企业官网建设流程全解析

简介：面向网络工程师的华为路由器三层路由防环专题文档，围绕BGP与OSPF协议互引场景展开。资料涵盖互引路由概述、典型组网、环路产生原理、错误配置示例、防环建议、适用产品和版本等模块，以DeviceA~DeviceF典型组网为例，分阶段还原路由环路产生过程，重点剖析MED值影响路由优选进而形成稳定环路的机理，同时给出路由策略、调整MED、利用AS_PATH等防环配置建议。内容属于中高级网络技术专题，适合负责跨域路由设计与运维的工程师对照学习。压缩包内为1个PDF文件，大小211KB，排版结构与章节目录完整，便于按需检索。该资料已有2129人浏览学习，对理解协议间路由互引的防环机制具有直接参考价值。

1. 三层路由防环，为什么偏偏在BGP与OSPF互引处翻车

让某台华为AR路由器同时跑OSPF和BGP，再把两个协议的路由互相引一引，这是很多园区网和城域网里真实存在的动作，但很少有人提前把防环想清楚。做BGP实验、OSPF实验的时候，单协议域内防环是教科书上有标准答案的：OSPF靠SPF树和区域结构，BGP靠AS-Path和IBGP水平分割。可一旦出现协议互引，原本清晰的防线就出现了一段真空——OSPF学到的外部路由可以被重新通告进BGP，BGP收到的域内路由也可能被OSPF回灌，环路就在这段真空里重新长出来。这篇笔记要解决的就是华为AR路由器上这个具体场景：两个协议互相引入时，环是怎么形成的，以及用什么手段能把它堵死。

文章会按三层路由的视角拆开讲：先看两个协议各自的防环机制在互引边界上哪里失效，再给出一套最小可复现的配置，最后把route-policy、Tag、Community这些真正能落地的防环工具用透，并附上我在设备上踩过的几个高频坑。适合正在做华为路由器IGP+BGP混合组网、或者在eNSP里做bgp实验时被环路问题卡住的人。

2. BGP与OSPF各自怎么防环：互引场景下防线交接的破绽在哪

2.1 BGP的三道防环机制与IBGP水平分割的边界

BGP的防环设计是围绕AS-Path展开的。EBGP路由在通告时会把自己的AS号追加到AS_Path最前面，对端收到路由后做一条检查：AS路径里如果已经包含自己的AS号，就直接丢弃这条路由。这条规则保证了路由不会在AS之间打转。AS内部则是另一套逻辑，IBGP水平分割规定从IBGP邻居学到的路由不能再通告给其他IBGP邻居，同时BGP speaker不会把从EBGP学到的路由传给本AS内的其他IBGP邻居，除非有路由反射器或联盟机制参与。

这套机制单独看是没有问题的，正常BGP域内路由要么从EBGP边界进来，要么在AS内通过路由反射器分发，不会形成环。问题在于，当BGP路由被引入到OSPF之后，它就脱离了BGP的控制面，不再受AS-Path和水平分割约束。一个ASBR把外部BGP路由import进OSPF，这条路由变成5类LSA在整个OSPF域内扩散，此时域内另一台同时运行BGP和OSPF的设备完全可能通过OSPF学到这条路由，并且因为它处于“外部路由”的身份，还可以把它再次引入BGP。这一进一出，AS-Path层面可能完全没有暴露问题，因为引入时AS路径已经被重置了。

另一个容易忽略的点是IBGP水平分割对“下一跳”的要求。BGP引入OSPF路由时，如果OSPF路由的下一跳落在本设备上，引入后BGP通告给邻居时默认带的是自身地址；可如果经过路由迭代，下一跳变成了OSPF域内的某个非直连地址，IBGP邻居收到后还要在IGP里找这条路由。这个链路一旦断裂，就会出现BGP路由间歇性丢失，这是互引场景里最隐蔽的坑之一。

所以，BGP的防环体系是有边界的，边界恰恰就在协议转换点上，也就是ASBR执行import-route的那一刻。

2.2 OSPF的区域化防环与LSA类型转换的隐藏风险

OSPF防环依赖的是区域内SPF计算和区域间的LSA类型约束。骨干区域Area 0是必须贯穿的，3类LSA只能在区域间传递路由摘要，4类LSA标记ASBR位置，5类LSA承载外部路由，7类LSA用于NSSA区域。SPF算法本身就是无环的，这也是OSPF域内基本看不到环路的根本原因。但注意，OSPF外部路由的可信度是另一回事——5类LSA的外部路由在ASBR上是怎么来的，OSPF本身不做任何校验。

当外部BGP路由被引入OSPF后，它在OSPF域内始终以5类LSA形式存在，默认metric-type是Type 2，全OSPF域都无条件信任这条路由。如果在远端某台设备上，这条OSPF外部路由又反过来被引入BGP，OSPF的SPF防环逻辑完全不会去追溯它的来源是BGP，只会把它当作一个从ASBR泛洪出来的外部前缀。两个协议在这一点上是互相盲的：BGP不知道OSPF里面的路由可能来自BGP，OSPF也不关心引入进来的路由之前属于谁。

ABR还存在一个隐藏风险：如果外部路由经过ABR做区域间汇总，或者NSSA区域里做了7转5，LSA的Advertising Router会改变，但Tag字段会保留。实战中经常有人在这样的拓扑里漏看tag，导致防环策略失效。LSA类型转换本身不是环路的根源，但转换会让排查变的很难——从TLV里看到的那台通告路由器，已经不是最初的引入点了。

2.3 互引场景：为什么原有的防环机制集体失灵

把前两节的逻辑叠加起来看，问题就比较清楚了。BGP的AS-Path防环只管BGP域，OSPF的SPF树只管OSPF域，中间的边界是ASBR。ASBR做双向引入时，BGP路由进入OSPF后“穿上了OSPF的外衣”，OSPF路由进入BGP后“换上了BGP的马甲”，两个域各自的防环机制都认不出对方域里那件衣服。环路形成的过程通常是这样的：外部AS发布一条前缀，ASBR1把它引入OSPF域，OSPF路由在域内传播到ASBR2，ASBR2又把它引入BGP通告给外部AS的其他邻居，外部AS学到一条“经过本AS返回”的路径，转发就绕回去了。

还有一种同协议回灌的环路更隐蔽：ASBR1把BGP路由引入OSPF后，ASBR2把这条OSPF路由再引入BGP时，BGP路径里带的是ASBR2所在AS的AS号，外部AS收到后可能不认为有环，因为AS路径看起来是合法的，实际流量却会在两个ASBR之间反复横跳。这已经不是理论推演——在eNSP里搭双ASBR拓扑，不做防环策略跑流量，几分钟就能看到路由振荡和丢包。

理解了这些机制上的破绽，才能理解后面为什么用Tag和Community标记来做防环，那是目前华为路由器上最可控、最不依赖拓扑假设的手段。

3. 华为AR路由器上的互引配置：最小可复现拓扑与命令细节

3.1 先定拓扑和路由目标：谁引入谁，方向要劈开

配置互引之前，第一件事不是敲命令，而是把拓扑和路由方向画清楚。我一般会强制自己回答三个问题：这台ASBR上有几个协议实例，哪些路由需要从BGP进OSPF，哪些路由需要从OSPF进BGP；以及最重要的是，这两个方向是互相独立的吗。绝大多数翻车现场，都是因为把双向引入写成了一个环路，自己还没意识到。

下面是一个能复现问题的最小拓扑。R1属于AS 200，运行BGP与OSPF；R2是纯OSPF域内设备；R3属于外部AS 300，通过EBGP与R1互联。OSPF域运行在R1和R2之间。为了把问题说透，我们同时配置两个方向的引入：R1把从R3学到的BGP路由引入OSPF，同时把OSPF域内路由引入BGP通告给R3。

R3 (AS 300) ---- EBGP ---- R1 (AS 200, ASBR) ---- OSPF Area 0 ---- R2

这是典型的企业网出口形态：OSPF管内部，BGP管外部，ASBR做协议转换。在这个拓扑上不做防环，R2学到OSPF外部路由后会以为外部路由来自R1，如果R2也配了BGP或者存在第二条链路，环路就出现了。先把拓扑跑通，再谈防环才有意义。

3.2 BGP引入OSPF的import-route配置与参数含义

华为AR路由器上，BGP视图里引入OSPF路由是最常见的动作。进入BGP进程视图，用import-route ospf 1就能把OSPF进程1的路由引入BGP。但生产配置不能只写这一条，至少要配上route-policy做过滤和一个明确的cost，否则OSPF所有路由包括外部路由都会被搬进BGP，这样的通告结果基本是不可控的。

对应配置如下：

bgp 200 router-id 1.1.1.1 peer 10.0.13.3 as-number 300 # import-route ospf 1 route-policy rp-ospf-to-bgp

这里router-id 1.1.1.1是手工指定的，BGP和OSPF务必要一致，这点后面避坑章节会细说。import-route ospf 1不带参数时，引入的路由默认会带上OSPF路由的metric作为BGP的MED，下一跳默认是本设备。这个行为很多时候不是我们想要的，因为OSPF的cost与BGP选路语义并不对等。更常见的做法是配合route-policy修改MED或community。

对应配置可以只写过滤，但不指定cost也行：

route-policy rp-ospf-to-bgp permit node 10 if-match tag 200 apply med 100

本文还有配套的精品资源，点击获取