【入門編】ルートガード（Root Guard）による外部スイッチからのルートハイジャック防止 – インフラ・物理＆L2/L3ネットワーク基礎実践ガイド

こんにちは！ネットワークの世界へようこそ。プロトコルの深淵を愛してやまない、当メディア主筆のネットワーク・アーキテクトです。

皆さんは「ネットワーク」と聞くと、どんなイメージを持ちますか？網の目のように繋がったケーブル、チカチカ光るリンクランプ……。実はその裏側では、スイッチたちが「誰がリーダー（ルートブリッジ）になるか？」という、さながら戦国時代のような熱い対話を繰り広げているんです。

今日は、そのリーダーの座を虎視眈々と狙う「外部からの刺客」から、私たちの平和なネットワークを守るための守護神、「ルートガード（Root Guard）」について、現場の空気感を交えながら優しく紐解いていきましょう。

—

1. ネットワーク界の王様「ルートブリッジ」の重要性

イーサネットのネットワーク（L2ネットワーク）において、ループ（ぐるぐる回る通信）を防ぐための仕組みがSTP（スパニングツリープロトコル）です。この仕組みの中で、一番偉いとされるリーダーが「ルートブリッジ」と呼ばれます。

例えるなら、ルートブリッジは「村の中央郵便局」のような存在です。
すべての荷物（パケット）の流れの基準点となり、どの道を通れば一番効率よく届けられるかを決める、道標（みちしるべ）の役割を果たしています。

もし、この「郵便局（ルートブリッジ）」が、村の端っこの使いにくい場所へ突然移転してしまったらどうなるでしょう？村中の物流は大混乱し、遠回りなルートばかりになって、荷物の到着が遅れてしまいますよね。

—

2. 招かれざる客が「王座」を奪う瞬間

では、なぜルートブリッジが勝手に変わってしまうことがあるのでしょうか？

STPの世界では、スイッチ同士がBPDU（Bridge Protocol Data Unit）という「自己紹介カード」を交換し合っています。このカードには「私の戦闘力（プライオリティ）はこれくらいです！」という情報が書かれています。

もし、あなたが管理していない「外部のスイッチ」や、誰かが勝手に持ってきた「安いスイッチ」がネットワークに繋がったとします。そのスイッチが、偶然（あるいは悪意を持って）「私こそが世界で一番偉い（プライオリティが最高に高い）！」という内容のBPDUを送り始めたら……。

素直な既存のスイッチたちは、「あ、もっと偉い人が来た！じゃあ、あなたが今日からルートブリッジ（王様）です！」と、あっさりと王座を譲り渡してしまうのです。これがルートハイジャックの恐怖です。

—

3. 鉄壁の守り「ルートガード」の仕組み

ここで登場するのが、今回の主役「ルートガード」です。

ルートガードを一言で言うなら、「傲慢な新入りを門前払いするガードマン」です。

特定のポート（例えば、外部組織との接続口や、一般ユーザーが触れるポート）にこの機能を設定しておくと、スイッチは次のように振る舞います。

1. そのポートから「私の方が偉いぞ！」というBPDUが届くのを監視します。
2. もし、今のルートブリッジよりも優位な（プライオリティが高い）BPDUを受信したら……。
3. 「おっと、その話は聞けないな。お前は王様にはなれないよ」と判断し、そのポートを一時的にRoot-Inconsistent（ルート不整合）という状態にして、通信を遮断します。

これによって、ネットワーク全体の中心地が勝手に移動してしまうのを防ぎ、平和を守り抜くことができるのです。

—

4. 実務で使える！ルートガードの設定例

それでは、実際にCiscoスイッチなどのCLI（コマンドライン）で、どのように設定するのかを見てみましょう。設定は驚くほどシンプルですが、その効果は絶大です。

設定のポイント

ルートガードは「本来、王様（ルートブリッジ）側から信号が来るはずのないポート」に設定するのが鉄則です。

! まずは、設定したいインターフェース（ポート）に入ります
! 例：外部ネットワークや、下位のスイッチが繋がっているポート
interface GigabitEthernet0/1

 ! このポートに「ルートガード」を適用します
 ! 「ここから王様候補が現れても無視するぞ」という宣言です
 spanning-tree guard root

! 設定はこれだけ！
exit

もし「事件」が起きたらどう見える？

実際に誰かが強いBPDUを送ってきた場合、スイッチのログには以下のようなメッセージが表示されます。

%SPANTREE-2-ROOTGUARD_BLOCK: Root guard blocking port GigabitEthernet0/1 on VLAN0001.

これが出たら、「お、ルートガードがちゃんと仕事をして、不正なルートの交代を防いでくれたな！」と判断できるわけです。ちなみに、その「傲慢なスイッチ」が取り外されたり、設定が修正されて「おとなしいBPDU」しか送ってこなくなれば、ポートは自動的に復旧（通信可能に）なります。なんてお利口なんでしょう！

—

5. まとめ：一歩ずつ、堅牢なインフラへ

ネットワークの世界は、目に見えないところで常に情報のやり取りが行われています。

STPは、王様（ルートブリッジ）を決めて道を整理する。
BPDUは、王様を決めるための自己紹介カード。
ルートガードは、身勝手な王様の登場を許さない門番。

このように、「誰がネットワークの主導権を握るべきか」をエンジニアが意図的にコントロールすることで、予期せぬトラブルからシステムを守ることができます。

最初は「コマンドの意味が難しいな」と感じるかもしれませんが、その一行がネットワークの平和を支える盾になります。一つひとつの仕組みを「現実世界の役割」に置き換えて考えてみると、もっとネットワークが楽しく、愛おしくなってくるはずです。

これからも、パケットが奏でるハーモニーを一緒に楽しんでいきましょう！応援していますね。