生成树的根桥和备份根桥应该处于同一个域内，特别是对于CIST的根桥和备份根桥，网络设计时一般会把CIST的根桥和备份根桥放在一个高带宽的核心域内。但是，由于维护人员的错误配置或网络中的恶意攻击，网络中的合法根桥有可能会收到优先级更高的BPDU，这样当前合法根桥会失去根桥的地位，引起网络拓扑结构的错误变动。这种不合法的变动，会导致原来应该通过高速链路的流量被牵引到低速链路上，导致网络拥塞。

为了防止这种情况发生，生成树协议提供了根保护功能：对于开启了根保护功能的端口，其在所有MSTI上的端口角色只能为指定端口。一旦该端口收到某MSTI优先级更高的BPDU，立即将该MSTI端口设置为侦听状态，不再转发报文（相当于将此端口相连的链路断开）。当在2倍的Forward Delay时间内没有收到更优的BPDU时，端口会恢复原来的正常状态。

请在设备的指定端口上进行如下配置。

需要注意的是，在同一个端口上，不允许同时配置根保护功能和环路保护功能。

表1-45 配置根保护功能

操作

命令

说明

进入系统视图

system-view

-

进入二层以太网接口视图/二层聚合接口视图

interface interface-type interface-number

-

开启端口的根保护功能

stp root-protection

缺省情况下，端口上的根保护功能处于关闭状态