折腾OSPF BGP时，我发现最麻烦的往往不是安装，而是配置。你也许遇到过这样的场景：公司采购了两条不同运营商的互联网线路，一主一备接入云安全网关，以为万事大吉。结果某天主线路光缆被挖断，业务中断了十几分钟——因为网关只会用静态路由傻等，直到管理员手动把默认路由切换到备用口。这不是个例。当企业将安全边界迁移到云安全网关后，物理出口的数量可能从一条变成多条（多运营商、多POP点），而故障切换的及时性直接决定了业务的可用性。
要解决这个问题，核心思路是引入动态路由协议，让网关能自动感知出口故障并秒级切换流量。本文不会塞满命令行，而是先帮你搞懂为什么需要动态路由、OSPF和BGP分别适合什么场景，再给出具体的调优参数和验证方法。所有内容面向小白，但保证技术准确。
什么是云安全网关与多物理出口？
验证与回滚
云安全网关通常部署在业务的边界，承担流量清洗、访问控制、DDoS防护等任务。它往往有多个物理接口（网口）连接不同的ISP线路，这些接口就是你的“物理出口”。多出口的目的很直接：
- 带宽冗余：单条线路带宽有限，多条可以负载分担。
- 故障容灾：一条断了，另一条自动接管。
- ISP故障隔离：一家运营商出问题，不影响其他流量。
但问题也来了：如何让网关知道哪条线路还活着？传统做法是配置静态浮动路由，靠IP SLA或BFD（双向转发检测）检测链路健康。但这种方法配置复杂、检测粒度粗、切换速度慢（常见10秒以上）。更糟糕的是，如果故障不是物理断线，而是某运营商内部路由黑洞（路由可达但丢包严重），静态路由完全无法感知。
延伸阅读：此处可内链到“OSPF BGP配置案例”相关文章。
OSPF BGP：为什么需要容灾切换与高可用？
我的处理经验
高可用不是口号，而是需要具体指标。常见的SLA承诺如99.99%可用性，对应年停机时间不超过52分钟。如果每次故障需要人工介入恢复，哪怕运维人员24小时待命，从发现到切换再验证，10分钟是保守估计。一个月发生几次，SLA就危险了。更重要的是，业务中断带来的直接损失往往远超带宽成本。
容灾切换自动化的核心就是动态路由协议。它们通过邻居保活机制（Hello报文）实时检测链路可达性，一旦超时未收到Hello，马上从路由表中撤销该路径，并重新计算最佳下一跳。这个收敛时间可以控制在1秒以内（配合BFD甚至50ms）。
动态路由协议OSPF和BGP入门
先别被缩写吓到，理解原理后会发现它们就是“智能路由自动切换器”。
OSPF（开放最短路径优先）
OSPF是内部网关协议（IGP），用于同一个自治系统（AS）内部。它通过计算链路开销（Cost）选出最短路径。在云安全网关场景中，你可以把网关的多个出口接口分别宣告进OSPF，让核心交换机的路由表自动学习到去往外网的两个下一跳。当某一接口断联，OSPF的邻居关系断裂，路由器自动删除该路由，流量切到另一个接口。
适合场景：企业内网到边界网关的段，或者网关本身属于同一个OSPF域。
BGP（边界网关协议）
BGP是外部网关协议（EGP），用于不同自治系统之间。它的核心是路径属性（AS_PATH、Local Preference等），可以精细控制选路。如果云安全网关直接对接到多个上行ISP（通常每个ISP分配一段公网IP），可以用EBGP与ISP路由器建立邻居，这样ISP的路由变化能直接通知到你的网关，实现更快的故障感知。
适合场景：多运营商接入，需要根据ISP路由状态自动切换，或需要接收ISP的默认路由。
相关阅读：此处可内链到“OSPF BGP常见问题”专题。
OSPF在云安全网关下的调优要点
配置前的检查
在云安全网关上部署OSPF主要关注以下几点：
- Hello/Dead间隔：默认Hello 10秒、Dead 40秒。建议缩小到Hello 3秒、Dead 12秒，配合BFD可降到1秒以内。注意不能过小，否则网络抖动也会触发切换。
- 接口Cost值：主出口Cost设小（如10），备出口Cost设大（如20）。这样正常时主出口优先。OSPF基于Cost选路。
- 被动接口：面向内部业务的接口建议设为passive，不发送OSPF Hello，减少不必要的邻居。
- 重分布：如果网关有静态默认路由，可以用重分布引入OSPF，但小心次优路由。更推荐让OSPF域内有一条指向网关的默认路由，由网关的默认路由聚合。
实例配置思路（以Linux的Quagga/FRR为例）：
router ospf router-id 10.0.0.1 network 192.168.1.0/24 area 0 network 203.0.113.0/30 area 0 ! interface eth0 ip ospf hello-interval 3 ip ospf dead-interval 12 ip ospf cost 10 ! interface eth1 ip ospf cost 20
关联教程：此处可内链到“OSPF BGP部署与验证”内容。
BGP在云安全网关下的调优要点
配置前的检查
BGP调优相对复杂，但核心就几条：
- EBGP多跳：云安全网关与ISP路由器可能直连，也可能跨一层。直连时用eBGP multihop=1即可；非直连需指定跳数。
- 路由优选控制：通过Local Preference控制主备——主链路从ISP收到的路由设Local Pref高（如200），备用链路设低（如100）。这样无论AS_PATH长短，都会优选主链路。
- Prefix List与Route Map：过滤不需要的路由（比如只接收ISP的默认路由），防止路由表爆炸。同时可以用AS_PATH prepend让ISP感知你的备用路径权重低。
- BFD over BGP：强烈建议启用BFD（双向转发检测），将故障探测时间从BGP Keepalive的几十秒降低到秒级甚至毫秒级。需ISP配合。
实例配置思路（FRR）：
router bgp 65001
neighbor 203.0.113.2 remote-as 100
neighbor 203.0.113.2 description ISP-A
address-family ipv4 unicast
neighbor 203.0.113.2 route-map SET-PREF-IN in
neighbor 203.0.113.2 default-originate
exit-address-family
!
route-map SET-PREF-IN permit 10
set local-preference 200
实战配置思路与注意事项
先看关键判断
- 先做BGP还是OSPF？ 如果内网设备也支持动态路由，建议OSPF处理内网段，BGP处理外网段。网关作为路由中继，在OSPF和BGP之间做路由重分布（注意过滤防止环路）。
- 路由对称性：多出口场景下，回程流量可能从不同口回来。如果云安全网关有NAT，源NAT必须绑定特定的出口IP，否则回包可能被ISP丢弃。解决方案是策略路由（PBR）或使用VRF。
- 黑洞路由：当某条BGP路由撤销后，流量可能瞬间被扔向空接口。建议配置一条静态黑洞路由指向null0，防止默认路由出现环路。
- 监控与告警：动态路由只是自动切换，你仍然需要知道切换发生了。配置SNMP Trap或日志告警，当OSPF邻居down或BGP会话reset时触发通知。
想继续深入：此处可内链到“OSPF BGP优化清单”文章。
验证与回滚策略——OSPF BGP
验证与回滚
任何变更都要有验证和回滚计划。这里给出三个步骤：
- 验证：切换前，登录网关执行 show ip ospf neighbor 确认邻居正常；show bgp summary 确认BGP会话 Established。然后模拟故障：拔掉主线路网线或关闭ISP端口（测试环境下）。观察 traceroute 是否瞬间切换到备用路径。同时检查业务是否正常。
- 回滚：将配置变更记录在git或运维平台。回滚命令：直接恢复之前的配置文件（如FRR运行配置直接替换）。不需要重启服务，执行 sysctl 或 reload 即可。
- 渐进式发布：先在测试环境验证所有切换场景，再在非核心业务线路上灰度。不要直接在生产所有接口上改OSPF参数，先改一条，观察24小时。
最后提醒：动态路由协议不是银弹。如果物理链路本身质量差（高延迟、高抖动），频繁切换反而会更糟。建议结合链路质量探测（如NQA）动态调整路由优先级。不过对于大多数上云企业，正确配置OSPF/BGP并启用BFD，已经可以将出口故障切换时间从分钟级降低到秒级以下。后续只要定期检查关键指标，OSPF BGP就不会变成维护负担。
延伸阅读