Portfast (Spanning Tree)

Was ist Portfast?

Portfast ist ein optionales Feature des Spanning Tree Protocol (STP) auf verwalteten Ethernet-Switches. Es verkürzt den langwierigen Übergang eines Switch-Ports vom blockierenden in den weiterleitenden Zustand. Ein Port mit aktiviertem Portfast umgeht die zeitintensiven Listening- und Learning-Phasen und geht sofort in den Forwarding-Modus über. Das Feature ist ausschließlich für Ports gedacht, an denen Endgeräte wie PCs, Drucker oder Server angeschlossen sind, niemals für Verbindungen zu anderen Switches oder Hubs.

Warum Portfast? Das Problem der STP-Konvergenz

Wenn ein herkömmlicher Switch-Port aktiviert wird, durchläuft er gemäß dem IEEE-802.1D-Standard mehrere Phasen. Blocking verhindert zunächst jegliche Datenweiterleitung, während Listening und Learning jeweils 15 Sekunden dauern. Zusammen mit dem obligatorischen Forward-Delay von 15 Sekunden vergehen also 30 Sekunden, bevor der Port tatsächlich Datenpakete überträgt. Diese Verzögerung ist für redundante Verbindungen zwischen Switches sinnvoll, weil sie die netzweite Spanning-Tree-Topologie stabilisiert und Schleifen verhindert.

Für Endgeräte, die keine Schleifen verursachen können, ist diese Wartezeit jedoch rein hinderlich. Ein angeschlossener PC startet seinen DHCP-Client, sobald die Verbindung steht, und erwartet innerhalb weniger Sekunden eine Antwort. Wenn der Switch noch 30 Sekunden im Learning-Modus verharrt, erhält der Client kein DHCP-Angebot und konfiguriert unter Umständen eine selbst vergebene APIPA-Adresse. Auch Anmeldeskripte, Wake-on-LAN und andere zeitkritische Dienste scheitern. Portfast wurde eingeführt, um diese unnötige Verzögerung auf Access-Ports zu eliminieren.

Funktionsweise von Portfast

Ist Portfast auf einem Port aktiviert, sendet der Switch beim Link-Up sofort eine BPDU (Bridge Protocol Data Unit), um den neuen Port anzukündigen, und versetzt ihn dann unmittelbar in den Forwarding-Zustand. Die Phasen Listening und Learning werden übersprungen. Das Endgerät kann sofort kommunizieren, als wäre der Port ein simpler, nicht verwalteter Ethernet-Anschluss.

Der STP-Mechanismus bleibt jedoch grundsätzlich aktiv. Der Port sendet weiterhin BPDUs und kann bei Bedarf, etwa bei einem Topologiewechsel, wieder in den Blocking- oder Listening-Zustand zurückfallen. Portfast deaktiviert nicht das Spanning Tree Protocol, es beschleunigt nur den initialen Start.

Abgrenzung zu normalen STP-Ports

Ein normaler STP-Port ohne Portfast benötigt 30 Sekunden, bevor er für den Datenverkehr freigeschaltet wird. Ein Portfast-Port ist sofort bereit. Der Unterschied besteht ausschließlich in der Anfangsphase nach einem Link-Up oder einem Reboot. Im laufenden Betrieb verhalten sich beide Port-Arten identisch, solange keine Topologieänderung eintritt. An einer Switch-zu-Switch-Verbindung würde Portfast einen fatalen Fehler darstellen, weil in der schnellen Forwarding-Phase Schleifen entstehen könnten, bevor das STP die Topologie berechnet hat.

Konfiguration und Aktivierung

Portfast wird auf den meisten verwalteten Switches herstellerspezifisch konfiguriert. Cisco erlaubt eine globale Aktivierung, die automatisch alle als Access-Port definierten Schnittstellen mit Portfast versieht. Alternativ lässt sich das Feature auf einzelnen Interfaces manuell einschalten. Andere Hersteller nutzen ähnliche Konzepte: Juniper bezeichnet die Funktion als Edge-Port und aktiviert sie über den Befehl stp edged-port, Aruba und HPE verwenden ebenfalls den Begriff Portfast in ihrer Befehlssyntax. Entscheidend ist in jedem Fall, dass der Administrator den Port eindeutig als Endgeräteanschluss deklariert. Die Switches geben beim Aktivieren oft Warnungen aus, die auf die Schleifengefahr hinweisen, falls versehentlich ein weiterer Switch angeschlossen wird.

Sicherheitsrisiko und zwingende Kombination mit BPDU Guard

Portfast ist ein reines Komfort-Feature, das keine Sicherheitsmechanismen gegen Fehlkonfigurationen oder absichtliche Manipulationen beinhaltet. Wird versehentlich oder böswillig ein weiterer Switch oder ein nicht verwaltetes Gerät an einem Portfast-Port angeschlossen, das BPDUs sendet, kann dies sofort zu einer Schleife und einem Broadcast-Sturm führen, weil der Port ohne Verzögerung in den Forwarding-Zustand geht. Das STP würde zwar nach dem Austausch von BPDUs reagieren, aber die kritische Anfangsphase überbrückt Portfast vollständig.

Aus diesem Grund muss Portfast zwingend mit BPDU Guard kombiniert werden. BPDU Guard deaktiviert einen Port sofort, sobald eine BPDU eingeht. Es schützt den Port vor ungewollten Switches und verhindert die Bildung von Schleifen, die durch den schnellen Start entstehen könnten. Die Kombination beider Funktionen stellt sicher, dass Endgeräte ohne Verzögerung kommunizieren können, aber jede unzulässige BPDU sofort zu einer Abschaltung des Ports führt. Der Administrator wird per Syslog-Nachricht und SNMP-Trap informiert und kann den Port nach Überprüfung manuell oder automatisch reaktivieren.

Einsatzszenarien und Best Practices

Portfast gehört auf jeden Port, der mit einem einzelnen Endgerät verbunden ist: Arbeitsplatz-PCs, Notebooks, Drucker, IP-Telefone, Server mit nur einer Netzwerkkarte, Kameras und andere Endpunkte. Auf Ports, die zu unbekannten Geräten oder versteckten Verkabelungen führen, sollte Portfast nur zusammen mit BPDU Guard aktiviert werden. In Rechenzentren, wo Server gelegentlich mehr als eine Verbindung haben, muss die Verwendung von Portfast gut dokumentiert sein und mit weiteren Spanning-Tree-Schutzmechanismen wie Root Guard und Loop Guard abgesichert werden. Die gemeinsame Nutzung von Portfast und BPDU Guard ist heute eine Standardpraxis in gut administrierten Netzen und wird von vielen Switches bereits als Default-Einstellung angeboten, sobald ein Port als Access-Port konfiguriert ist.