为了保持网络运行的稳定，RSTP提供了以下几种保护功能：

在RSTP网络中，正常情况下，边缘端口不会收到RST BPDU，启用了BPDU保护功能后，如果有人伪造RST BPDU恶意攻击交换机，边缘端口将被Error-Down。

如图1所示，S3上将与PC相连的端口设置为边缘端口，当边缘端口接收到RST BPDU时，交换机会自动将边缘端口设置为非边缘端口，并重新进行生成树计算。当攻击者发送的RST BPDU报文中的桥优先级高于现有网络中根桥优先级时会改变当前网络拓扑，可能会导致业务流量中断。这是网络中一种简单的拒绝服务DoS（Denial of Service）攻击方式。

图1 BPDU保护

交换机上启动了BPDU保护功能后，如果边缘端口收到RST BPDU，边缘端口将被error-down，但是边缘端口属性不变，同时通知网管系统。

根保护

由于维护人员的错误配置或网络中的恶意攻击，网络中合法根桥有可能会收到优先级更高的RST BPDU，使得合法根桥失去根地位，从而引起网络拓扑结构的错误变动。这种不合法的拓扑变化，会导致原来应该通过高速链路的流量被牵引到低速链路上，造成网络拥塞。

如图2所示，DeviceA和DeviceB处于网络核心层，两者间的链路带宽为1000M，DeviceA为网络中的根桥。DeviceC处于接入层，DeviceC和DeviceA、DeviceC和DeviceB之间的链路带宽为100M。正常情况下，DeviceB和DeviceC之间的链路被阻塞。

当DeviceD新接入DeviceC时，由于DeviceD的桥优先级高于DeviceA，此时DeviceD会被选举为新的根桥，如果两个核心交换机DeviceA和DeviceB之间的千兆链路被阻塞，会导致VLAN中的流量都通过两条100M链路传输，可能会引起网络拥塞及流量丢失。

图2 根保护

此时可以在DeviceC连接DeviceD的端口上，配置根保护。对于启用Root保护功能的指定端口，其端口角色只能保持为指定端口。一旦启用Root保护功能的指定端口收到优先级更高的RST BPDU时，端口状态将进入Discarding状态，不再转发报文。在经过一段时间（通常为两倍的Forward Delay），如果端口一直没有再收到优先级较高的RST BPDU，端口会自动恢复到正常的Forwarding状态。

Root保护功能只能在指定端口上配置生效。

•环路保护

在运行RSTP协议的网络中，根端口和其他阻塞端口状态是依靠不断接收来自上游交换设备的RST BPDU维持。当由于链路拥塞或者单向链路故障导致这些端口收不到来自上游交换设备的RST BPDU时，此时交换设备会重新选择根端口。原先的根端口会转变为指定端口，而原先的阻塞端口会迁移到转发状态，从而造成交换网络中可能产生环路。

如图3所示，当BP2-CP1之间的链路发生拥塞时，DeviceC由于根端口CP1在超时时间内收不到来自上游设备的BPDU报文，Alternate端口CP2放开转变成了根端口，根端口CP1转变成指定端口，从而形成了环路。

图3 链路发生拥塞情况拓扑的变化

在启动了环路保护功能后，如果根端口或Alternate端口长时间收不到来自上游设备的BPDU报文时，则向网管发出通知信息（此时根端口会进入Discarding状态，角色切换为指定端口），而Alternate端口则会一直保持在阻塞状态（角色也会切换为指定端口），不转发报文，从而不会在网络中形成环路。直到链路不再拥塞或单向链路故障恢复，端口重新收到BPDU报文进行协商，并恢复到链路拥塞或者单向链路故障前的角色和状态。