1. 项目概述路由过滤的“守门人”角色在网络工程师的日常运维和设计工作中路由控制是核心技能之一。想象一下你管理着一个大型园区网或运营商网络OSPF或IS-IS作为内部网关协议IGP在高效地分发路由信息。但并非所有路由都需要被所有设备知晓或用于数据转发。比如某个区域只应访问特定的服务器网段或者需要防止某些实验性路由泄露到生产核心。这时候filter和filter-policy就扮演了至关重要的“守门人”角色。它们不是独立的协议而是作用于路由协议进程的关键控制工具用于精细化管理路由信息的接收、发布和引入是实现网络策略、优化路由表、提升安全性与稳定性的必备手段。很多朋友对这两个概念容易混淆或者仅停留在“知道能过滤路由”的层面一旦遇到复杂的多协议、双向过滤场景就无从下手。实际上filter访问控制列表、前缀列表等过滤工具是规则的定义者它描述了我们想匹配哪些路由基于IP前缀、掩码长度等而filter-policy路由策略是规则的执行者它决定了在路由协议的哪个环节进口、出口、引入应用这些filter规则。搞清这个“定义”与“执行”的关系是玩转路由过滤的第一步。本文将深入拆解在OSPF和IS-IS这两种主流链路状态协议中如何正确、高效地运用filter和filter-policy并结合大量实操中的“坑”与技巧让你不仅能配置更能理解其背后的原理与影响。2. 核心概念辨析Filter工具与Filter-Policy策略在深入协议细节前我们必须夯实基础彻底厘清filter过滤工具和filter-policy过滤策略的区别与联系。这是后续所有复杂操作的理论基石。2.1 Filter构建规则的“原材料”Filter在这里并非特指某一个命令而是一类用于匹配路由信息的基础工具集合。你可以把它们理解为建造策略的“砖瓦”。常见的filter工具包括基本ACLBasic ACL主要基于源IP地址进行匹配。在路由过滤场景下它通常用于匹配路由的网络地址注意不是数据包的源地址。例如acl 2000 rule 5 permit source 10.1.1.0 0.0.0.255可以匹配10.1.1.0/24这条路由。但其弱点在于无法精确匹配掩码长度。高级ACLAdvanced ACL可以基于源IP、目的IP、协议类型等更丰富的要素。在路由过滤中偶尔用于复杂匹配但并非主流。前缀列表Prefix-list这是路由过滤中最常用、最强大的filter工具。它可以同时匹配路由前缀网络号和掩码长度前缀长度并且支持更灵活的匹配范围如ge,le参数。例如ip prefix-list PL-EXAMPLE index 10 permit 172.16.0.0/16 ge 24 le 28表示匹配172.16.0.0/16这个主网下的所有子网且子网掩码长度在24到28位之间。这种精确控制是ACL难以实现的。注意filter工具本身并不执行任何动作。创建一条prefix-list或acl仅仅是在设备本地生成了一张匹配规则表它不会主动去影响任何路由。它的状态是“就绪”等待被调用。2.2 Filter-Policy应用规则的“指挥官”Filter-policy在有些厂商设备中可能直接叫route-policy或distribute-list但逻辑相通是一个策略命令它需要调用一个或多个filter工具并规定在路由协议的哪个处理节点上执行“允许”或“拒绝”动作。它的核心逻辑是在路由信息流经协议处理流程的某个关键点时检查该信息是否匹配指定的filter规则。如果匹配则执行permit或deny动作如果不匹配则按默认策略处理通常是deny。Filter-policy的应用方向至关重要主要分为三类Import方向入方向过滤接收到的路由信息。影响本设备的路由表RIB和链路状态数据库LSDB的生成对于链路状态协议有特殊之处后文详述。Export方向出方向过滤对外发布的路由信息。影响邻居设备能学到什么。在路由引入Redistribution时应用过滤从其他路由协议或直连/静态路由引入到当前协议的路由。两者的关系类比Filter像是警察手中的“通缉令名单”描述特征而filter-policy就像是设置在机场、车站的“检查站”执行地点以及“见到名单上的人就扣留”的指令执行动作。没有名单检查站无法工作没有检查站名单只是一张废纸。3. OSPF中的Filter与Filter-Policy实战解析OSPF作为链路状态协议其过滤机制与距离矢量协议如RIP有本质区别。这是因为OSPF区域内设备同步的是链路状态通告LSA而非直接的路由表。这个特性使得过滤行为更加微妙。3.1 OSPF Filter-Policy Import对路由表RIB的过滤这是OSPF中最常用的过滤方式。命令形如filter-policy {acl-number | prefix-list name} import。它的作用位置和效果非常明确作用位置在SPF算法计算完毕生成路由条目后准备将其安装到设备全局路由表RIB之前。核心影响只过滤进入本设备路由表的路由不影响链路状态数据库LSDB的完整性和同步。工作流程路由器通过LSA洪泛与区域内其他路由器保持完全一致的LSDB。本机运行SPF算法基于LSDB计算出所有可达路由。在将这些计算出的OSPF路由提交给RIB之前filter-policy import介入。每条待提交的路由与引用的ACL或前缀列表进行匹配。匹配permit规则的路由被允许加入RIB匹配deny规则或未匹配任何规则隐含拒绝所有的路由被丢弃但这条路由依然存在于LSDB中。实操示例与验证 假设我们有路由器R1、R2、R3运行在OSPF Area 0。R3上有一个环回口loopback 3.3.3.3/32通告进OSPF。我们在R1上配置ip prefix-list BLOCK-3 deny 3.3.3.3/32 ip prefix-list BLOCK-3 permit 0.0.0.0/0 le 32 # 允许其他所有 # ospf 1 filter-policy prefix-list BLOCK-3 import配置后在R1上查看display ip routing-table protocol ospf将看不到3.3.3.3/32的路由。display ospf lsdb依然能看到描述3.3.3.3/32的Type-1 LSA由R3产生。连通性测试从R1ping 3.3.3.3会失败因为路由表中没有该路由。但R2到R3的通信不受任何影响。关键心得filter-policy import是一种“本地化”的过滤策略常用于控制本设备的数据转发路径例如不让本设备访问某个网段而不会破坏OSPF区域内的拓扑信息一致性。这既是优点不影响邻居也是限制无法阻止LSA传播。3.2 OSPF Filter-Policy Export与路由引入过滤OSPF的filter-policy export命令不能用于过滤OSPF内部路由Type-1, Type-2 LSA转换的路由的发布。这是由链路状态协议的本质决定的区域内路由是通过LSA洪泛同步而非逐跳通告。它的主要应用场景是过滤引入的外部路由。 命令形如filter-policy {acl-number | prefix-list name} export [protocol]。作用位置在将其他协议如直连、静态、BGP、RIP的路由引入redistribute到OSPF时在生成AS-external LSAType-5 LSA之前进行过滤。核心影响控制哪些外部路由可以被重分发到OSPF域中。实操示例 在ASBR路由器上我们想将直连路由192.168.1.0/24和192.168.2.0/24引入OSPF但只允许发布192.168.1.0/24。ip prefix-list ALLOW-REDIST permit 192.168.1.0/24 # ospf 1 import-route direct filter-policy prefix-list ALLOW-REDIST export direct # 关键在此配置后ASBR只会为192.168.1.0/24生成Type-5 LSA并洪泛而192.168.2.0/24则不会被引入OSPF。3.3 OSPF区域间路由过滤ABR上的FilterOSPF还有另一种更细粒度的过滤方式在ABR上过滤区域间路由Type-3 Summary LSA。这需要使用area {area-id} filter命令。作用位置在ABR上控制从一个区域向另一个区域发送的Summary LSA。类型area 1 filter prefix-list PL-OUT export过滤从Area 1或其他区域计算出的路由在发布到Area 0或其他区域时。area 0 filter prefix-list PL-IN import过滤从Area 0或其他区域接收到的Summary LSA在计算并安装到Area 1的路由表之前。核心影响可以实现区域间的路由隔离是设计层次化、安全OSPF网络的重要手段。配置对比表OSPF常见过滤方式过滤方式命令示例作用点影响范围典型应用场景Import过滤filter-policy 2000 importSPF计算后RIB安装前仅本地路由表控制本设备转发路径实现本地策略Export过滤filter-policy 2000 export direct路由重分发时整个OSPF域对引入的路由控制外部路由注入OSPF的范围区域间出口过滤area 1 filter prefix-list PL-OUT exportABR生成Summary LSA时目标区域的所有路由器实现区域间的路由隔离如禁止某个区域访问核心区区域间进口过滤area 0 filter prefix-list PL-IN importABR处理接收的Summary LSA时本区域ABR所在的所有路由器保护本区域不接收某些区域间路由4. IS-IS中的Filter与Filter-Policy特性详解IS-IS同样是一种链路状态协议其过滤逻辑与OSPF相似但在命令语法和某些细节上存在差异。理解这些差异是避免配置错误的关键。4.1 IS-IS Filter-Policy Import原理与OSPF类似与OSPF类似filter-policy import在IS-IS中的作用也是过滤计算出的路由进入本地路由表而不影响链路状态数据库LSDB的同步。命令语法以常见厂商为例filter-policy {acl-number | prefix-list name} import工作流程路由器同步LSDB运行SPF算法。计算出所有IS-IS路由。filter-policy import在此处拦截根据规则决定哪些路由可以加入RIB。被过滤掉的路由不会出现在路由表中但对应的LSP链路状态PDU依然存在于LSDB中并会继续被洪泛。一个容易踩坑的细节IS-IS默认级别Level-1, Level-2。在配置filter-policy import时如果不指定级别该策略可能会同时应用于Level-1和Level-2路由。为了精确控制通常需要结合路由策略或明确指定过滤的上下文。4.2 IS-IS Filter-Policy Export与路由泄露控制IS-IS的filter-policy export命令行为与OSPF高度一致不能过滤IS-IS内部路由的发布主要用于过滤引入的外部路由。命令语法filter-policy {acl-number | prefix-list name} export [protocol]应用场景当IS-IS路由器作为“准ASBR”引入外部路由时控制哪些静态、直连、BGP等路由可以被注入到IS-IS域中并以IP可达性信息的形式在LSP中传播。IS-IS特有的“路由泄露”与过滤 IS-IS Level-1-2路由器默认会将Level-2的路由自动下发给Level-1区域这就是路由泄露。有时我们需要控制这种泄露。虽然标准做法是使用import-route isis level-2 into level-1 filter-policy这类命令但其本质也是在“引入”路由从Level-2到Level-1时应用过滤策略逻辑上与filter-policy export在重分发时的作用相似。4.3 IS-IS LSP生成与发布过滤这是IS-IS相比OSPF一个更强大的过滤特性。除了过滤路由表IS-IS还可以在生成LSP报文的源头进行过滤。这通过filter-policy export配合direct或特定协议来实现但更精细的控制需要使用isis advertise-filter这类命令命令名因厂商而异。作用位置在路由器准备将自己直连的IP前缀信息写入要洪泛的LSP报文时。核心影响直接从源头阻止某些IP前缀信息进入IS-IS的LSDB。这意味着邻居路由器根本学不到被过滤的前缀实现了真正的“信息隐藏”。与filter-policy import的区别特性filter-policy importLSP发布过滤 (如advertise-filter)作用阶段SPF计算后RIB安装前LSP生成时影响数据库不影响本地LSDB影响本地及全网LSDB影响邻居邻居LSDB完整能计算路由邻居LSDB中无此前缀信息用途本地路由控制全网拓扑信息控制网络优化实操示例 路由器R1有直连网段10.1.1.0/24和10.1.2.0/24希望只将10.1.1.0/24通告进IS-IS。ip prefix-list ADV permit 10.1.1.0/24 # isis 1 network-entity 49.0001.0000.0000.0001.00 # address-family ipv4 unicast advertise-filter prefix-list ADV # 关键配置阻止10.1.2.0/24进入LSP配置后所有IS-IS邻居的LSDB中都不会出现10.1.2.0/24的前缀信息因此全网任何IS-IS路由器都无法计算出到达该网段的路由。5. 高级应用与复杂场景排错指南掌握了基础原理和单点配置后面对网络中的复杂需求我们需要组合运用这些工具。5.1 双向过滤与多协议环境下的策略联动场景一台边界路由器同时运行OSPF和BGP需要将OSPF的某些内部路由谨慎地注入BGP同时又将BGP学到的特定路由引入OSPF并确保循环和次优路径问题不会发生。解决方案思路定义清晰的Filter工具为不同的过滤目的创建不同的前缀列表或ACL。例如prefix-list PL-OSPF-TO-BGP: 定义允许从OSPF引入BGP的路由。prefix-list PL-BGP-TO-OSPF: 定义允许从BGP引入OSPF的路由。prefix-list PL-DENY-DEFAULT: 明确拒绝默认路由防止意外传播。在路由引入点应用Filter-Policy在BGP进程下配置import-route ospf 1 route-policy RP-OSPF-TO-BGP其中route-policy内部调用PL-OSPF-TO-BGP。在OSPF进程下配置import-route bgp route-policy RP-BGP-TO-OSPF其中route-policy内部调用PL-BGP-TO-OSPF。使用Route-Tag进行标记和过滤在引入路由时可以为其设置一个Tag社区属性的一种简化使用。后续的过滤策略可以基于这个Tag进行使得策略更清晰、易于维护。例如为所有从BGP引入OSPF的路由设置Tag 100然后在OSPF向其他区域发布时ABR上可以配置过滤掉Tag为100的路由。5.2 常见故障排查与调试命令实录路由过滤配置不当是导致网络“诡异”不通的常见原因。以下是一个系统化的排查流程现象确认具体是哪两个点不通使用tracert或ping确认断点。检查本地路由表在故障设备上使用display ip routing-table x.x.x.x查看是否有到达目标网段的路由。如果没有进入下一步。检查协议路由表使用display ospf routing或display isis route查看协议是否计算出了该路由。如果协议路由表中有但全局路由表中没有大概率是filter-policy import在起作用。检查Filter-Policy配置仔细核对设备上生效的filter-policy语句确认其引用的ACL或前缀列表编号/名称是否正确。检查Filter工具内容使用display acl all或display ip prefix-list name XXX查看定义的规则。务必注意规则的匹配顺序和隐含的deny any。经典坑1前缀列表只写了deny条目没有最后的permit 0.0.0.0/0 le 32导致所有路由被隐式拒绝。经典坑2ACL使用错误的反掩码或误用了gt,le参数。检查LSDB/LSP对于OSPF/IS-IS使用display ospf lsdb或display isis lsdb查看相关的LSA/LSP是否存在。如果LSDB中都没有说明过滤发生在发布源头OSPF的域间过滤、IS-IS的advertise-filter或路由根本未通告。调试工具在可控环境下可以开启协议调试信息如debugging ospf event生产环境慎用观察路由更新是否被发送或接收。一个真实排错案例 网络中出现部分路由缺失。检查发现一台ABR上配置了area 1 filter prefix-list PL-TEST import。排查PL-TEST其内容为ip prefix-list PL-TEST index 10 deny 10.2.0.0/16 ge 24 ip prefix-list PL-TEST index 20 permit 0.0.0.0/0 le 32意图是阻止10.2.0.0/16的精细子网/24及以上进入Area 1。但实际效果是10.2.0.0/16本身掩码16位也被拒绝了。为什么因为前缀列表的匹配是“最长匹配”逻辑。条目10匹配了10.2.0.0/16因为/16在ge 24的范围内吗不ge 24表示掩码长度大于等于24/16不满足此条件。实际上10.2.0.0/16没有匹配条目10它落到了条目20被允许了。问题可能出在其他地方。进一步排查发现Area 1内实际缺失的是10.2.1.0/24。它成功匹配了条目1010.2.0.0/16包含了10.2.1.0且掩码24 24因此被拒绝。配置意图正确但结果符合预期。故障可能是其他区域的过滤导致。这个案例说明了精确理解前缀列表参数(ge,le)的重要性。5.3 性能考量与最佳实践建议前缀列表优于ACL在路由过滤场景中始终优先使用前缀列表Prefix-list。它专为路由匹配设计语法更直观网络/掩码形式且匹配效率通常更高。精细过滤原则尽量使用精确的前缀和掩码进行匹配避免使用过于宽泛的permit 0.0.0.0/0 le 32。在列表末尾使用一个明确的允许或拒绝所有的条目作为“兜底策略”而不是依赖隐式规则。Import过滤的局限性时刻记住OSPF/IS-IS的import过滤不改变LSDB。如果目的是为了隐藏网络信息或减少洪泛流量需要在发布源头OSPF的ABR区域过滤、IS-IS的advertise-filter进行控制。测试与验证在应用任何过滤策略尤其是出口过滤或LSP生成过滤时先在非核心设备或测试环境验证。使用display ospf lsdb/display isis lsdb对比过滤前后变化是验证源头过滤是否生效的金标准。文档与注释在配置中为复杂的prefix-list和filter-policy添加描述性注释。清晰的命名规范如PL-TO-CORE-PERMITFP-IMPORT-FROM-AREA1能极大提升后期维护效率。路由过滤是网络精细化管理的体现理解filter与filter-policy在OSPF和IS-IS中的细微差别能够帮助我们在保证网络连通性的前提下实现流量引导、安全隔离和资源优化。从查看路由表开始到分析LSDB再到逐条核对过滤策略这套排查思路适用于大部分与路由过滤相关的网络故障。记住所有策略生效的前提是你对路由流动路径和协议工作机制的清晰认知。
OSPF与IS-IS路由过滤实战：Filter与Filter-Policy原理详解
发布时间：2026/7/29 15:06:16
1. 项目概述路由过滤的“守门人”角色在网络工程师的日常运维和设计工作中路由控制是核心技能之一。想象一下你管理着一个大型园区网或运营商网络OSPF或IS-IS作为内部网关协议IGP在高效地分发路由信息。但并非所有路由都需要被所有设备知晓或用于数据转发。比如某个区域只应访问特定的服务器网段或者需要防止某些实验性路由泄露到生产核心。这时候filter和filter-policy就扮演了至关重要的“守门人”角色。它们不是独立的协议而是作用于路由协议进程的关键控制工具用于精细化管理路由信息的接收、发布和引入是实现网络策略、优化路由表、提升安全性与稳定性的必备手段。很多朋友对这两个概念容易混淆或者仅停留在“知道能过滤路由”的层面一旦遇到复杂的多协议、双向过滤场景就无从下手。实际上filter访问控制列表、前缀列表等过滤工具是规则的定义者它描述了我们想匹配哪些路由基于IP前缀、掩码长度等而filter-policy路由策略是规则的执行者它决定了在路由协议的哪个环节进口、出口、引入应用这些filter规则。搞清这个“定义”与“执行”的关系是玩转路由过滤的第一步。本文将深入拆解在OSPF和IS-IS这两种主流链路状态协议中如何正确、高效地运用filter和filter-policy并结合大量实操中的“坑”与技巧让你不仅能配置更能理解其背后的原理与影响。2. 核心概念辨析Filter工具与Filter-Policy策略在深入协议细节前我们必须夯实基础彻底厘清filter过滤工具和filter-policy过滤策略的区别与联系。这是后续所有复杂操作的理论基石。2.1 Filter构建规则的“原材料”Filter在这里并非特指某一个命令而是一类用于匹配路由信息的基础工具集合。你可以把它们理解为建造策略的“砖瓦”。常见的filter工具包括基本ACLBasic ACL主要基于源IP地址进行匹配。在路由过滤场景下它通常用于匹配路由的网络地址注意不是数据包的源地址。例如acl 2000 rule 5 permit source 10.1.1.0 0.0.0.255可以匹配10.1.1.0/24这条路由。但其弱点在于无法精确匹配掩码长度。高级ACLAdvanced ACL可以基于源IP、目的IP、协议类型等更丰富的要素。在路由过滤中偶尔用于复杂匹配但并非主流。前缀列表Prefix-list这是路由过滤中最常用、最强大的filter工具。它可以同时匹配路由前缀网络号和掩码长度前缀长度并且支持更灵活的匹配范围如ge,le参数。例如ip prefix-list PL-EXAMPLE index 10 permit 172.16.0.0/16 ge 24 le 28表示匹配172.16.0.0/16这个主网下的所有子网且子网掩码长度在24到28位之间。这种精确控制是ACL难以实现的。注意filter工具本身并不执行任何动作。创建一条prefix-list或acl仅仅是在设备本地生成了一张匹配规则表它不会主动去影响任何路由。它的状态是“就绪”等待被调用。2.2 Filter-Policy应用规则的“指挥官”Filter-policy在有些厂商设备中可能直接叫route-policy或distribute-list但逻辑相通是一个策略命令它需要调用一个或多个filter工具并规定在路由协议的哪个处理节点上执行“允许”或“拒绝”动作。它的核心逻辑是在路由信息流经协议处理流程的某个关键点时检查该信息是否匹配指定的filter规则。如果匹配则执行permit或deny动作如果不匹配则按默认策略处理通常是deny。Filter-policy的应用方向至关重要主要分为三类Import方向入方向过滤接收到的路由信息。影响本设备的路由表RIB和链路状态数据库LSDB的生成对于链路状态协议有特殊之处后文详述。Export方向出方向过滤对外发布的路由信息。影响邻居设备能学到什么。在路由引入Redistribution时应用过滤从其他路由协议或直连/静态路由引入到当前协议的路由。两者的关系类比Filter像是警察手中的“通缉令名单”描述特征而filter-policy就像是设置在机场、车站的“检查站”执行地点以及“见到名单上的人就扣留”的指令执行动作。没有名单检查站无法工作没有检查站名单只是一张废纸。3. OSPF中的Filter与Filter-Policy实战解析OSPF作为链路状态协议其过滤机制与距离矢量协议如RIP有本质区别。这是因为OSPF区域内设备同步的是链路状态通告LSA而非直接的路由表。这个特性使得过滤行为更加微妙。3.1 OSPF Filter-Policy Import对路由表RIB的过滤这是OSPF中最常用的过滤方式。命令形如filter-policy {acl-number | prefix-list name} import。它的作用位置和效果非常明确作用位置在SPF算法计算完毕生成路由条目后准备将其安装到设备全局路由表RIB之前。核心影响只过滤进入本设备路由表的路由不影响链路状态数据库LSDB的完整性和同步。工作流程路由器通过LSA洪泛与区域内其他路由器保持完全一致的LSDB。本机运行SPF算法基于LSDB计算出所有可达路由。在将这些计算出的OSPF路由提交给RIB之前filter-policy import介入。每条待提交的路由与引用的ACL或前缀列表进行匹配。匹配permit规则的路由被允许加入RIB匹配deny规则或未匹配任何规则隐含拒绝所有的路由被丢弃但这条路由依然存在于LSDB中。实操示例与验证 假设我们有路由器R1、R2、R3运行在OSPF Area 0。R3上有一个环回口loopback 3.3.3.3/32通告进OSPF。我们在R1上配置ip prefix-list BLOCK-3 deny 3.3.3.3/32 ip prefix-list BLOCK-3 permit 0.0.0.0/0 le 32 # 允许其他所有 # ospf 1 filter-policy prefix-list BLOCK-3 import配置后在R1上查看display ip routing-table protocol ospf将看不到3.3.3.3/32的路由。display ospf lsdb依然能看到描述3.3.3.3/32的Type-1 LSA由R3产生。连通性测试从R1ping 3.3.3.3会失败因为路由表中没有该路由。但R2到R3的通信不受任何影响。关键心得filter-policy import是一种“本地化”的过滤策略常用于控制本设备的数据转发路径例如不让本设备访问某个网段而不会破坏OSPF区域内的拓扑信息一致性。这既是优点不影响邻居也是限制无法阻止LSA传播。3.2 OSPF Filter-Policy Export与路由引入过滤OSPF的filter-policy export命令不能用于过滤OSPF内部路由Type-1, Type-2 LSA转换的路由的发布。这是由链路状态协议的本质决定的区域内路由是通过LSA洪泛同步而非逐跳通告。它的主要应用场景是过滤引入的外部路由。 命令形如filter-policy {acl-number | prefix-list name} export [protocol]。作用位置在将其他协议如直连、静态、BGP、RIP的路由引入redistribute到OSPF时在生成AS-external LSAType-5 LSA之前进行过滤。核心影响控制哪些外部路由可以被重分发到OSPF域中。实操示例 在ASBR路由器上我们想将直连路由192.168.1.0/24和192.168.2.0/24引入OSPF但只允许发布192.168.1.0/24。ip prefix-list ALLOW-REDIST permit 192.168.1.0/24 # ospf 1 import-route direct filter-policy prefix-list ALLOW-REDIST export direct # 关键在此配置后ASBR只会为192.168.1.0/24生成Type-5 LSA并洪泛而192.168.2.0/24则不会被引入OSPF。3.3 OSPF区域间路由过滤ABR上的FilterOSPF还有另一种更细粒度的过滤方式在ABR上过滤区域间路由Type-3 Summary LSA。这需要使用area {area-id} filter命令。作用位置在ABR上控制从一个区域向另一个区域发送的Summary LSA。类型area 1 filter prefix-list PL-OUT export过滤从Area 1或其他区域计算出的路由在发布到Area 0或其他区域时。area 0 filter prefix-list PL-IN import过滤从Area 0或其他区域接收到的Summary LSA在计算并安装到Area 1的路由表之前。核心影响可以实现区域间的路由隔离是设计层次化、安全OSPF网络的重要手段。配置对比表OSPF常见过滤方式过滤方式命令示例作用点影响范围典型应用场景Import过滤filter-policy 2000 importSPF计算后RIB安装前仅本地路由表控制本设备转发路径实现本地策略Export过滤filter-policy 2000 export direct路由重分发时整个OSPF域对引入的路由控制外部路由注入OSPF的范围区域间出口过滤area 1 filter prefix-list PL-OUT exportABR生成Summary LSA时目标区域的所有路由器实现区域间的路由隔离如禁止某个区域访问核心区区域间进口过滤area 0 filter prefix-list PL-IN importABR处理接收的Summary LSA时本区域ABR所在的所有路由器保护本区域不接收某些区域间路由4. IS-IS中的Filter与Filter-Policy特性详解IS-IS同样是一种链路状态协议其过滤逻辑与OSPF相似但在命令语法和某些细节上存在差异。理解这些差异是避免配置错误的关键。4.1 IS-IS Filter-Policy Import原理与OSPF类似与OSPF类似filter-policy import在IS-IS中的作用也是过滤计算出的路由进入本地路由表而不影响链路状态数据库LSDB的同步。命令语法以常见厂商为例filter-policy {acl-number | prefix-list name} import工作流程路由器同步LSDB运行SPF算法。计算出所有IS-IS路由。filter-policy import在此处拦截根据规则决定哪些路由可以加入RIB。被过滤掉的路由不会出现在路由表中但对应的LSP链路状态PDU依然存在于LSDB中并会继续被洪泛。一个容易踩坑的细节IS-IS默认级别Level-1, Level-2。在配置filter-policy import时如果不指定级别该策略可能会同时应用于Level-1和Level-2路由。为了精确控制通常需要结合路由策略或明确指定过滤的上下文。4.2 IS-IS Filter-Policy Export与路由泄露控制IS-IS的filter-policy export命令行为与OSPF高度一致不能过滤IS-IS内部路由的发布主要用于过滤引入的外部路由。命令语法filter-policy {acl-number | prefix-list name} export [protocol]应用场景当IS-IS路由器作为“准ASBR”引入外部路由时控制哪些静态、直连、BGP等路由可以被注入到IS-IS域中并以IP可达性信息的形式在LSP中传播。IS-IS特有的“路由泄露”与过滤 IS-IS Level-1-2路由器默认会将Level-2的路由自动下发给Level-1区域这就是路由泄露。有时我们需要控制这种泄露。虽然标准做法是使用import-route isis level-2 into level-1 filter-policy这类命令但其本质也是在“引入”路由从Level-2到Level-1时应用过滤策略逻辑上与filter-policy export在重分发时的作用相似。4.3 IS-IS LSP生成与发布过滤这是IS-IS相比OSPF一个更强大的过滤特性。除了过滤路由表IS-IS还可以在生成LSP报文的源头进行过滤。这通过filter-policy export配合direct或特定协议来实现但更精细的控制需要使用isis advertise-filter这类命令命令名因厂商而异。作用位置在路由器准备将自己直连的IP前缀信息写入要洪泛的LSP报文时。核心影响直接从源头阻止某些IP前缀信息进入IS-IS的LSDB。这意味着邻居路由器根本学不到被过滤的前缀实现了真正的“信息隐藏”。与filter-policy import的区别特性filter-policy importLSP发布过滤 (如advertise-filter)作用阶段SPF计算后RIB安装前LSP生成时影响数据库不影响本地LSDB影响本地及全网LSDB影响邻居邻居LSDB完整能计算路由邻居LSDB中无此前缀信息用途本地路由控制全网拓扑信息控制网络优化实操示例 路由器R1有直连网段10.1.1.0/24和10.1.2.0/24希望只将10.1.1.0/24通告进IS-IS。ip prefix-list ADV permit 10.1.1.0/24 # isis 1 network-entity 49.0001.0000.0000.0001.00 # address-family ipv4 unicast advertise-filter prefix-list ADV # 关键配置阻止10.1.2.0/24进入LSP配置后所有IS-IS邻居的LSDB中都不会出现10.1.2.0/24的前缀信息因此全网任何IS-IS路由器都无法计算出到达该网段的路由。5. 高级应用与复杂场景排错指南掌握了基础原理和单点配置后面对网络中的复杂需求我们需要组合运用这些工具。5.1 双向过滤与多协议环境下的策略联动场景一台边界路由器同时运行OSPF和BGP需要将OSPF的某些内部路由谨慎地注入BGP同时又将BGP学到的特定路由引入OSPF并确保循环和次优路径问题不会发生。解决方案思路定义清晰的Filter工具为不同的过滤目的创建不同的前缀列表或ACL。例如prefix-list PL-OSPF-TO-BGP: 定义允许从OSPF引入BGP的路由。prefix-list PL-BGP-TO-OSPF: 定义允许从BGP引入OSPF的路由。prefix-list PL-DENY-DEFAULT: 明确拒绝默认路由防止意外传播。在路由引入点应用Filter-Policy在BGP进程下配置import-route ospf 1 route-policy RP-OSPF-TO-BGP其中route-policy内部调用PL-OSPF-TO-BGP。在OSPF进程下配置import-route bgp route-policy RP-BGP-TO-OSPF其中route-policy内部调用PL-BGP-TO-OSPF。使用Route-Tag进行标记和过滤在引入路由时可以为其设置一个Tag社区属性的一种简化使用。后续的过滤策略可以基于这个Tag进行使得策略更清晰、易于维护。例如为所有从BGP引入OSPF的路由设置Tag 100然后在OSPF向其他区域发布时ABR上可以配置过滤掉Tag为100的路由。5.2 常见故障排查与调试命令实录路由过滤配置不当是导致网络“诡异”不通的常见原因。以下是一个系统化的排查流程现象确认具体是哪两个点不通使用tracert或ping确认断点。检查本地路由表在故障设备上使用display ip routing-table x.x.x.x查看是否有到达目标网段的路由。如果没有进入下一步。检查协议路由表使用display ospf routing或display isis route查看协议是否计算出了该路由。如果协议路由表中有但全局路由表中没有大概率是filter-policy import在起作用。检查Filter-Policy配置仔细核对设备上生效的filter-policy语句确认其引用的ACL或前缀列表编号/名称是否正确。检查Filter工具内容使用display acl all或display ip prefix-list name XXX查看定义的规则。务必注意规则的匹配顺序和隐含的deny any。经典坑1前缀列表只写了deny条目没有最后的permit 0.0.0.0/0 le 32导致所有路由被隐式拒绝。经典坑2ACL使用错误的反掩码或误用了gt,le参数。检查LSDB/LSP对于OSPF/IS-IS使用display ospf lsdb或display isis lsdb查看相关的LSA/LSP是否存在。如果LSDB中都没有说明过滤发生在发布源头OSPF的域间过滤、IS-IS的advertise-filter或路由根本未通告。调试工具在可控环境下可以开启协议调试信息如debugging ospf event生产环境慎用观察路由更新是否被发送或接收。一个真实排错案例 网络中出现部分路由缺失。检查发现一台ABR上配置了area 1 filter prefix-list PL-TEST import。排查PL-TEST其内容为ip prefix-list PL-TEST index 10 deny 10.2.0.0/16 ge 24 ip prefix-list PL-TEST index 20 permit 0.0.0.0/0 le 32意图是阻止10.2.0.0/16的精细子网/24及以上进入Area 1。但实际效果是10.2.0.0/16本身掩码16位也被拒绝了。为什么因为前缀列表的匹配是“最长匹配”逻辑。条目10匹配了10.2.0.0/16因为/16在ge 24的范围内吗不ge 24表示掩码长度大于等于24/16不满足此条件。实际上10.2.0.0/16没有匹配条目10它落到了条目20被允许了。问题可能出在其他地方。进一步排查发现Area 1内实际缺失的是10.2.1.0/24。它成功匹配了条目1010.2.0.0/16包含了10.2.1.0且掩码24 24因此被拒绝。配置意图正确但结果符合预期。故障可能是其他区域的过滤导致。这个案例说明了精确理解前缀列表参数(ge,le)的重要性。5.3 性能考量与最佳实践建议前缀列表优于ACL在路由过滤场景中始终优先使用前缀列表Prefix-list。它专为路由匹配设计语法更直观网络/掩码形式且匹配效率通常更高。精细过滤原则尽量使用精确的前缀和掩码进行匹配避免使用过于宽泛的permit 0.0.0.0/0 le 32。在列表末尾使用一个明确的允许或拒绝所有的条目作为“兜底策略”而不是依赖隐式规则。Import过滤的局限性时刻记住OSPF/IS-IS的import过滤不改变LSDB。如果目的是为了隐藏网络信息或减少洪泛流量需要在发布源头OSPF的ABR区域过滤、IS-IS的advertise-filter进行控制。测试与验证在应用任何过滤策略尤其是出口过滤或LSP生成过滤时先在非核心设备或测试环境验证。使用display ospf lsdb/display isis lsdb对比过滤前后变化是验证源头过滤是否生效的金标准。文档与注释在配置中为复杂的prefix-list和filter-policy添加描述性注释。清晰的命名规范如PL-TO-CORE-PERMITFP-IMPORT-FROM-AREA1能极大提升后期维护效率。路由过滤是网络精细化管理的体现理解filter与filter-policy在OSPF和IS-IS中的细微差别能够帮助我们在保证网络连通性的前提下实现流量引导、安全隔离和资源优化。从查看路由表开始到分析LSDB再到逐条核对过滤策略这套排查思路适用于大部分与路由过滤相关的网络故障。记住所有策略生效的前提是你对路由流动路径和协议工作机制的清晰认知。
