HCIE(OSPF防環)

OSPF域間防環

Type-3 LSA及Type-4 LSA的防環

1）OSPF要求所有的非0區域必須與骨幹區域直接相連，區域間路由需經由骨幹區域中轉。OSPF要求所有的非0區域必須與骨幹區域直接相連，區域間（Inter-Area Route）路由需經由骨幹區域中轉。這個要求使得區域間的路由傳遞不能發生在兩個非0的區域之間，這在很大程度上規避了區域間路由環路的發生，也使得OSPF的區域架構在邏輯上形成了一個類似星型的拓撲，如下圖所示

2） ABR只能夠將其所連接的區域的區域內部路由注入到Area0，但是可以將區域內部路由及區域間的路由注入到非0常規區域。ABR從非骨幹區域收到的Type-3 LSA不能用於區域間路由的計算。OSPF對ABR有着嚴苛的要求，區域間的路由傳遞的關鍵點在於ABR對Summary LSA的處理。

在上圖中，如果R3是一臺普通的OSPF路由器（不是ABR），例如當它與R2沒有OSPF鄰居關係時，它會根據R4在Area2中泛洪的Type-3 LSA計算出1.1.1.0/24路由並將路由加載進路由表中。但是當R3與R2建立起OSPF鄰接關係後，R3在Area0中就有了一個活躍的全毗鄰連接，此時如果它把描述1.1.1.0/24路由的Type-3 LSA再注入回Area0，那麼就會帶來潛在環路的風險，如下圖所示：

因此當一臺ABR在非Area0的區域中收到Type-3 LSA時，雖然它會將其裝載進LSDB，但是該路由器不會使用這些Type-3 LSA進行路由計算，當然它更不會將這些Type-3 LSA再注入回Area0中。

這裏有一個有意思的細節，就是如果R3連接R2的接口雖然激活了OSPF（而且屬於Area0），但是不與R2形成鄰接關係（例如R2連接R3的接口不激活OSPF），那麼此時R3其實並不算是嚴格意義上的ABR（雖然它產生的Type-1 LSA中B-bit會被置位，但是它在Area0中並沒有全毗鄰的鄰居），因此它會將Area2內收到的Type-3 LSA用於區域間路由的計算，所以在R3的路由表中能看到1.1.1.0/24的區域間路由（下一跳爲R4），但是一旦R2-R3之間的鄰接關係建立起來，R3將不能再使用R4下發的Type-3 LSA計算路由，而僅能使用從Area0中收到的、R 2下發的Type-3 LSA進行區域間路由計算，所以此時R3路由表中1.1.1.0/ 24路由的下一跳爲R2，而且即使這條路徑的Cost要比從R4走更大（例如將R3連接R 2的接口Cost調大），R3也始終不會走R4到達1.1.1.0/24，除非R2掛掉，或者R2-R3丟失鄰接關係。這個現象在思科、華爲的真機上驗證過了，兩者均是如此實現

3） ABR不會將描述一個Area內部的路由信息的Type-3 LSA再注入回該區域中。
實際上，OSPF區域間路由的傳遞行爲，很有點距離矢量路由協議的味道。以下圖爲例

在Area1中，R1及R2都會泛洪Type-1 LSA、Type-2 LSA，兩臺路由器都能夠根據這些LSA計算區域內路由，而R2作爲ABR還擔負着另一個責任，就是向Area0通告區域間的路由，實際上它是向Area0中注入用於描述Area1內路由的Type-3 LSA，而這些Type-3 LSA是不會發回Area1的——是的，類似水平分割行爲對吧？接下來R3利用這些Type-3 LSA計算出了區域間的路由，並且爲Area2注入新的Type-3 LSA用於描述區域間的路由，而這些Type-3 LSA同樣的不會被注入回Area0。
R2在向Area0通告Type-3 LSA，爲每條區域間路由攜帶上Cost值，這個值就是它自己到達各個目標網段的Cost，而R3收到這些Type-3 LSA並計算路由時，路由的Cost就是在R2所通告的Cost值的基礎上，加上R3自己到R2的Cost值，然後，R3向R4通告這些區域間的路由時也攜帶者自己到達目標網段的Cost，而R4到達目標網段的Cost則是在R3的通告值基礎上累加
自己到R3的Cost——典型的距離矢量行爲

4）Type-3 LSA還涉及了DN比特位，該位在LSA得頭部的option字段中，用於在MPLS VPN環境下的環路規避

DN位： PE生成Type3，Type5與Type7 LSA(cisco設備只對Type3 LSA復位，華爲Type5也置位)發佈給CE時，將標誌位DN置位，其他類型LSA的DN值爲0。PE路由器的OSPF進程在進行SPF計算時，忽略DN置位的Type3，Type5，Type7 LSA

DN位的作用是防止路由環路。當PE收到DN置位的LSA不會進行處理，這樣就防止了在CE雙歸的場景下，由於一個PE從CE學到另一個PE產生的LSA而產生的環路。

關閉DN位檢測
capability vrf-lite cisco命令
dn-bit-check disable are 華爲關閉Type5 LSA
dn-bit-check disable summary 華爲關閉Type3 LSA

OSPF域外防環

Type-4 LSA及Type-5 LSA的防環

Type-4 LSA實際上與Type-3 LSA都是Summary LSA只不過一個是Network Summary LSA----用於描述網段路由，另一個則是ASBR Summary LSA----用於描述ASBR，他們使用的防環機制是一致的

1）當一臺OSPF路由器將外部路由引入OSPF域後，它就成爲了一臺ASBR，被引入的外部路由以Type-5 LSA在整個OSPF域內泛洪。一臺路由器使用Type-5 LSA計算出路由的前提是兩個，其一是要收到Type-5 LSA，其二是要知道產生這個Type-5 LSA的ASBR在哪裏。與ASBR接入同一個區域的路由器能夠根據該區域內泛洪的Type-1 LSA及Type-2 LSA計算出到達該ASBR的最短路徑，從而計算出外部路由。而其他區域的路由器就沒有這麼幸運了，因爲ASBR產生的Type-1 LSA只能在其所在的區域內泛洪，所以才需要Type-4 LSA。因此其他區域的路由器在獲取Type-4 LSA後便能計算出到達ASBR的最短路徑，進而利用該ASBR產生的Type-5 LSA計算出外部路由。Type-5 LSA將會被泛洪到整個OSPF域，表面上看，它本身並不具有什麼防環的能力，但是實際上，它並不需要，因爲它可以依賴Type-1 LSA及Type-4 LSA來實現防環。

2）Type5 LSA存在一個Route tag的標記，當一條路由通過PE進入到一個AS中，Type5 LSA中的Route tag位會記錄As號，當PE收到Type5 LSA，會查看包中的Route tag，如果Route tag的值與PE所處的As號相同，PE就會拒絕接受該Type5 LSA，這樣就防止了在CE雙歸的場景下，由於一個PE從CE學到另一個PE產生的5類LSA而產生的環路。