Protección del árbol de expansión, BPDU guard y root guard

Tres opciones de configuración se confunden con frecuencia:

• PortFast hace que un puerto de acceso pase de inmediato a reenviar tramas, sin esperar la convergencia del árbol. Es una comodidad para el equipo de usuario, no una protección.
• BPDU guard apaga el puerto si recibe un mensaje del árbol de expansión (una BPDU). En un puerto de usuario no debería llegar ninguno: si llega, es que hay un conmutador detrás.
• Root guard se pone en los puertos que miran hacia abajo y evita que un conmutador de más abajo se convierta en la raíz: si recibe un mensaje que lo desbancaría, el puerto deja de reenviar mientras dure.

PortFast sin BPDU guard es una comodidad sin red de seguridad.

Abre el laboratorio. raices.txt muestra, por VLAN, qué conmutador es hoy la raíz y cuál debería serlo. El núcleo tiene la prioridad más baja a propósito para ganar la elección. Si la raíz de una VLAN es un conmutador de acceso, los caminos más cortos pasan por él y el tráfico del piso se reorganiza alrededor de un equipo pensado para otra cosa.

cat /stp/raices.txt

La raíz equivocada tiene una causa de configuración. Mira los enlaces del núcleo hacia cada piso: los cuatro deberían llevar spanning-tree guard root. Falta en uno. Si la raíz se movió el mismo día en que apareció un mensaje de cambio de topología desde un puerto del núcleo, ese puerto es el sospechoso: el registro lo confirma.

cat /stp/nucleo-enlaces.txt
cat /stp/registro.txt

p2-puertos.txt lista los puertos de acceso del piso 2 con dos columnas: portfast y bpduguard. Cuenta los puertos de acceso que tienen PortFast y no tienen BPDU guard. Cada uno es un hallazgo con la misma recomendación, y conviene escribirlo una sola vez con la lista de puertos, no una vez por puerto.

cat /stp/p2-puertos.txt

El registro muestra el día en que alguien conectó un conmutador de escritorio a una toma de consultorio. Donde BPDU guard estaba activo, el puerto se apagó: el control hizo su trabajo y, a la vez, dejó a una persona sin red. Eso se documenta en el informe como una ventaja del control, junto con lo que falta: dar a esa persona una toma legítima (más tomas o un conmutador autorizado y gestionado) para que no vuelva a necesitar el atajo.

cat /stp/registro.txt