第四章 故障检测机制：让网络自己“喊救命”
大家好，我是老张。干网络运维十几年，我最怕的不是故障本身，而是故障发生了我却不知道。你想想看，用户打电话来骂娘的时候，你才去查日志，那得多被动？
这一章，我们来聊聊故障检测机制。说白了，就是让网络设备自己“喊救命”。我习惯把这四种机制比作四种不同的报警方式——各有各的脾气，各有各的适用场景。
核心观点：故障检测不是“事后诸葛亮”，而是“事前诸葛亮”。好的检测机制，能在用户感知到问题之前，就把故障掐死在摇篮里。
4.1 BFD：双向转发检测——最快的“心跳”
BFD，全称Bidirectional Forwarding Detection。名字挺长，但原理很简单：两个设备之间互相发“心跳包”，如果连续几个包没收到，就判定链路挂了。
我记得有一次，一个金融客户的核心链路出了问题。传统的OSPF Hello检测需要40秒才能发现邻居丢失，但BFD只需要几百毫秒。你想想看，40秒和0.5秒的差距，对金融交易意味着什么？
BFD的配置其实不复杂，我给大家看一个典型例子：
# 全局启用BFD
bfd
# 在接口上配置BFD
interface GigabitEthernet0/0/1
bfd min-transmit-interval 100
bfd min-receive-interval 100
bfd detect-multiplier 3
# 在OSPF中关联BFD
router ospf 1
bfd all-interfaces enable
这里有个坑，我曾经踩过：BFD的检测间隔不能设得太小。有些兄弟为了追求极致速度，把间隔设成10毫秒。结果呢？网络稍微抖动一下，BFD就误报，导致路由频繁切换。我建议生产环境至少设100毫秒，检测倍数设3倍以上。
个人经验：BFD最适合用在核心链路上，尤其是那些承载着关键业务的链路。对于接入层或者备份链路，其实没必要开BFD，浪费资源。
4.2 NQA：网络质量分析——不只是通不通，还要看“好不好”
BFD只能告诉你链路通不通，但NQA能告诉你链路好不好。NQA全称Network Quality Analysis，它可以模拟真实的业务流量，去测量延迟、抖动、丢包率。
说白了，BFD是“急诊医生”，只管生死；NQA是“体检医生”，还要看各项指标是否正常。
我给大家看一个NQA的配置示例：
# 创建NQA测试实例
nqa test-instance admin icmp-test
test-type icmp
destination-address ipv4 10.1.1.2
source-address ipv4 10.1.1.1
interval seconds 5
timeout seconds 2
probe-count 10
# 启动NQA测试
start now
# 查看NQA测试结果
display nqa results test-instance admin icmp-test
NQA还有一个很实用的功能——联动静态路由。当NQA检测到链路质量下降时，可以自动切换路由。我在一个跨国企业的项目中用过这个功能，效果非常好。
注意：NQA会消耗一定的网络带宽和设备CPU资源。不要在所有链路上都开NQA，建议只对关键业务链路进行监控。我曾经见过一个客户，在200多条链路上都开了NQA，结果核心路由器的CPU直接飙到90%。
4.3 SNMP Trap：让设备主动“打小报告”
SNMP Trap，说白了就是设备主动向网管系统发送告警。不像SNMP Polling那样需要网管系统轮询，Trap是设备自己“打小报告”——“我出问题了，快来处理我！”
我习惯把SNMP Trap比作“消防报警器”。平时它不响，一旦响了，说明真出事了。
常见的SNMP Trap类型包括：
- 链路状态变化Trap：接口up/down
- CPU/内存超阈值Trap：设备资源紧张
- 温度超阈值Trap：设备过热
- 认证失败Trap：有人尝试非法登录
配置SNMP Trap也很简单：
# 配置SNMP团体字
snmp-agent community read public
snmp-agent community write private
# 配置Trap目标
snmp-agent target-host trap address udp-domain 192.168.1.100 params securityname public
# 启用Trap
snmp-agent trap enable
避坑指南：我曾经遇到过一个问题——Trap发出来了，但网管系统没收到。排查了半天，发现是防火墙把UDP 162端口给封了。所以，配置完Trap后，一定要做端到端的连通性测试。
4.4 Syslog：日志采集——故障的“黑匣子”
Syslog，就是设备的日志系统。它记录了设备上发生的所有事情——谁登录了、配置改了、链路断了、路由收敛了……
我习惯把Syslog比作飞机的“黑匣子”。平时你可能不看它，但一旦出了事故，它就是最重要的证据。
Syslog的配置也很简单：
# 配置Syslog服务器
info-center loghost 192.168.1.100
# 配置日志级别
info-center source default channel loghost log level informational
# 配置时间戳
info-center timestamp log
这里有个关键点——日志级别。Syslog有8个级别，从0（紧急）到7（调试）。我建议生产环境至少记录到6（信息）级别，但不要开7（调试）级别，否则日志量会爆炸。
个人经验：我曾经帮一个客户排查一个间歇性断网的问题。查了三天没找到原因，最后在Syslog里发现了一条关键日志——某个接口在短时间内反复up/down。原来是光模块接触不良导致的。如果没有Syslog，这个问题可能永远都查不出来。
4.5 四种机制的对比与选择
说了这么多，大家可能会问：这四种机制到底怎么选？我给大家整理了一个对比表：
| 检测机制 | 检测对象 | 检测速度 | 资源消耗 | 适用场景 |
|---|---|---|---|---|
| BFD | 链路连通性 | 毫秒级 | 低 | 核心链路、路由协议联动 |
| NQA | 链路质量 | 秒级 | 中 | 关键业务链路、质量监控 |
| SNMP Trap | 设备状态 | 秒级 | 低 | 设备告警、资源监控 |
| Syslog | 设备事件 | 秒级 | 中 | 故障排查、安全审计 |
我的建议是：不要只用一种机制。BFD做快速检测，NQA做质量监控，SNMP Trap做设备告警，Syslog做日志审计。四者结合，才能构建一个完整的故障检测体系。
4.6 本章小结
嗯，这一章的内容就到这里。四种检测机制，各有各的脾气，各有各的用处。BFD快，NQA准，SNMP Trap主动，Syslog全面。你想想看，如果把这四种机制都用好了，网络故障基本上就逃不出你的手掌心了。
最后送大家一句话：故障不可怕，可怕的是你不知道故障发生了。把检测机制做好，你就成功了一半。