OSPF特殊区域实战：阻止Type-4和Type-5 LSA进入区域

接到这个需求的时候，我第一反应是：这又是一个"网络工程师每天都在做、但新手往往搞不明白"的经典操作。OSPF作为最常用的路由协议，Type-4和Type-5 LSA的传播控制，直接影响区域的LSDB规模、路由表精简和安全性。标题里提到的"阻止Type-4和Type-5 LSA进入该区域"，本质上就是OSPF特殊区域的应用问题。这篇文章我会从LSA的角色讲起，把Stub、Totally Stub、NSSA、Totally NSSA这几种区域类型的选型逻辑、配置命令、验证方法和踩坑经验一次讲透。适合正在做网络规划、搞运维排障、或者备考网络认证的工程师参考。

1. 先拆清楚：Type-4和Type-5 LSA到底是干什么的

想搞清楚"为什么阻止"以及"怎么阻止"，得先明白Type-4和Type-5 LSA在OSPF里扮演什么角色。很多朋友一上来就背区域类型，背完就忘，就是因为没搞懂LSA本身的行为逻辑。

1.1 Type-5 LSA：外部路由的"传送带"

Type-5 LSA，也叫外部LSA（External LSA），是由ASBR产生的。ASBR就是那些把外部路由引入OSPF域的路由器，比如连接了其他路由协议、静态路由或者直连外部网络的路由器。当ASBR将一条外部路由（比如一条静态路由或一条从BGP学来的路由）重分发进OSPF时，它会生成一条Type-5 LSA，描述这条外部路由的网段、掩码、开销等信息。

关键在于，Type-5 LSA一旦生成，就会在整个OSPF自治系统内泛洪——除了Stub区域和NSSA区域。它不受区域边界限制，跨越骨干区域和非骨干区域传播，所有普通区域的路由器都会收到它，计算出一条指向ASBR的外部路由。

简单类比：Type-5 LSA就像是小区门口贴了一张告示，告诉大家"外面有个新超市，地址在这"。只要你是这个小区的住户（普通区域），不管你在哪栋楼（哪个区域），你都能看到这张告示。

1.2 Type-4 LSA：给其他区域指路的"路标"

Type-4 LSA，也叫ASBR汇总LSA（Summary ASBR LSA），很多人对它理解得比较模糊。它的作用是：当ASBR和某些路由器不在同一个区域时，这些路由器虽然收到了Type-5 LSA，知道有外部路由存在，但它们不知道怎么走到ASBR——因为ASBR的具体位置（Router ID对应的路由）可能不在自己区域里，普通的路由查询查不到去ASBR网段的路由。

这时候，区域边界路由器ABR会生成一条Type-4 LSA，描述"到达ASBR的路径信息"，并把这条Type-4 LSA注入到其他区域。其他区域的路由器收到Type-4后，就能计算出到达ASBR的路由，从而把外部路由的下一跳搞定。

还是拿小区类比：Type-5是"新超市开业"的告示，Type-4则是告示背面附的"怎么走到超市"的路线图。没有路线图，告示等于白看。

这里有个容易混淆的点：Type-4不是ASBR自己产生的，而是ABR产生的。ASBR所在的区域里，路由器可以直接通过区域内路由找到ASBR，所以不需要Type-4；但其他区域的路由器看不到ASBR的Router LSA，就需要ABR帮忙生成一条"去往ASBR的汇总路由"。换句话说，Type-4是"跨区域通告ASBR信息"的工具。

1.3 为什么要阻止它们进入某个区域

理解了Type-4和Type-5的作用，阻止它们进入某个区域的目的就很清晰了。实际网络里，最常见的需求分成几类：

第一类是LSDB规模控制。骨干网上可能引入了大量外部路由，Type-5 LSA动辄几百上千条。如果每个接入区域、分支机构区域都全量承载这些LSA，区域内的低端路由器内存和CPU会吃不消。OSPF的SPF计算每次都要处理这些LSA，区域越大、LSA越多，收敛越慢。

第二类是路由策略集中。某些区域（比如一个只跑办公网的分支）根本不需要知道外网有哪些明细路由，它只要一条默认路由把所有出区域流量扔给ABR即可。这时候把区域设置成Stub或Totally Stub，区域内路由表会极其干净，出区域流量路径也完全可控。

第三类是安全问题。规范强行让所有普通区域的路由器接收全量外部LSA，等于把全网的路由拓扑信息广播给了每一个角落。从隔离和最小权限角度来看，限制LSA进入特定区域，能减少路由信息的暴露面。

我实际见过一个场景：某数据中心核心OSPF域里，接入了大量BGP外部路由，Type-5 LSA有好几千条。而楼宇接入区域的汇聚交换机还在用老设备，内存吃紧，SPF计算频繁跑满CPU。最后就是把这些接入区域全部改成Totally Stub，只保留一条默认路由，问题立刻解决，设备负载大幅下降。

2. 思路拆解：阻止Type-4/5进入区域的几种典型方案

真正动手配置之前，先要理解OSPF区域类型的设计逻辑。想阻止Type-4和Type-5 LSA进入某个区域，手段其实不是靠"过滤LSA"，而是靠"变更区域类型"。OSPF标准里专门设计了几种特殊区域，目的就是让ABR在区域边界上拦截掉Type-4和Type-5。

2.1 方案对比总览

这张表建议收藏，平时做方案、考试、面试都用得上。注意Stub和Totally Stub的关键区别在于Type-3 LSA：Stub允许区域间路由（Type-3）进入，Totally Stub连区域间路由都拦掉，只放一条默认路由进来。

2.2 Stub和Totally Stub：最直接的标准做法

Stub区域是OSPF里最经典的特殊区域。设计理念很简单：这个区域不需要知道外部路由长什么样，所有去往OSPF域外的流量直接交给ABR转发。因此ABR在这个区域边界上不会通告Type-4和Type-5 LSA，同时自动生成一条Type-3的默认路由，告诉区域内路由器"去外面都走我这儿"。

配置上，Stub区域要求区域内所有路由器（包括ABR和非ABR）都配置为Stub模式。如果有一台路由器没配置，OSPF邻居关系会起不来，直接被卡在Exstart/Exchange状态。这一点很多人踩坑，后面排查部分细说。

Totally Stub则是Cisco提出来的增强版本（后来华为等厂商也支持），在Stub的基础上连Type-3都拦掉。区域内的路由器只保留本区域的Type-1/2 LSA和一条默认路由。这种模式下，区域内的路由条目少得可怜，非常适合接入层、分支节点这类位置。

我自己的使用经验是：如果某个区域下联用户只访问内网特定几个网段，可以保留Stub让Type-3进来，方便区域内路由器直接选路；但如果这个区域只是"接入终端、全部流量上送汇聚"，那Totally Stub更省资源、更干净。

2.3 NSSA和Totally NSSA：允许自己引入外部路由的变通

Stub区域有个硬性限制：区域内不允许存在ASBR，也就是说不能在Stub区域里的路由器上做路由重分发（比如把静态路由import进OSPF）。如果这个区域恰好需要自己引入一些外部路由（比如分部有一条专线路由要发布给全网），Stub方案就失效了。

NSSA（Not-So-Stubby Area，非完全Stub区域）专为解决这个问题而生。NSSA区域同样不允许Type-4和Type-5 LSA进入，但它允许区域内的ASBR产生Type-7 LSA来承载外部路由。Type-7只在NSSA内部传播，当ASBR所在区域的ABR把Type-7转发到其他区域时，会把Type-7转换成Type-5再发出去。这样，NSSA区域既能引入外部路由，又不接收其他区域灌进来的外部LSA，可谓两全其美。

Totally NSSA则是在NSSA基础上再拦掉Type-3，只保留区域内部路由和默认路由，同时允许本区域引入外部路由（Type-7）。

实际规划中，NSSA多用于"这个区域需要自己引一些路由，但不想承接全网的Type-5"的场景。比如分公司区域里有一条直连运营商专线，需要在OSPF里发布，同时又不希望收到核心区域成百上千条的外部明细路由，NSSA就是标准答案。

2.4 为什么不要指望distribute-list和filter-list

很多朋友一上来就想用distribute-list或者filter-list去"过滤"Type-4/5 LSA，觉得配置一条策略就行。这里必须泼一盆冷水：distribute-list在OSPF里只影响本地路由表，不影响LSA数据库的泛洪。也就是说，你用distribute-list拦掉某条外部路由，只是让本路由器不把这条路由装进路由表，但Type-5 LSA该进LSDB还是进LSDB，邻居照样收到，SPF还是照算。它根本做不到"阻止LSA进入区域"。

ABR上的filter-list（华为的area filter-list、思科的area filter-list）也只能过滤Type-3 LSA（区域间路由汇总），对Type-4和Type-5无能为力。因为标准里Type-4和Type-5的泛洪控制就是靠区域类型，没有按前缀过滤的机制。

所以顶着标题直说：要阻止Type-4和Type-5 LSA进入某个区域，唯一靠谱的方案就是把这个区域配置成Stub、Totally Stub、NSSA或Totally NSSA。搞明白了这一点，配置命令反而非常简单。

3. 实操配置：从拓扑到验证的完整流程

理论讲完，进入动手环节。我用一个典型的小型网络拓扑演示配置，华为命令为主、思科命令对照。两种厂商的配置逻辑完全一样，只是关键字略有差异。

3.1 网络拓扑与区域规划

假设拓扑如下：

• R1在Area 0（骨干区），同时连接Area 1和Area 2，充当ABR，Router ID为1.1.1.1。
• R2、R3在Area 1内，作为普通路由器。
• R4、R5在Area 2内。
• R1和R6之间存在外部连接：R6模拟ASBR，向OSPF域引入一条静态路由（比如外部网段172.16.1.0/24），R6在Area 0内。
• 目标：让Area 1变成Totally Stub区域，彻底阻止Type-3/4/5 LSA进入；让Area 2变成Totally NSSA区域，阻止Type-4/5进入，但允许Area 2内自己引入外部路由（这里模拟R5引入直连网段192.168.100.0/24）。

这样规划的好处是：既有Stub的一个典型场景，也有NSSA的一个典型场景，一台设备上全部覆盖。实际网络中两个区域类型完全可以分开用，不必强行相同。

3.2 在ABR上配置Totally Stub区域（华为）

华为的配置很直观，直接在OSPF进程下进入对应的area视图，敲stub或stub no-summary。

R1（ABR）上的配置：

ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 10.0.0.0 0.0.0.255 area 0.0.0.1 network 192.168.1.0 0.0.0.255 stub no-summary

注意华为对应的Area 1你只要把下面两台路由器也配成stub即可。如果配的是stub no-summary，就是Totally Stub；如果只配stub，就是普通Stub。totally stub情况下ABR会自动下发一条Type-3的默认路由给区域内，命令就是no-summary这个参数带出来的。

R2、R3（Area 1内的非ABR）配置：

ospf 1 router-id 2.2.2.2 area 0.0.0.1 network 192.168.1.0 0.0.0.255 stub

对于R2、R3来说，只需要敲stub，不需要敲no-summary——因为Totally Stub的拦截行为是在ABR上做的，区域内路由器只要保证自己的区域类型是stub即可。

思科这边等价配置是：

router ospf 1 router-id 1.1.1.1 network 10.0.0.0 0.0.0.255 area 0 network 192.168.1.0 0.0.0.255 area 1 area 1 stub no-summary

router ospf 1 router-id 2.2.2.2 network 192.168.1.0 0.0.0.255 area 1 area 1 stub

这里必须强调一个原则：Area 1里所有路由器，只要启用了OSPF且属于这个区域，都必须配置stub关键字，否则邻居关系起不来。华为设备如果一端是stub另一端是普通区域，OSPF邻居会反复震荡，最终停在Exstart状态。这也是后面第4节第一个排查点要重点讲的。

3.3 在ABR上配置Totally NSSA区域（华为）

Area 2使用Totally NSSA。华为配置：

R1（ABR）上的配置：

ospf 1 router-id 1.1.1.1 area 0.0.0.2 network 10.0.1.0 0.0.0.255 nssa no-summary

等等，R1连接Area 2的网段我前面没定义，这里补一下：R1和R4之间的链路网段假定是10.0.1.0/24，R4和R5之间是192.168.100.0/24。这些细节不影响主题，但配置里总要说清楚。R1配置：

ospf 1 router-id 1.1.1.1 area 0.0.0.0 network 10.0.0.0 0.0.0.255 area 0.0.0.1 network 192.168.1.0 0.0.0.255 stub no-summary area 0.0.0.2 network 10.0.1.0 0.0.0.255 nssa no-summary

R4（Area 2内普通路由器）配置：

ospf 1 router-id 4.4.4.4 area 0.0.0.2 network 10.0.1.0 0.0.0.255 nssa

R5假设作为NSSA区域内的ASBR，引入直连路由，配置：

ospf 1 router-id 5.5.5.5 area 0.0.0.2 network 192.168.100.0 0.0.0.255 nssa import-route direct

这里用import-route direct把R5的直连路由引入OSPF，在NSSA区域内形成Type-7 LSA。如果你用的是思科设备，对应写法是redistribute connected加上area 2 nssa。有一点要注意：思科在NSSA区域里重分发直连路由，有时会因为你把接口也宣告进OSPF而产生重复路由，建议在redistribute connected时配合subnets参数，并仔细检查引入范围。

思科对应的Totally NSSA配置：

router ospf 1 router-id 1.1.1.1 network 10.0.0.0 0.0.0.255 area 0 network 10.0.1.0 0.0.0.255 area 2 area 2 nssa no-summary

router ospf 1 router-id 4.4.4.4 network 10.0.1.0 0.0.0.255 area 2 area 2 nssa

这里有个细节：NSSA的ABR（也就是R1）默认情况下不会自动向NSSA区域内注入默认路由。这点和Stub区域不一样。如果希望Area 2里的路由器有一条指向ABR的默认路由（通常是出公网用的），还需要额外敲一条命令。华为是：

area 0.0.0.2 nssa no-summary default-route-advertise

如果你配的是no-summary，实际测试中ABR会自动产生一条Type-3默认路由下发到NSSA区域，效果类似Totally Stub。但如果你只配了nssa而没有no-summary，则默认不会自动产生默认路由，需要显式配置default-route-advertise。不同版本/厂商默认行为可能有差异，这里建议养成习惯：凡是需要NSSA区域有默认路由的场景，显式敲default-route-advertise，不要依赖默认行为。

思科对应是：

area 2 nssa no-summary

或

area 2 nssa default-information-originate

想彻底totally nssa（阻止Type-3又给默认路由）就两个组合着看，不同IOS版本对no-summary是否自动下发默认路由的处理并不完全一致，建议配置后查一下路由表，没有默认路由就补default-information-originate。

3.4 配置后的验证命令与预期结果

配置完成后，重点看三个方面：LSA数据库、路由表、邻居状态。

华为设备验证命令：

• 查看邻居状态：display ospf peer（在R1、R4上检查，Full状态正常）
• 查看LSA数据库概要：display ospf lsdb或display ospf lsdb brief
• 查看外部LSA：display ospf lsdb ase（表示Type-5）
• 查看ASBR汇总LSA：display ospf lsdb asbr-summary（表示Type-4）
• 查看区域间LSA：display ospf lsdb summary（表示Type-3）
• 查看OSPF区域信息：display ospf，能看到每个区域的类型。

在R2（Area 1内的路由器）上，预期结果应该是：

• display ospf lsdb ase没有任何输出（没有Type-5）
• display ospf lsdb asbr-summary没有任何输出（没有Type-4）
• display ospf lsdb summary只有一条默认路由（0.0.0.0/0），来源是ABR下发
• display ospf routing里有一条默认路由指向ABR

在R4（Area 2内的路由器）上，预期结果应该是：

• 没有Type-5，但有Type-7（如果你在Area 2里引了外部路由）
• 没有Type-4
• 有一条默认路由（如果你配置了default-route-advertise）
• 如果R4和R5之间通过OSPF学习到192.168.100.0/24，那它是Type-7 LSA承载的路由

思科验证命令对应为show ip ospf database、show ip ospf database external、show ip ospf database asbr-summary、show ip route ospf。逻辑一致，不再重复。

另外建议在R6（模拟ASBR）上引入外部路由后，先在R1上看是否正常收到Type-5。然后在R2上再查一次，确认确实进不来Area 1。这种"源端确认、目标端复查"的习惯能帮你快速定位问题到底出在配置还是区域类型上。

4. 常见问题与排查技巧实录

这一节是我最想写的部分。特殊区域配置本身不难，难的是出问题后的排查。下面这些都是我实际测试和现网维护中反复遇到过的坑，每条都值得记下来。

4.1 邻居卡在Exstart/Exchange：区域类型不一致

现象：把Area 1改成Stub后，R1和R2的OSPF邻居起不来，状态一直卡在Exstart或者Exchange，反复震荡。

原因：OSPF邻居建立过程中会交互DBD报文，Inside这些报文里带有区域类型的标志位。如果一端认为自己是Stub，另一端认为自己是普通区域，双方能力集不一致，邻居建立必然失败。华为、思科都一样。

处理：逐台检查区域内所有路由器的area配置。特别是ABR上，如果你给Area 1配置了stub，那么Area 1内每一台路由器都必须有stub。有一些项目里交换机链路上可能同时还有别的区域，只改了一台是不行的。

顺便提醒：改区域类型前，先在维护窗口里把区域内所有设备的配置都准备好，统一下发，避免一台一台修改导致中间状态时间过长。

4.2 Stub区域里偷偷引了外部路由

现象：某台区域内的路由器配置了import-route static或者其他路由引入命令，结果区域内的路由计算出现异常，或者ABR设备一直报错。

原因：Stub区域不允许ASBR存在。如果你在Stub区域内部路由器上重分发路由，这台路由器就成了ASBR，需要生成Type-5 LSA。但Stub区域的邻居不接收Type-5，两边就对不上，最后外部路由根本学不到，而且很容易导致SPF计算异常。

处理：要么移除Stub区域里的重分发配置，换用NSSA；必须保留外部路由引入，就把这个区域从Stub改成NSSA或Totally NSSA。做区域规划的时候就要想清楚：区域是否需要引入外部路由？需要就不要用Stub，用NSSA。

4.3 NSSA里看不到外部路由，或者没有默认路由

现象：在NSSA区域内部配置了import-route，但区域内路由器查不到外部路由；或者NSSA区域路由器没有默认路由。

原因：NSSA里外部路由靠Type-7承载，而Type-7只在NSSA内部泛洪。如果外部路由是ABR上引入的（比如你在R1上import-route），那R1作为ABR同时又是ASBR，生成的是Type-7还是Type-5取决于华为的版本实现。有的版本里，ABR自己引入的外部路由会直接以Type-5形式在骨干区域通告，并不会自动转成Type-7灌回NSSA，导致NSSA内路由器反而学不到。这就不是"配错"而是"理解差异"。

处理：关键点就一句话——如果你希望某条外部路由出现在NSSA内部，它必须由NSSA区域内的路由器（非ABR）通过Type-7引入。区域内非ABR设备上做重分发，是最稳的做法。至于默认路由，检查是否显式配置了default-route-advertise，没有就补上。

4.4 虚链路和区域类型的"不兼容"问题

现象：规划时想用OSPF虚链路（virtual-link）让某个非骨干区域接入骨干，但配置后发现邻居起不来。

原因：OSPF标准明确要求，虚链路不能穿越Stub区域，也不能穿越NSSA区域。因为虚链路需要依赖Type-3、Type-4、Type-5 LSA来完成跨区域路径计算，而这些LSA在特殊区域里恰恰被拦掉了，逻辑上就冲突。

处理：网络设计阶段就要避免把特殊区域放在需要虚链路的位置。如果确实有个区域需要跨越另一个区域接入骨干，那个"被穿越"的区域必须是普通区域，不能是Stub或NSSA。这是很多人做方案时容易忽略的硬约束。

4.5 用了过滤命令，LSA还在LSDB里

现象：你在ABR上配了filter-policy或者distribute-list，想去掉某些Type-5路由，结果display ospf lsdb一看，LSA还好好的在里面，甚至路由表该有的还在。

原因：之前讲过，distribute-list在OSPF里只影响本路由器路由表的装载，不阻止LSA泛洪。ABR上的filter-list只能过滤Type-3，拦不住Type-4和Type-5。如果非要滤Type-5，标准做法是改变区域类型，而不是靠策略过滤。

处理：记住这个结论，能省下大量排障时间。我见过太多工程师在filter-policy上折腾半天，最后发现理论方向就错了。

4.6 区域类型改了，但路由没有变化

现象：把Area 1从普通区域改成Totally Stub后，区域内路由表还是能看到一堆Type-3的外部网段，没有收敛成一条默认路由。

原因：很可能是区域内某台路由器没有同步配置stub，或者配置下发后没有等待足够的时间，SPF还没重新计算。也可能是你改的是ABR，但非ABR设备上OSPF进程没有刷新，区域类型信息在广播型网络上还在用旧的。

处理：改完配置后用reset ospf process（华为）或clear ip ospf process（思科）重置一下OSPF进程，让它强制重新建立邻居关系并重新泛洪LSA。再逐台检查display ospf里的区域类型是否全部变成Stub。这种"软重启"在做特殊区域变更时很常用。

排查速查表

结尾

做OSPF区域设计做了这么多年，我最深的体会是：特殊区域本质上是对LSA传播范围的一种"制度性约束"，它比任何策略过滤都可靠。Stub和NSSA不是简单的命令差异，而是对整个区域的运行模式重新做了定义。规划网络时，我习惯在一张表上先列清楚每个区域要不要引入外部路由、要不要接收区域间明细、需不需要默认路由，再来反推区域类型，基本不会出大错。

最后分享一个小技巧：在现网里做区域类型变更之前，先在一台空闲设备上搭个最小复刻环境，模拟三个区域、挂了外部路由源，把预期LSA变化跑一遍。之前我在一个接入区域把普通区域改成Totally Stub时，就是因为提前在测试环境里确认了ABR下发的默认路由开销，才避免了上线后流量路径异常的问题。OSPF这种东西，看着简单，细节全在验证上。