Layer-2-Schleife
Was ist eine Layer-2-Schleife?
Eine Layer-2-Schleife, auch Switching-Loop oder Bridge-Loop genannt, ist ein Zustand in einem Ethernet-Netzwerk, bei dem Datenpakete endlos zwischen Switches im Kreis laufen. Ursache sind redundante Verbindungen, die ohne Schutzmechanismus mehrere Pfade zwischen zwei Punkten öffnen. Einmal in die Schleife geraten, werden Frames von Switch zu Switch weitergereicht, ohne jemals ihr Ziel zu erreichen oder zu verschwinden. Die Folge ist eine lawinenartige Vermehrung des Datenverkehrs, die innerhalb von Sekunden die gesamte Netzwerkkapazität erschöpft. Layer-2-Schleifen sind einer der gefährlichsten Fehlerzustände in lokalen Netzen und führen im schlimmsten Fall zum Totalausfall großer Netzsegmente.
Wie entsteht eine Layer-2-Schleife?
Eine Schleife entsteht immer dann, wenn zwischen zwei Switches mehr als ein aktiver Pfad existiert und keine logische Schleifenvermeidung aktiv ist. Dies kann durch eine bewusst redundante Verkabelung geschehen, die die Ausfallsicherheit erhöhen soll, ohne dass ein Protokoll wie das Spanning Tree Protocol (STP) die überzähligen Pfade blockiert. Auch ein einfacher Patchfehler, bei dem ein Kabel versehentlich beide Enden in denselben Switch oder in zwei Switches steckt, die bereits verbunden sind, erzeugt eine Schleife. Selbst unachtsam angeschlossene Hubs oder unmanaged Switches können eine Schleife verursachen, wenn sie mehrere Ports miteinander verbinden. In all diesen Fällen erkennt das Netz die doppelten Wege nicht und beginnt, Frames im Kreis zu senden.
Die fatalen Folgen: Broadcast-Sturm, MAC-Instabilität und Duplikate
Eine Layer-2-Schleife löst drei gleichzeitige und sich gegenseitig verstärkende Effekte aus, die das Netz innerhalb kürzester Zeit unbenutzbar machen.
Broadcast-Sturm
Broadcasts, Multicasts und unbekannte Unicasts werden von Switches an alle Ports außer dem Quellport geflutet. In einer Schleife erreicht ein solcher Frame den Nachbar-Switch, der ihn wiederum flutet, und gelangt zurück zum ursprünglichen Switch. Da Ethernet-Frames keine Lebenszeitbegrenzung (TTL) wie IP-Pakete besitzen, wiederholt sich dieser Vorgang endlos. Mit jedem Umlauf werden Kopien des Frames erzeugt und neue Kopien geflutet. Die Anzahl der Pakete wächst exponentiell, bis die komplette Bandbreite aller beteiligten Leitungen und Switch-Ports mit unnützem Verkehr gesättigt ist. Normale Nutzdaten finden keinen Platz mehr, das Netz steht still.
Instabile MAC-Adresstabellen
Switches lernen MAC-Adressen aus eingehenden Frames und speichern sie mit dem zugehörigen Port. Im Loop-Zustand empfängt ein Switch denselben Frame mit derselben Quell-MAC-Adresse abwechselnd an verschiedenen Ports. Er überschreibt ständig seinen Eintrag und kann keine gültige Zuordnung aufbauen. Die MAC-Tabelle wird instabil, und eigentlich bekannte Ziele werden wieder zu unbekannten Unicasts, die geflutet werden müssen. Dies heizt den Broadcast-Sturm weiter an.
Doppelte Pakete und Datenkorruption
Empfänger in der geschleiften Topologie erhalten Frames mehrfach zugestellt. Ein einfaches Datenpaket kann über verschiedene Pfade mehrfach beim Ziel eintreffen. Höhere Protokollschichten wie TCP können diese Duplikate zwar erkennen und verwerfen, aber sie belasten die Endgeräte und verbrauchen Ressourcen. Schlimmer noch: In extremen Fällen kann sich ein Frame selbst überholen oder mit Kopien kollidieren, was zu Prüfsummenfehlern und scheinbaren Leitungsproblemen führt.
Vermeidung und Absicherung
Da Layer-2-Schleifen existenzbedrohend für den Netzbetrieb sind, existieren mehrere ineinandergreifende Schutzmaßnahmen, die in professionellen Umgebungen zwingend eingesetzt werden.
Spanning Tree Protocol (STP)
Das Spanning Tree Protocol ist die grundlegende Methode, um in redundanten Topologien Schleifen zu verhindern. Es berechnet automatisch einen schleifenfreien logischen Baum und deaktiviert die überflüssigen physischen Pfade, bis sie im Fehlerfall benötigt werden. STP und seine schnelleren Nachfolger RSTP und MSTP sind auf jedem verwalteten Switch verfügbar und in einem eigenen Artikel detailliert beschrieben.
Ergänzende Schutzmechanismen
Über STP hinaus sichern weitere Funktionen das Netz gegen Schleifen ab. BPDU Guard deaktiviert einen Port sofort, wenn auf einem Endgeräte-Port eine BPDU empfangen wird, was auf einen unerlaubten Switch hindeutet. Loop Guard schützt vor dem Verlust von BPDUs auf Punkt-zu-Punkt-Verbindungen und verhindert das ungewollte Aufheben von Blockierungszuständen. Root Guard wehrt fremde Switches ab, die die Rolle der Root Bridge übernehmen wollen. All diese Features sind in eigenen Artikeln vertieft und bilden zusammen ein mehrschichtiges Schutzkonzept.
Physikalische und administrative Maßnahmen
Neben Protokollen helfen klare Verkabelungsrichtlinien, eine saubere Dokumentation und die physikalische Sicherung von Switch-Ports. Unbenutzte Ports sollten administrativ abgeschaltet und in ein ungenutztes VLAN gelegt werden. Unmanaged Switches, die keine Spanning-Tree-Unterstützung bieten, gehören nicht in redundante Umgebungen. Die konsequente Verwendung von Link Aggregation (LACP) bündelt parallele Leitungen zu einem logischen Kanal, den STP als einzelne Verbindung sieht und nicht blockiert.
Zusammenfassung
Die Layer-2-Schleife ist ein fundamentaler Fehlerzustand, der die grundlegenden Weiterleitungsregeln von Ethernet ausnutzt. Ohne Schutzmechanismen zerstört sie die Kommunikation zuverlässig durch exponentielle Paketvermehrung, Adresstabellenkorruption und Duplikate. Das Spanning Tree Protocol und seine Erweiterungen sind die obligatorische Antwort auf dieses Problem und auf jedem Managed Switch aktiv. Zusammen mit physischer Disziplin und zusätzlichen Sicherheitsfeatures lässt sich die Gefahr der Schleife beherrschen, sodass die Vorteile redundanter Topologien sicher genutzt werden können.