STP-Instabilität entsteht selten „einfach so“. In den meisten Fällen ist sie die Folge von Design- und Standardisierungsfehlern: Root Bridge nicht geplant, Edge-Ports nicht gehärtet, Trunks inkonsistent, Redundanz ohne Port-Channels oder physische Probleme, die STP permanent zum Reagieren zwingen. Das Ergebnis sind häufige Topology Changes (TCNs), blockierte Ports an unerwarteten Stellen, MAC-Flapping und sporadische Aussetzer. Dieser Artikel zeigt die häufigsten STP-Designfehler und wie du sie in Cisco-Netzen nachhaltig vermeidest.
Warnsignale: Woran du STP-Instabilität erkennst
Bevor du Ursachen suchst, brauchst du klare Indikatoren. STP-Instabilität zeigt sich fast immer in TCN-Spikes, flappenden Links oder Guard-Events.
- Viele Topology Changes pro VLAN/Instance
- Ports wechseln häufig zwischen Forwarding/Blocking
- MAC-Table-Flapping und erhöhte Broadcast/Unknown-Unicast Raten
- Ports in inconsistent (Root Guard/Loop Guard) oder err-disabled (BPDU Guard)
show spanning-tree summary
show spanning-tree root
show spanning-tree vlan 10 detail
show spanning-tree inconsistentports
show interface status err-disabled
show logging | include SPANNING|TOPOLOGY|BPDU|ROOT|LOOP|MACFLAP
Design-Fehler 1: Root Bridge nicht geplant (oder falsch platziert)
Wenn die Root Bridge „zufällig“ gewählt wird, kann ein Access-Switch Root werden. Das führt zu ungünstigen Pfaden, unnötigen Blockierungen und unvorhersehbarem Verhalten bei Link-Events.
- Root sitzt im Access statt im Distribution/Core
- Keine Secondary Root definiert
- Pro VLAN/Instance unterschiedliche, nicht dokumentierte Root-Wahlen
Saubere Gegenmaßnahme: Root Primary/Secondary definieren
configure terminal
spanning-tree mode rapid-pvst
spanning-tree vlan 10,20,30,40,80,99 root primary
end
configure terminal
spanning-tree mode rapid-pvst
spanning-tree vlan 10,20,30,40,80,99 root secondary
end
Design-Fehler 2: Edge-Ports ohne PortFast (TCN-Flut im Access)
Ohne PortFast durchlaufen Client-Ports STP-Transitions und lösen bei jedem Link-Up TCNs aus. In Netzen mit vielen Clients und VoIP führt das zu dauerhaftem „STP-Grundrauschen“ und sporadischen Aussetzern.
Saubere Gegenmaßnahme: PortFast + BPDU Guard als Default
configure terminal
spanning-tree portfast default
spanning-tree bpduguard default
end
Typischer Effekt
TCNs gehen deutlich zurück, Clients bekommen schneller DHCP, und Edge-Fehlanschlüsse werden durch BPDU Guard sofort sichtbar.
Design-Fehler 3: BPDU Filter „als Lösung“ eingesetzt
BPDU Filter unterdrückt STP-Signale und kann damit Loops begünstigen oder Fehler verschleiern. In instabilen Netzen wird BPDU Filter manchmal als „TCN-Stopper“ missbraucht – das ist riskant.
- STP sieht bestimmte Pfade nicht mehr
- Loops werden wahrscheinlicher, Troubleshooting schwieriger
- Guard-Mechanismen können ausgehebelt werden
Sichere Alternative
Statt BPDU Filter: Edge-Ports mit PortFast + BPDU Guard absichern und Ursachen für TCNs beheben (Flaps, Fehlpatching, Switches am Edge).
Design-Fehler 4: Redundanz ohne EtherChannel (parallele Links einzeln betrieben)
Zwei parallele Links zwischen denselben Switches ohne Port-Channel führen fast immer zu STP-Blockierungen und können bei Flaps große TCN-Spitzen verursachen. Außerdem steigt das Risiko von Fehlkonfiguration (ein Link Trunk, der andere Access).
- Ein Link wird blockiert, bei Flap wird neu berechnet
- Konfig-Inkonsistenzen zwischen Links sind häufig
- Bandbreite wird nicht gebündelt, sondern „verschwendet“
Saubere Gegenmaßnahme: Port-Channel mit LACP
configure terminal
interface range gigabitEthernet 1/0/47 - 48
description UPLINK-PORTCHANNEL
switchport mode trunk
switchport trunk allowed vlan 10,20,30,40,80,99
channel-group 1 mode active
exit
interface port-channel 1
description UPLINK-PORTCHANNEL
switchport mode trunk
switchport trunk allowed vlan 10,20,30,40,80,99
end
Verifikation
show etherchannel summary
show interfaces port-channel 1
show interfaces trunk
Design-Fehler 5: Trunks inkonsistent (Allowed VLANs / Native VLAN / DTP)
STP arbeitet pro VLAN/Instance. Wenn VLANs nicht konsistent über Trunks transportiert werden oder Native VLANs mismatched sind, wirkt STP „unlogisch“: VLANs forwarden nur teilweise, Ports werden inconsistent, und es entstehen Instabilitäten.
- Allowed VLANs unterscheiden sich zwischen Link-Enden
- Native VLAN mismatch erzeugt Warnungen und Fehlzuordnung
- DTP erzeugt unerwartete Trunks
Saubere Gegenmaßnahme: Trunks statisch + Whitelist + Native ungenutzt
configure terminal
vlan 999
name NATIVE-UNUSED
exit
interface gigabitEthernet 1/0/48
description UPLINK-TRUNK
switchport mode trunk
switchport trunk allowed vlan 10,20,30,40,80,99
switchport trunk native vlan 999
switchport nonegotiate
end
Verifikation
show interfaces trunk
show interfaces gigabitEthernet 1/0/48 switchport
show logging | include NATIVE|TRUNK|VLAN|SPANNING
Design-Fehler 6: Guard-Mechanismen fehlen (oder falsch platziert)
Ohne Root Guard, BPDU Guard, Loop Guard und ggf. UDLD sind STP-Topologien anfälliger für Fehlpatching, „falsche Root“ und unidirektionale Link-Probleme. Falsch platziert können Guards jedoch unnötig Ports blockieren.
- BPDU Guard fehlt auf Edge-Ports: Loops durch „Switch am Client-Port“
- Root Guard fehlt auf Downlinks: Access kann Root werden
- Loop Guard/UDLD fehlen auf Fiber-Uplinks: BPDU-Ausfälle führen zu STP-Fallen
Saubere Gegenmaßnahme: Guard-Baseline
configure terminal
spanning-tree portfast default
spanning-tree bpduguard default
spanning-tree loopguard default
udld enable
udld aggressive
end
Design-Fehler 7: Physische Instabilität wird ignoriert (Flaps, CRC, unidirectional)
Viele STP-Probleme sind in Wahrheit Layer-1-Probleme: Flappende Links, CRC-Fehler, defekte SFPs oder unidirektionale Fiber-Strecken. STP reagiert dann korrekt – aber das Design wirkt instabil.
Saubere Gegenmaßnahme: Layer-1/2 Health Checks in den Prozess
show interfaces counters errors
show interfaces status
show logging | include LINK|LINEPROTO|CRC|ERROR
show udld neighbors
Design-Fehler 8: MSTP/PVST-Mix ohne saubere Boundary-Strategie
Wenn Teile des Netzes MSTP nutzen und andere PVST/Rapid PVST+, entstehen Boundary-Ports. Ohne konsistente MST-Region-Parameter (Name/Revision/Mapping) und klare Root-Planung kann das zu unerwarteten Blockierungen führen.
Saubere Gegenmaßnahme: MST-Region konsistent ausrollen
show spanning-tree mst configuration
show spanning-tree mst
show spanning-tree summary
Praxis-Blueprint: STP-Design, das stabil bleibt
Ein stabiler STP-Betrieb ist vor allem Standardisierung: Root geplant, Edge gehärtet, Trunks sauber, Redundanz korrekt gebündelt und Guards dort, wo sie hingehören.
- Root Primary/Secondary auf Distribution/Core (pro VLAN/Instance)
- PortFast + BPDU Guard auf Edge-Ports
- Root Guard auf Downlinks Richtung Access
- Loop Guard + UDLD auf kritischen Uplinks (v. a. Fiber)
- Trunks statisch, Allowed VLANs whitelisted, Native VLAN ungenutzt
- Redundanz über LACP-Port-Channels statt Einzel-Links
Audit-Spickzettel (regelmäßig ausführen)
show spanning-tree summary
show spanning-tree root
show spanning-tree vlan 10 detail
show spanning-tree inconsistentports
show etherchannel summary
show interfaces trunk
show interface status err-disabled
show logging | include SPANNING|TOPOLOGY|BPDU|ROOT|LOOP|MACFLAP
Konfiguration speichern
copy running-config startup-config
Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)
Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.
Was ich (je nach Paket) umsetze
-
Switching: VLANs, Trunking (802.1Q), Port-Zuweisung, STP-Basics (PortFast/BPDU Guard wo sinnvoll)
-
Routing: Default/Static Routing oder OSPF, Inter-VLAN Routing (Router-on-a-Stick)
-
Services: DHCP (Pools/Scopes), NAT/PAT für Internet-Simulation
-
Optional Security: Basic ACLs und SSH-Hardening
-
Test & Verifikation: Ping/Traceroute + wichtige Show-Commands (mit erwarteten Ergebnissen)
Sie erhalten
-
✅ Packet Tracer .pkt Datei
-
✅ Saubere Konfigurations-Notizen pro Gerät
-
✅ Verifikations-Checkliste + erwartete Outputs
-
✅ Kurze Dokumentation (wie die Topologie funktioniert)
Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.
Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.
