Root guard
Una funzione dello Spanning Tree che impedisce a uno switch collocato nel posto «sbagliato» della rete di diventare root bridge. Se una porta riceve una BPDU «superiore» (che renderebbe root un altro switch), la porta viene messa in stato bloccato finché la minaccia non scompare.
Il problema: il root bridge dovrebbe essere uno switch centrale e potente nel core, ma STP elegge automaticamente quello con il bridge ID più basso. Se qualcuno collega nel livello di accesso un vecchio switch (o un attaccante) con un valore di priorità basso, questo può diventare root e costringere tutto il traffico su un percorso inadatto (un disastro prestazionale oppure intercettazione). Il root guard si applica alle porte rivolte «verso il basso» o verso l'esterno (dove il root non dovrebbe mai trovarsi): se una di esse riceve una BPDU superiore viene marcata «root-inconsistent» e bloccata, ma viene ripristinata automaticamente quando le BPDU superiori cessano. Diverso dal BPDU guard (che spegne del tutto la porta alla ricezione di qualsiasi BPDU). Insieme mantengono la topologia STP stabile e prevedibile. Imparentato con BPDU guard e BPDU.