二层安全(各种Guard).doc

BPDU Guard\BPDU Filter\ROOT Guard\LOOP Guard BPDU Guard当portfast特性的端口被错误连接到交换机时，可能导致交换环路。开启BPDU Guard后，当portfast特性的端口收到BPDU报文后，将进入error-disabled状态。 配置方式1： int f0/1 spanning-tree bpduguard enable 接口下开启BPDU Guard。 spanning-tree bpduguard disabled 接口下关闭BPDU Guard。 配置方式2： spanning-tree portfast bpdugaurd default 全局开启BPDU Guard。 【查看】 show spanning-tree int f0/1 detail show errdisable detect 查看本交换机error-disable的检测 ErrDisable Reason Detection status ----------------- ---------------- udld Enabled bpduguard Enabled rootguard Enabled pagp-flap Enabled dtp-flap Enabled link-flap Enabled show errdisable recovery 查看本交换机error-disable自动恢复的设置 ErrDisable Reason Timer Status ----------------- -------------- udld Disabled bpduguard Disabled rootguard Disabled pagp-flap Disabled dtp-flap Disabled link-flap Disabled Timer interval: 300 seconds 这是默认设置的恢复时间 Interfaces that will be enabled at the next timeout: 【参数设置】 Config)#errdisable recovery cause bpduguard 设置由于BPDUGuard导致的error-disabled端口能够自动恢复。 Config)#errdisable recovery interval 120 设置error-diabled自动恢复的时间为120秒（默认为300秒） 接口下启用BPDU Filter，则此端口不再发出BPDU报文，并且收到BPDU报文后直接忽略。（不推荐使用） int f0/1 spanning-tree bpdufilter enable 全局启用BPDU Filter，则本交换机的所有portfast特性的端口不再发出BPDU报文，但是当PortFast特性的端口收到BPDU后，将失去PortFast特性，按照普通的端口处理BPDU报文。 SW(config)#spanning-tree portfast bpdufilter default 示例： 交换机SW配置如下： SW(config)#spanning-tree portfast default SW(config)#int f0/2 SW(config-if)#switchport mode access 步骤1：此时F0/2具备PortFast特性，它会周期性发出BPDU报文： SW#show spanning-tree int f0/2 detail Port 2 (FastEthernet0/2) of VLAN0001 is designated forwarding Port path cost 19, Port priority 128, Port Identifier 128.2. Designated root has priority 4097, address 0015.f9bd.a100 Designated bridge has priority 32769, address 000f.900c.9500 Designated port id is 128.2, designated path