网络配置校验

在变更窗口之前或在自动化脚本接触生产设备之前，使用本 skill 对网络配置进行审阅。

适用场景

• 在部署前审阅 Cisco IOS 或 IOS-XE 风格的配置片段。
• 审计由脚本或模板生成的配置。
• 查找危险命令、重复的 IP 地址或子网重叠。
• 检查 ACL、route-map、prefix-list 或 line policy 等对象被引用但未定义的情况。
• 为网络自动化构建轻量级的预检脚本。

工作原理

将配置校验视为分层证据，而不是一个完整的解析器。正则检查对预检告警很有用，但最终的放行仍然需要网络工程师审查意图、平台语法和回滚步骤。

按以下顺序进行校验：

1. 破坏性命令。
2. 凭据与管理面暴露。
3. 重复地址与重叠子网。
4. 对 ACL、route-map、prefix-list 和接口的过期引用。
5. 运维合规项，如 NTP、时间戳、远程日志和登录横幅。

危险命令检测

import re

DANGEROUS_PATTERNS: list[tuple[re.Pattern[str], str]] = [
    (re.compile(r"\breload\b", re.I), "reload causes downtime"),
    (re.compile(r"\berase\s+(startup|nvram|flash)", re.I), "erases persistent storage"),
    (re.compile(r"\bformat\b", re.I), "formats a device filesystem"),
    (re.compile(r"\bno\s+router\s+(bgp|ospf|eigrp)\b", re.I), "removes a routing process"),
    (re.compile(r"\bno\s+interface\s+\S+", re.I), "removes interface configuration"),
    (re.compile(r"\baaa\s+new-model\b", re.I), "changes authentication behavior"),
    (re.compile(r"\bcrypto\s+key\s+(zeroize|generate)\b", re.I), "changes device SSH keys"),
]

def find_dangerous_commands(lines: list[str]) -> list[dict[str, str | int]]:
    findings = []
    for lin…