show running-configの見方｜section・includeで絞り込む

show running-configは、Cisco機器で今動いている設定（RAM上の設定）を表示するコマンドです。特権EXECモードで打ち、長い出力は「| section」や「| include」で必要な所だけに絞ります。保存しないと、再起動で消える設定です。

この記事でわかること

show running-configとは？今動いている設定を表示するコマンド

show running-configとは、Cisco IOSの機器が今まさに使っている設定（running-config）を表示するコマンドです。現場では「show run」「sh run」と略して打つことがほとんどです。

シスコのコマンドリファレンスでは、実行できるのは特権EXECモード（プロンプトが「#」）とされています。「>」のままだと打てないため、先に「enable」で特権モードに入っておきましょう。

Router> enable
Router# show running-config

設定モードで入力したコマンドは、その瞬間にrunning-configへ反映されます。画面で打った内容がすぐ効き、すぐ表示に出るのがrunning-configです。

running-configとstartup-configの違い

Cisco機器には設定が2つあります。違いを取り違えると、「直したはずの設定が、再起動したら元に戻った」という事故になります。

項目	running-config	startup-config
置き場所	RAM（メモリ）	NVRAM
中身	今動いている設定	起動するときに読み込む設定
設定変更	打った瞬間に反映	保存したときだけ書き換わる
再起動すると	消える	残る
見るコマンド	show running-config	show startup-config

両者をそろえるのが保存の操作です。「copy running-config startup-config」、短く「write memory」を打つと、今の設定が起動用の設定として書き込まれます。

出力の見方｜上から順に何が書いてあるか

show running-configの出力は、機器全体の設定から始まり、インターフェース、ルーティング、ログイン回りの順に並ぶのが基本です。下はルーターの出力の例で、アドレスは説明用の値、パスワードの部分は伏せています。

Router# show running-config
Building configuration...

Current configuration : 1534 bytes
!
version 15.9
service password-encryption
!
hostname R1
!
enable secret 5 （ハッシュ値・省略）
!
interface GigabitEthernet0/0
 description To-ISP
 ip address 192.0.2.2 255.255.255.0
!
interface GigabitEthernet0/1
 description LAN
 ip address 10.1.1.1 255.255.255.0
 ip access-group 110 in
!
router ospf 1
 network 10.1.1.0 0.0.0.255 area 0
!
ip route 0.0.0.0 0.0.0.0 192.0.2.1
!
access-list 110 permit ip 10.1.1.0 0.0.0.255 any
!
line vty 0 4
 password 7 （省略）
 login
 transport input ssh
!
end

先頭の「Building configuration…」と「Current configuration : 1534 bytes」は、設定を組み立てて表示していることと、その大きさを示す行です。最後の「end」までが設定の本体になります。

ブロック	例	何の設定か
全体設定	hostname／service／enable secret	機器の名前・パスワードの扱い
interface	interface GigabitEthernet0/1	ポートごとのIP・説明・ACLの適用
ルーティング	router ospf 1／ip route	経路の学び方・静的経路
ACL	access-list 110	通信の許可・拒否のルール
line	line vty 0 4	リモートログインの方法

「!」は区切り、字下げは親子関係

行頭の「!」は、設定のまとまりを区切るための印で、設定そのものではありません。字下げ（行頭の空白）のある行は、すぐ上の字下げの無い行の中身です。

例えば「 ip access-group 110 in」は、上の「interface GigabitEthernet0/1」の中の設定です。字下げを読めば、どの設定がどのポートに効いているかが分かるようになっています。

既定値の設定は表示されない

show running-configは、既定値のままの設定を表示しません。シスコのリファレンスにも、既定値で設定されたコマンドは出力に出ないと書かれています。

既定値まで含めて見たいときは「show running-config all」です。行数が大きく増えるので、後で紹介する絞り込みと組み合わせて使います。

必要な部分だけ見る｜section・include・begin・exclude

本番のコアスイッチだと、show runは何千行にもなります。全部を流して目で探すより、パイプ（|）で絞り込むのが実務の基本です。

パイプの後ろに付ける語	出るもの	向いている場面
section 語	語を含む行と、その配下の字下げ行	router ospfやinterfaceのまとまりを見る
include 語	語を含む行だけ	全ポートのdescriptionを一覧にする
exclude 語	語を含まない行だけ	「!」の区切りを消して詰めて読む
begin 語	語が最初に出た行から最後まで	後半のline設定から読み始める

よく打つ形を並べます。

show running-config | section router ospf
show running-config | include description
show running-config | include ip route
show running-config | begin line vty
show running-config interface GigabitEthernet0/1

最後の行のように、interfaceを指定すると1つのポートの設定だけが出ます。sectionより手軽で、ポート単位の確認ならこちらで十分です。

sectionとincludeの違い

includeは「語を含む行」しか出さないので、親の行だけが並び、中身は見えません。sectionは親の行に加えて、その配下の字下げ行をまとめて出します。

「access-groupが付いているポートを全部知りたい」ならinclude、「OSPFの設定を丸ごと見たい」ならsection、と使い分けると迷いません。

複数の語をまとめて拾う

includeとsectionの語には正規表現が使えます。縦棒でつなぐと、どちらかを含む行を一度に拾えます。

show running-config | include hostname|ip route
show running-config | section interface|router

保存していない変更を確かめる

一番怖いのは、設定を変えたのに保存を忘れ、次の再起動で元に戻ることです。作業の終わりに、running-configとstartup-configの差を確かめる習慣をつけておくと安心です。

設定変更の終わりに確かめる流れ

• 変更作業のあと、保存の前と後で同じ順に見ます。
• 1変えた所をshow runで確かめるinterface指定やsectionで、狙った行だけが変わっているかを見る
• 2保存前の差分を出すshow archive config differences で、startupとの差だけを表示する
• 3copy running-config startup-config で保存[OK] と出れば完了。もう一度差分を出して、差が無いことを確かめる

保存を忘れた設定は、次の再起動でまるごと消える。

図：変更→差分の確認→保存→差が消えたかの確認、の順で終える

差分を出すコマンドは、IOSのバージョンによっては使えないことがあります。使える機器では、次のように打つと、running-configにだけある行に「+」、startup-configにだけある行に「-」が付いて表示されます。

show archive config differences nvram:startup-config system:running-config

このコマンドが使えない機器では、両方の設定をテキストで保存し、手元の比較ツールで差を見る方法が確実です。

設定を人に渡す前に隠すべき行

障害の問い合わせでベンダーにコンフィグを送ったり、手順書に貼ったりする場面があります。そのまま渡すと、パスワードや認証の文字列まで一緒に出ていきます。

行の例	中身	注意点
enable secret 5 …	特権モードのパスワード（ハッシュ）	元に戻すのは難しいが、辞書攻撃の対象になる
password 7 …	vtyなどのパスワード	弱い方式で、元の文字列に戻せる
username … secret／password …	ログイン用のユーザー	同じ扱いで伏せる
snmp-server community …	SNMPの読み書き用の文字列	平文で出ることがある

シスコの資料によると、service password-encryptionで暗号化されたパスワード（行に7が付くもの）は、今の基準ではとても弱い方式です。一方、enable secretはMD5でハッシュされ（行に5が付くもの）、設定ファイルから元に戻すのは難しいとされています。

「7」の付いたパスワードは、見た目が暗号でも実質は丸見えと考えてください。人に渡すコンフィグでは、数字の後ろの文字列を伏せてから渡してください。

よくある質問

まとめ

設定の中身が読めるようになったら、次はその設定どおりに動いているかです。show ip routeで経路、show interfacesでポートの状態を見ると、設定と実際の動きを突き合わせられます。

---

免責事項

---