1. 从一个ping不通的故障说起为什么还要啃OSPF刚入行那会儿我最怕听到的一句话就是网断了你帮忙看看。那时候手里只有一台笔记本和一根Console线面对一柜子交换机和路由器脑子里全是这口锅到底该谁背。后来带我的师傅扔给我一句话你把路由表看懂网络就懂了一半你把OSPF搞明白路由表就懂了一半。这句话我记到现在。OSPF全称Open Shortest Path First中文叫开放式最短路径优先是一个链路状态型的内部网关协议。说人话就是一群路由器坐在一起开个会各自把自己家门口的路况报一遍然后每个人手里都画出一张完整的地图再各自算出去哪儿最近。它解决的核心问题是——在一个规模不算小的网络里怎么让每台设备自动、快速、无环地找到转发路径而不是靠人肉一条条写静态路由。这篇文章适合谁看如果你正在备考网络相关的认证、正在维护一个多区域的企业内网、或者单纯被邻居起不来路由学不到路径绕远这类问题折磨过那这篇内容就是写给你的。我不会只丢概念而是把报文交互、状态机、区域划分、LSA类型、开销计算、排错链路这些真正决定你能不能干活的东西一层层拆开讲。看完之后你至少能做到看到邻居卡在ExStart知道往哪个方向查看到路由表里少了某条明细知道是哪类LSA没传过来。需要先说明一点OSPF的完整标准文档有几百页任何一篇文章都不可能穷尽。下面涉及的具体参数取值、定时器默认值、状态机细节我都是基于主流厂商设备的通用实现和常见工程实践来写的不同厂商、不同版本可能存在细微差异实际配置时请以你手头设备的官方文档为准。这一点先讲清楚免得你照着抄却发现对不上。2. 邻居都起不来后面全是空谈OSPF的握手逻辑2.1 Hello报文里藏着的相亲条件OSPF路由器之间要建立关系第一步是互相打招呼这个招呼就是Hello报文。你可以把它理解成相亲时的第一轮筛选——双方得先确认几个硬性条件对得上才有继续聊下去的可能。Hello报文里携带了一堆字段其中决定能不能处的关键有几项Router ID每台路由器的身份证号通常用Loopback接口地址或手动指定。如果两台设备的Router ID撞了那基本没戏。Area ID必须一致。一个接口属于哪个区域Hello里就带哪个区域的号区域号对不上直接拜拜。认证信息认证类型和密钥必须匹配一边开一边不开或者密钥不一样报文直接被丢弃。Hello/Dead定时器默认Hello是10秒、Dead是40秒广播网络。这两个值必须一致否则邻居关系建立不起来。网络掩码在广播网络上掩码必须一致。Stub区域标记两边的Stub标志位要匹配。我见过太多邻居起不来的案例最后查下来就是上面这几项里的一项对不上。最坑的是定时器不一致——因为很多设备默认值一样一旦有人手动改过一边忘了改另一边现象就是邻居一直卡在Init或者干脆没反应抓包才能看出来。2.2 从Down到Full七个状态到底在干嘛OSPF邻居建立要经历七个状态很多人背得滚瓜烂熟但不知道每个状态卡住意味着什么。我按实际排错的思路给你捋一遍状态含义卡在这里通常说明Down初始状态还没收到Hello物理链路、接口未启用OSPF、Hello没发出去Init收到了对方的Hello但对方没看到我单向通信、认证失败、掩码不一致2-Way双方都看到了对方正常DR/BDR选举在此完成ExStart开始协商主从关系MTU不一致、Router ID冲突Exchange交换数据库描述报文报文丢失、链路质量差Loading请求缺失的LSALSA请求超时、对端无响应Full数据库完全同步正常状态重点说两个最容易卡的地方。第一个是Init你收到了对方的Hello但对方没收到你的。这通常意味着单向链路问题或者你发的Hello被对方因为认证、掩码原因丢弃了。第二个是ExStart这个状态卡住十有八九是MTU不匹配。因为DD报文协商时会检查MTU一边1500一边1400就会一直卡在ExStart反复重传。这个坑我在实际项目里踩过不止一次尤其是跨厂商设备对接的时候。提示排查邻居问题第一步永远是display ospf peer或show ip ospf neighbor看卡在哪个状态第二步是抓包看Hello报文到底有没有正常交互。别一上来就改配置先看清楚现象。2.3 DR和BDR广播网络里的班长和副班长在广播型网络比如以太网里如果每台路由器都和其他所有路由器建立Full关系N台设备就需要N×(N-1)/2个邻接关系规模一大就爆炸。OSPF的解决办法是选举DR指定路由器和BDR备份指定路由器所有其他路由器DROther只和DR、BDR建立Full关系彼此之间停留在2-Way。选举规则很简单先比接口优先级默认1范围0-2550表示不参与优先级高的当DR优先级相同比Router ID大的当DR。BDR是剩下的里面优先级最高的。这里有个很多人不知道的细节选举是非抢占的。也就是说DR选出来之后即使后来了一台优先级更高的设备也不会把现任DR挤下去除非DR失效或者重启OSPF进程。这个非抢占特性在实际运维里是把双刃剑。好处是稳定不会因为新设备接入就引发震荡坏处是你想调整DR得手动重启进程或者改优先级后重置。我一般建议在规划阶段就把DR的位置定好比如让性能最好的核心设备当DR通过调高它的优先级来实现。3. 区域划分不是随便画的OSPF的层次化设计3.1 为什么要有Area 0这个骨干OSPF最核心的设计思想之一就是分层。所有区域必须直接或间接连接到Area 0骨干区域区域间的路由必须经过Area 0转发。这个规则不是拍脑袋定的而是为了解决两个问题一是缩小链路状态数据库的规模二是防止路由环路。你可以把Area 0想象成一个城市的环线其他区域是挂在环线上的各个片区。片区内部的路由器只需要知道本片区的详细路况跨片区的事情交给环线来处理。这样一来每台路由器维护的拓扑信息就大大减少了SPF计算的负担也轻了。如果一个区域没有物理连接到Area 0怎么办可以用**虚链路Virtual Link**打通但这是权宜之计不是长久方案。虚链路本质上是通过一个中间区域建立一条逻辑隧道配置起来麻烦排错也困难。我的建议是网络规划阶段就把区域连接关系理清楚能物理直连就别用虚链路。3.2 多区域下LSA是怎么接力的区域划分之后不同类型的LSA在不同区域里的传播方式就不一样了。这是OSPF最绕但也最关键的部分我用一个表格把常见LSA类型和它们的传播范围列清楚LSA类型名称产生者传播范围作用Type 1Router LSA每台路由器本区域内描述路由器自身的接口和链路Type 2Network LSADR本区域内描述广播网段的拓扑Type 3Summary LSAABR跨区域描述其他区域的网段路由Type 4ASBR Summary LSAABR跨区域描述ASBR的位置Type 5AS External LSAASBR整个OSPF域描述外部引入的路由Type 7NSSA External LSAASBRNSSA区域内NSSA区域的外部路由这里有个非常容易混淆的点Type 3和Type 5的区别。Type 3是区域间的内部路由由ABR区域边界路由器产生Type 5是外部引入的路由由ASBR自治系统边界路由器产生。如果你在路由表里看到一条O IA的路由那是Type 3看到O E1或O E2那是Type 5。还有一个经典问题为什么Area 0里的路由器能看到其他区域的明细路由而普通区域看不到Area 0的明细因为ABR在向非骨干区域发送Type 3 LSA时会把Area 0里的明细做汇总如果配置了汇总或者逐条发送。而向Area 0发送时非骨干区域的明细也会被传递进来。这个不对称性是正常的理解了这个你就不会误以为路由丢了。3.3 Stub、NSSA、完全Stub给区域减负的三种姿势当网络规模变大路由表条目太多会拖慢设备性能。OSPF提供了几种特殊区域类型来减少LSA的数量Stub区域不允许Type 5 LSA进入ABR会自动下发一条默认路由Type 3代替外部路由。适合那些不需要访问外部网络、只需要出去就行的末端区域。NSSANot-So-Stubby Area不允许Type 5进入但允许Type 7。适合那些自己需要引入少量外部路由但又不想接收大量外部LSA的区域。完全StubTotally Stub不仅拒绝Type 5还拒绝Type 3只保留一条默认路由。这是减负最彻底的方案但代价是区域内的路由器完全依赖默认路由失去了路径选择的灵活性。选择哪种类型取决于你的实际需求。我的一般原则是末端办公区用Stub或完全Stub有特殊外部接入需求的区域用NSSA核心和骨干区域保持标准区域。别为了省几条路由就把所有区域都设成完全Stub那样一旦默认路由指向出问题整个区域就全瞎了。4. 开销、SPF和路由计算OSPF的大脑怎么工作4.1 Cost值选路的唯一标尺OSPF选路靠的是Cost开销值越小越优先。Cost的计算公式是Cost 参考带宽 / 接口带宽。默认参考带宽是100Mbps所以一个千兆接口的Cost是1百兆接口是10十兆接口是100。这里有个坑当接口带宽超过参考带宽时Cost会被算成1无法区分。比如万兆接口和千兆接口按默认参考带宽算出来都是1OSPF就分不清哪个更快了。解决办法是手动调整参考带宽比如改成10000Mbps10Gbps这样万兆是1千兆是10百兆是100区分度就出来了。# 调整参考带宽的示例以某主流厂商命令风格为例 ospf 1 bandwidth-reference 10000调整参考带宽需要在同一区域内的所有路由器上保持一致否则Cost计算基准不同可能导致次优路径。这个细节很多人会忽略尤其是在混合厂商设备的环境里。4.2 SPF算法 Dijkstra到底在算什么OSPF用Dijkstra最短路径优先算法来计算路由。简单说每台路由器把自己当作根节点根据链路状态数据库里的拓扑信息算出一棵到所有目的地的最短路径树。这个过程分几步第一步把自身加入最短路径树第二步找到所有与树中节点直接相连的节点计算从根到它们的开销第三步选出开销最小的节点加入树第四步重复直到所有节点都加入。最终得到的树就是路由表的来源。理解SPF的关键在于它算的是到目的地的最短路径而不是下一跳是谁。所以当拓扑变化时OSPF不是简单地改一条路由而是重新算整棵树。这也是为什么OSPF收敛速度虽然快但在大规模网络里仍然需要区域划分来限制SPF的计算范围。4.3 路由汇总把明细打包再发出去路由汇总Summarization是控制路由表规模的重要手段。在OSPF里汇总通常在ABR和ASBR上做ABR上的区域间汇总把某个区域的明细路由汇总成一条或几条再通告到其他区域。ASBR上的外部路由汇总把引入的外部路由汇总后再以Type 5 LSA发出去。汇总的好处显而易见减少LSA数量、降低SPF计算频率、加快收敛。但汇总也有代价如果汇总范围里有一条路由失效汇总路由不会自动撤销可能导致黑洞。所以做汇总时要确保汇总网段内的所有明细路由都是同生共死的或者配合一些机制来避免黑洞。我个人的经验是汇总的粒度不要太粗也不要太细。太粗容易出黑洞太细起不到减负作用。一般按业务模块或楼层来汇总比较合理比如一个部门一个汇总网段。5. 从抓包到改配置一次完整的OSPF排错实录5.1 现象分支节点访问总部时通时断之前遇到过一个案例某分支节点访问总部服务器时通时断ping丢包率大概30%。分支和总部之间通过两条链路互联跑的是OSPF。按道理两条链路应该做负载均衡或者主备但实际表现是有时候走这条有时候走那条还经常断。第一步我在分支路由器上看路由表display ip routing-table 10.1.1.0发现去往总部服务器网段的路由只有一条下一跳是其中一条链路。另一条链路的路由没出现。这就奇怪了两条链路Cost应该一样为什么只有一条5.2 排查为什么第二条链路的路由没出现接着看OSPF邻居状态display ospf peer brief发现两条链路的邻居都是Full说明邻居关系没问题。那问题就出在LSA或者SPF计算上。继续看链路状态数据库display ospf lsdb router对比两条链路对端路由器产生的Type 1 LSA发现其中一条链路的LSA里描述的接口Cost值异常大。原来那条链路的接口被误配了一个很高的Cost值导致SPF计算时直接把它排除了。改回正常Cost后两条链路都出现在路由表里实现了负载均衡丢包问题也消失了。5.3 复盘这个坑为什么容易踩这个案例的教训是OSPF的Cost值是可以手动修改的而且修改后不会在邻居状态上体现出来。邻居照样Full但路由计算的结果已经变了。所以排查路由问题时不能只看邻居状态一定要看LSDB里的实际Cost值。另外负载均衡的前提是两条路径的Cost完全相同。如果Cost差1OSPF只会选Cost小的那条另一条完全不用。所以做负载均衡时要确保路径上每一跳的Cost都对称。提示排查OSPF路由问题的顺序建议是——先看邻居状态再看LSDB再看路由表最后才怀疑配置。这个顺序能帮你快速定位问题出在哪一层。6. 那些文档里不写、但实战中必须知道的细节6.1 认证别等出事了才想起来配OSPF支持明文认证和MD5认证部分厂商还支持SHA认证。认证的作用是防止非法设备接入OSPF域避免路由被篡改。配置认证时要注意认证是在接口级别配置的同一网段的所有接口认证方式和密钥必须一致。我见过有人在A设备上配了MD5B设备上没配结果邻居起不来查了半天才发现是认证问题。另外修改认证密钥时会导致邻居短暂中断因为双方密钥不一致的瞬间Hello报文会被丢弃。所以变更认证最好在维护窗口做或者用平滑过渡的方式先加新密钥再删旧密钥如果厂商支持的话。6.2 静默接口让接口闭嘴但不影响路由静默接口Silent Interface是一个很实用的功能配置后接口不发送也不接收OSPF报文但接口所在的网段仍然会被通告出去。这适合那些连接终端设备的接口——你不想让终端参与OSPF但又想让这个网段被其他路由器学到。# 配置静默接口的示例 ospf 1 silent-interface GigabitEthernet0/0/1这个功能在接入层特别有用。接入层交换机连接的是PC和打印机它们不需要跑OSPF但接入层交换机上联的网段需要被核心学到。把用户接口设为静默既减少了OSPF报文又保证了路由通告。6.3 默认路由的几种下发方式OSPF下发默认路由有几种方式适用场景不同default-route-advertiseASBR用来向OSPF域内通告默认路由前提是本地已经有一条默认路由。Stub区域的默认路由ABR自动向Stub区域下发Type 3默认路由不需要手动配置。NSSA区域的默认路由需要ABR手动配置default-route-advertise或者由ASBR引入。这里有个容易混淆的点Stub区域的默认路由是自动的NSSA的不是。很多人配了NSSA却发现区域内的路由器没有默认路由就是因为忘了在ABR上手动下发。6.4 收敛速度哪些参数可以调哪些别乱动OSPF的收敛速度受几个因素影响Hello/Dead定时器、SPF计算延迟、LSA传输延迟。理论上把Hello调小能加快故障检测但代价是报文增多而且同一网段所有设备的定时器必须一致。我的建议是除非有明确的低延迟需求否则不要随意调整Hello/Dead定时器。默认的10/40秒在大多数场景下够用。如果确实需要快速收敛可以考虑使用厂商提供的快速检测机制如BFD联动而不是简单粗暴地改定时器。另外SPF计算延迟spf-schedule-interval也可以调但调太小会导致拓扑震荡时CPU飙升。一般保持默认或者稍微调小一点即可别调到0。7. 写在最后OSPF学的不是命令是思路折腾OSPF这些年我最大的体会是命令谁都能背但排错思路才是分水岭。同样一个邻居起不来有人上来就重启有人先看状态再看抓包效率差十倍。如果你刚开始接触OSPF我的建议是先搭一个小拓扑把邻居建立、LSA泛洪、SPF计算的过程亲手跑一遍抓包看看Hello和DD报文长什么样。这比看十遍文档都管用。等你对正常流程有感觉了再去研究各种特殊场景和优化手段就会顺很多。还有一点OSPF的很多设计是防环和减负驱动的。理解了这两个核心诉求很多看似奇怪的规则比如区域必须连Area 0、DR非抢占、Stub区域拒绝Type 5就都能想通了。带着这个视角去学比死记硬背强得多。最后分享一个小技巧在生产环境改OSPF配置前先在测试环境验证一遍。尤其是改Cost、改区域类型、加汇总这些操作一旦出错影响面很大。我见过有人直接在核心上改Stub配置结果整个区域的路由全没了业务中断半小时。这种教训一次就够了。