OSPF综合实验复盘：多区域NSSA、路由引入与VRRP联动排障

把OSPF综合实验做完复盘最大的感受是协议配置本身十分钟就能敲完真正值钱的部分是设计、验证和排障。这篇文章整理自模拟项目X的实验记录拓扑不大三台路由器加两台三层交换机但把多区域、NSSA特殊区域、路由引入、MSTP和VRRP联动、链路故障切换这些点全部串在了一起。它既适合正准备OSPF相关认证或面试的同行用来对照思路也适合那些要接手一个真实园区网络改造、想先在小环境里做一轮验证的工程师参考。我会按实验的实际推进顺序来写先讲拓扑和地址规划为什么这么定再讲OSPF基础配置和邻居建立然后进入特殊区域与外部路由的实验最后把接入侧MSTPVRRP联动和排障经验放出来。配置命令都以某主流企业级设备的命令行风格给出换到其他平台时关键字和视图层级略有差异但逻辑是通用的。1. 实验场景与组网拓扑设计为什么把区域拆成这样1.1 实验目标与整体逻辑这个实验不是要搭出一个能跑通的网络就收工而是要同时验证几个容易混淆的知识点ABR和ASBR在LSA传播中的分工、特殊区域对LSA洪泛的抑制、外部路由在不同区域边界上的转换方式以及三层路由协议和二层冗余协议MSTP、VRRP如何在故障时协同。所以我把整个组网拆成了三条主线路由层面R1作为ASBR把默认路由注入OSPFR2作为ABR连接骨干与普通非骨干区域R3作为NSSA区域内的ASBR引入一条静态外部路由用来观察Type-7到Type-5的转换。接入层面SW1、SW2组成VRRP主备网关MSTP负责二层环路消除同时两个VLANIF地址都被宣告进OSPF让核心路由器学到业务网段。验证层面每个阶段都通过查看邻居表、链路状态数据库、路由表三个维度核对结果最后做一次断链路故障切换记录收敛表现。三台路由器只有两条OSPF链路但通过设计不同角色几乎把OSPF中常见的LSA类型都覆盖到了。这也是我建议做综合实验时不要一味堆设备数量的原因角色定义清楚比设备多更重要。1.2 设备角色与连接关系下面这张表是整个实验的坐标后面所有配置都围绕它展开。设备角色所在OSPF区域关键接口/网段说明R1ASBRArea 0G0/0接R210.0.13.0/30Loopback0 10.0.1.1/32模拟外网口 10.255.255.0/30向OSPF注入默认路由R2ABRArea 0 / Area 1G0/0接R1G0/1接R310.0.23.0/30G0/2接SW1G0/3接SW2Loopback0 10.0.2.2/32区域边界NSSA转换点R3ASBRNSSA内Area 1NSSAG0/0接R2Loopback0 10.0.3.3/32引入10.0.99.0/24静态路由验证Type-7 LSASW1三层接入交换机Area 0VLAN10接口10.0.10.1/24上联R2 10.0.20.0/30VRRP Master默认MSTP运行SW2三层接入交换机Area 0VLAN10接口10.0.10.2/24上联R2 10.0.21.0/30VRRP Backup上行口联动你可能会问SW1和SW2同时宣告VLAN10网段到OSPFR2会不会出现两条等价路由会的而且这正是实验想要的。后续接入层故障切换时这组等价路由会从两条变成一条可以非常直观地看到OSPF收敛过程。1.3 地址规划思路与关键设计理由地址规划上我遵循几个原则这些原则在真实项目里也适用。互联地址用/30掩码。点对点链路不需要容纳多台设备/30足够而且可以避免后续把互联段误宣告成业务网段。设备Loopback地址单独规划一段使用32位掩码。Loopback不依赖物理链路状态用它做Router-ID来源和管理地址最稳定。业务网段用/24方便在ABR上做区域间汇总。模拟外网地址不引入公网IP用测试保留段10.255.255.0/30避免实验环境里出现不可控的真实地址。有一点我特别想提醒不要在配置OSPF时把整个网段都宣告进去只宣告必要的链路和Loopback。如果你在图省事把10.0.0.0/8整段network进某个区域轻则路由表混乱重则某些接口上的其他路由协议互相打架。网络宣告的范围越精确后续排障越轻松。2. 骨干区域基础配置让OSPF邻居先转起来2.1 Router-ID、network宣告与接口地址的搭配先看R1的配置。R1在Area 0里有两个接口需要参与OSPF与R2互联的10.0.13.0/30以及Loopback 0。interface GigabitEthernet0/0 ip address 10.0.13.1 255.255.255.252 interface LoopBack0 ip address 10.0.1.1 255.255.255.255 router ospf 1 router-id 1.1.1.1 network 10.0.13.0 0.0.0.3 area 0 network 10.0.1.0 0.0.0.255 area 0这里有个特别容易踩的坑_network命令后面的反掩码不是子网掩码。_10.0.1.0 0.0.0.255表示匹配10.0.1.0到10.0.1.255这段地址它匹配的是Loopback0的32位地址。如果你把Loopback配成了10.0.1.1/24而OSPF宣告写成10.0.1.0 255.255.255.0网络设备会直接报掩码错误。Router-ID我建议手动指定不要依赖自动选举。自动选举的规则在不同厂商实现里可能不一样而且在接口地址变化后Router-ID可能会变一旦变化整个邻居关系都会重建LSA会重新泛洪对现网影响很大。实验中我直接用设备编号做Router-ID排查时也一目了然。R2作为ABR配置会多一块router ospf 1 router-id 2.2.2.2 network 10.0.13.0 0.0.0.3 area 0 network 10.0.2.0 0.0.0.255 area 0 network 10.0.23.0 0.0.0.3 area 1注意R2上10.0.23.0/30和R1没有关系它属于Area 1R3在同一个接口对面也属于Area 1。OSPF的区域边界一定落在接口上而不是设备上。这句话理解了你会少走很多弯路。R3初始配置router ospf 1 router-id 3.3.3.3 network 10.0.23.0 0.0.0.3 area 1 network 10.0.3.0 0.0.0.255 area 1在未添加特殊区域和外部路由时R3也能正常学到骨干区域路由R1也能学到Area 1里的Loopback路由。你会发现R1路由表里10.0.3.3/32的类型是O IA也就是区域间路由这一条就足够验证ABR的基础功能了。2.2 邻居状态机与DR/BDR选举观察配置完成后用查看邻居的命令确认状态display ospf peer OSPF Process 1 with Router ID 2.2.2.2 Neighbor ID Pri State Dead Time Address Interface 1.1.1.1 1 Full/ - 00:00:35 10.0.13.1 GigabitEthernet0/0 3.3.3.3 1 Full/ - 00:00:37 10.0.23.3 GigabitEthernet0/1在广播网络以太网上你经常会看到邻居状态从Down、Init、2-Way、ExStart、Exchange、Loading推进到Full。其中2-Way意味着双方已经互相发现但还没开始交换链路状态信息。如果两台路由器都想成为DR或BDR选举过程会对邻居状态推进有影响。实验里我把R1与R2、R2与R3之间直接配置成P2P类型目的是减少不必要的DR/BDR选举加快收敛。命令如下interface GigabitEthernet0/0 ospf network-type p2p很多初学者不理解为什么以太网明明是广播型非要改成P2P。原因很简单路由器之间通过线缆直连网络上只有两台设备DR/BDR选举完全没有意义。把网络类型改成P2P后Hello报文不再选举DR/BDR邻居状态直接从2-Way进入Full链路状态数据库同步更干脆出问题的面更小。2.3 通过路由表和LSDB验证区域间传播基础配置完成后在R1上查看路由表display ip routing-table Destination/Mask Proto Pre Cost NextHop Interface 10.0.3.3/32 O_ASE 10 1562 10.0.13.2 GigabitEthernet0/0这里有一个很容易误导人的点在还没有引入外部路由时10.0.3.3/32应该显示为O IA而不是O_ASE。如果看到O_ASE说明你提前引入了外部路由或配了特殊区域LSA类型已经混入。所以做实验一定要按阶段来别一口气把所有配置堆上去否则验证每一步效果时你会搞不清路由到底是从哪条路径学来的。查看R2的链路状态数据库可以看到最基础的几类LSAType-1 Router LSA每台设备产生描述自身接口状态。Type-2 Network LSA由DR产生在广播网段存在。Type-3 Summary LSAABR产生描述其他区域的路由。Type-4 ASBR Summary LSA描述ASBR位置。Type-5 AS External LSA描述外部路由。这些LSA类型会在特殊区域实验后发生变化也是理解OSPF特殊区域的最关键铺垫。3. 特殊区域实验NSSA里的LSA转换与外网路由3.1 为什么选择NSSA而不是Stub拿到一个非骨干区域最常见的选择是Stub、Totally Stub和NSSA。它们都是为了减少区域内的LSA洪泛但限制程度不同。区域类型允许的LSA外部路由适用场景StubType-1/2/3ABR自动下发Type-3默认路由不允许Type-5进入区域不需要访问外部明细路由Totally StubType-1/2只有一条Type-3默认路由不允许Type-5进入区域只依赖默认路由访问外部NSSAType-1/2/3/7ABR可下发Type-7默认路由允许区域内ASBR产生Type-7ABR转换成Type-5注入骨干区域内存在ASBR需要引入外部路由这次实验我特意把Area 1设成NSSA因为R3需要引入一条静态路由模拟设备连接到某个外部网段。如果使用Stub区域R3就不能引入外部路由否则会被区域边界抑制实验就做不下去了。这也回答了很多人的疑问为什么有了Stub还要设计NSSA因为实际场景中区域边界不总是干干净净的下游区域经常会有自己的外部路由来源。3.2 Area 1设置为NSSA的配置过程在R2和R3上都做如下设置router ospf 1 area 1 nssa在R3上先配置一条静态路由并把它引入OSPFip route-static 10.0.99.0 255.255.255.0 NULL0 router ospf 1 import-route static引入后关键的现象出现了R3会产生Type-7 LSA描述外部路由10.0.99.0/24但这个Type-7只能在NSSA内部传播不能直接进入Area 0。R2作为ABR接收到Type-7 LSA后会把它转换成Type-5 LSA然后向Area 0泛洪。所以在R1上你看到的10.0.99.0/24是一条Type-5的外部路由而在R3上它是一条Type-7外部路由。这就是很多教材里说的“7转5”Type-7是NSSA专用Type-5是全局外部路由。转换过程在ABR自动完成但你要知道它存在否则排查外部路由缺失时会在路由表里找不到对应条目。R1上查看外部路由注意虽然来自NSSA但最终显示的协议类型是O_ASEDestination/Mask Proto Pre Cost NextHop Interface 10.0.99.0/24 O_ASE 150 1 10.0.13.2 GigabitEthernet0/03.3 ABR下发的默认路由与NSSA边界行为R3现在能访问10.0.99.0/24这个本地外部网段但它要访问OSPF骨干里的网段还需要一条默认路由。R1作为ASBR已经注入了默认路由可是NSSA区域不允许Type-5 LSA进入默认路由到不了R3。解决办法是在R2的NSSA配置中允许ABR下发一条Type-7默认路由router ospf 1 area 1 nssa default-route-advertise配置完成后R3路由表会出现一条O_NSSA的默认路由下一跳是R2。注意这条默认路由不是R1注入的Type-5转过来的而是R2为了满足NSSA区域访问外部需求自己生成的Type-7默认路由。这里有一个常见的理解误区以为特殊区域里的默认路由都是ABR从骨干“抄”过来的实际上ABR是重新构造了一条默认路由。建议你在这一步仔细对比R2和R3的LSDBR2的Area 1数据库里有Type-7默认路由R1的Area 0数据库里没有这条Type-7只有R1自己注入的Type-5默认路由。这种对比能帮你把LSA传播边界彻底想通。3.4 ABR区域间汇总把明细路由收敛成一条区域间汇总是在ABR上做的它影响的是Type-3 LSA。这次实验里R3有10.0.3.0/24的Loopback网段在R2上可以做如下汇总router ospf 1 area 1 range 10.0.3.0 255.255.255.0如果后续R3增加了10.0.4.0/24等连续网段可以一起放进一个大的汇总范围比如10.0.0.0/16。汇总后骨干区域路由器看到的是10.0.0.0/16一条路由而不是多条明细这能显著减小骨干路由表和LSDB规模。但汇总有一个必须警惕的副作用我放在最后排障部分专门讲。简单提醒一句汇总范围如果覆盖了实际不存在的网段就会产生路由黑洞必须配合空路由或精确规划来兜底。4. 接入侧联动实验MSTP、VRRP与OSPF一起工作4.1 三层路由与二层冗余如何衔接很多人在OSPF和VRRP的衔接上栽过跟头核心问题是VRRP虚拟IP是网关地址它不应该被OSPF作为接口地址宣告出去。我这里是让SW1、SW2在VLAN10的VLANIF接口上配真实地址再把这个真实地址对应的网段宣告进OSPF。虚拟IP只是终端网关在OSPF眼里它是“不存在的”。接入侧拓扑是SW1和SW2都上联R2两台交换机之间做Trunk互联。这构成一个典型的双归二层环境R2上行了两条三层链路R2可以同时从SW1、SW2学到VLAN10网段形成等价路由而SW1和SW2之间的二层链路则必须由MSTP来消除环路。4.2 MSTP实例设计与VLAN负载均衡先把MSTP配置出来stp mode mstp stp region-configuration region-name MESHLAB instance 1 vlan 10 active region-configuration在SW1和SW2上都配置相同的区域名和实例映射。这里要特别注意的是MSTP的“域配置”必须一致否则两台交换机不会认为自己在同一个MST域里实例计算也就不会生效。实例1里只映射VLAN 10。由于目前实验只有这一个业务VLAN实际上MSTP只会为它计算生成树。做完配置后可以通过下面的命令确认哪台交换机是根桥display stp instance 1 root实验预期是让SW1成为VLAN10的根桥SW2成为备份。如果默认根桥选择不对可以手动调整桥优先级比如把SW1的实例1优先级设为4096SW2设为8192。为什么这样做因为VRRP的Master我希望落在SW1上MSTP的根桥也落在SW1上让“二层数据面”和“三层网关面”尽量保持一致流量路径最清晰。真实项目里很多环路引发的丢包源头就是根桥和网关不在同一台设备上流量绕了一圈才出去。4.3 VRRP主备配置与上联链路跟踪SW1作为VRRP Masterinterface Vlanif10 ip address 10.0.10.1 255.255.255.0 vrrp vrid 10 virtual-ip 10.0.10.254 vrrp vrid 10 priority 120 vrrp vrid 10 preempt-mode timer delay 5 vrrp vrid 10 track interface GigabitEthernet0/0 reduced 40 router ospf 1 network 10.0.10.0 0.0.0.255 area 0SW2作为Backupinterface Vlanif10 ip address 10.0.10.2 255.255.255.0 vrrp vrid 10 virtual-ip 10.0.10.254 vrrp vrid 10 priority 100 vrrp vrid 10 track interface GigabitEthernet0/0 reduced 40 router ospf 1 network 10.0.10.0 0.0.0.255 area 0VRRP的priority里我设置了120和100这在大多数平台上的规则是主备优先级差必须大于或等于40再配合抢占否则主备切换时可能因为优先级差不够而产生抖动。这里引入了上联接口跟踪当SW1的GigabitEthernet0/0上联R2的链路down掉priority自动降低40从120降到80SW2的100就比它高了SW2会抢占成为Master。这个机制非常关键因为VRRP默认只关心设备本身是否存活不关心上行链路是否可用。没有上行链路跟踪你的网关即使还活着数据也出不去。4.4 故障切换验证断一根链路看整张网怎么收敛验证分两步。第一步看R2的路由表在正常情况下长什么样display ip routing-table 10.0.10.0 255.255.255.0 Destination/Mask Proto Pre Cost NextHop Interface 10.0.10.0/24 OSPF 10 2 10.0.20.2 GigabitEthernet0/2 10.0.21.2 GigabitEthernet0/3两条等价路由分别指向SW1和SW2。第二步在SW1上把上联口shutdown模拟物理链路故障。观察几个现象SW1的VRRP priority从120降到80SW2抢占为Master。R2上10.0.10.0/24的等价路由收敛为一条下一跳只剩10.0.21.2即SW2。终端持续ping网关和远端服务器会丢两到三个包但很快恢复。这个实验让你直观看到三层协议和二层协议协同的价值VRRP负责网关漂移OSPF负责路由收敛MSTP负责避免环路。任何一个环节失效终端都会断流。但如果你把三个协议分开验证每个都能跑通放在一起时反而出问题那往往就是域配置/优先级/宣告范围这些衔接细节没对上。5. 排障实录与收敛优化那些文档里不会写的坑5.1 邻居反复Down先看区域、认证和网络类型实验里我故意制造过一次邻居故障两端都配置了OSPF但一端接口是Broadcast另一端被我改成了P2P结果邻居状态一直卡在ExStart链路状态数据库交换不完成。排查思路是这样的先看邻居状态卡在ExStart基本说明DD报文交互出了问题再看两端接口的MTU、网络类型、区域号是否一致。于是我在两端统一了OSPF网络类型把MTU都设为1500邻居马上进入Full状态。如果再不行就要打开调试信息观察DD报文为什么没有确认。MTU问题是最隐蔽的。如果一端接口MTU是1500另一端是1400两者在OSPF建立邻居时DD报文里携带的MTU不一致会导致邻居卡在ExStart阶段。很多工程师查了半天认证和区域最后用一条大ping才发现问题。建议实验环境一开始就把所有三层接口的MTU统一。还有一个常见问题区域认证配置不对称。一端在区域1里开了区域认证另一端没有配或者密码不一致结果是邻居反复Down、然后又起来查看错误计数时能看到认证失败次数持续增加。排这类问题不要看路由表要看邻居表和OSPF错误统计。5.2 汇总引发的路由黑洞一次刻意制造的故障实验在区域间汇总的验证中我做了一个反面实验R2把Area 1的明细路由汇总成10.0.0.0/16但Area 1实际只包含10.0.3.0/24和10.0.99.0/24等少量网段。我在源端R1上测试访问10.0.8.8这个地址落在汇总范围内但Area 1里根本没有这个网段。R1的转发逻辑很简单查路由表发现10.0.8.8匹配10.0.0.0/16下一跳指向R2于是把包发给R2。R2继续查路由表发现没有比/16更精确的路由于是丢弃。现象就是汇总范围内的真实用户都能通但访问一个不存在的地址全部丢包。这就是路由黑洞任何协议做汇总都会遇到。实际项目中解决思路有三个尽量按真实网段规划汇总边界不要用一个过大范围把所有网段兜进去。在ABR上手动配置一条指向NULL0的汇总黑洞路由让去往不存在网段的流量在ABR直接丢弃而不是在源端形成一个错误预期。如果业务上允许把重叠地址段的访问需求收敛到更小网络。我在实验里采用的兜底方案是ip route-static 10.0.0.0 255.255.0.0 NULL0这条路由与OSPF汇总路由形成等价但因为静态路由管理距离默认更优它能兜住那些没有明细的流量。这个细节在真实割接时特别有用。5.3 收敛时间调优调整定时器与BFD联动OSPF默认的Hello时间是10秒Dead时间是40秒。这个参数在链路故障时意味着最坏情况下要等40秒才能认定邻居失效现网业务根本等不起。实验里我把R2与R3之间的接口改成了Hello 5秒、Dead 20秒interface GigabitEthernet0/1 ospf timer hello 5 ospf timer dead 20两端必须保持一致否则邻居建立不起来。改完之后断线场景下路由收敛速度会明显提升代价是Hello报文在网络中的频率增加、CPU开销略有上升。在低带宽链路或大量邻居的场景里不要无脑把Hello调快要和设备性能与链路带宽一起评估。更激进的做法是加BFD联动。OSPF与BFD配合后检测链路故障的粒度能到毫秒级。不过BFD依赖设备硬件和转发能力实验里如果设备和平台不支持我建议先把OSPF自身的定时器调到合理值等有真实业务需求再上BFD。5.4 一份容易踩坑的OSPF配置清单最后把这几次实验里反复出现的错误整理成一张表比长篇大论好记。现象常见原因正确做法邻居卡在ExStart接口MTU不一致、网络类型不一致统一MTU双方配置一致网络类型邻居反复Down区域号不一致、认证不匹配逐一核对区域和认证参数查看错误计数外部路由在区域内部看不到特殊区域类型限制Type-5进入使用NSSA并正确配置默认路由/引入汇总后出现黑洞汇总范围覆盖不存在网段精确汇总或配置NULL0兜底路由VRRP主备切换后仍断流上联链路未跟踪或OSPF未宣告新网关配置track接口降低优先级确保OSPF宣告VLAN真实网段network反掩码写成子网掩码命令语法混淆明确反掩码的匹配逻辑配置前逐条核对除了这些还要提醒一条规则在实验机上做任何改动前先保存当前配置并做好回退方案。OSPF综合实验涉及的区域、认证、汇总、VRRP任何一项改错都可能让整个网络从通变为不通而且因为多区域联动故障面会被放大。这次实验做完之后我自己的体会是OSPF配置命令本身不是难点真正有价值的是知道每一步为什么要这样设计。比如NSSA的默认路由为什么由ABR生成VRRP为什么必须跟踪上联接口汇总为什么会产生黑洞。把这些底层逻辑在实验里亲手验证一遍比背十遍配置命令都管用。如果你也在搭类似的综合实验建议按照“基础邻居—特殊区域—路由引入—接入冗余—故障注入”这个顺序推进每个阶段都保存配置、记录现象后面翻看时你会发现整张网络的行为都是可以解释的。