RSTP快速生成树协议之（四）RSTP的保护功能
在上一个笔记中，我介绍了RSTP对于STP做出了哪些改进。这一节笔记，我们继续学习RSTP的保护功能，了解RSTP在对待可能的黑客攻击时，提供了哪些安全防御措施。
BPDU保护
（1）攻击原理
RSTP为了减少不必要的拓扑收敛，可以通过配置指定边缘端口（edge port），通过边缘端口连接的设备可以不参与RSTP收敛，而直接将状态转为转发（Forwarding）状态。
若边缘端口在收到BPDU后，会丧失边缘端口的属性，而重新加入到生成树计算中。
（2）攻击方式
如下图所示，SWB配置了边缘端口（图中红色点处），这样就无须参与STP生成树计算。
假设有一名黑客，在边缘端口处接入了一台运行生成树协议的交换机，此交换机向SWB发送RST BPDU报文，SWB从边缘端口收到BPDU报文后，会自动将该端口设置成非边缘端口，并重新进行生成树计算。也引起整个网络其他交换机也进行拓扑变更，致使网络震荡。从而达到攻击者的目的。
（3） 防御措施--BPDU保护
针对这种攻击方式，RSTP提供可配置的BPDU保护功能。
配置BPDU保护后，若边缘端口收到BPDU报文，交换机将会立即关闭该端口，直到管理员人工重新打开端口。这样就可以有效的防止网络发生震荡。
根保护
（1）攻击原理
当一台根交换机从指定端口收到桥优先级比它高的BPDU报文时，会认为网络拓扑发生了改变，并放弃自己的根桥地位，转而去转发这个优先级比它高的BPDU报文。这样网络结构也会跟着变动。
但是，如果这个优先级高的BPDU是来自一台属于黑客的交换机呢？这样，该黑客的交换机就会成为RSTP网络的根桥，网络内的所有交换机都必须经过该黑客的交换机才能进行转发，这无疑达到了黑客窃取数据的目的。
（2）攻击方式
如下图所示，RSTP网络中SWA为根桥。此时有一名黑客，将自己的交换机通过SWC接入到网络中。
黑客可以将新接入交换机的桥优先级设置得比原根桥高，这样只要网络维护人员安全意识不高，网络中合法根桥有可能会收到优先级更高的RST BPDU，使得合法根桥失去根地位，从而引起网络拓扑结构的错误变动。
（3） 防御措施 -- 根保护
针对这种攻击方式，RSTP提供可配置的根保护功能。
一旦启用根保护功能的指定端口（DP）收到优先级更高的RST BPDU时，端口状态将进入Discarding状态，不再转发报文。在经过一段时间，如果端口一直没有再收到优先级较高的RST BPDU，端口会自动恢复到正常的Forwarding状态。
Tips：根（root）保护只能在指定端口上配置。
TC-BPDU泛洪保护
（1）攻击原理
在前面的STP笔记中提到过，当下游交换机感知到网络拓扑发生变化时，会向上游（也就是根桥方向）发送TC-BPDU（TCN）报文，根桥收到报文后， 再统一向下游交换机发送TC报文，通知下游需要删除当前的MAC地址表。
黑客可以利用这个机制，不断向RSTP网络中发送TC-BPDU报文，致使交换机频繁删除自己的MAC地址表，不仅对网络设备造成巨大的负担，而且增加了网络的不稳定性。
（2）攻击方式
如下图所示，黑客通过某种手段将自己的终端设备连接到RSTP网络中的交换机SWB的端口上。
黑客可以通过不断地伪造和发送通告拓扑发生变更的TC-BPDU报文，交换机设备短时间内会收到很多TC-BPDU报文，频繁的删除MAC地址表的操作会给设备造成很大的负担，给网络的稳定带来很多隐患。
（3） 防御措施 -- TC-BPDU攻击保护
通过启用防TC-BPDU报文攻击功能，在单位时间内，可以配置RSTP进程处理TC类型的BPDU的最大次数。如果在单位时间内，RSTP进程收到TC类型的BPDU报文数量大于配置的阈值时，RSTP进程只会处理阈值指定的次数，对于其他超出阈值的TC类型BPDU报文，定时器到期后，RSTP进程只对其统一处理一次。
通过这种方式，可以避免频繁的删除MAC地址表项，从而达到保护交换机的目的。
Tips：缺省的单位时间是2秒，缺省的最大处理次数是3次。
以上介绍的就是RSTP在安全方面提供的保护功能。而具体的RSTP配置方式将会在下一节笔记继续进行介绍。
------------恢复内容结束------------