Probleme mit der Netzwerktopologie beheben Sie systematisch: Dokumentieren Sie zuerst das Ist-Layout mit einem Discovery-Tool, prüfen Sie die Spanning-Tree-Domäne auf Schleifen, testen Sie Redundanzpfade, korrigieren Sie fehlerhafte Trunk- und Routing-Einstellungen und validieren Sie das Ergebnis mit Latenzmessung, Traceroute und einem finalen Abgleich gegen Ihre Soll-Topologie.
Symptome
- Broadcast-Stürme mit dauerhafter CPU-Last über 80 % auf mehreren Switches
- Sporadische Paketverluste zwischen bestimmten VLANs oder Standorten
- Traceroute zeigt asymmetrische oder wechselnde Pfade zum selben Ziel
- Ein Segment fällt komplett aus, sobald ein einzelner Uplink getrennt wird
- Häufige Topology-Change-Notifications (TCN) und Port-Flaps in den Switch-Logs
Häufige Ursachen
Layer-2-Schleifen ohne STP-Schutz
Zwei parallele Kabel zwischen Switches ohne aktives Spanning Tree erzeugen Broadcast-Stürme. Häufig ausgelöst durch versehentlich gesteckte Patchkabel oder falsch konfigurierte Access-Ports.
Falsch platzierte Root-Bridge
Wenn ein alter Access-Switch mit niedriger Bridge-Priority zur Root wird, laufen sämtliche Pfade über einen schwachen Knoten. Die Folge sind hohe Latenzen und ineffiziente Blockings.
Fehlende Redundanz an kritischen Uplinks
Ein einzelner Uplink zwischen Distribution und Core ist ein Single Point of Failure. Bricht der Link weg, verliert das ganze Segment die Verbindung zum Rest des Netzes.
Ungleiche Lastverteilung
Ein Trunk trägt fast den gesamten Ost-West-Verkehr, während parallele Links leer laufen. Ursache sind meist ungünstige LACP-Hash-Algorithmen oder ungleiche Routing-Metriken.
Fehlkonfigurierte Trunks und VLANs
Duplex-Mismatches, unterschiedliche Native VLANs oder vergessene VLAN-Freigaben auf Trunks führen zu Paketverlusten, die im Monitoring erst spät sichtbar werden.
Schritt-für-Schritt-Lösung
- Ist-Topologie über LLDP, CDP und Netzwerkscan vollständig erfassen
Beginnen Sie mit einer echten Bestandsaufnahme, nicht mit dem alten Visio-Bild. Nutzen Sie `show cdp neighbors detail` bzw. `show lldp neighbors` auf jedem Switch und ergänzen Sie einen Layer-3-Scan mit `nmap -sn` je Subnetz. Übertragen Sie das Ergebnis in ein Diagramm, das Uplinks, Bandbreiten und VLAN-Zuordnungen zeigt. - Spanning-Tree-Domäne und Root-Bridge prüfen
Ermitteln Sie mit `show spanning-tree` je VLAN die aktuelle Root-Bridge, blockierte Ports und Priority-Werte. Steht die Root auf einem Access-Switch, setzen Sie die Priority auf dem Core-Switch niedriger (z. B. 4096). Ziel: kurze, symmetrische Pfade zur Root. - Layer-2-Schleifen und Broadcast-Stürme aufspüren
Achten Sie auf plötzliche CPU-Spitzen, MAC-Address-Flapping-Meldungen und rasant steigende Broadcast-Zähler auf Interfaces. Verdächtige Ports isolieren Sie durch temporäres Shutdown. Aktivieren Sie an Access-Ports BPDU-Guard und Loop-Guard, damit sich das Problem nicht wiederholt. - Redundanzpfade und Failover-Verhalten aktiv testen
Planen Sie ein Wartungsfenster und ziehen Sie gezielt einen Uplink. Messen Sie, wie lange die Umschaltung dauert und ob der Verkehr sauber auf den zweiten Pfad wechselt. LACP-Bundles sollten binnen weniger Sekunden reagieren, HSRP oder VRRP innerhalb der konfigurierten Hello-/Hold-Timer. - Layer-3-Pfade, Routing-Protokolle und Metriken kontrollieren
Mit `traceroute`, `show ip route` und `show ip ospf neighbor` prüfen Sie, ob der tatsächliche Pfad dem gewünschten entspricht. Asymmetrische Routen deuten auf ungleiche OSPF-Kosten oder statische Routen hin, die den dynamischen Prozess überstimmen. Passen Sie Metriken und Redistribution-Regeln sauber an. - Lastverteilung und Engpässe messen
Ziehen Sie über SNMP oder NetFlow die Auslastung jedes Uplinks über 24 Stunden. Läuft ein Link nahe der Sättigung, während der Nachbar leer bleibt, ist meist der LACP-Hash schuld. Wechseln Sie z. B. von `src-mac` auf `src-dst-ip` oder `src-dst-port`, um den Verkehr besser zu streuen. - Soll-Topologie entwerfen und Change sauber planen
Definieren Sie ein dreistufiges Modell (Core, Distribution, Access) oder ein Spine-Leaf, das zu Traffic-Mustern und Wachstum passt. Dokumentieren Sie geplante VLANs, IP-Bereiche und Ausfallpfade. Jeder Umbau geht mit Rollback-Plan, Konfigurations-Backup und einem definierten Testset live. - Nach dem Umbau validieren und Dokumentation aktualisieren
Prüfen Sie erneut Root-Bridge, Portrollen, Ping- und Traceroute-Verhalten sowie die Auslastung. Vergleichen Sie das aktuelle Diagramm mit der Soll-Topologie und legen Sie beide Versionen versioniert im Wiki ab. Ohne aktuelle Dokumentation kehrt das Chaos innerhalb weniger Monate zurück.
Typische Topologie-Symptome, wahrscheinliche Ursachen und erste Maßnahme
| Symptom | Wahrscheinliche Ursache | Erste Maßnahme |
|---|---|---|
| Broadcast-Sturm, hohe CPU auf mehreren Switches | Layer-2-Schleife | Verdächtigen Port abschalten, STP und Loop-Guard prüfen |
| Häufige TCN-Meldungen | Instabiler Access-Port | PortFast plus BPDU-Guard setzen |
| Asymmetrische Routen | Ungleiche OSPF-Kosten oder statische Route | Metriken angleichen, statische Routen bereinigen |
| Uplink-Ausfall trennt ganzes Segment | Keine Redundanz | Zweiten Uplink über anderen Distribution-Switch legen |
| Latenz nur zu einem VLAN | Root-Bridge auf schwachem Switch | Root manuell auf Core-Switch setzen (Priority 4096) |
| Paketverluste an einem Trunk | Duplex-Mismatch | Beide Seiten auf identische Speed/Duplex-Werte setzen |
| Ein Uplink überlastet, andere leer | Ungünstiger LACP-Hash | Load-Balancing auf src-dst-ip-port umstellen |
So beugen Sie vor
- Netzwerkdiagramm bei jedem Change aktualisieren und versioniert ablegen
- BPDU-Guard, Root-Guard und Loop-Guard auf allen Access-Ports aktivieren
- Redundante Uplinks konsequent als LACP-Bundle über zwei Chassis führen
- Failover- und Rollback-Tests halbjährlich im Wartungsfenster durchspielen
Häufige Fragen
Welche Topologie ist für ein wachsendes Unternehmensnetz am robustesten?
Für klassische Campus-Netze bleibt das dreistufige Modell aus Core, Distribution und Access mit redundanten Uplinks solide. Rechenzentren fahren heute meist Spine-Leaf, weil es Ost-West-Verkehr besser abbildet. Entscheidend ist nicht der Name, sondern konsequente Redundanz, klare Layer-Trennung und ein durchdachtes VLAN- und IP-Konzept.
Wie erkenne ich eine Layer-2-Schleife möglichst schnell?
Erste Indikatoren sind sprunghaft steigende CPU-Last auf mehreren Switches, MAC-Flapping-Meldungen im Log und stark wachsende Broadcast-Zähler auf Interfaces. Ein Blick in `show spanning-tree` zeigt, ob Ports unerwartet forwarden. Kurzfristig hilft, den verdächtigen Port zu deaktivieren, langfristig BPDU-Guard und Loop-Guard flächendeckend zu aktivieren.
Ab wann lohnt sich ein Redesign statt weiterer Einzelfixes?
Wenn dieselben Symptome trotz sauberer Konfiguration wiederkehren, Uplinks dauerhaft an der Kapazitätsgrenze laufen oder jede Änderung neue Nebeneffekte auslöst, ist die Topologie selbst das Problem. Ein Redesign lohnt sich auch, sobald neue Standorte, Cloud-Anbindungen oder Segmentierungsanforderungen wie Zero-Trust hinzukommen und das Altdesign nicht mehr passt.
Jetzt Netzwerkanalyse anfragen und Ihre Topologie durch unser Team prüfen lassen.