📚 课程目录第3章 Cisco IOS-XE操作系统与设备初始化

3. Cisco IOS-XE操作系统与设备初始化

Catalyst 9000 系列交换机出厂时处于“空白”状态：没有管理地址、没有管理员账号、没有业务 VLAN，甚至连启动镜像都可能需要确认。设备初始化并不是把命令敲一遍，而是把一台物理设备变成园区网络中可被信任、可被远程管理、可被纳管的节点。本节围绕 IOS-XE 的启动与镜像体系、开箱初始化、许可证激活、基础安全加固和远程管理配置展开，给出可直接参考的操作路径与判断依据。

IOS-XE 的启动层次与镜像管理

IOS-XE 与传统 IOS 最大的区别在于“双平面”结构：底层是运行在 Linux 内核上的 IOS-XE 操作系统，上层是提供 Cisco IOS 命令行的 IOSd 进程。设备加电后依次经历 ROMMON、引导加载器、Linux 内核、IOSd 启动四个阶段。理解这一层次，才能解释为什么 show version 会同时显示“Cisco IOS XE Software”和“Linux Software”两行版本信息。

镜像文件通常以 .bin 或 .pkg 形式存放在 bootflash: 中。安装模式下推荐使用 install 命令族，而不是直接修改 boot system。典型流程如下：

Switch# show version | include System image
Switch# dir bootflash: | include .bin
Switch# install add file bootflash:cat9k_iosxe.17.09.04a.SPA.bin activate commit
Switch# show install summary

install add 把镜像加入安装仓库，activate 将其设为下次启动镜像，commit 确认提交。若新镜像启动失败，设备会自动回退到上一个已提交版本，这是安装模式相对传统 boot system 的核心优势。执行 show install summary 时，应确认 [R0] 或 [R1] 状态为 C（Committed），而不是 U（Uncommitted）。

开箱初始化：从 Console 到可管理状态

首次上电时，设备会进入 Day-0 向导，询问是否使用 yes/no 对话式配置。生产环境建议选择 no，进入传统 CLI 手动配置，以便精确控制每个参数。初始化需要完成四件事：主机名与域名、管理 IP 与默认网关、管理员账号、SSH 与远程访问。

Switch> enable
Switch# configure terminal
Switch(config)# hostname CAT9300-ACC-01
CAT9300-ACC-01(config)# ip domain-name corp.example.com
CAT9300-ACC-01(config)# interface Vlan1
CAT9300-ACC-01(config-if)# ip address 10.10.10.21 255.255.255.0
CAT9300-ACC-01(config-if)# no shutdown
CAT9300-ACC-01(config-if)# exit
CAT9300-ACC-01(config)# ip default-gateway 10.10.10.1
CAT9300-ACC-01(config)# username admin privilege 15 secret Cisco@12345
CAT9300-ACC-01(config)# enable secret Cisco@12345
CAT9300-ACC-01(config)# ip domain-lookup
CAT9300-ACC-01(config)# crypto key generate rsa modulus 2048
CAT9300-ACC-01(config)# line vty 0 4
CAT9300-ACC-01(config-line)# transport input ssh
CAT9300-ACC-01(config-line)# login local
CAT9300-ACC-01(config-line)# exit
CAT9300-ACC-01(config)# ip ssh version 2

这里有两个容易忽略的点：其一，crypto key generate rsa 必须在配置了 hostname 和 ip domain-name 之后执行，否则密钥对无法生成；其二，transport input ssh 会关闭 Telnet，若尚未验证 SSH 可用就保存配置，可能把自己锁在设备之外。稳妥做法是先保留 transport input all，确认 SSH 登录成功后再收紧为 ssh。

许可证激活

Catalyst 9000 采用 Smart Licensing 体系，常见授权级别包括 Network Essentials 和 Network Advantage。设备出厂通常附带 90 天评估授权，评估期结束后若未激活，部分高级功能（如 StackWise Virtual、SD-Access 相关特性）会被禁用。激活前先确认当前状态：

CAT9300-ACC-01# show license status
CAT9300-ACC-01# show license summary
CAT9300-ACC-01(config)# license smart transport smart
CAT9300-ACC-01(config)# license smart url default
CAT9300-ACC-01(config)# license smart register idtoken <IDTOKEN>
CAT9300-ACC-01# show license authorization

若设备无法直连 Cisco Smart Software Manager，可通过 license smart transport callhome 或离线 license smart save 方式完成注册。判断激活是否成功，关键看 show license status 中 Status 是否为 REGISTERED，以及 Authorization Status 是否为 AUTHORIZED。若显示 EVALUATION 或 OUT OF COMPLIANCE，说明授权尚未真正落地。

基础安全加固与远程管理

初始化完成后，设备已经“能用”，但还谈不上“安全”。基础加固应至少覆盖以下方面：关闭未使用的物理端口并划入隔离 VLAN、关闭 HTTP 服务、限制 VTY 访问源、配置登录失败锁定、启用日志与时间同步。

CAT9300-ACC-01(config)# no ip http server
CAT9300-ACC-01(config)# no ip http secure-server
CAT9300-ACC-01(config)# ip access-list standard MGMT-ACL
CAT9300-ACC-01(config-std-nacl)# permit 10.10.10.0 0.0.0.255
CAT9300-ACC-01(config-std-nacl)# deny any log
CAT9300-ACC-01(config-std-nacl)# exit
CAT9300-ACC-01(config)# line vty 0 4
CAT9300-ACC-01(config-line)# access-class MGMT-ACL in
CAT9300-ACC-01(config-line)# exec-timeout 10 0
CAT9300-ACC-01(config-line)# logging synchronous
CAT9300-ACC-01(config-line)# exit
CAT9300-ACC-01(config)# login block-for 120 attempts 3 within 60
CAT9300-ACC-01(config)# ntp server 10.10.10.5
CAT9300-ACC-01(config)# clock timezone CST 8
CAT9300-ACC-01(config)# service timestamps log datetime msec localtime
CAT9300-ACC-01(config)# logging host 10.10.10.6
CAT9300-ACC-01(config)# end
CAT9300-ACC-01# write memory

其中 login block-for 120 attempts 3 within 60 表示 60 秒内连续 3 次登录失败即锁定 120 秒，可有效缓解暴力破解。access-class 把管理访问限制在运维网段，是防止管理面暴露的第一道闸门。时间同步看似与安全无关，但日志时间戳不一致会让故障排查几乎无法进行，因此 NTP 应作为初始化的一部分而非可选项。

建议在完成初始化后立即执行 show running-config 与 show startup-config 对比，确认配置已写入 NVRAM；同时用 show ip interface brief 确认管理接口状态为 up/up，再用另一台终端实际 SSH 登录一次，验证远程管理链路真实可用。

初始化流程与状态判断

下图把本节的关键对象、操作顺序与判断依据整合为一条可对照的初始化链路：从物理上电、镜像确认，到管理地址、账号、许可证、安全加固，最终以远程登录和配置保存作为闭环验证。

把上述流程落到实际项目中，建议在设备上架前先准备好一份初始化参数表：主机名命名规则、管理网段与网关、NTP 与 Syslog 服务器地址、授权级别与 ID Token、允许登录的运维网段。设备上电后按“镜像确认 → 基础参数 → 账号与 SSH → 许可证 → 安全加固 → 远程验证与保存”的顺序推进，每一步都以可观察的输出作为通过条件，而不是凭感觉认为“应该配好了”。这样做的价值在于：当后续接入 StackWise、VLAN、路由或 SD-Access 时，底层管理面已经是一个稳定、可审计、可回退的基线，而不是一个随时可能因为授权或访问控制问题而失联的黑盒。