cisco-ios-patterns

Modèles Cisco IOS

Utilisez cette compétence lors de la révision d'extraits Cisco IOS ou IOS-XE, de la création d'une liste de vérification pour une fenêtre de changement, ou pour expliquer comment collecter des preuves sur un routeur ou un commutateur sans aggraver l'incident.

Quand l'utiliser

• Révision de configuration IOS ou IOS-XE avant un changement planifié.
• Choix de commandes show en lecture seule pour le dépannage.
• Vérification des masques génériques d'ACL et de la direction d'interface.
• Explication des modes de configuration global, interface, processus de routage et ligne.
• Vérification qu'un changement a atterri dans la configuration en cours et a été sauvegardé intentionnellement.

Règles d'utilisation

Traitez les exemples IOS comme des modèles, pas comme des modifications prêtes pour la production. Confirmez la plateforme, les noms d'interface, la configuration actuelle, la voie de retour arrière et l'accès hors bande avant d'effectuer des modifications sur un équipement réel.

Préférez ce workflow :

1. Capturez l'état actuel avec des commandes en lecture seule.
2. Révisez la configuration candidate exacte.
3. Confirmez que l'accès à la gestion ne peut pas être verrouillé.
4. Appliquez le plus petit changement dans une fenêtre de maintenance.
5. Relisez l'état, comparez à la base de référence, puis sauvegardez seulement après validation.

Référence des modes

Router> enable
Router# show running-config
Router# configure terminal
Router(config)# interface GigabitEthernet0/1
Router(config-if)# description UPLINK-TO-CORE
Router(config-if)# no shutdown
Router(config-if)# exit
Router(config)# end
Router# show running-config interface GigabitEthernet0/1

running-config est la mémoire active. startup-config est ce qui survit à un redémarrage. Ne sauvegardez pas un changement simplement parce qu'une commande a été acceptée ; validez d'abord le comportement, puis utilisez copy running-config startup-config si le changement est approuvé.

Collecte en lecture seule

show version
show inventory
show processes cpu sorted
show memory statistics
show logging
show running-config | section line vty
show running-config | section interface
show running-config | section router bgp
show ip interface brief
show interfaces
show interfaces status
show vlan brief
show mac address-table
show spanning-tree
show ip route
show ip protocols
show ip access-lists
show route-map
show ip prefix-list

Collectez la section spécifique dont vous avez besoin au lieu de vider la configuration complète dans un ticket lorsque la config peut contenir des secrets, des noms de clients ou une topologie privée.

Masques génériques

Les ACL IOS et de nombreuses instructions de routage utilisent des masques génériques, pas des masques de sous-réseau.

Masque de sous-réseau   Masque générique
255.255.255.255        0.0.0.0
255.255.255.252        0.0.0.3
255.255.255.0          0.0.0.255
255.255.0.0            0.0.255.255

Révisez les masques génériques avant le déploiement. Un masque de sous-réseau accidentellement utilisé comme masque générique peut correspondre à beaucoup plus de trafic que prévu.

ip access-list extended WEB-IN
  10 permit tcp 192.0.2.0 0.0.0.255 any eq 443
  999 deny ip any any log

Chaque ACL a un refus implicite à la fin. Ajoutez un refus explicite journalisé lorsque l'objectif opérationnel inclut l'observation des échecs, et confirmez que le volume de journalisation est sûr.

Révision du placement des ACL

Avant d'appliquer une ACL à une interface, répondez à ces questions :

• Quelle direction de trafic est filtrée, in ou out ?
• Le trafic de gestion provient-il d'un hôte de saut connu ou d'un sous-réseau de gestion ?
• Existe-t-il une autorisation explicite pour le routage, le DNS, le NTP, la surveillance ou le trafic applicatif requis ?
• Les compteurs de hits sont-ils disponibles à partir d'une source de test sécurisée ?
• Existe-t-il une commande de retour arrière et une console active ou une voie hors bande ?

Ne testez pas l'accessibilité en supprimant les protections de pare-feu ou d'ACL. Lisez d'abord les compteurs, les journaux et l'état de routage.

Hygiène des interfaces

interface GigabitEthernet0/1
 description UPLINK-TO-CORE
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30
 switchport trunk native vlan 999
 no shutdown

Utilisez des descriptions claires, un mode switchport explicite et des VLAN natifs documentés. Sur les interfaces routées, confirmez le masque, l'adressage du pair et le processus de routage avant de supposer que l'état de liaison signifie que le transfert est correct.

Vérification de la fenêtre de changement

Utilisez des vérifications avant/après qui correspondent au changement réel.

show running-config | section interface GigabitEthernet0/1
show interfaces GigabitEthernet0/1
show logging | include GigabitEthernet0/1|changed state|line protocol
show ip route <prefix>
show ip access-lists <name>

Pour les changements de routage, capturez également l'état des voisins et les tables de routage avant et après le changement. Pour les changements d'ACL, comparez les compteurs de hits à partir d'une source de test planifiée plutôt que de vous fier à un ping générique.

Anti-modèles

• Appliquer une configuration générée sans diff spécifique à l'équipement.
• Sauvegarder la configuration avant que les vérifications post-changement ne soient réussies.
• Utiliser un masque de sous-réseau là où IOS attend un masque générique.
• Appliquer une ACL dans la mauvaise direction d'interface.
• Dépanner en désactivant les ACL, les politiques de routage ou l'authentification.
• Coller des configurations complètes dans des outils publics sans nettoyer les secrets et la topologie.

Voir aussi

• Agent : network-config-reviewer
• Agent : network-troubleshooter
• Compétence : network-config-validation
• Compétence : network-interface-health