交换机实用技巧：我踩过坑才养成的7个习惯

2016年我在一家小公司当网管，机柜里塞着三台24口接入交换机。有天早上同事说网断了，跑过去一看，所有端口指示灯全在狂闪。查了半天，是前一天搬工位时，两根网线把两个上联口接成了一个圈。广播风暴，整层楼瘫了四十分钟。那之后我才认真去读生成树的文档。

交换机这东西，插上就能用。正因为"能用"，很多人懒得去配它。可真出事的时候，往往就是那几个默认设置惹的祸。下面这些是我这些年攒下来的习惯，谈不上高深，能省几次半夜被电话叫起来的麻烦。

环路和生成树，别等断网再补

STP 现在基本默认开着，但默认配置不等于够用。接入层交换机的接入口，一定要开边缘端口（思科叫 PortFast，华为叫 edg-port），不然电脑插上去要等三四十秒才能拿到 IP，用户会以为网坏了来投诉。上联口那边，BPDU Guard 建议打开。它的逻辑是：接入口突然收到 BPDU，说明那儿被接进了交换机或者形成了环，直接把端口关掉。宁可牺牲一个口，也别让整个广播域陪着一起死。

• 接入口：开 PortFast + BPDU Guard，两个一起配才有意义
• 上联口：STP 保持默认，别手痒去关
• 机房里给上联口贴红色标签，物理层面防误插
• 隔几天瞄一眼 show spanning-tree 的拓扑变化计数，数字一直涨就有问题

还有个土办法比什么配置都管用：上联口统一用不一样颜色的网线，或者干脆走光纤。人一忙就容易插错，物理隔离最省心。

端口镜像，抓包排查的最快路径

用户说"我这儿网慢"，你 ping 网关是通的，测速也还行，这时候只能抓包。可接入交换机没配镜像口，你就只能干瞪眼。我的做法是每台接入交换机留一个空闲口当镜像目的口，配好 monitor session，用的时候直接插笔记本。思科是 monitor session 1 source interface Gi0/1 both，华为是 port-mirroring 那一套。配一次，以后省很多事。不过镜像口别长期开着，流量大的时候交换机会有额外负担，抓完记得关。

另一个我常翻的是 MAC 地址表。show mac address-table 能看出某个 MAC 挂在哪个口上，追一台乱发包的设备特别快。有次一台打印机网卡坏了，疯狂发 ARP，把网关的 ARP 表刷爆，整层楼时通时断，就是靠这个命令三分钟定位的。端口安全也值得配一下，接入口的最大 MAC 数限制到 2 或 3，超了就告警或者关端口，防止有人从工位私接家用路由器把 DHCP 也带进来。

最后说句实在的：改配置前先备份。我见过太多人改完忘了自己动过什么，出问题只能重启。交换机不像服务器，重启一次全楼的网都得断，代价比你想的大。配好导出一份、改完记一笔、留个时间戳，这三步花不了十分钟。