BPDU 保护是什么
BPDU 保护针对的是接入端口：这类口本应只接终端，一旦收到 BPDU 就说明有交换设备（含软路由、无线网桥、虚拟化桥接）误接进来，存在形成环路的可能。保护机制的做法很直接：收到 BPDU 立即把该端口置为 error-down，停止转发，把环路风险挡在入口。它与边缘端口是配套使用的，边缘端口保证终端即插即用，BPDU 保护防止边缘端口被误当成上行口使用。
基本信息
| 华为命令 | 全局 stp bpdu-protection |
|---|---|
| 思科命令 | 全局 spanning-tree portfast bpduguard default |
| H3C 命令 | 全局 stp bpdu-protection |
| 触发动作 | 端口进入 error-down 状态并停止转发 |
| 恢复方式 | 缺省需手动恢复或配置自动恢复 |
| 华为自动恢复 | error-down auto-recovery cause bpdu-protection interval 30 |
| 配套机制 | 边缘端口（edged-port / PortFast） |
配置示例
配置示例
# 华为：全局启用 BPDU 保护
stp bpdu-protection # 收到 BPDU 的接入端口即被关闭
error-down auto-recovery cause bpdu-protection interval 30 # 30 秒后自动恢复
# 接口下配合边缘端口使用
interface GigabitEthernet0/0/1
stp edged-port enable
# Cisco：对全局所有 PortFast 端口生效
spanning-tree portfast bpduguard default
interface GigabitEthernet1/0/1
spanning-tree portfast
spanning-tree bpduguard enable # 也可在单口开启触发后的处置
| 现象 | 含义 | 处置动作 |
|---|---|---|
| 端口状态 error-down | 收到 BPDU 被强制关闭 | 接到告警后先确认误接入设备来源 |
| 日志提示 BPDU 保护触发 | 记录触发时间与端口 | 按端口定位物理位置与使用人 |
| 端口无法自动恢复 | 缺省需手动或配置自动恢复 | 确认风险排除后再恢复端口 |
| 反复触发 | 误接入设备未移除 | 只恢复端口不处理根因会循环发生 |
典型使用场景
- 办公接入口：防止员工自带路由器或交换机接入造成环路
- 会议室与公共区域端口：人员流动大，误接概率高
- 实验室与产线：临时接线频繁，需要自动化的入口管控
- 无线 AP 管理口：防止 AP 被换成交换机后引入环路
- 配合边缘端口统一策略：接入端口一律开边缘端口加 BPDU 保护
端口被关闭后默认需要人工恢复。产线、教室这类频繁插拔的环境建议配置自动恢复，但必须同步做好记录与告警，否则会自动恢复再触发，根因始终没有被处理。
BPDU 保护与 BPDU 过滤作用相反：前者在收到 BPDU 时关端口，后者则是不发送 BPDU。同一端口不要同时启用两类策略，否则行为相互抵消，排障时很难判断到底哪条生效。