Ağ Anahtarlarında (Switch) ‘Broadcast Storm’ (Yayın Fırtınası) Nedir ve Nasıl Engellenir? Loop Protection Eğitimi

Bir Ağ Kablosunun İki Ucunu Yanlış Yere Takmanın Bedeli

Kurumsal ofislerde, fabrikalarda, otellerde ve çağrı merkezlerinde bilişim sistemlerinin başına gelebilecek en ani ve yıkıcı yerel ağ felaketi Yayın Fırtınasıdır (Broadcast Storm). Hiçbir siber saldırı veya virüs olmaksızın, bir temizlik personelinin masayı çekerken boşta duran bir Ethernet kablosunun iki ucunu da duvardaki prizlere takması veya switch üzerindeki iki portu birbiriyle köprülemesi (Ağ Döngüsü – Network Loop) saniyeler içinde tüm şirketin internetini, IP telefonlarını, sunucu erişimini ve kameralarını tamamen kilitler. Switch üzerindeki tüm aktivite LED ışıkları delice, aynı anda ve kesintisiz şekilde yanıp sönmeye başlar; ağdaki veri trafiği %100 kapasiteye fırlar.

Yayın Fırtınasının Matematiksel ve Donanımsal Mantığı

Ethernet anahtarları (Switch), hedef MAC adresini bilmediği bir yayın paketini (Broadcast – Örn: ARP isteği FF:FF:FF:FF:FF:FF) aldığı port hariç tüm portlarına kopyalayarak iletir:

1. Ağda bir döngü (Loop) oluştuğunda, Port 1’den çıkan broadcast paketi Port 2’den tekrar switchin içine girer.
2. Switch aynı paketi alır, çoğaltır ve tekrar tüm portlara basar.
3. Paketler ağda yok olmadan katlanarak döner: 1 paket -> 2 paket -> 4 paket -> saniyede 500.000 pakete ulaşır.
4. Switchin merkezi işlemcisi (CPU) %100’e kilitlenir; meşru hiçbir veri paketi (örneğin muhasebe sorgusu veya ses paketi) kuyruğa giremez ve ağ tamamen ölür.

1. Kesin Donanımsal Koruma: Spanning Tree Protocol (STP / RSTP)

Yönetilmeyen (Unmanaged) basit switchler döngüyü engelleyemez. Kurumsal yönetilebilir switchlerde Rapid Spanning Tree Protocol (RSTP – IEEE 802.1w) global olarak açık tutulmalıdır:

Switch CLI Yapılandırması:
spanning-tree mode rstp
spanning-tree enable
spanning-tree portfast default
spanning-tree portfast bpduguard default

BPDU Guard Teknolojisi: Kullanıcıların bilgisayarlarını taktığı uç portlara (Edge Ports) BPDU Guard atanır. Bir personel o porta döngü yapan bir kablo veya yetkisiz ikinci bir switch bağladığı anda, switch o porttan gelen BPDU paketini algılar ve portu milisaniyeler içinde elektriksel olarak kapatır (Err-Disable Modu). Şirket ağının geri kalanı bu döngüden tek bir milisaniye bile etkilenmez.

2. Loop Protection / Loopback Detection (LBD) Özelliği

STP protokolünün çalışmadığı veya karmaşık ağlarda, switchlerin kendi özel Loopback Detection mekanizması devreye alınmalıdır. Switch her porttan dışarıya periyodik olarak özel bir sihirli paket (Magic Packet) fırlatır. Eğer switch kendi fırlattığı paketi birkaç port sonra tekrar kendi üzerinde geri yakalarsa, arada bir döngü olduğunu anlar ve döngüye sebep olan porta anında blokaj koyarak sistem yöneticisine alarm üretir.

3. Fırtına Kontrolü (Storm Control) ile Trafik Sınırlandırma

Ağda arıza anında dahi hayati servislerin (VoIP, DNS) ayakta kalabilmesi için port bazında yayın sınırlaması konulmalıdır:

interface range gigabitEthernet 1/0/1-48
 storm-control broadcast level 5.00
 storm-control action shutdown

Bu kural, bir porttaki broadcast paket yoğunluğu toplam port kapasitesinin %5’ini aştığı anda fırtınayı algılar ve portu kapatır; fırtınanın ana omurgaya sıçramasını engeller.

Kurumsal yerel ağlarda STP/RSTP konfigürasyonu, Layer 2 döngü engelleme denetimleri ve yönetilebilir switch altyapı projeleri için BaykalSoft Kurumsal Network Mühendisliği birimimizle iletişime geçebilirsiniz.