STP的扩展性一览

在实际的应用中，MSTP得到广泛的应用，综合整体应用的考虑，MSTP模块又需要引入一些新的功能或者保护机制，使其应用更加稳定、安全。本文主要阐述根保护，环路保护，TC报文保护以及BPDU报文保护功能的实现原理及其基本应用。

STP保护特性

本文主要介绍根保护，环路保护，TC报文保护以及BPDU报文保护功能，并且配合试验阐述其实际应用。

1 组网图

图1 组网图

1.1 组网图说明

图中LSW1、LSW2、LSW3三台设备组成一个环，使用MSTP阻断环路；

下面显示的内容是LSW1上的STP配置，其他三台运营商网络的设备的STP配置相同，这里不再重复叙述。

stp region-configuration

region-name test

instance 1 vlan 101 to 200

instance 2 vlan 201 to 300

2 STP保护功能特性

2.1 ROOT PROTECTION

2.1.1 功能介绍

由于维护人员的错误配置或网络中的恶意攻击，网络中的合法根交换机有可能会收到优先级更高的配置消息，这样当前根交换机会失去根交换机的地位，引起网络拓扑结构的错误变动。这种不合法的变动，会导致原来应该通过高速链路的流量被牵引到低速链路上，导致网络拥塞。Root保护功能用来防止这种情况的发生。

对于设置了Root保护功能的端口，端口角色只能保持为指定端口。一旦这种端口上收到了优先级高的配置消息，即其将被选择为非指定端口时，这些端口的状态将被设置为侦听状态，不再转发报文（相当于将此端口相连的链路断开）。当在2倍ForwradDelay内没有收到更优的配置消息后，端口会恢复原来的正常状态。

2.1.2 应用举例

当前组网MSTP稳定，根桥为LSW2（自动选举），我们可以通过调整其他设备的优先级，来模拟维护人员错误和恶意攻击，从而得到优先级更高的BPDU。

设置LSW1的实例0的priority为0，那么它就会广播BPDU，告知其他交换机我的优先级最高，将变为根桥，即LSW2收到更高级BPDU：

当LSW2启动了root protection，在收到和自己优先级相同或更高的BPDU时，会隔离相应指定端口。

LSW1没有设置Priority为0时，LSW2端口的MSTP状态：[k1]

MSTID Port Role STP State Protection

0 GigabitEthernet1/0/1 DESI FORWARDING NONE

0 GigabitEthernet1/0/2 DESI FORWARDING NONE

LSW1设置Priority为0时，LSW2端口的MSTP状态：

MSTID Port Role STP State Protection

0 GigabitEthernet1/0/1 DESI DISCARDING ROOT

0 GigabitEthernet1/0/2 DESI DISCARDING ROOT

由此可见，当LSW2的指定端口开启Root Protection时，收到更优的BPDU后，阻塞该端口并停止报文转发，有效的预防了网络根桥振荡。

2.2 BPDU PROTECTION

2.2.1 功能介绍

对于接入层设备，接入端口一般直接与用户终端（如PC机）或文件服务器相连，此时接入端口被设置为边缘端口以实现这些端口的快速迁移；当这些端口接收 [k2]到配置消息（BPDU报文）时系统会自动将这些端口设置为非边缘端口，重新计算生成树，引起网络拓扑的震荡。这些端口正常情况下应该不会收到生成树协议的配置消息的。如果有人伪造配置消息恶意攻击交换机，就会引起网络震荡。BPDU保护功能可以防止这种网络攻击。

交换机上启动了BPDU保护功能以后，如果边缘端口收到了配置消息，系统就将这些端口shutdown，同时通知网管。被shutdown的端口只能由网络管理人员恢复。

2.2.2 应用举例

LSW3设备的端口G1/0/4连接的是一台PC，并且配置为边缘端口，用Netwizard抓取BPDU报文，然后再从PC给设备发送BPDU报文，观察保护功能效果。G1/0/4的配置如下：

interface GigabitEthernet1/0/4

stp edged-port enable

port link-type trunk

port trunk permit vlan 1

STP状态：

MSTID Port Role STP State Protection

0 GigabitEthernet1/0/1 ALTE DISCARDING NONE

0 GigabitEthernet1/0/2 ROOT FORWARDING NONE

0 GigabitEthernet1/0/4 DESI FORWARDING BPDU

开始发送BPDU报文后，LSW3认为自己的边缘端口收到了BPDU报文，提示如下信息，并且STP使该端口SHUTDOWN：

%Apr 2 03:47:51:178 2000 LSW3 MSTP/3/IVBPDU:- 1 -BPDU-Protection port Gigabit

Ethernet1/0/4 received BPDU packet!

%Apr 2 03:47:51:312 2000 LSW3 L2INF/5/PORT LINK STATUS CHANGE:- 1 -

GigabitEthernet1/0/4 is DOWN

STP状态：

MSTID Port Role STP State Protection

0 GigabitEthernet1/0/1 ALTE DISCARDING NONE

0 GigabitEthernet1/0/2 ROOT FORWARDING NONE

停止发送BPDU报文后端口仍然维持DOWN状态，只能手动恢复。

交换机的根端口和其他阻塞端口的状态依靠不断接收上游交换机发送的BPDU来维持的。但是由于链路拥塞或者单向链路故障，这些端口会收不到上游交换机的BPDU。此时交换机会重新选择根端口，根端口会转变为指定端口，而阻塞端口会迁移到转发状态，从而交换网络中会产生环路。环路保护功能会抑制这种环路的产生。在启动了环路保护功能后，根端口的角色如果发生变化就会设置它为Discarding状态，阻塞端口会一直保持在Discarding状态，不转发报文，从而不会在网络中形成环路。直到端口重新收到由根转来的BPDU时，才可以转为Forwarding。如果该端口参与了STP计算，则不论其角色如何，该端口上的所有实例将一直被设置为Discarding状态。在MSTP中，此功能只对端口角色为ROOT、ALTERNATE和BACKUP的实例有效。

2.3.2 应用举例

这里仅列举ROOT、ALTERNATE端口上使能环路保护的情况。

ROOT端口：

LSW3设备的端口G1/0/2为根端口，G1/0/1为阻塞端口，在上游端口 LSW2:G1/0/2上STP DISABLED，则根端口G1/0/2接收 [k3]不到BPDU，端口直接变为指定端口，经过LEARNING状态后变为FORWARDING，转发报文，产生环路。

[k4]LSW3初始状态：G1/0/2做为根端口正常转发：

MSTID Port Role STP State Protection

0 GigabitEthernet1/0/1 ALTE DISCARDING NONE

0 GigabitEthernet1/0/2 ROOT FORWARDING NONE

上游端口STP DISABLED后端口先变为指定端口，DISCARDING：

MSTID Port Role STP State Protection

0 GigabitEthernet1/0/1 ROOT FORWARDING NONE

0 GigabitEthernet1/0/2 DESI DISCARDING NONE

由DISCARDING转为LEARNING：

MSTID Port Role STP State Protection

0 GigabitEthernet1/0/1 ROOT FORWARDING NONE

0 GigabitEthernet1/0/2 DESI LEARNING NONE

最后变为转发状态，产生环路：

MSTID Port Role STP State Protection

0 GigabitEthernet1/0/1 ROOT FORWARDING NONE

0 GigabitEthernet1/0/2 DESI FORWARDING NONE

由此看出，在没有环路保护的情况下，原来的阻塞端口变为根端口，原来的根端口最终变为转发状态，最终产生环路。[k5]我们再看一下端口G1/0/2使能LOOP PROTECTION后的现象：

MSTID Port Role STP State Protection

0 GigabitEthernet1/0/1 ROOT FORWARDING NONE

0 GigabitEthernet1/0/2 DESI DISCARDING LOOP

该端口一直保持DISCARDING状态，防止环路产生。

ALTERNATE端口：

LSW3设备的端口G1/0/1为阻塞端口，上游端口 LSW1:G1/0/1上STP DISABLED，则端口G1/0/1接收 [k6]不到BPDU，端口直接变为指定端口，经过LEARNING状态后变为FORWARDING，转发报文，产生环路。[k7]

LSW3初始状态：G1/0/1做为备份端口被阻塞：

MSTID Port Role STP State Protection

0 GigabitEthernet1/0/1 ALTE DISCARDING NONE

0 GigabitEthernet1/0/2 ROOT FORWARDING NONE

上游端口STP DISABLED后端口先变为指定端口，LEARNING状态：

MSTID Port Role STP State Protection

0 GigabitEthernet1/0/1 DESI LEARNING NONE

0 GigabitEthernet1/0/2 ROOT FORWARDING NONE

最后变为转发状态，产生环路：

MSTID Port Role STP State Protection

0 GigabitEthernet1/0/1 DESI FORWARDING NONE

0 GigabitEthernet1/0/2 ROOT FORWARDING NONE

由此看出，在没有环路保护的情况下，备份端口最终也会变为转发状态，产生环路。我们再看一下端口G1/0/1使能LOOP PROTECTION后的现象：

MSTID Port Role STP State Protection

0 GigabitEthernet1/0/1 DESI DISCARDING LOOP

0 GigabitEthernet1/0/2 ROOT FORWARDING NONE

使能保护功能后，端口一直保持DISCARDING状态，防止环路产生。

通过这两个例子，可以很好的证明由于没有收到BPDU，产生端口角色发生变化时，环路保护可以及时的阻塞相应端口，以达到解决临时环路的目的。