别再死记硬背了！用Wireshark抓包实战，5分钟搞懂STP的BPDU报文选举过程
用Wireshark透视STP选举：从BPDU报文到根桥诞生的全流程解析
在真实的网络环境中，生成树协议（STP）就像一位无形的交通指挥官，默默协调着交换机之间的数据流向。但教科书上那些关于桥ID、根路径开销的抽象描述，总让人感觉隔着一层迷雾。今天我们将用Wireshark这把"手术刀"，直接解剖BPDU报文，看看选举过程中的每一个关键字段如何发挥作用。
1. 实验环境搭建与基础准备
搭建实验环境是观察STP行为的第一步。推荐使用EVE-NG或GNS3这类网络模拟平台，它们能完美复现真实交换机的STP行为。我通常会在拓扑中放置3-4台交换机，形成至少两个明显的环路——这是观察STP如何"破环"的最佳场景。
必备工具清单：
- Wireshark 3.6+（新版对STP解析更完善）
- Cisco IOSv或vIOS-L2镜像（其他厂商镜像也可）
- 支持端口镜像的虚拟交换机
配置时的常见误区是忘记开启STP功能。在Cisco设备上需要用spanning-tree mode rapid-pvst命令（根据需求选择STP类型），华为设备则是stp enable。我曾经就遇到过抓不到BPDU的情况，后来发现是模拟器中默认关闭了STP功能。
2. BPDU报文结构深度解读
启动Wireshark抓包后，在过滤栏输入stp即可筛出所有BPDU报文。一个典型的配置BPDU包含以下关键字段：
| 字段名 | 字节位置 | 实际值示例 | 选举中的作用 |
|---|---|---|---|
| Protocol ID | 0-1 | 0x0000 | 固定值，标识STP协议 |
| Version ID | 2 | 0x00 | STP版本标识 |
| BPDU Type | 3 | 0x00 | 0x00为配置BPDU |
| Flags | 4 | 0x00 | TC/TCA标志位 |
| Root Bridge ID | 5-12 | 32768.00:00:00:00:00:01 | 当前网络中的根桥标识 |
| Root Path Cost | 13-16 | 0 | 到根桥的累计开销 |
| Bridge ID | 17-24 | 32768.00:00:00:00:00:02 | 发送者自身的桥ID |
| Port ID | 25-26 | 0x8001 | 发送端口的标识符 |
| Message Age | 27-28 | 0x0001 | BPDU存活时间 |
| Max Age | 29-30 | 0x1400 | 最大存活时间(20s) |
| Hello Time | 31-32 | 0x0200 | Hello间隔(2s) |
| Forward Delay | 33-34 | 0x0f00 | 转发延迟(15s) |
在分析报文时，要特别注意字节序问题。Wireshark已经帮我们做了转换，但如果你用其他工具解析原始数据，会发现Root Path Cost等字段是以网络字节序（大端）存储的。
3. 根桥选举的报文证据链
当网络初始化时，所有交换机都会宣称自己是根桥（Root Bridge ID = 自身Bridge ID）。通过Wireshark的时间轴功能，可以清晰观察到选举过程：
初始阶段（0-2秒）：
- 每台交换机发送BPDU，其中Root Bridge ID字段填写自己的桥ID
- 示例：SW1发送
Root Bridge ID = 32768.00:00:00:00:00:01
信息传播阶段（2-4秒）：
- 交换机开始比较收到的BPDU中的Root Bridge ID
- 在Wireshark中可以看到某些交换机停止发送自己的BPDU，转而转发更优的BPDU
收敛完成（约30秒后）：
- 所有BPDU中的Root Bridge ID统一为最优值
- 非根桥只转发根桥的BPDU
关键过滤技巧：
stp.type == 0x00 && stp.root.priority < 32768 // 筛选特定优先级的BPDU stp.flags.tc == 1 // 筛选拓扑变更通知我曾遇到一个有趣的案例：某台交换机的BPDU中Root Bridge ID与Bridge ID不一致，但Message Age异常大。这其实是上游交换机故障后，下游交换机还未收敛的表现。通过对比多个端口的抓包结果，最终定位到是中间链路存在单向连通问题。
4. 端口角色决定的关键字段
根端口和指定端口的选举依据三个核心参数，它们的比较顺序至关重要：
最低的Root Path Cost：
- 在Wireshark中对应"Root Path Cost"字段
- 计算公式：
累计Cost = 上游Cost + 本地接口Cost - 查看接口Cost值：
show spanning-tree detail（Cisco）
最小的发送者Bridge ID：
- 包含优先级和MAC地址（Wireshark解析为"Designated Bridge"）
- 优先级修改方法：
spanning-tree vlan 1 priority 4096
最小的Port ID：
- 由端口优先级（默认128）和端口号组成
- 在BPDU中表现为两个字节，如0x8003表示优先级128，端口号3
当遇到选举结果与预期不符时，建议按以下步骤排查：
# Cisco设备检查命令 show spanning-tree root show spanning-tree bridge show spanning-tree interface gig0/1 detail5. 拓扑变更的报文观察
网络拓扑变化时，STP会通过两种特殊BPDU处理：
TCN BPDU（Topology Change Notification）：
- 类型字段为0x80
- 由检测到变化的交换机向上游发送
- 在Wireshark中过滤：
stp.type == 0x80
TCA标志位（Topology Change Acknowledgment）：
- 配置BPDU中的Flags字段第二位
- 根桥收到TCN后设置此位回应
一个完整的拓扑变更过程通常持续约30秒，在Wireshark中可以看到：
- 初始TCN BPDU
- 带有TCA标志的配置BPDU
- 后续带有TC标志的配置BPDU（通知全网刷新MAC表）
6. 实战案例：异常场景分析
案例一：根桥摇摆问题在某次网络改造后，抓包发现Root Bridge ID频繁变化。通过Wireshark统计功能发现：
- 两台交换机的BPDU交替出现
- 检查Bridge ID发现两者优先级相同
- 最终通过修改优先级解决：
spanning-tree vlan 1 priority 0
案例二：端口无法进入转发状态一个接入端口持续阻塞，抓包显示：
- 收到BPDU中的Message Age接近Max Age
- 进一步排查发现是中间接口误配为access模式
- 修正为trunk后恢复正常
这些真实案例说明，单纯看配置往往难以定位问题，而BPDU报文却不会说谎。建议养成定期抓包分析的习惯，特别是在网络变更前后。