スイッチングの境界線を守る：BPDU GuardとFilterが織りなす「不可侵のL2領域」
ネットワークエンジニアの端くれとして、これまで数多の「不可解なネットワーク障害」を解剖してきた。その多くは、たった一台の「持ち込みスイッチ」から始まる。エッジポートに繋がれた安価なスイッチが、意図せずSTP（Spanning Tree Protocol）のトポロジーを書き換え、ネットワーク全体をループの奈落へ突き落とす。
今日は、そんなL2層の脆弱性を根底から断つ、BPDU GuardとBPDU Filterという、地味だが極めて強力な「境界線防衛」について深掘りしよう。
BPDU Guard：無垢なエッジポートを守る最後の砦
BPDU Guardは、本来「エンドデバイスのみが接続されるべき」アクセスポートに、スイッチが接続された瞬間にポートをerr-disable状態へ追いやる機能だ。これは単なる設定ミス防止ではない。悪意のある者が偽のルートブリッジを広告し、中間者攻撃（MitM）を仕掛けることを物理層に近いレイヤーで阻止する、極めて重要なセキュリティ要件である。
なぜパケットレベルで「死」を選択するのか
STPが稼働するスイッチは、01:80:c2:00:00:00というマルチキャストアドレス宛にBPDU（Bridge Protocol Data Unit）を流し込む。このパケットがアクセスポートで受信された時点で、その先には「STPを理解する何か」がいることが確定する。
ここで重要なのは、BPDU Guardが作動した瞬間に、スイッチがどのような挙動をとるかだ。該当ポートは即座にシャットダウンされ、データプレーンへのトラフィック転送が物理的に遮断される。これは、カーネルレベルでいえば、NICのインターフェースをダウンさせ、ルーティングテーブルからその経路を即座に抹消する行為に等しい。
Cisco Catalystにおける実装例
# インターフェースをエッジポートとして定義
interface GigabitEthernet0/1
switchport mode access
switchport access vlan 10
# PortFastを有効化（即座に転送状態へ移行させる）
spanning-tree portfast
# BPDUを受信した瞬間にポートを無効化する
spanning-tree bpduguard enable
# 復旧のために、一定時間後に自動再起動させる設定も忘れずに
errdisable recovery cause bpduguard
errdisable recovery interval 300BPDU Filter：最適化の代償とセキュリティリスク
一方、BPDU Filterは諸刃の剣だ。これを設定すると、そのポートはSTPの存在を「完全に無視」するようになる。BPDUを送らず、また受信したパケットもドロップする。
なぜこのような機能が必要なのか？ ネットワークの境界でSTPドメインを分割したい場合や、キャリアイーサネットのような環境で、顧客のスイッチと自社のスイッチ間でSTP情報をやり取りしたくないケースだ。しかし、これをアクセスポートに無闇に設定するのは、火薬庫に火を点けて歩くようなものだ。
パフォーマンスとセキュリティのトレードオフ
TCPのハンドシェイク最適化やヘッダー圧縮を語る以前に、L2の安定性がなければ話にならない。BPDU Filterを使うと、そのポートは「STPが見えない」状態になる。もし誰かがそのポートにループを形成するケーブルを差し込めば、STPの再計算は行われず、結果としてブロードキャストストームが発生し、CPUリソースはパケットのフラッディング処理で枯渇する。
RTTを短縮し、TCPウィンドウサイズをチューニングしてスループットを限界まで引き出したとしても、L2のループ一つですべてのデータは霧散する。だからこそ、アーキテクトは「どこでフィルターし、どこでガードするのか」を冷徹に判断しなければならない。
現場で役立つアーキテクチャ設計の指針
大規模なインフラを構築する際、私は以下のルールを徹底している。
1. アクセスポートには必ず spanning-tree portfast と bpduguard enable をセットで入れる。
- これを標準化しないネットワークは、いつ爆発してもおかしくない。
2. コア・ディストリビューション間にはBPDUは流すが、エッジとの境界には必ず厳格なコントロールを設ける。
3. モニタリングの自動化。
SNMP TrapやSyslogを監視し、err-disableが発生したポートを即座に特定できる体制を組むこと。特にBPDU Guardが作動した際のアラートは「セキュリティインシデント」として即時トリアージすべきだ。
結びに：プロトコルの美学
インフラエンジニアが追求すべきは、単に「繋がる」ことではなく、「意図しない挙動をシステムが自律的に排除する」という秩序の構築だ。BPDU Guardは、スイッチがネットワークの健全性を守るための「自浄作用」そのものと言える。
パケットがNICに到達し、カーネルスタックを駆け上がり、アプリケーションへと届く。そのすべての過程が、このような地味な制御の上に成り立っていることを、忘れないでほしい。ネットワークプロトコルは、常に「信頼」と「疑念」の境界線上で踊っているのだから。
コメント