Boucle L2 et VLAN natif après l’ajout d’un commutateur d’accès
Une PME de 180 salariés exploite un campus de trois bâtiments. Le cœur est constitué de deux commutateurs de distribution redondants reliés par un EtherChannel LACP 2×10 Gb/s. Les VLAN sont 10 pour les postes, 20 pour la téléphonie, 30 pour les caméras IP et 99 pour l’administration. Rapid PVST+ est utilisé, le VLAN 99 est root primaire sur le distributeur A. Depuis l’ajout d’un commutateur d’accès au bâtiment C, des perturbations de 5 à 10 minutes surviennent plusieurs fois par jour : pertes DHCP, plaintes téléphonie, CPU du cœur à 90 % et journaux signalant des changements de portée MAC en rafale. Le nouvel équipement a été configuré à partir d’un modèle ancien : le trunk natif est en VLAN 1 d’un côté et en VLAN 99 de l’autre, et le filtre BPDU est activé sur les ports d’accès. Un petit switch non administré a par ailleurs été branché dans une salle de réunion sur deux prises murales. La direction demande un retour à la normale sans changer le budget matériel.
1. Classez les causes possibles par ordre de probabilité et indiquez les vérifications à mener avant toute modification. Justifiez votre priorisation.
Read the worked answer
Les symptômes de changements de portée MAC en rafale, de CPU à 90 % et de pertes DHCP orientent d’abord vers une boucle de niveau 2, et non vers le seul mismatch de VLAN natif. Le petit switch non administré relié à deux prises murales crée une boucle si les ports d’accès ne participent pas correctement à STP ; le filtre BPDU activé sur les ports d’accès peut empêcher la détection ou masquer les BPDU. Le mismatch de VLAN natif est réel et doit être corrigé, mais il produit surtout des incohérences CDP et des fuites de VLAN ; il n’explique pas à lui seul des flaps MAC massifs. Vérifications : show spanning-tree vlan 10,20,30,99 pour identifier la racine et les changements de topologie ; show mac address-table count et observation des mouvements ; compteurs d’interface et états err-disabled ; show cdp neighbors detail pour le VLAN natif ; journaux SPANTREE et MAC. Il ne faut pas redémarrer le cœur immédiatement : cela peut masquer la cause et propager la tempête.
2. Proposez une séquence de remédiation avec les commandes ou principes de configuration clés, les risques et un critère de rollback.
Read the worked answer
Séquence proposée : 1) isoler la salle de réunion en coupant administrativement l’un des deux ports, ou les deux si l’activité le permet ; 2) supprimer le filtre BPDU des ports d’accès, activer PortFast et BPDU Guard sur les ports terminaux ; 3) aligner le VLAN natif sur 99 aux deux extrémités du trunk, autoriser uniquement les VLAN nécessaires et élaguer le reste ; 4) vérifier la cohérence de l’EtherChannel LACP et l’absence de déséquilibre ; 5) activer Root Guard sur les ports de distribution orientés vers l’accès et Loop Guard sur les liens non désignés ; 6) réactiver les ports un par un en surveillant les changements de topologie. Risques : une erreur de trunk peut couper la téléphonie ou l’administration ; BPDU Guard peut bloquer un switch légitime. Critère de rollback : plus de trois changements de topologie en cinq minutes ou perte de la passerelle de management. À long terme : audit des modèles, désactivation des prises inutilisées, storm control en complément et non en remplacement de STP.