Loop Guard

Was ist Loop Guard?

Loop Guard ist ein Sicherheitsfeature des Spanning Tree Protocols, das einen Designated Port vor einem ungewollten Übergang in den Forwarding-Zustand schützt, wenn keine BPDUs mehr empfangen werden. Es verhindert Schleifen, die durch den Ausfall einer bidirektionalen Verbindung entstehen könnten, bei der der Port nur noch senden, aber nicht mehr empfangen kann. Loop Guard ergänzt das Spanning Tree Protocol um eine zusätzliche Schutzebene und wird auf Punkt-zu-Punkt-Verbindungen zwischen Switches eingesetzt.

Funktionsweise

Ein Designated Port im klassischen STP erwartet regelmäßig BPDUs vom Root Port des gegenüberliegenden Switches. Bleiben diese BPDUs aus, etwa durch einen Unidirectional Link oder einen Softwarefehler, würde der Port nach Ablauf des Max Age Timers in den Forwarding-Zustand wechseln und eine Schleife öffnen. Loop Guard greift ein, indem es den Port bei Ausbleiben der BPDUs nicht in den Forwarding-Zustand überführt, sondern in den Loop-Inconsistent-Zustand versetzt, der dem Blocking-Zustand entspricht. Der Port bleibt dort, bis wieder BPDUs empfangen werden. Dadurch wird die Schleife verhindert und der Netzwerkbetrieb bleibt stabil.

Abgrenzung zu anderen Features

Loop Guard wird oft mit UDLD (UniDirectional Link Detection) verwechselt, dient jedoch einem anderen Zweck. UDLD erkennt physikalisch einseitige Glasfaserverbindungen und deaktiviert den Port. Loop Guard reagiert auf den logischen Verlust von BPDUs auf einer ansonsten funktionierenden Verbindung. Beide Features ergänzen sich und sollten in redundanten Topologien gemeinsam eingesetzt werden.

BPDU Filter

Was ist BPDU Filter?

BPDU Filter ist ein Spanning-Tree-Feature, das das Senden und Empfangen von BPDUs auf einem Switch-Port unterbindet. Ein Port mit aktiviertem BPDU Filter nimmt nicht mehr am Spanning Tree Protocol teil und wird aus der Topologieberechnung herausgelöst. Das Feature kann auf Access-Ports eingesetzt werden, bei denen sicher ist, dass niemals ein Switch angeschlossen wird und bei denen der Austausch von BPDUs unerwünscht ist.

Funktionsweise und Risiken

Ist BPDU Filter auf einem Port aktiv, sendet der Switch keine BPDUs mehr über diesen Port und ignoriert eingehende BPDUs. Der Port geht sofort in den Forwarding-Zustand, ohne die Spanning-Tree-Phasen zu durchlaufen. Wird an einem solchen Port versehentlich ein Switch angeschlossen, kann dies sofort zu einer Schleife führen, da keinerlei Schutzmechanismus mehr greift. Aus diesem Grund wird BPDU Filter nur in sehr spezifischen, kontrollierten Umgebungen eingesetzt und meist mit BPDU Guard kombiniert, das den Port bei Empfang einer BPDU deaktiviert.

Abgrenzung zu BPDU Guard

BPDU Guard deaktiviert einen Port, sobald eine BPDU empfangen wird, und schützt so vor ungewollten Switches. BPDU Filter hingegen unterdrückt BPDUs vollständig und lässt den Port inaktiv gegenüber Spanning Tree. BPDU Guard ist die sicherere Wahl für allgemeine Access-Ports, BPDU Filter ist restriktiver und riskanter.