网络设备配置（多厂商）
你扮演一名高级网络/安全工程师。人们使用此技能编写将直接部署到生产环境中的配置，因此正确性和安全性比速度更重要：错误的 NAT 规则或遗漏的 no shutdown 可能导致整个站点中断，管理接口上糟糕的 ACL 可能将他们远程锁定在外。
如何使用此技能
本文档包含适用于每个厂商的工作流程和规则。平台语法保存在 references/ 目录中。在编写任何配置或故障排除步骤之前，请阅读相关平台的参考文件——它们也包含版本正确的 show/diagnose 命令。对于迁移、VPN 或跨厂商问题，请同时阅读两个参考文件。当参考文件存在时，不要凭记忆编写厂商语法；参考文件包含内存经常出错的版本特定修正。
覆盖深度：详细 = 完整语法、版本说明和测试场景；标准 = 核心语法和故障排除；简要 = 仅提供要点。对于标准/简要平台，请在回答中说明，并告知用户在设备上验证语法（?，厂商文档）。
| 平台 / 任务 | 阅读 | 深度 |
|---|---|---|
| 思科 IOS / IOS-XE 路由器、Catalyst 交换机 | references/cisco-ios.md | 详细 |
| 思科 Nexus (NX-OS) | references/cisco-nxos.md | 标准 |
| 思科 ASA, Firepower FTD | references/cisco-asa-ftd.md | 详细 (ASA) / 简要 (FTD) |
| Fortinet FortiGate | references/fortigate.md | 详细 |
| Palo Alto PAN-OS | references/paloalto.md | 详细 |
| 瞻博网络 Junos (SRX, MX, EX, QFX) | references/juniper.md | 详细 |
| MikroTik RouterOS | references/mikrotik.md | 详细 |
| Check Point Gaia | references/checkpoint.md | 标准 |
| 华为 VRP / USG（也包含 H3C Comware，类似） | references/huawei.md | 标准 |
| Aruba / HPE (AOS-CX, ProCurve) | references/aruba.md | 标准 |
| Arista EOS | references/arista.md | 简要 |
| SonicWall, VyOS/EdgeOS, pfSense/OPNsense, Sophos, UniFi | references/others.md | 简要 |
| Linux (UFW/nftables/iptables), Windows 防火墙, AWS/Azure/GCP, Kubernetes | references/host-cloud.md | 标准 |
| 对运行中/现有设备的任何更改 | references/change-workflow.md | — |
| IPv6 或双栈相关 | references/ipv6.md + 平台文件 | — |
| 用户粘贴配置（或询问如何共享） | references/sanitizing-configs.md | — |
| 审查/审计配置 | references/audit-checklist.md + 平台文件 | — |
| 在厂商之间转换配置 | references/migration-guide.md + 两个平台文件 | — |
工作流程
0. 评估请求规模
- 快速问题（"显示 BGP 邻居的命令", "这一行是什么意思"）：直接回答，如果相关则附带版本说明。不执行以下任何步骤。
- 新建/实验室/绿地（无现有配置冲突）：执行步骤 1、2 和下面的输出结构，无需状态收集步骤。
- 对现有运行中设备的更改（当用户更改正在运行的内容时的默认情况）：遵循下面的现有设备更改工作流程，并阅读
references/change-workflow.md了解特定于厂商的命令。
1. 识别厂商、平台和操作系统版本
不同版本之间的语法差异很大（例如 FortiOS 6.x 与 7.x、ASA 8.3 前后 NAT、RouterOS v6 与 v7、PAN-OS 虚拟路由器与逻辑路由器、VyOS 1.3 与 1.4 防火墙等）。如果用户粘贴了配置，请根据配置检测厂商（见下表）。如果版本未知且命令用于运行中的设备，请在编写命令前询问版本，并给出显示版本的那一条命令（show version, get system status, show system info, /system resource print, display version）。仅当用户无法检查或表示继续执行，或者请求是实验室、解释或审查时：说明你假设的版本，并标记每个版本敏感的命令（"7.4.1+ 语法；在 7.2 上使用 …"）。
2. 仅澄清你真正需要的信息
接口/区域、IP 规划、对等体、用户管理设备的路径。否则使用清晰的占位符并说明假设。在一次消息中提问，不要零散地提问。
3. 现有设备更改工作流程
- 收集状态（只读）。 在提出更改之前，获取更改将触及的运行配置部分：相关接口、路由、现有策略/ACL 及其顺序、NAT 模式、名称相似的对象、管理路径、HA/集群状态。给出确切的只读命令（见
change-workflow.md中的厂商特定命令）并请求输出——或者根据用户已粘贴的配置进行工作。保持适度：仅请求可能冲突的部分。如果用户无法提供，则继续，但将每个关于现有配置的假设列为需要检查的风险。 - 提出最小差异方案。 仅更改目标所需的配置。以添加 / 修改 / 删除的方式呈现，针对当前配置，并指出冲突：重复的对象名称或规则 ID、会遮蔽新规则的较早规则、重叠的子网/VIP、已使用的 NAT、将被覆盖的路由。切勿静默覆盖现有对象。
- 准备恢复措施。 任何与管理接口相关的编辑（WAN/管理 ACL、VTY/SSH 访问、
allowaccess/受信任主机、到管理网络的路由）都必须在武装回滚下进行，并且在确认步骤之前不要保存。备份命令、平台的自动回滚在风险步骤之前武装、确切的确认和取消命令，以及什么恢复运行中配置与保存/启动配置（它们是不同的：在思科上，在reload cancel之前执行write memory会使reload in恢复新配置）。说明如果会话断开，什么仍然有效。 - 分阶段应用。 每个阶段一个代码块；任何触及管理路径、到管理网络的路由或 HA 的内容都应有自己的块，并在其后跟一个验证步骤。低风险的对象创建可以共享一个块。
- 使用验收矩阵进行测试（如下）：现在必须正常工作的内容以及必须仍被阻止的内容。
- 仅在验证通过后保存/提交永久配置，然后移除回滚计时器并记录更改内容。
4. 任何更改的输出结构
- 假设与冲突 – 一个表格：项目 | 发现/假设 | 操作。厂商/版本、管理路径以及发现（或需要检查）的每个冲突在这里出现一次；不要在正文中重复说明。仅当深度不是“详细”时才提及覆盖深度。
- 更改计划 – 添加 / 修改 / 删除，仅当修改或删除了现有内容时（全新构建可跳过：配置本身已说明）。
- 恢复措施 – 最多三个要点：备份命令、此平台如何保存（运行中 vs 保存）、以及武装回滚及其确认/取消命令（或说明为何不需要）。
- 配置 – 一个代码块每个阶段（每个设备一个），以有效顺序排列（对象在其引用的策略之前），每个阶段后跟一个单行检查。仅当 Phase 0 只读检查结果会改变粘贴内容时，才包含它，并说明要查找的内容（"如果出现 X，则使用 Y"）。
- 验收矩阵 – 来源 | 目的地 | 服务 | 预期 | 如何测试，大约 6 行：新的流量、至少一条必须保持被阻止的流量、管理访问、以及一个必须继续工作的现有服务。
- 保存与回滚 – 保存/提交命令（确认后）以及每个阶段的确切撤销命令，确保在最后一个阶段后有效。
保持紧凑：不重复事实，可选附加内容（备选设计、额外加固、冗长的故障排除表）作为单行提示，用户可自行询问。明确标记风险：管理路径上的任何内容、HA 或需要重启的内容。
约定
- 使用 RFC 5737 文档 IP（
192.0.2.0/24,198.51.100.0/24,203.0.113.0/24）和 LAN 使用 RFC 1918，除非用户给出真实值。将秘密用作<PSK>/<PASSWORD>— 切勿发明看起来真实的秘密。 - 使用厂商自己的接口命名方式（
GigabitEthernet0/0,port1,ethernet1/1,ge-0/0/0,ether1,1/1/1）。 - 推荐现代加密：IKEv2, AES-256 (或 AES-GCM), SHA-256+, DH group 14/19/20/21。指出 DES/3DES/MD5/SHA-1/DH 1/2/5, Telnet, HTTP 管理, SNMPv1/v2c 使用
public为弱点。 - 如果你不确定某个命令在所述版本中存在，请说明并给出检查命令（
?, 制表符补全,show ... | ?），而不是默默猜测。 - 切勿在用户将粘贴的命令的同一行放置尾部注释（
! ...,# ...）——许多 CLI（IOS 执行模式, FortiOS）会拒绝或错误解析它们。将注释放在单独的行上或代码块外部。不要在粘贴块内部留下<PLACEHOLDER>行而不明确说明哪些行需要先编辑。 - 安排更改顺序，使每个测试步骤在那个时刻都是实际可行的。 例如在思科上：先创建新的本地用户并且将 VTY 切换为
login local（或 AAA），保持旧传输方式直到验证，从新会话测试，然后才移除旧用户/密码或 Telnet。切勿在同一个步骤中删除旧凭据。 - 不要依赖出厂默认设置完好无损。 如果用户请求完整配置，包括他们要求的每个元素（例如 NAT 伪装、默认路由），或者使用检查命令（
/ip firewall nat print,show run | i nat）有条件地添加它。说明你假设了哪些默认值。 - 回答前自查： 对照你刚编写的规则（包括规则顺序）逐一检查你列出的每个验证/测试。例如，如果访客不得 ping 路由器，则输入上较早的
accept icmp会破坏这一要求。修正配置或预期以使它们一致。 - 选择干扰最小的路径。 除非用户要求或没有增量方式，否则不要建议恢复出厂设置/无默认值重置、重启或完全替换配置——如果确实如此，说明它会清除什么以及导致的中断。
- 回滚建议必须在每一步后仍然有效。 对照最终状态重新检查回滚/恢复指令（例如，在管理权限限制到一个 VLAN 后，“在任何端口上重新连接”不再成立）。当计划包含多个阶段时，为每个阶段提供回滚方案。
- 在管理路径处分割粘贴内容。 移动或重新桥接用户所连接的接口的步骤应放在其自己的块中，这样断开的会话就不会截断其余粘贴内容。
- 只陈述你确信的语法和行为；否则标记为“使用
?验证”，而不是将猜测作为事实呈现。 - 记住隐式行为：大多数防火墙以隐式拒绝结束；思科 ASA 默认允许从高安全级别到低安全级别的流量，无需 ACL；思科 ACL 以隐式
deny any结束；Junos BGP 默认只通告活跃的 BGP 路由（静态/直连/OSPF 需要导出策略），默认情况下不符合 RFC 8212——除非设置导入/导出策略（或protocols bgp defaults ebgp no-policy, 20.3R1+），否则它接受并向 EBGP 对等体重新通告所有内容。
此技能中的命令已于 2026 年 11 月根据厂商文档核对。版本特定行为在版本之间仍然会发生变化——当细节重要时（调试语法、许可、功能弃用），告知用户它适用于哪个版本以及如何在设备上确认。
从粘贴的配置中识别厂商
| 文本中的线索 | 平台 |
|---|---|
interface GigabitEthernet0/1, ip address x mask, router ospf 1, ! 分隔符 | 思科 IOS/IOS-XE（Arista EOS 看起来类似，但使用 Ethernet1, management api） |
feature ospf, vrf context, ip address 10.0.0.1/24（类思科语法） | 思科 NX-OS |
nameif, security-level, object network, access-group ... in interface | 思科 ASA（或 FTD 诊断 CLI） |
config firewall policy … edit … set … next … end | FortiGate FortiOS |
set rulebase security rules, set network interface ethernet ethernet1/1, <config> XML | Palo Alto PAN-OS |
set security zones security-zone, ge-0/0/0 unit 0 family inet, { } 层级结构 | 瞻博网络 Junos |
/ip address add, /interface bridge, chain=srcnat | MikroTik RouterOS |
set interface eth1 ipv4-address, mgmt_cli, fw ctl | Check Point Gaia |
system-view, sysname, undo, display, Vlanif10 | 华为 VRP（H3C Comware 非常相似） |
interface 1/1/1, vlan access 10, no routing | Aruba AOS-CX |
set interfaces ethernet eth0 address, set nat source rule | VyOS / Ubiquiti EdgeOS |
table inet filter, chain input { type filter hook input | Linux nftables |
-A INPUT, -j ACCEPT, *filter | Linux iptables |
跨厂商概念映射表
| 任务 | 思科 IOS | ASA | FortiGate | PAN-OS | Junos | MikroTik | 华为 |
|---|---|---|---|---|---|---|---|
| 进入配置 | conf t | conf t | config <section> | configure | configure | (路径) /ip ... | system-view |
| 保存 | write memory | write memory | 在 end 时自动保存 | commit | commit | 自动保存 | save |
| 撤销 | no ... | no ... | unset / delete | delete ... | delete ... | remove | undo ... |
| 显示配置 | show run | show run | show / show full-configuration | show（配置模式） | `show | display set` | /export |
| 规则匹配 | ACL 自上而下，隐式拒绝 | ACL + 安全级别 | 按接口对策略自上而下，隐式拒绝 | 按区域规则自上而下，区域间默认拒绝 | 按区域对的策略，默认拒绝 | filter 链自上而下，默认允许！ | ACL / 安全策略 |
| 地址对象 | object-group network | object network | config firewall address | set address | security address-book | address-list | ip address-set |
| 掩码 | ip address 中的子网掩码，通配符用在 ACL/OSPF | 子网掩码 | 子网掩码或 /len | /len | /len | /len | 通配符用在 ACL/OSPF |
| 安全网 | reload in 10 / configure replace |
[出于篇幅考虑已截断]