docs: LLDP enable/rollback runbook for Huawei S12700E + topology feasibility findings

docs/LLDP开启与回滚手册.md

@@ -0,0 +1,119 @@
+# LLDP 开启与回滚手册（华为 S12700E / VRP V200R022C00）
+
+> 目标：在交换机上启用标准 LLDP，让 Zabbix 能只读采集"直连邻居"，用于自动重建 L2 拓扑。
+> 影响：**管理面改动，不影响转发/路由/STP/业务，秒级生效，可一键回滚**（详见影响评估）。
+> 执行方式：由运维手工在设备 CLI 粘贴；开启后由脚本只读验证。
+
+---
+
+## 0. 开启前（每台，只读检查）
+```
+display lldp local                     # 现状：应显示 LLDP disabled / 无配置
+display version | include VRP          # 确认版本 V200R022C00（S12700E-12）
+save                                    # 可选：保存当前配置做基线（LLDP 不改关键配置）
+```
+> 说明：LLDP 的开启/关闭不涉及 `save` 之外的关键配置改动；即使不保存，重启也会回到"未开"，便于回滚。
+
+---
+
+## 1. 开启（全局，推荐——一次对所有物理口生效）
+
+```text
+system-view
+lldp enable
+quit
+```
+- **S12700E 默认 LLDP 是关闭的**，`lldp enable` 是全局总开关。
+- 全局开启后，**所有物理接口默认继承启用**（除非某口被单独 `undo lldp enable` 过）。
+- 若你的版本是**两阶段提交模式**（输入后有 `commit` 提示），再执行 `commit`；普通模式无需。
+- 无需重启，秒级生效。
+
+### （可选）接口级精细控制
+```text
+system-view
+interface GigabitEthernet 1/0/1        # 按实际槽位/子卡/端口
+ lldp enable
+ lldp admin-status tx-rx               # 默认 tx-rx（既发也收）
+ quit
+# 对外/服务器/非信任端口：单独关闭
+interface GigabitEthernet 1/0/20
+ undo lldp enable
+ quit
+```
+
+---
+
+## 2. 设备侧验证（开启后 30s~2min 内邻居出现）
+```text
+display lldp local                     # 本机 LLDP 信息（system name、管理地址、端口）
+display lldp neighbor brief            # ★应能列出直连邻居的 System Name / Port ID
+display lldp statistics                # 收发计数递增即为正常
+```
+
+---
+
+## 3. 回滚（随时可逆）
+```text
+system-view
+undo lldp enable                       # 全局关闭（最快）
+# 或仅关某口
+interface GigabitEthernet 1/0/1
+ undo lldp enable
+ quit
+```
+
+---
+
+## 4. 试点设备（现成块，按需逐台粘贴）
+
+> 建议试点：**1 台核心 + 1 台汇聚 + 1 台接入**。下面是三台核心的现成名/IP；你也可换成其它设备。
+> （核心为 S12700E-12 框式，端口名形如 GE 1/0/1；Eth-Trunk 口同样支持 LLDP。）
+
+| 设备 | SNMP 管理 IP | sysName |
+|---|---|---|
+| 核心-1 | 10.160.7.1 | COBCO-DataCenter-Core |
+| 核心-2 | 10.160.7.2 | COBCO-DataCenter-H03-OFFICE-Core-10.160.2.254 |
+| 核心-3 | 10.160.7.3 | COBCO-DataCenter-H26-SURVE-Core-10.169.2.254 |
+
+**粘贴块（每台设备登录后执行）：**
+```text
+system-view
+lldp enable
+quit
+display lldp neighbor brief
+```
+
+---
+
+## 5. 开启后由脚本只读验证（我执行）
+在跳板机上：
+```bash
+python3 /tmp/lldp_verify.py 10.160.7.1 10.160.7.2 10.160.7.3
+```
+判定成功的三条标准：
+1. `sysName` 能读到（设备可达）；
+2. `LLDP 邻居条目 > 0`；
+3. 邻居 `sysName` 能与 Zabbix 主机名/IP 对上号 → 拓扑能落到现有资产。
+
+---
+
+## 6. 全网分批（试点通过后）
+1. 按"核心 → 汇聚 → 接入"顺序分批；每批开完跑一次 `lldp_verify.py` 抽查。
+2. 每批记录：设备名 / IP / 操作人 / 时间 / `display lldp neighbor brief` 截图。
+3. 有 SSH/NETCONF 后可用 Ansible（`community.network.ce_*` / `cli_command`）或 netmiko 批量下发同一段命令；无则按批次手工。
+
+---
+
+## 7. 安全硬化（建议随开启一起做）
+- **边界/外联/服务器接入口** `undo lldp enable`，只在内网可信端口开。
+- 如需限制通告的地址：用 `lldp management-address ...` 指定管理网段 IP（避免把业务地址广播给邻居）。
+- 可选监控邻居变化：`snmp-agent trap enable lldp`（配合 Zabbix trap 采集）。
+- LLDP 无认证，属"信息面欺诈"风险，不改转发；按"内网全开、边界关闭"即可。
+
+---
+
+## 8. 注意事项
+- **堆叠/集群**：邻居 chassis-id 可能是堆叠主控 MAC、端口带成员号；解析时按"机箱+成员+端口"拆分，不影响正确性。
+- **与 NDP 并存**：华为私有 NDP 可同时运行，互不冲突。
+- **6 台采集不通**的交换机（含一台 SNMPv3 用户与其它不同）在开 LLDP 前需先补齐 SNMP 采集，否则会缺席拓扑。
+- 变更走变更单/维护窗口（虽不停业务）。