Un switch neuf devient racine Spanning Tree et coupe tout le réseau

Le contexte

L'entreprise, une PME de distribution d'une vingtaine de personnes, venait d'acheter un switch UniFi doté de quatre ports SFP+ à 10 Gb/s, pour remplacer un switch d'accès. Ce remplacement est devenu un chantier plus large : la migration du cœur de réseau en 10 Gigabit. Le cœur est un switch Cisco, complété par un switch de distribution.

Avant de brancher quoi que ce soit, j'avais préparé le cœur : trois copies de sa configuration, puis un redémarrage de validation. Le contrôleur UniFi avait adopté le nouveau switch, et je lui avais donné une adresse de gestion fixe. Restait à le relier au cœur par une liaison SFP+ à 10 Gb/s.

Le symptôme

Au branchement de cette liaison montante, coupure générale : tout le réseau de l'entreprise est tombé. Le cœur, lui, avait été redémarré avant l'intervention et était reparti proprement.

Ce que le symptôme indique déjà

Avant toute commande, le moment et l'étendue de la coupure orientent la recherche :

• La coupure arrive au branchement : le déclencheur est la nouvelle liaison, pas une panne qui tomberait au même moment.
• Elle touche tout le réseau, pas un port ni un poste : la cause est plus probablement un mécanisme commun à tous les switchs qu'un réglage local du switch neuf.
• Le mécanisme qui réagit dès qu'un switch rejoint le réseau, et qui peut réorganiser tous les autres, c'est le Spanning Tree.

Ce que montre le switch cœur

Sur un switch Cisco, show spanning-tree vlan affiche, pour un VLAN, la racine telle que ce switch la voit : sa priorité, son adresse MAC et le port par lequel il l'atteint. Quand le switch est lui-même la racine, la commande l'écrit en toutes lettres : This bridge is the root.

Sur le cœur, la racine affichée était un autre switch. Son adresse MAC était celle du switch UniFi, et le port indiqué était la liaison montante qui venait d'être branchée. Le centre de l'arbre n'était plus le cœur de réseau, mais le switch d'accès que je venais d'ajouter.

Pourquoi le switch neuf a gagné l'élection

Le Spanning Tree évite les boucles entre switchs. Les switchs élisent d'abord une racine. Chacun garde ensuite son meilleur chemin vers elle et bloque les liens en trop. Toute la topologie se calcule à partir de cette racine.

L'élection compare un identifiant que chaque switch annonce : une priorité, suivie de son adresse MAC. Le plus petit gagne. La priorité compte d'abord ; à priorité égale, l'adresse MAC la plus basse l'emporte. La valeur par défaut de la priorité est 32768.

Un détail fait la différence. Sur un switch Cisco, la priorité annoncée pour un VLAN est la valeur configurée plus le numéro du VLAN : 32768 + 1 = 32769 sur le VLAN 1. Le switch neuf, lui, annonçait 32768 tout court, la valeur que montre la ligne « Root ID » relevée sur le cœur. Aucune priorité n'avait été fixée sur le cœur : avec une valeur plus basse que la sienne, le switch neuf a gagné l'élection, avant même que les adresses MAC soient comparées. Quand une nouvelle racine apparaît, tous les switchs recalculent leurs chemins vers elle, et le trafic peut s'interrompre pendant ce recalcul.

La correction

La correction tient en une ligne par VLAN : donner au cœur une priorité plus basse que la valeur par défaut. J'ai fixé 4096 sur les VLAN actifs du switch cœur. Avec cette valeur, le cœur l'emporte sur tout switch resté à 32768, quelle que soit son adresse MAC.

Cisco IOS-XE · diagnostic et correction (noms et identifiants génériques)

! 1. Qui est la racine, vue depuis le cœur ?
SW-CORE# show spanning-tree vlan <VLAN>
  Root ID    Priority    32768
             Address     xxxx.xxxx.xxxx        <- adresse MAC du switch UniFi
             Port        <liaison montante>    <- la racine est derrière le lien branché

! 2. Le cœur reprend la racine : priorité fixée sur chaque VLAN actif
SW-CORE(config)# spanning-tree vlan <VLAN> priority 4096
SW-CORE(config)# spanning-tree vlan <autre VLAN actif> priority 4096

! 3. Vérification
SW-CORE# show spanning-tree vlan <VLAN>
  Root ID    Priority    <4096 + numéro du VLAN>
             This bridge is the root

Le cœur est redevenu la racine, et l'incident était résolu. La migration a pu reprendre : j'ai ensuite passé les ports des serveurs en trunk avec PortFast, une option qui les fait transmettre sans attendre la convergence du Spanning Tree. Elle se réserve aux ports reliés à un serveur ou à un poste, jamais à un autre switch.

Ce que j'en retiens

• Fixer la racine avant de brancher, pas après la coupure. Un switch neuf arrive avec la priorité par défaut : si le cœur y est resté aussi, l'élection peut désigner le nouveau venu.
• Lire la ligne « Root ID » quand une coupure générale suit l'ajout d'un équipement : l'adresse de la racine et le port par lequel on l'atteint désignent le responsable en une commande.
• Traiter un switch d'accès comme un changement de cœur : il participe au Spanning Tree comme les autres. Configuration sauvegardée avant, racine vérifiée avant et après le branchement.