《STP保护机制.docx》由会员分享，可在线阅读，更多相关《STP保护机制.docx（8页珍藏版）》请在三一办公上搜索。
1、STP保护机制STP防护机制 1.2 设备冗余备份 网络中有三台路由器，R1为出访问internet的网关，SW1和SW2和互为备份，交换机SW3为接入层交换机用于连接底层用户。底层用户的网关为两台汇聚层交换机。现在通过vrrp技术使得两台汇聚层交换机虚拟出ip地址：192.168.0.100 l 配置方式： 进入接口模式： SW1(config)#int f0/0 配置ip地址： SW1(config-if)#ip add 192.168.0.3 255.255.255.0 配置vrrp ip地址： SW1(config-if)#vrrp 1 ip 192.168.0.100 配置vrrp为
2、抢占模式： SW1(config-if)#vrrp 1 preempt l 配置范围： 互为冗余备份的网关位 2.4 对接入层交换机的广播风暴抑制 如图所示：本网络中汇聚层有两台交换机，接入层有一台采用双上行的接入层交换机用于连接终端用户。用于接入层交换机所连接的终端设备对网络中发送广播风暴，因此使系统资源和网络资源造成很大影响。为解决此问题，我们可以将连接终端用户的接入层交换机端口进行广播风暴的抑制，来减轻广播风暴对网络的影响。 l 配置方式： 方案一、通过控制广播风暴占用带宽比例，对广播风暴进行控制： 步骤1、进入接口模式： SW3(config)#int f0/3 步骤2、控制占用带宽3
3、0%时 ，开始阻塞广播包 SW3(config-if)#storm-control broadcast level 30.00 方案二：通过控制广播风暴每秒传送数据包的数量对广播风暴进行控制： 步骤1、进入接口模式： SW3(config)#int f0/3 步骤2、达到每秒60个广播包时，开始阻塞，低于30个时，停止阻塞 SW3(config-if)#storm-control broadcast level pps 60 30 l 配置范围： 整个网络的所有交换机接口。 2.5 trunk口对vlan的控制 如下图：SW间不同vlan相互通信 SW1、SW2、SW3三台交换机，SW1上有分
4、别属于vlan2、vlan3的两台pc SW2上有分别属于vlan2、vlan4的两台pc SW3上有分别属于vlan3、vlan4的两台pc 现在要实现相同vlan间的相互通信，配置如下： l 配置方式： SW1： 步骤1、配置vlan2、vlan3： SW1(config)#vlan 2 SW1(config-vlan)#vlan 3 SW1(config-vlan)#exi 步骤2、将端口f0/4、f0/5分别划入vlan2、vlan3中： SW1(config)#int f0/4 SW1(config-if)#switchport mode access SW1(config-if)#
5、switchport access vlan 2 SW1(config)#int f0/5 SW1(config-if)#switchport mode access SW1(config-if)#switchport access vlan 3 步骤3、trunk口配置，f0/1口允许vlan2通过； F0/3口允许vlan3通过 进入接口模式： SW1(config)#int f0/1 修改trunk口封装为 dot1q： SW1(config-if)#switchport trunk encapsulation dot1q 将端口类型改成trunk： SW1(config-if)#swi
6、tchport mode trunk 在f0/1上只允许vlan2通过： SW1(config-if)#switchport trunk allowed vlan 2 进入接口模式： SW1(config)#int f0/3 修改trunk口封装为 dot1q： SW1(config-if)#switchport trunk encapsulation dot1q 将端口类型改成trunk： SW1(config-if)#switchport mode trunk 在f0/3上只允许vlan3通过： SW1(config-if)#switchport trunk allowed vlan 3
7、l 配置范围： 网络中所有交换机干道接口 2.7 对存在环路的设备开启STP协议 SW1、SW2、SW3处在同一个网络环路当中，为了防止网络环路的出现，应该在这网络中的3台交换机都启用STP协议，由于cisco交换机默认是开启STP协议PVST的，所以可以show spanning-tree brief查看每台交换机的生成树情况。 l 配置方式： 在全局模式下： SW1(config)#spanning-tree vlan 1 l 配置范围： 每台交换机在全局模式下开启 2.8 开启交换设备的STP TC 保护功能 l 配置方式： 在系统模式下： SW1 stp tc-protection e
8、nable 其他两台交换机需要同样配置 l 使用范围： 所有H3C交换机 2.9 STP环路保护 环路中有3台交换机，SW1、SW2、SW3；其中SW1为网络中的根桥，SW3的f0/2是阻塞端口，f0/3是根端口。由于SW2 SW3的链路在SW3的f0/2口出现故障，导致f0/2无法正常接收到BPDU，SW3将会在20s老化时间后从f0/2发送BPDU报文。这样导致的结果是环路中的所有接口都是处于forwarding状态，因此就出现了因单向链路而出现的环路现象。 l 配置方式： 方案一、可以在f0/2上或在全局模式下开启环路保护功能： 配置： 接口上进行配置： SW3(config)#int
9、f0/2 SW3(config-if)#udld port 全局模式下进行配置： SW3(config)#udld enable 方案二、在f0/2上开启guard loop 功能： SW3(config)#int f0/2 SW3(config-if)# spanning-tree guard loop 或在全局模式下开启： SW3(config)#spanning-tree loopguard default l 使用范围： 用在光纤接口；捆绑链路接口上 2.10 合理设置网络中的主备根桥 图1.当前网络中的根桥所在位置，及桥id情况 图2.手工指定网络主备根桥的位置，及其优先级 环路中通
10、过STP协议自行选举的根桥是SW1，但由于SW1的性能较差不适宜担当根桥的地位，而SW3是本网络中性能最佳的交换机，因此我们可以通过手工指定方式选举主根桥和备份根桥。 l 配置方式： 方案一、由于交换机选举根桥首要是依据桥id，所以我们可以通过手工降低SW2、SW3的优先级的方式来确保二者的备份根桥和根桥的地位。 SW2上的配置： Sw2#conf t SW2(config)#spanning-tree vlan 1 priority 28672 SW3上的配置： Sw3#conf t SW3(config)#spanning-tree vlan 1 priority 24576 方案二、通过
11、直接指定根桥和备份根桥的方式来确定网络中的根桥和备份根桥： 步骤1、清除掉SW2、SW3关于STP优先级的修改： Sw2(config)#no spanning-tree vlan 1 priority 28672 sw3(config)#no spanning-tree vlan 1 priority 24576 步骤2、使SW2配置成备份根桥，将SW3配置成主根桥： sw2(config)#spanning-tree vlan 1 root secondary sw3(config)#spanning-tree vlan 1 root primary l 配置范围： 网络中性能好的交换机
12、2.11 STP根桥的保护 本网络总SW1为根桥，在交换机没有启用根保护机制的情况下，如果根桥收到了一个更优的BPDU信息，将会造成根桥的重新选举，造成这种原因可能是由于，网络状态不稳定或人为恶意网络攻击所造成。由于根桥状态不稳定，必然会造成链路的通信不畅以及网络震荡。为解决此问题，可以对根桥进行根桥保护，当启用了根桥保护的根桥在其某一端口收到了优先级更优的BPDU，其就会将此端口置为broken状态。在一定时间后如收不到从此接口发送的优先级更优的BPDU，交换机就会重新将此端口置为正常UP状态。 l 配置方式： 在根桥SW1的两端口进行配置： Sw1(config)#int f0/1 Sw1
13、(config-if)#spanning-tree guard root Sw1(config)#int f0/3 Sw1(config-if)#spanning-tree guard root l 配置范围： 1、 用在核心交换机下行连接交换机的端口上； 2、 用在汇聚层交换机下行连接交换机的端口上。 2.12 接入层交换机连接终端设备的优化 如图： 如图所示：在本网络SW4为接入层交换机，其下行链路端口f0/2、f0/3分别连接了一台Server、一台PC。由于接入层的终端设备是不参与STP计算的，因此为了使得网络收敛更快同时为了避免来自底层设备对STP网络的攻击，因此应该将SW4连接Server的f0/2关闭掉STP功能；同时针对f0/3应将其端口置为portfast 边缘端口。 l 配置方式： 1、将f0/2端口关闭STP功能： Sw4(config)#int f0/2 Sw4(config-if)#no spanning-tree vlan 1 2、将f0/3置为portfast并进行bpdu保护： Sw4(config)#int f0/3 Sw4(config-if)#spanning-tree bpduguard enable Sw4(config-if)#spanning-tree portfast l 配置范围： 配置在连接终端设备或接入层交换机上
