Chống loop và mạng vòng trên switch GTWave: STP, MSTP, ERPS và EAPS

Loop lớp 2 và ring dự phòng là hai mặt của cùng một bài toán: vòng lặp vô tình trong mạng gây broadcast storm làm sập toàn bộ hệ thống trong vài giây, trong khi vòng lặp được thiết kế chủ động lại là kiến trúc dự phòng tốt nhất cho camera ngoài trời và nhà máy. Bài này đi qua cả hai hướng — phòng loop ngoài ý muốn bằng MSTP và Loop Detection, và xây ring phục hồi nhanh bằng ERPS hoặc EAPS.

Bài này là bài thứ năm trong chuỗi hướng dẫn switch GTWave. Giả định switch đã được cài đặt theo bài cấu hình Switch GTWave lần đầu và cấu hình VLAN.

So sánh các giao thức chống loop và ring

Khuyến nghị tổng quát: topology mesh dùng MSTP (mặc định trên GTWave); topology ring dùng ERPS (tốt nhất) hoặc EAPS (tương thích ngược); mesh dưới năm switch có thể dùng RSTP cho đơn giản.

MSTP — mặc định cho topology mesh

MSTP gom nhiều VLAN vào các instance riêng để cân tải, đồng thời chống loop. Các switch cùng region phải có cùng region-name, revision-level và ánh xạ VLAN-to-instance – chỉ lệch một ký tự là các switch coi nhau như khác region và MSTP không hoạt động đúng.

Tình huống: bốn switch trong region “TSS-HCM”; VLAN 10, 20, 30 vào instance 1; VLAN 100, 200 vào instance 2; switch A làm root cho instance 1, switch B làm root cho instance 2 để cân tải.

Trên switch A:

Switch-A(config)# spanning-tree mode mstp

Switch-A(config)# spanning-tree mst configuration

Switch-A(config-mst)# region-name TSS-HCM

Switch-A(config-mst)# revision-level 1

Switch-A(config-mst)# instance 1 vlan 10,20,30

Switch-A(config-mst)# instance 2 vlan 100,200

Switch-A(config-mst)# exit

Switch-A(config)# spanning-tree mst 1 priority 0

Switch-A(config)# spanning-tree mst 2 priority 8192

Switch-A# write

Trên switch B đảo ngược: spanning-tree mst 1 priority 8192 và spanning-tree mst 2 priority 0. Switch C và D chỉ cần khai báo region và ánh xạ instance giống hệt, không cần đặt priority.

Cấu hình ở mức cổng cho thiết bị đầu cuối và uplink:

Switch(config)# interface ge1/1

Switch(config-ge1/1)# spanning-tree portfast

Switch(config-ge1/1)# spanning-tree bpduguard enable

Switch(config-ge1/1)# spanning-tree rootguard

portfast cho cổng nối PC, camera, AP để bỏ qua giai đoạn listening/learning — thiết bị lên link tức thì thay vì chờ 30 giây. bpduguard tự shutdown cổng nếu nhận BPDU — cổng đầu cuối không được phép nhận BPDU. rootguard đặt trên cổng hướng xuống switch con để không cho thiết bị bên dưới chiếm vai trò root.

Kiểm tra bằng show spanning-tree và show spanning-tree mst.

ERPS G.8032 — ring carrier-grade khuyến nghị

Trong một ring N switch, một cổng (RPL — Ring Protection Link) bị block khi ring khỏe mạnh để chống loop. Khi một link khác đứt, cổng RPL được mở block và ring phục hồi dưới 50ms. Có ba vai trò: RPL Owner giữ và block cổng RPL, RPL Neighbour là đầu còn lại của link RPL làm dự phòng, và Other chỉ forward bản tin R-APS.

Thiết lập VLAN điều khiển R-APS trên cả bốn switch trước:

Switch(config)# vlan database

Switch(config-vlan)# vlan 4090 name ERPS-RAPS-CTRL

Switch(config-vlan)# exit

Trên switch A (RPL Owner):

Switch-A(config)# erps instance 1

Switch-A(config-erps-1)# ring-id 1

Switch-A(config-erps-1)# role rpl-owner

Switch-A(config-erps-1)# port0 ge1/23

Switch-A(config-erps-1)# port1 ge1/24

Switch-A(config-erps-1)# raps-vlan 4090

Switch-A(config-erps-1)# guard-timer 500

Switch-A(config-erps-1)# wtr-timer 5

Switch-A(config-erps-1)# hold-off-timer 0

Switch-A(config-erps-1)# exit

Switch-A(config)# erps instance 1 enable

Switch-A# write

Trên switch B đặt role rpl-neighbour; switch C và D đặt role none. Trên tất cả switch, port0 và port1 phải đúng cổng vật lý nối vào ring.

Kiểm tra:

Switch# show erps

Instance  Ring-ID  Role         Port0      Port1      State           WTR

1            1     rpl-owner    ge1/23     ge1/24     Idle (block)    5min

Khi một link đứt, state chuyển Protection, cổng RPL mở block và lưu lượng đổi hướng. Khi link phục hồi, state vào Pending chờ hết WTR rồi trở lại Idle và block lại RPL.

EAPS – ring legacy vẫn dùng được

Switch(config)# vlan database

Switch(config-vlan)# vlan 4080 name EAPS-CTRL

Switch(config-vlan)# exit

Switch(config)# eaps domain 1

Switch(config-eaps-1)# mode master

Switch(config-eaps-1)# primary-port ge1/23

Switch(config-eaps-1)# secondary-port ge1/24

Switch(config-eaps-1)# control-vlan 4080

Switch(config-eaps-1)# protected-vlans add 10,20,30

Switch(config-eaps-1)# exit

Switch(config)# eaps domain 1 enable

Một switch đặt mode master, các switch còn lại đặt mode transit. EAPS phù hợp khi cần tích hợp với thiết bị ring đời cũ không hỗ trợ ERPS G.8032.

DLDP và Loop Detection — hai lớp bảo vệ bổ sung

DLDP phát hiện link một chiều — tình huống một hướng cáp đứt trong khi hướng kia vẫn còn, có thể đánh lừa STP và EAPS:

Switch(config)# dldp enable

Switch(config)# interface ge1/23

Switch(config-ge1/23)# dldp port

Switch(config-ge1/23)# dldp aggressive

Loop Detection là lưới an toàn khi STP bị tắt hoặc lỗi: switch tự sinh frame, nếu nhận lại frame của chính mình thì có loop và tự shutdown cổng:

Switch(config)# loop-detection enable

Switch(config)# loop-detection recover auto

Switch(config)# interface ge1/5

Switch(config-ge1/5)# loop-detection port

Nên bật Loop Detection song song với MSTP trên các access port end-user để bắt nhanh trường hợp người dùng cắm hai đầu cáp vào cùng switch.

Xử lý sự cố

Chẩn đoán nhanh khi nghi loop:

Switch# show spanning-tree

Switch# show interface counters errors

Switch# show mac address-table | count

Switch# show logging | include spanning

Khi mạng chậm hoặc đứng, nghi loop đầu tiên: tìm cổng có nhiều topology change trong show spanning-tree — đó thường là cổng có cáp lỏng hoặc loop chập chờn.

Bảy thực hành chống loop

☐ Bật MSTP global trên mọi switch ngay từ đầu

☐ Đặt portfast và bpduguard trên mọi cổng đầu cuối

☐ Đặt rootguard trên cổng hướng xuống switch con

☐ Với ring, dùng ERPS thay vì phụ thuộc STP

☐ Bật Loop Detection song song MSTP trên access port

☐ Đặt root bridge cụ thể bằng priority thấp trên core, không để switch ngẫu nhiên làm root

☐ Kiểm tra topology định kỳ bằng show spanning-tree để đảm bảo root đúng thiết bị dự định

Lưu ý khi triển khai chống loop cho hệ thống camera Ikegawa

Switch GTWave tương thích với mọi hệ thống camera chuẩn Ethernet. Phần dưới là lưu ý riêng khi kết hợp với camera Ikegawa — nếu bạn đang dùng hãng camera khác, các bước cấu hình chống loop phía trên vẫn áp dụng hoàn toàn.

Bật portfast và bpduguard trên toàn bộ cổng camera

Camera Ikegawa là thiết bị đầu cuối, không bao giờ phát BPDU. Bật portfast để camera lên link tức thì sau khi cấp nguồn PoE thay vì chờ 30 giây qua các giai đoạn STP – quan trọng cho hệ thống camera cần hình ảnh ngay sau khi khởi động. Bật bpduguard để phát hiện ngay nếu có switch lạ được cắm vào cổng camera.

Dùng ERPS cho ring camera ngoài trời

Hệ thống camera ngoài trời thường triển khai theo ring để tiết kiệm cáp và có dự phòng đường truyền. ERPS phục hồi dưới 50ms giúp hệ thống camera tiếp tục ghi hình và giám sát gần như không gián đoạn khi một đoạn cáp bị đứt – quan trọng hơn nhiều so với EAPS (50-300ms) hay STP (1-3 giây) trong môi trường an ninh.

Kết hợp ERPS với PoE dự phòng

Trên switch GTWave công nghiệp có nguồn kép V1/V2, khi kết hợp với ERPS ring: cả đường truyền lẫn nguồn điện đều có dự phòng. Camera Ikegawa ngoài trời trong ring được bảo vệ kép – mất cáp thì ERPS chuyển hướng, mất nguồn V1 thì V2 tiếp quản.

Bật Loop Detection trên cổng camera để bắt cáp cắm nhầm

Kỹ thuật viên thi công đôi khi cắm nhầm hai đầu cáp vào cùng switch tạo loop. Loop Detection phát hiện và shutdown cổng ngay lập tức, ngăn broadcast storm trước khi ảnh hưởng đến toàn bộ hệ thống camera.

Câu hỏi thường gặp

MSTP, RSTP và STP khác nhau thế nào, nên chọn cái nào?

STP phục hồi 30-50 giây, RSTP 1-3 giây, MSTP 1-3 giây nhưng hỗ trợ nhiều instance để cân tải theo VLAN. Với switch GTWave trong dự án thực tế, dùng MSTP là lựa chọn mặc định phù hợp nhất cho topology mesh có nhiều VLAN.

ERPS và EAPS khác nhau thế nào?

ERPS theo chuẩn ITU-T G.8032, phục hồi dưới 50ms và là lựa chọn khuyến nghị cho ring production. EAPS là giao thức proprietary, phục hồi 50-300ms, phù hợp khi cần tương thích với thiết bị ring đời cũ không hỗ trợ ERPS.

Tại sao phải bật portfast cho cổng camera?

Camera là thiết bị đầu cuối không phát BPDU. Không bật portfast, camera phải chờ 30 giây qua các giai đoạn STP mới lên link — gây mất hình sau mỗi lần restart. Portfast bỏ qua giai đoạn này, camera lên link ngay lập tức.

bpduguard và rootguard khác nhau thế nào?

bpduguard shutdown cổng ngay khi nhận BPDU — dùng cho cổng đầu cuối không được phép nhận BPDU. rootguard ngăn switch bên dưới chiếm vai trò root bridge — dùng cho cổng hướng xuống switch con trong topology có nhiều switch.

Mạng đột ngột chậm hoặc đứng thì nghi loop đầu tiên không?

Có. Broadcast storm do loop là nguyên nhân phổ biến nhất gây sập mạng đột ngột. Dấu hiệu nhận biết: CPU switch tăng đột biến lên 100%, đèn LED cổng nhấp nháy cực nhanh trên nhiều switch cùng lúc. Chạy show spanning-tree để tìm cổng có nhiều topology change.

ERPS kẹt ở trạng thái Pending thì xử lý thế nào?

Pending là trạng thái chờ hết timer WTR (mặc định 5 phút) sau khi link phục hồi trước khi ring trở lại trạng thái Idle bình thường. Nếu kẹt quá lâu, kiểm tra WTR timer có đang chạy không và fail-period có quá nhỏ không.

Bài viết kỹ thuật liên quan:

• Cấu hình Link Aggregation LACP trên switch GTWave
• Cấu hình PoE và Intelligent PoE Self-Recovery
• Giám sát và quản trị SNMP, RMON, LLDP, Syslog

Trường Sơn Solutions là nhà phân phối ủy quyền GTWave tại Việt Nam, hỗ trợ tư vấn thiết kế ring camera ngoài trời và cung cấp switch GTWave Industrial kèm hồ sơ CO/CQ cho dự án đầu tư công. Liên hệ để được hỗ trợ.

• Điện thoại: 0909 490 007
• Email: info@truongsonsolutions.com