问

网管设备通过ping探活交换机设备，下班时间段出现丢包

1天前提问

0关注
0收藏，74浏览

zhiliao_Tfst3b

zhiliao_Tfst3b 四段

粉丝：0人关注：0人

问题描述：

某局点下班时间段，出现网管设备长ping 交换机设备进行探测时，下班时间段会ping超时导致丢包，探测流量应该是从核心下来再到汇聚，接入，目前核心正常就汇聚和接入偶出现中断现象，导致告警。故障期间，通过交换机底下的PC去ping 接入交换机和汇聚交换机管理地址也出现ping包抖动的现象，严重的时候会丢包。目前在汇聚交换机和核心交换机上通过display stp tc检查并没有发现TC数量改变，同时display logbuffer 检查汇聚交换机没有看到异常日志。

组网及组网描述：

核心-汇聚-接入架构，网关在核心，汇聚和接入相当是透传

4 个回答

按时间按赞数

IT小工

IT小工九段

粉丝：48人关注：2人

务报文走硬件 ASIC 转发，不受影响；ping 交换机管理 IP，ICMP 应答报文需要上送 CPU 处理。下班时段触发某类报文冲击 CPU，CPU 处理能力被挤占，ICMP 应答报文被丢弃，表现 ping 丢包，但是不会打印明显告警日志。常见诱因：

下班大量终端断电，终端下线触发大量 ARP、ND、DHCP 释放报文，泛洪进入管理 VLAN，上送 CPU；
下班摄像头、NVR、IP 电话、门禁等 POE 设备定时重启 / 上下电，产生大量广播、组播报文冲击 CPU；
ICMP‑Flood 防攻击阈值过低，网管的连续 ping 探活报文被防攻击模块误拦截；
存在间歇性二层微环路，短时间广播泛洪，环路持续时间很短，STP 来不及生成 TC、也不会输出环路日志；
管理 VLAN 与业务 VLAN 共用广播域，下班时段组播流量（IGMP）暴涨挤占 CPU；
ARP 表项震荡、存在 IP 地址冲突，日志未记录。

排查步骤（故障发生时段操作）

1、故障发生瞬间采集 CPU、报文统计（最高优先级）

display cpu‑usage                     #看CPU是否冲高，重点观察CPU利用率、任务进程
display cpu‑usage task
display arp all                       #看是否ARP频繁漂移、IP冲突
display mac‑address flapping record   #检查MAC漂移记录，微环路会产生漂移，logbuffer不一定打印日志
display interface brief               #看各个接口广播、组播包瞬时增长
display attack‑defense icmp‑flood statistics ip   #查看ICMP防攻击是否计数上涨，探活ping被误丢弃
display arp anti‑attack statistics    #ARP防攻击统计

重点：故障必须复现时采集，故障消失后统计会被清零，无法定位。

2、确认是否 ICMP 防攻击误杀网管探活报文

如果icmp‑flood统计计数持续上涨，代表网管长 ping 连续报文被设备防攻击拦截，下班网络报文波动更容易触发阈值。

display current‑configuration | include icmp‑flood

处理：调大 ICMP‑flood 阈值，或者将网管源 IP 加入防攻击白名单。

3、排查 POE 终端下班上下电带来广播风暴（场景匹配度高）

下班摄像头、门禁、IP 电话断电 / 重启，大量 ARP 释放、DHCP 释放报文泛洪；业务硬件转发不受影响，但冲击交换机 CPU。

接入端口确认：PC、摄像头等终端口配置为STP 边缘端口 + BPDU 保护；
部署端口广播风暴控制，限制单端口广播报文最大 pps，保护 CPU：

interface GigabitEthernet 1/0/1
 storm‑constraint broadcast pps 200

4、管理 VLAN 优化

当前汇聚接入二层透传，管理 VLAN 和业务 VLAN trunk 透传。

管理 VLAN 尽量不要和业务大广播域共用；
全网开启dhcp snooping，抑制非法 DHCP 报文上送 CPU；
开启arp anti‑attack check，抑制非法 ARP 报文。

5、排查短时间微环路（无 STP‑TC）

私接小路由、测试网线临时自环，环路持续时间短就消失，STP 来不及触发 TC，logbuffer 无告警，但会造成瞬间广播泛洪、CPU 冲高，ping 管理地址抖动。

loopback‑detection global enable
loopback‑detection interval 10

开启环路检测，复现故障看是否输出环路告警。

6、测试区分：业务转发与访问设备 CPU 的差异

故障发生时：

PC 跨 VLAN ping 网关（业务硬件转发）看是否丢包；业务完全正常，进一步确认问题是交换机 CPU 报文处理压力，不是硬件转发故障。
Console 登录故障交换机，本地 ping 自己 VLANIF 管理 IP，观察是否丢包。

暂无评论

zhiliao_Gixe

zhiliao_Gixe 九段

粉丝：19人关注：9人

根据描述，故障发生在下班时间段，且核心正常、汇聚和接入偶发丢包，STP无TC、日志无异常。这通常不是环路或拓扑变化导致，更可能是下班时终端批量关机/休眠引发的流量模型变化，或设备自身资源瓶颈。
排查步骤如下：
1. 确认丢包位置
在核心上长ping汇聚和接入的管理地址，确认是否核心到汇聚就丢，还是仅汇聚以下丢。
在汇聚上ping接入，逐跳定位。
2. 检查CPU/内存
下班时间终端批量下线，ARP表项变化、IGMP离开报文等可能短时冲击CPU。
在汇聚和接入上执行：

display cpu-usage
display memory

重点关注故障时段CPU是否瞬时冲高（历史峰值可通过display cpu-usage history查看）。
3. 检查ARP/ND表项
终端关机导致ARP老化，若网关在核心，汇聚/接入仅透传，影响较小；但若交换机开启了ARP Snooping或DHCP Snooping，表项刷新可能造成瞬时压力。
执行：

display arp count
display mac-address count

观察故障时段表项数量是否剧烈波动。
4. 检查端口队列和丢包统计
下班时可能有批量数据备份、终端同步流量，导致队列拥塞。
在汇聚上联口和接入上联口执行：

display interface | include drop|error|queue
display qos queue-statistics interface outbound

查看输出队列丢包计数是否增长。
5. 检查STP/端口状态
虽然无TC，但确认故障时段端口是否有up/down抖动：

display interface brief | include up|down
display logbuffer reverse | include interface|link

6. 检查供电/环境
下班时间空调关闭或供电切换可能导致设备高温或电压波动，触发保护性降频。
执行：

display environment
display power

7. 抓包分析
在汇聚上联口镜像抓包，看丢包时是否有突发大流量或异常报文（如大量ARP请求、广播风暴）。
若以上均无异常，建议在故障时段对汇聚和接入做一次display diagnostic-information收集，重点看CPU历史峰值、端口队列丢包计数和MAC/ARP表项变化速率。