- 产品与解决方案
- 行业解决方案
- 服务
- 支持
- 合作伙伴
- 关于我们
06-OSPF配置
本章节下载： 06-OSPF配置 (1.01 MB)
目 录
1.7.3 配置OSPF对通过接收到的LSA计算出来的路由信息进行过滤
1.7.12 配置允许设备将OSPF链路状态信息发布到BGP
1.8.7 配置OSPF尝试退出overflow状态的定时器时间间隔
1.10.1 配置LSDB中External LSA的最大数量
1.16.7 配置OSPF快速重路由支持BFD检测功能（Ctrl方式）
1.16.8 配置OSPF快速重路由支持BFD检测功能（Echo方式）
OSPF（Open Shortest Path First，开放最短路径优先）是IETF（Internet Engineering Task Force，互联网工程任务组）组织开发的一个基于链路状态的内部网关协议。目前针对IPv4协议使用的是OSPF Version 2。下文中所提到的OSPF均指OSPF Version 2。
OSPF具有如下特点：
· 适应范围广：支持各种规模的网络，最多可支持几百台路由器。
· 快速收敛：在网络的拓扑结构发生变化后立即发送更新报文，使这一变化在自治系统中同步。
· 无自环：由于OSPF根据收集到的链路状态用最短路径树算法计算路由，从算法本身保证了不会生成自环路由。
· 区域划分：允许自治系统的网络被划分成区域来管理。路由器链路状态数据库的减小降低了内存的消耗和CPU的负担；区域间传送路由信息的减少降低了网络带宽的占用。
· 等价路由：支持到同一目的地址的多条等价路由。
· 路由分级：使用4类不同的路由，按优先顺序来说分别是：区域内路由、区域间路由、第一类外部路由、第二类外部路由。
· 支持验证：支持基于区域和接口的报文验证，以保证报文交互和路由计算的安全性。
· 组播发送：在某些类型的链路上以组播地址发送协议报文，减少对其他设备的干扰。
OSPF协议报文直接封装为IP报文，协议号为89。
OSPF有五种类型的协议报文：
· Hello报文：周期性发送，用来发现和维持OSPF邻居关系，以及进行DR（Designated Router，指定路由器）/BDR（Backup Designated Router，备份指定路由器）的选举。
· DD（Database Description，数据库描述）报文：描述了本地LSDB（Link State DataBase，链路状态数据库）中每一条LSA（Link State Advertisement，链路状态通告）的摘要信息，用于两台路由器进行数据库同步。
· LSR（Link State Request，链路状态请求）报文：向对方请求所需的LSA。两台路由器互相交换DD报文之后，得知对端的路由器有哪些LSA是本地的LSDB所缺少的，这时需要发送LSR报文向对方请求所需的LSA。
· LSU（Link State Update，链路状态更新）报文：向对方发送其所需要的LSA。
· LSAck（Link State Acknowledgment，链路状态确认）报文：用来对收到的LSA进行确认。
OSPF中对链路状态信息的描述都是封装在LSA中发布出去，常用的LSA有以下几种类型：
· Router LSA（Type-1）：由每个路由器产生，描述路由器的链路状态和开销，在其始发的区域内传播。
· Network LSA（Type-2）：由DR产生，描述本网段所有路由器的链路状态，在其始发的区域内传播。
· Network Summary LSA（Type-3）：由ABR（Area Border Router，区域边界路由器）产生，描述区域内某个网段的路由，并通告给其他区域。
· ASBR Summary LSA（Type-4）：由ABR产生，描述到ASBR（Autonomous System Boundary Router，自治系统边界路由器）的路由，通告给相关区域。
· AS External LSA（Type-5）：由ASBR产生，描述到AS（Autonomous System，自治系统）外部的路由，通告到所有的区域（除了Stub区域和NSSA区域）。
· NSSA External LSA（Type-7）：由NSSA（Not-So-Stubby Area）区域内的ASBR产生，描述到AS外部的路由，仅在NSSA区域内传播。
· Opaque LSA：用于OSPF的扩展通用机制，目前有Type-9、Type-10和Type-11三种。其中，Type-9 LSA仅在本地链路范围进行泛洪，用于支持GR（Graceful Restart，平滑重启）的Grace LSA就是Type-9的一种类型；Type-11 LSA可以在一个自治系统范围进行泛洪。
随着网络规模日益扩大，当一个大型网络中的路由器都运行OSPF协议时，LSDB会占用大量的存储空间，并使得运行SPF（Shortest Path First，最短路径优先）算法的复杂度增加，导致CPU负担加重。
在网络规模增大之后，拓扑结构发生变化的概率也增大，网络会经常处于“震荡”之中，造成网络中会有大量的OSPF协议报文在传递，降低了网络的带宽利用率。更为严重的是，每一次变化都会导致网络中所有的路由器重新进行路由计算。
OSPF协议通过将自治系统划分成不同的区域来解决上述问题。区域是从逻辑上将路由器划分为不同的组，每个组用区域号来标识。如图1-1所示。
图1-1 OSPF区域划分
区域的边界是路由器，而不是链路。一个路由器可以属于不同的区域，但是一个网段（链路）只能属于一个区域，或者说每个运行OSPF的接口必须指明属于哪一个区域。划分区域后，可以在区域边界路由器上进行路由聚合，以减少通告到其他区域的LSA数量，还可以将网络拓扑变化带来的影响最小化。
OSPF划分区域之后，并非所有的区域都是平等的关系。其中有一个区域是与众不同的，它的区域号是0，通常被称为骨干区域。骨干区域负责区域之间的路由，非骨干区域之间的路由信息必须通过骨干区域来转发。对此，OSPF有两个规定：
· 所有非骨干区域必须与骨干区域保持连通；
· 骨干区域自身也必须保持连通。
在实际应用中，可能会因为各方面条件的限制，无法满足上面的要求。这时可以通过配置OSPF虚连接予以解决。
虚连接是指在两台ABR之间通过一个非骨干区域建立的一条逻辑上的连接通道。它的两端必须是ABR，而且必须在两端同时配置方可生效。为虚连接两端提供一条非骨干区域内部路由的区域称为传输区（Transit Area）。
在图1-2中，Area2与骨干区域之间没有直接相连的物理链路，但可以在ABR上配置虚连接，使Area2通过一条逻辑链路与骨干区域保持连通。
虚连接的另外一个应用是提供冗余的备份链路，当骨干区域因链路故障不能保持连通时，通过虚连接仍然可以保证骨干区域在逻辑上的连通性。如图1-3所示。
虚连接相当于在两个ABR之间形成了一个点到点的连接，因此，在这个连接上，和物理接口一样可以配置接口的各参数，如发送Hello报文间隔等。
两台ABR之间直接传递OSPF报文信息，它们之间的OSPF路由器只是起到一个转发报文的作用。由于协议报文的目的地址不是中间这些路由器，所以这些报文对于它们而言是透明的，只是当作普通的IP报文来转发。
Stub区域是一些特定的区域，该区域的ABR会将区域间的路由信息传递到本区域，但不会引入自治系统外部路由，区域中路由器的路由表规模以及LSA数量都会大大减少。为保证到自治系统外的路由依旧可达，该区域的ABR将生成一条缺省路由Type-3 LSA，发布给本区域中的其他非ABR路由器。
为了进一步减少Stub区域中路由器的路由表规模以及LSA数量，可以将区域配置为Totally Stub（完全Stub）区域，该区域的ABR不会将区域间的路由信息和自治系统外部路由信息传递到本区域。为保证到本自治系统的其他区域和自治系统外的路由依旧可达，该区域的ABR将生成一条缺省路由Type-3 LSA，发布给本区域中的其他非ABR路由器。
NSSA（Not-So-Stubby Area）区域是Stub区域的变形，与Stub区域的区别在于NSSA区域允许引入自治系统外部路由，由ASBR发布Type-7 LSA通告给本区域。当Type-7 LSA到达NSSA的ABR时，由ABR将Type-7 LSA转换成Type-5 LSA，传播到其他区域。
可以将区域配置为Totally NSSA（完全NSSA）区域，该区域的ABR不会将区域间的路由信息传递到本区域。为保证到本自治系统的其他区域的路由依旧可达，该区域的ABR将生成一条缺省路由Type-3 LSA，发布给本区域中的其他非ABR路由器。
如图1-4所示，运行OSPF协议的自治系统包括3个区域：区域0、区域1和区域2，另外两个自治系统运行RIP协议。区域1被定义为NSSA区域，区域1接收的RIP路由传播到NSSA ASBR后，由NSSA ASBR产生Type-7 LSA在区域1内传播，当Type-7 LSA到达NSSA ABR后，转换成Type-5 LSA传播到区域0和区域2。
另一方面，运行RIP的自治系统的RIP路由通过区域2的ASBR产生Type-5 LSA在OSPF自治系统中传播。但由于区域1是NSSA区域，所以Type-5 LSA不会到达区域1。
OSPF路由器根据在AS中的不同位置，可以分为以下四类：
该类路由器的所有接口都属于同一个OSPF区域。
该类路由器可以同时属于两个以上的区域，但其中一个必须是骨干区域。ABR用来连接骨干区域和非骨干区域，它与骨干区域之间既可以是物理连接，也可以是逻辑上的连接。
该类路由器至少有一个接口属于骨干区域。因此，所有的ABR和位于Area0的内部路由器都是骨干路由器。
与其他AS交换路由信息的路由器称为ASBR。ASBR并不一定位于AS的边界，它有可能是区域内路由器，也有可能是ABR。只要一台OSPF路由器引入了外部路由的信息，它就成为ASBR。
图1-5 OSPF路由器的类型
OSPF将路由分为四类，按照优先级从高到低的顺序依次为：
· 区域内路由（Intra Area）
· 区域间路由（Inter Area）
· 第一类外部路由（Type1 External）：这类路由的可信程度较高，并且和OSPF自身路由的开销具有可比性，所以到第一类外部路由的开销等于本路由器到相应的ASBR的开销与ASBR到该路由目的地址的开销之和。
· 第二类外部路由（Type2 External）：这类路由的可信度比较低，所以OSPF协议认为从ASBR到自治系统之外的开销远远大于在自治系统之内到达ASBR的开销。所以计算路由开销时将主要考虑前者，即到第二类外部路由的开销等于ASBR到该路由目的地址的开销。如果计算出开销值相等的两条路由，再考虑本路由器到相应的ASBR的开销。
区域内和区域间路由描述的是AS内部的网络结构，外部路由则描述了应该如何选择到AS以外目的地址的路由。
路由器ID——即Router ID，用来在一个自治系统中唯一地标识一台路由器，一台路由器如果要运行OSPF协议，则必须存在Router ID。Router ID的获取方式有以下三种：
用户可以在创建OSPF进程的时候指定Router ID，配置时，必须保证自治系统中任意两台路由器的ID都不相同。通常的做法是将路由器的ID配置为与该路由器某个接口的IP地址一致。
如果在创建OSPF进程的时候选择自动分配Router ID，则OSPF进程将根据如下规则自动获取Router ID：
· OSPF进程启动时，将选取第一个运行该进程的接口的主IPv4地址作为Router ID；
· 设备重启时，OSPF进程将会选取第一个运行本进程的接口主IPv4地址作为Router ID；
· OSPF进程重启时，将从运行了本进程的所有接口的主IPv4地址中重新获取Router ID，具体规则如下：
¡ 如果存在配置IP地址的Loopback接口，则选择Loopback接口地址中最大的作为Router ID。
¡ 否则，从其他接口的IP地址中选择最大的作为Router ID（不考虑接口的up/down状态）。
如果在创建OSPF进程的时候没有指定Router ID，则缺省使用全局Router ID。建议用户在创建OSPF进程的时候手工指定Router ID，或者选择自动获取Router ID。
同一个区域内，OSPF路由的计算过程可简单描述如下：
· 每台OSPF路由器根据自己周围的网络拓扑结构生成LSA，并通过更新报文将LSA发送给网络中的其它OSPF路由器。
· 每台OSPF路由器都会收集其它路由器通告的LSA，所有的LSA放在一起便组成了LSDB。LSA是对路由器周围网络拓扑结构的描述，LSDB则是对整个自治系统的网络拓扑结构的描述。
· OSPF路由器将LSDB转换成一张带权的有向图，这张图便是对整个网络拓扑结构的真实反映。各个路由器得到的有向图是完全相同的。
· 每台路由器根据有向图，使用SPF算法计算出一棵以自己为根的最短路径树，这棵树给出了到自治系统中各节点的路由。
OSPF根据链路层协议类型将网络分为下列四种类型：
· 广播（Broadcast）类型：当链路层协议是Ethernet、FDDI时，缺省情况下，OSPF认为网络类型是Broadcast。在该类型的网络中，通常以组播形式（OSPF路由器的预留IP组播地址是224.0.0.5；OSPF DR/BDR的预留IP组播地址是224.0.0.6）发送Hello报文、LSU报文和LSAck报文；以单播形式发送DD报文和LSR报文。
· NBMA（Non-Broadcast Multi-Access，非广播多路访问）类型：当链路层协议是帧中继、ATM或X.25时，缺省情况下，OSPF认为网络类型是NBMA。在该类型的网络中，以单播形式发送协议报文。
· P2MP（Point-to-MultiPoint，点到多点）类型：没有一种链路层协议会被缺省的认为是P2MP类型。P2MP必须是由其他的网络类型强制更改的，常用做法是将NBMA网络改为P2MP网络。在该类型的网络中，缺省情况下，以组播形式（224.0.0.5）发送协议报文。可以根据用户需要，以单播形式发送协议报文。
· P2P（Point-to-Point，点到点）类型：当链路层协议是PPP、HDLC时，缺省情况下，OSPF认为网络类型是P2P。在该类型的网络中，缺省情况下，以单播方式发送DD报文，以组播形式（224.0.0.5）发送其他类型的协议报文。
NBMA与P2MP网络之间的区别如下：
· NBMA网络是全连通的；P2MP网络并不需要一定是全连通的。
· NBMA网络中需要选举DR与BDR；P2MP网络中没有DR与BDR。
· NBMA网络采用单播发送报文，需要手工配置邻居；P2MP网络采用组播方式发送报文，通过配置也可以采用单播发送报文。
在广播网和NBMA网络中，任意两台路由器之间都要交换路由信息。如果网络中有n台路由器，则需要建立n（n-1）/2个邻接关系。这使得任何一台路由器的路由变化都会导致多次传递，浪费了带宽资源。为解决这一问题，OSPF提出了DR的概念，所有路由器只将信息发送给DR，由DR将网络链路状态发送出去。
另外，OSPF提出了BDR的概念。BDR是对DR的一个备份，在选举DR的同时也选举BDR，BDR也和本网段内的所有路由器建立邻接关系并交换路由信息。当DR失效后，BDR会立即成为新的DR。
OSPF网络中，既不是DR也不是BDR的路由器为DR Other。DR Other仅与DR和BDR建立邻接关系，DR Other之间不交换任何路由信息。这样就减少了广播网和NBMA网络上各路由器之间邻接关系的数量，同时减少网络流量，节约了带宽资源。
如图1-6所示，进行DR/BDR选举后，5台路由器之间只需要建立7个邻接关系就可以了。
图1-6 DR和BDR示意图
在OSPF中，邻居（Neighbor）和邻接（Adjacency）是两个不同的概念。路由器启动后，会通过接口向外发送Hello报文，收到Hello报文的路由器会检查报文中所定义的参数，如果双方一致就会形成邻居关系。只有当双方成功交换DD报文，交换LSA并达到LSDB同步之后，才形成邻接关系。
DR/BDR是由同一网段中所有的路由器根据路由器优先级和Router ID通过Hello报文选举出来的，只有优先级大于0的路由器才具有选举资格。
进行DR/BDR选举时每台路由器将自己选出的DR写入Hello报文中，发给网段上每台运行OSPF协议的路由器。当处于同一网段的两台路由器同时宣布自己是DR时，路由器优先级高者胜出。如果优先级相等，则Router ID大者胜出。
需要注意的是：
· 只有在广播或NBMA网络中才会选举DR；在P2P或P2MP网络中不需要选举DR。
· DR是某个网段中的概念，是针对路由器的接口而言的。某台路由器在一个接口上可能是DR，在另一个接口上有可能是BDR，或者是DR Other。
· DR/BDR选举完毕后，即使网络中加入一台具有更高优先级的路由器，也不会重新进行选举，替换该网段中已经存在的DR/BDR成为新的DR/BDR。DR并不一定就是路由器优先级最高的路由器接口；同理，BDR也并不一定就是路由器优先级次高的路由器接口。
OSPF设备从接口获取到链路状态信息后，通过与相邻设备建立邻接关系，交互彼此的链路状态信息。OSPF接口状态表明了OSPF设备在对应链路中的作用，使得邻居设备间能够明确角色分工，从而正常建立连接。
OSPF接口共有以下七种状态：
· Down：初始状态。该状态表明接口不可用，不能用于收发流量。
· Loopback：设备到网络的接口处于环回状态。环回接口不能用于正常的数据传输，但可能需要通过向环回接口发送ICMP ping报文、误码检测等方式来获取链路质量，因此设备会通过Router-LSA通告环回接口的状态信息。
· Waiting：设备正在判定网络上的DR和BDR。在设备参与DR和BDR选举前，接口会启动WaitTimer定时器。在WaitTimer定时器超时前，设备发送的Hello报文不包含DR和BDR信息，设备不能被选举为DR或BDR。这样可以避免DR和BDR的不必要更改。仅NBMA网络、广播网络有此状态。
· P-2-P：接口连接到物理点对点网络或者虚拟链路。进入此状态后，设备会与链路连接的另一端设备建立邻接关系。仅P2P、P2MP网络有此状态。
· DR Other：设备没有被选为DR或BDR，但连接到广播网络或者NBMA网络上的其他设备被选举为DR。DR Other会与DR、BDR建立邻接关系。
· BDR：设备是自身所连接的网络上的BDR，并将在当前DR失效时成为DR。BDR与自身连接的网络上的其他所有设备建立邻接关系。
· DR：设备是自身所连接的网络上的DR。DR与自身连接的网络上的其他所有设备建立邻接关系。
OSPF接口根据不同的情况（即输入事件）更改状态，这样就形成了如图1-7所示的OSPF接口状态机。
图1-7 OSPF接口状态机
触发OSPF接口状态变化的IE（InputEvent，输入事件）如表1-1所示。
表1-1 OSPF接口状态切换的IE
|
输入事件 |
描述 |
|
IE1 |
InterfaceUp：底层协议表明接口是可操作的 |
|
IE2 |
WaitTimer：等待定时器超时，表明设备参与DR或BDR选举需要等待的时间结束 |
|
IE3 |
BackupSeen：设备通过以下两种方式之一检测网络中是否存在BDR · 接口收到邻居发送的Hello报文，宣称自己是BDR · 接口收到邻居发送的Hello报文，宣称自己是DR，但没有指明BDR BackupSeen事件说明邻居之间能够进行双向通信，可以结束Waiting状态 |
|
IE4 |
接口被选举为DR |
|
IE5 |
接口被选举为BDR |
|
IE6 |
接口没有被选举为DR或BDR |
|
IE7 |
NeighborChange：与该接口相关的邻居关系变化事件发生，表明需要重新选举DR和BDR。如下邻居关系变化可能会导致重新选举DR和BDR： · 接口所在的设备和一个邻居设备之间能够进行双向通信 · 接口所在的设备和一个邻居设备之间不再能够进行双向通信 · 通过邻居设备发送的Hello报文检测到邻居设备重新宣称自己是DR或BDR · 通过邻居设备发送的Hello报文再一次检测到邻居设备宣称自己不再是DR或BDR · 通过邻居设备发送的Hello报文再一次检测到邻居设备的DR优先级发生变化 |
|
IE8 |
UnloopInd：网管系统或者底层协议表明接口不再处于环回状态 |
|
IE9 |
InterfaceDown：底层协议表明接口不可操作。无论接口当前处于何种状态，都可能由此事件触发切换到Down状态 |
|
IE10 |
LoopInd：网管系统或者底层协议表明接口处于环回状态。无论接口当前处于何种状态，都可能由此事件触发切换到Loopback状态 |
在OSPF网络中，相邻设备间通过不同的邻居状态切换，最终可以达到LSDB同步并形成完全邻接关系。
OSPF邻居共有以下八种状态：
· Down：邻居会话的初始阶段。表明在邻居失效时间间隔内没有收到来自邻居设备的Hello报文。OSPF设备会每隔PollInterval时间间隔对外轮询发送Hello报文，仅NBMA网络的OSPF设备会向处于Down状态的邻居设备发送Hello报文，其他网络类型中的OSPF设备不会向处于Down状态的邻居设备发送Hello报文。
· Attempt：本状态仅对NBMA网络上的邻居有效。邻居关系处于Attempt状态时，OSPF设备会每隔HelloInterval时间间隔向自己手工指定的邻居发送Hello报文，尝试建立邻居关系。
· Init：本状态表示在邻居失效时间内收到来自邻居发送的Hello报文，但该Hello数据包内没有包含自己的Router ID，双向通信还没有建立起来。
· 2-Way：本状态表示双方互相收到了彼此发送的Hello报文，并在收到的Hello报文中看到了自己的Router ID，由此建立邻居关系。如果不形成邻接关系（例如DRother之间），则邻居状态机停留在2-Way状态，否则进入Exstart状态。只有邻居状态处于2-Way或者比2-Way更高的状态，才会选举DR和BDR。
· ExStart：协商主从关系。建立主从关系主要是为了确定初始DD报文的序列号，为后续有序交换DD报文做好准备。
· Exchange：交换DD报文。本端设备使用DD报文描述本地的LSDB，并发送给邻居。
· Loading：正在同步LSDB。两端设备发送LSR报文向邻居请求对方的LSA，通过交互LSU、LSAck同步LSDB。
· Full：建立邻接关系。两端设备的LSDB已同步，本端设备和邻居设备建立了完全的邻接关系。
OSPF邻居状态的切换机制如图1-8所示。
图1-8 OSPF邻居状态机
触发OSPF邻居状态变化的IE（InputEvent，输入事件）如表1-2所示。
表1-2 OSPF接口状态切换的IE
|
输入事件 |
描述 |
|
IE1 |
Start：以HelloInterval时间间隔向邻居设备发送Hello报文，尝试建立邻居关系。仅NBMA网络适用 |
|
IE2 |
HelloReceived：从邻居设备收到一个Hello报文 |
|
IE3 |
2-WayReceived：收到了邻居设备发送的Hello报文，并在收到的Hello报文中看到了自己的Router ID，邻居之间建立了双向通信关系。接下来进行如下判断： · IE3(Y)：如果相邻设备间应当建立邻接关系，则将邻居状态切换为ExStart。 · IE3(N)：如果相邻设备间不应当建立邻接关系，只建立邻居关系，则将邻居状态切换为2-Way。 |
|
IE4 |
NegotiationDone：邻居间主从关系已协商完成，已确定初始DD报文的序列号 |
|
IE5 |
ExchangeDone：邻居间成功交换了DD报文。接下来进行如下判断： · IE5(Y)：如果链路状态请求列表为空，则将邻居状态切换为Full，表示LSDB已同步，邻居间建立了完全邻接关系。 · IE5(N)：如果链路状态请求列表不为空，则将邻居状态切换为Loading，开始或继续向邻居发送LSR报文，请求还没有接收到的链路状态信息。 |
|
IE6 |
LoadingDone：链路状态请求列表为空 |
与OSPF相关的协议规范有：
· RFC 1245：OSPF protocol analysis
· RFC 1246：Experience with the OSPF protocol
· RFC 1370：Applicability Statement for OSPF
· RFC 1403：BGP OSPF Interaction
· RFC 1745：BGP4/IDRP for IP---OSPF Interaction
· RFC 1765：OSPF Database Overflow
· RFC 1793：Extending OSPF to Support Demand Circuits
· RFC 2154：OSPF with Digital Signatures
· RFC 2328：OSPF Version 2
· RFC 3101：OSPF Not-So-Stubby Area (NSSA) Option
· RFC 3166：Request to Move RFC 1403 to Historic Status
· RFC 3509：Alternative Implementations of OSPF Area Border Routers
· RFC 4167：Graceful OSPF Restart Implementation Report
· RFC 4577：OSPF as the Provider/Customer Edge Protocol for BGP/MPLS IP Virtual Private Networks (VPNs)
· RFC 4750：OSPF Version 2 Management Information Base
· RFC 4811：OSPF Out-of-Band LSDB Resynchronization
· RFC 4812：OSPF Restart Signaling
· RFC 5088：OSPF Protocol Extensions for Path Computation Element (PCE) Discovery
· RFC 5250：The OSPF Opaque LSA Option
· RFC 5613：OSPF Link-Local Signaling
· RFC 5642：Dynamic Hostname Exchange Mechanism for OSPF
· RFC 5709：OSPFv2 HMAC-SHA Cryptographic Authentication
· RFC 5786：Advertising a Router's Local Addresses in OSPF Traffic Engineering (TE) Extensions
· RFC 6571：Loop-Free Alternate (LFA) Applicability in Service Provider (SP) Networks
· RFC 6860：Hiding Transit-Only Networks in OSPF
· RFC 6987：OSPF Stub Router Advertisement
无论是哪种类型的路由器，都必须先使能OSPF，否则OSPF协议将无法正常运行。在进行各项配置的时候应该先做好网络规划，错误的配置可能会导致相邻路由器之间无法相互传递信息，甚至导致路由信息的阻塞或者产生路由环路。
OSPF配置任务如下：
(1) 配置OSPF基本功能
¡ 启动OSPF进程
¡ 配置OSPF区域
¡ 使能OSPF功能
(2) （可选）配置OSPF特殊区域
¡ 配置Stub区域
¡ 配置NSSA区域
¡ 配置虚连接
(3) （可选）配置OSPF的网络类型
(4) （可选）配置OSPF的路由信息控制
¡ 配置OSPF对通过接收到的LSA计算出来的路由信息进行过滤
(5) （可选）配置OSPF定时器
¡ 配置OSPF尝试退出overflow状态的定时器时间间隔
(6) （可选）配置OSPF报文相关功能
(7) （可选）控制LSA的生成、发布与接收
(8) （可选）加快OSPF路由收敛速度
¡ 配置ISPF
¡ 配置前缀抑制
¡ 配置PIC
(9) （可选）配置OSPF高级功能
(10) （可选）提高OSPF网络的可靠性
(11) （可选）配置OSPF安全功能
¡ 配置OSPF验证
(12) （可选）配置OSPF日志和告警功能
system-view
(2) （可选）配置全局Router ID。
router id router-id
缺省情况下，未配置全局Router ID。
未配置全局路由器ID时，按照下面的规则进行选择：
¡ 如果存在配置IP地址的Loopback接口，则选择Loopback接口地址中最大的作为Router ID。
¡ 如果没有配置IP地址的Loopback接口，则从其他接口的IP地址中选择最大的作为Router ID（不考虑接口的up/down状态）。
(3) 进入OSPF视图。
ospf [ process-id | router-id { auto-select |router-id } | vpn-instance vpn-instance-name ] *
缺省情况下，系统没有运行OSPF。
(4) （可选）配置OSPF进程描述。
description text
缺省情况下，未配置进程描述。
建议用户为每个OSPF进程配置进程描述信息，帮助识别进程的用途，以便于记忆和管理。
(1) 进入系统视图。
system-view
(2) （可选）配置全局Router ID。
router id router-id
缺省情况下，未配置全局Router ID。
(3) 进入OSPF视图。
ospf [ process-id | router-id { auto-select |router-id } | vpn-instance vpn-instance-name ] *
缺省情况下，系统没有运行OSPF。
(4) （可选）配置OSPF进程描述。
description text
缺省情况下，未配置进程描述。
建议用户为每个OSPF进程配置进程描述信息，帮助识别进程的用途，以便于记忆和管理。
(5) 创建OSPF区域，并进入OSPF区域视图。
area area-id
(6) （可选）配置区域描述。
description text
缺省情况下，未配置区域描述。
建议用户为每个区域配置区域描述信息，帮助识别区域的用途，以便于记忆和管理。
要在路由器上使能OSPF功能，必须先创建OSPF进程、指定该进程关联的区域以及区域包括的网段；对于当前路由器来说，如果某个路由器的接口IP地址落在某个区域的网段内，则该接口属于这个区域并使能了OSPF功能，OSPF将把这个接口的直连路由宣告出去。
OSPF支持多进程，即可以在一台路由器上通过为不同的OSPF进程指定不同的进程号来启动多个OSPF进程。OSPF进程号是本地概念，不影响与其它路由器之间的报文交换。因此，不同的路由器之间，即使进程号不同也可以进行报文交换。
可以在指定接口上使能OSPF，或者在指定网段上使能OSPF。在指定接口上使能OSPF的优先级高于在指定网段上使能OSPF。
在接口上使能OSPF时，如果不存在进程和区域，则创建对应的进程和区域；在接口上关闭OSPF时，不删除已经创建的进程和区域。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 创建OSPF区域，并进入OSPF区域视图。
area area-id
(4) 配置区域所包含的网段并在指定网段的接口上使能OSPF。
network ip-address wildcard-mask
缺省情况下，接口不属于任何区域且OSPF功能处于关闭状态。
一个网段只能属于一个区域。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置接口使能OSPF。
ospf process-id area area-id [ exclude-subip ]
缺省情况下，未配置接口使能OSPF。
OSPF用Router ID来在一个自治系统中唯一地标识一台路由器，Router ID长度固定为4字节。当网络管理员检查OSPF邻居关系的状态、路由表以及LSDB中的内容时，使用点分十进制表示的Router ID不够直观，查看也不方便。
主机名映射提供了一种将Router ID映射到主机名的服务，运行OSPF的路由器维护一个主机名到Router ID的映射关系表，在维护和管理以及网络故障诊断时，使用主机名比使用Router ID会更直观，也更容易记忆。
OSPF使用Type-11 LSA携带动态主机名属性信息，因此，使用该功能前，需要保证OSPF的Opaque LSA发布接收能力处于开启状态。
(1) 进入系统视图。
system-view
(2) 启动OSPF，进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 使能Opaque LSA发布接收能力。
opaque-capability enable
缺省情况下，OSPF的Opaque LSA发布接收能力处于开启状态。
(4) 使能OSPF动态主机名映射功能。
hostname [ host-name ]
缺省情况下，OSPF动态主机名映射功能处于关闭状态。
网络管理员对整个网络划分区域完毕后，可以根据组网需要进一步将区域配置成Stub区域或NSSA区域。
当非骨干区域不能与骨干区域保持连通，或者骨干区域因为各方面条件的限制无法保持连通时，可以通过配置OSPF虚连接予以解决。
对于位于AS边缘的一些非骨干区域，我们可以在该区域的所有路由器上配置stub命令，把该区域配置为Stub区域。这样，描述自治系统外部路由的Type-5 LSA不会在Stub区域里泛洪，减小了路由表的规模。ABR生成一条缺省路由，所有到达自治系统外部的报文都交给ABR进行转发。
如果想进一步减少Stub区域路由表规模以及路由信息传递的数量，那么在ABR上配置stub命令时指定no-summary参数，可以将该区域配置为Totally Stub区域。这样，自治系统外部路由和区域间的路由信息都不会传递到本区域，所有目的地是自治系统外和区域外的报文都交给ABR进行转发。
Stub区域和Totally Stub区域内不能存在ASBR，即自治系统外部的路由不能在本区域内传播。
骨干区域不能配置成Stub区域或Totally Stub区域。
如果要将一个区域配置成Stub区域，则该区域中的所有路由器必须都要配置stub命令。
如果要将一个区域配置成Totally Stub区域，该区域中的所有路由器必须配置stub命令，该区域的ABR路由器需要配置stub no-summary命令。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 进入OSPF区域视图。
area area-id
(4) 配置当前区域为Stub区域。
stub [ default-route-advertise-always | no-summary ] *
缺省情况下，没有区域被设置为Stub区域。
(5) （可选）配置ABR发送到Stub区域缺省路由的开销。
default-cost cost-value
缺省情况下，ABR发送到Stub区域缺省路由的开销为1。
本命令只有在Stub区域和Totally Stub区域的ABR上配置才能生效。
Stub区域不能引入外部路由，为了在允许将自治系统外部路由通告到OSPF路由域内部的同时，保持其余部分的Stub区域的特征，网络管理员可以将区域配置为NSSA区域。NSSA区域也是位于AS边缘的非骨干区域。
配置nssa命令时指定no-summary参数可以将该区域配置为Totally NSSA区域，该区域的ABR不会将区域间的路由信息传递到本区域。
骨干区域不能配置成NSSA区域或Totally NSSA区域。
如果要将一个区域配置成NSSA区域，则该区域中的所有路由器必须都要配置nssa命令。
如果要将一个区域配置成Totally NSSA区域，该区域中的所有路由器必须配置nssa命令，该区域的ABR路由器需要配置nssa no-summary命令。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 进入OSPF区域视图。
area area-id
(4) 配置当前区域为NSSA区域。
nssa [ default-route-advertise [ cost cost-value | nssa-only | route-policy route-policy-name | type type ] * | no-import-route | no-summary | suppress-fa | [ [ [ translate-always ] [ translate-ignore-checking-backbone ] ] | translate-never ] | translator-stability-interval value ] *
缺省情况下，没有区域被设置为NSSA区域。
(5) （可选）配置发送到NSSA区域缺省路由的开销。
default-cost cost-value
缺省情况下，发送到NSSA区域的缺省路由的开销为1。
本命令只有在NSSA区域和Totally NSSA区域的ABR/ASBR上配置才能生效。
在划分区域之后，非骨干区域之间的OSPF路由更新是通过骨干区域来完成交换的。对此，OSPF要求所有非骨干区域必须与骨干区域保持连通，并且骨干区域自身也要保持连通。
但在实际应用中，可能会因为各方面条件的限制，无法满足这个要求。这时可以通过在ABR上配置OSPF虚连接予以解决。
虚连接不能穿过Stub区域和Totally Stub区域；虚连接不能穿过NSSA区域和Totally NSSA区域。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 创建OSPF区域，并进入OSPF区域视图。
area area-id
(4) 创建并配置虚连接。
vlink-peer router-id [ dead seconds | hello seconds | { { hmac-md5 | hmac-sha-256 | md5 } key-id { cipher | plain } string | keychain keychain-name | simple { cipher | plain } string } | retransmit seconds | trans-delay seconds ] *
为使虚连接生效，在虚连接的两端都需配置此命令，并且两端配置的hello、dead参数必须一致。
OSPF的网络类型有四种：广播、NBMA、P2MP和P2P。用户可以根据需要更改接口的网络类型，例如：
· 当NBMA网络通过配置地址映射成为全连通网络时（即网络中任意两台路由器之间都存在一条虚电路而直接可达），可以将网络类型更改为广播，不需要手工配置邻居，简化配置。
· 当广播网络中有部分路由器不支持组播时，可以将网络类型更改为NBMA。
· NBMA网络要求必须是全连通的，即网络中任意两台路由器之间都必须有一条虚电路直接可达；如果NBMA网络不是全连通而是部分连通时，可以将网络类型更改为P2MP，达到简化配置、节省网络开销的目的。
· 如果一网段内只有两台路由器运行OSPF协议，也可将接口类型配置为P2P，节省网络开销。
如果接口配置为广播、NBMA或者P2MP网络类型，只有双方接口在同一网段才能建立邻居关系。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置OSPF接口网络类型为广播。
ospf network-type broadcast
缺省情况下，接口的网络类型根据接口封装的链路层协议而定。
当接口封装的链路层协议是Ethernet、FDDI时，接口网络类型缺省值为广播。
(4) （可选）配置OSPF接口的路由器优先级。
ospf dr-priority priority
缺省情况下，接口的路由器优先级为1。
把接口类型配置为NBMA后，由于无法通过广播Hello报文的形式动态发现相邻路由器，必须手工为接口指定相邻接口的IP地址、该相邻接口是否有选举权等（dr-priority参数的值仅表示路由器是否具有DR选举权，为0表示不具有DR选举权，大于0时表示具有DR选举权）。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置OSPF接口的网络类型为NBMA。
ospf network-type nbma
缺省情况下，接口的网络类型根据物理接口而定。
(4) （可选）配置OSPF接口的路由器优先级。
ospf dr-priority priority
缺省情况下，接口的路由器优先级为1。
本命令设置的优先级用于实际的DR选举。
(5) 退回系统视图。
quit
(6) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(7) 配置NBMA网络的邻居。
peer ip-address [ dr-priority priority ]
缺省情况下，未配置邻居。
如果在配置邻居时将优先级指定为0，则本地路由器认为该邻居不具备选举权，不向该邻居发送Hello报文。本地路由器是DR或BDR的情况除外。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置OSPF接口的网络类型为P2MP。
ospf network-type p2mp [ unicast ]
缺省情况下，接口的网络类型根据物理接口而定。
接口类型配置为P2MP单播后，OSPF协议在该接口上发送的报文均为单播报文。由于无法通过广播Hello报文的形式动态发现相邻路由器，必须手工为接口指定相邻接口的IP地址。
(4) 退回系统视图。
quit
(5) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(6) 配置P2MP单播网络的邻居。
peer ip-address [ cost cost-value ]
缺省情况下，未配置邻居。
如果接口类型为P2MP单播，必须配置本命令。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置OSPF接口的网络类型为P2P。
ospf network-type p2p [ peer-address-check ]
缺省情况下，接口的网络类型根据物理接口而定。
当接口封装的链路层协议是PPP时，接口网络类型缺省值为P2P。
通过本节的配置，可以控制OSPF的路由信息的发布与接收，并引入路由信息。
OSPF区域间路由聚合是指ABR将具有相同前缀的路由信息聚合，只发布一条路由到其它区域。
AS被划分成不同的区域后，每一个区域通过OSPF区域边界路由器（ABR）相连，区域间可以通过路由聚合来减少路由信息，减小路由表的规模，提高路由器的运算速度。
ABR在计算出一个区域的区域内路由之后，根据聚合相关设置，将其中多条OSPF路由聚合成一条发送到区域之外。例如，某个区域内有三条区域内路由19.1.1.0/24，19.1.2.0/24，19.1.3.0/24，如果在ABR上配置了路由聚合，将三条路由聚合成一条19.1.0.0/16，则ABR就只生成一条聚合后的Type-3 LSA，并发布给其它区域的路由器，这样既可以减少其它区域中LSDB的规模，也减小了因为网络拓扑变化带来的影响。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 创建OSPF区域，并进入OSPF区域视图。
area area-id
(4) 配置ABR路由聚合。
abr-summary ip-address { mask-length | mask } [ advertise | not-advertise ] [ cost cost-value ]
缺省情况下，ABR不对路由进行聚合。
ASBR引入外部路由后，每一条路由都会放在单独的一条Type-5 LSA中向外宣告；通过配置路由聚合，路由器只把聚合后的路由放在Type-5 LSA中向外宣告，减少了LSDB中LSA的数量。
在ASBR上配置路由聚合后，将对聚合地址范围内的Type-5 LSA进行聚合；如果ASBR在NSSA区域里面，将对聚合地址范围内的Type-7 LSA进行聚合。
如果本地路由器同时是ASBR和ABR，并且是NSSA区域的转换路由器，将对由Type-7 LSA转化成的Type-5 LSA进行聚合处理；如果不是NSSA区域的转换路由器，则不进行聚合处理。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置ASBR路由聚合。
asbr-summary ip-address { mask-length | mask } [ cost cost-value | not-advertise | nssa-only | tag tag ] *
缺省情况下，ASBR不对路由进行聚合。
OSPF是基于链路状态的动态路由协议，路由信息是根据接收到的LSA计算出来的，可以对通过接收到的LSA计算出来的OSPF路由信息进行过滤。
一共有四种过滤方式：
· 基于要加入到路由表的路由信息的目的地址进行过滤，可以通过配置访问控制列表或IP地址前缀列表来指定过滤条件；
· 基于要加入到路由表的路由信息的下一跳进行过滤，可以通过在命令中配置gateway参数来指定过滤条件；
· 基于要加入到路由表的路由信息的目的地址和下一跳进行过滤，可以通过配置访问控制列表或IP地址前缀列表指定过滤目的地址的条件，同时配置gateway参数来指定过滤下一跳的条件；
· 基于路由策略对要加入到路由表的路由信息进行过滤，可以通过在命令中配置route-policy参数来指定过滤条件。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置OSPF对通过接收到的LSA计算出来的路由信息进行过滤。
filter-policy { ipv4-acl-number [ gateway prefix-list-name ] | gateway prefix-list-name | prefix-list prefix-list-name [ gateway prefix-list-name ] | route-policy route-policy-name } import
缺省情况下，OSPF不对通过接收到的LSA计算出来的路由信息进行过滤。
通过在ABR上配置Type-3 LSA过滤，可以对进入ABR所在区域或ABR向其它区域发布的Type-3 LSA进行过滤。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 创建OSPF区域，并进入OSPF区域视图。
area area-id
(4) 配置对Type-3 LSA进行过滤。
filter { ipv4-acl-number | prefix-list prefix-list-name | route-policy route-policy-name } { export | import }
缺省情况下，不对Type-3 LSA进行过滤。
OSPF有两种方式来配置接口的开销值：
· 在接口视图下直接配置开销值；
· 配置接口的带宽参考值，OSPF根据带宽参考值自动计算接口的开销值，计算公式为：接口开销＝带宽参考值÷接口期望带宽（接口期望带宽通过命令bandwidth进行配置，具体情况请参见接口分册命令参考中的介绍）。当计算出来的开销值大于65535时，开销取最大值65535；当计算出来的开销值小于1时，开销取最小值1。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 设置OSPF接口的开销值。
ospf cost cost-value
缺省情况下，接口按照当前的带宽自动计算接口运行OSPF协议所需的开销。对于Loopback接口，缺省值为0。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置带宽参考值。
bandwidth-reference value
缺省情况下，带宽参考值为100Mbps。
如果到一个目的地有几条开销相同的路径，可以实现等价路由负载分担，IP报文在这几个链路上负载分担，以提高链路利用率。该配置用以设置OSPF协议的最大等价路由条数。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置OSPF最大等价路由条数。
maximum load-balancing number
缺省情况下，OSPF支持的等价路由的最大条数与系统支持最大等价路由的条数相同。
由于路由器上可能同时运行多个动态路由协议，就存在各个路由协议之间路由信息共享和选择的问题。系统为每一种路由协议设置一个优先级，在不同协议发现同一条路由时，优先级高的路由将被优先选择。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置OSPF协议的路由优先级。
preference [ ase ] { preference | route-policy route-policy-name } *
缺省情况下，OSPF协议对自治系统内部路由的优先级为10，对自治系统外部路由的优先级为150。
本命令用来配置是否产生NULL0路由以及产生NULL0路由的优先级。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置NULL0路由以及NULL0路由的优先级。
discard-route { external { preference | suppression } | internal { preference | suppression } } *
缺省情况下，产生引入聚合NULL0路由和区域间聚合NULL0路由，且NULL0路由优先级为255。
如果在路由器上不仅运行OSPF，还运行着其它路由协议，可以配置OSPF引入其它协议生成的路由，将这些路由信息通过Type5 LSA或Type7 LSA向外宣告。
OSPF还可以对引入的路由进行过滤，只将满足过滤条件的外部路由转换为Type5 LSA或Type7 LSA发布出去。
只能引入路由表中状态为active的路由，是否为active状态可以通过display ip routing-table protocol命令来查看。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置OSPF引入外部路由。
import-route bgp [ as-number ] [ allow-ibgp ] [ cost cost-value | nssa-only | route-policy route-policy-name | tag tag | type type ] *
import-route { direct | guard | static } [ cost cost-value | nssa-only | route-policy route-policy-name | tag tag | type type ] *
import-route { isis | ospf | rip } [ process-id | all-processes ] [ allow-direct | cost cost-value | nssa-only | route-policy route-policy-name | tag tag | type type ] *
缺省情况下，不引入外部路由。
执行import-route命令引入BGP路由时，未指定allow-ibgp参数表示只引入EBGP路由；指定allow-ibgp参数表示将IBGP路由也引入，容易引起路由环路，请慎用，本命令中allow-ibgp参数的支持情况与设备的型号有关，具体请参见命令参考。
(4) （可选）配置对引入的路由进行过滤。
filter-policy { ipv4-acl-number | prefix-list prefix-list-name } export [ bgp | direct | { isis | ospf | rip } [ process-id ] | static ]
缺省情况下，不对引入的路由信息进行过滤。
(5) 配置路由引入时的参数缺省值（开销、标记、类型）。
default { cost cost-value | tag tag | type type } *
缺省情况下，OSPF引入的路由的度量值为1，引入的路由的标记为1，引入的路由类型为2。
OSPF不能通过import-route命令从其它协议引入缺省路由，如果想把缺省路由引入到OSPF路由区域，必须执行本配置。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置OSPF引入缺省路由。
default-route-advertise [ [always | permit-calculate-other ] | cost cost-value | route-policy route-policy-name | type type ] *
default-route-advertise [ summary cost cost-value ]
缺省情况下，不引入缺省路由。
default-route-advertise summary cost命令仅在VPN中应用，以Type-3 LSA引入缺省路由，PE路由器会将引入的缺省路由发布给CE路由器。
(4) 配置路由引入时的参数缺省值（开销、标记、类型）。
default { cost cost-value | tag tag | type type } *
缺省情况下，OSPF引入的路由的度量值为1，引入的路由的标记为1，引入的路由类型为2。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 进入OSPF区域视图。
area area-id
(4) 配置并发布一条主机路由。
host-advertise ip-address cost-value
缺省情况下，OSPF不发布所包含网段之外的主机路由。
本功能允许设备将链路状态信息发布到BGP，由BGP向外发布，以满足需要知道链路状态信息的应用的需求。BGP LS的相关内容请参见“三层技术-IP路由配置指导”中的“BGP”。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置允许设备将OSPF链路状态信息发布到BGP。
distribute bgp-ls [ instance-id id ] [ strict-link-checking ]
缺省情况下，不允许设备将OSPF链路状态信息发布到BGP。
通过改变OSPF的报文定时器，可以调整OSPF网络的收敛速度以及协议报文带来的网络负荷。在一些低速链路上，需要考虑接口传送LSA的延迟时间。
用户可以在接口上配置下列OSPF报文定时器：
· Hello定时器：接口向邻居发送Hello报文的时间间隔，OSPF邻居之间的Hello定时器的值要保持一致。
· Poll定时器：在NBMA网络中，路由器向状态为down的邻居路由器发送轮询Hello报文的时间间隔。
· 邻居失效时间：在邻居失效时间内，如果接口还没有收到邻居发送的Hello报文，路由器就会宣告该邻居无效。
· 接口重传LSA的时间间隔：路由器向它的邻居通告一条LSA后，需要对方进行确认。若在重传间隔时间内没有收到对方的确认报文，就会向邻居重传这条LSA。
Hello报文中包含Hello定时器和邻居失效时间，对于不同的网络类型，Hello定时器和邻居失效时间的缺省值不同。修改网络类型时，Hello定时器和邻居失效时间将恢复为对应网络类型下的缺省值。请确保邻居路由器两端的Hello定时器和邻居失效时间的值保持一致，否则将影响OSPF邻居关系的建立。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置Hello定时器。
ospf timer hello seconds
缺省情况下，P2P、Broadcast类型接口发送Hello报文的时间间隔为10秒，P2MP、NBMA类型接口发送Hello报文的时间间隔为30秒。
(4) 配置Poll定时器。
ospf timer poll seconds
缺省情况下，发送轮询Hello报文的时间间隔为120秒。
轮询Hello报文的时间间隔至少应为Hello时间间隔的4倍。
(5) 配置邻居失效时间。
ospf timer dead seconds
缺省情况下，P2P、Broadcast类型接口的OSPF邻居失效时间为40秒，P2MP、NBMA类型接口的OSPF邻居失效时间为120秒。
邻居失效时间应至少为Hello时间间隔的4倍。
(6) 配置接口重传LSA的时间间隔。
ospf timer retransmit seconds
缺省情况下，时间间隔为5秒。
相邻路由器重传LSA时间间隔的值不要设置得太小，否则将会引起不必要的重传。通常应该大于一个报文在两台路由器之间传送一个来回的时间。
考虑到OSPF报文在链路上传送时也需要花费时间，所以LSA的老化时间（age）在传送之前要增加一定的延迟时间，在低速链路上需要对该项配置进行重点考虑。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置接口传送LSA的延迟时间。
ospf trans-delay seconds
缺省情况下，接口传送LSA的延迟时间为1秒。
当OSPF的LSDB发生改变时，需要重新计算最短路径。如果网络频繁变化，且每次变化都立即计算最短路径，将会占用大量系统资源，并影响路由器的效率。通过调节路由计算的时间间隔，可以抑制由于网络频繁变化带来的影响。
本命令在网络变化不频繁的情况下将连续路由计算的时间间隔缩小到minimum-interval，而在网络变化频繁的情况下可以进行相应惩罚，将等待时间按照配置的惩罚增量延长，增加incremental-interval×2n-2（n为连续触发路由计算的次数），最大不超过maximum-interval。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置OSPF路由计算的时间间隔。
spf-schedule-interval { maximum-interval [ minimum-interval [ incremental-interval ] ] | millisecond interval }
缺省情况下，OSPF路由计算的最大时间间隔为5秒，最小时间间隔为50毫秒，时间间隔惩罚增量为200毫秒。
如果在重复到达的最小时间间隔内连续收到一条LSA类型、LS ID、生成路由器ID均相同的LSA则直接丢弃，这样就可以抑制网络频繁变化可能导致的带宽资源和路由器资源被过多占用的问题。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置LSA重复到达的最小时间间隔。
lsa-arrival-interval interval
缺省情况下，OSPF LSA重复到达的最小时间间隔为1000毫秒。
通过调节LSA重新生成的时间间隔，可以抑制网络频繁变化可能导致的带宽资源和路由器资源被过多占用的问题。
本命令在网络变化不频繁的情况下将LSA重新生成时间间隔缩小到minimum-interval，而在网络变化频繁的情况下可以进行相应惩罚，将等待时间按照配置的惩罚增量延长，增加incremental-interval×2n-2（n为连续触发路由计算的次数），最大不超过maximum-interval。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置LSA重新生成的时间间隔。
lsa-generation-interval maximum-interval [ minimum-interval [ incremental-interval ] ]
缺省情况下，最大时间间隔为5秒，最小时间间隔为50毫秒，惩罚增量为200毫秒。
网络中出现过多LSA，会占用大量系统资源。当设置的LSDB中External LSA的最大数量达到上限时，LSDB会进入overflow状态，在overflow状态中，不再接收External LSA，同时删除自己生成的External LSA，对于已经收到的External LSA则不会删除。这样就可以减少LSA从而节省系统资源。
通过配置可以调整OSPF退出overflow状态的时间。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置OSPF尝试退出overflow状态的定时器时间间隔。
lsdb-overflow-interval interval
缺省情况下，OSPF尝试退出overflow定时器间隔是300秒，配置为0时，表示不退出Overflow状态。
如果要使OSPF路由信息不被某一网络中的路由器获得，可以禁止接口收发OSPF报文。
将运行OSPF协议的接口指定为Silent状态后，该接口的直连路由仍可以由同一路由器的其它接口通过Router LSA发布出去，但OSPF报文将被阻塞，接口上无法建立邻居关系。这样可以增强OSPF的组网适应能力，减少系统资源的消耗。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 禁止接口收发OSPF报文。
silent-interface { interface-type interface-number | all }
缺省情况下，允许接口收发OSPF报文。
不同的进程可以对同一接口禁止收发OSPF报文，但本命令只对本进程已经使能的OSPF接口起作用，对其它进程的接口不起作用。
一般情况下，接口发送DD报文时不使用接口的实际MTU值，而是用0代替。进行此配置后，将使用接口的实际MTU值填写DD报文Interface MTU字段。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置DD报文中MTU域的值为发送该报文接口的MTU值。
ospf mtu-enable
缺省情况下，接口发送的DD报文中MTU域的值为0。
DSCP优先级用来体现报文自身的优先等级，决定报文传输的优先程度。通过本配置可以指定OSPF发送协议报文的DSCP优先级。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置OSPF发送协议报文的DSCP优先级。
dscp dscp-value
缺省情况下，OSPF发送协议报文的DSCP优先级值为48。
在与邻居进行LSDB同步的过程中，需要发送大量的LSU报文时，邻居设备会在短时间内收到大量的LSU报文，处理这些突发的大量LSU报文时，可能会出现如下情况：
· 占用较多的系统资源，导致邻居设备性能下降。
· 邻居设备可能会将维持邻居关系的Hello报文丢弃，导致邻居关系断开。重新建立邻居关系的过程中，需要交互的LSU数量将会更大，从而加剧设备性能的下降。
配置本功能后，路由器将LSU报文分为多个批次进行发送，对OSPF接口每次允许发送的LSU报文的最大个数做出限制，尽可能避免上述情况的发生。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) （可选）配置接口发送LSU报文的时间间隔和一次发送LSU报文的最大个数。
transmit-pacing interval interval count count
缺省情况下，OSPF接口发送LSU报文的时间间隔为20毫秒，一次最多发送3个LSU报文。
用户可根据需要配置OSPF接口发送LSU报文的时间间隔以及接口一次发送LSU报文的最大个数。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置LSDB中External LSA的最大数量。
lsdb-overflow-limit number
缺省情况下，不对LSDB中External LSA的最大条目数进行限制。
通过该功能，不希望让邻居接收到的LSA可在本端接口出方向上被过滤掉，从而减小邻居LSDB的规模，并节省带宽。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置过滤接口出方向的LSA。
ospf database-filter { all | { ase [ acl ipv4-acl-number ] | nssa [ acl ipv4-acl-number ] | summary [ acl ipv4-acl-number ] } * }
缺省情况下，不对接口出方向的LSA进行过滤。
在P2MP网络中，一台路由器可以有多个接口的网络类型为P2MP的OSPF邻居。当两台路由器之间存在多条P2MP链路时，不希望让某个指定邻居收到的LSA，通过该功能可在本地被过滤掉。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置过滤发送给接口的网络类型为P2MP的邻居的LSA。
database-filter peer ip-address { all | { ase [ acl ipv4-acl-number ] | nssa [ acl ipv4-acl-number ] | summary [ acl ipv4-acl-number ] } * }
缺省情况下，不对发送给接口的网络类型为P2MP的邻居的LSA进行过滤。
ISPF（Incremental Shortest Path First，增量最短路径优先）是对OSPF中最短路径树的增量计算，当网络的拓扑结构发生变化，即影响到最短路径树的结构时，只对受影响的部分节点进行重新计算拓扑结构，只对最短路径树中受影响的部分进行修正，而不需要重建整棵最短路径树。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 开启增量SPF计算功能。
ispf enable
缺省情况下，增量SPF计算功能处于使能状态。
OSPF使能网段时会将接口上匹配该网段的所有网段路由与主机路由都通过LSA发布，但有些时候主机路由或网段路由是不希望被发布的。通过前缀抑制配置，可以减少LSA中携带不需要的前缀，即不发布某些网段路由和主机路由，从而提高网络安全性，加快路由收敛。
当使能前缀抑制时，具体情况如下：
· P2P或P2MP类型网络：Type-1 LSA中不发布接口的主地址，即Type-1 LSA中链路类型为3的Stub链路被抑制，不生成接口路由，但其他路由信息可以正常计算，不会影响流量转发。
· 广播类型或者NBMA网络：DR发布的Type-2 LSA的掩码字段会填成32位，即不生成网段路由，但其他路由信息可以正常计算，不会影响流量转发。另外，如果没有邻居，发布的Type-1 LSA中也不发布接口的主地址，即Type-1 LSA中链路类型为3的Stub链路被抑制。
如果需要抑制前缀发布，建议整个OSPF网络都配置本命令。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置前缀抑制功能。
prefix-suppression
缺省情况下，不抑制OSPF进程进行前缀发布。
不能抑制从地址、LoopBack接口以及处于抑制状态的接口对应的前缀。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置接口的前缀抑制功能。
ospf prefix-suppression [ disable ]
缺省情况下，不抑制接口进行前缀发布。
不能抑制从地址对应的前缀。
通过策略指定优先权，不同前缀按优先权顺序下发，由高到低分为4个优先权（Critical、High、Medium和Low），如果一条路由符合多个收敛优先权的匹配规则，则这些收敛优先权中最高者当选为路由的收敛优先权。
OSPF路由的32位主机路由为Medium优先权，其它为Low优先权。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 使能OSPF的前缀按优先权快速收敛功能。
prefix-priority route-policy route-policy-name
缺省情况下，OSPF的前缀按优先权快速收敛功能处于关闭状态。
PIC（Prefix Independent Convergence，前缀无关收敛），即收敛时间与前缀数量无关，该功能可以加快收敛速度。传统的路由计算快速收敛都与前缀数量相关，收敛时间与前缀数量成正比。
PIC和OSPF快速重路由功能同时配置时，OSPF快速重路由功能生效。
目前只支持区域间路由以及外部路由的PIC功能。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 使能PIC功能。
pic [ additional-path-always ]
缺省情况下，前缀无关收敛功能处于开启状态。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 使能OSPF协议中主用链路的BFD（Ctrl方式）检测功能。
ospf primary-path-detect bfd ctrl
缺省情况下，OSPF协议中主用链路的BFD（Ctrl方式）检测功能处于关闭状态。
配置本功能后，可以加快OSPF协议的收敛速度。使用control报文双向检测方式时，需要建立OSPF邻居的两端设备均支持BFD配置。
(1) 进入系统视图。
system-view
(2) 配置BFD Echo报文源地址。
bfd echo-source-ip ip-address
缺省情况下，未配置BFD Echo报文源地址。
echo报文的源IP地址用户可以任意指定。建议配置echo报文的源IP地址不属于该设备任何一个接口所在网段。
本命令的详细情况请参见“网络管理和监控命令参考”中的“BFD”。
(3) 进入接口视图。
interface interface-type interface-number
(4) 使能OSPF协议中主用链路的BFD（Echo方式）检测功能。
ospf primary-path-detect bfd echo
缺省情况下，OSPF协议中主用链路的BFD（Echo方式）检测功能处于关闭状态。
配置本功能后，可以加快OSPF协议的收敛速度。使用echo报文单跳检测方式时，仅需要一端设备支持BFD配置。
Stub路由器用来控制流量，它告知其他OSPF路由器不要使用这个Stub路由器来转发数据，但可以拥有一个到Stub路由器的路由。
通过将当前路由器配置为Stub路由器，在该路由器发布的Router LSA中，当链路类型取值为3表示连接到Stub网络时，链路度量值不变；当链路类型为1、2、4分别表示通过P2P链路与另一路由器相连、连接到传送网络、虚连接时，链路度量值将设置为最大值65535。通过增加include-stub参数可以将路由器发布的Router LSA中，链路类型为3的Stub链路度量值设置为最大值65535。这样其邻居计算出这条路由的开销就会很大，如果邻居上有到这个目的地址开销更小的路由，则数据不会通过这个Stub路由器转发。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置当前路由器为Stub路由器。
stub-router [ external-lsa [ max-metric-value ] | include-stub | on-startup { seconds | wait-for-bgp [ seconds ] } | summary-lsa [ max-metric-value ] ] *
缺省情况下，当前路由器没有被配置为Stub路由器。
Stub路由器与Stub区域无关。
当有多条路径可以到达同一个外部路由时，在选择最优路由的问题上，RFC 2328中定义的选路规则与RFC 1583的有所不同，进行此配置可以兼容RFC 1583中定义的规则。
具体的选路规则如下：
(1) 当RFC 2328兼容RFC 1583时，所有到达ASBR的路由优先级相同。当RFC 2328不兼容RFC 1583时，非骨干区的区域内路由优先级最高，区域间路由与骨干区区域内路由优先级相同，优选非骨干区的区域内路由，尽量减少骨干区的负担；
(2) 若存在多条优先级相同的路由时，按开销值优选，优选开销值小的路由；
(3) 若存在多条开销值相同路由时，按路由来源区域的区域ID选择，优选区域ID大的路由。
为了避免路由环路，同一路由域内的路由器建议统一配置相同选择规则。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置兼容RFC 1583的外部路由选择规则。
rfc1583 compatible
缺省情况下，兼容RFC 1583的路由选择优先规则的功能处于开启状态。
当OSPF计算出等价路由时，将同一前缀的等价路由组合起来一次性下发给路由管理，从而避免逐条下发各条等价路由，加快收敛速度。
本功能适用于存在大量OSPF等价路由且不同前缀都具有相同的等价下一跳场景中。例如，OSPF学到了1万条不同的路由前缀且每条前缀都具有1.1.1.1～1.1.1.16的16个下一跳。缺省情况下，OSPF会向路由管理分别下发各条等价路由，开启本功能后，OSPF会将等价路由组合起来统一下发给路由管理，从而加快收敛速度。
等价路由下一跳出接口为TE隧道接口时，OSPF会直接将其组合下发给路由管理，不受ecmp-group enable命令控制。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置OSPF等价路由组。
ecmp-group enable
缺省情况下，OSPF等价路由组功能处于关闭状态。
GR（Graceful Restart，平滑重启）是一种通过备份OSPF配置信息，在协议重启或主备倒换时OSPF进行平滑重启，从邻居那里获得邻居关系，并对LSDB进行同步，从而保证转发业务不中断的机制。
GR有两个角色：
· GR Restarter：发生协议重启或主备倒换事件且具有GR能力的设备。
· GR Helper：和GR Restarter具有邻居关系，协助完成GR流程的设备。
目前有两种方式实现OSPF GR技术：
· 一种是基于IETF标准，GR Restarter通过向GR Helper发送一种称为Grace LSA的9类Opaque LSA来控制GR的交互过程。
· 另外一种是非IETF标准，GR Restarter与GR Helper之间是通过相互发送携带LLS与OOB扩展信息的OSPF报文来完成GR的交互过程。
一台设备可以同时充当GR Restarter和GR Helper。
设备充当GR Restarter后不能再配置OSPF NSR功能。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 使能Opaque LSA发布接收能力。
opaque-capability enable
缺省情况下，OSPF的Opaque LSA发布接收能力处于开启状态。
(4) 使能OSPF协议的IETF标准GR能力。
graceful-restart ietf [ global | planned-only ] *
缺省情况下，OSPF协议的IETF标准GR能力处于关闭状态。
(5) （可选）配置OSPF协议的GR重启间隔时间。
graceful-restart interval interval
缺省情况下，OSPF协议的GR重启间隔时间为120秒。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 使能OSPF本地链路信令能力。
enable link-local-signaling
缺省情况下，OSPF本地链路信令能力处于关闭状态。
(4) 使能OSPF带外同步能力。
enable out-of-band-resynchronization
缺省情况下，OSPF带外同步能力处于关闭状态。
(5) 使能OSPF协议的非IETF标准GR能力。
graceful-restart [ nonstandard ] [ global | planned-only ] *
缺省情况下，OSPF协议的非IETF标准GR能力处于关闭状态。
(6) （可选）配置OSPF协议的GR重启间隔时间。
graceful-restart interval interval
缺省情况下，OSPF协议的GR重启间隔时间为120秒。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 使能Opaque LSA发布接收能力。
opaque-capability enable
缺省情况下，OSPF的Opaque LSA发布接收能力处于开启状态。
(4) 使能GR Helper能力。
graceful-restart helper enable [ planned-only ]
缺省情况下，OSPF的GR Helper能力处于开启状态。
(5) （可选）配置GR Helper 严格检查LSA能力。
graceful-restart helper strict-lsa-checking
缺省情况下，OSPF协议的GR Helper严格LSA检查能力处于关闭状态。
执行本配置后，当检查到GR Helper设备的LSA发生变化时，Helper设备退出GR Helper模式。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 使能OSPF本地链路信令能力。
enable link-local-signaling
缺省情况下，OSPF本地链路信令能力处于关闭状态。
(4) 使能OSPF带外同步能力。
enable out-of-band-resynchronization
缺省情况下，OSPF带外同步能力处于关闭状态。
(5) 使能GR Helper能力。
graceful-restart helper enable
缺省情况下，OSPF的GR Helper能力处于开启状态。
(6) （可选）配置GR Helper 严格检查LSA能力。
graceful-restart helper strict-lsa-checking
缺省情况下，OSPF协议的GR Helper严格LSA检查能力处于关闭状态。
执行本配置后，当检查到GR Helper设备的LSA发生变化时，Helper设备退出GR Helper模式。
设备进行主备倒换或者进行如下操作均可以以GR方式重启OSPF进程。
请在用户视图下执行本命令，以GR方式重启OSPF进程。
reset ospf [ process-id ] process graceful-restart
NSR（Nonstop Routing，不间断路由）通过将OSPF链路状态信息从主进程备份到备进程，使设备在发生主备倒换时可以自行完成链路状态的恢复和路由的重新生成，邻接关系不会发生中断，从而避免了主备倒换对转发业务的影响。
GR特性需要周边设备配合才能完成路由信息的恢复，在网络应用中有一定的限制。NSR特性不需要周边设备的配合，网络应用更加广泛。
设备配置了NSR功能后不能再充当GR Restarter。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 使能OSPF NSR功能。
non-stop-routing
缺省情况下，OSPF NSR功能处于关闭状态。
各个进程的NSR功能是相互独立的，只对本进程生效。如果存在多个OSPF进程，建议在各个进程下使能OSPF NSR功能。
BFD（Bidirectional Forwarding Detection，双向转发检测）能够为OSPF邻居之间的链路提供快速检测功能。当邻居之间的链路出现故障时，加快OSPF协议的收敛速度。关于BFD的介绍和基本功能配置，请参见“网络管理和监控配置指导”中的“BFD”。
OSPF使用BFD来进行快速故障检测时，提供两种检测方式：
· control报文双向检测：需要建立OSPF邻居的两端设备均支持BFD配置。
· echo报文单跳检测：仅需要一端设备支持BFD配置。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 使能OSPF的BFD功能。
ospf bfd enable
缺省情况下，OSPF的BFD功能处于关闭状态。
创建BFD会话的通信双方必须处于特定区域的同一网段。
(1) 进入系统视图。
system-view
(2) 配置echo报文源地址。
bfd echo-source-ip ip-address
缺省情况下，未配置echo报文源地址。
echo报文的源IP地址用户可以任意指定。建议配置echo报文的源IP地址不属于该设备任何一个接口所在网段。
本命令的详细情况请参见“网络管理和监控命令参考”中的“BFD”。
(3) 进入接口视图。
interface interface-type interface-number
(4) 使能OSPF的BFD功能。
ospf bfd enable echo
缺省情况下，OSPF的BFD功能处于关闭状态。
OSPF FRR（Fast Reroute，快速重路由）使用链路状态数据库预先计算出备份路径或使用路由策略指定备份路径，并将备份路径保存到FIB表中，当主用路径发生故障时，可以快速切换到备份路径，从而降低路由收敛所需时间。
预先计算出备份路径的FRR技术LFA（Loop Free Alternate） FRR：以可提供备份链路的邻居为根节点，利用SPF算法计算出到目的节点的最短路径树。然后，按照LFA算法计算出一条开销最小且无环的备份链路。
OSPF FRR流量保护类型分为：
· 链路保护：当需要保护的对象是经过特定链路的流量时，流量保护类型为链路保护。
· 节点保护：当需要保护的对象是经过特定设备的流量时，流量保护类型为节点保护。
节点保护优先级高于链路保护。
OSPF快速重路由功能和PIC同时配置时，OSPF快速重路由功能生效。
OSPF FRR配置任务如下：
(1) 配置OSPF备份路径。请至少选择其中一项任务进行配置：
(2) （可选）配置快速重路由备份路径优选方案的优先级
(3) （可选）配置OSPF FRR支持BFD检测功能
¡ 配置OSPF快速重路由支持BFD检测功能（Ctrl方式）
¡ 配置OSPF快速重路由支持BFD检测功能（Echo方式）
当OSPF网络中的链路或某台路由器发生故障时，需要通过故障链路或故障路由器传输才能到达目的地的报文将会丢失，数据流量将会被中断，直到OSPF根据新的拓扑网络路由收敛完毕后，被中断的流量才能恢复正常的传输。
为了尽可能缩短网络故障导致的流量中断时间，网络管理员可以根据需要配置OSPF快速重路由功能。
图1-9 OSPF快速重路由功能示意图
如图1-9所示，通过在Router B上使能快速重路由功能，OSPF将为路由计算或指定备份下一跳，当Router B检测到网络故障时，OSPF会使用事先获取的备份下一跳替换失效下一跳，通过备份下一跳来指导报文的转发，从而大大缩短了流量中断时间。在使用备份下一跳指导报文转发的同时，OSPF会根据变化后的网络拓扑重新计算最短路径，网络收敛完毕后，使用新计算出来的最优路由来指导报文转发。
网络管理员可以配置给所有OSPF路由通过LFA（Loop Free Alternate）算法选取备份下一跳，也可以在路由策略中指定备份下一跳，为符合过滤条件的路由指定备份下一跳。
OSPF快速重路由功能（通过LFA算法选取备份下一跳信息）不能与vlink-peer命令同时使用。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) （可选）配置接口参与LFA计算。
ospf fast-reroute lfa-backup
缺省情况下，接口参与LFA计算，能够被选为备份接口。
(4) 退回系统视图。
quit
(5) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(6) 配置OSPF快速重路由功能（通过LFA算法选取备份下一跳信息）。
fast-reroute lfa [ abr-only ]
缺省情况下，OSPF快速重路由功能处于关闭状态。
abr-only表示仅选取到ABR设备的路由作为备份下一跳。
网络管理员可以通过apply fast-reroute backup-interface命令在路由策略中指定备份下一跳，为符合过滤条件的路由指定备份下一跳，关于apply fast-reroute backup-interface命令以及路由策略的相关配置，请参见“三层技术-IP路由配置指导”中的“路由策略”。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置OSPF快速重路由功能（通过路由策略指定备份下一跳）。
fast-reroute route-policy route-policy-name
缺省情况下，OSPF快速重路由功能处于关闭状态。
缺省情况下，设备采用节点保护方式计算备份路径。如图1-10所示，主路径为Device A->Device D->Device E->Device F，备份路径有Device A->Device C->Device D->Device E和Device A->Device B->Device D->Device E两种选择。由于Device C设备的转发能力比Device B强，则在节点保护方式下，备份路优选为Device A->Device C->Device E->Device F。
在实际组网中，由于接口数据能力或链路开销等因素，备份路径的优选方案可能需要调整为最小开销路径。如图1-11所示，主路径为Device A->Device D->Device E，备份路径有Device A->Device C->Device D->Device E和Device A->Device B->Device D->Device E两种选择。缺省情况下，备份路优选为Device A->Device C->Device D->Device E。当备份路径的优选方案需要调整为最小开销路径时，可以配置本功能进行调整，即优先选择Device A->Device B->Device D->Device E作为备份路径。
优先采用节点保护方式计算备份路径时，如果不能计算出备份路径，则再通过最小开销路径方式计算备份路径。如果仍不能计算备份路径，则主链路故障后无法保证可靠性。
优先采用最小开销路径方式计算备份路径时，如果不能计算出备份路径，则不会再通过节点保护方式计算备份路径，主链路故障后无法保证可靠性。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置快速重路由备份路径优选方案的优先级。
fast-reroute tiebreaker { lowest-cost | node-protecting } preference preference
缺省情况下，最小开销路径优选方案的优先级是20，节点保护优选方案的优先级是40。
OSPF协议的快速重路由特性中，主用链路缺省不使用BFD进行链路故障检测。配置本功能后，将使用BFD进行检测，可以加快OSPF协议的收敛速度。使用control报文双向检测方式时，需要建立OSPF邻居的两端设备均支持BFD配置。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 使能OSPF协议中主用链路的BFD（Ctrl方式）检测功能。
ospf primary-path-detect bfd ctrl
缺省情况下，OSPF协议中主用链路的BFD检测功能（Ctrl方式）处于关闭状态。
OSPF协议的快速重路由特性中，主用链路缺省不使用BFD进行链路故障检测。配置本功能后，将使用BFD进行检测，可以加快OSPF协议的收敛速度。使用echo报文单跳检测方式时，仅需要一端设备支持BFD配置。
(1) 进入系统视图。
system-view
(2) 配置BFD Echo报文源地址。
bfd echo-source-ip ip-address
缺省情况下，未配置BFD Echo报文源地址。
echo报文的源IP地址用户可以任意指定。建议配置echo报文的源IP地址不属于该设备任何一个接口所在网段。
本命令的详细情况请参见“网络管理和监控命令参考”中的“BFD”。
(3) 进入接口视图。
interface interface-type interface-number
(4) 使能OSPF协议中主用链路的BFD（Echo方式）检测功能。
ospf primary-path-detect bfd echo
缺省情况下，OSPF协议中主用链路的BFD（Echo方式）检测功能处于关闭状态。
从安全性角度来考虑，为了避免路由信息外泄或者OSPF路由器受到恶意攻击，OSPF提供报文验证功能。
OSPF路由器建立邻居关系时，在发送的报文中会携带配置好的口令，接收报文时进行验证，只有通过验证的报文才能接收，否则将不会接收报文，不能正常建立邻居。
如果区域验证和接口验证都进行了配置，以接口验证的配置为准。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 进入OSPF区域视图。
area area-id
(4) 配置OSPF区域的验证模式。请选择其中一项进行配置。
¡ 配置OSPF区域使用HMAC-MD5/MD5验证模式。
authentication-mode { hmac-md5 | hmac-sha-256 | md5 } key-id { cipher | plain } string
¡ 配置OSPF区域使用简单验证模式。
authentication-mode simple { cipher | plain } string
¡ 配置OSPF区域使用keychain验证模式。
authentication-mode keychain keychain-name
关于keychain功能的介绍，请参见“安全配置指导”中的“keychain”。
缺省情况下，未配置区域验证模式。
一个区域中所有路由器的验证模式和验证密钥必须一致。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置OSPF接口的验证模式。请选择其中一项进行配置。
¡ 配置OSPF区域使用HMAC-MD5/MD5验证模式。
ospf authentication-mode { hmac-md5 | hmac-sha-256 | md5 } key-id { cipher | plain } string
¡ 配置OSPF区域使用简单验证模式。
ospf authentication-mode simple { cipher | plain } string
¡ 配置OSPF区域使用keychain验证模式。
ospf authentication-mode keychain keychain-name
关于keychain功能的介绍，请参见“安全配置指导”中的“keychain”。
缺省情况下，接口不对OSPF报文进行验证。
邻居路由器两端接口的验证模式和验证密钥必须一致。
GTSM（Generalized TTL Security Mechanism，通用TTL安全保护机制）是一种简单易行的、对基于IP协议的上层业务进行保护的安全机制。开启OSPF报文的GTSM功能后，当设备收到来自OSPF普通邻居或虚连接邻居的报文时，会判断报文的TTL是否在255－“hop-count”＋1到255之间。如果在，就上送报文；如果不在，则直接丢弃报文。以使设备避免受到CPU利用（CPU-utilization）等类型的攻击（如CPU过载），增强系统的安全性。
开启OSPF GTSM功能时，要求本设备和邻居设备上同时配置本特性，指定的hop-count值可以不同，只要能够满足合法性检查即可。
如果接口上配置了OSPF GTSM功能，接口OSPF GTSM功能的状态以接口的配置为准，不受接口所在区域OSPF GTSM功能的影响。如果接口上未配置OSPF GTSM功能，接口OSPF GTSM功能的状态以区域的配置为准。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 进入OSPF区域视图。
area area-id
(4) 开启区域的OSPF GTSM功能。
ttl-security [ hops hop-count ]
缺省情况下，区域的OSPF GTSM功能处于关闭状态。
(1) 进入系统视图。
system-view
(2) 进入接口视图。
interface interface-type interface-number
(3) 配置接口的OSPF GTSM功能。
¡ 开启接口的OSPF GTSM功能。
ospf ttl-security [ hops hop-count ]
¡ 关闭接口的OSPF GTSM功能。
ospf ttl-security disable
区域OSPF GTSM功能处于开启状态时，如该区域内某个接口的邻居不支持GTSM功能，需要关闭该接口的OSPF GTSM功能。
缺省情况下，接口的OSPF GTSM功能与其所在区域OSPF GTSM功能的状态保持一致。
打开邻居状态变化的输出开关后，OSPF邻居状态变化时会生成日志信息发送到设备的信息中心，通过设置信息中心的参数，最终决定日志信息的输出规则（即是否允许输出以及输出方向）。（有关信息中心参数的配置请参见“网络管理和监控配置指导”中的“信息中心”。）
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 打开邻居状态变化的输出开关。
log-peer-change
缺省情况下，邻居状态变化的输出开关处于打开状态。
OSPF的日志信息包括路由计算、邻居、路由、LSA老化、生成和接收LSA的日志信息。
(1) 进入系统视图。
system-view
(2) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(3) 配置OSPF的日志信息个数。
event-log { hello { received [ abnormal | dropped ] | sent [ abnormal | failed ] } | lsa-flush | peer | spf } size count
缺省情况下，接收Hello报文、接收异常Hello报文、丢弃接收到的Hello报文、发送Hello报文、发送异常Hello报文以及发送失败的Hello报文、LSA老化、邻居状态变化、路由计算的日志信息个数为100。
配置OSPF进程绑定MIB功能后，可以通过网管软件对指定的OSPF进程进行管理。
开启OSPF模块的告警功能后，该模块会生成告警信息，用于报告该模块的重要事件。生成的告警信息将发送到设备的SNMP模块，通过设置SNMP中告警信息的发送参数，来决定告警信息输出的相关属性。（有关告警信息的详细介绍，请参见“网络管理和监控配置指导”中的“SNMP”。）
通过调整OSPF在指定时间间隔内允许输出的告警信息条数，可以避免网络出现大量告警信息时对资源的消耗。
(1) 进入系统视图。
system-view
(2) 配置OSPF进程绑定公有MIB。
ospf mib-binding process-id
缺省情况下，MIB绑定在进程号最小的OSPF进程上。
(3) 开启OSPF的告警功能。
snmp-agent trap enable ospf [ authentication-failure | bad-packet | config-error | grhelper-status-change | grrestarter-status-change | if-state-change | lsa-maxage | lsa-originate | lsdb-approaching-overflow | lsdb-overflow | neighbor-state-change | nssatranslator-status-change | retransmit | virt-authentication-failure | virt-bad-packet | virt-config-error | virt-retransmit | virtgrhelper-status-change | virtif-state-change | virtneighbor-state-change ] *
缺省情况下，OSPF的告警功能处于开启状态。
(4) 进入OSPF视图。
ospf [ process-id | router-id { auto-select | router-id } | vpn-instance vpn-instance-name ] *
(5) 配置OSPF在指定时间间隔内允许输出的告警信息条数。
snmp trap rate-limit interval trap-interval count trap-number
缺省情况下，OSPF在10秒内允许输出7条告警信息。
在完成上述配置后，在任意视图下执行display命令可以显示配置后OSPF的运行情况，通过查看显示信息验证配置的效果。
在用户视图下执行reset命令可以清除OSPF的统计信息、重启OSPF进程或重新向OSPF引入外部路由。
表1-3 OSPF显示和维护
|
操作 |
命令 |
|
显示OSPF的ABR聚合信息 |
display ospf [ process-id ] [ area area-id ] abr-summary [ ip-address { mask-length | mask } ] [ verbose ] |
|
显示区域中FRR备份下一跳候选列表 |
display ospf [ process-id ] [ area area-id ] fast-reroute lfa-candidate |
|
显示OSPF区域的最短路径树信息 |
display ospf [ process-id ] [ area area-id ] spf-tree [ verbose ] |
|
显示OSPF的进程信息 |
display ospf [ process-id ] [ verbose ] |
|
显示OSPF ABR及ASBR信息 |
display ospf [ process-id ] abr-asbr [ verbose ] |
|
显示OSPF的ASBR聚合信息 |
display ospf [ process-id ] asbr-summary [ ip-address { mask-length | mask } ] |
|
显示OSPF的日志信息 |
display ospf [ process-id ] event-log { lsa-flush | peer [ neighbor-id ] [ slot slot-number ] | spf } |
|
显示OSPF接收或发送Hello报文的日志信息 |
display ospf [ process-id ] event-log hello { received [ abnormal | dropped ] | sent } [ neighbor-id ] [ slot slot-number ] display ospf [ process-id ] event-log hello sent { abnormal | failed } [ neighbor-address ] [ slot slot-number ] |
|
显示OSPF进程的GR状态信息 |
display ospf [ process-id ] graceful-restart [ verbose ] |
|
显示Router ID到主机名称的映射关系表 |
display ospf [ process-id ] hostname-table |
|
显示OSPF接口信息 |
display ospf [ process-id ] interface [ interface-type interface-number | verbose ] |
|
显示接口发送Hello报文的信息 |
display ospf [ process-id ] interface [ interface-type interface-number ] hello |
|
显示OSPF的LSDB信息 |
display ospf [ process-id ] [ area area-id ] lsdb { asbr | network | nssa | opaque-link | router | summary } [ link-state-id ] [ originate-router advertising-router-id | self-originate ] [ age { max-value max-age-value | min-value min-age-value } * ] [ resolve-hostname ] display ospf [ process-id ] [ area area-id ] lsdb { asbr | network | nssa | opaque-link | router | summary } [ link-state-id ] hostname host-name [ age { max-value max-age-value | min-value min-age-value } * ] display ospf [ process-id ] lsdb [ brief | originate-router advertising-router-id | self-originate ] [ age { max-value max-age-value | min-value min-age-value } * ] [ resolve-hostname ] display ospf [ process-id ] lsdb hostname host-name [ age { max-value max-age-value | min-value min-age-value } * ] display ospf [ process-id ] lsdb { ase | opaque-as } [ link-state-id ] [ originate-router advertising-router-id | self-originate ] [ age { max-value max-age-value | min-value min-age-value } * ] [ resolve-hostname ] display ospf [ process-id ] lsdb { ase | opaque-as } [ link-state-id ] hostname host-name [ age { max-value max-age-value | min-value min-age-value } * ] |
|
显示进程中的下一跳信息 |
display ospf [ process-id ] nexthop |
|
显示OSPF的NSR阶段信息 |
display ospf [ process-id ] non-stop-routing status |
|
显示OSPF邻居的信息 |
display ospf [ process-id ] peer [ hello | verbose ] [ interface-type interface-number ] [ [ neighbor-id ] [ resolve-hostname ] | hostname host-name ] |
|
显示OSPF各区域邻居的统计信息 |
display ospf [ process-id ] peer statistics |
|
显示OSPF请求列表 |
display ospf [ process-id ] request-queue [ interface-type interface-number ] [ neighbor-id ] |
|
显示OSPF重传列表 |
display ospf [ process-id ] retrans-queue [ interface-type interface-number ] [ neighbor-id ] |
|
显示OSPF路由表的信息 |
display ospf [ process-id ] routing [ ip-address { mask-length | mask } ] [ interface interface-type interface-number ] [ nexthop nexthop-address ] [ verbose ] |
|
显示OSPF的统计信息 |
display ospf [ process-id ] statistics [ error | packet [ hello | interface-type interface-number ] ] |
|
显示OSPF虚连接信息 |
display ospf [ process-id ] vlink |
|
显示全局Router ID |
display router id |
|
清除OSPF的日志信息 |
reset ospf [ process-id ] event-log [ lsa-flush | peer [ slot slot-number ] | spf ] |
|
清除OSPF接收或发送Hello报文的日志信息 |
reset ospf [ process-id ] event-log hello { received [ abnormal | dropped ] | sent [ abnormal | failed ] } [ slot slot-number ] |
|
重启OSPF进程 |
reset ospf [ process-id ] process [ graceful-restart ] |
|
重新向OSPF引入外部路由 |
reset ospf [ process-id ] redistribution |
|
清除OSPF的统计信息 |
reset ospf [ process-id ] statistics |
· 所有的设备都运行OSPF，并将整个自治系统划分为3个区域。
· 其中Device A和Device B作为ABR来转发区域之间的路由。
· 配置完成后，每台路由器都应学到AS内的到所有网段的路由。
图1-12 安全策略保证OSPF邻接关系建立配置组网图
(1) 配置接口IP地址
# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。
<DeviceA> system-view
[DeviceA] interface gigabitethernet 1/0/1
[DeviceA-GigabitEthernet1/0/1] ip address 1.1.1.1 255.255.255.0
[DeviceA-GigabitEthernet1/0/1] quit
请参考以上步骤配置其他接口的IP地址，具体配置步骤略。
(2) 配置接口加入安全域
# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。
[DeviceA] security-zone name untrust
[DeviceA-security-zone-Untrust] import interface gigabitethernet 1/0/1
[DeviceA-security-zone-Untrust] quit
[DeviceA] security-zone name trust
[DeviceA-security-zone-Trust] import interface gigabitethernet 1/0/2
[DeviceA-security-zone-Trust] quit
(3) 配置安全策略
a. 配置安全策略放行Untrust与Local安全域之间的流量，用于设备之间可以建立OSPF邻居关系。
# 配置名称为ospflocalin的安全策略规则，使Device A可以接收Device B发送的OSPF协议报文，具体配置步骤如下。
[DeviceA] security-policy ip
[DeviceA-security-policy-ip] rule name ospflocalin
[DeviceA-security-policy-ip-0-ospflocalin] source-zone untrust
[DeviceA-security-policy-ip-0-ospflocalin] destination-zone local
[DeviceA-security-policy-ip-0-ospflocalin] service ospf
[DeviceA-security-policy-ip-0-ospflocalin] action pass
[DeviceA-security-policy-ip-0-ospflocalin] quit
# 配置名称为ospflocalout的安全策略规则，使Device A可以向Device B发送OSPF协议报文，具体配置步骤如下。
[DeviceA-security-policy-ip] rule name ospflocalout
[DeviceA-security-policy-ip-1-ospflocalout] source-zone local
[DeviceA-security-policy-ip-1-ospflocalout] destination-zone untrust
[DeviceA-security-policy-ip-1-ospflocalout] service ospf
[DeviceA-security-policy-ip-1-ospflocalout] action pass
[DeviceA-security-policy-ip-1-ospflocalout] quit
b. 配置安全策略放行Untrust与Trust安全域之间的流量，放行Area1与Area2之间的流量。
# 配置名称为trust-untrust的安全策略规则，使Trust安全域到Untrust安全域的报文可通，具体配置步骤如下。
[DeviceA-security-policy-ip] rule name trust-untrust
[DeviceA-security-policy-ip-2-trust-untrust] source-zone trust
[DeviceA-security-policy-ip-2-trust-untrust] destination-zone untrust
[DeviceA-security-policy-ip-2-trust-untrust] source-ip-subnet 2.2.2.0 24
[DeviceA-security-policy-ip-2-trust-untrust] destination-ip-subnet 3.3.3.0 24
[DeviceA-security-policy-ip-2-trust-untrust] action pass
[DeviceA-security-policy-ip-2-trust-untrust] quit
# 配置名称为untrust-trust的安全策略规则，使Untrust安全域到Trust安全域的报文可通，具体配置步骤如下。
[DeviceA-security-policy-ip] rule name untrust-trust
[DeviceA-security-policy-ip-3-untrust-trust] source-zone untrust
[DeviceA-security-policy-ip-3-untrust-trust] destination-zone trust
[DeviceA-security-policy-ip-3-untrust-trust] source-ip-subnet 3.3.3.0 24
[DeviceA-security-policy-ip-3-untrust-trust] destination-ip-subnet 2.2.2.0 24
[DeviceA-security-policy-ip-3-untrust-trust] action pass
[DeviceA-security-policy-ip-3-untrust-trust] quit
[DeviceA-security-policy-ip] quit
(4) 配置OSPF基本功能
[DeviceA] router id 2.2.2.1
[DeviceA] ospf
[DeviceA-ospf-1] area 0
[DeviceA-ospf-1-area-0.0.0.0] network 1.1.1.0 0.0.0.255
[DeviceA-ospf-1-area-0.0.0.0] quit
[DeviceA-ospf-1] area 1
[DeviceA-ospf-1-area-0.0.0.1] network 2.2.2.0 0.0.0.255
[DeviceA-ospf-1-area-0.0.0.1] quit
[DeviceA-ospf-1] quit
(1) 配置接口IP地址
# 根据组网图中规划的信息，配置各接口的IP地址，具体配置步骤如下。
<DeviceB> system-view
[DeviceB] interface gigabitethernet 1/0/1
[DeviceB-GigabitEthernet1/0/1] ip address 1.1.1.2 255.255.255.0
[DeviceB-GigabitEthernet1/0/1] quit
请参考以上步骤配置其他接口的IP地址，具体配置步骤略。
(2) 配置接口加入安全域
# 请根据组网图中规划的信息，将接口加入对应的安全域，具体配置步骤如下。
[DeviceB] security-zone name untrust
[DeviceB-security-zone-Untrust] import interface gigabitethernet 1/0/1
[DeviceB-security-zone-Untrust] quit
[DeviceB] security-zone name trust
[DeviceB-security-zone-Trust] import interface gigabitethernet 1/0/2
[DeviceB-security-zone-Trust] quit
(3) 配置安全策略
a. 配置安全策略放行Untrust与Local安全域之间的流量，用于设备之间可以建立OSPF邻居关系。
# 配置名称为ospflocalin的安全策略规则，使Device B可以接收Device A发送的OSPF协议报文，具体配置步骤如下。
[DeviceB] security-policy ip
[DeviceB-security-policy-ip] rule name ospflocalin
[DeviceB-security-policy-ip-0-ospflocalin] source-zone untrust
[DeviceB-security-policy-ip-0-ospflocalin] destination-zone local
[DeviceB-security-policy-ip-0-ospflocalin] service ospf
[DeviceB-security-policy-ip-0-ospflocalin] action pass
[DeviceB-security-policy-ip-0-ospflocalin] quit
# 配置名称为ospflocalout的安全策略规则，使Device B可以向Device A发送OSPF协议报文，具体配置步骤如下。
[DeviceB-security-policy-ip] rule name ospflocalout
[DeviceB-security-policy-ip-1-ospflocalout] source-zone local
[DeviceB-security-policy-ip-1-ospflocalout] destination-zone untrust
[DeviceB-security-policy-ip-1-ospflocalout] service ospf
[DeviceB-security-policy-ip-1-ospflocalout] action pass
[DeviceB-security-policy-ip-1-ospflocalout] quit
b. 配置安全策略放行Untrust与Trust安全域之间的流量，放行Area1与Area2之间的流量。
# 配置名称为trust-untrust的安全策略规则，使Trust安全域和Untrust安全域之间的报文互通，具体配置步骤如下。
[DeviceB-security-policy-ip] rule name trust-untrust
[DeviceB-security-policy-ip-2-trust-untrust] source-zone trust
[DeviceB-security-policy-ip-2-trust-untrust] destination-zone untrust
[DeviceB-security-policy-ip-2-trust-untrust] source-ip-subnet 3.3.3.0 24
[DeviceB-security-policy-ip-2-trust-untrust] destination-ip-subnet 2.2.2.0 24
[DeviceB-security-policy-ip-2-trust-untrust] action pass
[DeviceB-security-policy-ip-2-trust-untrust] quit
# 配置名称为untrust-trust的安全策略规则，使Untrust安全域到Trust安全域的报文可通，具体配置步骤如下。
[DeviceB-security-policy-ip] rule name untrust-trust
[DeviceB-security-policy-ip-3-untrust-trust] source-zone untrust
[DeviceB-security-policy-ip-3-untrust-trust] destination-zone trust
[DeviceB-security-policy-ip-3-untrust-trust] source-ip-subnet 2.2.2.0 24
[DeviceB-security-policy-ip-3-untrust-trust] destination-ip-subnet 3.3.3.0 24
[DeviceB-security-policy-ip-3-untrust-trust] action pass
[DeviceB-security-policy-ip-3-untrust-trust] quit
[DeviceB-security-policy-ip] quit
(4) 配置OSPF基本功能
[DeviceB] router id 3.3.3.1
[DeviceB] ospf
[DeviceB-ospf-1] area 0
[DeviceB-ospf-1-area-0.0.0.0] network 1.1.1.0 0.0.0.255
[DeviceB-ospf-1-area-0.0.0.0] quit
[DeviceB-ospf-1] area 2
[DeviceB-ospf-1-area-0.0.0.2] network 3.3.3.0 0.0.0.255
[DeviceB-ospf-1-area-0.0.0.2] quit
[DeviceB-ospf-1] quit
# 查看Device A的OSPF邻居详细信息。
[DeviceA] display ospf peer verbose
OSPF Process 1 with Router ID 2.2.2.1
Neighbors
Area 0.0.0.0 interface 1.1.1.1(GigabitEthernet1/0/1)'s neighbors
Router ID: 3.3.3.1 Address: 1.1.1.2 GR State: Normal
State: Full Mode: Nbr is master Priority: 1
DR: 1.1.1.1 BDR: 1.1.1.2 MTU: 0
Options is 0x42 (-|O|-|-|-|-|E|-)
Dead timer due in 32 sec
Neighbor is up for 00:07:08
Authentication Sequence: [ 0 ]
Neighbor state change count: 5
BFD status: Disabled
# 查看Device A的OSPF路由信息。
[DeviceA] display ospf routing
OSPF Process 1 with Router ID 2.2.2.1
Routing Table
Routing for network
Destination Cost Type NextHop AdvRouter Area
3.3.3.0/24 2 Inter 1.1.1.2 3.3.3.1 0.0.0.0
2.2.2.0/24 1 Stub 0.0.0.0 2.2.2.1 0.0.0.1
1.1.1.0/24 1 Transit 0.0.0.0 2.2.2.1 0.0.0.0
Total nets: 3
Intra area: 2 Inter area: 1 ASE: 0 NSSA: 0
# Area 1中的主机与Area 2中的主机可以互相Ping通。
不同款型规格的资料略有差异, 详细信息请向具体销售和400咨询。H3C保留在没有任何通知或提示的情况下对资料内容进行修改的权利!
支持
