协议报文冲击 CPU 怎么查
设备 CPU 被协议报文打高时，先看 CPU 防攻击（底层即 CP-CAR）的统计：哪一类协议报文被限速丢弃最多，往往就是攻击面或配置错误的协议。华为/H3C 的功能名都叫 CPU 防攻击（cpu-defend），思科叫 CoPP（control-plane policy-map）。排查顺序是先定位泛洪源，再谈阈值调整。
基本信息
| 适用设备 | 三厂通用（华为 VRP / H3C Comware / 思科 IOS） |
|---|---|
| 华为命令 | display cpu-defend statistics all、display cpu-defend configuration、display cpu-usage task |
| 思科命令 | show policy-map control-plane、show processes cpu sorted |
| H3C 命令 | display cpu-defend statistics all、display cpu-defend policy、display cpu-usage |
| 常见元凶 | 接入层环路、私接设备、协议配置错误引起的泛洪 |
| 处置原则 | 先定位泛洪源，再评估限速阈值 |
典型使用场景
- CPU 使用率异常升高，需要判断是哪个协议在刷
- 怀疑攻击或泛洪时观察丢弃计数的增长趋势
- 环路引发的 STP/ARP 协议报文泛洪定位
- 上联链路抖动导致的协议重收敛风暴
- 调整防攻击策略前后做效果对比
华为 VRP
华为 VRP
display cpu-usage # 先看整体占用
display cpu-usage task # 看是哪个任务在吃 CPU
display cpu-defend statistics all # 各协议上送与丢弃计数
display cpu-defend configuration # 当前的限速策略
display interface | include error # 结合接口错包定位泛洪来源思科 IOS
思科 IOS
show processes cpu sorted # 按占用排序找热点进程
show policy-map control-plane # CoPP 各类流量的策略
show policy-map interface control-plane # 命中与丢弃计数
show interfaces | include error|dropsH3C Comware
H3C Comware
display cpu-usage
display cpu-usage task
display cpu-defend statistics all
display cpu-defend policy
display interface | include error排查顺序
| 步骤 | 看什么 | 判断要点 |
|---|---|---|
| 看整体占用 | display cpu-usage 或 show processes cpu sorted | 确认是哪类任务占用最高 |
| 看协议丢弃 | cpu-defend statistics 或 CoPP 统计 | 丢弃集中在哪个协议即为线索 |
| 定位泛洪源 | 接口计数、MAC 表、STP 状态 | 找出接入点或环路位置 |
| 应急处置 | 隔离端口、抑制风暴 | 先止损，再谈策略调整 |
| 复盘评估 | 记录与阈值评估 | 决定是否需要调整防攻击策略 |
不要第一时间调大限速阈值：被限速的协议往往正是被攻击或被泛洪的入口，调大只是让更多报文进入 CPU。先定位泛洪源，再评估阈值是否需要调整。
区分影响面：防攻击与 CoPP 丢弃的是上送 CPU 的报文，转发流量不一定受影响。判断业务是否受损要看转发路径与接口计数，不能只看丢弃计数就判断业务中断。