思科生成树安全技术

生成树安全
STP Portfast
SW6(config)#spanning-tree portfast edge default
实用场景：使能了portfast的端口发生变化不会产生TCN BPDU
部署位置：连接终端的端口
效果：端口直接处于STP转发状态（DHCP、PXE很方便）

BPDUGuard ：全局下针对portfast 接的终端，正常情况下是没有BPDU 发送过来的，如果收到的话会把该端口置为err-disable;
接口级别命令，即使没有配置portfast ，收到BPDU ，会把接口置于error-disable

SW6(config)#spanning-tree portfast edge bpduguard default
• 实用场景：防止portfast端口被接入交换机而产生环路
• 部署位置：通常部署在所有连接主机并且启用了portfast的端口
• 效果：端口收到BPDU则置为 err-disable状态，阻塞数据收发

Bpdufilter
在全局使能的话针对portfast 端口，防止portfast 接口发送或者接收
BPDU. 接口在up 期间还会发送一些BPDU
接口下使能的话，即使没有配置portfast ，也会阻止接口下发送或者
接收BPDU
除特殊情况不 建 议使用该特性
SW6(config)#spanning-tree portfast edge bpdufilter default
• 实用场景：如果非常必要的场景，尽量不要部署该特性
• 部署位置：通常部署在连接终端的portfast端口
• 效果：阻止接口发出BPDU

ROOTGUARD
防止非根交换机抢占指定的根交换机，如果在配置了命令的接口收到更优的BPDU，
将把该接口置于inconsistent状态.配置在指定端口

SW4(config)#int rang e0/0-3
SW4(config-if-range)#spanning-tree guard root
实用场景：防止未经规划的下游交换机成为 root
部署位置：核心交换机连接下游交换机的 DP 端口
效果：如果该接口收到了比当前根桥更优的BPDU，则端口置为STP根不连续状态

Loopguard
防止 替代端 口或者根端口变为指定端口而发生环路
Loop Guard特性会进行额外的检测。如果在一个非指定端口上没有收到BPDU，而且启用了
Loop Guard，那么端口会转到loop-inconsistent闭塞状态，而不是监听、学习、转发这个过程
SW6(config)#int e0/2
SW6(config-if)#spanning-tree guard loop
实用场景：防止单向链路故障引起网络灾难
部署位置：部署在接入交换机的RP和AP上
效果：如果非DP端口没有收到BPDU，则端口进入loop-inconsistent状态

Loop Guard 与其它STP 特性协同工作
Root Guard和Loop Guard是互相独立、排斥的。
Root Guard在指定端口上使用，它不允许这端口成为非指定端口
Loop Guard在非指定端口上使用，它不允许端口在max_age超时后成为指定端口
Root Guard和Loop Guard不能同时在同一个端口上使用。当Loop Guard在一个端口上使用时，它会使已经在这端口上配置了的Root Guard特性失效。
两者对于Loop Guard来说是透明的。当Backbone Fast跳过max_age重新收敛时，它不会触发Loop Guard特性。
Loop guard不能够在共享链路上启用。如果你在共享链路上使用Loop guard，从连接到共享链路的主机那里来的流量可能会被阻塞。
Loop guard 在MST环境中能够正确地工作 。

UDLD
UDLD检测的目的是在STP完成收敛之前完成单向链路检测。默认情况下45秒完成。一种针对物理检测的机制，可以用于以太网和光纤网络
两种模式：
SW6(config)#udld enable
normal —— 正常模式，如果没有收到确认则认为链路不稳定，但逻辑链路不会关闭端口
SW6(config)#int e0/0
SW6(config-if)#udld port aggressive aggressive —— 激进模式，收不到确认在一秒内发送八个报文，如果还没有确认则端口进入 error 状态
验证
SW6#show udld neighbors
SW6#show udld
是一种物理检测机制
默认仅仅检测光链路，电口需要在接口下操作