关于生成树的一些小东西

MST-802.1S --分组式的生成树
把多个VLAN划分到一个组里，每个组用一个生成树，算法为802.1W。
不同组的根网桥需要加载到不同的汇聚层设备处，可以分载流量，加快速率。
不同组发出的BPDU，使用网桥优先级区分 优先级+组ID
优先级默认为32768，只能以4096的倍数来进行修改。
切记：整个交换机需要所有设备均正常MST协议，才进行部署；
所有运行MST协议的设备，分组内容必须完全一致，否则将可能出现故障。
（全网用同样的树，否则会出现故障）

相关命令：
sw1(config)#spanning-tree mode mst 修改协议
默认存在组0，且默认所有vlan处于组0；
sw1#show spanning-tree mst 0
sw1(config)#spanning-tree mst configuration
sw1(config-mst)#instance 1 vlan 1-50 将vlan1-50划分到组1
sw1(config-mst)#instance 2 vlan 51-100 将vlan51-100划分到组2
定义根网桥，备份根网桥的位置
sw1(config)#spanning-tree mst 1 root primary 降2个4096
sw1(config)#spanning-tree mst 2 root secondary 降1个4096
sw1(config)#interface e0/0 修改参选接口的参数
sw1(config-if)#spanning-tree mst 1 ?
cost Change the interface spanning tree path cost for an instance
port-priority Change the spanning tree port priority for an instance

STP的安全

BPDU保护（主要防止黑客攻击）
把PC模拟成交换机，把优先级降低，可以发BPDU抢走根网桥，破坏整个网络结构。

解决办法：
可以将这些接口开启BPDU保护功能（被保护接口收到BPDU，将被错误关闭）
进入错误关闭状态的接口状态和协议均down（如果无故被down则可断定为受到了攻击）若需要重新唤活该接口
1、手工重启—先关闭（shut down）再开启（no shut down）
2、自动启动----需要人配置，配置后若该接口在300s内没有收到BPDU了，那么将自动开启

命令演示：
sw2(config)#interface e0/0
sw2(config-if)#spanning-tree bpduguard enable
在接入层连接用户的接口上，开启BPDU保护功能
被保护接口若接收到BPDU将错误关闭
sw2#show interfaces e0/0
Ethernet0/0 is down, line protocol is down (err-disabled)
若接口出现了错误关闭，可以查看导致原因
sw2#show interfaces status err-disabled
Port Name Status Reason
Et0/0 err-disabled bpduguard

针对BPDU保护出现的错误关闭，可以通过手工重启，或设置自动重启
sw2(config)#errdisable recovery cause bpduguard 当BPDU保护出现后的自动重启
sw2#show errdisable recovery 查看各种错误的原因状态
sw2(config)#errdisable recovery interval ? 默认300s收不到BPDU将自动重启
<30-86400> timer-interval(sec) 修改计时器，最小30s

全局配置：
在接入层接口上，开启所有接口的端口加速和所有接口的BPDU保护
sw2(config)#spanning-tree portfast bpduguard
全局开启后，还需要到上行链路上进行BPDU保护的关闭
sw2(config)#interface e0/0
sw2(config-if)#spanning-tree bpduguard disable 关闭单个接口的BPDU保护
sw2#show spanning-tree summary totals 查看各种全局协议的配置

BPDU过滤
把影响生成树协议的BPDU信息过滤掉，不参与生成树，流量照常转发。

配置命令：
sw2(config)#interface e0/0 接口开启或关闭
sw2(config-if)#spanning-tree bpdufilter ?
disable Disable BPDU filtering for this interface
enable Enable BPDU filtering for this interface

sw2(config)#spanning-tree portfast bpdufilter default 全局开启
注：全局开启后，需要在上行链路接口手工关闭

区别：保护只拒绝接受，过滤收发均拒绝。

根网桥保护（主要防止管理员犯错）
新添交换机发出更优BPDU，抢走根网桥。</