Perché il design Layer 2 del campus conta
Nel campus enterprise il livello di accesso resta prevalentemente Layer 2: più host condividono broadcast domain e VLAN, e la topologia fisica ridondante verso il distribution introduce loop che solo Spanning Tree può neutralizzare logicamente. Il compito del designer ENSLD non è configurare STP riga per riga, ma scegliere la variante, dimensionare i domini e posizionare le feature di loop prevention per ottenere alta disponibilità e convergenza prevedibile.
Rapid PVST+ vs MST: scalabilità
Rapid PVST+ mantiene un’istanza STP per ogni VLAN. È il default Cisco, offre convergenza rapida (802.1w) e bilanciamento del carico per-VLAN, ma non scala: il carico si misura in logical/virtual ports = VLAN attive × trunk. Superata la capacità della piattaforma (tipicamente qualche migliaio di porte logiche), la CPU fatica a generare/elaborare i BPDU e la convergenza degrada.
MST (802.1s) risolve mappando molte VLAN su poche istanze (MSTI): si calcolano alberi solo per gruppo di VLAN, riducendo drasticamente CPU e numero di istanze. Requisito chiave: gli switch devono appartenere alla stessa region, e per farlo devono coincidere region name, revision number e VLAN-to-instance mapping. Una sola differenza in uno di questi tre parametri spezza la region e gli switch si scambiano BPDU come confini esterni.
| Criterio | Rapid PVST+ | MST |
|---|---|---|
| Istanze | 1 per VLAN | 1 per gruppo di VLAN (MSTI) |
| Scalabilità | Limitata (virtual ports) | Alta |
| Load balancing | Per-VLAN, semplice | Per-istanza, richiede pianificazione |
| Complessità | Bassa | Media (region consistency) |
Regola di design: poche VLAN → Rapid PVST+; centinaia di VLAN o alta densità di trunk → MST.
Loop prevention: quattro feature, quattro scopi
- Root Guard — su porte designated verso valle. Se arriva un BPDU superiore mette la porta in stato root-inconsistent (blocking). Protegge la posizione del root bridge da switch non autorizzati.
- BPDU Guard — su porte access con PortFast. Alla ricezione di qualsiasi BPDU la porta va in err-disabled. Difende il bordo da switch collegati per errore.
- Loop Guard — su porte root/alternate (non-designated). Se i BPDU attesi cessano di arrivare, invece di transitare a forwarding la porta va loop-inconsistent. Protegge dai loop causati da link che diventano unidirezionali.
- UDLD — protocollo L2 che rileva link unidirezionali, tipici della fibra (un TX/RX guasto o coppie incrociate). In aggressive mode mette la porta in err-disabled. Complementa Loop Guard.
Root Guard e Loop Guard/UDLD sono complementari, non alternativi: i primi gestiscono topologie sbagliate, i secondi guasti fisici del link.
Dimensionare VLAN e broadcast domain
Un broadcast domain grande significa più flooding, tabelle MAC ampie e fault domain esteso: un loop o una tempesta di broadcast impatta più host. Best practice: contenere la VLAN a una subnet /24 e ridurre l’ampiezza del dominio piuttosto che allargarla. Evitare VLAN che si estendono su tutto il campus (spanning VLAN), perché ampliano il diametro STP e i tempi di convergenza.
Il trunking 802.1Q trasporta più VLAN aggiungendo un tag da 4 byte; la native VLAN viaggia untagged. Un native VLAN mismatch tra i due estremi genera merge involontario di VLAN e allarmi STP: allineare sempre la native e non usare la VLAN 1 per il traffico dati.
Routed access: ridurre il fault domain L2
Spostando il Layer 3 fino all’access (routed access), gli uplink access-distribution diventano routed: sparisce STP tra i due livelli, ogni switch di accesso è un fault domain L2 isolato e la convergenza è affidata a OSPF/EIGRP (sub-secondo) invece che a Spanning Tree. Il prezzo è che le VLAN non possono estendersi tra switch di accesso: scelta ideale quando HA e convergenza contano più della mobilità L2.
Trappole tipiche d’esame
- Scenario: loop intermittente su link in fibra tra distribution → risposta: attivare UDLD (aggressive); Loop Guard da solo protegge le non-designated ma UDLD è la feature specifica per link unidirezionali su fibra.
- Scenario: switch rogue collegato a una porta access diventa root → risposta: BPDU Guard sull’edge (err-disable), non Root Guard, che è per le porte designated verso valle.
- Scenario: centinaia di VLAN, CPU degli switch satura con Rapid PVST+ → risposta: migrare a MST per ridurre il numero di istanze.
- Scenario: due switch MST non convergono nella stessa region → risposta: verificare che name, revision e VLAN-to-instance mapping siano identici.
- Scenario: obiettivo eliminare STP tra access e distribution con convergenza sub-secondo → risposta: routed access con IGP, accettando che le VLAN non si estendano tra gli switch.