Kök Koruyucu (Root Guard)

Nizam-ı Alem · 15 Mar 2026

Bir STP topolojisi tamamen yakınsadıktan ve döngüler ortadan kaldırıldıktan sonra, her anahtar portu aşağıdaki gibi belirli bir rol üstlenir:

Kök Port: Kök köprüye en iyi yolu (en düşük maliyet) sağlayan port.

Atanmış Port: Kök köprüye en yakın olan segment üzerindeki port. Diğer anahtarlara doğru BPDU'lar gönderir.

Alternatif Port: Köke yakın ancak şu anda bloke edilmiş yedek bir kök port.

Kenar Port: STP rolü olmayan uç cihazlara bağlı portlar—normal kullanıcıya yönelik portlar.

Kök köprüye her zaman kök ve alternatif portlar üzerinden erişilebilmesi beklenir, çünkü bunlar ona en iyi yolu sağlarlar.

Neden Kök Koruma'ya ihtiyacımız var?

Kök Koruma özelliğini anlamak için, aşağıda gösterilen örnek topolojiye bakalım. Çekirdek, dağıtım ve erişim anahtarlarına sahip üç katmanlı bir anahtarlamalı ağımız var. Çekirdek anahtar, en güçlü ve güvenilir platform olduğu için topolojideki kök köprüdür.

Spanning Tree (STP) ağ protokolleri, güvenlik konusunun öncelikli odak noktası olmadığı 1980'ler ve 1990'larda geliştirilmiştir. Bu nedenle, orijinal STP ve RSTP varsayılan olarak herhangi bir güvenlik önlemi içermez. Spanning Tree topolojisini ve kök köprü yerleşimini koruyan varsayılan bir mekanizma yoktur.

Şimdi, birisi uç cihazını erişim anahtarından ayırıp daha düşük bir Köprü Kimliği ile yapılandırılmış sahte bir anahtara bağlarsa ne olacağını görelim.

Sahte anahtarın köprü kimliği daha düşük olduğundan, yukarıdaki şemada gösterildiği gibi yeni kök köprü haline gelir. STP, en düşük köprü kimliğine sahip anahtarın her zaman seçimi kazanması nedeniyle buna izin verir. Bu değişiklik yıkıcıdır; tamamen yeni bir topoloji oluşturur. Sonuç olarak, döngüleri önlemek için yüksek hızlı omurga bağlantılarının bazıları engellenir. Ağ, yeniden yakınsama sırasında kesintiye uğrar. Bu yeni anahtarı bağlayan kişinin kötü niyetli olması durumunda, ağda büyük sorunlara yol açabilir.

Böyle bir durumun meydana geldiği bir diğer yaygın kullanım örneği, bir ağ mühendisinin yanlışlıkla ağa yeni bir erişim anahtarı bağlamasıdır ve anahtar tamamen yeni değil, mevcut bir yapılandırmaya sahiptir (muhtemelen laboratuvarda veya başka bir ağda kullanılmıştır). Yeni anahtarın diğer anahtarlardan daha düşük bir BID'ye sahip olması durumunda, aşağıdaki şemada gösterildiği gibi kök köprü haline gelir.

Sonuç olarak, ağ yeniden yakınsar, geçici kararsızlığa neden olur ve yüksek hızlı omurga bağlantıları bloke olur.

Açıkçası, katman 2 ağının kök köprüyü ve ağ yöneticileri tarafından seçilen topolojiyi koruyacak bir mekanizmaya ihtiyacı vardır. İşte burada Kök Koruma özelliği devreye giriyor.

Kök Koruma nedir?

Kök Koruma, istenmeyen bir kök köprünün ağda görünmesini ve yeniden yakınsamayı tetiklemesini önlemek için tasarlanmıştır. Port başına çalışır. Bir anahtar, Kök Koruma etkinleştirilmiş bir portta üstün bir BPDU (daha iyi bir köprü kimliğine sahip olan) alırsa, bu port özel bir kök tutarsız durumuna alınır. Bu durumdayken, port normal veri göndermeyi ve almayı durdurur, ancak BPDU'ları dinlemeye devam eder.

Yukarıdaki şemaya bakalım. Yeni erişimin bağlandığı dağıtım anahtarının portunda Root Guard etkinleştirilmiştir; bu, dağıtımın o portta yeni bir root köprüsü kabul etmesini engeller.

Root Guard nasıl çalışır?

Root Guard, ihtiyaç duyulan her portta manuel olarak etkinleştirilir. Varsayılan olarak devre dışıdır. Arayüz yapılandırma modunda aşağıdaki komutla arayüz başına etkinleştirebiliriz:

Switch(config-if)# spanning-tree guard root

Aşağıdaki komutu kullanarak herhangi bir portun kök-tutarsız durumda olup olmadığını kontrol ediyoruz:

Switch# show spanning-tree inconsistentports

Şimdi, bu özelliğin nasıl çalıştığını gösterelim. Dağıtım anahtarında bu özelliği etkinleştirelim ve ardından aşağıdaki şemada gösterildiği gibi yeni bir erişim anahtarı bağlayalım.

Erişim anahtarı, mevcut kök köprüden (çekirdek anahtar) daha düşük bir değer olan 0 köprü önceliğiyle yapılandırılmıştır.

ACC1# conf tEnter configuration commands, one per line. End with CNTL/Z.ACC1(config)# spanning-tree vlan 1 priority 0

Yeni erişim anahtarını bağladığımızda neler olduğunu görelim. Hata ayıklama amaçlı yayılma ağacı olaylarını etkinleştiriyoruz ve dağıtım anahtarının ne yaptığını gözlemliyoruz.

DSW1# debug spanning-tree events *May 13 10:41:48.114: %SPANTREE-2-ROOTGUARD_BLOCK: Received a superior STP BPDU from bridge aabb.cc00.1900. Root guard blocking port Ethernet0/0 on VLAN0001.

DSW1'in üstün bir BPDU aldığını ve Etheret0/0 portunu bloke ettiğini görebilirsiniz.

DSW1# show spanning-tree VLAN0001 Spanning tree enabled protocol rstp Root ID Priority 24577 Address aabb.cc00.1800 This bridge is the root Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec Bridge ID Priority 24577 (priority 24576 sys-id-ext 1) Address aabb.cc00.1800 Hello Time 2 sec Max Age 20 sec Forward Delay 15 sec Aging Time 300 sec Interface Role Sts Cost Prio.Nbr Type------------------- ---- --- --------- -------- ----------------------Et0/0 Desg BKN*100 128.1 P2p *ROOT_Inc Et0/1 Desg FWD 100 128.2 P2p Et0/2 Desg FWD 100 128.3 P2p Et0/3 Desg FWD 100 128.4 P2p

Arayüz detaylarını kontrol edersek, portun "bozuk" olarak etiketlendiğini görebiliriz. Bu terimi aklınızda tutun çünkü CCNA sınavında sıkça sorulan bir sorudur. Port "engellenmiş" değil, "bozuk" durumdadır.

sw:

DSW1# show spanning-tree interface ethernet 0/0 detail
 Port 1 (Ethernet0/0) of VLAN0001 is broken  (Root Inconsistent)
   Port path cost 100, Port priority 128, Port Identifier 128.1.
   Designated root has priority 24577, address aabb.cc00.1800
   Designated bridge has priority 24577, address aabb.cc00.1800
   Designated port id is 128.1, designated path cost 0
   Timers: message age 15, forward delay 0, hold 0
   Number of transitions to forwarding state: 1
   Link type is point-to-point by default
   Root guard is enabled on the port
   BPDU: sent 1127, received 80

Son olarak, portların tutarsız bir durumda olup olmadığını kontrol etmek için kullanılan özel komutu inceleyelim.

sw:

DSW1# show spanning-tree inconsistentports
Name                 Interface                      Inconsistency
-------------------- ------------------------------ ------------------
VLAN0001             Ethernet0/0                    Root Inconsistent
Number of inconsistent ports (segments) in the system : 1

Özelliğin nasıl çalıştığını gördüğümüze göre, tasarım açısından ele alalım. Gerçek dünya ağ topolojisinde ne zaman ve nerede kullanıyoruz?

Kök Koruma Tasarım Hususları

Kök köprünün asla görünmemesi gereken portlarda (genellikle birincil ve ikincil köklerden uzak olan alt portlar) Kök Koruma özelliğini kullanıyoruz. Böyle bir portta üstün bir BPDU alınırsa, sorun çözülene kadar port tüm VLAN'lar için etkili bir şekilde kapatılır.

Gerçek dünya ağlarında, birincil ve ikincil kök köprüler, ağın karar vermesine izin vermek yerine açıkça yapılandırılır. Kök köprü, ağ tasarımına bağlı olarak genellikle merkezi ve stratejik bir konuma yerleştirilir. Kök köprü, Köprü Kimliğine (MAC adresi ve önceliği içerir) göre seçildiğinden, kök olarak hareket etmesini istediğimiz anahtarın önceliğini düşürerek seçimi kontrol edebiliriz. Ancak, önceliği yalnızca 0'a düşürebiliriz ve daha sonra her şey kontrol edemediğimiz MAC adresine bağlıdır. Bu nedenle önceliği düşürmek, başka bir switch'in kök köprü haline gelmeyeceğinin garantisini vermek için yeterli değildir ve bu da ağı savunmasız bırakır. Kötü niyetli veya yanlış yapılandırılmış bir switch daha iyi bir Köprü Kimliği gönderirse, kök köprü olarak görevi devralabilir. Bu, beklenmedik topoloji değişikliklerine, gecikmenin artmasına, kısa süreli kesintilere veya kötü amaçlı faaliyetlere kapı açabilir.

Önemli Not: Root Guard, seçtiğiniz kök köprüsünü korumaya ve topolojinizi istediğiniz gibi tutmaya yardımcı olur.

Topolojiyi ve açıkça seçilen kök köprüleri korumak için, aşağıdaki şemada gösterildiği gibi, birincil ve ikincil kök köprüden uzak olan tüm portlarda Root Guard'ı yapılandırmanız önerilir.

Dağıtım anahtarlarının erişim katmanına bakan alt portlarının Root Guard ile yapılandırıldığını fark edin. Bu nedenle, daha düşük BID'ye sahip yeni bir erişim anahtarı yanlışlıkla dağıtım katmanına bağlanırsa, Root Guard bağlandığı portları bloke edecektir.

Bu noktada, şu soruyu sorabilirsiniz: Erişim anahtarlarında da Root Guard'ı yapılandırmamız gerekmez mi? Ya birisi erişim katmanına sahte bir anahtar bağlarsa?

Evet, erişim anahtarlarında da Root Guard'ı yapılandırabilirsiniz. Ancak, gerçek dünya ağlarında, daha da ileri giden "BPDU Guard" adı verilen başka bir STP özelliği kullanıyoruz. Bu özellik, portu yalnızca üstün bir BPDU aldığında değil, herhangi bir BPDU aldığında da bloke eder (bu özellik hakkında daha fazla bilgi sonraki derslerde yer almaktadır).

Son olarak, gerçek dünyadaki üç katmanlı bir ağda Root Guard'ı nerede etkinleştirdiğimizi ele alalım. Çekirdek katmanı 2. katman ise, tipik olarak çekirdek anahtar(lar)ı kök köprüdür. Bu nedenle, aşağıdaki şemada gösterildiği gibi, tüm alt portlar Root Guard ile korunmalıdır. Erişim katmanında aşağı yöne bakan portlar BPDU Guard ile korunmaktadır.

Gerçek dünyadaki bir ağın, dayanıklı bir şekilde çalışmak ve kazara veya kötü niyetli faaliyetlerden korunmak için birden fazla yayılma ağacı özelliğini kullandığına dikkat edin. Diğer özellikler hakkında daha fazla bilgi sonraki derslerde yer almaktadır.

Önemli Noktalar

Root Guard, yayılma ağacı topolojisini korumaya yardımcı olan bir özelliktir.
Her port için çalışır.
Root Guard etkinleştirilmiş bir portta üstün bir BPDU alınırsa, port kök tutarsız hale gelir.
Artık üstün BPDU alınmadığında, port otomatik olarak kurtarılır.
Root Guard'ın, birincil ve ikincil kök köprüden uzak olan portlarda çekirdek ve dağıtım katmanlarında kullanılması önerilir.
Erişim katmanında, "BPDU Guard" adı verilen başka bir STP özelliği aynı işlevi yerine getirir, bu nedenle Root Guard gereksizdir.
Bir port "ROOT_Inc" olarak listeleniyorsa, Root Guard muhtemelen üstün bir BPDU nedeniyle onu engelliyor demektir.

Tolstoy · 16 Mar 2026

Eline sağlık

Lightning · 21 Mar 2026

Eline sağlık

Kök Koruyucu (Root Guard)

Nizam-ı Alem

Malato psichico

Neden Kök Koruma'ya ihtiyacımız var?

Kök Koruma nedir?

Root Guard nasıl çalışır?

Kök Koruma Tasarım Hususları

Önemli Noktalar

Tolstoy

Co-Administrator

Lightning

Co-Administrator

Şu an konuyu görüntüleyenler (Toplam : 1, Üye: 0, Misafir: 1)

Benzer konular

Kök Koruyucu (Root Guard)

Nizam-ı Alem

Malato psichico

Neden Kök Koruma'ya ihtiyacımız var?​

Kök Koruma nedir?​

Root Guard nasıl çalışır?​

Kök Koruma Tasarım Hususları​

Önemli Noktalar​

Tolstoy

Co-Administrator

Lightning

Co-Administrator

Şu an konuyu görüntüleyenler (Toplam : 1, Üye: 0, Misafir: 1)

Benzer konular

Privacy & Transparency

Privacy & Transparency

Neden Kök Koruma'ya ihtiyacımız var?

Kök Koruma nedir?

Root Guard nasıl çalışır?

Kök Koruma Tasarım Hususları

Önemli Noktalar