ciscotr.com http://www.ciscotr.com/forum/ccnp/8856-bpdufilter-bpduguard-nedir.

html
BpduFilter - BpduGuard Nedir ?
BpduFilter ve BpduGuard ___________________ BPDU Stp ortamnda Root Olan Bridge ( Switch ) tarafndan
her iki saniyde STP ortamna salnan PDU dur. -> Bunun sayesinde herkes portlarn belirler. -> Bunun
1. 01.08.2013, 18:47 #1
BpduFilter ve BpduGuard
___________________
BPDU
Stp ortamnda Root Olan Bridge ( Switch ) tarafndan
her iki saniyde STP ortamna salnan PDU dur.
-> Bunun sayesinde herkes portlarn belirler.
-> Bunun sayesinde herkes Root un kim oldugunu bilir.
-> Bunun sayesinde topology de degiiklik oldugunu diger kiilere sylenir.
-> Bunun sayesinde LOOP bulunup engellenir.
Vesselam BPDU
STP iinde akan KAn gibidir...
Biraz aalm :
Root Switch BPDU yu her 2 saniyede gnderir ( STP De )
Bunu alanlar ise BDPU iindeki kendine ait ksm deitirip
Diger arkadalarna yolllar.
STP ortamnda PORT Rolleri belirlemitik CCNA de hatrlarsak.
Bunlardan birisi Root PORT diger Designated Port idi.
BUnlar neden Var?
Gerek datann ak iin deil tabiki
Root Port dan BPDU Alrz.
DEsignated Port dan BPDU gndeririz.
Onun iin Root Switchin Tm portlar DESignated dr.
BPDU Ak byle olur.
Yalnz bir ey daha var.
Switch lerin PC lere bakan POrtlar DA DESIGNATED PORT dur !
Bu kt ite.
Yani PC lere gereksiz BPDU gndeririz...
SHOW SPAN INTER FA0X DETAIL -> yaparsanz
SENT BPDU ksmnn srekli arttgn grrrz.
Yada PC de Wireshkark altrn. BPDU lar grn.
Hatta bunu cidden yapn. BPDU nun yapsn incelemi olursunuz
BU iyi bir ey deil.
Yani PC ye BPDU gndermek gereksiz ve zararl.
Hele PC Den BPDU almak demek,
PC de kt amal bir yazlm var demektir.
Bu daha da ktdr.
Kiinin PC sinden BPDU aldgmz ve o PC nin ROOT BRIDGE oldugunu dnn
Bizim BPDU
STP ortam dna kmasn ve ortam dndan ieri girmesin
diye
BPDUFILTER ve BPDUGUARD gelitirilmitir...
BpduFilter
============
ki GREV VARDIR :
a) BU PORTDAN BPDU GNDERME !
b) VE EGER Bu PORTDAN BPDU ALIRSAN Ignore et ( Yani girmesini engelle )
Bunu iki trl enable edebiliriz.
1-) Tm Switch zerinde ENABLE edebiliriz.
CONF T
SPANNING-TREE PORTFAST DEFAULT
SPANNING-TREE PORTFAST BPDUFILTER DEFAULT
Burda u oldu:
Portfast n enable oldugu tm portlarda BPDUFilter ENABLE oldu otomatik olarak.
Bu koullu bir BPDUFILTER eanble etme yntemidir.
Yani Eger PORT da Portfast enable ise BPDUFILTER enable olur.
Eger Portfast disable olursa o da disable olur.
sh span int fa0x detail ---> ile grebiliriz
BDPU : SENT 2 , RECEIVED 0
SENT - bu say artk artmaz. nk gndermez.
RECEIVED - bu say artabilir. nemli degildir. nasl olsa ignore edicez.
2-) Bir Interface Altnda
CONF T
INT FA0/23
SPANNING-TREE BPDUFILTER ENABLE
Burda ise PORTFAST art aranmadan BDPDUFILTER enable olur.
zetle :
BPDUFILTER n iki grevi vardr.
1- Bu Portdan BPDU gndermez. Bu zellik ok iyi. Karda kt niyetli PC olabilir
2- Bu Portdan BPDU alnca ieri sokma . Buda iyi grnyor.
Mesela kt niyetli PC mizden BPDU aldgmz dnn.
Onu ieri almcak. Ama biz PC nin bize BPDU gnderdiini nasl bilicez.
yle ya bir saldr var. Ve haberimiz yok. Ya interface altndaki
COUNT a bakcaz. Yada SNMP ile falan grencez.
BU ikinci zellikde iyi ama sanki biraz daha iyi olsaym
Burda devreye BPDUGUARD girer.
BPDUGUARD
============
Bunun bir grevi var sadece :
- BU PORTDAN BPDU ALIRSAN PORTU KAPAT !!!
Bu kadar. Sanki BPDUFILTER in ikinci zelliinin biraz daha
gelimii gibi ..
Yine iki trl ENABLE olur.
1 -) Tm Switch zerinde
CONF T
SPANNING-TREE PORTFAST DEFAULT
SPANNING-TREE PORTFAST BPDUGUARD DEFAULT
AYn mantk.
PORTFast n enable olduu her portta sende enable ol demektir.
KOulu budur.
Peki POrtfast disable olursa ne olur ?
BPDUFILTER gibi BPDUGUARD da Disable m olur ?
Yok bu sefer yemez.
Bir portdan BPDU alrsanz hem POrtfast gider hemde PORTU kapatr
BPDUGUARD !
2 -) Interface zerinde
CONF T
INT FA0/1
SPANNING-TREE BPDUGUARD ENABLE
Burda yine ayn mantk.
art olarak POrtfast olmasna gerek yoktur.
Not : PORTFAST nedir ve nasl alr bilindiini dndm.
Mehmet Ceyhan YALI
Cisco Instructor Trainer
www.mcyagli.com
2. 01.08.2013, 19:45 #2
Hocam BPDU filter ikinci zellik kt STP paras olmad halde forwarding state'de olan
bir port var . Buras ise loop riski yaratyor...
Bence portfast olmayan portlara BPDU filter uygulanmamal...
Do you realize what you've done?
3. 02.08.2013, 14:42 #3
Blocking Mode'da da BPDU alndn ekleyelim ki eer bu BPDU kesilirse loopguard portu
inconsistent'a eker.
4. 02.08.2013, 14:58 #4
Aynen yle.
Zaten Blocking olan port kara deliktir BPDU iin.
Blocking mode kendine gelen BPDU yu alr ve kaybeder ortadan.
Ve loop un engellendii yerdir oras.
Onun iin Blocking Portun daimi BPDU almas gerekir.
Peki Layer 1 bir sorun var ise ne olacak ?
Blocking port Layer 1 sorundan dolay BPDU alamaz ise ne olur ?
Bu kt ite . nk Max Age kadar bekleyip Portu aar.
Ve loop olur.
Layer 1 Sorunlarndan kaynaklanacak Looplarn
nne gemek iinde :
iki tane teknoloji gelitirmiler
LoopGuard
UDLD
bu ikilinin makalesini eklemek lazm
Mehmet Ceyhan YALI
Cisco Instructor Trainer
www.mcyagli.com
5. 28.11.2013, 11:50 #5
merhaba hocam,
su linkte birde bpdufilter olan portun bpdu almasi durumunda Portfast zelliginin ve
bpdufilter in kaybedilecegi yaziyor.
Catalyst 3560 Switch Software Configuration Guide, Release 12.2(55)SE - Configuring
Optional Spanning-Tree Features
"If a BPDU is received on a Port Fast-enabled interface, the interface loses its Port Fast-
operational status, and BPDU filtering is disabled."
Budurumda, bpdufilter aktiflestirilmis bir porta herhangi bir bpdu gelse, switch de o portda
herhangi bir switch oldugunu dsnp, bpdu gndermeye basliyor. Bu sekilde olunca bence
mantigi kalmiyor.
Nasil anlamak gerek bu linkde yazani?
6. 28.11.2013, 15:54 #6
Merhaba
Bu link de anlatlan
ki link bize unu veriyor :
Understanding BPDU Filtering
The BPDU filtering feature can be globally enabled on the switch or can be enabled per
interface, but the feature operates with some differences.
At the global level, you can enable BPDU filtering on Port Fast-enabled interfaces by using
the spanning-tree portfast bpdufilter default global configuration command. This command
prevents interfaces that are in a Port Fast-operational state from sending or receiving
BPDUs. The interfaces still send a few BPDUs at link-up before the switch begins to filter
outbound BPDUs. You should globally enable BPDU filtering on a switch so that hosts
connected to these interfaces do not receive BPDUs. If a BPDU is received on a Port Fast-
enabled interface, the interface loses its Port Fast-operational status, and BPDU filtering is
disabled.
yukarda yazdmz ekli ile anlayabiliriz :
BpduFilter
============
ki GREV VARDIR :
a) BU PORTDAN BPDU GNDERME !
b) VE EGER Bu PORTDAN BPDU ALIRSAN Ignore et ( Yani girmesini engelle )
Bunu iki trl enable edebiliriz.
1-) Tm Switch zerinde ENABLE edebiliriz.
CONF T
SPANNING-TREE PORTFAST DEFAULT
SPANNING-TREE PORTFAST BPDUFILTER DEFAULT
Burda u oldu:
Portfast n enable oldugu tm portlarda BPDUFilter ENABLE oldu otomatik olarak.
Bu koullu bir BPDUFILTER eanble etme yntemidir.
Yani Eger PORT da Portfast enable ise BPDUFILTER enable olur.
Eger Portfast disable olursa o da disable olur.
sh span int fa0x detail ---> ile grebiliriz
BDPU : SENT 2 , RECEIVED 0
SENT - bu say artk artmaz. nk gndermez.
RECEIVED - bu say artabilir. nemli degildir. nasl olsa ignore edicez.
2-) Bir Interface Altnda
CONF T
INT FA0/23
SPANNING-TREE BPDUFILTER ENABLE
Burda ise PORTFAST art aranmadan BDPDUFILTER enable olur.
zetle :
BPDUFILTER n iki grevi vardr.
1- Bu Portdan BPDU gndermez. Bu zellik ok iyi. Karda kt niyetli PC olabilir
2- Bu Portdan BPDU alnca ieri sokma . Buda iyi grnyor.
Mesela kt niyetli PC mizden BPDU aldgmz dnn.
Onu ieri almcak. Ama biz PC nin bize BPDU gnderdiini nasl bilicez.
yle ya bir saldr var. Ve haberimiz yok. Ya interface altndaki
COUNT a bakcaz. Yada SNMP ile falan grencez.
BPDUFilter n benim tek houma giden yan,
BPDU gndermemesi .
Onun dnda BPDUGUARD ise BPDU alnmas halinde
elbette daha gvenli nlemler alyor.
Access likes this.
Mehmet Ceyhan YALI
Cisco Instructor Trainer
www.mcyagli.com
7. 28.11.2013, 17:23 #7
Aklimi karistiran sadece su:
-> b) VE EGER Bu PORTDAN BPDU ALIRSAN Ignore et ( Yani girmesini engelle )
Anladigim kadariyla ama, BPDU gelirse ignore bir defalik ediyor, sonra Portfast kalkiyor,
buna bagli olarak BPDU Filter de ortadan kalkiyor. Ve bizim switch BPDU gndermeye
basliyor.
Yani BPDUFilterin bu "gnderme" "alirsan ignore et" olayi, herhangi bir BPDU gelince sona
eriyor.
Sizin anlatimizdan ve nceki anladiklarimdan BPDUFilter in srekli aktif olacagini
dsnmstm, yani ben BPDUFilter i enable ediyorsam, bpdufilter i ben kendim tekrar
kaldirana kadar, byle kalir dsncesindeydim.
Eger bu sadece bir defalik, yada sadece ilk BPDU gelene kadar gecerli olan bir durumsa,
ne isime yariyor?
Gndermemesi olayi gzel ama, nasil olsa bir tane BPDU geldimi yine basliyor
gndermeye...
* Su anda Switch konfigure ediyorum ve sadece bpduguard aktiflestirdim (portfast olan
portlarda). Guard ile en azindan port err-disabled oluyor.
MCyagli Nickli yeden Alnt
Merhaba
Bu link de anlatlan
ki link bize unu veriyor :
yukarda yazdmz ekli ile anlayabiliriz :
BPDUFilter n benim tek houma giden yan,
BPDU gndermemesi .
Onun dnda BPDUGUARD ise BPDU alnmas halinde
elbette daha gvenli nlemler alyor.
Access likes this.
8. 28.11.2013, 18:25 #8
Makalenin devamnda
2-) Bir Interface Altnda
CONF T
INT FA0/23
SPANNING-TREE BPDUFILTER ENABLE
Burda ise PORTFAST art aranmadan BDPDUFILTER enable olur.
yazyor.
Bu yzden BDPU alsa bile "GNDERMEMESi PTAL OLUR" diye birey yok nk arta
bal deil.
GLOBAL olarak eable edilince ARTLI idi.
Yani PORT FAST varsa ENable kalsn dedik.
Eger PORT FAST giderse o da Disable olsun anlamna gelir.
2. Secenekde ise art yok. Bir kere ENABLE et yeter.
9. 29.11.2013, 09:57 #9
MCyagli Nickli yeden Alnt
Bu yzden BDPU alsa bile "GNDERMEMESi PTAL OLUR" diye birey yok nk arta
bal deil.
Ben bu durumdada iptal olacagini dsnyordum fakat portfastla alakasi olmadigi icin
olmuyor... simdi anladim :-)
Tesekkrler.