Switch/BPDU-Guard

BPDU-Guard und -Filter

BPDU-Guard deaktiviert einen Switchport, sobald er ein BPDU-Paket empfängt.
Die Ursache kann in einem Angriff oder im unerlaubten Anschließen eines Switches liegen.
Optional aktiviert der BPDU-Guard einen abgeschalteten Switchport mit einem Timer nach Ablauf einer gewissen Zeit automatisch wieder.
BPDU-Guard sollte auf jedem Access-Switchport konfiguriert sein.
Das geschieht im Interface mit »spanning-tree bpduguard enable« oder global mit »spanning-tree portfast bpduguarddefault« .
BPDU-Filter verhindert, dass ein Switch BPDUs über einen Switchport verschickt.
Auch dieses Feature sollte auf jedem Access-Port aktiviert sein mit »spanning-tree bpdu-filter enable« im Interface oder global mit »spanning-tree portfast bpdufilter default« .
Auch nachdem die Root Bridge gewählt und der gesamte Spanning Tree aktiv ist, können weitere Switches dem Netzwerk beitreten, beispielsweise bei der Installation eines neuen Stockwerk-Switches.
Hat eins der neuen Geräte eine niedrigere Bridge Priority, würde es dann zur neuen Root Bridge.
Das zöge allerdings eine Änderung der gesamten Netzwerktopologie und damit möglicherweise suboptimale Pfade sowie Performance-Engpässe nach sich.

Schutz gegen eine versehentliche oder auch böswillige Änderung der Root Bridge bietet der Root Guard

Abbildung 2 zeigt eine Ausgangslage, in der Switch D zum Netzwerk hinzukommt.
Unterbietet dessen Bridge Priority aus einem der genannten Gründe die der bisherigen Root Bridge, ändert sich die Topologie daraufhin wie in Abbildung 3.