被动接口解决什么问题
OSPF 的 network 宣告是按网段匹配的，只要接口地址落在宣告范围内，接口就会开始发 Hello 报文尝试建邻居。这带来两个副作用：连接终端的用户网段会白白发送协议报文，还可能与不该建邻居的设备建立邻接关系，形成安全隐患。被动接口的作用就是把这个接口变成只宣告不交互：网段照常写进 LSA 让其他路由器学到，但接口本身不收发 Hello、不建立邻接。接入层设备上，用户端口几乎都应该配成被动。
基本信息
| 适用场景 | 接入层与用户网段只宣告网段、不建邻居 |
|---|---|
| 华为/H3C 命令 | ospf 视图下 silent-interface 接口名 |
| 思科命令 | router ospf 视图下 passive-interface 接口名 |
| 批量写法 | 先全网被动，再对需要的上联口取消被动 |
| 语义要点 | 不建立邻接，但网段仍会进入 LSA 被宣告 |
典型使用场景
- 接入交换机：下连终端的端口全部设为被动，避免无用协议报文
- 安全加固：防止非法设备接入后与核心建立 OSPF 邻接关系并注入路由
- 带宽节约：广域网与低带宽链路上减少协议报文开销
- 批量部署：先全接口被动，再逐个放开真正需要建邻居的上联口
- 收敛稳定：减少邻接关系数量，降低震荡来源与排障复杂度
华为 VRP 与 H3C
华为 VRP 与 H3C
[Huawei] ospf 1
[Huawei-ospf-1] silent-interface GigabitEthernet0/0/24
! 批量做法：先全部被动，再对个别上联口取消
[Huawei-ospf-1] silent-interface all
[Huawei-ospf-1] undo silent-interface GigabitEthernet0/0/1
[Huawei-ospf-1] display ospf interface brief ! 确认各接口状态思科 IOS
思科 IOS
SW-CORE-01(config)# router ospf 1
SW-CORE-01(config-router)# passive-interface GigabitEthernet0/24
SW-CORE-01(config-router)# passive-interface default ! 全部接口被动
SW-CORE-01(config-router)# no passive-interface GigabitEthernet0/1
SW-CORE-01# show ip ospf interface brief三厂写法对照
| 项目 | 华为 VRP | 思科 IOS | H3C Comware |
|---|---|---|---|
| 单接口被动 | silent-interface 接口名 | passive-interface 接口名 | silent-interface 接口名 |
| 全部被动 | silent-interface all | passive-interface default | silent-interface all |
| 取消被动 | undo silent-interface 接口名 | no passive-interface 接口名 | undo silent-interface 接口名 |
| 对宣告的影响 | 网段仍进 LSA | 网段仍进 LSA | 网段仍进 LSA |
被动接口不等于不宣告。很多人以为配成被动后网段就不会被发布了，实际相反：网段照常进入 LSA，只是这个接口不再发送与接收 Hello 报文。
两台需要建立邻居的路由器之间的接口配成被动后，邻居永远起不来，也不会出现明显的错误提示，只是邻居表里一直空白。批量配置被动接口时必须把上联口逐一排除。