STP 保護功能必須按端口角色選用。接入終端的端口可防止收到 BPDU；匯聚下方的指定端口則要防止下游設備宣稱自己是根橋；非指定端口遇到單向通訊異常時，需要避免錯誤轉為轉發狀態。
設計重點對照
| 功能 | 主要風險 | 適用位置 |
|---|---|---|
| BPDU Guard | 接入端口誤接交換機造成拓撲改變 | PortFast/edge access 端口 |
| Root Guard | 下游交換機偽造更優根橋 | 指定端口及受控下行鏈路 |
| Loop Guard | 單向鏈路令非指定端口錯誤轉發 | 非指定端口、冗餘鏈路 |
實施及驗證流程
- 步驟 1：先確認端口是終端接入、指定端口還是非指定端口。
- 步驟 2：接入端口啟用 edge/PortFast 並配合 BPDU Guard；不要把它套在交換機互聯端口。
- 步驟 3：在不容許下游競選根橋的指定端口套用 Root Guard。
- 步驟 4：在冗餘鏈路非指定端口套用 Loop Guard，並監察 err-disabled 或 loop-inconsistent 狀態。
相關技術範圍
生成樹邊緣保護；誤接交換機；根橋劫持；單向鏈路；接入端口加固
權威參考來源
- https://www.cisco.com/c/en/us/support/docs/lan-switching/spanning-tree-protocol/10588-74.html
- https://standards.ieee.org/ieee/802.1Q/6844/
常見問題
BPDU Guard 觸發後會怎樣？
在 Cisco 常見設定下，端口會因收到 BPDU 而進入 err-disabled，阻止意外交換機影響整個生成樹；恢復前應先找出誤接原因。
Root Guard 可否取代 BPDU Guard？
不能。Root Guard 仍容許 BPDU 到達並限制根橋角色，BPDU Guard 則用於不應收到任何 BPDU 的終端接入端口。
Loop Guard 是否可以套用所有端口？
不應套用所有端口。它主要保護非指定端口的單向故障，應按拓撲及端口角色逐一設計。