OSPF详解：从原理到排障的链路状态协议指南

做网络这一行，很难绕开OSPF。别管你是刚接触路由交换的新人，还是在园区网、数据中心里摸爬滚打多年的老手，总会碰到这个名字——OSPF，全称Open Shortest Path First，开放最短路径优先。它是我个人认为目前用得最广、也最值得吃透的内部网关协议。标题看着简单，但想真正弄明白OSPF在干什么、为什么这么设计、配置时有哪些坑，确实需要系统捋一遍。这篇文章我就以实际工程视角，把它从头到尾拆开讲清楚，从设计思路讲到配置验证，再讲到现场排障，尽量让零基础的人也能看懂，让有经验的人也能查漏补缺。

先给刚入门的朋友一句话定性：OSPF是一种运行在路由器之间的链路状态路由协议，它让网络上每一台路由器都能掌握整个区域的网络“地图”，然后各自用最短路径算法算出最佳路由。相比那些只知道“下一跳往哪走”的距离矢量协议，OSPF最大的优势是收敛快、无环路、支持层次化设计，所以在中大型网络里几乎是标配。下面咱们进入正题。

1. 先搞清楚OSPF解决的是哪个麻烦

1.1 距离矢量协议的死穴

早年间网络里跑得比较多的是距离矢量协议，典型代表是RIP（Routing Information Protocol）。它工作的逻辑特别像问路：你问A“去B怎么走”，A说“我听说往C走能到B，距离是两跳”；你再信A，但你根本不知道C是谁，也不知道这条路是不是绕了远。每台路由器只是把“我听说来的路”原封不动告诉别人，这就是“传言路由”（Routing by Rumors）。

这在简单网络里没问题，网络一大问题就来了。距离矢量协议用跳数当度量，只要在15跳以内，它就认为路是通的；环路检测靠的是最大跳数和水平分割这些“事后补救”手段。一旦网络拓扑发生变化，比如某条链路断了，信息要一台一台路由器慢慢传，整个网络要花很长时间才能收敛，这就是常说的“慢收敛”。慢收敛期间，数据包很容易在环路里转圈，网络质量急转直下。

我在一个老园区网项目里接手过一段满是RIP的网络，核心层到汇聚层有三条链路，平时没什么事，但每次割接或端口闪断，全网路由表要抖动好几分钟，监控平台上一片告警，业务部门电话直接打到机房。那次之后我就下定决心，能让OSPF上岗的，绝不用距离矢量协议。

1.2 链路状态思路：地图思维替代路牌思维

OSPF的处理方式完全不同。它不是靠“听说”，而是每台路由器都主动向全网通告自己有哪些直连链路、链路开销是多少、邻居是谁。这个过程叫链路状态通告（LSA）。所有LSA汇总在一起，就形成一份链路状态数据库（LSDB），相当于每台路由器手里都有一张完整的网络地图。

有了地图之后，路由器以自己为根节点，运行SPF算法（Dijkstra算法），算出到每个目的地的最短路径树，然后把自己在树上的路径放进路由表。因为全网路由器拿到的地图是同一份，所以算出来的路由天然没有环路，而且只要拓扑一变，路由器立刻重新计算，收敛速度比距离矢量快得多。

这个思路用生活类比讲：距离矢量像蒙着眼靠路人指路，链路状态像自己拿着高德地图导航，哪个更靠谱一目了然。

当时我带上新团队做网络架构改造，从RIP迁移到OSPF，一个两百多台设备的网络，收敛时间从几分钟降到秒级，这就是本质差异。

2. 掌握OSPF的几个核心概念

2.1 Router-ID：你在全网里的“身份证”

OSPF协议要正常工作，首先得解决“身份识别”问题。每一台运行OSPF的路由器都需要一个全网唯一的Router-ID，它是一串IPv4地址格式的数字，用来标识这台路由器。实际上邻居关系建立、LSA通告、SPF计算，都靠Router-ID区分设备。如果两台设备的Router-ID重复，OSPF邻居关系会反复震荡，路由表也会跟着抽风。

Router-ID的选举规则很机械：优先使用手工配置的router-id命令指定的值，如果没手工配，就选择设备所有Loopback接口中IP地址最大的一个，再不行就选择物理接口中IP地址最大的一个。这里我用得最多的经验是：不管设备有没有Loopback口，一定手工为每一台路由器配置Router-ID，而且最好用Loopback地址，这样不管物理链路怎么抖，Router-ID都不会变。别把Router-ID配置成某个物理接口地址，万一接口down了，虽然OSPF进程一般不会立刻重启，但会带来不必要的麻烦，特别是跟其他协议配合时容易出问题。

2.2 区域：拆分大网的关键

如果整个网络的所有路由器都在同一个区域里，每台路由器都要保存全网的LSDB，网络越大，LSDB越大，SPF计算耗时越长，一条链路变化还会引起全网重算。这就是OSPF引入区域概念的动机。

OSPF把网络划分成多个区域（Area），区域内部的路由器只保存本区域的详细链路状态，区域之间通过汇总后的路由信息联系。注意，所有区域必须连接到骨干区域Area 0，跨区域通信都得经由骨干区域中转。这个设计有点像公司组织架构：每个部门内部事情自己搞定，但跨部门协调一定走总裁办。区域划分得当，既能缩小SPF计算规模，又能隔离故障爆炸半径。

2.3 DR与BDR：给广播网络配“发言代表”

OSPF在以太网这种多路访问网络上会遇到一个效率问题：如果网络里有五台路由器，两两之间都要建立邻居关系并交换LSA，要建立10对关系，报文满天飞。解决方法是选举指定路由器DR（Designated Router）和备份指定路由器BDR（Backup Designated Router）。

所有非DR/BDR路由器（叫DROther）只和DR、BDR建立完全的邻居关系，交换LSA信息也走DR中转。DR相当于会议室的主持人，BDR是候补主持，其他人不要私下交头接耳，有事跟主持人说，主持人统一广播。这样的话，五台路由器原本10对关系就缩减成了4对（每台DROther跟DR和BDR各一对，DR和BDR之间一对），大大减少了协议开销。

选举规则基于接口优先级（默认1，范围0到255）和Router-ID，优先级高者当选，优先级相同则Router-ID大者当选。很重要的一点：DR和BDR的选举是非抢占式的，也就是说新加入的设备哪怕优先级更高，也不会把已有的DR赶下台，只有当DR失效后BDR顶上，再重新选举。所以实际排错时经常发现，某台不咋样的设备成了DR，别奇怪，这是先来后到的规则结果。

2.4 Cost：OSPF自己的路径度量

RIP比跳数，OSPF比Cost（开销值）。接口的Cost等于参考带宽除以接口带宽，默认参考带宽是100Mbps。比如一个千兆口的默认Cost就是100/1000=0.1，但Cost不允许小数，所以计算结果是整数1；百兆口Cost也是1。这就导致千兆口和百兆口在默认情况下Cost一样，OSPF会认为两条链路等价，做负载分担，这显然不合理。

在工程中我习惯先把参考带宽调大，比如全网用命令把参考带宽改成10000（即10Gbps），这样千兆口Cost=10，万兆口Cost=1，百兆口Cost=100，路径选择就正常了。注意，参考带宽的调整必须在全网所有路由器上统一配置，否则不同设备对同一条链路的Cost理解不一致，会出现路由环路或者次优路径。

Cost是OSPF选路的核心依据，SPF算法就是累积Cost值找一条从根到目标总开销最小的路径。

2.5 邻居表、链路状态数据库、路由表，三张表分清

OSPF运行过程中，每台路由器会维护三张核心表，这个一定要理清，因为它直接关系到排障思路：

第一张是邻居表，记录着本设备与哪些路由器建立了OSPF邻居关系，状态是几。这是最底层的一张表，邻居都没建立起来，后面的都免谈。

第二张是链路状态数据库（LSDB），存储从邻居收到的所有LSA。这张表正常情况下在同一区域内所有路由器应该完全一致，我排障时经常用它判断问题出在哪——如果区域内两台路由器的LSDB不一致，说明有LSA同步异常的情况。

第三张才是路由表，由SPF算法基于LSDB计算得出。看路由表时要注意区分OSPF内部路由（区域内、区域间）和外部路由，它们在表中会通过不同类型标示出来。

三张表的关系就是：邻居表是基础，LSDB是原料，路由表是成品。排障时从上往下查，先把邻居状态搞清楚，再看LSDB一致不一致，最后才看路由表为什么缺路由，这个顺序能省很多时间。

3. OSPF是怎么“认识”一台新设备并算出路由的

3.1 五类报文，各自干什么活

OSPF的运作靠五种报文协作，我用大白话给它们排个角色：

Hello报文是“打招呼”，周期性发送，用来发现邻居和维护邻居关系。就好比楼上楼下每天早晚问个好，确认你还活着。Hello里包含了Router-ID、区域ID、Hello间隔、Dead间隔、认证信息、DR/BDR等关键参数，这些参数必须匹配才能建立邻居。

数据库描述报文（DBD）是LSDB的目录摘要，两台路由器刚建立关系时，互相交换的不是全部LSA，而是先给对方目录。就像搬家时先给对方一份物品清单，让对方知道家里有没有感兴趣的东西。

链路状态请求报文（LSR）是“我要详情”，看完目录之后，发现自己缺哪些LSA，就向对方发起请求，要求把指定的LSA完整发过来。

链路状态更新报文（LSU）是“送货上门”，真正承载完整的LSA内容，收到后对方会把它放进自己的LSDB。

链路状态确认报文（LSAck）是“签收回执”，确认收到LSU，如果发送方没收到确认会重传。这套机制保证了LSA在网络里可靠传输。

3.2 七个状态机，邻居关系从无到Full

OSPF邻居状态变化有点像谈恋爱，从陌生人一步步变成知己，这个过程用状态机描述，一共七个状态，排障时看得最多的也是这些。

Down状态是初始状态，接口上还没有收到任何Hello报文。接着收到对端发来的Hello，但对方没在报文中看到我自己的Router-ID，进入Init状态。如果对方在Hello里看到了我，说明双方都感知到了彼此，进入Two-Way状态。到这一步，广播网络上就开始选举DR/BDR了，多路访问网络中绝大多数邻居关系会停留在Two-Way，这是一种正常状态，别忘了只有DR和BDR才需要继续走下去。

如果本设备是DR或者BDR，就要跟对方交换DBD报文，进入Exstart状态，此时双方要协商主从关系，确定谁先发DBD。协商完成进入Exchange状态，双方交换DBD摘要，然后根据摘要比对LSDB，如果发现缺的LSA，就进入Loading状态，通过LSR/LSU来补全。当所有缺失LSA都同步完，双方LSDB一致，进入Full状态，此时才算建立起完全的邻接关系，可以正常交换路由信息了。

这里面有个常见误解：很多人以为所有邻居都必须到Full才算正常。实际上在广播网络中，只有DR和BDR与每台DROther之间是Full，DROther之间通常停留在Two-Way。所以查看邻居表时，看到有大量Two-Way邻居不用慌，这是选举机制下的正常现象。

3.3 LSDB同步与SPF计算

邻居关系建立完成后，同一区域内的所有路由器LSDB完全一致。但LSDB一致不代表路由表一致，每台路由器会以自己为根，对自己的LSDB运行一次SPF计算，算出的最短路径树各不一样，最终生成的IP路由表自然也不一样。

SPF计算的细节可以聊两点：一是计算是增量式的，拓扑没有变化时不会重新全量计算，只有收到某种特定LSA才触发部分重算，所以OSPF在稳定阶段CPU消耗很低；二是OSPF进程支持等价路由，当计算出来到同一目的地存在多条Cost一样的路径时，会同时放进路由表做负载分担。在大型网络中，合理利用等价路由能让链路利用率更高。

LSDB的同步靠洪泛机制来保证，一台设备收到新的LSA后，会给所有OSPF邻居都转发一份，除非这条LSA是从邻居那边收到的（这种情况下只确认不转发，防止环路）。等全网设备都收到了同一份LSA并各自插入LSDB后，区域内就同步完成。

4. 区域设计：为什么非要有Area 0

4.1 洪泛风暴与LSA扩散

在没有区域的单区域网络里，任何一条链路状态变化，都会以洪泛的方式扩散到全网每一台路由器。假设全网有300台路由器，一条链路抖动，300台内的每台都要收到LSA并重新跑一遍SPF计算，这个冲击波会在全网放大。

区域划分就是为了控制洪泛半径。LSA只在同一区域内扩散，区域边界设备会把区域内路由汇总后以更简洁的形式通告到别的区域，别的区域里的设备不需要知道这个区域内每一条链路的细节，只需要知道“去那个区域往哪个方向走就行”。这个机制和城市交通非常像：你从A城区去B城区，不需要知道B城区的每一条小巷子，只要知道有几个主干道入口就行。

4.2 骨干区域和ABR/ASBR

设计OSPF多区域必须理解三个角色：区域内路由器、区域边界路由器（ABR）、自治系统边界路由器（ASBR）。

ABR是同时连接Area 0和至少一个非骨干区域的路由器。它负责把非骨干区域的路由信息转换成Type 3 LSA（网络汇总LSA）通告进骨干区域，也把骨干区域的路由信息汇总后通告进非骨干区域。所有跨区域流量都经过ABR，所以ABR性能要足够好，而且双ABR冗余是标准做法。

ASBR是引入外部路由（比如重分发静态路由、其他协议路由）的路由器。连接外部网络的区域叫边缘区域，ASBR会把外部路由以Type 5 LSA的形式在整个OSPF自治系统内扩散，若是在特殊区域如NSSA中则会用Type 7 LSA转换。

需要特别强调的是，所有非骨干区域必须直接或通过虚链路逻辑上连接到Area 0，这不是性能建议而是硬性规则，违反这一条，区域间路由就学不到。

4.3 单区域与多区域怎么选

网络规模不大时，比如一台核心加几台接入的小型园区，单区域完全够用，简单、可靠、排错方便。但网络扩展到几十台设备以上，或者有多个独立业务网络需要互联时，多区域设计就成了必然。

我的习惯是：核心设备全部放Area 0，汇聚设备作为ABR把各业务区划分到不同Area，如果某个区域没有直连骨干的条件，就通过虚链路临时拉通。多区域的好处一是SPF计算规模显著下降，二是链路变化被控制在单个区域内，故障隔离明显；坏处是配置与排错复杂度上升，对工程师OSPF理解深度要求更高。所以不要在不需要的时候为了“显得专业”硬切多区域，要结合实际规模来定。

5. 手把手配置一个最小OSPF场景

5.1 单区域环境配置

纸上谈兵够多了，直接上配置。假设三台路由器组成一个简单网络，R1连R2，R2连R3，三台都在Area 0。网段规划：R1与R2之间是10.0.12.0/24，R2与R3之间是10.0.23.0/24，另外每台路由器有一个Loopback口做标识：R1用1.1.1.1/32，R2用2.2.2.2/32，R3用3.3.3.3/32。

在R1上的配置大概是：

router ospf 1 router-id 1.1.1.1 network 10.0.12.0 0.0.0.255 area 0

R2上则要宣告两条网段：

router ospf 1 router-id 2.2.2.2 network 10.0.12.0 0.0.0.255 area 0 network 10.0.23.0 0.0.0.255 area 0

R3类似R1，宣告10.0.23.0/24到Area 0即可。注意OSPF的network命令里用的是通配符掩码，跟ACL一样，0.0.0.255表示只匹配前24位。很多人刚学时习惯写成255.255.255.0，这是错的，OSPF里这么写不生效。

Loopback接口地址要不要用network命令宣告，取决于你希不希望它作为路由出现在OSPF里。如果希望全网都能ping通Loopback地址，就宣告；如果只是用来做Router-ID，不宣告也行。工程上通常会把Loopback地址宣告进OSPF，方便后续管理、traceroute、建立隧道等。

5.2 多区域配置与ABR写法

多区域的配置关键在ABR上。沿用上面的拓扑，假设R2同时连接另一个区域Area 1，网段是10.0.34.0/24，而且R3恰好也在这个网段里。那么把R2与R3之间这条链路规划到Area 1，拓扑就变成了R1、R2之间是Area 0，R2、R3之间是Area 1，R2就是ABR。

部分配置如下：

R1还是把10.0.12.0/24放进Area 0。R2上：

router ospf 1 router-id 2.2.2.2 network 10.0.12.0 0.0.0.255 area 0 network 10.0.23.0 0.0.0.255 area 1

R3也把10.0.23.0/24放进Area 1：

router ospf 1 router-id 3.3.3.3 network 10.0.23.0 0.0.0.255 area 1

这样R1和R3就分属两个区域，但通过R2这台ABR，R1能学到去往10.0.23.0/24的路由，R3也能学到去往10.0.12.0/24的路由。注意R2自己同时拥有两个区域的LSDB，但不会把Area 0的链路状态细节直接灌进Area 1，它只是把路由信息翻译成汇总LSA给R3。

5.3 验证命令与排障入口

配置完别急着走人，验证是重头戏。我最常敲的验证命令有这样几条：

查看OSPF邻居状态：

show ip ospf neighbor

注意看State这一列。点对点链路上正常是Full/，广播型链路上DR/BDR与邻居是Full/，DROther之间是Two-Way/。

查看OSPF进程概况和Router-ID：

show ip ospf

这里能看到进程号、Router-ID、区域数量、SPF计算次数等，排查Router-ID不符问题时第一眼就看它。

查看路由表里OSPF路由条目：

show ip route ospf

重点看有没有缺路由，以及等价路由是否正常出现。如果OSPF进程里明确有路由，但全局路由表里没有，多半是路由过滤或管理距离问题。

查看LSDB：

show ip ospf database

检查LSDB是否一致可用这条命令查看LSA类型和序列号，如果某台设备缺某种LSA，就按“邻居→LSDB→路由表”的顺序逐层查。

6. 现场排查遇到的坑

6.1 邻居一直卡在Init或Two-Way动不了怎么办

这是最常遇到的问题。卡在Init状态说明本端收到了对端的Hello，但对端没有在本端的Hello里看到自己的Router-ID。最常见的原因是对端接口被划入错误的区域，或者两端区域ID不一致，又或者Hello报文中认证参数不匹配。解决办法先看两端接口是否都加入了同一个Area，再看认证配置是否一致。如果网络里开了认证，要确保认证类型和口令完全一样，否则Hello就会被丢弃。

卡在Two-Way不往Full走，如果两端都是广播型接口，通常不是故障而是DR选举的预期结果——非DR设备之间本来就不会完全邻接。但如果两端是点对点链路还停在Two-Way，就检查两端接口类型是否都正确配置为点对点。

6.2 卡在Exstart/Exchange：先怀疑MTU

邻居关系卡在Exstart或Exchange状态反复协商，优先级最高的排查项就是接口MTU不匹配。DBD报文里携带了接口MTU信息，如果两端MTU不一致，协商就无法完成。我之前在一个混合厂商设备的网络里踩过这个坑，一端1500一端9000，结果邻居一直Exstart，路由不通。把两端MTU改成一致后，几秒钟就Full了。

这种问题隐蔽性高，因为物理链路和链路层都是通的，ping也通，但OSPF死活建不起来邻居。看日志会看到不断的DBD重传，但不会直接报“MTU mismatch”，需要自己想到这一层。

6.3 网络类型不一致导致邻居起不来

OSPF接口网络类型可以手动改。一边是以太网接口默认的广播型，另一边却手动配成了点对点，或者一边配了静默接口，就可能出现“单向邻居”。在广播型网络上会选DR，点对点不选，这两端对邻居关系的预期就不一致，导致状态一直init或者收到Hello后没有回应。

我在某园区项目里发现汇聚交换机与核心之间CPU占用偏高，查下来是大量OSPF报文触发了控制面限速，调整网络类型为点对点后协议开销立刻下降。原因是点对点模式下没有DR选举，也不需要每10秒和所有邻居泛洪Hello，广播网络上所有路由器之间要建立邻居，开销大得多。

6.4 Router-ID冲突或变更引起的震荡

Router-ID冲突是最阴间的故障之一。两台设备配了同样的Router-ID，邻居关系会一直在Down和Init之间抖动，LSA不断重复泛洪，路由表跟着闪断。排查时手动查看各设备的Router-ID，别只信配置文档，因为有些设备如果没有显式配置Router-ID，会自动选最大的Loopback地址，两台设备最大Loopback地址相同是完全可能发生的。

另外注意，修改Router-ID后必须重启OSPF进程才能生效。我见过有人改了router-id命令后满世界找问题，结果OSPF进程没重启，还是旧Router-ID在跑，白费了半天功夫。

6.5 常见问题速查表

为了方便现场翻用，我整理一张速查表：

6.6 其他几个值得养成的习惯

平时运维OSPF网络，我的建议是先把全网的Router-ID规划和接口Cost规划做成表格。Router-ID统一用Loopback地址，Cost根据链路带宽事先算好，全网统一口径。这样无论是开局配置还是后期排查，都能少走很多弯路。

另一个习惯是给OSPF配置认证，哪怕是实验环境也配上。OSPF本身是明文传递路由信息，一旦网络被接入一台恶意设备，它可以伪造Hello报文加入OSPF域，甚至通告错误路由把流量引走。使用MD5或HMAC认证后，邻居关系建立前先验证身份，能挡住绝大多数低级风险。别忘了修改认证后两端都要同步更新，否则邻居会断开。

调试时多用debug命令，但注意生产环境慎开debug，它打印量大，会打爆CPU。我通常在低峰期开一两分钟就关。另外，写变更脚本前先备份配置，再准备回退步骤，做网络这行，稳字当头。

7. 最后再分享一点个人体会

说完这些，对“什么是OSPF”这个问题，你心里应该已经有了完整答案：它不只是命令，更是一整套链路状态思路和工程经验。我这些年做网络下来，最大的体会是OSPF的排障本质上是在查“三张表”——邻居表、LSDB、路由表，所有问题都藏在这三条链路里。新手遇到邻居起不来的第一反应不要是怀疑玄学，老老实实按状态机往下查，80%的问题半小时内能定位。等你能不看文档就画出区域的LSA流向，闭上眼睛能说出ABR上路由怎么汇总，OSPF这关才算真过了。后面有机会我再写一篇关于OSPF特殊区域和路由重分发的文章，那些才是高阶网络设计里更有意思的部分。