Cisco IOS 模式
在審查 Cisco IOS 或 IOS-XE 片段、建立變更窗口檢查清單，或解釋如何從路由器或交換器收集證據而不讓問題惡化時，請使用此技能。
使用時機
- 在計劃變更前審查 IOS 或 IOS-XE 配置。
- 為故障排除選擇唯讀的
show指令。 - 檢查 ACL 萬用遮罩與介面方向。
- 解釋全域、介面、路由處理程序與線路配置模式。
- 驗證變更已套用至執行中配置並已儲存。
操作規則
將 IOS 範例視為模式，而非可直接貼上使用的生產變更。在實際裝置上進行變更前，請確認平台、介面名稱、當前配置、回滾路徑與頻外存取。
偏好以下工作流程：
- 使用唯讀指令擷取當前狀態。
- 審查確切的候選配置。
- 確認管理存取不會被鎖定。
- 在維護窗口內套用最小變更。
- 重新讀取狀態，與基準線比較，然後僅在驗證後才儲存。
模式參考
Router> enable
Router# show running-config
Router# configure terminal
Router(config)# interface GigabitEthernet0/1
Router(config-if)# description UPLINK-TO-CORE
Router(config-if)# no shutdown
Router(config-if)# exit
Router(config)# end
Router# show running-config interface GigabitEthernet0/1
running-config 是活動記憶體。startup-config 是重新載入後保留的內容。不要僅因為指令被接受就儲存變更；先驗證行為，如果變更獲得批准，再使用 copy running-config startup-config。
唯讀收集
show version
show inventory
show processes cpu sorted
show memory statistics
show logging
show running-config | section line vty
show running-config | section interface
show running-config | section router bgp
show ip interface brief
show interfaces
show interfaces status
show vlan brief
show mac address-table
show spanning-tree
show ip route
show ip protocols
show ip access-lists
show route-map
show ip prefix-list
收集所需的特定區段，而不是將完整配置傾印到工單中，因為配置可能包含機密資訊、客戶名稱或私有拓撲。
萬用遮罩
IOS ACL 和許多路由陳述使用萬用遮罩，而非子網路遮罩。
子網路遮罩 萬用遮罩
255.255.255.255 0.0.0.0
255.255.255.252 0.0.0.3
255.255.255.0 0.0.0.255
255.255.0.0 0.0.255.255
在部署前審查萬用遮罩。意外將子網路遮罩當作萬用遮罩使用，可能會匹配比預期多更多的流量。
ip access-list extended WEB-IN
10 permit tcp 192.0.2.0 0.0.0.255 any eq 443
999 deny ip any any log
每個 ACL 在結尾都有一個隱含的拒絕。當操作目標包含觀察未命中的流量時，請新增一個明確的記錄拒絕，並確認記錄量是安全的。
ACL 放置審查
在將 ACL 套用至介面前，請回答以下問題：
- 過濾的流量方向是
in還是out？ - 管理流量是否來自已知的跳板主機或管理子網路？
- 是否已明確允許必要的路由、DNS、NTP、監控或應用程式流量？
- 是否可以從安全的測試來源取得命中計數器？
- 是否有回滾指令和活動的主控台或頻外路徑？
不要透過移除防火牆或 ACL 保護來測試可達性。請先讀取計數器、記錄和路由狀態。
介面衛生
interface GigabitEthernet0/1
description UPLINK-TO-CORE
switchport mode trunk
switchport trunk allowed vlan 10,20,30
switchport trunk native vlan 999
no shutdown
使用清晰的描述、明確的 switchport 模式與已記錄的 native VLAN。在路由介面上，在假設鏈路狀態意味著轉送正常之前，請先確認遮罩、對等 IP 位址與路由處理程序。
變更窗口驗證
使用與實際變更相符的變更前/後檢查。
show running-config | section interface GigabitEthernet0/1
show interfaces GigabitEthernet0/1
show logging | include GigabitEthernet0/1|changed state|line protocol
show ip route <prefix>
show ip access-lists <name>
對於路由變更，也請在變更前後擷取鄰居狀態與路由表。對於 ACL 變更，從計劃的測試來源比較命中計數器，而不是依賴一般的 ping。
反模式
- 在未進行裝置特定差異比較的情況下套用產生的配置。
- 在變更後檢查未通過前儲存配置。
- 在 IOS 期望萬用遮罩的地方使用子網路遮罩。
- 將 ACL 套用至錯誤的介面方向。
- 透過停用 ACL、路由策略或認證來進行故障排除。
- 在未清理機密資訊與拓撲的情況下，將完整配置貼入公開工具。
另請參閱
- 代理：
network-config-reviewer - 代理：
network-troubleshooter - 技能：
network-config-validation - 技能：
network-interface-health