Root guard
Une fonction de Spanning Tree qui empêche un commutateur mal placé de devenir root bridge : si un port reçoit un BPDU « supérieur » (qui ferait d'un autre commutateur la racine), il passe à l'état bloqué tant que la menace persiste.
Le problème : le root bridge devrait être un commutateur central et puissant, au cœur du réseau. Or STP élit automatiquement celui dont le bridge ID est le plus bas — si quelqu'un branche en couche d'accès un vieux commutateur (ou un attaquant) avec une valeur de priorité basse, il peut s'emparer du rôle de racine et forcer tout le trafic à emprunter un chemin inadapté (catastrophe de performances, ou écoute clandestine).
Le root guard s'applique aux ports tournés vers « le bas » ou vers l'extérieur (là où la racine ne devrait jamais se trouver) : si un tel port reçoit un BPDU supérieur, il est marqué « root-inconsistent » et bloqué, puis rétabli automatiquement dès que les BPDU supérieurs cessent. À distinguer du BPDU guard, qui coupe entièrement le port au moindre BPDU. Ensemble, ils gardent la topologie STP stable et prévisible.