Root Guard ist eine Schutzfunktion des Spanning Tree Protocol (STP), die verhindert, dass ein fremder Switch die Rolle der Root Bridge übernimmt. Ein Port mit Root Guard, der ein überlegenes BPDU empfängt (also eines mit besserer Bridge-ID als die aktuelle Root), wechselt in den Root-inconsistent-Zustand und leitet keine Daten mehr weiter.
Warum Root Guard?
Ein Switch mit sehr niedriger Bridge-Priorität (oder zufällig kleiner MAC-Adresse), der irgendwo im Netz angeschlossen wird, kann die Root-Bridge-Wahl für sich entscheiden. Damit ließen sich Datenverkehr umleiten oder Schleifen erzeugen. Root Guard verhindert das lokal: Der betroffene Port blockiert, sobald ein überlegenes BPDU eintrifft — der fremde Switch wird dadurch nicht zur Root Bridge.
Automatische Erholung
Anders als bei BPDU Guard (Port geht in den Errdisable-Zustand, manuelles Reaktivieren) erholt sich ein Root-Guard-Port automatisch: Sobald der fremde Switch keine überlegenen BPDUs mehr sendet, kehrt der Port in den normalen STP-Zustand zurück.
Verwandte Grundlagen: Root-Guard-Befehle, Spanning Tree Protocol (STP), BPDU Guard, PortFast.