IS-IS

IS-IS ist ein Link-State-Protokoll: Jeder Router beschreibt seine Nachbarn und Präfixe in Link-State-PDUs (LSPs), flutet sie in seiner Ebene und baut so eine identische Datenbank auf, aus der er per Dijkstra den kürzesten Pfad rechnet. So weit ähnelt es OSPF.

Der entscheidende Bauunterschied: IS-IS kodiert alle Informationen in TLVs (Type-Length-Value). Neue Funktionen, etwa Traffic Engineering oder Segment-Routing-Kennungen, lassen sich als zusätzliche TLVs einführen, ohne das Grundformat zu ändern. Außerdem setzt IS-IS nicht auf IP auf: Seine PDUs laufen direkt über Ethernet (LLC), und eine Schnittstelle braucht keine IP-Adresse, damit IS-IS arbeitet.

IS-IS kennt genau zwei Ebenen. Level 1 macht das Routing innerhalb einer Area, Level 2 bildet das Backbone zwischen den Areas. Ein L1/L2-Router hält beide Datenbanken und verbindet die Ebenen.

Anders als bei OSPF liegt die Area-Grenze hier auf dem Link, nicht auf dem Router: Ein IS-IS-Router gehört vollständig einer Area an. Das vereinfacht die Adressplanung und vermeidet die strikte Abhängigkeit von einer zentralen Backbone-Area. L1-Router folgen für fremde Ziele standardmäßig dem nächsten L1/L2-Router; gezieltes Route Leaking holt bei Bedarf einzelne L2-Routen nach L1.

Jeder Router wird über eine NET (Network Entity Title) im NSAP-Format identifiziert, zum Beispiel 49.0001.1921.6800.1001.00. Darin steckt die Area-ID, eine netzweit eindeutige 6-Byte-System-ID und der Selektor 00. Die System-ID muss eindeutig sein; die Area-ID gruppiert die L1-Router.

Weil IS-IS-PDUs nicht in IP-Paketen stecken, sondern direkt in Ethernet-Frames (eigene Multicast-MAC-Adressen), ist das Protokoll nicht über IP angreifbar und nicht über IP routbar, ein Sicherheits- und Stabilitätsvorteil im Kern.

Auf Broadcast-Segmenten wählt IS-IS einen DIS (Designated Intermediate System), der einen Pseudonode bildet, damit nicht jeder mit jedem volle Beziehungen aufbaut. Anders als bei OSPF gibt es keinen Backup-DIS, und die Wahl ist verdrängend (höhere Priorität übernimmt sofort).

Die ursprüngliche Metrik war nur 6 Bit breit (max. 63). Wide Metrics (RFC 5305) erweitern das auf 24 bzw. 32 Bit und sind Voraussetzung für Traffic Engineering und Segment Routing. Aktuelle Netze setzen ausschließlich Wide Metrics ein.

IS-IS gilt als sehr stabil und skaliert in flachen, großen Topologien gut. Es trägt IPv4 und IPv6 in einer einzigen Instanz (Multi-Topology nach RFC 5120 erlaubt getrennte Berechnungen je Adressfamilie), kennt keine Area-0-Pflicht und ist über TLVs zukunftsoffen. Das macht es zur typischen Wahl in Service-Provider-Backbones.

Genau diese Erweiterbarkeit zahlt sich beim Segment Routing aus: IS-IS verteilt die Segment-Kennungen über TLVs, für SR-MPLS (RFC 8667) ebenso wie für SRv6 (RFC 9352), inklusive Flexible Algorithm (RFC 9350). Wer Richtung SR plant, kommt an IS-IS oft schneller ans Ziel als über OSPF.

IS-IS unterstützt kryptografische Authentifizierung der PDUs, klassisch HMAC-MD5 (RFC 5304), generisch mit der HMAC-SHA-Familie und Key-Chains (RFC 5310) für unterbrechungsfreien Schlüsselwechsel. Für schnelle Ausfallerkennung wird BFD pro Schnittstelle eingebunden; damit liegt die Erkennung unter 50 ms statt im Bereich der Hold-Timer.

Das Overload-Bit ist ein nützliches Betriebswerkzeug: Setzt ein Router es (etwa beim Start, bis seine Datenbank synchron ist), nehmen die anderen ihn aus dem Transitpfad, nur direkt angeschlossene Präfixe bleiben erreichbar. So übernimmt ein frisch gestarteter Router keinen Verkehr, bevor er bereit ist.