风暴的判据与排查方向
接入网里的「风暴」指单位时间内广播、组播或未知单播报文的速率量级跃升：端口广播速率冲上千兆或万兆接口带宽的相当比例，同时伴随 MAC 地址表频繁刷新、CPU 收包飙升、终端时通时断。来源高度集中，按接入侧、汇聚侧、配置侧的顺序排查，多数现场几分钟内就能锁定那个接口。
基本信息
| 观测指标 | 端口广播/组播速率、MAC 表震荡、CPU 收包速率 |
|---|---|
| 典型阈值 | 广播速率接近链路带宽，端口利用率长时间打满 |
| 高发位置 | 楼层接入交换机、下挂小交换机的房间口 |
| 常用手段 | 端口速率排序、MAC 地址定位、风暴抑制 |
来源与特征
| 来源 | 特征 | 处置方向 |
|---|---|---|
| 二层环路 | 端口广播速率飙升，MAC 表震荡 | 定位环路端口并隔离 |
| 故障终端 | 单端口小包高频广播 | 关端口换设备验证 |
| STP 被旁路 | 存在冗余链路却无阻塞端口 | 核查 STP 状态与 BPDU 过滤 |
| 扫描或攻击 | 特定源 MAC 高频请求 | 接入侧限制并定位源 |
| 镜像错配 | 镜像口回注形成放大 | 核对镜像源与目的方向 |
定位命令
定位命令
display interface brief # 华为：先看端口状态与利用率总览
display interface GigabitEthernet0/0/1 # 华为：单口速率、广播/组播计数
display mac-address | include 0011-2233 # 华为：该 MAC 出现在哪些端口
show interfaces GigabitEthernet1/0/1 | include broadcast # 思科：广播计数
show mac address-table | include 0011.2233 # 思科：按 MAC 定位端口
show processes cpu sorted # 思科：确认 CPU 是否被收包打高把端口速率排序与 MAC 表变化关联来看通常最快：风暴源端口的广播速率远高于其他口，且同一 MAC 会在极短时间内反复出现在不同端口。
处理前先留下证据：接口速率、广播计数、MAC 表的快照或截图。直接拔线虽然能立刻止跌，但会丢失根因判断依据，问题往往在几天后复发。