网络故障快速诊断

{ "diagnosis": "高概率为二层环路或不稳定上联导致的STP拓扑变更风暴。证据链：1) 交换机端口Gi1/0/24的STP topology change计数激增；2) 全网每10–15分钟出现20–60秒中断（接近STP收敛/TCN影响周期），Ping网关延迟飙升并丢包；3) AP日志多客户端去关联/重关联，错误码WLAN_DEAUTH_4通常表示“因不活跃/超时被去关联”，与上游转发中断相符；4) STP_TCN_Storm为直接告警。根因常见来源：- 终端/小交换机/打印机等把两条墙口/两端口互连造成环路；- AP同时有线+Mesh/中继桥接形成环路；- 上联口物理抖动/速协不稳引发频繁TCN；- STP模式/根桥不一致导致拓扑频繁切换。DHCP波动多为TCN引起的MAC/ARP表刷新副作用，并非主因。", "solution_steps": [ "[重要-快速缓解] 在核心/汇聚确认根桥并固定根桥位置，避免STP根漂移：show spanning-tree root；如非核心为根，降低核心优先级（示例：spanning-tree mode rapid-pvst；spanning-tree vlan 1-4094 priority 4096），变更前评估维护窗口。", "[重要-快速缓解] 立刻定位TCN触发口并隔离：在出现问题的交换机上执行 show spanning-tree detail（或 show spanning-tree vlan detail），记录“Number of topology changes”“last change on port …”。若均指向Gi1/0/24，优先在业务可承受窗口内 shutdown Gi1/0/24观察：shut 15分钟并监控是否停止TCN、无线去关联和Ping抖动；若现象消失，问题在该端口下联侧（环路/设备异常/线缆问题）。", "检查Gi1/0/24物理与二层状态：show interfaces gi1/0/24；show interfaces counters errors；show logging | include Gi1/0/24；排查是否有input errors/CRC/late collisions/链路up-down。建议更换网线/水晶头或收发器，强制速率/双工匹配（如 speed 1000 duplex full/auto 协调一致），排除物理抖动因素。", "确认Gi1/0/24对端设备类型与接入方式：show cdp neighbors detail 或 show lldp neighbors detail；show mac address-table dynamic | include Gi1/0/24。若看到大量不同MAC在Gi1/0/24出现，说明该口下挂“汇聚设备/小交换机/AP”。进一步检查是否有“同一MAC在多个端口反复移动”（MAC flap）：某些平台支持 show mac address-table notification mac-move 或在日志中搜索 MACFLAP/MAC move。", "排查环路源头（物理与配置）：- 实地检查Gi1/0/24下挂区域是否有两根跳线把两个信息点/交换机端口互连；- 检查是否有未管理交换机/打印机/IPC/带桥接功能的设备把不同墙口互连；- 若为AP，下挂AP是否同时开启Mesh/Workgroup Bridge/以太网桥接并接有线回传，需禁用重复上联路径（关闭Mesh桥接或临时断开有线/无线其一）。", "分割法定位（如无法一次确认）：对Gi1/0/24下游使用半分法逐段断开/启用，监测“show spanning-tree detail”的Last topology change和计数是否停止增长；对可疑下挂小交换机逐个断电以验证。", "启用接入口边缘保护，减少TCN及快速切断环路（勿在上联/Trunk使用）：在所有面向终端的接入口配置 spanning-tree portfast、spanning-tree bpduguard enable；建议在全局开启 loopguard 用于非指定端口：spanning-tree loopguard default。变更前梳理端口角色，避免误杀上联口。", "检查并统一STP模式/域：show spanning-tree summary；确保全网统一为rapid-pvst或MST（MST需region name/revision一致）。在Trunk口核查：show interfaces trunk，避免误把接入口设成Trunk或Native VLAN不一致导致异常转发。", "在上联与关键链路启用链路健壮特性：- 光纤/长距离使用 UDLD（优先aggressive）：udld aggressive；- 以太上行可启用storm-control限制广播/组播风暴（示例：storm-control broadcast level 1.00 0.50；storm-control multicast level 1.00 0.50），以降低环路影响范围（注意门限需结合现场流量评估）。", "无线侧验证（确认为上游问题而非纯射频）：在WLC/AP上对典型受影响客户端 debug client 与 show client detail ，对照交换机TCN时间戳；多数WLAN_DEAUTH_4为“inactivity”导致，若与TCN一致则RF非主因。检查AP上行是否有up/down或PoE电力波动：show ap uptime / show ap config general 与交换机 show power inline。", "如仍怀疑DHCP：对核心/接入开启DHCP Snooping，仅信任上联/服务器口：ip dhcp snooping；ip dhcp snooping vlan ；在上联端口接口下 ip dhcp snooping trust。查看 show ip dhcp snooping binding 与DHCP服务器日志，确认是否在TCN窗口出现大量RENEW/DECLINE/RELEASE（一般为TCN副作用）。", "关联抓包与证据固化：配置SPAN对Gi1/0/24镜像（示例：monitor session 1 source interface Gi1/0/24 both；monitor session 1 destination interface Gi1/0/10），用Wireshark观察BPDU、异常广播与MAC移动；保留 show tech / show run、show spanning-tree detail 前后对比的截图与时间线。", "问题修复与加固的最终目标清单：- 去除物理环路/误接；- 固定核心为STP根；- 统一STP模式；- 接入口全面启用PortFast+BPDU Guard，非指定口启用Loop Guard；- 上联启用UDLD与合适的storm-control；- 禁用AP的双重上联（Mesh+有线）或错误桥接；- 变更后持续监控24–48小时（监控项：STP TCN计数、接口错误、AP去关联率、Ping时延/丢包）。" ], "reference_links": [ "https://www.cisco.com/c/en/us/support/docs/lan-switching/spanning-tree-protocol/24062-146.html", "https://www.cisco.com/c/en/us/support/docs/lan-switching/spanning-tree-protocol/10588-3.html", "https://www.cisco.com/c/en/us/support/docs/ip/dynamic-address-allocation-resolution/41418-dhcp-snooping.html", "https://mrncciew.com/2014/10/08/802-11-association-status-codes/", "https://www.cisco.com/c/en/us/support/docs/lan-switching/ethernet/10553-3.html", "https://www.cisco.com/c/en/us/support/docs/switches/catalyst-6500-series-switches/10561-7.html" ] }