Cisco IOS 模式
在審查 Cisco IOS 或 IOS-XE 片段、建立變更窗口檢查清單，或解釋如何從路由器或交換器收集證據而不使狀況惡化時，使用此技能。
使用時機
- 在計畫中的變更前，審查 IOS 或 IOS-XE 設定。
- 選擇用於故障排除的唯讀
show指令。 - 檢查 ACL 萬用遮罩和介面方向。
- 說明全域、介面、路由程序與線路設定模式。
- 驗證變更已寫入執行中的設定，並已蓄意儲存。
操作規則
將 IOS 範例視為模式，而非可直接貼上到產品的變更。在對真實裝置進行變更前，請確認平台、介面名稱、目前設定、回滾路徑及頻外存取。
偏好採用此工作流程：
- 使用唯讀指令擷取目前狀態。
- 審查確切的候選設定。
- 確認管理存取不會被封鎖。
- 在維護窗口套用最小變更。
- 重新讀取狀態，與基準比較，然後僅在驗證後才儲存。
模式參考
Router> enable
Router# show running-config
Router# configure terminal
Router(config)# interface GigabitEthernet0/1
Router(config-if)# description UPLINK-TO-CORE
Router(config-if)# no shutdown
Router(config-if)# exit
Router(config)# end
Router# show running-config interface GigabitEthernet0/1
running-config 是作用中記憶體。startup-config 是重新啟動後保留的設定。不要只因指令被接受就儲存變更；先驗證行為，若變更獲核准，再使用 copy running-config startup-config。
唯讀收集
show version
show inventory
show processes cpu sorted
show memory statistics
show logging
show running-config | section line vty
show running-config | section interface
show running-config | section router bgp
show ip interface brief
show interfaces
show interfaces status
show vlan brief
show mac address-table
show spanning-tree
show ip route
show ip protocols
show ip access-lists
show route-map
show ip prefix-list
當設定可能包含機密、客戶名稱或私有拓撲時，請僅收集所需的部分，而非將完整設定傾印至工單中。
萬用遮罩
IOS ACL 與許多路由陳述使用萬用遮罩，而非子網路遮罩。
Subnet mask Wildcard mask
255.255.255.255 0.0.0.0
255.255.255.252 0.0.0.3
255.255.255.0 0.0.0.255
255.255.0.0 0.0.255.255
在部署前審查萬用遮罩。不小心將子網路遮罩用作萬用遮罩，可能會比預期匹配到更多的流量。
ip access-list extended WEB-IN
10 permit tcp 192.0.2.0 0.0.0.255 any eq 443
999 deny ip any any log
每個 ACL 在結尾都有一個隱含的 deny。當操作目標包含觀察未命中時，請加入明確的 logged deny，並確認記錄量是安全的。
ACL 放置審查
在將 ACL 套用至介面前，回答以下問題：
- 正在過濾的流量方向是
in還是out？ - 管理流量是否源自已知的跳板主機或管理子網？
- 是否有明確的 permit 規則用於必要的路由、DNS、NTP、監控或應用流量？
- 是否能從安全的測試來源取得命中計數器？
- 是否有回滾指令以及可用的主控台或頻外路徑？
不要透過移除防火牆或 ACL 保護來測試可達性。請先讀取計數器、日誌和路由狀態。
介面整潔
interface GigabitEthernet0/1
description UPLINK-TO-CORE
switchport mode trunk
switchport trunk allowed vlan 10,20,30
switchport trunk native vlan 999
no shutdown
使用清晰的描述、明確的 switchport 模式以及有記錄的原生 VLAN。在路由介面上，請在假設連結狀態意味著轉送正常前，先確認遮罩、對端定址和路由程序。
變更窗口驗證
使用與實際變更相符的變更前/後檢查。
show running-config | section interface GigabitEthernet0/1
show interfaces GigabitEthernet0/1
show logging | include GigabitEthernet0/1|changed state|line protocol
show ip route <prefix>
show ip access-lists <name>
對於路由變更，也要在變更前後擷取鄰居狀態與路由表。對於 ACL 變更，應比較從計畫測試來源取得的命中計數器，而非依賴一般的 ping。
反模式
- 在未經裝置特定差異比對的情況下套用產生的設定。
- 在變更後檢查通過前儲存設定。
- 在 IOS 預期萬用遮罩的地方使用子網路遮罩。
- 將 ACL 套用至錯誤的介面方向。
- 透過停用 ACL、路由策略或驗證來進行故障排除。
- 在未清理機密和拓撲的情況下，將完整設定貼入公開工具。
另請參閱
- 代理：
network-config-reviewer - 代理：
network-troubleshooter - 技能：
network-config-validation - 技能：
network-interface-health