%SPANTREE-2-ROOTGUARD_CONFIG_CHANGE Сетевое оборудование и VPN

Cisco Syslog %SPANTREE-2-ROOTGUARD_CONFIG_CHANGE: Root guard blocked port

Обновлено: 24.08.2026 · Официальная документация ↗

В журнале появляется предупреждение: %SPANTREE-2-ROOTGUARD_CONFIG_CHANGE: Root guard port GigabitEthernet0/24 received superior BPDU. Disabling port in VLAN 0001.
Интерфейс переходит в специальное состояние root-inconsistent и перестает передавать клиентские данные.
Попытка стороннего или нижестоящего свитча перехватить роль корневого моста (Root Bridge) в топологии.

1. Назначение и логика работы STP Root Guard

Функция Root Guard предназначена для жесткой фиксации позиции корневого моста (Root Bridge) в сети. Она настраивается на интерфейсах, которые смотрят в сторону нижестоящих коммутаторов уровня доступа (Access/Distribution). Если через такой порт поступает пакет Superior BPDU (BPDU с меньшим Bridge Priority или лучшим MAC-адресом), Root Guard блокирует порт в статус root-inconsistent, не давая чужому коммутатору стать корнем дерева STP.

2. Проверка заблокированных портов

Switch# show spanning-tree inconsistentports

Name                 Interface              Inconsistency
-------------------- ---------------------- ------------------
VLAN0001             GigabitEthernet0/24    Root Inconsistent

Number of inconsistent ports (to maxdiscovered) : 1

3. Анализ полученных Superior BPDU пакетов

# Включение дебага для выявления параметров несанкционированного Root Bridge
Switch# debug spanning-tree bpdu receive
*Mar 12 10:14:22.115: STP: RX BPDU: bridge-id 4096.0014.f123.4567, prio 4096 (Superior to current Root!)

4. Устранение источника и правильная настройка STP Priority

Найдите подключенный коммутатор и проверьте его приоритет Spanning Tree. На оборудовании доступа приоритет должен быть выше (например, 32768 или 61440).
На основном корневом коммутаторе ядра (Core Switch) установите наивысший приоритет (наименьшее число):

# Назначение Primary Root на коммутаторе ядра:
Core-Switch(config)# spanning-tree vlan 1-4094 priority 4096
# (Или макрокомандой: spanning-tree vlan 1-4094 root primary)

5. Автоматическое восстановление работы порта

После того как на нижестоящем коммутаторе приоритет исправлен и он перестает посылать Superior BPDU, Root Guard автоматически разблокирует порт и переводит его обратно в состояние Designated Forwarding.

💡 Практика специалистов: Root Guard предотвращает перехват корня STP как при случайных ошибках монтажников (включение коммутатора с дефолтным priority 32768 в сеть с плохим дизайном), так и при целенаправленных атаках типа Man-in-the-Middle на канальном уровне.

Частые вопросы (FAQ)

На каких именно портах коммутатора следует включать Root Guard?

Root Guard настраивается на всех исходящих (downlink) Designated портах корневого коммутатора ядра и коммутаторов распределения, смотрящих в сторону клиентских свитчей доступа. Его нельзя включать на активных Uplink и Root-портах.

Переводит ли Root Guard интерфейс в состояние err-disable?

Нет. Root Guard переводит порт в состояние 'root-inconsistent' (блокировка трафика на уровне STP). Физически интерфейс остается Up/Up и автоматически возвращается в работу, как только прекращается прием superior BPDU.

Что произойдет, если включить Root Guard на Root Port коммутатора?

Порт немедленно заблокируется, так как Root Port по определению должен получать Superior BPDU от настоящего легитимного Root Bridge.

Какое значение приоритета выставлять для Secondary Root Bridge?

Рекомендуемое значение STP priority для резервного корневого коммутатора — 8192 (при значении Primary Root = 4096).