スパニング ツリー プロトコルの BPDU 保護

スパニングツリープロトコル(STP)ファミリーは、レイヤー2ブリッジネットワークで起こりうるループを遮断するように設計されています。ループ防止により、ネットワークを役に立たなくする可能性のある有害なブロードキャストストームを回避できます。ブリッジ上のSTPプロセスは、BPDUを交換して、LANトポロジーの決定、ルートブリッジの決定、一部のポートでの転送の停止などを行います。しかしながら、誤動作をするユーザーアプリケーションやデバイスがSTPプロトコルの動作を妨害し、ネットワークの問題を引き起こす可能性があります。

BPDUブロックは、誤動作をするユーザーアプリケーションやデバイス、または脅威からSTPトポロジーを保護する機能です。BPDUを受信することを想定していないインターフェイスでBPDUガードを有効にする必要があります。

インターフェイスがエッジポートに設定されている場合、転送状態に直接移行します。このようなポートはエンドデバイスに接続されており、BPDUを受信することは想定されていません。そのため、ループを回避するには、bpdu-block-on-edgeを有効にしてエッジポートを保護する必要があります。

STPをサポートするルーターとスイッチでは、BPDU保護を設定して、予期すべきではないインターフェイス(例えば、他のブリッジが存在しないネットワークエッジ上のLANインターフェイス)で受信したBPDUを無視することができます。保護されたインターフェイスでBPDUを受信すると、インターフェイスは無効になり、フレームの転送が停止されます。デフォルトでは、すべてのBPDUがすべてのインターフェイスで受け入れられ、処理されます。

BPDU保護は、いくつかの方法で実現できます。デフォルトでは、bpdu-blockがインターフェイスで有効になっている場合、BPDUを受信すると、インターフェイスは無効になり、すべてのトラフィック転送がインターフェイス上で停止します。ただし、インターフェイスを無効にしたくなく、そのインターフェイスをSTP計算に参加させたくない場合は、アクションドロップを設定することができます。アクションドロップを設定すると、インターフェイスは稼働したままになり、トラフィックは流れ続けます。ただし、BPDUは削除されます。

エッジポートはアクションドロップをサポートしていません。BPDU-block-on-edgeは、エッジポートがBPDUを受信した場合、インターフェイスを無効にします。インターフェイスを復旧するには、エラーをクリアする必要があります。

BPDU保護は、以下のカプセル化タイプのインターフェイスに設定できます。

• イーサネットブリッジ

• イーサネットVPLS

• 拡張vlanブリッジ

• vlan-vpls

• vlanブリッジ

• 拡張vlan-vpls

BPDU 保護は、個々のインターフェイスまたはブリッジのすべてのエッジ ポートに設定できます。

set protocols (mstp|rstp|vstp)階層下のbpdu-block-on-edgeコマンドを使用して、エッジポートとして設定されているインターフェイスでBPDU保護を有効にします。ポートをエッジポートとして設定していない場合でも、set protocols layer2-control階層下のbpdu-blockコマンドを使用して、インターフェイス上でBPDU保護を設定できます。また、bpdu-blockコマンドを使用して、スパニングツリーに設定されたインターフェイスでBPDU保護を設定することもできます。

1つ以上のスパニングツリーインスタンスインターフェイスにBPDU保護を設定するには、 bpdu-block ステートメントを含めます。

ピアシステム上のスパニングツリープロトコルは、ポートロール、ブリッジID、ルートパスコストに関する情報を含むBPDUを交換します。各ルーターまたはスイッチで、スパニングツリープロトコルはこの情報を使用してルートブリッジを選択し、各スイッチのルートポートを識別し、各物理LANセグメントの指定ポートを識別し、特定の冗長リンクをプルーニングしてループフリーのツリートポロジーを作成します。その結果、ツリー トポロジーにより、任意の 2 つのエンド ステーション間に単一のアクティブなレイヤー 2 データ パスが提供されます。

BPDUの送信は、MXシリーズ5Gユニバーサルルーティングプラットフォーム上のレイヤー2制御プロトコルプロセス(l2cpd)によって制御されます。

l2cpd プロセスに代わる定期パケットの送信は、デフォルトではパケット転送エンジンで実行するように設定されている定期パケット管理(PPM)によって実行されます。パケット転送エンジンのppmdプロセスは、l2cpdが利用できない場合でもBPDUが送信されるようにし、統合型ISSU(統合型インサービスソフトウェアアップグレード)中もリモート隣接関係の有効性を維持します。ただし、分散 PPM(ppmd)プロセスをパケット転送エンジンではなくルーティングエンジンで実行する場合は、パケット転送エンジンで ppmd プロセスを無効にすることができます。

冗長ルーティングエンジン(同じルーターにインストールされている2つのルーティングエンジン)を搭載したルーターとスイッチでは、ノンストップブリッジングを設定できます。ノンストップブリッジングにより、ルーターは、レイヤー2制御プロトコル(L2CP)情報を失うことなく、プライマリルーティングエンジンからバックアップルーティングエンジンに切り替えることができます。ノンストップブリッジングは、グレースフルルーティングエンジンスイッチオーバー(GRES)と同じインフラストラクチャを使用して、インターフェイスとカーネル情報を保持します。ただし、ノンストップブリッジングは、バックアップルーティングエンジンでl2cpdプロセスを実行することで、L2CP情報も保存します。

ノンストップブリッジングは、以下のレイヤー2制御プロトコルでサポートされています。

• スパニングツリープロトコル(STP)

• ラピッドスパニングツリープロトコル(RSTP)

• マルチプルスパニングツリープロトコル(MSTP)

次の例では、集合型イーサネットを使用したフルブリッジ構成で使用した場合、インターフェイス ae0 のBPDUを10分間(600秒)ブロックしてから、インターフェイスを再度有効にします。

BPDU 保護が有効になると、互換性のない BPDU が発生するとインターフェイスがシャットダウンするか BPDU パケットをドロップするため、スパニングツリープロトコルによって生成された BPDU がスイッチに到達できなくなります。インターフェイスがBPDUパケットをドロップするように設定されている場合、互換性のないBPDUを除くすべてのトラフィックがインターフェイスを通過できます。

この例では、2台のPCに接続するSTPスイッチのダウンストリームインターフェイスでBPDU保護を設定します。