Ağ Anahtarlarında (Switch) Broadcast Storm ve Ağ Döngüsü (Loop) Engelleme: RSTP ve BPDU Guard Kılavuzu

Tek Bir Hatalı Kablo Bağlantısının Tüm Şirket Ağını Kilitlemesi

Kurumsal yerel ağlarda (LAN) hiçbir siber saldırı veya donanım arızası olmaksızın, bir personelin masasının arkasında boşta duran bir Ethernet patch kablosunun iki ucunu da duvardaki prizlere takması veya masadaki mini switchin iki portunu birbirine bağlaması (Ağ Döngüsü – Network Loop) saniyeler içinde tüm binanın internetini, muhasebe ERP sunucularını ve IP telefon santralini tamamen kilitler. Bu fiziksel hata sonucunda ortaya çıkan Yayın Fırtınası (Broadcast Storm), switch üzerindeki tüm port aktivite LED’lerinin aynı anda ve aralıksız yanıp sönmesine yol açar; yerel ağdaki bant genişliği %100 doyuma ulaşarak iletişim tamamen durur.

Yayın Fırtınasının Matematiksel Yayılma Mekanizması

Ethernet Katman 2 (Layer 2) mimarisinde veri paketlerinin sonsuza kadar yaşamasını engelleyen bir TTL (Time to Live) mekanizması bulunmaz:

1. Ağdaki bir bilgisayar diğer bir cihazın MAC adresini öğrenmek için bir ARP yayın paketi (Broadcast – FF:FF:FF:FF:FF:FF) fırlatır.
2. Switch gelen bu yayını aldığı port hariç tüm aktif portlarına kopyalayarak basar.
3. Ağda bir döngü varsa, Port 1’den çıkan paket döngü kablosu üzerinden Port 2’den tekrar switchin içine girer.
4. Switch aynı paketi alır, çoğaltır ve sonsuz bir döngüde yeniden tüm ağa pompalar: 1 saniye içinde milyonlarca kopyalanmış sahte paket ağ trafiğini yutar.
5. Switch işlemcisi (CPU) paketleri çoğaltmaktan %100’e kilitlenir; meşru hiçbir veri paketi işlenemez ve ağ çöker.

1. Adım: Donanımsal Çözüm Olarak Rapid Spanning Tree Protocol (RSTP) Kurulumu

Yönetilemeyen (Unmanaged) plastik switchler döngüyü anlayamaz ve sistemi çökertir. Kurumsal yönetilebilir switchler üzerinde uluslararası IEEE 802.1w (RSTP) protokolü mutlaka devreye alınmalıdır:

Switch CLI Yapılandırması:
spanning-tree mode rstp
spanning-tree enable
spanning-tree priority 4096

RSTP mimarisi ağdaki tüm yedekli ve döngüsel yolları sürekli haritalandırır. Bir döngü algılandığı anda döngüye sebep olan alternatif portu mantıksal olarak Bloklama (Discarding/Blocking) moduna alarak trafiği keser; fırtınanın başlamasını donanımsal olarak engeller.

2. Adım: Kenar Portlarda BPDU Guard ile Anında Fiziksel İzolasyon

Kullanıcıların bilgisayarlarını veya yazıcılarını taktığı uç portlara (Access Ports) Spanning Tree kontrol paketleri (BPDU) gönderilmemelidir. Bu portlara BPDU Guard tanımlanmalıdır:

interface range gigabitEthernet 1/0/1-48
 spanning-tree portfast
 spanning-tree bpduguard enable

BPDU Guard aktif olan bir porta kullanıcı ikinci bir switch veya döngü yapan bir kablo taktığı anda, switch o porttan gelen yabancı BPDU paketini milisaniyeler içinde hisseder ve ilgili portu elektriksel olarak derhal kapatır (Err-Disable Modu). Şirket ağının omurgası hiçbir şekilde etkilenmez, sadece hatayı yapan kullanıcının portu kapatılarak sistem yöneticisine log üretilir.

3. Adım: Fırtına Kontrolü (Storm Control) ile Trafik Sınırlandırma

Bozuk bir ağ kartının arıza sebebiyle sürekli broadcast paketi basmasını engellemek için port bazında eşik değeri tanımlanmalıdır:

interface range gigabitEthernet 1/0/1-48
 storm-control broadcast level 5.00
 storm-control action shutdown

Bu kural ile herhangi bir porttaki broadcast paket oranı toplam bağlantı hızının %5’ini aştığı anda port otomatik kapatılır ve ağ güvenliği garanti altına alınır.

Yönetilebilir switch konfigürasyonu, Layer 2/Layer 3 ağ tasarımı, RSTP ve döngü koruma denetimlerinde BaykalSoft Ağ Altyapı Çözümleri ekibimizle çalışabilirsiniz.