【EVE-NG流量洞察】7、STP-编程阁

推荐阅读：

1、EVE-NG 2TB全网最新最全镜像下载地址（保持更新）：

https://www.emulatedlab.com/thread-939-1-1.html

2、EVE-NG 2025全网最新最全资源大全（保持更新）：

https://www.emulatedlab.com/thread-2262-1-1.html

3、EVE-NG 国代答疑频道（免费公开访问）：

https://pd.qq.com/s/8d1hglslz

1 纯BPF过滤表达式分析STP常见网络故障

STP（生成树协议）是防止网络环路的关键协议。以下是使用纯BPF表达式分析STP/RSTP/MSTP常见网络故障的完整指南：

1.1一、STP帧结构参考（BPF偏移计算）

1.1.1基础帧格式：

0-5: 目的MAC (01:80:C2:00:00:00 - STP组播地址) 6-11: 源MAC (桥MAC) 12-13: 长度字段 (LLC帧) 或 Ethertype (0x0026为802.1Q STP) 14-15: LLC DSAP (0x42) 和 SSAP (0x42) 16: LLC控制字段 (0x03) 17-...: STP BPDU数据

1.1.2BPDU关键字段偏移（从以太网头部开始）：

17-18: 协议标识符 (0x0000) 19: 协议版本 (STP=0, RSTP=2, MSTP=3) 20: BPDU类型 (配置=0x00, TCN=0x80, RSTP/MST=0x02) 21: 标志位 22-29: 根桥ID (8字节) 30-33: 根路径开销 (4字节) 34-41: 桥ID (发送者ID，8字节) 42-43: 端口ID (2字节) 44-45: 消息年龄 (2字节) 46-47: 最大年龄 (2字节) 48-49: Hello时间 (2字节) 50-51: 转发延迟 (2字节)

1.2二、基础STP捕获表达式

# 1. 捕获所有STP帧（标准组播地址） ether dst 01:80:c2:00:00:00 # 2. 更精确的STP捕获（LLC封装） ether dst 01:80:c2:00:00:00 and ether[14:2] == 0x4242 and ether[16] == 0x03 # 3. 捕获802.1Q封装的STP ether[12:2] == 0x8100 and ether[16:2] == 0x4242 and ether[18] == 0x03 # 4. 捕获TCN BPDU（拓扑变更通知） ether dst 01:80:c2:00:00:00 and ether[20] == 0x80 # 5. 捕获配置BPDU ether dst 01:80:c2:00:00:00 and ether[20] == 0x00

1.3三、STP/RSTP/MSTP版本区分

# 1. 捕获STP (802.1D) ether dst 01:80:c2:00:00:00 and ether[19] == 0x00 # 2. 捕获RSTP (802.1w) ether dst 01:80:c2:00:00:00 and ether[19] == 0x02 # 3. 捕获MSTP (802.1s) ether dst 01:80:c2:00:00:00 and ether[19] == 0x03 # 4. 捕获RSTP/MSTP BPDU（类型2） ether dst 01:80:c2:00:00:00 and ether[20] == 0x02

1.4四、STP标志位分析（字节21）

1.4.1标志位定义：

Bit 0 (0x01): TC标志（拓扑变更）
Bit 1 (0x02): TCA标志（拓扑变更确认）
Bit 2 (0x04): 保留
Bit 3 (0x08): 保留
Bit 4 (0x10): 保留
Bit 5 (0x20): 保留
Bit 6 (0x40): 保留
Bit 7 (0x80): 保留

# 1. 检查TC标志设置 ether dst 01:80:c2:00:00:00 and (ether[21] & 0x01) == 0x01 # 2. 检查TCA标志设置 ether dst 01:80:c2:00:00:00 and (ether[21] & 0x02) == 0x02 # 3. 捕获同时设置TC和TCA的BPDU（异常） ether dst 01:80:c2:00:00:00 and (ether[21] & 0x03) == 0x03

1.5五、RSTP标志位分析（字节21）

1.5.1RSTP标志位：

Bit 0 (0x01): TC标志
Bit 1 (0x02): 提议标志
Bit 2 (0x04): 端口角色 (0=未知/备选, 1=根)
Bit 3 (0x08): 端口角色 (0=指定, 1=备份)
Bit 4 (0x10): 学习标志
Bit 5 (0x20): 转发标志
Bit 6 (0x40): 协议类型 (0=STP, 1=RSTP)
Bit 7 (0x80): TC确认标志

# 1. 检查RSTP端口角色 # 根端口: 位2=1, 位3=0 ether dst 01:80:c2:00:00:00 and ether[19] == 0x02 and (ether[21] & 0x0C) == 0x04 # 2. 检查指定端口: 位2=0, 位3=0 ether dst 01:80:c2:00:00:00 and ether[19] == 0x02 and (ether[21] & 0x0C) == 0x00 # 3. 检查学习状态 ether dst 01:80:c2:00:00:00 and ether[19] == 0x02 and (ether[21] & 0x10) == 0x10 # 4. 检查转发状态 ether dst 01:80:c2:00:00:00 and ether[19] == 0x02 and (ether[21] & 0x20) == 0x20 # 5. 检查RSTP协议类型标志 ether dst 01:80:c2:00:00:00 and ether[19] == 0x02 and (ether[21] & 0x40) == 0x40

1.6六、根桥选举相关故障

1.6.11. 根桥ID检查（8字节结构）：

字节22-23: 优先级 (2字节) 字节24-29: MAC地址 (6字节)

# 捕获特定根桥ID（优先级32768，MAC 00:11:22:33:44:55） ether dst 01:80:c2:00:00:00 and ether[22:2] == 0x8000 and ether[24:6] == 00:11:22:33:44:55 # 捕获优先级为0的根桥（可能是配置错误） ether dst 01:80:c2:00:00:00 and ether[22:2] == 0x0000 # 捕获优先级超出范围（正常0-61440） ether dst 01:80:c2:00:00:00 and ether[22:2] > 0xf000

1.6.22. 检测多个根桥（冲突）：

# 捕获桥ID与根桥ID相同的BPDU（声明自己是根桥） ether dst 01:80:c2:00:00:00 and ether[22:8] == ether[34:8] # 捕获非根桥发送的BPDU中根桥ID不是自己的 ether dst 01:80:c2:00:00:00 and ether[22:8] != ether[34:8]

1.7七、路径开销和计时器故障

1.7.11. 根路径开销检查（4字节）：

# 捕获路径开销为0（直接连接到根桥） ether dst 01:80:c2:00:00:00 and ether[30:4] == 0x00000000 # 捕获异常高的路径开销 ether dst 01:80:c2:00:00:00 and ether[30:4] > 0x000186a0 # >100,000 # 捕获路径开销不匹配（比较不同端口的BPDU） # 需要比较多个报文，BPF难以直接实现

1.7.22. 计时器检查：

# 1. 检查消息年龄超过最大年龄（BPDU过期） ether dst 01:80:c2:00:00:00 and ether[44:2] > ether[46:2] # 2. 检查Hello时间为0（可能导致震荡） ether dst 01:80:c2:00:00:00 and ether[48:2] == 0x0000 # 3. 检查转发延迟为0 ether dst 01:80:c2:00:00:00 and ether[50:2] == 0x0000 # 4. 检查计时器值异常（默认：Hello=2，MaxAge=20，FwdDelay=15） ether dst 01:80:c2:00:00:00 and ( ether[48:2] < 0x0001 or # Hello < 1秒 ether[48:2] > 0x000a or # Hello > 10秒 ether[46:2] < 0x0006 or # MaxAge < 6秒 ether[50:2] < 0x0004 # FwdDelay < 4秒 )

1.8八、端口相关故障

1.8.11. 端口ID检查（2字节结构）：

高4位：端口优先级（0-240，步长16）
低12位：端口号（1-4095）

# 捕获特定端口ID ether dst 01:80:c2:00:00:00 and ether[42:2] == 0x8001 # 优先级128，端口1 # 捕获端口优先级为0 ether dst 01:80:c2:00:00:00 and (ether[42:2] & 0xf000) == 0x0000 # 捕获端口号为0（无效） ether dst 01:80:c2:00:00:00 and (ether[42:2] & 0x0fff) == 0x0000 # 捕获端口号超出范围 ether dst 01:80:c2:00:00:00 and (ether[42:2] & 0x0fff) > 0x0fff

1.8.22. 端口状态监控：

# RSTP：通过标志位检查端口状态 # 端口被阻塞（非学习非转发） ether dst 01:80:c2:00:00:00 and ether[19] == 0x02 and \ (ether[21] & 0x30) == 0x00 # 端口在学习状态但未转发 ether dst 01:80:c2:00:00:00 and ether[19] == 0x02 and \ (ether[21] & 0x30) == 0x10 # 端口在转发状态 ether dst 01:80:c2:00:00:00 and ether[19] == 0x02 and \ (ether[21] & 0x30) == 0x30

1.9九、常见STP故障分析表达式

1.9.1故障1: 根桥震荡

# 捕获频繁的TC标志设置（拓扑变更） ether dst 01:80:c2:00:00:00 and (ether[21] & 0x01) == 0x01 | \ tcpdump -c 10 -ttt | awk '{if(NR>1) print $1-last; last=$1}' | \ grep -E "^[0-2]\.|^[0-9]\." # 监控TCN BPDU频率（正常应很少） timeout 60 tcpdump -c 20 "ether[20] == 0x80" | wc -l

1.9.2故障2: 最大年龄超时

# 捕获消息年龄接近或超过最大年龄 ether dst 01:80:c2:00:00:00 and \ ether[44:2] > 0x0012 and ether[44:2] < ether[46:2] # 捕获消息年龄等于最大年龄（即将过期） ether dst 01:80:c2:00:00:00 and \ ether[44:2] == ether[46:2]

1.9.3故障3: 单向链路故障

# 检查是否只收到BPDU但无法发送（需要双向监控） # 以下表达式捕获可能的问题迹象： ether dst 01:80:c2:00:00:00 and ether[44:2] == 0x0000 | \ tcpdump -c 5 -e | grep -c "01:80:c2:00:00:00"

1.9.4故障4: BPDU保护失效

# 捕获非预期端口的BPDU（如接入端口） # 需要知道预期端口，这里捕获所有非指定源MAC的BPDU not ether[6:6] = 00:11:22:33:44:55 and \ ether dst 01:80:c2:00:00:00

1.9.5故障5: 环路检测

# 捕获同一桥发送相同根桥ID但不同路径开销的BPDU # 这需要比较同一源MAC的多个BPDU，BPF难以直接实现 # 但可以捕获快速连续的BPDU ether dst 01:80:c2:00:00:00 | \ tcpdump -c 10 -ttt | awk 'NR>1{print $1-last; last=$1}' | \ grep "^0\."

1.10十、PVST+（Cisco Per-VLAN STP）分析

1.10.1PVST+使用不同的组播地址：

普通VLAN: 01-00-0C-CC-CC-CD
VLAN 1: 01-00-0C-CC-CC-CD（与普通相同）
其他VLAN: 01-00-0C-CC-CC-CD + VLAN ID

# 1. 捕获所有PVST+帧 ether dst 01:00:0C:CC:CC:CD # 2. 捕获特定VLAN的PVST+ ether dst 01:00:0C:CC:CC:CD and ether[12:2] == 0x8100 and ether[14:2] == 0x000a # 3. 区分PVST+和普通STP (ether dst 01:80:c2:00:00:00 or ether dst 01:00:0C:CC:CC:CD)

1.10.2PVST+ BPDU格式略有不同：

# PVST+在标准BPDU后有额外字段 ether dst 01:00:0C:CC:CC:CD and ether[14] == 0x01 # PVID TLV类型 # 检查PVST+的VLAN信息（偏移可能变化） ether dst 01:00:0C:CC:CC:CD and ether[52:2] == 0x0001 # VLAN 1

1.11十一、MSTP（多生成树协议）分析

1.11.1MSTP特定字段检查：

# 1. 确认MSTP BPDU ether dst 01:80:c2:00:00:00 and ether[19] == 0x03 and ether[20] == 0x02 # 2. 检查MSTP配置标识（CIST Root Identifier之后） # CIST外部根路径开销在偏移52开始 ether dst 01:80:c2:00:00:00 and ether[19] == 0x03 and ether[52:4] > 0x00000000 # 3. 检查MST实例数 ether dst 01:80:c2:00:00:00 and ether[19] == 0x03 and ether[60] > 0x00

1.12十二、组合故障诊断表达式

1.12.1综合STP健康检查：

# 捕获所有可能的STP问题 ether dst 01:80:c2:00:00:00 and ( # BPDU类型异常 ether[20] != 0x00 and ether[20] != 0x80 and ether[20] != 0x02 or # 协议版本异常 ether[19] > 0x03 or # 计时器异常 ether[48:2] == 0x0000 or # Hello时间为0 ether[46:2] == 0x0000 or # MaxAge为0 ether[50:2] == 0x0000 or # FwdDelay为0 ether[44:2] > ether[46:2] or # 消息年龄超时 # 端口ID异常 (ether[42:2] & 0x0fff) == 0x0000 or # 端口号为0 # 桥ID异常（优先级为0） (ether[34:2] & 0xf000) == 0x0000 )

1.12.2严重故障过滤器：

# 严重故障：可能导致环路的条件 ether dst 01:80:c2:00:00:00 and ( # 根桥声明冲突 ether[22:8] == ether[34:8] and ether[22:2] != 0x8000 or # BPDU过期且仍在转发 ether[44:2] >= ether[46:2] and ether[19] == 0x02 and \ (ether[21] & 0x20) == 0x20 or # 计时器严重异常 ether[48:2] > 0x001e or # Hello > 30秒 ether[46:2] < 0x0006 # MaxAge < 6秒 )

1.12.3性能问题过滤器：

# 可能影响网络性能的问题 ether dst 01:80:c2:00:00:00 and ( # 频繁的拓扑变更 (ether[21] & 0x01) == 0x01 and ether[19] == 0x00 or # RSTP端口状态频繁变化 ether[19] == 0x02 and ether[44:2] < 0x0003 # 新BPDU ) | tcpdump -c 20 -ttt | awk '{print $1}' | tail -n 5

1.13十三、实时监控脚本（BPF基础）

1.13.1STP报文统计脚本：

#!/bin/bash # STP协议监控脚本 INTERFACE=$1 DURATION=300 # 监控5分钟 echo "STP协议监控 - 接口: $INTERFACE" echo "开始时间: $(date)" echo "==================================" # 捕获并分析STP流量 tcpdump -i $INTERFACE -c 1000 \ "(ether dst 01:80:c2:00:00:00 or ether dst 01:00:0C:CC:CC:CD)" \ -ttt 2>/dev/null | \ awk ' BEGIN { total=0; tcn=0; config=0; rstp=0; mstp=0; tc_count=0; last_time=0; interval_sum=0; interval_count=0; } /^[0-9]/ { total++; # 解析时间戳和包内容 if (index($0, "01:80:c2:00:00:00") > 0) { # 检查BPDU类型（简化分析） if (index($0, "TCN")) tcn++; else if (index($0, "RSTP")) rstp++; else if (index($0, "MSTP")) mstp++; else config++; # 检查TC标志 if (index($0, "TC") > 0) tc_count++; # 计算间隔 if (last_time > 0) { interval = $1 - last_time; interval_sum += interval; interval_count++; } last_time = $1; } } END { print "统计结果:"; print "总BPDU数: " total; print "配置BPDU: " config; print "TCN BPDU: " tcn; print "RSTP BPDU: " rstp; print "MSTP BPDU: " mstp; print "带TC标志的BPDU: " tc_count; if (interval_count > 0) { print "平均BPDU间隔: " (interval_sum/interval_count) "秒"; } if (tc_count > total * 0.1) { print "警告: TC标志过多，可能存在拓扑震荡"; } }'

1.13.2BPF捕获保存分析：

# 保存STP故障相关报文 tcpdump -i any -w stp_issues.pcap \ "(ether dst 01:80:c2:00:00:00 or ether dst 01:00:0C:CC:CC:CD)" and \ "(ether[20] == 0x80 or # TCN BPDU ether[44:2] > 0x0012 or # 消息年龄较大 (ether[21] & 0x01) == 0x01 or # TC标志设置 ether[48:2] == 0x0000)" # Hello时间为0

1.14十四、特定故障场景诊断

1.14.1场景1: STP震荡检测

# 监控TC标志变化频率 watch -n 1 'tcpdump -i eth0 -c 10 \ "ether dst 01:80:c2:00:00:00 and (ether[21] & 0x01) == 0x01" \ 2>/dev/null | wc -l'

1.14.2场景2: 根桥切换监控

# 监控根桥ID变化 tcpdump -i eth0 -l "ether dst 01:80:c2:00:00:00" | \ awk ' BEGIN {last_root=""} { # 提取根桥ID（简化处理） if (match($0, /Root ([0-9a-f:]+)/, arr)) { if (last_root == "") last_root = arr[1]; else if (arr[1] != last_root) { print "根桥切换: " last_root " -> " arr[1]; last_root = arr[1]; } } }'

1.14.3场景3: BPDU保护测试

# 测试端口是否丢弃非法BPDU # 发送测试BPDU到接入端口 macof -i eth0 -d 01:80:c2:00:00:00 & # 监控是否收到响应 timeout 5 tcpdump -i eth1 "ether dst 01:80:c2:00:00:00" | wc -l

1.15十五、与LLDP/CDP的交互检查

1.15.1同时监控邻居发现协议：

# 捕获LLDP和STP，检查邻居信息一致性 ether dst 01:80:c2:00:00:00 or \ ether dst 01:80:c2:00:00:0e or \ # LLDP组播 ether dst 01:00:0C:CC:CC:CC # CDP组播

1.16十六、实用故障排除命令

# 1. 基本STP捕获 sudo tcpdump -i eth0 -c 10 -e "ether dst 01:80:c2:00:00:00" # 2. 检查BPDU间隔 sudo tcpdump -i eth0 -ttt "ether dst 01:80:c2:00:00:00" | \ awk 'NR>1{printf "间隔: %.1f秒\n", $1-last; last=$1}' # 3. 监控特定桥的BPDU BRIDGE_MAC="00:11:22:33:44:55" sudo tcpdump -i any -nn "ether[6:6] = $BRIDGE_MAC and ether dst 01:80:c2:00:00:00" # 4. 检查RSTP端口状态 sudo tcpdump -i eth0 -XX "ether[19] == 0x02" | \ grep -o "flags [0-9a-f]\+" | sort | uniq -c # 5. 保存详细分析 sudo tcpdump -i eth0 -s 0 -w stp_analysis.pcap \ "(ether dst 01:80:c2:00:00:00 or ether dst 01:00:0C:CC:CC:CD)"

1.17十七、BPF表达式优化

# 1. 使用预编译过滤器 tcpdump -i eth0 -ddd "ether dst 01:80:c2:00:00:00" > stp_filter.bpf # 2. 组合条件优化 ether[0:6] = 01:80:c2:00:00:00 and ether[14:2] == 0x4242 # 3. 排除非STP流量（提高性能） ether dst 01:80:c2:00:00:00 and not ether src 00:00:00:00:00:00 # 4. 使用掩码检查多个版本 ether dst 01:80:c2:00:00:00 and (ether[19] & 0xfc) == 0x00

1.18十八、常见故障场景与BPF表达式

故障现象	BPF表达式	可能原因
网络环路	`ether[44:2] > ether[46:2]`	BPDU过期，STP失效
根桥频繁切换	监控`ether[22:8]`变化	根桥不稳定或配置错误
端口状态异常	`ether[19]==0x02 and (ether[21]&0x30)==0x00`	RSTP端口被阻塞
BPDU丢失	监控BPDU间隔>2*Hello时间	链路问题或BPDU防护
TCN风暴	`ether[20]==0x80`计数过高	端口频繁up/down

1.19总结

纯BPF表达式分析STP故障的关键点：

识别协议版本：STP(0)、RSTP(2)、MSTP(3)
监控BPDU类型：配置(0x00)、TCN(0x80)、RST/MST(0x02)
检查标志位：TC、TCA、端口角色、学习/转发状态
验证计时器：消息年龄、最大年龄、Hello时间、转发延迟
分析根桥信息：根桥ID、桥ID、路径开销

这些BPF表达式可用于实时监控和故障捕获，帮助快速定位STP相关问题。对于复杂故障，建议结合show spanning-tree等设备命令进行综合分析。