Site icon bintorosoft.com

PortFast & BPDU Guard: Loop-Schutz in Packet Tracer üben

Red Snapper

PortFast und BPDU Guard gehören zu den wichtigsten Schutzmechanismen im Access-Layer. PortFast sorgt dafür, dass Endgeräte-Ports sofort in Forwarding gehen (schneller Link-up für PCs, Phones, Drucker). BPDU Guard schützt genau diese Ports davor, versehentlich zu Switch-Ports zu werden: Sobald ein PortFast-Port BPDUs empfängt, wird er in den Error-Disabled-Zustand versetzt. In Packet Tracer können Sie dieses Verhalten sehr gut üben und typische Loop-Fälle sicher nachvollziehen.

Was PortFast macht (und was nicht)

PortFast überspringt die klassischen STP-Übergangszustände für einen Access-Port zu einem Endgerät. Dadurch warten Clients nicht auf STP-Timer, sondern können sofort DHCP, ARP und Login-Prozesse starten. PortFast ist kein „STP aus“, sondern eine Optimierung für Endgeräteports.

Typisches Symptom ohne PortFast

Was BPDU Guard macht (Loop-Schutz im Access-Layer)

BPDU Guard verhindert, dass ein Access-Port mit PortFast unbeabsichtigt Teil einer Switch-Topologie wird. Sobald auf einem PortFast-Port eine BPDU eingeht, geht der Port auf „err-disabled“ und stoppt den Traffic. Das verhindert Loops durch falsch gesteckte Patchkabel oder „heimliche“ Mini-Switches.

Lab-Setup in Packet Tracer: PortFast/BPDU Guard sichtbar machen

Für ein klares Übungslab reicht eine kleine Topologie: ein Access-Switch (SW1), ein zweiter Switch (SW2) als „Fehlanschluss“ und optional ein PC für Basistests. Ziel: PortFast + BPDU Guard auf einem Access-Port aktivieren und anschließend SW2 fälschlich anschließen, um den Schutz auszulösen.

Verkabelung

Schritt 1: PortFast auf Access-Ports konfigurieren

Setzen Sie PortFast auf Endgeräteports. In Übungen ist es sinnvoll, dies entweder pro Interface oder global zu konfigurieren.

PortFast pro Interface (gezielt)

enable
configure terminal
interface fastEthernet0/2
 description ACCESS_PORTFAST_TEST
 switchport mode access
 spanning-tree portfast
end
write memory

PortFast global für alle Access-Ports (praxisüblich)

Global aktivieren Sie PortFast für Access-Ports; Trunks werden davon nicht automatisch betroffen. Trotzdem gilt: Uplinks sauber als Trunk definieren, damit keine Fehlinterpretation entsteht.

enable
configure terminal
spanning-tree portfast default
end
write memory

Schritt 2: BPDU Guard aktivieren

BPDU Guard können Sie ebenfalls pro Interface oder global einschalten. Für Access-Layer-Designs ist die globale Aktivierung sehr üblich, weil sie konsequent alle PortFast-Ports schützt.

BPDU Guard pro Interface (gezielt)

enable
configure terminal
interface fastEthernet0/2
 spanning-tree bpduguard enable
end
write memory

BPDU Guard global für alle PortFast-Ports (empfohlen)

enable
configure terminal
spanning-tree portfast bpduguard default
end
write memory

Schritt 3: Verifikation – ist PortFast/BPDU Guard aktiv?

Bevor Sie den Fehlerfall simulieren, prüfen Sie die Einstellungen. So stellen Sie sicher, dass der Port wirklich PortFast nutzt und BPDU Guard aktiv ist.

Interface-Konfiguration prüfen

enable
show running-config interface fastEthernet0/2

STP-Status am Interface prüfen

enable
show spanning-tree interface fastEthernet0/2 detail

Schritt 4: Fehlerfall simulieren – Switch an PortFast-Port anschließen

Jetzt kommt die eigentliche Übung: Verbinden Sie SW2 mit dem PortFast/BPDU-Guard-Port (SW1 Fa0/2). SW2 sendet BPDUs, SW1 erkennt diese auf einem geschützten Access-Port und setzt den Port auf err-disable.

Portstatus und Events prüfen

enable
show interfaces status
show interfaces fastEthernet0/2

Typischer Hinweis in der Ausgabe

Schritt 5: Recovery – Port wieder aktivieren

In Übungen müssen Sie den Port nach dem Fehlerfall wieder freischalten. In vielen Umgebungen wird der Port manuell reaktiviert, indem er administrativ aus- und wieder eingeschaltet wird.

Manueller Recovery (shutdown/no shutdown)

enable
configure terminal
interface fastEthernet0/2
shutdown
no shutdown
end

Wichtig: Ursache zuerst beseitigen

Reaktivieren Sie den Port erst, wenn das „Fehlgerät“ (SW2) entfernt ist oder der Port bewusst als Uplink/Trunk konzipiert wurde. Sonst triggert BPDU Guard sofort erneut.

Praxisregeln: Wo PortFast und BPDU Guard hingehören

Diese Zuordnung sollten Sie in jeder Übung konsequent anwenden. Sie ist auch in realen Netzwerken Standard.

Typische Fehler in Übungen und schnelle Korrekturen

Viele Probleme entstehen durch falsche Portrollen. Wenn ein Uplink als Access mit PortFast läuft, wird BPDU Guard „zurecht“ auslösen – das wirkt für Einsteiger dann wie ein Bug.

Fehler: Uplink-Port mit PortFast/BPDU Guard konfiguriert

Fehler: PortFast fehlt, Clients bekommen spät DHCP

Checks für schnelle Diagnose

enable
show interfaces status
show spanning-tree interface fastEthernet0/2 detail
show running-config | include portfast
show running-config | include bpduguard

Optional: Übung „Mini-Loop“ und Schutzwirkung verstehen

Eine typische Übungsfrage ist: „Warum schützt BPDU Guard vor Loops?“ Der Punkt ist nicht, dass BPDU Guard STP ersetzt, sondern dass er falsche Endgeräteports daran hindert, plötzlich Switch-Pfade zu werden. In Access-Netzen ist das einer der wichtigsten Layer-2-Sicherheitsmechanismen.

Konfiguriere Cisco Router & Switches und liefere ein Packet-Tracer-Lab (CCNA)

Hallo! Ich bin ein CCNA-Network Engineer und unterstütze Sie bei Cisco Router- und Switch-Konfigurationen – inklusive eines vollständigen Cisco Packet-Tracer-Labs (.pkt). Ideal für Lern-/Übungsszenarien, Validierung oder eine saubere Demo-Topologie.

Was ich (je nach Paket) umsetze

Sie erhalten

Bitte schreiben Sie mir vor der Bestellung, damit wir Scope, Packet-Tracer-Version, Geräteanzahl und Deadline klären.

Konfiguriere Cisco Router & Switches | Cisco Packet-Tracer-Labs. Finden Sie mich auf Fiverr.

Exit mobile version