JP4938135B2

JP4938135B2 - スパニングツリープロトコルによりセットアップされたネットワーク構成を保護するための方法

Info

Publication number: JP4938135B2
Application number: JP2010541739A
Authority: JP
Inventors: タベリー，ペーター; クロツチエ，ラルフ
Original assignee: アルカテル−ルーセント
Priority date: 2008-01-08
Filing date: 2008-12-19
Publication date: 2012-05-23
Anticipated expiration: 2028-12-19
Also published as: US20090175203A1; EP2079196A1; CN101483575B; JP2011509056A; CN101483575A; US7944858B2; KR101143767B1; DE602008000837D1; WO2009087049A1; ATE461571T1; EP2079196B1; KR20100110813A

Description

本発明は、１つのコンピュータネットワークの複数のブリッジのうちの１つをルートブリッジとして選択することによって、またその複数のブリッジのそれぞれの複数のブリッジポートのうちの１つをルートポートとして選択することによって、スパニングツリープロトコル（ＳＴＰ）によってセットアップされたネットワーク構成を保護するための方法、上述の種類のネットワーク構成で動作するためのブリッジ、および上述のような複数のブリッジを含むコンピュータネットワークに関する。

図１は、複数のリンク１２から２６によって相互接続された複数のブリッジ２から１１をもつコンピュータネットワーク１を示す。図１のネットワーク構成を図２ａに示すツリー状のネットワーク構成（スパニングツリー）に変形するために、スパニングツリープロトコル（ＳＴＰ）が、コンピュータネットワーク１のブートストラッピング段階中に実行される。スパニングツリープロトコルは、リンク２１から２６（図２ａに破線で示す）を非活動化し、それにより、コンピュータネットワーク１のルートブリッジとも呼ばれるスパニングツリーの先端にあるブリッジ２のうちの１つをさらに先のブリッジ３から１１のそれぞれに接続するループなし構成を取得することによって、スパニングツリーを生成する。かかるネットワーク構成が実現されるとき、ネットワークの端末（図示されていない）はループなしネットワーク１によって相互接続され、それによりデータグラムを送信および受信することができる。したがって、ブートストラッピング段階に続く動作段階において、端末の双方向のデータストリームはゲートウェイへ／から、また任意で端末間で、伝送される。

図１、２ａに示すブリッジ２から１１はそれぞれ、スパニングツリーのブリッジ２から１１を対応するリンク１２から２０を介して互いに接続するための複数の使用可能な（転送）ブリッジポート２ａから１１ａ、３ｂ、４ｂ、６ｂ、７ｂ、９ｂ、１０ｂを備える。ブリッジ２から１１をルートブリッジ２へとつながるリンクを使って接続するこれらのブリッジポート２ａから１１ａを、以下、ルートポート２ａから１１ａと呼ぶ。非活動化されたリンク２１から２６を介してブリッジ３から１１を接続するために使用されうるこれらのブリッジポートは、ツリー形の構成内では使用されず、したがって図２ａには示されていない。図２ａのブリッジ２から１１のいずれもさらに先のブリッジポートを介してコンピュータネットワーク１の追加ブリッジまたは端末に接続されうることは理解されている。

ＳＴＰの設計について、ブリッジ２から１１はすべて同等であり、同等の確率で接続する／切り離すことができることが想定されていた。しかし、今日のネットワークでは、管理者はブリッジＩＤを適宜に設定することによってスパニングツリーのルートとしてネットワークの中心点に位置するブリッジを選択することになり、通常ルートブリッジはＳＴＰプロセスを管理するためのＳＴＰインスタンスの機能を果たすこともできるネットワーク管理ユニット２７の近くにある。他のブリッジと比較して、ルートブリッジは、より高い性能をもつデバイスであり、より高品質のおよび／または冗長なコンポーネントを使用して構築されるため、より高い可用性をもつ。さらに、端末のデータフローのほとんどはゲートウェイを介して、したがってルートブリッジを介して導かれる。特に、端末の許可（ＩＥＥＥ８０２．１ＸＰｏｒｔ−ＢａｓｅｄＮｅｔｗｏｒｋＡｃｃｅｓｓＣｏｎｔｒｏｌ、ＲＦＣ３５８８Ｄｉａｍｅｔｅｒ）およびユーザ（アプリケーション固有の、たとえば、ＲＦＣ３２６１ＳＩＰ）は、通常中心の位置にあるサーバとの通信を必要とする。すべてではないが多くの端末はルートブリッジを介してその位置に到達する。

したがって、悪意ある攻撃者からブートストラッピング段階中にセットアップされたネットワーク構成を保護することが重要である。かかる悪意ある攻撃者が、たとえばケーブルを抜く／切るまたは無線リンクを妨害することによって、２つの隣接するブリッジの間のリンクを中断する場合、いくつかのまたはすべての端末は（冗長経路がある場合に）通信を継続することができる。しかし、攻撃者が偽造ＳＴＰメッセージ、通常ブリッジプロトコルデータユニット（ＢＰＤＵ）を入れるとき、ブリッジされたネットワーク１全体の通信が、スパニングツリーの再構成を引き起こすことによって遮断されうる。

図２ｂは、現行のルートブリッジ２のＩＤよりも大きいルートブリッジＩＤを運ぶ偽造ＢＰＤＵを送信する、ブリッジ１０と１１の間のリンク２０に接続されたかかる攻撃者３０を示す。標準ＳＴＰプロトコル手順によれば、ルートブリッジは常に最も低いルートブリッジＩＤをもつブリッジとして選択されるため、かかるＢＰＤＵはネットワーク１の構成にいかなる変更も引き起こさないことになる。

しかし、攻撃者３０が現行のルートブリッジ２（これはブリッジのより高い優先度に相当する）のＩＤよりも低いルートＩＤを運ぶＢＰＤＵを送信するとき、ブリッジ選択機構が再始動され、図２ｃに示すように、正規のＳＴＰが新しいスパニングツリーを構築することになる。新しいスパニングツリーは攻撃者の位置３０から始まって構築されるため、ネットワーク１内の主要なリンク１２から１３、１６、１８、２４は非活動化され、それによりネットワーク全体の動作にマイナスの影響を及ぼしうる。

したがって、単一のリンクへのアクセスをもつ攻撃者は、たとえばリンクの妨害など、その特定のリンク上のデータグラム伝送を妨害することができるだけでなく、ネットワーク全体の性能に影響を及ぼしうる。攻撃者が実際のルートと同じルートＩＤをもつ、但し有意に低いルート経路コストをもつ偽造ＢＰＤＵを送信するとき、同様の作用が生成され、それによりスパニングツリーの大きな再構成の原因となりうる。

ＵＳ２００６／００９２８６２に、外部ネットワークに接続されたブリッジのブリッジポートがルートポートとして選択されることを防ぐことによってコアネットワーク内のルートブリッジの位置を保つことを可能にする「ＳＴＰルートガード」として知られている手順が説明されている。しかし、かかる手順は、コアネットワーク自体のリンクへの攻撃を防ぐことはできない。

理論上は、受信ブリッジが暗号署名をチェックすることによってＢＰＤＵの真性を確認することができるような、暗号法による署名をすべてのＢＰＤＵに行うことも可能であろう。しかし、暗号法によるＢＰＤＵの保護は、相当な構成／管理オーバヘッドならびに各ブリッジ内のかなりの計算資源を必要とすることになろう。

米国特許出願公開第２００６／００９２８６２号明細書

本発明の目的は、偽造ＳＴＰメッセージを使用した攻撃からスパニングツリープロトコルによりセットアップされたネットワーク構成を保護することを可能にする方法、ブリッジ、およびコンピュータネットワークを提供することである。

この目的は、双方向のトラヒックがブリッジポートを通過する場合に少なくとも１つのブリッジのうちの少なくとも１つのブリッジポートのサブ状態をアクティブなサブ状態に設定するステップと、アクティブなサブ状態にあるブリッジポートのうちの１つでＳＴＰメッセージ、具体的にはブリッジプロトコルデータユニット（ＢＰＤＵ）を受信するステップと、ＳＴＰメッセージがネットワーク構成のルートブリッジの変更を示す場合にそのＳＴＰメッセージを捨てることによっておよび／またはネットワーク管理ユニットに警告メッセージを送ることによってネットワーク構成を保護するステップとを含む前述の方法によって達成される。

ブリッジポートがアクティブなサブ状態にある場合、それは双方向のペイロードトラヒックを見ており、このような場合にはルートブリッジの変更はネットワークの動作を向上させないため、ルートブリッジは上手く働いていて、異なるルートブリッジを知らせるＢＰＤＵは恐らく偽造されたものであると推定することができる。したがって、かかるＢＰＤＵを無視することが不必要なルートブリッジ変更を回避することになる。さらに、ネットワーク管理ユニットは、偽造ＢＰＤＵの発生の知らせを受けることができ、攻撃者を特定し、阻止するために必要な措置を取ることができる。

好ましい一変形形態では、ルートブリッジの変更は、ネットワーク構成のルートブリッジのブリッジポートＩＤよりも小さいＢＰＤＵのブリッジポートＩＤによって示される。図２ｃに関連して詳述されるとおり、攻撃者が現在のルートブリッジ（ブリッジのより高い優先度に相当する）のＩＤよりも小さいルートＩＤを運ぶＢＰＤＵを送信する場合、最新技術では、ブリッジ選択機構が再始動され、攻撃者の位置から始まって、新しいスパニングツリーが構築されることになろう。本方式では、ＢＰＤＵを受け取るルートポートがアクティブなサブ状態にあるとき、その攻撃者のＢＰＤＵは無視され、それによりネットワーク構成を保護する。

さらなる好ましい一変形形態では、この方法は、ＳＴＰメッセージが、通常はルートポートではないブリッジポートで、ルートポートの変更およびルート経路コストの減少を示す場合にそのＳＴＰメッセージのルート経路コストの妥当性をチェックするステップをさらに含む。ネットワーク構成の変更は、ルートブリッジの変更を示すＢＰＤＵによってだけでなく、偽造ルート経路コストをもつＢＰＤＵによっても引き起こされることがあり、それによりスパニングツリーの再構成もトリガする１つまたは複数のブリッジのルートポートの変更につながる。偽造ＢＰＤＵをトポロジの変更を知らせる正規のＢＰＤＵと区別することは難しいが、カストマイズされた妥当性のチェックはかかる攻撃への防衛に役立つことができる。

本変形形態の好ましい一改善では、妥当性についてのルート経路コストのチェックは、ネットワークのトポロジおよび／またはネットワーク管理ユニットによって設定されるルート経路コストの許容範囲を考慮し、ＳＴＰメッセージのルート経路コストを実際のルート経路コストと比較することによって実行される。かかる方法で、偽造ルート経路コストをもつＢＰＤＵは、正規のトポロジ変更を示すＢＰＤＵと区別されることが可能である。

本発明の第２の態様は、前述のコンピュータネットワークのネットワーク構成で動作するためのブリッジであって、双方向のトラヒックがブリッジポートを通過する場合に少なくとも１つのブリッジポートのサブ状態をアクティブなサブ状態に設定するためのサブ状態設定ユニットと、アクティブなサブ状態にあるブリッジポートのうちの１つでＳＴＰメッセージ、具体的にはブリッジプロトコルデータユニット（ＢＰＤＵ）を受信するための受信ユニットと、ＳＴＰメッセージがネットワーク構成のルートブリッジの変更を示す場合にそのＳＴＰメッセージを捨てることによっておよび／またはネットワーク管理ユニットに警告メッセージを送ることによってネットワーク構成を保護するためのネットワーク構成保護ユニットとを含むブリッジに関する。

サブ状態設定ユニットは、転送ブリッジポートすなわちＳＴＰによって有効にされたこれらのブリッジポートのそれぞれに追加された追加状態機械である。したがって、サブ状態設定ユニットは、ブリッジポートの転送状態をアクティブなおよびパッシブなサブ状態に分けるために使用されることが可能である。端末からの双方向のペイロードトラヒックが転送ブリッジポートを介して伝送される限り、それはアクティブなサブ状態にある。たとえばリンク障害の場合、トラヒックは止まり、ブリッジポートはパッシブなサブ状態に変わる。したがって、ＢＰＤＵはサブ状態の変更を引き起こすことはできないが、たとえばスパニングツリーの再構成中に転送ブリッジポートを使用不能にすることによって、ＳＴＰによるポート状態の変更だけは引き起こすことができる。スパニングツリーのかかる不要な変更は、たとえばＢＰＤＵがルートブリッジの変更を示しそして転送ブリッジポートがアクティブなサブ状態にあるときにそのＢＰＤＵが偽造されていると推定することによって、偽造ＢＰＤＵを識別することにより回避されることが可能である。

好ましい一実施形態では、ルートブリッジの変更は、ルートブリッジのブリッジポートＩＤよりも小さいＢＰＤＵのブリッジポートＩＤによってネットワーク構成保護ユニット内で示される。アクティブなサブ状態のブリッジポートがかかるＢＰＤＵを受け取る場合、ネットワーク構成保護ユニットはそのＢＰＤＵを捨てるそして／またはネットワークのＳＴＰインスタンスとしての機能を果たすこともできるネットワーク管理ユニットに警告メッセージを送る。

さらなる好ましい一実施形態では、ネットワーク構成保護ユニットは、ＳＴＰメッセージがルートポートの変更およびルート経路コストの減少を示す場合にそのＳＴＰメッセージのルート経路コストの妥当性をチェックするように構成される。通常は、ルートポートではないブリッジポートでＢＰＤＵが受信されるとき、かかるチェックが実行される。

本実施形態の好ましい一改善では、ネットワーク構成保護ユニットは、ネットワークのトポロジおよび／またはネットワーク管理ユニットによって設定されるルート経路コストの許容範囲を考慮し、ＳＴＰメッセージのルート経路コストを実際のルート経路コストと比較することによってそのルート経路コストの妥当性をチェックするように構成される。この場合、ネットワークトポロジに関する追加情報が、ネットワーク管理ユニットによって提供されうるネットワーク構成保護ユニットで入手可能である。

本発明の第３の態様は、前述のタイプの複数のブリッジを含むコンピュータネットワークであって、複数のブリッジのうちの１つをルートブリッジとして選択することによって、また複数のブリッジのそれぞれの複数のブリッジポートのうちの１つをルートポートとして選択することによって、スパニングツリープロトコル（ＳＴＰ）によりセットアップされたネットワーク構成で動作するコンピュータネットワークにおいて実装される。ＳＴＰは、ネットワークのブートストラッピング段階中にスパニングツリーを生成する。動作段階では、ネットワーク構成は前述の方法で攻撃から保護され、したがってリンク障害などの正規のトポロジ変更の場合にのみ修正される。

好ましい一実施形態では、コンピュータネットワークはさらに、ネットワークの他のセントラルサーバまたはゲートウェイ機能と同じ場所に配置されうるネットワーク管理ユニットを含む。ネットワーク管理ユニットは、ネットワークのトポロジに関する、具体的にはルート経路コストの許容範囲に関する情報も提供することができる。

さらなる特徴および利点については、重要な詳細を示す図面を参照した以下の例示的な実施形態の説明に記載され、また特許請求の範囲により定義される。個々の特徴は単独で個々に実装されることが可能であり、それらの特徴のうちのいくつかは任意の所望の組合せで実装されることが可能である。

例示的な実施形態が図表に示され、以下に説明される。

複数の相互接続されたブリッジを含むコンピュータネットワークの略図である。スパニングツリープロトコルによりセットアップされた図１のコンピュータネットワークのネットワーク構成の略図である。保護されていないネットワーク構成の場合に、コンピュータネットワークのブリッジの１つにＳＴＰメッセージを送信する攻撃者によってどのように図２ａのネットワーク構成が変更されうるかを示す図である。保護されていないネットワーク構成の場合に、コンピュータネットワークのブリッジの１つにＳＴＰメッセージを送信する攻撃者によってどのように図２ａのネットワーク構成が変更されうるかを示す図である。図２ａのネットワーク構成を保護するためのブリッジを示す図である。図３ａのブリッジのブリッジポートの状態図である。図２ａのネットワーク構成を保護するための方法の流れ図である。

図３ａは、図２ａのコンピュータネットワーク１のブリッジ１０をより詳細に示す。ブリッジ１０は、リンク１８、１９を介してルートブリッジ２に接続され、以下でルートポートとも呼ばれる第１の転送ブリッジポート１０ａと、図２ａのさらに先のブリッジ１１にリンク２０によって接続される第２の転送ブリッジポート１０ｂと、図２ａのネットワーク構成で使用不可能にされている第３のブリッジポート１０ｃとを含む。

ブリッジ１０はさらに、サブ状態設定ユニット４１、受信ユニット４２、およびネットワーク構成保護ユニット４３を含む。受信ユニット４２は、２つの転送ブリッジポート１０ａ、１０ｂで、ＳＴＰメッセージを、具体的にはＢＰＤＵを受信するように構成される。サブ状態設定ユニット４１およびネットワーク構成保護ユニット４２は、以下にさらに詳述される方法で攻撃から図２ａのネットワーク構成を保護するように構成される。サブ状態設定ユニット４１、受信ユニット４２、およびネットワーク構成保護ユニット４３は、図３ａでは別個の実体として示されているが、これらはブリッジ１０内の１つの物理的実体、たとえばマイクロプロセッサ、ＡＳＩＣなどに実装されうることが、当業者には理解されるであろう。またブリッジポート１０ａから１０ｃのすべてに対して使用される３つのユニット４１から４３を提供するかわりに、ブリッジポート１０ａから１０ｃのそれぞれに対して別個のユニットが使用されることも可能である。

サブ状態設定ユニット４１の機能は、図３ａの転送ブリッジポート１０ａ、１０ｂの状態図を表す、図３ｂを参照して最もよく説明されうる。この図では、転送状態は、パッシブなサブ状態５１とアクティブなサブ状態５２に分けられている。端末からの双方向のペイロードトラヒックがブリッジポート１０ａ、１０ｂを通して伝送される限り、それらはアクティブなサブ状態５２にある。たとえばリンク障害の場合、トラヒックは止まり、ブリッジポート１０ａ、１０ｂはパッシブなサブ状態５１に変わる。図３ｂにも示すとおり、ＢＰＤＵはサブ状態５１、５２の間の遷移を引き起こさない。しかし、それらは、転送状態から動作不能状態へのまたはその逆の、ＳＴＰによるブリッジポート状態の変化、すなわちルートポートの変化またはブリッジポート１０ａ、１０ｂの変化を引き起こしうる。

図３ｂに示す２状態機構に基づいて、図４の流れ図に示す拡張プロトコル状態遷移図が実行されることが可能であり、これを第２のブリッジポート１０ｂについて以下に説明する。第１のステップ１００で、ブリッジ１１へのリンク２０に障害はないため、サブ状態設定デバイス４１が転送ブリッジポート１０ｂを図３ｂに示すアクティブなサブ状態５２に設定し、その結果として、双方向のトラヒックが第２のブリッジポート１０ｂを通過する。第２のステップ１０１で、ＢＰＤＵが第２のブリッジポート１０ｂの受信ユニット４２によって受信される。第３のステップ１０２で、着信ＢＰＤＵがそこに含まれるルートブリッジＩＤに関してネットワーク構成保護ユニットによるチェックを受ける。そのルートブリッジＩＤがブリッジ１０に知られているルートブリッジＩＤよりも低い場合、そのＢＰＤＵは偽造されていると考えて差し支えない。これは、転送／アクティブ状態では、双方向のペイロードトラヒックは図２ａのルートブリッジ２への機能的経路を示し、したがって再構成の必要がないということによる。かかる偽造ＢＰＤＵはステップ１０３で無事に捨てられることが可能であり、警報信号がネットワーク管理ユニット２７にその出来事について知らせることができる。しかし、ＢＰＤＵ内のルートブリッジＩＤが知られているルートブリッジＩＤよりも大きいとき、そのＢＰＤＵはいかなる方法でも再構成を引き起こすことはなく、したがってＳＴＰインスタンス、通常はネットワーク管理ユニット２７に無事に渡されることが可能である。

受信されたＢＰＤＵ内のルートブリッジＩＤがブリッジ１０に知られているルートブリッジＩＤと等しい場合、ステップ１０４ａから１０４ｃで、そのＢＰＤＵに含まれるルート経路コストが慎重に分析される必要がある。ルートポート１０ａがより低いルート経路コストの更新を受信するあるいは非ルートポート（ブリッジポート１０ｂなど）がさらに高いコストをもつＢＰＤＵを受信するときはいつでも、ブリッジのルートポート１０ａ（したがって切替えテーブル）に変化はない。この場合、ネットワークはその通常の動作を継続することができ、プロセスは次のステップ１０５に引き継がれることが可能であると考えて差し支えない。また、ルートポート１０ａがより高いルート経路コストをもつＢＰＤＵを受信し、それによりルートポート切替えを潜在的にトリガする場合、かかるＢＰＤＵは特定のリンクへの妨害と比べて同等のまたはより少ない作用をもつため、そのＢＰＤＵは同様に（ステップ１０４ｂで）ＳＴＰインスタンス２７に無事に渡されることが可能である。

しかし、ブリッジポート１０ｂなどの非ルートポートがより低いルート経路コストをもつＢＰＤＵを受信し、そうしてそれらがブリッジ１０のルートポート１０ａを変更するとき、新しいリンクがネットワーク１に追加されたか、あるいはトラヒックをリダイレクトするためにネットワーク管理ユニット２７がリンクコストを変更することを決定したか、あるいは攻撃者がネットワークの動作を阻害しようとしていることを示しうる。後者の場合、１つのリンクに送られるかかる偽造ＢＰＤＵは、図２ｃを参照して前述したように、ネットワークの動作への有害な作用でネットワーク１全体でトラヒックを再編することができるであろう。

したがって、ＳＴＰインスタンス２７に偽造ＢＰＤＵを渡す可能性を低減するために、ルート経路コストはネットワーク構成保護ユニット４３によってあらかじめ（ステップ１０４ｃで）その妥当性をチェックされる必要がある。これは、たとえば、ネットワークのトポロジの知られている特性およびリンクコスト値の許容範囲に関するネットワーク管理ユニット２７に与えられたルールに関して、前のコストと新しいコストの差異を分析することによって行われることが可能であり、それにより攻撃者の偽造ＢＰＤＵの潜在的な影響をさらに低減しうる。かかる方法で偽造ルート経路コストをもつＢＰＤＵが識別された場合、ステップ１０３と類似の方法で、そのＢＰＤＵは捨てられ、警告メッセージがＳＴＰインスタンス２７に送られる。偽造ＢＰＤＵが検出されなかった場合、次のステップ１０６で、サブ状態設定ユニット４１が、双方向のトラヒックがブリッジポート１０ｂを通過するかをチェックし、ブリッジポート１０ｂをアクティブなサブ状態に設定し、図４で説明されるプロセスが再び新たに始まることができる。上述のプロセスはブリッジ１０のルートポート１０ａにも同様に適用されることが可能であり、ルート経路コストのチェックはこの場合に必要とされないことは理解されよう。

ネットワーク１全体を保護するために、図４を参照して説明されるプロセスが、図２ａに示すネットワークのブリッジ３から１１のそれぞれのブリッジポート３ａから１１ａ、３ｂ、４ｂ、６ｂ、７ｂ、９ｂ、１０ｂに好ましくは適用される。かかる方法で、ＳＴＰプロトコル形式の変更または追加構成オーバヘッドの必要なしに１つまたは複数の内部リンク１２から２０にアクセスできる攻撃者による妨害からネットワーク１全体が保護されることが可能である。したがって、本明細書に述べるスキーマは、トラヒックのほとんどが明確な中枢ポイントを通過する標準的な企業ネットワーク設定において特に有利であり、しかし他の特徴をもつネットワークのプロトコルの安定性を脅かさない。

好ましい実施形態の前述の説明は、例示を目的として与えられている。与えられた開示から、当業者は本発明およびその付随する利点を理解するだけでなく、開示された構造および方法の明らかな多種の変形形態および修正形態も見いだすことになろう。したがって、出願人は、添付の特許請求の範囲およびその均等物により定義される、本発明の趣旨および範囲に含まれるようなすべてのかかる変更形態および修正形態を包含することを求める。

Claims

コンピュータネットワーク（１）の複数のブリッジ（２から１１）のうちの１つをルートブリッジ（２）として選択することによって、また複数のブリッジ（２から１１）のそれぞれの複数のブリッジポート（２ａから１１ａ、３ｂ、４ｂ、６ｂ、７ｂ、９ｂ、１０ｂ）のうちの１つをルートポート（２ａから１１ａ）として選択することによって、スパニングツリープロトコル（ＳＴＰ）によりセットアップされたネットワーク構成を保護するための方法であって、
双方向のトラヒックがブリッジポート（２ａから１１ａ、３ｂ、４ｂ、６ｂ、７ｂ、９ｂ、１０ｂ）を通過する場合に少なくとも１つのブリッジ（２から１１）のうちの少なくとも１つのブリッジポート（２ａから１１ａ、３ｂ、４ｂ、６ｂ、７ｂ、９ｂ、１０ｂ）のサブ状態（５１、５２）をアクティブなサブ状態（５２）に設定するステップと、
アクティブなサブ状態にあるブリッジポート（２ａから１１ａ、３ｂ、４ｂ、６ｂ、７ｂ、９ｂ、１０ｂ）のうちの１つでＳＴＰメッセージ、具体的にはブリッジプロトコルデータユニット（ＢＰＤＵ）を受信するステップと、
ＳＴＰメッセージがネットワーク構成のルートブリッジ（２）の変更を示す場合にそのＳＴＰメッセージを捨てることによっておよび／またはネットワーク管理ユニット（２７）に警告メッセージを送ることによってネットワーク構成を保護するステップと
を含む、方法。
ルートブリッジ（２）の変更がネットワーク構成のルートブリッジ（２）のブリッジポートＩＤよりも小さいＢＰＤＵのブリッジポートＩＤによって示される、請求項１に記載の方法。
ＳＴＰメッセージがルートポート（２ａから１１ａ）の変更およびルート経路コストの減少を示す場合にそのＳＴＰメッセージのルート経路コストの妥当性をチェックするステップをさらに含む、請求項１に記載の方法。
妥当性についてのルート経路コストのチェックが、ネットワーク（１）のトポロジおよび／またはネットワーク管理ユニット（２７）によって設定されるルート経路コストの許容範囲を考慮し、ＳＴＰメッセージのルート経路コストを実際のルート経路コストと比較することによって実行される、請求項３に記載の方法。
ブリッジ（１０）の複数のブリッジポート（１０ａから１０ｃ）のうちの１つをルートポート（１０ａ）として選択することによって、またコンピュータネットワーク（１）の複数のブリッジ（２から１１）のうちの１つをルートブリッジ（２）として選択することによって、スパニングツリープロトコル（ＳＴＰ）によりセットアップされたコンピュータネットワーク（１）のネットワーク構成で動作するためのブリッジ（１０）であって、
双方向のトラヒックがブリッジポート（１０ａ、１０ｂ）を通過する場合に少なくとも１つのブリッジポート（１０ａ、１０ｂ）のサブ状態をアクティブなサブ状態（５２）に設定するためのサブ状態設定ユニット（４１）と、
アクティブなサブ状態にあるブリッジポート（１０ａ、１０ｂ）のうちの１つでＳＴＰメッセージ、具体的にはブリッジプロトコルデータユニット（ＢＰＤＵ）を受信するための受信ユニット（４２）と、
ＳＴＰメッセージがネットワーク構成のルートブリッジ（２）の変更を示す場合にそのＳＴＰメッセージを捨てることによっておよび／またはネットワーク管理ユニット（２７）に警告メッセージを送ることによってネットワーク構成を保護するためのネットワーク構成保護ユニット（４３）と
を含む、ブリッジ（１０）。
ルートブリッジ（２）のブリッジポートＩＤよりも小さいＢＰＤＵのブリッジポートＩＤによってネットワーク構成保護ユニット（４３）内でルートブリッジ（２）の変更が示される、請求項５に記載のブリッジ。
ＳＴＰメッセージがルートポート（１０ａ）の変更およびルート経路コストの減少を示す場合にネットワーク構成保護ユニット（４３）がそのＳＴＰメッセージのルート経路コストの妥当性をチェックするように構成された、請求項５に記載のブリッジ。
ネットワーク構成保護ユニット（４３）が、ネットワークのトポロジおよび／またはネットワーク管理ユニット（２７）によって設定されたルート経路コストの許容範囲を考慮し、ＳＴＰメッセージのルート経路コストを実際のルート経路コストと比較することによって、ルート経路コストの妥当性をチェックするように構成された、請求項７に記載のブリッジ。
請求項５に記載の複数のブリッジ（２から１１）を含むコンピュータネットワーク（１）であって、複数のブリッジ（２から１１）のうちの１つをルートブリッジ（２）として選択することによって、また複数のブリッジ（２から１１）のそれぞれの複数のブリッジポート（２ａから１１ａ、３ｂ、４ｂ、６ｂ、７ｂ、９ｂ、１０ｂ）のうちの１つをルートポート（２ａから１１ａ）として選択することによって、スパニングツリープロトコル（ＳＴＰ）によりセットアップされたネットワーク構成で動作する、コンピュータネットワーク（１）。
ネットワーク管理ユニット（２７）をさらに含む、請求項９に記載のコンピュータネットワーク。