私接小交换机抢不了根：交换机BPDU保护与根保护配置

办公网的生成树（STP/RSTP）靠"选根桥"决定哪条链路转发、哪条阻塞。这个机制有个前提：全网只有你认定的那台核心在当根。一旦有人把家里带来的小交换机插进墙口，它发出的 BPDU 就参与竞选——参数"更优"的小设备可能真把根抢走，全网转发路径重算，核心侧链路反而被阻塞，表现就是"插上一个设备，整层楼变卡甚至断网"。两条保护配置，专治这类意外。

一是 BPDU 保护，管住接终端的口。 接电脑、打印机的接口本不该收到 BPDU，收到就说明有人私接了交换机。先把这些口设为边缘端口，再全局开启 BPDU 保护：

interface GigabitEthernet0/0/5
 stp edged-port enable
quit
stp bpdu-protection

生效后，边缘端口一旦收到 BPDU，交换机直接将该口 shutdown（默认）并告警，私接的小交换机被当场"按住"，根桥不受影响。恢复时先拔掉私接设备，再在接口下执行 shutdown 与 undo shutdown（或按版本用 error-down 自动恢复机制）。

二是根保护，守在核心的指定口上。 对核心交换机上确定不该出现更优 BPDU 的下行口（如接楼层汇聚的指定端口），开启根保护：

interface GigabitEthernet0/0/1
 stp root-protection

开启后，该口收到更优 BPDU 时不参与竞选，接口进入 discarding 状态隔离一段时间，伪造根的设备被晾在一边，全网拓扑稳定在原根桥上。

部署口径：BPDU 保护面向海量接入口（边缘口+全局保护），根保护面向核心与汇聚的指定口，两者配合覆盖"边缘私接"与"中间注入"两类威胁；聚合口、与上联核心互联的口不要乱开根保护，先把拓扑画清楚再落配置。配置完用 display stp brief 核对端口角色，根桥、指定口、边缘口各就各位才算收工。

生成树的坑多在"配置没错、拓扑被人改了"。把保护机制挂上，私接设备进不来，网络底座才算真正立稳。企业办公网的拓扑梳理与交换机加固，贵州诚鑫致达科技在本地企业交付中积累了完整流程，欢迎搜索"诚鑫致达 交换机部署"了解服务详情。

（约 920 字）

企业存储选型参考｜贵州诚鑫致达

做高可用与业务不间断保障，群晖机型参考：PAS7700 · RS2423RP+ · SA3410。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。广西南宁企业存储与网络建设维护，本地化技术支持。