OSPF与IS-IS路由过滤深度对比：架构师实战避坑指南

在复杂的网络环境中，OSPF (开放式最短路径优先) 和 IS-IS (中间系统到中间系统) 是两种常见的链路状态路由协议。为了控制路由表的规模和优化网络性能，路由过滤至关重要。本文将深入探讨 OSPF 和 IS-IS 在路由过滤方面的差异，并结合实际案例，帮助网络架构师做出更明智的选择。在讨论 OSPF 和 IS-IS 的路由过滤之前，我们需要理解它们各自的路由机制。

OSPF 路由过滤详解

OSPF 提供了多种路由过滤机制，包括：

• Area 过滤：通过配置 Area 类型（如 Stub Area、Totally Stub Area、NSSA），可以限制 Area 内路由器学习外部路由。这种方法简单粗暴，但不灵活。
• Distribute List：通过访问控制列表（ACL）匹配路由前缀，控制路由的引入和通告。这是最常用的方法，但配置较为繁琐。
• Route-map：功能强大的路由策略工具，可以基于多种条件（如路由前缀、AS-path、metric 等）进行路由过滤和修改。适用于复杂的路由策略需求。

Distribute List 实现 OSPF 路由过滤

router ospf 1
 distribute-list 1 in  ! 过滤进入 OSPF 进程的路由
 distribute-list 2 out ! 过滤从 OSPF 进程发出的路由
access-list 1 deny 192.168.1.0 0.0.0.255 ! 拒绝 192.168.1.0/24 网段
access-list 1 permit any ! 允许其他所有网段
access-list 2 deny 10.0.0.0 0.0.0.255 ! 拒绝 10.0.0.0/24 网段
access-list 2 permit any

避坑经验：

• distribute-list in 过滤的是进入 OSPF 进程的路由，而 distribute-list out 过滤的是从 OSPF 进程发出的路由。理解这一点至关重要。
• ACL 的顺序很重要，先匹配的规则先生效。
• 配置 OSPF 路由过滤后，需要 clear ip ospf process 重启 OSPF 进程才能生效。有时需要进一步 reload 设备才能彻底生效，特别是涉及到大型网络环境中的主干路由设备。

Route-map 实现 OSPF 路由策略

route-map FILTER_ROUTES deny 10
 match ip address prefix-list DENY_PREFIX
! 可以根据AS_PATH、COMMUNITY属性等进行匹配
route-map FILTER_ROUTES permit 20
!
prefix-list DENY_PREFIX seq 5 deny 172.16.0.0/16
prefix-list DENY_PREFIX seq 10 permit 0.0.0.0/0 le 32
!
router ospf 1
 distribute-list route-map FILTER_ROUTES in

LSI 实体词： 在 OSPF 网络中，合理利用 Area 划分，可以减少 LSDB (链路状态数据库) 的大小，提高路由计算效率。同时，要注意 LSA (链路状态宣告) 的泛洪范围，避免网络拥塞。 对于大型 OSPF 网络，可以考虑使用 Nginx 作为反向代理服务器，并配置负载均衡，以提高 Web 应用的可用性和性能。 此外，需要监控 Nginx 的并发连接数，避免服务器过载。 国内常用的宝塔面板可以简化 Nginx 的配置和管理。

IS-IS 路由过滤详解

IS-IS 的路由过滤主要通过以下方式实现：

• Route Leaking：将路由从一个 Level 传递到另一个 Level，同时可以进行过滤。例如，将 Level 2 的路由 Leak 到 Level 1 时，可以过滤掉一些不希望传递的路由。
• Distribute List：与 OSPF 类似，IS-IS 也支持使用 Distribute List 和 ACL 进行路由过滤。
• Policy-based Routing (PBR)：基于策略的路由，可以根据源地址、目的地址等条件进行路由选择和过滤。

Route Leaking 实现 IS-IS 路由过滤

router isis
 address-family ipv4 unicast
  metric-style wide
  distribute-list 1 in from-level 2 ! 从 Level 2 Leak 到 Level 1 时过滤
  distribute-list 2 out to-level 2 ! 从 Level 1 Leak 到 Level 2 时过滤
access-list 1 deny 192.168.2.0 0.0.0.255
access-list 1 permit any
access-list 2 deny 10.0.1.0 0.0.0.255
access-list 2 permit any

避坑经验：

• IS-IS 的 Level 分层结构决定了 Route Leaking 是其独特的路由过滤方式。理解 Level 1 和 Level 2 的关系至关重要。
• from-level 和 to-level 参数用于指定路由 Leak 的方向。
• IS-IS 的 metric 值默认较小，可能需要手动调整以影响路由选择。

Distribute List 实现 IS-IS 路由过滤

router isis
 net 49.0001.0000.0000.0001.00
 is-type level-2
 address-family ipv4 unicast
  distribute-list 1 in
access-list 1 deny 192.168.3.0 0.0.0.255
access-list 1 permit any

LSI 实体词： 在 IS-IS 网络中，需要关注 CLNS (Connectionless Network Service) 协议的相关配置。 对于大型 IS-IS 网络，可以考虑使用 BGP (边界网关协议) 进行路由聚合和 AS-path 过滤，以减少 IS-IS 路由表的规模。 同时，需要注意 MTU (最大传输单元) 的配置，避免数据包分片导致性能下降。

OSPF 和 IS-IS 路由过滤对比

总结：

OSPF 和 IS-IS 都提供了丰富的路由过滤机制，选择哪种协议取决于具体的网络需求和架构设计。 OSPF 的 Distribute List 和 Route-map 适用于各种规模的网络，而 IS-IS 的 Route Leaking 则更适合大型、多 Level 的网络。 在实际应用中，需要根据网络的具体情况，选择合适的路由过滤方式，并结合 ACL、prefix-list 等工具，实现精细化的路由控制。