Przełączanie sieci: STP i RSTP

• Wyjaśnisz skutki pętli Ethernet i rolę ramek BPDU.
• Wyznaczysz root bridge, root port, designated port i alternate port.
• Porównasz klasyczny STP, RSTP, PVST+, Rapid PVST+ i MSTP.
• Skonfigurujesz i zweryfikujesz deterministyczną topologię Rapid PVST+.
• Dobierzesz Port Security, DHCP Snooping, DAI, IP Source Guard, mechanizmy STP i Storm Control do zagrożenia.
• Ochronisz nieużywane porty, native VLAN, VLAN zarządzający i interfejsy administracyjne.

Wymagania wstępne

• Ethernet II i adresy MAC
• VLAN, port access i trunk IEEE 802.1Q

Przełącznik warstwy 2 uczy się źródłowego adresu MAC i portu wejściowego w obrębie danego VLAN-u. Znany unicast kieruje do właściwego portu, natomiast broadcast i unknown unicast rozsyła do odpowiednich portów tego VLAN-u.

Wpis dynamiczny MAC starzeje się po czasie zależnym od platformy. Szybkie przenoszenie tego samego adresu między portami może oznaczać zmianę fizycznego połączenia, błędną agregację albo pętlę.

Ramka Ethernet nie ma pola TTL odpowiadającego czasowi życia pakietu IP. Gdy redundantne łącza tworzą aktywną pętlę, broadcast lub unknown unicast może krążyć i być wielokrotnie powielany.

Skutkami są burza rozgłoszeniowa, duplikaty ramek, MAC flapping, przeciążenie łączy i procesora przełącznika oraz utrata dostępu do urządzeń. Redundancja jest potrzebna, lecz wymaga mechanizmu utrzymującego logiczną topologię bez pętli.

• Nie twórz fizycznych pętli poza kontrolowanym laboratorium.
• Nie wyłączaj STP jako metody diagnostycznej. Najpierw sprawdź topologię, role portów, BPDU i konfigurację trunków.
• Dwa równoległe przewody między przełącznikami muszą być objęte STP albo poprawnie zbudowaną agregacją łączy.

Spanning Tree Protocol wymienia między mostami informacje BPDU, wybiera root bridge i pozostawia aktywną logiczną topologię bez pętli. Nadmiarowe połączenie pozostaje dostępne jako droga zapasowa, ale nie przekazuje zwykłych ramek w stanie blocking lub discarding.

Bridge ID obejmuje priorytet oraz adres MAC. Przy rozszerzonym identyfikatorze systemowym część pola priorytetu zawiera identyfikator związany z VLAN-em, dlatego odczyt należy wykonywać z wyniku urządzenia, a nie redukować BID wyłącznie do prostego hasła „priorytet + MAC”. Niższa wartość liczbowa priorytetu jest lepsza.

Każdy kolejny warunek rozstrzyga dopiero wtedy, gdy poprzednie wartości są równe. Koszt ścieżki wynika z kosztów portów i reguł używanych przez daną implementację; nie należy zgadywać go tylko na podstawie rysunku.

• 1. Najniższy Root Bridge ID.
• 2. Najniższy root path cost, czyli koszt ścieżki do root bridge.
• 3. Najniższy Bridge ID nadawcy BPDU.
• 4. Najniższy Port ID nadawcy BPDU.

Rola opisuje funkcję portu w topologii, a stan mówi, czy port uczy się adresów i przekazuje zwykłe ramki. Port należy więc opisywać parą, na przykład alternate/discarding, a nie wyłącznie słowem „zablokowany”.

Rapid Spanning Tree Protocol historycznie zdefiniowano jako IEEE 802.1w, a jego mechanizmy są obecnie częścią IEEE 802.1Q. RSTP zachowuje role root i designated oraz dodaje wyraźne role alternate i backup.

RSTP używa stanów discarding, learning i forwarding. Na łączach punkt-punkt mechanizm proposal/agreement może szybko uzgodnić bezpieczne przejście do forwarding. Port edge może rozpocząć przekazywanie bez oczekiwania typowego dla łącza między przełącznikami, ale nadal pozostaje objęty protokołem.

RSTP współpracuje z klasycznym STP, lecz zachowanie i czas rekonwergencji zależą od topologii, platformy, typu łącza oraz wykrycia awarii. Nie istnieje jeden gwarantowany czas dla każdego laboratorium; trzeba zmierzyć wynik rzeczywisty.

Nazwy i dokładna konfiguracja trybów zależą od systemu. W laboratorium używamy składni Cisco IOS i Rapid PVST+, ale zasad wyboru root bridge oraz ról portów nie należy utożsamiać wyłącznie z jednym producentem.

Port edge, na urządzeniach Cisco konfigurowany m.in. jako PortFast, służy do podłączania urządzenia końcowego. Nie stosuj go bezrefleksyjnie na łączach między przełącznikami. PortFast nie wyłącza STP.

BPDU Guard reaguje, gdy chroniony port otrzyma BPDU. Na Cisco port może przejść do stanu err-disabled. Przed przywróceniem interfejsu usuń przyczynę, na przykład omyłkowo podłączony przełącznik; sama funkcja nie zastępuje poprawnego projektu.

Root Guard jest dodatkową ochroną stosowaną tam, gdzie dany port nie powinien przyjąć roli prowadzącej do nadrzędnego root bridge. Odebranie lepszego BPDU może zablokować przekazywanie do czasu ustąpienia przyczyny. Zakres tej lekcji nie obejmuje pełnego zestawu zabezpieczeń STP.

W Cisco IOS sticky learning może dodać dynamicznie poznane, bezpieczne adresy MAC do bieżącej konfiguracji. Nie oznacza to automatycznego zapisania ich po restarcie urządzenia. Limit dobierz do rzeczywistej roli portu: telefon IP z komputerem może legalnie prezentować więcej niż jeden MAC.

Tryb protect odrzuca niedozwolony ruch z ograniczoną widocznością zdarzenia, restrict odrzuca go i zwiększa licznik naruszeń, a domyślny shutdown może przenieść port do err-disabled. Zachowanie i dostępne opcje potwierdź w dokumentacji konkretnej platformy.

interface FastEthernet0/1
 description STANOWISKO-A
 switchport mode access
 switchport access vlan 10
 switchport port-security
 switchport port-security maximum 2
 switchport port-security mac-address sticky
 switchport port-security violation restrict
 spanning-tree portfast
 spanning-tree bpduguard enable

interface range FastEthernet0/10-24
 description NIEUZYWANY
 switchport mode access
 switchport access vlan 999
 shutdown

show port-security interface FastEthernet0/1
show interfaces status

DHCP Snooping rozróżnia porty zaufane i niezaufane, kontroluje komunikaty DHCP oraz zapisuje legalne powiązania klienta: MAC, IP, VLAN, port i czas dzierżawy. DAI może porównywać ARP z tą bazą, a IP Source Guard może na porcie dopuszczać źródło IP zgodne z bindingiem.

Zależność oznacza również wspólny punkt błędu. Jeśli baza nie powstała, klient ma adres statyczny albo port serwera oznaczono nieprawidłowo, włączenie DAI lub IP Source Guard może przerwać legalną łączność. Wdrożenie zaczynaj od inwentaryzacji, poprawnej topologii trust, obserwacji DORA i obsługi wyjątków platformy, a dopiero potem egzekwuj politykę.

• Nie oznaczaj portu użytkownika jako trusted tylko po to, aby usunąć problem z DHCP.
• Zdefiniuj procedurę dla drukarek, kamer, serwerów i innych urządzeń ze statycznym IP.
• Po restarcie switcha sprawdź trwałość lub odbudowę bazy przed pełnym egzekwowaniem.
• Weryfikuj DORA, bindingi, ARP oraz dostęp aplikacji z kilku reprezentatywnych portów.

Firma ma VLAN użytkowników, CCTV, gości i zarządzania. Porty użytkowników działają jako access/edge z BPDU Guard, limitem MAC dobranym do telefonu IP i komputera oraz niezaufanym DHCP. Uplink do legalnego serwera DHCP jest trusted, a DAI i IP Source Guard korzystają z poprawnie odbudowanej bazy bindingów.

Kamery ze statycznymi adresami otrzymują udokumentowane bindingi zgodne z możliwościami switcha. Trunki przenoszą tylko wymagane VLAN-y, native VLAN nie obsługuje zwykłych użytkowników, a interfejsy SSH/HTTPS/SNMPv3 są dostępne wyłącznie z dedykowanych stacji zarządzających. Każda kontrola ma właściciela, log, sposób testu i procedurę cofnięcia.

• Funkcje, składnia, kolejność aktywacji i zachowanie po restarcie zależą od modelu, licencji i systemu urządzenia.
• Zaufany port omija część kontroli, dlatego jego błędne oznaczenie rozszerza powierzchnię ryzyka.
• DAI i IP Source Guard wymagają jawnej obsługi hostów statycznych oraz testu po odnowieniu dzierżaw.
• Storm Control ogranicza tempo określonych klas L2; nie zastępuje STP, QoS, firewalla ani ochrony operatora przed DDoS.
• VLAN zarządzający ogranicza drogę, ale dopiero AAA, szyfrowanie, ACL, aktualizacje i logi chronią płaszczyznę administracyjną warstwowo.

• Włączenie DAI przed zbudowaniem bindingów i odcięcie wszystkich klientów.
• Oznaczenie wszystkich trunków jako DHCP trusted bez sprawdzenia rzeczywistej drogi do serwera.
• Ustawienie limitu jednego MAC na porcie z telefonem IP i komputerem.
• Stosowanie BPDU Guard na łączu między przełącznikami albo Root Guard bez projektu root bridge.
• Pozostawienie wszystkich VLAN-ów na trunku i używanie native VLAN do zwykłych użytkowników.
• Udostępnienie HTTP, Telnetu lub SNMPv2c z sieci użytkowników mimo osobnego VLAN-u zarządzającego.

• Jak DHCP Snooping dostarcza danych dla DAI i IP Source Guard?
• Dlaczego port serwera DHCP może być trusted, a port klienta powinien pozostać untrusted?
• Czym różni się reakcja BPDU Guard od Root Guard?
• Dlaczego Port Security nie zastępuje 802.1X lub NAC?
• Jakie testy wykonasz po ograniczeniu allowed VLAN oraz dostępu administracyjnego?

Dla fikcyjnego switcha dostępowego LAB-CYBER przygotuj tabelę portów: rola, VLAN, liczba legalnych MAC, trust DHCP, ochrona STP, Storm Control, sposób obsługi statycznego IP i test po wdrożeniu. Nie wprowadzaj zmian w produkcyjnej sieci ani bez planu cofnięcia.

S1 ma priorytet 4096, S2 ma 8192, a S3 pozostaje z domyślnym wyższym priorytetem liczbowym. Wszystkie łącza mają taki sam koszt, więc S1 zostaje root bridge.

Porty S1 są designated/forwarding. S2 i S3 wybierają bezpośrednie porty do S1 jako root/forwarding. Na łączu S2-S3 koszty do root są równe, dlatego S2 wygrywa niższym Bridge ID: jego port jest designated/forwarding, a port S3 alternate/discarding.

Po awarii bezpośredniego łącza S1-S3 przełącznik S3 traci dotychczasową drogę do root bridge. Port S3 prowadzący do S2 może zostać nowym root portem, a po rekonwergencji ruch dociera do S1 przez S2.

Po przywróceniu łącza RSTP ponownie oblicza topologię. Krótka utrata części odpowiedzi ping jest możliwa, ale jej liczby nie należy zakładać z góry; zależy od środowiska i sposobu wykrycia awarii.

Polecenia są przeznaczone do Cisco IOS używanego w Packet Tracer. Tryb ustaw na każdym przełączniku, priorytet 4096 na S1 i 8192 na S2. S3 pozostaw z domyślnym wyższym priorytetem liczbowym.

spanning-tree mode rapid-pvst

! S1
spanning-tree vlan 10,20,999 priority 4096

! S2
spanning-tree vlan 10,20,999 priority 8192

! S3
! pozostaje z domyślnym, wyższym priorytetem liczbowym

W wynikach znajdź Root ID, Bridge ID, komunikat „This bridge is the root”, Root Path Cost, rolę i stan portu, koszt portu, Port ID oraz timer lub tryb protokołu. Jeśli model Packet Tracer nie obsługuje jednego z poleceń szczegółowych, użyj równoważnej sekcji w show spanning-tree.

show spanning-tree
show spanning-tree vlan 10
show spanning-tree vlan 20
show spanning-tree interface GigabitEthernet0/2 detail
show spanning-tree root

Link Aggregation Group traktuje zgodne łącza jak jeden kanał logiczny. LACP z IEEE 802.1AX negocjuje członkostwo, ale pojedynczy przepływ zwykle korzysta z jednego łącza według funkcji haszującej. LLDP z IEEE 802.1AB ogłasza informacje o bezpośrednich sąsiadach.

• Statyczny LAG i LACP muszą być skonfigurowane spójnie po obu stronach.
• Agregacja nie zastępuje STP poza samą grupą logiczną.
• LLDP nie jest protokołem routingu ani mechanizmem uwierzytelniania.

1. Dla trójkąta S1-S2-S3 wypisz role i stany wszystkich portów między przełącznikami przed awarią.
2. Wyjaśnij kolejność porównania BPDU, gdy dwa porty mają ten sam koszt do root bridge.
3. Zaplanuj kontrolowaną awarię S1-S3 i tabelę pomiaru czasu odzyskania łączności bez wyłączania STP.
4. Dla portu z telefonem IP i komputerem dobierz limit MAC, ochronę DHCP/STP oraz sposób potwierdzenia, że legalny ruch nadal działa.
5. Narysuj zależność bazy DHCP Snooping od DAI i IP Source Guard oraz wskaż obsługę hosta ze statycznym IP.

• Redundancja L2 bez STP/RSTP może utworzyć pętlę, burzę rozgłoszeniową i MAC flapping.
• Root bridge i role portów wynikają z porównania Bridge ID, kosztów i identyfikatorów portów.
• RSTP przyspiesza rekonwergencję, ale rzeczywisty czas trzeba zmierzyć w konkretnej topologii.
• PortFast i BPDU Guard chronią porty urządzeń końcowych, lecz nie zastępują poprawnego projektu.
• DHCP Snooping dostarcza bindingów używanych przez DAI i IP Source Guard; błędna topologia trust może przerwać legalny ruch.
• Ochrona L2 obejmuje również porty nieużywane, Storm Control, native VLAN i ograniczoną płaszczyznę zarządzania.

• VLAN i trunk IEEE 802.1Q
• Zagrożenia i ochrona sieci
• Bezpieczeństwo sieci
• NET-03 — VLAN, trunk 802.1Q oraz STP/RSTP
• CYB-03 — Ochrona warstwy drugiej

• IEEE 802.1Q-2022 — Bridges and Bridged Networks
• Cisco — Understand Rapid Spanning Tree Protocol (802.1w)
• Cisco — Understand Spanning Tree PortFast and BPDU Guard
• Cisco — Troubleshoot STP Problems and Design Considerations
• Cisco — Enhance STP with Root Guard
• Cisco — Dynamic ARP Inspection and IP Source Guard
• Cisco IOS XE — Port Security
• Cisco — Harden Cisco IOS Devices
• IEEE 802.1AX — Link Aggregation
• IEEE 802.1AB — LLDP