Cisco路由器配置的核心思路是：通过命令行接口（CLI）逐条输入指令，完成接口IP、路由协议、访问控制等模块化设置，新手只要掌握查看、进入、保存这三类基础操作，就能独立上手绝大多数场景。
为什么很多网工依然坚持用命令行配置Cisco路由器
图形界面虽然直观，但真实机房里的Cisco设备，尤其是二手 Catalyst 或 ISR 系列，往往只提供 Console 口和 SSH 登录方式，行业共识认为，命令行配置在批量部署和故障排查时效率远超 Web 界面，而且脚本可复用，出错概率更低，如果你正打算学习思科路由器配置教程新手入门，建议直接在一台 GNS3 模拟器或真实设备上敲命令,比看任何视频都管用。
第一次连接设备需要准备什么
- Console 线（通常自带 RJ45 转 DB9 或 USB 转串口）
- 终端软件（SecureCRT、Xshell 或 PuTTY，选择 Serial 连接）
- 波特率设置为 9600，数据位 8，停止位 1，无校验
连接后通电，设备启动会进入用户模式，提示符类似 Router>，这时候你只能看不能改，输入 enable 进入特权模式，默认无密码，直接回车即可，特权模式提示符变成 Router#，从此刻开始,你才有权限查看和修改配置。
三大基础命令必须烂熟于心
configure terminal或简写conf t，进入全局配置模式show running-config查看当前生效的配置write或copy running-config startup-config保存配置
很多人忘记保存，一断电配置全丢，建议每次改完关键配置立刻执行 write,这已经是行业内的铁律。
Cisco路由器配置命令大全：从接口到路由的完整路径
这里整理一份常用配置序列，适用于 ISR 4300 系列或 Cisco 1941 等常见型号,其他型号操作逻辑完全一致。
配置接口IP地址和启用状态
以连接内网的 GigabitEthernet0/0 为例，假设网段是 192.168.1.0/24：
configure terminal interface gigabitethernet 0/0 ip address 192.168.1.1 255.255.255.0 no shutdown exit
no shutdown 是激活接口，很多新手漏了这条，导致接口一直处于 administratively down 状态，查看接口状态用 show ip interface brief，输出里 Status 和 Protocol 都显示 up 才算正常。
配置默认路由和静态路由
连接外网或上级设备时,通常写一条默认路由：
ip route 0.0.0.0 0.0.0.0 192.168.1.254如果要访问某个内部测试网段，10.10.20.0/24，下一跳是 192.168.1.2,可以这样写：
ip route 10.10.20.0 255.255.255.0 192.168.1.2静态路由适合小型网络，如果网络规模较大，考虑启用 OSPF 或 EIGRP 动态路由协议，这部分内容较多,后续可以单独展开。
配置DHCP地址池和DNS转发
路由器作为内网网关时，需要分配地址,全局配置模式下这样操作：
service dhcp
ip dhcp excluded-address 192.168.1.1 192.168.1.10
ip dhcp pool LAN_POOL
network 192.168.1.0 255.255.255.0
default-router 192.168.1.1
dns-server 223.5.5.5排除地址是给打印机、服务器等固定设备预留的，DNS 服务器可以用国内公共 DNS，也可以用运营商下发的地址,看具体场景。
思科路由器配置教程新手入门最容易踩的四个坑
- 接口名称记错：部分 Cisco 设备是
FastEthernet或GigabitEthernet，缩写分别是fa和gi，输入时可以按 Tab 补全,不要凭感觉敲。 - 忘了
no shutdown：接口物理连接正常但协议就是 down,八成是这个问题。 - 保存失败：在配置模式下直接输入
write会报错，必须退回特权模式（按Ctrl+Z或输入end）再保存。 - 访问控制列表顺序不当：ACL 是从上往下匹配的，把精确的 permit 语句放在 deny 之前,否则流量会被提前丢掉。
访问控制列表到底怎么配才安全
远程管理配置是刚需，假设只允许管理网段 192.168.100.0/24 通过 SSH 访问,标准做法如下：
access-list 10 permit 192.168.100.0 0.0.0.255 line vty 0 4 access-class 10 in transport input ssh login local
注意这里用的反掩码 0.0.255，不是普通子网掩码，很多配置错误就出在把反掩码写成 255.255.0，同时建议关闭 telnet 服务，只保留 SSH,避免明文密码泄露。
当设备变卡或登录异常，如何快速恢复
日常运维中，配置错导致设备失联的情况很常见，知道 Cisco 路由器恢复出厂设置命令可以在关键时刻救场。
恢复出厂设置的正确姿势
如果还能通过 Console 登录,可以在特权模式执行：
erase startup-config
reload系统会询问是否确认重载，输入 y，重载完成后设备会进入初始配置向导，直接选择 no 跳过，然后重新配置即可，这个操作会清空所有配置，包括密码和接口 IP,小心使用。
密码忘了怎么办
忘记 enable 密码但物理接触得到设备时，可以在开机瞬间按 Ctrl+Break 进入 ROMmon 模式，然后修改配置寄存器的值跳过启动配置，整个操作步骤较复杂，不同型号略有差异，建议提前查具体机型的官方文档，业内专家指出，日常运维中设置密码恢复机制（AAA 认证的 fallback 本地账号）能大幅减少这类麻烦。
如何选择合适的 Cisco 路由器型号
新手选购或选型时，常纠结于二手 2911 和全新 ISR 1100 系列,这里给个对比表格：
| 需求场景 | 推荐型号 | 接口数量 | 适用带宽 |
|---|---|---|---|
| 家庭实验室或学习 | Cisco 1941 / 2911 | 2-3个千兆口 | 百兆以内 |
| 中小型企业出口 | ISR 4331 | 3个千兆口，可扩展 | 300Mbps 左右 |
| 分支办公室互联 | ISR 1100 | 2个WAN口+8个交换口 | 小流量场景 |
| 核心汇聚或大型园区 | ASR 1000 系列 | 多板卡插槽 | 万兆以上 |
需要留意的是，二手设备虽然便宜，但部分旧型号的 IOS 版本已经停止安全更新，如果用于生产环境，建议尽量选择仍能获得 Service Contract 的型号，或者干脆用虚拟化方案跑 CSR 1000v。
配置价格相差大，原因到底在哪
一台二手 Cisco 2911 可能只要几百元，而新的 ISR 4331 要数万元，价差主要来源于性能授权（licensing）和IOS 功能集，ISR 4000 系列默认只带基础 IP Base 许可证，启用高级加密或 OSPF 多实例还要额外购买许可证，买机器时记得确认是否包含所需的功能许可,否则后续升级费用可能比机器本身还贵。
Cisco路由器配置中关于安全加固的几个细节
- 禁用不必要的服务：
no ip http server、no ip bootp server - 启用日志同步：
line console 0下执行logging synchronous，避免输入命令时被日志刷新打断 - 配置超时自动登出：
line vty 0 4下设置exec-timeout 5 0 - 开启密码加密：全局模式下
service password-encryption
这些命令基本不会影响业务，但能显著提高设备抗风险能力，尤其是日志同步那条,很多老网工都吃过命令被日志打断的亏。
实用Q&A：Cisco路由器配置高频疑问解答
为什么我配的静态路由不生效，show ip route 里根本看不到
先确认是否写了下一跳地址且该地址可达，再检查组策略或 ACL 是否阻断了路由更新，如果下一跳接口是 down 状态，路由不会加载，用 ping 从路由器源地址测试到下一跳的连通性,通常能定位问题。
配置保存后重启，发现接口 IP 还是没了
重启后接口恢复到 shutdown 状态是常见现象，除非你在接口下写了 no shutdown 并保存，另外检查是否误用了 reload in 定时重载，或者 startup-config 被他人擦除。
想用远程 SSH 管理路由器，最少需要几条命令
三条核心配置足够：启用 AAA 或本地用户（username admin privilege 15 secret 你的密码），开启 SSH 服务（ip ssh version 2），然后在 line vty 0 4 下指定 transport input ssh，不要忘记用 crypto key generate rsa 生成加密密钥，否则 SSH 无法启动。