拓冰网站定制 
简介这是一份针对中小企业网络环境设计的毕业设计文档面向网络工程、计算机及相关专业学生也适合需要开展园区网或企业网规划的网络技术人员。文档以OSPF动态路由协议为核心针对老设备性能瓶颈与扩展能力不足的问题详细讲解了VLAN划分、访问控制列表、NAT地址转换、DHCP自动分配等配套技术并结合经济与技术可行性分析给出了完整的三层网络拓扑设计方案。内容涵盖需求分析、拓扑结构设计、地址具体分配、设备配置实现源代码以及全网连通性、访问控制列表等测试过程结构完整可直接参考或改写。资源为单个doc文件压缩包约844KB文本内容便于检索与编辑。目前已有1844人学习使用可作为毕业设计撰写、网络方案规划或OSPF协议复习的实用参考资料。1. 为什么不建议你直接抄OSPF毕业设计模板拿到“基于OSPF中小企业网络工程的毕业设计与实现”这个题目多数人的第一反应是找一份现成模板把router ospf命令抄进去。但实际去交付一个18台设备的小型园区网翻车点根本不在协议基本配置而在特殊区域路由的理解、MSTP与VRRP的联动、主备切换后OSPF的收敛路径。单区域OSPF跑通很容易跨了汇聚、接了外部专线之后LSA泛洪、路由次优、备机不接管的问题会挨个冒出来。这篇笔记按“区域规划→H3C落地配置→路由优化→排错验证”的顺序给出一套能直接照着做、能应付答辩、也能复现到真机的中小企业OSPF网络工程方案。适合正在做毕业设计的学生也适合需要短期交付一个中小型园区网的工程实施人员。2. 中小企业拓扑与OSPF区域规划先定边界再谈配置2.1 三层拓扑哪里跑OSPF核心汇聚接入的角色分工中小企业的物理拓扑通常就是核心层、汇聚层、接入层三层。核心层两台设备做双机汇聚层按楼层或业务分区部署接入层是二层交换机负责把PC、IP电话、摄像头收进来。OSPF跑在哪一层取决于三层网关放在哪。常见的做法是把OSPF启在核心和汇聚设备上接入层保持纯二层不参与路由协议。核心和汇聚之间、汇聚和汇聚之间跑OSPF业务VLAN的网关放在汇聚交换机上如果网络规模很小只有两台核心加几台接入那就把网关全部收敛到核心OSPF只在这两台核心之间跑。接入层不需要OSPF的原因是它没有三层路由需求启了反而增加hello报文和LSA泛洪纯属浪费。区域划分上我一般建议Area 0放核心设备和核心与汇聚之间的互联链路业务区域按功能拆成stub或totally stub外部专线接入区域用NSSA。Area 0承载所有骨干路由绝对不能设计成不连续业务区用stub可以把三类LSA挡在区域边界让区域内路由器只保留一条缺省路由指向ABR路由表规模直接降一个量级。2.2 IP地址规划与Router ID回环口先于业务地址IP规划是OSPF工程里最容易被跳过、出问题后最难查的一步。地址规划乱后续写network宣告、做路由聚合、排错都难受。规划原则简单三条连续、可聚合、留余量。LoopBack地址单独预留一整段每台设备一个/32地址同时用作Router ID和管理地址。业务VLAN按功能分组比如办公区、监控区、无线区各占一个连续C段或B段设备互联地址用30位掩码一对链路一个子网不要和业务地址混用。管理地址单独一段给交换机的管理VLAN用。地址规划表长这样用途地址段说明LoopBack / Router ID10.255.0.0/24每设备一个/32办公业务VLAN192.168.10.0/24VLAN 10监控业务VLAN192.168.20.0/24VLAN 20无线业务VLAN192.168.30.0/24VLAN 30核心互联10.0.10.0/30CORE-1到CORE-2汇聚互联10.0.20.0/30CORE到汇聚A逐条分配Router ID必须手动指定到LoopBack接口上。如果不手动配OSPF会自己选一个最大的接口IP当Router ID接口地址一改、设备重启Router ID跟着变邻居全部重新建立排错时看到的现象就是邻居反复flapping纯属自找麻烦。2.3 单区域还是多区域一张表决定你的OSPF边界很多毕业设计把OSPF配成了全网一个area从流程上讲没错但从工程合理性上讲不一定对。选单区域还是多区域直接看设备数量和业务划分。设备规模区域方案理由少于15台单一办公网单区域全部Area 0配置简单维护成本低LSA量可控15~30台有明确业务分区多区域Area 0 stub/NSSA减少LSA泛洪故障隔离路由表更干净超过30台多楼层多分支多区域 路由汇总 外部路由引入收敛范围缩小可扩展性优先判断依据很简单如果全网OSPF路由条数超过200条或者汇聚设备之间经常有业务隔离需求那就拆区域。中小企业最常见的是第二种核心两台加汇聚四台拆成Area 0加两三个业务区域。每个业务区域内部只保留自己网段的三类LSA和一条缺省路由跨区域访问全部走ABR转发路由清晰排错也快。单区域为什么在小规模下更推荐因为多区域引入ABR、ASBR角色之后配置量和故障点成倍增加区域间路由汇总如果没做好反而比单区域更难维护。这个判断不要被“多区域显得高级”绑架规模不够硬上多区域答辩时被问一句“你为什么要拆区域”就答不上来。3. 用H3C把OSPFMSTPVRRP落地可直接套用的配置模板3.1 OSPF最小配置从VLAN到全网通先给一套跑通OSPF的最小配置以H3C设备为例。假设核心交换机CORE-1作为Area 0骨干设备VLAN 10业务网关直接落在核心上核心和汇聚之间通过三层互联口跑OSPF。# CORE-1 sysname CORE-1 vlan 10 vlan 20 interface LoopBack0 ip address 10.255.0.1 32 interface Vlan-interface10 ip address 192.168.10.254 24 interface Vlan-interface20 ip address 192.168.20.254 24 interface GigabitEthernet1/0/1 port link-mode route ip address 10.0.20.1 30 ospf 1 router-id 10.255.0.1 area 0.0.0.0 network 10.255.0.1 0.0.0.0 network 192.168.10.0 0.0.0.255 network 10.0.20.0 0.0.0.3这段配置里有几个关键点逐个说。OSPF进程号是本地有效的两端不一致不影响建邻居但为方便排错全网统一用一个进程号。router-id手动指定成LoopBack地址避免自动选举带来的不确定性。network命令宣告的是网段加反掩码反掩码等于子网掩码按位取反/24对应0.0.0.255/30对应0.0.0.3这个地方写错最常见。接口需要启用OSPF时直接通过network将接口所在网段宣告进对应区域。注意LoopBack0也必须宣告进OSPF否则设备间ping LoopBack地址不通后续做路由汇总、远程管理都会受限制。这台设备只宣告了VLAN 10进Area 0VLAN 20如果也想参与路由同样把它加进network列表。3.2 特殊区域这样配stub、totally stub与NSSA的命令区别特殊区域是OSPF排错中比较容易翻车的地方因为命令差别很小语义差别很大。先明确概念stub区域阻止四类和五类LSA进入区域内路由器靠ABR下发的一条三类缺省路由访问外部totally stub在此基础上连三类LSA明细也挡住只留缺省路由NSSA允许外部路由以七类LSA进入ABR负责把七类转换成五类再通告到Area 0。配置命令如下。假设汇聚交换机AGG-1连接业务区划为Area 1作为stub区域出口路由器连接专线划为Area 2作为NSSA区域。# AGG-1Area 1内所有路由器都要配stub ospf 1 area 0.0.0.1 stub network 192.168.30.0 0.0.0.255 # CORE-1 上对应Area 1的ABR侧 ospf 1 area 0.0.0.1 stub # 如果想做成totally stub只在ABR上配置 ospf 1 area 0.0.0.1 stub no-summarystub区域有个硬性约束区域内的所有路由器包括ABR和非ABR都必须配置stub命令漏一台邻居关系就起不来。totally stub只需在ABR上多敲一句no-summary区域内路由表的明细三类LSA会被过滤只剩一条缺省。NSSA区域的配置逻辑不同# 出口路由器 ASBR ospf 1 area 0.0.0.2 nssa default-route-advertise network 192.168.40.0 0.0.0.255 # CORE-1 上Area 2的ABR侧 ospf 1 area 0.0.0.2 nssaNSSA区域想要有缺省路由必须在ASBR或ABR上显式下发典型写法就是default-route-advertise。和stub不一样NSSA不会自动在ABR上下发缺省漏了这条区域内的设备就去不了外部网络而且OSPF本身不会报错排查起来全靠仔细看LSDB里的七类LSA。3.3 MSTP与VRRP联动根桥和主备必须同一台设备OSPF解决三层路由MSTP解决二层环路VRRP解决网关冗余三者单独看都不复杂放在同一个网络里就会互相影响。最常见的错误是VRRP主设备在CORE-1STP根桥却选在CORE-2流量从接入层上来找根桥再从根桥绕回主网关路径次优甚至丢包。原则就一条让VRRP的主设备和MSTP的根桥落在同一台设备上。# CORE-1 MSTP区域配置 stp region-configuration region-name H3C instance 1 vlan 10 20 instance 2 vlan 30 active region-configuration stp instance 1 root primary stp instance 2 root secondary # CORE-1 VRRP配置 interface Vlan-interface10 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 120 vrrp vrid 10 track interface GigabitEthernet1/0/1 reduced 40 # CORE-2 对应配置 stp instance 1 root secondary stp instance 2 root primary interface Vlan-interface10 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 100MSTP的instance 1承载VLAN 10和20CORE-1在该实例上是根桥instance 2承载VLAN 30CORE-2是根桥实现不同VLAN的负载分担。VRRP这边VLAN 10的master设定为CORE-1优先级120track上行接口DOWN时优先级降40自动把master角色让给CORE-2。这样设计后二层流量走向和三层网关主备保持一致哪台设备是主流量就全部走哪台。配置完成后务必核对两件事display stp instance 1看根桥是不是CORE-1display vrrp看VLAN 10的master是不是CORE-1。两者不一致网络表面通实际总是绕远路这个隐患在OSPF和VRRP都配好之后更容易被忽视。4. OSPF路由优化与特殊区域路由的理解调参与选路4.1 cost与bandwidth-reference让流量按你的意图走OSPF选路看costcost默认按接口带宽除以bandwidth-reference计算。问题在于H3C设备bandwidth-reference默认是100Mbit/s千兆口算出来cost1万兆口也算出来cost1结果两台设备之间明明有千兆和万兆两条链路OSPF认为开销一样全部走等价负载流量调度完全失控。常见做法是把bandwidth-reference调到10000或者直接手工指定接口cost。调整后的效果是千兆口cost10万兆口cost1OSPF自动优先走万兆。如果两条链路带宽确实一样但希望某一条作为主用直接在接口下手工改cost给备份链路加一个较大的值就行。# 全局调整带宽参考值 ospf 1 bandwidth-reference 10000 # 备份链路接口手工加大cost interface GigabitEthernet1/0/2 port link-mode route ip address 10.0.21.2 30 ospf cost 100手工改cost的场景一般有三种两条链路带宽不同要主动选路业务希望主备模式而不是负载模式以及跨运营商专线希望流量固定走某一出口。cost调完用display ospf routing查看确认路由的Cost值和预期一致。4.2 静默接口与区域认证接入侧该闭嘴就闭嘴接入层设备如果不跑OSPF核心或汇聚连向接入交换机的接口就会持续发送hello报文虽然不影响功能但会浪费CPU、产生大量无用组播报文排错时查看OSPF邻居还会看到一堆无意义信息。在这些接口上启用静默接口功能OSPF就不再发送hello也不会接收和处理hello但该接口所在网段仍然可以通过network宣告进OSPF。# CORE-1 连接接入交换机的接口设静默 ospf 1 silent-interface Vlan-interface10 silent-interface GigabitEthernet1/0/10注意silent-interface的语义是“不建立邻居但网段仍参与OSPF路由”不是把这个接口从OSPF里摘掉。用在终端侧接口上最合适如果用在设备互联接口上邻居就直接断了这个边界要分清。区域认证是为了防止有人私接设备伪造OSPF报文或者哪些接口误配导致邻居关系异常。推荐在Area 0上做MD5认证配置量不大但能挡住绝大多数低级问题。# 区域认证Area 0内每一台设备都要配置 ospf 1 area 0.0.0.0 authentication-mode md5 1 h3c # 接口侧同样要配 interface GigabitEthernet1/0/1 port link-mode route ospf authentication-mode md5 1 h3c区域认证有个坑key-id和密码必须全网一致漏一台或写错一个字符表现就是邻居反复flapping日志里大量authentication failed。先配区域认证再逐台加接口认证避免一次性大面积修改导致排错范围失控。4.3 次优路径修复VRRP切换后OSPF为什么还走老路VRRP主备切换后OSPF的路由并不总是跟着切换。最常见的情况是CORE-1是VRRP主设备也是OSPF流量入口CORE-1上行断了之后VRRP切到CORE-2但CORE-2到达上游的OSPF cost比CORE-1原来的路径更高流量到了CORE-2之后又绕回CORE-1出去形成次优路径。修复思路有两种。第一种是纯粹调OSPF cost把CORE-2到上游的链路cost调低让OSPF主动选择CORE-2第二种是结合track和cost联动在上行接口DOWN时自动调整接口cost。# CORE-2 备份上行接口正常情况下cost调高 interface GigabitEthernet1/0/2 port link-mode route ip address 10.0.22.2 30 ospf cost 200 # CORE-2 上配置track关联上行口 track 1 interface GigabitEthernet1/0/2 interface GigabitEthernet1/0/2 ospf cost track 1 reduced 190track检测到上行口DOWN后接口cost自动从200降到10OSPF重新计算路由流量在当前主设备上直接出去不再绕行。这套联动在真机上验证时观察display ospf routing里的出接口和下一跳变化能明确看到收敛结果。5. OSPF部署避坑五条真机踩坑记录与排查思路5.1 邻居卡在ExStart/Exchange状态LSDB迟迟不同步现象display ospf peer看到邻居状态一直停在ExStart或Exchange偶尔到Loading又弹回去OSPF路由表学不全。原因两端接口MTU不一致。OSPF在ExStart阶段会协商DD报文大小MTU大的设备发送的DD报文超过对端接口承受能力对端直接丢弃邻居状态就一直卡在DD交换阶段。这个坑在真机环境里很常见尤其是在核心和汇聚跨不同品牌设备对接时MTU默认值可能不一样。解决把所有参与OSPF的三层接口MTU统一。H3C设备上执行ip mtu 1500确保互联接口两端一致。排查时用display ospf peer error查看错误计数如果发现大量DD报文相关错误优先查MTU。5.2 邻居反复flapping日志里全是authentication failed现象邻居能建立但每隔几十秒就Down一次再重新建立反复循环。查看logbuffer能看到大量OSPF认证失败日志。原因区域认证配置不一致或者MD5的key-id、密码同一区域里各设备写得不一样。还有一种隐蔽情况是在Area 0做了区域认证但接口上又额外配了认证且密码不同接口认证优先级更高导致区域认证形同虚设。解决收敛认证配置只保留一种方式。要么全用区域认证要么全用接口认证不要混用。改完后在每台设备上执行display ospf peer确认邻居进入Full状态且保持稳定。5.3 network宣告反掩码写错路由学到了一半现象部分网段能通部分网段的路由在OSPF路由表里死活不出现display ospf lsdb里也看不到对应的LSA。原因network命令里反掩码写错。比如/24网段误写成0.0.0.255之外的掩码宣告范围不匹配实际接口地址或者把多个接口地址用一个过大的反掩码宣告导致OSPF把不该宣告的接口也加进来路由表出现意料之外的网段。解决牢记反掩码等于子网掩码取反。/24是0.0.0.255/30是0.0.0.3/32是0.0.0.0。排查时在设备上执行display ospf interface看看哪些接口被OSPF纳入逐一对照network宣告范围。5.4 MSTP根桥与VRRP主备不一致流量绕路还丢包现象VLAN 10网关在CORE-1上业务PC也能通但延迟忽高忽低抓包发现去往网关的流量先从接入层到了CORE-2再转发到CORE-1路径明显绕路。严重时CORE-1和CORE-2之间的互联口DOWN掉业务直接中断。原因VRRP主设备是CORE-1但STP根桥被选成了CORE-2。二层流量全部向根桥汇聚到达根桥后再由三层转发根桥不是网关所在设备路径必然次优根桥和主设备之间的链路一旦断开流量彻底断掉。解决让stp instance的root primary和VRRP priority高的设备保持同一台。配置完成后用display stp instance和display vrrp两条命令核对不一致就调整STP优先级或VRRP优先级不要靠猜。5.5 stub区域漏配或缺省路由丢失全网黑洞现象stub区域内部设备之间的通信正常但访问区域外部网络全部超时。在ABR上ping区域内部设备的业务地址能通从区域内设备ping外部地址不通。原因stub区域要求区域内所有路由器都配置stub如果有一台非ABR设备漏配它的路由表和其它设备不一致会尝试转发它认为存在的明细路由实际却送不到。另一种情况是NSSA区域没有配置default-route-advertise区域内设备没有缺省路由可走。解决检查区域内每一台设备的路由表里是否有一条缺省路由指向ABR同时确认所有设备都处于stub状态。用display ospf lsdb看三类LSA里是否有缺省路由条目没有就补配置。6. 验证OSPF网络工程从LSDB检查到主备切换演习配置全部完成后验证不能只停留在“能ping通就算通过”。我一般按下面顺序过一遍先看邻居关系确认所有OSPF邻居都进入Full状态再看LSDB核对特殊区域的LSA类型是否符合预期然后看路由表确认缺省路由和业务网段都正确最后做一次主备切换演习验证VRRP和OSPF的联动是否真的可靠。# 查看所有OSPF邻居状态 display ospf peer brief # 查看OSPF LSDB重点关注三类、五类、七类LSA display ospf lsdb # 查看OSPF路由表 display ospf routing # 查看VRRP主备状态 display vrrp # 查看STP各实例根桥 display stp brief主备切换演习的具体操作切断CORE-1的上行接口观察display vrrp是否在几秒内切换到CORE-2再从终端侧tracert一个外部地址确认路径已经从CORE-2出去没有绕回CORE-1。恢复CORE-1上行接口后再看是否回切。这个过程能暴露前面提到的次优路径问题也能验证track联动配置是否生效。做这类验证时习惯先记下切换前的OSPF路由表切换后diff一下重点关注缺省路由和业务网段有没有变化。如果发现某条路由在切换后消失大概率是区域间汇总或特殊区域下发有问题。有一次在stub区域改完配置后忘了核对缺省路由结果全网路由黑洞到半夜才定位现在每次动完区域配置都先查一遍LSDB里的三类LSA和缺省条目再往下走希望帮到你。本文还有配套的精品资源点击获取 基于OSPF的中小企业网络工程设计：H3C落地配置与路由优化实战
简介这是一份针对中小企业网络环境设计的毕业设计文档面向网络工程、计算机及相关专业学生也适合需要开展园区网或企业网规划的网络技术人员。文档以OSPF动态路由协议为核心针对老设备性能瓶颈与扩展能力不足的问题详细讲解了VLAN划分、访问控制列表、NAT地址转换、DHCP自动分配等配套技术并结合经济与技术可行性分析给出了完整的三层网络拓扑设计方案。内容涵盖需求分析、拓扑结构设计、地址具体分配、设备配置实现源代码以及全网连通性、访问控制列表等测试过程结构完整可直接参考或改写。资源为单个doc文件压缩包约844KB文本内容便于检索与编辑。目前已有1844人学习使用可作为毕业设计撰写、网络方案规划或OSPF协议复习的实用参考资料。1. 为什么不建议你直接抄OSPF毕业设计模板拿到“基于OSPF中小企业网络工程的毕业设计与实现”这个题目多数人的第一反应是找一份现成模板把router ospf命令抄进去。但实际去交付一个18台设备的小型园区网翻车点根本不在协议基本配置而在特殊区域路由的理解、MSTP与VRRP的联动、主备切换后OSPF的收敛路径。单区域OSPF跑通很容易跨了汇聚、接了外部专线之后LSA泛洪、路由次优、备机不接管的问题会挨个冒出来。这篇笔记按“区域规划→H3C落地配置→路由优化→排错验证”的顺序给出一套能直接照着做、能应付答辩、也能复现到真机的中小企业OSPF网络工程方案。适合正在做毕业设计的学生也适合需要短期交付一个中小型园区网的工程实施人员。2. 中小企业拓扑与OSPF区域规划先定边界再谈配置2.1 三层拓扑哪里跑OSPF核心汇聚接入的角色分工中小企业的物理拓扑通常就是核心层、汇聚层、接入层三层。核心层两台设备做双机汇聚层按楼层或业务分区部署接入层是二层交换机负责把PC、IP电话、摄像头收进来。OSPF跑在哪一层取决于三层网关放在哪。常见的做法是把OSPF启在核心和汇聚设备上接入层保持纯二层不参与路由协议。核心和汇聚之间、汇聚和汇聚之间跑OSPF业务VLAN的网关放在汇聚交换机上如果网络规模很小只有两台核心加几台接入那就把网关全部收敛到核心OSPF只在这两台核心之间跑。接入层不需要OSPF的原因是它没有三层路由需求启了反而增加hello报文和LSA泛洪纯属浪费。区域划分上我一般建议Area 0放核心设备和核心与汇聚之间的互联链路业务区域按功能拆成stub或totally stub外部专线接入区域用NSSA。Area 0承载所有骨干路由绝对不能设计成不连续业务区用stub可以把三类LSA挡在区域边界让区域内路由器只保留一条缺省路由指向ABR路由表规模直接降一个量级。2.2 IP地址规划与Router ID回环口先于业务地址IP规划是OSPF工程里最容易被跳过、出问题后最难查的一步。地址规划乱后续写network宣告、做路由聚合、排错都难受。规划原则简单三条连续、可聚合、留余量。LoopBack地址单独预留一整段每台设备一个/32地址同时用作Router ID和管理地址。业务VLAN按功能分组比如办公区、监控区、无线区各占一个连续C段或B段设备互联地址用30位掩码一对链路一个子网不要和业务地址混用。管理地址单独一段给交换机的管理VLAN用。地址规划表长这样用途地址段说明LoopBack / Router ID10.255.0.0/24每设备一个/32办公业务VLAN192.168.10.0/24VLAN 10监控业务VLAN192.168.20.0/24VLAN 20无线业务VLAN192.168.30.0/24VLAN 30核心互联10.0.10.0/30CORE-1到CORE-2汇聚互联10.0.20.0/30CORE到汇聚A逐条分配Router ID必须手动指定到LoopBack接口上。如果不手动配OSPF会自己选一个最大的接口IP当Router ID接口地址一改、设备重启Router ID跟着变邻居全部重新建立排错时看到的现象就是邻居反复flapping纯属自找麻烦。2.3 单区域还是多区域一张表决定你的OSPF边界很多毕业设计把OSPF配成了全网一个area从流程上讲没错但从工程合理性上讲不一定对。选单区域还是多区域直接看设备数量和业务划分。设备规模区域方案理由少于15台单一办公网单区域全部Area 0配置简单维护成本低LSA量可控15~30台有明确业务分区多区域Area 0 stub/NSSA减少LSA泛洪故障隔离路由表更干净超过30台多楼层多分支多区域 路由汇总 外部路由引入收敛范围缩小可扩展性优先判断依据很简单如果全网OSPF路由条数超过200条或者汇聚设备之间经常有业务隔离需求那就拆区域。中小企业最常见的是第二种核心两台加汇聚四台拆成Area 0加两三个业务区域。每个业务区域内部只保留自己网段的三类LSA和一条缺省路由跨区域访问全部走ABR转发路由清晰排错也快。单区域为什么在小规模下更推荐因为多区域引入ABR、ASBR角色之后配置量和故障点成倍增加区域间路由汇总如果没做好反而比单区域更难维护。这个判断不要被“多区域显得高级”绑架规模不够硬上多区域答辩时被问一句“你为什么要拆区域”就答不上来。3. 用H3C把OSPFMSTPVRRP落地可直接套用的配置模板3.1 OSPF最小配置从VLAN到全网通先给一套跑通OSPF的最小配置以H3C设备为例。假设核心交换机CORE-1作为Area 0骨干设备VLAN 10业务网关直接落在核心上核心和汇聚之间通过三层互联口跑OSPF。# CORE-1 sysname CORE-1 vlan 10 vlan 20 interface LoopBack0 ip address 10.255.0.1 32 interface Vlan-interface10 ip address 192.168.10.254 24 interface Vlan-interface20 ip address 192.168.20.254 24 interface GigabitEthernet1/0/1 port link-mode route ip address 10.0.20.1 30 ospf 1 router-id 10.255.0.1 area 0.0.0.0 network 10.255.0.1 0.0.0.0 network 192.168.10.0 0.0.0.255 network 10.0.20.0 0.0.0.3这段配置里有几个关键点逐个说。OSPF进程号是本地有效的两端不一致不影响建邻居但为方便排错全网统一用一个进程号。router-id手动指定成LoopBack地址避免自动选举带来的不确定性。network命令宣告的是网段加反掩码反掩码等于子网掩码按位取反/24对应0.0.0.255/30对应0.0.0.3这个地方写错最常见。接口需要启用OSPF时直接通过network将接口所在网段宣告进对应区域。注意LoopBack0也必须宣告进OSPF否则设备间ping LoopBack地址不通后续做路由汇总、远程管理都会受限制。这台设备只宣告了VLAN 10进Area 0VLAN 20如果也想参与路由同样把它加进network列表。3.2 特殊区域这样配stub、totally stub与NSSA的命令区别特殊区域是OSPF排错中比较容易翻车的地方因为命令差别很小语义差别很大。先明确概念stub区域阻止四类和五类LSA进入区域内路由器靠ABR下发的一条三类缺省路由访问外部totally stub在此基础上连三类LSA明细也挡住只留缺省路由NSSA允许外部路由以七类LSA进入ABR负责把七类转换成五类再通告到Area 0。配置命令如下。假设汇聚交换机AGG-1连接业务区划为Area 1作为stub区域出口路由器连接专线划为Area 2作为NSSA区域。# AGG-1Area 1内所有路由器都要配stub ospf 1 area 0.0.0.1 stub network 192.168.30.0 0.0.0.255 # CORE-1 上对应Area 1的ABR侧 ospf 1 area 0.0.0.1 stub # 如果想做成totally stub只在ABR上配置 ospf 1 area 0.0.0.1 stub no-summarystub区域有个硬性约束区域内的所有路由器包括ABR和非ABR都必须配置stub命令漏一台邻居关系就起不来。totally stub只需在ABR上多敲一句no-summary区域内路由表的明细三类LSA会被过滤只剩一条缺省。NSSA区域的配置逻辑不同# 出口路由器 ASBR ospf 1 area 0.0.0.2 nssa default-route-advertise network 192.168.40.0 0.0.0.255 # CORE-1 上Area 2的ABR侧 ospf 1 area 0.0.0.2 nssaNSSA区域想要有缺省路由必须在ASBR或ABR上显式下发典型写法就是default-route-advertise。和stub不一样NSSA不会自动在ABR上下发缺省漏了这条区域内的设备就去不了外部网络而且OSPF本身不会报错排查起来全靠仔细看LSDB里的七类LSA。3.3 MSTP与VRRP联动根桥和主备必须同一台设备OSPF解决三层路由MSTP解决二层环路VRRP解决网关冗余三者单独看都不复杂放在同一个网络里就会互相影响。最常见的错误是VRRP主设备在CORE-1STP根桥却选在CORE-2流量从接入层上来找根桥再从根桥绕回主网关路径次优甚至丢包。原则就一条让VRRP的主设备和MSTP的根桥落在同一台设备上。# CORE-1 MSTP区域配置 stp region-configuration region-name H3C instance 1 vlan 10 20 instance 2 vlan 30 active region-configuration stp instance 1 root primary stp instance 2 root secondary # CORE-1 VRRP配置 interface Vlan-interface10 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 120 vrrp vrid 10 track interface GigabitEthernet1/0/1 reduced 40 # CORE-2 对应配置 stp instance 1 root secondary stp instance 2 root primary interface Vlan-interface10 vrrp vrid 10 virtual-ip 192.168.10.1 vrrp vrid 10 priority 100MSTP的instance 1承载VLAN 10和20CORE-1在该实例上是根桥instance 2承载VLAN 30CORE-2是根桥实现不同VLAN的负载分担。VRRP这边VLAN 10的master设定为CORE-1优先级120track上行接口DOWN时优先级降40自动把master角色让给CORE-2。这样设计后二层流量走向和三层网关主备保持一致哪台设备是主流量就全部走哪台。配置完成后务必核对两件事display stp instance 1看根桥是不是CORE-1display vrrp看VLAN 10的master是不是CORE-1。两者不一致网络表面通实际总是绕远路这个隐患在OSPF和VRRP都配好之后更容易被忽视。4. OSPF路由优化与特殊区域路由的理解调参与选路4.1 cost与bandwidth-reference让流量按你的意图走OSPF选路看costcost默认按接口带宽除以bandwidth-reference计算。问题在于H3C设备bandwidth-reference默认是100Mbit/s千兆口算出来cost1万兆口也算出来cost1结果两台设备之间明明有千兆和万兆两条链路OSPF认为开销一样全部走等价负载流量调度完全失控。常见做法是把bandwidth-reference调到10000或者直接手工指定接口cost。调整后的效果是千兆口cost10万兆口cost1OSPF自动优先走万兆。如果两条链路带宽确实一样但希望某一条作为主用直接在接口下手工改cost给备份链路加一个较大的值就行。# 全局调整带宽参考值 ospf 1 bandwidth-reference 10000 # 备份链路接口手工加大cost interface GigabitEthernet1/0/2 port link-mode route ip address 10.0.21.2 30 ospf cost 100手工改cost的场景一般有三种两条链路带宽不同要主动选路业务希望主备模式而不是负载模式以及跨运营商专线希望流量固定走某一出口。cost调完用display ospf routing查看确认路由的Cost值和预期一致。4.2 静默接口与区域认证接入侧该闭嘴就闭嘴接入层设备如果不跑OSPF核心或汇聚连向接入交换机的接口就会持续发送hello报文虽然不影响功能但会浪费CPU、产生大量无用组播报文排错时查看OSPF邻居还会看到一堆无意义信息。在这些接口上启用静默接口功能OSPF就不再发送hello也不会接收和处理hello但该接口所在网段仍然可以通过network宣告进OSPF。# CORE-1 连接接入交换机的接口设静默 ospf 1 silent-interface Vlan-interface10 silent-interface GigabitEthernet1/0/10注意silent-interface的语义是“不建立邻居但网段仍参与OSPF路由”不是把这个接口从OSPF里摘掉。用在终端侧接口上最合适如果用在设备互联接口上邻居就直接断了这个边界要分清。区域认证是为了防止有人私接设备伪造OSPF报文或者哪些接口误配导致邻居关系异常。推荐在Area 0上做MD5认证配置量不大但能挡住绝大多数低级问题。# 区域认证Area 0内每一台设备都要配置 ospf 1 area 0.0.0.0 authentication-mode md5 1 h3c # 接口侧同样要配 interface GigabitEthernet1/0/1 port link-mode route ospf authentication-mode md5 1 h3c区域认证有个坑key-id和密码必须全网一致漏一台或写错一个字符表现就是邻居反复flapping日志里大量authentication failed。先配区域认证再逐台加接口认证避免一次性大面积修改导致排错范围失控。4.3 次优路径修复VRRP切换后OSPF为什么还走老路VRRP主备切换后OSPF的路由并不总是跟着切换。最常见的情况是CORE-1是VRRP主设备也是OSPF流量入口CORE-1上行断了之后VRRP切到CORE-2但CORE-2到达上游的OSPF cost比CORE-1原来的路径更高流量到了CORE-2之后又绕回CORE-1出去形成次优路径。修复思路有两种。第一种是纯粹调OSPF cost把CORE-2到上游的链路cost调低让OSPF主动选择CORE-2第二种是结合track和cost联动在上行接口DOWN时自动调整接口cost。# CORE-2 备份上行接口正常情况下cost调高 interface GigabitEthernet1/0/2 port link-mode route ip address 10.0.22.2 30 ospf cost 200 # CORE-2 上配置track关联上行口 track 1 interface GigabitEthernet1/0/2 interface GigabitEthernet1/0/2 ospf cost track 1 reduced 190track检测到上行口DOWN后接口cost自动从200降到10OSPF重新计算路由流量在当前主设备上直接出去不再绕行。这套联动在真机上验证时观察display ospf routing里的出接口和下一跳变化能明确看到收敛结果。5. OSPF部署避坑五条真机踩坑记录与排查思路5.1 邻居卡在ExStart/Exchange状态LSDB迟迟不同步现象display ospf peer看到邻居状态一直停在ExStart或Exchange偶尔到Loading又弹回去OSPF路由表学不全。原因两端接口MTU不一致。OSPF在ExStart阶段会协商DD报文大小MTU大的设备发送的DD报文超过对端接口承受能力对端直接丢弃邻居状态就一直卡在DD交换阶段。这个坑在真机环境里很常见尤其是在核心和汇聚跨不同品牌设备对接时MTU默认值可能不一样。解决把所有参与OSPF的三层接口MTU统一。H3C设备上执行ip mtu 1500确保互联接口两端一致。排查时用display ospf peer error查看错误计数如果发现大量DD报文相关错误优先查MTU。5.2 邻居反复flapping日志里全是authentication failed现象邻居能建立但每隔几十秒就Down一次再重新建立反复循环。查看logbuffer能看到大量OSPF认证失败日志。原因区域认证配置不一致或者MD5的key-id、密码同一区域里各设备写得不一样。还有一种隐蔽情况是在Area 0做了区域认证但接口上又额外配了认证且密码不同接口认证优先级更高导致区域认证形同虚设。解决收敛认证配置只保留一种方式。要么全用区域认证要么全用接口认证不要混用。改完后在每台设备上执行display ospf peer确认邻居进入Full状态且保持稳定。5.3 network宣告反掩码写错路由学到了一半现象部分网段能通部分网段的路由在OSPF路由表里死活不出现display ospf lsdb里也看不到对应的LSA。原因network命令里反掩码写错。比如/24网段误写成0.0.0.255之外的掩码宣告范围不匹配实际接口地址或者把多个接口地址用一个过大的反掩码宣告导致OSPF把不该宣告的接口也加进来路由表出现意料之外的网段。解决牢记反掩码等于子网掩码取反。/24是0.0.0.255/30是0.0.0.3/32是0.0.0.0。排查时在设备上执行display ospf interface看看哪些接口被OSPF纳入逐一对照network宣告范围。5.4 MSTP根桥与VRRP主备不一致流量绕路还丢包现象VLAN 10网关在CORE-1上业务PC也能通但延迟忽高忽低抓包发现去往网关的流量先从接入层到了CORE-2再转发到CORE-1路径明显绕路。严重时CORE-1和CORE-2之间的互联口DOWN掉业务直接中断。原因VRRP主设备是CORE-1但STP根桥被选成了CORE-2。二层流量全部向根桥汇聚到达根桥后再由三层转发根桥不是网关所在设备路径必然次优根桥和主设备之间的链路一旦断开流量彻底断掉。解决让stp instance的root primary和VRRP priority高的设备保持同一台。配置完成后用display stp instance和display vrrp两条命令核对不一致就调整STP优先级或VRRP优先级不要靠猜。5.5 stub区域漏配或缺省路由丢失全网黑洞现象stub区域内部设备之间的通信正常但访问区域外部网络全部超时。在ABR上ping区域内部设备的业务地址能通从区域内设备ping外部地址不通。原因stub区域要求区域内所有路由器都配置stub如果有一台非ABR设备漏配它的路由表和其它设备不一致会尝试转发它认为存在的明细路由实际却送不到。另一种情况是NSSA区域没有配置default-route-advertise区域内设备没有缺省路由可走。解决检查区域内每一台设备的路由表里是否有一条缺省路由指向ABR同时确认所有设备都处于stub状态。用display ospf lsdb看三类LSA里是否有缺省路由条目没有就补配置。6. 验证OSPF网络工程从LSDB检查到主备切换演习配置全部完成后验证不能只停留在“能ping通就算通过”。我一般按下面顺序过一遍先看邻居关系确认所有OSPF邻居都进入Full状态再看LSDB核对特殊区域的LSA类型是否符合预期然后看路由表确认缺省路由和业务网段都正确最后做一次主备切换演习验证VRRP和OSPF的联动是否真的可靠。# 查看所有OSPF邻居状态 display ospf peer brief # 查看OSPF LSDB重点关注三类、五类、七类LSA display ospf lsdb # 查看OSPF路由表 display ospf routing # 查看VRRP主备状态 display vrrp # 查看STP各实例根桥 display stp brief主备切换演习的具体操作切断CORE-1的上行接口观察display vrrp是否在几秒内切换到CORE-2再从终端侧tracert一个外部地址确认路径已经从CORE-2出去没有绕回CORE-1。恢复CORE-1上行接口后再看是否回切。这个过程能暴露前面提到的次优路径问题也能验证track联动配置是否生效。做这类验证时习惯先记下切换前的OSPF路由表切换后diff一下重点关注缺省路由和业务网段有没有变化。如果发现某条路由在切换后消失大概率是区域间汇总或特殊区域下发有问题。有一次在stub区域改完配置后忘了核对缺省路由结果全网路由黑洞到半夜才定位现在每次动完区域配置都先查一遍LSDB里的三类LSA和缺省条目再往下走希望帮到你。本文还有配套的精品资源点击获取