1. 课程导入与治理框架

在企业网络中，Catalyst 交换机往往承担接入层与汇聚层的核心转发职责：VLAN 划分、生成树收敛、端口安全、QoS 标记、堆叠与冗余链路，几乎每一项都直接决定业务可达性。问题在于，这些能力最终都落在“配置”上。配置一旦被随意修改、缺少记录、无法回退，网络故障的定位成本会急剧上升。因此本课程的第一件事，不是立刻敲命令，而是建立一套可执行的治理框架：配置基线（Configuration Baseline）与变更治理（Change Governance）。

一、什么是配置基线

配置基线是经过评审、被正式确认、可作为比对基准的一份设备配置快照。它不等于“当前运行配置”，而是“我们认可的、应当长期保持的目标状态”。在 Catalyst 上，基线通常包含以下内容：

• 设备身份：hostname、管理 IP、默认网关、域名与 DNS；
• 管理面：本地用户、AAA、SSH 版本、VTY ACL、enable secret；
• 二层：VLAN 数据库、VTP 模式（建议透明）、STP 模式与优先级、端口模式与描述；
• 三层：SVI、路由协议（如 OSPF 进程与网络宣告）、静态路由；
• 可用性与安全：堆叠优先级、EtherChannel、PortFast/BPDU Guard、DHCP Snooping、端口安全；
• 运维面：NTP、Syslog、SNMP、时间戳与日志缓冲。

基线必须带版本标识，例如 BL-ACC-SW-2024Q3-v1.2，并记录生成时间、设备型号（如 C9300-48P）、IOS-XE 版本、生成人与审批人。没有版本号的“基线”只是备份文件，无法支撑审计。

二、什么是变更治理

变更治理是对“配置从基线到新状态”的全过程管理，核心回答四个问题：谁改、改什么、为什么改、改坏了怎么办。它包含变更申请、风险评估、实施窗口、验证方法与回滚预案。治理不是增加流程负担，而是把风险前置：一次未经评估的 ACL 修改，可能让整个管理网段失联；一次 STP 优先级调整，可能引发根桥迁移与短暂环路。

三、Catalyst 在网络基础设施中的角色

Catalyst 交换机处于“用户与业务”和“核心与出口”之间，是策略落地的第一道关口。接入层 Catalyst 决定终端能否入网、进入哪个 VLAN；汇聚层 Catalyst 决定跨 VLAN 流量如何被路由与过滤。因此，配置基线的粒度必须与角色匹配：接入层关注端口模板与安全特性，汇聚层关注 SVI、路由与冗余。把接入层基线直接套用到汇聚层，会遗漏关键的路由与高可用参数。

四、闭环模型的可视化

下图给出“基线—变更—审计—回滚”闭环模型，并标注每个环节在 Catalyst 上的真实对象与判断依据。注意：审计不是简单“看配置”，而是把当前运行配置与基线做差异比对，再结合日志与接口状态判断变更是否按预期生效。

五、从定义到落地：一个可执行的最小示例

假设一台 C9300-48P 接入交换机，当前运行配置中 VLAN 10 的 SVI 地址被临时改为 10.10.10.254/24，而基线记录为 10.10.10.1/24。治理流程如下：

1. 基线比对：将当前 show running-config 与基线文件做 diff，发现 interface Vlan10 下 ip address 不一致。
2. 变更审计：查看 show logging，确认变更时间与操作人；检查 show ip interface brief，确认 SVI 状态为 up。
3. 影响判断：该地址是管理网段网关，若终端网关指向 .1，则 .254 会导致终端无法跨网段通信。
4. 回滚：在维护窗口执行 configure replace flash:BL-ACC-SW-v1.2.cfg，或手动恢复 ip address 10.10.10.1 255.255.255.0，随后再次比对确认一致。

! 基线片段示例（VLAN 10 SVI）
interface Vlan10
 description MGMT-SVI
 ip address 10.10.10.1 255.255.255.0
 no shutdown
!
! 回滚后验证
show running-config interface Vlan10
show ip interface brief | include Vlan10

六、范围与边界

本课程治理范围覆盖 Catalyst 交换机的启动配置、运行配置、IOS-XE 镜像版本与关键特性参数。不涉及路由器广域网策略、防火墙安全策略与无线控制器配置，但这些对象的变更若影响 Catalyst 的接口或路由，仍需纳入联动评估。明确边界可以避免治理范围无限扩张，也能让审计聚焦在真正影响转发的配置项上。