Cisco-IOS-Muster

Cisco IOS-Muster

Verwenden Sie diese Fähigkeit bei der Überprüfung von Cisco IOS- oder IOS-XE-Ausschnitten, beim Erstellen einer Checkliste für ein Änderungsfenster oder beim Erklären, wie Nachweise von einem Router oder Switch gesammelt werden, ohne den Vorfall zu verschlimmern.

Verwendung

• Überprüfung von IOS- oder IOS-XE-Konfigurationen vor einer geplanten Änderung.
• Auswahl von schreibgeschützten show-Befehlen für die Fehlersuche.
• Prüfung von ACL-Wildcard-Masken und Interface-Richtung.
• Erläuterung der Konfigurationsmodi: global, Interface, Routing-Prozess und Line.
• Überprüfung, ob eine Änderung in der Running-Config gelandet ist und absichtlich gespeichert wurde.

Betriebsregeln

Behandeln Sie IOS-Beispiele als Muster, nicht als paste-ready Produktionsänderungen. Bestätigen Sie vor Änderungen an einem echten Gerät die Plattform, die Interface-Namen, die aktuelle Konfiguration, den Rollback-Pfad und den Out-of-Band-Zugriff.

Bevorzugen Sie diesen Workflow:

1. Aktuellen Zustand mit schreibgeschützten Befehlen erfassen.
2. Die genaue Kandidatenkonfiguration überprüfen.
3. Bestätigen, dass der Management-Zugriff nicht blockiert werden kann.
4. Die kleinste Änderung in einem Wartungsfenster anwenden.
5. Zustand erneut lesen, mit der Basislinie vergleichen, dann erst nach erfolgreicher Validierung speichern.

Modus-Referenz

Router> enable
Router# show running-config
Router# configure terminal
Router(config)# interface GigabitEthernet0/1
Router(config-if)# description UPLINK-TO-CORE
Router(config-if)# no shutdown
Router(config-if)# exit
Router(config)# end
Router# show running-config interface GigabitEthernet0/1

running-config ist der aktive Speicher. startup-config überlebt einen Neustart. Speichern Sie eine Änderung nicht nur, weil ein Befehl akzeptiert wurde; validieren Sie zuerst das Verhalten, dann verwenden Sie copy running-config startup-config, wenn die Änderung genehmigt ist.

Schreibgeschützte Sammlung

show version
show inventory
show processes cpu sorted
show memory statistics
show logging
show running-config | section line vty
show running-config | section interface
show running-config | section router bgp
show ip interface brief
show interfaces
show interfaces status
show vlan brief
show mac address-table
show spanning-tree
show ip route
show ip protocols
show ip access-lists
show route-map
show ip prefix-list

Sammeln Sie den spezifischen Abschnitt, den Sie benötigen, anstatt die vollständige Konfiguration in ein Ticket zu kopieren, wenn die Konfiguration Geheimnisse, Kundennamen oder private Topologien enthalten könnte.

Wildcard-Masken

IOS-ACLs und viele Routing-Anweisungen verwenden Wildcard-Masken, keine Subnetzmasken.

Subnetzmaske       Wildcard-Maske
255.255.255.255   0.0.0.0
255.255.255.252   0.0.0.3
255.255.255.0     0.0.0.255
255.255.0.0       0.0.255.255

Überprüfen Sie Wildcard-Masken vor der Bereitstellung. Eine versehentlich als Wildcard verwendete Subnetzmaske kann weit mehr Datenverkehr treffen als beabsichtigt.

ip access-list extended WEB-IN
  10 permit tcp 192.0.2.0 0.0.0.255 any eq 443
  999 deny ip any any log

Jede ACL hat am Ende ein implizites Deny. Fügen Sie ein explizites geloggtes Deny hinzu, wenn das operative Ziel die Beobachtung von Fehltreffern umfasst, und bestätigen Sie, dass das Logging-Volumen sicher ist.

ACL-Platzierungsprüfung

Bevor Sie eine ACL auf ein Interface anwenden, beantworten Sie diese Fragen:

• Welche Verkehrsrichtung wird gefiltert, in oder out?
• Stammt der Management-Verkehr von einem bekannten Jump-Host oder Management-Subnetz?
• Gibt es eine explizite Erlaubnis für erforderlichen Routing-, DNS-, NTP-, Monitoring- oder Anwendungsverkehr?
• Sind Trefferzähler von einer sicheren Testquelle verfügbar?
• Gibt es einen Rollback-Befehl und einen aktiven Konsolen- oder Out-of-Band-Pfad?

Testen Sie nicht die Erreichbarkeit, indem Sie Firewall- oder ACL-Schutzmaßnahmen entfernen. Lesen Sie zuerst Zähler, Logs und den Routenzustand.

Interface-Hygiene

interface GigabitEthernet0/1
 description UPLINK-TO-CORE
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30
 switchport trunk native vlan 999
 no shutdown

Verwenden Sie klare Beschreibungen, expliziten Switchport-Modus und dokumentierte native VLANs. Bei gerouteten Interfaces bestätigen Sie die Maske, die Peer-Adressierung und den Routing-Prozess, bevor Sie annehmen, dass der Link-Status korrektes Forwarding bedeutet.

Änderungsfenster-Validierung

Verwenden Sie Vorher/Nachher-Prüfungen, die der tatsächlichen Änderung entsprechen.

show running-config | section interface GigabitEthernet0/1
show interfaces GigabitEthernet0/1
show logging | include GigabitEthernet0/1|changed state|line protocol
show ip route <prefix>
show ip access-lists <name>

Erfassen Sie bei Routing-Änderungen auch den Nachbarstatus und die Routentabellen vor und nach der Änderung. Vergleichen Sie bei ACL-Änderungen die Trefferzähler von einer geplanten Testquelle, anstatt sich auf einen generischen Ping zu verlassen.

Anti-Patterns

• Anwenden einer generierten Konfiguration ohne gerätespezifischen Diff.
• Speichern der Konfiguration, bevor die Nachänderungsprüfungen bestanden sind.
• Verwenden einer Subnetzmaske, wo IOS eine Wildcard-Maske erwartet.
• Anwenden einer ACL auf die falsche Interface-Richtung.
• Fehlersuche durch Deaktivieren von ACLs, Route-Policys oder Authentifizierung.
• Einfügen vollständiger Konfigurationen in öffentliche Tools ohne Bereinigung von Geheimnissen und Topologien.

Siehe auch

• Agent: network-config-reviewer
• Agent: network-troubleshooter
• Skill: network-config-validation
• Skill: network-interface-health