网络安全系统集成与建设-生成树的配置

在实际的网络环境中，物理环路可以提高网络的可靠性，当一条物理线路断掉的时候，另外一条线路仍然可以传输数据。但是，在交换的网络中，当交换机接收到一个目的地址未知的数据帧时，交换机会将这个数据帧广播出去，这样，在存在物理环路的交换网络中，就会产生双向的广播环，甚至产生广播风暴，导致交换机资源耗尽而宕机（死机）。这样就产生了一个矛盾，需要物理环路来提高网络的可靠性，而环路又有可能产生广播风暴，为了解决这个问题，产生了生成树协议（Spanning Tree Protocol，STP）。STP是一个二层管理协议。在一个扩展的局域网中，参与STP的所有交换机之间通过网桥协议数据单元（Bridge Proto⁃col Data Unit，BPDU）来实现；为稳定的生成树拓扑结构选择一个根桥；为每个交换网段选择一台指定交换机；将冗余路径上的交换机置“blocking”，来消除网络中的环路。IEEE802.1d是最早关于STP的标准，它提供了网络的动态冗余切换机制。STP能在网络设计中部署备份线路，并且保证：在主线路正常工作时，备份线路是关闭的，当主线路出现故障时自动启用备份线路，切换数据流。STP在逻辑上断开网络的环路，防止广播风暴的产生，而一旦正在使用的线路出现故障，被逻辑上断开的线路又会恢复畅通，继续传输数据。

生成树配置涉及下面一些任务：选举和维护一个根网桥，通过配置一些生成树的参数（如端口优先级、端口成本）来优化生成树，通过配置上行链路来减少生成树的收敛时间。

【实现过程】

1.启用生成树

2.人为建立根网桥

交换机可以自己根据一定的原则来选择根网桥以及备份或从（Secondary）根网桥，也可使用命令人为指定根网桥。一般不要将接入层的交换机配置为根网桥。STP根网桥通常是汇聚层或者核心层的交换机。

使用命令语句“spanning⁃tree vlan vlan⁃id root primary”（网桥优先级被置为24576）为VLAN配置根网桥、网络直径以及HELLO间隔。

修改网桥优先级。

3.确定到根网桥的路径

生成树协议依次用BPDU中的这些不同域来确定根网桥的最佳路径：根路径成本（Root Path Cost）、发送网桥ID（Bridge ID）、发送端口ID（Port ID）。从端口发出BPDU时，它会被施加一个端口成本，所有端口成本的总和就是根路径成本。生成树首先查看根路径成本，以确定哪些端口应该转发，哪些端口应该阻塞。报告最低路径成本的端口被选为转发端口。如果对多个端口来说，其根路径成本相同，那么，生成树将查看网桥ID。报告有最低网桥ID的BPDU端口被允许进行转发，而其他所有端口被阻塞。如果路径成本和发送网桥ID都相同（如在平行链路中），生成树将查看发送端口ID.端口ID值小的优先级高，将作为转发端口。

4.修改端口成本(www.xing528.com)

如果想要改变某台交换机和根网桥之间的数据通路，就要仔细计算当前的路径成本，改变所希望路径的端口成本。可以更改交换机端口的成本，端口成本更低的端口更容易被选为转发帧的端口。可以使用命令“spanning⁃tree vlan vlan⁃id cost cost”来修改端口成本。

5.修改端口优先级

在根路径成本和发送网桥ID都相同的情况下，有最低优先级的端口将为VLAN转发数据帧。对应基于CLI的交换机，可能的端口优先级别范围为0～63，默认为32。基于IOS的交换机端口的优先级范围是0～255，默认为128。使用命令“spanning⁃tree vlan vlan⁃id port⁃priority priority”进行配置。

6.修改生成树计时器

使用默认的STP计时器配置，从一条链路失效到另一条接替，中间需要花费50s。这可能使网络存取被耽误，从而引起超时，不能阻止桥接回路的产生，还会对某些协议的应用产生不良影响，会引起连接、会话或数据的丢失。还有一种情况就是使用热备份路由选择协议（HSRP），即将两台路由器连接到一台交换机上。某些情况下，默认的STP计时器值对于HSRP而言过长，会引起“活动”路由器的选择错误。这些参数里面包括修改HELLO时间（1～10s）、修改转发延迟计时器（转发延迟计时器确定一个端口在转换到学习状态之前处于侦听状态的时间，以及在学习状态转换到转发状态之前处于学习状态的时间。转发时间过长，会导致生成树的收敛过慢，转发时间过短，可能会在拓扑改变的时候，引入暂时的路径回环，一般为4～30s）、修改最大老化时间（最大老化时间规定了从一个具有指定端口的邻接交换机上所收到的BPDU报文的生存时间。如果非指定端口在最大老化时间内没有收到BPDU报文，该端口将进入“Listening”状态，并接收交换机产生的配置BPDU报文，一般为6～40s）等。

7.速端口的配置

通过速端口，可以大大减少处于侦听和学习状态的时间，速端口几乎可以立刻进入转发状态。速端口可将工作站或者服务器连接到网络的时间减至最短。需确定一个端口下面接的是终端的时候，方可启用速端口设置。

8.上行速链路的配置

当检测到转发链路发生失效时，上行链路可使交换机上一个阻塞的端口马上开始进行转发。交换机可以分为3级：核心层交换机、汇聚层交换机、接入层交换机。汇聚层和接入层的交换机上各自都至少有一条冗余链路被STP阻塞，以避免环路。使用STP上行速链路，在链路、交换机失效或者STP重新配置时，加速新的根端口的选择过程，同时被阻塞端口会立即转换到转发状态。上行速链路还可以通过减少参数最大更新速率来限制突发的组播通信。这些参数的默认值是150包/秒。在网络边缘的接入层上，上行速链路是一项最有用的功能，但它不适合用在骨干设备上。上行速链路能在直连链路失效时实现快速收敛，并能通过上行链路组（Uplink Group），在多个冗余链路之间实现负载平衡。上行链路组是一组接口（属于各个VLAN），上行链路组由一个根端口（处于转发状态）和一组阻塞状态的端口组成。要在配置了网桥优先级的VLAN上启动上行速链路，必须首先将VLAN上的交换机优先级恢复到默认值。使用命令：no spanning⁃tree vlan vlan⁃id priority。

要配置上行速链路，需要使用如下命令。