### Niveau 1 (CCNA) : Configuration Fondamentale

`[commande 1]` → *Objectif :* [...]
`[commande 2]` → *Vérification :* `[show command]` → *Sortie attendue :* [...]

! 1. Vérifier l'état STP actuel
show spanning-tree
show spanning-tree vlan 1
show spanning-tree root
! Objectif : Identifier le Root Bridge, les ports bloqués.

! 2. Forcer un switch à être le Root Bridge pour le VLAN 1
spanning-tree vlan 1 root primary
! Vérification :
show spanning-tree vlan 1 | include Bridge
! Sortie attendue : "This bridge is the root"

! 3. Modifier le coût d'un port pour influencer le chemin
interface GigabitEthernet0/1
 spanning-tree vlan 1 cost 10
! Justification : Rendre ce lien plus attractif (coût bas) pour le VLAN 1.

### Niveau 2 (Production Sécurisée) : Hardening

`[commande 1 avec options sécurité]` → *Risque si omis :* [...]
`[commande 2]` → *Justification best-practice :* [...]

! 1. Activer les protections de base sur TOUS les ports d'accès
interface range GigabitEthernet0/1-48
 switchport mode access
 spanning-tree portfast edge
 spanning-tree bpduguard enable
! Risque si omis : Une boucle physique créée par un utilisateur provoquerait une tempête de diffusion.

! 2. Activer Root Guard sur les ports uplink/trunk
interface range GigabitEthernet0/49-50
 switchport mode trunk
 spanning-tree guard root
! Justification : Empêche un switch downstream mal configuré ou malveillant de devenir le root.

! 3. Changer la version de STP pour une convergence rapide (RSTP/PVST+ est la norme)
spanning-tree mode rapid-pvst
! Vérification :
show spanning-tree summary | include Mode
! Sortie : "Switch is in rapid-pvst mode"

### Niveau 3 (Expert/Automatisation) : Script & Scale

# Extrait de script Python (Netmiko) ou playbook Ansible
[Code pertinent]
→ Avantage : [Temps gagné, erreurs évitées].

# Script Python (Netmiko) pour auditer la configuration STP sur un parc de switches
from netmiko import ConnectHandler
import csv

devices = [{'ip': '192.168.1.10', 'device_type': 'cisco_ios', 'username': 'admin', 'password': 'secret'}]

def audit_stp(connection):
    output = connection.send_command('show spanning-tree summary')
    lines = output.splitlines()
    stp_mode = 'Unknown'
    for line in lines:
        if 'rapid-pvst' in line.lower():
            stp_mode = 'Rapid-PVST'
        elif 'pvst' in line.lower():
            stp_mode = 'PVST+'
        elif 'mst' in line.lower():
            stp_mode = 'MST'
    # Vérifier BPDU Guard
    bpdu_check = connection.send_command('show run | inc bpduguard')
    bpdu_status = 'Enabled' if 'bpduguard' in bpdu_check else 'Disabled'
    return {'STP_Mode': stp_mode, 'BPDU_Guard': bpdu_status}

with open('stp_audit.csv', 'w', newline='') as csvfile:
    fieldnames = ['Device_IP', 'STP_Mode', 'BPDU_Guard']
    writer = csv.DictWriter(csvfile, fieldnames=fieldnames)
    writer.writeheader()
    for device in devices:
        net_connect = ConnectHandler(**device)
        result = audit_stp(net_connect)
        result['Device_IP'] = device['ip']
        writer.writerow(result)
        net_connect.disconnect()
print("Audit terminé. Voir 'stp_audit.csv'")

→ Avantage : [Temps gagné sur l'audit de sécurité, erreurs évitées, documentation automatisée.]

← Module Précédent (VLANs & Trunking) : STP utilise les VLAN IDs via l'Extended System ID. Une mauvaise configuration de trunk (ex: VLAN natif incorrect) ou de VLAN peut mener STP à créer une topologie sous-optimale ou à bloquer le mauvais lien.

→ Module Suivant (EtherChannel & FHRP) : STP voit un EtherChannel (LAG) comme un seul lien logique. C'est la méthode privilégiée pour fournir de la redondance sans que STP ne bloque un des liens physiques. Comprendre les coûts STP est crucial pour configurer des EtherChannels efficaces. Les protocoles FHRP comme HSRP/GLBP fonctionnent au-dessus de STP ; si STP bloque le chemin vers le routeur actif, la redondance L3 échoue.

🔄 Écosystème Réel : Dans les réseaux définis par logiciel (SDN), le contrôleur (ex: Cisco DNA Center) utilise souvent un protocole comme Fabric Path ou se base sur EVPN/VXLAN qui supprime le besoin de STP en utilisant un routage de couche 3 sous-jacent. STP reste toutefois critique dans la couche d'accès traditionnelle (branch).