Netzwerk & WAN
STP / RSTP / MSTP
Spanning Tree (STP/RSTP/MSTP, IEEE 802.1) hält redundant verkabelte Layer-2-Netze schleifenfrei, indem es überflüssige Pfade blockiert und bei Ausfall reaktiviert.
- Schleifenschutz auf Layer 2
- Root Bridge und Baum
- RSTP konvergiert in Sekunden
- MSTP: Bäume je VLAN-Gruppe
- IEEE 802.1Q (vormals 802.1D)
Spanning Tree ist die Antwort auf ein grundlegendes Problem geswitchter Netze: Ethernet kennt kein TTL, ein Frame kann in einer Schleife endlos kreisen. Sobald zwei Switches über mehr als einen Weg verbunden sind, entsteht ohne Gegenmaßnahme genau diese Gefahr. Das Spanning Tree Protocol berechnet deshalb einen schleifenfreien Baum über alle Switches und legt überzählige Pfade still, bis sie als Reserve gebraucht werden.
Dieser Artikel erklärt die Wahl der Root Bridge, die Port-Rollen und Port-Zustände, den Sprung von der langsamen Timer-Konvergenz des klassischen STP zur schnellen Aushandlung von RSTP, die Schutzfunktionen rund um Edge-Ports sowie MSTP, das mehrere Bäume für verschiedene VLAN-Gruppen bildet.
1. Warum Schleifen Netze lahmlegen
Ein Layer-2-Switch flutet Broadcasts und unbekannte Ziele auf allen Ports. Gibt es eine Schleife, läuft so ein Frame im Kreis und wird an jedem Knoten weiter vervielfacht. Innerhalb von Sekunden sättigt dieser Broadcast-Sturm die Verbindungen, und die MAC-Tabellen der Switches springen zwischen den Ports hin und her (MAC-Flapping). Das Netz steht.
Spanning Tree verhindert das, indem es genau einen aktiven Pfad zwischen je zwei Punkten zulässt. Alle anderen Verbindungen werden in einen blockierenden Zustand versetzt und erst dann freigegeben, wenn der aktive Pfad ausfällt.
2. Root Bridge und der Baum
Im ersten Schritt wählen alle Switches eine Root Bridge, die Wurzel des Baums. Maßgeblich ist die Bridge-ID aus 2 Byte Priorität und der System-MAC-Adresse. Die Priorität ist in 16 Stufen von 0 bis 61440 (Schrittweite 4096, Default 32768) konfigurierbar; gewinnt die niedrigste Bridge-ID, bei Gleichstand die niedrigste MAC.
Von der Root aus berechnet jeder Switch den günstigsten Weg anhand der aufsummierten Pfadkosten. Die modernen Kosten (Long-Path-Cost) ergeben sich aus der Linkgeschwindigkeit: 1 GBit/s entspricht 20000, 10 GBit/s 2000. Bei gleichen Kosten entscheiden Sender-Bridge-ID und Port-ID. Wer die Root Bridge dem Zufall der MAC-Adresse überlässt, riskiert, dass ein alter Switch im Keller zur Wurzel wird, sie gehört bewusst auf einen zentralen, leistungsfähigen Switch gelegt.
Die Root Bridge ist die wichtigste Designentscheidung im Spanning Tree. Sie wird per Priorität festgelegt und nicht dem Zufall überlassen, sonst wandert die Wurzel an die falsche Stelle.
3. Port-Rollen und Port-Zustände
Jeder Port erhält eine Rolle: Root Port (bester Weg zur Root), Designated Port (zuständig für ein Segment), bei RSTP zusätzlich Alternate Port (Reserveweg zur Root) und Backup Port (Reserve zum selben Segment). Parallel durchläuft er Zustände, die das klassische STP und RSTP unterschiedlich benennen:
| Klassisches STP | RSTP | Lernt MACs | Leitet weiter |
|---|---|---|---|
| Blocking / Listening | Discarding | nein | nein |
| Learning | Learning | ja | nein |
| Forwarding | Forwarding | ja | ja |
4. RSTP: schnelle Konvergenz statt Timer
Klassisches STP wartet bei einer Änderung feste Timer ab: 20 Sekunden Max Age plus zweimal 15 Sekunden Forward Delay, also bis zu 50 Sekunden, bis ein Port weiterleitet. Für moderne Netze ist das viel zu lang.
RSTP (ursprünglich IEEE 802.1w, heute Teil von 802.1Q) ersetzt das Warten durch einen Handshake: Auf einer Punkt-zu-Punkt-Verbindung schlägt ein Port per Proposal vor weiterzuleiten, der Nachbar blockiert kurz alle anderen Nicht-Edge-Ports und antwortet mit einem Agreement, woraufhin der Port sofort in Forwarding geht. Diese Welle läuft durchs Netz, die Konvergenz liegt typischerweise unter einer Sekunde. Ein Alternate Port übernimmt bei Ausfall des Root Ports ohne Wartezeit.
5. Edge-Ports und der Schutzgürtel
Ein Port zu einem Endgerät (PC, Server, Drucker) soll sofort weiterleiten und nicht den ganzen Baum durcheinanderbringen. Das ist ein Edge-Port (bei Cisco PortFast). Genau solche Ports sind aber auch das Einfallstor für versehentlich oder böswillig eingesteckte Switches. Dagegen gibt es einen Satz Schutzfunktionen:
Zugangsport härten und Root schützen (Cisco IOS-Stil)
! Endgeräte-Port: sofort forwarden, aber gegen fremde Switches absichern
interface GigabitEthernet0/5
switchport mode access
spanning-tree portfast
spanning-tree bpduguard enable
!
! Root Bridge bewusst festlegen und Uplink gegen Root-Übernahme schützen
spanning-tree mst 0 priority 4096
interface GigabitEthernet0/1
spanning-tree guard root| Funktion | Wirkung |
|---|---|
| BPDU Guard | schaltet einen Edge-Port ab, sobald er ein BPDU empfängt (dort gehört kein Switch hin) |
| Root Guard | weist einen Port ab, der sich mit besserer Priorität als Root ausgibt, schützt die gewählte Root Bridge |
| Loop Guard | verhindert, dass ein Port bei plötzlich ausbleibenden BPDUs fälschlich auf Forwarding geht |
| BPDU Filter | unterdrückt BPDUs auf einem Port; mit Vorsicht, da falsch gesetzt Schleifen entstehen können |
6. MSTP: ein Baum je VLAN-Gruppe
Klassisches STP und RSTP bilden genau einen Baum für alle VLANs. Damit liegen blockierte Links für jeden Verkehr brach. MSTP (ursprünglich IEEE 802.1s) erlaubt mehrere Spanning-Tree-Instanzen: VLAN-Gruppe A nutzt Pfad X, Gruppe B Pfad Y, sodass beide Uplinks tragen.
Switches gehören dann derselben Region an, wenn drei Dinge bitgenau übereinstimmen: Konfigurationsname, Revisionsnummer und die Zuordnung von VLANs zu Instanzen (im BPDU als Prüfsumme übertragen). Pro Region sind bis zu 64 Instanzen möglich; nach außen erscheint eine ganze Region als eine virtuelle Bridge im gemeinsamen Baum.
Cisco-Sonderwege
PVST+ und Rapid PVST+ sind Cisco-proprietäre Per-VLAN-Verfahren und nicht IEEE-standardisiert. Im Mischbetrieb mit Geräten anderer Hersteller braucht es Sorgfalt, im Zweifel das herstellerneutrale MSTP.
7. Topologieänderung und MAC-Flush
Ändert sich die Topologie, müssen die Switches ihre veralteten MAC-Einträge loswerden, sonst läuft Verkehr ins Leere. Klassisches STP meldet das per Topology Change Notification Richtung Root und verkürzt die MAC-Alterung auf 15 Sekunden. RSTP arbeitet direkter: Es setzt das Topology-Change-Bit in den regulären BPDUs und leert die betroffenen MAC-Tabellen sofort, was die Umschaltung spürbar beschleunigt.
8. Stärken und Grenzen
| Stärken | Grenzen |
|---|---|
| Automatischer Schleifenschutz ohne manuelles Eingreifen | Klassisches STP konvergiert mit bis zu 50 s zu langsam |
| Herstellerneutral standardisiert, in jedem Managed Switch | Blockierte Links sind ungenutzte Bandbreite |
| RSTP konvergiert auf Punkt-zu-Punkt-Links unter 1 s | Mischbetrieb mit klassischem STP fällt auf Timer zurück |
| MSTP verteilt VLAN-Gruppen auf getrennte Bäume | PVST+ und Rapid PVST+ sind proprietär (Interop-Aufwand) |
| BPDU Guard und Root Guard härten die Topologie | Im modernen RZ durch LAG/MLAG oder geroutete Fabric verdrängt |
9. Typische Fehler in der Praxis
- Root Bridge dem Zufall überlassen ohne gesetzte Priorität wird die niedrigste MAC zur Wurzel, oft das falsche Gerät.
- Kein BPDU Guard auf Edge-Ports ein eingesteckter Fremdswitch kann die Topologie oder die Root-Rolle übernehmen.
- Noch klassisches STP fahren die 50-Sekunden-Konvergenz ist heute nicht mehr akzeptabel; RSTP oder MSTP nutzen.
- BPDU Filter falsch einsetzen auf dem falschen Port unterdrückt er den Schleifenschutz und erzeugt genau das Problem, das STP verhindern soll.
- Blockierte Links als Bandbreite einplanen Reservepfade tragen nichts; wer beide Uplinks nutzen will, braucht LAG/MLAG oder Routing.
Häufige Fragen zu STP / RSTP / MSTP
Klassisches STP wartet feste Timer ab (bis zu 50 Sekunden aus Max Age und zweimal Forward Delay). RSTP ersetzt dieses Warten auf Punkt-zu-Punkt-Links durch einen Proposal/Agreement-Handshake und hält mit dem Alternate Port einen sofort einsatzbereiten Reserveweg vor, sodass die Umschaltung in der Regel unter einer Sekunde liegt.
BPDU Guard schützt Zugangsports, die als Edge-Port (PortFast) konfiguriert sind. Empfängt ein solcher Port ein BPDU, gehört dort ein Switch hin, wo nur ein Endgerät sein sollte. BPDU Guard schaltet den Port dann sofort ab und verhindert so, dass ein fremder Switch die Spanning-Tree-Topologie verändert oder die Root-Rolle an sich zieht.
Auch der Autor ist nur ein Mensch, dem Fehler unterlaufen können. Wenn in diesem Beitrag etwas nicht stimmt oder unklar ist, freuen wir uns über einen kurzen Hinweis über das Kontaktformular unten, wir prüfen und korrigieren das.
Der nächste Schritt
STP / RSTP / MSTP im eigenen Haus richtig einsetzen?
Wir klären, ob und wie der Baustein zu Ihrer Infrastruktur passt, und sagen offen, wann sich der Aufwand lohnt und wann nicht.