前言在大型企业园区网络中IS-IS 凭借分层Level-1/Level-2架构、稳定的 SPF 计算、灵活的路由渗透能力成为主流 IGP 协议。本次以模拟组网为例完整落地双 Area 分层 IS-IS同时实现 4 大核心需求L1 访问外部引入路由、指定 L1 接口为 DIS、通过路由渗透 接口 Cost 控制端到端流量走指定路径、外部路由引入。下文附带拓扑、需求拆解、完整设备配置、验证命令与原理分析1. 组网拓扑与规划说明1.1 区域与路由器层级划分Area 49.0001左侧域内AR1纯 Level-1 路由器仅维护本区域 L1 链路状态库AR2、AR3L1/L2 双层级路由器域边界设备负责路由渗透Area 49.0002右侧骨干域AR4、AR5纯 Level-2 路由器整个骨干域统一 L2 链路库1.2 网段 IP 规划链路网段AR1/AR2/AR3 ↔ S510.0.123.0/24AR2 ↔ S1 ↔ AR410.0.24.0/24AR3 ↔ AR410.0.34.0/24AR4 ↔ AR510.0.45.0/24AR5 外部业务网段192.168.1.0/241.3 实验硬性需求拆解路由可达AR1L1能访问 AR5 引入的外部路由 192.168.1.0/24DIS 控制AR1 GE0/0/1 接口在 L1 广播网段中成为 DIS流量路径控制AR1 ↔ AR5 双向流量强制走AR1→S5→AR3→AR4→AR5不走 AR2 中转基础 IS-IS分层配置、广播网 DIS 优先级、接口 Cost 修改、外部路由引入、L1/L2 路由渗透。2. 实验前置说明设备采用eNSP模拟华为 VRP 系统交换机 S1/S5 仅做二层透传无需三层配置所有路由器 Loopback0 为设备管理环回可选用于设备标识 核心原理铺垫L1 路由器仅知本区域路由默认靠 L1/L2 设备下发默认路由访问其他区域L2 骨干传递跨区域路由外部路由仅在 L2 域泛洪需通过 L1/L2 设备渗透至 L1 区域DIS 由接口 IS-IS 优先级决定优先级越大越优0 代表不参与 DIS 选举通过调节链路 Cost结合路由渗透控制选路。完整实验分步操作步骤步骤 1所有设备基础 IP 配置步骤 1.1 AR1 配置Level-1sysname AR1 # 接口IP interface GigabitEthernet 0/0/1 ip address 10.0.123.1 255.255.255.0 # 环回 interface LoopBack 0 ip address 10.0.1.1 255.255.255.255步骤 1.2 AR2 配置L1/L2sysname AR2 interface GigabitEthernet 0/0/1 ip address 10.0.123.2 255.255.255.0 interface GigabitEthernet 0/0/0 ip address 10.0.24.2 255.255.255.0 interface LoopBack 0 ip address 10.0.2.2 255.255.255.255步骤 1.3 AR3 配置L1/L2sysname AR3 interface GigabitEthernet 0/0/1 ip address 10.0.123.3 255.255.255.0 interface GigabitEthernet 0/0/2 ip address 10.0.34.3 255.255.255.0 interface LoopBack 0 ip address 10.0.3.3 255.255.255.255步骤 1.4 AR4 配置Level-2sysname AR4 interface GigabitEthernet 0/0/2 ip address 10.0.24.4 255.255.255.0 interface GigabitEthernet 0/0/0 ip address 10.0.34.4 255.255.255.0 interface GigabitEthernet 0/0/1 ip address 10.0.45.4 255.255.255.0 interface LoopBack 0 ip address 10.0.4.4 255.255.255.255步骤 1.5 AR5 配置Level-2sysname AR5 interface GigabitEthernet 0/0/1 ip address 10.0.45.5 255.255.255.0 # 模拟外部业务网段 interface LoopBack 1 ip address 192.168.1.1 255.255.255.0 interface LoopBack 0 ip address 10.0.5.5 255.255.255.255在R1、R4上检查互联地址连通性步骤2 配置IS-IS协议划分 Area、路由器层级按照拓扑设计逐台配置路由器的IS-IS进程进程号使用1NET使用设备编号以R1为例49.0001.0000.0000.0001.00步骤 2.1 AR1Area49.0001Level-1isis 1 network-entity 49.0001.0000.0001.00 is-level level-1 # 接口使能IS-IS interface GigabitEthernet 0/0/1 isis enable 1 isis authentication-mode md5 huawei interface LoopBack0 isis enable 1 isis authentication-mode md5 huawei步骤 2.2 AR2Area49.0001L1/L2isis 1 network-entity 49.0001.0000.0002.00 is-level level-1-2 # 接口使能IS-IS interface GigabitEthernet 0/0/1 isis enable 1 isis authentication-mode md5 huawei interface GigabitEthernet 0/0/0 isis enable 1 isis authentication-mode md5 huawei interface LoopBack0 isis enable 1 isis authentication-mode md5 huawei步骤 2.3 AR3Area49.0001L1/L2isis 1 network-entity 49.0001.0000.0003.00 is-level level-1-2 # 接口使能IS-IS interface GigabitEthernet 0/0/1 isis enable 1 isis authentication-mode md5 huawei interface GigabitEthernet 0/0/2 isis enable 1 isis authentication-mode md5 huawei interface LoopBack0 isis enable 1 isis authentication-mode md5 huawei步骤 2.4 AR4Area49.0002Level-2isis 1 network-entity 49.0002.0000.0004.00 is-level level-2 # 接口使能IS-IS interface GigabitEthernet 0/0/2 isis enable 1 isis authentication-mode md5 huawei interface GigabitEthernet 0/0/0 isis enable 1 isis authentication-mode md5 huawei interface GigabitEthernet 0/0/1 isis enable 1 isis authentication-mode md5 huawei interface LoopBack0 isis enable 1 isis authentication-mode md5 huawei步骤 2.5 AR5Area49.0002Level-2isis 1 import-route direct network-entity 49.0002.0000.0005.00 is-level level-2 interface GigabitEthernet 0/0/1 isis enable 1 isis authentication-mode md5 huawei interface LoopBack0 isis enable 1 isis authentication-mode md5 huawei检查配置结果R1已经成功地与R2、R3建立IS-IS邻居并且是L1类型R4 已经成功地与R2、R3、R5建立IS-IS邻居并且是L2类型步骤3 DIS 选举优化 (指定 AR1 GE0/0/1为广播网 DIS)R1、R2、R3处于同一个广播网络中它们会选举出一个DIS通过修改DIS优先级手动指定R1的GE0/0/1作为DISinterface GigabitEthernet 0/0/1 isis dis-priority 127此时R1的GE0/0/1接口已经成为DIS步骤4 接口 Cost 调整控制流量路径R4前往R1的流量此时通过R2、R3进行负载分担管理员希望手工控制 R4前往R1的流量经过R2为此在R4上手动修改接口Costinterface GigabitEthernet0/0/0 isis cost 15此时R4前往R1的Loopback0接口只存在一个下一跳即10.0.24.24.1 配置IS-IS路由渗透由于缺省时R1并不知道到达L2区域的具体路由仅仅通过L1-2路由器发布的缺省路由到达L2区域因此当前R1只能选择R2及R3作为等价的下一跳设备到达L2区域。为了将R1发往R5的流量引导到R3进行转发可以在R3上配置路由渗透由其将到达L2区域的路由渗透到L1区域使得R1能够通过IS-IS学习到相关路由isis 1 import-route isis level-2 into level-1可以看到此时R1去往10.0.5.5的路由下一跳为10.0.123.3即R3并且是明细路由而不是默认路由实验原理与总结IS-IS 分层价值将网络划分为 L1 接入区域 L2 骨干区域缩小单区域 LSP 数据库规模提升 SPF 计算效率适配大型企业DIS 控制广播网络通过接口 dis-priority 精准控制伪节点生成设备减少泛洪报文数量Cost 流量调度通过调整接口分层 Cost可精细化控制 L1 域内、L2 骨干域的转发路径路由渗透关键点L1 路由器无法自动学习 L2 外部路由必须在 L1/L2 边界手动执行 L2→L1 路由引入默认下发的默认路由仅用于无渗透场景访问骨干客户落地优化建议生产环境可搭配 filter-policy 做渗透路由过滤避免全量路由下发 L1 造成路由表膨胀