1. 从一个次优路径的诡异现象说起如果你在园区网或者数据中心里配过OSPF大概率遇到过这样一种情况明明拓扑很简单设备也不多但路由表里某条外部路由的下一跳就是不对劲绕了一圈才出去。你查邻居、查接口、查开销一切正常可路径就是不优。这种时候十有八九是NSSA区域和FA值在背后搞事情。OSPF本身不算难难的是它那些边角料特性——NSSA、FA、Type 7 LSA、ABR转换这几个东西凑在一起能把一个看起来人畜无害的网络搞得路径计算完全偏离直觉。我见过不少工程师OSPF基础理论背得滚瓜烂熟一到NSSA环境里做外部路由引入就开始凭感觉配配完能通就收工至于为什么走这条路、FA到底填没填、填了之后谁在算一概不清楚。等到网络规模一大、路径一绕问题就暴露了。这篇内容就是冲着这个痛点来的。我会把NSSA区域里外部路由从引入到计算的全过程拆开讲清楚重点落在FA值这个看起来可选、实际上决定路径走向的字段上。适合已经会配基础OSPF、但对NSSA和FA一知半解的网络工程师也适合正在准备认证、想把LSA细节吃透的朋友。读完之后你应该能做到看到一条NSSA外部路由能自己推导出它的下一跳是怎么来的FA填不填、填什么心里有数。先给一个最核心的结论打底NSSA区域里外部路由默认是通过Type 7 LSA传播的而Type 7能不能被其他区域正确计算取决于ABR有没有把它转换成Type 5至于路径优不优关键看FAForwarding Address字段有没有被置位、置成了谁。这句话展开就是后面几千字的内容。2. NSSA到底特殊在哪Type 7 LSA的诞生逻辑2.1 普通区域引入外部路由的规矩要理解NSSA得先知道普通区域是怎么处理外部路由的。在一个标准OSPF区域里如果一台路由器想把区域外的路由比如直连的静态路由、其他协议的路由引入OSPF它会生成Type 5 LSAAS External LSA。这个Type 5 LSA有个特点它可以在整个OSPF自治系统里泛洪除了Stub区域和NSSA区域之外所有区域都能收到。Type 5 LSA里有两个关键字段Advertising Router谁引入的和Forwarding Address下一跳往哪走。默认情况下FA是0.0.0.0意思是要到达这个外部目的地请先找到ASBR然后从ASBR出去。也就是说路径计算是先到ASBR再从ASBR到外部。这套机制在普通区域里工作得很好但它有个前提Stub区域和NSSA区域不允许Type 5 LSA进入。为什么因为Stub区域的设计初衷就是瘦身——不让外部路由泛洪进来减少区域内路由器的LSDB负担。NSSANot-So-Stubby Area是Stub的升级版它同样不允许Type 5进入但允许区域内有ASBR让这个ASBR把外部路由以另一种形式发出来。2.2 Type 7 LSANSSA的内部通行证NSSA区域里的ASBR不能发Type 5那它怎么把外部路由告诉别人答案是Type 7 LSANSSA External LSA。Type 7和Type 5长得几乎一样字段结构基本对应唯一的区别是Type 7只在NSSA区域内部泛洪出了NSSA区域就失效了。这就带来一个问题如果NSSA区域外的路由器收不到Type 7那它们怎么知道这条外部路由答案是ABR区域边界路由器负责转换。NSSA的ABR会把Type 7 LSA转换成Type 5 LSA然后再泛洪到其他区域。这个转换过程不是无条件的后面会细讲。这里先记住一个关键点Type 7 LSA在NSSA内部是原生的出了NSSA必须靠ABR翻译成Type 5才能继续传播。这个翻译动作就是很多路径问题的根源。2.3 NSSA的两种形态普通NSSA和完全NSSA实际配置里NSSA还有个小分支完全NSSATotally NSSA。普通NSSA只挡Type 5区域间路由Type 3还是正常进来的完全NSSA更狠连Type 3也不让进ABR只发一条默认路由进来。这个区别直接影响路由计算。在完全NSSA里区域内的路由器要去外部基本就是默认路由指向ABR路径选择空间很小。而在普通NSSA里区域间路由和NSSA外部路由同时存在这时候FA值的作用就凸显出来了——它决定了你是先出区域再走外部还是直接在区域内找ASBR。我个人的经验是如果网络里有多台ABR、多条出口尽量用普通NSSA而不是完全NSSA因为完全NSSA会把路径选择权收窄一旦默认路由指向的ABR出问题收敛会很被动。当然如果就是为了极简配置完全NSSA也没问题看场景。3. FA值一个字段决定路径走向3.1 FA的默认行为和置位条件前面提到Type 5和Type 7 LSA里都有FA字段。默认FA是0.0.0.0含义是下一跳是ASBR。但有些情况下FA会被置成一个非零地址这时候路径计算逻辑就变了路由器会先算到FA地址的内部路径然后认为到了FA就等于到了外部目的地。FA什么时候会被置位这取决于ASBR引入外部路由时的具体条件。以常见的实现为例当满足以下条件时FA会被设置成引入接口的地址引入的外部路由对应的出接口启用了OSPF且不是被动接口该接口的网络类型是广播或NBMA不是点到点或点到多点接口地址属于NSSA区域内的网段。如果出接口是点到点类型或者接口没跑OSPFFA通常保持0.0.0.0。这个规则不是随便定的背后逻辑是只有当ASBR能确认外部目的地可以通过某个内部OSPF可达的地址到达时才敢把FA填上让其他路由器直接算到那个地址。否则填了FA反而会导致路由不可达。3.2 FA置位后路径计算发生了什么变化这是整篇内容最核心的部分。假设NSSA区域里有一台ASBR引入了外部路由192.168.100.0/24FA被置成了ASBR某个接口地址10.0.0.1。区域内有另一台路由器R2它收到这条Type 7 LSA后会这样算如果FA是0.0.0.0R2先算到ASBR的最短路径然后下一跳指向ASBR如果FA是10.0.0.1R2先算到10.0.0.1的最短路径下一跳指向能到达10.0.0.1的那个下一跳而不是直接指向ASBR。看出区别了吗FA置位后路径选择从找ASBR变成了找FA地址。如果FA地址恰好是另一台路由器比如区域内有台路由器也宣告了这个网段那流量可能就绕过ASBR直接走那台路由器出去了。这就是所谓的次优路径或者路径优化的来源——取决于你的网络设计意图。我踩过的一个坑某次在NSSA里引入外部路由ASBR的引入接口是广播类型FA自动置位了。结果区域内有台路由器通过其他接口也学到了FA所在网段导致流量全部绕到那台路由器ASBR反而闲着了。查了半天才发现是FA在作怪。后来把引入接口改成点到点类型FA变回0.0.0.0路径立刻恢复正常。3.3 FA地址的可达性一个容易被忽略的前提FA置位有个隐含前提FA地址必须在OSPF内部可达。如果FA地址不可达这条外部路由会被标记为无效不会进入路由表。这一点在跨区域场景里特别容易出问题。举个例子ASBR在NSSA区域FA置成了自己区域内的接口地址。ABR把Type 7转成Type 5发到骨干区域骨干区域的路由器收到Type 5后看到FA是NSSA区域内的地址它得先能算到那个地址才行。如果骨干区域和NSSA之间的Type 3路由没配好FA不可达这条外部路由就废了。所以配置NSSA的时候一定要确认FA地址在整个OSPF域内都能被正确计算到。实操中我一般会这样做引入外部路由后在ABR和远端路由器上分别display ospf routing看FA地址有没有对应的内部路由没有的话先解决内部可达性再谈外部路由。4. 实验拆解从零搭一个NSSA环境看FA行为4.1 实验拓扑与地址规划光讲理论容易飘咱们直接搭个环境验证。拓扑设计如下用文字描述方便你复现R1骨干区域路由器同时是ABR连接Area 0和Area 1NSSAR2NSSA区域内部路由器连接R1和R3R3NSSA区域内的ASBR引入外部静态路由R4骨干区域路由器连接R1用于观察Type 5转换结果。地址规划设备接口地址区域R1G0/010.0.1.1/24Area 0R1G0/110.0.2.1/24Area 1 (NSSA)R2G0/010.0.2.2/24Area 1R2G0/110.0.3.1/24Area 1R3G0/010.0.3.2/24Area 1R3Loopback0192.168.100.1/24外部引入R4G0/010.0.1.2/24Area 0R3上配置一条静态路由ip route-static 172.16.1.0 255.255.255.0 192.168.100.2然后在OSPF进程里引入静态路由。R3的G0/0接口是广播类型属于NSSA区域。4.2 基础配置与NSSA区域声明先给R1配NSSA区域ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 10.0.1.0 0.0.0.255 area 0.0.0.1 network 10.0.2.0 0.0.0.255 nssaR2和R3的Area 1也要加nssa关键字# R2 ospf 1 router-id 2.2.2.2 area 0.0.0.1 network 10.0.2.0 0.0.0.255 network 10.0.3.0 0.0.0.255 nssa # R3 ospf 1 router-id 3.3.3.3 area 0.0.0.1 network 10.0.3.0 0.0.0.255 nssa import-route static注意R3的Loopback0192.168.100.1没有宣告进OSPF它是作为外部路由的下一跳存在的。静态路由指向192.168.100.2这个地址在Loopback网段里。配置完成后在R3上看LSDB应该能看到自己产生的Type 7 LSA。在R1上看应该能看到Type 7被转换成了Type 5。在R4上看应该能收到Type 5。4.3 观察FA字段默认置位情况先看R3产生的Type 7 LSA详情display ospf lsdb nssa 172.16.1.0输出里会有一个Forwarding Address字段。按照前面的规则R3的引入接口G0/0是广播类型、跑了OSPF、地址在NSSA区域内所以FA应该被置成G0/0的地址10.0.3.2。验证一下在R2上看这条外部路由的下一跳。如果FA是10.0.3.2R2算路径时会先算到10.0.3.2的最短路径。由于R2直连10.0.3.0网段下一跳就是10.0.3.2和直接指向R3效果一样。这个场景下FA置位没有产生路径差异因为R2到R3就是直连。但如果R2到R3之间有另一条路径呢比如R2通过R1绕一圈也能到10.0.3.2那FA就会让R2选择到10.0.3.2的最优路径而不是到R3的最优路径。这两者可能不同。4.4 制造路径差异让FA显灵为了看到FA的实际影响我们改一下拓扑在R2和R3之间加一条低开销的直连链路同时在R1和R3之间也加一条链路。这样R2到10.0.3.2就有两条路径直连R3开销小和绕R1开销大。正常情况下R2会选直连。然后把R3的引入接口改成另一个网段让FA指向一个R2需要绕行才能到达的地址。具体操作在R3上再加一个Loopback1地址10.0.4.1/24宣告进OSPF。然后把静态路由的引入接口关联到这个Loopback上通过调整配置让FA置成10.0.4.1。这时候在R2上看路由会发现下一跳变成了R1的地址因为R2到10.0.4.1的最优路径是绕R1。这就是FA置位导致的路径变化。这个实验做下来你会对FA的作用有非常直观的感受。FA不是一个填着玩的字段它直接参与SPF计算改变流量的实际走向。5. Type 7转Type 5ABR的翻译规则与坑点5.1 转换的触发条件ABR不是见到Type 7就转它有几个判断条件。以主流实现为例P-bitPropagate bitType 7 LSA的选项字段里有一个P位。如果P位被置1ABR才会考虑转换如果P位是0ABR不转换这条Type 7就只在NSSA内部有效。FA地址可达性如果FA是0.0.0.0ABR直接转如果FA非零ABR要确认自己能到达FA地址才转。区域类型只有NSSA的ABR才做这个转换普通区域的ABR不管Type 7。P位什么时候置1通常是ASBR引入外部路由时如果该路由需要传播到NSSA之外P位就会被置1。有些实现里P位默认就是1除非有特殊配置。5.2 转换后的Type 5长什么样ABR把Type 7转成Type 5时会做几件事Advertising Router变成ABR自己这一点很关键。原来Type 7的Advertising Router是ASBR转成Type 5后Advertising Router变成了ABR的Router ID。这意味着其他区域的路由器认为这条外部路由是ABR引入的。FA字段保留如果原Type 7有FA转换后的Type 5也带同样的FA。Metric保留开销值一般原样保留除非配置了metric-type或metric转换规则。这个Advertising Router变化会带来一个副作用如果NSSA里有多个ABR每个ABR都会转一份Type 5其他区域的路由器会收到多条Type 5然后选最优的。这本身没问题但如果FA不可达某些Type 5会被判无效可能导致路径选择异常。5.3 多ABR场景下的转换冲突我遇到过最头疼的场景NSSA里有两台ABR都连着骨干区域。ASBR引入了一条外部路由两台ABR都做了Type 7到Type 5的转换。结果骨干区域的路由器收到两条Type 5一条来自ABR1一条来自ABR2。如果FA是0.0.0.0路由器会分别算到ABR1和ABR2的路径选近的那条。这没问题。但如果FA非零且FA地址只对其中一台ABR可达那另一台ABR转的Type 5就会因为FA不可达而被丢弃。最终路径可能全部集中到一台ABR上造成流量倾斜。解决办法有两个一是确保FA地址对所有ABR都可达二是在不需要转换的ABR上抑制Type 7转换有些实现支持nssa suppress-forwarding-address之类的配置。具体用哪种看你的网络设计。提示多ABR的NSSA环境里配完一定要在每台ABR上检查Type 7的转换情况确认没有半死不活的Type 5在LSDB里挂着。6. 路由计算全流程复盘一条外部路由的完整旅程6.1 从ASBR引入到LSDB泛洪把整个过程串一遍。R3作为ASBR引入静态路由172.16.1.0/24。它生成一条Type 7 LSA内容包括Link State ID172.16.1.0目的地网段Advertising Router3.3.3.3R3的Router IDNetwork Mask255.255.255.0Forwarding Address10.0.3.2G0/0接口地址External Metric20默认引入开销P-bit1这条Type 7在Area 1内泛洪R2和R1都能收到。6.2 ABR的转换动作R1作为ABR收到Type 7后检查P-bit为1FA地址10.0.3.2可达R1有到10.0.3.0网段的路由于是生成一条Type 5 LSALink State ID172.16.1.0Advertising Router1.1.1.1R1的Router IDForwarding Address10.0.3.2External Metric20这条Type 5泛洪到Area 0R4收到。6.3 各路由器的路由计算差异现在看不同位置的路由器怎么算这条路由R2NSSA内部收到Type 7FA是10.0.3.2。R2算到10.0.3.2的最短路径下一跳是R3的G0/0直连。路由表里172.16.1.0/24的下一跳是10.0.3.2。R1ABR同时有Type 7和Type 5。R1自己产生的Type 5同时也能通过Type 7算。通常R1会用Type 7算区域内路由优先下一跳指向10.0.3.2。R4骨干区域只收到Type 5FA是10.0.3.2。R4算到10.0.3.2的最短路径需要先算到10.0.3.0网段。R4到10.0.3.0的路径是经过R1所以下一跳是R1的G0/010.0.1.1然后R1再转发到R3。注意R4的下一跳不是R3而是R1。因为FA地址10.0.3.2对R4来说要先经过R1才能到达。这就是FA置位的效果R4不需要知道R3是ASBR它只需要知道怎么到10.0.3.2。6.4 如果FA是0.0.0.0会怎样假设R3的引入接口是点到点类型FA保持0.0.0.0。那么R2收到Type 7FA为0R2算到ASBRR3的最短路径下一跳指向R3R1转Type 5时FA也是0R4收到后算到ASBR的路径。但R4不知道R3的Router ID对应的地址它需要靠Type 4 LSAASBR Summary LSA来定位ASBR。R1会生成一条Type 4 LSA告诉Area 0ASBR 3.3.3.3可以通过我到达。R4算到3.3.3.3的路径下一跳是R1。对比两种情况的R4路由表FA非零时下一跳是到FA地址的下一跳FA为零时下一跳是到ASBR的下一跳。在这个拓扑里两者可能都是R1但计算依据完全不同。如果拓扑更复杂差异就会显现。7. 实操中那些文档不会告诉你的细节7.1 FA置位与接口类型的隐藏关联很多文档只告诉你广播接口FA会置位但没说的是接口类型的变化会动态影响FA。比如你把一个原本是广播类型的接口改成点到点已经生成的Type 7 LSA不会自动更新FA需要触发一次路由更新比如重置OSPF进程或者重新引入。这个细节在割接场景里特别容易坑人——你改了接口类型以为FA会跟着变结果LSDB里还是老样子。我的做法是改完接口类型后手动在ASBR上reset ospf process或者重新import-route确保LSA刷新。虽然重置进程有点暴力但在维护窗口里是最稳妥的。7.2 FA地址选谁Loopback还是物理接口如果ASBR有多个接口都满足FA置位条件FA会选哪个这取决于具体实现通常是选引入接口的地址。但如果你想让FA固定成某个地址比如Loopback可以通过配置引入时的forwarding-address参数指定。指定FA的好处是可控性强。比如你希望所有外部路由的FA都指向ASBR的Loopback0这样无论物理接口怎么变FA都稳定。坏处是Loopback地址必须在OSPF里可达否则路由全废。我一般建议如果网络稳定用默认行为就行如果接口经常变动显式指定Loopback作为FA更省心。7.3 Type 7 LSA的Metric TypeType 1还是Type 2Type 7和Type 5一样有Metric Type的概念。Type 1表示外部开销内部开销Type 2表示只算外部开销。这个选择影响路径计算。默认通常是Type 2。在Type 2模式下路由器比较外部路由时只看外部开销不看内部开销。这意味着如果两条外部路由的外部开销相同路由器可能不会选内部路径更短的那条。在NSSA环境里这个行为可能和你的预期不符。如果希望路径选择更智能可以把Metric Type改成Type 1。配置命令类似import-route static type 1。改完之后内部开销也参与比较路径选择更符合直觉。7.4 完全NSSA里的默认路由一把双刃剑完全NSSATotally NSSA里ABR会自动下发一条默认路由Type 3的0.0.0.0/0到NSSA区域。这条默认路由的下一跳是ABR。区域内的路由器去任何外部目的地都走这条默认路由。这看起来很方便但有个隐患如果NSSA区域内有ASBR引入了外部路由这条外部路由和默认路由会同时存在。路由器会优先选更具体的路由外部路由但如果外部路由的FA不可达路由器可能回退到默认路由导致流量走了一条你没预期的路径。所以在完全NSSA里引入外部路由一定要确认FA可达性否则默认路由会兜底掩盖问题。8. 排查NSSA路由问题的固定套路8.1 第一步确认LSA类型和P-bit遇到NSSA路由问题先在ASBR上看Type 7 LSA的P-bit。如果P-bit是0这条路由根本不会传出NSSA问题就定位了。查看命令display ospf lsdb nssa 172.16.1.0 verbose输出里找Propagate字段确认是1还是0。8.2 第二步在ABR上确认转换结果在ABR上看Type 5 LSA有没有生成FA字段是什么display ospf lsdb ase 172.16.1.0如果ABR上没有对应的Type 5说明转换没发生。检查P-bit、FA可达性、区域配置。8.3 第三步在远端路由器上确认FA可达性在远端路由器上先看有没有到FA地址的内部路由display ospf routing 10.0.3.2如果没有说明FA不可达Type 5会被判无效。需要先解决内部可达性比如检查Type 3路由有没有正确泛洪。8.4 第四步对比路由表验证路径最后在远端路由器上看路由表display ip routing-table 172.16.1.0确认下一跳是不是符合预期。如果下一跳指向了意外的设备回溯FA地址看是不是FA导致的路径偏移。这套流程走下来90%的NSSA路由问题都能定位。剩下的10%通常是多ABR转换冲突或者Metric Type选择问题需要结合具体拓扑分析。9. 几个容易混淆的概念澄清9.1 FA和下一跳不是一回事新手容易把FA和下一跳混为一谈。FA是LSA里的一个字段表示外部目的地的转发入口下一跳是路由表里的实际转发地址。FA参与SPF计算算完之后才得出下一跳。两者有关联但层次不同。9.2 NSSA的ABR和ASBR可以共存一台路由器可以同时是ABR和ASBR。比如R1既是Area 0和Area 1的ABR如果它自己也引入外部路由那它也是ASBR。这种情况下R1产生的Type 7和Type 5会同时存在路由计算会更复杂。实操中尽量避免这种双重身份能拆开就拆开。9.3 Type 7的FA和Type 5的FA可以不同理论上ABR转换Type 7到Type 5时可以修改FA字段。但主流实现通常是原样保留。如果你看到Type 7和Type 5的FA不一致检查一下ABR上有没有特殊的转换策略配置。10. 写在最后FA值实验给我的几点体会做FA值实验最大的价值不是记住广播接口FA置位这条规则而是建立起一种看LSA字段推导路径的思维习惯。以前我看路由表只关心下一跳对不对现在我会多问一句这个下一跳是怎么算出来的是FA决定的还是ASBR决定的如果是FAFA可达吗可达路径是最优的吗这种思维习惯在复杂网络里特别有用。有一次排查一个跨区域的次优路径问题查了半天路由策略都没问题最后发现是NSSA里FA置位导致流量绕行。如果不懂FA这个问题能查一整天。另外一点体会是实验环境里一定要主动制造异常。正常拓扑下FA置位和不置位可能看不出区别只有把拓扑改复杂、制造多条路径FA的作用才会显现。我建议你在自己的实验环境里把FA置位和不置位两种情况都跑一遍对比路由表和traceroute结果感受会完全不一样。最后分享一个小技巧如果你不确定FA会不会置位可以在ASBR上引入路由后直接display ospf lsdb nssa看FA字段。如果FA是0.0.0.0说明没置位如果是具体地址说明置位了。这个命令比查文档快得多而且看到的是实际生效的结果不是理论推测。