# LLDP 开启与回滚手册（华为 S12700E / VRP V200R022C00）

> 目标：在交换机上启用标准 LLDP，让 Zabbix 能只读采集"直连邻居"，用于自动重建 L2 拓扑。
> 影响：**管理面改动，不影响转发/路由/STP/业务，秒级生效，可一键回滚**（详见影响评估）。
> 执行方式：由运维手工在设备 CLI 粘贴；开启后由脚本只读验证。

---

## 0. 开启前（每台，只读检查）
```
display lldp local                     # 现状：应显示 LLDP disabled / 无配置
display version | include VRP          # 确认版本 V200R022C00（S12700E-12）
save                                    # 可选：保存当前配置做基线（LLDP 不改关键配置）
```
> 说明：LLDP 的开启/关闭不涉及 `save` 之外的关键配置改动；即使不保存，重启也会回到"未开"，便于回滚。

---

## 1. 开启（全局，推荐——一次对所有物理口生效）

```text
system-view
lldp enable
quit
```
- **S12700E 默认 LLDP 是关闭的**，`lldp enable` 是全局总开关。
- 全局开启后，**所有物理接口默认继承启用**（除非某口被单独 `undo lldp enable` 过）。
- 若你的版本是**两阶段提交模式**（输入后有 `commit` 提示），再执行 `commit`；普通模式无需。
- 无需重启，秒级生效。

### （可选）接口级精细控制
```text
system-view
interface GigabitEthernet 1/0/1        # 按实际槽位/子卡/端口
 lldp enable
 lldp admin-status tx-rx               # 默认 tx-rx（既发也收）
 quit
# 对外/服务器/非信任端口：单独关闭
interface GigabitEthernet 1/0/20
 undo lldp enable
 quit
```

---

## 2. 设备侧验证（开启后 30s~2min 内邻居出现）
```text
display lldp local                     # 本机 LLDP 信息（system name、管理地址、端口）
display lldp neighbor brief            # ★应能列出直连邻居的 System Name / Port ID
display lldp statistics                # 收发计数递增即为正常
```

---

## 3. 回滚（随时可逆）
```text
system-view
undo lldp enable                       # 全局关闭（最快）
# 或仅关某口
interface GigabitEthernet 1/0/1
 undo lldp enable
 quit
```

---

## 4. 试点设备（现成块，按需逐台粘贴）

> 建议试点：**1 台核心 + 1 台汇聚 + 1 台接入**。下面是三台核心的现成名/IP；你也可换成其它设备。
> （核心为 S12700E-12 框式，端口名形如 GE 1/0/1；Eth-Trunk 口同样支持 LLDP。）

| 设备 | SNMP 管理 IP | sysName |
|---|---|---|
| 核心-1 | 10.160.7.1 | COBCO-DataCenter-Core |
| 核心-2 | 10.160.7.2 | COBCO-DataCenter-H03-OFFICE-Core-10.160.2.254 |
| 核心-3 | 10.160.7.3 | COBCO-DataCenter-H26-SURVE-Core-10.169.2.254 |

**粘贴块（每台设备登录后执行）：**
```text
system-view
lldp enable
quit
display lldp neighbor brief
```

---

## 5. 开启后由脚本只读验证（我执行）
在跳板机上：
```bash
python3 /tmp/lldp_verify.py 10.160.7.1 10.160.7.2 10.160.7.3
```
判定成功的三条标准：
1. `sysName` 能读到（设备可达）；
2. `LLDP 邻居条目 > 0`；
3. 邻居 `sysName` 能与 Zabbix 主机名/IP 对上号 → 拓扑能落到现有资产。

---

## 6. 全网分批（试点通过后）
1. 按"核心 → 汇聚 → 接入"顺序分批；每批开完跑一次 `lldp_verify.py` 抽查。
2. 每批记录：设备名 / IP / 操作人 / 时间 / `display lldp neighbor brief` 截图。
3. 有 SSH/NETCONF 后可用 Ansible（`community.network.ce_*` / `cli_command`）或 netmiko 批量下发同一段命令；无则按批次手工。

---

## 7. 安全硬化（建议随开启一起做）
- **边界/外联/服务器接入口** `undo lldp enable`，只在内网可信端口开。
- 如需限制通告的地址：用 `lldp management-address ...` 指定管理网段 IP（避免把业务地址广播给邻居）。
- 可选监控邻居变化：`snmp-agent trap enable lldp`（配合 Zabbix trap 采集）。
- LLDP 无认证，属"信息面欺诈"风险，不改转发；按"内网全开、边界关闭"即可。

---

## 8. 注意事项
- **堆叠/集群**：邻居 chassis-id 可能是堆叠主控 MAC、端口带成员号；解析时按"机箱+成员+端口"拆分，不影响正确性。
- **与 NDP 并存**：华为私有 NDP 可同时运行，互不冲突。
- **6 台采集不通**的交换机（含一台 SNMPv3 用户与其它不同）在开 LLDP 前需先补齐 SNMP 采集，否则会缺席拓扑。
- 变更走变更单/维护窗口（虽不停业务）。