思科防火墙保存命令是哪条？

思科防火墙作为网络安全的重要设备,其配置的正确保存是确保策略持续生效、设备重启后不丢失关键设置的核心操作，不同型号的思科防火墙（如ASA、FTD等）及不同的配置模式（CLI、ASDM），保存命令存在一定差异，但核心逻辑均为将当前运行的配置持久化存储到非易失性存储器（如Flash、NVRAM）中，以下从CLI命令行角度，结合常见场景详细解析思科防火墙的保存命令及相关操作逻辑。

基础保存命令：write memory 与 copy running-config startup-config

在思科防火墙的传统CLI操作中,最常用的保存命令是write memory（简写为wr mem）和copy running-config startup-config，两者功能完全等效，均用于将当前运行的配置（running-config）复制到启动配置（startup-config）中，确保设备重启后能加载最新配置。

命令语法与执行

• 完整命令：copy running-config startup-config
• 简写形式：wr mem 或 write
  执行后，系统会提示[OK]或Building configuration...，表示配置已成功保存到startup-config文件中（通常存储在设备的NVRAM或Flash中）。

命令逻辑说明

• running-config：设备当前内存中运行的配置，修改后立即生效，但断电或重启后会丢失。
• startup-config：设备启动时加载的配置文件，保存在非易失性存储器中，断电后不会丢失。
  保存操作的本质是将内存中的临时配置固化到永久存储介质中，确保配置的持久性。

其他常用保存相关命令及场景应用

除基础保存命令外,思科防火墙还提供其他与配置保存相关的命令，以满足不同管理需求，如保存到外部服务器、备份特定配置等。

保存到外部服务器：copy running-config tftp

当需要将配置备份到远程TFTP服务器时,可使用该命令，操作步骤如下：

firewall# copy running-config tftp  
Address or name of remote host []? 192.168.1.100  
Destination filename [firewall-config.cfg]? backup-20231001  
Writing running-config to 192.168.1.100:backup-20231001...  
!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!  

执行前需确保防火墙与TFTP服务器网络可达,且服务器有写入权限，此命令常用于配置的异地备份或批量部署前的导出。

保存到Flash存储：copy running-config flash

若需将配置保存到本地Flash（如升级固件前备份配置），可使用：

firewall# copy running-config flash  
Destination filename [startup-config]? custom-config.cfg  
Writing running-config to flash:custom-config.cfg...  
[OK]  

保存后的文件可通过dir flash:查看，后续可通过copy flash:custom-config.cfg startup-config恢复。

保存部分配置：include 参数

若仅需保存特定接口或策略的配置,可结合include参数过滤running-config后再保存，

firewall# copy running-config tftp include "interface GigabitEthernet0/0"  

此命令仅保存GigabitEthernet0/0接口的相关配置，减少备份文件大小，提升效率。

不同防火墙型号的命令差异

思科防火墙产品线不断迭代,部分型号的命令存在差异，需注意区分：

传统ASA防火墙（如ASA 5500-X系列）

• 保存命令：write memory、copy running-config startup-config
• 查看保存的配置：more startup-config
• 删除startup-config：erase startup-config（执行后需重启设备加载默认配置）

新一代FTD（Firepower Threat Defense）防火墙

FTD基于Firepower硬件或虚拟化平台,CLI命令与ASA基本兼容，但推荐使用configure net模式管理配置，保存命令为：

ftd# configure net  
ftd(config-net)# commit  

commit命令会将当前配置保存到启动配置，并同步到管理中心（如Firepower Management Center），若需手动导出配置，仍可使用copy running-config tftp等命令。

配置保存的注意事项

1. 保存前验证配置
   执行保存命令前，建议通过show running-config检查配置是否正确，特别是安全策略、NAT规则等关键设置，避免错误配置固化导致网络中断。

2. 避免频繁保存
   虽然保存操作本身对设备损耗极小，但频繁执行可能影响CLI响应效率，建议在完成一批配置修改后统一保存。

3. 结合配置管理工具
   对于企业级防火墙，建议使用思科配置专业管理工具（如Cisco Configuration Professional、RANCID）或自动化脚本（Ansible、Python）实现配置的批量备份、版本控制，降低人工操作风险。

4. 保存后的验证
   保存完成后，可通过show startup-config查看文件内容是否与running-config一致，或执行reload重启设备（需提前规划维护窗口），验证配置是否能正确加载。

配置备份与恢复的最佳实践

为提升配置管理的可靠性,建议结合以下流程操作：

1. 定期自动备份
   通过cron任务或脚本定时执行copy running-config tftp，将配置备份到专用服务器，保留多个历史版本（如按日期命名）。
2. 配置变更审批
   重要配置修改前，先导出当前配置作为快照，修改并保存后，将新旧版本提交至配置管理系统（如Git）存档。
3. 灾难恢复预案
   在防火墙Flash中保留一份基础配置文件（如factory-default.cfg），当配置异常导致无法登录时，可通过boot命令加载恢复。

相关问答FAQs

问题1：执行write memory后提示“Error opening NVRAM”，如何处理？
解答：该错误通常表示NVRAM空间不足或硬件故障，可尝试以下步骤：

1. 使用dir nvram:查看NVRAM使用情况，删除无用文件（如日志、旧配置文件）；
2. 若空间充足,尝试erase startup-config清空后重新保存；
3. 若仍失败,可能是NVRAM硬件损坏，需联系厂商维修或更换设备。

问题2：FTD防火墙使用commit保存配置后，为什么ASDM界面未显示最新策略？
解答：FTD的commit操作仅保存到本地启动配置，若通过ASDM修改配置，需确保ASDM已连接到设备的管理接口，且修改后点击“Apply”按钮同步配置，若防火墙由Firepower Management Center集中管理，需在管理中心执行“Deploy”操作，将配置下发到设备。