{"id":90,"date":"2026-08-30T19:55:28","date_gmt":"2026-08-30T17:55:28","guid":{"rendered":"https:\/\/asfy.fr\/index.php\/tutoriels\/spanning-tree-protocol-stp-eviter-les-boucles-reseau\/"},"modified":"2026-08-30T21:56:37","modified_gmt":"2026-08-30T19:56:37","slug":"spanning-tree-protocol-stp-eviter-les-boucles-reseau","status":"publish","type":"sv_tutoriel","link":"https:\/\/asfy.fr\/index.php\/tutoriels\/spanning-tree-protocol-stp-eviter-les-boucles-reseau\/","title":{"rendered":"Spanning Tree Protocol (STP) : \u00e9viter les boucles r\u00e9seau"},"content":{"rendered":"

Sur un r\u00e9seau avec des liens redondants entre switches, une boucle peut provoquer une temp\u00eate de diffusion (broadcast storm) capable de saturer tout le r\u00e9seau en quelques secondes. Le Spanning Tree Protocol (STP) existe pr\u00e9cis\u00e9ment pour \u00e9viter ce sc\u00e9nario.<\/p>\n

\n\n \n \n \n lien actif<\/text>\n bloqu\u00e9 (STP)<\/text>\n \n Switch A<\/text>\n Root Bridge<\/text>\n \n Switch B<\/text>\n \n Switch C<\/text>\n<\/svg>
Topologie en triangle : STP bloque un des trois liens pour supprimer la boucle, tout en gardant un chemin de secours en cas de panne.<\/figcaption><\/figure>\n

Le probl\u00e8me que r\u00e9sout STP<\/h2>\n

Relier deux switches par plusieurs c\u00e2bles am\u00e9liore la disponibilit\u00e9 (si un lien tombe, l’autre prend le relais) mais cr\u00e9e aussi une boucle physique. Sans protection, une trame de diffusion envoy\u00e9e sur cette boucle est dupliqu\u00e9e ind\u00e9finiment, saturant la bande passante et faisant grimper le CPU des \u00e9quipements jusqu’au blocage complet du r\u00e9seau.<\/p>\n

Le principe de STP<\/h2>\n

STP construit un arbre logique sans boucle \u00e0 partir de la topologie physique : il \u00e9lit un pont racine<\/strong> (root bridge), calcule le chemin le plus court vers celui-ci depuis chaque switch, et place les ports redondants en \u00e9tat blocking<\/strong> pour ne pas les utiliser tant que le chemin actif fonctionne.<\/p>\n

Les \u00e9tats d’un port STP<\/h2>\n
    \n
  • Blocking<\/strong> \u2014 ne transmet pas de trafic, \u00e9coute uniquement les BPDU (messages de contr\u00f4le STP).<\/li>\n
  • Listening<\/strong> \u2014 \u00e9tape transitoire, le port commence \u00e0 participer \u00e0 l’\u00e9lection.<\/li>\n
  • Learning<\/strong> \u2014 le switch apprend les adresses MAC vues sur ce port, sans transmettre de trafic utilisateur.<\/li>\n
  • Forwarding<\/strong> \u2014 le port transmet normalement le trafic.<\/li>\n<\/ul>\n

    Cette transition compl\u00e8te prend jusqu’\u00e0 30-50 secondes en STP classique (802.1D) \u2014 c’est ce d\u00e9lai que les versions plus r\u00e9centes comme Rapid STP (802.1w) r\u00e9duisent drastiquement, \u00e0 quelques secondes seulement.<\/p>\n

    Voir l’\u00e9tat de STP sur un switch Cisco<\/h2>\n
    Switch# show spanning-tree<\/pre>\n
    Cette commande affiche le pont racine \u00e9lu, le r\u00f4le et l’\u00e9tat de chaque port, ainsi que la priorit\u00e9 configur\u00e9e.<\/p>\n
    Un point de vigilance : la priorit\u00e9 du pont racine<\/h2>\n
    Switch(config)# spanning-tree vlan 10 priority 4096<\/pre>\n
    Sur un r\u00e9seau avec plusieurs switches, il est recommand\u00e9 de choisir explicitement quel \u00e9quipement doit \u00eatre le pont racine (g\u00e9n\u00e9ralement le switch c\u0153ur de r\u00e9seau) plut\u00f4t que de laisser l’\u00e9lection se faire au hasard sur la seule adresse MAC \u2014 un mauvais choix peut cr\u00e9er des chemins de trafic sous-optimaux.<\/p>\n
    Portfast : acc\u00e9l\u00e9rer la connexion des postes utilisateurs<\/h2>\n
    Pour un port reli\u00e9 \u00e0 un simple poste de travail (pas \u00e0 un autre switch), l’attente de 30 secondes avant transmission est inutile et g\u00eanante. La commande spanning-tree portfast<\/code> sur ce port fait basculer directement en forwarding, tout en gardant la protection STP active en cas de mauvais branchement accidentel.<\/p>\n
    Commandes utiles : application et supervision<\/h2>\n
    Configuration<\/h3>\n
    Configurer STP correctement va au-del\u00e0 d’activer le protocole : il s’agit de choisir le bon mode, de d\u00e9signer explicitement le pont racine, et d’ajouter des protections compl\u00e9mentaires sur les ports d’acc\u00e8s.<\/p>\n
    Choisir le mode STP<\/h4>\n
    Trois variantes principales existent sur les \u00e9quipements Cisco :<\/p>\n
      \n
    • PVST+<\/strong> \u2014 le mode STP classique (802.1D) par instance de VLAN ; convergence lente (30-50s).<\/li>\n
    • Rapid-PVST+<\/strong> \u2014 bas\u00e9 sur 802.1w, convergence en quelques secondes ; c’est le mode recommand\u00e9 par d\u00e9faut aujourd’hui, avec une instance STP ind\u00e9pendante par VLAN.<\/li>\n
    • MST (Multiple Spanning Tree)<\/strong> \u2014 regroupe plusieurs VLANs dans une m\u00eame instance STP, r\u00e9duisant la charge CPU sur les r\u00e9seaux avec un grand nombre de VLANs ; plus complexe \u00e0 mettre en place.<\/li>\n<\/ul>\n
      Switch(config)# spanning-tree mode rapid-pvst<\/pre>\n
      D\u00e9signer explicitement le pont racine<\/h4>\n
      Plut\u00f4t que de calculer une priorit\u00e9 manuellement, Cisco propose une commande d\u00e9di\u00e9e qui ajuste automatiquement la priorit\u00e9 du switch pour qu’il devienne pont racine (ou racine de secours) sur un VLAN donn\u00e9 :<\/p>\n
      Switch(config)# spanning-tree vlan 10 root primary\nSwitch(config)# spanning-tree vlan 10 root secondary<\/pre>\n
      Sur le switch d\u00e9sign\u00e9 comme racine de secours, cette commande d\u00e9finit une priorit\u00e9 suffisamment basse pour qu’il prenne le relais automatiquement si le pont racine principal tombe en panne. La m\u00e9thode manuelle reste possible pour un contr\u00f4le plus fin :<\/p>\n
      Switch(config)# spanning-tree vlan 10 priority 4096<\/pre>\n
      PortFast : acc\u00e9l\u00e9rer les ports utilisateurs<\/h4>\n
      \u00c0 activer uniquement sur un port reli\u00e9 \u00e0 un poste de travail, jamais sur un port reli\u00e9 \u00e0 un autre switch \u2014 sous peine de cr\u00e9er une boucle non d\u00e9tect\u00e9e le temps que STP s’en aper\u00e7oive.<\/p>\n
      Switch(config)# interface gi0\/5\nSwitch(config-if)# spanning-tree portfast<\/pre>\n
      BPDU Guard : prot\u00e9ger les ports PortFast<\/h4>\n
      Compl\u00e8te PortFast en d\u00e9sactivant automatiquement (err-disable) tout port qui re\u00e7oit une BPDU alors qu’il est configur\u00e9 en PortFast \u2014 un signe qu’un switch non autoris\u00e9 (ou mal branch\u00e9) a \u00e9t\u00e9 connect\u00e9 \u00e0 cet endroit.<\/p>\n
      Switch(config-if)# spanning-tree bpduguard enable<\/pre>\n
      Pour l’activer globalement sur tous les ports PortFast du switch plut\u00f4t qu’interface par interface :<\/p>\n
      Switch(config)# spanning-tree portfast bpduguard default<\/pre>\n
      Root Guard : prot\u00e9ger la position du pont racine<\/h4>\n
      \u00c0 placer sur les ports orient\u00e9s vers des switches qui ne doivent jamais devenir pont racine (typiquement les liens vers des switches d’acc\u00e8s). Si une BPDU de meilleure priorit\u00e9 est re\u00e7ue sur ce port, il passe en \u00e9tat \u00ab\u00a0root-inconsistent\u00a0\u00bb plut\u00f4t que de laisser le nouveau venu prendre la racine.<\/p>\n
      Switch(config-if)# spanning-tree guard root<\/pre>\n
      Loop Guard : une protection compl\u00e9mentaire \u00e0 UDLD<\/h4>\n
      Emp\u00eache un port de passer en forwarding s’il cesse de recevoir des BPDU sans qu’il s’agisse d’une d\u00e9connexion normale \u2014 un sc\u00e9nario proche de celui que couvre UDLD, mais au niveau de STP directement.<\/p>\n
      Switch(config-if)# spanning-tree guard loop<\/pre>\n
      Supervision (monitoring)<\/h3>\n
      Chaque commande de supervision STP r\u00e9pond \u00e0 une question diff\u00e9rente : quel est l’\u00e9tat global, que se passe-t-il sur ce VLAN pr\u00e9cis, ce port a-t-il un probl\u00e8me ?<\/p>\n
      show spanning-tree : la vue d’ensemble<\/h4>\n
      Switch# show spanning-tree<\/pre>\n
      Affiche, pour chaque VLAN, les informations cl\u00e9s \u00e0 surveiller :<\/p>\n