1. 为什么NSSA区域的路由计算值得单独拎出来讲OSPF这个协议干网络这行的都不陌生但真要说到NSSANot-So-Stubby Area区域里的路由计算尤其是FAForwarding Address值掺和进来之后的那套逻辑能一口气讲清楚的人还真不多。我见过不少兄弟平时配个OSPF邻居、宣告个网段都没问题一旦碰到NSSA里ASBR和ABR共存、外部路由一会儿走Type-7一会儿转Type-5的场景排查起来就开始抓瞎。明明邻居是Full的数据库里LSA也都有可路由表里下一跳就是不对或者干脆路由出不来。这篇东西就是冲着这个痛点来的。我会把NSSA区域里外部路由从引入、泛洪、Type-7转Type-5到FA值如何影响最终下一跳计算的完整链路拆开讲并且用实验的方式把FA值为0和非0两种情况的差异跑出来给你看。适合已经懂OSPF基础、能独立完成单区域配置但对NSSA和FA这块一直模棱两可的运维和网络工程师。看完你至少能做到两件事第一看到NSSA里的路由问题知道从哪几个LSA下手查第二配FA值的时候心里清楚自己在干什么而不是照抄模板。先说清楚一个前提NSSA的设计初衷是让一个区域既能像Stub区域那样不接收Type-5外部LSA又能自己引入外部路由。这个“既要又要”的需求靠的就是Type-7 LSA。Type-7只能在NSSA内部泛洪出了NSSA边界就得由ABR转成Type-5。而FA值就是Type-7 LSA里一个决定“这条外部路由的下一跳到底算谁”的关键字段。很多人配NSSA的时候压根没关注过FA默认就是0.0.0.0结果在某些拓扑下路由能通换个拓扑就不通了根源就在这。2. NSSA区域路由计算的核心机制拆解2.1 Type-7 LSA和Type-5 LSA的本质区别要搞懂NSSA的路由计算第一步必须把Type-7和Type-5这两个LSA的关系理清楚。Type-5是标准的AS External LSA它可以在整个OSPF自治系统里泛洪除了Stub和NSSA区域。Type-7叫NSSA External LSA它的作用域被严格限制在NSSA区域内部出了这个区域就失效。为什么要有Type-7因为NSSA区域里的ASBR如果直接发Type-5那这个区域就不叫NSSA了跟普通区域没区别。所以协议设计上让NSSA内的ASBR发Type-7然后由NSSA的ABR负责把Type-7翻译成Type-5再泛洪到其他区域。这个翻译过程不是无条件的它有几个前提条件其中FA值就是决定翻译行为和下一跳计算的核心因素之一。从路由计算的角度看一台路由器收到Type-7 LSA后计算外部路由的下一跳时会看FA字段。如果FA是0.0.0.0那下一跳就是产生这条Type-7的ASBR的地址通过Router LSA找到如果FA非0那下一跳就要递归到FA这个地址去查路由。这个差异直接决定了流量走哪条路。2.2 FA值的两种取值场景与底层逻辑FA值在Type-7 LSA里本质上是一个IPv4地址它告诉其他路由器“你要去这个外部网段下一跳请找这个地址。”它的取值分两种情况。第一种FA为0.0.0.0。这是默认行为。什么时候会是0当引入外部路由的ASBR在NSSA区域内且它引入的外部路由的下一跳接口没有参与OSPF或者引入时没有指定FA地址协议就填0。这时候收到Type-7的路由器会认为去外部网段的下一跳就是这台ASBR本身。于是它会去查ASBR的Router LSA找到ASBR在NSSA内的接口地址作为下一跳。第二种FA非0。这通常发生在ASBR引入外部路由时外部路由的下一跳地址落在了OSPF的某个网段内且该网段在NSSA区域里是可达的。这时候ASBR会把那个下一跳地址填进FA字段。收到Type-7的路由器看到FA非0就不会再去找ASBR了而是直接递归查FA地址的路由找到去FA的下一跳。这样做的好处是避免了流量绕行到ASBR再转发实现了最优路径。这里有个很容易踩的坑FA非0的时候FA地址必须在NSSA区域内通过OSPF可达否则这条Type-7路由会被忽略路由直接出不来。我见过有人引入外部路由时下一跳指向了一个不在OSPF里的接口地址结果FA填了那个地址NSSA内其他路由器查不到FA的路由路由就丢了。2.3 ABR的Type-7转Type-5翻译规则NSSA的ABR在把Type-7转成Type-5的时候不是无脑转的它有一套P-bit和FA相关的判断逻辑。P-bit是Type-7 LSA里的一个标志位叫Propagate bit。当P-bit置1时ABR才会考虑把这条Type-7翻译成Type-5泛洪出去P-bit为0ABR就不翻译这条外部路由就只在NSSA内部有效。那P-bit什么时候置1这又跟FA有关。一般来说如果Type-7是在NSSA内部由ASBR产生的且满足翻译条件P-bit会被置1。翻译的时候Type-5里的FA字段会继承Type-7里的FA值。如果Type-7的FA是0翻译出来的Type-5的FA也是0那其他区域的路由器计算这条外部路由时下一跳会指向ABR因为Type-5是ABR产生的。如果Type-7的FA非0翻译出来的Type-5的FA也非0其他区域的路由器就会直接递归到FA地址可能绕过ABR实现次优路径的避免。这套机制的核心目的是让外部路由的下一跳尽可能接近真实的最优转发点而不是强制经过ABR或ASBR。理解了这个设计意图再看配置命令里的FA相关选项就知道每一步在干什么了。3. 实验环境搭建与基础配置3.1 拓扑设计与地址规划光讲理论没意思咱们直接上实验。我设计的拓扑是这样的三台路由器R1在Area 0R2是ABR同时连接Area 0和Area 1NSSAR3在Area 1内部作为ASBR引入外部静态路由。R2和R3之间跑NSSAR1和R2之间跑普通Area 0。地址规划上R1-R2互联用10.0.12.0/30R2-R3互联用10.0.23.0/30。R3上引入一条外部路由192.168.100.0/24下一跳指向R3的Loopback03.3.3.3/32。R3的Loopback0也参与OSPF放在Area 1里。这样设计是为了后面能灵活控制FA值——当外部路由的下一跳是3.3.3.3时如果这个地址在NSSA内OSPF可达FA就可以非0。R1的Loopback0是1.1.1.1/32R2的Loopback0是2.2.2.2/32都作为Router ID和测试地址。所有互联接口和Loopback都宣告进OSPFArea 1配置为NSSA。3.2 基础OSPF配置与NSSA区域声明先看R1的配置它就是普通Area 0的路由器R1(config)# router ospf 1 R1(config-router)# router-id 1.1.1.1 R1(config-router)# network 10.0.12.0 0.0.0.3 area 0 R1(config-router)# network 1.1.1.1 0.0.0.0 area 0R2作为ABR一边Area 0一边Area 1Area 1要声明成NSSAR2(config)# router ospf 1 R2(config-router)# router-id 2.2.2.2 R2(config-router)# network 10.0.12.0 0.0.0.3 area 0 R2(config-router)# network 10.0.23.0 0.0.0.3 area 1 R2(config-router)# network 2.2.2.2 0.0.0.0 area 0 R2(config-router)# area 1 nssaR3在Area 1内部也是NSSA区域同时它是ASBRR3(config)# router ospf 1 R3(config-router)# router-id 3.3.3.3 R3(config-router)# network 10.0.23.0 0.0.0.3 area 1 R3(config-router)# network 3.3.3.3 0.0.0.0 area 1 R3(config-router)# area 1 nssa配完这些先确认邻居关系都起来了。R1和R2在Area 0形成FullR2和R3在Area 1形成Full。用show ip ospf neighbor检查状态都是Full就对了。这时候Area 1里还没有外部路由R3还没做引入。3.3 外部路由引入与FA值控制方法接下来在R3上引入外部静态路由。先配一条静态路由指向Null0然后重分发进OSPFR3(config)# ip route 192.168.100.0 255.255.255.0 Null0 R3(config)# router ospf 1 R3(config-router)# redistribute static subnets默认情况下这样引入的外部路由Type-7 LSA里的FA是0.0.0.0。因为重分发静态路由时如果没有特别指定且静态路由的下一跳是Null0OSPF找不到一个有效的、在OSPF域内的下一跳地址来填FA就填0。那怎么让FA非0有两种常见做法。第一种把静态路由的下一跳指向一个OSPF内的地址比如指向R3自己的Loopback0 3.3.3.3但这样其实下一跳还是自己FA会填3.3.3.3。更典型的做法是外部路由的下一跳是另一个在NSSA内可达的地址。为了实验清晰我直接在R3上把静态路由的下一跳改成3.3.3.3R3(config)# no ip route 192.168.100.0 255.255.255.0 Null0 R3(config)# ip route 192.168.100.0 255.255.255.0 3.3.3.3这样重分发后OSPF会发现下一跳3.3.3.3在Area 1内是OSPF可达的于是FA就会填3.3.3.3。这就是控制FA值最简单的方法。当然实际环境中还可以用route-map来精细控制但原理是一样的。4. FA值为0与非0的对比实验与现象分析4.1 FA为0时的路由计算与验证先把R3的静态路由改回指向Null0确保FA为0。然后在R1上看路由表R1# show ip route 192.168.100.0你会看到这条路由的下一跳指向R2的互联接口地址10.0.12.2。为什么因为R2作为ABR把R3产生的Type-7翻译成了Type-5Type-5的FA是0R1计算这条外部路由时下一跳就是产生Type-5的ABR也就是R2。R1的流量去192.168.100.0/24会先发给R2R2再转发给R3。在R2上看路由表R2# show ip route 192.168.100.0R2的下一跳指向10.0.23.3也就是R3。因为R2在NSSA内部它收到的是Type-7FA为0下一跳就是ASBR R3的接口地址。在R3上看Type-7的详细信息R3# show ip ospf database nssa-external 192.168.100.0输出里FA字段显示0.0.0.0。同时看R2上的Type-5R2# show ip ospf database external 192.168.100.0FA也是0.0.0.0。整条路径的下一跳链条是R1-R2-R3流量经过了ABR这是FA为0时的典型行为。4.2 FA非0时的下一跳变化与路由表对比现在把R3的静态路由下一跳改成3.3.3.3让FA非0。改完后稍等片刻在R3上确认Type-7的FAR3# show ip ospf database nssa-external 192.168.100.0FA字段现在显示3.3.3.3。再看R2上的Type-5R2# show ip ospf database external 192.168.100.0FA也变成了3.3.3.3。关键变化在R1的路由表R1# show ip route 192.168.100.0下一跳不再是R2的10.0.12.2而是变成了去往3.3.3.3的下一跳。因为R1收到Type-5后看到FA是3.3.3.3它会递归查3.3.3.3的路由。3.3.3.3是R3的LoopbackR1通过OSPF学到3.3.3.3的路由下一跳是R210.0.12.2。所以最终R1去192.168.100.0的下一跳还是R2但逻辑上已经不同了——它是先递归到3.3.3.3再走3.3.3.3的路由。这个实验里因为拓扑简单R1到3.3.3.3和到R2的下一跳恰好都是R2所以路由表看起来变化不大。但如果拓扑更复杂比如R1和R3之间有另一条路径FA非0就可能让R1直接走那条路径绕过R2实现真正的次优路径避免。这就是FA值存在的意义。4.3 抓包与数据库细节观察想更直观地看FA的影响可以在R2和R3之间抓包观察Type-7 LSA的FA字段。或者用show ip ospf database nssa-external的detail参数R2# show ip ospf database nssa-external 192.168.100.0 detail输出里会明确列出Forwarding Address。对比两次实验的输出FA从0.0.0.0变成3.3.3.3一目了然。还有一个细节值得注意当FA非0时ABR翻译出来的Type-5 LSA的FA字段会继承Type-7的值。但如果FA地址在翻译后的区域里不可达这条Type-5可能会被其他路由器忽略。所以配FA的时候一定要确保FA地址在整个OSPF域内都是可达的至少在使用这条路由的路由器上要能查到FA的路由。5. 常见问题排查与避坑经验5.1 FA地址不可达导致路由丢失这是最常见的坑。现象是NSSA内的ASBR引入了外部路由Type-7也产生了但其他路由器路由表里没有这条路由或者ABR没有翻译成Type-5。排查步骤先在ASBR上看Type-7的FA值如果非0去其他路由器上show ip route FA地址看能不能查到。查不到就说明FA不可达路由会被忽略。解决办法有两个要么把FA地址所在的网段宣告进OSPF确保可达要么把FA改成0让下一跳走ASBR。具体选哪个看你的网络设计意图。如果希望流量走最优路径就保证FA可达如果无所谓FA为0更省事。5.2 P-bit未置位导致Type-7不翻译有时候Type-7在NSSA里泛洪正常但ABR就是不翻译成Type-5其他区域学不到这条外部路由。这时候要检查Type-7的P-bit。P-bit为0的原因通常是这条Type-7是从另一个NSSA区域传过来的或者ABR上配置了area x nssa no-summary之类的选项影响了翻译行为。在ABR上用show ip ospf database nssa-external network detail看P-bit。如果是0检查NSSA的配置确认没有误配no-import-export之类的选项。另外如果NSSA里有多台ABR只有Router ID最大的那台会做翻译这也是一个容易忽略的点。5.3 多ABR场景下的翻译冲突当一个NSSA区域有多台ABR时Type-7转Type-5的活儿只会由其中一台来做选的是Router ID最大的ABR。如果这台ABR出问题翻译会切换到另一台但切换过程中可能有短暂的路由黑洞。这个在实验环境里不容易碰到但生产环境里如果NSSA有多台ABR一定要知道这个规则。排查的时候在每台ABR上看show ip ospf的输出找到“NSSA translator”相关的状态确认哪台是活跃的翻译器。如果发现翻译器不是预期的设备可以通过调整Router ID来改变选举结果。5.4 常见问题速查表问题现象可能原因排查命令解决思路NSSA内路由有其他区域没有Type-7未翻译成Type-5show ip ospf database nssa-external detail检查P-bit和ABR翻译器状态路由表里外部路由下一跳不对FA值非0且递归结果异常show ip route 外部网段检查FA地址可达性Type-7路由被忽略FA地址不可达show ip route FA地址宣告FA网段或改FA为0多ABR时翻译不稳定翻译器选举变化show ip ospf确认Router ID最大的ABR稳定重分发后FA始终为0下一跳不在OSPF域内show ip ospf database nssa-external调整静态路由下一跳为OSPF内地址6. 实操心得与配置建议6.1 什么时候该用FA非0我的经验是如果你的NSSA区域里ASBR引入的外部路由其真实下一跳在NSSA内部是OSPF可达的那就尽量让FA非0。这样其他路由器计算路由时能直接递归到真实下一跳避免流量绕到ASBR再转发。尤其是在ASBR不是最优转发点的拓扑里FA非0能显著优化路径。但如果外部路由的下一跳不在OSPF域内或者你根本不关心路径优化那就让FA为0省去FA可达性的维护成本。FA为0虽然可能产生次优路径但胜在稳定不容易出路由丢失的问题。6.2 配置FA的几种方式与选择控制FA值主要有三种方式。第一种是调整静态路由的下一跳让它指向OSPF内的地址这是最简单的。第二种是用route-map在重分发时设置set forwarding-address这种方式最灵活可以精确控制哪些路由用哪个FA。第三种是在ASBR上把外部接口也宣告进OSPF让下一跳自然变成OSPF可达从而FA自动非0。我一般推荐第二种用route-map显式设置FA。因为这样意图最清晰后续维护的人一看route-map就知道FA是怎么来的。第一种方式虽然简单但静态路由的下一跳和FA的关联是隐式的别人接手时容易懵。6.3 验证FA生效的完整检查清单配完FA后别急着收工按这个清单过一遍第一在ASBR上看Type-7的FA字段是否正确第二在ABR上看Type-5的FA字段是否继承正确第三在远端路由器上看路由表的下一跳是否符合预期第四用traceroute验证实际转发路径第五如果FA非0确认FA地址在所有相关路由器上都是可达的。这五步走完基本就不会有遗漏了。6.4 一个容易忽略的细节FA和Loopback的关系很多人喜欢用Loopback地址作为FA因为Loopback稳定不会因为物理接口down而消失。这本身没问题但要注意Loopback必须宣告进OSPF且要在正确的区域里。如果Loopback宣告进了Area 0而不是NSSA那NSSA内的路由器可能学不到这个Loopback的路由FA就不可达了。所以用Loopback做FA时确认它宣告的区域和NSSA的连通性。我在实际项目中遇到过好几次ASBR的Loopback宣告在了Area 0但NSSA里的路由器只有Area 1的链路结果FA不可达路由出不来。后来把Loopback改宣告进NSSA问题就解决了。这个细节很小但坑人不浅。7. 从实验延伸到生产环境的思考实验环境毕竟简单生产环境里NSSA的部署会复杂得多。比如NSSA里可能有多个ASBR每个ASBR引入不同的外部路由FA值各不相同。这时候ABR的翻译压力会变大Type-5的数量也会增加。规划的时候要考虑ABR的性能和LSA的数量避免NSSA设计反而成了瓶颈。另外NSSA和Stub区域的选择也值得斟酌。NSSA适合那些需要引入外部路由但又不想接收其他区域Type-5的场景。如果区域里根本不需要引入外部路由那用Stub更简单连Type-7都不用操心。如果区域里需要引入外部路由但外部路由的下一跳又不在OSPF里那NSSA配起来就要格外小心FA的问题。还有一个生产环境常见的做法是在NSSA的ABR上配area x nssa default-information-originate让NSSA内有一台默认路由指向ABR。这样即使外部路由的FA有问题至少默认路由能保证基本连通性。但这只是兜底不能替代正确的FA配置。说到底NSSA和FA这套机制的设计核心就是在“限制LSA泛洪”和“保证路径最优”之间找平衡。理解了FA的两种取值和翻译规则再结合实验验证基本上就能在实际工作中从容应对了。我自己的习惯是每次配NSSA引入外部路由都会先想清楚FA该不该非0然后按检查清单验证一遍这样即使拓扑再复杂也不会在FA上翻车。