1. 项目概述：这不是教科书里的IS-IS，而是实验室里能ping通、能抓到包、能改参数的真实协议实验
“2. IS-IS 基础实验”这个标题看起来平平无奇，像是某本网络工程师认证教材第二章的小节编号。但如果你真把它当成“照着书敲几行命令就完事”的练习，十有八九会在第一次查看LSDB时卡住，在邻居状态从Init卡在2-Way时反复刷新show isis neighbor，在路由表里找不到那条本该由LSP泛洪出来的前缀——然后默默关掉GNS3，点开视频平台搜“IS-IS为什么起不来”。我带过不少刚接触链路状态协议的学员，他们最大的误区，就是把IS-IS当成OSPF的“换皮版”来学：都是LSA/LSP、都有区域划分、都用SPF算路由……可一旦动手配置，连最基础的system-id怎么填、NET地址为什么必须以00结尾、Level-1和Level-2路由器之间到底谁发Hello、谁发LSP，全乱套。
这组实验的核心价值，从来不是“学会配置IS-IS”，而是亲手拆解一个真实运行在网络设备底层的、不依赖IP层的链路状态协议是如何自举、同步、收敛的。它解决的是“协议栈黑盒”问题：当你在路由器上敲下isis enable，背后发生了什么？Hello报文长什么样？LSP如何分片？CSNP和PSNP怎么协同保证数据库同步？这些不是理论题，是Wireshark里能逐字节看到的二进制流。适合三类人直接抄作业：一是备考CCIE/HCIE的考生，需要把协议细节抠到比特位；二是企业网运维人员，手头正有一台老款华为NE40E或思科ASR9K要割接IS-IS；三是高校网络课程设计者，需要一套不依赖云平台、能在本地EVE-NG或GNS3跑通的最小可行实验拓扑。我这次用的是一台物理机+VMware Workstation跑EVE-NG社区版，底层镜像为Cisco IOSv 15.6(2)T，所有配置和抓包结果均来自实测环境，没有一处是“理论上应该如此”。
2. 实验整体设计与思路拆解：为什么必须从单区域、单链路、无认证开始？
2.1 拒绝“一步到位”的陷阱：先让两台路由器互相认识，再谈路由计算
很多教程一上来就画个三区域拓扑，配Level-1-2路由器，加MD5认证，最后发现邻居起不来，就开始怀疑镜像版本、怀疑内存分配、怀疑虚拟化兼容性。这完全违背了排错的基本逻辑——协议栈的每一层都必须验证其独立可达性。IS-IS的启动流程是严格分阶段的：物理层up → 数据链路层（LLC/SNAP）封装正常 → Hello报文双向收发成功 → 邻居状态机迁移 → LSP交换 → LSDB同步 → SPF计算 → 路由注入。其中，Hello阶段失败，后续所有步骤都是空中楼阁。
所以我设计的第一组实验，只包含两台路由器（R1和R2），直连一条以太网链路，不配置任何区域划分（默认Level-2），不启用任何认证，甚至关闭所有无关服务（如CDP、LLDP）。目标极其明确：在R1上执行show isis neighbor，看到R2的状态是UP；在R2上执行同样命令，看到R1的状态是UP；用Wireshark在链路上捕获到Type: L1 Hello和L2 Hello报文。这个阶段不关心路由表有没有条目，不关心LSP内容，只验证“邻居发现”这一最基础能力是否成立。实测下来，这个最小闭环能在5分钟内完成，且99%的初学者都能一次成功。一旦这步卡住，问题一定出在system-id格式、NET地址拼写、接口ISIS使能顺序这三个地方，而不是协议本身。
2.2 为什么坚持用Cisco IOSv而非FRR或Quagga？
当前开源路由栈（如FRRouting）对IS-IS的支持已相当成熟，但它的调试信息过于“干净”——show isis database输出的是结构化JSON，debug isis events打印的是高级别事件摘要。而真实设备厂商的IOS/XR/NX-OS，其debug输出是按协议状态机逐帧打印的，比如debug isis adj-packets会告诉你：“Received IIH from 49.0001.0000.0000.0002.00 on GigabitEthernet0/1, level 2, holding time 27”。这种颗粒度，是理解协议行为的关键。更重要的是，企业现网设备90%以上仍是Cisco、华为、Juniper的商用系统，它们的IS-IS实现细节（如LSP刷新定时器默认值、CSNP重传机制、伪节点LSP生成规则）与RFC标准存在细微差异。用FRR做实验，就像用模拟驾驶器练车——能学会踩油门刹车，但永远不知道真实雨天高速上ESP介入的微妙延迟。所以本实验所有命令、输出、抓包分析，全部基于Cisco IOSv 15.6(2)T，确保你学到的每一个debug开关、每一条show命令的字段含义，都能直接迁移到生产环境。
2.3 拓扑设计的底层逻辑：用“单链路直连”暴露协议本质
有人会问：为什么不用环回口建邻居？为什么不用点对点子网？因为以太网多路访问链路（MA）才是IS-IS最典型、也最容易暴露问题的场景。在MA网络中，IS-IS必须选举DIS（Designated Intermediate System），而DIS的选举规则（优先级+MAC地址）、DIS发送CSNP的时机、非DIS路由器如何通过PSNP请求缺失LSP——这些机制在点对点链路上根本不存在。如果一开始就用loopback建邻居，你永远看不到DIS相关的debug日志，也理解不了为什么CSNP里会有“Pseudonode ID”字段。本实验采用真实以太网接口直连（GigabitEthernet0/0），强制触发DIS选举（即使只有两台路由器），这样在show isis interface输出中，你会看到“Circuit Type: level-2, Circuit ID: R1.01”这样的关键信息，而“Circuit ID”后缀的“.01”正是DIS选举产生的伪节点标识符。这个细节，是区分“会配”和“真懂”的第一道分水岭。
3. 核心细节解析与实操要点：system-id、NET、区域划分，三个概念如何咬合？
3.1 system-id：不是IP地址，是全局唯一的“身份证号”
新手最容易栽跟头的地方，就是把system-id当成IP地址来记。比如看到示例里写“49.0001.0000.0000.0001.00”，就以为前面的“49”是区域ID，“0001”是系统号。这是彻头彻尾的误解。system-id是一个6字节（48位）的二进制标识符，与IP地址没有任何关系，它的唯一作用是在整个IS-IS域内唯一标识一台中间系统（路由器）。在Cisco IOS中，它被格式化为12个十六进制字符，每两个字符一组，用点号分隔，即“XX.XX.XX.XX.XX.XX”。那么“49.0001.0000.0000.0001.00”这个值是怎么来的？我们来拆解：
- “49”是Area Address（区域地址）的前缀，它属于CLNS地址族，不是IP子网。IS-IS最初是为CLNP（Connectionless Network Protocol）设计的，CLNS地址结构为：Area Address + System ID + N-selector。其中Area Address长度可变（1-13字节），但最常见的是1字节，如“49”。
- 后面的“0001.0000.0000.0001”才是真正的System ID，共6字节（12个十六进制字符），必须全局唯一。
- 最后的“.00”是N-selector（NSAP Selector），固定为“00”，表示这是一个网络服务接入点，用于标识上层协议（此处为IS-IS）。
所以，当你在R1上配置router isis，然后执行net 49.0001.0000.0000.0001.00，你实际上是在告诉路由器：“我的CLNS地址是49.0001.0000.0000.0001.00，其中system-id是0001.0000.0000.0001”。这个system-id会被封装在所有IS-IS PDU（Protocol Data Unit）的Header中，是邻居识别你的唯一依据。如果R2的system-id也配成0001.0000.0000.0001，两台路由器会互相认为对方是自己，导致邻居状态机陷入死循环。我试过故意配错，结果在debug isis adj-packets里看到：“Duplicate system ID detected, dropping IIH from 49.0001.0000.0000.0001.00”。这个错误提示，比任何文档都更直观地告诉你system-id的不可重复性。
3.2 NET地址：区域地址、system-id、N-selector的三位一体绑定
NET（Network Entity Title）是IS-IS中一个极易混淆的概念。很多人以为它是个独立的地址，其实它只是CLNS地址的一种特例——当N-selector为“00”时，该CLNS地址就被称为NET。它的结构严格遵循：Area Address.System ID.N-selector。其中：
- Area Address：可以是1字节（如49）、2字节（如47.0001）或更长，但必须与同区域内的所有路由器保持一致。跨区域通信时，Area Address不同是允许的，但Level-2骨干必须能互通。
- System ID：6字节，全局唯一，如前所述。
- N-selector：固定为00。
关键点在于：一台路由器可以配置多个NET，但所有NET的System ID部分必须完全相同。这是协议强制要求。例如，R1可以同时配置：
net 49.0001.0000.0000.0001.00 net 49.0002.0000.0000.0001.00这两个NET共享同一个system-id（0000.0000.0001），只是Area Address不同（0001 vs 0002）。这在多区域部署中很常见：一台Level-1-2路由器需要在多个Area中宣告自己，因此要配置多个NET，每个对应一个Area。但在本基础实验中，我们只用一个NET，且Area Address统一为“49”，确保简单纯粹。配置时务必注意：NET地址中的点号是分隔符，不是小数点，不能写成“49.1.0.0.0.1.00”（这是非法格式），必须是“49.0001.0000.0000.0001.00”这样的12+2+2格式（12位system-id，2位area，2位n-selector）。
3.3 区域划分的本质：Level-1是“小区局域网”，Level-2是“城市主干网”
IS-IS的区域模型常被类比为OSPF，但二者有根本区别。OSPF的Area 0是强制骨干，所有非骨干区域必须与之直连；而IS-IS的Level-2骨干是自动形成的——只要两台路由器都启用了Level-2能力，它们之间就能建立Level-2邻接，无论物理位置。Level-1路由器则只能和同一Area内的其他Level-1或Level-1-2路由器建立邻接，并且Level-1路由器的路由表里，永远不会出现其他Area的明细路由，只会有一条指向最近Level-1-2路由器的默认路由（0.0.0.0/0）。
在本实验中，我们先只启用Level-2（默认模式），此时R1和R2都是纯Level-2路由器，它们之间的邻接类型是“L2”，LSDB里会同步整个Level-2域的拓扑。当你执行show isis database时，看到的LSP ID形如“R1.00-00”，其中“.00”表示这是普通LSP（非伪节点），而“R1.01-00”则是DIS生成的伪节点LSP。这个“-00”后缀，是LSP分片标识，主LSP为00，后续分片依次为01、02……理解这一点，才能看懂为什么有时show isis database会列出十几个LSP条目——不是路由器坏了，是某个大LSP被分片传输了。等Level-2稳定后，我们再升级R1为Level-1-2，R2保持Level-2，这时R1会同时维护Level-1和Level-2两套LSDB，而R2的LSDB里只会有Level-2的条目。这种分离式数据库设计，是IS-IS支持超大规模网络（如运营商骨干网）的核心优势，也是它比OSPF更难入门的原因——你得同时管理两套独立的拓扑视图。
4. 实操过程与核心环节实现：从零开始，一步步构建可验证的IS-IS邻居
4.1 环境准备与初始配置：5分钟搭建最小可行拓扑
首先确认你的EVE-NG或GNS3环境已就绪。我使用的拓扑极其简单：两台Cisco IOSv 15.6(2)T路由器（R1和R2），通过一个Cloud节点（代表以太网交换机）互联，接口均为GigabitEthernet0/0。启动两台设备后，进入特权模式，执行以下初始化命令（以R1为例）：
R1# configure terminal R1(config)# hostname R1 R1(config)# no ip domain-lookup R1(config)# line console 0 R1(config-line)# logging synchronous R1(config-line)# exec-timeout 0 0 R1(config-line)# exit R1(config)# interface GigabitEthernet0/0 R1(config-if)# ip address 192.168.12.1 255.255.255.0 R1(config-if)# no shutdown R1(config-if)# exit R1(config)# end R1# write memory提示：这里给接口配IP地址，纯粹是为了方便后续用ping测试三层连通性，IS-IS协议本身不依赖IP地址工作。即使你不配IP，只要数据链路层up，IS-IS Hello报文依然能正常收发。
接下来是IS-IS的核心配置。注意顺序：必须先创建IS-IS进程，再在接口下启用，最后才配置NET。顺序颠倒会导致配置不生效。
R1# configure terminal R1(config)# router isis R1(config-router)# net 49.0001.0000.0000.0001.00 R1(config-router)# is-type level-2-only R1(config-router)# exit R1(config)# interface GigabitEthernet0/0 R1(config-if)# ip router isis R1(config-if)# isis circuit-type level-2-only R1(config-if)# exit R1(config)# end R1# write memory对R2执行完全对称的配置，仅修改hostname、IP地址和NET：
R2# configure terminal R2(config)# hostname R2 R2(config)# router isis R2(config-router)# net 49.0001.0000.0000.0002.00 # 注意system-id末尾是0002 R2(config-router)# is-type level-2-only R2(config-router)# exit R2(config)# interface GigabitEthernet0/0 R2(config-if)# ip address 192.168.12.2 255.255.255.0 R2(config-if)# ip router isis R2(config-if)# isis circuit-type level-2-only R2(config-if)# exit R2(config)# end R2# write memory注意：
isis circuit-type level-2-only这条命令至关重要。它强制接口只发送Level-2 Hello报文，避免在单区域实验中因默认双Level模式导致的邻居状态混乱。很多初学者跳过这步，结果在show isis neighbor里看到状态在Init和Up之间反复横跳，就是因为Level-1 Hello和Level-2 Hello在同一个链路上竞争DIS选举。
4.2 验证邻居建立：从show命令到Wireshark抓包的完整证据链
配置完成后，不要急着看路由表。第一步，验证邻居是否真正建立。在R1上执行：
R1# show isis neighbor System Id Type Interface IP Address State Holdtime Circuit Id R2 L2 Gi0/0 192.168.12.2 UP 23 R2.01看到State为UP，Circuit Id为R2.01，说明邻居已成功建立。此时切换到R2，执行同样命令，应看到R1的状态也是UP。如果任一端显示INIT或DOWN，请立即检查：
- 物理链路是否up（show interface Gi0/0）
- 两端的NET地址Area部分是否一致（都是49）
- 两端的system-id是否不同（0001 vs 0002）
- 接口下是否执行了
ip router isis和isis circuit-type
下一步，用Wireshark抓包验证协议行为。在EVE-NG中，右键Cloud节点，选择“Capture”，启动抓包。过滤条件设为isis，你应该能看到源源不断的IS-IS报文。重点观察两类：
IIH（IS-IS Hello）报文：在Packet Details面板展开IS-IS Header，找到“PDU Type”字段，应为“Level 2 LAN IIH”。展开“Circuit Type”，确认为“Level 2 only”。在“Source ID”字段，看到的就是你的system-id（0000.0000.0001）。这是最直接的证据：你的路由器确实在按Level-2模式发送Hello。
LSP（Link State PDU）报文：稍等片刻（默认LSP刷新周期为15分钟，但初始泛洪很快），你会看到LSP报文。展开后，找到“LSP ID”字段，应为“R1.00-00”，其中“R1”是system-id前缀，“.00”是LSP编号，“-00”是分片标识。点击该报文，右键“Follow -> IS-IS Stream”，你能看到完整的LSP内容：包括自己的接口IP地址（192.168.12.1）、metric值（默认10）、以及一个关键字段“ATT bit”（Attached bit），目前为0，表示这不是Level-1-2路由器。
实操心得：Wireshark的IS-IS解码插件有时会显示乱码，这是因为Cisco IOSv的IS-IS PDU使用了私有TLV（Type-Length-Value）扩展。不必惊慌，只要能看到PDU Type、Source ID、LSP ID这些核心字段，就足以验证协议运行。真正的深度分析，留到后续LSP内容修改实验再进行。
4.3 LSDB同步与路由注入：从链路状态到IP路由的转化过程
邻居UP之后，LSP会自动泛洪。在R1上执行：
R1# show isis database IS-IS Level-2 Link State Database: LSPID LSP Seq Num LSP Checksum LSP Holdtime ATT/P/OL R1.00-00 * 0x00000008 0x1B2D 1199 0/0/0 R2.00-00 0x00000007 0x2A3C 1198 0/0/0星号（*）表示这是本机生成的LSP。现在，关键问题来了：这些LSP里包含了什么信息？如何变成路由表里的条目？执行show isis database detail R1.00-00，你会看到：
LSPID: R1.00-00 Sequence Number: 0x00000008 Checksum: 0x1B2D Holdtime: 1199 ATT/P/OL: 0/0/0 IS Neighbor: R2.00 IPv4 Internal Reachability: 192.168.12.0/24 Metric: 10看到了吗？LSP里明确宣告了“192.168.12.0/24”这个前缀，Metric为10。这就是IS-IS将链路状态转化为可达性信息的方式：每个路由器在自己的LSP中，宣告自己直连的IP子网。当R2收到R1的LSP，它会把“192.168.12.0/24”加入自己的LSDB，然后运行SPF算法，计算出到达该网络的下一跳是R1。最终，这条路由被注入IP路由表：
R2# show ip route isis 192.168.12.0/24 [115/10] via 192.168.12.1, 00:05:23, GigabitEthernet0/0[115/10]中的115是IS-IS的管理距离（Administrative Distance），10是metric。这个过程完全自动化，无需手动network命令——这正是链路状态协议与距离矢量协议（如RIP）的根本区别。你可以尝试在R1上关闭Gi0/0接口，几秒后，R2的show isis database里R1的LSP会消失（Age字段归零），show ip route isis里对应的路由也会立即撤出。这种毫秒级的收敛速度，是IS-IS在运营商网络中不可替代的原因。
4.4 进阶实验：Level-1与Level-2的混合部署与路由泄露
当Level-2邻居稳定后，我们升级实验复杂度。将R1改为Level-1-2路由器，R2保持Level-2，模拟一个小型企业网（Level-1）连接到城域骨干网（Level-2）的场景。
在R1上修改配置：
R1# configure terminal R1(config)# router isis R1(config-router)# is-type level-1-2 R1(config-router)# exit R1(config)# interface GigabitEthernet0/0 R1(config-if)# isis circuit-type level-1-2 R1(config-if)# exit R1(config)# end R1# write memory此时，R1会同时建立Level-1和Level-2两种邻接。在R1上执行show isis neighbor，你会看到两行：
R2 L2 Gi0/0 192.168.12.2 UP 25 R2.01 R2 L1 Gi0/0 192.168.12.2 UP 25 R2.01但R2上只有一行L2邻接，因为它配置的是level-2-only。现在，关键问题出现：R1的Level-1 LSDB里，会有R2的路由吗？执行show isis database level-1，你会发现只有R1自己的LSP（R1.00-00），没有R2的。因为Level-1路由器默认不学习其他Area的路由，只有一条默认路由。而R1作为Level-1-2，会自动将Level-2的路由“泄露”（Leak）到Level-1，但默认是关闭的。要开启，需在R1上配置：
R1(config)# router isis R1(config-router)# redistribute isis level-2 into level-1 R1(config-router)# exit执行后，再查R1的Level-1 LSDB，会看到R2的LSP（R2.00-00）出现了，且其ATT bit被置为1（Attached bit = 1），表示该路由器连接到Level-2骨干。此时，R1的Level-1区域内所有路由器，都会收到一条指向R1的默认路由，从而能访问Level-2网络。这个ATT bit的设置，是IS-IS自动路由泄露的触发器，不需要手动配置default-information originate，这是它比OSPF更智能的地方。
5. 常见问题与排查技巧实录：那些官方文档不会写的“踩坑现场”
5.1 问题速查表：邻居起不来，90%的原因在这里
| 现象 | 可能原因 | 排查命令 | 解决方案 |
|---|---|---|---|
show isis neighbor显示状态为INIT | 两端NET的Area Address不一致 | `show run | section isis` |
| 状态在UP和DOWN间反复跳动 | 接口未启用isis circuit-type，导致Level-1/Level-2 Hello冲突 | show isis interface | 明确配置isis circuit-type level-2-only |
show isis neighbor无任何输出 | 物理链路down，或接口未执行ip router isis | show interface Gi0/0show run interface Gi0/0 | 检查cable连接，确认ip router isis已配置 |
| LSDB为空，无LSP | ISIS进程未配置NET，或NET格式错误（如少一位0） | show isis configuration | 用net 49.0001.0000.0000.0001.00严格12+2+2格式 |
| 路由表无IS-IS路由，但LSDB正常 | 接口IP地址未配置，或ip router isis未在正确接口下执行 | show ip route connectedshow run interface Gi0/0 | 确保接口有IP地址，且ip router isis在该接口下 |
注意：
show isis configuration是一个被严重低估的命令。它会汇总显示当前ISIS进程的所有关键参数：NET地址、is-type、metric style、hello interval等。当配置看似正确却无效时，先执行这个命令，比一行行翻show run快得多。
5.2 一个真实的“幽灵故障”：MAC地址冲突引发的DIS选举失败
有一次，我在同一台物理机上克隆了多个IOSv镜像，所有克隆体的MAC地址都相同（VMware默认行为）。结果在四台路由器组成的以太网中，DIS选举始终失败，CSNP无法正常发送，LSDB同步中断。debug日志里反复出现：“DIS election failed, duplicate MAC detected”。这个问题在文档里根本找不到，因为RFC没规定MAC地址必须唯一——但厂商实现时，DIS的Circuit ID由MAC地址生成，重复MAC导致Circuit ID冲突，协议栈直接拒绝工作。解决方案很简单：在VMware设置中，为每台虚拟机的网卡勾选“为该网卡生成新的MAC地址”。这个教训告诉我，IS-IS的底层依赖，远不止于协议规范，还深植于硬件抽象层。
5.3 metric值的“陷阱”：为什么直连路由的metric总是10？
新手常问：为什么show isis database里，我的直连网段metric总是10？能不能改成1？答案是：可以，但必须理解其影响。在Cisco IOS中，接口的IS-IS metric默认为10，可通过isis metric 1在接口下修改。但这里有个隐藏规则：Level-1路由器的metric值，只在Level-1区域内有意义；Level-2路由器的metric，只在Level-2骨干内有意义；而Level-1-2路由器，在向Level-1区域泄露Level-2路由时，会将Level-2的metric加上一个固定值（默认64）作为泄露路由的metric。这意味着，如果你把R1的Gi0/0接口metric设为1，那么R1通告给Level-1区域的默认路由，metric将是64+1=65，而不是1。这个“64”的偏移量，是IS-IS防止路由环路的机制之一，不能随意更改。所以，调整metric前，务必想清楚：你是在优化区域内路径，还是在影响区域间路由策略？
5.4 抓包分析的终极技巧：如何从Wireshark里定位LSP内容变更？
当你要验证某项配置（如修改接口metric）是否真的反映在LSP中，不要只看show isis database的summary。打开Wireshark，过滤isis && lsp，找到最新的LSP报文（LSP Seq Num最大）。右键该报文 -> “Decode As...” -> 在“Current”列选择“IS-IS”，确保正确解码。然后展开“IS-IS LSP” -> “TLVs” -> “IPv4 Internal Reachability TLV”，这里会列出所有宣告的IP前缀及其metric。如果看到192.168.12.0/24的metric从10变成了1，就证明配置已生效并泛洪。这个操作，比任何show命令都更底层、更可信，因为它直接观测到了线路上的比特流。
6. 实验延伸与工程实践建议：从实验室到机房的跨越
做完基础实验，你已经掌握了IS-IS的骨架。但真实网络远比实验室复杂。这里分享几个从实验室走向生产的必经之路：
认证配置：生产环境必须启用认证。IS-IS支持明文（
isis password）和HMAC-SHA-1（isis authentication mode md5）两种。强烈推荐后者，且密钥长度至少16位。配置时注意：认证必须在两端接口下同时启用，且密钥完全一致，否则邻居直接无法建立。debug isis adj-packets会明确提示“Authentication failure”。MTU适配：IS-IS LSP最大尺寸受链路MTU限制。以太网默认MTU 1500字节，但LSP头部和TLV开销会占用约27字节，实际可用约1473字节。当网络中有大量IP前缀或BGP标签时，LSP可能分片。可通过
isis mesh-group或isis lsp-mtu命令调整，但更稳妥的做法是，在核心链路上统一MTU为9000（Jumbo Frame），避免分片带来的性能损耗。与BGP的协同：在运营商网络中，IS-IS只负责IGP（内部网关协议）的拓扑分发，BGP负责跨域路由。此时，IS-IS的唯一任务是确保BGP下一跳（通常是loopback地址）可达。因此，必须在所有BGP speaker的loopback接口上启用IS-IS，并宣告该loopback地址。
show ip route <loopback-ip>必须显示为IS-IS路由，否则BGP会话无法建立。监控告警：不要等到用户投诉才去查IS-IS。在Zabbix或Prometheus中，采集
show isis neighbor | include UP \| DOWN的行数，当UP数量突降，立即触发告警。更精细的指标是show isis spf-log中的SPF计算次数，如果每分钟超过5次，说明网络震荡，需排查物理链路或配置抖动。
最后分享一个小技巧：在大型IS-IS网络中，show isis topology命令能以图形化方式显示所有路由器的连接关系，但它依赖于LSP中的IS Neighbor TLV。如果某台路由器未正确宣告邻居，拓扑图就会断裂。因此，定期执行show isis database detail | include LSPID\|IS-Neigh，核对每台路由器宣告的邻居列表是否与物理拓扑一致，是保障网络可视化的基石。这个习惯，我坚持了八年，救过三次重大故障。
