企业官网建设流程全解析

1. 为什么NSSA区域的路由计算值得单独拎出来讲

OSPF这个协议，干网络这行的都不陌生，但真要说到NSSA（Not-So-Stubby Area）区域里的路由计算，尤其是FA（Forwarding Address）值掺和进来之后的那套逻辑，能一口气讲清楚的人还真不多。我见过不少兄弟，平时配个OSPF邻居、宣告个网段都没问题，一旦碰到NSSA里ASBR和ABR共存、外部路由一会儿走Type-7一会儿转Type-5的场景，排查起来就开始抓瞎。明明邻居是Full的，数据库里LSA也都有，可路由表里下一跳就是不对，或者干脆路由出不来。

这篇东西就是冲着这个痛点来的。我会把NSSA区域里外部路由从引入、泛洪、Type-7转Type-5，到FA值如何影响最终下一跳计算的完整链路拆开讲，并且用实验的方式把FA值为0和非0两种情况的差异跑出来给你看。适合已经懂OSPF基础、能独立完成单区域配置，但对NSSA和FA这块一直模棱两可的运维和网络工程师。看完你至少能做到两件事：第一，看到NSSA里的路由问题知道从哪几个LSA下手查；第二，配FA值的时候心里清楚自己在干什么，而不是照抄模板。

先说清楚一个前提，NSSA的设计初衷是让一个区域既能像Stub区域那样不接收Type-5外部LSA，又能自己引入外部路由。这个“既要又要”的需求，靠的就是Type-7 LSA。Type-7只能在NSSA内部泛洪，出了NSSA边界就得由ABR转成Type-5。而FA值，就是Type-7 LSA里一个决定“这条外部路由的下一跳到底算谁”的关键字段。很多人配NSSA的时候压根没关注过FA，默认就是0.0.0.0，结果在某些拓扑下路由能通，换个拓扑就不通了，根源就在这。

2. NSSA区域路由计算的核心机制拆解

2.1 Type-7 LSA和Type-5 LSA的本质区别

要搞懂NSSA的路由计算，第一步必须把Type-7和Type-5这两个LSA的关系理清楚。Type-5是标准的AS External LSA，它可以在整个OSPF自治系统里泛洪，除了Stub和NSSA区域。Type-7叫NSSA External LSA，它的作用域被严格限制在NSSA区域内部，出了这个区域就失效。

为什么要有Type-7？因为NSSA区域里的ASBR如果直接发Type-5，那这个区域就不叫NSSA了，跟普通区域没区别。所以协议设计上让NSSA内的ASBR发Type-7，然后由NSSA的ABR负责把Type-7翻译成Type-5，再泛洪到其他区域。这个翻译过程不是无条件的，它有几个前提条件，其中FA值就是决定翻译行为和下一跳计算的核心因素之一。

从路由计算的角度看，一台路由器收到Type-7 LSA后，计算外部路由的下一跳时，会看FA字段。如果FA是0.0.0.0，那下一跳就是产生这条Type-7的ASBR的地址（通过Router LSA找到）；如果FA非0，那下一跳就要递归到FA这个地址去查路由。这个差异直接决定了流量走哪条路。

2.2 FA值的两种取值场景与底层逻辑

FA值在Type-7 LSA里，本质上是一个IPv4地址，它告诉其他路由器：“你要去这个外部网段，下一跳请找这个地址。”它的取值分两种情况。

第一种，FA为0.0.0.0。这是默认行为。什么时候会是0？当引入外部路由的ASBR在NSSA区域内，且它引入的外部路由的下一跳接口没有参与OSPF，或者引入时没有指定FA地址，协议就填0。这时候，收到Type-7的路由器会认为，去外部网段的下一跳就是这台ASBR本身。于是它会去查ASBR的Router LSA，找到ASBR在NSSA内的接口地址，作为下一跳。

第二种，FA非0。这通常发生在ASBR引入外部路由时，外部路由的下一跳地址落在了OSPF的某个网段内，且该网段在NSSA区域里是可达的。这时候ASBR会把那个下一跳地址填进FA字段。收到Type-7的路由器看到FA非0，就不会再去找ASBR了，而是直接递归查FA地址的路由，找到去FA的下一跳。这样做的好处是避免了流量绕行到ASBR再转发，实现了最优路径。

这里有个很容易踩的坑：FA非0的时候，FA地址必须在NSSA区域内通过OSPF可达，否则这条Type-7路由会被忽略，路由直接出不来。我见过有人引入外部路由时下一跳指向了一个不在OSPF里的接口地址，结果FA填了那个地址，NSSA内其他路由器查不到FA的路由，路由就丢了。

2.3 ABR的Type-7转Type-5翻译规则

NSSA的ABR在把Type-7转成Type-5的时候，不是无脑转的，它有一套P-bit和FA相关的判断逻辑。P-bit是Type-7 LSA里的一个标志位，叫Propagate bit。当P-bit置1时，ABR才会考虑把这条Type-7翻译成Type-5泛洪出去；P-bit为0，ABR就不翻译，这条外部路由就只在NSSA内部有效。

那P-bit什么时候置1？这又跟FA有关。一般来说，如果Type-7是在NSSA内部由ASBR产生的，且满足翻译条件，P-bit会被置1。翻译的时候，Type-5里的FA字段会继承Type-7里的FA值。如果Type-7的FA是0，翻译出来的Type-5的FA也是0，那其他区域的路由器计算这条外部路由时，下一跳会指向ABR（因为Type-5是ABR产生的）。如果Type-7的FA非0，翻译出来的Type-5的FA也非0，其他区域的路由器就会直接递归到FA地址，可能绕过ABR，实现次优路径的避免。

这套机制的核心目的，是让外部路由的下一跳尽可能接近真实的最优转发点，而不是强制经过ABR或ASBR。理解了这个设计意图，再看配置命令里的FA相关选项，就知道每一步在干什么了。

3. 实验环境搭建与基础配置

3.1 拓扑设计与地址规划

光讲理论没意思，咱们直接上实验。我设计的拓扑是这样的：三台路由器，R1在Area 0，R2是ABR，同时连接Area 0和Area 1（NSSA），R3在Area 1内部作为ASBR，引入外部静态路由。R2和R3之间跑NSSA，R1和R2之间跑普通Area 0。

地址规划上，R1-R2互联用10.0.12.0/30，R2-R3互联用10.0.23.0/30。R3上引入一条外部路由192.168.100.0/24，下一跳指向R3的Loopback0：3.3.3.3/32。R3的Loopback0也参与OSPF，放在Area 1里。这样设计是为了后面能灵活控制FA值——当外部路由的下一跳是3.3.3.3时，如果这个地址在NSSA内OSPF可达，FA就可以非0。

R1的Loopback0是1.1.1.1/32，R2的Loopback0是2.2.2.2/32，都作为Router ID和测试地址。所有互联接口和Loopback都宣告进OSPF，Area 1配置为NSSA。

3.2 基础OSPF配置与NSSA区域声明

先看R1的配置，它就是普通Area 0的路由器：

R1(config)# router ospf 1 R1(config-router)# router-id 1.1.1.1 R1(config-router)# network 10.0.12.0 0.0.0.3 area 0 R1(config-router)# network 1.1.1.1 0.0.0.0 area 0

R2作为ABR，一边Area 0一边Area 1，Area 1要声明成NSSA：

R2(config)# router ospf 1 R2(config-router)# router-id 2.2.2.2 R2(config-router)# network 10.0.12.0 0.0.0.3 area 0 R2(config-router)# network 10.0.23.0 0.0.0.3 area 1 R2(config-router)# network 2.2.2.2 0.0.0.0 area 0 R2(config-router)# area 1 nssa

R3在Area 1内部，也是NSSA区域，同时它是ASBR：

R3(config)# router ospf 1 R3(config-router)# router-id 3.3.3.3 R3(config-router)# network 10.0.23.0 0.0.0.3 area 1 R3(config-router)# network 3.3.3.3 0.0.0.0 area 1 R3(config-router)# area 1 nssa

配完这些，先确认邻居关系都起来了。R1和R2在Area 0形成Full，R2和R3在Area 1形成Full。用show ip ospf neighbor检查，状态都是Full就对了。这时候Area 1里还没有外部路由，R3还没做引入。

3.3 外部路由引入与FA值控制方法

接下来在R3上引入外部静态路由。先配一条静态路由指向Null0，然后重分发进OSPF：

R3(config)# ip route 192.168.100.0 255.255.255.0 Null0 R3(config)# router ospf 1 R3(config-router)# redistribute static subnets

默认情况下，这样引入的外部路由，Type-7 LSA里的FA是0.0.0.0。因为重分发静态路由时，如果没有特别指定，且静态路由的下一跳是Null0，OSPF找不到一个有效的、在OSPF域内的下一跳地址来填FA，就填0。

那怎么让FA非0？有两种常见做法。第一种，把静态路由的下一跳指向一个OSPF内的地址，比如指向R3自己的Loopback0 3.3.3.3，但这样其实下一跳还是自己，FA会填3.3.3.3。更典型的做法是，外部路由的下一跳是另一个在NSSA内可达的地址。为了实验清晰，我直接在R3上把静态路由的下一跳改成3.3.3.3：

R3(config)# no ip route 192.168.100.0 255.255.255.0 Null0 R3(config)# ip route 192.168.100.0 255.255.255.0 3.3.3.3

这样重分发后，OSPF会发现下一跳3.3.3.3在Area 1内是OSPF可达的，于是FA就会填3.3.3.3。这就是控制FA值最简单的方法。当然实际环境中还可以用route-map来精细控制，但原理是一样的。

4. FA值为0与非0的对比实验与现象分析

4.1 FA为0时的路由计算与验证

先把R3的静态路由改回指向Null0，确保FA为0。然后在R1上看路由表：

R1# show ip route 192.168.100.0

你会看到这条路由的下一跳指向R2的互联接口地址10.0.12.2。为什么？因为R2作为ABR，把R3产生的Type-7翻译成了Type-5，Type-5的FA是0，R1计算这条外部路由时，下一跳就是产生Type-5的ABR，也就是R2。R1的流量去192.168.100.0/24，会先发给R2，R2再转发给R3。

在R2上看路由表：

R2# show ip route 192.168.100.0

R2的下一跳指向10.0.23.3，也就是R3。因为R2在NSSA内部，它收到的是Type-7，FA为0，下一跳就是ASBR R3的接口地址。

在R3上看Type-7的详细信息：

R3# show ip ospf database nssa-external 192.168.100.0

输出里FA字段显示0.0.0.0。同时看R2上的Type-5：

R2# show ip ospf database external 192.168.100.0

FA也是0.0.0.0。整条路径的下一跳链条是R1->R2->R3，流量经过了ABR，这是FA为0时的典型行为。

4.2 FA非0时的下一跳变化与路由表对比

现在把R3的静态路由下一跳改成3.3.3.3，让FA非0。改完后稍等片刻，在R3上确认Type-7的FA：

R3# show ip ospf database nssa-external 192.168.100.0

FA字段现在显示3.3.3.3。再看R2上的Type-5：

R2# show ip ospf database external 192.168.100.0

FA也变成了3.3.3.3。关键变化在R1的路由表：

R1# show ip route 192.168.100.0

下一跳不再是R2的10.0.12.2，而是变成了去往3.3.3.3的下一跳。因为R1收到Type-5后，看到FA是3.3.3.3，它会递归查3.3.3.3的路由。3.3.3.3是R3的Loopback，R1通过OSPF学到3.3.3.3的路由，下一跳是R2（10.0.12.2）。所以最终R1去192.168.100.0的下一跳还是R2，但逻辑上已经不同了——它是先递归到3.3.3.3，再走3.3.3.3的路由。

这个实验里因为拓扑简单，R1到3.3.3.3和到R2的下一跳恰好都是R2，所以路由表看起来变化不大。但如果拓扑更复杂，比如R1和R3之间有另一条路径，FA非0就可能让R1直接走那条路径，绕过R2，实现真正的次优路径避免。这就是FA值存在的意义。

4.3 抓包与数据库细节观察

想更直观地看FA的影响，可以在R2和R3之间抓包，观察Type-7 LSA的FA字段。或者用show ip ospf database nssa-external的detail参数：

R2# show ip ospf database nssa-external 192.168.100.0 detail

输出里会明确列出Forwarding Address。对比两次实验的输出，FA从0.0.0.0变成3.3.3.3，一目了然。

还有一个细节值得注意：当FA非0时，ABR翻译出来的Type-5 LSA的FA字段会继承Type-7的值。但如果FA地址在翻译后的区域里不可达，这条Type-5可能会被其他路由器忽略。所以配FA的时候，一定要确保FA地址在整个OSPF域内都是可达的，至少在使用这条路由的路由器上要能查到FA的路由。

5. 常见问题排查与避坑经验

5.1 FA地址不可达导致路由丢失

这是最常见的坑。现象是：NSSA内的ASBR引入了外部路由，Type-7也产生了，但其他路由器路由表里没有这条路由，或者ABR没有翻译成Type-5。排查步骤：先在ASBR上看Type-7的FA值，如果非0，去其他路由器上show ip route <FA地址>，看能不能查到。查不到就说明FA不可达，路由会被忽略。

解决办法有两个：要么把FA地址所在的网段宣告进OSPF，确保可达；要么把FA改成0，让下一跳走ASBR。具体选哪个，看你的网络设计意图。如果希望流量走最优路径，就保证FA可达；如果无所谓，FA为0更省事。

5.2 P-bit未置位导致Type-7不翻译

有时候Type-7在NSSA里泛洪正常，但ABR就是不翻译成Type-5，其他区域学不到这条外部路由。这时候要检查Type-7的P-bit。P-bit为0的原因通常是：这条Type-7是从另一个NSSA区域传过来的，或者ABR上配置了area x nssa no-summary之类的选项影响了翻译行为。

在ABR上用show ip ospf database nssa-external <network> detail看P-bit。如果是0，检查NSSA的配置，确认没有误配no-import-export之类的选项。另外，如果NSSA里有多台ABR，只有Router ID最大的那台会做翻译，这也是一个容易忽略的点。

5.3 多ABR场景下的翻译冲突

当一个NSSA区域有多台ABR时，Type-7转Type-5的活儿只会由其中一台来做，选的是Router ID最大的ABR。如果这台ABR出问题，翻译会切换到另一台，但切换过程中可能有短暂的路由黑洞。这个在实验环境里不容易碰到，但生产环境里如果NSSA有多台ABR，一定要知道这个规则。

排查的时候，在每台ABR上看show ip ospf的输出，找到“NSSA translator”相关的状态，确认哪台是活跃的翻译器。如果发现翻译器不是预期的设备，可以通过调整Router ID来改变选举结果。

5.4 常见问题速查表

6. 实操心得与配置建议

6.1 什么时候该用FA非0

我的经验是，如果你的NSSA区域里ASBR引入的外部路由，其真实下一跳在NSSA内部是OSPF可达的，那就尽量让FA非0。这样其他路由器计算路由时能直接递归到真实下一跳，避免流量绕到ASBR再转发。尤其是在ASBR不是最优转发点的拓扑里，FA非0能显著优化路径。

但如果外部路由的下一跳不在OSPF域内，或者你根本不关心路径优化，那就让FA为0，省去FA可达性的维护成本。FA为0虽然可能产生次优路径，但胜在稳定，不容易出路由丢失的问题。

6.2 配置FA的几种方式与选择

控制FA值主要有三种方式。第一种是调整静态路由的下一跳，让它指向OSPF内的地址，这是最简单的。第二种是用route-map在重分发时设置set forwarding-address，这种方式最灵活，可以精确控制哪些路由用哪个FA。第三种是在ASBR上把外部接口也宣告进OSPF，让下一跳自然变成OSPF可达，从而FA自动非0。

我一般推荐第二种，用route-map显式设置FA。因为这样意图最清晰，后续维护的人一看route-map就知道FA是怎么来的。第一种方式虽然简单，但静态路由的下一跳和FA的关联是隐式的，别人接手时容易懵。

6.3 验证FA生效的完整检查清单

配完FA后，别急着收工，按这个清单过一遍：第一，在ASBR上看Type-7的FA字段是否正确；第二，在ABR上看Type-5的FA字段是否继承正确；第三，在远端路由器上看路由表的下一跳是否符合预期；第四，用traceroute验证实际转发路径；第五，如果FA非0，确认FA地址在所有相关路由器上都是可达的。这五步走完，基本就不会有遗漏了。

6.4 一个容易忽略的细节：FA和Loopback的关系

很多人喜欢用Loopback地址作为FA，因为Loopback稳定，不会因为物理接口down而消失。这本身没问题，但要注意Loopback必须宣告进OSPF，且要在正确的区域里。如果Loopback宣告进了Area 0而不是NSSA，那NSSA内的路由器可能学不到这个Loopback的路由，FA就不可达了。所以用Loopback做FA时，确认它宣告的区域和NSSA的连通性。

我在实际项目中遇到过好几次，ASBR的Loopback宣告在了Area 0，但NSSA里的路由器只有Area 1的链路，结果FA不可达，路由出不来。后来把Loopback改宣告进NSSA，问题就解决了。这个细节很小，但坑人不浅。

7. 从实验延伸到生产环境的思考

实验环境毕竟简单，生产环境里NSSA的部署会复杂得多。比如NSSA里可能有多个ASBR，每个ASBR引入不同的外部路由，FA值各不相同。这时候ABR的翻译压力会变大，Type-5的数量也会增加。规划的时候要考虑ABR的性能和LSA的数量，避免NSSA设计反而成了瓶颈。

另外，NSSA和Stub区域的选择也值得斟酌。NSSA适合那些需要引入外部路由但又不想接收其他区域Type-5的场景。如果区域里根本不需要引入外部路由，那用Stub更简单，连Type-7都不用操心。如果区域里需要引入外部路由，但外部路由的下一跳又不在OSPF里，那NSSA配起来就要格外小心FA的问题。

还有一个生产环境常见的做法，是在NSSA的ABR上配area x nssa default-information-originate，让NSSA内有一台默认路由指向ABR。这样即使外部路由的FA有问题，至少默认路由能保证基本连通性。但这只是兜底，不能替代正确的FA配置。

说到底，NSSA和FA这套机制的设计，核心就是在“限制LSA泛洪”和“保证路径最优”之间找平衡。理解了FA的两种取值和翻译规则，再结合实验验证，基本上就能在实际工作中从容应对了。我自己的习惯是，每次配NSSA引入外部路由，都会先想清楚FA该不该非0，然后按检查清单验证一遍，这样即使拓扑再复杂，也不会在FA上翻车。