STP边缘端口

STP保护机制

BPDU保护

技术背景

当边缘端口收到BPDU后，将转换成非边缘端口，重新参与生成树计算，使用PC伪造BPDU保温恶意攻击，将导致STP频繁重新计算

解决方案

开启BPDU保护后，边缘端口收到BPDU，则MSTP会关闭该端口

根桥保护

技术背景

合法根桥收到优先级更高的BPDU，将失去根网桥角色，并引起STP重新计算

解决方案

设置根桥保护的端口，一旦收到优先级跟高的BPDU，则立即将端口设置为Listenting状态，不再转发报文

环路保护

技术背景

环路链路拥塞，导致没有及时收到BPDU报文，从而重新计算STP，开启阻塞端口，形成逻辑环路

解决方案

配置环路保护的端口，当接收不到对端交换机的BPDU时，如端口参与了STP计算，则端口进入Discarding状态

TC保护

技术背景

使用PC伪造TC-BPDU发送，将导致交换机频繁清除MAC地址表，导致网络不稳定

解决方案

设置交换机在收到TC-BPDU的10秒内，MAC地址表删除的最大次数

相关命令

[h3c]stp bpdu-protection [ 配置BPDU保护 ]
[h3c-GigabitEthernet0/0]stp root-protection [ 配置根桥保护 ]
[h3c-GigabitEthernet0/0]stp loop-protection [ 配置环路保护]
[h3c]stp tc-protection [ 配置TC保护]