依次比较，如果端口接收到的 BPDU 内包含的配置消息优于端口上保存的配置消息，则端口上原来保存的配置消息被新收到的配置消息替代。端口同时更新交换设备保存的全局配置消息。

MSTP+VRRP#

如图所示，在该组网下，使用MSTP+VRRP在冗余备份链路的同时消除网络中的环路，在一条上行链路断开的时候，流量能切换到另外一条上行链路转发，还能合理利用网络带宽。

• 在二层上使用MSTP来实现破环的同时保证链路得到充分的利用，将VLAN2 和 VLAN3 分别划到两个不同的MSTI中。
• 在三层上使用VRRP实现网关冗余。，HostA 以 SwitchA 为默认网关接入 Internet，SwitchB 作为备份网关；HostB 以 SwitchB 为默认网关接入 Internet，SwitchA 作为备份网关，以实现可靠性及流量的负载分担。

概述#

VLAN（Virtual Local Area Network，虚拟局域网） 是一种在物理局域网（LAN）基础上，通过逻辑划分将网络分割成多个独立广播域的技术。

VLAN使得原本无隔离的二层局域网在逻辑上被分为相互独立的广播域，用逻辑隔离替代物理隔离。

VLAN作用归结于三点就是：

• 分割广播域，主要作用，隔离不同vlan的广播流量
• 逻辑隔离
• 灵活管理

为了提高处理效率，交换机内部的数据帧一律都带有 VLAN Tag，以统一方式处理。当一个数据帧进入交换机接口时，如果没有带 VLAN Tag，且该接口上配置了 PVID（Port Default VLAN ID），那么，该数据帧就会被标记上接口的 PVID。如果数据帧已经带有 VLAN Tag，那么，即使接口已经配置了 PVID，交换机不会再给数据帧标记 VLAN Tag

VLAN报文#

VLAN的定义是802.1Q标准。

正好对802.x体系做个融合：

• IEEE 802.3 定义了以太网的物理层和MAC子层规范，解决单条链路上的介质访问与数据传输问题；
• IEEE 802.2 则定义了 LLC（逻辑链路控制）子层，用于识别上层网络协议（如IP、IPX），并为上层提供统一的接口；
• IEEE 802.1 是一组局域网高层互联与管理标准，专注于解决多个以太网网段之间的桥接、环路消除（STP）、流量优先级（802.1p）以及虚拟局域网划分（802.1Q）等跨设备管控问题；

简言之就是从 3-1 是一个 物理链路 - 逻辑链路 - 链路管控 的逻辑。

802.1Q对 Ethernet 帧格式进行了修改，在源 MAC 地址字段和协议类型字段之间加入 4 字节的 802.1q Tag（交换机或专有硬件实现VLAN标签处理，对用户透明）：

• TPID（标签协议标识符），表帧类型，取值为 0x8100 时表示 802.1q Tag 帧。如果不支持 802.1q 的设备收到这样的帧，会将其丢弃。要看到这个字段得直接抓链路上的包，实测在接口上抓包这个字段还是透明的。
• PRI Priority 3位，8个优先级，越大越优
• CIF Canonical Format Indicator 标准格式指示位，CFI 为 0 说明是经典格式，CFI 为 1 表示为非经典格式。用于兼容以太网和令牌环网。在以太网中，CFI 的值为 0
• VID 12位，vlan标识符
• vlan：0-4095，0和4095不可用，默认管理VLAN为1，可用范围 1-4094

VLAN划分#

• 基于接口：最常用的方式，简单划分接口属于哪个VLAN，数据帧进入时就会被打上接口的PVID PVID（Port Default VLAN ID）
• 基于MAC 地址： 根据计算机网卡的MAC地址来划分VLAN。
• 基于子网：若交换设备收到的是 untagged（不带 VLAN 标签）帧，交换设备根据报文中的 IP 地址信息，确定添加的VLAN ID。
• 基于网络层协议：类似基于子网，只不过映射变为了网络协议
• 基于匹配策略方式来划分 VLAN：在交换机上配置终端的 MAC 地址和 IP地址，并与 VLAN 关联。

VLAN通信原理#

VLAN的四种接口类型（这里将QINQ归为一种）：

| 类型 | 核心特征 | 典型应用场景 | |------|------|----------|-------------| | Access | 仅属于一个VLAN，收发无标签帧，交换机内部自动打/剥标签 | 连接终端设备（PC、打印机、IP电话、服务器网卡） | | Trunk | 允许多个VLAN通过，收发带标签帧，可配置允许通过的VLAN列表 | 交换机之间互联、连接路由器/Firewall/无线AP | | Hybrid | 兼具Access和Trunk特性，可自定义哪些VLAN带标签、哪些不带 | 华为/H3C设备特有，灵活连接终端或上行链路 | | QinQ | 双层VLAN标签，外层为运营商VLAN，内层为用户VLAN | 运营商场景，区分不同客户/业务 |