Broadcast-Sturm
Englisch: broadcast storm
Extreme Mengen an Broadcast-Datenverkehr in einem Computernetzwerk, meist verursacht durch eine Schleife in der Netzwerk-Topologie.
Broadcast Storm: wenn sich das Netzwerk selbst flutet
Ein Broadcast Storm tritt auf, wenn Broadcast- und Multicast-Verkehr ein Netzwerksegment überfordert, die verfügbare Bandbreite verbraucht und zu schwerwiegenden Leistungseinbußen oder vollständigem Netzwerkausfall führt. Anders als Unicast-Verkehr (an ein einzelnes Ziel gesendet) werden Broadcast-Frames an jeden Port eines Switches kopiert. Wenn diese Frames aufgrund redundanter Pfade oder Fehlkonfigurationen in sich selbst zurückschleifen, vervielfachen sie sich exponentiell, bis das Netzwerk nicht mehr brauchbar ist.
Die häufigste Ursache ist eine Bridging-Schleife: zwei oder mehr Switches, die durch mehrere Verbindungen ohne aktiviertes oder konfiguriertes Spanning Tree Protocol (STP) miteinander verbunden sind. Wenn ein Gerät einen Broadcast-Frame sendet, leiten die Switches ihn auf allen Ports außer dem eingehenden Port weiter. Wenn dieser Frame einen anderen Port auf einem anderen Switch erreicht, der wieder zum ersten Switch zurückführt, wird er erneut ausgestrahlt und erzeugt eine Schleife. Innerhalb von Sekunden zirkuliert derselbe Broadcast-Frame tausendfach im Netzwerk, verbraucht alle verfügbare Bandbreite und CPU-Ressourcen auf jedem Gerät in der Schleife.
Die physischen Symptome treten schnell auf: Netzwerkschnittstellen zeigen eine Auslastung von 95 Prozent oder höher, End-Geräte verlieren die Konnektivität zu Servern und Gateways, und die Ping-Latenz wird unmessbar. ARP-Anfragen erzeugen selbst Stürme, da Geräte MAC-Adressen nicht auflösen können und ständig erneut übertragen. Verwaltete Switches zeigen möglicherweise dramatisch erhöhte CPU-Last, während sie denselben Frame wiederholt verarbeiten. In Industrieumgebungen mit Echtzeit-Steuerverkehr kann bereits eine Broadcast Storm von wenigen Sekunden kritische Operationen unterbrechen.
Prävention und Diagnose
Das Spanning Tree Protocol (IEEE 802.1D oder die schnellere RSTP-Variante, 802.1w) ist die Standardverteidigung. Wenn es auf allen Switches aktiviert ist, erkennt STP Schleifen, wählt einen einzelnen aktiven Pfad zwischen zwei Switches aus und blockiert redundante Verbindungen, bis sie benötigt werden. BPDU-Frames (Bridge Protocol Data Units) tauschen Topologieinformationen aus. Wenn Schleifen erkannt werden, werden blockierte Ports automatisch entsperrt, wenn der aktive Pfad ausfällt. Eine Fehlkonfiguration von STP-Prioritäten oder Port-Kosten kann selbst zu Leistungsproblemen führen, daher ist eine bewusste Topologie-Planung erforderlich.
Die Erkennung eines aktiven Broadcast Storms erfordert einen verwalteten Switch mit SNMP-Überwachung oder Netzwerk-Analyzer-Software, die Frame-Zählungen erfasst. Port Mirroring oder ein Network Tap auf einer verdächtigen Verbindung zeigt die sich wiederholenden Frames sofort. Industrienetzwerke sollten auch Broadcast-Unterdrückungslimits auf Hardware-Ebene implementieren, wobei Switches Broadcast-Verkehr, der einen konfigurierten Schwellenwert überschreitet (angegeben in Paketen pro Sekunde), verwerfen können. Dies ist jedoch ein Sicherheitsmaßnahme, keine Lösung.
Der Begriff spiegelt die plötzliche, überwältigende Natur des Ereignisses wider: wie ein Wetterstorm tritt er schnell auf und deaktiviert normale Funktionen. In Switched-Ethernet-Umgebungen bleiben Broadcast Storms eine der schnellsten Möglichkeiten, ein ansonsten robustes Netzwerk lahmzulegen, weshalb STP und seine Nachfolger in jeder kritischen Infrastruktur mit redundanten Verbindungen unverzichtbar sind.