HCIE-DATACOM · 第 3 章

IS-IS
中间系统到中间系统

集成 IS-IS · NET 与 SYSID · L1/L2 层级 · DIS 选举 · LSP 同步机制 · 路由渗透 · 收敛优化 —— 运营商骨干的主角，LAB 中 BGP/MPLS 底座的高频搭档。

授课 6 学时 实验 4 学时 笔试高频 ★★★★☆
HCIE-DataCom 全套课件第 3 章 / 共 13 章

本章学习目标

原理层

  • 说清 IS-IS 的 OSI 出身与"集成"含义
  • 拆解 NET 地址结构与 L1/L2 双层设计
  • 对比 DIS 与 DR、CSNP/PSNP 与 DD/LSR
  • 解释路由渗透与 Level 设计对选路的影响

实战层

  • 完成 L1/L2 组网并控制层级路由
  • 用 display isis 系列定位邻居/LSDB 问题
  • 配置渗透、默认路由与开销控制选路
  • 在 LAB 场景中 OSPF 与 IS-IS 各司其职
为什么学它IS-IS 结构简洁、扩展性好（TLV 天然适配 IPv6/SR），在华为 LAB 真题中常作为核心/骨干层 IGP；笔试中"对比 OSPF"类题目几乎必考。
3.1

IS-IS 概述与地址结构

从 ISO 的 CLNP 走来，靠 TLV 活成了"最抗老"的 IGP

出身与三大特点

OSI 血统

最初为 CLNP（无连接网络协议）设计；集成 IS-IS（RFC 1195）扩展后同时承载 IP 路由。

直接跑在链路层

不像 OSPF 封装在 IP 里，IS-IS 直接封装在数据链路层（以太 Type 0xFEFE），没有 IP 依赖 → 天然抗 IP 层攻击。

TLV 结构

所有信息按 Type-Length-Value 组织 → 加新特性（IPv6、宽开销、SR）只需加 TLV，向后兼容。

维度IS-ISOSPF
承载链路层直接封装IP 协议号 89
区域边界在链路上（L1/L2 邻接）在路由器上（ABR）
分层实现同设备双进程（L1+L2）接口划入区域
开销默认全部 10（narrow）/ wide按带宽自动（参考带宽）
收敛事件驱动 + PRC + iSPF，LSP 独立LSA 分型、区域内重算

NET 地址：一台设备一个身份证

Area ID（区域号） 可变长 · 49.0001 System ID（6 字节） 如 0010.0001.0001（由 Loopback 10.1.1.1 转换而来） 全网唯一 NSEL 恒为 00 示例：49.0001.0010.0001.0001.00 命令：network-entity 49.0001.0010.0001.0001.00（一台设备可配多个 NET，Area ID 不同 SYSID 相同 → 用于区域迁移）
NET = 区域 ID + System ID + NSEL(00)，总称 NSAP 的特例
SYSID 生成规则（华为官方）① 把 IP 每段十进制扩展为 3 位（不足补前导 0）；② 连成 12 位数字；③ 按每 4 位切一刀，分成 3 组，用点分隔开。
例 Loopback 10.1.1.1 → 010.001.001.001 → 连成 010001001001 → 切为 0010.0001.0001。
全程必须用同一套规则，否则 SYSID 不一致、邻居建不起来。
L1 邻接前提两台设备 Area ID 必须相同才能建 L1 邻接；L2 邻接可跨区域。这是"边界在链路上"的直接结果。

L1 / L2 / L1-2：层级设计

Level-2 骨干（连续的一张网） 骨干路由器全部至少 L2 · 独立 SPF R1 (L2) R2 (L1-2) L1 区域 49.0001 只知区域内部 + 默认路由 L1 区域 49.0002 经 L1/L2 边界接入骨干 边界在"链路"上： R2 一半接口跑 L1（面向区域） 一半接口跑 L2（面向骨干） 华为默认：is-level level-1-2 L1 设备只见本区域明细 + 默认路由 去其他区域全部丢给最近 L1/2 路由器
两级结构：L1 区域像"树叶"挂在连续的 L2 骨干上
与 OSPF 本质差异OSPF 的普通区域路由器"知道全网区域间路由明细"（Type-3 全量）；IS-IS 的 L1 路由器只装区域明细 + ATT 位默认路由 → 更省资源，但天然可能次优 → 引出"路由渗透"。
3.2

报文、邻接与同步

三类九种报文 · DIS 选举 · CSNP/PSNP 全网一致术

三类报文体系

大类编号作用对齐 OSPF
IIH（Hello）L1 LAN IIH广播网 L1 发现维持Hello
L2 LAN IIH广播网 L2 发现维持
P2P IIH点对点链路（含三位握手可选）
LSPL1 LSP承载链路状态（TLV）一类"合体"的 Router+Network LSA
L2 LSP全网唯一标识 LSP ID：SYSID + 伪节点ID + 分片号
SNPL1 CSNPLSDB全量目录（广播网只有 DIS 周期发）≈ DD + LSAck
L2 CSNP周期 10s（DIS）同步基准
L1 PSNP部分目录：确认 / 请求
L2 PSNP点对点链路上作 ACK 用
LSP ID 拆解0010.0001.0001.00-00 = SYSID（前 6 字节）+ 伪节点 ID（第 7 字节：00 表示本节点自身生成，非 0 表示 DIS 代表伪节点生成）+ 分片号（最后 1 字节：00 为第一片，后续依次递增）。

DIS：不像 DR 的 DR

维度DISDR
备份无 BDIS有 BDR
抢占可以抢占非抢占
选举依据优先级(默认64) + MAC，大者胜优先级(默认1) + RID
优先级 0仍参选不参选
Hello 加速DIS 发 IIH 为 3.3s（1/3）无
伪节点DIS 代替网段发 LSPDR 发 Type-2
  • 为什么 DIS 无备份还能接受？—— CSNP 周期全量广播（10s），DIS 挂掉马上重选 + CSNP 重新对账，自愈快
  • 广播网邻接：全互联 Full-mesh（不像 OSPF 只跟 DR/BDR 建）→ 邻接数更多，但同步逻辑更简单
  • 点对点链路无 DIS；只有 P2P IIH
  • P2P 三位握手（three-way handshake）：IIH 携带邻居 SYSID 确认双向 → 防单通，新版本默认开启
考试陷阱"DIS 选举是否抢占？"——是；"优先级 0 是否参选？"——是。两条都与 DR 相反，最爱混着考。

LSDB 同步：CSNP/PSNP 之舞

① CSNP 全量
DIS 每 10s 组播 L2/L1 CSNP（链路 LSDB 完整目录）；P2P 无周期 CSNP，仅建邻接时两端各发一次
›
② 比对
路由器拿 CSNP 对照本地：谁缺谁旧，心里有数
›
③ PSNP 请求
本地缺 → 发 PSNP 告知"我要这些 LSP"
›
④ LSP 回应
对端（或 DIS）发完整 LSP
›
⑤ PSNP 确认
P2P 链路上用 PSNP 作 ACK（广播网无需确认）

老化的另一面

Remaining Lifetime 从 1200s 倒数（与 OSPF 正数相反）；到 0 后保留 60s（ZeroAgeLifetime）供扩散删除。

新 LSP 判定

序列号大者新；相同则越旧越新（Remaining Lifetime 小者为新）；再比校验和。本题三连是笔试常客。

3.3

路由计算与选路控制

SPF · 渗透 · 默认路由 · 开销体系

SPF 与路由来源

每个 Level 独立 SPF

  • L1 数据库 → L1 拓扑 → 区域内路由
  • L2 数据库 → L2 拓扑 → 骨干路由
  • L1/2 设备同时维护两套

路由优先级（华为 VRP）

  • IS-IS 协议默认优先级 15（L1 与 L2 同为 15，不因层级不同而变）
  • 对比记忆：OSPF 域内 10、OSPF ASE 150、IS-IS 15、IS-IS 外部仍按 IS-IS 15（开销区分内部/外部）
  • L1 明细与 L2 默认路由的取舍，靠的是"明细优于默认"的选路直觉，而非优先级数值差异

L1 设备的路由表构成

  1. 本区域明细（L1 SPF 算出）
  2. 最近 L1/2 路由器下发的默认路由（源自 ATT 位）

ATT（Attach）位：L1/2 路由器在 L1 LSP 中置位，告诉区域"我能带你出区域"。

次优问题多出口 L1 区域：L1 设备只看"最近"的 L1/2 → 可能绕远。解决方案：路由渗透（route leaking）。

路由渗透与开销体系

# L2→L1 渗透（必须配 import-route isis level-2 into level-1）
isis 1
 import-route isis level-2 into level-1
  # 可叠加 filter-policy 控制只渗关键前缀
  # 渗透的路由在 L1 中标记为 "U/D"（up/down）防环
# 开销风格
isis 1
 cost-style wide   # 支持 >63 与 TE
interface GigabitEthernet0/0/0
 isis cost 20
  • narrow（默认）：cost 6bit（1~63），TLV 128/130
  • wide：24bit，TLV 135 —— 现代 LAB/现网必配，还要支持 IPv6 与 TE
  • 默认所有接口 cost = 10（与带宽无关！）→ 常规做法是手工 isis cost 指定
  • 也可用 auto-cost enable 让设备按带宽自动算：需先 bandwidth-reference（默认 100），且仅在 cost-style 为 wide / wide-compatible 时按公式算（cost = 参考带宽 ÷ 接口带宽 × 10）
U/D 位防环渗透的 L2 路由在 L1 LSP 中打 Down（D=1）标记：其他 L1/2 路由器看到 D=1 的前缀不会再渗回 L2；反向（L1→L2）渗透的路由打 Up 位做反向抑制。它与"L1 明细优先于 L2 默认路由"的选路规则共同防环，是关键手段。
LAB 提分真题常要求"L1 区域访问某网段走指定出口"：答案 = 渗透该前缀 + 在出口 L1/2 上调整 L1 侧接口 cost，两件套缺一不可。

收敛优化与可靠性

检测加速

  • Hello/holding 改小（P2P 默认 10s/30s）
  • BFD for IS-IS：毫秒级（第 9 章联动模板）

泛洪加速

  • 智能定时器（LSP 生成 50ms 起指数退避）
  • LSP 快速泛洪：分段直接转发，不等队列
  • 接口按需泛洪（只在点到多点多分支口发全量）

计算加速

  • PRC：叶子前缀变化不重算树
  • iSPF：只重算受影响枝干

设备级

  • NSR/GR：与 OSPF 同一框架
  • 过载位 Overload：算路时被忽略（可用于割接/预热引流）
Overload Bit 考点置位设备仍参与转发自己的 LSP，但别人计算路径时跳过它；常用于设备升级/维护时"温柔下线"（set-overload on-startup）。

IPv6 扩展与多拓扑

  • IS-IS for IPv6：新增 TLV 236（IPv6 可达性）等，一个进程同时算双栈 → 优于 OSPF 需 v2/v3 两套
  • 多拓扑 MT：v4/v6 可用不同拓扑（不同 cost/区域）→ 灵活但复杂，LAB 默认单拓扑
  • 前置条件：ipv6 enable（isis 进程）+ 接口 isis ipv6 enable 1
# 双栈 IS-IS 骨架
isis 1
 is-level level-2
 cost-style wide
 network-entity 49.0001.0010.0001.0001.00
 ipv6 enable topology ipv6
interface GigabitEthernet0/0/0
 isis enable 1
 isis ipv6 enable 1

与 OSPF 选型速记

IS-ISOSPF
承载扩展TLV 无限扩展定长 LSA 头
骨干L2 连续即可Area 0 必须连
IPv6同一进程换 v3
SR原生 TLV扩展实现
企业网较少主流
运营商/骨干主流常见
论述素材"为什么核心选 IS-IS"：TLV 可扩展性、L2 骨干与 SR 的天然契合、配置简洁、收敛快、IPv6 无缝 —— 论述题标准论据四连。

排错命令包与两案例

display isis peer                     # 邻居（Level/类型/Up时长）
display isis interface                # 接口使能/cost/类型
display isis lsdb                     # LSP 一览
display isis lsdb [l2] detail         # LSP 明细（TLV 拆解）
display isis route                    # IS-IS 路由（含下一跳/类型）
display isis error                    # 错包计数
display isis name / systemid          # SYSID↔名称映射

案例 A：L1 邻居起不来

两台设备配置都对却无 peer —— 核对 Area ID 是否一致（L1 要求）；再看 is-level（一侧仅 L2）；最后查认证区域密码。

案例 B：L1 访问外部绕路

L1 站点去往其他 L1 区域走"最近 L1/2"而非"最优路径" —— 渗透目标前缀让 L1 有明细可选，用 cost 精调出口。

核心知识要点速记 考前 10 分钟过一遍

考点必背细节频度
NET 地址区域 ID（1~13 字节）+ System ID（6 字节）+ SEL（00=IS 本身）；一台设备最多 3 个 NET，System ID 必须一致★★★★
层级模型L1 只懂区域内（缺省靠 ATT 位下发的默认路由指向 L1/2）；L2 骨干 = 连续的 L2 路由器，无需 Area 0 概念；L1-2 双 LSDB 双邻居★★★★★
DIS 选举优先级（默认 64）→ MAC 大者胜；可抢占、无 Backup；DIS 每 10s 发 CSNP 同步；伪节点 LSP 由 DIS 生成★★★★★
报文与组播IIH / LSP / CSNP / PSNP；广播网 L1 = 01:80:C2:00:00:10、L2 = 01:80:C2:00:00:11、P2P = 01:80:C2:00:00:14★★★
与 OSPF 五大差异无骨干区域约束（区域嵌在路由器上）、DIS 可抢占无 BDR、运行在链路层（不封装 IP）、L1/L2 分开建邻接、无 Full 状态概念★★★★★
开销体系华为默认 narrow（接口开销 1~63，单一 metric）；改 wide 支持扩展 TLV 与大开销，两端必须一致★★★
路由渗透L1/2 路由器上 import-route isis level-2 into level-1（可配 filter-policy 控制粒度）★★★★
邻居故障点System ID 重复、MTU 不一致、认证、level 不匹配、wide/narrow 模式不一致★★★
易错陷阱① 题干问"L1 路由器如何知道去往其他区域"——答案是 ATT 置位的 L1 LSP 派生的默认路由，不是 L2 路由下渗；② IS-IS 邻居只有 Up/Down，没有 ExStart 这些状态；③ 渗透方向是 L2 → L1，反着配不生效。

练习重点 笔试 × LAB 双线

笔试刷题方向

  1. IS-IS vs OSPF 判断题：DIS 可抢占 / 无 BDR / 无 Area 0 / 链路层承载，四个坑轮流考
  2. NET 地址计算：给完整 NET 拆区域 ID / System ID / SEL，或反推合法 NET
  3. 路由渗透：方向 + 命令 + 为何默认不渗透（防次优与环路）
  4. ATT / OL / Overload 位：OL 置位不参与 transit 的含义
  5. CSNP / PSNP 角色：广播网 DIS 周期发 CSNP，P2P 双方互发
达标线DIS 选举两要素 10 秒报出；能口述广播网 LSDB 同步全过程。

实验强化清单

  1. L1 / L2 / L1-2 三级组网，验证 L1 仅得默认路由、渗透后明细可见
  2. 切换 cost-style wide，观察邻居掉线 → 两端同步修复
  3. 故障注入：改 System ID 重复、认证不一致，用 display isis error 定位
  4. 渗透 + filter-policy 精确控制只放行特定网段
验证命令自查display isis peer verbose、display isis lsdb verbose（看 ATT/OL 位）、display isis route —— 每条输出逐列解释。

本章小结

地址NET = 区域 + SYSID(6B) + 00；L1 邻接要求同区域；边界在链路而非设备。
报文IIH / LSP / SNP(CSNF全量·PSNP部分)；P2P 用 PSNP 确认，广播网 DIS 周期 CSNP 对账。
DIS vs DR无备份、可抢占、优先级大者胜且 0 也参选、Hello 加速 3.3s、邻接全互联。
层级路由L1 只知本区域 + ATT 默认路由；跨区次优 → 渗透（U/D 位防环）；Overload 让设备"温柔下线"。
开销默认全 10、narrow 6bit vs wide 24bit；LAB 必配 wide；选路调 cost 而非带宽参考。
扩展TLV 承载 IPv6（单进程双栈）与 SR；收敛三板斧 BFD/快速泛洪/PRC+iSPF。

课后思考

广播网络中 IS-IS 邻接数量与 OSPF 相比是多是少？各自怎么保证 LSDB 一致性？
为什么 IS-IS 的 L1 路由器不需要像 OSPF ABR 那样维护全网明细？这个设计在什么情况下变成缺点？
路由渗透为什么要打 U/D 标记？如果两台 L1/2 路由器互相渗透，不加标记会发生什么？
narrow 与 wide 开销混用时邻居能否建立？路由计算会有什么表现？如何排查？

实验 3：IS-IS 层级与渗透 LAB · 2 学时

eNSP5 路由器 · L2 骨干 + 两 L1 区域

任务书

  1. R1-R3 组 L2 骨干（cost-style wide），R4/R5 分别挂两个 L1 区域
  2. 验证 ATT 位默认路由：R4 上 display isis route 应有 "default"
  3. 配置渗透：把 L2 网段 3.3.3.0/24 渗入 L1，并用 cost 控制 R4→3.3.3.0/24 走 R2
  4. R3 置 overload，观察全网去 3.3.3.0/24 路径切换
  5. BFD 联动（3ms×3），拔线测量收敛时间
验证点预期
display isis peer各链路 Level 类型正确
display isis route (R4)出现渗透明细而非仅默认
tracert R4→R3 Loopback按 cost 设计走 R2
overload 后路径避开 R3