IS-IS区域迁移与路由汇总：从原理到实战避坑指南

1. 从一次“区域合并”的翻车现场说起去年我帮某企业做骨干网整合原计划是把两个 Level-1 区域合并成一个再把边界路由器的 Level-2 角色收敛掉。方案评审时大家都觉得 IS-IS 区域调整比 OSPF 简单——毕竟 IS-IS 的区域边界在路由器上不用一根根链路去改 area。结果真到割接窗口问题一个接一个先是某台接入路由器一直报邻居 down然后是 L1 区域内部突然多出一条指向奇怪方向的默认路由最后是业务回程路径绕了一大圈。那次之后我把 IS-IS 的区域迁移和路由汇总重新摸了一遍这篇文章就是当时经验的整理。IS-IS 的区域迁移本质上是改变一台设备在 Level-1/Level-2 层级中的位置同时重新定义它向其他区域通告路由的方式。而路由汇总恰恰是区域迁移中最容易被忽略的伴生动作边界点一旦移动原先的汇总点可能变成旁路明细路由和汇总路由之间会出现黑洞或次优路径。这两件事必须放在一起规划不能只改 Level、只改 NET然后指望路由自己收敛好。这篇文章适合谁看网络工程师、运维工程师尤其是那些要碰企业骨干网、数据中心出口、运营商接入网的 IS-IS 使用者。下面这些内容不是理论堆砌是我在设备上实际操作过的流程也包含了一些常规文档里不会写的坑。1.1 项目背景为什么要做区域迁移那次项目本身不复杂。客户早期网络规划时每个地市一个 Level-1 区域随着业务扁平化区域间流量越来越大L1/L2 边界越来越多LSP 泛洪也变得越来越不可控。方案是想把相邻几个区域合并成一个大区域减少边界数量同时把原来的边界路由器降级为纯 Level-1只在核心保留少量 L1/L2 路由器。听起来不难对吧IS-IS 的区域边界是“软边界”一台路由器可以同时扮演 L1、L2 或者 L1/L2。区域合并似乎只要把设备的 Area ID 改一致再把不必要的 L2 链路关掉就行。但真正操作时会发现IS-IS 的 Level 关系、ATT 位、默认路由、路由泄漏、汇总配置这些隐性的东西会一起跟着变。任何一个环节没考虑业务就会给你颜色看。1.2 IS-IS 的区域心智模型和 OSPF 完全是两回事先说清楚底层机制这是后面所有操作的基础。OSPF 的区域边界在链路上一条链路属于哪个区域是固定的ABR 连接多个区域。而 IS-IS 的区域边界在路由器上路由器通过 NET 地址里的 Area ID 声明自己属于哪个区域通过 is-type 声明自己参与哪一级 SPF 计算。一台路由器可以只有 Level-1 能力也可以只有 Level-2 能力多数情况是 Level-1-2。不同类型之间还能建立邻居关系只要接口的 circuit type 匹配就行。更关键的是 LSP 泛洪规则。Level-1 的 LSP 只在 Level-1 区域内泛洪Level-2 的 LSP 在整个 Level-2 骨干域泛洪。一个 Level-1-2 路由器会维护两份独立的 LSDB一份放 L1 的 LSP一份放 L2 的 LSP。所谓“区域”在 IS-IS 眼里并不是一张扁平的地图而是两棵并行的 SPF 树L1 树负责区域内部L2 树负责区域间。这就是为什么区域迁移不能只改一个 NET。你把一台纯 L1 路由器从 Area 49.0001 改成 49.0002它在 Area 49.0001 里建立的所有 L1 邻接会全部失效因为 L1 邻接要求双方 Area ID 一致。同时它的 L1 LSP 会从旧区域的 LSDB 中消失。如果这台设备此时没有 L2 上联那它就彻底从网络中“掉线”了——但物理链路还是通的路由却全没了。这种问题配置上根本看不出来只有看路由表才会意识到严重性。1.3 那次的故障现场默认路由“野”了我们当时的割接操作是先把两台边界路由器改成纯 L2准备之后统一改 NET。改完 is-type 以后L1 邻居全部 down这是预期内的。但随后出现了一个意外区域内其他 L1 路由器突然学到了一跳指向某台旧边界设备的默认路由而且是优先路径。原因就是 ATT 位。IS-IS 里Level-1-2 路由器会在自己生成的 L1 LSP 里置位 ATTattach位告诉区域内的 L1 路由器“我这个节点可以到达 L2 骨干”。L1 路由器收到带 ATT 的 LSP就会生成一条默认路由指向这台 L1/L2 路由器。我们的旧边界设备虽然已经改成纯 L2但它的某个接口上还残留着 L1 circuit type导致它继续参与 L1 SPF、继续往 L1 LSDB 里发 LSPATT 位自然还在。于是 L1 区域的默认路由方向就没变流量还往已经失去 L2 能力的旧边界跑。这给了我们一个非常深刻的教训区域迁移操作前必须把设备上每个接口的 circuit type、每台设备的 is-type、NET 里的 Area ID、L1/L2 LSDB 里的残留 LSP全部核对一遍。任何一个角落漏掉都会变成隐形的路由环路或黑洞。2. 迁移前必须理清的三个底层约束区域迁移不是靠感觉操作背后有三个硬约束必须提前确认NET 的结构与多 NET 过渡、接口 circuit type 与设备 is-type 的配合、ATT 位对默认路由的影响。2.1 NET 的组成与双 NET 平滑过渡NETNetwork Entity Title是 IS-IS 节点的名字格式类似 49.0001.0100.0000.0001.00。其中 49.0001 是 Area ID0100.0000.0001 是 System ID最后 00 是 SEL通常为 00。System ID 在一台设备上必须唯一而且一台设备配置多个 NET 时所有 NET 的 System ID 必须一致只有 Area ID 可以不同。这个“多 NET”机制就是区域迁移最有力的平滑工具。实际操作中我建议不要直接删除旧 NET 再添加新 NET而是先添加新 NET让设备同时保留新旧两个身份一段时间。这样旧邻居还能通过旧 NET 维持部分邻接新邻居通过新 NET 建立关系LSDB 不会瞬间清空路由表也不会发生剧烈震荡。但是要注意多 NET 不是让一台设备同时成为两个独立区域的“正常路由器”它的作用是过渡。多个 Area ID 在同一个进程里共存LSP 的生成和泛洪会变得复杂尤其是一台设备同接口形成跨区域的 L1 邻接时LSDB 维护开销不小。所以双 NET 过渡只能在割接窗口内使用确认新区域稳定后立即删除旧 NET。2.2 接口 circuit type 与设备 is-type 的配合IS-IS 接口有三种 circuit typeLevel-1、Level-2、Level-1-2。设备整体能力由 is-type 决定接口 circuit type 决定了这个接口能建立哪一级邻居。区域迁移时很多人只关注改 is-type忽略了接口级别结果出现一种典型问题设备已经是纯 L2但某些接口还是 Level-1-2于是它继续接受 L1 LSP继续参与 L1 SPF看起来像“幽灵 L1 路由器”。反过来也一样比如一台设备要从 L1/L2 降级为纯 L1如果骨干接口没有从 Level-2 改成 Level-1那它和管理面已经隔离的 L2 邻居之间会不断 flap。IS-IS 邻居建立本身是很快的但频繁的邻居状态变化会导致 LSP 序号快速递增、CSNP 频繁发送影响整个域的稳定性。所以迁移前请把你设备上每一个 IS-IS 接口的 circuit type 列出来对照一张表接口名、当前类型、目标类型、连接的邻居类型、变更窗口。这张表比任何脚本都重要。2.3 ATT 位与默认路由看不见的路径变化前文已经提到 ATT 位。这里再展开一下原理和排查方法。Level-1-2 路由器在 L1 LSP 中设置 ATT 位表示“本节点可以到达 L2 骨干”。L1 路由器收到带 ATT 的 L1 LSP就会生成一条到该节点的默认路由。如果区域内有多个 L1/L2 边界L1 路由器会选择最近的metric 最小的一个作为默认出口。区域迁移一定会改变 ATT 的分布原先有 3 台 L1/L2 边界合并后可能只剩 1 台或者一台 L1/L2 降级为纯 L1ATT 位消失。这时区域内所有 L1 路由器的默认路由指向都会变影响所有去往区域外的流量。检查方法很直接查看 LSP 中的 ATT 位。在主流设备的 IS-IS 数据库视图里L1 LSP 通常会显示 attach 标志。如果发现某些 L1/L2 边界路由器本应贡献 ATT但 LSP 里没看到或者相反——一台纯 L1 设备居然还在 LSP 里带 ATT那一定是 circuit type 或 is-type 配置不一致立即排查。3. 区域迁移的标准操作流程以 L2/L1 边界调整为例下面给一套我实际用的操作流程以“把两台 L1/L2 边界路由器中的一台降级为纯 L1并把另一台保持为新的 L1/L2 边界”为例。同样适用于区域合并或重新分区关键是步骤顺序不能乱。3.1 迁移前基线采集与风险评估操作前至少要采集以下信息每台设备的 is-type、每个 IS-IS 接口的 circuit type、NET 配置当前邻居表show isis neighbor记录邻居 System ID、接口、状态、uptime当前 LSDBshow isis database level-1和show isis database level-2重点关注是否有残留 LSP当前路由表show ip route isis记录外部前缀的下一跳和 metric当前默认路由的产生源找出 ATT 位贡献设备。采集完成后对每一项变更做风险评估。例如把边界设备从 L1/L2 改为 L1它的 L2 邻居数量是多少这些邻居会不会因为边界减少而出现区域间路由中断它的 L1 区域内有没有需要依赖它作为默认出口的节点如果有迁移后这些节点的默认出口会切到哪台设备有没有备份路径我把这些整理成一张迁移前 CheckList逐项打勾。宁可慢一点也不能凭感觉。3.2 过渡期双 NET 配置与邻居重建关键操作步骤添加新 NET保留旧 NET。例如设备原 NET 是 49.0001.0100.0000.0001.00新区域是 49.0002则在 IS-IS 进程下增加net 49.0002.0100.0000.0001.00。把需要保留骨干功能的接口明确为 Level-2。如果这台设备目标是保留为 L1/L2 边界骨干口保持 Level-2接入口保持 Level-1。如果目标是降级为纯 L1则需要先把骨干口从 Level-2 改为 Level-1但这会导致旧 L2 邻居断开要放在业务低峰。调整 is-type。如果设备要从 L1/L2 降级为 L1确认所有 L2 邻居都已经有替代路径后再改。等待新邻居建立。观察新 Area 下的 L1 邻居是否 UPLSDB 是否同步。验证此前端到端路径已恢复后再删除旧 NET。删除旧 NET 前建议先在设备上备份配置并记录旧 NET 值。这里有个容易犯的错直接改 is-type 让设备变成纯 L1却没有先添加新 NET。纯 L1 设备在 IS-IS 里无法和不同 Area ID 的设备建立 L1 邻居如果它的新 NET 还没配它跟谁都不亲孤立无援。双 NET 的价值就在于让设备在新旧身份之间“脚踏两条船”把切换风险降到最低。3.3 验证清单与快速回退方案迁移后验证我按这个顺序来邻居表show isis neighborLevel-1 和 Level-2 邻居状态都应该是 UP且邻居类型符合预期。LSDBshow isis database确认旧区域 LSP 已经老化消失新区域 LSP 数量正常。默认路由查看 L1 区域内设备的默认路由下一跳确认指向新 L1/L2 边界而不是已经降级的旧设备。明细路由抽查几条跨区域前缀的路由表项确认下一跳和 metric 符合预期。业务路径对关键服务器地址做 traceroute确认往返路径一致或至少符合网络设计。一旦出现异常我的回退策略是不要试图在原配置上修修补补直接把设备配置恢复为变更前备份并立即检查邻居和路由。IS-IS 收敛速度很快回退配置一般在一分钟内生效。前提是你变更前一定保存了完整配置而且回退时不包含任何“临时调试”残留。4. 路由汇总的两种方向和五个关键点区域迁移做完以后立即要处理的是路由汇总。IS-IS 默认不自动汇总除部分厂商对由协议自动生成的路由有特殊处理外区域间路由会以明细前缀的形式在 L2 骨干里传播。区域越大L2 LSDB 里的前缀越多SPF 计算和内存消耗越高。所以迁移后重新设计汇总点是刚需。IS-IS 的路由汇总有两个方向L1 到 L2、L2 到 L1。方向的差异决定了配置位置和路由行为。4.1 L1 到 L2 汇总summary-address 的落点L1 到 L2 的汇总配置在 L1/L2 边界路由器上。它描述的是当这台路由器把 L1 区域内的路由注入 L2 时把满足一定掩码范围的明细前缀聚合成一条前缀只向 L2 通告这条汇总。配置逻辑类似router isis 1 net 49.0001.0100.0000.0001.00 is-type level-1-2 summary-address 10.1.0.0 255.255.0.0 level-1这个命令的意思把区域内 10.1.0.0/16 范围内的 Level-1 路由汇总为一条 10.1.0.0/16并向 Level-2 通告。level-1关键字限定了参与汇总的路由来自 Level-1。注意一个细节汇总命令不是“前缀越小越好”。如果你把 10.0.0.0/8 直接汇总但区域内只有 10.1.0.0/16 和 10.2.0.0/16 两个段中间大量地址实际上并不存在。其他区域发往 10.3.x.x 的流量会全部被吸引到这台边界然后丢弃形成黑洞。所以汇总边界必须与实际地址规划对齐。4.2 L2 到 L1 汇总路由泄漏与聚合的配合默认情况下L1 区域看不到区域外的明细路由只有一条通过 ATT 位生成的默认路由指向最近的 L1/L2 边界。如果需要在 L1 内下发明细或汇总路由必须显式配置路由泄漏route leaking。路由泄漏的本质是把 L2 的路由重新注入 L1 的 LSDB。在很多厂商实现里需要先在 L1/L2 边界路由器上开启 Level-2 到 Level-1 的重分发再通过 summary-address 对注入的路由做聚合。例如router isis 1 net 49.0001.0100.0000.0001.00 is-type level-1-2 redistribute isis level-2 into level-1 summary-address 172.16.0.0 255.255.0.0 level-2这里level-2表示只对 Level-2 来源的路由做汇总并把汇总结果注入 Level-1。区域迁移后最容易踩的坑就在这里旧边界设备上配置了 L2→L1 泄漏和汇总但迁移后真正的出口已经挪到新边界设备上旧设备的泄漏和汇总就成了“过期配置”。L1 区域内的设备通过旧边界学到的汇总路由下一跳方向可能已经不通或者需要绕一大圈才能到达目标网络。所以区域迁移后必须同步清理和重新配置所有边界上的泄漏与汇总策略。4.3 metric、tag 与抑制明细汇总设计要点汇总路由的 metric 怎么定多数实现默认取区域明细路由中最大的 metric也有实现取最小或可配置。无论默认如何我建议都显式指定汇总路由的 metric否则不同厂商设备混跑时汇总路由的 cost 可能不一致影响选路。tag 是一个被低估的工具。你可以给不同区域的汇总路由打不同的 tag然后在路由策略里基于 tag 做过滤和优先级控制。比如迁移过程中旧区域路由保持 tag 100新区域路由用 tag 200策略里优先选 tag 200。这比单纯比前缀长度和 metric 要灵活得多。抑制明细也要谨慎。有些厂商支持suppress或summary only之类的参数让明细路由不注入 L2只保留汇总路由。这在减少 L2 前缀数量上很有效但也意味着如果汇总路由失效L2 区域彻底失去到该区域的路径。我的建议是在迁移期间不要抑制明细等稳定后再开启避免排查时找不到根因。4.4 汇总路由的查询与验证配置汇总后要能在设备上看到汇总效果。通用的验证思路是查看 IS-IS 进程下的汇总配置是否生效查看 BGP/路由表里是否出现汇总前缀下一跳是否是预期的边界设备在各个 L2 路由器上查看汇总前缀的 metric对明细前缀做 traceroute确认流量路径经过了汇总点而不是黑洞。我通常还会在 L1 区域内部选一台路由器查看它到外部两个不同目标网段的路径。如果其中一条明细路由是经过泄漏下发的另一条是走默认路由的能直观看出区域迁移后的选路是否符合预期。5. 区域重建以后最容易踩的坑黑洞、次优路径与 LSP 震荡区域迁移与路由汇总的坑我在实践中归纳为三类黑洞、次优路径、LSP 震荡。每一类都值得单独说。5.1 汇总黑洞汇总前缀与明细路由脱节黑洞的成因有两个。一是汇总半径过大把不存在的地址段也聚合进来了二是区域迁移后明细路由已经不在这个边界上了但汇总配置还在。第二种在迁移场景中更隐蔽。举个例子旧边界路由器 A 原来承载区域 X配置了summary-address 10.1.0.0/16。迁移后区域 X 的出口改到了新边界路由器 BA 上不再有区域 X 的明细路由。如果 A 的汇总配置没有删除其他 L2 路由器可能仍然通过 L2 LSDB 学习到 10.1.0.0/16下一跳指向 A。A 收到这些流量后查本地路由表发现没有明细直接丢弃。这时你去 ping 10.1.1.1可能通因为某些设备上默认路由还在但如果你 ping 一个区域 X 里已经不存在的地址它一样会被 A 吸引形成黑洞口。解决思路汇总配置和明细路由必须绑定只有当边界设备确实拥有对应明细时才允许通告汇总。迁移后把用不到的summary-address全部清掉再在新边界上按新规划重新配置。5.2 次优路径泄漏之后聚合的位置不对IS-IS 默认的 L1 设计是“区域内部最优区域间走默认”。一旦做了路由泄漏L1 区域内的路由器就会看到来自外部的前缀并可能因为前缀匹配优先于默认路由选择一条特定路径。如果泄漏点在多个边界上配置不一致就会出现次优路径。区域迁移会放大这个问题。原来边界 A 负责泄漏并汇总某个外部前缀迁移后 A 的 L2 角色消失但泄漏配置可能被保留同时新边界 B 也配置了泄漏。L1 区域内的路由器对同一外部前缀可能看到两个来源一个来自 A、一个来自 B。由于 L1 SPF 计算基于 metric某些路由器会选择路径较短的 A但 A 到 L2 骨干的路径已经没了或者绕远实际转发性能很差。这种问题用配置审查很难发现必须结合路由表看下一跳。我排查时会在受影响的路由器上执行show ip route 172.16.0.0 255.255.0.0 show isis route 172.16.0.0 255.255.0.0如果发现同一前缀有多个 IS-IS 来源就逐个 traceroute 到源头确认哪条路径是合理的然后调整边界上的泄漏配置或汇总 metric把次优路径压掉。5.3 LSP 震荡与保护手段区域迁移过程中设备的 LSP 会反复更新邻居也会反复 flap。在大型网络里这种震荡可能波及整个 L2 域导致 SPF 频繁重算。我见过一台边界设备因为 is-type 反复修改LSP 序号在几分钟内从 0x00000001 跳到 0x00000012周边设备的 CPU 直接拉满。保护手段有两个。一是利用 IS-IS 的 overload bit过载位在区域迁移期间给边界设备设置 overload避免其他路由器把中转流量引过来。overload 置位后其他路由器仍然可以到达这台设备的直连路由但不会把它作为中间跳。这样即使 LSP 反复更新转发面也不会出现大面积黑洞。等迁移完成、验证通过后再清除 overload。二是控制操作节奏。不要在同一台设备上连续多次修改配置每改一步就等邻居稳定、LSDB 收敛至少观察 1 到 2 分钟再执行下一步。IS-IS 的 LSP 老化时间是 1200 秒刷新间隔通常 900 秒频繁的路由变化不会立刻导致旧 LSP 消失但会推高 LSP 版本号。版本号飞涨的 LSP 是所有 IS-IS 网络工程师的噩梦。5.4 一套简单的验证闭环迁移完、汇总配完我最后会跑一套闭环验证在 L1/L2 边界路由器上检查所有 summary-address 对应的明细路由是否存在从中心 L2 路由器上对每个汇总前缀做 ping 和 traceroute从 L1 区域内随机选几台路由器连接到外部多个目标网段确认路径方向和 metric采集 LSP 的序列号观察一段时间内没有异常增长检查设备 CPU确认 SPF 计算频率回到正常水平。只有这五步全部通过我才会把维护窗口关闭。6. 几个值得长期保留的操作习惯最后分享几个我一直在用的经验不算多高深但每次都能救命。第一IS-IS 区域迁移一定要提前保存 LSP dump。迁移前后的 LSDB 差异是排查一切问题的基础。没有基线你连“哪条路由是新增的”“哪条路由是消失的”都说不清楚。第二配置汇总时先配明细再配汇总删除时反着来。也就是说先确认明细路由已经在边界上再添加 summary-address删除时先删汇总配置再动明细路由。这样可以避免中间态的黑洞窗口。第三不要把区域迁移和路由汇总放在同一个变更窗口内“顺手做掉”。它们之间有依赖但各自的验证标准不同。合并成一个变更出问题时你根本分不清是区域的问题还是汇总的问题。我通常先做区域迁移验证业务通再单独做汇总调整。第四多 NET 过渡虽然好用但不是用来长期养着的。双 NET 状态超过一周大概率会忘记清理后面排障时你会被多重身份搞晕。定一个规矩迁移窗口结束后 24 小时内删除旧 NET。IS-IS 区域迁移这件事情理论门槛不高难的是把每个隐性机制都放在心里Area ID 决定 L1 邻居关系is-type 决定设备参与哪棵树circuit type 决定接口邻居能力ATT 位决定默认路由方向泄漏和汇总决定区域间路径。这些机制单独看都很清楚一旦在真实网络里交错起来任何一个都会成为故障点。希望这篇整理能让你在下次动手时少踩几个坑。