stp root-protection是不是使用在上级交换机到下级交换机之间？

stp root-protection

stp root-protection命令用来使能端口的根保护功能。

undo stp root-protection命令用来关闭端口的根保护功能。

【命令】

stp root-protection

undo stp root-protection

【缺省情况】

端口上的根保护功能处于关闭状态。

【视图】

二层以太网接口视图/二层聚合接口视图

【缺省用户角色】

network-admin

mdc-admin

【使用指导】

·     在同一个端口上，不允许同时配置根保护功能和环路保护功能。

·     二层以太网接口视图下的配置只对当前端口生效；二层聚合接口视图下的配置只对当前接口生效；聚合成员端口上的配置，只有当成员端口退出聚合组后才能生效。

【举例】

# 在端口GigabitEthernet3/0/1上使能根保护功能。

<Sysname> system-view

[Sysname] interface GigabitEthernet 3/0/1

[Sysname-GigabitEthernet3/0/1] stp root-protection

应用场景

由于维护人员的错误配置或网络中的恶意攻击，根桥收到优先级更高的BPDU，会失去根桥的地位，重新进行生成树的计算。由于拓扑结构的变化，可能造成高速流量迁移到低速链路上，引起网络拥塞。

对于使能根保护功能的指定端口，其端口角色只能保持为指定端口。一旦使能根保护功能的指定端口收到优先级更高的BPDU时，端口状态将进入Discarding状态，不再转发报文。在经过一段时间（通常为两倍的Forward Delay），如果端口一直没有再收到优先级较高的BPDU，端口会自动恢复到正常的Forwarding状态。

注意事项

由于当前端口是指定端口时根保护便会生效，且根保护基于端口进行配置，所以建议当端口在所有实例中都是指定端口时配置根保护功能。

若在其他类型的端口上执行stp root-protection，根保护功能并不生效。

环路保护功能和根保护功能不能同时配置在同一端口。

配置根保护功能

生成树的根桥和备份根桥应该处于同一个域内，特别是对于CIST的根桥和备份根桥，网络设计时一般会把CIST的根桥和备份根桥放在一个高带宽的核心域内。但是，由于维护人员的错误配置或网络中的恶意攻击，网络中的合法根桥有可能会收到优先级更高的BPDU，这样当前合法根桥会失去根桥的地位，引起网络拓扑结构的错误变动。这种不合法的变动，会导致原来应该通过高速链路的流量被牵引到低速链路上，导致网络拥塞。

为了防止这种情况发生，生成树协议提供了根保护功能：对于开启了根保护功能的端口，其在所有MSTI上的端口角色只能为指定端口。一旦该端口收到某MSTI优先级更高的BPDU，立即将该MSTI端口设置为侦听状态，不再转发报文（相当于将此端口相连的链路断开）。当在2倍的Forward Delay时间内没有收到更优的BPDU时，端口会恢复原来的正常状态。

请在设备的指定端口上进行如下配置。

需要注意的是，在同一个端口上，不允许同时配置根保护功能和环路保护功能。

表1-45 配置根保护功能

了解根保护

由于维护人员的错误配置或网络中的恶意攻击，网络中合法根桥有可能会收到优先级更高的RST BPDU，使得合法根桥失去根地位，从而引起网络拓扑结构的错误变动。这种不合法的拓扑变化，会导致原来应该通过高速链路的流量被牵引到低速链路上，造成网络拥塞。

如图1所示，DeviceA和DeviceB处于网络核心层，两者间的链路带宽为1000M，DeviceA为网络中的根桥。DeviceC处于接入层，DeviceC和DeviceA、DeviceC和DeviceB之间的链路带宽为100M。正常情况下，DeviceB和DeviceC之间的链路被阻塞。

当DeviceD新接入DeviceC时，如果DeviceD的桥优先级高于DeviceA，此时DeviceD会被选举为新的根桥，如果两个核心交换机DeviceA和DeviceB之间的千兆链路被阻塞，会导致VLAN中的流量都通过两条100M链路传输，可能会引起网络拥塞及流量丢失。

图1-1 根保护

此时可以在DeviceC连接DeviceD的端口上，配置根保护。对于启用根保护功能的指定端口，其端口角色只能保持为指定端口。一旦启用Root保护功能的指定端口收到优先级更高的RST BPDU，端口状态将进入Discarding状态，不再转发报文。如果在一段时间（通常为两倍的Forward Delay）内，如果端口没有再收到优先级更高的RST BPDU，端口会自动恢复到正常的Forwarding状态。

 说明：

• 根保护功能仅在指定端口上生效。
• 环路保护功能和根保护功能不能同时配置在同一端口。
• MSTP、VBST协议中的环路保护功能与RSTP协议类似。三种协议的区别在于RSTP中所有VLAN共享一棵生成树，所有VLAN的流量按照同样的路径转发，而MSTP和VBST可以实现不同VLAN的流量按照不同路径转发。