上篇那套单区域的 OSPF 配置跑通之后很多同行追问的下一个问题几乎一模一样业务网段一多LSDB 越来越胖路由器风扇开始叫怎么解。这篇就接着上篇的代码往下推讲一个完整的多区域 OSPF 配置案例。顺带说一句标题里写的 osps 应该是笔误实际指的肯定是 OSPFOpen Shortest Path First开放式最短路径优先下面所有内容都围绕这个协议展开不再纠结缩写。多区域 OSPF 配置真正难的地方不是多敲几行 area 命令而是你要先想清楚“区域边界切在哪、切完之后哪些 LSA 该过界、过界的路由要不要汇总、汇总完掩码怎么算”。这些想不明白配出来的多区域网络还不如单区域稳定。这篇适合两类人看一类是刚把单区域玩明白、准备上生产环境的初中级网络工程师另一类是被区域间路由莫名其妙不通折磨过、想系统性梳理一遍的运维同学。文中所有命令基于某主流厂商 VRP 风格的命令行给出其他厂商的等价命令我会在关键处标注对照关系抄作业前请先确认自己的设备版本。1. 为什么单区域撑不住多区域设计的真实动机1.1 单区域 OSPF 的三个隐性代价很多人以为单区域的问题只是“路由条目多”其实远不止。OSPF 是链路状态协议同区域内所有路由器的 LSDB 必须完全一致这意味着区域内每增加一台设备、每断一条链路全区域所有路由器都要重新跑一遍 SPF 算法。业务规模小的时候看不出来一旦区域内网段超过两三百个、设备超过几十台问题就会集中爆发。第一个代价是 LSDB 体积膨胀。每台路由器光保存拓扑就要吃掉可观的内存而且这些信息对边缘设备来说是纯浪费——一台只挂两个业务网段的接入路由器根本不需要知道全网拓扑。第二个代价是 SPF 计算风暴核心链路抖动一次区域内几十台设备同时重算CPU 瞬间打满期间转发虽然靠硬件表不中断但新的路由收敛会被拖慢出现“拓扑已经变了、路由表还没更新”的窗口期。第三个代价最隐蔽就是无法做区域间汇总。单区域里每条明细路由都要全网泛洪你想用一条10.1.0.0/16概括下面几十个10.1.x.0/24业务网段协议层面根本不支持——汇总只在区域边界上才有意义。这也是为什么规划阶段就要把区域切好等网络跑起来再拆分代价会大得多。1.2 区域划分的取舍按什么切、切几刀常见切法有三种。按地理切最直观一楼一个区、A 栋一个区链路故障影响范围天然被隔离按业务切更符合运维思维办公区、生产区、监控区、外联区各成一块做路由策略时边界清晰按设备角色切适合数据中心接入层一个区、汇聚层一个区把不稳定的边缘拓扑挡在骨干之外。我个人更倾向“业务为主、地理为辅”的混合切法。纯按地理切一个楼层里同时跑办公和生产一旦生产网段出问题整层办公都跟着重算隔离效果打折。纯按业务切跨楼宇的同业务流量要走骨干绕一圈时延反而增加。这里没有标准答案判断依据就一条你希望一次拓扑变化影响多大范围。切几刀也有讲究。OSPF 的区域数量理论上是 32 位区域 ID实际部署里超过十几个常规区域就该考虑拆分了因为每个 ABR 都要维护所有直连区域的 LSDB。还有一条硬规矩所有常规区域必须直接或间接挂在骨干区域Area 0上不允许两个非骨干区域直接互联。这条规矩是 OSPF 防环机制的根基违反了要么邻居建不起来要么得用虚连接补救。1.3 ABR 与 ASBR 的角色边界ABR区域边界路由器的定义很明确同时连接骨干区域和至少一个常规区域且至少有一个接口属于 Area 0。注意“接口属于 Area 0”这个条件有些人把一台路由器配了两个非骨干区域就当成 ABR实际上它只是普通内部路由器不会产生 Type 3 摘要 LSA也不会执行区域间汇总。ASBR自治系统边界路由器是引入外部路由的那台设备它会生成 Type 5 LSA或 NSSA 区域内的 Type 7。这两类角色经常被混淆因为它们都能“让路由出现在别的区域”。区别在于ABR 传递的是区域间路由Type 3拓扑上属于 OSPF 域内ASBR 传递的是外部路由Type 5来源可以是静态、直连、其他路由协议。实操中有一个容易踩的坑一台设备同时是 ABR 和 ASBR 时它产生的 Type 5 LSA 不会泛洪进 Stub 区域。如果你把外部路由引入放在了连接 Stub 区域的那台 ABR 上Stub 区域内的设备只能拿到一条默认路由看不到具体的外部明细。这不是配置错了是协议设计如此需要提前想清楚业务能不能接受默认路由兜底。2. 拓扑与地址规划先想清楚再敲命令2.1 案例拓扑与设备角色分配这个案例设计成“一个骨干 两个常规区域 一个外部引入”的经典结构规模不大但覆盖了绝大多数生产场景。拓扑是这样的两台 ABRR1、R2通过一条骨干链路互联R1 下挂 Area 1R2 下挂 Area 2另外挂一台骨干内部路由器 R3Area 1 里放 R4 跑业务网段Area 2 里放 R5 做 NSSA 实验R2 再连一台 R6 用来模拟外部路由引入。设备角色所在区域关键接口R1ABRArea 0 / Area 1GE0/0/0、GE0/0/1、GE0/0/2R2ABR ASBRArea 0 / Area 2GE0/0/0、GE0/0/1、GE0/0/2R3骨干内部路由器Area 0GE0/0/0R4区域内部路由器Area 1GE0/0/0、GE0/0/1R5NSSA 内部路由器Area 2GE0/0/0、GE0/0/1R6外部设备非 OSPFGE0/0/0这套角色分配不是随便排的。把 R2 同时设为 ABR 和 ASBR是为了演示“外部路由如何从 NSSA 之外传进来”把 R1 单独设为纯 ABR是为了干净地观察区域间汇总的效果。实际项目里角色重叠很常见但学习和排错阶段把职责拆开更容易定位问题。2.2 网段与区域编号的规划细节地址规划这块我坚持两条原则互联链路一律 /30业务网段按区域分大段。互联链路用 /30 而不是 /24一方面是省地址更重要的是防止有人误把互联网段当成业务网段接交换机掩码一限制这种误操作自然就被挡住了。具体规划如下网段用途地址掩码所属区域R1-R2 骨干互联10.0.12.0255.255.255.252Area 0R2-R3 骨干互联10.0.23.0255.255.255.252Area 0R1-R4 区域互联10.1.14.0255.255.255.252Area 1R2-R5 区域互联10.2.25.0255.255.255.252Area 2R1 Loopback10.1.1.1255.255.255.255Area 1R2 Loopback10.2.2.2255.255.255.255Area 2R4 业务网段10.1.10.0255.255.255.0Area 1R5 业务网段10.2.20.0255.255.255.0Area 2R2-R6 外部互联10.0.26.0255.255.255.252不参与 OSPF外部模拟网段192.168.100.0255.255.255.0通过静态引入区域 ID 用的是点分十进制格式0.0.0.0、0.0.0.1、0.0.0.2虽然命令行里也可以用整数area 1简写但建议统一用点分格式因为后续如果区域数量超过 255整数写法的可读性会崩掉而且点分格式和 IP 地址形态一致看配置文件时不容易看漏。选 10.1.x.x 给 Area 1、10.2.x.x 给 Area 2是有意让第二个字节跟区域编号对齐。这样在 R1 上看路由表一眼就能判断某条路由来自哪个区域汇总时也方便——Area 1 的所有业务网段天然落在10.1.0.0/16里面abr-summary 10.1.0.0 255.255.0.0一条就够了不用反复算掩码。这种“地址跟着区域走”的习惯是我踩过几次汇总算错掩码的坑之后养成的。2.3 Router ID 与接口开销的确定原则Router ID 必须全网唯一格式是 32 位点分十进制。VRP 的选举顺序是手动配置的 router-id 最大的 Loopback 接口地址 最大的物理接口地址。强烈建议手动指定尤其是设备重启顺序不确定的场景。我以前遇到过一台设备先起物理口、后起 LoopbackRouter ID 就变成了物理口地址跟另一台设备撞了邻居反复重建查了半小时才发现。本案例统一用 Loopback 地址做 Router IDR1 是 10.1.1.1R2 是 10.2.2.2R3 是 10.0.3.3R4 是 10.1.4.4R5 是 10.2.5.5。注意 R3 的 Loopback 我特意放进了 Area 0因为它是骨干路由器Loopback 跟着区域走比较干净。接口开销这块必须算一下。VRP 默认参考带宽是 100 Mbps开销 参考带宽 / 接口带宽结果小于 1 时取 1。GE 接口带宽 1000 Mbps算出 0.1取整为 1百兆口算出 1十兆口算出 10。问题在于现在到处都是 GE 起步所有链路开销都是 1OSPF 选路等于没得选只能按跳数比。千兆、万兆链路并存时默认开销无法体现带宽差异一定要改参考带宽system-view bandwidth-reference 10000改成 10000 Mbps 之后万兆口开销 1、千兆口开销 10、百兆口开销 100层次一下就出来了。这个命令要在区域内所有路由器上统一配置只要有一台没改同一条链路两端的开销计算口径就不一致可能出现单向选路不对称。这是我在一个混合带宽的项目里真实踩过的坑当时只改了核心层接入层没动结果去回程走了不同路径防火墙会话表直接被撑爆。3. 骨干区域与常规区域的落地配置3.1 骨干区域 ABR 的基础配置先配 R1它要承担 Area 0 和 Area 1 的边界职责。配置顺序建议是先配接口地址再配 OSPF 进程和 router-id最后把网段宣告进对应区域。system-view sysname R1 # interface GigabitEthernet0/0/0 description To-R2-Area0 ip address 10.0.12.1 255.255.255.252 # interface GigabitEthernet0/0/1 description To-R4-Area1 ip address 10.1.14.1 255.255.255.252 # interface GigabitEthernet0/0/2 description Business-Area1 ip address 10.1.1.1 255.255.255.0 # interface LoopBack0 ip address 10.1.1.1 255.255.255.255 # ospf 1 router-id 10.1.1.1 bandwidth-reference 10000 area 0.0.0.0 network 10.0.12.0 0.0.0.3 area 0.0.0.1 network 10.1.1.0 0.0.0.255 network 10.1.14.0 0.0.0.3这里有两个细节值得说。第一network命令后面跟的是反掩码wildcard mask不是子网掩码0.0.0.3对应255.255.255.252。新手最容易在这里写错写成255.255.255.252设备不报错但匹配不到接口结果接口地址有了、OSPF 邻居也建起来了但该网段进不了 LSDB。第二bandwidth-reference在进程视图下配置作用范围是整个 OSPF 进程。有些版本支持在接口下用ospf cost直接覆盖那种方式适合个别链路特殊调整全局统一还是改参考带宽更省事。另外提一句R1 的 Loopback 我放进了 Area 1 而不是 Area 0。严格来说 ABR 的 Loopback 放哪个区域都行只要 router-id 手动指定了就不影响邻居建立。但如果你的网络里用了loopback做管理地址又希望管理网段在骨干区域汇总那就应该放进 Area 0。这个选择会让路由表看起来不一样不是对错问题是需求问题。3.2 常规区域设备的配置差异R4 是 Area 1 内部的普通路由器配置逻辑和单区域时完全一样唯一的变化是area后面要写对区域号。system-view sysname R4 # interface GigabitEthernet0/0/0 description To-R1-Area1 ip address 10.1.14.2 255.255.255.252 # interface GigabitEthernet0/0/1 description Business-Net ip address 10.1.10.1 255.255.255.0 # interface LoopBack0 ip address 10.1.4.4 255.255.255.255 # ospf 1 router-id 10.1.4.4 bandwidth-reference 10000 area 0.0.0.1 network 10.1.14.0 0.0.0.3 network 10.1.10.0 0.0.0.255 network 10.1.4.4 0.0.0.0注意最后一行network 10.1.4.4 0.0.0.0反掩码全 0 表示精确匹配单个地址这是宣告 Loopback 的标准写法。有人图省事写成network 10.1.4.0 0.0.0.255如果 Loopback 是 /32这个网段匹配不到任何接口宣告直接失效。R2 的配置稍微复杂一点它同时是 ABR 和 ASBR还要连外部设备。ASBR 部分我放到第 4 章讲 NSSA 时一起说这里先把 OSPF 主体和骨干、Area 2 的连接配好system-view sysname R2 # interface GigabitEthernet0/0/0 description To-R1-Area0 ip address 10.0.12.2 255.255.255.252 # interface GigabitEthernet0/0/1 description To-R5-Area2 ip address 10.2.25.1 255.255.255.252 # interface GigabitEthernet0/0/2 description To-R3-Area0 ip address 10.0.23.2 255.255.255.252 # interface LoopBack0 ip address 10.2.2.2 255.255.255.255 # ospf 1 router-id 10.2.2.2 bandwidth-reference 10000 area 0.0.0.0 network 10.0.12.0 0.0.0.3 network 10.0.23.0 0.0.0.3 area 0.0.0.2 network 10.2.25.0 0.0.0.3 network 10.2.2.2 0.0.0.0这里 R2 的 Loopback 放进了 Area 2因为它同时是 Area 2 的 ABR把管理地址放在自己下辖的区域里在 Stub 化改造时比较好处理。3.3 验证邻居、LSDB、路由表三段式检查配置敲完别急着 ping按“邻居 → LSDB → 路由表”的顺序检查能快速定位问题出在哪一层。第一步看邻居状态display ospf peer brief正常输出应该是Full状态。如果卡在Init说明只收到对方的 Hello 没收到回应大概率是单向链路或 ACL 拦截卡在ExStart是 MTU 不匹配或者 Router ID 冲突卡在2-Way说明双方都不是 DR/BDR 且网络类型不对。这三种情况我在第 5 章会细说。第二步看 LSDB重点确认 Type 3 LSA 有没有跨区域传过来display ospf lsdb display ospf lsdb summary在 R4Area 1 内部路由器上执行display ospf lsdb summary应该能看到 R1 产生的 Type 3 LSA里面包含 Area 0 和 Area 2 的网段。这里有个判断技巧Type 3 LSA 的 Advertising Router 永远是 ABR 的 Router ID如果看到某个网段的 Type 3 是由非 ABR 设备产生的那说明区域配置有问题。第三步看路由表display ip routing-table protocol ospf在 R4 上应该能看到10.0.12.0/30、10.0.23.0/30、10.2.25.0/30、10.2.20.0/24这些 OSPF 路由协议列显示OSPF优先级是 10。如果某条路由缺失回到第二步看 LSDB 里有没有对应的 LSA有 LSA 没路由通常是路由过滤或者优先级问题没 LSA 就是泛洪或区域配置问题。三段式检查的价值在于把问题分层。我见过太多人一上来就ping不通就怀疑路由实际上邻居压根没建起来。按这个顺序走最多三轮就能定位到具体环节。4. 特殊区域与路由控制真正拉开差距的部分4.1 Stub 与 Totally Stub 的配置与效果差异Stub 区域的作用是拒绝 Type 4 和 Type 5 LSA 进入只保留区域内的 Type 1、Type 2 和区域间的 Type 3。ABR 会自动向 Stub 区域内下发一条 Type 3 的默认路由保证区域内设备能访问外部。配置很简单在区域内所有路由器包括 ABR 面向该区域的配置上加stubospf 1 area 0.0.0.1 stub注意stub命令必须在该区域的所有路由器上一致配置只要有一台没配邻居就建不起来因为 Hello 报文里的 Stub 标志位不匹配。这是 Stub 区域最常见的故障原因。Totally Stub 更激进连 Type 3 的区域间明细路由也挡掉只保留一条默认路由ospf 1 area 0.0.0.1 stub no-summary关键差异在于no-summary只需要在 ABR 上配置区域内其他路由器仍然配普通的stub。这个不对称设计很多人不理解其实逻辑很顺——no-summary是 ABR 的行为告诉它“别往这个区域发 Type 3 明细了”而stub是区域内所有路由器的属性必须一致。什么时候用哪个区域内网段不多、需要精确选路用普通 Stub区域是纯接入、只有一条出口用 Totally Stub能把 LSDB 压到最小。我在一个分支网络里用过 Totally Stub接入路由器 LSDB 从四百多条降到十几条内存占用直接降了一个数量级。4.2 NSSA 与外部路由引入的完整流程NSSANot-So-Stubby Area解决的是“区域既要挡外部路由、又需要引入自己外部路由”的矛盾。Area 2 就是这个场景R2 要引入 192.168.100.0/24 这条外部路由但不想让 Area 2 被 Type 5 污染。先在 R2 上配静态路由并引入 OSPFip route-static 192.168.100.0 255.255.255.0 10.0.26.2 # ospf 1 import-route static如果 Area 2 是普通区域这样配完 Type 5 LSA 就会泛洪进去。改成 NSSA 后行为变了ospf 1 area 0.0.0.2 nssa在 NSSA 内部外部路由以 Type 7 LSA 传播到了 ABRR2如果配置了translator-always或者满足转换条件Type 7 会被翻译成 Type 5 泛洪到其他区域。R5 作为 NSSA 内部路由器同样要配nssa。Totally NSSA 是nssa no-summary效果是既挡 Type 3 明细又支持外部引入同样只在 ABR 上配no-summary。这里有个必须注意的点NSSA 区域内引入的外部路由默认不会自动生成默认路由。如果 R5 需要访问其他区域得手工在 ABR 上加ospf 1 area 0.0.0.2 nssa default-route-advertise不加这条R5 去往 Area 0 的流量会因为找不到默认路由而丢包。我第一次配 NSSA 时就漏了这行排查了半天才发现路由表里只有区域内的条目。4.3 虚连接非骨干区域互联的补救方案假设业务要求 Area 1 和 Area 2 直接互联比如两个机房之间拉了一条直连光纤但协议规定非骨干区域不能直接建邻居。这时候用虚连接Virtual Link把 Area 1 通过 Area 0 桥接到 Area 2。虚连接配置在穿越区域的 ABR 上两端都要配参数是对方的 Router ID 和穿越的区域R1 上 ospf 1 area 0.0.0.1 vlink-peer 10.2.2.2 R2 上 ospf 1 area 0.0.0.2 vlink-peer 10.1.1.1虚连接的area是穿越区域不是要连的目标区域。这一点极容易搞错R1 要通过 Area 0 连到 R2但 R1 的vlink-peer应该配在骨干区域视图下还是 Area 1 视图下正确答案是配在穿越区域的视图下。因为虚连接本质是把穿越区域的一段链路“假装”成骨干链路所以配置位置取决于你打算穿越哪个区域。R1 需要穿越 Area 0 才能到 R2所以配在area 0.0.0.0下R2 同理也配在area 0.0.0.0下。我上面写的 R1 在 Area 1、R2 在 Area 2 是错的一半——正确做法是两端都配在 Area 0 视图下R1: ospf 1 area 0.0.0.0 vlink-peer 10.2.2.2 R2: ospf 1 area 0.0.0.0 vlink-peer 10.1.1.1配置完用display ospf vlink检查状态State应该显示Full。虚连接有两点必须提醒一是它依赖穿越区域的底层路由可达穿越区域断了虚连接也就断了所以不适合作为关键业务的唯一通道二是虚连接的 cost 等于穿越区域内的实际开销选路时可能不如物理直连路径优必要时在vlink-peer后面加cost参数调整。4.4 路由汇总减小 LSDB 的关键一招汇总分两类区域间汇总在 ABR 上做作用于 Type 3和外部路由汇总在 ASBR 上做作用于 Type 5。区域间汇总配在 ABR 的被汇总区域视图下。R1 要把 Area 1 的所有10.1.x.0/24汇总成10.1.0.0/16发给骨干ospf 1 area 0.0.0.1 abr-summary 10.1.0.0 255.255.0.0配置后R2、R3 的路由表里只会看到10.1.0.0/16具体明细被隐藏。但 R1 自己仍然保留明细因为它要负责转发。这个“汇总只对外、不对内”的特性意味着汇总路由器必须知道所有明细选路才不会出错。外部路由汇总配在 ASBR 上ospf 1 asbr-summary 192.168.0.0 255.255.0.0外部汇总有个坑如果 ASBR 引入的外部路由来自多个网段汇总后掩码算大了会把不存在的网段也包含进去形成黑洞。比如引入192.168.100.0/24和192.168.102.0/24汇总成192.168.96.0/19就包含了192.168.96.0-192.168.99.0这些不存在的地段一旦有流量打过去就丢包。汇总前务必用计算器确认掩码边界宁可多写几条精确的汇总也不要一条大掩码包打天下。还有一点汇总后如果某条明细路由消失汇总路由默认还会保留一段时间抑制期避免路由抖动。这个抑制期可以用abr-summary ... suppress相关参数调整但一般保持默认即可。5. 常见故障与排查实录5.1 邻居状态机卡住的四种典型场景OSPF 邻居建立要经过 Down、Init、2-Way、ExStart、Exchange、Loading、Full 七个状态卡在哪一步就直接指向了问题类型。卡在状态典型原因排查方法Init单向收到 Hello、ACL 拦截、组播被禁display ospf interface看 hello 收发计数2-Way广播网络里非 DR/BDR 的正常状态点对点网络则是 MTU 或网络类型不符display ospf interface看网络类型ExStartMTU 不一致最常见、Router ID 冲突display ospf peer看 MTUdisplay ospf brief看 router-idExchange/LoadingLSA 泛洪异常、MTU 导致大包丢弃检查接口 MTU抓包看 DBD 报文Init 状态我遇到最多。有一次两台设备之间隔了一台透明传输设备只透传单向组播结果两边都是 Init。这种场景光看 OSPF 配置永远查不出来得用display ospf interface看 Hello 报文的收发计数发出去的比收到的多基本就能确定是链路单向问题。ExStart 卡死九成是 MTU 不一致。比如一端是 1500、一端是 9000开了巨帧DBD 报文协商时大包过不去。解决办法要么统一 MTU要么在接口上加interface GigabitEthernet0/0/0 ospf mtu-enable这个命令让 OSPF 在 DBD 报文里携带真实 MTU 值双方协商取小值能绕过 MTU 不一致的问题。但它只是规避根子还是要统一链路 MTU。5.2 路由进不了表区域不匹配与过滤邻居 Full 了、LSDB 里也有 LSA但路由表里就是没有这类问题排查思路完全不同。第一种可能是区域号配错。R4 上写area 0.0.0.1R1 面向 R4 的接口写成area 0.0.0.10这种情况下邻居根本建不起来因为 Hello 报文里的 Area ID 必须一致。反过来说如果邻居能建起来区域号一定是匹配的所以这个方向可以先排除。第二种可能是路由过滤。区域视图下的filter命令会过滤 Type 3 LSAospf 1 area 0.0.0.1 filter import ip-prefix AREA1-IN或者用 ACL 方式filter import 2000。这类配置往往是很久以前为了临时解决某个问题加的事后忘了删。排查时用display current-configuration configuration ospf完整看一遍进程配置重点找filter、import-route、abr-summary这些会改变路由行为的命令。第三种可能是优先级冲突。同一目的网段如果同时有静态路由优先级 60和 OSPF 路由优先级 10OSPF 会胜出但如果前面还有直连路由优先级 0那 OSPF 就进不了表。用display ip routing-table 10.x.x.x verbose能看到所有候选路由和它们的优先级这个命令在排查“为什么这条路由没生效”时特别好用。5.3 问题速查表现象优先排查验证命令邻居建不起来区域号、认证、Hello/Dead 定时器display ospf peer邻居 Full 但无路由LSDB 是否有对应 LSAdisplay ospf lsdb有 LSA 但路由表没有路由过滤、优先级、汇总抑制display ip routing-table verbose跨区域不通ABR 是否真的连接骨干区域display ospf brief看区域列表Stub 区域邻居反复重建区域内是否所有设备都配了 stub逐台核对配置NSSA 引入路由不生效是否漏了 default-route-advertisedisplay ospf lsdb ase虚连接不通穿越区域底层路由是否可达display ospf vlink汇总后部分网段不通汇总掩码边界是否算错手工计算 CIDR 范围这张表里的“有 LSA 但路由表没有”和“汇总掩码算错”是我踩坑最多的两类。尤其汇总掩码用工具算一遍就能避免但偏偏很多人靠心算/22和/21差一位就多罩住一大片地址。6. 一些实操习惯与踩过的坑配置层面的东西上面说完了最后聊几个不那么“技术”但很影响效率的习惯。第一个习惯每次改 OSPF 配置前先备份配置。多区域环境下一条area命令写错可能让整个区域的邻居瞬间断开回滚比重配快得多。我现在的做法是改之前先display current-configuration configuration ospf存一份改完对比。第二个习惯区域划分图纸和实际配置要能对上。我接手过一个网络图纸上画的是三个区域实际配置里有五个两个是历史遗留没删的。排查跨区域不通时先花十分钟把display ospf brief里所有设备的区域列表列出来比盲猜快得多。第三个习惯Stub 和 NSSA 一定要在实验环境先验证一遍。这两类区域对配置一致性要求极高生产环境直接改一旦某台设备漏配整片区域瘫痪。本案例的所有配置我都是先在模拟器上跑通用display ospf lsdb逐条看过 LSA 类型确认 Type 3、Type 5、Type 7 的生成和泛洪范围符合预期才敢往真实设备上套。第四个习惯给每条链路加 description。看配置时To-R2-Area0比GigabitEthernet0/0/0好理解一百倍尤其半夜排障的时候脑子转得慢注释就是救命稻草。最后分享一个我最近才想明白的点多区域 OSPF 的“多”不是目的减少 LSDB 体积和隔离拓扑变化才是目的。有些网络明明只有几十个网段硬生生拆成五个区域结果 ABR 上要做五套汇总和过滤策略维护成本反而上升。判断标准很简单如果你的 LSDB 在display ospf lsdb里超过两页或者一次链路抖动会导致十台以上设备重算 SPF那就该考虑拆区域了否则单区域未必是坏选择。协议是工具不是面子工程。 多区域OSPF配置案例：区域划分、LSA汇总与NSSA排障
上篇那套单区域的 OSPF 配置跑通之后很多同行追问的下一个问题几乎一模一样业务网段一多LSDB 越来越胖路由器风扇开始叫怎么解。这篇就接着上篇的代码往下推讲一个完整的多区域 OSPF 配置案例。顺带说一句标题里写的 osps 应该是笔误实际指的肯定是 OSPFOpen Shortest Path First开放式最短路径优先下面所有内容都围绕这个协议展开不再纠结缩写。多区域 OSPF 配置真正难的地方不是多敲几行 area 命令而是你要先想清楚“区域边界切在哪、切完之后哪些 LSA 该过界、过界的路由要不要汇总、汇总完掩码怎么算”。这些想不明白配出来的多区域网络还不如单区域稳定。这篇适合两类人看一类是刚把单区域玩明白、准备上生产环境的初中级网络工程师另一类是被区域间路由莫名其妙不通折磨过、想系统性梳理一遍的运维同学。文中所有命令基于某主流厂商 VRP 风格的命令行给出其他厂商的等价命令我会在关键处标注对照关系抄作业前请先确认自己的设备版本。1. 为什么单区域撑不住多区域设计的真实动机1.1 单区域 OSPF 的三个隐性代价很多人以为单区域的问题只是“路由条目多”其实远不止。OSPF 是链路状态协议同区域内所有路由器的 LSDB 必须完全一致这意味着区域内每增加一台设备、每断一条链路全区域所有路由器都要重新跑一遍 SPF 算法。业务规模小的时候看不出来一旦区域内网段超过两三百个、设备超过几十台问题就会集中爆发。第一个代价是 LSDB 体积膨胀。每台路由器光保存拓扑就要吃掉可观的内存而且这些信息对边缘设备来说是纯浪费——一台只挂两个业务网段的接入路由器根本不需要知道全网拓扑。第二个代价是 SPF 计算风暴核心链路抖动一次区域内几十台设备同时重算CPU 瞬间打满期间转发虽然靠硬件表不中断但新的路由收敛会被拖慢出现“拓扑已经变了、路由表还没更新”的窗口期。第三个代价最隐蔽就是无法做区域间汇总。单区域里每条明细路由都要全网泛洪你想用一条10.1.0.0/16概括下面几十个10.1.x.0/24业务网段协议层面根本不支持——汇总只在区域边界上才有意义。这也是为什么规划阶段就要把区域切好等网络跑起来再拆分代价会大得多。1.2 区域划分的取舍按什么切、切几刀常见切法有三种。按地理切最直观一楼一个区、A 栋一个区链路故障影响范围天然被隔离按业务切更符合运维思维办公区、生产区、监控区、外联区各成一块做路由策略时边界清晰按设备角色切适合数据中心接入层一个区、汇聚层一个区把不稳定的边缘拓扑挡在骨干之外。我个人更倾向“业务为主、地理为辅”的混合切法。纯按地理切一个楼层里同时跑办公和生产一旦生产网段出问题整层办公都跟着重算隔离效果打折。纯按业务切跨楼宇的同业务流量要走骨干绕一圈时延反而增加。这里没有标准答案判断依据就一条你希望一次拓扑变化影响多大范围。切几刀也有讲究。OSPF 的区域数量理论上是 32 位区域 ID实际部署里超过十几个常规区域就该考虑拆分了因为每个 ABR 都要维护所有直连区域的 LSDB。还有一条硬规矩所有常规区域必须直接或间接挂在骨干区域Area 0上不允许两个非骨干区域直接互联。这条规矩是 OSPF 防环机制的根基违反了要么邻居建不起来要么得用虚连接补救。1.3 ABR 与 ASBR 的角色边界ABR区域边界路由器的定义很明确同时连接骨干区域和至少一个常规区域且至少有一个接口属于 Area 0。注意“接口属于 Area 0”这个条件有些人把一台路由器配了两个非骨干区域就当成 ABR实际上它只是普通内部路由器不会产生 Type 3 摘要 LSA也不会执行区域间汇总。ASBR自治系统边界路由器是引入外部路由的那台设备它会生成 Type 5 LSA或 NSSA 区域内的 Type 7。这两类角色经常被混淆因为它们都能“让路由出现在别的区域”。区别在于ABR 传递的是区域间路由Type 3拓扑上属于 OSPF 域内ASBR 传递的是外部路由Type 5来源可以是静态、直连、其他路由协议。实操中有一个容易踩的坑一台设备同时是 ABR 和 ASBR 时它产生的 Type 5 LSA 不会泛洪进 Stub 区域。如果你把外部路由引入放在了连接 Stub 区域的那台 ABR 上Stub 区域内的设备只能拿到一条默认路由看不到具体的外部明细。这不是配置错了是协议设计如此需要提前想清楚业务能不能接受默认路由兜底。2. 拓扑与地址规划先想清楚再敲命令2.1 案例拓扑与设备角色分配这个案例设计成“一个骨干 两个常规区域 一个外部引入”的经典结构规模不大但覆盖了绝大多数生产场景。拓扑是这样的两台 ABRR1、R2通过一条骨干链路互联R1 下挂 Area 1R2 下挂 Area 2另外挂一台骨干内部路由器 R3Area 1 里放 R4 跑业务网段Area 2 里放 R5 做 NSSA 实验R2 再连一台 R6 用来模拟外部路由引入。设备角色所在区域关键接口R1ABRArea 0 / Area 1GE0/0/0、GE0/0/1、GE0/0/2R2ABR ASBRArea 0 / Area 2GE0/0/0、GE0/0/1、GE0/0/2R3骨干内部路由器Area 0GE0/0/0R4区域内部路由器Area 1GE0/0/0、GE0/0/1R5NSSA 内部路由器Area 2GE0/0/0、GE0/0/1R6外部设备非 OSPFGE0/0/0这套角色分配不是随便排的。把 R2 同时设为 ABR 和 ASBR是为了演示“外部路由如何从 NSSA 之外传进来”把 R1 单独设为纯 ABR是为了干净地观察区域间汇总的效果。实际项目里角色重叠很常见但学习和排错阶段把职责拆开更容易定位问题。2.2 网段与区域编号的规划细节地址规划这块我坚持两条原则互联链路一律 /30业务网段按区域分大段。互联链路用 /30 而不是 /24一方面是省地址更重要的是防止有人误把互联网段当成业务网段接交换机掩码一限制这种误操作自然就被挡住了。具体规划如下网段用途地址掩码所属区域R1-R2 骨干互联10.0.12.0255.255.255.252Area 0R2-R3 骨干互联10.0.23.0255.255.255.252Area 0R1-R4 区域互联10.1.14.0255.255.255.252Area 1R2-R5 区域互联10.2.25.0255.255.255.252Area 2R1 Loopback10.1.1.1255.255.255.255Area 1R2 Loopback10.2.2.2255.255.255.255Area 2R4 业务网段10.1.10.0255.255.255.0Area 1R5 业务网段10.2.20.0255.255.255.0Area 2R2-R6 外部互联10.0.26.0255.255.255.252不参与 OSPF外部模拟网段192.168.100.0255.255.255.0通过静态引入区域 ID 用的是点分十进制格式0.0.0.0、0.0.0.1、0.0.0.2虽然命令行里也可以用整数area 1简写但建议统一用点分格式因为后续如果区域数量超过 255整数写法的可读性会崩掉而且点分格式和 IP 地址形态一致看配置文件时不容易看漏。选 10.1.x.x 给 Area 1、10.2.x.x 给 Area 2是有意让第二个字节跟区域编号对齐。这样在 R1 上看路由表一眼就能判断某条路由来自哪个区域汇总时也方便——Area 1 的所有业务网段天然落在10.1.0.0/16里面abr-summary 10.1.0.0 255.255.0.0一条就够了不用反复算掩码。这种“地址跟着区域走”的习惯是我踩过几次汇总算错掩码的坑之后养成的。2.3 Router ID 与接口开销的确定原则Router ID 必须全网唯一格式是 32 位点分十进制。VRP 的选举顺序是手动配置的 router-id 最大的 Loopback 接口地址 最大的物理接口地址。强烈建议手动指定尤其是设备重启顺序不确定的场景。我以前遇到过一台设备先起物理口、后起 LoopbackRouter ID 就变成了物理口地址跟另一台设备撞了邻居反复重建查了半小时才发现。本案例统一用 Loopback 地址做 Router IDR1 是 10.1.1.1R2 是 10.2.2.2R3 是 10.0.3.3R4 是 10.1.4.4R5 是 10.2.5.5。注意 R3 的 Loopback 我特意放进了 Area 0因为它是骨干路由器Loopback 跟着区域走比较干净。接口开销这块必须算一下。VRP 默认参考带宽是 100 Mbps开销 参考带宽 / 接口带宽结果小于 1 时取 1。GE 接口带宽 1000 Mbps算出 0.1取整为 1百兆口算出 1十兆口算出 10。问题在于现在到处都是 GE 起步所有链路开销都是 1OSPF 选路等于没得选只能按跳数比。千兆、万兆链路并存时默认开销无法体现带宽差异一定要改参考带宽system-view bandwidth-reference 10000改成 10000 Mbps 之后万兆口开销 1、千兆口开销 10、百兆口开销 100层次一下就出来了。这个命令要在区域内所有路由器上统一配置只要有一台没改同一条链路两端的开销计算口径就不一致可能出现单向选路不对称。这是我在一个混合带宽的项目里真实踩过的坑当时只改了核心层接入层没动结果去回程走了不同路径防火墙会话表直接被撑爆。3. 骨干区域与常规区域的落地配置3.1 骨干区域 ABR 的基础配置先配 R1它要承担 Area 0 和 Area 1 的边界职责。配置顺序建议是先配接口地址再配 OSPF 进程和 router-id最后把网段宣告进对应区域。system-view sysname R1 # interface GigabitEthernet0/0/0 description To-R2-Area0 ip address 10.0.12.1 255.255.255.252 # interface GigabitEthernet0/0/1 description To-R4-Area1 ip address 10.1.14.1 255.255.255.252 # interface GigabitEthernet0/0/2 description Business-Area1 ip address 10.1.1.1 255.255.255.0 # interface LoopBack0 ip address 10.1.1.1 255.255.255.255 # ospf 1 router-id 10.1.1.1 bandwidth-reference 10000 area 0.0.0.0 network 10.0.12.0 0.0.0.3 area 0.0.0.1 network 10.1.1.0 0.0.0.255 network 10.1.14.0 0.0.0.3这里有两个细节值得说。第一network命令后面跟的是反掩码wildcard mask不是子网掩码0.0.0.3对应255.255.255.252。新手最容易在这里写错写成255.255.255.252设备不报错但匹配不到接口结果接口地址有了、OSPF 邻居也建起来了但该网段进不了 LSDB。第二bandwidth-reference在进程视图下配置作用范围是整个 OSPF 进程。有些版本支持在接口下用ospf cost直接覆盖那种方式适合个别链路特殊调整全局统一还是改参考带宽更省事。另外提一句R1 的 Loopback 我放进了 Area 1 而不是 Area 0。严格来说 ABR 的 Loopback 放哪个区域都行只要 router-id 手动指定了就不影响邻居建立。但如果你的网络里用了loopback做管理地址又希望管理网段在骨干区域汇总那就应该放进 Area 0。这个选择会让路由表看起来不一样不是对错问题是需求问题。3.2 常规区域设备的配置差异R4 是 Area 1 内部的普通路由器配置逻辑和单区域时完全一样唯一的变化是area后面要写对区域号。system-view sysname R4 # interface GigabitEthernet0/0/0 description To-R1-Area1 ip address 10.1.14.2 255.255.255.252 # interface GigabitEthernet0/0/1 description Business-Net ip address 10.1.10.1 255.255.255.0 # interface LoopBack0 ip address 10.1.4.4 255.255.255.255 # ospf 1 router-id 10.1.4.4 bandwidth-reference 10000 area 0.0.0.1 network 10.1.14.0 0.0.0.3 network 10.1.10.0 0.0.0.255 network 10.1.4.4 0.0.0.0注意最后一行network 10.1.4.4 0.0.0.0反掩码全 0 表示精确匹配单个地址这是宣告 Loopback 的标准写法。有人图省事写成network 10.1.4.0 0.0.0.255如果 Loopback 是 /32这个网段匹配不到任何接口宣告直接失效。R2 的配置稍微复杂一点它同时是 ABR 和 ASBR还要连外部设备。ASBR 部分我放到第 4 章讲 NSSA 时一起说这里先把 OSPF 主体和骨干、Area 2 的连接配好system-view sysname R2 # interface GigabitEthernet0/0/0 description To-R1-Area0 ip address 10.0.12.2 255.255.255.252 # interface GigabitEthernet0/0/1 description To-R5-Area2 ip address 10.2.25.1 255.255.255.252 # interface GigabitEthernet0/0/2 description To-R3-Area0 ip address 10.0.23.2 255.255.255.252 # interface LoopBack0 ip address 10.2.2.2 255.255.255.255 # ospf 1 router-id 10.2.2.2 bandwidth-reference 10000 area 0.0.0.0 network 10.0.12.0 0.0.0.3 network 10.0.23.0 0.0.0.3 area 0.0.0.2 network 10.2.25.0 0.0.0.3 network 10.2.2.2 0.0.0.0这里 R2 的 Loopback 放进了 Area 2因为它同时是 Area 2 的 ABR把管理地址放在自己下辖的区域里在 Stub 化改造时比较好处理。3.3 验证邻居、LSDB、路由表三段式检查配置敲完别急着 ping按“邻居 → LSDB → 路由表”的顺序检查能快速定位问题出在哪一层。第一步看邻居状态display ospf peer brief正常输出应该是Full状态。如果卡在Init说明只收到对方的 Hello 没收到回应大概率是单向链路或 ACL 拦截卡在ExStart是 MTU 不匹配或者 Router ID 冲突卡在2-Way说明双方都不是 DR/BDR 且网络类型不对。这三种情况我在第 5 章会细说。第二步看 LSDB重点确认 Type 3 LSA 有没有跨区域传过来display ospf lsdb display ospf lsdb summary在 R4Area 1 内部路由器上执行display ospf lsdb summary应该能看到 R1 产生的 Type 3 LSA里面包含 Area 0 和 Area 2 的网段。这里有个判断技巧Type 3 LSA 的 Advertising Router 永远是 ABR 的 Router ID如果看到某个网段的 Type 3 是由非 ABR 设备产生的那说明区域配置有问题。第三步看路由表display ip routing-table protocol ospf在 R4 上应该能看到10.0.12.0/30、10.0.23.0/30、10.2.25.0/30、10.2.20.0/24这些 OSPF 路由协议列显示OSPF优先级是 10。如果某条路由缺失回到第二步看 LSDB 里有没有对应的 LSA有 LSA 没路由通常是路由过滤或者优先级问题没 LSA 就是泛洪或区域配置问题。三段式检查的价值在于把问题分层。我见过太多人一上来就ping不通就怀疑路由实际上邻居压根没建起来。按这个顺序走最多三轮就能定位到具体环节。4. 特殊区域与路由控制真正拉开差距的部分4.1 Stub 与 Totally Stub 的配置与效果差异Stub 区域的作用是拒绝 Type 4 和 Type 5 LSA 进入只保留区域内的 Type 1、Type 2 和区域间的 Type 3。ABR 会自动向 Stub 区域内下发一条 Type 3 的默认路由保证区域内设备能访问外部。配置很简单在区域内所有路由器包括 ABR 面向该区域的配置上加stubospf 1 area 0.0.0.1 stub注意stub命令必须在该区域的所有路由器上一致配置只要有一台没配邻居就建不起来因为 Hello 报文里的 Stub 标志位不匹配。这是 Stub 区域最常见的故障原因。Totally Stub 更激进连 Type 3 的区域间明细路由也挡掉只保留一条默认路由ospf 1 area 0.0.0.1 stub no-summary关键差异在于no-summary只需要在 ABR 上配置区域内其他路由器仍然配普通的stub。这个不对称设计很多人不理解其实逻辑很顺——no-summary是 ABR 的行为告诉它“别往这个区域发 Type 3 明细了”而stub是区域内所有路由器的属性必须一致。什么时候用哪个区域内网段不多、需要精确选路用普通 Stub区域是纯接入、只有一条出口用 Totally Stub能把 LSDB 压到最小。我在一个分支网络里用过 Totally Stub接入路由器 LSDB 从四百多条降到十几条内存占用直接降了一个数量级。4.2 NSSA 与外部路由引入的完整流程NSSANot-So-Stubby Area解决的是“区域既要挡外部路由、又需要引入自己外部路由”的矛盾。Area 2 就是这个场景R2 要引入 192.168.100.0/24 这条外部路由但不想让 Area 2 被 Type 5 污染。先在 R2 上配静态路由并引入 OSPFip route-static 192.168.100.0 255.255.255.0 10.0.26.2 # ospf 1 import-route static如果 Area 2 是普通区域这样配完 Type 5 LSA 就会泛洪进去。改成 NSSA 后行为变了ospf 1 area 0.0.0.2 nssa在 NSSA 内部外部路由以 Type 7 LSA 传播到了 ABRR2如果配置了translator-always或者满足转换条件Type 7 会被翻译成 Type 5 泛洪到其他区域。R5 作为 NSSA 内部路由器同样要配nssa。Totally NSSA 是nssa no-summary效果是既挡 Type 3 明细又支持外部引入同样只在 ABR 上配no-summary。这里有个必须注意的点NSSA 区域内引入的外部路由默认不会自动生成默认路由。如果 R5 需要访问其他区域得手工在 ABR 上加ospf 1 area 0.0.0.2 nssa default-route-advertise不加这条R5 去往 Area 0 的流量会因为找不到默认路由而丢包。我第一次配 NSSA 时就漏了这行排查了半天才发现路由表里只有区域内的条目。4.3 虚连接非骨干区域互联的补救方案假设业务要求 Area 1 和 Area 2 直接互联比如两个机房之间拉了一条直连光纤但协议规定非骨干区域不能直接建邻居。这时候用虚连接Virtual Link把 Area 1 通过 Area 0 桥接到 Area 2。虚连接配置在穿越区域的 ABR 上两端都要配参数是对方的 Router ID 和穿越的区域R1 上 ospf 1 area 0.0.0.1 vlink-peer 10.2.2.2 R2 上 ospf 1 area 0.0.0.2 vlink-peer 10.1.1.1虚连接的area是穿越区域不是要连的目标区域。这一点极容易搞错R1 要通过 Area 0 连到 R2但 R1 的vlink-peer应该配在骨干区域视图下还是 Area 1 视图下正确答案是配在穿越区域的视图下。因为虚连接本质是把穿越区域的一段链路“假装”成骨干链路所以配置位置取决于你打算穿越哪个区域。R1 需要穿越 Area 0 才能到 R2所以配在area 0.0.0.0下R2 同理也配在area 0.0.0.0下。我上面写的 R1 在 Area 1、R2 在 Area 2 是错的一半——正确做法是两端都配在 Area 0 视图下R1: ospf 1 area 0.0.0.0 vlink-peer 10.2.2.2 R2: ospf 1 area 0.0.0.0 vlink-peer 10.1.1.1配置完用display ospf vlink检查状态State应该显示Full。虚连接有两点必须提醒一是它依赖穿越区域的底层路由可达穿越区域断了虚连接也就断了所以不适合作为关键业务的唯一通道二是虚连接的 cost 等于穿越区域内的实际开销选路时可能不如物理直连路径优必要时在vlink-peer后面加cost参数调整。4.4 路由汇总减小 LSDB 的关键一招汇总分两类区域间汇总在 ABR 上做作用于 Type 3和外部路由汇总在 ASBR 上做作用于 Type 5。区域间汇总配在 ABR 的被汇总区域视图下。R1 要把 Area 1 的所有10.1.x.0/24汇总成10.1.0.0/16发给骨干ospf 1 area 0.0.0.1 abr-summary 10.1.0.0 255.255.0.0配置后R2、R3 的路由表里只会看到10.1.0.0/16具体明细被隐藏。但 R1 自己仍然保留明细因为它要负责转发。这个“汇总只对外、不对内”的特性意味着汇总路由器必须知道所有明细选路才不会出错。外部路由汇总配在 ASBR 上ospf 1 asbr-summary 192.168.0.0 255.255.0.0外部汇总有个坑如果 ASBR 引入的外部路由来自多个网段汇总后掩码算大了会把不存在的网段也包含进去形成黑洞。比如引入192.168.100.0/24和192.168.102.0/24汇总成192.168.96.0/19就包含了192.168.96.0-192.168.99.0这些不存在的地段一旦有流量打过去就丢包。汇总前务必用计算器确认掩码边界宁可多写几条精确的汇总也不要一条大掩码包打天下。还有一点汇总后如果某条明细路由消失汇总路由默认还会保留一段时间抑制期避免路由抖动。这个抑制期可以用abr-summary ... suppress相关参数调整但一般保持默认即可。5. 常见故障与排查实录5.1 邻居状态机卡住的四种典型场景OSPF 邻居建立要经过 Down、Init、2-Way、ExStart、Exchange、Loading、Full 七个状态卡在哪一步就直接指向了问题类型。卡在状态典型原因排查方法Init单向收到 Hello、ACL 拦截、组播被禁display ospf interface看 hello 收发计数2-Way广播网络里非 DR/BDR 的正常状态点对点网络则是 MTU 或网络类型不符display ospf interface看网络类型ExStartMTU 不一致最常见、Router ID 冲突display ospf peer看 MTUdisplay ospf brief看 router-idExchange/LoadingLSA 泛洪异常、MTU 导致大包丢弃检查接口 MTU抓包看 DBD 报文Init 状态我遇到最多。有一次两台设备之间隔了一台透明传输设备只透传单向组播结果两边都是 Init。这种场景光看 OSPF 配置永远查不出来得用display ospf interface看 Hello 报文的收发计数发出去的比收到的多基本就能确定是链路单向问题。ExStart 卡死九成是 MTU 不一致。比如一端是 1500、一端是 9000开了巨帧DBD 报文协商时大包过不去。解决办法要么统一 MTU要么在接口上加interface GigabitEthernet0/0/0 ospf mtu-enable这个命令让 OSPF 在 DBD 报文里携带真实 MTU 值双方协商取小值能绕过 MTU 不一致的问题。但它只是规避根子还是要统一链路 MTU。5.2 路由进不了表区域不匹配与过滤邻居 Full 了、LSDB 里也有 LSA但路由表里就是没有这类问题排查思路完全不同。第一种可能是区域号配错。R4 上写area 0.0.0.1R1 面向 R4 的接口写成area 0.0.0.10这种情况下邻居根本建不起来因为 Hello 报文里的 Area ID 必须一致。反过来说如果邻居能建起来区域号一定是匹配的所以这个方向可以先排除。第二种可能是路由过滤。区域视图下的filter命令会过滤 Type 3 LSAospf 1 area 0.0.0.1 filter import ip-prefix AREA1-IN或者用 ACL 方式filter import 2000。这类配置往往是很久以前为了临时解决某个问题加的事后忘了删。排查时用display current-configuration configuration ospf完整看一遍进程配置重点找filter、import-route、abr-summary这些会改变路由行为的命令。第三种可能是优先级冲突。同一目的网段如果同时有静态路由优先级 60和 OSPF 路由优先级 10OSPF 会胜出但如果前面还有直连路由优先级 0那 OSPF 就进不了表。用display ip routing-table 10.x.x.x verbose能看到所有候选路由和它们的优先级这个命令在排查“为什么这条路由没生效”时特别好用。5.3 问题速查表现象优先排查验证命令邻居建不起来区域号、认证、Hello/Dead 定时器display ospf peer邻居 Full 但无路由LSDB 是否有对应 LSAdisplay ospf lsdb有 LSA 但路由表没有路由过滤、优先级、汇总抑制display ip routing-table verbose跨区域不通ABR 是否真的连接骨干区域display ospf brief看区域列表Stub 区域邻居反复重建区域内是否所有设备都配了 stub逐台核对配置NSSA 引入路由不生效是否漏了 default-route-advertisedisplay ospf lsdb ase虚连接不通穿越区域底层路由是否可达display ospf vlink汇总后部分网段不通汇总掩码边界是否算错手工计算 CIDR 范围这张表里的“有 LSA 但路由表没有”和“汇总掩码算错”是我踩坑最多的两类。尤其汇总掩码用工具算一遍就能避免但偏偏很多人靠心算/22和/21差一位就多罩住一大片地址。6. 一些实操习惯与踩过的坑配置层面的东西上面说完了最后聊几个不那么“技术”但很影响效率的习惯。第一个习惯每次改 OSPF 配置前先备份配置。多区域环境下一条area命令写错可能让整个区域的邻居瞬间断开回滚比重配快得多。我现在的做法是改之前先display current-configuration configuration ospf存一份改完对比。第二个习惯区域划分图纸和实际配置要能对上。我接手过一个网络图纸上画的是三个区域实际配置里有五个两个是历史遗留没删的。排查跨区域不通时先花十分钟把display ospf brief里所有设备的区域列表列出来比盲猜快得多。第三个习惯Stub 和 NSSA 一定要在实验环境先验证一遍。这两类区域对配置一致性要求极高生产环境直接改一旦某台设备漏配整片区域瘫痪。本案例的所有配置我都是先在模拟器上跑通用display ospf lsdb逐条看过 LSA 类型确认 Type 3、Type 5、Type 7 的生成和泛洪范围符合预期才敢往真实设备上套。第四个习惯给每条链路加 description。看配置时To-R2-Area0比GigabitEthernet0/0/0好理解一百倍尤其半夜排障的时候脑子转得慢注释就是救命稻草。最后分享一个我最近才想明白的点多区域 OSPF 的“多”不是目的减少 LSDB 体积和隔离拓扑变化才是目的。有些网络明明只有几十个网段硬生生拆成五个区域结果 ABR 上要做五套汇总和过滤策略维护成本反而上升。判断标准很简单如果你的 LSDB 在display ospf lsdb里超过两页或者一次链路抖动会导致十台以上设备重算 SPF那就该考虑拆区域了否则单区域未必是坏选择。协议是工具不是面子工程。