Cisco IOS パターン集

Cisco IOS パターン集 は何をしますか？

このスキルは、Cisco IOS または IOS-XE のスニペットをレビューしたり、変更ウィンドウのチェックリストを作成したり、障害を悪化させずにルーターやスイッチから証拠を収集する方法を説明する際に使用します。

使用するタイミング

• 計画された変更の前に IOS または IOS-XE の設定をレビューする場合。
• トラブルシューティングのために読み取り専用の show コマンドを選択する場合。
• ACL のワイルドカードマスクとインターフェース方向を確認する場合。
• グローバル、インターフェース、ルーティングプロセス、ライン設定モードを説明する場合。
• 変更が running-config に反映され、意図的に保存されたことを確認する場合。

運用ルール

IOS の例はパターンとして扱い、そのまま本番環境に貼り付けられる変更として扱わないでください。実際のデバイスで変更を行う前に、プラットフォーム、インターフェース名、現在の設定、ロールバックパス、および帯域外アクセスを確認してください。

以下のワークフローを推奨します。

1. 読み取り専用コマンドで現在の状態を取得する。
2. 正確な候補設定をレビューする。
3. 管理アクセスがロックアウトされないことを確認する。
4. メンテナンスウィンドウ内で最小限の変更を適用する。
5. 状態を再読み取りし、ベースラインと比較してから、検証後にのみ保存する。

モードリファレンス

Router> enable
Router# show running-config
Router# configure terminal
Router(config)# interface GigabitEthernet0/1
Router(config-if)# description UPLINK-TO-CORE
Router(config-if)# no shutdown
Router(config-if)# exit
Router(config)# end
Router# show running-config interface GigabitEthernet0/1

running-config はアクティブメモリです。startup-config は再起動後も保持される設定です。コマンドが受け入れられただけで変更を保存しないでください。まず動作を検証し、変更が承認された場合にのみ copy running-config startup-config を使用してください。

読み取り専用収集

show version
show inventory
show processes cpu sorted
show memory statistics
show logging
show running-config | section line vty
show running-config | section interface
show running-config | section router bgp
show ip interface brief
show interfaces
show interfaces status
show vlan brief
show mac address-table
show spanning-tree
show ip route
show ip protocols
show ip access-lists
show route-map
show ip prefix-list

設定にシークレット、顧客名、プライベートトポロジが含まれる可能性がある場合は、完全な設定をチケットにダンプするのではなく、必要な特定のセクションのみを収集してください。

ワイルドカードマスク

IOS ACL および多くのルーティングステートメントは、サブネットマスクではなくワイルドカードマスクを使用します。

サブネットマスク      ワイルドカードマスク
255.255.255.255   0.0.0.0
255.255.255.252   0.0.0.3
255.255.255.0     0.0.0.255
255.255.0.0       0.0.255.255

デプロイ前にワイルドカードマスクを確認してください。サブネットマスクを誤ってワイルドカードとして使用すると、意図したよりもはるかに多くのトラフィックにマッチする可能性があります。

ip access-list extended WEB-IN
  10 permit tcp 192.0.2.0 0.0.0.255 any eq 443
  999 deny ip any any log

すべての ACL の最後には暗黙の deny があります。運用目標にミスを監視することが含まれる場合は、明示的なログ付き deny を追加し、ログボリュームが安全であることを確認してください。

ACL 配置レビュー

ACL をインターフェースに適用する前に、以下の質問に答えてください。

• フィルタリング対象のトラフィック方向は in ですか、それとも out ですか？
• 管理トラフィックは既知のジャンプホストまたは管理サブネットから発信されていますか？
• 必要なルーティング、DNS、NTP、監視、アプリケーショントラフィックに対して明示的な permit がありますか？
• 安全なテストソースからのヒットカウンターが利用可能ですか？
• ロールバックコマンドとアクティブなコンソールまたは帯域外パスがありますか？

ファイアウォールや ACL 保護を削除して到達可能性をテストしないでください。最初にカウンター、ログ、ルート状態を読み取ってください。

インターフェース管理

interface GigabitEthernet0/1
 description UPLINK-TO-CORE
 switchport mode trunk
 switchport trunk allowed vlan 10,20,30
 switchport trunk native vlan 999
 no shutdown

明確な説明、明示的な switchport モード、文書化されたネイティブ VLAN を使用してください。ルーテッドインターフェースでは、リンク状態が転送が正しいことを意味すると仮定する前に、マスク、ピアアドレッシング、ルーティングプロセスを確認してください。

変更ウィンドウ検証

実際の変更に一致する before/after チェックを使用してください。

show running-config | section interface GigabitEthernet0/1
show interfaces GigabitEthernet0/1
show logging | include GigabitEthernet0/1|changed state|line protocol
show ip route <prefix>
show ip access-lists <name>

ルーティング変更の場合は、変更前後のネイバー状態とルートテーブルも取得してください。ACL 変更の場合は、汎用的な ping に依存するのではなく、計画されたテストソースからのヒットカウンターを比較してください。

アンチパターン

• デバイス固有の差分を取らずに生成された設定を適用する。
• 変更後チェックが合格する前に設定を保存する。
• IOS がワイルドカードマスクを期待する場所でサブネットマスクを使用する。
• ACL を誤ったインターフェース方向に適用する。
• ACL、ルートポリシー、または認証を無効にしてトラブルシューティングする。
• シークレットやトポロジをサニタイズせずに完全な設定を公開ツールに貼り付ける。

関連情報

• エージェント: network-config-reviewer
• エージェント: network-troubleshooter
• スキル: network-config-validation
• スキル: network-interface-health