生成树协议（STP）之所以能防止二层环路，靠的是在冗余链路中选举根桥并阻塞某些端口。根保护（Root Guard）则进一步加固了这个机制：如果一个被配置为根保护的端口收到了比当前根桥更优的BPDU，该端口不会接受新的根桥，而是被置于root-inconsistent状态。这个状态类似于阻塞，但又不是直接关闭端口。当更优的BPDU不再出现时，端口会在一定条件下自动恢复转发。恢复过程如果过于迅速，可能造成生成树频繁重新收敛；如果太慢，又会影响业务恢复。因此，恢复时间配置成为STP运维中的一项重要参数，而使用Ruby脚本批量下发和检测恢复时间，可以明显减少人工操作。
STP根保护违规的触发与恢复时间机制
STP根保护通常部署在汇聚层或核心层交换机连接接入层交换机的端口上。正常情况下，这些端口要么是指定端口，要么是根端口。如果有人在接入层误接了一台优先级更高、桥ID更小的交换机，它会向汇聚层发送更优的BPDU，试图改变整个生成树拓扑。未启用根保护时，汇聚层端口会接受新的根桥，可能导致流量路径不可控；启用根保护后，端口会丢弃这些更优BPDU，并进入root-inconsistent状态。
root-inconsistent并不是错误禁用（errdisable），而是一种生成树状态。端口不会转发用户数据，也不会发送或接收BPDU，但从设备管理角度看它仍然处于启用状态。当设备不再收到更优BPDU后，端口会自动尝试恢复。恢复动作本身可能非常快，导致端口状态在短时间内来回切换。为了解决这种抖动，部分交换机提供恢复时间参数，让端口在条件满足后延迟一段时间再进入转发状态。这个时间窗口一方面避免生成树频繁重算，另一方面给网络管理员留出定位问题的时间。
不同厂商对恢复时间的命名和命令位置并不相同。以Cisco IOS为例，接口级根保护使用spanning-tree guard root命令开启，而部分平台允许通过全局命令设置恢复时间。下面是一段配置示例：
Switch# configure terminal Switch(config)# interface GigabitEthernet0/1 Switch(config-if)# spanning-tree guard root Switch(config-if)# exit Switch(config)# spanning-tree rootguard recovery-timeout 300 Switch(config)# end Switch# write memory
上面的命令将恢复时间设置为300秒，相当于5分钟。在实际环境中，这个值需要根据网络规模和业务容忍度调整。如果网络规模较大，生成树收敛本身需要更多时间，恢复时间可以适当延长；如果是边缘接入端口，恢复时间可以短一些。需要注意的是，即使设备支持该参数，也应当在变更窗口内测试，因为不同软件版本的默认值和取值范围可能不同。
用Ruby脚本批量配置恢复时间
单台交换机手工登录配置并不复杂，但当成百上千台设备都需要统一恢复时间时，自动化脚本的价值就体现出来。Ruby的标准库并不包含SSH客户端，但可以使用net-ssh这个稳定的第三方库。安装方式通常是在服务器上执行gem install net-ssh，或者在项目中使用Bundler管理依赖。
脚本的设计思路分为三步：准备设备清单、建立SSH会话、逐条执行配置命令。设备清单可以使用数组或YAML文件维护，密码建议从环境变量读取，避免硬编码在脚本中。下面的Ruby脚本演示了如何通过Net::SSH登录交换机，并批量下发根保护恢复时间配置：
require 'net/ssh'
devices = [
{ host: '192.168.1.1', user: 'admin', password: ENV['SWITCH_PASSWORD'] },
{ host: '192.168.1.2', user: 'admin', password: ENV['SWITCH_PASSWORD'] }
]
RECOVERY_INTERVAL = 300
def configure_recovery_time(device, interval)
Net::SSH.start(device[:host], device[:user], password: device[:password], timeout: 10) do |ssh|
commands = [
'configure terminal',
"spanning-tree rootguard recovery-timeout #{interval}",
'end',
'write memory'
]
commands.each do |cmd|
output = ssh.exec!(cmd)
puts "[#{device[:host]}] 执行 #{cmd} 成功"
puts output.lines.last if output
end
end
rescue Net::SSH::AuthenticationFailed => e
puts "[#{device[:host]}] 认证失败: #{e.message}"
rescue Timeout::Error => e
puts "[#{device[:host]}] 连接超时: #{e.message}"
rescue StandardError => e
puts "[#{device[:host]}] 执行失败: #{e.message}"
end
devices.each do |dev|
configure_recovery_time(dev, RECOVERY_INTERVAL)
end
这个脚本的核心是Net::SSH.start方法，它接收主机地址、用户名和密码，并返回一个SSH会话对象。在会话内部，ssh.exec!会同步执行命令并返回输出。脚本对可能出现的认证失败、连接超时和其他异常进行了分类捕获，便于在日志中定位是哪一台设备出了问题。恢复时间通过RECOVERY_INTERVAL常量统一管理，修改一处即可影响全部设备。
如果需要管理的设备数量很多，串行执行会非常慢。此时可以将设备列表分组，使用Ruby线程或多进程并行处理。但需要注意，过高的并发可能触发交换机SSH连接数限制，或者被网络安全设备误判为暴力破解。通常建议并发数控制在5到10之间，并在测试环境验证后再扩大规模。
实现违规状态检测与恢复时间联动
只完成恢复时间配置还不够，运维人员通常还需要知道当前有多少端口处于违规状态，以及它们是否在配置的时间窗口后成功恢复。这个需求可以通过定时轮询设备状态来实现。很多交换机支持使用show spanning-tree inconsistentports或类似命令查看不一致端口。Ruby脚本可以周期执行该命令，解析输出中是否包含root-inconsistent关键字。
下面这段脚本演示了检测违规状态并等待恢复时间后再复查的逻辑。它假设已经配置了恢复时间为300秒，脚本每30秒检查一次，达到恢复时间后再次检查端口是否已经回到正常状态：
require 'net/ssh'
HOST = '192.168.1.1'
USER = 'admin'
PASSWORD = ENV['SWITCH_PASSWORD']
RECOVERY_INTERVAL = 300
POLL_INTERVAL = 30
def check_inconsistent_ports(ssh)
output = ssh.exec!('show spanning-tree inconsistentports')
output.include?('root inconsistent')
end
Net::SSH.start(HOST, USER, password: PASSWORD, timeout: 10) do |ssh|
if check_inconsistent_ports(ssh)
puts '检测到根保护违规，开始计时等待恢复'
elapsed = 0
while elapsed < RECOVERY_INTERVAL
sleep POLL_INTERVAL
elapsed += POLL_INTERVAL
puts "已经等待 #{elapsed} 秒"
end
if check_inconsistent_ports(ssh)
puts '恢复时间已到，端口仍然处于违规状态，需要人工介入'
else
puts '恢复时间已到，端口已经恢复正常转发状态'
end
else
puts '当前没有根保护违规端口'
end
end
这个脚本把检测逻辑封装在check_inconsistent_ports方法中，它执行命令并判断输出是否包含特定字符串。循环等待使用sleep和计数器，每30秒轮询一次。恢复时间到达后再次检查，如果端口仍然违规，则输出告警信息。实际部署时，可以把这个告警输出替换为邮件、企业微信或日志系统推送，形成完整的闭环。
需要注意的是，show spanning-tree inconsistentports的输出格式可能因设备型号和软件版本不同而变化。因此在生产环境使用前，最好先手工执行一次该命令，确认关键字是root-inconsistent还是root inconsistent，并根据实际输出调整判断逻辑。
批量运维中的注意事项
使用Ruby脚本修改网络设备配置时，安全性和可回滚性是首要考虑的问题。密码不应明文写在脚本中，建议使用环境变量或专门的密钥管理系统。SSH连接应限制来源地址，设备侧应开启审计日志，记录命令来源和内容。对于关键交换机，可以先在测试设备或非生产VLAN上验证脚本，确认无误后再推送到生产环境。
恢复时间的取值需要结合生成树收敛时间和业务连续性要求。设置太短可能无法消除抖动，设置太长则可能导致业务长时间中断。一般建议从300秒开始测试，观察端口恢复是否稳定，再逐步调整。对于核心层设备，恢复时间可以比接入层设备更长，因为核心拓扑变化影响范围更大。
另外，脚本执行后应该保存配置，否则设备重启后修改会丢失。上面的示例中使用了write memory命令，但在某些平台上可能是copy running-config startup-config。编写跨平台脚本时，可以把这些平台差异抽象为参数，根据设备类型选择不同的命令集合。这样一套Ruby脚本就能覆盖多种交换机，避免为每个厂商单独维护一个版本。