根保护防的是什么
根保护（思科 IOS 为 spanning-tree guard root，华为 VRP 与 H3C Comware 为 stp root-protection）部署在面向下级的端口上：一旦该端口收到比本机根桥更优的 BPDU，就把端口置为「根不一致」的阻塞状态，而不是让出根桥地位。它防的是接入层设备（私接交换机、误配优先级的新设备）意外抢占根桥，导致流量绕行、性能骤降。
基本信息
| 适用平台 | 思科 IOS / 华为 VRP / H3C Comware 交换机 |
|---|---|
| 思科命令 | spanning-tree guard root |
| 华为与 H3C 命令 | stp root-protection |
| 部署位置 | 面向下级的交换机互联端口，不能配在指向根桥的端口上 |
典型使用场景
- 核心与汇聚的朝下端口，保护既有根桥地位不被抢走
- 接入层新设备误配桥优先级导致二次抢根时
- 割接中新设备上电打乱拓扑，需要快速定位是谁在发更优 BPDU
- 与 BPDU Guard 分工：前者面向交换机互联口，后者面向终端接入口
- 排查日志中出现根保护相关提示词时确认影响范围
华为 VRP
华为 VRP
[Huawei-GigabitEthernet0/0/1] stp root-protection
<Huawei> display stp interface GigabitEthernet0/0/1
<Huawei> display stp brief # 各端口角色与状态
<Huawei> display logbuffer | include ROOT思科 IOS
思科 IOS
SW-CORE-01(config-if)# spanning-tree guard root
SW-CORE-01# show spanning-tree inconsistentports
SW-CORE-01# show spanning-tree interface GigabitEthernet1/0/1
SW-CORE-01# show logging | include ROOTH3C Comware
H3C Comware
[H3C-GigabitEthernet1/0/1] stp root-protection
<H3C> display stp interface GigabitEthernet1/0/1
<H3C> display stp briefSTP 安全特性分工
| 特性 | 部署端口 | 触发后的行为 |
|---|---|---|
| 根保护 | 面向下级的交换机互联口 | 端口进入根不一致阻塞，保住根桥地位 |
| BPDU 保护 | 面向终端的接入口 | 端口直接关闭（err-disable 或 ERROR DOWN） |
| 环路保护 | 根端口与备用端口 | 收不到 BPDU 时进入阻塞以防环 |
| 边缘端口 | 接终端或服务器的口 | 跳过学习与监听状态，接入后立即转发 |
只在指向下级、非根方向的端口上配根保护。配在指向根桥的端口上时，本端一旦收到更优 BPDU 就会把自己阻塞，导致网络分裂，后果比被抢根更严重。
触发后日志中会出现根保护相关提示词，此时应先确认是谁在发更优 BPDU（通常是新上电设备或私接交换机），而不是直接把保护配置删掉。