二层关键帧怎么判读
二层问题最终都要落到具体帧上。BPDU 反映生成树的根桥与端口角色，拓扑变化位被置起说明刚发生过震荡；ARP 帧能验证地址解析与冲突；LLDP 用于核对物理接线与邻居关系；DHCP 与免费 ARP 帧能验证广播路径是否通。抓包时先按协议过滤、再看字段与时间戳，逐帧读完再下结论。
基本信息
| BPDU | 目的 MAC 01:80:c2:00:00:00，携带根桥 ID、路径开销、标志位 |
|---|---|
| ARP | 请求为广播、应答为单播，可核对源 MAC 与目标地址匹配 |
| LLDP | 目的 MAC 01:80:c2:00:00:0e，携带系统名与端口标识 |
| DHCP | 发现阶段广播，可验证广播域连通性 |
| 滤镜写法 | Wireshark 中按 stp、arp、lldp、bootp 等协议名过滤 |
典型使用场景
- STP 震荡时抓 BPDU 确认根桥是否被顶替、是否持续收到拓扑变化
- 排查地址冲突时比对 ARP 帧中的 IP 与源 MAC 对应关系
- 接线与台账不符时用 LLDP 邻居信息核对实际连接关系
- 终端拿不到地址时看 Discover 是否发出、是否到达服务器方向
- 判断是否存在伪造网关时观察免费 ARP 的发送源
抓包与判读要点
抓包与判读要点
# Wireshark 显示过滤示例
stp # BPDU 帧，看根桥 ID 与 flags
arp # 地址解析，看 source 与 sender IP
lldp # 邻居信息，核对实际接线
dhcp || bootp # 地址获取过程
# 抓包点选择：镜像目标口，或设备自身的捕获功能
display mac-address | include 0180 # 侧面对照：哪些端口学到 BPDU 源帧类型判读表
| 协议帧 | 关键字段 | 判读用途 |
|---|---|---|
| BPDU | 根桥 ID、路径开销、TC 标志 | 判断拓扑与是否持续震荡 |
| ARP | 发送方 IP 与源 MAC | 定位地址冲突与伪造网关 |
| LLDP | 系统名、端口标识 | 核对实际接线与台账差异 |
| DHCP | Discover 与 Offer 的收发方向 | 验证广播路径是否连通 |
把 BPDU 丢失直接当作 STP 震荡的唯一原因容易走偏，物理层误码同样会造成协议报文中断，判读时结合接口 CRC 与错误计数一起看。
镜像抓包看不到异常帧不一定代表没有问题：先用观察端口计数与抓包统计确认镜像未丢包，否则结论不成立。