1、HCIP之RSTP协议与STP相关安全配置

BPDU的四个参数：

1、ROOT ID：根桥（ROOT）的桥ID（Bridge ID）

2、COST：到达根桥（ROOT）的开销值，G口默认为2000，越小越优先

3、Bridge ID：优先级+实例编号+MAC地址，其中优先级默认为32768，实例编号默认位0。优先级在设置的时候必须是4096的整数倍且越小越优先

4、Port ID：优先级+端口编号，优先级默认为128
根桥的选举规则：

对比自身和收到的Bridge ID，也就是优先级➕MAC地址

1、先比较优先级，越小越优先；

2、当优先级一样时对比MAC地址，越小越优先；

3、根桥上的端口都是指定端口
根端口（非根交换机）的选举规则：

1、比较到达根桥的开销COST，越小越优先；

2、比较接口对端交换机的BID，越小越优先；

3、比较对端接口的PID，越小越优先；

4、比较本设备上的PID，越小越优先；（少见）
指定端口（非必须）的选举规则：

1、根桥的所有接口都是指定接口；

2、比较接口去往根桥的开销，越小越优先；

3、比较接口对端交换机的BID，越小越优先；

4、比较本端接口的PID，越小越优先；（少见）
堵塞端口(Blocked port)：

1、如果不是以上阐述的三者之一，就堵塞该端口，此时环路被消除；

2、如果两交换机的两条或以上的端口互联，则选出一个根端口后剩下都是阻塞端口；

RSTP

P/A（提议/同意）机制

为了加快指定端口和根端口互联链路上的两端口快速进入转发状态（避免30秒的等待）而采取的机制。

P/A协商要求在点对点全双工链路。

P/A机制的过程：

1、当两设备的RSTP功能启动时都认为自己是根桥且会向对方发送一份BPDU，其中的P位值会设置为1（提议），A位也是1（同意）

2、当B收到对方的BPDU后与自己的"四个参数"作对比，如果选举失败就会向A发送一个A位为1的BPDU，且立即将自己端口中选举成功的一方设置为RP（根端口），选举失败的端口设置为AP（阻塞端口）

3、A收到B发送的同意BPDU后会立即将自己的端口都设置为DP（指定端口）

这里假设A的桥ID最大，B次之。

以上过程为秒级切换，但会有环路风险问题，因此需要引入同步机制

同步机制：

在对端设备接受同意前会将其他接口全部阻塞，会造成网络的一个中断但是周期很短，如下：

以上拓扑中各角色的选举过程：

1、设备RSTP功能启动时都认为自己是根桥切会向对方发送一份BPDU，其中的P位值会设置为1（提议），A位也是1（同意）

2、当B收到A发送的BPDU后与自己的"四个参数"作对比，如果选举失败就会向A发送一个A位为1的BPDU，且立即将自己端口中选举成功的一方（G0/0/1）设置为RP（根端口），选举失败的端口（G0/0/2）会暂时阻塞直到A收到同意消息后，才会继续向C发送提议消息

3、当C收到A发送的BPDU后与自己的"四个参数"作对比，如果选举失败就会向A发送一个A位为1的BPDU，且立即将自己端口中选举成功的一方（G0/0/1）设置为RP（根端口），选举失败的端口（G0/0/2）会暂时阻塞直到A收到同意消息后，才会继续向B发送提议消息

4、当A收到了BC的同意后，此时B和C会互相发送提议消息但是各自也都已经同意了A的提议不能在将对方认为是ROOT。此时BC之间的线路不会立即收敛，但并不会影响网络之间正常的通信

这里假设A的桥ID最大，B次之，C最小

以上可以解决拓扑变化后收敛速度慢的问题，但是还会出现一个问题：

如果此时C上连接了一个主机PC，C会向PC发送提议消息但是PC是没有回复功能的，所以会导致连接PC的接口收敛速度为30秒，如下图：

解决方法：

在C连接终端的接口G0/0/24上配置边缘端口，边缘端口会直接进入转发状态而不协商，但是也发送BPDU报文，需要管理员手动配置；

当边缘端口收到BPDU报文的时候就会放弃边缘端口的特性，重新进行生成树的计算。

边缘端口的配置：

全局下(推荐)：

php 复制代码

stp edged-port default

接口上：

php 复制代码

int g0/0/1
stp edged-port enable

还有一种情况：

以上拓扑中各角色的选举过程：

1、A和B互相发送携带提议字段（P=1）的BPDU报文，由于A的桥ID大于B的，所以会忽略B的BPDU并向B发送同意消息且立即将G0/0/1接口设置为DP（指定接口）

2、B在发现A应该是根桥后发送同意消息并立即将自己的G0/0/1接口设置为RP（根接口）同时阻塞G0/0/2接口

3、当B收到A的同意消息后将G0/0/2接口打开向C发送A的提议消息

4、当C收到A的提议消息后向A发送同意消息同时立即将G0/0/2接口设置为RP（根接口）

这里假设A的桥ID最大，B次之，C最小

RSTP的端口角色划分：

STP的三种角色：根端口、指定端口和阻塞端口

RSTP定义了两种心的端口角色：备份端口（Backup Port）和预备端口(Alternate Port)，其中备份端口是备份指定端口的，经常用在有集线器的拓扑上；而预备端口也叫替代端口，是用于替代根端口的，当根端口失效时，替代端口秒级替换上

RSTP中端口状态的重新划分：

以上可以分为两种情况：

1、有P/A机制的话端口会直接从Discarding状态到Forwarding状态；

2、如果没有P/A机制就会正常的经过两个周期才能转换到Forwarding状；

ensp模拟器BUG:

无法模拟设备的自动刷新MAC地址表，会导致网络中拓扑结构发生变化时无法及时更新MAC地址表而造成的网络中断，需要手动刷新或者从另一端重新PING一下进行MAC地址表的更新。

真机不会出现这个问题，因为真机会对拓扑的变化而做出相应的处理：Topology Change消息

Topology Change

当交换机发现某个端口发生故障而阻塞后，会将MAC地址表中相应的MAC与端口绑定的表项删除，且会向网络中发送一条TC消息（拓扑变化消息），当其他设备接受到后会触发MAC地址表的更新，会将除了接受TC消息以外的所有端口的MAC地址表项删除（边缘端口除外），完成后会将TC消息发送给下一个设备。

STP的安全设置：

BPDU保护：

当我们要求边缘端口只允许连接主机不能连接交换机时会进行配置BPDU保护（默认情况下边缘端口可以连接交换机，但会放弃边缘端口的特性），当启用BPDU保护的时候，如果边缘端口收到了BPDU消息，则会立即关闭该接口

配置方法：

php 复制代码

stp bpdu-protection

BPDU保护的功能依赖于边缘端口的设置，输入以上命令后，所有边缘端口都会自动开启BPDU保护，收到BPDU消息后会关闭接口

注意：如果是边缘端口检测到BPDU后重新进行生成树计算的端口，也会被关闭，应该进入该接口下关闭边缘端口功能

BPDU过滤：

当收到BPDU消息后不会关闭接口，而是丢弃BPDU消息

配置方法：

php 复制代码

stp bpdu-filter default

根保护：

当我们在原有的网络拓扑上新接入一台交换机且不希望它成为根桥时会配置根保护（一般在核心交换机或汇聚交换机上）

根保护功能会继续接收BPUD消息，但是不接受会抢占自己根位置的BPDU

注意：不能在根端口（RP）启用！！！

配置方法：

php 复制代码

int g0/0/1
stp root-protection

此时，G0/0/1接口的另一端如果接入了优先级更高的交换机，会拒绝接受它的BPDU信息并把接口设置为丢弃状态，就相当于将其隔离在这个网络之外了，只能修改优先级比根桥小才能让其重新加入这个网络

TC-BPDU泛洪保护：

限制拓扑变化消息的发送次数，防止不断地恶意TC-BPDU消息，当TC-BPDU消息在两秒内（默认）的次数达到我们设置的上限时就会拒绝此类BPDU

php 复制代码

stp tc-protection threshold