Spanning Tree Protocol: come evitare i loop di rete

Un singolo cavo collegato nel punto sbagliato può saturare un'intera rete in pochi secondi. È il classico loop di livello 2: senza un meccanismo di protezione, i frame Ethernet rimbalzano all'infinito tra gli switch finché la rete non collassa. Lo Spanning Tree Protocol (STP) esiste proprio per questo.

Perché un loop L2 è così distruttivo

A differenza dell'IP, l'header Ethernet non ha un campo TTL che scala a ogni salto. Quando due switch sono collegati da più percorsi ridondanti, un frame broadcast (o con destinazione sconosciuta) viene inoltrato su tutte le porte e continua a circolare senza mai scadere. Il risultato:

• Broadcast storm: la banda si satura di traffico duplicato
• Instabilità della MAC table: lo stesso indirizzo MAC viene visto su porte diverse in continuazione, e lo switch riscrive la tabella migliaia di volte al secondo
• CPU degli switch al 100%: gli apparati smettono di rispondere anche in management

Il sintomo tipico è una rete che "muore" tutta insieme, con i LED delle porte che lampeggiano all'unisono a frequenza altissima.

Come funziona STP

STP costruisce una topologia logica ad albero, priva di cicli, sopra una topologia fisica che invece contiene percorsi ridondanti. Le porte che creerebbero un loop vengono messe in stato blocking: restano fisicamente connesse ma non inoltrano traffico dati, pronte a entrare in gioco se il percorso primario cade.

Il processo si articola in passi:

• Elezione del Root Bridge: lo switch con la Bridge ID più bassa (priorità + MAC) diventa la radice dell'albero
• Calcolo del Root Path Cost: ogni switch determina il percorso a costo minimo verso il root
• Selezione delle porte: ogni segmento ha una Root Port (verso il root) e una Designated Port; le porte rimanenti vanno in blocking

La Bridge Priority di default è 32768. È il parametro che va toccato per forzare quale switch diventa root — non lasciarlo mai al caso.

STP, RSTP, MSTP: quale usare

Lo standard originale (802.1D) è ormai obsoleto: la convergenza richiede fino a 50 secondi, un'eternità per una rete moderna.

• STP (802.1D): convergenza 30-50s, da evitare su reti nuove
• RSTP (802.1w): convergenza tipicamente sotto il secondo, retrocompatibile con STP. È lo standard di riferimento oggi
• MSTP (802.1s): mappa più VLAN su istanze spanning-tree separate, utile in reti con molte VLAN dove si vuole bilanciare il carico su link diversi

Su una rete PMI ben progettata, RSTP è la scelta corretta nella quasi totalità dei casi.

Configurazione corretta

Alcune regole pratiche che fanno la differenza tra una rete stabile e una fragile:

• Fissa il Root Bridge manualmente: assegna priorità bassa (es. 4096) allo switch core e priorità alta agli switch di accesso. Non affidarti all'elezione automatica basata sul MAC
• Abilita PortFast (edge port) sulle porte verso i client: una porta collegata a un PC o a un access point non deve attraversare gli stati listening/learning. PortFast la porta subito in forwarding, evitando 30 secondi di attesa a ogni collegamento
• Attiva BPDU Guard sulle edge port: se su una porta client arriva una BPDU (segno che qualcuno ha collegato uno switch non autorizzato), la porta va in err-disable. È la protezione principale contro i loop causati da utenti che collegano switch o cavi a caso
• Usa Root Guard sulle porte verso apparati non fidati: impedisce che uno switch esterno diventi root e stravolga la topologia

Esempio su MikroTik

Su RouterOS il bridge usa RSTP di default. I punti da verificare:

/interface bridge
set bridge1 protocol-mode=rstp priority=0x1000

/interface bridge port
# edge=yes equivale a PortFast sulle porte client
set [find interface=ether5] edge=yes

Su switch Cisco/UniFi la logica è identica: PortFast + BPDU Guard sulle porte di accesso, priorità bassa sul core.

Cosa controllare quando la rete "impazzisce"

Se sospetti un loop attivo:

• Guarda i LED: lampeggio sincrono e rapidissimo su più porte = broadcast storm
• Controlla la CPU degli switch in management (se ancora raggiungibili)
• Verifica il log per messaggi di MAC flapping o topology change frequenti
• Individua la porta con BPDU Guard in err-disable: spesso è lì che qualcuno ha collegato il cavo di troppo

Una rete progettata con RSTP configurato correttamente, PortFast e BPDU Guard resiste anche agli errori umani più banali — che restano la causa numero uno dei loop nel mondo reale.