RSTP的安全特性

1. 边缘端口-BPDU保护

作用：不参与生成树的计算，可使端口快速过渡到转发状态

应用场景：在正常的网络中，边缘端口是不可能收到任何BPDU报文的，一旦EP收到BPDU，那么就意味着网络产生了不在管理范围内的变化，或者是产生了攻击，此时会导致二层网络产生不必要的问题。

防止：交换机边缘端口开启BPDU保护，一旦收到BPDU报文，端口会down掉。开启命令为[huawei]stp bpdu-protection，然后进入端口下 stp edged-port enable

恢复：Down掉的端口不会自动回复，但可以设置自动恢复时间，命令为

[Huawei]error-down auto-recovery cause bpdu-protection interval 30  （秒）

2.根保护

只能在DP接口上开启

应用场景：当一个接口不是EP的时候，BPDU保护无法在此接口上使用。如果接入优先级更高的交换机，将会导致二层网络中产生震荡。此时可以使用根保护解决该问题。如果接入次优的BPDU，不会发生改变。

作用：强制一个接口永远为DP端口，不能变为RP端口，防止周围交换机成为根桥。

恢复：当接口不再收更优的BPDU以后，等待两个转发延迟，进入转发状态。

[Huawei-GigabitEthernet0/0/1]stp root-protection //开启根保护

3.环路保护

只能在AP和RP上开启

场景：当网络发生拥塞或者出现单项故障的时候，很有可能导致AP和RP在BPDU超时之后，依然没有收到任何BPDU报文，那么此时可能导致网络中出现单向环路的风险。此时可以在AP或者RP上开启环路保护功能。

作用：当一个接口开启环路保护功能之后，接口在BPDU超时之后，没有收到任何BPDU报文，将会把接口变为DP处于Discarding状态。

恢复：直到端口重新收到BPDU，或者单向故障恢复会进行P/A的协商，之后进入转发状态。

[Huawei-GigabitEthernet0/0/1]stp loop-protection //接口下开启环路保护

4.TC-BPDU保护

场景：交换设备在接受到TC BPDU报文后，会执行MAC地址表项和ARP表项的删除操作。如果有人伪造TC BPDU报文恶意攻击交换设备，交换设备短时间会收到很多的TC BPDU报文，频繁的删除操作会给设备造成很大的负担，给网络的稳定带来很大隐患，类似于DDOS攻击。

作用：启用防TC-BPDU报文攻击功能以后，单位时间内，交换设备处理TC BPD报文的次数可以配置。可以在交换机上配置单位时间内处理TC BPDU报文的次数，比如10S内处理2次TC BPDU，其他超出处理次数的TC BPDU交换机不再处理，只会在定时器超时以后，处理一次。

命令功能：[Huawei]stp tc-protection threshold x //设置单位时间内处理的次数（默认为1）

[Huawei]stp tc-protection interval x //设置单位时间（默认为2s）

[Huawei-GigabitEthernet0/0/1]stp tc-restriction enable //接口下开启防止TC BPDU攻击