BPDU Guard

Was ist BPDU Guard?

BPDU Guard ist eine Sicherheitsfunktion auf Netzwerk-Switches, die unerwartete Bridge Protocol Data Units erkennt und den empfangenden Port sofort deaktiviert. BPDUs sind Steuerungsnachrichten, mit denen Switches untereinander eine baumartige Topologie ohne Schleifen aushandeln. Auf einem Port, der ausschließlich für Endgeräte vorgesehen ist, haben solche Nachrichten nichts zu suchen. BPDU Guard schützt das Netz vor Fehlkonfigurationen und absichtlichen Angriffen, indem es den Port bei einem BPDU-Eingang in den Zustand „err-disabled“ versetzt.

Die Problematik ungeschützter Access-Ports

Ein Access-Port verbindet den Switch mit einem Endgerät wie einem PC, Drucker oder IP-Telefon. Auf diesen Ports aktiviert man üblicherweise PortFast, damit sie sofort in den Weiterleitungszustand wechseln und das Gerät ohne Verzögerung kommunizieren kann. Schließt jemand versehentlich oder böswillig einen weiteren Switch an einen solchen Port an, sendet dieser Switch BPDUs aus. Ohne Schutzmaßnahme würde das Spanning-Tree-Protokoll die neuen BPDUs verarbeiten, die Topologie neu berechnen und möglicherweise einen zentralen Uplink blockieren. Das Ergebnis ist eine gefährliche Schleife oder eine ungewollte Blockade großer Netzsegmente. BPDU Guard verhindert genau dieses Szenario.

Wie BPDU Guard technisch arbeitet

Der Switch überwacht Ports, auf denen BPDU Guard aktiv ist, auf eingehende BPDUs. Sobald eine BPDU ankommt, interpretiert das Betriebssystem dies als Regelverstoß und schaltet den Port in den Fehlerzustand err-disabled. In diesem Zustand werden keine Datenpakete mehr weitergeleitet, und der Port ist physikalisch aktiv, aber logisch abgeschaltet. Ein Log-Eintrag und eine SNMP-Trap informieren den Administrator über den Vorfall. Der Port bleibt solange deaktiviert, bis ein Administrator ihn manuell zurücksetzt oder eine automatische Erholung über das Feature errdisable recovery konfiguriert ist.

Abgrenzung zu BPDU Filter

BPDU Guard wird häufig mit BPDU Filter verwechselt. BPDU Filter blockiert eingehende und ausgehende BPDUs auf einem Port, deaktiviert den Port jedoch nicht. BPDU Guard hingegen schaltet den Port hart ab. Die sicherheitstechnisch empfohlene Methode ist BPDU Guard, weil ein blockierender Filter den unerlaubten Switch verstecken und eine schleichende Netzstörung verursachen kann. BPDU Guard erzwingt hingegen eine sofortige, harte Isolation des Fehlerpunkts.

Konfiguration auf Cisco- und anderen Plattformen

Cisco hat BPDU Guard fest in sein Spanning-Tree-Feature-Set integriert. Auf einem Cisco-Switch aktiviert man es global mit dem Befehl spanning-tree portfast bpduguard default. Danach erben alle Ports, die mit PortFast konfiguriert sind, automatisch den Schutz. Alternativ kann man es pro Interface mit spanning-tree bpduguard enable einschalten. Andere Hersteller verwenden eine ähnliche Logik. Juniper Networks nennt das Feature BPDU Guard und knüpft es an die Portrolle „edge“. Aruba und HPE setzen auf eine Kombination aus administrativem Edge-Port und dem Kommando bpdu-protection. Extreme Networks verwendet den Begriff BPDU Restrict oder BPDU Guard im Rahmen des ELRP-Protokolls. Das Konzept ist herstellerunabhängig und gehört heute zum Standardrepertoire jedes verwalteten Switches.

Err-disabled Recovery und manuelle Wiederherstellung

Ein durch BPDU Guard abgeschalteter Port muss aktiv in den Normalzustand zurückversetzt werden. Der klassische Weg führt über das manuelle Shutdown und No Shutdown des Interfaces. Um den administrativen Aufwand zu minimieren, bieten die meisten Betriebssysteme eine automatische Erholung. Cisco erlaubt über den Befehl errdisable recovery cause bpduguard die Reaktivierung nach einer einstellbaren Zeitspanne. Vorsicht ist geboten: Eine automatische Wiederherstellung ohne Analyse des Grundproblems kann zu einem flatternden Port führen, der immer wieder in den Fehlerzustand fällt.

Einsatzszenarien in der Praxis

BPDU Guard gehört auf jeden Access-Port, der zu einem Endgerät führt, sowie auf Ports, die mit unmanaged Switches oder Hubs verbunden sind. Besonders sicherheitsrelevante Umgebungen wie öffentliche Anschlüsse in Konferenzräumen, Empfangsbereichen oder Schulungsnetzen profitieren von der strikten Deaktivierung bei unerwarteten BPDUs. Auch in Rechenzentren mit strengen Topologievorgaben schützt BPDU Guard die definierte Spanning-Tree-Hierarchie vor ungewollter Änderung. Kombiniert mit weiteren Features wie Root Guard und Loop Guard entsteht ein mehrschichtiges Schutzkonzept, das die Spanning-Tree-Domäne gegen physische und logische Fehler wappnet.

Zusammenspiel mit anderen Spanning-Tree-Features

BPDU Guard ergänzt den bereits in einem separaten Artikel beschriebenen Spanning-Tree-Mechanismus, ohne ihn zu ersetzen. Während BPDU Guard auf ungewollte Switches reagiert, verhindert Root Guard das Eindringen eines Switch mit niedriger Bridge-Priorität über einen festgelegten Port. Loop Guard wiederum schützt vor einem Ausfall von BPDUs in einer bidirektionalen Verbindung. Eine konsistente Strategie, die alle drei Funktionen auf den passenden Ports aktiviert, minimiert das Risiko von Broadcast-Stürmen und physikalischen Schleifen erheblich.

Best Practices für den Betrieb

Aktivieren Sie BPDU Guard immer zusammen mit PortFast auf allen Endgeräte-Ports. Dokumentieren Sie die erwartete Portbelegung und unterbinden Sie unautorisierte Switch-Installationen. Testen Sie die automatische Wiederherstellung nur mit einer zeitlichen Verzögerung von mindestens fünf Minuten, um flatternde Ports zu vermeiden. Monitoren Sie Syslog-Meldungen und SNMP-Traps, die auf err-disabled-Ereignisse hinweisen. In Kombination mit einer automatisierten Netzwerkdokumentation erkennen Sie fehlerhafte Anschlüsse innerhalb weniger Sekunden und verhindern Ausfallzeiten im gesamten Layer-2-Segment.