接入口防护要定期核对
接入口的生成树防护靠三样东西撑着：边缘端口配置、BPDU 保护的动作、以及被保护关闭后的处置流程。它们有一个共同特点——防护生效时会切断问题端口，如果不定期核对触发记录，防护就会从「保护」变成「长期断网」。把这三项纳入例行巡检，是接入安全能持续生效的前提。
基本信息
| 防护项 | 边缘端口、BPDU 保护、根保护、环路保护 |
|---|---|
| 触发后果 | 端口被关闭且通常不自动恢复 |
| 巡检对象 | 被关闭端口、保护触发日志、边缘端口配置一致性 |
| 处置原则 | 先追查接入源，再恢复端口 |
例行核对项
- 端口状态里是否存在因保护机制被关闭的端口
- 日志中近期是否有 BPDU 保护触发记录，涉及哪些接入点
- 接入口的边缘端口配置是否被改动或遗漏
- 根保护与环路保护的配置是否与规划一致
- 被保护关闭的端口是否已完成处置与恢复，有无长期挂起
巡检命令
巡检命令
display interface brief # 华为：找被关闭的端口
display logbuffer | include BPDU # 华为：保护触发记录
display stp interface GigabitEthernet0/0/1 # 华为：单口生成树状态
stp bpdu-protection # 华为：全局启用 BPDU 保护
interface GigabitEthernet0/0/1
stp edged-port enable # 华为：把接入口设为边缘端口
show spanning-tree interface GigabitEthernet1/0/1 # 思科：确认防护与状态防护项对照
| 防护项 | 防的是什么 | 触发后 |
|---|---|---|
| 边缘端口 | 接入口参与生成树计算 | 立即进入转发，收敛快 |
| BPDU 保护 | 接入口收到不该有的 BPDU | 关闭端口，需人工恢复 |
| 根保护 | 上游设备抢走根桥角色 | 端口进入阻塞并记录 |
| 环路保护 | 根端口长期收不到 BPDU | 避免误切换造成环路 |
发现 BPDU 保护触发，先追查接入源（工位、会议室、临时接线点），确认误接入设备已移除，再恢复端口。顺序反了会反复触发。
被保护的端口不会自动恢复，如果不做定期核对，很容易变成「等用户报障才发现」的滞后处理，故障时长不可控。