3.6 Spanning Tree Protocol

Warum Layer-2-Schleifen gefährlich sind

Switches fluten Broadcasts und unbekannte Unicasts innerhalb eines VLANs. Existieren mehrere aktive Layer-2-Wege, kann ein Frame über einen anderen Port zurückkehren und erneut geflutet werden. Da der gewöhnliche Ethernet-Header kein TTL- oder Hop-Limit-Feld besitzt, beendet sich dieser Vorgang nicht selbstständig.

Die Folgen sind Broadcast-Stürme, mehrfach empfangene Frames, stark steigende Auslastung und eine instabile MAC-Tabelle. Eine Quell-MAC kann abwechselnd an verschiedenen Ports gelernt werden; dieses MAC-Flapping erschwert zusätzlich die gezielte Weiterleitung. Spanning Tree blockiert deshalb ausgewählte redundante Wege logisch, ohne die Verkabelung entfernen zu müssen.

Vom redundanten Netz zum Spannbaum

Die Switches tauschen Bridge Protocol Data Units, BPDUs, aus. Aus den darin enthaltenen Informationen wählen sie eine Root Bridge und bestimmen für jeden Switch den besten Weg dorthin. Die daraus abgeleiteten Portrollen sorgen dafür, dass zwischen den beteiligten Segmenten nur eine schleifenfreie aktive Topologie übrig bleibt.

„Bester“ Weg bedeutet der nach den STP-Regeln günstigste Prioritätsvektor, nicht zwangsläufig die niedrigste reale Latenz. Zuerst zählt die Root Bridge ID, danach unter anderem Root Path Cost, sendende Bridge ID und Port ID. Nur wenn ein wichtigeres Kriterium gleich ist, wird das nächste als Tie-Breaker verwendet.

Root Bridge und Bridge Identifier

Root Bridge wird der Switch mit dem numerisch kleinsten Bridge Identifier. Der Bridge Identifier ist insgesamt acht Byte lang. Er kombiniert einen Prioritätsanteil einschließlich Extended System ID mit einer 48-Bit-MAC-Adresse. Bei VLAN-bezogenen Instanzen wird die VLAN- beziehungsweise Instanzinformation im Prioritätsfeld berücksichtigt.

Der häufige Standardwert 32768 stammt aus der administrativen Bridge Priority. Viele Implementierungen erlauben Änderungen in Schritten von 4096. Haben mehrere Switches denselben Prioritätswert, entscheidet die kleinere MAC-Adresse. Für einen planbaren Betrieb sollte die Root-Rolle deshalb bewusst über Prioritäten festgelegt und nicht zufällig der niedrigsten MAC-Adresse überlassen werden.

Pfadkosten statt Anzahl der Switches

Jeder STP-Port besitzt eine Pfadkostenangabe. Der Root Path Cost eines Switches ist die Summe der Kosten entlang seines besten Weges zur Root Bridge. Ein schneller Link erhält gewöhnlich niedrigere Kosten als ein langsamer Link. Die Zahl der durchlaufenen Switches ist kein eigenständiger zweiter Faktor; sie wirkt nur indirekt, weil jeder verwendete Link Kosten zur Summe beiträgt.

Ältere Geräte und Unterlagen verwenden kurze Kostenwerte, die für hohe Datenraten kaum Abstufungen erlauben. Die lange Kostenmethode stellt einen deutlich größeren Wertebereich bereit. In einem Netz muss die verwendete Methode konsistent geplant werden; administrativ gesetzte Kosten können den automatisch aus der Linkrate abgeleiteten Wert ersetzen.

• Root Path Cost = Summe der Port-Pfadkosten bis zur Root Bridge.
• Niedrigere Gesamtkosten werden bevorzugt.
• Bei Gleichstand folgen weitere Tie-Breaker wie Bridge ID und Port ID.
• Manuelle Werte müssen dokumentiert und auf allen beteiligten Geräten nachvollziehbar sein.

Portrollen und Portzustände

Die Portrolle beschreibt die Aufgabe eines Ports im berechneten Baum. Der Root Port ist auf jedem Nicht-Root-Switch der beste Port in Richtung Root. Der Designated Port ist auf einem Segment der Port, der den besten Weg zur Root anbietet. Ein Alternate Port hält einen alternativen Weg bereit; ein Backup Port ist ein Sonderfall für einen alternativen Port desselben Switches am selben gemeinsamen Segment.

RSTP fasst das Weiterleitungsverhalten in drei Zustände: Discarding, Learning und Forwarding. Discarding leitet keine Nutzframes weiter und lernt keine Quell-MAC-Adressen. Learning lernt MAC-Adressen, leitet aber noch keine Nutzframes weiter. Forwarding lernt und leitet. Klassisches STP verwendete zusätzlich die getrennten Zustände Blocking und Listening sowie Disabled.

BPDUs und die Entscheidungsreihenfolge

BPDUs transportieren die Informationen, mit denen Bridges ihre Sicht auf den Baum vergleichen. Eine bessere BPDU enthält einen übergeordneten Prioritätsvektor. Vereinfacht gewinnt zunächst die kleinere Root Bridge ID. Bei gleicher Root entscheidet der geringere Root Path Cost; danach folgen kleinere sendende Bridge ID und Port ID.

Die Port ID enthält Port Priority und Port Number. Sie wird erst spät als Tie-Breaker benötigt. Eine IP-Adresse spielt bei Root-Wahl, Portrollen und Pfadkosten keine Rolle. BPDUs sind Layer-2-Steuerframes und werden von Bridges lokal verarbeitet statt wie gewöhnlicher Datenverkehr transparent durch den gesamten Baum geflutet zu werden.

STP, RSTP und MSTP

Klassisches STP nach IEEE 802.1D arbeitet stark timerbasiert und kann nach Änderungen vergleichsweise lange bis zu einer stabilen Weiterleitung benötigen. Rapid Spanning Tree, ursprünglich IEEE 802.1w und heute in IEEE 802.1Q enthalten, ergänzt explizite Portrollen sowie schnelle Proposal-/Agreement-Verfahren auf Punkt-zu-Punkt-Links.

Multiple Spanning Tree, ursprünglich IEEE 802.1s und ebenfalls in IEEE 802.1Q integriert, kann VLANs mehreren MST-Instanzen zuordnen. Switches einer MST-Region müssen unter anderem Region Name, Revision und VLAN-zu-Instanz-Zuordnung konsistent konfigurieren. MSTP ist nicht einfach „ein STP pro VLAN“, sondern bündelt VLANs in planbare Instanzen.

Was bei einem Linkausfall geschieht

Fällt ein aktiver Link aus, erkennt der betroffene Switch die Änderung unmittelbar über den Linkstatus oder später durch ausbleibende Protokollinformationen. Ein geeigneter Alternate Port kann bei RSTP rasch die Root-Port-Rolle übernehmen. Die genaue Unterbrechungsdauer hängt von Topologie, Linkerkennung, Protokollvariante, Porttyp und Konfiguration ab.

Spanning Tree verteilt einzelne Datenströme nicht automatisch über alle redundanten Links. Ein blockierter Link ist eine Bereitschaftsverbindung für den betreffenden Baum. Sollen mehrere physische Links gemeinsam aktiv sein, werden sie gewöhnlich konsistent als Link Aggregation gebündelt oder es wird eine andere dafür vorgesehene Netzarchitektur eingesetzt.

Edge Ports und Schutzmechanismen

Ports zu Endgeräten können als Edge Ports gekennzeichnet werden und schneller in Forwarding wechseln, weil dort keine weitere Bridge erwartet wird. Diese Annahme muss stimmen. Wird an einem Edge Port dennoch eine Bridge angeschlossen, kann ohne Schutz eine Schleife entstehen. Herstellernamen wie PortFast bezeichnen entsprechende Umsetzungen.

Schutzfunktionen reagieren auf unerwartete BPDUs oder ausbleibende Protokollinformationen. Die konkreten Namen und Aktionen unterscheiden sich zwischen Plattformen. Häufige Konzepte sind BPDU Guard für Endgeräteports, Root Guard gegen eine unerwünschte Root und Loop Guard gegen bestimmte unidirektionale Fehlerzustände. Sie ersetzen keine saubere Topologieplanung.

Spanning Tree systematisch prüfen