BPDU guard
Een Spanning Tree-functie die een toegangspoort direct uitschakelt (err-disable) zodra die een BPDU ontvangt. Op een poort waar alleen eindapparaten horen te zitten wijst een BPDU erop dat iemand een switch heeft aangesloten, per ongeluk of als aanval.
Werking: BPDU guard wordt samen met PortFast ingeschakeld op toegangspoorten (waar computers en printers zitten). Die poorten verwachten nooit BPDU’s; verschijnt er toch een, dan is er een switch of bridge aangesloten, wat lussen kan veroorzaken of de STP-topologie kan verstoren. In plaats van dat risico te nemen wordt de poort meteen uitgeschakeld (err-disabled) en moet die handmatig worden heractiveerd, of via een automatische hersteltimer. Winst: bescherming tegen onbedoelde lussen (iemand koppelt een kantoorswitch verkeerd aan) en tegen op STP gebaseerde aanvallen. Te onderscheiden van root guard, dat alleen blokkeert bij een superieure BPDU en niet bij alle. Standaard op alle toegangspoorten in een goed geharde omgeving, samen met PortFast.