Spanning Tree Loop Guard

STP Loop guard menyediakan proteksi tambahan pada layer 2 forwarding loops (STP loops). STP Loops di create ketika STP blocking port dalam redundancy topology terjadi kesalahan transisi ke forwarding state. Hal ini biasa terjadi karena salah satu port dari physical redundant topology tidak lagi menerima STP BPDU. Pada operasinya, STP mempercayakan kelangsungan penerimaan dan pengiriman BPDU berdasarkan state pada exsisting port. Designated port mengirim BPDU dan non designated port menerima BPDU.

Ketika salah satu port dari physical redundant topology tidak lagi menerima STP BPD, STP memahami bahwa topology tersebut adalah Loop free. Akhirnya blocking port pada alternate state atau backup port berubah menjadi designated dan state menjadi forwarding. Situasi ini men-create loop.

Feature pada loop guard akan membuat pengecekan tambahan jika terjadi situasi seperti di atas. Jika BPDU tidak diterima pada non designated port, dan pada saat bersamaan loop guard di-enable, port tersebut akan menjadi STP loop-inconsistent blocking state (tidak menjadi listening, learning atau forwarding state). Tanpa loop guard feature, port tersebut mengasumsikan menjadi designated port, kemudian menjadi forwarding state dan mengakibatkan loop.

Ketika loop guard mem-blok inconsistent port, message berikut akan muncul :

%SPANTREE-2-LOOPGUARD_BLOCK: Loop guard blocking port FastEthernet0/24 on VLAN0050.

Ketika BPDU diterima pada port dengan status loop-inconsistent STP, port tersebut akan bertransisi menjadi status STP yang lain. Berdasarkan penerimaan BPDU, hal ini berarti recovery dilakukan secara otomatis dan tidak diperlukan intervensi apa pun untuk melakukan recovery. Setelah recovery, akan muncul message berikut :

%SPANTREE-2-LOOPGUARD_UNBLOCK: Loop guard unblocking port

FastEthernet0/24 on VLAN0050.

Perhatikan contoh berikut sebagai ilustrasi penjelasan di atas :

Switch A adalah root switch. Switch C tidak menerima BPDU dari switch B karena adanya link searah antara switch B dan switch C yang mengalami failure.

Tanpa penggunaan feature loop guard, blocking port pada switch C akan transisi menjadi listening ketika max age timer expires, dan kemudian menjadi forwarding state dalam 2 kali forward delay time. Situasi ini menyebabkan loop.

Dengan feature loop guard di enable, blocking port pada switch C berubah menjadi STP loop-inconsistent state ketika max age timer expires. Port dalam status STP loop-inconsistent tidak dapat mem-forward traffic, sehingga tidak terjadi loop. Secara umum, loop-inconsistent state adalah sama dengan blocking state.

Configuration

Feature loop guard di enable pada port interface. Namun, sepanjang terjadi block pada level STP, loop guard dapat memblock inconsistent port per-VLAN (karena per-VLAN STP). Oleh sebab itu, jika BPDU tidak diterima pada port trunk untuk sebagian VLAN, hanya sebagian VLAN tersebut saja yang di block (bertransisi menjadi loop-inconsistent STP state). Untuk alasan yang sama, jika di-enable pada interface etherchannel, seluruh channel akan ter-block untuk sebagian VLAN, tidak  hanya satu link (karena etherchannel dianggap sebagai logical port dari sudut pandang STP).

Pada port yang bagaimana loop guard seharusnya di-enable? Jawaban yang paling sering didengar adalah pada blocking port. Namun, hal ini tidak sepenuhnya benar. Loop guard harus di-enable pada non designated port (lebih tepatnya pada root dan alternative port) untuk semua kombinasi kemungkinan dari topology aktif. Sepanjang loop guard bukan untuk per-VLAN, port yang sama mungkin designated untuk satu VLAN ada non designated untuk VLAN lainnya.

Perhatikan contoh :

Secara default, loop guard disable untuk semua interface. Berikut command yang digunakan

untuk mengaktifkan loop guard : 

spanning-tree guard loop 

Switch(config)#interface gigabitEthernet 1/1

Switch(config-if)#spanning-tree guard loop

Pada Catalyst software versi 7.1 (1), loop guard dapat di enable pada global config. Efektifnya, loop guard sebaiknya di-enable pada semua link point to point. Link point to pint di deteksi dengan duplex status link tersebut. Jika duplex yang digunakan adalah full duplex, link umumnya adalah point to point. Hal ini tetap memungkinkan untuk mengkonfigurasi, atau override pada tiap-tiap port.

Command berikut untuk enable loop guard pada global config :

Router(config)#spanning-tree loopguard default

Command untuk verifikasi loop guard : show spanning-tree  

Router#show spanning-tree summary

Switch is in pvst mode

Root bridge for: none

EtherChannel misconfig guard is enabled

Extended system ID           is disabled

Portfast Default             is disabled

PortFast BPDU Guard Default  is disabled

Portfast BPDU Filter Default is disabled

Loopguard Default            is enabled

UplinkFast                   is disabled

BackboneFast                 is disabled

Pathcost method used         is short

Name         Blocking Listening Learning Forwarding STP Active

------------ -------- --------- -------- ---------- ----------

Total              0         0        0          0          0

Loop guard vs UDLD

Loop guard dan UDLD (unidirectional Link Detection = Deteksi link searah) secara tujuan saling overlap, keduanya sebagian besar bertujuan untuk memproteksi dari STP failures yang disebabkan oleh unidirectional (searah) link. Namun kedua feature ini berbeda dari segi fungsi dan bagaimana keduanya mendekati dan menyelesaikan masalah. Berikut table perbedaan keduanya :

Kemampuan operasi Loop guard dengan feature STP lainnya

Root Guard

Root guard adalah sama-sama exclusive dengan loop guard. Root guard digunakan pada designated port dan root guard tidak mengijinkan port tersebut untuk menjadi non designated port. Loop guard bekerja pada non designated port dan tidak mengijinkan port tersebut menjadi designated port setelah max age time expires. Root guard tidak dapat di-enable-kan pada port sama dengan loop guard. Ketika loop guard dikonfigurasi pada sebuah port, maka otomatis root guard yang pada port yang sama akan disable.

Uplink Fast and Backbone Fast

Baik uplink fast dan backbone fast adalah transparan dari loop guard. Ketika max age time di skip oleh backbone fast pada saat reconvergence, dia tidak akan men-trigger loop guard.

Portfast dan BPDU guard dan Dynamic VLAN

Loop guard tidak dapat di-enable pada port dimana portfast diaktifkan. Karena BPDU guard bekerja pada port yang mengaktifkan feature portfast (beberapa larangan berlaku pada BPDU guard).

Loop guard juga tidak dapat diaktifkan pada port dynamic VLAN karena port ini memiliki portfast yang aktif.

Memahami Root Guard pada Switch

Feature Root guard untuk memastikan bahwa port dimana root guard tersebut diaktifkan tetap menjadi designated port. Secara normal, semua port pada Root switch adalah designated port, kecuali jika dua atau lebih port dari root switch dikonek-kan bersama. Jika switch menerima superior STP BPDU (superior artinya, parameter priority maupun mac address switch lebih baik dibanding root switch) pada port yang dikonfigurasi root guard, maka root guard akan memindahkan port tsb ke root-inconsistent STP state. Root-inconsistent STP state ini sejatinya sama dengan listening state. Tidak ada trafik yg di forward keluar port ini. Dengan cara ini, root guard memaksa agar root switch tetap menjadi root bridge.

Syarat agar sebuah switch menjadi root switch adalah memiliki bridge ID terbaik. Dalam hal ini switch tersebut memiliki priority rendah dan atau memiliki mac address paling kecil. Jadi Pada dasarnya seorang administrator network dapat menentukan switch mana yang akan menjadi root dengan mengkonfigurasi switch tersebut dengan priority 0. Namun tidak ada jaminan bahwa switch tersebut selamanya akan menjadi root.

Sebagai refresh ingatan, bahwa switch yg menjadi root bridge akan melakukan share vlan databasenya pada switch lain jika VTP diaktifkan.

Contoh berikut menunjukkan bagaimana root bridge menyebabkan masalah dalam jaringan dan bagaimana root guard “menolongnya”.

Gambar di atas menunjukkan Switch A dan switch B adalah core network. Switch A adalah root bridge untuk VLAN. Switch C adalah switch Access . Link antara B dan C status blocking pada port di switch C. Arah panah menunjukkan arah dari STP BPDU flow.

Gambar di atas menunjukkan bahwa switch D mulai berpartisipasi dalam STP.  Jika priority switch D lebih rendah daripada root switch existing, maka switch D akan dipilih sebagai root switch untuk VLAN. Jika link antara switch A dan B adalah 1 Gb dan link antara A dan C serta B dan C adalah 100 Mbps, maka pemilihan switch D sebagai menyebabkan link yang terkoneksi menggunakan Gb Ethernet menjadi block. Status block ini menyebabkan semua data pada VLAN akan melalui 100 Mbps link menuju ke Access switch.

Feature root guard dapat memproteksi jaringan untuk menghadapi issue tersebut.

Konfigurasi root guard dapat dilakukan per port. Root guard tidak mengijinkan port menjadi root port, jadi port tersebut tetap dan akan selalu menjadi Designated port. Jika BPDU yang diterima port ini lebih baik dari BPDU miliknya, maka root guard akan tetap memastikan bahwa port tersebut tetap akan menjadi designated, root guard akan menjadikan port tersebut sebagai port-inconsistent STP state.

Pada gambar kedua di atas, Switch C mem-blok port yang terkonek ke switch D, setelah switch menerima superior BPDU. Root guard menempatkan port tsb pada root-inconsistent STP state. Tidak ada traffic yang melewati port ini dengan status tsb. Setelah switch D berhenti mengirimkan superior BPDU, port akan unblock lagi. Via STP, port akan berubah dari listening menjadi learning state, dan akhirnya akan menjadi forwarding state.

Lalu, apa beda antara STP BPDU Guard dan STP Root Guard ?

BPDU guard dan root guard adalah sama, tetapi impact nya berbeda. BPDU guard mendisabel port pada penerimaan BPDU jika Portfast di enable pada port tersebut. Pen-disable-an secara effektif men-deny switch-switch dibelakang port tersebut untuk berpartisipasi dalam STP. Untuk mengkatifkan port yang berstatus errdisable, harus dilakukan secara manual atau dapat melakukan configurasi errdisable-timeout.

Root guard mengijinkan switch lain berpartisipasi pada STP sepanjang switch tersebut tidak mencoba menjadi root. Jika root guard mem-block sebuah port, kemudian akan recovery secara otomatis.  Recovery terjadi sesaat setelah switch lain berhenti mengirim superior BPDU.

Sumber ilmu : Cisco Document