STP 保护特性怎么组合
生成树保护特性各管一个位置：接入口防误接（BPDU 保护）、根侧防被抢占（根保护）、备份口防单通（环路保护）、全局防 TC 报文刷屏（TC 保护）。它们不是互相替代的关系，而是按端口角色叠加使用，形成纵深防护。只配其中一项，等于只堵住一个方向的误操作。
基本信息
| BPDU 保护 | 接入口：收到 BPDU 即关闭端口 |
|---|---|
| 根保护 | 根桥下行口或不期望被抢占的端口：拒绝更优 BPDU |
| 环路保护 | 根端口与替代端口：BPDU 丢失时保持阻塞 |
| TC 保护 | 全局：限制 TC-BPDU 的处理速率 |
| 部署原则 | 按端口角色分别选择，不做全端口一刀切 |
典型使用场景
- 接入口防误接：终端侧插上小交换机或路由器时的自动阻断
- 根桥保护：防止接入侧设备抢占根桥造成路径重组
- 单通防护：光路单向故障时避免备份口误进转发状态
- TC 泛洪防护：拓扑频繁变化时限制协议处理压力
- 安全整改：把保护特性作为交换机的标准配置项
配置示例（华为）
配置示例（华为）
stp bpdu-protection # 全局启用 BPDU 保护（接入口生效）
stp tc-protection # 全局限制 TC 报文处理速率
interface GigabitEthernet0/0/1
stp edged-port enable # 接入边缘端口（配合 BPDU 保护）
interface GigabitEthernet0/0/24
stp root-protection # 不期望被抢占的端口
interface GigabitEthernet0/0/25
stp loop-protection # 根端口 / 替代端口
display stp brief # 核对各端口角色与保护状态特性与部署位置
| 特性 | 部署位置 | 作用 |
|---|---|---|
| BPDU 保护 | 终端接入口 | 收到 BPDU 即关闭端口 |
| 根保护 | 根桥下行口或不期望被抢占的口 | 拒绝更优 BPDU，保持既有角色 |
| 环路保护 | 根端口 / 替代端口 | BPDU 丢失时保持阻塞，避免成环 |
| TC 保护 | 全局 | 限制 TC-BPDU 处理速率 |
保护特性防的是误接与故障，不等于防攻击：协议报文限速、端口安全、DHCP 侦听等要配套部署，才能覆盖更完整的二层安全面。
保护特性配有明确的触发动作：BPDU 保护触发会关闭端口，需要人工或配置恢复机制。上线前先明确恢复流程，避免一次误接导致端口长期停用却无人处理。