1. 为什么二类LSA值得单独拎出来讲干网络这行十几年OSPF的LSA类型我见过太多人背得滚瓜烂熟但一到排障现场就抓瞎。一类LSA讲的是路由器自己五类LSA讲的是外部路由这些大家都熟。可二类LSA——Network LSA——往往被一笔带过好像它只是个配角。实际情况恰恰相反在一个多路访问网络里二类LSA是区域内路由计算的骨架缺了它SPF树根本长不出来。我先说清楚这篇内容适合谁看。如果你刚接触OSPF能配基础邻居但说不清SPF怎么算的这篇能帮你把二类LSA和区域内路由的因果关系彻底理顺。如果你是有一定经验但排障时总在DR/BDR和Network LSA上卡壳的这里有几段我踩过的坑应该能对上你的场景。核心关键词就三个二类LSA、DR/BDR、区域内路由计算全文围绕它们展开不跑偏。二类LSA的本质是什么一句话它由DR指定路由器产生描述一个多路访问网段上有哪些路由器接进来了以及这个网段的子网掩码。注意它描述的是网段这个逻辑节点不是某台路由器。这个定位非常关键因为SPF算法算的是节点之间的最短路径树而二类LSA就是把广播网段抽象成一个伪节点Pseudonode让SPF树能够正常生长。没有这个伪节点一个以太网段上五台路由器两两之间都要建链路SPF计算量会爆炸拓扑描述也会混乱。很多人问我为什么点到点链路上看不到二类LSA因为点到点链路两端只有两台路由器直接靠一类LSA里的链路描述就能表达连接关系不需要伪节点来中转。只有多路访问网络广播型如以太网、NBMA如帧中继才需要DR出面产生二类LSA。这个为什么需要的逻辑比死记二类LSA由DR产生有用得多。再往深一层二类LSA和区域内路由计算的关系是SPF计算时路由器先把一类LSA里的Stub Network和Transit Network区分开Transit Network指向的就是二类LSA。SPF树从根自己出发遇到Transit Network就连到伪节点再从伪节点连到挂在上面的其他路由器。所以二类LSA里的Router ID列表直接决定了SPF树的分支走向。算路由时目的网段的掩码从二类LSA里取下一跳从伪节点关联的路由器里选。这条链路一旦理解透区域内路由的下一跳选择、开销累加就全通了。我写这篇不是要复述RFC而是把二类LSA怎么产生、长什么样、SPF怎么用它、出问题怎么查这条线串起来配上能直接抄的参数和命令。下面按设计思路、报文细节、实操验证、排障四个板块展开每个板块都有我实际环境里跑出来的记录。2. 整体设计与思路拆解2.1 伪节点抽象二类LSA存在的根本理由要理解二类LSA的设计得先回到OSPF最核心的诉求用链路状态数据库描述整个区域的拓扑然后每台路由器独立跑SPF算出最短路径树。问题在于广播型网络天然是多对多的连接关系。一个以太网段上挂了六台路由器如果按物理连接如实描述每台路由器都要在自身的一类LSA里声明我和另外五台都相连总共产生30条链路描述有向SPF计算时这六台两两之间都要比较开销拓扑图是一张全连接网。这种描述方式有两个致命问题。第一链路状态数据库膨胀n台路由器产生n×(n-1)条链路规模一大数据库就撑不住。第二SPF算法的复杂度会随连接数上升全连接网里任意两台之间都有直达路径算出来的树虽然对但计算过程冗余严重。更麻烦的是如果网段里某台路由器接口翻动它的一类LSA要重 flood其他五台都要重新计算收敛效率低。伪节点抽象就是来解决这个的。DR代表整个网段产生一条二类LSA里面列出本网段上所有与我建立邻接的路由器Router ID。同时网段上每台路由器包括DR自己在一类LSA里只声明一条到伪节点的Transit链路不再声明到其他路由器的直连。这样六台路由器的拓扑描述从30条链路降到6条每台到伪节点一条加一条二类LSA数据库体积和SPF计算量都大幅下降。这个设计的精妙之处在于伪节点在SPF树里是一个虚拟的中间节点。算路时从自己出发先到伪节点开销是接口到网段的cost再从伪节点到目标路由器开销为0因为二类LSA描述的伪节点到各路由器是零开销连接。所以经过广播网段的路径开销实际上只算了一次接口cost不会因为中间隔了个伪节点而多算。这个细节很多人没注意导致算开销时总是对不上后面实操部分我会用具体数字演示。2.2 DR/BDR选举与二类LSA的产生权二类LSA只能由DR产生这是硬规则。所以DR选举的稳定性直接决定二类LSA的稳定性。选举过程按接口进行比较顺序是接口DR优先级默认1范围0-2550表示不参与→ Router ID大者胜。优先级相同比Router IDRouter ID相同的情况实际不存在区域内唯一。BDR是DR的备份选举时先选BDR再选DR逻辑上BDR是除了DR之外优先级最高的。这里有个容易混淆的点DR选举是非抢占的。也就是说一个网段DR选出来之后即使后来接入一台优先级更高的路由器它也不会抢走DR角色除非当前DR失效触发重新选举。这个设计是为了避免角色频繁切换导致二类LSA反复重生成。我在实际项目里见过有人为了让核心设备当DR把优先级调到255然后重启接口结果发现还是没抢到——因为老DR还活着非抢占机制生效了。正确做法要么等老DR失效要么在老DR上把优先级调低再调回来触发选举或者干脆重启老DR的OSPF进程。DR和BDR都产生二类LSA吗不。只有DR产生BDR不产生。BDR在DR失效后接替成为DR那时才开始产生二类LSA。所以你在数据库里看到的Network LSALink State ID就是DR接口的IP地址Advertising Router是DR的Router ID。这两个字段是排障时的关键线索后面会反复用到。还有一个细节DR产生的二类LSA里Attached Router列表包含网段上所有与DR形成FULL邻接的路由器包括DR自己。注意是与DR形成FULL邻接的不是网段上所有配置了OSPF接口的。如果某台路由器和DR邻接卡在2-Way比如它自己是DROther且和DR之间因为某些原因没到FULL它就不会出现在二类LSA的Attached Router列表里SPF算路时也就不会把它当作可达节点。这个机制保证了二类LSA描述的是实际可通信的拓扑而不是配置上的拓扑。2.3 区域内路由计算的完整链路把二类LSA放进SPF计算的全流程里看区域内路由的生成分几步。第一步每台路由器收集本区域所有一类LSA和二类LSA构建链路状态数据库。第二步以自己为根SPF算法先处理一类LSA里的Transit链路找到伪节点二类LSA的Link State ID。第三步展开二类LSA把Attached Router列表里的每台路由器作为伪节点的子节点挂上去连接开销记为0。第四步继续展开这些路由器的一类LSA找它们声明的Stub Network直连网段累加开销生成路由条目。这里的关键是开销怎么累加。假设路由器A通过一个以太网段到达路由器B背后的一个网段。A到网段的接口cost是10B到网段的接口cost也是10。SPF树里A→伪节点的开销是10伪节点→B的开销是0B→目标网段的开销是10总开销20。注意伪节点到B是0不是10因为二类LSA描述的是伪节点与路由器之间的逻辑连接这个连接不消耗额外开销。如果误以为伪节点到B也要算B的接口cost总开销会算成30路由表里的metric就对不上了。这个点我在带新人的时候反复强调因为它是理解二类LSA零开销连接特性的核心。下一跳怎么选区域内路由的下一跳是从SPF树里到达目的网段的前一跳推导出来的。如果路径经过伪节点下一跳就是伪节点上某台路由器的接口IP。具体选哪台取决于SPF树里伪节点的子节点顺序和等价路径判断。在多DR场景或者等价多路径ECMP场景下可能会出现多条等价路由这时二类LSA里的Attached Router列表顺序和接口cost都会影响最终选路。实际排障时如果发现下一跳和预期不符先查二类LSA的Attached Router列表再看各路由器的接口cost基本能定位。3. 核心细节解析与实操要点3.1 二类LSA报文结构逐字段拆解二类LSA的报文结构不算复杂但每个字段都有明确用途排障时全靠它们定位问题。我用一个实际抓下来的LSA做样本逐字段说明。Type : Network (0x0002) LS age : 1234 Options : 0x22 (DC, E) LS Type : Network Link State ID : 10.1.1.1 - DR接口IP Advertising Router : 1.1.1.1 - DR的Router ID LS Seq Number : 0x80000005 Checksum : 0xABCD Length : 32 Network Mask : 255.255.255.0 - 网段掩码 Attached Router : 1.1.1.1 - DR自己 Attached Router : 2.2.2.2 Attached Router : 3.3.3.3Link State ID是DR接口的IP地址不是Router ID这点务必分清。同一个DR如果有多接口每个接口产生的二类LSA的Link State ID各不相同。Advertising Router才是DR的Router ID。排障时如果发现Link State ID和预期网段对不上先确认DR接口IP是否配置正确。Network Mask字段是二类LSA独有的一类LSA里没有这个字段一类LSA的Stub Network链路里带掩码但Transit链路不带。这个掩码决定了该网段的子网范围SPF算路时目的网段的前缀就从这里取。如果掩码配错比如本该/24配成了/25路由表里就会出现错误的前缀而且因为掩码错误导致网段范围变化可能引发路由黑洞。我遇到过一例某网段掩码从/24改成/25后DR的二类LSA更新了但另一台路由器的接口掩码没改结果两边对网段的理解不一致部分地址不可达。所以掩码一致性是二类LSA排障的第一检查项。Attached Router列表是可变长度字段列出所有与DR形成FULL邻接的路由器Router ID。列表里一定包含DR自己。如果某台路由器明明在网段上却不在列表里说明它和DR的邻接没到FULL原因可能是Hello参数不匹配、MTU不一致、认证失败等。这个列表的顺序在SPF计算时不影响结果SPF按Router ID排序处理但抓包时顺序可能因实现不同而有差异不用纠结。LS age和LS Seq Number是LSA新鲜度判断的依据。二类LSA在DR上周期性刷新默认1800秒Seq Number递增。如果DR切换新DR产生的二类LSA的Seq Number可能从初始值开始这时旧DR残留的LSA可能因为Seq Number更大而被误认为更新导致数据库短暂不一致。这个场景在DR切换时偶发后面排障部分会讲怎么处理。3.2 DR选举参数配置与稳定性保障DR选举的配置不复杂但参数选择有讲究。接口下的ospf dr-priority命令设置优先级范围0-255默认1。优先级0表示该接口不参与DR/BDR选举永远做DROther。这个设置在某些场景下很有用比如你希望某台低性能设备永远不当DR就把它优先级设为0。配置示例以常见厂商命令风格示意不同实现命令略有差异interface GigabitEthernet0/0 ip address 10.1.1.1 255.255.255.0 ip ospf dr-priority 100优先级设多少合适我的经验是核心层设备设高比如100-200接入层设低默认1或更低确保核心设备稳定担任DR。但要注意非抢占特性新接入的高优先级设备不会立即抢DR所以规划时最好在网络初始部署阶段就把优先级定好避免后期调整。DR切换的触发条件当前DR失效接口down、路由器重启、OSPF进程重启、接口优先级变化触发重新选举。注意单纯修改优先级不会立即触发选举需要接口shutdown/no shutdown或者等待Dead Timer超时。这个行为在不同实现里可能有差异稳妥做法是修改后手动触发一次。BDR的作用是DR失效后快速接替减少二类LSA中断时间。BDR不产生二类LSA但它和DR保持FULL邻接DR失效后BDR立即成为DR并产生新的二类LSA。所以BDR的优先级应该仅次于DR确保它是第二顺位。如果BDR优先级也设得很低DR失效后可能选出一台意外的设备当DR导致二类LSA的Link State ID变化影响路由收敛。注意DR优先级只在广播型和NBMA网络生效点到点和点到多点网络不选举DR也不产生二类LSA。配置前先确认网络类型别在点到点链路上折腾优先级。3.3 二类LSA与一类LSA的联动关系二类LSA不是孤立存在的它和一类LSA里的Transit链路是一对多的联动关系。一台路由器的一类LSA里如果某条链路类型是Transit它的Link ID就指向对应二类LSA的Link State ID即DR接口IPLink Data是自己的接口IP。SPF计算时正是通过这个Link ID把一类LSA和二类LSA关联起来。举个例子。路由器R1的一类LSA里有这样一条Link Type : Transit Link ID : 10.1.1.1 - 指向二类LSA Link Data : 10.1.1.2 - R1自己的接口IP Metric : 10这条链路告诉SPFR1通过开销10连接到伪节点10.1.1.1。然后SPF去数据库里找Link State ID为10.1.1.1的二类LSA展开它的Attached Router列表找到伪节点上挂的其他路由器。如果R1的一类LSA里Transit链路的Link ID写错了比如指向一个不存在的二类LSASPF计算时这条链路会被忽略R1到该网段的路由就出不来。这种错误在手工配置或迁移场景下偶发排障时用show ospf database对比一类和二类LSA的Link ID能快速发现。反过来二类LSA的Attached Router列表里如果包含某台路由器但那台路由器的一类LSA里没有对应的Transit链路指向这个伪节点SPF计算时会出现单向连接——伪节点认为能到那台路由器但那台路由器不认这个伪节点。结果就是路由不对称或者部分方向不可达。这种不一致通常由LSA不同步引起比如某台路由器刚重启还没收到完整数据库或者区域边界配置错误导致LSA没泛洪到位。3.4 掩码一致性与网段归属校验二类LSA的Network Mask字段必须和网段上所有路由器的接口掩码一致否则会出现同一网段被理解成不同子网的问题。OSPF本身不校验掩码一致性不像某些协议有掩码匹配检查所以掩码配错时邻居照样能建立但路由计算会出问题。具体表现假设网段实际是10.1.1.0/24DR接口掩码/24二类LSA里Network Mask是255.255.255.0。但某台路由器接口掩码配成了/25255.255.255.128它的一类LSA里Stub Network的掩码也是/25。SPF计算时这台路由器认为自己的直连网段是10.1.1.0/25而DR的二类LSA描述的是10.1.1.0/24两者对网段范围的理解不一致。结果可能是这台路由器只能访问10.1.1.0/25范围内的地址10.1.1.128-255的地址不可达或者路由表里出现两条重叠前缀。排查方法在DR上show ospf database network看Network Mask在各路由器上show ip interface看接口掩码逐一比对。我习惯在部署阶段就用脚本批量检查所有OSPF接口的掩码一致性比事后排障省事得多。提示修改网段掩码属于破坏性操作会导致二类LSA重新生成、区域内路由重算。生产环境操作前先确认影响范围最好在维护窗口执行。4. 实操过程与核心环节实现4.1 实验拓扑搭建与基础配置我搭一个最小可复现的实验环境来说明。三台路由器R1、R2、R3接在同一个以太网段10.1.1.0/24上R1接口IP 10.1.1.1R2接口IP 10.1.1.2R3接口IP 10.1.1.3。R1的Router ID 1.1.1.1R2的2.2.2.2R3的3.3.3.3。R1优先级设100R2设50R3默认1。预期R1当DRR2当BDRR3当DROther。基础配置命令风格示意# R1 router ospf 1 router-id 1.1.1.1 network 10.1.1.0 0.0.0.255 area 0 interface GigabitEthernet0/0 ip address 10.1.1.1 255.255.255.0 ip ospf 1 area 0 ip ospf dr-priority 100 # R2 router ospf 1 router-id 2.2.2.2 network 10.1.1.0 0.0.0.255 area 0 interface GigabitEthernet0/0 ip address 10.1.1.2 255.255.255.0 ip ospf 1 area 0 ip ospf dr-priority 50 # R3 router ospf 1 router-id 3.3.3.3 network 10.1.1.0 0.0.0.255 area 0 interface GigabitEthernet0/0 ip address 10.1.1.3 255.255.255.0 ip ospf 1 area 0配置完成后等待邻居建立用show ip ospf neighbor确认角色。预期看到R1是DRR2是BDRR3是DROther。如果角色和预期不符先查优先级配置是否生效再查Router ID大小关系。4.2 二类LSA生成验证与字段核对邻居稳定后在R1上查看二类LSAshow ip ospf database network OSPF Router with ID (1.1.1.1) (Process ID 1) Net Link States (Area 0) LS age: 245 Options: (No TOS-capability, DC) LS Type: Network Links Link State ID: 10.1.1.1 (address of Designated Router) Advertising Router: 1.1.1.1 LS Seq Number: 80000002 Checksum: 0x1234 Length: 32 Network Mask: /24 Attached Router: 1.1.1.1 Attached Router: 2.2.2.2 Attached Router: 3.3.3.3核对几个关键点Link State ID是10.1.1.1R1接口IPAdvertising Router是1.1.1.1R1的Router IDNetwork Mask是/24Attached Router列表包含三台路由器的Router ID。全部符合预期说明二类LSA生成正常。再在R2和R3上查看同样的二类LSA确认三台路由器的数据库里这条LSA完全一致LS age可能略有差异属正常。如果某台路由器上没有这条LSA说明泛洪有问题查邻居状态和区域配置。4.3 区域内路由计算过程还原现在给R2和R3各加一个环回口模拟背后的网段R2加Loopback0 2.2.2.0/24R3加Loopback0 3.3.3.0/24。然后在R1上看路由表show ip route ospf O 2.2.2.0/24 [110/11] via 10.1.1.2, 00:05:23, GigabitEthernet0/0 O 3.3.3.0/24 [110/11] via 10.1.1.3, 00:05:23, GigabitEthernet0/0开销11怎么来的R1到网段的接口cost是10默认以太网cost实际按带宽计算这里假设10伪节点到R2是0R2到Loopback0的cost是1环回口默认cost 1总开销100111。这个计算过程验证了前面说的伪节点零开销连接特性。如果误把伪节点到R2算成10总开销会是21和实际路由表对不上。下一跳是10.1.1.2和10.1.1.3分别是R2和R3的接口IP。SPF树里R1→伪节点→R2→Loopback0下一跳取伪节点到R2这段的R2接口IP。这个推导过程可以用show ip ospf route或者调试命令验证能看到SPF树的结构。4.4 DR切换对二类LSA和路由的影响实测把R1的接口shutdown模拟DR失效。观察R2和R3的行为变化。R1 down掉后R2原BDR接替成为DR产生新的二类LSA。在R2上查看show ip ospf database network Link State ID: 10.1.1.2 (address of Designated Router) Advertising Router: 2.2.2.2 Network Mask: /24 Attached Router: 2.2.2.2 Attached Router: 3.3.3.3注意Link State ID变成了10.1.1.2R2接口IPAdvertising Router变成2.2.2.2Attached Router列表里R1消失了因为R1 down了只剩R2和R3。同时R1原来的二类LSALink State ID 10.1.1.1会经历一个MaxAge老化过程最终从数据库里清除。这个过程中R2和R3到对方环回口的路由会短暂中断再恢复收敛时间取决于DR切换速度和LSA泛洪速度。实测下来从R1 down到R2产生新二类LSA、路由恢复大约几秒到十几秒具体看Dead Timer配置和网络规模。这个切换过程是OSPF设计的正常行为不用惊慌但如果频繁发生说明DR稳定性有问题要查接口物理状态或优先级配置。R1恢复后因为非抢占特性R2继续当DRR1变成DROther。这时R1的二类LSA不再产生数据库里只有R2的二类LSA。如果希望R1重新当DR需要手动触发选举比如在R2上把优先级调低再调回或者重启R2的OSPF进程。这个行为在实际运维中经常被忽略导致DR跑到了非预期设备上影响流量路径。5. 常见问题与排查技巧实录5.1 二类LSA缺失或Attached Router列表不全最常见的现象是网段上路由器邻居都起来了但某台路由器的路由表里缺了该网段的路由或者二类LSA的Attached Router列表里少了某台设备。排查顺序我总结成一张表现象可能原因排查命令处理方式二类LSA完全缺失网段上没有DR全DROthershow ip ospf neighbor检查优先级至少一台非0二类LSA缺失网络类型是点到点show ip ospf interface确认网络类型点到点不产生二类LSAAttached Router少一台该路由器与DR邻接未到FULLshow ip ospf neighbor查Hello参数、MTU、认证Attached Router少DR自己DR接口未参与OSPFshow ip ospf interface检查network声明或接口配置多台路由器都产生二类LSA存在多个DR分区show ip ospf database network查是否有设备隔离导致重复选举我遇到过一个典型案例某网段上四台路由器二类LSA的Attached Router列表只有三台缺的那台路由器邻居状态是2-Way。查下来是那台路由器的接口MTU比DR小MTU不匹配导致邻接卡在2-WayOSPF默认在ExStart阶段检查MTU。把MTU调一致后邻接到FULL二类LSA列表补齐路由恢复。这个坑很隐蔽因为2-Way在广播网里是DROther之间的正常状态容易被忽略但DROther和DR之间必须是FULL。5.2 掩码不一致导致的路由异常前面提过掩码一致性的重要性这里给一个实际排查记录。某次割接后部分终端反馈跨网段访问时通时不通。查路由表发现同一网段出现了两条前缀10.1.1.0/24和10.1.1.0/25分别指向不同的下一跳。根源是割接时一台路由器的接口掩码从/24误配成/25它的一类LSA里Stub Network掩码变成/25而DR的二类LSA还是/24。SPF计算时这台路由器认为自己的直连是/25其他路由器通过二类LSA认为网段是/24两边对网段范围理解不一致导致10.1.1.128-255这段地址的路由指向混乱。处理方式统一所有接口掩码为/24等待LSA刷新或手动clear ospf process加速路由表恢复正常。这个问题的教训是掩码变更必须全网同步不能只改一台。我现在做掩码变更时会先用脚本扫描所有OSPF接口的掩码生成一致性报告确认无差异后再操作。5.3 DR切换引发的LSA Seq Number冲突DR切换时偶发数据库不一致表现为某台路由器上同时存在新旧两条二类LSA或者路由短暂震荡。原因是旧DR残留的二类LSA的Seq Number可能比新DR产生的更大接收方按Seq Number判断新鲜度误认为旧LSA更新。排查方法在受影响路由器上show ip ospf database network看是否有两条Link State ID相同但Advertising Router不同的LSA对比Seq Number和LS age。如果旧LSA的Seq Number更大且未老化说明它还没被清除。处理方式等待旧LSA的MaxAge老化默认最大3600秒实际取决于LS age或者手动清除。更稳妥的做法是在DR切换后在新DR上确认二类LSA已正确生成然后在旧DR上clear ip ospf process强制它重新学习数据库。这个操作有短暂中断生产环境慎用。注意DR切换是OSPF的正常行为不要为了避免切换而把优先级设得过于极端。合理的做法是规划好主备DR接受偶发切换同时监控二类LSA的稳定性。5.4 二类LSA与路由表对不上的排查思路有时候二类LSA看起来正常但路由表里的metric或下一跳和手工计算不符。我的排查顺序是先确认接口costshow ip ospf interface看cost值注意参考带宽配置再确认二类LSA的Attached Router列表然后确认目标路由器的一类LSA里Stub Network的掩码和cost最后用show ip ospf route看SPF树结构。四步下来基本能定位差异点。常见差异来源接口cost被手动修改过ip ospf cost参考带宽不是默认的100Mbpsauto-cost reference-bandwidth或者存在等价路径导致下一跳选择不同。这些都不是二类LSA本身的问题但表现上像是二类LSA算错了容易误导排查方向。6. 我在实际环境中的几点体会二类LSA这个知识点看文档十分钟能背下来但真正理解它和SPF计算的关系得动手搭环境、抓包、对路由表。我建议每个学OSPF的人都做一遍我上面那个三路由器的实验特别是DR切换那一步亲眼看到Link State ID和Attached Router列表的变化比看十遍书都管用。实操中最容易踩的坑一个是掩码一致性一个是DR非抢占特性。掩码问题隐蔽性强建议部署阶段就用工具批量校验DR非抢占则要求规划时就把优先级定好别指望后期调整能立即生效。另外二类LSA的排障不要只盯着LSA本身一类LSA里的Transit链路、接口cost、网络类型都是关联因素得串起来看。最后分享一个小技巧排查区域内路由问题时先用show ip ospf database network确认二类LSA的Link State ID和Attached Router列表再用show ip ospf database router看各路由器一类LSA里的Transit链路是否指向正确的Link State ID两边一对联动关系是否正常一目了然。这个组合命令我用了很多年比逐个字段猜效率高得多。
