1. 从“邻居”和“门牌号”说起网络管理的两个基本功刚入行做网络运维那会儿我最怕的就是网络出问题。交换机上指示灯闪成一片用户电话一个接一个你站在机柜前面对着一堆黑盒子那种感觉就像进了个完全陌生的迷宫根本不知道从哪下手。后来我的师傅教了我两个“法宝”他说只要把这两个命令用熟了至少一半的网络“玄学”问题你都能找到头绪。这两个命令就是display lldp neighbor和display mac-address。听起来是不是有点技术别怕我给你打个比方。咱们可以把整个网络想象成一个大型的住宅小区。display lldp neighbor就像是小区的“物业登记簿”上面清清楚楚地写着1号楼101的隔壁是102对门是201。它告诉你你的这台交换机比如1号楼101都直接和哪些“邻居”设备比如另一台交换机、路由器或者IP电话手拉手连在一起。而display mac-address呢它就像是每家每户的“精确门牌号和住户登记表”。光知道隔壁是102还不够你得知道102里住的是张三还是李四他们的身份证号MAC地址是什么。这张表记录了小区里每一个设备住户的“身份证号”MAC地址以及它具体是从哪个单元的哪个门交换机端口进来的。所以当你发现“张三家的网断了”某个终端上不了网你该查哪个你先得用“物业登记簿”display lldp neighbor确认从你家到张三家的整条楼道物理链路和中间设备是不是通的、连接对不对。然后你得用“住户登记表”display mac-address去查张三的“身份证号”MAC地址到底被记录在了哪个端口上是不是被记错了门或者压根就没登记上。这两个命令一个管“拓扑”一个管“寻址”合起来就构成了网络故障排查最基础、也最核心的“地图”和“花名册”。接下来我就带你深入它们的“五脏六腑”看看它们是怎么工作的以及在实际工作中怎么用它们解决真问题。2. 探秘邻居发现display lldp neighbor 如何绘制网络“联络图”2.1 LLDP协议设备间的“自我介绍”小纸条要理解display lldp neighbor首先得弄明白LLDP协议本身。你可以把LLDP想象成网络设备之间一种礼貌的、周期性的“打招呼”和“交换名片”行为。它不像有些复杂的路由协议需要建立深厚的“友谊”会话它就是一种简单的广播“嗨邻居你好我是谁我从哪个口子来的我能干嘛。”这个“打招呼”遵循一个国际标准就是IEEE 802.1AB。协议规定每个支持LLDP的设备都会定期默认一般是30秒从它所有激活的端口向外发送一个特殊的数据包叫做LLDPDU。这个数据包里打包了关于这台设备的一堆“名片信息”我挑几个最常用的给你说说系统名称 (System Name)就是设备的主机名比如Core-Switch-01。端口ID (Port ID)发送这个“名片”的具体是哪个端口比如GigabitEthernet 0/0/1。系统描述 (System Description)设备的详细型号和软件版本像Huawei S6720 Switch, Software Version V200R019C10。系统能力 (System Capabilities)这台设备是干嘛的是交换机Switch、路由器Router、电话Telephone还是接入点AP这里会标明。管理地址 (Management Address)这个非常关键告诉你用什么IP地址能管理这台邻居设备。当一台设备的端口收到邻居发来的LLDPDU“名片”后它并不会原样转发而是会非常仔细地把这张“名片”上的信息整理好存到自己本地的一个小本本里这个本本就叫做LLDP邻居表。每张“名片”都有个“保鲜期”老化时间默认是120秒。如果一直能收到某个邻居的定期问候这张邻居信息就会一直被刷新、保持有效。如果超过“保鲜期”没再收到问候设备就会认为这个邻居可能“失联”了从而把这条记录从本本上删除。2.2 命令执行一键调阅“邻居花名册”现在你就能完全理解display lldp neighbor这个命令在干什么了。它根本不是在实时地、主动地去探测邻居。当你敲下回车的那一刻设备所做的唯一一件事就是去翻看它自己内部那个已经记录好的“小本本”——LLDP邻居表——然后把本本上的内容以一种清晰易读的格式呈现给你看。我们来看一个真实的输出例子以华为设备为例[SW-A] display lldp neighbor brief -------------------------------------------------------------------------------- Local Interface Exptime(s) Neighbor Device ID Neighbor Interface -------------------------------------------------------------------------------- GE0/0/1 107 SW-B GE0/0/24 GE0/0/2 98 Router-GW GE0/0/1 GE0/0/3 112 AP-Conference-Room eth0 --------------------------------------------------------------------------------这张简表信息量巨大Local Interface (本地接口)我自己设备SW-A的端口。Neighbor Device ID (邻居设备ID)通常就是邻居的系统名称一眼就知道对面是谁。Neighbor Interface (邻居接口)邻居设备是用哪个口跟我连的。Exptime(s) (剩余存活时间)这条记录还有多少秒“保鲜期”正在倒计时。只要不断收到问候这个数字就会在107左右波动。如果你需要更详细的信息可以使用display lldp neighbor interface GigabitEthernet 0/0/1来查看某个特定端口邻居的完整“名片”内容包括管理地址、设备型号等所有细节。2.3 实战应用不止于“看看谁在旁边”明白了原理我们来看看在实际网络管理中这个命令能帮你解决哪些具体问题。场景一快速绘制网络拓扑草图。这是LLDP最经典的应用。你新接手一个机房没有文档线缆杂乱。你只需要从核心交换机开始执行display lldp neighbor brief你就能知道它下面直接连着哪几台汇聚交换机。然后你登录到这些汇聚交换机上再执行同样的命令就能知道它们下面又连着哪些接入交换机。像爬树一样很快你就能画出一张准确的物理连接拓扑图比一根根去捋线缆快太多了。场景二排查物理连接错误。用户报障说连不上网你登录到他所在的接入交换机用display lldp neighbor一看发现连接用户电脑的端口比如GE0/0/5显示的邻居设备居然是另一台交换机而不是预期的用户电脑。这说明什么很可能这个端口接错了插到了级联网线上。或者应该连接服务器的端口邻居信息却显示是一台IP电话。这种“张冠李戴”的连接错误用LLDP一眼就能识破。场景三定位环路或异常设备。如果你在某个端口上看到两个不同的邻居设备信息在快速变化虽然不常见或者发现一个下行接入端口显示的邻居设备类型是“路由器”或“核心交换机”这都可能暗示着网络中存在意外的环路或错误的级联。LLDP信息为你提供了最直接的链路层视角。我踩过的一个坑是有一次扩容新上架了一台交换机配置好后业务不通。查了半天路由、VLAN都没问题。最后用display lldp neighbor一看新交换机连到核心的端口邻居信息里核心交换机的接口编号和规划的不一致。原来是施工人员把两根光纤跳线插反了端口。如果没有LLDP这个“物业登记簿”这种物理层的错误排查起来会非常耗时。3. 解码地址学习display mac-address 如何构建交换“导航仪”3.1 MAC地址学习交换机的“耳听为实”如果说LLDP是设备主动的“自我介绍”那么MAC地址的学习过程就是交换机被动的“耳听为实”。交换机最核心的工作是在数据链路层二层基于MAC地址进行数据帧的转发。它怎么知道该把数据发给哪个口呢全靠自学。这个过程非常朴素初始状态交换机的MAC地址表是空的。帧到达假设一台电脑MAC地址为AAAA-BBBB-CCCC连接在交换机的GE0/0/1端口上它发送了一个数据帧。这个帧进入交换机时交换机会查看帧的源MAC地址字段。记录在案交换机立刻学会一件事“MAC地址AAAA-BBBB-CCCC是从我本机的GE0/0/1端口来的。” 于是它把这条MAC地址 - 端口的对应关系写入自己的MAC地址表中并给它一个“保鲜期”老化时间通常300秒。转发决策同时交换机会查看帧的目的MAC地址。如果目的MAC是FFFF-FFFF-FFFF广播则向除接收口外的所有端口转发泛洪。如果是一个单播地址比如DDDD-EEEE-FFFF交换机就去查表。如果表里有记录就从对应端口转发出去精准投递如果表里没有就像广播一样泛洪出去让目标设备自己回应。通过这种“听源MAC定转发口”的方式交换机在几分钟内就能学习到网络中所有活跃设备的MAC地址位置构建出一张动态的“地址-端口”映射表。3.2 命令解析透视交换机的“内存地图”display mac-address命令就是让你查看交换机这份动态学习的“内存地图”。它的输出直接反映了当前网络中的设备连接态势。我们看一个更详细的输出示例[SW] display mac-address MAC address table of slot 0: ------------------------------------------------------------------------------- MAC Address VLAN/ PEVLAN CEVLAN Port Type LSP/LSR-ID VSI/SI MAC-Tunnel ------------------------------------------------------------------------------- aaaa-bbbb-cc01 10 - - GE0/0/1 dynamic 0/- dddd-eeee-ff02 10 - - GE0/0/2 dynamic 0/- 1234-5678-90ab 20 - - GE0/0/3 dynamic 0/- ffff-eeee-dddd 10 - - GE0/0/24 dynamic 0/- ------------------------------------------------------------------------------- Total matching items on slot 0 displayed 4我们来解读几个关键列MAC Address终端设备的“身份证号”。通常前6位是厂商标识。VLAN这个MAC地址属于哪个VLAN。这是二层隔离的关键不同VLAN的MAC地址即使在同一台交换机上也互不可见。Port最核心的信息指出这个MAC地址是从哪个物理端口学习到的。Type地址类型。最常见的是dynamic动态学习还有static静态绑定管理员手工配置优先级最高、security端口安全学习、blackhole丢弃特定MAC的流量等。这张表是交换机进行二层转发的唯一依据。当它需要转发一个数据帧时就会拿帧的目的MAC地址来这张表里做“查表操作”找到对应的端口然后送出去。3.3 高级特性与表项管理MAC地址表不仅仅是 passively 学习我们还可以主动管理它以实现更精细的控制。静态MAC地址绑定这是最常用的安全和管理手段。通过命令mac-address static aaaa-bbbb-cc01 vlan 10 interface gigabitethernet 0/0/1你可以手工添加一条静态表项。这意味着无论是否真的从这个端口收到该源MAC的帧交换机都强制认为aaaa-bbbb-cc01在GE0/0/1上。这可以防止MAC地址欺骗攻击或者确保关键服务器如DHCP服务器的MAC地址不被篡改或漂移。MAC地址漂移检测一个MAC地址在很短时间内在两个不同端口被学习到这就发生了“漂移”。通常这意味着网络中存在环路或者发生了ARP欺骗等攻击。display mac-address flapping命令可以帮助你发现这类问题。端口安全 (Port-Security)你可以限制一个端口最多能学习多少个MAC地址。比如在接入用户的端口上设置为1那么该端口只允许一台设备接入多接的设备其MAC地址无法被学习也就无法通信。这常用于防止非法Hub或交换机接入。3.4 实战应用从“找不到人”到“抓出内鬼”场景一定位终端设备物理位置。这是最频繁的应用。安全部门说IP为192.168.1.100的电脑在发送异常流量需要立刻找到它并断网。你首先通过ARP表找到它的MAC地址比如aaaa-bbbb-cc01然后登录核心交换机执行display mac-address | include aaaa-bbbb-cc01。输出显示它在VLAN 10端口GE0/0/1上。你立刻知道这台设备连接在核心交换机GE0/0/1口。如果GE0/0/1下联的是一台接入交换机你再登录那台接入交换机重复上述查表过程最终能精确定位到具体办公室的哪一个墙面网络端口。这个过程就像快递分拣根据地址MAC一层层找到最终的派送员交换机端口。场景二排查网络环路。网络突然变慢甚至瘫痪CPU利用率飙升。你怀疑有环路。除了看日志快速执行一个display mac-address可能会发现大量MAC地址的表项在频繁变化或者同一个MAC地址对应了多个端口在非堆叠情况下。更典型的是你发现某个下行接入交换机的上联端口学习到了大量本应只存在于接入层以下的MAC地址。这强烈暗示下层网络形成了环路广播风暴导致MAC地址表被刷爆或紊乱。场景三诊断VLAN间通信故障。同一个VLAN内的电脑能互访但访问不了另一个VLAN的服务器。在排查完三层网关配置后别忘了在交换机上display mac-address vlan [服务器所属VLAN]。你需要确认服务器的MAC地址是否已经被交换机正确学习到并且其对应的VLAN信息是否正确。有时候服务器网卡配置了多个IP但MAC地址相同如果VLAN标签没打对也可能导致学习到的表项VLAN ID不对造成通信失败。我曾经处理过一个棘手的间歇性断网问题。部分用户每隔几十分钟就丢一次包。用display mac-address长时间观察发现其中一个用户终端的MAC地址偶尔会从正确的端口GE0/0/15漂移到另一个闲置端口GE0/0/23上。这显然不正常。顺藤摸瓜最终发现是GE0/0/23端口连接的线路在走廊天花板里有一段破损与GE0/0/15的线路产生了偶发性的串扰导致交换机错误学习。没有MAC地址表的动态观察这种物理层隐性故障极难定位。4. 双剑合璧综合应用解决复杂网络问题单独使用display lldp neighbor和display mac-address已经很强大了但当你把它们结合起来就像同时拥有了“网络拓扑图”和“设备定位仪”能解决更复杂的综合性问题。4.1 典型排障流程一次完整的“破案”经历假设这样一个场景财务部的一台重要打印机IP已知假设我们通过ARP查询到其MAC为5489-98b1-0fc2突然无法被网络访问。第一步宏观定位确定故障域。你登录到财务部所在的接入交换机假设为SW-Access。首先执行display mac-address | include 5489-98b1-0fc2。如果这里能查到并且端口正确比如GE0/0/10那么问题可能出在打印机本身、该端口配置如端口被禁用、VLAN错误或上联链路。如果在这里根本查不到这个MAC地址说明流量根本没到达这台交换机问题可能出在更上游。第二步拓扑追溯验证路径。假设在SW-Access上查到了该MAC在GE0/0/10。为了确认整条路径的连通性你执行display lldp neighbor interface gigabitethernet 0/0/10。理想情况下这里应该显示邻居设备就是那台打印机并且能看到打印机的设备名称或型号。如果这里显示“没有LLDP邻居信息”那么有两种可能1) 打印机不支持或不启用LLDP2) 中间接了一个不支持LLDP的小型家用交换机或Hub这是违规的但可能存在。这时你需要去现场确认GE0/0/10端口直接连接的到底是什么。第三步上游验证缩小范围。接下来你需要检查SW-Access的上行链路。执行display lldp neighbor brief找到它的上联端口比如GE0/0/24邻居是SW-Core。然后登录到核心交换机SW-Core。 在SW-Core上再次执行display mac-address | include 5489-98b1-0fc2。如果核心交换机上也学习到了这个MAC地址并且端口对应着连接SW-Access的那个端口比如GE0/0/5这说明二层转发路径从打印机到核心都是通的问题可能出在三层路由、网关或防火墙策略上。如果核心交换机上学不到这个MAC而SW-Access上能学到那问题很可能就出在SW-Access的上行端口配置比如这个端口所在的VLAN没有允许打印机所在VLAN的流量通过Trunk端口允许的VLAN列表问题。第四步对比分析发现异常。在整个排查过程中display lldp neighbor确保了你追查的物理路径是正确的设备A连设备BB连C。而display mac-address则验证了数据帧是否真的沿着这条路径被正确传递和记录。两者信息相互印证。如果LLDP显示链路正常但MAC地址表里没有对应学习项往往意味着存在ACL过滤、端口安全限制或者VLAN修剪等阻止了数据帧通过。如果MAC地址表里有项但LLDP信息异常比如邻居设备类型不符则提示可能存在物理连接错误或设备配置错误。4.2 自动化与监控的基石在实际的大型网络运维中我们很少会手动一台台登录设备去敲这些命令。display lldp neighbor和display mac-address的输出是网络自动化脚本和监控系统最重要的数据来源之一。通过SNMP或NETCONF/YANG等自动化协议网管系统可以定期从全网设备采集LLDP邻居信息和MAC地址表。基于这些数据系统能够自动生成并更新网络拓扑图远比手工维护的准确、实时。监控网络变化任何一条链路的断开、一个新设备的接入产生新的LLDP邻居和MAC表项监控系统都能立即告警。进行合规性检查自动检查是否所有关键链路的两端设备描述、VLAN配置都符合规范从LLDP信息中提取。追踪恶意设备当发现一个可疑的MAC地址如攻击源可以利用采集到的全网MAC地址表快速反向追踪这个设备具体连接在哪台交换机的哪个端口上实现快速封堵。所以说这两个命令不仅是工程师手动排障的工具更是构建智能网络运维体系的底层数据支柱。理解它们就是理解了网络二层通信和拓扑发现的精髓。下次当你再面对网络问题时不妨先静下心来用这两个命令好好看看你的网络“地图”和“花名册”很多答案就藏在里面。