🔧 Lab Troubleshooting — STP Spanning Tree

BUG 1 SW2-Dist è root bridge per VLAN 10 — SW1-Core ha priority errata

Perché funziona: priority 1 non è un valore standard STP (deve essere multiplo di 4096). Sebbene IOS lo accetti, porta SW1 a essere root con una priority anomala che può causare comportamenti imprevisti. La priority 4096 è il valore standard raccomandato per il root bridge primario — inferiore al default 32768 degli altri switch ma conforme alle specifiche.

BUG 2 SW3 Gi1/0/1 — PortFast abilitato su porta trunk verso SW1

Perché funziona: PortFast bypassa i stati Listening e Learning di STP, portando la porta direttamente in Forwarding. Questo è sicuro su porte access verso singoli host. Su una porta trunk verso un altro switch, il bypass STP può creare loop temporanei durante la convergenza perché la porta inizia a forwardare prima che STP abbia completato il calcolo del loop-free path.

BUG 3 SW3 Fa0/1 — BPDU Guard mette in err-disabled la porta dell'IP phone

Perché funziona: BPDU Guard mette la porta in err-disabled appena riceve un BPDU. È progettato per le porte PortFast verso host che non dovrebbero mai generare BPDU. Un IP phone con switch integrato (CDP-aware) genera BPDU propri verso lo switch di accesso — comportamento normale e atteso. La soluzione è rimuovere BPDU Guard da questa porta (l'IP phone è un dispositivo affidabile, non un loop non autorizzato).

🧠 Come ragionare su un problema STP

📋 Concetti chiave — STP

show spanning-tree ← root bridge, ruolo porte (Root/Desg/Altn) show spanning-tree vlan <X> ← dettaglio per singola VLAN show spanning-tree detail ← PortFast, cost, transitions show interfaces status ← err-disabled? show interfaces <fa0/1> ← causa err-disabled show run | section spanning-tree ← priority, portfast, bpduguard errdisable recovery cause bpduguard ← auto-recovery err-disabled

🔍 Teoria — Bug 1: priority non standard

STP usa il Bridge ID (BID) per eleggere il root bridge — vince il BID più basso. Il BID è composto da priority (2 byte) + MAC address (6 byte). La priority deve essere un multiplo di 4096 (0, 4096, 8192, ..., 61440). Una priority di 1, 2 o 3 è tecnicamente accettata da IOS ma non è conforme alle specifiche IEEE 802.1D e può causare comportamenti imprevisti in ambienti misti. Il valore corretto per il root primario è 4096 (o usare il macro-comando spanning-tree vlan X root primary che imposta 24576 o il valore minimo necessario per battere gli altri switch).

🔍 Teoria — Bug 2: PortFast su porta trunk

PortFast è progettato esclusivamente per porte verso end-device (PC, stampanti, server) che non partecipano mai a STP. Quando una porta trunk con PortFast va up, inizia immediatamente a forwardare senza aspettare la convergenza STP. Se quel link crea un loop nella topologia, il loop esiste per il tempo necessario a STP per convergere — tipicamente 30 secondi, durante i quali un loop può saturare la rete. IOS mostra un warning quando si configura PortFast su una porta trunk, ma lo consente ugualmente.

🔍 Teoria — Bug 3: BPDU Guard e IP phone

Gli IP phone Cisco con switch integrato (modello CDP) possono generare BPDU verso lo switch di accesso — questo è comportamento normale e serve a partecipare al processo STP locale. BPDU Guard non distingue tra BPDU "pericolosi" (da switch non autorizzati) e BPDU "legittimi" (da IP phone). Quando abilitato su Fa0/1, BPDU Guard vede il BPDU dell'IP phone come una violazione e mette la porta in err-disabled. La soluzione è rimuovere BPDU Guard dalla porta e lasciare solo PortFast — oppure usare spanning-tree bpdufilter enable per scartare silenziosamente i BPDU senza err-disabled.

BUG 1 SW1-Core has non-standard STP priority (1) — causes suboptimal root election

Why this works: STP bridge priority must be a multiple of 4096 per IEEE 802.1D. A priority of 1 is accepted by IOS but is non-standard and can cause unpredictable behavior in mixed vendor environments. Priority 4096 correctly makes SW1 the root while remaining compliant with the standard.

📋 Key concept — STP root bridge election
• Bridge ID (BID) = Priority (2B) + MAC address (6B)
• Lowest BID wins — becomes root bridge
• Priority must be a multiple of 4096 (0, 4096, 8192... 61440)
• Default priority: 32768
• Recommended root: spanning-tree vlan X root primary (sets 24576 or lower)

BUG 2 SW3 Gi1/0/1 — PortFast enabled on a trunk port toward SW1

Why this works: PortFast skips the Listening and Learning states, moving the port directly to Forwarding. On access ports toward hosts, this is safe and desirable. On trunk ports toward switches, it creates a window where the port forwards traffic before STP has computed a loop-free topology — potentially causing temporary loops during convergence.

📋 Key concept — PortFast placement rules
• ✅ Access ports toward PCs, servers, printers
• ❌ Never on trunk ports toward other switches
• ❌ Never on ports that could receive BPDUs from unknown switches
• IOS warns when portfast is configured on a trunk
• Use BPDU Guard alongside PortFast for protection

BUG 3 SW3 Fa0/1 — BPDU Guard causes err-disabled on IP phone port

Why this works: BPDU Guard shuts down a PortFast port the moment it receives any BPDU. Cisco IP phones with an integrated switch send BPDUs — this is expected behavior, not a rogue device. Removing BPDU Guard allows the phone's BPDUs to be received without triggering err-disabled. PortFast can remain for fast host connectivity.

📋 Key concept — BPDU Guard vs BPDU Filter
• BPDU Guard: err-disables port on BPDU receipt — use on host ports only
• BPDU Filter: silently drops BPDUs — use when device legitimately generates them
• err-disabled recovery: errdisable recovery cause bpduguard
• Recovery time: errdisable recovery interval 300 (300s default)
• Or manual: shut → no shut on the interface

🎯