Maîtrisez Root Guard

Introduction à Root Guard

Root Guard est une fonc­tion­na­li­té de sécu­ri­té du Span­ning Tree Pro­to­col (STP) de Cis­co qui per­met de pro­té­ger le réseau contre des modi­fi­ca­tions impré­vues ou non auto­ri­sées (le fameux sta­giaire fou). Plus pré­ci­sé­ment, Root Guard est conçu pour empê­cher un switch indé­si­rable de deve­nir le root bridge dans un réseau STP. Cela est par­ti­cu­liè­re­ment impor­tant dans des envi­ron­ne­ments où la sta­bi­li­té doit être main­te­nue de manière rigou­reuse. En gros, un peu par­tout, sauf chez vous dans votre lab de révi­sion CCNA 😊

Fonctionnement de Root Guard

Pour com­prendre le rôle de Root Guard, il est impor­tant de se rap­pe­ler com­ment le Span­ning Tree Pro­to­col (STP) fonc­tionne. STP est uti­li­sé pour pré­ve­nir les boucles de com­mu­ta­tion en créant une topo­lo­gie où un switch est dési­gné comme root bridge. Tous les che­mins vers le root bridge sont alors opti­mi­sés, et les che­mins redon­dants sont bloqués.

Je vous invite à lire cet article pour en savoir plus : https://reussirsonccna.fr/le-spanning-tree-et-ses-3-problemes/

Root Guard inter­vient en spé­ci­fiant quels ports d’un switch ne doivent jamais accep­ter des BPDU (Bridge Pro­to­col Data Units) reven­di­quant un rôle de root bridge supé­rieur. Lors­qu’un port confi­gu­ré avec Root Guard reçoit un BPDU reven­di­quant une meilleure prio­ri­té que le root bridge actuel, le port passe immé­dia­te­ment en état « root-incon­sistent », ce qui le désac­tive tem­po­rai­re­ment (ouf !). Cette action empêche le switch indé­si­rable de deve­nir le root bridge, mais dès que les BPDUs contes­ta­taires cessent, le port retourne auto­ma­ti­que­ment à son état actif normal.

Configuration de Root Guard

Confi­gu­rer Root Guard est assez simple. Voi­ci un exemple de confi­gu­ra­tion sur un switch Cisco :

1. Accé­dez au mode de confi­gu­ra­tion globale :

   Switch# configure terminal

2. Sélec­tion­nez l’interface ou la gamme d’interfaces sur laquelle vous sou­hai­tez acti­ver Root Guard (donc tous les ports vers les uti­li­sa­teurs par exemple):

   Switch(config)# interface range gigabitethernet 0/1 - 24

3. Acti­vez Root Guard sur l’interface :

   Switch(config-if-range)# spanning-tree guard root

4. Sau­ve­gar­dez la configuration :

   Switch(config-if-range)# end
   Switch# write memory

Avantages de Root Guard

• Pré­ven­tion des modi­fi­ca­tions non auto­ri­sées : Root Guard empêche qui­conque d’introduire un switch indé­si­rable (le fameux switch du sta­giaire qui fait des tests et plante tout le réseau) qui pour­rait per­tur­ber la topo­lo­gie du réseau en deve­nant root bridge.
• Sta­bi­li­té du réseau : En main­te­nant la hié­rar­chie sou­hai­tée, Root Guard assure une sta­bi­li­té accrue du réseau.
• Sim­pli­ci­té d’implémentation : Root Guard est facile à confi­gu­rer et à gérer.

Limitations de Root Guard

• Port désac­ti­vé tem­po­rai­re­ment : Lors­qu’un BPDU contes­ta­taire est reçu, le port est désac­ti­vé, ce qui peut entraî­ner des inter­rup­tions tem­po­raires de connectivité.
• Pas de pro­tec­tion contre toutes les attaques : Root Guard ne pro­tège pas contre tous les types d’at­taques ou de défaillances réseau, notam­ment celles qui ne concernent pas la prio­ri­té de root bridge.

Liens officiels Cisco

Pour appro­fon­dir vos connais­sances et obte­nir des infor­ma­tions direc­te­ment de la source, voi­ci quelques res­sources offi­cielles de Cisco :

• Docu­men­ta­tion Cis­co sur Root Guard (en anglais)
• Guide de confi­gu­ra­tion du Span­ning Tree Pro­to­col (en français)
• Page offi­cielle de Cis­co sur STP

Conclusion

Root Guard est une fonc­tion­na­li­té essen­tielle pour toute per­sonne pré­pa­rant la cer­ti­fi­ca­tion Cis­co CCNA nou­velle ver­sion v1.1 car il est désor­mais inclus.

En main­te­nant la sta­bi­li­té et la hié­rar­chie du réseau, Root Guard assure une per­for­mance opti­male et une ges­tion simplifiée.

Il est impor­tant de bien com­prendre Root Guard car ça tom­be­ra lors du CCNA !