Cisco IOS 패턴
Cisco IOS 또는 IOS-XE 조각을 검토하거나, 변경 시간 체크리스트를 작성하거나, 장애를 악화시키지 않고 라우터나 스위치에서 증거를 수집하는 방법을 설명해야 할 때 이 스킬을 사용하세요.
사용 시기
- 계획된 변경 전에 IOS 또는 IOS-XE 설정을 검토할 때.
- 문제 해결을 위해 읽기 전용
show명령어를 선택할 때. - ACL 와일드카드 마스크와 인터페이스 방향을 확인할 때.
- 글로벌, 인터페이스, 라우팅 프로세스, 라인 설정 모드를 설명할 때.
- 변경 사항이 running config에 적용되었고 의도적으로 저장되었는지 확인할 때.
운영 규칙
IOS 예제는 패턴으로 취급하고, 붙여넣기 가능한 프로덕션 변경 사항으로 간주하지 마세요. 실제 장비에서 변경을 수행하기 전에 플랫폼, 인터페이스 이름, 현재 설정, 롤백 경로, out-of-band 액세스를 확인하세요.
다음 워크플로를 권장합니다:
- 읽기 전용 명령어로 현재 상태를 캡처합니다.
- 정확한 후보 설정을 검토합니다.
- 관리 액세스가 차단되지 않음을 확인합니다.
- 유지보수 시간에 가장 작은 변경을 적용합니다.
- 상태를 다시 읽고, 기준선과 비교한 후 검증이 완료되면 저장합니다.
모드 참조
Router> enable
Router# show running-config
Router# configure terminal
Router(config)# interface GigabitEthernet0/1
Router(config-if)# description UPLINK-TO-CORE
Router(config-if)# no shutdown
Router(config-if)# exit
Router(config)# end
Router# show running-config interface GigabitEthernet0/1
running-config는 활성 메모리입니다. startup-config는 재부팅 시 유지됩니다. 명령어가 수락되었다고 해서 바로 변경 사항을 저장하지 마세요. 먼저 동작을 검증한 후, 변경이 승인되면 copy running-config startup-config를 사용하세요.
읽기 전용 수집
show version
show inventory
show processes cpu sorted
show memory statistics
show logging
show running-config | section line vty
show running-config | section interface
show running-config | section router bgp
show ip interface brief
show interfaces
show interfaces status
show vlan brief
show mac address-table
show spanning-tree
show ip route
show ip protocols
show ip access-lists
show route-map
show ip prefix-list
설정에 비밀번호, 고객 이름 또는 개인 토폴로지가 포함될 수 있으므로 전체 설정을 티켓에 덤프하는 대신 필요한 특정 섹션만 수집하세요.
와일드카드 마스크
IOS ACL 및 많은 라우팅 문은 서브넷 마스크가 아닌 와일드카드 마스크를 사용합니다.
서브넷 마스크 와일드카드 마스크
255.255.255.255 0.0.0.0
255.255.255.252 0.0.0.3
255.255.255.0 0.0.0.255
255.255.0.0 0.0.255.255
배포 전에 와일드카드 마스크를 검토하세요. 서브넷 마스크를 와일드카드로 실수로 사용하면 의도보다 훨씬 많은 트래픽이 일치할 수 있습니다.
ip access-list extended WEB-IN
10 permit tcp 192.0.2.0 0.0.0.255 any eq 443
999 deny ip any any log
모든 ACL에는 마지막에 암시적 deny가 있습니다. 운영 목표에 미스 관찰이 포함된 경우 명시적인 로깅된 deny를 추가하고 로깅 볼륨이 안전한지 확인하세요.
ACL 배치 검토
ACL을 인터페이스에 적용하기 전에 다음 질문에 답변하세요:
- 어떤 트래픽 방향이 필터링되고 있습니까?
in또는out? - 관리 트래픽이 알려진 점프 호스트 또는 관리 서브넷에서 오고 있습니까?
- 필요한 라우팅, DNS, NTP, 모니터링 또는 애플리케이션 트래픽에 대한 명시적 permit이 있습니까?
- 안전한 테스트 소스에서 히트 카운터를 사용할 수 있습니까?
- 롤백 명령어와 활성 콘솔 또는 out-of-band 경로가 있습니까?
방화벽 또는 ACL 보호를 제거하여 연결성을 테스트하지 마세요. 먼저 카운터, 로그 및 라우트 상태를 읽으세요.
인터페이스 위생
interface GigabitEthernet0/1
description UPLINK-TO-CORE
switchport mode trunk
switchport trunk allowed vlan 10,20,30
switchport trunk native vlan 999
no shutdown
명확한 설명, 명시적 switchport 모드, 문서화된 네이티브 VLAN을 사용하세요. 라우팅된 인터페이스에서는 링크 상태가 포워딩이 올바르다는 것을 의미한다고 가정하기 전에 마스크, 피어 주소 지정 및 라우팅 프로세스를 확인하세요.
변경 시간 검증
실제 변경 사항과 일치하는 전후 확인을 사용하세요.
show running-config | section interface GigabitEthernet0/1
show interfaces GigabitEthernet0/1
show logging | include GigabitEthernet0/1|changed state|line protocol
show ip route <prefix>
show ip access-lists <name>
라우팅 변경의 경우 변경 전후에 neighbor 상태와 라우트 테이블도 캡처하세요. ACL 변경의 경우 일반 ping에 의존하지 말고 계획된 테스트 소스의 히트 카운터를 비교하세요.
안티패턴
- 장치별 diff 없이 생성된 설정을 적용하는 것.
- 변경 후 검사가 통과하기 전에 설정을 저장하는 것.
- IOS가 와일드카드 마스크를 기대하는 곳에 서브넷 마스크를 사용하는 것.
- ACL을 잘못된 인터페이스 방향에 적용하는 것.
- ACL, 라우트 정책 또는 인증을 비활성화하여 문제를 해결하는 것.
- 비밀번호와 토폴로지를 정리하지 않고 전체 설정을 공개 도구에 붙여넣는 것.
참고
- 에이전트:
network-config-reviewer - 에이전트:
network-troubleshooter - 스킬:
network-config-validation - 스킬:
network-interface-health