风暴抑制技术（一）：风暴控制（Storm-Control）原理
各位同行，今天咱们聊聊风暴抑制。说实话，这个主题我特别有感触。刚入行那会儿，我在一个海上风电场调试网络，半夜被电话叫醒——整个风机监控网络瘫痪了。赶过去一看，交换机CPU跑到100%，所有端口都在疯狂转发。嗯，典型的广播风暴。
从那以后，我对风暴抑制技术就特别上心。今天先讲最基础也最实用的一层：风暴控制（Storm-Control）。
什么是风暴控制？
风暴控制，说白了就是给网络流量设个"限流阀"。当某个端口收到的广播、组播或未知单播流量超过设定阈值时，交换机就会采取行动——要么丢弃多余报文，要么直接关闭端口。
你想想看，风电场的网络环境其实挺恶劣的。风机塔筒里电磁干扰大，光纤接头容易老化，再加上各种变频器、逆变器产生的噪声，一不小心就会产生大量错误报文。这些报文如果不受限制，就会像滚雪球一样越积越多，最终把整个网络拖垮。
核心要点：风暴控制不是防止风暴发生，而是防止风暴扩散。它是在端口层面做"交通管制"，不让异常流量影响到其他端口和整个网络。
端口级别的广播/组播/未知单播限速
现在的工业交换机，基本都支持三种类型的风暴控制：
- 广播风暴控制——限制广播帧的接收速率。这是最常用的，因为广播帧最容易引发问题。
- 组播风暴控制——限制组播帧的接收速率。风电场的视频监控、SCADA系统经常用组播，这块要特别注意。
- 未知单播风暴控制——限制目的MAC地址不在MAC地址表中的单播帧。这个容易被忽略，但危害不小。
我记得有一次，某个风场升级了交换机固件，结果忘了配置未知单播风暴控制。第二天，一台新接入的风机控制器开始疯狂发送未知目的MAC的报文，整个环网差点瘫痪。从那以后，我习惯把三种风暴控制都配齐，一个不落。
限速的两种模式：bps和pps
配置风暴控制时，你会遇到两个单位：bps（比特每秒）和pps（包每秒）。选哪个？
| 模式 | 适用场景 | 我的建议 |
|---|---|---|
| bps | 关注带宽占用，比如视频流、大文件传输 | 适合主干链路，防止带宽被异常流量占满 |
| pps | 关注CPU负载，比如大量小报文攻击 | 适合接入端口，防止CPU被小报文打爆 |
我个人习惯在风电场用pps模式。为什么？因为风电场控制系统的报文通常很小（几十字节），但数量巨大。如果只看bps，可能带宽还没占满，CPU已经扛不住了。用pps模式能更精准地保护CPU。
实战技巧：配置时建议同时设置"恢复阈值"。当流量回落到正常水平后，让端口自动恢复转发。否则你半夜还得跑一趟风场手动恢复端口，那滋味...我经历过，不想再来第二次。
硬件限速与软件限速的区别
这个问题，很多工程师搞混。我简单说清楚：
硬件限速——由交换芯片的ASIC硬件完成。报文在进入端口时，直接被硬件检查、计数、丢弃。整个过程不经过CPU，不消耗CPU资源。
软件限速——报文先被CPU接收，由CPU上的软件进程判断是否超限，再决定丢弃还是转发。CPU参与了每个报文的处理。
区别很明显吧？硬件限速快、不占CPU，但配置灵活度低。软件限速灵活、可以精细控制，但会消耗CPU资源。
避坑指南：我曾经在一个项目中，误把风暴控制配置成了软件模式。结果风暴来临时，CPU先被大量报文打爆了，风暴控制还没来得及生效，交换机就挂了。所以，能用硬件限速就别用软件限速。除非你确实需要软件模式的灵活性（比如基于应用层协议的过滤），否则一律选硬件模式。
知识体系结构图
下面这张图，把风暴控制的核心逻辑串起来了：
配置示例（华为交换机）
最后给个实际配置，以华为S5700系列为例：
#
# 进入接口视图
interface GigabitEthernet0/0/1
#
# 配置广播风暴控制，pps模式，阈值1000pps
storm-control broadcast packet-rate 1000
#
# 配置组播风暴控制，pps模式，阈值500pps
storm-control multicast packet-rate 500
#
# 配置未知单播风暴控制，pps模式，阈值500pps
storm-control unknown-unicast packet-rate 500
#
# 配置恢复阈值，当流量降到200pps以下时自动恢复
storm-control action block
storm-control recovery interval 30
#
# 开启风暴控制告警
storm-control enable trap
#
# 保存配置
return
save
小提示：不同厂商的配置命令差异很大。思科用storm-control broadcast level，华为用storm-control broadcast packet-rate，MOXA用storm-control。但原理都一样——先选类型，再设阈值，最后定动作。
好了，风暴控制的基础就讲到这里。记住一句话：风暴控制是网络的第一道防线，配好了能省90%的故障排查时间。下一节咱们聊更高级的——风暴抑制的进阶技术，包括环路检测和流量整形。
公众号:蓝海资料掘金营，微信deep3321