ROOT_GUARD_BLOCK Сетевое оборудование и VPN

Устранение ошибки блокировки порта STP Root Guard (Superior BPDU)

Обновлено: 25.08.2026 · Официальная документация ↗

Интерфейс переходит в состояние ROOT_Inc (Root Inconsistent) и блокирует передачу пользовательских данных.
В системном журнале фиксируется ошибка: %SPANTREE-2-ROOTGUARDBLOCK: Root guard blocking port GigabitEthernet1/0/5 on VLAN0020.
Потеря связности с сетевым сегментом, подключенным за заблокированным интерфейсом.
Команда show spanning-tree inconsistentports отображает заблокированные порты.

1. Просмотр портов в несогласованном состоянии

show spanning-tree inconsistentports

2. Анализ входящих пакетов BPDU на заблокированном порту

Определите устройство, транслирующее Superior BPDU (Bridge с более низким Bridge ID):

show spanning-tree interface GigabitEthernet1/0/5 detail

В выводе найдите параметры: designated bridge, priority и MAC-адрес отправителя.

3. Устранение причины на стороне подключенного коммутатора

Подключитесь к стороннему/новому коммутатору и повысьте его приоритет STP, чтобы он не претендовал на роль Root Bridge:

conf t
spanning-tree vlan 1-4094 priority 32768

4. Автоматическое восстановление порта

После устранения источника Superior BPDU порт автоматически выйдет из состояния блокировки через стандартный таймер (Forward Delay):

show spanning-tree interface GigabitEthernet1/0/5

💡 Практика специалистов: Никогда не совмещайте Root Guard и Loop Guard на одном и том же физическом интерфейсе. Root Guard допустим только на Designated портах, а Loop Guard предназначен исключительно для Root и Alternate/Backup портов.

Частые вопросы (FAQ)

Где архитектурно корректно включать механизм STP Root Guard?

Root Guard следует включать на всех граничных назначенных (Designated) портах ядра и уровня агрегации, которые смотрят в сторону коммутаторов уровня доступа или клиентских сегментов.

Требуется ли вручную делать shutdown / no shutdown для разблокировки порта?

Нет, Root Guard динамически восстанавливает порт. Как только устройство за портом перестает генерировать Superior BPDU, интерфейс переходит через Listening/Learning в Forwarding.

Чем отличается Superior BPDU от Inferior BPDU?

Superior BPDU содержит лучшую информацию о корневом мосте (меньший Root Bridge ID или меньший Root Path Cost). Inferior BPDU несет информацию о худшем корне и игнорируется либо вызывает передачу ответа от текущего моста.

Можно ли включать Root Guard на Root Port или Alternate Port?

Нет. Включение Root Guard на Root Port приведет к блокировке собственного аплинка коммутатора, если от вышестоящего ядра придет легитимный BPDU.