Netzwerk-Ausfall im Betrieb vermeiden: Spanning Tree (STP) verstehen und Switch-Schleifen finden

Ein zusätzliches Kabel zwischen zwei Switches, und kurz darauf reagiert im ganzen Betrieb nichts mehr: Telefone fallen aus, der Server ist nicht erreichbar, die Kasse hängt. Meist steckt eine Layer-2-Schleife dahinter. Dieser Beitrag erklärt, was dabei passiert, wie Sie eine Schleife finden und wie Sie redundante Verbindungen mit Spanning Tree so aufbauen, dass sie helfen statt schaden.

Warum legt ein einziges Kabel das ganze Netzwerk lahm?

Ethernet-Frames haben keine Lebensdauer wie IP-Pakete (TTL). Ein Switch leitet Broadcasts, Multicasts und Frames an unbekannte Ziele an alle anderen Ports weiter. Verbinden Sie zwei Switches doppelt miteinander, kreist jeder dieser Frames endlos im Ring, und jeder Umlauf erzeugt weitere Kopien. Das nennt sich Broadcast-Sturm. Innerhalb von Sekunden sind die Links voll ausgelastet, die CPUs der Switches überlastet, und normaler Verkehr kommt nicht mehr durch. Betroffen ist das gesamte Layer-2-Segment, bei einem Netz ohne VLANs also der ganze Betrieb.

Woran erkenne ich eine Switch-Schleife?

Typische Anzeichen sind:

• Die Port-LEDs aller Switches blinken gleichzeitig und dauerhaft im Takt, oft sehr schnell.
• Pings zeigen starken Paketverlust oder stark schwankende Laufzeiten.
• Geräte sind sporadisch oder gar nicht erreichbar, auch die Weboberfläche des Switches antwortet nur zäh.
• Der Ausfall beginnt genau dann, wenn ein Kabel gesteckt wurde, oder nach dem Neustart eines Geräts.
• Bei Managed-Switches meldet das Log MAC-Flapping, also dieselbe MAC-Adresse wechselt ständig zwischen Ports.

Zum Eingrenzen gehen Sie so vor: Zuerst das zuletzt gesteckte Kabel ziehen. Beruhigt sich das Netz, haben Sie die Stelle. Wenn nicht, trennen Sie die Verbindungen zwischen den Switches nacheinander und beobachten, wann die LEDs ruhiger werden. Auf Managed-Geräten zeigen Port-Statistiken, an welchem Port die Broadcast-Zähler explodieren. Das ist der Weg zur Schleife. Häufige Ursachen außerhalb des Patchfelds sind kleine unmanaged Switches unter dem Schreibtisch, bei denen jemand zwei Dosen verbunden hat, oder ein WLAN-Access-Point, der parallel per Kabel und über einen anderen Weg angebunden ist.

Was macht Spanning Tree und warum RSTP?

Spanning Tree Protocol verhindert Schleifen, indem es redundante Verbindungen logisch sperrt. Die Switches tauschen dazu Nachrichten (BPDUs) aus, wählen eine Root-Bridge und berechnen für jeden Switch den besten Weg dorthin. Alle weiteren Wege werden blockiert, bleiben aber als Reserve bereit. Fällt der aktive Link aus, schaltet der Switch den blockierten Port frei.

Das ursprüngliche STP braucht dafür deutlich länger, teils eine halbe Minute oder mehr. Rapid Spanning Tree (RSTP) reagiert in der Regel in wenigen Sekunden und ist heute der sinnvolle Standard. Aktivieren Sie es auf allen Switches im Verbund und prüfen Sie, dass alle denselben Modus nutzen. Bei Geräten mit VLANs kann zusätzlich MSTP oder eine herstellerspezifische Variante pro VLAN eine Rolle spielen; hier lohnt ein Blick ins Handbuch.

Wie setze ich Root-Bridge und Prioritäten sinnvoll?

Ohne Konfiguration wählt Spanning Tree die Root-Bridge anhand der niedrigsten Bridge-ID, und bei gleicher Priorität entscheidet die MAC-Adresse. Dann wird zufällig der älteste oder ein unpassender Switch zur Root, womöglich ein Gerät am Rand des Netzes. Der Datenverkehr nimmt dann Umwege.

Legen Sie die Root deshalb bewusst fest:

1. Der zentrale Switch (Core oder Verteiler, an dem Server und Uplinks hängen) bekommt die niedrigste Priorität, zum Beispiel 4096. 2. Der zweite zentrale Switch erhält die nächsthöhere Priorität, etwa 8192, damit er bei Ausfall die Root-Rolle übernimmt. 3. Alle Etagen- und Access-Switches bleiben bei einer höheren Priorität, etwa 32768 oder mehr.

Die konkreten Werte und Schrittweiten hängen vom Hersteller ab, üblich sind Vielfache von 4096. Setzen Sie außerdem Edge-Ports (PortFast bzw. Edge Port) für Endgeräte und aktivieren Sie BPDU Guard, falls vorhanden: Kommt an so einem Port ein BPDU an, wird er abgeschaltet. Das fängt kleine Switches am Arbeitsplatz ab. Ergänzend bieten viele Geräte Loop Protection oder Storm Control, was Broadcast-Stürme begrenzt.

Worauf achte ich bei Managed-Switches und Uplinks?

Für redundante Strukturen brauchen Sie Switches mit RSTP-Unterstützung, lesbarem Log und der Möglichkeit, Prioritäten, Edge-Ports und BPDU Guard einzustellen. Reine Unmanaged-Switches kennen kein STP und sind in redundanten Aufbauten ein Risiko. Bei Verbindungen zwischen Verteilern über größere Distanzen oder zwischen Gebäuden bietet sich Glasfaser an, etwa mit SFP-Modulen und Singlemode-Kabeln. Für kurze Strecken im Technikraum passen zum Beispiel ein LWL Patchkabel LC/LC Duplex 1m OS2 Singlemode oder ein LC-LC Patchkabel Duplex OS2 2m. Achten Sie darauf, dass die Module zur Faser passen (Singlemode mit Singlemode-Modul) und dass beide Seiten dieselbe Wellenlänge nutzen.

Wer zwei Verbindungen zwischen denselben Switches will, um Bandbreite zu gewinnen, sollte statt STP eine Link-Aggregation (LACP) einrichten. Dann gelten beide Kabel logisch als ein Link.

Wie vermeide ich Schleifen durch Beschriftung und Dokumentation?

Viele Schleifen entstehen im Patchfeld, nicht in der Konfiguration. Hilfreich sind:

• Jeden Port am Patchfeld und jede Dose eindeutig beschriften, am besten identisch mit der Dokumentation.
• Uplinks zwischen Switches farblich markieren, zum Beispiel mit einer eigenen Kabelfarbe, damit sie von Endgerätekabeln unterscheidbar sind.
• Einen aktuellen Patchplan pflegen, der zeigt, welcher Port wohin geht, und Änderungen darin vermerken.
• Reserveverbindungen kennzeichnen, die bewusst gesteckt sind und per RSTP blockiert werden, damit niemand sie für überflüssig hält und abzieht oder an anderer Stelle neu steckt.
• Ungenutzte Ports am Switch deaktivieren oder in ein isoliertes VLAN legen.

Wenn Sie sich bei Planung, Konfiguration oder der Fehlersuche unsicher sind, hilft Ihnen unser Fachbetrieb gern weiter.