%SPANTREE-2-BLOCK_BPDUGUARD Сетевое оборудование и VPN

Cisco Syslog %SPANTREE-2-BLOCK_BPDUGUARD: Received BPDU on port with BPDU Guard

Обновлено: 24.08.2026 · Официальная документация ↗

В логах фиксируется ошибка: %SPANTREE-2-BLOCK_BPDUGUARD: Received BPDU on port Gi1/0/5 with BPDU Guard enabled. Disabling port.
Интерфейс мгновенно переходит в статус down/down (err-disabled).
Пользователь затронутого порта теряет доступ к локальной сети и корпоративным сервисам.
Светодиодный индикатор порта на передней панели коммутатора горит постоянным оранжевым цветом.

1. Причина срабатывания BPDU Guard

Функция BPDU Guard защищает граничные порты доступа (Edge Ports), на которых включен режим spanning-tree portfast. Если в такой порт подключается сторонний коммутатор, неуправляемый хаб, роутер со включенным STP или гипервизор, порт получает кадр BPDU и немедленно выключается в состояние err-disable для предотвращения перестроения топологии Spanning Tree.

2. Проверка статуса err-disabled на коммутаторе

Switch# show interfaces status err-disabled

Port      Name           Status       Reason          Err-disabled Vlans
Fa0/5     User_Workplace err-disabled bpduguard

3. Локализация источника BPDU пакетов

# Проверка MAC-адресов, зафиксированных на порту перед отключением
Switch# show mac address-table interface FastEthernet0/5

Определите устройство на рабочем месте: чаще всего это несанкционированно установленный пользователем домашний роутер (TP-Link, D-Link, MikroTik) или запущенная виртуальная машина с сетевым мостом (Bridge Mode).

4. Ручное восстановление порта

Switch# configure terminal
Switch(config)# interface FastEthernet0/5
Switch(config-if)# shutdown
Switch(config-if)# no shutdown
Switch(config-if)# end

5. Настройка автоматического восстановления (Errdisable Recovery)

Чтобы коммутатор автоматически восстанавливал порт после устранения источника BPDU без участия администратора:

Switch(config)# errdisable recovery cause bpduguard
Switch(config)# errdisable recovery interval 300
Switch(config)# end

💡 Практика специалистов: Всегда комбинируйте 'spanning-tree portfast' и 'spanning-tree bpduguard enable' на всех абонентских портах (Access). Для серверов с несколькими сетевыми адаптерами используйте PortFast Network / LACP вместо стандартного Edge PortFast.

Частые вопросы (FAQ)

Чем отличается BPDU Guard от BPDU Filter?

BPDU Guard блокирует и выключает порт (err-disable) при получении любого BPDU. BPDU Filter просто игнорирует и отфильтровывает входящие/исходящие BPDU, что крайне опасно, так как может привести к незамеченному образованию физической петли.

Почему нельзя отключать BPDU Guard на портах пользователей?

Без BPDU Guard случайное замыкание патч-корда в два соседних настенных порта розетки или подключение хаба вызовет широковещательный шторм (Broadcast Storm) и парализует работу всего широковещательного домена коммутатора.

Как подключить ESXi хост или сервер виртуализации без срабатывания BPDU Guard?

Порты серверов виртуализации должны настраиваться как транковые (Trunk) с отключенным PortFast Edge и BPDU Guard, либо на стороне виртуального свитча (vSwitch) должен быть отключен режим генерации BPDU.

Что означает настройка 'spanning-tree portfast bpduguard default'?

Это глобальная команда, которая автоматически активирует защиту BPDU Guard на абсолютно всех портах коммутатора, где включен режим Spanning-Tree PortFast.