黑洞路由与汇总防环
空接口（思科写作 Null0，华为与 H3C 写作 NULL 0）是一个只进不出的接口：指向它的流量被直接丢弃。两种经典用法：一是给汇总网段配一条指向空接口的静态路由，防止出现「有汇总路由但没有对应明细」时的环路；二是把未分配网段或需要清洗的流量引到空接口丢弃，作为最粗粒度的收敛手段。
基本信息
| 适用平台 | 三层交换机与路由器（华为 VRP、思科 IOS、H3C Comware） |
|---|---|
| 写法差异 | 思科为 Null0；华为与 H3C 为 NULL 0（NULL 与 0 之间有空格） |
| 典型用途 | 汇总防环、未分配网段丢弃、流量清洗引流 |
| 配套场景 | 手工路由汇总、OSPF 区域间汇总、边界设备策略 |
| 风险 | 误配会把正常业务流量丢进黑洞，且没有任何告警 |
典型使用场景
- 汇总路由防环：边界设备上为汇总网段配空接口路由，明细缺失时流量被丢弃而不是被回环
- 未分配网段丢弃：企业内部未使用的地址段统一丢空，配合安全策略收敛攻击面
- 流量清洗前置：把可疑流量先引到清洗设备，清洗设备回注失败时由空接口兜底
- 默认路由备用：把空接口作为兜底，避免无匹配流量被转发到错误的默认路径
- 路由策略验证：在正式引流前，用空接口路由先验证匹配范围是否符合预期
华为 VRP
华为 VRP
[Huawei] ip route-static 10.0.0.0 8 NULL 0 # 汇总网段指向空接口（防环）
[Huawei] ip route-static 198.51.100.0 24 NULL 0 # 未分配网段直接丢弃
<Huawei> display ip routing-table 198.51.100.0 24 # 确认已生效
<Huawei> display ip routing-table protocol static # 检查全部静态路由
[Huawei] undo ip route-static 198.51.100.0 24 NULL 0 # 删除（参数要写全）思科 IOS
思科 IOS
SW-CORE-01(config)# ip route 10.0.0.0 255.0.0.0 Null0 # 汇总防环
SW-CORE-01(config)# ip route 198.51.100.0 255.255.255.0 Null0 # 丢弃
SW-CORE-01# show ip route 198.51.100.0 # 出接口显示 Null0
SW-CORE-01# show ip route static | include Null0 # 汇总查看
SW-CORE-01(config)# no ip route 198.51.100.0 255.255.255.0 Null0H3C Comware
H3C Comware
[H3C] ip route-static 10.0.0.0 8 NULL 0
[H3C] ip route-static 198.51.100.0 24 NULL 0
<H3C> display ip routing-table 198.51.100.0 24
<H3C> display ip routing-table protocol static
! 参数写法与华为一致，NULL 与 0 之间保留空格三种用法怎么选
| 用途 | 配置要点 | 注意事项 |
|---|---|---|
| 汇总防环 | 汇总网段指向空接口 | 明细路由正常时优先于空接口路由，不影响转发 |
| 未分配网段丢弃 | 按地址段逐条配置 | 与安全策略梳理一起做，避免丢掉在用网段 |
| 引流兜底 | 配合更精确的明细路由 | 明细缺失时流量被丢弃，需要监控丢弃情况 |
| 默认兜底 | 0.0.0.0/0 指向空接口 | 风险最高，配错等于整网断网 |
空接口路由的优先级表现与其他静态路由一致，明细路由（更长掩码）会优先于汇总。因此汇总防环不会误伤已有明细；反过来说，如果明细路由丢失，流量就会真的被丢进黑洞——这本身就是设计意图，但需要监控能发现。