Eine Netzwerkschleife entsteht, wenn zwei Switch-Ports denselben Broadcast-Frame immer wieder weiterleiten. Trennen Sie die verdächtige Verbindung physisch, aktivieren Sie Rapid-PVST oder RSTP auf allen Switches und schalten Sie BPDU Guard sowie Loop Guard an Access-Ports scharf. Danach prüfen Sie die MAC-Tabelle und die CPU-Last zur Bestätigung.
Symptome
- Alle Port-LEDs blinken gleichzeitig im exakt selben Takt, oft dauerhaft grün oder orange.
- CPU-Auslastung der Switches steigt binnen Sekunden auf 90–100 Prozent.
- Ping-Zeiten schwanken stark, Pakete gehen verloren, VoIP-Gespräche brechen ab.
- Management-Zugriff per SSH oder Webinterface reagiert nur noch träge oder gar nicht.
- Die MAC-Adresstabelle zeigt dieselbe MAC-Adresse abwechselnd auf mehreren Ports.
Häufige Ursachen
Doppelt gepatchte Kupferverbindung
Ein Kabel wurde versehentlich zweimal zwischen denselben zwei Switches oder in dieselbe Dose gesteckt. Häufigste Ursache in gewachsenen Verkabelungen ohne saubere Patchfeld-Dokumentation.
Deaktiviertes oder inkompatibles STP
Klassisches STP wurde global oder pro VLAN abgeschaltet, oder ein neuer Switch nutzt ein anderes Verfahren (PVST+ gegen MSTP). Redundante Pfade werden dann nicht mehr blockiert.
Unmanaged Switch im Access-Bereich
Ein günstiger Mini-Switch unter dem Schreibtisch leitet BPDUs nicht weiter. Wird er doppelt angeschlossen, entsteht sofort eine Brücke, die der Uplink-Switch nicht erkennen kann.
Fehlkonfiguriertes LACP oder EtherChannel
Zwei Ports sollen ein Bundle bilden, aber nur eine Seite ist als LACP konfiguriert. Die Ports laufen dann als unabhängige Uplinks parallel und bilden eine Schleife.
Fehlerhafte WLAN-Bridge oder Media Converter
Ein defekter Access Point im Bridge-Modus oder ein hängender Medienkonverter kann Frames doppelt zurückspielen. Solche Geräte fallen oft erst nach längerer Suche auf.
Schritt-für-Schritt-Lösung
- Broadcast-Sturm sofort eindämmen und Zugriff sichern
Verbinden Sie sich per Konsolenkabel direkt mit dem Core-Switch, da SSH unter Last meist nicht mehr reagiert. Notieren Sie den Ist-Zustand, bevor Sie Ports abschalten. Ein Foto vom Patchschrank hilft später bei der Ursachenanalyse. - Verdächtigen Port über die MAC-Tabelle lokalisieren
Führen Sie auf dem betroffenen Switch "show mac address-table" aus und suchen Sie MAC-Adressen, die zwischen zwei Ports springen. Der Port, an dem fremde MACs häufig neu gelernt werden, ist meist der Loop-Eintritt. Alternativ liefert "show interfaces counters" den Port mit den höchsten Broadcast-Zählern. - Auffälligen Port administrativ deaktivieren
Setzen Sie den identifizierten Port mit "shutdown" außer Betrieb. Die CPU-Last fällt innerhalb weniger Sekunden, wenn Sie den richtigen Port getroffen haben. Bleibt der Sturm bestehen, existiert eine zweite Schleife an anderer Stelle. - Spanning Tree Protocol prüfen und vereinheitlichen
Kontrollieren Sie mit "show spanning-tree summary", ob STP auf allen VLANs aktiv ist und welche Variante läuft. Bei gemischten Herstellern nutzen Sie MSTP oder Rapid-PVST einheitlich. Definieren Sie den Core-Switch mit niedriger Bridge-Priorität als Root Bridge. - BPDU Guard und Loop Guard an Access-Ports aktivieren
An Endgeräte-Ports gehören "spanning-tree portfast" und "spanning-tree bpduguard enable". Trifft dort eine BPDU ein, wird der Port automatisch in err-disabled versetzt. An Trunks zwischen Switches ergänzen Sie Loop Guard, damit blockierende Ports nicht durch fehlende BPDUs plötzlich forwarden. - Verkabelung physisch überprüfen und dokumentieren
Gehen Sie den betroffenen Bereich mit einem Kabeltester oder Toner ab. Suchen Sie speziell nach Doppelbelegungen, ungenutzten Netzwerkdosen mit angesteckten Patchkabeln und privaten Mini-Switches. Aktualisieren Sie anschließend das Patchfeld-Protokoll. - Storm Control als letztes Sicherheitsnetz konfigurieren
Auf Access-Ports begrenzen Sie Broadcast- und Multicast-Verkehr mit "storm-control broadcast level" auf einen sinnvollen Prozentsatz der Portbandbreite. Der Port wird bei Überschreitung gedrosselt oder abgeschaltet und schützt so den Rest des Netzes. - Ergebnis verifizieren und Monitoring anpassen
Nach der Reparatur prüfen Sie CPU-Last, Interface-Fehler und STP-Topologie über mehrere Stunden. Legen Sie im Monitoring-System Schwellwerte auf Broadcast-Anteil pro Port und plötzliche MAC-Flap-Events. So sehen Sie eine neue Schleife, bevor Anwender sie merken.
Typische Symptome, ihre wahrscheinliche Ursache und der passende erste Eingriff
| Symptom | Wahrscheinliche Ursache | Erste Maßnahme |
|---|---|---|
| Alle LEDs blinken synchron | Aktive Layer-2-Schleife | Verdächtigen Uplink physisch trennen |
| MAC-Adresse springt zwischen zwei Ports | Redundanter Pfad ohne STP | STP-Status und Root Bridge prüfen |
| Einzelner Port meldet ständig err-disabled | BPDU Guard hat ausgelöst | Angeschlossenes Gerät und Kabelweg kontrollieren |
| CPU dauerhaft über 90 Prozent | Broadcast-Sturm oder Loop | show processes cpu und Broadcast-Zähler auswerten |
| Nur ein VLAN betroffen | Per-VLAN-STP fehlt oder blockiert falsch | Bridge-Prioritäten pro VLAN neu setzen |
| WLAN-Clients verlieren regelmäßig DHCP | Bridge-Loop über Access Point | AP-Modus und zweite Ethernet-Leitung prüfen |
So beugen Sie vor
- Trunks zwischen Switches immer beidseitig als LACP konfigurieren, nie einseitig aktiv lassen.
- Ungenutzte Access-Ports abschalten und einem isolierten Blackhole-VLAN zuweisen.
- Patchfeld und Netzwerkdosen konsequent beschriften, jede Änderung im CMDB dokumentieren.
- BPDU Guard, Root Guard und Storm Control als Standard-Template für alle Access-Switches ausrollen.
Häufige Fragen
Woran erkenne ich eine Netzwerkschleife, ohne CLI-Zugriff zu haben?
Achten Sie auf synchron blinkende LEDs an mehreren Switch-Ports und auf Endgeräte, die gleichzeitig ihre Netzwerkverbindung verlieren. Auch stark verzögertes Anmelden am Domain-Controller ist ein deutliches Indiz. Ziehen Sie testweise einen verdächtigen Uplink ab: Beruhigt sich das Netz binnen Sekunden, war es mit hoher Wahrscheinlichkeit eine Schleife.
Reicht Spanning Tree Protocol allein aus, um Schleifen zu verhindern?
STP blockiert redundante Pfade zuverlässig, solange BPDUs korrekt ausgetauscht werden. Fällt ein Switch aus, ist STP deaktiviert oder mischen sich Varianten wie PVST+ und MSTP, entstehen dennoch Loops. Kombinieren Sie STP daher immer mit BPDU Guard, Loop Guard und Storm Control an den Access-Ports.
Kann ein einzelner unmanaged Switch das gesamte Netzwerk lahmlegen?
Ja, sobald ein Anwender zwei Ports desselben unmanaged Switches an unterschiedliche Wanddosen steckt, entsteht sofort eine Brücke. Da das Gerät keine BPDUs weiterreicht, kann der übergeordnete Switch die Schleife nicht per STP unterbinden. Nur BPDU Guard oder Port Security am Access-Port stoppt diesen Fall zuverlässig.
Rufen Sie unser Netzwerk-Team an, wenn Sie eine aktive Schleife vermuten und sofortige Unterstützung bei der Analyse benötigen.