IS-IS配置与排错详解

第一部分：IS-IS 协议核心概念深度解析

  ​在深入命令行配置之前，深刻理解 IS-IS 的核心概念是进行有效部署和快速排错的基础。IS-IS 是一个链路状态内部网关协议，与 OSPF 齐名，但其设计哲学和术语体系独树一帜。首先，IS-IS 生来就是为了承载 CLNP 网络层协议，后来通过扩展（集成 IS-IS 或双 IS-IS）来支持 IP，这种历史渊源决定了它采用“网络层无关”的设计，协议数据包直接承载在数据链路层之上，而不依赖于 IP，这使得它在 IP 网络和未来的非 IP 网络（如 SRv6）中都具有天然的灵活性。理解其层次结构是第一步，IS-IS 定义了两级层次结构：Level-1 和 Level-2。Level-2 路由器构成网络骨干，负责在不同区域之间传递路由信息，它们必须是物理连续的；而 Level-1 路由器则位于特定的区域内部，类似于 OSPF 的完全末节区域路由器，它们只知道区域内的拓扑细节，并通过指向最近的 Level-1-2 路由器的默认路由离开本区域。这种设计实现了高效的拓扑信息汇总和隔离，特别适合大规模网络。另一个核心概念是网络服务访问点，即 NET 地址，它取代了 OSPF 中的 Router ID，是一个定长的地址，由区域 ID、系统 ID 和 SEL 三部分组成，系统 ID 通常由路由器的 MAC 地址或手动定义的唯一标识符转换而来，必须保证在整个路由域内的唯一性。链路状态数据库是 IS-IS 的“地图”，每个路由器通过交换链路状态协议数据单元来同步和维护这个数据库，LSP 包含了该路由器所有的链路、邻居和可达性信息。与 OSPF 复杂的 LSA 类型不同，IS-IS 的 LSP 类型简洁明了，主要分为非伪节点 LSP 和伪节点 LSP，前者描述路由器自身的链路状态，后者则由指定路由器为广播网络生成，用于简化网络拓扑描述。

第二部分：IS-IS 基础与高级配置实战详解

1. 基础配置流程

  ​IS-IS 的配置逻辑清晰，主要步骤包括启用进程、定义 NET 地址、在接口上启用协议。以 Cisco IOS 为例，首先使用全局配置命令 router isis [process-id] 进入 IS-IS 路由进程配置模式，进程 ID 仅具有本地意义。紧接着，最关键的步骤是使用 net [net-address] 命令配置 NET 地址，例如 net 49.0001.1921.6800.1001.00，其中 49.0001 是区域 ID，1921.6800.1001 是系统 ID，00 是 SEL。然后，我们需要在需要运行 IS-IS 的接口下，使用命令 ip router isis [process-id] 来激活 IS-IS。默认情况下，Cisco 路由器是 Level-1-2 路由器，为了优化网络，我们通常需要在骨干区域将所有路由器显式配置为 is-type level-2-only，在非骨干区域将内部路由器配置为 is-type level-1，而区域边界路由器保持默认或配置为 is-type level-1-2。

2. 高级配置项目
     ​基础连通性建立后，网络优化和精细化控制成为重点。首先，路由汇总是控制路由表规模和稳定性的关键，只能在 Level-1-2 路由器上针对注入 Level-1 区域的路由进行汇总，命令为 summary-address [ip-address] [mask] level-1。其次，度量值的调整至关重要，IS-IS 默认所有接口的度量值为 10，且最大路径开销为 1023，但可以通过 metric-style wide 命令启用宽度量值模式，支持高达 16777215 的开销值，这对于基于 TE 流量的工程至关重要；在接口下使用 isis metric [value] [level-1 | level-2] 可以手动调整接口开销。认证是保障协议安全的重中之重，IS-IS 支持三层认证：接口认证（使用 isis password [password] [level-1 | level-2] [send-only] 命令）用于验证直连邻居关系；区域认证（在路由进程下使用 area-password [password]）确保同一区域内的路由器可信；域认证（在路由进程下使用 domain-password [password]）则保护骨干区域 Level-2 路由器之间的 LSP 交换。最后，对于广播网络，DIS 的选举基于接口优先级（默认 64），优先级越高越优，相同时比较系统 ID，在接口下使用 isis priority [value] [level-1 | level-2] 可以控制选举结果，DIS 的预占特性默认不开启，需要特别注意。

第三部分：系统性 IS-IS 故障排除方法论与实战命令

  ​当 IS-IS 网络出现故障时，遵循系统性的排错方法远比盲目尝试有效。排错流程应自底而上，从物理连接逐步排查到路由逻辑。

  ​第一步：验证底层连通性。 任何路由协议都建立在 IP 可达性之上。使用 ping 和 traceroute 确认故障点之间的基础 IP 连通性。检查接口状态 show ip interface brief，确保物理接口和协议状态均为 up。

  ​第二步：检查 IS-IS 邻居关系。 邻居关系建立是 IS-IS 正常工作的基石。使用核心命令 show isis neighbors [detail]。此命令的输出需要仔细审视：
  ​• State 列： 正常状态应为 UP。如果显示 INIT，表示本端收到了对端的 Hello 包，但本端的 Hello 包未被对端收到，问题可能出在单向链路或访问控制列表。如果为空，则表明邻居关系完全未建立。

  ​• Type 列： 确认邻居类型正确。L1 路由器应与同一区域的 L1 或 L1-2 路由器建立 L1 邻接；L2 路由器应与其他区域的 L2 或 L1-2 路由器建立 L2 邻接。常见的故障是层级不匹配，例如一台路由器配置为 is-type level-1，另一台配置为 is-type level-2-only，它们之间无法建立邻接。

  ​• Circuit Type 列： 检查接口电路类型是否匹配。

  ​如果邻居关系无法建立，排查点包括：
  ​• 认证不匹配： 检查接口、区域、域密码是否在直连邻居间完全一致。

  ​• NET 地址配置错误： 区域 ID 不匹配会导致 L1 邻接失败；系统 ID 不唯一会导致网络混乱。

  ​• MTU 不匹配： IS-IS 在建立邻接时会协商 MTU，如果不匹配，邻接会停留在 INIT 状态。使用 show clns interface 检查接口 MTU。

  ​• ACL 阻塞： 检查是否存在 ACL 阻塞了 IS-IS 协议数据包。IS-IS 使用组播 MAC 地址 0180.c200.0014（L1 LAN Hello）和 0180.c200.0015（L2 LAN Hello），需要确保这些报文被放行。

  ​第三步：分析 IS-IS 链路状态数据库。 邻居关系正常后，下一步是确认拓扑信息是否同步。使用 show isis database 查看 LSP 摘要，确认本路由器收到了所有邻居的 LSP。使用 show isis database detail [lsp-id] 深入查看特定 LSP 的内容，检查其中包含的 IP 前缀、度量值、邻居关系是否准确。如果某个网络的 LSP 缺失，问题可能出在 LSP 的洪泛过程中，可能是中间路由器的配置错误或网络拥塞。

  ​第四步：检查 IP 路由表。 LSDB 同步并不意味着路由一定被计算出来。使用 show ip route isis 查看通过 IS-IS 学到的路由。如果 LSDB 中有相关信息但路由表中缺失，可能的原因包括：
  ​• 路由泄露问题： L1 区域的路由器默认只有一条指向最近 L1-2 路由器的默认路由。如果希望将特定 L2 路由引入 L1 区域，必须在 L1-2 路由器上配置路由泄露：redistribute isis ip level-2 into level-1 [route-map]。

  ​• 路由过滤： 检查是否在 IS-IS 进程中或接口上应用了分发列表或前缀列表，错误地过滤了路由。

  ​• 度量值过大： 检查路径的累计开销是否在可接受范围内。

第四部分：复杂场景排错与高级调试技巧

对于更隐蔽的问题，需要借助高级调试工具。
  ​场景一：路由环路或次优路径。 这通常源于链路状态数据库不同步或路由策略配置错误。首先，使用 show isis spf-log 查看最短路径树的计算日志，分析 SPF 算法触发的频率和原因，频繁的 SPF 计算可能表明网络不稳定。其次，使用 traceroute 确定流量的实际路径，并与基于 LSDB 计算的理论路径对比。使用 debug isis spf-events 和 debug isis update-packets 可以实时跟踪 SPF 计算和 LSP 更新过程，但这些命令会产生大量输出，应仅在受控环境中使用。环路的一个常见原因是路由泄露配置不当，导致 L1 和 L2 数据库间的路由信息循环注入。

  ​场景二：特定前缀丢失。 如果其他路由正常，但某个特定网段的路由缺失，应首先在 LSDB 中搜索该前缀。使用 show isis database verbose | include [prefix]。如果前缀存在于某个 LSP 中，但未进入路由表，问题在于路由计算阶段，可能是由于路由过滤或管理距离问题。如果前缀根本不在 LSDB 中，问题在于 LSP 的生成或洪泛。需要沿着路径逐跳检查，确认通告该前缀的路由器是否在其 LSP 中正确包含了该接口网络，并且 LSP 是否被成功洪泛到整个区域/骨干。

  ​场景三：DIS 选举异常导致网络震荡。 在广播网络中，DIS 负责生成伪节点 LSP 并负责 LSP 的洪泛。如果 DIS 频繁切换，会导致网络不稳定。检查 show isis neighbors 确认当前 DIS。检查所有相关接口的 IS-IS 优先级。如果网络需要稳定性，应手动将核心路由器的接口优先级设置为较高值（如 100）。同时，确保这些核心路由器的性能足以承担 DIS 的角色。

  ​总结而言， IS-IS 排错是一个逻辑严密的进程：连通性 → 邻居关系 → 数据库同步 → 路由计算 → 策略检查。熟练掌握 show 命令家族是日常维护的关键，而谨慎使用 debug 命令则是解决疑难杂症的最后手段。通过本指南的系统性学习，您将能够从容应对绝大多数 IS-IS 网络故障，构建和维护一个高效、稳定的 ISP 级网络基础设施。