生成树协议（STP）通过阻塞冗余链路来消除二层环路，但接终端设备的端口默认也会参与生成树计算。如果这些端口收到了BPDU报文，无论是由于用户私接交换机、误接线还是攻击者恶意发送，都可能导致拓扑变化、根桥易主，甚至整个网络震荡。BPDU保护机制的作用就是：一旦配置为边缘端口的接口收到BPDU，立即将该端口置为err-disabled状态并关闭。本文用Ruby模拟这一机制，帮助大家在代码层面理解协议行为。
BPDU保护的工作原理与触发条件
先理清几个概念。边缘端口（Edge Port）对应Cisco的PortFast特性，指那些直接连接终端主机、不会产生环路的端口。这类端口跳过监听和学习状态，直接进入转发状态，加快终端上线速度。但Cisco的PortFast本身并不阻止端口收发BPDU，只有配合BPDU Guard才具备防护能力。
BPDU保护的本质是一条状态机规则：当端口被管理员标记为边缘端口后，协议栈会持续监听该端口的数据流。一旦检测到任何合法的BPDU帧（目标MAC地址为01:80:C2:00:00:00的组播帧，协议号标识为STP），立即执行惩罚动作。不同厂商的默认惩罚动作有差异：Cisco默认将端口置为err-disabled，必须手工shutdown再no shutdown才能恢复，或者配置errdisable recovery定时自动恢复；华为的bpdu-protection默认是shutdown端口，也可以配置为只丢弃报文不关端口。
为什么要在代码层面模拟它？因为网络工程师学习协议时往往只能看到交换机的日志输出，比如Cisco设备上的这句典型日志：
%SPANTREE-2-BPDU_GUARD_SHUTDOWN: Port GigabitEthernet0/1 received BPDU, putting port in err-disable state.
日志背后的解析流程、状态迁移、恢复机制其实并不复杂。自己实现一遍，比背命令行更能加深理解。这正是下文Ruby模拟器要做的事情。
用Ruby搭建BPDU检测的核心逻辑
模拟器分为三个模块：报文解析器负责从原始帧中提取以太网头并判断是否为BPDU；端口对象维护端口状态（转发、阻塞、错误关闭）以及是否为边缘端口；交换机对象负责把报文分发给对应端口并执行保护策略。下面是核心实现：
# bpdu_guard_sim.rb
require 'socket'
BPDU_DEST_MAC = ["01", "80", "c2", "00", "00", "00"].freeze
class Port
attr_reader :name
attr_accessor :edge, :state
def initialize(name, edge: false)
@name = name
@edge = edge
@state = edge ? :forwarding : :listening
end
def receive_frame(frame)
return if @state == :err_disabled
if bpdu?(frame)
if @edge
shutdown_by_bpdu_guard
else
# 非边缘端口正常处理BPDU，这里仅打印
puts "[#{@name}] 收到BPDU，进入生成树计算流程"
end
else
puts "[#{@name}] 收到普通数据帧，长度 #{frame.size} 字节"
end
end
def bpdu?(frame)
return false if frame.size < 6
frame.bytes[0, 6] == BPDU_DEST_MAC.map(&:to_i(16))
end
def shutdown_by_bpdu_guard
@state = :err_disabled
puts "%BPDU_GUARD-5-ERR_DISABLE: 端口 #{@name} 收到非法BPDU，已被强制关闭"
end
def restore
@state = @edge ? :forwarding : :listening
puts "端口 #{@name} 已手工恢复"
end
end
class Switch
def initialize
@ports = {}
end
def add_port(name, edge: false)
@ports[name] = Port.new(name, edge: edge)
end
def ingress(port_name, frame)
port = @ports[port_name]
port ? port.receive_frame(frame) : puts("端口不存在：#{port_name}")
end
end
# 演示
sw = Switch.new
sw.add_port("Gi0/1", edge: true) # 接终端的边缘端口
sw.add_port("Gi0/2") # 普通上行端口
# 构造一个BPDU帧（目标MAC为STP组播地址）
bpdu_frame = BPDU_DEST_MAC.map(&:to_i(16)) + [0x00] * 40
normal_frame = Array.new(46, 0x41)
sw.ingress("Gi0/1", normal_frame) # 正常转发
sw.ingress("Gi0/1", bpdu_frame) # 触发BPDU保护，端口关闭
sw.ingress("Gi0/1", normal_frame) # 已关闭，报文被丢弃
sw.ingress("Gi0/2", bpdu_frame) # 普通端口不受保护影响运行后可以看到边缘端口Gi0/1在收到BPDU的瞬间被置为err_disabled状态，后续报文全部丢弃，而普通端口Gi0/2不受影响。这段代码刻意模仿了Cisco的日志格式，方便对照真实设备输出。
扩展方向：真实BPDU解析与定时恢复
上面的模拟器只判断了目标MAC地址。真实的BPDU包含协议标识（0x0000表示传统STP，0x010B表示RSTP/MSTP）、版本号、BPDU类型、根桥ID、路径开销等字段。可以用Ruby的Array#pack和unpack做字节级解析，例如：
def parse_bpdu(payload)
# 跳过LLC头（3字节）后解析BPDU
protocol_id, version, bpdu_type = payload[3, 3].unpack("nCC")
root_priority, root_mac = payload[4, 8].unpack("nH12")
{
protocol_id: protocol_id,
version: version,
type: bpdu_type,
root: "#{root_priority}.#{root_mac}"
}
end另一个值得实现的特性是errdisable恢复定时器。真实网络中如果每次都手工恢复端口，运维成本很高。可以在模拟器中加一个定时任务，用Ruby的Thread实现自动恢复：
def schedule_recovery(port, interval = 300)
Thread.new do
sleep interval
port.restore if port.state == :err_disabled
end
end对比真实设备也有收获。Cisco用spanning-tree bpduguard enable在接口下启用，全局可用spanning-tree portfast bpduguard default对所有PortFast端口批量生效；华为用stp edged-port enable加stp bpdu-protection的组合。共同点是都只针对边缘端口生效，因为非边缘端口收到BPDU是正常行为。如果把BPDU保护配在互联链路上，链路会立即被关闭，造成业务中断，这是部署时最常见的误操作。理解了原理，再看各家命令行，就只是配置语法上的差别而已。
STP BPDU保护Ruby网络编程边缘端口修改时间：2026-09-09 08:55:42