Attaques spanning tree : la fausse racine et Root Guard

Le spanning tree élit un pont racine, et chaque commutateur construit ses chemins vers lui. Un équipement branché sur un port d'accès envoie des messages du protocole de pont, les BPDU, qui annoncent une meilleure priorité.

En configuration d'usine, BPDU Guard et Root Guard sont désactivés chez les quatre constructeurs, et Juniper accepte toutes les BPDU par défaut. Rien dans le protocole ne vérifie qui parle.

Un port d'accès. Aucun compte : le protocole fait confiance à chaque BPDU qu'il reçoit.

Et sur un réseau où personne n'a fixé la priorité de la racine, le nombre à battre est la valeur par défaut.

L'équipement posé sur le bureau annonce une priorité de zéro. Les commutateurs l'élisent comme nouvelle racine.

L'arbre se reconstruit autour de lui : certains liens de cœur de réseau passent en blocage, et le trafic s'écoule désormais vers la périphérie. Le plus petit bridge ID l'emporte, même lorsqu'il se trouve sur un bureau.

Du trafic redirigé via un port où il peut être observé. Des liens de cœur de réseau bloqués : l'exemple de Huawei lui-même montre un lien à 100 gigabits bloqué pendant que le trafic se rabat sur des liens à 10 gigabits.

Et chaque changement de racine oblige l'arbre à reconverger, ce qui interrompt le trafic.

Sur chaque port utilisateur, déclarez le port comme port de bordure (edge port) et activez BPDU Guard, pour qu'une BPDU coupe le port. Sur les liens vers les commutateurs d'accès, activez Root Guard, pour qu'aucune meilleure racine ne puisse venir de là. Cisco, Huawei, Aruba et Juniper proposent les deux.

Fixez la priorité de la racine prévue et de celle de secours, pour que la valeur par défaut ne soit jamais la barre à franchir.

Et évitez le filtrage des BPDU : Cisco indique que cela revient à désactiver le spanning tree sur ce port.

NacTrack vérifie Root Guard sur les commutateurs Cisco, Huawei, Aruba et Juniper, et montre quel commutateur est la racine de chaque spanning tree.

Sources : guides STP Cisco Catalyst 9300, guides STP Huawei, Aruba AOS-CX 10.14, guide STP Juniper EX, ANSSI.

Formation défensive : l'attaque est montrée dans son principe seulement, sans étape d'exploitation, outil ni charge utile. Les sorties de commande et les configurations sont des exemples ; vérifiez votre plateforme et votre version dans la documentation du constructeur.