BPDU Guard는 Edge 포트로 BPDU가 들어오면 그 포트를 즉시 errdisable 상태로 꺼버리는 안전장치입니다. 서버가 붙어 있어야 할 포트에 누가 스위치를 꽂았을 때, 네트워크 전체가 영향을 받기 전에 그 포트만 막아줘요.
먼저 알아둘 것
- BPDU는 스위치끼리 STP 정보(Root BID, Root Path Cost, Sender BID, Port ID)를 주고받는 제어 메시지입니다.
- Edge port는 스위치가 아니라 서버나 PC가 붙는 끝단 포트입니다. Edge로 설정한 포트는 장비가 Up되면 STP 단계(Listening, Learning)를 거치지 않고 바로 Forwarding으로 동작해요.
그래서 정상적인 상황이라면 Edge 포트에서는 BPDU가 오고 갈 일이 없습니다. 서버는 STP를 모르니까요.
문제는 예외 상황
문제는 작업 중이거나 어떤 상황 때문에 이 포트에 스위치(허브나 소형 스위치 포함)가 연결되는 순간 생깁니다. 상대 스위치는 BPDU로 STP 정보를 주고받으려고 하고, BPDU Guard가 없으면 이렇게 돼요.
- 그 포트가 일반 STP 포트로 바뀌어 STP에 참여합니다.
- 붙은 스위치가 Root bridge가 되면 트래픽 경로가 바뀝니다.
- 수렴하는 동안 짧은 루프나 토폴로지 변경이 생길 위험이 있습니다.
BPDU Guard가 켜져 있다면 같은 상황에서 BPDU를 받는 즉시 그 포트만 errdisable 상태로 만들어 shutdown시킵니다. 붙은 스위치는 STP에 끼어들 수 없고, 서버와 나머지 네트워크는 그대로 정상 동작해요.
왜 필요할까
Edge 포트는 STP 대기 단계를 건너뛰어서 빠르게 올라오는 대신, "이 포트 뒤에는 서버뿐"이라는 가정에 기대고 있습니다. 이 가정이 깨졌을 때 막아줄 장치가 없으면 위험하니, BPDU가 들어왔다는 건 가정이 깨졌다는 신호로 보고 그 포트를 차단하는 거예요.
설정 예시
! 전역: portfast(edge) 포트 전부에 BPDU Guard를 기본 적용
spanning-tree edge-port bpduguard default
! 인터페이스: 포트를 edge로 지정 (위 전역 규칙이 여기에 적용됨)
interface Ethernet1/1
spanning-tree portfast전역 명령은 portfast로 지정된 포트에만 BPDU Guard를 기본으로 켜줍니다. 특정 인터페이스에 직접 spanning-tree bpduguard를 설정하면 전역 기본값보다 그쪽이 우선이에요.
알아두면 좋은 점
- portfast를 빠뜨리면 보호받지 못합니다. 전역 명령만 넣고 서버 포트에
spanning-tree portfast를 설정하지 않으면 그 포트에는 BPDU Guard가 적용되지 않아요. - errdisable된 포트는 저절로 살아나지 않습니다. 붙어 있는 스위치를 떼어낸 뒤
shutdown,no shutdown으로 복구하거나,errdisable recovery cause bpduguard와errdisable recovery interval로 자동 복구를 설정합니다. 원인을 그대로 둔 채 자동 복구를 켜면 포트가 올라왔다 내려갔다를 반복하니 주의하세요. 설정 확인은show errdisable recovery로 합니다. - 스위치끼리 연결하는 포트에는 쓰면 안 됩니다. 포트 범위 전체에 portfast와 BPDU Guard를 템플릿처럼 적용하다가 스위치 간 링크까지 포함되면, 그 링크가 errdisable되어 끊깁니다.
정리
Edge 포트는 STP 단계를 건너뛰는 대신 "서버만 붙는다"는 가정에 의존합니다. BPDU Guard는 이 가정이 깨졌을 때, 즉 Edge 포트로 BPDU가 들어왔을 때 그 포트만 errdisable로 막아서 Root 변경이나 루프 같은 문제가 번지는 것을 막는 안전장치예요.
