-
边缘端口-BPDU保护
作用:不参与生成树的计算,可使端口快速过渡到转发状态
应用场景:在正常的网络中,边缘端口是不可能收到任何BPDU报文的,一旦EP收到BPDU,那么就意味着网络产生了不在管理范围内的变化,或者是产生了攻击,此时会导致二层网络产生不必要的问题。
防止:交换机边缘端口开启BPDU保护,一旦收到BPDU报文,端口会down掉。开启命令为[huawei]stp bpdu-protection,然后进入端口下 stp edged-port enable
恢复:Down掉的端口不会自动回复,但可以设置自动恢复时间,命令为
[Huawei]error-down auto-recovery cause bpdu-protection interval 30 (秒)
2.根保护
只能在DP接口上开启
应用场景:当一个接口不是EP的时候,BPDU保护无法在此接口上使用。如果接入优先级更高的交换机,将会导致二层网络中产生震荡。此时可以使用根保护解决该问题。如果接入次优的BPDU,不会发生改变。
作用:强制一个接口永远为DP端口,不能变为RP端口,防止周围交换机成为根桥。
恢复:当接口不再收更优的BPDU以后,等待两个转发延迟,进入转发状态。
[Huawei-GigabitEthernet0/0/1]stp root-protection //开启根保护
3.环路保护
只能在AP和RP上开启
场景:当网络发生拥塞或者出现单项故障的时候,很有可能导致AP和RP在BPDU超时之后,依然没有收到任何BPDU报文,那么此时可能导致网络中出现单向环路的风险。此时可以在AP或者RP上开启环路保护功能。
作用:当一个接口开启环路保护功能之后,接口在BPDU超时之后,没有收到任何BPDU报文,将会把接口变为DP处于Discarding状态。
恢复:直到端口重新收到BPDU,或者单向故障恢复会进行P/A的协商,之后进入转发状态。
[Huawei-GigabitEthernet0/0/1]stp loop-protection //接口下开启环路保护
4.TC-BPDU保护
场景:交换设备在接受到TC BPDU报文后,会执行MAC地址表项和ARP表项的删除操作。如果有人伪造TC BPDU报文恶意攻击交换设备,交换设备短时间会收到很多的TC BPDU报文,频繁的删除操作会给设备造成很大的负担,给网络的稳定带来很大隐患,类似于DDOS攻击。
作用:启用防TC-BPDU报文攻击功能以后,单位时间内,交换设备处理TC BPD报文的次数可以配置。可以在交换机上配置单位时间内处理TC BPDU报文的次数,比如10S内处理2次TC BPDU,其他超出处理次数的TC BPDU交换机不再处理,只会在定时器超时以后,处理一次。
命令功能:[Huawei]stp tc-protection threshold x //设置单位时间内处理的次数(默认为1)
[Huawei]stp tc-protection interval x //设置单位时间(默认为2s)
[Huawei-GigabitEthernet0/0/1]stp tc-restriction enable //接口下开启防止TC BPDU攻击