[STP] BPDU Guard

About this offer

BPDU Guard는 Edge 포트로 BPDU가 들어오면 그 포트를 즉시 errdisable 상태로 꺼버리는 안전장치 입니다. 서버가 붙어 있어야 할 포트에 누가 스위치를 꽂았을 때, 네트워크 전체가 영향을 받기 전에 그 포트만 막아줘요. 먼저 알아둘 것 BPDU 는 스위치끼리 STP 정보(Root BID, Root Path Cost, Sender BID, Port ID)를 주고받는 제어 메시지입니다. Edge port 는 스위치가 아니라 서버나 PC가 붙는 끝단 포트입니다. Edge로 설정한 포트는 장비가 Up되면 STP 단계(Listening, Learning)를 거치지 않고 바로 Forwarding으로 동작해요. 그래서 정상적인 상황이라면 Edge 포트에서는 BPDU가 오고 갈 일이 없습니다. 서버는 STP를 모르니까요. 문제는 예외 상황 문제는 작업 중이거나 어떤 상황 때문에 이 포트에 스위치(허브나 소형 스위치 포함)가 연결되는 순간 생깁니다. 상대 스위치는 BPDU로 STP 정보를 주고받으려고 하고, BPDU Guard가 없으면 이렇게 돼요. 그 포트가 일반 STP 포트로 바뀌어 STP에 참여합니다. 붙은 스위치가 Root bridge가 되면 트래픽 경로가 바뀝니다. 수렴하는 동안 짧은 루프나 토폴로지 변경이 생길 위험이 있습니다. BPDU Guard가 켜져 있다면 같은 상황에서 BPDU를 받는 즉시 그 포트만 errdisable 상태로 만들어 shutdown시킵니다. 붙은 스위치는 STP에 끼어들 수 없고, 서버와 나머지 네트워크는 그대로 정상 동작해요. 왜 필요할까 Edge 포트는 STP 대기 단계를 건너뛰어서 빠르게 올라오는 대신, "이 포트 뒤에는 서버뿐"이라는 가정에 기대고 있습니다. 이 가정이 깨졌을 때 막아줄 장치가 없으면 위험하니, BPDU가 들어왔다는 건 가정이 깨졌다는 신호로 보고 그 포트를 차단하는 거예요. 설정 예시 ! 전역: portfast(edge) 포트 전부에 BPDU Guard를 기본 적용 spanning-tree edge-port bpduguard default ! 인터페이스: 포트를 edge로 지정 (위 전역 규칙이 여기에 적용됨) interface Ethernet1/1 spanning-tree portfast 전역 명령은 portfast로 지정된 포트에만 BPDU Guard를 기본으로 켜줍니다. 특정 인터페이스에 직접 spanning-tree bpduguard 를 설정하면 전역 기본값보다 그쪽이 우선이에요. 알아두면 좋은 점 portfast를 빠뜨리면 보호받지 못합니다. 전역 명령만 넣고 서버 포트에 spanning-tree portfast 를 설정하지 않으면 그 포트에는 BPDU Guard가 적용되지 않아요. errdisable된 포트는 저절로 살아나지 않습니다. 붙어 있는 스위치를 떼어낸 뒤 shutdown , no shutdown 으로 복구하거나, errdisable recovery cause bpduguard 와 errdisable recovery interval 로 자동 복구를 설정합니다. 원인을 그대로 둔 채 자동 복구를 켜면 포트가 올라왔다 내려갔다를 반복하니 주의하세요. 설정 확인은 show errdisable recovery 로 합니다. 스위치끼리 연결하는 포트에는 쓰면 안 됩니다. 포트 범위 전체에 portfast와 BPDU Guard를 템플릿처럼 적용하다가 스위치 간 링크까지 포함되면, 그 링크가 errdisable되어 끊깁니다. 정리 Edge 포트는 STP 단계를 건너뛰는 대신 "서버만 붙는다"는 가정에 의존합니다. BPDU Guard는 이 가정이 깨졌을 때, 즉 Edge 포트로 BPDU가 들어왔을 때 그 포트만 errdisable로 막아서 Root 변경이나 루프 같은 문제가 번지는 것을 막는 안전장치예요.

Offer details

Provider

velog

Source

velog-rss

Score

54.39

Confidence

49%