生成树 · 35 分钟
根桥规划与接入保护
规划生成树主备根桥，并在用户端口启用边缘与 BPDU 防护。
1. 需求与验收
核心设备承担根桥角色，用户误接交换机时应被限制且不能引发园区拓扑震荡。
学习目标
- 能够解释“根桥规划与接入保护”的业务目标、技术前提和影响范围。
- 能够比较四厂商关键命令差异并按计划完成配置、验证与回滚。
- 能够根据设备状态和端到端业务证据定位常见错误，而不是依赖试错。
业务验收标准
- 分支办公区 VLAN 10、分支访客区 VLAN 20 的端口、VLAN 与地址状态和规划表一致。
- 验证清单全部达到预期，且未影响范围外业务。
- 能够使用变更前证据完成回滚并恢复原业务状态。
2. 范围、风险与窗口
范围约束
- 只变更本案例需求和步骤明确列出的对象。
- 管理连接中断、合法业务失败或输出偏离预期时立即停止并回滚。
不在范围
- 运营商公网、终端操作系统和应用内部配置不在本案例范围。
维护窗口：建议预留 90 分钟，最后 15 分钟只用于验收和回滚判断。
影响：可能中断范围内业务或放宽安全边界。
缓解：执行前按设备、接口、VLAN/前缀和方向四项交叉核对。
影响：交付后仍可能存在回程、策略或故障切换问题。
缓解：同时执行配置、协议/表项和业务正反例验收。
3. 现网与目标拓扑
现网状态
当前状态尚未满足“核心设备承担根桥角色，用户误接交换机时应被限制且不能引发园区拓扑震荡。”；实施前必须用本案例前检命令记录真实设备、接口、协议和业务基线。
目标拓扑
4. 设备与接口
| 设备 | 接口 | 对端 | 用途 | 类型 |
|---|---|---|---|---|
| Access-SW1 | GE0/0/1 | Client-1 Ethernet0 | 业务终端接入与正反例测试 | Access |
| Access-SW1 | GE0/0/24 | Core-SW1 GE0/0/24 | 接入到核心的受控上联 | Trunk |
5. VLAN 与 IP 规划
| 区域 | VLAN | 网段 | 网关 |
|---|---|---|---|
| 办公网 | 10 | 10.10.10.0/24 | 10.10.10.1 |
6. 实施前检查
- 确认设备型号、软件版本、当前提示符和带外路径。
- 导出当前配置并采集相关接口、表项、协议和日志。
- 从真实终端保存变更前允许与禁止业务结果。
7. 实施步骤
- 确认范围并冻结基线
核对需求“核心设备承担根桥角色，用户误接交换机时应被限制且不能引发园区拓扑震荡。”，采集设备、接口、配置、协议和业务现状，确认维护窗口、停止条件及带外路径。
- 配置生成树根桥优先级
把目标设备优先级设置为 4096，并确认 VLAN 或实例的根桥标识已经指向该设备。 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 配置生成树边缘端口
在办公终端接口启用边缘端口或 PortFast，并确认该接口不用于连接交换机或共享二层设备。 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 配置 BPDU 防护
为终端边缘端口启用 BPDU 防护，并明确触发后的告警、接口恢复和根因处理流程。 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 配置生成树根保护
阻止接入方向出现更优 BPDU 夺取规划根桥 完成后立即执行该主题的验证命令，保存关键输出；结果不符合预期时停止进入下一步。
- 执行正反例和回滚演练
按案例验收项分别证明允许业务成功、禁止业务被拒绝；触发停止条件时只撤销本案例对象，并重复原测试。
- 提交证据并交接
提交实际配置差异、验证输出、故障记录、回滚结果和遗留风险，由实施人与审核人分别签字。
8. 四厂商配置
华为 · Campus-Core-1
VRP · V200R019 及以上
system-view stp priority 4096 system-view interface GigabitEthernet 0/0/1 stp edged-port enable system-view stp bpdu-protection interface GigabitEthernet 0/0/1 stp edged-port enable interface GigabitEthernet 0/0/10 stp root-protection
华三 · Campus-Core-1
Comware · 7.1 及以上
system-view stp priority 4096 system-view interface GigabitEthernet 0/0/1 stp edged-port enable system-view stp bpdu-protection interface GigabitEthernet 0/0/1 stp edged-port enable interface GigabitEthernet 1/0/10 stp root-protection
思科 · Campus-Core-1
IOS · 15.2 及以上
configure terminal spanning-tree vlan 10 priority 4096 configure terminal interface GigabitEthernet0/1 switchport mode access spanning-tree portfast configure terminal interface GigabitEthernet0/1 spanning-tree portfast spanning-tree bpduguard enable interface GigabitEthernet1/0/10 spanning-tree guard root
锐捷 · Campus-Core-1
RGOS · 11.x 及以上
configure terminal spanning-tree vlan 10 priority 4096 configure terminal interface GigabitEthernet0/1 switchport mode access spanning-tree portfast configure terminal interface GigabitEthernet0/1 spanning-tree portfast spanning-tree bpduguard enable interface GigabitEthernet 0/10 spanning-tree guard root
9. 验证与验收
display stp确认本桥标识、根桥标识和根路径开销符合规划。
display stp brief确认目标接口标记为边缘端口且处于正常转发状态。
display stp brief确认接口为边缘端口，并通过受控测试验证收到 BPDU 后被保护。
display stp interface GigabitEthernet 0/0/10读取实际状态或计数器，确认“阻止接入方向出现更优 BPDU 夺取规划根桥”已经满足。
10. 故障定位
多个业务实例的根桥和流量路径可能同时变化。；先确认 STP 模式与实例映射，在维护窗口逐实例验证。
接口快速转发可能在生成树收敛前形成二层环路。；只在明确的终端接入口启用，并配合 BPDU 防护阻断误接交换设备。
下游全部终端断网，冗余拓扑也可能改变。；先移除错误的边缘属性，确认链路用途和拓扑后再按流程恢复接口。
仅凭配置回显判断成功，可能遗漏接口状态、协议协商或上下游不一致。；执行 display stp interface GigabitEthernet 0/0/10，结合变更前基线和对端状态逐项复核；异常时使用本主题回滚命令恢复。
11. 回滚方法
华为
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
undo stp priority 4096 undo stp edged-port enable undo stp edged-port enable undo stp root-protection
华三
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
undo stp priority 4096 undo stp edged-port enable undo stp edged-port enable undo stp root-protection
思科
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
no spanning-tree vlan 10 priority 4096 no spanning-tree portfast no spanning-tree bpduguard enable no spanning-tree guard root
锐捷
达到停止条件时只撤销本案例引入的对象，并用变更前基线确认原业务恢复。
no spanning-tree vlan 10 priority 4096 no spanning-tree portfast no spanning-tree bpduguard enable no spanning-tree guard root
12. 交付物
- 变更前基线、需求与影响范围确认记录。
- 实际配置差异及配置、协议/表项、业务三层验证证据。
- 异常、停止、回滚和复测记录，以及交接后的责任人与巡检项。