Root guard
En Spanning Tree-funktion som förhindrar att en switch på "fel" plats i nätet blir root bridge. Om en port tar emot en "överlägsen" BPDU (som skulle göra en annan switch till root) sätts porten i ett blockerat tillstånd tills hotet försvinner.
Problem: root bridge bör vara en central, kraftfull switch i kärnan. Men STP väljer automatiskt den med lägst bridge-ID — kopplar någon in en gammal switch (eller en angripare) med lågt prioritetsvärde i access-lagret kan den ta över som root och tvinga all trafik genom en olämplig väg (prestandakatastrof eller avlyssning). Root guard appliceras på portar som vänder "nedåt"/utåt (där root aldrig borde sitta): tar en sådan port emot en överlägsen BPDU markeras den "root-inconsistent" och blockeras, men återställs automatiskt när de överlägsna BPDU:erna upphör. Skiljer sig från BPDU guard (som stänger porten helt vid valfri BPDU). Tillsammans håller de STP-topologin stabil och förutsägbar. Hör ihop med BPDU guard och BPDU.