接入交换机把连接普通终端的接口配置为边缘端口。若有人误接一台交换机并从该接口发送 BPDU，为防止二层拓扑受到影响，较合适的保护机制是（）。
边缘端口预期连接终端，不应收到生成树 BPDU。BPDU Guard 检测到 BPDU 后可阻断或错误关闭接口，避免私接交换机参与生成树并改变拓扑。
选项分析
错误。关闭生成树会失去全网二层环路保护，风险更大。
正确。用户边缘端口收到 BPDU 属于异常，应触发端口保护。
错误。根端口由生成树计算产生，不能靠把用户口固定成根端口解决。
错误。MTU 大小与 BPDU 异常接入防护无直接关系。
本题为什么容易错
BPDU Guard 和 Root Guard 容易混。前者强调边缘端口不应收到任何 BPDU；后者更关注某端口收到更优 BPDU 后不应让外部设备成为根桥。
简短答案
配置为边缘端口的用户接口收到 BPDU 后，为什么常触发 BPDU Guard，正确答案是 B（启用 BPDU Guard，接口收到 BPDU 后进入保护或错误关闭状态）。边缘端口预期连接终端，不应收到生成树 BPDU。BPDU Guard 检测到 BPDU 后可阻断或错误关闭接口，避免私接交换机参与生成树并改变拓扑。
易混淆概念对比表
| 概念 | 本题判断 | 区别要点 | 记忆提示 |
|---|---|---|---|
| 关闭所有 VLAN 的生成树协议 | 本题干扰项 | 错误。关闭生成树会失去全网二层环路保护，风险更大。 | 看到该词不要急着选，先判断是否真正解决题干问题 |
| 启用 BPDU Guard，接口收到 BPDU 后进入保护或错误关闭状态 | 本题正确答案 | 正确。用户边缘端口收到 BPDU 属于异常，应触发端口保护。 | 看到题干核心场景时优先联想到它 |
| 把用户端口永久配置为根端口 | 本题干扰项 | 错误。根端口由生成树计算产生，不能靠把用户口固定成根端口解决。 | 看到该词不要急着选，先判断是否真正解决题干问题 |
| 把接口 MTU 调到最大值 | 本题干扰项 | 错误。MTU 大小与 BPDU 异常接入防护无直接关系。 | 看到该词不要急着选，先判断是否真正解决题干问题 |
本题易混淆选项怎么区分
- 关闭所有 VLAN 的生成树协议：错误。关闭生成树会失去全网二层环路保护，风险更大。
- 把用户端口永久配置为根端口：错误。根端口由生成树计算产生，不能靠把用户口固定成根端口解决。
- 把接口 MTU 调到最大值：错误。MTU 大小与 BPDU 异常接入防护无直接关系。
知识点详解
BPDU Guard 常与边缘端口或 PortFast 配合使用。终端口正常不参与交换机间生成树协商，因此出现 BPDU 可视为拓扑假设失效。设备通常会把端口置于错误关闭或受保护状态，具体恢复方式依厂商配置而定。Root Guard 则用于阻止某方向出现更优根桥，Loop Guard 侧重异常丢失 BPDU 时避免阻塞端口错误进入转发，三者不能混用。
备考速记
终端口见到 BPDU 就可疑，BPDU Guard 先隔离再排查。
BPDU Guard 在二层安全场景中的作用
BPDU Guard在本题中的核心价值，是解决“接入交换机把连接普通终端的接口配置为边缘端口。若有人误接一台交换机并从该接口发送 BPDU，为防止二层拓扑受到影响，较合适的保护机制是（）”这个场景问题。复习时不要只背选项名称，还要理解它为什么适用于该场景，以及它能解决哪类安全、流程或管理问题。
同类题怎么考
- PortFast端口收到BPDU后的处置。
- 比较BPDU Guard和Root Guard保护的对象与触发条件。
BPDU Guard 在网络工程师软考中的考法
软考选择题通常不会只考概念定义，还会把BPDU Guard放到二层安全场景中，要求判断它的作用、适用范围或与相近概念的区别。遇到这类题时，先抓住题干中的业务场景，再看哪个选项最能解决该场景下的核心问题。
解题思路
边缘端口可以快速进入转发，是因为网络管理员相信它后面只有终端。现在收到 BPDU，说明这个假设被打破，可能是误接或私接交换机。BPDU Guard 的处理很干脆：先把风险端口隔离，避免新设备影响根桥选举或形成环路，再由管理员查明原因后恢复。
考点定位
BPDU Guard 的题眼是“终端口本不该收到 BPDU，却收到了”。它不是用来优选根桥，也不是关闭全网生成树。
易错提醒
- 在交换机正常互联口上误启 BPDU Guard，收到合法 BPDU 后接口被关闭。
- 只配置边缘快速转发，没有配套异常 BPDU 防护。
- 接口恢复前未排除私接设备或错误布线。
备考提示
- 分别给 BPDU Guard、Root Guard、Loop Guard 写一句触发条件。
- 配置题要先判断端口后面预期连接终端还是交换机。
你可能还想了解
- BPDU Guard 应配置在哪些端口？
- BPDU Guard 和 Root Guard 有什么区别？
- 接口被 BPDU Guard 关闭后怎样安全恢复？
本文小结
边缘端口预期只接终端，收到BPDU说明可能误接交换机。BPDU Guard会阻断或错误关闭接口，防止异常设备影响生成树拓扑。