域OSPF配置案例：區(qū)域劃分、LSA匯總與NSSA排障)
上篇那套單區(qū)域的 OSPF 配置跑通之后很多同行追問的下一個問題幾乎一模一樣業(yè)務(wù)網(wǎng)段一多LSDB 越來越胖路由器風(fēng)扇開始叫怎么解。這篇就接著上篇的代碼往下推講一個完整的多區(qū)域 OSPF 配置案例。順帶說一句標題里寫的 osps 應(yīng)該是筆誤實際指的肯定是 OSPFOpen Shortest Path First開放式最短路徑優(yōu)先下面所有內(nèi)容都圍繞這個協(xié)議展開不再糾結(jié)縮寫。多區(qū)域 OSPF 配置真正難的地方不是多敲幾行 area 命令而是你要先想清楚“區(qū)域邊界切在哪、切完之后哪些 LSA 該過界、過界的路由要不要匯總、匯總完掩碼怎么算”。這些想不明白配出來的多區(qū)域網(wǎng)絡(luò)還不如單區(qū)域穩(wěn)定。這篇適合兩類人看一類是剛把單區(qū)域玩明白、準備上生產(chǎn)環(huán)境的初中級網(wǎng)絡(luò)工程師另一類是被區(qū)域間路由莫名其妙不通折磨過、想系統(tǒng)性梳理一遍的運維同學(xué)。文中所有命令基于某主流廠商 VRP 風(fēng)格的命令行給出其他廠商的等價命令我會在關(guān)鍵處標注對照關(guān)系抄作業(yè)前請先確認自己的設(shè)備版本。1. 為什么單區(qū)域撐不住多區(qū)域設(shè)計的真實動機1.1 單區(qū)域 OSPF 的三個隱性代價很多人以為單區(qū)域的問題只是“路由條目多”其實遠不止。OSPF 是鏈路狀態(tài)協(xié)議同區(qū)域內(nèi)所有路由器的 LSDB 必須完全一致這意味著區(qū)域內(nèi)每增加一臺設(shè)備、每斷一條鏈路全區(qū)域所有路由器都要重新跑一遍 SPF 算法。業(yè)務(wù)規(guī)模小的時候看不出來一旦區(qū)域內(nèi)網(wǎng)段超過兩三百個、設(shè)備超過幾十臺問題就會集中爆發(fā)。第一個代價是 LSDB 體積膨脹。每臺路由器光保存拓撲就要吃掉可觀的內(nèi)存而且這些信息對邊緣設(shè)備來說是純浪費——一臺只掛兩個業(yè)務(wù)網(wǎng)段的接入路由器根本不需要知道全網(wǎng)拓撲。第二個代價是 SPF 計算風(fēng)暴核心鏈路抖動一次區(qū)域內(nèi)幾十臺設(shè)備同時重算CPU 瞬間打滿期間轉(zhuǎn)發(fā)雖然靠硬件表不中斷但新的路由收斂會被拖慢出現(xiàn)“拓撲已經(jīng)變了、路由表還沒更新”的窗口期。第三個代價最隱蔽就是無法做區(qū)域間匯總。單區(qū)域里每條明細路由都要全網(wǎng)泛洪你想用一條10.1.0.0/16概括下面幾十個10.1.x.0/24業(yè)務(wù)網(wǎng)段協(xié)議層面根本不支持——匯總只在區(qū)域邊界上才有意義。這也是為什么規(guī)劃階段就要把區(qū)域切好等網(wǎng)絡(luò)跑起來再拆分代價會大得多。1.2 區(qū)域劃分的取舍按什么切、切幾刀常見切法有三種。按地理切最直觀一樓一個區(qū)、A 棟一個區(qū)鏈路故障影響范圍天然被隔離按業(yè)務(wù)切更符合運維思維辦公區(qū)、生產(chǎn)區(qū)、監(jiān)控區(qū)、外聯(lián)區(qū)各成一塊做路由策略時邊界清晰按設(shè)備角色切適合數(shù)據(jù)中心接入層一個區(qū)、匯聚層一個區(qū)把不穩(wěn)定的邊緣拓撲擋在骨干之外。我個人更傾向“業(yè)務(wù)為主、地理為輔”的混合切法。純按地理切一個樓層里同時跑辦公和生產(chǎn)一旦生產(chǎn)網(wǎng)段出問題整層辦公都跟著重算隔離效果打折。純按業(yè)務(wù)切跨樓宇的同業(yè)務(wù)流量要走骨干繞一圈時延反而增加。這里沒有標準答案判斷依據(jù)就一條你希望一次拓撲變化影響多大范圍。切幾刀也有講究。OSPF 的區(qū)域數(shù)量理論上是 32 位區(qū)域 ID實際部署里超過十幾個常規(guī)區(qū)域就該考慮拆分了因為每個 ABR 都要維護所有直連區(qū)域的 LSDB。還有一條硬規(guī)矩所有常規(guī)區(qū)域必須直接或間接掛在骨干區(qū)域Area 0上不允許兩個非骨干區(qū)域直接互聯(lián)。這條規(guī)矩是 OSPF 防環(huán)機制的根基違反了要么鄰居建不起來要么得用虛連接補救。1.3 ABR 與 ASBR 的角色邊界ABR區(qū)域邊界路由器的定義很明確同時連接骨干區(qū)域和至少一個常規(guī)區(qū)域且至少有一個接口屬于 Area 0。注意“接口屬于 Area 0”這個條件有些人把一臺路由器配了兩個非骨干區(qū)域就當(dāng)成 ABR實際上它只是普通內(nèi)部路由器不會產(chǎn)生 Type 3 摘要 LSA也不會執(zhí)行區(qū)域間匯總。ASBR自治系統(tǒng)邊界路由器是引入外部路由的那臺設(shè)備它會生成 Type 5 LSA或 NSSA 區(qū)域內(nèi)的 Type 7。這兩類角色經(jīng)常被混淆因為它們都能“讓路由出現(xiàn)在別的區(qū)域”。區(qū)別在于ABR 傳遞的是區(qū)域間路由Type 3拓撲上屬于 OSPF 域內(nèi)ASBR 傳遞的是外部路由Type 5來源可以是靜態(tài)、直連、其他路由協(xié)議。實操中有一個容易踩的坑一臺設(shè)備同時是 ABR 和 ASBR 時它產(chǎn)生的 Type 5 LSA 不會泛洪進 Stub 區(qū)域。如果你把外部路由引入放在了連接 Stub 區(qū)域的那臺 ABR 上Stub 區(qū)域內(nèi)的設(shè)備只能拿到一條默認路由看不到具體的外部明細。這不是配置錯了是協(xié)議設(shè)計如此需要提前想清楚業(yè)務(wù)能不能接受默認路由兜底。2. 拓撲與地址規(guī)劃先想清楚再敲命令2.1 案例拓撲與設(shè)備角色分配這個案例設(shè)計成“一個骨干 兩個常規(guī)區(qū)域 一個外部引入”的經(jīng)典結(jié)構(gòu)規(guī)模不大但覆蓋了絕大多數(shù)生產(chǎn)場景。拓撲是這樣的兩臺 ABRR1、R2通過一條骨干鏈路互聯(lián)R1 下掛 Area 1R2 下掛 Area 2另外掛一臺骨干內(nèi)部路由器 R3Area 1 里放 R4 跑業(yè)務(wù)網(wǎng)段Area 2 里放 R5 做 NSSA 實驗R2 再連一臺 R6 用來模擬外部路由引入。設(shè)備角色所在區(qū)域關(guān)鍵接口R1ABRArea 0 / Area 1GE0/0/0、GE0/0/1、GE0/0/2R2ABR ASBRArea 0 / Area 2GE0/0/0、GE0/0/1、GE0/0/2R3骨干內(nèi)部路由器Area 0GE0/0/0R4區(qū)域內(nèi)部路由器Area 1GE0/0/0、GE0/0/1R5NSSA 內(nèi)部路由器Area 2GE0/0/0、GE0/0/1R6外部設(shè)備非 OSPFGE0/0/0這套角色分配不是隨便排的。把 R2 同時設(shè)為 ABR 和 ASBR是為了演示“外部路由如何從 NSSA 之外傳進來”把 R1 單獨設(shè)為純 ABR是為了干凈地觀察區(qū)域間匯總的效果。實際項目里角色重疊很常見但學(xué)習(xí)和排錯階段把職責(zé)拆開更容易定位問題。2.2 網(wǎng)段與區(qū)域編號的規(guī)劃細節(jié)地址規(guī)劃這塊我堅持兩條原則互聯(lián)鏈路一律 /30業(yè)務(wù)網(wǎng)段按區(qū)域分大段。互聯(lián)鏈路用 /30 而不是 /24一方面是省地址更重要的是防止有人誤把互聯(lián)網(wǎng)段當(dāng)成業(yè)務(wù)網(wǎng)段接交換機掩碼一限制這種誤操作自然就被擋住了。具體規(guī)劃如下網(wǎng)段用途地址掩碼所屬區(qū)域R1-R2 骨干互聯(lián)10.0.12.0255.255.255.252Area 0R2-R3 骨干互聯(lián)10.0.23.0255.255.255.252Area 0R1-R4 區(qū)域互聯(lián)10.1.14.0255.255.255.252Area 1R2-R5 區(qū)域互聯(lián)10.2.25.0255.255.255.252Area 2R1 Loopback10.1.1.1255.255.255.255Area 1R2 Loopback10.2.2.2255.255.255.255Area 2R4 業(yè)務(wù)網(wǎng)段10.1.10.0255.255.255.0Area 1R5 業(yè)務(wù)網(wǎng)段10.2.20.0255.255.255.0Area 2R2-R6 外部互聯(lián)10.0.26.0255.255.255.252不參與 OSPF外部模擬網(wǎng)段192.168.100.0255.255.255.0通過靜態(tài)引入?yún)^(qū)域 ID 用的是點分十進制格式0.0.0.0、0.0.0.1、0.0.0.2雖然命令行里也可以用整數(shù)area 1簡寫但建議統(tǒng)一用點分格式因為后續(xù)如果區(qū)域數(shù)量超過 255整數(shù)寫法的可讀性會崩掉而且點分格式和 IP 地址形態(tài)一致看配置文件時不容易看漏。選 10.1.x.x 給 Area 1、10.2.x.x 給 Area 2是有意讓第二個字節(jié)跟區(qū)域編號對齊。這樣在 R1 上看路由表一眼就能判斷某條路由來自哪個區(qū)域匯總時也方便——Area 1 的所有業(yè)務(wù)網(wǎng)段天然落在10.1.0.0/16里面abr-summary 10.1.0.0 255.255.0.0一條就夠了不用反復(fù)算掩碼。這種“地址跟著區(qū)域走”的習(xí)慣是我踩過幾次匯總算錯掩碼的坑之后養(yǎng)成的。2.3 Router ID 與接口開銷的確定原則Router ID 必須全網(wǎng)唯一格式是 32 位點分十進制。VRP 的選舉順序是手動配置的 router-id 最大的 Loopback 接口地址 最大的物理接口地址。強烈建議手動指定尤其是設(shè)備重啟順序不確定的場景。我以前遇到過一臺設(shè)備先起物理口、后起 LoopbackRouter ID 就變成了物理口地址跟另一臺設(shè)備撞了鄰居反復(fù)重建查了半小時才發(fā)現(xiàn)。本案例統(tǒng)一用 Loopback 地址做 Router IDR1 是 10.1.1.1R2 是 10.2.2.2R3 是 10.0.3.3R4 是 10.1.4.4R5 是 10.2.5.5。注意 R3 的 Loopback 我特意放進了 Area 0因為它是骨干路由器Loopback 跟著區(qū)域走比較干凈。接口開銷這塊必須算一下。VRP 默認參考帶寬是 100 Mbps開銷 參考帶寬 / 接口帶寬結(jié)果小于 1 時取 1。GE 接口帶寬 1000 Mbps算出 0.1取整為 1百兆口算出 1十兆口算出 10。問題在于現(xiàn)在到處都是 GE 起步所有鏈路開銷都是 1OSPF 選路等于沒得選只能按跳數(shù)比。千兆、萬兆鏈路并存時默認開銷無法體現(xiàn)帶寬差異一定要改參考帶寬system-view bandwidth-reference 10000改成 10000 Mbps 之后萬兆口開銷 1、千兆口開銷 10、百兆口開銷 100層次一下就出來了。這個命令要在區(qū)域內(nèi)所有路由器上統(tǒng)一配置只要有一臺沒改同一條鏈路兩端的開銷計算口徑就不一致可能出現(xiàn)單向選路不對稱。這是我在一個混合帶寬的項目里真實踩過的坑當(dāng)時只改了核心層接入層沒動結(jié)果去回程走了不同路徑防火墻會話表直接被撐爆。3. 骨干區(qū)域與常規(guī)區(qū)域的落地配置3.1 骨干區(qū)域 ABR 的基礎(chǔ)配置先配 R1它要承擔(dān) Area 0 和 Area 1 的邊界職責(zé)。配置順序建議是先配接口地址再配 OSPF 進程和 router-id最后把網(wǎng)段宣告進對應(yīng)區(qū)域。system-view sysname R1 # interface GigabitEthernet0/0/0 description To-R2-Area0 ip address 10.0.12.1 255.255.255.252 # interface GigabitEthernet0/0/1 description To-R4-Area1 ip address 10.1.14.1 255.255.255.252 # interface GigabitEthernet0/0/2 description Business-Area1 ip address 10.1.1.1 255.255.255.0 # interface LoopBack0 ip address 10.1.1.1 255.255.255.255 # ospf 1 router-id 10.1.1.1 bandwidth-reference 10000 area 0.0.0.0 network 10.0.12.0 0.0.0.3 area 0.0.0.1 network 10.1.1.0 0.0.0.255 network 10.1.14.0 0.0.0.3這里有兩個細節(jié)值得說。第一network命令后面跟的是反掩碼wildcard mask不是子網(wǎng)掩碼0.0.0.3對應(yīng)255.255.255.252。新手最容易在這里寫錯寫成255.255.255.252設(shè)備不報錯但匹配不到接口結(jié)果接口地址有了、OSPF 鄰居也建起來了但該網(wǎng)段進不了 LSDB。第二bandwidth-reference在進程視圖下配置作用范圍是整個 OSPF 進程。有些版本支持在接口下用ospf cost直接覆蓋那種方式適合個別鏈路特殊調(diào)整全局統(tǒng)一還是改參考帶寬更省事。另外提一句R1 的 Loopback 我放進了 Area 1 而不是 Area 0。嚴格來說 ABR 的 Loopback 放哪個區(qū)域都行只要 router-id 手動指定了就不影響鄰居建立。但如果你的網(wǎng)絡(luò)里用了loopback做管理地址又希望管理網(wǎng)段在骨干區(qū)域匯總那就應(yīng)該放進 Area 0。這個選擇會讓路由表看起來不一樣不是對錯問題是需求問題。3.2 常規(guī)區(qū)域設(shè)備的配置差異R4 是 Area 1 內(nèi)部的普通路由器配置邏輯和單區(qū)域時完全一樣唯一的變化是area后面要寫對區(qū)域號。system-view sysname R4 # interface GigabitEthernet0/0/0 description To-R1-Area1 ip address 10.1.14.2 255.255.255.252 # interface GigabitEthernet0/0/1 description Business-Net ip address 10.1.10.1 255.255.255.0 # interface LoopBack0 ip address 10.1.4.4 255.255.255.255 # ospf 1 router-id 10.1.4.4 bandwidth-reference 10000 area 0.0.0.1 network 10.1.14.0 0.0.0.3 network 10.1.10.0 0.0.0.255 network 10.1.4.4 0.0.0.0注意最后一行network 10.1.4.4 0.0.0.0反掩碼全 0 表示精確匹配單個地址這是宣告 Loopback 的標準寫法。有人圖省事寫成network 10.1.4.0 0.0.0.255如果 Loopback 是 /32這個網(wǎng)段匹配不到任何接口宣告直接失效。R2 的配置稍微復(fù)雜一點它同時是 ABR 和 ASBR還要連外部設(shè)備。ASBR 部分我放到第 4 章講 NSSA 時一起說這里先把 OSPF 主體和骨干、Area 2 的連接配好system-view sysname R2 # interface GigabitEthernet0/0/0 description To-R1-Area0 ip address 10.0.12.2 255.255.255.252 # interface GigabitEthernet0/0/1 description To-R5-Area2 ip address 10.2.25.1 255.255.255.252 # interface GigabitEthernet0/0/2 description To-R3-Area0 ip address 10.0.23.2 255.255.255.252 # interface LoopBack0 ip address 10.2.2.2 255.255.255.255 # ospf 1 router-id 10.2.2.2 bandwidth-reference 10000 area 0.0.0.0 network 10.0.12.0 0.0.0.3 network 10.0.23.0 0.0.0.3 area 0.0.0.2 network 10.2.25.0 0.0.0.3 network 10.2.2.2 0.0.0.0這里 R2 的 Loopback 放進了 Area 2因為它同時是 Area 2 的 ABR把管理地址放在自己下轄的區(qū)域里在 Stub 化改造時比較好處理。3.3 驗證鄰居、LSDB、路由表三段式檢查配置敲完別急著 ping按“鄰居 → LSDB → 路由表”的順序檢查能快速定位問題出在哪一層。第一步看鄰居狀態(tài)display ospf peer brief正常輸出應(yīng)該是Full狀態(tài)。如果卡在Init說明只收到對方的 Hello 沒收到回應(yīng)大概率是單向鏈路或 ACL 攔截卡在ExStart是 MTU 不匹配或者 Router ID 沖突卡在2-Way說明雙方都不是 DR/BDR 且網(wǎng)絡(luò)類型不對。這三種情況我在第 5 章會細說。第二步看 LSDB重點確認 Type 3 LSA 有沒有跨區(qū)域傳過來display ospf lsdb display ospf lsdb summary在 R4Area 1 內(nèi)部路由器上執(zhí)行display ospf lsdb summary應(yīng)該能看到 R1 產(chǎn)生的 Type 3 LSA里面包含 Area 0 和 Area 2 的網(wǎng)段。這里有個判斷技巧Type 3 LSA 的 Advertising Router 永遠是 ABR 的 Router ID如果看到某個網(wǎng)段的 Type 3 是由非 ABR 設(shè)備產(chǎn)生的那說明區(qū)域配置有問題。第三步看路由表display ip routing-table protocol ospf在 R4 上應(yīng)該能看到10.0.12.0/30、10.0.23.0/30、10.2.25.0/30、10.2.20.0/24這些 OSPF 路由協(xié)議列顯示OSPF優(yōu)先級是 10。如果某條路由缺失回到第二步看 LSDB 里有沒有對應(yīng)的 LSA有 LSA 沒路由通常是路由過濾或者優(yōu)先級問題沒 LSA 就是泛洪或區(qū)域配置問題。三段式檢查的價值在于把問題分層。我見過太多人一上來就ping不通就懷疑路由實際上鄰居壓根沒建起來。按這個順序走最多三輪就能定位到具體環(huán)節(jié)。4. 特殊區(qū)域與路由控制真正拉開差距的部分4.1 Stub 與 Totally Stub 的配置與效果差異Stub 區(qū)域的作用是拒絕 Type 4 和 Type 5 LSA 進入只保留區(qū)域內(nèi)的 Type 1、Type 2 和區(qū)域間的 Type 3。ABR 會自動向 Stub 區(qū)域內(nèi)下發(fā)一條 Type 3 的默認路由保證區(qū)域內(nèi)設(shè)備能訪問外部。配置很簡單在區(qū)域內(nèi)所有路由器包括 ABR 面向該區(qū)域的配置上加stubospf 1 area 0.0.0.1 stub注意stub命令必須在該區(qū)域的所有路由器上一致配置只要有一臺沒配鄰居就建不起來因為 Hello 報文里的 Stub 標志位不匹配。這是 Stub 區(qū)域最常見的故障原因。Totally Stub 更激進連 Type 3 的區(qū)域間明細路由也擋掉只保留一條默認路由ospf 1 area 0.0.0.1 stub no-summary關(guān)鍵差異在于no-summary只需要在 ABR 上配置區(qū)域內(nèi)其他路由器仍然配普通的stub。這個不對稱設(shè)計很多人不理解其實邏輯很順——no-summary是 ABR 的行為告訴它“別往這個區(qū)域發(fā) Type 3 明細了”而stub是區(qū)域內(nèi)所有路由器的屬性必須一致。什么時候用哪個區(qū)域內(nèi)網(wǎng)段不多、需要精確選路用普通 Stub區(qū)域是純接入、只有一條出口用 Totally Stub能把 LSDB 壓到最小。我在一個分支網(wǎng)絡(luò)里用過 Totally Stub接入路由器 LSDB 從四百多條降到十幾條內(nèi)存占用直接降了一個數(shù)量級。4.2 NSSA 與外部路由引入的完整流程NSSANot-So-Stubby Area解決的是“區(qū)域既要擋外部路由、又需要引入自己外部路由”的矛盾。Area 2 就是這個場景R2 要引入 192.168.100.0/24 這條外部路由但不想讓 Area 2 被 Type 5 污染。先在 R2 上配靜態(tài)路由并引入 OSPFip route-static 192.168.100.0 255.255.255.0 10.0.26.2 # ospf 1 import-route static如果 Area 2 是普通區(qū)域這樣配完 Type 5 LSA 就會泛洪進去。改成 NSSA 后行為變了ospf 1 area 0.0.0.2 nssa在 NSSA 內(nèi)部外部路由以 Type 7 LSA 傳播到了 ABRR2如果配置了translator-always或者滿足轉(zhuǎn)換條件Type 7 會被翻譯成 Type 5 泛洪到其他區(qū)域。R5 作為 NSSA 內(nèi)部路由器同樣要配nssa。Totally NSSA 是nssa no-summary效果是既擋 Type 3 明細又支持外部引入同樣只在 ABR 上配no-summary。這里有個必須注意的點NSSA 區(qū)域內(nèi)引入的外部路由默認不會自動生成默認路由。如果 R5 需要訪問其他區(qū)域得手工在 ABR 上加ospf 1 area 0.0.0.2 nssa default-route-advertise不加這條R5 去往 Area 0 的流量會因為找不到默認路由而丟包。我第一次配 NSSA 時就漏了這行排查了半天才發(fā)現(xiàn)路由表里只有區(qū)域內(nèi)的條目。4.3 虛連接非骨干區(qū)域互聯(lián)的補救方案假設(shè)業(yè)務(wù)要求 Area 1 和 Area 2 直接互聯(lián)比如兩個機房之間拉了一條直連光纖但協(xié)議規(guī)定非骨干區(qū)域不能直接建鄰居。這時候用虛連接Virtual Link把 Area 1 通過 Area 0 橋接到 Area 2。虛連接配置在穿越區(qū)域的 ABR 上兩端都要配參數(shù)是對方的 Router ID 和穿越的區(qū)域R1 上 ospf 1 area 0.0.0.1 vlink-peer 10.2.2.2 R2 上 ospf 1 area 0.0.0.2 vlink-peer 10.1.1.1虛連接的area是穿越區(qū)域不是要連的目標區(qū)域。這一點極容易搞錯R1 要通過 Area 0 連到 R2但 R1 的vlink-peer應(yīng)該配在骨干區(qū)域視圖下還是 Area 1 視圖下正確答案是配在穿越區(qū)域的視圖下。因為虛連接本質(zhì)是把穿越區(qū)域的一段鏈路“假裝”成骨干鏈路所以配置位置取決于你打算穿越哪個區(qū)域。R1 需要穿越 Area 0 才能到 R2所以配在area 0.0.0.0下R2 同理也配在area 0.0.0.0下。我上面寫的 R1 在 Area 1、R2 在 Area 2 是錯的一半——正確做法是兩端都配在 Area 0 視圖下R1: ospf 1 area 0.0.0.0 vlink-peer 10.2.2.2 R2: ospf 1 area 0.0.0.0 vlink-peer 10.1.1.1配置完用display ospf vlink檢查狀態(tài)State應(yīng)該顯示Full。虛連接有兩點必須提醒一是它依賴穿越區(qū)域的底層路由可達穿越區(qū)域斷了虛連接也就斷了所以不適合作為關(guān)鍵業(yè)務(wù)的唯一通道二是虛連接的 cost 等于穿越區(qū)域內(nèi)的實際開銷選路時可能不如物理直連路徑優(yōu)必要時在vlink-peer后面加cost參數(shù)調(diào)整。4.4 路由匯總減小 LSDB 的關(guān)鍵一招匯總分兩類區(qū)域間匯總在 ABR 上做作用于 Type 3和外部路由匯總在 ASBR 上做作用于 Type 5。區(qū)域間匯總配在 ABR 的被匯總區(qū)域視圖下。R1 要把 Area 1 的所有10.1.x.0/24匯總成10.1.0.0/16發(fā)給骨干ospf 1 area 0.0.0.1 abr-summary 10.1.0.0 255.255.0.0配置后R2、R3 的路由表里只會看到10.1.0.0/16具體明細被隱藏。但 R1 自己仍然保留明細因為它要負責(zé)轉(zhuǎn)發(fā)。這個“匯總只對外、不對內(nèi)”的特性意味著匯總路由器必須知道所有明細選路才不會出錯。外部路由匯總配在 ASBR 上ospf 1 asbr-summary 192.168.0.0 255.255.0.0外部匯總有個坑如果 ASBR 引入的外部路由來自多個網(wǎng)段匯總后掩碼算大了會把不存在的網(wǎng)段也包含進去形成黑洞。比如引入192.168.100.0/24和192.168.102.0/24匯總成192.168.96.0/19就包含了192.168.96.0-192.168.99.0這些不存在的地段一旦有流量打過去就丟包。匯總前務(wù)必用計算器確認掩碼邊界寧可多寫幾條精確的匯總也不要一條大掩碼包打天下。還有一點匯總后如果某條明細路由消失匯總路由默認還會保留一段時間抑制期避免路由抖動。這個抑制期可以用abr-summary ... suppress相關(guān)參數(shù)調(diào)整但一般保持默認即可。5. 常見故障與排查實錄5.1 鄰居狀態(tài)機卡住的四種典型場景OSPF 鄰居建立要經(jīng)過 Down、Init、2-Way、ExStart、Exchange、Loading、Full 七個狀態(tài)卡在哪一步就直接指向了問題類型?？ㄔ跔顟B(tài)典型原因排查方法Init單向收到 Hello、ACL 攔截、組播被禁display ospf interface看 hello 收發(fā)計數(shù)2-Way廣播網(wǎng)絡(luò)里非 DR/BDR 的正常狀態(tài)點對點網(wǎng)絡(luò)則是 MTU 或網(wǎng)絡(luò)類型不符display ospf interface看網(wǎng)絡(luò)類型ExStartMTU 不一致最常見、Router ID 沖突display ospf peer看 MTUdisplay ospf brief看 router-idExchange/LoadingLSA 泛洪異常、MTU 導(dǎo)致大包丟棄檢查接口 MTU抓包看 DBD 報文Init 狀態(tài)我遇到最多。有一次兩臺設(shè)備之間隔了一臺透明傳輸設(shè)備只透傳單向組播結(jié)果兩邊都是 Init。這種場景光看 OSPF 配置永遠查不出來得用display ospf interface看 Hello 報文的收發(fā)計數(shù)發(fā)出去的比收到的多基本就能確定是鏈路單向問題。ExStart 卡死九成是 MTU 不一致。比如一端是 1500、一端是 9000開了巨幀DBD 報文協(xié)商時大包過不去。解決辦法要么統(tǒng)一 MTU要么在接口上加interface GigabitEthernet0/0/0 ospf mtu-enable這個命令讓 OSPF 在 DBD 報文里攜帶真實 MTU 值雙方協(xié)商取小值能繞過 MTU 不一致的問題。但它只是規(guī)避根子還是要統(tǒng)一鏈路 MTU。5.2 路由進不了表區(qū)域不匹配與過濾鄰居 Full 了、LSDB 里也有 LSA但路由表里就是沒有這類問題排查思路完全不同。第一種可能是區(qū)域號配錯。R4 上寫area 0.0.0.1R1 面向 R4 的接口寫成area 0.0.0.10這種情況下鄰居根本建不起來因為 Hello 報文里的 Area ID 必須一致。反過來說如果鄰居能建起來區(qū)域號一定是匹配的所以這個方向可以先排除。第二種可能是路由過濾。區(qū)域視圖下的filter命令會過濾 Type 3 LSAospf 1 area 0.0.0.1 filter import ip-prefix AREA1-IN或者用 ACL 方式filter import 2000。這類配置往往是很久以前為了臨時解決某個問題加的事后忘了刪。排查時用display current-configuration configuration ospf完整看一遍進程配置重點找filter、import-route、abr-summary這些會改變路由行為的命令。第三種可能是優(yōu)先級沖突。同一目的網(wǎng)段如果同時有靜態(tài)路由優(yōu)先級 60和 OSPF 路由優(yōu)先級 10OSPF 會勝出但如果前面還有直連路由優(yōu)先級 0那 OSPF 就進不了表。用display ip routing-table 10.x.x.x verbose能看到所有候選路由和它們的優(yōu)先級這個命令在排查“為什么這條路由沒生效”時特別好用。5.3 問題速查表現(xiàn)象優(yōu)先排查驗證命令鄰居建不起來區(qū)域號、認證、Hello/Dead 定時器display ospf peer鄰居 Full 但無路由LSDB 是否有對應(yīng) LSAdisplay ospf lsdb有 LSA 但路由表沒有路由過濾、優(yōu)先級、匯總抑制display ip routing-table verbose跨區(qū)域不通ABR 是否真的連接骨干區(qū)域display ospf brief看區(qū)域列表Stub 區(qū)域鄰居反復(fù)重建區(qū)域內(nèi)是否所有設(shè)備都配了 stub逐臺核對配置NSSA 引入路由不生效是否漏了 default-route-advertisedisplay ospf lsdb ase虛連接不通穿越區(qū)域底層路由是否可達display ospf vlink匯總后部分網(wǎng)段不通匯總掩碼邊界是否算錯手工計算 CIDR 范圍這張表里的“有 LSA 但路由表沒有”和“匯總掩碼算錯”是我踩坑最多的兩類。尤其匯總掩碼用工具算一遍就能避免但偏偏很多人靠心算/22和/21差一位就多罩住一大片地址。6. 一些實操習(xí)慣與踩過的坑配置層面的東西上面說完了最后聊幾個不那么“技術(shù)”但很影響效率的習(xí)慣。第一個習(xí)慣每次改 OSPF 配置前先備份配置。多區(qū)域環(huán)境下一條area命令寫錯可能讓整個區(qū)域的鄰居瞬間斷開回滾比重配快得多。我現(xiàn)在的做法是改之前先display current-configuration configuration ospf存一份改完對比。第二個習(xí)慣區(qū)域劃分圖紙和實際配置要能對上。我接手過一個網(wǎng)絡(luò)圖紙上畫的是三個區(qū)域?qū)嶋H配置里有五個兩個是歷史遺留沒刪的。排查跨區(qū)域不通時先花十分鐘把display ospf brief里所有設(shè)備的區(qū)域列表列出來比盲猜快得多。第三個習(xí)慣Stub 和 NSSA 一定要在實驗環(huán)境先驗證一遍。這兩類區(qū)域?qū)ε渲靡恢滦砸髽O高生產(chǎn)環(huán)境直接改一旦某臺設(shè)備漏配整片區(qū)域癱瘓。本案例的所有配置我都是先在模擬器上跑通用display ospf lsdb逐條看過 LSA 類型確認 Type 3、Type 5、Type 7 的生成和泛洪范圍符合預(yù)期才敢往真實設(shè)備上套。第四個習(xí)慣給每條鏈路加 description。看配置時To-R2-Area0比GigabitEthernet0/0/0好理解一百倍尤其半夜排障的時候腦子轉(zhuǎn)得慢注釋就是救命稻草。最后分享一個我最近才想明白的點多區(qū)域 OSPF 的“多”不是目的減少 LSDB 體積和隔離拓撲變化才是目的。有些網(wǎng)絡(luò)明明只有幾十個網(wǎng)段硬生生拆成五個區(qū)域結(jié)果 ABR 上要做五套匯總和過濾策略維護成本反而上升。判斷標準很簡單如果你的 LSDB 在display ospf lsdb里超過兩頁或者一次鏈路抖動會導(dǎo)致十臺以上設(shè)備重算 SPF那就該考慮拆區(qū)域了否則單區(qū)域未必是壞選擇。協(xié)議是工具不是面子工程。 多區(qū)域OSPF配置案例：區(qū)域劃分、LSA匯總與NSSA排障
上篇那套單區(qū)域的 OSPF 配置跑通之后很多同行追問的下一個問題幾乎一模一樣業(yè)務(wù)網(wǎng)段一多LSDB 越來越胖路由器風(fēng)扇開始叫怎么解。這篇就接著上篇的代碼往下推講一個完整的多區(qū)域 OSPF 配置案例。順帶說一句標題里寫的 osps 應(yīng)該是筆誤實際指的肯定是 OSPFOpen Shortest Path First開放式最短路徑優(yōu)先下面所有內(nèi)容都圍繞這個協(xié)議展開不再糾結(jié)縮寫。多區(qū)域 OSPF 配置真正難的地方不是多敲幾行 area 命令而是你要先想清楚“區(qū)域邊界切在哪、切完之后哪些 LSA 該過界、過界的路由要不要匯總、匯總完掩碼怎么算”。這些想不明白配出來的多區(qū)域網(wǎng)絡(luò)還不如單區(qū)域穩(wěn)定。這篇適合兩類人看一類是剛把單區(qū)域玩明白、準備上生產(chǎn)環(huán)境的初中級網(wǎng)絡(luò)工程師另一類是被區(qū)域間路由莫名其妙不通折磨過、想系統(tǒng)性梳理一遍的運維同學(xué)。文中所有命令基于某主流廠商 VRP 風(fēng)格的命令行給出其他廠商的等價命令我會在關(guān)鍵處標注對照關(guān)系抄作業(yè)前請先確認自己的設(shè)備版本。1. 為什么單區(qū)域撐不住多區(qū)域設(shè)計的真實動機1.1 單區(qū)域 OSPF 的三個隱性代價很多人以為單區(qū)域的問題只是“路由條目多”其實遠不止。OSPF 是鏈路狀態(tài)協(xié)議同區(qū)域內(nèi)所有路由器的 LSDB 必須完全一致這意味著區(qū)域內(nèi)每增加一臺設(shè)備、每斷一條鏈路全區(qū)域所有路由器都要重新跑一遍 SPF 算法。業(yè)務(wù)規(guī)模小的時候看不出來一旦區(qū)域內(nèi)網(wǎng)段超過兩三百個、設(shè)備超過幾十臺問題就會集中爆發(fā)。第一個代價是 LSDB 體積膨脹。每臺路由器光保存拓撲就要吃掉可觀的內(nèi)存而且這些信息對邊緣設(shè)備來說是純浪費——一臺只掛兩個業(yè)務(wù)網(wǎng)段的接入路由器根本不需要知道全網(wǎng)拓撲。第二個代價是 SPF 計算風(fēng)暴核心鏈路抖動一次區(qū)域內(nèi)幾十臺設(shè)備同時重算CPU 瞬間打滿期間轉(zhuǎn)發(fā)雖然靠硬件表不中斷但新的路由收斂會被拖慢出現(xiàn)“拓撲已經(jīng)變了、路由表還沒更新”的窗口期。第三個代價最隱蔽就是無法做區(qū)域間匯總。單區(qū)域里每條明細路由都要全網(wǎng)泛洪你想用一條10.1.0.0/16概括下面幾十個10.1.x.0/24業(yè)務(wù)網(wǎng)段協(xié)議層面根本不支持——匯總只在區(qū)域邊界上才有意義。這也是為什么規(guī)劃階段就要把區(qū)域切好等網(wǎng)絡(luò)跑起來再拆分代價會大得多。1.2 區(qū)域劃分的取舍按什么切、切幾刀常見切法有三種。按地理切最直觀一樓一個區(qū)、A 棟一個區(qū)鏈路故障影響范圍天然被隔離按業(yè)務(wù)切更符合運維思維辦公區(qū)、生產(chǎn)區(qū)、監(jiān)控區(qū)、外聯(lián)區(qū)各成一塊做路由策略時邊界清晰按設(shè)備角色切適合數(shù)據(jù)中心接入層一個區(qū)、匯聚層一個區(qū)把不穩(wěn)定的邊緣拓撲擋在骨干之外。我個人更傾向“業(yè)務(wù)為主、地理為輔”的混合切法。純按地理切一個樓層里同時跑辦公和生產(chǎn)一旦生產(chǎn)網(wǎng)段出問題整層辦公都跟著重算隔離效果打折。純按業(yè)務(wù)切跨樓宇的同業(yè)務(wù)流量要走骨干繞一圈時延反而增加。這里沒有標準答案判斷依據(jù)就一條你希望一次拓撲變化影響多大范圍。切幾刀也有講究。OSPF 的區(qū)域數(shù)量理論上是 32 位區(qū)域 ID實際部署里超過十幾個常規(guī)區(qū)域就該考慮拆分了因為每個 ABR 都要維護所有直連區(qū)域的 LSDB。還有一條硬規(guī)矩所有常規(guī)區(qū)域必須直接或間接掛在骨干區(qū)域Area 0上不允許兩個非骨干區(qū)域直接互聯(lián)。這條規(guī)矩是 OSPF 防環(huán)機制的根基違反了要么鄰居建不起來要么得用虛連接補救。1.3 ABR 與 ASBR 的角色邊界ABR區(qū)域邊界路由器的定義很明確同時連接骨干區(qū)域和至少一個常規(guī)區(qū)域且至少有一個接口屬于 Area 0。注意“接口屬于 Area 0”這個條件有些人把一臺路由器配了兩個非骨干區(qū)域就當(dāng)成 ABR實際上它只是普通內(nèi)部路由器不會產(chǎn)生 Type 3 摘要 LSA也不會執(zhí)行區(qū)域間匯總。ASBR自治系統(tǒng)邊界路由器是引入外部路由的那臺設(shè)備它會生成 Type 5 LSA或 NSSA 區(qū)域內(nèi)的 Type 7。這兩類角色經(jīng)常被混淆因為它們都能“讓路由出現(xiàn)在別的區(qū)域”。區(qū)別在于ABR 傳遞的是區(qū)域間路由Type 3拓撲上屬于 OSPF 域內(nèi)ASBR 傳遞的是外部路由Type 5來源可以是靜態(tài)、直連、其他路由協(xié)議。實操中有一個容易踩的坑一臺設(shè)備同時是 ABR 和 ASBR 時它產(chǎn)生的 Type 5 LSA 不會泛洪進 Stub 區(qū)域。如果你把外部路由引入放在了連接 Stub 區(qū)域的那臺 ABR 上Stub 區(qū)域內(nèi)的設(shè)備只能拿到一條默認路由看不到具體的外部明細。這不是配置錯了是協(xié)議設(shè)計如此需要提前想清楚業(yè)務(wù)能不能接受默認路由兜底。2. 拓撲與地址規(guī)劃先想清楚再敲命令2.1 案例拓撲與設(shè)備角色分配這個案例設(shè)計成“一個骨干 兩個常規(guī)區(qū)域 一個外部引入”的經(jīng)典結(jié)構(gòu)規(guī)模不大但覆蓋了絕大多數(shù)生產(chǎn)場景。拓撲是這樣的兩臺 ABRR1、R2通過一條骨干鏈路互聯(lián)R1 下掛 Area 1R2 下掛 Area 2另外掛一臺骨干內(nèi)部路由器 R3Area 1 里放 R4 跑業(yè)務(wù)網(wǎng)段Area 2 里放 R5 做 NSSA 實驗R2 再連一臺 R6 用來模擬外部路由引入。設(shè)備角色所在區(qū)域關(guān)鍵接口R1ABRArea 0 / Area 1GE0/0/0、GE0/0/1、GE0/0/2R2ABR ASBRArea 0 / Area 2GE0/0/0、GE0/0/1、GE0/0/2R3骨干內(nèi)部路由器Area 0GE0/0/0R4區(qū)域內(nèi)部路由器Area 1GE0/0/0、GE0/0/1R5NSSA 內(nèi)部路由器Area 2GE0/0/0、GE0/0/1R6外部設(shè)備非 OSPFGE0/0/0這套角色分配不是隨便排的。把 R2 同時設(shè)為 ABR 和 ASBR是為了演示“外部路由如何從 NSSA 之外傳進來”把 R1 單獨設(shè)為純 ABR是為了干凈地觀察區(qū)域間匯總的效果。實際項目里角色重疊很常見但學(xué)習(xí)和排錯階段把職責(zé)拆開更容易定位問題。2.2 網(wǎng)段與區(qū)域編號的規(guī)劃細節(jié)地址規(guī)劃這塊我堅持兩條原則互聯(lián)鏈路一律 /30業(yè)務(wù)網(wǎng)段按區(qū)域分大段。互聯(lián)鏈路用 /30 而不是 /24一方面是省地址更重要的是防止有人誤把互聯(lián)網(wǎng)段當(dāng)成業(yè)務(wù)網(wǎng)段接交換機掩碼一限制這種誤操作自然就被擋住了。具體規(guī)劃如下網(wǎng)段用途地址掩碼所屬區(qū)域R1-R2 骨干互聯(lián)10.0.12.0255.255.255.252Area 0R2-R3 骨干互聯(lián)10.0.23.0255.255.255.252Area 0R1-R4 區(qū)域互聯(lián)10.1.14.0255.255.255.252Area 1R2-R5 區(qū)域互聯(lián)10.2.25.0255.255.255.252Area 2R1 Loopback10.1.1.1255.255.255.255Area 1R2 Loopback10.2.2.2255.255.255.255Area 2R4 業(yè)務(wù)網(wǎng)段10.1.10.0255.255.255.0Area 1R5 業(yè)務(wù)網(wǎng)段10.2.20.0255.255.255.0Area 2R2-R6 外部互聯(lián)10.0.26.0255.255.255.252不參與 OSPF外部模擬網(wǎng)段192.168.100.0255.255.255.0通過靜態(tài)引入?yún)^(qū)域 ID 用的是點分十進制格式0.0.0.0、0.0.0.1、0.0.0.2雖然命令行里也可以用整數(shù)area 1簡寫但建議統(tǒng)一用點分格式因為后續(xù)如果區(qū)域數(shù)量超過 255整數(shù)寫法的可讀性會崩掉而且點分格式和 IP 地址形態(tài)一致看配置文件時不容易看漏。選 10.1.x.x 給 Area 1、10.2.x.x 給 Area 2是有意讓第二個字節(jié)跟區(qū)域編號對齊。這樣在 R1 上看路由表一眼就能判斷某條路由來自哪個區(qū)域匯總時也方便——Area 1 的所有業(yè)務(wù)網(wǎng)段天然落在10.1.0.0/16里面abr-summary 10.1.0.0 255.255.0.0一條就夠了不用反復(fù)算掩碼。這種“地址跟著區(qū)域走”的習(xí)慣是我踩過幾次匯總算錯掩碼的坑之后養(yǎng)成的。2.3 Router ID 與接口開銷的確定原則Router ID 必須全網(wǎng)唯一格式是 32 位點分十進制。VRP 的選舉順序是手動配置的 router-id 最大的 Loopback 接口地址 最大的物理接口地址。強烈建議手動指定尤其是設(shè)備重啟順序不確定的場景。我以前遇到過一臺設(shè)備先起物理口、后起 LoopbackRouter ID 就變成了物理口地址跟另一臺設(shè)備撞了鄰居反復(fù)重建查了半小時才發(fā)現(xiàn)。本案例統(tǒng)一用 Loopback 地址做 Router IDR1 是 10.1.1.1R2 是 10.2.2.2R3 是 10.0.3.3R4 是 10.1.4.4R5 是 10.2.5.5。注意 R3 的 Loopback 我特意放進了 Area 0因為它是骨干路由器Loopback 跟著區(qū)域走比較干凈。接口開銷這塊必須算一下。VRP 默認參考帶寬是 100 Mbps開銷 參考帶寬 / 接口帶寬結(jié)果小于 1 時取 1。GE 接口帶寬 1000 Mbps算出 0.1取整為 1百兆口算出 1十兆口算出 10。問題在于現(xiàn)在到處都是 GE 起步所有鏈路開銷都是 1OSPF 選路等于沒得選只能按跳數(shù)比。千兆、萬兆鏈路并存時默認開銷無法體現(xiàn)帶寬差異一定要改參考帶寬system-view bandwidth-reference 10000改成 10000 Mbps 之后萬兆口開銷 1、千兆口開銷 10、百兆口開銷 100層次一下就出來了。這個命令要在區(qū)域內(nèi)所有路由器上統(tǒng)一配置只要有一臺沒改同一條鏈路兩端的開銷計算口徑就不一致可能出現(xiàn)單向選路不對稱。這是我在一個混合帶寬的項目里真實踩過的坑當(dāng)時只改了核心層接入層沒動結(jié)果去回程走了不同路徑防火墻會話表直接被撐爆。3. 骨干區(qū)域與常規(guī)區(qū)域的落地配置3.1 骨干區(qū)域 ABR 的基礎(chǔ)配置先配 R1它要承擔(dān) Area 0 和 Area 1 的邊界職責(zé)。配置順序建議是先配接口地址再配 OSPF 進程和 router-id最后把網(wǎng)段宣告進對應(yīng)區(qū)域。system-view sysname R1 # interface GigabitEthernet0/0/0 description To-R2-Area0 ip address 10.0.12.1 255.255.255.252 # interface GigabitEthernet0/0/1 description To-R4-Area1 ip address 10.1.14.1 255.255.255.252 # interface GigabitEthernet0/0/2 description Business-Area1 ip address 10.1.1.1 255.255.255.0 # interface LoopBack0 ip address 10.1.1.1 255.255.255.255 # ospf 1 router-id 10.1.1.1 bandwidth-reference 10000 area 0.0.0.0 network 10.0.12.0 0.0.0.3 area 0.0.0.1 network 10.1.1.0 0.0.0.255 network 10.1.14.0 0.0.0.3這里有兩個細節(jié)值得說。第一network命令后面跟的是反掩碼wildcard mask不是子網(wǎng)掩碼0.0.0.3對應(yīng)255.255.255.252。新手最容易在這里寫錯寫成255.255.255.252設(shè)備不報錯但匹配不到接口結(jié)果接口地址有了、OSPF 鄰居也建起來了但該網(wǎng)段進不了 LSDB。第二bandwidth-reference在進程視圖下配置作用范圍是整個 OSPF 進程。有些版本支持在接口下用ospf cost直接覆蓋那種方式適合個別鏈路特殊調(diào)整全局統(tǒng)一還是改參考帶寬更省事。另外提一句R1 的 Loopback 我放進了 Area 1 而不是 Area 0。嚴格來說 ABR 的 Loopback 放哪個區(qū)域都行只要 router-id 手動指定了就不影響鄰居建立。但如果你的網(wǎng)絡(luò)里用了loopback做管理地址又希望管理網(wǎng)段在骨干區(qū)域匯總那就應(yīng)該放進 Area 0。這個選擇會讓路由表看起來不一樣不是對錯問題是需求問題。3.2 常規(guī)區(qū)域設(shè)備的配置差異R4 是 Area 1 內(nèi)部的普通路由器配置邏輯和單區(qū)域時完全一樣唯一的變化是area后面要寫對區(qū)域號。system-view sysname R4 # interface GigabitEthernet0/0/0 description To-R1-Area1 ip address 10.1.14.2 255.255.255.252 # interface GigabitEthernet0/0/1 description Business-Net ip address 10.1.10.1 255.255.255.0 # interface LoopBack0 ip address 10.1.4.4 255.255.255.255 # ospf 1 router-id 10.1.4.4 bandwidth-reference 10000 area 0.0.0.1 network 10.1.14.0 0.0.0.3 network 10.1.10.0 0.0.0.255 network 10.1.4.4 0.0.0.0注意最后一行network 10.1.4.4 0.0.0.0反掩碼全 0 表示精確匹配單個地址這是宣告 Loopback 的標準寫法。有人圖省事寫成network 10.1.4.0 0.0.0.255如果 Loopback 是 /32這個網(wǎng)段匹配不到任何接口宣告直接失效。R2 的配置稍微復(fù)雜一點它同時是 ABR 和 ASBR還要連外部設(shè)備。ASBR 部分我放到第 4 章講 NSSA 時一起說這里先把 OSPF 主體和骨干、Area 2 的連接配好system-view sysname R2 # interface GigabitEthernet0/0/0 description To-R1-Area0 ip address 10.0.12.2 255.255.255.252 # interface GigabitEthernet0/0/1 description To-R5-Area2 ip address 10.2.25.1 255.255.255.252 # interface GigabitEthernet0/0/2 description To-R3-Area0 ip address 10.0.23.2 255.255.255.252 # interface LoopBack0 ip address 10.2.2.2 255.255.255.255 # ospf 1 router-id 10.2.2.2 bandwidth-reference 10000 area 0.0.0.0 network 10.0.12.0 0.0.0.3 network 10.0.23.0 0.0.0.3 area 0.0.0.2 network 10.2.25.0 0.0.0.3 network 10.2.2.2 0.0.0.0這里 R2 的 Loopback 放進了 Area 2因為它同時是 Area 2 的 ABR把管理地址放在自己下轄的區(qū)域里在 Stub 化改造時比較好處理。3.3 驗證鄰居、LSDB、路由表三段式檢查配置敲完別急著 ping按“鄰居 → LSDB → 路由表”的順序檢查能快速定位問題出在哪一層。第一步看鄰居狀態(tài)display ospf peer brief正常輸出應(yīng)該是Full狀態(tài)。如果卡在Init說明只收到對方的 Hello 沒收到回應(yīng)大概率是單向鏈路或 ACL 攔截卡在ExStart是 MTU 不匹配或者 Router ID 沖突卡在2-Way說明雙方都不是 DR/BDR 且網(wǎng)絡(luò)類型不對。這三種情況我在第 5 章會細說。第二步看 LSDB重點確認 Type 3 LSA 有沒有跨區(qū)域傳過來display ospf lsdb display ospf lsdb summary在 R4Area 1 內(nèi)部路由器上執(zhí)行display ospf lsdb summary應(yīng)該能看到 R1 產(chǎn)生的 Type 3 LSA里面包含 Area 0 和 Area 2 的網(wǎng)段。這里有個判斷技巧Type 3 LSA 的 Advertising Router 永遠是 ABR 的 Router ID如果看到某個網(wǎng)段的 Type 3 是由非 ABR 設(shè)備產(chǎn)生的那說明區(qū)域配置有問題。第三步看路由表display ip routing-table protocol ospf在 R4 上應(yīng)該能看到10.0.12.0/30、10.0.23.0/30、10.2.25.0/30、10.2.20.0/24這些 OSPF 路由協(xié)議列顯示OSPF優(yōu)先級是 10。如果某條路由缺失回到第二步看 LSDB 里有沒有對應(yīng)的 LSA有 LSA 沒路由通常是路由過濾或者優(yōu)先級問題沒 LSA 就是泛洪或區(qū)域配置問題。三段式檢查的價值在于把問題分層。我見過太多人一上來就ping不通就懷疑路由實際上鄰居壓根沒建起來。按這個順序走最多三輪就能定位到具體環(huán)節(jié)。4. 特殊區(qū)域與路由控制真正拉開差距的部分4.1 Stub 與 Totally Stub 的配置與效果差異Stub 區(qū)域的作用是拒絕 Type 4 和 Type 5 LSA 進入只保留區(qū)域內(nèi)的 Type 1、Type 2 和區(qū)域間的 Type 3。ABR 會自動向 Stub 區(qū)域內(nèi)下發(fā)一條 Type 3 的默認路由保證區(qū)域內(nèi)設(shè)備能訪問外部。配置很簡單在區(qū)域內(nèi)所有路由器包括 ABR 面向該區(qū)域的配置上加stubospf 1 area 0.0.0.1 stub注意stub命令必須在該區(qū)域的所有路由器上一致配置只要有一臺沒配鄰居就建不起來因為 Hello 報文里的 Stub 標志位不匹配。這是 Stub 區(qū)域最常見的故障原因。Totally Stub 更激進連 Type 3 的區(qū)域間明細路由也擋掉只保留一條默認路由ospf 1 area 0.0.0.1 stub no-summary關(guān)鍵差異在于no-summary只需要在 ABR 上配置區(qū)域內(nèi)其他路由器仍然配普通的stub。這個不對稱設(shè)計很多人不理解其實邏輯很順——no-summary是 ABR 的行為告訴它“別往這個區(qū)域發(fā) Type 3 明細了”而stub是區(qū)域內(nèi)所有路由器的屬性必須一致。什么時候用哪個區(qū)域內(nèi)網(wǎng)段不多、需要精確選路用普通 Stub區(qū)域是純接入、只有一條出口用 Totally Stub能把 LSDB 壓到最小。我在一個分支網(wǎng)絡(luò)里用過 Totally Stub接入路由器 LSDB 從四百多條降到十幾條內(nèi)存占用直接降了一個數(shù)量級。4.2 NSSA 與外部路由引入的完整流程NSSANot-So-Stubby Area解決的是“區(qū)域既要擋外部路由、又需要引入自己外部路由”的矛盾。Area 2 就是這個場景R2 要引入 192.168.100.0/24 這條外部路由但不想讓 Area 2 被 Type 5 污染。先在 R2 上配靜態(tài)路由并引入 OSPFip route-static 192.168.100.0 255.255.255.0 10.0.26.2 # ospf 1 import-route static如果 Area 2 是普通區(qū)域這樣配完 Type 5 LSA 就會泛洪進去。改成 NSSA 后行為變了ospf 1 area 0.0.0.2 nssa在 NSSA 內(nèi)部外部路由以 Type 7 LSA 傳播到了 ABRR2如果配置了translator-always或者滿足轉(zhuǎn)換條件Type 7 會被翻譯成 Type 5 泛洪到其他區(qū)域。R5 作為 NSSA 內(nèi)部路由器同樣要配nssa。Totally NSSA 是nssa no-summary效果是既擋 Type 3 明細又支持外部引入同樣只在 ABR 上配no-summary。這里有個必須注意的點NSSA 區(qū)域內(nèi)引入的外部路由默認不會自動生成默認路由。如果 R5 需要訪問其他區(qū)域得手工在 ABR 上加ospf 1 area 0.0.0.2 nssa default-route-advertise不加這條R5 去往 Area 0 的流量會因為找不到默認路由而丟包。我第一次配 NSSA 時就漏了這行排查了半天才發(fā)現(xiàn)路由表里只有區(qū)域內(nèi)的條目。4.3 虛連接非骨干區(qū)域互聯(lián)的補救方案假設(shè)業(yè)務(wù)要求 Area 1 和 Area 2 直接互聯(lián)比如兩個機房之間拉了一條直連光纖但協(xié)議規(guī)定非骨干區(qū)域不能直接建鄰居。這時候用虛連接Virtual Link把 Area 1 通過 Area 0 橋接到 Area 2。虛連接配置在穿越區(qū)域的 ABR 上兩端都要配參數(shù)是對方的 Router ID 和穿越的區(qū)域R1 上 ospf 1 area 0.0.0.1 vlink-peer 10.2.2.2 R2 上 ospf 1 area 0.0.0.2 vlink-peer 10.1.1.1虛連接的area是穿越區(qū)域不是要連的目標區(qū)域。這一點極容易搞錯R1 要通過 Area 0 連到 R2但 R1 的vlink-peer應(yīng)該配在骨干區(qū)域視圖下還是 Area 1 視圖下正確答案是配在穿越區(qū)域的視圖下。因為虛連接本質(zhì)是把穿越區(qū)域的一段鏈路“假裝”成骨干鏈路所以配置位置取決于你打算穿越哪個區(qū)域。R1 需要穿越 Area 0 才能到 R2所以配在area 0.0.0.0下R2 同理也配在area 0.0.0.0下。我上面寫的 R1 在 Area 1、R2 在 Area 2 是錯的一半——正確做法是兩端都配在 Area 0 視圖下R1: ospf 1 area 0.0.0.0 vlink-peer 10.2.2.2 R2: ospf 1 area 0.0.0.0 vlink-peer 10.1.1.1配置完用display ospf vlink檢查狀態(tài)State應(yīng)該顯示Full。虛連接有兩點必須提醒一是它依賴穿越區(qū)域的底層路由可達穿越區(qū)域斷了虛連接也就斷了所以不適合作為關(guān)鍵業(yè)務(wù)的唯一通道二是虛連接的 cost 等于穿越區(qū)域內(nèi)的實際開銷選路時可能不如物理直連路徑優(yōu)必要時在vlink-peer后面加cost參數(shù)調(diào)整。4.4 路由匯總減小 LSDB 的關(guān)鍵一招匯總分兩類區(qū)域間匯總在 ABR 上做作用于 Type 3和外部路由匯總在 ASBR 上做作用于 Type 5。區(qū)域間匯總配在 ABR 的被匯總區(qū)域視圖下。R1 要把 Area 1 的所有10.1.x.0/24匯總成10.1.0.0/16發(fā)給骨干ospf 1 area 0.0.0.1 abr-summary 10.1.0.0 255.255.0.0配置后R2、R3 的路由表里只會看到10.1.0.0/16具體明細被隱藏。但 R1 自己仍然保留明細因為它要負責(zé)轉(zhuǎn)發(fā)。這個“匯總只對外、不對內(nèi)”的特性意味著匯總路由器必須知道所有明細選路才不會出錯。外部路由匯總配在 ASBR 上ospf 1 asbr-summary 192.168.0.0 255.255.0.0外部匯總有個坑如果 ASBR 引入的外部路由來自多個網(wǎng)段匯總后掩碼算大了會把不存在的網(wǎng)段也包含進去形成黑洞。比如引入192.168.100.0/24和192.168.102.0/24匯總成192.168.96.0/19就包含了192.168.96.0-192.168.99.0這些不存在的地段一旦有流量打過去就丟包。匯總前務(wù)必用計算器確認掩碼邊界寧可多寫幾條精確的匯總也不要一條大掩碼包打天下。還有一點匯總后如果某條明細路由消失匯總路由默認還會保留一段時間抑制期避免路由抖動。這個抑制期可以用abr-summary ... suppress相關(guān)參數(shù)調(diào)整但一般保持默認即可。5. 常見故障與排查實錄5.1 鄰居狀態(tài)機卡住的四種典型場景OSPF 鄰居建立要經(jīng)過 Down、Init、2-Way、ExStart、Exchange、Loading、Full 七個狀態(tài)卡在哪一步就直接指向了問題類型?？ㄔ跔顟B(tài)典型原因排查方法Init單向收到 Hello、ACL 攔截、組播被禁display ospf interface看 hello 收發(fā)計數(shù)2-Way廣播網(wǎng)絡(luò)里非 DR/BDR 的正常狀態(tài)點對點網(wǎng)絡(luò)則是 MTU 或網(wǎng)絡(luò)類型不符display ospf interface看網(wǎng)絡(luò)類型ExStartMTU 不一致最常見、Router ID 沖突display ospf peer看 MTUdisplay ospf brief看 router-idExchange/LoadingLSA 泛洪異常、MTU 導(dǎo)致大包丟棄檢查接口 MTU抓包看 DBD 報文Init 狀態(tài)我遇到最多。有一次兩臺設(shè)備之間隔了一臺透明傳輸設(shè)備只透傳單向組播結(jié)果兩邊都是 Init。這種場景光看 OSPF 配置永遠查不出來得用display ospf interface看 Hello 報文的收發(fā)計數(shù)發(fā)出去的比收到的多基本就能確定是鏈路單向問題。ExStart 卡死九成是 MTU 不一致。比如一端是 1500、一端是 9000開了巨幀DBD 報文協(xié)商時大包過不去。解決辦法要么統(tǒng)一 MTU要么在接口上加interface GigabitEthernet0/0/0 ospf mtu-enable這個命令讓 OSPF 在 DBD 報文里攜帶真實 MTU 值雙方協(xié)商取小值能繞過 MTU 不一致的問題。但它只是規(guī)避根子還是要統(tǒng)一鏈路 MTU。5.2 路由進不了表區(qū)域不匹配與過濾鄰居 Full 了、LSDB 里也有 LSA但路由表里就是沒有這類問題排查思路完全不同。第一種可能是區(qū)域號配錯。R4 上寫area 0.0.0.1R1 面向 R4 的接口寫成area 0.0.0.10這種情況下鄰居根本建不起來因為 Hello 報文里的 Area ID 必須一致。反過來說如果鄰居能建起來區(qū)域號一定是匹配的所以這個方向可以先排除。第二種可能是路由過濾。區(qū)域視圖下的filter命令會過濾 Type 3 LSAospf 1 area 0.0.0.1 filter import ip-prefix AREA1-IN或者用 ACL 方式filter import 2000。這類配置往往是很久以前為了臨時解決某個問題加的事后忘了刪。排查時用display current-configuration configuration ospf完整看一遍進程配置重點找filter、import-route、abr-summary這些會改變路由行為的命令。第三種可能是優(yōu)先級沖突。同一目的網(wǎng)段如果同時有靜態(tài)路由優(yōu)先級 60和 OSPF 路由優(yōu)先級 10OSPF 會勝出但如果前面還有直連路由優(yōu)先級 0那 OSPF 就進不了表。用display ip routing-table 10.x.x.x verbose能看到所有候選路由和它們的優(yōu)先級這個命令在排查“為什么這條路由沒生效”時特別好用。5.3 問題速查表現(xiàn)象優(yōu)先排查驗證命令鄰居建不起來區(qū)域號、認證、Hello/Dead 定時器display ospf peer鄰居 Full 但無路由LSDB 是否有對應(yīng) LSAdisplay ospf lsdb有 LSA 但路由表沒有路由過濾、優(yōu)先級、匯總抑制display ip routing-table verbose跨區(qū)域不通ABR 是否真的連接骨干區(qū)域display ospf brief看區(qū)域列表Stub 區(qū)域鄰居反復(fù)重建區(qū)域內(nèi)是否所有設(shè)備都配了 stub逐臺核對配置NSSA 引入路由不生效是否漏了 default-route-advertisedisplay ospf lsdb ase虛連接不通穿越區(qū)域底層路由是否可達display ospf vlink匯總后部分網(wǎng)段不通匯總掩碼邊界是否算錯手工計算 CIDR 范圍這張表里的“有 LSA 但路由表沒有”和“匯總掩碼算錯”是我踩坑最多的兩類。尤其匯總掩碼用工具算一遍就能避免但偏偏很多人靠心算/22和/21差一位就多罩住一大片地址。6. 一些實操習(xí)慣與踩過的坑配置層面的東西上面說完了最后聊幾個不那么“技術(shù)”但很影響效率的習(xí)慣。第一個習(xí)慣每次改 OSPF 配置前先備份配置。多區(qū)域環(huán)境下一條area命令寫錯可能讓整個區(qū)域的鄰居瞬間斷開回滾比重配快得多。我現(xiàn)在的做法是改之前先display current-configuration configuration ospf存一份改完對比。第二個習(xí)慣區(qū)域劃分圖紙和實際配置要能對上。我接手過一個網(wǎng)絡(luò)圖紙上畫的是三個區(qū)域?qū)嶋H配置里有五個兩個是歷史遺留沒刪的。排查跨區(qū)域不通時先花十分鐘把display ospf brief里所有設(shè)備的區(qū)域列表列出來比盲猜快得多。第三個習(xí)慣Stub 和 NSSA 一定要在實驗環(huán)境先驗證一遍。這兩類區(qū)域?qū)ε渲靡恢滦砸髽O高生產(chǎn)環(huán)境直接改一旦某臺設(shè)備漏配整片區(qū)域癱瘓。本案例的所有配置我都是先在模擬器上跑通用display ospf lsdb逐條看過 LSA 類型確認 Type 3、Type 5、Type 7 的生成和泛洪范圍符合預(yù)期才敢往真實設(shè)備上套。第四個習(xí)慣給每條鏈路加 description。看配置時To-R2-Area0比GigabitEthernet0/0/0好理解一百倍尤其半夜排障的時候腦子轉(zhuǎn)得慢注釋就是救命稻草。最后分享一個我最近才想明白的點多區(qū)域 OSPF 的“多”不是目的減少 LSDB 體積和隔離拓撲變化才是目的。有些網(wǎng)絡(luò)明明只有幾十個網(wǎng)段硬生生拆成五個區(qū)域結(jié)果 ABR 上要做五套匯總和過濾策略維護成本反而上升。判斷標準很簡單如果你的 LSDB 在display ospf lsdb里超過兩頁或者一次鏈路抖動會導(dǎo)致十臺以上設(shè)備重算 SPF那就該考慮拆區(qū)域了否則單區(qū)域未必是壞選擇。協(xié)議是工具不是面子工程。