cisco-ios-patterns

Cisco IOS Patterns

Utilisez cette compétence lorsque vous relisez des extraits Cisco IOS ou IOS-XE, que vous construisez une liste de vérification pour une fenêtre de changement, ou que vous expliquez comment collecter des preuves depuis un routeur ou un commutateur sans aggraver l'incident.

Quand l'utiliser

• Relecture de configuration IOS ou IOS-XE avant un changement planifié.
• Choix de commandes show en lecture seule pour le dépannage.
• Vérification des masques génériques ACL et de la direction d'interface.
• Explication des modes de configuration global, interface, processus de routage et ligne.
• Vérification qu'un changement a atterri dans la configuration en cours (running-config) et a été sauvegardé intentionnellement.

Règles de fonctionnement

Considérez les exemples IOS comme des motifs, pas comme des modifications prêtes à être copiées en production. Confirmez la plateforme, les noms d'interface, la configuration actuelle, le chemin de retour arrière et l'accès hors bande avant d'effectuer des modifications sur un équipement réel.

Privilégiez ce workflow :

1. Capturez l'état actuel avec des commandes en lecture seule.
2. Relisez exactement la configuration candidate.
3. Confirmez que l'accès à la gestion ne peut pas être verrouillé.
4. Appliquez la plus petite modification dans une fenêtre de maintenance.
5. Relisez l'état, comparez à la référence, puis sauvegardez uniquement après validation.

Référence des modes

Router> enable
Router# show running-config
Router# configure terminal
Router(config)# interface GigabitEthernet0/1
Router(config-if)# description UPLINK-TO-CORE
Router(config-if)# no shutdown
Router(config-if)# exit
Router(config)# end
Router# show running-config interface GigabitEthernet0/1

running-config est la mémoire active. startup-config est ce qui survit à un redémarrage. Ne sauvegardez pas une modification simplement parce qu'une commande a été acceptée ; validez d'abord le comportement, puis utilisez copy running-config startup-config si la modification est approuvée.

Collecte en lecture seule

show version
show inventory
show processes cpu sorted
show memory statistics
show logging
show running-config | section line vty
show running-config | section interface
show running-config | section router bgp
show ip interface brief
show interfaces
show interfaces status
show vlan brief
show mac address-table
show spanning-tree
show ip route
show ip protocols
show ip access-lists
show route-map
show ip prefix-list

Collectez la section spécifique dont vous avez besoin au lieu de vider la configuration complète dans un ticket lorsque la configuration peut contenir des secrets, des noms de clients ou une topologie privée.

Masques génériques (Wildcard Masks)

Les ACL IOS et de nombreuses instructions de routage utilisent des masques génériques, pas des masques de sous-réseau.

Masque de sous-réseau   Masque générique
255.255.255.255         0.0.0.0
255.255.255.252         0.0.0.3
255.255.255.0           0.0.0.255
255.255.0.0             0.0.255.255

Relisez les masques génériques avant le déploiement. Un masque de sous-réseau utilisé accidentellement comme masque générique peut correspondre à beaucoup plus de trafic que prévu.

ip access-list extended WEB-IN
  10 permit tcp 192.0.2.0 0.0.0.255 any eq 443
  999 deny ip any any log

Chaque ACL a un refus implicite à la fin. Ajoutez un refus explicite journalisé lorsque l'objectif opérationnel inclut l'observation des échecs, et confirmez que le volume de journalisation est sûr.

Relecture du placement des ACL

Avant d'appliquer une ACL sur une interface, répondez à ces questions :

• Quelle direction du trafic est filtrée, in ou out ?
• Le trafic de gestion provient-il d'un hôte de rebond connu ou d'un sous-réseau de gestion ?
• Existe-t-il une autorisation explicite pour le routage requis, DNS, NTP, la surveillance ou le trafic applicatif ?
• Les compteurs de hits sont-ils disponibles depuis une source de test sûre ?
• Existe-t-il une commande de retour arrière et un accès console ou hors bande actif ?

Ne testez pas la joignabilité en supprimant les protections de pare-feu ou ACL. Lisez d'abord les compteurs, les journaux et l'état des routes.

Hygiène des interfaces

interface GigabitEthernet0/1
 description UPLINK-TO-CORE
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30
 switchport trunk native vlan 999
 no shutdown

Utilisez des descriptions claires, un mode switchport explicite et des VLAN natifs documentés. Sur les interfaces routées, confirmez le masque, l'adressage du voisin et le processus de routage avant de supposer que l'état de la liaison signifie que le transfert est correct.

Vérification de fenêtre de changement

Utilisez des vérifications avant/après qui correspondent à la modification réelle.

show running-config | section interface GigabitEthernet0/1
show interfaces GigabitEthernet0/1
show logging | include GigabitEthernet0/1|changed state|line protocol
show ip route <prefix>
show ip access-lists <name>

Pour les modifications de routage, capturez également l'état des voisins et les tables de routage avant et après la modification. Pour les modifications d'ACL, comparez les compteurs de hits depuis une source de test planifiée plutôt que de vous fier à un ping générique.

Anti-patrons

• Appliquer une configuration générée sans diff spécifique à l'équipement.
• Sauvegarder la configuration avant que les vérifications post-modification soient réussies.
• Utiliser un masque de sous-réseau là où IOS attend un masque générique.
• Appliquer une ACL dans la mauvaise direction d'interface.
• Dépanner en désactivant les ACL, les politiques de routage ou l'authentification.
• Coller des configurations complètes dans des outils publics sans sanitizer les secrets et la topologie.

Voir aussi

• Agent : network-config-reviewer
• Agent : network-troubleshooter
• Compétence : network-config-validation
• Compétence : network-interface-health