根保护是什么
根保护（root protection）配置在期望长期保持指定（转发）角色的端口上，典型位置是根桥的下行口。该端口一旦收到优先级更优的 BPDU，就不再参与抢根，直接进入阻塞并产生告警日志，从而防止接入侧设备或误接线改变根桥位置。它保护的是端口位置，不等于『只有根桥才能配置』。
基本信息
| 适用平台 | 华为 stp root-protection、Cisco spanning-tree guard root |
|---|---|
| 配置位置 | 根桥下行口，或希望固定为转发角色的端口 |
| 触发条件 | 端口收到优先级更优的 BPDU（比较桥 ID） |
| 触发行为 | 端口进入阻塞状态并产生日志告警 |
| 恢复方式 | 不再收到优 BPDU 后按生成树流程恢复 |
典型使用场景
- 保护核心根桥不被接入层私接的交换机抢走
- 固定园区核心下行口的角色，避免误接线引发全局倒换
- 与 BPDU 保护配合，阻止用户侧设备参与生成树计算
- 演练时临时关闭根保护，验证倒换路径与收敛时间
- 割接前核对哪些端口需要保护，防止施工造成根桥漂移
配置与核对
配置与核对
# 华为：接口视图，典型配在根桥下行口
interface GigabitEthernet0/0/24
stp root-protection
display stp interface GigabitEthernet0/0/24 # 核对角色与保护配置
# Cisco：接口视图
interface GigabitEthernet1/0/24
spanning-tree guard root
show spanning-tree interface GigabitEthernet1/0/24配置要点
| 项目 | 说明 | 注意 |
|---|---|---|
| 配置位置 | 根桥下行口或固定转发口 | 配在需要参与倒换的端口会阻断冗余 |
| 触发条件 | 收到桥 ID 更优的 BPDU | 判定依据是优先级与 MAC，与开销无关 |
| 触发后行为 | 端口进入阻塞并记录日志 | 无监控时会长期少一条可用链路 |
| 恢复条件 | 不再收到优 BPDU | 恢复后需核对根桥是否回到设计位置 |
对端只要把桥优先级配得比根桥更小就可能触发根保护，排查此类故障先看端口日志与对端配置，而不是先删保护配置。
多数平台上根保护与环路保护在同一端口互斥，确需同时使用时按本机型文档确认支持范围，避免命令被拒绝或行为不符合预期。