
生成树BPDUGuard和错误接口自动恢复
跑步 生成树协议 大型网络环境中的(STP)可能是一项具有挑战性的任务,尤其是在诸如以下功能/增强功能时 BPDU 过滤器 和 BPDU 防护 需要配置以帮助STP适应网络基础架构要求。
成功部署STP的关键是了解如何使用和实施每个STP功能。
了解和配置BPDU Guard
BPDU 防护 是STP增强功能,启用后会将端口放置在 错误的 当它从该端口接收到任何BPDU数据包时,该模式为“ mode”。
BPDU 防护 通常是在访问层端口上配置的,在这些端口上我们不希望看到连接到这些端口的设备(例如计算机,打印机,IP电话或其他用户端设备)收到的任何BPDU数据包。
用作其他交换机的上行链路或下行链路的端口应 不 有 BPDU 保护已启用 因为当交换机主动监视网络环路时,它们更有可能发送和接收BPDU数据包。
BPDU 防护 可以在 全局模式 要么 接口方式.
当在 全局模式 功能是 全局启用 对于配置了所有的交换机端口 端口快速配置. 快速港口 是在每个单独的端口上配置的STP功能,该功能会强制端口进入 直接进入转发状态 而不是通过正常的STP状态(监听,学习,转发)。
而 快速端口 是一项非常方便的功能,可强制网络端口立即转换为转发状态(类似于非托管交换机),因此请务必谨慎使用,因为STP无法立即通过网络检测到网络环路。 启用端口快速的端口.
配置 BPDU 防护 在 全局模式 使用 生成树portfast bpduguard 缺省 命令输入 全局配置模式:
SW2(配置)# 生成树portfast bpduguard 缺省
配置 BPDU 防护 在 接口方式 使用 生成树bpduguard启用 界面下的命令:
SW2(config-if)# 生成树bpduguard启用
注意: 请务必记住,如果将接口配置为 接入端口 , 与 启用端口快速, 和 接收BPDU报文 它会自动 残障人士 放在一个 错误状态.
为了帮助说明BPDU Guard的工作原理,我们配置了 端口G1 / 0/1 在我们的3750-X上作为访问链接 快速端口 和 BPDU 防护 已启用:
图1.生成树BPDU Guard的配置和示例
接口GigabitEthernet1 / 0/1
切换端口模式访问
交换端口访问VLAN 2
生成树portfast
生成树bpduguard启用
接下来,我们将另一个运行生成树协议的交换机(恶意交换机)连接到SW2上的端口G1 / 0/1。在G1 / 0/1上收到BPDU数据包后,SW2的反应如下:
* 10月5日02:41:21.821:%SPANTREE-2-BLOCK_BPDUGUARD:启用了BPDU保护功能的端口Gi1 / 0/1上接收到BPDU。 禁用端口.
* 10月5日02:41:21.830:%PM-4-ERR_DISABLE:在Gi1 / 0/1上检测到bpduguard错误,将Gi1 / 0/1放入 错误禁用状态
* 10月5日02:41:22.803:%LINEPROTO-5-UPDOWN:接口GigabitEthernet1 / 0/1上的线路协议,状态更改为down
* 10月5日02:41:23.835:%LINK-3-UPDOWN:接口GigabitEthernet1 / 0/1,状态更改为“ down”
如预期的那样,该端口被生成树协议自动禁用。
注意:如果接口G1 / 0/1被配置为 中继端口 并收到了 BPDU 数据包 , 它会 不被禁用.
由于BPDU保护而从禁用的端口恢复
有多种方法可以从已放置在 错误状态 而当今工程师最常用的方式是发布 关掉 命令后跟 没有关机 直接在界面的配置下执行命令。
自动恢复已禁用的端口 也可以在Cisco Catalyst交换机上进行配置。此方便的功能将防止端口被永久禁用,但是,这意味着,如果连续满足接收BPDU数据包的端口的有害条件,该端口将在 向上 和 错误的 州。
因此,建议使用 自动错误恢复功能 仅在绝对必要的情况下,例如对于难以访问的远程交换机。
SW2(配置)# 错误恢复导致bpduguard
SW2(配置)# 错误恢复间隔30
SW2(配置)# 错误恢复间隔30
上面的全局配置将恢复 错误的端口 , 由于 bpduguard ,每30秒自动进行一次。
结论
增强了许多功能。 生成树协议 以使其灵活应对当今日益复杂和苛刻的网络。使用 增强的STP功能 喜欢 BPDU Guard 帮助 保护网络免受恶意交换机的攻击 和 避免不必要的STP拓扑更改, 但是,了解 正确使用BPDUGuard 确保正确配置并放置在STP拓扑中。