Тюнинг протокола STP: как настроить безопасность в коммутируемой сети (Root Guard, Loop Guard)

Рассмотрим, как настроить безопасность протокола STP в коммутируемой сети (Root Guard, Loop Guard).

Содержание:

1. Топология
2. Подробный мастер-класс
3. Сценарий
   1. Основные сведения про Root Guard и Loop Guard
4. Задачи
   1. Настройки DLS1 после Части 1
   2. Настройки DLS2 после Части 1
   3. Настройки ALS1 после Части 1
   4. Настройки ALS2 после Части 1
   5. Настройки ALS1 после Части 2
   6. Настройки DLS1 после Части 2
   7. Настройки DLS2 после Части 2
   8. Настройки DLS2 после Части 2
   9. Настройки ALS1 после Части 2
   10. Настройки ALS2 после Части 2
   11. Команды для проверки настроек STP
5. Выводы

Топология

Исследуемая топология состоит из четырех коммутаторов Cisco Catalyst 3560 и 2960 под управлением Cisco IOS 15.0(2)SE6. Допускается использование других коммутаторов и версий Cisco IOS.

Схема топологии следующая:

Подробный мастер-класс

Видеоинструкция на нашем YouTube-канале:

Сценарий

Протокол STP работает по умолчанию в коммутируемой сети и обеспечивает расчет кратчайших маршрутов без петель в зарезервированной коммутируемой локальной сети предприятия. При этом протокол, изначально описанный в стандарте IEEE 802.1d, имеет ряд недостатков, которые решаются двумя способами: путем выпуска обновленных стандартов (например, RSTP — IEEE 802.1w и MST — IEEE 802.1s) и путем тонких настроек дополнительных функций (PortFast, UplinkFast, BackboneFast, BPDU Guard, BPDU Filter, Root Guard, Loop Guard и других).

Основные сведения про Root Guard и Loop Guard

Root Guard — это функция, позволяющая предотвращать появление мошеннических коммутаторов и спуфинг. То есть это защитный механизм в ситуациях, когда вашей сети и сети вашего клиента необходимо сформировать один домен STP. Но при этом вы хотите иметь корневой мост STP в своей сетевой части, и не хотите, чтобы ваш клиент взял на себя выбор корневого коммутатора. В этих случаях вы должны поставить Root Guard на портах по направлению к клиенту.

Root Guard можно включить на всех портах коммутатора, которые не являются корневыми. Обычно эта функция включена на портах, подключенных к граничным коммутаторам, которые никогда не должны получать пакеты BPDU с более высоким BID. Каждый коммутатор должен иметь только один корневой порт, который является наилучшим путем к корневому коммутатору.

Функция STP Loop Guard обеспечивает дополнительную защиту от закольцовывания при передаче на уровне 2 (петель STP). Петля STP появляется, когда порт в состоянии блокировки STP в топологии с резервированием ошибочно переходит в состояние пересылки. Обычно это происходит из-за того, что один из портов топологии с физическим резервированием (необязательно порт с блокировкой STP) больше не получает пакеты STP BPDU.

Если все порты находятся в состоянии пересылки (forwarding), то это приводит к появлению петель (закольцовывания). Если порт, на котором включена функция Loop Guard, перестает получать пакеты BPDU из назначенного порта в сегменте, он переходит в состояние loop inconsistent вместо перехода в состояние forwarding. Как правило, состояние loop inconsistent является блокирующим, поэтому никакой трафик не пересылается. Если порт снова обнаруживает пакеты BPDU, он автоматически восстанавливается и переходит в состояние блокировки (blocking). Функцию Loop Guard следует применять к неназначенным портам.

Задачи

1. Проверка работы протокола STP по умолчанию.
2. Настройка и проверка дополнительных функций STP Root Guard и Loop Guard.

Настройки DLS1 после Части 1

hostname DLS1
no ip domain-lookup

line con 0
exec-timeout 0 0
logging synchronous
exit

spanning-tree vlan 1 root primary

interface range fa 0/7 - 10
spanning-tree guard root
end

Настройки DLS2 после Части 1

hostname DLS2
no ip domain-lookup

line con 0
exec-timeout 0 0
logging synchronous
exit

spanning-tree vlan 1 root secondary
end

Настройки ALS1 после Части 1

hostname ALS1
no ip domain-lookup

line con 0
exec-timeout 0 0
logging synchronous
exit

Настройки ALS2 после Части 1

hostname ALS2
no ip domain-lookup

line con 0
exec-timeout 0 0
logging synchronous
exit

Настройки ALS1 после Части 2

spanning-tree vlan 1 root priority 4096

interface f0/11
spanning-tree bpdufilter enable
spanning-tree bpdufilter disable
end

Настройки DLS1 после Части 2

interface range fa 0/7 - 10
spanning-tree guard root
end

Настройки DLS2 после Части 2

interface range fa 0/7 - 10
spanning-tree guard root
end

Настройки DLS2 после Части 2

interface fa 0/12
spanning-tree guard loop
end

Настройки ALS1 после Части 2

interface range fa 0/8 - 10
spanning-tree guard loop
end

Настройки ALS2 после Части 2

interface range fa 0/7 - 8
spanning-tree guard loop
exit
interface range fa 0/10 - 12
spanning-tree guard loop
end

Команды для проверки настроек STP

show spanning-tree
show spanning-tree inconsistentports
debug spanning-tree events

Выводы

Спасибо за уделенное время на прочтение статьи. Теперь вы больше знаете о тюнинге протокола STP. А именно о том, как настроить безопасность в коммутируемой сети (Root Guard, Loop Guard).

Если возникли вопросы, задавайте их в комментариях.

Подписывайтесь на обновления нашего блога и оставайтесь в курсе новостей мира инфокоммуникаций!

Чтобы знать больше и выделяться знаниями среди толпы IT-шников, записывайтесь на курсы Cisco, курсы по кибербезопасности, полный курс по кибербезопасности, курсы DevNet / DevOps (программируемые системы) от Академии Cisco, курсы Linux от Linux Professional Institute на платформе SEDICOMM University (Университет СЭДИКОММ).