25、华为 华三中小型企业网络架构搭建 【内网安全部署之STP的安全技术部署】

说明：为什么需要注意STP的安全呢，在二层中其实存在很多不安全的因素，物理上面的环路这点就得依靠STP来解决，如果STP被恶意破坏，或者不是按照管理员定义的进行运行，那么整个网络会出现很大的问题。

（1）STP根保护机制
我们都知道STP是有根跟备份根的，如果根的位置改变了的话，流量的引向是会发生变化的。
所以我们需要部署根的保护机制，防止根被后续的影响。
[Core-A]port-group 1
[Core-A-port-group-1]group-member g0/0/24
[Core-A-port-group-1]group-member g0/0/23
[Core-A-port-group-1]group-member g0/0/21
[Core-A-port-group-1]stp root-protection

[Core-B]port-group 1
[Core-B-port-group-1]group-member g0/0/22 to g0/0/24
[Core-B-port-group-1]stp root-protection
说明：该技术只需要在核心层或者汇聚层部署即可，也就是跟部署了VRRP技术的，防止跟VRRP的Master不一致即可，否则容易出现一些路径不优的情况。

（2）BPDU包含【可以防止私接交换机功能】
说明：有时候用户不懂网络知识，习惯性的自己自己带的交换机连接进来， 而且很有可能是环路的连接，这样的话就容易出现广播风暴，所以这时候需要杜绝该情况发生。
接入层都需要部署
[FKT]stp bpdu-protection
测试当一台交换机连接到访客厅的时候

由于该接口收到bpdu，自动down，注意这里只会对配置了边缘端口的才会生效该功能，也就是说默认上层链路之间不受影响的。

自动恢复机制
默认情况下必须管理任何开启该端口，但是这样总归很麻烦，所以可以开启一个动态开启机制。

[FKT]error-down auto-recovery cause bpdu-protection interval 30
它的意思是因为BPDU-Protection造成的接口donw，在30s后开启。

说明

    实战系列，每个星期一发送一到两篇，预计增加到20多篇左右，整理跟排版都需要时间，博主也只是业余时间写写技术文档，请大家见谅，大家觉得不错的话，可以推荐给朋友哦，博主会努力推出更好的系列文档的，谢谢大家支持！！

关于博客资源下载说明

[v_act]首先，感谢大家对网络之路博客的支持，本站所有资源都是开放下载，不做任何限制，资源都是上传在百度盘，分为两种类型：
（1）第一种是书籍PDF与视频类，全部放在博客分享，觉得对大家学习有帮助的博主会收集好、然后以博主的经验整理分类后排序好分享出来。
（2）第二种是技术性文章与视频，全部放在公众号（网络之路博客）/头条号/百家号/B站（网络之路Blog）发布，以博主原创为主，主要分享系列为主，由浅入深的带大家了解工作中常用到的一些网络技术，当然也会分享一些比较经典的案例。
（3）分享资源有涉及到您的利益以及版权问题，请联系博主，24小时候内删除。

想第一时间收到最新更新内容吗，那就赶紧关注公众号/头条/B站/百家号吧~~