主页 / server / 问题 / 703386
Accepted
morleyc
Asked: 2015-07-04 06:56:48 +0800 CST

HP ProCurve 防止环路和用户插入未经授权的交换机/接入点

  • 772

我们有一个HP ProCurve 2530-24-PoE (J9773A)交换机，最近我有一个用户将 Apple 无线硬件设备插入网络 - 每当连接它时，我都会收到来自交换机的大量广播警告，间歇性丢包和交换机 CPU 使用率飙升.

我移除了他的设备，一切都很好......鉴于整个办公室都关闭了，并且每次插入时都无法工作，除了与 Apple 硬件配置有关之外，我无法找到根本原因。我只能假设他已设置为连接到 WiFi 的客户端桥接器并通过 Apple 以太网端口导致环回！

我在 HP ProCurve 上启用了生成树，但这并没有阻止网络中断。

我正在考虑再次阻止这种情况发生（并进一步锁定用户将他们自己的未经授权的接入点/交换机连接到网络），并在https://cs.uwaterloo.ca/cscf看到以下推荐的命令来加强循环/reports/CNAG/2009/ProCurve%20Best%20Practices.pdf：

loop-protect 1-24
spanning-tree 1-24 root-guard
spanning-tree 1-24 bpdu-protection
spanning-tree 1-24 admin-edge-port
loop-protect 1-24

问题 1 - 使用这些命令或任何我应该注意的上述命令可以在晚上轻松入睡吗？

问题 2 - 上述命令会阻止人们弄乱网络并连接他们自己的硬件，还是需要任何其他命令？

问题 3 - 如果我们有自己的授权无线设备，是否会bpdu-protection停止无线接入点上客户端的桥接，我们是否应该在连接到我们的无线接入点的端口上关闭此功能？

问题 4 - 我们有一个语音 VLAN 设置并指定为语音：

vlan 69
   name "DATA_VLAN"
   untagged 1-24
   no ip address
   exit
vlan 70
   name "VOICE_VLAN"
   tagged 1-24
   no ip address
   qos dscp 101110
   voice
   exit

电话插在交换机上，电脑插在电话后面。与问题 3 类似，这将如何bpdu-protection影响我在每部电话后面都有一台 PC 的事实（因此每个端口基本上有 2 个 MAC 地址）。语音 vlan 70 中指定的事实是否voice允许并处理此问题？

switch

1 个回答

  1. Best Answer

    最后我使用了spanning-tree命令和 HP的组合loop-protect：

    loop-protect 1-44
spanning-tree
spanning-tree bpdu-protection-timeout 600 priority 1
spanning-tree 1-44 admin-edge-port
spanning-tree 1-44 bpdu-protection

    我只对边缘端口执行此操作，连接到其他交换机的任何东西（在我的情况下是端口 45-48）都保留为默认值（没有生成树或环路保护命令）。

    • 1

相关问题