中小型网络OSPF与静态路由组合配置实战：从选型到排错

接手过一个两百多人的公司网络改造，设备不多不少，三层交换机七八台，出口两条线。原网络管理方式很原始——核心交换机写一堆静态路由，汇聚设备也写，接入层偶尔还冒出几条指向不明网段的静态路由。看着路由表密密麻麻，实际一断链路就四处救火。后来我们把内网改成OSPF动态路由，出口保留静态路由兜底，整个运维轻松了一个量级。

这个项目其实非常典型：中小型网络规模不大，但业务连续性要求不低，既有内网多路径冗余的需求，又有出口链路切换的诉求。纯静态路由维护成本高，纯动态路由在某些边界场景又不够干净利落。真正的做法是把OSPF动态路由和静态路由按各自擅长的场景组合起来，各管一段，互不干扰又互相兜底。这篇就把这类网络搭建从选型到配置再到排错，完整拆开讲透，适合正在做中小型网络规划，或者刚接手类似网络的运维朋友参考。

1. 先搞清楚规模再选协议：中小型网络的路由选型逻辑

1.1 “中小型”到底什么量级？影响路由方案的核心因素

很多人对“中小型网络”没概念，以为就是几台路由器串一起。实际上，我这里讨论的中小型网络有比较明确的画像：终端数量大概50到500台，三层设备3到10台，机房1到3个，有核心层和接入层的区分，甚至还有服务器区域、办公区域、生产区域的划分。这个量级的网络，有个显著特点——单台设备故障不能影响全网，但又不至于需要上BGP、Segment Routing这类重型方案。

这个量级决定了路由方案的复杂度。拿我那个项目举例，全网大概有20多个业务网段，分布在三栋楼里。如果全用静态路由，核心交换机上至少要维护二十几条静态路由，汇聚设备上也要维护各自相关的明细路由。问题是，中小型网络的结构经常调整——新加一个摄像头网段、调整一个访客Wi-Fi网段，每次都要登录好几台设备改路由，漏改一条就出故障。而OSPF的好处是，只要在设备上宣告对应的网段，全网路由自动同步。

但这个规模又不像大型网络那样需要复杂的多区域设计。大型网络动辄几十台设备、上千条路由，才需要拆成多个OSPF区域来缩小LSDB规模、控制路由洪泛范围。中小型网络设备数量少，路由条目撑死几十条，强行分区域反而增加了ABR（区域边界路由器）这个故障点。所以我的结论是：中小型网络优先考虑单区域OSPF，等规模真的起来了再拆区域也不迟。

下表是我给中小型网络路由选型时常用的判断依据：

1.2 静态路由与OSPF的分工：谁管内部，谁管出口

在中小型网络里，静态路由和OSPF不是二选一的对立关系，而是各有明确分工的配合关系。我的习惯是：内网网段之间的互联互通，全部交给OSPF；连接运营商出口、专线对端这类“外部世界”的路由，用静态路由写在边界设备上。

为什么内网用OSPF？因为内网的特点是网段多、链路多、变化频繁。OSPF作为链路状态协议，每台设备都维护全网拓扑，某条链路断了，所有设备能同时计算出新的最优路径，收敛速度通常在秒级以内。这在静态路由下很难做到——静态路由不会自动切换，除非你搭配NQA检测、策略路由这些额外手段。

为什么出口用静态？因为出口路由的特点恰恰是“路径固定、下一跳清晰”。比如公司两条出口链路，一条电信一条联通，指向运营商网关的下一跳地址是固定的，不存在链路选择和多路径计算的问题。这种情况下用静态路由最稳妥，因为它不依赖任何协议状态，配置即永久有效。而且静态路由不会参与OSPF的链路状态计算，天然隔离了运营商侧路由震荡对内网的影响。

说到底，这是一个“信任边界”的问题。内网是自己的地盘，链路状态变化应该全网感知、快速响应，所以用动态路由；出口是外部环境，我们要的是一刀切的下一跳，不希望运营商的任何路由变化通过协议渗透到内网，所以用静态路由把边界死死包住。

1.3 什么时候只配静态，什么时候必须上OSPF

给一个最简单实用的判断标准：如果网络里存在两条以上到同一个目的网段的冗余路径，或者三层设备数量超过3台，我就建议上OSPF。达不到这个条件，静态路由完全够用。

我见过不少反面案例。有人觉得公司规模不大，三台交换机用静态路由互相指一指就完了。结果某一天核心交换机的上行光模块老化导致链路频繁抖动，静态路由没有感知能力，业务直接中断，而且故障定位费了很长时间——因为静态路由的故障表现是“时好时坏”，误以为设备性能问题。如果跑OSPF，链路抖动会立刻反映在邻居状态变化上，而且会自动切换到备用路径。

也有另一个极端：有的网络明明只有两台路由器背靠背连着，还把OSPF、BGP全配上，纯属给自己找不痛快。两台设备一条链路，没有收敛需求，没有路径选择需求，静态路由两三行就搞定的事，非要搞一个动态协议去维护邻居状态，出了问题排查链路更长。

所以关键不是“用不用OSPF高级”，而是“网络有没有让OSPF发挥价值的环境”。多条路径、多台设备、需要快速故障切换——这三个条件满足任何一个，就值得上OSPF。都不满足，静态路由是更优解。

2. 规划先行：区域划分、Router ID与网关冗余设计

2.1 拓扑与OSPF区域映射：单区域还是双区域，ABR用不用

中小型网络的最常见拓扑是核心-接入两层结构，或者核心-汇聚-接入三层结构。这两种结构映射到OSPF时，我的建议是：两层结构全部放进区域0；三层结构如果汇聚设备数量不多（一般不超过4台），也建议全部放区域0。只有服务器区域、或者需要隔离的特殊业务区域，才单独划分一个区域并接在ABR下面。

为什么这么建议？因为OSPF单区域最大的好处是配置简单、故障排查直观。所有设备都在同一个区域里，没有区域间路由汇总的问题，没有ABR的LSA转换开销，任何一台设备都能看到完整的网络拓扑。中小型网络的LSDB（链路状态数据库）规模很小，单区域完全不会造成资源压力，所以没必要为了“规范”而强行拆区域。

但有一种情况我建议拆区域：服务器区或核心业务区需要独立控制对外路由的传播。举个例子，服务器区有几十台物理服务器，承载着各种业务网段。如果这些网段都在区域0里，任何一个接入交换机上的网络调整都可能引起全网的SPF重算。把服务器区划到区域1，挂在核心交换机（同时作为ABR）下面，区域1内部的路由变化就被限制在区域1里，不会干扰办公网。

再说一下ABR。ABR是连接区域0和其他区域的边界路由器，负责把区域内的路由转换成区域间路由并通告出去。中小型网络里，ABR通常就是那两台核心交换机。这里要特别注意：ABR上不能只配一个区域，否则它就不是ABR了。很多人在核心交换机上只配置了区域0，导致想新增一个区域时发现路由传递有问题，根源就是ABR的角色没有建立起来。

2.2 Router ID手动指定：别让设备自己猜

Router ID是OSPF路由器在自治系统内的唯一标识，一台设备如果没有手动配置，就会按照“最大Loopback接口地址优先，否则最大物理接口地址优先”的规则自动选举。这种自动选举在生产网络里非常危险——假设设备的Router ID自动选成了某个业务网段的接口地址，一旦这个接口down掉，设备的Router ID会重新选举，所有邻居关系都会重建，整个网络的OSPF流量要重新收敛一次。

我接手过的网络里就出过这个事。一台核心交换机上有一个接入接口偶尔闪断，每次闪断，因为Router ID自动选到了这个接口地址上，整个核心层的OSPF邻居全部重置，全网业务卡顿半分钟。后来把所有设备的Router ID全部手动指定为Loopback地址，这个问题彻底消失。

Router ID的规划有个常见做法：取设备编号加网段规律。比如核心交换机1的Router ID是1.1.1.1，核心交换机2是2.2.2.2，汇聚交换机是3.1.1.1、3.2.2.2等。这样从Router ID一看就知道是哪台设备，排错时非常直观。

配置上很容易，三行命令：

[H3C] ospf 1 router-id 1.1.1.1

没配过Router ID的设备改起来要注意：修改Router ID后必须重启OSPF进程或设备才会生效，所以最好在开局配置时就定下来，后期尽量避免改动。

2.3 二层冗余与三层冗余联动：MSTP、VRRP与OSPF的配合

中小型网络基本都会碰到一个组合拳：核心交换机两台做冗余，接入交换机双链路上行，服务器网关放在核心交换机上。这个场景里同时存在二层防环、三层网关冗余、三层路径选择三件事，分别对应MSTP、VRRP、OSPF三个协议。

二层防环用MSTP多实例生成树。建议把不同业务VLAN划分到不同实例里，让两条上行链路分别承载不同实例的流量，实现负载分担而不是一台设备全部承载。三层网关冗余用VRRP，在两台核心交换机上配置同一个虚拟IP作为终端网关。三层路径选择用OSPF，让上行链路状态变化能被核心设备感知并切换路径。

这三者必须联动思考。很经典的坑是：接入交换机两条链路分别连着两台核心交换机，MSTP阻塞了一条，但OSPF不知道这个阻塞状态，还在通过那条被阻塞的链路建立邻居关系、计算路由。结果是OSPF认为有两条可用路径，实际流量走到阻塞链路上就被丢弃了。

解决办法是让MSTP的端口状态和OSPF的接口状态联动。H3C设备上可以通过在接口下配置stp disable或者使用边缘端口等方式避免这个冲突，更规范的做法是使用Smart Link或Monitor Link这类链路联动特性，让二层阻塞状态触发三层接口down。不过在绝大多数中小型网络里，最实用的做法是接入交换机到核心交换机的互联接口直接配置为STP边缘端口，同时OSPF的Cost按实际链路带宽手工调整，确保OSPF计算出的最优路径和STP的实际转发路径一致。

VRRP那边的配合也不可忽视。两台核心交换机上，VRRP主设备和OSPF的DR最好保持一致。VRRP负责网关冗余，OSPF负责路由转发，如果VRRP主设备上OSPF邻居不正常，而备用VRRP设备上OSPF正常，就会出现终端网关能ping通，但跨网段访问不通的诡异现象。排查这类问题时，我第一个步骤永远是核对VRRP主备状态和OSPF邻居状态是否匹配。

3. 静态与动态协同实战：缺省路由、特殊区域与优先级

3.1 出口缺省路由：用静态最干净，OSPF负责下发

中小型网络访问互联网，核心交换机上通常只需要一条缺省路由，指向出口设备（防火墙或路由器）。这条缺省路由我用静态路由写，不跑OSPF和运营商之间协商。

具体做法是：在出口防火墙上配置到运营商网关的默认路由，同时在内网核心交换机上配置一条静态缺省路由指向防火墙的内网接口，然后通过OSPF把这条缺省路由在内部网络中通告出去，让所有三层设备都能通过OSPF学到缺省路由。

OSPF发布缺省路由的标准做法是在核心交换机（ASBR）上配置：

[H3C] ospf 1 [H3C-ospf-1] default-route-advertise

这条命令让核心交换机把自己路由表里的缺省路由（也就是那条指向防火墙的静态缺省路由）通过Type 5 LSA下发到整个OSPF域内。全网设备会自动生成一条指向核心交换机的OSPF缺省路由。

这里有个细节很多人忽略：default-route-advertise默认只在本地路由表里存在缺省路由时才会下发。如果静态缺省路由因为某些原因消失了，OSPF下发的Type 5 LSA也会撤销，全网设备会立刻失去缺省路由。为了防止这种连锁故障，可以加always参数，让设备不管本地有没有缺省路由，都强制向OSPF域内通告缺省路由：

[H3C-ospf-1] default-route-advertise always

但always参数要慎用。它相当于告诉全网设备“我这里有出网能力”，如果实际上出网链路已经断了，这个通告会产生黑洞路由，流量全部被吸到这台设备上然后丢弃。所以我通常不加always，宁可让缺省路由随物理链路状态自然撤消，让上层路由策略来决定流量走向。

3.2 服务器区用NSSA还是普通区域？外部路由怎么进

服务器区单独划分一个OSPF区域之后，会遇到一个问题：这个区域需要引入外部路由，例如指向存储网络、备份专线的静态路由，或者其它非OSPF协议学习的路由。如果服务器区是普通区域，这些外部路由会以Type 5 LSA的形式在整个OSPF域内泛洪。如果希望这些外部路由不要传播到办公网区域，就需要把服务器区配置为NSSA区域。

NSSA（Not-So-Stubby Area，非完全末梢区域）和Stub区域的核心区别在于：Stub区域不允许存在ASBR，不能引入外部路由；NSSA区域允许存在ASBR，可以引入外部路由，但引入的外部路由只以Type 7 LSA的形式在NSSA区域内传播，离开区域时由ABR转换成Type 5 LSA。

对服务器区来说，NSSA是很好的选择。服务器区里经常需要配置指向备份存储或第三方专线的静态路由，这些“外部路由”不需要让办公网所有设备都知道。配成NSSA后，外部路由在区域边界就被ABR转化，只有必要的汇总信息进入骨干区域。

配置NSSA也很简单，在服务器区的区域视图下：

[H3C] ospf 1 [H3C-ospf-1] area 1 [H3C-ospf-1-area-0.0.0.1] nssa

如果只是想让服务器区变得更省资源，不允许外部路由进入，可以用Stub区域，区域内的设备只保留区域内的路由和一条指向ABR的缺省路由。总之，划区域之前先想清楚一个问题：这个区域需不需要引入外部路由？需要就NSSA，不需要就Stub，都拿不准就放在区域0里，不用折腾。

3.3 路由优先级与路径选择：静态和OSPF怎么互为主备

静态路由和OSPF同时存在时，路由优先级（协议优先级，H3C里叫Preference）决定了谁的路径优先生效。H3C设备默认的路由优先级规则中，直连路由优先级为0，OSPF内部路由优先级为10，OSPF外部路由优先级为150，静态路由优先级为60。

默认情况下，OSPF内部路由比静态路由优先。这一点非常关键——如果你在核心交换机上写了一条静态路由指向某个内网网段，同时又通过OSPF学到了同一个网段的路由，OSPF会胜出，静态路由写不写都一样，反而容易造成误解。

但反向场景也要注意：如果有一条OSPF外部路由（Type 5 LSA）和一条静态路由同时指向同一目的网段，因为OSPF外部路由优先级150大于静态的60，静态路由反而优先。这两个默认值的差异在实际运维中经常引发奇怪的路由选路问题。

我在出口备份场景里经常利用这个机制做主动切换。比如公司有一条主用专线和一条备用Internet出口，主用专线跑OSPF，备用出口写静态缺省路由。正常情况下，OSPF下发的缺省路由优先级（150或10）比静态的60要低或高取决于具体类型，这里需要手工调整来让预期路径生效。

更常用的做法是给静态路由指定优先级，配合NQA联动检测，实现“主链路断掉后自动切换”的效果。H3C配置示例：

[H3C] ip route-static 0.0.0.0 0.0.0.0 100.1.1.2 preference 100 [H3C] ip route-static 0.0.0.0 0.0.0.0 200.1.1.2 preference 200

上面配置中，100.1.1.2是主用出口，200.1.1.2是备用出口。默认情况下优先级值越小越优先，所以主用出口的静态路由优先生效。当主用出口故障时，只要静态路由的下一跳不可达，备用出口路由自动启用。整个过程不需要OSPF参与，干净利落。

4. H3C设备配置实例：照着敲就能跑通

4.1 基础配置：接口地址、OSPF进程与区域宣告

直接上一个典型的中小型网络配置骨架。场景是：两台核心交换机（SW1和SW2），一台汇聚交换机（SW3），一台出口防火墙（FW）。内网跑OSPF区域0，服务器区单独划分区域1（NSSA），出口用静态缺省路由。

先看核心交换机SW1的配置：

[H3C] sysname SW1 [H3C] interface LoopBack0 [H3C-LoopBack0] ip address 1.1.1.1 32 [H3C-LoopBack0] quit [H3C] interface Vlan-interface 100 [H3C-Vlan-interface100] ip address 10.0.10.1 24 [H3C-Vlan-interface100] quit [H3C] ospf 1 router-id 1.1.1.1 [H3C-ospf-1] area 0 [H3C-ospf-1-area-0.0.0.0] network 10.0.10.0 0.0.0.255 [H3C-ospf-1-area-0.0.0.0] network 1.1.1.1 0.0.0.0

注意几个细节。第一，Loopback地址宣告成32位主机路由，用于稳定邻居关系，同时它也是Router ID的物理承载。第二，network命令后面跟的是反掩码，10.0.10.0 0.0.0.255表示宣告10.0.10.0/24这个网段，别写成255.255.255.0，这是个非常容易犯的初级错误。

SW2的配置类似，Router ID用2.2.2.2。SW3作为汇聚交换机，配置方式和核心一致，把互联接口和业务VLAN接口地址宣告进区域0即可。要注意的是，汇聚交换机如果有业务网段，比如办公网段10.0.20.0/24，务必要把它宣告进OSPF，否则核心交换机学不到这个网段，办公网跨设备访问就会失败。

4.2 静态缺省路由与OSPF联动下发

在核心交换机SW1上配置指向防火墙的静态缺省路由：

[H3C] ip route-static 0.0.0.0 0.0.0.0 10.0.255.2

10.0.255.2是防火墙的内网接口地址。然后让SW1通过OSPF把这条缺省路由下发给内网所有设备：

[H3C] ospf 1 router-id 1.1.1.1 [H3C-ospf-1] default-route-advertise

SW2上也配置同一条静态缺省路由指向防火墙，并开启default-route-advertise。这样两台核心交换机都能下发缺省路由，接入交换机上会学到两条等价的OSPF缺省路由，形成主备冗余。

服务器区配置为例，SW1上单独划一个区域1，配置NSSA，并引入指向备份存储的静态路由：

[H3C] ip route-static 192.168.100.0 24 10.0.50.2 [H3C] ospf 1 [H3C-ospf-1] area 1 [H3C-ospf-1-area-0.0.0.1] nssa [H3C-ospf-1-area-0.0.0.1] quit [H3C-ospf-1] import-route static

import-route static会把静态路由引入OSPF。在NSSA区域里，这条静态路由以Type 7 LSA存在，经过ABR转换后才会进入区域0。如果不需要外部路由进入区域1，只配置nssa即可，不要配置import-route static。

4.3 配置后必做的验证：查邻居、查路由、查优先级

配置完成后，必须依次验证三件事：邻居状态、路由表、路由优先级。验证命令如下：

第一步，查看OSPF邻居：

[H3C] display ospf peer

运行结果显示邻居State为Full时，说明邻接关系建立成功。如果State是Init、ExStart或Loading，说明有问题，需要按下一节的排错链路去查。

第二步，查看OSPF路由：

[H3C] display ospf routing

重点看Destination、Cost和NextHop。目的网段是否齐全、下一跳是否正确、Cost是否符合预期，通过这些信息能判断出路由计算是否合理。

第三步，查看IP路由表中OSPF和静态路由的明细：

[H3C] display ip routing-table protocol ospf static

这条命令会同时展示OSPF和静态路由的路由条目，包括类型、优先级、下一跳。对照前面说的优先级规则，确认哪些路由走了OSPF、哪些走了静态、是否与预期一致。尤其要看缺省路由，确认来源是OSPF还是静态，优先级数值是否符合设计方案。

5. 交付验收与排错实战：那些真会把你卡住的问题

5.1 邻居起不来：从Down到Full的排查链路

OSPF邻居状态卡住不前进，是整个项目里最常碰到的排错场景。我按实际排查顺序给出完整链路。

第一步，确认接口状态。OSPF邻居关系建立的前提是双方接口都是up状态，物理链路不通一切免谈。在设备上执行display interface检查互联接口，确认没有errordown、没有光模块异常。

第二步，检查基本参数匹配。OSPF邻居双方必须在区域ID、进程ID、认证方式、Hello/Dead计时器等方面保持一致。用display ospf interface查看接口上的OSPF参数，和邻居设备逐一核对。最常见的问题是两台设备区域配错——一边是area 0，另一边是area 1。这种配置下双方会一直停在Init状态，永远到不了Full。

第三步，重点检查MTU一致性。这是OSPF邻居卡在ExStart状态的经典原因。OSPF在Exchange阶段会协商DD报文的最大长度，如果互联接口的MTU不一致，双方会反复发送DD报文但始终无法完成主从关系协商，邻居卡在ExStart状态就是典型的MTU问题。检查方法是两端执行display interface，对比MTU值，确保一致。华为和H3C设备上OSPF默认会检查DD报文中的MTU，不一致就拒绝对方成为主设备。

第四步，如果卡在Loading状态，多半是LSDB同步问题，常见原因是链路质量差导致报文丢失。检查display ospf lsdb，看看是否大量缺少LSA条目，然后检查互联链路是否存在误码或丢包。

5.2 路由学不到或学不全：区域边界与过滤策略

邻居状态全部Full了，路由表却不完整，这是第二种高频故障。可能的原因很多，但中小型网络里最常见的就是区域边界配置问题。

比如，你在ABR上配置了OSPF区域0和区域1，但区域1里的某台设备宣告的网段始终没有被区域0的设备学到。这种问题优先检查ABR的配置：ABR上是否正确宣告了区域1的network？如果ABR上只宣告了区域0，没有宣告区域1，那么区域1里的路由就不会被传回区域0。另外，ABR到区域1的接口必须是区域1的成员，如果配置时把接口划错了区域，同样会出现路由缺失。

另一种常见原因是filter-policy误配置。有些人在ABR或ASBR上配置了路由过滤策略，目的是限制某些路由的传播，但过滤条件写得过严，把正常路由也过滤掉了。检查命令是display current-configuration | include filter-policy，看看有没有不合理的过滤策略。

还有一类比较隐蔽的问题，出在多区域汇总上。ABR上配置了area 0 range 10.0.0.0 255.255.0.0这类区域间路由汇总后，如果汇总范围覆盖不到某些实际网段，这些网段的路由就不会被通告到其它区域。所以当发现区域间路由不完整时，除了检查network宣告，还要检查有没有配置region range汇总。

5.3 来回路径不一致：静态优先级和OSPF等价路由在捣乱

最后一类排错案例非常典型：同一个目的网段，静态路由和OSPF路由同时存在，导致来回路径不一致，业务时通时断。这类故障的隐蔽性特别强，因为从单台设备上看路由表完全正常，但整体流量路径已经出了问题。

我举一个实际场景。核心交换机SW1上有一条静态路由指向某台办公网接入设备，同时OSPF又从另一台设备学到的同一网段路由。由于OSPF内部路由优先级比静态路由低（数值10小于60），OSPF路由优先生效，流量走OSPF路径。但你配置静态路由时可能本意是想让流量走更近的路径，结果静态路由根本没参与转发，你的规划就被优先级规则覆盖了。

反向情况也一样：OSPF外部路由优先级150比静态的60高，所以外部路由和静态路由指向同一网段时，静态路由反而优先。这时候需要理解你配置的静态路由到底想干什么，如果确实想让它生效，就得手动调整优先级让静态路由的数值小于OSPF外部路由的150。

解决办法是统一规划。我一般遵循两条原则：第一，同一目的网段的路径只能有一种管理来源，要么全OSPF要么全静态，避免两种来源混用；第二，必须混用时，明确调整preference值来保证选路可预期，并在设备配置注释里写清楚设计意图，防止后来维护的人看不懂而误改配置。

[H3C] ip route-static 10.0.30.0 24 10.0.20.1 preference 20

把静态路由优先级调到20，小于OSPF内部路由的优先级数值10不行（10比20小，所以OSPF仍优先），要小于10才行，比如配成5，这样静态路由才能覆盖OSPF内部路由。上面例子中，配成preference 20实际效果恰恰相反——OSPF仍然优先。实际使用前，务必在设备上确认当前协议默认的优先级数值，再决定调整方向。

5.4 交付前最后要做的三件事

项目收尾前，我一般会强制自己完成三个验证动作。拿终端电脑从接入交换机下的网段发起测试，逐个ping通服务器、办公网段、外网地址，这一步验证全网联通性。然后断开一条核心交换机与汇聚交换机之间的链路，观察业务是否在几秒内自动恢复，验证OSPF快速收敛是否生效。最后把配置保存到启动文件，执行save force，确认重启后配置不丢。

这三个步骤看着基础，但确实帮我拦下过不少问题。有一次就是拔掉模拟链路后发现一台接入交换机下所有终端断网超过一分钟，排查发现那台交换机的OSPF Cost配置有问题，没有形成预期的主备路径。如果没做链路切换测试直接交付，真实故障发生时业务中断的后果就得用户承担了。

另外一个小建议：配置阶段给每台设备写一个简洁的备注，标明这台设备的角色、主要网段、特殊配置原因。中小型网络通常没有专职网管，过了半年来看这些配置的人很可能就是当初配完就走的你。有注释的配置，自己回来看也能少走很多弯路。