"我们网络要支持IPv6了，把OSPF升级到v3就行了吧？"
"差不多，配置改一改就好。"
这段对话，我在不止一个项目里听到过。
然后工程师去设备上敲命令，发现很多参数对不上，默认行为也不一样，甚至有些地方配置了半天，路由就是起不来。
问题出在"差不多"这两个字上。
OSPFv3和OSPFv2确实血脉相连，核心的链路状态算法没变，SPF计算没变，区域划分的概念没变。但它不是OSPFv2的"IPv6版本"那么简单——它在设计上做了几处根本性的重构，如果你用理解OSPFv2的思路去配置OSPFv3，踩坑是必然的。
一、OSPFv3是什么，从哪里来
OSPF（开放最短路径优先）是一种链路状态路由协议，工作在自治系统（AS）内部，属于IGP（内部网关协议）。它通过泛洪链路状态通告（LSA），让每台路由器都拥有全网拓扑的完整视图，然后用Dijkstra算法各自计算到每个目的地的最短路径。
OSPFv2定义在RFC 2328，专为IPv4设计，1998年发布，至今仍是企业网和运营商网络里最广泛使用的IGP之一。
随着IPv6的推进，IETF意识到不能简单地把OSPFv2里的IPv4地址换成IPv6地址，因为IPv6的地址结构、链路机制、安全模型都发生了变化，硬改会留下很多设计债务。
所以IETF重新设计了OSPFv3，定义在RFC 5340（2008年），对协议架构做了系统性的重构，而不是打补丁式的升级。
这是理解两者差异的最重要的前提：OSPFv3是重新设计的，不是OSPFv2的IPv6补丁。
二、最核心的变化：协议和地址彻底解耦
OSPFv2里，协议和IPv4地址是深度绑定的。邻居发现用IPv4地址，LSA里携带IPv4前缀，Router ID虽然是32位但和IPv4地址强关联，接口配置OSPF的时候必须先有IPv4地址。
OSPFv3做的最根本的一件事，是把协议本身和地址族彻底分离。
OSPFv3的报文不再携带IPv4或IPv6地址，报文头里只有Router ID（仍然是32位，但和地址无关，是纯逻辑标识）。地址信息被从协议核心里剥离出去，放到单独的LSA类型里承载。
具体来说：
OSPFv2里，Router LSA和Network LSA既描述拓扑（谁和谁相连），又携带地址前缀（接口的IP地址）。两件事混在一起。
OSPFv3里，Router LSA和Network LSA只描述拓扑关系，不携带任何地址前缀。地址前缀信息全部放到新增的Intra-Area-Prefix LSA里单独承载。
这个解耦带来了一个重要的结果：OSPFv3理论上可以承载任何地址族，不只是IPv6。
RFC 5838把这个设计进一步延伸，定义了"OSPFv3地址族扩展"，让OSPFv3也可以承载IPv4路由。也就是说，你可以用一套OSPFv3实例，同时跑IPv4和IPv6的路由，不需要分别运行OSPFv2和OSPFv3两套进程。
这个特性在双栈过渡期有一定价值，但实际部署中用得不多，大多数环境还是分开跑。
三、运行基础变了：基于链路，不基于子网
OSPFv2里，同一个子网下的路由器才能建立邻居关系。两台路由器要跑OSPF，接口必须在同一个IP子网里。
OSPFv3把这个限制去掉了。OSPFv3基于链路（Link）运行，不基于子网。
OSPFv3的Hello报文和所有协议报文，都使用链路本地地址（Link-Local Address，fe80::/10）作为源地址和下一跳地址。链路本地地址是IPv6接口自动生成的，不需要手动配置，也不需要两端在同一个子网里。
只要两台设备在同一条链路上，能互相收到对方的Hello报文，就能建立OSPFv3邻居关系——即使接口上没有配置任何全局IPv6地址。
这个变化对于某些网络设计很有用。比如骨干链路只配链路本地地址，不分配全局地址，节省地址空间，同时OSPF依然可以正常运行，只是通告的路由前缀里不包含这条链路本身的地址。
四、实例化机制：一个接口可以跑多个OSPF实例
OSPFv2里，一个接口只能属于一个OSPF进程。如果你想在同一个接口上跑多个OSPF实例（比如隔离不同租户的路由），需要用VRF或者其他手段绕。
OSPFv3在协议层面原生支持实例ID（Instance ID）机制。
OSPFv3的Hello报文头里有一个8位的Instance ID字段，默认值是0。只有Instance ID相同的Hello报文才会被处理，不同Instance ID的报文直接丢弃。
这意味着同一条链路上，可以同时运行多个OSPFv3实例，实例之间互相隔离，互不干扰。
在多租户场景或者需要在同一物理网络上隔离多个路由域的场景下，这个机制原生就支持，不需要额外的虚拟化手段。
五、安全机制变了：不再自己做，交给IPsec
OSPFv2有自己的认证机制，在报文头里带认证字段，支持明文和MD5两种方式。这套机制是OSPF协议自己实现的，在协议头里占了一块固定空间。
OSPFv3把这套机制完全去掉了。
OSPFv3的报文头里没有认证字段，所有安全功能交给IPv6的扩展头机制来实现，具体来说是IPsec的AH（认证头）和ESP（封装安全载荷）。
逻辑是：IPv6本身有成熟的安全扩展，OSPF没必要重复造轮子，直接复用IPv6层的安全机制更干净。
这个设计在理论上更优雅，但在实际部署里带来了一些麻烦：
- IPsec的配置比OSPF的MD5认证复杂得多，密钥管理、SA协商、策略配置都需要额外工作
- 不是所有设备都对OSPFv3+IPsec的组合支持得很好
- 很多环境里，工程师在OSPFv2上习惯了配MD5，换到OSPFv3之后发现认证配置方式完全变了，容易漏配。
后来的RFC 7166补充定义了OSPFv3的认证Trailer机制，允许在OSPFv3报文末尾附加认证信息，不依赖IPsec，相当于把类似OSPFv2的认证能力补回来了。主流厂商设备目前基本都支持这个方式。
六、LSA类型的变化
OSPFv2和OSPFv3的LSA体系有传承，也有变化。
保留的LSA类型：
OSPFv3新增的LSA类型：
Type 8和Type 9的出现，正是"地址与拓扑解耦"在LSA层面的体现。拓扑信息在Type 1/2里，地址信息在Type 8/9里，各司其职。
七、配置层面的差异
说了这么多原理，来看配置上的实际差异。以下以华为设备为参考，不同厂商命令格式略有不同，原理一致。
OSPFv2的典型配置：
ospf 1 router-id 1.1.1.1
area 0
network 192.168.1.0 0.0.0.255
interface GigabitEthernet0/0/0
ip address 192.168.1.1 255.255.255.0
ospf authentication-mode md5 1 cipher Admin@123
OSPFv3的典型配置：
ospfv3 1 router-id 1.1.1.1
area 0
interface GigabitEthernet0/0/0
ipv6 address 2001:db8:1::1/64
ipv6 address FE80::1 link-local
ospfv3 1 area 0
几个直观差异：
差异一：network命令消失了
OSPFv2用network命令加通配符掩码，把接口划进OSPF进程。OSPFv3改成在接口上直接用ospfv3 进程号 area 区域号来启用，更直接，也更清晰。
差异二：Router ID必须手动配
OSPFv2在有IPv4地址的情况下可以自动选Router ID。OSPFv3的Router ID是32位数字，和IPv6地址没有关联，如果设备上没有IPv4地址，无法自动生成，必须手动配置。这是新手配置OSPFv3时最常见的漏项。
差异三：认证配置方式不同
OSPFv3的MD5/SHA认证不再在接口上配，而是通过IPsec策略或者ospfv3 authentication-mode命令（厂商支持RFC 7166的情况下）来配置。具体命令因厂商和软件版本有差异，配置前务必查文档。
差异四：被动接口的配置
OSPFv2用ospf silent-interface或passive-interface阻止接口发送Hello。OSPFv3同样有类似功能，但命令位置和语法各厂商差异较大，需要注意。
八、一个容易踩的坑：双栈环境下的路由黑洞
双栈环境（IPv4和IPv6同时运行）里，如果OSPFv2和OSPFv3同时跑，有一个容易被忽略的问题：
两套协议是完全独立的进程，各自维护各自的路由表，互不感知对方的状态。
这意味着：可能出现IPv4路由通，IPv6路由不通（或者反过来）的情况。更危险的是，某条链路在物理层或IPv4层面发生了故障，OSPFv3感知不到（因为OSPFv3基于链路本地地址，链路本地通信可能仍然正常），导致IPv6流量继续往那条链路上发，形成黑洞。
解决方法：在双栈网络里，要对两套OSPF进程分别做监控和故障验证，不能假设"IPv4路由正常，IPv6路由也正常"。BFD（双向转发检测）可以同时绑定到OSPFv2和OSPFv3，加快两者的故障感知速度。
九、两者的差异汇总
总结
OSPFv3和OSPFv2的关系，是同根异枝，而不是升级迭代。
核心算法一脉相承：链路状态泛洪、SPF计算、区域划分、DR/BDR选举，这些基本逻辑没有变。
但架构上做了三处根本性的重构：协议与地址解耦、运行基础从子网改为链路、安全机制从自带改为外包给IPsec。这三处变化，决定了你不能用配OSPFv2的思维去配OSPFv3。
对于工程师来说，最值得记住的几点：
Router ID必须手动配，不然OSPFv3起不来，而且报错信息不一定直观。
邻居基于链路本地地址建立，调试邻居问题的时候，先检查链路本地地址是否正常，不要只看全局IPv6地址。
认证配置方式变了，从接口MD5改成IPsec或RFC 7166扩展，迁移时别漏配。
双栈环境里两套进程独立运行，分别监控，分别验证，不能互相替代。
搞清楚这几点，OSPFv3的配置和排障就不会再抓瞎了。
