#  概述

​    NAT网络地址转换能实现在私有网络和公有网络之间相互访问。它通过将私有网络的IP地址转换成公有网络中的IP地址，从而允许私有网络中的设备能够访问外部网络，同时保护私有网络不被外部网络直接访问。



# 工作原理

**内网到外网的转换**

​    数据包从内网发向外网，经过网络边界设备（如路由器、防火墙）时，NAT会将数据包的源IP地址从私有地址转换成公有地址

**外网到内网的转换**

​    响应的数据包从外网发向内网，经过网络边界设备（如路由器、防火墙）时，NAT会将数据包的源IP地址从公有地址转换回私有地址



# NAT类型

​    NAT类型主要分别有：静态NAT、动态NAT、NAPT、Easy-IP、NAT Server等



## 静态NAT

​    静态NAT是一种将内部网络中的私有IP地址**一对一地映射**到外部网络上的公有IP地址的技术

> **适用于**需要对外提供服务的服务器，如Web服务器、邮件服务器等**或**是网络安全控制，通过映射特定内部主机到公有IP地址来控制访问。（几乎不会用！）

### 静态NAT配置

#### **方式一、接口视图下配置静态NAT**

```
[Huawei-GigabitEthernet0/0/0] nat static global { global- address} inside {host address }
```


global参数用于配置外部公有地址，inside参数用于配置内部私有地址



#### **方式二、系统视图下配置静态NAT**

```
[Huawei] nat static global { global-address} inside {host- address }
```

配置命令相同，视图为系统视图，之后在具体接口下开始静态NAT

```
[Huawei-GigabitEthernet0/0/0] nat static enable
```

在接口下使能nat static功能



## 动态NAT

​    动态NAT允许内部网络中的**多个主机动态地共享一组**外部网络上的公有IP地址。***（多对一转换，但不能同时用）***

> **适用于**内部网络中有大量主机需要访问外部网络，但公有IP地址资源有限**或**是需要动态管理IP地址分配的场景。（现在基本也不会用）

### 动态NAT配置

#### 1.创建地址池

```
[Huawei] nat address-group group-index start-address end-address
```

配置公有地址范围,其中group-index为地址池编号, start-address、end- address分别为地址池起始地址、结束地址

#### 2.配置地址转换的ACL规则

```
[Huawei] acl number
[Huawei-acl-basic-number] rule permit source source-address source -wildcard
```

配置基础ACL ,匹配需要进行动态转换的源地址范围

#### 3. 接口视图下配置带地址池的NAT Outbound

```
[Huawei-GigabitEthernet0/0/0] nat outbound acl-number address-group group-index [ no-pat ]
```

接口下关联ACL与地址池进行动态地址转换, no-pat参数指定不进行端口转换。



### 例子

![](/static/img/NAT网络地址转换/ea895b1784f944d788c24970294b35fb.png)


```
[R1]nat address group 1 122.1.2.1 122.1.2.3
[R1]acl 2000
[R1-acl-basic 2000]rule 5 permit source 192.168.1.0 0.0.0.255
[R1-acl-basic 2000]quit
[R1]interface GigabitEthernet0/0/1
[R1-GigabitEthernetO/0/1]nat outbound 2000 address-group 1 no-pat
```


## NAPT

​    NAPT是一种更高级的NAT技术，它通过将内部**私有IP地址和端口号组合**映射到外部公有IP地址和端口号上，实现**多个内部主机共享一个**外部公有IP地址。*（**多对一转换且能同时用）***

> - **端口复用**：不同的内部主机可以通过不同的端口号映射到同一个外部公有IP地址上。
> - **资源高效**：极大地提高了外部公有IP地址的利用率。
> - **转换复杂**：需要同时处理IP地址和端口号的转换。
> - **适用于**家庭网络、小型办公室网络等公有IP地址资源有限的场景**或**需要实现网络负载均衡、透明代理等高级功能的场景。**（主流）**

### 例子

![](/static/img/NAT网络地址转换/5aa3c8b0ae2245ba8f320da750b747d7.png)


```
[R1]nat address-group 1 122.1.2.1 122.1.2.1
[R1]acl 2000
[R1-acl-basic 2000]rule 5 permit source 192.168.1.0 0.0.0.255
[R1-acl-basic 2000]quit
[R1]interface GigabitEthernet0/0/1
[R1-GigabitEthernetO/0/1]nat outbound 2000 address-group 1
```


## Easy-IP

​    Easy-IP是一种**简化**的NAT技术，它**类似于NAPT**，但通常**不需要配置地址池**，直接使用接口地址进行转换。

> - **配置简单**：适用于DHCP或PPPoE等动态获取公网IP地址的场景
> - **直接使用接口地址**：不需要额外的地址池配置
> - **适用于**动态获取公网IP地址的网络环境，如拨号上网、移动宽带等

### 例子

![](/static/img/NAT网络地址转换/ee0e3411f34745d09390c856380bd271.png)


```
[R1]acl 2000
[R1-acl-basic-2000]rule 5 permit source 192.168.1.0 0.0.0.255
[R1-acl-basic-2000]quit
[R1]interface GigabitEthernet0/0/1
[R1-GigabitEthernet0/0/1]nat outbound 2000
```

## NAT Server

​    NAT Server是一种**特殊**的NAT应用，它通常用于将内部网络中的特定服务器映射到外部网络的公有IP地址上，并提供额外的负载均衡、安全控制等功能。

> - **负载均衡**：可以将外部访问请求分散到内部网络中的多台服务器上
> - **安全控制**：可以配置访问控制列表（ACL）来限制对内部服务器的访问
> - **高性能**：通常部署在高性能的网络设备上，以处理大量的访问请求
> - **适用于**需要对外提供高可用性、高性能服务的场景，如大型网站、电子商务平台等

### 例子

![](/static/img/NAT网络地址转换/0df3b324fffd489e802daf020d251d56.png)

```
[R1]interface GigbitEthernet0/0/1
[R1-GigbitEthernet0/0/1] ip address 122.1.2.1 24
[R1-GigbitEthernet0/0/1]nat server protocol tcp global 202.10.20.1 www inside 192.168.1.1 8080
```

NAT网络地址转换

 关于FTP协议的概述详情和报文分析，可以查看这两篇博客

[文件传输协议FTP（File Transfer Protocol）https://blog.csdn.net/ZZZCY2003/article/details/137271806](https://blog.csdn.net/ZZZCY2003/article/details/137271806)

[用wireshark对FTP的抓包分析https://blog.csdn.net/ZZZCY2003/article/details/137270767](https://blog.csdn.net/ZZZCY2003/article/details/137270767)

# 用户通过FTP访问设备（服务端）

### 1.开启FTP服务器端功能

```
[Huawei]ftp [ ipv6 ] server enable  # 启用FTP服务器功能，支持IPv6
```

缺省情况下，设备的FTP服务器端功能是关闭的

### 2.配置FTP本地用户

```
[Huawei]aaa  # 启用AAA服务
[Huawei]local-user user-name password irreversible-cipher password  # 创建本地用户并设置不可逆加密密码
[Huawei]local-user user-name privilege level level  # 为用户设置权限等级
[Huawei]local-user user-name service-type ftp  # 为用户设置服务类型为FTP
[Huawei]local-user user-name ftp-directory directory  # 为用户设置FTP目录
```

必须将用户级别配置在3级或者3级以上，否则FTP连接将无法成功

#     VRP作为FTP客户端访问FTP服务器端

```
<FTP Client>ftp 10.1.1.1    # FTP客户端命令，尝试连接到IP地址为10.1.1.1的FTP服务器。
Trying 10.1.1.1..        # 客户端正在尝试连接到指定的IP地址。
Press CTRL+K to abort    # 提示用户如果需要中断连接，可以按下CTRL+K组合键。
Connected to 10.1.1.1.    # 客户端已经成功连接到FTP服务器。
220 FTP service ready.    # 服务器响应表示FTP服务已经准备好，等待用户登录。
User(10.1.1.1:(nonel):ftp    # 服务器请求用户提供用户名进行登录。
331 Password required for ftp.    # 服务器提示需要输入用户名"ftp"的密码。
Enter password:    # 提示用户输入密码。
230 User logged in.    # 服务器确认用户成功登录。
```

# VRP作为FTP客户端的常用命令

```
ascii    Set the file transfer type to ASCII, and it is the default type
# 设置文件传输类型为ASCII，这是默认的传输类型，适用于文本文件

binary    Set the file transfer type to support the binary image
# 设置文件传输类型为二进制，用于支持二进制图像文件的传输

ls    List the contents of the current or remote directory
# 列出当前或远程目录的内容

passive    Set the toggle passive mode, the default is on
# 设置被动模式的开关，被动模式是默认开启的，用于FTP传输

get    Download the remote file to the local host
# 从远程服务器下载文件到本地主机

put    Upload a local file to the remote host
# 将本地文件上传到远程服务器
```

# 例子

###  需求

​    两台路由器，一台作为FTP服务器端，一台作为FTP客户端。通过配置，在FTP服务器端上开启FTP服务，创建一个账号作为FTP登录使用账号。然后FTP客户端登录FTP服务器端并使用get命令下载一个文件。

![](/static/img/华为ENSP中FTP配置/e03cca908542465bb7815754f247ba98.png)


### FTP服务端配置

```
<Huawei>sy
Enter system view, return user view with Ctrl+Z.
[Huawei]int GigabitEthernet 0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 10.1.1.1 24
[Huawei-GigabitEthernet0/0/0]q
[Huawei]ftp server en
Info: Succeeded in starting the FTP server
[Huawei]aaa
[Huawei-aaa]local	
[Huawei-aaa]local-user ren123 password cipher 123456
Info: Add a new user.
[Huawei-aaa]local-user ren123 privilege level 15
[Huawei-aaa]local-user ren123 service-type ftp	
[Huawei-aaa]local-user ren123 ftp-directory flash:
[Huawei-aaa]q
```

###  FTP客户端配置

```
<Huawei>sy
Enter system view, return user view with Ctrl+Z.
[Huawei]int GigabitEthernet 0/0/0
[Huawei-GigabitEthernet0/0/0]ip address 10.1.1.2 24
Sep 15 2024 15:33:12-08:00 Huawei %%01IFNET/4/LINK_STATE(l)[1]:The line protocol
 IP on the interface GigabitEthernet0/0/0 has entered the UP state. 
[Huawei-GigabitEthernet0/0/0]q
[Huawei]q
<Huawei>ftp 10.1.1.1
Trying 10.1.1.1 ...

Press CTRL+K to abort
Connected to 10.1.1.1.
220 FTP service ready.
User(10.1.1.1:(none)):ren123
331 Password required for ren123.
Enter password:
230 User logged in.

[Huawei-ftp]get sslvpn.zip
Warning: The file sslvpn.zip already exists. Overwrite it? (y/n)[n]:y
200 Port command okay.
150 Opening ASCII mode data connection for sslvpn.zip.
 1% 2% 3% 4% 5% 6% 7% 8% 9%10%11%12%13%14%15%16%17%18%19%20%
21%22%23%24%25%26%27%28%29%30%31%32%33%34%35%36%37%38%39%40%
41%42%43%44%45%46%47%48%49%50%51%52%53%54%55%56%57%58%59%60%
61%62%63%64%65%66%67%68%69%70%71%72%73%74%75%76%77%78%79%80%
81%82%83%84%85%86%87%88%89%90%91%92%93%94%95%96%97%98%99%226 
Transfer complete.
FTP: 828482 byte(s) received in 2.820 second(s) 293.78Kbyte(s)/sec.

[Huawei-ftp]
```

华为ENSP中FTP配置

#  概念：

​    链路聚合（Link Aggregation）是将两个或更多个物理端口（如以太网端口）结合成一个单一的逻辑端口（Eth-Trunk或Trunk接口），通过该逻辑端口实现网络流量的负荷分担和冗余备份。

> - **增加链路带宽**：通过将多个物理链路的带宽叠加，链路聚合能够提供比单个物理链路更高的总带宽。逻辑链路的带宽增加了大约(n-1)倍，其中n为聚合的路数。
> - **实现链路相互备份**：当某个物理链路发生故障时，其他链路可以继续传输数据，确保网络的连续性和可用性。
> - **实现负载均衡**：交换机可以根据配置的端口负荷分担策略，将网络流量均匀地分配到不同的物理链路上，从而提高网络的性能和可靠性。



### 聚合组

​    聚合组其实就是链路聚合的定义。以若干条链路捆绑在一起所形成的逻辑链路。每个聚合组**唯一**对应着**一个逻辑接口**，这个逻辑接口又被称为链路聚合接口或Eth-Trunk接口



### 成员接口和成员链路

​    组成Eth-Trunk接口的各个物理接口称为成员接口。成员接口对应的链路就是成员链路



### 活动接口和活动链路

​    选中（Selected）接口，是参与数据转发的成员接口。活动接口对应的链路称为活动链路。在链路聚合组中，只有**活动链路负责转发数据**



### 非活动接口和非活动链路

​    非选中（Unselected）接口，是不参与转发数据的成员接口。非活动接口对应的链路被称为非活动链路（Inactive link）。这些链路在正常情况下不参与数据转发，但在活动链路**出现故障**时，非活动链路可能会被激活以**接替故障链路**的工作。



### 聚合模式

​    根据是否开启LACP，链路聚合分为两个模式：**手工模式**、**LACP模式**



### 活动接口上阈值

​    设置活动接口数上限阈值的目的是在保证带宽的情况下提**高网络的可靠性**。当当前活动链路数目达到上限阈值时，再向Eth-Trunk中添加成员接口，不会增加Eth-Trunk活动接口的数目，**超过上限阈值**的链路状态将**被置为Down**，作为备份链路



### 活动接口下阈值

​    设置活动接口数下限阈值是为了**保证最小带宽**。当当前活动链路数目**小于下限阈值**时，Eth-Trunk接口的状态可能会**转为Down**



# 手工模式

​    管理员需要**手动选择**并配置哪些物理接口参与聚合，以及聚合后的行为（如负载分担方式）。聚合后的逻辑接口会作为一个整体参与数据转发，所有成员接口默认都是活动接口，共同分担流量。

## 案例

​    需求：LSW1、LSW2都连接着VLAN10 、20的网络，需要手工配置

![](/static/img/链路聚合（Link_Aggregation）/0ab993843c8c468badb9f4b891317edc.png)


**LSW1配置**

```
[LSW1]interface Eth-Trunk 1
[LSW1-Eth-Trunk1]trunkport GigabitEthernet 0/0/1 to 0/0/2
Info: This operation may take a few seconds. Please wait for a moment...done.
[LSW1-Eth-Trunk1]port link-type trunk
[LSW1-Eth-Trunk1]port trunk allow-pass vlan 10 20
[LSW1-Eth-Trunk1]q
```


**LSW2配置**

```
[LSW2]interface Eth-Trunk 1
[LSW2-Eth-Trunk1]trunkport GigabitEthernet 0/0/1 to 0/0/2
Info: This operation may take a few seconds. Please wait for a moment...done.
[LSW2-Eth-Trunk1]port link-type trunk
[LSW2-Eth-Trunk1]port trunk allow-pass vlan 10 20
[LSW2-Eth-Trunk1]q
```


**查看Eth-Trunk接口**

```
[LSW1]display interface Eth-Trunk 1
```

![](/static/img/链路聚合（Link_Aggregation）/ab1ba0e0d19f4ed4b4e3bdb9f0d23eb9.png)


> - Eth-Trunk的建立、成员接口的加入需要手动配置，双方系统之间不使用LACP进行协商
> - 正常情况下所有链路都是活动链路，该模式下所有活动链路都参与数据的转发，平均分担流量，如果某条活动链路发生故障，链路聚合组自动在剩余的活动链路中平均分担流量
> - 当聚合的两端设备中存在一个不支持LACP协议时，可以使用手工模式
> - 手工模式下，设备之间没有报文交互，需要管理员人工确认
> - 设备只能通过物理层状态来判断对端接口是否正常工作
> - 适用于小型网络、测试环境或对链路聚合要求不高的场景



# LACP模式

​    LACP（Link Aggregation Control Protocol）是一种链路聚合控制协议，用于在网络设备之间自动协商和形成聚合链路，并在聚合条件发生变化时自动调整或解散聚合链路

​    LACP基于IEEE 802.3ad标准，通过发送和接收LACPDU（Link Aggregation Control Protocol Data Unit）报文来协商聚合链路的配置。在LACP模式下，网络设备会根据LACP协议**自动选择**活动接口和备份接口

​    LACP模式下，两端设备所选择的活动接口数目必须保持一致，否则链路聚合组无法建立。同时，通过系统LACP优先级（默认为32768）**确认主动端**，值越小优先级越高。当优先级相同时，会比较MAC地址

## 案例

​    需求：LSW1、LSW2都连接着VLAN10 、20的网络。LSW1和LSW2之间通过三根以太网链路互联，配置LACP模式并手动调整优先级，让LSW1成为主动端，并配置最大活动端口为2，另一条链路作为备份

![](/static/img/链路聚合（Link_Aggregation）/3282cdca83264f2d9a352781b0538624.png)


**LSW1配置**

```
[LSW1]interface Eth-Trunk 1
[LSW1-Eth-Trunk1]mode lacp
[LSW1-Eth-Trunk1]max active-linknumber 2   //设立最大活动链路为2
[LSW1-Eth-Trunk1]trunkport GigabitEthernet 0/0/1 to 0/0/3
Info: This operation may take a few seconds. Please wait for a moment...done.
[LSW1-Eth-Trunk1]port link-type trunk
[LSW1-Eth-Trunk1]port trunk allow-pass vlan 10 20
[LSW1-Eth-Trunk1]q
[LSW1]lacp priority 30000  //配置优先级为30000
```


**LSW2配置（优先级默认32768）**

```
[LSW2]interface Eth-Trunk 1
[LSW2-Eth-Trunk1]mode lacp
[LSW2-Eth-Trunk1]max active-linknumber 2
[LSW2-Eth-Trunk1]trunkport GigabitEthernet 0/0/1 to 0/0/3
Info: This operation may take a few seconds. Please wait for a moment...done.
[LSW2-Eth-Trunk1]port link-type trunk
[LSW2-Eth-Trunk1]port trunk allow-pass vlan 10 20
[LSW2-Eth-Trunk1]q
```


> - 适用于大型企业网络、数据中心等需要高可靠性和高带宽的场景



# 负载分担

​    负载分担模式有多种，常见的有：源IP、源MAC、目的IP、目的MAC、源目IP、源目MAC等

### 基于包的负载分担

​    在转发流量时，按照报文（包）到来的次序，将报文均匀地分摊到参与负载的各条链路上。在使用Eth-Trunk转发数据时，由于聚合组两端设备 之间有很多条物理链路，如果每个数据帧在不同的链路上转发，则有可能导致数据帧到达对端时间不一致，从而引发数据乱序

![](/static/img/链路聚合（Link_Aggregation）/6e0fc1dfc89c4d698f62e9db92b0513b.png)


### 基于流的负载分担

​    按照一定的规则（如五元组：源IP地址、目的IP地址、协议号、源端口号、目的端口号），将报文分成不同的流，同一条流的报文将在同一条链路上转发。这种方式通过哈希算法等机制，确保属于同一流的所有报文都经过同一条链路，从而保持报文的顺序性

![](/static/img/链路聚合（Link_Aggregation）/64f54fab7fe345d8845710749eff74c7.png)



# 常用配置命令

### 1、创建链路聚合组

```
[Huawei] interface eth-trunk trunk-id
```


创建Eth-Trunk接口，并进入Eth-Trunk接口视图



### 2、配置链路聚合模式

```
[Huawei-Eth-Trunk1] mode { lacp | manual load-balance }
```


Mode lacp配置链路聚合模式为lacp模式，mode manual load-balance配置链路聚合模式为手工模式

***注意：需要保持两端链路聚合模式一致\***



### 3、将接口加入链路聚合组中（以太网接口视图）

```
[Huawei-GigbitEthernet0/0/1] eth-trunk trunk-id
```


在接口视图下，把接口加入到Eth-Trunk中



### 4、将接口加入链路聚合组中（Eth-Trunk视图）

```
 [Huawei-Eth-Trunk1] trunkport interface-type { interface-number }
```


在Eth-Trunk视图中将接口加入到链路聚合组中

***注：3、4两种方法都可以将接口加入到链路聚合组中\***



### 5、使能允许不同速率端口加入同一Eth-Trunk接口的功能

```
[Huawei-Eth-Trunk1] mixed-rate link enable
```


缺省情况下，设备未使能允许不同速率端口加入同一Eth-Trunk接口的功能，只能相同速率的接口加入到同一个Eth-Trunk接口中



### 6、配置系统LACP优先级

```
[Huawei] lacp priority 32768
```


系统LACP优先级越小，优先级越高，缺省情况下，系统LACP优先级为32768



### 7、配置接口LACP优先级

```
[Huawei-GigbitEthernet0/0/1] lacp priority 32768
```


在接口视图下配置接口LACP优先级。缺省情况下，接口的LACP优先级使32768

***只有在接口已经加入到链路聚合中才可以配置该命令\***



### 8、配置最大活动接口数

```
[Huawei-Eth-Trunk] max active-linknumber {number}
```


配置时需要保持本端和对端的最大活动接口数一致，只有LACP模式支持配置最大活动接口数



### 9、配置最小活动接口数

```
[Huawei-Eth-Trunk] least active-linknumber {number}
```


本段和对端设备的活动接口数下线阈值可以不同，手动模式、LACP模式都支持配置最小活动接口数

配置最小活动接口数目的是为了保证最小带宽，当前活动链路数目小于下线阈值时，Eth-Trunk接口的状态为Down

链路聚合（Link_Aggregation）

##  1、开启DHCP功能

```
[huawei] dhcp enable
```


## 2、开启接口采用接口地址池的DHCP服务器端功能

```
[huawei-Gigabitherenet0/0/0] dhcp select interface
```


## 3、指定接口地址池下的DHS服务器地址

```
[huawei-Gigabitherenet0/0/0] dhcp server dns-list ip-address
```


## 4、配置地址池中不参与自动分配的IP地址范围

```
[huawei-Gigabitherenet0/0/0] dhcp server excluded-ip-address start-ip-address [end-ip-address]
```


## 5、配置DHCP服务器接口地址池中IP地址的租用有效期限功能

```
[huawei-Gigabitherenet0/0/0]dhcp server lease {day [hour [minute] ] |unlimited}
```

缺省情况下，IP地址的租期为1天。


## 6、创建全局地址池

```
[huawei] ip pool ip-pool-name
```


## 7、配置全局地址池可动态分配的IP地址范围

```
[huawei-ip-pool-2]network ip-address [mask {mask | mask-length}]
```


## 8、配置DHCP客户端的网关地址

```
[huawei-ip-pool-2]gateway-list ip-address
```


## 9、配置DHCP客户端使用的DNS服务器的IP地址

```
[huawei-ip-pool-2]dns-list ip-address
```


## 10、配置IP地址租期

```
[huawei-ip-pool-2]lease {day [hour [minute] ] | unlimited }
```


## 11、使能接口的DHCP服务器功能

```
[huawei-Gigbithernet0/0/0]dhcp select global
```

华为DHCP的常用配置命令

#  概述：

​    STP（Spanning Tree Protocol）生成树协议将环形网络修剪成为一个无环的树型网络，避免报文在环形网络中的增生和无限循环。

​    一个集成网络难免会出现环路，环路会产生广播风暴，最终导致整个网络资源被耗尽，网络瘫痪不可用。同时，环路还会引起MAC地址表震荡导致MAC地址表项被破坏。

​    为了破除环路，产生了数据链路层协议STP，运行该协议的设备通过彼此交互信息发现网络中的环路，并有选择的对某个端口进行阻塞，最终将环形网络结构修剪成无环路的树形网络结构，从而防止报文在环形网络中不断发送，避免形成广播风暴，避免设备由于重复接收相同的报文造成处理能力下降。



# 相关概念：

### **根桥（Root Bridge）：**

​    相当于是树根。每个交换机运行STP，会产生桥ID，桥ID最小的为根桥。对于一个STP/RSTP网络，根桥有且只有一个，它是整个网络的逻辑中心，但不一定是物理中心。根据网络拓扑的变化，根桥可能改变。



### **BID（Bridge，ID桥ID）：**

​    优先级+MAC地址。计算公式为：BID = 桥优先级 + MAC地址。通过比较桥ID的大小，可以选出STP中的根桥。先比较优先级，若优先级相同，则比较MAC地址。桥ID值越小，优先级越高，越有可能成为根桥。



### PID（Port ID，端口ID）：

​    优先级+接口号。计算公式为：PID = 端口优先级 + 接口号。端口ID用于在STP中区分不同的端口，以便进行端口角色的选举和配置



### BPDU（Bridge Protocol Data Unit，网桥协议数据单元）：

​    BPDU是STP的协议报文，STP正常工作的根本。STP交换机之间会交互BPDU报文，这些报文携带着一些重要信息，如桥ID、端口ID、根路径开销等。通过这些信息，STP会计算出网络的生成树，并选举出根桥、根端口、指定端口等关键角色。



### RP（Root Port，根端口）：

​    非根桥交换机上连接根桥且到根桥开销最小的端口。根端口负责将流量和控制消息从下游交换机发送到根桥。在STP的生成树中，每个非根桥交换机都只有一个根端口。开销越小，越能成为根端口。



### DP（Designated Port，指定端口）：

​    是网络中每个网段中转发配置BPDU的端口。每个网段有且只有一个指定端口。负责从根桥接收数据并转发给所连接的网段。同时，它也负责向根桥发送BPDU报文。路径开销和端口ID的组合值最小的端口成为指定端口。



### AP（Alternate Port，预备端口）：

​    根接口RP的备份。当RP出现故障后，接替RP的工作。



### BP（Backup Port，备份端口）：

​    与AP类似，BP是DP的备份。



# 端口状态

| 端口               | 目的                                                         | 说明                           |
| ------------------ | ------------------------------------------------------------ | ------------------------------ |
| Disabled（禁止）   | 处于关闭或未启用STP的状态                                    | 状态为Down                     |
| Blocking（阻塞）   | 不能转发数据，但可以接收STP的BPDU信息                        | 阻塞端口                       |
| Listening（监听）  | 若端口被选举为根端口或指定端口，它会转换到监听状态           | 过渡端口（15s）                |
| Learning（学习）   | 端口开始学习MAC地址，同时继续收发BPDU信息，但依旧不转发用户数据 | 防止临时环路                   |
| Forwarding（转发） | 收发BPDU信息，学习MAC地址，并转发数据流量                    | 根端口和指定端口会进入转发状态 |



# BPDU报文格式

![](/static/img/STP生成树/d68c3372f8fa4740a5416c82387f595d.png)


### BPDU封装格式

BPDU被封装在以太网数据帧中，遵循IEEE 802.3标准。具体来说，BPDU的封装包括以下几个部分：

> 1. **目的MAC地址**：BPDU的目的MAC地址是组播地址01-80-C2-00-00-00，表示该帧是发送给网络中的所有STP交换机。
> 2. **Length字段**：指后续数据的字节长度，但不包括CRC（循环冗余校验）字节。
> 3. **LLC头**：逻辑链路控制（LLC）头部，其中目的服务访问点（DSAP）和源服务访问点（SSAP）的值通常为0x42，控制字段值为3。
> 4. **BPDU报文头**：随后是BPDU报文头，包含了STP协议的各种信息和参数。

### BPDU报文内容

BPDU报文内容主要包括以下几个字段：

> 1. **Protocol Identifier**：协议标识符，值为0，占用**2字节**。
> 2. **Protocol Version Identifier**：协议版本标识符，STP为0，RSTP（Rapid Spanning Tree Protocol，快速生成树协议）为2，MSTP（Multiple Spanning Tree Protocol，多生成树协议）为3，占用**1字节**。
> 3. **BPDU Type**：BPDU类型，占用**1字节**。具体类型包括：
>    - 0x00：STP的配置BPDU。
>    - 0x02：RSTP BPDU或MSTP BPDU。
>    - 0x80：STP的TCN（Topology Change Notification，拓扑变化通知）BPDU。
> 4. **Flags**：网络拓扑变化标志，占用**1字节**。其中，最高位表示拓扑变化确认（TCA）标志，最低位表示拓扑变化（TC）标志。
> 5. **Root Identifier**：当前根桥的BID（Bridge Identifier，桥标识符），共占用**8字节**。前2个字节是网桥的**优先级**，后6个字节是网桥的**MAC地址**。
> 6. **Root Path Cost**：根路径开销，即从本端口到根桥的开销，占用**4字节**。
> 7. **Bridge Identifier**：发送者的BID，同样是前2字节是网桥优先级，后6字节是网桥MAC地址，共占用**8字节**。
> 8. **Port Identifier**：发送端口的PID（Port Identifier，端口标识符），占用**2字节**。
> 9. **Message Age**：标识BPDU的消息年龄，如果配置BPDU是根桥发出的，则Message Age为0。每经过一个桥，Message Age增加1，占用**2字节**。
> 10. **Max Age**：标识消息老化的年龄，即BPDU报文老化的时间，缺省值是20秒，可选范围是6-40秒，占用**2字节**。
> 11. **Hello Time**：发送两个相邻BPDU的时间间隔，缺省值是2秒，可配置的时间范围是1-10秒，占用**2字节**。
> 12. **Forward Delay**：控制Listening状态和Learning状态的持续时间，缺省值是15秒，可配置范围是4-30秒，占用**2字节**。



# 选举过程

### 选出根桥（Root Bridge）

​    STP开始时，网络中的每个桥（交换机）都会宣称自己是根桥，并广播自己的桥ID给网络中的其他桥。桥ID由桥优先级（默认为32768）和桥MAC地址组成。具有最低桥ID的桥会被选为根桥。

### 选出根端口（Root Port）

​    在每个非根桥上，STP会选择一个端口作为根端口，该端口是到达根桥的最短路径上的端口。STP会考虑路径成本（由端口速度和配置决定）和桥ID来确定哪个端口是最佳的根端口。

### 选出指定端口（Designated Port）

​    在生成树的每个网段（由两个桥之间的链路分隔开的部分）上，STP会选择一个端口作为指定端口。这个端口负责向该网段转发帧。选择指定端口的依据包括到达根桥的路径成本、发送者桥ID、发送者端口ID等。

### 4. 阻塞其他端口（Blocking Other Ports）

​    在选择了根端口和指定端口之后，STP会将非根桥上的其他端口置于阻塞状态（Blocking）。这些端口不参与帧的转发，但会监听网络中的STP消息，以便在需要时快速转换状态。



# STP拓扑发生改变的原因

1、端口从forwarding状态过渡到disable或blocking状态。

2、非根桥如果从指定端口接收到TCN BPDU包，需要向根桥装发TCN BPDU包。

3、端口进入转发状态，并且本地已存在一个指端端口。

# 

# STP拓扑改变过程

> **检测拓扑变化**：
>
> - 当网络中的设备检测到拓扑变化时（如链路断开、设备故障等），会触发STP的重新计算过程。
> - STP通过BPDU的交换来检测拓扑变化。BPDU分为两种：配置BPDU和TCN BPDU。
>
> **重新计算生成树**：
>
> - 在检测到拓扑变化后，STP会重新计算生成树拓扑，以确保网络的连通性和无环路。
> - 这个过程包括重新选举根桥、根端口和指定端口，以及更新非指定端口的状态。
>
> **加速MAC地址表老化**：
>
> - 拓扑变化后，交换机中的MAC地址表可能包含过时的表项，这些表项会导致数据转发错误。
> - STP通过发送TCN BPDU来加速MAC地址表的老化过程。根桥在收到TCN BPDU后，会在后续的配置BPDU中设置TC（Topology Change）标志位，通知下游设备将MAC地址表的老化时间从默认的300秒缩短为Forward Delay时间（默认为15秒）。
>
> **收敛过程**：
>
> - STP的收敛时间取决于多种因素，包括Max Age（BPDU的最大存活时间，默认为20秒）和Forward Delay（端口从监听状态到转发状态的延时，默认为15秒）。
> - 在拓扑变化后，STP的收敛时间通常为Max Age加上两倍Forward Delay的时间，即大约50秒。



# STP的基础配置命令

### 1、配置生成树工作模式

```
[huawei] stp mode { stp | rstp | mstp }
```

交换机支持STP、RSTP和MSTP三种生成树工作模式，默认工作在MSTP模式



### 2、配置根桥

```
[huawei] stp root primary
```


配置当前设备为根桥。缺省情况下，交换机不作为任何生成树的根桥。配置后该设备优先级数值自动为0，并且不能更改设备优先级。



### 3、备份根桥

```
[huawei] stp root secondary
```


配置当前设备为备份根桥。缺省情况下，交换机不作为任何生成树的根桥。配置后该设备优先级数值自动为4096，并且不能更改设备优先级。



### 4、配置交换机的STP优先级

```
[huawei] stp priority 32768
```


缺省情况下，交换机的优先级取值为32768



### 5、配置接口的路径开销

```
[huawei] stp pathcost-standard { dot1d-1998 | dot1t | legacy }
```

配置接口路径开销计算方法。缺省情况下，路径开销值的计算方法为IEEE 802.1t（dot1t）标准方法。同一网路内所有交换机的接口路径开销应使用相同的开销算法。

```
[huawei-GigbitEthernet0/0/1] stp cost 100
```

设置当前接口的路径开销值。使用华为计算方法时参数cost取值范围是1～200000。使用IEEE 802.1d标准方法时取值范围是1～65535。使用IEEE 802.1t标准方法时取值范围是1～200000000。



### 6、配置接口优先级

```
[huawei-intf] stp priority 128
```


配置接口的优先级。缺省情况下，交换机接口的优先级取值为128



### 7、启用STP/RSTP/MSTP

```
[huawei] stp enable
```


使能交换机的STP/RSTP/MSTP功能。缺省情况下，设备此功能处于启用状态



# STP配置例子

![](/static/img/STP生成树/6fc8444ad1a04421ae0eac997960da51.png)

```
[Huawei]display stp
```

![](/static/img/STP生成树/58d220324a6e4e3482700d4227847715.png)

```
[Huawei]dis int vlan 1
```

![](/static/img/STP生成树/d5dcb33a6c0244898b5240598f543086.png)


```
[Huawei]display stp brief 
```

![](/static/img/STP生成树/1705e2dc919a4e4f820a08368060d1ec.png)