La funci\u00f3n Root Guard se desarroll\u00f3 como un medio para controlar cuando un switch candidato a root bridge se conecta a la red.<\/p>\n
Registra el bridge ID del actual root bridge de la topologia y no permite que otro switch env\u00ede BPDu superiores por alg\u00fan puerto donde esta habilitado root guard. En caso de que se reciba un BPDU superior, el puerto pasa a estado root-inconsistent. Este mecanismo evita que un switch nuevo agregado a la red u otro switch con un bridge id menor (prioridad + MAC) al del root bridge actual se convierta en el nuevo root bridge y por ende un nuevo c\u00e1lculo en la topolog\u00eda completa STP.<\/p>\n
Root Guard designa que un puerto solo puede enviar o retransmitir BPDU pero no puede recibir BPDUs. Root Guard evita que el puerto se convierta en un puerto ra\u00edz donde las BPDU normalmente se recibir\u00edan desde el root bridge.<\/p>\n
En resumen, si por un puerto configurado con root guard un switch trata de ser el root bridge, root guard bloquear\u00e1 el puerto.<\/p>\n
Puede habilitar Root Guard s\u00f3lo por puerto. Por defecto, est\u00e1 deshabilitado en todos los puertos del switch. Para habilitarlo, use el siguiente comando de configuraci\u00f3n de interfaz:<\/p>\n
Switch(config-if)# spanning-tree guard root<\/pre>\nPara visualizar el estado un puerto que root guard ha puesto en root-inconsistente utilice:<\/p>\n
Switch# show spanning-tree inconsistentports<\/pre>\nBPDU Guard<\/h4>\n
Desarrollado para proteger los puertos de acceso configurados con Portfast. Recordemos que portfast pasa el puerto directo al estado forwarding sin pasar por otros estados. En caso de que un puerto configurado con BPDU Guard reciba un BPDU el puerto pasa a estado errdisable.<\/p>\n
BPDU Guard evita cualquier posibilidad de que se agregue un switch al puerto ya sea intencionalmente o por error y as\u00ed evitar un posible loop. Una aplicaci\u00f3n obvia para BPDU Guard es en los puertos del switch de la capa de acceso donde se conectan los usuarios y otros dispositivos finales.<\/p>\n
Por defecto BPDU Guard est\u00e1 deshabilitado en todos los puertos del switch. Podemos configurarlo de manera global con el siguiente comando:<\/p>\n
Switch(config)# spanning-tree portfast bpduguard<\/pre>\nEl comando anterior habilitar\u00e1 bpdu guard en todos los puertos que est\u00e9n como portfast.<\/p>\n
Otra forma de habilitarlo es manualmente en cada en cada interfaz:<\/p>\n
Switch(config-if)# spanning-tree bpduguard enable<\/pre>\nLoop guard:<\/h4>\n
Mantiene un monitoreo en los puertos no designados o root para validar que se est\u00e9n recibiendo BPDUs por estos puertos . Si los BPDU son recibidos continuamente, el puerto trabaja normal. Si los BPDU dejan de ser recibidos, el puerto autom\u00e1ticamente pasa a estado \u201cloop-inconsistent\u201d para prevenir un posible loop.<\/p>\n
Por ejemplo, supongamos que tenemos un enlace entre SwitchA y SwtchB, el Switch A tiene el puerto Designado-Forwarding y el SwitchB en Alterno-Blocking para evitar loops. Supongamos que SwitchA presenta un problema de sobrecarga de memoria o cpu y por tal motivo le deja de enviar BPDU al puerto Alterno del SwitchB, entonces el SwitchB con el puerto alterno espera sus 20 segundos de Max Age, despu\u00e9s pasar\u00e1 a listening 15 seg, learning 15 seg y al final a forwarding lo cual provocar\u00eda un posible loop debido a que el SwitchA con sobrecarga va a terner sus puertos en Forwarding. Este aqu\u00ed donde entra Loop Guard colocando el el puerto alterno del SwitchB en estado loop-inconsistent y lo bloquea para evitar posibles loops.<\/p>\n
Por defecto, Loop Guard est\u00e1 deshabilitado en todos los puertos del switch. Puede habilitar Loop Guard como un valor predeterminado global, que afecta a todos los puertos del conmutador, con el siguiente comando de configuraci\u00f3n global:<\/p>\n
Switch(config)# spanning-tree loopguard default<\/pre>\nTambi\u00e9n puede habilitar o deshabilitar Loop Guard en un puerto de conmutador espec\u00edfico utilizando el siguiente comando de configuraci\u00f3n de interfaz:<\/p>\n
Switch(config-if)# [ no] spanning-tree guard loop<\/pre>\nAunque Loop Guard est\u00e1 configurado en un puerto de switch, su acci\u00f3n de bloqueo correctivo se toma por VLAN<\/p>\n
BPDU Filter<\/h4>\n
Esta caracter\u00edstica permite deshabilitar STP en algunos puertos del switch, es decir, se filtran las BPDU para evitar el env\u00edo o procesamiento de las BPDU en uno o m\u00e1s puertos. BPDU filter est\u00e1 deshabilitado por default y se puede configurar globalmente con el siguiente comando:<\/p>\n
Switch(config)# spanning-tree portfast bpdufilter default<\/pre>\nLa palabra clave default indica que el BPDU filter se habilitar\u00e1 autom\u00e1ticamente en todos los puertos configurados con PortFast<\/p>\n
La configuraci\u00f3n tambi\u00e9n se puede hacer sobre las interfaces espec\u00edficas:<\/p>\n
Switch(config-if)# spanning-tree bpdufilter { enable | disable}<\/pre>\nEn resumen, BPDU filter evita que los puertos especificados env\u00eden o reciban BPDU. La configuraci\u00f3n de la interfaz filtra las BPDU entrantes y salientes incondicionalmente, independientemente del estado operativo PortFast o del modo access\/trunk. Esto es efectivamente el equivalente a apagar STP. Esto puede ser muy peligroso porque se puede crear f\u00e1cilmente un bucle permanente. Curiosamente, IOS no muestra un mensaje de advertencia cuando se aplica este comando. Habilitar PortFast en la interfaz incorrecta no es tan arriesgado como el BDPU filter, aunque extra\u00f1amente, IOS considera que es lo suficientemente importante como para informar al administrador.<\/p>\n
Mas informaci\u00f3n:<\/p>\n