mstp的bpdu报文传输问题
- 0关注
- 0收藏，227浏览
问题描述：
stp的bpdu报文是在哪个vlan里传输的？pvid vlan 吗？交换机的pvid vlan都是默认的vlan 1，没有改过，下图中交换机3的G1/0/1接口拒绝了vlan 1，他的bpdu报文为什么还能发出去呢？抓包可以看到bpdu报文没有带tag字段
组网及组网描述：
S6850_1:接口G1/0/1是trunk，放行vlan 10 20，拒绝vlan 1；接口G1/0/2是access vlan 10
S6850_2:接口G1/0/1是trunk，放行vlan 10 20，拒绝vlan 1
S6850_3:接口G1/0/1是trunk，放行vlan 10 20，拒绝vlan 1
- 2026-07-21提问
- 举报
-
(0)
2. 交换机3的G1/0/1接口拒绝VLAN 1但BPDU能发出的原因：
接口G1/0/1是Trunk，PVID默认是VLAN 1（未修改），BPDU属于控制平面报文，不受Trunk接口的VLAN过滤列表（允许/拒绝VLAN）限制。即使Trunk接口拒绝VLAN 1，BPDU仍会以Native VLAN（VLAN 1）的身份、不带Tag发送，因为BPDU的传输优先级高于数据平面的VLAN过滤规则。
3. 验证命令：
查看接口PVID：display interface GigabitEthernet 1/0/1 | include PVID
查看Trunk接口允许的VLAN：display interface GigabitEthernet 1/0/1 trunk
抓包确认BPDU的VLAN ID（无Tag时对应Native VLAN）。
- 2026-07-21回答
- 评论(0)
- 举报
-
(1)
bpdu 是协议报文；不属于任何vlan ；
在华三交换机中 分两种情况；
1、交换机全局开启stp的情况下，stp 协议报文 不受端口vlan tag 影响，是直接上送cpu处理的；
2、全局关闭stp 的情况下，stp 按照普通业务报文转发，受到端口vlan tag 影响；在一些场景中由于端口vlan trunk ，pvid 等配置差异，可能会触发bpdu 单通的情况；
- 2026-07-21回答
- 评论(0)
- 举报
-
(0)
一、先给出关键结论（H3C Comware V7 平台）
- MSTP BPDU 永远是【untag 无标签报文】，不属于任何业务 VLAN，不参与接口 VLAN 允许列表校验！
- MSTP BPDU 使用IEEE 802.3 raw 格式（EtherType=0x0026），不是 802.1Q 封装，报文本身不存在 VLAN Tag；
- 接口
undo port trunk permit vlan 1（拒绝 VLAN1）只能拦截带 Tag 的 VLAN1 业务流量，无法拦截 MSTP BPDU； - BPDU 不受 PVID 限制，PVID 只作用于普通终端 untag 业务帧，和 STP/MSTP 协议报文完全隔离。
抓包现象对应：你捕获到的Spanning-tree-(for-bridges)_00报文无 802.1Q 标签，和理论完全吻合。
二、区分两类极易混淆的 STP 报文
| 报文类型 | 封装形式 | 受 trunk 允许 VLAN 控制？ | 作用 |
|---|---|---|---|
| 标准 MSTP/STP BPDU（802.1s/802.1d） | Untag 裸二层帧，无 VLAN 标签 ❌ | 不受 VLAN 允许列表控制 | 生成树拓扑计算、根桥协商（你现在抓的就是这类） |
| CST BPDU / PVST+ Cisco 私有 BPDU | 带 VLAN Tag 封装 ✅ | 受 trunk 允许 VLAN 限制 | 思科每 VLAN 生成树，H3C 一般不用 |
三、回答你的核心疑问：接口拒绝 VLAN1，为什么 BPDU 照样收发？
接口命令含义
port trunk permit vlan 10 20
undo port trunk permit vlan 1
- 带 tag 的 VLAN1 数据报文 → 接口直接丢弃；
- MSTP 裸 BPDU（无 tag、不属于任何 VLAN） → 属于协议控制报文，交换机硬件优先放行，不做 VLAN 允许列表检查。
PVID 起什么作用？
- 对 MSTP 协议 BPDU 不生效；
- BPDU 不会被划入 PVID VLAN，不会触发 VLAN 访问控制。
四、如何才能拦截 MSTP BPDU？（如果你需要阻断生成树协商）
trunk permit vlan无法阻断，必须使用下面方案：- 接口关闭 STP（推荐，最标准）
interface GigabitEthernet 1/0/1
undo stp enable
- 使用 ACL + 包过滤拦截二层 BPDU 组播 MAC
MSTP 目的 MAC：
01-80-C2-00-00-00
acl layer2 4000
rule deny destination-mac 0180-c200-0000 ffff-ffff-ffff
rule permit
interface GigabitEthernet 1/0/1
packet-filter layer2 4000 inbound
packet-filter layer2 4000 outbound
五、补充组网风险提醒 ⚠️
极简一句话总结
undo port trunk permit vlan 1仅拦截带标签业务流量，拦不住 BPDU，因此你抓包依旧可以看到报文。- 2026-07-21回答
- 评论(0)
- 举报
-
(0)
你抓包看到的现象完全正确，这正是MSTP（多生成树协议）的标准行为。
根本原因在于，MSTP的BPDU（网桥协议数据单元）是一种控制平面的协议报文，它天生就不携带任何VLAN Tag（802.1Q标签）。它的传输和处理逻辑，和数据平面的普通数据帧完全不同。
📡 BPDU的传输机制
报文格式：MSTP的BPDU采用 IEEE 802.3 的封装格式，而VLAN Tag是 IEEE 802.1Q 标准定义的。两者是独立的规范，因此BPDU报文本身不带有VLAN信息。
传输载体：这种不带Tag的BPDU，会通过端口的 Native VLAN（即端口的PVID） 进行传输。在你的场景中，因为Trunk端口的PVID是默认的VLAN 1，所以BPDU是在VLAN 1里传输的。
处理方式：对于开启了STP的交换机端口，收到BPDU后，会直接将其上送CPU进行处理。CPU会根据BPDU内容进行生成树计算，这个过程不受端口上VLAN允许列表（如
port trunk permit vlan）的限制。
🔍 为什么拒绝VLAN 1，BPDU还能发送？
结合你的组网，可以这样理解：
BPDU的“通行证”：对于交换机CPU发出的BPDU，它被视为优先级最高的控制报文。它“穿越”Trunk端口时，不经过数据平面VLAN过滤机制的检查。
结论：因此，即使你在Trunk端口配置了
undo port trunk permit vlan 1（拒绝VLAN 1），这个规则也只对携带VLAN 1 Tag的数据帧生效。对于不带Tag的BPDU，这个规则无效，所以BPDU可以正常发出。
⚠️ 潜在风险：STP的计算与VLAN 1
虽然BPDU能发出去，但随意“修剪”VLAN 1可能会引发STP计算异常。因为STP（包括MSTP）的CIST（公共和内部生成树） 计算，其基础拓扑信息正是通过这个基于VLAN 1的BPDU来传递的。
如果某台交换机上所有端口都禁止了VLAN 1，它可能会错误地认为自己是根桥，并持续发送BPDU。这会导致网络中同时存在多个“根桥”，造成生成树无法正常收敛，甚至引发环路。
- 2026-07-22回答
- 评论(1)
- 举报
-
(0)
潜在风险：STP的计算与VLAN 1 虽然BPDU能发出去，但随意“修剪”VLAN 1可能会引发STP计算异常。因为STP（包括MSTP）的CIST（公共和内部生成树） 计算，其基础拓扑信息正是通过这个基于VLAN 1的BPDU来传递的。 如果某台交换机上所有端口都禁止了VLAN 1，它可能会错误地认为自己是根桥，并持续发送BPDU。这会导致网络中同时存在多个“根桥”，造成生成树无法正常收敛，甚至引发环路 大佬，能详细讲解下CIST计算吗，它的BPDU怎么是基于VLAN1传输的？
潜在风险：STP的计算与VLAN 1 虽然BPDU能发出去，但随意“修剪”VLAN 1可能会引发STP计算异常。因为STP（包括MSTP）的CIST（公共和内部生成树） 计算，其基础拓扑信息正是通过这个基于VLAN 1的BPDU来传递的。 如果某台交换机上所有端口都禁止了VLAN 1，它可能会错误地认为自己是根桥，并持续发送BPDU。这会导致网络中同时存在多个“根桥”，造成生成树无法正常收敛，甚至引发环路 大佬，能详细讲解下CIST计算吗，它的BPDU怎么是基于VLAN1传输的？
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明