1. 这次实验到底在验证什么别把综合实验做成命令默写先说个现象。身边不少朋友做OSPF实验习惯照着一张配置表敲命令敲完show ip ospf neighbor看到Full就觉得自己会了。结果到面试或实际项目里被问一句“为什么这里要配多区域”“为什么这条路由走的是这个出口”一下就卡壳。我这次搭的OSPF综合实验就是想把这些“知其然不知其所以然”的地方一次性补齐。实验的核心目标很简单用一组路由器搭建一个多区域OSPF网络让所有网段互通同时验证区域划分、路由汇总、认证、特殊区域、默认路由注入这些在生产环境里真正会用到的东西。适合刚学完OSPF基础、想系统做一次综合练习的人也适合准备网络认证考试、想梳理知识体系的同学。之所以强调“综合”是因为单区域实验掩盖了太多问题。比如单区域里你根本感受不到LSA类型之间的区别也不理解为什么ABR区域边界路由器是关键节点更不会意识到DR/BDR选举在广播链路里带来的收敛差异。这些都是综合实验才能逼你面对的。我做实验用的环境是纯命令行模拟器三台核心路由器组成骨干区域两台分支路由器挂在区域1下面另外还有一台模拟外部网络的设备。拓扑不复杂但每个知识点都能落到位。2. 动手前的关键铺垫OSPF核心机制里最影响实验结果的几个点2.1 邻居关系建立的底层逻辑Hello与Dead间隔综合实验最容易翻车的地方就是邻居起不来。而邻居起不来的头号原因就是相邻接口的Hello间隔或Dead间隔不一致。OSPF通过周期性发送Hello报文来发现和维护邻居关系默认情况下Hello间隔是10秒Dead间隔是Hello间隔的4倍也就是40秒。如果一侧改了Hello时间而另一侧没改两边会一直互相发Hello但就是无法进入Two-Way状态因为彼此都认为对方的参数不匹配。这个机制很像两个人约见面一个说“每10分钟报个到”另一个说“每30秒报个到”节奏对不上就永远确认不了对方还在。实验里我特意把其中两台路由器的接口Hello时间改了让学员先看一眼症状邻居状态卡在Init来回翻。再把参数改回来状态立刻就恢复到Full。这个环节值得亲手做一遍比背十遍理论都管用。2.2 DR/BDR选举广播链路里的隐形老大在以太网这类广播型多路访问链路上OSPF会选举DR指定路由器和BDR备份指定路由器其他路由器只和DR、BDR建立Full邻居关系DR与BDR之间也建立Full关系而普通路由器之间保持Two-Way状态。这个机制的核心价值是减少邻接关系的数量和LSA泛洪的重复。打个比方一屋子人开会如果每个人都要发言一遍信息会乱套选出主持人DR和记录员BDR后其他人只需要和主持人沟通再由主持人统一传达效率高得多。实验中我在骨干区域接了一台交换机组三台路由器在上面。连续做两次clear ip ospf process观察Router ID最大的那台总是成为DR。原因在于选举的优先级规则先比接口优先级默认都是1再比Router ID数值大者胜出。这就是为什么很多生产环境会用Loopback地址的IP来设定Router ID——比物理接口的稳定性更高且便于记忆和排错。2.3 COST计算为什么千兆口和百兆口走的路不一样OSPF选路的核心指标是COST默认计算公式是100Mbps除以接口带宽。这意味着百兆接口COST是1千兆接口COST是0.1取整后也是1。这就是个坑如果你沿用默认参考带宽所有千兆和百兆链路算出来COST都是1完全看不出差异。所以综合实验里必须在进程下配置auto-cost reference-bandwidth把参考带宽调成10000单位Mbps对应10G这样千兆口COST是10百兆口COST是100路由计算才有区分度。我在两台核心设备之间跑了一条千兆链路重叠一条百兆链路调完参考带宽后观察路由表下一跳自动选择了千兆链路。这个细节直接关系到生产环境中链路负载不均的问题值得单独拿出来验证。3. 按部就班搭环境从接口IP到全网路由全通3.1 地址规划与接口配置先交代一下地址规划。骨干区域Area 0放三台设备R1、R2、R3。区域1挂R3、R4、R5。R2额外接一台模拟外部网络的设备用来验证默认路由注入。Loopback地址统一用设备编号R1是1.1.1.1/32R2是2.2.2.2/32依此类推。互联地址我习惯用10.0.x.y/30这类前缀既能节省地址也能逻辑清晰地标识是哪两台设备之间的链路。比如R1与R2之间用10.0.12.0/30R1接口10.0.12.1/30R2接口10.0.12.2/30。前缀里的“12”就代表R1和R2之间的链路排错时看地址就知道拓扑关系。业务网段方面R4下面挂一个模拟用户的VLAN网段192.168.10.0/24R5下面挂192.168.20.0/24。这两个网段就是最终要跨区域互通的“用户业务”。接口配置没什么特殊就是进接口视图配IP地址和启用。需要提醒的是物理接口一定要确认状态是up/up很多实验做到一半发现路由不通回头一看是接口没插线或者被shutdown了。3.2 OSPF基础配置与进程参数每台设备上创建一个OSPF进程进程号可以本地有效不用全局统一但要保持Router ID全局唯一。Router ID我喜欢用手工指定的方式避免因接口地址变动导致Router ID漂移从而引发邻居关系重建和不必要的路由震荡。宣告网段时使用的是反掩码。例如宣告Loopback地址用network 1.1.1.1 0.0.0.0 area 0宣告互联地址用network 10.0.12.0 0.0.0.3 area 0。很多人容易把反掩码配成子网掩码比如写成255.255.255.252这会导致宣告的网段范围完全错乱OSPF进程无法正常工作。各设备的区域划分如下R1、R2、R3的Loopback和互联接口全部落在Area 0R3与R4、R5互联的接口落在Area 1R4、R5连接用户的接口也宣告在Area 1。R3作为ABR同时维护Area 0和Area 1的LSDB承载跨区域路由的转换职责。配置完成后先看邻居状态和路由表R1# show ip ospf neighbor Neighbor ID Pri State Dead Time Address Interface 2.2.2.2 1 Full/DR 00:00:37 10.0.12.2 GigabitEthernet0/0/0 3.3.3.3 1 Full/DR 00:00:38 10.0.13.3 GigabitEthernet0/0/1这段输出意思是R1和R2、R3都建立了Full邻居关系。因为R2、R3的Router ID更大所以它们在这两条链路上担任DR。再看路由表应该能看到1.1.1.1、2.2.2.2、3.3.3.3这几条Loopback路由以及各互联网段的路由且来源标识为OSPF。3.3 跨区域路由的类型差异O E2和O IA全网互通后重点看路由表里的O和O IA。区域内的路由是O带OSPF内部路由属性跨区域的路由则显示为O IA含义是Inter-Area路由表示这条路由是从其他区域学习来的。R1上查看192.168.10.0/24这条路由来源是O IA下一跳指向R3。这个现象背后是OSPF的区域化设计理念末梢区域不需要了解骨干区域的拓扑细节ABR将区域内的路由以汇总的形式Type 3 LSA通告给骨干区域再由骨干区域转发给其他区域。区域划分的本质就是把故障域和路由计算范围隔离降低每台设备维护LSDB的规模。验证链路是否真的通了在R1上ping 192.168.10.1能通说明跨区域的LSA传播和路由计算都正常。我还会顺手在R1上跟踪一下路径traceroute 192.168.10.1看到路径经过R3的互联地址逻辑就完整了。4. 进阶配置把综合实验做出“生产环境”的味道4.1 区域认证与接口认证给邻居关系加一把锁生产环境里OSPF邻居关系需要认证保护防止非法设备接入后伪造路由信息。综合实验里我分别在骨干区域启用了区域认证在Area 1单独配置了接口认证。区域认证是在区域视图下统一开启所有加入该区域的接口都必须配置相同的认证密钥接口认证则更灵活可以在某一对链路单独启用不影响区域内其他接口。配置时用的口令是密文形式设备不会在配置里明文显示。做个模拟场景我把R4的密钥悄悄改掉然后观察R3与R4的邻居关系状态会从Full变成Down然后反复尝试建立认证一直在Attempt或Init状态打转。直到把密钥改回去邻居关系才恢复。这一步在实际维护中意义很大。很多OSPF网络异常最后查出来都是新增设备时密钥敲错了一个字符或者区域认证和接口认证混用导致参数对不上。实验里亲手制造一次这种故障以后遇到就能快速定位。4.2 路由汇总让Area 1的路由干净利落地进入骨干R4挂着192.168.10.0/24R5挂着192.168.20.0/24。如果不做汇总ABR R3会通告两条Type 3 LSA给Area 0泛洪范围扩大每台设备的路由表也要多维护两条条目。在R3的Area 1视图下配置汇总命令后两条具体路由被聚合为192.168.0.0/16通告出去。配置完成后回R1上看路由表192.168.10.0/24和192.168.20.0/24都不见了取而代之的是一条192.168.0.0/16的O IA路由。这个效果非常直观——路由汇总能把区域边界上的明细路由收敛成一条聚合路由显著减少骨干区域的路由条目数量和LSA泛洪。但汇总不是万能的它要求区域内部的地址规划本身具备连续性。如果R4上挂的网段是192.168.10.0/24而R5上挂的是172.16.20.0/24那无论如何都汇总不到一条干净的聚合路由里。所以地址规划阶段就要考虑汇总需求否则后面再调整会很痛苦。4.3 Stub区域与完全Stub区域切断外部路由的传播Stub区域的作用是阻挡Type 4和Type 5 LSA进入区域内设备无法学习到外部路由只保留区域内部和跨区域路由并由ABR自动注入一条默认路由。这样做的价值很明显区域内设备的路由表大幅瘦身CPU与内存开销降低收敛也更快。我把Area 1配置为Stub区域在R3和R4、R5上都做了对应配置。配置完在R4上查看路由表192.168.0.0/16这条汇总路由还在但任何外部路由的明细都看不见取而代之的是一条0.0.0.0/0的默认路由指向R3。如果还嫌不够彻底可以进一步配置完全Stub区域。完全Stub区域不仅阻止外部路由还阻止跨区域明细路由只保留一条默认路由。我把Area 1改成完全Stub后R4的路由表里连192.168.0.0/16都没有了只有一条默认路由。内部设备访问外部任何网段都把流量交给ABR由它去做实际转发决策。这个设计方案在生产中很适合那些只承载终端用户、不需要知道全网拓扑的分支机构网络。4.4 默认路由注入让全网访问外部网络R2上有一条通向外部模拟网络的静态路由但OSPF进程本身不会传播静态路由需要在R2的OSPF进程里配置default-route-advertise always。加了always参数后即使本地没有默认路由也会强制通告一条默认路由给OSPF域内其他设备。配置完在R1上观看路由表能看到一条O*E2的默认路由表示它是一条OSPF外部默认路由管理距离和开销都按外部路由规则处理。此时R1上任何目的地址不在OSPF域内的流量都会被引导到R2再由R2交给外部网络。这个场景就是典型的企业出口网络内部跑OSPF做动态路由出口设备上有到运营商的默认路由然后注入OSPF全网设备都自动获得上网路由。比在每台设备上手动配默认路由省事太多而且出口切换时只要R2上的路由变化OSPF会自动更新。5. 故障复现与排查链路邻居起不来到底卡在哪一步5.1 第一轮排查从物理层到参数层做实验的过程中R4一直无法和R3建立邻居关系。我按常规排查思路一步步走先看接口状态up/up正常再检查IP地址和反掩码没问题接着看两端OSPF区域ID都是Area 1一致检查认证配置两边密钥相同也一致。随后再看两端接口的Hello和Dead间隔发现R4的Hello间隔被改成5秒Dead间隔20秒而R3上仍是最初的10秒/40秒。这就是“参数不匹配”导致的邻居无法建立。把R4的间隔改回10秒/40秒后邻居关系在几十秒内建立起来状态进入Full。排查中我刻意没有一开始就看OSPF参数而是按物理层、链路层、网络层、OSPF层的顺序逐层推进。这个顺序在真实项目里非常重要——如果接口都没up后面所有的OSPF配置检查都是白费功夫。越是熟练的工程师越要克制“直接看OSPF配置”的冲动。5.2 第二轮排查网络类型不一致引发的问题第二处故障出在R3与R5之间。两台路由器互联接口的OSPF网络类型不一致R3上因历史配置被设为了point-to-point而R5上保持默认的broadcast。结果两边能收到Hello报文却始终无法建立Full邻居关系。原因是网络类型影响Hello报文的发送方式和邻居发现机制。point-to-point网络不会进行DR/BDR选举而broadcast网络会先选举DR/BDR再建立邻接关系。两者状态机不能对齐就一直僵持在Two-Way左右。把R3的接口网络类型改成broadcast或者把R5也改成point-to-point问题立刻消失。这个故障在生产里很多见尤其是涉及不同厂商设备互联时默认的OSPF网络类型可能不同比如一种链路默认是point-to-point另一种默认是broadcast。两边没人协调就会莫名其妙邻居起不来。做实验时手动制造一次这种不匹配比看十遍文档都入脑。5.3 第三轮排查Router ID冲突的隐蔽性第三处故障隐蔽性最强。R5和R4的Router ID都被配成了5.5.5.5刚开始两台设备之间的邻居关系能建立但过一会儿就断开还伴随频繁的“Duplicate Router ID”日志。原因是OSPF要求域内Router ID唯一冲突会导致LSDB中的路由器信息混乱进而影响SPF计算和路由稳定性。把R4的Router ID改成4.4.4.4并重启OSPF进程后一切恢复正常。这个坑提示了一件事综合实验里一定要养成统一规划Router ID的习惯。我通常会用Loopback地址的最后一段作为Router ID比如Loopback是4.4.4.4/32Router ID就配4.4.4.4形成“编号即地址地址即身份”的对应关系后期排错一眼就能看出是哪台设备。6. 验证清单与几个容易忽略的细节6.1 一套可复用的验证顺序实验做完后我习惯按顺序过一遍验证清单避免漏掉隐性错误。首先是show ip ospf neighbor确认每个邻居关系都是FullDR/BDR角色符合预期其次是show ip route ospf观察O、O IA、O*E2路由类型是否和设计一致最后是show ip ospf database检查LSA类型与数量。具体到每个Session的检查点可以参考下面这个表格验证项期望结果说明邻居状态全部Full若有卡在Init或Two-Way的接口优先查Hello间隔、区域ID、认证、网络类型路由表内容明细路由汇总路由并存区域1内看到明细骨干区域看到汇总符合设计默认路由R1上有静态默认经R2注入通过default-route-advertise always实现路径选择千兆链路优先于百兆链路通过调整参考带宽使COST差异显性化故障恢复断开R3与R5直连链路后流量走R3-R4-R5备份路径OSPF收敛时间受Hello Dead间隔影响避免频繁抖动6.2 容易被忽略的配置细节与经验心得有一个细节特别容易遗漏Passive接口。如果某台路由器连着一个只接终端用户的接口又不想让这个接口发送OSPF报文应该在OSPF进程里把它配置为Passive。但如果误把互联接口也配成Passive邻居就直接起不来了。排查时看到某个接口状态正常但邻居始终不存在要记得看一眼是不是被设成了Passive。还有一个细节是手工指定Router ID之后重启OSPF进程的时机。修改Router ID后如果不重启OSPF进程新Router ID不会立即生效常导致排错时的误判。所以每次改动身份类参数后最好明确重启进程让配置真正生效。最后一个心得关于实验记录。我习惯每完成一个阶段的配置就截一下邻居状态和路由表输出。之后做故障复现时对比正常状态和故障状态的路由表、邻居表差异排查起来效率极高。这也是工作中排查真实网络故障最实用的习惯——没有基线数据就不知道异常从哪一步开始。