TC 保护防的是什么
TC-BPDU 保护限制单位时间内处理的拓扑变化报文数量，防止伪造的 TC 触发 MAC 地址表频繁老化与随之而来的泛洪风暴。华为设备缺省已使能该保护，并可调整处理窗口与阈值。它的作用是限速处理：窗口之外多余的 TC-BPDU 被抑制丢弃，正常 BPDU 不受影响。
基本信息
| 适用平台 | 华为 VRP（H3C 有对应机制） |
|---|---|
| 缺省状态 | 华为缺省已使能 |
| 窗口参数 | stp tc-protection interval（秒） |
| 阈值参数 | stp tc-protection threshold（窗口内处理个数） |
| 超出阈值 | 多余的 TC-BPDU 被抑制丢弃 |
典型使用场景
- 接入侧端口被伪造 BPDU 攻击，导致全网 MAC 表频繁老化
- 拓扑持续震荡时先用保护止血，再定位震荡根因
- 调整阈值前评估合法 TC 的产生频率，避免误伤正常收敛
- 巡检确认保护处于开启状态，尤其是做过排障变更之后
- 与边缘端口、BPDU 保护配合，形成完整的接入侧防线
华为配置与查看
华为配置与查看
stp tc-protection
stp tc-protection interval 10 # 处理窗口（秒）
stp tc-protection threshold 5 # 窗口内允许处理的 TC 数量
display stp # 查看保护状态与拓扑变化计数配套配置
| 配置项 | 作用 | 调优提示 |
|---|---|---|
| tc-protection | 开启 TC 限速保护 | 关闭后伪造 TC 会直接冲击 MAC 表 |
| interval | 统计与抑制窗口 | 窗口过小会频繁触发抑制 |
| threshold | 窗口内允许处理的 TC 数量 | 过小拖慢合法收敛，过大防护不足 |
| 边缘端口 | 接终端端口不参与生成树计算 | 与 TC 保护互补，减少无效 TC |
| BPDU 保护 | 收到 BPDU 即关闭端口 | 与 TC 保护配合防止伪造报文 |
和边缘端口配合使用
TC 保护的定位是限速，边缘端口的作用是从源头减少无效的拓扑变化：接终端的端口配成边缘端口后不再参与生成树计算，终端反复上线下线不会持续产生 TC。两者配合使用，才能把接入侧常见的『用户插拔网线引发全网 MAC 老化』压下去。
阈值调得太小会拖慢合法拓扑变化的收敛。调整前先用日志与拓扑变化计数评估真实的 TC 频率，再决定阈值；凭感觉取一个更小的值，往往是把防护做成了新的故障源。