スパニングツリープロトコルに対するBPDU保護

スパニングツリープロトコル(STP)ファミリーは、レイヤー2ブリッジネットワークで起こりうるループを遮断するように設計されています。ループ防止により、ネットワークを役に立たなくする可能性のあるブロードキャストストームに損害を与えるのを回避できます。ブリッジ上のSTPプロセスはBPDUを交換して、LANトポロジーの決定、ルートブリッジの決定、一部のポートでの転送の停止などを行います。しかし、不正なユーザー アプリケーションやデバイスは、STP プロトコルの動作を妨害し、ネットワークの問題を引き起こす可能性があります。

BPDUブロックとは、不正なユーザーアプリケーションやデバイス、脅威からSTPトポロジーを保護する機能です。BPDU を受信することを想定していないインターフェイスで BPDU ガードを有効にする必要があります。

インターフェイスがエッジ ポートとして設定されている場合は、直接フォワーディング ステートに移行します。このようなポートはエンドデバイスに接続されており、BPDUを受信することは想定されていません。したがって、ループを回避するには、bpdu-block-on-edgeを有効にしてエッジポートを保護する必要があります。

STPをサポートするルーターとスイッチでは、何も想定されていないインターフェイス(たとえば、他のブリッジが存在しないネットワークエッジ上のLANインターフェイス)で受信したBPDUを無視するようにBPDU保護を設定できます。保護されたインターフェイスで BPDU を受信すると、インターフェイスは無効になり、フレームの転送が停止します。デフォルトでは、すべての BPDU が受け入れられ、すべてのインターフェイスで処理されます。

BPDU 保護は、いくつかの方法で実現できます。デフォルトでは、インターフェイスで bpdu-block が有効になっている場合、BPDU を受信すると、インターフェイスは無効になり、インターフェイス上のすべてのトラフィック転送が停止します。ただし、インターフェイスを無効にせず、そのインターフェイスを STP 計算に参加させたくない場合は、アクション ドロップを設定できます。アクション ドロップを設定すると、インターフェイスは稼働し続け、トラフィックは流れ続けます。ただし、BPDU はドロップされます。

エッジ ポートはアクション ドロップをサポートしていません。BPDU-block-on-edgeは、エッジポートがBPDUを受信した場合、インターフェイスを無効にします。インターフェイスを元に戻すには、エラーをクリアする必要があります。

BPDU 保護は、以下のカプセル化タイプのインターフェイスで設定できます。

• イーサネットブリッジ

• イーサネットVPLS

• 拡張VLANブリッジ

• vlan-vpls

• VLAN ブリッジ

• 拡張VLAN-VPLS

BPDU 保護は、個々のインターフェイスまたはブリッジのすべてのエッジ ポートで設定できます。

set protocols (mstp|rstp|vstp)階層で bpdu-block-on-edge コマンドを使用して、エッジポートとして設定されているインターフェイスでBPDU保護を有効にします。ポートをエッジポートとして設定していない場合でも、set protocols layer2-control階層でbpdu-blockコマンドを使用して、インターフェイスでBPDU保護を設定できます。また、bpdu-block コマンドを使用して、スパニングツリー用に設定されたインターフェイスで BPDU 保護を設定することもできます。

1 つ以上のスパニングツリーインスタンスインターフェイスに BPDU 保護を設定するには、 bpdu-block ステートメントを含めます。

手記：

オプションの disable-timeout seconds ステートメントも含めた場合、指定した時間間隔が 0 でない限り、保護されたインターフェイスは自動的にクリアされます。

ピア システム上のスパニング ツリー プロトコルは、ポートの役割、ブリッジ ID、ルート パス コストに関する情報を含む BPDU を交換します。各ルーターまたはスイッチにおいて、スパニングツリープロトコルはこの情報を使用して、ルートブリッジの選択、各スイッチのルートポートの識別、各物理LANセグメントの指定ポートの識別、特定の冗長リンクの削除によるループフリーツリートポロジーの作成を行います。結果として得られるツリートポロジーは、任意の2つのエンドステーション間に単一のアクティブレイヤー2データパスを提供します。

手記：

スパニング ツリー プロトコルの説明では、 bridge と switch という用語はしばしば同じ意味で使用されます。

BPDU の伝送は、MX シリーズ 5G ユニバーサル ルーティング プラットフォーム上のレイヤー 2 制御プロトコル プロセス(l2cpd)によって制御されます。

l2cpd プロセスに代わっての定期パケットの送信は、デフォルトでパケット転送エンジンで実行されるように設定された定期パケット管理(PPM)によって実行されます。パケット転送エンジンのppmdプロセスにより、l2cpdが利用できない場合でもBPDUが確実に送信され、統合型ISSU(統合型インサービスソフトウェアアップグレード)中にリモート隣接関係が維持されます。ただし、分散型 PPM(ppmd)プロセスをパケット転送エンジンではなくルーティング エンジンで実行する場合は、パケット転送エンジンで ppmd プロセスを無効にできます。

冗長ルーティング エンジン(同じルーターにインストールされている2つのルーティング エンジン)を搭載したルーターおよびスイッチでは、ノンストップ ブリッジングを設定できます。ノンストップブリッジングにより、ルーターはL2CP(レイヤー2制御プロトコル)情報を失うことなく、プライマリルーティングエンジンからバックアップルーティングエンジンに切り替えることができます。ノンストップブリッジングは、グレースフルルーティングエンジンスイッチオーバー(GRES)と同じインフラストラクチャを使用して、インターフェイスとカーネルの情報を保持します。ただし、ノンストップブリッジングは、バックアップのルーティングエンジンでl2cpdプロセスを実行することで、L2CP情報も保存します。

手記：

ノンストップブリッジングを使用するには、まずGRES を有効にする必要があります。

ノンストップ ブリッジングは、次のレイヤー 2 制御プロトコルでサポートされています。

• スパニングツリープロトコル(STP)

• ラピッドスパニングツリープロトコル(RSTP)

• マルチプルスパニングツリープロトコル(MSTP)

次の例は、集合型イーサネットを含むフルブリッジ構成で使用する場合、インターフェイス ae0 上のBPDUを10分(600秒)ブロックしてから、インターフェイスを再度有効にします。

手記：

この例では、ELS(拡張レイヤー 2 ソフトウェア)設定スタイルをサポートしないで、EX シリーズ スイッチで Junos OS を使用します。ELSの詳細については、「 拡張レイヤー2ソフトウェアCLIの使用」を参照してください。

BPDU 保護が有効な場合、互換性のない BPDU が検出されると、インターフェイスが BPDU パケットをシャットダウンまたはドロップし、スパニングツリー プロトコルによって生成された BPDU がスイッチに到達できなくなります。インターフェイスが BPDU パケットをドロップするように設定されている場合、互換性のない BPDU を除くすべてのトラフィックがインターフェイスを通過できます。

手記：

BPDU ドロップ機能は、スパニングツリー プロトコルが設定されていないインターフェイスでのみ指定できます。

次に、2台のPCに接続するSTPスイッチのダウンストリームインターフェイスにBPDU保護を設定する例を示します。