zabbix-deploy/docs/LLDP开启与回滚手册.md

LLDP 开启与回滚手册（华为 S12700E / VRP V200R022C00）

目标：在交换机上启用标准 LLDP，让 Zabbix 能只读采集"直连邻居"，用于自动重建 L2 拓扑。 影响：管理面改动，不影响转发/路由/STP/业务，秒级生效，可一键回滚（详见影响评估）。 执行方式：由运维手工在设备 CLI 粘贴；开启后由脚本只读验证。

---

0. 开启前（每台，只读检查）

display lldp local                     # 现状：应显示 LLDP disabled / 无配置
display version | include VRP          # 确认版本 V200R022C00（S12700E-12）
save                                    # 可选：保存当前配置做基线（LLDP 不改关键配置）

说明：LLDP 的开启/关闭不涉及 save 之外的关键配置改动；即使不保存，重启也会回到"未开"，便于回滚。

---

1. 开启（全局，推荐——一次对所有物理口生效）

system-view
lldp enable
quit

• S12700E 默认 LLDP 是关闭的，lldp enable 是全局总开关。
• 全局开启后，所有物理接口默认继承启用（除非某口被单独 undo lldp enable 过）。
• 若你的版本是两阶段提交模式（输入后有 commit 提示），再执行 commit；普通模式无需。
• 无需重启，秒级生效。

（可选）接口级精细控制

system-view
interface GigabitEthernet 1/0/1        # 按实际槽位/子卡/端口
 lldp enable
 lldp admin-status tx-rx               # 默认 tx-rx（既发也收）
 quit
# 对外/服务器/非信任端口：单独关闭
interface GigabitEthernet 1/0/20
 undo lldp enable
 quit

---

2. 设备侧验证（开启后 30s~2min 内邻居出现）

display lldp local                     # 本机 LLDP 信息（system name、管理地址、端口）
display lldp neighbor brief            # ★应能列出直连邻居的 System Name / Port ID
display lldp statistics                # 收发计数递增即为正常

---

3. 回滚（随时可逆）

system-view
undo lldp enable                       # 全局关闭（最快）
# 或仅关某口
interface GigabitEthernet 1/0/1
 undo lldp enable
 quit

---

4. 试点设备（现成块，按需逐台粘贴）

建议试点：1 台核心 + 1 台汇聚 + 1 台接入。下面是三台核心的现成名/IP；你也可换成其它设备。 （核心为 S12700E-12 框式，端口名形如 GE 1/0/1；Eth-Trunk 口同样支持 LLDP。）

设备	SNMP 管理 IP	sysName
核心-1	10.160.7.1	COBCO-DataCenter-Core
核心-2	10.160.7.2	COBCO-DataCenter-H03-OFFICE-Core-10.160.2.254
核心-3	10.160.7.3	COBCO-DataCenter-H26-SURVE-Core-10.169.2.254

粘贴块（每台设备登录后执行）：

system-view
lldp enable
quit
display lldp neighbor brief

---

5. 开启后由脚本只读验证（我执行）

在跳板机上：

python3 /tmp/lldp_verify.py 10.160.7.1 10.160.7.2 10.160.7.3

判定成功的三条标准：

1. sysName 能读到（设备可达）；
2. LLDP 邻居条目 > 0；
3. 邻居 sysName 能与 Zabbix 主机名/IP 对上号 → 拓扑能落到现有资产。

---

6. 全网分批（试点通过后）

1. 按"核心 → 汇聚 → 接入"顺序分批；每批开完跑一次 lldp_verify.py 抽查。
2. 每批记录：设备名 / IP / 操作人 / 时间 / display lldp neighbor brief 截图。
3. 有 SSH/NETCONF 后可用 Ansible（community.network.ce_* / cli_command）或 netmiko 批量下发同一段命令；无则按批次手工。

---

7. 安全硬化（建议随开启一起做）

• 边界/外联/服务器接入口 undo lldp enable，只在内网可信端口开。
• 如需限制通告的地址：用 lldp management-address ... 指定管理网段 IP（避免把业务地址广播给邻居）。
• 可选监控邻居变化：snmp-agent trap enable lldp（配合 Zabbix trap 采集）。
• LLDP 无认证，属"信息面欺诈"风险，不改转发；按"内网全开、边界关闭"即可。

---

8. 注意事项

• 堆叠/集群：邻居 chassis-id 可能是堆叠主控 MAC、端口带成员号；解析时按"机箱+成员+端口"拆分，不影响正确性。
• 与 NDP 并存：华为私有 NDP 可同时运行，互不冲突。
• 6 台采集不通的交换机（含一台 SNMPv3 用户与其它不同）在开 LLDP 前需先补齐 SNMP 采集，否则会缺席拓扑。
• 变更走变更单/维护窗口（虽不停业务）。