ネットワークの「良心」を揺るがすな：BPDUガードでエッジを守り抜く技術
現場で働いていると、たまに「なぜこんな場所に？」と絶句するような構成に出くわすことがあります。誰かが無許可で持ち込んだ5ポートの安物スイッチ、あるいは実験中のラップトップから放たれる意図しないスパニングツリー（STP）のBPDUパケット。これらがネットワークの核心部へと到達した瞬間、待っているのは全域を巻き込む巨大なループ事故という名の地獄です。
今日は、そんな悪夢を未然に防ぐための最強の盾、「BPDUガード」について、現場の知見を交えて深掘りしていきましょう。
BPDUガード：エッジポートの最後の砦
BPDUガード（BPDU Guard）は、一言で言えば「エッジポートの純潔を守る機能」です。本来、エンドデバイス（PCやサーバー）が接続されるべきアクセスポートに対して、「お前はSTPに参加してはならない」という誓約を強制します。
標準的なIEEE 802.1Dや802.1w（RSTP）の仕様において、スイッチはBPDUを交換してトポロジーを構築しますが、エッジポート側でこれを受け取ってしまうと、ネットワークの安定性が外部のデバイスに左右されるリスクが生じます。BPDUガードを有効にすると、そのポートでBPDUを検知した瞬間、スイッチは即座にそのポートを err-disable（エラーディセーブル）状態にし、通信を物理的に遮断します。
通信フローと検知のメカニズム
通常、スイッチのポートが PortFast（RSTPであれば admin-edge-port）として設定されている場合、そのポートは最初から転送状態（Forwarding）に入ります。しかし、BPDUガードが有効なポートに誰かがスイッチを接続すると、以下のシーケンスが走ります。
1. 受信: 接続されたデバイスからBPDUが送信される。
2. 検知: スイッチのコントローラーが「エッジポートでBPDUを受信した」ことを検知。
3. 遮断: 直ちに該当ポートを err-disable に移行し、ポートのリンクを物理的に落とす（あるいは論理的に遮断する）。
4. 通知: コンソールやsyslogに「%PM-4-ERR_DISABLE: bpduguard error detected」といった悲鳴に近い警告を吐き出す。
この挙動こそが、ネットワークの「良心」を守るための挙動です。
実務で役立つ設定とデバッグ例
Cisco IOSを例にとると、設定は驚くほどシンプルです。しかし、この数行が数千台のサーバーを救うことになります。
! エッジポート（PC接続用）の設定例
interface GigabitEthernet0/1
description User-Access-Port
switchport mode access
switchport access vlan 10
spanning-tree portfast ! エッジポートとして定義
spanning-tree bpduguard enable ! ここが守りの要もしポートが死んでしまったら？
現場でよくあるのが、「ネットワーク担当者が不在の時に、ユーザーが勝手にスイッチを繋いでポートが死に、情シスに怒りの電話がかかってくる」というケースです。復旧の手順を自動化したい場合、以下の設定が有効です。
! err-disable状態から自動復旧させる設定（運用ポリシーと相談の上で！）
errdisable recovery cause bpduguard
errdisable recovery interval 300 ! 300秒後に自動再試行させるPythonで監視を自動化する：現場のエンジニアの知恵
CLIだけで監視するのは限界があります。NetmikoやNAPALMを使って、エラー状態のポートを検知するスクリプトを書いておくと、障害対応の初動が劇的に早まります。
from netmiko import ConnectHandler
# ネットワーク機器への接続設定
device = {
'device_type': 'cisco_ios',
'host': '192.168.1.1',
'username': 'admin',
'password': 'password123',
}
def check_errdisable():
with ConnectHandler(**device) as net_connect:
# err-disable状態のインターフェースを確認
output = net_connect.send_command("show interfaces status err-disabled")
if "err-disabled" in output:
print("警告: 以下のポートがエラーディセーブルです:")
print(output)
# ここでSlack通知やメール送信のロジックを組むとプロの運用
else:
print("正常: エラーディセーブルポートはありません。")
if __name__ == "__main__":
check_errdisable()最後に：なぜ「BPDUガード」が重要なのか
現代のインフラ運用において、レイヤー2のループは「見えない敵」です。Web APIのレイテンシが急激に悪化し、原因が特定できないまま数時間が過ぎた後に判明するのが「誰かのデスクの下にあったスイッチのループ」だった、という事例は後を絶ちません。
BPDUガードは、単なる設定の一つではありません。それは、あなたのネットワークに対する「管理者の意志」をハードウェアに焼き付ける行為なのです。
「繋げば繋がる」のがネットワークの良さですが、「守るべきところを守る」のがネットワークエンジニアの誇りです。ぜひ、今日からあなたの環境のアクセスポートを見直してみてください。その数行の設定が、明日、あるいは来週のあなたを巨大な障害から救うことになるはずです。
コメント