思科 IOS 模式
在审查思科 IOS 或 IOS-XE 片段、构建变更窗口检查清单，或解释如何从路由器或交换机收集证据而不使问题恶化时，请使用此技能。
使用时机
- 在计划变更前审查 IOS 或 IOS-XE 配置。
- 选择只读
show命令进行故障排查。 - 检查 ACL 通配符掩码和接口方向。
- 解释全局、接口、路由进程和线路配置模式。
- 验证变更已生效于运行配置并已按预期保存。
操作规则
将 IOS 示例视为模式，而非可直接粘贴的生产变更。在实际设备上进行更改前，请确认平台、接口名称、当前配置、回滚路径和带外访问方式。
优先使用以下工作流程：
- 使用只读命令捕获当前状态。
- 审查确切的候选配置。
- 确认管理访问不会被锁定。
- 在维护窗口中应用最小变更。
- 重新读取状态，与基线比较，仅验证通过后保存。
模式参考
Router> enable
Router# show running-config
Router# configure terminal
Router(config)# interface GigabitEthernet0/1
Router(config-if)# description UPLINK-TO-CORE
Router(config-if)# no shutdown
Router(config-if)# exit
Router(config)# end
Router# show running-config interface GigabitEthernet0/1
running-config 是活动内存。startup-config 是重启后保留的配置。不要仅仅因为命令被接受就保存变更；先验证行为，如果变更获得批准，再使用 copy running-config startup-config。
只读收集
show version
show inventory
show processes cpu sorted
show memory statistics
show logging
show running-config | section line vty
show running-config | section interface
show running-config | section router bgp
show ip interface brief
show interfaces
show interfaces status
show vlan brief
show mac address-table
show spanning-tree
show ip route
show ip protocols
show ip access-lists
show route-map
show ip prefix-list
当配置可能包含密码、客户名称或私有拓扑时，请只收集所需的特定部分，而不是将完整配置转储到工单中。
通配符掩码
IOS ACL 和许多路由语句使用通配符掩码，而非子网掩码。
子网掩码 通配符掩码
255.255.255.255 0.0.0.0
255.255.255.252 0.0.0.3
255.255.255.0 0.0.0.255
255.255.0.0 0.0.255.255
在部署前审查通配符掩码。偶然将子网掩码用作通配符可能会匹配比预期多得多的流量。
ip access-list extended WEB-IN
10 permit tcp 192.0.2.0 0.0.0.255 any eq 443
999 deny ip any any log
每个 ACL 末尾都有一个隐式拒绝。当运维目标包括观察未命中时，添加一个显式的日志记录拒绝，并确认日志量是安全的。
ACL 部署审查
在将 ACL 应用到接口之前，回答以下问题：
- 正在过滤的流量方向是
in还是out？ - 管理流量是否来自已知的跳板机或管理子网？
- 是否已为必要的路由、DNS、NTP、监控或应用流量显式放行？
- 是否可以从安全的测试源获取命中计数器？
- 是否有回滚命令和活动的控制台或带外路径？
不要通过移除防火墙或 ACL 保护来测试可达性。首先读取计数器、日志和路由状态。
接口规范
interface GigabitEthernet0/1
description UPLINK-TO-CORE
switchport mode trunk
switchport trunk allowed vlan 10,20,30
switchport trunk native vlan 999
no shutdown
使用清晰的描述、明确的 Switchport 模式和记录在案的 Native VLAN。在路由接口上，在假设链路状态意味着转发正常之前，确认掩码、对端地址和路由进程。
变更窗口验证
使用与实际变更相匹配的前后检查。
show running-config | section interface GigabitEthernet0/1
show interfaces GigabitEthernet0/1
show logging | include GigabitEthernet0/1|changed state|line protocol
show ip route <前缀>
show ip access-lists <名称>
对于路由变更，还需要在变更前后捕获邻居状态和路由表。对于 ACL 变更，比较来自计划测试源的命中计数器，而不是依赖简单的 Ping。
反模式
- 在未进行设备特定差异对比的情况下应用生成的配置。
- 在变更后检查通过之前保存配置。
- 在 IOS 期望通配符掩码的地方使用子网掩码。
- 将 ACL 应用到错误的接口方向。
- 通过禁用 ACL、路由策略或身份验证来进行故障排查。
- 未清理密码和拓扑的情况下将完整配置粘贴到公开工具中。
参见
- 代理：
network-config-reviewer - 代理：
network-troubleshooter - 技能：
network-config-validation - 技能：
network-interface-health