読み方：ビーピーディーユーガード

BPDUガード【BPDU guard】

概要

BPDUガードとは、ネットワークスイッチのポートに設定できるセキュリティ機能の一つで、対象ポートがBPDUフレームを受信した時点でそのポートを即座に通信不能状態に移行させ、以降のフレーム転送を停止するもの。

「BPDU」（Bridge Protocol Data Unit）はスパニングツリープロトコル（STP）においてスイッチ間で交換される制御フレームで、ネットワーク上にループ経路が生じないよう経路を管理するために用いられる。ネットワーク内で複数のスイッチを経由するループ構成が存在する場合、STPがトポロジを計算して特定ポートをブロックすることで、フレームの循環による障害を防いでいる。

BPDUはスイッチ同士を結ぶポートでのみ送受信されるため、パソコンやサーバなどの末端の機器が接続されたポートにBPDUが届くことは通常ない。BPDUガードはこの前提に基づき、BPDUを受信するはずのないポートに設定しておく機能である。該当ポートがBPDUを受信すると、ポートはerr-disabled状態に移行し、管理者が手動で復旧するか自動復旧タイマーが経過するまで通信できない状態が維持される。

BPDUガードが有効に機能する場面として、末端の機器向けポートへスイッチが誤接続された場合と、攻撃者が用意したスイッチによる不正なSTP操作が試みられた場合がある。前者では、誤接続されたスイッチからBPDUが流入してトポロジの再計算が発生し、ネットワーク全体の通信が一時中断したり意図しない経路が形成されたりする危険がある。後者では、偽のスイッチがBPDUを送出して自身をルートブリッジに昇格させ、トラフィックの盗聴や改竄を試みるケースがある。BPDUガードはBPDUの受信をトリガーにポートを即座に遮断するため、こうした誤接続による障害や不正なトポロジー変更の起点を封じることができる。

BPDUガードは「PortFast」と組み合わせて使われることが多い。PortFastは末端の機器向けポートのSTP収束プロセスを省略して即時通信可能にする機能で、BPDUが届く想定のないアクセスポートに設定される。両機能を併用することで、接続の即時性とトポロジー保護を同時に確保した運用が可能となる。

(2026.6.16更新)