Cisco Catalyst 2960-X: Spanning Tree (Rapid PVST+) konfigurieren
Auf einen Blick
| Gilt für | Cisco Catalyst 2960-X/2960-XR mit IOS 15.2(7)E; Rapid PVST+ (Standard seit 15.2(4)E), PVST+ und MSTP |
|---|---|
| Bereich | Netzwerk-Hardware |
| Dauer | ca. 30 Minuten (Planung und Konfiguration für einen Standort) |
| Rechte | Privileged EXEC (enable) auf allen beteiligten Switches |
| Stand | Oktober 2026 |
Spanning Tree auf dem Cisco Catalyst 2960-X verhindert, dass redundante Verbindungen zwischen Switches eine Schleife bilden, die das Netz binnen Sekunden mit Broadcasts lahmlegt. Der Switch blockiert dafür automatisch überzählige Pfade und gibt sie frei, sobald eine Leitung ausfällt. Damit das zuverlässig und schnell funktioniert, legen Sie die Root Bridge bewusst fest, nutzen Rapid PVST+ und schützen die Endgeräte-Ports mit PortFast und BPDU Guard.
Spanning-Tree-Grundlagen
| Begriff | Bedeutung |
|---|---|
| Root Bridge | Mittelpunkt des Baums; gewinnt mit der niedrigsten Bridge-ID (Priorität + MAC-Adresse) |
| Root Port | Port eines Switches mit dem kürzesten Weg zur Root Bridge |
| Designated Port | leitet auf einem Segment in Richtung der Endgeräte weiter |
| Alternate Port | Ersatzweg zur Root Bridge – blockiert, bis der Root Port ausfällt |
| Edge Port | Port zu einem Endgerät; geht dank PortFast sofort in den Weiterleitungszustand |
| BPDU | Steuerrahmen, mit denen die Switches den Baum berechnen |
Allgemeine Hintergründe zum Verfahren stehen im Lexikonartikel Spanning Tree Protocol.
Betriebsarten auf dem 2960-X
| Modus | Befehl | Eigenschaften |
|---|---|---|
| Rapid PVST+ (Standard) | spanning-tree mode rapid-pvst |
eigener Baum je VLAN, Umschalten in Sekundenbruchteilen bis wenigen Sekunden (802.1w) |
| PVST+ | spanning-tree mode pvst |
klassisches 802.1D je VLAN, 30–50 Sekunden Umschaltzeit – nur noch für Altnetze |
| MSTP | spanning-tree mode mst |
mehrere VLANs teilen sich eine Instanz; Standard (802.1s), gut für Netze mit anderen Herstellern |
Bei Rapid PVST+ und PVST+ unterstützt der 2960-X (bzw. ein Stack) höchstens 128 Spanning-Tree-Instanzen. Bei mehr VLANs ist MSTP die bessere Wahl.
Planung: Wer wird Root Bridge?
Ohne Konfiguration haben alle Switches die Priorität 32768 – Root wird dann der Switch mit der niedrigsten MAC-Adresse, oft das älteste Gerät im Netz. Deshalb festlegen:
| Rolle | Priorität | Beispiel |
|---|---|---|
| Core-Switch bzw. Core-Stack | 4096 (Root) | Server-Raum |
| Zweiter Core / Verteiler | 8192 (Ersatz-Root) | zweiter Brandabschnitt |
| Access-Switches | 61440 (nie Root) | Etagenverteiler mit 2960-X |
Die Priorität lässt sich nur in Schritten von 4096 einstellen (0 bis 61440).
Schritt 1: Rapid PVST+ auf allen Switches
SW-EG-01# configure terminal
SW-EG-01(config)# spanning-tree mode rapid-pvst
SW-EG-01(config)# spanning-tree extend system-id
Alle Switches im Netz sollten denselben Modus verwenden. Ein Wechsel des Modus startet die Berechnung neu und unterbricht den Verkehr kurz – im Wartungsfenster durchführen.
Schritt 2: Root Bridge und Prioritäten festlegen
Auf dem Core-Switch (Root) bzw. dem Ersatz-Root:
CORE-01(config)# spanning-tree vlan 1-4094 priority 4096
CORE-02(config)# spanning-tree vlan 1-4094 priority 8192
Auf den 2960-X im Access-Bereich:
SW-EG-01(config)# spanning-tree vlan 1-4094 priority 61440
Alternativ berechnet spanning-tree vlan 10,20 root primary bzw. root secondary eine passende Priorität – feste Werte sind aber nachvollziehbarer.
Schritt 3: Endgeräte-Ports mit PortFast und BPDU Guard
Pro Port (siehe Cisco Catalyst 2960-X: VLANs und Access-Ports konfigurieren):
SW-EG-01(config)# interface range gi1/0/1 - 44
SW-EG-01(config-if-range)# spanning-tree portfast
SW-EG-01(config-if-range)# spanning-tree bpduguard enable
Oder global für alle Access-Ports:
SW-EG-01(config)# spanning-tree portfast edge default
SW-EG-01(config)# spanning-tree portfast edge bpduguard default
Seit IOS 15.2(4)E speichert der Switch spanning-tree portfast als spanning-tree portfast edge. Die globalen Befehle wirken nur auf Access-Ports, nicht auf Trunks.
- PortFast: Endgeräte bekommen sofort Verbindung, und ihr Ein- und Ausstecken löst keine Topologieänderung im ganzen Netz aus.
- BPDU Guard: Empfängt ein Edge Port eine BPDU – etwa weil jemand einen Switch ansteckt –, wird der Port gesperrt (err-disabled).
Schritt 4: Uplinks absichern
Root Guard auf den Downlinks des Core
Verhindert, dass ein falsch konfigurierter Switch an einem Downlink zur Root Bridge wird:
CORE-01(config)# interface range te1/0/10 - 12
CORE-01(config-if-range)# spanning-tree guard root
Loop Guard auf den Access-Switches
Schützt vor Schleifen durch einseitig ausgefallene Glasfaserstrecken, wenn keine BPDUs mehr ankommen:
SW-EG-01(config)# spanning-tree loopguard default
Root Guard und Loop Guard dürfen nicht auf demselben Port aktiv sein. UplinkFast und BackboneFast sind nur bei PVST+ wirksam und mit Rapid PVST+ überflüssig.
Gesperrte Ports automatisch wieder freigeben (optional)
SW-EG-01(config)# errdisable recovery cause bpduguard
SW-EG-01(config)# errdisable recovery interval 300
Der Port wird nach 5 Minuten wieder aktiviert. Ist die Ursache noch vorhanden, sperrt BPDU Guard ihn erneut. Ohne diese Einstellung muss ein Administrator den Port mit shutdown / no shutdown freigeben.
Kontrolle
show spanning-tree summary ! Modus, Guards, Anzahl Ports je Zustand
show spanning-tree root ! Root Bridge und Root Port je VLAN
show spanning-tree vlan 10 ! Rollen und Zustände der Ports in VLAN 10
show spanning-tree inconsistentports ! durch Root/Loop Guard blockierte Ports
show interfaces status err-disabled ! durch BPDU Guard gesperrte Ports
show spanning-tree detail | include ieee|occurr|from|is exec
Der letzte Befehl zeigt je VLAN die Zahl der Topologieänderungen, wann die letzte war und über welchen Port sie kam – die wichtigste Spur bei sporadischen Aussetzern.
Typische Probleme
| Symptom | Ursache | Lösung |
|---|---|---|
| Netz bricht schlagartig zusammen, alle Port-LEDs blinken | Schleife, z. B. durch Patchkabel zwischen zwei Dosen bei fehlendem BPDU Guard | betroffene Leitung trennen, BPDU Guard auf allen Edge Ports aktivieren |
Log-Meldung %SW_MATM-4-MACFLAP_NOTIF |
dieselbe MAC-Adresse taucht an zwei Ports auf – Hinweis auf eine Schleife | Ports aus der Meldung verfolgen |
| Ports gehen nach Anschluss eines Geräts in err-disabled | BPDU Guard hat eine BPDU empfangen (Switch, Bridge im Hypervisor) | Gerät prüfen; Ports zu Switches nicht als Edge konfigurieren |
| Häufige kurze Aussetzer | viele Topologieänderungen durch Ports ohne PortFast | PortFast auf allen Endgeräte-Ports |
| Verkehr läuft über einen unerwarteten Weg | falsche Root Bridge | Prioritäten wie oben festlegen |
Hinweise
- Spanning Tree nie abschalten – auch nicht in Netzen ohne geplante Redundanz. Ein versehentlich gestecktes Kabel genügt für eine Schleife.
- Redundante Uplinks besser bündeln: Zwei Leitungen zum selben Core-Switch oder Stack als EtherChannel betreiben – beide Leitungen sind dann aktiv, und Spanning Tree sieht nur eine Verbindung. Siehe Cisco Catalyst 2960-X: EtherChannel mit LACP konfigurieren.
- Andere Hersteller: Switches anderer Hersteller sprechen meist RSTP oder MSTP. Mit Rapid PVST+ läuft die Zusammenarbeit über VLAN 1; in gemischten Netzen ist MSTP oft die sauberere Lösung.
- Bei Planung und Fehlersuche in Ihrer Switch-Infrastruktur unterstützen Sie die Managed Services von m.a.x. it.
Siehe auch
- Cisco Catalyst 2960-X – Überblick und alle Artikel der Reihe
- Cisco Catalyst 2960-X: Trunk-Ports (802.1Q) konfigurieren
- Cisco Catalyst 2960-X: EtherChannel mit LACP konfigurieren
- Spanning Tree Protocol
Links und Quellen
- Cisco: Configuring Spanning Tree Protocol (Catalyst 2960-X, IOS 15.2(7)E)
- Managed Services von m.a.x. it
Über m.a.x. it Die m.a.x. Informationstechnologie AG ist seit über 30 Jahren IT-Partner mittelständischer und großer Unternehmen in München und bietet maßgeschneiderte Lösungen und Services in den Bereichen Cloud, Cybersecurity, Netzwerk, Windows, Linux und Softwareentwicklung. Sie haben eine Frage zu diesem Artikel oder brauchen Unterstützung?
