ネットワーク管理者は、Cisco のスイッチやルーターの設定を調整する必要があることがよくあります。 しかし、running config（実行中の設定）ファイルは揮発性メモリに保存されているため、デバイスの電源を切ったり再起動したりすると、行った変更は失われます。この記事では、これらの変更を確実に保持するために、running configuration を startup configuration にコピーする方法を紹介します。あわせて、変更内容を保持するために running configuration ファイルを startup configuration にコピーする手順も示します。
Cisco IOS
Cisco IOS（または Internetwork Operating System）は、Cisco のルーターおよびスイッチを駆動する中核ソフトウェアであり、ネットワーク接続性、安全性、そして高度な機能を可能にします。また、ネットワーク管理者が端末エミュレーションプログラムにコマンドを入力できる Command Line Interface（CLI）も提供しています。CLI は、コンソール、Telnet、Secure Shell（SSH）の3つの方法でアクセスできます。利用できるコマンドは、ユーザーが現在実行している Cisco のモードによって異なります。この例では、SSH を使用してローカルネットワーク上の Cisco スイッチにリモート接続するために Putty を使用します。デバイスを設定するために Telnet を使用するのは不安全であり、通常の展開（デプロイ）では使用しないでください。初期設定には、コンソールまたは telnet 接続が必要になる場合があります。
Cisco モード
Cisco デバイスのさまざまなモードは、ユーザーが自分の権限の範囲内でのみコマンドを実行できるように、構造化された階層的なアクセスレベルを提供します。アクセスを制限することは、ネットワークの健全性にとって非常に重要です。デバイスに対する誤った設定は、パフォーマンスを低下させたり、接続を妨害したりする可能性があるためです。ユーザーは CLI プロンプトを使うことで、現在どのモードにいるかを確認できます。
ここでは、さまざまな Cisco モード、その対応するプロンプト、および各モードで許可される操作を簡潔にまとめます。
EXEC モード （ユーザーモード）
- プロンプト：Router>
- これは、ユーザーが Cisco デバイスにログインしたときに最初に入るモードです。ユーザーのシステムへのアクセスは制限され、設定を表示することや、ping や traceroute のような基本的なトラブルシューティング コマンドのみを実行できます。
Privileged EXEC モード（enable モード）
- プロンプト：Router#
- このモードでは、設定や統計をより高い権限で参照できます。User EXEC モードから「enable」コマンドを入力すると、このモードに入れます。ユーザーは、すべての設定を表示し、「reload」のような特権コマンドを実行できます。 「reload」は、スイッチに対して Cisco IOS を再起動するよう指示します。
- 特権アクセスは、未承認のアクセスを防ぐためにパスワードで保護する必要があります。
グローバル設定モード（Global Configuration mode）
- Router(config)#
- グローバル設定（Global Configuration）モードで行ったコマンドは、デバイス全体に影響します。EXEC と Privileged EXEC は読み取り専用モードですが、グローバル設定モードでは、ユーザーに対してアクティブな設定ファイルを変更するための書き込みアクセスが許可されます。グローバル設定モードを使用するには、まず Privileged EXEC モードに入ってから、「configure terminal」コマンドを実行します。config t のような多数のショートカットも利用できます。
インターフェース設定モード（Interface Configuration mode）
- Router(config-if)#
- ユーザーは、特定のインターフェイスを設定するために、「interface FastEthernet 0/0」のようなコマンドを入力して、グローバル設定（Global Configuration）モードからこのモードにアクセスできます。
以下は、Cisco のサポートユーザーが最もよく使用するモードです。ほかのモードには、ライン設定（Line Configuration）モード、ルーター設定（Router Configuration）モード、VLAN 設定（VLAN Configuration）モード、およびサブインターフェース設定（Subinterface Configuration）モードがあります。以下は、Cisco Switch 101 というスイッチへの SSH セッションのスクリーンショットです。ここでは、ユーザーが Privileged EXEC モードから Global Configuration モードへ移行しています。
「Show」コマンド
デバイスの設定を変更するには、まずその設定が何であるかを把握しておく必要があります。そこで役立つのが「show」コマンドです。このコマンドは、任意の Cisco デバイスの現在の設定と状態を表示するために使用されます。User EXEC モードおよび Privileged EXEC モードから実行できます。このコマンドの代表的な例には、次のようなものがあります。
show running-config — デバイスの現在有効な設定（ランニング設定）を表示します。
show startup-config — デバイスを次回再起動したときに読み込まれる設定を表示します。
show version — Cisco デバイスのソフトウェア バージョン、稼働時間（uptime）、およびハードウェアの詳細情報を表示します。
設定ファイルはどこに保存されますか
Cisco のルーターとスイッチは、指定された機能を処理するためにさまざまな種類のメモリを利用し、また異なる種類の情報を保存します。ランニング設定（running configuration）とスタートアップ設定（startup configuration）は、それぞれ別の種類のメモリに保存されます。以下に、主要なメモリの種類と、それぞれがどのように使われるかをまとめます。
- RAM (Random Access Memory) — これは揮発性メモリであり、デバイスは現在の実行設定、ルーティングテーブル、および運用データをここに保存します。これらはすべて再起動すると失われます。
- ROM (Read-Only Memory) — ROM には、スイッチの電源投入直後に読み込まれるブートストラッププログラムが保存されています。このプログラムは完全な Cisco IOS イメージの場所を特定し、それを RAM にロードします。
- Flash memory — このメモリは、デバイス内部にある場合もあれば、取り外し可能なメモリカード上にある場合もあります。Flash memory には機能が完全な Cisco IOS イメージが保存されており、起動時にスイッチが Cisco IOS を検索するデフォルトの格納場所です。Flash memory は、設定ファイルのバックアップコピーなど、他のファイルを保存するためにも使用できます。
- NVRAM (Nonvolatile RAM) — NVRAM には、Cisco デバイスの電源投入時、または再ロード時に使用される初期設定（または起動設定）ファイルが保存されます。
2種類の設定を理解する
まず、各設定の目的を説明します。
- 実行コンフィギュレーション（Running Configuration） — これは、デバイスの RAM に保存されているアクティブな構成です。デバイスに加えた変更はすべて、すぐにここに反映されます。RAM は動的メモリなので、再起動や電源喪失が発生すると、デバイスは最後に保存した構成に戻ります。
- 起動コンフィギュレーション（Startup Configuration） — これはデバイスが起動時に読み込む構成で、デバイスの NVRAM に保存されます。ここで行った変更は、再起動後も保持されます。
両方の設定は内容が同一です。以下は、テスト用スイッチの実行コンフィギュレーション（running-config）の例です。
Cisco Switch 101# show running-config
Building configuration...
Current configuration: 1067 bytes
!
! Last configuration change at 11:23:54 UTC Tue Feb 17 2023 by admin
!
version 15.1
service timestamps debug datetime msec
service timestamps log datetime msec
no service password-encryption
!
hostname Cisco Switch 101
!
boot-start-marker
boot-end-marker
!
!
enable secret 5 $1$mERr$2T3mEi2Kt7PF9Fv9A4A2..
!
no aaa new-model
!
!
ip cef
no ip domain lookup
!
!
interface FastEthernet0/0
ip address 10.142.0.12 255.255.255.0
duplex auto
speed auto
!
interface FastEthernet0/1
no ip address
shutdown
duplex auto
speed auto
!
!
ip default-gateway 10.142.0.1
ip classless
!
line con 0
exec-timeout 0 0
privilege level 15
logging synchronous
line aux 0
line vty 0 4
login
!
end
running-config を startup-config にコピー
この例では、まず「hostname」コマンドを使ってスイッチの名前を「cisco」に変更します。次に、以下に示すように「copy」コマンドを使用して、実行中の設定（running configuration）を起動設定（startup configuration）に保存します。
copy running-config startup-config
次のように省略形のコマンドも使用できます。
Copy run start
これは現在の起動設定ファイルを上書きします。
次の例（新しく名前を変更したスイッチ用）に示すように、実行中の設定（running config）を TFTP サーバーなどの外部ソースにコピーすることもできます。
cisco# copy running-config tftp:
Address or name of remote host []? 10.137.14.55
Destination filename [running-config]?
!!
cisco#
このコマンドシーケンスの内訳は以下のとおりです。
1. 「copy running-config tftp:」というコマンドがプロセスを開始します。
2. TFTP サーバーのアドレスを求められたら、「10.137.14.55」を入力します。
3. その後、スイッチが宛先のファイル名を尋ねます。ここで「Enter」を押すと、デフォルト名の「running-config」が作成されます。
4. 「!!」は、転送が正常に完了したことを示します。
起動コンフィグを TFTP サーバーにコピーすることもできます。セキュリティのベストプラクティスでは、潜在的な機器障害やその他の災害に備えるため、すべての Cisco デバイスの設定の外部バックアップを保持することを推奨しています。
NVRAM の内容を消去する
Cisco デバイスを再起動するか、電源をオフにすると、実行中の設定（running config）が消去されます。NVRAM 内に含まれるスタートアップ設定（startup config）ファイルを消去したい場合は、次のコマンドを使用できます：
cisco# erase startup-config
その後、デバイスはその操作を実行することを確認するよう求めます。
処理が完了すると、NVRAM に保存されているスタートアップ設定（startup configuration）が削除されます。スタートアップ設定に別の設定を保存してからでないと、デバイスをリロードしてしまうと、デバイスはデフォルト設定で起動します。Cisco スイッチまたはルーターのデフォルト設定は次のとおりです：
- すべてのインターフェースが有効になっています。
- 自動ネゴシエーションは、それを使用できるポートに対して有効になっています（duplex auto および speed auto）。
- すべてのインターフェイスは VLAN 1 の一部です。
次に、デバイスのホスト名や IP アドレス、サブネットマスク、デフォルトゲートウェイなどの設定を追加できます。
Cisco の設定変更を監視する必要がある理由
お使いの Cisco ネットワーク機器に対する不適切な変更や不正アクセスは ネットワーク効率の低下や業務の中断につながる可能性があります。したがって、一貫した監査プロセスを導入し、ネットワーク基盤内の活動を綿密に監視することが重要です。
Netwrix Auditor for Network Devices は、ネットワーク インフラストラクチャを完全に可視化し、最も危険だと考えるイベントについてアラートします。明確で実行に移せる情報により、セキュリティ インシデントの調査を大幅に簡素化できます。以下は、Netwrix の Cisco auditing tool でネットワーク セキュリティをより強固にするために実行できる手順の一部です:
- ネットワーク デバイスへのログオン試行を監査し、成功した各ログオンが完全に認可されていることを確認します。
- パスワードのリセットと設定変更を監視します。
- 自動アラートでハードウェアの不具合を常に把握しましょう。
- 個々のネットワーク スキャンを追跡して、各ケースが計画されたネットワーク 健康チェックであったのか、それとも data breach を試みる前に偵察を行っている攻撃者によるものかを素早く判断します。
実行中の構成設定を保存するだけでは不十分です。設定だけでなく、ネットワーク インフラのその他の側面も監視して、ビジネスにとって通常かつ安全な運用が行われるようにする必要があります。
共有する
著者について
