OSPF之认证与路由汇总 | 挽着红月缓缓走

📘 OSPF 第四阶段实验笔记：认证与路由汇总

适用场景：在已经跑通的多区域OSPF网络中，对Area 1启用认证，防止未经授权的路由器接入；同时在ABR上把多个细网段合并成一个大网段宣告，减少骨干路由器的负担。

一、核心概念铺垫

技术	白话解释	为什么需要它？
OSPF认证（Authentication）	在路由器之间传递OSPF报文时，加上一个“接头暗号”（密码）。如果暗号对不上，路由器直接不搭理对方。	防止非法设备接入网络乱发路由，导致全网瘫痪或流量被劫持。
路由汇总（Summarization）	ABR或ASBR把多个相邻的细网段（比如`192.168.1.0/24`, `192.168.2.0/24`）合并成一个大网段（`192.168.0.0/22`）往外宣告。	减少骨干路由器上的路由表条目数量，节省CPU和内存，让网络收敛更快。

二、实验拓扑与IP规划（延用三阶段拓扑，增加多个环回口模拟汇总）

设备	接口	IP地址/掩码	所属区域	说明
R1	G0/0/0, Loop0	`10.0.12.1/24`, `1.1.1.1/32`	Area 0	骨干路由器，用于验证汇总效果
R2（ABR）	G0/0/0, G0/0/1	`10.0.12.2/24`, `10.0.23.2/24`	Area 0 / Area 1	同时连接两个区域，作为ABR
R3（ASBR）	G0/0/1, Loop0~Loop3	`10.0.23.3/24`, `192.168.1.1/32` ~ `192.168.4.1/32`	Area 1	ASBR，后面挂了4个模拟网段，用于演示汇总

三、第一部分：OSPF认证配置（给OSPF报文加“密码锁”）

华为支持两种认证方式：接口认证（针对单个接口）和区域认证（针对整个区域所有接口）。新手推荐先用接口认证，排障最简单。

第一步：在R2和R3的互联接口上配置MD5认证

R2配置（Area 1侧接口）：

1
2
3

[R2] interface GigabitEthernet0/0/1
[R2-GigabitEthernet0/0/1] ospf authentication-mode md5 1 cipher Huawei@123
[R2-GigabitEthernet0/0/1] quit

R3配置（Area 1侧接口）：

1
2
3

[R3] interface GigabitEthernet0/0/1
[R3-GigabitEthernet0/0/1] ospf authentication-mode md5 1 cipher Huawei@123
[R3-GigabitEthernet0/0/1] quit

命令/参数	拆解	白话解释
`ospf authentication-mode`	OSPF认证模式	告诉接口：“我要开启OSPF的认证功能，只有通过认证的报文我才收。”
`md5`	加密算法类型	使用MD5算法对密码进行加密传输（比明文`simple`安全得多）。推荐使用MD5或更高级的SHA。
`1`	Key ID（密钥ID）	相当于“钥匙编号”。两端必须完全一致。如果一端是1，另一端是2，即使密码对了也通不了。你可以把它理解为“接头暗号的版本号”。
`cipher Huawei@123`	`cipher`（密文）+ 密码	`cipher`表示在配置文件里会把密码加密存储（而不是明文显示）。密码两端必须完全一致（区分大小写）。

验证认证是否生效：
配置完认证后，在R2上敲 display ospf peer brief，正常情况下邻居状态会在几秒内重新变为 Full。如果在R2上敲 display ospf error 看到 Authentication failure，说明密码或Key ID配错了。

第二步：区域认证（一次性给整个区域加锁，偷懒大法）

如果你Area 1里有10台路由器，在每台路由器接口上都敲一遍认证很繁琐。此时可以在**ABR（R2）和区域内部路由器（R3）**上直接配置区域认证，系统会自动给该区域内的所有接口加上认证。

把刚才接口认证删除，换成区域认证：

// 在R2上先删除接口认证（注意是undo前缀）
[R2] interface GigabitEthernet0/0/1
[R2-GigabitEthernet0/0/1] undo ospf authentication-mode
[R2-GigabitEthernet0/0/1] quit

// 配置区域认证（在OSPF区域视图下）
[R2] ospf 1
[R2-ospf-1] area 1
[R2-ospf-1-area-0.0.0.1] authentication-mode md5 1 cipher Huawei@123

同理在R3上操作：

[R3] interface GigabitEthernet0/0/1
[R3-GigabitEthernet0/0/1] undo ospf authentication-mode
[R3-GigabitEthernet0/0/1] quit
[R3] ospf 1
[R3-ospf-1] area 1
[R3-ospf-1-area-0.0.0.1] authentication-mode md5 1 cipher Huawei@123

参数	解释
`authentication-mode` 在区域视图下配置	效果等同于给该区域内的所有接口（包括将来新增的接口）都开启认证。如果某个接口不需要认证（比如接终端的口），可以在接口视图下单独执行 `ospf authentication-mode null` 覆盖。

四、第二部分：路由汇总配置（让路由表“瘦身”）

第一步：在R3上模拟多个外部直连网段（用于ASBR汇总演示）

如果是在模拟器里，直接给R3配置4个环回口（Loopback 1~4），模拟4个不同的网段。

[R3] interface LoopBack 1
[R3-LoopBack1] ip address 192.168.1.1 255.255.255.0
[R3-LoopBack1] quit
[R3] interface LoopBack 2
[R3-LoopBack2] ip address 192.168.2.1 255.255.255.0
[R3-LoopBack2] quit
[R3] interface LoopBack 3
[R3-LoopBack3] ip address 192.168.3.1 255.255.255.0
[R3-LoopBack3] quit
[R3] interface LoopBack 4
[R3-LoopBack4] ip address 192.168.4.1 255.255.255.0
[R3-LoopBack4] quit

// 把这4个网段宣告进Area 1（注意：在R3上宣告时，它们是在Area 1内部）
[R3] ospf 1
[R3-ospf-1] area 1
[R3-ospf-1-area-0.0.0.1] network 192.168.1.0 0.0.0.255
[R3-ospf-1-area-0.0.0.1] network 192.168.2.0 0.0.0.255
[R3-ospf-1-area-0.0.0.1] network 192.168.3.0 0.0.0.255
[R3-ospf-1-area-0.0.0.1] network 192.168.4.0 0.0.0.255

此时在R1上敲 display ip routing-table 会看到4条独立的 O IA 路由（192.168.1.0/24, 2.0/24, 3.0/24, 4.0/24）。

第二步：在ABR（R2）上配置汇总（`abr-summary`）

现在我们要在R2（ABR）上把这4条细路由合并成1条大路由 192.168.0.0/22 发给Area 0。

[R2] ospf 1
[R2-ospf-1] area 1
[R2-ospf-1-area-0.0.0.1] abr-summary 192.168.0.0 255.255.255.0
[R2-ospf-1-area-0.0.0.1] quit
[R2-ospf-1] quit

命令/参数	拆解	白话解释
`abr-summary`	ABR汇总命令	这条命令只能在ABR上敲（必须连接至少两个区域），且必须在对应区域的视图下敲（这里是Area 1，因为路由是从Area 1发出去的）。
`192.168.0.0`	汇总后的目标网段	把4条细路由合并后，对外宣称的大网段地址。
`255.255.255.0`	汇总后的子网掩码	这里是`/24`，但这是示例写法。实际工作中，如果你想包含`192.168.1.0~192.168.4.0`，应该用`255.255.252.0`（即`/22`）。计算方式：`192.168.1.0` 和 `192.168.4.0` 前22位相同，所以掩码是22。考试考点：这里掩码写错会导致汇总失败或漏掉路由。

验证汇总效果：
在R1上再次敲 display ip routing-table，你会发现原来的4条 O IA 路由消失了，取而代之的是：

1	192.168.0.0/24 OSPF 10 2 10.0.12.2 G0/0/0

（如果掩码是/22，则会显示为192.168.0.0/22）

五、第三部分：ASBR外部路由汇总（`asbr-summary`）

如果你在R3（ASBR）上引入了一条外部路由（比如通过 import-route static），并且有多个外部网段需要汇总，则使用 asbr-summary。

示例（模拟外部网段）：

[R3] ip route-static 172.16.1.0 24 NULL 0
[R3] ip route-static 172.16.2.0 24 NULL 0
[R3] ospf 1
[R3-ospf-1] import-route static   // 引入外部路由，会变成Type 5 LSA
[R3-ospf-1] asbr-summary 172.16.0.0 255.255.255.0   // 汇总成一条发出去

参数	解释
`asbr-summary`	只能在ASBR上敲，汇总那些通过`import-route`引入的外部路由。它与`abr-summary`的区别在于：`abr-summary`汇总区域内直连路由，`asbr-summary`汇总外部引入路由。

六、第四阶段排错流程

❌ 场景1：开启认证后，邻居状态卡在 `Down` 或 `Init`，然后报错

排查步骤：

在任意一端敲 display ospf error interface GigabitEthernet0/0/1。
- 如果看到 Authentication failure，说明密码或Key ID不匹配。检查两端 key-id 是否一致，密码是否完全一致（区分大小写）。
检查是否同时配了接口认证和区域认证，且两边模式不一致（比如一端配了MD5，另一端配了明文）。
- 解决方法：统一使用同一种模式（推荐MD5）。如果必须混用，可以在接口视图下用 ospf authentication-mode 覆盖区域配置。

❌ 场景2：配置了 `abr-summary`，但R1上看不到汇总路由，只看到明细路由

排查步骤：

检查是否在正确的区域视图下敲的命令：abr-summary 必须在路由被发送出去的那一侧区域视图下配置。也就是说，Area 1 的路由要汇总后发给 Area 0，就必须在 area 1 视图下敲，而不是在 area 0 视图下敲。
检查掩码是否写错：如果汇总掩码写成了 255.255.255.0，而明细路由是 192.168.1.0/24，192.168.2.0/24，它们并不完全落在 192.168.0.0/24 里（2.0不在0.0网段）。正确的做法是写成 255.255.252.0（/22）。
强制删除明细路由：OSPF会优先选择明细路由，即使汇总生成，如果明细路由存在且更优先（前缀更长），设备可能不会显示汇总条目。
- 解决方法：在R1上敲 display ospf routing 查看OSPF内部表，确认汇总是否生成。如果生成了，再敲 display ip routing-table 看明细是否覆盖了汇总。

❌ 场景3：汇总后，某些原本能通的网段突然不通了

原因：汇总时把不该包含在内的网段也包进去了，导致流量被误导到ABR，但ABR实际没有该明细路由。
解决方法：重新计算汇总掩码，确保只覆盖需要汇总的网段范围。

七、第四阶段核心笔记总结（速记口诀）

场景	命令（在谁上敲）	白话解释
给单个接口加密码锁	`ospf authentication-mode md5 1 cipher xxx`（接口视图）	“这个口只认密码是xxx、钥匙号是1的人。”
给整个区域加密码锁	`area 1 authentication-mode md5 1 cipher xxx`（区域视图）	“这个区域所有接口统一用这个密码和钥匙号。”
合并区域内多条直连路由	`abr-summary 汇总网段掩码`（在ABR的对应区域视图下）	“我这边有好多细网段，但我只对外说一条大的。”
合并外部引入的多条路由	`asbr-summary 汇总网段掩码`（在ASBR的OSPF进程视图下）	“我引入的外部路由，我只汇总成一条告诉你们。”