STP Spanning Tree Protocol: perché è critico

Spanning Tree Protocol è uno dei protocolli più sottovalutati ma più critici nelle reti switched. Senza STP, anche un solo loop fisico (due cavi che collegano gli stessi due switch) genera una tempesta di broadcast capace di azzerare le prestazioni dell'intera rete in pochi secondi. Vediamo come funziona, quali varianti esistono e come configurarlo correttamente.

Il problema dei loop a livello 2

I frame Ethernet broadcast e multicast vengono inoltrati su tutte le porte tranne quella di provenienza. Se due switch sono collegati con due cavi (ridondanza), un broadcast viaggia avanti e indietro infinite volte, moltiplicandosi a ogni passaggio. Il risultato è il broadcast storm: in pochi secondi la rete si satura, la CPU degli switch va al 100%, i client non comunicano più. STP previene questo bloccando logicamente uno dei due cavi, attivandolo solo se l'altro cade.

Varianti di STP

Le versioni principali sono: STP classico (802.1D) molto lento, convergenza 30-50 secondi; RSTP (802.1w) convergenza sotto i 5 secondi, ormai standard; MSTP (802.1s) multi-instance, una istanza STP per gruppo di VLAN; PVST+ proprietario Cisco, una istanza per VLAN; Rapid PVST+ combinazione delle ultime due. Per le reti moderne RSTP o MSTP sono la scelta corretta.

Procedura passo-passo

1. Abilita STP su tutti gli switch managed (è solitamente attivo di default).
2. Configura come root bridge lo switch core: priority 4096 (default 32768).
3. Imposta lo switch core secondario con priority 8192 come backup root.
4. Configura RSTP (rapid-pvst o mst) come modalità.
5. Sulle porte verso end device abilita PortFast (BPDU Guard) per skip della convergenza.
6. Su uplink critici abilita Root Guard per evitare che un'altro switch diventi root.
7. Abilita Loop Guard sui link punto-punto.
8. Verifica con show spanning-tree quale porta è root, designated o blocking.

Considerazioni di costo, formazione e governance

Un'aspetto spesso sottovalutato nella progettazione di una soluzione di rete e il total cost of ownership (TCO) sul medio-lungo periodo, non solo il prezzo di listino degli apparati. Vanno considerati: licenze annuali, contratti di manutenzione hardware, energia consumata, formazione del personale interno, costo di gestione operativa, costo di sostituzione a fine vita. Una soluzione apparentemente conveniente puo rivelarsi cara dopo 3-5 anni di esercizio se le licenze rinnovabili o il supporto tecnico crescono in modo significativo.

La formazione del team e un'investimento che ripaga sempre. Le tecnologie di rete moderne richiedono competenze trasversali: networking puro, sicurezza, automazione, cloud. Certificazioni come CCNA, CompTIA Network+, Aruba ACMA, Fortinet NSE, Mikrotik MTCNA sono percorsi consolidati. Per le PMI italiane esistono corsi finanziati da fondi interprofessionali (Fondimpresa, Fondir, For.Te) che coprono buona parte del costo. Pianificare il piano formativo annuale insieme al budget IT garantisce continuita e crescita delle competenze interne.

Sul piano della governance, una rete aziendale moderna richiede policy chiare e documentate: chi puo accedere a cosa, con quali credenziali, in quali orari, da quali device. Il framework consigliato in Italia per PMI e ISO/IEC 27001:2022 integrato con le linee guida AgID per la PA. Per settori specifici (finanza, sanita, energia) si applicano normative aggiuntive (PSD2, regolamento DORA, NIS2, GDPR in particolare). Stabilire un sistema di gestione della sicurezza delle informazioni (SGSI) ancorche minimale riduce il rischio operativo e facilita audit con clienti enterprise sempre più esigenti.

Errori comuni e come risolverli

• STP disabilitato: spesso negli switch SOHO. Un loop accidentale tira giù tutto. Sempre abilitato.
• Root bridge sbagliato: un piccolo switch in fondo alla rete diventa root per priority bassa di default. Configura sempre la priority del core.
• PortFast su porta uplink: causa loop transitori. PortFast solo su porte verso end device.
• BPDU non passano: alcuni AP filtrano BPDU, causando comportamenti strani. Abilita BPDU passthrough.
• STP tra switch e firewall: alcuni firewall non parlano STP. Configura ports come edge.

Approfondimenti tecnici e scenari avanzati

Nella pratica quotidiana di un sysadmin che lavora con Spanning Tree Protocol (STP), alcuni aspetti aggiuntivi meritano attenzione particolare. La gestione corretta in ambienti enterprise richiede di considerare l'integrazione con altri sistemi già presenti, la scalabilità futura e gli aspetti operativi day-2 spesso sottovalutati nella fase di design iniziale. Una configurazione che funziona bene per 50 utenti puo creare problemi seri a 200, ed e fondamentale prevedere fin da subito i punti di crescita.

Sul piano della sicurezza, l'attenzione si e spostata negli ultimi anni dal perimetro tradizionale al modello zero trust, dove ogni accesso viene verificato indipendentemente dalla provenienza. Per Spanning Tree Protocol (STP) questo significa applicare principi come minimum privilege, segregation of duties e continuous verification anche dove storicamente si dava fiducia implicita. Audit log, monitoring di anomalie e alert tempestivi sono ormai requisiti di base, non optional. Le normative europee come NIS2 e DORA stanno rendendo questi requisiti vincolanti per categorie sempre più ampie di aziende italiane.

Dal punto di vista operativo, l'automazione e ormai necessaria per gestire infrastrutture moderne con risorse umane limitate. Tool come Ansible, Terraform e script Python permettono di trattare la configurazione di rete come codice, versionata in git con pull request, review e CI/CD. Anche in piccole PMI vale la pena investire in queste pratiche: il tempo recuperato in change ripetitivi compensa rapidamente la curva di apprendimento iniziale, e la qualità aumenta perché le configurazioni sono validate prima del deployment.

Infine, il rapporto con i fornitori e gli operatori di telecomunicazione e importante. Avere chiari i punti di contatto NOC, le procedure di apertura ticket, gli SLA contrattuali e i meccanismi di escalation evita di scoprire questi dettagli durante un'incident critico. Documentare contratti, scadenze, modalita di rinnovo e clausole di uscita in un repository accessibile al team riduce la dipendenza da singole persone e migliora la continuita operativa nel medio periodo.

Domande frequenti

D: Quanto è veloce la convergenza RSTP?
R: Tipicamente 1-3 secondi, anche meno con porte point-to-point.

D: STP e LACP convivono?
R: Sì, un bundle LACP appare come un singolo link logico a STP.

D: Posso fare a meno di STP usando solo SDN?
R: In data center sì (es. EVPN-VXLAN), in azienda STP resta necessario.

Hai bisogno di aiuto?

Se vuoi affidare la gestione rete aziendale al team di G Tech Group, scrivici tramite il modulo di contatto.