做网络维护这些年我接过不少“路由学不全、业务偶发中断”的工单十有八九跟动态路由没配利索有关系。这里的OSPF配置尤其是华三/H3C设备上的OSPF配置看似就几条network命令实际牵扯到Router ID规划、区域设计、认证和汇总一堆细节。这篇文章我就按自己做过的一个双区域项目为例把H3C OSPF从规划到排障完整捋一遍。适合刚接触动态路由的运维同学也适合准备在核心网里上OSPF但心里没底的人。OSPF全称Open Shortest Path First是基于链路状态的内部网关协议。和静态路由相比它能感知拓扑变化、快速收敛、天然防环和RIP这类距离矢量协议相比它没有跳数限制度量值也更科学。很多中型园区网、企业分支互联、数据中心出口场景里H3C设备上跑OSPF基本是标准答案。但标准答案也会配错我见过不少人把network宣告写成路由过滤把区域认证配得两边不一致然后一晚上都在排查邻居为什么起不来。下面我按实际项目流程来写不搞教科书式铺陈都是能直接抄作业的内容。1. 先搞清楚OSPF在项目中解决什么问题1.1 不是所有网络都适合OSPF先判断场景我在决定一个项目要不要上OSPF之前会先看三个条件设备数量、链路冗余度、未来扩展预期。如果整个网络就三台设备一条出口链路加两台接入交换机静态路由反而更省事。配置清晰、排障直接没人愿意为一个不需要动态交互的网络引入协议复杂度。OSPF的价值在大网里才体现得明显链路一多手工静态路由的配置量指数级增长哪条链路断了还要逐台设备去改运维压力非常大。还有一点很关键OSPF自带防环机制。它基于链路状态数据库计算最短路径树所有路由器看到的是同一张完整的拓扑图天然不会出现环路。这在多链路冗余的场景下是静态路由完全比不了的。静态路由如果做得不仔细回程路由指错方向环路就悄悄出现了。所以我一般这样选型场景推荐方案理由3-5台设备拓扑固定静态路由简单直观维护成本低超过10台设备有冗余链路OSPF自动收敛配置量小防环业务网段分散经常加新网段OSPF只需在接入口宣告路由自动扩散核心区与分支跨多个区域OSPF多区域区域化隔离故障域减少LSA泛洪1.2 地址、区域与Router ID开工前必做的三件事很多人拿到设备就开始敲命令结果配到一半发现Router ID冲突、区域设计不合理又要推倒重来。我每次做OSPF项目最先做的不是配置而是三件事规划地址、规划区域、规划Router ID。地址规划直接影响后续路由汇总和排障难度。互联地址我习惯用30位掩码一段互联用4个IP两个可用不浪费地址也能非常清楚地标识出“这是一条设备间链路”。业务网段要有连续性比如192.168.10.0/24、192.168.11.0/24、192.168.12.0/24连续分配后面在ABR上做汇总就非常轻松。如果网段东一个西一个汇总无从谈起。区域规划上我坚持一个原则Area 0必须连续。OSPF规定所有非骨干区域必须直接或间接连接到Area 0区域间的路由必须经过骨干区域转发。设计时让核心设备都在Area 0分支设备根据地理位置或业务归属划分到Area 1、Area 2。小网络也可以单区域所有设备都在Area 0里简单粗暴。但在多区域设计里千万别为了省一条链路把两个非骨干区域直接连起来那在OSPF的世界里是不合法的。Router ID是OSPF路由器的身份证全网必须唯一。我强烈建议用Loopback接口地址作为Router ID来源不要依赖物理接口。物理接口一旦down掉OSPF进程的Router ID可能变化所有邻居关系会被重置全网重新收敛这个事故级别可不低。Loopback接口只要设备不宕机就不会down天然稳定。1.3 双区域项目的整体配置流程总览我这次要写的案例是一个典型双区域结构两台核心交换机跑Area 0分支路由器R1通过下行接口接入Area 1R2接入Area 2。业务网段分散在分支侧核心侧跑上层互联。整体配置流程如下设备基础配置设备名、接口IP、Loopback地址。创建OSPF进程手工指定Router ID。按区域进入视图用network宣告接口所在网段。验证邻居状态为Full查看路由表是否学到远端网段。加区域认证、路由汇总、静默接口等进阶配置。保存配置备份记录变更。这套流程我走了很多遍每一步都有坑。下面重点拆解。2. H3C设备OSPF核心配置实操2.1 起步配置Router ID与进程创建H3C设备上创建OSPF进程的命令很直接以核心交换机SW1为例SW1 system-view [SW1] sysname SW1 [SW1] interface LoopBack0 [SW1-LoopBack0] ip address 1.1.1.1 32 [SW1-LoopBack0] quit [SW1] ospf 1 router-id 1.1.1.1 [SW1-ospf-1]这里两个细节要注意。第一ospf 1后面的数字是进程号只在本地设备上有意义两端进程号不一致也能正常建立邻居。但我们运维上还是统一都用1省得以后接手的同事看着两台设备进程号不一样心里发毛。第二Router ID一旦配置了不会因为接口地址变化而改变除非手工修改或删除配置。但如果在邻居已经建立之后修改Router ID必须执行reset ospf process才能让新Router ID生效这个操作会短暂中断OSPF注意变更窗口。Router ID的选取优先级是这样的手工配置的最优先没有手工配置就选Loopback接口中最大的IP地址再没有就选物理接口中最大的IP地址。网上很多教程说“只要全网不冲突就行”这话对了一半。如果设备有多个LoopbackOSPF自动选的可能是你没想到的那个地址排障时看着对端的Router ID一脸懵。所以手工指定Router ID是必须的别偷懒。SW2的配置对称[SW2] interface LoopBack0 [SW2-LoopBack0] ip address 1.1.1.2 32 [SW2-LoopBack0] quit [SW2] ospf 1 router-id 1.1.1.2 [SW2-ospf-1]2.2 network宣告的正确姿势与反掩码计算创建完进程之后很多人卡在了network命令的反掩码上。network后面必须跟网络地址和通配符掩码不是子网掩码。通配符掩码的规则是0表示必须严格匹配1表示可以忽略。换算方法很简单用255.255.255.255减去子网掩码就行。24位掩码255.255.255.0反掩码0.0.0.255。30位掩码255.255.255.252反掩码0.0.0.3。32位掩码255.255.255.255反掩码0.0.0.0。以SW1为例核心交换机到R1的互联接口是Vlan接口假设地址是10.0.1.1/30Loopback0是1.1.1.1/32同时有一个业务网段192.168.10.0/24直接挂在SW1上。那么Area 1里的宣告就是[SW1-ospf-1] area 1 [SW1-ospf-1-area-0.0.0.1] network 10.0.1.0 0.0.0.3 [SW1-ospf-1-area-0.0.0.1] network 192.168.10.0 0.0.0.255 [SW1-ospf-1-area-0.0.0.1] network 1.1.1.1 0.0.0.0 [SW1-ospf-1-area-0.0.0.1] quit这里有个非常常见的误解network命令不是路由过滤不是说“我把这个网段通告给OSPF”而是说“哪些接口上的地址落在这个宣告范围内这些接口就参与OSPF”。只要接口地址匹配了network范围OSPF就会在这个接口上发送Hello报文、建立邻居并且把该接口对应的路由放进OSPF路由表。所以network宣告范围宁小勿大。有人图省事直接宣告一个大网段比如network 10.0.0.0 0.0.255.255结果设备上所有10.x的接口都被拉进了OSPF你以为只是通告了路由实际上连那些不该跑OSPF的接口都开始发Hello了网络混乱程度可想而知。Loopback地址要不要宣告进OSPF我的答案是宣告并且用0.0.0.0精确宣告。很多人习惯只宣告业务网段Loopback地址不进OSPF。但如果以后要跑BGP、做网管监控、用Loopback地址做隧道源全网都得能路由到这个地址。提前宣告进去后面省事。2.3 开销、Hello定时器与DR优先级调优OSPF的度量值是开销Cost计算公式是参考带宽除以接口带宽。H3C设备默认参考带宽是100Mbps也就是说千兆接口的Cost是100除以1000等于1百兆接口的Cost是100除以100等于1千兆和百兆算出来一样这就不合理了。所以在全千兆或万兆环境里我习惯把参考带宽调大。在系统视图下执行[SW1] bandwidth-reference 100000把参考带宽改成100000Mbps这样万兆接口Cost是10千兆接口Cost是100百兆接口Cost是1000层次就出来了。需要注意的是同一条链路上两端的参考带宽最好保持一致否则去程和回程的Cost不一样容易出现路由不对称。OSPF对Cost不一致不会报错但会造成流量路径违背设计预期。Hello定时器默认是10秒Dead定时器默认是40秒也就是4个Hello周期内没收到对端Hello就判定邻居Down。很多人为了让网络收敛更快把Hello改成5秒、Dead改成20秒。这个操作要想清楚代价是路由器对链路抖动的容忍度大幅降低。我见过一个项目把Dead改成20秒某条链路上偶尔有零星丢包OSPF邻居就不断复位路由表不停震荡业务反而更不稳定。如果链路质量不够好老老实实用默认值。在多路访问网络里DR和BDR的选举也值得提前设计。OSPF在广播网段里会选举一个DR和一个BDR其他路由器只和DR、BDR建立邻接关系普通路由器之间停在2-Way状态就行。选票规则是优先级高的当DR默认优先级是10表示不参与选举优先级相同就比Router ID大的当DR。DR选举是非抢占的已经选出来的DR不会因为新加入一台优先级更高的设备就自动让位除非OSPF进程重启。如果你的核心交换机性能很强希望它稳定当DR可以把优先级调高[SW1-GigabitEthernet1/0/1] ospf dr-priority 200如果某台设备只是接入角色不希望它参与DR选举优先级配0就行。我一般建议核心设备优先级调高接入设备优先级保持默认或者调低让DR的角色落在性能好、位置核心的设备上。3. 进阶必配项认证、汇总与静默接口3.1 区域认证配置别等被人改了才后悔很多内部网络的OSPF裸奔了好几年没人觉得有问题。直到有一天某个懂点命令的人不小心把一台设备接入网络或者有人为了测试在交换机上起了个OSPF进程结果整个网络路由表被打乱业务全断。OSPF认证的价值就在这让不该进OSPF的设备进不来让该进OSPF的路由器确认对方身份。H3C支持两种认证配置方式接口级认证和区域级认证。我更推荐区域级认证一条命令覆盖整个区域不用在每台设备的每个接口上单独配置省得漏配。[SW1-ospf-1] area 1 [SW1-ospf-1-area-0.0.0.1] authentication-mode hmac-sha256 1 cipher Test123对端R1上做同样配置[R1-ospf-1] area 1 [R1-ospf-1-area-0.0.0.1] authentication-mode hmac-sha256 1 cipher Test123这里有两个坑。第一个是加密算法必须一致MD5和HMAC-SHA256不能混用。第二个是密码必须一致连Key ID都要一致否则邻居直接卡在Init状态表现为路由表里一片空白。如果项目里已经有运行中的OSPF网络配置认证前最好先确认所有设备的认证参数都定好了再统一变更避免边改边丢路由。另外提一句现在新项目里我不太建议再上MD5了虽然H3C兼容性很好但MD5的强度已经跟不上时代。新设备都支持HMAC-SHA256安全性和兼容性都能兼顾。3.2 ABR路由汇总让核心路由表瘦下来没有做汇总的OSPF网络核心设备上可能看到几十条分支明细路由。路由条目多本身不是大事但每一条明细路由都意味着一次LSA泛洪、一次SPF计算。分支一多核心设备CPU压力就上来了。汇总把多条明细汇聚成一条既减小路由表又能在分支网段变化时把影响限制在区域内不会引起全网SPF重算。汇总命令在ABR设备上做。SW1连接Area 1如果Area 1里有192.168.10.0/24、192.168.11.0/24、192.168.12.0/24这些连续网段可以这样配置[SW1-ospf-1] area 1 [SW1-ospf-1-area-0.0.0.1] abr-summary 192.168.8.0 255.255.252.0注意汇总掩码是子网掩码不是反掩码。这个命令的意思是Area 1内部所有落在192.168.8.0/22范围内的明细路由在进入Area 0时被汇总成这一条。前提是当初网段规划时就预留了连续空间。如果192.168.10.0/24和192.168.20.0/24这种跳着分配汇总范围就会变大甚至把不属于这个分支的网段也包进去。网段连续性在OSPF项目里不是洁癖是功能需求。还有一种情况如果OSPF网络里存在外部路由引入比如分支路由器上通过import-route引入了静态路由或直连路由那需要在ASBR上做外部路由汇总命令是asbr-summary。它和abr-summary的区别在于作用位置不同一个汇总区域内路由一个汇总外部引入路由别搞混。3.3 静默接口与末梢网络处理OSPF默认会在所有匹配network范围的接口上发送Hello报文。但有些接口下的网络根本不需要建立OSPF邻居比如连接终端PC的接入网段。这些接口继续发送Hello纯粹是浪费资源还有安全隐患——万一有人在接入侧接了一台路由器直接就能和你的核心设备建立OSPF邻居。解决办法是静默接口。配置了静默接口的接口不再发送和接收Hello报文但仍然会把该接口的路由通告进OSPF正好符合“终端网段需要被全网路由但不需要和其他设备建立邻居”的需求。[SW1-ospf-1] silent-interface Vlan-interface 100配置静默接口最怕配错对象。有人把连接对端路由器的互联接口也静默了结果邻居直接消失路由表清空。静默接口只能配在终端接入、服务器接入这类不需要跑OSPF协议的接口上。互联接口、Loopback接口都不要动Loopback接口一般不需要静默因为即使发Hello也没有响应影响不大。对于纯末梢区域还有一个更彻底的手段是配置Stub区域。Stub区域不接收外部路由只接收区域内部和区域间的路由能进一步减少LSA数量。但Stub区域有个限制区域内不能有ASBR不能引入外部路由。如果你的分支区域有NAT、有特殊路由引入需求Stub就用不了。所以我一般先做汇总和静默这两个配置不改变网络逻辑风险更低。4. 常见问题与排查技巧实录4.1 邻居起不来按状态机一层层看OSPF邻居建立过程有完整的状态机Down、Init、2-Way、ExStart、Exchange、Loading、Full。每个状态卡住对应的排查方向都不一样。我在现场排查时习惯先用一条命令看全局display ospf peer brief如果对端设备出现在输出里但状态不是Full就说明卡在了某个中间状态。最常见的几种情况邻居一直停在Init对端收到你的Hello但你没收到对方的Hello大概率是单向通信问题。VLAN配错、接口down、ACL拦截了组播224.0.0.5的报文都能造成这个现象。判断方法是ping对端互联地址能ping通再看一下交换机的VLAN划分。卡在ExStart或Exchange而且两个状态来回跳优先查MTU。OSPF的DD报文里携带MTU信息两端不一致会导致协商失败。H3C设备默认MTU是1500但有些服务器网卡、防火墙接口可能改了MTU只要链路里有MTU不一致的节点OSPF邻居就会不停反复。解决方法是把链路两端的MTU统一成相同值。卡在2-Way不上Full这在广播网络中其实算正常非DR设备之间不建立邻接。但如果全网都是2-Way没有Full邻居那就是DR选举出了问题。最常见的原因是把所有设备的dr-priority都配成了0导致没有设备参与选举。保证至少一台设备优先级大于0或者让核心设备优先级高一些。4.2 路由学不全多半是宣告的锅邻居Full了但路由表里看不到对端网段这是第二大高频故障。我的排查顺序是固定的。先看LSDB里有没有相关网段display ospf lsdb对端的网段根本不在LSDB里说明宣告环节出了问题。对端设备上检查一下network宣告范围是不是把接口地址漏掉了。比如接口是10.0.1.2/30宣告的是10.0.1.0 0.0.0.255范围和实际掩码不匹配这个其实能涵盖但宣告的网段号和掩码组合起来要能覆盖到接口地址和掩码才行。正确的应该是10.0.1.0 0.0.0.3。如果LSDB里有相关LSA但路由表里没有问题可能在区域边界。ABR设备上如果没有把区域间路由正确转换或者汇总范围把明细路由掩盖了都会造成路由缺失。ABR上重点检查abr-summary的汇总范围是否覆盖了所有需要汇总的网段。汇总范围写小了一截漏掉的网段就永远不会出现在其他区域的路由表里。还有一种是静默接口引发的路由缺失。有人把连接终端的接口配了silent-interface本意是不建立邻居但后来这个接口下面又接了一台三层设备结果OSPF邻居迟迟起不来路由也学不到。这种属于物理拓扑变更后配置没跟上合理但不常见处理方式就是去掉相应的静默配置。4.3 网络震荡与DR选举问题实录反复震荡的OSPF网络最折磨人。白天好好的一到流量高峰邻居就Down过一会又恢复周而复始。看起来是“网络不稳定”实际上OSPF只是背锅侠真正的问题要从底层原因找。我把震荡排查分成三层协议层、链路层、策略层。协议层最常见的是认证不匹配可以看OSPF错误计数display ospf error如果认证错误计数在持续增长基本上可以确定是认证参数不一致。链路层常见的是双工不匹配一端是千兆全双工另一端因为协商失败降到了百兆半双工接口在流量大时大量丢包Hello报文丢了几个周期邻居就Down了。策略层就是前面说的Dead Timer太短对链路抖动过于敏感。DR选举问题往往带着“很诡异”的特征明明配置看起来一致但某些设备之间就是建立不了邻接。我遇到过一个案例一台新接入的核心设备优先级配了200本意是让它当DR但旧网络里的DR设备优先级还是默认1。因为DR选举非抢占新设备加了进来并不替换旧DR于是两台“核心设备”之间虽然建立了Full邻接但第三台设备只和旧DR建立邻接这台新设备在网段里形同虚设。解决办法是执行reset ospf process强制重新选举或者干脆让旧设备退出当前角色后重新加入。这类变更要安排在维护窗口执行因为DR的重新选举意味着该网段内所有OSPF邻接关系会全部重建一次性收敛。下面把常见问题整理成速查表方便直接对照现象可能原因排查命令与手段邻居状态是DownHello报文未互通display ospf peer brief检查VLAN、ACL、接口状态卡在Init单向通信ping对端互联地址查二层转发卡在ExStart/ExchangeMTU不一致两端接口MTU统一为1500卡在2-WayDR选举异常检查dr-priority保证至少一台设备优先级大于0路由学不到network漏宣告display ospf lsdb核对接口地址与宣告范围路由学不到ABR汇总范围不对检查abr-summary掩码是否覆盖全部明细邻居反复震荡认证密码或算法不一致display ospf error查看认证错误计数邻居频繁DownDead定时器太短恢复默认Hello 10秒、Dead 40秒新设备不参与邻接DR非抢占reset ospf process强制重选举5. 实操后的几点个人心得我个人现在做H3C OSPF项目的习惯是先把基础邻居全部拉起来确认所有设备的peer状态都到了Full路由表完全正常再逐步加上认证、汇总、静默接口这些进阶配置。原因很简单基础配置阶段如果有问题排障对象少、变量少很快能定位。一上来就又是认证又是汇总的出了问题根本分不清是哪个环节导致的。还有一个工作习惯是每次配置完成后立刻save force。OSPF这种动态协议配置错了可能过几秒钟就全网络震一遍改完之后不保存设备一重启什么都没了这是运维事故的开端。最后如果你是刚接触OSPF不久等你把这些配置和排障都跑通了我建议下一步好好研究LSA类型和Stub、NSSA区域。这些知识能把OSPF的很多行为彻底串起来以后再遇到奇怪的路由问题就能直接定位到是哪一类LSA在哪个区域出了状况排障思路会比靠命令行试错高效得多。