1. 项目概述路由过滤的“守门人”角色在网络工程师的日常里路由协议负责发现和计算路径而路由过滤则扮演着至关重要的“守门人”角色。它决定了哪些路由信息可以进入、离开我们的路由表或者在不同协议间传递。今天我们就来深入聊聊在OSPF和ISIS这两个主流链路状态协议中filter和filter-policy这两个核心过滤工具的应用细节与实战心得。很多朋友在初次接触时容易混淆觉得它们功能类似但实际上它们在OSPF和ISIS中的行为逻辑、生效位置有着本质区别用错了地方轻则路由学习异常重则网络环路。理解它们是构建稳定、可控网络的基础尤其是在大型数据中心或运营商网络中进行路由策略部署时更是不可或缺的技能。简单来说filter通常指ACL、IP Prefix List等过滤器工具是定义“标准”的尺子而filter-policy路由策略则是应用这个“标准”的决策者。在OSPF中过滤行为受到其链路状态数据库LSDB特性的严格限制而在ISIS中由于其层级和报文结构的不同过滤的灵活性和生效点也有所差异。接下来我将结合具体配置场景和排错案例带你彻底搞懂这两者的原理、配置差异以及那些容易踩坑的细节。2. 核心概念辨析Filter工具与Filter-Policy策略在深入协议细节前我们必须先厘清基础概念。很多人会把filter和filter-policy混为一谈但在大多数网络设备尤其是华为、H3C等厂商的语境下它们是分工明确的。2.1 Filter定义匹配条件的工具集Filter本身不是一个具体的命令而是一类工具的统称用于定义“什么样的路由或前缀是我感兴趣的”。常见的Filter工具包括访问控制列表ACL最初用于包过滤但也可用于路由匹配。通常通过源IP、目的IP和通配符掩码来匹配路由前缀。缺点是掩码匹配不够精确例如标准ACL无法区分192.168.1.0/24和192.168.1.0/26。IP前缀列表IP Prefix-List这是路由过滤的首选工具。它可以同时匹配路由前缀网络号和前缀长度子网掩码精度极高。例如ip ip-prefix TEST index 10 permit 10.1.0.0 16 greater-equal 24 less-equal 24就精确匹配所有10.1.x.x/24的路由。路由映射Route-Map一个功能更强大的策略框架它可以调用ACL或Prefix-List作为匹配条件match语句并执行一系列动作set语句如修改属性、过滤路由。Route-Map是实施复杂路由策略的核心。注意Filter工具如Prefix-List只定义了“标准”它自己不会主动去过滤任何东西。就像你有一把尺子Filter但你需要有人Filter-Policy用它去测量物品路由并决定取舍。2.2 Filter-Policy应用过滤策略的命令Filter-Policy在思科体系中常称为distribute-list但逻辑类似是一个具体的命令或配置节点。它的作用是将定义好的Filter工具应用到特定的路由协议进程或接口上从而实际影响路由的学习、发布或接收。Filter-Policy命令的关键在于指定三个要素方向Import/Export是过滤“进口”路由从协议学到路由表还是过滤“出口”路由从路由表发布到协议。使用的Filter工具关联一个前面定义好的ACL、Prefix-List或Route-Map。应用的协议或接口指明对哪个路由协议OSPF 100、ISIS 1生效或在哪个接口上生效。两者的关系可以概括为Filter是规则Filter-Policy是执行规则的动作。没有Filter-PolicyFilter只是一纸空文没有FilterFilter-Policy就失去了判断的依据。3. OSPF中的过滤基于LSDB的约束与技巧OSPF作为链路状态协议其核心是所有路由器维护一个相同的链路状态数据库LSDB。这个特性从根本上限制了过滤的生效位置——你无法过滤掉LSDB中的LSA只能过滤掉从LSDB计算出来并装入本地路由表RIB的路由或者过滤掉向其他协议传递的路由。3.1 OSPF Filter-Policy Import控制路由入表这是OSPF中最常用的过滤场景。filter-policy import命令的作用是在OSPF协议根据LSDB计算出的路由即将被放入设备本地核心路由表Global RIB时进行过滤。配置示例华为设备风格# 1. 定义过滤工具拒绝10.1.2.0/24允许其他所有10.1.0.0/16的路由 ip ip-prefix OSPF-FILTER index 10 deny 10.1.2.0 24 ip ip-prefix OSPF-FILTER index 20 permit 10.1.0.0 16 less-equal 32 # 2. 在OSPF进程下应用进口过滤策略 ospf 1 filter-policy ip-prefix OSPF-FILTER import生效原理与影响LSDB不受影响配置了import过滤后设备LSDB中关于10.1.2.0/24的LSAType-1, Type-2, Type-3等依然完整存在。你可以通过display ospf lsdb命令查看到它。路由表被过滤设备在运行SPF算法后原本会为10.1.2.0/24生成一条OSPF路由。但在装入路由表前filter-policy介入根据Prefix-List的规则将其拒绝。因此display ip routing-table中将看不到这条OSPF路由。影响本设备转发因为路由表中没有这条路由所以本设备不会转发目的地为10.1.2.0/24的流量。这是最主要的影响。不影响邻居该过滤是本地行为。本设备仍然会向邻居洪泛包含10.1.2.0/24的LSA邻居设备依然能正常学习到该路由。实操心得filter-policy import常用于网络边缘设备用于控制从OSPF域内学习到的哪些路由可以进入本设备路由表。例如作为防火墙或核心交换机可能只希望学习部分业务网段的路由而不是全量路由以节省路由表空间并提升安全性。3.2 OSPF Filter-Policy Export控制路由引入时的发布filter-policy export在OSPF中仅对通过import-route命令引入的外部路由Type-5/Type-7 LSA生效对OSPF内部产生的路由Type-1, Type-2, Type-3 LSA无效。它的作用是在将其他协议如直连、静态、BGP的路由引入到OSPF时进行过滤控制。配置示例# 1. 定义过滤工具只允许引入特定静态路由 ip ip-prefix STATIC-TO-OSPF index 10 permit 172.16.1.0 24 # 2. 在OSPF进程下应用出口过滤策略并引入静态路由 ospf 1 filter-policy ip-prefix STATIC-TO-OSPF export import-route static生效原理与影响当设备执行import-route static时它会遍历本地的静态路由表。每条静态路由在被转换为Type-5 LSA之前需要经过filter-policy export的检查。只有匹配ip ip-prefix STATIC-TO-OSPF permit的静态路由如172.16.1.0/24才会被成功引入OSPF并生成LSA洪泛出去。不匹配或匹配deny的静态路由则不会被引入OSPF。重要提示对于OSPF内部路由无法使用filter-policy export来阻止其发布。如果你想控制OSPF内部路由的传播需要在接口上使用ospf filter-lsa-out命令来过滤发出的LSA报文或者使用区域边界路由器ABR对Type-3 LSA进行汇总abr-summary并抑制明细路由。3.3 OSPF中的其他过滤手段除了filter-policy在OSPF中还有其他几种关键的过滤方式它们作用于不同层面接口上的出方向LSA过滤ospf filter-lsa-out这个命令可以直接在接口上阻止特定类型的LSA被发送出去。例如可以在ABR连接非骨干区域的接口上过滤掉某些Type-3 Summary LSA从而阻止特定区域间路由的传播。这是真正能阻止LSA洪泛的方法会影响下游路由器的LSDB。区域间路由汇总与过滤abr-summary在ABR上配置路由汇总时可以加上not-advertise参数这实际上是一种过滤。它将多条明细路由聚合为一条汇总路由发布并抑制所有明细路由的传播。静默接口silent-interface将接口设置为静默后OSPF将不再在该接口上发送Hello和LSA报文但会接收和处理报文。这常用于连接终端或不需要建立OSPF邻居的网段防止不必要的协议报文和路由泄露。4. ISIS中的过滤基于层级与SPF计算的灵活性ISIS同样是链路状态协议但其基于CLNP地址体系的设计和两级层级结构Level-1, Level-2使得其过滤模型与OSPF既有相似之处又有其特点。ISIS的LSPLink State PDU类似于OSPF的LSA。4.1 ISIS Filter-Policy Import控制路由入表与OSPF类似filter-policy import在ISIS中也是用于控制从ISIS协议计算出的路由进入本地路由表。配置示例华为设备# 1. 定义过滤工具允许10.0.0.0/8拒绝其他所有 ip ip-prefix ISIS-IN permit 10.0.0.0 8 # 2. 在ISIS进程下应用进口过滤 isis 1 filter-policy ip-prefix ISIS-IN import生效原理设备运行ISIS SPF算法后生成ISIS路由。在装入路由表前由filter-policy import进行过滤。被过滤掉的路由不会出现在路由表中但对应的LSP信息仍然存在于本地的LSDB中。4.2 ISIS Filter-Policy Export控制路由泄露与引入这是ISIS过滤中功能更强、更常用的部分。它主要用于两种场景控制路由引入Redistribution过滤从其他协议如OSPF、BGP、直连、静态引入到ISIS的路由。控制层级间路由泄露Route Leaking这是ISIS特有的重要功能。用于控制Level-2的路由是否被泄露发布到Level-1区域或者Level-1的路由是否被泄露到Level-2。场景一过滤引入的路由# 只将BGP路由中的192.168.0.0/16引入ISIS ip ip-prefix BGP-TO-ISIS permit 192.168.0.0 16 isis 1 filter-policy ip-prefix BGP-TO-ISIS export bgp import-route bgp场景二控制Level-2到Level-1的路由泄露关键# 在Level-1-2路由器上配置只将部分Level-2路由泄露到Level-1区域 ip ip-prefix LEAK permit 172.16.0.0 16 isis 1 filter-policy ip-prefix LEAK export level-1 //从Level-2向Level-1泄露时过滤这个配置意味着该Level-1-2路由器在向Level-1区域发布LSP时只会携带172.16.0.0/16这条来自Level-2的路由信息。其他Level-2路由不会被泄露到Level-1区域。这是优化Level-1区域路由器路由表规模、实现路由策略的关键手段。4.3 ISIS过滤与OSPF过滤的核心差异对引入路由的过滤粒度OSPF的export过滤仅针对引入的外部路由。而ISIS的export过滤不仅可以针对引入的路由还可以精细控制ISIS内部路由在不同层级间的泄露这是其架构带来的天然优势。接口过滤OSPF有丰富的接口级LSA过滤命令。而ISIS在接口层面主要依赖对Hello报文和LSP报文的认证来增强安全性缺乏直接针对特定前缀的LSP出方向过滤命令。ISIS的过滤策略更多集中在进程级别。默认路由的过滤在ISIS中Level-1路由器默认会产生一条指向最近Level-1-2路由器的默认路由。要过滤这条默认路由的生成或传播需要使用default-route-advertise命令配合条件策略或者使用路由策略进行更复杂的控制。5. 实战配置对比与排错指南理解了原理我们通过一个对比表格来直观看看两者在常见场景下的配置差异。过滤场景OSPF 配置思路ISIS 配置思路关键区别与注意事项阻止学习特定OSPF/ISIS路由filter-policy ip-prefix XX importfilter-policy ip-prefix XX import行为几乎一致。只影响本地路由表不影响LSDB/LSPDB不影响邻居。控制从静态路由引入到协议filter-policy ip-prefix XX exportimport-route staticfilter-policy ip-prefix XX export staticimport-route static命令逻辑相似。OSPF生成Type-5 LSAISIS生成外部路由TLV。阻止OSPF内部路由/ISIS层级内路由传播无法直接用filter-policy。需使用1. 接口ospf filter-lsa-out。2. ABR上的区域汇总(abr-summary)。对于ISIS同一层级内的路由也无法直接用export过滤。主要依靠路由聚合(summary)。OSPF有接口级LSA过滤工具ISIS则更依赖路由聚合来控制路由表规模。控制路由在不同区域/层级间传播OSPF在ABR上使用area X filter命令过滤Type-3 LSA或使用abr-summary。ISIS这是ISIS的强项。在Level-1-2路由器上使用filter-policy export level-1/level-2来控制路由泄露。OSPF的区域间过滤是ABR对Type-3 LSA的操作。ISIS的层级间泄露是filter-policy export的核心应用之一非常灵活。静默接口不建立邻接ospf 1silent-interface GigabitEthernet0/0/1isis 1silent-interface GigabitEthernet0/0/1两者命令和效果类似。5.1 常见问题排查实录在实际部署中配置了过滤但未生效是最常见的问题。下面是一个系统的排查思路。问题现象在路由器上配置了filter-policy import但display ip routing-table中仍然能看到被拒绝的路由。排查步骤检查Filter工具定义首先确认Prefix-List或ACL的规则顺序和匹配条件是否正确。规则是从上到下执行的第一条匹配的规则生效后就不再继续。一个常见的错误是在deny了特定路由后末尾没有写permit 0.0.0.0 0 less-equal 32来允许其他所有路由导致所有路由都被隐式拒绝。# 错误示例只定义了deny规则没有permit其他 ip ip-prefix BAD-FILTER index 10 deny 10.1.1.0 24 # 此时所有路由都不匹配index 10根据默认规则“未匹配即拒绝”所有路由都被过滤。 # 正确示例 ip ip-prefix GOOD-FILTER index 10 deny 10.1.1.0 24 ip ip-prefix GOOD-FILTER index 20 permit 0.0.0.0 0 less-equal 32检查Filter-Policy应用方向和协议确认命令是import还是export是否应用在了正确的路由协议进程ospf 1还是isis 1下一个低级错误是在OSPF进程下配置了过滤但问题路由实际上是通过BGP学到的。确认路由来源使用display ip routing-table 目标网段命令查看路由的协议来源Proto字段。确保它确实是你试图过滤的那个协议OSPF/ISIS产生的。有时路由可能由多个协议提供最优路由的来源可能不是你预想的那一个。理解OSPF/ISIS的过滤本质对于import过滤一定要用display ospf lsdb或display isis lsdb命令确认LSDB/LSPDB中是否存在该条目的信息。如果存在但路由表中没有说明过滤生效了如果路由表中还有说明过滤未生效回到步骤1、2检查。如果LSDB中就没有那说明问题不在过滤而在路由发布环节。检查路由策略的继承关系在复杂网络中设备上可能配置了多层路由策略Route-Policy。filter-policy可能只是其中一环。需要检查是否在其他地方有permit语句覆盖了这里的过滤效果。使用display route-policy等命令查看所有策略。对于Export过滤不生效OSPF检查目标路由是否是OSPF内部路由。export过滤对OSPF内部路由无效。如果是外部路由检查是否确实配置了import-route。ISIS检查export后面跟的参数是否正确level-1,level-2,static,bgp等。如果是控制路由泄露确认配置在正确的Level-1-2路由器上。一个典型的排错案例 现象在Level-1-2路由器上配置了filter-policy ip-prefix LEAK export level-1但Level-1路由器还是学到了全部Level-2路由。 排查检查Prefix-ListLEAK配置正确。在Level-1-2路由器上使用display isis route level-2查看Level-2路由确认存在。使用display current-configuration | include filter-policy确认配置已正确加载。关键步骤在Level-1-2路由器上使用debugging isis update-packet需谨慎线上环境可能影响性能或查看display isis lsdb verbose发现其向Level-1区域发布的LSP中仍然包含了未被许可的Level-2路由TLV。最终原因该设备上同时还配置了一条优先级更高的、针对所有路由的export路由策略Route-Policy其中permit了所有路由覆盖了基于Prefix-List的过滤策略。通过调整策略顺序或修改Route-Policy解决问题。6. 高级应用与设计考量掌握了基础过滤后我们可以探讨一些更高级的设计模式和注意事项。6.1 利用Route-Map实现复杂过滤当过滤逻辑不仅仅是“允许”或“拒绝”还需要基于路由属性如Tag、Metric时就需要结合Route-Map。场景在OSPF中只将Tag值为100的静态路由引入并修改其类型为Type-2。# 1. 定义匹配Tag的ACL高级ACL可以匹配路由的Tag acl number 2000 rule 5 permit source 0.0.0.0 0 tag 100 # 匹配Tag为100的路由 # 2. 定义Route-Map调用ACL并设置OSPF参数 route-policy STATIC-TO-OSPF permit node 10 if-match acl 2000 apply cost-type type-2 # 3. 在OSPF进程中应用Route-Map进行引入 ospf 1 import-route static route-policy STATIC-TO-OSPF在这个例子中import-route命令直接调用了route-policy其内部包含了匹配if-match和动作apply实现了比单纯filter-policy export更精细的控制。6.2 过滤与路由汇总的协同过滤和汇总Summarization经常结合使用以达到最优的路由优化效果。在区域边界/层级边界进行汇总在ABR或Level-1-2路由器上将明细路由汇总成一条大网段路由发布出去。这本身就抑制了明细路由的传播是一种最有效的“过滤”。在汇总前先过滤有时我们只想汇总一部分路由。可以先使用filter-policy或路由策略筛选出需要汇总的特定路由然后对这些路由应用汇总命令。注意黑洞路由进行路由汇总后如果汇总路由器本身没有到达所有明细路由的路径可能会产生流量黑洞。通常需要配置一条指向Null0接口的汇总路由用于丢弃匹配汇总地址但无明细路由的流量防止环路。6.3 过滤对网络收敛和故障的影响不当的过滤配置会引发网络问题路由黑洞如上文所述汇总配置不当导致。次优路径或环路在多个边界点进行不对称过滤可能导致部分设备缺少某些路由从而选择绕远甚至形成环路的路径。在设计过滤策略时必须全局考虑流量路径。影响故障收敛过滤掉了某些备份路径的路由当主路径失效时设备可能因为没有备用路由而导致业务中断。在配置过滤时需要评估其对网络冗余性的影响。设计原则明确目的每次配置过滤前都要清楚是为了安全、优化路由表、控制流量路径还是实现策略。渐进实施在现网实施过滤策略时建议先在少数设备上应用并使用display命令和ping/tracert测试验证效果确认无误后再逐步推广。文档记录详细记录每条过滤策略的目的、影响的网段和设备。这在后续排错和网络变更时至关重要。备份配置在应用可能影响广泛的过滤策略前备份设备的当前配置。一旦出现问题可以快速回退。路由过滤是网络精细化控制的基石。从简单的filter-policy import控制本地路由表到利用ISIS的层级泄露实现复杂的路由策略再到结合Route-Map进行多属性决策每一步都需要对协议原理有清晰的认识。我个人的体会是在测试环境中多搭建拓扑进行验证是理解这些过滤行为差异最快的方式。尤其是在处理OSPF的LSA过滤和ISIS的路由泄露时用抓包工具看看协议报文实际内容的变化会比死记配置命令有效得多。最后记住一个黄金法则任何过滤策略变更后不要只检查配置是否下发一定要验证数据平面的转发路径是否符合预期。