排查步骤：
1. 确认交换机B上172.16.16.0是如何引入的（import-route static还是network）。
2. 检查VLAN 1093下的过滤配置是否应用在OSPF出方向。
关键配置（在OSPF进程下用filter-policy过滤）：
ospf 1
filter-policy prefix-list DENY-172 export
或使用route-policy：
ip prefix-list DENY-172 index 10 deny 172.16.16.0 24
ip prefix-list DENY-172 index 20 permit 0.0.0.0 0 less-equal 32
route-policy FILTER deny node 10
if-match ip address prefix-list DENY-172
route-policy FILTER permit node 20
ospf 1
filter-policy route-policy FILTER export
如果是在VLAN接口下用ACL过滤，需确认ACL应用在OSPF协议出方向，且规则匹配源地址为172.16.16.0。配置后执行reset ospf process重启OSPF进程使过滤生效。
ospf database-filter nssa acl 这个命令是过滤本设备【接收】的 NSSA LSA，不是过滤【产生 / 向外发布】的 NSSA LSA。
交换机 B 的
ospf database-filter nssa acl 3001作用：B 收到别人发来的 NSSA LSA 才会过滤；B 自己引入静态路由生成的 Type7 NSSA LSA，不受这条命令控制，照样发给交换机 A，所以 A 能学到 172.16.16.0。
ACL3001 写法本身也错了：rule 10 deny ip source 172.16.16.0 destination 255.255.255.0，LSA 过滤 ACL只匹配前缀网段，不需要写目的，这条规则根本匹配不到这条 NSSA LSA。
简单一句话：database-filter 是入方向过滤，不能阻止本机产生的外部路由向外发送。
方案（推荐，交换机 B 上修改，两种任选其一）
方案 1：在 B 的 route-policy 里拒绝引入 172.16.16.0（最优）
B 引入静态路由用了 import-route static route-policy ospf-import-static，在 route-policy 直接拒绝这条网段，不生成 Type7 LSA，就不会发给 A。
# 新建route-policy
route-policy ospf-import-static deny node 10
if-match ip address prefix-list deny-172
route-policy ospf-import-static permit node 20
ip prefix-list deny-172 deny 172.16.16.0 24
ip prefix-list deny-172 permit 0.0.0.0 0 less-equal 32
效果：B 把静态 172.16.16.0不注入 OSPF NSSA，不会生成 7 类 LSA，交换机 A 学不到。
方案 2：修改 acl，在 B 的 NSSA 区域出方向过滤 LSA（ospf filter-policy export，区域下配置）
在 NSSA 区域下配置filter-policy export，过滤向外发布的外部路由：
acl number 3001
rule 10 deny ip source 172.16.16.0 0.0.0.255
rule 20 permit ip
ospf 100
area 0.0.0.134
filter-policy export acl 3001
filter-policy export：过滤本区域向外发布的外部路由 LSA（Type7），正好满足需求。
补充说明你原来配置的区别
ospf database-filter nssa acl：接口下，入方向，只过滤收到的 NSSA LSA，不能阻止本机产生的 LSA 发出去（你现在的错误配置）。ospf area filter-policy export：区域视图，控制本设备产生的外部路由，向区域内发布（用来阻止 B 把 172.16.16.0 发给 A）。- route-policy 在 import-route 调用：源头控制，直接不引入这条静态进 OSPF，推荐优先使用。
验证命令，配置完执行
display ospf lsdb nssa
检查交换机 B 上，不再产生 172.16.16.0 的 Type7 LSA。
额外：交换机 A 上的配置
交换机 A 的 ospf database-filter nssa acl 2001 是A 接收 NSSA LSA 的时候过滤，也能实现 A 不学这条路由。
区别：A 的方案只是 A 自己看不见，这条 LSA 仍然在 OSPF 域泛洪；B 侧阻断是根治，LSA 根本不产生，生产推荐 B 侧阻断。
B设备下面还有其它成员设备，其它成员需要访问引进来的172.16.网段， 只需要A交换机不能学习到
B设备下面还有其它成员设备，其它成员需要访问引进来的172.16.网段， 只需要A交换机不能学习到
编辑答案
亲~登录后才可以操作哦!
确定你的邮箱还未认证，请认证邮箱或绑定手机后进行当前操作
举报
×
侵犯我的权益
×
侵犯了我企业的权益
×
- 1. 您举报的内容是什么？（请在邮件中列出您举报的内容和链接地址）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
- 3. 是哪家企业？（营业执照，单位登记证明等证件）
- 4. 您与该企业的关系是？（您是企业法人或被授权人，需提供企业委托授权书）
抄袭了我的内容
×
原文链接或出处
诽谤我
×
- 1. 您举报的内容以及侵犯了您什么权益？（请在邮件中列出您举报的内容、链接地址，并给出简短的说明）
- 2. 您是谁？（身份证明材料，可以是身份证或护照等证件）
对根叔社区有害的内容
×
不规范转载
×
举报说明