为什么必须防双主
堆叠分裂后会出现两份并发的控制面：重复的桥 MAC、双网关与潜在环路同时出现，业务表现为随机不通与广播异常。防双主是堆叠设计的前提条件而不是可选的加固项，事后补配的代价远高于在方案阶段一并设计。
基本信息
| 双管理面 | 两侧各自管理设备，配置互不可见 |
|---|---|
| 双网关 | 网关冗余机制可能各自为政 |
| 环路风险 | 跨框链路断裂后路径变化成环 |
| 业务表现 | 随机不通、广播异常、表项反复冲突 |
| 恶化速度 | 环路形成后资源消耗可能在分钟级放大 |
后果链
后果链
分裂发生
↓
检测触发（MAD / 双活检测）
↓
抑制一侧业务端口
↓
单侧承载业务 → 抢修 → 合并恢复
# 缺少任一环：环路 / 双网关 / 表项冲突分裂后果与处置
| 现象 | 根因 | 处置 |
|---|---|---|
| 双管理面 | 两侧互相看不到对方 | 检测到分裂后抑制一侧 |
| 双网关 | 网关冗余各自为政 | 抑制动作配合网关侧保护 |
| 环路 | 路径变化后形成环 | 恢复单主后再排查环源 |
| 表项冲突 | MAC 与 ARP 表被反复覆盖 | 合并前先确认单侧稳定 |
| 业务随机不通 | 上述因素的综合结果 | 按检测→抑制→合并的顺序处理 |
为什么会快速放大
环路一旦形成，广播流量会快速放大：同一帧在环内反复复制，链路利用率在几十秒内就可能接近饱和，业务恶化速度远快于常规故障。规模越大，影响面越大，也越难在关闭检测前收集到有效证据。这正是防双主必须在设计阶段落地、而不是出问题之后再补的原因。
没有防双主的堆叠，一次分裂事件就相当于一次隐蔽事故：它可能不会立刻表现为全网中断，但资源与表项已经在两侧反复冲突。等用户报障时，现场信息往往已经丢失大半，排障成本成倍上升。