H3C S9500交换机MSTP兼容RSTP的配置

H3C S9500交换机MSTP兼容RSTP的配置

一、组网需求：

如下组网中，四台设备组成环状网络。四台设备配置VLAN如上，S9500间的链路允许VLAN 100和200通过。由于S3526不支持MSTP协议，该设备和S9500间运行的是RSTP协议；而S3500和S9500间运行MSTP。

 二、组网图

三、配置步骤：

软件版本：H3C 9500交换机全系列软件版本

硬件版本：H3C 9500交换机全系列硬件版本

配置H3C9500-A设备

1）全局使能MSTP

[S9500-A]stp enable

2）配置MSTP实例、域名，并进行激活操作（域的设置必须要激活才会生效）

[S9500-A]stp region-configuration

[S9500-A-mst-region]instance 1 vlan 100

[S9500-A-mst-region]instance 2 vlan 200

[S9500-A-mst-region]region-name h3c

[S9500-A-mst-region]active region-configuration

3）配置S9500-A为各实例的根桥

[S9500-A]stp instance 0 root primary

[S9500-A]stp instance 1 root primary

[S9500-A]stp instance 2 root primary

配置H3C 9500-B设备

1）全局使能MSTP

[S9500-B]stp enable

2）配置MSTP实例、域名，并进行激活操作

[S9500-B]stp region-configuration

[S9500-B-mst-region]instance 1 vlan 100

[S9500-B-mst-region]instance 2 vlan 200

[S9500-B-mst-region]region-name h3c

[S9500-B-mst-region]active region-configuration 

3）配置为各实例的备份根桥

[S9500-B]stp instance 0 root secondary

[S9500-B]stp instance 1 root secondary

[S9500-B]stp instance 2 root secondary

S3526全局启用STP，且连接PC终端的端口关闭STP或者配置为边缘端口；S3500全局启用STP，并且设置域相关属性和S9500一致

附：MSTP一些特性的使用

1）边缘端口和BPDU保护

STP的BPDU保护功能和端口的边缘端口配置同时配置才能使该功能生效，使边缘端口收到STP报文时把该端口discarding掉，以防止STP报文攻击

[S9500-A]stp bpdu-protection

[S9500-A]interface Ethernet 12/1/3

[S9500-A-Ethernet12/1/3]stp edged-port enable

2）ROOT根桥保护

配置了根桥保护的端口，从该端口上来的根桥优先级更高的STP报文后，则丢弃该报文，并将该端口discarding掉，过1分钟左右如果再收不到该报文将使该端口重新forwarding

[S9500-A]interface Ethernet 12/1/1

[S9500-A-Ethernet12/1/1]stp root-protection

[S9500-A]interface Ethernet 12/1/2

[S9500-A-Ethernet12/1/2]stp root-protection

[S9500-A]interface GigabitEthernet 3/1/13

[S9500-A-GigabitEthernet3/1/13]stp root-protection

3）环路保护

一个端口发出的STP报文又从本设备的其它端口收到了，而收到报文的这个端口又使能了环路保护的话，就会把该端口discarding掉，过10s左右如果没有再收到本设备原STP报文就会再恢复为forwarding状态。

[S9500-A]interface Ethernet 12/1/3

[S9500-A-Ethernet12/1/3]stp loop-protection

[S9500-A]interface Ethernet 12/1/4

[S9500-A-Ethernet12/1/4]stp loop-protection

4）防止TC报文攻击的保护

当设备收到TC报文时，会执行删除MAC和ARP的操作。为了防止TC报文攻击导致的不断删除操作，可以使用TC报文攻击保护，在一定时间内收到TC报文仅进行一次MAC和ARP的删除操作。

[S9500-A]stp tc-protection enable

[S9500-B]stp tc-protection enable

5）stp non-flooding特性

为了不让STP报文从本设备关闭STP的端口透传，可以配置stp non-flooding特性

[S9500-A]stp non-flooding

6）STP单端口环路检测特性

为了防止S9500下挂的设备出现环路，导致大量STP报文冲击S9500，可以在S9500和下挂设备间的端口配置STP单端口环路检测

[S9500-A]interface GigabitEthernet 3/1/13

[S9500-A-GigabitEthernet3/1/13]stp loop-detection

[S9500-A]interface Ethernet 12/1/2

[S9500-A-Ethernet12/1/2]stp loop-detection 

[S9500-B]interface Ethernet 2/1/2

[S9500-B-Ethernet2/1/2]stp loop-detection

[S9500-B]interface Ethernet 2/1/3

[S9500-B-Ethernet2/1/3]stp loop-detection

7）摘要帧听和标准MSTP特性

1250～1273版本支持摘要帧听功能，但是不支持802.1s中的标准MSTP，S9500和友商设备进行对接时，通过STP私有报文进行协商，但两种设备间的STP报文摘要又不同，STP不能正确协商，所以要在S9500和友商对接的端口上配置摘要帧听来对报文摘要的格式进行转换。比如，假设S9500-A的端口G2/1/1和友商设备相连：

[S9500-A-GigabitEthernet2/1/1]stp config-digest-snooping

1273之后的版本开始支持标准MSTP，并且端口上STP报文格式默认为自协商模式，所以和友商对接时可以自协商为标准MSTP，不需要再配置摘要帧听。

四、配置关键点：

1.激活MSTP域配置前需要确认使能STP的端口的PVID是该端口TRUNK的VLAN ID，否则可能导致生成树计算错误；

2.需要保证域内所有使能MSTP的设备的域配置和实例映射配置均相同，并且MSTP配置需要激活才能生效。