Broadcast Storm

Was ist ein Broadcast-Sturm?

Ein Broadcast-Sturm ist ein Zustand in einem Netzwerk, bei dem eine enorme Anzahl von Broadcast-, Multicast- oder unbekannten Unicast-Paketen gleichzeitig zirkuliert und die verfügbare Bandbreite vollständig belegt. Der Name beschreibt das Phänomen treffend: Wie ein sich selbst verstärkender Sturm wächst das Verkehrsaufkommen exponentiell an, bis kein normaler Datenverkehr mehr möglich ist. Broadcast-Stürme sind fast immer die direkte Folge einer Layer-2-Schleife und können ein gesamtes Netzsegment innerhalb von Sekunden lahmlegen. Sie zählen zu den gefürchtetsten Störungen in Ethernet-basierten Infrastrukturen.

Ursachen und Auslöser

Die primäre Ursache eines Broadcast-Sturms ist eine Schleife auf Layer 2. Zwei oder mehr Switches sind über mehrere Pfade miteinander verbunden, ohne dass das Spanning Tree Protocol (STP) die überzähligen Wege blockiert. Ein einziges Broadcast-Paket, etwa ein ARP-Request, genügt als Initialzündung.

Der Switch empfängt das Broadcast-Paket an einem Port und leitet es bestimmungsgemäß an alle anderen Ports weiter. Über die redundante Verbindung erreicht dasselbe Paket den Nachbar-Switch, der es wiederum an allen Ports aussendet. Das Paket gelangt zurück zum ursprünglichen Switch und der Kreislauf beginnt von Neuem. Da Ethernet-Frames kein Lebenszeitfeld (TTL) besitzen, endet dieser Vorgang nie. Jeder Umlauf erzeugt weitere Kopien, die sich lawinenartig vervielfachen.

Neben Schleifen durch redundante Verkabelung können auch Fehlkonfigurationen, defekte Netzwerkkarten, die unkontrolliert Broadcasts senden, oder böswillige Angriffe mit gefälschten Broadcasts einen Sturm auslösen.

Auswirkungen auf das Netzwerk

Die Folgen eines Broadcast-Sturms sind verheerend und treten innerhalb weniger Sekunden ein.

• Bandbreitensättigung: Das exponentielle Wachstum der Pakete füllt die gesamte Kapazität der beteiligten Links aus. Normale Nutzdaten finden keinen Platz mehr und werden verworfen.
• CPU-Überlastung der Switches: Jeder Broadcast muss von der CPU des Switches verarbeitet werden. Bei Millionen von Paketen pro Sekunde erreicht die CPU-Auslastung schnell 100 Prozent, was den Switch unresponsive macht und Management-Zugriffe verhindert.
• Instabile MAC-Adresstabellen: Das ständige Eintreffen desselben Pakets an wechselnden Ports führt dazu, dass der Switch seine MAC-Tabelle fortlaufend überschreibt und keine gültigen Einträge mehr besitzt.
• Endgerätebelastung: Alle angeschlossenen Geräte empfangen die Broadcasts und müssen sie verarbeiten, selbst wenn sie nicht das Ziel sind. Dies kann ältere oder schwächere Geräte ebenfalls überlasten.

Das Ergebnis ist ein kompletter Netzstillstand, der oft erst durch physisches Trennen der Schleife behoben werden kann.

Abgrenzung zu ähnlichen Phänomenen

Ein Broadcast-Sturm ist von anderen Überlastungssituationen zu unterscheiden.

• Unicast-Flooding: Tritt auf, wenn die MAC-Tabelle eines Switches überläuft und er unbekannte Unicasts fluten muss. Dies erzeugt ebenfalls hohen Verkehr, jedoch meist weniger explosiv als ein Broadcast-Sturm.
• Multicast-Sturm: Ähnlich dem Broadcast-Sturm, jedoch auf Multicast-Adressen beschränkt. Kann durch IGMP-Snooping eingedämmt werden.
• Denial-of-Service (DoS) auf höheren Schichten: Zielt auf Server oder Dienste ab und nutzt andere Protokolle wie TCP SYN Floods, nicht die Broadcast-Mechanismen von Layer 2.

Gegenmaßnahmen und Prävention

Der Broadcast-Sturm wird durch eine mehrschichtige Strategie verhindert.

• Spanning Tree Protocol (STP): Die grundlegende und wichtigste Maßnahme. STP und seine Varianten RSTP und MSTP erkennen physische Schleifen und deaktivieren redundante Pfade logisch. Das Protokoll muss auf allen verwalteten Switches aktiviert sein.
• BPDU Guard: Deaktiviert einen Port sofort, wenn auf einem Endgeräte-Port BPDUs empfangen werden, und verhindert so das Einschleifen durch unautorisierte Switches.
• Storm Control: Viele Switches bieten die Möglichkeit, die maximale Broadcast-, Multicast- und Unicast-Flooding-Rate pro Port zu begrenzen. Wird der Schwellenwert überschritten, verwirft der Switch die überzähligen Pakete oder schaltet den Port ab.
• VLAN-Segmentierung: Begrenzt den Broadcast-Domain-Umfang. Ein Broadcast-Sturm bleibt auf das betroffene VLAN beschränkt und wirkt sich nicht auf das gesamte Netz aus.
• Loop Guard und Root Guard: Ergänzende STP-Sicherheitsfeatures, die vor fehlerhaften oder böswilligen Topologieänderungen schützen.

Erkennung und Diagnose im laufenden Betrieb

Ein Broadcast-Sturm kündigt sich durch rasch steigende Port-Statistiken an. Die Broadcast- und Multicast-Zähler der betroffenen Ports schnellen in die Höhe. Sämtliche Link-LEDs zeigen Daueraktivität. Die Reaktionszeiten des Netzes brechen ein, und Management-Zugriffe per SSH oder HTTPS scheitern häufig.

Erfahrene Administratoren erkennen einen Sturm sofort an den Symptomen und greifen zum Mittel der physischen Entkopplung, indem sie verdächtige Kabel ziehen, um die Schleife zu unterbrechen. Werkzeuge wie Wireshark zeigen die Paketflut im Detail, sind aber bei einem bereits laufenden Sturm aufgrund der schieren Datenmenge kaum noch einsetzbar. Syslog-Meldungen über ausgefallene Nachbarschaften und STP-Topologieänderungen liefern rückblickend Hinweise auf die Ursache.

Zusammenfassung

Der Broadcast-Sturm ist die eskalierte Form einer Layer-2-Schleife und stellt eine akute Bedrohung für die Netzverfügbarkeit dar. Seine exponentielle Dynamik lässt keinen Spielraum für langsame manuelle Eingriffe. Prävention durch aktiviertes Spanning Tree, konsequenten Einsatz von Schutzfunktionen wie BPDU Guard und Storm Control sowie eine saubere VLAN-Architektur sind die einzigen wirksamen Mittel. In einem korrekt konfigurierten Managed Network darf ein Broadcast-Sturm nicht auftreten.