Cisco IOS-Muster

Was macht Cisco IOS-Muster?

Verwenden Sie diesen Skill, wenn Sie Cisco IOS- oder IOS-XE-Ausschnitte überprüfen, eine Checkliste für ein Änderungsfenster erstellen oder erklären möchten, wie Sie Beweise von einem Router oder Switch sammeln, ohne den Vorfall zu verschlimmern.

Verwendung

• Überprüfen der IOS- oder IOS-XE-Konfiguration vor einer geplanten Änderung.
• Auswahl von schreibgeschützten show-Befehlen zur Fehlersuche.
• Prüfen von ACL-Wildcard-Masken und Schnittstellenrichtung.
• Erklärung der globalen, Interface-, Routing-Prozess- und Leitungs-Konfigurationsmodi.
• Verifizieren, dass eine Änderung in der laufenden Konfiguration gelandet ist und absichtlich gespeichert wurde.

Betriebsregeln

Behandeln Sie IOS-Beispiele als Muster, nicht als einfügefertige Produktionsänderungen. Bestätigen Sie die Plattform, Schnittstellennamen, aktuelle Konfiguration, Rollback-Pfad und Out-of-Band-Zugriff, bevor Sie Änderungen an einem echten Gerät vornehmen.

Bevorzugen Sie diesen Workflow:

1. Erfassen des aktuellen Zustands mit schreibgeschützten Befehlen.
2. Überprüfen der genauen Kandidatenkonfiguration.
3. Bestätigen, dass der Managementzugriff nicht gesperrt werden kann.
4. Anwenden der kleinstmöglichen Änderung in einem Wartungsfenster.
5. Erneutes Lesen des Zustands, Vergleich mit der Basislinie, dann erst nach Validierung speichern.

Modusreferenz

Router> enable
Router# show running-config
Router# configure terminal
Router(config)# interface GigabitEthernet0/1
Router(config-if)# description UPLINK-TO-CORE
Router(config-if)# no shutdown
Router(config-if)# exit
Router(config)# end
Router# show running-config interface GigabitEthernet0/1

running-config ist der aktive Speicher. startup-config überlebt einen Neustart. Speichern Sie eine Änderung nicht nur, weil ein Befehl akzeptiert wurde; validieren Sie zuerst das Verhalten, dann verwenden Sie copy running-config startup-config, wenn die Änderung genehmigt ist.

Schreibgeschützte Sammlung

show version
show inventory
show processes cpu sorted
show memory statistics
show logging
show running-config | section line vty
show running-config | section interface
show running-config | section router bgp
show ip interface brief
show interfaces
show interfaces status
show vlan brief
show mac address-table
show spanning-tree
show ip route
show ip protocols
show ip access-lists
show route-map
show ip prefix-list

Sammeln Sie den spezifischen benötigten Abschnitt, anstatt die vollständige Konfiguration in ein Ticket zu dumpen, wenn die Konfiguration Geheimnisse, Kundennamen oder private Topologie enthalten kann.

Wildcard-Masken

IOS-ACLs und viele Routing-Anweisungen verwenden Wildcard-Masken, keine Subnetzmasken.

Subnetzmaske       Wildcard-Maske
255.255.255.255   0.0.0.0
255.255.255.252   0.0.0.3
255.255.255.0     0.0.0.255
255.255.0.0       0.0.255.255

Überprüfen Sie Wildcard-Masken vor der Bereitstellung. Eine versehentlich als Wildcard verwendete Subnetzmaske kann weit mehr Verkehr abgleichen als beabsichtigt.

ip access-list extended WEB-IN
  10 permit tcp 192.0.2.0 0.0.0.255 any eq 443
  999 deny ip any any log

Jede ACL hat am Ende eine implizite Deny-Regel. Fügen Sie eine explizite geloggte Deny-Regel hinzu, wenn das operative Ziel das Beobachten von Fehlversuchen umfasst, und bestätigen Sie, dass das Logging-Volumen sicher ist.

ACL-Platzierungsprüfung

Beantworten Sie vor dem Anwenden einer ACL auf eine Schnittstelle diese Fragen:

• Welche Verkehrsrichtung wird gefiltert, in oder out?
• Stammt der Management-Verkehr von einem bekannten Jump-Host oder Management-Subnetz?
• Gibt es eine explizite Erlaubnis für erforderlichen Routing-, DNS-, NTP-, Monitoring- oder Anwendungsverkehr?
• Sind Hit-Counter von einer sicheren Testquelle verfügbar?
• Gibt es einen Rollback-Befehl und einen aktiven Konsolen- oder Out-of-Band-Pfad?

Testen Sie die Erreichbarkeit nicht, indem Sie Firewall- oder ACL-Schutzmaßnahmen entfernen. Lesen Sie zuerst Counter, Logs und den Routing-Zustand.

Interface-Hygiene

interface GigabitEthernet0/1
 description UPLINK-TO-CORE
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30
 switchport trunk native vlan 999
 no shutdown

Verwenden Sie klare Beschreibungen, expliziten Switchport-Modus und dokumentierte Native-VLANs. Bestätigen Sie bei gerouteten Schnittstellen die Maske, Peer-Adressierung und den Routing-Prozess, bevor Sie annehmen, dass der Link-State eine korrekte Weiterleitung bedeutet.

Änderungsfenster-Verifikation

Verwenden Sie Vorher/Nachher-Prüfungen, die der tatsächlichen Änderung entsprechen.

show running-config | section interface GigabitEthernet0/1
show interfaces GigabitEthernet0/1
show logging | include GigabitEthernet0/1|changed state|line protocol
show ip route <prefix>
show ip access-lists <name>

Erfassen Sie bei Routing-Änderungen auch den Nachbarzustand und die Routentabellen vor und nach der Änderung. Vergleichen Sie bei ACL-Änderungen die Hit-Counter von einer geplanten Testquelle, anstatt sich auf einen generischen Ping zu verlassen.

Anti-Patterns

• Anwenden einer generierten Konfiguration ohne gerätespezifischen Diff.
• Speichern der Konfiguration, bevor die Nachher-Prüfungen bestanden sind.
• Verwenden einer Subnetzmaske, wo IOS eine Wildcard-Maske erwartet.
• Anwenden einer ACL auf die falsche Schnittstellenrichtung.
• Fehlersuche durch Deaktivieren von ACLs, Routenrichtlinien oder Authentifizierung.
• Einfügen vollständiger Konfigurationen in öffentliche Tools ohne Bereinigung von Geheimnissen und Topologie.

Siehe auch

• Agent: network-config-reviewer
• Agent: network-troubleshooter
• Skill: network-config-validation
• Skill: network-interface-health