适用场景

校园网最怕学生私接小交换机、私接路由器发 DHCP。一旦发生，轻则局部掉线，重则整栋楼广播风暴。三项配置就能挡住绝大多数：环路检测自动封口、DHCP Snooping 只信任上联、边缘端口配合 BPDU 保护。

配置步骤（环路检测与端口封锁）

# 1) 全局开启环路检测（可按 VLAN 范围）
loopback-detection global enable vlan 1 to 4094
loopback-detection global action shutdown
shutdown-interval 300

# 2) 接入口配置
display current-configuration interface GigabitEthernet1/0/2
interface GigabitEthernet1/0/2
 port access vlan 10
 stp edged-port
 loopback-detection action shutdown

# 3) 查看被环路封锁的端口
display loopback-detection interface
# 4) 恢复：修复线路后 undo shutdown
interface GigabitEthernet1/0/2
 undo shutdown

关键参数与建议

  • 环路检测：全局开启 loopback-detection 并配 action shutdown，形成环路自动封口
  • 修复间隔：配置 shutdown-interval，让被封锁端口在指定时间后自动恢复尝试
  • DHCP Snooping：全局开启，上联口设 trusted，接入口保持非信任，阻断私接 DHCP
  • STP：接入口配 stp edged-port（边缘端口），配合 BPDU 保护防止私接交换机
  • 风暴抑制：对广播与组播设上限，避免环路初期直接打满
  • 端口隔离：宿舍/教室同一网段可开启端口隔离，减少横向扩散
  • 巡检：查看环路封锁记录、DHCP Snooping 丢弃计数、广播包速率
  • 沟通：把「禁止私接路由/交换机」写进使用须知，技术+管理双管齐下

容易踩的坑

  • 只开环路检测不配 action，告警了但口不会封
  • shutdown-interval 没配，端口封了要人工现场恢复
  • 上联口也配了边缘端口，导致 STP 失效
  • 封口后没记录是哪个房间哪个口，无法通知用户
  • 私自把封锁端口反复 unshutdown，环路持续存在
  • 没配合风暴抑制，环路初期就已经把链路打满

验证与巡检

display loopback-detection interface
display interface | include 'broadcast'
# 目标：广播包速率在阈值内、封锁端口有记录且处理闭环
  • 巡检：封锁记录、环路根因（私接/劣质线/短接）、端口恢复确认

小结

接入层防护验收：人为制造一次环路能自动封口并恢复、私接路由器发 DHCP 被丢弃、广播速率在阈值内，且日志有记录。

> 说明：文中命令为通用写法，不同型号/版本可能略有差异，落地前请对照设备实际版本的官方文档；带外管理与安全设备变更建议先在测试设备验证。