B1-数通HCIE上-OSPF高级与ISIS

所属：华为 ICT 大赛网络赛道 · 国赛 · 数通 方向 · HCIE 层 内容：OSPF 高级特性与优化、IS-IS 协议与 IPv6 集成 真题说明：本册真题依据华为 ICT 大赛历年公开赛题方向、华为认证考试真题回忆与官方教材例题整理改写，用于自测训练；正式参赛请以大赛官方考试大纲与题库为准。

数通-HCIE-章节1-OSPF高级特性与优化

1.1 LSA 全类型深度剖析

考点定位

LSA（Link State Advertisement，链路状态通告）是 OSPF 的"原子事实"，也是国赛选择、填空、简答、排错四类题型的共同底座。高频考法有三类：给一个 Link State ID 问是哪种 LSA（尤其 10.1.1.1 与 10.1.1.0 的分辨）、问某区域里应不应该出现某类 LSA、问 Type4/Type5/Type7 的产生者与传播范围。分值通常占 OSPF 部分的 30% 以上。最经典的陷阱是把 Link State ID 与"网段地址"混为一谈，以及误认为 Type5 由 ABR 产生。

原理精讲

为什么需要多种 LSA？ OSPF 的设计目标是把"网络拓扑"与"外部路由"分层描述，让不同区域只承载自己需要的信息，从而压缩 LSDB（Link State Database，链路状态数据库）规模、缩短 SPF（Shortest Path First，最短路径优先）计算时间。如果全网络用同一种 LSA 描述一切，那么任何一台路由器的链路抖动都会导致全网所有路由器重算，区域划分就失去意义。因此 OSPF 用"谁产生、在哪个范围泛洪、描述什么"三个维度把 LSA 切成 7 类（外加 OSPFv3 的 Type8/Type9 与 MPLS 相关的 Type10/Type11）。

Type1 Router LSA（路由器 LSA）：每台路由器为每个所属区域产生一条（不是每台一条！跨 3 个区域的路由器产生 3 条 Type1）。Link State ID = 该路由器的 Router ID。它描述"我在这个区域里有哪些链路、每条链路的类型、开销、对端"。链路类型有四种：Point-to-point（Type=1）、Transit（Type=2，连到 DR 的网络）、Stub Network（Type=3，网段上无邻居）、Virtual Link（Type=4）。关键字段：V 位（Virtual Link Endpoint，置 1 表示本路由器是虚连接端点）、E 位（External，置 1 表示本路由器是 ASBR）、B 位（Border，置 1 表示本路由器是 ABR）。注意：Type1 在本区域内泛洪，不出区域。

Type2 Network LSA（网络 LSA）：由广播/NBMA 网络上的 DR（Designated Router，指定路由器）产生，Link State ID = DR 接口的 IP 地址（不是网络号！这是最常考的陷阱）。它描述"本广播网段上有哪些路由器与我建立了 Full 邻接"。为什么由 DR 产生？ 因为广播网段上 n 台路由器若两两建立邻接会产生 n(n-1)/2 条链路，而 DR 代表整个网段形成"伪节点（Pseudonode）"，链路上只需 n 条描述，SPF 树中该网段变成一个节点。Transit 网段与 Stub 网段的判定：接口上是否至少存在一个 Full 状态的邻居——有邻居则是 Transit（DR 产生 Type2，其他路由器用 Type1 的 Transit 链路指向 DR），无邻居则是 Stub Network（用 Type1 的 Stub 链路直接描述网段）。

Type3 Summary LSA（网络汇总 LSA）：由 ABR（Area Border Router，区域边界路由器）产生，用于把一个区域内的路由（含 Type1/Type2 算出的网段、以及本区域学到的 Type3）通告到相邻的另一个区域。Link State ID = 目的网段的网络地址（如 10.1.1.0），掩码放在 LSA 的 Network Mask 字段。为什么叫"距离矢量式"？ 因为 Type3 不携带拓扑，只携带"目标网段 + ABR 到达该网段的度量"，邻居区域的路由器无法验证这个度量的真实性，只能相信 ABR——这与 RIP 的距离矢量思想完全一致，也是区域间防环必须靠拓扑约束（骨干区域规则）的原因。必须记牢：Type3 只在区域之间逐区域传播，不会穿过一个非骨干区域继续传播（水平分割）。

Type4 ASBR Summary LSA（ASBR 汇总 LSA）：由 ABR 产生，Link State ID = ASBR 的 Router ID（注意不是网段！），用于告诉其他区域"如何到达某个 ASBR"。为什么必须有 Type4？ 因为 Type5 中不含"产生者的位置信息"，只有 Advertising Router 字段。本区域内路由器可以通过 Type1/Type2 算出到达该 Router ID 的路径，但其他区域的路由器只靠 Type5 无法知道 ASBR 在哪，所以由 ABR 补一条 Type4 充当"ASBR 的位置指路牌"。特殊规则：如果 ASBR 本身就是 ABR（同一台设备既做 ABR 又做 ASBR），它所在的区域不需要 Type4（因为它在本区域有 Type1，其他区域由它自己作为 ABR 直接产生 Type4）。

Type5 AS External LSA（自治系统外部 LSA）：由 ASBR（Autonomous System Boundary Router，自治系统边界路由器）产生，描述引入 OSPF 域的外部路由（如静态路由、直连、BGP、RIP、IS-IS 引入）。Link State ID = 外部目的网段的网络地址。关键字段：E 位（External Metric Type，0 = E2，1 = E1）、Forwarding Address（FA，转发地址）、External Route Tag、Metric。Type5 在全 OSPF 域（所有普通区域与骨干区域）泛洪，但不进入 Stub / Totally Stub 区域。

Type7 NSSA External LSA（NSSA 外部 LSA）：由 NSSA（Not-So-Stubby Area，非完全末梢区域）内的 ASBR 产生，Link State ID = 外部目的网段的网络地址。它的字段结构与 Type5 几乎一致，多了一个 P 位（Propagate bit，传播位）。为什么需要 Type7？ 因为 Stub 区域不允许 Type5 进入（否则外部路由会引入大量 LSA，失去末梢区域的意义），但实际组网中末梢区域内部又常常存在需要引入外部路由的设备（例如分支路由器挂了另一条出口）。于是 RFC 3101 定义 NSSA：允许 Type7 在 NSSA 内泛洪，再由 NSSA 的 ABR（同时是转换器 Translator）把 Type7 转换成 Type5 通告到骨干区域。这条转换链是 NSSA 的核心机制，必须能画出完整流程。

Type7 → Type5 转换的三个判据（缺一不可）：

1. P 位必须置 1：P 位只在 NSSA 内部泛洪时使用，若 ASBR 引入时 P=0，ABR 不转换（用于"这条外部路由只允许在本 NSSA 内部使用"）。P 位默认置 1（当引入时的 FA 为 0.0.0.0 时）。若引入时指定了非 0 的 Forwarding Address，则 P 位默认置 0，此时路由不会被转换出 NSSA（这是国赛高频考点，很多选手不知道 FA 会"关掉" P 位）。
2. 转换器必须是该 NSSA 的 ABR：且接口上不能配置 nssa suppress-forwarding-address 之类的抑制动作。
3. 存在多个转换器时的选举：同一 NSSA 有多个 ABR 时，Router ID 最大者（华为实现中按 Router ID 最大者优先）成为转换器，避免重复转换产生重复 Type5。

Forwarding Address 的作用与取值规则：FA 是"去往外部目的地的下一跳 IP"。FA ≠ 0.0.0.0 时，OSPF 路由器会在 OSPF 域内先算出到达 FA 的最优路径，然后以 FA 为下一跳转发外部流量，从而避开 ASBR 造成的次优路径（"绕行 ASBR"问题）。FA 的取值规则（引入时）：

• 引入的路由的出接口已使能 OSPF 且网络类型为 Broadcast/NBMA/P2MP 时，FA = 该出接口的 IP 地址；
• 出接口网络类型为 P2P / P2MP（P2P）时，FA = 0.0.0.0；
• 出接口未使能 OSPF，或接口被 silent-interface 抑制时，FA = 0.0.0.0（全部流量绕行 ASBR）。

记忆口诀："广播写自己，点对点写零"。

OSPFv3 在原 7 类基础上新增：Type8 Link LSA（描述本链路的前缀与链路本地地址，只在链路上泛洪，不参与 SPF）、Type9 Intra-Area-Prefix LSA（把 IPv6 前缀从 Router LSA 中剥离出来，一个路由器可产生多条）。这不是国赛重点，但选择题偶尔出现。

关键概念对照表

表 1-1-1 七类 LSA 超大对照表（国赛必背）

表 1-1-2 LSA 与"谁需要它"的对应关系（排错用）

表 1-1-3 LSA 老化与刷新定时器默认值

华为设备配置

# 拓扑：R1 为 ASBR（引入静态路由），R2 为 ABR，R3 为 NSSA 内 ASBR
# 设备：AR6120 / NE40E，VRP V300 及以上

# ============ R1：ABR/ASBR，引入外部路由并观察 LSA 类型 ============
system-view                                    // 进入系统视图
sysname R1                                     // 修改设备名
ospf 1 router-id 1.1.1.1                       // 创建 OSPF 进程 1，显式指定 Router ID
 area 0.0.0.0                                  // 进入区域 0 视图
  network 10.0.1.0 0.0.0.255                   // 宣告互联网段（反掩码）
 area 0.0.0.1                                  // 进入区域 1 视图
  network 10.0.2.0 0.0.0.255                   // 宣告另一侧网段，本机成为 ABR
 quit                                          // 退出区域视图
 import-route static type 1 tag 100            // 引入静态路由为 E1，打 Tag 100
 import-route direct type 2                    // 引入直连路由为 E2（默认类型）
 default-route-advertise always type 2         // 无论本地有无默认路由都产生 Type5 默认路由
 filter-policy ip-prefix DENY_10 export        // 引入时过滤，控制 Type5 生成范围
 default-cost 10                               // 向 Stub/NSSA 区域下发的默认路由开销（默认值 1）
 quit                                          // 退出 OSPF 视图

# ============ 查看 LSA 的必备命令 ============
display ospf lsdb router                         // 查看 Type1（可加 verbose 看链路细节）
display ospf lsdb network                        // 查看 Type2，注意 Link State ID 是 DR 接口 IP
display ospf lsdb summary                        // 查看 Type3 与 Type4（华为归为一类展示）
display ospf lsdb asbr                           // 仅查看 Type4 ASBR Summary LSA
display ospf lsdb ase                            // 仅查看 Type5 AS External LSA
display ospf lsdb nssa                           // 仅查看 Type7 NSSA External LSA
display ospf lsdb verbose                        // 显示 LSA 全部字段（含 FA、Tag、P 位）
display ospf lsdb router 2.2.2.2 verbose         // 查看指定 Router ID 的 Type1 详细字段
display ospf lsdb brief                          // 只看 LSA 数量与类型汇总
reset ospf process                               // 重置 OSPF 进程（排错时强制重新收敛，慎用）

# ============ R3：NSSA 内 ASBR，观察 Type7 与 P 位 ============
system-view
ospf 1 router-id 3.3.3.3
 area 0.0.0.1
  nssa                                         // 将区域 1 配置为 NSSA（区域内所有设备都要配）
  network 10.0.2.0 0.0.0.255                   // 宣告接口进 NSSA
 import-route static                           // 引入静态路由，产生 Type7（P 位默认 1）
 quit
display ospf lsdb nssa verbose                   // 检查 P 位是否置 1、FA 是否为 0.0.0.0

# ============ R1（NSSA 的 ABR）：配置 Type7 转换行为 ============
system-view
ospf 1
 area 0.0.0.1
  nssa translator-always                       // 强制本机始终作为 7 转 5 转换器（多 ABR 场景用）
  nssa suppress-forwarding-address             // 转换时把 FA 置 0，避免域内为 FA 单独建路
 quit

示意图

flowchart LR
    R1["R1 ASBR 与ABR"] -->|"区域0"| R2["R2 骨干路由器"]
    R1 -->|"区域1 NSSA"| R3["R3 NSSA内ASBR"]
    R2 -->|"区域2 Stub"| R4["R4 区域内路由器"]
    R3 -.->|"Type7 仅NSSA内"| R1
    R1 -.->|"Type5 进骨干"| R2
    R1 -.->|"Type3 Type4 进各区域"| R2
    R1 -.->|"Type3 默认路由"| R4

flowchart TD
    A["外部路由被引入"] --> B{"引入者位于哪种区域"}
    B -->|"普通区域"| C["ASBR 产生 Type5"]
    B -->|"NSSA"| D["ASBR 产生 Type7"]
    C --> E["Type5 全域泛洪 不进Stub与NSSA"]
    D --> F{"P 位是否为 1"}
    F -->|"是"| G["NSSA ABR 转换为 Type5"]
    F -->|"否"| H["仅在本 NSSA 内可用 不转换"]
    G --> I["骨干区域及普通区域可见"]

真题精练

Q1.【真题·单选】 某广播网段的 DR 接口 IP 为 10.1.1.2，网段地址为 10.1.1.0/24。该网段对应的 Type2 Network LSA 的 Link State ID 是？

A. 10.1.1.0 B. 10.1.1.1 C. 10.1.1.2 D. 0.0.0.0

答案：C 解析：Type2 Network LSA 的 Link State ID 是DR 接口的 IP 地址，不是网段地址。A 是"看起来合理"的最大干扰项——很多选手把 LSA 的"描述对象是网段"与"Link State ID 是网段"混为一谈。网段掩码放在 LSA 的 Network Mask 字段中，而不是 Link State ID 里。D 是 Type5 默认路由场景下的常见取值。

Q2.【真题·多选】 关于 Type4 ASBR Summary LSA，下列说法正确的有？（多选）

A. 由 ABR 产生，Link State ID 是 ASBR 的 Router ID B. 用于让其他区域的路由器知道如何到达 ASBR C. 如果 ASBR 与 ABR 是同一台设备，则不需要由它自己再产生 Type4 D. Type4 只在 ASBR 所在区域内泛洪

答案：ABC 解析：Type4 的产生者是 ABR、Link State ID 是 ASBR 的 Router ID、作用是"给 ASBR 指路"，A、B 正确；当同一台设备既是 ABR 又是 ASBR 时，它在本区域内有 Type1 可直接算出到自己的路径，无需再由自己产生 Type4（其他区域则由它作为 ABR 产生），C 正确。D 错：Type4 恰恰是为了其他区域服务的，它在整个 OSPF 域内泛洪（Stub 类区域除外），只在 ASBR 自己的区域内"不需要"。

Q3.【真题·判断】 Type5 AS External LSA 由 ABR 产生并在整个 OSPF 自治系统内泛洪，因此 Stub 区域中也会存在 Type5。

答案：错误 解析：Type5 由 ASBR 产生（不是 ABR），在全 OSPF 域泛洪，但 Stub / Totally Stub 区域为了压缩 LSDB 明确禁止 Type5 进入；NSSA 也不允许 Type5 进入（只允许 Type7）。ABR 在这里的作用不是"产生 Type5"，而是"拦住 Type5 并代之以一条 Type3 默认路由"。

Q4.【真题·填空】 在 NSSA 场景中，Type7 转换为 Type5 的必要条件之一是 Type7 的 ________ 位必须置 1；若在 NSSA 内的 ASBR 上引入路由时指定了非 0 的 ________，则该位默认置 0，路由将不会转换出 NSSA。

答案：P（Propagate，传播位）；Forwarding Address（转发地址，FA） 解析：这是 NSSA 最容易被忽略的联动关系。华为实现中，引入时若 FA = 0.0.0.0，P 位默认置 1；若指定了具体 FA，P 位默认置 0。可以通过 display ospf lsdb nssa verbose 观察 P 位实际取值。

Q5.【真题·多选】 在 OSPF 域内，Forwarding Address（FA）取值为 0.0.0.0 的典型场景包括？（多选）

A. 引入路由的出接口网络类型为 Point-to-Point B. 引入路由的出接口未使能 OSPF C. 引入路由的出接口网络类型为 Broadcast 且已使能 OSPF D. 引入路由的出接口被 silent-interface 抑制

答案：ABD 解析：FA 的作用是让域内路由器绕过 ASBR 直接转发，前提是"这个下一跳在 OSPF 域内可达"。P2P 接口上不存在"多路由器共享的下一跳"概念，故 FA = 0（A 对）；接口未使能 OSPF 时该地址在域内不可路由，只能绕行 ASBR，故 FA = 0（B 对）；接口被 silent 抑制时同理（D 对）。C 是 FA = 该接口 IP 的典型场景（口诀"广播写自己"）。

Q6.【真题·简答】 为什么 OSPF 需要专门定义 Type4 LSA？请从其"解决什么问题"的角度说明，并说明什么情况下某个区域看不到 Type4。

答案：Type5 只携带"外部目的网段 + 度量 + 产生者的 Router ID"，不携带产生者（ASBR）在网络中的位置。ASBR 所在区域内的路由器可以通过本区域 Type1/Type2 计算出到该 Router ID 的最短路径，因此本区域不需要额外信息；但其他区域的路由器无法用本区域的拓扑到达该 Router ID，于是由 ABR 产生 Type4（Link State ID = ASBR 的 Router ID，度量 = ABR 到该 ASBR 的最短路径开销），充当"ASBR 的位置指路牌"。路由器只有同时拥有 Type4 与 Type5，才能算出外部路由的完整下一跳。看不到 Type4 的情况：① 本区域就是 ASBR 所在区域（有 Type1 直达，无需 Type4）；② 本区域是 Stub / Totally Stub / NSSA 等末梢区域（Type4 被 ABR 拦截）；③ 该路由器本身就是 ASBR（自己知道自己）。

Q7.【真题·排错】 某 NSSA 区域内的 R3 引入了静态路由 192.168.100.0/24，R3 本地 display ospf lsdb nssa 能看到该 Type7，但骨干区域的 R2 上没有这条路由。请给出完整的排查思路与最可能的原因。

答案：排查思路按"转换链的三要素"逐项验证： ① 检查 P 位：在 R3 上执行 display ospf lsdb nssa verbose，看该 Type7 的 P 位是否为 1。若为 0（常见原因：引入时配置了 import-route static forwarding-address x.x.x.x 指定了非 0 FA，导致 P 位默认置 0），则 ABR 不会转换。 ② 检查转换器：在 NSSA 的 ABR（R1）上执行 display ospf lsdb nssa 与 display ospf abr-asbr，确认本机是否被选为转换器。若该 NSSA 有多个 ABR，只有 Router ID 最大者做转换，其余不转；若怀疑选举异常，可用 nssa translator-always 强制。 ③ 检查 ABR 是否抑制了转换：确认接口上是否误配 nssa suppress-forwarding-address（该命令会把 FA 置 0，但仍会转换，一般不是根因）或 filter-policy export 把该外部路由过滤掉了。 ④ 检查骨干侧是否收到 Type5：在 R2 上 display ospf lsdb ase verbose，若根本没有该 LSA，问题在转换环节；若 LSA 存在但路由表没有，转去查"路由不加表"清单（如 Type5 的 FA 在域内不可达、下一跳递归失败）。 最可能的原因：引入时指定了非 0 的 Forwarding Address 导致 P 位置 0，或该 NSSA 存在多个 ABR 且本机不是转换器。

Q8.【真题·实验】 在三台 AR6120 组成的链式拓扑中，要求：区域 1 为 NSSA，R3（区域 1 内）引入静态路由 172.16.1.0/24，保证骨干区域 R2 能学到该路由且为 E2 类型，同时要求 R1 始终作为转换器。请写出关键配置。

答案： ```bash

R3（NSSA 内 ASBR）

ospf 1 router-id 3.3.3.3 area 0.0.0.1 nssa // 区域内所有设备必须都配 nssa，否则邻接无法建立 network 10.0.2.0 0.0.0.255 import-route static type 2 // 引入为 E2，P 位默认置 1（未指定 FA）

R1（NSSA 的 ABR，同时连接区域 0）

ospf 1 router-id 1.1.1.1 area 0.0.0.1 nssa nssa translator-always // 强制本机作为 7 转 5 转换器 network 10.0.2.0 0.0.0.255

验证

display ospf lsdb nssa verbose // 确认 P 位为 1 display ospf lsdb ase // 在 R1 与 R2 上确认 Type5 已生成 display ip routing-table 172.16.1.0 // 确认路由存在且 Protocol 为 O_ASE（E2） `` **要点**：nssa必须在该区域内**所有** OSPF 设备上配置，否则 Hello 报文的 N 位（NSSA 标志）不匹配，邻接卡在 ExStart 或无法建立；type 2决定最终 Type5 的度量类型；translator-always` 用于多 ABR 时锁定转换器。

易错点与排错

常用排错命令：

display ospf lsdb                                  // 全类型 LSA 总览
display ospf lsdb brief                            // 各类型 LSA 条数统计（快速判断"是不是没收到"）
display ospf lsdb ase verbose                      // 看 Type5 的 FA/Tag/度量类型
display ospf lsdb nssa verbose                     // 看 Type7 的 P 位
display ospf abr-asbr                              // 查看本区域内的 ABR 与 ASBR 识别结果
display ospf routing                              // OSPF 自己算出的路由表（与 IP 路由表对比定位问题）
display ospf interface GigabitEthernet0/0/0       // 看接口的 DR/BDR、网络类型、区域 ID

1.2 四种特殊区域对比与 NSSA 转换机制

考点定位

特殊区域是国赛"送分与送命并存"的考点：选择题考"某区域内能看到哪些 LSA"，简答题考"ABR 如何产生默认路由"，排错题考"Area 配置为 Stub 后邻居起不来"。分值约占 OSPF 部分的 20%。最大陷阱：① 认为 Totally Stub 区域里连 Type3 都没有（实际上有一条 Type3 默认路由 0.0.0.0）；② 认为 NSSA ABR 一定产生默认路由（实际只有配置 default-route-advertise 才产生）。

原理精讲

为什么要定义特殊区域？ 在 OSPF 层次化设计中，末梢区域（Stub Area）里往往只有少量路由器且只有一个出口。对这类区域而言，"到达其他区域和外部世界的详细路由"毫无价值——因为无论目标在哪，出口只有一个。如果把这些 LSA 全部灌进去，会带来两个代价：LSDB 变大（内存）、拓扑变化时 SPF 反复重算（CPU）。于是 OSPF 用"用一条默认路由替换大量明细路由"的思路定义特殊区域，本质是用路由精度换资源占用。

Stub 区域（末梢区域）：拒绝 Type4、Type5，允许 Type1、Type2、Type3。ABR 会向该区域注入一条 Type3 默认路由（0.0.0.0/0），其度量默认为 1，可用 default-cost 修改（注意：default-cost 必须在该区域的 ABR 上配置，配置在区域内普通路由器上无效）。区域内的路由器因此拥有"区域内 + 区域间 + 一条默认"三类路由。限制：Stub 区域内不能有 ASBR（因为 ASBR 要产生 Type5，而 Type5 被禁止——实际上华为设备在 Stub 区域内无法引入外部路由，import-route 不生效或不产生 LSA）。

Totally Stub 区域（完全末梢区域）：在 Stub 基础上进一步拒绝 Type3（除 ABR 自己下发的默认路由），只允许 Type1、Type2 和一条 Type3 默认路由。配置方式：区域内路由器配 stub，ABR 上配 stub no-summary。为什么是这种"两侧不对称"的配置？因为 no-summary 的含义是"我作为 ABR 不再把 Type3 明细送进去"，这是 ABR 的行为；区域内路由器只需知道"这是末梢区域"以便拒绝 Type4/5。记忆法：no-summary 只配在 ABR 上。

NSSA（Not-So-Stubby Area，非完全末梢区域）：拒绝 Type4、Type5，允许 Type1、Type2、Type3，新增允许 Type7。它解决了 Stub 区域的根本缺陷：Stub 内不能引入外部路由。NSSA 内允许存在 ASBR 引入路由，产生的 Type7 在区域内部泛洪；需要出区域时由 NSSA 的 ABR（转换器）转为 Type5。NSSA 的默认路由产生方式有三种（这是国赛极高频考点）：

1. 完全由 ABR 强制产生：NSSA 的 ABR 上配置 nssa default-route-advertise，无条件产生一条 Type7 默认路由（default-route-advertise 不带 always 时需本地存在默认路由才产生）。
2. NSSA 内 ASBR 产生：NSSA 内 ASBR 引入了一条外部默认路由（import-route static 引入 0.0.0.0/0），产生 Type7 默认路由。注意：这条默认路由不会被转换器转为 Type5（因为它是默认路由且需防环，RFC 3101 有专门规定），它只在 NSSA 内部生效。
3. ABR 通过 Type3 下发：在某些场景 ABR 也可向 NSSA 下发 Type3 默认路由（华为实现中 NSSA ABR 默认不产生 Type3 默认路由，需 default-route-advertise 的 NSSA 版本）。

Totally NSSA（完全非完全末梢区域）：在 NSSA 基础上由 ABR 拒绝 Type3 明细（只注入 Type3 默认路由），区域内允许 Type1、Type2、Type7。配置：区域内配 nssa，ABR 配 nssa no-summary。注意：nssa no-summary 会让 ABR 同时产生 Type3 默认路由（给区域内路由器指向 ABR）——所以 Totally NSSA 区域内会同时存在 Type3 默认路由与 Type7。这是极易答错的细节。

default-cost 与 default-route-advertise 的分工：

• default-cost：控制 ABR 向 Stub/NSSA 区域下发的 Type3 默认路由的度量，默认值 1。只影响默认路由开销，不影响其他 LSA。
• default-route-advertise：控制 ABR/ASBR 是否产生默认路由 LSA 以及以什么度量类型产生。always 表示无论本地有无默认路由都产生；type 1|2 指定 Type5/Type7 的度量类型；cost 指定度量值。

关键概念对照表

表 1-2-1 四种特殊区域全方位对照（国赛必背）

表 1-2-2 Type7 → Type5 转换规则速查

表 1-2-3 特殊区域相关命令默认值

华为设备配置

# ============ 场景一：Totally Stub 区域 ============
# R1 为 ABR（连接区域 0 与区域 1），R2 为区域 1 内路由器，R2 为唯一出口

# --- R1（ABR）---
system-view
sysname R1
ospf 1 router-id 1.1.1.1
 area 0.0.0.0
  network 10.0.0.0 0.0.0.255
 area 0.0.0.1
  stub no-summary                          // 关键：ABR 侧配 no-summary，只下发 Type3 默认路由
  network 10.0.1.0 0.0.0.255
  default-cost 20                          // 向该区域下发的默认路由开销改为 20（默认 1）
 quit

# --- R2（区域内路由器）---
system-view
sysname R2
ospf 1 router-id 2.2.2.2
 area 0.0.0.1
  stub                                     // 区域内路由器只配 stub（绝对不能配 no-summary）
  network 10.0.1.0 0.0.0.255
 quit

# --- 验证 ---
display ospf lsdb brief                     // R2 上应只有 Type1/Type2 与一条 Type3（0.0.0.0）
display ospf lsdb summary                   // 查看是否有 0.0.0.0 的 Type3 默认路由
display ospf routing                        // 查看 O_IA 默认路由及其开销
display ip routing-table 0.0.0.0            // 确认默认路由加表

# ============ 场景二：Totally NSSA 区域 ============
# R1 为 ABR，R3 为 NSSA 内 ASBR（引入静态路由）

# --- R1（ABR）---
system-view
ospf 1 router-id 1.1.1.1
 area 0.0.0.1
  nssa no-summary                          // NSSA + 不下发 Type3 明细，同时产生 Type3 默认路由
  network 10.0.1.0 0.0.0.255
  nssa default-route-advertise always      // 可选：ABR 再产生一条 Type7 默认路由
  nssa translator-always                   // 锁定本机为 7 转 5 转换器
 quit

# --- R3（NSSA 内 ASBR）---
system-view
ospf 1 router-id 3.3.3.3
 area 0.0.0.1
  nssa                                     // 区域内所有设备统一配 nssa
  network 10.0.1.0 0.0.0.255
 import-route static type 2 cost 30        // 引入静态路由，E2，度量 30
 quit

# --- 验证关键点 ---
display ospf lsdb nssa verbose               // 确认 Type7 的 P 位 = 1、FA = 0.0.0.0
display ospf lsdb summary                    // Totally NSSA 内应能看到 ABR 下发的 Type3 默认路由
display ospf lsdb ase                        // 在 R1/骨干设备上确认 Type5 已生成
display ospf lsdb brief                      // 区域内 LSA 类型统计，确认没有 Type4/Type5
display ospf error                           // 特殊区域配置不一致时会打印区域类型不匹配的告警

示意图

flowchart TB
    subgraph AREA0["骨干区域 0"]
        R1["R1 ABR"]
    end
    subgraph AREA1["区域1 Totally Stub"]
        R2["R2 区域内路由器"]
        R5["R5 区域内路由器"]
    end
    subgraph AREA2["区域2 Totally NSSA"]
        R3["R3 NSSA内ASBR"]
        R4["R4 区域内路由器"]
    end
    R1 ---|"10.0.1.0/24"| R2
    R2 --- R5
    R1 ---|"10.0.2.0/24"| R4
    R4 --- R3
    R1 -.->|"仅Type3默认路由"| R2
    R1 -.->|"Type3默认加Type7"| R4

sequenceDiagram
    participant E as 外部网络
    participant R3 as R3 NSSA内ASBR
    participant R1 as R1 NSSA的ABR转换器
    participant R2 as R2 骨干区域路由器
    E->>R3: 静态路由 172.16.1.0/24
    R3->>R3: import-route static 产生 Type7
    Note over R3: 未指定FA 故 P位等于1
    R3->>R1: 泛洪 Type7 仅限本NSSA
    R1->>R1: 检查P位为1 且本机是转换器
    R1->>R2: 生成并泛洪 Type5
    Note over R2: 骨干区域学到 172.16.1.0/24

真题精练

Q1.【真题·单选】 在 Totally Stub 区域内的路由器上执行 display ospf lsdb brief，最可能看到下列哪组 LSA 类型？

A. Type1、Type2、Type3（多条明细）、Type4、Type5 B. Type1、Type2、Type3（仅 0.0.0.0 一条） C. Type1、Type2、Type7 D. Type1、Type2、Type3（多条明细）

答案：B 解析：Totally Stub 区域由 ABR 使用 stub no-summary 抑制 Type3 明细，只保留一条描述默认路由的 Type3（Link State ID = 0.0.0.0），因此区域内只有 Type1、Type2 与这一条 Type3。A 是普通区域的形态（但普通区域通常也不会有 Type4/Type5 明细那么多）；C 是 NSSA 的形态；D 是普通 Stub 区域的形态，与 Totally Stub 只差 no-summary。

Q2.【真题·多选】 关于 NSSA 区域默认路由的产生方式，下列描述正确的有？（多选）

A. NSSA 的 ABR 上配置 nssa default-route-advertise 可以产生一条 Type7 默认路由 B. NSSA 内的 ASBR 引入一条外部默认路由后会产生 Type7 默认路由 C. NSSA 内 ASBR 产生的 Type7 默认路由会被转换器转换为 Type5 通告到骨干区域 D. 配置 nssa no-summary 时，ABR 会向该区域下发 Type3 默认路由

答案：ABD 解析：A、B 是 NSSA 默认路由的两种标准来源。C 错：RFC 3101 明确规定，NSSA 内 ASBR 产生的 Type7 默认路由不会被转换为 Type5（避免骨干区域被 NSSA 内部的默认路由劫持，属于防环设计），它只在本 NSSA 内生效。D 对：no-summary 的作用就是"不再下发 Type3 明细，改为下发默认路由"，因此 Totally NSSA 区域内会同时出现 Type3 默认路由与 Type7 外部路由。

Q3.【真题·判断】 某区域配置为 Stub 区域后，该区域内的路由器上仍然可以执行 import-route static 引入外部路由，只是引入的路由不会传播到区域外。

答案：错误 解析：Stub 区域不能存在 ASBR。原因链：Stub 区域禁止 Type5，而 import-route 的本质是产生 Type5，路由器一旦成为 ASBR 就必须产生 Type5——这与 Stub 的定义直接冲突。因此 Stub 区域内引入外部路由不生效（华为实现中相关 LSA 不生成，路由也不会被 OSPF 发布）。若区域内确实需要引入外部路由，必须把区域类型改为 NSSA。

Q4.【真题·填空】 Totally Stub 区域的 ABR 上需要配置命令 ________；ABR 向 Stub/NSSA 区域下发的 Type3 默认路由，其度量默认值为 ________，可通过命令 ________ 修改。

答案：stub no-summary；1；default-cost <值> 解析：no-summary 必须且只能配置在 ABR 上（描述 ABR 的下发行为）；区域内普通路由器只配 stub。default-cost 的生效位置同样只在 ABR 上，配在区域内普通路由器上没有任何作用——这是实验题中最常见的失分点。

Q5.【真题·简答】 对比 Stub 区域与 NSSA 区域的异同，并说明"如果某分支区域内部存在两条出口（一条走总部、一条走本地互联网），应选择哪种区域类型，为什么"。

答案：相同点：两者都拒绝 Type4、Type5，都允许 Type1、Type2、Type3，都用于末梢（单出口或少出口）场景，且都必须在该区域所有 OSPF 设备上配置相同的区域类型。不同点：Stub 区域禁止存在 ASBR（因为 Type5 被禁），NSSA 允许存在 ASBR，只是其产生的 Type5 被替换为 Type7，由 NSSA 的 ABR 转换为 Type5 后传出。选型结论：应选择 NSSA。因为"本地互联网出口"意味着分支内部需要引入一条外部路由（或默认路由），即分支内存在 ASBR 角色，Stub 区域无法承载 ASBR；而 NSSA 允许内部 ASBR 产生 Type7，使本地出口在分支内生效，同时又不把大量 Type4/Type5 灌入分支，兼顾了资源优化与功能需求。若分支内不需要学习总部明细路由，可进一步用 Totally NSSA（nssa no-summary）。

Q6.【真题·排错】 某工程师把区域 1 配置为 Stub：ABR（R1）上配置了 stub no-summary，区域内 R2 上配置了 stub no-summary。配置完成后 R1 与 R2 的邻居关系无法建立（卡在 ExStart）。请分析原因并给出修正。

答案：原因：no-summary 是ABR 侧的专属行为参数，它会改变 Hello 报文中 E 位（ExternalRoutingCapability）以外的行为，但真正的问题在于华为设备不允许在非 ABR 上配置 no-summary：R2 不是 ABR（它只属于区域 1），在它上面配置 stub no-summary 会导致该设备的区域参数与 ABR 通告的参数不一致，Hello 报文中的区域类型理解出现分歧，邻接建立失败。修正方法：在 R2 上删除 no-summary，只保留 stub。排查手段：display ospf error 会看到"区域类型不匹配（Area type mismatch）"类计数增长；display ospf interface 可查看两侧的区域类型与选项位。补充：Stub/NSSA 场景下区域内所有设备的区域类型必须完全一致，否则无法建立邻接，这是配置类题目的第一检查项。

Q7.【真题·多选】 下列关于特殊区域中虚连接（Virtual Link）的说法，正确的有？（多选）

A. 虚连接不能穿越 Stub 区域 B. 虚连接不能穿越 NSSA 区域 C. 虚连接可以穿越 Totally Stub 区域，只要两端是 ABR D. 虚连接必须配置在 ABR 上，且必须穿过一个非骨干区域

答案：ABD 解析：虚连接需要一个"中转区域"来承载，中转区域必须能正常传递 Type1/Type2/Type3（尤其是 Type1，因为虚连接本质是被当作一条 P2P 链路来处理）。Stub / Totally Stub / NSSA / Totally NSSA 都不能作为虚连接的中转区域（它们限制了 LSA 类型，Type1 在某些情况下也不完整，且默认路由的存在会导致路由不可预期），因此 A、B 对、C 错。D 对：虚连接的两端必须是 ABR（且其中一端必须与骨干区域相连），它穿过的是一个非骨干区域——这正是虚连接存在的意义。

Q8.【真题·实验】 请写出一套完整配置，使区域 2 成为 Totally NSSA：区域内 R4 引入静态路由 192.168.50.0/24（要求骨干侧看到为 E1、度量 50），ABR 为 R1，且要求 R1 一定作为 7 转 5 转换器。

答案： ```bash

R1（ABR）

ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 10.0.0.0 0.0.0.255 area 0.0.0.2 nssa no-summary // Totally NSSA：抑制 Type3 明细并下发默认路由 network 10.0.2.0 0.0.0.255 nssa translator-always // 确保本机做转换器 quit

R4（NSSA 内 ASBR）

ospf 1 router-id 4.4.4.4 area 0.0.0.2 nssa // 区域内设备统一 nssa network 10.0.2.0 0.0.0.255 import-route static type 1 cost 50 // E1 度量 50，未指定 FA 故 P 位为 1 quit

验证

display ospf lsdb nssa verbose // P 位 = 1，FA = 0.0.0.0 display ospf lsdb ase verbose // 骨干侧 Type5：E1，Metric 50 display ospf routing 192.168.50.0 // 确认度量类型与开销 `` **要点**：type 1决定骨干侧看到 E1（E1 会在整个路径上累加内部开销）；cost 50指定引入时的初始度量；若误写forwarding-address`，P 位会变 0，路由将不转换。

易错点与排错

1.3 OSPF 防环机制详解

考点定位

防环是 HCIE 层"考原理"的代表性考点，常以简答、多选形式出现，也常作为排错题的理论基础（例如"为什么这条 Type3 路由是次优的"）。高频问法：区域间为什么不会出现环路、Type5 靠什么防环、DN 位是干什么用的。国赛还常把防环与 MPLS VPN 场景结合考查（PE-CE 之间跑 OSPF 时 Type3 的 DN 位设置）。

原理精讲

OSPF 的防环设计不是"一个机制"，而是四层机制的叠加，理解时必须按"哪一层可能出环、用什么约束"的框架来记。

第一层：区域内防环 —— 靠 SPF 算法本身。区域内所有路由器拥有完全一致的 LSDB（拓扑数据库），每台路由器独立用 Dijkstra 算法在自己的"最短路径树"上计算，树结构天然无环。这是链路状态协议最根本的优势，也是它比距离矢量协议（RIP）收敛快、无环路的原因。所以区域内不需要额外的防环机制。

第二层：区域间防环 —— 骨干区域规则 + 水平分割。区域之间传递的是 Type3（距离矢量式），既然度量不能被验证，逻辑上就可能出环。OSPF 用两条硬规则杜绝：

1. 骨干区域（Area 0）必须连续且所有非骨干区域必须与骨干区域直接相连。区域间的路由必须"上骨干、走骨干、下骨干"，形成严格的两级层次（two-level hierarchy）。这是一条拓扑约束，从结构上排除了"区域 A → 区域 B → 区域 A"的横向环路。
2. 区域间水平分割（Inter-Area Split Horizon）：ABR 不会把从一个非骨干区域学到的 Type3 再通告回骨干区域以外的另一个非骨干区域；也不会把从骨干区域学到的 Type3 通告回骨干区域。具体规则： - ABR 把骨干区域学到的 Type3 → 通告给所连的非骨干区域（下行）； - ABR 把非骨干区域学到的 Type3 → 通告给骨干区域（上行）； - ABR 不会把非骨干区域 A 学到的 Type3 直接通告给非骨干区域 B（必须经骨干绕行）。

为什么必须"经骨干绕行"？ 因为骨干区域是全网的"路由中转枢纽"，所有区域间的路径都经过它，路径上必然经过至少一个 ABR，且每次跨区域都要重新计算，度量信息不会被反复"加码"形成正反馈。如果不强制绕骨干，A、B 两个区域之间的 ABR 可能互相通告对方的 Type3，产生"我以为你近、你以为我近"的相互欺骗，最终形成环路或次优路径。

第三层：域外防环 —— Type5 的"两次可用性检查"。Type5 描述的外部路由与 OSPF 域内拓扑是松耦合的，因此 OSPF 要求路由器在做 Type5 转发决策前完成两道检查：

1. 可达性检查（ASBR 可达）：通过 Type1/Type2（本区域）或 Type4（其他区域）算出到 ASBR 的最短路径，确认 ASBR 可达；
2. FA 检查（FA 可达）：若 Type5 的 FA ≠ 0.0.0.0，则必须在 OSPF 域内算出到 FA 的最优路径，并且该路径必须不经过产生该 LSA 的 ASBR 所在的那条路由（否则会形成"为了到外面而绕到外面"的循环）。

为什么这两道检查能防环？ 因为 Type5 本身只说"外面有个网段"，不说"怎么出去"。如果直接按 ASBR 转发，而 ASBR 又是通过 OSPF 学到这条外部路由的（形成了"引入自己学到的路由"的循环），就会出环。可达性检查把"ASBR/FA 必须是自己能算出来的 OSPF 域内地址"作为入库门槛，从根本上切断了循环。这就是"Type5 路由在 LSDB 里但路由表里没有"最常见的原因——ASBR 不可达或 FA 不可达。

第四层：MPLS VPN 场景的 DN 位防环。在 MPLS L3VPN 中，PE 与 CE 之间常用 OSPF，而 PE 之间通过 MP-BGP 传递 VPN 路由。这里存在一个真实的环路风险：

• PE1 从 CE1（Site 1）学到 OSPF 路由 → 引入 MP-BGP → 传给 PE2 → PE2 把它作为 Type3（或 Type5）通告给 CE2（Site 2）；
• CE2 如果属于同一个 OSPF 域（同区域/同域 ID），又会把这条 LSA 通告回 PE1，PE1 以为 CE 侧有更优路径，形成"绕一圈又回来"的环路。

RFC 4577 的解法：PE 在把从 MP-BGP 学到的路由以 Type3（Summary LSA）形式通告给 CE 时，在 LSA 的 Options 字段中设置 DN 位（Downward Bit，向下位）。DN 位含义是"这条 LSA 是从更高级别（骨干/MP-BGP）向下通告到本区域的"。当 PE 再次从 CE 侧收到一条带 DN 位的 Type3 时，它不会把这条 Type3 重新引入 MP-BGP（即不作为 VPN 路由发布）。这样"BGP → OSPF → BGP"的回灌通道被切断。同理，Type5 在 RFC 4577 中也定义了 DN 位，用于 PE-CE 使用 OSPF 且外部路由场景。

关键结论：capability vpn-instance-capability simple 与 dn-bit-check 是华为设备上与 DN 位相关的两个开关。默认情况下华为设备在 VPN 实例中会检查 DN 位（dn-bit-check enable）；若关闭检查，则可能出现路由回灌导致的环路或次优。特别提醒：当 OSPF 进程绑定到 VPN 实例且使用 vpn-instance-capability simple（无 sham-link 的简化组网）时，设备的 DN 位检查行为与标准组网不同，此时需要根据组网决定是否关闭 DN 位检查，关闭后必须确保 BGP 侧有正确的防环机制（如 SoO、AS 路径）。

Type3 的另一个防环细节 —— 不把 Type3 通告回自己学来的方向：ABR 从区域 1 学到某条 Type3 后，不会把它再通告回区域 1（这是最基本的行为）。但要注意：ABR 会把自己从区域 0 学到的 Type3 通告给区域 1，也会把自己从区域 1 学到的 Type3 通告给区域 0——如果两个区域之间有多台 ABR，可能出现"两台 ABR 互相学习对方的 Type3 后都通告给骨干"，此时靠度量比较 + SPF 的唯一性保证不环，且骨干区域的连续性原则确保路径不会在两个非骨干区域之间直接穿梭。

关键概念对照表

表 1-3-1 四层防环机制对照

表 1-3-2 区域间 Type3 传播规则速查

表 1-3-3 DN 位相关字段与配置

华为设备配置

# ============ 场景一：MPLS L3VPN 中 PE-CE 运行 OSPF，观察与控制 DN 位 ============
# 设备：NE40E（PE），AR6120（CE），VRP V300

# --- PE 侧 ---
system-view
sysname PE1
ip vpn-instance VPNA                          // 创建 VPN 实例
 ipv4-family                                  // 进入 IPv4 地址族
  route-distinguisher 100:1                   // 配置 RD（区分不同 VPN 的相同网段）
  vpn-target 100:1 export-extcommunity        // 导出 RT
  vpn-target 100:1 import-extcommunity        // 导入 RT
 quit
interface GigabitEthernet0/0/1
 ip binding vpn-instance VPNA                 // 接口绑定 VPN 实例
 ip address 10.1.1.1 255.255.255.0
ospf 100 vpn-instance VPNA router-id 1.1.1.1  // OSPF 多实例：绑定 VPN 实例
 vpn-instance-capability simple                // 简化组网模式（无 sham-link 时必须显式配置）
 dn-bit-check disable                          // 关闭 DN 位检查（简化模式下按组网需要）
 dn-bit-set disable                            // 关闭 DN 位置位（防止 CE 侧路由被误判）
 import-route bgp                              // 把 BGP 学到的 VPN 路由引入 OSPF 下发给 CE
 area 0.0.0.0
  network 10.1.1.0 0.0.0.255
 quit
# --- 查看 DN 位 ---
display ospf 100 lsdb summary verbose          // 查看 Type3 的 Options 字段中 DN 位
display ospf 100 vpn-instance VPNA lsdb        // 查看 VPN 实例内的 LSDB

# ============ 场景二：验证域外防环（ASBR 可达性 + FA 可达性） ============
# 制造故障：在 ASBR 上把引入的出接口 silent 掉，观察 Type5 是否还能加表
system-view
ospf 1
 silent-interface GigabitEthernet0/2/0         // 抑制接口，导致 FA 不可达
 quit
display ospf lsdb ase verbose                  // 确认 Type5 仍在 LSDB
display ospf routing                           // 观察 OSPF 计算路由中是否还有该外部路由
display ip routing-table 172.16.1.0            // 确认路由表是否加表（预期：不加表）
display ospf spf-tree                          // 查看 SPF 树，确认 FA 是否可达（部分版本支持）

# ============ 场景三：区域间水平分割验证 ============
# 三区域拓扑 0 - 1 - 2（区域1与区域2间由同一台ABR连接），观察Type3是否直接互告
display ospf lsdb summary                      // 在区域2内路由器上确认明细路由均来自骨干侧ABR
display ospf abr-asbr verbose                  // 确认ABR身份与区域归属
tracert 10.9.9.9                               // 观察实际路径是否经骨干区域绕行

示意图

flowchart TB
    subgraph A0["骨干区域 0 必须连续"]
        ABR1["ABR1"]
        ABR2["ABR2"]
        CORE["骨干路由器"]
    end
    subgraph A1["非骨干区域 1"]
        R1["区域内路由器"]
    end
    subgraph A2["非骨干区域 2"]
        R2["区域内路由器"]
    end
    R1 --- ABR1
    ABR1 --- CORE
    CORE --- ABR2
    ABR2 --- R2
    ABR1 -.->|"Type3 上行到区域0"| CORE
    CORE -.->|"Type3 下行到区域2"| ABR2
    ABR1 -.->|"禁止 非骨干向非骨干直接互告"| ABR2

flowchart TD
    A["LSDB 中存在 Type5 外部路由"] --> B{"ASBR 是否可达"}
    B -->|"通过Type1或Type4算出"| C{"FA 是否为 0.0.0.0"}
    B -->|"不可达"| X["路由不加表"]
    C -->|"是 0"| D["以 ASBR 为下一跳加表"]
    C -->|"非 0"| E{"FA 在OSPF域内是否可达"}
    E -->|"可达且路径不经ASBR回环"| F["以 FA 为下一跳加表"]
    E -->|"不可达"| X
    D --> G["下发到 IP 路由表"]
    F --> G

sequenceDiagram
    participant CE1 as CE1 Site1
    participant PE1 as PE1
    participant PE2 as PE2
    participant CE2 as CE2 Site2
    CE1->>PE1: OSPF 路由 10.9.0.0/16
    PE1->>PE2: MP-BGP VPNv4 通告
    PE2->>CE2: Type3 通告 且 Options 置 DN 位
    Note over PE2: DN位等于1 表示由上层向下通告
    CE2->>PE2: 若回传该 Type3 带 DN 位
    PE2->>PE2: 检测到 DN 位 不再回灌 MP-BGP
    Note over PE1,PE2: 回灌通道被切断 环路避免

真题精练

Q1.【真题·单选】 OSPF 区域间路由（Type3）能够避免环路的最根本原因是？

A. Type3 中携带了完整的拓扑信息，可以独立运行 SPF B. OSPF 强制骨干区域连续且非骨干区域必须与骨干区域直接相连，形成两级层次结构 C. ABR 会对 Type3 的度量值做反向抑制 D. Type3 只在同一区域内泛洪，不会跨区域

答案：B 解析：Type3 是距离矢量式的（A 错，它不带拓扑）；OSPF 不存在 Type3 度量反向抑制机制（C 错）；Type3 的定义就是跨区域传播（D 错）。真正的防环基石是骨干区域连续 + 非骨干区域必须直接连接骨干这一拓扑约束，配合区域间水平分割（非骨干区域之间不直接互告路由，必须经骨干绕行）。

Q2.【真题·多选】 下列关于 OSPF 防环机制的描述，正确的有？（多选）

A. 区域内依靠 SPF 算法生成的树形结构天然无环 B. ABR 不会把从非骨干区域 A 学到的 Type3 直接通告给非骨干区域 B C. Type5 路由必须在 ASBR 可达且 FA 可达（若 FA 非 0）时才能加入路由表 D. MPLS VPN 场景下 DN 位用于防止 OSPF 路由被重新引入 MP-BGP 造成回灌

答案：ABCD 解析：四个选项分别对应区域内的 SPF 防环、区域间水平分割、域外双检查、VPN 场景 DN 位，全部正确。这道题就是防环机制的标准考法，务必形成"四层防环"的完整记忆框架。

Q3.【真题·判断】 在 MPLS L3VPN 场景中，PE 从 MP-BGP 学到 VPN 路由后以 Type3 通告给 CE 时会把 DN 位置 1；PE 若再从 CE 侧收到带 DN 位的 Type3，则不会把它重新引入 MP-BGP。

答案：正确 解析：这正是 RFC 4577 定义的 DN 位机制。DN 位（Downward Bit）的含义是"这条 LSA 是从上层（MP-BGP/骨干）向下通告的"，PE 收到带 DN 位的 LSA 时不再回灌 BGP，从而切断"BGP → OSPF → BGP"的环路。默认华为设备开启 DN 位检查（dn-bit-check enable）。

Q4.【真题·填空】 OSPF 域外路由（Type5）加表前必须通过两道可达性检查：一是通过 Type1/Type2 或 ________ 确认 ________ 可达；二是当 Forwarding Address 不为 0.0.0.0 时，确认 ________ 在 OSPF 域内可达。

答案：Type4（ASBR Summary LSA）；ASBR；Forwarding Address（FA） 解析：很多"Type5 在 LSDB 里但不加表"的故障都是这两道检查未通过。特别注意 FA 非 0 时，若 FA 地址在 OSPF 域内不可路由（例如接口未宣告、被 silent 抑制、或 FA 指向的是 BGP 侧地址），该外部路由同样不会加表。

Q5.【真题·简答】 为什么 OSPF 规定"虚连接不能穿越 Stub 区域"，请结合虚连接的工作原理说明。

答案：虚连接（Virtual Link）的本质是：在两个 ABR 之间，把穿越一个非骨干区域的一条 IP 路径，虚拟成一条属于骨干区域的 P2P 链路。它的工作原理要求：① 两端 ABR 通过该区域内的 Type1 计算出彼此的 Router ID 可达性；② 虚连接被当作骨干区域的链路参与 SPF，需要区域内能正常传递 Type3（区域间路由）以为虚连接端点提供路由支撑。而 Stub 区域禁止 Type4/Type5、Totally Stub 更是只保留一条 Type3 默认路由，导致：① 区域内设备的 LSDB 不完整，虚连接端点之间的可达性计算与区域间路由计算都会受到默认路由的干扰；② Stub 区域用于"末梢"语义，把一个用于中转骨干流量的虚连接压在上面，与该区域的设计意图（压缩资源）直接冲突。因此 OSPF 明确规定虚连接的中转区域必须是普通区域（非 Stub/NSSA 类）。

Q6.【真题·排错】 某 OSPF 域中，R2 的 LSDB 里能看到 display ospf lsdb ase 输出的 172.16.1.0/24（由 ASBR R5 产生），但 display ip routing-table 中没有这条路由。请列出至少四种可能原因及验证方法。

答案： ① ASBR 不可达：R2 无法算出到 R5 的 Router ID 的路径。验证：display ospf lsdb summary（或 display ospf lsdb asbr）看是否缺 Type4；若 R5 与 R2 不在同一区域且没有 Type4，则 Type5 无法加表。 ② FA 不可达：Type5 的 FA 非 0，但该地址在 OSPF 域内不可路由。验证：display ospf lsdb ase verbose 查看 FA 值，再用 display ip routing-table <FA> 检查是否有对应路由；常见原因是引入出接口被 silent-interface 抑制或未宣告进 OSPF。 ③ 被过滤策略拦截：filter-policy import 在 R2 上过滤了该外部路由。验证：display ospf routing（OSPF 计算出的路由里有）对比 display ip routing-table（没有），即可判断是"OSPF 算出来了但被过滤"还是"根本没算出来"。 ④ 路由被其他协议优选：同前缀的静态路由或 BGP 路由优先级更高（OSPF 外部路由优先级默认 150）。验证：display ip routing-table 172.16.1.0 verbose 查看各协议候选与最终优选原因。 ⑤ 接口/下一跳递归失败：下一跳所在接口被 shutdown 或 IP 被删除。验证：display ip routing-table <下一跳>。 ⑥ import-route 侧问题：ASBR 上的 Type5 存在但 cost/type 配置导致度量超出范围（极少见），或 Tag 被用于过滤。

Q7.【真题·多选】 下列关于区域间水平分割（Inter-Area Split Horizon）的描述，正确的有？（多选）

A. ABR 把自己所在非骨干区域学到的 Type3 通告到骨干区域 B. ABR 把从骨干区域学到的 Type3 通告到所连的非骨干区域 C. ABR 把从非骨干区域 A 学到的 Type3 直接通告给非骨干区域 B D. 水平分割的目的是防止两个非骨干区域之间形成路由环路或"相互欺骗"的次优路径

答案：ABD 解析：A（上行）、B（下行）都是正常行为；C 是禁止的（必须经骨干绕行），这正是水平分割的核心含义；D 是其目的。可以这样记："非骨干区域的路由只能从骨干区域获得，不能横向从另一个非骨干区域获得。"

Q8.【真题·简答】 某工程师为了避免区域间次优路径，把两台 ABR 之间的接口都划入了区域 0。请问这种做法解决了什么问题？如果骨干区域被意外分割（不连续），会产生什么后果、如何补救？

答案：解决的问题：让两台 ABR 之间的链路成为骨干区域内链路，一方面缩短了骨干区域的物理路径，另一方面使 Type3 的"上行 → 骨干 → 下行"路径更短更直接，避免流量绕行。同时，骨干区域内部的链路参与区域内 SPF 计算（度量精确累加，不是距离矢量的估计值），选路结果更优。骨干不连续的后果：非骨干区域的路由无法跨区域传播到另一个非骨干区域，导致部分区域之间完全不通（不是环路，而是"路由黑洞"）；同时本应经骨干绕行的流量可能因默认路由而绕远甚至丢失。补救方法：用虚连接（Virtual Link）穿过一个普通区域把两段骨干"接起来"——在两端 ABR 上配置 vlink-peer <对端 Router ID>，中转区域必须是普通区域（不能是 Stub/NSSA 类）。配置后需验证：display ospf vlink 看到虚连接状态为 Full。

易错点与排错

1.4 OSPF 路由计算全过程与 E1/E2 选路

考点定位

这是最能体现 HCIE 深度的一节，也是国赛计算题与选路推断题的主战场。典型问法：给一个带度量标注的拓扑，问"某路由器上到某网段的路由下一跳是哪个、度量多少、协议标记是什么"；或者给两条 E1/E2 路由问"优选哪条"。核心陷阱：① 认为 E2 的度量会累加内部开销（实际不会，E2 默认只取外部度量）；② 认为 E1 与 E2 比较时先看度量类型再看度量（实际 E1 永远优先于 E2）；③ 混淆 Type3 的度量累加方式。

原理精讲

OSPF 的路由计算是分三个阶段、由不同 LSA 驱动的过程，三个阶段相互独立、层层叠加。

阶段一：区域内路由计算（Intra-Area，O 标记）。路由器用本区域的 Type1、Type2 构建有向图：Type1 的每条链路是图的边（权重 = 链路开销），Type2 描述的广播网段是图中的"伪节点"。然后以自己为根运行 Dijkstra（SPF）算法，得到一棵最短路径树（SPT，Shortest Path Tree）。树中每个"Stub Network 链路"和"Transit 网段"都成为一条区域内路由，度量 = 从根到该网段路径上所有链路开销之和。关键点：区域内路由的度量是逐跳累加的真实开销，因此是"最可信"的路由。开销计算公式：接口开销 = 参考带宽 / 接口带宽，华为默认参考带宽 100 Mbit/s（即 bandwidth-reference 100）。例如 GE 接口开销 = 100/1000 = 0.1 → 取整为 1；10GE 接口开销同样为 1（因为最小值为 1）；100M 接口开销 = 1；E1（2.048M）接口需要手动配置开销。注意：由于 10GE 与 GE 的默认开销都是 1，高带宽链路无法体现优势，生产环境必须用 bandwidth-reference 10000（或更高，如 40000）重新标定。

阶段二：区域间路由计算（Inter-Area，O_IA 标记）。路由器利用 Type3 计算到其他区域的网段：

• Type3 中携带的度量 = ABR 到达该网段的距离（这个距离由 ABR 自己算好后填进去）；
• 本路由器到该网段的总度量 = 本路由器到产生该 Type3 的 ABR 的开销 + Type3 中的度量；
• 因此 Type3 路由的度量 = "到 ABR 的区域内距离（精确） + ABR 报告的域内/域间距离（估计）"。

为什么说 Type3 是距离矢量式？ 因为 Type3 中的度量是 ABR "说"的，邻居无法验证它是否真实。这带来一个重要后果：如果多条 Type3 描述同一网段（多个 ABR 都通告），路由器会比较"本机到各 ABR 的开销 + 各 Type3 度量"，取最小者。这与 RIP 的"跳数"思想一致，只是度量更细。

Type3 的派生规则（ABR 的行为）：ABR 会把一个网段的 Type3 通告到多个区域，每个区域的度量要根据该区域的接口开销重新计算。例如 ABR 有区域 0 与区域 1 两个接口，区域 1 中某网段在 ABR 上到达的开销为 10（区域 1 内累加），则 ABR 向区域 0 通告的 Type3 度量为 10；反之向区域 1 通告区域 0 中网段的 Type3 时，度量 = 区域 0 侧累加值。这就是"同一个网段在不同区域里度量不同"的原因。

阶段三：域外路由计算（External，O_ASE / O_NSSA 标记）。ASBR 引入外部路由后，产生的 Type5 携带度量类型（E1/E2）与外部度量。OPSF 定义了两种度量类型，这是国赛必考内容：

• E1（External Type 1，第一类外部路由）：总度量 = 外部度量 + OSPF 域内到达 ASBR 的开销。也就是说 E1 的度量会在域内传播时逐跳累加（准确说是"外部度量 + 本机到 ASBR 的内部开销"），因此 E1 让外部路由与内部路由可比，适合"希望外部路径也参与内部选路对比"的场景。
• E2（External Type 2，第二类外部路由）：总度量 = 外部度量（默认不累加内部开销）。默认类型。E2 还细分为两种子情形：① 不带 FA 的 E2（FA = 0），全 OSPF 域内所有路由器看到的度量都相同，因此下一跳各不相同但度量相同；② 带 FA 的 E2，路由器会比较"到 ASBR 的内部开销"来打破平局（OSPF 规定：两条 E2 路由度量相同时，比较到 ASBR/FA 的内部开销，小者优先）。

E1 与 E2 的比较规则（必须背熟的三条）：

1. E1 永远优先于 E2，与度量大小无关。这是 OSPF 规范规定的，很多选手误以为"E2 度量更小就选 E2"。
2. 同为 E1：比较总度量（外部 + 内部），小者优先。
3. 同为 E2：先比较外部度量，小者优先；外部度量相同时，比较到 ASBR（或 FA）的内部开销，小者优先。

P2P 与 Broadcast 的开销是否影响 E2？ 不影响 E2 的度量值，但影响它的下一跳与平局打破。因此"E2 路由的度量在所有路由器上一样，但下一跳可能不同"。

E1/E2 的典型工程用法：

• E1 用于"希望外部路由与内部路由比较"的场景，如双出口按带宽选路；
• E2（默认）用于"外部路由的优先级只由外部度量决定"的场景，如引入 BGP 路由时希望按 MED/Local Preference 决定，而不被 OSPF 内部开销干扰。

三类路由的优先级（Preference，华为默认值）：

重要推论：OSPF 外部路由（150）比静态路由（60）优先级低——这意味着如果同前缀有一条静态路由，OSPF 外部路由不会加表；而 OSPF 区域内/区域间路由（10）比静态路由（60）优先级高，会覆盖静态路由。这是"路由不加表"类排错题的经典原因。

关键概念对照表

表 1-4-1 三阶段路由计算对照

表 1-4-2 E1 / E2 度量对比（高频）

表 1-4-3 选路算例（用于自我推演）

拓扑：R1 --(开销 10)-- R2 --(开销 20)-- R3(ASBR) -- 外部网络 172.16.1.0/24 R1 到 R2 的链路开销 10，R2 到 R3 的链路开销 20。R3 引入外部路由，外部度量 30。

表 1-4-4 华为 OSPF 默认开销计算表

参考带宽调整命令：bandwidth-reference 10000（单位 Mbit/s，需在 OSPF 进程视图配置，且域内所有设备必须一致，否则选路混乱）。

华为设备配置

# ============ 场景：E1/E2 度量类型对选路的影响实验 ============
# 拓扑：R1--(10)--R2--(20)--R3(ASBR) 引入 172.16.1.0/24 外部度量 30
#       R4 为另一台 ABR/ASBR，R1--(5)--R4 且 R4 也引入同一网段

# --- R1（观察者）---
system-view
sysname R1
interface GigabitEthernet0/0/0
 ip address 10.0.12.1 255.255.255.0
 ospf cost 10                                 // 手工指定接口开销（覆盖默认值）
interface GigabitEthernet0/0/1
 ip address 10.0.14.1 255.255.255.0
 ospf cost 5                                  // 到 R4 的开销更小
ospf 1 router-id 1.1.1.1
 bandwidth-reference 10000                    // 调整参考带宽，使 10GE 与 GE 能区分（域内需一致）
 area 0.0.0.0
  network 10.0.12.0 0.0.0.255
  network 10.0.14.0 0.0.0.255
 quit

# --- R3（ASBR）：分别演示 E1 与 E2 ---
system-view
sysname R3
ip route-static 172.16.1.0 255.255.255.0 NULL0   // 制造一条静态路由用于引入
ospf 1 router-id 3.3.3.3
 import-route static type 1 cost 30               // 引入为 E1，外部度量 30
 quit
display ospf lsdb ase verbose                     // 查看 Type5 的 Metric Type 与 Metric 字段
display ospf routing 172.16.1.0                   // 查看 OSPF 计算出的路由与度量

# --- 改判为 E2 再对比 ---
system-view
ospf 1
 undo import-route static                         // 先删除原引入
 import-route static type 2 cost 30               // 改为 E2，外部度量 30
 quit
display ospf lsdb ase verbose                     // 确认 E 位由 1 变为 0（E2）
display ospf routing 172.16.1.0                   // 对比 R1 上度量变化（E2 不累加内部开销）

# --- R1 上验证选路结果 ---
display ip routing-table 172.16.1.0 verbose       // 查看最终优选的路由、协议、优先级、度量
display ospf routing 172.16.1.0 verbose           // 查看 OSPF 内部的路由表与下一跳列表
display ospf lsdb ase verbose                     // 查看所有 Type5，比较度量与 FA

# ============ 区域间 Type3 度量累加验证 ============
display ospf lsdb summary verbose                 // 查看 Type3 的 Metric 字段（由 ABR 填入）
display ospf routing 10.9.9.0 verbose             // 查看 O_IA 路由的度量：本机到 ABR + Type3 度量
tracert 10.9.9.9                                  // 实际路径验证

示意图

flowchart LR
    R1["R1 观察者"] -->|"cost 10"| R2["R2 中间路由器"]
    R2 -->|"cost 20"| R3["R3 ASBR"]
    R1 -->|"cost 5"| R4["R4 另一台ASBR"]
    R3 --- EXT1["外部网络 172.16.1.0/24"]
    R4 --- EXT1
    R3 -.->|"Type5 E2 度量30"| R1
    R4 -.->|"Type5 E2 度量30"| R1

flowchart TD
    A["收到 Type5 外部路由"] --> B{"E 位是1还是0"}
    B -->|"E等于1 即E1"| C["度量等于外部加内部开销"]
    B -->|"E等于0 即E2"| D["度量等于外部度量"]
    C --> E["与所有候选比较 E1优先于E2"]
    D --> F{"是否存在其他E2同前缀"}
    F -->|"否"| G["直接按外部度量比较"]
    F -->|"是"| H["外部度量相同则比到ASBR的内部开销"]
    E --> I["写入路由表 Preference 150"]
    G --> I
    H --> I

flowchart LR
    P1["区域内 O 度量10"] --> SEL{"路由优选"}
    P2["区域间 O_IA 度量15"] --> SEL
    P3["外部 E1 度量20"] --> SEL
    P4["外部 E2 度量5"] --> SEL
    SEL --> R1["区域内与区域间 优先级10 先比"]
    R1 --> R2["同为10时比度量 选 O 度量10"]
    R2 --> R3["外部路由优先级150 只有在无10类路由时才生效"]
    R3 --> R4["外部路由中 E1 先于 E2 与度量无关"]

真题精练

Q1.【真题·单选】 拓扑：R1--(开销 10)--R2--(开销 20)--R3，R3 为 ASBR 引入外部路由 172.16.1.0/24，外部度量 30。若该路由为 E2，则 R1 上该路由的度量是？

A. 30 B. 60 C. 50 D. 10

答案：A 解析：E2 的度量只取外部度量，不累加 OSPF 域内开销，因此 R1 与 R2、R3 上看到的度量都是 30。B（60）是 E1 的结果（30 外部 + 30 内部）。这是最经典的对比陷阱：题干中只要出现 "E2"，答案就是外部度量本身。

Q2.【真题·单选】 某路由器同时收到两条到达 10.9.0.0/16 的 OSPF 外部路由：一条为 E1、度量 100，另一条为 E2、度量 10。该路由器优选哪条？

A. E2，因为度量更小 B. E1，因为 E1 永远优先于 E2 C. 两条形成等价路由，负载分担 D. 需要比较到 ASBR 的内部开销后决定

答案：B 解析：OSPF 规范明确规定 E1 优先于 E2，与度量无关。度量比较只在同类型内部进行：同为 E1 比总度量；同为 E2 先比外部度量、再比到 ASBR 的内部开销。D 是 E2 之间平局时的规则，不能跨类型使用。

Q3.【真题·填空】 华为设备 OSPF 默认参考带宽为 ________ Mbit/s，此时 GE 接口的默认开销为 ________，10GE 接口的默认开销为 ________，因此在 10GE 组网中必须使用命令 ________ 重新标定。

答案：100；1；1；bandwidth-reference（如 bandwidth-reference 10000） 解析：公式为"接口开销 = 参考带宽 / 接口带宽"，且最小值取 1。100/1000 = 0.1 → 1；100/10000 = 0.01 → 1，导致 GE 与 10GE 无法区分，链路选路可能选到低带宽链路。该命令配置在 OSPF 进程视图，且域内所有设备必须保持一致。

Q4.【真题·多选】 关于 OSPF 三类路由的计算，下列说法正确的有？（多选）

A. 区域内路由用 Dijkstra 算法计算，度量是所有链路开销的累加 B. 区域间路由（Type3）的度量 = 本机到 ABR 的开销 + Type3 中携带的度量 C. 两条 E2 路由的外部度量相同时，比较到 ASBR 的内部开销，小者优先 D. OSPF 外部路由的默认优先级为 150，低于静态路由的 60

答案：ABCD 解析：四项均正确。特别强调 D：OSPF 外部路由（O_ASE/O_NSSA）默认优先级 150，高于 RIP（100）、低于静态路由（60）与 IS-IS（15）。因此"同前缀有静态路由时 OSPF 外部路由不加表"是正常现象，不是故障；而 OSPF 区域内/区域间路由（10）则会覆盖静态路由。

Q5.【真题·简答】 请解释"为什么 ABR 向不同区域通告同一个网段的 Type3 时，度量值可能不同"，并说明这一特性对选路的影响。

答案：Type3 中的度量是"ABR 到达该网段的距离"，而不是网段本身的属性。ABR 通常连接多个区域，它到同一个目标网段在不同区域的"观察位置"不同：例如 ABR 通过区域 1 的接口学到网段 X（区域 1 内累加开销为 5），则它向区域 0 通告 X 时度量为 5；而 ABR 自身位于区域 0 的接口开销为 20，则它向区域 2 通告区域 0 内的网段 Y 时，度量为"区域 0 内的累加值"。本质原因：ABR 对每个区域都要独立运行一次 SPF（每个区域维护独立的 LSDB 与 SPT），因此对同一目标的"距离"在不同区域内本来就是不同的数值。对选路的影响：① 同一网段在多个区域的域内路由器上表现出不同的 O_IA 度量，从而影响跨区域流量的入口选择；② 多 ABR 场景下，远端路由器会比较"到各 ABR 的开销 + 各 Type3 度量"，从而实现多出口的负载与备份；③ 在 ABR 上配置 abr-summary cost 可以把汇总后的 Type3 度量固定为指定值，从而人为引导选路（工程上常用）。

Q6.【真题·排错】 某网络从 R1 到 172.16.1.0/24 有两条路径：经 R2（OSPF 内部开销 30）与经 R4（OSPF 内部开销 15），R2 与 R4 都引入了该外部网段（E2，外部度量均为 20）。工程师期望流量走 R4，但实际 display ip routing-table 显示下一跳是 R2。请分析可能原因。

答案：按"E2 平局规则"排查（E2 外部度量相同 → 比到 ASBR 的内部开销，小者优先，即应选 R4）： ① 确认两条路由的度量类型与外部度量是否真的一致：display ospf lsdb ase verbose 看两条 Type5 的 Metric Type 与 Metric。若 R2 侧实际是 E1（比如配置了 type 1），则按"E1 优先"规则必然选 R2——这是最常见原因。 ② 确认到 ASBR 的内部开销计算是否正确：display ospf routing <ASBR Router ID> 或 display ip routing-table 查看 R1 到 R2、R4 的实际 OSPF 开销。若 R1 到 R4 的路径被 ospf cost 或参考带宽差异"抬高"，则内部开销可能实际大于 R2。 ③ 确认 FA 是否影响比较：若 R2 的 Type5 带 FA 而 R4 不带，FA 会影响下一跳递归与内部开销的比较基准，需用 display ospf lsdb ase verbose 逐条核对。 ④ 确认是否有其他协议的路由抢占：display ip routing-table 172.16.1.0 verbose 查看全部候选。 ⑤ 确认是否配置了 filter-policy import 或 ospf cost 手工值导致预期路径被改变。 最可能原因：R2 侧被配成了 E1（或两条并非都是 E2），或者到 R4 的内部开销被手工 ospf cost 调大。

Q7.【真题·多选】 下列哪些情况会导致 OSPF 路由的度量在传播过程中发生变化？（多选）

A. 区域内路由经过多跳传播 B. 区域间路由（Type3）经过 ABR 转发 C. E2 路由经过多台路由器转发 D. E1 路由经过多台路由器转发

答案：ABD 解析：区域内路由每经过一跳就累加一次链路开销（A 对）；Type3 在不同 ABR 上被人为赋予不同度量（B 对）；E1 的总度量 = 外部度量 + 到 ASBR 的内部开销，因此不同路由器看到的值不同（D 对）；E2 的度量在域内传播时保持不变（只有下一跳会变），这是 E2 最显著的特征（C 错）。

Q8.【真题·实验】 请设计一个实验，用华为设备验证"E2 路由的外部度量相同、内部开销不同时优选内部开销小的路径"，并给出关键配置与验证命令。

答案： ```bash

拓扑：R1 为观察者，R2 与 R4 均为 ASBR，均引入 172.16.1.0/24（E2，cost 20）

R1->R2 的开销 30（经两跳），R1->R4 的开销 15（直连）

--- R1 ---

ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 10.0.0.0 0.0.0.255

--- R2（远端 ASBR）---

ospf 1 router-id 2.2.2.2 import-route static type 2 cost 20 // E2，外部度量 20 area 0.0.0.0 network 10.0.0.0 0.0.0.255 quit

--- R4（近端 ASBR）---

ospf 1 router-id 4.4.4.4 import-route static type 2 cost 20 // 与 R2 完全相同的外部度量 area 0.0.0.0 network 10.0.0.0 0.0.0.255 quit

--- 验证 ---

display ospf lsdb ase verbose // 两条 Type5 的 Metric 都是 20、Type 都是 2 display ospf routing 172.16.1.0 verbose // 应显示下一跳指向 R4（内部开销更小） display ip routing-table 172.16.1.0 verbose // 确认最终优选结果与 Preference 150 `` **要点**：若把 R2 的引入改为type 1，则结果会翻转为选 R2（E1 优先）；若把 R4 侧的接口ospf cost` 手工调大到 40，则结果也会翻转——这两个对照实验能彻底理解 E1/E2 的选路逻辑。

易错点与排错

常用排错命令：

display ospf routing verbose                   // OSPF 内部路由表（含度量、下一跳、类型）
display ip routing-table <网段> verbose         // 最终路由表（看优选原因与各协议候选）
display ospf lsdb ase verbose                  // Type5 全字段（Metric Type/Metric/FA/Tag）
display ospf interface <接口>                   // 接口开销、网络类型、DR/BDR 状态
display ospf spf-tree                          // SPF 树（部分 VRP 版本支持）
display ospf nexthop                           // 下一跳表
display ospf cumulative                        // OSPF 统计信息

1.5 虚连接 Virtual Link 的使用场景与限制

考点定位

虚连接是"听起来简单、考起来狠"的考点。常见问法：什么场景必须用虚连接、虚连接能不能穿越 Stub/NSSA、虚连接两端的设备角色要求、虚连接与认证的关系。国赛还喜欢考"用虚连接修复骨干不连续之后，为什么路由还是次优"（虚连接路径不参与物理最短路径，会形成次优）。

原理精讲

虚连接（Virtual Link）是什么？ 它是两个 ABR 之间通过一个非骨干区域建立的一条逻辑上的骨干区域（Area 0）点对点链路。逻辑上，这条链路属于 Area 0；物理上，报文的真实转发路径穿过中间那个非骨干区域。

为什么需要它？ 因为 OSPF 有一条硬性拓扑要求：所有非骨干区域必须与骨干区域（Area 0）直接相连，且骨干区域必须连续。现实组网中这条要求常被破坏：

1. 骨干区域被分割：两个 Area 0 片段被一个非骨干区域隔开（常见于网络合并、链路故障）；
2. 区域没有直连骨干：某个非骨干区域的一台 ABR 只能连到另一个非骨干区域，无法直接连 Area 0（常见于三级分层设计失误）。

这两种情况的后果都是"路由不通或次优"（不是直接环路），而虚连接是最常用的逻辑修补手段。

虚连接的工作原理（必须讲清楚）：

1. 前提：两端必须是 ABR，且其中至少一端与 Area 0 有真实连接（否则虚连接两端都无法为对方提供到骨干的路径，毫无意义）。实际上标准做法是：一台真正连接 Area 0 的 ABR（"锚点"） 与 一台未连接 Area 0 但需要挂到骨干的 ABR 之间建立虚连接。
2. 路由可达性：虚连接要工作，两端 ABR 必须能通过中转区域内的区域内路由互相到达对方的 Router ID。因此中转区域内必须能算出到对方 Router ID 的区域内路由（靠 Type1）。这就是为什么中转区域必须是普通区域：Stub 只允许一条默认路由，NSSA 有 Type7 与 P 位干扰，都会破坏"通过区域内路由精确到达对方 Router ID"这个前提。
3. 虚连接被当作 Area 0 的 P2P 链路：建立后，两端 ABR 的接口列表中会出现一个 Vlink 类型接口（display ospf vlink），它的开销 = 中转区域内两端之间的最短路径开销。虚连接参与 Area 0 的 SPF 计算。
4. 虚连接接口的 MTU 默认为 0，网络类型为 P2P（无 DR 选举，无 Type2）。
5. 虚连接的 Hello/Dead 定时器：默认 Hello 10 s、Dead 40 s——注意：与普通 P2P 接口不同。OSPF 规范规定虚连接使用 10/40，而普通 P2P 接口使用 10/40（OSPFv2 中 P2P 也是 10/40；广播型也是 10/40），但部分教材提到虚连接固定为 10/40 且不可更改——在华为设备上虚连接的定时器不可单独配置，继承中转区域接口的配置。

虚连接的关键限制（考试必考）：

虚连接的次优路径问题：虚连接提供的是"逻辑上的骨干链路"，但物理流量仍走中转区域。因此可能出现：Area 0 内的最短路径经过虚连接，但物理上要绕到中转区域再回来，形成次优。工程上应优先通过物理链路修复骨干连续性（增加直连），虚连接只是权宜之计。

虚连接与认证的交互（高级考点）：虚连接报文穿过的中转区域接口可能配置了区域认证或接口认证，虚连接本身的认证是额外一层。若中转区域启用了区域认证，则虚连接的 OSPF 报文也要满足该区域的认证要求；若在 vlink-peer 上又配置了认证，则两层都要通过。排错时如果看到 "Authentication failure"，要检查两处认证。

关键概念对照表

表 1-5-1 虚连接使用场景对照

表 1-5-2 虚连接接口特性

表 1-5-3 骨干不连续的两种补救方式对比

华为设备配置

# ============ 场景：骨干区域被区域 1 分割，R1 与 R3 均为 ABR ============
# 拓扑：Area0(R1) -- Area1(R2) -- Area0(R3)
#       R1 的 Router ID 1.1.1.1，R3 的 Router ID 3.3.3.3
#       区域 1 为普通区域（不能是 Stub/NSSA）

# --- R2（中转区域内的普通路由器）---
system-view
sysname R2
ospf 1 router-id 2.2.2.2
 area 0.0.0.1                                 // 区域 1 为普通区域
  network 10.0.12.0 0.0.0.255                 // 宣告到 R1 的网段
  network 10.0.23.0 0.0.0.255                 // 宣告到 R3 的网段
 quit
# 注意：R2 上不能配置 stub / nssa，否则虚连接无法建立

# --- R1（真实连接 Area 0 的 ABR，虚连接的锚点）---
system-view
sysname R1
ospf 1 router-id 1.1.1.1
 area 0.0.0.0
  network 10.0.0.0 0.0.0.255                  // 真实的骨干网段
 area 0.0.0.1
  network 10.0.12.0 0.0.0.255                 // 与 R2 相连的区域内网段
  vlink-peer 3.3.3.3                          // 建立到 R3 Router ID 的虚连接
   authentication-mode md5 cipher Huawei@123   // 虚连接认证（可选，两端必须一致）
  quit
 quit

# --- R3（未直连骨干的 ABR，虚连接另一端）---
system-view
sysname R3
ospf 1 router-id 3.3.3.3
 area 0.0.0.1
  network 10.0.23.0 0.0.0.255                 // 与 R2 相连的区域内网段
  vlink-peer 1.1.1.1                          // 对称配置，指向 R1 的 Router ID
   authentication-mode md5 cipher Huawei@123   // 与 R1 保持一致
  quit
 area 0.0.0.2
  network 10.0.30.0 0.0.0.255                 // R3 下挂的非骨干区域 2
 quit

# --- 验证与排错 ---
display ospf vlink                              // 查看虚连接状态（应为 Full）与开销
display ospf peer                               // 查看邻居，虚连接邻居的 Interface 显示为 Vlanif/Vlink 相关字段
display ospf interface                          // 确认接口列表中出现 Vlink 类型接口
display ospf lsdb router 1.1.1.1 verbose        // 查看 Area 0 的 Type1 中是否有 Virtual Link 链路
display ospf error                              // 认证失败/区域不匹配会在此计数

# --- 常见错误：在中转区域上误配 stub ---
system-view
ospf 1
 area 0.0.0.1
  stub                                         // 错误！虚连接会立即中断
 quit
display ospf vlink                              // 观察虚连接状态变为 Down

示意图

flowchart LR
    subgraph BONE1["骨干区域 0 片段1"]
        R1["R1 ABR 锚点"]
    end
    subgraph TRANSIT["中转区域1 必须是普通区域"]
        R2["R2 区域内路由器"]
    end
    subgraph BONE2["骨干区域 0 片段2"]
        R3["R3 ABR"]
    end
    R1 ---|"10.0.12.0/24"| R2
    R2 ---|"10.0.23.0/24"| R3
    R1 -.->|"虚连接 逻辑上属于Area0"| R3
    R3 --- R4["R4 区域2内路由器"]

stateDiagram-v2
    [*] --> Down: 配置 vlink-peer
    Down --> Init: 中转区域算出到对端Router ID路由
    Init --> ExStart: 收到对端Hello且认证通过
    ExStart --> Exchange: 协商DD主从
    Exchange --> Loading: 交换LSA摘要与请求
    Loading --> Full: 虚连接建立完成
    Full --> Down: 中转区域中断或改Stub或认证不一致
    Down --> [*]

flowchart TD
    A["骨干区域不连续"] --> B{"是否有物理资源新增直连"}
    B -->|"有"| C["新增链路并划入Area0 首选"]
    B -->|"无"| D{"中转区域是否为Stub或NSSA类"}
    D -->|"是"| E["先改为普通区域 再建虚连接"]
    D -->|"否"| F["两端ABR配置 vlink-peer 互指RouterID"]
    F --> G["验证 display ospf vlink 为Full"]
    G --> H["检查路径是否次优 必要时后续补物理链路"]

真题精练

Q1.【真题·单选】 建立 OSPF 虚连接时，对两端设备与中转区域的要求是？

A. 两端可以是任意 OSPF 路由器，中转区域可以是 Stub 区域 B. 两端必须是 ABR，中转区域必须是普通区域 C. 两端必须是 ASBR，中转区域必须是 NSSA 区域 D. 只要两个区域 ID 相同即可建立虚连接

答案：B 解析：虚连接的语义是"把骨干区域逻辑延伸到对端"，因此两端必须是 ABR（区域边界路由器），且至少一端真实连接 Area 0。中转区域必须是普通区域：Stub/Totally Stub 抑制了 Type3/Type4/Type5、NSSA 有 Type7 与默认路由干扰，都会破坏虚连接"通过区域内路由精确到达对端 Router ID"的前提。

Q2.【真题·多选】 关于虚连接的描述，正确的有？（多选）

A. 虚连接在网络类型上等价于一条 P2P 链路，不选举 DR/BDR B. 虚连接接口属于 Area 0，其开销为中转区域内两端之间的最短路径开销 C. 虚连接可以穿越 Stub 区域，只要两端是 ABR 且认证一致 D. 虚连接上可以配置 MD5 认证，但必须与对端一致

答案：ABD 解析：A、B 是虚连接的接口特性（P2P、属于 Area 0、开销自动取中转区域最短路径开销）；D 正确，vlink-peer 上可配置认证。C 错：虚连接绝对不能穿越 Stub 区域，这是 OSPF 的硬性规定。

Q3.【真题·判断】 用虚连接修复骨干不连续后，流量在物理上一定走最短路径，不会出现次优。

答案：错误 解析：虚连接只是逻辑上把骨干连起来，物理报文仍要穿过中转区域。SPF 计算把虚连接当成 Area 0 的链路，若虚连接的开销（= 中转区域内两端最短路径开销）小于物理绕行路径的开销，流量就会被引导到"绕中转区域"的路径上，形成次优甚至绕远。工程上应优先用物理链路修复骨干连续性，虚连接仅作过渡。

Q4.【真题·填空】 虚连接的配置命令是 ________，参数为对端的 ________；建立后可用命令 ________ 查看虚连接状态与开销。

答案：vlink-peer <router-id>；Router ID；display ospf vlink 解析：注意参数是对端的 Router ID，不是接口 IP。这是最常见的配置错误之一。虚连接必须两端对称配置，只配一端无法建立。

Q5.【真题·简答】 某个三级分层网络中，区域 3 的 ABR（R9）只能连接到区域 2，无法直连 Area 0。工程师用虚连接解决了问题。请说明：(1) 虚连接应建立在哪两台设备之间；(2) 如果不建虚连接会有什么后果；(3) 为什么中转区域里的每台设备都要把接口宣告进 OSPF。

答案：(1) 应建立在 R9（区域 3 的 ABR，未直连骨干） 与 某台真实连接 Area 0 的 ABR 之间——但前提是这两台设备同在同一个中转区域内（也就是那台真实连骨干的 ABR 也必须属于区域 2）。若 R9 与任何连骨干的 ABR 都不在同一区域，则需要分段建立多条虚连接，或调整区域归属。(2) 不建虚连接的后果：区域 3 的路由无法传播到骨干、骨干与其他区域的路由也无法正常传播到区域 3，出现区域间不通（路由黑洞）——注意这通常不是"环路"而是"不通"或"次优"。(3) 因为虚连接要求两端能通过中转区域内的区域内路由精确到达对方的 Router ID。若中转区域内某些网段未宣告进 OSPF，就可能出现"路径靠默认路由兜底"或"到对端 Router ID 的路由来自区域外"的情况，虚连接会建立失败或状态不稳定。因此中转区域内所有相关接口都必须正确宣告。

Q6.【真题·排错】 工程师按标准步骤配置了虚连接，但 display ospf vlink 显示状态一直为 Down。请列出至少四种可能原因与验证命令。

答案： ① 中转区域被配成了 Stub/NSSA：display ospf interface 或 display current-configuration configuration ospf 查看区域类型；display ospf error 是否有区域类型不匹配计数。修正：删除 stub/nssa。 ② vlink-peer 参数写错（写成接口 IP 而不是 Router ID）：display ospf brief 查看本机与对端 Router ID，核对配置。 ③ 两端 Router ID 不可达：中转区域内没有到对端 Router ID 的区域内路由（例如某些接口未 network 宣告、接口被 silent-interface 抑制）。验证：display ip routing-table <对端Router ID>、display ospf routing。 ④ 认证不一致：vlink-peer 上的 authentication-mode 与对端不一致，或中转区域的区域认证未满足。验证：display ospf error 查看 "Authentication failure" 计数。 ⑤ 一端未配置虚连接（虚连接必须两端对称）：display current-configuration configuration ospf 在两台设备上分别检查。 ⑥ 中转区域链路中断或 MTU/网络类型异常：display ospf peer 查看中转区域内的邻居是否正常。 ⑦ Router ID 冲突：两台设备 Router ID 相同会导致各种异常，display ospf brief 核对。

Q7.【真题·多选】 下列关于虚连接的认证描述，正确的有？（多选）

A. 虚连接上的认证通过 vlink-peer <id> authentication-mode 配置 B. 虚连接认证必须与对端一致，否则状态无法到达 Full C. 若中转区域启用了区域认证，虚连接报文还需同时满足该区域的认证要求 D. 虚连接认证与中转区域认证是互斥的，只能启用其中一个

答案：ABC 解析：A、B 正确。C 正确：虚连接的 OSPF 报文物理上穿过中转区域，因此中转区域的接口认证/区域认证仍然适用（这是"两层认证"的概念）。D 错误：两者可以同时存在，需要同时通过。

Q8.【真题·简答】 为什么"虚连接不能穿越 Stub 区域"？请从虚连接的工作原理与 Stub 区域的 LSA 限制两个角度回答。

答案（见 1.3 防环一节相关真题，此处从"LSA 限制"角度补充）：虚连接要求两端 ABR 通过中转区域的 Type1 计算到对方 Router ID 的区域内路由，并且要求中转区域能够正常承载区域间路由（Type3）以保证虚连接端点之外的路由可达。Stub 区域：① 禁止 Type4/Type5，区域内 LSDB 不完整；② 不产生 Type2 的部分场景与 默认路由的强制存在（ABR 必下发 Type3 默认路由）会干扰虚连接的路由计算与可达性判断——虚连接需要的是"精确的区域内路径"，而不是"兜底的默认路由"。Totally Stub 更极端，只保留一条 Type3 默认路由，连区域间明细都没有，虚连接建立后也会导致大量路由不可达。因此规范要求中转区域必须是普通区域。

易错点与排错

display ospf vlink                              // 虚连接状态、开销、认证模式
display ospf peer                               // 邻居状态（含虚连接邻居）
display ospf interface                          // 接口列表（可见 Vlink 类型接口）
display ospf brief                              // 本机 Router ID、区域信息
display ospf error                              // 认证失败、区域不匹配等错误计数
display current-configuration configuration ospf // 查看 OSPF 全部配置（核对两端一致性）

1.6 OSPF 快速收敛技术

考点定位

快速收敛是 HCIE 的"工程实践"考点，国赛常以多选、简答、配置题形式出现。高频问法：BFD 在 OSPF 中如何联动、智能定时器解决什么问题、PRC/ISPF 与 Full SPF 的区别、LFA FRR 的前提条件。分值不低，且很多选手只会背名词不会讲机制。

原理精讲

OSPF 的收敛慢在哪里？ 传统 OSPF 有三处"时间开销"：

1. 故障检测慢：依赖 Hello 机制，广播/P2P 网络下 Dead Interval = 40 s（4 × Hello 10 s），也就是最坏要 40 s 才发现邻居失效。这是最大的一环。
2. LSA 泛洪慢：默认 OSPF 对 LSA 的产生与泛洪有速率限制（lsa-generation-interval 默认 5 s？—— 华为默认 lsa-arrival-interval 1000 ms、lsa-generation-interval 5000 ms 等），LSA 产生需要等待定时器。
3. SPF 计算慢：每次拓扑变化都全量重算 SPF，且 SPF 有抑制定时器（spf-schedule-interval 默认 5 s，智能定时器可自适应）。

技术一：BFD（Bidirectional Forwarding Detection，双向转发检测）联动。BFD 是一个独立的轻量级检测协议，不依赖任何路由协议，通过周期性发送极短的探测报文（默认 1000 ms 间隔、3 次检测倍数，即约 3 s 检出，最小可配到 3×10 ms = 30 ms）在毫秒级发现链路故障。OSPF 与 BFD 联动的机制是：BFD 会话状态由 Up 变为 Down 时，通知 OSPF 立即把该邻居置为失效（不等 Dead 定时器超时），触发 LSA 重新产生与 SPF 重算。配置要点：

• OSPF 全局使能 BFD：ospf 1 下 bfd all-interfaces enable（对所有接口生效）或接口下 ospf bfd enable（单接口）；
• BFD 会话参数可在接口下调整：bfd min-tx-interval 100、bfd min-rx-interval 100、bfd detect-multiplier 3；
• 注意：BFD 会话建立需要两端都使能，且 OSPF 的 BFD 默认要求两端 OSPF 接口同时开启，否则会话无法建立（只配一侧不生效）。
• 华为设备上还有 bfd all-interfaces enable 与 bfd all-interfaces min-tx-interval ... 的批量配置形式。

技术二：智能定时器（Smart Timer）。OSPF 的多个定时器改为"指数退避"式的自适应机制：当网络稳定时使用较长的间隔（省 CPU），当拓扑频繁变化时缩短间隔（快速响应）。相关命令：

智能定时器的三个参数含义：max-interval（最大间隔，稳定后上限）、start-interval（初始间隔，事件发生后的第一次等待）、hold-interval（保持时间，累积增量）。机制是：事件发生时按 start 计算，若期间又有事件则间隔按 hold 增加，直到 max 为止——既避免"每次抖动都算一次 SPF"，又保证持续变化时不会等太久。

技术三：LSA 快速泛洪（Flooding 优化）。华为提供多种加速手段：

• flash-flood：拓扑变化时立即泛洪指定的 LSA（默认只有部分类型立即泛洪），减少泛洪定时器带来的延迟。可配 flash-flood lsa-count <n> [ max-timer <t> ] 控制每次立即泛洪的 LSA 数量上限与最大等待时间；
• LSA 快速老化（lsa-maxage）：显式把 LSA 置为 MaxAge 以加速删除；
• ospf trans-delay：接口上泛洪 LSA 的传输延迟，默认 1 s，可减小以提高泛洪速度（但过小可能造成丢包重传）。

技术四：PRC（Partial Route Calculation，部分路由计算）与 ISPF（Incremental SPF，增量 SPF）。

• Full SPF：拓扑变化 → 重建整棵 SPT → 重算所有路由。开销 O(N log N)。
• ISPF（增量 SPF）：只重算受影响的子树（从变化点往下），复用未变化的部分。适用于叶子节点变化（如某条 Stub 网段的增减）。
• PRC（部分路由计算）：拓扑不变、只有叶节点（网段）变化时，不需要重跑 SPF，只重新计算路由表项。典型场景：引入/撤销一条外部路由、某网段的掩码变化。
• 华为命令：ospf 1 下 spf-schedule-interval 与 ispf enable（部分版本用 undo spf-schedule-interval 或 partial-spf）——具体命令随 VRP 版本不同，常见为 ospf 1 → ispf enable。当 ISPF 无法处理时自动回退到 Full SPF。

技术五：LFA FRR（Loop-Free Alternate Fast Reroute，无环备用下一跳快速重路由）。传统 OSPF 收敛必须等邻居失效、重算 SPF、更新转发表，需要数百毫秒到数秒。FRR 的思路是"提前算好备份路径"：在链路正常时就为每条路由预先计算一个"无环备用下一跳"（LFA），一旦主链路故障，转发表直接切换到备份下一跳，无需等待控制面收敛，切换时间可做到 50 ms 以内。

LFA 的"无环"条件（核心公式，考试常考）：对路由器 S 到目的 D 的主下一跳 N，N 要成为 S 的 LFA，必须满足：

Distance(N, D) < Distance(N, S) + Distance(S, D)

即"邻居 N 到目的 D 的距离"必须小于"N 到 S 的距离 + S 到 D 的距离"。若等式成立（相等），则该路径可能形成环路，不能作为 LFA。

LFA 的求解方式：默认使用"链路保护（Link Protection）"——即只保护直连链路故障，不保护中间节点故障；可通过 frr 配置启用节点保护（Node Protection）（要求更严格）。华为 LFA 相关命令：

ospf 1
 frr                                          // 使能 OSPF FRR（LFA）
  loop-free-alternate                         // 使用 LFA 计算无环备用下一跳
  tiebreaker router-id                        // 多个候选 LFA 时的优选规则

LFA 的局限：在环形拓扑、单归接入、某些汇聚结构中可能不存在 LFA（称为 "LFA 不可用"）。此时可用 RLFA（Remote LFA）（通过 MPLS LDP 隧道到达远端 PQ 节点）或 Ti-LFA（Topology-Independent LFA，基于 SR） 解决。

技术六：其他手段：

• 降低 Hello/Dead 定时器：把 Hello 从 10 s 改为 3 s、Dead 从 40 s 改为 12 s（注意两端必须一致），可缩短检测时间，但会增加 CPU 与带宽开销；BFD 是更好的选择。
• ospf cost 与 bandwidth-reference 合理规划：避免因度量错误导致选到低带宽链路。
• 接口去抖动（carrier-delay）：避免接口物理抖动引起的频繁拓扑变化。

关键概念对照表

表 1-6-1 OSPF 定时器与快速收敛相关默认值（必背）

表 1-6-2 收敛技术对比

表 1-6-3 ISPF / PRC / Full SPF 适用场景

表 1-6-4 LFA 条件与命令

华为设备配置

# ============ 场景：AR6120 / NE40E 上配置 OSPF 全套快速收敛 ============

system-view
sysname R1

# --- 1. BFD 联动：毫秒级故障检测 ---
bfd                                          // 进入 BFD 全局视图
 quit
interface GigabitEthernet0/0/0
 ip address 10.0.12.1 255.255.255.0
 ospf bfd enable                             // 接口级使能 OSPF BFD（需两端都配）
 bfd min-tx-interval 100                     // 本端最小发送间隔 100 ms
 bfd min-rx-interval 100                     // 本端最小接收间隔 100 ms
 bfd detect-multiplier 3                     // 检测倍数 3，最坏 300 ms 检出
 quit

ospf 1 router-id 1.1.1.1
 bfd all-interfaces enable                   // OSPF 进程级批量使能 BFD（推荐，覆盖全部接口）
 bfd all-interfaces min-tx-interval 100      // 批量设置 BFD 发送间隔
 bfd all-interfaces min-rx-interval 100      // 批量设置 BFD 接收间隔
 bfd all-interfaces detect-multiplier 3      // 批量设置检测倍数

 # --- 2. 智能定时器：SPF 自适应调度 ---
 spf-schedule-interval intelligent-timer 5000 50 200
                                              // 最大 5000 ms，初始 50 ms，保持增量 200 ms
 lsa-generation-interval 1000                // 同一 LSA 两次产生最小间隔 1000 ms（加快 LSA 刷新）
 lsa-arrival-interval 500                    // 收到同一 LSA 最小处理间隔 500 ms
 lsa-arrival-interval intelligent-timer 1000 100 100
                                              // 或用智能定时器形式（视版本支持）
 lsa-group-pacing 60                         // 老化检查周期缩短为 60 s（默认 240 s）

 # --- 3. LSA 快速泛洪 ---
 flash-flood lsa-count 10 max-timer 100      // 拓扑变化立即泛洪，单次最多 10 条，最长等待 100 ms
 quit

# --- 4. ISPF / PRC ---
ospf 1
 ispf enable                                 // 使能增量 SPF，叶节点变化时自动用 PRC
 quit

# --- 5. LFA FRR ---
ospf 1
 frr                                         // 进入 FRR 视图
  loop-free-alternate                        // 使能 LFA 无环备用下一跳计算
  tiebreaker router-id lowest-cost           // 多候选时的优选顺序
  quit
 quit

# --- 6. 可选：缩短 Hello/Dead（不推荐替代 BFD，仅作补充） ---
interface GigabitEthernet0/0/0
 ospf timer hello 3                          // Hello 改为 3 s（两端必须一致）
 ospf timer dead 12                          // Dead 改为 12 s（必须为 Hello 的 4 倍）
 quit

# ============ 验证命令 ============
display ospf brief                            // 查看 OSPF 进程参数与使能状态
display ospf bfd session all                  // 查看 OSPF 关联的 BFD 会话状态
display bfd session all verbose               // 查看 BFD 会话详情（含本地/远端标识、间隔）
display ospf frr                              // 查看 FRR 使能状态与 LFA 计算结果
display ospf interface GigabitEthernet0/0/0   // 查看接口定时器与 BFD 状态
display ip routing-table 10.9.9.0 verbose     // 查看备份下一跳（Backup NextHop）是否生成
display ospf spf-statistics                   // 查看 SPF 计算次数统计（验证 ISPF 效果）

示意图

sequenceDiagram
    participant R1 as R1
    participant R2 as R2 邻居
    participant FIB as R1 转发表
    Note over R1,R2: 主链路正常 已预计算 LFA 备份下一跳
    R1->>R2: BFD 探测报文 每100ms
    R2->>R1: BFD 回程报文
    Note over R1,R2: 主链路故障
    R1->>R1: BFD 会话 Down 立即通告 OSPF
    R1->>FIB: 转发表切换到 LFA 备份下一跳 小于50ms
    R1->>R2: 重新产生 LSA1 并泛洪
    R1->>R1: SPF 增量重算 ISPF
    Note over R1: 控制面收敛完成 转发早已恢复

flowchart TD
    A["拓扑发生变化"] --> B{"变化类型"}
    B -->|"叶节点网段增删 外部路由变化"| C["PRC 部分路由计算"]
    B -->|"链路开销变化或节点失效"| D["ISPF 增量SPF 只重算受影响子树"]
    D --> E{"增量是否无法处理"}
    E -->|"是"| F["回退 Full SPF 全量重算"]
    E -->|"否"| G["更新路由表"]
    C --> G
    F --> G
    G --> H["下发到转发表 FIB"]

flowchart LR
    S["S 源路由器"] -->|"主路径 cost 10"| N["N 主下一跳"]
    N -->|"cost 20"| D["D 目的网段"]
    S -->|"备份路径 cost 25"| M["M 候选LFA"]
    M -->|"cost 15"| D
    S -.->|"LFA条件 Dist N到D 小于 Dist N到S 加 Dist S到D"| N

真题精练

Q1.【真题·单选】 华为设备上 OSPF 广播型接口的 Hello 与 Dead 定时器默认值分别为？

A. 10 s 与 40 s B. 30 s 与 120 s C. 5 s 与 20 s D. 10 s 与 30 s

答案：A 解析：广播型与 P2P 型接口默认 Hello 10 s、Dead 40 s（Dead = 4 × Hello）。NBMA 与 P2MP 接口默认 Hello 30 s、Dead 120 s，这是 B 选项的来源。两端定时器必须一致，否则邻居无法建立（display ospf error 会显示 "Hello timer mismatch" 类计数）。

Q2.【真题·多选】 下列关于 OSPF 与 BFD 联动的描述，正确的有？（多选）

A. BFD 独立于路由协议，不依赖 OSPF 的 Hello 机制 B. OSPF 中 bfd all-interfaces enable 可以对进程内所有接口批量使能 BFD C. BFD 会话 Down 后 OSPF 立即将邻居置为失效，不必等待 Dead 定时器超时 D. 只需在一端配置 BFD 即可建立会话

答案：ABC 解析：A、B、C 均为 BFD 联动的标准机制。D 错：BFD 会话需要两端都使能才能建立（BGP 的 BFD 有单臂回声模式，但 OSPF 联动要求双向），这是实验题常见失分点。

Q3.【真题·填空】 华为设备 OSPF 的 spf-schedule-interval 默认值为 ________ 秒；启用智能定时器的命令形式为 spf-schedule-interval intelligent-timer 后需给出 、、________ 三个参数。

答案：5；最大间隔（max-interval）、初始间隔（start-interval）、保持时间（hold-interval） 解析：默认 5 s 意味着拓扑变化后 SPF 最多要等 5 s 才计算，这对快速收敛是明显瓶颈。三个参数的单位是毫秒，例如 intelligent-timer 5000 50 200 表示最大 5000 ms、初始 50 ms、保持增量 200 ms。

Q4.【真题·多选】 下列哪些情况会触发 OSPF 的 PRC（部分路由计算） 而非 Full SPF？（多选）

A. 区域内新增一条 Stub 网段 B. 引入一条新的外部路由 C. 某条链路的开销发生变化 D. 撤销一条已有的 Type5 外部路由

答案：ABD 解析：PRC 适用于拓扑不变、只有叶节点（网段/外部路由）变化的场景：A、B、D 都属于此类。C（链路开销变化）会改变最短路径树的结构，必须触发 SPF——若影响范围小可用 ISPF 增量计算，若影响大则回退 Full SPF。

Q5.【真题·简答】 解释 LFA（Loop-Free Alternate）的无环条件，并说明为什么"距离相等"的路径不能作为 LFA。

答案：设源路由器为 S，目的网段为 D，主下一跳为 N，则 N 可以作为 S 到 D 的无环备用下一跳的条件是：

Distance(N, D) < Distance(N, S) + Distance(S, D)

含义是：从邻居 N 出发去往 D 的距离，必须严格小于"N 回到 S 的距离 + S 到 D 的距离"。为什么不能相等？ 因为若取等号，说明 N 到 D 的最优路径恰好经过 S（即 N 认为"去 D 最好先回 S"）。此时如果 S 把流量交给 N 作为备份，N 会立刻把流量送回 S——S 又交给 N，形成微环路（micro-loop），备份路径失效甚至造成环路。LFA 的核心思想就是"备份下一跳不能是依赖我才能到达目的地的邻居"，取严格小于（而非小于等于）正是为了排除这一情形。

Q6.【真题·排错】 某网络部署了 OSPF FRR（LFA），但 display ip routing-table <某网段> verbose 中没有显示 Backup NextHop。请分析可能原因。

答案： ① FRR 未正确使能：确认 ospf 1 下已配置 frr 与 loop-free-alternate，用 display ospf frr 检查状态。 ② 拓扑中不存在满足 LFA 条件的备用下一跳：这是最常见原因。例如单归接入（只有一个上游邻居）、环形拓扑中，邻居到目的地的路径必然经过本机，会导致所有邻居都不满足 Distance(N,D) < Distance(N,S) + Distance(S,D)，即"LFA 不可用"。验证方法：画拓扑手工代入 LFA 公式逐邻居验证。 ③ 备用路径的实际代价过大或不可达：候选下一跳的接口未使能 OSPF，或度量被 ospf cost 手工设置得过高导致无收益（某些实现会放弃收益为负/为零的 LFA）。 ④ 目的网段本身是直连或区域内叶子节点：部分平台对直连网段与某些特殊路由不生成 LFA。 ⑤ 版本特性差异：需确认该 VRP 版本支持 LFA（部分老版本仅支持 ip frr 的手工备份）。 ⑥ tiebreaker 配置导致候选被排除：检查优选规则是否把所有候选都过滤掉了。 若确认是"拓扑不支持 LFA"，解决方案是引入 RLFA（Remote LFA，通过 MPLS LDP 隧道保护） 或升级到支持 Ti-LFA（基于 SRv6/SR-MPLS） 的方案。

Q7.【真题·多选】 关于 OSPF 智能定时器（Smart Timer），下列说法正确的有？（多选）

A. 网络稳定时使用较长的间隔以减少 CPU 消耗 B. 拓扑频繁变化时自动缩短间隔以加快响应 C. 智能定时器只能用于 SPF 调度，不能用于 LSA 的产生与接收 D. spf-schedule-interval intelligent-timer 5000 50 200 中 5000 是最大间隔（单位 ms）

答案：ABD 解析：A、B、D 正确。C 错：华为设备上 lsa-generation-interval、lsa-arrival-interval 同样支持智能定时器形式（如 lsa-arrival-interval intelligent-timer 1000 100 100），只是不同版本支持程度略有差异。

Q8.【真题·实验】 请写出在 NE40E 上为 OSPF 配置"BFD 检测（100 ms × 3）+ 智能 SPF 定时器 + Flash-Flood + ISPF + LFA FRR"的完整命令，并给出验证命令。

答案： ```bash system-view ospf 1 router-id 1.1.1.1 bfd all-interfaces enable // 全接口使能 OSPF BFD bfd all-interfaces min-tx-interval 100 // BFD 发送间隔 100 ms（两端需匹配） bfd all-interfaces min-rx-interval 100 // BFD 接收间隔 100 ms bfd all-interfaces detect-multiplier 3 // 检测倍数 3 → 最坏 300 ms 检出 spf-schedule-interval intelligent-timer 5000 50 200 // 智能 SPF：最大 5000 ms、初始 50 ms、增量 200 ms lsa-generation-interval 1000 // LSA 产生间隔缩短到 1000 ms flash-flood lsa-count 10 max-timer 100 // 拓扑变化立即泛洪，单次≤10 条，等待≤100 ms ispf enable // 增量 SPF + PRC frr // 进入 FRR 视图 loop-free-alternate // 使能 LFA tiebreaker router-id lowest-cost // LFA 优选规则 quit quit

验证

display ospf bfd session all // BFD 会话应为 Up，间隔与倍数正确 display bfd session all verbose // 详细会话信息 display ospf frr // LFA 使能与计算结果 display ip routing-table 10.9.9.0 verbose // 观察 Backup NextHop 字段 display ospf spf-statistics // SPF 计算次数（ISPF 生效后应显著减少） display ospf interface GigabitEthernet0/0/0 // 接口定时器与 BFD 状态 `` **注意**：BFD/Down 检测间隔必须**两端匹配**（按较大者协商），否则会话起不来；flash-flood的lsa-count与max-timer` 过小可能引起泛洪风暴，需按网络规模调优。

易错点与排错

display ospf bfd session all                   // OSPF 关联的 BFD 会话
display bfd session all verbose                // BFD 会话详情
display ospf frr                               // FRR/LFA 状态
display ospf spf-statistics                    // SPF 计算次数（判断是否频繁重算）
display ospf error                             // 定时器不匹配、认证失败等
display ospf interface                         // 各接口定时器与网络类型
display cpu-usage                              // 判断 SPF 是否造成 CPU 冲高

1.7 OSPF 路由汇总与过滤

考点定位

汇总与过滤是实验题与排错题的双重高频点，也是"命令会敲但不知道在哪生效"的典型代表。国赛常考：abr-summary 与 asbr-summary 的区别、not-advertise 的作用、filter-policy import 与 export 分别在什么位置生效、filter-lsa-out 与 filter-policy 的区别。这是最容易"配了不生效"的一节。

原理精讲

为什么需要汇总与过滤？ 两个动机：① 缩小 LSDB 与路由表规模（汇总：多条明细变一条），② 控制路由传播范围与安全（过滤：不该让别人知道的别传出去，不该学的别学进来）。但 OSPF 的汇总与过滤有一个与 BGP 完全不同的特点：LSA 是在区域内泛洪的拓扑信息，不能像 BGP 那样"逐邻居"精细控制——因此 OSPF 的过滤手段都有明确的"生效位置"，配错位置就等于没配。

一、路由汇总（Summarization）

（1）域间路由汇总 abr-summary：配置在 ABR 上，作用是把本区域内的多条区域内路由（Type1/Type2 算出的网段）汇总成一条 Type3 通告到其他区域。

ospf 1
 area 0.0.0.1
  abr-summary 10.1.0.0 255.255.0.0            // 把区域1内的明细汇总为 10.1.0.0/16 通告出去
  abr-summary 10.1.0.0 255.255.0.0 cost 100   // 指定汇总路由的度量（覆盖自动计算值）
  abr-summary 10.1.0.0 255.255.0.0 not-advertise // 抑制：不向其他区域通告该汇总（用于过滤）

关键细节（考试重点）：

• abr-summary 的生效方向是"从该区域向外"：配置在 area 0.0.0.1 下，表示"把区域 1 内的明细汇总后通告到其他区域（含区域 0）"。
• 汇总的触发条件是"至少有一条明细存在"：若区域 1 内 10.1.0.0/16 的所有明细都被撤销，汇总路由也会消失（聚合路由不会凭空存在）。
• not-advertise 的作用：不是"只汇总不细化"，而是抑制该汇总路由的通告（连同被汇总的明细一起不向其他区域通告），常用于做区域级路由过滤。这与"只做汇总"是两个不同的语义，极易混淆。
• cost 参数：指定汇总路由的度量。若不指定，ABR 取被汇总明细中的最大开销作为汇总路由的度量（华为实现）。手工指定 cost 可以人为引导选路。
• 汇总路由的"黑洞"风险：汇总掩码覆盖了实际不存在的网段时，若外部流量命中该汇总且明细网段不存在，会被 ABR 丢弃（黑洞）。因此汇总应尽量精确覆盖。华为设备可用 abr-summary ... suppress（部分版本）或 discard-route 思路规避，但根本上应靠规划。
• abr-summary 只对"本区域内的明细"生效，不影响区域间的 Type3（Type3 的再汇总需要 abr-summary 在新区域上重新生效，或使用 asbr-summary 类似的域间汇总机制）。

（2）域外路由汇总 asbr-summary：配置在 ASBR 上，作用是把引入的外部路由（Type5/Type7）汇总成一条 Type5 通告出去。

ospf 1
 asbr-summary 172.16.0.0 255.255.0.0           // 把引入的 172.16.x.0/24 明细汇总为 172.16.0.0/16
 asbr-summary 172.16.0.0 255.255.0.0 cost 200 type 1 // 指定度量与度量类型
 asbr-summary 172.16.0.0 255.255.0.0 not-advertise    // 抑制该汇总路由通告
 asbr-summary 172.16.0.0 255.255.0.0 tag 300   // 为汇总路由打 Tag，便于远端过滤

关键细节：

• asbr-summary 配置在产生 Type5 的那台 ASBR 上（即"引入点"），而不是 ABR 上。
• asbr-summary 只汇总 Type5/Type7，不汇总 Type3。若要汇总 Type3，用 abr-summary。
• NSSA 场景：NSSA 内的 ASBR 汇总产生的是 Type7，由转换器转为 Type5 后仍保持汇总（掩码不变）。
• 汇总路由的默认度量类型继承被汇总的明细（除非用 type 显式指定）。
• 注意 not-advertise 在 asbr-summary 上的语义同样为"抑制通告"，可用于屏蔽一组外部路由。

（3）汇总与过滤的"生效位置"总览（国赛必背）

二、路由过滤（Filtering）

（1）filter-policy import（导入过滤）：把 OSPF 算出的路由与 IP 路由表之间的"通道"做过滤——只影响本机是否把该路由加入 IP 路由表，不影响 LSDB，也不影响邻居。

ip ip-prefix DENY_172 index 10 deny 172.16.1.0 24    // 定义前缀列表：拒绝 172.16.1.0/24
ip ip-prefix DENY_172 index 20 permit 0.0.0.0 0 less-equal 32 // 其余全部允许（必须写！）
ospf 1
 filter-policy ip-prefix DENY_172 import       // 导入过滤：本机不加 172.16.1.0/24 到路由表

关键点：filter-policy import 只对本机生效，邻居仍然拥有完整路由；且由于不影响 LSA，LSA 依旧在 LSDB 中。验证方法：display ospf routing 有该路由、display ip routing-table 没有——说明是导入过滤生效。

（2）filter-policy export（导出过滤）：在 ASBR 上使用，控制哪些路由可以被引入（生成 Type5）。它不是"逐邻居过滤"，而是"从引入源到 OSPF 域的门槛"。

ospf 1
 import-route static                          // 先引入静态路由
 filter-policy ip-prefix ALLOW_ONLY export    // 再过滤：只有匹配的才真正生成 Type5

关键点：filter-policy export 必须与 import-route 配合使用；单独配置 export 而不配置 import-route 没有任何意义（因为 OSPF 不会自动引入外部协议路由）。此外，export 过滤的对象是被引入的路由，不包含 OSPF 自身的区域内/区域间路由。

（3）filter-lsa-out（接口级 LSA 过滤）：配置在接口上，控制哪些 LSA 不能从该接口发出。它直接作用于 LSA 泛洪层面，因此会造成"邻居的 LSDB 与事实不符"——这是危险操作，必须谨慎。

interface GigabitEthernet0/0/0
 ospf filter-lsa-out all                      // 阻止所有 LSA 从该接口发出（设备级隔离，慎用）
 ospf filter-lsa-out summary                  // 阻止 Type3（Summary LSA）从该接口发出
 ospf filter-lsa-out ase                      // 阻止 Type5（AS External LSA）从该接口发出
 ospf filter-lsa-out nssa                     // 阻止 Type7（NSSA External LSA）从该接口发出

关键点：

• filter-lsa-out 是按 LSA 类型过滤（不是按前缀），因此无法精确到"只过滤某条路由"。若需按前缀过滤，应使用 filter-policy 或区域级过滤器。
• 它会导致本设备与邻居的 LSDB 不一致，可能造成路由黑洞与不可预期行为，生产环境避免使用。
• 部分 VRP 版本支持在 filter-lsa-out 后带 acl 参数实现更细粒度控制，但主流考试只考类型粒度。

（4）区域级过滤（华为 area ... filter / filter-policy ip-prefix ... import 的配合）：华为部分版本支持在 ABR 上对"进入某区域的 Type3"做过滤（类似 abr-summary 的过滤思路），但不改变 LSA 的泛洪，只影响路由计算。考试中若遇到"某区域不应学到某网段"，标准答案是：在 ASBR/ABR 侧用 filter-policy export 或 abr-summary not-advertise 从源头抑制，而不是在接收侧过滤。

三、必须记住的三个"作用范围"结论

1. filter-policy import 只影响本机路由表，不影响 LSA，不影响邻居。
2. filter-policy export 在 ASBR 上影响 Type5/Type7 的生成，属于"源头过滤"，全网有效。
3. filter-lsa-out 影响接口上的 LSA 泛洪，会导致 LSDB 不一致，属于"危险手段"，只在特定隔离场景使用。

关键概念对照表

表 1-7-1 汇总与过滤命令对照（国赛必背）

表 1-7-2 五个参数速查

表 1-7-3 排错定位矩阵（路由表 vs LSDB）

表 1-7-4 汇总常见陷阱

华为设备配置

# ============ 场景：NE40E/AR6120 上的汇总与过滤完整示例 ============
# R1 为 ABR（连接 Area0 与 Area1），R2 为 ASBR（引入静态与直连路由）

# --- R1（ABR）：域间汇总 + 导入过滤 ---
system-view
sysname R1
ip ip-prefix DENY_TEST index 10 deny 10.1.5.0 24      // 拒绝一条测试网段
ip ip-prefix DENY_TEST index 20 permit 0.0.0.0 0 less-equal 32 // 其余放行（前缀列表末尾隐含 deny，必须显式放行）
ospf 1 router-id 1.1.1.1
 area 0.0.0.0
  network 10.0.0.0 0.0.0.255                    // 骨干互联
 area 0.0.0.1
  network 10.0.1.0 0.0.0.255                    // 区域1互联
  abr-summary 10.1.0.0 255.255.0.0              // 汇总区域1内的 10.1.x.0/24 为 10.1.0.0/16
  abr-summary 10.1.0.0 255.255.0.0 cost 50      // 指定汇总路由度量 50（覆盖默认的最大值）
  abr-summary 10.2.0.0 255.255.0.0 not-advertise // 10.2.0.0/16 明细与汇总都不向其他区域通告
  default-cost 10                               // 若区域1是Stub/NSSA，调整默认路由开销
 filter-policy ip-prefix DENY_TEST import       // 本机不把 10.1.5.0/24 加入 IP 路由表（不影响邻居）
 quit
display ospf lsdb summary                       // 确认 10.1.0.0/16 的 Type3 已生成
display ospf routing                            // OSPF 内部路由表（含被导入过滤的路由）
display ip routing-table                        // 最终路由表（对比找出被过滤的路由）

# --- R2（ASBR）：域外汇总 + 导出过滤 ---
system-view
sysname R2
ip ip-prefix ALLOW_EXT index 10 permit 172.16.0.0 16  // 仅允许 172.16.0.0/16 段
ip ip-prefix ALLOW_EXT index 20 deny 0.0.0.0 0 less-equal 32 // 其余拒绝
route-policy RP_IMPORT permit node 10           // 定义引入策略
 if-match ip-prefix ALLOW_EXT                   // 匹配前缀列表
 apply tag 200                                   // 为引入路由打 Tag 200
ospf 1 router-id 2.2.2.2
 import-route static route-policy RP_IMPORT     // 引入静态路由并按策略打 Tag
 import-route direct type 1 cost 20             // 引入直连路由为 E1，度量 20
 asbr-summary 172.16.0.0 255.255.0.0            // 汇总为 172.16.0.0/16
 asbr-summary 172.16.0.0 255.255.0.0 cost 100 type 1 tag 300 // 指定度量/类型/Tag
 asbr-summary 172.17.0.0 255.255.0.0 not-advertise // 抑制该外部网段通告
 filter-policy ip-prefix ALLOW_EXT export       // 源头过滤：只有匹配的才生成 Type5
 quit
display ospf lsdb ase verbose                    // 查看 Type5 的度量、类型、Tag、FA
display ospf lsdb brief                          // 确认 LSA 数量（汇总后应显著减少）

# --- 接口级 LSA 过滤（危险操作，仅演示） ---
interface GigabitEthernet0/0/1
 ospf filter-lsa-out ase                          // 禁止 Type5 从该接口发出（会造成邻居 LSDB 缺失）
 display ospf interface GigabitEthernet0/0/1      // 查看接口 OSPF 参数
 quit
# 恢复
interface GigabitEthernet0/0/1
 undo ospf filter-lsa-out                         // 撤销接口级 LSA 过滤
 quit

示意图

flowchart LR
    subgraph A1["区域1 明细网段"]
        N1["10.1.1.0/24"]
        N2["10.1.2.0/24"]
        N3["10.1.3.0/24"]
    end
    ABR["R1 ABR"]
    subgraph A0["骨干区域0"]
        CORE["骨干路由器"]
    end
    N1 --> ABR
    N2 --> ABR
    N3 --> ABR
    ABR -->|"abr-summary 汇总为 10.1.0.0/16 Type3"| CORE
    ABR -.->|"not-advertise 的 10.2.0.0/16 不发出"| CORE

flowchart TD
    A["外部路由来源 静态直连BGP"] --> B["import-route 引入"]
    B --> C{"filter-policy export 是否放行"}
    C -->|"拒绝"| D["不生成 Type5"]
    C -->|"允许"| E["生成 Type5 明细"]
    E --> F{"是否配置 asbr-summary"}
    F -->|"是"| G["生成汇总 Type5 明细被抑制"]
    F -->|"否"| H["按明细泛洪"]
    G --> I["邻居 LSDB 收到路由"]
    H --> I
    I --> J{"邻居 filter-policy import"}
    J -->|"拒绝"| K["邻居路由表不加载 本机仍学习"]
    J -->|"允许"| L["邻居路由表加载"]

sequenceDiagram
    participant SRC as 外部路由源
    participant ASBR as R2 ASBR
    participant ABR as R1 ABR
    participant R9 as R9 区域内路由器
    SRC->>ASBR: 172.16.1.0/24 等明细
    ASBR->>ASBR: filter-policy export 过滤
    ASBR->>ASBR: asbr-summary 汇总为 172.16.0.0/16
    ASBR->>ABR: Type5 汇总路由
    ABR->>R9: 继续泛洪 Type5
    Note over R9: filter-policy import 只影响本机路由表

真题精练

Q1.【真题·单选】 需要把引入 OSPF 的多条外部路由汇总成一条通告出去，应在哪台设备、哪个视图下配置什么命令？

A. ABR 的区域视图下配置 abr-summary B. ASBR 的进程视图下配置 asbr-summary C. 任意路由器的接口视图下配置 filter-lsa-out D. ABR 的进程视图下配置 filter-policy export

答案：B 解析：外部路由（Type5/Type7）的汇总必须在产生它们的 ASBR 上用 asbr-summary（进程视图）。A 是域间（Type3）汇总的位置与命令；C 是 LSA 泛洪过滤；D 是引入过滤，均不能实现"外部路由汇总"。

Q2.【真题·单选】 在 ABR 上配置 area 0.0.0.1 下的 abr-summary 10.1.0.0 255.255.0.0 not-advertise，其效果是？

A. 只通告汇总路由 10.1.0.0/16，不通告明细 B. 既不通告汇总路由，也不通告被汇总的明细 C. 仅在区域 1 内部可见该汇总 D. 保留明细、抑制汇总路由的通告

答案：B 解析：not-advertise 的语义是"抑制该汇总路由的通告"，且在抑制汇总的同时，被汇总的明细也不会以明细形式通告出去。因此最终效果是本区域内的这组网段不向其他区域通告。D 描述反了（它抑制的是汇总，不是明细；但结果是两者都不出现）。A 是不带 not-advertise 时的效果。这是 abr-summary 最容易被误解的参数。

Q3.【真题·判断】 filter-policy import 在 OSPF 中配置后，本机不再把被过滤的路由加入路由表，同时邻居也不会收到该路由。

答案：错误 解析：filter-policy import 只影响本机的路由表加载，不改变 LSA 的泛洪，也不影响邻居的 LSDB 与路由表。验证方法：本机 display ospf routing 中有该路由（OSPF 已算出），但 display ip routing-table 中没有（被导入过滤拦住）。若要"从源头不让别人知道"，应使用 filter-policy export（ASBR）或 abr-summary ... not-advertise（ABR）。

Q4.【真题·填空】 在 ASBR 上控制"哪些引入的路由才能真正生成 Type5"的命令是 ________；而在接口上按 LSA 类型阻止 LSA 发出的命令是 ________，它会导致本机与邻居的 ________ 不一致。

答案：filter-policy ip-prefix <名> export（或 filter-policy acl/route-policy export）；ospf filter-lsa-out <类型>；LSDB（链路状态数据库） 解析：前者必须与 import-route 配合使用；后者作用于 LSA 泛洪层，粒度是"LSA 类型"而非"前缀"，属于危险操作，可能造成路由黑洞。

Q5.【真题·简答】 请说明 abr-summary 与 asbr-summary 在配置位置、汇总对象、生成的 LSA 类型、以及在 Stub/NSSA 场景下的差异。

答案：

Q6.【真题·排错】 工程师在 ASBR 上配置了 import-route static 与 filter-policy ip-prefix RP export，期望只引入 172.16.0.0/16 段，但发现所有静态路由都被引入了。请分析原因并给出修正方案。

答案：最可能原因是 IP 前缀列表（ip ip-prefix）的匹配逻辑用错，具体分为两类： ① 前缀列表默认行为是"未匹配则拒绝"（末尾隐含 deny），但工程师往往只写了 permit 172.16.0.0 16，没有写后续的 deny 或多余的 permit——按此逻辑只有 172.16.0.0/16 被允许，其余应被拒绝，所以这不解释"全部被引入"。真正的常见错误是只写了 deny 没写 permit，或者写出了 permit 0.0.0.0 0 less-equal 32 这条"放行全部"的规则，导致过滤形同虚设。请检查 display ip ip-prefix RP 的输出。 ② filter-policy export 与 import-route 的顺序/配套问题：确认 filter-policy export 与 import-route 在同一 ospf 进程下，且过滤策略是在引入时生效。若工程师把 filter-policy 配成了 import，则只影响本机路由表，不会限制 Type5 生成——这时邻居会看到全部外部路由，本机也照样生成 LSA。 ③ route-policy 未正确绑定：若同时使用了 route-policy 与 filter-policy，两者是逻辑与关系，需确认 route-policy 中 if-match 的 ip-prefix 名称拼写正确，且 apply 动作不会意外放行。 修正方案： bash display ip ip-prefix RP // 先看前缀列表实际内容 ip ip-prefix RP index 10 permit 172.16.0.0 16 // 精确允许目标网段 ip ip-prefix RP index 20 deny 0.0.0.0 0 less-equal 32 // 显式拒绝其余（可选，末尾隐含 deny） ospf 1 filter-policy ip-prefix RP export // 确认导出过滤已绑定 import-route static // 引入与过滤配套 quit reset ospf process // 重新引入以生效（慎用，会短暂中断） display ospf lsdb ase verbose // 验证只剩目标网段的 Type5

Q7.【真题·多选】 关于 ospf filter-lsa-out 命令，下列说法正确的有？（多选）

A. 配置在接口视图下，作用于该接口出方向的 LSA 泛洪 B. 可以按 LSA 类型（summary / ase / nssa / all）过滤 C. 可以精确过滤掉某一个前缀对应的 LSA D. 使用后可能造成本机与邻居的 LSDB 不一致，属于危险操作

答案：ABD 解析：A、B、D 正确。C 错：filter-lsa-out 的粒度是 LSA 类型，无法按前缀精确过滤（LSA 的粒度是"一条 LSA"，而一条 Type3 只描述一个网段，理论上"一条一前缀"，但命令并不能按前缀匹配，只能按类型）。若需按前缀过滤，应使用 filter-policy 或 abr-summary not-advertise。

Q8.【真题·实验】 请设计一套配置，使 ABR（R1）向骨干区域通告的 10.1.0.0/16 汇总路由度量为 50、不向骨干通告 10.2.0.0/16，同时在 R2（区域内路由器）上不使用 10.1.5.0/24 这条路由（但 LSDB 中保留）。

答案： ```bash

--- R1（ABR）---

system-view ospf 1 router-id 1.1.1.1 area 0.0.0.1 network 10.0.1.0 0.0.0.255 abr-summary 10.1.0.0 255.255.0.0 cost 50 // 汇总并指定度量 50 abr-summary 10.2.0.0 255.255.0.0 not-advertise // 抑制该网段向其他区域通告 quit

--- R2（区域内路由器）---

system-view ip ip-prefix DENY_105 index 10 deny 10.1.5.0 24 // 拒绝该前缀 ip ip-prefix DENY_105 index 20 permit 0.0.0.0 0 less-equal 32 // 其余放行 ospf 1 router-id 2.2.2.2 filter-policy ip-prefix DENY_105 import // 导入过滤：本机不加表，LSDB 不受影响 area 0.0.0.1 network 10.0.1.0 0.0.0.255 quit

--- 验证 ---

display ospf lsdb summary verbose // R1 上确认 10.1.0.0/16 度量为 50 display ospf lsdb summary // R2 上确认 10.2.0.0/16 的 Type3 不存在 display ospf routing | include 10.1.5 // R2 的 OSPF 路由表中有该路由 display ip routing-table | include 10.1.5 // R2 的 IP 路由表中没有该路由 `` **要点**：abr-summary在 ABR 的区域视图；cost决定汇总度量；not-advertise抑制该组路由；filter-policy import` 只影响本机路由表，与"LSDB 保留"的要求完全吻合。

易错点与排错

display ospf lsdb summary verbose              // 查看 Type3 汇总路由的度量与掩码
display ospf lsdb ase verbose                  // 查看 Type5 的度量、类型、Tag
display ospf routing                           // OSPF 算出的路由（判断是否被 import 过滤）
display ip routing-table                       // 最终路由表（对比定位过滤点）
display ip ip-prefix <名>                       // 查看前缀列表实际内容（排错第一步）
display route-policy <名>                       // 查看路由策略内容
display ospf brief                             // 查看 OSPF 进程与区域配置摘要

1.8 OSPF 认证进阶

考点定位

认证属于"必考小题"：单选题考认证类型与字段，多选考 Keychain 的优势，判断题考"认证能否防止重放"。国赛偶有配置题（要求配置区域认证 + Keychain 并说明注意事项）。核心陷阱：把"简单认证（明文）"与"MD5 认证"的字段混淆，以及认为认证只在接口上配置（区域认证同样重要）。

原理精讲

OSPF 认证的目的是防止非法路由器加入 OSPF 域并注入伪造的 LSA。认证可以配置在区域级或接口级：

• 区域认证：在 area 视图下配置，作用于该区域内所有参与 OSPF 的接口；
• 接口认证：在接口视图下配置，优先级高于区域认证（同一接口两者都有时，接口认证生效）。

三种认证类型：

（1）Null 认证（Type 0）：不认证，默认。OSPF 报文的 Authentication Type 字段为 0。

（2）简单认证（Simple Password / 明文认证，Type 1）：密码以明文形式放在 OSPF 报文的认证字段中（8 字节）。任何能抓包的人都能看到密码，安全性极低，仅适合实验环境。配置：authentication-mode simple cipher <密码>。

（3）MD5 认证（Type 2）：使用 MD5 算法对 OSPF 报文做摘要。OSPFv2 的 MD5 认证有两种工作方式： - MD5 认证（RFC 2328 扩展，认证类型 2）：报文末尾附加一个 16 字节的 MD5 摘要，同时报文的认证字段携带 Key ID、认证数据长度、加密序列号（Cryptographic Sequence Number）。这个序列号是防重放的关键——接收方会记录已收到的最大序列号，拒收序列号更小（或重复）的报文。

注意：OSPFv2 中基于 RFC 2328 的 MD5 认证存在已知的重放攻击风险（序列号是 32 位非单调，且某些实现会重置），因此生产环境更推荐使用 Keychain。

（4）Keychain（密钥链）认证：Keychain 是一种密钥管理框架，它把"密钥 + 有效期 + 算法"组织成一条链，支持密钥自动轮换（到期自动切换到下一个密钥），从而实现"定期更换密钥而不中断业务"。OSPF/IS-IS/BGP/RIP 都可以引用 Keychain。Keychain 的优势：① 密钥可按时间自动轮换，降低长期使用同一密钥的风险；② 支持多种算法（MD5、SHA-1、HMAC-SHA-256 等）；③ 轮换时可通过"发送用新密钥 + 接收同时接受新旧密钥"实现平滑过渡，不中断邻居。

华为 Keychain 配置要点：

keychain KC_OSPF mode absolute                // 创建 Keychain，模式为绝对时间（absolute）
 key-id 1                                     // 定义密钥 ID 1
  algorithm md5                               // 算法 MD5（可选 hmac-sha256 等）
  key-string cipher Huawei@123                // 密钥（cipher 表示以密文形式保存）
  send-lifetime utc 00:00 2024-01-01 00:00 2025-01-01 // 发送有效期
  receive-lifetime utc 00:00 2024-01-01 00:00 2025-01-01 // 接收有效期
 key-id 2
  algorithm md5
  key-string cipher Huawei@456
  send-lifetime utc 00:00 2025-01-01 00:00 2026-01-01
  receive-lifetime utc 00:00 2024-12-31 00:00 2026-01-01 // 接收有效期可比发送期长，实现平滑过渡

Keychain 的关键机制：send-lifetime 决定"当前用哪个密钥发送"，receive-lifetime 决定"能接受哪些密钥"。平滑轮换的做法是：新密钥开始发送之前，先让对端的 receive-lifetime 覆盖新密钥，避免切换瞬间认证失败。

认证的两端一致性要求（高频考点）：

• 认证类型必须一致（都配 MD5 或都配 simple）；
• 密钥必须一致；
• Key ID 必须匹配（在 Keychain 与多密钥场景下尤其重要）；
• 区域认证与接口认证的优先级：接口认证覆盖区域认证，若两端一个用区域认证、一个用接口认证但密码相同，仍可建立（因为最终生效的认证类型与密钥一致）。但若密码不同则无法建立。
• 虚连接的认证需要单独在 vlink-peer 上配置，且中转区域的区域/接口认证也会生效（"两层认证"）。

认证不通过的现象：邻居无法建立，display ospf error 中的 "Authentication failure" 计数持续增长；display ospf peer 显示邻居一直在 Init/Down；抓包可见 "OSPF Authentication Failure"。

一个重要细节：认证只保护 OSPF 报文的"身份"，不保护数据的机密性（简单认证与 MD5 都是如此）。MD5 认证只保证"报文未被篡改且来自持有密钥的对端"，不做加密。因此不要把 OSPF 认证当成加密手段，也不要用它承载机密信息。

关键概念对照表

表 1-8-1 三种（四类）认证方式对比

表 1-8-2 区域认证与接口认证对比

表 1-8-3 认证相关的默认值与字段

华为设备配置

# ============ 场景一：区域认证 + 接口认证 ============

# --- R1：区域 0 使用 MD5 区域认证 ---
system-view
sysname R1
ospf 1 router-id 1.1.1.1
 area 0.0.0.0
  authentication-mode md5 cipher Huawei@123     // 区域认证：区域内所有接口生效
  network 10.0.0.0 0.0.0.255
 quit

# --- R2：同一区域使用相同的区域认证 ---
system-view
sysname R2
ospf 1 router-id 2.2.2.2
 area 0.0.0.0
  authentication-mode md5 cipher Huawei@123     // 必须与 R1 完全一致
  network 10.0.0.0 0.0.0.255
 quit

# --- 接口认证（优先级高于区域认证）---
interface GigabitEthernet0/0/1
 ip address 10.0.1.2 255.255.255.0
 ospf authentication-mode md5 1 cipher Huawei@456 // 接口认证：Key ID 1，独立密码
 quit

# --- 简单认证（仅实验，不推荐生产）---
interface GigabitEthernet0/0/2
 ospf authentication-mode simple cipher Huawei@789 // 明文认证，可被抓包看到密码
 quit

# ============ 场景二：Keychain 自动轮换认证（推荐） ============

# --- 定义 Keychain ---
keychain KC_OSPF mode absolute                   // 创建 Keychain，absolute 表示绝对时间模式
 key-id 1                                        // 第一个密钥
  algorithm md5                                  // 算法：MD5（也可用 hmac-sha256）
  key-string cipher Huawei@2024                  // 密钥内容（密文保存）
  send-lifetime utc 00:00 2024-01-01 00:00 2024-07-01 // 发送有效期（半年）
  receive-lifetime utc 00:00 2024-01-01 00:00 2024-07-15 // 接收期略长，便于平滑过渡
 key-id 2                                        // 第二个密钥（轮换后的密钥）
  algorithm md5
  key-string cipher Huawei@2025
  send-lifetime utc 00:00 2024-07-01 00:00 2025-01-01
  receive-lifetime utc 00:00 2024-06-15 00:00 2025-01-15 // 提前接收，保证切换不中断
 quit

# --- OSPF 引用 Keychain ---
ospf 1
 area 0.0.0.0
  authentication-mode keychain KC_OSPF           // 区域级引用 Keychain
  network 10.0.0.0 0.0.0.255
 quit
# 或接口级引用
interface GigabitEthernet0/0/1
 ospf authentication-mode keychain KC_OSPF        // 接口级引用（优先级更高）
 quit

# ============ 场景三：虚连接认证 ============
ospf 1
 area 0.0.0.1
  vlink-peer 3.3.3.3                             // 虚连接对端 Router ID
   authentication-mode md5 cipher Huawei@Vlink   // 虚连接认证（两端必须一致）
   quit
 quit

# ============ 验证与排错 ============
display ospf peer                                // 邻居状态（认证失败会卡在 Init/Down）
display ospf error                               // Authentication failure 计数（关键指标）
display ospf interface GigabitEthernet0/0/1      // 查看接口认证模式
display keychain KC_OSPF                         // 查看 Keychain 的密钥与有效期
display current-configuration configuration ospf  // 核对两端配置一致性

示意图

flowchart LR
    R1["R1 区域0"] ---|"10.0.0.0/24 MD5 区域认证"| R2["R2 区域0"]
    R2 ---|"10.0.1.0/24 接口认证覆盖区域认证"| R3["R3 区域1"]
    R1 -.->|"认证不一致 邻居卡在Init"| R4["R4 配置了不同密钥"]
    R2 -.->|"Keychain 引用"| KC["KC_OSPF 密钥链"]

sequenceDiagram
    participant R1 as R1
    participant R2 as R2
    R1->>R2: Hello 带认证字段 KeyID1 摘要
    R2->>R2: 查本地 Keychain 计算摘要比对
    alt 摘要一致
        R2->>R1: Hello 认证通过
        Note over R1,R2: 邻居状态推进到 2-Way
    else 摘要不一致
        R2->>R1: 丢弃报文并计数 Authentication failure
        Note over R1,R2: 邻居无法建立 一直 Init 或 Down
    end
    Note over R1,R2: KeyID1 发送期结束 自动切换 KeyID2
    R1->>R2: Hello 带 KeyID2
    R2->>R2: 接收期同时覆盖 KeyID1 与 KeyID2
    Note over R1,R2: 平滑过渡 邻居不中断

stateDiagram-v2
    [*] --> Null: 默认不认证
    Null --> Simple: 配置 simple
    Null --> MD5: 配置 md5 直接
    Simple --> MD5: 升级为MD5
    MD5 --> Keychain: 升级为Keychain自动轮换
    Keychain --> MD5: 回退为固定密钥
    MD5 --> [*]: 删除认证回到Null

真题精练

Q1.【真题·单选】 华为设备上 OSPF 默认的认证方式是？

A. 简单认证 B. MD5 认证 C. Null 认证（不认证） D. Keychain 认证

答案：C 解析：OSPFv2 默认认证类型为 Null（Type 0），即不认证。这也意味着如果一个区域中部分设备配置了认证、部分没配，未配置的设备将无法建立邻接——因为报文认证类型不匹配。这点在"网络合并"场景中很常见。

Q2.【真题·多选】 关于 OSPF 的简单认证（Simple Password）与 MD5 认证，下列说法正确的有？（多选）

A. 简单认证的密码以明文形式出现在报文中，可被抓包直接看到 B. MD5 认证不在报文中传输明文密码，而是传输摘要 C. MD5 认证报文中包含 Key ID 与加密序列号 D. MD5 认证会对整个报文内容做加密，防止窃听

答案：ABC 解析：A、B、C 均正确。D 错：MD5 认证只做完整性校验与身份验证（防篡改、防伪造），不提供加密——报文载荷仍是明文，任何抓包者都能看到 OSPF 报文内容。OSPF 认证不能当加密使用。

Q3.【真题·判断】 在同一个接口上同时配置了区域认证与接口认证时，接口认证优先生效。

答案：正确 解析：接口认证的优先级高于区域认证。当接口上同时存在两者时，以接口认证为准。这也带来一个实践建议：统一用区域认证管理，避免混用，混用会导致排错困难（"为什么这台设备用区域认证能通、那台不行"）。

Q4.【真题·填空】 OSPF 有三种认证类型：Null 认证（类型 ________）、简单认证（类型 ________）、MD5 认证（类型 ________）；其中简单认证的密码最长 ________ 字节，MD5 摘要长度为 ________ 字节。

答案：0；1；2；8；16 解析：这些数值是选择题的高频考点。补充：OSPFv2 认证字段本身为 8 字节，MD5 认证时该字段用于携带 Key ID、认证数据长度与加密序列号，摘要放在报文尾部（16 字节）。

Q5.【真题·简答】 相比固定的 MD5 认证，Keychain 认证有哪些优势？请说明 Keychain 是如何实现"密钥轮换不中断业务"的。

答案：优势：① 自动轮换：密钥可按预设的 send-lifetime 到期自动切换，无需人工逐台设备修改，降低运维成本与人为失误；② 支持多种算法（MD5 / SHA-1 / HMAC-SHA-256 等），可按安全要求选择；③ 可平滑过渡：通过把 receive-lifetime 设置得比 send-lifetime 更长且相互重叠，对端在新密钥开始发送之前就已经能够接收新密钥，切换瞬间不会出现"我发新密钥、你只认旧密钥"的认证失败；④ 降低长期密钥泄露风险：定期更换密钥，即使某个密钥泄露影响面也有限。轮换不中断的原理：Keychain 维护多条 key-id，每条有自己的发送期与接收期。发送时使用"当前时间落在 send-lifetime 内"的那条密钥；接收时只要密钥的 receive-lifetime 覆盖当前时间就接受。因此在两个密钥的接收期重叠区间内，新旧密钥都能被验证通过，切换过程对邻居完全透明。工程做法：新密钥的 receive-lifetime 提前于其 send-lifetime 生效，旧密钥的 receive-lifetime 延后于其 send-lifetime 结束。

Q6.【真题·排错】 两台路由器之间的 OSPF 邻居一直无法建立，display ospf error 显示 Authentication failure 计数持续增长。请列出排查步骤。

答案： ① 核对认证类型：display current-configuration configuration ospf 与 display ospf interface 检查两端是 simple、md5 还是 keychain，类型必须一致（一个配 simple 一个配 md5 一定不通）。 ② 核对密钥内容：注意华为设备上密码以 cipher 保存时显示为密文，必须用 display current-configuration 逐字符核对原文，或统一使用 cipher 明文输入后保存。密钥大小写、特殊字符都敏感。 ③ 核对 Key ID：MD5 多密钥场景下 Key ID 必须匹配（ospf authentication-mode md5 <key-id> cipher <pwd>）。 ④ 核对生效位置：确认是配在区域视图还是接口视图。若一端配了区域认证、另一端配了接口认证，虽然密码相同也可能因为"接口认证覆盖区域认证"的规则在两个不同接口上表现不一致。用 display ospf interface <接口> 查看实际生效的认证模式。 ⑤ 检查虚连接场景的两层认证：若故障发生在虚连接上，除 vlink-peer 的认证外，中转区域的区域认证/接口认证也要满足。 ⑥ 检查 Keychain 有效期：display keychain <名> 查看当前时间是否落在 send-lifetime 与 receive-lifetime 内。若发送期与接收期不重叠（配置失误），认证会失败。 ⑦ 抓包确认：抓取 OSPF 报文，看 Authentication Type 字段与 Key ID 是否与本地一致。

Q7.【真题·多选】 下列关于 OSPF 认证的描述，正确的有？（多选）

A. 认证的作用是防止非法设备加入 OSPF 域并注入伪造 LSA B. 区域认证配置在 area 视图下，接口认证配置在接口视图下 C. 认证可以防止 OSPF 报文内容被第三方窃听 D. 虚连接的认证需要在 vlink-peer 上单独配置，且必须与对端一致

答案：ABD 解析：A 是认证的目的；B 是配置位置；D 是虚连接认证的要求。C 错：无论简单认证还是 MD5 认证，都不提供加密，报文内容仍可被窃听（OSPF 本身也没有加密机制，机密性需靠链路层或 IPSec 等手段）。

Q8.【真题·实验】 请在 AR6120 上配置一套 Keychain 认证方案：密钥半年轮换一次，算法为 MD5，并说明如何验证轮换是否生效。

答案： ```bash system-view

定义 Keychain：两个 key-id，每个半年

keychain KC_OSPF mode absolute key-id 1 algorithm md5 key-string cipher Huawei@H1 // 上半年的密钥 send-lifetime utc 00:00 2024-01-01 00:00 2024-07-01 // 1月1日到7月1日发送 receive-lifetime utc 00:00 2024-01-01 00:00 2024-07-20 // 接收期延长20天，覆盖切换窗口 key-id 2 algorithm md5 key-string cipher Huawei@H2 // 下半年的密钥 send-lifetime utc 00:00 2024-07-01 00:00 2025-01-01 receive-lifetime utc 00:00 2024-06-10 00:00 2025-01-20 // 提前20天开始接收 quit

OSPF 区域引用

ospf 1 router-id 1.1.1.1 area 0.0.0.0 authentication-mode keychain KC_OSPF // 区域级引用 network 10.0.0.0 0.0.0.255 quit

验证

display keychain KC_OSPF // 查看当前生效（active）的密钥与时间区间 display ospf peer // 邻居状态应保持 Full display ospf error // Authentication failure 计数不应增长 display ospf interface GigabitEthernet0/0/0 // 确认接口认证模式为 keychain `` **轮换验证方法**：①display keychain KC_OSPF在切换前后分别执行，观察 active key-id 的变化；② 在切换窗口内持续ping，不应出现丢包；③ 观察display ospf error的 Authentication failure 计数保持为 0。**注意**：有些平台需要keychain的 key-id 的send-lifetime/receive-lifetime` 使用 UTC 时间，需确认设备时钟准确（建议配置 NTP）。

易错点与排错

display ospf peer                              // 邻居状态
display ospf error                             // 认证失败等错误计数（关键）
display ospf interface <接口>                   // 接口实际生效的认证模式
display keychain <名>                           // Keychain 密钥与有效期
display current-configuration configuration ospf // 核对两端配置
display clock                                   // 检查设备时钟（Keychain 依赖）

1.9 OSPF 与 MPLS / BGP 联动

考点定位

本节是国赛压轴题的常客：MPLS L3VPN 中 PE-CE 运行 OSPF 时，路由如何在 OSPF 与 MP-BGP 之间双向传递、如何避免环路与次优、Sham-Link 为什么存在。常见考法：简答（Sham-Link 的作用）、多选（路由回灌与防环）、排错（VPN 内 OSPF 路由丢失）。这一节把 OSPF 与 MPLS/BGP 打通，是 HCIE 的"综合能力"考点。

原理精讲

一、为什么 OSPF 要和 MPLS/BGP 联动？

在 MPLS L3VPN（BGP/MPLS IP VPN，RFC 4364）中，PE（Provider Edge，运营商边缘设备） 与 CE（Customer Edge，用户边缘设备） 之间需要交换客户私网路由。CE 侧通常运行 OSPF（或 IS-IS/BGP/静态），PE 侧则通过 MP-BGP（Multiprotocol BGP） 的 VPNv4 地址族 在骨干网中传递 VPN 路由。因此 PE 必须完成两件事：

1. 从 CE 侧学到的 OSPF 路由 → 引入 MP-BGP（import-route ospf 或 import-route ospf ... route-policy）；
2. 从 MP-BGP 学到的 VPN 路由 → 以 OSPF 形式通告给 CE（import-route bgp 在 OSPF 进程中）。

这个"双向引入"是 VPN 场景下 OSPF 的核心工作模式，也是环路风险的来源。

二、OSPF 多实例与 VPN 实例绑定

PE 需要为每个 VPN 维护独立的路由表与独立的 OSPF 进程，华为设备通过 ospf <进程号> vpn-instance <VPN名> 实现：

ospf 100 vpn-instance VPNA router-id 1.1.1.1

站点内的 OSPF 进程与站点外的 OSPF 进程是隔离的——这就是"VPN 实例下的多进程"的含义。若两个 VPN 都需要 OSPF，则创建两个进程（如 ospf 100 vpn-instance VPNA 与 ospf 200 vpn-instance VPNB）。注意：同一台 PE 上不同 VPN 实例的 OSPF 进程可以复用相同的 Router ID，因为它们在彼此隔离的实例中（但为便于排错，通常仍建议使用不同 Router ID）。

三、防环：DN 位与路由回灌

如前文 1.3 所述，PE 把 MP-BGP 学到的路由以 Type3 形式下发给 CE 时，会设置 DN 位。CE 若把这条 LSA 又传回 PE（同一 OSPF 域），PE 检测到 DN 位后不再把该路由重新引入 MP-BGP。

为什么会有回灌？ 因为 PE 与 CE 运行 OSPF 时，PE 是 ABR 的角色（它一边是 OSPF 域内的 CE 侧，一边是 MP-BGP"外部"）。当 PE1 从 CE1 学到路由传到 PE2、PE2 下发给 CE2 时，如果 CE1 与 CE2 属于同一个 OSPF 域（相同区域），CE2 侧的路由可能被再次传回 PE1，PE1 会认为"CE 侧也能到达该网段，且度量可能更优"，于是重新引入 MP-BGP——形成环路。DN 位是切断这条回路的机制。

四、Sham-Link（伪链路）

问题背景：在 MPLS L3VPN 中，假设 Site 1 与 Site 2 属于同一个 OSPF 区域，且两个 Site 之间有一条后门链路（Backdoor Link）（例如客户自己拉的专线，直接连接两个 Site）。此时：

• 经 VPN 骨干的路径：CE1 → PE1 →（MPLS 骨干）→ PE2 → CE2。这条路径在 OSPF 眼里是 Type3（区域间）路由（因为 PE 把 MP-BGP 路由作为 Type3 下发），优先级 10，但计算出来的度量是"PE 报告的"。
• 经后门链路的路径：CE1 →（后门直连）→ CE2。这条路径是 Type1（区域内）路由，度量是真实累加的。

问题：OSPF 的规则是"区域内路由永远优先于区域间路由"（两者优先级都是 10，但 OSPF 内部先比路由类型：O > O_IA）。因此 CE1 会优选后门链路，即使后门链路带宽很小、延迟很高。这就是次优路径问题——客户花大价钱买了 VPN 骨干，流量却走了后门。更严重的是：如果后门链路故障，流量才会切换到骨干，但切换需要等待 OSPF 收敛。

Sham-Link 的解法：在两个 PE 之间建立一条逻辑上的 OSPF 区域内链路（"伪链路"），使"经骨干的路径"变成区域内路由（Type1），从而与后门链路在同类型下比较度量，让 OSPF 按真实度量选择最优路径。

Sham-Link 的实现要点：

1. 两端 PE 上创建 Sham-Link（需要一对 /32 的 Loopback 地址，这两个地址必须通过 MP-BGP 互相可达，且不能被引入到客户 VPN 的 OSPF 中）；
2. Sham-Link 的开销可手工指定（sham-link cost），从而"调节"骨干路径的吸引力；
3. Sham-Link 上的认证必须与客户 OSPF 区域一致；
4. Sham-Link 只在 PE 之间建立，CE 完全感知不到；
5. Sham-Link 的地址必须与客户地址空间隔离——通常用运营商内部的地址（例如 x.x.x.x/32），并通过 RT 传递。

Sham-Link 的代价与限制：配置复杂（需要额外的 Loopback 与 MP-BGP 传递）、排错困难；若 Sham-Link 配置错误（如地址被误引入客户 OSPF），会造成"客户路由被劫持"的严重问题。因此只在"同区域 + 后门链路"的场景使用。

五、其他联动要点

• LSA 抑制：在 PE 上可以用 filter-policy export 或 import-route ospf ... route-policy 控制哪些 OSPF 路由被引入 BGP，避免把不需要的 LSA 传到骨干。
• 域 ID（Domain ID）：在 OSPF 与 BGP 的交互中，domain-id 用于标识同一个 OSPF 域。默认情况下 PE 会为每个 VPN 实例自动生成一个 Domain ID（基于进程号/区域），若两个 Site 的 OSPF 域需要被视为同一个域（例如为了让 Type3 路由在 Site 之间正确传递并支持 Sham-Link），需要手工配置一致的 domain-id。domain-id 有 4 种格式（如 0.0.0.1、1.1.1.1:1、0000:0000:0000:0000、十进制 100）。Domain ID 不同会导致 Type3 在 Site 之间被视为来自不同域，影响路由优选与跨站点区域间路由的传播。
• vpn-instance-capability simple：当客户 OSPF 域不使用 Sham-Link 时，PE 上需要配置该命令，使 PE 的 OSPF 行为按"简化模式"处理（否则 PE 会期望存在 Sham-Link，导致路由计算异常）。配置该命令后还需按需设置 dn-bit-check disable / dn-bit-set disable。
• BGP 与 OSPF 的优先级：在 PE 上，MP-BGP 学到的 VPN 路由与从 CE 学到的 OSPF 路由会进行比较（通过 domain-id 与路由优先级）。典型现象："同前缀路由优选 OSPF 还是 BGP"取决于路由优先级与度量。

关键概念对照表

表 1-9-1 OSPF 与 BGP/MPLS 联动关键配置与作用

表 1-9-2 后门链路 vs Sham-Link 路径对比

表 1-9-3 Domain ID 取值格式与含义

表 1-9-4 VPN 场景 OSPF 常见故障与现象

华为设备配置

# ============ 场景：NE40E 作为 PE，AR6120 作为 CE，MPLS L3VPN + OSPF ============

# --- PE1：VPN 实例 + OSPF 多进程 + 双向引入 ---
system-view
sysname PE1
ip vpn-instance VPNA                              // 创建 VPN 实例
 ipv4-family
  route-distinguisher 100:1                       // RD：区分不同 VPN 的相同前缀
  vpn-target 100:1 export-extcommunity            // 导出 RT
  vpn-target 100:1 import-extcommunity            // 导入 RT
  apply-label per-instance                        // 标签分配方式（按需）
 quit

interface LoopBack0
 ip address 1.1.1.1 255.255.255.255               // PE 的 MPLS LSR-ID 来源
interface GigabitEthernet0/0/1
 ip binding vpn-instance VPNA                     // 面向 CE 的接口绑定 VPN 实例
 ip address 10.1.1.1 255.255.255.0

ospf 100 vpn-instance VPNA router-id 1.1.1.1      // OSPF 进程绑定 VPN 实例（多实例隔离）
 vpn-instance-capability simple                   // 不使用 Sham-Link 时必须配置简化模式
 dn-bit-check disable                             // 关闭 DN 位检查（按组网需要）
 dn-bit-set disable                               // 关闭 DN 位置位
 domain-id 0.0.0.1                                // 显式指定 Domain ID，保证各 PE 一致
 import-route bgp                                 // 把 BGP 学到的 VPN 路由以 Type3/Type5 下发给 CE
 area 0.0.0.0
  network 10.1.1.0 0.0.0.255                      // 宣告到 CE 的网段
 quit
 quit

# --- PE1：把 OSPF 路由引入 MP-BGP ---
bgp 100
 peer 2.2.2.2 as-number 100                       // 与对端 PE 建立 IBGP
 peer 2.2.2.2 connect-interface LoopBack0         // 用 Loopback 建邻居
 ipv4-family vpnv4                                // 进入 VPNv4 地址族
  peer 2.2.2.2 enable                             // 使能 VPNv4 能力
  peer 2.2.2.2 route-policy RP_BGP export         // 可选：出口策略
 quit
 ipv4-family vpn-instance VPNA                    // 进入 VPN 实例地址族
  import-route ospf 100                           // 把 OSPF 100 的路由引入 BGP
 quit
 quit
display bgp vpnv4 vpn-instance VPNA routing-table // 查看 VPN 实例的 BGP 路由表（验证引入）
display ospf 100 vpn-instance VPNA lsdb           // 查看 VPN 实例内的 OSPF LSDB

# ============ Sham-Link 配置（消除后门链路次优） ============
# 前置条件：两个 PE 各有一个 /32 Loopback 通过 MP-BGP 互通，且不被引入客户 OSPF
interface LoopBack100
 ip binding vpn-instance VPNA                      // Sham-Link 源地址所在接口
 ip address 192.168.255.1 255.255.255.255

ospf 100 vpn-instance VPNA router-id 1.1.1.1
 area 0.0.0.0
  sham-link 192.168.255.1 192.168.255.2 cost 100   // 本端 192.168.255.1 到对端 192.168.255.2
  authentication-mode md5 cipher Huawei@Sham       // Sham-Link 认证需与客户区域一致
  quit
 quit
# --- 对端 PE2 对称配置 ---
# ospf 100 vpn-instance VPNA
#  area 0.0.0.0
#   sham-link 192.168.255.2 192.168.255.1 cost 100
#   authentication-mode md5 cipher Huawei@Sham

# --- 验证 Sham-Link ---
display ospf 100 vpn-instance VPNA sham-link       // 查看 Sham-Link 状态（应为 Full）
display ospf 100 vpn-instance VPNA routing         // 查看 CE 侧路由类型（O 而非 O_IA）
display ospf 100 vpn-instance VPNA interface       // 查看 Sham-Link 接口与开销
tracert -vpn-instance VPNA 10.2.2.2                // 验证实际转发路径

示意图

flowchart LR
    CE1["CE1 Site1"] ---|"10.1.1.0/24"| PE1["PE1 NE40E"]
    PE1 ===|"MPLS 骨干 VPNv4"| PE2["PE2 NE40E"]
    PE2 ---|"10.2.2.0/24"| CE2["CE2 Site2"]
    CE1 -.->|"后门链路 Backdoor"| CE2
    PE1 -.->|"Sham-Link 逻辑区域内链路"| PE2

sequenceDiagram
    participant CE1 as CE1 Site1
    participant PE1 as PE1
    participant PE2 as PE2
    participant CE2 as CE2 Site2
    CE1->>PE1: OSPF 路由 10.9.0.0/16
    PE1->>PE1: import-route ospf 引入BGP
    PE1->>PE2: MP-BGP VPNv4 通告 带RT与RD
    PE2->>CE2: import-route bgp 以Type3下发
    Note over PE2: 设置 DN 位 表示由上层向下通告
    CE2->>CE2: 学习到骨干侧路由
    Note over CE1,CE2: 若存在后门链路 区域内O优于区域间O_IA 需Sham-Link修正

flowchart TD
    A["Site1与Site2同属一个OSPF区域"] --> B{"是否存在后门链路"}
    B -->|"否"| C["Type3经骨干 正常转发 无需Sham-Link"]
    B -->|"是"| D{"是否配置Sham-Link"}
    D -->|"否"| E["区域内路由优先 流量走带宽小的后门 次优"]
    D -->|"是"| F["PE间建立Sham-Link 骨干路径变为区域内"]
    F --> G["同类型比较度量 按cost选择最优路径"]

真题精练

Q1.【真题·单选】 在 MPLS L3VPN 中，Site 1 与 Site 2 属于同一 OSPF 区域且存在后门链路，导致流量优选后门。解决该次优问题的标准手段是？

A. 在 CE 上配置 ospf cost 调大后门链路开销 B. 在两个 PE 之间配置 Sham-Link C. 在 PE 上配置 import-route bgp 的度量类型为 E1 D. 把 Site 2 改成 Stub 区域

答案：B 解析：问题根源是"区域内路由（后门，Type1）永远优先于区域间路由（经骨干，Type3）"，这是路由类型层面的优选，与度量大小无关。因此 A 无效（调大开销也只影响同类比较，后门仍是区域内）。C 是把 BGP 路由以 E1 下发，会变成外部路由（优先级更低），更不可能优选。D 与问题无关。Sham-Link 的作用正是把"经骨干的路径"提升为区域内路由（Type1），从而在同类型下按真实度量比较。

Q2.【真题·多选】 关于 Sham-Link，下列说法正确的有？（多选）

A. Sham-Link 建立在两个 PE 之间，CE 无法感知 B. Sham-Link 需要两个 PE 各有一个 /32 地址，且该地址要能通过 MP-BGP 互相可达 C. Sham-Link 的地址应被引入到客户 VPN 的 OSPF 中，以便 CE 学习 D. Sham-Link 上可以配置开销（cost）来调节路径吸引力

答案：ABD 解析：A、B、D 正确。C 错：Sham-Link 的 /32 地址绝不能被引入客户 VPN 的 OSPF——它们属于运营商内部地址空间，若被引入会造成客户路由被劫持或异常，这是 Sham-Link 配置中最严重的错误。

Q3.【真题·判断】 在 PE 上把从 CE 学到的 OSPF 路由引入 MP-BGP 的命令是 import-route ospf，把 MP-BGP 路由引入 OSPF 下发给 CE 的命令是 import-route bgp；前者配置在 BGP 视图下，后者配置在 OSPF 视图下。

答案：正确 解析：这是"双向引入"的标准配置位置。注意：import-route ospf <进程号> 在 BGP 的 VPN 实例地址族（ipv4-family vpn-instance xxx）下配置；import-route bgp 在 OSPF 进程视图下配置。若只配一侧，CE 与其他 Site 之间就会单向不通。

Q4.【真题·填空】 在 PE 上配置 OSPF 与 VPN 实例绑定的命令是 ospf <进程号> ________ <VPN名>；当客户组网不使用 Sham-Link 时，必须在 OSPF 视图下配置 ________，否则 PE 的 OSPF 行为会按期待 Sham-Link 的模式处理，导致路由计算异常。

答案：vpn-instance；vpn-instance-capability simple 解析：vpn-instance-capability simple 是 PE-CE 场景下的关键命令，它告诉设备"本 VPN 实例的 OSPF 不使用 Sham-Link"，从而采用简化处理逻辑。配套的还有 dn-bit-check disable、dn-bit-set disable 等。

Q5.【真题·简答】 请解释 MPLS L3VPN 中 domain-id 的作用，并说明"两个 Site 的 domain-id 配置不一致"可能造成什么后果。

答案：domain-id 的作用是标识一组属于同一个 OSPF 域的 Site。在 PE 上，从 CE 学到的 OSPF 路由被引入 MP-BGP 时，会携带 Domain ID（通过 BGP 扩展团体属性传递）；对端 PE 收到后，依据 Domain ID 判断"这条路由是否来自与本地 CE 相同的 OSPF 域"，进而决定它应该以 Type3（区域间，同域） 还是 Type5（外部，异域） 的形式下发给 CE。配置不一致的后果： ① 本应作为同域（Type3）传递的路由被当成异域处理，改以 Type5 下发，导致 CE 侧看到的路由类型错误，度量与优选结果都发生变化（例如原本应优选骨干的路径变成外部路由，优先级降到 150）； ② 影响 Sham-Link 的生效：Sham-Link 要求两端 Site 属于同一 OSPF 域，Domain ID 不一致会导致 Sham-Link 建立后路由仍不正确； ③ 可能出现跨 Site 的路由环回或丢失（因为域判断错误导致 LSA 被错误地转换/传播）。 建议：显式配置所有 PE 上该 VPN 实例的 domain-id 为一致的值（如 0.0.0.1），不要依赖自动生成。

Q6.【真题·排错】 MPLS L3VPN 组网中，CE1 能学到本 Site 路由，但学不到 CE2（另一个 Site）的路由。请给出完整的排查思路。

答案：按"数据流方向"逐段排查（从 CE2 到 CE1）： ① CE2 → PE2 的 OSPF 邻接是否正常：display ospf peer（PE2 的 VPN 实例内）确认与 CE2 是 Full。 ② PE2 是否把 OSPF 路由引入 BGP：display bgp vpnv4 vpn-instance VPNA routing-table（PE2）确认有 CE2 的路由项；若无，检查 import-route ospf <进程号> 与 route-policy 过滤。 ③ RT 是否匹配：display ip vpn-instance VPNA verbose（PE2 与 PE1），确认 PE2 的 export RT 包含在 PE1 的 import RT 中（vpn-target 配置）。RT 不匹配是"路由传不过去"的第一大原因。 ④ PE 之间的 VPNv4 邻居是否建立：display bgp vpnv4 all peer（PE2），确认与 PE1 的邻居为 Established；若无，检查 peer x.x.x.x enable、connect-interface、AS 号。 ⑤ PE1 是否把 BGP 路由引入 OSPF：display ospf 100 vpn-instance VPNA lsdb summary（PE1）确认有对应的 Type3；若没有，检查 import-route bgp 与 domain-id。 ⑥ CE1 是否实际收到并加表：display ospf lsdb summary（CE1）看 LSDB，display ip routing-table 看是否被 filter-policy import 或优先级问题拦截。 ⑦ DN 位与防环机制：确认 PE 侧的 dn-bit-check / dn-bit-set 配置与组网匹配，避免因防环机制误拦。 ⑧ 标签与转发面：display mpls lsp、display fib vpn-instance VPNA 确认外层标签与私网标签正确，避免"控制面有路由但转发不通"。

Q7.【真题·多选】 下列关于 vpn-instance-capability simple 的描述，正确的有？（多选）

A. 配置后 PE 的 OSPF 按"不使用 Sham-Link"的简化模式处理 B. 通常需要配合 dn-bit-check disable 与 dn-bit-set disable 使用 C. 该命令配置在 OSPF 进程视图下 D. 配置该命令后 PE 会自动建立 Sham-Link

答案：ABC 解析：A、B、C 正确。D 错：vpn-instance-capability simple 恰恰是声明"不使用 Sham-Link"，配置后 PE 不会去期待/建立 Sham-Link。若组网确实需要 Sham-Link，则不应配置该命令。

Q8.【真题·简答】 请说明在 PE-CE 运行 OSPF 的场景下，为什么"路由回灌（BGP → OSPF → BGP）"会造成环路，以及设备是如何避免它的。

答案：回灌过程：PE1 从 CE1 学到网段 X 后引入 MP-BGP，通告给 PE2；PE2 以 Type3 形式下发给 CE2（假设 CE1 与 CE2 属于同一 OSPF 域）；CE2 侧的路由器（或 CE2 与 CE1 通过后门链路直连时）会把这条 Type3 继续在 OSPF 域内传播，最终又回到 PE1。PE1 看到"从 CE 侧学到的 X（Type3）"，若认为它比本地已有的路由更优（例如度量更小），就会再次把它引入 MP-BGP，形成 BGP → OSPF → BGP 的循环；更糟的是 PE1 可能把这条"绕回来的路由"当作更优路径，导致流量在两个 Site 之间反复穿梭。避免机制： ① DN 位（Downward Bit）：PE 把 MP-BGP 路由以 Type3 下发给 CE 时置 DN 位；PE 再从 CE 侧收到带 DN 位的 Type3 时，不再把它引入 MP-BGP。这从机制上切断了回灌通道（RFC 4577 定义）。 ② Domain ID：通过 Domain ID 判断路由是否来自同域，进而以正确的类型（Type3/Type5）处理，避免同域路由被当成"外部新路由"重复引入。 ③ 路由策略：在 PE 上用 import-route ospf ... route-policy 过滤掉不应引入的路由（例如带特定 Tag 的路由），作为兜底手段。 ④ vpn-instance-capability simple + DN 位开关的合理搭配：简化模式下需按组网实际决定是否关闭 DN 位检查，关闭后必须依赖路由策略等手段兜底。

易错点与排错

display bgp vpnv4 vpn-instance <VPN名> routing-table  // VPN 实例的 BGP 路由表
display ip vpn-instance <VPN名> verbose               // VPN 实例的 RD/RT 配置
display ospf <进程号> vpn-instance <VPN名> lsdb        // VPN 内 OSPF LSDB
display ospf <进程号> vpn-instance <VPN名> sham-link   // Sham-Link 状态与开销
display ospf <进程号> vpn-instance <VPN名> routing     // VPN 内 OSPF 路由（看 O vs O_IA）
display bgp vpnv4 all peer                            // VPNv4 邻居状态
display mpls lsp                                      // MPLS 标签路径
display fib vpn-instance <VPN名>                       // VPN 实例的转发表（转发面验证）

1.10 OSPFv3 与 OSPFv2 差异对比

考点定位

IPv6 已是国赛固定内容，OSPFv3 的差异是选择题与填空题的高频来源。常考：OSPFv3 的 Router ID 格式、链路本地地址的使用、Type8/Type9 LSA、认证机制的变化、OSPFv3 是否基于链路（per-link）而非网段（per-subnet）。分值中等但拿分容易，属于"必须全对"的题目。

原理精讲

OSPFv3（RFC 5340）是为 IPv6 重新设计的 OSPF 版本，它不是"在 OSPFv2 上打了 IPv6 补丁"，而是独立协议（协议号 89，与 OSPFv2 相同；IP 协议号相同但报文格式不同）。OSPFv2 与 OSPFv3 可以在同一设备上并行运行，互不干扰。

核心差异（必须逐条掌握）：

（1）运行基础从"网段"变为"链路"。OSPFv2 是 per-subnet（按网段） 运行的：接口的 IP 地址决定了它属于哪个网段、是否与邻居在同网段。OSPFv3 是 per-link（按链路） 运行的：邻居关系基于链路本身建立，同一链路上的两台路由器即使 IPv6 地址不在同一前缀内也能建立邻接（P2P 场景）。这也是为什么 OSPFv3 的邻居发现使用链路本地地址（Link-Local Address，FE80::/10）。

（2）使用链路本地地址。OSPFv3 的所有报文都以链路本地地址作为源地址发送（除虚连接外，虚连接使用全局地址），下一跳也优先使用链路本地地址。好处：① 路由器之间通信不依赖全局地址的配置正确性；② 拓扑变化时（如重编号）不需要重新建立邻接；③ 提高安全性（链路本地地址不参与路由转发，天然隔离）。

（3）Router ID 与 Area ID 仍是 32 位。重要：OSPFv3 的 Router ID 仍然是 32 bit 的点分十进制格式（如 1.1.1.1），不是 IPv6 地址！Area ID 也仍然是 32 bit。这是最经典的考点——很多选手误以为 OSPFv3 用 IPv6 地址做 Router ID。自动选举方式：若未手工指定，OSPFv3 会自动从本机接口的 IPv4 地址中选（若无 IPv4 地址，则必须手工指定 Router ID），华为设备上建议始终手工指定。

（4）LSA 类型的变化：

为什么要把前缀从 Type1/Type2 中剥离？ 因为 OSPFv3 是 per-link 运行的，Router LSA 描述的是"路由器与哪些邻居相连"这个纯拓扑信息，而"这台路由器/这条链路上有哪些 IPv6 前缀"是另一类信息。分离后：① 拓扑变化与前缀变化解耦，前缀变化不再触发拓扑相关的处理（有利于 PRC）；② 一条链路上有多条前缀时表述更清晰；③ 多拓扑（MT）场景下不同拓扑可以有不同前缀集合。

（5）认证机制的变化。OSPFv2 的认证内置在 OSPF 报文的认证字段中（Null/Simple/MD5）；OSPFv3 则把认证交给 IPsec（AH/ESP）——OSPFv3 协议本身不定义认证字段，而是依赖 IPv6 的 IPSec 扩展头（RFC 4552），或使用 IPv6 的 AH/ESP。注意：华为 VRP 的 OSPFv3 实现中提供了 authentication-mode 命令（部分版本/平台通过 IPSec 实现），但标准 OSPFv3 不携带认证字段，这是与 v2 的根本差异。

（6）报文格式与选项变化： - OSPFv3 的 Hello 报文不再包含 Network Mask 字段（因为不需要按网段匹配），改为携带 Interface ID； - Options 字段扩展到 24 bit，新增 R 位（Router 支持多拓扑，用于 MT）、V6 位（OSPFv3 标识）； - 报文头部长度从 24 字节变化（v2 为 24 字节，v3 为 16 字节的公共头部 + 各报文自身字段）； - LSA 的 Link State ID 语义变化：v3 中 Type3 的 Link State ID 变为"前缀所在链路的 DR 或 Router 的标识"（不再单纯是网段地址），前缀本身放在 LSA 的 body 中。

（7）多拓扑（Multi-Topology, MT）：OSPFv3 原生支持多拓扑（通过 R 位与 MT-ID），可为 IPv4/IPv6 或其他拓扑维护独立的 SPF 计算。这与 IS-IS 的 MT 扩展对应。

（8）配置命令的差异：OSPFv3 在华为设备上使用独立的 ospfv3 进程，接口下通过 ospfv3 <进程号> area <区域号> 使能。

（9）虚连接：OSPFv3 同样支持虚连接（vlink-peer），但虚连接上使用全局地址（链路本地地址无法跨区域路由）。

（10）OSPFv3 的 SPF：与 v2 相同（Dijkstra），但计算时把 Type9 的前缀信息合并到树上。

关键概念对照表

表 1-10-1 OSPFv2 与 OSPFv3 全面对比（必背）

表 1-10-2 OSPFv3 的 9 类 LSA 速查

表 1-10-3 OSPFv3 相关华为命令速查

华为设备配置

# ============ 场景：AR6120 上部署 OSPFv3（IPv6） ============
system-view
sysname R1

# --- 全局使能 IPv6 ---
ipv6                                          // 全局开启 IPv6 转发能力（必须）
interface GigabitEthernet0/0/0
 ipv6 enable                                  // 接口使能 IPv6
 ipv6 address 2001:DB8:12::1 64               // 配置全局单播地址（自动生成链路本地地址）
 ospfv3 1 area 0.0.0.0                        // 接口使能 OSPFv3 并加入区域（注意不是在区域视图 network）
 ospfv3 cost 10                               // 设置 OSPFv3 接口开销
 quit

interface LoopBack0
 ipv6 enable
 ipv6 address 2001:DB8:1::1 128
 ospfv3 1 area 0.0.0.0                        // 环回口同样需要使能
 quit

# --- OSPFv3 进程 ---
ospfv3 1 router-id 1.1.1.1                    // Router ID 仍是 32 bit 点分十进制格式
 bandwidth-reference 10000                    // 参考带宽（与 v2 相同概念）
 area 0.0.0.0
  # 注意：OSPFv3 使用接口使能方式，区域视图下不需要 network 命令
 quit

# --- 查看链路本地地址（OSPFv3 报文源地址）---
display ipv6 interface GigabitEthernet0/0/0   // 可见 Link-Local Address (FE80::...)

# --- 引入外部路由（IPv6 静态路由） ---
ipv6 route-static 2001:DB8:99:: 64 NULL0      // 制造一条 IPv6 静态路由
ospfv3 1
 import-route static type 2 cost 30            // 引入为 E2（默认为 E2）
 quit

# --- 特殊区域（OSPFv3 同样支持） ---
ospfv3 1
 area 0.0.0.1
  stub no-summary                              // Totally Stub（ABR 侧）
  # nssa no-summary                           // 或 Totally NSSA
 quit

# ============ 验证命令 ============
display ospfv3 peer                            // OSPFv3 邻居（状态应为 Full）
display ospfv3 interface GigabitEthernet0/0/0  // 接口参数、开销、DR/BDR
display ospfv3 lsdb                            // 全类型 LSA（可见 Type8/Type9）
display ospfv3 lsdb router                      // Type1（不含前缀）
display ospfv3 lsdb intra-area-prefix           // Type9（区域内前缀）
display ospfv3 lsdb link                        // Type8（链路 LSA）
display ospfv3 routing                          // OSPFv3 计算出的路由
display ipv6 routing-table                      // IPv6 路由表
display ospfv3 error                            // OSPFv3 错误计数

# ============ OSPFv2 与 OSPFv3 在同一设备并行运行 ============
ospf 1 router-id 1.1.1.1                       // IPv4 的 OSPFv2 进程（独立）
 area 0.0.0.0
  network 10.0.0.0 0.0.0.255
 quit
# 两者互不影响：OSPFv2 用 IPv4 地址建邻居，OSPFv3 用链路本地地址建邻居
display ospf peer                              // v2 邻居
display ospfv3 peer                            // v3 邻居

示意图

flowchart LR
    R1["R1 OSPFv3"] ---|"FE80:: link-local 建邻居"| R2["R2 OSPFv3"]
    R1 ---|"2001:DB8:12::/64"| R2
    R1 ---|"同时运行 OSPFv2 10.0.12.0/24"| R2
    R1 -.->|"Type8 Link LSA 仅本链路"| R2
    R1 -.->|"Type9 区域内前缀"| R2

flowchart TD
    A["接口使能 OSPFv3"] --> B["生成链路本地地址 FE80::"]
    B --> C["发送 Hello 源地址为链路本地地址"]
    C --> D["邻居建立 基于链路而非网段"]
    D --> E["Type1 Type2 只描述拓扑 不带前缀"]
    E --> F["Type9 单独描述区域内前缀"]
    D --> G["Type8 描述链路本地地址与链路前缀"]
    F --> H["SPF 计算 拓扑加前缀合并"]
    G --> I["不参与 SPF"]

mindmap
  root((OSPFv3 差异))
    运行基础
      按链路 per-link
      链路本地地址
      RouterID 仍为32位
    报文
      Hello 无 Network Mask
      Options 24bit 含 R 位
      协议号 89
    认证
      交给 IPsec
      协议无认证字段
    LSA
      新增 Type8 Link
      新增 Type9 Prefix
      Type1 不带前缀
    特性
      原生多拓扑 MT
      与 v2 并行运行

真题精练

Q1.【真题·单选】 OSPFv3 的 Router ID 格式是？

A. 128 bit 的 IPv6 地址 B. 32 bit 的点分十进制格式 C. 64 bit 的 EUI-64 格式 D. 可变长度的字符串

答案：B 解析：OSPFv3 的 Router ID 与 Area ID 仍然是 32 bit 点分十进制格式（如 1.1.1.1），不是 IPv6 地址。这是最经典的考点，很多选手想当然地认为"IPv6 协议就应该用 IPv6 地址做标识"。若未手工配置，OSPFv3 会自动从本机 IPv4 地址中选取；若设备无 IPv4 地址则必须手工指定。

Q2.【真题·多选】 相比 OSPFv2，OSPFv3 的新增特性包括？（多选）

A. 新增 Type8 Link LSA 与 Type9 Intra-Area-Prefix LSA B. 报文使用链路本地地址作为源地址 C. 支持原生多拓扑（Multi-Topology） D. 使用 IPv6 地址作为 Router ID

答案：ABC 解析：A、B、C 正确。D 错：Router ID 仍为 32 bit 点分十进制（见上一题）。

Q3.【真题·判断】 OSPFv3 与 OSPFv2 不能在同一台设备上同时运行。

答案：错误 解析：OSPFv2 与 OSPFv3 是两个独立协议（虽然 IP 协议号都是 89），可以在同一台路由器上并行运行、互不影响。它们各自维护独立的进程、LSDB 与路由表。这在"IPv4/IPv6 双栈过渡"场景中非常常见。

Q4.【真题·填空】 OSPFv3 把原来 OSPFv2 中 Type1/Type2 携带的 IPv6 前缀剥离出来，由 ________ 类型的 LSA（名称：________ LSA）单独描述；而描述链路本地地址与链路前缀的是 ________ 类型的 LSA（名称：________ LSA），它只在 ________ 内泛洪且不参与 SPF。

答案：Type9；Intra-Area-Prefix（区域内前缀）；Type8；Link（链路）；本链路 解析：这两个新增 LSA 是 OSPFv3 的标志性特征。Type8 Link LSA 描述"本链路上这台路由器的链路本地地址与本链路的前缀"，只在链路上泛洪（不跨路由器传播），且不参与 SPF 计算；Type9 则是区域内前缀的载体，参与路由计算。

Q5.【真题·简答】 请说明 OSPFv3 为什么把"运行基础"从"按网段（per-subnet）"改为"按链路（per-link）"，并说明这一改变带来的两个好处。

答案：原因：OSPFv2 的邻居关系建立在"接口 IP 在同一网段"这一前提上（Hello 报文携带 Network Mask 并要求匹配），这在 IPv6 环境下不合适：① IPv6 地址空间巨大，同一链路上不同设备可能使用不同前缀（尤其在 P2P 与过渡场景）；② IPv6 支持一个接口配置多个地址（多前缀），用"网段"来匹配邻居会产生歧义；③ IPv6 的链路本地地址天然提供"链路身份"，无需靠全局前缀判断邻居关系。因此 OSPFv3 改为按链路运行：邻居关系基于链路本身建立，报文以链路本地地址为源地址。两个好处：① 拓扑与前缀解耦：Router LSA 只描述拓扑，前缀由 Type9 描述，前缀变化不再触发拓扑处理（配合 PRC 提升性能），且一条链路可以携带多个前缀而无歧义；② 配置与重编号更灵活：路由器重编号（更换全局 IPv6 前缀）时不需要重建邻接关系，因为邻接依赖链路本地地址；同时 P2P 链路上两端前缀不同也能正常建立邻居（有利于过渡与实验环境）。

Q6.【真题·多选】 关于 OSPFv3 的认证，下列说法正确的有？（多选）

A. OSPFv3 协议本身不定义认证字段，认证依赖 IPsec（AH/ESP） B. OSPFv2 的认证是内置在 OSPF 报文中的（Null/Simple/MD5） C. OSPFv3 可以像 OSPFv2 一样在协议报文中携带明文密码 D. 部分厂商实现（含华为 VRP）提供了配置命令以支持 OSPFv3 的认证能力

答案：ABD 解析：A、B、D 正确。C 错：OSPFv3 标准中没有明文密码的认证字段（这是与 v2 的根本差异），认证依赖 IPsec 或厂商扩展实现。

Q7.【真题·排错】 在某 AR6120 上配置 OSPFv3 后，display ospfv3 peer 看不到邻居。请给出排查思路。

答案： ① 接口是否使能 OSPFv3：确认接口下配置了 ospfv3 1 area 0.0.0.0（注意 OSPFv3 用接口使能，而不是区域视图 network），用 display ospfv3 interface 检查。很多人沿用 OSPFv2 的习惯去配 network，导致 OSPFv3 根本没在接口上跑起来。 ② Router ID 是否配置且唯一：display ospfv3 brief 查看 Router ID。若设备只有 IPv6 地址而无 IPv4 地址，必须手工配置 Router ID，否则进程无法正常工作。 ③ IPv6 是否使能且链路本地地址正常：display ipv6 interface <接口> 确认有 FE80:: 地址。若接口未 ipv6 enable，OSPFv3 无法收发报文。 ④ Hello/Dead 定时器与网络类型是否一致：display ospfv3 interface 核对两端的 Hello 间隔；P2P 与广播型的默认值不同（P2P 10/40，广播 10/40；NBMA/P2MP 30/120）。 ⑤ 区域 ID 是否一致：两端必须在同一区域（同一链路上）。 ⑥ 认证/IPsec 配置：若启用了 IPsec，需核对 SA 配置；否则报文会被丢弃。 ⑦ 二层与链路可达性：display ipv6 neighbors 确认链路层互通。 ⑧ 错误计数：display ospfv3 error 查看是否有 "Area mismatch"、"Hello timer mismatch" 等计数。

Q8.【真题·填空】 华为设备上创建 OSPFv3 进程的命令是 ________，接口使能 OSPFv3 的命令是 ________，查看 OSPFv3 链路状态数据库的命令是 ________。

答案：ospfv3 1 router-id 1.1.1.1；ospfv3 1 area 0.0.0.0（在接口视图下）；display ospfv3 lsdb 解析：注意与 OSPFv2 的区别：OSPFv2 用 ospf 1 + area 视图下 network 宣告；OSPFv3 用 ospfv3 1 + 接口下 ospfv3 1 area x。这是配置题最容易错的地方。

易错点与排错

display ospfv3 peer                            // OSPFv3 邻居
display ospfv3 interface                       // 接口使能状态、开销、DR/BDR
display ospfv3 lsdb                            // 全类型 LSA（含 Type8/Type9）
display ospfv3 lsdb intra-area-prefix          // 重点查看 Type9
display ospfv3 lsdb link                       // 重点查看 Type8
display ospfv3 routing                         // OSPFv3 路由
display ipv6 routing-table                     // 最终 IPv6 路由表
display ipv6 interface                         // 链路本地地址是否生成
display ospfv3 error                           // 错误计数

1.11 OSPF 排错总清单

考点定位

排错是国赛的"实操题"主体，也是最能拉开差距的部分。【真题·排错】的题目往往只给现象（邻居起不来 / 路由没有 / 路由次优），要求你给出完整的判断链路。本节把 OSPF 排错整理成三张清单：邻居类、LSA 类、路由表类。这张清单本身就是答案模板，考试时按清单逐项排查即可拿满分。

原理精讲

排错的方法论：按"分层 + 分段"来定位。 OSPF 排错可以严格按"邻居 → LSDB → 路由表 → 转发表"四层递进：

1. 第一层：邻居能建立吗？ 邻居建立不起来，后面一切都无从谈起。→ 查"邻居清单"。
2. 第二层：LSDB 里有没有正确的 LSA？ 邻居通了但 LSA 缺失，说明是 LSA 生成/泛洪/过滤问题。→ 查"LSA 清单"。
3. 第三层：路由表里有没有正确的路由？ LSA 有了但路由没有，说明是路由计算或路由加载（优先级/过滤）问题。→ 查"路由表清单"。
4. 第四层：转发通不通？ 路由有了但 ping 不通，说明是转发面问题（ARP、接口、ACL、MTU、下一跳递归）。

这个顺序不能乱：很多选手一上来就 display ip routing-table，发现没路由就去改配置，结果查了半天发现是邻居根本没起来。"先邻居、再 LSDB、后路由表"是唯一正确的顺序。

清单一：邻居关系建立失败（按状态定位）

OSPF 邻居状态机：Down → Attempt → Init → 2-Way → ExStart → Exchange → Loading → Full。不同状态卡住代表不同问题，这是排错题的核心抓手：

ExStart 卡住的三大经典原因（必背）： 1. MTU 不一致：华为设备默认在 DD 报文中携带接口 MTU 并做比较，不一致则邻居停在 ExStart。解决：两端 MTU 改为一致，或用 ospf mtu-ignore 忽略 MTU 检查（不推荐，因为会造成后续转发问题）。 2. Router ID 冲突：两台设备配置了相同 Router ID。解决：修改其中一台的 Router ID 并 reset ospf process。 3. 单播不可达：DD/LSR/LSU 后续以单播方式发送，若单播路由不可达（例如掩码配置错误导致对端地址不在直连网段），会卡住。

其他邻居类问题：

清单二：LSA 不生成 / 不泛洪

特别强调的两条： - OSPF 只能引入"活跃路由"：import-route static 只对已经存在于路由表中的静态路由生效。若静态路由因接口 Down 或被其他协议抢占而不在路由表中，OSPF 不会引入它。这是"配了 import-route 但没 Type5"的第一大原因。 - 同前缀不重复引入：若 OSPF 已经通过区域间/区域内学到了某前缀，ASBR 再引入同前缀的外部路由，OSPF 会优先保留内部路由（因为内部优先级 10 < 外部 150），此时 Type5 可能仍会生成，但路由表里不会有它。

清单三：路由不加表（LSDB 有，但路由表没有）

特别强调：华为 OSPF 等价路由负载分担：华为设备上 maximum load-balancing 的默认值随产品与版本不同：在部分 VRP 版本中 OSPF 的默认值为 1（不做负载分担），需要显式配置（如 maximum load-balancing 8）。这是"两条等价路由为什么只走一条"的标准答案。

关键概念对照表

表 1-11-1 邻居状态机与故障定位表（排错题答题模板）

表 1-11-2 三张清单速查（打印出来背）

表 1-11-3 OSPF 常用排错命令总表

华为设备配置

# ============ OSPF 排错的标准执行序列（按四层递进） ============

# --- 第一层：邻居 ---
display ospf peer                               // 邻居状态总览（重点看 State 列）
display ospf peer verbose                       // 邻居详情：Area、DR/BDR、定时器、认证模式
display ospf interface                          // 接口是否使能、区域、网络类型、开销
display ospf error                              // 错误计数（认证/区域/定时器/选项）
display ospf brief                              // 本机 Router ID 与进程参数

# --- 第二层：LSDB ---
display ospf lsdb brief                         // 各类 LSA 数量（快速发现"某类为 0"）
display ospf lsdb router verbose                // Type1 明细（V/E/B 位、链路类型）
display ospf lsdb network                       // Type2（确认 Link State ID 是 DR 接口 IP）
display ospf lsdb summary verbose               // Type3/Type4（含度量与掩码）
display ospf lsdb ase verbose                   // Type5（含 Metric Type/Metric/FA/Tag）
display ospf lsdb nssa verbose                  // Type7（重点看 P 位）
display ospf abr-asbr                           // ABR/ASBR 识别（判断 Type4 是否应该存在）

# --- 第三层：路由表 ---
display ospf routing                            // OSPF 内部路由表
display ospf routing <网段> verbose              // 指定路由的详细计算信息与下一跳列表
display ip routing-table                        // 最终 IP 路由表
display ip routing-table <网段> verbose          // 优选原因、各协议候选、Backup NextHop
display ip ip-prefix <名>                        // 前缀列表（判断过滤是否误伤）
display route-policy <名>                        // 路由策略内容

# --- 第四层：转发面 ---
display arp                                     // ARP 表（下一跳是否解析成功）
display fib <网段>                               // FIB 表项
tracert <目的地址>                               // 实际路径（验证是否次优/环路）
ping -s 1472 <目的地址>                          // 大包测试（验证 MTU 问题）

# ============ 典型故障的定向修复 ============
# 故障1：邻居卡 ExStart（MTU 不一致）
display interface GigabitEthernet0/0/0 | include MTU   // 查看本端 MTU
# 对端同样查看；若不一致，统一为一致值：
interface GigabitEthernet0/0/0
 mtu 1500                                        // 两端统一 MTU
 quit
# 或（不推荐，仅应急）忽略 MTU 检查
ospf 1
 area 0.0.0.0
  network 10.0.0.0 0.0.0.255
 quit
interface GigabitEthernet0/0/0
 ospf mtu-ignore                                  // 忽略 MTU 检查（会造成后续转发隐患）
 quit

# 故障2：Router ID 冲突
display ospf brief                                // 查看本机 Router ID（两端相同即为冲突）
ospf 1 router-id 1.1.1.1                          // 修改其中一台的 Router ID
reset ospf process                                // 重置进程使新 Router ID 生效（慎用）

# 故障3：等价路由不做负载分担
display ip routing-table verbose                  // 确认是否为等价路由
ospf 1
 maximum load-balancing 8                         // 华为默认可能为 1，需显式配置为 8（视平台上限）
 quit

# 故障4：外部路由不加表（FA 不可达）
display ospf lsdb ase verbose                     // 查看 FA 值
display ip routing-table <FA地址>                  // 确认 FA 是否可达
ospf 1
 silent-interface GigabitEthernet0/0/2             // 若误配 silent 导致 FA 不可达
 undo silent-interface GigabitEthernet0/0/2        // 撤销
 quit

示意图

flowchart TD
    A["OSPF 故障现象"] --> B["第一步 查邻居"]
    B --> C{"邻居是否 Full"}
    C -->|"否"| D["按状态定位 Down Init 2Way ExStart Exchange Loading"]
    C -->|"是"| E["第二步 查 LSDB"]
    E --> F{"所需 LSA 是否存在"}
    F -->|"否"| G["查 LSA 生成 泛洪 过滤 区域类型"]
    F -->|"是"| H["第三步 查路由表"]
    H --> I{"路由是否加表"}
    I -->|"否"| J["查 filter-policy import 优先级 可达性 递归"]
    I -->|"是"| K["第四步 查转发面 ARP ACL MTU"]
    K --> L["定位并修复"]

stateDiagram-v2
    [*] --> Down
    Down --> Init: 收到对端Hello
    Init --> TwoWay: 双向看到彼此
    TwoWay --> ExStart: 主从协商开始
    ExStart --> Exchange: MTU一致且RouterID不冲突
    Exchange --> Loading: 交换DD摘要完成
    Loading --> Full: 补齐缺失LSA
    Full --> [*]
    ExStart --> Down: MTU不一致或RouterID冲突
    TwoWay --> Down: 定时器超时
    note right of ExStart
        MTU不一致
        RouterID冲突
        单播不可达
    end note

flowchart LR
    L1["第一层 邻居"] --> L2["第二层 LSDB"]
    L2 --> L3["第三层 路由表"]
    L3 --> L4["第四层 转发表"]
    L1 --- C1["display ospf peer"]
    L2 --- C2["display ospf lsdb"]
    L3 --- C3["display ip routing-table verbose"]
    L4 --- C4["display arp 与 tracert"]

真题精练

Q1.【真题·排错】 两台 AR6120 直连，接口 MTU 分别为 1500 与 1400，OSPF 邻居一直卡在 ExStart 状态。请说明原因并给出两种解决方法（含各自风险）。

答案：原因：OSPF 在 ExStart 阶段通过 DD（Database Description，数据库描述）报文进行主从协商，华为设备默认在 DD 报文中携带并比较接口 MTU。当两端 MTU 不一致时，DD 报文被拒绝，邻居无法进入 Exchange 状态，因此一直卡在 ExStart。这是"卡在 ExStart"最经典的原因，另外两个常见原因是 Router ID 冲突 与 单播不可达。 解决方法一（推荐）：统一两端接口 MTU。 bash interface GigabitEthernet0/0/0 mtu 1500 // 两端统一为相同值 风险：需要两端同时修改，修改瞬间可能引起短暂中断；若链路中间设备（如传输设备）无法承载 1500，会造成大包丢弃。 解决方法二（应急，不推荐）：在接口上忽略 MTU 检查。 bash interface GigabitEthernet0/0/0 ospf mtu-ignore // 忽略 DD 报文中的 MTU 比较 风险：MTU 检查存在的意义就是避免"邻接建立成功但大包不通"的黑洞。忽略后邻接可以建立，但两端 MTU 差异仍然存在，超过较小 MTU 的报文会被丢弃（表现为"ping 小包通、大包不通"），且问题更难排查。因此 mtu-ignore 只能在应急场景使用，事后仍需统一 MTU。 验证：display ospf peer 确认邻居进入 Full；ping -s 1472 <对端> 验证大包是否可通。

Q2.【真题·排错】 某 ASBR 上配置了 import-route static，但 display ospf lsdb ase 看不到任何 Type5。请列出至少五种可能原因。

答案： ① 被引入的静态路由不在本地路由表中：OSPF 只能引入"活跃（active）"路由。若静态路由指向的接口 Down、或下一跳不可达、或被其他协议（如 OSPF 内部路由优先级 10 < 静态 60 时静态会被覆盖）抢占而不在路由表中，则无法被引入。验证：display ip routing-table 确认该静态路由是否存在。 ② filter-policy export 把路由过滤了：验证 display ip ip-prefix <名> 与 display route-policy <名>，注意前缀列表末尾隐含 deny 的规则。 ③ route-policy 中 if-match 条件过严或 apply 缺失：验证 display route-policy <名>。 ④ 引入的协议写错：例如静态路由写成了 import-route direct，或 import-route static 但静态路由用的是其他协议（如 ip route-static 之外的方式）。 ⑤ 该前缀与 OSPF 已有路由前缀相同：OSPF 不会为同前缀重复生成外部 LSA（或生成了但被内部路由优选）。 ⑥ 进程/区域限制：该设备所在区域为 Stub 区域（Stub 区域不能有 ASBR，import-route 不生效）；或配置在错误的 OSPF 进程/视图下。 ⑦ 配置未提交或需重置：某些情况下需要 reset ospf process 使引入生效（慎用）。 ⑧ 设备资源或限制：极少见，LSA 数量达到上限。 首选排查顺序：display ip routing-table（路由是否活跃）→ display ip ip-prefix（过滤）→ display current-configuration configuration ospf（区域类型与进程）→ display ospf lsdb brief（是否真的没有 LSA）。

Q3.【真题·排错】 某路由器的 LSDB 中存在 172.16.1.0/24 的 Type5，display ospf routing 中也能看到它，但 display ip routing-table 中没有。请给出至少四种原因。

答案： ① filter-policy import 在本机过滤：这是"OSPF 路由表有、IP 路由表没有"的最典型原因。验证：display ip ip-prefix <名> 与 display route-policy <名>；本机 display ospf routing 有该路由即证明 LSA 与计算都正常，只是被拦在路由表之外。 ② 优先级被其他协议抢占：OSPF 外部路由（O_ASE/O_NSSA）默认优先级 150，会被静态路由（60）、IS-IS（15）、直连（0）、OSPF 内部路由（10） 等抢占。验证：display ip routing-table 172.16.1.0 verbose 查看所有候选与优选原因。 ③ 下一跳不可达（递归失败）：Type5 的下一跳（ASBR 或 FA）无法解析，路由无法加表。验证：display ip routing-table <下一跳>、display arp。 ④ 出接口 Down 或被删除：验证 display interface brief。 ⑤ display ospf routing 中是"计算的候选"而非最终决策：注意 display ospf routing 展示的是 OSPF 协议内部的路由表，它包含协议认为可用的路由，但最终加表还取决于优先级比较与 filter-policy import。 ⑥ 黑洞路由存在：若配置了指向 NULL0 的同前缀路由（优先级更高），则会抢占。

Q4.【真题·多选】 下列哪些原因会导致 OSPF 邻居一直停留在 Init 状态？（多选）

A. 链路单向故障，只有一端能收到对端的 Hello B. 一端配置了认证，另一端未配置认证 C. 两端接口的 MTU 不一致 D. 一端接口被 silent-interface 抑制

答案：AB 解析：Init 状态的含义是"我收到了对端的 Hello，但对端的 Hello 里没有我的 Router ID"——即单向可见。A（单向故障）与 B（认证不一致导致对端丢弃我的报文，我看不到对方对我的确认）都属于此类。C（MTU 不一致）会导致卡在 ExStart（Init 已过）；D（silent-interface）会让本端完全不发 Hello，对端根本看不到我，对端表现为 Down，本端不建立邻居（不是 Init）。注意区分：silent-interface 抑制的是"接口不收发 OSPF 报文"，本端不会发出 Hello，因此对端是 Down 而非 Init。

Q5.【真题·排错】 某网络存在两条到达 10.9.9.0/24 的等价 OSPF 路由（同度量、同类型），但 display ip routing-table 显示只有一条转发表项，流量也只走一条链路。请分析原因并给出解决命令。

答案：原因：华为设备上 OSPF 的等价路由负载分担数量 maximum load-balancing 默认值可能为 1（不做负载分担），具体默认值随产品与 VRP 版本不同。若为 1，则即使存在多条等价路由，也只有一条被放入转发表。验证： bash display ip routing-table 10.9.9.0 verbose // 观察是否列出多条等价下一跳，以及实际加表数量 display current-configuration configuration ospf // 查看是否配置了 maximum load-balancing 解决： bash ospf 1 maximum load-balancing 8 // 允许最多 8 条等价路由参与负载分担（视平台上限） quit display ip routing-table 10.9.9.0 verbose // 验证多条下一跳均加表 补充：若两条路由度量并不相同（例如一个是 E1 一个是 E2，或内部开销不同），则不是等价路由，OSPF 会按规则优选，此时需要先解决"为什么不等价"。可用 display ospf routing 10.9.9.0 verbose 查看每条路由的实际度量。

Q6.【真题·简答】 请完整描述"OSPF 排错的四层递进方法论"，并说明为什么这个顺序不能颠倒。

答案：四层递进： 第一层 —— 邻居是否建立（display ospf peer）：邻居建立是所有 OSPF 功能的前提。若邻居不是 Full，则应先按状态机定位（Down / Init / 2-Way / ExStart / Exchange / Loading 各有对应原因），此时不应继续往下查。 第二层 —— LSDB 是否正确（display ospf lsdb brief 及分类查看）：邻居 Full 后，检查"应该有的 LSA 有没有、不该有的有没有"。Type1/Type2 缺失指向区域内问题；Type3 缺失指向 ABR 与区域配置；Type4/Type5 缺失指向 ASBR 与引入；Type7 与 P 位指向 NSSA 转换；LSA 数量异常指向汇总与 filter-lsa-out。 第三层 —— 路由是否加表（display ospf routing 对比 display ip routing-table verbose）：用"OSPF 路由表有、IP 路由表无"来判定是导入过滤还是优先级抢占；用"两张表都没有"来判定是LSA 缺失或可达性检查失败。 第四层 —— 转发是否通畅（display arp、tracert、ping -s）：控制面都正常但业务不通，则查 ARP 解析、ACL、MTU（大包不通）、单向路由、隧道封装等转发面问题。 为什么不能颠倒：因为 OSPF 是一个层层依赖的协议——没有邻居就没有 LSA 交换，没有 LSA 就没有路由计算，没有路由就没有转发。如果跳过邻居直接查路由表，看到"没有路由"就去改引入或汇总配置，不仅解决不了问题，还可能破坏原本正确的配置，把单一故障变成多重故障。只有严格按"邻居 → LSDB → 路由表 → 转发表"的顺序，才能保证每一步的结论都建立在前一步已验证的基础上，这也是国赛排错题评分的关键——阅卷看的是你的推理链条是否严密，而不是你最终改对了哪个参数。

Q7.【真题·多选】 关于 display ospf error 输出中的常见计数，下列说法正确的有？（多选）

A. "Authentication failure" 表示两端认证类型/密钥不一致 B. "Area mismatch" 表示两端区域 ID 不一致 C. "Hello timer mismatch" 表示 Hello/Dead 间隔不一致 D. "MTU mismatch" 计数增长时，邻居通常能正常进入 Full

答案：ABC 解析：A、B、C 正确。D 错：MTU 不一致会导致邻居无法进入 Full（卡在 ExStart），这正是 display ospf error 中该计数增长时的典型现象。补充：display ospf error 是排错的"第二站"（第一站是 display ospf peer），它能直接把问题分类到"认证 / 区域 / 定时器 / 选项 / MTU"等具体原因上。

Q8.【真题·排错】 某网络从 R1 到 10.9.9.0/24 有两条路径，display ip routing-table 显示流量走的是 R2（开销 30），而工程师期望走 R4（开销 15）。请列出至少四种可能原因及验证方法。

答案： ① R2 侧的路径被配置为 E1，R4 侧为 E2（或反之）：E1 永远优先于 E2。验证：display ospf lsdb ase verbose 对比两条 Type5 的 Metric Type。 ② 到 R4 的内部开销实际比预期大：可能是 ospf cost 手工配置、bandwidth-reference 不一致、或接口实际带宽与预期不符（例如此处 10GE 被当成 GE）。验证：display ospf interface（各接口 cost）、display ospf routing（到 ASBR 的度量）。 ③ FA（Forwarding Address）差异：若 R4 的 Type5 带非 0 的 FA 而该 FA 在域内不可达，则该路由不加表，于是只剩 R2。验证：display ospf lsdb ase verbose 对比 FA，再 display ip routing-table <FA> 检查可达性。 ④ 过滤策略误伤：R4 侧的路由被本机 filter-policy import 过滤，或 R4 的 ASBR 上被 filter-policy export / asbr-summary not-advertise 抑制。验证：display ip ip-prefix、display route-policy、display ospf lsdb ase（对比 R2/R4 是否都有 LSA）。 ⑤ 路由类型不同（区域内 vs 区域间 vs 外部）：若 R4 的路径是区域间（O_IA，优先级 10）而 R2 是外部（150），实际会优选 R4，与本现象相反；反之若 R2 是 O_IA 而 R4 是 O_ASE，则选 R2 是正常行为。验证：display ip routing-table verbose（看 Protocol 列）。 ⑥ R4 的邻居未 Full 或 LSA 未收到：验证 R1 上 display ospf peer（与 R4 的邻接）与 display ospf lsdb brief。 ⑦ 等价路由未做负载分担：若两条路由实际等价，默认 maximum load-balancing 可能为 1，只显示一条。验证：display ip routing-table verbose 是否列出多条等价下一跳。 首选排查顺序：display ospf lsdb ase verbose（比较度量类型与 FA）→ display ip routing-table <网段> verbose（看全部候选与优选原因）→ display ospf interface（核对接口开销）。

易错点与排错

数通-HCIE-章节2-IS-IS协议与IPv6集成

2.1 IS-IS 起源、发展与协议定位

考点定位

本节是"背景题"，但国赛常以单选/填空形式考查 IS-IS 的历史包袱如何影响今天的实现：为什么 IS-IS 用 NSAP 地址、集成 IS-IS（Integrated IS-IS）是什么意思、IS-IS 的协议号、为什么 IS-IS 比 OSPF 更容易扩展。分值不高但属于"必须知道的常识"。

原理精讲

IS-IS（Intermediate System to Intermediate System，中间系统到中间系统）最初不是为 IP 设计的。 它诞生于 ISO（International Organization for Standardization，国际标准化组织） 制定的 OSI（Open Systems Interconnection，开放系统互联） 协议族，是为 CLNP（Connectionless Network Protocol，无连接网络协议） 这种网络层协议服务的链路状态路由协议。在 OSI 术语中：

• ES（End System，端系统） = 主机；
• IS（Intermediate System，中间系统） = 路由器；
• IS-IS 就是"路由器到路由器"的路由协议。

为什么 IS-IS 今天还能用于 IP 网络？ 因为 RFC 1195 定义了 Integrated IS-IS（集成 IS-IS）：在同一个 IS-IS 进程中同时承载 CLNP 与 IP（以及后来的 IPv6）路由信息。集成 IS-IS 通过新的 TLV（Type-Length-Value，类型-长度-值） 携带 IP 前缀与可达性信息（如 TLV 128/130/132 携带 IPv4 信息，TLV 232/236 携带 IPv6 信息），从而在不破坏原有协议框架的前提下支持 IP。这就是"双栈（dual stack）协议"的含义：一个 IS-IS 进程可以同时发布 IPv4 与 IPv6 路由。注意术语：现在说"IS-IS"通常指的就是"集成 IS-IS"，因为纯 CLNP 的 IS-IS 已经基本不用了。

IS-IS 的协议特征（与 OSPF 对比的立足点）：

为什么 IS-IS 的扩展性更好？ 三个原因：① TLV 机制使得新功能可以"插件式"加入，老设备收到不认识的 TLV 会忽略而不报错，因此协议演进不会导致不兼容；② IS-IS 的 LSP 是"一个路由器一个 LSP（或分片）"，不像 OSPF 有 7 类 LSA 的复杂交互，LSDB 结构与 SPF 计算都更简单；③ IS-IS 直接跑在二层，不依赖 IP，因此不怕 IP 层的问题（如 IP 地址被攻击、IP 路由震荡），且天然支持多协议。这些特性使 IS-IS 成为大型运营商骨干网（尤其是承载 MPLS、SR 的骨干）的首选 IGP——这也是华为设备上 IS-IS 与 MPLS/SR 结合紧密的原因。

IS-IS 的协议号与封装： - 在广播网络（以太网）上：IS-IS PDU 直接封装在以太网帧中，Ethertype = 0xFEFE（部分文档写 0x8878 用于某些扩展），使用组播 MAC 地址：Level-1 用 01-80-C2-00-00-14，Level-2 用 01-80-C2-00-00-15（这是高频考点）； - 在 P2P 链路（PPP） 上：使用 NLPID（Network Layer Protocol ID）= 0x83（CLNP 的 NLPID）； - 链路层协议号：0xFEFE（以太网上的 IS-IS）。

IS-IS 的三个层次（详见 2.3）：Level-1（区域内）、Level-2（骨干/区域间）、Level-1-2（同时属于两者的路由器）。

IS-IS 在今天的定位： - 大型运营商骨干：承载 MPLS L3VPN、Segment Routing（SR-MPLS/SRv6），与 BGP 配合； - 数据中心：部分大型 DCI（Data Center Interconnect）网络； - 企业网：较少（企业网 OSPF 更常见）； - 国赛考点：IS-IS 必考，重点在层次化结构、度量、路由泄露、与 OSPF 的对比。

关键概念对照表

表 2-1-1 OSI 术语与 IP 术语对照

表 2-1-2 IS-IS 与 OSPF 的"设计哲学"对比

表 2-1-3 关键数值与标识速查

华为设备配置

# ============ 场景：NE40E 上启用集成 IS-IS（IPv4） ============
system-view
sysname R1

# --- 1. 配置 NET（必须先有 NET 才能启动 IS-IS） ---
isis 1                                          // 创建 IS-IS 进程 1
 is-level level-2                              // 设置本机为 Level-2（骨干路由器）
 network-entity 49.0001.0000.0000.0001.00      // 配置 NET：区域 49.0001 + SystemID + NSEL 00
 cost-style wide                                // 使用宽度量（推荐，必须全网一致）
 quit

# --- 2. 接口使能 IS-IS ---
interface GigabitEthernet0/0/0
 ip address 10.0.12.1 255.255.255.0
 isis enable 1                                  // 接口使能 IS-IS 进程 1
 isis circuit-level level-2                     // 该接口建立 Level-2 邻接（骨干链路）
 isis cost 10                                   // 设置接口开销（宽度量下为 32 bit 值）
 quit

interface LoopBack0
 ip address 1.1.1.1 255.255.255.255
 isis enable 1                                  // 环回口使能 IS-IS，用于发布 Router ID 对应的 /32 路由
 quit

# --- 3. 查看 ---
display isis peer                              // IS-IS 邻居（含 Level 与状态）
display isis lsdb                              // 链路状态数据库（LSP 列表）
display isis route                             // IS-IS 计算出的路由
display isis brief                             // 进程摘要（NET、Level、度量类型）
display isis interface                         // 接口 IS-IS 参数
display isis error                             // 错误计数

# ============ 对比：OSPF 的等价配置（体会差异） ============
ospf 1 router-id 1.1.1.1                       // OSPF 用 IP 地址作 Router ID
 area 0.0.0.0
  network 10.0.12.0 0.0.0.255                  // OSPF 在区域视图下用 network 宣告
 quit

示意图

flowchart LR
    subgraph OSI["OSI 世界"]
        ES1["ES 主机"] --- IS1["IS 中间系统"]
        IS1 --- IS2["IS 中间系统"]
    end
    subgraph IP["IP 世界"]
        H1["Host 主机"] --- RT1["Router 路由器"]
        RT1 --- RT2["Router 路由器"]
    end
    IS1 -.->|"术语一一对应"| RT1
    IS2 -.->|"术语一一对应"| RT2
    ES1 -.->|"术语对应"| H1

flowchart TD
    A["IS-IS 历史"] --> B["ISO 为 CLNP 设计"]
    B --> C["纯 OSI 环境使用"]
    A --> D["RFC 1195 集成 IS-IS"]
    D --> E["TLV 携带 IPv4 信息 TLV128 130 132"]
    D --> F["TLV 携带 IPv6 信息 TLV232 236"]
    E --> G["单进程双栈 同时发布 v4 与 v6"]
    F --> G
    G --> H["运营商骨干 MPLS 与 SR 首选 IGP"]

pie title IS-IS 与 OSPF 现网应用场景占比示意
    "运营商骨干 IS-IS" : 45
    "企业园区 OSPF" : 40
    "数据中心其他" : 15

真题精练

Q1.【真题·单选】 IS-IS 最初是为下列哪种网络层协议设计的路由协议？

A. IP B. CLNP C. IPX D. AppleTalk

答案：B 解析：IS-IS 由 ISO 为 OSI 协议族设计，服务于 CLNP（Connectionless Network Protocol，无连接网络协议）。后来 RFC 1195 定义了 Integrated IS-IS（集成 IS-IS），通过新增 TLV 使其能够同时承载 IP 与 CLNP 路由，才使 IS-IS 在 IP 网络中广泛使用。

Q2.【真题·填空】 IS-IS 在以太网上直接封装在以太网帧中，其 Ethertype 为 ________；在 PPP 链路上使用的 NLPID 为 ________；Level-1 与 Level-2 使用的组播 MAC 地址分别为 ________ 与 ________。

答案：0xFEFE；0x83；01-80-C2-00-00-14；01-80-C2-00-00-15 解析：这四个数值是选择题的固定考点。IS-IS 最独特之处就是不依赖 IP（对比 OSPF 依赖 IP 协议号 89），因此它可以承载多种网络层协议。

Q3.【真题·判断】 集成 IS-IS（Integrated IS-IS）指的是"同时运行 OSPF 与 IS-IS 两种协议"。

答案：错误 解析：集成 IS-IS 指的是同一个 IS-IS 进程中同时承载 CLNP 与 IP（IPv4/IPv6）路由信息，通过新增 TLV（如 TLV 128/130/132 用于 IPv4，TLV 232/236 用于 IPv6）实现，而不是"同时运行两种路由协议"。它体现的是 IS-IS 的多协议承载能力。

Q4.【真题·多选】 相比 OSPF，IS-IS 被认为扩展性更好的原因包括？（多选）

A. 采用 TLV 机制，新增功能向后兼容，老设备忽略不认识的 TLV B. 只有一种链路状态 PDU（LSP）结构，LSDB 与 SPF 更简单 C. 直接运行在数据链路层之上，不依赖 IP D. 拥有比 OSPF 更丰富的 LSA 类型

答案：ABC 解析：A、B、C 都是 IS-IS 扩展性好的原因。D 错：IS-IS 没有 OSPF 那样的 7 类 LSA，它用统一的 LSP + 不同 TLV来表达所有信息，这正是它简单的体现（OSPF 才有多类型 LSA）。

Q5.【真题·简答】 为什么 IS-IS 能同时支持 IPv4 与 IPv6，而 OSPF 需要分成 OSPFv2 与 OSPFv3 两个相对独立的协议？请从协议设计角度说明。

答案：IS-IS 的答案在于 TLV 机制。IS-IS 的 LSP 本质上是"类型-长度-值"的容器：协议只规定了 TLV 的封装格式与处理规则，具体"携带什么信息"由 TLV 类型定义。因此：① 支持 IPv4 只需定义 TLV 128（IP Internal Reachability）、TLV 130（IP External Reachability）、TLV 132（IP Interface Address）；② 支持 IPv6 只需定义 TLV 232（IPv6 Interface Address）、TLV 236（IPv6 Reachability）（RFC 5308）；③ 不识别的 TLV 会被直接忽略而不报错，因此协议演进天然向后兼容。同一个 IS-IS 进程可以在同一个 LSP 中同时携带 v4 与 v6 的 TLV，实现"单进程双栈"，甚至可以单拓扑（single topology）共用一棵 SPF 树。OSPF 的困难：OSPF 的链路状态信息是由固定格式的 LSA 类型表达的（Type1 用固定字段描述链路、Type3 用固定字段描述网段），IPv4 与 IPv6 的地址长度、语义都不同，无法用同一套 LSA 字段承载。因此在 OSPFv2 上"打补丁"不如重新设计一个 OSPFv3（RFC 5340），两者成为相对独立的协议（虽然可以在同一设备并行运行，但要各自维护进程与 LSDB）。结论：TLV 的可扩展设计让 IS-IS 天然多协议，LSA 的固定设计让 OSPF 必须分版本。

Q6.【真题·简答】 请说明"为什么大型运营商骨干网更倾向使用 IS-IS 而不是 OSPF"，至少给出三点理由。

答案：① 扩展性与稳定性：TLV 机制使协议演进（如 SR 扩展、Flex-Algo）可以平滑引入；单区域（Level-2）可支撑上千台路由器，适合骨干扁平化的大规模组网；LSP 刷新与 SPF 计算的开销相对可控。② 不依赖 IP：IS-IS 直接跑在二层，其报文不受 IP 层故障（如 IP 地址攻击、IP 层 ACL 误配、IP 路由震荡）影响，也不需要在骨干内部为 IGP 报文专门规划 IP 可达性；在骨干网这种"只跑 MPLS 转发"的环境里，IS-IS 的这种"脱耦"特性非常契合。③ 与 MPLS/SR 结合成熟：IS-IS 的 TLV 机制非常适合携带 MPLS 标签信息（TLV 22 扩展、TLV 135 扩展 IP 可达性）与 Segment Routing 信息（SR-Capabilities TLV 242、SR-Algorithm、SID/Label Binding TLV 149），华为设备上 IS-IS + SR-MPLS/SRv6 是标准组合；而 OSPF 承载 SR 需要 OSPF 扩展（RFC 8665），生态上不如 IS-IS 广泛。④ （补充）区域边界在链路上的设计使 IS-IS 的 L1/L2 结构比 OSPF 的"ABR 挂多区域"更清晰，减少了 ABR 处的 LSDB 与计算负担。

易错点与排错

display isis brief                             // 进程摘要（NET、Level、cost-style）
display isis peer                              // 邻居
display isis lsdb                              // LSP 数据库
display isis route                             // IS-IS 路由
display isis interface                         // 接口参数（circuit-level、cost）
display isis error                             // 错误计数

2.2 IS-IS 与 OSPF 全面对比

考点定位

这是国赛必考的大题：给一张表或多选题，要求比较 IS-IS 与 OSPF 的协议层次、报文类型、区域划分、路由器类型、度量方式、扩展性。分值高（常在 5~10 分）、覆盖面广。核心区分点：区域边界在链路上 vs 在路由器上、L1/L2 vs 区域0/非骨干、DIS vs DR、宽度量 vs 开销。

原理精讲

一、协议层次与承载方式

OSPF 是"IP 之上的协议"：OSPF 报文封装在 IP 报文中（IP 协议号 89），因此 OSPF 需要先有 IP 可达性才能建立邻居（尽管直连情况下不需要路由）。IS-IS 是"二层之上的协议"：IS-IS PDU 直接封装在数据链路层帧中（以太网 Ethertype 0xFEFE），不需要 IP 头。这带来两个后果：① IS-IS 报文不能被 IP 层的 ACL 直接过滤（需要用链路层过滤）；② IS-IS 天然支持多协议（因为它根本不关心网络层是什么协议）。

二、报文类型

计数：OSPF 有 5 种报文类型；IS-IS 有 9 种 PDU（3 种 IIH + 2 种 LSP（L1/L2）+ 4 种 SNP（L1/L2 CSNP/PSNP））。注意：不同教材对"9 种"的拆分略有差异，通常按"PDU 类型 × Level"统计。

IS-IS 的三类关键 PDU 的作用：

• IIH（IS-IS Hello PDU）：建立与维持邻接。L1 LAN IIH 用于 L1 邻接、L2 LAN IIH 用于 L2 邻接、P2P IIH 用于 P2P 链路上的邻接（P2P IIH 不区分 L1/L2，通过 P2P 三次握手机制协商）。
• LSP（Link State PDU）：承载链路状态信息（相当于 OSPF 的 LSA 集合）。包含 LSP ID、Sequence Number、Remaining Lifetime（剩余生存时间）、Checksum、ATT/P/OL 位、TLV。LSP 有分片机制：当一个 LSP 装不下所有信息时，用多个 LSP 分片（LSP ID 的 Fragment 部分递增）。
• CSNP（Complete Sequence Number PDU）：包含 LSDB 中所有 LSP 的摘要（LSP ID + Sequence + Remaining Lifetime + Checksum）。在广播网络上由 DIS 周期性发送（默认 10 s）；在 P2P 链路上由两端各自发送一次（建立邻接后）。
• PSNP（Partial Sequence Number PDU）：包含部分 LSP 的摘要。作用有两个：① 请求缺失或过期的 LSP（类似 OSPF 的 LSR）；② 确认收到的 LSP（类似 OSPF 的 LSAck）。在 P2P 链路上用于确认与请求；在广播网络上由非 DIS 路由器在发现 LSDB 不同步时发送。

三、区域划分方式（最根本的差异）

OSPF：区域边界在路由器上。一台 ABR 可以同时属于多个区域（每个接口属于一个区域），它维护每个区域的独立 LSDB，并在区域之间做 Type3 汇总。路由器的"身份"是随接口变化的——同一台路由器在一个接口上是区域 1 的成员，在另一个接口上是区域 0 的成员。

IS-IS：区域边界在链路上。一台 IS-IS 路由器整体只属于一个区域（由 NET 中的 Area ID 决定），它的所有接口都属于同一个区域。L1/L2 的区分是通过接口的 circuit-level 与邻居的 Level 决定的：

• Level-1 路由器：只与同区域的 L1 邻居建立 L1 邻接，只维护 L1 LSDB（区域内）；
• Level-2 路由器：只建立 L2 邻接，维护 L2 LSDB（骨干）；
• Level-1-2 路由器：同时建立 L1 与 L2 邻接，同时维护 L1 与 L2 两套 LSDB（可以理解为"一台设备同时是 L1 路由器与 L2 路由器"）。它是连接 L1 区域与 L2 骨干的桥梁，同时具有 ATT 位置位的能力（向 L1 区域下发默认路由）。

关键结论：OSPF 的"区域"是路由器的属性（接口决定成员关系），IS-IS 的"区域"是路由器的属性（整机）而"Level"是链路的属性。这句话要反复体会。

四、路由器类型

五、度量方式

OSPF：接口开销 = 参考带宽 / 接口带宽（默认参考 100 Mbit/s），16 bit（范围 1~65535）。度量只有一种（开销），E1/E2 是外部路由的度量类型。

IS-IS：三种度量，这是 IS-IS 独有的设计：

1. 默认度量（Default Metric）：即通常说的"开销"，可配 窄度量（narrow，6 bit，范围 1~63） 或 宽度量（wide，32 bit，范围 1~16777214）；
2. 延迟度量（Delay Metric）：历史上预留，实现中基本不用；
3. 开销度量（Expense Metric）：历史上预留，实现中基本不用；
4. 差错度量（Error Metric）：历史上预留，实现中基本不用。

实际只用"默认度量"，其他三种是 OSI 时代的遗产（很多文档会提"IS-IS 支持四种度量"，考试时要注意区分"协议定义的四种"与"实际使用的默认度量"）。

为什么必须用宽度量？ 因为 6 bit 窄度量的最大值只有 63，这在现代网络中远远不够：① 无法表达高速接口（10GE、100GE）与低速接口的差异（如果 GE 配 10，那 100GE 只能配到 63 就封顶了）；② 在 TE（Traffic Engineering）与 SR 场景中，需要携带更大的度量值以及带宽、亲和属性等扩展信息（这些都依赖 TLV 22 Extended IS Reachability，它使用 24 bit 或 32 bit 的度量字段）；③ 宽度量支持更大范围（31 bit 有效值，最大 16777214），可以精细表达链路代价。结论：现网必须使用宽度量（cost-style wide），而且同一 IS-IS 域内所有设备的度量类型必须一致（否则度量无法正确比较，导致选路混乱）。

六、扩展性对比

关键概念对照表

表 2-2-1 IS-IS 与 OSPF 全面对比总表（国赛必背）

表 2-2-2 报文与 PDU 对应关系

表 2-2-3 路由器类型对照

华为设备配置

# ============ 场景：三台设备构成 L1 区域 + L2 骨干 ============
# R1：Level-1（区域内）
# R2：Level-1-2（边界）
# R3：Level-2（骨干）

# --- R1（Level-1 路由器）---
system-view
sysname R1
isis 1
 is-level level-1                               // 整机为 L1 路由器
 network-entity 49.0001.0000.0000.0001.00       // 区域 49.0001，SystemID 0000.0000.0001，NSEL 00
 cost-style wide                                // 宽度量（全网必须一致）
 quit
interface GigabitEthernet0/0/0
 ip address 10.0.12.1 255.255.255.0
 isis enable 1
 isis circuit-level level-1                     // 该接口只建立 L1 邻接
 quit

# --- R2（Level-1-2 路由器，区域边界）---
system-view
sysname R2
isis 1
 is-level level-1-2                             // 整机同时具有 L1 与 L2 能力
 network-entity 49.0001.0000.0000.0002.00       // 属于区域 49.0001（整机只属于一个区域）
 cost-style wide
 quit
interface GigabitEthernet0/0/0
 ip address 10.0.12.2 255.255.255.0
 isis enable 1
 isis circuit-level level-1                     // 面向 R1 的接口建立 L1 邻接
 quit
interface GigabitEthernet0/0/1
 ip address 10.0.23.2 255.255.255.0
 isis enable 1
 isis circuit-level level-2                     // 面向 R3 的接口建立 L2 邻接
 quit

# --- R3（Level-2 路由器，骨干）---
system-view
sysname R3
isis 1
 is-level level-2                               // 整机为 L2 路由器
 network-entity 49.0002.0000.0000.0003.00       // 骨干可用不同区域 ID（L2 中区域 ID 不参与 SPF）
 cost-style wide
 quit
interface GigabitEthernet0/0/1
 ip address 10.0.23.3 255.255.255.0
 isis enable 1
 isis circuit-level level-2
 quit

# --- 验证 ---
display isis peer                               // 邻居的 Level（L1 / L2 / L1L2）
display isis lsdb                               // 分别查看 L1 与 L2 的 LSDB
display isis lsdb level-1                       // 只看 L1 LSDB
display isis lsdb level-2                       // 只看 L2 LSDB
display isis route                              // IS-IS 路由表
display isis route level-1                      // L1 路由
display isis route level-2                      // L2 路由
display isis interface                          // 各接口的 circuit-level 与开销
display isis brief                              // 进程信息（NET、Level、度量类型）

示意图

flowchart LR
    subgraph L1AREA["Level-1 区域 49.0001"]
        R1["R1 L1 路由器"]
        R2["R2 L1-2 路由器"]
    end
    subgraph L2BONE["Level-2 骨干"]
        R3["R3 L2 路由器"]
        R4["R4 L2 路由器"]
    end
    R1 ---|"L1 邻接"| R2
    R2 ---|"L2 邻接"| R3
    R3 ---|"L2 邻接"| R4
    R2 -.->|"ATT 位置位 向L1下发默认路由"| R1

flowchart TD
    A["IS-IS 路由器类型"] --> B["Level-1 只维护L1 LSDB"]
    A --> C["Level-2 只维护L2 LSDB"]
    A --> D["Level-1-2 同时维护两套LSDB"]
    B --> E["通过ATT位学默认路由出区域"]
    C --> F["参与骨干与外部引入"]
    D --> G["置ATT位 连接L1与L2"]
    G --> H["L1路由默认不进L2 需route leak"]

flowchart TB
    subgraph OSPFM["OSPF 区域边界在路由器上"]
        A1["Area 0"] --- ABR["ABR 同时属于多区域"]
        ABR --- A2["Area 1"]
    end
    subgraph ISIS["IS-IS 区域边界在链路上"]
        I1["L1 区域整机"] --- I2["L1-2 路由器整机属于一个区域"]
        I2 --- I3["L2 骨干"]
    end

真题精练

Q1.【真题·单选】 IS-IS 与 OSPF 在区域划分上最根本的差异是？

A. IS-IS 只有两个区域，OSPF 可以有多个区域 B. IS-IS 的区域边界在链路上（一台路由器整机属于一个区域），OSPF 的区域边界在路由器上（ABR 可属于多个区域） C. IS-IS 的区域必须连续，OSPF 的区域可以任意划分 D. IS-IS 的区域用 IP 地址标识，OSPF 用 Area ID 标识

答案：B 解析：这是 IS-IS 与 OSPF 最关键的区别。IS-IS 的一台路由器整机只属于一个区域（由 NET 中的 Area ID 决定），层次靠 Level（L1/L2） 区分，而 Level 是接口（链路）的属性；OSPF 的一台 ABR 可以同时属于多个区域（每个接口属于一个区域），维护多套 LSDB。A、C、D 均不正确。

Q2.【真题·多选】 下列属于 IS-IS PDU 的有？（多选）

A. L1 LAN IIH B. CSNP C. PSNP D. LSP E. DD 报文

答案：ABCD 解析：IS-IS 的 PDU 包括三种 IIH（L1 LAN IIH、L2 LAN IIH、P2P IIH）、两种 LSP（L1/L2）、四种 SNP（L1/L2 的 CSNP 与 PSNP）。E（DD 报文）是 OSPF 的报文类型（Database Description），IS-IS 中没有 DD，其功能由 CSNP 承担。

Q3.【真题·填空】 IS-IS 的默认度量在窄度量模式下长度为 ________ bit，最大值为 ________；在宽度量模式下长度为 ________ bit（实际有效 31 bit），最大值为 ________；现网中必须使用宽度量的原因是 ________。

答案：6；63；32；16777214；6 bit 窄度量最大值仅 63，无法表达高速链路代价，也无法承载 TE/SR 所需的扩展信息（依赖 TLV 22 的 24/32 bit 度量字段） 解析：这是 IS-IS 度量的核心考点。补充：改变度量类型使用 cost-style wide（也可 cost-style wide compatible 兼容模式），必须全网一致。

Q4.【真题·判断】 IS-IS 中 Level-1-2 路由器会把自己从 Level-1 区域学到的路由自动发布到 Level-2 骨干区域，与 OSPF 的 ABR 行为一致。

答案：错误 解析：IS-IS 中 L1 路由默认不会自动进入 L2 骨干（这是与 OSPF ABR 行为的重要差异）。OSPF 的 ABR 会主动把区域内的 Type1/Type2 汇总为 Type3 通告到骨干；而 IS-IS 的 L1-2 路由器默认只把 L1 的 ATT 位（下发默认路由）用于"L1 出区域"，并不把 L1 明细泄露到 L2。若确实需要把 L1 明细发布到 L2，必须显式配置 route leak（路由泄露）（华为命令：import-route isis level-1 into level-2 或 isis 1 → import-route isis level-1 into level-2）。同样，L2 明细默认也不进 L1（需要 import-route isis level-2 into level-1）。这一机制的存在是为了避免 L1 区域的明细路由污染骨干的 LSDB，保持骨干的稳定与轻量。

Q5.【真题·多选】 下列关于 IS-IS 与 OSPF 度量方式的比较，正确的有？（多选）

A. OSPF 的开销由参考带宽与接口带宽计算得到，默认参考带宽 100 Mbit/s B. IS-IS 协议定义了默认度量、延迟度量、开销度量、差错度量四种，但实际只使用默认度量 C. IS-IS 的窄度量最大值 63，宽度量最大值 16777214 D. OSPF 的开销字段长度与 IS-IS 宽度量相同，都是 32 bit

答案：ABC 解析：A、B、C 正确。D 错：OSPF 的开销字段是 16 bit（范围 1~65535），而 IS-IS 宽度量是 32 bit（有效 31 bit，最大 16777214），两者长度不同。

Q6.【真题·简答】 请从"协议承载层次"和"扩展机制"两个角度，解释为什么 IS-IS 比 OSPF 更容易支持新特性（如 SR、多拓扑）。

答案：从承载层次看：IS-IS 直接封装在数据链路层之上（以太网 Ethertype 0xFEFE），PDU 中不包含 IP 头，因此：① IS-IS 不需要关心网络层跑的是 IPv4、IPv6 还是 CLNP，协议本身与网络层解耦——加一种新协议只需新增一组 TLV；② IS-IS 报文不受 IP 层机制（IP 头选项、IP 分片、IP ACL）的影响，行为稳定可预测；③ 在只跑 MPLS 转发的骨干中，IS-IS 不需要为自身报文规划 IP 可达性，部署更简单。从扩展机制看：IS-IS 的 LSP 本质是 TLV 容器，"携带什么信息"完全由 TLV 类型决定：① 新增功能 = 新增 TLV 类型，不识别的 TLV 被忽略而不报错，因此新老设备可以混跑，协议演进天然向后兼容（这是 SR、Flex-Algo、MT 等特性能够平滑引入的根本原因——例如 SR 只需新增 SR-Capabilities TLV 242、SID/Label Binding TLV 149 等）；② 一个 LSP 内可以同时容纳 IPv4 TLV（128/130/132）、IPv6 TLV（232/236）、MT TLV（229/222/235/237）、TE TLV（22/134/135），多种信息共存互不干扰，因此"单进程双栈""多拓扑"都是自然的扩展而不是重构。而 OSPF：链路状态信息由固定格式的 LSA 类型表达（Type1 的字段是固定的：链路类型、链路 ID、链路数据、度量），IPv6 与 SR 需要的信息无法塞进原有字段，只能新增 LSA 类型（OSPFv3 的 Type8/Type9、OSPF 的 Opaque LSA Type9/10/11），改动面大、兼容性处理复杂，这也是 OSPF 必须分 v2/v3 的根本原因。

易错点与排错

display isis peer                              // 邻居与 Level
display isis lsdb level-1 / level-2            // 分别查看两套 LSDB
display isis route level-1 / level-2           // 分别查看 L1/L2 路由
display isis interface                         // circuit-level 与 cost
display isis brief                             // 进程与度量类型

2.3 IS-IS 层次化结构详解

考点定位

层次化结构是理解 IS-IS 全部特性（ATT 位、路由泄露、防环）的基础，国赛常以单选、多选、简答形式考查。高频问法：L1、L2、L1-2 各自的邻接与 LSDB 行为、L1 路由如何出区域、骨干区域必须连续吗、L1-2 路由器如何避免成为单点。核心陷阱：认为 L1-2 会转发 L1 到 L2 的明细路由（实际默认只下发默认路由）。

原理精讲

IS-IS 的两个层次：

• Level-1（L1）：区域内路由。L1 路由器只与本区域（Area ID 相同）内的 L1 邻居建立 L1 邻接，只维护 L1 LSDB。L1 LSDB 里只有本区域的拓扑与路由信息。
• Level-2（L2）：区域间/骨干路由。L2 路由器与 L2 邻居建立 L2 邻接，维护 L2 LSDB。L2 LSDB 里包含所有 L2 路由器（可能来自不同区域）的 LSP。
• Level-1-2（L1-2）：同时运行 L1 与 L2，同时维护两套独立的 LSDB，并在不同接口上分别建立 L1 或 L2 邻接（同一接口上也可以同时建立 L1 与 L2 邻接——此时该接口的 circuit-level 为 level-1-2，会在一条链路上同时发出 L1 与 L2 的 IIH）。

L1 路由器如何访问区域外？——ATT 位与默认路由

这是 IS-IS 最精巧的设计之一：

1. L1-2 路由器在与 L1 区域相连的接口上，向 L1 邻居发送的 L1 LSP 中把 ATT 位（Attached bit，连接位）置 1。ATT 位的含义是"我（这台 L1-2 路由器）连接着 L2 骨干"。
2. L1 路由器在 L1 LSDB 中发现带有 ATT 位置 1 的 LSP 时，会生成一条指向该 L1-2 路由器的默认路由（0.0.0.0/0），下一跳是该 L1-2 路由器的 System ID。这条默认路由的度量取决于实现：华为设备上默认路由的开销通常取"到该 L1-2 路由器的最短路径开销"或"固定值"，具体以设备实现为准。
3. L1 路由器因此不需要知道区域外的任何明细路由，只要有默认路由就能把出区域的流量交给最近的 L1-2 路由器。这是 IS-IS 版的"末梢区域"思想，但它是默认行为而不是需要配置的特殊区域。

多台 L1-2 路由器时的选路：若一个 L1 区域连接了多台 L1-2 路由器，L1 路由器会比较"到各 L1-2 路由器的开销"（注意：不是比较默认路由的度量，而是比较到 ATT 位置位的路由器的距离），选择最近的 L1-2 路由器。若不希望某台 L1-2 被优选，可以调整接口开销，或用 attached-bit avoid-learning 等命令干预。

L1-2 路由器的 ATT 位控制命令：华为设备上可配置 set-attached-bit（强制置位）或 set-attached-bit avoid 等（具体命令随版本），也可通过 attached-bit advertise 控制是否发布 ATT 位。

L1 路由如何进入 L2？——路由泄露（Route Leak）

默认行为：L1-2 路由器不会把 L1 区域内的明细路由发布到 L2 骨干（只通过 ATT 位让 L1 用默认路由出区域）。这是有意为之的设计：

• 好处：L2 骨干的 LSDB 保持轻量（只含 L2 信息与必要的汇总），L1 区域的拓扑变化不会引起骨干的 SPF 重算；
• 代价：L2 中的路由器无法知道 L1 区域的明细路由，因此从 L2 侧（或其他 L1 区域）访问某个 L1 区域内的明细网段时，只能依赖"最接近的 L1-2 路由器"转发，容易造成次优路径（详见 2.9 节路由泄露）。

当需要把 L1 明细发布到 L2 时，必须显式配置路由泄露：

isis 1
 import-route isis level-1 into level-2        // 把 L1 路由泄露到 L2
 filter-policy ip-prefix xxx export            // 通常配合过滤，只泄露必要的前缀

同理，L2 明细默认也不进 L1（因为 L1 用默认路由就够），需要时配置：

isis 1
 import-route isis level-2 into level-1        // 把 L2 路由泄露到 L1（谨慎，会破坏 L1 的"末端"特性）

路由泄露必须配合过滤：否则会把大量明细灌入另一层，失去层次化的意义，且可能引起环路与次优（见 2.9 节的 up/down 位与防环）。

骨干的连续性与 L1/L2 的关系：

• L2 骨干必须连续（与 OSPF 的 Area 0 要求类似），因为 L2 承担区域间的路由中转；
• L1 区域之间必须通过 L2 骨干互访（不能直接互访），这与 OSPF 的"非骨干区域必须经骨干绕行"思想一致；
• L1 区域可以有多台 L1-2 路由器，形成冗余出口（对比 OSPF 的多 ABR）；
• L1-2 路由器如果只有一台，就是单点故障；因此生产环境通常部署两台以上，并通过调整度量实现主备或负载。

L1/L2 与 OSPF 的对应关系（要能说清"像但不一样"）：

IS-IS 的一条重要规则：L2 LSDB 中的 LSP 的 Area ID 不参与 L2 的 SPF 计算。也就是说，L2 骨干中的路由器可以属于不同的区域 ID（例如 R3 的 NET 是 49.0002.xxx，R4 的 NET 是 49.0003.xxx），但它们仍然可以建立 L2 邻接并正常计算路由——因为 L2 是基于"Level"而不是"Area ID"来匹配邻居的。这一点与 OSPF 完全不同（OSPF 中同一区域的路由器必须 Area ID 相同）。注意：L1 邻接必须 Area ID 相同（L1 是按区域匹配的）。

关键概念对照表

表 2-3-1 L1 / L2 / L1-2 行为对照（必背）

表 2-3-2 L1 路由泄露到 L2 的命令与效果

表 2-3-3 IS-IS 层次与 OSPF 层次的"同名不同义"提示

华为设备配置

# ============ 场景一：L1 区域 + L2 骨干，验证 ATT 位与默认路由 ============
# R1（L1）、R2（L1-2）、R3（L2）

# --- R2（L1-2，边界路由器）---
system-view
sysname R2
isis 1
 is-level level-1-2                            // 整机 L1-2
 network-entity 49.0001.0000.0000.0002.00      // Area ID 49.0001（L1 侧区域）
 cost-style wide
 # --- 控制 ATT 位发布（可选）---
 attached-bit advertise                        // 允许发布 ATT 位（默认允许）
 # attached-bit avoid-learning                 // 若作为 L1 侧时避免学习到 ATT 默认路由（视版本）
 quit
interface GigabitEthernet0/0/0                  // 面向 R1（L1 区域）
 ip address 10.0.12.2 255.255.255.0
 isis enable 1
 isis circuit-level level-1                     // 只建 L1 邻接
 quit
interface GigabitEthernet0/0/1                  // 面向 R3（L2 骨干）
 ip address 10.0.23.2 255.255.255.0
 isis enable 1
 isis circuit-level level-2                     // 只建 L2 邻接
 quit

# --- R1（L1 路由器）验证默认路由 ---
display isis lsdb level-1 verbose               // 查看 ATT 位（Attached 字段为 1）
display isis route                              // 应看到 0.0.0.0/0 的默认路由指向 R2
display isis route verbose                      // 查看默认路由的来源与度量

# ============ 场景二：路由泄露（L1 明细发布到 L2） ============
# 需求：L2 骨干需要知道 L1 区域内的 10.1.0.0/16 汇总

# --- R2（L1-2）上配置泄露 + 过滤 ---
system-view
ip ip-prefix LEAK_L1 index 10 permit 10.1.0.0 16      // 只允许泄露汇总网段
ip ip-prefix LEAK_L1 index 20 deny 0.0.0.0 0 less-equal 32 // 其余不泄露
isis 1
 import-route isis level-1 into level-2                // 关键：把 L1 路由泄露到 L2
 filter-policy ip-prefix LEAK_L1 export                 // 泄露时过滤，避免明细灌入骨干
 quit

# --- 验证泄露结果 ---
display isis lsdb level-2 verbose                // 在 R3 上查看是否出现 10.1.0.0/16
display isis route                               // R3 的路由表应能看到 L1 网段
display ip ip-prefix LEAK_L1                      // 确认过滤策略内容

# ============ 场景三：L2 明细泄露到 L1（谨慎使用） ============
isis 1
 import-route isis level-2 into level-1         // 把 L2 路由发布到 L1
 filter-policy ip-prefix LEAK_L2 export          // 务必过滤，否则 L1 失去末端特性
 quit

示意图

flowchart LR
    subgraph L1A["L1 区域 49.0001"]
        R1["R1 L1"]
        R2["R2 L1-2"]
    end
    subgraph L2A["L2 骨干"]
        R3["R3 L2"]
        R4["R4 L2"]
    end
    R1 ---|"L1 邻接"| R2
    R2 ---|"L2 邻接"| R3
    R3 ---|"L2 邻接"| R4
    R2 -.->|"ATT位为1 向L1通告"| R1
    R1 -.->|"学到默认路由 0.0.0.0/0"| R2

flowchart TD
    A["L1 路由器需要访问区域外"] --> B["L1 LSDB 中发现 ATT位为1 的LSP"]
    B --> C["生成默认路由指向该 L1-2 路由器"]
    C --> D["流量交给最近的 L1-2"]
    D --> E{"L2 是否有 L1 的明细路由"}
    E -->|"默认没有"| F["可能次优 需 route leak"]
    E -->|"配置了 route leak"| G["L2 可见明细 选路更优"]

sequenceDiagram
    participant R1 as R1 L1路由器
    participant R2 as R2 L1-2路由器
    participant R3 as R3 L2路由器
    R1->>R2: L1 LAN IIH 建立L1邻接
    R2->>R1: L1 LSP 携带 ATT位等于1
    R1->>R1: 发现ATT位 生成默认路由指向R2
    R2->>R3: L2 LAN IIH 建立L2邻接
    R2->>R3: L2 LSP 仅含L2信息
    Note over R2: 默认不泄露L1明细
    R2->>R3: 配置route leak后 TLV128携带L1汇总
    Note over R3: L2 LSDB 出现L1网段

真题精练

Q1.【真题·单选】 IS-IS 的 Level-1 路由器如何获得到达其他区域的路由？

A. 通过 L1-2 路由器通告的 Type3 等价路由 B. 通过 L1-2 路由器在 L1 LSP 中设置的 ATT 位，学习到一条默认路由 C. 通过手工配置静态路由 D. 通过 L1 LSDB 中的跨区域 TLV

答案：B 解析：IS-IS 中 L1 路由器出区域靠的是 ATT 位（Attached bit）：L1-2 路由器在与 L1 区域相连的接口发出的 L1 LSP 中把 ATT 位置 1，L1 路由器据此生成一条指向该 L1-2 路由器的默认路由。A 是 OSPF 的机制（IS-IS 没有"Type3 等价物"在 L1 中自动出现，只有 route leak 才能带来明细）。C、D 不是标准机制。

Q2.【真题·多选】 关于 IS-IS 的路由泄露（Route Leak），下列说法正确的有？（多选）

A. 默认情况下 L1 区域的路由不会发布到 L2 骨干 B. 配置 import-route isis level-1 into level-2 可以把 L1 路由泄露到 L2 C. 路由泄露应配合 filter-policy export 只泄露必要的前缀或汇总路由 D. 路由泄露的目的是让 L1 路由器不再需要默认路由

答案：ABC 解析：A 是默认行为（IS-IS 有意保持 L2 骨干轻量）；B 是泄露命令；C 是必须的配套措施（否则 LSDB 膨胀、失去层次化意义）。D 错：路由泄露的目的是让 L2 侧（或其他区域）能看到 L1 的明细，从而避免次优路径；L1 路由器仍然依赖 ATT 位学到的默认路由出区域，泄露不会取消默认路由机制。

Q3.【真题·判断】 IS-IS 的 Level-2 邻接要求两端路由器的 Area ID 必须相同，否则无法建立邻接。

答案：错误 解析：L2 邻接不要求 Area ID 相同。L2 骨干中的路由器可以属于不同的区域（NET 中的 Area ID 不同），仍然能建立 L2 邻接并正常计算路由——因为 L2 是基于 Level 匹配邻居的，Area ID 不参与 L2 的 SPF 计算。相反，L1 邻接必须 Area ID 相同（L1 是按区域匹配的）。这是 IS-IS 与 OSPF 的重要差异之一。

Q4.【真题·填空】 IS-IS 中一台路由器整机属于一个区域，该区域由 ________ 中的 ________ 部分决定；连接 L1 区域与 L2 骨干的路由器称为 ________ 路由器，它在 L1 LSP 中设置 ________ 位，使 L1 路由器学到一条 ________ 路由。

答案：NET（网络实体名称）；Area ID（区域标识）；Level-1-2；ATT（Attached bit，连接位）；默认（0.0.0.0/0） 解析：这几个空串起了 IS-IS 层次化的核心逻辑。注意 NET 的结构详见 2.4 节。

Q5.【真题·简答】 请说明"IS-IS 默认不把 L1 路由发布到 L2"这一设计的好处与代价，以及在什么场景下必须配置路由泄露。

答案：设计的好处：① 保持 L2 骨干的 LSDB 轻量与稳定：L2 骨干只承载骨干拓扑与必要信息，L1 区域内部的网段变化、链路抖动不会引起骨干的 SPF 重算，这对大型网络的稳定性极其重要；② 降低 L2 路由器的内存与 CPU 压力（LSDB 小、SPF 范围小）；③ 逻辑分层清晰：L1 区域的"内部事务"不外泄，L2 只负责"区域间中转"。设计的代价：① L2 侧（或其他 L1 区域）看不到 L1 的明细路由，因此从外部访问 L1 区域内的具体网段时，只能依赖"最靠近目的 L1-2 路由器"转发，可能造成次优路径（例如 L2 上的流量先走到离自己近的 L1-2 路由器，再穿回 L2 到另一个 L1-2 路由器，最后才进 L1 区域）；② 多 L1-2 场景下的出口选择可能不够精细。必须配置路由泄露的场景：① 多归属（multi-homing）的 L1 区域：同一 L1 区域通过两台 L1-2 路由器连接到 L2，且 L2 侧需要按明细前缀选择最佳的入口（例如不同前缀通过不同的 L1-2 进入）；② L1 区域内部存在需要被骨干精确寻址的关键网段（如服务器网段、环回口地址），希望骨干按最优路径直达；③ MPLS/SR 场景：需要为 L1 区域内的节点发布 SID/Label 或 TE 信息，必须把相关前缀泄露到 L2；④ 跨区域的策略路由/流量工程需求。注意：泄露时必须用 filter-policy export（或 route-policy）限制范围，通常只泄露汇总路由或少数关键前缀，绝不能把 L1 全部明细灌入 L2，否则既失去分层意义，又可能引入次优与环路风险。

Q6.【真题·排错】 某 IS-IS 网络中，L1 区域内的 R1 无法访问 L2 骨干中的环回口地址。请给出排查思路。

答案： ① 检查 L1-2 路由器是否存在且邻接正常：在 L1 区域内的路由器上 display isis peer，确认能看到与 L1-2 路由器的 L1 邻接状态 Up。若没有 L1 邻接，说明区域 ID 不匹配（L1 要求 Area ID 相同）或接口未使能 IS-IS。 ② 检查 ATT 位是否置位：在 R1 上 display isis lsdb level-1 verbose，查找 L1-2 路由器产生的 LSP 的 ATT 位是否为 1。若为 0（可能被 attached-bit 相关命令关闭，或该 L1-2 路由器实际没有 L2 邻接），则 R1 学不到默认路由。 ③ 检查 R1 是否有默认路由：display isis route 与 display ip routing-table 确认是否存在指向 L1-2 路由器的 0.0.0.0/0。若没有，问题就在 ATT 位或 L1-2 的 L2 侧邻接。 ④ 检查 L1-2 路由器的 L2 侧邻接：在 R2 上 display isis peer 确认 L2 邻接 Up；若 L2 侧断了，某些实现会停止发布 ATT 位（否则会造成黑洞）。 ⑤ 检查 L2 骨干是否有到目的的路由：在 L2 路由器上 display isis route 确认目的环回口已发布（通常需在环回口上 isis enable，且该地址是 L2 路由器的接口地址）。 ⑥ 检查路由泄露与过滤：若 R1 需要访问的是其他 L1 区域的明细而非骨干地址，则需要检查 L1-2 上是否配置了 import-route isis level-1 into level-2 与相应的 filter-policy。 ⑦ 检查是否有过滤策略误伤：display ip ip-prefix、display route-policy、接口上的 isis filter-policy。 ⑧ 检查 error 计数：display isis error 查看是否有认证失败、Level 不匹配等。

易错点与排错

display isis peer                              // 邻居 Level 与状态
display isis lsdb level-1 verbose              // 查看 ATT 位
display isis lsdb level-2 verbose              // L2 LSDB（看泄露结果）
display isis route                             // IS-IS 路由（含默认路由）
display isis route verbose                     // 路由详细信息（来源、度量）
display isis interface                         // circuit-level
display isis error                             // 错误计数
display ip ip-prefix <名>                       // 泄露过滤策略

2.4 NSAP 与 NET 地址详解

考点定位

NET 地址是 IS-IS 配置的"第一道门槛"，国赛常以填空、判断、配置题形式考查：NET 各字段的长度、System ID 的长度与要求、NSEL 必须是什么值、一台路由器最多能配几个 NET。分值中等但极其容易丢分（多一位少一位就全错）。

原理精讲

NSAP（Network Service Access Point，网络服务访问点） 是 OSI 体系中的网络层地址，地位相当于 IP 网络中的"IP 地址"（更准确地说，相当于"IP 地址 + 端口"的组合，因为 NSAP 包含了标识服务的部分）。

NSAP 的结构（两大部分）：

NSAP = IDP + DSP
       ├─ IDP（Initial Domain Part，初始域部分）
       │    ├─ AFI（Authority and Format Identifier，授权与格式标识）1 字节
       │    └─ IDI（Initial Domain Identifier，初始域标识）可变长度
       └─ DSP（Domain Specific Part，域特定部分）
            ├─ HODSP（High Order DSP，高位域特定部分）可变长度，用于划分区域
            ├─ System ID（系统标识）6 字节
            └─ NSEL（NSAP Selector，NSAP 选择符）1 字节

各字段详解：

1. AFI（1 字节，2 位十六进制数）：标识地址的授权机构与格式。IS-IS 中常用 49（本地管理，相当于"私有地址"，无需向国际机构申请，非常适合实验与企业自用）。其他常见值：47 表示该地址来自 ISO 分配（47.0005 等）。AFI 为 49 时，IDI 长度为 0（即 49 后面直接是区域部分），这是最常见的配置形式。
2. IDI：初始域标识，AFI = 49 时不存在。
3. HODSP（区域部分）：用于标识 IS-IS 的区域。长度可变（1~12 字节不等，通常为 2 字节或更多）。在 NET 中称为 Area ID。例如 49.0001 中，0001 就是 Area ID（2 字节）。它可以更长，如 49.0001.0002（此时区分为 0001.0002）。
4. System ID（6 字节，12 位十六进制数）：唯一标识一台 IS-IS 路由器。必须全网唯一！通常从接口 IP 或环回口 IP 转换而来（例如 10.0.0.1 → 0100.0000.0001）或者手工规划。格式要求：必须是 6 字节，写成 XXXX.XXXX.XXXX 的形式（每 2 字节一个点分隔），例如 0000.0000.0001。
5. NSEL（1 字节）：NSAP 选择符，相当于"端口/服务标识"。在 IS-IS 的 NET 中，NSEL 必须为 00（表示"这是一个路由器本身，而不是某个上层服务"）。这是高频考点：NET 的结尾必须是 .00。

NET（Network Entity Title，网络实体名称）：当 NSAP 的 NSEL = 00 时，这个 NSAP 就称为 NET。也就是说：

NET = NSAP（当 NSEL = 00 时）

为什么 IS-IS 需要 NET 而不是普通的 IP 地址？ 因为 IS-IS 是从 OSI 世界来的协议，它需要一个"OSI 网络层地址"来标识自己并参与 SPF 计算。NET 就承担了"Router ID + Area ID"的双重角色：Area ID 决定所属区域，System ID 唯一标识路由器。即使在纯 IP 环境中，IS-IS 也必须配置 NET 才能启动。

NET 的构成规则（考试必背）：

• 最少 8 字节，最多 20 字节（NSAP 总长度范围）。典型配置为 10 字节：49.0001.0000.0000.0001.00（1 字节 AFI + 2 字节 Area ID + 6 字节 System ID + 1 字节 NSEL = 10 字节）；
• Area ID 长度可变（1~13 字节减去 System ID 与 NSEL 的 7 字节），只要同一区域内所有路由器的 Area ID 部分完全一致即可；
• System ID 固定 6 字节；
• NSEL 固定 1 字节，且必须为 00；
• 书写格式：每 2 个十六进制字符为一"字节组"，用点分分隔，例如 49.0001.0000.0000.0001.00。也可以写成不带点的形式（如 49000100000000000100），但华为设备推荐点分形式以增强可读性。

NET 配置举例与解析：

network-entity 49.0001.0000.0000.0001.00

一台路由器可以配置多个 NET 吗？ 可以！ IS-IS 允许一台路由器配置最多 3 个 NET，用途是区域迁移（平滑割接）：例如把路由器从区域 49.0001 迁移到 49.0002 时，可以临时同时配置两个 NET，使它在过渡期间同时被两个区域接受，等所有设备迁移完成后再删除旧 NET。注意：多 NET 时，所有 NET 的 System ID 必须相同（因为是同一台路由器），只有 Area ID 可以不同。

System ID 的常见生成方式：

1. 从环回口 IP 转换：10.0.0.1 → 0100.0000.0001（把点去掉，补足 12 位十六进制数）。这是最常用的方法，能保证唯一性且易读。
2. 从接口 IP 转换：同理，但接口 IP 变化时 System ID 也需变化，不推荐。
3. 手工规划：按设备编号规划（如 0000.0000.0001、0000.0000.0002）。

华为设备上配置 NET 的命令与注意事项：

isis 1
 network-entity 49.0001.0000.0000.0001.00      // 配置 NET

• 修改 NET 需要重启 IS-IS 进程（或删除后重新配置）才能生效；
• 同一区域内的 NET，其 Area ID 部分必须完全一致，否则无法建立 L1 邻接（会报 "Area mismatch" 类错误）；
• System ID 冲突会导致严重的 LSDB 混乱（两台路由器互相认为对方是自己），必须避免；
• NSEL 必须为 00，若配成其他值，设备会报错或无法启动 IS-IS。

NET 与 Router ID 的类比：

关键概念对照表

表 2-4-1 NET 各字段详解（必背）

表 2-4-2 NET 配置示例解析

表 2-4-3 多 NET 的使用场景

表 2-4-4 System ID 常见生成方式

华为设备配置

# ============ 场景一：使用 NET 中的 System ID 由环回口 IP 转换 ============
# 环回口 IP 10.0.0.1 → System ID 0100.0000.0001
system-view
sysname R1
interface LoopBack0
 ip address 10.0.0.1 255.255.255.255
 quit
isis 1
 is-level level-2
 network-entity 49.0001.0100.0000.0001.00     // AFI 49 + Area 0001 + SystemID（由10.0.0.1转换）+ NSEL 00
 cost-style wide
 quit

# ============ 场景二：平滑区域迁移（配置两个 NET） ============
# 把 R2 从区域 49.0001 迁移到 49.0002
system-view
sysname R2
isis 1
 network-entity 49.0001.0000.0000.0002.00     // 旧区域的 NET（迁移期间保留）
 network-entity 49.0002.0000.0000.0002.00     // 新区域的 NET（System ID 必须与旧 NET 相同！）
 cost-style wide
 quit
# 迁移完成后删除旧 NET：
isis 1
 undo network-entity 49.0001.0000.0000.0002.00 // 删除旧 NET
 quit

# ============ 场景三：错误配置示例（考试常考） ============
# 错误1：NSEL 不为 00
# network-entity 49.0001.0000.0000.0001.01     // 错误！NSEL 必须为 00
# 错误2：System ID 长度不对（应为 6 字节 = 12 位十六进制数）
# network-entity 49.0001.0000.0001.00          // 错误！System ID 只有 4 字节
# 错误3：同区域 Area ID 不一致
# R3 配成 49.0002.xxxx 而 R1/R2 是 49.0001.xxxx  → L1 邻接无法建立

# ============ 验证命令 ============
display isis brief                              // 查看 NET、System ID、Level、度量类型
display isis lsdb                               // LSDB（LSP ID 由 System ID + 伪节点 + 分片号组成）
display isis peer                               // 邻居（含 System ID 与 Level）
display isis interface                          // 接口参数
display isis error                              // 区域不匹配等错误

示意图

flowchart LR
    subgraph NSAP["NSAP 结构"]
        IDP["IDP 初始域部分"]
        DSP["DSP 域特定部分"]
    end
    IDP --> AFI["AFI 1字节 如 49"]
    IDP --> IDI["IDI 可变 AFI49时为空"]
    DSP --> HODSP["HODSP 即 Area ID 可变长"]
    DSP --> SYSID["System ID 6字节 全网唯一"]
    DSP --> NSEL["NSEL 1字节 必须为00"]
    HODSP --> NET["NET 等于 NSEL为00 的 NSAP"]
    SYSID --> NET
    NSEL --> NET

flowchart TD
    A["配置 NET 49.0001.0000.0000.0001.00"] --> B["解析 AFI 等于49 本地管理"]
    B --> C["Area ID 等于 0001 决定L1区域"]
    C --> D["System ID 等于 0000.0000.0001 唯一标识路由器"]
    D --> E["NSEL 等于 00 表示NET"]
    E --> F["IS-IS 进程启动 生成 LSP ID"]
    F --> G["LSP ID 等于 SystemID 加 伪节点标识 加 分片号"]

flowchart LR
    R1["R1 NET 49.0001.0000.0000.0001.00"] ---|"L1 邻接 AreaID相同"| R2["R2 NET 49.0001.0000.0000.0002.00"]
    R2 ---|"L2 邻接 AreaID可不同"| R3["R3 NET 49.0002.0000.0000.0003.00"]
    R1 -.->|"AreaID 0001"| A1["区域 49.0001"]
    R2 -.->|"AreaID 0001"| A1
    R3 -.->|"AreaID 0002 仅用于L2"| A2["区域 49.0002"]

真题精练

Q1.【真题·单选】 下列 NET 配置中，语法正确的是？

A. 49.0001.0000.0000.0001.01 B. 49.0001.0000.0000.0001.00 C. 49.0001.0000.0001.00 D. 49.0001.0000.0000.0001

答案：B 解析：A 的 NSEL 是 01，NSEL 必须为 00；C 的 System ID 只有 4 字节（应为 6 字节）；D 缺少 NSEL（NET 必须包含 1 字节 NSEL）。只有 B 完全符合：AFI(49) + Area ID(0001) + System ID(0000.0000.0001) + NSEL(00)。

Q2.【真题·填空】 在 NET 49.0001.0000.0000.0001.00 中，AFI 为 ________，Area ID 为 ________，System ID 为 ________（长度 ________ 字节），NSEL 为 ________（必须为 ________）。NET 的总长度为 ________ 字节。

答案：49；0001；0000.0000.0001；6；00；00；10 解析：逐字段拆解是必考的基本功。补充：NSAP 的总长度范围是 8~20 字节，其中最典型的配置是 10 字节。

Q3.【真题·判断】 一台 IS-IS 路由器只能配置一个 NET，配置多个会导致进程无法启动。

答案：错误 解析：IS-IS 允许一台路由器配置最多 3 个 NET，常用于区域迁移（平滑割接）。注意：多个 NET 的 System ID 必须相同（因为是同一台路由器），只有 Area ID 可以不同。

Q4.【真题·多选】 关于 IS-IS 的 System ID，下列说法正确的有？（多选）

A. 长度为 6 字节 B. 全网必须唯一 C. 通常由环回口 IP 地址转换而来 D. 可以与另一台路由器的 System ID 相同，只要它们的 Area ID 不同

答案：ABC 解析：A、B、C 正确。D 错：System ID 必须全网唯一，与 Area ID 无关——即使在不同的区域，System ID 冲突也会导致严重的 LSDB 混乱（LSP ID 无法区分，两台路由器互相覆盖对方的 LSP）。

Q5.【真题·简答】 请说明 NET 与 OSPF 的 Router ID + Area ID 之间的对应关系，并解释"为什么 IS-IS 必须配置 NET 才能启动"。

答案：对应关系： | NET 字段 | OSPF 对应 | 作用 | |---|---|---| | Area ID（HODSP） | Area ID | 标识所属区域（决定 L1 邻接的匹配） | | System ID（6 字节） | Router ID（32 bit） | 唯一标识路由器，用于 LSP ID 与 SPF 计算 | | NSEL（必须 00） | 无对应 | 标识"这是路由器本身"，而不是某个上层服务 | 为什么必须配置 NET：IS-IS 是源自 OSI 世界的协议，它使用 NSAP（OSI 网络层地址） 来标识网络实体，而不是 IP 地址。IS-IS 的 LSP 用 LSP ID 标识（LSP ID = System ID + 伪节点标识 + 分片号），SPF 计算也基于 System ID。因此在纯 IP 环境中运行时，IS-IS 仍需要一个"OSI 地址身份"来生成 LSP ID、参与 SPF、建立邻接，这个身份就是 NET。没有 NET，IS-IS 进程无法确定自己的 LSP ID，也就无法生成 LSP、无法建立有意义的邻接，所以设备会拒绝启动 IS-IS（华为设备上未配置 NET 时 IS-IS 进程不可用）。这是 IS-IS 从 OSI 继承下来、无法去除的"历史包袱"，也是它与 OSPF（直接用 IP 地址作 Router ID）在配置上的第一大差异。

Q6.【真题·排错】 某工程师把 R3 的 NET 配置为 49.0002.0000.0000.0003.00，而同一区域内的 R1、R2 配置的是 49.0001.xxxx.xxxx.xxxx.00。R3 与 R2 之间无法建立 L1 邻接，但 R3 与 L2 骨干中的 R4（NET 为 49.0002.0000.0000.0004.00）能建立 L2 邻接。请解释原因。

答案：原因：IS-IS 的 L1 邻接要求两端 Area ID 相同。R1、R2 的 Area ID 是 0001（即区域 49.0001），而 R3 的 Area ID 是 0002（区域 49.0002），因此 R2 与 R3 之间不能建立 L1 邻接（会报 Area mismatch 类错误）。而 L2 邻接不要求 Area ID 相同——L2 是基于 Level 匹配邻居的，Area ID 不参与 L2 的 SPF 计算，因此 R3 与 R4（虽然 Area ID 是 0002，与 R2 不同）可以正常建立 L2 邻接。这个现象说明：① L1 是"区域内部"概念，必须严格同区域；② L2 是"骨干"概念，跨区域存在，因此不检查 Area ID。修正方案：若 R3 本应属于区域 49.0001，则把 NET 改为 49.0001.0000.0000.0003.00（注意 System ID 保持不变）；若 R3 确实属于新区域 49.0002，则需确认网络设计意图（是否在做区域迁移）。排查命令：display isis peer（看邻居 Level）、display isis error（看区域不匹配计数）、display isis brief（核对 NET）。

易错点与排错

display isis brief                             // NET、System ID、Level
display isis peer verbose                      // 邻居详情（Area、System ID）
display isis lsdb                              // LSP ID 结构（System ID + 伪节点 + 分片）
display isis error                             // 区域不匹配等错误
display current-configuration configuration isis // 核对 NET 配置

2.5 IS-IS 的 PDU 类型、邻接建立与 LSDB 同步

考点定位

本节是国赛的时序与流程题主战场：要求画出/描述 IS-IS 邻接建立与 LSDB 同步的过程，判断某个 PDU 的作用，或定位"邻接建立了但 LSDB 不同步"的故障。高频考点：三种 IIH 的区分、P2P 三次握手、CSNP/PSNP 的作用、广播网络由 DIS 发 CSNP、P2P 由两端各发一次。

原理精讲

一、IS-IS 的 9 种 PDU（按 Level 与网络类型细分）

二、三种 IIH 的区别（高频考点）

关键点：LAN IIH（L1/L2）中包含"优先级"与"LAN ID"字段，P2P IIH 中没有——因为广播网络上需要选 DIS，P2P 不需要。这个差异是判断"某设备为何不选 DIS"或"为何 P2P 邻居建立方式不同"的关键。

三、P2P 邻接建立（三次握手）

在 P2P 链路上，IS-IS 使用三次握手（3-way handshake）来建立邻接，目的是确认双向可达（避免单向链路导致的"我 Up 你 Down"的问题）：

1. R1 发送 P2P IIH，其中携带 "邻接状态 TLV"（TLV 240，P2P Three-Way Adjacency TLV），状态为 Down（表示"我还不知道你是否能收到我"）；
2. R2 收到后发送 P2P IIH，TLV 240 中携带 R1 的 System ID + 状态 Init（表示"我收到了你的 Hello，但还不确定你能收到我"）；
3. R1 再发 P2P IIH，TLV 240 中携带 R2 的 System ID + 状态 Up（表示"我收到了你的 Hello，双向确认"）；
4. R2 收到后也把状态置为 Up，邻接建立完成（Up，对应 OSPF 的 Full）。

三步握手的本质：状态字段"Up"只有在"我在对方的 Hello 里也看到了自己"之后才被置位，从而确保双向可达。（对比：OSPF 在 P2P 上只有 Two-Way 检查，没有 IS-IS 这种显式的三次握手 TLV。）

四、广播网络上的邻接建立与 LSDB 同步（重点）

广播网络（以太网）上的流程：

1. 发现与建立邻接：路由器周期性发送 LAN IIH（L1 或 L2，取决于接口的 circuit-level）。收到对方 Hello 且参数匹配（Area ID、Level、认证、MTU 等）后，邻接状态置为 Up。
2. 选举 DIS（见 2.6 节）：优先级最高者（优先级相同时 MAC 地址最大者）成为 DIS。
3. LSDB 同步 —— 由谁说？： - DIS 周期性发送 CSNP（默认每 10 s 一次），CSNP 中包含整个 LSDB 中所有 LSP 的摘要（LSP ID + Sequence Number + Remaining Lifetime + Checksum）。 - 非 DIS 路由器收到 CSNP 后，比较其中的摘要与自己 LSDB 的差异：
   • 若自己缺少某个 LSP，或自己的 LSP 版本更旧（Sequence Number 更小），则发送 PSNP 向 DIS 请求该 LSP；
   • 若自己的 LSP 更新（Sequence Number 更大），则主动发送该 LSP 给 DIS（DIS 会更新自己的 LSDB）。
   • DIS 收到 PSNP 请求后，以 LSP 回应（或按需泛洪）。
4. LSP 的泛洪与确认： - 在广播网络上，LSP 的泛洪由收到 LSP 的路由器重新发送给 DIS（DIS 再泛洪），或直接组播； - PSNP 用于确认收到的 LSP（类似 OSPF 的 LSAck）。在广播网络上，非 DIS 路由器在收到 LSP 后发送 PSNP 作为确认（这也是为什么 CSNP 由 DIS 发、PSNP 由非 DIS 发）。
5. P2P 链路上的 LSDB 同步（与广播不同）： - 没有 DIS，因此两端各自发送一次 CSNP（在邻接建立为 Up 之后立即发送，之后不再周期发送）； - 收到 CSNP 后，用 PSNP 请求缺失的 LSP，用 PSNP 确认收到的 LSP； - P2P 链路上 LSP 泛洪是"收到即转发"（泛洪给除入接口外的所有接口），效率较高。

五、LSP 的关键字段

重要：判断两个 LSP 是否相同，是比较 LSP ID + Sequence Number + Checksum（再加 Remaining Lifetime）——这就是 CSNP/PSNP 中携带的"摘要"内容。这是"为什么 CSNP 不携带完整 LSP"的答案：摘要足够判断差异，避免占用带宽。

LSP 刷新定时器：默认 900 s（15 分钟） 刷新一次（华为默认 lsp-refresh-interval 900），而 Remaining Lifetime 默认 1200 s。刷新间隔必须小于生存时间，否则 LSP 会先过期再刷新，导致不必要的泛洪。

六、TLV 分类速查

关键概念对照表

表 2-5-1 IS-IS 九种 PDU 速查（必背）

表 2-5-2 IIH 默认定时器（必背）

表 2-5-3 IS-IS 与 OSPF 的邻接/LSDB 同步对比

华为设备配置

# ============ 场景：广播网络 + P2P 网络的 IS-IS 邻接与 LSDB 同步 ============

system-view
sysname R1
isis 1
 is-level level-2
 network-entity 49.0001.0000.0000.0001.00
 cost-style wide
 # --- 定时器调整（可选）---
 timer hello 10                                  // Hello 间隔 10 s（默认）
 timer holding-multiplier 3                      // 保持时间倍数 3（默认，Hold = 30 s）
 timer csnp 10                                   // DIS 发送 CSNP 的间隔（默认 10 s）
 timer lsp-max-age 1200                          // LSP 剩余生存时间（默认 1200 s）
 timer lsp-refresh 900                           // LSP 刷新间隔（默认 900 s）
 quit

# --- 广播网络接口（以太网）---
interface GigabitEthernet0/0/0
 ip address 10.0.12.1 255.255.255.0
 isis enable 1
 isis circuit-level level-2                      // 该接口建 L2 邻接（广播网络上会选 DIS）
 isis dis-priority 100                           // DIS 优先级（默认 64，越大越优先）
 quit

# --- P2P 网络接口（把以太网改成 P2P 类型，或使用串口）---
interface GigabitEthernet0/0/1
 ip address 10.0.13.1 255.255.255.0
 isis enable 1
 isis circuit-type p2p                           // 把接口网络类型改为 P2P（不选 DIS，使用三次握手）
 isis ppp-negotiation 3-way                      // 部分版本：显式启用 P2P 三次握手
 quit

# ============ 验证邻接与 LSDB 同步 ============
display isis peer                                // 邻居状态（Up / Initializing / Down）与 Level
display isis peer verbose                        // 邻居详情（含邻接的 PDU 类型、Circuit ID）
display isis lsdb                                // LSDB 中的 LSP 列表（LSP ID、Seq、Lifetime、Checksum）
display isis lsdb verbose                        // LSP 详情（含 TLV）
display isis lsdb local                          // 本机产生的 LSP
display isis interface                           // 接口的 circuit-level、DIS 信息、定时器
display isis interface verbose                   // 接口详情（含 DIS、Circuit ID、Hello 定时器）
display isis statistics                          // 各类 PDU 的收发统计（判断同步是否正常）
display isis error                               // 错误计数

示意图

sequenceDiagram
    participant R1 as R1 非DIS
    participant DIS as R2 DIS
    participant R3 as R3 非DIS
    R1->>R2: L2 LAN IIH 建立L2邻接
    R2->>R1: L2 LAN IIH 邻接Up
    R3->>R2: L2 LAN IIH 建立L2邻接
    Note over R2: 优先级最高 成为DIS
    R2->>R1: CSNP 完整LSDB摘要 每10秒
    R2->>R3: CSNP 完整LSDB摘要
    R1->>R2: PSNP 请求缺失的LSP
    R2->>R1: LSP 回应请求
    R1->>R2: PSNP 确认收到
    Note over R1,R3: LSDB 同步完成

sequenceDiagram
    participant A as R1 P2P
    participant B as R2 P2P
    A->>B: P2P IIH 含TLV240 邻接状态Down
    B->>A: P2P IIH 含TLV240 状态Init 指向R1
    A->>B: P2P IIH 含TLV240 状态Up 指向R2
    Note over A,B: 双向确认 邻接Up
    A->>B: CSNP 仅一次
    B->>A: CSNP 仅一次
    A->>B: PSNP 请求缺失LSP
    B->>A: LSP
    B->>A: PSNP 确认
    Note over A,B: P2P无DIS 两端各发一次CSNP

flowchart TD
    A["IS-IS 邻居状态"] --> B["Down 未收到Hello"]
    B --> C["Initializing 收到Hello但未双向确认"]
    C --> D["Up 双向确认完成"]
    D --> E["广播网络 选举DIS"]
    D --> F["P2P 三次握手完成"]
    E --> G["DIS周期发CSNP 非DIS用PSNP请求"]
    F --> H["两端各发一次CSNP 用PSNP确认"]
    G --> I["LSDB同步"]
    H --> I

真题精练

Q1.【真题·单选】 IS-IS 中用于在广播网络上由 DIS 周期性发送、包含整个 LSDB 摘要的 PDU 是？

A. LSP B. CSNP C. PSNP D. LAN IIH

答案：B 解析：CSNP（Complete Sequence Number PDU） 包含 LSDB 中所有 LSP 的摘要（LSP ID + Sequence Number + Remaining Lifetime + Checksum），在广播网络上由 DIS 周期性发送（默认 10 s）；在 P2P 链路上由两端各发送一次（邻接建立后）。A（LSP）是承载链路状态的 PDU；C（PSNP）是部分摘要，用于请求与确认；D（LAN IIH）是 Hello。

Q2.【真题·多选】 关于 IS-IS 的 P2P IIH 与 LAN IIH 的差异，下列说法正确的有？（多选）

A. LAN IIH 中包含优先级（Priority）与 LAN ID 字段，P2P IIH 中没有 B. P2P IIH 支持三次握手机制（通过 TLV 240 携带邻接状态） C. L1 LAN IIH 与 L2 LAN IIH 使用的组播 MAC 地址不同 D. P2P IIH 也区分 Level-1 与 Level-2 两种类型

答案：ABC 解析：A、B、C 正确。D 错：P2P IIH 不区分 L1/L2（只有一种 P2P IIH），因为 P2P 链路上的 Level 由接口的 circuit-level 与 P2P 三次握手机制协商决定，不需要两套 Hello。补充：L1 LAN IIH 用 01-80-C2-00-00-14，L2 LAN IIH 用 01-80-C2-00-00-15。

Q3.【真题·填空】 IS-IS 的 LSP ID 由 、、________ 三部分组成；其中伪节点标识为 ________ 时表示这是路由器自身产生的 LSP，非 0 时表示这是 ________ 产生的伪节点 LSP。

答案：System ID（6 字节）；伪节点标识（1 字节）；分片号（1 字节）；0；DIS（指定中间系统） 解析：LSP ID 的这三段结构是理解 IS-IS LSDB 的关键。伪节点标识非 0 时，该 LSP 描述的是一个"广播网段"（伪节点），由该网段的 DIS 产生——这与 OSPF 的 Type2 Network LSA（由 DR 产生）思想一致，但 IS-IS 的伪节点是独立的 LSP，而 OSPF 的 Type2 是独立的 LSA 类型。

Q4.【真题·判断】 在 IS-IS 的 P2P 链路上，CSNP 与广播网络上一样由一端周期性发送。

答案：错误 解析：P2P 链路上没有 DIS，因此 CSNP 由两端各自在邻接建立为 Up 后发送一次（不是周期发送）。这是 P2P 与广播网络在 LSDB 同步机制上的重要差异。广播网络则由 DIS 周期性发送 CSNP（默认 10 s）。

Q5.【真题·简答】 请完整描述 IS-IS 在广播网络上的 LSDB 同步过程（从邻接建立到 LSDB 一致），并说明 CSNP 与 PSNP 各自的作用。

答案：同步过程： ① 邻接建立：各路由器周期性发送 LAN IIH（L1 或 L2，取决于接口 circuit-level）。收到对方的 Hello 且参数匹配（Area ID（仅 L1 需要）、Level、认证、MTU、协议支持等）后，邻接状态置为 Up。 ② DIS 选举：所有邻接建立后，按接口优先级（默认 64，越大越优先）选举 DIS；优先级相同时比较 MAC 地址（大者优先）。DIS 是该广播网段的"代言人"（见 2.6 节）。 ③ DIS 周期发送 CSNP：DIS 每 10 s 发送一次 CSNP，其中包含整个 LSDB 中所有 LSP 的摘要（LSP ID + Sequence Number + Remaining Lifetime + Checksum）。 ④ 非 DIS 比对并请求：非 DIS 路由器收到 CSNP 后，逐条比对自己的 LSDB： - 若自己缺少某 LSP，或自己的副本更新鲜度更低（Sequence Number 更小），则发送 PSNP 请求该 LSP； - 若自己的 LSP 更新（Sequence Number 更大），则主动把该 LSP 发送给 DIS。 ⑤ DIS 回应 LSP：DIS 收到 PSNP 后，以 LSP 回应（或直接泛洪该 LSP），非 DIS 收到后更新自己的 LSDB。 ⑥ LSP 泛洪与确认：新产生或更新的 LSP 在网络上泛洪；收到 LSP 的非 DIS 路由器发送 PSNP 作为确认（所以 PSNP 在广播网络上主要由非 DIS 发出，兼具"请求"与"确认"两个用途）。 ⑦ 最终一致：经过若干轮交互，所有路由器的 LSDB 达到一致。 CSNP 的作用：完整数据库摘要，让邻居快速发现自己缺失或过期的 LSP，是"批量对账"机制（DIS → 其他路由器，周期性）。 PSNP 的作用：部分摘要，双向使用——请求（非 DIS 向 DIS 请求缺失的 LSP，类似 OSPF 的 LSR）与确认（收到 LSP 后回送确认，类似 OSPF 的 LSAck）。PSNP 不包含完整 LSDB，只包含关心的那部分 LSP 的摘要。

Q6.【真题·排错】 某 IS-IS 广播网络中，R1 与 R2 的邻接状态为 Up，但 R1 的 LSDB 中缺少一条 R2 应该发布的 LSP。请给出排查思路。

答案： ① 确认 R2 是否真的产生了该 LSP：在 R2 上 display isis lsdb local（或 display isis lsdb verbose）查看本机 LSP 列表中是否有对应 TLV/网段。若 R2 自己都没有，则问题在 R2 的配置（接口未 isis enable、网络未发布、被 filter-policy 过滤、import-route 未配置等）。 ② 确认 DIS 是否正常发 CSNP：在 R1 上 display isis statistics 查看 CSNP 的接收计数是否在增长。若为 0，说明 DIS 未发 CSNP 或 R1 收不到（组播被过滤、二三层问题）。 ③ 确认 R1 是否发出了 PSNP 请求：display isis statistics 看 PSNP 发送计数。若 R1 没发请求，说明 R1 没有察觉差异（可能 CSNP 中的摘要与 R1 的 LSDB 被认为"一致"，即 Sequence/Checksum 相同但内容不同——这种情况极少，通常是 LSP 被错误复制）。 ④ 确认 LSP 的确认与重传：IS-IS 在广播网络上依赖 PSNP 确认 LSP，若确认丢失会导致泛洪重传。检查 display isis error 与接口统计（丢包、CRC）。 ⑤ 检查 LSP 的分片与 MTU：若 R2 的 LSP 过大需要分片，而链路上 MTU 不一致可能导致部分分片被丢。检查 display interface 的 MTU 与丢包计数。 ⑥ 检查认证：接口级认证失败会导致 IIH 被丢弃（邻接起不来）；但区域级/域级认证失败会导致 LSP 被丢弃而邻接仍为 Up！这是"邻接 Up 但 LSDB 不同步"的经典原因。检查 display isis error 中的认证失败计数，以及两端的 area-authentication-mode 与 domain-authentication-mode 配置。 ⑦ 检查 overload 位：若 R2 处于 Overload 状态（OL 位为 1），它不会被用作中转，但自身的直连路由仍应发布；需确认是否影响了预期。 ⑧ 检查 display isis lsdb 的 Remaining Lifetime：若某 LSP 的 Remaining Lifetime 接近 0（未及时刷新），会出现抖动式的"有/无"。检查 lsp-refresh-interval 配置。 最可能原因（按概率排序）：① R2 侧配置问题导致 LSP 未生成；② 区域级/域级认证不一致导致 LSP 被静默丢弃（邻接却是 Up）；③ 组播/二层丢包导致 CSNP/PSNP 交互异常。

易错点与排错

display isis peer                              // 邻居与状态
display isis peer verbose                      // 邻居详情（PDU 类型、Circuit ID）
display isis lsdb                              // LSDB（LSP ID/Seq/Lifetime/Checksum）
display isis lsdb local                        // 本机 LSP
display isis statistics                        // 各类 PDU 收发计数（同步诊断关键）
display isis interface verbose                 // DIS、Circuit ID、定时器
display isis error                             // 认证/参数不匹配等错误

2.6 DIS 与 OSPF DR 的区别

考点定位

DIS 与 DR 的对比是国赛的"辨析题"经典：选举方式、是否可抢占、有无备份、伪节点的表示方式、泛洪机制的差异。常以多选、判断、简答出现。最大陷阱：把 DIS 当 DR 记（认为不可抢占、有备份 BDR）。

原理精讲

一、为什么广播网络上需要"指定设备"？

在广播网络（以太网）上，如果有 n 台路由器两两建立邻接，会产生 n(n-1)/2 条邻接关系，每台路由器要描述 n-1 个邻居——LSDB 与 SPF 的复杂度呈平方增长。因此 IS-IS 与 OSPF 都引入了"指定设备"的概念：由一台设备代表整个网段，形成"伪节点（Pseudonode）"，链路上只需 n 条描述（每台设备描述到伪节点的一条链路），复杂度降为线性。

二、DIS 的选举机制（与 DR 的三大差异）

三、"可抢占"是 DIS 最重要的特性

IS-IS 的 DIS 是可抢占的：当一台新的路由器加入广播网络，且它的接口优先级高于当前 DIS（或优先级相同但 MAC 地址更大）时，它会立即成为新的 DIS，原 DIS 立刻退位。这意味着：

• 优点：可以让"性能更强/位置更优"的设备成为 DIS（例如把核心设备的优先级调高，它一接入就成为 DIS）；
• 缺点：DIS 切换会导致伪节点 LSP 的重新生成与泛洪（因为伪节点 LSP 的 LSP ID 与产生者变了），可能造成短暂的 LSDB 波动。因此生产环境应尽量固定 DIS（显式配置优先级，且避免频繁插拔设备）。

对比 OSPF：DR 不可抢占，一旦选出就稳定（除非失效）；这带来的好处是稳定、坏处是"新加入的高性能设备无法自动成为 DR"（需要人工干预或等 DR 失效）。

四、"无 BDR"的后果

OSPF 有 BDR，DR 失效时 BDR 立即升为 DR（且原 DROther 会选新 BDR），中断时间短。IS-IS 没有 BDR：DIS 失效后，网络上的路由器重新选举（等待 Hold Time 超时 + 重新选举 + 重新同步 LSDB），收敛时间更长。因此在 IS-IS 网络中，DIS 的稳定性尤为重要——可以通过提高非 DIS 设备的优先级来"预留"接管能力，但不能像 OSPF 那样有无缝的 BDR 接替。

五、邻接建立方式的差异（容易忽略但很重要）

OSPF 广播网络上：DROther 之间建立 2-Way 邻接（不交换 LSA），只与 DR/BDR 建立 Full。这样设计是为了减少邻接数量。

IS-IS 广播网络上：所有路由器之间都建立 Up 邻接（包括非 DIS 之间）！这是 IS-IS 与 OSPF 的重要差异。为什么？因为 IS-IS 的 LSDB 同步依赖 CSNP/PSNP 机制，且 LSP 泛洪是"链路上所有路由器都参与"（收到 LSP 后转发给 DIS，DIS 再泛洪），不需要像 OSPF 那样用 2-Way 来省邻接。这也是为什么 IS-IS 在某些场景下邻居数量比 OSPF 多（但每条邻接的开销小）。

六、伪节点的表示（细节考点）

• IS-IS：DIS 为广播网段产生一个伪节点 LSP，其 LSP ID 中的伪节点标识部分为 1（如 0000.0000.0002.01-00，其中 .01 是伪节点标识，-00 是分片号）。其他路由器在自己的 LSP 中通过 TLV 2/TLV 22 描述"我连接到这个伪节点"。
• OSPF：DR 产生 Type2 Network LSA，Link State ID = DR 的接口 IP 地址（不是网段地址！），其他路由器在 Type1 中用 Transit 链路指向 DR。

对比记忆法：IS-IS 的伪节点是"一个伪节点 ID"，OSPF 的伪节点是"DR 的接口 IP"。

七、DIS 与 DR 的适用网络

两者都只用于广播网络（Broadcast） 与 NBMA 网络。在 P2P 网络上： - IS-IS：不选 DIS，使用 P2P 三次握手； - OSPF：不选 DR/BDR，网络类型为 P2P。

关键概念对照表

表 2-6-1 DIS 与 DR 全方位对比（必背）

表 2-6-2 伪节点对比

表 2-6-3 DIS 选举的触发条件与稳定性建议

华为设备配置

# ============ 场景：广播网络上控制 DIS 选举 ============

# --- R1（期望成为 DIS，优先级设为最高）---
system-view
sysname R1
isis 1
 is-level level-2
 network-entity 49.0001.0000.0000.0001.00
 cost-style wide
 quit
interface GigabitEthernet0/0/0
 ip address 10.0.12.1 255.255.255.0
 isis enable 1
 isis circuit-level level-2
 isis dis-priority 127                            // DIS 优先级 127（最大），默认 64，越大越优先
 quit

# --- R2（不参与 DIS 选举）---
system-view
sysname R2
isis 1
 is-level level-2
 network-entity 49.0001.0000.0000.0002.00
 cost-style wide
 quit
interface GigabitEthernet0/0/0
 ip address 10.0.12.2 255.255.255.0
 isis enable 1
 isis circuit-level level-2
 isis dis-priority 0                              // 优先级 0：不参与 DIS 选举（但仍建立邻接）
 quit

# --- R3（默认优先级 64，与 R1 的 127 不冲突）---
interface GigabitEthernet0/0/0
 isis dis-priority 64                             // 默认值，可不配
 quit

# ============ 验证 DIS 选举结果 ============
display isis interface GigabitEthernet0/0/0 verbose  // 查看 DIS 是谁、优先级、Circuit ID
display isis peer verbose                             // 邻居详情（含 DIS 信息）
display isis lsdb                                     // 查看伪节点 LSP（LSP ID 中伪节点标识非 0）
display isis lsdb verbose | include Pseudo            // 查看伪节点相关信息（视版本输出）
display isis interface                                // 各接口的 DIS 状态

# ============ 演示 DIS 的可抢占性 ============
# 步骤1：R2（优先级 0）与 R1（127）在网，R1 是 DIS
# 步骤2：把 R3 的优先级改为 127 并与 R1 比较 MAC（假设 R3 的 MAC 更大）
interface GigabitEthernet0/0/0
 isis dis-priority 127                            // R3 加入后因 MAC 更大而抢占成为新 DIS
 quit
display isis interface GigabitEthernet0/0/0 verbose  // 观察 DIS 变为 R3（可抢占验证）
display isis lsdb                                     // 观察伪节点 LSP 的 LSP ID 变化（DIS 更换导致新的伪节点 LSP）

示意图

flowchart TB
    subgraph LAN["广播网络 10.0.12.0/24"]
        DIS["R1 DIS 优先级127"]
        R2["R2 优先级0 不参与选举"]
        R3["R3 优先级64"]
        PSEUDO["伪节点 LSP R1 SystemID 加 01"]
    end
    R1["R1"] --- DIS
    R2 --- DIS
    R3 --- DIS
    DIS -.->|"产生"| PSEUDO
    R2 -.->|"所有路由器之间均建立Up邻接"| R3

stateDiagram-v2
    [*] --> 邻接建立
    邻接建立 --> 选举DIS: 比较优先级再比MAC
    选举DIS --> DIS运行: 优先级最高者当选
    DIS运行 --> 重新选举: 新设备优先级更高 可抢占
    重新选举 --> DIS运行: 新DIS产生新伪节点LSP
    DIS运行 --> 重新选举: 当前DIS失效 无BDR需重选

flowchart LR
    OSPF["OSPF 广播网络"] --> O1["DR 不可抢占"]
    OSPF --> O2["有 BDR 备份"]
    OSPF --> O3["DROther 之间 2-Way"]
    OSPF --> O4["伪节点为 DR 接口IP Type2"]
    ISIS["IS-IS 广播网络"] --> I1["DIS 可抢占"]
    ISIS --> I2["无 BDR"]
    ISIS --> I3["所有路由器之间 Up"]
    ISIS --> I4["伪节点为 LSP ID 含非0伪节点号"]

真题精练

Q1.【真题·单选】 关于 IS-IS 的 DIS 与 OSPF 的 DR，下列说法正确的是？

A. 两者都不可抢占 B. DIS 可抢占，DR 不可抢占；且 DIS 没有备份，DR 有 BDR 备份 C. 两者都必须有备份设备 D. DIS 的选举依据是 Router ID，DR 的选举依据是 MAC 地址

答案：B 解析：DIS 可抢占（优先级更高者一加入就成为 DIS），DR 不可抢占（一旦选出就稳定，除非失效）；IS-IS 没有 BDR，DIS 失效需重新选举，而 OSPF 有 BDR 可以立即接替。C 错（IS-IS 无备份）；D 错（DIS 依据优先级 + MAC 地址，DR 依据优先级 + Router ID）。

Q2.【真题·多选】 下列属于 IS-IS DIS 与 OSPF DR 差异的有？（多选）

A. 默认优先级不同（DIS 默认 64，DR 默认 1） B. 广播网络上非指定设备之间的邻接状态不同（IS-IS 为 Up，OSPF 为 2-Way） C. 伪节点的标识方式不同（IS-IS 用 System ID + 伪节点号，OSPF 用 DR 接口 IP） D. IS-IS 与 OSPF 在 P2P 网络上也都要选举指定设备

答案：ABC 解析：A、B、C 都是真实差异。D 错：P2P 网络上两者都不选举指定设备——IS-IS 用 P2P 三次握手，OSPF 把网络类型设为 P2P（不选 DR/BDR）。

Q3.【真题·判断】 IS-IS 的 DIS 与 OSPF 的 DR 一样，都需要一台备份设备（BDR）来保证可靠性。

答案：错误 解析：IS-IS 没有 BDR。DIS 失效后，网络上的路由器需要重新选举 DIS，并重新同步伪节点相关的 LSP，收敛时间比 OSPF 的"BDR 立即接替"更长。因此DIS 的稳定性对 IS-IS 网络尤其重要，工程上应显式配置优先级并避免频繁变更。

Q4.【真题·填空】 IS-IS 的 DIS 选举依据是接口的 ________，默认值为 ________；优先级相同时比较 ， 者优先。OSPF 的 DR 选举在优先级相同时比较 ， 者优先。

答案：优先级（isis dis-priority）；64；MAC 地址；大；Router ID；大 解析：这是最容易混淆的两个"平局规则"。记忆方法：IS-IS 是二层协议，所以比 MAC；OSPF 是三层协议，所以比 Router ID。另外注意默认优先级：DIS 是 64，DR 是 1。

Q5.【真题·简答】 请解释"IS-IS 广播网络上所有路由器之间都建立 Up 邻接，而 OSPF 广播网络上 DROther 之间只建立 2-Way"这一差异的原因，并说明各自的优缺点。

答案：OSPF 的做法（DROther 之间 2-Way）：目的是减少邻接数量与 LSA 交换量。在 OSPF 中，DROther 之间不需要直接交换 LSA——它们把 LSA 发给 DR/BDR（224.0.0.6），由 DR 汇总后用 224.0.0.5 泛洪给所有路由器。因此 DROther 之间的 Full 邻接是冗余的，停在 2-Way 可以显著降低 CPU 与内存开销（n 台设备时邻接数从 n(n-1)/2 降到约 n 条 Full）。IS-IS 的做法（全部 Up）：IS-IS 的 LSDB 同步与泛洪机制不同——它依赖 CSNP/PSNP 机制由 DIS 周期对账，且 LSP 的泛洪在链路上是"所有路由器参与转发"。IS-IS 没有采用"只与 DIS 建 Full"的做法，因此所有邻接都建立到 Up。优缺点对比： - OSPF 的优点：大广播域下邻接数量少、开销小、扩展性较好；缺点：DROther 之间的可达性检查只在 2-Way 完成，某些依赖 Full 邻接的快速检测（如 BFD 联动）需要在 DR/BDR 关系上部署。 - IS-IS 的优点：邻接关系简单统一（所有邻接都是 Up），任意两台路由器之间都有直接的邻接关系，故障检测与 BFD 部署更直接，LSDB 同步路径也更直接（不依赖 DIS 中转所有信息）；缺点：邻接数量多（n 台设备有 n(n-1)/2 条 Up 邻接），在超大广播域下会消耗较多资源。注意：这也是为什么 IS-IS 的单区域规模虽然大，但广播域规模仍需控制（否则邻接数量会成为瓶颈），工程上常通过把网络划分为更多 P2P 链路来优化。

Q6.【真题·排错】 某 IS-IS 广播网络中，一台新接入的路由器 R5 一上线就成为 DIS，导致全网出现短暂的 LSDB 波动。请分析原因并给出避免措施。

答案：原因：IS-IS 的 DIS 是可抢占的。R5 接口的 DIS 优先级（isis dis-priority）高于当前 DIS，或者优先级相同但 MAC 地址更大，因此它在邻接建立后立即抢占成为新 DIS。DIS 更换会导致伪节点 LSP 的产生者变化（LSP ID 中的 System ID 与伪节点标识都变了），旧伪节点 LSP 被撤销、新伪节点 LSP 被泛洪，从而引起全网 LSDB 更新与 SPF 重算，表现为短暂波动。避免措施： ① 显式规划并配置所有设备的 isis dis-priority，不要依赖默认值 64——把核心设备设为高优先级（如 127），接入设备设为低优先级（如 10）或 0（不参与选举）。 bash interface GigabitEthernet0/0/0 isis dis-priority 0 // 接入设备不参与 DIS 选举 ② 把核心/汇聚设备的优先级固定为最高（127），确保它们在任何情况下都是 DIS；接入设备接入后无法抢占。 ③ 避免在运行中的广播网络上频繁插拔设备；如需扩容，应在维护窗口进行，或先调整优先级再接入。 ④ 考虑用 P2P 链路替代大型广播域：把交换机替换为直连的 P2P 链路（isis circuit-type p2p），从根本上消除 DIS 选举与伪节点带来的波动。 ⑤ 监控与验证：display isis interface verbose 确认 DIS 身份稳定；display isis lsdb 观察伪节点 LSP 是否频繁变化；display logbuffer 查看 DIS 切换记录。

易错点与排错