Spanning Tree : STP, RSTP, PortFast et BPDU Guard

Le Spanning Tree (STP, Spanning Tree Protocol, norme IEEE 802.1D) est le protocole qui empêche les boucles dans un réseau de switchs : il élit un switch racine, calcule le meilleur chemin de chaque switch vers lui et bloque les liens en surnombre, qu'il réactive si un lien principal tombe. Ce chapitre explique l'élection pas à pas, les rôles et les états des ports, la version rapide RSTP, et la configuration qui va avec : priorités, PortFast et BPDU Guard.

Le problème : les boucles de niveau 2

Pour qu'une panne de câble ou de switch ne coupe pas un étage entier, on double les liens. Sorbier a acheté un second switch de cœur, SW-COEUR-2, et chaque switch d'étage est désormais relié aux deux switchs de cœur, eux-mêmes reliés entre eux. Le schéma forme un triangle : une boucle.

Or une trame Ethernet n'a pas de durée de vie (pas de TTL, contrairement à un paquet IP). Dans une boucle :

• Tempête de diffusion. Un broadcast part vers SW-COEUR-1, revient par SW-COEUR-2, repart… Chaque switch le réinonde sur tous ses ports, les copies se multiplient, et en quelques secondes les liens sont saturés : plus rien ne passe.
• Instabilité des tables MAC. Le switch voit la même adresse source arriver tantôt par un port, tantôt par l'autre, et réécrit sa table sans arrêt (les journaux affichent %SW_MATM-4-MACFLAP_NOTIF).
• Trames en double. Une machine reçoit plusieurs copies de la même trame.

Le symptôme est spectaculaire : toutes les LED des switchs clignotent à l'unisson et le réseau entier s'effondre. Le réflexe, en TP comme en entreprise : retirer le dernier câble branché. Le cours Réseaux présente le problème ; ce chapitre explique comment le Spanning Tree le résout.

Le principe : un arbre sans boucle

Le Spanning Tree transforme le maillage en arbre : il garde un seul chemin actif entre deux switchs et met les autres liens en réserve, bloqués. Pour ça, les switchs s'échangent des messages, les BPDU (Bridge Protocol Data Units), envoyés toutes les 2 secondes, et appliquent quatre étapes :

1. élire un switch racine (root bridge) ;
2. sur chaque autre switch, choisir le port racine : le port qui mène à la racine au meilleur coût ;
3. sur chaque lien, choisir le port désigné : celui des deux côtés qui est le plus près de la racine ;
4. bloquer tous les autres ports.

Si un lien actif tombe, les BPDU cessent d'arriver par lui, les switchs recalculent et débloquent un lien de réserve. Le mot « arbre » vient des mathématiques : un arbre couvrant est un sous-graphe qui relie tous les sommets sans cycle (voir le chapitre Graphes non orientés et arbres couvrants du cours de mathématiques).

L'identifiant de switch (BID)

Chaque switch a un identifiant (Bridge ID, BID) de 8 octets : une priorité sur 2 octets, suivie de son adresse MAC. Le plus petit BID gagne l'élection de la racine.

Chez Cisco, la priorité contient en plus le numéro du VLAN (c'est l'extended system ID), parce qu'il y a une instance du Spanning Tree par VLAN : priorité affichée = priorité configurée + numéro de VLAN. La priorité configurée vaut 32768 par défaut et ne se règle que par multiples de 4096 (0, 4096, 8192… 61440).

À priorité égale, c'est la plus petite adresse MAC qui l'emporte. Et les adresses MAC sont attribuées par ordre de fabrication : le switch le plus ancien du réseau a souvent la plus petite. Ici, c'est SW-ETAGE1, un vieux modèle récupéré pour le premier étage. Tu vas voir que c'est un problème.

Le coût des liens

Chaque port a un coût qui dépend de son débit. Deux barèmes existent :

Les anciens IOS (2960, Packet Tracer) utilisent les coûts courts ; sur les Catalyst 9000, le barème par défaut dépend de la version d'IOS XE. show spanning-tree summary l'indique (« Pathcost method used is short » ou « long »), et la commande spanning-tree pathcost method long choisit le barème : tous les switchs d'un réseau doivent utiliser le même. Dans ce chapitre, on calcule avec les coûts courts, plus faciles ; dans les exemples de ce chapitre, les rôles obtenus sont les mêmes avec les longs.

Le coût jusqu'à la racine (root path cost) d'un switch est la somme des coûts des ports par lesquels on entre en remontant vers la racine. La racine a un coût de 0.

L'élection pas à pas

Le siège a maintenant trois switchs en triangle : SW-COEUR-1 et SW-COEUR-2 reliés par un lien à 10 Gbit/s (coût 2, ports Te1/1/1), et SW-ETAGE1 relié à chacun par un lien à 1 Gbit/s (coût 4) : son port Gi1/0/48 va vers SW-COEUR-1 (Gi1/0/1), son port Gi1/0/47 vers SW-COEUR-2 (Gi1/0/1). Tous les switchs ont la priorité par défaut. Dans le VLAN 10 :

1. La racine. Les trois BID ont la même priorité, 32778 ; la plus petite adresse MAC est celle de SW-ETAGE1, 0019.e8a2.1b80. SW-ETAGE1 devient la racine.

2. Les ports racine. Chaque autre switch cherche son chemin le moins cher vers SW-ETAGE1 :

3. Les ports désignés. Sur chaque lien, le côté le plus proche de la racine est désigné. Les deux ports de la racine sont toujours désignés. Sur le lien entre les deux switchs de cœur, les deux côtés annoncent le même coût jusqu'à la racine (4) : on départage par le BID de l'émetteur. SW-COEUR-1 (…2a00) a un BID plus petit que SW-COEUR-2 (…3f00) : son port Te1/1/1 est désigné.

4. Le blocage. Il reste un port sans rôle : Te1/1/1 de SW-COEUR-2, bloqué.

Le résultat est absurde : le lien à 10 Gbit/s entre les deux switchs de cœur est bloqué, et tout le trafic entre eux passe par le vieux switch du premier étage, sur des liens à 1 Gbit/s. Le réseau fonctionne, sans boucle, mais il est mal construit. Et si SW-ETAGE1 redémarre, tout le Spanning Tree se recalcule.

Choisir la racine soi-même

La racine doit être le switch central, le plus puissant et le plus stable : le switch de cœur. On abaisse sa priorité :

SW-COEUR-1(config)# spanning-tree vlan 1-4094 root primary
SW-COEUR-2(config)# spanning-tree vlan 1-4094 root secondary

root primary est une macro : elle fixe la priorité à 24576, ou en dessous de celle de la racine actuelle si elle est déjà plus basse. root secondary fixe 28672 : SW-COEUR-2 prendra le relais si SW-COEUR-1 tombe. On peut aussi écrire la valeur directement : spanning-tree vlan 1-4094 priority 24576. L'écriture explicite est plus prévisible : la macro calcule une seule fois, au moment où on la tape.

Nouvelle élection, VLAN 10 :

Sur le lien entre SW-ETAGE1 et SW-COEUR-2, SW-COEUR-2 annonce un coût de 2, SW-ETAGE1 un coût de 4 : le port de SW-COEUR-2 est désigné, Gi1/0/47 de SW-ETAGE1 est bloqué. Le lien à 10 Gbit/s est actif, et le lien de secours de l'étage attend en réserve.

Les règles de départage. Quand deux chemins vers la racine ont le même coût, un switch choisit son port racine en comparant, dans l'ordre : le coût jusqu'à la racine, puis le BID du switch voisin (le plus petit gagne), puis la priorité du port du voisin (128 par défaut), puis le numéro du port du voisin. Le port désigné d'un lien se choisit avec les mêmes critères. Ces départages reviennent dans les exercices : apprends-les dans l'ordre.

Les rôles et les états des ports

Dans le STP d'origine (802.1D), un port passe par cinq états : blocking (il écoute les BPDU, 20 secondes avant de considérer la racine perdue), listening (15 secondes), learning (15 secondes, il remplit la table MAC), puis forwarding ; disabled pour un port éteint. Un changement de topologie prend donc 30 à 50 secondes, pendant lesquelles le trafic est interrompu. C'est aussi pourquoi un poste branché sur un port reste « orange » une trentaine de secondes : le port passe par listening et learning avant de transmettre.

RSTP : le Spanning Tree rapide

Le RSTP (Rapid Spanning Tree Protocol, 802.1w, intégré à 802.1D depuis 2004) garde le même principe et les mêmes élections, mais converge en moins d'une seconde dans la plupart des cas :

• il n'a plus que trois états : discarding (jette les trames), learning et forwarding ;
• un port alternatif est calculé d'avance : si le port racine tombe, il passe aussitôt en transmission ;
• deux switchs voisins se mettent d'accord par un échange de messages (proposal et agreement) au lieu d'attendre l'expiration de minuteries ;
• les ports de bordure (edge), ceux des postes, passent immédiatement en transmission.

Il existe plusieurs variantes :

Sur tous les switchs de Sorbier :

SW-ETAGE1(config)# spanning-tree mode rapid-pvst

Une instance par VLAN permet un réglage fin : on peut rendre SW-COEUR-1 racine pour les VLAN 10 et 30, et SW-COEUR-2 racine pour les VLAN 20 et 40, pour que les deux liens montants des étages servent chacun à une partie du trafic. Chez Sorbier, on garde une seule racine pour tous les VLAN : plus simple à comprendre et à dépanner.

PortFast et BPDU Guard

Un port de poste n'a aucune raison de participer au Spanning Tree : un PC n'envoie pas de BPDU et ne crée pas de boucle. PortFast le déclare port de bordure : il passe en transmission dès le branchement, sans attendre. Le poste obtient son adresse DHCP tout de suite, au lieu d'expirer avant que le port s'ouvre.

BPDU Guard protège ces mêmes ports : si un BPDU arrive sur un port PortFast, c'est qu'un switch y a été branché (le petit switch de bureau d'un utilisateur, un appareil malveillant qui veut devenir racine). Le port est aussitôt coupé, en état err-disabled.

SW-ETAGE1(config)# interface range GigabitEthernet1/0/1 - 24
SW-ETAGE1(config-if-range)# spanning-tree portfast
SW-ETAGE1(config-if-range)# spanning-tree bpduguard enable

On peut aussi l'appliquer globalement, à tous les ports d'accès :

SW-ETAGE1(config)# spanning-tree portfast default
SW-ETAGE1(config)# spanning-tree portfast bpduguard default

Un port coupé par BPDU Guard reste coupé tant qu'un administrateur ne le réactive pas (shutdown puis no shutdown, après avoir retiré l'appareil fautif), sauf si l'on configure une réactivation automatique (errdisable recovery cause bpduguard). show interfaces status err-disabled liste les ports concernés.

D'autres protections existent : Root Guard sur les ports descendants du cœur (il refuse qu'un switch d'étage devienne racine), Loop Guard contre les liens qui ne transmettent que dans un sens, et le storm control qui limite le volume de diffusion. Les attaques contre le Spanning Tree et ces parades sont dans le chapitre Sécurité des switchs.

Vérifier le Spanning Tree

Sur SW-ETAGE1, après le réglage des priorités :

SW-ETAGE1# show spanning-tree vlan 10

VLAN0010
  Spanning tree enabled protocol rstp
  Root ID    Priority    24586
             Address     0c75.bd41.2a00
             Cost        4
             Port        48 (GigabitEthernet1/0/48)
             Hello Time   2 sec  Max Age 20 sec  Forward Delay 15 sec

  Bridge ID  Priority    32778  (priority 32768 sys-id-ext 10)
             Address     0019.e8a2.1b80
             Hello Time   2 sec  Max Age 20 sec  Forward Delay 15 sec
             Aging Time  300 sec

Interface           Role Sts Cost      Prio.Nbr Type
------------------- ---- --- --------- -------- --------------------------------
Gi1/0/1             Desg FWD 4         128.1    P2p Edge
Gi1/0/2             Desg FWD 4         128.2    P2p Edge
Gi1/0/47            Altn BLK 4         128.47   P2p
Gi1/0/48            Root FWD 4         128.48   P2p

À lire de haut en bas :

• Root ID : la racine du VLAN 10 a la priorité 24586 et l'adresse de SW-COEUR-1 ; SW-ETAGE1 l'atteint pour un coût de 4 par son port 48. Sur la racine elle-même, cette partie affiche « This bridge is the root ».
• Bridge ID : le BID du switch qu'on interroge, 32768 + 10.
• Le tableau des ports : rôle (Root, Desg, Altn), état (FWD transmet, BLK bloque), coût, priorité et numéro du port, type. « Edge » signale un port PortFast.

Les autres commandes utiles : show spanning-tree summary (mode, ports PortFast et BPDU Guard par défaut, barème des coûts, nombre de ports dans chaque état), show spanning-tree root (la racine de chaque VLAN, vue de ce switch), et show spanning-tree interface Gi1/0/47 (le rôle d'un port dans chaque VLAN).

Exercices

VLAN0020
  Spanning tree enabled protocol rstp
  Root ID    Priority    24596
             Address     0c75.bd41.2a00
             Cost        2
             Port        57 (TenGigabitEthernet1/1/1)
  Bridge ID  Priority    28692  (priority 28672 sys-id-ext 20)
             Address     0c75.bd41.3f00

Interface           Role Sts Cost      Prio.Nbr Type
Te1/1/1             Root FWD 2         128.57   P2p
Gi1/0/1             Desg FWD 4         128.1    P2p
Gi1/0/10            Desg FWD 4         128.10   P2p Edge

%SPANTREE-2-BLOCK_BPDUGUARD: Received BPDU on port Gi1/0/14 with BPDU Guard enabled. Disabling port.
%PM-4-ERR_DISABLE: bpduguard error detected on Gi1/0/14, putting Gi1/0/14 in err-disable state