环路事故现场处置顺序是什么
环路事故的处置原则是：先记录后动手、先隔离再分析。隔离通常用关闭疑似端口或临时拔线，目的是立刻把带宽和 CPU 抢回来；但动手之前必须把现场数据留下来，否则定位根因的线索会随重启或拓扑收敛一起消失，事故就只能下次再复现。
基本信息
| 第一步 | 保存现场：日志、命令输出、MAC 表快照 |
|---|---|
| 第二步 | 隔离：关闭疑似环路端口（优先非关键口） |
| 第三步 | 验证：业务恢复、CPU 与广播速率回落 |
| 第四步 | 定位：对照时间线与端口计数找根因 |
| 第五步 | 恢复：修复接线或配置后逐段恢复并观察 |
| 注意点 | 隔离会中断该口业务，关键口操作前与业务方确认 |
典型使用场景
- 整层网络变慢或中断，怀疑存在二层环路
- 交换机 CPU 利用率异常升高，控制面被洪泛打满
- 私接设备成环后的应急处置
- 事故复盘：用留存的现场数据还原事件时间线
现场数据采集顺序
现场数据采集顺序
# 隔离前：保存 MAC 表、接口计数、CPU 利用率
display mac-address # MAC 表快照
display interface | include rate # 端口速率与广播计数
display cpu-usage # CPU 利用率
display logbuffer | include STP # 生成树与拓扑日志
# 隔离后：记录动作时间与恢复指标
# 复盘：三份数据对齐时间线隔离前后的观测项
| 阶段 | 观测项 | 预期变化 |
|---|---|---|
| 隔离前 | 端口广播计数增量 | 异常端口明显高于其他口 |
| 隔离前 | MAC 表规模与分布 | 某端口学习量远超正常值 |
| 隔离后 | 整层带宽占用 | 迅速回落至正常水平 |
| 隔离后 | CPU 利用率 | 从高位回到基线 |
| 恢复阶段 | 逐段启用后的指标 | 无反弹说明环源已消除 |
隔离操作会中断该口业务，关键口操作前与业务方确认顺序；优先选择影响面小的端口先隔离，再逐段推进。
不存证据直接重启设备会把定位线索清掉：MAC 表清空、日志缓冲被覆盖，故障原因无法确认，同类事故大概率重复发生。