BPDU guard
Una funzione dello Spanning Tree che disattiva immediatamente una porta di accesso (err-disable) se riceve un BPDU. Su una porta dove dovrebbero esserci solo dispositivi terminali, un BPDU indica che qualcuno ha collegato uno switch — magari per errore, magari come attacco.
Funzionamento: BPDU guard si abilita insieme a PortFast sulle porte di accesso (dove sono collegati computer e stampanti). Queste porte non si aspettano BPDU; se ne arriva uno, significa che è stato collegato uno switch o un bridge, il che può creare loop o disturbare la topologia STP. Invece di correre il rischio, la porta viene spenta subito (err-disabled) e va riattivata manualmente (o tramite un timer di ripristino automatico). Vantaggio: protegge dai loop accidentali (qualcuno collega male uno switch d'ufficio) e dagli attacchi basati su STP. Diverso da root guard, che blocca solo in caso di BPDU superiore, non tutti. Prassi standard su tutte le porte di accesso in una rete ben protetta, insieme a PortFast.