網路組態驗證 是做什麼的？
在變更窗口或自動化腳本接觸生產設備之前，使用此技能審查網路組態。
使用時機
- 在部署前審查 Cisco IOS 或 IOS-XE 風格的組態片段。
- 稽核由腳本或範本產生的組態。
- 尋找危險指令、重複 IP 位址或子網重疊。
- 檢查 ACL、route-map、prefix-list 或 line 策略是否被參照但未定義。
- 為網路自動化建立輕量級的前置檢查腳本。
運作方式
將組態驗證視為「分層證據」，而非完整的解析器。正規表示式檢查對於前置警告很有用，但最終核准仍需網路工程師審查意圖、平台語法與回滾步驟。
請依以下順序進行驗證：
- 破壞性指令。
- 憑證與管理平面暴露。
- 重複位址與子網重疊。
- 對 ACL、route-map、prefix-list 和介面的無效參照。
- 營運衛生，例如 NTP、時間戳、遠端日誌與橫幅。
危險指令偵測
import re
DANGEROUS_PATTERNS: list[tuple[re.Pattern[str], str]] = [
(re.compile(r"\breload\b", re.I), "reload 會導致停機"),
(re.compile(r"\berase\s+(startup|nvram|flash)", re.I), "清除持久儲存裝置"),
(re.compile(r"\bformat\b", re.I), "格式化裝置檔案系統"),
(re.compile(r"\bno\s+router\s+(bgp|ospf|eigrp)\b", re.I), "移除路由程序"),
(re.compile(r"\bno\s+interface\s+\S+", re.I), "移除介面組態"),
(re.compile(r"\baaa\s+new-model\b", re.I), "變更驗證行為"),
(re.compile(r"\bcrypto\s+key\s+(zeroize|generate)\b", re.I), "變更裝置 SSH 金鑰"),
]
def find_dangerous_commands(lines: list[str]) -> list[dict[str, str | int]]:
findings = []
for line_number, line in enumerate(lines, start=1):
stripped = line.strip()
for pattern, reason in DANGEROUS_PATTERNS:
if pattern.search(stripped):
findings.append({
"line": line_number,
"command": stripped,
"reason": reason,
})
return findings
重複 IP 與子網重疊
import ipaddress
import re
from collections import Counter
IP_ADDRESS_RE = re.compile(
r"^\s*ip address\s+"
r"(?P<ip>\d{1,3}(?:\.\d{1,3}){3})\s+"
r"(?P<mask>\d{1,3}(?:\.\d{1,3}){3})\b",
re.I | re.M,
)
def extract_interfaces(config: str) -> list[dict[str, str]]:
results = []
current = None
for line in config.splitlines():
if line.startswith("interface "):
current = line.split(maxsplit=1)[1]
continue
match = IP_ADDRESS_RE.match(line)
if current and match:
ip = match.group("ip")
mask = match.group("mask")
network = ipaddress.ip_interface(f"{ip}/{mask}").network
results.append({"interface": current, "ip": ip, "network": str(network)})
return results
def find_duplicate_ips(config: str) -> list[str]:
ips = [entry["ip"] for entry in extract_interfaces(config)]
counts = Counter(ips)
return sorted(ip for ip, count in counts.items() if count > 1)
def find_subnet_overlaps(config: str) -> list[tuple[str, str]]:
networks = [ipaddress.ip_network(entry["network"]) for entry in extract_interfaces(config)]
overlaps = []
for index, left in enumerate(networks):
for right in networks[index + 1:]:
if left.overlaps(right):
overlaps.append((str(left), str(right)))
return overlaps
管理平面檢查
按章節解析 VTY 區塊，以避免存取類別檢查溢散至不相關的行。
import re
def iter_blocks(config: str, starts_with: str) -> list[str]:
blocks = []
current: list[str] = []
for line in config.splitlines():
if line.startswith(starts_with):
if current:
blocks.append("\n".join(current))
current = [line]
continue
if current:
if line and not line.startswith(" "):
blocks.append("\n".join(current))
current = []
else:
current.append(line)
if current:
blocks.append("\n".join(current))
return blocks
def check_vty_blocks(config: str) -> list[str]:
issues = []
for block in iter_blocks(config, "line vty"):
if re.search(r"transport\s+input\s+.*telnet", block, re.I):
issues.append("VTY 允許 Telnet；請僅使用 SSH。")
if not re.search(r"\baccess-class\s+\S+\s+in\b", block, re.I):
issues.append("VTY 區塊沒有入站 access-class 來源限制。")
if not re.search(r"\bexec-timeout\s+\d+\s+\d+\b", block, re.I):
issues.append("VTY 區塊沒有明確的 exec-timeout。")
return issues
安全衛生檢查
SECURITY_PATTERNS = [
(re.compile(r"\bsnmp-server community\s+(public|private)\b", re.I),
"已設定預設 SNMP 團體字串"),
(re.compile(r"\bsnmp-server community\s+\S+", re.I),
"已設定 SNMPv2 團體字串；建議改用 SNMPv3 authPriv"),
(re.compile(r"\bip ssh version 1\b", re.I),
"已啟用 SSH 第 1 版"),
(re.compile(r"\benable password\b", re.I),
"存在 enable password；請改用 enable secret"),
(re.compile(r"\busername\s+\S+\s+password\b", re.I),
"本機使用者名稱使用 password 而非 secret"),
]
BEST_PRACTICE_PATTERNS = [
(re.compile(r"\bntp server\b", re.I), "NTP 伺服器"),
(re.compile(r"\bservice timestamps\b", re.I), "記錄時間戳"),
(re.compile(r"\blogging\s+\S+", re.I), "記錄目的地或緩衝區"),
(re.compile(r"\bsnmp-server group\s+\S+\s+v3\s+priv\b", re.I), "SNMPv3 authPriv 群組"),
(re.compile(r"\bbanner\s+(login|motd)\b", re.I), "登入橫幅"),
]
def check_security(config: str) -> list[str]:
return [message for pattern, message in SECURITY_PATTERNS if pattern.search(config)]
def check_missing_hygiene(config: str) -> list[str]:
return [
f"缺少 {description}"
for pattern, description in BEST_PRACTICE_PATTERNS
if not pattern.search(config)
]
範例
變更窗口預檢
- 對要貼上的確切片段執行危險指令檢查。
- 對完整的候選組態執行重複 IP 與子網重疊檢查。
- 確認每個被參照的 ACL、route-map 與 prefix-list 都存在。
- 在進行任何管理平面變更前，確認回滾指令與帶外存取。
自動化預檢
在 Netmiko、NAPALM、Ansible 或廠商 API 自動化推送產生的組態之前，使用驗證作為阻斷閘門。針對危險指令與憑證應直接失敗關閉。針對變更範圍外的最佳實務缺口則提出警告。
反模式
- 將正規表示式驗證當作裝置解析器來使用。
- 未進行乾執行比對就套用產生的組態。
- 以監控需求為由推薦使用 SNMPv2 團體字串。
- 使用可能意外跨越不相關區段的正規表示式來檢查 VTY 區塊。
- 透過停用 ACL 來測試防火牆行為，而非檢視計數器或記錄。
另請參閱
- Agent：
network-config-reviewer - Agent：
network-troubleshooter - Skill：
network-interface-health