CE12508 OSPF Full 邻接新增区域认证完整结论（H3C Comware V7 平台）

一、两个核心问题直接答复

1. 本端配置区域认证后，会立刻发带认证的 Hello 报文吗？

2. 仅一端配置认证，邻接会立即中断吗？

1. 本端视角（配了认证）
   收到对端无认证的 Hello 报文 → 校验认证字段不匹配，直接丢弃该 Hello，不更新邻居 Dead 倒计时；
   邻居表 Dead 时间持续递减，不会收到任何保活报文。
2. 对端视角（未配认证）
   收到本端带认证的 Hello 报文 → 本地无认证配置，校验失败，同样丢弃该 Hello；
   它也收不到合法保活报文，Dead 倒计时同步递减。
3. 最终断连时机
   广播 / P2P 网络 Hello=10s，Dead=40s；两端持续丢弃对方 Hello，40 秒后 Dead 超时，邻居状态变为 Down，邻接彻底中断、路由删除。

关键点：不是配置完马上断，要等 4×Hello 时间，不会瞬间断 Full 邻接。

二、底层原理（OSPF 认证校验逻辑）

1. 认证字段在OSPF 报文头部，所有 OSPF 报文（Hello、DBD、LSU 等）接收时第一步校验认证，校验失败直接丢弃整包，不进入邻居状态机处理。
2. 区域认证全局生效于本区域所有接口；接口认证优先级高于区域认证。
3. 邻接 Full 仅代表 LSDB 同步完成，邻居保活完全依赖周期性 Hello 报文，一旦 Hello 持续丢弃，Dead 超时就销毁邻接与路由。

三、现场现象（CE12508 典型表现）

1. 单端配置认证后，display ospf peer短时间内仍显示 Full；
2. 持续 40 秒无合法 Hello 交互后，状态从 Full→Loading→Exchange→ExStart→2-Way→Init→Down；
3. Dead 超时后，OSPF 邻居表消失，所有 OSPF 路由全部失效；
4. 设备日志打印OSPF packet authentication failed报文校验失败告警。

四、生产环境平滑配置建议（避免业务中断）

1. 两端同步配置，同一窗口同时下发认证命令
   两端区域下配置完全一致的认证模式、密钥（simple/MD5/HMAC-SHA256），两端同时生效，Hello 报文认证匹配，邻接不会震荡。
2. 分步操作顺序：
   ① 主备 / 两台设备同时进入对应 OSPF 区域视图；
   ② 同步输入相同authentication-mode认证命令；
   ③ 查看display ospf peer保持 Full，无状态震荡；
3. 禁止单边先配置，会导致 40 秒后路由全断、业务中断。

五、精简总结

1. 配置区域认证后，下一轮 Hello 报文立刻携带认证信息发给对端；
2. 仅一端配置认证，两端互相丢弃对方 Hello 报文，不会立刻中断 Full 邻接，等待 4 倍 Hello 死亡超时后才彻底断邻居、删除路由；
3. 生产必须两端同步配置相同认证参数，防止 OSPF 邻接超时震荡断网。