华为交换机M-LAG实战：从基础配置到高可用部署

1. 为什么你的网络需要M-LAG？从单点故障说起

大家好，我是老张，在数据中心和园区网里摸爬滚打了十几年，见过太多因为一台核心交换机宕机，导致整个业务停摆的“惨案”。很多时候，我们以为做了链路聚合（Eth-Trunk）就高枕无忧了，但仔细想想，如果聚合链路的两端都在同一台物理交换机上，这台交换机一旦出问题，链路聚合得再漂亮也是白搭。这不就是典型的“把鸡蛋都放在一个篮子里”吗？

为了解决这个“篮子”本身的风险，跨设备链路聚合技术应运而生。你可以把它想象成，把原本连接在同一台交换机上的多条网线，分散连接到两台独立的物理交换机上，但对上游或下游设备（比如服务器、防火墙）来说，它看到的仍然是一个逻辑上的“大交换机”和一条“粗管道”。这样，任何一台物理交换机故障，业务流量都能无缝切换到另一台，实现真正意义上的设备级冗余。华为的M-LAG（Multichassis Link Aggregation Group，跨设备链路聚合组）就是实现这个目标的“利器”。

我最早接触M-LAG是在一个金融客户的容灾数据中心项目里。客户的核心诉求是：业务零中断。传统的堆叠（iStack）或集群（CSS）技术虽然也能实现统一管理，但升级时往往需要整堆重启，存在中断窗口。而M-LAG的最大优势在于，两台成员交换机是独立控制的，可以分别重启、升级，业务流量通过另一台设备正常转发，这简直就是实现“滚动升级”、满足苛刻运维窗口的福音。从那时起，M-LAG就成了我规划高可用网络时的首选方案之一。接下来，我就带你从最基础的概念开始，一步步把它配通、用稳。

2. 动手之前：彻底搞懂M-LAG的“三驾马车”

配置M-LAG，不能光对着命令清单敲代码，理解其核心组件和工作原理，才能在你排错时心里有底。M-LAG的稳定运行，依赖于三个关键部分的协同，我习惯称之为“三驾马车”。

2.1 第一驾马车：Peer-Link链路

这是M-LAG的“生命线”。你可以把它理解为连接两台成员交换机的一条超高速、超高可靠性的内部总线。它的核心作用有两个：

1. 同步控制信息：比如MAC地址表项、ARP表项。当服务器通过M-LAG成员端口发送一个数据包到交换机A，交换机A学习到的MAC地址，需要通过Peer-Link同步给交换机B，这样当回程流量从交换机B过来时，才能正确转发给服务器。
2. 转发部分流量：在某些特殊的流量路径下（比如单播流量在特定VLAN内的转发），数据包可能需要通过Peer-Link在两台设备间绕一下。

这条链路绝对不能断！一旦Peer-Link故障，而双主检测又没生效，两台交换机就会都认为自己是“主设备”，同时向外转发流量，导致网络中出现“双主”冲突，引发广播风暴和MAC地址漂移，这是灾难性的。所以，Peer-Link通常要使用多条万兆或更高速率的物理链路捆绑成Eth-Trunk，并且物理上要走不同的板卡、不同的线路，确保物理层面的高可用。

2.2 第二驾马车：DFS Group（双主检测组）

这是M-LAG的“仲裁官”，专门用来防止上面提到的“双主”脑裂问题。DFS Group通过一条独立的、与Peer-Link物理分离的链路，来检测对端设备是否存活。这条链路称为DAD（Dual-Active Detection）链路。

它的工作原理很像心跳线。两台设备通过DAD链路定期发送检测报文。假设Peer-Link故障，但DAD链路依然通畅：

• 设备A能收到设备B的心跳，就知道对方还活着。这时，两台设备会通过一系列优先级比较（比如比较DFS Group的优先级），选举出一台继续工作，另一台则会主动关闭（Error-Down）自己身上所有的M-LAG成员端口，只保留Peer-Link和DAD链路。这样就避免了双主冲突。
• 如果连DAD链路也断了，那设备就会认为对端彻底宕机，自己将承担所有流量转发。

所以，DAD链路是最后的保险丝。在实际部署时，我强烈建议为DAD链路单独规划一个三层接口，甚至可以绑定到一个独立的VPN实例里，与业务流量完全隔离，确保检测报文绝对可靠。

2.3 第三驾马车：M-LAG成员接口

这就是呈现给服务器或网络设备的“虚拟端口”。对于服务器而言，它用标准的LACP协议（或静态模式）将两块网卡捆绑，分别连接到两台华为交换机上。服务器认为它只是连到了一台交换机的同一个聚合组上。而这两台交换机上对应的物理接口，就构成了一个M-LAG接口对，它们拥有相同的M-LAG ID。

这里有个关键点：M-LAG接口的配置必须严格保持一致，包括链路类型（Access/Trunk）、允许通过的VLAN、PVID等等。任何不一致都可能导致流量中断或环路。我在初期踩过的坑里，十有八九是因为两台设备上某个VLAN没放行，导致业务不通。养成配置后逐条比对的好习惯，能省下大量排错时间。

3. 从零开始：手把手配置一个基础的M-LAG

理论说再多，不如动手配一遍。我们假设一个最典型的场景：两台华为CE系列交换机（SwitchA和SwitchB）组成M-LAG，下连一台需要高可用的服务器。我们按步骤来。

3.1 第一步：基础环境与IP规划

在敲命令前，先把网络规划好。假设管理网段是192.168.1.0/24。

• SwitchA管理IP: 192.168.1.10
• SwitchB管理IP: 192.168.1.11
• DAD链路使用独立网段，比如172.16.1.0/30：
  • SwitchA DAD接口IP: 172.16.1.1/30
  • SwitchB DAD接口IP: 172.16.1.2/30
• Peer-Link使用两个万兆光口（10GE1/0/1和10GE1/0/2）捆绑。
• DAD链路使用一个千兆电口（GE1/0/0）。
• 连接服务器的M-LAG接口为Eth-Trunk 10，使用SwitchA和SwitchB的10GE1/0/3端口。

规划清楚后，登录两台交换机，我们开始配置。

3.2 第二步：配置DAD检测的VPN实例（可选但推荐）

为什么要把DAD流量隔离？因为业务网络的动荡（比如大量广播、路由震荡）不应该影响双主检测这个“裁判系统”。创建一个独立的VPN实例是最干净的做法。两台设备配置必须一致。

# 在SwitchA和SwitchB上分别执行 sysname SwitchA # 或 SwitchB，方便区分 ip vpn-instance M-LAG_DAD ipv4-family route-distinguisher 100:1 vpn-target 100:1 export-extcommunity vpn-target 100:1 import-extcommunity

这段配置创建了一个名为M-LAG_DAD的VPN实例，并设置了RD（路由标识符）和RT（路由目标），保证DAD路由只在实例内传播。

3.3 第三步：配置统一的STP参数

M-LAG两台设备在二层上要表现得像一台设备，所以桥MAC地址必须相同。我们选择两台设备中系统MAC地址较小的那个，通过display bridge mac-address命令查看。

# 假设查得较小的桥MAC是 0000-5e00-0101 stp bridge-address 0000-5e00-0101 stp mode rstp # 推荐使用RSTP，收敛更快 stp tc-protection # 开启TC保护，防止拓扑变化报文冲击 stp bpdu-protection # 开启BPDU保护，防止边缘端口收到BPDU后错误关闭 stp v-stp enable # 开启V-STP，这是M-LAG环境下必须的，用于虚拟化STP计算

注意：stp v-stp enable是华为M-LAG环境下的关键命令，它让两台设备在STP计算中作为一个整体参与。

3.4 第四步：配置DFS Group与DAD链路

现在配置“仲裁官”DFS Group和它的“心跳线”DAD链路。

# 在SwitchA上配置（作为主） dfs-group 1 priority 150 # 配置一个较高的优先级，比如150，使其成为主设备 source ip 172.16.1.1 vpn-instance M-LAG_DAD # 指定源IP，即本端DAD接口IP # 在SwitchB上配置（作为备，保持默认优先级即可，默认是100） dfs-group 1 source ip 172.16.1.2 vpn-instance M-LAG_DAD

接下来，配置承载DAD链路的物理接口。我们使用一个千兆电口，并把它加入Eth-Trunk 1（用于DAD）。

# 在SwitchA上配置 interface Eth-Trunk1 description DAD_LINK undo portswitch # 切换为三层模式 ip binding vpn-instance M-LAG_DAD # 绑定到DAD VPN实例 ip address 172.16.1.1 255.255.255.252 mode lacp-static m-lag unpaired-port reserved # 关键命令！防止Peer-Link故障时此口被Error-Down interface GigabitEthernet1/0/0 description To_SwitchB_DAD eth-trunk 1 # 在SwitchB上做类似配置，IP地址改为172.16.1.2/30

m-lag unpaired-port reserved这个命令非常重要，它确保了即使Peer-Link中断，只要DAD链路正常，这个接口就不会被关闭，双主检测机制依然能工作。

3.5 第五步：配置核心的Peer-Link链路

这是最关键的步骤。我们用两个万兆口捆绑成Eth-Trunk 0作为Peer-Link。

# 在SwitchA上配置 interface Eth-Trunk0 description M-LAG_Peer_Link mode lacp-static peer-link 1 # 将此Eth-Trunk宣告为Peer-Link，ID为1 port vlan exclude 1 # 建议禁止VLAN 1通过，增强安全性 interface 10GE1/0/1 description Peer-Link_Member_1 eth-trunk 0 interface 10GE1/0/2 description Peer-Link_Member_2 eth-trunk 0 # 在SwitchB上做完全相同的配置

务必检查：完成配置后，使用display eth-trunk 0命令查看，确保两端的成员端口状态都是Selected，并且LACP状态是1（正常）。

3.6 第六步：配置面向服务器的M-LAG业务接口

最后，配置连接服务器的接口。服务器侧配置标准的LACP聚合（模式为active）。交换机侧：

# 在SwitchA上配置 interface Eth-Trunk10 description To_Server_MLAG port link-type trunk port trunk allow-pass vlan 10 20 # 根据业务需要放行VLAN，例如VLAN 10和20 mode lacp-static dfs-group 1 # 关联到之前创建的DFS Group 1 m-lag 1 # 配置M-LAG ID为1。这个ID在两端必须一致。 interface 10GE1/0/3 description Server_Port_On_SwitchA eth-trunk 10 # 在SwitchB上做几乎相同的配置，M-LAG ID必须也是1 interface Eth-Trunk10 description To_Server_MLAG port link-type trunk port trunk allow-pass vlan 10 20 # 必须和SwitchA完全一致！ mode lacp-static dfs-group 1 m-lag 1 interface 10GE1/0/3 description Server_Port_On_SwitchB eth-trunk 10

配置完成后，在服务器上启动网络团队（Teaming），你应该能看到两条链路都处于活动（Active）状态。在任意一台交换机上执行display m-lag brief，应该能看到M-LAG组1的状态为Active，并且能看到对端设备的信息。

4. 深入实战：高级特性与排错心法

基础配置能跑通，但要在生产环境用稳，还得掌握一些高级特性和排错技巧。

4.1 M-LAG与三层网关的配合（VLANIF场景）

很多时候，M-LAG交换机不仅要提供二层接入，还要作为用户的默认网关（即三层网关）。这时就需要配置SVI接口（VLANIF）。M-LAG对三层网关的支持是通过“双活网关”实现的，即两台设备上为同一个VLAN配置相同的IP地址。

# 在SwitchA和SwitchB上配置完全相同的VLANIF vlan batch 10 interface Vlanif10 ip address 192.168.10.1 255.255.255.0 # 两台设备配置相同的IP！ vrrp vrid 10 virtual-ip 192.168.10.254 # 可以配合VRRP提供虚拟IP vrrp vrid 10 priority 120 # 在一台设备上配置较高优先级 m-lag system-priority 150 # 在系统视图下配置，影响网关选举

这里有个关键：虽然IP地址相同，但通过M-LAG的机制和VRRP的配合，可以实现流量的负载分担和冗余。客户端以虚拟IP192.168.10.254作为网关，无论访问哪台物理设备，都能得到响应。

4.2 常见的“坑”与排错命令

1. M-LAG状态不为Active：首先检查Peer-Link状态 (display eth-trunk 0)，确保物理链路和协议都UP。然后检查DFS Group状态 (display dfs-group 1)，看双主检测是否正常。最后检查两端M-LAG ID、VLAN配置等是否一致。
2. 服务器链路聚合不起来：检查交换机M-LAG接口的LACP模式是否与服务器匹配（静态或动态）。在交换机上执行display lacp statistics eth-trunk 10查看是否收到服务器的LACP报文。检查服务器网卡驱动和聚合策略是否正确。
3. 部分VLAN不通：这是最高频的问题。使用display vlan仔细比对两台设备上，业务VLAN是否创建，以及是否都允许通过对应的M-LAG Trunk口和Peer-Link（Peer-Link默认允许所有VLAN，除非你用port vlan exclude排除了）。
4. 双主冲突（脑裂）：如果出现MAC地址漂移告警或网络环路，立即检查Peer-Link和DAD链路。使用display m-lag consistency system检查系统参数一致性。最紧急的恢复手段是手动关闭其中一台设备上M-LAG业务接口。

我的排错工具箱：

• display m-lag brief：查看M-LAG摘要状态，第一眼判断健康度。
• display m-lag consistency configuration：逐项检查两端配置一致性，神器。
• display m-lag consistency system：检查系统级参数（如MAC、STP模式）一致性。
• display dfs-group 1：查看双主检测组状态和邻居信息。
• display interface eth-trunk 0：详细查看Peer-Link流量和错误计数。

4.3 升级与维护操作指南

M-LAG的优势在升级维护时最能体现。假设我们要对SwitchA（主设备）进行补丁升级：

1. 预检查：确保所有链路、M-LAG状态正常，备份配置。
2. 引流：在SwitchA上，对需要升级的业务接口组（比如某个Eth-Trunk）执行m-lag lacp priority 65535命令。这会提高其LACP优先级，诱导服务器将流量更多地通过SwitchB转发。观察服务器链路状态和业务是否平稳。
3. 升级：此时SwitchA上业务流量已很少，可安全进行重启或升级操作。
4. 回切与恢复：SwitchA升级并启动完成后，M-LAG会自动重新建立。等待状态稳定后，在SwitchA上执行m-lag lacp priority revert恢复默认优先级，流量会逐渐均衡回来。
5. 同理升级SwitchB。

这个过程可以实现业务“零感知”的升级，对于需要7x24小时运行的核心系统至关重要。

5. 从实验室到生产：部署案例与设计建议

最后，分享两个我经历过的典型部署场景，希望能给你带来更直观的设计思路。

场景一：虚拟化服务器高可用接入这是一个云平台项目，要求数十台VMware ESXi主机必须双上联，且要求链路利用率高、故障切换快。我们为每两台核心交换机配置一个M-LAG组，所有ESXi主机的两块网卡分别上联到这两台核心。在vSphere中配置基于IP哈希的负载均衡。这样一来，任意一台核心交换机故障、任意一条链路故障、甚至任意一块服务器网卡故障，业务都自动切换，vMotion过程也不会中断。这里的关键是确保交换机的M-LAG接口模式与vSphere的负载均衡算法匹配，并做好MTU（巨型帧）的统一配置。

场景二：园区网核心-汇聚双层M-LAG在大型园区，我们采用了双层M-LAG设计。接入交换机双归到两台汇聚交换机，这两台汇聚交换机之间跑M-LAG。同时，这两台汇聚交换机又作为“客户端”，双归到两台核心交换机（它们之间也跑M-LAG）。这样就形成了一个全冗余的倒三角型结构。这种设计的挑战在于避免环路和优化广播泛洪。我们采取了以下措施：在接入与汇聚、汇聚与核心之间全部启用M-LAG，利用其天然的防环能力；精心规划STP的根桥位置，通常将核心设为根；严格控制广播域范围。

给你的几点设计建议：

• 链路带宽规划：Peer-Link的带宽容量应不低于任意一个M-LAG成员接口组的带宽总和，以防流量迂回时拥塞。
• DAD链路独立：无论如何，给DAD链路用独立的物理接口和IP网段，这是保障仲裁系统可靠的底线。
• 配置模板化：为M-LAG相关的STP、DFS Group、接口配置创建模板，确保两端配置除IP地址外高度一致，减少人为错误。
• 监控到位：不仅要监控设备状态，更要监控M-LAG组的状态、Peer-Link的流量和错包率。这些才是潜在风险的早期信号。

M-LAG的配置就像搭积木，把Peer-Link、DFS Group、业务接口这几个模块正确拼接起来，网络的高可用骨架就立住了。剩下的就是根据具体业务场景，精细地调整参数和策略。刚开始可能会觉得步骤繁琐，但一旦配通一两次，你就会发现它的逻辑非常清晰。最重要的是，当你在深夜收到告警，看到业务因为M-LAG而自动切换、平稳运行的时候，你会觉得这一切的细致都是值得的。