BPDU 保护是什么
BPDU 保护针对接入层最典型的私接场景：边缘端口本不该收到 BPDU，一旦收到就说明下面接了交换机或已经出现环路，此时立即关闭端口可以把风险限制在单个接口内。它是一个「配套特性」——必须与边缘端口（华为/H3C 的 edged-port、思科的 PortFast）一起用，否则没有保护对象。
基本信息
| 适用设备 | 三厂通用（华为 VRP / H3C Comware / 思科 IOS） |
|---|---|
| 华为/H3C 命令 | 系统视图 stp bpdu-protection；端口 stp edged-port |
| 思科命令 | 全局 spanning-tree portfast bpduguard default；端口 spanning-tree portfast |
| 配套关系 | 只对边缘端口生效，级联口不要开 |
| 被关闭后 | 依赖 error-down（华为/H3C）或 errdisable（思科）恢复机制 |
典型使用场景
- 办公接入层防止用户私接小交换机、随身路由器
- 会议室与工位面板被误接成环路时快速止损
- 配合边缘端口缩短终端接入口的收敛时间
- 接入层安全加固的标配项（私接即阻断）
- 环路事故复盘：确认防护是否真的生效、恢复是否及时
华为 VRP
华为 VRP
stp bpdu-protection # 系统视图下全局开启
interface GigabitEthernet0/0/1
stp edged-port enable # 把接终端的口设为边缘端口
display stp interface GigabitEthernet0/0/1
display stp brief # 看端口角色与状态思科 IOS
思科 IOS
spanning-tree portfast bpduguard default # 全局默认，只作用于 portfast 口
interface GigabitEthernet0/1
spanning-tree portfast
spanning-tree bpduguard enable # 也可逐口显式开启
show spanning-tree interface GigabitEthernet0/1 detailH3C Comware
H3C Comware
stp bpdu-protection
interface GigabitEthernet1/0/1
stp edged-port # H3C 不带 enable
display stp interface GigabitEthernet1/0/1
display stp brief三厂配置对照
| 操作 | 华为 VRP | H3C Comware | 思科 IOS |
|---|---|---|---|
| 全局开启保护 | stp bpdu-protection | stp bpdu-protection | spanning-tree portfast bpduguard default |
| 端口设为边缘 | stp edged-port enable | stp edged-port | spanning-tree portfast |
| 单口开启保护 | 系统视图开启后对所有边缘端口生效 | 同华为 | spanning-tree bpduguard enable |
| 查看 | display stp interface ... | display stp interface ... | show spanning-tree interface ... detail |
| 端口关闭后恢复 | error-down 自动恢复机制 | error-down 自动恢复机制 | errdisable recovery |
绝不要在级联端口（交换机互联口）开启 BPDU 保护：对端交换机发出的 BPDU 一到，上联口会被直接关闭，造成整段断网。它只用于接终端、接 AP、接无管理设备的边缘端口。
思科与华为/H3C 的作用范围不同：思科全局默认只对 PortFast 端口生效（也可逐口显式配置），华为/H3C 在系统视图开启后对所有边缘端口生效。核对生效范围时要分清这两套逻辑。