ATC3000系統網絡故障分析與研討

摘 ?要：民航珠海進近管制中心ATC3000自動化系統網絡異常降級。通過故障調查和網絡結構研究，結合STP、VLAN、MPLS VPN協議在系統中的應用，調查結果為中南寬帶網MPLS L2 VPN未配置VLAN導致深圳ADS-B網絡的生成樹協議BPDU廣播到ATC3000網絡。發生根橋震蕩，重新收斂生成新的樹拓撲，此時因ATC3000交換機過度級聯發生了網絡環路，造成網絡風暴，系統降級。

關鍵詞：生成樹;根橋;VLAN

中圖分類號：TN929.5;TP393.1 ? ? ?文獻標識碼：A 文章編號：2096-4706（2020）15-0067-03

Abstract：The network of ATC3000 automation system in Zhuhai Approach Control Center of CAAC was degraded abnormally. Through fault investigation and network structure research，combined with the application of STP，VLAN and MPLS VPN protocol in the system，the investigation results show that MPLS L2 VPN of Central South broadband network is not configured with VLAN，which causes the spanning tree protocol BPDU of ADS-B network in Shenzhen to broadcast to ATC3000 network. The root bridge oscillates and converges to generate a new tree topology. At this time，due to the excessive cascade of ATC3000 switches，network loops occur，resulting in network storm and system degradation.

Keywords：generation tree;root bridge;VLAN

0 ?引 ?言

民航珠海進近管制中心ATC3000自動化系統與深圳空管站、珠海空管站采用三地聯網模式，主要處理雷達融合、飛行計劃處理、告警計算、雷達目標顯示等。某日ATC3000系統出現異常網絡故障，進近所有席位終端處于黃色降級模式，珠海空管站所有終端顯示紅色離線模式，但深圳空管站終端正常。本文通過網絡結構研究、故障調查，結合傳輸系統配置分析，確定故障主要原因為傳輸系統配置不合理導致ATC3000系統發生網絡風暴，系統降級。根據調查報告，對ATC3000系統結構及傳輸配置進行整改，排除ATC3000系統故障隱患。

1 ?網絡結構

ATC3000自動化系統共3條工作網絡（A網、B網、C網），其中A網、B網為主工作網絡，A網、B網在系統核心交換機和三地的席位終端接入層交換機端均采用Trunk相互級聯，席位終端網卡采用Bond模式。聯網模式如圖1所示。

珠海進近與深圳和珠海兩個空管站之間均為A網、B網級連，C網獨立。當三地聯網的A網、B網出現異常時，三地設備均會工作于自己的C網降級模式下。珠海進近的監控終端（CMD）可監控到三地所有終端的連接狀態，其中深圳空管站和珠海空管站的終端僅能通過A網、B網看到，其本地旁路服務器未加入珠海進近的監控界面，只在本地獨立監控。

2 ?網絡故障

某日珠海進近ATC3000備用自動化系統出現網絡異常時，監控終端顯示珠海進近所有席位終端處于黃色降級模式，珠海空管站所有終端顯示紅色離線模式、但深圳空管站所有終端均為藍色正常模式。

排查時發現珠海進近側A、B網的根橋為A網交換機，而與珠海進近B網連接的深圳側的交換機設備（簡稱交換機Z）在珠海側不可見。交換機Z為珠海進近B網經中南寬帶網（簡稱寬帶網）傳輸至深圳后的落地交換機，該交換機后連接至深圳終端室機房的ATC3000 B網交換機。而后排查發現交換機Z的網絡根橋并非珠海進近A網交換機，而是MAC地址為28b4.****.7940的交換機設備。

用另一臺交換機更換交換機Z，網絡故障依舊。隨后斷開交換機Z與寬帶網的網線連接后，網絡生成樹根橋變成本機，MAC地址為28b4.****.7940的交換機消失，由此判斷問題來自寬帶網，于是對寬帶網所接入的業務進行排查。使用Wireshark軟件對網絡封包進行分析，發現了STP數據包來源為MAC地址為488e.****.dc50的設備。在寬帶網交換機查找該設備的來源，確定該MAC地址端口為中南高速網的G1/0/*，該端口連接深圳ADS-B系統防火墻，檢查確認28b4.****.7940為ADS-B系統的交換機。暫時將ADS-B防火墻與寬帶網保持斷開，備用自動化網絡恢復正常，所有業務恢復。

3 ?故障分析

通過故障排查發現兩個問題：一是ATC3000自動化網絡交換機、寬帶網交換機均未劃分獨立的VLAN ID;二是STP生成樹結構在多層交換機trunk級聯時有環路風險。

3.1 ?VLAN問題分析

虛擬局域網（Virtual Local Area Network，VLAN）就是將一個局域網在邏輯上隔離成若干個相互獨立的廣播域，在二層設備中若干個同一系統業務的端口劃分到同一個VLAN。每個VLAN分配不同VLAN ID號，配置不同的VLAN IP地址，VLAN可通過與三層交換機或者路由器與外部網絡相連。如果二層設備未劃分VLAN，某端口發出廣播信息時會把廣播數據發送至所有的端口。如果交換機沒有配置VLAN，缺省狀態所有端口均默認為VLAN1。思科和華為交換機都存在的缺省VLAN，且不可刪除。

寬帶網交換機上采用MPLS VPN技術，配置了不同的VPLS標簽用于二層MPLS VPN通道的建立，但沒有配置不同的VLAN ID來隔離不同的業務。MPLS VPN是多協議標簽交換（Multi-Protocol Label Switching，MPLS）與虛擬專用網絡（Virtual Private Network，VPN）結合的技術。MPLS VPN技術簡單地說，就是兩端用戶設備建立VPN點對點虛擬專用通道網絡，用MPLS標簽交換技術實現數據通信。MPLS VPN又分為MPLS L2VPN和L3VPN技術，寬帶網絡采用的是基于MPLS L2VPN的VPLS技術，從用戶側看，可以把整個MPLS網絡看成一個二層交換設備。寬帶網路由器作為PE路由器，配置了二層MPLS VPN通道，不同的業務利用不同的二層標簽進行數據交換。MPLS網絡就像二層交換機，如果沒有劃分VLAN，所有二層端口均默認為相同的VLAN1，也就是所有二層業務端口都處于同一個廣播域中。

因為高速寬帶網沒有配置VLAN，所以業務端口都為相同默認的VLAN1，從而造成網絡風暴。當寬帶網交換機上的二層MPLS VPN透傳通道中斷時，透傳通道所承載業務的私網網橋協議數據單元（Bridge Protocol Data Unit，BPDU）會廣播到寬帶網交換機上同一廣播域的所有其他端口，進入其他二層MPLS VPN透傳業務的私網中。

ADS-B系統MAC地址為28b4.****.7940的設備是一臺華為交換機，也存在VLAN1。同時ADS-B系統防火墻并未屏蔽生成樹協議的BPDU數據包，所以MAC地址為28b4.****.7940的華為交換機的BPDU數據包被轉發到了深圳端的ATC3000自動化網絡。由于該交換機在生成樹協議中的優先級是0，為最高優先級，而深圳端自動化網絡的交換機未手動配置生成樹根橋，所以該華為交換機被自動選舉為生成樹根橋。因此ATC3000自動化網絡內存在這臺ADS-B交換機和進近A網核心交換機兩個根橋，當ADS-B網絡拓撲發生變化時，兩個根橋各自重新收斂，導致ATC3000網絡根橋發生震蕩改變。當寬帶網交換機上的二層MPLS VPN透傳通道正常時，雖然私網設備的報文不會廣播給其他業務，但卻無法隔離其他私網設備廣播的數據鏈路層報文。在傳輸網絡對二層MPLS VPN業務劃分不同VLAN ID，隔離成相互獨立的廣播域，避免不同業務網絡之間互相干擾，修改系統界面如圖2所示。

3.2 ?STP生成樹結構和交換機級聯問題探討

STP（Spanning Tree Protocol），它的主要作用是防止局域網絡形成環路，從而引發網絡風暴。STP的基本原理是通過在交換機之間傳遞一種特殊的協議報文——BPDU來確定網絡的拓撲結構。珠海進近ATC3000 A、B網采用RSTP快速生成樹協議，其比STP協議具備更快的網絡收斂速度，在主用鏈路故障時可以更快地更新網絡拓撲結構并啟用備用鏈路。

STP的基本思想就是按照樹的結構構造網絡的拓撲結構，樹的根是一個稱為根橋的橋設備，根橋的確立是由交換機或網橋的BID（Bridge ID）確定的，BID最小的設備成為二層網絡中的根橋。BID是由網橋優先級和MAC地址構成。由根橋開始，逐級形成一棵樹，根橋定時發送配置BPDU，非根橋接收配置BPDU，刷新最佳BPDU并轉發。新接入的設備也會發送BPDU，如果該設備的BID比當前根橋大，相鄰設備會向新接入的設備發送自己存儲的最佳BPDU，以告知其當前網絡中的根橋;如果相鄰設備接收到的BPDU更優，將會重新計算生成樹拓撲。如果網絡拓撲發生變化，也將重新生成樹拓撲。

STP生成樹的作用就是當網絡拓撲發生變化時能快速更新并切換至備份鏈路，但是當備份鏈路級聯程度過高就會容易發生網絡環路。珠海進近、深圳空管站、珠海空管站三地的A、B網交換機均對A、B雙網卡進行綁定，配置Trunk相互級聯，備份程度很高。ATC3000系統A、B網絡的根橋是進近機房的A網核心交換機。在此案例中，高速寬帶網因未配置VLAN造成深圳ADS-B網絡的生成樹協議BPDU進入到ATC3000網絡。ADS-B交換機又因優先級最高被深圳ATC3000選為根橋，從而發生同一網絡存在兩個根橋的情況。當ADS-B網絡拓撲發生改變，兩個根橋震蕩，各自重新收斂生成新的樹拓撲，此時因交換機過度級聯發生了網絡環路，從而引起A、B網同時發生網絡風暴。適當簡化ATC3000 A、B網交換機級聯線路，三地均由兩條級聯線更改為一條級聯線，既保證鏈路冗余，又減少網絡環路風險。整改后的系統拓撲圖如圖3所示。

4 ?結 ?論

通過對ATC3000系統的故障調查和網絡結構分析，結合ATC3000與傳輸系統配置的相關協議研究，總結珠海進近ATC3000系統網絡故障原因為中南寬帶網接入業務網因VPN協議配置問題導致各業務在數據鏈路層聯通，引起自動化系統A、B網絡根橋震蕩，導致自動化系統降級到C網運行。通過對系統網絡架構和中南寬帶網配置整改，系統隱患得以解決。

參考文獻：

[1] 姜鵬，黃宇軍.ATC3000自動化系統網絡架構缺陷的分析與優化 [J].中國新通信，2017，19（13）：43-44.

[2] 楊華.STP在網絡配置中的規劃 [J].網絡安全和信息化，2018（12）：58-60.

[3] 沈宇超.第二層和第三層MPLS VPN [J].中國數據通信，2002（6）：30-32.

[4] 卞琛，于興艷，修位蓉，等.基于MPLS VPN技術的網絡監控系統分析與設計 [J].信息網絡安全，2015（5）：28-33.

[5] 紀弘.MPLS VPN在CMNET-GD的應用 [J].廣東通信技術，2006（3）：30-33+48.

[6] 吳福龍，趙家定.利用有線電視HFC網建設城市監控報警系統 [J].中國有線電視，2007（17）：1596-1599.

[7] 滕旻厲.BGP/MPLS VPN的實現技術 [J].中國數據通信，2004（6）：100-103.

作者簡介：陳云（1986.11—），男，漢族，浙江舟山人，主任工程師，本科，研究方向：通信、甚高頻、UPS。