BPDU Guard (BPDU保护)

　　BPDU保护仅用在PortFast。 它被网络设计者用来加强STP域边界。从而保持与其的活动拓扑。在启用STP PortFast端口之后的设备被禁止影响STP拓扑。通过配置BPDU保护后，端口入如果收到BPDU将会把端口状态调整到Err-Disable.如 下是一个出错信息：

　　　　2000 May 12 15:13:32 %SPANTREE-2-RX_PORTFAST:Received BPDU on PortFast enable port. Disabling 2/1
2000 May 12 15:13:32 %PAGP-5-PORTFROMSTP:Port 2/1 left bridge port 2/1

当BPDU GUARD开启后,在正常情况下，一个下联的端口是不会收到任何BPDU的，因为PC和非网管换机都不支持STP,所以不会收发BPDU。当这个端口下如 果有自回环的环路，那么它发出去的BPDU在非网管换机上回环后就会被自己接收到，这个时候BPDU GUARD就会把它立刻设为Error-Disabled状态,这个端口就相当于被关闭了，不会转发任何数据，也就切断了环路,保护了整个网络。

　　如图所示，A的优先级为10，为该vlan的根桥，B的优先级为20，为备份根桥，B和A之间的链路为Gbit/s链路，正确的BPDU流向，如下左图

　　如果D为一台基于Linux的软件网桥，可以发送BPDU报文，并将自身BID的优先级设置为0，此时，D将成为根 桥，故BPDU流向变为右图， A，B间的Gbit/s链路被阻塞，通过C走100Mbit/s链路。此时会超负载出现丢包的情况， BPDU保护的目的就是基于这种情况，防止接入设备对整个网络拓扑的影响。

　　配置方式：
在全局模式：
　　　　　　Switch(config)#spanning-tree portfast bpduguard default
　　　　接口模式：
　　　　　　Switch(config-if)#spanning-tree bpduguard enable
注意在全局模式配置了portfast默认打开BPDU保护，需要在相应的接口上打开portfast才能启用