1、由于生成树也有许多不能解决的问题：比如1.802.1d不能阻止有问题的交换机成为根网桥2.不具备从特定端口过滤BPDU的特性3.网络设备故障会使网络中产生桥接环路和黑洞4.某些故障会干扰生成树所以生成树的优化是必须做的。
2、BPDU防护:防止交换机意外连接到了启用了PORTFAST特性的端口。如果接口启用了PORTFAST特性，那么当该接口收到BPDU的时候，BPDU防护功能就会使其进入“err-d足毂忍珩isable”状态，而不是将其blocking，以防产生桥接环路。直到管理员手动打开该端口。管理员也可以设置超时时间间隔，当端口进入“err-disable”状态之后，超过时间间隔，端口会再次打开，如果这时候仍旧接收到BPDU，BPDU防护特性会再次将其关闭BPDU防护有两种启用方式：1）全局启用：（no）spanning-tree portfast edge bpduguard default，这个是在所有开启了PORTFAST的端口上启用BPDU防护，前提是，已经开启了PORTFAST2）端口启用：spanning-tree bpduguard enable，这个只在当前端口启用，这个无需先配置PORTFAST
3、BPDU过滤（不 发）： 当交换机直接跤耧锿葡与主机相连的时候，这个时候是不需要向主机发送BPDU的，因为主机不参与拓扑的计算，所以发夸臾蓠鬏过去还是会丢弃，白白的浪费资源，因此还不如不发。1）全局启用：（no）spanning-tree portfast bpdufilter default。全局启用会作用于交换机上所有处于工作状态，且没有单独在接口底下配置BPDU过滤特性的PORTFAST端口（也就是说要想全局启用生效，端口必须先配置PORTFAST属性）。如果这个端口收到了BPDU，那么他们就不再处于PortFast状态，BPDU过滤特性也将被禁用，然后开始和其他STP接口一样收发BPDU。在启动的时候，端口会传输10个BPDU数据包，如果这个端口在这个时间内收到了BPDU数据包，那么同样会退出PortFast状态并且禁用BPDU过滤特性。2）端口启用：spanning-tree bpdufilter enable。端口会忽略收到的BPDU数据包，也不会发送任何BPDU数据包，这个不需要预先开启portfast特性。BPDU过滤优先级高于BPDU防护，当有BPDU过滤的时候，BPDU防护将不生效
4、根防护（不建立）：当一个具有更高优先级的网桥接入当前网络的时候，会造成当前网络拓扑的变化，导致一系列事情的发生。根保护的目的是确保根保护的端口成为指定端口，如果启用了根防护的端口上收到了一个更优的BPDU，则这个端口会进入不一致根的状态（等效于blocking状态），这时候不会处理BPDU，也就是说新的BPDU不会得到传播，也就不会竞选根网桥，这样就保证了原有拓扑的稳定性。这个时候，处于不一致根状态的的端口还会继续监听，如果不再收到更优BPDU的时候，端口就会取消阻塞，依次进行STP的状态过渡，最终进入转发状态
5、对于根防护：我们来举个例子如下图：A和B为分布层SW，C为接入层SW，根为A。当在C下面再接一台SW时，由于D的优先级或MAC地址可能比其它要低，可能会使D成为RootSW，从而使得从A到达B的流量不能直接发送到B，而得使用C来转发，这样很不合理（A和B之间为千兆）。为了避免这种情况，可以在C的下联端口上使用RootGuard，以防止该端口成为RootPort，从而防止D成为RootSW，确保A永远为RootSW。使用RootGuard后，当SWD接入网络后，C的下联D的端口会收到一个更新的BPDU（前提是D的优先级最高）后，C将该端口转为Block状态，直到D不在发送新的BPDU或更改D的优先级。关于根防护的一个建议：在所有接入端口上启用根防护特性启用方式：Spanning-tree guard root
6、检查配置的命令：1.BPDU防护Show spanning-tree summary totals2.BPDU过滤Show spanning-tree summary（查看过滤的启用状态，默认的）Show spanning-tree interface f0/1 datails（查看特定端口的启用状态）3.根防护Show spanning-tree inconsistentports
