BPDU guard
Une fonction de Spanning Tree qui coupe immédiatement un port d'accès (err-disable) dès qu'il reçoit une BPDU. Sur un port censé n'accueillir que des terminaux, une BPDU signale que quelqu'un a branché un switch — par erreur, ou par malveillance.
Le mécanisme : BPDU guard s'active avec PortFast sur les ports d'accès (là où se trouvent postes de travail et imprimantes). Ces ports n'attendent jamais de BPDU ; si l'une arrive, c'est qu'un switch ou un pont a été raccordé, ce qui peut créer des boucles ou perturber la topologie STP. Plutôt que de prendre le risque, le port est aussitôt mis en err-disable et doit être réactivé à la main (ou par un minuteur de récupération automatique).
Le bénéfice : une protection contre les boucles accidentelles (le petit switch de bureau mal câblé) comme contre les attaques visant STP. À ne pas confondre avec root guard, qui ne bloque que les BPDU supérieures, pas toutes. C'est le réglage standard de tout port d'accès dans un réseau correctement durci.