こんにちは。ネットワークの深淵へようこそ。シニアネットワークエンジニアの私だ。
普段、Web APIの設計やクラウドネイティブなインフラ構築に奔走しているエンジニアの君たちなら、「L2ループ」という言葉を聞いて背筋が凍った経験が一度はあるはずだ。あるいは、誰かが冗談半分（あるいは悪意なく）で持ち込んだ古い安価なスイッチを会社のフロアスイッチに接続した瞬間、ネットワーク全体が秒速で沈黙し、Slackが悲鳴の通知で埋め尽くされたあの悪夢を覚えているかもしれない。
STP（Spanning Tree Protocol）は、そんなループから私たちのネットワークを救う神聖なるプロトコルだ。しかし、このSTP、デフォルトの挙動のままでは「あまりにも性善説に基づきすぎて」いる。
今回は、レイヤー2の平和を脅かす「勝手にルートブリッジになりたがるおじさんスイッチ」を秒速で無力化する、Cisco発の強力な防衛機構 「Root Guard（ルートガード）」 について、プロトコルの魂の深部まで潜り込んで解説しよう。
—
1. なぜRoot Guardが必要なのか？：STPの性善説という脆弱性
STPの基本思想はシンプルだ。ネットワーク全体の頂点に立つ「ルートブリッジ」を1台決め、そこからの最短経路を計算してループを断つ。このとき、どのスイッチがルートブリッジになるかは、各スイッチが持つBridge Priority（プライオリティ）とMACアドレスの組み合わせ（Bridge ID）の「小ささ」で自動的に決まる。
ここで考えてみてほしい。もし、あなたの管理外の誰かが、プライオリティを 0（最高優先度）に設定した中古の高性能スイッチを、アクセスポートに適当にぶっ刺したらどうなるか？
ネットワーク全体がこう叫ぶ。
*「おい、あっちの方が圧倒的に優秀なルートブリッジが現れたぞ！ トポロジを再計算してパスをそっちに向けろ！」*
結果、トラフィックのフローが激変し、本来通るべきではないエッジポートにメインのバックボーンが流れ込み、ネットワークは一瞬で崩壊する。悪意ある攻撃者が意図的に仕掛けることもあれば、無知なアルバイトが自宅から持ってきたルーターを社内LANに繋いだだけでこれが起きる。
この「予期せぬ優位なBPDU（Bridge Protocol Data Unit）」の流入を防ぐ盾こそが、Root Guardだ。
—
2. Root Guardの仕様とステート遷移：何が起きているのか
Root Guardの挙動は非常にエレガントかつハードボイルドだ。
標準的なSTPの仕組みでは、ポートが「指定ポート（Designated Port）」として動作しているとき、自分よりも優れた（優先度の高い）BPDUを受信すると、そのポートは自身のロールを「ルートポート（Root Port）」に変更し、トポロジの収束を受け入れる。
しかし、そのポートに spanning-tree guard root が設定されていると、話は別だ。
通信フロー（ステート遷移）の裏側
1. 通常時:
指定ポートから通常の構成BPDUを下流に向けて送信し続ける。
2. 事件発生:
下流のデバイスから、現在のルートブリッジよりも優先度の高いBPDUを受信する。
3. 即座の防衛発動（Root-Inconsistent）:
Root Guardはトポロジの変更を受け入れるのではなく、そのポートを即座に root-inconsistent（ルート矛盾）状態に落とす。
4. トラフィックの遮断:
root-inconsistent状態になったポートは、データトラフィックの送受信を完全に停止する。もちろん、BPDUの送信も止める（受信は監視し続ける）。
5. 自動復旧（Self-Healing）:
優位なBPDUの送信が止まり、一定期間（Max Ageタイマー満了など）が経過すると、Root Guardは自動的にポートを通常のリスニング／ラーニング状態に戻し、通信を再開させる。管理者が手動で clear コマンドを打つ必要すらない。
—
3. 実務での設定例：Cisco IOSでの実装
百聞は一見に如かず。実際のスイッチ設定を見てみよう。
Root Guardは、原則として「正当なルートブリッジへのパスにつながるべきではないポート（＝アクセスポート、あるいは外部組織やテナントと接続するトランクポート）」の指定ポート側に設定する。
[コア・ディストリビューション層スイッチ]
(指定ポート: Root Guard推奨)
|
v
[エッジ / ユーザーフロア]以下の設定は、Cisco Catalystスイッチにおける設定例だ。
! ==========================================
! ルートガード設定サンプル (Cisco IOS)
! ==========================================
enable
configure terminal
! 対象のインターフェースコンフィギュレーションモードへ移行
! ここでは外部の別組織（あるいは一般フロア）へ接続しているトランクポートを想定
interface GigabitEthernet 0/1
description === Connection to Untrusted Access Switch ===
switchport mode trunk
switchport trunk allowed vlan 10,20,30
! 【核心】ここでRoot Guardを有効化する
spanning-tree guard root
! ついでにBPDU Guardも有効にしておくと、そもそもBPDU自体を喋る変な端末の接続を弾ける
spanning-tree bpduguard enable
end
! 設定の保存
write memoryパラメーターの意味と注意点
spanning-tree guard root: 指定されたポート上で、自身より優れたBPDUを受信した際にポートをroot-inconsistentに落とす。- 適用場所の注意: 冗長化されたスイッチ間（アップリンクなど、双方がルートの候補になり得る場所）にこれを設定すると、双方向でルートガードが誤動作してトラフィックが永久に流れない「片方向ブロック地獄」に陥るので、絶対にエンドデバイスや外部接続ポート（アクセス/エッジ）にのみ設定すること。
—
4. 障害・トラブルシューティング：現場でどう気付き、どう解決するか？
ネットワーク運用において、Root Guardが発動したときは「何か異常な機器が物理的に接続された」瞬間だ。ログの監視と迅速な切り分けが求められる。
Syslogの確認
Root Guardが発動すると、スイッチのログ（あるいはSyslogサーバー）には以下のようなメッセージが出力される。
%SPANTREE-2-ROOTGUARD_BLOCK: Port Gi0/1 inconsistent on VLAN0010.このログが出たら、GigabitEthernet 0/1 の先で何が起きているかを調査する必要がある。
状態確認コマンド
現在、どのポートがルートガードによってブロックされているかは、以下のコマンドで一発で特定できる。
Switch# show spanning-tree inconsistentports
Name Interface Pleased State
-------------------- ----------------- ------------------
VLAN0010 Gi0/1 Root-Inconsistent
VLAN0020 Gi0/1 Root-Inconsistent
Number of inconsistent ports(vlan) in the system : 2このコマンドで Root-Inconsistent と表示されているポートを見つけたら、物理的な配線図を確認し、「なぜこのポートに優位なBPDUを流すアホな機器があるのか」を現地調査（またはポートのシャットダウン）すればよい。
—
5. Pythonによる自動化監視のアイデア（応用編）
モダンなインフラストラクチャーでは、Syslogを待つだけでなく、APIやSSH経由でネットワーク機器の状態をポーリングし、セキュリティインシデント（勝手なスイッチの接続）を検知してChatOps（SlackやTeamsへの通知）と連携させることが求められる。
以下に、Paramikoライブラリを用いてCiscoスイッチにSSH接続し、show spanning-tree inconsistentports の出力をパースして、不正接続を検知するPythonスクリプトの骨子を示す。
import paramiko
import time
import sys
def check_root_guard_violations(hostname, username, password):
"""
CiscoスイッチにSSH接続し、Root Guardによるブロックポート（Inconsistent ports）を検査する
"""
ssh = paramiko.SSHClient()
ssh.set_missing_host_key_policy(paramiko.AutoAddPolicy())
try:
print(f"Connecting to {hostname}...")
ssh.connect(hostname, username=username, password=password, timeout=10)
# コマンドの実行
command = "show spanning-tree inconsistentports"
stdin, stdout, stderr = ssh.exec_command(command)
output = stdout.read().decode('utf-8')
# 結果の解析
if "Root-Inconsistent" in output:
print(⚠️ 【アラート】Root Guardによるブロックポートを検知しました！)
print(output)
# ここにSlack Webhook等で通知するコードを挟むと実用的
return True
else:
print("✅ 正常: Root Guardのブロックポートはありません。")
return False
except Exception as e:
print(f"❌ 接続エラー: {e}", file=sys.stderr)
return False
finally:
ssh.close()
if __name__ == "__main__":
# 実環境では環境変数や安全な秘密情報管理システムから取得すること
SWITCH_IP = "192.168.1.1"
USER = "admin"
PASS = "secure_password"
check_root_guard_violations(SWITCH_IP, USER, PASS)このようなスクリプトをCronやAirflowなどで定期実行（あるいはWebhookトリガー）しておけば、深夜の障害対応に怯える日々から解放される。
—
結びにかえて
Root Guardは、派手な機能ではない。しかし、レイヤー2の足元を固める「最も信頼できる防壁」の一つだ。
ネットワークの世界は、目に見えないパケットが緻密なルールに従って飛び交う美しい宇宙であると同時に、現場の「うっかり」や「悪意」によって一瞬で崩壊する脆い砂上の楼閣でもある。
仕様の本質を理解し、適切な場所に適切なガードを仕掛けること――それこそが、私たちインフラエンジニアのプライドであり、腕の見せ所だと言えるだろう。
さあ、今日も堅牢で美しいネットワークを組み上げよう。
コメント