STP保护机制

Switch#show spanning-tree summary totals---查看生成树汇总信息

1.BPDU guard

BPDU防护，避免开启了portfast特性的端口错误的接入进交换机。如果发现，则逻辑的将接口关闭掉。

思科：

Switch(config)#spanning-tree portfast edge bpduguard default

Switch(config-if)#spanning-tree bpduguard enable

华为/华三

[Huawei]stp bpdu-protection

日志：

*Mar 19 06:13:11.353: %SPANTREE-2-BLOCK_BPDUGUARD: Received BPDU on port Ethernet0/0 with BPDU Guard enabled. Disabling port.

*Mar 19 06:13:11.353: %PM-4-ERR_DISABLE: bpduguard error detected on Et0/0, putting Et0/0 in err-disable state

err-disable：错误禁用状态，处于这个状态的接口会被shutdown

恢复：

①手动恢复：

先shutdown在no shutdown

②自动恢复

2.BPDU filter

BPDU过滤，避免开启了portfast特性的端口错误的接入进交换机

思科

Switch(config-if)#spanning-tree bpdufilter enable ---接口下开启，不接受也不发送BPDU，仍然处于转发状态（生成树 功能被禁用，不建议开启）

Switch(config)#spanning-tree portfast edge bpdufilter default---全局下开启，接收到BPDU之后，会失去原先的portfast特性，变成一个普通端口，然后经历正常的stp状态转变过程（阻塞-侦听-学习-转发）

华为/华三

[Huawei]stp bpdu-filter default

3.rootguard

根防护，能够保护根桥的地位。只能针对接口开启，一般情况下是在指定端口开启（接入接入层的交换机或者汇聚层的交换机端口）开启根防护之后，即使收到了更优的BPDU也不会改变根桥的地位

思科

Switch(config-if)#spanning-tree guard root ---开启后，当收到更优的BPDU，不会去承认更优的BPDU，依然保持原先根桥的地位，接口会处于blocking状态

华为/华三

[Huawei-GigabitEthernet0/0/1]stp root-protection

*ROOT_Inc：根不一致状态

*Mar 19 06:35:59.502: %SPANTREE-2-ROOTGUARD_BLOCK: Root guard blocking port Ethernet0/1 on VLAN0001.

*Mar 19 06:40:02.167: %SPANTREE-2-ROOTGUARD_UNBLOCK: Root guard unblocking port Ethernet0/1 on VLAN0001.

4.loopguard

环路防护，用于解决单向链路问题，防止阻塞端口处于转发状态，开启了loopguard之后，没有收到BPDU的接口依然会处于blocking状态

Switch(config-if)#spanning-tree guard loop

Switch(config)#spanning-tree loopguard default ---默认所有接口都开启环路防护功能

[Huawei-GigabitEthernet0/0/1]stp loop-protection

5.UDLD

单向链路检测，针对光纤链路的错误连接，思科私有，可以用来检测光纤链路是否存在单向链路，链路两端设备都要支持UDLD

（1）模式

①正常模式：UDLD可以检测单向链路，并且标记端口，并产生系统日志提示

②积极模式：UDLD可以检测单向链路，尝试建立UDLD邻居关系，连续发送8sUDLD报文信息，如果没有响应，就直接把接口置于err-disable状态

（2）配置

全局模式

Switch(config)#udld enable ---正常模式

Switch(config)#udld aggressive---积极模式

接口模式

Switch(config-if)#udld port ---正常模式

Switch(config-if)#udld port aggressive---积极模式

6.防TC-BPDU防护

华为/华三设备支持

交换机在接收到TC-BPDU后，会将自己的mac 地址表项删除，若有人恶意对交换机频繁发送TC-BPDU，交换机在短时间内会收到大量的TC-BPDU报文，频繁删除自己的mac地址表项，给设备造成负担

[Huawei]stp tc-protection

[Huawei]stp tc-protection threshold 10---设置阈值

7.flexlink

思科私有，是stp的替代方案，启用该特性的端口无需参与stp就能避免环路，但是无法实现负载均衡

Switch(config)#int e0/3

Switch(config-if)#switchport backup int e0/0

8.smart link

华为私有

（1）作用：实现主备设备链路切换，具有快速收敛的特性，亚秒级

smart link和stp是互斥的

（2）部署：一般部署正在双上行链路上

（3）概念：

①smart link组：灵活链路组，每个组包括两个端口，主端口和从端口

②flush报文：当smart link组发生链路切换时，通过发送flush报文进行mac地址表的刷新，同时流量不会中断

（4）运作机制

①链路备份机制

②角色抢占机制

（5）配置

[Huawei]undo stp enable

Error: Please choose 'YES' or 'NO' first before pressing 'Enter'. [Y/N]:y

[Huawei]smart-link group 1        

[Huawei-smlk-group1]protected-vlan reference-instance 0

[Huawei-smlk-group1]flush send control-vlan 10         

[Huawei]vlan 10

[Huawei]smart-link group 1

[Huawei-smlk-group1]flush enable

[Huawei-smlk-group1]port g0/0/1 master

[Huawei-smlk-group1]port g0/0/2 slave         

[Huawei-smlk-group1]smart-link enable

[Huawei2-GigabitEthernet0/0/2]smart-link flush receive control-vlan 10

9.monitor link

配合smart link一起使用，防止上行链路出现故障，导致数据中断

（1）概念

monitor link组：上行链路和下行链路，每条链路里允许有多个端口成员

上行链路端口和下行端口的状态是保持一致的

（2）配置

[Huawei]monitor-link group 1                

[Huawei-mtlk-group1]port g0/0/1 uplink

[Huawei-mtlk-group1]port g0/0/2 downlink

<Huawei>display monitor-link group 1

10.loopback detection

环回检测

（1）作用：通过发送环回检测报文来判断设备是否产生环路

如果检测出现环路，就会发送告警信息，将接口置于禁用状态

（2）配置

[Huawei-GigabitEthernet0/0/1]loopback-detect enable         

[Huawei-GigabitEthernet0/0/1]loopback-detect packet vlan 10---设置检测vlan

[Huawei-GigabitEthernet0/0/1]loopback-detect action block ---设置动作

[Huawei-GigabitEthernet0/0/1]loopback-detect recovery-time 5---设置检测周期