👋 Привет, сетевой друг!

Сегодня расскажу, в чём разница между BPDU Guard и Root Guard. Обе технологии защищают STP, но срабатывают в совершенно разных ситуациях.

🟣BPDU Guard нужен там, где коммутатор вообще не должен получать BPDU. Например, на порту, к которому подключён обычный компьютер. Представьте, что кто-то вместо компьютера подключил небольшой коммутатор. Он начал отправлять BPDU, и ваша сеть неожиданно получила нового участника STP.

🟣Если на порту включён BPDU Guard, первый же полученный BPDU приведёт к отключению порта. На Cisco он обычно переходит в состояние err-disabled.

🟣Root Guard работает иначе. Он нужен на соединениях с коммутаторами, которым вы не хотите позволять становиться корневым мостом.

🟣Допустим, в вашей сети уже выбран Root Bridge, но соседний коммутатор начал отправлять более приоритетные BPDU.
Без защиты он может перехватить роль корня и изменить пути прохождения трафика.
Root Guard не отключает порт окончательно, а переводит его в состояние root-inconsistent. Когда подозрительные BPDU перестают приходить, порт автоматически возвращается к работе.

🟣Настройка на Cisco:
BPDU Guard для клиентского порта:

interface GigabitEthernet0/1
spanning-tree portfast
spanning-tree bpduguard enable

Root Guard для порта к нижестоящему коммутатору:

interface GigabitEthernet0/2
spanning-tree guard root

🟣Что посмотреть при диагностике:

show spanning-tree inconsistentports
show interfaces status err-disabled
show spanning-tree interface gi0/2 detail

Первая команда поможет найти порты, заблокированные Root Guard, вторая - отключённые из-за BPDU Guard.

И важный момент: Root Guard не стоит включать на порту в сторону настоящего Root Bridge. Иначе можно самому заблокировать нужный путь к корню.

🤖Бесплатный ChatGPT