В предыдущей статье я написал, что у коммутаторов Cisco есть также штатное средство обнаружения петель, основанное на периодической отправке keepalive-сообщений. Эта опция обычно включена по умолчанию, и в случае срабатывания порт отключается. Но есть еще один метод борьбы с лупбэками.

Еще одним средством борьбы с петлями в сети является протокол STP. Кроме того, STP позволяет обеспечить дублирование линий передачи и, соответственно, отказоустойчивость. Это круто, но излишняя толерантность конфигурации коммутатора приводит к печальным последствиям: злоумышленник может манипулировать приоритетами с помощью параметров BPDU-пакетов.

Чтобы пресечь это зло на корню, делаем следующее. Во-первых, чтобы все работало быстрее, устанавливаем режим portfast на портах, к которым подключены рабочие станции:

(config)# int range fa 0/1 - 48 (config-if-range)
(config-if)# spanning-tree portfast

И в глобальной конфигурации настраиваем portfast-порты так, чтобы при появлении BPDU-пакета порт отключался (там их не должно быть в принципе):

(config)# spanning-tree portfast bpduguard default

Во-вторых, защищаем Root Bridge. Для этого на магистральном интерфейсе выполняем команду:

(config-if)# spanning-tree guard root