Есть свич DES 3550 прошивка на данный момент 5.01.В36 была обновлена до 5.01.B65
на свиче включен Loopport на всех портах кроме 49-50
Interval 10
Recovery Time 600
Mode: Port Based
свич по оптике 2 линками подключен к стеку из двух DGS-3627G (не транк, а кольцо RSTP)

в 10 порт 3550 включен неуправляемый 8-ми портовый свич и вот на нем толи по глупости толи спечиально повесили петлю между портами (по утверждению сидящих в помещении была именно петля). в логах DES3550 появилась запись
BPDU Loop Back on port 10
BPDU Loop Back on port 0 (эту запись вообще не понимаю что за порт 0 такой)
Port 10 BPDU hardware filtering started
через пол минуты
Port 10 BPDU hardware filtering stopped
через пару сек
Port 10 BPDU hardware filtering started
опять через пол минуты
Port 10 BPDU hardware filtering stopped
потом свич упал в защищенный режим

и это бы было все ничего если бы во время всего этого в лог DGS-3627G не валились сообщения типа
Possible spoofing attack from IP (адресс локального интерфейся роутера отвечающего за подсеть в которой был свич с кольцом) MAC (адресс тогоже локального интерфейса роутера) Port 1:4 (порт на котором висит проблеммный свич).

Это все привело к тому что уже сам роутер постепенно (судя по логам за пол часа после того как повесили петлю) вышел в защищенный режим и отвалился весь сегмент сети.

Сейчас петлю убрал с виновными разбираюсь но хотелось бы на будущее защитить себя от подобного подскажите что нужно донастроить на роутере и/или свиче что бы уберечься от подобного и почему вообще такое могло случиться я думал что Loopport в случае петли должен был просто тупо отключить порт и все.

Выставьте параметр Recovery time в ноль и тогда придется включать порт вручную после обнаружения петли. На данный момент он у вас переходит из заблокированного состояния в рабочее автоматически по истечении Recovery time

А interval выставить 3 вместо 10

Спасибо за ответы подскажите еще я правильно понимаю что если mode поставлю в режим VLAN_based то при условии что у меня по одному порту приходит трафик от разных VLAN то заблокируется только Vlan который будет закольцован, а остальной профик будет ходить?

Да, именно так